網(wǎng)絡(luò)攻擊身份欺騙技術(shù)

1、第二篇 網(wǎng)絡(luò)攻擊篇第第6 6章章 網(wǎng)絡(luò)攻擊身份欺騙網(wǎng)絡(luò)攻擊身份欺騙第6章 網(wǎng)絡(luò)攻擊身份欺騙o 縱觀網(wǎng)絡(luò)上的各種安全性攻擊特征，可歸結(jié)為縱觀網(wǎng)絡(luò)上的各種安全性攻擊特征，可歸結(jié)為消極性和主動(dòng)性兩種。消極性和主動(dòng)性兩種。o其中，其中，身份欺騙身份欺騙就是一種主動(dòng)性攻擊。從本質(zhì)就是一種主動(dòng)性攻擊。從本質(zhì)上講，它是針對網(wǎng)絡(luò)結(jié)構(gòu)及其有關(guān)協(xié)議在實(shí)現(xiàn)上講，它是針對網(wǎng)絡(luò)結(jié)構(gòu)及其有關(guān)協(xié)議在實(shí)現(xiàn)過程中存在某些安全漏洞而進(jìn)行安全攻擊的過程中存在某些安全漏洞而進(jìn)行安全攻擊的.o身份欺騙的手段非常多，有身份欺騙的手段非常多，有IP欺騙、欺騙、MAC地地址欺騙、通過代理服務(wù)器欺騙、電子郵件欺騙、址欺騙、通過代理服務(wù)器欺騙、

2、電子郵件欺騙、賬戶名欺騙以及密鑰盜用欺騙等等，其中賬戶名欺騙以及密鑰盜用欺騙等等，其中IP欺欺騙使用得最廣。騙使用得最廣。o6.1 IP欺騙攻擊欺騙攻擊o6.2 與與IP協(xié)議相關(guān)的欺騙手段協(xié)議相關(guān)的欺騙手段o6.3 其它身份欺騙手段其它身份欺騙手段o6.4 實(shí)驗(yàn)：實(shí)驗(yàn)：ARP欺騙欺騙第6章 網(wǎng)絡(luò)攻擊身份欺騙6.1 IP欺騙攻擊o6.1.1 IP欺騙的原理欺騙的原理o6.1.2 IP欺騙過程欺騙過程o6.1.3 IP地址盜用的常用方法地址盜用的常用方法6.1.1 IP欺騙的原理IP地址欺騙攻擊是指攻擊者地址欺騙攻擊是指攻擊者使用未經(jīng)授權(quán)的使用未經(jīng)授權(quán)的IP地址地址來配置網(wǎng)上的計(jì)算機(jī)，以達(dá)到非法使

3、來配置網(wǎng)上的計(jì)算機(jī)，以達(dá)到非法使用網(wǎng)上資源或隱藏身份從事破壞活動(dòng)的目的。用網(wǎng)上資源或隱藏身份從事破壞活動(dòng)的目的。IP欺騙，簡單的說，就是一欺騙，簡單的說，就是一臺(tái)主機(jī)設(shè)備冒充臺(tái)主機(jī)設(shè)備冒充另外一臺(tái)主機(jī)的另外一臺(tái)主機(jī)的IP地址地址，與其它設(shè)備通信。，與其它設(shè)備通信。它是利用不同主機(jī)之間的信任關(guān)系而進(jìn)行欺它是利用不同主機(jī)之間的信任關(guān)系而進(jìn)行欺騙攻擊的一種手段，這種信任關(guān)系是以騙攻擊的一種手段，這種信任關(guān)系是以IP地地址驗(yàn)證為基礎(chǔ)的。址驗(yàn)證為基礎(chǔ)的。主機(jī)信任關(guān)系主機(jī)信任關(guān)系 IP欺騙是利用了主機(jī)之間的正常信任關(guān)系來發(fā)動(dòng)的。欺騙是利用了主機(jī)之間的正常信任關(guān)系來發(fā)動(dòng)的。在在UNIX主機(jī)中，存在著一種特殊

4、的信任關(guān)系。假設(shè)主機(jī)中，存在著一種特殊的信任關(guān)系。假設(shè)有兩臺(tái)主機(jī)有兩臺(tái)主機(jī)host A和和host B，上面各有一個(gè)帳戶，上面各有一個(gè)帳戶Jim。通常情況下，在。通常情況下，在host A上使用時(shí)要輸入在上使用時(shí)要輸入在host A上的相應(yīng)帳戶上的相應(yīng)帳戶Jim ，在，在host B上使用時(shí)必上使用時(shí)必須輸入須輸入host B的帳戶的帳戶Jim.主機(jī)主機(jī)host A和和host B把把Jim當(dāng)做兩個(gè)互不相關(guān)的當(dāng)做兩個(gè)互不相關(guān)的用戶，這顯然有些不便。為了減少這種不便，可以在用戶，這顯然有些不便。為了減少這種不便，可以在主機(jī)主機(jī)host A和和host B中建立起兩個(gè)帳戶的相互信中建立起兩個(gè)帳戶的

5、相互信任關(guān)系。任關(guān)系。6.1.1 IP欺騙的原理主機(jī)信任關(guān)系主機(jī)信任關(guān)系 在在host A和和host B上用戶上用戶Jim的的home目錄中創(chuàng)目錄中創(chuàng)建建.rhosts文件。文件。從主機(jī)從主機(jī)host A上，在上，在Jim的的home目錄中用命令：目錄中用命令： echo “host b Jim”/.hosts 來實(shí)現(xiàn)來實(shí)現(xiàn)host A與與host B的信任關(guān)系的信任關(guān)系. 這時(shí)，你從主機(jī)這時(shí)，你從主機(jī)host B上，就能使用任何以上，就能使用任何以r開頭的開頭的遠(yuǎn)程調(diào)用命令，例如：遠(yuǎn)程調(diào)用命令，例如：rlogin、rsh、rcp等，而無需等，而無需輸入口令驗(yàn)證就可以直接登錄到輸入口令驗(yàn)證就

6、可以直接登錄到host A上。這些命令上。這些命令將允許以地址為基礎(chǔ)的驗(yàn)證。這里的信任關(guān)系是將允許以地址為基礎(chǔ)的驗(yàn)證。這里的信任關(guān)系是基于基于IP的地址的地址的。的。 6.1.1 IP欺騙的原理IP欺騙的理論根據(jù)欺騙的理論根據(jù) 根據(jù)以上主機(jī)信任關(guān)系的說明，既然根據(jù)以上主機(jī)信任關(guān)系的說明，既然host A和和host B之間的信任關(guān)系是基于之間的信任關(guān)系是基于IP址而建立址而建立起來的，起來的，那么假如能夠冒充那么假如能夠冒充host B的的IP，就可，就可以使用以使用rlogin登錄到登錄到host A，而不需任何口令，而不需任何口令驗(yàn)證。這就是驗(yàn)證。這就是IP欺騙的最根本的理論依據(jù)欺騙的最根

