【正文】 （ 3） 6 個(gè)標(biāo)志比特 ： U R G ： 緊急指針 。 TTL：標(biāo)示報(bào)文的生存時(shí)間，一般報(bào)文經(jīng)過一個(gè)路由設(shè)備后，該數(shù)據(jù)就會(huì)減1，一般該數(shù)值為 32 或者 64，確定該 TTL值主要是不讓報(bào)文在網(wǎng)絡(luò)中形成死循環(huán)，形成網(wǎng)絡(luò)風(fēng)暴。 4 位首部長度：就是指整個(gè) IP 報(bào)文頭部一共有多少個(gè)字節(jié)，一般 IPV4 位20 個(gè)字節(jié)。 TFTP 就是用 UDP 目的端口號 69 來傳輸報(bào)文。還有ICMP（互聯(lián)網(wǎng)控制報(bào)文協(xié)議），這個(gè)協(xié)議最初主要是用來檢測網(wǎng)絡(luò)是否能正常通信的協(xié)議。所以接下來要討論攻擊報(bào)文的構(gòu)造 和網(wǎng)絡(luò)設(shè)備的概念 。 本章小結(jié) 隨著計(jì)算機(jī)技術(shù)的不斷發(fā)展，人們對網(wǎng)絡(luò)安全的要求越來越高，不單單那些大型的企業(yè)和政府需要有安全設(shè)備的保護(hù)，不受黑客的攻擊。 第二章：數(shù)據(jù)通信領(lǐng)域安全的測試方法 分析網(wǎng)絡(luò)攻擊必須了解攻擊報(bào)文和網(wǎng)絡(luò)設(shè)備，本章就簡單的從 TCP/IP 的角度描述了攻擊報(bào)文的構(gòu)造和網(wǎng)絡(luò)設(shè)備的基本概念。針對企業(yè)，除了防 ARP 以外，還要防止惡意用戶接入內(nèi)網(wǎng)造成危害。 低端路由器防攻擊需求 低端路由器的用戶群體 低端路由器的市場十分廣闊，包括中小企業(yè)、網(wǎng)吧、醫(yī)院、大酒店、高校，甚至可以是家庭用戶。但在低端的市場中，由于組網(wǎng)經(jīng)費(fèi)上的限制，設(shè)備和組網(wǎng)往往比較簡單，不可能有專門的防火墻和入侵檢測系統(tǒng)。 TCP/IP協(xié)議 可以在各種不同的硬件和操作系統(tǒng)上工作，因而利用 TCP/IP 可以迅速方便地創(chuàng)建一個(gè)網(wǎng)絡(luò) 系統(tǒng) 。 文中 還會(huì) 描述 防攻擊在路由器內(nèi)部的一些 詳細(xì) 實(shí)現(xiàn)。浙江大學(xué)碩士學(xué)位論文 Abstract i 低端路由器的攻擊與防范 摘要 當(dāng)今網(wǎng)絡(luò)發(fā)展很快，安全漏洞也隨之增加，安全問題也變成了人們?nèi)找骊P(guān)注的問題。本論文會(huì)分析當(dāng)今流行的攻擊手段和方法，利用現(xiàn)有的組網(wǎng)環(huán)境構(gòu)造異常的報(bào)文攻擊網(wǎng)絡(luò)設(shè)備，利用工具截獲攻擊報(bào)文，把該攻擊報(bào)文解析出來，然后根據(jù)網(wǎng)絡(luò)的知識，對該報(bào)文進(jìn)行分析，找出其中的規(guī)律和攻擊原理，根據(jù)該分析，提出有效的防攻擊手段。 如 今 ，幾乎所有 的 計(jì)算機(jī)都運(yùn)行著某種形式的 TCP/IP 協(xié)議。所以在高端的組網(wǎng)中，網(wǎng)絡(luò)的安全性往往較高。 本課題旨在通過 對需求和攻擊的研究 ，根據(jù) TCP/IP 的通信原理提出滿足低端路由器防攻擊的合理方案 。內(nèi)網(wǎng)的攻擊，針對網(wǎng)吧來說，最主要的就是 ARP攻擊和 ARP 欺騙。描述了用戶對防攻擊路由器的需求，本文研究的方法和要解決的問題。 