簡介:信息安全技術(shù)與應(yīng)用,第5章攻擊技術(shù)分析,概述,網(wǎng)絡(luò)攻擊是網(wǎng)絡(luò)安全所要應(yīng)對的主要問題,了解網(wǎng)絡(luò)攻擊技術(shù)和機(jī)理,才能實(shí)現(xiàn)有效的、有針對性的防護(hù)。按照攻擊目的,可將攻擊分為破壞型和入侵型兩種類型破壞型攻擊以破壞目標(biāo)為目的,但攻擊者不能隨意控制目標(biāo)的系統(tǒng)資源。入侵型攻擊以控制目標(biāo)為目的,比破壞型攻擊威脅更大,常見的攻擊類型多為入侵型攻擊。,信息安全技術(shù)與應(yīng)用,概述,入侵者一般首先通過網(wǎng)絡(luò)掃描技術(shù)進(jìn)行網(wǎng)絡(luò)信息采集,獲取網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、發(fā)現(xiàn)網(wǎng)絡(luò)漏洞、探查主機(jī)基本情況和端口開放程度,為實(shí)施攻擊提供必要的信息。網(wǎng)絡(luò)信息采集有多種途徑,既可以使用諸如PING、WHOIS等網(wǎng)絡(luò)測試命令實(shí)現(xiàn),也可以通過漏洞掃描、端口掃描和網(wǎng)絡(luò)竊聽工具實(shí)現(xiàn)。,信息安全技術(shù)與應(yīng)用,511常用信息采集命令,1PING命令2HOST命令3TRACEROUTE命令4NBTSTAT命令5NET命令6FINGER命令7WHOIS命令8NSLOOKUP命令,信息安全技術(shù)與應(yīng)用,1PING命令,PING(PACKETINTERNETGROPER)命令用于確定本地主機(jī)是否能與遠(yuǎn)程主機(jī)交換數(shù)據(jù)包,通過向目標(biāo)主機(jī)發(fā)送ICMPINTERNETCONTROLMESSAGEPROTOCOL,INTERNET控制報(bào)文協(xié)議回應(yīng)請求來測試目標(biāo)的可達(dá)性。使用PING命令能夠察看網(wǎng)絡(luò)中有哪些主機(jī)接入INTERNET;測試目標(biāo)主機(jī)的計(jì)算機(jī)名和IP地址;計(jì)算到達(dá)目標(biāo)網(wǎng)絡(luò)所經(jīng)過的路由數(shù);獲得該網(wǎng)段的網(wǎng)絡(luò)拓?fù)湫畔ⅰ?信息安全技術(shù)與應(yīng)用,2HOST命令,HOST命令是LINUX、UNIX系統(tǒng)提供的有關(guān)INTERNET域名查詢的命令??梢詮挠蛑械腄NSDOMAINNAMESERVER,域名服務(wù)器服務(wù)器獲得所在域內(nèi)主機(jī)的相關(guān)資料,實(shí)現(xiàn)主機(jī)名到IP地址的映射,得知域中郵件服務(wù)器的信息。,信息安全技術(shù)與應(yīng)用,3TRACEROUTE命令,TRACEROUTE命令用于路由跟蹤,判斷從本地主機(jī)到目標(biāo)主機(jī)經(jīng)過哪些路由器、跳計(jì)數(shù)、響應(yīng)時間等。TRACEROUTE程序跟蹤的路徑是源主機(jī)到目的主機(jī)的一條路徑,但是,不能保證或認(rèn)為數(shù)據(jù)包總是遵循這個路徑。TRACEROUTE是一個運(yùn)行得比較慢的命令,如果指定的目標(biāo)地址比較遠(yuǎn),測試每個路由器大約需要15秒鐘。,信息安全技術(shù)與應(yīng)用,4NBTSTAT命令,NBTSTAT(NBTSTATISTICS,NBT統(tǒng)計(jì)信息,其中NBT為NETBIOSOVERTCP/IP)命令是WINDOWS命令,用于查看當(dāng)前基于網(wǎng)絡(luò)基本輸入輸出系統(tǒng)NETBIOS(NETWORKBASICINPUTOUTPUTSYSTEM)的TCP/IP連接狀態(tài)。通過該工具可以獲得遠(yuǎn)程或本地機(jī)器的組名和機(jī)器名。,信息安全技術(shù)與應(yīng)用,5NET命令,WINDOWS提供了許多有關(guān)網(wǎng)絡(luò)查詢的命令,并且大多以NET開頭。其中,用于檢驗(yàn)和核查計(jì)算機(jī)之間NETBIOS連接的NETVIEW和NETUSE兩個命令可能被攻擊者利用,來查看局域網(wǎng)內(nèi)部情況和局域網(wǎng)內(nèi)部的漏洞。有關(guān)NET命令的幫助信息可以在命令行下輸入NETHELP來獲得。