北街

　　在学校的时候，北街经常研究关于黑客攻击的软件，甚至毕业论文也跟黑客攻击有关。其实，我在这方面是小菜鸟一只，真正的黑客在进行攻击前总会花很多时间和精力去搜集目标主机的相关信息，比如对方使用的什么操作系统、管理员账号是否为空口令或者弱口令、系统是否存在某些严重的漏洞，掌握了这些信息，攻击成功又多了几分胜算。

　　越成熟的黑客花费在信息搜索上的时间往往越多，信息搜集、筛选、分析，这是最枯燥却也是最重要的工作，那么黑客是如何进行这些信息搜集工作的呢?

　　一、巧用工具 轻松探测操作系统版本

　　X-Scan是一款功能比较全面的扫描器程序，扫描器是黑客兵器库中不可或缺的一部分，有了它的帮助，“黑客”们就会如虎添翼。扫描器不同于一些常见的攻击工具，它只能用来发现问题，而不能直接攻击目标机器，通过执行如下操作，可以完成远程电脑的操作系统探测：

　　第1步：首先，至国内的著名安全网站“焦点”“http://www.xfocus.net/tools/200507/1057.html”下载X-Scan 中文版。

　　第2步：在完成下载并解压后，运行其中的“Xscan_gui.exe”打开如图所示的界面。

图1

　　第3步：依次单击“设置”→“扫描参数”菜单，在弹出的如图所示对话框中，在“检测范围”设置面板的“指定IP范围”栏中输入要扫描的目标电脑的IP地址。

图2

　　第4步：在“全局设置”→“扫描模块”设置界面中勾选“远程操作系统”项，通过右侧的说明，可以看出远程电脑的操作系统识别是通过“SNMP、NETBIOS协议主动识别远程操作系统类型及版本”插件来完成的，如图2-3所示。

图3

　　第5步：在单击“确定”按钮返回到“Xscan_gui.exe”主窗口后，单击“开始扫描”按钮后，耐心等待片刻就可以看到如图所示的扫描结果了。

图4

　　第6步：在左侧的扫描目标右侧可以看到“Windows 2003”的标识，这告诉我们这是一台正在使用Windows 2003的电脑，进而可以分析出这台电脑可能是台服务器，理由很简单：个人电脑一般只会安装Windows XP或Vista。

　　二、活用Ping命令 轻松获取网络连接与系统信息

　　Ping命令是测试网络连接、信息发送和接收状况的实用型工具，这是一个系统内置的探测工具。下面给出一些Ping命令的典型使用方法，以及如何判断系统相关信息。

　　实例1：检测本机

　　要检测本机的网卡驱动程序及TCP/IP协议是否正常，只需在“命令提示符”窗口中输入“Ping 127.0.0.1”命令即可。由于127.0.0.1这个保留的IP地址指向到本机，所以可以通过此命令来检查本机的网卡驱动。

　　实例2：多参数合用检测

　　假设，现在使用“Ping –a -t 202.102.48.141”命令对IP地址为202.102.48.141的计算机进行探测，可以得到如图所示的反馈信息。

图5

　　通过反馈信息，可以得知上述命令中的参数“-a”检测出了该机的Net BIOS名为dns.sq.js.cn;参数“-t”在不断向该机发送数据包。

　　通常，Ping命令会反馈如下两种结果：

　　结果1：请求超时

　　这表示没有收到网络设备返回的响应数据包，也就是说网络不通。出现这个结果原因很复杂，通常有如下几种可能：

　　对方装有防火墙并禁止ICMP回显。

　　对方已经关机。

　　本机的IP设置不正确或网关设置错误。

　　网线不通。

　　结果2：来自 202.102.*.141 的回复: 字节=32 时间<1ms TTL=128

　　这表示网络畅通，探测使用的数据包大小为32Bytes，响应时间小于1ms。TTL这个值需要细说一下，TTL全称“Time To Live”，中文意思就是存活时间，是指一个数据包在网络中的生存周期，网管可以通过它了解网络环境，辅助维护工作，通过TTL值可以粗略判断出对方计算机使用的操作系统类型，以及本机到达目标主机所经过的路由数。例举：

　　当检查本机的网络连通情况时，通常会使用Ping命令给某个目标主机（如本机）发送ICMP数据包。在本机中生成ICMP数据包时，系统就会给这个ICMP数据包初始化一个TTL值，如Windows XP就会生成“128”，然后将这个ICMP数据包发送出去，遇到网络路由设备转发时，TTL值就会被减去“1”，最后到达目标主机，如果在转发过程中TTL值变成“0”，路由设备就会丢弃这个ICMP数据包。

　　提示：TTL值在网络应用中很有用处，可以根据返回信息中的TTL值来推断发送的数据包到达目标主机所经过的路由数。路由发生在0SI网络参考模型中的第三层即网络层。

　　例如，用户要根据Ping命令返回的TTL值，判断到达IP地址为“202.102.48.141”的目标主机所经过的路由数。在命令提示符下输入“Ping 202.102.48.141”命令后，接着会显示信息“Reply from 202.102.48.141: bytes=32 time=15ms TTL=126”，可以看出返回的TTL值为126，与Windows NT/2000/XP主机的TTL值128最接近，因此可以推断出该主机类型可能为Windows NT/2000/XP中的一种，又因为“128-126=2”，所以可以得知数据到达该主机经过了2个路由。

　　提示：不同的操作系统，它的TTL值也是不相同的。默认情况下，Linux系统的TTL值为64或255，Windows NT/2000/XP系统的TTL值为128，Windows 98系统的值为32，UNIX主机的TTL值为255。

　　三、搜索引擎 轻松探测网站漏洞

　　通过搜索引擎网站，黑客可以通过搜索特殊的“关键词”来查找到一些具有漏洞的网站。比方说，在动态网站中一般会有CONN.ASP这个文件，它用于存储数据库文件的路径、名称等信息。显然，这个文件是非常重要的，所以，黑客在搜索引擎中总是喜欢使用它做为搜索关键词，如：

　　inurl:/admin+conn.asp

　　其中，admin表示后台管理目录，它通常用于存储所有的管理文件。当然，也可以改成一些其它的目录名，但目录名要在网站中存在才行，如图所示。

图6

　　在单击第一个搜索结果后，将会打开如图所示的页面，在这里可以看到这个网站的管理结构。

图7

　　其中，甚至可以看到存储网站内容(如管理员用户名和密码)的数据库文件(后缀名为mdb)，在单击此文件后，可以立即把它下载到当前电脑中。

　　在使用Access 2007等软件打开此数据库文件后，就可以获得网站各种重要的信息了，此时，网站的管理权限已经意味着被黑客得手了。

　　提示：在www.google.com中黑客使用的关键词有很多，如upload.asp site:tw、inurl:winnt\system32\inetsrv\等，这些关键词都可以为黑客起到为虎作伥的作用。

　　四、超乎想象 Google Hacker探测实例

　　当搜索引擎的强大“入侵”功能让黑客着迷时，各种各样可以利用搜索引擎来进行黑客任务的工具就层出不穷了。下面，就以实例的方法为读者们演示一下“Google Hacker”的使用过程。为此，需要执行如下操作：

　　第1步：首先下载“Google Hacker”这款软件。

　　第2步：接着，在“关键词”列表中选择一个关键词，并单击“Google it”按钮继续，如图所示。

图8

　　第3步：随即，将会打开IE浏览器访问www.goole.com，并会自动输入指定的关键词进行搜索，如图所示。

图9

　　第4步：由于列举的关键词都是常见的漏洞，所以搜索结果的数量通常都会比较惊人。