编者注：也许IDS是可以被突破的，但不会是这么容易。
我们的一些顾客谈到Fred Cohen先生写了一篇非常优秀的关于ids系统弱点的文章”50条躲避ids的方法”。所有的50条方法都在下面列 出。原始版本可以从http://all.net得到。Cohen 先生声称ids系统对改善网络安全只能起一点点的作用。他的文章列出了50种攻击者可以躲过 ids的方法。我对这50种方法逐一进行批驳。
这仅仅在宽容接受输入的系统中有效。例如，PHF攻击使用字符串”/cgi-bin/phf”，在它的前面或后面增加任何字符，web server都不 会接受这个请求。如果用”tprof”攻击老的AIX系统时使用上面的方法，”tprof”将会在一些地方被调用。多数ids能正确的匹配。只有极少 数的ids系统试图匹配复杂的模式 ，大部分都只是匹配攻击中的一小部分关键的。
类似第一条。使用tabs代替空格来运行”tprof”，在命令行中会出现”tprof”。这样，基于主机或网络的ids会发现这次攻击。
这要求改变IFS(internal field separator)。许多基于主机的ids将会监测到IFS的改变。许多基于网络的ids不会集中考虑复杂的模式 。无论如何，前三条不会影响基于主机的ids，例如Tripwire，Stalker，CMDS。
逻辑上这是一个吸引人的说法，但现代的攻击一步就能成功。这些攻击会被许多ids发现。复杂的攻击中，它们的一些步骤会被发现。
同样，如果要求有步骤”a”,”b”,”c”，那么ids极有可能发现他们中的一步，不管是那个用户执行它。使用多个账号确实会搞糊涂 管理员，但攻击还是会被发现。
如同第五条。得到root权限的溢出脚本可能有多行，但最关键的只有一行。例如，不得不有一条命令使非特权用户成为特权用户。
同样，类似5和6。多出来的连接会引起基于网络的ids的注意。一些ids产品，例如CMDS将会发现短时间内从多个ip发起的远程连接。
增加了复杂性，但是ids将会察觉这次访问。想象一个ids在“tprof”程序中触发。他将记录这一事件。为/etc/passwd定义一个shell变 量也一样，ids系统将会发现在一次telnet中对/etc/passwd文件的存取。所以，这些技术在基于主机的ids如CMDS,Stalker,Tripwire中几乎不 会有什么作用。
参考8。
这是第一个确实可能的技术。但没有提到在攻击成功后发生的事情。像CMDS这样的工具将察觉不正常的登陆。Tripwire将发现一些后门 。给nmap、strobe这样的工具改名确实是好主意，但是一旦使用他们，基于网络的ids就会发现他们。如果执行一个获得root权限的脚本，许多 ids产品足够察觉攻击中的变化。这已经在4，5，6，7中讨论了。
Bonus attack ? 在攻击指令中加注释，将不会被察觉。如果这是一个得到root权限的脚本，大部分ids系统都健壮到足以发现攻击中的不同。这在4，5，6，7种已经讨论过了。
11.使用不同的命令完成相同的功能。例如，通常在unix shell中 ”echo *”等效于”ls”。
当攻击系统的时候，任然需要运行”tprof”之类。即使在另一个系统上把它编译成仅仅运行”trpof”的二进制程序，许多ids系统如Stalker 、SeOS也会发现从非特权用户向特权用户的转变。
这假定ids系统只搜索指定的文件名，参见11。
同11。
同11。
仅对基于网络的ids有用。基于主机的ids在ssh下对用户行为可以进行完全的控制。
同15。
Dragon，T_Sight和所有版本的DoD NID程序可以对付这些情况。
很可能发现至少一种入侵。这不是一种新技术，如同5，6，7一样。
这发生在入侵成功之后。在入侵成功后怎么处理password文件是很有意思的，但这不属于攻击类型。
如同15。不是一种新的方法。
Bonus attack ? 从一张表里用行号选择命令，而目标执行相应的命令。例如，你可以键入”15 *.com”，而目标却执行”dir *.com” 。
如同15，这只是加密shell命令的一种新办法。
21.DOS IDS的sensor端口。使它失效。
许多基于网络的ids产品经过安全配置，可以在没有ip地址的情况下完成sensor的工作。一些ids产品，例如Dragon，没有任何打开的udp 或tcp端口。RealSecure，NetProwler,NetRanger同样可以去掉ip地址来防止攻击。
还是DOS技术。已经在21条里详细说过了，许多网络ids比周围的环境有更高的安全性。尽管我确信有许多运行在Windows NT上的网络ids 存在操作系统本身的漏洞。
与21、22相同。
SNI就这个问题写了一片非常好的论文。NFR和Dragon网络ids可以避免这些攻击。一般来说，基于主机的ids不会存在这些漏洞。
Ids系统什么时候崩溃呢？如果ids系统记录所有的信息，它可能被管理员注意。攻击者所做的只是提高了管理员的警觉性。
这是一个本地DOS攻击。许多unix操作系统可以抵抗这些本地攻击。主机ids使用单独的进程，同样可以避免。并且，如果服务器负载过 重，管理员会注意到过多的进程。
