網(wǎng)絡(luò)與信息安全網(wǎng)絡(luò)安全四-資料下載頁(yè)
2024-10-26 16:32本頁(yè)面
【導(dǎo)讀】潘愛民，北京大學(xué)計(jì)算機(jī)研究所。拒絕服務(wù)你將會(huì)發(fā)現(xiàn)，TCP/IP協(xié)議是多么脆弱、不安全。暴露網(wǎng)絡(luò)上潛在的脆弱性。為系統(tǒng)相關(guān)的攻擊打好基礎(chǔ)。有助于加強(qiáng)系統(tǒng)的安全性。用IP分片進(jìn)行SYN/FIN掃描。UDPICMP端口不可達(dá)掃描。阻止對(duì)內(nèi)部系統(tǒng)的掃描，禁止探測(cè)包進(jìn)入。從操作系統(tǒng)或者應(yīng)用系統(tǒng)的具體實(shí)現(xiàn)中發(fā)掘出。來的攻擊手段(或漏洞)都需要辨識(shí)系統(tǒng)。尋找不同操作系統(tǒng)之間在處理網(wǎng)絡(luò)數(shù)據(jù)包上的差異，并且。把足夠多的差異組合起來，以便精確地識(shí)別出一個(gè)系統(tǒng)的。改變對(duì)網(wǎng)絡(luò)數(shù)據(jù)包的處理方式。假冒他人的IP地址發(fā)送信息。隱藏自己的IP地址，防止被跟蹤。主機(jī)保護(hù)，兩種考慮。物理防護(hù)、登錄口令。權(quán)限控制，不允許修改配置信息。保護(hù)自己的機(jī)器不被成為假冒的對(duì)象。并不是每個(gè)用戶都清楚Web的運(yùn)行規(guī)則。注冊(cè)一個(gè)與目標(biāo)公司或組織相似的域名，然后。建立一個(gè)欺騙網(wǎng)站，騙取該公司的用戶的信任，以便得到這些用戶的信息。成進(jìn)一步的危害，例如：
【正文】 Flood Teardrop IP包的分片裝配 Smurf 給廣播地址發(fā)送 ICMP Echo包，造成網(wǎng)絡(luò)阻塞 …… Ping of Death 原理：直接利用 ping包，即 ICMP Echo包，有些系統(tǒng)在收到大量比最大包還要長(zhǎng)的數(shù)據(jù)包，會(huì)掛起或者死機(jī) 受影響的系統(tǒng)：許多操作系統(tǒng)受影響 攻擊做法 直接利用 ping工具，發(fā)送超大的 ping數(shù)據(jù)包 防止措施 打補(bǔ)丁 防火墻阻止這樣的 ping包 Teardrop 原理：利用 IP包的分片裝配過程中，由于分片重疊，計(jì)算過程中出現(xiàn)長(zhǎng)度為負(fù)值，在執(zhí)行 memcpy的時(shí)候?qū)е孪到y(tǒng)崩潰 受影響的系統(tǒng)： Linux/Windows NT/95， 97年發(fā)現(xiàn) 攻擊特征 攻擊非常簡(jiǎn)單，發(fā)送一些 IP分片異常的數(shù)據(jù)包 防止措施 加入條件判斷，對(duì)這種異常的包特殊處理 打補(bǔ)丁 參考： SYN Flood 原理：利用 TCP連接三次握手過程，打開大量的半開TCP連接，使得目標(biāo)機(jī)器不能進(jìn)一步接受 TCP連接。每個(gè)機(jī)器都需要為這種半開連接分配一定的資源，并且，這種半開連接的數(shù)量是有限制的，達(dá)到最大數(shù)量時(shí)，機(jī)器就不再接受進(jìn)來的連接請(qǐng)求。 受影響的系統(tǒng)：大多數(shù)操作系統(tǒng) 攻擊細(xì)節(jié) 連接請(qǐng)求是正常的，但是，源 IP地址往往是偽造的，并且是一臺(tái)不可達(dá)的機(jī)器的 IP地址，否則，被偽造地址的機(jī)器會(huì)重置這些半開連接 一般，半開連接超時(shí)之后，會(huì)自動(dòng)被清除，所以，攻擊者的系統(tǒng)發(fā)出 SYN包的速度要比目標(biāo)機(jī)器清除半開連接的速度要快 任何連接到 Inter上并提供基于 TCP的網(wǎng)絡(luò)服務(wù)，都有可能成為攻擊的目標(biāo) 這樣的攻擊很難跟蹤，因?yàn)樵吹刂吠豢尚?，而且不在線 SYN Flood(續(xù) ) 攻擊特征 目標(biāo)主機(jī)的網(wǎng)絡(luò)上出現(xiàn)大量的 SYN包，而沒有相應(yīng)的應(yīng)答包 SYN包的源地址可能是偽造的，甚至無規(guī)律可循 防止措施 針對(duì)網(wǎng)絡(luò) 防火墻或者路由器可以在給定時(shí)間內(nèi)只允許有限數(shù)量的半開連接 入侵檢測(cè)，可以發(fā)現(xiàn)這樣的 DoS攻擊行為 打補(bǔ)丁 Linux和 Solaris使用了一種被稱為 SYN cookie的技術(shù)來解決SYN Flood攻擊：在半開連接隊(duì)列之外另設(shè)置了一套機(jī)制，使得合法連接得以正常繼續(xù) 一次 SYN Flood攻擊的記錄 Smurf 原理：向廣播地址發(fā)送偽造地址的 ICMP Echo數(shù)據(jù)包。