網(wǎng)絡(luò)安全課程設(shè)計(jì)-資料下載頁(yè)
2025-08-05 15:44本頁(yè)面
【正文】 務(wù)器的TCP/IP棧不夠強(qiáng)大，最后的結(jié)果往往是堆棧溢出崩潰即使服務(wù)器端的系統(tǒng)足夠強(qiáng)大，服務(wù)器端也將忙于處理攻擊者偽造的TCP連接請(qǐng)求而無(wú)暇理睬客戶的正常請(qǐng)求（畢竟客戶端的正常請(qǐng)求比率非常之?。?，此時(shí)從正?？蛻舻慕嵌瓤磥?lái)，服務(wù)器失去響應(yīng)，這種情況我們稱作：服務(wù)器端受到了SYN Flood攻擊通常主機(jī)A與主機(jī)B的每一次TP連接都要經(jīng)過(guò)三次握手的過(guò)程第一次握手主機(jī)A向主機(jī)B發(fā)送SYN請(qǐng)求主機(jī)A將它隨機(jī)產(chǎn)生的初始序列號(hào)ISN傳送給主機(jī)B請(qǐng)求建立TP連接。第二次握手主機(jī)B向主機(jī)A回應(yīng)SYN+AK主機(jī)B接收到來(lái)自主機(jī)A的帶有SYN標(biāo)志的ISN后將自己的隨機(jī)的初始序列號(hào)ISN連同應(yīng)答信息AK一同返回給主機(jī)A。第三次握手主機(jī)A向主機(jī)B回應(yīng)SYN十AK主機(jī)A再將主機(jī)B傳送來(lái)ISN及應(yīng)答信息AK返回給主機(jī)B。通過(guò)以上三次握手就建立了主機(jī)A與B的TP連接在TcP的三次握手中當(dāng)主機(jī)B接收到主機(jī)A中的SYN請(qǐng)求時(shí)即第一次握手與第二次握手之間的連接稱為半開(kāi)連接。如果計(jì)算機(jī)有限的內(nèi)存緩沖區(qū)中充滿了虛假的半開(kāi)連接信息該計(jì)算機(jī)就會(huì)對(duì)接下來(lái)的連接停止響應(yīng)直到緩沖區(qū)里的連接企圖超時(shí)。根據(jù)TCP連接的漏洞惡意的主機(jī)A想攻擊主機(jī)B,A可以使用發(fā)包軟件在短時(shí)間用偽造的不存在的IP地址作為源地址不斷地向防火墻發(fā)送具有SYN請(qǐng)求的TCP數(shù)據(jù)包。主機(jī)B在收到SYN請(qǐng)求后會(huì)向請(qǐng)求SYN數(shù)據(jù)包的源地址發(fā)送一個(gè)SYN十ACK據(jù)包。由于源地址是一個(gè)偽造的地址主機(jī)B不可能收到偽造IP地址的SYN+ACK回應(yīng)數(shù)據(jù)包。主機(jī)B在短時(shí)間內(nèi)有大量的連接請(qǐng)求等待確認(rèn)。由于主機(jī)B的內(nèi)存緩沖區(qū)是有限的當(dāng)主機(jī)B中未釋放的連接請(qǐng)求數(shù)量超過(guò)主機(jī)B的限制時(shí)候主機(jī)B就無(wú)法再對(duì)新的連接請(qǐng)求進(jìn)行響應(yīng)就算是正常的連接請(qǐng)求也不會(huì)被主機(jī)B接受這時(shí)主機(jī)B受到了TCPSYNFlood攻擊。SYN攻擊實(shí)現(xiàn)起來(lái)非常的簡(jiǎn)單在互聯(lián)網(wǎng)上有大量現(xiàn)成的SYN攻擊工具。選擇隨機(jī)的源地址和源端口并填寫目標(biāo)機(jī)器地址和選擇允許訪問(wèn)的TP端口通常Windows系統(tǒng)開(kāi)放TP139端口UNIX系統(tǒng)開(kāi)放TCP223等端口激活運(yùn)行很快就會(huì)發(fā)現(xiàn)目標(biāo)系統(tǒng)運(yùn)行緩慢。檢測(cè)TCPSYNFlood攻擊對(duì)于受到TCPSYNFlood攻擊的計(jì)算機(jī)檢測(cè)SYN攻擊比較容易。當(dāng)服務(wù)器上有大量的半連接狀態(tài)時(shí)特別是源IP地址是隨機(jī)的則可以斷定這是一次TCPSYNFlood攻擊。在Linux系統(tǒng)中使用netstat工具可顯示網(wǎng)絡(luò)連接、路由表和網(wǎng)絡(luò)接口信息通過(guò)簡(jiǎn)單的分析可判斷是否遭受了SYN攻擊?？梢园l(fā)現(xiàn)很多連接處于SYN_RECV狀態(tài)Windows系統(tǒng)中是SYN_RECEIVED狀態(tài)源IP地址都是隨機(jī)的表明這是一帶有IP欺騙的TCPSYNFlood攻擊。實(shí)驗(yàn)過(guò)程：測(cè)試平臺(tái)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖所示。 對(duì)目標(biāo)計(jì)算機(jī)進(jìn)行拒絕服務(wù)攻擊并測(cè)試攻擊效果。 在B機(jī)打開(kāi)Sniffer Portable，配置好捕捉從任意主機(jī)發(fā)送給本機(jī)的IP 數(shù)據(jù)包并啟動(dòng)捕捉進(jìn)程如圖所示。2在A機(jī)上訪問(wèn)。3在A機(jī)上訪問(wèn)。如圖所示。 