网络攻击的基本流程_网络攻击一般步骤

「网络安全」网络攻击一般步骤

目录：

因特网上主机有自己的网络地址，把这些IP地址或域名隐藏起来，借此隐藏自己所在的网络位置。

为了不让攻击被发现，使调查者难以发现真正的攻击来源，达到敌明我暗的效果

对攻击目标信息进行综合整理。

为了分析出目标的安全形态，借此拟定一个攻击方案。

一般账户对目标只有有限的访问权限，获取目标系统或管理员权限就是掌握系统控制权。

为了控制目标主机实施进一步的攻击

破坏目标机密性、完整性、可用性。

为了破坏。。。

方便下次入侵的方法。

一次成功入侵通常消耗攻击者大量时间精力，安装后门方便下次入侵，保持长期控制。

清楚攻击目标留下的可以找到攻击者的痕迹。

攻击后会留下痕迹，管理员发现攻击者IP地址、时间、操作很容易，管理员会对此打补丁。

互联网并非法外之地！同学们保持善心学习网络知识～

网络攻击一般分为哪几个步骤？

攻击的基本步骤：搜集信息 实施入侵 上传程序、下载数据 利用一些方法来保持访问，如后门、特洛伊木马 隐藏踪迹 【 信息搜集 】在攻击者对特定的网络资源进行攻击以前，他们需要了解将要攻击的环境，这需要搜集汇总各种与目标系统相关的信息，包括机器数目、类型、操作系统等等。踩点和扫描的目的都是进行信息的搜集。

　攻击者搜集目标信息一般采用7个基本步骤，每一步均有可利用的工具，攻击者使用它们得到攻击目标所需要的信息。找到初始信息 找到网络的地址范围 找到活动的机器 找到开放端口和入口点 弄清操作系统 弄清每个端口运行的是哪种服务 画出网络图

1　找到初始信息

攻击者危害一台机器需要有初始信息，比如一个IP地址或一个域名。实际上获取域名是很容易的一件事，然后攻击者会根据已知的域名搜集关于这个站点的信息。比如服务器的IP地址（不幸的是服务器通常使用静态的IP地址）或者这个站点的工作人员，这些都能够帮助发起一次成功的攻击。

　搜集初始信息的一些方法包括：

开放来源信息 （open source information）

在一些情况下，公司会在不知不觉中泄露了大量信息。公司认为是一般公开的以及能争取客户的信息，都能为攻击者利用。这种信息一般被称为开放来源信息。

　开放的来源是关于公司或者它的合作伙伴的一般、公开的信息，任何人能够得到。这意味着存取或者分析这种信息比较容易，并且没有犯罪的因素，是很合法的。这里列出几种获取信息的例子： 公司新闻信息：如某公司为展示其技术的先进性和能为客户提供最好的监控能力、容错能力、服务速度，往往会不经意间泄露了系统的操作平台、交换机型号、及基本的线路连接。 公司员工信息：大多数公司网站上附有姓名地址簿，在上面不仅能发现CEO和财务总监，也可能知道公司的VP和主管是谁。 新闻组：现在越来越多的技术人员使用新闻组、论坛来帮助解决公司的问题，攻击者看这些要求并把他们与电子信箱中的公司名匹配，这样就能提供一些有用的信息。使攻击者知道公司有什么设备，也帮助他们揣测出技术支持人员的水平 Whois

对于攻击者而言，任何有域名的公司必定泄露某些信息！

攻击者会对一个域名执行whois程序以找到附加的信息。Unix的大多数版本装有whois，所以攻击者只需在终端窗口或者命令提示行前敲入" whois 要攻击的域名"就可以了。对于windows操作系统，要执行whois查找，需要一个第三方的工具，如sam spade。

通过查看whois的输出，攻击者会得到一些非常有用的信息：得到一个物理地址、一些人名和电话号码（可利用来发起一次社交工程攻击）。非常重要的是通过whois可获得攻击域的主要的（及次要的）服务器IP地址。

Nslookup

　找到附加IP地址的一个方法是对一个特定域询问DNS。这些域名服务器包括了特定域的所有信息和链接到网络上所需的全部数据。任何网络都需要的一条信息，如果是打算发送或者接受信件，是mx记录。这条记录包含邮件服务器的IP地址。大多数公司也把网络服务器和其他IP放到域名服务器记录中。大多数UNIX和NT系统中，nslookup代理或者攻击者能够使用一个第三方工具，比如spade。

