目標(biāo)主機(jī)系統(tǒng)弱點(diǎn)

1、第二篇 網(wǎng)絡(luò)攻擊篇第第5 5章章 目標(biāo)主機(jī)的系統(tǒng)弱點(diǎn)挖掘技術(shù)目標(biāo)主機(jī)的系統(tǒng)弱點(diǎn)挖掘技術(shù)第第5章章 目標(biāo)主機(jī)的系統(tǒng)弱點(diǎn)挖掘技術(shù)目標(biāo)主機(jī)的系統(tǒng)弱點(diǎn)挖掘技術(shù) o 系統(tǒng)弱點(diǎn)指的是系統(tǒng)難以克服的錯(cuò)誤或缺陷和系統(tǒng)弱點(diǎn)指的是系統(tǒng)難以克服的錯(cuò)誤或缺陷和安全漏洞。安全漏洞。o 漏洞則是指任意的允許非法用戶未經(jīng)授權(quán)獲得漏洞則是指任意的允許非法用戶未經(jīng)授權(quán)獲得訪問(wèn)或提高其訪問(wèn)層次的訪問(wèn)或提高其訪問(wèn)層次的硬件或軟件特征。硬件或軟件特征。o 網(wǎng)絡(luò)攻防都是通過(guò)搜集目標(biāo)系統(tǒng)信息并從中挖網(wǎng)絡(luò)攻防都是通過(guò)搜集目標(biāo)系統(tǒng)信息并從中挖掘系統(tǒng)和應(yīng)用服務(wù)程序的掘系統(tǒng)和應(yīng)用服務(wù)程序的弱點(diǎn)弱點(diǎn)來(lái)實(shí)現(xiàn)的，網(wǎng)絡(luò)來(lái)實(shí)現(xiàn)的，網(wǎng)絡(luò)攻擊主要利用了系統(tǒng)提

2、供網(wǎng)絡(luò)服務(wù)中的脆弱性。攻擊主要利用了系統(tǒng)提供網(wǎng)絡(luò)服務(wù)中的脆弱性。第5章 目標(biāo)主機(jī)的系統(tǒng)弱點(diǎn)挖掘技術(shù)o 5.1 系統(tǒng)弱點(diǎn)可造成的危害系統(tǒng)弱點(diǎn)可造成的危害o 5.2 系統(tǒng)弱點(diǎn)的分類系統(tǒng)弱點(diǎn)的分類o 5.3 系統(tǒng)的主要漏洞分類系統(tǒng)的主要漏洞分類o 5.4 幾種常見漏洞的分析幾種常見漏洞的分析o 5.5 漏洞庫(kù)及其使用漏洞庫(kù)及其使用o 5.6 弱點(diǎn)挖掘的過(guò)程與方法弱點(diǎn)挖掘的過(guò)程與方法o 5.7 獲取系統(tǒng)弱點(diǎn)的工具獲取系統(tǒng)弱點(diǎn)的工具o 5.8 實(shí)驗(yàn)：漏洞掃描實(shí)驗(yàn)：漏洞掃描5.1系統(tǒng)弱點(diǎn)可造成的危害系統(tǒng)弱點(diǎn)可造成的危害 1、系統(tǒng)的完整性、系統(tǒng)的完整性(integrity) 攻擊者可以利用系統(tǒng)弱點(diǎn)入侵系統(tǒng)，

3、攻擊者可以利用系統(tǒng)弱點(diǎn)入侵系統(tǒng)，對(duì)系統(tǒng)數(shù)據(jù)進(jìn)行非法篡改，達(dá)到破壞數(shù)對(duì)系統(tǒng)數(shù)據(jù)進(jìn)行非法篡改，達(dá)到破壞數(shù)據(jù)完整性的目的。據(jù)完整性的目的。 5.1系統(tǒng)弱點(diǎn)可造成的危害系統(tǒng)弱點(diǎn)可造成的危害 2、系統(tǒng)的可用性、系統(tǒng)的可用性(availability) 攻擊者利用系統(tǒng)弱點(diǎn)破壞系統(tǒng)或者網(wǎng)攻擊者利用系統(tǒng)弱點(diǎn)破壞系統(tǒng)或者網(wǎng)絡(luò)的正常運(yùn)行，導(dǎo)致信息或網(wǎng)絡(luò)服務(wù)不絡(luò)的正常運(yùn)行，導(dǎo)致信息或網(wǎng)絡(luò)服務(wù)不可用，可用，合法用戶的正常服務(wù)合法用戶的正常服務(wù)要求得不到要求得不到滿足。滿足。5.1系統(tǒng)弱點(diǎn)可造成的危害系統(tǒng)弱點(diǎn)可造成的危害3、系統(tǒng)的機(jī)密性、系統(tǒng)的機(jī)密性(confidentiality) 攻擊者利用系統(tǒng)弱點(diǎn)給非授權(quán)的個(gè)人攻

4、擊者利用系統(tǒng)弱點(diǎn)給非授權(quán)的個(gè)人和實(shí)體泄漏受保護(hù)信息。有些時(shí)候，機(jī)密和實(shí)體泄漏受保護(hù)信息。有些時(shí)候，機(jī)密性和完整性是交疊的。性和完整性是交疊的。5.1系統(tǒng)弱點(diǎn)可造成的危害系統(tǒng)弱點(diǎn)可造成的危害4、系統(tǒng)的可控性、系統(tǒng)的可控性(controllability) 攻擊者利用系統(tǒng)弱點(diǎn)對(duì)授權(quán)機(jī)構(gòu)控攻擊者利用系統(tǒng)弱點(diǎn)對(duì)授權(quán)機(jī)構(gòu)控制信息的完整控制權(quán)造成危害。制信息的完整控制權(quán)造成危害。5.1系統(tǒng)弱點(diǎn)可造成的危害系統(tǒng)弱點(diǎn)可造成的危害5、系統(tǒng)的可靠性、系統(tǒng)的可靠性(reliability) 攻擊者利用系統(tǒng)弱點(diǎn)對(duì)用戶認(rèn)可的質(zhì)攻擊者利用系統(tǒng)弱點(diǎn)對(duì)用戶認(rèn)可的質(zhì)量特性（信息傳遞的迅速性、準(zhǔn)確性以及量特性（信息傳遞的迅速性、

5、準(zhǔn)確性以及連續(xù)地轉(zhuǎn)移等）造成危害。連續(xù)地轉(zhuǎn)移等）造成危害。5.2 系統(tǒng)弱點(diǎn)的分類系統(tǒng)弱點(diǎn)的分類o 5.2.1 設(shè)計(jì)上的缺陷設(shè)計(jì)上的缺陷o 5.2.2 操作系統(tǒng)的弱點(diǎn)操作系統(tǒng)的弱點(diǎn)o 5.2.3 軟件的錯(cuò)誤、缺陷和漏洞軟件的錯(cuò)誤、缺陷和漏洞o 5.2.4 數(shù)據(jù)庫(kù)的弱點(diǎn)數(shù)據(jù)庫(kù)的弱點(diǎn)o 5.2.5 網(wǎng)絡(luò)安全產(chǎn)品的弱點(diǎn)網(wǎng)絡(luò)安全產(chǎn)品的弱點(diǎn)o 5.2.6 用戶的管理的疏忽用戶的管理的疏忽5.2.1 設(shè)計(jì)上的缺陷設(shè)計(jì)上的缺陷 在進(jìn)行軟硬件及協(xié)議、安全策略設(shè)計(jì)時(shí)，難在進(jìn)行軟硬件及協(xié)議、安全策略設(shè)計(jì)時(shí)，難免會(huì)有免會(huì)有考慮不周考慮不周的地方，這就使得軟硬件和協(xié)議的地方，這就使得軟硬件和協(xié)議在結(jié)構(gòu)、功能等方面存在缺

6、陷和疏漏；在結(jié)構(gòu)、功能等方面存在缺陷和疏漏； 即使有些軟硬件和協(xié)議在設(shè)計(jì)時(shí)沒(méi)有漏洞，即使有些軟硬件和協(xié)議在設(shè)計(jì)時(shí)沒(méi)有漏洞，隨著隨著新的需求新的需求不斷增加，不斷增加，使用場(chǎng)合使用場(chǎng)合不斷變化，也不斷變化，也很可能會(huì)出現(xiàn)不能適應(yīng)新環(huán)境、新需求的缺陷和很可能會(huì)出現(xiàn)不能適應(yīng)新環(huán)境、新需求的缺陷和漏洞。漏洞。 比如，比如，TCP/IP在設(shè)計(jì)時(shí)就沒(méi)有太多地考慮在設(shè)計(jì)時(shí)就沒(méi)有太多地考慮安全問(wèn)題，使得現(xiàn)在它顯得越來(lái)越脆弱。再比如安全問(wèn)題，使得現(xiàn)在它顯得越來(lái)越脆弱。再比如加密算法的設(shè)計(jì)加密算法的設(shè)計(jì)等等。等等。5.2.2 操作系統(tǒng)的弱點(diǎn)操作系統(tǒng)的弱點(diǎn)o 現(xiàn)在的操作系統(tǒng)，無(wú)論是現(xiàn)在的操作系統(tǒng)，無(wú)論是Window

7、s，還是，還是Unix、Linux，都存在著漏洞。，都存在著漏洞。o 這些漏洞，有的是因?yàn)樵O(shè)計(jì)時(shí)這些漏洞，有的是因?yàn)樵O(shè)計(jì)時(shí)考慮不周考慮不周，有的是因?yàn)榇a，有的是因?yàn)榇a的編寫有的編寫有Bug，還有的是因?yàn)樵?，還有的是因?yàn)樵跈?quán)限管理和系統(tǒng)保密權(quán)限管理和系統(tǒng)保密等方等方面不夠完善。無(wú)論是哪一種，都對(duì)系統(tǒng)的安全構(gòu)成很大威面不夠完善。無(wú)論是哪一種，都對(duì)系統(tǒng)的安全構(gòu)成很大威脅。脅。5.2.3 軟件的錯(cuò)誤、缺陷和漏洞軟件的錯(cuò)誤、缺陷和漏洞o 軟件在編寫過(guò)程中，總難免有軟件在編寫過(guò)程中，總難免有Bug。比如在。比如在內(nèi)內(nèi)存分配、變量賦值、出錯(cuò)處理存分配、變量賦值、出錯(cuò)處理等方面，在正常等方面，在正常使用情

