黑客技术网_学习网络安全知识

文章介绍：

• 1、红客，骇客，黑客他们具体有什么不同？
• 2、什么是黑客？起源？
• 3、中了Trojan.Spy.Delf.amp病毒后，如何清除
• 4、黑客基本术语
• 5、什么是黑客？

红客，骇客，黑客他们具体有什么不同？

红客

红客是指维护国家利益，不利用网络技术入侵自己国家电脑，而是维护正义，为自己国家争光的黑客。

红客是一种精神，它是一种热爱祖国、坚持正义、开拓进取的精神，所以只要具备这种精神并热爱着计算机技术的都可以称为红客。红客通常会利用自己掌握的技术去维护国内网络安全，并对外来的进攻进行还击。

黑客

基本涵义是指一个拥有熟练电脑技术的人，但大部分的媒体习惯将黑客指作电脑侵入者。白帽黑客有能力破坏电脑安全但不具恶意目的的黑客。

白帽子一般有清楚的定义道德规范并常常试图同企业合作去改善被发现的安全弱点。灰帽黑客对于伦理和法律暧昧不清的黑客。黑帽黑客怪客：经常使用于区分黑帽子黑客和一般有理性的黑客。

骇客

骇客常常和黑客混淆，骇客是Cracker的音译，我们经常在一些网络游戏发现骇客这个称呼，因为翻译的问题，台湾地区使用的是骇客一词。

骇客就是破解者的意思，从事恶意破解商业软件、恶意入侵别人网站等事务。与黑客近义，其实黑客与骇客本质上都是相同的，闯入计算机系统/软件者。黑客和骇客并没有一个十分明显的界限。

什么是黑客？起源？

什么是黑客？

他可以追溯到几十年前第一台分时小型电脑诞生, ARPAnet 实验也刚展开的年代，那时有一个由程序设计专家和网络名人所组成的, 具有分享特点的文化社群。这种文化的成员创造了 “hacker” 这个名词。黑客们建立了 Internet。黑客们发明出了现在使用的 UNIX 操作系统。黑客们使 Usenet 运作起来， 黑客们让 WWW 运转起来。如果你是这个文化的一部分，如果你对这种文化有所贡献，而且这个社群的其它成员也认识你并称你为 hacker, 那么你就是一位黑客。

黑客精神并不仅仅局限在软件的黑客文化中。有人用黑客态度对待其它事情，如电子学和音乐—— 事实上，你可以在任何最高级别的科学和艺术活动中发现它。精于软件的黑客赞赏这些在其他领域的同类并把他们也称作黑客—— 有人宣称黑客天性是绝对独立于他们工作的特定领域的。 但在这份文档中，我们将注意力集中在软件黑客的技术和态度，以及发明了“黑客”一词的以共享为特征的文化传统之上。

有一群人大声嚷嚷着自己是黑客，但他们不是。他们（主要是正值青春的少年）是一些蓄意破坏计算机和电话系统的人。真正的黑客把这些人叫做“骇客”(cracker)，并不屑与之为伍。多数真正的黑客认为骇客们又懒又不负责任，还没什么大本事。专门以破坏别人安全为目的的行为并不能使你成为一名黑客， 正如用铁丝偷开走汽车并不能使你成为一个汽车工程师。不幸的是，很多记者和作家往往错把“骇客”当成黑客；这种做法一直使真正的黑客感到恼火。

根本的区别是：黑客搞建设，骇客搞破坏。

中了Trojan.Spy.Delf.amp病毒后，如何清除

一、对于你的具体问题的分析

很明显你中毒了,如果你不想重装系统,可以试一下用口碑较好的杀毒软件进行杀毒,如:卡巴斯基,其文件查杀能力与内存查杀能力都是出类拔萃的!对付病毒木马,你不可以太依靠杀毒软件,有些病毒木马你的杀毒软件根本杀不死或者是查都查不出来,关键的问题还是在于防范于未然!!下面偶就对木马病毒的来源,工作原理,防范方法等问题作个具体介绍,希望对你会有所帮助!!

二、什么是计算机病毒与木马

计算机病毒是一个程序，一段可执行码。它和我们常用的各种软件如播放器、QQ聊天软件等一样都属于应用程序，计算机病毒与普通应用程序的区别在于它一般具有传染性、隐蔽性、破坏性等特点。计算机病毒就是能够通过某种途径潜伏在计算机存储介质（或程序）里, 当达到某种条件时即被激活的具有对计算机资源进行破坏作用的一组程序或指令集合。

特洛伊木马(以下简称木马)，英文叫做“Trojan house”，其名称取自希腊神话的特洛伊木马记。它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。木马程序通常由客户端(Client)和服务端(Server)两部分组成，服务端被种植到远程计算机上，客户端由黑客在自己的主机上运行，客户端可以向服务端发送各种指令来控制服务端的电脑。

计算机病毒和木马都是一种应用程序，病毒的主要特点在于传染性和破坏性，木马的主要特点在于远程控制，木马与病毒相比更具有潜在的危险性。

三、什么是计算机漏洞

顾名思义，计算机漏洞就是指计算机软件在程序设计上的缺陷，留下了隐患。黑客利用计算机漏洞可能完全控制你的电脑。微软的操作系统本身就存在着大量的漏洞（微软的主要操作系统有：MS-DOS，Windows 98/Me，Windows NT，Windows 2000，Windows XP，Windows 2003等），比较著名的漏洞有MS05039溢出漏洞、MS0601图形呈形引擎导致的远程执行代码漏洞、HELP控件跨域执行代码漏洞等，黑客利用这些漏洞曾一度使互联网病毒泛滥。

