網(wǎng)絡(luò)系統(tǒng)管理tcpip協(xié)議的安全性研究畢業(yè)論文-預(yù)覽頁(yè)
【正文】 個(gè)協(xié)議簇，是因?yàn)門(mén)CP/IP包括了TCP、IP、UDP、ICMP、RIP、TELNET、FTP、SMTP、ARP等許多協(xié)議，對(duì)因特網(wǎng)中主機(jī)的尋址方式、主機(jī)的命名機(jī)制、信息的傳輸規(guī)則，以及各種各樣的服務(wù)功能均做了詳細(xì)約定，這些約定一起稱(chēng)為T(mén)CP/IP。 TCP/IP協(xié)議的總體概況目前在Internet上使用的是TCP/IP協(xié)議。TCP(Transfer Control Protocol)是傳輸控制協(xié)議。IP協(xié)議之所以能使各種網(wǎng)絡(luò)互聯(lián)起來(lái)是由于它把各種不同的“幀”統(tǒng)一轉(zhuǎn)換成“IP數(shù)據(jù)報(bào)”格式，這種轉(zhuǎn)換是因特網(wǎng)的一個(gè)最重要的特點(diǎn)。.總之，IP協(xié)議保證數(shù)據(jù)的傳輸，而TCP協(xié)議保證數(shù)據(jù)傳輸?shù)馁|(zhì)量。例如有的實(shí)現(xiàn)可以使用雜錯(cuò)接點(diǎn)，即能接收所有數(shù)據(jù)幀的機(jī)器節(jié)點(diǎn)。所以如果一個(gè)敵意主機(jī)同時(shí)運(yùn)行很多個(gè)ping命令向一個(gè)服務(wù)器發(fā)送超過(guò)其處理能力的ICMPecho響應(yīng)。注意，其中所說(shuō)的信任關(guān)系是指一個(gè)被授權(quán)的主機(jī)可以對(duì)信任主機(jī)進(jìn)行方便的訪問(wèn)。ARP緩存的每一條目保存有IP地址到物理地址的映射。克服此問(wèn)題的方法是，讓硬件地址常駐內(nèi)存，并可以用ARP命令手工加入（特權(quán)用戶(hù)才可以那樣做）；也可以通過(guò)向RARP服務(wù)器詢(xún)問(wèn)來(lái)檢查客戶(hù)的ARP欺騙。如果一個(gè)路由器發(fā)送非法的重定向報(bào)文，就可以偽造路由表，錯(cuò)誤引導(dǎo)非本地的數(shù)據(jù)報(bào)。 攔截TCP連接攻擊者可以使TCP連接的兩端進(jìn)入不同步狀態(tài)，入侵者主機(jī)向兩端發(fā)送偽造的數(shù)據(jù)包。預(yù)防方法：使所有的r*命令失效，讓路由器拒絕來(lái)自外面的與本地主機(jī)有相同的IP地址的包。盡管半開(kāi)的連接會(huì)被過(guò)期而關(guān)閉的，但只要攻擊系統(tǒng)發(fā)送的spoofedProvider）的方法，這種攻擊并不會(huì)損害服務(wù)，而是使服務(wù)能力削弱。實(shí)際上在系統(tǒng)的內(nèi)存中有一個(gè)專(zhuān)門(mén)的隊(duì)列包含所有的半開(kāi)連接，這個(gè)隊(duì)列的大小是有限的，因而只要有意使服務(wù)器建立過(guò)多的半開(kāi)連接就可以使服務(wù)器的這個(gè)隊(duì)列溢出，從而無(wú)法響應(yīng)其他客戶(hù)的連接請(qǐng)求。然而IP地址存在許多問(wèn)題，協(xié)議的最大缺點(diǎn)就是缺乏對(duì)IP地址的保護(hù)，缺乏對(duì)IP包中源IP地址真實(shí)性的認(rèn)證機(jī)制與保密措施。 應(yīng)用服務(wù)不容樂(lè)觀 文件傳輸協(xié)議 FTP經(jīng)久不衰的原因在于它可以在互聯(lián)網(wǎng)上進(jìn)行與平臺(tái)無(wú)關(guān)的數(shù)據(jù)傳輸，它基于一個(gè)客戶(hù)機(jī)/服務(wù)器架構(gòu)。FTP 的連接控制使用 TCP （Transmission Control Protocol， 傳輸控制協(xié)議），它保障了數(shù)據(jù)的可靠傳輸。FTP存在著致命的安全缺陷，F(xiàn)TP使用標(biāo)準(zhǔn)的用戶(hù)名和口令作為身份驗(yàn)證，缺乏有效的訪問(wèn)權(quán)限的控制機(jī)制，而其口令和密碼的傳輸也都是明文的方式。很多CGI 程序都存在安全漏洞，很容易被黑客利用做一些非法的事情。IPsec安全協(xié)議就是事后 發(fā)展的一種協(xié)議（如圖31），而NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換，Network Address Translation）解決了IP地址短缺的問(wèn)題，卻增加了安全風(fēng)險(xiǎn)，使真正的端到端的安全應(yīng)用難以實(shí)現(xiàn)。 另外，針對(duì)數(shù)據(jù)包的單向Hash算法用以提供校驗(yàn)和。 4 TCP/IP狀態(tài)轉(zhuǎn)移 TCP狀態(tài)轉(zhuǎn)移圖和定時(shí)器應(yīng)于連接建立或終止、流量控制和數(shù)據(jù)傳輸。 ②FINWAIT2定時(shí)器：當(dāng)連接從FINWAIT1狀態(tài)轉(zhuǎn)移到FINWAIT2狀態(tài)時(shí)，將一個(gè) FINWAIT2定時(shí)器設(shè)置為10分鐘。