第三章 網(wǎng)絡(luò)安全威脅

第三章網(wǎng)絡(luò)安全威脅南京郵電大學(xué)信息安全系《網(wǎng)絡(luò)信息安全》教研組2/1/20231南京郵電大學(xué)信息安全系主要內(nèi)容3.1隱藏攻擊者的地址和身份3.2踩點(diǎn)技術(shù)（Footprinting）3.3掃描技術(shù)（Scanning）3.4嗅探技術(shù)（Sniffing）3.5攻擊技術(shù)（AttackTechnology）3.6權(quán)限提升（EscalatingPrivilege）3.7掩蓋蹤跡（CoveringTracks）3.8創(chuàng)建后門（CreatingBookdoor）3.3.1主機(jī)掃描3.3.2端口掃描

3.3.3操作系統(tǒng)探測(cè)

3.3.4漏洞掃描

2/1/20232南京郵電大學(xué)信息安全系網(wǎng)絡(luò)攻擊與防御技術(shù)的關(guān)系①“網(wǎng)絡(luò)滲透”過程有多個(gè)階段、多種技術(shù)，但沒有一個(gè)統(tǒng)一的定式。②網(wǎng)絡(luò)攻擊技術(shù)發(fā)展很快，今天可行的技術(shù)可能明天就過時(shí)了。③網(wǎng)絡(luò)攻擊技術(shù)的過時(shí)主要是因?yàn)橄鄳?yīng)的網(wǎng)絡(luò)防御技術(shù)發(fā)展也很快。④許多網(wǎng)絡(luò)安全技術(shù)都是雙刃劍，兩者相輔相成，互為補(bǔ)充（如：掃描、嗅探和嗅探檢測(cè)等）。2/1/20233南京郵電大學(xué)信息安全系網(wǎng)絡(luò)防御技術(shù)1）加密/簽名/散列技術(shù)（理論基礎(chǔ)）2）主機(jī)加固技術(shù)（打補(bǔ)?。?）病毒防護(hù)技術(shù)（廣義病毒）4）防火墻技術(shù)（門衛(wèi)/被動(dòng)/進(jìn)出）5）虛擬專用網(wǎng)技術(shù)（端-端/密碼技術(shù)）6）入侵檢測(cè)技術(shù)（警察/動(dòng)態(tài)/內(nèi)部）7）蜜罐技術(shù)（主動(dòng)/位置/誤報(bào)漏報(bào)少）8）計(jì)算機(jī)取證技術(shù)（主機(jī)取證和網(wǎng)絡(luò)取證）為了保證服務(wù)質(zhì)量，要求誤報(bào)少；為了保證系統(tǒng)安全，要求漏報(bào)少；兩者常常相悖，應(yīng)根據(jù)用途折中選擇2/1/20234南京郵電大學(xué)信息安全系3.1隱藏攻擊者的地址和身份1．IP地址欺騙或盜用技術(shù)源IP地址為假冒或虛假2．MAC地址盜用技術(shù)修改注冊(cè)表或使用ifconfig命令

3．通過Proxy隱藏技術(shù)作為攻擊跳板；實(shí)際上很難真正實(shí)現(xiàn)隱藏4．網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)私有IP地址可以隱藏內(nèi)部網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)5．盜用他人網(wǎng)絡(luò)賬戶技術(shù)網(wǎng)絡(luò)安全鏈路中最薄弱的鏈接

2/1/20235南京郵電大學(xué)信息安全系3.2踩點(diǎn)技術(shù)（Footprinting）

黑客盡可能地收集目標(biāo)系統(tǒng)安全狀況的各種信息：①目標(biāo)系統(tǒng)的用戶注冊(cè)信息——Whois②域名、IP地址、DNS服務(wù)器、郵件服務(wù)器——Nslookup

、host③網(wǎng)絡(luò)拓?fù)浜吐酚尚畔ⅰ猅raceroute

獲取公開的信息；采用的技術(shù)合法。2/1/20236南京郵電大學(xué)信息安全系3.3掃描技術(shù)（Scanning）

3.3.1主機(jī)掃描（HostScanning）

一般使用Ping實(shí)現(xiàn)：發(fā)送ICMPecho請(qǐng)求給目標(biāo)主機(jī)，若收到ICMPecho應(yīng)答則表明目標(biāo)主機(jī)激活。①

