【正文】 （ 7） Tear drop 攻擊 ： 這 也是一種 碎片攻擊，發(fā)出的 報文 OFFSET字段相互浙江大學(xué)碩士學(xué)位論文 第 3 章 針對低端路由器的攻擊 27 重疊的 分片報文，這種畸形數(shù)據(jù)包會造成被攻擊的設(shè)備 錯誤的組合分片 的 報文 ，當(dāng)設(shè)備 發(fā)現(xiàn)碎片報文，直接丟棄 。 在這整個過程中會消耗掉 一部分 資源。 雖然 每一 片 數(shù)據(jù)包不會超過 65535 字節(jié)，但是在 當(dāng) IP 分片 報文 重組后就可以超過這一限制。 設(shè)備 WAN 口收到 ICMP的目的地址是廣播地址的 Ping報文，認為 Smurf 攻擊 。 所以從 Inter 發(fā)起的 ICMP 包達到一定速率的時候 ，就可以判定是 ICMP Flood 攻擊 事件的發(fā)生。 [5] DOS 攻擊 類型 上一節(jié)對典型的 DOS 攻擊 TCP SYN Flood 攻擊進行 了分析。 其實 問題 缺陷 就出在 TCP 連接的三次握手中： （ 1） 假設(shè)一個 客戶端 用戶向服務(wù)器發(fā)送了 SYN 報文后突然掉線。 SYNACK 報文 重傳次數(shù) ： 服務(wù)器發(fā)送完 SYNACK 報文后 ，如果 一直沒有收到客戶確認報文 ，服務(wù)器 則會 進行首次重傳，等待一段時間 后 如果 仍 然 未收到客戶確認報文 ， 則 進行第二次重傳，如果重傳 的 次數(shù)超過 了 系統(tǒng)規(guī)定的最大的 重傳次數(shù) 后 ， 等待一段時間后 系統(tǒng)將該連接信息從半連接 的列表 隊列中刪除。這時，連接 的信息 已經(jīng)建立 好 了。如果接收連接 的報文 ，那么服務(wù)器發(fā)送確認 報文 給客戶端 ， SYN 請求 為服務(wù)器的一個內(nèi)碼， ACK 報文 則是客戶端的請求序號加 1，用這樣的數(shù)據(jù) 報文 發(fā)送給客戶端。 TCP 連接握手過程可以簡單地分為三 個過程 。商業(yè)公司的網(wǎng)站如 eBay，在 26 個小時的攻擊之后，股票價格下降 29%。 20xx 年 9 月份，新浪遭受黑客攻擊長達 19 個小時，致使電子郵箱系統(tǒng)完全癱瘓。它的目的就是拒絕 客戶端 的服務(wù)訪問，破壞系統(tǒng)的正常運行，最終它會使 客戶端 的部分 Inter 連接 失敗 ?；蛘卟辉试S用戶連接特定的 IP 地址。 [3] 病毒和木馬 內(nèi)網(wǎng)用戶往往通過訪問不安全的網(wǎng)站或網(wǎng)頁而感染病毒或木馬 ，中了木馬的主機會執(zhí)行一些木馬和病毒的程序，有些會直接把用戶在銀行網(wǎng)站上的用戶名和密碼直接通過網(wǎng)絡(luò)發(fā)給用戶，有些病毒又會在在局域網(wǎng)中傳播，使網(wǎng)內(nèi)主機發(fā)生癱瘓。 浙江大學(xué)碩士學(xué)位論文 第 3 章 針對低端路由器的攻擊 21 網(wǎng) 關(guān)攻 擊 設(shè) 備計 算 機 A我 是 計 算 機 A請 把 報 文 發(fā) 給 我我 是 網(wǎng) 關(guān) ， 請 把 報 文 發(fā) 給 我 圖 ARP 中間人攻擊原理圖 圖 是受到中間人攻擊后的局域網(wǎng)流量簡圖，在計算機 A 的 ARP 表項中，計算機 A 對應(yīng)的網(wǎng)關(guān) IP 是攻擊設(shè)備的 MAC；而真實網(wǎng)關(guān)的 ARP 表項中，普通用戶 IP 對應(yīng)的是 攻擊設(shè)備的 MAC。 之 所謂 “ 中間人 ” 的攻擊方式，就是 “ 中間人 ”冒充真正的服務(wù)器接收 客戶端 你 傳給服務(wù)器的數(shù)據(jù) 報文 ，然后再冒充 客戶端 把數(shù)據(jù) 報文 傳給真正的服務(wù)器。當(dāng)然，攻擊者最終的目標并不是斷開被攻擊設(shè)備的網(wǎng)絡(luò)連接（部分惡意攻擊軟件除外），而是實現(xiàn)中間人攻擊。 （ 2）當(dāng)網(wǎng)關(guān)還沒來得及反應(yīng)的時候，攻擊設(shè)備搶先向計算機應(yīng)答，冒充自己是網(wǎng)關(guān)。 浙江大學(xué)碩士學(xué)位論文 第 3 章 針對低端路由器的攻擊 19 ARP Spoof ARP 欺騙是 更加 進一步的攻擊手段。 如圖 為免費 ARP 攻擊原理圖。當(dāng)短時間內(nèi)構(gòu)造大量的ARP 報文攻擊設(shè)備時，會造成 CPU 利用率直線上升，甚至造成 CPU 滿負荷工作，短時間內(nèi)無法響應(yīng)外界正常的請求。 圖 免費 ARP 解析圖 以下是一個典型的 ARP 報文交互 的 過程： 浙江大學(xué)碩士學(xué)位論文 第 3 章 針對低端路由器的攻擊 17 PC 1通過廣播方式的 ARP Request報文 ，請求 IP 為 MAC地址；報文中目的 MAC 是全 0； PC 2 通過單播方式的 ARP Reply 報文 進行應(yīng)答， PC 2 將自己的 MAC 地址填入報文中的源 MAC 地址 位置； PC 1 收到 ARP Reply報文 后，更新自己的 ARP 緩存 或者 ARP 表項。 ARP Request 既 有 廣播方式發(fā)送，也可能 有 以單播方式發(fā)送。它就是通過地址解析協(xié)議獲得的。 ARP 的概念 ARP，全稱 地址解析協(xié)議 ， 英文 中文名為 Address Resolution Protocol，它工作在數(shù)據(jù)鏈路層，在本層和硬件接口聯(lián)系，同時對上層提供服務(wù)。端口掃描主要是黑客用來探測網(wǎng)絡(luò)環(huán)境的手段， 黑客利用端口掃描可以探測出用戶主機哪一些服務(wù)處于工作狀態(tài)，然后進行有針對性的攻擊。 浙江大學(xué)碩士學(xué)位論文 第 3 章 針對低端路由器的攻擊 14 第 3章 針對低端路由器的 攻擊 低端路由器典型的攻擊手法 在 節(jié)中，描述了低端路由器防攻擊的需求情況，低端路由器的攻擊的主要是以下三個方面： （ 1）針對內(nèi)網(wǎng)的攻擊： ARP 攻擊，簡單的 ARP 攻擊能使內(nèi)網(wǎng)用戶經(jīng)常掉線。 通過這些專業(yè)的構(gòu)包工具來模擬攻擊報文，構(gòu)造精確的流量，達到攻擊網(wǎng)絡(luò)設(shè)備的目的，然后通過抓包工具分析這些攻擊報文，對報文字段進行分析，對攻擊原理進行解剖，從而設(shè)計一個可以防范各種攻擊的模塊。 所以在設(shè)備中的報文傳輸中，路由器在底層芯片不能轉(zhuǎn)發(fā)報文的時候，就是上升到 CPU 網(wǎng)絡(luò)層來 轉(zhuǎn) 發(fā)，當(dāng)網(wǎng)絡(luò)層找不到路由不能轉(zhuǎn)發(fā)時，或者是把報文丟棄或者是讓報文匹配 默認的路由。 浙江大學(xué)碩士學(xué)位論文 第 2 章 數(shù)據(jù)通信領(lǐng)域安全測試方法 11 圖 16 進制表示的 TCP 報文 數(shù)據(jù)通信中 的設(shè)備 要了解如何防范攻擊，就要了解網(wǎng)絡(luò)中的報文是通過什么設(shè)備傳輸?shù)?，上一?jié)說明了 TCP/IP 的四層結(jié)構(gòu)， 網(wǎng)絡(luò)設(shè)備 可以根據(jù) 處理數(shù)據(jù)報文 層次的進行劃分 。（比如：校驗和，數(shù)據(jù)） [2] 圖 就是一個完整的 TCP 包的分層結(jié) 構(gòu)， 上面提到的每個層次和字段在表中都有明確的意義。 R S T ： 重建連接。確認序號包含發(fā)送確認的一端所期望收到的下一個序號。 接下來就是常見的源 IP 地址和目的 IP 地址。 片位移：數(shù)據(jù)報文在發(fā)送以前需要先把大包分成一個個的小包才能傳輸過去，就是通過片位移在報文上做好標記，當(dāng)這幾個小包發(fā)送到目的地后再根據(jù)這些片位移把報文組裝回去。