7、本的理論依據(jù)。 下面看一下正常的下面看一下正常的TCP/IP會(huì)話的過程：會(huì)話的過程：由于由于TCP是面向連接的協(xié)議，所以在雙方正式傳是面向連接的協(xié)議，所以在雙方正式傳輸數(shù)據(jù)之前，需要用輸數(shù)據(jù)之前，需要用“三次握手三次握手”來建立一個(gè)穩(wěn)來建立一個(gè)穩(wěn)重的連接。假設(shè)還是重的連接。假設(shè)還是host A和和host B兩臺(tái)主機(jī)兩臺(tái)主機(jī)進(jìn)行通信：進(jìn)行通信： 6.1.1 IP欺騙的原理 TCP的的可靠性可靠性就是由數(shù)據(jù)包中的多位控制字就是由數(shù)據(jù)包中的多位控制字來提供的，其中最重要的是數(shù)據(jù)序列來提供的，其中最重要的是數(shù)據(jù)序列SYN和數(shù)據(jù)和數(shù)據(jù)確認(rèn)標(biāo)志確認(rèn)標(biāo)志ACK。 （1）host B首先發(fā)送帶有首先發(fā)送帶有

8、SYN標(biāo)志的數(shù)據(jù)段標(biāo)志的數(shù)據(jù)段通知通知host A建立建立TCP連接，并將連接，并將TCP報(bào)頭中的報(bào)頭中的SYN設(shè)為自己本次連接中的初始值設(shè)為自己本次連接中的初始值SEQ或叫做或叫做ISN（Initial Sequence Number ）。）。o host Bhost A SYN SEQ：X 6.1.1 IP欺騙的原理 （2）host A確認(rèn)這個(gè)傳輸，并設(shè)置標(biāo)志為確認(rèn)這個(gè)傳輸，并設(shè)置標(biāo)志為ACK，ACK的值為的值為X+1，表示數(shù)據(jù)成功接收到，表示數(shù)據(jù)成功接收到，且告知下一次希望接收到之間的且告知下一次希望接收到之間的SEQ是是X+1。同時(shí)同時(shí)host A向請求方向請求方host B發(fā)送自己的

9、發(fā)送自己的SEQ，假設(shè)它的序列號是某個(gè)數(shù)值假設(shè)它的序列號是某個(gè)數(shù)值Y。o host Ahost B SYN，ACK SEQ：Y6.1.1 IP欺騙的原理（3）請求方）請求方host B向向host A發(fā)送發(fā)送ACK，表示成，表示成功接收到功接收到host A的回應(yīng)，此時(shí)它的的回應(yīng)，此時(shí)它的SEQ值為值為X+1，同時(shí)它的，同時(shí)它的ACK值為值為Y+1。 ohost Bhost A ACK SEQ：X+1 ACK：Y+16.1.1 IP欺騙的原理 看了這個(gè)過程，我們就很容易想到，假如想冒看了這個(gè)過程，我們就很容易想到，假如想冒充充host B對對host A進(jìn)行攻擊，就要首先使用進(jìn)行攻擊，就要首先

10、使用host B的的IP地址發(fā)送地址發(fā)送SYN標(biāo)志給標(biāo)志給host A，但是當(dāng)，但是當(dāng)host A收到后，并不會(huì)把收到后，并不會(huì)把SYN+ACK發(fā)送到我們的主機(jī)發(fā)送到我們的主機(jī)上，而是發(fā)送到真正的上，而是發(fā)送到真正的host B上去，這時(shí)上去，這時(shí)IP欺騙欺騙就失敗了，因?yàn)榫褪×耍驗(yàn)閔ost B根本沒發(fā)送根本沒發(fā)送SYN請求。所請求。所以如果要冒充以如果要冒充host B，首先要讓，首先要讓host B失去工作失去工作能力，也就是所謂的拒絕服務(wù)攻擊，設(shè)法能力，也就是所謂的拒絕服務(wù)攻擊，設(shè)法讓讓host B癱瘓癱瘓。 6.1.1 IP欺騙的原理 但是最難的是下一步。要對但是最難的是下一步。要

11、對host A進(jìn)行攻進(jìn)行攻擊，擊，必須知道必須知道host A使用的使用的ISN。TCP使用使用的的ISN是一個(gè)是一個(gè)32位的計(jì)數(shù)器，從位的計(jì)數(shù)器，從0到到232-1。TCP為每一個(gè)連接選擇一個(gè)初始序列號為每一個(gè)連接選擇一個(gè)初始序列號ISN，為了防止因?yàn)檠舆t、重傳等擾亂三次握手，為了防止因?yàn)檠舆t、重傳等擾亂三次握手，ISN不能隨便選取，不同的系統(tǒng)有著不同的算不能隨便選取，不同的系統(tǒng)有著不同的算法。法。6.1.1 IP欺騙的原理o根據(jù)前面的討論，我們已經(jīng)得到了根據(jù)前面的討論，我們已經(jīng)得到了IP欺騙的過程。欺騙的過程。首先要查找被目標(biāo)主機(jī)信任的計(jì)算機(jī)首先要查找被目標(biāo)主機(jī)信任的計(jì)算機(jī)。計(jì)算機(jī)用戶可以

12、通過。計(jì)算機(jī)用戶可以通過許多命令或端口掃描確定下來，許多黑客就是利用端口掃描許多命令或端口掃描確定下來，許多黑客就是利用端口掃描技術(shù)非常方便的在一個(gè)局域網(wǎng)絡(luò)內(nèi)捕捉主機(jī)間的相互信任關(guān)技術(shù)非常方便的在一個(gè)局域網(wǎng)絡(luò)內(nèi)捕捉主機(jī)間的相互信任關(guān)系，為進(jìn)一步的系，為進(jìn)一步的IP欺騙提供了機(jī)會(huì)。欺騙提供了機(jī)會(huì)。使被信任主機(jī)失去工作能力使被信任主機(jī)失去工作能力。為了偽裝成被信任主機(jī)而不露。為了偽裝成被信任主機(jī)而不露陷，需要使其完全失去工作能力。由于攻擊者將要代替真正陷，需要使其完全失去工作能力。由于攻擊者將要代替真正的被信任主機(jī)，他必須確保真正的被信任主機(jī)不能收到任何的被信任主機(jī)，他必須確保真正的被信任主機(jī)不能

