第三章網(wǎng)絡(luò)安全威脅南京郵電大學(xué)信息安全系《網(wǎng)絡(luò)信息安全》教研組2/1/20231南京郵電大學(xué)信息安全系主要內(nèi)容3.1隱藏攻擊者的地址和身份3.2踩點技術(shù)（Footprinting）3.3掃描技術(shù)（Scanning）3.4嗅探技術(shù)（Sniffing）3.5攻擊技術(shù)（AttackTechnology）3.6權(quán)限提升（EscalatingPrivilege）3.7掩蓋蹤跡（CoveringTracks）3.8創(chuàng)建后門（CreatingBookdoor）3.3.1主機掃描3.3.2端口掃描

3.3.3操作系統(tǒng)探測

3.3.4漏洞掃描

2/1/20232南京郵電大學(xué)信息安全系網(wǎng)絡(luò)攻擊與防御技術(shù)的關(guān)系①“網(wǎng)絡(luò)滲透”過程有多個階段、多種技術(shù)，但沒有一個統(tǒng)一的定式。②網(wǎng)絡(luò)攻擊技術(shù)發(fā)展很快，今天可行的技術(shù)可能明天就過時了。③網(wǎng)絡(luò)攻擊技術(shù)的過時主要是因為相應(yīng)的網(wǎng)絡(luò)防御技術(shù)發(fā)展也很快。④許多網(wǎng)絡(luò)安全技術(shù)都是雙刃劍，兩者相輔相成，互為補充（如：掃描、嗅探和嗅探檢測等）。2/1/20233南京郵電大學(xué)信息安全系網(wǎng)絡(luò)防御技術(shù)1）加密/簽名/散列技術(shù)（理論基礎(chǔ)）2）主機加固技術(shù)（打補?。?）病毒防護技術(shù)（廣義病毒）4）防火墻技術(shù)（門衛(wèi)/被動/進出）5）虛擬專用網(wǎng)技術(shù)（端-端/密碼技術(shù)）6）入侵檢測技術(shù)（警察/動態(tài)/內(nèi)部）7）蜜罐技術(shù)（主動/位置/誤報漏報少）8）計算機取證技術(shù)（主機取證和網(wǎng)絡(luò)取證）為了保證服務(wù)質(zhì)量，要求誤報少；為了保證系統(tǒng)安全，要求漏報少；兩者常常相悖，應(yīng)根據(jù)用途折中選擇2/1/20234南京郵電大學(xué)信息安全系3.1隱藏攻擊者的地址和身份1．IP地址欺騙或盜用技術(shù)源IP地址為假冒或虛假2．MAC地址盜用技術(shù)修改注冊表或使用ifconfig命令

3．通過Proxy隱藏技術(shù)作為攻擊跳板；實際上很難真正實現(xiàn)隱藏4．網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)私有IP地址可以隱藏內(nèi)部網(wǎng)絡(luò)拓撲結(jié)構(gòu)5．盜用他人網(wǎng)絡(luò)賬戶技術(shù)網(wǎng)絡(luò)安全鏈路中最薄弱的鏈接

2/1/20235南京郵電大學(xué)信息安全系3.2踩點技術(shù)（Footprinting）

黑客盡可能地收集目標系統(tǒng)安全狀況的各種信息：①目標系統(tǒng)的用戶注冊信息——Whois②域名、IP地址、DNS服務(wù)器、郵件服務(wù)器——Nslookup

、host③網(wǎng)絡(luò)拓撲和路由信息——Traceroute

獲取公開的信息；采用的技術(shù)合法。2/1/20236南京郵電大學(xué)信息安全系3.3掃描技術(shù)（Scanning）

3.3.1主機掃描（HostScanning）

一般使用Ping實現(xiàn)：發(fā)送ICMPecho請求給目標主機，若收到ICMPecho應(yīng)答則表明目標主機激活。①

Fping工具以并行輪轉(zhuǎn)方式發(fā)送大量Ping請求，以加快掃描速度。②防火墻的存在使得Ping掃描的應(yīng)答可能丟失，掃描結(jié)果就不一定準確。2/1/20237南京郵電大學(xué)信息安全系3.3.2端口掃描（PortScanning）

通常采用Nmap等掃描工具：①獲得目標主機開放的TCP和UDP端口列表②確定主機上開放的網(wǎng)絡(luò)服務(wù)③得到監(jiān)聽端口返回的Banner信息利用這些服務(wù)的漏洞，進行進一步入侵。2/1/20238南京郵電大學(xué)信息安全系TCP三次握手缺陷

SYN包,C的序列號

Client

SYN+ACK包,S序列號,C應(yīng)答號Server

ACK包,S的應(yīng)答號?源端口(>1024高端口)

?目的端口(<1024熟知?源IP地址(尋址只關(guān)心端口，表明Server上目的IP，不認證源IP地提供的服務(wù))

