黑客入侵手法
之一套 胜战计
之一计 瞒天过海 第二计 围魏救赵 第三计 借刀杀人
第四计 以逸待劳 第五计 趁火打劫 第六计 声东击西
第二套 敌战计
第七计 无中生有 第八计 暗渡陈仓 第九计 隔岸观火
第十计 笑里藏刀 第十一计 李代桃僵 第十二计 顺手牵羊
第三套 攻战计
第十三计 打草惊蛇 第十四计 借尸还魂 第十五计 调虎离山
第十六计 欲擒故纵 第十七计 抛砖引玉 第十八计 擒贼擒王
第四套 混战计
第十九计 釜底抽薪 第二十计 混水摸鱼 第二十一计 金蝉脱壳
第二十二计 关门捉贼 第二十三计 远交近攻 第二十四计 假途伐虢
第五套 并战计
第二十五计 偷梁换柱 第二十六计 指桑骂槐 第二十七计 假痴不颠
第二十八计 上屋抽梯 第二十九计 树上开花 第三十计 反客为主
第六套 败战计
第三十一计 美人计 第三十二计 空城计 第三十三计 反间计
第三十四计 苦肉计 第三十五计 连环计 第三十六计 走为上
如何进行入侵追踪？
谈到入侵检测系统的响应模块，人们经常会提出一个有趣的问题，那就是入侵的追踪。攻击者为了避免身份的暴露，惯用的手法是首先攻破一个系统，然后使用 *** 跳转（HOP）的办法利用它作为平台来攻击另一个系统，很多情况下甚至经过多次跳转才到达真正的攻击目标。这种情况下，无论是目标系统的安全管理员，还是 *** 的安全部门，都希望能够追查到攻击者的真实来源，为入侵行为责任的判定提供保证。
给定一系列的主机H1，H2，…，Hn（n2），当攻击者顺序从Hi连接到Hi+1（i=1,2,…,n-1），我们称 H1，H2，…，Hn 为一个连接链（connection chain），追踪的任务就是给定Hn，要找出Hn-1，…，H1的部分或全部。追踪入侵者是一项艰巨的任务，由于目前Internet所采用的协议本身（IPv4）没有考虑到身份认证等问题，并且在实际工作中不同的 *** 处在不同的管理之下，要做到及时的追踪是很困难的。从技术上讲目前还没有很好的解决这个问题，但是已经有了若干研究成果。
作为一种 *** 安全机制，入侵追踪应该建立在 *** 资源的相互信任的基础上，应该具有抵抗攻击的健壮性。由于 *** 的特点，追踪必然是一个分布式的，需要多节点的有效协调的体系。现在的 *** 入侵是发生在 *** 上，入侵过程需要的时间可能非常短，这就要求追踪必须是高效的和准确的。并且，追踪系统应该能够以最小的代价提供一个快速的响应机制。
一般的说，目前的追踪 *** 可以分为两个大的种类，基于主机的和基于 *** 的，其中每一种又可以分为主动式的和被动式的，下表根据这种分类给出了一些追踪系统的例子：
DIDS是UC Davis开发的一种分布式入侵检测系统，这种系统提供了一种基于主机的追踪机制，凡是在DIDS监测下的主机都能够记录用户的活动，并且将记录发往一个中心计算节点进行分析，因此DIDS具有在自己监测 *** 下的入侵追踪能力，但是在Internet范围内大规模的部署这样的检测系统是不现实的，尤其是这套系统需要一个中心控制节点。
CIS（Caller Identification System）是另一种基于主机的追踪系统，它使用了真正的分布模型来代替DIDS的中心控制机制，每一个主机都保留了一个连接链的记录，例如当用户从n-1个节点要登录到第n个节点的时候，第n个节点要向节点n-1 询问该用户的连接链，然后向n-2，…，1节点询问连接链，只有当所有的信息都匹配的时候，用户才能登录到主机n，很显然这种追踪方式大大加重了 *** 和系统的负担。
Caller ID是一种很有趣的基于主机的追踪方式，据说这种方式是美国空军采用的，这种 *** 其实就是采用黑客手段沿着连接链对各个主机进行攻击，如果攻击者沿着H0，H1，…，Hn这样的连接链最终登录到Hn，那么H1，…，Hn-1这些主机很可能都具有某种安全漏洞，这样高级安全专家也有很大的机会可以攻击这些系统，最终回溯到H0。当然这种方式只能被军方这样拥有强大技术力量和法律授权的单位采用。
基于主机的追踪体系更大的问题是它的信任模型，它必须信任追踪系统中的每一个节点，如果其中某个节点被成功的攻击而向别的节点提供错误的信息，那么整个系统都会失效，并且可能产生戏剧性的效果。由于这种 *** 要求大规模的部署追踪系统，在Internet上是无法实现的。
基于 *** 的追踪既不要求每一个被监视节点的参与，也不基于对每个节点的信任，因此具有某些很好的特性。这种 *** 基于 *** 本身的特性，例如当数据在连接链中流动的时候，应用层的数据基本是不变的。利用这种特性thumbprint技术对应用层数据进行摘要，摘要可能采用了某种Hash算法，算法保证了这样的摘要可以唯一的区分不同的连接，并且可以根据摘要有效的进行追踪。但是当应用层数据发生微小的变动时就可能使这种 *** 失效。
为了克服这个缺点产生了其他一些 *** ，例如Time-based系统使用连接的时间特性来区分各个连接，deviation-based *** 定义两次TCP连接之间最小的延迟作为“deviation”，这些 *** 都有其优点，但是都难以在Internet上大规模部署。上面的 *** 都属于被动式的追踪 *** ，这一类 *** 有一个共同的缺点就是计算复杂，不管采用其中哪种办法都涉及到大量的计算，考虑到现在 *** 的速度，大规模的采用其中任何一种 *** 都是不可能的。
目前看来，对于Internet环境来说，主动式的追踪 *** 具有很好的特点，它并不需要对每一个包计算，然后进行比较。这方面的研究很多都要涉及到信息隐藏技术。例如针对http协议，在返回的http报文中加入用户不易察觉，并且具有特殊标记的内容，在 *** 中检测这些特殊标记，还可以利用java，cookie等技术在用户机器上留下某种标记，目前主动式的追踪技术在国外已经有了一些实用化的工具，但是基本上还处于保密研究的阶段。
如何跟踪发现黑客的举动
如果当你受到黑客攻击之后，都很想搞清楚自哪里，是什么人在攻击自己，这样我们就可以有针对性的进行黑客的防范工作。那么如何才能作到这一点呢？这就需要我们对黑客进行追踪，并把黑客的老底给“掏”出来，这其中有很多门道，实现起来也有一定的难度。本章针对普通用户的防黑需求介绍了从发现黑客入侵到追踪黑客的各种 *** ，目的是让读者读完本章之后对追踪黑客的技术有个大致的了解，读完本章之后，你会发现追踪黑客是很吸引人的事情。
如何发现黑客入侵
及时发现黑客入侵对于能否成功地进行追踪是至关重要的，但很多的黑客入侵事件并不为人们所知，因为黑客入侵有时持续的时间很短，在人们还没有发觉的时候攻击就已经结束了。而且比较高明的黑客在入侵完成后还要隐藏或删除自己入侵的痕迹，所以如果发现得晚，黑客可能把一些日志等相关的文档删掉了，给追踪带来很大的难度。
本文中首先以CA的eTrust Intrusion Detection（入侵检测系统）为例，介绍关于专业入侵检测系统的知识，然后再介绍没有入侵检测系统的时候如何来发现黑客入侵。
0条大神的评论