本文目录一览：
怎么用反弹技术实施ddos攻击
DDoS攻击通过大量合法的请求占用大量网络资源，以达到瘫痪网络的目的。 这种攻击方式可分为以下几种：
通过使网络过载来干扰甚至阻断正常的网络通讯；
通过向服务器提交大量请求，使服务器超负荷；
阻断某一用户访问服务器；
阻断某服务与特定系统或个人的通讯。
IP Spoofing
IP欺骗攻击是一种黑客通过向服务端发送虚假的包以欺骗服务器的做法。具体说，就是将包中的源IP地址设置为不存在或不合法的值。服务器一旦接受到该包便会返回接受请求包，但实际上这个包永远返回不到来源处的计算机。这种做法使服务器必需开启自己的监听端口不断等待，也就浪费了系统各方面的资源。
LAND attack
这种攻击方式与SYN floods类似，不过在LAND attack攻击包中的原地址和目标地址都是攻击对象的IP。这种攻击会导致被攻击的机器死循环，最终耗尽资源而死机。
ICMP floods
ICMPfloods是通过向未良好设置的路由器发送广播信息占用系统资源的做法。
Application
与前面叙说的攻击方式不同，Application level floods主要是针对应用软件层的，也就是高于OSI的。它同样是以大量消耗系统资源为目的，通过向IIS这样的网络服务程序提出无节制的资源申请来迫害正常的网络服务。
反弹端口型木马的基本简介
1 一般木马的工作过程
木马程序有两部分组成，一部分是服务器(Server)端程序，服务端运行后，会在本机打开一个特定的网络端口监听客户端的连接。另一部分是客户(Client)端程序，即控制在攻击者手中的程序，攻击者通过它获取远程计算机的数据并通过它控制远程计算机。攻击者用客户端去连接服务端计算机的特定端口，进行登录，发出控制命令等，进而取得对计算机的控制权限，可以任意查看或删改服务端文件，操作服务端的注册表 ，获取服务端的系统信息 ，窃取口令等 ，就如同访问他自己的计算机一样方便。
其过程可用 VB 实现如下：(Horse_Server 和Horse_Client 均为 Winsock控件) ：
服务端：
Horse_Server. LocalPort = 31339 (打开一个特定的网络端口)
Horse_Server.Listen(监听客户端的连接)
客户端
Horse_Client . RemoteHost = RemotelP (设远端地址为服务器端IP地址)
Horse_Client . RemotePort = 31339(设远程端口为服务端程序起动的特定端口)
Horsec_Client . Connect (连接服务端计算机)
一旦服务端接到客户端的连接请求 ConnectionRequest ，就接受连接。
Private Sub Horse_Server_ConnectionRequest (ByVal requestlD As Long)
Horse_Server.Accept requestlD
End Sub
客户机端用 Horse_Client . SendData 发送命令 ，而服务器在 Horse_Server_DataArrive事件中接受并执行命令(如：修改注册表、删除文件等) 。
如果客户断开连接 ，则服务端连接并重新监听端口：
Private Sub Horse_Server_Close ()
Horse_Server. Close (关闭连接)
Horse_Server.Listen(再次监听)
End Sub[1 ]
2 反弹端口型木马的工作原理
一般木马服务端运行后，会用邮件、ICQ 等方式发出信息通知入侵者，同时在本机打开一个网络端口监听客户端的连接(时刻等待着客户端的连接) 。收到信息后，入侵者再运行客户端程序向服务器的这一端口提出连接请求(Connect Request) ，服务器上的守护进程就会自动运行，来应答客户机的请求。
目前，由于大部分防火墙对于连入的连接往往会进行非常严格的过滤，能对非法端口的IP包进行有效的过滤，非法连接被拦在墙外，客户端主动连接的木马，现已很难穿过防火墙。
