網絡攻擊技術及攻擊實例介紹

2024年3月2日發(作者：我成長我快樂作文)

網絡攻擊技術及攻擊實例介紹

摘要：隨著計算機網絡的廣泛使用，網絡攻擊技術也迅猛發展。研究網絡攻擊帶來的各種威脅，有針對性的對這些威脅進行有效防范，是加固安全防御體系的重要途徑。研究計算機網絡攻擊技術，模擬黑客行為，以敵手推演為模型、以攻防對抗為實踐方式來驗證網絡整體安全防護效能，是加強網絡安全防護的一種重要手段。本文介紹了WEB腳本入侵攻擊、緩沖區滋出攻擊、木馬后門攻擊、網絡設備攻擊、內網滲透攻擊、拒絕服務攻擊、網電空間對抗六種典型網絡攻擊技術及伊朗核設施遭震網技術的網絡攻擊案例。

一、 網絡攻擊技術分類

計算機網絡攻擊是網絡攻擊者利用網絡通信協議自身存在的缺陷、用戶使用的操作系統內在缺陷或用戶使用的程序語言本身所具有的安全隱患，通過使網絡命令或者專門的軟件非法進人本地或遠程用戶主機系統，獲得、修改、刪除用戶系統的信息以及在用戶系統上插入有害信息，降低、破壞網絡使用效能等一系列活動的總稱。

從技術角度看，計算機網絡的安全隱患，一方面是由于它面向所有用戶，所有資源通過網絡共享，另一方面是因為其技術是開放和標準化的。層出不窮的網絡攻擊事件可視為這些不安全因素最直接的證據。其后果就是導致信息的機密性、完整性、可用性、真實性、可控性等安全屬性遭到破壞，進而威脅到系統和網絡的安全性。

從法律定義上，網絡攻擊是入侵行為完全完成且入侵者已在目標網絡內。但是更激進的觀點是(尤其是對網絡安全管理員來說)，可能使一個網絡受到破壞的所有行為都應稱為網絡攻擊，即從一個入侵者開始對目標機上展開工作的那個時刻起，攻擊就開始了。通常網絡攻擊過程具有明顯的階段性，可以粗略的劃分為三個階段: 準備階段、實施階段、善后階段。

為了獲取訪問權限，或者修改破壞數據等，攻擊者會綜合利用多種攻擊方法達到其目的。常見的攻擊方法包括：網絡探測、欺騙、嗅探、會話劫持、緩沖區滋出、 口令猜解、木馬后門、社交工程、拒絕服務等。

網絡滲透是網絡攻力的核心，攻擊者通過一步步入侵目標主機或目標服務器，達到控制或破壞目標的目的。攻擊者往往通過對這些技術的綜合使用，對一個看似安全的網絡，尋找到一個很小的安全缺陷或漏洞，然后一步一步將這些缺口擴大，最終導致整個網絡安全防線的失守，從而掌控整個網絡的控制權限。

劍有雙刃，網絡滲透攻擊可以成為攻擊者手中的一種破壞性極強的攻擊手段， 也可以成為網絡管理員和安全工作者保護網絡安全的重要方案設計來源。下面分別介紹這些滲透攻擊技術。

二、 信息踩點與收集

對于攻擊者而言，目標網絡系統上的任何漏洞都有可能成為撕開網絡安全防線的一個突破口 。攻擊者踢點與收集的信息，無非就是找到這條防線中最薄弱的那個環節。首先獲取盡可能詳細的目標信息，然后制定人侵方案，尋找突破口進人內部網絡，再提升權限控制目標主機或網絡。信息踩點主要有以下三個方面。

(一) 管理員用戶信息收集

攻擊者通過網絡搜索引擎、實地了解、電話咨詢等方式，利用社會工程學方式，收集目標系統或網絡的歸屬性質、重要用戶、結構分支、郵件聯系地址、電話號碼、QQ或MSN等各種社交網絡注冊賬戶及信息，以及主要管理

