信息安全概論 作者 李劍 張然 第2章 網(wǎng)絡(luò)安全基礎(chǔ)

1、版權(quán)所有，盜版必糾在線教務(wù)輔導(dǎo)網(wǎng)：在線教務(wù)輔導(dǎo)網(wǎng)：http:/教材其余課件及動畫素材請查閱在線教務(wù)輔導(dǎo)網(wǎng)教材其余課件及動畫素材請查閱在線教務(wù)輔導(dǎo)網(wǎng)QQ:349134187 或者直接輸入下面地址：或者直接輸入下面地址：http:/版權(quán)所有，盜版必糾李 劍 北京郵電大學(xué)信息安全中心 E-mail: 電話權(quán)所有，盜版必糾 本章將介紹最基本的網(wǎng)絡(luò)安全參考模型，TCP/IP協(xié)議族、常用的網(wǎng)絡(luò)服務(wù)和常用的網(wǎng)絡(luò)命令等。這些都是信息安全的基礎(chǔ)知識。 版權(quán)所有，盜版必糾一. OSI參考模型 二. TCP/IP參考模型 三. 常用的網(wǎng)絡(luò)服務(wù) 四. 常用的網(wǎng)絡(luò)命令 版權(quán)所有，盜版必糾 OS

2、I參考模型分為7層，分別是物理層，數(shù)據(jù)鏈路層，網(wǎng)絡(luò)層，傳輸層，會話層，表示層和應(yīng)用層。如圖2.1所示為OSI參考模型及通信協(xié)議。 版權(quán)所有，盜版必糾 1. 物理層物理層(Physical Layer) 要傳遞信息就要利用一些物理媒體，如雙紐線、同軸電纜等，但具體的物理媒體并不在OSI的7層之內(nèi)，有人把物理媒體當(dāng)作第0層，物理層的任務(wù)就是為它的上一層提供一個物理連接，以及它們的機(jī)械、電氣、功能和過程特性。 如規(guī)定使用電纜和接頭 的類型，傳送信號的電壓等。在這一層，數(shù)據(jù)還沒有被組織，僅作為原始的位流或電氣電壓處理，單位是比特。 版權(quán)所有，盜版必糾 2. 數(shù)據(jù)鏈路層數(shù)據(jù)鏈路層(Data Link L

3、ayer) 數(shù)據(jù)鏈路層負(fù)責(zé)在兩個相鄰結(jié)點(diǎn)間的線路上，無差錯的傳送以幀為單位的數(shù)據(jù)。每一幀包括一定數(shù)量的數(shù)據(jù)和一些必要的控制信息。和物理層相似，數(shù)據(jù)鏈路層要負(fù)責(zé)建立、維持和釋放數(shù)據(jù)鏈路的連接。在傳送數(shù)據(jù)時，如果接收點(diǎn)檢測到所傳數(shù)據(jù)中有差錯，就要通知發(fā)方重發(fā)這一幀。版權(quán)所有，盜版必糾 3. 網(wǎng)絡(luò)層網(wǎng)絡(luò)層(Network Layer) 在計算機(jī)網(wǎng)絡(luò)中進(jìn)行通信的兩個計算機(jī)之間可能會經(jīng)過很多個數(shù)據(jù)鏈路，也可能還要經(jīng)過很多通信子網(wǎng)。網(wǎng)絡(luò)層的任務(wù)就是選擇合適的網(wǎng)間路由和交換結(jié)點(diǎn)， 確保數(shù)據(jù)及時傳送。網(wǎng)絡(luò)層將數(shù)據(jù)鏈路層提供的幀組成數(shù)據(jù)包，包中封裝有網(wǎng)絡(luò)層包頭，其中含有邏輯地址信息，包括源站點(diǎn)和目的站點(diǎn)地址的網(wǎng)

