读书笔记——《黑客大曝光》（5/8）

第3部分 基础设施攻击

将无线网卡设置为“监听”状态，能够识别哪个无线网络处于激活状态。借助“aircrack-ng”——一个无线网络监听工具包，能够截获802.11无线网络原始传输数据，尤其擅长截获WEP初始化向量，从而破解WEP密钥。

第7章 远程连接和VoIP攻击

1、公共交换电话网络存在一个连接到关键设备的调制解调器，作为进入系统的后门。

2、拨号连接入侵的方式采用与其他类型的入侵相类似的方式展开：踩点、扫描、查点、漏洞发掘。 
常用工具：Tonel oc和THC-Scan、WarVOX（一款开源的、基于VoIP的战争拨号器）、PhoneSweep。

7.1 准备拨号

1、拨号入侵的第一步是标识要加载到战争拨号器中的电话号码。通常是从电话目录开始，或者是呼叫本地的电话公司。

2、管理人员通信录部分为攻击者提供的两项有价值的信息为：

（1）以555-555-5555拨号起始的有可能的有效交换 
（2）打电话到公司前台或者到本地的电话公司收集更多拨号信息。

3、针对泄漏的防范对策

（1）避免不必要的信息泄漏 
（2）同电信提供商之间建立紧密的合作 
（3）建立一个有效的授权人员列表 
（4）提前设置口令应对要求对账户的任何查询。

7.2 战争拨号器

7.2.1 硬件

1、慎重考虑多调职解调器之间的数学关系。

2、两个会增加渗透检测者处境负责程度的因素： 
（1）跨越多个时间区的客户 
（2）受限于多重管制约束从而阻止了其拨号的用户

7.2.2 法律问题

战争拨号只能用于合法且获得授权的安全审核和目录管理。

7.2.3 边际开销

向所在的企业提交战争拨号计划的提纲时，需要向管理者说明这部分边际开销。

7.2.4 软件

1、需要考虑易安装、易使用的特点。

WarVOX的安装是最有挑战性的，存在很多程序错误，但是，其踩点的准确性、录音的多用性、多VoIP供应商的备选功能以及未来快速发展的潜能都使其成为极具价值的竞争者。

TeleSweep的优势在于其分布式拨号的能力和多时间区拨号的灵活性。但其注册和授权是最大的阻碍，其价格让大多数用户望而却步。

2、WarVOX 
攻击者一般在载体探测之前，通过扫描直接内线拨号块进行线路识别。 
记住在shell的用户配置文件中设置环境变量，从而保证在后续的登录中可用。

在分析阶段，WarVOX为每一个捕捉到的音频样本创建了一个唯一的指纹，并保持在数据库中，可以利用命令行窗口提供的工具来实现所捕获音频的导出、鉴别和比较操作。

3、TeleSweep 
TeleSweep要求利用企业或大学的邮件账户进行注册。它们不允许通过任何的免费邮件供应商进行注册。

其最强大的功能是能够通过一个界面用安全管理服务器控制多个战争拨号器。包括调度扫描和支持较高检测精度的多调制解调器。

其通过对象来进行控制，对于用户名和口令猜测，必须获取一个对象才能进行猜测，并可以重新利用该对象。

在屏幕的下方，每个号码的状态都能实时更新，显示其完成的进度和系统标识出的信息。

当拨号完成时，呼叫的总次数、每次呼叫的平均用时、全体号码以及线路种类的划分汇总等，全部都在屏幕的上半部分显示出来。

4、PhoneSweep 
PhoneSweep最显著的功能是其简单的图形界面、自动化调度、载体渗透的尝试、多调制解调器并发的支持以及精美的报告。

经过配置，当不需要其工作时或定义的管制时段内，可以自动停止工作，并在相应的时间段内重启，直到针对可渗透的调制解调器设定的全部号码扫描或测试完毕为止。

如果目标的应答定制为其他方式，那PhoneSweep可能无法将其识别出。

PhoneSweep能够以编程方式向识别出的调制解调器发起字典攻击，能够以不同格式将呼叫结果导出。

5、载体探索技术 载体并不是能从战争拨号扫描中可以发现的唯一感兴趣的信息。 
最详细的标语和载体探索技术站点是M4phrlk's Wall of Voodoo站点，该网站专注于战争拨号群体。