四、流行木马工作过程详解

1. 密码窃取木马，在此以QQ窃密木马“阿拉QQ大盗”为例：

阿拉QQ大盗在互联网上很流行，通过对木马程序进行初步的配置后它可以自动生成一个木马程序，如果你的计算机不幸运行此程序后，你的QQ将会在指定的时间内被强行关闭，当你再次登陆QQ时，你的号码及密码就会被此木马程序悄悄的发送到木马制造者指定的收信程序中，从此你的QQ号就不再是你的了。

2. 远程控制木马，在此以让人望而生畏的“灰鸽子”为例：

灰鸽子是一款很有名的远程控制软件，它由服务端和控制端两部分组成。它属于反弹端口型的木马程序，当你的电脑不幸中了灰鸽子服务端后，服务端会自动向木马制造者设置的地址发送连接请求，当服务端与客户端建立网络连接后，木马制造者将拥有你的电脑的完全控制权，包括密码窃取（如窃取你的宽带上网帐号进行网上消费）、屏幕监控（木马制造者可以远程看到你的桌面，你在做什么他可是了如指掌）、数据下载（你的所有资料都可以被他窃取）、格式化硬盘（让你的所有数据灰飞烟灭）、远程开启视频（如果你安装了摄像头的话，对方可以悄悄的打开你的视频而不被你察觉，真实的你也会展现在黑客面前）。

五、木马、病毒的传播途径

通过上面的介绍，相信大家对木马、病毒的危害巳经有一个感观的认识了，你也许会问：木马、病毒是如何进入我的计算机的呢？下面我就对木马、病毒的几种主要传播手段做一个简单介绍。

1. 通过硬件存储介质传播

前面讲过计算机病毒有自动复制传染的特性，所以如果U盘、MP3、SD卡、软盘、移动硬盘等移动存储设备如果接入感染了病毒的计算机后，其本身可能也会被感染病毒，如果再接入没有被感染病毒的计算机后，该计算机可能也会被传染病毒。

2. 通过局域网共享传播

前面提到了计算机的漏洞，微软的IPC共享就存在严重漏洞，许多病毒可以通过IPC默认共享自动感染局域网内的所有计算机。（我们在局域网内实现共享打印机、共享文件都是利用IPC来实现共享的）

3. 通过与应用软件捆绑传播

此种手段较为高明，木马制作者把木马程序捆绑到一个比较常用的应用软件上，比如Photoshop、QQ、Realplayer、Word等软件上，然后把这些捆绑了木马程序的应用软件放到互联网上提供给网友下载，当你下载下来安装这些软件的时候，被捆绑其上的木马也被你同时安装到自己的电脑中了，这一过程是不被你察觉的。

4. 通过电子邮件附件传播

木马制作者可以直接把木马程序作为附件发送给你，利用社会工程学的知识来骗你打开附件，比如说是你的同学，发给你一张新拍的照片，如果你信以为真，那可能就中计了。直接发送木马程序对于稍有网络安全意识的人来讲还是可以防范的，因为木马程序既然是应用程序，那么它的后缀名必定是.EXE。更高级的附件发送木马手法还是挺高明的，比如把木马程序的图标改为图片文件的图标或是Word文档的图标来进行鱼目混珠，还可以利用Word的宏命令直接把木马程序写入Word文档中，这样就更难察觉了。

5. 通过网页木马传播

什么是网页木马？答：网页木马就是利用计算机漏洞构造出的具有特殊功能的网页，当你打开此网页且你的计算机有此网页利用的漏洞时，你的电脑就会自动从指定的网址下载木马程序到你的电脑上并自动运行。这一切都是在隐蔽状态下进行的，对于你来说，你只不过就是打开了一个网页而巳，没有进行任何其它操作，但是你的电脑巳经中毒了。相对于其它传播手段而言，此种传播手段的传播效率最高！大约90％以上的木马程序都是通过网页木马来进行传播的。你也许会说你没有上什么不正规的网站，怎么也会中毒？事实上目前的许多网站都存在着各种各样的漏洞，黑客利用这些漏洞可以入侵网站，包括有名的网易、搜狐、新浪等大型知名网站都曾遭遇过黑客入侵而被篡改主页。黑客入侵网站后如果在这些网站的首页加上一段调用网页木马的代码，那么当你浏览这一网站时你就可能中了木马了。

6. 通过邮件网页木马传播

前面巳讲到什么是网页木马，那么邮件网页木马顾名思义就是通过邮件传播的网页木马了，木马制造者通过编辑电子邮件的源代码，可以发送一封网页格式的电子邮件给你，此种格式的邮件如果在源代码中加入调用网页木马的代码就称为邮件网页木马，此中邮件没有附件，你只要打开了这封邮就会中马，不需要进行其它任何操作！它相对于网页木马的优点在于可以发送到指定的邮箱指定目标进行攻击。

7. 通过影音文件网页木马传播

不知大家是否有过这样的经历，下载到一部自己喜爱的电影，正在观看时突然弹出来一个网页，这个网页就有可能是网页木马了（也有可能只是做广告），视频文件是可以添加事件的，可以让它在播放到指定时间时打开一个网页，如果打开的网页是网页木马，那么你的电脑从此就中毒了。此种木马常见于一些不正规的小网站提供的电影下载中或是BT等共享视频中。