13、收到任何有效的網(wǎng)絡(luò)數(shù)據(jù)，否則將會(huì)被揭穿。有許多方法可以達(dá)到這有效的網(wǎng)絡(luò)數(shù)據(jù)，否則將會(huì)被揭穿。有許多方法可以達(dá)到這個(gè)目的，如個(gè)目的，如SYN洪水攻擊、洪水攻擊、TTN、Land等攻擊。等攻擊。 6.1.2 IP欺騙過程序列號取樣和猜測序列號取樣和猜測 。對目標(biāo)主機(jī)對目標(biāo)主機(jī)A進(jìn)行攻擊進(jìn)行攻擊,必須知道主機(jī)必須知道主機(jī)A的數(shù)據(jù)包序的數(shù)據(jù)包序列號列號往往先與被攻擊主機(jī)的一個(gè)端口（如：往往先與被攻擊主機(jī)的一個(gè)端口（如：25）建立）建立起正常連接起正常連接,并記錄主機(jī)并記錄主機(jī)A的的ISN,以及主機(jī)以及主機(jī)Z到主機(jī)到主機(jī)A的大致的的大致的RTT(往返往返)值值.這個(gè)步驟需要重復(fù)多次以便得出這個(gè)步驟需要重

14、復(fù)多次以便得出RTT的平均值的平均值.主主機(jī)機(jī)Z知道了主機(jī)知道了主機(jī)A的的ISN值和增加規(guī)律后值和增加規(guī)律后,也就知道也就知道了從主機(jī)了從主機(jī)A到主機(jī)到主機(jī)Z需要需要RTT/2的時(shí)間的時(shí)間.一旦估計(jì)出一旦估計(jì)出ISN的大小，就開始著手進(jìn)行攻擊的大小，就開始著手進(jìn)行攻擊。6.1.2 IP欺騙過程6.1.2 IP欺騙過程o攻擊者偽裝成被信任主機(jī)的攻擊者偽裝成被信任主機(jī)的IP 地址，此時(shí)，該主機(jī)仍然處在停頓地址，此時(shí)，該主機(jī)仍然處在停頓狀態(tài)（前面講的喪失處理能力），然后向目標(biāo)主機(jī)的狀態(tài)（前面講的喪失處理能力），然后向目標(biāo)主機(jī)的513端口端口(rlogin的端口號的端口號)發(fā)送連接請求。發(fā)送連接請求。

15、o目標(biāo)主機(jī)對連接請求作出反應(yīng)，發(fā)送目標(biāo)主機(jī)對連接請求作出反應(yīng)，發(fā)送SYN/ACK數(shù)據(jù)包給被信任數(shù)據(jù)包給被信任主機(jī)（如果被信任主機(jī)處于正常工作狀態(tài)，那么會(huì)認(rèn)為是錯(cuò)誤并主機(jī)（如果被信任主機(jī)處于正常工作狀態(tài)，那么會(huì)認(rèn)為是錯(cuò)誤并立即向目標(biāo)主機(jī)返回立即向目標(biāo)主機(jī)返回RST數(shù)據(jù)包，但此時(shí)它處于停頓狀態(tài)）。按數(shù)據(jù)包，但此時(shí)它處于停頓狀態(tài)）。按照計(jì)劃，被信任主機(jī)會(huì)拋棄該照計(jì)劃，被信任主機(jī)會(huì)拋棄該SYN/ACK數(shù)據(jù)包。數(shù)據(jù)包。o然后，攻擊者向目標(biāo)主機(jī)發(fā)送然后，攻擊者向目標(biāo)主機(jī)發(fā)送ACK數(shù)據(jù)包，該數(shù)據(jù)包，該ACK使用前面估計(jì)使用前面估計(jì)的序列號加的序列號加1（因?yàn)槭窃诖_認(rèn)）。如果攻擊者估計(jì)正確的話，目標(biāo)（因?yàn)槭窃?/p>

16、確認(rèn)）。如果攻擊者估計(jì)正確的話，目標(biāo)主機(jī)將會(huì)接收該主機(jī)將會(huì)接收該ACK 。至此，將開始數(shù)據(jù)傳輸。一般地，攻擊者。至此，將開始數(shù)據(jù)傳輸。一般地，攻擊者將在系統(tǒng)中放置一個(gè)后門，以便侵入。經(jīng)常會(huì)使用將在系統(tǒng)中放置一個(gè)后門，以便侵入。經(jīng)常會(huì)使用 cat /.rhosts。之所以這樣是因?yàn)?，這個(gè)辦法迅速、簡單地。之所以這樣是因?yàn)椋@個(gè)辦法迅速、簡單地為下一次侵入鋪平了道路。為下一次侵入鋪平了道路。 1、靜態(tài)修改、靜態(tài)修改IP地址地址 對于任何一個(gè)對于任何一個(gè)TCP/IP實(shí)現(xiàn)來說，實(shí)現(xiàn)來說，IP地址都是地址都是其用戶配置的必須選項(xiàng)。如果用戶的配置其用戶配置的必須選項(xiàng)。如果用戶的配置TCP/IP或修改或修改

17、TCP/IP配置時(shí)，使用的不是授權(quán)機(jī)構(gòu)分配配置時(shí)，使用的不是授權(quán)機(jī)構(gòu)分配的的IP地址，就形成了地址，就形成了IP地址的盜用，由于地址的盜用，由于IP地址地址是一個(gè)邏輯地址，是一個(gè)需要用戶設(shè)置的值，因此是一個(gè)邏輯地址，是一個(gè)需要用戶設(shè)置的值，因此無法限制用戶對于無法限制用戶對于IP地址的靜態(tài)修改地址的靜態(tài)修改，除非是使用，除非是使用DHCP服務(wù)器分配服務(wù)器分配IP地址，但又會(huì)帶來其他管理問地址，但又會(huì)帶來其他管理問題。題。6.1.3 IP地址盜用的常用方法2. 成對修改成對修改IP-MAC地址地址 對于靜態(tài)修改對于靜態(tài)修改IP地址的問題，現(xiàn)在很多單位都采用靜態(tài)路由技術(shù)加地址的問題，現(xiàn)在很多單位都

18、采用靜態(tài)路由技術(shù)加以解決，針對靜態(tài)路由技術(shù)，以解決，針對靜態(tài)路由技術(shù)，IP盜用技術(shù)又有了新的發(fā)展，即盜用技術(shù)又有了新的發(fā)展，即成對成對修改修改IP-MAC地址地址。 MAC地址是設(shè)備的硬件地址，即網(wǎng)卡地址。每一個(gè)網(wǎng)卡的地址是設(shè)備的硬件地址，即網(wǎng)卡地址。每一個(gè)網(wǎng)卡的MAC地址在所有的以太網(wǎng)設(shè)備中必須是唯一的，它由地址在所有的以太網(wǎng)設(shè)備中必須是唯一的，它由IEEE分配，是固化分配，是固化在網(wǎng)卡上的，一般不能隨意的改動(dòng)。但是，現(xiàn)在的一些兼容網(wǎng)卡，在網(wǎng)卡上的，一般不能隨意的改動(dòng)。但是，現(xiàn)在的一些兼容網(wǎng)卡，其其MAC地址可以使用網(wǎng)卡配置程序進(jìn)行修改。如果將一臺(tái)計(jì)算機(jī)的地址可以使用網(wǎng)卡配置程序進(jìn)行修改。如