7.3 暴力破解脚本—土生土长的方式

1、低挂的果实 
无论你使用或者咨询的用户名和口令列表是哪一个，关键是相应的猜测开销不要超过穷举所有默认的ID和口令所需要的时间。

2、单认证，无限尝试 
最常用的工具之一是Procomm Plus和ASPECT脚本语言。

创建脚本最困难的部分在于将口令或其他字典变量输入到脚本中。利用为DOS开发的QBASIC来创建源脚本文件。在尝试暴力破解脚本时，可以生成日志文件是一个重要的功能。

3、单认证，有限尝试 
ATH0字符是典型的Haves调制解调器用于挂起功能的字符集，添加代码，以处理在规定次数的尝试失败且调制解调器断开连接之后进行的回拨。

4、双认证，无限尝试 
5、双认证，有限尝试

7.4 攻击PBX

攻击PBX采用的手法与典型的拨号连接攻击采用的手法是相似的。

1、Octel语言网络登录 
在Octel PBX中，系统管理员口令必须是数字的，拨入账户和系统管理员可能使用的账号不是同一个，为了便于使用和管理，系统管理员会将两者设置为同一个账号。

2、Williams/Northern Telecom的PBX 
此用户号码一般来说是第一层次的用户且需要一个四位数字构成的访问码。

3、Meridian链接 
管理接口使用一个常规的、被限制的shell应用程序来管理PBX。

4、Rolm电话邮件 
Rolm PhoneMail系统默认账户ID和口令：

sysadmin PASSWORD:sysadmin tech PASSWORD:tech poll PASSWORD:tech

5、受RSA SecurID保护的PBX 
可能无法攻破对其进行保护的机制。它使用“查询-应答”系统，需要使用令牌。

针对PBX攻击的防范对策 
确保你打开调制解调器的时间尽可能短暂，部署多种认证方式，如双向认证（如果可能），并对失败的尝试进行封锁。

7.5 攻击语音邮件

1、暴力破解语音邮件 
常用工具：Voicemail Box Hacker3.0 、 VrACK 0.51 
Voicemail Box只允许对使用思维数字口令的语言邮件进行测试，我们使用的这个版本不能进行扩展。 
VrACK程序其脚本编写困难，可信的ASPECT脚本语言来实施对语言邮件的入侵。 
关于语音邮件系统的口令：几乎所有的语言邮件邮箱的口令都只由0~9的数字构成，该过程的不足之处是它是一种劳神的入侵攻击，即在脚本采用暴力破解出口令之前你必须时刻侦听。

针对暴力破解语言信箱的防范对策 
为你使用的语言邮件系统设置高级别的安全措施。建立语音邮件系统与日志之间的联系，并检测不寻常的重复尝试活动。

2、攻击直接拨入系统访问（DISA） 
直接拨入系统访问是一种PBX提供的远程访问服务，该服务允许公司的员工以较低的价格进行长途或国际呼叫。 
一个错误配置的DISA系统会导致不受限制的大量访问，这会给公司造成重大的财务损失。

DISA入侵成功的标志是你听到了拨号音。

针对攻击DISA的防范对策 
（1）如果你需要DISA，最好与PBX供应商合作，以确保DISA使用了较强的口令进行配置，并且移除了默认的授权。 
（2）至少使用六位数字的认证PIN对其进行加强，并且对超过六次以上的错误尝试建立加锁机制，经常查看呼叫详细记录。 
（3）同PBX供应商合作，阻止特殊代码从语音邮件提示音、目录服务和分机拨号泄露出去。

7.6 攻击虚拟专用网络（VPN）

虚拟专用网络VPN包括加密和利用因特网为私有数据建立“隧道”。其主要优势是其安全性、低开销和便利性。IPSec和第二层隧道协议是最著名的两个VPN“标准”，这两个协议取代了点对点隧道协议和第二层转发。

