此工具党非彼工具党
昨晚刺的“道哥黑板报”发出了《中国黑客传说:游走在黑暗中的精灵》,非常精彩,如果里面人物感情再细腻些可以拍电影了,哈哈。今天各种讨论、猜测、抨击都来了,这个在很多人的预料之内,不过那种一上来就爆粗口的实在不敢恭维,列入黑名单。
还有人说这样的大数据黑客,大数据攻击早N年都在使用了,其实我是相信的,我们所知的“黑产”或“灰产”很多攻击模式都是这样,举几个例子:
曾经疯狂的网马产业链
知道创宇07年底就开始推出的全国第一个最全面的全国网马监控系统(蜜罐里是HOOK IE很多系统APIs的沙盒系统),08年是这个系统的成熟期,也是网马产业链持续高潮的时期,那时针对黑客攻击的刑法修正案(七)还没颁布,我们捕获了数万各种变形的网马源头以及大量的木马病毒样本,根据这些网马的特征,我们发现几个地下产业的团队活动,当时我们就被这些团队的行为折服与震撼。
这种折服与震撼放到之后的科普文章里写吧,因为本次的主题是“工具党”。
我们发现数万网站一次性被黑,然后植入网马(挂马),就是通过工具批量进行,比如当时类似挖掘鸡这样的傻瓜工具,基本就是挂机扫描网站主机的常见服务端口的弱口令、Google Hack常见漏洞、后台地址+暴力口令、SQL注入(尤其是SQL Server的)、IIS缺陷等,别小瞧,大规模模式下的攻击,往往会有惊喜(因为这时需要用统计学规律来解释,你知道吗?),尤其是针对一个0day(未修补的漏洞)。
挖掘鸡太挫了?当然,编写一个在Linux下高效工作,甚至集群工作的扫描器也很简单,对于有经验的黑客来说,就是几小时的事:)
为了看AV
大家记住一点:一旦一个东东上升到了统计学层面,就得担心了,举个真实例子,我们团队有个神一般的黑客人物,曾经(年轻人嘛),想得到某AV论坛的一些种子,要邀请码才能注册,手头一时没这个论坛应用的0day,怎么办?他灵机一动,想出了个令我佩服得要死的高招……
这个论坛有个功能是可以列出所有在线用户的(这个数量很可观),在Linux下,他把这些用户账号全部采集到,然后结合弱口令123456去批量登录(当时没验证码),登录失败的状态特征我们是知道的,一旦发现不是这个状态特征,那就是成功了。通过这个方式,搞下数十个账号,而且还有VIP的……
恩,他此时就是一个工具党。
俄罗斯黑客
我们最近又发现一起和这个国家的黑客团队有关的一起攻击案例(黑产),这起案例放在下次科普介绍,这次回顾下2012/3/20我们发布的一篇文章《Web应用漏洞的大规模攻击案例分析》,由我们安全研究员小G撰写,语言生动诙谐、精彩之极!忍不住要看等看完本文再点击这:
http://blog.knownsec.com/2012/03/web%E5%BA%94%E7%94%A8%E6%BC%8F%E6%B4%9E%E7%9A%84%E5%A4%A7%E8%A7%84%E6%A8%A1%E6%94%BB%E5%87%BB%E6%A1%88%E4%BE%8B%E5%88%86%E6%9E%90/
这篇文章当时就跟踪出了背后的主谋:俄罗斯黑客。他们利用WordPress插件TimThumb的漏洞批量拿到目标网站的后门权限(Webshell),3500站点,批量挂了网马,感染了全球150000用户。手段之阴险毒辣,行为之狡诈令我们团队咬牙。
要快速利用曝光了的0day(我们称之nday)进行大规模攻击,就必须成为工具党,大规模、挂马、数据采集、数据分析、精准投放……我们可以肯定,很多很多安全公司的团队和他们比起来简直弱爆了!
全球弱口令设备
膜拜一下,虽然我们团队也做了些尝试,可惜仅仅搞了几个国家的,这样全球的,而且还开放出来,包括paper、库、统计,出自一人之手,这才是真的黑客。
恩,他也是工具党。自己膜拜去吧,地址:
http://internetcensus2012.bitbucket.org/paper.html
看完如上几个案例后,我所说的工具党是褒义词,很多人鄙视用工具的,经常说:“啥技术含量都没,负分,滚粗!”告诉你吧,一旦一个玩意上升到统计学层面(或者说大数据层面),这个威力就不小了,能玩好统计学,能玩好群体,是一种巨大的本领,别整天意淫自己,这个圈子背后有一批真正的牛人,如幽灵般地行走。
你相信我说的吗?
你可能喜欢
跪拜工具党
题目改为tools-kids好玩~~
http://blog.knownsec.com/2012/03/web%E5%BA%94%E7%94%A8%E6%BC%8F%E6%B4%9E%E7%9A%84%E5%A4%A7%E8%A7%84%E6%A8%A1%E6%94%BB%E5%87%BB%E6%A1%88%E4%BE%8B%E5%88%86%E6%9E%90/
学习了