19、果將一臺(tái)計(jì)算機(jī)的IP地址和地址和MAC地址都改為另外一臺(tái)合法主機(jī)的地址都改為另外一臺(tái)合法主機(jī)的IP地址和地址和MAC地址，地址，那靜態(tài)路由技術(shù)就無能為力了。那靜態(tài)路由技術(shù)就無能為力了。 另外，對于那些另外，對于那些MAC地址不能直接修改的網(wǎng)卡來說，用戶還可地址不能直接修改的網(wǎng)卡來說，用戶還可以采用軟件的辦法來修改以采用軟件的辦法來修改MAC地址，即通過修改底層網(wǎng)絡(luò)軟件達(dá)到地址，即通過修改底層網(wǎng)絡(luò)軟件達(dá)到欺騙上層網(wǎng)絡(luò)軟件的目的。欺騙上層網(wǎng)絡(luò)軟件的目的。6.1.3 IP地址盜用的常用方法在操作系統(tǒng)在操作系統(tǒng)Windows 2000/XP環(huán)境下，依次環(huán)境下，依次進(jìn)入進(jìn)入“控制面板控制面板”、“系統(tǒng)系

20、統(tǒng)”、“硬件硬件”、“設(shè)設(shè)備管理器備管理器”，找到需要修改的網(wǎng)卡，接著單擊鼠，找到需要修改的網(wǎng)卡，接著單擊鼠標(biāo)右鍵，選擇標(biāo)右鍵，選擇“屬性屬性”菜單，在彈出的網(wǎng)卡屬性菜單，在彈出的網(wǎng)卡屬性對話框中選擇對話框中選擇“高級高級”選項(xiàng)卡，然后再選項(xiàng)卡，然后再“屬性屬性”文本框中選擇文本框中選擇“Network Address”項(xiàng)，在右項(xiàng)，在右邊的值中填入新的邊的值中填入新的MAC地址，最后單擊確定按鈕地址，最后單擊確定按鈕退出。退出。 以這種方法更改以這種方法更改MAC地址不用重啟計(jì)算機(jī)，設(shè)地址不用重啟計(jì)算機(jī)，設(shè)置完成后再置完成后再M(fèi)S-DOS方式中輸入方式中輸入“ipconfig /all ”命令

21、即可以在命令行中看到修改后的命令即可以在命令行中看到修改后的MAC地址。地址。 6.1.3 IP地址盜用的常用方法3. 動(dòng)態(tài)修改動(dòng)態(tài)修改IP地址地址 對于一些黑客高手來說，直接編程在對于一些黑客高手來說，直接編程在網(wǎng)絡(luò)上收發(fā)數(shù)據(jù)包，繞過上層網(wǎng)絡(luò)軟件，網(wǎng)絡(luò)上收發(fā)數(shù)據(jù)包，繞過上層網(wǎng)絡(luò)軟件，來動(dòng)態(tài)修改自己的來動(dòng)態(tài)修改自己的IP地址（或地址（或IP-MAC地址對），達(dá)到地址對），達(dá)到IP欺騙并不是一件很困欺騙并不是一件很困難的事。難的事。6.1.3 IP地址盜用的常用方法 IP欺騙之所以可以實(shí)施，是因?yàn)樾湃畏?wù)欺騙之所以可以實(shí)施，是因?yàn)樾湃畏?wù)器的基礎(chǔ)建立在網(wǎng)絡(luò)地址的驗(yàn)證上，在整個(gè)攻擊器的基礎(chǔ)建立在網(wǎng)

22、絡(luò)地址的驗(yàn)證上，在整個(gè)攻擊過程中最難的是進(jìn)行過程中最難的是進(jìn)行序列號的估計(jì)序列號的估計(jì)，估計(jì)精度的，估計(jì)精度的高低是欺騙成功與否的關(guān)鍵。針對這些，可采取高低是欺騙成功與否的關(guān)鍵。針對這些，可采取如下的對策：如下的對策：6.1.4 IP欺騙的防范對策1. 禁止基于禁止基于IP地址的信任關(guān)系地址的信任關(guān)系 IP欺騙的原理是冒充被信任主機(jī)的欺騙的原理是冒充被信任主機(jī)的IP地址，地址，這種信任關(guān)系是建立在基于這種信任關(guān)系是建立在基于IP地址的驗(yàn)證地址的驗(yàn)證上，如果禁止基于上，如果禁止基于IP地址的信任關(guān)系，使地址的信任關(guān)系，使所有的用戶通過其它遠(yuǎn)程通信手段進(jìn)行遠(yuǎn)所有的用戶通過其它遠(yuǎn)程通信手段進(jìn)行遠(yuǎn)程訪

23、問，可徹底的防止基于程訪問，可徹底的防止基于IP地址的欺騙。地址的欺騙。6.1.4 IP欺騙的防范對策2. 安裝過濾路由器安裝過濾路由器如果計(jì)算機(jī)用戶的網(wǎng)絡(luò)是通過路由器接入如果計(jì)算機(jī)用戶的網(wǎng)絡(luò)是通過路由器接入Internet的，的，那么可以利用計(jì)算機(jī)用戶的路由器來進(jìn)行包過濾。那么可以利用計(jì)算機(jī)用戶的路由器來進(jìn)行包過濾。確信只有計(jì)算機(jī)用戶的內(nèi)部確信只有計(jì)算機(jī)用戶的內(nèi)部LAN可以使用信任關(guān)系，而可以使用信任關(guān)系，而內(nèi)部內(nèi)部LAN上的主機(jī)對于上的主機(jī)對于LAN以外的主機(jī)要慎重處理。以外的主機(jī)要慎重處理。使用路由器可以過濾掉所有來自于外部而希望與內(nèi)部建立使用路由器可以過濾掉所有來自于外部而希望與內(nèi)部建

24、立連接的請求。通過對信息包的監(jiān)控來檢查連接的請求。通過對信息包的監(jiān)控來檢查IP欺騙攻擊將欺騙攻擊將是非常有效的方法，使用是非常有效的方法，使用netlog或類似的包監(jiān)控工具來或類似的包監(jiān)控工具來檢查外接口上包的情況。檢查外接口上包的情況。6.1.4 IP欺騙的防范對策3. 使用加密法使用加密法 阻止阻止IP欺騙的另一個(gè)有效的方法是在通信時(shí)要求欺騙的另一個(gè)有效的方法是在通信時(shí)要求加密傳輸和驗(yàn)證加密傳輸和驗(yàn)證。當(dāng)有多個(gè)手段并存時(shí)，加密方法。當(dāng)有多個(gè)手段并存時(shí)，加密方法最為適應(yīng)。最為適應(yīng)。6.1.4 IP欺騙的防范對策4. 使用隨機(jī)化的初始序列號使用隨機(jī)化的初始序列號 IP欺騙另一個(gè)重要的因素是初始