址，可能是“假”地址)?目的IP地址

TCP標志位的作用：SYN/ACK/RST/FIN/PSH/URG假假冒（另一主機IP地址）虛假（可路由不可到達）2/1/20239南京郵電大學(xué)信息安全系3.3.3操作系統(tǒng)探測（OperateSystemProbing）

協(xié)議棧指紋鑒別（TCPStackFingerprinting）各個OS實現(xiàn)協(xié)議棧細節(jié)不同的原因如下：1）對RFC相關(guān)文件理解不同；2）TCP/IP規(guī)范并不被嚴格執(zhí)行；3）規(guī)范中一些選擇性特性只在某些系統(tǒng)使用；4）某些系統(tǒng)私自對IP協(xié)議做了改進。2/1/202310南京郵電大學(xué)信息安全系操作系統(tǒng)探測的方法

①對目標主機發(fā)出OS探測包，每種OS有其獨特響應(yīng)方法，可根據(jù)返回的響應(yīng)包確定目標主機OS類型。協(xié)議棧指紋：TTL值、TCP窗口大小、DF標志、TOS、IP碎片、ACK值、TCP選項等。②利用Ping掃描返回的TTL值進行簡單的OS探測2/1/202311南京郵電大學(xué)信息安全系3.3.4漏洞掃描（HoleScanning）

①漏洞（脆弱性，Vulnerability）計算機或網(wǎng)絡(luò)系統(tǒng)具有的某種可能被入侵者惡意利用的特性。②漏洞掃描針對特定應(yīng)用和服務(wù)（如操作系統(tǒng)、Web服務(wù)器、數(shù)據(jù)庫服務(wù)器、防火墻、路由器）查找目標網(wǎng)絡(luò)漏洞，并抽取有效賬號或?qū)С鲑Y源名。2/1/202312南京郵電大學(xué)信息安全系3.4嗅探技術(shù)（Sniffing）

①黑客使用：非常隱蔽地攫取網(wǎng)絡(luò)大量敏感信息，是一種有效的“被動攻擊”技術(shù)。與主動攻擊技術(shù)相比，嗅探行為更易實現(xiàn)、更難被察覺。②安全管理人員使用：對網(wǎng)絡(luò)活動進行實時監(jiān)控，并及時發(fā)現(xiàn)各種網(wǎng)絡(luò)攻擊行為。2/1/202313南京郵電大學(xué)信息安全系嗅探技術(shù)的分類

局域網(wǎng)主機監(jiān)聽到發(fā)送給其他主機的數(shù)據(jù)包內(nèi)容。①共享式局域網(wǎng)——將該主機網(wǎng)卡設(shè)置成混雜（Promiscuous）模式②共享式和交換式局域網(wǎng)——該主機使用ARP欺騙注意：兩種技術(shù)可結(jié)合使用，從而嗅探到局域網(wǎng)上傳送的用戶賬號和口令。嗅探工具不能不加選擇地接收所有數(shù)據(jù)包，并且長時間地監(jiān)聽。2/1/202314南京郵電大學(xué)信息安全系3.5攻擊技術(shù)（AttackTechnology）3.5.1社會工程（SocialEngineering）

3.5.2口令破解（PasswordCracking）

3.5.3IP欺騙（IPSpoofing）

3.5.4ARP欺騙（ARPSpoofing）

3.5.5DNS欺騙（DNSSpoofing）

3.5.6會話劫持（SessionHijacking）

3.5.7拒絕服務(wù)（DenialofService）攻擊3.5.8緩沖區(qū)溢出（BufferOverflow）攻擊2/1/202315南京郵電大學(xué)信息安全系3.5.1社會工程（SocialEngineering）①社會工程的核心：攻擊者偽裝身份并設(shè)法讓受害人泄露系統(tǒng)信息。②一種低技術(shù)含量破壞網(wǎng)絡(luò)安全的方法，其實是高級黑客技術(shù)的一種，往往使得看似處在嚴密防護下的網(wǎng)絡(luò)系統(tǒng)出現(xiàn)致命的突破口。③利用說服或欺騙的方式，讓安全意識薄弱的職員來提供必要的信息，從而獲得對信息系統(tǒng)的訪問。

2/1/202316南京郵電大學(xué)信息安全系3.5.2口令破解（PasswordCracking）①

手工嘗試（猜測）②對口令文件使用破解工具（字典/暴力/組合攻擊）③使用嗅探技術(shù)獲得口令④使用社會工程方法獲得口令⑤惡意網(wǎng)頁和惡意電子郵件⑥

通過鍵盤記錄器獲得口令⑦賬號口令鎖定機制拒絕服務(wù)攻擊2/1/202317南京郵電大學(xué)信息安全系3.5.3IP欺騙（IPSpoofing）

IP欺騙：通過偽造數(shù)據(jù)包源IP地址，偽裝成被信任主機來騙取目標主機信任，從而實現(xiàn)攻擊?；趦蓚€前提：1）TCP/IP路由數(shù)據(jù)包時，不判斷源IP地址可以偽造數(shù)據(jù)包的源IP地址；2）UNIX中主機之間存在信任關(guān)系基于IP地址的認證，不再需要用戶賬號和口令。2/1/202318南京郵電大學(xué)信息安全系一個完整的IP欺騙攻擊過程