xdos攻擊端 4此時(shí)B機(jī)處理速度明顯下降甚至癱瘓死機(jī)再訪問(wèn)。在Sniffer Portable的“傳輸?shù)貓D”中看到大量偽造IP 的主機(jī)請(qǐng)求與B機(jī)建立連接。如圖所示。 5 停止攻擊后B機(jī)恢復(fù)快速響應(yīng)。打開(kāi)捕捉的數(shù)據(jù)包可以看到有大量偽造IP 地址的主機(jī)請(qǐng)求與B機(jī)連接的數(shù)據(jù)包且都是只請(qǐng)求不應(yīng)答。以至于B機(jī)保持有大量的半開(kāi)連接。如圖所示。 捕捉到攻擊的數(shù)據(jù)包防御：從防御角度來(lái)說(shuō)，有幾種簡(jiǎn)單的解決方法： 第一種是縮短SYN Timeout時(shí)間，由于SYN Flood攻擊的效果取決于服務(wù)器上保持的SYN半連接數(shù)，這個(gè)值=SYN攻擊的頻度 x SYN Timeout，所以通過(guò)縮短從接收到SYN報(bào)文到確定這個(gè)報(bào)文無(wú)效并丟棄改連接的時(shí)間，例如設(shè)置為20秒以下（過(guò)低的SYN Timeout設(shè)置可能會(huì)影響客戶的正常訪問(wèn)），可以成倍的降低服務(wù)器的負(fù)荷?！ 〉诙N方法是設(shè)置SYN Cookie，就是給每一個(gè)請(qǐng)求連接的IP地址分配一個(gè)Cookie，如果短時(shí)間內(nèi)連續(xù)受到某個(gè)IP的重復(fù)SYN報(bào)文，就認(rèn)定是受到了攻擊，以后從這個(gè)IP地址來(lái)的包會(huì)被丟棄。 可是上述的兩種方法只能對(duì)付比較原始的SYN Flood攻擊，縮短SYN Timeout時(shí)間僅在對(duì)方攻擊頻度不高的情況下生效，SYN Cookie更依賴于對(duì)方使用真實(shí)的IP地址，如果攻擊者以數(shù)萬(wàn)/秒的速度發(fā)送SYN報(bào)文，同時(shí)利用SOCK_RAW隨機(jī)改寫IP報(bào)文中的源地址，以上的方法將毫無(wú)用武之地。 四 總結(jié)與體會(huì)隨著互聯(lián)網(wǎng)的飛速發(fā)展，網(wǎng)絡(luò)安全逐漸成為一個(gè)潛在的巨大問(wèn)題。網(wǎng)絡(luò)安全性是一個(gè)涉及面很廣泛的問(wèn)題，其中也會(huì)涉及到是否構(gòu)成犯罪行為的問(wèn)題。在其最簡(jiǎn)單的形式中，它主要關(guān)心的是確保無(wú)關(guān)人員不能讀取，更不能修改傳送給其他接收者的信息。此時(shí)，它關(guān)心的對(duì)象是那些無(wú)權(quán)使用，但卻試圖獲得遠(yuǎn)程服務(wù)的人。安全性也處理合法消息被截獲和重播的問(wèn)題，以及發(fā)送者是否曾發(fā)送過(guò)該條消息的問(wèn)題。我們需要在理論學(xué)習(xí)的基礎(chǔ)上，動(dòng)手實(shí)踐網(wǎng)絡(luò)安全的相關(guān)理論，通過(guò)應(yīng)用所學(xué)習(xí)的知識(shí)，來(lái)解決一些實(shí)際的網(wǎng)絡(luò)安全應(yīng)用問(wèn)題。在此基礎(chǔ)上，真正理解和掌握網(wǎng)絡(luò)安全的基本原理，具備網(wǎng)絡(luò)安全方面的分析和動(dòng)手能力。在網(wǎng)絡(luò)攻防實(shí)驗(yàn)環(huán)境中完成TCP/IP協(xié)議棧中TCP層重點(diǎn)協(xié)議的攻擊實(shí)驗(yàn)。包括TCP RST攻擊、TCP會(huì)話劫持和TCP SYN Flood攻擊。這次課程設(shè)計(jì)增強(qiáng)了我們對(duì)核心理論知識(shí)的分析理解和實(shí)際轉(zhuǎn)化能力。培養(yǎng)了理論聯(lián)系實(shí)際和初步的獨(dú)立工作能力。課程設(shè)計(jì)作為一次團(tuán)隊(duì)設(shè)計(jì)，通過(guò)分工協(xié)作，增強(qiáng)大家的團(tuán)隊(duì)精神。同時(shí)，通過(guò)實(shí)踐小組成員進(jìn)一步理解掌握了tcp的基本理論、方法、技術(shù)和基本知識(shí)，培養(yǎng)了方案設(shè)計(jì)與驗(yàn)證的能力以及實(shí)踐軟件開(kāi)發(fā)的過(guò)程和步驟，初步具有了中小型軟件項(xiàng)目的需求分析、設(shè)計(jì)、編碼、測(cè)試和維護(hù)的能力。參考文獻(xiàn)1 段云所 魏仕民 唐禮用 陳鐘 《信息安全概論》 高等教育出版社 2 韓松. 衛(wèi)星 TCP/ IP 數(shù)據(jù)傳輸技術(shù). 現(xiàn)代電信科技, 2000。(2):11 153 村山公保. TCP/ IP : 科學(xué)出版社, 20034 賈鐵軍 《網(wǎng)絡(luò)安全技術(shù)及應(yīng)用》 機(jī)械工業(yè)出版社
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1