第七章：低端路由器防攻擊總結(jié) 浙江大學(xué)碩士學(xué)位論文 第 1 章 緒論 4 對本文防攻擊的 回顧，總結(jié)主要研究和創(chuàng)新，提出優(yōu)點(diǎn)和不足，提出以后應(yīng)該改進(jìn)的方面。 在數(shù)據(jù)通信安全領(lǐng)域安全的測試方法歸根到底也是要分析 異常的 數(shù)據(jù)報(bào)文 對網(wǎng)絡(luò)設(shè)備的影響 ，所以對網(wǎng)絡(luò)攻擊的分析就是對攻擊報(bào)文的分析 和對網(wǎng)絡(luò)設(shè)備的影響 。比如：這層最有名的協(xié)議就是 IP 協(xié)議了，它主要定義了源 IP 地址和目的 IP 地址，浙江大學(xué)碩士學(xué)位論文 第 2 章 數(shù)據(jù)通信領(lǐng)域安全測試方法 6 網(wǎng)絡(luò)層主要通過該 IP 地址的信息來把報(bào)文從一個(gè)設(shè)備傳輸?shù)搅硪粋€(gè)設(shè)備。比如 FTP 就是用 TCP 目的端口號 20和 21 來傳輸報(bào)文的，通過 20 端口來建立傳輸通道，當(dāng)傳輸通道建立好了以后，再用 21端口來傳輸數(shù)據(jù)報(bào)文。 4 位 版 本0 1 5 1 64 位 首 部 長度8 位 服 務(wù) 類 型（ T O S ）3 2 位 源 I P 地 址1 6 位 長 度 （ 字 節(jié) 數(shù) ）1 3 位 片 位 移1 6 位 標(biāo) 志1 3 位 標(biāo) 志8 位 生 存 時(shí) 間（ T T L ）8 位 協(xié) 議 1 6 位 首 部 檢 驗(yàn) 和3 2 位 目 的 I P 地 址選 項(xiàng)數(shù) 據(jù)3 1 圖 IP 數(shù)據(jù)報(bào)文格式及首部中的各個(gè)字段 浙江大學(xué)碩士學(xué)位論文 第 2 章 數(shù)據(jù)通信領(lǐng)域安全測試方法 8 4 位版本：目前 業(yè)界 用的最廣泛的是 IPV4，就是第四版本的意思，但隨著網(wǎng)絡(luò)中的 IP 地址越來越不夠用了，所以以后 IPV6，就是第六版本的 IP 會(huì)出現(xiàn)，會(huì)來克服 IPV4 地址不足的問題。 片位移：數(shù)據(jù)報(bào)文在發(fā)送以前需要先把大包分成一個(gè)個(gè)的小包才能傳輸過去，就是通過片位移在報(bào)文上做好標(biāo)記，當(dāng)這幾個(gè)小包發(fā)送到目的地后再根據(jù)這些片位移把報(bào)文組裝回去。確認(rèn)序號包含發(fā)送確認(rèn)的一端所期望收到的下一個(gè)序號。（比如：校驗(yàn)和，數(shù)據(jù)） [2] 圖 就是一個(gè)完整的 TCP 包的分層結(jié) 構(gòu)， 上面提到的每個(gè)層次和字段在表中都有明確的意義。 所以在設(shè)備中的報(bào)文傳輸中，路由器在底層芯片不能轉(zhuǎn)發(fā)報(bào)文的時(shí)候，就是上升到 CPU 網(wǎng)絡(luò)層來 轉(zhuǎn) 發(fā)，當(dāng)網(wǎng)絡(luò)層找不到路由不能轉(zhuǎn)發(fā)時(shí)，或者是把報(bào)文丟棄或者是讓報(bào)文匹配 默認(rèn)的路由。 浙江大學(xué)碩士學(xué)位論文 第 3 章 針對低端路由器的攻擊 14 第 3章 針對低端路由器的 攻擊 低端路由器典型的攻擊手法 在 節(jié)中，描述了低端路由器防攻擊的需求情況，低端路由器的攻擊的主要是以下三個(gè)方面： （ 1）針對內(nèi)網(wǎng)的攻擊： ARP 攻擊，簡單的 ARP 攻擊能使內(nèi)網(wǎng)用戶經(jīng)常掉線。 