关于暗度陈仓黑客技术的信息

今天给各位分享暗度陈仓黑客技术的知识，其中也会对进行解释，如果能碰巧解决你现在面临的问题，别忘了关注本站，现在开始吧！

本文目录一览：

1、黑客入侵的手法包括哪几种.????..““2、135均线战法买卖点经典口诀3、黑客入侵手法4、360“后门”事件5、黑客13种入侵手法6、入侵检测的分类情况

黑客入侵的手法包括哪几种.????..““

黑客入侵的手法包括1)瞒天过海 (2)趁火打劫 (3)无中生有 (4)暗渡陈仓 (5)舌里藏刀 (6)顺手牵羊 (7)供尸还魂 (8)调虎离山 (9)抛砖引玉 (10)湿水摸鱼 (11)远交近攻 (12)偷梁换柱 (13)反客为主。黑客常有连环计，防不胜防，不可不小心。

1、瞒天过海，数据驱动攻击

当有些表面看来无害的特殊程序在被发送或复制到网络主机上并被执行发起攻击时，就会发生数据驱动攻击。例如:一种数据驱动的攻击可以造成一台主机修改与网络安全有关的文件，从而使黑客下一次更容易入侵该系统。

2、趁火打劫，系统文件非法利用

UNIX系统可执行文件的目录，如/bin/who可由所有的用户进行读访问。有些用户可以从可执行文件中得到其版本号，从而结合已公布的资料知道系统会具有什么样的漏洞。如通过Telnet指令操行就可以知道Sendmail的版本号。禁止对可执文件的访问虽不能防止黑客对它们的攻击，但至少可以使这种攻击变得更困难。还有一些弱点是由配置文件、访问控制文件和缺省初始化文件产生的。最出名一个例子是:用来安装SunOS Version 4的软件，它创建了一个/rhosts文件，这个文件允许局域网(因特网)上的任何人，从任何地方取得对该主机的超级用户特权。当然，最初这个文件的设置是为了从网上方便地进行安装，而不需超级用户的允许和检查。智者千虑，必有一失，操作系统设计的漏洞为黑客开户了后门，针对WIN95/WIN NT一系列具体攻击就是很好的实例。

3、无中生有，伪造信息攻击

通过发送伪造的路由信息，构造系统源主机和目标主机的虚假路径，从而使流向目标主机的数据包均经过攻击者的系统主机。这样就给人提供敏感的信息和有用的密码。

4、暗渡陈仓，针对信息协议弱点攻击

IP地址的源路径选项允许IP数据包自己选择一条通往系统目的主机的路径。设想攻击者试图与防火墙后面的一个不可到达主机A连接。他只需要在送出的请求报文中设置IP源路径选项，使报文有一个目的地址指向防火墙，而最终地址是主机A。当报文到达防火墙时被允许通过，因为它指向防火墙而不是主机A。防火墙的IP层处理该报文的源路径被改变，并发送到内部网上，报文就这样到达了不可到达的主机A。

5、笑里藏刀，远端操纵

缺省的登录界面(shell scripts)、配置和客户文件是另个问题区域，它们提供了一个简单的方法来配置一个程序的执行环境。这有时会引起远端操纵攻击:在被攻击主机上启动一个可执行程序，该程序显示一个伪造的登录界面。当用户在这个伪装的界面上输入登录信息(用户名、密码等)后，该程序将用户输入的信息传送到攻击者主机，然后关闭界面给出“系统故障”的提示信息，要求用户重新登录。此后才会出现真正的登录界面。在我们能够得到新一代更加完善的操作系统版本之前，类似的攻击仍会发生。防火墙的一个重要作用就是防止非法用户登录到受保护网的主机上。例如可以在进行报文过滤时，禁止外部主机Telnet登录到内部主机上。

6、顺手牵羊，利用系统管理员失误攻击

网络安全的重要因素之一就是人! 无数历史事实表明:保垒最容易从内攻破。因而人为的失误，如WWW服务器系统的配置差错，普通用户使用户使用权限扩大，这样就给黑客造成了可趁之机。黑客常利用系统管理员的失误，收集攻击信息。如用finger、netstat、arp、mail、grep等命令和一些黑客工具软件。

7、借尸还魂，重新发送(REPLAY)攻击

收集特定的IP数据包;篡改其数据，然后再一一重新发送，欺骗接收的主机。

8、调虎离山，声东击西

对ICMP报文的攻击，尽管比较困难，黑客们有时也使用ICMP报文进行攻击。重定向消息可以改变路由列表，路由器可以根据这些消息建议主机走另一条更好的路径。攻击者可以有效地利用重定向消息把连接转向一个不可靠的主机或路径，或使所有报文通过一个不可靠主机来转发。对付这种威肋的方法是对所有ICMP重定向报文进行过滤，有的路由软件可对此进行配置。单纯地抛弃所有重定向报文是不可取的:主机和路由器常常会用到它们，如一个路器发生故障时。

9、抛砖引玉，针对源路径选项的弱点攻击

强制报文通过一个特定的路径到达目的主机。这样的报文可以用来攻陷防火墙和欺骗主机。一个外部攻击者可以传送一个具有内部主机地址的源路径报文。服务器会相信这个报文并对攻击者发回答报文，因为这是IP的源路径选项要求。对付这种攻击最好的办法是配置好路由器，使它抛弃那些由外部网进来的却声称是内部主机的报文。

10、混水摸鱼，以太网广播攻击

将以太网接口置为乱模式(promiscuous)，截获局部范围的所有数据包，为我所用。

11、远交近攻，跳跃式攻击

现在许多因特网上的站点使用UNIX操作系统。黑客们会设法先登录到一台UNIX的主机上，通过该操作系统的漏洞来取得系统特权，然后再以此为据点访问其余主机，这被称为跳跃(Island-hopping)。

黑客们在达到目的主机之前往往会这样跳几次。例如一个在美国黑客在进入美联邦调查局的网络之前，可能会先登录到亚洲的一台主机上，再从那里登录到加拿大的一台主机，然后再跳到欧洲，最后从法国的一台主机向联邦调查局发起攻击。这样被攻击网络即使发现了黑客是从何处向自己发起了攻击，管理人员也很难顺藤摸瓜找回去，更何况黑客在取得某台主机的系统特权后，可以在退出时删掉系统日志，把“藤”割断。你只要能够登录到UNIX系统上，就能相对容易成为超级用户，这使得它同时成为黑客和安全专家们的关注点。

12、偷梁换柱，窃取TCP协议连接

网络互连协议也存在许多易受攻击的地方。而且互连协议的最初产生本来就是为了更方便信息的交流，因此设计者对安全方面很少甚至不去考虑。针对安全协议的分析成为攻击的最历害一招。

在几乎所有由UNIX实现的协议族中，存在着一个久为人知的漏洞，这个漏沿使得窃取TCP连接成为可能。当TCP连接正在建立时，服务器用一个含有初始序列号的答报文来确认用户请求。这个序列号无特殊要求，只要是唯一的就可以了。客户端收到回答后，再对其确认一次，连接便建立了。TCP协议规范要求每秒更换序列号25万次。但大多数的UNIX系统实际更换频率远小于此数量，而且下一次更换的数字往往是可以预知的。而黑客正是有这种可预知服务器初始序列号的能力使得攻击可以完成。唯一可以防治这种攻击的方法是使初始序列号的产生更具有随机性。最安全的解决方法是用加密算法产生初始序列号。额外的CPU运算负载对现在的硬件速度来说是可以忽略的。

