一、黑客信息研究

国外黑客

  • 凯文·米特尼克(Kevin Mitnick)

1、基本信息

  • 国籍：美国
  • 出生地：洛杉矶
  • 出生日期：1963年8月6日
  • 职业：网络安全咨询师
  • 代表作：《反欺骗的艺术》、《反入侵的艺术》、《线上幽灵》

2、个人经历

  • 凯文·米特尼克(Kevin Mitnick)被称为世界上“头号电脑黑客”。其实他的技术也许并不是黑客中最好的，甚至相当多的黑客们都反感他，认为他是只会用攻击、不懂技术的攻击狂，但是其黑客经历的传奇性足以让全世界为之震惊，也使得所有网络安全人员丢尽面子。
  • 在米特尼克很小时候，他的父母就离异了。他跟着母亲生活，从小就形成了孤僻倔强的性格。70年代末期，米特尼克还在上小学的时候就迷上了无线电技术，并且很快成为了这方面的高手。后来他很快对社区“小学生俱乐部”里的一台计算机着了迷，并在此处学到了高超的计算机专业知识和操作技能，直到有一天，老师们发现他用该校的计算机闯入其它学校的网络系统，他因此不得不退学了。美国的一些社区里提供电脑网络服务，米特尼克所在的社区网络中，家庭电脑不仅和企业、大学相通，而且和政府部门相通。当然这些电脑领地之门都会有密码的。这时，一个异乎寻常的大胆的计划在米特尼克脑中形成了。此后，他以远远超出其年龄的耐心和毅力，试图破解美国高级军事密码。
    在成功闯入“北美空中防护指挥系统”之后，米特尼克又把目标转向了其它的网站。不久之后，他又进入了美国著名的“太平洋电话公司”的通信网络系统。他更改了这家公司的电脑用户，包括一些知名人士的号码和通讯地址。结果，太平洋公司不得不作出赔偿。太平洋电脑公司开始以为电脑出现了故障，经过相当长时间，发现电脑本身毫无问题，这使他们终于明白了：自己的系统被入侵了。
    这时的米特尼克已经对太平洋公司没有什么兴趣了。他开始着手攻击联邦调查局的网络系统，不久就成功的进入其中。一次米特尼克发现联邦调查局正在调查一名“黑客“，便翻开看，结果令他大吃一惊——这个“黑客”是他自己。后来，米特尼克就对他们不屑一顾起来，正因如此，一次意外，米特尼克被捕了。由于当时网络犯罪很新鲜，法律也没有先例，法院只有将米特尼克关进了“少年犯管所”。于是米特尼克成为世界上第一个因网络犯罪而入狱的人。但是没多久，米特尼克就被保释出来了。他当然不可能改掉以前的坏毛病。脆弱的网络系统对他具有巨大的挑战。他把攻击目标转向大公司。在很短的时间里，他接连进入了美国5家大公司的网络，不断破坏其网络系统，并造成这些公司的巨额损失。1988年他因非法入侵他人系统而再次入狱。由于重犯，这次他连保释的机会都没有了。米特被处一年徒刑，并且被禁止从事电脑网络的工作。等他出狱后，联邦调查局又收买了米特尼克的一个最要好的朋友，诱使米特尼克再次攻击网站，以便再次把他抓进去。结果——米特尼克竟上钩了，但毕竟身手不凡，在打入了联邦调查局的内部后，发现了他们设下的圈套，然后在追捕令发出前就逃离了。通过手中高超的技术，米特尼克在逃跑的过程中，还控制了当地的电脑系统，使得以知道关于追踪他的一切资料。
