風(fēng)險(xiǎn)評估與網(wǎng)絡(luò)嗅探-資料下載頁
2024-10-16 06:04本頁面
【正文】 會(huì)在注冊表中留下信息 ? 注冊表中有大量和用戶有關(guān)的信息 ? 從目的地得到 Windows注冊表的內(nèi)容 ? NT/2021的缺省配置是只允許 Administrator訪問注冊表 ? HKEY_Local_Machine\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg ? 注冊表訪問工具： regdump、 dumpsec等 NT/2021查點(diǎn)的對策 ?在路由器、防火墻或其他網(wǎng)絡(luò)關(guān)口設(shè)置，不允許對TCP和 UDP的 135～ 139端口的訪問 ?2021中，還要禁止 445端口。 NT/2021查點(diǎn)的對策 ? Hkey_Local_Machine\SYSTEM\CurrentControlSet\Control\LSA，增加一個(gè)數(shù)據(jù)項(xiàng) RestrictAnonymous，數(shù)據(jù)類型為REG_DWORD， NT下數(shù)值為 1， 2021下為 2 ? 2021下，“管理工具”中的“本地安全設(shè)置” |“本地策略” |“安全選項(xiàng)”中對匿名連接的額外限制 (相當(dāng)于設(shè)置RestrictAnonymous為 2) NT/2021查點(diǎn)的對策 ?對服務(wù)程序標(biāo)記查點(diǎn)的對策： ?對具有風(fēng)險(xiǎn)的應(yīng)用程序，盡可能隱藏其標(biāo)記中的廠商和版本信息； ?定期使用端口掃描和 cat工具連接活動(dòng)端口進(jìn)行網(wǎng)絡(luò)系統(tǒng)檢查，確保沒有泄露信息 ?鎖定注冊表，不能對它進(jìn)行遠(yuǎn)程訪問 IIS Logo： 網(wǎng)絡(luò)嗅探 ?在一個(gè)共享式網(wǎng)絡(luò)，可以聽取所有的流量 ?是一把雙刃劍 ?管理員可以用來監(jiān)聽網(wǎng)絡(luò)的流量情況 ?開發(fā)網(wǎng)絡(luò)應(yīng)用的程序員可以監(jiān)視程序的網(wǎng)絡(luò)情況 ?黑客可以用來刺探網(wǎng)絡(luò)情報(bào) ?目前有大量商業(yè)的、免費(fèi)的監(jiān)聽工具，俗稱嗅探器 (sniffer) LC4 以太網(wǎng)絡(luò)的工作原理 ?載波偵聽 /沖突檢測 (CSMA/CD, carrier sense multiple access with collision detection)技術(shù) ?載波偵聽：是指在網(wǎng)絡(luò)中的每個(gè)站點(diǎn)都具有同等的權(quán)利，在傳輸自己的數(shù)據(jù)時(shí)，首先監(jiān)聽信道是否空閑 ? 如果空閑，就傳輸自己的數(shù)據(jù) ? 如果信道被占用，就等待信道空閑 ?而沖突檢測則是為了防止發(fā)生兩個(gè)站點(diǎn)同時(shí)監(jiān)測到網(wǎng)絡(luò)沒有被使用時(shí)而產(chǎn)生沖突 ?以太網(wǎng)采用了 CSMA/CD技術(shù)，由于使用了廣播機(jī)制，所以，所有與網(wǎng)絡(luò)連接的工作站都可以看到網(wǎng)絡(luò)上傳遞的數(shù)據(jù) 以太網(wǎng)卡的工作模式 ?網(wǎng)卡的 MAC地址 (48位 ) ?通過 ARP來解析 MAC與 IP地址的轉(zhuǎn)換 ?用 ipconfig/ifconfig可以查看 MAC地址 ?正常情況下，網(wǎng)卡應(yīng)該只接收這樣的包 ?MAC地址與自己相匹配的數(shù)據(jù)幀 ?廣播包 ?網(wǎng)卡完成收發(fā)數(shù)據(jù)包的工作，兩種接收模式 ?