員的網絡習慣等。這些信息可用作制作弱口令猜解字典以及釣魚攻擊的先驗知識。

(二) 服務器系統信息收集

利用各種掃描工具，收集服務器對外提供的服務，并測試其是否存在開放式的漏洞。常用的針對系統漏洞的掃描工具有NESSUS、SSS、ISS、X-scan、Retha等。針對服務端口的掃描工具有Nmap、 Super Scan 、 Amap等。針對WEB頁面眼務的掃描工具有SQL掃播器、PHP掃描器、上傳漏洞掃描器等，以及WEB站點掃描工具如Appscan、 Acunetix Web Vulnerability Scanner、Jsky等。針對數據庫的掃描工具有shadow Databa scanner、NGSSQuirreL、SQL弱口令掃描器等。另外還可 以根據需要自己開發專門的漏洞驗證掃描器。

(三) 網絡信息收集

攻擊者通過Google Hacking、WHOIS、DNS查詢以及網絡拓撲掃描器(如Solar winds等)，對目標網絡拓撲結構、IP分布情況、網絡連接設備信息、眼務器分布情況等信息進行收集。

三、 WEB腳本入侵攻擊

WEB服務作為現今Intemet上使用最廣泛的服務，底層軟件龐大、配置復雜、 漏洞較多，因此攻擊手段也最多；一旦WEB服務被攻破，可能成為攻擊者滲透進內網的跳板。WEB服務往往大量采用動態網頁，例如，使用ASP、

PHP和JSP等腳本。針對動態網頁的腳本攻擊方法越來越流行，包括文件上傳、注入、暴庫、旁注、Cookies欺騙、xss跨站腳本攻擊、跨站偽造請求攻擊、遠程文件包含攻 擊等。

WEB腳本人侵主要以WEB服務器以及數據庫服務器為入侵攻擊對象，采用腳本命令或瀏覽器訪問的方式對目標實施人侵攻擊。在攻擊者對一個WEB站點完成踩點和信息收集之后，可以采取數據庫人侵或者各種腳本漏洞獲取到后臺管理權限，再取得webshell權限，繼而通過webshell提升權限打開內網滲透的突破口。

由于WEB腳本人侵所有操作都是通過80端口進行數據傳送，可以順利的穿透防火墻，這種無孔不人的攻擊方式讓網站管理員難于防范。WEB腳本攻擊技術 多種多樣，并且時刻都在更新。

(一) SQL注人攻擊

SQL注人攻擊技術自2004年開始逐步發展，并日益流行，已成為WEB入侵 的常青技術。這主要是因為網頁程序員在編寫代碼時，沒有對用戶輸人數據的合法性進行判斷，使得攻擊者可以構造并提交一段惡意的數據，根據返回結果來獲得數據庫內存儲的敏感信息。由于編寫代碼的程序員技術水平參差不齊，一個網站的代碼量往往又大得驚人，使得注入漏洞往往層出不窮，也給攻擊者帶來了突破的機會。 SQL常用的注人工具有：pangolin. NBSI3.0等。

(二) 數據庫人侵攻擊

數據庫人侵包括默認數據庫下載、暴庫下載以及數據庫弱口令連接等攻擊方式。默認數據庫漏洞，是指部分網站在使用開源代碼程序時，未對數據庫路徑以及文件名進行修改，導致攻擊者可以直接下載到數據庫文件進行攻擊。暴庫下載攻擊是指利用 IIS 的％5C編碼轉換漏洞，造成攻擊者在提交特殊構造的地址時，網站將數據庫真實物理路徑作為錯誤信息返回到瀏覽器中。攻

擊者即可以此下載到關鍵數據庫。數據庫弱口令連接人侵，攻擊者通過掃推得到的弱口令，利用數據庫連接 工具直接連接到目標主機的數據庫上，并依靠數據庫的存儲過程擴展等方式，添加后門賬號、執行特殊命令。

(三) 文件上傳漏洞人侵

網站的上傳漏洞是由于網頁代碼中文件上傳路徑變量以及文件名變量過濾不嚴造成的，利用這個漏洞可以將如.ASP等格式的網頁木馬上傳到網站服務器，繼而獲得網站的服務器權限。很多網站都提供文件上傳功能，以方便用戶發圖、資源共享等。但由于上傳功能限制不嚴，導致了漏洞的出現。上傳漏洞的成因如下：首先，對文件的擴展名或文件頭驗證不嚴密，導致上傳任意或特殊文件；其次，對上傳文件的文件頭標識驗證不嚴，也會導致文件上傳漏洞。如攻擊者可以修改文件頭偽裝圖片，或對圖片和木馬進行合并，寫入數據庫中，然后通過數據庫備份將文件保存為指定格式的木馬文件。

