個(gè)人網(wǎng)絡(luò)安全防衛(wèi)手冊(cè)(摘自瑞星社區(qū)論壇

1、個(gè)人網(wǎng)絡(luò)安全防衛(wèi)手冊(cè)(摘自瑞星社區(qū)論壇）網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，隨之而來的不僅僅是愜意與便利，資料的使用、數(shù)據(jù)的安全更是讓我們憂心仲仲，網(wǎng)絡(luò)安全事件層出不窮。毫不夸張地說，無論是企業(yè)用戶，還是個(gè)人用戶，只是你上網(wǎng)，就身處危險(xiǎn)之中！如何將這種危險(xiǎn)降到最低點(diǎn)？本文試著將各種攻擊伎倆列出，并給出詳細(xì)的解決方案，希望能給你營造出一個(gè)安全的網(wǎng)絡(luò)環(huán)境。一、網(wǎng)絡(luò)攻擊概覽1.服務(wù)拒絕攻擊服務(wù)拒絕攻擊企圖通過使你的服務(wù)計(jì)算機(jī)崩潰或把它壓跨來阻止你提供服務(wù)，服務(wù)拒絕攻擊是最容易實(shí)施的攻擊行為，主要包括：（1）死亡之ping （ ping of death ）：由于在網(wǎng)絡(luò)技術(shù)形成早期，路由器對(duì)數(shù)據(jù)包的最大尺寸都有限制，

2、許多操作系統(tǒng)對(duì)TCP/IP 棧的實(shí)現(xiàn)在ICMP 包上都是規(guī)定 64KB ，并且在對(duì)包的標(biāo)題頭進(jìn)行讀取之后，要根據(jù)該標(biāo)題頭里包含的信息來為有效載荷生成緩沖區(qū)，當(dāng)產(chǎn)生畸形的，聲稱自己的尺寸超過ICMP上限的包也就是加載的尺寸超過64K 上限時(shí)，就會(huì)出現(xiàn)內(nèi)存分配錯(cuò)誤，導(dǎo)致TCP/IP 堆棧崩潰，致使接受方死機(jī)。（2）淚滴（ teardrop）：淚滴攻擊利用那些在TCP/IP 堆棧實(shí)現(xiàn)中信任IP 碎片中的包的標(biāo)題頭所包含的信息來實(shí)現(xiàn)攻擊。IP 分段含有指示該分段所包含的是原包的哪一段的信息，某些TCP/IP （包括 Service pack 4 以前的 NT ）在收到含有重疊偏移的偽造分段時(shí)將崩潰。（

3、3） UDP 洪水（ UDP flood ）：各種各樣的假冒攻擊利用簡(jiǎn)單的TCP/IP 服務(wù)，如Chargen 和 Echo 來傳送毫無用處的占滿帶寬的數(shù)據(jù)。通過偽造與某一主機(jī)的 Chargen 服務(wù)之間的一次的UDP 連接，回復(fù)地址指向開著Echo 服務(wù)的一臺(tái)主機(jī)， 這樣就生成在兩臺(tái)主機(jī)之間的足夠多的無用數(shù)據(jù)流，如果足夠多的數(shù)據(jù)流就會(huì)導(dǎo)致帶寬的服務(wù)攻擊。（4）SYN 洪水（ SYN flood ）：一些 TCP/IP 棧的實(shí)現(xiàn)只能等待從有限數(shù)量的計(jì)算機(jī)發(fā)來的ACK 消息，因?yàn)樗麄冎挥杏邢薜膬?nèi)存緩沖區(qū)用于創(chuàng)建連接，如果這一緩沖區(qū)充滿了虛假連接的初始信息，該服務(wù)器就會(huì)對(duì)接下來的連接停止響應(yīng)，直到

4、緩沖區(qū)里的連接企圖超時(shí)。在一些創(chuàng)建連接不受限制的實(shí)現(xiàn)里，SYN 洪水具有類似的影響。未來的 SYN 洪水令人擔(dān)憂，由于釋放洪水的并不尋求響應(yīng)，所以無法從一個(gè)簡(jiǎn)單高容量的傳輸中鑒別出來。（ 5）Land 攻擊：在 Land 攻擊中，一個(gè)特別打造的SYN 包它的原地址和目標(biāo)地址都被設(shè)置成某一個(gè)服務(wù)器地址，此舉將導(dǎo)致接受服務(wù)器向它自己的地址發(fā)送SYN-ACK消息，結(jié)果這個(gè)地址又發(fā)回ACK 消息并創(chuàng)建一個(gè)空連接，每一個(gè)這樣的連接都將保留直到超時(shí)掉，對(duì) Land 攻擊反應(yīng)不同， 許多 UNIX實(shí)現(xiàn)將崩潰， NT 變得極其緩慢（大約持續(xù)五分鐘）。（ 6）Smurf 攻擊：一個(gè)簡(jiǎn)單的Smurf 攻擊通過使用

5、將回復(fù)地址設(shè)置成受害網(wǎng)絡(luò)的廣播地址的ICMP 應(yīng)答請(qǐng)求（ ping ）數(shù)據(jù)包來淹沒受害主機(jī)的方式進(jìn)行，最終導(dǎo)致該網(wǎng)絡(luò)的所有主機(jī)都對(duì)此ICMP 應(yīng)答請(qǐng)求作出答復(fù)，導(dǎo)致網(wǎng)絡(luò)阻塞，比ping of death 洪水的流量高出一或兩個(gè)數(shù)量級(jí)。更加復(fù)雜的Smurf將源地址改為第三方的受害者，最終導(dǎo)致第三方雪崩。（ 7） Fraggle 攻擊： Fraggle 攻擊對(duì) Smurf 攻擊作了簡(jiǎn)單的修改，使用的是UDP 應(yīng)答消息而非ICMP 。（ 8）電子郵件炸彈：電子郵件炸彈是最古老的匿名攻擊之一，通過設(shè)置一臺(tái)機(jī)器不斷的大量的向同一地址發(fā)送電子郵件，攻擊者能夠耗盡接受者網(wǎng)絡(luò)的帶寬。（ 9）畸形消息攻擊：各類