25、序列號不是隨機(jī)欺騙另一個(gè)重要的因素是初始序列號不是隨機(jī)選擇或者隨機(jī)增加的，可以使用隨機(jī)化的初始序選擇或者隨機(jī)增加的，可以使用隨機(jī)化的初始序列號，通過下列公式來說明：列號，通過下列公式來說明： ISN=M+F(localhost，localport，remotehost，remoteport) 其中：其中：M：4微秒定時(shí)器；微秒定時(shí)器；F：加密：加密HASH函數(shù)函數(shù) F產(chǎn)生的序列號，對于外部來說是難以被計(jì)算或產(chǎn)生的序列號，對于外部來說是難以被計(jì)算或者被猜測出的。者被猜測出的。6.1.4 IP欺騙的防范對策6.2 與IP協(xié)議相關(guān)的欺騙手段o6.2.1 ARP欺騙及防范欺騙及防范o6.2.2 基于基

26、于ICMP的路由欺騙的路由欺騙o6.2.3 RIP路由欺騙路由欺騙o6.2.4 DNS欺騙欺騙6.2.1 ARP欺騙及防范1. ARP 原理原理地址轉(zhuǎn)換協(xié)議地址轉(zhuǎn)換協(xié)議(ARP) 是在計(jì)算機(jī)相互通信時(shí)，實(shí)現(xiàn)是在計(jì)算機(jī)相互通信時(shí)，實(shí)現(xiàn)IP 地址與其對應(yīng)網(wǎng)卡的物理地址（地址與其對應(yīng)網(wǎng)卡的物理地址（MAC）的轉(zhuǎn)換，）的轉(zhuǎn)換，確保數(shù)據(jù)信息準(zhǔn)確無誤地到達(dá)目的地。確保數(shù)據(jù)信息準(zhǔn)確無誤地到達(dá)目的地。具體方法是使用計(jì)算機(jī)高速緩存，將最新的地址映射具體方法是使用計(jì)算機(jī)高速緩存，將最新的地址映射通過動(dòng)態(tài)綁定到發(fā)送方。當(dāng)客戶機(jī)發(fā)送通過動(dòng)態(tài)綁定到發(fā)送方。當(dāng)客戶機(jī)發(fā)送ARP 請求時(shí)，請求時(shí)，同時(shí)也在監(jiān)聽信道上其他的同時(shí)

27、也在監(jiān)聽信道上其他的ARP 請求。請求。它靠維持在內(nèi)存中保存的一張表來使它靠維持在內(nèi)存中保存的一張表來使IP包得以在網(wǎng)絡(luò)包得以在網(wǎng)絡(luò)上被目標(biāo)機(jī)器應(yīng)答，當(dāng)上被目標(biāo)機(jī)器應(yīng)答，當(dāng)IP包到達(dá)該網(wǎng)絡(luò)后，只有機(jī)器包到達(dá)該網(wǎng)絡(luò)后，只有機(jī)器的的MAC地址和該地址和該IP包中的包中的MAC地址相同的機(jī)器才會(huì)地址相同的機(jī)器才會(huì)應(yīng)答這個(gè)應(yīng)答這個(gè)IP包。包。 o通常主機(jī)在發(fā)送一個(gè)通常主機(jī)在發(fā)送一個(gè)IP包之前，它要到該轉(zhuǎn)換表包之前，它要到該轉(zhuǎn)換表中尋找和中尋找和IP包對應(yīng)的包對應(yīng)的MAC地址。如果沒有找到，地址。如果沒有找到，該主機(jī)就發(fā)送一個(gè)該主機(jī)就發(fā)送一個(gè)ARP廣播包，形式如下：廣播包，形式如下：o“我是主機(jī)我是主機(jī)

28、xxx.xxx.xxx.xxx , MAC是是xxxxxxxxxxx ,IP為為xxx.xxx.xxx.xx1的主的主機(jī)請告訴你的機(jī)請告訴你的MAC oIP為為xxx.xxx.xxx.xx1的主機(jī)響應(yīng)這個(gè)廣播，的主機(jī)響應(yīng)這個(gè)廣播，應(yīng)答應(yīng)答ARP廣播為：廣播為：我是我是xxx.xxx.xxx.xx1,我我的的MAC為為xxxxxxxxxx2 6.2.1 ARP欺騙及防范6.2.1 ARP欺騙及防范2. 安全漏洞安全漏洞 通常當(dāng)主機(jī)在發(fā)送一個(gè)通常當(dāng)主機(jī)在發(fā)送一個(gè)IP包之前，它要到該包之前，它要到該轉(zhuǎn)換表中尋找和轉(zhuǎn)換表中尋找和IP包對應(yīng)的包對應(yīng)的MAC地址。如果沒有地址。如果沒有找到，該主機(jī)就發(fā)送一

29、個(gè)找到，該主機(jī)就發(fā)送一個(gè)ARP廣播包，得到對方廣播包，得到對方主機(jī)主機(jī)ARP應(yīng)答后，該主機(jī)刷新自己的應(yīng)答后，該主機(jī)刷新自己的ARP緩存，緩存，然后發(fā)出該然后發(fā)出該IP包。但是當(dāng)攻擊者向目標(biāo)主機(jī)發(fā)送包。但是當(dāng)攻擊者向目標(biāo)主機(jī)發(fā)送一個(gè)帶有欺騙性的一個(gè)帶有欺騙性的ARP 請求時(shí)，可以改變該主機(jī)請求時(shí)，可以改變該主機(jī)的的ARP 高速緩存中的地址映射，使得該被攻擊的高速緩存中的地址映射，使得該被攻擊的主機(jī)在地址解析時(shí)其結(jié)果發(fā)生錯(cuò)誤，導(dǎo)致所封裝主機(jī)在地址解析時(shí)其結(jié)果發(fā)生錯(cuò)誤，導(dǎo)致所封裝的數(shù)據(jù)被發(fā)往攻擊者所希望的目的地，從而使數(shù)的數(shù)據(jù)被發(fā)往攻擊者所希望的目的地，從而使數(shù)據(jù)信息被劫取。據(jù)信息被劫取。 3. 防

30、止防止ARP 欺騙欺騙 (1) 停止使用地址動(dòng)態(tài)綁定和停止使用地址動(dòng)態(tài)綁定和ARP 高速緩存定高速緩存定期更新的策略，在期更新的策略，在ARP 高速緩存中高速緩存中保存永久的保存永久的IP 地址與硬件地址映射表地址與硬件地址映射表，允許由系統(tǒng)管理人，允許由系統(tǒng)管理人員進(jìn)行人工修改。員進(jìn)行人工修改。 (2)在路由器的在路由器的ARP 高速緩存中高速緩存中放置所有受托主放置所有受托主機(jī)的永久條目機(jī)的永久條目，也可以減少并防止，也可以減少并防止ARP 欺騙，欺騙，但路由器在尋徑中同樣存在安全漏洞。但路由器在尋徑中同樣存在安全漏洞。 (3)使用使用ARP服務(wù)器服務(wù)器。通過該服務(wù)器查找自己的。通過該服務(wù)