(四) 跨站腳本攻擊

跨站攻擊，即ecosssitescriptexecution(通常簡寫為xss， 因為CSS與層疊樣式表同名，故改為XSS)是指攻擊者利用網站程序對用戶輸入過濾不足，輸入可以顯不在頁面上對其他用戶造成影響的HTML代碼，從而盜取用戶資料、利用用戶身份進行某種動作或者對訪問者進行病毒侵害的一種攻擊方式。

使用最多的跨站攻擊方法莫過于cookie竊取，即獲cookie后直接借助工具或其他可修改cookie的瀏覽器，被攻擊者在訪問網頁時，其cookies將被盜取。

跨站攻力還有一種用法是讀取本地文件。

跨站腳本攻擊的方式主要還是依靠利用者的javascript編程水平，攻擊者編程水平夠高，就能達到更為復雜的攻擊效果。諸如Attack API, XSS shell、XSS蠕蟲、讀取瀏覽器密碼、攻擊Firefox插件等等。

(五) webshell權限提升

一般而言，webshell所獲取的權限為 IIS_USER權限，有些組件或應用程序是不能直接運行的。為了提升webshell權限，攻擊者往往會利用服務器上的安全缺陷,或通過各種具有高權限的系統以及應用軟件漏洞，來提高自己程序的執行權限。

四、 緩沖區滋出攻擊

緩沖區溢出(buffer overflow)是一種系統攻擊手段，通過在程序緩沖區寫超出其長度的內容，造成緩沖區溢出，從而破壞程序堆找，使程序轉而執行其他指令達到攻擊目的。

利用緩沖區溢出進行系統攻擊必須滿足的兩個基本條件：第一步，將攻志代碼植入被攻擊程序；第二步，使被攻擊程序跳轉到植入的攻擊代碼處執行，通過精心設計的溢出字符串同時實現這兩個步驟。將溢出字符串作為用戶數據提供給被攻擊程序，用來溢出被攻擊程序的緩沖區，實現溢出攻擊，例如，針對網絡服務程序，構造特殊格式的交互數據包;針對瀏覽器或第三方插件程序，構造特殊格式的網頁；針對辦公程序，構造特殊格式的文檔，等等。通過緩沖區溢出進行系統攻擊的難點在于溢出字符串的設計，其中包括設計良好的返回地址和攻擊代碼 shellcode。 返回地址的設計影響著溢出字符串格式的設計，而sheucode 的存放位置需要根據返回地址的設計來決定。 溢出字符串存放在被攻擊程序的堆找緩沖區內。為了執行溢出字符串中的

shellcode, 返回地址可以設計為直接指向 shellcode 的開始地址；或者可以在

shellcode前加上一段Nop指令，返回地址設計為指向這段NOP指令中的某個地址。

為了提高對返回地址猜測的命中率，溢出字符串中可以存放多份返回地址來提高覆蓋函數原返回地址的成功率。

成功觸發緩沖區溢出后，進程的控制權轉交給shellcode, shellcode是溢出字符串的有效負載，用來實現不同的攻擊功能。shellcode的手工生成十分繁瑣，為加快開發速度，可以通過自動化shellcode生成平臺Metasploit來產生所需的 shellcode,功能包括：本地提取、遠程提權、下載執行、開放端口、反彈連接、增添管理用戶等。

在網絡滲透攻擊中，攻擊者可以利用緩沖區溢出直接控制多臺主機，特別是在內網滲透當中，由于內網主機一般處于防火墻里面，緩沖區溢出攻擊所針對的端口不會被防火墻所屏蔽，因此緩沖區溢出成為內網橫向權限提升最有效的手段之一。

緩沖區溢出有兩種方式，一種是遠程溢出，另外一種是本地溢出。遠程溢出攻擊是網絡攻擊中一種威力巨大的手段。攻擊者可以通過遠程溢出，直接控制目標主機，獲取最高權限：如針對windows的MS08-067漏洞，造成了無數主機被溢出攻擊。本地滋出的危害更多在于webshell提權上面。

