【文章內(nèi)容簡(jiǎn)介】 MITM是一種“間接”的入侵攻擊，這種攻擊模式是通過(guò)各種技術(shù)手段將受入侵者控制的一臺(tái)計(jì)算機(jī)虛擬放置在網(wǎng)絡(luò)連接中的兩臺(tái)通信計(jì)算機(jī)之間，這臺(tái)計(jì)算機(jī)就稱為“中間人”。然后入侵者把這臺(tái)計(jì)算機(jī)模擬一臺(tái)或兩臺(tái)原始計(jì)算機(jī)，使“中間人”能夠與原始計(jì)算機(jī)建立活動(dòng)連接并允許其讀取或修改傳遞的信息，然而兩個(gè)原始計(jì)算機(jī)用戶卻認(rèn)為他們是在互相通信。通常，這種“攔截?cái)?shù)據(jù)——修改數(shù)據(jù)——發(fā)送數(shù)據(jù)”的過(guò)程就被稱為“會(huì)話劫持”（Session Hijack）。DNS欺騙（DNS Spoofing），就是其中的一種慣用手法。攻擊者通過(guò)入侵DNS服務(wù)器、控制路由器等方法把受害者要訪問(wèn)的目標(biāo)機(jī)器域名對(duì)應(yīng)的IP解析為攻擊者所控制的機(jī)器，這樣受害者原本要發(fā)送給目標(biāo)機(jī)器的數(shù)據(jù)就發(fā)到了攻擊者的機(jī)器上，這時(shí)攻擊者就可以監(jiān)聽甚至修改數(shù)據(jù)，從而收集到大量的信息。如果攻擊者只是想監(jiān)聽雙方會(huì)話的數(shù)據(jù)，他會(huì)轉(zhuǎn)發(fā)所有的數(shù)據(jù)到真正的目標(biāo)機(jī)器上，讓目標(biāo)機(jī)器進(jìn)行處理，再把處理結(jié)果發(fā)回到原來(lái)的受害者機(jī)器；如果攻擊者要進(jìn)行徹底的破壞，他會(huì)偽裝目標(biāo)機(jī)器返回?cái)?shù)據(jù)，這樣受害者接收處理的就不再是原來(lái)期望的數(shù)據(jù)，而是攻擊者所期望的了。例如讓DNS服務(wù)器解析銀行網(wǎng)站的IP為自己機(jī)器IP，同時(shí)在自己機(jī)器上偽造銀行登錄頁(yè)面，那么受害者的真實(shí)賬號(hào)和密碼就暴露給入侵者了。另外，DNS通過(guò)路由器做中繼，多了一個(gè)可能的故障點(diǎn)。所以建議用戶不要配置DNS relay，可以直接在網(wǎng)卡上添加DNS服務(wù)器地址，而且可以設(shè)置主備。 如何配置DHCP？能否指定分配MAC？DHCP配置如下：NBR(config)service dhcp //啟用DHCP功能NBR(config)ip dhcp excluded //排斥地址，不分配給客戶端NBR(config)ip dhcp pool test //配置地址池信息NBR(configdhcp)network //地址段NBR(configdhcp)defaultrouter //網(wǎng)關(guān)NBR(configdhcp)dnsserver //客戶端的DNS可以對(duì)MAC進(jìn)行指定分配：ip dhcp pool XiaoLi //地址池 hardwareaddress //指定MAC host //指定IPdnsserver defaultrouter 8 日志 如何打開日志及設(shè)置各項(xiàng)日志顯示？打開日志配置： NBR（config）logging on //開啟日志 NBR（config）service sequencenumbers //日志信息序列號(hào)NBR（config）service timestamps log datetime //日志信息的時(shí)間戳格式為日期形式NBR（config）service timestamps debug uptime //時(shí)間戳格式為路由器啟動(dòng)時(shí)間形式NBR（config）logging //將日志信息發(fā)給Syslog serverNBR（config）logging trace enable //開啟定時(shí)統(tǒng)計(jì)，必須在開啟日志序列號(hào)的前提下才能開啟該功能 