論文：arp欺騙及icmp攻擊技術(shù)分析-全文預(yù)覽
【正文】 作”，在“安全措施”頁中設(shè)置為“阻止”。針對連接的DoS攻擊不能通過打補(bǔ)丁的方式加以解決，通過過濾適當(dāng)?shù)腎CMP消息類型，一般防火墻可以阻止此類攻擊。針對的網(wǎng)絡(luò)連接的IP設(shè)備，因為它使用了合法的ICMP消息。當(dāng)攻擊目標(biāo)的各項性能指標(biāo)不高時，如CPU速度低，內(nèi)存小或者網(wǎng)絡(luò)帶寬小，這種攻擊效果是明顯的。Pingflood、pong、echok、flushot、fraggle和bloop是常用的ICMP攻擊工具。 ICMP攻擊及欺騙技術(shù)使用ICMP攻擊的原理實際上就是通過Pign大理的數(shù)據(jù)包使得計算機(jī)的CPU使用率居高不下而崩潰，一般情況下黑客通常在一個時段內(nèi)連續(xù)向計算機(jī)發(fā)出大量的請求而導(dǎo)致CUP占用率太高而死機(jī)。③ 當(dāng)數(shù)據(jù)包分片，但卻沒有給接收端足夠的分片，接收端分片裝超時會發(fā)送分片組裝超時的ICMP數(shù)據(jù)報。這此錯誤報文并不是主動發(fā)送的，而是由于錯誤，根據(jù)協(xié)議自動產(chǎn)生。向目的系統(tǒng)發(fā)送時間戳（Type=13）報文，請求返回目的系統(tǒng)的時間，可以獲得目標(biāo)系統(tǒng)所在的時區(qū)。在這里我們利用ICMP協(xié)議的不同類型可以搜集目標(biāo)主機(jī)的很多信息： (1) 網(wǎng)絡(luò)Ping掃射，尋找活動主機(jī)獲取一個真實網(wǎng)絡(luò)的最基本步驟之一是在某一個IP地址和網(wǎng)絡(luò)塊范圍內(nèi)執(zhí)行一輪自動Ping掃射，以確定某個具體的系統(tǒng)是否存活。下表列出了部分ICMP消息中類型和代碼的組合： 表31 ICMP消息類型和代碼組合類型代碼描述00回應(yīng)應(yīng)答（Ping，與類型8的Ping請求一起使用）30～15目的不可達(dá)40源端被關(guān)閉（基本流控制）50～3重定向80回應(yīng)請求（Ping請求，與類型0的Ping應(yīng)答一起使用）90路由器請求（與類型10一起使用）100路由器請求（與類型9一起使用）110～1超時120～1參數(shù)問題130時間戳請求（與類型14一起使用）140時間戳應(yīng)答（與類型13一起使用）170地址掩碼請求（與類型18一起使用）180地址掩碼應(yīng)答（與類型17一起使用） 使用ICMP協(xié)議搜集信息ICMP的使用者主要是路由器,接收者為IP數(shù)據(jù)報的源發(fā)主機(jī)端,但也可以由主機(jī)向一個特定的目的主機(jī)發(fā)出查詢報文。圖31 ICMP保溫的兩級封裝從上圖中可以看出ICMP消息格式為IP頭加上自己的消息包，簡單的說就是：IP Header + ICMP Message，ICMP Message=Type（1）+Code（1）+CheckSum（2）+others每個ICMP報文都以相同的3個字段開始：1個16位校驗和字段用來識別報文，1個8位的代碼（CODE）字段提供有關(guān)報文類型的進(jìn)一步信息，1個16位驗證字段。 ICMP的消息格式和代碼組合像其它所有的通信業(yè)務(wù)一樣，ICMP報文是放在一個IP數(shù)據(jù)報的數(shù)據(jù)部分中傳送的。(3) 當(dāng)網(wǎng)關(guān)發(fā)現(xiàn)并能夠引導(dǎo)主機(jī)在更短的路由上發(fā)送數(shù)據(jù)報時。