与一般的软件相反，反弹端口型木马是把客户端的信息存于有固定IP的第三方FTP服务器上，服务端从 FTP 服务器上取得信息后计算出客户端的IP和端口，然后主动连接客户端。另外，网络神偷的服务端与客户端在进行通信 ，是用合法端口，把数据包含在像HTTP或FTP的报文中，这就是黑客们所谓的“隧道”技术。其过程如下：
服务端：
Horse_Server. RemoteHost = RemotelP(设远端地址为从指定FTP服务器取得的客户端IP地址)
Horse_Server. RemotePort = RemotePort (设远程端口为客户端程序起动的特定端口，如：80、21等)
Horse_Server. Connect (连接客户端计算机)
客户端：
Horse_Client . LocalPort = LocalPort (打开一个特定的网络端口，如：80、21等)一旦客户端接到服务端的连接请求 ConnectionRequest ，就接受连接。
Private Sub Horse_Client_ConnectionRequest(ByVal requestlD As Long)
Horse_Client .Accept requestlD
End Sub
Horse_Client .Listen(监听客户端的连接)客户机端用Horse_Client . SendData 发送命令，而服务器在 Horse_Server DataArrive事件中接受并执行命令。如果客户断开连接，则服务器端关闭连接：
Private Sub Horse_Server_Close ()
Horse_Server. Close (关闭连接)
End Sub
之后每隔一段时间服务端就会向客户发一个连接请求：Horse_Server. Connect (连接客户端计算机)
目前，大部分防火墙对于连入的连接往往会进行非常严格的过滤，但对于连出的连接却疏于防范。像这种“反弹端口”原理的木马，又使用“隧道”技术，客户端的监听端口开在防火墙信任的端口上，把所有要传送的数据全部封装到合法的报文里进行传送，防火墙就不会拦截。如80(提供HTTP服务的端口)或21(提供FTP服务的端口)，它会认为内部用户在浏览网页或进行文件传输，则木马穿过防火墙。其实即使用户使用端口扫描软件检查自己的端口，对类似TCP local address ：1026 foreign address ：80 ESTABLISHED的情况也未必注意。这样，反弹端口型木马不但可以穿过防火墙，而且可以通过HTTP、SOCKS4/ 5 代理，甚至还能访问局域网内部的电脑。像用NAT透明代理和HTTP的 GET型代理等的局域网，还有拨号上网、ISDN、ADSL 等的主机，都有可能。
3 查杀方法
对是不是中了反弹端口型木马我们可以做如下检查：
(1)关掉所有的网络连接程序(如：IE浏览器、FTP服务等) ，转入命令行状态用netstat -a命令，netstat命令的功能是显示网络连接、路由表和网络接口信息，可以让用户得知目前都有哪些网络连接正在运行。
(2)用网络监视软件，如：sniffer、IParmor 等查一下自己怀疑的端口是否被侦听。如在(1)中发现类似TCP local address ：1026 foreign address ：HTTP ESTABLISHED(或者是类似TCP local address ：1045 foreign address：FTPESTABLISHED)的情况或在(2)中发现怀疑的端口被侦听，有可能中了此类木马。
目前发现的反弹端口型木马有网络神偷和灰鸽子(辐射版)两种。如果中了反弹端口型的木马，对于网络神偷，我们可以用下面的方法清除：
(1)查看注册表启动项HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中的可疑键值(键名是在生成服务端时由用户设置的)并删除(做这一步必须对Windows注册表非常熟悉)，重启后，再删除系统目录(C：\Windows\System)中的服务端程序(文件名也是由用户设置的) 。