六、杀毒软件与防火墙的工作原理

杀毒软件杀毒的一个重要依据就是根据自己病毒库中的特征码定义，所谓特征码就是某程序所特有的代码段，病毒特征码就是指某病毒所特有的代码，杀毒软件在对文件进行杀毒时对文件内的内码逐一进行检查，一旦发现此文件中含有某种病毒的特征码那么它就认为是某种病毒，无论这个文件到底是不是病毒。比较高级的杀毒软件通常对同一种病毒有两种特征码定义：文件特征码和内存特征码。程序是运行于内存中的，内存中的代码与文件本身的代码是不同的，有些文件直接用杀毒软件查杀是没有病毒的，但是你一旦运行它就会查出有病毒就是这个原因。

“黑客会打上我的主意吗？”这么想就对了，黑客就想钻鸡蛋缝的苍蝇一样，看到一丝从系统漏洞发出的光亮就会蠢蠢欲动！好，如何保护你的网络呢？计算机的高手们也许一张嘴就提议你安装网络的防火墙，那么第一个问题就来了：到底什么是防火墙呢？防火墙就是一种过滤塞（目前你这么理解不算错），你可以让你喜欢的东西通过这个塞子，别的玩意都统统过滤掉。在网络的世界里，要由防火墙过滤的就是承载通信数据的通信包。 天下的防火墙至少都会说两个词：Yes或者No。大多数防火墙采用的技术和标准可谓五花八门。这些防火墙的形式多种多样：有的取代系统上已经装备的TCP/IP协议栈；有的在已有的协议栈上建立自己的软件模块；有的干脆就是独立的一套操作系统。还有一些应用型的防火墙只对特定类型的网络连接提供保护（比如SMTP或者HTTP协议等）。还有一些基于硬件的防火墙产品其实应该归入安全路由器一类。以上的产品都可以叫做防火墙，因为他们的工作方式都是一样的：分析出入防火墙的数据包，决定放行还是把他们扔到一边。值得一提的是，只要你想上网，你的防火墙就一定会对一些程序和端口说“YES”来放行的。

七、道高一尺魔高一丈，木马病毒如何逃过防火墙与杀毒软件的拦截查杀

前面讲到杀毒软件杀毒的一个重要依据就是特征码，那么如果一个程序中不含有病毒库中定义的所有特征码的话，杀毒软件就自然不会认为这个程序是病毒了！黑客高手们通常的做法是做出来一个木马、病毒程序后，用各种杀毒软件去杀它，而后取得各种杀毒软件对此程序的特征码的定义，然后就是修改特征码，把征征码的代码改用其它的程序代码来实现相同的功能，经过大多数杀毒软件的轮攻与修改后，这个病毒就可以顺利逃过各种杀毒软件的查杀了！前面亦有提到只要你想上网，防火墙就会对某些程序（如IE浏览器）和端口放行，那么病毒木马通过线程插入系统进程的技术可以将自身置入系统进程之中，木马程序通常会利用80端口进行远程连接（WEB服务默认端口），这样只要你的电脑可以上网，那么木马程序同样也会被防火墙放行！对于黑客高手而言，普通的杀毒软件和防火墙（普通用户用到的杀毒软件及防火墙）就等于是花边，对们来说是不起什么作用的！所以当你用杀毒软件把你的所有硬盘都扫了一遍而没有发现病毒时你也不要沾沾自喜，很可能你中了做了免杀处理的病毒，这样虽然你中毒了你的杀毒软件也会视若无睹。-

八、木马隐藏技术，木马程序藏身何处

木马程序无论如何神秘，但归根究底，仍是Win32平台下的一种程序。Win32应用程序通常会有应用程序界面，比如系统中自带的“计算器”就有提供各种数字按钮的应用程序界面。木马虽然属于Win32应用程序，但其一般不包含窗体或隐藏了窗体，并且将木马文件属性设置为“隐藏”，这就是最基本的隐藏手段，稍有经验的用户只需打开“任务管理器”，并且将“文件夹选项”中的“显示所有文件”勾选即可轻松找出木马，于是便出现了下面要介绍的“进程隐藏”技术。

第一代进程隐藏技术：Windows 98的后门

在Windows 98中，微软提供了一种能将进程注册为服务进程的方法。尽管微软没有公开提供这种方法的技术实现细节(因为Windows的后续版本中没有提供这个机制)，但仍有高手发现了这个秘密，这种技术称为RegisterServiceProcess。只要利用此方法，任何程序的进程都能将自己注册为服务进程，而服务进程在Windows 98中的任务管理器中恰巧又是不显示的，所以便被木马程序钻了空子。

第二代进程隐藏技术：进程插入

一个进程可以包含若干线程(Thread)，线程可以帮助应用程序同时做几件事(比如一个线程向磁盘写入文件，另一个则接收用户的按键操作并及时做出反应，互相不干扰)，在程序被运行后中，系统首先要做的就是为该程序进程建立一个默认线程，然后程序可以根据需要自行添加或删除相关的线程。

一旦木马的DLL插入了另一个进程的地址空间后，就可以对另一个进程为所欲为，这里以盗QQ密码的木马为便进行简单讲解。

普通情况下，一个应用程序所接收的键盘、鼠标操作，别的应用程序是无权“过问”的。可盗号木马是怎么偷偷记录下我的密码的呢？木马首先将1个DLL文件插入到QQ的进程中并成为QQ进程中的一个线程，这样该木马DLL就赫然成为了QQ的一部分！然后在用户输入密码时，因为此时木马DLL已经进入QQ进程内部，所以也就能够接收到用户传递给QQ的密码键入了，真是“家贼难防”啊！

