計算機網(wǎng)絡安全技術（第7版）全套教學課件

網(wǎng)絡安全的重要性全套可編輯PPT課件共7章，包括計算機網(wǎng)絡安全概述、黑客常用的攻擊方法、計算機病毒、數(shù)據(jù)加密技術、防火墻技術、Windows操作系統(tǒng)安全及Web應用安全沒有網(wǎng)絡安全，就沒有國家安全沒有網(wǎng)絡安全，就沒有社會穩(wěn)定運行沒有網(wǎng)絡安全，就沒有個人信息安全的保障網(wǎng)絡安全的重要性網(wǎng)絡安全關系到“國計民生”163信息泄露—對個人的影響

2013年12月，支付寶大量用戶信息被泄露。信息泄露—對個人的影響2022年6月，萬豪酒店用戶信息被泄露信息泄露—對個人的影響CashApp是由金融服務公司Block推出的一款移動支付應用，幫助用戶發(fā)送、接收和存儲錢款以及購買理財產(chǎn)品等，2022年4月，美國知名投資公司CashAppInvesting的820萬客戶數(shù)據(jù)被泄漏。安全事件對社會的影響2013年4月，美聯(lián)社官方推特賬戶遭到黑客入侵，發(fā)出“白宮發(fā)生兩次爆炸、奧巴馬總統(tǒng)受傷”的消息，令美股猛然下挫。2020年4月歐洲能源巨頭EDP集團遭黑客勒索安全事件對社會的影響重點加強電網(wǎng)設施的安全建設及電力企業(yè)內部的安全防護尤為重要對國家安全層面的影響愛德華·斯諾登，前CIA（美國中央情報局）技術分析員棱鏡計劃是由美國國家安全局自2007年起開始實施的絕密電子監(jiān)聽計劃2013年美國“棱鏡”計劃被

斯諾登曝光斯諾登事件對國家安全層面的影響斯諾登再爆料：美國安局秘密實施“目標挖掘”行動；該計劃在2007年的《保護美國法》和2008年的《外國情報監(jiān)聽法》修正案中得到了授權令。2012年，國家安全局持續(xù)運作棱鏡計劃，直到2017年12月被斯諾登曝光。它名義上是對恐怖分子監(jiān)聽計劃。實際上它竊取多個國家的機密信息。2020年，繼續(xù)暴露出美國借“清潔”之名清潔網(wǎng)絡。網(wǎng)絡系統(tǒng)脆弱性分析網(wǎng)絡系統(tǒng)脆弱性的原因開放的系統(tǒng)協(xié)議本身的脆弱性操作系統(tǒng)的漏洞應用軟件的漏洞人為因素用戶身份和位置真假難辨開放性的網(wǎng)絡環(huán)境在因特網(wǎng)上沒有人知道你是一條狗公開的網(wǎng)絡協(xié)議開放性的網(wǎng)絡環(huán)境針對TCP/IP協(xié)議的攻擊協(xié)議本身的脆弱性層協(xié)議名稱攻擊類型攻擊利用的漏洞網(wǎng)絡層ARPARP欺騙ARP緩存的更新機制IPIP欺騙IP層數(shù)據(jù)包是不需要認證的傳輸層TCPSYNFlood攻擊TCP三次握手機制應用層FTP、SMTP監(jiān)聽明文傳輸操作系統(tǒng)的安全性操作系統(tǒng)程序本身的Bug操作系統(tǒng)的安全配置不到位操作系統(tǒng)的安全性應用軟件的漏洞數(shù)據(jù)庫、中間件、各類應用服務器、應用軟件應用軟件的漏洞AdobePhotoshop在2022年5月公布了存在高危漏洞，攻擊者可通過誘導用戶打開惡意文件實現(xiàn)任意代碼執(zhí)行。2022年1-6月，檢測出存在高危漏洞的移動應用占比變化應用軟件的漏洞網(wǎng)絡安全概念涉及網(wǎng)絡安全的學科信息論通信技術網(wǎng)絡技術計算機科學密碼技術應用數(shù)學數(shù)論信息論法律網(wǎng)絡安全發(fā)展歷程1969年，美國蘭德公司首次公開提到計算機安全問題。七八十年代，由于各類計算機管理系統(tǒng)開始發(fā)展，“計算機安全”開始逐步演化為“信息系統(tǒng)安全”。二十世紀八十年代后期，“網(wǎng)絡安全”和“信息安全”開始被廣泛采用。后來出現(xiàn)了信息安全、網(wǎng)絡安全、信息網(wǎng)絡安全、網(wǎng)絡信息安全等概念。2017年，《網(wǎng)絡安全法》出臺后，“信息安全”調整為“網(wǎng)絡安全”，“信息安全等級保護制度”調整為“網(wǎng)絡安全等級保護制度”。網(wǎng)絡安全概念網(wǎng)絡安全是指網(wǎng)絡系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然的或者惡意的原因，而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行，網(wǎng)絡服務不中斷。網(wǎng)絡：包括網(wǎng)絡設施、信息系統(tǒng)、數(shù)據(jù)資源等。網(wǎng)絡安全的要素保密性（confidentiality）完整性（integrity）可用性（availability）可控性（controllability）不可否認性（Non-repudiation）CIA信息安全金三角保密性（confidentiality）保密性又稱機密性，指保證信息不能被非授權訪問，或者非授權用戶得到信息也無法知曉信息的內容。完整性（integrity）只有得到允許的用戶才能修改實體或者進程，并且能夠判斷實體或者進程是否已被修改可用性（availability）授權用戶根據(jù)需要，可以隨時訪問所需信息。可控性（controllability）控制授權范圍內的信息的流向及行為方式。不可否認性（Non-Repudiation）使用審計、監(jiān)控、防抵賴等安全機制，使攻擊者、破壞者、“逃不脫”網(wǎng)絡安全的目的進不來拿不走改不了跑不了看不懂信息安全發(fā)展歷史信息安全發(fā)展歷史通信保密階段（20世紀40-70年代）計算機安全階段（20世紀70-80年代）信息系統(tǒng)安全階段（20世紀90年代）信息安全保障階段（21世紀）信息安全發(fā)展歷史通信保密階段（20世紀40-70年代）計算機安全階段（20世紀70-80年代）信息系統(tǒng)安全階段（20世紀90年代）信息安全保障階段（21世紀）通信保密階段又稱通信安全時代主要安全威脅：搭線竊聽、密碼學分析重點是通過密碼技術，保證數(shù)據(jù)的保密性與完整性。標志事件：1949年Shannon發(fā)表的《保密通信的信息理論》1977年美國國家標準局公布的數(shù)據(jù)加密標準(DES)1976年Diffie和hellman在提出的公鑰密碼體制計算機安全階段重點：確保計算機系統(tǒng)中硬件、軟件及正在處理、存儲、傳輸信息的保密性、完整性和可用性。主要標志：1983年美國國防部公布的可信計算機系統(tǒng)評估準則（TCSEC）主要保護措施：安全操作系統(tǒng)設計技術（TCB）主要威脅：擴展到非法訪問、惡意代碼、脆弱口令等。信息系統(tǒng)安全階段重點：保護信息系統(tǒng)不被破壞。強調信息的保密性、完整性、可控性、可用性。主要威脅：網(wǎng)絡入侵、病毒破壞、信息對抗的攻擊等。主要保護措施：防火墻、防病毒、漏洞掃描、入侵檢測、PKI、VPN、安全管理等。主要標志：1996年美國《信息技術安全性通用評估準則》，簡稱CC標準。信息安全保障階段重點：保障國家信息基礎設施不被破壞。主要安全威脅：集團、國家的有組織的對信息基礎設施進行攻擊等。主要保護措施：災備技術、建設面向網(wǎng)絡恐怖與網(wǎng)絡犯罪的國際法律秩序與國際聯(lián)動的網(wǎng)絡安全事件的應急響應技術。主要標志是：美國推出的“保護美國計算機空間”（PDD-63）的體系框架國際信息安全標準發(fā)展的聯(lián)系1985年美國國防部TCSEC1991年美國聯(lián)邦政府評價準則FC1996年國際通用準則CC1999年ISO標準154081990年加拿大CTCPEC1990年歐洲ITSEC2001年GB/T18336我國信息安全的發(fā)展歷程1994年公安部頒布“中華人民共和國計算機信息系統(tǒng)安全保護條例”2000年啟動階段，成立網(wǎng)絡與信息安全協(xié)調小組，2001年制定GB183362014年中央網(wǎng)絡安全與信息化領導小組成立，“網(wǎng)絡安全法”被寫入政府工作報告2015年十二屆全國人大常委會審議了《網(wǎng)絡安全法（草案）》我國信息安全的發(fā)展歷程2016年12月27日發(fā)布并實施《國家網(wǎng)絡空間安全戰(zhàn)略》2017年6月1日《網(wǎng)絡安全法》正式生效2019年5月《信息安全技術網(wǎng)絡安全等級保護基本要求》等核心標準正式發(fā)布。等保2.0網(wǎng)絡安全等級保護制度等保1.0等保2.0標志：《中華人民共和國網(wǎng)絡安全法》，《網(wǎng)絡安全法》的出臺將等級保護工作從政府政令上升到國家法律。我國信息安全的發(fā)展歷程2016年12月27日發(fā)布并實施《國家網(wǎng)絡空間安全戰(zhàn)略》2017年6月1日《網(wǎng)絡安全法》正式生效2019年5月《信息安全技術網(wǎng)絡安全等級保護基本要求》等核心標準正式發(fā)布。2020年頒布《中華人民共和國個人信息保護法》網(wǎng)絡安全涉及的內容網(wǎng)絡安全涉及的內容數(shù)學編程語言心理學法律計算機通信信息安全等級保護的內容等保2.0通用要求技術管理擴展要求云計算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)工、物、移、云信息安全等級保護-通用部分物理和環(huán)境安全網(wǎng)絡和通信安全設備和計算安全應用和數(shù)據(jù)安全技術物理安全：免遭地震、水災、火災等環(huán)境事故，以及人為操作失誤、錯誤或者各種計算機犯罪行為導致的破壞。環(huán)境安全：考慮及防范火災、電力供應中斷等，還要考慮環(huán)境的溫度和濕度是否適宜。信息安全等級保護-通用技術部分物理和環(huán)境安全網(wǎng)絡和通信安全設備和計算安全應用和數(shù)據(jù)安全技術信息系統(tǒng)網(wǎng)絡建設以維護用戶網(wǎng)絡活動的保密性、網(wǎng)絡數(shù)據(jù)傳輸?shù)耐暾院蛻孟到y(tǒng)可用性為基本目標。強調對網(wǎng)絡整體的安全保護，包括：通信傳輸、邊界防護、訪問控制、入侵防范、惡意代碼和垃圾郵件防范、安全審計和集中管控。信息安全等級保護-通用技術部分物理和環(huán)境安全網(wǎng)絡和通信安全設備和計算安全應用和數(shù)據(jù)安全技術通常指網(wǎng)絡設備、安全設備和終端設備等節(jié)點設備自身的安全保護能力，一般通過啟用防護軟件的相關安全配置和策略來實現(xiàn)。包括各設備的操作系統(tǒng)本身的安全以及安全管理與配置內容。信息安全等級保護-通用技術部分物理和環(huán)境安全網(wǎng)絡和通信安全設備和計算安全應用和數(shù)據(jù)安全技術指保障應用程序使用過程和結果的安全。包括：1.