緩沖區溢出攻擊根據攻擊目楊又可分為針對操作系統服務、針對WEB平臺服務，以及針對第三方軟件的滋出攻擊。針對操作系統服務漏洞的主要有RFC服務遠程溢出(包含多個，如沖擊波，震蕩波、掃蕩波等)、W1NS服務名稱驗證漏洞、即插即用服務溢出漏洞等針對WEB平臺服務的漏洞有IIS平臺的

IDA、IDQ漏洞， Apache滋出漏洞，WEBDAV溢出漏洞、郵件服務器的溢出漏洞、對FTP服務器的溢出漏洞等。針對第三方應用軟件的溢出漏洞有ccproxy代理溢出漏洞、Serv-U 眼務器漠出漏洞、ISS RealSecure/BlackICE防火墻溢出等。

五、 木馬后門攻擊

木馬后門攻擊是攻擊者延續其攻擊效果的重要手段，包括特洛伊木馬、網頁木馬、隱秘后門、RootKit等方式。攻擊者通過木巧攻擊，最終達到獲取下一時刻服務器控制權限的目的。攻擊的主要手段:文件描綁攻擊、文件自動感染攻擊、網頁掛馬攻擊、賬號密碼破解攻擊，預留后門攻法、RootKit后門攻擊等。

(一) Rootkir技術

Rootkit與普通木馬后門以及病毒的區別在于其更為強大的隱秘性，如通信隱蔽、自啟動項隱藏、文件隱藏、進程通信隱蔽、進程/模塊隱藏、注冊表隱藏、服務隱藏、端口隱藏。Rootkit本身并沒有害處，但它可以作為其他惡意代碼的載體。其極強的隱蔽性給其他惡意代碼的生存及傳播提供了良好的溫床。Rootkit大多數是深入操作系統內核的.通過進行代碼的注人，以及一些針對操作系統的漏洞的溢出攻擊.或通過驅動程序加載的方式進人系統內核。由于在絕大多數現代操作系統中都采用了整體單內核的設計；內核的各個模塊之間是互相透明的，只要Rootkit侵人了內核的任何一個部分，那么它就擁有了整個系統的全部控制權。之后Rootkit可以進行很多操作，例如，隱藏文件、進程，制造隱蔽的網絡通信信道等等。

(二) 網頁掛馬攻擊

網頁木馬通常是指利用 IE瀏覽器的一些漏洞，通過構造出特殊代碼，在網頁中夾帶木馬程序，或一段使得客戶端下載并執行指向木馬程序連接地址的攻擊代碼。使得其他上網者在瀏覽該網頁時，會在后臺悄悄執行網頁中的攻擊代碼，達到控制用戶主機的目的。

常見網頁木馬主要有操作系統自帶lE組件或其他軟件漏洞網頁木馬和應用軟件漏洞網頁木馬。對于第一類，最典型的有MIME漏洞網頁木馬、Active

X漏洞木馬、OBJECT對象漏洞木馬。事實上，被曙光的IE瀏覽器漏洞一直源源不絕，由于網頁木馬是由服務器攻擊客戶端，用戶往往又是信任服務器的，這類攻擊產生的后果和危害往往是非常嚴重的。

六、 網絡設備攻擊

路由器和交換機是最常見的網絡設備，決定著內網與互聯網之間的連接。在攻擊者入侵目標中，路由器和交換機是重要的攻擊對象。在常用網絡設備中，Cisco路由器占據主導地位。下面以cisco為例，介紹攻擊者人侵路由器的方法。

路由器遠程控制方法一般有兩種，一種是telnet或HTTP管理，一種是SNMP代理。前一種方式只適合管理小型局域網路由器，而后一種是更為常用的管理方案。 1. SNMP社區字串弱口令每個SNMP啟用的路由設備都包含一個管理信息模塊(MIB)，這是一種包含簡單等級的數據目錄結構,在這種樹結構中包含設備各種信息。通過SNMP命令GET ，可以檢索MIB的信息，而SET命令則可設置MIB變量。 SNMP協議通過社區(community)字串的概念實現對設備MIB對象訪問的權限。如：

