網(wǎng)絡(luò)安全7-欺騙攻擊

網(wǎng)絡(luò)安全

劉敏賢副教授西南科技大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院第5章緩沖區(qū)溢出攻擊回顧緩沖區(qū)溢出攻擊的基本原理、方法緩沖區(qū)溢出程序的原理及要素攻擊UNIX攻擊WINDOWS第7章欺騙攻擊欺騙攻擊是網(wǎng)絡(luò)攻擊的一種重要手段。常見(jiàn)的欺騙攻擊方式有：DNS欺騙攻擊；Email欺騙攻擊；Web欺騙攻擊和IP欺騙攻擊等。本章介紹這些主要欺騙攻擊的原理、實(shí)現(xiàn)技術(shù)。第7章欺騙攻擊7.1DNS欺騙攻擊7.2Email欺騙攻擊7.3Web欺騙攻擊7.4IP欺騙攻擊2023/2/35概述在Internet上計(jì)算機(jī)之間相互進(jìn)行的交流建立在兩個(gè)前提之下：認(rèn)證（Authentication）信任（Trust）2023/2/36概述認(rèn)證:

認(rèn)證是網(wǎng)絡(luò)上的計(jì)算機(jī)用于相互間進(jìn)行識(shí)別的一種鑒別過(guò)程，經(jīng)過(guò)認(rèn)證的過(guò)程，獲準(zhǔn)相互交流的計(jì)算機(jī)之間就會(huì)建立起相互信任的關(guān)系。2023/2/37概述信任:

信任和認(rèn)證具有逆反關(guān)系，即如果計(jì)算機(jī)之間存在高度的信任關(guān)系，則交流時(shí)就不會(huì)要求嚴(yán)格的認(rèn)證。而反之，如果計(jì)算機(jī)之間沒(méi)有很好的信任關(guān)系，則會(huì)進(jìn)行嚴(yán)格的認(rèn)證。2023/2/38概述欺騙實(shí)質(zhì)上就是一種冒充身份通過(guò)認(rèn)證騙取信任的攻擊方式。攻擊者針對(duì)認(rèn)證機(jī)制的缺陷，將自己偽裝成可信任方，從而與受害者進(jìn)行交流，最終攫取信息或是展開(kāi)進(jìn)一步攻擊。2023/2/39概述目前比較流行的欺騙攻擊主要有5種：IP欺騙：使用其他計(jì)算機(jī)的IP來(lái)騙取連接，獲得信息或者得到特權(quán)；電子郵件欺騙：電子郵件發(fā)送方地址的欺騙；DNS欺騙：域名與IP地址轉(zhuǎn)換過(guò)程中實(shí)現(xiàn)的欺騙；Web欺騙：創(chuàng)造某個(gè)萬(wàn)維網(wǎng)網(wǎng)站的復(fù)制影像，從而達(dá)到欺騙網(wǎng)站用戶目的的攻擊。 DNS欺騙攻擊DNS欺騙原理假設(shè)當(dāng)提交給某個(gè)域名服務(wù)器的域名解析請(qǐng)求的數(shù)據(jù)包被截獲，然后按截獲者的意圖將一個(gè)虛假的IP地址作為應(yīng)答信息返回給請(qǐng)求者，這時(shí)，原始請(qǐng)求者就會(huì)把這個(gè)虛假的IP地址作為它所要請(qǐng)求的域名而進(jìn)行連接，顯然它被欺騙到了別處而根本連接不上自己想要連接的那個(gè)域名

對(duì)那個(gè)客戶想要連接的域名而言，它就算是被黑掉了，因?yàn)榭蛻粲捎跓o(wú)法得到它的正確的IP地址而無(wú)法連接上它第7章第1節(jié)2023/2/311DNS工作原理DNS的全稱是DomainNameServer即域名服務(wù)器，當(dāng)一臺(tái)主機(jī)發(fā)送一個(gè)請(qǐng)求要求解析某個(gè)域名時(shí)，它會(huì)首先把解析請(qǐng)求發(fā)到自己的DNS服務(wù)器上。DNS的功能是提供主機(jī)名字和IP地址之間的轉(zhuǎn)換信息。DNS服務(wù)器里有一個(gè)“DNS緩存表”，里面存儲(chǔ)了此DNS服務(wù)器所管轄域內(nèi)主機(jī)的域名和IP地址的對(duì)應(yīng)關(guān)系。2023/2/312DNS工作原理例如，客戶主機(jī)需要訪問(wèn)時(shí)，首先要知道的IP地址?？蛻糁鳈C(jī)獲得IP地址的唯一方法就是向所在網(wǎng)絡(luò)設(shè)置的DNS服務(wù)器進(jìn)行查詢。查詢過(guò)程分四步進(jìn)行。DNS解析出IP的過(guò)程（1）舉個(gè)例子,假設(shè)今天我們查的DomainName(作為一個(gè)dns請(qǐng)求)為.時(shí),DNSServer如何處理:(1)你所用的電腦送出一個(gè)問(wèn)題給這臺(tái)電腦所設(shè)定的DNSServer(LocalDNS).問(wèn):的IP是什么?(2)這臺(tái)DNS會(huì)先看看是不是在他的cache中,如果是,就給出答案.如果不是,就從最上頭(根域)查起。在DNSServer上面一定有設(shè)定的"."，這個(gè)時(shí)候它就往"."層的任何一臺(tái)DNS(目前"."有13臺(tái))問(wèn)問(wèn)題，問(wèn)的IP誰(shuí)知道?(3)"."層的DNS會(huì)回答：我這沒(méi)有

的記錄，我已經(jīng)把.com的域名解析權(quán)交給.com了，我告訴你.com的IP，你去向.com問(wèn)吧,于是將結(jié)果(一個(gè)IP地址)返還給你的LocalDNS。(這個(gè)時(shí)候返回的是一個(gè).comnameserver的IP).

