第8章网络威胁与攻击分析new 信息安全

1

第8章网络威胁与攻 击分析

2

8.1

认识黑客(Hacker)

– 8.1.1 Hacker起源 – 8.1.2 黑客守则 – 8.1.3 网络攻击三部曲

8.2– – – – – 8.2.1 8.2.2 8.2.3 8.2.4 8.2.5

网络攻击概览口令攻击 服务拒绝攻击 利用型攻击 信息收集型攻击 假消息攻击

3

8.1.1 Hacker起源 起源

8.1认识黑客(Hacker) 8.1认识黑客(Hacker) 认识黑客

飞客“phreak”–早期攻击电话网的青少年，研究各种盗 打电话而不用付费的技术。 黑客(Hack):通常是指试图通过网络闯入其他人的计 算机中，并试图进行操作行为的人。(cut roughly or clumsily, chop--砍辟，砍伐工，person paid to do hard and uninteresting work as a writer--引伸义 干了一件漂亮的事；Hacker differs from Cracker) 黑客“Hacker”:一个给予喜欢发现和解决技术挑战、攻 击计算机网络系统的精通计算机技能的人的称号，与闯 入计算机网络系统目的在于破坏和偷窃信息的骇客不同。 骇客“Cracker”:一个闯入计算机系统和网络试图破坏 和偷窃个人信息的个体，与没有兴趣做破坏只是对技术 上的挑战感兴趣的黑客相对应。

4

8.1.2黑客守则 8.1.2黑客守则 1) 不恶意破坏系统 2) 不修改系统文档 3) 不在bbs上谈论入侵事项 4) 不把要侵入的站点告诉不信任的朋友 5) 在post文章时不用真名 6) 入侵时不随意离开用户主机 7) 不入侵政府机关系统 8) 不在电话中谈入侵事项 9) 将笔记保管好 10) 要成功就要实践 11) 不删除或涂改已入侵主机的帐号 12) 不与朋友分享已破解的帐号

5

踩点->扫描 攻击 踩点 扫描->攻击 扫描 踩点信息收集① ② ③ ④ ⑤ 实用程序 ⑥ Ping实用程序

简单网络管理协议(SNMP)允许你从网络 主机上查询相关的数据。例如，你可以收集 TCP/IP方面的信息，还有在路由器、工作站 和其它网络组件上运行的服务情况。SNMP 由网络管理系统(NMS)和代理Agent组成。 Whois〔类似于finger〕是一种internet的目 NMS通常安装在一台工作站上，再将代理安 录服务，whois 提供了在Internet上一台主机 装在任何需要接受管理和配置的主机上。 或某个域的所有者的信息，如管理员的姓名、 通信地址、电话号码和Email地址等信息， Finger服务使你可以获取远程服务器上的用户 SNMP协议 这些信息是在官方网站whois server上注册 协议 信息。使用Finger,你可以得到： 的，如保存在InterNIC的数据库内。Whois 用户名，服务器名，E-mail账号，用户当前是 Traceroute 用于路由追踪，如判断从你的主 TraceRoute程序 程序 命令通常是安全审计人员了解网络情况的开 否在线，用户登录时间， 机到目标主机经过哪些路由器、跳计数、

响 始。一旦你得到了Whois记录，从查询的结 应时间如何、是否有路由器当掉等。大多数 Whois协议 果还可得知primary和secondary域名服务器 协议 Ping一个公司的Web服务器可帮助你获得该 操作系统，包括UNIX,Novell和Windows 公司所使用的IP地址范围。一旦你得知了 的信息。 NT,若配置了TCP/IP协议的话都会有自己版 DNS服务器 服务器 HTTP服务器的IP地址，你可以使用Ping扫描 本的traceroute程序。 , 工具Ping该子网的所有IP地址，这可以帮助 Finger协议 协议 你得到该网络的地址图。,

8.1.3网络攻击三部曲 8.1.3网络攻击三部曲

6

扫描漏洞侦测① ② 使用自制工具 SATAN是为UNIX设计的，它主要是用C 使用专用工具SATAN等 和Perl语言编写的。SATAN用于扫描远程主机的许多已知 的漏洞，可写的FTP目录，Sendmail

7

攻击① ② ③ ④ 建立帐户 安装远程控制器 发现信任关系全面攻击 获取特权

8

8.1

认识黑客(Hacker)

