妖城在线论坛 - Powered by Discuz! Board

标题: [魔力私服分享] 自己总结的黑客与反黑技术【申精】 [打印本页]

作者: rmy007ivy 时间: 2010-8-1 13:00 标题: 自己总结的黑客与反黑技术【申精】

最近我做技术的服务器数据库常常被人入侵，在使用数据库3306端口下，默认用户名是root，默认的密码为空。许多人安装完NAVICAT就不修改用户名和密码，数据库可以说没有任何防御。
先看看黑客是如何入侵的：
方法一，使用LINUIX链接MYSQL，MySQL用户root密码为空的攻击方法——黑客不用知道数据库密码，知道IP就可以攻击—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート4 C, s9 F& a! B% D$ k8 k4 k
1、连接到你的mysql 服务器魔力私服,最新魔力宝贝私服技术交流, z- T6 ]1 W0 f7 t( Z

mysql -u root -h IPbbs.mocwww.com9 r$ [* N# k$ t
mysql.exe 这个程序在你安装了mysql的的bin目录中 （这步成功就可以连接到你的数据库，为所欲为，如果网站和服务端不分离，使用个虚拟主机IP查询器就可以做到）
bbs.mocwww.com! y' S* c2 h5 x
2、黑客查询来服务器中有些什么数据库   Y; ?" L3 N0 x( a: a9 X# I! _
bbs.mocwww.com" e8 I$ u4 s; K& A
mysql>show databases;
bbs.mocwww.com5 n7 |4 q. v9 \
mysql默认安装时会有mysql、test这两个数据库妖城在线论坛/ I# A% `( C% M; \# C
魔力私服,最新魔力宝贝私服技术交流1 N) Q0 [' d4 o, \  f" A
3、黑客进入数据库
魔力私服,最新魔力宝贝私服技术交流2 }) A& j" L1 _! Z
mysql>use test;

4、查看进入数据库中有些什么数据表

mysql>show tables; 玩家资料基本都在里面，游戏资料基本都在里面妖城在线论坛* j9 a1 A) x! y4 B& A" d& B

至此，你已经被黑了。黑客可以任意改动玩家资料，包括安全码，用户名，制作满D宠物，给宠物加BT技能，制作BT道具等。魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表8 V" ~+ U2 O' O7 W  H+ v9 f! c
魔力私服,最新魔力宝贝私服技术交流/ F8 L: r& e( c" b" a
方法二：使用NAVICAT连接

如果数据库最高权限用户名是root的情况下，可以用navicat连接，那些不改root用户密码或密码为空的，很容易被连接，在知道IP和数据库名是root的情况下，也可以使用字典等木马盗号工具实现。因此root这个用户名一定要改。
bbs.mocwww.com7 a4 R1 c2 T% l9 }" m) t
*****************************************************************************分割线**************************************************************************
防御方法：1、修改数据库用户名：root
打开navicat,右上角找到

—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート, u4 [6 j6 S! Y
修改用户名魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表' e5 y- y0 ]) `

—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート, E: f3 A7 j( c$ n9 ?

, G5 H" W9 z% m: b9 U1 K
改成你想要的，比如：xiaotousiba(小偷死吧！）注：这里的用户名应改为root开头的字符串，比如：root1234别问我为什么，LINUX判别很奇怪改完后，打开相应的setup.cf魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表& }! ^' ]# |* ]! o8 Y, \2 y
#数据库用户名
dbusername=root（改成相应的用户名）

2、进一步防御方法：与服务器商联系，测试并更换3306端口，使用其他端口。

3、安装两个版本的navicat（数据库图形工具），win版和LINUX版。LINUX版放在home文件下，win版的所有用户名均可删除

4、安装完成后修改远程用户名和密码。具体方法：右键——我的电脑——本地组和用户——用户（比如:adminstrator重命名为你想要的，密码也改魔力私服,最新魔力宝贝私服技术交流8 s3 L9 ~' C" X( z% ?% u

5、修改网站后台的admin的用户名和密码，有可能用md5收费密码。妖城在线论坛' ?  Y* P7 R  u$ ~# a& C& ]

6、清除SQL被植入恶意病毒代码的语句，如果需要
使用SQL分析查询器（附件内）
在SQL查询分析器执行以下代码就可以了。
魔力私服,最新魔力宝贝私服技术交流& P# U4 \; L& Z; `
01.declare @t varchar(255),@c varchar(255) 魔力私服,最新魔力宝贝私服技术交流7 ?3 s: T$ v1 v0 N) W; j' K

02.declare table_cursor cursor for select a.name,b.name

03.from sysobjects a,syscolumns b ,systypes c —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート& L. p' }# Y# {
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート/ I8 q1 K, t8 `+ s; W# {
04.where a.id=b.id and a.xtype='u' and c.name
魔力私服,最新魔力宝贝私服技术交流5 G6 s9 p, E5 A, U: X& c8 b: {
05.in ('char', 'nchar', 'nvarchar', 'varchar','text','ntext')

