Tecnología de seguridad de la información - (6) Tecnología de ataque a redes y sistemas

1. Proceso de ataque a redes y sistemas.

1.1 Proceso de ataque típico

1.2 Definición de investigación de redes y sistemas

• La investigación de redes y sistemas se refiere a la búsqueda y el juicio del atacante sobre la información y las debilidades de la red, que es un paso indispensable en el ataque.
• Los objetos incluyen principalmente información técnica como topología de red, dirección de host, puerto de servidor abierto y versión del programa de servicio, así como información no técnica como nombre del administrador, pasatiempos y dirección de correo electrónico.

1.3 Principales métodos de investigación de redes y sistemas.

1.3.1 Escaneo de red

1.Definición

• El escaneo de red es una tecnología de descubrimiento de vulnerabilidades del sistema y descubrimiento de servicios remotos basado en la red.
• El escaneo se puede dividir enEscaneo basado en hostyEscaneo basado en red。
• Existen dos técnicas para el escaneo de vulnerabilidades:Método de coincidencia basado en vulnerabilidadesyEnfoque basado en complementos

2. Software de análisis y escaneo de vulnerabilidades del sistema

Nessus es el software de análisis y escaneo de vulnerabilidades de sistemas más utilizado en el mundo. En total, más de 75.000 organizaciones utilizan Nessus como software para escanear los sistemas informáticos de su organización.

• Nessus es un escáner de seguridad remoto potente pero fácil de usar, gratuito y que se actualiza extremadamente rápido.
• Neso adoptatecnología basada en complementos。
• El principio de funcionamiento es simular ataques de piratas informáticos a través de complementos y realizar análisis de vulnerabilidades de seguridad ofensivas en el sistema host de destino.
• El propósito del desarrollo es ayudar a los administradores del sistema a buscar las debilidades del host del sistema y permitir que el administrador del sistema corrija o proteja el host para evitar ser atacado por intrusos.
• En la nueva versión, las plataformas de sistemas operativos compatibles con Nessus incluyen Linux, FreeBSD, Solaris, Mac OSX y Windows.

1.3.2 Acceso directo

• El comando PING se utiliza paraCompruebe si la red es fluidaovelocidad de conexión a internet。
• Su principio es el siguiente: las computadoras en la red tienen direcciones IP únicas. Si envía un paquete de datos a la dirección IP de destino, la otra parte devolverá un paquete de datos del mismo tamaño. Según el paquete de datos devuelto, puede determinar el existencia del host de destino. , inicialmente puede determinar el sistema operativo del host de destino, etc.

1.3.3 Detección de topología de red

1. Definición de topología de red

• La estructura de topología de la red se refiere al diseño físico de varios dispositivos interconectados mediante medios de transmisión. Si la estructura de conexión de dos redes es la misma, decimos que su topología de red es la misma, aunque su cableado físico interno y la distancia entre nodos pueden ser diferentes.

2. Detección de topología de red

• Para los atacantes, dominar la topología de la red objetivo, comprender los tipos de dispositivos de la red objetivo y aclarar la ubicación geográfica correspondiente a la entidad del dispositivo objetivo puede guiarlos mejor para implementar comportamientos de intrusión. Esto es como en las operaciones militares, cuando el comandante tiene un mapa preciso del campo de batalla, puede desplegar con precisión sus tropas y concentrarse en atacar fortalezas clave.

1.3.4 Utilización de protocolos de red

• Los ataques al protocolo de capa de red incluyen principalmenteSuplantación de direcciones de origen IP, suplantación de ARP y ataques de redirección de rutas ICMP。
• La suplantación de direcciones de origen IP
  simplemente significa que el atacante falsifica paquetes de datos IP con direcciones de origen falsas y los envía para ocultar la identidad del perpetrador y hacerse pasar por otras computadoras.
• Suplantación de ARP La
  suplantación de ARP también se denomina envenenamiento de ARP. Un atacante envía información ARP falsificada a través de una red Ethernet o inalámbrica cableada para falsificar la dirección MAC correspondiente a una IP específica con fines maliciosos.
• El ataque de redirección de enrutamiento ICMP
  se refiere a una técnica en la que un atacante se hace pasar por un enrutador y envía mensajes falsos de control de ruta de enrutamiento ICMP, lo que hace que el host de la víctima elija la ruta de enrutamiento especificada por el atacante, realizando así ataques de rastreo o suplantación de identidad.

1.3.5 Explotación de las debilidades del sistema

• Escanee los puertos abiertos en el host objetivo del ataque para ver si hay algún tipo de vulnerabilidad que pueda explotarse.
• En un sistema similar a Linux, la mejor manera de completar la tarea de detección de vulnerabilidades de un puerto de host específico es usarNesoSoftware de escaneo de vulnerabilidades;
• En sistemas Windows, además de utilizar este software, también puede utilizarEscaneo XySuperescaneoy otro software.
  

1.3.6 Ataque de contraseña

1. Enumerar contraseñas

• Grietas de fuerza bruta. El descifrado de contraseñas por fuerza bruta es un método de ataque de contraseñas común en la historia. Los piratas informáticos utilizan un diccionario de contraseñas masivo para enumerar exhaustivamente las contraseñas de los usuarios. A medida que aumenta la conciencia de la gente sobre la seguridad, los sistemas de autenticación de inicio de sesión suelen limitar el número de inicios de sesión fallidos. Actualmente, este método de ataque se ha reducido significativamente.