– 8.1.1 Hacker起源 – 8.1.2 黑客守则 – 8.1.3 网络攻击三部曲

8.2– – – – – 8.2.1 8.2.2 8.2.3 8.2.4 8.2.5

网络攻击概览口令攻击 服务拒绝攻击 利用型攻击 信息收集型攻击 假消息攻击

9

8.2网络攻击概览 8.2网络攻击概览按照攻击的性质及其手段，可将通常 的网络攻击分为以下五大类型① ② ③ ④ ⑤ 口令攻击 拒绝服务攻击(也叫业务否决攻击) 利用型攻击 信息收集型攻击 假消息攻击

10

8.2.1口令攻击 8.2.1口令攻击 通过猜测或获取口令文件等方式，获得系 统认证口令，从而进入系统。 危险口令类型：– – – – – – 用户名 用户名变形 生日 常用英文单词 6位以下长度的口令 无口令默认口令

11

8.2.2服务拒绝攻击 8.2.2服务拒绝攻击 拒绝服务攻击：通过使计算机功能或性能崩溃， 来阻止提供服务。是常见实施的攻击行为。主 要包括：① ② ③ ④ ⑤ ⑥ ⑦ ⑧ ⑨ 死ping(ping of death) 泪滴teardrop UDP 洪流(UDP flood UDP flood) SYN 洪水(SYN flood) Land 攻击 Smurf 攻击 Fraggle 攻击 电子邮件炸弹 畸形消息攻击

12

①

死ping(ping of death) ping( death)

概览：在早期版本中，许多操作系统对网络数据包的最大 尺寸有限制。对TCP/IP栈的实现，在ICMP包上规定为 64KB,在读取包的报头后，要根据该报头里包含的信息， 来为有效载荷生成缓冲区。当发送ping请求的数据包声称 自己的尺寸超过ICMP上限，也就是加载的尺寸超过64K 上限时，就会使ping请求接收方出现内存分配错误，导致 TCP/IP堆栈崩溃，致使接受方当机。 防御：现在所有的标准TCP/IP实现，都已实现对付超大 尺寸的包，并且，大多数防火墙能够自动过滤这些攻击， 包括从windows98之后

的windows NT(service pack 3 之后)、linux 、Solaris 和Mac OS都具有抵抗一般ping of death攻击的能力，此外，对防火墙进行配置，阻断 ICMP以及任何未知协议都将防止此类攻击。

13

②

泪滴teardrop 泪滴teardrop

概览：泪滴攻击利用那些在TCP/IP堆栈实现中 信任IP碎片中的包的标题头所包含的信息来实 现攻击。IP分段含有指示该分段所包含的是原 包的哪一段的信息，某些TCP/IP(包括 service pack 4以前的NT)在收到含有重叠偏 4 NT 移的伪造分段时，将崩溃。 防御：服务器应用最新的服务包，或者在设置 防火墙时，对分段进行重组，而不是转发它们。

14

③

UDP 洪流(UDP flood) 洪流(UDP flood)

概览：利用简单的TCP/IP服务，建立大流量数 据流，如Char gen和Echo来传送无用的占满 带宽的数据，通过伪造与某一主机的Char gen 服务之间的一次UDP连接，回复地址指向提供 Echo Echo服务的一台主机，这样就生成在两台主机 之间的足够多的无用数据流，过多的数据流就 会导致带宽耗尽。 防御：关掉不必要的TCP/IP服务或者对防火墙 进行配置，阻断来自Internet的请求这些服务 的UDP请求。

15

④

SYN 洪水(SYN flood) 洪水(SYN flood)

概览：一些TCP/IP栈的实现只能等待从有限数 量的计算机发来的ACK消息，因为它们只有有 限的内存缓冲区用于创建连接。如果这一缓冲 区充满了虚假连接的初始信息，该服务器就会 对接下来的连接，停止响应，直到缓冲区里的 连接企图超时。在一些创建连接不受限制的实 现里，SYN与洪流具有类似的影响。 防御：在防火墙上过滤来自同一主机的后续连 接。SYN洪水威胁很大，由于释放洪流的主机 并不寻求响应，所以，无法从一个简单高容 …… 此处隐藏：2298字，全部文档内容请下载后查看。喜欢就下载吧 ……