2003-2004年度北京大學(xué)工程碩士研究生課程

1、1,黑客反向工程導(dǎo)論,,中國科技大學(xué)計算機系63602824,2,課程說明,1.教材和參考文獻 (1) 黑客反匯編揭秘(第2版)，卡巴斯基， 俄Kris Kaspersky著，譚明金等譯 (2) SQL 注入攻擊與防御, Justin Clarke等著,黃曉磊等翻譯 (3) 各種相關(guān)文獻或?qū)W術(shù)文章 (4) http://staff.ustc.edu.cn/~chenkm2.考試或考查一次正式課堂匯報(p

2、pt報告不超過30分鐘，80%)平時發(fā)言 20%, 點名缺3次取消匯報資格。,3,什么是黑客？　　黑客一詞，源于英文Hacker，原指熱心于計算機技術(shù)，水平高超的電腦專家，尤其是程序設(shè)計人員。 　　但到了今天，黑客一詞已被用于泛指那些專門利用電腦搞破壞或惡作劇的家伙。對這些人的正確英文叫法是Cracker，有人翻譯成“駭客”。,了解黑客的學(xué)習(xí)過程,一、收集資料二、看動畫課程與技術(shù)文章三、實戰(zhàn)訓(xùn)練四、借助問題再去看

3、動畫與文章五、自己制作動畫與寫文章http://soft.yesky.com/security/hkjj/170/3462670all.shtml#p3462670,4,技術(shù)黑客常用工具,黑客領(lǐng)域是專業(yè)知識要求極高的行當。具有C/C++編程語言,匯編語言和機器硬件等知識,熟悉Windows等操作系統(tǒng)。黑客是辛勤勞作代名詞，需要為自己收集必要的黑客工具。但如此眾多工具，該如何選擇，怎樣才能不迷失方向？,5,1. 調(diào)試器,SoftIc

4、e: Windows平臺下的最好的調(diào)試工具之一,是具有高級命令接口的交互式工具,并被并入到DriverStudio 框架, DriverStudio 3.2 是其最后一版。OllyDbg: 便捷的面向黑客的應(yīng)用程序級調(diào)試器，支持插件機制,自動確定打包程序的原始入口位置。,6,7,8,2. 反匯編器,IDA Pro 是唯一適合專業(yè)人員用的反匯編器。編譯多種文件格式.支持多處理器類型.輕松處理Java 和.NET 虛擬機字節(jié)碼.

5、支持宏,插件和腳本語言.識別庫函數(shù)名.支持MS-DOS,Windows和Linux.,9,10,11,3. 反編譯器,定義:反編譯指的是從二進制程序中提取源代碼的過程。1)Delphi 對應(yīng)的有DeDe2)VB的反編譯器，VB Rezq, VBDE3)Spices Decompiler4) DECLER—C語言,12,13,4. 十六進制編輯器,定義：將二進制程序文件按指定地址顯示為十六進制數(shù)和正確的字節(jié)。增強型：反匯

6、編，匯編，計算器以及正則搜索函數(shù)，甚至于加解密。HIEW： 最流行的。WinHEX: 商用編輯器HD Editor：類似于HIEW,14,15,16,17,5. 解包器,定義：大多數(shù)程序傾向于以打包的形式出現(xiàn)，直接反匯編不行；增加了反調(diào)試的機制。打包器基本上是針對特定版本,通用的解包器很難開發(fā)。Peid: 分析保護程序所使用的保護器或者打包器，維護一個由各種簽名組成的海量數(shù)據(jù)庫。,18,6. 轉(zhuǎn)儲器,定義：保存正在運行程序

7、的轉(zhuǎn)儲內(nèi)容是實施解包所采取的一種通用方法。幾乎可以破除所有打包器和絕大多數(shù)保護器。ProcDump: 較早開發(fā)的很笨拙。PE Tools： 較好的工具。,19,20,7. 資源編輯器,21,8. 窺測器(Spy),定義：Windows 消息窺測器 和 應(yīng)用編程接口(API) 窺測器。,22,9. 監(jiān)視器(Monitor),定義：揭示程序訪問了那些文件和注冊庫分支,23,24,10. 修正器(Monitor),定義：從二進制程序文件中