    后来，联邦调查局请到了被称为“美国最出色的电脑安全专家”的日裔美籍计算机专家下村勉。下村勉开始了其漫长而艰难的缉拿米特行动。他费尽周折，马不停蹄，终于在1995年发现了米特尼克的行踪，并通知联邦调查局将其捉获。1995年2月，米特尼克再次被送上法庭。在法庭上，带着手铐的米特尼克看着第一次见面的下村勉，由衷地说：“你好呀，下村，我很钦佩你的技术。”这一次，米特尼克被处4年徒刑。在米特尼克入狱期间，全世界黑客都联合起来，一致要求释放米特尼克，并通过为不断的攻击各大政府网站的行动来表达自己的要求。这群黑客甚至还专门制了一个名为“释放凯文”的网站。1999年米特尼克终于获准出狱。出狱后他便不断地在世界各地进行网络安全方面的演讲。
  • 80年代初正是美国电话业开始转向数字化的时候，米特尼克用遥控方式控制了数字中央控制台的转换器，轻而易举地进入了电话公司的电脑，使他可以任意地拨打免费电话，还可以随意偷听任何人的电话。1981年，米特尼克和同伙在某个假日潜入洛杉矶市电话中心盗取了一批用户密码，毁掉了其中央控制电脑内的一些档案，并用假名植入了一批可供他们使用的电话号码。这次事件闹得很大，不久电话公司便发现了并向警察局报案。警方进行了周密地调查，可始终没有结果。直到有一天一名米特尼克同伙的女朋友向警方举报，这时才真相大白。也许由于当时米特尼克年纪尚小，17岁的米特尼克只被判监禁3个月，外加一年监督居住。
    老师们赞叹他是一位电脑奇才，认为他是个很有培养前途的天才少年。但首次监狱生活不仅未使他改过自新，反而使他变本加厉在网络黑客的道路上越走越远。
  • 1983年，他因被发现使用一台大学里的电脑擅自进入今日互联网的前身ARPA网，并通过该网进入了美国五角大楼的的电脑，而被判在加州的青年管教所管教了6个月。被释后，米特尼克干脆申请了一个号码为“XHACKER”即“前黑客”的汽车牌照，挂在自己的尼桑车上。然后，米特尼克继续在网络上横行无忌，时而潜入软件公司非法窃取其软件，时而进入电脑研究机构的实验室制造麻烦，并继续给电话公司捣蛋。
    1988年他再次被执法当局逮捕，原因是：DEC指控他从公司网络上盗取了价值100万美元的软件，并造成了400万美元损失。这次，他甚至未被允许保释。心有余悸的警察当局认为，他只要拥有键盘就会对社会构成威胁。米特尼克被判处一年徒刑。一年之后，他又马上施展绝技，成功地侵入了几家世界知名高科技公司的电脑系统。根据这些公司的报案资料，联邦调查局推算它们的损失共达3亿美元。正当警方准备再度将之逮捕时，米特尼克突然从住所消失，过起了逃亡的地下生活。
  • 米特尼克的所作所为与通常人们所熟悉的犯罪不同，他所做的这一切似乎都不是为了钱，当然也不仅仅是为了报复他人或社会。他作为一个自由的电脑编程人员，用的是旧车，住的也是他母亲的旧公寓。他也并没有利用他在电脑方面公认的天才或利用他的超人技艺去弄钱，尽管这对他并不是十分困难的事。同时他也没有想过利用自己解密进入某些系统后，窃取的重要情报来卖钱。对于DEC公司（1998年被康柏公司收购）的指控，他说：“我从没有动过出售他们的软件来赚钱的念头。”他玩电脑、入侵网络似乎仅仅是为了获得一种强大的权力，他对一切秘密的东西、对解密入侵电脑系统十分痴迷，为此可以放弃一切。
    他对电脑有一种异乎常人的特殊感情，当美国洛杉矶的检察官控告他损害了他进入的计算机时，他甚至流下了眼泪。一位办案人员说，“电脑与他的灵魂之间似乎有一条脐带相连。这就是为什么只要他在计算机面前，他就会成为巨人的原因。”