4、絡(luò)地址。版權(quán)所有，盜版必糾 4. 傳輸層傳輸層(Transport Layer) 該層的任務(wù)時根據(jù)通信子網(wǎng)的特性最佳的利用網(wǎng)絡(luò)資源，并以可靠和經(jīng)濟(jì)的方式，為兩個端系統(tǒng)（也就是源站和目的站）的會話層之間，提供建立、維護(hù)和取消傳輸連接的功能，負(fù)責(zé)可靠地傳輸數(shù)據(jù)。在這一層，信息的傳送單位是報文。版權(quán)所有，盜版必糾 5. 會話層會話層(Session Layer) 這一層也可以稱為會晤層或?qū)υ拰?，在會話層及以上的高層次中，?shù)據(jù)傳送的單位不再另外命名，統(tǒng)稱為報文。會話層不參與具體的傳輸，它提供包括訪問驗(yàn)證和會話管理在內(nèi)的建立和維護(hù)應(yīng)用之間通信的機(jī)制。如服務(wù)器驗(yàn)證用戶登錄便是由會話層完成的。版權(quán)所有，盜版

5、必糾 6. 表示層表示層(Presentation Layer) 這一層主要解決擁護(hù)信息的語法表示問題。它將欲交換的數(shù)據(jù)從適合于某一用戶的抽象語法，轉(zhuǎn)換為適合于OSI系統(tǒng)內(nèi)部使用的傳送語法。即提供格式化的表示和轉(zhuǎn)換數(shù)據(jù)服務(wù)。數(shù)據(jù)的壓縮和解壓縮，加密和解密等工作都由表示層負(fù)責(zé)。版權(quán)所有，盜版必糾 7. 應(yīng)用層應(yīng)用層(Application Layer) 應(yīng)用層確定進(jìn)程之間通信的性質(zhì)以滿足用戶需要以及提供網(wǎng)絡(luò)與用戶應(yīng)用軟件之間的接口服務(wù)。版權(quán)所有，盜版必糾 ISO制定的OSI參考模型的過于龐大、復(fù)雜招致了許多批評。與此對照，由技術(shù)人員自己開發(fā)的TCP/IP協(xié)議棧獲得了更為廣泛的應(yīng)用。如圖2.3所示

6、，是TCP/IP參考模型和OSI參考模型的對比示意圖。版權(quán)所有，盜版必糾 TCP/IP參考模型分為四個層次：應(yīng)用層、傳輸層、網(wǎng)絡(luò)互連層和主機(jī)到網(wǎng)絡(luò)層。如圖2.4所示。 版權(quán)所有，盜版必糾 1. 主機(jī)到網(wǎng)絡(luò)層主機(jī)到網(wǎng)絡(luò)層 實(shí)際上TCP/IP參考模型沒有真正描述這一層的實(shí)現(xiàn)，只是要求能夠提供給其上層-網(wǎng)絡(luò)互連層一個訪問接口，以便在其上傳遞IP分組。由于這一層次未被定義，所以其具體的實(shí)現(xiàn)方法將隨著網(wǎng)絡(luò)類型的不同而不同。版權(quán)所有，盜版必糾 2. 網(wǎng)絡(luò)互連層網(wǎng)絡(luò)互連層 網(wǎng)絡(luò)互連層是整個TCP/IP協(xié)議棧的核心。它的功能是把分組發(fā)往目標(biāo)網(wǎng)絡(luò)或主機(jī)。同時，為了盡快地發(fā)送分組，可能需要沿不同的路徑同時進(jìn)行分組

7、傳遞。因此，分組到達(dá)的順序和發(fā)送的順序可能不同，這就需要上層必須對分組進(jìn)行排序。 版權(quán)所有，盜版必糾 3. 傳輸層傳輸層 在TCP/IP模型中，傳輸層的功能是使源端主機(jī)和目標(biāo)端主機(jī)上的對等實(shí)體可以進(jìn)行會話。在傳輸層定義了兩種服務(wù)質(zhì)量不同的協(xié)議。即：傳輸控制協(xié)議TCP（Transmission Control Protocol）和用戶數(shù)據(jù)報協(xié)議UDP（User Datagram Protocol）。版權(quán)所有，盜版必糾 4. 應(yīng)用層應(yīng)用層 TCP/IP模型將OSI參考模型中的會話層和表示層的功能合并到應(yīng)用層實(shí)現(xiàn)。應(yīng)用層面向不同的網(wǎng)絡(luò)應(yīng)用引入了不同的應(yīng)用層協(xié)議。其中，有基于TCP協(xié)議的，如文件傳輸協(xié)