混雜模式：不管數(shù)據(jù)幀中的目的地址是否與自己的地址匹配，都接收下來 ?非混雜模式：只接收目的地址相匹配的數(shù)據(jù)幀，以及廣播數(shù)據(jù)包 (和組播數(shù)據(jù)包 ) ?為了監(jiān)聽網(wǎng)絡(luò)上的流量，必須設(shè)置為混雜模式 共享網(wǎng)絡(luò)和交換網(wǎng)絡(luò) ?共享式網(wǎng)絡(luò) ?通過網(wǎng)絡(luò)的所有數(shù)據(jù)包發(fā)往每一個(gè)主機(jī) ?最常見的是通過 HUB連接起來的子網(wǎng) ?交換式網(wǎng)絡(luò) ?通過交換機(jī)連接網(wǎng)絡(luò) ?由交換機(jī)構(gòu)造一個(gè)“ MAC地址 端口”映射表 ?發(fā)送包的時(shí)候，只發(fā)到特定的端口上 共享式網(wǎng)絡(luò)示意圖 應(yīng)用程序抓包的技術(shù) ?UNIX系統(tǒng)提供了標(biāo)準(zhǔn)的 API支持 ?Packet socket ?BPF ?Windows平臺(tái)上通過驅(qū)動(dòng)程序來獲取數(shù)據(jù)包 ?驅(qū)動(dòng)程序 ?WinPcap 在交換式網(wǎng)絡(luò)上監(jiān)聽數(shù)據(jù)包 ?ARP重定向技術(shù)，一種中間人攻擊 GW 1 B打開 IP轉(zhuǎn)發(fā)功能 2 B發(fā)送假冒的arp包給 A,聲稱自己是 GW的 IP地址 3 A給外部發(fā)送數(shù)據(jù)，首先發(fā)給 B 4 B再轉(zhuǎn)發(fā)給 GW 原理：利用 dsniff中的 arpredirect工具 A B Sniffer的反措施 ?合理的網(wǎng)絡(luò)分段，在網(wǎng)絡(luò)中使用網(wǎng)橋和交換機(jī)；相互信任的主機(jī)處于同一網(wǎng)段 ?使用加密技術(shù)傳送敏感數(shù)據(jù)，如 SSH ?為了防止 ARP欺騙，使用永久的 ARP緩存條目 ?如何檢測處于混雜模式的節(jié)點(diǎn) 檢測處于混雜模式的節(jié)點(diǎn) ?網(wǎng)卡和操作系統(tǒng)對于是否處于混雜模式會(huì)有一些不同的行為，利用這些特征可以判斷機(jī)器是否運(yùn)行在混雜模式下 ?一些檢測手段 ?觀測 DNS ? 很多網(wǎng)絡(luò)監(jiān)聽軟件會(huì)嘗試進(jìn)行地址反向解析，可以通過觀測 DNS上是否有明顯增多的解析請求 ?根據(jù)操作系統(tǒng)的特征 ? Linux內(nèi)核的特性：正常情況下，只處理本機(jī) MAC地址或者以太廣播地址的包。在混雜模式下，許多版本的 Linux內(nèi)核只檢查 數(shù)據(jù)包中的 IP地址以確定是否送到 IP堆棧。因此，可以構(gòu)造無效以太地址而 IP地址有效的 ICMP ECHO請求，看機(jī)器是否返回應(yīng)答包 (混雜模式 )，或忽略 (非混雜模式 )。 ? Windows 9x/NT：在混雜模式下，檢查一個(gè)包是否為以太廣播包時(shí)，只看 MAC地址前八位是否為 0xff。 檢測處于混雜模式的節(jié)點(diǎn) ?根據(jù)網(wǎng)絡(luò)和主機(jī)的性能 ? 根據(jù)響應(yīng)時(shí)間：向本地網(wǎng)絡(luò)發(fā)送大量的偽造數(shù)據(jù)包，然后，看目標(biāo)主機(jī)的響應(yīng)時(shí)間，首先要測得一個(gè)響應(yīng)時(shí)間基準(zhǔn)和平均值 ?L0pht的 AntiSniff產(chǎn)品，參考它的技術(shù)文檔
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1