网络信息对抗第四章TCPIP网络协议攻击
TCPIP攻击原理
TCPIP攻击原理TCPIP攻击是指针对互联网协议套件中的TCP/IP协议的攻击方式，旨在利用协议的弱点或不安全性来实现非法目的，如获取敏感信息、拒绝服务等。
本文将从攻击原理、常见攻击类型、防御措施等方面进行详细介绍。
一、攻击原理1.IP欺骗：攻击者通过伪造IP地址，冒充合法用户或合法服务器，欺骗目标主机或路由器，从而实现攻击目的。
常见的IP欺骗方式包括ARP欺骗和ARP缓存污染等。
2.SYN洪泛攻击：攻击者向目标主机发送大量的TCPSYN请求，但不完成三次握手，导致目标主机资源耗尽，无法为合法请求提供服务，从而达到拒绝服务的目的。
3.TCP会话劫持：攻击者利用网络嗅探或中间人攻击技术，截获合法用户与目标服务器之间的TCP会话数据，然后修改、篡改或监听这些数据，从而实现信息窃取、偷取用户密码等非法目的。
4.ICMP攻击：攻击者通过发送大量的ICMP请求或响应报文，使目标主机在处理这些报文时消耗大量的计算和网络资源，导致网络拥堵或拒绝服务。
5.DNS劫持：攻击者通过攻击DNS服务器或篡改DNS响应报文，使用户访问到错误的网址或被导向恶意网站，从而盗取用户信息或进行钓鱼攻击。
二、常见攻击类型1. SYN洪泛攻击（SYN Flood）：攻击者发送大量的TCP SYN请求报文给目标服务器，但不完成三次握手，使得服务器资源耗尽，无法为合法请求提供服务。
2. ICMP洪泛攻击（ICMP Flood）：攻击者向目标主机发送大量的ICMP请求或响应报文，占用目标主机的网络和计算资源，导致拒绝服务。
3. IP碎片攻击（IP Fragmentation Attack）：攻击者发送大量的IP碎片报文给目标主机，使目标主机在组装这些碎片时耗费大量资源，导致拒绝服务。
4. DNS劫持（DNS Hijacking）：攻击者通过攻击DNS服务器或篡改DNS响应报文，使用户在访问网址时被导向错误的网站，用于信息窃取或钓鱼攻击。
信息对抗中的网络攻击模式分析
信息对抗中的网络攻击模式分析在当今数字化时代，信息的快速传递和广泛共享为社会发展带来了巨大的便利，但同时也引发了一系列的安全问题。
信息对抗成为了网络空间中一个不可忽视的领域，而网络攻击模式则是其中的关键要素。
了解和分析这些攻击模式对于保障网络安全、防范潜在威胁具有至关重要的意义。
网络攻击模式多种多样，常见的包括以下几种：一、恶意软件攻击恶意软件是网络攻击中最为常见的手段之一。
其中，病毒、蠕虫和木马是最为典型的代表。
病毒是一种能够自我复制并传播到其他计算机系统的程序。
它通常会附着在合法的文件或程序上，当用户运行这些文件时，病毒就会被激活并开始破坏系统。
例如，有些病毒会删除重要文件、修改系统设置，导致计算机无法正常运行。
蠕虫则具有自我传播的能力，它可以利用网络漏洞在不同的计算机之间快速传播，消耗网络资源和系统资源，甚至造成网络瘫痪。
木马则相对更为隐蔽，它通常伪装成有用的程序或文件，一旦用户下载并运行，攻击者就可以远程控制被感染的计算机，窃取敏感信息、监控用户活动等。
二、DDoS 攻击（分布式拒绝服务攻击）DDoS 攻击是通过向目标服务器发送大量的请求，使其无法处理正常的用户请求，从而导致服务中断。
攻击者通常会利用大量被控制的计算机（称为“僵尸网络”）来发起这种攻击，使得攻击流量巨大，难以防范。
这种攻击方式不仅会影响企业的网站和在线服务，还可能对金融、电商等关键领域造成严重的经济损失。
