網(wǎng)絡(luò)系統(tǒng)管理tcpip協(xié)議的安全性研究畢業(yè)論文(參考版)
2025-05-30 23:15本頁面
【正文】 再次感謝在大學(xué)傳授給我知識以及給我?guī)椭凸膭畹睦蠋?，同學(xué)和朋友。 當(dāng)然，在我求學(xué)期間，還要感謝我深愛的父母親一直以來對我無怨無悔的付出、支持、關(guān)愛、尊重和信任，在我學(xué)習(xí)、生活、感情、工作上遇到困難時，是您們幫我抵御風(fēng)霜，謝謝您們。 在畢業(yè)前最后的時光，仍舊要感謝我生命中出現(xiàn)的那些十分重要的師姐師兄、師弟師妹們，以及我結(jié)識的朋友們。宿舍同學(xué)的互幫互助和深厚友誼更是賜予了我研究生生活不可磨滅的記憶，畢業(yè)前夕的寢室夜談更是成為宿舍生活的美好回憶。 感謝我的母校吉林農(nóng)業(yè)科技學(xué)院尤其是信息工程學(xué)院學(xué)院所有的老師們,在這片凈土讀書三載，無形中塑造了我生命的氣質(zhì)、生活的方式，也練就了我樂觀的心態(tài)和一顆感恩的心。TCP\IP的重要性是毋庸置疑的，可以相信，隨著網(wǎng)絡(luò)的發(fā)展和安全技術(shù)應(yīng)用的深入，TCP\IP將不斷的改進(jìn)和完善，從而顯示出其旺盛的生命力。盡管利用協(xié)議中存在的安全缺口來實(shí)施攻擊技術(shù)性強(qiáng)、難度大，但突破率高、危險性極大。Interent完全是廣大網(wǎng)絡(luò)用戶普遍關(guān)心的一個重要問題。雖然IPv6在IPv4的基礎(chǔ)上，在安全性上有了很大的改善，但是IPv6在這段時間里無法全面地實(shí)現(xiàn)，所以本文把大量的篇幅花費(fèi)在了對IPSec和SSL兩個安全協(xié)議的分析上。結(jié) 論在計算機(jī)網(wǎng)絡(luò)日益發(fā)展的今天，TCP\IP協(xié)議在安全性方面的缺陷日益暴露出來。主機(jī)X不向主機(jī)B發(fā)送任何ACK包。 定時器問題 如果一入侵者企圖在不建立連接的情況下使連接建立定時器無效，我們可以觀察到以下序列包：①主機(jī)X從主機(jī)B收到一個TCP SYN包。直到維持連接定時器將其重置為CLOSED狀態(tài)。②主機(jī)X不向主機(jī)B發(fā)送其它任何包。 虛假狀態(tài)轉(zhuǎn)移當(dāng)入侵者試圖利用從SYNRCVD到CLOSEWAIT的狀態(tài)轉(zhuǎn)移長時間阻塞某服務(wù)器的一個網(wǎng)絡(luò)端口時，可以觀察到如下序列包： ①從主機(jī)X到主機(jī)B發(fā)送一個帶有SYN和FIN標(biāo)志位置位的TCP包。主機(jī)A向主機(jī)B發(fā)送ACK包。實(shí)際上，這是主機(jī)X發(fā)送的一個“偽造”包。這個SYN／SYNACK／RST包序列使得入侵者可以知道主機(jī)B的TCP序列號發(fā)生器的動作。大量的TCP SYN包將從主機(jī)X經(jīng)過網(wǎng)絡(luò)發(fā)往主機(jī)B，相應(yīng)地有SYNACK包從主機(jī)B發(fā)往主機(jī)X。主機(jī)A會回送相應(yīng)的SYNACK包。下面我們將討論在幾種入侵過程中網(wǎng)絡(luò)監(jiān)控設(shè)備可觀測到的序列包。這樣，X就成功地封鎖了A的一個端口。④主機(jī)A期待著接收來自X的SYNACK。 ②當(dāng)X收到來自A的SYN包時，它回送一個SYN包作為響應(yīng)。在X和A之間建立起一個TCP連接來傳送控制信號。在本文中，假設(shè)當(dāng)主機(jī)收到對方的SYN包后，就關(guān)閉連接建立定時器。A和X在收到對方的SYN包后都向?qū)Ψ桨l(fā)送一個SYNACK包。主機(jī)A向主機(jī)X發(fā)送一個SYN包，期待著回應(yīng)一個SYNACK包。如果在規(guī)定時間內(nèi)不能建立連接，則TCP機(jī)回到CLOSED狀態(tài)。這會給系統(tǒng)帶來嚴(yán)重的安全性問題。但是，由于到達(dá)的數(shù)據(jù)段只根據(jù)源IP地址和當(dāng)前隊列窗口號來證實(shí)。當(dāng)TCP機(jī)收到來自對等主機(jī)的RST時，就從TABLISHED，F(xiàn)INWAIT1和FINWAIT2狀態(tài)轉(zhuǎn)移到CLOSED狀態(tài)。