7.6.1 IPSec VPN的基础

1、VPN都可以划分为站点到站点或客户端到站点的两类VPN。所有VPN都是建立在安全性稍差的第三方网络上的连接两个网络的私有隧道。

站点到站点VPN：网关会将这些通信流量通过安全隧道转发到远程站点。此过程不需要客户端之间的交互。 
客户端到站点VPN：客户端可以是一个厚客户端，如Cisco的VPN客户端，也可以是一个网页浏览器。

2、IPSec VPN中的认证和隧道建立 
IPSec采用了因特网密钥交换协议进行认证、设置密钥和建立隧道，IKE分为两个阶段：

（1）IKE阶段1：IKE阶段1的主要目的是对通信的双方进行互相认证，并为IKE阶段2建立一个安全的信道。 
（2）主模式：在三次相互独立的双向握手，主模式认证将实现双方对彼此的认证。 
（3）激进模式：仅仅采用三条消息，不提供用于保护认证消息的安全信道，易于遭受窃听攻击。

3、利用Google攻击VPN 
工具：filetype.pcf 
PCF文件扩展通常被用于存储Cisco VPN客户端的概要设置。可以对存储在目标域内的所有PCF文件进行集中搜索。 
在PCF文件中存储的口令也可以用来实现口令重放攻击。

针对利用Google攻击VPN的防范对策 
（1）用户的警觉性 
（2）一个组织可以进行每年一度的检查，搜索在其站点上的敏感信息，可以使用“site：”操作进行目标搜素，“Google警示”。

4、探测IPSec VPN服务器 
工具：ike-scan
该工具适用于所有种类的操作系统，可以用于执行IPSec VPN连接的侦听，还能识别出其支持IKE阶段1模式，并指出远程服务器使用的邮件。 
工具：IKEProber 
可用它创建任意的IKE发起者数据包，在查找错误条件和识别VPN设备的行为方面是非常有用的。

针对探测IPSec VPN的防范对策 
可以使用访问控制列表来限制对提供站点上的敏感信息。可以使用“site：”操作进行目标搜素。

5、探测IPSec VPN服务器 
工具：ike-scan 
该工具适用于所有种类的操作系统，可以用于执行IPSec VPN的识别和网关踩点。 
ike-scan告诉我们主机针对IPSec VPN连接的侦听，还能识别出其支持IKE阶段1模式，并指出远程服务器使用的硬件。

工具：IKEProber
可用它创建任意的IKE发起者数据包，在查找错误条件和识别VPN设别的行为方面是非常有用到。

针对探测IPSec VPN的防范对策 
可以使用访问控制列表来限制对提供站点到站点连接VPN网关的访问，但是对于部署的客户端到站点VPN，这种方法是不可行的。

6、针对IKE激进模式的攻击 
工具：IKECrack 
该工具实现了对IPSec/IKE认证进行暴力破解。需要识别出目标服务器是否支持激进模式。 
工具：IKRProbe 
攻击者会同时使用一个VPN客户端来协同Cain进行窃听和模拟连接尝试。

针对攻击IKE激进模式的防范对策
（1）抵御IKE激进模式攻击的最好方法就是断开其使用 
（2）使用基于令牌的认证机制 
（3）不是对存在的问题打补丁，而是保证在密钥被破解之后，攻击者也无法连接到VPN，因为在攻击者入侵之前，便进行了密钥的修改。

7.6.2 攻击Citrix VPN解决方案

1、Citrix软件，它提供访问远程桌面和应用的功能，它能使用活动目录同Windows环境整合。

常见类型的Citrix部署:

（1）一个完整的远程桌面，典型的如微软的Windows 
（2）商业现货供应应用 
（3）定制应用

2、帮助（Help系统） 
在Citrix环境中可以获取两种类型的帮助：Windows操作系统的帮助和特定应用程序的帮助。

3、微软办公软件 
Microsoft Office提供了众多生成shell的途径： 
（1）帮助系统 
（2）打印 
（3）超链接 
（4）保存 
（5）VBA中的语言宏

