任务三 黑客攻击
知识点
1.任务描述：什么是黑客攻击
黑客攻击是指入侵者通过技术手段获取计算机系统和网络的控制权，从而实现非法入侵、窃取敏感信息、破坏系统等操作。
手段与目的的关系（教材原句）：黑客攻击的手段多种多样，但其核心思想都是通过技术手段绕过或突破系统的安全措施，从而达到入侵和攻击的目的。
本任务两块内容：防范黑客入侵的方法 + 遭到黑客入侵后应采取的措施手段。
2.黑客与入侵者（要区分，但实际不分）
前提：从严格意义上讲，黑客和入侵者是有区别的。
（1）黑客：行为没有恶意
词源："黑客"是英文 "hacker" 的译音；hacker（计算机窃贼）曾被人们用来描述计算机技术狂的代名词。他们以计算机为生，是热衷于计算机程序的设计者，是对于任何计算机操作系统的奥秘都有强烈兴趣的人。
黑客的五个特点：
- 大都是程序员，具有操作系统和编程语言方面的高级知识，知道系统中的漏洞及其原因所在；
- 不断学习最新的知识，并公开他们的发现，与其他人分享；
- 从来没有、也永远不会存心破坏数据；
- 遵从的信念是：计算机是大众的工具、信息属于每个人、源代码应当共享、编码是艺术、计算机是有生命的；
- （由上述信念推出）他们的行为没有恶意。
五个信念速记：工具大众、信息共享、源码共享、编码是艺术、机器有生命。
（2）入侵者：行为具有恶意
定义：入侵者是指那些强行闯入远程系统或者以某种恶意的目的干扰远程系统完整性的人。
他们会做什么：利用获得的非法访问权，破坏重要数据，拒绝合法用户服务请求，或为了达到自己的目的而制造一些麻烦。
技术水平：可能技术水平很高，也可能是个初学者——技术水平不是判定的标准，动机才是。
（3）为什么实际中不再区分
教材原句：在网络世界里，要想区分谁是真正意义上的黑客、谁是真正意义上的入侵者并不容易，因为有些人可能既是黑客，也是入侵者；而且在大多数人的眼里，黑客就是入侵者。所以，在大多数情况下不再区分黑客、入侵者，将他们视为同一类。
判断题的陷阱：若题目问"黑客与入侵者是否有区别"，标准答案是——严格意义上有区别（黑客无恶意、入侵者有恶意），但通常视为同一类。
3.黑客攻击的四个目的
（1）窃取信息（最直接的目的）
黑客进行攻击，最直接的目的就是窃取信息；他们窃取信息与数据之后，进行各种犯罪活动。
注意：窃取信息并不一定要把信息带走，还包括两种"变体"：
| 变体 | 做法 | 后果 |
|---|---|---|
| 篡改信息 | 对重要文件进行修改、更换和删除 | 原来信息的性质发生变化，以至于不真实或错误的信息给用户带来难以估量的损失 |
| 暴露信息 | 将窃取的重要信息发往公开站点 | 公开站点访问用户多，其他用户完全有可能得到这些信息，从而达到扩散信息的目的；通常这些信息是隐私的 |
（2）获取口令（属于窃取信息的一种）
为什么盯着口令：黑客攻击的目标是系统中的重要数据，因此黑客通过登录目标主机，或者使用网络监听程序进行攻击。监听到的信息可能含有非常重要的信息，比如用户口令文件。
拿到口令能干什么：顺利地登录到其他主机，或者去访问一些原本拒绝访问的资源。
（3）控制中间站点
两种动机：
- 消耗型：登录目标主机后不是为了窃取信息，而是运行自己的程序——这些程序可能是无害的，仅仅消耗了一些系统的处理器时间；
- 跳板型（重点）：为了攻击一台主机，往往需要一个中间站点，以免暴露自己的真实地址——这样即使被发现了，也只能找到中间站点的地址，"与己无关"。
- 借路型：如果有一个站点能够访问另一个严格受控的站点或网络，黑客往往把这个站点当作中间站点，先攻击该站点。
一句话：中间站点 = 遮住自己 + 借别人的权限进门。
（4）获得超级用户权限
黑客在攻击某一个系统时，都企图得到超级用户权限，这样可以：
- 完全隐藏自己的行踪；
- 在系统中埋伏后门，为以后出入提供方便；
- 修改资源配置，为所欲为。
四个目的记忆链：偷信息 → 要口令 → 找跳板 → 拿最高权限（越往后，"驻留"能力越强）。
4.攻击过程的三个阶段
阶段一：（1）确定目标
黑客进行攻击时，首先要确定攻击的目标。例如：
- 某个具有特殊意义的站点；
- 某个 ISP；
- 具有敌对观点的宣传站点等。
怎么找人：黑客也可利用 DNS（域名系统）表，通过 DNS 可以知道机器名、Internet 地址、机器类型，甚至还可知道机器的隶属和单位。
