网络安全攻防：黑客攻击简要流程

3. 查点 (Enumeration)

目的：在已确认的目标上寻找合法用户账号和共享资源，此操作侵入性更强，通常发生在获得初步访问权限后。

相关技术：

• 列出用户帐号：尝试获取系统用户列表。
• 列出主机共享文件：检查 NFS、SMB 等共享配置。
• 识别应用程序：确定运行的软件版本。
• SNMP 查询：简单网络管理协议信息提取。

常用工具：

• 空会话：在没有信任的情况下与服务器建立会话，尝试获取信息。
• DumpSec：提取 Windows 安全数据库信息。
• PSTools：远程管理工具包，用于执行命令和查看进程。
• showmount：查询 NFS 服务器共享信息。
• rpcinfo：显示 portmap 注册程序信息，检查 RPC 服务状态。
• Cisco Torch：网络设备信息收集工具。

防御建议：禁用不必要的共享服务，配置强密码策略，限制 SNMP 访问权限，定期审计账户权限。

4. 访问 (Access)

目的：收集足够证据后，尝试进入目标系统。常见手段包括发送木马、PDF 漏洞或利用网页链接钓鱼。

相关技术：

• 密码嗅探：截获网络传输中的明文密码。
• 蛮力攻击：尝试所有可能的密码组合。
• 渗透工具：利用已知漏洞获取初始访问权。

常用工具：

• airsnarf：WAP 安装工具，从公共无线流量中获取密码。
• dnsiff：高级口令嗅探器。
• Cain and Abel：远程破解密码工具，功能强大，支持多种协议。
• phoss：口令嗅探工具。
• hydra：暴力破解工具，支持多种协议的高性能破解。
• medusa：并行暴力破解工具。
• SIPCrack：SIP 协议密码破解工具。
• Metasploit Framework：渗透测试框架，提供大量 exploit 模块。
• Canvas：自动化渗透测试平台。

防御建议：启用多因素认证 (MFA)，使用复杂密码，部署入侵检测系统 (IDS)，限制登录尝试次数。

5. 提升特权 (Privilege Escalation)

目的：获取系统 root 权限或 administrator 权限，以获得最高控制权。

相关技术：

• 密码破解：破解管理员密码。
• 利用漏洞提权：利用内核或应用漏洞获取更高权限。

常用工具：

• John The Ripper：快速密码破解工具，已知密文破解明文。
• L0phtcrack：网管必备工具，用于检测 UNIX 或者 Windows 是否使用了不安全的密码。
• Metasploit Framework：可以进行，用于验证系统安全性，包含提权模块。

防御建议：及时修补内核漏洞，限制 sudo 权限，监控异常进程启动，实施最小权限原则。

6. 窃取信息 (Data Exfiltration)

目的：从环境中提取数据和文件，确定再次入侵系统的机制和途径。

相关技术：

• 评估可信系统：寻找内部信任关系。
• 搜索明文密码：在配置文件或内存中寻找凭证。

常用工具：

• rhosts：利用 rhosts 信任关系。
• LSA Secrets：读取本地安全认证信息。
• 用户数据：提取用户配置文件。
• 命令行：利用系统命令提取信息。

防御建议：加密敏感数据，实施最小权限原则，监控数据外传行为，定期清理临时文件。

7. 掩踪灭迹 (Covering Tracks)

目的：控制目标系统后，避免被管理员发现，掩盖来访痕迹。

相关技术：

• 清除日志记录：删除系统日志、应用日志。
• 掩藏工具：隐藏恶意进程或文件。

常用工具：

• logclean-ng：日志清理工具。
• wtmpclean：清除 wtmp 登录记录。
• rootkits：内核级隐藏工具。
• 文件流：利用 NTFS 备用数据流隐藏文件。

防御建议：集中式日志审计，部署 EDR 终端检测响应系统，定期备份日志，监控文件系统变更。

8. 创建后门 (Persistence)

目的：留下后门和陷阱，以便下次继续入侵。

相关技术：

• 创建流氓用户帐号：添加隐藏的管理员账户。
• 安排批处理作业：设置定时任务。
• 感染启动文件：修改启动项或引导扇区。
• 植入远程控制服务：安装远控木马。

常用工具：

• members of wheel：修改 Unix 用户组权限。
• Administrators cron：Windows 计划任务。
• 注册表：修改 Windows 注册表启动项。
• 启动目录：放置快捷方式。
• netcat：网络调试工具，常用作反向 Shell。
• psexec：远程执行工具。
• VNC：远程桌面控制。
• 键击记录器：记录用户输入。
• login：登录脚本修改。
• fpnwclnt：特定客户端工具。
• ptched SSH ersions：修改 SSH 版本或配置。

防御建议：严格监控系统账户变更，审计计划任务，定期检查启动项，使用白名单机制。

9. 拒绝服务 (Denial of Service)

场景：无法获取访问权限但意图破坏时，使用 DDoS 使目标系统瘫痪。

相关技术：

• SYN 泛洪：耗尽服务器连接资源。
• ICMP 技术：Ping of Death 等。
• Overlapping fragment：重叠分片攻击。
• Out of bounds TCP options：越界 TCP 选项。

常用工具：

• synk4：SYN 洪水攻击工具。
• ping of death：发送畸形 ICMP 包。
• smurf：Smurf 反射攻击。
• ICMP nuke：ICMP 攻击工具。
• bonk：UDP 洪水攻击。
• newtear：Teardrop 攻击变种。
• supernuke.exe：综合 DoS 工具。
• trincoo：分布式攻击工具。
• TNF：Trinoo 网络工具。
• stacheldraht：僵尸网络控制工具。

防御建议：配置流量清洗，限制连接速率，使用 CDN 缓解攻击，部署抗 DDoS 设备。

总结

理解黑客攻击流程对于构建有效的防御体系至关重要。通过在每个阶段实施相应的防护措施，可以显著降低系统被入侵的风险。网络安全是一个动态博弈的过程，需要持续更新知识和技术。防御者应遵循'纵深防御'原则，结合网络层、主机层和应用层的防护策略，确保业务连续性。同时，进行定期的安全演练和渗透测试，有助于发现潜在隐患并及时修复。