ARP 的概念 ARP，全稱 地址解析協(xié)議 ， 英文 中文名為 Address Resolution Protocol，它工作在數(shù)據(jù)鏈路層，在本層和硬件接口聯(lián)系，同時(shí)對上層提供服務(wù)。 ARP Request 既 有 廣播方式發(fā)送，也可能 有 以單播方式發(fā)送。當(dāng)短時(shí)間內(nèi)構(gòu)造大量的ARP 報(bào)文攻擊設(shè)備時(shí)，會(huì)造成 CPU 利用率直線上升，甚至造成 CPU 滿負(fù)荷工作，短時(shí)間內(nèi)無法響應(yīng)外界正常的請求。 浙江大學(xué)碩士學(xué)位論文 第 3 章 針對低端路由器的攻擊 19 ARP Spoof ARP 欺騙是 更加 進(jìn)一步的攻擊手段。當(dāng)然，攻擊者最終的目標(biāo)并不是斷開被攻擊設(shè)備的網(wǎng)絡(luò)連接（部分惡意攻擊軟件除外），而是實(shí)現(xiàn)中間人攻擊。 浙江大學(xué)碩士學(xué)位論文 第 3 章 針對低端路由器的攻擊 21 網(wǎng) 關(guān)攻 擊 設(shè) 備計(jì) 算 機(jī) A我 是 計(jì) 算 機(jī) A請 把 報(bào) 文 發(fā) 給 我我 是 網(wǎng) 關(guān) ， 請 把 報(bào) 文 發(fā) 給 我 圖 ARP 中間人攻擊原理圖 圖 是受到中間人攻擊后的局域網(wǎng)流量簡圖，在計(jì)算機(jī) A 的 ARP 表項(xiàng)中，計(jì)算機(jī) A 對應(yīng)的網(wǎng)關(guān) IP 是攻擊設(shè)備的 MAC；而真實(shí)網(wǎng)關(guān)的 ARP 表項(xiàng)中，普通用戶 IP 對應(yīng)的是 攻擊設(shè)備的 MAC?；蛘卟辉试S用戶連接特定的 IP 地址。 20xx 年 9 月份，新浪遭受黑客攻擊長達(dá) 19 個(gè)小時(shí)，致使電子郵箱系統(tǒng)完全癱瘓。 TCP 連接握手過程可以簡單地分為三 個(gè)過程 。這時(shí)，連接 的信息 已經(jīng)建立 好 了。 其實(shí) 問題 缺陷 就出在 TCP 連接的三次握手中： （ 1） 假設(shè)一個(gè) 客戶端 用戶向服務(wù)器發(fā)送了 SYN 報(bào)文后突然掉線。 所以從 Inter 發(fā)起的 ICMP 包達(dá)到一定速率的時(shí)候 ，就可以判定是 ICMP Flood 攻擊 事件的發(fā)生。 雖然 每一 片 數(shù)據(jù)包不會(huì)超過 65535 字節(jié)，但是在 當(dāng) IP 分片 報(bào)文 重組后就可以超過這一限制。 （ 7） Tear drop 攻擊 ： 這 也是一種 碎片攻擊，發(fā)出的 報(bào)文 OFFSET字段相互浙江大學(xué)碩士學(xué)位論文 第 3 章 針對低端路由器的攻擊 27 重疊的 分片報(bào)文，這種畸形數(shù)據(jù)包會(huì)造成被攻擊的設(shè)備 錯(cuò)誤的組合分片 的 報(bào)文 ，當(dāng)設(shè)備 發(fā)現(xiàn)碎片報(bào)文，直接丟棄 。 在這整個(gè)過程中會(huì)消耗掉 一部分 資源。 設(shè)備 WAN 口收到 ICMP的目的地址是廣播地址的 Ping報(bào)文，認(rèn)為 Smurf 攻擊 。 [5] DOS 攻擊 類型 上一節(jié)對典型的 DOS 攻擊 TCP SYN Flood 攻擊進(jìn)行 了分析。 