【文章內(nèi)容簡(jiǎn)介】 。網(wǎng)絡(luò)蠕蟲病毒的發(fā)展已經(jīng)使傳統(tǒng)的殺毒軟件的 “文件級(jí)實(shí)時(shí)監(jiān)控系統(tǒng) ”落伍，殺毒軟件必須向內(nèi)存實(shí)時(shí)監(jiān)控和郵件實(shí)時(shí)監(jiān)控發(fā)展！2.經(jīng)常升級(jí)病毒庫(kù)殺毒軟件對(duì)病毒的查殺是以病毒的特征碼為依據(jù)的 ,而病毒每天都層出不窮 ,尤其是在網(wǎng)絡(luò)時(shí)代 ,蠕蟲病毒的傳播速度快 ,變種多 ,所以必須隨時(shí)更新病毒庫(kù) ,以便能夠查殺最新的病毒 !3．提高防殺毒意識(shí)不要輕易去點(diǎn)擊陌生的站點(diǎn)，有可能里面就含有惡意代碼！ 當(dāng)運(yùn)行 IE時(shí)，點(diǎn)擊 “工具 → Inter選項(xiàng) → 安全 → Inter區(qū)域的安全級(jí)別 ”，把安全級(jí)別由 “中 ”改為 “高 ”、因?yàn)檫@一類網(wǎng)頁主要是含有惡意代碼的 ActiveX或 Applet、 JavaScript的網(wǎng)頁文件 ，所以在 IE設(shè)置中將 ActiveX插件和控件、 Java腳本等全部禁止就可以大大減少被網(wǎng)頁惡意代碼感染的幾率4．不隨意查看陌生郵件尤其是帶有附件的郵件，由于有的病毒郵件能夠利用 ie和 outlook的漏洞自動(dòng)執(zhí)行，所以計(jì)算機(jī)用戶需要升級(jí) ie和 outlook程序，及常用的其他應(yīng)用程序！451南京曉莊學(xué)院 網(wǎng)絡(luò)中心 小結(jié)網(wǎng)絡(luò)蠕蟲病毒作為一種互聯(lián)網(wǎng)高速發(fā)展下的一種新型病毒，必將對(duì)網(wǎng)絡(luò)產(chǎn)生巨大的危險(xiǎn)。在防御上，已經(jīng)不再是由單獨(dú)的殺毒廠商所能夠解決，而需要網(wǎng)絡(luò)安全公司，系統(tǒng)廠商，防病毒廠商及用戶共同參與，構(gòu)筑全方位的防范體系！ 蠕蟲和黑客技術(shù)的結(jié)合，使得對(duì)蠕蟲的分析，檢測(cè)和防范具有一定的難度，同時(shí)對(duì)蠕蟲的網(wǎng)絡(luò)傳播性，網(wǎng)絡(luò)流量特性建立數(shù)學(xué)模型也是有待研究的工作！ 461南京曉莊學(xué)院 網(wǎng)絡(luò)中心 拒絕服務(wù)攻擊DoS攻擊n land,teardrop,n SYNfloodn ICMP:smurfn Router:remotereset,UDPport7,n Windows:Port135,137,139(OOB),terminalservern Solaris:n Linux:n 其他 ...471南京曉莊學(xué)院 網(wǎng)絡(luò)中心 “拒絕服務(wù) ”的例子 : LAND 攻擊攻擊者攻擊者InterCode 欺騙性的欺騙性的 IP 包包源地址源地址 Port 139目的地址目的地址 Port 139TCP OpenG. Mark Hardy481南京曉莊學(xué)院 網(wǎng)絡(luò)中心 “拒絕服務(wù) ”的例子 : LAND 攻擊攻擊者攻擊者InterCode目標(biāo)目標(biāo) IP包欺騙包欺騙源地址源地址 Port 139目的地址目的地址 Port 139包被送回它自己包被送回它自己崩潰G. Mark Hardy491南京曉莊學(xué)院 網(wǎng)絡(luò)中心 “拒絕服務(wù) ”的保護(hù) : 代理類的防火墻攻擊者攻擊者InterCode IP包欺騙包欺騙源地址源地址 Port 139目標(biāo)地址目標(biāo)地址 Port 139TCP Open防火墻防火墻防火墻把有危險(xiǎn)的包防火墻把有危險(xiǎn)的包阻隔在網(wǎng)絡(luò)外阻隔在網(wǎng)絡(luò)外G. Mark Hardy501南京曉莊學(xué)院 網(wǎng)絡(luò)中心 TCP 同步 泛濫攻擊者攻擊者InterCode目標(biāo)目標(biāo)欺騙性的欺騙性的 IP 包包源地址不存在源地址不存在目標(biāo)地址是目標(biāo)地址是 