13、反客为主，夺取系统控制权

在UNIX系统下，太多的文件是只能由超级用户拥有，而很少是可以由某一类用户所有，这使得管理员必须在root下进行各种操作，这种做法并不是很安全的。黑客攻击首要对象就是root，最常受到攻击的目标是超级用户Password。严格来说，UNIX下的用户密码是没有加密的，它只是作为DES算法加密一个常用字符串的密钥。现在出现了许多用来解密的软件工具，它们利用CPU的高速度究尽式搜索密码。攻击一旦成功，黑客就会成为UNIX系统中的皇帝。因此，将系统中的权利进行三权分立，如果设定邮件系统管理员管理，那么邮件系统邮件管理员可以在不具有超级用户特权的情况下很好地管理邮件系统，这会使系统安全很多。

此外，攻击者攻破系统后，常使用金蝉脱壳之计删除系统运行日志，使自己不被系统管理员发现，便以后东山再起。故有用兵之道，以计为首之说，作为网络攻击者会竭尽一切可能的方法，使用各种计谋来攻击目标系统。这就是所谓的三十六计中的连环计。

135均线战法买卖点经典口诀

135

均线战法买卖点经典口诀

1.红杏出墙；13 日线走平，股价上穿 13 日线站稳。

2.蚂蚁上树；13 日线走平，股价自 13 日线小阳爬上 55 日均线。

3.黑客点击；13 日线上穿 55 日线，股价在 55 日线上调整，金叉处调整性阴线。需阳线确认。

4.红衣侠女；形态同黑客点击，金叉处 k 线收阳。3.4

两形态也可合称；黑白双煞。

5.金屋藏娇；加速探底后阴线下影处的小孕线。

6.日月合璧；加速探底后的阴阳并线。5.6 两形态不是进场点，不抢反弹。关注。

7.投石问路；在 55 日线下面 13 日均线上穿 34 日线结点处的阳线。

8.海底捞月；13 日均线下穿 55 日均线，又重新上穿 55 日均线的过程。

9.动感地带；13 日均线由下降趋平，又上穿 55 日均线的过程。

10.均线互换；34 日线向下穿越 55 日均线后又向上穿越 55

日均线。均线系统转为多头排列。 11.三线推进；三条均线胶合式近距离推进，大阳线穿三线或三线上揭竿而起。

12.一阳穿三线；三线近距平行或趋上，大阳线穿越三线。

13.揭竿而起；三线近距平行或趋上，三线之上的大阳线。多为涨停板。

14.立竿见影；揭竿而起的大阳线上部的小孕线。

15.小鸟依人；启动大阳线上部的缩量小阴线。

16.一石二鸟；多头均线上的一阳两星。

17.双飞燕；多头均线上的一阳两跳空星。

18.星星点灯；多头均线上的大阳上跳空十字星。

19.梅开二度；55

日均线上，13 日均线下叉 34 日线后又上叉 34 日线。

20.破镜重圆；股价回调至 55 日均线的阴阳并线。

21.暗度陈仓；上升途中长阴调整。企稳阳线确认。

22.三剑客；上升途中三阴线回调，企稳阳线确认。

23.串阴、串阳、走四方、四星望月；横盘整理小阴阳线。关注。

24.八仙过海、九九艳阳天、十全十美；上攻小阳线组合。

25.步步高；量区的增量量柱。

26.马失前蹄；一波下跌后的跳空 k 线。

27.绝处逢生；低位出现的低开高走的大阳线。

28.四渡赤水；

底部四次冲高。

卖点； 1.一枝独秀；高位的上影阳线。 2.独上高楼；高位的大阴迫线。

3.拖泥带水；高位下影线。 4.狗急跳墙；高位跳空阳线。 5.一剑封喉；高位长上影线。 6.金蝉脱壳；高位孕线。 7.明修栈道；加速上行后的大量长阳。

8.落井下石；高位低开长阴线。 9.节外生枝；高位上影处的小孕线。 10.笑里藏刀；高位长阳后的孕线。 11.晨钟暮鼓；高位长阳后的缩量阳线。

12.见好就收；13 日线和 55 日线发散过大，y 值超过 10. 13.分道扬镳；高位 13 线下穿 34 日线。 14.一箭穿心；高位 13 线下穿 55

日线。 15.过河拆桥；高位 13 日线走平，阴线跌破 13 日线。 16.一阴破三线；高位三线黏合，长阴下穿三线。 17.突出重围；高位三线交汇下叉。

接下来还将整理出13个买卖点：如底部形态之 “红杏出墙“和“蚂蚁上树“； 即将拉升的启动形态之“黑客点击“和“红衣侠女“；

中途的整理形态之“走四方“和“浪子回头“； 顶部形态之“一枝独秀“和“独上高楼“；

其他形态还有“海底捞月“、“均线互换“、“三线推进“、“梅开二度“和“见好就收“等。 13 个买卖点犹如山上 13 个形态各异的景观。

只要投资者记住它的名称及图形所代表的含义， 就能十 分清楚地知道股价目前所在的位置，这无疑把握了操作上的主动权。投资者就可以在“黑客点击”或“红衣侠

女”出现时准确地买人；在“走四方”或“浪子回头”出现时安心地持股；在“一枝独秀”或“独上高楼”出现时从容 地卖出。

这套战法的特点是：重视基本面但不依赖基本面；重视技术分析但不完全迷信它；重业绩但更看 表现；看股本却不受其制约；关心周边股市，但更注重中国实际。

股价运行有规律，“按图索骥，守株待兔”是顺其自然；股市有风险，因此要经常绷紧“谨慎加油，

随时刹车”这根弦。“拒绝盘整”是说要有时间成本之概念；“不抢反弹”旨在回避市场风险。正确的理念+正确

的方法+严格的纪律=利润。这就是《黑客点击》要告诉你的致富之道。 135 战法短线二十三大绝招全集(准确率极高) 1、绝招”攻击临界点”的定义及技术要点

个股放量攻击技术形态颈线位时，在攻击量能已经有效放大，但突破颈线位还在 3％ 度以下时，这是短线的绝佳买点。 2、绝招”堆量上行节节高”的定义及技术要点

个股处于上升途中，当它的成交量无法连续放大时，它会通过在一个小的价格区间连 续几日 幅

的量能堆积来达到超过前一个高点的最大量的目的，形成波峰最大量逐渐减小的持久上升通道，并正好受 到平行上行的 13、34、55

日均线系统的有力支撑。上升通道下轨，也正好是 13 日均线的零乖离位置，是 短、中线绝佳进仓点。 3、绝招”旱地拔葱”的定义及技术要点

个股经过连续的下跌或是回调，当反弹或是反转的第一根阳线就是涨停板或是 9 个以上的大阳 线时，后市往往还有

10％以上的上涨空间，第一根阳线涨停价附件就是短线的绝佳进仓点。 4、绝招”小阳放量滞涨”的定义及技术要点

当个股连续放量上攻时，只收出连续的十字小阳线，这是多头强烈上攻受阻的表现，在缩量蓄

势后，还会有一波继续上攻创新高的机会，放量后的缩量回调时，这是短线绝佳进仓点。 5、绝招”轻舟越过万重山”的定义及技术要点

个股从一个阶段性低点起涨，在累积涨幅不大的情况下，以 3％以下的手率有效突破并站稳， 年线（233 日均线）后，回挡年线的位置是短线中期的绝佳进仓点。

6、绝招”空头强驽之末”的定义及技术要点 个股脱离 13、 34、 日均线出现快速地连续向下回东当股价的的 13 日均线负乖离达到－20％ 55