8、況下，不會(huì)出問(wèn)題，但若隨意分配內(nèi)存、使用情況下，不會(huì)出問(wèn)題，但若隨意分配內(nèi)存、任意賦值，系統(tǒng)就可能因任意賦值，系統(tǒng)就可能因資源耗盡、緩沖區(qū)溢資源耗盡、緩沖區(qū)溢出出等原因癱瘓或崩潰。等原因癱瘓或崩潰。5.2.3 軟件的錯(cuò)誤、缺陷和漏洞軟件的錯(cuò)誤、缺陷和漏洞 軟件的弱點(diǎn)例如：軟件的弱點(diǎn)例如： 操作系統(tǒng)弱點(diǎn)操作系統(tǒng)弱點(diǎn) 緩沖區(qū)溢出漏洞、輕易泄露操作系統(tǒng)信息、默認(rèn)的用戶緩沖區(qū)溢出漏洞、輕易泄露操作系統(tǒng)信息、默認(rèn)的用戶名和口令或使用簡(jiǎn)單的口令、隱蔽通道，特洛伊木馬；名和口令或使用簡(jiǎn)單的口令、隱蔽通道，特洛伊木馬； 系統(tǒng)服務(wù)弱點(diǎn)系統(tǒng)服務(wù)弱點(diǎn) www服務(wù)弱點(diǎn)、服務(wù)弱點(diǎn)、RPC(遠(yuǎn)程過(guò)程調(diào)用遠(yuǎn)程過(guò)程調(diào)用)漏洞

9、、漏洞、ftp服務(wù)漏服務(wù)漏洞、洞、TCP/IP通信協(xié)議弱點(diǎn)、軟件老化。通信協(xié)議弱點(diǎn)、軟件老化。5.2.4 數(shù)據(jù)庫(kù)的弱點(diǎn)數(shù)據(jù)庫(kù)的弱點(diǎn)o 數(shù)據(jù)庫(kù)作為數(shù)據(jù)的存儲(chǔ)和管理系統(tǒng)，在進(jìn)數(shù)據(jù)庫(kù)作為數(shù)據(jù)的存儲(chǔ)和管理系統(tǒng)，在進(jìn)行行數(shù)據(jù)庫(kù)設(shè)計(jì)數(shù)據(jù)庫(kù)設(shè)計(jì)時(shí)，在數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行時(shí)，在數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行代碼代碼實(shí)現(xiàn)實(shí)現(xiàn)時(shí)，在時(shí)，在用戶對(duì)數(shù)據(jù)庫(kù)進(jìn)行配置和使用用戶對(duì)數(shù)據(jù)庫(kù)進(jìn)行配置和使用時(shí)，都有可能出現(xiàn)疏漏和錯(cuò)誤時(shí)，都有可能出現(xiàn)疏漏和錯(cuò)誤.o 而數(shù)據(jù)庫(kù)系統(tǒng)存放的數(shù)據(jù)往往比計(jì)算機(jī)系而數(shù)據(jù)庫(kù)系統(tǒng)存放的數(shù)據(jù)往往比計(jì)算機(jī)系統(tǒng)本身的價(jià)值大得多，因此，數(shù)據(jù)庫(kù)的安統(tǒng)本身的價(jià)值大得多，因此，數(shù)據(jù)庫(kù)的安全問(wèn)題不容忽視。全問(wèn)題不容忽視。5.2.4數(shù)據(jù)庫(kù)

10、的弱點(diǎn)數(shù)據(jù)庫(kù)的弱點(diǎn) 數(shù)據(jù)庫(kù)弱點(diǎn)舉例數(shù)據(jù)庫(kù)弱點(diǎn)舉例 現(xiàn)在多數(shù)數(shù)據(jù)庫(kù)將原始數(shù)據(jù)以現(xiàn)在多數(shù)數(shù)據(jù)庫(kù)將原始數(shù)據(jù)以明文明文形式存儲(chǔ)形式存儲(chǔ)于數(shù)據(jù)庫(kù)中，這是不夠安全的，于數(shù)據(jù)庫(kù)中，這是不夠安全的，如果是重要數(shù)據(jù)，應(yīng)該考慮使用密文的如果是重要數(shù)據(jù)，應(yīng)該考慮使用密文的形式存儲(chǔ)。一些數(shù)據(jù)庫(kù)缺乏這方面的考形式存儲(chǔ)。一些數(shù)據(jù)庫(kù)缺乏這方面的考慮，沒(méi)有相應(yīng)的安全機(jī)制。慮，沒(méi)有相應(yīng)的安全機(jī)制。 5.2.5 網(wǎng)絡(luò)安全產(chǎn)品的弱點(diǎn)網(wǎng)絡(luò)安全產(chǎn)品的弱點(diǎn) 網(wǎng)絡(luò)安全產(chǎn)品在很大程度上提高了網(wǎng)絡(luò)系統(tǒng)的安全性，網(wǎng)絡(luò)安全產(chǎn)品在很大程度上提高了網(wǎng)絡(luò)系統(tǒng)的安全性，但不可否認(rèn)這些安全產(chǎn)品中同樣存在著弱點(diǎn)。但不可否認(rèn)這些安全產(chǎn)品中同樣存在著弱點(diǎn)。 如果

11、網(wǎng)絡(luò)安全產(chǎn)品如果網(wǎng)絡(luò)安全產(chǎn)品本身存在安全漏洞本身存在安全漏洞，那么不僅不能，那么不僅不能保障網(wǎng)絡(luò)安全，反而給人以安全的假象。保障網(wǎng)絡(luò)安全，反而給人以安全的假象。 系統(tǒng)管理員要了解網(wǎng)絡(luò)安全產(chǎn)品的弱點(diǎn)，并針對(duì)其特系統(tǒng)管理員要了解網(wǎng)絡(luò)安全產(chǎn)品的弱點(diǎn)，并針對(duì)其特點(diǎn)進(jìn)行合理選擇、正確配置才能發(fā)揮安全產(chǎn)品的有效點(diǎn)進(jìn)行合理選擇、正確配置才能發(fā)揮安全產(chǎn)品的有效作用。作用。5.2.6 用戶的管理的疏忽用戶的管理的疏忽 這是一種常見的情況。雖然這種情況的發(fā)生往往是這是一種常見的情況。雖然這種情況的發(fā)生往往是由于人為的原因，但這種疏漏卻非常普遍。管理人員疏由于人為的原因，但這種疏漏卻非常普遍。管理人員疏忽，安全防范

12、意識(shí)不強(qiáng)，或管理人員能力低下，都可能忽，安全防范意識(shí)不強(qiáng)，或管理人員能力低下，都可能成為管理上的漏洞。成為管理上的漏洞。 比如因管理人員疏忽大意，造成口令的泄漏、重要比如因管理人員疏忽大意，造成口令的泄漏、重要的資料被偷竊，或因管理人員水平較低，造成系統(tǒng)配置的資料被偷竊，或因管理人員水平較低，造成系統(tǒng)配置錯(cuò)誤等。錯(cuò)誤等。 大量攻擊事件表明，一個(gè)網(wǎng)絡(luò)系統(tǒng)被攻破，不是由于大量攻擊事件表明，一個(gè)網(wǎng)絡(luò)系統(tǒng)被攻破，不是由于技術(shù)原因，而是因?yàn)榧夹g(shù)原因，而是因?yàn)楣芾砩洗嬖谥觞c(diǎn)管理上存在著弱點(diǎn)。比如用戶的安。比如用戶的安全理念不強(qiáng)，或是員工蓄意破壞等。全理念不強(qiáng)，或是員工蓄意破壞等。5.3 系統(tǒng)的主要漏洞分

13、類系統(tǒng)的主要漏洞分類o 5.3.1 根據(jù)漏洞被攻擊者利用的方式根據(jù)漏洞被攻擊者利用的方式 分類分類o 5.3.2 根據(jù)漏洞所指目標(biāo)分類根據(jù)漏洞所指目標(biāo)分類o 5.3.3 根據(jù)漏洞導(dǎo)致的直接威脅分類根據(jù)漏洞導(dǎo)致的直接威脅分類o 5.3.4 根據(jù)漏洞對(duì)系統(tǒng)安全性造成的根據(jù)漏洞對(duì)系統(tǒng)安全性造成的 損害分類損害分類5.3系統(tǒng)的主要漏洞分類系統(tǒng)的主要漏洞分類 漏洞漏洞是指系統(tǒng)硬件、操作系統(tǒng)、軟件、網(wǎng)絡(luò)協(xié)是指系統(tǒng)硬件、操作系統(tǒng)、軟件、網(wǎng)絡(luò)協(xié)議、數(shù)據(jù)庫(kù)等在設(shè)計(jì)上、實(shí)現(xiàn)上出現(xiàn)的可以被攻擊議、數(shù)據(jù)庫(kù)等在設(shè)計(jì)上、實(shí)現(xiàn)上出現(xiàn)的可以被攻擊者利用的者利用的錯(cuò)誤、缺陷和疏漏錯(cuò)誤、缺陷和疏漏。 通俗一點(diǎn)說(shuō)，漏洞就是可以被攻