DNS解析出IP的過(guò)程（2） (4)接下來(lái)你所用的LocalDNS就會(huì)向.com這層的DNS問(wèn)：

的IP是什么?.comnameserver經(jīng)查找自身說(shuō)：我這沒(méi)有www.的記錄，我已經(jīng)把的域名解析權(quán)交給，我告訴你

的IP地址，你問(wèn)

好了!也將結(jié)果（一個(gè)IP地址）返還給LocalDNS。 (5)于是LocalDNS再向

這層的DNS問(wèn)：你知道www.的IP嗎?由于

是www.的授權(quán)DNS,上面有www主機(jī)的A記錄，于是將這個(gè)IP告訴給你的LocalDNS,于是LocalDNS拿到了

的IP地址。

2023/2/315DNS工作原理

上圖中有三臺(tái)主機(jī)：客戶主機(jī)、域DNS服務(wù)器和域DNS服務(wù)器。其中域DNS服務(wù)器直接為客戶主機(jī)提供DNS服務(wù)。下面對(duì)這四個(gè)過(guò)程進(jìn)行解釋。

2023/2/316DNS域名解析過(guò)程1）客戶主機(jī)軟件(例如Web瀏覽器)需要對(duì)進(jìn)行解析，它向本地DNS服務(wù)器(域)發(fā)送域名解析請(qǐng)求，要求回復(fù)的IP地址；2)

由于本地DNS服務(wù)器的數(shù)據(jù)庫(kù)中沒(méi)有的記錄，同時(shí)緩存中也沒(méi)有記錄，所以，它會(huì)依據(jù)DNS協(xié)議機(jī)器配置向網(wǎng)絡(luò)中的其他DNS服務(wù)器提交請(qǐng)求。這個(gè)查詢請(qǐng)求逐級(jí)遞交，直到域的真正權(quán)威DNS服務(wù)器收到請(qǐng)求(這里省略了尋找域DNS服務(wù)器的迭代過(guò)程，假定本地DNS服務(wù)器最終找到了所需要的信息)；2023/2/317DNS域名解析過(guò)程（2）3)

域DNS服務(wù)器將向域DNS服務(wù)器返回IP查詢結(jié)果(假定為)；4)

域的本地DNS服務(wù)器最終將查詢結(jié)果返回給客戶主機(jī)瀏覽器，并將這一結(jié)果存儲(chǔ)到其DNS緩存當(dāng)中，以便以后使用。在一段時(shí)間里，客戶主機(jī)再次訪問(wèn)時(shí)，就可以不需要再次轉(zhuǎn)發(fā)查詢請(qǐng)求，而直接從緩存中提取記錄向客戶端返回IP地址了。 經(jīng)過(guò)上面幾步，客戶主機(jī)獲得了它所期待的網(wǎng)站的IP地址，這樣整個(gè)域名解析過(guò)程就結(jié)束了。2023/2/318DNS欺騙的原理及實(shí)現(xiàn)步驟當(dāng)客戶主機(jī)向本地DNS服務(wù)器查詢域名的時(shí)候，如果服務(wù)器的緩存中已經(jīng)有相應(yīng)記錄，DNS服務(wù)器就不會(huì)再向其他服務(wù)器進(jìn)行查詢，而是直接將這條記錄返回給用戶。而入侵者欲實(shí)現(xiàn)DNS欺騙，關(guān)鍵的一個(gè)條件就是在DNS服務(wù)器的本地Cache中緩存一條偽造的解析記錄。2023/2/319DNS欺騙的原理及實(shí)現(xiàn)步驟在上面例子中，假如域DNS服務(wù)器返回的是經(jīng)過(guò)攻擊者篡改的信息，比如將指向另一個(gè)IP地址，域DNS服務(wù)器將會(huì)接受這個(gè)結(jié)果，并將錯(cuò)誤的信息存儲(chǔ)在本地Cache中。以后在這條緩存記錄的生存期內(nèi)，再向域DNS服務(wù)器發(fā)送的對(duì)的域名解析請(qǐng)求，所得到的IP地址都將是被篡改過(guò)的。2023/2/320DNS欺騙的原理及實(shí)現(xiàn)步驟2023/2/321DNS欺騙的原理及實(shí)現(xiàn)步驟有了對(duì)DNS服務(wù)器進(jìn)行欺騙的可能，攻擊者怎樣偽造DNS應(yīng)答信息就成了問(wèn)題的焦點(diǎn)。目前有兩種可能情況下的實(shí)現(xiàn)辦法:攻擊者可以控制本地的域名服務(wù)器攻擊者無(wú)法控制任何DNS服務(wù)器2023/2/322第一種可能情況一種可能是，攻擊者可以控制本地的域名服務(wù)器(假定是域的權(quán)威)，在其數(shù)據(jù)庫(kù)中增加一個(gè)附加記錄，將攻擊目標(biāo)的域名(例如)指向攻擊者的欺騙IP。緊接著，攻擊者向域DNS服務(wù)器發(fā)送對(duì)域名的解析請(qǐng)求。域的DNS服務(wù)器自然轉(zhuǎn)而向域的DNS服務(wù)器發(fā)送請(qǐng)求。2023/2/323第一種可能情況(2)這時(shí)候，本地的域名服務(wù)器除了返回正常的的IP地址外，還會(huì)在返回包中附加的映射記錄。如果域的DNS服務(wù)器允許緩存所有收到的信息的話，發(fā)過(guò)來(lái)到的偽造映射記錄便“注射”到其Cache中了。2023/2/324第二種可能情況另一種更現(xiàn)實(shí)的情況，就是攻擊者無(wú)法控制任何DNS服務(wù)器，但他可以控制該服務(wù)所在網(wǎng)絡(luò)的某臺(tái)主機(jī)，并可以監(jiān)聽(tīng)該網(wǎng)絡(luò)中的通信情況。這時(shí)候，黑客要對(duì)遠(yuǎn)程的某個(gè)DNS服務(wù)器進(jìn)行欺騙攻擊，所采用的手段很像IP欺騙攻擊：首先，黑客要冒充某個(gè)域名服務(wù)器的IP地址；其次，黑客要能預(yù)測(cè)目標(biāo)域名服務(wù)器所發(fā)送DNS數(shù)據(jù)包的ID號(hào)。確定目標(biāo)DNS服務(wù)器的ID號(hào)即為DNS欺騙攻擊的關(guān)鍵所在2023/2/325第二種可能情況(2)DNS數(shù)據(jù)是通過(guò)UDP協(xié)議傳遞的，在DNS服務(wù)器之間進(jìn)行域名解析通信時(shí)，請(qǐng)求方和應(yīng)答方都使用UDP53端口，而這樣的通信過(guò)程往往是并行的，也就是說(shuō)，DNS域名服務(wù)器之間同時(shí)可能會(huì)進(jìn)行多個(gè)解析過(guò)程，既然不同的過(guò)程使用相同的端口號(hào)，那靠什么來(lái)彼此區(qū)別呢?答案就在DNS報(bào)文里面。DNS報(bào)文格式頭部的ID域，是用于區(qū)別不同會(huì)話過(guò)程的，這有點(diǎn)類似于TCP中的序列號(hào)，域名解析的請(qǐng)求方和應(yīng)答方只有使用相同的ID號(hào)才能證明是同一個(gè)會(huì)話(由請(qǐng)求方?jīng)Q定所使用的ID)。不同的解析會(huì)話，采用不同的ID號(hào)。2023/2/326第二種可能情況(3)在一段時(shí)期內(nèi)，DNS服務(wù)器一般都采用一種有章可循的ID生成機(jī)制，例如，對(duì)于每次發(fā)送的域名解析請(qǐng)求，依次將數(shù)據(jù)包中的ID加1。如此一來(lái)，攻擊者如果可以在某個(gè)DNS服務(wù)器的網(wǎng)絡(luò)中進(jìn)行嗅探，他只要向遠(yuǎn)程的DNS服務(wù)器發(fā)送一個(gè)對(duì)本地某域名的解析請(qǐng)求，通過(guò)嗅探得到的來(lái)自目標(biāo)DNS服務(wù)器的請(qǐng)求數(shù)據(jù)包（因?yàn)檫h(yuǎn)程DNS服務(wù)器肯定會(huì)轉(zhuǎn)而請(qǐng)求本地的DNS服務(wù)器），攻擊者就可以得到想要的ID號(hào)了。2023/2/327第二種可能情況(4)例子：