因此，主機(jī)A的TCP機(jī)被鎖在了CL0SEWAIT狀態(tài)。但是，主機(jī)A的TCP機(jī)處CLOSEWAIT狀態(tài)，因此它可以向X發(fā)送一個FIN包終止連接。但是，TCP協(xié)議中并未對從SYNRCVD狀態(tài)到CLOSEWAIT狀態(tài)的轉(zhuǎn)移作出定義。然后再處理FIN標(biāo)志位，轉(zhuǎn)移到CLOSEWAIT狀態(tài)。值得注意的是，在TCP協(xié)議中，關(guān)于如何處理SYN和FIN同時置位的包并未作出明確的規(guī)定。X向A發(fā)送一個包，其SYN位和FIN位置位，A向X發(fā)送ACK包作為響應(yīng)： X→A：SYN FIN（系列號=M）A→X：ACK（應(yīng)答序號＝M+1）從上面的狀態(tài)轉(zhuǎn)移可以看出，A開始處于監(jiān)聽（LISTEN）狀態(tài)。在前面的例子中，服務(wù)器端口是無法在75秒內(nèi)作出響應(yīng)的。如前所述，TCP維持一個連接建立定時器。主機(jī)B將執(zhí)行這些命令，認(rèn)為他們是由合法主機(jī)A發(fā)來的。為此，X可以等到主機(jī)A因某種原因終止運(yùn)行，或者阻塞主機(jī)A的操作系統(tǒng)協(xié)議部分，使它不能響應(yīng)主機(jī)B。假設(shè)主機(jī)X與A和B不同在一個子網(wǎng)內(nèi)，則不能檢測到B的包，主機(jī)X只有算出B的序列號，才能創(chuàng)建TCP連接。同時，主機(jī)B產(chǎn)生自己發(fā)送包序列號，并將其與應(yīng)答號一起發(fā)送。握手方法是： A→：SYN（序列號=M） B→A：SYN（序列號＝N），ACK（應(yīng)答序號=M+1） A→B：ACK（應(yīng)答序號＝N+1） 主機(jī)X偽造IP地址步驟如下：首先，X冒充A，向主機(jī)B發(fā)送一個帶有隨機(jī)序列號的SYN包。主機(jī)X必須假造A的IP地址，從而使B相信從X發(fā)來的包的確是從A發(fā)來的。X的目標(biāo)就是得到與B相同的權(quán)利。 假設(shè)有兩臺主機(jī)A、B和入侵者控制的主機(jī)X。 網(wǎng)絡(luò)入侵方式 偽造IP地址入侵者使用假IP地址發(fā)送包，利用基于IP地址證實(shí)的應(yīng)用程序。 ④維持連接定時器：其作用是預(yù)測性地檢測連接的另一端是否仍為活動狀態(tài)。 ③TIMEWAIT定時器：當(dāng)連接進(jìn)入TIMEWAIT狀態(tài)時，該定時器被激活。如果在規(guī)定時間內(nèi)該連接沒有收到一個帶有置位FIN的TCP包，則定時器超時，再定時為75秒。如果在75秒內(nèi)沒有收到應(yīng)答，則放棄連接建立。幾類主要的定時器及其功能如下TCP狀態(tài)轉(zhuǎn)移圖控制了一次連接的初始化、建立和終止，該圖由定義的狀態(tài)以及這些狀態(tài)之間的轉(zhuǎn)移弧構(gòu)成。校驗和的單向計算特性意味著其取值無法在傳輸過程中進(jìn)行修改，這也就保證了端到端的數(shù)據(jù)傳輸過程的可信程度。通信發(fā)起方計算校驗和并在發(fā)送之前將其附加到數(shù)據(jù)包中；響應(yīng)方則在收到數(shù)據(jù)包后為其計算校驗和。IPSec數(shù)據(jù)包驗證能夠確保整個IP報頭、下一層協(xié)議（例如TCP、UPD或ICMP）報頭以及數(shù)據(jù)包有效負(fù)載的數(shù)據(jù)完整性。端到端安全性的兩個基本組件——鑒權(quán)和加密都是IPv6協(xié)議的集成組件；而在IPv4中，它們只是附加組件，因此，采用IPv6安全性會更加簡便、一致。 提高網(wǎng)絡(luò)可信度前面的IPv4存在的弊端，很多安全防范技術(shù)被忽略了，它不可避免地被新一代技術(shù)IPv6取代?，F(xiàn)在很多人在編寫CGI程序時，可能對CGI軟件包中的安全漏洞并不了解，而且大多數(shù)情況下不會重新編寫程序的所有部分，只是對其加以適當(dāng)?shù)男薷模@樣很多C
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1