黑客技術(shù)

破解密碼、Scanner 、Windows和Nt 、Sniffer 、再議 Sniffer ARP 、欺騙技術(shù)　
- L0 [. J1 P4 @3 W( N* D; W
盡一年沒來了，發(fā)現(xiàn)帳號還在，嘻嘻。。。挺好。
: i  ^5 q2 H; ^$ {- w8 ^看了這版的文章，覺得有些想法，好象大家對網(wǎng)上安全的問題看法差別很大，有些好象還覺得網(wǎng)上真的很安全，呵呵。。所以想有時(shí)間分幾次談?wù)勛约旱目捶?，不過想先舉個(gè)例子，就學(xué)校的網(wǎng)絡(luò)系統(tǒng)而言，用10秒的時(shí)間，你可以看到什么？
; ~% ?+ h! R# s我看到的是這樣的：
2 x: I3 y3 _/ |/ t& j+ m4 z. L" D
, n6 R1 A! X  l5 T  G4 ~210.34.0.12='www.xmu.edu.cn'
, k4 [" {9 g4 \! C  Q, M/ t" k210.34.0.13='bbs.xmu.edu.cn'
210.34.0.14='dns.xmu.edu.cn'
210.34.0.17='yanan.xmu.edu.cn'
; d8 k+ R/ c% O: [0 \6 ~' d210.34.0.18='JingXian.xmu.edu.cn'
5 n1 x4 `% [- s* f4 L! E210.34.0.55='nv6000.xmu.edu.cn'
6 O" n0 q" K5 u3 S210.34.0.1='router.xmu.edu.cn'
! Z( L0 T( D( z* Q2 J* ?& h210.34.0.2='xmu.edu.cn'
/ G$ U; _' G' ?6 Q8 M4 s2 e210.34.0.15
210.34.0.65='net.xmu.edu.cn'
; [! |# w" ~9 s210.34.0.66

ok.那么這些又代表什么呢？
2 ?. z* ^: N1 ]! H1 X5 ^看看bbs--210.34.0.13吧,再用10秒。

: p3 P; ~5 p* |Port 13 found. Desc='daytime'
Port 9 found. Desc='discard'
Port 19 found. Desc='chargen'
Port 21 found. Desc='ftp'
^^^
可能有東東的。
/ s* U& o$ s" p6 a請參考CERT coordination Center 關(guān)于這個(gè)東東的說明。
wuarchive.wustl.edu:/packages/ftpd.wuarchive.shar
, E# i6 m( B$ V$ s, P' \$ H  g
' s  b" _! T1 R5 GPort 22 found.
; r/ a* ]- u  J4 l* u% aPort 23 found. Desc='telnet'
0 p" D+ F7 n+ P2 DPort 25 found. Desc='smtp'
, a- e5 [. x4 e! wPort 80 found. Desc='www'
^^^^^^^^^^^^^^^^^^^
+ K' y" d* ^% \, @' p5 V7 O$ \( X這是個(gè)bug.使用別的工具，你可以看到進(jìn)程所有者。呵呵。。你說是root嗎？

0 U% U' P" |  K& W4 |. WPort 110 found. Desc='pop3'
Port 111 found. Desc='portmap/sunrpc'
; A" T" ?; H) U5 n: E. {1 fPort 37 found. Desc='time'
Port 7 found. Desc='echo'
( \( {( A% L8 X& Z/ cPort 513 found. Desc='login/who'
Port 514 found. Desc='shell/syslog'
$ T% z$ C0 ^9 e& `! xPort 540 found. Desc='uucp'
) {2 }" f0 S- S0 }, f3 u) IPort 970 found.
: Q2 X3 r- j7 G  r) B- s8 |Port 971 found.
2 S  i. _- r0 ~# n4 CPort 972 found.
- z* t  I/ w" OPort 976 found.
Port 977 found.
; n+ K6 {' R0 v1 e5 f
7 O9 A/ b! _0 k$ K5 [提供的服務(wù)不少嘛，好了，現(xiàn)在對一個(gè)有經(jīng)驗(yàn)的hacker（是hacker，不是cracker）來說，這臺主機(jī)已經(jīng)在你手上了，離root不遠(yuǎn)了，這里我只是舉個(gè)例子。并沒有褒貶本bbs的意思。還望見諒。當(dāng)然，這沒什么。相信很多人可以這樣的。所以，我想對網(wǎng)絡(luò)的安全問題談自己的一些看法，邊整理邊貼，貼到哪里算哪里?？赡軙婕暗降挠嘘P(guān)參考資料，技術(shù)報(bào)告，白皮書等，我會盡可能列出網(wǎng)址。對于 提供的服務(wù)不少嘛，好了，現(xiàn)在對一個(gè)有經(jīng)驗(yàn)的hacker（是hacker，不是cracker）來說，這臺主機(jī)已經(jīng)在你手上了，離root不遠(yuǎn)了，這里我只是舉個(gè)例子。并沒有褒貶本bbs的意思。還望見諒。當(dāng)然，這沒什么。相信很多人可以這樣的。所以，我想對網(wǎng)絡(luò)的安全問題談自己的一些看法，邊整理邊貼，貼到哪里算哪里。某些用PostScript格式的說明文件，你可以到這些地方去下載。能列出網(wǎng)址。對于
' i" e# `  q$ h- \/ Jftp://ftp.winsite.com/pub/pc/winnt/txtutil/rops3244.zip
# O* C( l5 R, B' e' y1 ihttp://www.cs.wisc.edu/%7Eghost/gsview/index.html
相關(guān)的工具軟件我也會列出下載站點(diǎn)，但是某些程序請你自己編譯，并且不保證沒有特絡(luò)伊木馬或其他惡意代碼。

從Crack Password說起吧。
. l  N0 [& V3 m+ R' Z
黑客技術(shù)(2)-破解密碼

所有看法純屬個(gè)人見解，歡迎指正，有悖你想法的地方，請E_mail:[email protected]
# v* L4 C7 N$ A' p5 F8 x: c7 U
2 ?* ?4 o/ v5 h) N1 b密碼破解：
網(wǎng)絡(luò)很大一部分安全是靠密碼保護(hù)的，但是密碼可以被破解，所以還是有可能被人入侵系統(tǒng)的。我想這是大部分人對破解密碼的看法。也就是，我可以用一些技巧來獲得系統(tǒng)的口令文件，然后我用某個(gè)算法來計(jì)算加密的口令，然后，呵呵。。其實(shí)不然。。事實(shí)上，我的看法是被加密過的密碼大部分是不可能被解碼的。加密算法的過程絕大多數(shù)是單向的。所以，真正加密過的密碼是不可能解出來的。（Microsoft例外，呵呵 。。）
! Y6 r5 [  o2 _+ i, d大部分的破解程序只是使用和原來加密密碼的同樣算法，透過分析，試著找出對應(yīng)的加密版本和原來的密碼。也就是通常cracker們說的“暴力”算法。一個(gè)一個(gè)試。呵呵。。試到你提供的字典文件中的某個(gè)單詞剛剛好和那個(gè)傻瓜用戶的密碼一樣，如果字典文件找完了，還沒有一個(gè)一樣的單詞，呵呵，，我看什么東東都沒有，白浪費(fèi)時(shí)間而已，所以，很多的高手通常的字典文件都100M左右，不奇怪的。 可見，“大多數(shù)人認(rèn)為只要他們的密碼沒有在usr/dict/words中，就安全了，所以不關(guān)心帳號的安全。。 ”（Daniel V. Klein 的"A survey of implements to,Password Security")所以，提供注冊密碼或CD-Keys不是破解密碼，而在網(wǎng)上提供這些東東的行為和海盜沒什么差別。你可以到alt.cracks這個(gè)新聞組里看看這些海盜們。
4 q2 u4 X  i5 k& Z) p: ~* p. J
真正的破解密碼程序看起來向這樣：
! c: c1 V7 a* M. ]9 s3 v- h
Microsort很關(guān)心是不是有人偷了他的windows。所以Microsoft搞了一個(gè)CD-keys的保護(hù)程序。相信大家都知道是怎么一回事，有個(gè)人呢，看不下去，所以就寫了一個(gè)程序，經(jīng)過
1。將所有明顯的和跟鍵值無關(guān)的拿掉。
2。將剩下的數(shù)全部相加。
3。結(jié)果除7。
如果你沒得到小數(shù)，你拿到了一個(gè)有效的CD-Keys。
% C; T" T8 l) P/ x設(shè)計(jì)這個(gè)軟件的人叫Donald Moore，你可以在
http://www.apexsc.com/vb/lib/lib3.html 得到整個(gè)詳細(xì)說明和分析。
; ]* y1 M# R* A" a$ o. X在：http://www.futureone.com/~damaged/pc/microsoft_cd_key/mscdsrc.html
得到完整源代碼。

9 x# @9 ^0 [! U: q+ |0 L, m還有的呢？ 我想大多數(shù)人對UNix平臺的密碼很感興趣。在Unix上，所有使用者的id 和密碼都放在一個(gè)集中的地方，/etc/passwd(shadow).因此我們關(guān)心的就是這個(gè)地方舒服嗎？事實(shí)上從DES(美國國家標(biāo)準(zhǔn)局和國家安全總署聯(lián)合背書的)的加密程序Crypt(3)來看，想要破解是有這樣一種可能的(1/70,000,000,000,000,000)幾率。
(詳細(xì)的DES，crypt資料從:ftp://gatekeeper.dec.com/glibc-1.09.1.tar.gz拿到)
8 w1 ?2 @% O% Y但是，如果你拿到passwd,取出密碼段喂給某個(gè)程序，加密后和原來的做比較，如果一樣，90%你拿到口令了。就是這么簡單。網(wǎng)絡(luò)其實(shí)就這么安全。