域的DNS服務(wù)器向域的DNS服務(wù)器請(qǐng)求解析，如果攻擊者所偽造的DNS應(yīng)答包中含有正確的ID號(hào)，并且搶在域的DNS服務(wù)器之前向域的DNS服務(wù)器返回偽造信息，欺騙攻擊就將獲得成功的。2023/2/328第二種可能情況(5)其實(shí)，即使攻擊者無(wú)法監(jiān)聽(tīng)某個(gè)擁有DNS服務(wù)器的網(wǎng)絡(luò)，也有辦法得到目標(biāo)DNS服務(wù)器的ID號(hào)。首先，他向目標(biāo)DNS服務(wù)器請(qǐng)求對(duì)某個(gè)不存在域名地址（但該域是存在的）進(jìn)行解析。然后，攻擊者冒充所請(qǐng)求域的DNS服務(wù)器，向目標(biāo)DNS服務(wù)器連續(xù)發(fā)送應(yīng)答包，這些包中的ID號(hào)依次遞增。過(guò)一段時(shí)間，攻擊者再次向目標(biāo)DNS服務(wù)器發(fā)送針對(duì)該域名的解析請(qǐng)求，如果得到返回結(jié)果，就說(shuō)明目標(biāo)DNS服務(wù)器接受了剛才黑客的偽造應(yīng)答，繼而說(shuō)明黑客猜測(cè)的ID號(hào)在正確的區(qū)段上，否則，攻者可以再次嘗試。2023/2/329第二種可能情況(6)實(shí)際攻擊中，第二種攻擊方法實(shí)現(xiàn)比較復(fù)雜。知道了ID號(hào)，并且知道了ID號(hào)的增長(zhǎng)規(guī)律，以下的過(guò)程類似于IP欺騙攻擊。2023/2/330一次DNS欺騙攻擊的完整過(guò)程2023/2/331DNS欺騙的局限性及防御DNS欺騙主要存在兩點(diǎn)局限性：攻擊者不能替換緩存中已經(jīng)存在的記錄例如，如果在這個(gè)DNS上已經(jīng)有了一條/22的對(duì)應(yīng)記錄，那么入侵者試圖替換這條記錄是不可能的，也就是說(shuō)，攻擊者不可能修改已經(jīng)存在的記錄。但是在DNS服務(wù)器中一些記錄可以累加。如果在DNS的緩存中已經(jīng)存在一條/22的對(duì)應(yīng)記錄，攻擊者可以向緩存中再放入另一條偽造的記錄/1。這樣在DNS服務(wù)器中就有兩條的解析記錄，客戶主機(jī)查詢時(shí)，服務(wù)器會(huì)隨機(jī)返回其中一個(gè)，這樣就只有50％幾率實(shí)現(xiàn)DNS欺騙。DNS服務(wù)器存在緩存刷新時(shí)間問(wèn)題在DNS應(yīng)答報(bào)文里有一個(gè)字段生存時(shí)間（TTL）用來(lái)設(shè)定客戶程序保留該資源記錄的秒數(shù)。如果緩存中記錄的TTL為7200，那么DNS服務(wù)器會(huì)把的域名解析信息緩存7200秒，即兩個(gè)小時(shí)。假如攻擊者放入一條TTL為259200的記錄，那么這條記錄將會(huì)在緩存中保存三天時(shí)間。也就是說(shuō)，DNS欺騙的有效時(shí)間是與緩存中記錄的TTL相關(guān)的，一旦超過(guò)緩存有效時(shí)間，除非重新構(gòu)造緩存記錄，否則DNS欺騙會(huì)自動(dòng)失效。2023/2/332DNS欺騙的局限性及防御在配置DNS服務(wù)器的時(shí)候注意：使用最新版本DNS服務(wù)器軟件并及時(shí)安裝補(bǔ)??；關(guān)閉DNS服務(wù)器的遞歸功能：DNS服務(wù)器利用緩存中的記錄信息回答查詢請(qǐng)求或是DNS服務(wù)器通過(guò)查詢其它服務(wù)器獲得查詢信息并將它發(fā)送給客戶機(jī)，這兩種查詢方式稱為遞歸查詢，這種查詢方式容易導(dǎo)致DNS欺騙。限制區(qū)域傳輸范圍：限制域名服務(wù)器做出響應(yīng)的地址、限制域名服務(wù)器做出響應(yīng)的遞歸請(qǐng)求地址、限制發(fā)出請(qǐng)求的地址；限制動(dòng)態(tài)更新；采用分層的DNS體系結(jié)構(gòu)。Email欺騙攻擊Email欺騙方法攻擊者佯稱自己為系統(tǒng)管理員（郵件地址和系統(tǒng)管理員完全相同），給用戶發(fā)送郵件要求用戶修改口令（口令可能為指定字符串）或在貌似正常的附件中加載病毒或其他木馬程序