,信息安全技術(shù)與應(yīng)用,命令NET的使用,使用NETVIEW和NETUSE命令,攻擊者可以發(fā)現(xiàn)局域網(wǎng)內(nèi)存在的共享信息。在需要用戶名和口令時,攻擊者可以采用網(wǎng)絡(luò)監(jiān)聽、字典攻擊等方法實(shí)現(xiàn)登錄。如果有某臺主機(jī)配置不當(dāng),可以被攻擊者用來上載木馬、下載機(jī)要文件。,信息安全技術(shù)與應(yīng)用,6FINGER命令,FINGER命令用來查詢用戶的信息,通常會顯示系統(tǒng)中某個用戶的用戶名、主目錄、閑滯時間、登錄時間、登錄SHELL等信息。如果要查詢遠(yuǎn)程主機(jī)上的用戶信息,需要采用用戶名主機(jī)名的格式,執(zhí)行該命令的前提是要查詢的網(wǎng)絡(luò)主機(jī)需要運(yùn)行FINGER守護(hù)進(jìn)程。LINUX中FINGER命令格式為FINGER選項(xiàng)使用者用戶主機(jī),信息安全技術(shù)與應(yīng)用,7WHOIS命令,WHOIS命令是一種INTERNET的目錄服務(wù)命令,它提供了在INTERNET上的一臺主機(jī)或某個域所有者的信息,包括管理員姓名、通信地址、電話號碼、EMAIL信息、PRIMARY和SECONDARY域名服務(wù)器信息等。攻擊者通過了解目標(biāo)網(wǎng)絡(luò)的相關(guān)信息,可以猜測目標(biāo)主機(jī)的用戶名和口令,盡量縮小蠻力攻擊時使用的字典的大小,減少攻擊時間。以LINUX操作系統(tǒng)為例,WHOIS命令格式如下WHOISOPTIONQUERYSERVERPORT,信息安全技術(shù)與應(yīng)用,8NSLOOKUP命令,NSLOOKUP是WINDOWS提供的DNS排錯工具。在INTERNET中存在許多免費(fèi)的NSLOOKUP服務(wù)器,它們提供域名到IP地址的映射服務(wù)和IP地址到域名的映射等有關(guān)網(wǎng)絡(luò)信息的服務(wù)。通過NSLOOKUP攻擊者可以在WHOIS命令的基礎(chǔ)上獲得更多目標(biāo)網(wǎng)絡(luò)信息。管理員可以禁止DNS服務(wù)器進(jìn)行區(qū)域傳送。,信息安全技術(shù)與應(yīng)用,512漏洞掃描,漏洞是指系統(tǒng)硬件、操作系統(tǒng)、軟件、網(wǎng)絡(luò)協(xié)議、數(shù)據(jù)庫等在設(shè)計(jì)上和實(shí)現(xiàn)上出現(xiàn)的可以被攻擊者利用的錯誤、缺陷和疏漏。漏洞掃描程序是用來檢測遠(yuǎn)程或本地主機(jī)安全漏洞的工具。針對掃描對象的不同,漏洞掃描又可分為網(wǎng)絡(luò)掃描、操作系統(tǒng)掃描、WWW服務(wù)掃描、數(shù)據(jù)庫掃描以及無線網(wǎng)絡(luò)掃描等。,信息安全技術(shù)與應(yīng)用,1堆棧指紋掃描,不同操作系統(tǒng)在網(wǎng)絡(luò)協(xié)議上存在差異,可以通過總結(jié)操作系統(tǒng)之間的這種差異,編寫測試腳本,向目標(biāo)系統(tǒng)的端口發(fā)送各種特殊的數(shù)據(jù)包,并根據(jù)系統(tǒng)對數(shù)據(jù)包回應(yīng)的差別來判定目標(biāo)系統(tǒng)及相關(guān)服務(wù)。這種利用TCP/IP協(xié)議識別不同操作系統(tǒng)和服務(wù)種類的技術(shù)稱為堆棧指紋掃描技術(shù)。,信息安全技術(shù)與應(yīng)用,2常用堆棧指紋掃描技術(shù),(1)ICMP錯誤消息抑制機(jī)制(2)ICMP錯誤消息引用機(jī)制(3)ICMP錯誤消息回文完整性(4)FIN探查(5)TCPISN采樣(6)TCP初始窗口(7)TCP選項(xiàng)(8)MSS選項(xiàng)(9)IP協(xié)議包頭不可分片位(10)服務(wù)類型TOS,信息安全技術(shù)與應(yīng)用,513端口掃描,計(jì)算機(jī)的端口是輸入/輸出設(shè)備和CPU之間進(jìn)行數(shù)據(jù)傳輸?shù)耐ǖ?。通過端口掃描,可以發(fā)現(xiàn)打開或正在監(jiān)聽的端口,一個打開的端口就是一個潛在的入侵通道。每一臺計(jì)算機(jī)都有65536個端口可供使用。前1024個端口被作為系統(tǒng)處理的端口而保留,并向外界的請求提供眾所周知的服務(wù),所以這些端口被攻擊者視為重點(diǎn)檢查對象,以減少掃描范圍,縮短掃描時間。,信息安全技術(shù)與應(yīng)用,端口掃描類型,1、TCP端口掃描2、TCPSYN掃描3、TCPFIN掃描4、NULL掃描5、XMASTREE掃描6、UDP掃描,信息安全技術(shù)與應(yīng)用,514網(wǎng)絡(luò)竊聽,網(wǎng)絡(luò)竊聽是指截獲和復(fù)制系統(tǒng)、服務(wù)器、路由器或防火墻等網(wǎng)絡(luò)設(shè)備中所有的網(wǎng)絡(luò)通信信息。用于網(wǎng)絡(luò)竊聽的嗅探器可以被安裝在網(wǎng)絡(luò)的任何地方,并且很難被發(fā)現(xiàn),所以,非法網(wǎng)絡(luò)竊聽嚴(yán)重地危害著網(wǎng)絡(luò)的安全。以太網(wǎng)通信采用廣播機(jī)制,網(wǎng)卡一般有四種接收方式,廣播方式網(wǎng)卡接收網(wǎng)絡(luò)中的廣播數(shù)據(jù)。組播方式網(wǎng)卡接收組播數(shù)據(jù)。直接方式只有目的網(wǎng)卡才能接收該數(shù)據(jù)?;祀s模式這種模式使網(wǎng)卡能夠接收一切通過它的數(shù)據(jù),而不管該數(shù)據(jù)是否是傳給它的。通過將網(wǎng)卡設(shè)置成混雜模式,就可以探聽并記錄下同一網(wǎng)段上所有的數(shù)據(jù)包。攻擊者可以從數(shù)據(jù)包中提取信息,如登錄名、口令等。,信息安全技術(shù)與應(yīng)用,無線網(wǎng)絡(luò)通信安全,無線網(wǎng)絡(luò)通信相對于有線網(wǎng)絡(luò)通信有更多的漏洞,由于無線網(wǎng)絡(luò)固有的特點(diǎn)和無線網(wǎng)絡(luò)技術(shù)本身的不成熟,如加密機(jī)制不完善、缺乏數(shù)據(jù)保護(hù)和安全認(rèn)證機(jī)制,使得對于無線網(wǎng)絡(luò)的探測更為簡單。現(xiàn)有的工具,如NETWORKASSOCIATES公司的SNIFFERWIRELESS、AIRSNORT、WEPCRACK等都可以用來實(shí)現(xiàn)對無線網(wǎng)絡(luò)的網(wǎng)絡(luò)監(jiān)控和竊聽。,信息安全技術(shù)與應(yīng)用,515典型信息采集工具,1NMAP掃描器2AXCETNETRECON掃描器3PINGPRO掃描器4ISSINTERNETSCANNER掃描器,信息安全技術(shù)與應(yīng)用,1NMAP掃描器,NMAP是當(dāng)前最流行的掃描器之一,能夠在全網(wǎng)絡(luò)范圍內(nèi)實(shí)現(xiàn)PING掃描、端口掃描和操作系統(tǒng)檢測。NMAP使用操作系統(tǒng)堆棧指紋技術(shù)。NMAP可以準(zhǔn)確地掃描主流操作系統(tǒng),還可以掃描路由器和撥號設(shè)備,還可以繞過防火墻。,信息安全技術(shù)與應(yīng)用,2AXCETNETRECON掃描器,AXCETNETRECON是最先為WINDOWSNT網(wǎng)絡(luò)設(shè)計(jì)的網(wǎng)絡(luò)掃描產(chǎn)品之一。AXCETNETRECON能夠發(fā)現(xiàn)、分析、報(bào)告網(wǎng)絡(luò)的各種設(shè)備,檢測它們存在的漏洞。NETRECON能夠掃描多種操作系統(tǒng),包括UNIX、LINUX、WINDOWS以及NETWARE等。NETRECON提供對服務(wù)器、防火墻、路由器、集線器、交換機(jī)、DNS服務(wù)器、網(wǎng)絡(luò)打印機(jī)、WEB服務(wù)器以及其他網(wǎng)絡(luò)服務(wù)設(shè)備的測試。NETRECON通過模擬入侵或攻擊行為,找出并報(bào)告網(wǎng)絡(luò)弱點(diǎn),提出建議和修正措施。,信息安全技術(shù)與應(yīng)用,3PINGPRO掃描器,PINGPRO是也是常用的掃描工具之一,以圖形方式實(shí)現(xiàn)了大多數(shù)命令行程序功能,為網(wǎng)絡(luò)掃描提供了方便。PINGPRO可以偵查出網(wǎng)絡(luò)上開啟的端口,通過監(jiān)測遠(yuǎn)程過程調(diào)用服務(wù)所使用的TCP、UDP135端口和網(wǎng)絡(luò)會話所使用的UDP137、138和139端口來實(shí)現(xiàn)掃描。PINGPRO只能工作在其所在網(wǎng)段上。,信息安全技術(shù)與應(yīng)用,4ISSINTERNETSCANNER掃描器,ISSINTERNETSCANNER可以跨網(wǎng)段掃描遠(yuǎn)程主機(jī),可以檢查出內(nèi)部網(wǎng)、防火墻、WEB服務(wù)器或某臺主機(jī)所存在的漏洞和潛在的攻擊威脅。ISSINETERNETSCANNER工作于UNIX和NT平臺,分為三個模塊內(nèi)部網(wǎng)、防火墻和WEB服務(wù)器,可以針對不同的掃描對象制定不同的掃描方案,從而更直接的發(fā)現(xiàn)重要設(shè)備中潛在的隱患,在不同的模塊中,用戶還可以進(jìn)一步定義自己的掃描參數(shù)。,信息安全技術(shù)與應(yīng)用,52拒絕服務(wù)攻擊,521基本的拒絕服務(wù)攻擊522分布式拒絕服務(wù)攻擊,信息安全技術(shù)與應(yīng)用,概述,拒絕服務(wù)DOS(DENIALOFSERVICE)攻擊是常用的一種攻擊方式。DOS通過搶占目標(biāo)主機(jī)系統(tǒng)資源使系統(tǒng)過載或崩潰,破壞和拒絕合法用戶對網(wǎng)絡(luò)、服務(wù)器等資源的訪問,達(dá)到阻止合法用戶使用系統(tǒng)的目的。DOS屬于破壞型攻擊。DOS對目標(biāo)系統(tǒng)本身的破壞性并不是很大,但影響了正常的工作和生活秩序,間接損失嚴(yán)重,社會效應(yīng)惡劣。,信息安全技術(shù)與應(yīng)用,基本的拒絕服務(wù)攻擊,當(dāng)一個授權(quán)實(shí)體不能獲得對網(wǎng)絡(luò)資源的訪問或當(dāng)訪問操作被嚴(yán)重推遲時,就稱為DOS。DOS可能由網(wǎng)絡(luò)部件的物理損壞引起,也可能由網(wǎng)絡(luò)負(fù)荷超載所引起,還可能由不正確的使用網(wǎng)絡(luò)協(xié)議而引起。DOS攻擊有兩種基本形式目標(biāo)資源匱乏型和網(wǎng)絡(luò)帶寬消耗型。目標(biāo)資源匱乏型攻擊又可分為服務(wù)過載和消息流兩種。網(wǎng)絡(luò)帶寬消耗型攻擊的目標(biāo)是整個網(wǎng)絡(luò),攻擊使目標(biāo)網(wǎng)絡(luò)中充斥著大量無用的、假的數(shù)據(jù)包,而使正常的數(shù)據(jù)包得不到正常的處理。,信息安全技術(shù)與應(yīng)用,目標(biāo)資源匱乏型攻擊的兩種類型,服務(wù)過載指的是向目標(biāo)主機(jī)的服務(wù)守護(hù)進(jìn)程發(fā)送大量的服務(wù),造成目標(biāo)主機(jī)服務(wù)進(jìn)程發(fā)生服務(wù)過載,拒絕向合法用戶的正常使用要求提供應(yīng)有的服務(wù)。消息流指攻擊者向目標(biāo)主機(jī)發(fā)送大量的畸形數(shù)據(jù)包,使得目標(biāo)主機(jī)在重組數(shù)據(jù)包過程中發(fā)生錯誤,從而延緩目標(biāo)主機(jī)的處理速度,阻止處理正常的事務(wù),嚴(yán)重時可以造成目標(biāo)主機(jī)死機(jī)。,信息安全技術(shù)與應(yīng)用,拒絕服務(wù)攻擊發(fā)生時的特點(diǎn),1、消耗系統(tǒng)或網(wǎng)絡(luò)資源,使系統(tǒng)過載或崩潰。2、難以辨別真假。3、使用不應(yīng)存在的非法數(shù)據(jù)包來達(dá)到拒絕服務(wù)攻擊的目的。4、有大量的數(shù)據(jù)包來自相同的源。,信息安全技術(shù)與應(yīng)用,分布式拒絕服務(wù)攻擊,分布式拒絕服務(wù)DDOS(DISTRIBUTEDDENIALOFSERVICE)攻擊是一種基于DOS的特殊形式的拒絕服務(wù)攻擊。是分布式的、協(xié)作的大規(guī)模攻擊方式,較DOS具有更大的破壞性。,信息安全技術(shù)與應(yīng)用,1分布式拒絕服務(wù)攻擊的體系結(jié)構(gòu),信息安全技術(shù)與應(yīng)用,2分布式拒絕服務(wù)攻擊的步驟,要構(gòu)建DDOS攻擊體系,集合眾多的傀儡機(jī)進(jìn)行協(xié)同工作,與入侵單臺主機(jī)相比DDOS攻擊要復(fù)雜得多。進(jìn)行DDOS攻擊的基本步驟如下(1)搜集目標(biāo)情況(2)占領(lǐng)傀儡機(jī)(3)實(shí)施攻擊,信息安全技術(shù)與應(yīng)用,拒絕服務(wù)攻擊的防范技術(shù),1.完善站點(diǎn)設(shè)計(jì)2.限制帶寬3.及時安裝補(bǔ)丁4.運(yùn)行盡可能少的服務(wù)5.封鎖敵意IP地址6.優(yōu)化網(wǎng)絡(luò)和路由結(jié)構(gòu)7.安裝入侵檢測系統(tǒng)8.使用掃描工具,信息安全技術(shù)與應(yīng)用,53漏洞攻擊,531配置漏洞攻擊532協(xié)議漏洞攻擊533程序漏洞攻擊,信息安全技術(shù)與應(yīng)用,概述,由于應(yīng)用軟件和操作系統(tǒng)的復(fù)雜性和多樣性,使得在網(wǎng)絡(luò)信息系統(tǒng)的軟件中存在著不易被發(fā)現(xiàn)的安全漏洞;現(xiàn)有網(wǎng)絡(luò)技術(shù)本身存在著許多不安全性,如TCP/IP協(xié)議在設(shè)計(jì)初期并沒有考慮安全性問題,其本身就有許多不完善之處。對于網(wǎng)絡(luò)設(shè)計(jì)和管理人員而言,不合理的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和不嚴(yán)謹(jǐn)?shù)木W(wǎng)絡(luò)配置,都將不可避免的造成網(wǎng)絡(luò)中的漏洞。對于一個復(fù)雜系統(tǒng)而言,漏洞的存在是不可避免的。,信息安全技術(shù)與應(yīng)用,531配置漏洞攻擊,配置漏洞可分為系統(tǒng)配置漏洞和網(wǎng)絡(luò)結(jié)構(gòu)配置漏洞。系統(tǒng)配置漏洞多源于管理員的疏漏,如共享文件配置漏洞、服務(wù)器參數(shù)配置漏洞等。網(wǎng)絡(luò)結(jié)構(gòu)配置漏洞多與網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)有關(guān),例如將重要的服務(wù)設(shè)備與一般用戶設(shè)備設(shè)置與同一網(wǎng)段,為攻擊者提供了更多的可乘之機(jī),埋下了安全隱患。,信息安全技術(shù)與應(yīng)用,1默認(rèn)配置漏洞,操作系統(tǒng)和服務(wù)應(yīng)用程序在安裝時使用默認(rèn)的設(shè)置,雖然方便了系統(tǒng)的安裝過程,但默認(rèn)參數(shù)實(shí)際上為攻擊者留下了后門。如默認(rèn)用戶名和口令、默認(rèn)端口和默認(rèn)服務(wù),通常都是首選的突破口和入侵點(diǎn)。默認(rèn)的目錄路徑則為攻擊者查找機(jī)要文件,放置后門程序提供了方便。,信息安全技術(shù)與應(yīng)用,2共享文件配置漏洞,大部分操作系統(tǒng)都提供了文件共享機(jī)制,方便網(wǎng)絡(luò)資源的共享。但是共享配置不當(dāng)就會暴露重要文件,攻擊者能夠輕易的獲得機(jī)密資料。,信息安全技術(shù)與應(yīng)用,3匿名FTP,匿名FTP網(wǎng)絡(luò)服務(wù)允許任何網(wǎng)絡(luò)用戶通過FTP訪問服務(wù)器系統(tǒng)上指定的資源,但不適當(dāng)?shù)腇TP配置,將會造成服務(wù)器系統(tǒng)非授權(quán)資源的泄漏。一般的匿名FTP的權(quán)限都是只讀權(quán)限,即不允許匿名用戶在服務(wù)器上創(chuàng)建文件和目錄。否則,攻擊者可很容易的放置木馬程序,設(shè)置系統(tǒng)后門,為進(jìn)一步的攻擊提供便捷。,信息安全技術(shù)與應(yīng)用,4WUFTPD,作為FTP服務(wù)程序的WUFTPD(WASHINGTONUNIVERSITYFTPSERVERDAEMON,華盛頓大學(xué)FTP服務(wù)器守護(hù)程序)中存在的漏洞,可以使攻擊者由系統(tǒng)的任何賬號獲得ROOT權(quán)限。WUFTPD的配置文件SRC/PATHNAMESH中有一個名為_PATH_EXECPATH的變量,這個變量應(yīng)該被設(shè)置為不包含SHELL或命令解釋器的目錄,例如/BIN/FTPEXEC,但在建立默認(rèn)的系統(tǒng)配置時_PATH_EXECPATH被設(shè)為/BIN。這樣在編譯時,用戶可以進(jìn)入目錄/BIN,使得任何用戶,只要不是匿名登錄,就可在有漏洞的FTP上獲得ROOT權(quán)限。,信息安全技術(shù)與應(yīng)用,532協(xié)議漏洞攻擊,1TCP序列號預(yù)計(jì)2SYNFLOOD攻擊3循環(huán)攻擊4LAND攻擊5SMURF攻擊6WINNUKE攻擊7FRAGGLE攻擊8PINGTODEATH攻擊,信息安全技術(shù)與應(yīng)用,概述,INTERNET上現(xiàn)有的大部分協(xié)議在設(shè)計(jì)之初并沒有考慮安全因素,使得攻擊者可以利用協(xié)議固有的漏洞對目標(biāo)進(jìn)行攻擊。操作系統(tǒng)在設(shè)計(jì)處理TCP/IP協(xié)議時,并沒有預(yù)計(jì)到要處理非法數(shù)據(jù)包,當(dāng)這種不應(yīng)存在的特殊數(shù)據(jù)包出現(xiàn)時,許多系統(tǒng)會發(fā)生處理速度緩慢、停止響應(yīng)和系統(tǒng)崩潰等不正?,F(xiàn)象。,信息安全技術(shù)與應(yīng)用,1TCP序列號預(yù)計(jì),,信息安全技術(shù)與應(yīng)用,1SYNFLOOD攻擊,SYNFLOOD攻擊利用的是TCP協(xié)議的設(shè)計(jì)漏洞。假設(shè)一個用戶向服務(wù)器發(fā)送了SYN報(bào)文后突然死機(jī)或掉線,那么服務(wù)器在發(fā)出SYNACK應(yīng)答報(bào)文后是無法收到客戶端的ACK報(bào)文的。在這種情況下服務(wù)器端會重試,再次發(fā)送SYNACK給客戶端,并等待一段時間,判定無法建立連接后,丟棄這個未完成的連接。這段等待時間稱為SYN中止時間(TIMEOUT),一般為30秒2分鐘。如果攻擊者大量模擬這種情況,服務(wù)器端為了維護(hù)非常大的半連接列表就會消耗非常多的資源。此時從正常客戶的角度來看,服務(wù)器已經(jīng)喪失了對正常訪問的響應(yīng),這便是SYNFLOOD攻擊的機(jī)理。,信息安全技術(shù)與應(yīng)用,2循環(huán)攻擊UDPFLOOD攻擊,循環(huán)攻擊利用的是UDP協(xié)議漏洞。UDP端口7為回應(yīng)端口(ECHO),當(dāng)該端口接收到一個數(shù)據(jù)包時,會檢查有效負(fù)載,再將有效負(fù)載數(shù)原封不動的回應(yīng)給源地址。UDP端口19為字符生成端口CHARGEN,CHARACTERGENERATOR字符生成,此端口接收到數(shù)據(jù)包時,以隨機(jī)字符串作為應(yīng)答。如果這些端口是打開的,假設(shè)運(yùn)行了回應(yīng)服務(wù)的主機(jī)為E(ECHO主機(jī)),運(yùn)行了字符生成服務(wù)的主機(jī)為CCHARGEN主機(jī),攻擊者偽裝成E主機(jī)UDP端口7向C主機(jī)UDP端口19發(fā)送數(shù)據(jù)包,于是主機(jī)C向E發(fā)送一個隨機(jī)字符串,然后,E將回應(yīng)C,C再次生成隨機(jī)字符串發(fā)送給E。這個過程以很快的速度持續(xù)下去,會耗費(fèi)相關(guān)主機(jī)的CPU時間,還會消耗大量的網(wǎng)絡(luò)帶寬,造成資源匱乏。,信息安全技術(shù)與應(yīng)用,3LAND攻擊,LAND攻擊的特征是IP協(xié)議中IP源地址和目標(biāo)地址相同。操作系統(tǒng)如WINDOWNT不知道該如何處理這種情況,就可能造成死機(jī)。LAND攻擊向UDP目標(biāo)端口135發(fā)送偽裝的遠(yuǎn)程過程調(diào)用RPCREMOTEPROCEDURECALL的UDP數(shù)據(jù)包,使之看上去好像是一個RPC服務(wù)器在向另一個RPC服務(wù)器發(fā)送數(shù)據(jù),目標(biāo)服務(wù)器將返回一個REJECT數(shù)據(jù)包,而源服務(wù)器用另一個REJECT數(shù)據(jù)包應(yīng)答,結(jié)果就會造成死循環(huán),只有當(dāng)數(shù)據(jù)包作為異常處理被丟掉時循環(huán)才會中止。如果將偽裝的UDP數(shù)據(jù)包發(fā)送至多臺主機(jī),就會產(chǎn)生多個循環(huán),將消耗大量處理器資源和網(wǎng)絡(luò)帶寬。,信息安全技術(shù)與應(yīng)用,4SMURF攻擊,IP協(xié)議規(guī)定主機(jī)號為全1的地址為該網(wǎng)段的廣播地址,路由器會把這樣的數(shù)據(jù)包廣播給該網(wǎng)絡(luò)上的所有主機(jī)。SMURF攻擊利用了廣播數(shù)據(jù)包,可以將一個數(shù)據(jù)包“放大”為多個。攻擊者偽裝某源地址向一個網(wǎng)絡(luò)廣播地址發(fā)送一組ICMP回應(yīng)請求數(shù)據(jù)包,這些數(shù)據(jù)包被轉(zhuǎn)發(fā)到目標(biāo)子網(wǎng)的所有主機(jī)上。由于SMURF攻擊發(fā)出的是ICMP回應(yīng)請求,因此所有接收到該廣播包的主機(jī)將向被偽裝的源地址發(fā)回ICMP回應(yīng)應(yīng)答。攻擊者通過幾百個數(shù)據(jù)包就可以產(chǎn)生成千上萬的數(shù)據(jù)包,這樣不僅可以造成目標(biāo)主機(jī)的拒絕服務(wù),而且還會使目標(biāo)子網(wǎng)的網(wǎng)絡(luò)本身也遭到DOS攻擊。,信息安全技術(shù)與應(yīng)用,5WINNUKE攻擊,操作系統(tǒng)在設(shè)計(jì)處理TCP數(shù)據(jù)包時,都嚴(yán)格遵循了TCP狀態(tài)機(jī),但遇到不符合狀態(tài)機(jī)的數(shù)據(jù)包時,若不知所措,就可能造成死機(jī)。WINNUKE攻擊首先發(fā)送一個設(shè)置了URG標(biāo)志的TCP數(shù)據(jù)包,當(dāng)操作系統(tǒng)接收到這樣的數(shù)據(jù)包時,說明有緊急情況發(fā)生,并且,操作系統(tǒng)要求得到進(jìn)一步的數(shù)據(jù),以說明具體情況。此時,攻擊者發(fā)送一個RST數(shù)據(jù)包,構(gòu)造了TCP狀態(tài)機(jī)中不會出現(xiàn)的數(shù)據(jù)包,若操作系統(tǒng)(如未打補(bǔ)丁的WINDOWSNT)不能正確處理,就會死機(jī),使連接異常終止,服務(wù)中斷。,信息安全技術(shù)與應(yīng)用,6FRAGGLE攻擊,FRAGGLE攻擊發(fā)送畸形UDP碎片,使得被攻擊者在重組過程中發(fā)生未加預(yù)料的錯誤,導(dǎo)致系統(tǒng)崩潰。典型的FRAGGLE攻擊使用的技術(shù)有碎片偏移位的錯亂、強(qiáng)制發(fā)送超大數(shù)據(jù)包等。例如一個長為40字節(jié)的數(shù)據(jù)在發(fā)送時被分為兩段,包含第一段數(shù)據(jù)的數(shù)據(jù)包發(fā)送了數(shù)據(jù)036字節(jié),包含第二段數(shù)據(jù)的數(shù)據(jù)包在正常情況下應(yīng)該是3740的4個字節(jié),但攻擊者構(gòu)造并指定第二個數(shù)據(jù)包中包含第二段數(shù)據(jù)且為數(shù)據(jù)的2427字節(jié)來迷惑操作系統(tǒng),導(dǎo)致系統(tǒng)崩潰。,信息安全技術(shù)與應(yīng)用,7PINGTODEATH攻擊,根據(jù)有關(guān)IP協(xié)議規(guī)定的RFC791,占有16位的總長度控制字確定了IP包的總長度為65535字節(jié),其中包括IP數(shù)據(jù)包的包頭長度。PINGTODEATH攻擊發(fā)送超大尺寸的ICMP數(shù)據(jù)包,使得封裝該ICMP數(shù)據(jù)包的IP數(shù)據(jù)包大于65535字節(jié),目標(biāo)主機(jī)無法重新組裝這種數(shù)據(jù)包分片,可能造成緩沖區(qū)溢出、系統(tǒng)崩潰。,信息安全技術(shù)與應(yīng)用,533程序漏洞攻擊,1緩沖區(qū)溢出攻擊2BIND漏洞攻擊3.FINGER漏洞攻擊4SENDMAIL漏洞攻擊,信息安全技術(shù)與應(yīng)用,概述,由于編寫程序的復(fù)雜性和程序運(yùn)行環(huán)境的不可預(yù)見性,使得程序難免存在漏洞。程序漏洞攻擊成為攻擊者非法獲得目標(biāo)主機(jī)控制權(quán)的主要手段。,信息安全技術(shù)與應(yīng)用,1緩沖區(qū)溢出攻擊的原理,緩沖區(qū)溢出攻擊是利用系統(tǒng)、服務(wù)、應(yīng)用程序中存在的漏洞,通過惡意填寫內(nèi)存區(qū)域,使內(nèi)存區(qū)域溢出,導(dǎo)致應(yīng)用程序、服務(wù)甚至系統(tǒng)崩潰,無法提供應(yīng)有的服務(wù)來實(shí)現(xiàn)攻擊目的。不檢測邊界是造成緩沖區(qū)溢出的主要原因。UNIX主要設(shè)計(jì)語言是C語言,而C語言缺乏邊界檢測,若不檢查數(shù)組的越界訪問,就會留下基于堆棧攻擊的隱患。UNIX進(jìn)程在內(nèi)存中分為正文段、數(shù)據(jù)段和堆棧段。堆棧段用于為動態(tài)變量分配空間和臨時保存函數(shù)調(diào)用的參數(shù)和返回地址。動態(tài)分配是UNIX程序采用的主要方法,但是,若動態(tài)變量從棧中分配空間時沒有作邊界檢查,則可能發(fā)生緩沖區(qū)溢出,造成段越界。,信息安全技術(shù)與應(yīng)用,2BIND漏洞攻擊,運(yùn)行在DNS服務(wù)器上的BINDBERKELEYINTERNETNAMEDOMAIN,BERKELEYINTERNET名字域DNS服務(wù)器軟件是最易遭受攻擊的軟件之一。BIND存在的脆弱性可以對系統(tǒng)造成根級的安全威脅。如BIND82版本存在漏洞,攻擊者偽裝成DNS服務(wù)器,發(fā)送一個大的NXT記錄(NEXT,域中不存在的名字被標(biāo)定為NXT類型),并在記錄中包含攻擊代碼,使存在漏洞的DNS服務(wù)器緩沖區(qū)溢出,從而獲得ROOT權(quán)限。,信息安全技術(shù)與應(yīng)用,3.FINGER漏洞攻擊,SOLARIS自帶的FINGER服務(wù)器存在如下一些漏洞當(dāng)攻擊者在向FINGER服務(wù)器提交以數(shù)字做用戶名的詢問請求時,F(xiàn)INGER服務(wù)器會把日志文件WTMPWTMP一個用戶每次登錄和退出時間的記錄中所有的用戶名返回給攻擊者。當(dāng)攻擊者對服務(wù)器進(jìn)行FINGER查詢時,如果詢問一個不存在的用戶,服務(wù)器會返回一個帶“”的回答,這可能造成攻擊者用暴力法判斷系統(tǒng)上存在的用戶。,信息安全技術(shù)與應(yīng)用,4SENDMAIL漏洞攻擊,在舊版本的SENDMAIL中,為解決反向編碼的問題,數(shù)據(jù)庫中包含一個DECODE入口,這個UNIX程序可以將一個以純文本編碼的二進(jìn)制文件,轉(zhuǎn)化為原有的二進(jìn)制的形式和名字。反向編碼完全尊重被編碼的文件,例如當(dāng)一個名為BARUU的文件聲稱其原始文件是/HOME/FOO/RHOSTS時,則反編碼程序?qū)⒃噲D轉(zhuǎn)化BARUU文件為FOO下的RHOSTS文件。一般情況下SENDMAIL將UNDECODE作為半特權(quán)用戶后臺程序運(yùn)行,所以EMAIL發(fā)出的編碼文件不會覆蓋任何系統(tǒng)文件。但是,如果目標(biāo)程序是全局可寫的,那么編碼程序允許遠(yuǎn)程用戶修改這些文件,使攻擊者可以放置木馬,留下后門,達(dá)到攻擊目的。,信息安全技術(shù)與應(yīng)用,54木馬攻擊,“特洛伊木馬”源于希臘神話木馬屠城記計(jì)算機(jī)系統(tǒng)中也存在類似于“特洛伊木馬”的程序在用戶無所察覺的情況下悄然運(yùn)行,訪問未授權(quán)資源,竊取用戶信息,甚至破壞用戶數(shù)據(jù)和系統(tǒng)。,信息安全技術(shù)與應(yīng)用,基本概念,在計(jì)算機(jī)系統(tǒng)中,“特洛伊木馬”簡稱“木馬”,指系統(tǒng)中被植入的、人為設(shè)計(jì)的程序,目的包括通過網(wǎng)絡(luò)遠(yuǎn)程控制其他用戶的計(jì)算機(jī)系統(tǒng),竊取信息資料,并可惡意致使計(jì)算機(jī)系統(tǒng)癱瘓。木馬技術(shù)可分為四代從木馬所實(shí)現(xiàn)的功能角度,木馬可分為破壞型、密碼發(fā)送型、遠(yuǎn)程訪問型、鍵盤記錄木馬、DOS攻擊木馬、代理木馬、FTP木馬、程序殺手木馬、反彈端口型木馬等。,信息安全技術(shù)與應(yīng)用,木馬的特點(diǎn),典型的特洛伊木馬通常具有以下四個特點(diǎn)有效性、隱蔽性、頑固性、易植入性。一個木馬的危害大小和清除難易程度可以從這四個方面來加以評估。,信息安全技術(shù)與應(yīng)用,木馬的基本原理,木馬相關(guān)技術(shù)主要包括植入技術(shù)、自動加載運(yùn)行技術(shù)、隱藏技術(shù)、連接技術(shù)和遠(yuǎn)程監(jiān)控技術(shù)等。植入技術(shù)是指攻擊者通過各種方式將木馬的服務(wù)端程序上傳到目標(biāo)主機(jī)的過程。自動加載技術(shù)實(shí)現(xiàn)木馬程序的自動運(yùn)行。為保證攻擊者能長期侵入和控制目標(biāo)主機(jī),木馬程序通常要隱藏自己建立連接時,木馬的服務(wù)端會在目標(biāo)主機(jī)上打開一個默認(rèn)的端口進(jìn)行偵聽木馬連接建立后,客戶端
下載積分: 4 賞幣
上傳時間:2024-01-06
頁數(shù): 65
大?。?0.5(MB)
子文件數(shù):