1、 60年代 麻省理工AI實驗室 第一次出現(xiàn)hacker這個詞 Ken Thompson 發(fā)明unix 1969，ARPANET開始建立 70年代 Dennis Ritchie 發(fā)明C語言 Phreaking: John Draper 世界上第一個計算機病毒出現(xiàn) 喬布斯(apple公司的創(chuàng)辦者)制造出了藍(lán)盒子 80年代早期年代早期 首次出現(xiàn)首次出現(xiàn)Cyberspace一詞一詞 414s 被捕被捕 Legion of Doom和和Chaos Computer Club成立成立 黑客雜志黑客雜志2600、phrack相續(xù)創(chuàng)刊相續(xù)創(chuàng)刊 80年代晚期年代晚期 25歲的歲的Kevin Mutnik首次被捕

2、首次被捕 1988年，莫里斯蠕蟲事件，在幾小時內(nèi)感染了年，莫里斯蠕蟲事件，在幾小時內(nèi)感染了6000臺臺 計算機系統(tǒng)計算機系統(tǒng) 美國國防部成立了計算機緊急應(yīng)急小組美國國防部成立了計算機緊急應(yīng)急小組(CERT)Kevin Mutnik 90年代早期年代早期 AT&T的長途服務(wù)系統(tǒng)在馬丁路德金紀(jì)念日崩潰的長途服務(wù)系統(tǒng)在馬丁路德金紀(jì)念日崩潰 黑客成功侵入格里菲思空軍基地和美國航空航天管黑客成功侵入格里菲思空軍基地和美國航空航天管理局理局 Kevin Mitnick再次被抓獲，這一次是在紐約，他再次被抓獲，這一次是在紐約，他被圣迭哥超級計算中心的被圣迭哥超級計算中心的Tsutomu Shimomura追

3、蹤追蹤并截獲并截獲 90年代晚期年代晚期美國聯(lián)邦網(wǎng)站大量被黑，包括美國司法部，美國空美國聯(lián)邦網(wǎng)站大量被黑，包括美國司法部，美國空軍，中央情報局和美國航空航天管理局等軍，中央情報局和美國航空航天管理局等 流行的電子搜索引擎流行的電子搜索引擎Yahoo被黑客襲擊被黑客襲擊 例如：例如：3v3ry0n3 kn0wz wh3n y0u h4ck a w3b p4g3 y0u h4v3 t0 us3 h4ck3r t4lkEveryone knows when you hack a web page you haveTo use hacker talksourcedeutchmcconetenetgat

4、esturnerwebsterdulleshelmsdestinationcolbycaseybushkerrsourcedeutchmcconetenetgatesturnerwebsterdulleshelmsdestinationcolbycaseybushkerrIP TTL 1 2 3 4 5目標(biāo)機攻擊者3Syn:80跳板主機 ID =0目標(biāo)機攻擊者3Syn/ack跳板主機 ID =1目標(biāo)機攻擊者跳板主機 ID =Syn src = Dst = 1

5、目標(biāo)機攻擊者Syn/Ack src = Dst = 跳板主機 ID =1目標(biāo)機攻擊者Rst src = Dst = 跳板主機 ID =2目標(biāo)機攻擊者Syn:80跳板主機 ID =2目標(biāo)機攻擊者Syn:80Syn/ack跳板主機 ID =3目標(biāo)機攻擊者3Syn:80跳板主機 ID =01

6、目標(biāo)機攻擊者3Syn/ack跳板主機 ID =1目標(biāo)機攻擊者跳板主機 ID =Syn src = Dst = 目標(biāo)機攻擊者Rst src = Dst = 跳板主機 ID =1目標(biāo)機攻擊者Syn:80跳板主機 ID =1目標(biāo)機攻擊者Syn:80Syn/ack跳板主機 ID =2172.

7、0.0.1目標(biāo)機攻擊者ftp servernmap P0 sT b www IN HINFO “Sparc Ultra 5” “Solaris 2.6”01631源端口目的端口sequence numberacknowledgement number頭長度4 保留 6U A P R S Fwindow sizeTCP checksum緊急指針Tcp操作 (長度可變，最大40個字節(jié))數(shù)據(jù)20bytes081631typecodechecksum依type和code域的不同而不同081631typecod

8、echecksumidentifiersequence number例子：echo request/reply (ping/pong) optional data 通常格式msg# description0echo reply3destination unreachable4 source quench5redirect8 echo request9router advertisement10router solicitation11time exceededmsg# description12parameter problem13 timestamp request14 timestamp