不要相信自己的眼睛：恐怖的进程“蒸发”

严格地来讲，这应该算是第2.5代的进程隐藏技术了，可是它却比前几种技术更为可怕得多。这种技术使得木马不必将自己插入到其他进程中，而可以直接消失！

它通过Hook技术对系统中所有程序的进程检测相关API的调用进行了监控，“任务管理器”之所以能够显示出系统中所有的进程，也是因为其调用了EnumProcesses等进程相关的API函数，进程信息都包含在该函数的返回结果中，由发出调用请求的程序接收返回结果并进行处理(如“任务管理器”在接收到结果后就在进程列表中显示出来)。

而木马由于事先对该API函数进行了Hook，所以在“任务管理器”(或其他调用了列举进程函数的程序)调用EnumProcesses函数时(此时的API函数充当了“内线”的角色)，木马便得到了通知，并且在函数将结果(列出所有进程)返回给程序前，就已将自身的进程信息从返回结果中抹去了。就好比你正在看电视节目，却有人不知不觉中将电视接上了DVD，你在不知不觉中就被欺骗了。

所以无论是“任务管理器”还是杀毒软件，想对这种木马的进程进行检测都是徒劳的。这种木马目前没有非常有效的查杀手段，只有在其运行前由杀毒软件检测到木马文件并阻止其病毒体的运行。当时还有一种技术是由木马程序将其自身的进程信息从Windows系统用以记录进程信息的“进程链表”中删除，这样进程管理工具就无法从“进程链表”中获得木马的进程信息了。但由于缺乏平台通用性而且在程序运行时有一些问题，所以没有被广泛采用。

什么是Hook？Hook是Windows中提供的一种用以替换DOS下“中断”的一种系统机制，中文译名为“挂钩”或“钩子”。在对特定的系统事件(包括上文中的特定API函数的调用事件)进行Hook后，一旦发生已Hook的事件，对该事件进行Hook的程序(如:木马)就会收到系统的通知，这时程序就能在第一时间对该事件做出响应(木马程序便抢在函数返回前对结果进行了修改)。

毫无踪迹:全方位立体隐藏

利用刚才介绍的Hook隐藏进程的手段，木马可以轻而易举地实现文件的隐藏，只需将Hook技术应用在文件相关的API函数上即可，这样无论是“资源管理器”还是杀毒软件都无法找出木马所在了。更令人吃惊的是，现在已经有木马(如:灰鸽子)利用该技术实现了文件和进程的隐藏。要防止这种木马最好的手段仍是利用杀毒软件在其运行前进行拦截。

跟杀毒软件对着干：反杀毒软件外壳

木马再狡猾，可是一旦被杀毒软件定义了特征码，在运行前就被拦截了。要躲过杀毒软件的追杀，很多木马就被加了壳，相当于给木马穿了件衣服，这样杀毒软件就认不出来了，但有部分杀毒软件会尝试对常用壳进行脱壳，然后再查杀(小样，别以为穿上件马夹我就不认识你了)。除了被动的隐藏外，最近还发现了能够主动和杀毒软件对着干的壳，木马在加了这种壳之后，一旦运行，则外壳先得到程序控制权，由其通过各种手段对系统中安装的杀毒软件进行破坏，最后在确认安全(杀毒软件的保护已被瓦解)后由壳释放包裹在自己“体内”的木马体并执行之。对付这种木马的方法是使用具有脱壳能力的杀毒软件对系统进行保护。

什么是壳？顾名思义，你可以很轻易地猜到，这是一种包在外面的东西。没错，壳能够将文件(比如EXE)包住，然后在文件被运行时，首先由壳获得控制权，然后释放并运行包裹着的文件体。很多壳能对自己包住的文件体进行加密，这样就可以防止杀毒软件的查杀。比如原先杀毒软件定义的该木马的特征是“12345”，如果发现某文件中含有这个特征，就认为该文件是木马，而带有加密功能的壳则会对文件体进行加密(如:原先的特征是“12345”，加密后变成了“54321”，这样杀毒软件当然不能靠文件特征进行检查了)。脱壳指的就是将文件外边的壳去除，恢复文件没有加壳前的状态。

九、普通用户网络安全的出路：防胜于杀

综上可见，依赖于防火墙和杀毒软件想做到百毒不侵那是不可能办到的事情！可以这样说，只要你接入互联网那就有可能中毒，而且有可能中了毒也查不出有毒，那么对于没有专业的网络安全知识的普通用户来说，如何才能保障自身的网络安全呢？

1. 打好系统补丁，修复系统漏洞

前面讲到病毒的最大来源就是网页木马，而网页木马必定依赖于系统漏洞而生存，如果你的系统没有网页木马所利用的漏洞，自然它就不能发挥任何作用了！所以防范木马病毒进入电脑的最佳办法就是及时打好系统补丁，然后用漏洞扫描工具检测一下系统是否存在漏洞，直到修复到没有任何巳公布的漏洞而巳。

