讨论了基于互联网的网络安全评估和渗透测试的基本原理,网络安全服务人员,安全运营人员,通过评估来识别网络中潜在的风险,并对其进行分类分级。
黑客通常采取的攻击方式如下:
- 突破目标外围系统,比如主站拿不下,就从与之相关的下级单位(小站)入手
- 使用私有的0day渗透脚本/工具直接突破关键组件,比如log4shell、反序列化注入
- 利用重定向攻击(ARP伪造/ICMP重定向/VLAN hacking)进行流量攻击
- 破解用户账号口令
实际上,网络上的黑客有2种:
- 第1种是机会主义攻击,一般是autorooting扫描器,我曾经做一个蜜罐(ailx10:HFish开源蜜罐框架系统),每天都被大量的扫描器光顾,很多弱口令都被无情的破解成功了,沦为僵尸主机。或用于键盘记录,或用于发动DoS攻击,或充当跳板机入侵其他机器~
- 第2种是目标专注的攻击,一般是间谍活动,他们目标清晰,手段毒辣,攻击复杂,比如针对西北工业大学的"饮茶"攻击,先后使用了41种的黑客工具,比如:漏洞利用类的有代号"剃须刀","孤岛","酸狐狸",后门控制类的有代号"二次约会","怒火喷射","坚忍外科医生",密码嗅探类的有代号"饮茶","敌后行动",痕迹清理类的有代号"吐司面包"等~
真正的网络安全评估服务有以下5个层次:
- 漏洞扫描,使用自动化工具(比如Nessus)能对系统存在的漏洞进行最小限度的评估
- 网络安全评估,使用自动化工具进行漏洞扫描,并对漏洞进行人工测试
- web应用程序测试,识别目标系统中存在的命令注入漏洞,脆弱的访问权限,以及web应用其他漏洞
- 充分的渗透测试,使用多重攻击方式(包括电话战争拨号、社会工程、无线测试)来突破目标网络
- 现场审计识别包括rootkit、脆弱性的用户口令、脆弱的访问权限机制等漏洞(ps我理解是代码审计...)
黑客入侵成功后,常常会做下面几件事:
- 获取主机的超级用户权限
- 下载并破解加密的用户口令hash(windows是SAM数据库,linux是/etc/shadows文件)
- 修改/删除日志并安装适合的后门/窃听器以保持对主机的访问权限
- 获取敏感隐私数据,或进行加密勒索
- 上传恶意软件并使用相应工具突破网络上的其他主机