第7章第2節(jié)Email欺騙攻擊Email欺騙實(shí)現(xiàn)步驟SMTP服務(wù)器允許匿名登錄填寫假的名稱和發(fā)信人地址使用web形式騙取密碼，或者使用附件植入木馬第7章第2節(jié)2023/2/335電子郵件欺騙及防御技術(shù)電子郵件欺騙的原理電子郵件欺騙的防御2023/2/336電子郵件欺騙的原理攻擊者使用電子郵件欺騙有三個(gè)目的：第一，隱藏自己的身份。第二，如果攻擊者想冒充別人，他能假冒那個(gè)人的電子郵件。第三，電子郵件欺騙能被看作是社會(huì)工程的一種表現(xiàn)形式。電子郵件欺騙的原理一個(gè)郵件系統(tǒng)的傳輸包含用戶代理（UserAgent）、傳輸代理（TransferAgent）及投遞代理（DeliveryAgent）三大部分。用戶代理是一個(gè)用戶端發(fā)信和收信的程序，負(fù)責(zé)將信件按照一定的標(biāo)準(zhǔn)包裝，然后送到郵件服務(wù)器，將信件發(fā)出或由郵件服務(wù)器收回。傳輸代理則負(fù)責(zé)信件的交換和傳輸，將信件傳送至適當(dāng)?shù)泥]件服務(wù)器。再由投遞代理將信件分發(fā)至最終用戶的郵箱。在正常的情況下，郵件會(huì)盡量將發(fā)送者的名字和地址包括進(jìn)郵件頭信息中，但是，有時(shí)候，發(fā)送者希望將郵件發(fā)送出去而不希望收件者知道是誰(shuí)發(fā)的，這種發(fā)送郵件的方法稱為匿名郵件。實(shí)現(xiàn)匿名的一種最簡(jiǎn)單的方法，是簡(jiǎn)單地改變電子郵件軟件里的發(fā)送者的名字，但通過(guò)郵件頭的其它信息，仍能夠跟蹤發(fā)送者。另一種比較徹底的匿名方式是讓其他人發(fā)送這個(gè)郵件，郵件中的發(fā)信地址就變成了轉(zhuǎn)發(fā)者的地址了?，F(xiàn)在因特網(wǎng)上有大量的匿名轉(zhuǎn)發(fā)者（或稱為匿名服務(wù)器）。2023/2/338電子郵件欺騙的原理執(zhí)行電子郵件欺騙有三種基本方法，每一種有不同難度級(jí)別，執(zhí)行不同層次的隱蔽。它們分別是：利用相似的電子郵件地址直接使用偽造的E-mail地址遠(yuǎn)程登錄到SMTP端口發(fā)送郵件2023/2/339利用相似的電子郵件地址這主要是利用人們的大意心理。攻擊者找到一個(gè)受害者熟悉的名字。有了這個(gè)名字后，攻擊者注冊(cè)一個(gè)看上去像受害者熟悉的名字的郵件地址。這樣收信人很可能會(huì)回復(fù)這個(gè)郵箱發(fā)來(lái)信，這樣攻擊者就有得到想要信息的可能性。2023/2/340直接使用偽造的Email地址SMTP協(xié)議（即簡(jiǎn)單郵件傳輸協(xié)議）有著一個(gè)致命的缺陷：它所遵循過(guò)于信任的原則，沒(méi)有設(shè)計(jì)身份驗(yàn)證系統(tǒng)。SMTP建立在假定人們的身份和他們所聲稱一致的基礎(chǔ)之上，沒(méi)有對(duì)郵件發(fā)送者的身份進(jìn)行驗(yàn)證。這使得人們可以隨意構(gòu)造發(fā)件人地址來(lái)發(fā)送郵件。下頁(yè)我們通過(guò)修改郵件客戶端軟件的設(shè)置來(lái)示例這一點(diǎn)。2023/2/341直接使用偽造的Email地址

對(duì)于那些沒(méi)有設(shè)置SMTP身份驗(yàn)證功能的郵件服務(wù)器，例如右圖所示的Outlook郵件客戶軟件就不需要做相應(yīng)的設(shè)置，當(dāng)用戶使用郵件客戶軟件發(fā)出電子郵件時(shí)，發(fā)送郵件服務(wù)器不會(huì)對(duì)發(fā)件人地址進(jìn)行驗(yàn)證或者確認(rèn)，因此攻擊者能夠隨意指定他想使用的所有地址，而這些地址當(dāng)然會(huì)作為郵件源出現(xiàn)在收件人的信中。2023/2/342直接使用偽造的Email地址

此外，在右圖所示的例子中，攻擊者還能夠指定他想要的任何郵件返回地址。因此當(dāng)用戶回信時(shí)，答復(fù)回到攻擊者所掌握的郵箱test@test，而不是回到被盜用了地址的人那里。2023/2/343遠(yuǎn)程登錄到SMTP端口SMTP協(xié)議一般使用25號(hào)端口，郵件服務(wù)器通過(guò)它在互聯(lián)網(wǎng)上發(fā)送郵件。執(zhí)行電子郵件欺騙的一個(gè)比較復(fù)雜的方法是遠(yuǎn)程登錄到郵件服務(wù)器的25號(hào)端口發(fā)送郵件。2023/2/344遠(yuǎn)程登錄到25號(hào)端口(2)攻擊者首先找到郵件服務(wù)器的IP地址，或者通過(guò)運(yùn)行端口掃描程序來(lái)判斷哪些機(jī)器是25號(hào)端口開(kāi)放的郵件服務(wù)器。在攻擊者有了一臺(tái)25號(hào)端口開(kāi)放的機(jī)器和一臺(tái)正在運(yùn)行的郵件服務(wù)器后，輸入下面的命令：telnetIP地址