另一个得到地址的简单方法是ping域名。Ping一个域名时，程序做的第一件事情是设法把主机名解析为IP地址并输出到屏幕。攻击者得到网络的地址，能够把此网络当作初始点。2　找到网络的地址范围

当攻击者有一些机器的IP地址，他下一步需要找出网络的地址范围或者子网掩码。

需要知道地址范围的主要原因是：保证攻击者能集中精力对付一个网络而没有闯入其它网络。这样做有两个原因：第一，假设有地址10.10.10.5，要扫描整个A类地址需要一段时间。如果正在跟踪的目标只是地址的一个小子集，那么就无需浪费时间；第二，一些公司有比其他公司更好的安全性。因此跟踪较大的地址空间增加了危险。如攻击者可能能够闯入有良好安全性的公司，而它会报告这次攻击并发出报警。

攻击者能用两种方法找到这一信息，容易的方法是使用America Registry for Internet Numbers(ARIN)whois 搜索找到信息；困难的方法是使用tranceroute解析结果。

　（1） ARIN允许任何人搜索whois数据库找到"网络上的定位信息、自治系统号码(ASN)、有关的网络句柄和其他有关的接触点(POC)。"基本上，常规的whois会提供关于域名的信息。ARINwhois允许询问IP地址，帮助找到关于子网地址和网络如何被分割的策略信息。

　（2） Traceroute可以知道一个数据包通过网络的路径。因此利用这一信息，能决定主机是否在相同的网络上。

连接到internet上的公司有一个外部服务器把网络连到ISP或者Internet上，所有去公司的流量必须通过外部路由器，否则没有办法进入网络，并且大多数公司有防火墙，所以traceroute输出的最后一跳会是目的机器，倒数第二跳会是防火墙，倒数第三跳会是外部路由器。通过相同外部路由器的所有机器属于同一网络，通常也属于同一公司。因此攻击者查看通过tranceroute到达的各种ip地址，看这些机器是否通过相同的外部路由器，就知道它们是否属于同一网络。

　这里讨论了攻击者进入和决定公司地址范围的两种方法。既然有了地址范围，攻击者能继续搜集信息，下一步是找到网络上活动的机器。

3　找到活动的机器

　在知道了IP地址范围后，攻击者想知道哪些机器是活动的，哪些不是。公司里一天中不同的时间有不同的机器在活动。一般攻击者在白天寻找活动的机器，然后在深夜再次查找，他就能区分工作站和服务器。服务器会一直被使用，而工作站只在正常工作日是活动的。

Ping :使用ping可以找到网络上哪些机器是活动的。

Pingwar：ping有一个缺点，一次只能ping一台机器。攻击者希望同时ping多台机器，看哪些有反应，这种技术一般被称为ping sweeping。Ping war 就是一个这样的有用程序。

Nmap：Nmap也能用来确定哪些机器是活动的。Nmap是一个有多用途的工具，它主要是一个端口扫描仪，但也能ping sweep一个地址范围。4　找到开放端口和入口点

（1）Port Scanners：

为了确定系统中哪一个端口是开放的，攻击者会使用被称为port scanner（端口扫描仪）的程序。端口扫描仪在一系列端口上运行以找出哪些是开放的。

选择端口扫描仪的两个关键特征：第一，它能一次扫描一个地址范围；第二，能设定程序扫描的端口范围。（能扫描1到65535的整个范围。）

目前流行的扫描类型是：TCP conntect扫描 TCP SYN扫描 FIN扫描 ACK扫描常用端口扫描程序有：ScanPort：使用在Windows环境下，是非常基础的端口扫描仪，能详细列出地址范围和扫描的端口地址范围。 Nmap：在UNIX环境下推荐的端口扫描仪是Nmap。Nmap不止是端口扫描仪，也是安全工具箱中必不可少的工具。Namp能够运行前面谈到的不同类型的 。 运行了端口扫描仪后，攻击者对进入计算机系统的入口点有了真正的方法。

（2） War Dialing

进入网络的另一个普通入口点是modem（调制解调器）。用来找到网络上的modem的程序被称为war dialers。基本上当提交了要扫描的开始电话号码或者号码范围，它就会拨叫每一个号码寻找modem回答，如果有modem回答了，它就会记录下这一信息。