數(shù)據(jù)本身的安全，主要是采用密碼算法對數(shù)據(jù)進行主動保護；2.

數(shù)據(jù)存儲的安全，通過數(shù)據(jù)備份、異地容災等手段保證。信息安全等級保護-通用管理部分等保2.0通用要求技術物理和環(huán)境安全網(wǎng)絡和通信安全設備和計算安全應用和數(shù)據(jù)安全管理安全策略和管理制度安全管理機構和人員安全建設管量安全運維管理擴展要求云計算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)三分的技術，七分的管理木桶理論網(wǎng)絡安全不是目標，而是過程沒有絕對的安全安全原則信息安全方面法律法規(guī)信息安全的要求從國家層面：要制定和完善信息安全法律、法規(guī)，宣傳信息安全道德規(guī)范；從公民的層面：要培養(yǎng)自己職業(yè)道德素養(yǎng)，做一個遵紀守法的公民。信息安全法歷史瑞典1973年就頒布了《數(shù)據(jù)法》，世界上首部直接涉及計算機安全問題的法規(guī)。1983年美國公布了可信計算機系統(tǒng)評價準則（TCSEC），簡稱橙皮書。橙皮書為計算機的安全級別進行了分類，分為A、B、C、D級，由高到低。我國信息安全相關的法律、法規(guī)時間名稱1988年中華人民共和國保守國家秘密法（法律）1991年計算機軟件保護條例（法規(guī)）1994年中華人民共和國計算機信息系統(tǒng)安全保護條例（法規(guī)）1997年計算機信息網(wǎng)絡國際聯(lián)網(wǎng)安全保護管理辦法（法規(guī)）1999年計算機信息系統(tǒng)安全保護等級劃分準則（規(guī)范性文件）2004年中華人民共和國電子簽名法（法律）2017年中華人民共和國網(wǎng)絡安全法（法律）2019年網(wǎng)絡安全等級保護制度2.0（規(guī)范性文件）2019年中華人民共和國密碼法（法律）2021年中華人民共和國數(shù)據(jù)安全法（法律）2021年中華人民共和國個人信息保護法（法律）2021年關鍵信息基礎設施安全保護條例（法規(guī)）《中華人民共和國網(wǎng)絡安全法》第一章總則第二章網(wǎng)絡安全支持與促進第三章網(wǎng)絡運行安全第四章網(wǎng)絡信息安全第五章監(jiān)測預警與應急處置第六章法律責任第七章附則我國信息安全相關的法律、法規(guī)法律：在我國專指由全國人民代表大會及其常委會依照立法程序制定，其法律效力僅次于憲法。法規(guī)：法律效力相對低于憲法和法律的規(guī)范性文件，可以由國務院及其所屬政府部門根據(jù)憲法和法律規(guī)定而制定和頒布的行政法規(guī)。2017年6月，《中華人民共和國網(wǎng)絡安全法》正式實施，標志著網(wǎng)絡安全被提升至國家安全戰(zhàn)略的新高度，網(wǎng)絡安全保護成為必須遵守的法則和義務。我國信息安全相關的法律、法規(guī)2017年6月，《中華人民共和國網(wǎng)絡安全法》正式實施，標志著網(wǎng)絡安全被提升至國家安全戰(zhàn)略的新高度，網(wǎng)絡安全保護成為必須遵守的法則和義務。指出：國家支持企業(yè)和高等學校、職業(yè)學校等教育培訓機構開展網(wǎng)絡安全相關教育與培訓，采取多種方式培養(yǎng)網(wǎng)絡安全人才。強調：網(wǎng)絡運營者應當按照《網(wǎng)絡安全等級保護制度》的要求，履行的安全保護義務，建立健全用戶信息保護制度?！吨腥A人民共和國網(wǎng)絡安全法》-舉例第六十條：有下列行為之一的，由有關主管部門責令改正，給予警告；拒不改正或者導致危害網(wǎng)絡安全等后果的，處五萬元以上五十萬元以下罰款，對直接負責的主管人員處一萬元以上十萬元以下罰款：設置惡意程序的；對其產(chǎn)品、服務存在的安全缺陷、漏洞等風險未立即采取補救措施，或者未按照規(guī)定及時告知用戶并向有關主管部門報告的；擅自終止為其產(chǎn)品、服務提供安全維護的。違反本法第三十六條規(guī)定，未經(jīng)主管機關批準向外國司法或者執(zhí)法機構提供數(shù)據(jù)的，由有關主管部門給予警告，可以并處十萬元以上一百萬元以下罰款，對直接負責的主管人員和其他直接責任人員可以處一萬元以上十萬元以下罰款；造成嚴重后果的，處一百萬元以上五百萬元以下罰款，并可以責令暫停相關業(yè)務、停業(yè)整頓、吊銷相關業(yè)務許可證或者吊銷營業(yè)執(zhí)照，對直接負責的主管人員和其他直接責任人員處五萬元以上五十萬元以下罰款?！吨腥A人民共和國網(wǎng)絡安全法》-舉例信息安全的重要性“美國加密技術公司RSA為美國政府在加密算法里安置后門?！薄怪Z登信息安全的重要性密碼是國家重要戰(zhàn)略資源，是保障網(wǎng)絡與信息安全的核心技術和基礎支撐?！吨腥A人民共和國密碼法》規(guī)范密碼應用和管理，促進密碼事業(yè)發(fā)展，保障網(wǎng)絡與信息安全。作為高等院校計算機與信息技術專業(yè)學生學習內容涉及：密碼理論、黑客攻防、訪問控制、等技術層面的內容；目的：保護網(wǎng)絡，不能使用某些工具、技術非法入侵他人的計算機或者企業(yè)的網(wǎng)絡。信息安全領域的職業(yè)道德信息安全領域的職業(yè)道德一、維護國家、社會和公眾信息的安全自覺維護國家信息安全，拒絕并抵制泄露國家機密和破壞國家信息基礎設施的行為；自覺維護網(wǎng)絡社會安全，拒絕并抵制通過計算機網(wǎng)絡謀取非法利益和破壞社會和諧的行為；自覺維護公眾信息的安全，拒絕并抵制通過計算機網(wǎng)絡系統(tǒng)侵犯公眾合法權益和泄露個人隱私信息的行為；作為信息安全從業(yè)人員二、誠實守信，遵紀守法不通過計算機網(wǎng)絡系統(tǒng)進行造謠、欺詐、誹謗、弄虛作假等違反誠信原則的行為；不利用個人的信息安全技術能力實施或組織各種違法犯罪行為；不在公眾網(wǎng)絡傳播反動、暴力、黃色、低俗信息及非法軟件。信息安全領域的職業(yè)道德作為信息安全從業(yè)人員三、努力工作，盡職盡責熱愛信息安全工作崗位；充分認識信息安全專業(yè)工作的責任和使命；為發(fā)現(xiàn)和消除本單位或雇主的信息系統(tǒng)安全風險做出應有的努力和貢獻；幫助和指導信息安全同行提升信息安全保障知識和能力。信息安全領域的職業(yè)道德作為信息安全從業(yè)人員網(wǎng)絡查詢黑客攻防滲透步驟信息收集漏洞利用清除痕跡留下后門內網(wǎng)滲透信息收集第一步踩點掃描查點信息收集網(wǎng)絡踩點的第一步網(wǎng)絡踩點GooglehackingWhois域名IP地址知識點：GooglehackingGooglehacking自動提取網(wǎng)頁的程序網(wǎng)頁蜘蛛、網(wǎng)絡機器人爬蟲協(xié)議網(wǎng)站根目錄下robots.txtUser-agent:GooglebotAllow:/folder1/myfile.htmlDisallow:/folder1/網(wǎng)絡爬蟲Googlehacking對滲透有幫助的信息管理層重要部門人員系統(tǒng)管理人員重要人物個人信息數(shù)據(jù)庫CMS編程語言系統(tǒng)實現(xiàn)細節(jié)目錄結構文件系統(tǒng)內容細節(jié)敏感信息Googlehacking敏感信息舉例標題包含Indexof:暴露網(wǎng)站的內容細節(jié)