国内黑客

  • 龚蔚(GoodWell)

1、基本信息

  • 国籍：中国
  • 出生地：上海
  • 民族：汉
  • 身份：黑客组织“绿色兵团”创始人、信息安全专业委员会(COG)发起人

2、个人经历

  • 龚蔚先生本科毕业后开始创办创办绿盟网络安全技术有限公司，开始了在互联网信息安全领域的工作，至今已十二年。先后就职于外资企业ISS （中国）、CA软件（中国）创建安全事业部。
    支持并参与的大型安全服务项目有几百余个，网络安全的足迹踏遍中国的所有城市，例如江苏电信、山东电信、广西电信、玉溪电信的安全评估服务项目，上海热线、四川天府热线安全评估项目；广西移动、重庆移动、江苏联通、浙江联通风险安全服务；金融行业中的民生银行、中国银行、工商银行、武汉税务局、申银万国证券公司等提供安全评估服务；政府企业中的上海市委宣传部、总参61所、常熟电力、上海电力、江苏省公安厅等提供风险安全评估服务。
    十几年的专注互联网信息安全事业，龚蔚先生被业内尊称为互联网安全领头雁，黑客教父，曾多次接受路透社、华尔街日报，纽约时报、南方都市报、新闻晨报、数百家媒体的专访。1999年 、2010年曾两次做为互联网信息安全专家接受CCTV专访，畅谈互联网信息安全的未来发展方向。
    2005年接受全国高校邀请龚蔚先生参加了中国十所高校的巡回演讲，在年轻的学子们心中深深的埋下了互联网信息安全领域的种子。
    2010年龚蔚先生被评为2010中国影响力人物，在北京国家会议中心接受相关领导的接见。
    2011年由龚蔚先生提议创办的COG信息非盈利技术团队，正式注册为COG信息安全专业委员会，其主导召开的COG峰会400多人的参会人员名单几乎包括了中国互联网信息安全最具实力的一批技术力量，会议讨论的相关议题内容及统计数据被300多家互联网及平面媒体引用。
  • 1997年，上海黑客龚蔚（goodwell)在境外某网站申请了一处免费空间并在国内做了镜像站点，用于黑客之间的交流，成立“绿色兵团”。
    发起人龚蔚如今的解释，一切出于爱好和兴趣，当然还有同道切磋比拼的快感。“与利益无关，与zheng.治无关”。
    绿色兵团的名字，来源于他美好的梦想，“以兵团一般的纪律和规则，打造绿色和平的网络世界”。
    这是一个被众多黑客称做"黄埔"的中国最早的电脑黑客非盈利性组织。
    它曾一度辉煌鼎盛，注册成员据说达到3000人，高手云集；它曾"黑"掉国外站点无数，和网易数次发生冲突，声势浩大。直到现在，活跃的众多黑客高手都曾是它的成员或徒子徒孙。
    它叫"绿色兵团"，1997年由一个叫Goodwell的黑客组建。2000年10月绿色兵团突然分裂，原因至今扑朔迷离。作为中国第一代黑客组织，"绿色兵团"的兴衰也被看做中国黑客组织发展的标本。
  • 作为COG论坛组织者之一龚蔚(goodwell)向腾讯科技表示，中美黑客大战十年后的今天，媒体亦或大众对黑客文化的了解与事实背道而驰，曲解了纯正的自由、免费、共享、互助这些黑客们所推崇的至高精神。
    同时黑客新人辈出而在追求至高技术的同时却没有任何正确的引导，缺乏一些最基本的道德准线，我们希望通过这次会议的凝聚树立行业自律公约，通过这种形式让更多的人了解什么才是真正的黑客
    这并不是他一个人的看法，从COG论坛筹委会名单上一串沉甸甸名字也可以证明这点——绿色兵团代表Goodwell、鹰派代表万涛、红盟代表Lion、 knowNsec代表Liwrm、0x557代表Laowang、网络力量代表Coldface、风宁、红狼小组代表Amxk、绿色兵团isbase站代表、Tools代表Oldjun、邪恶八进制代表冰雪封情及绿色兵团shutdown。
    筹备会透露，9月份召开的CQG信息安全论坛是非盈利性质的，规模在400人左右，且只会邀请所有经筹委会认可的对信息行业做出贡献的人。
    在回答COG论坛和自律公约能影响多少黑客这个问题时，龚蔚表示自己并不知道，但他认为这是一件对行业有意义的事情，不管它是大还是小如果能做那就力所能及的去做。行业自律公约主要还是依靠自发的推广，最终要看团队的公正性和对行业的影响力。