4、因特网浏览器 
移除地址栏是分层防御的一个良好习惯，但是并未彻底消除隐患。Ctrl+N快捷键也可用来生成一个新的实例。

5、微软游戏和计算器 
生成shell的方法： 
（1）Windows的帮助 
（2）关于计算器“About Calculator”

6、打印 
打开“打印”对话框的方式： 
（1）按下Ctrl+P组合键 
（2）按下Ctrl+Shift+F12组合键 
（3）右键单击并选择“打印”

7、超链接 
file：///c:/windows/system32/cmd.exe

8、因特网访问 
攻击者可以在因特网上创建一个页面，并在其中添加超链接，并让这个链接到用户本地的命令行提示符shell，攻击者也可以在它控制的因特网站点上驻留cmd.exe或explore.exe. 
另一个替选方案是使用文件下拉网站来驻留上述两个程序。 
如果系统的群组策略被用于阻挡命令行shell，则另一个可能的方法是使用宿主来获取一个高级shell。 
工具：iKat 
其可以将所有的停止点都拉出，主要是为攻击kiosks所设计的，但是也可用于帮助“越狱”不能访问因特网白名单的Citrix VPN环境。

8、EULA/文本编辑器 攻击者可能使用如下的方式获取进入shell的方法

通过“帮助”系统 
通过打印 
通过单击超链接 
通过保存

9、针对攻击Citrix的防范对策 
在你确定是否需要访问Citrix环境时，以下指导原则将会有帮助：

你是否能计算出用户的数量
你能通过名字认识他们吗 
如果他们在你的网络中偷偷使用shell，你还能信任让他们吗

7.7 攻击IP语音

1、VoIP用于描述在IP网络上传输的语音。

2、目前，H.323和会话发起协议（SIP）是两个最常见的开放信令发送协议，主要作用是管理呼叫的建立、修改和关闭。

H.323实现与公共交换电话网络更加方便地融合。

SIP是因特网工程任务小组协议，不仅传输语音流量，还运行在TCP/UDP 5060上，并未会话的建立和拆除采用了不同的方法和响应代码。

实时传输协议(RTP)传输编码的语音流量，其附属的实时控制协议提供了呼叫统计，并为RIP流提供控制信息。主要用来监控数据分发，并调整服务质量参数。

3、使用PBX和使用VoIP建立的传统语音网络之间存在一个最主要的区别是，RTP流不需要跨越任何语音基础设备，并且它在端点之间直接交换，即RTP使电话对电话的。

4、攻击VoIP 
网络的Qos是决定VoIP系统质量的关键因素。 
（1）SIP扫描 
以SIP代理或其他SIP设备为目标时，这样的探索过程就被称为SIP扫描。

常用工具：SiVus 
该工具支持Windows和Linux系统,支持图形用户界面。它使用python编写的基于命令行的SIP工具包。svmap.py工具是以一个SIP扫描器。

针对SIP扫描的防范对策
必须实现VoIP网络和用户访问网段之间的隔离，以此阻止针对SIP系统的直接攻击。

5、为VoIP宝贵资源掠夺TFTP 
TFTP是隐蔽式安全的最完美实现，要下载特定文件，所有你所需要知道的就是文件名。

针对掠夺TFTP的防范对策 
在网络层实现访问限制。 
通过设置TFTP服务器，只接收来自已知的静态IP地址的连接。 
集中能够实现该目的的控制： 
（1）关闭对设备上设置菜单的访问 
（2）关闭IP电话上的网页服务器 
（3）使用签署的配置文件，防止配置被篡改

6、查点VoIP用户 
电话号码中的4~6位数字常常被用作身份认证证书的一半，另一半是4~6位的PIN码。通过观察服务器的应答就可轻易地查点出VoIP的扩展，SIP是一个基于人可读的请求/相应的协议。

