黑客在进行攻击时会借用其他系统来达到自己的目的，如对下一目标的攻击和被侵占计算机本身的利用等等。本文介绍了常见的黑客对被侵占计算机的使用方式和安全管理员相应的应对方法。
2.2 攻击的实际出发点
原理介绍
这里所说的攻击是指那些取得其他计算机控制权的动作，如溢出和漏洞攻击等。与扫描监听相同，从内部的“肉鸡”发起的攻击同样不必经过防火墙，被阻挡和发现的可能减少了。从这里攻击时被发现了之后，追查时会找到黑客吗？同样也不行，只能先找到“肉鸡”，再从这里找黑客就困难了。
如果说“肉鸡”做为扫描工具的时候象黑客的一只眼睛，做监听工具的时候象黑客的一只耳朵，那么“肉鸡”实际进攻时就是黑客的一只手。黑客借助“肉鸡”这个内应来听来看、来攻击，而“肉鸡”成为了提线木偶，举手投足都被人从选程看不到的地方控制着。
防御方法
也是需要对计算机进行严密的监视。请参考前面的内容。
2.3 DDoS攻击傀儡
关于黑客利用“肉鸡”进行DDoS攻击的手段就不再赘述了，详见缔造论坛曾经刊登的文章《DDoS攻击原理以及常见的攻击手段》
2.4端口跳转攻击平台
原理介绍
这种攻击方式一般是用来对付防火墙的访问限制的。在很多网络中都使用了防火墙对外封闭一些危险的端口（这种防御又是向外的），这里黑客就可以在内部已经有“肉鸡”的提前下，让“肉鸡”去访问这些端口，注意这时不经过防火墙是不会被阻挡的，而黑客从一个不被防火墙限制的端口去访问“肉鸡”。在进行这种攻击之前，黑客会在“肉鸡”上进行设置，利用特殊的软件把黑客对“肉鸡”的访问发送到目标计算机上，端口也会变成那个危险端口，这样黑客就绕过防火墙直接对目标计算机的危险端口进行攻击了。
只用文字描述比较抽象，我们来看一个例子。
这是一个我们在实际的安全响应中的处理过程，这里黑客使用了组合式的攻击手段，其中包括对Windows服务器常见的139端口攻击，对Solaris系统的溢出攻击，攻击前的信息收集，还有2.4要里着重介绍的端口跳转攻击的方式。
客户方的系统管理员发现一台Windows2000服务器的行为异常后，马上切断了这台服务器的网络连接并向我们报告，这是当时的网络拓扑结构。经过仔细的诊断，我们推断出黑客是利用了这台服务器的139端口漏洞，从远程利用nbtdump、口令猜测工具、Windows net命令等取得了这台服务器的控制权，并安装了BO 2000木马。但客户的系统管理员立刻否定我们的判断："虽然这台服务器的139端口没有关闭，但我已经在防火墙上设置了规则，使外部计算机不能访问这台服务器的139端口。"又是一个只防范外部攻击的手段！难道大家都对内部攻击占70%以上的比率视而不见吗？不过这里的路由器日志显示，黑客确实是从外部向这台服务器的木马端口进行连接的。难道黑客用了我们还不了解的新的攻击手段？
我们于是继续汇总分析各方面的数据，客户管理员也配合我们进行检查。在检查网络上的其他主机时，我们发现内部网中有一台SUN工作站的网卡上绑定了3个IP地址，其中一个IP地址与被攻击Windows服务器是一个网段的！这立刻引起了我们的注意。客户管理员解释说这是一台Solaris Sparc机器，经常用来做一些测试，有时也会接入服务器网段，所以配了一个该网段的地址。而且就在一个多星期前，这台SUN工作站还放在服务器网段。这就很可疑了，我们立刻对它进行了检查，果然这台SUN工作站已经被占领了，因为主要用途是测试，客户管理员并没有对它进行安全加强，攻破它是易如反掌的事情。在它上面发现了大量的扫描、监听和日志清除工具，另外还有我们意料之中的端口跳转工具 - netcat，简称nc。
至此问题就比较清楚了：黑客首先占领了这台毫不设防的SUN机，然后上载nc，设置端口跳转，攻击Windows 2000服务器的139端口，并且成功地拿下了它。还原当时的网络拓扑图应该是这样的。
解释了端口跳板是如何起作用的。nc安装后，黑客就会通过定制一些运行参数，在“肉鸡”的后台建立起由“肉鸡”的2139端口到目标计算机的139端口的跳转。这就象是一条虚拟的通道，由“肉鸡”的2139端口通向目标的139端口，任何向“肉鸡”的2139进行的访问都会自动地转发到目标计算机的139端口上去。就是说，访问“肉鸡”的2139端口，就是在访问目标的139端口。反过来，目标计算机的回馈信息也会通过“肉鸡”的通道向黑客计算机返回。
黑客需要两次端口跳转，第一次是利用自己的linux计算机把对139端口的访问向SUN的2139端口发送，这样就绕过了防火墙对139端口的访问限制。然后SUN会把对自己2139端口的访问发送到攻击最终目标的139端口上。为什么图中的"黑客"计算机不直接访问SUN的2139端口，而需要linux多跳转一次呢？这是由于象net、nbtdump、远程口令猜测等手段都是默认针对139端口而且黑客无法改变的。
在这两个端口跳板准备好了之后，黑客只要访问自己的linux机器上的139端口，就可以对目标的Windows服务器进行攻击了，“肉鸡”的作用巨大啊。据了解这台SUN工作站当时在服务器网段中只接入了三天不到的时间就搬到内部网里了，可见黑客对这个网段的情况变化的掌握速度是很快的，管理员们不要因为只是临时接入而忽略了安全。我们随后又在路由器上找到了当时黑客远程向SUN机的2139端口连接的日志，至此就完全清楚了。
防御方法
对于这种端口跳转攻击，除了加强内部主机，不使其侵入系统之外，还应对防火墙的规则进行严格的设置。设置规则可以按照先全部禁止，再单个放开的方法。这样即使黑客从非危险的端口连接过来时，也会被防火墙禁止掉。
网友评论