THC-SCAN是常用的war dialer程序。

5　弄清操作系统

攻击者知道哪些机器是活动的和哪些端口是开放的，下一步是要识别每台主机运行哪种操作系统。

有一些探测远程主机并确定在运行哪种操作系统的程序。这些程序通过向远程主机发送不平常的或者没有意义的数据包来完成。因为这些数据包RFC（internet标准）没有列出，一个操作系统对它们的处理方法不同，攻击者通过解析输出，能够弄清自己正在访问的是什么类型的设备和在运行哪种操作系统。Queso：是最早实现这个功能的程序。Queso目前能够鉴别出范围从microsoft到unix 和cisco路由器的大约100种不同的设备。 Nmap：具有和Queso相同的功能，可以说它是一个全能的工具。目前它能检测出接近400种不同的设备。 6　弄清每个端口运行的是哪种服务

（1） default port and OS

基于公有的配置和软件，攻击者能够比较准确地判断出每个端口在运行什么服务。例如如果知道操作系统是unix和端口25是开放的，他能判断出机器正在运行sendmail，如果操作系统是Microsoft NT和端口是25是开放的，他能判断出正在运行Exchange。

（2） Telnet

telnet是安装在大多数操作系统中的一个程序，它能连接到目的机器的特定端口上。攻击者使用这类程序连接到开放的端口上，敲击几次回车键，大多数操作系统的默认安装显示了关于给定的端口在运行何种服务的标题信息。

（3） Vulnerability Scanners

Vulnerability Scanners（弱点扫描器）是能被运行来对付一个站点的程序，它向黑客提供一张目标主机弱点的清单。7　画出网络图

进展到这个阶段，攻击者得到了各种信息，现在可以画出网络图使他能找出最好的入侵方法。攻击者可以使用traceroute或者ping来找到这个信息，也可以使用诸如cheops那样的程序，它可以自动地画出网络图。

Traceroute

Traceroute是用来确定从源到目的地路径的程序，结合这个信息，攻击者可确定网络的布局图和每一个部件的位置。

Visual Ping

Visual Ping是一个真实展示包经过网络的路线的程序。它不仅向攻击者展示了经过的系统，也展示了系统的地理位置。

Cheops

Cheops利用了用于绘制网络图并展示网络的图形表示的技术，是使整个过程自动化的程序。如果从网络上运行，能够绘出它访问的网络部分。经过一系列的前期准备，攻击者搜集了很多信息，有了一张网络的详尽图，确切地知道每一台机器正在使用的软件和版本，并掌握了系统中的一些弱点和漏洞。我们可以想象一下，他成功地攻击网络会很困难吗？回答是否定的！当拥有了那些信息后，网络实际上相当于受到了攻击。因此，保证安全让攻击者只得到有限的网络信息是关键！/B

网络攻击的常见手法及其防范措施

一、计算机病毒攻击手段

(一)利用网络系统漏洞进行攻击

许多网络系统都存在着这样那样的漏洞，这些漏洞有可能是系统本身所有的，如WindowsNT、UNIX等都有数量不等的漏洞，也有可能是由于网管的疏忽而造成的。黑客利用这些漏洞就能完成密码探测、系统入侵等攻击。

对于系统本身的漏洞，可以安装软件补丁;另外网管也需要仔细工作，尽量避免因疏忽而使他人有机可乘。

(二)通过电子邮件进行攻击

电子邮件是互联网上运用得十分广泛的一种通讯方式。黑客可以使用一些邮件炸弹软件或CGI程序向目的邮箱发送大量内容重复、无用的垃圾邮件，从而使目的邮箱被撑爆而无法使用。当垃圾邮件的发送流量特别大时，还有可能造成邮件系统对于正常的工作反映缓慢，甚至瘫痪，这一点和后面要讲到的“拒绝服务攻击(DDoS)比较相似。

