2.4.1 yakit 应用
（ 1 ）画图说明 yakit 的能力图谱；
（2） 画图说明 MITM 交互式劫持技；
MITM 简介
│
├── MITM 定义与背景
│ └── 中间人攻击是一种网络攻击形式，攻击者在通信双方之间拦截并可能篡改数据。
│
├── MITM 主要攻击方式
│ ├── ARP 欺骗
│ ├── DNS 劫持
│ ├── SSL/TLS 中间人攻击
│ └── 无线嗅探
│
Yakit 平台使用
│
├── Yakit 平台概述
│ └── Yakit 是一个开源的网络安全工具，专注于渗透测试和漏洞挖掘。
│
├── MITM 模块功能介绍
│ ├── 流量拦截
│ ├── HTTPS 消息解密
│ ├── 请求与响应分析
│ └── 脚本插件支持
│
免配置抓包与证书安装
│
├── 免配置启动与流量拦截
│ └── 无需复杂配置即可启动并拦截网络流量。
│
├── HTTPS 消息拦截与证书信任设置
│ ├── 拦截 HTTPS 流量并提示用户安装伪造的根证书。
│ └── 用户信任伪造证书后，攻击者可解密 HTTPS 通信内容。
│
数据请求与响应处理
│
├── 数据请求出栈与解码
│ └── 对拦截到的数据请求进行解码处理。
│
├── 数据响应处理与重放
│ └── 对服务器返回的数据响应进行处理或修改后发送给客户端。
│
插件与脚本编写
│
├── 插件功能介绍
│ └── 提供扩展功能，如自定义规则、日志记录等。
│
├── 自定义脚本编写示例
│ └── 编写 Python 脚本实现特定功能，如自动检测敏感信息泄露。
│
MITM 操作流程
│
├── 创建 MITM 任务
│ └── 在 Yakit 平台上创建一个新的 MITM 任务。
│
├── 配置 MITM 参数
│ └── 根据需要调整任务参数，如目标 IP 、端口等。
│
├── 编辑 MITM 脚本
│ └── 如果需要，可以编写或编辑 Python 脚本以实现特定功能。
│
├── 启动 MITM 任务
│ └── 启动 MITM 任务开始监听和拦截指定流量。
│
MITM 应用场景与案例分析
│
├── Web 应用程序测试场景
│ └── 利用 MITM 技术对 Web 应用进行安全测试。
│
├── 网络弱点检测与漏洞挖掘
│ └── 通过分析拦截到的流量来发现网络中的弱点和潜在漏洞。
│
安全建议与最佳实践
│
├── 防范措施与建议
│ ├── 使用强密码和多因素认证。
│ ├── 定期更新软件和系统补丁。
│ ├── 安装防火墙和入侵检测系统。
│ └── 教育员工识别钓鱼邮件和社会工程学攻击。
│
└── 安全测试注意事项
└── 在进行安全测试时，确保获得授权，避免非法活动。
（ 3 ）综述 yakit 平台的优势。
Yakit 平台具有多方面显著优势：
一、功能集成优势
它整合了多种网络安全工具的核心功能于一体。例如，具备强大的漏洞扫描能力，能够对常见的网络漏洞如 SQL 注入、 XSS 等进行精准探测，无需在多个工具之间切换，极大地提高了漏洞检测的效率。同时，在信息收集方面表现出色，可以全面地收集目标网络或系统的各类信息，包括域名信息、 IP 地址范围、端口开放情况等，为后续的安全分析提供了丰富的数据基础。
二、交互性优势
提供了友好且高效的交互界面。用户可以通过直观的图形化操作来配置各种扫描任务和参数，即使是网络安全初学者也能快速上手。而且在扫描过程中，能够实时反馈扫描进度和结果，方便用户及时调整策略。对于复杂的攻击场景，还支持交互式的操作，比如在进行 MITM （中间人攻击）交互式劫持时，用户可以灵活地设置劫持规则和数据处理方式，实时观察劫持效果并进行调整，使得安全测试和攻击模拟更加精准和可控。