網(wǎng)站地址中有data/admin/ver.txt：織夢CMS，暴露過大量漏洞敏感信息Googlehacking敏感信息被爬蟲扒出搜索時大海撈針高級搜索高級搜索GooglehackingInurl:網(wǎng)址中包含指定字符Intitle:網(wǎng)頁標題中包含指定字符

Intext:網(wǎng)頁內容中包含指定字符

Inurl:amin查找管理員入口Inurl:php?查找注入或包含漏洞入口Inurl:viewerframe?mode=motion查找在線攝像頭Intitle:”indexof”查找文件目錄結構Intitle:phpMyAdmin查找PHP數(shù)據(jù)庫管理入口Intitle:管理查找中文網(wǎng)站的管理入口Intext:”poweredbydedecms”查找使用織夢的網(wǎng)站Intext:username&password查找登錄頁面Intext:登錄查找中文網(wǎng)站后臺高級搜索GooglehackingSite:搜索指定的網(wǎng)站Filetype:指定搜索文件類型

Cache:緩存里的內容

與其他關鍵字搭配使用，限定搜索范圍搜素二級域名數(shù)據(jù)庫相關文件mdb、sql備份文件bak包含文件inc文檔文件docx、xlsx查詢指定網(wǎng)頁的緩存（快照）高級搜索GooglehackingShodan：

搜索網(wǎng)絡在線設備ZoomEys：網(wǎng)絡空間節(jié)點搜索其他搜索引擎Googlehacking尋找網(wǎng)站的登錄入口搜索網(wǎng)上泄漏的個人私隱信息搜索織夢CMS的版本號應用舉例知識點：Whois查詢網(wǎng)絡踩點的第二步網(wǎng)絡踩點GooglehackingWhois域名IP地址Whois查詢ICANN域名、IP地址、參數(shù)端口ASORIRAPNIC、ARIN、LACNIC、RIPE、AfriNICCNNICCCNSO支持ccTLDGNSO支持gTLDCNNIC域名及IP地址管理Whois查詢域名WHOIS查詢：注冊人、電話、郵箱、DNS、地址IP地址WHOIS查詢：網(wǎng)段所屬網(wǎng)絡名稱、國家、地區(qū)、管理員WHOIS反查：使用郵箱、電話等反查獲得更多關聯(lián)域名信息WHOIS的概念Whois查詢SamSpade:SuperScan:NetScanToolsPro:WHOIS的方法命令行在線網(wǎng)站查詢工具Whois查詢

WHOIS查詢獲得注冊人電話、郵箱

利用電話、郵箱進行WHOIS反查

獲得關聯(lián)域名信息WHOIS反查Whois查詢在線查詢某域名的聯(lián)系人在線查詢某域名注冊人的聯(lián)系電話在線查詢某域名注冊人的電子郵件在線查詢某域名的域名服務器應用舉例Whois查詢電話反查郵箱反查聯(lián)系人反查WHOIS的方法知識點：域名及子域名查詢GooglehackingWhois域名IP地址網(wǎng)絡踩點的第三步網(wǎng)絡踩點域名及子域名查詢DNSDomainNameSystem域名IP地址8映射域名查詢域名及子域名查詢A記錄，服務器的IP地址（無CDN）CNAME，別名，將其他名字映射到一個域名MX，郵件交換記錄，收件人地址定位郵件服務器NS，指定域名由哪個DNS服務器解析PTR，指針記錄，常用于反向地址解析TXT，文本記錄，域名相關的文本信息域名查詢內容域名及子域名查詢NslookupDigdnsdb.io/zh-cn//dnsDNSenumDNSwalkDNAtracer域名查詢方法命令行在線網(wǎng)站查詢工具域名及子域名查詢Nslookup查詢ns、ptr反查在線網(wǎng)站查詢a記錄、mx記錄應用舉例域名及子域名查詢一級域名二級域名二級域名子域名域名及子域名查詢主站嚴防死守子站防護較弱子域名查詢拿下子站內網(wǎng)滲透子域名查詢作用

http://subdomain.chaxun.la域名及子域名查詢從一個入口遞歸抓取網(wǎng)頁的鏈接并記錄，以此類推zone傳送漏洞，主DNS服務器與備份DNS服務器傳輸數(shù)據(jù)子域名查詢方法搜索引擎在線網(wǎng)站傳遞漏洞域名爆破遞歸爬取關鍵字：sitefiercesubDomainsBrute.pylayer域名及子域名查詢利用搜索引擎進行子域名查詢利用在線網(wǎng)站進行子域名查詢應用舉例知識點：IP地址查詢GooglehackingWhois域名IP地址網(wǎng)絡踩點的第四步網(wǎng)絡踩點IP地址查詢地理位置查詢IP地址查詢IP地址域名1域名2域名n主站難以攻克，子域名又很少，應考慮旁站旁站查詢IP地址查詢