這些字段的標示說明了該報文要傳輸時最看重什么，設(shè)備會根據(jù)這些報文 TOS 字段來區(qū)別對待這些報文。 4 位 版 本0 1 5 1 64 位 首 部 長度8 位 服 務(wù) 類 型（ T O S ）3 2 位 源 I P 地 址1 6 位 長 度 （ 字 節(jié) 數(shù) ）1 3 位 片 位 移1 6 位 標 志1 3 位 標 志8 位 生 存 時 間（ T T L ）8 位 協(xié) 議 1 6 位 首 部 檢 驗 和3 2 位 目 的 I P 地 址選 項數(shù) 據(jù)3 1 圖 IP 數(shù)據(jù)報文格式及首部中的各個字段 浙江大學(xué)碩士學(xué)位論文 第 2 章 數(shù)據(jù)通信領(lǐng)域安全測試方法 8 4 位版本：目前 業(yè)界 用的最廣泛的是 IPV4，就是第四版本的意思，但隨著網(wǎng)絡(luò)中的 IP 地址越來越不夠用了，所以以后 IPV6，就是第六版本的 IP 會出現(xiàn)，會來克服 IPV4 地址不足的問題。 [1]史蒂文斯 .TCP/IP 詳解 [M].北京 :機械工業(yè)出版社 ， 20xx. 浙江大學(xué)碩士學(xué)位論文 第 2 章 數(shù)據(jù)通信領(lǐng)域安全測試方法 7 如何構(gòu)造鏈路層報文，如圖 該鏈路層報文包括目的 MAC 地址和源 MAC地址，該 MAC 地址是 6 位的長度，表示了網(wǎng)絡(luò)上網(wǎng)卡的身份。比如 FTP 就是用 TCP 目的端口號 20和 21 來傳輸報文的，通過 20 端口來建立傳輸通道，當(dāng)傳輸通道建立好了以后，再用 21端口來傳輸數(shù)據(jù)報文。TCP 一般為 PC 之間提供可靠性極高的傳輸，是有連接的傳輸，在傳輸之前會先同過一些測試報文來把藥傳輸?shù)耐ǖ老冗B接起來，當(dāng)傳輸通道連接起來以后再開始傳輸數(shù)據(jù)報文，而且當(dāng)報文傳輸失敗時，還會重傳。比如：這層最有名的協(xié)議就是 IP 協(xié)議了，它主要定義了源 IP 地址和目的 IP 地址，浙江大學(xué)碩士學(xué)位論文 第 2 章 數(shù)據(jù)通信領(lǐng)域安全測試方法 6 網(wǎng)絡(luò)層主要通過該 IP 地址的信息來把報文從一個設(shè)備傳輸?shù)搅硪粋€設(shè)備。通信的時候，報文就經(jīng)過一層層的解析，然后分析每一層的協(xié)議族來獲取報文中的信息。 在數(shù)據(jù)通信安全領(lǐng)域安全的測試方法歸根到底也是要分析 異常的 數(shù)據(jù)報文 對網(wǎng)絡(luò)設(shè)備的影響 ，所以對網(wǎng)絡(luò)攻擊的分析就是對攻擊報文的分析 和對網(wǎng)絡(luò)設(shè)備的影響 ?，F(xiàn)在業(yè)界對低端的路由器也要求有基本的防攻擊能力，一般的僅僅能進行報文快速轉(zhuǎn)發(fā)的路由器已經(jīng)不能滿足用戶的需求。 第七章：低端路由器防攻擊總結(jié) 浙江大學(xué)碩士學(xué)位論文 第 1 章 緒論 4 對本文防攻擊的 回顧，總結(jié)主要研究和創(chuàng)新，提出優(yōu)點和不足，提出以后應(yīng)該改進的方面。通過該技術(shù)來實現(xiàn)網(wǎng)頁訪問的控制和用戶接入的控制來防止用戶訪問不安全的網(wǎng)站受到木馬的攻擊。描述了用戶對防攻擊路由器的需求，本文研究的方法和要解決的問題。 （ 3）能防御外網(wǎng)發(fā)起的各種攻擊。內(nèi)網(wǎng)的攻擊，針對網(wǎng)吧來說，最主要的就是 ARP攻擊和 ARP 欺騙。 網(wǎng)吧：該組網(wǎng)情況下對防攻擊要求更加高，即要防止內(nèi)網(wǎng)惡意用戶發(fā)起的攻擊，又要兼顧外網(wǎng)惡意攻擊核心路由器，導(dǎo)致核心路由器的癱瘓。 