' w* p) d: @" ^; G' O
如何拿到passwd超出本版的范圍，也不在我知識掌握之中，但是，你可以從
: I3 O" H* ?: {; K# Rhttp://sdg.ncsa.uiuc.edu/~mag/Misc/wordlists.html下載幾個(gè)字典文件研究一下。
從：http://www.fc.net/phrack/under/misc.html
http://www.ilf.net/~toast/files/
5 _% G) U5 p( Ahttp://www.interware.net/~jcooper/cracks.htm拿到CrackerJack.
# s+ X) Y/ G" q! V1 H$ P5 U2 t從：http://tms.netrom.com/~cassidy/crack.htm拿到PaceCrack95.
  O# K& f" u% Q" P) w: j4 @看看他們對你的系統(tǒng)有沒有威脅。

其他的密碼破解采用相近的方法。有興趣的話，你可以找一個(gè)zipCrack10或
( x& {: E; z* ~, b' OFastZip2.0玩玩。
% i! l7 {, \, _, G' J& |
WordPerfect可以找Decrypt.
/ K$ c  Q7 o3 S" Wexcel的用excrack
windows的Pwl文件。。呵呵。。用Glide.
http://www.iaehv.nl/users/rvdpeet/unrelate/glide.zip
Novell的用netcrack.
Nt的用password NT　http://www.omna.com/yes/andyBaron/recovery.htm
6 h. {$ g$ U+ M& t. `! q9 d.........
! b6 W2 S8 p2 z" b% m我想我是無法列盡這些東東的，不過可以說的是，沒有什么軟件能提供給你真正的安全保護(hù)。特別是當(dāng)你上線的時(shí)候。。。
7 |% }% x' E9 g7 [2 K9 _
感覺好象亂亂寫。。呵呵。。太多的關(guān)于密碼的東東了，我只是想說，不管你用什么系統(tǒng)，在Crack眼中，沒有什么安全性可言。
: z4 K! k% _" k, _# {' K

- z& g+ }' {- g* s4 W# S+ ~明天再整理如何在網(wǎng)絡(luò)中收集你想要的有關(guān)對方主機(jī)信息。談?wù)刪ost ,traceroute,rusers,finger 如何將你的主機(jī)信息告訴別人。并且告訴到什么程度。呵呵。。
0 O2 @- I7 S( B, |

黑客技術(shù)(3)-Scanner
# }7 a8 N0 @- _
網(wǎng)絡(luò)安全上，最有名的我想莫過于Scanner了。。它是一個(gè)可以自動(dòng)偵察系統(tǒng)安全的程序，大部分情況下，用來找出系統(tǒng)的安全弱點(diǎn)。通過對Tcp的ports和服務(wù)的偵察，然后將信息記錄下來，提供目標(biāo)的安全分析報(bào)告，這是標(biāo)準(zhǔn)的scanner，象unix上的某些服務(wù)，如：host,rusers,finger等，只是半個(gè)scanner.完全發(fā)揮Scanner的功能要求使用者必須掌握相應(yīng)的tcp,C,Perl,Socket的基本常識。關(guān)于socket可以從:http://147.17.36.24/prog/sockets.html得到詳細(xì)的設(shè)計(jì)說明。
2 B5 Z2 A6 |. K( a" v2 P; x; A- W) j
那么Scanner到底會告訴你什么呢？其實(shí)他真的不告訴你什么，呵呵。。他只是將信息完整的記錄下來，做為一個(gè)系統(tǒng)管理員，會看出內(nèi)在的弱點(diǎn)才是要命的，因此，我不知道你通常是怎么做的，我是到這些地方去看信息的。

+ n4 ]: D! \( v4 x+ k% y[email protected]
[email protected]
[email protected]
: O; Y8 ^7 j1 b) Rntsecurity@iis
[email protected]

多了解這些信息對看出由scanner記錄的東東很由好處。

* U) `6 ~! @5 f# y/ S比如：finger [email protected] 后我得到這樣得信息：
9 y2 [. F+ E3 plogin name: root in real life: 0000-Adim(0000)
& C9 _- @/ B$ a3 b0 v% Q) s^^^^^^^^^^^^^^^
Directory: /shell: /sbin/sh
: V, y0 J3 d' z6 iLast login tue Feb 18 19 04:05:58 1997;
* m- g9 N7 v% L* aUnread since Web Feb.........
No Plan.
5 u4 v, @4 |  o/ `
0 f& t: o; j) K7 z# l現(xiàn)在我起碼知道server.com這臺主機(jī)上跑Solaris.再用ftp或telnet我可以知道Solaris
$ T# i9 }  G' {" L' U2 G的版本號，然后我可以知道那個(gè)版本的有什么Bugs, 分別是哪一級的，我如何做。。。。

可見，Scanner能找到網(wǎng)絡(luò)上的機(jī)器，找出機(jī)器的信息，提供某些人分析。

+ e4 Y- ?$ c9 J0 V/ I一個(gè)典型的例子：
1995年，SGI賣出許多“WebForce”的機(jī)器，機(jī)器很不錯(cuò)，多媒體功能很強(qiáng)，跑的是IRIX ,不幸的是，有個(gè)系統(tǒng)的內(nèi)置帳號“l(fā)p”不需要密碼。（本市有這樣的機(jī)器）好了，現(xiàn)在我想看看究竟是哪一臺，他的硬盤有些什么，我這樣做：

1。我找到一個(gè)搜索引擎，查找“EZSetup + root: lp:” （老土的方法）
- O' U# N9 ]% n, O) }或者，我用scanner.使用scanner的telnet對202.XXX.XXX.000到202.XXX.XXX.255
0 v/ N. w2 M5 y7 p9 p  z全部進(jìn)行telnet.傳回的信息象這樣：

Trying 202.XXX.XXX.XXX
Connected to ........
Escape Character is "]"

' b& V$ w$ C. D# BIRIX 4.1
Welcome .........
Login:

2。我馬上離開了。。呵呵。。。。
4 U1 b( a- ]+ t+ I# S( P
想了解最后一個(gè)使用這個(gè)bug的人的ip地址，finger [email protected] 這小子很牛。

# `  e& C6 B  t9 S5 J修改你的passwd 使其中一行這樣:lp:*:4:7:lp:/var/spool/lpd： 你的問題解決了。

  }/ S: @% v1 c( f6 N# b/ Q在unix中，host執(zhí)行nslookup一樣的功能。但是，host是unix中最危險(xiǎn)，最有
2 O8 }2 g8 k9 [7 e威脅性的十大工具之一，（我認(rèn)為）比如：
我host 某個(gè)大學(xué)。

2 ^$ N- u, x; L# D$ yhost -l -v -t any edu.cn
; I5 o. c# u8 V9 V- D! d, O  ~呵呵。。你會看到：
Found 1 addresses for XXX.XXX.edu.cn
  o6 v' Y2 s" [Found 5 addresses for XXX.YYY.edu.cn
4 D- e; t" ]* t4 z6 h. A..
..
2 g) p. z# h2 w; s- R+ r. e$ FTrying 210.XXX.XXX.XXX
! L* n. F/ n2 Q( x$ H( X7 l! uXXX.XXX.edu.cn 86400 IN SOA
961112121
  i: L. l. C$ v* c  ]900
900
; t1 D( w3 J5 l5 l! q$ g604800
86400
....
( Y. N6 j: L7 E2 {XXX.YYY.edu.cn 86400 IN HINFO SUN-SPARCSTATION-10/41 UNIX
XXX.ZZZ.edu.cn 86400 IN HINFO DEC-ALPHA-3000/300LX OSF1
....
XXX.xmu.edu.cn 86400 IN HINFO PC-PENTIUM DOS/WINDOWS
....
一個(gè)將近120K的文件。
3 B% b) v5 u/ U好了，現(xiàn)在我知道跑dec的機(jī)器可能有mount -d -s 的毛病。跑sun的機(jī)器可能有patch-ID#100376-01的問題。 跑windows 95 的機(jī)器可能有SMB協(xié)議，我可以用SAMBA來連上共享目錄。
- |: P4 a7 t0 U
4 u) y3 p/ X7 |! IRraceroute 同樣也是unix中的犀利工具，用來確定主機(jī)到底在什么地方。具體功能我不說了，他和rusers, finger一樣，提供一些看起來好象沒什么的資料，但是，你可以利用某些技巧來定位一個(gè)目標(biāo)。

# @# \. C1 [7 u  }! T還有一個(gè)命令shownount.他的-e參數(shù)可以提供某些目錄的bug出來。
類似的工具你可以參考這些：
netscan http://www.eskimo.com/~nwps/index.html
NetWork Toolbox http://wwwljriver.com/netbox.html
4 _( e. Y% [; w. H! Q( _Tcp/Ip Surveyor ftp://wuarchive.wustl.edu/systems/ibmpc/win95/netutil/wssrv32nz
& Z5 R; s) `0 `/ Y$ K6 @ip