对于遭受此类攻击的邮箱，可以使用一些垃圾邮件清除软件来解决，其中常见的有SpamEater、Spamkiller等，Outlook等收信软件同样也能达到此目的。

(三)解密攻击

在互联网上，使用密码是最常见并且最重要的安全保护方法，用户时时刻刻都需要输入密码进行身份校验。而现在的密码保护手段大都认密码不认人，只要有密码，系统就会认为你是经过授权的正常用户，因此，取得密码也是黑客进行攻击的一重要手法。取得密码也还有好几种方法，一种是对网络上的数据进行监听。因为系统在进行密码校验时，用户输入的密码需要从客户端传送到服务器端，而黑客就能在两端之间进行数据监听。但一般系统在传送密码时都进行了加密处理，即黑客所得到的数据中不会存在明文的密码，这给黑客进行破解又提了一道难题。这种手法一般运用于局域网，一旦成功攻击者将会得到很大的操作权益。另一种解密方法就是使用穷举法对已知用户名的密码进行暴力解密。这种解密的软件对尝试所有可能字符所组成的密码，但这项工作十分地费时，不过如果用户的密码设置得比较简单，如“12345”、“ABC”等那有可能只需一眨眼的功夫就可搞定。

为了防止受到这种攻击的危害，用户在进行密码设置时一定要将其设置得复杂，也可使用多层密码，或者变换思路使用中文密码，并且不要以自己的生日和电话甚至用户名作为密码，因为一些密码破解软件可以让破解者输入与被破解用户相关的信息，如生日等，然后对这些数据构成的密码进行优先尝试。另外应该经常更换密码，这样使其被破解的可能性又下降了不少。

(四)后门软件攻击

后门软件攻击是互联网上比较多的一种攻击手法。Back Orifice2000、冰河等都是比较著名的特洛伊木马，它们可以非法地取得用户计算机的超级用户级权利，可以对其进行完全的控制，除了可以进行档操作外，同时也可以进行对方桌面抓图、取得密码等操作。这些后门软件分为服务器端和客户端，当黑客进行攻击时，会使用客户端程序登陆上已安装好服务器端程序的计算机，这些服务器端程序都比较小，一般会随附带于某些软件上。有可能当用户下载了一个小游戏并运行时，后门软件的服务器端就安装完成了，而且大部分后门软件的重生能力比较强，给用户进行清除造成一定的麻烦。

当在网上下载数据时，一定要在其运行之前进行病毒扫描，并使用一定的反编译软件，查看来源数据是否有其它可疑的应用程序，从而杜绝这些后门软件。

(五)拒绝服务攻击

互联网上许多大网站都遭受过此类攻击。实施拒绝服务攻击(DDoS)的难度比较小，但它的破坏性却很大。它的具体手法就是向目的服务器发送大量的数据包，几乎占取该服务器所有的网络宽带，从而使其无法对正常的服务请求进行处理，而导致网站无法进入、网站响应速度大大降低或服务器瘫痪。现在常见的蠕虫病毒或与其同类的病毒都可以对服务器进行拒绝服务攻击的进攻。它们的繁殖能力极强，一般通过Microsoft的Outlook软件向众多邮箱发出带有病毒的邮件，而使邮件服务器无法承担如此庞大的数据处理量而瘫痪。

对于个人上网用户而言，也有可能遭到大量数据包的攻击使其无法进行正常的网络操作，所以大家在上网时一定要安装好防火墙软件，同时也可以安装一些可以隐藏IP地址的程序，怎样能大大降低受到攻击的可能性。

二、计算机网络安全的防火墙技术

计算机网络安全是指利用网络管理控制和技术措施，保证在一个网络环境里，信息数据的保密性、完整性和可使用性受到保护。网络安全防护的根本目的，就是防止计算机网络存储、传输的信息被非法使用、破坏和篡改。防火墙技术正是实现上述目的一种常用的计算机网络安全技术。

(一)防火墙的含义

所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、拷贝、毁坏你的重要信息。

(二)防火墙的安全性分析

防火墙对网络的安全起到了一定的保护作用，但并非万无一失。通过对防火墙的基本原理和实现方式进行分析和研究，作者对防火墙的安全性有如下几点认识：

1.只有正确选用、合理配置防火墙，才能有效发挥其安全防护作用

防火墙作为网络安全的一种防护手段，有多种实现方式。建立合理的防护系统，配置有效的防火墙应遵循这样四个基本步骤：

a.风险分析;

b.需求分析;

c.确立安全政策;

d.选择准确的防护手段，并使之与安全政策保持一致。

然而，多数防火墙的设立没有或很少进行充分的风险分析和需求分析，而只是根据不很完备的安全政策选择了一种似乎能“满足”需要的防火墙，这样的防火墙能否“防火”还是个问题。