三、性能优势
在性能上表现卓越。其漏洞扫描引擎经过优化，能够在较短时间内处理大量的目标数据，快速完成大规模网络环境的扫描任务，减少了安全检测的时间成本。并且在资源利用方面较为合理，不会过度占用系统资源，确保在执行任务时不会对其他正常业务系统造成严重的性能影响，可在企业级复杂网络架构中稳定运行，保障了整体网络安全检测和防护工作的高效开展。
四、扩展性优势
具有良好的扩展性。平台支持各类插件的开发和集成，用户可以根据自己的特定需求开发定制化的插件，以实现对特殊漏洞或特定业务场景的检测和分析。同时，它能够与其他主流的安全工具和平台进行集成，形成一个更为庞大和完善的网络安全生态系统，进一步提升其在复杂网络安全环境下的适应性和应用价值，满足不同用户群体和多样化安全任务的要求。
2.4.2 勒索病毒的预防和处理
（ 1 ）以 wannacry 为例，说明勒索病毒的基本原理和工作过程；
勒索病毒的基本原理
勒索病毒是一种恶意软件，其主要目的是通过加密受害者计算机中的文件，使其无法正常访问，从而向受害者勒索赎金以获取解密密钥。它通常利用操作系统或软件的漏洞，在用户不知情的情况下入侵计算机系统，然后使用加密算法对文件进行加密，使文件内容变得不可读。以下是 WannaCry 勒索病毒的基本原理：
利用漏洞入侵： WannaCry 主要利用了微软 Windows 操作系统中的 "永恒之蓝" 漏洞，该漏洞存在于 SMBv1 服务中，影响了多个 Windows 系统版本 。黑客通过网络扫描开放 445 端口的 Windows 计算机，然后利用该漏洞向目标计算机发送特制的数据包，其中包含恶意代码，当目标计算机收到这些数据包时，由于漏洞的存在，系统无法正确处理，导致恶意代码在系统中执行，从而使黑客获得了对目标计算机的控制权 .
文件加密：一旦入侵成功， WannaCry 会在受害者的计算机上安装自身，并开始对计算机上的文件进行加密，它会加密各种类型的文件，包括文档、图片、视频、音频等用户重要数据，加密过程使用了强大的加密算法，使得没有解密密钥的情况下几乎不可能解密文件，加密后的文件后缀名会被统一修改为 " .wncry " 等特定的扩展名 .
索要赎金：在完成文件加密后， WannaCry 会在受害者的计算机上显示勒索信息，要求受害者支付一定数额的赎金，通常以比特币的形式支付，以获取解密密钥，并且会设置支付赎金的时间限制，如果受害者未能在规定时间内支付赎金，可能会导致解密密钥被删除，从而使文件永远无法恢复 .
勒索病毒的工作过程
初始感染：
网络扫描： WannaCry 会通过网络扫描开放 445 端口的 Windows 计算机，寻找潜在的受害者 .
漏洞攻击：发现目标后，利用 "永恒之蓝" 漏洞向目标计算机发送恶意数据包，触发漏洞并执行恶意代码，从而实现初始感染 .
恶意软件安装与传播：
安装自身：一旦恶意代码在目标计算机上执行， WannaCry 会将自身安装到系统中，并设置为开机自启，以确保在计算机重启后仍能继续运行 .
横向传播：具有蠕虫特性的 WannaCry 会自动扫描局域网内的其他计算机，寻找同样存在 "永恒之蓝" 漏洞的机器，并尝试感染它们，实现自我复制和快速传播，进一步扩大感染范围 .
文件加密与勒索：
加密文件： WannaCry 会遍历计算机的硬盘驱动器，找到各种类型的文件，并使用加密算法对其进行加密，在加密过程中，会生成一对公钥和私钥，公钥用于加密文件，而私钥则由黑客持有，只有通过私钥才能解密文件 .