31、器查找自己的ARP轉(zhuǎn)換表來響應(yīng)其他機(jī)器的轉(zhuǎn)換表來響應(yīng)其他機(jī)器的ARP廣播。確保廣播。確保這臺(tái)這臺(tái)ARP服務(wù)器不被黑。服務(wù)器不被黑。6.2.1 ARP欺騙及防范 1. 關(guān)于關(guān)于ICMPInternet 控制報(bào)文協(xié)議控制報(bào)文協(xié)議( ICMP) 允許路由器向其它路由器或主允許路由器向其它路由器或主機(jī)發(fā)送差錯(cuò)或控制報(bào)文。安全問題就經(jīng)常發(fā)生在重定向類型的機(jī)發(fā)送差錯(cuò)或控制報(bào)文。安全問題就經(jīng)常發(fā)生在重定向類型的ICMP報(bào)文收發(fā)上。報(bào)文收發(fā)上。如果網(wǎng)絡(luò)拓?fù)涓淖兞?，那么主機(jī)或路由器中送路表就不正確，改變?nèi)绻W(wǎng)絡(luò)拓?fù)涓淖兞?，那么主機(jī)或路由器中送路表就不正確，改變可以是臨時(shí)硬件維修或互聯(lián)網(wǎng)加入新網(wǎng)絡(luò)等?？梢允桥R時(shí)硬

32、件維修或互聯(lián)網(wǎng)加入新網(wǎng)絡(luò)等。為了避免整個(gè)網(wǎng)絡(luò)每臺(tái)主機(jī)的配置文件重復(fù)選路信息，允許個(gè)別主為了避免整個(gè)網(wǎng)絡(luò)每臺(tái)主機(jī)的配置文件重復(fù)選路信息，允許個(gè)別主機(jī)通過發(fā)送機(jī)通過發(fā)送ICMP重定向報(bào)文，請求有關(guān)主機(jī)或路由器改變路由表，重定向報(bào)文，請求有關(guān)主機(jī)或路由器改變路由表，當(dāng)路由器檢測到一臺(tái)主機(jī)使用非優(yōu)化路由時(shí)，允許向該主機(jī)發(fā)送重當(dāng)路由器檢測到一臺(tái)主機(jī)使用非優(yōu)化路由時(shí)，允許向該主機(jī)發(fā)送重定向定向ICMP報(bào)文，請示該主機(jī)改變成更直接有效的路由表。報(bào)文，請示該主機(jī)改變成更直接有效的路由表。6.2.2 基于ICMP的路由欺騙2. 欺騙的發(fā)生欺騙的發(fā)生 當(dāng)一臺(tái)機(jī)器向網(wǎng)絡(luò)中另一臺(tái)機(jī)器發(fā)送當(dāng)一臺(tái)機(jī)器向網(wǎng)絡(luò)中另一臺(tái)機(jī)器發(fā)

33、送ICMP重定向消息時(shí)，如果一臺(tái)機(jī)器佯裝成路重定向消息時(shí)，如果一臺(tái)機(jī)器佯裝成路由器截獲所有到達(dá)某些目標(biāo)網(wǎng)絡(luò)或全部目標(biāo)網(wǎng)由器截獲所有到達(dá)某些目標(biāo)網(wǎng)絡(luò)或全部目標(biāo)網(wǎng)絡(luò)絡(luò)IP的數(shù)據(jù)報(bào)，改變的數(shù)據(jù)報(bào)，改變ICMP重定向數(shù)據(jù)報(bào)，重定向數(shù)據(jù)報(bào)， 欺騙并改變目的主機(jī)的路由，惡意者可以直接欺騙并改變目的主機(jī)的路由，惡意者可以直接發(fā)送非法的發(fā)送非法的ICMP 重定向報(bào)文，達(dá)到破壞目重定向報(bào)文，達(dá)到破壞目的。的。6.2.2 基于ICMP的路由欺騙3. 防止欺騙防止欺騙(1) 避免避免ICMP重定向欺騙最簡單方法是重定向欺騙最簡單方法是將主機(jī)將主機(jī)配置成不能處理配置成不能處理ICMP重定向消息重定向消息。(2) 驗(yàn)證

34、驗(yàn)證ICMP重定向消息重定向消息，檢查核實(shí)，檢查核實(shí)ICMP重重定向是否來自于可靠的路由器或主機(jī)。定向是否來自于可靠的路由器或主機(jī)。6.2.2 基于ICMP的路由欺騙 1.RIP原理原理 RIP (Routing Information Protocol) 是使用是使用最廣泛的一種最廣泛的一種選路信息協(xié)議選路信息協(xié)議，它是基于本地網(wǎng)的矢量，它是基于本地網(wǎng)的矢量距離選路算法的直接而簡單的實(shí)現(xiàn)。距離選路算法的直接而簡單的實(shí)現(xiàn)。它把參加通信的機(jī)器分為主動(dòng)工作模式和被動(dòng)工作模它把參加通信的機(jī)器分為主動(dòng)工作模式和被動(dòng)工作模式。一般只有路由器才能以主動(dòng)模式工作，而其它主式。一般只有路由器才能以主動(dòng)模式工作

35、，而其它主機(jī)為被動(dòng)工作方式。機(jī)為被動(dòng)工作方式。主動(dòng)模式主動(dòng)模式RIP路由器每隔路由器每隔30s廣播一次報(bào)文，報(bào)文在廣播一次報(bào)文，報(bào)文在32bit的首部之后，包含了一系列的的首部之后，包含了一系列的序偶序偶，每個(gè)序偶，每個(gè)序偶由一個(gè)由一個(gè)IP地址和一個(gè)到達(dá)該網(wǎng)絡(luò)的整數(shù)距離值構(gòu)成。地址和一個(gè)到達(dá)該網(wǎng)絡(luò)的整數(shù)距離值構(gòu)成。被動(dòng)模式工作的路由器或主機(jī)監(jiān)聽網(wǎng)上所有廣播報(bào)文，被動(dòng)模式工作的路由器或主機(jī)監(jiān)聽網(wǎng)上所有廣播報(bào)文，并根據(jù)矢量距離算法更新送路表，從而使得該送路表并根據(jù)矢量距離算法更新送路表，從而使得該送路表保持最新且費(fèi)用更小。保持最新且費(fèi)用更小。6.2.3 RIP路由欺騙2.欺騙的發(fā)生欺騙的發(fā)生 在在