14、擊者利用的通俗一點(diǎn)說(shuō)，漏洞就是可以被攻擊者利用的系系統(tǒng)弱點(diǎn)統(tǒng)弱點(diǎn)。沒(méi)有漏洞就不會(huì)有成功的入侵和攻擊，但。沒(méi)有漏洞就不會(huì)有成功的入侵和攻擊，但沒(méi)有漏洞的系統(tǒng)是不存在的。沒(méi)有漏洞的系統(tǒng)是不存在的。 至少到現(xiàn)在為止，沒(méi)有哪個(gè)操作系統(tǒng)和軟件的至少到現(xiàn)在為止，沒(méi)有哪個(gè)操作系統(tǒng)和軟件的生產(chǎn)者敢說(shuō)自己的產(chǎn)品沒(méi)有漏洞，事實(shí)上，主要的生產(chǎn)者敢說(shuō)自己的產(chǎn)品沒(méi)有漏洞，事實(shí)上，主要的操作系統(tǒng)和軟件都發(fā)現(xiàn)有漏洞，有的還很嚴(yán)重。操作系統(tǒng)和軟件都發(fā)現(xiàn)有漏洞，有的還很嚴(yán)重。 5.3系統(tǒng)的主要漏洞分類系統(tǒng)的主要漏洞分類 漏洞形成的漏洞形成的主要原因分類主要原因分類：輸入驗(yàn)：輸入驗(yàn)證錯(cuò)誤、緩沖區(qū)溢出、設(shè)計(jì)錯(cuò)誤、意外證錯(cuò)誤、緩沖區(qū)

15、溢出、設(shè)計(jì)錯(cuò)誤、意外情況處置錯(cuò)誤、訪問(wèn)驗(yàn)證錯(cuò)誤、配置錯(cuò)情況處置錯(cuò)誤、訪問(wèn)驗(yàn)證錯(cuò)誤、配置錯(cuò)誤、競(jìng)爭(zhēng)條件、環(huán)境錯(cuò)誤、其他等。誤、競(jìng)爭(zhēng)條件、環(huán)境錯(cuò)誤、其他等。5.3.1根據(jù)漏洞被攻擊者利用的方式分類根據(jù)漏洞被攻擊者利用的方式分類 本地（本地（local）攻擊漏洞）攻擊漏洞：要想利用此類漏洞，：要想利用此類漏洞，攻擊者必須是系統(tǒng)的本地合法用戶或已經(jīng)通過(guò)攻擊者必須是系統(tǒng)的本地合法用戶或已經(jīng)通過(guò)其他攻擊方法獲得了本地權(quán)限的非法用戶。其他攻擊方法獲得了本地權(quán)限的非法用戶。 遠(yuǎn)程（遠(yuǎn)程（remote）攻擊漏洞）攻擊漏洞：利用此類漏洞，：利用此類漏洞，攻擊者可通過(guò)網(wǎng)絡(luò)，對(duì)連接在網(wǎng)絡(luò)上的遠(yuǎn)程主攻擊者可通過(guò)網(wǎng)絡(luò)，對(duì)

16、連接在網(wǎng)絡(luò)上的遠(yuǎn)程主機(jī)進(jìn)行攻擊。機(jī)進(jìn)行攻擊。5.3.2 根據(jù)漏洞所指目標(biāo)分類根據(jù)漏洞所指目標(biāo)分類 漏洞所指目標(biāo)漏洞所指目標(biāo)或者說(shuō)是漏洞存在的位置，比如是硬或者說(shuō)是漏洞存在的位置，比如是硬件本身存在問(wèn)題，還是操作系統(tǒng)或者某個(gè)應(yīng)用服務(wù)存在件本身存在問(wèn)題，還是操作系統(tǒng)或者某個(gè)應(yīng)用服務(wù)存在問(wèn)題。問(wèn)題。 從這個(gè)角度可以分成：操作系統(tǒng)、網(wǎng)絡(luò)協(xié)議棧、非服從這個(gè)角度可以分成：操作系統(tǒng)、網(wǎng)絡(luò)協(xié)議棧、非服務(wù)器程序、服務(wù)器程序、硬件、通信協(xié)議、口令恢復(fù)和務(wù)器程序、服務(wù)器程序、硬件、通信協(xié)議、口令恢復(fù)和其他。其他。5.3.3 根據(jù)漏洞導(dǎo)致的直接威脅分類根據(jù)漏洞導(dǎo)致的直接威脅分類 漏洞導(dǎo)致的最直接的威脅是指攻擊漏洞導(dǎo)致

17、的最直接的威脅是指攻擊者利用此類漏洞可以獲得的最直接的者利用此類漏洞可以獲得的最直接的非非法權(quán)限或者攻擊效果法權(quán)限或者攻擊效果。據(jù)此，系統(tǒng)安全。據(jù)此，系統(tǒng)安全漏洞可以歸為以下幾類。漏洞可以歸為以下幾類。5.3.3 根據(jù)漏洞導(dǎo)致的直接威脅分類根據(jù)漏洞導(dǎo)致的直接威脅分類 普通用戶訪問(wèn)權(quán)限普通用戶訪問(wèn)權(quán)限：攻擊者可以獲得系統(tǒng)的普：攻擊者可以獲得系統(tǒng)的普通用戶存取權(quán)限，通常是利用服務(wù)器的某些漏通用戶存取權(quán)限，通常是利用服務(wù)器的某些漏洞。洞。 本地管理員權(quán)限本地管理員權(quán)限：已有本地用戶權(quán)限的攻擊者：已有本地用戶權(quán)限的攻擊者通過(guò)攻擊本地某些有缺陷的通過(guò)攻擊本地某些有缺陷的SUID程序，得到程序，得到系統(tǒng)管

18、理員權(quán)限。系統(tǒng)管理員權(quán)限。 遠(yuǎn)程管理員權(quán)限遠(yuǎn)程管理員權(quán)限：攻擊者不需要本地用戶權(quán)限：攻擊者不需要本地用戶權(quán)限可直接獲得遠(yuǎn)程系統(tǒng)的管理員權(quán)限，通常是通可直接獲得遠(yuǎn)程系統(tǒng)的管理員權(quán)限，通常是通過(guò)以過(guò)以root身份執(zhí)行有缺陷的系統(tǒng)守護(hù)進(jìn)程而獲身份執(zhí)行有缺陷的系統(tǒng)守護(hù)進(jìn)程而獲得。得。5.3.3 根據(jù)漏洞導(dǎo)致的直接威脅分類根據(jù)漏洞導(dǎo)致的直接威脅分類 權(quán)限提升權(quán)限提升：攻擊者在本地通過(guò)攻擊某些有缺陷：攻擊者在本地通過(guò)攻擊某些有缺陷的程序，把自己的普通權(quán)限提升為管理員權(quán)限。的程序，把自己的普通權(quán)限提升為管理員權(quán)限。 本地拒絕服務(wù)本地拒絕服務(wù)：攻擊者使系統(tǒng)本身或應(yīng)用程序：攻擊者使系統(tǒng)本身或應(yīng)用程序不能正常運(yùn)轉(zhuǎn)

19、或者正常提供服務(wù)。不能正常運(yùn)轉(zhuǎn)或者正常提供服務(wù)。 遠(yuǎn)程拒絕服務(wù)遠(yuǎn)程拒絕服務(wù)：攻擊者利用此類漏洞對(duì)遠(yuǎn)程系：攻擊者利用此類漏洞對(duì)遠(yuǎn)程系統(tǒng)發(fā)起拒絕服務(wù)攻擊，使系統(tǒng)或相關(guān)的應(yīng)用程統(tǒng)發(fā)起拒絕服務(wù)攻擊，使系統(tǒng)或相關(guān)的應(yīng)用程序崩潰或失去響應(yīng)能力。序崩潰或失去響應(yīng)能力。5.3.3 根據(jù)漏洞導(dǎo)致的直接威脅分類根據(jù)漏洞導(dǎo)致的直接威脅分類 讀取受限文件讀取受限文件：攻擊者通過(guò)利用某些漏洞，讀：攻擊者通過(guò)利用某些漏洞，讀取系統(tǒng)中自己沒(méi)有權(quán)限讀取的文件。取系統(tǒng)中自己沒(méi)有權(quán)限讀取的文件。 遠(yuǎn)程非授權(quán)文件存取遠(yuǎn)程非授權(quán)文件存?。汗粽呖梢圆唤?jīng)授權(quán)地：攻擊者可以不經(jīng)授權(quán)地從遠(yuǎn)程存取系統(tǒng)的某些文件。從遠(yuǎn)程存取系統(tǒng)的某些文件。

20、口令恢復(fù)口令恢復(fù)：攻擊者很容易分析出口令的加密方：攻擊者很容易分析出口令的加密方法，從而通過(guò)某種方法得到密碼，然后通過(guò)密法，從而通過(guò)某種方法得到密碼，然后通過(guò)密碼還原出明文。碼還原出明文。5.3.3 根據(jù)漏洞導(dǎo)致的直接威脅分類根據(jù)漏洞導(dǎo)致的直接威脅分類 欺騙欺騙：攻擊者對(duì)目標(biāo)系統(tǒng)實(shí)施某種形式的欺：攻擊者對(duì)目標(biāo)系統(tǒng)實(shí)施某種形式的欺騙。騙。 信息泄露信息泄露： 攻擊者收集有利于進(jìn)一步攻擊的攻擊者收集有利于進(jìn)一步攻擊的目標(biāo)系統(tǒng)信息。目標(biāo)系統(tǒng)信息。 其他其他5.3.4根據(jù)漏洞對(duì)系統(tǒng)安全性造成的損害分類根據(jù)漏洞對(duì)系統(tǒng)安全性造成的損害分類 根據(jù)漏洞對(duì)系統(tǒng)的安全性造成的危害可分根據(jù)漏洞對(duì)系統(tǒng)的安全性造成的危

21、害可分為有效性、隱密性、完整性、安全保護(hù)。為有效性、隱密性、完整性、安全保護(hù)。 其中安全保護(hù)還可分為：獲得超級(jí)用戶權(quán)其中安全保護(hù)還可分為：獲得超級(jí)用戶權(quán)限、獲得普通用戶權(quán)限、獲得其他用戶權(quán)限。限、獲得普通用戶權(quán)限、獲得其他用戶權(quán)限。5.3.4 根據(jù)漏洞對(duì)系統(tǒng)安全性造成的損害分類根據(jù)漏洞對(duì)系統(tǒng)安全性造成的損害分類 系統(tǒng)安全漏洞根據(jù)其對(duì)系統(tǒng)造成的潛在威脅以及被利系統(tǒng)安全漏洞根據(jù)其對(duì)系統(tǒng)造成的潛在威脅以及被利用的可能性可將各種系統(tǒng)安全漏洞進(jìn)行分級(jí)。用的可能性可將各種系統(tǒng)安全漏洞進(jìn)行分級(jí)。 高級(jí)別高級(jí)別：大部分遠(yuǎn)程和本地管理員權(quán)限漏洞屬于：大部分遠(yuǎn)程和本地管理員權(quán)限漏洞屬于“高高”級(jí)級(jí)別；別； 中級(jí)別

