網(wǎng)絡(luò)系統(tǒng)管理論文---tcpip協(xié)議的安全性研究畢業(yè)設(shè)計(文件)
【正文】 路由欺騙 在路由協(xié)議中主機(jī)利用重定向報文來改變或優(yōu)化路由如果一個路由器發(fā)送非法的重定向報文就可以偽造路由表錯誤引 導(dǎo)非本地的數(shù)據(jù)報另外各個路由器都會定期向其相鄰的路由器廣播路由信息如果使用 RIP特權(quán)的主機(jī)的 520端口廣播非法路由信息也可以達(dá)到路由欺騙的目的解決這些問題的辦法有通過設(shè)置主機(jī)忽略重定向信息可以防止路由欺騙禁止路由器被動使用 RIP 和限制被動使用RIP 的范圍 26 DNS 欺騙 網(wǎng)絡(luò)上的所有主機(jī)都信任 DNS服務(wù)器如果 DNS服務(wù)器中的數(shù)據(jù)被攻擊者破壞就可以進(jìn)行 DNS 欺騙 27 攔截 TCP 連接 攻擊者可以使 TCP 連接的兩端進(jìn)入不同步狀態(tài)入侵者主機(jī)向兩端發(fā)送偽造的數(shù)據(jù)包冒充被信任主機(jī)建立 TCP連接用 SYN淹沒被信任的主 機(jī)并猜測 3步握手中的響應(yīng)建立多個連接到信任主機(jī)的 TCP 連接獲得初始序列號 ISN InitialSerialNumber 和 RTT然后猜測響應(yīng)的 ISN因為序列號每隔半秒加 64000每建立一個連接加 64000預(yù)防方法使所有的 r命令失效讓路由器拒絕來自外面的與本地主機(jī)有相同的 IP地址的包 RARP查詢可用來發(fā)現(xiàn)與目標(biāo)服務(wù)器處在同一物理網(wǎng)絡(luò)的主機(jī)的攻擊另外 ISN攻擊可通過讓每一個連接的 ISN隨機(jī)分配配合每隔半秒加 64000 來防止 28 使用 TCPSYN 報文段淹沒服務(wù)器 利用 TCP建立連接的 3步驟的缺點(diǎn)和服務(wù)器端口允許 的連接數(shù)量的限制竊取不可達(dá) IP地址作為源 IP地址使得服務(wù)器端得不到 ACK而使連接處于半開狀態(tài)從而阻止服務(wù)器響應(yīng)響應(yīng)別的連接請求盡管半開的連接會被過期而關(guān)閉的但只要攻擊系統(tǒng)發(fā)送的 spoofedSYN 請求的速度比過期的快就可以達(dá)到攻擊的目的這種攻擊的方法一直是一種重要的攻擊 ISPInterServiceProvider 的方法這種攻擊并不會損害服務(wù)而是使服務(wù)能力削弱解決這種攻擊的辦法是給 Unix 內(nèi)核加一個補(bǔ)丁程序或使用一些工具對內(nèi)核進(jìn)行配置一般的做法是使允許的半開連接的數(shù)量增加允許連接處于半開狀態(tài)的時間縮短 但這些并不能從根本上解決這些問題實(shí)際上在系統(tǒng)的內(nèi)存中有一個專門的隊列包含所有的半開連接這個隊列的大小是有限的因而只要有意使服務(wù)器建立過多的半開連接就可以使服務(wù)器的這個隊列溢出從而無法響應(yīng)其他客戶的連接請求 3 關(guān)于 TCPIP 協(xié)議族存在的脆弱性剖析 31 TCPIP 協(xié)議族存在脆弱性 IP 層的主要曲線是缺乏有效的安全認(rèn)證和保密機(jī)制其中最主要的因素就是IP地址問題 TCPIP協(xié)議用 IP 地址來作為網(wǎng)絡(luò)節(jié)點(diǎn)的惟一標(biāo)識許多 TCPIP服務(wù)包括 Berkeley 中的 R 命令 NFSX Window 等都是基于 IP 地址對用戶進(jìn)行認(rèn) 證和授權(quán)當(dāng)前 TCPIP 網(wǎng)絡(luò)的安全機(jī)制主要是基于 IP 地址的包過濾 Packet Filtering 和認(rèn)證 Authentication 技術(shù)它的有效性體現(xiàn)在可以根據(jù) IP 包中的源 IP 地址判斷數(shù)據(jù)的真實(shí)性和安全性然而 IP 地址存在許多問題協(xié)議的最大缺點(diǎn)就是缺乏對 