网络入侵过程和主要类型

正义不会缺席

最近有很多人咨询网络安全方面的问题，身边发生的一些网络安全事件让很多人心生忧惧，无所适从。本文想从技术角度科普一下目前网络攻击的方法、过程和主要的网络攻击类型，主要目的是普及网络安全知识，从科学角度让大家了解它是什么，原理是怎么样的，怎样防控。在正文开始之前先说一个结论：“人是一切安全问题的根源,也是安全生产力，人对网络安全起着决定性作用”。
1.网络攻击的过程

网络安全圈有一个颇具争议的说法叫“不知攻焉知防 ”，这里不去讨论其正确与否，但作为相关专业人员，了解一下别人是怎么攻击你的，应该还是有必要的。所谓“知彼知己，百战不殆”。
参考：攻防兼备-是安全的基本要求 - 对《“未知攻 焉知防”是伪命题》的不同看法
百度百科上是这样定义“网络攻击”的：

网络攻击（Cyber Attacks，也称赛博攻击）是指针对计算机信息系统、基础设施、计算机网络或个人计算机设备的，任何类型的进攻动作。对于计算机和计算机网络来说，破坏、揭露、修改、使软件或服务失去功能、在没有得到授权的情况下偷取或访问任何一计算机的数据，都会被视为于计算机和计算机网络中的攻击。

参考： 网络攻击_百度百科
简单来说，网络攻击是利用网络信息系统中存在的漏洞和安全缺陷对系统和资源进行的攻击。系统的的漏洞和安全缺陷会随着人的加入变成动态的、变化的。
1.1 网络攻击链

2011年，美国洛克希德·马丁（Lockheed Martin）公司的研究人员在其《智能驱动的计算机网络防御-通过对敌对方的运动与入侵的杀伤链分析》（Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains）白皮书中提出了“网络杀伤链”的观点，国内一些资料上也称之为洛克希德-马丁公司的七步网络杀伤链。


“杀伤链”是美国国防部2007年提出的一种概念，它是一个系统的过程，该过程以瞄准对手并与之交战，最终达到希望的效果。美国的军事目标学说将这一过程的步骤定义为：find发现，fix确认，track跟踪，target瞄准，engage交战，assess评估（F2T2EA）：找到适合交战的对手目标；确定他们的位置；跟踪观察；用合适的武器或资产瞄准以产生所需的效果；评估效果。这是一个完整的，端到端的过程，称为“链”，因为任何一个环节出现问题都会中断整个过程。
“网络杀伤链”由攻击流程与防御概念构成。攻击流程分为侦察、武器化、散布、漏洞利用、设置、命令与控制、目标达成七个阶段。


