網(wǎng)絡(luò)系統(tǒng)管理tcpip協(xié)議的安全性研究畢業(yè)論文(編輯修改稿)
2025-06-23 23:15 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 息，也可以達(dá)到路由欺騙的目的。解決這些問題的辦法有，通過設(shè)置主機(jī)忽略重定向信息可以防止路由欺騙；禁止路由器被動(dòng)使用RIP和限制被動(dòng)使用RIP的范圍。 DNS欺騙網(wǎng)絡(luò)上的所有主機(jī)都信任DNS服務(wù)器，如果DNS服務(wù)器中的數(shù)據(jù)被攻擊者破壞，就可以進(jìn)行DNS欺騙。 攔截TCP連接攻擊者可以使TCP連接的兩端進(jìn)入不同步狀態(tài)，入侵者主機(jī)向兩端發(fā)送偽造的數(shù)據(jù)包。冒充被信任主機(jī)建立TCP連接，用SYN淹沒被信任的主機(jī)，并猜測(cè)3步握手中的響應(yīng)（建立多個(gè)連接到信任主機(jī)的TCP連接，獲得初始序列號(hào)ISN(InitialSerialNumber)和RTT，然后猜測(cè)響應(yīng)的ISN，因?yàn)樾蛄刑?hào)每隔半秒加64000，每建立一個(gè)連接加64000）。預(yù)防方法：使所有的r*命令失效，讓路由器拒絕來自外面的與本地主機(jī)有相同的IP地址的包。RARP查詢可用來發(fā)現(xiàn)與目標(biāo)服務(wù)器處在同一物理網(wǎng)絡(luò)的主機(jī)的攻擊。另外ISN攻擊可通過讓每一個(gè)連接的ISN隨機(jī)分配配合每隔半秒加64000來防止。 使用TCP/SYN報(bào)文段淹沒服務(wù)器利用TCP建立連接的3步驟的缺點(diǎn)和服務(wù)器端口允許的連接數(shù)量的限制，竊取不可達(dá)IP地址作為源IP地址，使得服務(wù)器端得不到ACK而使連接處于半開狀態(tài)，從而阻止服務(wù)器響應(yīng)響應(yīng)別的連接請(qǐng)求。盡管半開的連接會(huì)被過期而關(guān)閉的，但只要攻擊系統(tǒng)發(fā)送的spoofedSYN請(qǐng)求的速度比過期的快就可以達(dá)到攻擊的目的。這種攻擊的方法一直是一種重要的攻擊ISP（InternetServiceProvider）的方法，這種攻擊并不會(huì)損害服務(wù)，而是使服務(wù)能力削弱。解決這種攻擊的辦法是，給Unix內(nèi)核加一個(gè)補(bǔ)丁程序或使用一些工具對(duì)內(nèi)核進(jìn)行配置。一般的做法是，使允許的半開連接的數(shù)量增加，允許連接處于半開狀態(tài)的時(shí)間縮短。但這些并不能從根本上解決這些問題。實(shí)際上在系統(tǒng)的內(nèi)存中有一個(gè)專門的隊(duì)列包含所有的半開連接，這個(gè)隊(duì)列的大小是有限的，因而只要有意使服務(wù)器建立過多的半開連接就可以使服務(wù)器的這個(gè)隊(duì)列溢出，從而無法響應(yīng)其他客戶的連接請(qǐng)求。3 關(guān)于TCP/IP協(xié)議族存在的脆弱性剖析 TCP/IP協(xié)議族存在脆弱性IP層的主要曲線是缺乏有效的安全認(rèn)證和保密機(jī)制，其中最主要的因素就是IP地址問題。TCP/IP協(xié)議用IP地址來作為網(wǎng)絡(luò)節(jié)點(diǎn)的惟一標(biāo)識(shí)，許多 TCP/IP服務(wù)，包括Berkeley中的R命令、NFS、X Window等都是基于IP地址對(duì)用戶進(jìn)行認(rèn)證和授權(quán)。當(dāng)前TCP/IP網(wǎng)絡(luò)的安全機(jī)制主要是基于IP地址的包過濾（Packet Filtering）和認(rèn)證（Authentication）技術(shù)，它的有效性體現(xiàn)在可以根據(jù)IP包中的源IP地址判斷數(shù)據(jù)的真實(shí)性和安全性。然而IP地址存在許多問題，協(xié)議的最大缺點(diǎn)就是缺乏對(duì)IP地址的保護(hù)，缺乏對(duì)IP包中源IP地址真實(shí)性的認(rèn)證機(jī)制與保密措施。這也就是引起整個(gè)TCP/IP協(xié)議不安全的根本所在。由于UDP是基于IP協(xié)議之上的，TCP分段和UDP協(xié)議數(shù)據(jù)包是封裝在IP包中在網(wǎng)絡(luò)上傳輸?shù)?，因此同樣面臨IP層所遇到的安全威脅。現(xiàn)在人們一直在想辦法解決，卻仍然無法避免的就是根據(jù)TCP連接建立時(shí)“三次握手”機(jī)制的攻擊。 