摘要：在今天的信息时代，计算机网络的应用已经涉及到了社会的方方面面，人们的生活与网络密不可分，从而网络系统的安全、可靠性也成为用户最为关注的焦点。而各类不安全因素中，又属黑客攻击最为棘手，认真研究当今黑客入侵的手段及其相应的防范对策，对计算机网络用户提供安全是很有必要的，对黑客常用的攻击手段进行了较为全面地剖析，并提出了防范黑客的一些可行性措施。
关键词：网络安全；黑客；防范技术
1 网络安全
由于早期网络协议对安全问题的忽视，以及在使用和管理上的无序状态，网络安全受到严重的威胁，安全事故屡有发生。网络安全是对网络信息保密性、完整性和网络系统的可用性的保护，影响网络安全的因素主要包括网络信息的无序性、计算机病毒、黑客入侵和信息污染等，而其中黑客攻击是最棘手的难题。针对病毒防范，大多网络用户都会采取两个方面的保护与防范：一是在思想上重视、管理上到位，二是依靠防病毒软件。这两者是缺一不可的。相对来说，网络用户对于黑客攻击的防范显得有点力不从心，对黑客入侵的手段防不胜防，常常在不知不觉中的状态下受到攻击，当然带来的损失也是惨重的，常常是亡羊补牢，为时已晚。因此，认真研究当今黑客入侵的手段及其相应的防范对策，为计算机网络用户提供安全很有必要。网络信息安全分为网络安全和信息安全两个层面。网络安全包括系统安全，即硬件平台、操作系统、应用软件；运行服务安全，即保证服务的连续性、高效率。信息安全则主要是指数据安全，包括数据加密、备份、程序等。目前，大多数计算机使用的操作系统winnt、win2000等都几乎存在安全漏洞(bugs)，其中某些是操作系统或应用软件自带的，这些漏洞在补丁未被开发出来之前一般很难防御黑客的破坏，除非将网线拔掉；还有一些漏洞是系统管理员配置错误引起的，如在网络文件系统中，将目录和文件以可写方式调出，将未加shadow的用户密码以明码方式存放在某一目录之下，给黑客带来可乘之机，使黑客任意修改、删除数据库中的参数设定或有关数据、复制文件、非法窥视服务器中的数据，从而达到破坏的目的。wwW.133229.Com
2 黑客的攻击原理
(1)拒绝服务攻击。
拒绝服务(denial of service，dos)攻击是一种利用tcp/ip协议的弱点和系统存在的漏洞，对网络设备进行攻击的行为。它以消耗网络带宽和系统资源为目的，对网络服务器发送大量“请求”信息，造成网络或服务器系统不堪重负，致使系统瘫痪而无法提供正常的网络服务。拒绝服务攻击的典型方法是syn flood类型的攻击。
(2)恶意程序攻击。
黑客在收集信息的过程中利用trace route程序，snmp等一些公开的协议或工具收集驻留在网络系统中的各个主机系统的相关信息，然后会探测目标网络上的每台主机，利用一些特殊的数据包传送给目标主机，使其做出相对应的响应，由于每种操作系统的响应时间和方式都是不一样的，黑客利用这种特征把得到的结果与准备好的数据库中的资料相对照，从中便可轻而易举地判断出目标主机操作系统所用的版本及其他相关信息，尤其是对于某些系统，互联网上已发布了其安全漏洞所在，但用户由于不懂或一时疏忽未下载并安装网上发布的该系统的“补丁”程序，那么黑客就可以自己编写一段程序进入到该系统进行破坏。还有一些黑客准备了后门程序，即进入到目标系统后为方便下一次入侵而安装在被攻击计算机系统内的一些程序，为该计算机埋下了无穷无尽的隐患，给用户造成了不可预测的损失。
(3)欺骗攻击。
每一台计算机都有一个ip地址，登录时服务器可以根据这个ip地址来判断来访者的身份。tcp/ip协议是用ip地址来作为网络节点的惟一标识，因此攻击者可以在一定范围内直接修改节点的ip地址，冒充某个可信节点的ip地址进行攻击，欺骗攻击就是一种利用假ip地址骗取服务器的信任，实现非法登录的入侵方法。
(4)对用户名和密码进行攻击。
