¿Atacado? ¿Qué es el hacker legendario?
Métodos de ataque utilizados habitualmente por los piratas informáticos
Los métodos de ataque de los piratas informáticos se pueden dividir en dos categorías: ataques no destructivos y ataques destructivos. Los ataques no destructivos generalmente tienen como objetivo interrumpir el funcionamiento del sistema sin robar datos del sistema y, por lo general, utilizan ataques de denegación de servicio o bombas de información para invadir los sistemas informáticos de otras personas, robar información confidencial del sistema y destruirlos; los datos del sistema de destino. A continuación se presentan cuatro métodos de ataque comúnmente utilizados por los piratas informáticos (Nota del editor: descifrar contraseñas es, por supuesto, también uno de los métodos de ataque más utilizados por los piratas informáticos).
Programa de puerta trasera
Cuando los programadores diseñan algunos programas con funciones complejas, generalmente adoptan ideas de programación modular y dividen todo el proyecto en múltiples módulos funcionales, que se diseñan e implementan por separado. la puerta trasera en este momento es la entrada secreta de un módulo. Durante la fase de desarrollo del programa, las puertas traseras facilitan probar, cambiar y mejorar la funcionalidad del módulo. En circunstancias normales, después de completar el diseño, es necesario eliminar las puertas traseras de cada módulo. Sin embargo, a veces, debido a negligencia u otras razones (como dejarlas en el programa para futuros accesos, pruebas o mantenimiento), las puertas traseras no se eliminan. y algunas personas con motivos ocultos utilizarán métodos exhaustivos. El método de búsqueda descubre y explota estas puertas traseras, luego ingresa al sistema y lanza un ataque.
Bomba de información
La bomba de información se refiere al uso de algunas herramientas y software especiales para enviar una gran cantidad de información que excede la carga del sistema al servidor de destino en un corto período de tiempo. provocando que el servidor de destino se sobrecargue, la red se bloquee y el sistema falle. Por ejemplo, enviar una combinación específica de paquetes de datos UDP a un sistema Windows 95 sin parches hará que el sistema de destino falle o se reinicie; enviar un paquete de datos específico a un determinado modelo de enrutador provocará que el enrutador falle al enviar una gran cantidad de; Los correos electrónicos no deseados al correo electrónico de alguien. Este buzón está "explotando", etc. Las bombas de información comunes actualmente incluyen bombas de correo electrónico, bombas lógicas, etc.
Denegación de servicio
También llamado ataque DOS distribuido, utiliza una gran cantidad de paquetes de datos que exceden las capacidades de procesamiento del objetivo atacado para consumir el sistema disponible y los recursos de ancho de banda de el sistema, y finalmente paraliza los servicios de red. Un medio de ataque. Como atacante, primero debe invadir y controlar un sitio web mediante métodos de piratería convencionales y luego instalar e iniciar un comando especial en el servidor que el atacante puede emitir para controlar el proceso. target como un comando para el proceso, estos procesos comienzan a atacar el host de destino. Este método puede concentrar una gran cantidad de ancho de banda del servidor de red para atacar a un objetivo específico, por lo que es muy poderoso. En un instante, los recursos de ancho de banda del objetivo atacado pueden agotarse, provocando que el servidor se paralice. Por ejemplo, el ataque de un hacker a la Universidad de Minnesota en Estados Unidos en 1999 se enmarcó en este método.
Monitoreo de red
El monitoreo de red es una herramienta de administración para monitorear el estado de la red, el flujo de datos y la información transmitida en la red. Puede configurar la interfaz de red en modo de monitoreo e interceptar la transmisión de Internet. información, es decir, cuando un pirata informático inicia sesión en un host de la red y obtiene derechos de superusuario, si desea iniciar sesión en otros hosts, el monitoreo de la red puede interceptar datos de manera efectiva en Internet. Este es el método más común utilizado por los piratas informáticos. Sin embargo, el monitoreo de red solo se puede aplicar a hosts que están conectados físicamente al mismo segmento de red y generalmente se usa para obtener contraseñas de usuario.
Propósito del ataque de piratas informáticos
1. Ejecución del proceso
Quizás el atacante simplemente ejecuta algunos programas simples después de iniciar sesión en el host objetivo, o quizás estos programas sean inofensivos. y simplemente consumir algo de tiempo de CPU del sistema. Pero las cosas no son tan simples. Todos sabemos que algunos programas sólo pueden ejecutarse en un sistema y no se ejecutarán en otro. Un ejemplo especial es que algunos análisis solo se pueden ejecutar en sistemas UNIX. En este caso, para atacar, los atacantes a menudo encuentran un sitio intermedio para ejecutar los programas requeridos, lo que también puede evitar exponer sus propios propósitos. Incluso si se descubre, sólo se podrá encontrar la dirección del sitio intermedio. En otros casos, si un sitio tiene acceso a otro sitio o red estrictamente controlado, un intruso puede atacar primero el sitio intermedio para atacar ese sitio o red. Es posible que esta situación no cause daños al sitio atacado ni a la red misma, pero el peligro potencial ya existe. En primer lugar, consume mucho tiempo del procesador, especialmente cuando se ejecuta un software de monitoreo de red, lo que hace que el tiempo de respuesta de un host sea muy largo.
