常見(jiàn)網(wǎng)絡(luò)攻擊手段

1、NOKIADOCUMENTTYPE3TypeDateHereTypeU nitOrDepartme ntHere TypeYourNameHere網(wǎng)絡(luò)攻擊常用手段介紹通常的網(wǎng)絡(luò)攻擊一般是侵入或破壞網(wǎng)上的服務(wù)器主機(jī)盜取服務(wù)器的敏感數(shù)據(jù)或干 擾破壞服務(wù)器對(duì)外提供的服務(wù)也有直接破壞網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)攻擊這種破壞影響較大會(huì)導(dǎo)致 網(wǎng)絡(luò)服務(wù)異常甚至中斷網(wǎng)絡(luò)攻擊可分為拒絕服務(wù)型DoS攻擊掃描窺探攻擊和畸形報(bào)文攻擊三大類拒絕服務(wù)型DoS, Deny of Service攻擊是使用大量的數(shù)據(jù)包攻擊系統(tǒng)使系統(tǒng)無(wú)法接受正常用戶的請(qǐng)求或者主機(jī)掛起不能提供正常的工作主要DoS攻擊有SYN Flood Fraggle等拒絕服

2、務(wù)攻擊和其他類型的攻擊不大一樣攻擊者并不是去尋找進(jìn)入內(nèi)部網(wǎng)絡(luò)的入口而是去阻 止合法的用戶訪問(wèn)資源或路由器掃描窺探攻擊是利用ping掃射包括ICMF和TCP來(lái)標(biāo)識(shí)網(wǎng)絡(luò)上存活著的系統(tǒng)從而準(zhǔn)確的 指出潛在的目標(biāo)利用TCP和UCP端 口掃描就能檢測(cè)出操作系統(tǒng)和監(jiān)聽著的潛在服務(wù)攻擊者通 過(guò)掃描窺探就能大致了解目標(biāo)系統(tǒng)提供的服務(wù)種類和潛在的安全漏洞為進(jìn)一步侵入系統(tǒng)做好準(zhǔn) 備畸形報(bào)文攻擊是通過(guò)向目標(biāo)系統(tǒng)發(fā)送有缺陷的IP報(bào)文使得目標(biāo)系統(tǒng)在處理這樣的IP包時(shí)會(huì)出現(xiàn)崩潰給目標(biāo)系統(tǒng)帶來(lái)?yè)p失主要的畸形報(bào)文攻擊有Ping of Death Teardrop 等DoS攻 擊IP地址驗(yàn)證的應(yīng)用 root權(quán)限來(lái)訪問(wèn)即使IP

3、Spoofi ng 攻擊1. IP Spoofi ng 攻擊為了獲得訪問(wèn)權(quán)入侵者生成一個(gè)帶有偽造源地址的報(bào)文對(duì)于使用基于 來(lái)說(shuō)此攻擊方法可以導(dǎo)致未被授權(quán)的用戶可以訪問(wèn)目的系統(tǒng)甚至是以 響應(yīng)報(bào)文不能達(dá)到攻擊者同樣也會(huì)造成對(duì)被攻擊對(duì)象的破壞這就造成2. La nd攻擊所謂Land攻擊就是把TCP SYN包的源地址和目標(biāo)地址都設(shè)置成某一個(gè)受害者的IP地址這將導(dǎo)致受害者向它自己的地址發(fā)送SYN-AC消息結(jié)果這個(gè)地址又發(fā)回 ACK肖息并創(chuàng)建一個(gè)空連接每一個(gè)這樣的連接都將保留直到超時(shí)掉各種受害者對(duì)Land攻擊反應(yīng)不同許多UNIX主機(jī)將崩潰N住機(jī)會(huì)變的極其緩慢3. smurf 攻擊簡(jiǎn)單的Smurf攻擊用來(lái)攻