左右时（庄股和间间距股的下跌除外）是短线的绝佳进创点 7、绝招”空头承接覆盖”的定义及技术要点

个股在均线出现的反压下出现了快速下跌，随着下跌接近最低点，升拉出现，越跌越放大的成交量

伴随着跌幅越来越小的阴线当出现了一根缩量阳线盖过了下跌的最后一根也同时是成交量最大的阴线空实 体时，缩量阳线的最高点附近是短线的绝佳进仓点。

8、绝招”黄金买点”的定义及技术要点 个股从中期的最低点在连绵 阳线（最多夹杂一到两根操盘小阴线）不间断上涨，当累积涨幅 达到

30％以上见顶后，以连续的阳线回落到第一波的 0.382、0.5、0.618 黄金分割位是是地，是短线的绝 佳进仓点。可分批大胆买进。

9、绝招”假阴线”的定义及技术要点 个股在收出一根涨停板之后，次日继续放量超过涨停板的量能攻击重要技术压力位时，收盘受

阻回落，只收出一根带长上影线的涨幅在一个点左右的十字小阴线，这是主力强烈的做多遇阻的表现，次 日往往会继续上攻，十字阴线的收盘价附近是短线的绝佳进仓点。

10、绝招”颈线位量超”的定义及技术要点 个股放量攻击技术形态颈线位，当它放大的成交量已超过前几个颈线位高点的最大量，但股价

还未突破颈线位时，它在颈线位下缩量蓄势时，是短线的绝佳进仓点。 11、绝招”直破多头线”的定义及技术要点 个股依托平行 45°上行的 13、34、55

日均线向上运行，个股的加速上扬带动 13 日均线陡峭上 行时，个股突然快速掉头连续下跌，未多任何支撑地跌破还在上行的 13 日均线时，在接近 34 日均线位置，

是短线的绝佳进仓点。 12、绝招”拨云见日”的定义及技术要点 当个股的 MACD 指标中的 MACD 和 DIF 两条线伴随着红色柱状体的放大，从 0

轴下上穿到 O 轴之上，当 MACD 的红色柱状体在 O 轴以上第一次缩短，乃至发出绿色柱状体，但不波 O 轴，也是个股 收阴线回调之时，是短线的绝佳进仓点。

13、绝招”高位巨量换手”的定义及技术要点 个股运行在平行上行的 13、34、55 日均线之上时，突然收出连续巨量阴线，但阴线未破 13

日均线，且巨量阴线的跌幅逐渐减小时，只要有缩量阳线在 13 日均线上覆盖过巨量阴线的实体时，阴线的 收盘价附近就是短线的绝佳进仓点。 14、绝招”日、周线同处

0 乖离”的定义及技术要点 当个股的 13、34、55 日均线系统及 13、34、55 周均线系统同处于 45℃平等上行的多头运行 状态时，当股价调整回靠到

13 周均线的 O 乖离位置时，如果此时股价同时也是回靠 13 日均线的 O 乖离 位置，则此点位是短、中期的绝佳进仓点。

15、绝招”穿越分水岭”的定义及技术要点 个股长期运行在下行的 55 日均线之下，当个股第一次从中期底点放量突破代表多空强弱分水 岭的 55 日均线之后，它穿过

55 日均线后第一次回档接近 55 日均线是地，是短线的绝佳进仓点。 16、绝招”旱地拔葱”的定义及技绝招”厚积薄发”的定义及技术要点

个股放量攻击技术形态颈线位时，在颈线位临界点出现连续放量滞涨的横盘走势，这是在庄家 蓄势待发的信号，当放量横盘回靠点接近 13 日均线时，是短线的绝佳进仓点。

17、绝招”十全十美”的定义及技术要点 个股运行在上升途中，当它同时满足以下四个条件： 1、均线条件：A、13、34、55 日均线 45℃平行上行；B、股价与

13 日均线 O 乖离； 三均线间距小。 2、技术形态条件：处于动态颈线位有效突破回档或在颈线位滞涨； 3、量能条件：回靠 13 日均线时必须平量或是回调最大量

4、指标条件：MACD 指标中两线正好处于由下而上上穿 O 轴后的红色柱状形的第一次缩短调 整时。 18、绝招”扭转乾坤”的定义及技术要点

个股从连续回调后的阶段性低点掉头向上回升，如果回升的第一根阳线的实体盖过了回调的最

后一根阴线的实体，且成交量比最后一根阴线超过了一倍左右，则这成交量称为反转量，这根阳线为扭转 乾坤的反转阳线，这根反转阳线回调式收盘价附近是短线的绝佳进仓点。

19、绝招”宝剑锋自磨砺出”的定义及技术要点 个股运行在 13 日均线之上的上升途中，当经过一波连续的回调回靠到 13 日均线之上后，当它 再度放量从 13

日均线拉升上攻，却遇到沉重抛压，收盘只留下长长的上影线，没什么涨幅时，13 均线附 近是短线的绝佳进仓点 20、绝招”平量横盘”的定义及技术要点

个股经过一波阶段 的上涨后，在横盘不回落的强势调整中，保持每一根的横盘量能接近或等 同于开始调整前的最大量阳线的量能， 当这些平量横盘的 k

线再度受到移到向上的 13 日均线的支撑时， 是 短线的绝位进仓点 21、绝招”火箭冲天加速度”的定义及技术要点 C、

个股从阶段低点起涨，如果它连续收出三（五）个涨停板，那由于惯性作用，后市往往会达到 五（七）个涨停板的价位。第三五个涨停板附近价位，是短线的绝佳进仓点。

22、绝招”万里长城永不倒”的定义及技术要点 当个股从低点向上放量拉升，同时突破了几个重要技术压力位（几个重要技术压力位正好处于

相同或接近的位置）。当它有效突破后出现第一次回档时，正好会同时受到个几个关键技术压力位的支撑， 此时是短线绝佳进仓点。 23、绝招”胜算值”的定义及技术要点

个股在 13，34，55 均线系统支撑下，当回调靠在 13 日均线之上时，为个股第一时点，拉起第

一个阳线的收盘价附近为第二时点，拉起第二个阳线的收盘价为第三时点；大盘只要是是连续下跌后企稳 反弹或反

黑客入侵手法

第一套 胜战计

第一计 瞒天过海 第二计 围魏救赵 第三计 借刀杀人

第四计 以逸待劳 第五计 趁火打劫 第六计 声东击西

第二套 敌战计

第七计 无中生有 第八计 暗渡陈仓 第九计 隔岸观火

第十计 笑里藏刀 第十一计 李代桃僵 第十二计 顺手牵羊

第三套 攻战计

第十三计 打草惊蛇 第十四计 借尸还魂 第十五计 调虎离山

第十六计 欲擒故纵 第十七计 抛砖引玉 第十八计 擒贼擒王

第四套 混战计

第十九计 釜底抽薪 第二十计 混水摸鱼 第二十一计 金蝉脱壳

第二十二计 关门捉贼 第二十三计 远交近攻 第二十四计 假途伐虢

第五套 并战计

第二十五计 偷梁换柱 第二十六计 指桑骂槐 第二十七计 假痴不颠

第二十八计 上屋抽梯 第二十九计 树上开花 第三十计 反客为主

第六套 败战计

第三十一计 美人计 第三十二计 空城计 第三十三计 反间计

第三十四计 苦肉计 第三十五计 连环计 第三十六计 走为上

360“后门”事件

1. 360为什么每10分钟联网上传数据？

绝大部分360的用户都没有注意到一个细节：360安全卫士每十分钟联一次网，每次上传6KB左右数据，一天上传约1MB数据（不包含下载数据），一年约350MB数据。风雨无阻，永不间断。