2.应正确评估防火墙的失效状态

评价防火墙性能如何，及能否起到安全防护作用，不仅要看它工作是否正常，能否阻挡或捕捉到恶意攻击和非法访问的蛛丝马迹，而且要看到一旦防火墙被攻破，它的状态如何? 按级别来分，它应有这样四种状态：

a.未受伤害能够继续正常工作;

b.关闭并重新启动，同时恢复到正常工作状态;

c.关闭并禁止所有的数据通行;

d. 关闭并允许所有的数据通行。

前两种状态比较理想，而第四种最不安全。但是许多防火墙由于没有条件进行失效状态测试和验证，无法确定其失效状态等级，因此网络必然存在安全隐患。

3.防火墙必须进行动态维护

防火墙安装和投入使用后，并非万事大吉。要想充分发挥它的安全防护作用，必须对它进行跟踪和维护，要与商家保持密切的'联系，时刻注视商家的动态。因为商家一旦发现其产品存在安全漏洞，就会尽快发布补救(Patch) 产品，此时应尽快确认真伪(防止特洛伊木马等病毒)，并对防火墙软件进行更新。

4.目前很难对防火墙进行测试验证

防火墙能否起到防护作用，最根本、最有效的证明方法是对其进行测试，甚至站在“黑客”的角度采用各种手段对防火墙进行攻击。然而具体执行时难度较大，主要原因是：

a.防火墙性能测试目前还是一种很新的技术，尚无正式出版刊物，可用的工具和软件更是寥寥无几。据了解目前只有美国ISS公司提供有防火墙性能测试的工具软件。

b.防火墙测试技术尚不先进，与防火墙设计并非完全吻合，使得测试工作难以达到既定的效果。

c.选择“谁”进行公正的测试也是一个问题。

可见，防火墙的性能测试决不是一件简单的事情，但这种测试又相当必要，进而提出这样一个问题：不进行测试，何以证明防火墙安全?

5.非法攻击防火墙的基本“招数”

a. IP地址欺骗攻击。许多防火墙软件无法识别数据包到底来自哪个网络接口，因此攻击者无需表明进攻数据包的真正来源，只需伪装IP地址，取得目标的信任，使其认为来自网络内部即可。IP地址欺骗攻击正是基于这类防火墙对IP地址缺乏识别和验证的机制而得成的。

b.破坏防火墙的另一种方式是攻击与干扰相结合。也就是在攻击期间使防火墙始终处于繁忙的状态。防火墙过分的繁忙有时会导致它忘记履行安全防护的职能，处于失效状态。

c.防火墙也可能被内部攻击。因为安装了防火墙后，随意访问被严格禁止了， 这样内部人员无法在闲暇的时间通过Telnet浏览邮件或使用FTP向外发送信息，个别人会对防火墙不满进而可能攻击它、破坏它，期望回到从前的状态。这里，攻击的目标常常是防火墙或防火墙运行的操作系统，因此不仅涉及网络安全，还涉及主机安全问题。

(三)防火墙的基本类型

实现防火墙的技术包括四大类：网络级防火墙(也叫包过滤型防火墙)、应用级网关、电路级网关和规则检查防火墙。

1.网络级防火墙

一般是基于源地址和目的地址、应用或协议以及每个IP包的埠来作出通过与否的判断。一个路由器便是一个“传统”的网络级防火墙，大多数的路由器都能通过检查这些信息来决定是否将所收到的包转发，但它不能判断出一个IP包来自何方，去向何处。

先进的网络级防火墙可以判断这一点，它可以提供内部信息以说明所通过的连接状态和一些数据流的内容，把判断的信息同规则表进行比较，在规则表中定义了各种规则来表明是否同意或拒绝包的通过。包过滤防火墙检查每一条规则直至发现包中的信息与某规则相符。如果没有一条规则能符合，防火墙就会使用默认规则，一般情况下，默认规则就是要求防火墙丢弃该包。其次，通过定义基于TCP或UDP数据包的端口号，防火墙能够判断是否允许建立特定的连接，如Telnet、FTP连接。