8、議（File Transfer Protocol，F(xiàn)TP）、虛擬終端協(xié)議（TELNET）、超文本鏈接協(xié)議（Hyper Text Transfer Protocol，HTTP），也有基于UDP協(xié)議的，如SNMP協(xié)議等。版權(quán)所有，盜版必糾 網(wǎng)絡(luò)上的服務(wù)很多，這里介紹常用的四個服務(wù)即：Web服務(wù)、FTP服務(wù)、E-Mail服務(wù)和Telnet服務(wù)。 版權(quán)所有，盜版必糾 WEB服務(wù)也稱為WWW(World Wide Web)服務(wù)，主要功能是提供網(wǎng)上信息瀏覽服務(wù)。WWW也可以簡稱為 Web，中文名字為“萬維網(wǎng)”。 版權(quán)所有，盜版必糾1. Microsoft IISMicrosoft的Web服務(wù)器產(chǎn)品為Int

9、ernet Information Server (IIS)， IIS 是允許在公共Intranet或Internet上發(fā)布信息的Web服務(wù)器。 版權(quán)所有，盜版必糾 2. IBM WebSphere WebSphere Application Server 是一種功能完善、開放的Web應(yīng)用程序服務(wù)器，是IBM電子商務(wù)計劃的核心部分，它是基于 Java 的應(yīng)用環(huán)境，用于建立、部署和管理 Internet和Intranet Web應(yīng)用程序。 版權(quán)所有，盜版必糾 3. BEA WebLogic BEA WebLogic Server是一種多功能、基于標(biāo)準(zhǔn)的Web應(yīng)用服務(wù)器，為企業(yè)構(gòu)建自己的應(yīng)用提供了

10、堅實(shí)的基礎(chǔ)。 版權(quán)所有，盜版必糾 4. Apache Apache仍然是世界上用的最多的Web服務(wù)器，市場占有率達(dá)60%左右。它源于NCSA httpd服務(wù)器，當(dāng)NCSA WWW服務(wù)器項(xiàng)目停止后，那些使用NCSA WWW服務(wù)器的人們開始交換用于此服務(wù)器的補(bǔ)丁，這也是Apache名稱的由來(Pache 補(bǔ)丁) 版權(quán)所有，盜版必糾 5. Tomcat Tomcat是一個開放源代碼、運(yùn)行Servlet和JSP Web應(yīng)用軟件的基于Java的Web應(yīng)用軟件容器。Tomcat Server是根據(jù)Servlet和JSP規(guī)范進(jìn)行執(zhí)行的，因此我們就可以說Tomcat Server也實(shí)行了Apache-Jaka

11、rta規(guī)范且比絕大多數(shù)商業(yè)應(yīng)用軟件服務(wù)器要好。圖2.9 Tomcat的圖標(biāo)如圖所示。 版權(quán)所有，盜版必糾 2.3.2 FTP服務(wù) FTP（File Transfer Protocol）是文件傳輸協(xié)議的簡稱。正如其名所示：FTP的主要作用，就是讓用戶連接上一個遠(yuǎn)程計算機(jī)（這些計算機(jī)上運(yùn)行著FTP服務(wù)器程序）察看遠(yuǎn)程計算機(jī)有哪些文件，然后把文件從遠(yuǎn)程計算機(jī)上拷到本地計算機(jī)，或把本地計算機(jī)的文件送到遠(yuǎn)程計算機(jī)去。 版權(quán)所有，盜版必糾 2.3.2 FTP服務(wù) 常用的FTP工具有很多如CuteFTP、LeapFTP、FlashFXP、TurboFTP、ChinaFTP、AceFTP等。CuteFTP的界