一个安全软件为什么要如此频繁的上传数据呢（注意不是下载，给系统下载补丁包的流量不是上传流量）？查询是否有新的补丁包一来不需要这么频繁，二来不需要这么大的数据量。秘密就是我们搜集用户的隐私数据，并上传到服务器。当然，我们做了精心的设计，为了避免一次上传过多信息，容易引起用户警觉，采用了高频度、小流量的策略，并对数据进行压缩和加密处理，以防用户警觉。周总最近又在吹嘘“云查杀”，其实就是为了掩盖这个问题。

2. 360为什么要获取用户隐私呢？

360是免费的，靠什么养活公司、养活我们这个团队呢？360对外号称的，靠代理卡巴斯基杀毒软件的收入、靠软件推广的收入，其实根本无法支撑如此庞大的奇虎团队和服务器开销。周总花掉了大笔VC的钱，一次次不能兑现对VC的承诺，奇虎再融资难上加难。面临VC业绩的压力，铤而走险，周总也是没有别的办法。

免费产品放广告是互联网的模式，但是，安全软件不像新浪拥有广告时间（用户上新浪总要看10分钟），安全软件的广告机会不多（这是周总非常痛苦的一点，所以360为什么经常提醒用户什么补丁，安全新闻，等等，主要是吸引用户，争取广告时间），广告时间很短，要做广告就要精准，要精准，就必须了解用户信息。有了这些用户隐私，广告才够精准，就像此前的分众无线一样。用户隐私数据的商用价值我们已经不必怀疑了，手机上用户的隐私更多，更值钱，无数垃圾信息的群发公司已经充分证明了这一点。周总做3721的时候，什么“***”、“***”的关键词都卖，赚钱是根本。

毕竟，天下没有免费的午餐。对自己隐私不在意的人，用隐私换取免费服务也还划算。不过，手机上的对隐私在意的用户可能多一些。理解了这些，有许多和360有关的事件迷局也就迎刃而解。

3.360真正的收入来源是什么？

360对外声称的收入来源主要靠卖卡巴斯基。但是，360是代销卡巴斯基，代销的毛利率很低，15－20％左右，这点收入对于360而言是杯水车薪。360最大的收入是“互联网**”，收保护费；交了钱的程序有点问题也可以放过，还帮助推广，网评自然很好；不交钱的，网评就很差，还加入黑名单**。当然，最初依托奇虎社区上的“擦边球”内容给网站带流量，也为360带来一些收入。

有了360大量获取的用户隐私信息为基础，有了360保险箱的帐号关联，360的浏览器在精准广告上也就往前走了一大步。这一点对于广告主有价值，对用户也许会是个“灾难”。前段360宣传了自己的一个案例，协助**部门破了一个案，但是，没有用户信息作为基础，怎么协助呢？

4. 周总为什么到处宣传的所谓“云查杀”？

周总最近宣传的，所谓的360 “云查杀”（把查杀工作放到360服务器上），实质是为了掩饰360每10分钟频繁联网，掩盖其上传用户隐私的问题。周总号称扫描速度是传统杀毒软件的10倍，扫描快的原因是采用文件名匹配来进行最简单的模式匹配（叫一样文件名的文件的就是木马？这可能导致非常严重的误杀。难道在中国叫陈**的都是浑蛋？）。360所谓的“查杀10万木马”，是因为360根据文件名来判断病毒，病毒传播者只要改一下名字，奇虎360就得重新加入木马病毒库，所以一个病毒文件要是有10个名字，360就要加载10次木马姓名库，别人要查一次就够了，可360要加载10次。所以360才会费力去 “查杀10万木马”。

网上有篇帖子，说周总最新在手机上推出的扣费克星，也采用了同样的匹配文件名的简陋技术。tompda上有人反编译了代码，发文说明了这点，也许一场新的闹剧又要上演。

5. 为什么360只靠文件名查杀也能杀出木马，还号称比专业杀毒软件更好？

周总**出走雅虎之前，曾经利用3721干过一件大事：他通过遍布全国的3721客户端，在用户机器上种下了后门，包括dll和驱动。而打开这个后门的秘密，只有周总和几个核心人员知晓。这也就是为什么360一推出，就能让用户感觉到特别好用的最大原因，因为它查杀的木马，都是此前用3721客户端自己种下的，自己种，自己杀，效果当然顶呱呱。

为了维持奇虎360的口碑，周总一直在做这样的事情：不断制造新木马和***，再不断进行查杀。

6. 为什么绿霸受阻？

前一段，政府推动的绿霸计划，希望解决青少年的上网**内容过滤问题。但是，绿霸和360的预装策略冲突，一旦装了绿霸，就占领了360在PC上的位置，更重要的是就可能发现360的上传用户隐私的问题，那对360是很大的危机。因此，360成了在幕后攻击绿霸的推手。

7. 为什么360表面上口碑很好呢？

周总逢人就说，360没有花一分钱的推广费，完全靠口碑传播发展的。其实，以我跟随他多年的经验，基本说什么，就不是什么，随时可以变卦，说话就是放水。

与其360说是安全软件，不如说是管理软件，最初定位就是帮助用户管理补丁、卸载程序、提供软件下载，很多功能是超级兔子做的事情。当然，360做得更深入全面。360在产品体验设计得不错，动不动弹出来告诉你帮你做了这个，做了那个，让用户感觉干了很多事情。因此，360吸引了很多草根的用户。

但是，装了360，该出问题还是会出问题，该中毒还是中毒，该中木马还是中木马。真正的业内人士，金融、电信、政府的人员担心“偷东西”，都不太敢用360。

360的媒体控制力很强，周总在市场营销上很有天分，360在PC预装上下足了大功夫、大价钱，对外声称，很多中关村装机器的人推荐用户用360，不花钱，谁会帮你推荐。强有力的媒体控制，强有力的市场预装推广，一些不错的功能体验，掩盖了360许多本质的问题

8.360为什么要进入手机？

360的收入增长将以打扰用户、获取用户隐私为主要手段，因此收入基本不具备成长性。360的收入对于投资人来说还是个故事。360在互联网能够拓展的领域基本差不多了。手机是下一个增长点。

