网络威胁与攻击分析

《网络威胁与攻击分析》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、网络与信息安全网络与信息安全教程教程第八讲第八讲网络威胁与攻击分析网络威胁与攻击分析主讲主讲段云所段云所副教授副教授北京大学计算机系北京大学计算机系doyes@pku.edu.cndoyes@pku.edu.cn认识黑客Hacker)Hacker起源Hack:(1)cutroughlyorclumsily,chop(砍辟(2)horsemaybehired(3)personpaidtodohardanduninterestingworkasawriter引伸义干了一件漂亮的事Hacker:也指恶作剧Hackerdiff

2、ersfromCracker黑客守则1)不恶意破坏系统2)不修改系统文档3)不在bbs上谈论入侵事项4)不把要侵入的站点告诉不信任的朋友5)在post文章时不用真名6)入侵时不随意离开用户主机7)不入侵政府机关系统8)不在电话中谈入侵事项9)将笔记保管好10)要成功就要实践11)不删除或涂改已入侵主机的帐号12)不与朋友分享已破解的帐号网络攻击三部曲踩点->扫描->攻击踩点信息收集SNMP协议TraceRoute程序Whois协议DNS服务器Finger协议Ping实用程序网络攻击三部曲踩点->扫描->攻击扫描漏洞侦测

3、使用自制工具使用专用工具SATAN等攻击建立帐户安装远程控制器发现信任关系全面攻击获取特权…网络攻击概览按照攻击的性质及其手段可将通常的网络攻击分为以下四大类型¨口令攻击¨拒绝服务攻击也叫业务否决攻击¨利用型攻击¨信息收集型攻击¨假消息攻击口令攻击通过猜测或获取口令文件等方式获得系统认证口令从而进入系统危险口令类型¨用户名¨用户名变形¨生日¨常用英文单词¨5为以下长度的口令¨无口令默认口令服务拒绝攻击拒绝服务攻击通过使计算机功能或性能崩溃来阻止提供服务是常见实施的攻击行为主要包括¨死pingpingofdeath¨泪滴

4、teardrop¨UDP洪流UDPflood¨SYN洪水SYNflood¨Land攻击¨Smurf攻击¨Fraggle攻击¨电子邮件炸弹¨畸形消息攻击服务拒绝攻击¨死pingpingofdeath概览在早期版本中许多操作系统对网络数据包的最大尺寸有限制对TCP/IP栈的实现在ICMP包上规定为64KB在读取包的报头后要根据该报头里包含的信息来为有效载荷生成缓冲区当发送ping请求的数据包声称自己的尺寸超过ICMP上限也就是加载的尺寸超过64K上限时就会使ping请求接收方出现内存分配错误导致TCP/IP堆栈崩溃致使接受

5、方当机防御现在所有的标准TCP/IP实现都已实现对付超大尺寸的包并且大多数防火墙能够自动过滤这些攻击包括从windows98之后的windows,NT(servicepack3之后)linuxSolaris和MacOS都具有抵抗一般pingofdeath攻击的能力此外对防火墙进行配置阻断ICMP以及任何未知协议都将防止此类攻击服务拒绝攻击¨泪滴teardrop概览泪滴攻击利用那些在TCP/IP堆栈实现中信任IP碎片中的包的标题头所包含的信息来实现攻击IP分段含有指示该分段所包含的是原包的哪一段的信息某些TCP/IP包括

6、servicepack4以前的NT在收到含有重叠偏移的伪造分段时将崩溃防御服务器应用最新的服务包或者在设置防火墙时对分段进行重组而不是转发它们服务拒绝攻击¨UDP洪流UDPflood概览利用简单的TCP/IP服务建立大流量数据流如Chargen和Echo来传送无用的占满带宽的数据通过伪造与某一主机的Chargen服务之间的一次UDP连接回复地址指向提供Echo服务的一台主机这样就生成在两台主机之间的足够多的无用数据流过多的数据流就会导致带宽耗尽防御关掉不必要的TCP/IP服务或者对防火墙进行配置阻断来自Internet

7、的请求这些服务的UDP请求服务拒绝攻击¨SYN洪水SYNflood概览一些TCP/IP栈的实现只能等待从有限数量的计算机发来的ACK消息因为它们只有有限的内存缓冲区用于创建连接如果这一缓冲区充满了虚假连接的初始信息该服务器就会对接下来的连接停止响应直到缓冲区里的连接企图超时在一些创建连接不受限制的实现里SYN洪流具有类似的影响防御在防火墙上过滤来自同一主机的后续连接SYN洪水威胁很大由于释放洪流的主机并不寻求响应所以无法从一个简单高容量的传输中鉴别出来服务拒绝攻击¨Land攻击概览在Land攻击中将一个SYN包的原地址

8、和目标地址都设置成同一服务器地址导致接受服务器向自己的地址发送SYN-ACK消息结果这个地址又发回ACK消息并创建一个空连接每一个这样的连接都将保留直到超时掉对Land攻击反应不同许多UNIX实现将崩溃NT则变得极其缓慢大约持续五分钟防御打最新的补丁或者在防火墙进行配置将那些在外部接口上入站的含有内部源地址滤掉包括10域127域1