Internet應(yīng)用的安全性分析教材

1、第9章其它Internet應(yīng)用的安全性分析本章學(xué)習(xí)目標(biāo)FTP的安全性Telnet的安全性DNS和NFS的安全性 9.1 文件傳輸服務(wù)FTP的安全性9.2 遠(yuǎn)程登錄服務(wù)Telnet的安全性分析9.3 DNS的安全性分析9.4 NFS的安全性分析9.1 文件傳輸服務(wù)FTP的安全性文件傳輸協(xié)議規(guī)定將文件從一臺(tái)計(jì)算機(jī)傳送到另一臺(tái)計(jì)算機(jī)上，使得用戶能夠在網(wǎng)絡(luò)上方便的傳輸文件的一組規(guī)則的集合。文件傳輸服務(wù)文件傳輸服務(wù) 提供了在網(wǎng)絡(luò)中任意計(jì)算機(jī)之間傳輸文件的能力，使用戶可通過對(duì)遠(yuǎn)程系統(tǒng)上文件的存取實(shí)現(xiàn)共享。文件共享方式：全文復(fù)制聯(lián)機(jī)存取全文復(fù)制（支持協(xié)議：FTP、TFTP） 當(dāng)存取一個(gè)遠(yuǎn)程文件時(shí)，必須先復(fù)制

2、該文件到本地，如要修改，也只能對(duì)本地文件副本修改，修改后的文件傳回原站點(diǎn)。聯(lián)機(jī)存取（支持協(xié)議：NFS）多程序可同時(shí)存取一個(gè)文件。該機(jī)制嵌入到操作系統(tǒng)中，用戶感覺不到本地文件和遠(yuǎn)程文件的差別，實(shí)現(xiàn)透明存取。文件傳輸協(xié)議（FTP）FTP文件傳輸協(xié)議，Internet中最早的協(xié)議之一建立在TCP運(yùn)輸服務(wù)基礎(chǔ)上，按照C/S模式交互式工作可用于傳輸二進(jìn)制文件、圖形文件、音頻文件、視頻文件、打印文件等FTP的訪問類型有名FTP匿名FTPFTP的目標(biāo)促進(jìn)文件（程序或數(shù)據(jù)）的共享支持間接或隱式的使用遠(yuǎn)程計(jì)算機(jī)可靠并有效的傳輸數(shù)據(jù)9.1 文件傳輸服務(wù)FTP的安全性9.1.1 FTP的工作原理9.1.2 FTP的

3、安全漏洞及其防范措施9.1.1 FTP的工作原理FTP的連接模式匿名FTPFTP的連接模式FTP的工作模式為客戶機(jī)/服務(wù)器模式FTP使用兩個(gè)獨(dú)立的TCP連接CS命令通道數(shù)據(jù)通道21號(hào)端口20號(hào)端口FTP支持兩種連接模式主動(dòng)方式 Standard (也就是 Active) Standard模式 ，F(xiàn)TP的客戶端發(fā)送 PORT 命令到FTP的服務(wù)器端 被動(dòng)方式 Passive (也就是PASV)Passive模式，F(xiàn)TP的客戶端發(fā)送 PASV命令到FTP的服務(wù)器端 FTP C分配2個(gè)TCP端口分配第一個(gè)端口作為命令通道端口建立連接C要收數(shù)據(jù)發(fā)送PORT命令S發(fā)送數(shù)據(jù)使用S的20端口C的接收數(shù)據(jù)端口

4、(第二個(gè)端口)建立新連接發(fā)送數(shù)據(jù)S的21端口主動(dòng)方式：FTP服務(wù)器主動(dòng)連接客戶機(jī)FTP C分配2個(gè)TCP端口分配第一個(gè)端口作為命令通道端口建立連接C要收數(shù)據(jù)發(fā)送PASV命令S告知C使用S的XX端口C用接收數(shù)據(jù)端口(第二個(gè)端口)建立S新連接接收數(shù)據(jù)S的21端口被動(dòng)方式：FTP服務(wù)器被動(dòng)等待客戶機(jī)連接匿名FTPAnonymous FTP 為注冊(cè)名密碼：任意字符、郵件地址可能成為不良信息的集散地檢查Anonymous的權(quán)限，不能刪除、改寫文件。確保任何文件所有權(quán)不是Anonymous只能在公共區(qū)讀寫文件，其他目錄禁止。9.1.2 FTP的安全漏洞及防范措施保護(hù)密碼（ProtectingPasswor