當(dāng)定時(shí)器超時(shí)時(shí)，與該連接相關(guān)的內(nèi)核數(shù)據(jù)塊被刪除，連接終止。其結(jié)果是未授權(quán)的遠(yuǎn)端用戶(hù)進(jìn)入帶有防火墻的主機(jī)系統(tǒng)。為了實(shí)現(xiàn)該目標(biāo)，X必須執(zhí)行兩步操作：首先，與B建立一個(gè)虛假連接；然后，阻止A向B報(bào)告網(wǎng)絡(luò)證實(shí)系統(tǒng)的問(wèn)題。主機(jī)B響應(yīng)，向主機(jī)A發(fā)送一個(gè)帶有應(yīng)答號(hào)的SYN+ACK包、該應(yīng)答號(hào)等于原序列號(hào)加1。其過(guò)程描述如下： X→B：SYN（序列號(hào)=M），SRC=A B→A：SYN（序列號(hào)=N），ACK（應(yīng)答號(hào)=M+1） X→B：ACK（應(yīng)答號(hào)＝N+1），SRC＝A 同時(shí)，主機(jī)X應(yīng)該阻止主機(jī)A響應(yīng)主機(jī)B的包。 TCP狀態(tài)轉(zhuǎn)移的問(wèn)題 上述的入侵過(guò)程，主機(jī)X是如何阻止主機(jī)A向主機(jī)B發(fā)送響應(yīng)在的，主機(jī)調(diào)通過(guò)發(fā)送一系列的SYN包，但不讓A向調(diào)發(fā)送SYNACK包而中止主機(jī)A的登錄端口。 下面我們來(lái)討論一下主機(jī)X和主機(jī)A之間相互發(fā)送的包序列。我們假設(shè)它首先處理SYN標(biāo)志位，轉(zhuǎn)移到SYNRCVD狀態(tài)。但在幾種TCP應(yīng)用程序中都有這樣的轉(zhuǎn)移，例如開(kāi)放系統(tǒng)SUN ， 因此，在這些TCP應(yīng)用程序中存在一條TCP協(xié)議中未作定義的從狀態(tài)SYNRCVD到狀態(tài)CLOSEWAIT的轉(zhuǎn)移弧，在上述入侵例子中，由于三次握手沒(méi)能徹底完成，因此并未真正建立TCP連接，相應(yīng)的網(wǎng)絡(luò)應(yīng)用程序并未從核心內(nèi)獲得連接。如果維持活動(dòng)定時(shí)器特征被使用，通常2小時(shí)后TCP將會(huì)重置連接并轉(zhuǎn)移到CLOSED狀態(tài)。因此入侵者可以假裝成已建立了合法連接的一個(gè)主機(jī)，然后向另一臺(tái)主機(jī)發(fā)送一個(gè)帶有適當(dāng)序列號(hào)的RST段，這樣就可以終止連接了！從上面的分析我們可以看到幾種TCP應(yīng)用程序中都存在外部狀態(tài)轉(zhuǎn)移。我們來(lái)分析一下主機(jī)A和主機(jī)X的例子。當(dāng)都收到對(duì)方的SYNACK包后，就可認(rèn)為連接已建立。主機(jī)A向 X發(fā)送一個(gè)SYN包以啟動(dòng)一個(gè)TCP連接用來(lái)傳輸數(shù)據(jù)，其狀態(tài)轉(zhuǎn)移到SYNSENT狀態(tài)。由于X不回送任何包，因此A被鎖在SYNRCVD狀態(tài)。 偽造IP地址最初，網(wǎng)絡(luò)監(jiān)控設(shè)備會(huì)監(jiān)測(cè)到大量的TCP SYN包從某個(gè)主機(jī)發(fā)往A的登錄端口。然后主機(jī)X將用RST包作應(yīng)答。收到這個(gè)包之后，主機(jī)B將向主機(jī)A發(fā)送相應(yīng)的SYNACK包。主機(jī)B首先處理SYN標(biāo)志，生成一個(gè)帶有相應(yīng)ACK標(biāo)志位置位的包，并使?fàn)顟B(tài)轉(zhuǎn)移到SYNRCVD，然后處理FIN標(biāo)志，使?fàn)顟B(tài)轉(zhuǎn)移到CLOSEWAIT，并向X回送ACK包。因此，如果網(wǎng)絡(luò)監(jiān)控設(shè)備發(fā)現(xiàn)一串SYNFIN／ACK包，可推斷入侵者正在阻塞主機(jī)B的某個(gè)端口。因此，B被阻塞在SYNRCVD狀態(tài)，無(wú)法響應(yīng)來(lái)自其它客戶(hù)機(jī)的連接請(qǐng)求。畢竟就目前說(shuō)，對(duì)象這兩個(gè)安全協(xié)議的安全性分析比IPv6的安全性分析具有更大的實(shí)現(xiàn)意義。正因?yàn)槿绱?，各?guó)耗資致力于該問(wèn)題的研究，并已獲得顯著的成績(jī)。尊敬的導(dǎo)師們無(wú)論是為人還是為學(xué)都是我生活上和學(xué)術(shù)上的引路人，感激之情無(wú)以言表，只能在日后的工作和學(xué)習(xí)中踏實(shí)做人、勤奮做事，做出一番成績(jī)來(lái)回報(bào)他們對(duì)我的恩惠。他們不僅在學(xué)術(shù)上給予我指點(diǎn)，同時(shí)也是我生活中一起同行的人，在交往的過(guò)程中我們建立信任、彼此鼓勵(lì)、互相支持與幫助。
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1