應(yīng)用服務(wù)不容樂觀 文件傳輸協(xié)議 FTP經(jīng)久不衰的原因在于它可以在互聯(lián)網(wǎng)上進(jìn)行與平臺(tái)無關(guān)的數(shù)據(jù)傳輸，它基于一個(gè)客戶機(jī)/服務(wù)器架構(gòu)。FTP 將通過兩個(gè)信道（端口）傳輸，一個(gè)傳輸數(shù)據(jù)（TCP 端口 20），另一個(gè)傳輸控制信息（TCP 端口 21）。在控制信道之上，雙方（客戶機(jī)和服務(wù)器）交換用于發(fā)起數(shù)據(jù)傳輸?shù)拿?。一個(gè) FTP 連接包含4個(gè)步驟：用戶鑒權(quán)→建立控制信道→建立數(shù)據(jù)信道→關(guān)閉連接。FTP 的連接控制使用 TCP （Transmission Control Protocol， 傳輸控制協(xié)議），它保障了數(shù)據(jù)的可靠傳輸。因此，F(xiàn)TP 在數(shù)據(jù)傳輸中不需要關(guān)心分組丟失和數(shù)據(jù)錯(cuò)誤檢測(cè)。 匿名FTP作為互聯(lián)網(wǎng)上廣泛應(yīng)用的服務(wù)，安全等級(jí)的低下受到了黑客的頻繁光顧。匿名FTP 是真的匿名，并沒有記錄誰(shuí)請(qǐng)求了什么信息，誰(shuí)下載了什么文件，上傳了什么東西（有可能是木馬）。FTP存在著致命的安全缺陷，F(xiàn)TP使用標(biāo)準(zhǔn)的用戶名和口令作為身份驗(yàn)證，缺乏有效的訪問權(quán)限的控制機(jī)制，而其口令和密碼的傳輸也都是明文的方式。 Web服務(wù) Web服務(wù)器位于宿主基礎(chǔ)結(jié)構(gòu)的前端，它與Internet直接相連，負(fù)責(zé)接收來自客戶端的請(qǐng)求，創(chuàng)建動(dòng)態(tài)Web頁(yè)并響應(yīng)請(qǐng)求數(shù)據(jù)。最初WWW服務(wù)只提供靜態(tài)的HTML頁(yè)面，為改變?nèi)藗儗?duì)網(wǎng)絡(luò)互動(dòng)請(qǐng)求的愿望，開始引入了CGI程序，CGI程序讓主頁(yè)活動(dòng)起來。CGI程序可以接收用戶的輸入信息，一般用戶是通過表格把輸入信息傳給CGI程序的，然后CGI程序可以根據(jù)用戶的要求進(jìn)行一些處理，一般情況下會(huì)生成一個(gè)HTML文件，并傳回給用戶。很多CGI 程序都存在安全漏洞，很容易被黑客利用做一些非法的事情?，F(xiàn)在很多人在編寫CGI程序時(shí)，可能對(duì)CGI軟件包中的安全漏洞并不了解，而且大多數(shù)情況下不會(huì)重新編寫程序的所有部分，只是對(duì)其加以適當(dāng)?shù)男薷模@樣很多CGI程序就不可避免的具有相同的安全漏洞。很多 SQL Server 開發(fā)人員并沒有在代碼編寫開始的時(shí)候就從安全防護(hù)基礎(chǔ)開始，這樣就無法確保您開發(fā)的代碼的安全性，其結(jié)果就造成了無法將應(yīng)用程序的運(yùn)行控制在所需的最低權(quán)限之內(nèi)。 提高網(wǎng)絡(luò)可信度前面的IPv4存在的弊端，很多安全防范技術(shù)被忽略了，它不可避免地被新一代技術(shù)IPv6取代。IPsec安全協(xié)議就是事后 發(fā)展的一種協(xié)議（如圖31），而NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換，Network Address Translation）解決了IP地址短缺的問題，卻增加了安全風(fēng)險(xiǎn)，使真正的端到端的安全應(yīng)用難以實(shí)現(xiàn)。端到端安全性的兩個(gè)基本組件——鑒權(quán)和加密都是IPv6協(xié)議的集成組件；而在IPv4中，它們只是附加組件，因此，采用IPv6安全性會(huì)更加簡(jiǎn)便、一致。在現(xiàn)在的網(wǎng)絡(luò)環(huán)境中，尤其是園區(qū)網(wǎng)當(dāng)中，由于不存在NAT地址轉(zhuǎn)換的問題，所以IPSec具備允許部署可信計(jì)算基礎(chǔ)架構(gòu)的基本特征。IPSec數(shù)據(jù)包驗(yàn)證能夠確保整個(gè)IP報(bào)頭、下一層協(xié)議（例如TCP、UPD或ICMP）報(bào)頭以及數(shù)據(jù)包有效負(fù)載的數(shù)據(jù)完整性。 另外，針對(duì)數(shù)據(jù)包的單向Hash算法用以提供校驗(yàn)和。通信發(fā)起方計(jì)算校驗(yàn)和并在發(fā)送之前將其附加到數(shù)據(jù)包中；響應(yīng)方則在收到數(shù)據(jù)包后為其計(jì)算校驗(yàn)和。如果響應(yīng)
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1