2. 及时更新杀毒软件的病毒库

虽然杀毒软件不是万能的，但是安装一个好的杀毒软件还是很有必要的，微软公司每年都会公布出大量的系统漏洞，然后在官方网站提供漏洞补丁供用户下载，然而仍然有许多未被发现的漏洞有可能被黑客利用，所以装个比较好的杀毒软件还是很必要的，推荐卡巴斯基和瑞星，卡巴斯基除了利用特征码杀毒外，还启用了虚拟机技术和行为跟踪技术，其文件查杀与内存查杀能力可谓是出类拔萃！瑞星与其它杀毒软件相比最出色的地方就在于内存查杀能力相当强大，缺点就是许多病毒木马都特别针对瑞星做了反查杀处理。

3. 做好系统备份，做好灾难恢复的准备

既然打补丁和安装杀毒软件都不是万能的，那么就要做好中毒的准备，及时做好系统备份，一旦出现灾难性故障可以迅速恢复操作系统，免去数据丢失的风险和重装系统的麻烦。

黑客基本术语

1，肉鸡：所谓“肉鸡”是一种很形象的比喻，比喻那些可以随意被我们控制的电脑，对方可以是WINDOWS系统，也可以是UNIX/LINUX系统，可以是普通的个人电脑，也可以是大型的服务器，我们可以象操作自己的电脑那样来操作它们，而不被对方所发觉。

2，木马：就是那些表面上伪装成了正常的程序，但是当这些被程序运行时，就会获取系统的整个控制权限。有很多黑客就是 热中与使用木马程序来控制别人的电脑，比如灰鸽子，黑洞，PcShare等等。

3，网页木马：表面上伪装成普通的网页文件或是将而已的代码直接插入到正常的网页文件中，当有人访问时，网页木马就会利用对方系统或者浏览器的漏洞自动将配置好的木马的服务端下载到访问者的电脑上来自动执行。

4，挂马：就是在别人的网站文件里面放入网页木马或者是将代码潜入到对方正常的网页文件里，以使浏览者中马。

5，后门：这是一种形象的比喻，入侵者在利用某些方法成功的控制了目标主机后，可以在对方的系统中植入特定的程序，或者是修改某些设置。这些改动表面上是很难被察觉的，但是入侵者却可以使用相应的程序或者方法来轻易的与这台电脑建立连接，重新控制这台电脑，就好象是入侵者偷偷的配了一把主人房间的要是，可以随时进出而不被主人发现一样。

通常大多数的特洛伊木马（Trojan Horse）程序都可以被入侵者用语制作后门（BackDoor）

6，rootkit：rootkit是攻击者用来隐藏自己的行踪和保留root（根权限，可以理解成WINDOWS下的system或者管理员权限）访问权限的工具。通常，攻击者通过远程攻击的方式获得root访问权限，或者是先使用密码猜解（破解）的方式获得对系统的普通访问权限，进入系统后，再通过，对方系统内存在的安全漏洞获得系统的root权限。然后，攻击者就会在对方的系统中安装rootkit，以达到自己长久控制对方的目的，rootkit与我们前边提到的木马和后门很类似，但远比它们要隐蔽，黑客守卫者就是很典型的rootkit，还有国内的ntroorkit等都是不错的rootkit工具。

9，IPC$：是共享“命名管道”的资源，它是为了让进程间通信而开放的饿命名管道，可以通过验证用户名和密码获得相应的权限，在远程管理计算机和查看计算机的共享资源时使用。

10.弱口令：指那些强度不够，容易被猜解的，类似123，abc这样的口令（密码）

11.默认共享：默认共享是WINDOWS2000/XP/2003系统开启共享服务时自动开启所有硬盘的共享，因为加了"$"符号，所以看不到共享的托手图表，也成为隐藏共享。

12.shell：指的是一种命令指行环境，比如我们按下键盘上的“开始键+R”时出现“运行”对话框，在里面输入“cmd”会出现一个用于执行命令的黑窗口，这个就是WINDOWS的Shell执行环境。通常我们使用远程溢出程序成功溢出远程电脑后得到的那个用于执行系统命令的环境就是对方的shell

13.webshell：webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称做是一种网页后门。黑客在入侵了一个网站后，通常会将这些asp或php后门文件与网站服务器WEB目录下正常的网页文件混在一起，好后就可以使用浏览器来访问这些asp 或者php后门，得到一个命令执行环境，以达到控制网站服务器的目的。可以上传下载文件，查看数据库，执行任意程序命令等。国内常用的webshell有海阳ASP木马，Phpspy，c99shell等

14.溢出：确切的讲，应该是“缓冲区溢出”。简单的解释就是程序对接受的输入数据没有执行有效的检测而导致错误，后果可能是造成程序崩溃或者是执行攻击者的命令。大致可以分为两类：（1）堆溢出（2）栈溢出。

15.注入：随着B/S模式应用开发的发展，使用这种模式编写程序的程序员越来越来越多，但是由于程序员的水平参差不齐相当大一部分应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想要知的数据，这个就是所谓的SQLinjection，即：SQL注意入。

16.注入点：是是可以实行注入的地方，通常是一个访问数据库的连接。根据注入点数据库的运行帐号的权限的不同，你所得到的权限也不同。

17.内网：通俗的讲就是局域网，比如网吧，校园网，公司内部网等都属于此类。查看IP地址如果是在以下三个范围之内的话，就说明我们是处于内网之中的：10.0.0.0—10.255.255.255，172.16.0.0—172.31.255.255，192.168.0.0—192.168.255.255