06.declare @str varchar(500),@str2 varchar(500)

07.set @str='<script src=http://r01.3322.org/c.js></script>'/*要替换的内容*/ 妖城在线论坛# t0 L. P2 i$ i" }8 N
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート! `3 r$ Q) j3 }2 u( T
08.set @str2='' 魔力私服,最新魔力宝贝私服技术交流+ e0 H1 w; ^- C! y% v) }! y: T
: l$ Z/ m* m5 S% e. U
09.open table_cursor

10.fetch next from table_cursor bbs.mocwww.com, V9 z8 p& I- J) w% O0 P
bbs.mocwww.com$ c& y, x# @" f0 R3 W1 [2 w
11.into @t,@c while(@@fetch_status=0)
妖城在线论坛8 K" A" @% ?1 b$ C* V# \
12.begin exec('update [' + @t + '] set [' + @c + ']=replace(cast([' + @c + '] as varchar(8000)),'''+@str+''','''+ @str2 +''')') 妖城在线论坛0 Z/ j$ T5 r' p( F) U3 n

13.fetch next from table_cursor 14.into @t,@c end close table_cursor deallocate table_cursor妖城在线论坛0 y0 e- q5 v9 c1 V
魔力私服,最新魔力宝贝私服技术交流* E8 L" R! _( z/ b/ j
4、以下有23个方面关于MySQL安全问题，应进一步注意，具体如下：bbs.mocwww.com) `! M. I& d! b$ a

1.如果客户端和服务器端的连接需要跨越并通过不可信任的网络，那么就需要使用SSH隧道来加密该连接的通信。妖城在线论坛/ }, z7 e& N9 b# I& i8 u4 v
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表$ ~3 I4 _5 U. k4 q% M5 c9 @" T" u5 C
　　2.用set password语句来修改用户的密码，三个步骤，先“mysql -u root”登陆数据库系统，然后“mysql> update mysql.user set password=password('newpwd')”，最后执行“flush privileges”就可以了。

　　3.需要提防的攻击有，防偷听、篡改、回放、拒绝服务等，不涉及可用性和容错方面。对所有的连接、查询、其他操作使用基于ACL即访问控制列表的安全措施来完成。也有一些对SSL连接的支持。

　　4.除了root用户外的其他任何用户不允许访问mysql主数据库中的user表;

　　加密后存放在user表中的加密后的用户密码一旦泄露，其他人可以随意用该用户名/密码相应的数据库;
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート4 j( {# o1 k' ?: R% U( _+ T6 c
　　5.用grant和revoke语句来进行用户访问控制的工作; —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート) D; T& C0 o" T# k
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表9 M$ k0 |* r/ x( F
　　6.不使用明文密码，而是使用md5()和sha1()等单向的哈系函数来设置密码; 妖城在线论坛, L3 G/ {1 T( D/ m% B# |

　　7.不选用字典中的字来做密码;

　　8.采用防火墙来去掉50%的外部危险，让数据库系统躲在防火墙后面工作，或放置在DMZ区域中;
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表; H8 m2 Y+ Z9 x1 L! e) u2 |9 z# z
　　9.从因特网上用nmap来扫描3306端口，也可用telnet server_host 3306的方法测试，不能允许从非信任网络中访问数据库服务器的3306号TCP端口，因此需要在防火墙或路由器上做设定; $ Q4 @- F' C* U8 q( W
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表+ h* u+ |% r8 C/ ^* B% d+ I* Z" M9 a
　　10.为了防止被恶意传入非法参数，例如where ID=234，别人却输入where ID=234 OR 1=1导致全部显示，所以在web的表单中使用''或""来用字符串，在动态URL中加入%22代表双引号、%23代表井号、%27代表单引号;传递未检查过的值给mysql数据库是非常危险的; 魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表- ]$ x3 G* G& a6 D" d* P
9 F  p* R  U2 }& e
　　11.在传递数据给mysql时检查一下大小;

　　12.应用程序需要连接到数据库应该使用一般的用户帐号，只开放少数必要的权限给该用户; —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート  B7 A, W6 v5 \. X' C! m

　　13.在各编程接口(C C++ PHP Perl Java JDBC等)中使用特定‘逃脱字符’函数; bbs.mocwww.com/ B9 F; f% l. _5 Z$ m: {
5 c# L  L+ `; K" F7 v
　　在因特网上使用mysql数据库时一定少用传输明文的数据，而用SSL和SSH的加密方式数据来传输; 魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表. H5 \# i0 X% s

