流行的黑客用于攻击网络的常用工具（2）

工具三：WarDialers

很多公司非常重视防火墙的安全。然而，这个坚固的防线只封住了网络的前门，但内部网中不注册的调制解调器却向入侵者敞开了“后门”。WarDialers能迅速地找出这些调制解调器，随即攻入网络。因此，它成为一个非常受入侵者欢迎的工具。

WarDialer因电影“WarGames”而一举成名。它的攻击原理非常简单：不断以顺序或乱序拨打电话号码，寻找调制解调器接通后熟悉的回应音。一旦WarDialers找到一大堆能接通的调制解调器后，黑客们便拨号入网继续寻找系统内未加保护的登录或容易猜测的口令。WarDialers首选攻击对象是“没有口令”的PC远程管理软件。这些软件通常是由最终用户安装用来远程访问公司内部系统的。这些PC远程控制程序当用到不安全的调制解调器时是异常脆弱的。

THC-Scan是TheHacker’sChoice(THC)Scanner的缩写。这个WarDialers工具是由“vanHauser”撰写的。它的功能非常齐全。THC-Scan2.0版于1998年圣诞节推出，THC-Scan与Toneloc(由“MinorThreat”及“MuchoMaas”撰写)用途近似。THC-Scan与其他普通WarDialers工具不同，它能自动检测调制解调器的速度、数据位、校验位及停止位。此工具也尝试去判断被发现的计算机所使用的操作系统。而且，THC-Scan有能力确认什么时候能再有拨号音，这样，黑客们便可以不经过你的PBX就可以拨打免费电话。

WarDialers的防范

当然，最有效防范措施就是使用安全的调制解调器。取消那些没有用途的调制解调器。且用户必须向IT部门注册后才能使用调制解调器。对那些已注册并且只用作外发的调制解调器，就将公司的PBX的权限调至只允许外拨。每个公司应有严格的政策描述注册的调制解调器并控制PBX。由于市场零售店内有使用方便、价格便宜的数字调制解调器出售，用户也能把调制解调器安装在只有数字线的PBX上使用。

除此之外，你还要定期作渗透测试，找出电话交换器内不合法的调制解调器。选用一个好的工具去寻找与网络连接的调制解调器。对于被发现、但未登记的调制解调器，要么拿掉它们，要么重新登记。

工具四：NetCat

NetCat是一个用途广泛的TCP及UDP连接工具。它是由“Hobbit”于1995年为UNIX编写的，于1997年推出。对系统管理人员及网络调试人员而言，它是一个非常有用的工具。当然，它也是一个攻击网络的强大工具。

NetCat有许多功能，号称黑客们的“瑞士军刀”。与功能强大的UNIX脚本语言结合时，NetCat是制造网络工具的基本组件。NetCat的基本程序可以以聆听式和客户式两种方式运行。当以聆听式运行时，NetCat是一个服务器进程，等待与指定的TCP或UDP端口连接。而以客户式运行时，NetCat能连接到用户指定的任何端口。

NetCat在一个系统内以聆听式运行，同时在另一系统内以客户式运行时，NetCat可以发动很多攻击。它可以在任何端口提供后门登录，如UDP端口53。从网络包角度来分析，这种登录被看成是一系列DNS问答，其实这是真正的后门登录。当在两系统内以两种方式同时运行时，NetCat可以在任何端口架构快捷、简单的档案传输机制。

NetCat也可以是源路包。当NetCat以客户方式运行时，它是个UDP及TCP端口扫描器。当它发现系统内有打开的端口时，NetCat会轻而易举地与这些端口连接。

NetCatNT版有一个独特之处：它可以将自己绑定在当前进程的端口前端。利用这一功能可以非常有效地向服务器或Web服务器发动攻击。这种连接也可以因拒绝服务攻击(Denial-of-serviceDoS)而被断掉。有时黑客把自己的请求送到正当的服务器进程前，编写特别的程序用来寻找敏感数据(口令、银行帐号等)。

NetCat防范

最佳防范NetCat的方法是“最小特权原理”(昵称为“polyp”)(PrincipleofLeastPriviledges)。也就是说，不让不需要的端口经过防火墙，只有那些你允许通过的端口可以与指定的主机连接。例如：经过防火墙的DNS查询，只打开需要此服务的UDP53端口(通常是一个内部DNS服务器把这些查询转出到Internet)。这样就可以防止攻击者有机会把NetCat包送到你内部网的任何主机上。

至于那些可以被外部访问的系统，在防范NetCat攻击时，你要清楚这些机器上已运行的进程，并且仔细调查那些不寻常进程，因为它们可能是后门聆听者。你必须定期检查端口，以便发现有没有聆听者侵入你的机器。

为了防止回放攻击，所有应用系统应该为每条消息(包括webcookies、表单或者是原始数据)盖上时间印及顺序号码。所有消息的时间印及顺序号应经过密码完整性测试，确保没有被修改或回放。

工具五：SessionHijacking

很多应用系统采用命令行登录是不安全的，尤其是telnet、rsh、rlogin及FTP程式，它们全是黑客攻击对象。任何一个黑客在连接了客户与服务器之间的网段后，可以用SessionHijacking工具接管会话。

当一个合法用户登录到命令行进行会话时，黑客可以找到此会话并马上代表用户接管此会话，重新连接客户，这样黑客便完全控制这个登录，进而黑客成为合法用户。而真正的用户会简单地认为网络出故障了，从而会断掉会话。

黑客圈里有大量此种黑客工具，最新的有“Kra”于1998年11月编写的Hunt，还有“daemon9”编写的juggernaut，它们均提供基本的SessionHijacking功能。

SessionHijacking防范

对于敏感的会话通信(如防火墙的远程管理、PKI或是其他重要部件的管理)，选用一个有密码认证功能的工具把整个会话加密是一个好选择。SecureShell(SSH)就提供这些功能。VPN产品也提供认证及会话加密。黑客没有在SSH或VPN工具里所用的钥匙便无法进行会话攻击。

其他攻击工具

ROOTEXPLOITS

攻击者利用ROOTEXPLOITS，使用普通UNIX帐号访问超级用户从而接管机器。攻击者在UNIX系统里有无数方法把自己升级。

ROOTEXPLOITS的防范

安全从业人员及系统管理员应参照CarnegieMellon的CERT(cert.org)及bugtrag(subscribe：listserve@netspace.org)的安全简讯，密切注意新的exploits。当新的攻击被击破后，应迅速并且有步骤地为受影响的机器进行测试和安装厂家的补丁程序。对于对外公开使用的Web服务器、DNS系统、防火墙等，应该使用基于主机的安全监控软件检测寻找根目录的用户。