网络对抗技术

shellcode:
• 是一段代码（也可以是填 充数据），是用来发送到 服务器 • 利用特定漏洞的代码，一 般可以获取权限。 • Shellcode一般是作为数 据发送给受攻击服务的。
缓存溢出攻击
缓存溢出攻击
• Shellcode本质上可以使用任何编程语言，但由于需 要的是提取其中的机器码，使用汇编语言编写是最具 可控性的，因为可以通过指令控制代码生成。
网络对抗技术
叶进 yejin@
参考教材
• 网络对抗原理 • 胡建伟等编著 • 西安电子科技大学出版社
学习计划
• 一、课堂讲授 16学时 1~4周 • 二、上机实践 12学时 6~8周 • 三、讨论及测试 4学时 机动
一、课堂讲授
• • • • • 1、信息获取技术（扫描、截获） 2、代码漏洞利用（溢出攻击） 3、网络攻击（DoS攻击和ARP欺骗） 4、系统攻击 5、病毒及木马
ARP攻击防范
• （1）在客户端使用arp命令绑定网关的真实MAC地址 命令如下： • arp (先清除错误的ARP表) • arp 192.168.1.1 03-03-03-03-03-03 （静态指定网 关的MAC地址） • （2）在交换机上做端口与MAC地址的静态绑定。 • （3）在路由器上做IP地址与MAC地址的静态绑定。 • （4）使用“ARP SERVER”按一定的时间间隔广播网 段内所有主机的正确IP-MAC映射表
第一部分 信息获取技术
• 1、踩点（存活性探测） • 获取有关目标计算机网络和主机系统安全态势的 信息。 • 例如：Tracert 命令 • 2、扫描（查找漏洞） • 检测目标系统是否同互联网连接、所提供的网络 服务类型等。 • 例如：ping 命令 • 3、查点（获取权限） • 提取系统的有效账号或者输出资源名的过程。 • 例如：nbtstat 命令
缓存溢出攻击
• “SQL Slammer”蠕虫王的发作原理，就是利用未及时 更新补丁的MS SQL Server数据库缓冲溢出漏洞。采 用不正确的方式将数据发到MS Sql Server的监听端 口，这个错误可以引起缓冲溢出攻击。
缓存溢出攻击
• 目前新出现的MSBLAST病毒正是利用了微软关于 RPC 接口中远程任意可执行代码漏洞，“中招”的机 器会反复重启，或者拷贝、粘贴功能不工作等现象。 • 事实上，如果成功利用缓冲漏洞，攻击者就有可能获 得对远程计算机的完全控制，并以本地系统权限执行 任意指令，如安装程序、查看或更改、删除数据、格 式化硬盘等。
ARP攻击
ARP请求：
ARP攻击
ARP响应：
ARP攻击
• ARP欺骗：用错误的IP-MAC映射刷新主机的ARP缓存。
ARP攻击
• 域网内一旦有ARP的攻击存在，会欺骗局域网内所有 主机和网关，让所有上网的流量必须经过ARP攻击者 控制的主机。 • 其他用户原来直接通过网关上网，现在却转由通过被 控主机转发上网。由于被控主机性能和程序性能的影 响，这种转发并不会非常流畅，因此就会导致用户上 网的速度变慢甚至频繁断线。
端口
• 如何查询端口： • Windows\system32\drives\etc\servi ces (for well-know services defined by IANA) • Dos 命令：netstat –an (查询主机的端 口状态)
扫描技术
• 扫描的方式： • 1.正向扫描：一般由管理员完成，相当于对网络进行 安全评估，当发现网络中有漏洞时会给出如何弥补这 些漏洞的建议。正向扫描软件：SSS、SuperScan、 X-Scan、NMAP、MBSA等。
作业
• 了解和熟悉一些反汇编工具
网络攻击
• 网络协议攻击 • 攻击WWW • 分布式攻击
Байду номын сангаас
TCP/IP协议
ARP攻击
• ARP ：Address Resolution Protocol • IP地址和 MAC地址
ARP攻击
• ARP缓存表：IP地址与MAC对应的关系 • ARP请求：发送报文前，在ARP缓存表 中查找MAC地址，如果没有，就发送一 个目的为广播地址的ARP请求包。
• C语言编写较为省力，但Shellcode提取较为复杂。 • 不同版本的操作系统，DLL导出函数的入口地址，指 令地址有所不同。
缓存溢出攻击
• 早在1988年，美国康奈尔大学的计算机科学系研究生， 23岁的莫里斯（Morris）利用了UNIX fingered程序 不限制输入长度的漏洞使缓冲器溢出。Morris又写了 一段程序使他的恶意程序能以root（根）身份执行， 并传播到其他机器上，结果造成6000台Internet上 的服务器瘫痪，占当时总数的10%。
缓存溢出攻击
• • • • • • • • • • • • • #include “String.h” Void Mycopy（Char *str） {char buffer[256]; strcpy(buffer,str); } int main() { int I; Char buffer[512]; For(i=0;i<511;i++) buffer[i]=„C‟; myCopy(buffer); Return 0; }