例如，一家电商网站在促销活动期间遭受 DDoS 攻击，可能导致用户无法正常访问和下单，从而影响业务的正常开展。
三、SQL 注入攻击在许多网站和应用程序中，数据通常存储在数据库中。
SQL 注入攻击就是利用网站或应用程序中对用户输入数据的处理漏洞，将恶意的SQL 代码注入到输入字段中，从而获取、修改或删除数据库中的数据。
比如，一个在线银行网站，如果没有对用户输入的账号和密码进行严格的验证和过滤，攻击者就可能通过输入特定的 SQL 语句来获取其他用户的账户信息。
网络IP的网络攻击与入侵防御
网络IP的网络攻击与入侵防御网络IP（Internet Protocol）是互联网通信中的一种协议，用于在网络中传输数据和标识设备。
然而，网络IP也存在着被黑客利用的风险，可能面临网络攻击和入侵的威胁。
本文将探讨网络IP的网络攻击与入侵防御的相关问题，并提供一些应对策略。
一、网络IP的网络攻击网络IP可能受到各种各样的网络攻击，以下是常见的几种类型：1. DDoS攻击DDoS（Distributed Denial of Service）攻击是黑客利用多台计算机发起的一种攻击方式，旨在通过占据目标IP的网络流量，使其无法正常响应合法用户请求。
DDoS攻击可以造成目标网络的瘫痪，影响其正常运行。
2. IP欺骗IP欺骗（IP Spoofing）是一种通过伪造源IP地址发送数据包的攻击手段。
黑客可以利用IP欺骗攻击，隐藏真实的攻击来源，混淆网络防御系统的判断，从而更难被追踪和阻止。
3. 端口扫描黑客可以通过扫描目标IP的开放端口，寻找可能存在的安全漏洞和非法进入的途径。
这种攻击方式允许黑客探测目标系统的弱点，以便进一步侵入和控制。
二、网络IP的入侵防御为了应对网络IP的网络攻击和入侵威胁，我们可以采取以下措施来加强网络的安全性：1. 防火墙安装和配置防火墙是保护网络IP的有效手段之一。
防火墙可以监测和控制进出网络的数据流量，规范网络通信，对恶意流量进行过滤和阻止，从而减少潜在的攻击和入侵。
2. 更新和维护及时更新和维护相关软件和操作系统是防御网络IP攻击的重要措施之一。
厂商会持续修复已知漏洞，并发布升级补丁。
同时，及时更新的安全防护软件可以实时监测和阻止潜在的恶意行为，提升网络的安全性。
3. 强化访问控制设置合适的访问控制策略是保护网络IP的关键步骤。
限制对敏感数据的访问权限，并使用复杂的密码和加密技术，可以减少未经授权的访问和非法入侵。
4. 安全培训与教育加强员工的安全意识和知识，通过安全培训和教育活动，提升他们对网络攻击和入侵威胁的认识和理解。
TCP IP协议族 ARP攻击以及防御041440516董迎顺
报告成绩：教师：年月日
2设置静态的MAC-->IP对应表，不要让主机刷新设定好的转换表。
3除非很有必要，否则停止使用ARP，将ARP做为永久条目保存在对应表中。
4使用ARP服务器。通过该服务器查找自己的ARP转换表来响应其他机器的ARP广播。确保这台ARP服务器不被黑。
5使用“proxy”代理IP的传输。
6使用硬件屏蔽主机。设置好路由，确保IP地址能到达合法的路径（静态配置路由ARP条目），注意，使用交换集线器和网桥无法阻止ARP欺骗。
7管理员定期用响应的IP包中获得一个RARP请求，然后检查ARP响应的真实性。
8管理员定期轮询，检查主机上的ARP缓存。
9使用防火墙连续监控网络。注意有使用SNMP的情况下，ARP的欺骗有可能导致陷阱包丢失。
10若感染ARP病毒，可以通过清空ARP缓存、指定ARP对应关系、添加路由信息、使用防病毒软件等方式解决。