生成勒索信息：完成文件加密后， WannaCry 会在桌面上生成一个名为 " !please read me!.txt " 的勒索提示文件，其中包含了支付赎金的要求、比特币钱包地址以及倒计时等信息，告知受害者其文件已被加密，需要在规定时间内支付赎金才能解密文件 .
（3） 收集信息，综述目前对被勒索病毒加密的文件和系统的正确处理方法；
以下是目前对被勒索病毒加密的文件和系统的正确处理方法：
隔离与初步处理
隔离感染设备：一旦发现系统或文件被勒索病毒感染，应立即断网或断电，拔掉网线、禁用网卡，关闭无线网络等，防止病毒通过网络继续传播感染其他设备 。还可对访问网络资源的权限进行严格认证和控制，如在网络侧使用安全设备进一步隔离，避免将远程桌面服务暴露在公网上，关闭不必要的端口，修改被感染服务器及同一局域网下其他服务器的登录密码等 .
备份重要数据：如果数据未被完全加密破坏，在不影响数据恢复的前提下，尽快将重要数据备份到外部硬盘、云存储等可靠的存储设备中，但不要存储在已感染的计算机上，后续恢复过程中备份数据可能会发挥重要作用 .
病毒清除与文件恢复
使用安全软件查杀：选择知名品牌且病毒库为最新版本的杀毒软件，对电脑进行全面扫描和清除。杀毒软件若能识别并清除勒索病毒，将有助于恢复文件的正常访问权限。若杀毒软件未能完全清除病毒，有经验的用户可通过任务管理器检查并结束可疑进程，手动删除相关病毒文件，但需注意避免误删系统文件 .
尝试解密工具：部分勒索病毒存在已知的解密工具，可在互联网上查找，但要注意选择可靠来源，避免下载恶意软件。不过，解密工具并非对所有勒索病毒都有效，也不能保证 100% 恢复数据 .
寻求专业数据恢复服务：如果没有备份数据，或者勒索病毒已经感染了备份，可考虑寻求专业数据恢复公司的帮助。他们通常有更高级的工具和技术来尝试从加密的数据中恢复内容，但服务费用可能较高，且不能保证 100% 成功 .
系统恢复与重建
使用系统还原点或重装系统：若上述方法无法解决问题，可考虑使用系统恢复点将系统恢复到未感染病毒之前的状态，或重新安装操作系统。进行这些操作前，务必确保重要数据已备份，防止数据丢失 .
预防措施加强
更新系统和软件：及时安装操作系统和应用程序的更新和补丁，修复已知漏洞，可有效防止勒索病毒利用漏洞入侵 .
谨慎操作：不随意打开来历不明的电子邮件附件、点击可疑链接，避免从非官方或不可信的来源下载软件，减少感染风险 .
使用强密码和多因素认证：为所有账户设置复杂且难以猜测的密码，并启用多因素认证，为账户安全提供额外保护 .
提高安全意识：加强对网络安全知识的学习，了解勒索病毒的常见传播途径和防范方法，提高自身的安全意识和防范能力 .