• 2.反向扫描：一般由黑客完成，当发现网络中有漏洞 时会给出如何利用这些漏洞的建议。反向扫描软件： 流光。 • 扫描的建议：尽量使用多种扫描软件，分时段、分多 次，对对方主机进行扫描。
操作系统检测
• • • •
• • • •
意义：大多数安全漏洞都是有操作系统特定的 原理：发送探测分组以确定协议的独有特性。 实现：从TCP的四个字段入手 TTL: 操作系统对出站数据包设置的存活时间 （Windows初始为128，Linux为64） WINDOWS SIZE:在发送FIN数据包时包含的选项 （Linux基本维持不变，Windows采用AIMD机制） DF:是否设置了不准分片位 TOS:是否设置了服务类型
通过反汇编和汇编去完成！
缓存溢出攻击
•
#include “String.h” Void Mycopy（Char *str） {char buffer[256]; strcpy(buffer,str); } int main() { int I; Char buffer[512]; For(i=0;i<511;i++) buffer[i]=„C‟; myCopy(buffer); Return 0; }
综述
• 网络对抗：在信息网络环境中，以信息网络系统为载体， 以计算机或计算机网络为目标，围绕信息侦察、信息干 扰、信息欺骗、信息攻击，为争夺信息优势而进行的活 动。 • 是以比特流对抗为着眼点的比知识、比算法的智力战。
• 黑客技术：是对计算机系统和网络系统的缺陷和漏洞的 发现，以为围绕这些缺陷实施攻击的技术。 • 包括软件缺陷、硬件缺陷、网络协议缺陷、管理缺陷和 认为的失误。
网络层协议攻击
• Smurf 攻击：攻击者想一个具有大量主机和因特网的广 播地址发送一个欺骗性Ping分组，其源地址就是希望攻 击的目标系统。 • 目标主机被大量的Echo信息淹没，从而拒绝正常服务。 • 源代码 P101
安全漏洞
• 产品：产品中的缺陷可以导致安全漏洞。但是，因为遵从不安全 的，但是被广泛接受的标准而导致的缺陷，不属于安全漏洞。 • 例子：当使用浏览器连接至FTP站点时，其连接会话是明文的， 这不是安全漏洞，因为FTP协议标准中规定使用明文会话。但是， 如果浏览器在SSL会话中使用了明文通信，这就产生了一个安全 漏洞，因为SSL标准中规定了会话必须加密。
信息获取技术
• 1、踩点（存活性探测） • 获取有关目标计算机网络和主机系统安全态势的 信息。 • 例如：Tracert 命令 • 2、扫描（查找漏洞） • 检测目标系统是否同互联网连接、所提供的网络 服务类型等。 • 例如：ping 命令 • 3、查点（获取权限） • 提取系统的有效账号或者输出资源名的过程。 • 例如：nbtstat 命令
• 另外ARP欺骗需要不停地发送ARP应答包，会造成网 络拥塞。
ARP攻击检测
• 抓包工具来抓包，如果发现网内存在大量ARP 应答包，并且将所有的IP地址都指向同一个 MAC地址，那么就说明存在ARP欺骗攻击 。
• 到路由器或者网关交换机上查看IP地址与 MAC地址的对应表，如果发现某一个MAC对 应了大量的IP地址，那么也说明存在ARP欺骗 攻击。
堆栈
• 1.栈是用来存储临时变量，函数传递的中间结果。 • 2.操作系统维护的，对于程序员是透明的。 • • • • • • 栈的原理 ： void fun(void) { printf("hello world")；} void main(void) {fun() printf("函数调用结束");}
特点：FIFO 函数调用: 压栈， 函数返回：出栈
堆栈
• 栈帧： • 1.EIP寄存器：存储的是CPU下次要执行的指令的地址。 • 也就是调用完fun函数后，让CPU知道应该执行main函数中的 printf（“函数调用结束”）语句了。 • 2.EBP寄存器：存储的是是栈的栈底指针，通常叫栈基址，这个 是一开始进行fun()函数调用之前，由ESP传递给EBP的。（在函 数调用前你可以这么理解：ESP存储的是栈顶地址，也是栈底地 址。） • 3.ESP寄存器：存储的是在调用函数fun()之后，栈的栈顶。并且 始终指向栈顶。
网络侦查
• Traceroute ：跟踪TCP/IP数据包从出 发点到达目的点所走的路径。 • Unix： Traceroute • Windows： Tracert • 例如： Tracert • 通过ICMP命令发送小的探测包
扫描技术
• 1、PING扫描：确定目的IP是否存活 （发送ICMP ECHO请求分组）。 • 2、端口扫描：目标系统提供什么样的服 务或哪些端口处于侦听状态。 • 3、不同的服务侦听在不同的端口，一个 端口就是一个入侵通道。