網絡安全復習(編輯修改稿)

　

【文章內容簡介】 de漏洞的原理利用 Unicode漏洞攻擊 1：讀取系統盤目錄n 利用語句得到對方計算機上裝了幾個操作系統以及操作系統的類型，只要讀取 C盤下的 。n ?/c+type+c:\利用 Unicode漏洞攻擊 2：刪除主頁利用 Unicode漏洞攻擊 3：拷貝文件n 為了使用方便，利用語句將 scripts目錄，并改名為 ，使用的語句是：n exe?/c+copy+C:\winnt\system32\+ ARP欺騙n 在實現 TCP/IP協議的網絡環境下，一個 ip包走到哪里，要怎么走是靠路由表定義，但是，當 ip包到達該網絡后，哪臺機器響應這個 ip包卻是靠該 ip包中所包含的硬件 mac地址來識別。n 只有機器的硬件 mac地址和該 ip包中的硬件 mac地址相同的機器才會應答這個 ip包，因為在網絡中，每一臺主機都會有發送 ip包的時候。n 在每臺主機的內存中， arp硬件 mac的轉換表。會被主機在一定的時間間隔后刷新。這個時間間隔就是ARP高速緩存的超時時間。ARP欺騙 n A:ip地址 硬件地址 AA:AA:AA:AA:AA:AAn B:ip地址 硬件地址 BB:BB:BB:BB:BB:BBn C:ip地址 硬件地址CC:CC:CC:CC:CC:CC　ARP欺騙n 一個位于主機 B的入侵者想非法進入主機 A，可是這臺主機上安裝有防火墻。通過收集資料他知道這臺主機 A的防火墻只對主機 C有信任關系。n 入侵者必須讓主機 A相信主機 B就是主機 C，如果主機 A和主機 C之間的信任關系是建立在 ip地址之上的。如果單單把主機 B的 ip地址改的和主機 C的一樣，那是不能工作的，至少不能可靠地工作。ARP欺騙n 如果告訴以太網卡設備驅動程序， 自己 IP是，那么這只是一種純粹的競爭關系，并不能達到目標。n 于是可以先研究 C這臺機器如果我們能讓這臺機器暫時當掉，競爭關系就可以解除 ,這個是有可能實現的。n 在機器 C當掉的同時，將機器 B的 ip地址改為,這樣就可以成功的通過 23端口 tel到機器 A上面，而成功的繞過防火墻的限制。ARP欺騙n 如果主機 A和主機 C之間的信任關系是建立在硬件地址的基礎上。這個時候還需要用 ARP欺騙的手段讓主機 A把自己的 ARP緩存中的關于 B的硬件地址。n 于是可以人為的制造一個 arp_reply的響應包 ,發送給想要欺騙的主機 ,這是可以實現的 ,因為協議并沒有規定必須在接收到arp_echo后才可以發送響應包 .這樣的工具很多 ,我們也可以直接用 snifferpro抓一個 arp響應包 ,然后進行修改。n 指定 ARP包中的源 IP、目標 IP、源 MAC地址、目標 MAC地址。這樣你就可以通過虛假的 ARP響應包來修改主機 A上的動態 ARP緩存達到欺騙的目的。 具體的步驟： ，發現這臺主機的漏洞。 C當掉，暫時停止工作。，入侵者把自己的 IP改成 IP地址為 ,源 MAC地址為BB:BB:BB:BB:BB:BB的包給主機 A，要求主機 A更新自己的 ARP轉換表。 ARP表中關于主機 C的 IPMAC對應關系。，入侵的 IP變成合法的 MAC地址， ok。 ARP欺騙的檢測與控制辦法n 目前比較有效的檢測 ARP欺騙攻擊的方法主要有兩種：n 一種是在局域網內部使用抓包軟件進行抓包分析；n 另一種是直接到到三層交換機上查詢 ARP表，這兩種方法各有優缺點，抓包分析 方法n 使用抓包軟件（如 snifferpro）在局域網內抓 ARP的reply包， 如果最后的 mac不是網關的真實 mac的話，那就說明有 ARP欺騙存在 ，而這個 mac就是那臺進行ARP欺騙主機的 mac。n 優點 —— 簡單易行，無需特別權限設置，所有用戶都可以做，誤判率較小。