（4） 收集信息和资料，综述目前勒索病毒的分类方法和预防机制。
勒索病毒是一种极具传播性、破坏性的恶意软件，它通过加密用户数据来阻止用户访问其电脑系统或个人文件，并要求支付赎金以换取解密密钥。以下是对勒索病毒的分类方法和预防机制的综述：
一、勒索病毒的分类方法
勒索病毒并非指某一个特定的病毒，而是对一类病毒的统称。根据其行为和攻击方式的不同，勒索病毒可以分为以下几类：
文件加密类勒索病毒：
特点：采用 RSA 、 AES 等多种加密算法对用户文件进行加密，并以此索要赎金。
影响：一旦感染，用户的文件将被加密，且极难恢复。
数据窃取类勒索病毒：
特点：在加密用户数据的同时，通过甄别和窃取用户重要数据，以公开这些数据为要挟，胁迫用户支付勒索赎金。
影响：与文件加密类勒索病毒类似，数据恢复同样困难，且用户面临数据泄露的风险。
系统加密类勒索病毒：
特点：通过各类加密算法对系统磁盘主引导记录、卷引导记录等进行加密，阻止用户访问磁盘，影响设备的正常启动和使用。
影响：一旦感染，用户的整个系统或磁盘数据可能无法访问，且恢复困难。
屏幕锁定类勒索病毒：
特点：对用户设备屏幕进行锁定，通常以全屏形式呈现涵盖勒索信息的图像，导致用户无法登录和使用设备。
影响：虽然未对用户数据进行加密，但用户仍然无法正常使用设备，且需要支付赎金才能解锁。不过，与前三类相比，这类勒索病毒的数据恢复可能性较大。
二、勒索病毒的预防机制
为了有效防范勒索病毒的攻击，可以采取以下预防机制：
定期备份数据：
重要性：定期将重要数据备份到离线存储设备或云服务中，确保在数据被加密或损坏的情况下能迅速恢复。
实施建议：根据数据的重要性和敏感性，制定合适的备份策略和周期。
主机加固：
重要性：通过部署主机加固系统，如深信达 MCK 主机加固系统，建立内核级纵深立体防护体系，保障服务器的安全稳定运行。
实施建议：选择经过验证的主机加固系统，并定期进行系统更新和配置优化。
操作系统和软件更新：
重要性：定期更新操作系统和所有软件，以修补安全漏洞，防止病毒利用已知漏洞进行攻击。
实施建议：开启自动更新功能，并定期检查更新情况。
强化邮件安全：
重要性：对进入邮箱的邮件进行严格筛选，避免打开来源不明的邮件附件或链接。
实施建议：使用邮件安全软件，对邮件进行实时检测和过滤。
网络隔离和访问控制：
重要性：通过网络隔离和访问控制，限制勒索病毒在内部网络的传播和扩散。
实施建议：采用虚拟局域网技术隔离不同部门资产，并设置严格的访问权限。
使用网络安全工具：
重要性：部署入侵检测系统（ IDS ）、入侵防御系统（ IPS ）和防火墙等网络安全工具，增强网络防护能力。
实施建议：选择经过验证的网络安全工具，并定期进行配置和更新。
员工培训和安全意识提升：
重要性：定期对员工进行网络安全培训，提高他们对钓鱼攻击和恶意软件的识别能力。
实施建议：组织定期的网络安全培训和演练活动，提高员工的网络安全意识和技能。
供应链管理：
重要性：加强供应链管理，确保采购和使用的产品和服务符合国家有关规定，并明确供应链各方的安全责任和义务。
实施建议：与选定的供应商签订协议，并定期对供应商提供的服务进行审视、评审和审核。
部署专业网络安全产品：
重要性：在终端侧和网络侧部署专业的网络安全产品，如杀毒软件、终端安全管理系统、防火墙等。
实施建议：选择经过验证的网络安全产品，并定期进行更新和配置优化。同时，设立应用软件白名单，确保只有预先批准的应用程序才能运行。
加强网络安全隐患排查和修补：
重要性：定期对组织资产进行漏洞排查和安全隐患排查，及时发现并修补漏洞。
实施建议：采用漏洞扫描等设备和产品对组织资产进行定期扫描和检测，并建立完整、持续的漏洞发现和管理手段。
综上所述，勒索病毒的分类方法和预防机制是一个复杂而系统的工程。通过采取上述预防机制，可以有效降低勒索病毒的感染风险和数据损失风险。
总结与反思