22、中級(jí)別：大部分普通用戶權(quán)限、權(quán)限提升、讀取受限文件、：大部分普通用戶權(quán)限、權(quán)限提升、讀取受限文件、遠(yuǎn)程和本地拒絕服務(wù)漏洞屬于遠(yuǎn)程和本地拒絕服務(wù)漏洞屬于“中中”級(jí)別；級(jí)別； 低級(jí)別低級(jí)別：大部分遠(yuǎn)程非授權(quán)文件存取、口令恢復(fù)、欺騙、：大部分遠(yuǎn)程非授權(quán)文件存取、口令恢復(fù)、欺騙、信息泄露漏洞屬于信息泄露漏洞屬于“低低”級(jí)別。但這只是一般情況，具體級(jí)別。但這只是一般情況，具體情況還需要具體分析。情況還需要具體分析。5.4 幾種常見漏洞的分析幾種常見漏洞的分析1. 緩沖區(qū)溢出緩沖區(qū)溢出2. 拒絕服務(wù)攻擊漏洞拒絕服務(wù)攻擊漏洞3. 權(quán)限提升漏洞權(quán)限提升漏洞4. 遠(yuǎn)程命令執(zhí)行漏洞遠(yuǎn)程命令執(zhí)行漏洞5. 文件泄漏、

23、信息泄漏漏洞文件泄漏、信息泄漏漏洞6. 其他類型的漏洞其他類型的漏洞1. 緩沖區(qū)溢出 緩沖區(qū)溢出漏洞緩沖區(qū)溢出漏洞是很典型的一類漏洞，現(xiàn)有的漏洞很多是很典型的一類漏洞，現(xiàn)有的漏洞很多都可以歸為此類。對(duì)于存在此漏洞的系統(tǒng)，攻擊者通過(guò)都可以歸為此類。對(duì)于存在此漏洞的系統(tǒng)，攻擊者通過(guò)往程往程序的緩沖區(qū)寫超出其長(zhǎng)度的內(nèi)容序的緩沖區(qū)寫超出其長(zhǎng)度的內(nèi)容，造成緩沖區(qū)的溢出，從而造成緩沖區(qū)的溢出，從而破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其它指令，以達(dá)到攻擊的破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其它指令，以達(dá)到攻擊的目的。目的。 如如NSFOCUS安全小組發(fā)現(xiàn)微軟安全小組發(fā)現(xiàn)微軟FrontPage 2000 服務(wù)器擴(kuò)展軟件

24、包中的一個(gè)程序存在一個(gè)緩沖區(qū)溢出漏洞。服務(wù)器擴(kuò)展軟件包中的一個(gè)程序存在一個(gè)緩沖區(qū)溢出漏洞。遠(yuǎn)程攻擊者可能利用這個(gè)漏洞執(zhí)行任意代碼。遠(yuǎn)程攻擊者可能利用這個(gè)漏洞執(zhí)行任意代碼。緩沖區(qū)溢出o 在當(dāng)前網(wǎng)絡(luò)與分布式系統(tǒng)安全中，被廣泛利用的在當(dāng)前網(wǎng)絡(luò)與分布式系統(tǒng)安全中，被廣泛利用的50%以上都是緩沖區(qū)溢出，其中最著名的例子是以上都是緩沖區(qū)溢出，其中最著名的例子是1988年利年利用用fingerd漏洞的蠕蟲。漏洞的蠕蟲。o 而緩沖區(qū)溢出中，最為危險(xiǎn)的是堆棧溢出，因?yàn)槿肭终叨彌_區(qū)溢出中，最為危險(xiǎn)的是堆棧溢出，因?yàn)槿肭终呖梢岳枚褩Ｒ绯觯诤瘮?shù)返回時(shí)改變返回程序的地址，可以利用堆棧溢出，在函數(shù)返回時(shí)改變返回程序

25、的地址，讓其跳轉(zhuǎn)到任意地址，帶來(lái)的危害一種是程序崩潰導(dǎo)致讓其跳轉(zhuǎn)到任意地址，帶來(lái)的危害一種是程序崩潰導(dǎo)致拒絕服務(wù)，另外一種就是跳轉(zhuǎn)并且執(zhí)行一段惡意代碼，拒絕服務(wù)，另外一種就是跳轉(zhuǎn)并且執(zhí)行一段惡意代碼，比如得到比如得到shell，然后為所欲為。，然后為所欲為。緩沖區(qū)溢出o 如果把一加侖的水注入容量為一品脫的容量中，水會(huì)四如果把一加侖的水注入容量為一品脫的容量中，水會(huì)四處冒出，這時(shí)你就會(huì)充分理解溢出的含義。處冒出，這時(shí)你就會(huì)充分理解溢出的含義。o 同樣的道理，在計(jì)算機(jī)內(nèi)部，如果你向一個(gè)容量有限的同樣的道理，在計(jì)算機(jī)內(nèi)部，如果你向一個(gè)容量有限的內(nèi)存空間里存儲(chǔ)過(guò)量數(shù)據(jù)，這時(shí)數(shù)據(jù)也會(huì)溢出存儲(chǔ)空間。內(nèi)存空

26、間里存儲(chǔ)過(guò)量數(shù)據(jù)，這時(shí)數(shù)據(jù)也會(huì)溢出存儲(chǔ)空間。o 輸入數(shù)據(jù)通常被存放在一個(gè)臨時(shí)空間內(nèi)，輸入數(shù)據(jù)通常被存放在一個(gè)臨時(shí)空間內(nèi)，這個(gè)臨時(shí)存放這個(gè)臨時(shí)存放空間被稱為緩沖區(qū)空間被稱為緩沖區(qū)，緩沖區(qū)的長(zhǎng)度事先已經(jīng)被程序或者，緩沖區(qū)的長(zhǎng)度事先已經(jīng)被程序或者操作系統(tǒng)定義好了。操作系統(tǒng)定義好了。 緩沖區(qū)溢出o 緩沖區(qū)溢出緩沖區(qū)溢出是指當(dāng)計(jì)算機(jī)程序向緩沖區(qū)內(nèi)填充的數(shù)據(jù)位是指當(dāng)計(jì)算機(jī)程序向緩沖區(qū)內(nèi)填充的數(shù)據(jù)位數(shù)超過(guò)了緩沖區(qū)本身的容量。溢出的數(shù)據(jù)覆蓋在合法數(shù)數(shù)超過(guò)了緩沖區(qū)本身的容量。溢出的數(shù)據(jù)覆蓋在合法數(shù)據(jù)上。據(jù)上。o 理想情況是，程序檢查數(shù)據(jù)長(zhǎng)度并且不允許輸入超過(guò)緩理想情況是，程序檢查數(shù)據(jù)長(zhǎng)度并且不允許輸入超過(guò)緩沖區(qū)

27、長(zhǎng)度的字符串。但是絕大多數(shù)程序都會(huì)假設(shè)數(shù)據(jù)長(zhǎng)沖區(qū)長(zhǎng)度的字符串。但是絕大多數(shù)程序都會(huì)假設(shè)數(shù)據(jù)長(zhǎng)度總是與所分配的存儲(chǔ)空間相匹配，這就為緩沖區(qū)溢出度總是與所分配的存儲(chǔ)空間相匹配，這就為緩沖區(qū)溢出埋下隱患。埋下隱患。o 操作系統(tǒng)所使用的緩沖區(qū)又被稱為操作系統(tǒng)所使用的緩沖區(qū)又被稱為堆棧堆棧，在各個(gè)操作進(jìn)，在各個(gè)操作進(jìn)程之間，指令被臨時(shí)存儲(chǔ)在堆棧當(dāng)中，堆棧也會(huì)出現(xiàn)緩程之間，指令被臨時(shí)存儲(chǔ)在堆棧當(dāng)中，堆棧也會(huì)出現(xiàn)緩沖區(qū)溢出。沖區(qū)溢出。 緩沖區(qū)溢出o當(dāng)一個(gè)超長(zhǎng)的數(shù)據(jù)進(jìn)入到緩沖區(qū)時(shí)，超出部分就會(huì)被寫入其他緩沖區(qū)，其當(dāng)一個(gè)超長(zhǎng)的數(shù)據(jù)進(jìn)入到緩沖區(qū)時(shí)，超出部分就會(huì)被寫入其他緩沖區(qū)，其他緩沖區(qū)存放的可能是數(shù)據(jù)、下一條指

28、令的指針，或者是其他程序的輸出他緩沖區(qū)存放的可能是數(shù)據(jù)、下一條指令的指針，或者是其他程序的輸出內(nèi)容，這些內(nèi)容都被覆蓋或者破壞掉?？梢娨恍〔糠?jǐn)?shù)據(jù)或者一套指令的內(nèi)容，這些內(nèi)容都被覆蓋或者破壞掉?？梢娨恍〔糠?jǐn)?shù)據(jù)或者一套指令的溢出就可能導(dǎo)致一個(gè)程序或者操作系統(tǒng)崩潰。溢出就可能導(dǎo)致一個(gè)程序或者操作系統(tǒng)崩潰。 o緩沖區(qū)溢出是由編程錯(cuò)誤引起的。如果緩沖區(qū)被寫滿，而程序沒(méi)緩沖區(qū)溢出是由編程錯(cuò)誤引起的。如果緩沖區(qū)被寫滿，而程序沒(méi)有去檢查緩沖區(qū)邊界，也沒(méi)有停止接收數(shù)據(jù)，這時(shí)緩沖區(qū)溢出就有去檢查緩沖區(qū)邊界，也沒(méi)有停止接收數(shù)據(jù)，這時(shí)緩沖區(qū)溢出就會(huì)發(fā)生。緩沖區(qū)邊界檢查被認(rèn)為是不會(huì)有收益的管理支出，計(jì)算會(huì)發(fā)生。緩沖區(qū)