18.外网：直接连入INTERNET（互连网），可以与互连网上的任意一台电脑互相访问，IP地址不是保留IP（内网）IP地址。

19.端口：（Port）相当于一种数据的传输通道。用于接受某些数据，然后传输给相应的服务，而电脑将这些数据处理后，再将相应的恢复通过开启的端口传给对方。一般每一个端口的开放的偶对应了相应的服务，要关闭这些端口只需要将对应的服务关闭就可以了。

20.3389、4899肉鸡：3389是WINDWS终端服务（Terminal Services）所默认使用的端口号，该服务是微软为了方便网络管理员远程管理及维护服务器而推出的，网络管理员可以使用远程桌面连接到网络上任意一台开启了终端服务的计算机上，成功登陆后就会象操作自己的电脑一样来操作主机了。这和远程控制软件甚至是木马程序实现的功能很相似，终端服务的连接非常稳定，而且任何杀毒软件都不会查杀，所以也深受黑客喜爱。黑客在入侵了一台主机后，通常都会想办法先添加一个属于自己的后门帐号，然后再开启对方的终端服务，这样，自己就随时可以使用终端服务来控制对方了，这样的主机，通常就会被叫做3389肉鸡。Radmin是一款非常优秀的远程控制软件，4899就是Radmin默认使以也经常被黑客当作木马来使用（正是这个原因，目前的杀毒软件也对Radmin查杀了）。有的人在使用的服务端口号。因为Radmin的控制功能非常强大，传输速度也比大多数木马快，而且又不被杀毒软件所查杀，所用Radmin管理远程电脑时使用的是空口令或者是弱口令，黑客就可以使用一些软件扫描网络上存在Radmin空口令或者弱口令的主机，然后就可以登陆上去远程控制对恶劣，这样被控制的主机通常就被成做4899肉鸡。

21.免杀：就是通过加壳、加密、修改特征码、加花指令等等技术来修改程序，使其逃过杀毒软件的查杀。

22.加壳：就是利用特殊的酸法，将EXE可执行程序或者DLL动态连接库文件的编码进行改变（比如实现压缩、加密），以达到缩小文件体积或者加密程序编码，甚至是躲过杀毒软件查杀的目的。目前较常用的壳有UPX，ASPack、PePack、PECompact、UPack、免疫007、木马彩衣等等。

23.花指令：就是几句汇编指令，让汇编语句进行一些跳转，使得杀毒软件不能正常的判断病毒文件的构造。说通俗点就是”杀毒软件是从头到脚按顺序来查找病毒。如果我们把病毒的头和脚颠倒位置，杀毒软件就找不到病毒了“。

先写这么多吧，希望对哥们们有帮助了哈

“反弹端口”原理：

服务端（被控制端）主动连接客户端（控制端），为了隐蔽起见，监听端口一般开在80（提供HTTP服务的端口），这样，即使用户使用端口扫描软件检查自己的端口，也难以发现。而控制端发给服务端的数据是一个第三方的空间来实现的，一般用一个主页空间，控制端通过FTP写主页空间上的一个文件，而服务端定期?*** TTP协议读取这个文件的内容，当发现客户端让自己开始连接时，就主动连接。这样，控制端就可以穿过防火墙，甚至还能访问局域网内部的电脑。

软件加壳：

“壳”是一段专门负责保护软件不被非法修改或反编译的程序。它们一般都是先于程序运行，拿到控制权，然后完成它们保护软件的任务。经过加壳的软件在跟踪时已看到其真实的十六进制代码，因此可以起到保护软件的目的。

软件脱壳：

顾名思义，就是利用相应的工具，把在软件“外面”起保护作用的“壳”程序去除，还文件本来面目，这样再修改文件内容就容易多了。

蠕虫病毒：

它利用了WINDOWS系统的开放性特点，特别是COM到COM+的组件编程思路，一个脚本程序能调用功能更大的组件来完成自己的功能。以VB脚本病毒为例，它们都是把VBS脚本文件加在附件中，使用*.HTM，VBS等欺骗性的文件名。蠕虫病毒的主要特性有：自我复制能力、很强的传播性、潜伏性、特定的触发性、很大的破坏性。

缓冲区溢出：

功击者向一个地址区输入这个区间存储不下的大量字符。在某些性况下，这些多余的字符可以作为“执行代码”来运行，因此足以使功击者不受安全措施限制地获得计算机的控制权。

CMD：

是一个所谓命令行控制台。有两条进入该程序的通道：第一、鼠标点击“开始—运行”，在出现的编辑框中键入“CMD”，然后点击“确定”；第二、在启动Windows2000的时候，按F8进入启动选择菜单，移动光条或键入数字至安全模式的命令行状态。出现的窗口是一个在win9x系统常见的那种MSDOS方式的界面。尽管微软把这个工具当做命令解释器一个新的实例，但使用方法去和原来的DOS没有区别。

嗅控器：

（Snifffer）就是能够捕获网络报文的设备。嗅控器的正当用处在于分析网络的流量，以便找出所关心的网络中潜在的问题。

密罐：（Honeypot）

是一个包含漏洞的系统，它摸拟一个或多个易受功击的主机，给黑客提供一个容易功击的目标。由于密罐没有其它任务需要完成，因此所有连接的尝试都应被视为是可疑的。密罐的另一个用途是拖延功击者对其真正目标的功击，让功击者在密罐上浪费时间。与此同时，最初的功击目标受到了保护，真正有价值的内容光焕发不将受侵犯。