(2)在中了木马的机器上运行客户端程序，可以再生成并运行新的配置正确的服务端，就会把原来的服务端冲掉。重新运行客户间 ，在客户端的“服务端在线列表”找到自己并连接上，再用菜单“网络” — “远程卸载” ，就可以彻底清除。
对于灰鸽子，由于此软件原理与其他同类软件不同，它的服务端只有生成它的客户端才能访问，其他人是不可能访问的，所以不能用自动卸载的方法清除它 ，只能手工清除：先删除注册表启动项
(HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run)
(HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices)
(HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run)
中的可疑键值(键名是在生成服务端时由用户设置的)。重启后，再删除系统目录(C:\Windows\System)中的服务端程序(文件名也是由用户设置的)。最后检查一下是不是木马程序与EXE关联，如果与EXE关联则修改注册表：(HKEY_CLASSES_ROOT\exefile\shell\open\command\)默认值为：“%1”% 3。否则删除服务端程序后什么程序也不能运行了。
由于以前的木马都是客户端主动连接，所以目前大部分防火墙对于连入的连接往往会进行非常严格的过滤，对付木马我们只要在防火墙上设置为只能连出不能连进，就可一劳永逸了。然而反弹端口型木马的出现对传统的防火墙提出了新的要求：防火墙不但要防外还要防内，即应用程序访问网络规则，过滤那些存在于用户计算机内部的各种不法程序对网络的应用，从而可以有效的防御像“反弹式木马”那样的骗取系统合法认证的非法程序。当用户计算机内部的应用程序访问网络的时候，必须经过防火墙的内墙的审核。但这也带来一些问题：我们在访问网络的时候必须手工确认哪些程序合法，这个工作可能非常烦琐。再者对一个电脑入门者，决策哪些程序合法也是一个非常困难的问题。防，随着攻的发展始终存在不完善之处，但是却始终遵循一个原则：魔高一尺，道高一丈。
黑客都有那些术语？？尽量说详细点？谢谢了
黑客术语一点通
关键词： 黑客 术语 一点通
“反弹端口”原理：
服务端（被控制端）主动连接客户端（控制端），为了隐蔽起见，监听端口一般开在80（提供HTTP服务的端口），这样，即使用户使用端口扫描软件检查自己的端口，也难以发现。而控制端发给服务端的数据是一个第三方的空间来实现的，一般用一个主页空间，控制端通过FTP写主页空间上的一个文件，而服务端定期?*** TTP协议读取这个文件的内容，当发现客户端让自己开始连接时，就主动连接。这样，控制端就可以穿过防火墙，甚至还能访问局域网内部的电脑。
软件加壳：
“壳”是一段专门负责保护软件不被非法修改或反编译的程序。它们一般都是先于程序运行，拿到控制权，然后完成它们保护软件的任务。经过加壳的软件在跟踪时已看到其真实的十六进制代码，因此可以起到保护软件的目的。
软件脱壳：
顾名思义，就是利用相应的工具，把在软件“外面”起保护作用的“壳”程序去除，还文件本来面目，这样再修改文件内容就容易多了。
蠕虫病毒：
它利用了WINDOWS系统的开放性特点，特别是COM到COM+的组件编程思路，一个脚本程序能调用功能更大的组件来完成自己的功能。以VB脚本病毒为例，它们都是把VBS脚本文件加在附件中，使用*.HTM，VBS等欺骗性的文件名。蠕虫病毒的主要特性有：自我复制能力、很强的传播性、潜伏性、特定的触发性、很大的破坏性。
缓冲区溢出：
功击者向一个地址区输入这个区间存储不下的大量字符。在某些性况下，这些多余的字符可以作为“执行代码”来运行，因此足以使功击者不受安全措施限制地获得计算机的控制权。
CMD：
是一个所谓命令行控制台。有两条进入该程序的通道：第一、鼠标点击“开始—运行”，在出现的编辑框中键入“CMD”，然后点击“确定”；第二、在启动Windows2000的时候，按F8进入启动选择菜单，移动光条或键入数字至安全模式的命令行状态。出现的窗口是一个在win9x系统常见的那种MSDOS方式的界面。尽管微软把这个工具当做命令解释器一个新的实例，但使用方法去和原来的DOS没有区别。