二、安全工具/库研究

WireShark

1、软件介绍

  • Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。
    网络封包分析软件的功能可想像成 "电工技师使用电表来量测电流、电压、电阻" 的工作 - 只是将场景移植到网络上，并将电线替换成网络线。在过去，网络封包分析软件是非常昂贵的，或是专门属于盈利用的软件。Ethereal的出现改变了这一切。在GNUGPL通用许可证的保障范围底下，使用者可以以免费的代价取得软件与其源代码，并拥有针对其源代码修改及客制化的权利。Ethereal是目前全世界最广泛的网络封包分析软件之一。

2、发展及应用

  • 1997年底，GeraldCombs需要一个能够追踪网络流量的工具软件作为其工作上的辅助。因此他开始撰写Ethereal软件。Ethereal在经过几次中断开发的事件过后，终于在1998年7月释出其第一个版本v0.2.0。自此之后，Combs收到了来自全世界的修补程式、错误回报与鼓励信件。Ethereal的发展就此开始。不久之后，GilbertRamirez看到了这套软件的开发潜力并开始参予低阶程式的开发。1998年10月，来自NetworkAppliance公司的GuyHarris在寻找一套比tcpview（另外一套网络封包撷取程式）更好的软件。于是他也开始参与Ethereal的开发工作。1998年底，一位在教授TCP/IP课程的讲师RichardSharpe，看到了这套软件的发展潜力，而后开始参与开发与加入新协定的功能。在当时，新的通讯协定的制定并不复杂，因此他开始在Ethereal上新增的封包撷取功能，几乎包含了当时所有通讯协定。
    自此之后，数以千计的人开始参与Ethereal的开发，多半是因为希望能让Ethereal撷取特定的，尚未包含在Ethereal默认的网络协定的封包而参与新的开发。2006年6月，因为商标的问题，Ethereal更名为Wireshark。
  • 以下是一些使用Wireshark目的的例子：
    网络管理员使用Wireshark来检测网络问题，网络安全工程师使用Wireshark来检查资讯安全相关问题，开发者使用Wireshark来为新的通讯协定除错，普通使用者使用Wireshark来学习网络协定的相关知识。当然，有的人也会“居心叵测”的用它来寻找一些敏感信息……
    Wireshark不是入侵侦测系统（Intrusion Detection System,IDS）。对于网络上的异常流量行为，Wireshark不会产生警示或是任何提示。然而，仔细分析Wireshark撷取的封包能够帮助使用者对于网络行为有更清楚的了解。Wireshark不会对网络封包产生内容的修改，它只会反映出目前流通的封包资讯。 Wireshark本身也不会送出封包至网络上。

3、详解

抓取封包是WireShark最主要的一项功能。在这里，就详细描述一下WireShark抓取封包功能的具体操作。

  • WireShark开始界面。
  • 然后选择正确使用的网卡，点击“Start”即开始抓包。
  • 之后用户在计算机上进行一些网络操作，WireShark就会抓取网络封包并在界面中列出计算机进行网络活动的封包信息，如下界面所示。
  • 网络活动封包信息中包含成千上万的冗余信息，用户很难找到自己所需要的有效信息，这时过滤器就起到了重要作用，可以帮助我们迅速定位所需要的信息。过滤器有两种，一种是显示过滤器，就是主界面上那个，用来在捕获的记录中找到所需要的记录；一种是捕获过滤器，用来过滤捕获的封包，以免捕获太多的记录。
  • 常用的过滤表达式规则：
    • 协议过滤：比如TCP，只显示TCP协议
    • IP 过滤：比如 ip.src 192.168.1.102 显示源地址为192.168.1.102，ip.dst192.168.1.102, 目标地址为192.168.1.102
    • 端口过滤：tcp.port ==80, 端口为80的；tcp.srcport == 80, 只显示TCP协议的愿端口为80的
    • Http模式过滤：http.request.method=="GET", 只显示HTTP GET方法的
    • 逻辑运算符为 AND/ OR
  • 封包列表的面板中显示，编号，时间戳，源地址，目标地址，协议，长度，以及封包信息。如下图所示，可以看到不同的协议用了不同的颜色显示。
  • 封包详细信息这个面板是我们最重要的，用来查看协议中的每一个字段。各行信息分别为：
    • Frame: 物理层的数据帧概况
    • Ethernet II: 数据链路层以太网帧头部信息
    • Internet Protocol Version 4: 互联网层IP包头部信息
    • Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP
    • Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议
  • TCP包的具体内容，从下图可以看到wireshark捕获到的TCP包中的每个字段。