25在連接上以后，再輸入下面的內(nèi)容：

HELO MAILFROM:欺騙偽裝的mail地址

RCPTTO:收件的受害者mail地址

DATA

郵件的內(nèi)容2023/2/345示例：遠(yuǎn)程登錄25端口的Email欺騙實(shí)驗(yàn)環(huán)境局域網(wǎng)mail服務(wù)器為50Mail服務(wù)器不需要身份驗(yàn)證內(nèi)有兩個(gè)用戶分別為：liuy@lan.nipcchensl@lan.nipc實(shí)驗(yàn)方式偽裝成liuy@lan.nipc給chensl@lan.nipc發(fā)郵件2023/2/346Email欺騙過(guò)程—telnet到服務(wù)器通過(guò)telnet，連接到郵件服務(wù)器的25端口。在cmd.exe下使用的命令：

telnet5025結(jié)果如圖所示，說(shuō)明已經(jīng)連接到了25端口2023/2/347Email欺騙過(guò)程—發(fā)送郵件內(nèi)容220nipcoaMagicWinmailServer2.4(Build0530)ESMTPreadyhelo250nipcoaMagicWinmailServer2.4(Build0530)mailfrom:liuy@lan.nipc250okrcptto:chensl@lan.nipc250okdata354goaheadsubject:testto:chensl@lan.nipcfrom:liuy@lan.nipcthisisatest.250okmessageacceptedfordeliveryquit221nipcoaMagicWinmailServer2.4(Build0530)紅色部分是根據(jù)SMTP協(xié)議自行輸入的內(nèi)容；黑色部分是服務(wù)器的返回信息。說(shuō)明2023/2/348Email欺騙過(guò)程—發(fā)送郵件內(nèi)容截屏2023/2/349Email欺騙過(guò)程—結(jié)果用戶chensl@lan.nipc將收到來(lái)自liuy@lan.nipc的郵件，如圖所示。但是liuy@lan.nipc并不知道自己發(fā)送了郵件。試想，如果郵件的內(nèi)容里有病毒或者其它惡意代碼，且chensl@lan.nipc信任liuy@lan.nipc，那么將會(huì)是一件多么危險(xiǎn)的事情啊。2023/2/3505.4.2電子郵件欺騙的防御做為互聯(lián)網(wǎng)用戶，必須時(shí)刻樹(shù)立風(fēng)險(xiǎn)意識(shí)，不要隨意打開(kāi)一個(gè)不可信任的郵件。此外，下面介紹幾種防范方法分別從這幾個(gè)方面入手：郵件接收者郵件發(fā)送者郵件服務(wù)器郵件加密2023/2/351防范方法—郵件接收者做為郵件接收者來(lái)說(shuō)，用戶需要合理配置郵件客戶端，使每次總能顯示出完整的電子郵件地址，而不是僅僅顯示別名，完整的電子郵件地址能提供一些跡象表明正在發(fā)生一些不平常的事情。用戶應(yīng)該注意檢驗(yàn)發(fā)件人字段，不要被相似的發(fā)信地址所蒙蔽。2023/2/352防范方法—郵件發(fā)送者做為郵件發(fā)送者來(lái)說(shuō)，如果你使用foxmail或者outlook之類的郵件客戶端，你必須保護(hù)好這些郵件客戶端，防止他人對(duì)客戶端的設(shè)置進(jìn)行修改。2023/2/353防范方法—郵件服務(wù)器對(duì)于郵件服務(wù)器提供方來(lái)說(shuō)，采用的SMTP身份驗(yàn)證機(jī)制。原來(lái)使用SMTP協(xié)議發(fā)送郵件的時(shí)候并不需要任何驗(yàn)證，身份欺騙極易實(shí)現(xiàn)?，F(xiàn)在將POP協(xié)議收取郵件需要用戶名/密碼驗(yàn)證的思想移至到SMTP協(xié)議，發(fā)送郵件也需要類似的驗(yàn)證。絕大多數(shù)郵件服務(wù)提供商都是采用的這種做法，通常是使用與接收郵件相同的用戶名和密碼來(lái)發(fā)送郵件。采用這種方法之后，雖然SMTP協(xié)議安全性的問(wèn)題仍然無(wú)法從根本上得到解決，但是電子郵件欺騙已經(jīng)變得不像過(guò)去那么容易了。2023/2/354防范方法—PGP加密還有一種可能的解決方法是使用公鑰加密，其中應(yīng)用最廣泛的就是PGP郵件加密。PGP(PrettyGoodPrivacy)是一個(gè)可以讓您的電子郵件擁有保密功能的程序。