PC上隐私有限，手机上用户的隐私更多，更值钱，无数发公司已经证明了这一点。360要进入手机领域，成为移动互联网“**”老大，总领手机软件公司生杀予夺的大权。

9. 为什么做扣费克星？

从扣费克星的查杀列表可以看出周总在手机上沿用了互联网上的思路痕迹：实施焦土战略，先扫清手机上的常用小软件；然后，开始收保护费，顺我者昌，逆我者亡。 “扣费克星”这么响亮，当然要加入恶意扣费软件。但是，手机大头、千尺、来电秀、许多无线SP公司的商用收费软件大都被加入列表。想在手机上发展又没有很强靠山的公司，要注意了。

周总一般先不会得罪大的公司，有不少大公司的软件一样是收费的，但是名单中并没有。联合少量大的，打击小的，这是做流氓的高级策略。当然，大公司也别着急，周总最厉害的就是各个击破，先解决小的，然后逐个收拾大的。

因此，扣费克星对于用户很有吸引力的。也许周总早就在手机上布局了不少***，然后自己杀自己。拿着打流氓的旗号，打造一个更大的***公司，和360在PC上的思路完全一致。

10. 为什么要以个人名义发布扣费克星而不是360？

很多人会问，扣费克星是个人做的，和360有什么关系呢？360为什么用个人名义发布扣费克星，估计原因有三：

周总在PC上干得黑事太多，在手机上不想得罪太多人，所以找了个个人作者来顶缸（手机上的SP公司，如果知道是360挡他们的路，个个都不是好惹的）；

用个人作者发布，容易骗取草根网民的认同感和同情心。你看我是一个网民，被扣钱了，所以做了个软件，帮大家解决问题，外表看起来多感人啊。

用个人作者发布，具有很强的迷惑性，很多SP和无线领域的公司，肯定会认为个人作者的产品，不会有很大的影响力，所以不太关注。而360已经在暗渡陈仓，大规模推广扣费克星，等到扣费克星控制局面后，再变身为360。

360官方还象模象样的发表申明说“360只发布了手机卫士（垃圾信息过滤）这一个产品，其他产品与360无关”，太有点“此地无银三百两”了。360自己发布了一个进行垃圾信息过滤的产品，从第一个版本看还比较一般，和信安易等比还有很大距离。当然，360官方说法就是，这是实验室流传出去的beta产品。据说，这几天又推出了一个安全管家，对软件的评论基本一样，估计也是360的，手机上即将开始一场腥风血雨。

11. 奇虎社区今后怎么发展？

答案就是不发展。奇虎的发展，基本完全靠**擦边球内容来充流量，社区不作了，原有的人走的走，没有走的，就帮周总做宣传，打口水仗，帮周总打压瑞星、金山。说到金山，前一段网上有争论“在手机有没有病毒？”，居然有所谓金山的工程师出来说明没有病毒，不知道他是不是真的金山员工？还是金山前员工？是代表金山，还是代表个人？也很可能是360雇佣的写手断章取义，扭曲了人家的发言。

我个人认为，手机病毒是事实，这是任何一个安全工程师都知道的基本问题。手机病毒还没有象PC病毒那样大规模爆发，不像一些手机安全公司宣传得那么严重，也是事实。当然，善于打擦边球，断章取义，混淆视听是周总及其雇佣枪手擅长的事情。

12.为什么周总对媒体控制力强？

周总身边有人上可达政府，下可控制媒体。从3721开始，周总最擅长的就是口水仗，到雅虎，可以说周总的势力范围更是遍天下，据说为周总服务的记者不下千人，各地临时调拨的枪手可达万人。奇虎最初要做论坛搜索，Discuzz!和一大批互联网论坛都是周总投资的。一些媒体朋友不服气，周总甚至设计将其投入监狱。如此的手段，媒体哪能不服气？

扫黄期间，其他网站都被关了，奇虎没事。但是，最近奇虎常常被点名批评涉黄，前一段又被处罚了。涉黄这种事情发生多了，渐渐也没有人敢帮了。也许验证了那句话“夜路走多了，总会见到鬼”。

13.为什么表面上360如此成功，而最初的核心骨干却一个个都离开了360？

今天360的团队早已不再是360最初的那批团队，最初的核心团队早被周总逐个换掉了，360产品的方向也偏离了最初的目标。我们（360最初团队）原本的目标是打造一款伟大的产品，但是360后续发展的方向已经不是我们能够把控的。为了商业利益，360中加入了太多的、标称为“安全软件”不应该做的功能。

离开奇虎，实属无奈。我们不愿意自己精心付出心血打造的360产品（最初的360）又一次成为人人唾弃的***。如果公司真的好，真的是为了用户，我们为什么要离开？

现在360已经成为周总收黑钱、打压对手的工具，和3761***有过之、无不及，实际上，今天的360已经成为互联网最大的***，控制了数千万台PC，比3721最为鼎盛的时候还要大，这是多么可怕的事情。据以前的同事透露，目前360每天搜集的用户数据量高达TB量级。在360面前，用户毫无隐私可言，360保险箱甚至直接存放着用户的各类帐号信息。也许，广大网民刚刚逃脱3721等***的“狼窝”，又进入另一个更大的“虎穴”。

当然，周总常说，流氓足够大了，也就有了江湖地位，就可以漂白了，小流氓是瘪三，大流氓是黑老大。

14.为什么要说出这些？为什么要匿名发表？

周总崇尚柔道战略，这是一种小公司冲击大公司，攻击大公司弱点的有效打法，也非常符合周总的性格。但是，这也决定了周总是个商人，而不是企业家。周总适合把小企业带到中型企业，却再没有能力打造一个伟大的公司。这一点，从3721，到雅虎，到奇虎，都已经充分证明了。

周总本人的优点恰恰也是他最大的缺点，缺少承载一个伟大公司的胸怀和气度。了解360的人都知道，周总身边的人越来越少。当然，周总的用人原则就是，有利用价值的就用，没有利用价值的就滚；服气的留下，不服气的就滚。这也是我们离开奇虎的重要原因。我们似乎很难相信，一个曾经的互联网***之父，一个常常做出损人不利己的事的人，一个连自己多年好友都可以投入监狱的人，可以打造一个伟大的产品和公司。

外表强大凶悍的360，内部其实四面楚歌，病入膏肓。一个事物靠穷兵黩武抢夺回来的，也很快消失。许多人把现在的360都叫做“丧六灵”。原本目标是打造伟大产品的最初360团队，发现产品已经背离了原有的方向。作为最初360团队之一，作为一个有良知的人，我觉得有必要说出这些。

熟悉周总的人都知道，周总经常打电话威胁别人的家人安全。泼脏水，诽谤，诬告，收黑钱，实施恐怖威胁甚至**，是周总的拿手好戏。黑事做多了，心思就多就重，难怪周总出入要请贴身保镖，周总年纪不大，却常常夜不能寐、身体每况愈下。因此有人称周总是“邪教教主”，一是蛊惑群众，二是为了牟取暴利，三是违反法律的约束。很遗憾，周总的手段，用流行语说，“很狠很**”，我只能通过匿名的方式。