8、提取源代碼的過程，雖然有很多困難，但仍有存在的價值。,25,11. 受保護光盤復(fù)制器,,26,調(diào)試器與仿真器的仿真,定義：一個程序或設(shè)備模仿另外一個程序或設(shè)備的能力。 請參閱相關(guān)章節(jié)。,27,常用匯編指令---任務(wù),1. 傳送類指令如MOV, LEA.2. 運算類指令A(yù)DD,SUB,ADC,SBC,MUL,DIV,INC,DEC,IMUL,IDIV等.3. 壓棧類PUSH, POP等.4. 轉(zhuǎn)移控制類指令 JMP,

9、JNZ, JZ, JNC,JC等.5. 調(diào)用返回類指令CALL, RET.6. 棧指針SP, 堆,程序記數(shù)器PC, 空間分配函數(shù)等.8. 寄存器概念, 如AX, EAX, …, 標志寄存器等,28,29,,目前，網(wǎng)絡(luò)安全已不再是軍方和政府要害部門的需求。實際上，所有的網(wǎng)絡(luò)應(yīng)用環(huán)境包括銀行、電子交易、公共電信載體和互聯(lián)/專用網(wǎng)絡(luò)都有網(wǎng)絡(luò)安全的需求。,黑客可以攻擊的范圍,30,網(wǎng)絡(luò)安全問題的根源,風險難以消除Ø

10、 開放的網(wǎng)絡(luò)環(huán)境越來越多的基于網(wǎng)絡(luò)的應(yīng)用企業(yè)的業(yè)務(wù)要求網(wǎng)絡(luò)連接的不間斷性 網(wǎng)絡(luò)系統(tǒng)的bugØ 來自內(nèi)部的安全隱患錯誤的實現(xiàn)、錯誤的安全配置有限的防御措施糟糕的管理和培訓(xùn)外部的攻擊,31,網(wǎng)絡(luò)黑客,黑客（Hacker） 一種黑客對于任何計算機操作系統(tǒng)奧秘都有強烈興趣的人。“黑客”大都是程序員，他們具有操作系統(tǒng)和編程語言方面的高級知識，知道系統(tǒng)中的漏洞及其原因所在；他們不斷追求更深的知識，并公開他們的發(fā)現(xiàn)，與其

11、他分享；并且從來沒有破壞數(shù)據(jù)的企圖。 另一種黑客懷著不良企圖，闖入甚至破壞遠程機器系統(tǒng)完整性的人?！叭肭终摺崩毛@得的非法訪問權(quán)，破壞重要數(shù)據(jù)，拒絕合法用戶服務(wù)請求，或為了自己的目的制造麻煩?！叭肭终摺焙苋菀鬃R別，因為他們的目的是惡意的。 兩者之間最主要的不同是：前者創(chuàng)造新東西，后者破壞東西。,32,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全定義,網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然

12、的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)、可靠、正常地運行，網(wǎng)絡(luò)服務(wù)不中斷。 網(wǎng)絡(luò)安全從其本質(zhì)上來講就是網(wǎng)絡(luò)上的信息安全，涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實性和可控性的相關(guān)理論和技術(shù),33,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全的基本屬性,Ø完整性 Integrity數(shù)據(jù)完整性，未被未授權(quán)篡改或者損壞系統(tǒng)完整性，系統(tǒng)未被非法操縱，按既定的目標運行Ø可用性 Availabi

13、lity即保證信息和信息系統(tǒng)隨時為授權(quán)者提供服務(wù)，而不要出現(xiàn)非授權(quán)者濫用卻對授權(quán)者拒絕服務(wù)的情況 服務(wù)的連續(xù)性，即具有按要求順序使用的特性Ø保密性 Confidentiality ? 信息的機密性，對于未授權(quán)的個體而言，信息不可用,34,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全的其它屬性,真實性 authenticity 個體身份的認證，適用于用戶、進程、系統(tǒng)等可控性 Controllability 授

14、權(quán)機構(gòu)可以隨時控制信息的機密性可靠性 Reliability 行為和結(jié)果的可靠性、一致性不可否認性 Non-repudiation 要求無論發(fā)送方還是接收方都不能抵賴所進行的傳輸,35,通信保密階段：40年代－70年代重點是通過密碼技術(shù)解決通信保密問題，保證數(shù)據(jù)的保密性與完整性主要安全威脅是搭線竊聽、密碼學(xué)分析—黑客主要保護措施是加密重要標志1949年Shannon發(fā)表的《保密通信的信息理論》 1977年美國國家標