(conf)#snmp-rver community read_only RO

(conf)#snmp-rver community read_write RW

上例中設置了只讀訪問的社區字串read_only和可進行讀寫操作的read_write社區字串。而大部分管理員喜歡使用public和private設置只讀字串和讀寫字串，這種配置結果將給網絡帶來巨大的安全風險。攻擊者可以通過SolarWinds等路由器管理工具掃描到這些弱口令字串，并利用TFTP下載或上傳配置文件，破解其特權密碼 或直接上傳本地修改后的配置文件，達到完全控制路由器的目的。

Cisco配置文件中，意外創建和暴露SNMP共享字符串，可以允許未授權地査閱或者修改感染的設備。這種漏洞是調用SNMP函數中的缺陷引起的。SNMP利用community的標記來劃分object組，可以在設備上查看或者修改它們。在組中的數據組織MIB，單個設備可以有幾個MIBs，連接在一起形成一個大的結構，不同的社團字符串可以提供只讀或者讀寫訪問不同的、可能重疊的大型數掘結構的一部分。

啟用SNMP, 鍵入snmp-rver時，如果社區在設備上不是以有效的社區字串存在，就會不可預料地添加一個只讀社區字率。如果刪除它，這個社區字串中將會在重載設備時重新出現。

缺陷源于SNMPv2的通知(informs)功能的實現，這個功能包括交換只讀社區字符串來共享狀態信息。當一個有漏洞設各處理一條定義接收SNMP

"traps"(陷阱消息)主機的命令時(常規snmp-rver配置)，在trap消息中指定的社團也還是配置成通用，如果它在保存配置中沒有定義。即使社區在前面被刪除并統配置在系統重載前保存到存儲器，也會發生這種情況。

當通過"snmpwalk"(—種檢測SNMP配置正確性的工具)，或者使用設備的只讀社團字符串遍歷基于社團的訪問控制MIB來檢查設備時，就會泄漏讀寫

社團字符串。這意味著知道只讀社區字串允許讀訪問存儲在設備中的MIB,

導致信息泄露。而更為嚴重的是，如果知道讀寫社區字符串就可以允許遠程配置的路由，可以繞開授權認證機制，從而完全控制路由器的整體功能。

七、 內網滲透攻擊

(一) windows系統密碼破解

在內網滲透中，如果能得到域管理員的密碼Hash, 并破解之，將使攻擊者很可能通過此密碼控制到整個網絡。

在windows系統中，某個用戶登陸系統后，其用戶名和密碼都是以明文的方式保存在內存中的。控制用戶登陸的系統進程是， 當有多個用戶同時登陸系統時，系統在每個用戶登陸時都會產生一個進程。當AWGINA模式被設置時，可以用aio等工具直接讀取到當前用戶的密碼。

攻擊者在獲取目標主機emd shell后，可以采用LC5、 SAMInside等工具進行暴力或字典破解。然而，由于windows密碼采用的是NTLMHash加密的方式，對于一個位數不太長密碼，完全可以采用查表法進行破解，opcrack加彩虹表進行查表搜索破解就是一個很好的選擇。其在破解 14位任意字符時，一般都在幾分鐘之內。

(二) ARP欺騙攻擊

ARP協議即地址解析協議address resolution protocol, ARP協議是將Ip地址與網絡物理地址一一對應的協議。負責IP地址和網+實體地址(MAC)之間的轉換。也就是將網絡層(IP層’也就是相當于ISO OSI的第三層)地址解析為

數據連接層(MAC層，也就是相當于 ISOOSI 的第二層)的 MAC地址。ARP表支持在MAC地址和IP地址之間的一一對應關系，并提供兩者的相互轉換。

由于ARP協議無法識別ARP謂求kg響應報文的衣實性，使得攻擊者可以通過搶先構造出ARP報文，對內網所主機以及交換設備進行欺編，從而達到流量重定向的攻擊的目的。

常見內網ARP欺騙攻擊的主要手段有ARP內網掛馬攻擊，ARP內網嗅探攻擊，ARP掛馬攻擊主要使得內網主機在訪問外部網頁時，被強行插入一個惡意網頁木馬鏈接，達到種植木巧的攻擊效果。ARP內網嗅探攻擊主要是攻擊機在被攻擊機與訪問站點之間做一個中間人攻擊，使得所有通信數據先流向攻擊機，再轉發出去。常用內網鳴探攻擊工具有cain 、 cttcrcap。