http://www.webscan.cc旁站查詢IP地址查詢192.168.1.10A段B段C段D段C段查詢：IP地址A、B、C段相同其他IP地址信息C段查詢IP地址查詢www.webscan.ccK8_C段C段查詢在線網(wǎng)站查詢工具IP地址查詢利用在線網(wǎng)站進行旁站查詢利用工具進行C段查詢應用舉例口令破解黑客攻防口令認證的優(yōu)缺點20世紀80年代，當計算機開始在商業(yè)公司里廣泛應用時，人們很快就意識到需要保護計算機中的信息。僅僅使用一個userID來標識用戶身份，容易被冒名登錄。基于這一考慮，口令認證要求用戶登錄時不僅要提供userID來標識自己是誰，還要提供只有自己才知道的口令來向系統(tǒng)證明自己的身份?？诹钫J證的歷史口令認證的優(yōu)缺點口令是一種非常常見的身份認證方式基于用戶名口令的身份認證實現(xiàn)簡單廣泛應用于各種系統(tǒng)登陸認證口令認證的優(yōu)點口令認證的優(yōu)缺點單因子的認證，安全性僅依賴于口令；用戶往往選擇容易記憶，也容易被猜測的弱口令；不同安全級別系統(tǒng)，用戶往往采用相同口令，低安全級別系統(tǒng)較容易被攻破，威脅到高安全級別系統(tǒng)；口令認證的缺點口令認證的優(yōu)缺點用戶的口令以文件方式保存在認證方，入侵者容易利用系統(tǒng)漏洞，獲取文件進行離線破解；口令在傳輸過程中容易被截獲；口令認證的缺點口令認證的優(yōu)缺點只能單向認證，系統(tǒng)認證用戶，用戶無法認證系統(tǒng)；口令認證易遭受重放攻擊?？诹钫J證的缺點破解口令的方法常見破解方式字典攻擊暴力破解組合攻擊破解口令的方法字典攻擊字典是根據(jù)人們設置自己賬號口令的習慣總結出來的常用口令列表文件。使用一個或多個字典文件，利用里面的單詞列表進行口令猜測的過程，就是字典攻擊。常見破解方式破解口令的方法暴力破解如果有速度足夠快的計算機能嘗試字母、數(shù)字、特殊字符所有的組合，將最終能破解所有的口令。這種攻擊方式叫做暴力破解。分布式暴力破解常見破解方式破解口令的方法組合攻擊字典攻擊雖然速度快，但是只能破解字典單詞口令；暴力破解能發(fā)現(xiàn)所有口令，但是破解的時間長。組合攻擊是在使用字典單詞的基礎上，在單詞的后面串接幾個字母和數(shù)字進行攻擊的攻擊方式。常見破解方式破解口令的方法常見攻擊方式的比較破解口令的方法社會工程學偷窺口令蠕蟲鍵盤記錄類木馬網(wǎng)絡嗅探重放攻擊其他破解方式撞庫攻擊2014年12月25日上午10：59，烏云網(wǎng)發(fā)布漏洞報告稱，大量12306用戶數(shù)據(jù)在網(wǎng)絡上瘋狂傳播。本次泄露事件被泄露的數(shù)據(jù)達131653條，包括用戶賬號、明文密碼、身份證和郵箱等多種信息，共約14M數(shù)據(jù)。撞庫攻擊大事件撞庫攻擊12306回應：泄露的用戶信息系經(jīng)其他網(wǎng)站渠道流出國內安全機構知道創(chuàng)宇確認12306數(shù)據(jù)泄露事件為“撞庫攻擊”。撞庫攻擊大事件撞庫攻擊2014年，用戶賬號泄露，京東稱遭受撞庫攻擊。2015年，黑客竊取9900萬個淘寶賬戶，阿里稱遭遇撞庫。2016年，百度云遭撞庫攻擊,50萬賬號被盜。撞庫攻擊大事件撞庫攻擊黑客收集互聯(lián)網(wǎng)已泄露的用戶+密碼信息黑客生成對應的字典表利用字典表，嘗試批量登陸其他網(wǎng)站，得到一系列可以登陸的用戶撞庫攻擊定義撞庫攻擊建議：不同的站點設置不同的密碼對抗撞庫撞庫攻擊的防范口令不出現(xiàn)在黑客字典中口令不能被輕易猜解出來破解口令的防范方式避免選取弱口令選擇安全的口令硬盤分區(qū)采用NTFS格式正確設置和管理帳戶禁止不需要的服務關閉不用的端口禁止建立空連接破解口令的防范方式防止口令猜測攻擊密碼長度最小值密碼必須符合復雜性要求強制密碼歷史密碼最長使用期限密碼最短使用期限破解口令的防范方式設置安全策略賬戶鎖定閾值賬戶鎖定時間破解口令的防范方式設置賬戶鎖定策略不要將口令寫下來不要將口令存于電腦文件中不要選取顯而易見的信息作口令不要讓別人知道不要在不同系統(tǒng)上使用同一口令為了防止眼捷手快的人竊取口令，在輸入口令時應當確定無人在身邊定期更換口令，至少6個月要改變一次破解口令的防范方式保護口令的安全習慣嗅探原理黑客攻防什么是嗅探網(wǎng)絡嗅探（NetworkSniffer）是指利用計算機的網(wǎng)絡接口截獲其他計算機的數(shù)據(jù)報文的一種手段。網(wǎng)絡嗅探的基礎是數(shù)據(jù)捕獲,目的是對數(shù)據(jù)進行分析，挑選出重點關注的數(shù)據(jù)。網(wǎng)卡的工作原理網(wǎng)卡的工作模式直接模式廣播模式混雜模式混雜模式PromiscuousMode嗅探的步驟更改網(wǎng)卡工作模式捕獲數(shù)據(jù)包分析數(shù)據(jù)包混雜模式協(xié)議分析軟件人工或智能網(wǎng)絡嗅探的工作環(huán)境1-HUB集線器（Hub）是物理層設備，它從一個接口收到數(shù)據(jù)，會把數(shù)據(jù)位從其他全部接口發(fā)送出去。網(wǎng)絡嗅探的工作環(huán)境2-交換機交換機（switch）是數(shù)據(jù)鏈路層設備，正常情況下，交換機只把轉發(fā)給接收者所在的接口。交換環(huán)境下的網(wǎng)絡嗅探1-端口鏡像如果嗅探者是交換機的管理員，則可以在交換機上配置機端口鏡像，把需要嗅探的接口上的收和發(fā)的流量，鏡像到嗅探器所連接的接口。交換環(huán)境下的網(wǎng)絡嗅探2-結合ARP欺騙在交換機上配置端口鏡像，把需要嗅探的接口上的收和發(fā)的流量，鏡像到嗅探器所連接的接口。嗅探軟件介紹Wireshark（Ethereal）SnifferProIrisEffTechHTTPSniffer……嗅探的防御盡量工作在交換網(wǎng)絡中對傳輸?shù)年P鍵數(shù)據(jù)加密在網(wǎng)絡中布置入侵檢測系統(tǒng)（IDS）wireshack的應用黑客攻防wireshack主頁wireshack的窗口wireshack的捕獲過濾wireshack捕獲過濾的語法Logicale-xpressions（邏輯運算符）:

wireshack的顯示過濾wireshack的案例1ARP欺騙的工作原理黑客攻防ARP協(xié)議AddressResolutionProtocol即地址解析協(xié)議，解析IP地址與MAC地址的對應關系。ARP協(xié)議的基本功能就是:查詢目標設備的MAC地址，完成數(shù)據(jù)封裝。ARP工作原理bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:ccaa:aa:aa:aa:aa:aaWho

hasWho

hasARP

requestARP

replyisataa:aa:aa:aa:aa:aaARPCache在安裝了以太網(wǎng)網(wǎng)絡適配器（既網(wǎng)卡）或TCP/IP協(xié)議的計算機中，都有ARP