老周，回头是岸（周总现在已经不是我老板了，就叫句老周吧）。

黑客13种入侵手法

最近的针对WIN95/WIN NT的一系列具体攻击就是很好的实例。

抄袭都不会

入侵检测的分类情况

入侵检测系统所采用的技术可分为特征检测与异常检测两种。 （警报）

当一个入侵正在发生或者试图发生时，IDS系统将发布一个alert信息通知系统管理员。如果控制台与IDS系统同在一台机器，alert信息将显示在监视器上，也可能伴随着声音提示。如果是远程控制台，那么alert将通过IDS系统内置方法（通常是加密的）、SNMP（简单网络管理协议，通常不加密）、email、SMS（短信息）或者以上几种方法的混合方式传递给管理员。 （异常）

当有某个事件与一个已知攻击的信号相匹配时，多数IDS都会告警。一个基于anomaly（异常）的IDS会构造一个当时活动的主机或网络的大致轮廓，当有一个在这个轮廓以外的事件发生时，IDS就会告警，例如有人做了以前他没有做过的事情的时候，例如，一个用户突然获取了管理员或根目录的权限。有些IDS厂商将此方法看做启发式功能，但一个启发式的IDS应该在其推理判断方面具有更多的智能。 （IDS硬件）

除了那些要安装到现有系统上去的IDS软件外，在市场的货架上还可以买到一些现成的IDS硬件，只需将它们接入网络中就可以应用。一些可用IDS硬件包括CaptIO、Cisco Secure IDS、OpenSnort、Dragon以及SecureNetPro。 ArachNIDS是由Max Visi开发的一个攻击特征数据库，它是动态更新的，适用于多种基于网络的入侵检测系统。

ARIS：Attack Registry Intelligence Service（攻击事件注册及智能服务）

ARIS是SecurityFocus公司提供的一个附加服务，它允许用户以网络匿名方式连接到Internet上向SecurityFocus报送网络安全事件，随后SecurityFocus会将这些数据与许多其它参与者的数据结合起来，最终形成详细的网络安全统计分析及趋势预测，发布在网络上。它的URL地址是。 （攻击）

Attacks可以理解为试图渗透系统或绕过系统的安全策略，以获取信息、修改信息以及破坏目标网络或系统功能的行为。以下列出IDS能够检测出的最常见的Internet攻击类型：

攻击类型1－DOS（Denial Of Service attack，拒绝服务攻击）：DOS攻击不是通过黑客手段破坏一个系统的安全，它只是使系统瘫痪，使系统拒绝向其用户提供服务。其种类包括缓冲区溢出、通过洪流（flooding）耗尽系统资源等等。

攻击类型2－DDOS（Distributed Denial of Service，分布式拒绝服务攻击）：一个标准的DOS攻击使用大量来自一个主机的数据向一个远程主机发动攻击，却无法发出足够的信息包来达到理想的结果，因此就产生了DDOS，即从多个分散的主机一个目标发动攻击，耗尽远程系统的资源，或者使其连接失效。

攻击类型3－Smurf：这是一种老式的攻击，还时有发生，攻击者使用攻击目标的伪装源地址向一个smurf放大器广播地址执行ping操作，然后所有活动主机都会向该目标应答，从而中断网络连接。

攻击类型4－Trojans（特洛伊木马）：Trojan这个术语来源于古代希腊人攻击特洛伊人使用的木马，木马中藏有希腊士兵，当木马运到城里，士兵就涌出木马向这个城市及其居民发起攻击。在计算机术语中，它原本是指那些以合法程序的形式出现，其实包藏了恶意软件的那些软件。这样，当用户运行合法程序时，在不知情的情况下，恶意软件就被安装了。但是由于多数以这种形式安装的恶意程序都是远程控制工具，Trojan这个术语很快就演变为专指这类工具，例如BackOrifice、SubSeven、NetBus等等。 （自动响应）

除了对攻击发出警报，有些IDS还能自动抵御这些攻击。抵御方式有很多：首先，可以通过重新配置路由器和防火墙，拒绝那些来自同一地址的信息流；其次，通过在网络上发送reset包切断连接。但是这两种方式都有问题，攻击者可以反过来利用重新配置的设备，其方法是：通过伪装成一个友方的地址来发动攻击，然后IDS就会配置路由器和防火墙来拒绝这些地址，这样实际上就是对“自己人”拒绝服务了。发送reset包的方法要求有一个活动的网络接口，这样它将置于攻击之下，一个补救的办法是：使活动网络接口位于防火墙内，或者使用专门的发包程序，从而避开标准IP栈需求。 （Computer Emergency Response Team，计算机应急响应小组）

这个术语是由第一支计算机应急反映小组选择的，这支团队建立在Carnegie Mellon大学，他们对计算机安全方面的事件做出反应、采取行动。许多组织都有了CERT，比如CNCERT/CC（中国计算机网络应急处理协调中心）。由于emergency这个词有些不够明确，因此许多组织都用Incident这个词来取代它，产生了新词Computer Incident Response Team（CIRT），即计算机事件反应团队。response这个词有时也用handling来代替，其含义是response表示紧急行动，而非长期的研究。 （Common Intrusion Detection Framework；通用入侵检测框架）

CIDF力图在某种程度上将入侵检测标准化，开发一些协议和应用程序接口，以使入侵检测的研究项目之间能够共享信息和资源，并且入侵检测组件也能够在其它系统中再利用。 （Computer Incident Response Team，计算机事件响应小组）

CIRT是从CERT演变而来的，CIRT代表了对安全事件在哲学认识上的改变。CERT最初是专门针对特定的计算机紧急情况的，而CIRT中的术语incident则表明并不是所有的incidents都一定是emergencies，而所有的emergencies都可以被看成是incidents。 （Common Intrusion Specification Language，通用入侵规范语言）

CISL是CIDF组件间彼此通信的语言。由于CIDF就是对协议和接口标准化的尝试，因此CISL就是对入侵检测研究的语言进行标准化的尝试。 （Common Vulnerabilities and Exposures，通用漏洞披露）

关于漏洞的一个老问题就是在设计扫描程序或应对策略时，不同的厂商对漏洞的称谓也会完全不同。还有，一些产商会对一个漏洞定义多种特征并应用到他们的IDS系统中，这样就给人一种错觉，好像他们的产品更加有效。MITRE创建了CVE，将漏洞名称进行标准化，参与的厂商也就顺理成章按照这个标准开发IDS产品。 （自定义数据包）

建立自定义数据包，就可以避开一些惯用规定的数据包结构，从而制造数据包欺骗，或者使得收到它的计算机不知该如何处理它。 （同步失效）

Desynchronization这个术语本来是指用序列数逃避IDS的方法。有些IDS可能会对它本来期望得到的序列数感到迷惑，从而导致无法重新构建数据。这一技术在1998年很流行，已经过时了，有些文章把desynchronization这个术语代指其它IDS逃避方法。 （列举）

经过被动研究和社会工程学的工作后，攻击者就会开始对网络资源进行列举。列举是指攻击者主动探查一个网络以发现其中有什么以及哪些可以被他利用。由于行动不再是被动的，它就有可能被检测出来。当然为了避免被检测到，他们会尽可能地悄悄进行。 （躲避）