12、面如圖2.10所示。 版權(quán)所有，盜版必糾 另外，微軟也提供另外，微軟也提供FTP服務(wù)，如圖服務(wù)，如圖2.11所示。所示。 版權(quán)所有，盜版必糾電子郵件（E-mail，也被大家昵稱為伊妹兒）是Internet應(yīng)用最廣的服務(wù)。具統(tǒng)計，每天80%上網(wǎng)的人都要使用這個服務(wù)。電子郵件地址的典型格式是abcxyz，這里之前是您自己選擇代表您的字符組合或代碼，之后是為您提供電子郵件服務(wù)的服務(wù)商名稱，如。常用的郵件系統(tǒng)包括Outlook Express(如圖2.12所示)和Foxmail(如圖2.13所示)等。版權(quán)所有，盜版必糾Foxmail。版權(quán)所有，盜版必糾 Foxmail軟件上的郵件服務(wù)器的設(shè)置如圖2.1

13、4所示。 版權(quán)所有，盜版必糾 Outlook中的SMTP和POP3設(shè)置 版權(quán)所有，盜版必糾2.3.4 Telnet服務(wù)Telnet是TCPIP網(wǎng)絡(luò)的登錄和仿真程序。它最初是由ARPANET開發(fā)的，現(xiàn)在它主要用于Internet會話。它的基本功能是，允許用戶登錄進(jìn)入遠(yuǎn)程主機(jī)系統(tǒng)。起初，它只是讓用戶的本地計算機(jī)與遠(yuǎn)程計算機(jī)連接，從而成為遠(yuǎn)程主機(jī)的一個終端。Telnet的應(yīng)用不僅方便了我們進(jìn)行遠(yuǎn)程登錄，也給hacker們提供了又一種入侵手段和后門。如圖2.16所示為在DOS下使用Telnet進(jìn)行登錄。 版權(quán)所有，盜版必糾 使用Telnet協(xié)議進(jìn)行遠(yuǎn)程登陸時需要滿足以下條件：在本的計算機(jī)上必須裝有包含

14、Telnet協(xié)議的客戶程序；必須知道遠(yuǎn)程主機(jī)的IP地址或域名；必須知道登錄標(biāo)識與口令。Telnet遠(yuǎn)程登錄服務(wù)分為以下4個過程： 1. 本地與遠(yuǎn)程主機(jī)建立連接。該過程實(shí)際上是建立一個TCP連接，用戶必須知道遠(yuǎn)程主機(jī)的IP地址或域名。 2. 將本地終端上輸入的用戶名和口令及以后輸入的任何命令或字符以NVT（Net Virtual Terminal）格式傳送到遠(yuǎn)程主機(jī)。該過程實(shí)際上是從本地主機(jī)向遠(yuǎn)程主機(jī)發(fā)送一個IP數(shù)據(jù)報。版權(quán)所有，盜版必糾 3. 將遠(yuǎn)程主機(jī)輸出的NVT格式的數(shù)據(jù)轉(zhuǎn)化為本地所接受的格式送回本地終端，包括輸入命令回顯和命令執(zhí)行結(jié)果。 4. 最后，本地終端對遠(yuǎn)程主機(jī)進(jìn)行撤消連接。該過程

15、是撤銷一個TCP連接。版權(quán)所有，盜版必糾 Windows是從簡單的DOS字符界面發(fā)展過來的。雖然平時在使用Windows操作系統(tǒng)的時候，主要是對圖形界面進(jìn)行操作，但是DOS命令仍然非常有用，特別是在計算機(jī)安全故障診斷與排除過程中，這些命令就顯得更為重要了。本小節(jié)介紹這些命令的作用，同時學(xué)習(xí)如何使用這些命令的技巧。版權(quán)所有，盜版必糾 1. pingIP例如ping，如圖2.17所示。版權(quán)所有，盜版必糾 2. ping URL 如ping 新浪網(wǎng)，如圖2.18所示。版權(quán)所有，盜版必糾 3. ping IP -t連續(xù)對IP地址執(zhí)行ping命令，直到被用戶以Ctrl+C中斷。例如pi