. E2 u$ R+ I( v) {& K真正的Scanner:
5 B4 C5 y# L4 i3 ]) K- o1 dNSS http://www.giga.or.at/pub/hacker/unix/
. F1 |; Q3 T; K2 zStrobe http://sunsite.kth.se/linux/system/network/admin/
, U# b1 b5 V8 i& c5 I& OSATAN http://www.fish.com
IdentTCPscan http://www.giga.or.at/pub/hacker/unix/ (這是我強(qiáng)力推薦的)
! m/ ^% E0 w; v) [, i' bConnect http://ww.giga.or.at/pub/hacker/unix/

SafeSuite (強(qiáng)力推薦的軟件，由ISS發(fā)展小組開發(fā)）
3 P' X7 f$ Q( y/ \4 H' tSafesuite提供3個(gè)scanner,
% r$ m  h/ S( m; [6 _Intranet scanner , Web scanner ,firewall scanner.
& w* X. G: F5 h2 V/ R提供6個(gè)攻擊測試：
sendmail,ftp,nntp,telnet ,prc,nfs
如果你的主機(jī)通過了這個(gè)軟件，呵呵。。不要命的hacker可能會和你拼了。使用這個(gè)軟件，我很輕易的就發(fā)現(xiàn)了學(xué)校一臺主機(jī)的三個(gè)致命弱點(diǎn)。rlogin,ftp,httpd。每個(gè)都夠你使用root權(quán)限。

如何使用和到哪里去下載這個(gè)軟件我不太清楚，你可以到網(wǎng)上去找。

' T: Z/ O; ]8 U9 B總之，我相信任何的系統(tǒng)都存在安全上的風(fēng)險(xiǎn)，對于想真正了解網(wǎng)絡(luò)安全的系統(tǒng)管理員，都應(yīng)該從很細(xì)小的資料上注意起。并且應(yīng)該時(shí)刻注意你所用的系統(tǒng)有沒有新的不安全因素出現(xiàn)在網(wǎng)上。
* L* y2 \$ g4 [. f7 `  |1 m# R
! I+ l6 j9 X! [5 ^" h+ A1 G+ r還想談的安全問題還有sniffer,trojans,fake ip,email bomb,system bugs,
microsoft(oob 139,1031,80),some unix problem.(telnet,nfs..),hacker&cracker.
* r0 Z3 S( A: s) i) P+ }/ T這些都是我長期收集的資料和實(shí)際操作中碰到的。所以只能是整理到哪里貼到哪里。當(dāng)然，這些只是我的個(gè)人看法，能談到什么程度我不敢說，但是我希望能對關(guān)心網(wǎng)絡(luò)安全問題的人提供一些幫助。也希望大家一起來真正了解我們面對的機(jī)器能保存些什么秘密。


黑客技術(shù)(4)-Windows和Nt

Microsoft的安全問題一直是一個(gè)很敏感的問題，因?yàn)榫W(wǎng)絡(luò)上有太多的使用者了，在我收集的長達(dá)79頁的Microsoft技術(shù)規(guī)范說明中，談到安全問題的僅僅是一段“比以往的版本，在安全技術(shù)上有很大的改善”，顯然，Microsoft更關(guān)心的是有沒有人偷他的軟件去使用，而不是用戶在使用軟件時(shí)是否安全。那么，擺在眼前的就是：Microsoft從來就不是一個(gè)安全的平臺，即使是Nt系統(tǒng)，雖然Nt經(jīng)過了NSA的安全等級C2鑒定。但是，請注意以下的補(bǔ)充說明：

1·C2在EPL中是很低的等級。
3 Q! [! ]! P% v, ^" }+ n5 i2·NT的C2只在某些硬件上才能達(dá)到，（Compaq Poliant 2000,DECpcAXP/150 Alpha）
1 c9 b. k1 `5 U+ }0 t0 F8 p5 e( _2 o3·NT的C2認(rèn)證是假定在沒有網(wǎng)絡(luò)的情況下。
* G  x3 Z& W9 ]# w) y2 r
所以，在Microsoft的Windows產(chǎn)品中，基本的安全功能就相當(dāng)?shù)娜狈?，所有密碼的功能基本是依賴一個(gè)PWL的文件，所以，了解這份文件，你也就了解了Windows的所謂的安全機(jī)制。

5 g0 q4 A) @9 d& {在Windows中，使用兩個(gè)函數(shù)來計(jì)算密碼：
, Q: v0 A+ h- o- H3 w2 IWnetCachePassword( )
WnetGetGachedPassword( )
6 W* q1 w4 x/ v9 i5 G* K$ K0 [4 \( q
& T4 h, v0 c0 r7 j& U1 M
! b( S; `9 @4 _& M" F5 w如果你是一個(gè)軟件設(shè)計(jì)人員，那么你可以使用相同的這兩個(gè)函數(shù)來獲得使用者的密碼。但是，更簡單的方法是，你可以在Windows系統(tǒng)目錄下，直接刪除PWL文件，然后再以你的口令生成一個(gè)文件。
1 o' Q6 k5 g  E, p詳細(xì)的說明你可以參考：http://199.44.114.223/rharri/tips.htm
+ p& }& o  n8 D或者你可以到http://www.iaehv.nl/users/rvdpeet/unrelate/glide.zip下載這個(gè)軟件，
# B8 U# B4 @9 @然后試試在你的機(jī)器上運(yùn)行。
如何解決上述問題，你可以使用Fortres 101,在http://www.fortres.com/f101.htm

/ m% t0 z* V7 R% A8 Q2 w$ X. ]上面說的只是單機(jī)的情況，那么，如果你的機(jī)器在網(wǎng)絡(luò)上呢？
( B2 `# c% N1 P: q; \( B
: @: }* L3 X* W# {. O4 X! |1 J, r這里有我一份在去年3月份的記錄。對在記錄中出現(xiàn)的任何機(jī)器，我很抱歉將你們列出來。
但是我保證沒有動(dòng)改你們的硬盤。呵呵。。。。

1997.3.27 xx:xx:xx
我從internet連線上學(xué)校的網(wǎng)絡(luò)，當(dāng)時(shí)，我用了一個(gè)Scanner來掃描整個(gè)的網(wǎng)絡(luò)，
- o7 n5 S+ @/ d. E" V( m, X令人驚奇的是，我從結(jié)果窗口中看到了這樣的一些信息：
% D" Z& m: c1 l/ s4 mWin95client: littlesun
5 d- k, T" R5 WWin95client: tina&ryu
) i) e+ F) [; m0 i1 \.....
.....
) o. z, A" k  `5 o5 D0 v. M. qWin95client: subtle
.....
WinNtServer: XXXXXX Domain:XXXXX_XX
.....
7 r+ q3 `/ h/ ^; s0 w
Ok, 接下來，我只是用網(wǎng)絡(luò)鄰居來打開某臺機(jī)器，然后，我立刻就發(fā)現(xiàn)了一些的共享目錄。其中的某些目錄你可以用"guest"來連上，到了這一步，如果你是一個(gè)別有用心的人，你會怎么做？我想象的做法應(yīng)該是：

1. 到95的系統(tǒng)目錄下，下載所有的PWL文件。 （其中就有Administrator的）
2. 到我本機(jī)后，用glide在一秒中內(nèi)解出所有的密碼。
3. 然后我想，可能有某臺機(jī)器是連上NT服務(wù)器的系統(tǒng)管理員的工作平臺，這樣的話，
他不太可能使用兩個(gè)密碼來登錄Nt域和他本地的Win95系統(tǒng)，通常在服務(wù)器上的
2 Q) y! c' i( u9 n. Z% BAdministrator和他在本地的Administrator用戶口令相同。
" l& O( U& R+ h, {5 W4. 于是，我可以用這個(gè)密碼來登錄發(fā)現(xiàn)的那一臺服務(wù)器，用administrator.

+ T% o+ r- a9 `0 a7 P/ S& d( EOk, 脆弱的工作站連累了Nt服務(wù)器。這就是結(jié)果。

出現(xiàn)這樣的安全問題，原因是什么？就是Windows采用的SMB協(xié)議所帶來的問題。
5 g- M6 m. l+ r
7 N8 r0 W- g8 A6 Q) R9 P2 eSMB(Server Message Block) ,Microsoft用這個(gè)協(xié)議來實(shí)現(xiàn)系統(tǒng)在網(wǎng)絡(luò)中的共享協(xié)定。
包括：文件，目錄，打印機(jī)，通訊口等。這個(gè)協(xié)議可以加在很多協(xié)議上跑，象Tcp/Ip,
: t: }) Q$ M5 }6 gNetBios,Ipx/spx
. W! ]* o3 Q. d- }& p
: z+ {+ x% k+ ?6 g$ `6 ?/ X) ]) [于是，hacker就可以使用telnetd透過SMB來或取windows,Nt的共享目錄，然后就可以：
7 D: ?; J2 R8 a! k" L' ?3 J3 ]1. 使用SMB的clinet端送"dir ..\"給服務(wù)器，造成"denial-of-service"的攻擊。
2.使用SAMBA連上共享目錄。慢慢觀賞你的硬盤。呵呵。。。
6 G" K  e9 ^7 |
解決問題的方法是：不綁定SMB給Tcp/Ip.
去http://ftp.microsoft.com/developr/drg/cifs/中找詳細(xì)的SMB資料，然后到
! Q$ V+ h' v- u: s7 H* S% S: Yhttp://www.microsoft.com/kb/articles/q140/8/18.htm找一個(gè)SMB的patch.
6 ]" L  ^3 s) V0 J# c$ f- s
! i" t" ~# n# M% r這只是nt系統(tǒng)中普遍存在的問題，實(shí)際上，根據(jù)我個(gè)人的看法，在一個(gè)Nt中，你起碼
應(yīng)該注意這些問題：