4、擊一個(gè)網(wǎng)絡(luò)方法是發(fā)ICMP應(yīng)答請(qǐng)求該請(qǐng)求包的目標(biāo)地址設(shè)置為受害網(wǎng)絡(luò)的廣播地址這樣該網(wǎng)絡(luò)的所有主機(jī)都對(duì)此ICMP應(yīng)答請(qǐng)求作出答復(fù)導(dǎo)致網(wǎng)絡(luò)阻塞這比ping大包的流量高出一或兩個(gè)數(shù)量級(jí)高級(jí)的Smurf攻擊主要用來(lái)攻擊目標(biāo)主機(jī)方法是將上述ICMP應(yīng)答請(qǐng)求包的源地址改為受害主機(jī)的地址最終導(dǎo)致受害主機(jī)雪崩攻擊報(bào)文的發(fā)送需要 一定的流量和持續(xù)時(shí)間才能真正構(gòu)成攻擊理論上講網(wǎng)絡(luò)的主機(jī)越多攻擊的效果越明顯4. Fraggle 攻擊Fraggle 類似于Smurf攻擊只是使用UD應(yīng)答消息而非ICMP UDP端口 7 ECHO和端口 19Chargen在收到UD報(bào)文后都會(huì)產(chǎn)生回應(yīng)在 UDP勺7號(hào)端口收到報(bào)文后會(huì)回應(yīng)收

5、到的內(nèi) 容而UDP勺19號(hào)端口在收到報(bào)文后會(huì)產(chǎn)生一串字符流它們都同ICMP-樣會(huì)產(chǎn)生大量無(wú)用的應(yīng)答報(bào)文占滿網(wǎng)絡(luò)帶寬攻擊者可以向子網(wǎng)廣播地址發(fā)送源地址為受害網(wǎng)絡(luò)或受害主機(jī)的UDP包端口號(hào)用7或19子網(wǎng)絡(luò)啟用了此功能的每個(gè)系統(tǒng)都會(huì)向受害者的主機(jī)作出響應(yīng)從而引發(fā)大量的包導(dǎo)致受害網(wǎng)絡(luò)的阻塞或受害主機(jī)的崩潰子網(wǎng)上沒(méi)有啟動(dòng)這些功能的系統(tǒng)將產(chǎn)生一個(gè)ICMP不可達(dá)消息因而仍然消耗帶寬也可將源端口改為 Chargen目的端口為ECHO這樣會(huì)自動(dòng)不停地產(chǎn)生回應(yīng)報(bào)文其危害性更大5. WinNuke 攻擊WinNuke攻擊通常向裝有 Windows系統(tǒng)的特定目標(biāo)的 NetBIOS端口 139發(fā)送OOB out-ofb

6、and數(shù)據(jù)包引起一個(gè)NetBIOS片斷重疊致使已與其他主機(jī)建立連接的目標(biāo)主機(jī)崩潰還有一種是IGMP分片報(bào)文一般情況下IGMP報(bào)文是不會(huì)分片的所以不少系統(tǒng)對(duì)IGMP分片報(bào)文的處理有問(wèn)題如果收到IGMP分片報(bào)文則基本可判定受到了攻擊6. SYN Flood 攻擊 由于資源的限制TCP/IP棧的實(shí)現(xiàn)只能允許有限個(gè) TCP!接而SYN Flood攻擊正是利用這一TypeU nitOrDepartme ntHere TypeYourNameHereTypeDateHere點(diǎn)它偽造一個(gè)SYt報(bào)艮文其源地址是偽造的或者一個(gè)不存在的地址向服務(wù)器發(fā)起連接服務(wù) 器在收到報(bào)文后用SYN-AC應(yīng)答而此應(yīng)答發(fā)出去后不會(huì)

