網(wǎng)絡(luò)攻擊檢測(cè)和防御一(編輯修改稿)
2025-06-18 23:18 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 TCP標(biāo)志 1 TCP報(bào)文包含 6個(gè)標(biāo)志位： URG、 ACK、 PSH、 RST、 SYN、FIN ， 6個(gè)標(biāo)志全部為 1，就是圣誕樹攻擊； 探測(cè)操作系統(tǒng)： 6個(gè)標(biāo)志全部為 0，如果接受方端口關(guān)閉，回應(yīng)一個(gè) RST | ACK消息；如果端口開放， Linux和 UNIX不應(yīng)答，而 Windows將回答 RST | ACK消息。 FIN 、 URG、 PUSH、 URG|FIN 、 URG|PUSH 、 FIN|PUSH 、URG|FIN|PUSH 幾種情況下：如果接受方端口關(guān)閉，回應(yīng)一個(gè) RST | ACK消息；如果端口開放， Linux和 UNIX不應(yīng)答，而 Windows將回答 RST | ACK消息。 (協(xié)議棧攻擊 )TCP標(biāo)志 2 不管接受方端口是打開還是關(guān)閉， SYN | FIN | URG 會(huì)讓接收方發(fā)送一個(gè) RST | ACK 應(yīng)答，這可用于探測(cè)主機(jī)的存在。 如果端口是關(guān)閉的， SYN、 SYN | FIN、 SYN | PUSH、SYN | FIN | PUSH、 SYN|URG、 SYN | URG | PUSH、 SYN | FIN | URG | PUSH 會(huì)使接收方應(yīng)答一個(gè) RST | ACK消息；如果端口是打開的，會(huì)使接收方應(yīng)答一個(gè) SYN | ACK消息，這可用于主機(jī)探測(cè)和端口探測(cè)。 DoS攻擊（ Deny of Service） 主要針對(duì)服務(wù)器，攻擊數(shù)據(jù)源。攻擊者的意圖很簡(jiǎn)單，不 是試圖控制系統(tǒng)，而是阻止合法的用戶訪問。 采用的方法： 1：物理上的毀壞或更改； 2：邏輯配置信息的破壞或更改；（例如路由信息） 3：一定程度消耗 網(wǎng)絡(luò)資源 ，讓網(wǎng)絡(luò)不能繼續(xù)提供正常服務(wù)。 所謂資源，就是 主機(jī)或網(wǎng)絡(luò)的運(yùn)行都需要特定的 cpu時(shí)間、內(nèi)存和磁盤空間、網(wǎng)絡(luò)帶寬、對(duì)其他網(wǎng)絡(luò)的訪問等。 針對(duì)網(wǎng)絡(luò)帶寬的 DoS攻擊：流量攻擊，洪流攻擊，引發(fā)網(wǎng)絡(luò)風(fēng)暴攻擊 等。 (DoS攻擊 ) ICMP重定向報(bào)文 原理：攻擊者向受害主機(jī)主機(jī)發(fā)送 ICMP重定向報(bào)文，請(qǐng)求主機(jī)改變路由。 希望引起受害主機(jī)路由表的混亂，干擾主機(jī)正常的 IP報(bào)文轉(zhuǎn)發(fā)。 一般攻擊者和受害者需要在同一子網(wǎng)，惡意的攻擊可能跨網(wǎng)段發(fā)送虛假的重定向報(bào)文。 (DoS攻擊 ) ICMP不可達(dá)報(bào)文 原理：攻擊者向受害主機(jī)主機(jī)發(fā)送 ICMP不可達(dá)報(bào)文，希望引起受害主機(jī)路由表的混亂，干擾主機(jī)正常的 IP報(bào)文轉(zhuǎn)發(fā)。 有些系統(tǒng)收到 ICMP不網(wǎng)絡(luò)可達(dá)報(bào)文（代碼為 0）或主機(jī)可達(dá)報(bào)文（代碼為 1）后，就會(huì)直接刪除通往該目的地的路由。 惡意的攻擊利用這點(diǎn)造成拒絕服務(wù)。 (DoS攻擊 ) SYN flood TCP半連接洪流攻擊，是比較著名的 DoS攻擊 。 原理：任何系統(tǒng)的內(nèi)存都不是無(wú)限的，協(xié)議棧能維護(hù)的半連接數(shù)也不是無(wú)限。攻擊者制造 SYN洪流，一直耗盡系統(tǒng)的半連接緩沖區(qū)，在緩沖區(qū)內(nèi)的連接超時(shí)前，服務(wù)器就不會(huì)再響應(yīng)任何連接請(qǐng)求。 預(yù)防：減少 TCP半連接的老化時(shí)間，狀態(tài)防火墻過(guò)濾（ ASPF/CBAC） (DoS攻擊 ) Land 所謂 Land攻擊，就是把 TCP SYN包的源地址和目標(biāo)地址都設(shè)置成某一個(gè)受害者的 IP地址。這將導(dǎo)致受害者向它自己的地址發(fā)送 SYNACK消息，結(jié)果這個(gè)地址又發(fā)回 ACK消息并創(chuàng)建一個(gè)空連接，每一個(gè)這樣的連接都將保留直到超時(shí)掉。 可以看到，這種攻擊并不需要滾滾洪流，攻擊者只需要撥號(hào)上網(wǎng)，64K的 Modem鏈路發(fā)送的 Land攻擊就能讓一個(gè)非?？斓木W(wǎng)絡(luò)服務(wù)崩潰。因?yàn)楣粽吆褪芎φ叩膸挷粚?duì)稱，這種攻擊是非對(duì)稱攻擊 預(yù)防方法： 1：防火墻過(guò)濾掉源 IP和目的 IP地址都是保護(hù)主機(jī)的任何報(bào)文； 2：狀態(tài)防火墻也可以過(guò)濾掉； 3：服務(wù)器的協(xié)議棧進(jìn)行 Land檢測(cè)，防止和自己建立連接。 (DoS攻擊 ) smurf 這是一種 利用引發(fā)網(wǎng)絡(luò)風(fēng)暴進(jìn)行的流量攻擊。 可以攻擊一個(gè)網(wǎng)絡(luò)：發(fā)送 ICMP應(yīng)答請(qǐng)求包，目標(biāo)地址設(shè)置為受害網(wǎng)絡(luò)的廣播地址，這樣該網(wǎng)絡(luò)的所有主機(jī)都對(duì)此 ICMP應(yīng)答請(qǐng)求作出答復(fù)，形成網(wǎng)絡(luò)風(fēng)暴，導(dǎo)致網(wǎng)絡(luò)阻塞。 也可以用來(lái)攻擊目標(biāo)主機(jī)：方法是將上述 ICMP應(yīng)答請(qǐng)求包的源地址改為受害主機(jī)的地址，讓網(wǎng)絡(luò)里的所有主機(jī)都給受害主機(jī)發(fā)包。 攻擊報(bào)文的發(fā)送需要一定的流量和持續(xù)時(shí)間，才能真正構(gòu)成攻擊。理論上講，網(wǎng)絡(luò)的主機(jī)越多，攻擊的效果越明顯。 (DoS攻擊 )
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號(hào)-1