7、自动查点用户 
工具：SIPVicious 
其中svwar.py工具支持OPTION、REGISTER和INVITE用户查点技术，还用于探测的用户自定义的扩展属性范围或字典文件。

针对查点VoIP的防范对策 
将VoIP网段和用户网段隔开，或在IT策略实施区部署IDS/IPS系统。

8、“截听”攻击 
该攻击首先需要理解信令协议（SIP、SKINNY和UNIStim），以及媒体RTP流。 
常用工具： vomit、VoIP Hopper工具等

针对“截听”攻击的防范对策 
可以且应该部署防火墙来保护VoIP基础设施的核心部分； 
确保IP电话只被允许下载已签名的配置和固件，并且它们要用TLS来识别服务器。

9、拒绝服务攻击 
可以通过发送大量伪造的而呼叫建立信令流，截获使用大量无用的流量淹没一个电话。 
Inviteflood工具需要调用hack_library，用这个工具进行拒绝服务攻击。这个工具只是简单地使用SIP INVITE请求来淹没目标。

针对利用SIP INVITE流量的防范对策 
安全核查清单的第一项应该是确保在网段上隔开语音虚拟局域网和数据虚拟局域网。 
所有SIP通信都提供了认证和加密，并部署了IDS/IPS系统，用于侦测和阻止攻击。

 

第8章 无线攻击

将当今的无线网络定义为IEEE 802.11 标准，也被称为WiFi——无线保真的缩写。

使用现代的驾车沿街扫描攻击系统去执行绝大多数最新的攻击手段。

8.1 背景

电气与电子工程师学会IEEE发布了一个标准——802.11，其中特别规定了无线局域网。

8.1.1 频率和信道

1、通用的无线频段可分为：工业、科技和医药ISM无线频段。

2、802.11可以工作在2.4GHz或5GHz的ISM频段，一个802.11n设备可以定义其可运行的波段。

3、在5GHz频段，所有的信道都是互不重叠的。

8.1.2 会话的建立

两种主要的无线网络：

基础设施网 
需要一个接入点来建立客户与服务器之间无线与有线网络的通信桥梁。 ad hoc网 
运行在端到端模式，不需要建立接入点。

8.1.3 安全机制

1、基本级别安全可用于有线网络。

2、基本机制

MAC过滤 
“隐蔽式”无线网络 
广播探测请求的应答

3、身份认证 
认证的目的不仅是为了建立客户端的身份，同时还产生一个用于会话加密过程的密钥。身份认证和加密都发生在OSI模型的第二层，发生在用户获取IP地址之前。