7、收到ACKS文造成一個(gè)半連接如果攻擊者發(fā)送大量這樣的報(bào)文會(huì)在被攻擊主機(jī)上出現(xiàn)大量的半連接消耗盡其資源使正常的用 戶無(wú)法訪問(wèn)直到半連接超時(shí)在一些創(chuàng)建連接不受限制的實(shí)現(xiàn)里SYN Flood具有類似的影響它會(huì)消耗掉系統(tǒng)的內(nèi)存等資源7. ICMP Flood 攻擊短時(shí)間內(nèi)用大量的ICMF消息（如pi ng）向特定目標(biāo)不斷請(qǐng)求回應(yīng)致使目標(biāo)系統(tǒng)負(fù)擔(dān)過(guò)重而不 能處理合法的傳輸任務(wù)8. UDP Flood 攻擊短時(shí)間內(nèi)向特定目標(biāo)發(fā)送大量的UDP艮文致使目標(biāo)系統(tǒng)負(fù)擔(dān)過(guò)重而不能處理合法的連接9. ICMP重定向報(bào)文網(wǎng)絡(luò)設(shè)備向同一個(gè)子網(wǎng)的主機(jī)發(fā)送ICMP重定向報(bào)文請(qǐng)求主機(jī)改變路由一般情況下設(shè)備僅向主機(jī)而不向其它設(shè)備

8、發(fā)送ICMP!定向報(bào)文但一些惡意的攻擊可能跨越網(wǎng)段向另外一個(gè)網(wǎng)絡(luò)的主機(jī)發(fā)送虛假的重定向報(bào)文以期改變主機(jī)的路由表干擾主機(jī)正常的IP報(bào)文轉(zhuǎn)發(fā)10. ICMP不可達(dá)報(bào)文不同的系統(tǒng)對(duì)ICMP不可達(dá)報(bào)文類型為3的處理不同有的系統(tǒng)在收到網(wǎng)絡(luò)代碼為 0或 主機(jī)代碼為1不可達(dá)的ICMP報(bào)文后對(duì)于后續(xù)發(fā)往此目的地的報(bào)文直接認(rèn)為不可達(dá)好像切斷 了目的地與主機(jī)的連接造成攻擊二掃描窺探1. 地址掃描運(yùn)用ping這樣的程序探測(cè)目標(biāo)地址對(duì)此作出響應(yīng)的表示其存在用來(lái)確定哪些目標(biāo)系統(tǒng)確 實(shí)存活著并且連接在目標(biāo)網(wǎng)絡(luò)上也有可能使用TCP/UDP艮文對(duì)一定地址發(fā)起連接如 TCPping判斷是否有應(yīng)答報(bào)文2. 端口掃描Port Sc

9、an攻擊通常使用一些軟件向大范圍的主機(jī)的一系列TCP/UDP端口發(fā)起連接根據(jù)應(yīng)答報(bào)文判斷主機(jī)是否使用這些端口提供服務(wù)3. IP源站選路在IP路由技術(shù)中一個(gè)IP報(bào)文的傳遞路徑是由網(wǎng)絡(luò)中的路由器根據(jù)報(bào)文的目的地址來(lái)決定 的但也提供了一種由報(bào)文的發(fā)送方?jīng)Q定報(bào)文傳遞路徑的方法這就是源站選路選項(xiàng)它的含義 是允許源站明確指定一條到目的地的路由覆蓋掉中間路由器的路由選擇源站選路選項(xiàng)通常用 于網(wǎng)絡(luò)路徑的故障診斷和某種特殊業(yè)務(wù)的臨時(shí)傳送因?yàn)镮P源站選路選項(xiàng)忽略了報(bào)文傳輸路徑中的各個(gè)設(shè)備的中間轉(zhuǎn)發(fā)過(guò)程而不管轉(zhuǎn)發(fā)接口的工作狀態(tài)可能被惡意攻擊者利用刺探網(wǎng)絡(luò)結(jié) 構(gòu)4. IP路由記錄選項(xiàng)同IP源站選路功能類似在IP路由技

