黑客攻击的典型步骤
锁定目标
• 查找攻击目标 • 了解目标的网络结构 • 用跳板间接探测，隐藏自己
• 演示tracert 命令追踪路由 • 演示telnet 登录交换机、防火墙或路由器的
提示信息
收集系统信息:
• 对网络上的每台主机进行全面的系统分析 • 端口扫描 • 找到系统最薄弱的环节
• 演示端口扫描程序nmap • 提示：在这里进行的扫描、分析工作是手工进行的。
• 网络世界瞬息万变,黑客们各有不同,他们的攻击流程 也不会全相同,上面我们提的攻击步骤是对一般情况而 言的,是绝大部分黑客正常情况下采用的攻击步骤
• 网络上也会有很多简单的匪夷所思的漏洞存在，有些 甚至简单到你不可想象，连在座的每一位老师会打字， 会点鼠标的就能实施攻击。
• 举例简单漏洞； • 也有一些主机，某些被管理员防护的相当完善，比如Leabharlann 为了保护，微 软的主要措施有：
• 1、使用思科的Cisco Guards检测拒绝服务攻击(DoS)和自动响应。 • 2、使用Router ACLs关闭不必要的端口。 • 3、和MSDN、TechNet都使用NetScalers来
抵御DoS攻击，仍然在使用NLB。 • 4、早在Windows Server 2008和IIS7还处于Beta测试阶段的时候
就已经率先全面使用了(确切地说2007年6月 12日开始使用IIS7)，目前则已更新到RC版，此外MSDN、 TechNet正在进行迁移，而还停留在 Windows Server 2003、IIS6，何时升级尚未确定。由于Windows 本身默认启动的无关服务太多，微软也按照自己公布的安全指导 禁用了很大一批。 • 5、在发生大规模SYN攻击的时候，NLB系统会使用自动系统监视 器、网络监视器来自动捕获并分析攻击。NetScalar系统目前尚未 这么做，但正在利用空闲时间进行试验。 • 6、应用程序安全方面由ACE负责。这是一个内部小组，主要工作 是应用程序威胁建模。
名和密码。 • 文件上传漏洞，上传rootkit 工具获得系统权限； • 程序设计漏洞（程序设计考虑欠周），这种漏洞可
能不能达到入侵目的，但是很可能可以利用来改动 关键敏感数据； • 旁注域名主机漏洞；扫描这个IP绑定了多少个域名， 扫描其他域名主机头的网站程序是否有漏洞
• 这个网段的其它主机存在漏洞，拿下后再想办法渗 透主站。
• 3、5年前还没有可以满足需要的防火墙方案，所以微软把重点 放在了网络、主机和应用程序的安全性上。由于这方面的工作 非常成功，尽管现在已经有了非常先进的防火墙，微软也不打 算采用，因为微软不相信任何防火墙可以胜任其网络流量负载： 非下载流量8-9Gbps、内部网络流量约30Gbps。
• 4、在2006年7月之前，微软还使用NLB(网络负载平衡)系统处 理负载平衡，而这种方法所需要的网络微分段更使得防火墙既 昂贵又复杂。
但其实现在很少有黑客使用这种费时费力的手段，每 个黑客都会使用自己编制的自动化程序或脚本。 • 为了商业目的，现在的攻击工具性能、速度、自动化 程度和使用方便程度都超乎你的想象。
• 社会工程学攻击（弱口令用户等） • 操作系统漏洞； • FTP漏洞(serv-u) • 数据库漏洞：SQL注入，获得数据库管理权限用户
• 世界根本就不存在100%成功的黑客技术， 苍蝇不叮无缝的蛋，无论多技术多高深的 黑客，都是因为别人的程序写得不严密或 使用者保密意识不够，才有得下手。
• 不是像大家想象的那样会马上进行破坏活 动,删除数据、涂改网页等,那是毛头小伙子 们干的事情.
• 一般入侵成功后,黑客为了能长时间表的保 留和巩固他对系统的控制权,不被管理员发 现,他会做两件事:清除记录和留下后门.
防火墙设置、安全补丁、关闭端口服务等，几乎你能 想到的方方面面都滴水不漏。但是很可能因为该主机 上的网站程序代码漏洞、与该主机共享的旁注域名下 的网站漏洞、网络环境中的其他主机或网络设备存在 漏洞，攻击者会绕过这个棘手的目标，先攻占同网段 的其他主机，然后采用监听截获网络通讯、发送攻击 包、甚至ARP攻击方式插入恶意代码、DNS劫持、ip 地址冲突等各种可能的方式来实施攻击。
• 利用已有的权限添加新用户或启用guest帐 户、更改guest密码或将新用户加入 administrators组进一步提升权限，获得登 录权限；
• 终极目的是能够控制目标系统,窃取其中的 机密文件等,
但并不是每次黑客攻击都能够得逞控制目标 主机的目的的,所以有时黑客也会发动拒绝 服务攻击之类的干扰攻击,使系统不能正常 工作
• 更改某些系统设置、在系统中置入、特洛 伊木马或其他一些远程操纵程序.
• 清除日志、删除拷贝的文件手段来隐藏自己的踪迹之 后,攻击者就开始下一步的行动;窃取主机上的各种敏 感信息:软件资料、客户名单、财务报表,信用卡号等 等,也可能是什么都不动,只是把你的系统作为他存放 黑客程序或资料的仓库,也可能黑客会利用这台已经攻 陷的主机去继续他下一步的攻击,如:继续入侵内部网 络,或者利用这台主机发动d.o.s攻击使网络瘫痪.
题外：微软是如何自己使用IIS、
Windows Server 2008和防火墙的。
• 1、其实根本没有使用防火墙，而且今后 也不会安装，因为不处理HBI数据，无需记录外部登陆情况。
• 2、仅仅和每天的IIS 日志就有650GB，而且这还不包括每个下载服务器每小时6GB 的流量。如果还有防火墙日志，那每天至少得1TB之上了。