1.Port 80的遠(yuǎn)程漏洞。
Telnet到prot 80 ,發(fā)送這樣的命令：get ../..
  y* t4 f/ F  G  rok ,Web服務(wù)器立即當(dāng)?shù)簟?使用Service pack 1a,2來修復(fù)這個(gè)問題。
$ M# h2 s1 ?( ^7 q% @6 i2. Denial-of-Service的攻擊。
到http://ntinternals.com/cpuhog.htm取cpuhog這個(gè)軟件，他使你的nt服務(wù)器
Cpu達(dá)到100%忙碌狀態(tài)，然后死掉。
; @$ i, H& [' ?  N5 [' L, S3. port 135,1031的問題。
這個(gè)OOB的問題相信大家都知道，但是Microsoft對1031口存在的問題卻不太關(guān)心。
" P/ O+ g; p# t- d在1997年2月2日的Microsoft報(bào)告中就明顯指出這個(gè)問題，到現(xiàn)在還沒有有效的解決方法。
4. 對DNS-Denial的攻擊，使用Service Pack 3來修復(fù)。
5. 通常hacker會用的由nbtstat來查詢機(jī)器名稱，放入lmhosts文件后，對網(wǎng)絡(luò)查詢
來得到共享目錄，使用者信息，等。。。。
$ W9 R& ^; |3 C! Y$ C
1 A. ]& M4 h# j1 X, i# E這些是我個(gè)人對使用Nt的看法，當(dāng)然，如果你有更好的建議，你可以發(fā)E-mail給我。

再談?wù)刵t的密碼問題，Nt的密碼采用和95不同的機(jī)制來實(shí)現(xiàn)。在Nt中，使用的安全模型是DAC ( Discretionary Access Control ).你可以從這個(gè)網(wǎng)址得到完整的參考：
" t+ L. k, q6 C/ ^6 l0 zhttp://www.v-one.com/newpages/obook.html
+ k/ ]# l9 x, J) [/ S+ e' z而DAC的實(shí)現(xiàn)有賴于NTFS,所以，請你在安裝Nt時(shí)，選用NTFS選項(xiàng)。
2 s1 n5 K  Q2 a9 {& V但是，不要以為NTFS能帶給你100%的安全，到這個(gè)地址：
http://www.hidata.com/guest/nthacks/passworddll.htm
5 C" s7 C1 W! `0 V  L你可以得到一個(gè)工具。呵呵。。你自己用用看。

這里我想列出一些可能對你管理nt服務(wù)器有用的工具，它們可以用來找出你系統(tǒng)的弱點(diǎn)，
或者防范網(wǎng)絡(luò)hacker的攻擊：
scanNT: http://www.omna.com/yes/andybaron/pk.htm
% d7 V% N9 }2 m# ISystems Management Server : http://www.microsoft.com/smsmgmt/revgd/sms00.htm
+ ?4 Z' e) G5 T' \* S& LDump ACL: http://www.net-shopper.co.uk/software/nt/dmpacl/index.htm

: {( j% j+ L! r& R+ ^0 o
上述是我對Microsoft的操作系統(tǒng)安全問題的看法，實(shí)際上，有些問題并不只是在windows或nt中，在Microsoft的dos, winword, access,excel ,front page webserver ,o'reilly website server等產(chǎn)品中，都有不少的安全弱點(diǎn)。
$ H* K7 g; ]% D. C9 Z體力所限，我無法完全列出，有興趣可以和我直接聯(lián)系。
2 a5 G* f2 U* _0 X$ Z" g/ Z

3 b. M( \$ x( y" g6 h9 A黑客技術(shù)(5)-Sniffer
1 N# F) D. w4 x: C
Sniffer
; s# e7 Q' S2 y6 h: }# y了解什么是Sniffer之前,我想先說說網(wǎng)絡(luò)的基本構(gòu)成，通常的網(wǎng)絡(luò)看起來
是這樣的：
6 ]# f( l/ q. Q一個(gè)控制軟件的控制臺（可以是pc機(jī)、工作站等）
一套用來控制網(wǎng)絡(luò)硬件的軟件
一個(gè)支持Ethernet封包的網(wǎng)絡(luò)控制卡
( P# Y8 o# H/ C一條用來使封包從這里流到那里的傳輸設(shè)備
" g& m. j: f! x/ }/ n* R. R! g另一套和上述相同設(shè)備的硬件、軟件。
可見，這其中的一個(gè)關(guān)鍵環(huán)節(jié)是封包如何在網(wǎng)上跑，當(dāng)然，可以用tcp/ip、ipx等。。或是多個(gè)的組合，那么，Sniffer的目的就是將整個(gè)的網(wǎng)絡(luò)界面變成不區(qū)分的狀態(tài)，然后再截取網(wǎng)絡(luò)上的封包。傳統(tǒng)上的Sniffer可以是硬件或軟件或硬件和軟件的結(jié)合。由于Ethernet的工作方式，網(wǎng)絡(luò)請求在網(wǎng)上一般以廣播的方式傳送，這個(gè)廣播是非驗(yàn)證的，也就是每個(gè)nodes都可以收到，除了目標(biāo)接受者會回應(yīng)這個(gè)信息外，其他的接受者會忽略這個(gè)廣播。Sniffer就是一個(gè)專門收集廣播而決不回應(yīng)的東東。 由于sniffer是工作在封包這一級的產(chǎn)品，因而，它對網(wǎng)絡(luò)的安全威脅是相當(dāng)大的，因?yàn)樗梢裕?br /> 8 @& r! j8 g5 o! I; f
1。抓到正在傳輸?shù)拿艽a。
2。抓到別人的秘密（信用卡號）或不想共享的資料。
3。可以通過管理員封包破解相互信任的系統(tǒng)域。

可見，通常的安全分析將sniffer放在第二級的攻擊不是沒道理的，如果你在你管理的網(wǎng)絡(luò)中發(fā)現(xiàn)了sniffer, 那么它代表的是有個(gè)cracker已經(jīng)進(jìn)入你的網(wǎng)絡(luò)了，并且正在收集使用者的id和密碼。現(xiàn)在我想你可能已經(jīng)知道sniffer的工作原理了，如果你想多了解它攻擊目標(biāo)后會如何，請參考：
http://yahi.csustan.edu/studnotw.html
http://www.securitymanagement.com/library/000215.html
4 j, ~' Y1 J* e% q（美國陸軍導(dǎo)彈研究中心和Whist Sands導(dǎo)彈發(fā)射基地事件）

7 Y. b4 p; ]: h6 j; {8 ?在中國，我沒有收集到可靠的sniffer攻擊的例子，但是，可以肯定的是，有人在廣州網(wǎng)易上這樣做過，但是我沒有證據(jù)來說明。（請注意如果有人在你的網(wǎng)絡(luò)上放sniffer，你的封包傳送丟失的機(jī)會將大增）。
- X6 G: f* N/ {
) g1 r& V6 Q0 e7 ?8 ^; h那么如何得到一個(gè)sniffer來研究研究呢？ 在ms-dos平臺上有個(gè)杰出的sniffer
- v; s3 E5 n. U:Gobbler
# z! H, }% V. E7 U, M你可以到這里找到它：
) [9 ~! F7 v& k+ Y3 a& Ohttp://www.cse.rmit.edu.au/~rdssc/courses/ds738/watt/other/gobbler.zip
: S" \; W) A. I9 Oftp://ftp.mzt.hr/pub/tools/pc/sniffers/gobbler/gobbler.zip
* f3 u$ A% Q5 L& T3 n5 Z4 Z9 S它可以在pc上執(zhí)行，并且只分析區(qū)域內(nèi)的封包，還可以設(shè)定只分析每個(gè)封包的前200到300個(gè)字節(jié)，這其中包含了用戶名稱和密碼，通常，Cracker要這些就可以了。（這一點(diǎn)很重要，想象一下，如何沒有節(jié)制的收集封包，幾分鐘內(nèi)，你的硬盤就可能放不下任何文件了），還有，我個(gè)人認(rèn)為很重要的一點(diǎn)，Gobbler可以很輕易的看到每個(gè)封包從哪里來，要到哪里去，我覺得這起碼使我的工作變的很有針對性。
! |* Q  {; {9 `% \
還有一個(gè) C 的sniffer, Ethload.一個(gè)相當(dāng)完整的sniffer.它可以在這些協(xié)議
2 W0 {( P. N& ~& H上跑：
Novell odi
2Com/Microsoft Protocol Manager
3 T  [" @1 l# W$ b$ I2 APC/TCP/Clarkson/Crynwr
可以分析這些封包：
Tcp/Ip
DECnet
OSI
XNS
, r: o+ d( G0 }. U, d7 {3 Y' tNetware
NetEBUI
, M/ c/ _  |+ O6 X3 D( M" R# o, V你可以到這些地方下載：
ftp://oak.oakland.edu/simtel/msdos/lan/ethld104.zip
, ?1 i, B& P9 i( o6 Khttp://wwww.med.ucalgary.ca:70/1/ftp/dos/regular

