我的黑客工具箱

在本文中， 作者主要介绍了黑客用于攻击网络的一些工具。 通过了解这些黑客工具的使用方法， 读者可以更好地保护自己网络的安全。

　　为了帮助你更好地防范时刻发生的攻击事件， 本文描述了流行的黑客工具及有效的防范技术， 你可以利用这些技术来保障网络的安全。

　　特别说明

　　本文不是在教你如何去攻击他人的系统， 而是客观描述了现实世界中发生的攻击事件， 并向你提供了抵御这些攻击的方法。

　　由于这些工具可以在网上免费下载， 并且它可能会损害你的系统， 因此， 作者在文中论述某一工具时， 并不表示他默许或是推荐你使用。 作者提醒：在使用这些工具时， 你一定要慎重、小心， 而且你必须弄清楚源代码的意思,部分工具下载地址尽在黑客下载频道：http://www.arpun.com/soft/list_1_224.html。

　　工具一：PasswordCrackers

　　PasswordCrackers因其用途广泛而成为黑客使用的主流工具。 实施口令破译攻击分为两步， 第一步：攻击者首先从被攻击对象的计算机里读出一个加密口令档案(大部分系统， 包括WindowsNT及UNIX， 他们把口令加密后储存在档案系统内， 以便当用户登录时认证)；第二步：攻击者以字典为辅助工具， 用PasswordCrackers开始尝试去破译口令。 其办法是把字典的每一项进行加密， 然后两者进行比较。 假若两个加密口令相符， 黑客就会知道该口令；假若两者不符， 此工具继续重复工作， 直到字典最后一项。 有时， 黑客们甚至会试遍每一种字母的组合。 使用该种方法， 口令破译的速度与加密及比较的速度有关。

　　工具二：L0phtCrack

　　L0phtCrack由黑客组L0phtHeavyIndustries撰写， 于1997年推出。 它以共享软件(Shareware)的形式传播。 它专门用于破译WindowsNT口令。 此工具性能强大， 又很容易使用， 初学者只需少量指点便能破译口令。 1999年1月推出的L0phtCrack2.5版优化了DES密码程序， 软件性能也随之提高(比旧版本快450%)。 据称， 一台450MHzPentiumII计算机一天内就可破译所有字母数字混合的口令。

　　L0phtCrack可通过多种渠道得到加密的口令档案。 只要黑客运行一个包含L0phtCrack的程序， 或从windowNT系统管理员的备份软盘里拷贝一个程序， 就可以得到WindowsNT系统里的SAM数据库。 L0phtCrack最新版的GUI可以从网络中得到加密的Windows口令。 当你登录到NT域， 你的口令会被用哈希算法送到网络上。 L0phtCrack的内置嗅探器很容易找到这个加密值并破译它。

　　因为这个工具对IT从业人员也有极大用处， 所以从L0phtCrack2.0版以后开始收取注册费。 最新版可以有15天免费试用期， 超过15日则收取100美金， 并且有多个破译程序以供选择， 有些收取费用， 有些可从自由软件库中得到。

　　L0phtCrack的防范

　　抵御口令破译攻击的最好方法是执行强制的口令防范政策。 例如要求用户设想的口令很难被猜到。 如口令应该至少有8位， 包括数字、字母及特殊字符(如！@#$%)；口令应不包括字典字。 为了进一步保障安全， 一些口令自动设置工具可以帮助用户设计复杂的口令。

　　此外， 你应该时常用口令破译工具检查公司的口令是否安全。 当然， 只有安全管理人员或是经他们授权的人员才能允许使用该种工具， 而且必须得到书面的批准。 同时你也应当事先对口令不幸被破译的用户做出解决方案， 选择向他发Email， 还是亲自拜访用户， 向他解释你的口令政策。 这些问题在进行口令评估前应考虑完全。

　　工具三：WarDialers

　　很多公司非常重视防火墙的安全。 然而， 这个坚固的防线只封住了网络的前门， 但内部网中不注册的调制解调器却向入侵者敞开了“后门”。 WarDialers能迅速地找出这些调制解调器， 随即攻入网络。 因此， 它成为一个非常受入侵者欢迎的工具。

　　WarDialer因电影“WarGames”而一举成名。 它的攻击原理非常简单：不断以顺序或乱序拨打电话号码， 寻找调制解调器接通后熟悉的回应音。 一旦WarDialers找到一大堆能接通的调制解调器后， 黑客们便拨号入网继续寻找系统内未加保护的登录或容易猜测的口令。 WarDialers首选攻击对象是“没有口令”的PC远程管理软件。 这些软件通常是由最终用户安装用来远程访问公司内部系统的。 这些PC远程控制程序当用到不安全的调制解调器时是异常脆弱的。

　　THC-Scan是TheHacker’sChoice(THC)Scanner的缩写。 这个WarDialers工具是由“vanHauser”撰写的。 它的功能非常齐全。 THC-Scan2.0版于1998年圣诞节推出， THC-Scan与Toneloc(由“MinorThreat”及“MuchoMaas”撰写)用途近似。 THC-Scan与其他普通WarDialers工具不同， 它能自动检测调制解调器的速度、数据位、校验位及停止位。 此工具也尝试去判断被发现的计算机所使用的操作系统。 而且， THC-Scan有能力确认什么时候能再有拨号音， 这样， 黑客们便可以不经过你的PBX就可以拨打免费电话。