嗅控器：
（Snifffer）就是能够捕获网络报文的设备。嗅控器的正当用处在于分析网络的流量，以便找出所关心的网络中潜在的问题。
密罐：（Honeypot）
是一个包含漏洞的系统，它摸拟一个或多个易受功击的主机，给黑客提供一个容易功击的目标。由于密罐没有其它任务需要完成，因此所有连接的尝试都应被视为是可疑的。密罐的另一个用途是拖延功击者对其真正目标的功击，让功击者在密罐上浪费时间。与此同时，最初的功击目标受到了保护，真正有价值的内容光焕发不将受侵犯。
路由器（Routers）：
是用来连接不同子网的中枢，它们工作于osi 7层模型的传输层和网络层。路由器的基本功能就是将网络信息包传输到它们的目的地。一些路由器还有访问控制列表（ACLs），允许将不想要的信息包过滤出去。许多路由器都可以将它们的日志信息注入到IDS系统中，提供有关被阻挡的访问网络企图的宝贵信息。
Unicode漏洞：
Unicode是一个16位的字符集，他可以移植到所有主要的计算机平台并且覆盖几乎整个世界。微软IIS4和5都存在利用扩展Unicode字符取代“/”“\”而能利用“../”目录便利的漏洞。未经授权的用户可能利用IUSR_machinename帐号的上下文空间访问任何已知的文件。该帐号在默认情况下属于Everyone和Users组的成员，因此任何与Web根目录在同一个逻辑驱动器上的能被这些用户组访问的文件都能被删除、修改或执行，如同一个用户成功的登陆所能完成的功能一样！
CGI漏洞：
CGI是Common Gateway Inerface（公用网关接口）的简称，并不特指一种语言。Web服务器的安全问题主要包括：1）Web服务器软件编制中的BUG；2）服务器配置的错误。可能导致CGI源代码泄漏，物理路径信息泄漏，系统敏感信息泄漏或远程执行任意命令。CGI语言漏洞分为以下几类：配置错误、边界条件错误、访问验证错误、来源验证错误、输入验证错误、策略错误、使用错误等等。CGI漏洞大多分为一下几种类型：暴露不该暴露的信息、执行不该执行的命令、溢出。
SSL漏洞：
SSL是Secure Socket Layer的缩写。是网上传输信用卡和帐户密码等信息时广泛采用的行业加密标准。SSL常见的安全漏洞有三种：1、攻击证书，由于IIS服务器提供“客户端证书映射”功能，用于将客户端提交证书中的名字映射到NT系统的用户帐号，再这种情况下我们能够获得该主机的系统管理员权限！如果黑客不能利用非法的证书突破服务器，还可尝试暴力攻击。2、窃取证书，黑客还可能窃取有效的证书及相关的思友密匙。3、安全盲点。没有网络检测系统再加上没有安全漏洞审查，使得最重要的服务器反而成为受到最少防护的服务器。
IPC$漏洞：
IPC$是共享“命名管道”的资源，它对于程序间的通讯十分重要。再远程管理计算机和查看计算机的共享资源时使用。利用IPC我们可以与目标主机建立一个空的连接，而利用这个空连接，我们还可以得到目标主机上的用户列表。但是，一些别有用心的人会利用IPC$，查找我们的用户列表，并使用一些字典工具，对我们的主机进行入侵攻击。
IIS漏洞：
IIS是Internet Information Service的缩写。是微软公司的Web服务器。IIS支持多种需要服务器端处理的文件类型，当一个WEB用户从客户端请求此类文件时，相应的DLL文件将自动对其进行处理。然而再ISM.DLL这个负责处理HTR文件的文件中被发现存在严重的安全漏洞。该漏洞包含了一个再ISM.DLL重未经验证的缓冲，他可能对WEB服务器的安全运作造成两方面的威胁。首先，是来自服务拒绝攻击的威胁，另一个威胁通过使用一个精心构建过的文件请求将可以利用标准缓存溢出手段导致2进制代码再服务器端运行，再这种情况下，什么都可能发生！
NTLM验证：
NTLM(NT LAN Mangager)是微软公司开发的一种身份验证机制，从NT4开始就以之使用，主要用于本地的帐号管理。
IPC管道：
为了更好的控制和处理不同进程之间的通信和数据交换，系统会通过一个特殊的连接管道来调度整个进程。
3389漏洞：
