注册
登录
| 关键词： pts victim com 端口 finger 用户 登录 目标 系统 攻击者 |
来源:http://www.pchoer.com/ 作者:未知 SAMSA黑客手册(第1部分) (零)、确定目标攻击的基本条件，除了攻击者和攻击技术，就是攻击对象，特定的对象（特定子网、特定主机）对特定的攻击者构成吸引力，也召唤着与之相适应的技术。 0.1) 目标明确攻击者明确地知道要攻击的目标，如某可恶的ISP，如某敌对观点的宣传站点，如解雇了攻击者的单位的主页，等等。0.2) 区段搜索攻击者有大致的攻击范围（某一网段），但没有具体的主机作为目标，这时可以工具搜索出该网段上的所有机器，如用笔者开发的mping(multi-ping)，用法如下：[synopsis] mping network netmaske.g.# mping 192.168.0.0 255.255.255.0 第一个参数是欲搜索的网段，第二个参数是网络掩码。即可快速获取该网段上所有活动主机的IP地址。0.3) 抓网从一个有很多链接的WWW站点开始，顺藤摸瓜，自然可以找到许多域名和IP地址；0.4) 到网上去找站点列表很多网页上都有大量相关站点的列表；找到一个站点列表，就可以挨个儿进行攻击尝试了！ (一)、情报搜集从对攻击目标一无所知开始，通过种种尝试，获得越来越多的关于它的信息；黑客的哲学是：没有无用的信息。几乎关于攻击目标的任何知识都是可能的入侵入口，举凡操作系统类型、版本、用户名等，即使是一些表面上无害的信息，也可能通过和别的信息综合而构成暴露系统漏洞的消息。 1.1) 端口扫描端口扫描是通过扫描找出目标系统开放的服务端口从而推断出目标系统上运行的服务，通过这些服务可能获取进一步的知识或通往系统的路径。端口扫描的程序所在多有，可从网上免费获取，如笔者使用的一种，其输出如下： e.g.# tcp_scan numen 1-655357:echo:9:discard:13:daytime:19:chargen:21:ftp:23:telnet:25:smtp:37:time:79:finger111:sunrpc:512:exec:513:login:514:shell:515:printer:540:uucp:2049:nfsd:4045:lockd:6000:xwindow:6112:dtspc:7100:fs:…# udp_scan numen 1-655357:echo:9:discard:13:daytime:19:chargen:37:time:42:name:69:tftp:111:sunrpc:161:UNKNOWN:177:UNKNOWN: ... 大概地说，TCP和UDP端口扫描的机理都是依次（如从1号端口到n号）向目标系统的端口发出连接请求或服务请求包，若该端口上无服务程序守侯，则TCP协议层会回送一个RST（Reset）包，而UDP协议层则会回送一个ICMP Port Unreachable（端口不可达）包，如果没有收到这两种包，就说明该端口有一服务程序，再根据服务程序和著名端口号间的对应关系，既可推知目标系统上究竟运行着哪些服务了。观看端口扫描程序运行结果，如发现有下列服务：finger,sunrpc,nfs,nis(yp),tftp,ftp,telnet,http,shell(rsh),login(rlogin),smtp,exec(rexec),etc...则应引起注意。因为这些服务或者无偿向外界提供关于系统的重要知识，或者提供某种使用户可以“登录”到系统的方法，或者使得用户可以远程执行系统中的程序，所以都有可能是网络入侵的重要途径。在下面的叙述中读者将陆续看到这一点。 1.2) finger如果端口扫描发现目标系统上开放了finger服务，这对攻击者来说真是福音，因为finger无偿地（即不需要任何认证手续）就向所有人提供关于系统用户的重要信息，而黑客入侵最重要的一种途径也即是冒充用户登录，所以开放finger实在是一件很危险的事。 e.g.# finger [email protected][victim.com]Login Name TTY Idle When Whereroot Super-User console 1 Fri 10:03 :0root Super-User pts/6 6 Fri 12:56 foo.comroot Super-User pts/7 Fri 10:11 mor.comroot Super-User pts/8 1 Fri 10:04 :0.0root Super-User pts/1 4 Fri 10:08 :0.0root Super-User pts/11 3:16 Fri 09:53 stu.comroot Super-User pts/10 Fri 13:08 sil.comroot Super-User pts/12 1 Fri 10:13 :0.0 这个例子说明，该机器上有很多人以root身份登录着，也就是说，假使黑客能够以root身份登录进去，将不至于显得过于突出了(例中所有的机器域名替换成虚构的域名，但都有现实的基础，谨此说明，下同此)。 # finger @victim.com[victim.com]Login Name TTY Idle When Whereroot Super-User console 7 Fri 10:03 :0john Johnathan Swift pts/6 11 Fri 12:56 foo.comjack Michael Jackson pts/7 Fri 10:11 mor.commary Mariah Carey pts/11 3:21 Fri 09:53 stu.comroot Super-User pts/10 3 Fri 13:08 sil.comsally Sallivan pts/11 12 Fri 11:07 idi.com "finger @victim.com"的意思是：请victim.com报告当前登录在它上面的所有用户情况。这个例子说明目前登录在victim.com上的有root、john、mary、sally等用户，他们分别来自虚构的foo.com、mor.com等主机。 # finger [email protected][victim.com]Login Name TTY Idle When Wheredaemon ??? < . . . . >bin ??? < . . . . >sys ??? < . . . . >leopard ??? pts/5 <Apr 28 09:42> foo.comjohn ??? pts/12 <Apr 29 09:35> foo.comlilac ??? pts/8 <Apr 22 14:03>yark ??? pts/9 <May 6 13:55> samsa.comjack ??? pts/9 <May 7 09:54> mor.comweeper ??? pts/9 <Apr 23 09:35>sally ??? pts/6 <Apr 26 14:23> idi.comzebra ??? pts/9 <May 6 15:42> zw.commary ??? pts/9 <May 7 10:02> stu.com "finger [email protected]"的意思是：请victim.com报告它上面所有的合法用户及其登录情况。得到了这个情报，黑客就可以挨个尝试以这些用户的身份登录系统了，通常可以利用一些有一段时间没有登录过的用户，或趁某用户不在线上时以他的身份登录，这样做的目的是以免被该用户发现，因为合法用户应该知道自己是从哪儿登录过来，并且也知道自己开了几个终端，黑客登录必然影响who或w命令输出，用户如果发现这输出与自己的情况不吻合，自然就会发现自己的帐号被人盗用了。 # finger [email protected]@mor.com[mor.com][victim.com]Login Name TTY Idle When Wheredaemon ??? < . . . . >bin ??? < . . . . >sys ??? < . . . . >leopard ??? pts/5 <Apr 28 09:42> foo.comjohn ??? pts/12 <Apr 29 09:35> foo.comlilac ??? pts/8 <Apr 22 14:03>yark ??? pts/9 <May 6 13:55> samsa.comjack ??? pts/9 <May 7 09:54> mor.comweeper ??? pts/9 <Apr 23 09:35>sally ??? pts/6 <Apr 26 14:23> idi.comzebra ??? pts/9 <May 6 15:42> zw.commary ??? pts/9 <May 7 10:02> stu.com "finger [email protected]@mor.com"是一种finger的级联，请求先发到mor.com，再由mor.com转给victim.com，最后的结果是victim.com给出的。 # finger 0@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@victim.com[victim.com]unknown host: 这个命令则有可能造成某些有缺陷的finger daemon因资源耗尽而暂时瘫痪，也算一种DoS（Denial of Service：拒绝服务）攻击吧。 1.3) rusers rusers命令，"remote users"，顾名思义，即询问远程主机关于其用户的 |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