29、邊界檢查被認(rèn)為是不會(huì)有收益的管理支出，計(jì)算機(jī)資源不夠或者內(nèi)存不足是編程者不編寫緩沖區(qū)邊界檢查語(yǔ)句的機(jī)資源不夠或者內(nèi)存不足是編程者不編寫緩沖區(qū)邊界檢查語(yǔ)句的理由。理由。 緩沖區(qū)溢出o緩沖區(qū)溢出之所以泛濫，是由于開放源代碼程序的本質(zhì)決定的。緩沖區(qū)溢出之所以泛濫，是由于開放源代碼程序的本質(zhì)決定的。一些編程語(yǔ)言對(duì)于緩沖區(qū)溢出是具有免疫力的，例如一些編程語(yǔ)言對(duì)于緩沖區(qū)溢出是具有免疫力的，例如Perl能夠自能夠自動(dòng)調(diào)節(jié)字節(jié)排列的大小，動(dòng)調(diào)節(jié)字節(jié)排列的大小，Ada95能夠檢查和阻止緩沖區(qū)溢出。能夠檢查和阻止緩沖區(qū)溢出。o但是被廣泛使用的但是被廣泛使用的C語(yǔ)言卻沒(méi)有建立檢測(cè)機(jī)制。標(biāo)準(zhǔn)語(yǔ)言卻沒(méi)有建立檢測(cè)機(jī)制。標(biāo)

30、準(zhǔn)C語(yǔ)言具有許語(yǔ)言具有許多復(fù)制和添加字符串的函數(shù)，這使得標(biāo)準(zhǔn)多復(fù)制和添加字符串的函數(shù)，這使得標(biāo)準(zhǔn)C語(yǔ)言很難進(jìn)行邊界檢查。語(yǔ)言很難進(jìn)行邊界檢查。C略微好一些，但是仍然存在緩沖區(qū)溢出。一般情況下，覆蓋略微好一些，但是仍然存在緩沖區(qū)溢出。一般情況下，覆蓋其他數(shù)據(jù)區(qū)的數(shù)據(jù)是沒(méi)有意義的，最多造成應(yīng)用程序錯(cuò)誤，但是，其他數(shù)據(jù)區(qū)的數(shù)據(jù)是沒(méi)有意義的，最多造成應(yīng)用程序錯(cuò)誤，但是，如果輸入的數(shù)據(jù)是經(jīng)過(guò)如果輸入的數(shù)據(jù)是經(jīng)過(guò)“黑客黑客”或者病毒精心設(shè)計(jì)的，覆蓋緩沖或者病毒精心設(shè)計(jì)的，覆蓋緩沖區(qū)的數(shù)據(jù)恰恰是區(qū)的數(shù)據(jù)恰恰是“黑客黑客”或者病毒的入侵程序代碼，一旦多余字或者病毒的入侵程序代碼，一旦多余字節(jié)被編譯執(zhí)行，節(jié)被編

31、譯執(zhí)行，“黑客黑客”或者病毒就有可能為所欲為，獲取系統(tǒng)或者病毒就有可能為所欲為，獲取系統(tǒng)的控制權(quán)。的控制權(quán)。 緩沖區(qū)溢出o 盡管緩沖區(qū)溢出也會(huì)發(fā)生在非盡管緩沖區(qū)溢出也會(huì)發(fā)生在非C/C+語(yǔ)言上，但考語(yǔ)言上，但考慮到各種語(yǔ)言的運(yùn)用程度，我們可以在某種程度上說(shuō)，慮到各種語(yǔ)言的運(yùn)用程度，我們可以在某種程度上說(shuō)，緩沖區(qū)溢出是緩沖區(qū)溢出是C/C+的專利。的專利。o 如果你在一個(gè)用如果你在一個(gè)用VB寫的程序里面找溢出漏洞，你將會(huì)寫的程序里面找溢出漏洞，你將會(huì)很出名。在很出名。在C/C+這兩種使用非常廣泛的語(yǔ)言里面，這兩種使用非常廣泛的語(yǔ)言里面，并沒(méi)有邊界來(lái)檢查數(shù)組和指針的引用并沒(méi)有邊界來(lái)檢查數(shù)組和指針的引用

32、，這樣做的目的是，這樣做的目的是為了提高效率，而不幸的是，這也留下了嚴(yán)重的安全問(wèn)為了提高效率，而不幸的是，這也留下了嚴(yán)重的安全問(wèn)題。先看下面一段簡(jiǎn)單的代碼：題。先看下面一段簡(jiǎn)單的代碼：緩沖區(qū)溢出o #includevoid main() char buf8; gets(buf);程序運(yùn)行的時(shí)候，如果你輸入程序運(yùn)行的時(shí)候，如果你輸入“Hello”，或者，或者“Kitty”，那么一切正常，但是如果輸入，那么一切正常，但是如果輸入“Today is a good day”，那么我得通知，那么我得通知你，程序發(fā)生溢出了。你，程序發(fā)生溢出了。緩沖區(qū)溢出緩沖區(qū)溢出o 很顯然，很顯然，buf這個(gè)數(shù)組只申請(qǐng)到

33、這個(gè)數(shù)組只申請(qǐng)到8個(gè)字節(jié)的內(nèi)存?zhèn)€字節(jié)的內(nèi)存空間，而輸入的字符卻超過(guò)了這個(gè)數(shù)目，于是，空間，而輸入的字符卻超過(guò)了這個(gè)數(shù)目，于是，多余的字符將會(huì)占領(lǐng)程序中不屬于自己的內(nèi)存。多余的字符將會(huì)占領(lǐng)程序中不屬于自己的內(nèi)存。因?yàn)橐驗(yàn)镃/C+語(yǔ)言并不檢查邊界，于是，程序語(yǔ)言并不檢查邊界，于是，程序?qū)⒖此普＠^續(xù)運(yùn)行。將看似正常繼續(xù)運(yùn)行。o 如果被溢出部分占領(lǐng)的內(nèi)存并不重要，或者是如果被溢出部分占領(lǐng)的內(nèi)存并不重要，或者是一塊沒(méi)有使用的內(nèi)存，那么，程序?qū)?huì)繼續(xù)看一塊沒(méi)有使用的內(nèi)存，那么，程序?qū)?huì)繼續(xù)看似正常的運(yùn)行到結(jié)束。但是，如果似正常的運(yùn)行到結(jié)束。但是，如果溢出部分占溢出部分占領(lǐng)的正好的是存放了程序重要數(shù)據(jù)的內(nèi)

34、存領(lǐng)的正好的是存放了程序重要數(shù)據(jù)的內(nèi)存，那，那么一切將會(huì)不堪設(shè)想。么一切將會(huì)不堪設(shè)想。 緩沖區(qū)溢出緩沖區(qū)溢出o緩沖區(qū)溢出是病毒編寫者和特洛伊木馬編寫者偏愛使用的一種攻擊方法。攻擊者或緩沖區(qū)溢出是病毒編寫者和特洛伊木馬編寫者偏愛使用的一種攻擊方法。攻擊者或者病毒善于在系統(tǒng)當(dāng)中發(fā)現(xiàn)容易產(chǎn)生緩沖區(qū)溢出之處，運(yùn)行特別程序，獲得優(yōu)先級(jí)，者病毒善于在系統(tǒng)當(dāng)中發(fā)現(xiàn)容易產(chǎn)生緩沖區(qū)溢出之處，運(yùn)行特別程序，獲得優(yōu)先級(jí)，指示計(jì)算機(jī)破壞文件，改變數(shù)據(jù)，泄露敏感信息，產(chǎn)生后門訪問(wèn)點(diǎn)，感染或者攻擊指示計(jì)算機(jī)破壞文件，改變數(shù)據(jù)，泄露敏感信息，產(chǎn)生后門訪問(wèn)點(diǎn)，感染或者攻擊其他計(jì)算機(jī)。其他計(jì)算機(jī)。 2000年年7月，微軟月，微

35、軟Outlook以及以及Outlook Express被發(fā)現(xiàn)存在漏洞能夠使攻擊被發(fā)現(xiàn)存在漏洞能夠使攻擊者僅通過(guò)發(fā)送郵件就能危及目標(biāo)主機(jī)安全，只要郵件頭部程序被運(yùn)行，就會(huì)產(chǎn)生緩者僅通過(guò)發(fā)送郵件就能危及目標(biāo)主機(jī)安全，只要郵件頭部程序被運(yùn)行，就會(huì)產(chǎn)生緩沖區(qū)溢出，并且觸發(fā)惡意代碼。沖區(qū)溢出，并且觸發(fā)惡意代碼。2001年年8月，月，“紅色代碼紅色代碼”利用微軟利用微軟IIS漏洞產(chǎn)漏洞產(chǎn)生緩沖區(qū)存溢出，成為攻擊企業(yè)網(wǎng)絡(luò)的生緩沖區(qū)存溢出，成為攻擊企業(yè)網(wǎng)絡(luò)的“罪魁禍?zhǔn)鬃锟準(zhǔn)住薄?003年年1月，月，Slammer蠕蟲利用微軟蠕蟲利用微軟SQL漏洞產(chǎn)生緩沖區(qū)溢出對(duì)全球互聯(lián)網(wǎng)產(chǎn)生沖擊。而在近幾天，一漏洞產(chǎn)生緩沖