Fping工具以并行輪轉(zhuǎn)方式發(fā)送大量Ping請(qǐng)求，以加快掃描速度。②防火墻的存在使得Ping掃描的應(yīng)答可能丟失，掃描結(jié)果就不一定準(zhǔn)確。2/1/20237南京郵電大學(xué)信息安全系3.3.2端口掃描（PortScanning）

通常采用Nmap等掃描工具：①獲得目標(biāo)主機(jī)開放的TCP和UDP端口列表②確定主機(jī)上開放的網(wǎng)絡(luò)服務(wù)③得到監(jiān)聽端口返回的Banner信息利用這些服務(wù)的漏洞，進(jìn)行進(jìn)一步入侵。2/1/20238南京郵電大學(xué)信息安全系TCP三次握手缺陷

SYN包,C的序列號(hào)

Client

SYN+ACK包,S序列號(hào),C應(yīng)答號(hào)Server

ACK包,S的應(yīng)答號(hào)?源端口(>1024高端口)

?目的端口(<1024熟知?源IP地址(尋址只關(guān)心端口，表明Server上目的IP，不認(rèn)證源IP地提供的服務(wù))

址，可能是“假”地址)?目的IP地址

TCP標(biāo)志位的作用：SYN/ACK/RST/FIN/PSH/URG假假冒（另一主機(jī)IP地址）虛假（可路由不可到達(dá)）2/1/20239南京郵電大學(xué)信息安全系3.3.3操作系統(tǒng)探測(cè)（OperateSystemProbing）

協(xié)議棧指紋鑒別（TCPStackFingerprinting）各個(gè)OS實(shí)現(xiàn)協(xié)議棧細(xì)節(jié)不同的原因如下：1）對(duì)RFC相關(guān)文件理解不同；2）TCP/IP規(guī)范并不被嚴(yán)格執(zhí)行；3）規(guī)范中一些選擇性特性只在某些系統(tǒng)使用；4）某些系統(tǒng)私自對(duì)IP協(xié)議做了改進(jìn)。2/1/202310南京郵電大學(xué)信息安全系操作系統(tǒng)探測(cè)的方法

①對(duì)目標(biāo)主機(jī)發(fā)出OS探測(cè)包，每種OS有其獨(dú)特響應(yīng)方法，可根據(jù)返回的響應(yīng)包確定目標(biāo)主機(jī)OS類型。協(xié)議棧指紋：TTL值、TCP窗口大小、DF標(biāo)志、TOS、IP碎片、ACK值、TCP選項(xiàng)等。②利用Ping掃描返回的TTL值進(jìn)行簡(jiǎn)單的OS探測(cè)2/1/202311南京郵電大學(xué)信息安全系3.3.4漏洞掃描（HoleScanning）

①漏洞（脆弱性，Vulnerability）計(jì)算機(jī)或網(wǎng)絡(luò)系統(tǒng)具有的某種可能被入侵者惡意利用的特性。②漏洞掃描針對(duì)特定應(yīng)用和服務(wù)（如操作系統(tǒng)、Web服務(wù)器、數(shù)據(jù)庫服務(wù)器、防火墻、路由器）查找目標(biāo)網(wǎng)絡(luò)漏洞，并抽取有效賬號(hào)或?qū)С鲑Y源名。2/1/202312南京郵電大學(xué)信息安全系3.4嗅探技術(shù)（Sniffing）

①黑客使用：非常隱蔽地攫取網(wǎng)絡(luò)大量敏感信息，是一種有效的“被動(dòng)攻擊”技術(shù)。與主動(dòng)攻擊技術(shù)相比，嗅探行為更易實(shí)現(xiàn)、更難被察覺。②安全管理人員使用：對(duì)網(wǎng)絡(luò)活動(dòng)進(jìn)行實(shí)時(shí)監(jiān)控，并及時(shí)發(fā)現(xiàn)各種網(wǎng)絡(luò)攻擊行為。2/1/202313南京郵電大學(xué)信息安全系嗅探技術(shù)的分類