偶然来源：攻击目标还可能是偶然看到的一个调制解调器的号码，或贴在机器旁边的使用者的名字。
这一阶段的实质：不是技术活，是情报活——目标往往因为"有价值""有矛盾""有疏漏"被选中。
阶段二：（2）搜集与攻击目标相关的信息，并找出系统的安全漏洞
目的：信息收集的目的是进入所要攻击的、目标网络的数据库。
2.1 利用公开协议或工具收集信息（六种，必背）
| 工具／协议 | 能获取什么 |
|---|---|
| SNMP 协议 | 用来查阅网络系统路由器的路由表，从而了解目标主机所在网络的拓扑结构及其内部细节 |
| TraceRoute 程序 | 能够获得到达目标主机所要经过的网络个数和路由器个数 |
| Whois 协议 | 能提供所有与目标主机有关的 DNS 域和相关的管理参数 |
| DNS 服务器 | 提供系统中可访问的主机的 IP 地址表和它们所对应的主机名 |
| Finger 协议 | 获取指定主机上的所有用户的详细信息 |
| Ping 实用程序 | 确定主机的位置 |
记忆分组：看路由的（SNMP、TraceRoute）／查域名的（Whois、DNS）／查人的（Finger）／探活着的（Ping）。
一个要点：这六种全是合法的公开工具——所以黑客的第一步不需要任何"黑客软件"，用系统自带命令就能完成侦察。这也是"扫描/探测难以被发现"的原因。
2.2 自动扫描驻留主机的两种方式
（a）自编程序
- 背景：对于某些产品或系统，已经发现了一些安全漏洞，该产品或系统的厂商或组织会提供"补丁"程序给予弥补；
- 问题：但用户并不一定及时运行这些"补丁"程序；
- 黑客做法：黑客发现这些"补丁"程序的接口后会自己编写程序，通过该接口进入目标系统，这时该目标系统就完全暴露在黑客面前了。
关键理解："补丁"本身就是一张地图——它告诉别人漏洞在哪。不打补丁 = 门一直开着。
（b）利用公开的工具
教材举了两个：Internet 电子安全扫描程序（Internet Security Scanner，ISS）、审计网络用的安全分析工具（Security Analysis Tool for Auditing Network，SATAN）。
能力：这样的工具可以对整个网络或子网进行扫描，寻找安全漏洞。
两面性（教材重点表述）：这些工具有了两面性，关键是使用者的动机——
| 使用者 | 用途 | 结果 |
|---|---|---|
| 系统管理员 | 发现网络系统内部隐藏的安全漏洞，确定哪些主机需要用"补丁"程序去堵塞漏洞 | 加固系统 |
| 黑客 | 收集目标系统的信息，获取攻击目标系统的非法访问权 | 攻破系统 |
一句话：同一把螺丝刀，能修锁也能撬锁。
阶段三：（3）实施攻击
黑客使用上述方法，收集或探测到一些"有用"信息之后，就可能会对目标系统实施攻击。一旦获得对目标系统的访问权，又可能有下述多种选择：
- 毁掉痕迹 + 建新后门：试图毁掉攻击入侵的痕迹，并在受到损害的系统中建立另外的、新的安全漏洞或后门，以便在先前的攻击点被发现之后，继续访问这个系统；
- 装探测软件：在目标系统中安装探测软件，包括特洛伊木马程序，用来窥探所在系统的活动，收集黑客感兴趣的一切信息，如 Telnet 和 FTP 等服务的账号名和口令等；
- 横向扩散：进一步发现受损系统在网络中的信任等级，这样就可以通过该系统信任级展开对整个系统的攻击；
- 彻底破坏：如果在这台受损系统上获得了特许访问权，就可以读取邮件、搜索和盗窃私人文件，盗取、毁坏重要数据，从而破坏整个系统的信息，造成不堪设想的后果。
教材的收尾判断：攻击一个系统得手后，黑客往往不会就此罢手，而会在系统中寻找相关主机的可用信息，继续攻击其他系统。
三阶段记忆：定目标 → 摸底找洞 → 破门而入（并留下后路）。
5.黑客攻击的六种手段
前提：实际上，黑客只需要一台能连接因特网的计算机就可以远距离作案；除此以外，黑客还常常使用其他作案工具。
（1）使用扫描软件
一般情况下，大部分的网络入侵是从扫描开始的。黑客可以利用扫描工具找出目标主机上各种各样的漏洞。
但要澄清（教材原句）：扫描软件并不是一个直接进行攻击网络漏洞的程序，它仅能帮助发现目标主机存在的某些弱点，而这些弱点可能是攻击目标的关键所在。
