电脑技术学习

必须了解的三种后门技术安全知识

dn001

  3、无用的数据传输

  1.眼皮底下的偷窃者——ICMP

  ICMP,Internet Control Message Protocol(网际控制信息协议),最常见的网络报文,近年来被大量用于洪水阻塞攻击,但是很少有人注意到,ICMP也偷偷参与了这场木马的战争…… 最常见的ICMP报文被用作探路者——PING,它实际上是一个类型8的ICMP数据,协议规定远程机器收到这个数据后返回一个类型0的应答,报告“我在线。可是,由于ICMP报文自身可以携带数据,就注定了它可以成为入侵者的得力助手。由于ICMP报文是由系统内核处理的,而且它不占用端口,因此它有很高的优先权。ICMP就像系统内核的亲戚,可以不受任何门卫阻拦,于是,篮子里藏着武器的乡下老人敲响了总统的房门……

  使用特殊的ICMP携带数据的后门正在悄然流行,这段看似正常的数据在防火墙的监视下堂而皇之的操纵着受害者,即使管理员是个经验丰富的高手,也不会想到这些“正常的ICMP报文在吞噬着他的机器。有人也许会说,抓包看看呀。可是,实际应用中,传递数据的ICMP报文大部分肯定是加密过的,你怎么检查

  不过,ICMP也不是无敌的,有更多经验的管理员干脆禁止了全部ICMP报文传输,使得这位亲戚不得再靠近系统,虽然这样做会影响系统的一些正常功能,可是为了避免被亲戚谋杀,也只能忍了。最亲密最不被怀疑的人,却往往是最容易杀害你的人。

  2.不正常的邮递员——IP首部的计谋

  我们都知道,网络是建立在IP数据报的基础上的,任何东西都要和IP打交道,可是连IP报文这个最基本的邮递员也被入侵者收买了,这场战争永不停歇……为什么呢?我们先略了解一下IP数据报的结构,它分为两个部分,首部和身体,首部装满了地址信息和识别数据,正如一个信封;身体则是我们熟悉的数据,正如信纸。任何报文都是包裹在IP报文里面传输的,通常我们只留意信纸上写了什么,却忽略了信封上是否涂抹了氰酸钾。于是,很多管理员死于检查不出的疑症……

  这是协议规范的缺陷导致的,这个错误不是唯一的,正如SYN攻击也是协议规范的错误引起的。相似的是,两者都用了IP首部。SYN是用了假信封,而“套接字木马则是在信封上多余的空白内容涂抹了毒药——IP协议规范规定,IP首部有一定的长度来放置标志位(快递?平信?)、附加数据(对信的备注),结果导致IP首部有了几个字节的空白,别小看这些空白,它能携带剧毒物质。这些看似无害的信件不会被门卫拦截,可是总统却不明不白的死在了办公室……

  入侵者用简短的攻击数据填满了IP首部的空白,如果数据太多,就多发几封信。混入受害者机器的邮递员记录信封的“多余内容,当这些内容能拼凑成一个攻击指令的时候,进攻开始了……

  结语

  后门技术发展到今天,已经不再是死板的机器对机器的战争,它们已经学会考验人类,现在的防御技术如果依然停留在简单的数据判断处理上,将被无数新型后门击溃。真正的防御必须是以人的管理操作为主体,而不是一味依赖机器代码,否则你的机器将会被腐蚀得面目全非……

标签: