網(wǎng)絡(luò)系統(tǒng)管理tcpip協(xié)議的安全性研究畢業(yè)論文-wenkub
2023-06-11 23:15:19 本頁面
【正文】 是1組協(xié)議的集合，它包括了上百個各種功能的協(xié)議。TCP/IP是網(wǎng)絡(luò)中使用的基本的通信協(xié)議。協(xié)議的分層使得各層的任務(wù)和目的十分明確，這樣有利于軟件編寫和通信控制。TCP/IP是為了使接入因特網(wǎng)的異種網(wǎng)絡(luò)、不同設(shè)備之間能夠進行正常的數(shù)據(jù)通訊，而預(yù)先制定的一簇大家共同遵守的格式和約定。但隨著其應(yīng)用的普及，它已經(jīng)成為了Internet網(wǎng)絡(luò)通信協(xié)議的標準。這篇論文的從目前使用的TCP/IP協(xié)議入手來研究問題，從TCP/IP協(xié)議的安全性進行較為全面的解析，從TCP/IP的總體概括、現(xiàn)在存在安全隱患、以及各個層次之間安全問題進行了比較深入的討論。然后用現(xiàn)在最為流行的Snifer工具從實驗的角度上來分析數(shù)據(jù)包的安全情況，最后從SYN的攻擊代碼來分析TCP/IP協(xié)議，并且實現(xiàn)了幾種防御SYN的方法。希望本論文能對未來的信息社會中網(wǎng)絡(luò)安全環(huán)境的形成有所幫助。該協(xié)議是美國國防部高級研究計劃署為簡歷ARPANET開發(fā)的，在這個協(xié)議集中，兩個最知名的協(xié)議就是傳輸控制協(xié)議（TCP, Transfer Contorl Protocol）和網(wǎng)際協(xié)議（IP，Internet Protocol），故而整個協(xié)議集被稱為TCP/IP。TCP/IP協(xié)議分為4層，由下至上分別是網(wǎng)路接口層、網(wǎng)際層、傳輸層和應(yīng)用層，如圖11所示圖11 TCP/IP 協(xié)議層次圖 TCP/IP協(xié)議的主要特點 （1）開放的協(xié)議標準，可以免費使用，并且獨立于特定的計算機硬件與操作系統(tǒng)； （2）獨立于特定的網(wǎng)絡(luò)硬件，可以運行在局域網(wǎng)、廣域網(wǎng)，更適用于互聯(lián)網(wǎng)中； （3）統(tǒng)一的網(wǎng)絡(luò)地址分配方案，使得整個TCP/IP設(shè)備在網(wǎng)中都具有惟一的地址； （4）標準化的高層協(xié)議，可以提供多種可靠的用戶服務(wù)。其中IP(Internet Protocol)全名為網(wǎng)際互連協(xié)議，它是為計算機網(wǎng)絡(luò)相互連接進行通信而設(shè)計的協(xié)議。如：遠程登錄、文件傳輸和電子郵件等等，而TCP協(xié)議和IP協(xié)議是保證數(shù)據(jù)完整傳輸?shù)膬蓚€基本的重要協(xié)議。TCP協(xié)議負責把數(shù)據(jù)分成若干個數(shù)據(jù)包，并給每個數(shù)據(jù)包加上包頭，包頭上有相應(yīng)的編號，以保證在數(shù)據(jù)接收端能將數(shù)據(jù)還原為原來的格式，IP協(xié)議在每個包頭上還要加上接收端主機地址，這樣數(shù)據(jù)通過路由器中的MAC地址來確定數(shù)據(jù)的流向，如果傳輸過程中出現(xiàn)數(shù)據(jù)丟失，數(shù)據(jù)失真等情況，TCP協(xié)議會自動要求數(shù)據(jù)重新傳輸，并重新組。如果我們對其稍做設(shè)置或修改，就可以使一個以太網(wǎng)接口接收不屬于它的數(shù)據(jù)幀。echo請求進行響應(yīng)。解決該漏洞的措施是拒絕網(wǎng)絡(luò)上的所有ICMP因而如果攻擊者把自己的主機偽裝成被目標主機信任的友好主機，即把發(fā)送的IP包中的源IP地址改成被信任的友好主機的IP地址，利用主機間的信任關(guān)系（Unix網(wǎng)絡(luò)軟件的開發(fā)者發(fā)明的術(shù)語）和這種信任關(guān)系的實際認證中存在的脆弱性（只通過IP確認），就可以對信任主機進行攻擊。 ARP欺騙ARP協(xié)議在對IP地址進行解析時，利用ARP緩存（也叫ARP表）來做。