6、操作系統(tǒng)上的許多服務(wù)都存在此類問題，由于這些服務(wù)在處理信息之前沒有進(jìn)行適當(dāng)正確的錯(cuò)誤校驗(yàn)，在收到畸形的信息可能會(huì)崩潰。2.利用型攻擊利用型攻擊是一類試圖直接對(duì)你的機(jī)器進(jìn)行控制的攻擊，最常見的有三種：（ 1）口令猜測(cè)：一旦黑客識(shí)別了一臺(tái)主機(jī)而且發(fā)現(xiàn)了基于 NetBIOS 、Telnet 或 NFS 這樣的服務(wù)的可利用的用戶賬號(hào)，成功的口令猜測(cè)能提供對(duì)機(jī)器的控制。（ 2）特洛伊木馬：特洛伊木馬是一種或是直接由一個(gè)黑客，或是通過一個(gè)不令人起疑的用戶秘密安裝到目標(biāo)系統(tǒng)的程序。一旦安裝成功并取得管理員權(quán)限，安裝此程序的人就可以直接遠(yuǎn)程控制目標(biāo)系統(tǒng)。最有效的一種叫做后門程序，惡意程序包括：NetBus 、

7、BackOrifice 和 BO2k ，用于控制系統(tǒng)的良性程序如： netcat、 VNC 、 pcAnywhere 。理想的后門程序透明運(yùn)行。（ 3）緩沖區(qū)溢出：由于在很多的服務(wù)程序中大意的程序員使用象strcpy（），strcat（）類似的不進(jìn)行有效位檢查的函數(shù)，最終可能導(dǎo)致惡意用戶編寫一小段利用程序來進(jìn)一步打開安全豁口然后將該代碼綴在緩沖區(qū)有效載荷末尾，這樣當(dāng)發(fā)生緩沖區(qū)溢出時(shí)，返回指針指向惡意代碼，這樣系統(tǒng)的控制權(quán)就會(huì)被奪取。3.信息收集型攻擊信息收集型攻擊并不對(duì)目標(biāo)本身造成危害，如名所示這類攻擊被用來為進(jìn)一步入侵提供有用的信息。主要包括：掃描技術(shù)、體系結(jié)構(gòu)刺探、利用信息服務(wù)。（ 1）掃

8、描技術(shù)：地址掃描：運(yùn)用ping 這樣的程序探測(cè)目標(biāo)地址，對(duì)此作出響應(yīng)的表示其存在。端口掃描：通常使用一些軟件，向大范圍的主機(jī)連接一系列的TCP 端口，掃描軟件報(bào)告它成功的建立了連接的主機(jī)所開的端口。慢速掃描：由于一般掃描偵測(cè)器的實(shí)現(xiàn)是通過監(jiān)視某個(gè)時(shí)間幀里一臺(tái)特定主機(jī)發(fā)起的連接的數(shù)目（例如每秒10 次）來決定是否在被掃描，這樣黑客可以通過使用掃描速度慢一些的掃描軟件進(jìn)行掃描。體系結(jié)構(gòu)探測(cè)：黑客使用具有已知響應(yīng)類型的數(shù)據(jù)庫的自動(dòng)工具，對(duì)來自目標(biāo)主機(jī)的、對(duì)壞數(shù)據(jù)包傳送所作出的響應(yīng)進(jìn)行檢查。由于每種操作系統(tǒng)都有其獨(dú)特的響應(yīng)方法（ NT 和 Solaris 的 TCP/IP 堆棧具體實(shí)現(xiàn)有所不同），通過

9、將此獨(dú)特的響應(yīng)與數(shù)據(jù)庫中的已知響應(yīng)進(jìn)行對(duì)比，黑客經(jīng)常能夠確定出目標(biāo)主機(jī)所運(yùn)行的操作系統(tǒng)。（ 2）利用信息服務(wù)：DNS 域轉(zhuǎn)換： DNS 協(xié)議不對(duì)轉(zhuǎn)換或信息性的更新進(jìn)行身份認(rèn)證，這使得該協(xié)議被人以一些不同的方式加以利用。如果你維護(hù)著一臺(tái)公共的務(wù)器，黑客只需實(shí)施一次域轉(zhuǎn)換操作就能得到你所有主機(jī)的名稱以及內(nèi)部IP 地址。DNS服FingerLDAP服務(wù)：黑客使用服務(wù)：黑客使用finger LDAP命令來刺探一臺(tái)finger 服務(wù)器以獲取關(guān)于該系統(tǒng)的用戶的信息。協(xié)議窺探網(wǎng)絡(luò)內(nèi)部的系統(tǒng)和它們的用戶的信息。4.假消息攻擊用于攻擊目標(biāo)配置不正確的消息，主要包括：DNS 高速緩存污染、偽造電子郵件。（ 1）DNS 高速緩存污染：由于 DNS 服務(wù)器與其他名稱服務(wù)器交換信息的時(shí)候并