局域网入侵教程(局域网入侵教程cmd)

西北工业大学被网络攻击一事，终于在国家网安周期间破案：攻击者就是美国NSA（美国国家安全局）下属的特定入侵办公室（TAO），证据确凿，抓到四大类共41种NSA专属网络攻击武器，排查出1100多条渗透攻击链路，以及遍布全球的51个跳板节点。

美国国家安全局（NSA）总部，马里兰州米德堡（图来自环球网）

作为“国防七子”之一的西北工业大学，其为我国国防事业贡献极大，以一张图为例：

图来自百度百科，可以说是我国航空航天人才的摇篮

最近有新闻说，川普连法鸡总统晚上睡觉的表现都一清二楚。连自己的盟友都不放过，而被定义为“战略竞争对手”的我国，老美手段自然无所不用其极，西工大想来只是老美的目标之一。美国TAO在网上早有爆出，也有实锤，而被这么系统性、证据充足爆出，还属首次。

被曝出的APT攻击黑客组织只是冰山一角

除了美国TAO之外，实际上与我国存在利益争端的国家或地区（比如湾湾）大多有培养特定黑客组织，针对我国发起网络攻击，比如上图中就有近一半的黑客组织拥有国家背景（从名字不难看出国别，也可自行百度），这些有特定攻击目标的黑客组织，也被称为APT攻击组织（Advanced Persistent Threat，高级可持续攻击），APT攻击通常会造成极大危害（比如机密泄露），也很难被发现。

那么网络攻击是如何发生的呢？以此次西工大被攻击中抓到的NSA专属武器为例来说明。此次共捕获41款NSA专属武器，大致可以分为以下几类：

• 漏洞攻击突破类武器：剃须刀、孤岛、酸狐狸武器平台；
• 持久控制类武器：可以理解为“远控后门”，包括二次约会、NOPEN、怒火喷射、狡诈异端犯、坚韧外科医生；
• 嗅探窃密类武器：可理解为“键盘记录仪”，不过高端很多。包括饮茶、敌后行动系列武器；
• 隐蔽消痕类武器：清除日志等记录的程序。此次发现并公布的有吐司面包。

那么这些武器在网络攻击中是如何使用的呢？就从入侵开始说起。

钓鱼邮件：黑客最常用的入侵方式

关于网络攻击过程，业内有一个公认的网络杀伤链模型（英文名Cyber Kill Chain），这个模型是由美国洛克马丁公司（就是造F-35隐身战机的那家公司）提出的，原本用以描述军事行动流程，后被引申也适用于网络攻击，老美在“攻击”方面很有一套。

网络杀伤链模型，将网络攻击分为侦查、武器化、投递、漏洞利用、安装、命令与控制、目标行动等七个环节

其中命令控制（Command & Control）非常关键，一般都架设有专门的服务器，被称为命令&控制服务器，简称为C&C服务器，或C2服务器。

一般来说，前两个阶段（侦查、武器化）都是以攻击者为主，防守方很难干预。攻防双方的第一次交锋在“投递”环节，投递也可理解为入侵。如果大家还有印象的话，在6月份，西工大曾发布过一则公告：

西北工业大学6月22日发表声明，谴责以钓鱼邮件为代表的网络攻击行为（图截自西北工业大学微信公众号）

注意划红线部分，这实际揭示了TAO是怎样入侵西工大的，也就是怎样“投递”网络攻击武器的——通过电子邮件，即钓鱼邮件。钓鱼邮件通常利用社会工程学原理来窃取用户数据（窃取账号密码最常见），在具体实现上又分为两种：不含木马，与含有木马。前者的典型例子就是今年五月发生的“搜狐钓鱼邮件”事件；从西工大的“公告”来看，TAO使用的是第二种，即邮件中含有木马病毒。

邮件中包含的木马病毒通常是附着在其他文件之上的，比如zip（rar）、word文件等，通过邮件正文来诱导被攻击者点击，比如点开word文件、解压zip（rar）文件，附着在上面的木马病毒就会自动运行。而破解这种“投递”方式，就是将附件文件上传到专门的病毒检测服务器上进行检测，比如沙箱。但这需要被攻击者有极好的网络安全意识，而社会工程学的作用就是诱导被攻击降低网络安全意识。

在前段时间，也小范围爆出另一种“投递”方法，利用的是PC电脑上的邮件客户端漏洞，只需点开含有木马病毒的邮件，无需下载附件，木马病毒就能自动运行。相比前一种方式，这种方式极难防御，当然利用条件也非常苛刻：不但要掌握被攻击人的邮件客户端信息（详细到版本号），同时这个邮件客户端还必须存在可被利用的漏洞。