36、區(qū)溢出對(duì)全球互聯(lián)網(wǎng)產(chǎn)生沖擊。而在近幾天，一種名為種名為“沖擊波沖擊波”的蠕蟲病毒利用微軟的蠕蟲病毒利用微軟RPC遠(yuǎn)程調(diào)用存在的緩沖區(qū)漏洞對(duì)遠(yuǎn)程調(diào)用存在的緩沖區(qū)漏洞對(duì)Windows 2000/XP、Windows Server 2003進(jìn)行攻擊，波及全球網(wǎng)絡(luò)系進(jìn)行攻擊，波及全球網(wǎng)絡(luò)系統(tǒng)。據(jù)統(tǒng)。據(jù)CERT安全小組稱，安全小組稱，*作系統(tǒng)中超過(guò)作系統(tǒng)中超過(guò)50%的安全漏洞都是由內(nèi)存溢出引起的安全漏洞都是由內(nèi)存溢出引起的，其中大多數(shù)與微軟技術(shù)有關(guān)，這些與內(nèi)存溢出相關(guān)的安全漏洞正在被越來(lái)越多的，其中大多數(shù)與微軟技術(shù)有關(guān)，這些與內(nèi)存溢出相關(guān)的安全漏洞正在被越來(lái)越多的蠕蟲病毒所利用。的蠕蟲病毒所利用。 緩沖

37、區(qū)溢出緩沖區(qū)溢出o 緩沖區(qū)溢出是目前導(dǎo)致緩沖區(qū)溢出是目前導(dǎo)致“黑客黑客”型病毒橫行的型病毒橫行的主要原因。從紅色代碼到主要原因。從紅色代碼到Slammer,再到日前再到日前爆發(fā)的爆發(fā)的“沖擊波沖擊波”，都是利用緩沖區(qū)溢出漏洞，都是利用緩沖區(qū)溢出漏洞的典型。緩沖區(qū)溢出是一個(gè)編程問(wèn)題，防止利的典型。緩沖區(qū)溢出是一個(gè)編程問(wèn)題，防止利用緩沖區(qū)溢出發(fā)起的攻擊，關(guān)鍵在于程序開發(fā)用緩沖區(qū)溢出發(fā)起的攻擊，關(guān)鍵在于程序開發(fā)者在開發(fā)程序時(shí)仔細(xì)檢查溢出情況，不允許數(shù)者在開發(fā)程序時(shí)仔細(xì)檢查溢出情況，不允許數(shù)據(jù)溢出緩沖區(qū)。此外，用戶需要經(jīng)常登錄據(jù)溢出緩沖區(qū)。此外，用戶需要經(jīng)常登錄*作作系統(tǒng)和應(yīng)用程序提供商的網(wǎng)站，跟蹤公

38、布的系系統(tǒng)和應(yīng)用程序提供商的網(wǎng)站，跟蹤公布的系統(tǒng)漏洞，及時(shí)下載補(bǔ)丁程序，彌補(bǔ)系統(tǒng)漏洞。統(tǒng)漏洞，及時(shí)下載補(bǔ)丁程序，彌補(bǔ)系統(tǒng)漏洞。 Oracle遠(yuǎn)程緩沖區(qū)溢出漏洞遠(yuǎn)程緩沖區(qū)溢出漏洞o發(fā)布日期：發(fā)布日期：2003年年2月月16日日o受影響系統(tǒng)：受影響系統(tǒng)：Oracle9i Database Release 2Oracle9i Release 1Oracle8i, 8.1.7, 8.0.6詳細(xì)描述：詳細(xì)描述： Oracle數(shù)據(jù)庫(kù)服務(wù)器存在遠(yuǎn)程緩沖區(qū)溢出漏洞。攻擊者可以通過(guò)使用數(shù)據(jù)庫(kù)服務(wù)器存在遠(yuǎn)程緩沖區(qū)溢出漏洞。攻擊者可以通過(guò)使用超長(zhǎng)的用戶名登錄導(dǎo)致基于棧的緩沖區(qū)溢出。攻擊者可以利用這個(gè)漏洞獲超長(zhǎng)的用戶

39、名登錄導(dǎo)致基于棧的緩沖區(qū)溢出。攻擊者可以利用這個(gè)漏洞獲得用戶權(quán)限執(zhí)行任意代碼。此漏洞可能危及操作系統(tǒng)和數(shù)據(jù)庫(kù)中的敏感數(shù)得用戶權(quán)限執(zhí)行任意代碼。此漏洞可能危及操作系統(tǒng)和數(shù)據(jù)庫(kù)中的敏感數(shù)據(jù)。據(jù)。Oracle遠(yuǎn)程緩沖區(qū)溢出漏洞遠(yuǎn)程緩沖區(qū)溢出漏洞o 解決方案：解決方案：o 請(qǐng)到下列網(wǎng)址下載補(bǔ)丁程序或查閱詳細(xì)信息。請(qǐng)到下列網(wǎng)址下載補(bǔ)丁程序或查閱詳細(xì)信息。o http:/ 拒絕服務(wù)攻擊漏洞 拒絕服務(wù)攻擊漏洞也是一類典型的漏洞。攻擊者利用此漏洞拒絕服務(wù)攻擊漏洞也是一類典型的漏洞。攻擊者利用此漏洞進(jìn)行攻擊主要是為了進(jìn)行攻擊主要是為了使服務(wù)器資源最終會(huì)被耗盡而無(wú)法對(duì)正常的服使服務(wù)器資源最終會(huì)被耗盡而無(wú)法對(duì)正常的

40、服務(wù)作出響應(yīng)。務(wù)作出響應(yīng)。 Windows NT Service Pack 2之前的部分之前的部分Win32K函函數(shù)不正確檢查輸入?yún)?shù)，遠(yuǎn)程攻擊者可以利用這個(gè)漏洞對(duì)系統(tǒng)進(jìn)行數(shù)不正確檢查輸入?yún)?shù)，遠(yuǎn)程攻擊者可以利用這個(gè)漏洞對(duì)系統(tǒng)進(jìn)行拒絕服務(wù)攻擊。拒絕服務(wù)攻擊。 Win32K.sys是是Windows設(shè)備驅(qū)動(dòng)程序，用于處理設(shè)備驅(qū)動(dòng)程序，用于處理GDI(圖形設(shè)備接口圖形設(shè)備接口)服務(wù)調(diào)用，但是服務(wù)調(diào)用，但是Service Pack 2之前的系之前的系統(tǒng)不是所有統(tǒng)不是所有Win32K函數(shù)對(duì)輸入?yún)?shù)缺少充分檢查，攻擊者可以函數(shù)對(duì)輸入?yún)?shù)缺少充分檢查，攻擊者可以寫一程序傳遞非法參數(shù)可以導(dǎo)致寫一程序傳遞非法

41、參數(shù)可以導(dǎo)致Win32K函數(shù)并導(dǎo)致系統(tǒng)崩潰，函數(shù)并導(dǎo)致系統(tǒng)崩潰，也可以利用構(gòu)建包含也可以利用構(gòu)建包含ActivX的頁(yè)面觸發(fā)此漏洞。的頁(yè)面觸發(fā)此漏洞。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段 o 一、從一、從DoS到到DDoS 拒絕服務(wù)（拒絕服務(wù)（Denial of Service，DoS）由來(lái)已久。自從有了由來(lái)已久。自從有了Internet，就有了拒絕，就有了拒絕服務(wù)式攻擊方法。由于過(guò)去沒(méi)有大型網(wǎng)站或機(jī)服務(wù)式攻擊方法。由于過(guò)去沒(méi)有大型網(wǎng)站或機(jī)構(gòu)受到過(guò)這種攻擊，其劣性并不突出。構(gòu)受到過(guò)這種攻擊，其劣性并不突出。 直到直到2000年初，年初，Yahoo!、eBay及及Amazon

42、等遭其暗算，它才露出廬山真面目等遭其暗算，它才露出廬山真面目 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o 在典型的在典型的Internet連接中，連接中，用戶訪問(wèn)一個(gè)網(wǎng)站時(shí)用戶訪問(wèn)一個(gè)網(wǎng)站時(shí)，客，客戶端會(huì)先向網(wǎng)站服務(wù)器發(fā)送一條信息要求建立連接，只戶端會(huì)先向網(wǎng)站服務(wù)器發(fā)送一條信息要求建立連接，只有當(dāng)服務(wù)器確認(rèn)該請(qǐng)求合法，并將訪問(wèn)許可返回給用戶有當(dāng)服務(wù)器確認(rèn)該請(qǐng)求合法，并將訪問(wèn)許可返回給用戶時(shí)，用戶才可對(duì)該服務(wù)器進(jìn)行訪問(wèn)。時(shí)，用戶才可對(duì)該服務(wù)器進(jìn)行訪問(wèn)。o DoS攻擊的方法是，惡意用戶會(huì)向服務(wù)器發(fā)送攻擊的方法是，惡意用戶會(huì)向服務(wù)器發(fā)送多個(gè)連多個(gè)連接請(qǐng)求接請(qǐng)求，使其呈滿負(fù)載狀態(tài)，并且

43、將所有請(qǐng)求的返回地，使其呈滿負(fù)載狀態(tài)，并且將所有請(qǐng)求的返回地址進(jìn)行址進(jìn)行偽造偽造。這樣，在服務(wù)器企圖將認(rèn)證結(jié)構(gòu)返回給用。這樣，在服務(wù)器企圖將認(rèn)證結(jié)構(gòu)返回給用戶時(shí)，它將戶時(shí)，它將無(wú)法找到這些用戶無(wú)法找到這些用戶。此時(shí)，服務(wù)器只好。此時(shí)，服務(wù)器只好等待等待，有時(shí)可能會(huì)等上有時(shí)可能會(huì)等上1分鐘才關(guān)閉此連接。分鐘才關(guān)閉此連接。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o 可怕的是，可怕的是，在服務(wù)器關(guān)閉連接后在服務(wù)器關(guān)閉連接后，攻擊者又會(huì)，攻擊者又會(huì)發(fā)送新的一批虛假請(qǐng)求，重復(fù)上一次過(guò)程，直發(fā)送新的一批虛假請(qǐng)求，重復(fù)上一次過(guò)程，直到服務(wù)器因過(guò)載而拒絕提供服務(wù)。到服務(wù)器因過(guò)載而拒絕提供服務(wù)