36、TCP/IP系統(tǒng)中，系統(tǒng)中，RIP協(xié)議處于協(xié)議處于UDP協(xié)議的上層協(xié)議的上層,RIP所所接受的路由修改信息都封裝在接受的路由修改信息都封裝在UDP的數(shù)據(jù)報(bào)中的數(shù)據(jù)報(bào)中,RIP在在520端端口上接受來自遠(yuǎn)程路由器的路由修改信息口上接受來自遠(yuǎn)程路由器的路由修改信息,并對本地的路由做并對本地的路由做相應(yīng)的修改相應(yīng)的修改,同時(shí)通知其他的路由器同時(shí)通知其他的路由器.RIP工作在工作在UDP的端口號為的端口號為520 ，那么路由欺騙的一種簡單，那么路由欺騙的一種簡單途徑是在端口途徑是在端口520上通過上通過UDP廣播非法路由信息，在一般的廣播非法路由信息，在一般的Unix系統(tǒng)中，沒有特權(quán)使用系統(tǒng)中，沒有特

37、權(quán)使用RIP的任何人都可以利用的任何人都可以利用RIP對對網(wǎng)絡(luò)中所有被動(dòng)參與網(wǎng)絡(luò)中所有被動(dòng)參與RIP協(xié)議者發(fā)起路由欺騙攻擊。協(xié)議者發(fā)起路由欺騙攻擊。如果如果RIP作為內(nèi)部路由上的協(xié)議，或者被動(dòng)工作模式涉及到作為內(nèi)部路由上的協(xié)議，或者被動(dòng)工作模式涉及到一個(gè)乃至多個(gè)路由器時(shí)，這種攻擊所造成的危害必定更大。一個(gè)乃至多個(gè)路由器時(shí)，這種攻擊所造成的危害必定更大。6.2.3 RIP路由欺騙3.防止欺騙防止欺騙防止防止RIP 欺騙的一種途徑是停止使用欺騙的一種途徑是停止使用RIP的被動(dòng)工作模式，尤其是較大網(wǎng)絡(luò)系統(tǒng)涉及的被動(dòng)工作模式，尤其是較大網(wǎng)絡(luò)系統(tǒng)涉及多個(gè)路由器時(shí)，應(yīng)限制性地使用多個(gè)路由器時(shí)，應(yīng)限制性地使

38、用RIP協(xié)議。協(xié)議。另一種途徑就是另一種途徑就是RIP協(xié)議被動(dòng)參與者必須采協(xié)議被動(dòng)參與者必須采用一些論證方法來接收值得信任的用一些論證方法來接收值得信任的RIP報(bào)文報(bào)文.6.2.3 RIP路由欺騙1. 關(guān)于域名系統(tǒng)關(guān)于域名系統(tǒng) 域名系統(tǒng)域名系統(tǒng)(DNS) 實(shí)質(zhì)是一種便于用戶記憶使用的實(shí)質(zhì)是一種便于用戶記憶使用的機(jī)器名與機(jī)器名與IP 地地址間的映射機(jī)制址間的映射機(jī)制，它提供一個(gè)分級命名方案，能高效地將名字映射，它提供一個(gè)分級命名方案，能高效地將名字映射到地址。當(dāng)一個(gè)客戶機(jī)在域名查詢或請求域名轉(zhuǎn)換時(shí)，所發(fā)送的報(bào)到地址。當(dāng)一個(gè)客戶機(jī)在域名查詢或請求域名轉(zhuǎn)換時(shí)，所發(fā)送的報(bào)文包含有它的名字、名字種類的說

39、明、所需回答的類型等。文包含有它的名字、名字種類的說明、所需回答的類型等。為了實(shí)現(xiàn)域名與為了實(shí)現(xiàn)域名與IP 地址的高速轉(zhuǎn)換，在域名服務(wù)器與主機(jī)中都采用地址的高速轉(zhuǎn)換，在域名服務(wù)器與主機(jī)中都采用高速緩存存儲(chǔ)有關(guān)數(shù)據(jù)庫，當(dāng)域名服務(wù)器收到查詢時(shí)，檢查名字是高速緩存存儲(chǔ)有關(guān)數(shù)據(jù)庫，當(dāng)域名服務(wù)器收到查詢時(shí)，檢查名字是否處于它授權(quán)管理的子域內(nèi)，如果是則綁定名字映射信息發(fā)回給客否處于它授權(quán)管理的子域內(nèi)，如果是則綁定名字映射信息發(fā)回給客戶機(jī)，如經(jīng)檢查沒有在被授權(quán)范圍內(nèi)，給客戶機(jī)一個(gè)非授權(quán)綁定的戶機(jī)，如經(jīng)檢查沒有在被授權(quán)范圍內(nèi)，給客戶機(jī)一個(gè)非授權(quán)綁定的信息，并根據(jù)客戶機(jī)請求而進(jìn)行遞歸轉(zhuǎn)換或迭代解析。信息，并根據(jù)

40、客戶機(jī)請求而進(jìn)行遞歸轉(zhuǎn)換或迭代解析。 6.2.4 DNS欺騙2. DNS 安全問題安全問題 DNS 安全威脅主要還是在于其使用高速緩存保存域名和安全威脅主要還是在于其使用高速緩存保存域名和IP地址的地址的映射策略。映射策略。如果某一域名服務(wù)器已受到安全攻擊或?yàn)槿肭终咚刂?，其域名與如果某一域名服務(wù)器已受到安全攻擊或?yàn)槿肭终咚刂?，其域名與IP地址映射數(shù)據(jù)庫被修改，在它為所授權(quán)范圍的客戶機(jī)提供域名服務(wù)時(shí)，地址映射數(shù)據(jù)庫被修改，在它為所授權(quán)范圍的客戶機(jī)提供域名服務(wù)時(shí)，所有信息就變?yōu)椴豢煽?，客戶機(jī)所得到的域名解析結(jié)果正是黑客所希所有信息就變?yōu)椴豢煽?，客戶機(jī)所得到的域名解析結(jié)果正是黑客所希望的，客戶機(jī)

41、的信息資源可能被黑客截取和破壞。望的，客戶機(jī)的信息資源可能被黑客截取和破壞。再有，當(dāng)查詢的再有，當(dāng)查詢的IP 地址為本地非授權(quán)范圍內(nèi)時(shí)，本地域名服務(wù)器提地址為本地非授權(quán)范圍內(nèi)時(shí)，本地域名服務(wù)器提供迭代解析，如果在解析過程中的初始條件已被黑客修改，則解析結(jié)供迭代解析，如果在解析過程中的初始條件已被黑客修改，則解析結(jié)果出錯(cuò)。果出錯(cuò)。DNS欺騙3. 反擊反擊DNS 欺騙欺騙 通過引入名字到地址的映射應(yīng)用程序接口通過引入名字到地址的映射應(yīng)用程序接口(API) 來簡化使用來簡化使用DNS 處理。處理。API 先查閱本地?cái)?shù)據(jù)，當(dāng)本先查閱本地?cái)?shù)據(jù)，當(dāng)本地?cái)?shù)據(jù)無法給出結(jié)果時(shí)，地?cái)?shù)據(jù)無法給出結(jié)果時(shí)，API 咨詢