2. Generación de diccionario

• El diccionario es un archivo de diccionario que contiene muchas contraseñas generadas según una combinación específica, incluidos caracteres, números, combinaciones, etc. Las contraseñas comunes para cuentas web incluyen administrador, prueba, invitado, administrador, 666666, 123456, etc. Por lo general, los administradores eligen contraseñas que son fáciles de recordar, lo que puede llevar a descifrar cuentas y contraseñas por fuerza bruta.

3. Intercepción y engaño de contraseñas

• Olfateo de redes. Los métodos de rastreo de contraseñas de red generalmente utilizan un host para monitorear la red y capturar datos de la red para analizar las contraseñas. En la actualidad, la información sensible, como las contraseñas, está en su mayoría cifrada, por lo que este método de ataque también está sujeto a ciertas restricciones. Pero para las aplicaciones web con una alta proporción, los piratas informáticos rastrearán las comunicaciones HTTP no cifradas para obtener la cookie del sitio web (un dato
  enviado por el servidor al navegador después de que el navegador accede al servidor) y luego podrán hacerlo sin usar una contraseña. El robo de identidad.

4. Medios no técnicos

• Truco de ingeniería social. Los piratas informáticos utilizan la ingeniería social para descifrar contraseñas engañando y dañando a las víctimas mediante trampas psicológicas como debilidades psicológicas, reacciones instintivas, curiosidad, confianza y codicia, etc., con el fin de obtener contraseñas de usuario. Por ejemplo, alguien puede hacerse pasar por administrador de correo electrónico y enviarle información de actualización por correo electrónico, dirigirlo a un sitio web de phishing y robar su contraseña de correo electrónico. Este tipo de ataque es ahora relativamente común: una conocida empresa de seguridad de redes nacionales fue atacada una vez por este tipo de ataque y se robaron una gran cantidad de contraseñas de empleados.

2. Vulnerabilidades de seguridad de redes y sistemas

2.1 Vulnerabilidades de seguridad

• Una vulnerabilidad de seguridad es un punto de entrada inadvertidamente desprotegido a una computadora, componente, aplicación u otro recurso en línea restringido. Las vulnerabilidades son fallas en las estrategias de uso de hardware y software que exponen las computadoras a virus y ataques de piratas informáticos.

2.2 Vulnerabilidades de seguridad comunes

2.2.1 Vulnerabilidad de inyección

• La vulnerabilidad de inyección se debe a un filtrado de caracteres sueltos y se puede obtener la contraseña de la cuenta del administrador y otra información relacionada.
• La vulnerabilidad de inyección SQL es uno de los tipos de vulnerabilidad más graves. Las vulnerabilidades de inyección SQL implican principalmente falsificar solicitudes de clientes, enviar comandos SQL al servidor para operaciones de solicitud ilegales y, en última instancia, engañar al servidor para que ejecute comandos SQL maliciosos.

2.2.2 Desbordamiento del búfer

1. Desbordamiento del búfer

• Los programas de computadora generalmente usan algo de memoria, que el programa utiliza internamente o para almacenar datos de entrada del usuario. Dicha memoria generalmente se denomina buffer.
• Desbordamiento del búfer significa que cuando la computadora llena el búfer con bits de datos que exceden la capacidad del búfer mismo, los datos desbordados cubren los datos legales.

2. Ataque de desbordamiento del búfer

• Un ataque de desbordamiento de búfer destruye el tamaño del búfer del beneficio especificado, lo que hace que se desborde hacia otros espacios y destruya la pila.
• La descompilación y el desarrollo en Linux pueden llevar a cabo ataques de desbordamiento de búfer

2.2.3 Fuga de datos confidenciales

• La fuga de información confidencial se refiere a vulnerabilidades en las que datos que incluyen información del usuario, información de los empleados corporativos, información interna, etc., a los que el mundo exterior no debería acceder, se filtran al exterior sin autorización a través de sitios web, interfaces, almacenamiento externo, etc.

2.2.4 Ataques de autenticación y gestión de sesiones

• Las funciones de autenticación o relacionadas con la sesión en la aplicación no se implementan correctamente, lo que permite a los atacantes comprometer contraseñas, tokens de sesión o explotar otras fallas para suplantar la identidad del usuario con fines de ataque.

2.2.5 Ataque de denegación de servicio Dos

1.Definición

• Un ataque de denegación de servicio (DoS) ocurre cuando un atacante envía una gran cantidad de solicitudes de operación o de servidor, lo que dificulta que los programas de servicio funcionen normalmente.
• DDOS: el nombre chino es ataque distribuido de denegación de servicio. Se refiere a un atacante que controla varios hosts para lanzar un ataque DOS en el mismo host o red al mismo tiempo.

2.Manifestaciones DDOS

Hay dos formas principales de DDoS, una esataque de tráfico, principalmente ataques al ancho de banda de la red, es decir, una gran cantidad de paquetes de ataque causanEl ancho de banda de la red está bloqueado, los paquetes de red legítimos se ven inundados por paquetes de ataque falsos y no pueden llegar al host; el otro esataque de agotamiento de recursos, principalmente dirigido a ataques políticos a hosts de servidores, es decir, a través de una gran cantidad de paquetes de ataque que causanLa memoria del host está agotada o los núcleos de la CPUy las aplicaciones están llenas, lo que resulta en la imposibilidad de proporcionar servicios de red.

3. Identificación de ataques

Prueba de ping: si se descubre que el tiempo de espera del ping o la pérdida de paquetes es grave, es posible que esté bajo ataque. Si se descubre que
no se puede acceder al servidor en el mismo conmutador, básicamente se puede determinar que se trata de un ataque de tráfico.

3. Investigación de redes y sistemas.

4. Principios fundamentales de los ataques a redes y sistemas