顯然，如果攻擊者暫時使用不工作的主機的IP地址，就可以偽造IP物理地址對應(yīng)關(guān)系對，把自己偽裝成象那個暫時不使用的主機一樣。 路由欺騙在路由協(xié)議中，主機利用重定向報文來改變或優(yōu)化路由。 DNS欺騙網(wǎng)絡(luò)上的所有主機都信任DNS服務(wù)器，如果DNS服務(wù)器中的數(shù)據(jù)被攻擊者破壞，就可以進行DNS欺騙。Number)和RTT，然后猜測響應(yīng)的ISN，因為序列號每隔半秒加64000，每建立一個連接加64000）。 使用TCP/SYN報文段淹沒服務(wù)器利用TCP建立連接的3步驟的缺點和服務(wù)器端口允許的連接數(shù)量的限制，竊取不可達IP地址作為源IP地址，使得服務(wù)器端得不到ACK而使連接處于半開狀態(tài)，從而阻止服務(wù)器響應(yīng)響應(yīng)別的連接請求。Service但這些并不能從根本上解決這些問題。當前TCP/IP網(wǎng)絡(luò)的安全機制主要是基于IP地址的包過濾（Packet Filtering）和認證（Authentication）技術(shù)，它的有效性體現(xiàn)在可以根據(jù)IP包中的源IP地址判斷數(shù)據(jù)的真實性和安全性?，F(xiàn)在人們一直在想辦法解決，卻仍然無法避免的就是根據(jù)TCP連接建立時“三次握手”機制的攻擊。一個 FTP 連接包含4個步驟：用戶鑒權(quán)→建立控制信道→建立數(shù)據(jù)信道→關(guān)閉連接。匿名FTP 是真的匿名，并沒有記錄誰請求了什么信息，誰下載了什么文件，上傳了什么東西（有可能是木馬）。CGI程序可以接收用戶的輸入信息，一般用戶是通過表格把輸入信息傳給CGI程序的，然后CGI程序可以根據(jù)用戶的要求進行一些處理，一般情況下會生成一個HTML文件，并傳回給用戶。 提高網(wǎng)絡(luò)可信度前面的IPv4存在的弊端，很多安全防范技術(shù)被忽略了，它不可避免地被新一代技術(shù)IPv6取代。IPSec數(shù)據(jù)包驗證能夠確保整個IP報頭、下一層協(xié)議（例如TCP、UPD或ICMP）報頭以及數(shù)據(jù)包有效負載的數(shù)據(jù)完整性。校驗和的單向計算特性意味著其取值無法在傳輸過程中進行修改，這也就保證了端到端的數(shù)據(jù)傳輸過程的可信程度。如果在75秒內(nèi)沒有收到應(yīng)答，則放棄連接建立。 ③TIMEWAIT定時器：當連接進入TIMEWAIT狀態(tài)時，該定時器被激活。 網(wǎng)絡(luò)入侵方式 偽造IP地址入侵者使用假IP地址發(fā)送包，利用基于IP地址證實的應(yīng)用程序。X的目標就是得到與B相同的權(quán)利。握手方法是： A→：SYN（序列號=M） B→A：SYN（序列號＝N），ACK（應(yīng)答序號=M+1） A→B：ACK（應(yīng)答序號＝N+1） 主機X偽造IP地址步驟如下：首先，X冒充A，向主機B發(fā)送一個帶有隨機序列號的SYN包。假設(shè)主機X與A和B不同在一個子網(wǎng)內(nèi)，則不能檢測到B的包，主機X只有算出B的序列號，才能創(chuàng)建TCP連接。主機B將執(zhí)行這些命令，認為他們是由合法主機A發(fā)來的。在前面的例子中，服務(wù)器端口是無法在75秒內(nèi)作出響應(yīng)的。值得注意的是，在TCP協(xié)議中，關(guān)于如何處理SYN和FIN同時置位的包并未作出明確的規(guī)定。但是，TCP協(xié)議中并未對從SYNRCVD狀態(tài)到CLOSEWAIT狀態(tài)的轉(zhuǎn)移作出定義。因此，主機A的TCP機被鎖在了CL0SEWAIT狀態(tài)。但是，由于到達的數(shù)據(jù)段只根據(jù)源IP地址和當前隊列窗口號來證實。如果在規(guī)定時間內(nèi)不能建立連接，則TCP機回到CLOSED狀態(tài)。A和X在收到對方的SYN包后都向?qū)Ψ桨l(fā)送一個SYNACK包。在X和A之間建立起一個TCP連接來傳送控制信號。④主
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1