需要注意的是，因为APT攻击一般都是针对既定目标而定制的武器，所以哪怕安装了杀软，几乎也发挥不了作用。

第二阶段入侵：内网横移、查找最终目标

钓鱼邮件入侵的是师生PC电脑，而黑客的最终目标通常是存储重要/机密数据的服务器。所以黑客在完成第一阶段的入侵之后，会迅速下载更多的木马病毒，其作用如下：

• 持久控制类：实现长期驻留，简单理解就是相当于一个后门，只要PC机开机联网，攻击者就能收到信号，进而实现控制；
• 嗅探窃密类：用于寻找内网中的高价值服务器或关键节点，比如最终目标服务器，通常不会这么顺利，一般来说，首先寻找的就是交换机、路由器、堡垒机、域控服务器等内网中的关键节点；
• 漏洞攻击突破类：用于进行第二阶段的入侵——入侵高价值服务器或关键节点；
• 隐蔽消痕类：用于消除清理入侵机器上的日志记录等痕迹，达到无法追踪，隐藏攻击行为的目的，实现长期潜伏。

因为第二阶段主要在内网中查找关键节点并入侵，通常称之为“内网横移”。对于APT攻击而言，内网横移的目标通常是路由器、域控服务器等关键节点，通过攻破这些关键节点来实现对内网的掌控。每攻破一台设备，黑客通常都会再次下载上述四类程序，这也就是为何在西工大被攻击事件中会发现有1100多条渗透攻击链路，黑客每成功入侵一台机器，就会重复下载，“狡兔三窟”。

对于APT攻击而言，“内网横移”阶段虽然会产生很多异常，比如流量异常（典型如扫描）、行为异常（典型如创建用户），但由于攻击通常在几分钟内完成，所以对于防守方而言，是很难抓到攻击的。并且即使部署在内网的网络安全设备报警，也需要安全人员进行人工识别、排查，对人员的技能水平要求很高。攻击只需几分钟，而抓到这些攻击短则数天，长则数月，甚至数年。

内网横移阶段入侵关键节点通常是通过盗取账户密码来实现。但也有一种非常简单有效的方式，那就是西工大被攻击报告中提到的0day漏洞利用。

0day漏洞：无往不利 财大气粗

所谓0day漏洞，就是软件本身存在的漏洞，但除了黑客以外，并不被其他人所知。如果连漏洞信息都不知道，自然也没有补丁，防御更是无从谈起，这就是为何安全人士谈“0day”色变的原因。

只要是由代码编写的软件，理论上就有存在漏洞的可能，这些漏洞会有高危、中危与低危之分。能被直接利用的高危漏洞通常还是比较少，0day就更少了，所以能被直接利用的0day漏洞通常非常昂贵。比如前几天苹果iOS爆出的0day漏洞，售卖价格高达5500万人民币。

某网站爆出的苹果iOS漏洞，售卖价格高达800万美元，合5500万人民币

之所以说NSA及其下属单位TAO财大气粗，是因为在西工大被攻击事件中，仅针对SunOS操作系统就掏出了两个0day漏洞。

SunOS操作系统也称为Solaris，是原来的IT巨头Sun（被Oracle收购）基于BSD Unix开发的操作系统，一般用于SPARC处理器配置的工作站或服务器上，也支持x86处理器。配备SPARC处理器的工作站或服务器通常都有特定用途，存储着机密数据。TAO掏出0day也算是下了大本钱。

对于0day漏洞利用，很难防御，传统的杀软或者IOC（失陷指标）几乎失效，通常只能靠IOA（攻击特征）或者高智能的流量设备去发现蛛丝马迹，然后靠高水平的网络安全专家去研判。

写在最后

网络杀伤链模型描述的是大多数网络攻击流程，但也有特殊案例只包含其中部分环节，比如震惊全球的“震网”病毒，到“投递”阶段过后，基本全都是自动运行，无人工干预。而0day漏洞利用则直接省略了包括侦查、武器化、投递等前面三个环节，直接漏洞利用开始。

就西工大被攻击事件而言，安全大于天，网络安全尤其要重视，毕竟我们现在已经生活在数字化时代，无时无刻不被数字信息所包围。提升每一个公民的网络安全意识，不但能够保护自己的个人信息，避免被诈骗、盗用，从一定程度上讲，也有助于国家的网络安全。这也是国家花大力气举行“国家网络安全宣传周”的目的，让每一个人都重视网络安全意识。男孩子们不仅要学会修自己的电脑，还要懂得如何避免黑客攻击。

而在国家层面，网络攻击已经成为另一种国与国之间的较量，另一个看不见硝烟的战场。一旦失利，其损失、危害程度达到甚至超过一场真实的战争。

对于网络攻击而言，防守方永远都处于被动位置，只有千日做贼，哪有千日防贼的。最好的防御，也许就是我们也有对等较量、攻击的实力。就如同核武器那样，我们承诺不首先使用核武器，但必须具备核反击的实力。

欢迎搜索“企业IT观察”，关注我们，接收最新资讯。

    

使用无须实名的阿里云国际版，添加 微信：ksuyun  备注：快速云！