Cache用來保存IP地址以及解析的MAC地址。Windows系統(tǒng)默認的ARP緩存表的生存時間是120秒，最大生命期限是10分鐘。ARP緩存的更新bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:ccaa:aa:aa:aa:aa:aa收到ARPreply，我會緩存起來!Internet地址物理地址aa:aa:aa:aa:aa:aaInternet地址物理地址

bb:bb:bb:bb:bb:bb這個ARPrequest和我沒關系這個ARPrequest和我有關系WhohasWhohasARP協(xié)議實現(xiàn)的特點通過ARP緩存保存無需請求可以應答接受ARPrequest單播包ARP欺騙的工作原理基于ARPreply的欺騙bb:bb:bb:bb:bb:bb攻擊對象cc:cc:cc:cc:cc:ccaa:aa:aa:aa:aa:aa收到ARPreply，我會緩存起來!Internet地址物理地址

aa:aa:aa:aa:aaARP欺騙的攻擊者ARP

replyisatcc:cc:cc:cc:cc:ccInternet地址物理地址cc:cc:cc:cc:cc:ccARP欺騙的工作原理基于ARPrequest的欺騙bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:ccaa:aa:aa:aa:aa:aa從ARPrequest里學習Internet地址物理地址aa:aa:aa:aa:aa:aaARP欺騙的攻擊者ARP

requestWhohas

Tellcc:cc:cc:cc:cc:ccInternet地址物理地址cc:cc:cc:cc:cc:ccARP欺騙+中間人攻擊bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:ccaa:aa:aa:aa:aa:aa網(wǎng)關：ARP欺騙的攻擊者Internet上網(wǎng)ARP欺騙+中間人攻擊(單項欺騙)bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:ccaa:aa:aa:aa:aa:aa網(wǎng)關：ARP欺騙+代理InternetInternet地址物理地址cc:cc:cc:cc:cc:cc上網(wǎng)Internet地址物理地址bb:bb:bb:bb:bb:bbARP欺騙+中間人攻擊（雙項欺騙)bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:ccaa:aa:aa:aa:aa:aa網(wǎng)關：ARP欺騙+代理InternetInternet地址物理地址cc:cc:cc:cc:cc:cc上網(wǎng)Internet地址物理地址cc:cc:cc:cc:cc:ccARP欺騙攻擊實例黑客攻防利用SwitchSniffer完成ARP欺騙---實驗拓撲GW：5400:0f:e2:50:4b:a0被攻擊者ARP欺騙的攻擊者PC1:0000:0c:29:e1:b4:aePC2:dc:4a:3e:46:45:0e安裝:SwitchSniffer

wireshark利用SwitchSniffer完成ARP欺騙---實驗拓撲GW：5400:0f:e2:50:4b:a0被攻擊者ARP欺騙的攻擊者PC1:0000:0c:29:e1:b4:aePC2:dc:4a:3e:46:45:0e安裝:SwitchSniffer

wireshark欺騙前PC2的arp緩存SwitchSniffer設置備注：安裝在PC1：00上欺騙后PC2的arp緩存后前ping54Wireshark安裝在00雙向欺騙截獲雙向數(shù)據(jù)包ARP欺騙的防御黑客攻防ARP欺騙的防御MAC的靜態(tài)綁定依靠第三方軟件（ARP防火墻）交換機的DAI技術（DynamicARPInspection）防御方法1---MAC的靜態(tài)綁定在主機的ARP緩存表配置靜態(tài)記錄：C:\>arp-s20-01-e6-b4-55-6c防御方法2---第三方軟件交換機上啟動DAI功能DAI---DynamicARPInspectionDHCPSnooping+DAI防ARP欺騙方案DAI保證接入交換機只傳遞“合法的”的ARP請求和應答信息。木馬黑客攻防木馬特洛伊木馬木馬

木馬（Trojan）是指隱藏在計算機中的一段具有特殊功能的惡意代碼，是一種黑客常用遠程控制的工具，具有隱蔽性、潛伏性、危害性、非授權性等典型的特征。

木馬的概念木馬木馬與病毒相同：破壞性、隱蔽性等區(qū)別：木馬沒有傳染性木馬與遠控相同：工作原理一樣不同：授權性，隱蔽性木馬與后門木馬（trojan）是后門（backdoor）程序的一種。后門可在軟件開發(fā)過程故意產(chǎn)生，也可以使用過程中植入。木馬在軟件使用過程中植入。

木馬與病毒、遠程控制軟件的區(qū)別 木馬

木馬的分類（按照功能）遠程控制信息發(fā)送代理鍵盤記錄破壞利用CPU木馬

木馬的分類（按照工作原理）傳統(tǒng)木馬DLL木馬反彈端口網(wǎng)頁木馬C/S（Client-Server）模式的程序：

Server程序（被控制端）負責打開端口，端口處于監(jiān)聽狀態(tài)。

Client程序（控制端）主動去連接。控制端被控制端端口監(jiān)聽木馬的工作原理

傳統(tǒng)木馬工作原理木馬的工作原理

反彈端口木馬的工作原理反彈端口型木馬是Client程序（控制端）打開端口，處于監(jiān)聽狀態(tài)，

Server程序（被控制端）主動發(fā)起會話去連接。把Client程序（控制端）的信息（IP+端口）在配置木馬時寫入。利用反彈端口原理，躲避防火墻攔截?？刂贫吮豢刂贫硕丝诒O(jiān)聽木馬的工作原理

反彈端口木馬與傳統(tǒng)木馬的區(qū)別傳統(tǒng)木馬反彈端口木馬AB攻擊者主動連接被攻擊者被攻擊者主動連接攻擊者DLL木馬就是把一個實現(xiàn)了木馬功能的代碼。

DLL是編譯好的代碼，與一般程序沒什么大

差別，只是它不能獨立運行，需要可執(zhí)行程

序調用。特點：隱藏性。

因為DLL運行時是直接掛在調用它的程序的

進程里的，并不會另外產(chǎn)生進程。DLL木馬的工作原理DLL木馬的工作原理木馬

木馬的傳播途徑下載掛馬即時通訊工具病毒傳播其他

木馬的工作過程木馬服務器端程序：G-server.exe客戶端程序：G-client.exe進行服務器配置遠程控制如何清除？控制端被控制端Win-7Win-2003端口：7626木馬

冰河木馬實驗

實驗拓撲

反彈端口木馬的實驗

反彈端口木馬的工作原理服務端（被控制端）會主動連接客戶端（控制端）目標了解：反彈端口木馬（灰鴿子）的危害；熟悉：灰鴿子木馬的工作原理；掌握：灰鴿子木馬的配置和操作；內容通過灰鴿子木馬實際攻擊演示操作，掌握灰鴿子木馬的攻擊原理，為防范灰鴿子木馬的學習作準備。木馬

灰鴿子木馬的實驗拓撲控制端被控制端Win-2000Win-2003監(jiān)聽端口：80木馬拒絕服務攻擊的概述拒絕服務攻擊的定義拒絕服務攻擊：DenialofService（DoS），能導致服務器不能正常提供服務的攻擊，都可以稱為DoS攻擊。分布式拒絕服務攻擊：DistributedDenialofService（DDoS）指借助于客戶/服務器模式，將多個計算機聯(lián)合起來作為攻擊平臺，對一個或多個目標發(fā)動DoS攻擊，從而成倍地提高拒絕服務攻擊的威力。拒絕服務攻擊的典型事件2002年10月21日，全球的13臺根域名服務器遭受到了有史以來最嚴重龐大的一次網(wǎng)絡襲擊。2009年5月，暴風影音軟件引起的ddos事件。2022年拒絕服務攻擊的次數(shù)2022年拒絕服務攻擊的峰值DDoS攻擊的對象與工具攻擊對象：節(jié)點設備、終端設備，還可以針對線路。特點：實時性DoS攻擊的分類DoS消耗資源主機資源三層協(xié)議死亡之ping、smurf等四層協(xié)議SYNflood、UDPflood等應用層協(xié)議CC、NTPFlood、DNSFlood等帶寬UDPflood等利用漏洞系統(tǒng)漏洞蠕蟲病毒等管理策略賬戶鎖定拒絕服務攻擊的原理黑客攻防拒絕服務攻擊的定義拒絕服務攻擊：DenialofService（DoS），能導致服務器不能正常提供服務的攻擊，都可以稱為DoS攻擊。分布式拒絕服務攻擊：DistributedDenialofService（DDoS）指借助于客戶/服務器模式，將多個計算機聯(lián)合起來作為攻擊平臺，對一個或多個目標發(fā)動DoS攻擊，從而成倍地提高拒絕服務攻擊的威力。DoS攻擊的分類以消耗目標主機的可用資源為目的（例如：死亡之ping、SYN洪水攻擊、Land攻擊、淚珠攻擊等）以消耗鏈路的有效帶寬為目的（例如：UDP洪水攻擊、Smurf攻擊）死亡之Ping是由于單個包的長度超過了ICMP協(xié)議規(guī)范所規(guī)定的長度，從而導致操作系統(tǒng)崩潰的攻擊。防御：更新操作系統(tǒng)協(xié)議棧。ICMP洪水攻擊向目標主機長時間、連續(xù)、大量的ping包，來減慢主機的響應速度和阻塞目標網(wǎng)絡。防御：對防火墻進行配置，阻斷icmp協(xié)議的ECHO報文。淚珠攻擊的原理淚珠攻擊(TearDrop):利用IP數(shù)據(jù)包分片重組時候，數(shù)據(jù)重疊，操作系統(tǒng)不能恰當處理，而引起的系統(tǒng)性能下降的攻擊行為。防御：更新操作系統(tǒng)協(xié)議棧。淚珠攻擊示意圖數(shù)據(jù)A第一片報文IP頭UDP頭數(shù)據(jù)A第二片報文IP頭UDP頭數(shù)據(jù)B正常分片報文組合后報文IP頭UDP頭數(shù)據(jù)B數(shù)據(jù)A偏移量=1460偏移量=0IP頭UDP頭數(shù)據(jù)AIP頭UDP頭數(shù)據(jù)B淚珠攻擊分片報文IP頭UDP頭數(shù)據(jù)B偏移量=980偏移量=0第一片報文第二片報文組合后報文Smurf攻擊原理被攻擊者攻擊者Ping55Ping55偽造Ping包的源IP：ICMP應答包ICMP請求Smurf攻擊的防御路由器接口不允許ping一個廣播域。比如cisco路由器的接口默認noipdirected-broadcastSYN洪水攻擊的原理黑客攻防TCP三次握手的原理SYN/ACK

