黑客入侵网站会留下哪些痕迹？

　　1、隐藏不完美，有痕迹可循2、没后台3、得罪了不该得罪的势力

　　尽管为服务器设计软件的软件工程师们想方设法提高系统的安全性，然而由于系统管理员的水平参差不齐或安全意识底下，往往给黑客提供了入侵的机会。

　　其实每一个黑客都有自己独到的 *** 。黑客协会创始人花无涯对于入侵网站服务器的资料收集了很多，但是因为实际情况的不同，往往造成许多 *** 的失效；由此可见，每一个网站的情况都不同，需要入侵者区分对待。假设深圳的线路比北京的线路要好的多，从而给了词典穷举很大的方便，深圳用户就可以依靠这个优势在线攻击口令，作为北京的用户就需要优先考虑其它办法了。针对这么多的入侵手段，笔者参考H ackalot先生这位黑客界名人的一篇文章给大家介绍一下入侵网站的基本步骤。

　　

　　分析一部分的主页被黑的事例可以发现使用入侵者最热衷于入侵Web服务器和FTP服务器

　　先说1、目前稍微有一定技术实力的黑客，都知道销毁活隐藏入侵和嗅探的痕迹，来掩盖自己，但入侵痕迹容易隐藏，利益链却很难隐藏，很少有入侵行为是不带利益诉求的，所以一般通过追踪获益途径往往能找到目标人物。（挂马，盗号，攻击竞争对手是最常见的几种）

　　2、这个不能多说，最近频繁被知乎管理员锁帖，闭门分享会讲过这方面案例，公开的就不讲了。

　　3、其实目前中国在抓捕 *** 黑客方面还是抓了不少人的，但是实际上曝光的不多，简单说就是一个词，家丑不可外扬，巨头们抓黑客谁也不愿意声张出去，所以给人的假象是黑客是抓不到的，实则不然。但是小公司，创业团队往往会有无力感。

　　所以，这是第三个要点，黑客被抓，往往是得罪了不该得罪的势力，千万不要小看中国的网警，他们认真起来，破案是很快的，六省断网那例子多明显。当然想学习高超的黑客技术，推荐技术书籍《 *** 黑白》某宝有售。

　　判断黑客身份和行为

　　第1题：某公司信息系统存在异常，于是请求你立即对数据进行分析，从中发现有黑客尝试对主机进行扫描，请从数据包1中找到黑客的IP

　　第2题：通过对攻击ip进行过滤，请问攻击的扫描方式是什么？（如：目录扫描）

　　第3题：获取到那些开放的端口，请从1-60000依次列出（如：77/99/188/4999/18888）

　　第4题：并获取到了服务器部分的信息，请问服务器的操作系统是什么？（如：windows7)

　　首先题目1告诉有黑客尝试对主机进行扫描，那么我们知道主机扫描一般就是发送TCP包，看目标主机是否回应，来判断目标主机或目标端口是否开启

　　TCP三次握手的过程就是

　　源==》SYN==》目标

　　源《==SYN ACK《==目标

　　源==》ACK==》目标

　　当这三个过程完成后源和目标就建立了连接。

　　端口存活判断方式

　　那么扫描时如何判断目标是否开启呢？就看哪方先发出RST包

　　在TCP协议中RST表示复位，用来异常的关闭连接，在TCP的设计中它是不可或缺的。发送RST包关闭连接时，不必等缓冲区的包都发出去，直接就丢弃缓存区的包发送RST包。而接收端收到RST包后，也不必发送ACK包来确认。

　　比如在主机241向主机114发送一个SYN请求，表示想要连接主机114的40000端口，但是主机114上根本没有打开40000这个端口，于是就向主机241发送了一个RST。

　　源==》SYN==》目标

　　源《==RST ACK《==目标

　　连接请求中断，判断目标未开启

　　而当主机114的40000端口开启时，就会向主机241返回SYN ACK包。但是主机241并不是真的想和40000端口建立连接，这时主机241就会主动发出一个RST包来中断连接，并判断目标端口开启。

　　源==》SYN==》目标

　　源《==SYN ACK《==目标

　　源==》RST==》目标

　　连接请求中断，判断目标开启

　　简而言之，当目标机发送RST时，目标未开启。当源发送RST时，则可判断目标开启

　　数据分析

　　查看tcp包发现192.168.1.136这个地址的47665端口向192.168.1.107的各个端口发送了大量的tcp连接请求，那么我就可以判断这192.168.1.136在进行端口扫描了

　　

　　请点击此处输入图片描述

　　然后使用语句

　　tcp.connection.rst and ip.src=

　　即可查看192.168.1.136发出的RST包

　　

　　请点击此处输入图片描述

　　这里列出的被发送RST包的端口就是开启的端口了，在info里可以看到有135/139/445/3306/8001/8002/8008/8899/49152/49153/49154/49155/49156/49157

　　在192.168.1.136访问192.168.1.107的网站时返回的http包中发现了apache服务器是Win32位的，可以判断这个服务器是WinServer2K3或XP的，是相当老的服务器了。

　　

　　请点击此处输入图片描述

　　所以1-4题的结果就是

　　第1题：某公司信息系统存在异常，于是请求你立即对数据进行分析，从中发现有黑客尝试对主机进行扫描，请从数据包1中找到黑客的IP

　　192.168.1.136

　　第2题：通过对攻击ip进行过滤，请问攻击的扫描方式是什么？（如：目录扫描）

　　端口扫描

　　第3题：获取到那些开放的端口，请从1-60000依次列出（如：77/99/188/4999/18888）

　　135/139/445/3306/8001/8002/8008/8899/49152/49153/49154/49155/49156/49157

　　第4题：并获取到了服务器部分的信息，请问服务器的操作系统是什么？（如：windows7)

　　Windows Server 2K3或XP

　　现在我们知道了黑客用来扫描的IP是192.168.1.136，这是一个内网IP，所以这个黑客要么是内鬼要么就是肉鸡。接下来就是清查这台肉鸡的 *** 日志，再一级一级地溯源了。

　　除了肉鸡，也有黑客会开 *** ，那么网警就会联系 *** 服务商要求提供 *** 日志来溯源。私人 *** 是很容易被查到的，公用 *** 则会使追查工作难上许多。

　　这27个题目的数据包大小不过867M，在有题目提示方向的情况下我最开始花了4个小时才将题目全部做完。

　　在真实情况下，对于动辄上百G的数据包还需要一条一条地慢慢过滤，其耗费的人力和时间成本是十分巨大的。

　　

　　【PConline 资讯】先看图，我就不说话了：

　　

　　这位仁兄看似乱按一通，但屏幕上的字符串却极其工整。不用怀疑，这货就是在瞎按。问题就出在他用的并非什么高明的黑客专用软件，而是单纯的一个网站：Hacker Typer。有些同学可能打不开，可以尝试加 *** 。

　　而你需要做的就是深藏功与名，板着脸一阵忙按就ok了。如果旁边有妹纸，被吸引的概率绝对能提升50个百分点。

　　

　　实际上，类似的站点此前就被曝光过几次，小编也知道几个，不过都存标签了在家里电脑上没特意去记，总之依稀有印象url也有typer或是hack，大家有不用翻QIANG的站点欢迎分享。

　　比如geektyper：这个站亲测，公司网就能打开）