SYNACK 報(bào)文 重傳次數(shù) ： 服務(wù)器發(fā)送完 SYNACK 報(bào)文后 ，如果 一直沒有收到客戶確認(rèn)報(bào)文 ，服務(wù)器 則會(huì) 進(jìn)行首次重傳，等待一段時(shí)間 后 如果 仍 然 未收到客戶確認(rèn)報(bào)文 ， 則 進(jìn)行第二次重傳，如果重傳 的 次數(shù)超過 了 系統(tǒng)規(guī)定的最大的 重傳次數(shù) 后 ， 等待一段時(shí)間后 系統(tǒng)將該連接信息從半連接 的列表 隊(duì)列中刪除。如果接收連接 的報(bào)文 ，那么服務(wù)器發(fā)送確認(rèn) 報(bào)文 給客戶端 ， SYN 請求 為服務(wù)器的一個(gè)內(nèi)碼， ACK 報(bào)文 則是客戶端的請求序號加 1，用這樣的數(shù)據(jù) 報(bào)文 發(fā)送給客戶端。商業(yè)公司的網(wǎng)站如 eBay，在 26 個(gè)小時(shí)的攻擊之后，股票價(jià)格下降 29%。它的目的就是拒絕 客戶端 的服務(wù)訪問，破壞系統(tǒng)的正常運(yùn)行，最終它會(huì)使 客戶端 的部分 Inter 連接 失敗 。 [3] 病毒和木馬 內(nèi)網(wǎng)用戶往往通過訪問不安全的網(wǎng)站或網(wǎng)頁而感染病毒或木馬 ，中了木馬的主機(jī)會(huì)執(zhí)行一些木馬和病毒的程序，有些會(huì)直接把用戶在銀行網(wǎng)站上的用戶名和密碼直接通過網(wǎng)絡(luò)發(fā)給用戶，有些病毒又會(huì)在在局域網(wǎng)中傳播，使網(wǎng)內(nèi)主機(jī)發(fā)生癱瘓。 之 所謂 “ 中間人 ” 的攻擊方式，就是 “ 中間人 ”冒充真正的服務(wù)器接收 客戶端 你 傳給服務(wù)器的數(shù)據(jù) 報(bào)文 ，然后再冒充 客戶端 把數(shù)據(jù) 報(bào)文 傳給真正的服務(wù)器。 （ 2）當(dāng)網(wǎng)關(guān)還沒來得及反應(yīng)的時(shí)候，攻擊設(shè)備搶先向計(jì)算機(jī)應(yīng)答，冒充自己是網(wǎng)關(guān)。 如圖 為免費(fèi) ARP 攻擊原理圖。 圖 免費(fèi) ARP 解析圖 以下是一個(gè)典型的 ARP 報(bào)文交互 的 過程： 浙江大學(xué)碩士學(xué)位論文 第 3 章 針對低端路由器的攻擊 17 PC 1通過廣播方式的 ARP Request報(bào)文 ，請求 IP 為 MAC地址；報(bào)文中目的 MAC 是全 0； PC 2 通過單播方式的 ARP Reply 報(bào)文 進(jìn)行應(yīng)答， PC 2 將自己的 MAC 地址填入報(bào)文中的源 MAC 地址 位置； PC 1 收到 ARP Reply報(bào)文 后，更新自己的 ARP 緩存 或者 ARP 表項(xiàng)。它就是通過地址解析協(xié)議獲得的。端口掃描主要是黑客用來探測網(wǎng)絡(luò)環(huán)境的手段， 黑客利用端口掃描可以探測出用戶主機(jī)哪一些服務(wù)處于工作狀態(tài)，然后進(jìn)行有針對性的攻擊。 通過這些專業(yè)的構(gòu)包工具來模擬攻擊報(bào)文，構(gòu)造精確的流量，達(dá)到攻擊網(wǎng)絡(luò)設(shè)備的目的，然后通過抓包工具分析這些攻擊報(bào)文，對報(bào)文字段進(jìn)行分析，對攻擊原理進(jìn)行解剖，從而設(shè)計(jì)一個(gè)可以防范各種攻擊的模塊。 