Evasion是指发动一次攻击，而又不被IDS成功地检测到。其中的窍门就是让IDS只看到一个方面，而实际攻击的却是另一个目标，所谓明修栈道，暗渡陈仓。Evasion的一种形式是为不同的信息包设置不同的TTL（有效时间）值，这样，经过IDS的信息看起来好像是无害的，而在无害信息位上的TTL比要到达目标主机所需要的TTL要短。一旦经过了IDS并接近目标，无害的部分就会被丢掉，只剩下有害的。 （漏洞利用）

对于每一个漏洞，都有利用此漏洞进行攻击的机制。为了攻击系统，攻击者编写出漏洞利用代码或脚本。

对每个漏洞都会存在利用这个漏洞执行攻击的方式，这个方式就是Exploit。为了攻击系统，黑客会利用漏洞编写出程序。

漏洞利用：Zero Day Exploit（零时间漏洞利用）

零时间漏洞利用是指还未被了解且仍在肆意横行的漏洞利用，也就是说这种类型的漏洞利用当前还没有被发现。一旦一个漏洞利用被网络安全界发现，很快就会出现针对它的补丁程序，并在IDS中写入其特征标识信息，使这个漏洞利用无效，有效地捕获它。 （漏报）

漏报是指一个攻击事件未被IDS检测到或被分析人员认为是无害的。

False Positives（误报）

误报是指实际无害的事件却被IDS检测为攻击事件。

Firewalls（防火墙）

防火墙是网络安全的第一道关卡，虽然它不是IDS，但是防火墙日志可以为IDS提供宝贵信息。防火墙工作的原理是根据规则或标准，如源地址、端口等，将危险连接阻挡在外。 （Forum of Incident Response and Security Teams，事件响应和安全团队论坛）

FIRST是由国际性政府和私人组织联合起来交换信息并协调响应行动的联盟，一年一度的FIRST受到高度的重视。 （分片）

如果一个信息包太大而无法装载，它就不得不被分成片断。分片的依据是网络的MTU（Maximum Transmission Units，最大传输单元）。例如，灵牌环网（token ring）的MTU是4464，以太网（Ethernet）的MTU是1500，因此，如果一个信息包要从灵牌环网传输到以太网，它就要被分裂成一些小的片断，然后再在目的地重建。虽然这样处理会造成效率降低，但是分片的效果还是很好的。黑客将分片视为躲避IDS的方法，另外还有一些DOS攻击也使用分片技术。 （启发）

Heuristics就是指在入侵检测中使用AI（artificial intelligence，人工智能）思想。真正使用启发理论的IDS已经出现大约10年了，但他们还不够“聪明”，攻击者可以通过训练它而使它忽视那些恶意的信息流。有些IDS使用异常模式去检测入侵，这样的IDS必须要不断地学习什么是正常事件。一些产商认为这已经是相当“聪明”的IDS了，所以就将它们看做是启发式IDS。但实际上，真正应用AI技术对输入数据进行分析的IDS还很少很少。 （Honeynet工程）

Honeynet是一种学习工具，是一个包含安全缺陷的网络系统。当它受到安全威胁时，入侵信息就会被捕获并接受分析，这样就可以了解黑客的一些情况。Honeynet是一个由30余名安全专业组织成员组成、专门致力于了解黑客团体使用的工具、策略和动机以及共享他们所掌握的知识的项目。他们已经建立了一系列的honeypots，提供了看似易受攻击的Honeynet网络，观察入侵到这些系统中的黑客，研究黑客的战术、动机及行为。 （蜜罐）

蜜罐是一个包含漏洞的系统，它模拟一个或多个易受攻击的主机，给黑客提供一个容易攻击的目标。由于蜜罐没有其它任务需要完成，因此所有连接的尝试都应被视为是可疑的。蜜罐的另一个用途是拖延攻击者对其真正目标的攻击，让攻击者在蜜罐上浪费时间。与此同时，最初的攻击目标受到了保护，真正有价值的内容将不受侵犯。

蜜罐最初的目的之一是为起诉恶意黑客搜集证据，这看起来有“诱捕”的感觉。但是在一些国家中，是不能利用蜜罐收集证据起诉黑客的。 （IDS分类）

有许多不同类型的IDS，以下分别列出：

IDS分类1－Application IDS（应用程序IDS）：应用程序IDS为一些特殊的应用程序发现入侵信号，这些应用程序通常是指那些比较易受攻击的应用程序，如Web服务器、数据库等。有许多原本着眼于操作系统的基于主机的IDS，虽然在默认状态下并不针对应用程序，但也可以经过训练，应用于应用程序。例如，KSE（一个基于主机的IDS）可以告诉我们在事件日志中正在进行的一切，包括事件日志报告中有关应用程序的输出内容。应用程序IDS的一个例子是Entercept的Web Server Edition。

IDS分类2－Consoles IDS（控制台IDS）：为了使IDS适用于协同环境，分布式IDS代理需要向中心控制台报告信息。许多中心控制台还可以接收其它来源的数据，如其它产商的IDS、防火墙、路由器等。将这些信息综合在一起就可以呈现出一幅更完整的攻击图景。有些控制台还将它们自己的攻击特征添加到代理级别的控制台，并提供远程管理功能。这种IDS产品有Intellitactics Network Security Monitor和Open Esecurity Platform。

IDS分类3－File Integrity Checkers（文件完整性检查器）：当一个系统受到攻击者的威胁时，它经常会改变某些关键文件来提供持续的访问和预防检测。通过为关键文件附加信息摘要（加密的杂乱信号），就可以定时地检查文件，查看它们是否被改变，这样就在某种程度上提供了保证。一旦检测到了这样一个变化，完整性检查器就会发出一个警报。而且，当一个系统已经受到攻击后，系统管理员也可以使用同样的方法来确定系统受到危害的程度。以前的文件检查器在事件发生好久之后才能将入侵检测出来，是“事后诸葛亮”，出现的许多产品能在文件被访问的同时就进行检查，可以看做是实时IDS产品了。该类产品有Tripwire和Intact。

IDS分类4－Honeypots（蜜罐）：关于蜜罐，前面已经介绍过。蜜罐的例子包括Mantrap和Sting。

IDS分类5－Host-based IDS（基于主机的IDS）：这类IDS对多种来源的系统和事件日志进行监控，发现可疑活动。基于主机的IDS也叫做主机IDS，最适合于检测那些可以信赖的内部人员的误用以及已经避开了传统的检测方法而渗透到网络中的活动。除了完成类似事件日志阅读器的功能，主机IDS还对“事件/日志/时间”进行签名分析。许多产品中还包含了启发式功能。因为主机IDS几乎是实时工作的，系统的错误就可以很快地检测出来，技术人员和安全人士都非常喜欢它。基于主机的IDS就是指基于服务器/工作站主机的所有类型的入侵检测系统。该类产品包括Kane Secure Enterprise和Dragon Squire。

IDS分类6－Hybrid IDS（混合IDS）：现代交换网络的结构给入侵检测操作带来了一些问题。首先，默认状态下的交换网络不允许网卡以混杂模式工作，这使传统网络IDS的安装非常困难。其次，很高的网络速度意味着很多信息包都会被NIDS所丢弃。Hybrid IDS（混合IDS）正是解决这些问题的一个方案，它将IDS提升了一个层次，组合了网络节点IDS和Host IDS（主机IDS）。虽然这种解决方案覆盖面极大，但同时要考虑到由此引起的巨大数据量和费用。许多网络只为非常关键的服务器保留混合IDS。有些产商把完成一种以上任务的IDS都叫做Hybrid IDS，实际上这只是为了广告的效应。混合IDS产品有CentraxICE和RealSecure Server Sensor。

