黑客避开检测的手段

《黑客避开检测的手段》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、黑客避开检测的手段～教育资源库　　黑客的聪明并不只是在于他们知道如何去入侵服务器，还在于他们知道如何去伪装自己的攻击。恶意的攻击者会使用多种逃避的手段来让自己不会被检测到，所以作为系统管理员，也应当了解这些手段以应付可能发生的攻击。　　这篇文章的主要目的不是揭示黑客新的攻击手法，而是对那些黑客所用到的逃避检测的手法以及他们可能留下的证据做描述。这些手段的欺骗性很大，所以想检测到它们也更加的困难。　　网络服务器　　我们的实验环境使用两种最常用的网络服务器，Apache和微软的InterInform

2、ationServer(IIS)。我们在RedHatLinux上运行Apache1.3.9,在sadc目录是否存在，攻击者可能键入以下内容：　　[rootlocalhost/root]#nc-n10.0.2.5580　　GET/msadcHTTP/1.0　　这就会产生我们以上所见的日志文件。攻击者可以将请求进行十六进制的ASCII字符编码。在以上的例子中，字符串msadc在十六进制编码以后就会变为6D73616463。你可以使用sadc用十六进制编码以后，就变成了：　　[rootlocalhos

3、t]#nc-n10.0.2.5580　　GET/%6D%73%61%64%63HTTP/1.0　　IIS的日志文件显示：　　07:10:3910.0.2.31GET/msadc/302　　应当注意的是，虽然采用了十六进制编码的手段，但是所产生的日志和没有使用十六进制编码的URL产生的是一样的。所以在这个例子里，编码并没有帮助攻击者逃避检测。但是，如果我们看看看Apache的日志情况，那么就是另外一个情形了。以下列出了攻击者使用来搜索某个CGI脚本的命令，后面跟着的是使用十六进制编码以后的同样命令

4、:　　[rootlocalhost]#nc-n10.0.0.280　　HEAD/cgi-bin/test-cgiHTTP/1.0　　[rootlocalhost]#nc-n10.0.0.280　　HEAD/%63%67%69-bin/test-%63%67%69HTTP/1.0　　现在我们来查看一下access_log文件：　　10.10.10.10--[18/Oct/2000:08:22:47-0700]HEAD/cgi-bin/test-cgiHTTP/1.02000　　10.10.10.1

5、0--[18/Oct/2000:08:23:47-0700]HEAD/%63%67%69-bin/test-%63%67%69HTTP/1.02000　　首先应注意到的是在这两个例子中都是200代码说明命令完成成功。但是在第二中情况中，日志中出现的是十六进制的值而不是明文的。如果我们是依赖于形式来对这种攻击进行检测的话，那么我们是不可能检测到所发生的攻击的。许多的入侵检测系统使用的格式匹配技术智能化都不高，并且有些产品不会将十六进制的URL转换过后进行匹配。但是不论所使用的入侵检测软件是否能够对

6、十六进制的代码进行转换，所有的网络管理员都应当对这种伎俩有所了解。　　代理服务器　　因为对攻击者而言完全隐藏攻击行为是很难做到的，所以掩盖攻击的真实也就成为相当重要的课题了。如果黑客可以隐藏他的源IP地址的话，那么他就可以在不用担心被抓住的情况下进行攻击。而黑客用来隐藏他们的源IP地址的一种手段就是使用代理服务器。　　代理服务器是被合法的用来从一个单一的访问点转发多种协议的。一般来说，内部用户必须通过代理服务器才能访问Inter，因此管理员就可以在代理服务器指定外部访问以及内部访问的限制策略。用

7、户首先是和代理服务器建立连接，然后代理服务器就将连接请求转发到真正的目的地址。目的地址会记录下代理服务器的IP地址以作为请求的源地址，而不是最初发出请求的系统的IP地址。　　但是不幸的是代理服务器在Inter上的放置太随意了。(可以查看Proxys-4-All来获得这些错误配置机器的列表。)这些服务器经常会存在配置错误使得Inter用户可以连接到这些代理服务器上。一旦某个Inter用户通过代理服务器连接到某个服务器上，该服务器就会将代理服务器的IP地址作为发出请求的源地址记录在日志中。而在被攻击

8、服务器的日志中对攻击者的记录其IP地址是属于一个没有任何攻击行为的无辜主机的，而不是攻击者的真正地址。我们来看以下的例子。　　下面的例子显示了黑客的攻击和攻击在日志中产生的相关信息。　　攻击者　　[root10.1.1.1/]#nc-v10.8.8.880　　HEAD/HTTP/1.0　　日志文件　　10.1.1.1--[18/Oct/2000:03:31:58-0700]HEAD/HTTP/1.02000　　在下面这种情况中，我们看到攻击者达到了同样的目的，但是这次他使用了代理服务器。　　攻击