9、reply15information request16 information reply17address mask request18address mask replyICMP 信息請求信息請求Icmp信息請求ReplyNo ReplyHP-UXULTRIX OpenVMSAIXICMP 地址掩碼請求地址掩碼請求ReplyNo Reply12ULTRIX Open-VMSHP-UXAIXOther OSs針對廣播地址的icmp時間戳請求針對廣播地址的icmp時間戳請求ReplyNo ReplySolarisHP-UXLINUX Kernel 2.2.14針對廣播地址的icmp信息請求針

10、對廣播地址的icmp信息請求ReplyNo Reply12HP-UXSolarisLINUX Kernel 2.2.14Other OSs針對特定主機的icmp地址掩碼請求針對特定主機的icmp地址掩碼請求No ReplyReply3LINUX Kernel 2.2.14SolarisICMP Echo RequestTOS !=0Reply withTOS!=0Reply withTOS=0Other OSs1Windows 2000 FamilyUltrixNovell NetwareICMP Timestamp RequestTTL=128TTL=255UltrixWindows 200

11、0 FamilyNovell Netware2ReplyNo ReplyWindows 2000 FamilyNovell NetwareICMP Timestamp RequestTOS!=03Reply withTOS!=0Reply withTOS=0Windows 98/98SE/MEOther OSsICMP Time Stamp RequestReplyNo ReplyWindows 98/98SEWindows MEWindows NT SP 3-Windows NT SP 4+198/98SE/ME/NTsp3-/NTsp4+ICMP Address Mask RequestN

12、o Reply3ReplyNo Reply2Windows 98/98SEWindows MEWindows NT SP 3 -Windows NT SP 4 +ICMP Address Mask RequestReply發(fā) 往 關(guān) 閉 端 口的 U D P 包I C M P E c h o 請求對 返 回 包 處 理I C M P 時 間 戳 請求對 返 回 包 處 理I C M P 地 址 掩 碼請 求對 返 回 包 處 理I C M P 信 息 請 求對 返 回 包 處 理如 果 有 必 要如 果 有 必 要如 果 有 必 要如 果 有 必 要CAttackerSYN|ACK from

13、host A src port 23with advertised window 0 x4000, DF bit on & ttl of 64SYN to port 23A操作系統(tǒng)被動察覺通告的窗口值、是否設(shè)置DF位、缺省TTL。被動操作系統(tǒng)識別被動操作系統(tǒng)識別OS Fingerprints:4000:ON:64 = FreeBSD被動操作系統(tǒng)識別工具被動操作系統(tǒng)識別工具緩沖區(qū)返回地址開始向緩沖區(qū)寫數(shù)據(jù)攻擊者輸入的數(shù)據(jù)返回地址被攻擊者覆蓋返回地址攻擊者攻擊者被攻擊者被攻擊者Ping廣播地址 源地址被設(shè)置為被攻擊者的ip被利用網(wǎng)絡(luò)攻擊者攻擊者產(chǎn)生碎片被攻擊者被攻擊者收到碎片重組碎片Interne

14、t最后一個碎片太大導(dǎo)致緩存溢出buffer 65535 bytes第一個碎片 : 36 bytes03524第二個碎片:4 bytesoffsetendnewoffsetlen = end - newoffset 0memcpy( *dest, *src, len)unsigned int or unsigned long黑客技術(shù)：Teardrop 攻擊黑客技術(shù)：黑客技術(shù)：DDOS攻擊者中間人代理目標(biāo)洪流_root_看不到了WU-FTPD：歷史上的安全問題Aug 1999: long dir name overflowOct 1999: site newer DoS and overflows

15、Jun 2000: site exec overflowJan 2001: privatepw temp file problemsNov 2001: glob heap overflow建議使用：建議使用：/或或/ISC BIND ：歷史上的安全問題Apr 1998: iquery overflowNov 1999: NXT overflowApr 2000: multiple DoS bugsNov 2000: ZXFR DoSFeb 2001: TSIG et. al. overflows建議使用：建

16、議使用：http:/cr.yp.to/djbdns.html Sendmail ：歷史上的安全問題Nov 1999: local sendmail problemsDec 1999: newaliases local DoSApr 2000: mail.local header corruptionMay 2001: signal handler heap vulnAug 2001: -d param memory overwriteOct 2001: config overflow/not drop privs建議使用：建議使用：/或或http:/cr.yp.to/qmail.htmlhttp:/cr.yp.to/qmail.htmlHTTP Servers ：盡量避免windows平臺下的web server靜態(tài)內(nèi)容建議使用：靜態(tài)內(nèi)容建議使用：http:/ 或或http:/cr.yp.to/publicfile.html動態(tài)內(nèi)容建議使用：動態(tài)內(nèi)容建議使用：