16、ng -t，如圖2.19所。中斷如圖2.20所示。版權(quán)所有，盜版必糾 圖2.20 使用Ctrl+C中斷pingIP-t命令版權(quán)所有，盜版必糾 4. pingIP-l3000 指定ping命令中的數(shù)據(jù)長度為3000字節(jié)，而不是缺省的32字節(jié)。該命令的使用如圖2.21所示。版權(quán)所有，盜版必糾 5. pingIPncount 執(zhí)行特定次數(shù)(count次)的ping命令。如圖2.22所示為執(zhí)行100次的ping命令。版權(quán)所有，盜版必糾 ipconfig可用于顯示當(dāng)前的TCP/IP配置的設(shè)置值。這些信息一般用來檢驗(yàn)人工配置的TCP/IP設(shè)置是否正確。但是，如果計算機(jī)和所在的局域網(wǎng)使用

17、了動態(tài)主機(jī)配置協(xié)議（DHCP），這個程序所顯示的信息會更加實(shí)用。這時，ipconfig可以了解自己的計算機(jī)是否成功的租用到一個IP地址，如果租用到則可以了解它目前分配到的是什么地址。了解計算機(jī)當(dāng)前的IP地址、子網(wǎng)掩碼和缺省網(wǎng)關(guān)實(shí)際上是進(jìn)行測試和故障分析的必要項(xiàng)目。 版權(quán)所有，盜版必糾 1. ipconfig 當(dāng)使用ipconfig不帶任何參數(shù)選項(xiàng)時，它為每個已經(jīng)配置了的接口顯示IP地址、子網(wǎng)掩碼和缺省網(wǎng)關(guān)值。如圖2.23所示，顯示的IP地址為90，子網(wǎng)掩碼為，默認(rèn)為。版權(quán)所有，盜版必糾 2. ipconfig/all 當(dāng)使用

18、all參數(shù)時，ipconfig能為DNS和WINS服務(wù)器顯示它已配置且所要使用的附加信息（如IP地址等），并且顯示內(nèi)置于本地網(wǎng)卡中的物理地址（MAC）。如果IP地址是從DHCP服務(wù)器租用的，ipconfig將顯示DHCP服務(wù)器的IP 地址和租用地址預(yù)計失效的日期。如圖2.24所示為ipconfig/all命令的使用。 版權(quán)所有，盜版必糾 1. netstat-a本選項(xiàng)顯示一個所有的有效連接信息列表，包括已建立的連接（ESTABLISHED），也包括監(jiān)聽連接請求（LISTENING）的那些連接，如圖2.25所示。版權(quán)所有，盜版必糾 2. netstat-n 顯示所有已建立的有效連接，如圖2.26

19、所示。版權(quán)所有，盜版必糾 3. netstat-r 本選項(xiàng)可以顯示關(guān)于路由表的信息，類似于后面所講使用route print命令時看到的信息。除了顯示有效路由外，還顯示當(dāng)前有效的連接。如圖2.27所示。 版權(quán)所有，盜版必糾 這些命令也可以連接使用，如netstat-an如圖2.28所示。 版權(quán)所有，盜版必糾 arp是地址轉(zhuǎn)換協(xié)議的意思，它也是一個重要的命令，用于確定對應(yīng)IP地址的網(wǎng)卡物理地址。用arp命令，能夠查看本地計算機(jī)或另一臺計算機(jī)的arp高速緩存中的當(dāng)前內(nèi)容。 arp-a或arp-g。用于查看高速緩存中的所有項(xiàng)目。-a和-g參數(shù)的結(jié)果是一樣的。如圖2.29所示，可以看到IP地址和物理地

20、址。 版權(quán)所有，盜版必糾 net命令是一個命令行命令，它有很多函數(shù)用于實(shí)用和核查計算機(jī)之間的NetBIOS連接，可以查看管理網(wǎng)絡(luò)環(huán)境、服務(wù)、用戶、登陸等信息內(nèi)容。關(guān)于net命令的使用參數(shù)也很多，如net view、net user、net use、net time、net start、net share、net print、net name、net group、net computer、net accounts等。最常見的使用方法如下：版權(quán)所有，盜版必糾 1. netshare它的作用是用來創(chuàng)建、刪除或顯示共享資源。如圖2.30所示為查看系統(tǒng)中的共享資源，圖中顯示了一個IPC$空連接共享。版權(quán)