洛克希德马丁公司参考美国国防部信息作战（Information Operation）小组的应对方案，将网络防御类型分为探测、拒止、干扰、弱化、欺瞒、破坏六种。







参考：网络杀伤链概念及其在军事领域中的应用
1.2 网络攻击过程与原理

看到这里，可能有点晕头转向，上面的资料中是将网络攻击和防御过程抽象模型化之后的描述，而在渗透测试专业的教材中，一般是这样描述的网络攻击过程的：

• 预攻击阶段
  
• 攻击阶段
  
• 后攻击阶段
  

1）预攻击阶段
预攻击阶段主要包括信息收集和漏洞扫描。
信息收集
尽可能多的收集目标的相关信息，为后续的“精确”攻击打下基础。这一阶段收集的信息包括：网络信息（域名、IP地址、网络拓扑）、系统信息（操作系统版本、开放的各种网络服务版本）、用户信息（用户标识，组标识、共享资源、即时通信软件账号、邮件账号）等。
收集的方法主要有被动收集和主动收集。
被动收集主要是通过搜索引擎、社交网络等方式对目标信息进行提取，主要包括IP查询、Whois查询、子域名搜集等。被动信息搜集不与目标产生交互，可以在不接触目标系统的情况下，挖掘目标信息。主要方法包括：DNS解析、子域名挖掘、邮件爬取、社交软件挖掘。我们使用的一些软件，如微信、keep、微博等就是被动收集的情报来源。
主动收集则要与目标进行交互，一般是伪装成正常的网络数据包与目标主机通信，通过分析报文中的指纹信息来确定目标系统的特征与漏洞。常见的技术有基于ICMP的主机发现、基于TCP和UDP协议的主机发现、基于ARP协议（多用于局域网）的主机发现、端口探测、服务识别、系统识别、敏感目录探测等。常见的工具有nmap等
漏洞扫描
漏洞扫描是和信息收集密不可分的，是信息搜集完成之后的利用阶段。它是基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用漏洞的一种安全检测（渗透攻击）行为。
讲怎么进行漏洞扫描之前需要先了解什么是漏洞，简单来说就是“只要是人写的系统，就会有漏洞，有漏洞就会被人利用。”
参考资料：漏洞_百度百科 周鸿祎：只要是人写的系统就会有漏洞 有漏洞就会被利用
基于网络的漏洞扫描就是通过远程检测目标主机TCP/IP不同端口的服务，记录目标主机给与的回答，用这种方法来了解目标主机的各种信息，获得相关信息后，与网络漏洞扫描系统提供的漏洞库进行匹配，如果满足匹配条件则视为漏洞存在。还有一种方法就是通过模拟黑客的进攻手法，对目标主机进行攻击性的安全漏洞扫描，如测试弱口令等，如果模拟攻击成功，则视为漏洞存在。常见的漏洞扫描工具有：NESSUS、NEXPOSE、OPENVAS、AWVS、APPSCAN等。
2）攻击阶段
攻击阶段主要是在情报收集、威胁建模和漏洞分析之后进行漏洞利用的过程。
这个阶段关注的重点是：如何绕过安全机制来控制目标系统或访问目标资源。常见的攻击方式有一下几种：

• Web应用入侵（聚焦于web应用程序）
  
• 绕过IDS、防火墙及蜜罐
  
• Web服务器入侵（聚焦于web服务器平台软件）
  
• 拒绝服务
  
• 缓冲区溢出
  

常见的工具有Metasploit框架、Sqlmap、Kali linux等
因为这一阶段涉及很多深入的网络通信与安全知识，就不深入讲解了，仅列出名词。
3）后攻击阶段
这是网络攻击的主要阶段，是网络存在问题会带来的主要风险所在，这个阶段可能会进行的工作有：

• 控制权限的提升
  
• 登录凭证的窃取
  
• 重要信息的获取
  
• 利用目标作为跳板
  
• 建立长期的控制通道
  

当然按预攻击->攻击->后攻击的方式进行网络攻击过程的介绍是为了便于理解，了解其具体内容是需要相当多的知识积累的，还有其他视角的网络攻击，例如在渗透测试中，则分为：

• 与客户交流阶段
  
• 情报的收集阶段
  
• 威胁建模阶段
  
• 漏洞分析阶段
  
• 漏洞利用阶段
  
• 后渗透攻击阶段
  
• 报告阶段
  

这里就不深入讲了，有兴趣的可以进行渗透测试专业的学习。
推荐资料：《Python渗透测试与编程技术：方法与实践》《诸神之眼——Nmap网络安全审计技术揭秘》
2.主要网络攻击类型

了解了网络攻击的过程之后，可以根据上面的知识，将网络攻击手段分成下面六类：

• 侦察/信息收集类攻击
  
• 访问类攻击
  
• Web类攻击
  
• 拒绝服务类攻击
  
• 病毒类攻击
  
• 溢出类攻击
  

2.1 侦察/信息收集类攻击

侦察是未经授权的发现和扫描系统、服务或漏洞，也被称为信息收集。信息收集类攻击是一种基础的攻击方式，并不对目标本身造成伤害，在大多数情况下，它是其它攻击方式的先导，被用来进一步入侵提供有用的信息。通过向目标主机发送数据包，然后根据响应来搜集系统信息，发现服务器的端口分配及所提供服务和软件版本，可以进一步检测远程或本机主机安全的脆弱性，此类攻击通常包括地址扫描、网络端口扫描、操作系统探测、漏洞扫描。