总结与反思：勒索病毒的应对策略
总结
勒索病毒作为一种极具破坏性的恶意软件，其分类方法和预防机制是我们必须深入了解和掌握的重要知识。通过对勒索病毒的分类，我们了解到其主要包括文件加密类、数据窃取类、系统加密类和屏幕锁定类等多种类型，每种类型都有其独特的攻击方式和影响。
在预防机制方面，我们强调了定期备份数据、主机加固、操作系统和软件更新、强化邮件安全、网络隔离和访问控制、使用网络安全工具、员工培训和安全意识提升、供应链管理、部署专业网络安全产品以及加强网络安全隐患排查和修补等多方面的重要性。这些预防机制共同构成了一个全面的防护体系，旨在降低勒索病毒的感染风险和数据损失风险。
反思
尽管我们已经采取了多种预防机制来应对勒索病毒的威胁，但仍然存在一些挑战和不足之处。以下是对当前应对策略的几点反思：
技术更新与适应性：勒索病毒的技术手段不断更新和进化，我们的预防机制也需要保持与时俱进。例如，随着勒索病毒越来越多地利用零日漏洞进行攻击，我们需要加强漏洞管理和修复工作，确保系统的安全性。
员工安全意识与培训：员工是组织中最薄弱的安全环节之一。尽管我们已经进行了定期的网络安全培训，但员工的安全意识仍然需要进一步提高。例如，一些员工可能会因为好奇或疏忽而点击来自不明来源的链接或下载未知附件，从而给勒索病毒提供可乘之机。
供应链风险管理：勒索病毒可能会通过供应链进行传播和扩散。因此，我们需要加强对供应链的安全管理，确保采购和使用的产品和服务都经过严格的安全审查和测试。
数据恢复与应急响应：尽管我们已经采取了多种预防机制来降低数据损失的风险，但在某些情况下，数据仍然可能会被勒索病毒加密或损坏。因此，我们需要建立完善的数据恢复和应急响应机制，以确保在发生安全事件时能够迅速恢复数据并恢复业务运行。
国际合作与信息共享：勒索病毒是全球性的威胁，需要各国共同应对。我们应该加强国际合作和信息共享，共同打击勒索病毒的犯罪活动，保护用户的合法权益。
综上所述，勒索病毒的应对策略需要不断更新和完善，以适应不断变化的威胁环境。我们需要保持警惕和敏锐，不断加强安全防护体系的建设和维护工作，确保组织和个人信息安全不受威胁。
参考文献
在撰写关于勒索病毒的分类方法和预防机制的综述时，以下是一些可供参考的文献：
《勒索病毒的原理和防范机制研究》
来源：微信公众平台（腾讯网）
主要内容：详细阐述了勒索病毒的工作原理，包括其如何进入本地、连接黑客服务器、加密文件等步骤。同时，也提出了多种防范机制，如定期备份数据、主机加固、操作系统和软件更新等。
《基于Hilbert曲线-残差网络的勒索病毒分类方法》
来源：中国知网
主要内容：介绍了一种基于Hilbert曲线和残差网络的勒索病毒分类方法。该方法通过可视化勒索病毒文件，并利用残差神经网络进行学习，实现了对勒索病毒的高精度分类。实验结果表明，该方法的准确率达到了96.92%。
《基于勒索病毒预防的测绘地理信息网络安全防护研究》
来源：未明确指出，但可能来源于相关学术期刊或会议论文
主要内容：探讨了勒索病毒对测绘地理信息网络安全的影响，并提出了相应的安全防护措施。这些措施包括加强网络安全管理、定期备份数据、使用强密码等。
《网络安全：宿小安带您了解"勒索病毒"》
来源：微信公众平台（腾讯网）
主要内容：以通俗易懂的方式介绍了勒索病毒的定义、特征、分类以及传播方式。同时，也提供了一些防范勒索病毒的建议和措施。
《防勒索病毒的十种方案》
来源：百家号
主要内容：列举了十种有效的防勒索病毒方案，包括定期备份数据、主机加固、操作系统和软件更新、强化邮件安全、网络隔离和访问控制等。这些方案为组织和个人提供了全面的防护建议。
请注意，以上文献仅为示例，实际撰写综述时可能还需要参考更多相关文献以获取更全面和准确的信息。同时，由于勒索病毒是一个不断发展的领域，新的研究成果和防范机制也在不断涌现，因此在撰写综述时需要关注最新的研究动态和成果。