引進(jìn)ICMP協(xié)議還可以獲得網(wǎng)絡(luò)通不通、主機(jī)是否可達(dá)、路由是否可用等網(wǎng)絡(luò)本身的消息，幫助網(wǎng)絡(luò)管理員了解網(wǎng)絡(luò)狀況。但是，IP通信過程中總會碰上各種各樣的原因?qū)е峦ㄐ攀?，比如：目的地址不正確。比如我們經(jīng)常用的用于檢查網(wǎng)絡(luò)通不通的Ping命令，這個“Ping”的過程實際上就是ICMP協(xié)議的過程。它是TCP/IP協(xié)議族的一個子協(xié)議，用于在IP主機(jī)、路由器之間傳遞控制消息。3 ICMP協(xié)議的概述對于TCP/IP協(xié)議我們一定非常熟悉，但是對ICMP協(xié)議可能不是太了解。如圖24所示：圖24 ARP綁定、修改、刪除注意：(1) 進(jìn)行綁定置前要確認(rèn)ARP表是正確的。如圖23所示：圖23 ARP靜態(tài)綁定設(shè)置對于這個靜態(tài)ARP映射表，您可以進(jìn)行修改、刪除、取消綁定等操作。如果確認(rèn)這個表是正確的（如果所有的計算機(jī)都可以正常上網(wǎng)，MAC地址沒有重復(fù)，這個表般就沒有錯了，如果計算機(jī)中了ARP病毒，可以檢查這個ARP表看MAC地址有沒有相同的，若有相同的，則這些主機(jī)都不能正常訪問網(wǎng)絡(luò)，要檢查這些主機(jī)，使用DOS命令行的arp – d命令清除主機(jī)的ARP表），可以選擇某個條目后面的“綁定”操作進(jìn)行單獨的MAC地址綁定，也可以通過點擊“全部綁定”把ARP表中的所有條目綁定。(2) 默認(rèn)情況下ARP綁定功能是關(guān)閉的，首先要啟用ARP綁定功能，打開路由器的管理界面，選擇“MAC地址綁定”。注意有使用SNMP的情況下，ARP的欺騙有可能導(dǎo)致陷阱包丟失。（靜態(tài)由ARP條目），注意，使用交換線器和網(wǎng)橋無法阻止ARP欺騙。確保這臺ARP服務(wù)器不被黑。 解決思路(1) 不要把你的網(wǎng)絡(luò)安全信任關(guān)系建立在IP基礎(chǔ)上或MAC基礎(chǔ)上，（rarp同樣存在欺騙的問題），理想的關(guān)系應(yīng)該建立在IP+MAC基礎(chǔ)上。其他用戶原來直接通過路由器上網(wǎng)現(xiàn)在轉(zhuǎn)由通過病毒主機(jī)上網(wǎng)，切換的時候用戶會斷一次線。D直接進(jìn)行整個包的修改轉(zhuǎn)發(fā)，捕獲到A發(fā)送給C的數(shù)據(jù)包，全部進(jìn)行修改后再轉(zhuǎn)發(fā)給C，而C接收到的數(shù)據(jù)包完全認(rèn)為是從A發(fā)送來的。D對接收到A發(fā)送給C的數(shù)據(jù)包可沒有轉(zhuǎn)交給C。如果進(jìn)行欺騙的時候，把C的MAC地址騙為00e04cb095f3，于是A發(fā)送到C上的數(shù)據(jù)包都變成發(fā)送給D的了。同時它還更新了自己的ARP緩存表，下次再向主機(jī)B發(fā)送信息時，直接從ARP緩存表里查找就可以了。 解決ARP攻擊的方法舉一個簡單的ARP欺騙的例子：每臺安裝有TCP/IP協(xié)議的電腦里都有一個ARP緩存表，表里的IP地址與MAC地址是一一對應(yīng)的，如圖11所示：主機(jī)IP地址MAC地址A192．168．0．200105caaaab7B192．168．0．500908181fc1aC192．168．0．6000aebe9d0bdD192．168．0．900e04cb095f3
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1