基于tcp_ip协议的网络攻防策略研究

《基于tcp_ip协议的网络攻防策略研究》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、796中国电子学会电子对抗舟会第十二届学术年会论文集基于TCP／IP协议的网络攻防策略研究陆余良赵军朱峻茂李永祥(解放军电子工程学院网络工程教研室舍肥)摘要讨论了利用TCP／IP协议族进行网络攻防的若干策略手段。攻击策略主要讨论了利用TCP传输控制协议、SMTP简单邮件传送协议等手段；网络防护除了路出防火墙和^僵检测策略外．重点讨论了如何在协议上实现访闸控制。关毽词网络攻击网络防护TCP／IP协议防火墙^僵挂测访问拉制TCP／IP协议族是一组不同层次上多个协议的组合，由底向上依次是链路层、网络层、传输层和应用层。网络攻防可以在网络的不同层次上展开，如果在应用程序上，则

2、同具体的操作系统平台紧密关联，如UNIX，WindowsNT，Linux等网络操作系统，不同的系统在文件管理、进程调度、内存分配策略等方面差别较大，同一操作系统的不同版本号也不尽相同，所以在该层次上的攻防策略具有很强的针对性。相对于应用程序，网络协议为不同操作系统所共有，具有普遍通用性。TcP／口作为网络协议，要对其进行全面的升级远不像对单个节点那样简单，而是一项巨大的系统工程，可见基于TCP／IP的攻防策略具有较长的时效性。1协议攻击策略1．1基于TCP传输控制协议的攻击上层应用程序对TCP传输层完全信任，但是TCP并不能提供绝对可靠的数据传输。TCP对传输数据的可

3、靠性依赖于它的确认机制，然而其确认机制存在不完善的地方，使得攻击者可以伪装自己，获取目的主机的信任。TCP是面向连接的协议，在数据传输之前要建立连接。下面以贝克莱分布式软件系统(以下简称4．2BSD)在TCP／IP协议处理上的漏洞来说明如何伪装自己，建立被目的主机信任的连接。4．2BSD可作为远程服务器，这一服务器监听514端口的TCP连接请求。当一个请求到达时，服务器通过将口数据包包头中的源主机m和一个可“信任”主机ID列表进行比较，以确定当前提出请求的源主机是否可信任。如果是可信任的，则服务器从虚电路上的TCP数据包中取出用户Ⅲ和要执行的命令并执行。上述的这种方案

4、的弱点在于源主机可以自己填写Ⅲ数据包中的源主机m，而4．2BSD系统和1℃P／口系统中都没有防备措施以确定源主机的真实Ⅲ。如图1所示，我们假设伪装的主机是A，目的主机是B，被伪装的主机是c，B对C是信任的，允许它在B上进行远程TeNet操作。正是利用它们的信任关系，A伪装成C和B建立连接，使得B以为是在和C通信。B上的远端执行端口是514端口，A准备发进数据陆亲良等：基于TCP／]P坍议的同络攻防策略研究797被伪装主机伪装主帆图】伪装主机示意包并让数据包伪装成是从C的2l端口发送来的。而C的2l端口开始是处于等待连接状态的。在A上的攻击步骤是这样的：(1)向C上的2

5、l端口大量发送连接请求，这样做的目的是使其连接队列挤满，丢弃B的SYN数据包，也就不会发送RST响应报文。否则使得连接复位。(2)和B上的514端1：3建立真实的连接(A到B)，井记录下收到的序列号，为下一步伪装连接的序列号做准备。BSD系统中，TCP序列号初始化为1，以后这个变量每秒增加128000，另外，每次建立一个连接后，这个变量将增加64000。(3)构造一个伊数据包，将它的协议号改为TCP，将它的源主机ID改为C。(4)从21端口向B的514端口发送上面建立的SYN数据包，此时B会向C的21端口发送SYN，但这个SYN会被抛弃掉，因为C的2l端121的等待请

6、求队列是满的。(5)向B发送一个ACK数据包，数据包的序列号等于前面记录下来的值加上64(930。(6)向B发送数据。注意每次都要根据数据包数据的长度调整序列号。至此，连接已经建立，如果B授权C可远程执行telnet命令，则B将接受来自A的命令并执行。此外．TCP的状态迁移、超时重传、坚持定时器、保活定时器、拥塞机制等都存在安全问题，这些方面的弱点很容易为拒绝服务所攻击，而目前对拒绝服务攻击还投有十分有效的办法来防止。1．2针对^RP偶^RP地址／反向地址解析协议的攻击ARP／RARP是一组比较简单的协议，ARP用于把网络层地址映射到数据链路层地址，RARP则反之。与

7、本地通信的主机m地址和物理地址对应表项被缓存在本地的ARP表中，以减少『回络中的AP,P广播。它的弱点之一在于冲突伊地址处理机制。常导致ARP缓存的反复更新，影响正常的数据传输。假设A、B的P地址都是210．45．80．9l，B主机已经处于正常的运行状态，此时A开机．当A初试化时，它发送一个含有其口地址的ARP请求。由于B的m是210．45．80．9l，那么B就发送一个ARP回应，A就可以知道该口地址已被使用，它就不能再使用该口地址。这样便产生新的问题，假设主机C含有该m地址的映射，是映射到B的硬件地址的，它收到接口A的ARP广播后，更新其ARP表使