RSS Feed
更好更安全的互联网

有一种黑客叫做工具党

2013-03-27

昨晚刺的“道哥黑板报”发出了《中国黑客传说:游走在黑暗中的精灵》,非常精彩,如果里面人物感情再细腻些可以拍电影了,哈哈。今天各种讨论、猜测、抨击都来了,这个在很多人的预料之内,不过那种一上来就爆粗口的实在不敢恭维,列入黑名单。

还有人说这样的大数据黑客,大数据攻击早N年都在使用了,其实我是相信的,我们所知的“黑产”或“灰产”很多攻击模式都是这样,举几个例子:

曾经疯狂的网马产业链

知道创宇07年底就开始推出的全国第一个最全面的全国网马监控系统(蜜罐里是HOOK IE很多系统APIs的沙盒系统),08年是这个系统的成熟期,也是网马产业链持续高潮的时期,那时针对黑客攻击的刑法修正案(七)还没颁布,我们捕获了数万各种变形的网马源头以及大量的木马病毒样本,根据这些网马的特征,我们发现几个地下产业的团队活动,当时我们就被这些团队的行为折服与震撼。

这种折服与震撼放到之后的科普文章里写吧,因为本次的主题是“工具党”。

我们发现数万网站一次性被黑,然后植入网马(挂马),就是通过工具批量进行,比如当时类似挖掘鸡这样的傻瓜工具,基本就是挂机扫描网站主机的常见服务端口的弱口令、Google Hack常见漏洞、后台地址+暴力口令、SQL注入(尤其是SQL Server的)、IIS缺陷等,别小瞧,大规模模式下的攻击,往往会有惊喜(因为这时需要用统计学规律来解释,你知道吗?),尤其是针对一个0day(未修补的漏洞)。

挖掘鸡太挫了?当然,编写一个在Linux下高效工作,甚至集群工作的扫描器也很简单,对于有经验的黑客来说,就是几小时的事:)

为了看AV

大家记住一点:一旦一个东东上升到了统计学层面,就得担心了,举个真实例子,我们团队有个神一般的黑客人物,曾经(年轻人嘛),想得到某AV论坛的一些种子,要邀请码才能注册,手头一时没这个论坛应用的0day,怎么办?他灵机一动,想出了个令我佩服得要死的高招……

这个论坛有个功能是可以列出所有在线用户的(这个数量很可观),在Linux下,他把这些用户账号全部采集到,然后结合弱口令123456去批量登录(当时没验证码),登录失败的状态特征我们是知道的,一旦发现不是这个状态特征,那就是成功了。通过这个方式,搞下数十个账号,而且还有VIP的……

恩,他此时就是一个工具党。

俄罗斯黑客

我们最近又发现一起和这个国家的黑客团队有关的一起攻击案例(黑产),这起案例放在下次科普介绍,这次回顾下2012/3/20我们发布的一篇文章《Web应用漏洞的大规模攻击案例分析》,由我们安全研究员小G撰写,语言生动诙谐、精彩之极!忍不住要看等看完本文再点击这:

http://blog.knownsec.com/2012/03/web%E5%BA%94%E7%94%A8%E6%BC%8F%E6%B4%9E%E7%9A%84%E5%A4%A7%E8%A7%84%E6%A8%A1%E6%94%BB%E5%87%BB%E6%A1%88%E4%BE%8B%E5%88%86%E6%9E%90/

这篇文章当时就跟踪出了背后的主谋:俄罗斯黑客。他们利用WordPress插件TimThumb的漏洞批量拿到目标网站的后门权限(Webshell),3500站点,批量挂了网马,感染了全球150000用户。手段之阴险毒辣,行为之狡诈令我们团队咬牙。

要快速利用曝光了的0day(我们称之nday)进行大规模攻击,就必须成为工具党,大规模、挂马、数据采集、数据分析、精准投放……我们可以肯定,很多很多安全公司的团队和他们比起来简直弱爆了!

全球弱口令设备

膜拜一下,虽然我们团队也做了些尝试,可惜仅仅搞了几个国家的,这样全球的,而且还开放出来,包括paper、库、统计,出自一人之手,这才是真的黑客。

恩,他也是工具党。自己膜拜去吧,地址:

http://internetcensus2012.bitbucket.org/paper.html

看完如上几个案例后,我所说的工具党是褒义词,很多人鄙视用工具的,经常说:“啥技术含量都没,负分,滚粗!”告诉你吧,一旦一个玩意上升到统计学层面(或者说大数据层面),这个威力就不小了,能玩好统计学,能玩好群体,是一种巨大的本领,别整天意淫自己,这个圈子背后有一批真正的牛人,如幽灵般地行走。

你相信我说的吗?

 

----------分割线----------

 

我们会持续性的进行安全科普,大家有什么问题可以在微信里给我们留言,我们会认真对待每份留言,并在下次发文时进行必要的解答。如果大家有什么安全八卦也欢迎投稿给我们,我们的微信:网站安全中心/wangzhan_anquan。

科普改变世界,我们一起努力让这个互联网更好更安全吧!

本文由知道创宇安全研究团队-余弦撰写。

请关注我们的官方微信:网站安全中心

作者:一鸣 燕 | Categories:技术分享 | Tags:

7条评论

  1. 帅哥小布说道:

    如果是我 那就把这个论坛的种子 百度 谷歌一下 这个网站没有不代表别的网站没分享 你懂的

  2. nnigou说道:

    我会说我不是黑客我也用同样办法找种子么?甚至直接找那些看着就比较简单的账号,这种账号小部分都是弱密码的,123456,111111这两个就够了.

  3. MatrixKing说道:

    能不能别这样炒作

发表评论