IP地址的保護(hù)缺乏對 IP包中源 IP地址真實(shí)性的認(rèn)證機(jī)制與保密措施這也就是引起整個 TCPIP 協(xié)議不安全的根本所在 由于 UDP是基于 IP協(xié)議之上的 TCP分段和 UDP協(xié)議數(shù)據(jù)包是封裝在 IP包中在網(wǎng)絡(luò)上傳輸?shù)囊虼送瑯用媾R IP 層所遇到的安全威脅現(xiàn)在人們一直在想辦法解決卻仍然 無法避免的就是根據(jù) TCP 連接建立時三次握手機(jī)制的攻擊 32 應(yīng)用服務(wù)不容樂觀 文件傳輸協(xié)議 FTP 經(jīng)久不衰的原因在于它可以在互聯(lián)網(wǎng)上進(jìn)行與平臺無關(guān)的數(shù)據(jù)傳輸它基于一個客戶機(jī)服務(wù)器架構(gòu) FTP 將通過兩個信道端口傳輸一個傳輸數(shù)據(jù) TCP 端口 20另一個傳輸控制信息 TCP 端口 21在控制信道之上雙方客戶機(jī)和服務(wù)器交換用于發(fā)起數(shù)據(jù)傳輸?shù)拿钜粋€ FTP 連接包含 4 個步驟用戶鑒權(quán)→建立控制信道→建立數(shù)據(jù)信道→關(guān)閉連接 FTP 的連接控制使用 TCP Transmission Control Protocol 傳輸控制協(xié)議它保障了數(shù)據(jù)的可靠傳輸因此 FTP 在數(shù)據(jù)傳輸中不需要關(guān)心分組丟失和數(shù)據(jù)錯誤檢測 匿名 FTP 作為互聯(lián)網(wǎng)上廣泛應(yīng)用的服務(wù)安全等級的低下受到了黑客的頻繁光顧匿名 FTP 是真的匿名并沒有記錄誰請求了什么信息誰下載了什么文件上傳了什么東西有可能是木馬 FTP存在著致命的安全缺陷 FTP使用標(biāo)準(zhǔn)的用戶名和口令作為身份驗證缺乏有效的訪問權(quán)限的控制機(jī)制而其口令和密碼的傳輸也都是明文的方式 Web 服務(wù) Web 服務(wù)器位于宿主基礎(chǔ)結(jié)構(gòu)的前端它與 Inter 直接相連負(fù)責(zé)接收來自客戶端的請求創(chuàng)建動態(tài) Web 頁并響應(yīng)請求數(shù)據(jù)最初服務(wù)只提供靜態(tài)的 6HTML 頁面為改變?nèi)藗儗W(wǎng)絡(luò)互動請求的愿望開始引入了 CGI程序 CGI程序讓主頁活動起來 CGI 程序可以接收用戶的輸入信息一般用戶是通過表格把輸入信息傳給 CGI程序的然后 CGI 程序可以根據(jù)用戶的要求進(jìn)行一些處理一般情況下會生成一個HTML 文件并傳回給用戶很多 CGI 程序都存在安全漏洞很容易被黑客利用做一些非法的事情現(xiàn)在很多人在編寫 CGI程序時可能對 CGI軟件包中的安全漏洞并不了解而且大多數(shù)情況下不會重新編寫程序的所有部分只是對其加以適當(dāng)?shù)男薷倪@樣很多 CGI程序就不可避免的具有相同的安全漏洞很多 SQL Server 開發(fā)人員并沒有在代碼編寫開始的時候就從安全防護(hù)基礎(chǔ)開始這樣就無法確保您開發(fā)的代碼的安全性其結(jié)果就造成了無法將應(yīng)用程序的運(yùn)行控制在所需的最低權(quán)限之內(nèi) 33 提高網(wǎng)絡(luò)可信度 前面的 IPv4 存在的弊端很多安全防范技術(shù)被忽略了它不可避免地被新一代技術(shù) IPv6取代 IPsec安全協(xié)議就是事后 發(fā)展的一種協(xié)議如圖 31而 NAT網(wǎng)絡(luò)地址轉(zhuǎn)換 Network Address Translation 解決了 IP 地址短缺的問題卻增加了安全風(fēng)險使真正的端到端的安全應(yīng)用難以實(shí)現(xiàn)端到端安全性的兩個基本組件鑒權(quán)和加密都是 IPv6 協(xié)議的集成組件而在 IPv4 中它們只是附加組件因此采用 IPv6 安全性會更加簡便一
法律信息相關(guān)推薦
鄂ICP備17016276號-1