15、準局公布的數(shù)據(jù)加密標準（DES）1976年由Diffie與Hellman在“New Directions in Cryptography”一文中提出了公鑰密碼體制,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —從網(wǎng)絡(luò)安全到信息保障,36,信息安全階段 70－80年代重點是確保計算機系統(tǒng)中硬件、軟件及正在處理、存儲、傳輸信息的機密性、完整性、可控性和不可否認性等。主要安全威脅擴展到非法訪問、惡意代碼、脆弱口令等---黑客主要保護措施是安全操

16、作系統(tǒng)設(shè)計技術(shù)主要標志是1983年美國國防部公布的可信計算機系統(tǒng)評估準則（TCSEC）將操作系統(tǒng)的安全級別分為四類七個級別。,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —從網(wǎng)絡(luò)安全到信息保障,37,信息保障（IA）階段 90年代以來 重點需要保護信息，確保信息在存儲、處理、傳輸過程中及信息系統(tǒng)不被破壞，確保合法用戶的服務(wù)和限制非授權(quán)用戶的服務(wù)，以及必要的防御攻擊的措施。強調(diào)信息的保密性、完整性、可控性、可用性主要安全威脅發(fā)展到網(wǎng)絡(luò)入侵、病

17、毒破壞、信息對抗的攻擊等---黑客主要保護措施包括防火墻、防病毒軟件、漏洞掃描、入侵檢測、PKI、VPN主要標志是提出了新的安全評估準則CC（ISO 15408）、IPv6安全性設(shè)計,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —從網(wǎng)絡(luò)安全到信息保障,38,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —從網(wǎng)絡(luò)安全到信息保障,Ø保護（Protect） ? 采用可能采取的手段保障信息的保密性、完整性、可用性、可控性和不可否認性。安全規(guī)章、安全配置、安全措

18、施Ø檢測（Detect） ? 利用高技術(shù)提供的工具檢查系統(tǒng)存在的可能提供黑客攻擊、白領(lǐng)犯罪、病毒泛濫脆弱性。異常監(jiān)視、模式發(fā)現(xiàn)Ø反應(yīng)（React） ? 對危及安全的事件、行為、過程及時作出響應(yīng)處理，杜絕危害的進一步蔓延擴大，力求系統(tǒng)尚能提供正常服務(wù)。 報告、記錄、反應(yīng)、恢復(fù)Ø恢復(fù)（Restore） ? 一旦系統(tǒng)遭到破壞，盡快恢復(fù)系統(tǒng)功能，盡早提供正常的服務(wù)。,Information

19、 Assurance,39,網(wǎng)絡(luò)系統(tǒng)自身的安全缺陷軟件bug存在于服務(wù)器后臺程序(Daemons), 客戶程序, 操作系統(tǒng), 網(wǎng)絡(luò)協(xié)議棧。 數(shù)據(jù)庫管理系統(tǒng)安全的脆弱性 由于數(shù)據(jù)管理系統(tǒng)(DBMS)對數(shù)據(jù)庫的管理是建立在分級管理的概念上 ，因此，DBMS的安全也是可想而知。另外，DBMS的安全必須與操作系統(tǒng)的安全配套，這無疑是一個先天的不足之處。 操作系統(tǒng)的脆弱性 (1)操作系統(tǒng)體系結(jié)構(gòu)本身是不安

20、全的一種因素，操作系統(tǒng)程序可以動態(tài)連接，I/O程序與系統(tǒng)服務(wù)可以打補丁升級，因此可被黑客利用，也是病毒的溫床。 (2)操作系統(tǒng)可以創(chuàng)建進程，即使在網(wǎng)絡(luò)的節(jié)點上同樣也可以進行遠程進程的創(chuàng)建與激活，更令人不安的是被創(chuàng)建的進程具有可以繼續(xù)創(chuàng)建過程的權(quán)力，可以在遠端服務(wù)器上安裝間諜程序。 (3)守護進程Daemon具有操作系統(tǒng)核心層軟件同等權(quán)力，會被黑客利用。 (4)網(wǎng)絡(luò)操作系統(tǒng)提供的遠程過程調(diào)用(

21、RPC)服務(wù)以及它所安排的無口令入口也是黑客的通道。,,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全問題,40,網(wǎng)絡(luò)的開放性 INTERNET的美妙之處在于你和每個人都能互相連接, INTERNET的可怕 之處在于每個人都能和你互相連接基于公開的協(xié)議—協(xié)議安全的脆弱性 TCP/IP協(xié)議以及FTP、E-mail、NFS等都包含著許多影響網(wǎng)絡(luò)安全的 因素，存在許多漏洞。黑客通常采用Sock、TCP預(yù)測或使用遠程

