网安 - 专业的网络安全产业、社区、知识平台

可以利用入侵检测系统，顾名思义，它是用来实时检测攻击行为以及报告攻击的。

以下介绍九种IDS入侵检测系统检测攻击行为方法：

第一招：“/./” 字符串插入法

鉴于“./”的特殊作用，我们可以把它插入进URL中来实现URL的变形。这种方法可以绕过Snort等IDS。

第二招：十六进制编码

对于一个字符，我们可以用转义符号“%” 加上其十六进制的ASCII码来表示。但是这种方法对采用了HTTP预处理技术的IDS是无效的。

第三招：“00 ” ASCII码

可以把/msadc/msadcs.dll改写为/msadc/msadcs.dll Iloveheikefangxian，用Winhex将“.dll”与Ilove之间的空格换为00的ASCII码，保存后再用NC配合管道符提交。

第四招：非法Unicode编码

UTF-8编码允许字符集包含多余256个字符，因此也就允许编码位数多于8位。“/”字符的十六进制的ASCII码是2F，用二进制数表示就是00101111。UTF-8格式中表示2F的标准方法仍然是2F，但是也可以使用多字节UTF-8来表示2F。

第五招：加入虚假路径

在URL中加入“/”字符串后，在该字符串后的目录就没有了意义，作废了。因此利用“/”字符串可以达到扰乱了识别标志分析引擎、突破IDS的效果！

第六招：插入多斜线

我们可以使用多个 “/”来代替单个的“/”。这种方法可以绕过某些IDS。

第七招：使用路径分隔符“”

对于像微软的IIS这类Web服务器，““也可以当“/”一样作为路径分隔符。有些IDS在设置规则集文件时并没有考虑到非标准路径分隔符“”。

第八招：多余编码法

多余编码就是指对字符进行多次编码。比如“/”字符可以用%2f表示，“%2f”中的“%”、“2”、“f”字符又都可以分别用它的ASCII码的十六进制来表示，根据数学上的排列组合的知识可知，其编码的形式有2的3次方，于是“%2f”可以改写为：“%25%32%66”、“%252f”等等来实现URL的多态，编码后的字符串可能没被收集在IDS的规则集文件中，从而可以骗过有些IDS。

第九招：综合多态编码

所谓综合，就是把以上介绍的几种多态变形编码技术结合起来使用，这样的话效果会更好。

如何检测网络攻击行为