　　14.学会使用tcpdump和strings工具来查看传输数据的安全性，例如tcpdump -l -i eth0 -w -src or dst port 3306 　 strings。以普通用户来启动mysql数据库服务; —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート' D, @9 T. A9 H

　　15.不使用到表的联结符号，选用的参数 --skip-symbolic-links;
  a1 t3 V" v; B* g0 E- h
　　16.确信在mysql目录中只有启动数据库服务的用户才可以对文件有读和写的权限; bbs.mocwww.com6 W& T" B9 f; i- ^$ ^, W6 l

　　17.不许将process或super权限付给非管理用户，该mysqladmin processlist可以列举出当前执行的查询文本;super权限可用于切断客户端连接、改变服务器运行参数状态、控制拷贝复制数据库的服务器; 妖城在线论坛7 N5 k6 y% H2 A; \# C
妖城在线论坛0 C- ?; ~2 l( S1 K: b& M- S
　　18.file权限不付给管理员以外的用户，防止出现load data '/etc/passwd'到表中再用select 显示出来的问题; bbs.mocwww.com) r4 Q& o% A; J# ?
魔力私服,最新魔力宝贝私服技术交流) r2 {( p) H* `  j/ F" Y# Q9 c
　　19.如果不相信DNS服务公司的服务，可以在主机名称允许表中只设置IP数字地址; 妖城在线论坛1 }2 ^' L8 L; e; {+ O
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表: K4 t/ r! S4 k
　　20.使用max_user_connections变量来使mysqld服务进程，对一个指定帐户限定连接数;

　　21.grant语句也支持资源控制选项;

　　22.启动mysqld服务进程的安全选项开关，--local-infile=0或1 若是0则客户端程序就无法使用local load data了，赋权的一个例子grant insert(user) on mysql.user to 'user_name'@'host_name';若使用--skip-grant-tables系统将对任何用户的访问不做任何访问控制，但可以用mysqladmin flush-privileges或mysqladmin reload来开启访问控制;默认情况是show databases语句对所有用户开放，可以用--skip-show-databases来关闭掉。
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表  l! \# U; j1 W, a0 b# k
　　23.碰到Error 1045(28000) Access Denied for user 'root'@'localhost' (Using password:NO)错误时，你需要重新设置密码，具体方法是:先用--skip-grant-tables参数启动mysqld，然后执行mysql -u root mysql,mysql>update user set password=password('newpassword') where user='root';mysql>Flush privileges;，最后重新启动mysql就可以了。
妖城在线论坛. L4 X0 G. b8 o/ L9 H$ j' v
三，防止黑客知道远程端口入侵远程桌面的方法。（感谢魔力人忧提供）—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート# l7 |4 `* r( D

bbs.mocwww.com: y' W+ ~; H' @: X" @
远程桌面的端口默认为：3389，只要是这个远程桌面前面的勾如果选择上了，
就说明你的电脑开启了3389端口，那么对方就可以利用3389远程直接登陆您的系统。。。—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート5 k' o) k/ ^! c4 ?' l
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート* m* r/ j& n9 H& m# E( B
不要打上这个勾，就关掉了3389！开始，运行，输入mstsc，在弹出的对话诓中输入对方IP，
就可以远程连接对方电脑了，当然还需要对方电脑的用户名和密码。。。。- _- l9 K4 g9 Z/ n5 z
bbs.mocwww.com: ]; p; K1 M. @3 O, ^* \
一般XP系统的帐号密码就是默认的，或者使用的是new，而密码为空。。。—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート- a! M( H0 _+ z- A+ x
魔力私服,最新魔力宝贝私服技术交流3 W6 L) r( e8 L1 i! |1 l
这样的用户如果开启了3389的话，很容易变成别人的肉鸡。。。bbs.mocwww.com  B# k: U( ~/ s) `% D
所以大家应该及时把系统帐号安全保护好。。。—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート  E$ b1 J: F! h* F8 Y

关掉3389端口，或者把3389端口修改成其它数字，
让别人扫描不出来。。。妖城在线论坛* R8 |0 W8 k* v& x7 A
把系统默认用户名改名并禁止使用，设置好密码。。。—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート/ Y! H8 z, \& P: L/ T1 y
把其它不用的帐号全部停用。新建一个管理员帐号设置好密码。。。魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表  Z4 t' y: b" c6 q% [
从而保证系统安全。。。