5、ds）訪問控制（RestrictedAccess）端口盜用（PortStealing） 保護(hù)用戶名（User names） 私密性（Privacy） 保護(hù)密碼漏洞：FTP服務(wù)器允許無限次輸入密碼“PASS”命令以明文傳送密碼攻擊：在同一連接上直接強(qiáng)力攻擊和服務(wù)器建立多個(gè)、并行的連接進(jìn)行強(qiáng)力攻擊 防范措施：服務(wù)器應(yīng)限制嘗試輸入正確口令的次數(shù)，在幾次嘗試失敗后，服務(wù)器應(yīng)關(guān)閉和客戶的控制連接。服務(wù)器在相應(yīng)無效的“PASS”命令之前應(yīng)暫停幾秒來消減強(qiáng)力攻擊的有效性。服務(wù)器可以限制控制連接的最大數(shù)目，或探查會(huì)話中的可疑行為并在以后拒絕該站點(diǎn)的連接請(qǐng)求。訪問控制漏洞：基于網(wǎng)絡(luò)地址的訪問控制攻擊：攻擊者可控

6、制連接建立在可信任的主機(jī)上防范措施：在建立連接前，雙方需要同時(shí)認(rèn)證遠(yuǎn)端主機(jī)的控制連接、數(shù)據(jù)連接的網(wǎng)絡(luò)地址是否可信。端口盜用漏洞：分配端口號(hào)時(shí)，通常都是按增序分配。攻擊：攻擊者可以通過規(guī)律，根據(jù)當(dāng)前端口分配情況，確定要分配的端口。防范措施：由操作系統(tǒng)無關(guān)的方法隨機(jī)分配端口號(hào)，讓攻擊者無法預(yù)測(cè)。保護(hù)用戶名漏洞：用戶名無效，返回碼530用戶名是有效但需要密碼，返回碼331攻擊：攻擊者可以通過利用USER操作的返回碼確定一個(gè)用戶名是否有效防范措施：不論用戶名是否有效FTP都返回相同的返回碼。私密性 網(wǎng)絡(luò)上被傳送的數(shù)據(jù)和控制信息都未被加密。 為了保障FTP傳輸數(shù)據(jù)的私密性，應(yīng)盡可能使用強(qiáng)壯的加密系統(tǒng)。小

7、型文件傳輸協(xié)議TFTP小型文件傳輸協(xié)議建立在UDP運(yùn)輸服務(wù)基礎(chǔ)上，按照C/S模式交互式工作只能支持最基本的文件傳輸，不支持存取權(quán)限，用戶無需賬號(hào)、口令，但只能存取全局共享文件9.2 Telnet的安全性分析9.2.1 Telnet的工作原理9.2.2 Telnet的安全漏洞9.2.3 Telnet的防范措施9.2.4 常用的安全Telnet軟件9.2.1 Telnet的工作原理當(dāng)你使用Telnet登錄進(jìn)入遠(yuǎn)程計(jì)算機(jī)系統(tǒng)時(shí)，實(shí)際啟動(dòng)了兩個(gè)程序：Telnet客戶端程序該程序運(yùn)行在你的本地機(jī)上Telnet服務(wù)器端程序該程序運(yùn)行在你要登錄的遠(yuǎn)程計(jì)算機(jī)上Telnet客戶端程序本地機(jī)上的客戶端程序要完成如

8、下功能：建立與服務(wù)器的TCP聯(lián)接從鍵盤上接收你輸入的字符把你輸入的字符串轉(zhuǎn)換成標(biāo)準(zhǔn)格式并傳送給遠(yuǎn)程服務(wù)器從遠(yuǎn)程服務(wù)器接收輸出的信息把該信息顯示在你的屏幕上 Telnet服務(wù)器端程序遠(yuǎn)程服務(wù)器等待接收客戶端的請(qǐng)求，遠(yuǎn)程服務(wù)器端程序要完成的功能：通知客戶端計(jì)算機(jī)，遠(yuǎn)程計(jì)算機(jī)已經(jīng)準(zhǔn)備好了等候你輸入命令對(duì)你的命令作出反應(yīng)（如顯示目錄內(nèi)容，或執(zhí)行某個(gè)程序等）把執(zhí)行命令的結(jié)果送回給你的計(jì)算機(jī)重新等候你的命令 9.2.2 Telnet的安全漏洞1Telnet本身的安全漏洞 2入侵Telnet會(huì)話Telnet本身的安全漏洞（1）沒有口令保護(hù)，遠(yuǎn)程用戶的登陸傳送的賬號(hào)和密碼都是明文，使用普通的sniffer（監(jiān)