网络攻击的过程通常是怎样的？

攻击者在一次攻击过程中通常采用如图

下面我们对攻击者的攻击过程中的各个步骤做一详细的介绍。

隐 藏位置

隐藏位置就是有效地保护自己，在因特网上的网络主机均有自己的网络地址，根据TCP/IP协议的规定，若没有采取保护措施，很容易反查到某台网络主机的位置，如IP地址和域名。因此，有经验的 黑 客 在实施攻击活动时的首要步骤是设法隐藏自己所在的网络位置，包括自己的网络域及IP地址，这样使调查者难以发现真正的攻击者来源。攻击者经常使用如 下 技 术 隐 藏 他 们 真实 的IP 地 址或者域名：

利用被侵入的主机作为跳板, 如在安装Windows 的计算机内利用Wingate软件作为跳板，利用配置不当的Proxy作为跳板；

使用电话转接技术隐蔽自己，如利用电话的转接服务联接ISP；

盗用他人的账号上网，通过电话联接一台主机，再经由主机进入Internet；

免 费 代 理 网关 ；

伪 造IP地址 ；

假 冒用户帐号 。

网络探测和收集资料

在发动一场攻击之前，攻击者一般要先确定攻击目标并收集目标系统的相关信息。他可能在一开始就确定了攻击目标，然后专门收集该目标的信息；也可能先大量地收集网上主机的信息，然后根据各系统的安全性强弱来确定最后的目标。

对于攻击者来说，信息是最好的工具。它可能就是攻击者发动攻击的最终目的（如绝密文件、经济情报）；也可能是攻击者获得系统访问权的通行证，如用户口令、认证票据（ticket）；也可能是攻击者获取系统访问权的前奏，如目标系统的软硬件平台类型、提供的服务与应用及其安全性的强弱等。攻击者感兴趣的信息主要包括：

操作系统信息；

开放的服务端口号；

系统默认帐号和口令；

邮件帐号；

IP地址分配情况；

域名信息；

网络设备类型；

网络通信协议；

应用服务器软件类型。

攻击者为了全面地掌握使目标系统的信息，常常借助软件工具，例如nmap、NESSUS、SATAN等。另外，攻击者进行搜集目标信息时，还要注意隐藏自己，以免引起目标系统管理员的注意。

弱点挖掘

系统中脆弱性的存在是系统受到各种安全威胁的根源。外部攻击者的攻击主要利用了系统提供的网络服务中的脆弱性；内部人员作案则利用了系统内部服务及其配置上的脆弱性；而拒绝服务攻击主要是利用资源分配上的脆弱性，长期占用有限资源不释放，使其他用户得不到应得的服务，或者是利用服务处理中的弱点，使该服务崩溃。攻击者攻击的重要步骤就是尽量挖掘出系统的弱点，并针对具体的脆弱性研究相应的攻击方法。常用到的弱点挖掘技术方法有：

系统或应用服务软件漏洞。攻击者还可以根据系统提供的不同的服务来使用不同的方法以获取系统的访问权限。如果攻击者发现系统提供了UUCP服务，攻击者可以利用UUCP的安全漏洞来获取系统的访问权；如果系统还提供其他的一些远程网络服务，如邮件服务、WWW服务、匿名FTP服务、TFTP服务，攻击者可以利用这些远程服务中的弱点获取系统的访问权。

机信任关系漏洞。攻击者寻找那些被信任的主机。这些主机可能是管理员使用的机器，或是一台被认为是很安全的服务器。比如，他可以利CGI 的漏洞，读取/etc/hosts.allow文件等。通过这个文件，就可以大致了解主机间的信任关系。接下一步，就是探测这些被信任的主机哪些存在漏洞。

寻找有 漏 洞 的 网 络 成 员 。尽量去发现有漏洞的网络成员对攻击者往往起到事倍功半效果，堡垒最容易从内部攻破就是这个缘故。用户网络安全防范意识弱，选取弱口令，使得从远程直接控制主机。