42、咨詢DNS，這樣就減，這樣就減小了小了DNS 欺騙的可能性，且比直接查詢欺騙的可能性，且比直接查詢DNS更安全更安全; 如果在域名服務(wù)器中加入限制條件，增加檢查并限定如果在域名服務(wù)器中加入限制條件，增加檢查并限定權(quán)限，可以增強(qiáng)安全性。權(quán)限，可以增強(qiáng)安全性。DNS欺騙6.3 其它身份欺騙手段其它身份欺騙手段 1.通過代理服務(wù)器欺騙通過代理服務(wù)器欺騙代理服務(wù)器經(jīng)常被網(wǎng)絡(luò)攻擊者在攻擊目標(biāo)主機(jī)的同時(shí)，代理服務(wù)器經(jīng)常被網(wǎng)絡(luò)攻擊者在攻擊目標(biāo)主機(jī)的同時(shí)，用來隱藏自己的身份，以代理服務(wù)器為用來隱藏自己的身份，以代理服務(wù)器為“攻擊跳板攻擊跳板”，即使攻擊目標(biāo)的網(wǎng)絡(luò)管理員發(fā)現(xiàn)受到攻擊，也難以追即使攻擊目標(biāo)的網(wǎng)絡(luò)管

43、理員發(fā)現(xiàn)受到攻擊，也難以追蹤到網(wǎng)絡(luò)攻擊者的真實(shí)身份或蹤到網(wǎng)絡(luò)攻擊者的真實(shí)身份或IP地址。地址。所以如果跳板機(jī)上有詳細(xì)的訪問日志紀(jì)錄，那么網(wǎng)絡(luò)所以如果跳板機(jī)上有詳細(xì)的訪問日志紀(jì)錄，那么網(wǎng)絡(luò)管理者就能根據(jù)訪問日志向上追蹤，找到網(wǎng)絡(luò)攻擊者管理者就能根據(jù)訪問日志向上追蹤，找到網(wǎng)絡(luò)攻擊者的的IP地址。地址?？紤]到這些因素，網(wǎng)絡(luò)攻擊者常常會(huì)采用多級代理服考慮到這些因素，網(wǎng)絡(luò)攻擊者常常會(huì)采用多級代理服務(wù)器，或者通過務(wù)器，或者通過“跳板主機(jī)跳板主機(jī)”來攻擊目標(biāo)，而且在攻來攻擊目標(biāo)，而且在攻擊后清除訪問日志上的紀(jì)錄。這樣，網(wǎng)絡(luò)管理人員就擊后清除訪問日志上的紀(jì)錄。這樣，網(wǎng)絡(luò)管理人員就難以追蹤到攻擊者的難以追蹤到攻

44、擊者的IP地址。地址。網(wǎng)絡(luò)攻擊者為了轉(zhuǎn)移網(wǎng)絡(luò)安全管理人員的追蹤網(wǎng)絡(luò)攻擊者為了轉(zhuǎn)移網(wǎng)絡(luò)安全管理人員的追蹤視線，常常盜用他人的網(wǎng)絡(luò)賬戶進(jìn)行攻擊視線，常常盜用他人的網(wǎng)絡(luò)賬戶進(jìn)行攻擊.例如，通過竊聽網(wǎng)絡(luò)線路獲得網(wǎng)絡(luò)管理人員的例如，通過竊聽網(wǎng)絡(luò)線路獲得網(wǎng)絡(luò)管理人員的賬號和密碼，然后利用此賬號進(jìn)入系統(tǒng)。賬號和密碼，然后利用此賬號進(jìn)入系統(tǒng)。2. 盜用他人網(wǎng)絡(luò)賬戶 由于網(wǎng)絡(luò)上電子郵件的個(gè)人認(rèn)證信息的真實(shí)性由于網(wǎng)絡(luò)上電子郵件的個(gè)人認(rèn)證信息的真實(shí)性無法得到認(rèn)證，而且電子郵件使用是自由的，無法得到認(rèn)證，而且電子郵件使用是自由的，于是，網(wǎng)絡(luò)攻擊者常常會(huì)通過郵件攻擊特定的于是，網(wǎng)絡(luò)攻擊者常常會(huì)通過郵件攻擊特定的網(wǎng)絡(luò)目標(biāo)

45、。網(wǎng)絡(luò)目標(biāo)。網(wǎng)絡(luò)攻擊者會(huì)隨意設(shè)置郵件賬戶，而且郵件傳網(wǎng)絡(luò)攻擊者會(huì)隨意設(shè)置郵件賬戶，而且郵件傳輸協(xié)議輸協(xié)議SMTP并不是對郵件發(fā)送者的身份進(jìn)行并不是對郵件發(fā)送者的身份進(jìn)行認(rèn)證，網(wǎng)絡(luò)攻擊者可以偽造聲稱是內(nèi)部用戶的認(rèn)證，網(wǎng)絡(luò)攻擊者可以偽造聲稱是內(nèi)部用戶的電子郵件，并且是來自某個(gè)客戶而且是認(rèn)識的電子郵件，并且是來自某個(gè)客戶而且是認(rèn)識的人，或偽造成是來自一些權(quán)威機(jī)構(gòu)的電子郵件。人，或偽造成是來自一些權(quán)威機(jī)構(gòu)的電子郵件。這樣被攻擊者就不會(huì)懷疑郵件的內(nèi)容，輕易的這樣被攻擊者就不會(huì)懷疑郵件的內(nèi)容，輕易的接受郵件的附件或者鏈接。接受郵件的附件或者鏈接。 3. 電子郵件欺騙攻擊6.4 實(shí)驗(yàn)：實(shí)驗(yàn)：ARP欺騙欺騙o 為進(jìn)一步了解為進(jìn)一步了解ARP欺騙的原理，使用欺騙的原理，使用ARP-Killer進(jìn)行實(shí)驗(yàn)。實(shí)驗(yàn)環(huán)境為裝有進(jìn)行實(shí)驗(yàn)。實(shí)驗(yàn)環(huán)境為裝有Windows 2000操作系統(tǒng)的計(jì)算機(jī)以及局域網(wǎng)。操作系統(tǒng)的計(jì)算機(jī)以及局域網(wǎng)。oARP協(xié)議是協(xié)議是“Address Resolution Protocol”（地址解析協(xié)議）的縮寫。（地址解析協(xié)議）的縮寫。ARP協(xié)協(xié)議是一種將議是一種將IP轉(zhuǎn)化成以轉(zhuǎn)化成以IP對應(yīng)的對應(yīng)的網(wǎng)卡的物理地網(wǎng)卡的物理地址址的一種協(xié)議，或者說的一種協(xié)議，或