攻擊者向一個(gè)廣播地址發(fā)送 ICMP Echo請(qǐng)求，并且用受害者的 IP地址作為源地址，于是，廣播地址網(wǎng)絡(luò)上的每臺(tái)機(jī)器響應(yīng)這些 Echo請(qǐng)求，同時(shí)向受害者主機(jī)發(fā)送ICMP EchoReply應(yīng)答。于是，受害者主機(jī)會(huì)被這些大量的應(yīng)答包淹沒 受影響的系統(tǒng)：大多數(shù)操作系統(tǒng)和路由器 變種： fraggle， 使用 UDP包，或稱為 udpsmurf 比如， 7號(hào)端口 (echo)， 如果目標(biāo)機(jī)器的端口開著，則送回應(yīng)答，否則，產(chǎn)生 ICM端口不可達(dá)消息 技術(shù)細(xì)節(jié) 兩個(gè)主要的特點(diǎn)：使用偽造的數(shù)據(jù)包，使用廣播地址。 不僅被偽造地址的機(jī)器受害，目標(biāo)網(wǎng)絡(luò)本身也是受害者，它們要發(fā)送大量的應(yīng)答數(shù)據(jù)包 Smurf攻擊示意圖 Smurf攻擊 攻擊特征 涉及到三方：攻擊者，中間目標(biāo)網(wǎng)絡(luò)，受害者 以較小的網(wǎng)絡(luò)帶寬資源，通過放大作用，吃掉較大帶寬的受害者系統(tǒng) Smurf放大器 Smurf放大器網(wǎng)絡(luò)：不僅允許 ICMP Echo請(qǐng)求發(fā)給網(wǎng)絡(luò)的廣播地址，并且允許 ICMP EchoReply發(fā)送回去 這樣的公司越多，對(duì) Inter的危害就越大 實(shí)施 Smurf攻擊 需要長(zhǎng)期的準(zhǔn)備，首先找到足夠多的中間網(wǎng)絡(luò) 集中向這些中間網(wǎng)絡(luò)發(fā)出 ICMP Echo包 Smurf攻擊的防止措施 針對(duì)最終受害者 沒有直接的方法可以阻止自己接收 ICMP Echo Reply消息 在路由器上阻止這樣的應(yīng)答消息，但是，結(jié)果是，路由器本身遭受了 DoS攻擊 與中間目標(biāo)網(wǎng)絡(luò)聯(lián)系 針對(duì)中間網(wǎng)絡(luò) 關(guān)閉外來的 IP廣播消息，但是，如果攻擊者從內(nèi)部機(jī)器發(fā)起攻擊，仍然不能阻止 smurf攻擊 配置操作系統(tǒng)，對(duì)于廣播地址的 ICMP包不響應(yīng) 在每個(gè)路由節(jié)點(diǎn)上都記錄 log， 以備查 流量大的路由節(jié)點(diǎn)上能夠記錄所有的流量嗎 一般性的分布式攻擊 (如 DDoS)模型 DoS工具 每一種攻擊被揭示出來的時(shí)候，都會(huì)有一些試驗(yàn)性的代碼，例如 、 ，由于 DoS攻擊往往比較簡(jiǎn)單，所以這些代碼也比較短小 通常，要涉及到 IP欺騙 一些現(xiàn)有的工具 Targa： 把幾種 DoS集中在一起 Trinoo： 分布式 DoS工具 TFN2K： Targa的增強(qiáng)，可實(shí)施 DDoS攻擊 stacheldraht 防止 DoS 對(duì)于網(wǎng)絡(luò) 路由器和防火墻配置得當(dāng)，可以減少受 DoS攻擊的危險(xiǎn) 比如，禁止 IP欺騙可以避免許多 DoS攻擊 入侵檢測(cè)系統(tǒng)，檢測(cè)異常行為 對(duì)于系統(tǒng) 升級(jí)系統(tǒng)內(nèi)核，打上必要的補(bǔ)丁，特別是一些簡(jiǎn)單的 DoS攻擊，例如 SYN Flooding 關(guān)掉不必要的服務(wù)和網(wǎng)絡(luò)組件 如果有配額功能的話，正確地設(shè)置這些配額 監(jiān)視系統(tǒng)的運(yùn)行，避免降低到基線以下 檢測(cè)系統(tǒng)配置信息的變化情況 保證物理安全 建立備份和恢復(fù)機(jī)制 參考資料 書 “ Hackers Beware”， 中文版《黑客 —— 攻擊透析與防范》，電子工業(yè)出版社 “ 黑客大曝光 ” (第二版 )，清華出版社 文章 Simple Active Attack Against TCP A short overview of IP spoofing: PART I A short overview of IP spoofing: PART II Web站點(diǎn) DoS列表， DoS程序代碼，
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1