Net Cat防范

　　最佳防范Net Cat的方法是“最小特权原理”（昵称为“polyp”）（Principle of Least Priviledges）。也就是说，不让不需要的端口经过防火墙，只有那些你允许通过的端口可以与指定的主机连接。例如：经过防火墙的DNS查询，只打开需要此服务的UDP 53端口（通常是一个内部DNS服务器把这些查询转出到Internet）。这样就可以防止攻击者有机会把Net Cat包送到你内部网的任何主机上。
　　至于那些可以被外部访问的系统，在防范Net Cat攻击时，你要清楚这些机器上已运行的进程，并且仔细调查那些不寻常进程，因为它们可能是后门聆听者。你必须定期检查端口，以便发现有没有聆听者侵入你的机器。
　　为了防止回放攻击，所有应用系统应该为每条消息（包括web cookies、表单或者是原始数据）盖上时间印及顺序号码。所有消息的时间印及顺序号应经过密码完整性测试，确保没有被修改或回放。

　　工具五：Session Hijacking

　　很多应用系统采用命令行登录是不安全的，尤其是telnet、rsh、rlogin及FTP程式，它们全是黑客攻击对象。任何一个黑客在连接了客户与服务器之间的网段后，可以用Session Hijacking工具接管会话。
　　当一个合法用户登录到命令行进行会话时，黑客可以找到此会话并马上代表用户接管此会话，重新连接客户，这样黑客便完全控制这个登录，进而黑客成为合法用户。而真正的用户会简单地认为网络出故障了，从而会断掉会话。
　　黑客圈里有大量此种黑客工具，最新的有 “Kra”于1998年11月编写的Hunt， 还有“daemon9”编写的juggernaut，它们均提供基本的Session Hijacking功能。

　　Session Hijacking防范

　　对于敏感的会话通信（如防火墙的远程管理、PKI或是其他重要部件的管理），选用一个有密码认证功能的工具把整个会话加密是一个好选择。Secure Shell (SSH)就提供这些功能。VPN产品也提供认证及会话加密。黑客没有在SSH或VPN工具里所用的钥匙便无法进行会话攻击。
　　快乐的结局

　　让我们回顾一下三个月前篇首所描述的攻击情节。
　　当你调查这次攻击时，你发现入侵者使用war dialing找出一个供用户使用的不受保护的调制解调器。随后他接管了这个系统，并扫描整个网络，把后门安装在网络内部的机器中。当黑客观察到一位系统管理员登录到公用Web服务器上时，他就接管该服务器，并用它开始攻击其他Internet站点。
　　经过此次事件，你的机构开始注意到安全防范的重要性，管理部门也授权你去实施一项口令及调制解调器政策，他们开始定期作war dialing及口令破译测试，以及安装自动监测预警系统。
　　经过施行这些新政策后，公司网络的安全性大大提高。你明白了只有认真学习并且施行防范策略才能免受攻击。即使日后又发现任何隐患，你也会迅速检测到并立即采取措施。
　　希望你有了这些知识后，可以在晚上睡个好觉了！　　

　　Back Orifice 简介

　　黑客一旦找出调制解调器并破译口令成功后， 他会做什么? 通常，他会在系统内安装后门程序以便他稍后再来。Back Orifice（或称BO） 是功能强大的后门制造工具, 它能轻而易举的使庞大的网络系统陷入瘫痪之中。
　　Back Orifice由黑客Cult of the Dead Cow （cDc）于1998年8月推出。BO包括服务器部分和客户部分。服务器部分安装在受侵者的Window 95机器上，而客户部分在黑客系统中运行。安装BO主要目的是：黑客通过网络远程入侵并控制受攻击的Win95系统，从而使受侵机器“言听计从”。
　　BO以多功能、代码简洁而著称。BO服务器只有121KB，安装迅速。BO客户软件用UDP包与服务器沟通，可配置到系统任何端口上，缺省是UDP 31337（黑客术语是“Elite”）。

　　BO具有许多特点：

　　.黑客完全控制文件系统，可以移 动、编辑、删除及复制受侵机器的程序。
　　.可以捕获用户任何的键盘敲击。这点使BO产生强大的杀伤力。因为当受害者键入的是口令或公钥密码时，BO也将它们如实地存在文件中，以便攻击者日后取用。
　　.黑客可以在受侵机器上运行任何进程，并使这些进程可在任何端口上聆听。
　　.BO试图隐藏自己，不在任务列上出现。
　　.BO服务器自带Web服务器，这样黑客可以用Browser访问受害机器。
　　.其他黑客利用所谓的BO统一工具传输插件（即“BUTT plugs”），把BO功能进行扩充。已经推出的插件宣称可以经E-mail或IRC激活BO，这样，当工具在网络扩散时，就可以找到最新的目标。