44、。o 這些攻擊事件并沒(méi)有入侵網(wǎng)站，也沒(méi)有篡改或這些攻擊事件并沒(méi)有入侵網(wǎng)站，也沒(méi)有篡改或是破壞資料，只是是破壞資料，只是利用程序在瞬間產(chǎn)生大量的利用程序在瞬間產(chǎn)生大量的網(wǎng)絡(luò)封包網(wǎng)絡(luò)封包，讓對(duì)方的網(wǎng)絡(luò)及主機(jī)癱瘓，使正常，讓對(duì)方的網(wǎng)絡(luò)及主機(jī)癱瘓，使正常使用者無(wú)法獲得主機(jī)及時(shí)的服務(wù)。使用者無(wú)法獲得主機(jī)及時(shí)的服務(wù)。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o 然而，年初攻擊然而，年初攻擊Yahoo!的元兇還不是簡(jiǎn)單的的元兇還不是簡(jiǎn)單的DoS，雖然與，雖然與DoS攻擊一樣，也是向被攻擊目攻擊一樣，也是向被攻擊目標(biāo)連續(xù)發(fā)送大量偽造的標(biāo)連續(xù)發(fā)送大量偽造的IP包，以導(dǎo)致服務(wù)器不包，以導(dǎo)致服務(wù)器不

45、能為合法用戶提供正常服務(wù)（比如此次給能為合法用戶提供正常服務(wù)（比如此次給Yahoo!站點(diǎn)路由器發(fā)出的無(wú)效請(qǐng)求高達(dá)站點(diǎn)路由器發(fā)出的無(wú)效請(qǐng)求高達(dá)1GB/s）.o 但是它區(qū)別于但是它區(qū)別于DoS的的“絕妙絕妙”之處在于之處在于: 動(dòng)員動(dòng)員了大量了大量“無(wú)辜無(wú)辜”的計(jì)算機(jī)向目標(biāo)共同發(fā)起進(jìn)攻，的計(jì)算機(jī)向目標(biāo)共同發(fā)起進(jìn)攻，采用了采用了分布式拒絕服務(wù)分布式拒絕服務(wù)（Distributed Denial of Service，DDoS）攻擊手段。）攻擊手段。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o DDoS把把DoS又向前發(fā)展了一步，又向前發(fā)展了一步，DDoS的行為更為的行為更為自動(dòng)化，它

46、可以方便地協(xié)調(diào)從自動(dòng)化，它可以方便地協(xié)調(diào)從多臺(tái)計(jì)算機(jī)上多臺(tái)計(jì)算機(jī)上啟動(dòng)的進(jìn)程，啟動(dòng)的進(jìn)程，讓一股讓一股DoS洪流沖擊網(wǎng)絡(luò)，并使網(wǎng)絡(luò)因過(guò)載而崩潰。洪流沖擊網(wǎng)絡(luò)，并使網(wǎng)絡(luò)因過(guò)載而崩潰。o 確切地講，確切地講，DDoS攻擊是指在不同的高帶寬主機(jī)上安裝攻擊是指在不同的高帶寬主機(jī)上安裝大量的大量的DoS服務(wù)程序，它們等待來(lái)自服務(wù)程序，它們等待來(lái)自中央客戶端中央客戶端的命的命令，中央客戶端隨后通知令，中央客戶端隨后通知全體受控服務(wù)程序全體受控服務(wù)程序，并批示它，并批示它們對(duì)一個(gè)特定目標(biāo)發(fā)送盡可能多的網(wǎng)絡(luò)訪問(wèn)請(qǐng)求。們對(duì)一個(gè)特定目標(biāo)發(fā)送盡可能多的網(wǎng)絡(luò)訪問(wèn)請(qǐng)求。o 作為攻擊者，必須通過(guò)作為攻擊者，必須通過(guò)tel

47、net連接到他想利用的每一連接到他想利用的每一臺(tái)遠(yuǎn)程主機(jī)上，并以用戶身份登錄，然后手工輸入命令，臺(tái)遠(yuǎn)程主機(jī)上，并以用戶身份登錄，然后手工輸入命令，啟動(dòng)每一臺(tái)主機(jī)向攻擊目標(biāo)發(fā)送海量信息流。啟動(dòng)每一臺(tái)主機(jī)向攻擊目標(biāo)發(fā)送海量信息流。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o DDoS與與DoS的最大區(qū)別是的最大區(qū)別是人多力量大人多力量大。原來(lái)。原來(lái)的的DoS是一臺(tái)機(jī)器攻擊目標(biāo)，現(xiàn)在的是一臺(tái)機(jī)器攻擊目標(biāo)，現(xiàn)在的DDoS是是很多臺(tái)機(jī)器利用他們的高帶寬攻擊目標(biāo)，更容很多臺(tái)機(jī)器利用他們的高帶寬攻擊目標(biāo)，更容易將目標(biāo)網(wǎng)站攻掉。易將目標(biāo)網(wǎng)站攻掉。o 除此之外，除此之外，DDoS攻擊方式較為攻擊

48、方式較為自動(dòng)化自動(dòng)化，攻擊，攻擊者可以把他的程序安裝到網(wǎng)絡(luò)中的多臺(tái)機(jī)器上，者可以把他的程序安裝到網(wǎng)絡(luò)中的多臺(tái)機(jī)器上，所采用的攻擊工具致使被攻擊對(duì)象難以察覺，所采用的攻擊工具致使被攻擊對(duì)象難以察覺，只要攻擊者發(fā)下攻擊命令，這些機(jī)器便發(fā)起進(jìn)只要攻擊者發(fā)下攻擊命令，這些機(jī)器便發(fā)起進(jìn)攻。攻。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o 二、二、DoS的攻擊方法的攻擊方法 對(duì)對(duì)DoS而言，其攻擊方式很多，主要使用的攻而言，其攻擊方式很多，主要使用的攻擊有擊有3種，分別是種，分別是TCP-SYN flood、UDP flood和和ICMP flood。 分布式拒絕服務(wù)攻擊與防范手段分布式拒

49、絕服務(wù)攻擊與防范手段o 當(dāng)用戶進(jìn)行一次標(biāo)準(zhǔn)的當(dāng)用戶進(jìn)行一次標(biāo)準(zhǔn)的TCP連接時(shí)，會(huì)有一個(gè)連接時(shí)，會(huì)有一個(gè)3次握手次握手過(guò)程。首先是請(qǐng)求服務(wù)方發(fā)送一個(gè)過(guò)程。首先是請(qǐng)求服務(wù)方發(fā)送一個(gè)SYN消息，服務(wù)方消息，服務(wù)方收到收到SYN后，會(huì)向請(qǐng)求方回送一個(gè)后，會(huì)向請(qǐng)求方回送一個(gè)SYN-ACK表示確表示確認(rèn)，當(dāng)請(qǐng)求方收到認(rèn)，當(dāng)請(qǐng)求方收到SYN-ACK后，再次向服務(wù)方發(fā)送一后，再次向服務(wù)方發(fā)送一個(gè)個(gè)ACK消息，這樣，一次消息，這樣，一次TCP連接建立成功。連接建立成功。o 但是但是TCP-SYN flood在實(shí)現(xiàn)過(guò)程中只進(jìn)行前在實(shí)現(xiàn)過(guò)程中只進(jìn)行前2個(gè)步驟：個(gè)步驟：當(dāng)服務(wù)方收到請(qǐng)求方的當(dāng)服務(wù)方收到請(qǐng)求方的SYN-

50、ACK確認(rèn)消息后，請(qǐng)求方確認(rèn)消息后，請(qǐng)求方由于采用源地址欺騙等手段使得服務(wù)方收不到由于采用源地址欺騙等手段使得服務(wù)方收不到ACK回回應(yīng)，于是，服務(wù)方會(huì)在一定時(shí)間處于等待接收請(qǐng)求方應(yīng)，于是，服務(wù)方會(huì)在一定時(shí)間處于等待接收請(qǐng)求方ACK消息的狀態(tài)。消息的狀態(tài)。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o 對(duì)于某臺(tái)服務(wù)器來(lái)說(shuō)，對(duì)于某臺(tái)服務(wù)器來(lái)說(shuō)，可用的可用的TCP連接是有限連接是有限的的，如果惡意攻擊方快速連續(xù)地發(fā)送此類連接，如果惡意攻擊方快速連續(xù)地發(fā)送此類連接請(qǐng)求，該服務(wù)器請(qǐng)求，該服務(wù)器可用的可用的TCP連接隊(duì)列將很快被連接隊(duì)列將很快被阻塞阻塞，系統(tǒng)可用資源急劇減少，網(wǎng)絡(luò)可用帶寬，系

51、統(tǒng)可用資源急劇減少，網(wǎng)絡(luò)可用帶寬迅速縮小，長(zhǎng)此下去，迅速縮小，長(zhǎng)此下去，網(wǎng)絡(luò)將無(wú)法向用戶提供網(wǎng)絡(luò)將無(wú)法向用戶提供正常的服務(wù)正常的服務(wù)。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o三、三、DDoS的攻擊方法的攻擊方法 目前，我們知道的對(duì)網(wǎng)絡(luò)進(jìn)行目前，我們知道的對(duì)網(wǎng)絡(luò)進(jìn)行DDoS攻擊所使用的工具有：攻擊所使用的工具有：Trinoo、Tribe Flood Network(TFN)、TFN2k和和Stacheldraht等。它們的攻擊思路基本相近。等。它們的攻擊思路基本相近。 1Trinoo：它是基于：它是基于UDP flood的攻擊軟件，它向被攻擊目標(biāo)的攻擊軟件，它向被攻擊目標(biāo)主機(jī)