八、 拒絕服務攻擊

在網絡攻擊中，惡意攻擊者為了破壞目標服務的可用性，或者讓目標服務器進行重啟來執行某些功能，通常會采用拒絕服務攻擊的方式。拒絕服務攻擊的分類方法有很多種，從不同的角度可以進行不同的分類，而不同的應用場合需要采用不同的分類。常用的柜絕服務工具有：SYN Flood, UDP Flood、傀儡僵尸等分布式拒絕服務工具。

拒絕服務攻擊可以是物理的(硬件的)，也可以是邏輯的(logic attack), 也稱為軟件的(sofwareattack)。物理形式的攻擊，如偷竊、破壞物理設備，破壞電源等。

按攻擊的目標又可分為節點型和網絡連接型，前者旨在消耗節點(主機host)資源，后者旨在消耗網絡連接和帶寬。而節點型又可以進一步細分為主機型和應用型，主機型攻擊的目標主要是主機中的公共資源如CPU、磁盤等，

使得主機對所有的服務都不能響應；而應用型則是攻擊特定的應用，如郵件服務、DNS服務、Web服務等。受攻擊時，受害者上的其他服務可能不受影響或者受影響的程度較小(與受攻擊的服務相比而言)。

按照攻擊方式來分可以分為：資源消耗和服務中止。資源消耗指攻擊者試圖消耗目標的合法資源，例如，網絡帶寬、內存和磁盤空間、CPU使用率等。服務中 止則是指攻擊者利用服務中的某些缺陷導致服務崩淸或中止。

按受害者類型可以分為服務器端拒絕服務攻擊和客戶端拒絕服務攻擊。前者是指攻擊的目標是特定的服務器，使之不能提供服務(或者不能向某些客戶端提供某種服務)，例如，攻擊一個web服務器使之不能訪問；后者是針對特定的客戶端，即用戶，使之不能使用某種服務，例如，游戲、聊天室中的"踢人"，即不讓某個特定的用戶登錄游戲系統或聊天室中，使之不能使用系統的服務。大多數的拒絕服務攻擊(無論從種類還是發生的頻率角度)是針對服務器的，針對客戶端的攻擊一般發生得少些，同時因為涉及面小，其危害也會小很多。

按攻擊是否直接針對受害者，可以分為直接拒絕服務攻擊和間接拒絕服務攻擊，如要對某個E-mail賬號實施拒絕服務攻擊，直接對該賬號用郵件炸彈攻擊就屬于直接攻擊為了使某個郵件賬號不可用，攻擊郵件服務器而使整個郵件服務器不可用就是間接攻擊。

按攻擊地點可以分為本地攻擊和遠程(網絡)攻擊，本地攻擊是指不通過網絡，直接對本地主機的攻擊，遠程攻擊則必須通過網絡連接。由于本地攻擊要求攻擊者與受害者處于同一地，這對攻擊者的要求太高，通常只有內部人員能夠做到。

九、 網電空間對抗

隨著軍用信息網絡的發展，網電空間(cyberspace)成為繼陸、海、天之后的又一重要戰場，網電空間對抗技術也逐漸成為各同軍隊爭相發展的熱點。美軍于 2009年6月正式成立網電司令部，全面規劃和管理各軍種網電對抗的指揮控制、信息共享、裝備論證和作戰訓練。

網電空間是通過網絡化系統相關物理基礎設施，利用電子信號和電磁頻譜，存儲、修改和交換數據的域，涵蓋了信息的產生、處理、傳輸、使用、存儲的全過程，包括信息通過電磁信號在電磁頻譜空間中傳輸的過程，是一個全新的作戰域。

網電空間中包含多種異構網絡。異構網絡的連接方式包括物理連接和虛擬連接。物理連接指異構網絡之間通過網絡設備互聯，如計算機網絡和移動通信網絡之間通過網關互聯。虛擬連接指異構網絡之間沒有通過網絡設備進行直接連接，但可 以利用移動介質、終端等實現連接，如外部網絡和隔離網絡之間沒有直接連接但是可以通過移動介質、終端等實現兩個網絡間的信息傳輸。