这句话考点：扫描 ≠ 攻击，扫描是侦察。
（2）利用一些别人使用过的、并在安全领域广为人知的技术和工具
为什么这招还管用：尽管许多的系统漏洞已公布于众，但这些漏洞在许多系统中仍然存在，并没有得到系统管理员的高度重视，这就给了黑客可乘之机。
教材例子：在一个 UNIX 系统中，黑客利用已知的漏洞进行攻击，之后又会在系统中设置大大小小的漏洞，为以后的再度入侵大开方便之门。当然，系统管理员要想清理这些漏洞是很困难的，一般只能是重装系统。
结论：已知漏洞不修，等于把门钥匙挂在门上。
（3）利用 Internet 上的有关文章
在 Internet 成千上万的站点上有许多描述系统安全漏洞的文章；还有一些入侵者发布的文章极详尽地描述了这些技术，在这些文章里详细讲述了如何完成某类攻击，甚至有相应的程序可供下载使用。
（4）利用监听程序
黑客将监听程序安装在服务器中，对登录进行监听，例如监听 23、21 等端口。一旦有用户登录，它就将监听到的用户名和口令保存起来，于是黑客就得到了账号和口令。
端口对照（与模块四呼应）：23 = Telnet，21 = FTP 控制连接——这两个协议都是明文传输口令的，所以是监听的首选目标。
（5）利用网络工具进行侦察
黑客攻击也可能使用系统常用的网络工具。比如要登录目标主机，便使用 telnet 与 rlogin 等命令对目标主机进行侦察；系统中有许多可以作为侦察的工具，如 finger 和 showmount。
注意：（2）阶段二的 Finger 与这里的 finger 是同一个工具——侦察阶段和攻击阶段用的是同一批工具。
（6）利用自己编写的工具
一些资深的黑客自己可以编写一些工具，比如监听程序等。
补充：病毒也能当攻击工具
另外，计算机病毒，如蠕虫病毒也可以成为网络攻击的工具。蠕虫虽然并不修改系统信息，但它极大地延缓了网络的速度，通过降低网络的可用性给网络使用者带来极大麻烦。
考点：蠕虫的特点是不修改系统信息，破坏的是"可用性"（这正是模块九项目一讲的"可用性"被破坏的典型例子）。
6.教材的收尾与本任务的落点
教材原句：黑客进行攻击的工具不止这些，而且黑客进攻的技术也在不断提高，新的攻击方式、工具还会出现。所以，应对黑客攻击的任务是很艰巨的，下面讨论的防火墙技术就是目前应对黑客入侵的有效方法。
这句话是承上启下：任务三讲"威胁怎么来"，任务四讲"边界怎么守"（防火墙）。
7.任务实施要点
- 启动计算机，在搜索工具中以"网络攻防"为关键词搜索；
- 浏览搜索结果中关于网络攻击方法的叙述；
- 搜索发生网络攻击后应采用的处置方法与处理过程；
- 检索提高系统安全性、预防非法攻击的技术方案。
速查表
| 考点 | 一句话答案 |
|---|---|
| 黑客攻击的定义核心 | 通过技术手段获取系统与网络的控制权 |
| 黑客与入侵者的根本区别 | 行为是否有恶意（黑客无、入侵者有） |
| 黑客的信念 | 计算机是大众工具、信息属于每个人、源代码应共享、编码是艺术、计算机有生命 |
| 黑客攻击最直接的目的 | 窃取信息 |
| 窃取信息的两种变体 | 篡改信息、暴露信息 |
| 获取口令属于什么 | 属于窃取信息的一种 |
| 为什么要控制中间站点 | 隐藏真实地址（跳板） |
| 四个攻击目的 | 窃取信息、获取口令、控制中间站点、获得超级用户权限 |
| 攻击过程三阶段 | 确定目标、搜集信息并找漏洞、实施攻击 |
| 查路由表的工具 | SNMP |
| 数经过多少网络与路由器的工具 | TraceRoute |
| 查 DNS 域与管理参数的协议 | Whois |
| 查用户详细信息的协议 | Finger |
| 确定主机位置的工具 | Ping |
| 两个公开扫描工具 | ISS、SATAN |
| 扫描工具的两面性取决于 | 使用者的动机 |
| 大部分网络入侵从哪里开始 | 从扫描开始 |
| 扫描软件的性质 | 只发现弱点，不直接攻击 |
| 监听程序常监听哪两个端口 | 23（Telnet）、21（FTP） |
| 用哪些命令侦察目标主机 | telnet、rlogin、finger、showmount |
| 蠕虫的特点 | 不修改系统信息，但极大延缓网速（破坏可用性） |
| 应对黑客入侵的有效方法 | 防火墙技术 |