NBR（config）logging buffered //將日志信息記錄到內(nèi)存緩沖區(qū)NBR（config）logging file flash: //將日志信息記錄在擴(kuò)展FLASH 上NBR（config）logging console //設(shè)置允許在控制臺(tái)上顯示的日志信息級(jí)別NBR（config）logging monitor //設(shè)置允許在VTY 窗口上顯示的日志信息級(jí)別NBR（config）logging trap //設(shè)置允許發(fā)送給syslog server 的日志信息級(jí)別設(shè)置各項(xiàng)日志顯示：security antiwanattack level high //打開外網(wǎng)攻擊的日志信息security antiarpspoofing　　　　 //打開內(nèi)網(wǎng)ARP欺騙的日志信息security antilanattack　　　　　 //打開內(nèi)網(wǎng)攻擊的日志功能其他ACL的應(yīng)用，也能在日志里顯示匹配統(tǒng)計(jì)信息。 常見日志顯示信息200687 18:14:46 NBR1000: %6:%IP4DUPADDR1: Duplicate address on FastEthernet 0/0, sourced by 上述信息顯示有IP地址跟網(wǎng)關(guān)沖突，內(nèi)網(wǎng)可能有人在進(jìn)行ARP 欺騙了。%6:arp update , mac address of bee change to new mac :。，可能中毒了或者正在搗蛋。%6:ipff_proc_default_route_event for dfc 00007 200688 21:14:6 taicang: %6:DFC update:L2 head len =14,[00. 16. C7. 89. 93. 40. 00. D0. F8. FB. F1. 9F. 08. 00. ] nexthop interface [2] : recu intf [1] 上述兩條信息顯示默認(rèn)路由下一跳發(fā)生變化，可能是路由器剛啟動(dòng)或者端口up/down變化。請(qǐng)確認(rèn)線路是否正常。200688 21:14:6 taicang: %5:%LINE PROTOCOL CHANGE: Interface FastEthernet 1/0, changed state to UP 上述信息顯示接口發(fā)生了up/down。200689 14:0:21 NBR1000：%6:System returned to ROM reload at 20060802 19:06:34上述信息顯示設(shè)備發(fā)生了重啟。200689 14:0:17 NBR1000: %5:Configured from console by vty0 ()上述信息顯示有人對(duì)路由器配置進(jìn)行改動(dòng)，從遠(yuǎn)程登錄進(jìn)行了配置。2010921 12:25:53 taicang: %5:Configured from console by console 上述信息顯示控制臺(tái)口對(duì)路由器進(jìn)行了配置。200687 15:27:9 taicang: %5:Configured from web console () 上述信息顯示有人使用Web 登錄，對(duì)路由器進(jìn)行了配置。 如何設(shè)置日志服務(wù)器？1. 在日志服務(wù)器（）上安裝第三方日志軟件。2. 在路由器上配置如下命令：NBR（config）logging server 9 限速 如何限制P2P？如何限速？啟用了NATl 一種是限制每個(gè)IP的并發(fā)連接數(shù)：NBR (config)ip nat translation perip 250l 另一種是限制IP帶寬：NBR (config)ip nat translation ratelimit default inbound 600 outbound 1500未啟用NAT如果NBR路由器沒(méi)有啟用NAT功能，必須首先執(zhí)行如下操作，然后使用以上兩條命令限制P2P：l 在內(nèi)網(wǎng)口使用ip nat insidel 在外網(wǎng)口使用ip nat outsideK 無(wú)論是否啟用NAT功能，都可以使用如下的QoS策略，對(duì)內(nèi)網(wǎng)口下的用戶限制帶寬。