藉此你可以將你的郵件加密，一旦加密后，郵件看起來(lái)是一堆無(wú)意義的亂碼。PGP提供了極強(qiáng)的保護(hù)功能，即使是最先進(jìn)的解碼分析技術(shù)也無(wú)法解讀加密后的文字。PGP加密與解密不像其它傳統(tǒng)加密的方式，而是以公鑰密碼學(xué)為基礎(chǔ)的。2023/2/355防范方法—PGP加密（2）舉例來(lái)說(shuō)，當(dāng)你要傳送一封保密信或檔案給某人時(shí)，必須先取得那人的公鑰（PublicKey），然后利用這個(gè)公鑰將信件加密。當(dāng)某人收到您加密的信件后，他必須利用相應(yīng)的私鑰(SecretKey)來(lái)解密。因此，除非其它人擁有收信者的私鑰，否則無(wú)法解開(kāi)發(fā)信人所加密的信件。同時(shí)，收信人在使用私鑰解密時(shí)，還必須輸入通行碼，如此又對(duì)加密后的郵件多了一層保護(hù)。Email欺騙攻擊Email欺騙的防護(hù)查看郵件原文，檢查真正的發(fā)件服務(wù)器地址通過(guò)郵件鏈接網(wǎng)頁(yè)的時(shí)候，注意真正的網(wǎng)站地址在不同的應(yīng)用中，盡可能使用不相同的、無(wú)關(guān)的密碼第7章第2節(jié)Web欺騙攻擊Web欺騙攻擊原理攻擊者通過(guò)偽造某個(gè)WWW站點(diǎn)的影像拷貝，使該Web的入口進(jìn)入到攻擊者的Web影像服務(wù)器，并經(jīng)過(guò)攻擊者機(jī)器的過(guò)濾作用，從而達(dá)到攻擊者監(jiān)控受攻擊者的任何活動(dòng)以獲取有用信息的目的第7章第3節(jié)Web欺騙攻擊Web欺騙方法改寫URLWeb中的腳本第7章第3節(jié)2023/2/359Web欺騙的概念Web站點(diǎn)給用戶提供了豐富多彩的信息，Web頁(yè)面上的文字、圖畫(huà)與聲音可以給人深刻的印象。在計(jì)算機(jī)世界中，我們往往都習(xí)慣各類圖標(biāo)、圖形，代表各類不同的含義。人們往往還會(huì)在事件的時(shí)間先后順序中得到某種暗示。如果在單擊銀行的網(wǎng)頁(yè)時(shí)username對(duì)話框同時(shí)出現(xiàn)了，用戶自然會(huì)認(rèn)為應(yīng)該輸入在該銀行的賬戶與口令。如果你在單擊了一個(gè)文檔鏈接后，立即開(kāi)始了下載，那么你很自然地會(huì)認(rèn)為該文件正從該站點(diǎn)下載。然而，以上的想法不一定總是正確的。Web欺騙的概念Web欺騙是一種電子信息欺騙，攻擊者創(chuàng)造了一個(gè)完整的令人信服的Web世界，但實(shí)際上它卻是一個(gè)虛假的復(fù)制。虛假的Web看起來(lái)十分逼真，它擁有相同的網(wǎng)頁(yè)和鏈接。然而攻擊者控制著這個(gè)虛假的Web站點(diǎn)，這樣受害者的瀏覽器和Web之間的所有網(wǎng)絡(luò)通信就完全被攻擊者截獲。2023/2/361Web欺騙的概念由于攻擊者可以觀察或者修改任何從受害者到Web服務(wù)器的信息，同樣地，也控制著從Web服務(wù)器發(fā)至受害者的返回?cái)?shù)據(jù)，這樣攻擊者就有發(fā)起攻擊的可能性。攻擊者能夠監(jiān)視被攻擊者的網(wǎng)絡(luò)信息，記錄他們?cè)L問(wèn)的網(wǎng)頁(yè)和內(nèi)容。當(dāng)被攻擊者填完一個(gè)表單并發(fā)送后，這些數(shù)據(jù)將被傳送到Web服務(wù)器，Web服務(wù)器將返回必要的信息，但不幸的是，攻擊者完全可以截獲并使用這些信息。2023/2/362Web欺騙的概念在得到必要的數(shù)據(jù)后，攻擊者可以通過(guò)修改受害者和Web服務(wù)器兩方任何一方數(shù)據(jù)，來(lái)進(jìn)行破壞活動(dòng)。攻擊者可以修改受害者的確認(rèn)數(shù)據(jù)，攻擊者還可以修改Web服務(wù)器返回的數(shù)據(jù)。2023/2/363Web欺騙的工作原理Web欺騙能夠成功的關(guān)鍵是在受害者和真實(shí)Web服務(wù)器之間插入攻擊者的Web服務(wù)器，這種攻擊常被稱為“中間人攻擊(man-in-the-middle)”。2023/2/364Web欺騙的工作原理為了建立這樣的Web服務(wù)器，攻擊者要完成以下工作：攻擊者改寫Web頁(yè)中的所有URL地址，使它們指向攻擊者的Web服務(wù)器不是真正的Web服務(wù)器。例如，