22、訪問 (RPC)進行直接掃描等方法對防火墻進行攻擊。 遠程訪問使得各種攻擊無需到現(xiàn)場就能得手 連接基于主機上的實體彼此信任的原則,,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全問題,41,攻擊分類：被動攻擊：網(wǎng)絡(luò)信息被非法竊聽或截取。 如：traffic analysis主動攻擊：網(wǎng)絡(luò)信息或網(wǎng)絡(luò)本身被惡意篡改或破壞。 如：modification of messagedenial of service,,,網(wǎng)

23、絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全問題,42,中斷威脅使信息系統(tǒng)毀壞或不能使用的攻擊，破壞可用性（availability）。如硬盤等一塊硬件的毀壞，通信線路的切斷，文件管理系統(tǒng)的癱瘓等。,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全問題,43,竊聽威脅一般情況下，大多數(shù)網(wǎng)絡(luò)通信都以一種不安全的“明文”形式進行，攻擊者只要獲取數(shù)據(jù)通信路徑，就可以“竊聽”或“解讀”明文數(shù)據(jù)。破壞保密性非授權(quán)方可以是一個人，一個程序，一臺微機。這

24、種攻擊包括搭線竊聽，文件或程序的不正當拷貝。,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全問題,44,篡改威脅一個非授權(quán)方獲取傳輸?shù)男畔⒉⒋鄹暮笤賯鬏?。這是對完整性（integrity）的攻擊。這些攻擊包括改變數(shù)據(jù)文件，改變程序使之不能正確執(zhí)行，修改信件內(nèi)容等。,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全問題,45,偽造威脅一個非授權(quán)方將偽造的客體插入系統(tǒng)中，破壞真實性（authenticity）。包括網(wǎng)絡(luò)中插入假信件，或者在文件中追

25、加記錄等。,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全問題,46,冒充攻擊一個實體假裝成另外一個實體。在鑒別過程中，獲取有效鑒別序列，其后以冒名重播的方式獲得部分特權(quán)。重放攻擊獲取有效數(shù)據(jù)段以重播的方式獲取對方信任。在遠程登錄時如果一個人的口令不改變，則容易被第三者獲取，并用于冒名重放。,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全問題,47,拒絕服務(wù)攻擊旨在破壞設(shè)備的正常運行和管理，而不是竊取信息。 這種攻擊往往有針對性或特

26、定目標。往往采用IP欺騙隱瞞自己的真實地址，非法侵入目標網(wǎng)絡(luò)向某個應(yīng)用系統(tǒng)或網(wǎng)絡(luò)服務(wù)系統(tǒng)發(fā)送非法指令，使得系統(tǒng)出現(xiàn)異常行為或異常終止。向某臺主機或整個網(wǎng)絡(luò)發(fā)送數(shù)據(jù)洪流，使得設(shè)備或系統(tǒng)因不堪過載重負而癱瘓。,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全問題,48,,分布式 DOS (DDOS): 多方同步攻擊 例如：C和遠程終端同步攻擊A,,,,,A,B,C,,,49,,應(yīng)用層攻擊（Application Layer Attack

27、) 應(yīng)用層攻擊直接將目標對準應(yīng)用服務(wù)系統(tǒng)，應(yīng)用層攻擊者往往就是設(shè)計該應(yīng)用系統(tǒng)的程序員。應(yīng)用層攻擊是指攻擊者故意在服務(wù)器操作系統(tǒng)或應(yīng)用系統(tǒng)中制造一個后門，以便可繞過正常的訪問控制。特洛依木馬就是一個非常典型的應(yīng)用攻擊程序,50,攻擊者不需要太多技術(shù)攻擊工具的不斷完善更多的目標：Linux、Windows團隊協(xié)作,工作量不對稱攻擊方：夜深人靜, 攻其弱點防守方：24*7*365, 全面防護信息不對稱攻擊方：通過網(wǎng)絡(luò)掃描、探