此种攻击方式大致分为三种情况，一是对源代码的攻击，对于网站来说，由于asp的方便易用，越来越多的网站后台程序都使用asp脚本语言。但是，由于asp本身存在一些安全漏洞，稍不小心就会给黑客提供可乘之机。用户名与口令往往是黑客们最感兴趣的东西，如果被通过某种方式看到源代码，后果是严重的。第二种攻击的方法就是监听，用户输入的密码需要从用户端传送到服务器端进行系统对其的校验，黑客能在两端之间进行数据监听。一般系统在传送密码时都进行了加密处理，即黑客所得到的数据中不会存在明文的密码，因此，这种手法一般运用于局域网，一旦成功，攻击者将会得到很大的操作权益。第三是解密，就是使用穷举法对已知用户名的密码进行解密。这种解密软件对尝试所有可能字符所组成的密码。这种方法十分耗时，但在密码设置简单的情况下却比较容易得手。
3 对策
(1)利用防火墙来阻止网络攻击。
防火墙(firewall)是在计算机和internet提供屏障的程序或设备，可以通过配置合理的防火墙来防止网络黑客的攻击事件发生。防火墙还可以被用来隔离局域网中的计算机，以免受来自internet的威胁。如果到达防火墙的数据包不满足所指定的条件，那么防火墙就阻止这些数据包进入局域网，但防火墙对于已授权的连接却是透明的。所有的内外连接都强制性地经过这一保护层接受检查过滤，只有被授权的通信才允许通过。“防火墙”的安全意义是双向的，一方面可以限制外部网对内部网的访问；另一方面也可以限制内部网对外部网中不健康或敏感信息的访问。同时，“防火墙”还可以对网络存取访问进行记录和统计，对可疑动作报警，以及提供网络是否受到监视和攻击的详细信息。防火墙系统的实现技术一般分为2种，一种是分组过滤技术；一种是代理服务技术。分组过滤基于路由器技术，其机理是由分组过滤路由器对ip分组进行选择，根据特定组织机构的网络安全准则过滤掉某些ip地址分组，从而保护内部网络。代理服务技术是由一个高层应用网关作为代理服务器，对于任何外部网的应用连接请求首先进行安全检查，然后再与被保护网络应用服务器连接。代理服务技术可使内、外网络信息流动受到双向监控。
(2)加强教育和宣传。
黑客的攻击之所以能经常得逞，其主要原因就是人们思想麻痹，没有正视黑客入侵所造成的严重后果。人们经常在有意无意之中就泄露了信息，这些就为黑客开了方便之门。因此要大力宣传计算机病毒的危害，要宣传可行的预防病毒的措施，使大家提高警惕。要普及计算机软件的基本知识，使人们了解病毒入侵计算机的原理和感染方法，以便及早发现，及早清除。特别对未成年人，应从小培养网络用户的合法上网概念，防止有害信息的传播和渗透。另外，对工作人员应结合机房、硬件、软件、数据和网络等各方面的安全问题，进行安全教育，提高工作人员的保密观念和责任心；加强业务、技术的培训，提高操作技能；教育工作人员严格遵守操作规程和各项保密规定，防止人为事故的发生。
(3)建立、健全法律和管理制度。
加强网络立法，健全信息安全法规体系。网络信息安全的防范是一项复杂的系统工程，它不仅是一个技术问题，更应该属于法律范畴的问题。单纯的技术防范很难完全保证网络信息的安全，建立完善的信息安全法规体系是保证网络信息安全的基石，只有不断制定和完善法规体系，才能做到有法可依、有法必依、执法必严、违法必究，才能更好维护网络安全。
应建立一个实时有效的安全管理机构，这个系统不仅接收来自ids、防火墙与安全文件发出的警告信息，以及路由器等设备的报告，还能实时地收集操作系统以及应用程序的日志文件，提取与安全有关的文件，并对数据进行规范化处理，更主要的是要对各处收集来的数据进行实时关联，这些安全事件数据的相关性能使主管部门知道问题的所在，迅速地做出正确的反应，把网络信息遭受的损失减小到最低限度，从而确保实现网络信息的安全。在建立起具有权威性的信息安全管理机构后，进一步制定健全的管理制度，最大限度地避免别有用心的人利用网络的漏洞，恶意攻击网络。
