駭客在網際網路上的種種惡劣行徑已嚴重破壞了網路的安全與隱私，使得網路難以完全發揮它應該有的功能和潛力，社會大眾對於電子商務或其它網路活動躊躇不前，主要就是因為對安全和個人資料的隱私有所顧慮。
全球資訊界以及相關的業者都努力積極設法解決這個問題，力求保護自己的系統安全，避免遭受駭客的蹂躪。孫子兵法有云：「知己知彼，百戰百勝」，企業應該先瞭解駭客入侵的一般工具和手法，然後才能採取有效的防衛方法，也唯有如此才能收到事半功倍的效果，避免系統當機、信譽財物損失或客戶資料失竊的夢魘一再重現。
本文介紹目前駭客最常使用的一些入侵工具以及防禦的方法，希望能對大家有所幫助。作者特別要強調並且鄭重聲明的是：撰寫本文的目的在於防制駭客，而不是教導入侵，讀者如果利用文中所提到的工具犯案，應該自負法律責任。而在另一方面，用文字介紹防制入侵的方法，等於是紙上談兵，企業必須依據本身的實際情況，請專業資訊科技人員研擬可行的策略與具體行動，在實際測試成功之前，請不要直接採用本文的防制方法，否則如果因而造成損害，也應該自己承擔所有的責任。應附帶一提的是，文中的資料大多取材於國內外駭客網站及討論群組的內容，駭侵的工具也掛在網上人人隨手可得，而且因為容易使用，一些網路或電腦生手也能到處搗亂，這就像在街上公然陳列槍枝武器任人取用一樣，駭客網站是否已經違法因而應該依法取締？相信執法機構必有定見。
密碼（password）破解工具
密碼破解工具非常有用，幾乎所有駭客的工具箱內都有它。駭客在入侵的第一階段，通常先嘗試破解被侵者電腦的password，而大多數的系統包括Windows NT 及UNIX都把password編碼後儲存在電腦的檔案系統裡，以便使用者鍵入password辨認正確無誤後開機，駭客偷到這個檔案後，就會用工具配合一部字典來進行破解工作。密碼破解工具的作用，就是透過解碼求出password，破解工具能把字典中的每一個字編碼後，比較password編碼的「值」，如果兩者相符就找出了password；這種破解方式又稱為「強力破解」（brute-force crack），運轉破解工具的系統愈快，解碼的時間就愈短。破解工具當然也能用來找出上網或電子郵箱的密碼。
駭客破譯密碼如入無人之境
★L0phtCrack
駭客組織「L0pht重工業」（L0pht Heavy Industries）號稱是「白帽駭客菁英中的搖滾巨星」，在1997年發表了L0phtCrack這個程式軟體，功效強大而且容易使用，按一個鍵就可以破解password，連新手也能操作自如。1999年一月的新版本L0phtCrack 2.5更是先進，破解的時間比舊版快了450%，利用一部Pentium II 450 MHz的電腦，對於所有由字母與數字混合的password都可以在一天內破解！
這個軟體本來可以免費下載使用，因為效能驚人而大受歡迎，L0pht為了維持本身基本的開銷，便開始收費美金100元，試用期間15天。
☆L0phtCrack的防禦
l(1) 設定密碼應該注意避免容易猜中，善用各類符號，避免使用字典上的字詞；駭客社會公認由字母、數字與符號合成的七位數密碼（例如a4%H6#@）最難破解。可是有些ISP拒絕用戶使用特殊的符號當密碼，相信他們必然有正當的理由，但這種規定似乎仍然值得研究改進。
l(2) 經常改換密碼，最好每隔一個月改一次。
l(3) 凡是附帶密碼機制的項目，例如開機、硬碟、上網、電子郵件…等，都請設定密碼，不要怕麻煩。
l(4) 有些網站要求使用者先設定一個密碼才能進入，此時千萬不要填入ISP帳號或開機的密碼，因為很多網站會把網友設的密碼儲存在使用使電腦裡的庫集（Cookies）檔內，會讓任何網站都能看到使用者的密碼，駭客就會先試用這些密碼。
l(5) 不要把密碼告訴任何人，如果必須這樣做，也不要用電話或電子郵件表達。
l(6) 不要用自己的生日、電話號碼、車牌號碼、姓名或其它的資料當密碼，以免被身邊隱形的駭客所逞。
以上的方法大家都耳熟能詳似乎是老生常談，了無新意，然而最傳統的基本原則往往是最有效的對策，企業應該訂定明確的密碼政策，讓員工確實遵守，也可以利用一些自動監視軟體，使員工無法設定容易猜到或者字典上的字詞。企業也可以使用L0phtCrack或其它駭侵的工具，測試公司員工所設定密碼的安全性，當然必須小心進行，最好有所規劃並先行預警，以免惹火上身造成不可收拾的局面。
~待續~
轉載自:地下網路電子報
網址:
http://www.ilife.com.tw/undernet/ 