10、術(shù)中還提供了路由記錄選項(xiàng)它的含義記錄IP報(bào)文從源到目的過(guò)程中所經(jīng)過(guò)的路徑也就是一個(gè)處理過(guò)此報(bào)文的路由器的列表IP路由記錄選項(xiàng)通常用于網(wǎng)絡(luò)路徑的故障診斷但也會(huì)被惡意攻擊者利用刺探網(wǎng)絡(luò)結(jié)構(gòu)5. Tracert 報(bào)文Tracert是利用TTL為0時(shí)返回的ICMP超時(shí)報(bào)文和達(dá)到目的地時(shí)返回的ICMP端口不可達(dá)報(bào)文來(lái)發(fā)現(xiàn)報(bào)文到達(dá)目的地所經(jīng)過(guò)的路徑它可以窺探網(wǎng)絡(luò)的結(jié)構(gòu)三畸形報(bào)文攻擊1. 畸形TCP艮文TCF報(bào)報(bào)文包含6個(gè)標(biāo)志位URG ACK PSH RST SYN FIN不同的系統(tǒng)對(duì)這些標(biāo)志位組合的 應(yīng)答是不同的6個(gè)標(biāo)志全部為1也就是圣誕樹攻擊TypeDateHereTypeU nitOrDepartme

11、 ntHere TypeYourNameHere6個(gè)標(biāo)志全部為0如果端口是關(guān)閉的會(huì)使接收方應(yīng)答一個(gè) RST | ACK消息而對(duì)于一個(gè)開放 端口 Linux和UNIX機(jī)器不會(huì)應(yīng)答而 Windows機(jī)器將回答RST | ACK消息這可用于操作系統(tǒng)探 測(cè)不管端口是打開還是關(guān)閉 ACKf除RST外的其它任何一個(gè)狀態(tài)位組合在一起都會(huì)引起一個(gè) 還沒(méi)有發(fā)送請(qǐng)求的接收方的一個(gè)RST應(yīng)答這可用于探測(cè)主機(jī)的存在不管端口是打開還是關(guān)閉 SYN | FIN | URG 會(huì)讓接收方發(fā)送一個(gè) RST | ACK應(yīng)答這可用 于探測(cè)主機(jī)的存在如果端口是關(guān)閉的 SYN SYN | FIN SYN | PUSH SYN | FI

12、N | PUSH SYN|URG SYN |URG | PUSH SYN | FIN | URG | PUSH會(huì)使接收方應(yīng)答一個(gè) RST | ACK消息如果端口是打開的會(huì)使接收方應(yīng)答一個(gè) SYN | ACK消息這可用于主機(jī)探測(cè)和端口探測(cè)如果端口是關(guān)閉的 FIN URG PUSH URG|FIN URG|PUSH FIN|PUSH URG|FIN|PUSH會(huì)使接收方應(yīng)答一個(gè) RST | ACK消息而對(duì)于一個(gè)開放端口Linux和UNIX機(jī)器不會(huì)應(yīng)答而Windows機(jī)器將回答RST | ACK消息這可用于操作系統(tǒng)探測(cè)2. Pi ng of Death 攻擊IP報(bào)文的長(zhǎng)度字段為16位這表明一個(gè)IP報(bào)文

13、的最大長(zhǎng)度為65535對(duì)于ICMP ECHO Request 報(bào)文如果數(shù)據(jù)長(zhǎng)度大于 65508就會(huì)使ICMP數(shù)據(jù)IP頭長(zhǎng)度（20） ICMP頭長(zhǎng)度8 > 65535 對(duì) 于有些路由器或系統(tǒng)在接收到一個(gè)這樣的報(bào)文后由于處理不當(dāng)會(huì)造成系統(tǒng)崩潰死機(jī)或重啟 所謂Ping of Death就是利用一些尺寸超大的ICMF報(bào)文對(duì)系統(tǒng)進(jìn)行的一種攻擊3. Tear Drop 攻擊Teardrop攻擊利用那些在TCP/IP堆棧實(shí)現(xiàn)中信任IP碎片中的報(bào)文頭所包含的信息來(lái)實(shí)現(xiàn)自己 的攻擊IP報(bào)文中通過(guò)MF位Offset字段Length字段指示該分段所包含的是原包的哪一段的信 息某些TCP/IP在收到含有重疊偏移的偽造分段時(shí)將崩潰4. 畸形IP分片報(bào)文IP報(bào)文中有幾個(gè)字段與分片有關(guān)DF位 MF位 Fragme nt Offset Le