浙江大學(xué)碩士學(xué)位論文 第 2 章 數(shù)據(jù)通信領(lǐng)域安全測試方法 11 圖 16 進(jìn)制表示的 TCP 報(bào)文 數(shù)據(jù)通信中 的設(shè)備 要了解如何防范攻擊，就要了解網(wǎng)絡(luò)中的報(bào)文是通過什么設(shè)備傳輸?shù)?，上一?jié)說明了 TCP/IP 的四層結(jié)構(gòu)， 網(wǎng)絡(luò)設(shè)備 可以根據(jù) 處理數(shù)據(jù)報(bào)文 層次的進(jìn)行劃分 。 R S T ： 重建連接。 接下來就是常見的源 IP 地址和目的 IP 地址。這些字段的標(biāo)示說明了該報(bào)文要傳輸時(shí)最看重什么，設(shè)備會(huì)根據(jù)這些報(bào)文 TOS 字段來區(qū)別對待這些報(bào)文。 [1]史蒂文斯 .TCP/IP 詳解 [M].北京 :機(jī)械工業(yè)出版社 ， 20xx. 浙江大學(xué)碩士學(xué)位論文 第 2 章 數(shù)據(jù)通信領(lǐng)域安全測試方法 7 如何構(gòu)造鏈路層報(bào)文，如圖 該鏈路層報(bào)文包括目的 MAC 地址和源 MAC地址，該 MAC 地址是 6 位的長度，表示了網(wǎng)絡(luò)上網(wǎng)卡的身份。TCP 一般為 PC 之間提供可靠性極高的傳輸，是有連接的傳輸，在傳輸之前會(huì)先同過一些測試報(bào)文來把藥傳輸?shù)耐ǖ老冗B接起來，當(dāng)傳輸通道連接起來以后再開始傳輸數(shù)據(jù)報(bào)文，而且當(dāng)報(bào)文傳輸失敗時(shí)，還會(huì)重傳。通信的時(shí)候，報(bào)文就經(jīng)過一層層的解析，然后分析每一層的協(xié)議族來獲取報(bào)文中的信息。現(xiàn)在業(yè)界對低端的路由器也要求有基本的防攻擊能力，一般的僅僅能進(jìn)行報(bào)文快速轉(zhuǎn)發(fā)的路由器已經(jīng)不能滿足用戶的需求。通過該技術(shù)來實(shí)現(xiàn)網(wǎng)頁訪問的控制和用戶接入的控制來防止用戶訪問不安全的網(wǎng)站受到木馬的攻擊。 （ 3）能防御外網(wǎng)發(fā)起的各種攻擊。 網(wǎng)吧：該組網(wǎng)情況下對防攻擊要求更加高，即要防止內(nèi)網(wǎng)惡意用戶發(fā)起的攻擊，又要兼顧外網(wǎng)惡意攻擊核心路由器，導(dǎo)致核心路由器的癱瘓。如今，網(wǎng)絡(luò)攻擊的手段和技術(shù)也不斷的更新，像當(dāng)前比較流行的 ARP攻擊的產(chǎn)生，迫使低端 的路由器也有防 ARP的一些功能。所以現(xiàn) 有 的安全機(jī)制被經(jīng)常 拿來 修改以適應(yīng)現(xiàn)有的網(wǎng)絡(luò)和 TCP/IP 協(xié)議 。 also there are DOS attacks and port scanning attacks within wild area work. Hackers can use these attacks to obtain sensitive technology documents from corporation, and they also can obtain sensitive user account and password to the individual. In a large work environment, there are firewall, IDS (Intrusion Detection System), and other large equipment to protect valuable work security. H