建站
咨詢
售后
建站咨詢
新聞中心
我們知道，IDS作為企業(yè)防護系統(tǒng)也不是萬能的，黑客可以通過針對HTTP請求和緩沖區(qū)溢出繞過IDS防護。除了針對HTTP和緩沖區(qū)溢出的欺騙模式，針對木馬繞過IDS的方式也十分常見，但是可以繞過IDS防護的方法并不只有上述三種，還有一些不太常用的途徑也應該引起注意。
專注于為中小企業(yè)提供網(wǎng)站設(shè)計、成都網(wǎng)站建設(shè)服務,電腦端+手機端+微信端的三站合一,更高效的管理,為中小企業(yè)華安免費做網(wǎng)站提供優(yōu)質(zhì)的服務。我們立足成都，凝聚了一批互聯(lián)網(wǎng)行業(yè)人才，有力地推動了上千企業(yè)的穩(wěn)健成長，幫助中小企業(yè)通過網(wǎng)站建設(shè)實現(xiàn)規(guī)模擴充和轉(zhuǎn)變。
針對木馬以繞過IDS
IDS檢測木馬和后門程序一般是通過端口來判斷的，一般是通過后門程序的默認端口的連接來判斷的，如Netspy的默認端口是7306，BO2k的默認端口是54320（1），所以只要后門程序不使用默認值就可以逃過一些IDS的法眼。目前大部分后門程序的通信都已采用加密的方式，所以目前的大部分NIDS只能通過非正常端口建立連接來判斷，如果后門程序采用正常的端口進行通信，IDS就很有可能漏報！
緩慢掃描：
一般的IDS是通過在一定時間內(nèi)某個IP掃描過的端口數(shù)或IP數(shù)是否超過閥值來判斷是否掃描，所以如果掃描的間隔超過IDS中指定的時間，而且采用多個IP協(xié)同掃描的話，IDS就不能判斷攻擊者是否掃描。
地址欺騙：
利用代理或者偽造IP包進行攻擊，隱藏攻擊者的IP，使NIDS不能發(fā)現(xiàn)攻擊者所在。目前的NIDS只能根據(jù)異常包中的地址判斷攻擊來源。
利用LLKM處理網(wǎng)絡通信：
利用LLKM簡單、臨時改變TCP/IP協(xié)議棧的行為，如更改出現(xiàn)在網(wǎng)絡傳輸線路上的TCP標志位，躲避一些IDS的監(jiān)視。
復雜的TCP/IP包處理：
利用IDS不能正確模擬所有的TCP/IP棧的可能行為，對TCP/IP數(shù)據(jù)包進行特殊的處理以避過IDS。如將TCP/IP包分成很小的碎片，或者是打亂包的發(fā)送順序，或者是發(fā)送重疊的包，或者是包含有不正確校驗和、不正確序列號等，正常的TCP/IP軟件可以正確重組和處理包，而有相當多的NIDS不能正確處理這些包，所以會忽略基于這種特殊包的攻擊。
測試NIDS關(guān)于TCP/IP包的處理能力，可以使用fragrouter 或者 Cybercop Scanner。
分享名稱：黑客針對木馬及幾種罕見途徑繞過IDS
網(wǎng)站網(wǎng)址：http://www.dlmjj.cn/article/dpdjihe.html