2.2 访问类攻击

• 口令攻击
  
• 端口重定向
  
• 中间人攻击
  

口令攻击：攻击者攻击目标时，常常把破译用户的口令作为攻击的开始，只要攻击者能猜测或者确定用户的口令，他就能获得机器或者网络的访问权，并能访问到的任何资源。
端口重定向：指的是攻击者对指定端口进行监听，把发给这个端口的数据包转发到指定的第二目标，一旦攻陷了某个关键的目标系统，比如防火墙，攻击者就可以使用端口重定向技术把数据包转发到一个指定地点去，这种攻击的潜在威胁非常大，能让攻击者访问到防火墙后面的任意一个系统。
中间人攻击：中间人攻击是一种“间接”的入侵攻击，这种攻击模式，是通过各种技术手段被入侵者控制的一台计算机虚拟放置在网络连接中的两台通信计算机之间，而这台计算机就称为“中间人”，然后入侵者把这台计算机模拟成一台或两台原始计算机，使“中间人”能够与原始计算机建立活动连接，并允许其读取或修改传递的信息，两个原始计算机用户却认为他们是在互相通信。通常，这种“拦截数据-修改数据发送数据”的过程就被称为“会话劫持”。通过中间人攻击，攻击者可以实现信息篡改、信息盗取等目的。
2.3 Web类攻击

web这种应用的可操作性行很大，用户使用的自由度也很高，同时，此应用也非常脆弱，普通的攻击也非常普遍。
常见的Web类攻击有：

• SQL注入
  
• 跨站脚本攻击
  
• CC攻击
  
• 脚本攻击
  

2.4 拒绝服务攻击

主要包括带宽消耗类攻击和拒绝服务类攻击
带宽消耗类攻击：

• UDP洪水攻击
  
• ICMP洪水攻击
  
• 死亡之Ping
  
• Smurf攻击
  

资源消耗型攻击：

• SYN洪水攻击
  
• IP欺骗攻击
  

2.5 病毒类攻击

• 特洛伊木马
  
• 蠕虫病毒
  
• 宏病毒
  

特洛伊木马，木马（Trojan）程序是比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不可以去感染其他文件，它通过将自身伪装，吸引用户下载执行，向施种木马者提供打开被种者打开被种者电脑的门户，用户一旦感染了木马，就会成为“僵尸”，施种可以任意毁坏、窃取被种者的文件，甚至远程操控被种者的电脑。
蠕虫病毒，是一种常见的计算机病毒，它是利用网络进行复制和传播，传染途径是通过网络和电子邮件。最初的蠕虫病毒定义是：因为在DOS环境下，病毒发作时会在屏幕上出现一条类似虫子的东西，胡乱吞吃屏幕上的字母并改其形。蠕虫病毒是自包含的程序（或是一套程序），它能传播它自身功能的拷贝或自身（蠕虫病毒）的某些部分到其他计算机系统中（通常是经过网络连接，当然也有通过移动存储载体的）。
宏病毒，宏病毒是一种寄存在文档或模板的宏中的计算机病毒，一旦打开这样的文档，其中的宏就会被执行，于是宏病毒就会被激活，转移到计算机上，并驻留在Normal模板上。从此以后，所有自动保存的文档都会“感染”上这种宏病毒，而且如果其他用户打开了感染病毒的文档，宏病毒又会转移到他的计算机上。
2.6 溢出攻击

缓冲区溢出（又称堆栈溢出）攻击是最常用的黑客技术之一，这种攻击之所以泛滥，是由于开放源代码程序的本质决定的。缓冲区溢出是一种非常普遍、非常危险的漏洞，在各种操作系统、应用软件中广泛存在。对缓冲区溢出漏洞攻击，可以导致程序运行失败，系统崩溃以及重新启动等后果，更为严重的是，可以利用缓冲区执行非授权指令，甚至取得系统特权，进而进行各种非法操作。


从“缓冲区溢出攻击”的原理可以看出，要防止此类攻击，我们可以在开放程序时仔细检查溢出情况，不允许数据溢出缓冲区，经常检查操作系统和应用程序提供商的站点，一旦发现补丁程序就马上下载是最好的方法。