21、所有，盜版必糾 2. netstart 它的作用是啟動服務(wù)，或顯示已啟動服務(wù)的列表。命令格式為netstartservice。如圖2.31所示。版權(quán)所有，盜版必糾 at命令是Windows系列操作系統(tǒng)中內(nèi)置的命令。at命令可在指定時間和日期、在指定計算機(jī)上運(yùn)行命令和程序。 可以在“開始”“運(yùn)行”出現(xiàn)的DOS提示符下面輸入at命令。下面就來看看at命令的一些實(shí)例分析。 1. 定時關(guān)機(jī)定時關(guān)機(jī) 命令：at22:00ShutDownST40 該命令運(yùn)行后，到了22:00點(diǎn)，電腦會出現(xiàn)“系統(tǒng)關(guān)機(jī)”對話框，并默認(rèn)40秒延時自動關(guān)機(jī)。 版權(quán)所有，盜版必糾 2. 定時提醒 命令：at11:00netsend

22、22“與朋友約會的時間到了，快點(diǎn)準(zhǔn)備出發(fā)吧! ” 其中netsend是Windows內(nèi)部程序，可以發(fā)送消息到網(wǎng)絡(luò)上的其他用戶、計算機(jī)。22是本機(jī)電腦的IP地址。這個功能在Windows中也稱作“信使服務(wù)”。 3自動運(yùn)行批處理文件 如果公司的數(shù)據(jù)佷重要，要求在指定的日期/時間進(jìn)行備份，那么運(yùn)行： 命令：at2:00AM/Every:SaturdayBackUp.bat 版權(quán)所有，盜版必糾 4、取消已經(jīng)安排的計劃、取消已經(jīng)安排的計劃 命令：at5/delete 有時候，已經(jīng)安排好的計劃可能臨時變動，這樣可以及時地用上述命令刪除該計劃(5為指派給已計劃命令的標(biāo)

23、識編號），當(dāng)然，刪除該計劃后，可以重新安排。 版權(quán)所有，盜版必糾 tracert 命令顯示用于將數(shù)據(jù)包從計算機(jī)傳遞到目標(biāo)位置的一組 IP 路由器，以及每個躍點(diǎn)所需的時間。如果數(shù)據(jù)包不能傳遞到目標(biāo)，tracert 命令將顯示成功轉(zhuǎn)發(fā)數(shù)據(jù)包的最后一個路由器。當(dāng)數(shù)據(jù)報從計算機(jī)經(jīng)過多個網(wǎng)關(guān)傳送到目的地時，tracert命令可以用來跟蹤數(shù)據(jù)報使用的路由（路 徑）。該實(shí)用程序跟蹤的路徑是源計算機(jī)到目的地的一條路徑，不能保證或認(rèn)為數(shù)據(jù)報總遵循這個路徑。 版權(quán)所有，盜版必糾 1. tracertip或tracertURL(注：上面的URL表示網(wǎng)址)該命令返回到達(dá) IP 地址所經(jīng)過的路由器列表。如圖2.32所示

24、為本機(jī)到新浪網(wǎng)的所有路由器列表。版權(quán)所有，盜版必糾 2. tracertIPd或tracertURLd通過使用-d 選項(xiàng)，將更快地顯示路由器路徑，因?yàn)?tracert 不會嘗試解析路徑中路由器的名稱。如圖2.33所示為tracertIPd命令的使用。版權(quán)所有，盜版必糾 1. routeprint 本命令用于顯示路由表中的當(dāng)前項(xiàng)目，在單路由器網(wǎng)段上的輸出；由于用IP地址配置了網(wǎng)卡，因此所有的這些項(xiàng)目都是自動添加的。如圖2.34所示為routeprint命令的使用。版權(quán)所有，盜版必糾 2. routeadd 使用本命令，可以將信路由項(xiàng)目添加給路由表。例如，如果要設(shè)定一個到目的網(wǎng)絡(luò)3的路由，其間要經(jīng)過5個路由器網(wǎng)段，首先要經(jīng)過本地網(wǎng)絡(luò)上的一個路由器，器IP為