TCP OpenG. Mark Hardy511南京曉莊學(xué)院 網(wǎng)絡(luò)中心 TCP SYN 泛濫攻擊者攻擊者InterCode目標(biāo)目標(biāo)同步應(yīng)答響應(yīng)同步應(yīng)答響應(yīng)源地址源地址 目標(biāo)地址不存在目標(biāo)地址不存在TCP ACK崩潰G. Mark Hardy521南京曉莊學(xué)院 網(wǎng)絡(luò)中心 Smuff攻擊示意圖第一步：攻擊者向被利用網(wǎng)絡(luò) A的廣播地址發(fā)送一個(gè) ICMP 協(xié)議的’echo’請(qǐng)求數(shù)據(jù)報(bào)，該數(shù)據(jù)報(bào)源地址被偽造成 第二步：網(wǎng)絡(luò) A上的所有主機(jī)都向該偽造的源地址返回一個(gè) ‘echo’響應(yīng)，造成該主機(jī)服務(wù)中斷。531南京曉莊學(xué)院 網(wǎng)絡(luò)中心 網(wǎng)絡(luò)攻擊舉例UDP攻擊原理 UDP攻擊的原理是使兩個(gè)或兩個(gè)以上的系統(tǒng)之間產(chǎn)生巨大的 UDP數(shù)據(jù)包。首先使這兩種 UDP服務(wù)都產(chǎn)生輸出，然后讓這兩種 UDP服務(wù)（例如 chargen服務(wù) (UDP)和 echo服務(wù) (UDP)）之間互相通信，使一方的輸出成為另一方的輸入。這樣會(huì)形成很大的數(shù)據(jù)流量。當(dāng)多個(gè)系統(tǒng)之間互相產(chǎn)生 UDP數(shù)據(jù)包時(shí)，最終將導(dǎo)致整個(gè)網(wǎng)絡(luò)癱瘓。如果涉及的主機(jī)數(shù)目少，那么只有這幾臺(tái)主機(jī)會(huì)癱瘓 。541南京曉莊學(xué)院 網(wǎng)絡(luò)中心 網(wǎng)絡(luò)攻擊舉例TCP/SYN攻擊原理當(dāng)一臺(tái)黑客機(jī)器 A要與另外一臺(tái) ISP的主機(jī) B建立連接時(shí)，它的通信方式是先發(fā)一個(gè) SYN包告訴對(duì)方主機(jī) B說 “ 我要和你通信了” ，當(dāng) B收到時(shí)，就回復(fù)一個(gè) ACK/SYN確認(rèn)請(qǐng)求包給 A主機(jī)。如果 A是合法地址，就會(huì)再回復(fù)一個(gè) ACK包給 B主機(jī)，然后兩臺(tái)主機(jī)就可以建立一個(gè)通信渠道了。 可是黑客機(jī)器 A發(fā)出的包的源地址是一個(gè)虛假的 IP地址，或者可以說是實(shí)際上不存在的一個(gè)地址， ISP主機(jī) B發(fā)出的那個(gè)ACK/SYN包當(dāng)然就找不到目標(biāo)地址了。如果這個(gè) ACK/SYN包一直沒有找到目標(biāo)地址，那么也就是目標(biāo)主機(jī)無法獲得對(duì)方回復(fù)的ACK包。而在缺省超時(shí)的時(shí)間范圍以內(nèi)，主機(jī)的一部分資源要花在等待這個(gè) ACK包的響應(yīng)上，假如短時(shí)間內(nèi)主機(jī) A接到大量來自虛假 IP地址的 SYN包，它就要占用大量的資源來處理這些錯(cuò)誤的等待，最后的結(jié)果就是系統(tǒng)資源耗盡以至癱瘓。551南京曉莊學(xué)院 網(wǎng)絡(luò)中心 網(wǎng)絡(luò)攻擊舉例ICMP/PING 攻擊原理 ICMP/PING攻擊是利用一些系統(tǒng)不能接受超大的 IP包或需要資源處理這一特性。如在 Linux下輸入 Ping t 66510 IP（未打補(bǔ)丁的Win95/98的機(jī)器），機(jī)器就會(huì)癱瘓。ICMP/SMURF 攻擊原理 ICMP/SMURF攻擊利用的是網(wǎng)絡(luò)廣播的原理來發(fā)送大量的地址，而包的源地址就是要攻擊的機(jī)器本身的地址。因而所有接收到此包的主機(jī)都將給發(fā)包的地址發(fā)送一個(gè) ICMP回復(fù)包。