SYN客戶端服務器SYN_RECV3SYN_SEND

ACK12ESTABLISHEDESTABLISHEDSYN洪水攻擊的原理....SYN/ACKSYN/ACKSYN/ACKSYNSYNSYN攻擊者目標主機SYNSYN/ACK1nSYN/ACKSYN/ACKSYN/ACKSYN/ACK....等待ACK應答.........不應答不應答重新發(fā)送以windows為例SYN攻擊花費時間（秒）累計花費時間（秒）第一次，失敗33嘗試第1次，失敗69嘗試第2次，失敗1221嘗試第3次，失敗2445嘗試第4次，失敗4893嘗試第5次，失敗96189SYN洪水攻擊案例Land攻擊的原理Land攻擊是一種特別SYN攻擊，把攻擊包的源IP地址和目標IP地址都被設置成被攻擊目標的地址。破解口令的防范方式黑客攻防UDP洪水攻擊向目標系統(tǒng)發(fā)送大量UDP包，造成對方系統(tǒng)資源或者網(wǎng)絡帶寬資源耗盡。UDP泛洪攻擊案例攻擊的現(xiàn)象UDP洪水攻擊的防御流量限制:可以很快將UDP流量限制在一個合理的范圍內。指紋學習:發(fā)生攻擊后學習數(shù)據(jù)包的指紋，并產(chǎn)生相應的阻斷策略。CC攻擊黑客攻防CC攻擊的原理攻擊者借助代理服務器生成指向受害主機的合法請求，實現(xiàn)DDOS。CC=ChallengeCollapsar這種攻擊主要是針對存在ASP、JSP、PHP、CGI等腳本程序，并調用MySQLServer、Oracle等數(shù)據(jù)庫的網(wǎng)站系統(tǒng)而設計的，特征是和服務器建立正常的TCP連接，并不斷的向腳本程序提交查詢、列表等大量耗費數(shù)據(jù)庫資源的調用。CC攻擊現(xiàn)象網(wǎng)站出現(xiàn)serviceunavailable提示CPU占用率很高觀察到大量的ESTABLISHED的連接狀態(tài)；單個IP高達幾十條甚至上百條用戶無法訪問網(wǎng)站頁面或打開過程非常緩慢，軟重啟后短期內恢復正常，幾分鐘后又無法訪問。CC攻擊工具CC攻擊的防御DDOS防火墻流量清洗使用驗證碼拒絕服務攻擊的防御黑客攻防SYN攻擊防范技術SYN攻擊防范加固協(xié)議棧過濾網(wǎng)關超時設置SYN網(wǎng)關SYN代理加固協(xié)議棧Windows可以利用注冊表啟動SYN攻擊保護機制HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters值名稱：SynAttackProtect防火墻的網(wǎng)絡參數(shù)過濾網(wǎng)關—超時設置防火墻設置SYN轉發(fā)超時參數(shù)（狀態(tài)檢測的防火墻可在狀態(tài)表里面設置），該參數(shù)小于服務器的timeout時間。當客戶端發(fā)送完SYN包，服務端發(fā)送確認包后，如果防火墻自身的超時到期時,還未收到客戶端的ACK確認包，則往服務器發(fā)送RST包，以使服務器從隊列中刪去該半連接。過濾網(wǎng)關-SYN網(wǎng)關clientserverSYN防火墻SYNSYN+ACKSYNACKACKDATA過濾網(wǎng)關-SYN代理clientserverSYN防火墻SYNSYN+ACKSYNACKACKDATASYN+ACKSYN代理要求過濾網(wǎng)關自身具有很強的防范SYN攻擊能力。緩沖區(qū)溢出原理【引例】把1升的水注入容量為0.5升的容量中……第一次大規(guī)模的緩沖區(qū)溢出攻擊是發(fā)生在1988年的Morris蠕蟲，它造成了6000多臺機器被癱瘓，利用的攻擊方法之一就是fingerd的緩沖區(qū)溢出。緩沖區(qū)溢出攻擊已經(jīng)占了網(wǎng)絡攻擊的絕大多數(shù)，據(jù)統(tǒng)計，大約80%的安全事件與緩沖區(qū)溢出攻擊有關。緩沖區(qū)溢出事件

根據(jù)CNNVD2020年以來每周的漏洞報告文檔中，緩沖區(qū)溢出漏洞的所占總漏洞數(shù)量的百分比一直高居前五。緩沖區(qū)溢出是最常見的內存錯誤之一，也是攻擊者入侵系統(tǒng)時所用到的最強大、最經(jīng)典的一類漏洞利用方式。利用緩沖區(qū)溢出攻擊，可以導致進程運行失敗、系統(tǒng)宕機、重新啟動等后果。更為嚴重的是，它可被利用來執(zhí)行非授權命令，甚至可以取得系統(tǒng)特權，進而進行各種非法操作。Sudo發(fā)布安全通告，修復了一個類Unix操作系統(tǒng)在命令參數(shù)中轉義反斜杠時存在基于堆的緩沖區(qū)溢出漏洞（CVE-2021-3156），普通用戶可以通過利用此漏洞，而無需進行身份驗證，成功獲取root權限，據(jù)報道這個漏洞已存在十年了，大部分的linux系統(tǒng)都存在這個sudo漏洞。什么是緩沖區(qū)、緩沖區(qū)溢出？從程序的角度，緩沖區(qū)就是應用程序用來保存用戶輸入數(shù)據(jù)、臨時數(shù)據(jù)的內存空間如果用戶輸入的數(shù)據(jù)長度超出了程序為其分配的內存空間，這些數(shù)據(jù)就會覆蓋程序為其它數(shù)據(jù)分配的內存空間，形成所謂的緩沖區(qū)溢出樣例程序1#include"stdafx.h"intmain(intargc,char*argv[]){ charbuffer[8];

printf("Pleaseinputyourname:"); gets(buffer); printf("Yournameis:%s!\n",buffer); return0;}發(fā)生溢出樣例程序2voidfunc(char*input){ charbuffer[16]; strcpy(buffer,input);}上面的strcpy()將直接把input中的內容復制到buffer中。這樣只要input的長度大于16，就會造成buffer的溢出，使程序運行出錯C語言存在像strcpy這樣問題的標準函數(shù)還有strcat()，sprintf()，vsprintf()，gets()，scanf()以及在循環(huán)內的getc()，fgetc()，getchar()等緩沖區(qū)溢出帶來的問題引起程序運行失敗嚴重時可導致系統(tǒng)崩潰可以人為利用緩沖區(qū)溢出來執(zhí)行代碼（shellcode），從而取得對系統(tǒng)的控制權最常見的手段是通過制造緩沖區(qū)溢出使程序運行一個用戶shell，再通過shell執(zhí)行其他命令。如果該shell程序屬于root（或者system）權限的話，攻擊者便可以對系統(tǒng)進行任意操作UESTC程序在內存中的映像……文本（代碼）段數(shù)據(jù)段堆棧段內存低地址內存高地址內存遞增方向初始化數(shù)據(jù)段非初始化數(shù)據(jù)段(BSS)堆(Heap)棧(stack)堆的增長方向棧的增長方向內核數(shù)據(jù)代碼PEB&TEB系統(tǒng)DLL代碼段程序在內存中的映像文本區(qū)域包括代碼(指令)和只讀數(shù)據(jù).該區(qū)域相當于可執(zhí)行文件的文本段。