Netman : http://www.cs.curtin.edu.au/~netman/
0 }- d+ L( @- x  A& g7 ?這是一個(gè)可以在X-windows中執(zhí)行的sniffer.可我覺得這個(gè)功能不太可能用上，試想一下，如果有個(gè)Cracker在你的網(wǎng)絡(luò)中執(zhí)行X-windows而你不知道，呵呵。。。那我覺得，你的問題比被別人放sniffer更粗。
1 z$ R0 r* M" N: w
, n$ q5 j, V7 x7 hEsniff.c 這是一個(gè)專門用來收集Sun平臺的封包流量的產(chǎn)品。原始的C代碼只抓取封包的開始部分，（使用者id和密碼）。你可以將它修改成抓取其他信息。
可以從這里下載這個(gè)C代碼：
) K! w; z8 V+ Q9 Y2 q" chttp://pokey.nswc.navy.mil/docs/progs/ensnif.txt
ftp.infonexus.com
. n9 V; Q2 ]5 X7 l1 ?/ Z. G其他的sniffer產(chǎn)品包括：
7 Q+ @9 W: S. L2 ?* wSunsniff : http://mygale.mygale.org/08/datskewl/elite
http://hacked-inhabitants.com/warez/sunsniff.c
Linux_sniffer.c
& B/ ]7 r+ V+ U3 S6 h8 P$ t/ V$ Mhttp://mygale.mygale.org/08/datskewl/elite
Nitwit.c （在你使用之前，提醒你先看一遍源程序）
www.catch22.com/twilight.net/phuncent/hacking/proggies/sni
" Q7 C  D( L3 w* H" y7 |* J. h% yffers/nitwit.c

Ok.現(xiàn)在我們都知道了什么是sniffer, 從哪里你可以得到sniffer, 那么，我如何知道我的網(wǎng)絡(luò)有沒有被裝上sniffer呢？ 理論上的答案是：沒有辦法。這也是為什么我們說sniffer的危險(xiǎn)程度相當(dāng)高的原因之一，因?yàn)樗察o了。換句話說，它不在你的系統(tǒng)中留下什么。并且你不知道它在你網(wǎng)絡(luò)的哪個(gè)地方跑。
0 k: K7 D( b, g( k/ r兩種建議的方法：
1。列出當(dāng)前在你機(jī)器上的所有進(jìn)程。使用dos,windows,win95的用戶可能有問題。但是Nt和Unix用戶可以很容易。注意在Unix下，我通常的做法是：
2 t' F% S0 E* _; B2 s2 F: e3 T% z4 w
想辦法將ps放入一只特洛伊木馬，（如果有權(quán)限的話）當(dāng)別人使用ps -augx時(shí)，先kill我的sniffer進(jìn)程。

5 T3 B4 N5 D1 X  h  A2 s) f' J所以，請你用root path中的ps.

8 @" g$ h0 N5 R5 X& u1 p2。直接去找sniffer.因?yàn)榫W(wǎng)上也就那么20來種sniffer,大多數(shù)cracker不會自己去花時(shí)間專門為你的網(wǎng)絡(luò)寫個(gè)sniffer（除非你每次在物理食堂吃的比他好很多），但是，如果他真的寫了，呵呵。。你最好花幾個(gè)小時(shí)來檢查你的目錄的一致性。如果你使用Unix ,你最好先和你女朋友打聲招呼。
& [, z6 T/ K- O1 V9 e- Q6 z
那么假設(shè)很不幸的，你花了幾個(gè)小時(shí)后，你得出了結(jié)論：我的網(wǎng)絡(luò)被放了一個(gè)sniffer。我要怎么辦？
7 q, Y1 P: V; N通常我一定要先停止網(wǎng)絡(luò)運(yùn)行。然后，我考慮一個(gè)能加密封包的產(chǎn)品。SSH和f-SSH，這個(gè)產(chǎn)品使用ports 22，用RSA來計(jì)算連線的封包?？上У氖?，你必須叫你的用戶習(xí)慣這個(gè)產(chǎn)品，雖然SSH有免費(fèi)的版本在網(wǎng)上等你。(win95,Unix 的都有。）
1 g- `$ p  K, D  R' O
" |8 [$ |; o8 M/ _7 _第二：我考慮重新架構(gòu)我的網(wǎng)絡(luò)，但是要花很多錢。（可以用Bridge或路由重新分割網(wǎng)絡(luò)，重新考慮信任域等。。）重新架構(gòu)網(wǎng)絡(luò)超過我的討論范圍。

/ b/ Y+ A9 l# V& o) q) V建議你不要只考慮火墻，因?yàn)榛饓κ墙ohacker破解用的。就好象shadow密碼一樣。在NIS中，shadow依然是個(gè)BUG.

最后說明一點(diǎn)：使用sniffer不那么單純，要具備一定的網(wǎng)絡(luò)知識才能真正使
, c; }$ g/ _# [( h5 R+ w8 ~用它來獲取你想要的信息。（否則，它會幫你收集一大把垃圾的）因?yàn)樗?font class="jammer">4 n3 K- s3 A  C3 j8 B0 J
工作的環(huán)境是很底層的網(wǎng)絡(luò)界面。

黑客技術(shù)(6)- 再議 Sniffer

3 Y; t; T% r0 p- G5 h停了很久沒有再寫了，近來有太多的人在提級sniffer , 我發(fā)現(xiàn)還是有很多人對sniffer
) G5 q2 a: r8 m7 h4 A* x2 U) G這個(gè)概念很模糊，所以想再說一下Sniffer. 所說全是個(gè)人觀點(diǎn)，歡迎指正。
3 x5 @9 d1 Q8 u' R

* l3 V. O. b" C/ A( q3 p; N' Qsniffing 和 spoofing 一樣是作用在網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)的底層。通常情況下，用戶并不直
; C6 q" f" f1 W- G, s; S接和該層打交道，有些甚至不知道有這一層存在，呵呵。他們只是用ftp.http.telnet
. \# W! i. e6 W: K/ |( n3 B8 U.email 等，所以，應(yīng)該說snffer的危害是相當(dāng)之大的，通常使用sniffer 是一
( D; W* H7 `" ^9 h" e+ y次spoofing的開始。

7 m) N, d; S# r* e1 L那么到底sniffer是怎樣的一種概念呢？
, \, ^% j) I0 d7 q7 l4 Z
sniffer 是利用計(jì)算機(jī)的網(wǎng)絡(luò)接口截獲目的地為其他計(jì)算機(jī)的數(shù)據(jù)報(bào)文的一種工具。
(ISS)
. {, d9 U# D, F. q: d
3 R8 r3 `  l8 p7 P9 x# y在合理的網(wǎng)絡(luò)中，sniffer的存在對系統(tǒng)管理員是致關(guān)重要的，系統(tǒng)管理員通過sniffer可以診斷出大量的不可見模糊問題，這些問題涉及兩臺乃至多臺計(jì)算機(jī)之間的異常通訊有些甚至牽涉到各種的協(xié)議，借助于sniffer %2C系統(tǒng)管理員可以方便的確定出多少的通訊量屬于哪個(gè)網(wǎng)絡(luò)協(xié)議、占主要通訊協(xié)議的主機(jī)是哪一臺、大多數(shù)通訊目的地是哪臺主 機(jī)、報(bào)文發(fā)送占用多少時(shí)間、或著相互主機(jī)的報(bào)文傳送間隔時(shí)間等等，這些信息為管理員判斷網(wǎng)絡(luò)問題、管理網(wǎng)絡(luò)區(qū)域提供了非常寶貴的信息。但是，同時(shí)，如果有心之人（非系統(tǒng)管理員）使用了sniffer ,那么，他同樣也可以獲得和管理員一樣多的信息，同樣也可以對整個(gè)的網(wǎng)絡(luò)做出判斷。當(dāng)然，SPP相信他不會用這些信息去管理網(wǎng)絡(luò)。

現(xiàn)在網(wǎng)絡(luò)上到處可見免費(fèi)的sniffer , 各種平臺下的都有，我真不知道，這對管理員來說是好事還是壞事。（參看上一篇關(guān)于sniffer的文章，你可以知道現(xiàn)在找個(gè)sniffer多容易）
0 E' u7 h; s6 O) o
9 j7 b# M* t5 u, z' w; T' X話說回來，那么sniffer是如何在網(wǎng)絡(luò)上實(shí)施的呢？
談這個(gè)問題之前還應(yīng)該先說一下Ethernet的通訊. 通常在同一個(gè)網(wǎng)段的所有網(wǎng)絡(luò)接口都有訪問在物理媒體上傳輸?shù)乃袛?shù)據(jù)的能力，而每個(gè)網(wǎng)絡(luò)接口都還應(yīng)該有一個(gè)硬件地址，該硬件地址不同于網(wǎng)絡(luò)中存在的其他網(wǎng)絡(luò)接口的硬件地址，同時(shí)，每個(gè)網(wǎng)絡(luò)至少還要一個(gè)廣播地址。（代表所有的接口地址），在正常情況下，一個(gè)合法的網(wǎng)絡(luò)接口應(yīng)該只響應(yīng)這樣的兩種數(shù)據(jù)幀：
6 t9 B1 X: b. m# d- v6 u
6 I5 k' V+ n& ?4 e1、幀的目標(biāo)區(qū)域具有和本地網(wǎng)絡(luò)接口相匹配的硬件地址。
  A4 J8 V. G+ {2、幀的目標(biāo)區(qū)域具有“廣播地址”。
' A5 [; D1 Y: p' A" i# F  l+ [
& H& `8 g0 F: o, r在接受到上面兩種情況的數(shù)據(jù)包時(shí)，nc通過cpu產(chǎn)生一個(gè)硬件中斷，該中斷能引起操作
8 U+ W  h0 [5 i% S* r( O! Q4 l系統(tǒng)注意，然后將幀中所包含的數(shù)據(jù)傳送給系統(tǒng)進(jìn)一步處理。
9 l2 q5 r; c" J# ?* Y  d7 T
而sniffer 就是一種能將本地nc狀態(tài)設(shè)成（promiscuous）狀態(tài)的軟件，當(dāng)nc處于這種
“混雜”方式時(shí)，該nc具備“廣播地址”，它對所有遭遇到的每一個(gè)幀都產(chǎn)生一個(gè)硬件
中斷以便提醒操作系統(tǒng)處理流經(jīng)該物理媒體上的每一個(gè)報(bào)文包。
& r# j, h, f  e( `0 j/ s（絕大多數(shù)的nc具備置成promiscuous方式的能力）
" |  M7 y* b2 b2 A5 m