n 缺點 —— 必須在局域網內部（廣播域內部）聽包才有效。 三層交換機上查詢 ARP緩存表 方法n 登陸局域網的三層交換機，并查看交換機的 ARP緩存表， 如果在 ARP表中存在一個 MAC對應多個 IP（的情況，那么就表明存在 ARP欺騙攻擊，而這個 MAC就是欺騙主機的 MAC。n 優點 —— 可以遠程操作，無需到局域網內部，可以通過腳本來自動分析。n 缺點 —— 需要特殊權限，普通用戶無法進行操作。 ARP欺騙的控制方法n 主機靜態綁定網關 MAC方法n 使用 arp命令靜態綁定網關 MAC，格式如下：arp－ s網關 IP網關 MACn 優點 —— 簡單易行，普通用戶都能操作n 缺點 —— 只能單向綁定。需要跟網關綁定 MAC結合使用。 ARP欺騙的控制方法網關使用 IP+MAC綁定模式方法n 交換機啟用靜態 ARP綁定功能，將用戶的 IP與MAC進行靜態綁定，防止 ARP欺騙發生。n 優點 —— 效果明顯n 缺點 —— 操作復雜，工作量巨大。無法保證主機端不被欺騙，需要與主機端綁定網關 MAC結合使用。 ARP欺騙的控制方法使用防 ARP攻擊的軟件方法n 下載和使用防 ARP攻擊的軟件，如 ARPFix或者是 AntiARP等。n 優點 —— 簡單易行n 缺點 —— 需要用戶端都安裝，無法保證網關不被欺騙。總結n 因為 ARP欺騙利用的是 ARP協議本身的缺陷，所以到目前為止，依然沒有一個十分有效的方法去控制這種攻擊。n 目前難點主要集中在網關上，還沒有找到一個很有效的方法來防范網關上的 ARP列表不被欺騙修改。n 當前最理想的辦法還是迅速阻斷這種攻擊的來源。這就要求能夠快速檢測到攻擊并定位出攻擊主機位置后加以處理。 IP欺騙 n IP 欺騙是一種中間人攻擊。n IP 欺騙不是進攻的結果，而是進攻的手段。進攻實際上是信任關系的破壞。n IP 欺騙是多種網絡攻擊的必要步驟。IP欺騙原理n 信任關系n 假如在主機 A和 B上各有一個帳戶，則在主機 A上使用時需要輸入在 A上的相應帳戶，在主機 B上使用時必須輸入在 B上的帳戶，主機 A和 B把你當作兩個互不相關的用戶，顯然有些不便。為了減少這種不便，可以在主機 A和主機 B中建立起兩個帳戶的相互信任關系。則可以毫無阻礙地使用遠程登錄而無口令驗證的麻煩。n 這些命令將允許以地址為基礎的驗證，或者允許或者拒絕以 IP地址為基礎的存取服務。n 這里的信任關系是基于 IP地址的。IP欺騙原理n IP只是發送數據包，并且保證它的完整性。如果不能收到完整的 IP數據包， IP會向源地址發送一個 ICMP錯誤信息，希望重新處理。n 由于 IP是 無連接 的，所以不保持任何連接狀態的信息。每個 IP數據包被松散地發送出去，而不關心前一個和后一個數據包的情況。n 由此看出，可以 對 IP包 進行修改，在源地址和目的地址中放入任意滿足要求的 IP地址，也就是說，提供虛假的 IP地址。IP欺騙原理n TCP提供可靠傳輸。可靠性是由數據包中的多個控制字段來提供的，其中最重要的是數據序列和數據確認。n TCP向每一個數據字節分配一個 序列號 ，并且可以向已成功接收的、源地址所發送的數據包表示確認 (目的地址 ACK所確認的數據包序列是源地址的數據包序列，而不是自己發送的數據包序列 )。 ACK在確認的同時，還攜帶了下一個期望獲得的數據序列號。n 顯然， TCP提供的這種可靠性相對于 IP來說更難于作假。IP欺騙原理n 接收端利用序列號確保數據的先后順序，除去重復的數據包。n TCP序列編號可以看作是 32位的計數器。它們從 0至2321排列。每一個 TCP連接交換的數據都是順序編號的。n 在 TCP數據包中定義序列號 (SEQ)字段于數據段的前端。確認序號 (ACK)對所接收的數據進行確認，并且指出下一個期待接收的數據序列號。