由于微软的原因，使得安装了微软服务终端和全拼的Win2K服务器存在着远程登陆并能获得超级用户全县的严重漏洞。
139漏洞：
通过139端口入侵是网络攻击中常见的一种攻击手段，一般情况下139端口开启是由于NetBIOS网络协议的使用。NetBIOS就是网络基本输入输出系统，系统可以利用WINS服务、广播及Lmhost文件等多种模式将NetBIOS名解析为相应的IP地址，从而实现信息通讯。再局域网内部使用NetBIOS协议可以非常方便的实现消息通信，但是如果再Internet上，NetBIOS就相当于一个后门程序，很多攻击这都是通过NetBIOS漏洞发起攻击的！
shell：
shell是系统与用户的交换方式界面。简单来说，就是系统与用户“沟通”的环境。我们平时常用的DOS，就是一个shell。（Windows2000是cmd.exe）
root：
Unix里面最高权限的用户～即超级管理员
admin：
Windows NT里面最高权限的用户～
rootshell：
通过溢出程序，再主机溢出一个具有root权限的shell。（顺便说一句，国内一知名黑客也叫这个名字）
IDS：
入侵检测系统，用于在黑客发起进攻或是发起进攻之前检测到攻击，并加以拦截。IDS是不同于防火墙的，防火墙只能屏蔽入侵，而IDS却可以在入侵发生以前，通过一些信息来检测到即将发生的攻击或是入侵以作出反应。
UDP：
一种传输层协议，在网络上不可靠的传输数据包，被DNS用于查询和应答，许多流音频和视频应用也使用它。
API：
一套定义的一致性方法，软件开发人员能用他来编写与其他程序捷克欧的程序。API用于扩展程序的功能和使用预编写的组创建新的程序。
FTP：
文件传输协议。一类应用以及该应用使用的协议的名字，用于将文件从一台计算机移动到另一台。
HTTP：
超文本传输协议。用于在万维网上传输数据，包括超文本标识语言文档、图像、可执行内容等等。TCP承载HTTP，一般服务器监听端口80。
HTTPS：
安全超文本传输协议。通过在安全套接字层（SSL）协议上运行超文本传输协议来将安全添加到万维网中。HTTPS能用于将WEB服务器认证到客户，将客户认证到WEB服务器和加密在两个系统之间传输的所有数据，HTTPS服务器一般监听TCP端口443。
IRC：
Internet中继交谈，一系列程序和一种协议，用于实现在Internet上的交谈会话。IRC特别受计算机地下组织的欢迎，北移些攻击者用来讨论他们的工具、技术和战利品。
MAC Address：
网络接口的数据链路层（第二层）地址。对于以太网卡，MAC地址维48bit长。
LAN：
局域网！一种网络，连接近距离的计算机，一般位于单个房间、建筑物或小的地理区域里。LAN上的所有系统位于一个网络跳之间。
ping：
一类基于Internet控制消息协议的数据包，用于判断网络上的某台计算机是否可以到达。
Proxy：
代理。一类程序或系统，接收来自客户机算计的流量，并代表客户与服务器交互。代理能用于过滤应用级别的制定类型的流量或缓存信息以提高性能。许多防火墙依赖代理进行过滤。
telnet：
用于系统的远程命令行访问的程序和协议。telnet在TCP上传输，服务器一般在TCP端口23监听。
TCP：
传输控制协议。一种传输层协议，被许多要求数据的可靠传输的应用所使用。HTTP、SMTP、FTP和telnet都使用TCP进行传输。
TCP/IP:
整个网际协议族的集合名，包括TCP、UDP、IP和ICMP。
木马
全称为特洛伊木马(Trojan Horse)，是根据希腊神话传说中一次战争而得名。麦尼劳斯派兵讨伐特洛伊国王，
他们假装打败，然后留下一个大木马，而木马里却藏着最强悍的勇士！最后等晚上时间一到，木马里的勇士就冲出来把敌人打败了。
这就是后来的”木马计”，而黑客中的木马有点后门的意思，就是把预谋的功能隐藏在公开的功能里，掩饰真正的企图。
肉鸡
已经被攻击了，对其具有控制权的主机。
跳板
一个具有辅助作用的机器，利用这个主机作为一个间接工具，来入侵其他主机，一般和肉鸡连用。
Shell
Shell就是系统于用户的交换式界面。简单来说，就是系统与用户的一个沟通环境，我们平时用到的DOS就是一个Shell(Win2K或cmd.exe)。