局域網(wǎng)主機(jī)監(jiān)聽到發(fā)送給其他主機(jī)的數(shù)據(jù)包內(nèi)容。①共享式局域網(wǎng)——將該主機(jī)網(wǎng)卡設(shè)置成混雜（Promiscuous）模式②共享式和交換式局域網(wǎng)——該主機(jī)使用ARP欺騙注意：兩種技術(shù)可結(jié)合使用，從而嗅探到局域網(wǎng)上傳送的用戶賬號(hào)和口令。嗅探工具不能不加選擇地接收所有數(shù)據(jù)包，并且長(zhǎng)時(shí)間地監(jiān)聽。2/1/202314南京郵電大學(xué)信息安全系3.5攻擊技術(shù)（AttackTechnology）3.5.1社會(huì)工程（SocialEngineering）

3.5.2口令破解（PasswordCracking）

3.5.3IP欺騙（IPSpoofing）

3.5.4ARP欺騙（ARPSpoofing）

3.5.5DNS欺騙（DNSSpoofing）

3.5.6會(huì)話劫持（SessionHijacking）

3.5.7拒絕服務(wù)（DenialofService）攻擊3.5.8緩沖區(qū)溢出（BufferOverflow）攻擊2/1/202315南京郵電大學(xué)信息安全系3.5.1社會(huì)工程（SocialEngineering）①社會(huì)工程的核心：攻擊者偽裝身份并設(shè)法讓受害人泄露系統(tǒng)信息。②一種低技術(shù)含量破壞網(wǎng)絡(luò)安全的方法，其實(shí)是高級(jí)黑客技術(shù)的一種，往往使得看似處在嚴(yán)密防護(hù)下的網(wǎng)絡(luò)系統(tǒng)出現(xiàn)致命的突破口。③利用說服或欺騙的方式，讓安全意識(shí)薄弱的職員來提供必要的信息，從而獲得對(duì)信息系統(tǒng)的訪問。

2/1/202316南京郵電大學(xué)信息安全系3.5.2口令破解（PasswordCracking）①

手工嘗試（猜測(cè)）②對(duì)口令文件使用破解工具（字典/暴力/組合攻擊）③使用嗅探技術(shù)獲得口令④使用社會(huì)工程方法獲得口令⑤惡意網(wǎng)頁和惡意電子郵件⑥

通過鍵盤記錄器獲得口令⑦賬號(hào)口令鎖定機(jī)制拒絕服務(wù)攻擊2/1/202317南京郵電大學(xué)信息安全系3.5.3IP欺騙（IPSpoofing）

IP欺騙：通過偽造數(shù)據(jù)包源IP地址，偽裝成被信任主機(jī)來騙取目標(biāo)主機(jī)信任，從而實(shí)現(xiàn)攻擊?；趦蓚€(gè)前提：1）TCP/IP路由數(shù)據(jù)包時(shí)，不判斷源IP地址可以偽造數(shù)據(jù)包的源IP地址；2）UNIX中主機(jī)之間存在信任關(guān)系基于IP地址的認(rèn)證，不再需要用戶賬號(hào)和口令。2/1/202318南京郵電大學(xué)信息安全系一個(gè)完整的IP欺騙攻擊過程

2/1/202319南京郵電大學(xué)信息安全系3.5.4ARP欺騙（ARPSpoofing）

ARP協(xié)議的缺陷：一臺(tái)主機(jī)即使收到的ARP應(yīng)答包并非請(qǐng)求得到的，也會(huì)將其插入ARP緩存表中。①黑客想嗅探同一局域網(wǎng)兩臺(tái)主機(jī)的通信，就分別給它們發(fā)送ARP應(yīng)答包，讓它們誤認(rèn)為對(duì)方的MAC地址就是黑客的MAC地址。②兩臺(tái)主機(jī)之間的數(shù)據(jù)包都會(huì)通過黑客，雙方看似“直接”的通信，實(shí)際上都是通過黑客中轉(zhuǎn)的。