IP欺騙原理n TCP標志位： RST、 PSH和 FINn 如果 RST被接收， TCP連接將立即斷開。 RST通常在接收端接收到一個與當前連接不相關的數據包時被發送。n 當 TCP模塊需要立即傳送數據而不能等整段都充滿時再傳，一個高層的進程將會觸發在 TCP頭部的PSH標示，并且告訴 TCP模塊立即將所有排列好的數據發給數據接收端。n FIN表示一個應用連接結束。當接收端接收到 FIN時，確認它，認為將接收不到任何數據了。 IP欺騙的步驟n 假定：n 首先，目標主機已經選定。n 其次，信任模式已被發現，并找到了一個被目標主機信任的主機。n 步驟：n 使得被信任的主機喪失工作能力；n 采樣目標主機發出的 TCP序列號；n 猜測出它的數據序列號；n 偽裝成被信任的主機，同時建立起與目標主機基于地址驗證的應用連接；n 如果成功，黑客可以使用一種簡單的命令放置一個系統后門，以進行非授權操作。IP欺騙的防止 n 拋棄基于地址的信任策略 阻止這類攻擊的一種非常容易的辦法就是放棄以地址為基礎的驗證。這將迫使所有用戶使用其它遠程通信手段，如 tel等。n 進行包過濾 如果網絡是通過路由器接入 Inter 的，那么可以利用路由器來進行包過濾。確信只有內部 LAN可以使用信任關系，而內部 LAN上的主機對于 LAN以外的主機要慎重處理。路由器可以過濾掉所有來自于外部而希望與內部建立連接的請求。IP欺騙的防止n 使用隨機化的初始序列號n 黑客攻擊得以成功實現的一個很重要的因素就是，序列號不是隨機選擇的或者隨機增加的。為彌補 TCP不足的方法，可以采用分割序列號空間。每一個連接將有自己獨立的序列號空間。序列號將仍然按照以前的方式增加，但是在這些序列號空間中沒有明顯的關系。可以通過下列公式來說明 :　　 SEQ=M+F(localhost， localport ， remotehost ， remoteport )　　 M:4微秒定時器　　 F:加密 HASH函數。　　 F產生的序列號，對于外部來說是不應該能夠被計算出或者被猜測出的。內容提要n 為了保持對已經入侵的主機長久的控制，需要在主機上建立網絡后門，以便直接通過后門入侵系統。n 網絡后門的主要策略：n 建立遠程服務n 克隆管理員賬號n 種植木馬n 為了入侵的痕跡不被發現，需要隱藏或清除入侵的痕跡n 實現隱身的主要方法：n 設置代理跳板n 清除系統日志網絡后門 n 只要能不通過正常登錄進入系統的途徑都稱之為網絡后門，目的是保持對目標主機長久控制。n 后門的好壞取決于被管理員發現的概率。只要是不容易被發現的后門都是好后門。n 留后門的原理和選間諜是一樣的，讓管理員看了感覺沒有任何特別的。n 通過 建立遠程服務端口 和 克隆管理員帳號 來實現。木馬簡介木馬n 木馬來自于 “ 特洛伊木馬 ” ，英文名稱為 Trojan Horse。由于特洛伊木馬程序的功能和此類似，故而得名。n 木馬程序在表面上看上去沒有任何的損害，實際上隱藏著可以控制用戶整個計算機系統、打開后門等危害系統安全的功能。n 木馬比普通后門功能強大，有遠程控制功能。n 木馬是一種可以駐留在對方系統中的一種程序。木馬n 木馬一般由兩部分組成： 服務器端和客戶端 。n 駐留在對方服務器的稱之為木馬的服務器端，遠程的可以連到木馬服務器的程序稱之為客戶端。n 木馬的功能是 通過客戶端可以操縱服務器 ， 進而操縱對方的主機 。n 這里介紹一種最常見的木馬程序： “ 冰河 ” 。網絡隱身（ IP隱藏）216。 網絡代理跳板216。 清除系統日志 惡意代碼長期存在的原因n 1. 系統漏洞層出不窮n ATT 實驗室的 S. Bellovin 提供的安全報告進行過分析，分析結果表明，大約 50%的計算機網絡安全問題是由軟件工程中產生的安全缺陷引起的，其中，很多問題的根源都來自于操作系統的安全脆弱性。n 在信息系統的層次結構中，包括