可見，sniffer工作在網(wǎng)絡(luò)環(huán)境中的底層，它會攔截所有的正在網(wǎng)絡(luò)上傳送的數(shù)據(jù)，并
且通過相應(yīng)的軟件處理，可以實(shí)時(shí)分析這些數(shù)據(jù)的內(nèi)容，進(jìn)而分析所處的網(wǎng)絡(luò)狀態(tài)和整
體布局。值得注意的是：sniffer是極其安靜的，它是一種消極的安全攻擊。
2 }5 U3 M7 b7 U( J3 L3 j$ E
7 \( }. x1 A' ?8 [* M/ O
/ ^" @( i1 k* ^1 o( Z6 y通常sniffer所要關(guān)心的內(nèi)容可以分成這樣幾類：
# D% `4 r4 ]1 ~" m
* |2 K3 `' v! n# T1、口令
% S& C. H* h- V* t我想這是絕大多數(shù)非法使用sniffer的理由，sniffer可以記錄到明文傳送的userid 和
passwd.就算你在網(wǎng)絡(luò)傳送過程中使用了加密的數(shù)據(jù)，sniffer記錄的數(shù)據(jù)一樣有可能使
入侵者在家里邊吃肉串邊想辦法算出你的算法。
. G: K( M1 E) w; c2 M
2、金融帳號
8 e9 L8 u4 V0 b7 u/ U, e, j# b許多用戶很放心在網(wǎng)上使用自己的信用卡或現(xiàn)金帳號，然而 sniffer可以很輕松截獲在網(wǎng)
上傳送的用戶姓名、口令、信用卡號碼、截止日期、帳號和pin.
' [) ^( ~: P$ L) V8 `
: N* b# n( n8 m2 K# h3、偷窺機(jī)密或敏感的信息數(shù)據(jù)
通過攔截?cái)?shù)據(jù)包，入侵者可以很方便記錄別人之間敏感的信息傳送，或者干脆攔截整個(gè)的
, g& Z; j( E; v  t2 y" Eemail會話過程。

4、窺探低級的協(xié)議信息。
' j8 F) X% o, b5 j這是很可怕的事，我認(rèn)為，通過對底層的信息協(xié)議記錄，比如記錄兩臺主機(jī)之間的網(wǎng)絡(luò)接口地址、遠(yuǎn)程網(wǎng)絡(luò)接口ip地址、ip路由信息和tcp連接的字節(jié)順序號碼等。這些信息由非法入侵的人掌握后將對網(wǎng)絡(luò)安全構(gòu)成極大的危害，通常有人用sniffer收集這些信息只有一個(gè)原因：他正在進(jìn)行一次欺詐，（通常的 ip 地址欺詐就要求你準(zhǔn)確插入tcp連接的字節(jié)順序號,這將在以后整理的文章中指出） 如果某人很關(guān)心這個(gè)問題，那么sniffer對他來說只是前奏，今后的問題要大條得多。（對于高級的hacker而言，我想這是使用sniffer的唯一理由吧）
' o  z& Y+ W7 k& Y  p* T9 ?7 u
& w! q+ ~: ~0 a+ P6 X那么，通過交換設(shè)備（網(wǎng)橋、交換機(jī)、路由等）所形成的網(wǎng)絡(luò)邊界是否可以有sniffer存在的空間呢？ 我想這是一個(gè)有趣的問題。能形成網(wǎng)絡(luò)邊界的交換設(shè)備并不是把來自一邊的所有的幀都丟到另一邊的。他們通常允許某些報(bào)文通過邊界而阻止某些報(bào)文（特別是網(wǎng)絡(luò)廣播）通過邊界。因此從理論上講，通過交換設(shè)備對網(wǎng)絡(luò)進(jìn)行分段后，sniffer將無法透過邊界而窺探另一邊的數(shù)據(jù)包。但是，請注意：這是在邊界設(shè)備不轉(zhuǎn)發(fā)廣播包的情況下（這也是通常的網(wǎng)絡(luò)情況）。一旦入侵者使用spoofer 誘騙某個(gè)邊界設(shè)備而將自己的廣播包流入不該進(jìn)入的網(wǎng)段后，原理上還是在一個(gè)共享設(shè)備端使用sniffer 而實(shí)際上將是聽到了邊界的另一邊。（詳細(xì)的spoofer應(yīng)用我會再整理出來）當(dāng)然，這樣會牽涉到ip 欺詐和Mac欺詐的問題，然而，你別忘了，sniffer和spoofer是很少分開來 的。

既然sniffer如此囂張又安靜，我要如何才知道有沒有sniffer在我的網(wǎng)上跑呢？這也是一個(gè)很難說明的問題，比較有說服力的理由證明你的網(wǎng)絡(luò)有sniffer目前有這么兩條：
, o$ w) _1 D2 i' U0 A
' g1 k1 W0 n7 h4 }  M1、你的網(wǎng)絡(luò)通訊掉包率反常的高。
3 {# O' t( h' h7 ~! W通過一些網(wǎng)絡(luò)軟件，你可以看到你的信息包傳送情況（不是sniffer），向ping這樣的命令會告訴你掉了百分幾的包。如果網(wǎng)絡(luò)中有人在聽，那么你的信息包傳送將無法每次都順暢的流到你的目的地。（這是由于sniffer攔截每個(gè)包導(dǎo)致的）
% [) ]% w0 S" h! H+ Q; o, {: z
/ c% k. C' Y1 |. x; ?' D2、你的網(wǎng)絡(luò)帶寬將出現(xiàn)反常。
' p" o: a" t+ ~$ s) w  U通過某些帶寬控制器（通常是火墻所帶），你可以實(shí)時(shí)看到目前網(wǎng)絡(luò)帶寬的分布情況，如果某臺機(jī)器長時(shí)間的占用了較大的帶寬，這臺機(jī)器就有可能在聽。實(shí)際操作中，我還發(fā)現(xiàn)，如果某臺機(jī)器（非服務(wù)器）在不該使用廣播的網(wǎng)絡(luò)中使用了ICMP 類型10 、11、9等這一類的廣播，呵呵。。有可能。。。非常有可能。。。如果同時(shí)出現(xiàn)udp520口的rip廣播。呵呵。。那就百分之N接近。。。。。

在非高速信道上，如56K ddn 等，如果網(wǎng)絡(luò)中存在sniffer ,你應(yīng)該也可以察覺出網(wǎng)絡(luò)通訊速度的變化。
! ]4 Y6 |; ?: y' M

& F3 ^# a# u! S9 W& |% d最后再說明的是，并不是使用了交換設(shè)備就可以完全阻止sniffer , 如果系統(tǒng)管理員錯(cuò)誤的使用了網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)，比如，工作站或終端通過某個(gè)集連設(shè)備集中到交換集線器，然后通過路由再進(jìn)入主機(jī)群。這樣的布線表面看來好象有物理上的分割，但實(shí)際上，從邏輯的觀點(diǎn)，任何一臺機(jī)器的數(shù)據(jù)除了到達(dá)主機(jī)外，還同時(shí)流向別的機(jī)器。任何一臺機(jī)器都有可能架個(gè)sniffer 來監(jiān)控從本地網(wǎng)絡(luò)流向主機(jī)的所有數(shù)據(jù)。安全的布線應(yīng)該是從各終端就使用交換設(shè)備。（在沒有spoofer的情況下）


黑客技術(shù)(7)- ARP欺騙
( R, H/ N+ f& {( F+ u2 U
  N- X' W" x( p; w( U" WARP 欺騙技術(shù)

本來不打算寫這接下的一系列討論欺騙的文章（計(jì)劃中有arp欺騙、icmp欺騙、路由rip欺騙、ip地址欺騙等），這主要是自己有些擔(dān)心有些人會給網(wǎng)管增加日常工作量，但是想想還是寫的好，因?yàn)橥ǔＴ谀忝痛蛲暄a(bǔ)丁后，你可能覺得你的系統(tǒng)安全了，但是，實(shí)際上，打補(bǔ)丁只是安全措施里的一個(gè)很基本的步驟而已，通常一個(gè)hacker要進(jìn)入你的系統(tǒng)，他所要做的并不是你打補(bǔ)丁就可以避免的，象這些欺騙都要求你必須掌握相當(dāng)?shù)木W(wǎng)絡(luò)底層知識和合理安排物理布線
才可阻止得了的。特別是多種手法混用的時(shí)候，特別要說明的是：有些人往往以為會使用某些工具入侵就覺得自己是個(gè)hacker， 呵呵。。其實(shí)，我認(rèn)為這只是入門而已（有些是連門都找不到），通過本文，我想讓人們知道，一個(gè)hacker在真正入侵系統(tǒng)時(shí)，他并不是依靠別人寫的什么軟件的。更多是靠對系統(tǒng)和網(wǎng)絡(luò)的深入了解來達(dá)到這個(gè)目的。