這個區(qū)域通常被標記為只讀。數(shù)據(jù)區(qū)域包含了已初始化和未初始化的數(shù)據(jù)。

靜態(tài)變量儲存在這個區(qū)域中。堆?？捎糜诮o函數(shù)中使用的局部變量動態(tài)分配空間,給函數(shù)傳遞參數(shù)和函數(shù)返回值也要用到堆棧。堆往高地址增長，而棧往低地址增長。棧是一塊連續(xù)的內存空間先入后出生長方向與內存的生長方向正好相反,從高地址向低地址生長每一個線程有自己的棧，提供一個暫時存放數(shù)據(jù)的區(qū)域使用POP/PUSH指令來對棧進行操作使用ESP寄存器指向棧頂，EBP指向棧幀底棧棧內容函數(shù)的參數(shù)函數(shù)返回地址EBP（棧底指針）的值一些通用寄存器(EDI,ESI…)的值當前正在執(zhí)行的函數(shù)的局部變量CPU里的三個重要寄存器ESP：即棧頂指針，隨著數(shù)據(jù)入棧、出棧而發(fā)生變化EBP：即基地址指針，用于標識棧中一個相對穩(wěn)定的位置。通過EBP可以方便地引用函數(shù)參數(shù)以及局部變量EIP：即指令寄存器，在將某個函數(shù)的棧幀壓入棧中時，其中就包含當前的EIP值，即函數(shù)調用返回后下一個執(zhí)行語句的地址函數(shù)調用過程把參數(shù)壓入棧保存指令寄存器中（EIP）的內容，作為返回地址放入堆棧當前的基址寄存器（EBP）把當前的棧指針(ESP)拷貝到基址寄存器（EBP）

，作為新的基地址為本地變量留出一定空間，把ESP減去適當?shù)臄?shù)值函數(shù)調用中棧的工作過程調用函數(shù)前，壓入棧：上級函數(shù)傳給A函數(shù)的參數(shù)返回地址(EIP)當前的EBP函數(shù)的局部變量調用函數(shù)后恢復EBP恢復EIP局部變量不作處理例子intAFunc(inti,intj){ intm=3;

intn=4; m=i; n=j; …………….. return8;}intmain(){ AFunc(5,6); return0;}語句執(zhí)行前的EBP6當前EBP當前ESPAFunc(5,6)；push6push5call_AFuncaddesp+8語句執(zhí)行前的ESP函數(shù)調用中棧的工作過程5EIP_AFuncpushebpmovebp,espsubesp,0D8pushebxpushesipushediEBPd8hEDIESIEBX3（m=3）4（n=4）main(){語句執(zhí)行前的EBP6當前EBP當前ESPmain(){AFunc(5,6)；call_AFuncaddesp+8語句執(zhí)行前的ESP函數(shù)調用中棧的工作過程5EIP_AFunc{……return8;popedipopesipopebxaddesp,0D8…………..popebpret}EBPd8hEDIESIEBX3（m=3）4（n=4）緩沖區(qū)溢出利用的思路Fun(char*input){ charszBuf[8]={0}; strcpy(szBuf,input); …}input的內容：用Shellcode函數(shù)的地址對EIP的填充6szBuf5EIPEBPEDIESIEBX3（m=3）4（n=4）ShellcodeShellcodeShellcode實際是一段代碼，是發(fā)生緩沖區(qū)溢出后將要執(zhí)行的代碼Shellcode的作用就是實現(xiàn)漏洞利用者想要達到的目的，一般是用來安裝木馬或者提升權限的Shellcode的功能添加administrators或者root組用戶開啟遠程shell下載程序（Trojan或者Rootkit）執(zhí)行緩沖區(qū)溢出原理【引例】把1升的水注入容量為0.5升的容量中……第一次大規(guī)模的緩沖區(qū)溢出攻擊是發(fā)生在1988年的Morris蠕蟲，它造成了6000多臺機器被癱瘓，利用的攻擊方法之一就是fingerd的緩沖區(qū)溢出。根據(jù)CNNVD2020年以來每周的漏洞報告文檔中，緩沖區(qū)溢出漏洞的所占總漏洞數(shù)量的百分比一直高居前五。Windows系統(tǒng)中與緩沖區(qū)溢出相關的病毒：紅色代碼、Slammer、沖擊波、震蕩波、永恒之藍。Sudo發(fā)布安全通告，修復了一個類Unix操作系統(tǒng)在命令參數(shù)中轉義反斜杠時存在基于堆的緩沖區(qū)溢出漏洞（CVE-2021-3156），普通用戶可以通過利用此漏洞，而無需進行身份驗證，成功獲取root權限，據(jù)報道這個漏洞已存在十年了，大部分的linux系統(tǒng)都存在這個sudo漏洞。2022年共披露安全漏洞23900+枚，其中低風險漏洞占比11.13%，中高風險漏洞占比較約53.82%，高危漏洞占比35.05%。什么是緩沖區(qū)、緩沖區(qū)溢出？從程序的角度，緩沖區(qū)就是應用程序用來保存用戶輸入數(shù)據(jù)、臨時數(shù)據(jù)的內存空間。如果用戶輸入的數(shù)據(jù)長度超出了程序為其分配的內存空間，這些數(shù)據(jù)就會覆蓋程序為其它數(shù)據(jù)分配的內存空間，形成所謂的緩沖區(qū)溢出。緩沖區(qū)溢出后果

緩沖區(qū)溢出是最常見的內存錯誤之一，也是攻擊者入侵系統(tǒng)時所用到的最強大、最經(jīng)典的一類漏洞利用方式。利用緩沖區(qū)溢出攻擊，可以導致：進程運行失敗；系統(tǒng)宕機、重新啟動等；它可被利用來執(zhí)行特定的程序；可以取得系統(tǒng)特權，進而進行各種非法操作（提權）。樣例程序1#include"stdafx.h"intmain(intargc,char*argv[]){ charbuffer[8];

printf("Pleaseinputyourname:"); gets(buffer); printf("Yournameis:%s!\n",buffer); return0;}發(fā)生溢出樣例程序2voidfunc(char*input){ charbuffer[16]; strcpy(buffer,input);}上面的strcpy()將直接把input中的內容復制到buffer中。這樣只要input的長度大于16，就會造成buffer的溢出，使程序運行出錯C語言存在像strcpy這樣問題的標準函數(shù)還有strcat()，sprintf()，vsprintf()，gets()，scanf()以及在循環(huán)內的getc()，fgetc()，getchar()等緩沖區(qū)溢出帶來的問題引起程序運行失敗嚴重時可導致系統(tǒng)崩潰可以人為利用緩沖區(qū)溢出來執(zhí)行代碼（shellcode），從而取得對系統(tǒng)的控制權最常見的手段是通過制造緩沖區(qū)溢出使程序運行一個用戶shell，再通過shell執(zhí)行其他命令。如果該shell程序屬于root（或者system）權限的話，攻擊者便可以對系統(tǒng)進行任意操作UESTC程序在內存中的映像……文本（代碼）段數(shù)據(jù)段堆棧段內存低地址內存高地址內存遞增方向初始化數(shù)據(jù)段非初始化數(shù)據(jù)段(BSS)堆(Heap)棧(stack)堆的增長方向棧的增長方向內核數(shù)據(jù)代碼PEB&TEB系統(tǒng)DLL代碼段程序在內存中的映像

代碼段數(shù)據(jù)只讀，可執(zhí)行。在代碼段一切數(shù)據(jù)不允許更改。在代碼段中的數(shù)據(jù)是在編譯時生成的2進制機器代碼，可供CPU執(zhí)行。