WiFi保护访问或称WPA。WPA指明设备被认证至少支持临时密钥完整协议，WPA2表示设别认证必须支持TKIP和高级加密标准AES。

WPA的两种形式：

WPA Pre-Shared Key预共享秘钥 
WPA Enterprise

4、加密 
三种可用的无线网络加密选项：

有限等效加密WEP 
临时密钥完整协议TKIP 
高级加密标准

8.2 设备

8.2.1 无线网卡

1、芯片组 
需要获得无线网卡更底层的控制权。

2、频段支持 
选择可以支持2.4GHz和5GHz的无线网卡很重要。

3、支持天线

4、接口 
无线网卡的接口决定了安装的灵活性。

8.2.2 操作系统

1、坚持从LiveCD的回溯程序，来发起所有的攻击。

8.2.3 其他物件

1、天线 
天线的指向性的划分：

定向天线——只适合与固定地点进行通信 
多向天线——接收范围通常要比同等功率的天线略小 
全向天线——能发送和接收任何方向的信号，能提供最大的接收角度

2、GPS

3、接入点AP 
常用产品：OpenWRT或DD-WRT，可以把接入点转变为完整的攻击设备。

8.3 发现与监控

802.11数据帧的源和目的地址始终是未加密的。

8.3.1 发现无线网

1、主动发现 
在早期的无线黑客攻击中，较常用。

针对主动发现的防范对策 
在配置接入点时禁用此选项。

2、被动发现
被动发现工具将列出在接入点的信标内找到的被动BSSID，并把该SSID标记为未知。

发现工具：Kismet、airodump-ng

保护自己以防来自被动攻击的无线攻击 
只能是减轻风险，屏蔽面向外部的窗户和墙壁以防无线信号泄露。 
降低接入点的输出功率使得无线信号只能覆盖有限的区域。

8.3.2 窃听无线通信数据

挫败无线窃听 
落实802.11层加密，利用角高层加密来提高保护级别。

8.4 拒绝服务攻击

消除认证攻击 
假冒从客户端到接入点的“消除认证”数据帧，反过来也假冒接入点到客户端的“消除认证”数据帧。

阻止消除认证攻击 
创建自定义客户端使得其无线网卡驱动程序在收到消除认证数据帧时，断开连接，且快速重新连接到公司的另一个不同接入点。

8.5 加密攻击

1、WEP 
破解WEP依赖于收集大量数据（初始化向量或特定类型的数据帧）。

2、使用假身份认证的ARP重放攻击 
ARP重放攻击将在五分钟内找出网络WEP密钥。 
假身份认证攻击：发送给接入点的ARP请求必须来自一个有效的无线客户端，建立这一个虚连接的过程。

假身份认证攻击建立了与接入点的连接，但从不发送真实的数据。

针对WEP攻击的防范对策 
（1）禁用它 
（2）依靠网络更高协议层加密

8.6 身份认证攻击

身份认证攻击的目标是用户提供身份证书的过程，然后推测出用户的身份。

8.6.1 WPA 预共享密钥

1、获得四次握手 
可以被动地等待以实施握手窃听，或以消除认证攻击来把有效的客户端踢出无线网络，而后在该客户端重新连接网络时窃听它的四次握手信息。

2、暴力破解 
可以使用：

aircrack-ng 
彩虹表 
图形处理器破解

3、WPA-PSK风险控制 
WPA-PSK的安全性要看所选择的预共享密钥的复杂程度和用户的网络防护完整性。

8.6.2 WPA企业版

1、识别EAP类型 是一良好的 识别客户端正在使用的EAP类型，是通过在最初的EAP握手过程中观测客户端和接入点之间的通信。

2、LEAP
轻量级可扩展身份认证协议LEAP，获取了MACHAPv2的查询和应答，并在无线传输网络中传输。

3、保护LEAP 
采用网络上的EAP-TTLS或PEAP委托管理

4、EAP-TTLS和PEAP 
EAP-TTLS和PEAP是两种最常用的EAP类型。 相同点：

都建立了无线客户端和有线端的RADIUS服务器间未经认证的TLS隧道。TLS隧道的建立使得客户端可以通过不安全的内部身份认证协议发送身份证书。 
攻击者的目标是获得这条隧道和内部身份认证协议中的数据。

5、保护EAP-TTLS和PEAP 
可以使用一个简单的复选框和一个输入字段进行安全保护设置。 
检查了所有使EAP-TTLS或PEAP的无线网络客户端上的服务器证书的有效性。 
通过点选复选框，并设定证书上的公用名，强制客户端忽略任何未被明确允许的RADIUS服务器。