2 D" }& t$ T4 i我想我會盡可能將我知道的寫出來，同時(shí)也將盡可能把防止欺騙的解決辦法寫出來，當(dāng)然，這只是我知道的而已，如果有失誤的地方，歡迎指正。 呵呵。。


首先還是得說一下什么是 ARP ，如果你在UNIX Shell下輸入 arp -a
8 d" Q( f; v. ^7 p. d3 W(9x下也是），你的輸出看起來應(yīng)該是這樣的：

& M8 X+ F% a- r& `, o0 E1 K5 uInterface: xxx.xxx.xxx.xxx

Internet Address Physical Address Type
xxx.xxx.xxx.xxx 00-00-93-64-48-d2 dynamic
xxx.xxx.xxx.xxx 00-00-b4-52-43-10 dynamic
...... ......... ....
+ Q' a3 M) l0 G2 @& u/ X! V
, @6 y% i. j! N, V- Y這里第一列顯示的是ip地址，第二列顯示的是和ip地址對應(yīng)的網(wǎng)絡(luò)接口卡的硬件地址（MAC），第三列是該ip和mac的對應(yīng)關(guān)系類型。
! Z9 J* Q0 A& W* |7 {
可見，arp是一種將ip轉(zhuǎn)化成以ip對應(yīng)的網(wǎng)卡的物理地址的一種協(xié)議，或者說ARP協(xié)議是一種將ip地址轉(zhuǎn)化成MAC地址的一種協(xié)議，它靠維持在內(nèi)存中保存的一張表來使ip得以在網(wǎng)絡(luò)上被目標(biāo)機(jī)器應(yīng)答。
4 v. `2 T  S+ W. @
為什么要將ip轉(zhuǎn)化成mac 呢？ 呵呵。。解釋下去太多了，簡單的說，這是因?yàn)樵趖cp網(wǎng)絡(luò)環(huán)境下，一個(gè)ip包走到哪里，要怎么走是靠路由表定義，但是，當(dāng)ip包到達(dá)該網(wǎng)絡(luò)后，哪臺機(jī)器響應(yīng)這個(gè)ip包卻是靠該ip包中所包含的mac地址來識別，也就是說，只有mac地址和該ip包中的mac地址相同的機(jī)器才會應(yīng)答這個(gè)ip包（好象很多余，呵呵。。），因?yàn)樵诰W(wǎng)絡(luò)中，每一臺主機(jī)都會有發(fā)送ip包的時(shí)候，所以，在每臺主機(jī)的內(nèi)存中，都有一個(gè) arp--> mac 的轉(zhuǎn)換表。通常是動(dòng)態(tài)的轉(zhuǎn) 換表（注意在路由中，該arp表可以被設(shè)置成靜態(tài)）。也就是說，該對應(yīng)表會被
- M/ E6 i3 E1 N; R主機(jī)在需要的時(shí)候刷新。這是由于乙太網(wǎng)在子網(wǎng)層上的傳輸是靠48位的mac地址而決定的。
! c( X& B. ?/ x' l3 A; u' {, `
通常主機(jī)在發(fā)送一個(gè)ip包之前，它要到該轉(zhuǎn)換表中尋找和ip包對應(yīng)的mac地址，如果沒有找到，該主機(jī)就發(fā)送一個(gè)ARP廣播包，看起來象這樣子：
" u- b# ?: _  n$ v2 M. Q
“我是主機(jī)xxx.xxx.xxx.xxx , mac是xxxxxxxxxxx ,ip為xxx.xxx.xxx.xx1的
主機(jī)請報(bào)上你的mac來”

ip為xxx.xxx.xxx.xx1的主機(jī)響應(yīng)這個(gè)廣播，應(yīng)答ARP廣播為：
8 q. Y, S( a) s0 y3 }
“我是xxx.xxx.xxx.xx1,我的mac為xxxxxxxxxx2”
1 i- t4 y4 K. W; Z8 Z9 ?2 G0 x
于是，主機(jī)刷新自己的ARP緩存。然后發(fā)出該ip包。

. e/ ]) s' L, p2 k了解這些常識后，現(xiàn)在就可以談在網(wǎng)絡(luò)中如何實(shí)現(xiàn)ARP欺騙了，可以看看這樣一個(gè)例子：
+ i1 Z$ p: @& [1 y  u
一個(gè)入侵者想非法進(jìn)入某臺主機(jī)，他知道這臺主機(jī)的火墻只對192.0.0.3(假設(shè))這個(gè)ip開放23口(telnet),而他必須要使用telnet來進(jìn)入這臺主機(jī)，所以他要這么做：
' e- C0 {. j8 @5 O2 E. D# E1、他先研究192.0.0.3這臺主機(jī)，發(fā)現(xiàn)這臺95的機(jī)器使用一個(gè)oob就可以讓他
死掉。
2、于是，他送一個(gè)洪水包給192.0.0.3的139口，于是，該機(jī)器應(yīng)包而死。
% s7 s8 w" k8 N' z. |) M! W3、這時(shí)，主機(jī)發(fā)到192.0.0.3的ip包將無法被機(jī)器應(yīng)答，系統(tǒng)開始更新自己的
arp對應(yīng)表。將192.0.0.3的項(xiàng)目搽去。
, C7 r+ `7 d8 g7 ]& l. @6 C# }7 ^3 q4 R- ~4、這段時(shí)間里，入侵者把自己的ip改成192.0.0.3
5、他發(fā)一個(gè)ping(icmp 0)給主機(jī)，要求主機(jī)更新主機(jī)的arp轉(zhuǎn)換表。
6、主機(jī)找到該ip，然后在arp表中加如新的ip-->mac對應(yīng)關(guān)系。
: w7 w8 K: u) _* n% W6 B* W7、火墻失效了，入侵的ip變成合法的mac地址，可以telnet 了。
0 h3 ~2 l5 h. |
(好象很羅嗦，呵呵。。不過這是很典型的例子)
1 T) v+ w1 x0 X
現(xiàn)在，假如該主機(jī)不只提供telnet , 它還提供r命令（rsh,rcopy,rlogin等）那么，所有的安全約定將無效，入侵者可以放心的使用這臺主機(jī)的資源而不用擔(dān)心被記錄什么。

- D( g- P7 \( s( A  l有人也許會說，這其實(shí)就是冒用ip嘛。。呵呵。。不錯(cuò)，是冒用了ip,但決不是ip欺騙，ip欺騙的原理比這要復(fù)雜的多，實(shí)現(xiàn)的機(jī)理也完全不一樣。
5 Y/ Q6 K% G' u2 M6 @2 M
上面就是一個(gè)ARP的欺騙過程，這是在同網(wǎng)段發(fā)生的情況，但是，提醒注意的是，利用交換集線器或網(wǎng)橋是無法阻止ARP欺騙的，只有路由分段是有效的阻止手段。（也就是ip包必須經(jīng)過路由轉(zhuǎn)發(fā)。在有路由轉(zhuǎn)發(fā)的情況下，ARP欺騙如配合ICMP欺騙將對網(wǎng)絡(luò)造成極大的危害，從某種角度將，入侵者可以跨過路由監(jiān)聽網(wǎng)絡(luò)中任何兩點(diǎn)的通訊,如果有裝火墻，請注意火墻有沒有提示過類似：某某IP是局域IP但從某某路由來等這樣的信息。詳細(xì)實(shí)施以后會討論到。）
. ]4 y- _; [1 Z/ U) E4 x# c
! H' A9 _/ E* |7 ]在有路由轉(zhuǎn)發(fā)的情況下，發(fā)送到達(dá)路由的ip的主機(jī)其arp對應(yīng)表中，ip的對應(yīng)值是路由的mac。
比如:
) @' T3 r8 ?& k3 ?4 O8 G我 ping www.nease.net 后，那么在我主機(jī)中，www.nease.net的IP對應(yīng)項(xiàng)不是nease的mac 而是我路由的mac。其ip也是我路由的IP.(有些網(wǎng)絡(luò)軟件通過交換路由ARP可以得到遠(yuǎn)程IP的MAC)
8 [1 G$ N1 L6 n5 W
有興趣做深入一步的朋友可以考慮這樣一種情況：
5 g( g3 h: ]0 v- y' K8 }( u/ ^8 I
假設(shè)這個(gè)入侵者很不幸的從化學(xué)食堂出來后摔了一跤，突然想到：我要經(jīng)過一個(gè)路由才可以走到那臺有火墻的主機(jī)?。?！ ^^^^
7 P- D5 R# a" {' U% m
于是這個(gè)不幸的入侵者開始坐下來痛苦的思考：

) W# L. H8 }; a7 r: x4 \# ?9 p) u1、我的機(jī)器可以進(jìn)入那個(gè)網(wǎng)段，但是，不是用192.0.0.3的IP
1 p' I. H4 C# H4 @5 y2、如果我用那個(gè)IP，就算那臺正版192.0.0.3的機(jī)器死了，那個(gè)網(wǎng)絡(luò)里的機(jī)器也不會把ip包丟到路由傳給我。
3、所以，我要騙主機(jī)把ip包丟到路由。
% Y3 f2 o  E# U; h0 @: N/ P0 u  @
# \6 @( K7 q# @$ D; `6 o% `; y5 p通過多種欺騙手法可以達(dá)到這個(gè)目的。所以他開始這樣做：