路由器（Routers）：

是用来连接不同子网的中枢，它们工作于osi 7层模型的传输层和网络层。路由器的基本功能就是将网络信息包传输到它们的目的地。一些路由器还有访问控制列表（ACLs），允许将不想要的信息包过滤出去。许多路由器都可以将它们的日志信息注入到IDS系统中，提供有关被阻挡的访问网络企图的宝贵信息。

Unicode漏洞：

Unicode是一个16位的字符集，他可以移植到所有主要的计算机平台并且覆盖几乎整个世界。微软IIS4和5都存在利用扩展Unicode字符取代“/”“\”而能利用“../”目录便利的漏洞。未经授权的用户可能利用IUSR_machinename帐号的上下文空间访问任何已知的文件。该帐号在默认情况下属于Everyone和Users组的成员，因此任何与Web根目录在同一个逻辑驱动器上的能被这些用户组访问的文件都能被删除、修改或执行，如同一个用户成功的登陆所能完成的功能一样！

CGI漏洞：

CGI是Common Gateway Inerface（公用网关接口）的简称，并不特指一种语言。Web服务器的安全问题主要包括：1）Web服务器软件编制中的BUG；2）服务器配置的错误。可能导致CGI源代码泄漏，物理路径信息泄漏，系统敏感信息泄漏或远程执行任意命令。CGI语言漏洞分为以下几类：配置错误、边界条件错误、访问验证错误、来源验证错误、输入验证错误、策略错误、使用错误等等。CGI漏洞大多分为一下几种类型：暴露不该暴露的信息、执行不该执行的命令、溢出。

SSL漏洞：

SSL是Secure Socket Layer的缩写。是网上传输信用卡和帐户密码等信息时广泛采用的行业加密标准。SSL常见的安全漏洞有三种：1、攻击证书，由于IIS服务器提供“客户端证书映射”功能，用于将客户端提交证书中的名字映射到NT系统的用户帐号，再这种情况下我们能够获得该主机的系统管理员权限！如果黑客不能利用非法的证书突破服务器，还可尝试暴力攻击。2、窃取证书，黑客还可能窃取有效的证书及相关的思友密匙。3、安全盲点。没有网络检测系统再加上没有安全漏洞审查，使得最重要的服务器反而成为受到最少防护的服务器。

IPC$漏洞：

IPC$是共享“命名管道”的资源，它对于程序间的通讯十分重要。再远程管理计算机和查看计算机的共享资源时使用。利用IPC我们可以与目标主机建立一个空的连接，而利用这个空连接，我们还可以得到目标主机上的用户列表。但是，一些别有用心的人会利用IPC$，查找我们的用户列表，并使用一些字典工具，对我们的主机进行入侵攻击。

IIS漏洞：

IIS是Internet Information Service的缩写。是微软公司的Web服务器。IIS支持多种需要服务器端处理的文件类型，当一个WEB用户从客户端请求此类文件时，相应的DLL文件将自动对其进行处理。然而再ISM.DLL这个负责处理HTR文件的文件中被发现存在严重的安全漏洞。该漏洞包含了一个再ISM.DLL重未经验证的缓冲，他可能对WEB服务器的安全运作造成两方面的威胁。首先，是来自服务拒绝攻击的威胁，另一个威胁通过使用一个精心构建过的文件请求将可以利用标准缓存溢出手段导致2进制代码再服务器端运行，再这种情况下，什么都可能发生！

NTLM验证：

NTLM(NT LAN Mangager)是微软公司开发的一种身份验证机制，从NT4开始就以之使用，主要用于本地的帐号管理。

IPC管道：

为了更好的控制和处理不同进程之间的通信和数据交换，系统会通过一个特殊的连接管道来调度整个进程。

3389漏洞：

由于微软的原因，使得安装了微软服务终端和全拼的Win2K服务器存在着远程登陆并能获得超级用户全县的严重漏洞。

139漏洞：

通过139端口入侵是网络攻击中常见的一种攻击手段，一般情况下139端口开启是由于NetBIOS网络协议的使用。NetBIOS就是网络基本输入输出系统，系统可以利用WINS服务、广播及Lmhost文件等多种模式将NetBIOS名解析为相应的IP地址，从而实现信息通讯。再局域网内部使用NetBIOS协议可以非常方便的实现消息通信，但是如果再Internet上，NetBIOS就相当于一个后门程序，很多攻击这都是通过NetBIOS漏洞发起攻击的！

shell：

shell是系统与用户的交换方式界面。简单来说，就是系统与用户“沟通”的环境。我们平时常用到的DOS，就是一个shell。（Windows2000是cmd.exe）

root：

Unix里面最高权限的用户～即超级管理员

admin：

Windows NT里面最高权限的用户～

rootshell：

通过溢出程序，再主机溢出一个具有root权限的shell。（顺便说一句，国内一知名黑客也叫这个名字）

IDS：

入侵检测系统，用于在黑客发起进攻或是发起进攻之前检测到攻击，并加以拦截。IDS是不同于防火墙的，防火墙只能屏蔽入侵，而IDS却可以在入侵发生以前，通过一些信息来检测到即将发生的攻击或是入侵以作出反应。