这是Mr.Cohen文章中我感兴趣的攻击之一。如果我理解正确的化，这意味着使用ids的自动阻断攻击方ip地址的功能来阻断被保护网络主 机。一些ids产品，例如CMDS、NetRanger、NetProwler、RealSecure可以与防火墙或路由器对话。当特定的事件发生，路由器和防火墙将会限 制特定主机的流量。这种技术有一个流量的问题，也就是防火墙和ids系统协同工作的原因。当流量受限时，只限制由外向内的流量。特定主机 不会孤立的被攻击。
如同15。这只是一种伪装shell的新办法。
如同15,28和29。仅仅在网络ids观察telnet或rlogin会话时才有用。这些技术很难轻易的在ftp,http,smtp等其他的协议上使用。
NFR和RealSecure将察觉”emacs”的使用，因为不使用”vi”的人很可能是hacker。同样，这也只是另一个隐藏命令的方法。通常只对telnet 和rlogin有用。
Bonus attack—非常缓慢的输入（每条命令之间最好相隔几个小时）。因为缓存大小的限制，你的输入被一大堆ids不得不看的东西冲掉 了。
网络ids有这样的弱点。主机ids没有。一些网络ids,如NFR、Dragon等能够被配置的足够发现长时间的低带宽的网络会话。
31.改变到目标的路由来躲过ids。
如果有拓扑学知识的话，这将是一种有效的攻击。为了进行这种攻击，必须进行一定的网络解析。这将很容易的被网络ids系统发现。这 种攻击同时要求对对方IDS系统的布置了如指掌。
同31。
几乎所有的防火墙，路由器和服务器都会丢弃并且纪录源路由包。31、32、33都假设有备用的通道可以到达目标，但实际上，网络IDS可 以配置成一个遏制点(网络连接必须经过)。
当然，我们有更多的办法来躲过ids系统，先观察它们，再从他们不会察觉的地方入手。例如，我们可以向被Axent IA，BlackICE，甚至 RealSecure保护的Windows NT系统释放一个病毒。这些ids系统都不会察觉系统级的病毒。
这与33非常象。网络ids通过监听网络通信的办法来实现。如果通信没有被监听到，那么就不会有入侵察觉。这种攻击仅仅当攻击者可以 改变内部网络路由，并且从通信到流量都有其他的存取点。许多网络ids系统可以察觉到改变路由的企图。
文章题目是“50种躲过ids系统的办法”。但这种办法不是躲过ids系统。仅仅是改变了ids检测出的入侵主机。而且你作为跳板的主机可 能也会监测到你的行为。
这样做的前提是攻击者已经可以访问到目标。新的攻击不会以这种方式开始。有许多程序例如NetCat可以做这样的事情。大部分这样的 程序都可以被网络ids发现。RealSecure这样的产品甚至能发现LOKI ICMP(通过icmp包来封装c/s) 会话。
这只是加密网络传输。前提条件是在对方网络里有一个肯合作的系统。
如果对方有一个基于ipx的ids系统，他们就会发现这次攻击。
40．使用不同的隧道协议攻击。例如IP over HTML。
还是加密传输技术。
Bonus Attack ? 为新的工具定义你自己的协议，然后用它攻击。参照40。你控制目标主机，写你自己的加密管道，用它在ids系统面前通信，这并不是躲过ids系统。
同34。
很有意思，但是考虑到网络管理系统被设计为用不为人所理解的方式处理和显示信息。Ids系统也一样。例如，Dragong，在许多不同级 别的提取中，用一些不同的工具来寻找不同的数据。企业级产品例如WebTrends 趋向于用一种非常容易理解的方式来显示所有整理过的安全信 息。攻击者如果照前文所说的做了，他会使目标的alert级别升高。
参考34。一些产品如RealSecure会发现可疑的JAVA和ActiveX下载。带有病毒检测的应用代理防火墙同样可以察觉这样的攻击。
参考43和34。所谓的50种方法并没有达到50种。
这是一个经典的all time攻击。常见的木马可以被许多主机和网络ids发现。一些防火墙甚至可以发现bo的扫描。从另一方面来说，这也 是今天计算机安全所面临的最严重的问题之一。几乎不可能检查二进制程序甚至源码来预测它将要做什么。Ids也做不到，但这也不是你扔掉id s产品的理由。当你想要用E-mai发送敏感的公司信息时，大部分ids或防火墙产品同样也不会发现。
协议不是一个很好的术语。如果这意味着不同的udp/tcp端口，那么网络ids就应该发现它。但是许多网络ids产品仅仅把他们可以理解的 标记为可疑。对以非icmp,udp,tcp的方式进行的攻击，许多ids可以被配置来产生警告。
我不认为这将有用。例如check-cgi程序，他已经传播了好几个月，可以检查70多个cgi漏洞。他被从c移植到Rebol，但在网络层上没有 任何不同。这种方法仅仅当ids只搜寻特定的二进制程序才有效。
没错，但可以建立警戒系统，背景检查，摄像机，员工训练程序等等可以防止这种方法。甚至可以通过法律手段。
一份调查显示NetProwler，NFR Flight Jacket，NetRanger，RealSecure，Dragon，BlackICE 都可以发现多数的windows NT类攻击。
50-1000+.
那些公布的已知的漏洞在哪里？当我们访问Packetstrom和Rootshell时，许多主要的攻击都可以被ids产品覆盖。有一些专门针对ids的 缺点，但大部分攻击，ids都可以察觉。
Bonus attacks—1000+到…….. 写一个新的攻击脚本。Ids仅仅能察觉部分已知的漏洞。
参考50-1000+。
| 结论： |
『引自