兵法曰:知彼知己,百戰不殆。功與防的對抗是信息安全的主題,了解安全攻擊才能更好地進行安全防御。本文通過對網絡信息安全攻擊的實例考察,了解黑客攻擊的路徑及技術手段,讓大家初步建立信息安全攻擊威脅的感性認識,同時也使安全從業者更多站在攻擊者的視角思考安全防護。
以上這個故事發生在一個發達國家,時間也并不久遠,主人公卡爾是一個曾做過軟件開發工程師,深諳信息安全攻擊之術,他實施信息安全攻擊的意圖非常明顯,就是要獲取經濟利益,而不只是通過惡作劇來達到炫耀自己的目的。
卡爾從報紙上看到好運公司發展迅猛,近一年時間銷售網點已遍布全國各地,根據卡爾的開發經驗,會有大量信息系統支持好運公司繁忙的銷售任務。卡爾推測,好運公司可能在快速發展過程中,忽視了信息安全建設,系統有可能存在一些漏洞,同時這些漏洞有可能帶來巨大的經濟利益,所以卡爾計劃把好運公司作為他的進攻對象。
誘惑與行動
在發動攻擊之前,卡爾需要收集好運公司的更多資料,他立刻開始了針對好運公司的偵察行動。首先想到的是通過域名管理系統找到好運公司網絡系統的地址(IP地址),通過瀏覽網站,分析都有哪些業務系統可能存有敏感信息,甚至可以用網民的身份瀏覽或注冊好運公司的宣傳網站和論壇,通過普通賬戶登錄,就能很輕松的掌握使用何種開發技術完成的信息系統。卡爾通過互聯網就能知道這些開發技術可能存在的漏洞,比如:asp、php、jsp文件上傳控件存在的漏洞、SQL注入漏洞等。
技術性攻擊試探
卡爾首先針對好運公司的IP進行掃描,為了盡可能避免IDS(入侵偵測系統)的發覺和IPS(入侵防御系統)的攔截,卡爾在互聯網上找到一個可當替罪羊利用的系統,安裝了FragRouter軟件(Fragrouter可以幫助黑客逃避入侵檢測后發起基于IP的攻擊),避免自己的系統直接暴露在掃描通信的前方。
卡爾使用Nmap軟件(Nmap提供四項基本功能主機發現、端口掃描、服務與版本偵測、OS偵測,繞開防火墻/IDS/IPS,掃描web站點)。發現好運公司網絡的DMZ(隔離區)中TCP端口80開放的是web服務器,UDP 53端口開放的是DNS服務器,同時發現有個數據包過濾防火墻,至此,基本摸清了好運公司web服務器區的一般結構。
接著,卡爾用Nessus軟件對系統漏洞進行掃描與分析,想找到存在的安全漏洞或沒有打安全補丁的服務可以利用,但是,用Nessus軟件沒有發現好運公司網絡的DMZ區中有什么可利用的漏洞。
尋找安全突破口
首戰未果并沒有打消卡爾攻擊好運公司的念頭,他通過瀏覽好運公司網站,希望獲得采取下一步行動的啟發。在網站描述中,卡爾很快發現該公司的一個銷售網點在離他家不遠的地方(銷售點A),真是天賜良機。于是,帶上自己安裝Linux的筆記本電腦,運行Wellreinter(是一個無線網絡查找工具,掃描器可以用來發現無線網絡),其中有一個SSID叫goluco041的接入點,估計041是這個銷售點的編號。接著,用Linux的ifconfig命令修改本機的MAC地址解決MAC地址綁定措施,進入到銷售點A的內部網絡,并由該網絡根據DHCP協議分配了動態IP地址。
卡爾再次使用Nmap掃描到銷售點A的服務器打開了22端口,一般是SSH服務(管理員用來遠程管理Linux操作系統的服務),具有系統控制功能。卡爾運行Hydra口令猜測工具(Hydra linux下暴力破解工具,利用密碼字典生成器生成強大的字典破解SSH),對root、admin和operator等一系列常規的用戶賬戶進行逐個口令猜測。令卡爾高興的是opterator賬戶口令竟是rotarepo,僅僅是賬戶名字的反轉。卡爾便利用這個賬戶堂而皇之登錄到銷售點A的服務器。對系統文件進行瀏覽,找到在一個目錄下,發現有價值的文件,該文件記錄了該銷售點100天以上的交易記錄,于是卡爾獲得了超過10萬張信用卡信息,這些信息包括信用卡號,持卡人姓名,有效期截止日等,卡爾將這些信息在網絡地下黑市售賣,,以此獲利。
擴大戰果
卡爾憑借著對銷售點A的攻擊經驗,考慮到好運公司發展速度驚人,卡爾推測各銷售點的網絡信息系統可能采用相同的模式進行部署,因而以同樣的方式攻陷了銷售點B服務器,又得到了另一批信用卡信息。但是,這種攻擊方式并不省事,因此,卡爾設法嘗試更便捷的方法。
登上制勝之巔
卡爾通過嗅探程序發現POS機與服務器間傳輸的交易信息,這是個非常有價值的信息,顯示銷售點還向其他網絡中的服務器發送交易請求,而且,這些交易請求是以明文傳送的,接受授權請求信息的目的服務器地址。這一次卡爾通過銷售點A被攻陷的機器,通過VPN網絡連接到好運公司總部的中央網絡系統中的服務器,運行Nmap工具對服務器進行端口掃描,發現該服務器開放TCP443端口,這表明該服務器應該提供了一個HTTPs服務,負責處理所有的信用卡交易并管理公司的業務。
鑒于要攻擊web應用系統,卡爾有兩種途徑,一種是由于上傳文件類型未過濾或過濾機制不嚴可以上傳腳本文件,上傳文件漏洞通過上傳文件可達到控制網站權限的目的。第二種是通過SQLmap工具發現跨站腳本和SQL注入漏洞,利用SQL注入漏洞獲取后端數據庫的敏感數據。
當然了,卡爾如果是以后端數據庫為目的,還可能使用Nmap工具掃描數據庫服務器的端口號,繞過合法應用訪問數據庫,通過嘗試缺省賬戶口令登錄數據庫服務器,或者通過應用服務器找到數據庫訪問賬戶,最終卡爾獲得了200個銷售點的所有顧客信息,含有100多萬張信用卡信息。
7、尾聲
卡爾的攻擊已經大獲全勝,為了掩蓋蹤跡,銷毀了所有與這次信用卡信息攻擊行為有關的信息,撤離攻擊現場,享受“勝利果實”。
相關機構的安全響應措施也是非常及時的,在一段時間內,大量信用卡用戶遇到欺詐行為,涉案信用卡有一個共同點,那就是曾在好運公司進行過信用卡交易,由此監管機構發現好運公司出現了問題,并通知了好運公司。
好運公司展開內部調查,證實曾經發生過安全事件,按照有關法律,好運公司不得不告知信用卡持卡人,并履行相應的賠償。由于這次卡爾發動的信用卡信息盜竊,好運公司蒙受了慘痛的聲譽和經濟損失。
要想知道卡爾都使用了哪些攻擊技術,對于好運公司的內部安全運維如何進行,請關注下一篇章。