2/1/202319南京郵電大學(xué)信息安全系3.5.4ARP欺騙（ARPSpoofing）

ARP協(xié)議的缺陷：一臺主機即使收到的ARP應(yīng)答包并非請求得到的，也會將其插入ARP緩存表中。①黑客想嗅探同一局域網(wǎng)兩臺主機的通信，就分別給它們發(fā)送ARP應(yīng)答包，讓它們誤認為對方的MAC地址就是黑客的MAC地址。②兩臺主機之間的數(shù)據(jù)包都會通過黑客，雙方看似“直接”的通信，實際上都是通過黑客中轉(zhuǎn)的。

2/1/202320南京郵電大學(xué)信息安全系3.5.5DNS欺騙（DNSSpoofing）

DNS協(xié)議的缺陷：DNS服務(wù)器向另一個DNS服務(wù)器發(fā)送解析請求時并不認證被請求方，黑客可以冒充被請求方返回一個被篡改的IP地址。DNS服務(wù)器會緩存被黑客篡改的IP地址，以后對該服務(wù)器的同一域名的解析請求，在該條目被緩存的生存期內(nèi)，得到的結(jié)果都將被篡改。2/1/202321南京郵電大學(xué)信息安全系3.5.6會話劫持（SessionHijacking）

會話劫持：結(jié)合嗅探和欺騙技術(shù)，在正常的通信過程中，黑客作為第三方參與其中：①要么在數(shù)據(jù)流里注射額外的信息；②或?qū)㈦p方的通信模式暗中改變，即從直接聯(lián)系變成交由黑客中轉(zhuǎn)。

2/1/202322南京郵電大學(xué)信息安全系3.5.7拒絕服務(wù)（DenialofService）攻擊?并非某一種具體的攻擊方式?而是攻擊所表現(xiàn)出來的結(jié)果——

使服務(wù)器不能正常地對外界提供服務(wù)（可用性）

內(nèi)存損耗系統(tǒng)程序和應(yīng)用程序的漏洞帶寬損耗網(wǎng)絡(luò)協(xié)議實現(xiàn)中的缺陷（如TCP三次握手缺陷）攻擊者不需與目標交互可偽造源IP地址難以追蹤結(jié)果原因2/1/202323南京郵電大學(xué)信息安全系DoS攻擊方法的分類與比較代表性方法所利用漏洞/缺陷防范現(xiàn)狀使用現(xiàn)狀PingofDeath系統(tǒng)程序和應(yīng)用程序的漏洞很好防范基本不用TeardropUDPFlood網(wǎng)絡(luò)協(xié)議實現(xiàn)中的缺陷很好防范基本不用LANDAttackSYNFlood網(wǎng)絡(luò)協(xié)議實現(xiàn)中的缺陷很難根本防范多用于DDoS攻擊中SmurfAttack2/1/202324南京郵電大學(xué)信息安全系3.5.8緩沖區(qū)溢出（BufferOverflow）攻擊①緩沖區(qū)：程序運行時內(nèi)存分配的一個連續(xù)區(qū)域，保存字符數(shù)組在內(nèi)的各種類型數(shù)據(jù)。②溢出：所填充數(shù)據(jù)超過原有緩沖區(qū)邊界，并非法占據(jù)另一段內(nèi)存，導(dǎo)致程序執(zhí)行出錯。③緩沖區(qū)溢出攻擊：黑客精心構(gòu)造填充數(shù)據(jù)，用自己代碼覆蓋原來的返回地址，讓程序改變現(xiàn)有流程去執(zhí)行特定代碼，最終獲取系統(tǒng)控制權(quán)。2/1/202325南京郵電大學(xué)信息安全系緩沖區(qū)溢出攻擊的原理攻擊者利用計算機指令系統(tǒng)弱點，分析有缺陷程序代碼，向程序提交惡意超長的輸入數(shù)據(jù)，破壞或改寫內(nèi)存中控制流程的關(guān)鍵信息，獲得進程的控制權(quán)。根本原因：C/C++沒有對數(shù)組引用進行邊界檢查：①如果讀取數(shù)組以外內(nèi)容，會使程序得出錯誤結(jié)果②如果是寫入，可能破壞該進程內(nèi)存的其它內(nèi)容2/1/202326南京郵電大學(xué)信息安全系3.6權(quán)限提升（EscalatingPrivilege）

黑客進入系統(tǒng)獲得訪問權(quán)權(quán)限提升

得到系統(tǒng)的控制權(quán)（最終目的）（root或最高管理員權(quán)限）使用su命令、種植獲取口令的木馬

破解口令散列文件得到管理員口令

利用Web瀏覽和電子郵件2/1/202327南京郵電大