28、測、 踩點對攻擊目標全面了解防守方：對攻擊方一無所知后果不對稱攻擊方：任務(wù)失敗，極少受到損失防守方：安全策略被破壞，利益受損,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全問題,51,假冒攻擊 ←認證服務(wù)授權(quán)侵犯 ←訪問控制服務(wù)竊聽攻擊 ←機密性服務(wù)完整性破壞 ←完整性服務(wù)服務(wù)的否認 ←非否認服務(wù)拒絕服務(wù) ←認證服務(wù)，訪問控制服務(wù)，完整性服務(wù),網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全問題,52,網(wǎng)絡(luò)安全體系結(jié)構(gòu)

29、 —網(wǎng)絡(luò)安全的相關(guān)法律問題,Ø數(shù)字化生存需要什么樣的法規(guī) ? 信息內(nèi)容安全 ? 網(wǎng)上交易安全 ? 電子信息權(quán)利Ø如何規(guī)制信息內(nèi)容Ø如何規(guī)制網(wǎng)上行為Ø若干問題計算機紀錄的法律價值對于遠距離犯罪的法律認定權(quán)計算機犯罪的取證計算機犯罪損失確定,53,Ø 美國1. 信息自由法2. 個人隱私法3. 反腐敗行徑法4. 偽造訪問設(shè)備和計算機欺騙濫用法5.

30、電子通信隱私法6. 計算機欺騙濫用法7. 計算機安全法8. 正當通信法（一度確立，后又推翻）9. 電訊法,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全的相關(guān)法律問題,54,Ø我國基本立法與條例? 中華人民共和國刑法? 商標法（1982.8.23）? 專利法（1984.3.12）? 保守國家秘密法（1988.9.5）? 反不正當競爭法（1993.9.2）? 計算機軟件保護條例（1991.6.4）? 計算機信息系統(tǒng)

31、安全保護條例（1994.2.18）? 商用密碼管理條例（1999.l0.7）? 互聯(lián)網(wǎng)信息服務(wù)管理辦法（2000.9.20）,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全的相關(guān)法律問題,55,? 電信條例（2000.9.25） ? 全國人大常委會關(guān)于網(wǎng)絡(luò)安全和信息安全的 決定（2000.12.29） ? 計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)保密管理規(guī)定 ? 計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護管理辦法 ? 計算機信息系統(tǒng)安全等級劃分標

32、準 ? ... ...,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全的相關(guān)法律問題,56,Ø美國 ? TCSEC－可信計算機安全評估準則，1985，美國國防部Ø歐洲 ? ITSEC－信息技術(shù)安全性評估準則，1991Ø加拿大 ? CTCPEC－可信計算機產(chǎn)品評估準則，1990Ø國際通用準則－CC， 1996，美國、加拿大、歐洲等共同發(fā)起Ø國際標準－ISO 15

33、408，1999.12,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全評價標準,57,我國的標準化工作1997年，已經(jīng)制定、報批和發(fā)布了有關(guān)信息安全的國家標準13個，國家軍用標準6個，現(xiàn)在正在制定中的國家標準14個。1998，國家信息安全認證 ? 產(chǎn)品型號認證 ? 信息系統(tǒng)安全認證 ? 信息安全服務(wù)認證但是，標準的制定需要較為廣泛的應(yīng)用經(jīng)驗和較為 深入的研究背景。我國存在較大差距。,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全評價標

34、準,58,數(shù)據(jù)加密算法：DES、RSA、T-DES、RC2、AES可恢復(fù)密鑰密碼體系：EES數(shù)字簽名：DSS、RSA、SHA-1、MD5安全網(wǎng)管協(xié)議：SNMPv2、SNMPv3安全電子郵件：S/MIMI、PGP、PEM公鑰基礎(chǔ)設(shè)施：PKI、PKIX授權(quán)管理基礎(chǔ)設(shè)施：PMI密鑰管理模型：IEEE 802.10、ISAKMP、KMI 應(yīng)急響應(yīng)體系:,網(wǎng)絡(luò)安全體系結(jié)構(gòu) —網(wǎng)絡(luò)安全評價標準,59,數(shù)字證書：X.509.V

35、3 、X.509.V4 安全會話信道：SSL、SHTTP、TLSP IP虛擬專網(wǎng)（VPN）：IPSEC、IPV6、Radius 加密程序接口：CAPI、GSS-API、CDSA 訪問控制：ACL 、ROAC 安全服務(wù)系統(tǒng)：Kerberos、DSSA、YaKsha 安全評測：TCSES、CC 入侵檢測：CIDF 安全體系結(jié)構(gòu)：OSI 7498-2、DGSA、XDSF、DISSP 內(nèi)容分級與標記: PICS