將變?yōu)?。2023/2/365Web欺騙的工作原理當(dāng)用戶單擊改寫過(guò)的

/連接，將進(jìn)入的是

/，再由/向

/發(fā)出請(qǐng)求并獲得真正的文檔，這樣攻擊者就可以改寫文檔中的所有鏈接，最后經(jīng)過(guò)/返回給用戶的瀏覽器。2023/2/366Web欺騙的工作原理工作流程如下所示：用戶訪問(wèn)偽造過(guò)的//向

/請(qǐng)求文檔；

/向/返回文檔；/改寫文檔中的所有URL；/向用戶返回改寫后的文檔。Web欺騙攻擊改寫URL①emailwithhtmllinksseemslikeMicrosoft①②②/③③④④htmlpagewithlinkslike:⑤⑤htmlpagewithlinkslike:

/第7章第3節(jié)Web欺騙攻擊利用Web腳本進(jìn)行欺騙原理攻擊者設(shè)計(jì)一個(gè)網(wǎng)頁(yè)，并誘使受害者瀏覽該網(wǎng)頁(yè)該網(wǎng)頁(yè)中包含有一個(gè)圖片和一個(gè)腳本當(dāng)瀏覽時(shí)，該圖片被下載到受害者計(jì)算機(jī)的臨時(shí)目錄中，而腳本被運(yùn)行腳本的功能是將圖片中隱藏的木馬提取出來(lái)，并設(shè)置為自動(dòng)執(zhí)行第7章第3節(jié)Web欺騙攻擊利用Web腳本進(jìn)行欺騙基本控件a1=document.applets[0];a1.setCLSID("{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}");a1.createInstance();reg=a1.GetObject();a1.setCLSID("{0D43FE01-F093-11CF-8940-00A0C9054228}");a1.createInstance();FSO=a1.GetObject();第7章第3節(jié)Web欺騙攻擊Web腳本從BMP圖片中釋放程序setLt=FSO.CreateTextFile(path&"tmp.in")Lt.WriteLine("rbx")Lt.WriteLine("0")Lt.WriteLine("rcx")Lt.WriteLine("1000")Lt.WriteLine("w136")Lt.WriteLine("q")Lt.Close第7章第3節(jié)Web欺騙攻擊Web腳本從BMP圖片中釋放程序WSH.Run"command/cdebug"&path&"tmp.dat<"&path&"tmp.in>"&path&"tmp.out",false,6OnErrorResumeNextFSO.GetFile(path&"tmp.dat").Copy(winsys&"tmp.exe")FSO.GetFile(path&"tmp.dat").DeleteFSO.GetFile(path&"tmp.in").DeleteFSO.GetFile(path&"tmp.out").Delete第7章第3節(jié)Web欺騙攻擊其它Web攻擊網(wǎng)頁(yè)病毒、木馬（及時(shí)升級(jí)補(bǔ)丁、使用安全級(jí)別高的瀏覽器）HTTP劫持（網(wǎng)絡(luò)整體防護(hù)）網(wǎng)絡(luò)釣魚(yú)第7章第3節(jié)2023/2/373Web欺騙案例網(wǎng)絡(luò)釣魚(yú)很多人是聞其名而色變，因?yàn)樗?jīng)常扮演成一只幕后黑手伸向人們的口袋……確切地講，網(wǎng)絡(luò)釣魚(yú)就是那些黑客們借用電子郵件或是模仿網(wǎng)上銀行、網(wǎng)上購(gòu)物等一切網(wǎng)上交易的頁(yè)面而制作出假的網(wǎng)頁(yè)頁(yè)面，以假亂真，讓用戶在毫不知情的情況下泄露出自己的相關(guān)賬戶信息（賬號(hào)、密碼），一旦這些黑客們得到了用戶的賬號(hào)信息，后果可想而知。經(jīng)典案例：工商銀行網(wǎng)上銀行被黑客多次偽造2023/2/3網(wǎng)絡(luò)入侵與防范講義742005年1月，一個(gè)假冒中國(guó)工商銀行網(wǎng)站出現(xiàn)在互聯(lián)網(wǎng)上，誘騙銀行卡持有人的帳戶和密碼，并導(dǎo)致多人的銀行存款被盜，直接經(jīng)濟(jì)損失達(dá)80萬(wàn)元人民幣。中國(guó)工商銀行網(wǎng)址：http://www.i假冒工商銀行網(wǎng)址：http://www.1網(wǎng)絡(luò)釣魚(yú)喬裝銀行，眾網(wǎng)友自動(dòng)上鉤2023/2/3網(wǎng)絡(luò)入侵與防范講義75工商銀行網(wǎng)站被仿造又一例URL露出了馬腳針對(duì)于站點(diǎn)的欺騙攻擊技術(shù)cookies欺騙攻擊session欺騙攻擊cookies欺騙原理什么是cookies?因特網(wǎng)瀏覽器的記錄標(biāo)記cookies的作用?Cookies是一種能夠讓網(wǎng)站服務(wù)器把少量數(shù)據(jù)儲(chǔ)存到客戶端的硬盤或內(nèi)存，或是從客戶端的硬盤讀取數(shù)據(jù)的一種技術(shù)。Cookies是當(dāng)你瀏覽某網(wǎng)站時(shí)，由Web服務(wù)器置于你硬盤上的一個(gè)非常小的文本文件，它可以記錄你的用戶ID、密碼、瀏覽過(guò)的網(wǎng)頁(yè)、停留的時(shí)間等信息。當(dāng)你再次來(lái)到該網(wǎng)站時(shí)，網(wǎng)站通過(guò)讀取Cookies，得知你的相關(guān)信息，就可以做出相應(yīng)的動(dòng)作，如在頁(yè)面顯示歡迎你的標(biāo)語(yǔ)，或者讓你不用輸入ID、密碼就直接登錄等等。cookies欺騙原理cont.Cookies在哪里?Cookies文件的存放位置為C:\DocumentsandSettings\用戶\CookiesCookies的格式?你的用戶名@產(chǎn)生的COOKIE的網(wǎng)頁(yè)文件所在的WEB目錄[COOKIE改變的次數(shù)].txt什么是Cookies欺騙?Cookies欺騙，就是在只對(duì)用戶做Cookies驗(yàn)證的系統(tǒng)中，通過(guò)修改Cookies的內(nèi)容來(lái)得到相應(yīng)的用戶權(quán)限登錄。cookies欺騙攻擊實(shí)現(xiàn)方法一般思路如下:

尋找具有Cookies欺騙漏洞的站點(diǎn)注冊(cè)用戶并登陸保存自己的Cookies

偷取其他用戶的Cookies

修改自己的Cookies等于或大致等于其

他用戶的Cookies

刷新頁(yè)面,更換身份驗(yàn)證身份session欺騙原理什么是session?Session是指一個(gè)終端用戶與交互系統(tǒng)進(jìn)行通信的時(shí)間間隔，通常指從注冊(cè)進(jìn)入系統(tǒng)到注銷退出系統(tǒng)之間所經(jīng)過(guò)的時(shí)間。具體到Web中的Session指的就是用戶在瀏覽某個(gè)網(wǎng)站時(shí)，從進(jìn)入網(wǎng)站到瀏覽器關(guān)閉所經(jīng)過(guò)的這段時(shí)間，也就是用戶瀏覽這個(gè)網(wǎng)站所花費(fèi)的時(shí)間。從上述的定義中我們可以看到，Session實(shí)際上是一個(gè)特定的時(shí)間概念.

說(shuō)白了也就是當(dāng)一個(gè)訪問(wèn)者來(lái)到你的網(wǎng)站的時(shí)候一個(gè)Session就開(kāi)始了，當(dāng)他離開(kāi)的時(shí)候Session就結(jié)束了。session欺騙原理cont.session工作原理:web服務(wù)器能通過(guò)Session對(duì)象區(qū)分不同的瀏覽器，因?yàn)镾ession對(duì)象是用來(lái)記錄瀏覽器端的變量，存儲(chǔ)一些如用戶名等比較敏感或有用的信息。這點(diǎn)似乎和Cookie有點(diǎn)像。但我們知道Cookie的值都是保存在客戶端的，而Session的值卻是保存在服務(wù)器端。當(dāng)每個(gè)訪問(wèn)者第一次瀏覽器訪問(wèn)服務(wù)器的一個(gè)ASP網(wǎng)頁(yè)的時(shí)候，服務(wù)器會(huì)為他創(chuàng)建一個(gè)新的并且獨(dú)立的Session對(duì)象，分配給該會(huì)話一個(gè)會(huì)話標(biāo)識(shí)號(hào)，并把包含會(huì)話標(biāo)識(shí)符的特殊加密版本的一個(gè)Cookie（會(huì)話標(biāo)識(shí)號(hào)）發(fā)送給客戶,當(dāng)瀏覽器關(guān)閉時(shí)，這個(gè)會(huì)話標(biāo)識(shí)號(hào)也就消失了。什么是Session欺騙所謂Session欺騙,就是在只對(duì)用戶做Session驗(yàn)證的系統(tǒng)中，通過(guò)偽造Session的內(nèi)容來(lái)得到相應(yīng)的用戶權(quán)限登錄操作。session欺騙原理cont.session和cookies的區(qū)別:1.保存位置不同：Cookie是保存在客戶端。Session保存在服務(wù)器端。2.保存時(shí)間不同：Cookie可以保存在用戶電腦上一年，或者更長(zhǎng)的時(shí)間Session往往只能保存幾十分鐘3.失效方式不同：Cookie設(shè)定時(shí)間后，會(huì)一直保存用戶的電腦上哪怕用