安全策略配置漏洞。主机的网络服务配置不当，开放有漏洞的网络服务。

通信协议漏洞。通过分析目标网络所采用的协议信息，寻找漏洞，如TCP/IP协议就存在漏洞。

网络业务系统漏洞

通过掌握目标网络的业务流程信息，然后发现漏洞，例如，在WWW服务中，允许普通用户远程上载的文件执行。

掌握控制权

一般帐户对目标系统只有有限的访问权限，要达到某些目的，攻击者必须有更多的权限。因此在获得一般帐户之后，攻击者经常会试图去获得更高的权限，如系统管理帐户的权限。获取系统管理权限通常有以下途径：

获得系统管理员的口令，如专门针对root用户的口令攻击；

利用系统管理上的漏洞：如错误的文件许可权，错误的系统配置，某些SUID程序中存在的缓冲区溢出问题等；

让系统管理员运行一些特洛伊木马，如经篡改之后的LOGIN程序等。

隐藏行踪

做为一个入侵者，攻击者总是惟恐自己的行踪被发现，所以在进入系统之后，聪明的攻击者要做的第一件事就是隐藏自己的行踪，攻击者隐藏自己的行踪通常要用到如下技术：

连接隐藏，如冒充其他用户、修改LOGNAME环境变量、修改utmp日志文件、使用IP SPOOF技术等；

进程隐藏，如使用重定向技术减少ps给出的信息量、用特洛伊木马代替ps程序等；

篡改日志文件中的审计信息；

改变系统时间造成日志文件数据紊乱以迷惑系统管理员。

实施攻击

不同的攻击者有不同的攻击目的，可能是为了获得机密文件的访问权，也可能是破坏系统数据的完整性，也可能是整个系统的控制权：系统管理权限，以及其他目的等。一般说来，可归结为以下几种方式：

下载敏感信息；

攻 击 其 他 被 信 任 的 主 机 和 网 络；

瘫 痪 网 络；

修改或删除重要数据。

开辟后门

一次成功的入侵通常要耗费攻击者的大量时间与精力，所以精于算计的攻击者在退出系统之前会在系统中制造一些后门，以方便自己的下次入侵，攻击者设计后门时通常会考虑以下方法：

放宽文件许可权；

重新开放不安全的服务，如REXD、TFTP等；

修改系统的配置，如系统启动文件、网络服务配置文件等；

替换系统本身的共享库文件；

安装各种特洛伊木马，修改系统的源代码；

安装sniffers。

网络攻击的攻击步骤

第一步：隐藏己方位置

普通攻击者都会利用别人的计算机隐藏他们真实的IP地址。老练的攻击者还会利用800电话的无人转接服务联接ISP，然后再盗用他人的帐号上网。

第二步：寻找并分析

攻击者首先要寻找目标主机并分析目标主机。在Internet上能真正标识主机的是IP地址，域名是为了便于记忆主机的IP地址而另起的名字，只要利用域名和 IP地址就能顺利地找到目标主机。当然，知道了要攻击目标的位置还是远远不够的，还必须将主机的操作系统类型及其所提供服务等资料作个全方面的了解。此时，攻击者们会使用一些扫描器工具，轻松获取目标主机运行的是哪种操作系统的哪个版本，系统有哪些帐户，WWW、FTP、Telnet 、SMTP等服务器程式是何种版本等资料，为入侵作好充分的准备。

第三步：帐号和密码

攻击者要想入侵一台主机，首先要该获取主机的一个帐号和密码，否则连登录都无法进行。这样常迫使他们先设法盗窃帐户文件，进行破解，从中获取某用户的帐户和口令，再寻觅合适时机以此身份进入主机。当然，利用某些工具或系统漏洞登录主机也是攻击者常用的一种技法。

第四步：获得控制权

攻击者们用FTP、Telnet等工具利用系统漏洞进入进入目标主机系统获得控制权之后，就会做两件事：清除记录和留下后门。他会更改某些系统设置、在系统中置入特洛伊木马或其他一些远程操纵程式，以便日后能不被觉察地再次进入系统。大多数后门程式是预先编译好的，只需要想办法修改时间和权限就能使用了，甚至新文件的大小都和原文件一模相同。攻击者一般会使用rep传递这些文件，以便不留下FTB记录。清除日志、删除拷贝的文件等手段来隐藏自己的踪迹之后，攻击者就开始下一步的行动。

第五步：资源和特权

攻击者找到攻击目标后，会继续下一步的攻击，窃取网络资源和特权。如：下载敏感信息；实施窃取帐号密码、信用卡号等经济偷窃；使网络瘫痪。