第9章 硬件攻击

9.1 物理访问：推门而入

1、撞锁技术 
能帮助攻击者用一把普通的钥匙打开几乎同种类型所有的锁。利用的是牛顿物理学原理。方法是：标准的钥匙把锁销排成一条直线从而使得用户可以转动钥匙。

针对撞匙的防范对策 
采用侧销来提供多一层的安全保护。 
还可以使用多重锁设备、视频监控、保安和报警器等物理手段来保护。

2、复制门禁卡 
常见的两种卡：磁条卡和RFID卡

攻击磁条卡 
对卡内数据进行暴力破解攻击是入侵系统或绕过访问控制的一种快速方法。

攻击RFID卡 
常用方法： 
（1）使用预装读卡设备和套件，以及相应的复制设备。 
（2）使用proxmark3设备 
（3）使用通用软件无线电设备。

针对复制卡片的防范对策 
采用全加密的查询-应答算法来防范复制、重放和其他攻击。

9.2 对设备进行黑客攻击

1、绕过ATA口令安全措施 
ATA是一种公司中常见的保护被盗笔记本被非法访问的安全措施。ATA安全机制要求用户在BIOS对硬盘进行读取前输入口令。

最简单的方法是：将硬盘热插拔到禁用ATA安全功能的系统中。

针对ATA黑客攻击的防范对策 
不要依赖ATA口令来保护驱动器或者保护驱动器内的内容不被访问。 
可以使用全磁盘加密来保护驱动器上的全部内容或敏感分区内的内容。

2、针对USB U3黑客攻击 
最容易侵入系统的方法之一是利用遵守U3标准的USB闪存驱动器。

黑客可以使用制造商提供的工具将恶意程序写入U3分区，从而以当前用户登录权限运行该恶意程序。

最常见的攻击是在本地Windows口令哈希文件中读取到登录口令或者安装木马程序进行远程控制。

针对U3攻击的防范对策
（1）按照网址：http://support.microsoft.com/kb/953252的讨论禁用系统自动运行功能 
（2）在插入USB设备前按住shift键，这样可以防止自动运行功能去执行默认程序。

9.3 默认配置所面临的危险

9.3.1 使用默认的出厂设置面临的危险

标准的Metasploit模块能轻松入侵Eee PC笔记本出厂时的配置。

9.3.2 标准口令面临的危险

非嵌入式路由器：正儿条产品线的设备共用同一个默认口令。

攻击者可以使用“跨站应答伪造”方法登录路由器并且对配置进行修改，从而把用户路由到恶意的DNS和其他服务器。

9.3.3 蓝牙设备面临的危险

黑客工具：Ubertooth

9.4 对硬件的逆向工程攻击

9.4.1 获取设备中的元器件电路图

1、去除物理保护

2、识别集成电路芯片
使用搜索引擎识别集成电路芯片是理解嵌入式系统的第一步。 组成包括：

微控制器 
EEPROM 
FPGA

9.4.2 嗅探总线上的数据

总线上的数据非常容易被拦截、重放和进行“中间人”攻击。唯一例外的是类似HDMI-HSCP之类的内容数字版权管理系统。

9.4.3 嗅探无线接口的数据

实现无线接口攻击的第一步是要识别出设备的FCC认证码。认证码由三维申请者号码和一段可变长度的自选号码组成。

符号解码是一种高效的解码方式，能够向从物理总线上解析数据一样从无线信道中提取底层比特流。

9.4.4 对固件（Firmware）进行逆向工程攻击

研究固件文件可以获得关于设备的大量信息：默认口令、管理端口或是调试接口。最方便的方法是使用十六进制编辑工具。

其他常用工具：IDA Pro、unix命令strings 
其他攻击方向：寻找那些在开发完成前为了测试目的而写入的后门代码，一般存在于物理接口段、特殊结构调试接口、诊断和串行端口以及某些无用程序代码中。

9.4.5 ICE工具

内部电路摸底其能够帮助我们完成静态或动态环境下硬件内部电路的测试。 
常用工具：常用的PIC系列微控制器的MPLAB工具套件、AVR JTAGICE

小结

　　本周我阅读了《黑客大曝光》中的第7、8、9章的内容，主要是关于基础设施的攻击，分别详细介绍了电话VoIP攻击、无线攻击和硬件攻击中的相关攻击方法和防范对策，通过这部分的阅读，我对基础设施部分的攻击手段和方法有了大致的了解，之前我对这部分的知识可以说是完全陌生的。 
　　书中介绍了很多的攻击方法，但是由于这部分的攻击，还需要硬件等设施的支持，所以针对书中的一些攻击方法，在短时间内没有没有条件实现，但是这本书可以作为一个工具和手册，在任何时段重新阅读都会获得不同的理解，所有对本书后半部分的阅读，我只能先暂时了解相关理论知识，实践部分会在日后的信息安全学习中，一步一步地深入实践。