【黑客盯上你了】黑客是如何攻击你的

 

第一步：端口扫描

•发起网络攻击之前，黑客通常会进行端口扫描，检测目标上开启了哪些服务。

•端口，在计算机网络协议中，是位于传输层的一个概念，当计算机上多个不同的进程都在通信的时候，用端口号来区分它们。

•端口是一个16位的整数，总共是65535个端口。

•端口扫描的原理，就是依次尝试向服务器的六万多个端口发送探测数据包，观察目标的反应。

•以TCP为例，如果发送一个TCP的握手包过去，目标返回了第二次握手信息SYN+ACK，则说明在这个端口上，有一个TCP服务存在。

•不过，现在的防火墙对于基本的端口扫描行为都能检测到，如果发现同一个IP地址短时间内尝试连接大量端口，则很快会被拉入黑名单，导致端口扫描行为无法再进行下去。

•所以端口扫描还会更换IP，更换扫描频率，变的更难识别。

 

第二步：程序识别

•扫描到这些端口后有什么用呢？是用来进行下一步：程序识别。

•如果发现了80端口，背后可能是一个web服务器。

•如果发现了53端口，背后可能是一个DNS服务器。

•如果发现了3389端口，背后可能是一个开放了远程桌面连接的Windows机器。

•如果发现了3306端口，背后可能是一个MySQL服务器。

•如果发现了6379端口，背后可能是一个Redis服务器。

•如果发现了9200服务器，背后可能是一个ElasticSearch服务器。

•再进一步，还能识别程序的种类、版本等。

•以80端口为例，通过继续发送HTTP数据包，从服务器的响应中，根据Server字段，还能知道这个web服务器是一个nginx，还是一个Apache或者其他。

•甚至通过有些服务，我们还能知道背后是一个Windows还是一个Linux还是一个Android，如果是Linux，内核版本信息也能知道。

•端口扫描+程序识别的过程，这些操作已经非常成熟，甚至都不用自己编程或用工具去探测，直接用Shodan或者ZoomEye，输入IP地址，就能帮我们列出这个IP背后的信息，省去了不少功夫。

 

第三步：漏洞攻击

•识别了程序，接下来关键的来了：漏洞攻击。

•像nginx、tomcat、redis、mysql等等这些著名的开源软件，基本上每年都有不少的漏洞被曝光出来，而许多网站的运营管理人员安全意识并没有那么强，不会经常去打补丁升级，就会导致这些对外提供服务的机器上留存有不少的漏洞。

•黑客通常都会有一个漏洞武器库，每个软件有哪些漏洞他们都清清楚楚，针对每个漏洞还开发了对应的攻击武器。

•此时，黑客可以针对发现的服务器，编写一个漏洞利用程序，进行远程攻击，从而让远程服务器执行自己的代码。

•这其中最为人熟知的应该就是web安全了，因为web服务占据了互联网流量的比重实在太大，有太多的业务都是通过web来提供服务，这就导致黑客把目标聚焦在这一块。

•web服务器后端，一般是C++、Java、PHP、Python这些语言开发的程序，这些语言所携带的库和框架都或多或少的存在这样那样的问题，通过向这些后端程序发送一系列精心构造的请求，就可能让后端服务沦陷。

 

第四步：权限提升

•当通过后端服务的漏洞成功入侵，攻击者可以让目标服务器执行自己的代码

•但通常来说，操作系统都有一些安全机制，常见的web、mysql、redis、nginx这些，它们也是在一些低权限的进程中运行

•就算攻击者攻破后端服务，也是在这些低权限的进程中执行代码，很多事情都做不了

•所以这个时候，攻击者一般都需要做一件事：权限提升。

•接着，再通过利用操作系统的一些漏洞，攻击者可以让自己的攻击代码逃脱低权限的进程，获得高级权限，比如root权限执行。

 

第五步：开始工作

•到这个时候，你的服务器就真的危险了！

•为了能够经常登录你的服务器，攻击者还会留一些后门，还会添加一些新用户，以便常回来看看。

•如果是一个窃密软件，它会偷偷把你的重要文件给传输出去。

•如果是一个搞破坏的，它还会篡改数据，黑掉网站。

•如果是一个勒索病毒，它还会加密你的文件。

•如果是一个挖矿病毒，那你的CPU和GPU就要辛苦了。

•还有些高级攻击的木马，并不会立刻对你的计算机做什么破坏，而是潜伏起来，躲在某个角落等待被唤醒。