　　WarDialers的防范

　　当然， 最有效防范措施就是使用安全的调制解调器。 取消那些没有用途的调制解调器。 且用户必须向IT部门注册后才能使用调制解调器。 对那些已注册并且只用作外发的调制解调器， 就将公司的PBX的权限调至只允许外拨。 每个公司应有严格的政策描述注册的调制解调器并控制PBX。 由于市场零售店内有使用方便、价格便宜的数字调制解调器出售， 用户也能把调制解调器安装在只有数字线的PBX上使用。

　　除此之外， 你还要定期作渗透测试， 找出电话交换器内不合法的调制解调器。 选用一个好的工具去寻找与网络连接的调制解调器。 对于被发现、但未登记的调制解调器， 要么拿掉它们， 要么重新登记。 工具四：NetCat

　　NetCat是一个用途广泛的TCP及UDP连接工具。 它是由“Hobbit”于1995年为UNIX编写的， 于1997年推出。 对系统管理人员及网络调试人员而言， 它是一个非常有用的工具。 当然， 它也是一个攻击网络的强大工具。

　　NetCat有许多功能， 号称黑客们的“瑞士军刀”。 与功能强大的UNIX脚本语言结合时， NetCat是制造网络工具的基本组件。 NetCat的基本程序可以以聆听式和客户式两种方式运行。 当以聆听式运行时， NetCat是一个服务器进程， 等待与指定的TCP或UDP端口连接。 而以客户式运行时， NetCat能连接到用户指定的任何端口。

　　NetCat在一个系统内以聆听式运行， 同时在另一系统内以客户式运行时， NetCat可以发动很多攻击。 它可以在任何端口提供后门登录， 如UDP端口53。 从网络包角度来分析， 这种登录被看成是一系列DNS问答， 其实这是真正的后门登录。 当在两系统内以两种方式同时运行时， NetCat可以在任何端口架构快捷、简单的档案传输机制。

　　NetCat也可以是源路包。 当NetCat以客户方式运行时， 它是个UDP及TCP端口扫描器。 当它发现系统内有打开的端口时， NetCat会轻而易举地与这些端口连接。

　　NetCatNT版有一个独特之处：它可以将自己绑定在当前进程的端口前端。 利用这一功能可以非常有效地向服务器或Web服务器发动攻击。 这种连接也可以因拒绝服务攻击(Denial-of-serviceDoS)而被断掉。 有时黑客把自己的请求送到正当的服务器进程前， 编写特别的程序用来寻找敏感数据(口令、银行帐号等)。

　　NetCat防范

　　最佳防范NetCat的方法是“最小特权原理”(昵称为“polyp”)(PrincipleofLeastPriviledges)。 也就是说， 不让不需要的端口经过防火墙， 只有那些你允许通过的端口可以与指定的主机连接。 例如：经过防火墙的DNS查询， 只打开需要此服务的UDP53端口(通常是一个内部DNS服务器把这些查询转出到Internet)。 这样就可以防止攻击者有机会把NetCat包送到你内部网的任何主机上。

　　至于那些可以被外部访问的系统， 在防范NetCat攻击时， 你要清楚这些机器上已运行的进程， 并且仔细调查那些不寻常进程， 因为它们可能是后门聆听者。 你必须定期检查端口， 以便发现有没有聆听者侵入你的机器。

　　为了防止回放攻击， 所有应用系统应该为每条消息(包括webcookies、表单或者是原始数据)盖上时间印及顺序号码。 所有消息的时间印及顺序号应经过密码完整性测试， 确保没有被修改或回放。

　　工具五：SessionHijacking

　　很多应用系统采用命令行登录是不安全的， 尤其是telnet、rsh、rlogin及FTP程式， 它们全是黑客攻击对象。 任何一个黑客在连接了客户与服务器之间的网段后， 可以用SessionHijacking工具接管会话。

　　当一个合法用户登录到命令行进行会话时， 黑客可以找到此会话并马上代表用户接管此会话， 重新连接客户， 这样黑客便完全控制这个登录， 进而黑客成为合法用户。 而真正的用户会简单地认为网络出故障了， 从而会断掉会话。

　　黑客圈里有大量此种黑客工具， 最新的有“Kra”于1998年11月编写的Hunt， 还有“daemon9”编写的juggernaut， 它们均提供基本的SessionHijacking功能。

　　SessionHijacking防范

　　对于敏感的会话通信(如防火墙的远程管理、PKI或是其他重要部件的管理)， 选用一个有密码认证功能的工具把整个会话加密是一个好选择。 SecureShell(SSH)就提供这些功能。 VPN产品也提供认证及会话加密。 黑客没有在SSH或VPN工具里所用的钥匙便无法进行会话攻击。

　　其他攻击工具

　　ROOTEXPLOITS

　　攻击者利用ROOTEXPLOITS， 使用普通UNIX帐号访问超级用户从而接管机器。 攻击者在UNIX系统里有无数方法把自己升级。

　　ROOTEXPLOITS的防范

　　安全从业人员及系统管理员应参照CarnegieMellon的CERT(cert.org)及bugtrag(subscribe：listserve@netspace.org)的安全简讯， 密切注意新的exploits。 当新的攻击被击破后， 应迅速并且有步骤地为受影响的机器进行测试和安装厂家的补丁程序。 对于对外公开使用的Web服务器、DNS系统、防火墙等， 应该使用基于主机的安全监控软件检测寻找根目录的用户