數(shù)據(jù)段在程序開始運行的時候被加載?？勺x、寫。存儲已初始化和未初始化的數(shù)據(jù)。（全局變量、靜態(tài)變量）

堆棧段放置程序運行時動態(tài)的局部變量，即局部變量的空間被分配在堆棧里面?？勺x、寫。

堆往高地址增長，而棧往低地址增長。棧棧是一塊連續(xù)的內存空間先入后出生長方向與內存的生長方向正好相反,從高地址向低地址生長每一個線程有自己的棧，提供一個暫時存放數(shù)據(jù)的區(qū)域使用POP/PUSH指令來對棧進行操作使用ESP寄存器指向棧頂，EBP指向棧幀底棧棧內容函數(shù)的參數(shù)函數(shù)返回地址EBP（棧底指針）的值一些通用寄存器(EDI,ESI…)的值當前正在執(zhí)行的函數(shù)的局部變量CPU里的三個重要寄存器ESP：即棧頂指針，隨著數(shù)據(jù)入棧、出棧而發(fā)生變化EBP：即基地址指針，用于標識棧中一個相對穩(wěn)定的位置。通過EBP可以方便地引用函數(shù)參數(shù)以及局部變量EIP：即指令寄存器，在將某個函數(shù)的棧幀壓入棧中時，其中就包含當前的EIP值，即函數(shù)調用返回后下一個執(zhí)行語句的地址函數(shù)調用過程把參數(shù)壓入棧保存指令寄存器中（EIP）的內容，作為返回地址放入堆棧當前的基址寄存器（EBP）把當前的棧指針(ESP)拷貝到基址寄存器（EBP）

，作為新的基地址為本地變量留出一定空間，把ESP減去適當?shù)臄?shù)值函數(shù)調用中棧的工作過程調用函數(shù)前，壓入棧：上級函數(shù)傳給A函數(shù)的參數(shù)返回地址(EIP)當前的EBP函數(shù)的局部變量調用函數(shù)后恢復EBP恢復EIP局部變量不作處理例子intAFunc(inti,intj){ intm=3;

intn=4; m=i; n=j; …………….. return8;}intmain(){ AFunc(5,6); return0;}語句執(zhí)行前的EBP6當前EBP當前ESPAFunc(5,6)；push6push5call_AFuncaddesp+8語句執(zhí)行前的ESP函數(shù)調用中棧的工作過程5EIP_AFuncpushebpmovebp,espsubesp,0D8pushebxpushesipushediEBPd8hEDIESIEBX3（m=3）4（n=4）main(){語句執(zhí)行前的EBP6當前EBP當前ESPmain(){AFunc(5,6)；call_AFuncaddesp+8語句執(zhí)行前的ESP函數(shù)調用中棧的工作過程5EIP_AFunc{……return8;popedipopesipopebxaddesp,0D8…………..popebpret}EBPd8hEDIESIEBX3（m=3）4（n=4）1.早期的C和C++程序語言沒有對數(shù)組讀寫數(shù)據(jù)進行邊界檢查的機制,導致了這一漏洞常常被攻擊者所利用。

例如：標準C程序庫中還存在許多不安全的字符串操作函數(shù)，包括：strcpy()，sprintf()，gets()等等，從而帶來了很多脆弱點，這些脆弱點也便成了緩沖區(qū)溢出漏洞。緩沖區(qū)溢出產(chǎn)生的原因1.C和C++程序語言沒有對數(shù)組讀寫數(shù)據(jù)進行邊界檢查的機制,導致了這一漏洞常常被攻擊者所利用緩沖區(qū)溢出的步驟緩沖區(qū)溢出利用的思路Fun(char*input){ charszBuf[8]={0}; strcpy(szBuf,input); …}input的內容：用Shellcode函數(shù)的地址對EIP的填充6szBuf5EIPEBPEDIESIEBX3（m=3）4（n=4）ShellcodeShellcodeShellcode實際是一段代碼，是發(fā)生緩沖區(qū)溢出后將要執(zhí)行的代碼Shellcode的作用就是實現(xiàn)漏洞利用者想要達到的目的，一般是用來安裝木馬或者提升權限的Shellcode的功能添加administrators或者root組用戶開啟遠程shell下載程序（Trojan或者Rootkit）執(zhí)行強制程序開發(fā)人員書寫正確的、安全的代碼?？梢越柚踩拈_發(fā)工具幫助開發(fā)人員發(fā)現(xiàn)程序中的安全漏洞。通過對數(shù)組的讀寫操作進行邊界檢查來實現(xiàn)緩沖區(qū)的保護。緩沖區(qū)溢出產(chǎn)生的防御微軟的DEP（數(shù)據(jù)執(zhí)行保護）技術通過操作系統(tǒng)設置緩沖區(qū)的堆棧段為不可執(zhí)行，從而阻止攻擊者向其中植入攻擊代碼。

DEP的基本原理就是將數(shù)據(jù)所在內存頁標識為不可執(zhí)行，當程序溢出成功轉入shellcode時，程序會嘗試在數(shù)據(jù)頁面執(zhí)行指令，此時CPU就會拋出異常，而不是去執(zhí)行惡意指令。緩沖區(qū)溢出原理驗證函數(shù)調用的過程#include"stdafx.h"#include"stdio.h"intBFunc(inti,intj){ intm=1; intn=2; m=i; n=j; return7;}intAFunc(inti,intj){ intm=3; intn=4; m=i; n=j; BFunc(3,4); return8;}intmain(){ AFunc(5,6); return0;}驗證函數(shù)調用的過程用VisualStudio2005編譯用ImmunityDebugger進行反編譯Main函數(shù)AFunc函數(shù)緩沖區(qū)溢出樣例程序(VisualC++6.0)#include"stdio.h"#include"string.h“intk;voidfun(constchar*input){ charbuf[8]; inta,b; strcpy(buf,input); a=(int)&input; b=(int)buf; k=a-b; printf("%d\n",a); printf("%d\n",b);}voidshellcode(){ printf("\nOK!success\n");}intmain(intargc,char*argv[]){ printf("Addressoffun=%p\n",fun); printf("Addressofshellcode=%p\n",shellcode); voidshellcode(); intaddr[4]; chars1[]=“hello"; fun(s1); intshellcode_addr=(int)&shellcode; //由于EIP地址是倒著表示的，所以首先把shellcode()函數(shù)的地址分離成字節(jié)

addr[0]=(shellcode_addr<<24)>>24; addr[1]=(shellcode_addr<<16)>>24; addr[2]=(shellcode_addr<<8)>>24; addr[3]=shellcode_addr>>24; chars2[]="aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"; for(intj=0;j<4;j++){ s2[k-j-1]=addr[3-j]; } fun(s2); return0;}緩沖區(qū)溢出樣例程序運行結果1244876:buf[00]1244877:buf[01]1244878:buf[02]1244879:buf[03]1244880:buf[04]1244881:buf[05]1244882:buf[06]1244883:buf[07]1244884:1244885:1244886:1244887:1244888:eip11244889:eip21244890:eip31244891:eip41244892:input11244893:input21244894:input31244895:input4緩沖區(qū)和堆棧情況思路：用shellcode函數(shù)的地址來覆蓋eip1-eip4計算機病毒概述計算機病毒分類計算機病毒概述計算機病毒特征和傳播途徑計算機病毒的防治計算機病毒概述

1994年2月18日，我國正式頒布實施了《中華人民共和國計算機信息系統(tǒng)安全保護條例》，在《條例》第二十八條中明確指出：“計算機病毒，指編制或者在計算機程序中插入的破壞計算機功能或者破壞數(shù)據(jù)，影響計算機使用并且能夠自我復制的一組計算機指令或者程序代碼”。病毒：Virus一、計算機病毒的定義1、計算機病毒的產(chǎn)生的思想基礎和病毒發(fā)展簡介2、實驗室中產(chǎn)生——病毒的祖先（磁芯大戰(zhàn)）3、計算機病毒的出現(xiàn)（1983年）4、我國計算機病毒的出現(xiàn)（1989年）二、計算機病毒的發(fā)展史（1）編制人員出于一種炫耀和顯示自己能力的目的（2）某些軟件作者出于版權保護的目的而編制（3）出于某種報復目的或惡作劇而編寫病毒（4）出于政治、戰(zhàn)爭的需要病毒的產(chǎn)生原因1.DOS引導階段2.DOS可執(zhí)行階段3.伴隨階段4.多形階段5.生成器、變體機階段6.網(wǎng)絡、蠕蟲