52、的隨機(jī)端口發(fā)出全零的主機(jī)的隨機(jī)端口發(fā)出全零的4字節(jié)字節(jié)UDP包，在處理這些超出其處包，在處理這些超出其處理能力垃圾數(shù)據(jù)包的過(guò)程中，被攻擊主機(jī)的網(wǎng)絡(luò)性能不斷下降，理能力垃圾數(shù)據(jù)包的過(guò)程中，被攻擊主機(jī)的網(wǎng)絡(luò)性能不斷下降，直到不能提供正常服務(wù)，乃至崩潰。它直到不能提供正常服務(wù)，乃至崩潰。它對(duì)對(duì)IP地址不做假地址不做假，此攻擊，此攻擊方法用得不多方法用得不多 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o 2TFN：它是利用：它是利用ICMP給代理服務(wù)器下命令，其來(lái)給代理服務(wù)器下命令，其來(lái)源可以做假。它可以發(fā)動(dòng)源可以做假。它可以發(fā)動(dòng)SYN flood、UDP flood、ICMP floo

53、d及及Smurf（利用多臺(tái)服務(wù)器發(fā)出海量數(shù)（利用多臺(tái)服務(wù)器發(fā)出海量數(shù)據(jù)包，實(shí)施據(jù)包，實(shí)施DoS攻擊）等攻擊。攻擊）等攻擊。TFN的升級(jí)版的升級(jí)版TFN2k的特點(diǎn)是：對(duì)命令數(shù)據(jù)包加密、更難查詢命令內(nèi)容、命的特點(diǎn)是：對(duì)命令數(shù)據(jù)包加密、更難查詢命令內(nèi)容、命令來(lái)源可以做假，還有一個(gè)后門控制代理服務(wù)器。令來(lái)源可以做假，還有一個(gè)后門控制代理服務(wù)器。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o3Stacheldraht：對(duì)命令來(lái)源做假，而且可以防范一些路由器：對(duì)命令來(lái)源做假，而且可以防范一些路由器用用RFC2267過(guò)濾。若檢查出有過(guò)濾現(xiàn)象，它將只做假過(guò)濾。若檢查出有過(guò)濾現(xiàn)象，它將只做假IP地

54、址最地址最后后8位，從而讓用戶無(wú)法了解到底是哪幾個(gè)網(wǎng)段的哪臺(tái)機(jī)器被攻擊。位，從而讓用戶無(wú)法了解到底是哪幾個(gè)網(wǎng)段的哪臺(tái)機(jī)器被攻擊。此外，它還具有自動(dòng)更新功能，可隨軟件的更新而自動(dòng)更新。此外，它還具有自動(dòng)更新功能，可隨軟件的更新而自動(dòng)更新。 值得一提的是，像值得一提的是，像Trinoo和和TFN等攻擊軟件都是可以從網(wǎng)上隨意等攻擊軟件都是可以從網(wǎng)上隨意找到的找到的公開軟件公開軟件，所以任何一個(gè)上網(wǎng)者都可能構(gòu)成網(wǎng)絡(luò)安全的潛，所以任何一個(gè)上網(wǎng)者都可能構(gòu)成網(wǎng)絡(luò)安全的潛在威脅。面對(duì)兇多吉少的在威脅。面對(duì)兇多吉少的DDoS險(xiǎn)灘，我們?cè)撊绾螌?duì)付隨時(shí)出現(xiàn)險(xiǎn)灘，我們?cè)撊绾螌?duì)付隨時(shí)出現(xiàn)的黑客攻擊呢？那要看用戶處于何種

55、狀態(tài)，是正身處被攻擊的困的黑客攻擊呢？那要看用戶處于何種狀態(tài)，是正身處被攻擊的困圍中，還是準(zhǔn)備事先預(yù)防。圍中，還是準(zhǔn)備事先預(yù)防。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o 四、怎樣對(duì)付正在進(jìn)行的攻擊四、怎樣對(duì)付正在進(jìn)行的攻擊 如果用戶正在遭受攻擊，他所能做的抵御工作非常如果用戶正在遭受攻擊，他所能做的抵御工作非常有限。因?yàn)樵谠緵](méi)有準(zhǔn)備好的情況下有大流量的災(zāi)難有限。因?yàn)樵谠緵](méi)有準(zhǔn)備好的情況下有大流量的災(zāi)難性攻擊沖向用戶，很可能用戶在還沒(méi)回過(guò)神之際，網(wǎng)絡(luò)性攻擊沖向用戶，很可能用戶在還沒(méi)回過(guò)神之際，網(wǎng)絡(luò)已經(jīng)癱瘓。但是，用戶還是可以抓住機(jī)會(huì)尋求一線希望已經(jīng)癱瘓。但是，用戶還是可以

56、抓住機(jī)會(huì)尋求一線希望的。的。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o首先首先，檢查攻擊來(lái)源，通常黑客會(huì)通過(guò)很多假的，檢查攻擊來(lái)源，通常黑客會(huì)通過(guò)很多假的IP地址發(fā)起攻擊，地址發(fā)起攻擊，此時(shí)，用戶若能夠分辨出哪些是真此時(shí)，用戶若能夠分辨出哪些是真IP地址，哪些是假地址，哪些是假IP地址，然地址，然后了解這些后了解這些IP來(lái)自哪些網(wǎng)段，再找網(wǎng)段管理員把來(lái)自哪些網(wǎng)段，再找網(wǎng)段管理員把機(jī)器關(guān)掉，機(jī)器關(guān)掉，即可即可消除攻擊。消除攻擊。 其次其次，找出攻擊者所經(jīng)過(guò)的路由，把攻擊屏蔽掉。比如黑客發(fā)射，找出攻擊者所經(jīng)過(guò)的路由，把攻擊屏蔽掉。比如黑客發(fā)射SNP包，用戶可把此包過(guò)濾掉。若黑客從

57、某些端口發(fā)動(dòng)攻擊，用包，用戶可把此包過(guò)濾掉。若黑客從某些端口發(fā)動(dòng)攻擊，用戶可把這些戶可把這些端口屏蔽端口屏蔽掉，以狙擊入侵。掉，以狙擊入侵。 最后最后一種比較折衷的方法是在一種比較折衷的方法是在路由器上濾掉路由器上濾掉ICMP（Internet Control Message Protocol）和和UDP。ICMP用于提交錯(cuò)誤用于提交錯(cuò)誤和改變控制信息，常用來(lái)判斷網(wǎng)絡(luò)的連通性。和改變控制信息，常用來(lái)判斷網(wǎng)絡(luò)的連通性。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o 五、如何事先預(yù)防攻擊五、如何事先預(yù)防攻擊 其實(shí)，很多攻擊方法并不新，存在時(shí)間也很長(zhǎng)了其實(shí)，很多攻擊方法并不新，存在時(shí)間

58、也很長(zhǎng)了（就像（就像DoS），基本上人們對(duì)它們已經(jīng)有所了解，只），基本上人們對(duì)它們已經(jīng)有所了解，只是當(dāng)它被有惡意的人利用，破壞網(wǎng)絡(luò)安全，人們才意識(shí)是當(dāng)它被有惡意的人利用，破壞網(wǎng)絡(luò)安全，人們才意識(shí)到問(wèn)題的嚴(yán)重性。因此，人們應(yīng)充分重視建立完善的安到問(wèn)題的嚴(yán)重性。因此，人們應(yīng)充分重視建立完善的安全系統(tǒng)，防患于未然。在具體工作中，我們不妨從以下全系統(tǒng)，防患于未然。在具體工作中，我們不妨從以下一些方面預(yù)防黑客攻擊。一些方面預(yù)防黑客攻擊。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o 1用用足夠的機(jī)器足夠的機(jī)器承受黑客攻擊。這是一種較承受黑客攻擊。這是一種較為理想的應(yīng)對(duì)策略。如果用戶擁有足夠

59、的容量為理想的應(yīng)對(duì)策略。如果用戶擁有足夠的容量和足夠的資源給黑客攻擊，在它不斷訪問(wèn)用戶、和足夠的資源給黑客攻擊，在它不斷訪問(wèn)用戶、奪取用戶資源之時(shí)，自己的能量也在逐漸耗失，奪取用戶資源之時(shí)，自己的能量也在逐漸耗失，或許未等用戶被攻死，黑客已無(wú)力支招兒?；蛟S未等用戶被攻死，黑客已無(wú)力支招兒。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o 2充分利用網(wǎng)絡(luò)設(shè)備保護(hù)網(wǎng)絡(luò)資源充分利用網(wǎng)絡(luò)設(shè)備保護(hù)網(wǎng)絡(luò)資源。所謂網(wǎng)絡(luò)設(shè)備是。所謂網(wǎng)絡(luò)設(shè)備是指指路由器、防火墻路由器、防火墻等負(fù)載均衡設(shè)備，它們可將網(wǎng)絡(luò)有效等負(fù)載均衡設(shè)備，它們可將網(wǎng)絡(luò)有效地保護(hù)起來(lái)。地保護(hù)起來(lái)。o 當(dāng)當(dāng)Yahoo！被攻擊時(shí)最先死掉的

60、是路由器，但其他機(jī)！被攻擊時(shí)最先死掉的是路由器，但其他機(jī)器沒(méi)有死。死掉的路由器經(jīng)重啟后會(huì)恢復(fù)正常，而且啟器沒(méi)有死。死掉的路由器經(jīng)重啟后會(huì)恢復(fù)正常，而且啟動(dòng)起來(lái)還很快，沒(méi)有什么損失。若其他服務(wù)器死掉，其動(dòng)起來(lái)還很快，沒(méi)有什么損失。若其他服務(wù)器死掉，其中的數(shù)據(jù)會(huì)丟失，而且重啟服務(wù)器又是一個(gè)漫長(zhǎng)的過(guò)程，中的數(shù)據(jù)會(huì)丟失，而且重啟服務(wù)器又是一個(gè)漫長(zhǎng)的過(guò)程，相信沒(méi)有路由器這道屏障，相信沒(méi)有路由器這道屏障，Yahoo！會(huì)受到無(wú)法估量！會(huì)受到無(wú)法估量的重創(chuàng)。的重創(chuàng)。 分布式拒絕服務(wù)攻擊與防范手段分布式拒絕服務(wù)攻擊與防范手段o3使用使用Inexpress、Express Forwarding過(guò)濾不必要的服過(guò)濾不