下面来看一个TCP连接三次握手，使用WireShark进行抓包的实列

  • 打开wireshark, 打开浏览器输入任意一个网站地址。
  • 在wireshark中输入http过滤， 然后选中GET那条记录，右键然后点击"Follow TCP Stream"，这样做的目的是为了得到与浏览器打开网站相关的数据包，如下图所示。图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的， 这说明HTTP的确是使用TCP建立连接的。
  • 第一次握手数据包：客户端发送一个TCP，标志位为SYN，序列号为0， 代表客户端请求建立连接。 如下图。
  • 第二次握手数据包：服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的SN+1，即0+1=1, 如下图。
  • 第三次握手数据包：客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段写SN+1, 如下图。
  • 就这样通过了TCP三次握手，建立了连接。

Snort

1、软件介绍

  • 在1998年，Marty Roesch先生用C语言开发了开放源代码(Open Source)的入侵检测系统Snort.直至今天，Snort已发展成为一个多平台(Multi-Platform),实时(Real-Time)流量分析，网络IP数据包(Pocket)记录等特性的强大的网络入侵检测/防御系统(Network Intrusion Detection/Prevention System),即NIDS/NIPS.Snort符合通用公共许可(GPL——GNU General Pubic License),在网上可以通过免费下载获得Snort,并且只需要几分钟就可以安装并开始使用它。snort基于libpcap。Snort有三种工作模式：嗅探器、数据包记录器、网络入侵检测系统。嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。数据包记录器模式把数据包记录到硬盘上。网络入侵检测模式是最复杂的，而且是可配置的。我们可以让snort分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。

2、发展及应用

  • Snort可以实时分析和记录网络数据包，你可以通过执行协议分析、内容搜索和匹配，从而发现各种网络攻击和可疑的探测。例如，缓冲区溢出、端口扫描、CGI攻击、SMB探测等。
  • Snort能够对网络上的数据包进行抓包分析，但区别于其它嗅探器的是，它能根据所定义的规则进行响应及处理。Snort 通过对获取的数据包，进行各规则的分析后，根据规则链，可采取Activation（报警并启动另外一个动态规则链）、Dynamic（由其它的规则包调用）、Alert（报警），Pass（忽略），Log（不报警但记录网络流量）五种响应的机制。
  • Snort有数据包嗅探，数据包分析，数据包检测，响应处理等多种功能，每个模块实现不同的功能，各模块都是用插件的方式和Snort相结合，功能扩展方便。例如，预处理插件的功能就是在规则匹配误用检测之前运行，完成TIP碎片重组，http解码，telnet解码等功能，处理插件完成检查协议各字段，关闭连接，攻击响应等功能，输出插件将得理后的各种情况以日志或警告的方式输出。
  • Snort的部署非常灵活，很多操作系统上都可以运行，可以运行在window xp，windows2003，linux等操作系统上。用户在操作系统平台选择上应考虑其安全性，稳定性，同时还要考虑与其它应用程序的协同工作的要求。如果入侵检测系统本身都不稳定容易受到攻击，就不能很好的去检测其它安全攻击漏洞了。在Linux与Windows操作系统相比较之下，Linux更加健壮，安全和稳定。Snort的运行，主要是通过各插件协同工作才使其功能强大，所以在部署时选择合适的数据库，Web服务器，图形处理程序软件及版本也非常重要。Snort部署时一般是由传感器层、服务器层、管理员控制台层三层结构组成。传感器层层就是一个网络数据包的嗅探器层，收集网络数据包交给服务器层进行处理，管理员控制台层则主要是显示检测分析结果。部署Snort时可根据企业网络规模的大小，采用三层结构分别部署或采用三层结构集成在一台机器上进行部署，也可采用服务器层与控制台集成的两层结构。