UDP：

一种传输层协议，在网络上不可靠的传输数据包，被DNS用于查询和应答，许多流音频和视频应用也使用它。

API：

一套定义的一致性方法，软件开发人员能用他来编写与其他程序捷克欧的程序。API用于扩展程序的功能和使用预编写的组创建新的程序。

FTP：

文件传输协议。一类应用以及该应用使用的协议的名字，用于将文件从一台计算机移动到另一台。

HTTP：

超文本传输协议。用于在万维网上传输数据，包括超文本标识语言文档、图像、可执行内容等等。TCP承载HTTP，一般服务器监听端口80。

HTTPS：

安全超文本传输协议。通过在安全套接字层（SSL）协议上运行超文本传输协议来将安全添加到万维网中。HTTPS能用于将WEB服务器认证到客户，将客户认证到WEB服务器和加密在两个系统之间传输的所有数据，HTTPS服务器一般监听TCP端口443。

IRC：

Internet中继交谈，一系列程序和一种协议，用于实现在Internet上的交谈会话。IRC特别受计算机地下组织的欢迎，北移些攻击者用来讨论他们的工具、技术和战利品。

MAC Address：

网络接口的数据链路层（第二层）地址。对于以太网卡，MAC地址维48bit长。

LAN：

局域网！一种网络，连接近距离的计算机，一般位于单个房间、建筑物或小的地理区域里。LAN上的所有系统位于一个网络跳之间。

ping：

一类基于Internet控制消息协议的数据包，用于判断网络上的某台计算机是否可以到达。

Proxy：

代理。一类程序或系统，接收来自客户机算计的流量，并代表客户与服务器交互。代理能用于过滤应用级别的制定类型的流量或缓存信息以提高性能。许多防火墙依赖代理进行过滤。

telnet：

用于系统的远程命令行访问的程序和协议。telnet在TCP上传输，服务器一般在TCP端口23监听。

TCP：

传输控制协议。一种传输层协议，被许多要求数据的可靠传输的应用所使用。HTTP、SMTP、FTP和telnet都使用TCP进行传输。

TCP/IP:

整个网际协议族的集合名，包括TCP、UDP、IP和ICMP。

什么是黑客？

黑客的定义

提起黑客，总是那么神秘莫测。在人们眼中，黑客是一群聪明绝顶，精力旺盛的年轻人，一门心思地破译各种密码，以便偷偷地、未经允许地打入政府、企业或他人的计算机系统，窥视他人的隐私。那么，什么是黑客呢？

黑客（hacker），源于英语动词hack，意为“劈，砍”，引申为“干了一件非常漂亮的工作”。在早期麻省理工学院的校园俚语中，“黑客”则有“恶作剧”之意，尤指手法巧妙、技术高明的恶作剧。在日本《新黑客词典》中，对黑客的定义是“喜欢探索软件程序奥秘，并从中增长了其个人才干的人。他们不象绝大多数电脑使用者那样，只规规矩矩地了解别人指定了解的狭小部分知识。”由这些定义中，我们还看不出太贬义的意味。他们通常具有硬件和软件的高级知识，并有能力通过创新的方法剖析系统。“黑客”能使更多的网络趋于完善和安全，他们以保护网络为目的，而以不正当侵入为手段找出网络漏洞。

另一种入侵者是那些利用网络漏洞破坏网络的人。他们往往做一些重复的工作（如用暴力法破解口令），他们也具备广泛的电脑知识，但与黑客不同的是他们以破坏为目的。这些群体成为“骇客”。当然还有一种人兼于黑客与入侵者之间。

一般认为，黑客起源于50年代麻省理工学院的实验室中，他们精力充沛，热衷于解决难题。60、70年代，“黑客”一词极富褒义，用于指代那些独立思考、奉公守法的计算机迷，他们智力超群，对电脑全身心投入，从事黑客活动意味着对计算机的最大潜力进行智力上的自由探索，为电脑技术的发展做出了巨大贡献。正是这些黑客，倡导了一场个人计算机革命，倡导了现行的计算机开放式体系结构，打破了以往计算机技术只掌握在少数人手里的局面，开了个人计算机的先河，提出了“计算机为人民所用”的观点，他们是电脑发展史上的英雄。现在黑客使用的侵入计算机系统的基本技巧，例如破解口令（password cracking），开天窗（trapdoor），走后门（backdoor），安放特洛伊木马（Trojan horse）等，都是在这一时期发明的。从事黑客活动的经历，成为后来许多计算机业巨子简历上不可或缺的一部分。例如，苹果公司创始人之一乔布斯就是一个典型的例子。

在60年代，计算机的使用还远未普及，还没有多少存储重要信息的数据库，也谈不上黑客对数据的非法拷贝等问题。到了80、90年代，计算机越来越重要，大型数据库也越来越多，同时，信息越来越集中在少数人的手里。这样一场新时期的“圈地运动”引起了黑客们的极大反感。黑客认为，信息应共享而不应被少数人所垄断，于是将注意力转移到涉及各种机密的信息数据库上。而这时，电脑化空间已私有化，成为个人拥有的财产，社会不能再对黑客行为放任不管，而必须采取行动，利用法律等手段来进行控制。黑客活动受到了空前的打击。

但是，政府和公司的管理者现在越来越多地要求黑客传授给他们有关电脑安全的知识。许多公司和政府机构已经邀请黑客为他们检验系统的安全性，甚至还请他们设计新的保安规程。在两名黑客连续发现网景公司设计的信用卡购物程序的缺陷并向商界发出公告之后，网景修正了缺陷并宣布举办名为“网景缺陷大奖赛”的竞赛，那些发现和找到该公司产品中安全漏洞的黑客可获1000美元奖金。无疑黑客正在对电脑防护技术的发展作出贡献。