網(wǎng)絡攻擊概述幾類攻擊與防御手法介紹

1、網(wǎng)絡攻擊概述 幾類攻擊與防御手法介紹攻擊類型 定義服務拒絕攻擊服務拒絕攻擊企圖通過使你的服務計算機崩潰或把它壓跨來阻止你提供服務，服務拒絕攻擊是最容易實施的攻擊行為，方法概覽防御死亡之 ping (ping of death)由于在早期的階段，路由器對包的最大尺寸都有限制，許多操作系統(tǒng)對 TCP/IP棧的實現(xiàn)在ICMP包上都是規(guī)定64KB，并且在對包的標題頭進 行讀取之后，要根據(jù)該標題頭里包含的信息來為有效載荷生成緩沖區(qū)， 當產(chǎn)生畸形的，聲稱自己的尺寸超過ICMP上限的包也就是加載的尺寸 超過64K上限時，就會出現(xiàn)內存分配錯誤，導致TCP/IP堆棧崩潰，致 使接受方當機。現(xiàn)在所有的標準TCP/

2、IP實現(xiàn)都已實現(xiàn)對付超大尺寸 的包，并且大多數(shù)防火墻能夠自動過濾這些攻擊，包 括：從 windows98 之后的 windows,NT（service pack 3 之后），linux、Solaris和Mac OS都具有抵抗一般ping ofdeath攻擊的能力。此外，對防火墻進行配置，阻斷 ICMP以及任何未知協(xié)議，都講防止此類攻擊。淚滴(teardrop)淚滴攻擊利用那些在TCP/IP堆棧實現(xiàn)中信任IP碎片中的包的標題頭所 包含的信息來實現(xiàn)自己的攻擊。IP分段含有指示該分段所包含的是原包 的哪一段的信息，某些TCP/IP（包括servicepack 4以前的NT）在收至U 含有重疊偏移的偽

3、造分段時將崩潰。服務器應用最新的服務包，或者在設置防火墻時對分 段進行重組，而不是轉發(fā)它們。UDP 洪水(UDP flood)各種各樣的假冒攻擊利用簡單的TCP/IP服務，如Chargen和Echo來傳 送毫無用處的占滿帶寬的數(shù)據(jù)。通過偽造與某一主機的Chargen服務之 間的一次的UDP連接，回復地址指向開著Echo服務的一臺主機，這樣 就生成在兩臺主機之間的足夠多的無用數(shù)據(jù)流，如果足夠多的數(shù)據(jù)流就 會導致帶寬的服務攻擊。關掉不必要的TCP/IP服務，或者對防火墻進行配置 阻斷來自Internet的請求這些服務的UDP請求。SYN 洪水(SYN flood)一些TCP/IP棧的實現(xiàn)只能等待從

4、有限數(shù)量的計算機發(fā)來的ACK消息， 因為他們只有有限的內存緩沖區(qū)用于創(chuàng)建連接，如果這一緩沖區(qū)充滿了 虛假連接的初始信息，該服務器就會對接下來的連接停止響應，直到緩 沖區(qū)里的連接企圖超時。在一些創(chuàng)建連接不受限制的實現(xiàn)里，SYN洪 水具有類似的影響。在防火墻上過濾來自同一主機的后續(xù)連接。未來的SYN洪水令人擔憂，由于釋放洪水的并不尋求 響應，所以無法從一個簡單高容量的傳輸中鑒別出 來。Land攻擊在Land攻擊中，一個特別打造的SYN包它的原地址和目標地址都被設 置成某一個服務器地址，此舉將導致接受服務器向它自己的地址發(fā)送 SYN-ACK消息，結果這個地址又發(fā)回ACK消息并創(chuàng)建一個空連接， 每一個

5、這樣的連接都將保留直到超時掉，對Land攻擊反應不同，許多 UNIX實現(xiàn)將崩潰，NT變的極其緩慢（大約持續(xù)五分鐘）。打最新的補丁，或者在防火墻進行配置，將那些在外 部接口上入站的含有內部源地址濾掉。（包括10域、 127 域、192.168 域、172.16 到 172.31 域）。Smurf攻擊一個簡單的smurf攻擊通過使用將回復地址設置成受害網(wǎng)絡的廣播地址 的ICMP應答請求（ping）數(shù)據(jù)包來淹沒受害主機的方式進行，最終導 致該網(wǎng)絡的所有主機都對此ICMP應答請求作出答復，導致網(wǎng)絡阻塞， 比pingof death洪水的流量高出一或兩個數(shù)量級。更加復雜的Smurf將 源地址改為第三方的

6、受害者，最終導致第三方雪崩。防御：為了防止黑客利用你的網(wǎng)絡攻擊他人，關閉外 部路由器或防火墻的廣播地址特性。為防止被攻擊， 在防火墻上設置規(guī)則，丟棄掉ICMP包。Fraggle 攻擊Fraggle攻擊對Smurf攻擊作了簡單的修改，使用的是UDP應答消息而 非 ICMP。在防火墻上過濾掉UDP應答消息。電子郵件炸彈電子郵件炸彈是最古老的匿名攻擊之一，通過設置一臺機器不斷的大量 的向同一地址發(fā)送電子郵件，攻擊者能夠耗盡接受者網(wǎng)絡的帶寬。對郵件地址進行配置，自動刪除來自同一主機的過量 或重復的消息?；蜗⒐舾黝惒僮飨到y(tǒng)上的許多服務都存在此類問題，由于這些服務在處理信息 之前沒有進行適當正確的錯