561南京曉莊學(xué)院 網(wǎng)絡(luò)中心 網(wǎng)絡(luò)攻擊舉例TARGA3 攻擊 (IP 堆棧突破 )原理 TARGA3 攻擊的基本原理是發(fā)送 TCP/UDP/ICMP的碎片包，其大小、標(biāo)記、包數(shù)據(jù)等都是隨機(jī)的。一些有漏洞的系統(tǒng)內(nèi)核由于不能正確處理這些極端不規(guī)范數(shù)據(jù)包，便會(huì)使其 TCP/IP堆棧出現(xiàn)崩潰，從而導(dǎo)致無法繼續(xù)響應(yīng)網(wǎng)絡(luò)請(qǐng)求（即拒絕服務(wù)）。571南京曉莊學(xué)院 網(wǎng)絡(luò)中心 分布式拒絕服務(wù)（ DDOS）以破壞系統(tǒng)或網(wǎng)絡(luò)的可用性為目標(biāo)常用的工具：n Trin00,n TFN/TFN2K,n Stacheldraht很難防范偽造源地址，流量加密，因此很難跟蹤clienttargethandler ...agent ...DoSICMP Flood / SYN Flood / UDP Flood581南京曉莊學(xué)院 網(wǎng)絡(luò)中心 分布式拒絕服務(wù)攻擊網(wǎng)絡(luò)結(jié)構(gòu)圖客戶端 客戶端主控端主控端主控端主控端代理端代理端代理端代理端代理端代理端代理端代理端591南京曉莊學(xué)院 網(wǎng)絡(luò)中心 分布式拒絕服務(wù)攻擊步驟 1ScanningProgram不安全的計(jì)算機(jī)Hacker攻擊者使用掃描工具探測(cè)掃描大量主機(jī)以尋找潛在入侵目標(biāo)。1Inter601南京曉莊學(xué)院 網(wǎng)絡(luò)中心 Hacker被控制的計(jì)算機(jī) (代理端 )黑客設(shè)法入侵有安全漏洞的主機(jī)并獲取控制權(quán)。這些主機(jī)將被用于放置后門、 sniffer或守護(hù)程序甚至是客戶程序。2分布式拒絕服務(wù)攻擊步驟 2Inter611南京曉莊學(xué)院 網(wǎng)絡(luò)中心 Hacker黑客在得到入侵計(jì)算機(jī)清單后，從中選出滿足建立網(wǎng)絡(luò)所需要的主機(jī)，放置已編譯好的守護(hù)程序，并對(duì)被控制的計(jì)算機(jī)發(fā)送命令。 3被控制計(jì)算機(jī)（代理端）MasterServer分布式拒絕服務(wù)攻擊步驟 3Inter621南京曉莊學(xué)院 網(wǎng)絡(luò)中心 HackerUsingClientprogram,黑客發(fā)送控制命令給主機(jī)，準(zhǔn)備啟動(dòng)對(duì)目標(biāo)系統(tǒng)的攻擊4被控制計(jì)算機(jī)（代理端）TargetedSystemMasterServer分布式拒絕服務(wù)攻擊步驟 4Inter631南京曉莊學(xué)院 網(wǎng)絡(luò)中心 InterHacker主機(jī)發(fā)送攻擊信號(hào)給被控制計(jì)算機(jī)開始對(duì)目標(biāo)系統(tǒng)發(fā)起攻擊。5MasterServer分布式拒絕服務(wù)攻擊步驟 5TargetedSystem被控制計(jì)算機(jī)（代理端）641南京曉莊學(xué)院 網(wǎng)絡(luò)中心 TargetedSystemHacker目標(biāo)系統(tǒng)被無數(shù)的偽造的請(qǐng)求所淹沒，從而無法對(duì)合法用戶進(jìn)行響應(yīng)， DDOS攻擊成功。6MasterServerUserRequestDenied分布式拒絕服務(wù)攻擊步驟 6Inter被控制計(jì)算機(jī)（代理端）651南京曉莊學(xué)院 網(wǎng)絡(luò)中心 （分布式）拒絕服務(wù)攻擊DDOS攻擊的效果由于整個(gè)過程是自動(dòng)化的，攻擊者能夠在 5秒鐘內(nèi)入侵一臺(tái)主機(jī)并安裝攻擊工具。也就是說，在短短的一小時(shí)內(nèi)可以入侵?jǐn)?shù)千臺(tái)主機(jī)。并使某一臺(tái)主機(jī)可能要遭受 1000MB/S數(shù)據(jù)量的猛烈攻擊，這一數(shù)據(jù)量相當(dāng)于 。661南京曉莊學(xué)院 網(wǎng)絡(luò)中心 （分布式）拒絕服務(wù)攻擊預(yù)防 DDOS