入侵检测系统，能够实时监控网络传输，自动检测可疑行为，分析来自网络外部入侵信号和内部的非法活动，在系统受到危害前发出警告，对攻击作出实时的响应，并提供补救措施，最大程度地保障安全。 然而"道高一尺，魔高一丈"，换个角度，假如您是个名攻击者，您该如何去做呢？ 当然，按道理来说，IDS发展方向是在确保足够优良的性能的同时，能够对抗相应的IDS攻击方法。
1.重新排列攻击次序
例如攻击顺序是"a;b;c"，并且以"b;a;c"的顺序也能成功。许多IDS将检测不到第二种攻击。逻辑上这是个吸引人的说法，但现代的攻击一步就能成功。这些攻击会被许多IDS发现。复杂的攻击中，他们中的一些步骤会被某些IDS发现。
2.将一个标准的攻击由一个以上的人进行
还使用"a;b;c"的例子，假如用户X进行"a:b"，用户Y进行"c"，那么攻击者几乎肯定不会被发现。同样，假如需要有步骤"a","b","c"，那么IDS极有可能发现他们中的一步，不管是那个用户执行他。使用多个账号确实会迷惑管理员，但攻击还是会被发现。
3. 将一个标准的攻击分在多个会话中完成
第一次登陆进行"a;b"，然后logout，再登陆到系统进行"c"。如同第五条。举例来说，得到root权限的溢出脚本可能有多行，但最关键的只有一行。例如，必然有一条命令，如"su"等，使非特权用户成为特权用户。
4. 用多个IP地址/系统进行攻击
登陆到X、Y，从X进行"a"，从Y进行"b"，再从X进行"c"。同样，随机的变换其IP，多出来的连接会引起小部分基于网络的IDS的注意。一些IDS会发现并记录短时间内从多个ip发起的远程连接。
这种方式在使用随机的代理列表进行网络DDOS攻击时很显著，遗憾的是，很多国产的IDS并不能够有效的对此进行记录。
5. 为攻击中使用的命令定义一个宏
例如，为cp配置一个shell变量$ZZ，然后使用$ZZ代替cp。增加了复杂性，但是IDS必然会记录这次访问。想象一下，当IDS在"tprof"程式中触发时，记录了这一事件。类似的更有，为/etc/passwd定义一个shell变量也相同，IDS系统将会发现在一次telnet中对/etc/passwd文档的存取。
所以，此类技术在基于主机的IDS如Stalker,Tripwire中几乎不会有什么作用。
6. 为命令参数定义一个宏
例如，使用$P代替/etc/passwd。
7. 用脚本代替输入的命令
通常IDS不会注意到这个脚本。这是第一个确实很有威胁的攻击技术。但是没有提到在攻击成功后发生的事情。像CMDS这样的工具将记录异常的登录。Tripwire也会发现一些后门。假如给nmap、strobe这样的工具改名倒是个好主意，但是一旦使用他们，基于网络的IDS就会发现他们。假如执行一个试图获得root权限的脚本，许多IDS产品都能够觉察攻击中的变化。
8. 使用不同的命令完成相同的功能
例如，通常在unix shell中 "echo *"等效于"ls"。当攻击系统的时候，仍然需要运行"tprof"。即使在另一个系统上把他编译成仅仅运行"trpof"的二进制程式，许多IDS系统如Stalker、SeOS也会发现从非特权用户向特权用户的转变。
9. 在攻击中改名
例如，攻击使用临时文档"xxx",您能够把他改名为"yyy"。这只是假定IDS只按照相应的关键字来判断只搜索指定的文档名。
10. 建立一个对照表对关键字进行翻译
然后进行字符替换，例如，能够使用sed作字符替换。
11．对指令加密
例如，使用ssh,能够防止sniffer，网络IDS一般包括sniffer功能。
这种方式仅对基于网络的IDS有用。基于主机的IDS在ssh下对用户行为能够进行完全的控制。
12．发送时使用后缀符号，然后在其他地方再转换回来
IDS不会理解这些符号。
14．和目标机之间用全双工通信，大部分IDS理解不了附加的字符
Dragon，T_Sight和任何版本的DoD NID程式能够对付这些情况。
15．在一次入侵中交互使用一些已知的入侵技术。IDS可能不会全部分辨出
很可能发现至少一种入侵。
16．对daemons发送的结果编码，这样返回的格式将不会被IDS察觉
例如，假如您利用 一个sendmail的bug发送一个password文档给您自己，能够通过管道用一个sed脚本将文档中的":"改变成"-"。这发生在入侵成功之后。在入侵成功后怎么处理password文档是很有意思的，但这不属于典型的攻击行为。
17．通过管道用awk脚本对字符进行交换。能够躲过IDS
这不是一种新的方法。从一张表里用行号选择命令，而目标执行相应的命令。例如，您能够键入"15 *.com"，而目标却执行"dir *.com"。这只是加密shell命令的一种新办法。
18.DOS IDS的sensor端口。使他失效
许多基于网络的IDS产品经过安全的配置，能够在没有IP堆栈的情况下完成sensor的工作。一些IDS产品，例如Dragon，没有任何打开的udp或tcp端口。RealSecure，NetProwler,NetRanger同样能够释放ip堆栈来防止攻击。
19．用pingflood来攻击IDS
通过发送大的ping包，能够使许多运行IDS的系统崩溃，这样他就不会发现随后的攻击。还是DOS技术。许多网络IDS比周围的环境有更高的安全性。
20．攻击IDS所运行的平台。
许多IDS运行在常见的有漏洞的操作系统上。一旦攻击平台得手，对付IDS就轻而易举了。
21．创造错误的审计纪录来迷惑IDS。
例如，在攻击包和正常包之间发送包能够使攻击看起来无害。NFR和Dragon网络IDS能够避免这些攻击。一般来说，基于主机的IDS不会存在这些漏洞。
25．消耗IDS系统的磁盘空间，然后进行攻击。
用无害的数据填充磁盘空间，IDS将崩溃，随后的攻击就不会被发现。Ids系统什么时候崩溃呢？假如IDS系统记录任何的信息，他可能被管理员注意。攻击者所做的只是提高了管理员的警觉性。
26．停止审计记录的生成或采集然后进行攻击。
例如，创建数量很多的进程，那么，IDS系统就不能再创建审计进程。这是个本地DOS攻击。许多unix操作系统能够抵抗这些本地攻击。主机IDS使用单独的进程，同样能够避免。当然，假如服务器负载过重，管理员会注意到过多的进程。
27．攻击响应系统来中断通信。
例如，一些IDS系统会切断从攻击发起处来的任何流量。伪造从特定主机发起的攻击，IDS系统将切断从那台主机来的任何连接，那时就能够攻击这台特定的主机了。这是我很感兴趣的攻击。假如我理解正确的化，这意味着使用IDS的自动阻断攻击方IP地址的功能来阻断被保护网络主机。一些IDS产品，例如CMDS、NetRanger、NetProwler、RealSecure能够和防火墙或路由器联动。当特定的事件发生，路由器和防火墙将会限制特定主机的流量。这种技术有一个流量的问题，也就是防火墙和IDS系统协同工作的原因。当流量受限时，只限制由外向内的流量。那么由内向外就成了一个突破口。
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