7、誤校驗，在收到畸形的信息可能會崩潰。打最新的服務補丁。攻擊類型利用型攻擊定義利用型攻擊是一類試圖直接對你的機器進行控制的攻擊，口令猜測一旦黑客識別了一臺主機而且發(fā)現(xiàn)了基于NetBIOS、Telnet或NFS這樣 的服務的可利用的用戶帳號，成功的口令猜測能提供對機器控制。要選用難以猜測的口令，比如詞和標點符號的組合。 確保像NFS、NetBIOS和Telnet這樣可利用的服務不 暴露在公共范圍。如果該服務支持鎖定策略，就進行 鎖定。特洛伊木馬特洛伊木馬是一種或是直接由一個黑客，或是通過一個不令人起疑的用 戶秘密安裝到目標系統(tǒng)的程序。一旦安裝成功并取得管理員權限，安裝 此程序的人就可以直接遠程控制

8、目標系統(tǒng)。最有效的一種叫做后門程序，惡意程序包括：NetBus、BackOrifice和BO2k，用于控制系統(tǒng)的避免下載可疑程序并拒絕執(zhí)行，運用網(wǎng)絡掃描軟件定 期監(jiān)視內部主機上的監(jiān)聽TCP服務。良性程序如：netcat、VNC、pcAnywhere。理想的后門程序透明運行。緩沖區(qū)溢出由于在很多的服務程序中大意的程序貝使用象strcpy(),strcat()類似的不 進行有效位檢查的函數(shù)，最終可能導致惡意用戶編寫一小段利用程序來 進一步打開安全豁口然后將該代碼綴在緩沖區(qū)有效載荷末尾，這樣當發(fā) 生緩沖區(qū)溢出時，返回指針指向惡意代碼，這樣系統(tǒng)的控制權就會被奪 取。利用SafeLib、tripwire

9、這樣的程序保護系統(tǒng)，或者瀏 覽最新的安全公告不斷更新操作系統(tǒng)。攻擊類型信息收集型攻擊定義信息收集型攻擊并不對目標本身造成危害，如名所示這類攻擊被用來為進一步入侵提供有用的信息。主要包括：掃描技術、地址掃描運用ping這樣的程序探測目標地址，對此作出響應的表示其存在。 防御：在防火墻上過濾掉ICMP應答消息。許多防火墻能檢測到是否被掃描，并自動阻斷掃描企 圖。端口掃描常使用一些軟件，向大范圍的主機連接一系列的TCP端口，掃描軟件 報告它成功的建立了連接的主機所開的端口。反響映射黑客向主機發(fā)送虛假消息，然后根據(jù)返回“hostunreachable”這一消息 特征判斷出哪些主機是存在的。目前由于正常

10、的掃描活動容易被防火墻 偵測到，黑客轉而使用不會觸發(fā)防火墻規(guī)則的常見消息類型，這些類型 包括：RESET消息、SYN-ACK消息、DNS響應包。NAT和非路由代理服務器能夠自動抵御此類攻擊，也 可以在防火墻上過濾“hostunreachable” ICMP應答。慢速掃描由于一般掃描偵測器的實現(xiàn)是通過監(jiān)視某個時間楨里一臺特定主機發(fā) 起的連接的數(shù)目(例如每秒10次)來決定是否在被掃描，這樣黑客可 以通過使用掃描速度慢一些的掃描軟件進行掃描通過引誘服務來對慢速掃描進行偵測。體系結構探測黑客使用具有已知響應類型的數(shù)據(jù)庫的自動工具，對來自目標主機的、 對壞數(shù)據(jù)包傳送所作出的響應進行檢查。由于每種操作系統(tǒng)

11、都有其獨特 的響應方法(例NT和Solaris的TCP/IP堆棧具體實現(xiàn)有所不同)，通過 將此獨特的響應與數(shù)據(jù)庫中的已知響應進行對比，黑客經(jīng)常能夠確定出 目標主機所運行的操作系統(tǒng)。去掉或修改各種BANNer，包括操作系統(tǒng)和各種應用 服務的，阻斷用于識別的端口擾亂對方的攻擊計劃。利用信息服務DNS域轉換DNS協(xié)議不對轉換或信息性的更新進行身份認證，這使得該協(xié)議被人 以一些不同的方式加以利用。如果你維護著一臺公共的DNS服務器， 黑客只需實施一次域轉換操作就能得到你所有主機的名稱以及內部IP 地址。在防火墻處過濾掉域轉換請求。Finger月艮務黑客使用finger命令來刺探一臺finger服務器以獲取關于該系統(tǒng)的用戶 的信息。關閉finger服務并記錄嘗試連接該服務的對方IP地 址，或者在防火墻上進行過濾。LDAP服務黑客使用LDAP協(xié)議窺探網(wǎng)絡內部的系統(tǒng)和它們的用戶的信息。對于刺探內部網(wǎng)絡的LDAP進行阻斷并記錄，如果在 公共機器上提供LDAP服務，那么應把LDAP服務器 放入DMZ。攻擊類型假消息攻擊DNS高速緩存污染|造電子郵件| 由于DNS服務器與其他名稱服務器交換信息的時候并不進行身份驗 證，這就使得黑客可以將不正確的