9 ~0 @0 V8 T0 }2 B  w* N8 w5 J1、為了使自己發(fā)出的非法ip包能在網(wǎng)絡(luò)上活久一點(diǎn)，他開始修改ttl為下面的過程中可能帶來的問題做準(zhǔn)備。他把ttl改成255.(ttl定義一個(gè)ip包如果在網(wǎng)絡(luò)上到不了主機(jī)后，在網(wǎng)絡(luò)上能存活的時(shí)間，改長一點(diǎn)在本例中有利于做充足的廣播)
2、他從貼身口袋中掏出一張軟盤，這張有體溫的軟盤中有他以前用sniffer時(shí)保存的各種ip包類型。
7 P+ ^) o2 ^2 @, Y2 N) G$ c9 h3、他用一個(gè)合法的ip進(jìn)入網(wǎng)絡(luò)，然后和上面一樣，發(fā)個(gè)洪水包讓正版的192.0.0.3死掉，然后他用192.0.0.3進(jìn)入網(wǎng)絡(luò)。
+ w# Y# R* O) _6 K  f9 \& D4、在該網(wǎng)絡(luò)的主機(jī)找不到原來的192.0.0.3的mac后，將更新自己的ARP對應(yīng)表。于是他趕緊修改軟盤中的有關(guān)ARP廣播包的數(shù)據(jù)，然后對網(wǎng)絡(luò)廣播說“能響應(yīng)ip為192.0.0.3的mac 是我”。
2 ~2 C( B4 a2 j5、好了，現(xiàn)在每臺主機(jī)都知道了，一個(gè)新的MAC地址對應(yīng)ip 192.0.0.3,一個(gè)ARP欺騙完成了，但是，每臺主機(jī)都只會在局域網(wǎng)中找這個(gè)地址而根本就不會把發(fā)送給192.0.0.3的ip包丟給路由。于是他還得構(gòu)造一個(gè)ICMP的重定向廣播。6、他開始再修改軟盤中的有關(guān)ICMP廣播包的數(shù)據(jù)，然后發(fā)送這個(gè)包，告訴網(wǎng)絡(luò)中的主機(jī)：“到192.0.0.3的路由最短路徑不是局域網(wǎng)，而是路由，請主機(jī)重定向你們的路由路徑，把所有到192.0.0.3的ip包丟給路由哦?！?font class="jammer">, M' s8 f0 \. x! K* p) Q
7、主機(jī)接受這個(gè)合理的ICMP重定向，于是修改自己的路由路徑，把對192.0.0.3 的ip通訊都丟給路由器。
8、不幸的入侵者終于可以在路由外收到來自路由內(nèi)的主機(jī)的ip包了，他可以開始telnet到主機(jī)的23口，用ip 192.0.0.3.
1 Q) X( f; w1 q7 U9、這個(gè)入侵者一把沖出芙蓉一（229），對著樓下來往的女生喊到：“一二一。?！?font class="jammer">5 U: m" X- M% d+ R1 T, w

) f/ U) D' i/ M4 H# j5 x3 v/ r3 S: V呵呵。。他完成了。
7 x- I! |, j  f注意，這只是一個(gè)典型的例子，在實(shí)際操作中要考慮的問題還不只這些。

現(xiàn)在想想，如果他要用的是sniffer會怎樣？
' S" o3 A5 I0 Y$ p2 ?: c
' n7 U; j0 A7 h# Q- B. [5 h! X, {假如這個(gè)入侵者實(shí)在是倒霉 （因?yàn)楹啊耙欢?。?！倍慌礆?，?dāng)他從地上爬起來后突然發(fā)現(xiàn)：其實(shí)我要經(jīng)過好幾個(gè)路由才可以到那臺主機(jī)啊。。。。。
  g7 D' r4 q3 T  }% r這時(shí)他要怎么做？
% o- k3 ^( W; @4 c
呵呵。。。有興趣做更深入了解的朋友可以自己構(gòu)思。通常入侵者是這樣做的：
4 o0 ^/ ~2 P: d" X1、苦思冥想六天六夜。。。。。
, g% g8 l& V8 j& N# U2 [.
.
3 P8 E* c6 Y# x2 N* X4 T.
8 U: ?- t- B( j! z! I1 u$ E5 ~N、一把沖出芙蓉一（229），狂叫一聲，一頭栽向水泥馬路。

可見，利用ARP欺騙，一個(gè)入侵者可以得到：
1、利用基于ip的安全性不足，冒用一個(gè)合法ip來進(jìn)入主機(jī)。
  r  ]- Z7 `( H8 y. c: b: [" f2、逃過基于ip的許多程序的安全檢查，如NSF,R系列命令等。
5 ^0 G& u' c, x9 y' A( |
甚至可以得到：

栽賬嫁禍給某人，讓他跳到黃河洗不清，永世不得超生。

那么，如何防止ARP欺騙呢？從我收集整理的資料中，我找出這幾條：（歡迎補(bǔ)充）

1、不要把你的網(wǎng)絡(luò)安全信任關(guān)系建立在ip基礎(chǔ)上或mac基礎(chǔ)上，（rarp同樣存在欺騙的問題），理想的關(guān)系應(yīng)該建立在ip+mac基礎(chǔ)上。
2、設(shè)置靜態(tài)的mac-->ip對應(yīng)表，不要讓主機(jī)刷新你設(shè)定好的轉(zhuǎn)換表。
) W4 _# O+ W5 G1 v' }% d7 _3、除非很有必要，否則停止使用ARP，將ARP做為永久條目保存在對應(yīng)表中。
4、使用ARP服務(wù)器。通過該服務(wù)器查找自己的ARP轉(zhuǎn)換表來響應(yīng)其他機(jī)器的ARP廣播。
確保這臺ARP服務(wù)器不被黑。
5、使用"proxy"代理ip的傳輸。
; R) s% w9 X' p  a. D! Z$ a6、使用硬件屏蔽主機(jī)。設(shè)置好你的路由，確保ip地址能到達(dá)合法的路徑。
3 _0 b9 f; F- J# O3 {( i% c4 Z（靜態(tài)配置路由ARP條目），注意，使用交換集線器和網(wǎng)橋無法阻止ARP欺騙。
7、管理員定期用響應(yīng)的ip包中獲得一個(gè)rarp請求，然后檢查ARP響應(yīng)的真實(shí)性。
8、管理員定期輪詢，檢查主機(jī)上的ARP緩存。
9、使用火墻連續(xù)監(jiān)控網(wǎng)絡(luò)。注意有使用SNMP的情況下，ARP的欺騙有可能導(dǎo)致
陷阱包丟失。

4 @0 d* v* f  ^& n: R+ H! l% h, p
2 d7 @6 e4 o0 R6 t6 `6 i" m: w* j! t以下是我收集的資料，供做進(jìn)一步了解ARP協(xié)議和掌握下次會說到的sniffer on
arp spoofing
3 k. h! \  f8 U; W/ G% M
9 q9 [! a& w* r' C( |5 ]ARP的緩存記錄格式：
3 c2 P: Q* {/ C2 c; N( C( V% x+ f每一行為：
: L2 X6 c6 L$ H) T$ q9 I+ d
IF Index:Physical Address:IP Address:Type
5 C9 R" m/ _3 A/ ~. y
  m2 x$ @8 @$ ]* f: w其中： IF Index 為：1 乙太網(wǎng)
# J+ Z" s- r9 f* W4 N% E1 c2 實(shí)驗(yàn)乙太網(wǎng)
3 X.25
& u2 a+ S. W( K4 Proteon ProNET (Token Ring)
5 混雜方式
  e4 `% M* Q" l7 U$ h6 IEEE802.X
( g( z% l& S5 l3 P% G7 ARC網(wǎng)

ARP廣播申請和應(yīng)答結(jié)構(gòu)

硬件類型：協(xié)議類型：協(xié)議地址長：硬件地址長：操作碼：發(fā)送機(jī)硬件地址：
發(fā)送機(jī)IP地址：接受機(jī)硬件地址：接受機(jī)IP地址。
: `8 s& r, Z& {
其中：協(xié)議類型為： 512 XEROX PUP
* G/ q$ X. n; l+ Y6 c513 PUP 地址轉(zhuǎn)換
1536 XEROX NS IDP
/ C; ]* t  `6 |; ?; B- g9 ]2048 Internet 協(xié)議 (IP)
2049 X.752050NBS
6 {( `& ~$ r: h1 p9 `2051 ECMA
0 L( Z6 m4 f& h: x  m6 @$ u0 Z' U2053 X.25第3層
( u- u1 N( h5 z6 x9 F2054 ARP
2055 XNS
' k% s$ i. k8 N& u0 o4096 伯克利追蹤者
21000 BBS Simnet
24577 DEC MOP 轉(zhuǎn)儲/裝載
- t1 `* n( r! p. n4 v24578 DEC MOP 遠(yuǎn)程控制臺
: p1 F* y! J) X. e. _* K24579 DEC 網(wǎng) IV 段
24580 DEC LAT
2 v& r  N. u$ k  @9 o5 t24582 DEC
32773 HP 探示器
32821 RARP
. V8 o8 n+ b  y# R) B" `- B32823 Apple Talk
4 g3 ^9 P: j: h32824 DEC 局域網(wǎng)橋
. N8 f  f  G1 q! W( s( N" ]如果你用過NetXRay ,那么這些可以幫助你了解在細(xì)節(jié)上的ARP欺騙如何配合ICMP欺騙而讓一個(gè)某種類型的廣播包流入一個(gè)網(wǎng)絡(luò)