从攻击者角度来阐述如何防御黑客攻击

　　三、分布式拒绝服务攻击

　　分布式拒绝服务攻击又称呼为DDOS攻击。DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高它的效果是明显的。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DoS攻击的困难程度加大了-目标对恶意攻击包的"消化能力"加强了不少，例如你的攻击软件每秒钟可以发送3,000个攻击包，但我的主机与网络带宽每秒钟可以处理10,000个攻击包，这样一来攻击就不会产生什么效果。

　　如果你理解了DoS攻击的话，它的原理就很简单。如果说计算机与网络的处理能力加大了10倍，用一台攻击机来攻击不再能起作用的话，攻击者使用10台攻击机同时攻击呢?用100台呢?DDoS就是利用更多的傀儡机来发起进攻，以比从前更大的规模来进攻受害者。而我们最常理解的含义为。 如果您的网站最高可以容纳5000人访问?

　　那么攻击者可以模拟出大概10万人来同时访问你的网站，那么这么多人同时访问势必会造成带宽被消耗导致CPU升高，从而达到瘫痪网站的目的然而 网络黑客不到万不得以的情况下不会使用DDOS等攻击方式， 因为虽然能最快速的达到目标网站瘫痪的目的，但是还是存在很多弊端。比如，每使用一次DDOS攻击，那么网络黑客就要损失10%-20%左右的肉鸡，另外这种攻击方式对黑客本身来说没有一点利益关系，因为你既得不到你想要的东西 又不能入侵他。所以DDOS攻击虽然是最“狠”的但也是最不长用的一种攻击方式。

　　因为没有办法做出事例，所以我找到了一些具体的图片供大家参考：

　　如图：11.12.

　　分布式拒绝服务攻击防御方法：目前来说没有好的方法防御，黑客跟“你”比的是带宽。

　　建议：使用硬件防火墙 或者进行数据分流可以有效的防御DDOS攻击。

　　四、社会工程学

　　我们通常把基于非计算机的欺骗技术叫做社会工程。社会工程中，攻击者设法设计让人相信它是其他人。这就像攻击者在给人打电话时说自己是某人一样的简单。因为他说了一些大概只有那个人知道的信息，所以受害人相信他。 社会工程的核心是，攻击者设法伪装自己的身份并设计让受害人泄密私人信息。这些攻击的目标是搜集信息来侵入计算机系统的，通常通过欺骗某人使之泄露出口令或者在系统中建立个新帐号。

　　其他目标使侦察环境，找出安装了什么硬件和软件，服务器上装载了什么补丁等等。 另外一般黑客在拿到同一个机房一台密码之后，会使用这个密码尝试登陆其他的机器，因为如果是同一个管理员的话那么他很有可能在他管理的服务器上都使用同一个密码。或者是通过破解一个管理员的油箱伪造他给另外的管理员发信息。

　　通过观察得到这位斑竹的资料 如图15

　　通过了解得知 此版主的油箱为zhxxx@163.com 生日为 1979.2.12，如果我们了解163的油箱机制，我们就可以知道通过密码保护找回163油箱密码是需要生日的。所以我们在163油箱那里点击忘记密码，通过密码提示问题找回。要求我们输入生日 呵呵 我们在那里输入1979年2月12日，成功的进入第二步。如图16

　　他的问题是MYNAME。那就是他的名字哦?可是我们不知道怎么办呢?不怕。我们知道万网有一个域名信息查询的功能，可以查询出注册域名的人的地址。名字等等，我们百度搜索，选择地址为http://www.123cha.com/domain/ 的查询功能，输入域名为21xxx.net，点查询，我们来看看反回的信息 如图17

　　从信息中我们可以得知Registrant Organization ......... zhangqifeng 他的名字叫zhangqifeng，我们去试一下，如图18

　　看到没。我们已经成功的设置了他油箱的新密码 呵呵我们就可以通过登陆他的油箱来获取更多的信息了， 怎么样?社会工程学的强大能力领教了吧?

　　社会工程学防御方法：

　　尽量在不同的地方使用不一样的密码，轻易不要相信陌生人所提供的资料。在互联网上尽量不要透漏自己过多的信息如家庭情况，手机号，生日等等。

　　总结：

　　这里我只列举出来了四个最常用也是成功率比较高的攻击方法，那么就国内网络安全现状来说。一般的网络管理员存在着最重要的误那就是管理员本身认为给服务器上一套设备。比如硬件防火墙 IDS、IPS等等就可以有效的阻止黑客攻击。其实不是这样的，工具是死的，人是活的。黑客在渗透过程中是靠着自己的智慧 与管理员斗的是经验。 任何一个工具都有他的弊端 工具不是每次都那么好用的。另外企业内部员工本身也存在着安全意识薄弱，对安全不够重视等等，所以企业内部员工对信息安全意识是非常重要的。

　　目前国内大部分网络安全公司都有开设对企业员工进行信息安全培训的科目，通过对企业内部员工进行简单评估来做出决定，以考虑需要进行哪些培训，如何进行培训等等。另外中小型企业规模往往比较小，不足以实行多种培训计划。要清楚中小企业的大部分电脑使用者并不是专业人员，相关的培训应该简单且接近企业用户的水平。 其次，需要考虑的是中小企业信息安全方面需要培训哪些内容。一般而言，需要考虑的培训内容包括：用户管理、网络与电子邮件、移动设备与便携设备使用、保密协议以及一些系统安全等 通过简单的培训使得企业员工有简单的安全意识就可以了。

　　随着越来越多的企业成立，越来越多的网站在互联网上开通，网络安全的重要性愈法的体现出来了。在这里我还是呼吁更多的人来关注网络安全!