黑客常用三种后门安全技术解析
曾经饱受木马、后门侵害的人们都不会忘记机器被破坏后的惨象，于是人们展开了积极的防御工作，从补丁到防火墙，恨不得连网线都加个验证器，在多种多样的防御手法夹攻下，一大批后门倒下了，菜鸟们也不用提心吊胆上网了…… 可是后门会因此罢休吗?答案当然是否定的。君不见，在风平浪静的陆地下，一批新的后门正在暗渡陈仓……
, \# L9 U2 K4 R( {5 w. J$ V1、反客为主的入侵者
* |. H' D- Z) R& T黑客a连接上了网络，却不见他有任何行动，他在干什么呢?我们只能看见他燃起一支烟，似乎在发呆……过了一会儿，他突然把烟头一丢，双手迅速敲击键盘，透过屏幕，我们得知他已经进入了一个企业内部的服务器，一台安装了防火墙、而且深居内部的服务器……他怎么做到的呢?莫非他是神仙?请把镜头回退到刚才那一幕，黑客a在烟雾熏绕中盯着一个程序界面出神，突然，那个界面变动了一下，同时，黑客a也开始敲打键盘，接下来就是熟悉的控制界面。各位也许不相信自己的眼睛了：难道是那台机器自己找上他的?不可能…… 可是这是事实，真的是服务器自己找上来的。黑客a也不是高技术，他只是使用了一种反客为主的后门——反弹木马。 % u7 T$ T. D: o# ^
众所周知，通常说的入侵都是入侵者主动发起攻击，这是一种类似捕猎的方式，在警惕性高的猎物面前，他们已经力不从心;可是对于使用反弹技术的入侵者来说，他们却轻松许多，反弹木马就如一个狼外婆，等着小红帽亲自送上门去。一般的入侵是入侵者操作控制程序去查找连接受害计算机，而反弹入侵却逆其道而行之，它打开入侵者电脑的一个端口，却让受害者自己与入侵者联系并让入侵者控制，由于大多数防火墙只处理外部数据，对内部数据却闭上眼睛，于是，悲剧发生了。
& l; x* y2 \) P. I- j- i5 T4 U; S( q, c. t; h! h
反弹木马的工作模式如下：受害者(被植入反弹木马服务端的计算机)每间隔一定时间就发出连接控制端的请求，这个请求一直循环到与控制端成功连接;接下来控制端接受服务端的连接请求，两者之间的信任传输通道建立;最后，控制端做的事情就很普通了——取得受害者的控制权。由于是受害者主动发起的连接，因此防火墙在大多数情况下不会报警，而且这种连接模式还能突破内网与外部建立连接，入侵者就轻易的进入了内部的计算机。 / n3 R% ], D! Y2 R
虽然反弹木马比起一般木马要可怕，但是它有天生的致命弱点：隐蔽性还不够高，因为它不得不在本地开放一个随机端口，只要受害者有点经验，认出反弹木马不是难事。于是，另一种木马诞生了。 % ?. [6 R5 i$ Y$ `" h
2、不安分的正常连接 r) `2 z+ g4 z- A6 s; v# a: o
现在有很多用户都安装了个人http服务器，这就注定了机器会开着80端口，这很正常，但是有谁知这是一个给无数网络管理员带来痛苦的新技术，它让一个正常的服务变成了入侵者的利器。 2 ]. |0 q2 w3 I
当一台机器被种植tunnel后，它的http端口就被tunnel重新绑定了——传输给www服务程序的数据，也在同时传输给背后的tunnel，入侵者假装浏览网页(机器认为)，却发送了一个特殊的请求数据(符合http协议)，tunnel和www服务都接收到这个信息，由于请求的页面通常不存在，www服务会返回一个http404应答，而tunnel却忙开了…… & [# e' V8 `. B9 L9 F
首先，tunnel发送给入侵者一个确认数据，报告tunnel存在;然后tunnel马上发送一个新的连接去索取入侵者的攻击数据并处理入侵者从http端口发来的数据;最后，tunnel执行入侵者想要的操作。由于这是“正常”的数据传输，防火墙一样没看见。但是目标没开放80端口怎么办呢?擅自开一个端口等于自杀。但是入侵者不会忘记那个可爱的netbios端口——长年累月开放的139端口，和它分享数据，何乐不为? tunnel技术使后门的隐蔽性又上了一个级别，可是这并不代表无懈可击了，因为一个有经验的管理员会通过sniffer看到异常的景象……tunnel攻击被管理员击溃了，可是，一种更可怕的入侵正在偷偷进行中……