Además, desde otra perspectiva, afectará gravemente la confianza del host de destino. Porque el intruso utiliza el host objetivo para acceder a sitios o ataques estrictamente controlados. Cuando se causan daños, la responsabilidad pasa al administrador del host objetivo y las consecuencias son difíciles de estimar. Puede provocar que el host de destino pierda algunos sitios o redes confiables. Además, el atacante puede transferir una factura al host objetivo, lo que es muy posible obtener información de cobro en línea.
2. Obtener archivos y datos en tránsito
El objetivo del atacante son datos importantes en el sistema, por lo que el atacante ataca iniciando sesión en el host objetivo o utilizando el monitoreo de red. De hecho, incluso Si el intruso no está seguro de cuándo quiere atacar, en circunstancias normales, copiará /etc/hosts o /etc/passwd en el sistema de archivos en el directorio de usuario actual.
3. Obtener permisos de superusuario
Tener permisos de superusuario significa que puedes hacer cualquier cosa, lo que sin duda es una gran tentación para los intrusos. Este tipo de autoridad es necesaria para soportar programas de monitoreo de red en sistemas UNIX. Por lo tanto, en una red de área local, sólo dominando los derechos de superusuario de un host podemos decir que tenemos control de toda la subred.
4. Acceso ilegal al sistema
Existen muchos sistemas a los que otros usuarios no pueden acceder, como por ejemplo la red de una empresa u organización. Por tanto, se requiere un acto extraordinario para acceder. El propósito de este ataque no necesariamente tiene que ser cualquier cosa, podría ser simplemente un ataque a la superficie de acceso. En una red de usuarios con muchos windows95
, muchos usuarios suelen compartir sus propios directorios, para que otros puedan navegar tranquilamente en estos equipos y encontrar lo que les interesa, o eliminar el archivo de sustitución. Quizás el acto de demostrar las propias habilidades a través de ataques sea el comportamiento de un hacker en nuestra imaginación. Después de todo, a nadie le gustan los intrusos que se especializan en causar daño o causar problemas a otros. Sin embargo, a la gente no le gusta este tipo de comportamiento de piratería de acceso ilegal.
5. Realizar operaciones no autorizadas
En ocasiones, los usuarios pueden acceder a determinados recursos, pero suelen estar sujetos a muchas restricciones. En un sistema UNIX, sin autoridad de superusuario, no se pueden hacer muchas cosas, por lo que existe una cuenta normal. Siempre quiero conseguir una mayor autoridad. Al igual que en el sistema Windows NT, hay demasiados secretos ocultos en el sistema y la gente no puede soportar la tentación. Por ejemplo, la puerta de enlace controla estrictamente el acceso a algunos sitios. Muchos usuarios, intencionalmente o no, intentan obtener más permisos de los permitidos, por lo que buscan vulnerabilidades instaladas por los administradores o encuentran algunas herramientas para romper las defensas de seguridad del sistema. Por ejemplo, los caballos de Troya son un medio de uso común.
6. Denegación de servicio
En comparación con el propósito anterior, la denegación de servicio es un acto intencionado de destrucción. Hay muchas formas de denegar el servicio, como conectar a tierra el cable conectado a la LAN; enviar una gran cantidad de solicitudes sin sentido al servidor de nombres de dominio, impidiéndole completar las solicitudes de resolución de nombres de otros hosts, creando tormentas de red e inundando la red; con una gran cantidad de paquetes, ocupando el ancho de banda de la red y retrasando la transmisión de la red.
7. Alteración de información
La alteración de información incluye modificación, reemplazo y eliminación de archivos importantes, lo cual es un comportamiento de ataque muy malo. La información falsa o incorrecta causará grandes pérdidas a los usuarios.
8. Información expuesta
El sitio comprometido tiene mucha información y datos importantes disponibles. Si un atacante utiliza algunas herramientas del sistema, el sistema las registrará. Si las envía directamente a su propio sitio, su identidad y dirección también quedarán expuestas. Por lo tanto, al robar información, los atacantes suelen enviar esta información y datos a. a un sitio FTP público o envíelo por correo electrónico a una ubicación donde pueda recogerlo más tarde. Esta es una excelente manera de esconderte. Enviar esta información importante a sitios públicos conduce a la difusión de información. Dado que esos sitios públicos suelen ser visitados por muchas personas, es completamente posible que otros usuarios obtengan la información y la difundan nuevamente.
Herramientas
Cabe decir que los hackers son muy inteligentes, pero no todos son genios. A menudo utilizan herramientas y técnicas que son ampliamente utilizadas por otros en el campo de la seguridad. En términos generales.