3、详解

  • 这里主要介绍一下在Linux环境下Snort的部署安装
  • 第一步：预装daq所需程序。snort使用数据采集器(daq)监听防火墙数据包队列，所以按照daq。需预装的程序有：flex、bison、libcap。
    - sudo apt-get install flex

    - sudo apt-get install bison

    - sudo apt-get install libcap-dev
  • 第二步：安装daq。安照官网的文档安装即可。
wget https://www.snort.org/downloads/snort/daq-2.0.6.tar.gz

tar xvfz daq-2.0.6.tar.gz                 
cd daq-2.0.6
./configure && make && sudo make install
  • 第三步：安装snort所需程序。所需程序有：libpcre3-dev、libdumbnet-dev、zlib1g-dev。安装方法和daq所需软件一样，使用sudo apt-get install命令，这里不再赘述。
  • 第四步：安装snort。也是安照官方文档即可。
wget https://www.snort.org/downloads/snort/snort-2.9.11.tar.gz

tar xvfz snort-2.9.11.tar.gz         
cd snort-2.9.11
./configure --enable-sourcefire && make && sudo make install
  • 至此，Snort安装成功。

三、《网络攻防技术》实践

美剧《越狱》

  • 该剧讲述的是一个关于拯救的故事，Michael为了救他被人陷害入狱的哥哥Lincoln，计划越狱并成功逃脱，在逃亡生涯中再次入狱，最后收集证据以求脱罪的过程。剧中的Lincoln和Michael两兄弟屡屡入侵与逃脱运用到了大量的物理攻击和社会工程学攻击的相关技巧与知识。哥哥Lincoln善于运用物理攻击，绕开安全防护，进入受保护的设施内获取需要的信息，如潜入Company总部偷取非常珍贵的资源Scylla；而Michael则善于利用社会工程学的技巧，如打电话询问关于某发动机型号以确定其构造，用行话假装成某个角色入侵公司内部等等。

网络攻防实验环境搭建
在课上已经完成了环境的搭建，如下：

四、KaliSecurity总结

1、关于Kali的安装，之前就已经下载好镜像加载到了虚拟机中，没有遇到什么问题

2、Back Track渗透测试流程：

  • 目标范围划定
  • 信息收集
  • 目标发现
  • 目标枚举
  • 漏洞映射
  • 社会工程学（可选）
  • 漏洞利用
  • 提权
  • 持续控制目标
  • 文档和报告
    Linux Kali中已经提供了很多现成的工具可以来帮助完成这些渗透测试流程。

3、通过互联网网站收集信息：

4、常见的Google Hack语句：

  • info:xx.com 返回一些基本信息
  • site:xx.com 返回所有与该网站有关的url
  • link:xx.com 返回所有与该站做了链接的网站
  • site:xx.com filetype:txt 查找该网站所有txt文件，其他类型以此类推
  • site:xx.com intext:管理 后台查找
  • site:xx.com inurl:login 后台查找
  • site:xx.com intitle:后台 后台查找
  • site:xx.com intext:*@xx.com 得到邮件地址，邮箱主人名字
  • site:xx.com intext:电话 得到电话信息
  • intitle:"index of" etc 可能存在的目录泄露信息
  • Powered By xxx 针对性的漏洞利用

5、社会工程学信息收集工具：theHarvester。通过Google Hack的思路，它通过搜索引擎、PGP服务器以及shodan数据库收集用户的email、子域名、主机、雇员名、开放端口和banner等信息。与之类似的工具还有metagoofil。

6、Recon-NG信息收集工具：将信息收集各个模块分为侦察Reconnaissance、发现Discovery与汇报Reporting。

7、使用dig进行域名解析：如dig www.baidu.com。

8、使用dig进行域传送漏洞测试：如dig NS baidu.com。

9、子域名枚举工具：fierce。

五、Python3简明教程总结

因为已有Python3基础，使用Python写过很多程序和一些项目，所以这部分进行顺利，没有遇到什么问题。