戶關(guān)機(jī)。Session保存服務(wù)器的內(nèi)存中，只要服務(wù)器重啟，或者網(wǎng)站關(guān)閉，都會(huì)丟失。兩者之間的關(guān)系，兩個(gè)都是用來(lái)保存用戶的信息。但是Session是基于Cookie基礎(chǔ)上的。如果用戶的瀏覽器禁止Cookie后，Session也是不能使用的session欺騙原理cont.Session驗(yàn)證的一般步驟:登錄頁(yè)面輸入賬號(hào)密碼后，如果有你輸入賬號(hào)密碼就認(rèn)為你是管理員,然后給你一個(gè)表示你身份的session值或者其他方法的驗(yàn)證，接著跟上面一樣給你個(gè)表示你身份的sesion值,隨后你進(jìn)入任何一個(gè)管理頁(yè)面它都要首先驗(yàn)證你的session值.Session欺騙，必須有三個(gè)前提:1．進(jìn)行欺騙的網(wǎng)頁(yè)和被欺騙的網(wǎng)頁(yè)必須位于同一個(gè)網(wǎng)站內(nèi)

2．必須知道管理頁(yè)面。

3．必須知道Session變量以及它的限制條件。session欺騙原理cont.session欺騙攻擊思路:已有某網(wǎng)站，下有登錄頁(yè)：Login.asp，成功登錄后轉(zhuǎn)向可以看到敏感信息的ok.asp（設(shè)有訪問(wèn)限制，驗(yàn)證通過(guò)則顯示），否則轉(zhuǎn)向Fail.asp。黑客先構(gòu)造一個(gè)hack.asp的網(wǎng)頁(yè)，通過(guò)瀏覽該網(wǎng)頁(yè)，建立Session會(huì)話，并設(shè)置一下Session驗(yàn)證時(shí)所需要的值，然后直接訪問(wèn)登錄以后的網(wǎng)頁(yè)ok.asp，由于ok.asp是通過(guò)Session來(lái)驗(yàn)證的，成功繞過(guò)用戶名和密碼驗(yàn)證.

如果ok.asp和hack.asp不在同一臺(tái)服務(wù)器上，這種攻擊是否可行?Session欺騙，必須有三個(gè)前提:1．進(jìn)行欺騙的網(wǎng)頁(yè)和被欺騙的網(wǎng)頁(yè)必須位于同一個(gè)網(wǎng)站內(nèi)

2．必須知道后臺(tái)管理登陸頁(yè)面

3．必須知道Session變量以及它的限制條件2023/2/387Web欺騙的防御防范Web欺騙的方法：配置網(wǎng)絡(luò)瀏覽器使它總能顯示目的URL，并且習(xí)慣查看它。檢查源代碼，如果發(fā)生了URL重定向，就一定會(huì)發(fā)現(xiàn)。不過(guò)，檢查用戶連接的每一個(gè)頁(yè)面的源代碼對(duì)普通用戶來(lái)說(shuō)是不切實(shí)際的想法。使用反網(wǎng)絡(luò)釣魚(yú)軟件。禁用JavaScript、ActiveX或者任何其他在本地執(zhí)行的腳本語(yǔ)言。確保應(yīng)用有效和能適當(dāng)?shù)馗櫽脩?。無(wú)論是使用cookie還是會(huì)話ID，都應(yīng)該確保要盡可能的長(zhǎng)和隨機(jī)。培養(yǎng)用戶注意瀏覽器地址線上顯示的URL的好習(xí)慣。培養(yǎng)用戶的安全意識(shí)和對(duì)開(kāi)發(fā)人員的安全教育。Web欺騙攻擊Web欺騙的防護(hù)很隱蔽，不容易被發(fā)現(xiàn)預(yù)防手段禁止瀏覽器中的JavaScript功能確保瀏覽器的連接狀態(tài)是可見(jiàn)的時(shí)刻注意所點(diǎn)擊的URL鏈接會(huì)在位置狀態(tài)行中得到正確的顯示第7章第3節(jié)Ip欺騙2023/2/390在Internet上計(jì)算機(jī)之間相互進(jìn)行的交流建立在兩個(gè)前提之下：認(rèn)證（Authentication）信任（Trust）2023/2/391認(rèn)證:

認(rèn)證是網(wǎng)絡(luò)上的計(jì)算機(jī)用于相互間進(jìn)行識(shí)別的一種鑒別過(guò)程，經(jīng)過(guò)認(rèn)證的過(guò)程，獲準(zhǔn)相互交流的計(jì)算機(jī)之間就會(huì)建立起相互信任的關(guān)系。2023/2/392信任:

信任和認(rèn)證具有逆反關(guān)系，即如果計(jì)算機(jī)之間存在高度的信任關(guān)系，則交流時(shí)就不會(huì)要求嚴(yán)格的認(rèn)證。而反之，如果計(jì)算機(jī)之間沒(méi)有很好的信任關(guān)系，則會(huì)進(jìn)行嚴(yán)格的認(rèn)證。2023/2/393欺騙實(shí)質(zhì)上就是一種冒充身份通過(guò)認(rèn)證騙取信任的攻擊方式。攻擊者針對(duì)認(rèn)證機(jī)制的缺陷，將自己偽裝成可信任方，從而與受害者進(jìn)行交流，最終攫取信息或是展開(kāi)進(jìn)一步攻擊。IP欺騙攻擊IP欺騙的基礎(chǔ)通過(guò)偽造IP地址能夠獲得更過(guò)的收益或者權(quán)限偽造的IP地址可以被接受而不被發(fā)現(xiàn)第7章第4節(jié)IP欺騙攻擊IP欺騙的過(guò)程信任SYNxSYNy+ACKx+1ACKy+1第7章第4節(jié)IP欺騙攻擊IP欺騙的過(guò)程首先使被信任主機(jī)的網(wǎng)絡(luò)暫時(shí)癱瘓連接到目標(biāo)機(jī)的某個(gè)端口來(lái)猜測(cè)ISN基值