网络安全与防护-20140409.pdf

 乌云 （/） ◦ 2013.11.06，民生银行Android客户端可查询任意账号 的余额及进出帐情况； ◦ 2014.01.26，对用户提交的数据没有进行身份验证导致 可以查询任意会员的开房记录 可以查询任意会员的开房记录 ◦ 2014.02.17，无需密码可登录他人淘宝/支付宝账号进行 操作； ◦ 2014.03.22，携程大量用户银行卡信息泄露，可盗刷； ◦ 2014.04.07，可大规模悄无声息窃取淘宝/支付宝账号与 密码；  黑客  白客 名侦探柯南剧场版12 战栗的乐谱 Joe Engressia （1949.5.25-2007.8.21 ） • Hack：意为 “劈、砍”，引申为 “干 了一件非常漂亮的工作”。 • Hacker：原是麻省理工学院早期的校 园俚语，有 “恶作剧”的意思。 • Hacker：喜欢探索软件程序奥秘的 Hacker 人； • Cracker ： “骇客”，专指破坏的 人。 •踩点 探测 •扫描 •查点 •窃听 攻击 •欺骗 攻击 •拒绝服务 •数据驱动攻击 • 日志清理 隐藏 •安装后门 •Rootkit  踩点 ◦ “人肉有哪些信誉好的足球投注网站”  扫描 ◦ 获取活动主机、开放服务、操作系统、安全漏洞等关键信 ◦ 获取活动主机、开放服务、操作系统、安全漏洞等关键信 息  查点 ◦ 抽取有效账号或导出资源  知己知彼，百战不殆；不知彼而知己，一胜一负； 不知彼不知己，每战必殆。 《孙子兵法》  有哪些信誉好的足球投注网站引擎  公司网页  社交网站  已归档的信息  已归档的信息  技术论坛  不直接攻击目标，而是去埋伏在他们知道目标可能 会去的地方。  攻击的目的：进入这些公司的网路来窃取资料或其 他资产。 他资产。  域名与IP信息收集─ Whois  Whois是一个标准服务，可以用来查询域名是否被注册以及注 册的详细资料  Whois 可以查询到的信息  域名所有者  域名所有者  域名及IP地址对应信息  联系方式  域名到期日期  域名注册日期  域名所使用的 DNS Servers  ……  域名与IP查询─ nslookup  操作系统自带命令，主要是用来 查询域名名称和 IP 之间的对应 关系  网络状况查询─ Ping  系统自带命令，测试与远端电脑  系统自带命令，测试与远端电脑 或网络设备的连接状况  网络路径状况查询─ tracert  系统自带命令，测试与远端电脑 或网络设备之间的路径 32 针对人性的弱点-社 会工程学攻击：一 种通过对受害者心 人是永远的 系统弱点! 理弱点、本能反应、