本課題旨在通過 對需求和攻擊的研究 ，根據(jù) TCP/IP 的通信原理提出滿足低端路由器防攻擊的合理方案 。如今，網(wǎng)絡(luò)攻擊的手段和技術(shù)也不斷的更新，像當(dāng)前比較流行的 ARP攻擊的產(chǎn)生，迫使低端 的路由器也有防 ARP的一些功能。所以在高端的組網(wǎng)中，網(wǎng)絡(luò)的安全性往往較高。所以現(xiàn) 有 的安全機制被經(jīng)常 拿來 修改以適應(yīng)現(xiàn)有的網(wǎng)絡(luò)和 TCP/IP 協(xié)議 。 如 今 ，幾乎所有 的 計算機都運行著某種形式的 TCP/IP 協(xié)議。 also there are DOS attacks and port scanning attacks within wild area work. Hackers can use these attacks to obtain sensitive technology documents from corporation, and they also can obtain sensitive user account and password to the individual. In a large work environment, there are firewall, IDS (Intrusion Detection System), and other large equipment to protect valuable work security. However, in small and medium business works, they can not afford to purchase such expensive equipment, in order to reduce costs, have to buy some lowend work equipment. However, lowend work equipment do not have the antiattack function in today39。本論文會分析當(dāng)今流行的攻擊手段和方法，利用現(xiàn)有的組網(wǎng)環(huán)境構(gòu)造異常的報文攻擊網(wǎng)絡(luò)設(shè)備，利用工具截獲攻擊報文，把該攻擊報文解析出來，然后根據(jù)網(wǎng)絡(luò)的知識，對該報文進行分析，找出其中的規(guī)律和攻擊原理，根據(jù)該分析，提出有效的防攻擊手段。在大型的網(wǎng)絡(luò)中都有 部署 防火墻 、 IDS（入侵檢測系統(tǒng)） 等大型的貴重設(shè)備來保護網(wǎng)絡(luò)的安全。浙江大學(xué)碩士學(xué)位論文 Abstract i 低端路由器的攻擊與防范 摘要 當(dāng)今網(wǎng)絡(luò)發(fā)展很快，安全漏洞也隨之增加，安全問題也變成了人們?nèi)找骊P(guān)注的問題。但在中小企業(yè)網(wǎng)中， 為了降低成本，只能購買一些低端的網(wǎng)絡(luò)設(shè)備。 文中 還會 描述 防攻擊在路由器內(nèi)部的一些 詳細 實現(xiàn)。s market, there is a blank in small and medium business works. This paper can fill the requirements, embedded the firewall and IDS (Intrusion Detection System) module to the lowend routers. Lowend routers are really able to play the role of antiattack. This paper will analyze the current attack, constitution the abnor