建站
咨詢
售后
建站咨詢
新聞中心
IDS作為企業(yè)安全防護(hù)的重量級(jí)產(chǎn)品，自然也成為了黑客試圖攻破的目標(biāo)。事實(shí)證明，繞過(guò)IDS防護(hù)進(jìn)行攻擊是完全可以實(shí)現(xiàn)的，接下來(lái)的文章里就將簡(jiǎn)述黑客攻擊時(shí)如何通過(guò)針對(duì)緩沖區(qū)溢出繞過(guò)IDS。
發(fā)展壯大離不開(kāi)廣大客戶長(zhǎng)期以來(lái)的信賴與支持，我們將始終秉承“誠(chéng)信為本、服務(wù)至上”的服務(wù)理念，堅(jiān)持“二合一”的優(yōu)良服務(wù)模式，真誠(chéng)服務(wù)每家企業(yè)，認(rèn)真做好每個(gè)細(xì)節(jié)，不斷完善自我，成就企業(yè)，實(shí)現(xiàn)共贏。行業(yè)涉及辦公窗簾等，在成都網(wǎng)站建設(shè)公司、成都全網(wǎng)營(yíng)銷推廣、WAP手機(jī)網(wǎng)站、VI設(shè)計(jì)、軟件開(kāi)發(fā)等項(xiàng)目上具有豐富的設(shè)計(jì)經(jīng)驗(yàn)。
一些NIDS檢測(cè)遠(yuǎn)程緩沖區(qū)的主要方式是通過(guò)判斷數(shù)據(jù)包的內(nèi)容是否包括/bin/sh或者是否含有大量的NOP。針對(duì)IDS的這種檢測(cè)辦法，有的溢出程序的NOP考慮到用eb 02 代替，但這種方式目前也已經(jīng)成為一些NIDS檢測(cè)是否為緩沖區(qū)溢出時(shí)匹配的標(biāo)志。
不過(guò)，k2先生又寫了一個(gè)加密shellcode的程序ADMmutate，利用了名為多形態(tài)代碼的技術(shù)，使攻擊者能夠潛在的改變代碼結(jié)構(gòu)來(lái)欺騙許多入侵檢測(cè)系統(tǒng)，但它不會(huì)破壞最初的攻擊性程序。溢出程序經(jīng)它一改，就可以搖身一變，而且由于采用了動(dòng)態(tài)改變的技術(shù)，每次偽裝的shellcode都不相同,本來(lái)NIDS依靠提取公開(kāi)的溢出程序的特征碼來(lái)檢測(cè)報(bào)警，特征碼變了后就可以達(dá)到繞過(guò)IDS的目的。
偽裝前的shellcode格式為： [NNNNNNNNNNNNN][SSSS][RRRR]
偽裝后的shellcode格式為： [nnnnnnn][dddd][ssss][rrrr]
其中：N表示NOP，S表示shellcode，R表示返回地址； n表示經(jīng)過(guò)編碼的NOP，d為解碼器，s表示經(jīng)過(guò)編碼的shellcode，r表示返回地址。
經(jīng)過(guò)ADMmutate偽裝的shellcode可以逃過(guò)使用模式匹配并且利用字符串匹配的大部分NIDS！不過(guò)如果NIDS還依靠長(zhǎng)度，可打印字符等等綜合判斷，則ADMmutate還是不能逃脫NIDS的監(jiān)視，但是依靠長(zhǎng)度、可打印字符等判斷未必準(zhǔn)確，以此判斷會(huì)造成IDS漏報(bào)或誤報(bào)。不過(guò)，對(duì)于使用模式匹配的NIDS來(lái)說(shuō)，目前仍只能通過(guò)長(zhǎng)度等簡(jiǎn)單的判斷！
新聞名稱：黑客針對(duì)緩沖區(qū)溢出繞過(guò)IDS的方式
瀏覽地址：http://m.5511xx.com/article/ccddsjo.html