2/1/202320南京郵電大學(xué)信息安全系3.5.5DNS欺騙（DNSSpoofing）

DNS協(xié)議的缺陷：DNS服務(wù)器向另一個(gè)DNS服務(wù)器發(fā)送解析請(qǐng)求時(shí)并不認(rèn)證被請(qǐng)求方，黑客可以冒充被請(qǐng)求方返回一個(gè)被篡改的IP地址。DNS服務(wù)器會(huì)緩存被黑客篡改的IP地址，以后對(duì)該服務(wù)器的同一域名的解析請(qǐng)求，在該條目被緩存的生存期內(nèi)，得到的結(jié)果都將被篡改。2/1/202321南京郵電大學(xué)信息安全系3.5.6會(huì)話劫持（SessionHijacking）

會(huì)話劫持：結(jié)合嗅探和欺騙技術(shù)，在正常的通信過程中，黑客作為第三方參與其中：①要么在數(shù)據(jù)流里注射額外的信息；②或?qū)㈦p方的通信模式暗中改變，即從直接聯(lián)系變成交由黑客中轉(zhuǎn)。

2/1/202322南京郵電大學(xué)信息安全系3.5.7拒絕服務(wù)（DenialofService）攻擊?并非某一種具體的攻擊方式?而是攻擊所表現(xiàn)出來的結(jié)果——

使服務(wù)器不能正常地對(duì)外界提供服務(wù)（可用性）

內(nèi)存損耗系統(tǒng)程序和應(yīng)用程序的漏洞帶寬損耗網(wǎng)絡(luò)協(xié)議實(shí)現(xiàn)中的缺陷（如TCP三次握手缺陷）攻擊者不需與目標(biāo)交互可偽造源IP地址難以追蹤結(jié)果原因2/1/202323南京郵電大學(xué)信息安全系DoS攻擊方法的分類與比較代表性方法所利用漏洞/缺陷防范現(xiàn)狀使用現(xiàn)狀PingofDeath系統(tǒng)程序和應(yīng)用程序的漏洞很好防范基本不用TeardropUDPFlood網(wǎng)絡(luò)協(xié)議實(shí)現(xiàn)中的缺陷很好防范基本不用LANDAttackSYNFlood網(wǎng)絡(luò)協(xié)議實(shí)現(xiàn)中的缺陷很難根本防范多用于DDoS攻擊中SmurfAttack2/1/202324南京郵電大學(xué)信息安全系3.5.8緩沖區(qū)溢出（BufferOverflow）攻擊①緩沖區(qū)：程序運(yùn)行時(shí)內(nèi)存分配的一個(gè)連續(xù)區(qū)域，保存字符數(shù)組在內(nèi)的各種類型數(shù)據(jù)。②溢出：所填充數(shù)據(jù)超過原有緩沖區(qū)邊界，并非法占據(jù)另一段內(nèi)存，導(dǎo)致程序執(zhí)行出錯(cuò)。③緩沖區(qū)溢出攻擊：黑客精心構(gòu)造填充數(shù)據(jù)，用自己代碼覆蓋原來的返回地址，讓程序改變現(xiàn)有流程去執(zhí)行特定代碼，最終獲取系統(tǒng)控制權(quán)。2/1/202325南京郵電大學(xué)信息安全系緩沖區(qū)溢出攻擊的原理攻擊者利用計(jì)算機(jī)指令系統(tǒng)弱點(diǎn)，分析有缺陷程序代碼，向程序提交惡意超長(zhǎng)的輸入數(shù)據(jù)，破壞或改寫內(nèi)存中控制流程的關(guān)鍵信息，獲得進(jìn)程的控制權(quán)。根本原因：C/C++沒有對(duì)數(shù)組引用進(jìn)行邊界檢查：①如果讀取數(shù)組以外內(nèi)容，會(huì)使程序得出錯(cuò)誤結(jié)果②如果是寫入，可能破壞該進(jìn)程內(nèi)存的其它內(nèi)容2/1/202326南京郵電大學(xué)信息安全系3.6權(quán)限提升（EscalatingPrivilege）

黑客進(jìn)入系統(tǒng)獲得訪問權(quán)權(quán)限提升

得到系統(tǒng)的控制權(quán)（最終目的）（root或最高管理員權(quán)限）使用su命令、種植獲取口令的木馬

破解口令散列文件得到管理員口令

利用Web瀏覽和電子郵件2/1/202327南京郵電大