　　.一个有效的BO嗅探器插件已被编写完成。

　　BO很容易安装。只要安装一个必须的简单程序，就能很容易并快速地安装所有BO组件。BO以多种形式传播，有时受侵者可能在毫不知情的情况下（经e-mail附件或Web站点传播)就被强迫执行安装程序了。
　　wrappers是和BO相关的工具之一，它可以把BO与无害的程序合并。例如：它把BO与一些不重要的软件（如文字处理器或是网络上流行的简单游戏）结合，然后，黑客将BO附在game.exe上，并把结果文件用email方式发给用户，假装通知用户，软件该升级了。当用户执行升级程序时，此工具首先安装BO，之后运行被结合的应用程序。用户只看到游戏在运行，却根本不知道他们已成为BO的受害者。最后，此工具可以由Web的不签名Java applets或activeX controls安装。

　　防范

　　虽然Bo试图隐藏自己（不出现在任务列上），但它仍然很容易被人发现。当进行人工检测BO时，只要在c:\windows\system 目录里找到122KB .exe文件，并与在windows Registry 里的HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\Default钥匙里的钥匙名比较即可。若二者是一致的，则证明系统中存在BO。（值得注意的是：文件名及钥匙名是由攻击者配置的，但缺省是：“.exe”）。最后，如系统中有BO存在，则可在c:\windows\system 目录内找到一个叫作“windll.dll”的文件。
　　尽管人工分析对少量机器有用，但进行大范围扫描则需要反病毒产品。有几家反病毒厂家已把检测BO功能融入其产品的最新的版本中。直至截稿，BO只针对window95进行破坏。但是，BO客户部分也可以在Windows及 UNIX下进行破坏工作。不要因为你用NT系统就可以高枕无忧。请注意，Carl-Fredrik Neikter所编写的Net Bus便是针对NT服务器进行破坏的，且功能与BO相同。Net Bus 2.0在1999年1月已推出。

　　其他攻击工具

　　ROOT EXPLOITS
　　攻击者利用ROOT EXPLOITS，使用普通UNIX帐号访问超级用户从而接管机器。攻击者在UNIX系统里有无数方法把自己升级。

　　ROOT EXPLOITS的防范
　　安全从业人员及系统管理员应参照Carnegie Mellon 的CERT（cert.org）及bugtrag (subscribe:list serve@net space.org)的安全简讯，密切注意新的exploits。当新的攻击被击破后，应迅速并且有步骤地为受影响的机器进行测试和安装厂家的补丁程序。对于对外公开使用的Web服务器、DNS系统、防火墙等，应该使用基于主机的安全监控软件检测寻找根目录的用户。

　　拒绝服务（Denial-of -service DoS）攻击
　　这类攻击会使系统混乱或变慢，直至不能再使用。在过去的两年中，这类攻击方法被黑客大量使用，而且攻击目标是操作系统、路由器、甚至是激光打印机，且攻击者使用的软件五花八门，如Ping O Death, Land, Smurf, Bonk, Boink及Latierra。这些攻击看起来不是那么凶猛，但公司却往往因此而导致系统瘫痪、员工闲置及交易流产，公司最终会付出昂贵代价。
　　Denial-of -service的防范
　　同样，密切注意最新攻击事件及频频安装系统补丁仍然是防范DoS攻击的最佳方法。当然，你也可以尝试在外部路由器放置反欺骗过滤器或设置好内部网络路由器以抵御DoS的攻击。

　　Remote Explorer
　　Remote Explorer是一个有很强杀伤力的NT病毒。它在NT系统中将自己伪装成一种服务。当管理员登录时，此病毒会使自己自动扩散到该域内所有NT机器上。在受影响的系统里，Remote Explorer会随机加密文件，而拒绝合法的访问。
　　Remote Explorer的防范
　　严密的反病毒措施及有效的病毒防范工具可以防止Remote Explorer的攻击。
　　注：本文介绍以上工具的目的是为了让大家了解这些工具对我们的影响，了解这些工具是为了更好的保护自己网络的安全，任何人不得利用上面的工具做违法的事情。

上一页  [1] [2]