在任务管理器中可以看出来用户的活动进程也可以用查看本机端口连接情况来查看的。。。。
开始，运行 cmd 输入netstat -an 来查看与本机有哪些连接3389端口是Windows 2000(2003) Server魔力私服,最新魔力宝贝私服技术交流2 @1 i1 h  Y( d! i& ]5 W4 _+ t4 F; h
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表  l' y- q9 n: l: |1 x& ^! B  a
远程桌面的服务端口,可以通过这个端口,
用"远程桌面"等连接工具来连接到远程的服务器,如果连接上了,—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート0 B7 T7 M# l- Z/ P, S1 ?$ j) |
输入系统管理员的用户名和密码后,将变得可以像操作本机一样操作远程的电脑,
bbs.mocwww.com" I" ?0 c. E  p) _6 W# J
因此远程服务器一般都将这个端口修改数值者者关闭. % t$ N: p' v) o# W5 M0 T, `
修改数值的话需要修改注册表的两个地方: —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート, c  Q7 r- a  ]1 k' c* s
第一个地方: [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\Wds\rdpwd\Tds\tcp] PortNumber值，默认是3389，修改成所希望的端口，比如6000 第二个地方： [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp] PortNumber值，
默认是3389，修改成所希望的端口，比如6000 现在这样就可以了。—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート1 n* a$ G; x  q/ S4 }
& \) X* `6 }; h! X1 R
重启系统就可以了. 你如果觉得修改数值不够安全,4 [8 T2 h0 b" y
可以把这个端口屏蔽掉: 一是在网卡的端口过滤里边,
只开放你需要的端口,具体是在tcp/ip的属性设置里头有个"高级"按键,
然后点里面最后一个"选项"按钮,在tpc/ip筛选里面,只允许你想开放的端口;+ i& m. N# O: q, z8 F  q
此外，可以安装一个防火墙,也可以达到阻止别人访问你3389端口的目的。

[ 本帖最后由 rmy007ivy 于 2010-8-1 17:14 编辑 ]

图片附件: 未命名.jpg (2010-8-1 13:00, 2.13 KB) / 该附件被下载次数 221
http://bbs.mocwww.com/attachment.php?aid=13667

图片附件: 未命名1.jpg (2010-8-1 13:00, 1.75 KB) / 该附件被下载次数 161
http://bbs.mocwww.com/attachment.php?aid=13668

图片附件: 未命名2.jpg (2010-8-1 13:00, 16.83 KB) / 该附件被下载次数 200
http://bbs.mocwww.com/attachment.php?aid=13669

附件: SQL查询分析器.rar (2010-8-1 13:06, 1.23 MB) / 该附件被下载次数 255
http://bbs.mocwww.com/attachment.php?aid=13670

附件: 黑客虚拟主机查询器.rar (2010-8-1 13:06, 261.19 KB) / 该附件被下载次数 198
http://bbs.mocwww.com/attachment.php?aid=13671

图片附件: 01300000173424121292059892967.jpg (2010-8-1 16:55, 35.19 KB) / 该附件被下载次数 157
http://bbs.mocwww.com/attachment.php?aid=13672

作者: rmy007ivy 时间: 2010-8-1 13:42

占楼编辑，防御第二弹，楼下说没用的，怎么不把自己的经验分享一下呢？" A1 f/ V' u, b
1、关于利用软件窃取网页系统的办法及原理。。。
2、关于利用网页系统漏洞（现在的魔力网页大部分都是叶子后台，或叶子后台改编，黑客早就研究透了，）入侵的方法及防御。。。
3、植入rootkit及防御办法。。。妖城在线论坛/ N$ l+ E( w7 u
4、关于LINUX内部的webshell问题。。。
这些我会一一发出来和大家讨论。但是我的办法发了，黑客又都知道了。所以就没用了，正在纠结到底要不要发
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート! v- v8 a& H ~1 p5 n6 D6 z, _( j
[ 本帖最后由 rmy007ivy 于 2010-8-2 10:33 编辑 ]

作者: rmy007ivy 时间: 2010-8-2 10:35

楼上说没用的，为什么不把自己的经验分享一下呢？

作者: rmy007ivy 时间: 2010-8-2 11:13

呵呵，谢谢指教，口风真严，算了，自己研究

作者: 煙頭 时间: 2010-8-2 14:50

我也领教了。。

作者: rmy007ivy 时间: 2010-8-14 13:30

这篇东西不足以申精吗？

作者: rootlinux 时间: 2010-8-14 17:55

是不足以的，妖城有很多帖子都比你的好。—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート1 s* \2 H Q& D* `9 k6 Z
你那个其实只要在本机开启3306对外是不会映射的TELNET 3306也不通，所以没关系什么工具都连不上，如果用FTP空间的话把帐号和密码改成强些不就得了。
远程连接把3389改下也就得了。也不麻烦。妖城在线论坛2 q4 B8 H7 q5 h+ W, g( a3 V7 H
百度一大堆资料妖城在线论坛3 [( X. S9 P3 \3 m

[ 本帖最后由 rootlinux 于 2010-8-14 17:58 编辑 ]

欢迎光临妖城在线论坛 (http://bbs.mocwww.com/)