黑客能够穿透防火墙进行网络攻击

核心提示： 这些技术对在有限制的防火墙后面的用户都是很有帮助，如果允许通过HTTP proxy进行WWW访问，黑客能够穿透防火墙进行网络攻击(2)，那么就有可能使用httptunnel，而且，同时会造成一些安全隐患，但是由于大多数的HTTP tunnel软件还不怎么支持HTTPS，通过telnet 或

这些技术对在有限制的防火墙后面的用户都是很有帮助。如果允许通过HTTP proxy进行WWW访问，那么就有可能使用httptunnel，而且，通过telnet 或是PPP对防火墙以外的访问也就同样有可能了。

很明显可以看出：

用户可以连接那些假定被防火墙所应该屏蔽的外界服务 用户可以使用那些通常被防火墙屏蔽的软件（ICQ，Napster）

攻击者可以使用这种技术来实现远程控制（比如，通过email发送恶意代码）

有一些后门程序同样使用HTTP（S）连接被攻击者控制的外部机器，由攻击者发送指令，实现攻击者与外部机器的交互，相当于使用telnet（通常防火墙会屏蔽这种服务）。

更加糟糕的是，当前使用SSL加密的HTTP变得日益普遍，很多站点都使用这种技术，攻击者（或是内部的人员）因此可以避免任何形式的监控，这是因为任何入侵检测系统都不能解密或是检查HTTPS的数据包。这可就等于任何依赖入侵检测系统检测出去的HTTP-tunnel都形同虚设。

那么为了阻止或是察觉这种行为你有什么可以做的？

首先你可能需要做的是更改你的安全策略，使它达到如下效果，禁止安装通过HTTP来通道的软件如AIM或是ICQ.如果你不能确定所使用的软件是否符合这一规范，联系相关的网络管理员。

你还可以列出一些（禁止使用）软件（如windows下的HTTP-Tunnel）。一般而言，如果一个合法用户需要一些访问外界的一些服务，他们应该联系相关的安全管理员而非试图去绕过被保护的系统。

下面一步该做的工作是强化出去的WWW数据控制（如果你还没有这么做的话），实现的最好方法是安装一个代理服务器同时过滤出去的HTTP访问包，这样用户将被强迫使用代理。如果对HTTPS这样做的话要困难的多，同时会造成一些安全隐患。但是由于大多数的HTTP tunnel软件还不怎么支持HTTPS，你目前还不用过于担心这个。