Root
Unix里最高权限的用户，也就是超级管理员
黑客攻击的三个阶段是什么？黑客在这三个阶段分别完成什么工作？
1. 锁定目标
攻击的第一步就是要确定目标的位置，在互联网上，就是要知道这台主机的域名或者IP地址, 知道了要攻击目标的位置还不够，还需要了解系统类型、操作系统、所提供的服务等全面的资料，如何获取相关信息，下面我们将详细介绍。
2. 信息收集
如何才能了解到目标的系统类型、操作系统、提供的服务等全面的资料呢?黑客一般会利用下列的公开协议或工具来收集目标的相关信息。
(1)SNMP 协议：用来查阅网络系统路由器的路由表，从而了解目标主机所在网络的拓扑结构及其内部细节;
(2)TraceRoute程序：用该程序获得到达目标主机所要经过的网络数和路由器数;
(3)Whois协议：该协议的服务信息能提供所有有关的DNS域和相关的管理参数;
(4)DNS服务器：该服务器提供了系统中可以访问的主机的IP地址表和它们所对应的主机名;
(5)Finger协议：用来获取一个指定主机上的所有用户的详细信息(如注册名、电话号码、最后注册时间以及他们有没有读邮件等等);
(6)ping：可以用来确定一个指定的主机的位置;
(7)自动Wardialing软件：可以向目标站点一次连续拨出大批电话号码，直到遇到某一正确的号码使其MODEM响应为止。
3. 系统分析
当一个黑客锁定目标之后，黑客就开始扫描分析系统的安全弱点了。黑客一般可能使用下列方式来自动扫描驻留在网络上的主机。
(1)自编入侵程序
对于某些产品或者系统，已经发现了一些安全漏洞，该产品或系统的厂商或组织会提供一些“补丁”程序来进行弥补。但是有些系统常常没有及时打补丁，当黑客发现这些“补丁”程序的接口后就会自己编写能够从接口入侵的程序，通过这个接口进入目标系统，这时系统对于黑客来讲就变得一览无余了。
(2)利用公开的工具
像 Internet 的电子安全扫描程序 ISS(Intemet Security Scanner)、审计网络用的安全分析工具 SATAN ( Securi Ana1ysis Tool for Auditing Network)等。这些工具可以对整个网络或子网进行扫描，寻找安全漏洞。这些工具都有两面性，就看是什么人在使用它们了。系统管理员可以使用它们来帮助发现其管理的网络系统内部隐藏的安全漏洞，从而确定系统中哪些主机需要用“补丁”程序去堵塞漏洞，从而提高网络的安全性能。而如果被黑客所利用，则可能通过它们来收集目标系统的信息，发现漏洞后进行入侵并可能获取目标系统的非法访问权。
4. 发动攻击
完成了对目标的扫描和分析，找到系统的安全弱点或漏洞后，那就是万事具备，只欠攻击了，接下来是黑客们要做的关键步骤——发动攻击。
黑客一旦获得了对你的系统的访问权后，可能有下述多种选择：
(1)试图毁掉攻击入侵的痕迹，并在受到损害的系统上建立另外的新的安全漏洞或后门，以便在先前的攻击点被发现之后，继续访问这个系统;
(2)在你的系统中安装探测软件，包括木马等，用以掌握你的一切活动，以收集他比较感兴趣的东西(不要以为人人都想偷窥你的信件，人家更感兴趣的是你的电子银行帐号和密码之类);
(3)如果你是在一个局域网中，黑客就可能会利用你的电脑作为对整个网络展开攻击的大本营，这时你不仅是受害者，而且还会成为帮凶和替罪羊。
黑客是一个中文词语，皆源自英文hacker，随着灰鸽子的出现，灰鸽子成为了很多假借黑客名义控制他人电脑的黑客技术，于是出现了“骇客”与"黑客"分家。2012年电影频道节目中心出品的电影《骇客（Hacker) 》也已经开始使用骇客一词，显示出中文使用习惯的趋同。实际上，黑客（或骇客）与英文原文Hacker、Cracker等含义不能够达到完全对译，这是中英文语言词汇各自发展中形成的差异。Hacker一词，最初曾指热心于计算机技术、水平高超的电脑专家，尤其是程序设计人员，逐渐区分为白帽、灰帽、黑帽等，其中黑帽（black hat）实际就是cracker。在媒体报道中，黑客一词常指那些软件骇客（software cracker），而与黑客（黑帽子）相对的则是白帽子。