網電空間對抗的范圍包括網電態勢感知、網電攻擊和網電防御等三大領域其基本模式是結合傳統網絡戰和電子對抗的特色和優勢，實現自上而下、自下而上的信息干預，從而影響認知域。具體的技術發展思路內容包括兩個層面，即實現網絡化的電子對抗和實現電磁化的網路攻擊。

美軍在網電對抗方面已經形成了一系列具有實戰能力的技本和裝備體系，其中比較有代表性的包括：舒特系統、震網攻擊技術、數字大炮、網電飛行

器等。其中震網攻擊技術在針對伊朗核設施的作戰應用中一舉成名，成力目前網電攻擊的典型范例。

十、 攻擊案例——震網攻擊技術

2009年，伊朗核設施中大量濃縮袖離心機報廢，核項目進展嚴重停滯。2011年2月，為防止核泄漏，伊朗宣布暫時卸載其布什爾梭電站的核燃料。據權威反病毒機構分析顯示，造成該事件的罪魁禍首為"超級工廠"（震網)病毒。

經分析發現，超級工廠病毒攻擊核電站的方法是:摧毀核電站的濃縮軸離心機。為了摧毀離心機，病毒使用了三種方法：

(1)在控制濃縮袖離心機的可編程邏輯控制器(PLC)上植人惡意代碼，使離心機和汽輪機超速運行，直至高溫燒毀；

(2)屏蔽監控系統的報警信號，使操作人員不能發現上述異常；

(3)平時處于潛伏狀態，只有當離心機變頻器頻率在600-1200HZ間時才激潔， 以增加隱蔽性。

而伊朗核電站保護重重，物理隔離，為了能成功接觸控制離心機，病毒采用了 三個步驟：

(1)進人核電站：感染核電站工作人員的移動介質和西門子step 7工程文件，在這些介質和工程文件被使用時，感染相應的主機；

(2)網絡滲透：通過移動介質、step 7工程文件和局域網對核電站內部網絡進行不斷的滲透；

(3)定位并攻擊：在滲透過程中，尋找控制可編程邏輯控制器(PLC)的計算機, 并發起攻擊。

核電站的控制網絡結構一共分為四個部分，企業按制網、邊緣網絡、生產操作網絡和過程控制網。

企業校制網，用干對核電站信息的管理。生產操作網，主要用于在控制系統、 ERP系統和企業控制網之間交互信息。邊緣網絡，主要用于對控制系統中的設備進行管理，為終端用戶提供信息、對網絡中軟件提供補丁， 如更新病毒庫等。控制網包含了 PLC編程的計算機，離心機電機以及控制這些電機的可變頻驅動器VFD。

為了保證安全，網絡中還有三層防火墻，每層防火墻過濾規則極為嚴格，除了 工控系統的文件傳輸服務、RFC服務和數據庫服務外，其他全部不允許。處于互聯網的攻擊者，為了能成功攻擊濃縮袖離心機，必須穿透或繞過這幾層網絡和三層防火墻。

震網病毒的滲透攻擊過程如下所述。

(1)攻擊開始時，攻擊人員攻陷某工作人員家中的上網電腦，并通過該電腦感染了他的U盤。該工作人員工作時將被感染的U盤接人企業控制網的客戶端計算機，當用戶打開該磁盤時，觸發一個操作系統漏洞，病毒隱蔽植入該計算機。接著病毒利用網絡漏洞迅速感染企業網內部的其他計算機。

(2)由于核電站網絡中，工作人員常需要通過VPN登錄CAS服務器(中心存檔服務器)，中心服務器上部署了西門子的wincc數據庫。病毒向該數據庫提交一個惡意的SQL請求，就可以攻陷CAS服務器，并在邊緣網絡內部傳播。

(3)存檔服務器相當于一個數據中心，上面的數據來自于控制系統網絡中的 os服務器。使用類似的方法，病毒可穿透后端防火墻，感染0S服務器，

并通過 網絡在其內部感染控制PLC的工作站，對其修改，破壞與之相連的離心機。

以上只是震網病毒其中一種傳播方式，此外還有很多種傳播方式。例如由于病毒能感染西門子工程文件，工作人員可能直接將被感染的文件拷貝到企業網中的客戶端打開，導致病毒進人核電站內部網。