詳情請(qǐng)參見命令手冊(cè)。NBR（configif）ratelimit input accessgroup 110 64000 3000 3000 conformaction transmit exceedaction drop 為什么限速下傳是1000，但有些PC會(huì)超過(guò)到1040？因?yàn)橄匏偈腔贜AT通過(guò)CPU處理，在限定數(shù)值小幅波動(dòng)屬于正?，F(xiàn)象。 限速參數(shù)如何建議？限速單位限速參數(shù)應(yīng)根據(jù)外網(wǎng)帶寬，內(nèi)網(wǎng)PC數(shù)量，PC用途等一些因素進(jìn)行。一般將帶寬除PC，再乘一系數(shù)（該系數(shù)可根據(jù)使用效果進(jìn)行適當(dāng)調(diào)節(jié)）。建議inbound上傳數(shù)值設(shè)置為200左右，outbound下載數(shù)值設(shè)置為400以上。將下載速度設(shè)成上傳的兩倍以上。NAT會(huì)話數(shù)一般限制在250到350。限速單位為kbps 能否基于MAC限速？。10 病毒攻擊 怎么做網(wǎng)吧ARP綁定（包括web和CLI）？把LAN口上學(xué)到的MAC地址和IP地址進(jìn)行綁定，操作方法如下：手動(dòng)綁定NBR（config）arp arpa //需一個(gè)個(gè)綁定自動(dòng)綁定：NBR (config)arp scan interface g0/0 //只需掃描內(nèi)網(wǎng)口 NBR(config)arp convert interface g0/0 //動(dòng)態(tài)轉(zhuǎn)為靜態(tài) NBR(configif)macip bind //綁定完可以鎖定MAC地址表，只有在地址表里的PC才可以登錄，該方法可以用來(lái)控制某些PC上網(wǎng)WEB方式1. 在“MAC/IP綁定”中點(diǎn)擊“掃描LAN口”2. 在“ARP表”中點(diǎn)擊“全選”3. 點(diǎn)擊“動(dòng)態(tài)→靜態(tài)” 綁定時(shí)給用戶的建議對(duì)于網(wǎng)吧所有PC都安裝了還原精靈的用戶，為了保證綁定時(shí)沒(méi)有ARP病毒，建議用戶在非營(yíng)業(yè)或客戶少的時(shí)候進(jìn)行綁定操作。步驟如下：首先拔掉外網(wǎng)線路，同時(shí)重啟所有PC，綁定后再接入外網(wǎng)。綁定時(shí)注意不能落下一臺(tái)PC。若要完全杜絕ARP病毒影響，還需在每臺(tái)PC上綁定網(wǎng)關(guān)。以上要求所有內(nèi)網(wǎng)網(wǎng)關(guān)設(shè)在NBR上。 綁定后要更改，如何操作？（包括web和CLI）CLI方式NBR(config)no arp //no arp all用于重新綁定，重新綁定參考上題 NBR(config)arp arpa //手動(dòng)綁適用少量修改在停止學(xué)習(xí)情況下，要進(jìn)行少量更改（如更換一張網(wǎng)卡），無(wú)需恢復(fù)學(xué)習(xí)，直接修改即可。WEB方式ARP選項(xiàng)——MAC/IP綁定——選擇需要修改的ARP條目——?jiǎng)h除――LAN口掃描――動(dòng)態(tài)轉(zhuǎn)靜態(tài)。 ARP病毒的現(xiàn)象，查看哪些信息，解決辦法ARP病毒發(fā)作時(shí)，會(huì)出現(xiàn)如下現(xiàn)象：l 局域網(wǎng)臺(tái)某些機(jī)器上不了網(wǎng)，Ping不通網(wǎng)關(guān)。（沒(méi)有雙綁時(shí)）l 局域網(wǎng)所有的機(jī)器都上不了網(wǎng)，也Ping不通網(wǎng)關(guān)。