9、聽工具）都可以被截獲。 （2）沒有強(qiáng)力認(rèn)證過程。只是驗(yàn)證連接者的賬戶和密碼。 （3）沒有完整性檢查。傳送的數(shù)據(jù)沒有辦法知道是否完整的，而不是被篡改過的數(shù)據(jù)。 （4）傳送的數(shù)據(jù)都沒有加密。攻擊者的入侵機(jī)原來的Telnet連接Telnet客戶端被欺騙的Telnet服務(wù)器攻擊者的空數(shù)據(jù)流/空操作命令（a）攻擊者向Telnet客戶端和被欺騙的Telnet服務(wù)器的兩方發(fā)送空數(shù)據(jù)流Telnet客戶端攻擊者的入侵機(jī)被欺騙的Telnet服務(wù)器Telnet連接Telnet連接（b）攻擊者成了Telnet客戶端和被欺騙的Telnet服務(wù)器的中間者攻擊者的空數(shù)據(jù)流/空操作命令圖91 入侵Telnet會(huì)話示意圖入侵T

10、elnet會(huì)話9.2.3 Telnet的防范措施1使用者認(rèn)證 KERBERROSV4/V5、SPX、RSA、 LOKI2數(shù)據(jù)傳送保密 DES、IDEA、RSA9.2.4常用的安全Telnet軟件Stanford University的SRPSRA TelnetStelSSHSPX,SSLtelnet,KerberosS/key,IOIE一次性口令系統(tǒng)Deslogin 9.3 DNS的安全性分析9.3.1 DNS工作原理9.3.2 DNS安全問題9.3.1 DNS工作原理DNS域名系統(tǒng)為了便于記憶引進(jìn)了域名這一概念但是計(jì)算機(jī)是不能識(shí)別這樣的域名的（計(jì)算機(jī)只認(rèn)識(shí)0和1的數(shù)字），于是也就有了DNS服

11、務(wù)器來對(duì)我們輸入的域名進(jìn)行解析，轉(zhuǎn)換成該服務(wù)器的IP地址以達(dá)到訪問的目的。 域名解析過程輸入域名后，客戶機(jī)向設(shè)置的DNS服務(wù)器發(fā)問，以確定其所對(duì)應(yīng)的IP地址DNS服務(wù)器查詢記錄，如果有，立即返回給客戶機(jī)；如果沒有，從此域名的根域到最后一層域，一步一步的采用遞歸方式或迭代方式查出該域名所映射的IP地址。9.3.2 DNS安全問題目前DNS存在以下幾個(gè)安全問題DNS欺騙拒絕服務(wù)攻擊（DoS，Denial of service）偷取服務(wù)（Theft of services） DNS欺騙客戶機(jī)向DNS發(fā)出以特定標(biāo)志的域名查詢數(shù)據(jù)報(bào)攻擊者在真正的DNS返回查詢結(jié)果之前假冒DNS向客戶機(jī)發(fā)送一個(gè)自定義的IP地址控制真正的DNS服務(wù)器，修改服務(wù)器上的DNS記錄 假設(shè)主機(jī)A 使用域名來驗(yàn)證用戶身份 主機(jī)A的IP地址為 欺騙主機(jī)B， IP地址為 假設(shè)主機(jī)A設(shè)定的DNS服務(wù)器主機(jī)C的地址 為：主機(jī)B-主機(jī)A 請(qǐng)求服務(wù)主機(jī)A認(rèn)證主機(jī)B的域名，主機(jī)A-主機(jī)C（dns） 主機(jī)C -其他DNS 其他DNS-主機(jī)C （找主機(jī)B，）主機(jī)C -主機(jī)B 主機(jī)B -主機(jī)C（欺騙信息）主機(jī)C -主機(jī)A （欺騙信息）拒絕服務(wù)利用DNS欺騙，將客戶機(jī)請(qǐng)求的域名映射到一個(gè)根本不存在的IP地址上，從而