彭思喜電商安全第3章常見的網絡攻擊與防范技術-資料下載頁
2025-02-21 14:51本頁面
【正文】 adcast ICMP 設置 ICMP請求包的目標地址為廣播地址或網絡地址，則可以探測廣播域或整個網絡范圍內的主機，這種情況只適合于 UNIX/Linux系統(tǒng) 端口掃描技術 主機掃描對策 ?使用可以檢測并記錄 ICMP掃描的工具 ?使用入侵檢測系統(tǒng) ?在防火墻或路由器中設置允許進出自己網絡的ICMP分組類型 端口掃描技術 端口掃描技術 ?開放掃描 (Open Scanning) 需要掃描方通過三次握手過程與目標主機建立完整的 TCP連接 可靠性高，產生大量審計數(shù)據，容易被發(fā)現(xiàn) ?半開放掃描 (HalfOpen Scanning) 掃描方不需要打開一個完全的 TCP連接 ?秘密掃描 (Stealth Scanning) 不包含標準的 TCP三次握手協(xié)議的任何部分 隱蔽性好，但這種掃描使用的數(shù)據包在通過網絡時容易被丟棄從而產生錯誤的探測信息 端口掃描技術 TCP Connect（）掃描 ?原理 掃描器調用 socket的 connect()函數(shù)發(fā)起一個正常的連接 如果端口是打開的，則連接成功 否則，連接失敗 ?優(yōu)點 簡單，不需要特殊的權限 ?缺點 服務器可以記錄下客戶的連接行為，如果同一個客戶輪流對每一個端口發(fā)起連接，則一定是在掃描 端口掃描技術 TCP SYN 掃描 ?原理 向目標主機的特定端口發(fā)送一個 SYN包 如果應答包為 RST包，則說明該端口是關閉的 否則，會收到一個 SYN|ACK包。于是，發(fā)送一個 RST，停止建立連接 ?優(yōu)點 很少有系統(tǒng)會記錄這樣的行為 ?缺點 在 UNIX平臺上，需要 root權限才可以建立這樣的 SYN數(shù)據包 端口掃描技術 TCP Fin 掃描 ?原理 掃描器發(fā)送一個 FIN數(shù)據包 如果端口關閉的，則遠程主機丟棄該包，并送回一個 RST包 否則的話，遠程主機丟棄該包，不回送 ?優(yōu)點 不是 TCP建立連接的過程，所以比較隱蔽 ?缺點 與 SYN掃描類似，也需要構造專門的數(shù)據包 在 Windows平臺無效，總是發(fā)送 RST包 端口掃描技術 端口掃描對策 設置防火墻過濾規(guī)則，阻止對端口的掃描 例如可以設置檢測 SYN掃描而忽略 FIN掃描 使用入侵檢測系統(tǒng) ?禁止所有不必要的服務，把自己的暴露程度降到最低 Unix或 linux中，在 /etc/不必要的服務，并在系統(tǒng)啟動腳本中禁止其他不必要的服務 Windows中通過 Services禁止敏感服務，如 IIS 端口掃描技術 端口掃描工具 特洛伊木馬 什么是特洛伊木馬 ?定義：特洛伊木馬是一個程序，它駐留在目標計算機里。在目標計算機系統(tǒng)啟動的時候，特洛伊木馬自動啟動。然后在某一端口進行偵聽。如果在該端口受到數(shù)據，對這些數(shù)據進行識別，然后按識別后的命令，在目標計算機上執(zhí)行一些操作。 ?因此，木馬應該符合三個條件： （ 1）木馬需要一種啟動方式，一般在注冊表啟動組中。 （ 2）木馬需要在內存中運行才能發(fā)揮作用。 （ 3）木馬會占用一個端口，以便黑客通過這個端口和木馬聯(lián)系。 特洛伊木馬 木馬的工作原理 特洛伊木馬 木馬的特點 ?木馬的特點是具有隱蔽性、頑固性、潛伏性。 ?木馬隱蔽性主要表現(xiàn)在： （ 1）木馬的啟動方式 （ 2）木馬在硬盤上存儲的位置 （ 3）木馬的文件名 （ 4）木馬的文件屬性 （ 5）木馬的圖標 （ 6）木馬使用的端口 （ 7）木馬運行時的隱蔽 （ 8）木馬在內存中的隱蔽 特洛伊木馬 木馬啟動方式 ? ? ?啟動組 ?注冊表 ?捆綁方式啟動 : ?偽裝在普通文件中 ?設置在超級連接中 特洛伊木馬 木馬傳播方式 主動與被動： ?主動種入 ?通過 E－ mail ?文件下載 ?瀏覽網頁 特洛伊木馬 發(fā)現(xiàn)木馬的方法 ?系統(tǒng)的異常情況 ?打開文件，沒有任何反應 ?查看打開的端口 ?檢查注冊表 ?查看進程 特洛伊木馬 木馬的防御 ?發(fā)現(xiàn)木馬：檢查系統(tǒng)文件、注冊表、端口 ?不要輕易使用來歷不明的軟件 ? 不熟悉的 EMAIL不打開 ?常用殺毒軟件并及時升級 ?查在安裝新的軟件之前，請先備份注冊表在安裝完軟件以后，立即用殺毒軟件查殺 Windows文件夾和所安裝的軟件的所在文件夾。如果殺毒軟件報告有病毒，這時請將它殺掉，殺毒完成后，重新啟動計算機 演講完畢，謝謝觀看！
環(huán)評公示相關推薦
鄂ICP備17016276號-1