Si no diseñan sus propias herramientas, deben utilizar herramientas disponibles en el mercado. Hay muchas herramientas de este tipo en Internet, desde SATAN e ISS hasta varias herramientas de monitoreo de red breves y prácticas.
En un sistema UNIX, una vez completada la intrusión, el sistema puede tener vulnerabilidades grandes y pequeñas. Es muy difícil limpiar estas vulnerabilidades por completo. En este momento, el sistema solo se puede reinstalar. Cuando un atacante monitorea la red y obtiene las contraseñas de algunos usuarios, siempre que una contraseña no haya cambiado, el sistema sigue siendo inseguro y el atacante puede volver a acceder a la red en cualquier momento. Para una red, la dificultad radica en llegar al host objetivo. Hay muchos métodos disponibles una vez que te subes a bordo. Incluso si el atacante no hace nada, aún puede obtener información importante del sistema y difundirla, por ejemplo: difundir el archivo hosts en el sistema. Una situación grave es cuando el atacante coloca el siguiente archivo de contraseña obtenido en la red para comunicarse. Cada herramienta tiene sus propias limitaciones debido a su diseño específico, por lo que, desde la perspectiva del usuario, los ataques realizados por todas estas herramientas son esencialmente los mismos. Por ejemplo, si el host objetivo es una estación de trabajo SAPRC que ejecuta SunOS 4.1.3, entonces el administrador puede escuchar exactamente el mismo fenómeno para todos los ataques que utilizan la herramienta Strobe. Comprender estos signos es un aspecto importante de la educación administrativa. Un nuevo intruso puede seguir estrictamente estas instrucciones, pero los resultados a menudo lo decepcionarán. Debido a que algunos métodos de ataque están desactualizados (las actualizaciones del sistema o las intrusiones de parches solo harán perder tiempo), estos ataques dejarán rastros del atacante. De hecho, los administradores pueden utilizar algunas herramientas o algunos scripts para extraer información sobre intrusos de los registros del sistema. Estos programas solo necesitan tener sólidas capacidades de búsqueda (lenguajes como Perl son muy adecuados para esto).
Por supuesto, en este caso, se requiere que el registro del sistema no haya sido invadido. A medida que los atacantes ganan experiencia, comienzan a desarrollar toda una gama de métodos de ataque especializados, algunos de los cuales están relacionados con los hábitos del atacante. Este tipo de ataque se denomina ataque híbrido porque el atacante se da cuenta de que una herramienta tiene usos distintos a su propósito directo y utiliza una o más técnicas en estos ataques para lograr el objetivo. Las herramientas de ataque no se limitan a herramientas especiales. Las herramientas de red comúnmente utilizadas en el sistema también se pueden usar como herramientas de ataque. Por ejemplo, para iniciar sesión en el host de destino, debe usar comandos como telnet y rlogin para realizar un reconocimiento en el objetivo. host Hay muchas en el sistema que pueden usarse como herramientas de reconocimiento, como Finger y Showmount. Incluso puedes escribir algunas herramientas tú mismo, lo cual no es difícil. Se devuelve, ya que cuando el servidor solicita un nombre de usuario, el hacker ingresa un punto y coma. Este es un comando UNIX, lo que significa que al enviar un comando, algunos servidores HTTP filtrarán los puntos y comas utilizados por el usuario. El intruso instala un programa de escucha en el servidor UNIX para monitorear los inicios de sesión, como los puertos 23, 21, etc.
Cuando el usuario inicia sesión, guarda el nombre de usuario y la contraseña que monitorea, de modo que el hacker obtiene el número de cuenta y la contraseña. Hay una gran cantidad de programas de monitoreo disponibles, e incluso puede escribir un programa de monitoreo. programarse a sí mismo. El programa de escucha puede ejecutarse en Windows95 y WindowsNT. Además de estas herramientas, los intrusos también pueden aprovechar los caballos de Troya. Por ejemplo: el atacante ejecuta un programa de escucha, pero a veces no quiere que otros vean la ejecución de este programa desde el comando ps (incluso si se cambia el nombre del programa, sus parámetros de ejecución especiales pueden permitir al administrador del sistema ver de un vistazo que este es un programa de escucha en red). El atacante puede mover el comando ps a un directorio o cambiar su nombre, por ejemplo a pss, luego escribir un programa de shell, nombrar el programa de shell ps y colocarlo en el directorio donde se encuentra ps:
# ! /bin/ksh
pss-ef|grep-vsniffit|grep-vgrep
En el futuro, cuando alguien use el comando ps, no encontrará que alguien lo esté usando. el programa de escucha de la red. Este es un sencillo programa caballo de Troya.
Además, los gusanos también pueden convertirse en herramientas para ataques a la red. Aunque no modifican la información del sistema, ralentizan enormemente la velocidad de la red y causan problemas a las personas.