IDS分类7－Network IDS（NIDS，网络IDS）：NIDS对所有流经监测代理的网络通信量进行监控，对可疑的异常活动和包含攻击特征的活动作出反应。NIDS原本就是带有IDS过滤器的混合信息包嗅探器，但是它们变得更加智能化，可以破译协议并维护状态。NIDS存在基于应用程序的产品，只需要安装到主机上就可应用。NIDS对每个信息包进行攻击特征的分析，但是在网络高负载下，还是要丢弃些信息包。网络IDS的产品有SecureNetPro和Snort。

IDS分类8－Network Node IDS（NNIDS，网络节点IDS）：有些网络IDS在高速下是不可靠的，装载之后它们会丢弃很高比例的网络信息包，而且交换网络经常会妨碍网络IDS看到混合传送的信息包。NNIDS将NIDS的功能委托给单独的主机，从而缓解了高速和交换的问题。虽然NNIDS与个人防火墙功能相似，但它们之间还有区别。对于被归类为NNIDS的个人防火墙，应该对企图的连接做分析。例如，不像在许多个人防火墙上发现的“试图连接到端口xxx”，一个NNIDS会对任何的探测都做特征分析。另外，NNIDS还会将主机接收到的事件发送到一个中心控制台。NNIDS产品有BlackICE Agent和Tiny CMDS。

IDS分类9－Personal Firewall（个人防火墙）：个人防火墙安装在单独的系统中，防止不受欢迎的连接，无论是进来的还是出去的，从而保护主机系统。注意不要将它与NNIDS混淆。个人防火墙有ZoneAlarm和Sybergen。

IDS分类10－Target-Based IDS（基于目标的IDS）：这是不明确的IDS术语中的一个，对不同的人有不同的意义。可能的一个定义是文件完整性检查器，而另一个定义则是网络IDS，后者所寻找的只是对那些由于易受攻击而受到保护的网络所进行的攻击特征。后面这个定义的目的是为了提高IDS的速度，因为它不搜寻那些不必要的攻击。 （Intrusion Detection Working Group，入侵检测工作组）

入侵检测工作组的目标是定义数据格式和交换信息的程序步骤，这些信息是对于入侵检测系统、响应系统以及那些需要与它们交互作用的管理系统都有重要的意义。入侵检测工作组与其它IETF组织协同工作。 （事件处理）

检测到一个入侵只是开始。更普遍的情况是，控制台操作员会不断地收到警报，由于根本无法分出时间来亲自追踪每个潜在事件，操作员会在感兴趣的事件上做出标志以备将来由事件处理团队来调查研究。在最初的反应之后，就需要对事件进行处理，也就是诸如调查、辩论和起诉之类的事宜。 （事件响应）

对检测出的潜在事件的最初反应，随后对这些事件要根据事件处理的程序进行处理。 （孤岛）

孤岛就是把网络从Internet上完全切断，这几乎是最后一招了，没有办法的办法。一个组织只有在大规模的病毒爆发或受到非常明显的安全攻击时才使用这一手段。 （混杂模式）

默认状态下，IDS网络接口只能看到进出主机的信息，也就是所谓的non-promiscuous（非混杂模式）。如果网络接口是混杂模式，就可以看到网段中所有的网络通信量，不管其来源或目的地。这对于网络IDS是必要的，但同时可能被信息包嗅探器所利用来监控网络通信量。交换型HUB可以解决这个问题，在能看到全面通信量的地方，会都许多跨越（span）端口。

Routers（路由器）

路由器是用来连接不同子网的中枢，它们工作于OSI 7层模型的传输层和网络层。路由器的基本功能就是将网络信息包传输到它们的目的地。一些路由器还有访问控制列表（ACLs），允许将不想要的信息包过滤出去。许多路由器都可以将它们的日志信息注入到IDS系统中，提供有关被阻挡的访问网络企图的宝贵信息。 （扫描器）

扫描器是自动化的工具，它扫描网络和主机的漏洞。同入侵检测系统一样，它们也分为很多种，以下分别描述。

扫描器种类1－NetworkScanners（网络扫描器）：网络扫描器在网络上搜索以找到网络上所有的主机。传统上它们使用的是ICMP ping技术，但是这种方法很容易被检测出来。为了变得隐蔽，出现了一些新技术，例如ack扫描和fin扫描。使用这些更为隐蔽扫描器的另一个好处是：不同的操作系统对这些扫描会有不同的反应，从而为攻击者提供了更多有价值的信息。这种工具的一个例子是nmap。

扫描器种类2－Network Vulnerability Scanners（网络漏洞扫描器）：网络漏洞扫描器将网络扫描器向前发展了一步，它能检测目标主机，并突出一切可以为黑客利用的漏洞。网络漏洞扫描器可以为攻击者和安全专家使用，但会经常让IDS系统“紧张”。该类产品有Retina和CyberCop。

扫描器种类3－Host VulnerabilityScanners（主机漏洞扫描器）：这类工具就像个有特权的用户，从内部扫描主机，检测口令强度、安全策略以及文件许可等内容。网络IDS，特别是主机IDS可以将它检测出来。该类产品有SecurityExpressions，它是一个远程Windows漏洞扫描器，并且能自动修复漏洞。还有如ISS数据库扫描器，会扫描数据库中的漏洞。 （脚本小子）

有些受到大肆宣扬的Internet安全破坏，如2000年2月份对Yahoo的拒绝服务攻击，是一些十来岁的中学生干的，他们干这些坏事的目的好象是为了扬名。安全专家通常把这些人称为脚本小子（Script Kiddies）。脚本小子通常都是一些自发的、不太熟练的cracker，他们使用从Internet 上下载的信息、软件或脚本对目标站点进行破坏。黑客组织或法律实施权威机构都对这些脚本小孩表示轻蔑，因为他们通常都技术不熟练，手上有大把时间可以来搞破坏，他们的目的一般是为了给他们的朋友留下印象。脚本小子就像是拿着抢的小孩，他们不需要懂得弹道理论，也不必能够制造枪支，就能成为强大的敌人。因此，无论何时都不能低估他们的实力。 （躲避）

躲避是指配置边界设备以拒绝所有不受欢迎的信息包，有些躲避甚至会拒绝来自某些国家所有IP地址的信息包。 （特征）

IDS的核心是攻击特征，它使IDS在事件发生时触发。特征信息过短会经常触发IDS，导致误报或错报，过长则会减慢IDS的工作速度。有人将IDS所支持的特征数视为IDS好坏的标准，但是有的产商用一个特征涵盖许多攻击，而有些产商则会将这些特征单独列出，这就会给人一种印象，好像它包含了更多的特征，是更好的IDS。大家一定要清楚这些。 （隐藏）

隐藏是指IDS在检测攻击时不为外界所见，它们经常在DMZ以外使用，没有被防火墙保护。它有些缺点，如自动响应。

关于暗度陈仓黑客技术和的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。