（沒(méi)有雙綁時(shí)）l 局域網(wǎng)中的機(jī)器Ping網(wǎng)關(guān)時(shí)延時(shí)很大，甚至達(dá)200ms以上。（雙綁后）可以通過(guò)兩種辦法來(lái)查看：l 第一種辦法查看ARP表，看看是不是有相同MAC對(duì)應(yīng)不同IP的表項(xiàng)。這個(gè)相同的MAC就是欺騙主機(jī)的MAC地址。l 第二種辦法是打開內(nèi)網(wǎng)防ARP欺騙的功能，然后查看日志。解決的辦法有兩個(gè)l 一是雙向綁定。l 二是找到欺騙主機(jī)進(jìn)行殺毒。 DDOS攻擊的現(xiàn)象，查看哪些信息，解決辦法前面板有CPU利用率的LED顯示，被攻擊時(shí)status黃色燈會(huì)亮起，表示目前NBR正被攻擊。一般觀察內(nèi)外網(wǎng)口的燈閃爍的頻率基本能定位外網(wǎng)還是內(nèi)網(wǎng)攻擊。受到攻擊還表現(xiàn)CPU使用率偏高，通過(guò)NBRshowinterface查看端口入方向流量和出方向流量相差很大且丟包嚴(yán)重。通過(guò)NBR show security信息可以確定攻擊是外網(wǎng)發(fā)起的還是內(nèi)網(wǎng)發(fā)起的。如果是內(nèi)網(wǎng)攻擊，可以看到內(nèi)網(wǎng)攻擊者的IP和MAC地址。若是外網(wǎng)攻擊，可以通過(guò)NBR隱藏的調(diào)試命令模式下面查出DDOS攻擊源IP地址（UDP以及ICMP攻擊等無(wú)法記錄）：NBRdebug net NBR(debugnet)tcp由于外網(wǎng)的攻擊多是偽造源IP地址的攻擊，很難查出攻擊者。建議：l 向當(dāng)?shù)鼐W(wǎng)監(jiān)部門報(bào)案，因這種攻擊行為已經(jīng)產(chǎn)生了經(jīng)濟(jì)損失，網(wǎng)監(jiān)部門理應(yīng)受理。如果擔(dān)心網(wǎng)監(jiān)不重視，可以通過(guò)以網(wǎng)吧協(xié)會(huì)的名義出面。l 占用帶寬的攻擊方式，單方面從設(shè)備上著手，是沒(méi)有辦法解決的，只能從運(yùn)營(yíng)商上著手， 讓攻擊不再過(guò)來(lái)，這樣才是解決之道。網(wǎng)吧也可以通過(guò)網(wǎng)協(xié)名義聯(lián)合向運(yùn)營(yíng)商報(bào)案，讓運(yùn)營(yíng)商重視該問(wèn)題。防DDOS攻擊經(jīng)常配置ACL，只允許內(nèi)部網(wǎng)段被NAT和進(jìn)入內(nèi)網(wǎng)口，禁止外網(wǎng)口的web端口。開啟防內(nèi)外網(wǎng)攻擊功能。 內(nèi)網(wǎng)使用公網(wǎng)地址時(shí)可以打開防外網(wǎng)攻擊嗎？這種情況如何防外網(wǎng)攻擊？不可以，因?yàn)槭褂霉W(wǎng)IP無(wú)需配置NAT，路由器無(wú)法識(shí)別那個(gè)是外網(wǎng)那個(gè)是內(nèi)網(wǎng)，當(dāng)開啟防外網(wǎng)攻擊時(shí)會(huì)丟棄正常的數(shù)據(jù)包導(dǎo)致斷網(wǎng)。這種情況下主要通過(guò)ACL和限速來(lái)防止外網(wǎng)攻擊。11 VPN 各版本支持的VPN。（L2TP/PPTP）作為客戶端也支持作為服務(wù)器端。 如何配置VPN以L2TP為例：NBR(config)hostname L2TPserver //主機(jī)名設(shè)置為L(zhǎng)2TPserverNBR(config)enable secret 0 star //特權(quán)口令設(shè)置為starNBR(config)accesslist 1 permit any //建立acl1，用來(lái)nat規(guī)則關(guān)聯(lián)NBR(config)vpdn enable //使能vpdn功能NBR(config)vpdngroup l2tp //Default L2TP VPDN group, 設(shè)置vpdngroup 接口，名為l2tp