在交换机上配置802.1x协议后，攻击者在连接交换机时需要进行身份认证（结合MAC、端口、帐户、VLAN和密码等），只有通过认证后才能向网络发送数据。攻击者未通过认证就不能向网络发送伪造的ARP报文。
对ARP的防御有以下几条：
1不要把网络安全信任关系建立在IP基础上或MAC基础上（RARP同样存在欺骗的问题），理想的关系应该建立在IP+MAC基础上。
ARP攻击主要是存在于局域网网络中，局域网中若有一台计算机感染ARP木马，则感染该ARP木马的系统将会试图通过“ARP欺骗”手段截获所在网络内其它计算机的通信信息，并因此造成网内其它计算机的通信故障。
为了解决ARP攻击问题，可以在网络中的交换机上配置802.1x协议。
IEEE 802.1x是基于端口的访问控制协议，它对连接到交换机的用户进行认证和授权。
网络协议攻击的预防与应对
网络协议攻击的预防与应对网络协议攻击是指利用计算机网络通信协议的漏洞和错误，以达到非法侵入、拒绝服务、窃取隐私等目的的行为。
近年来，网络协议攻击成为网络安全的重要议题之一，各种协议的漏洞层出不穷，使得其威胁范围不断扩大。
本文将从预防和应对两方面进行探讨。
一、预防网络协议攻击1.确立网络访问规则访问控制是防范网络协议攻击最基本的方法之一。
网络管理员需明确网络访问规则，建立完善的身份认证管理系统，限制未经授权的访问。
敏感信息和关键服务器应该设置更高的安全级别，只允许授权人员访问。
2.及时更新安全补丁软件厂商会不断推出安全补丁来修复协议和应用的漏洞，应当及时更新并安装。
由于多数攻击针对新发布的漏洞，及时更新安全补丁是极其必要的。
如果网络管理员不能及时更新杀毒软件、操作系统和网络设备等，那么黑客攻击获得系统的机会就会大大增加。
3.加密通信加密通信是防止黑客获取机密信息的重要手段。
网络管理员应该在所有网络连接中加入加密措施，使用加密协议如SSL、TLS等保护用户数据传输。
如果采用无加密协议传输敏感信息，那么黑客在截获数据包时，就可以查看其中存储的所有机密信息。
4.反制网络欺骗网络攻击者会伪装成合法用户进行网络欺骗和诈骗行为。
网络管理员应加强网络用户教育，让用户增强警惕意识，避免提供自己的敏感信息。
同时，利用防火墙、反病毒软件和入侵检测系统，检测并拦截网络欺骗的攻击。
5.对网络通信进行监测网络监视是网络安全的重要一环，应该建立合理的监控系统。
监控对网络所有通信进行过滤和记录，以便快速检测协议攻击，如果发现攻击，则应及时进行响应和处置。
二、应对网络协议攻击面对网络协议攻击事件，网络管理员首先应注意危机应对流程，尽快启动紧急应对预案，以下是应对网络协议攻击的具体方法：1.重新设置网络协议在发现网络协议受到攻击时，网络管理员应立即停止受影响的服务，并且重新设置网络协议。
为了避免类似的事件反复发生，网络管理员需要对事件做详细的分析，确认攻击来源和方式，并且与其他网络管理员分享相关经验和教训。
【黑马程序员】网络攻防的艺术之TCP协议篇
【黑马程序员】网络攻防的艺术之TCP协议篇1. 概述网络攻击的主要内容包括系统安全攻防、网络安全攻防、物理攻击与社会工程学三部分：系统安全攻防主要是利用软件安全漏洞进行攻击，网络安全攻防利用协议栈的安全漏洞（不局限于此），物理攻击与社会工程学攻击主要是利用人的心里弱点、物理设计缺陷。
TCP(Transmission Control Protocol) 传输控制协议是TCP/IP协议栈的核心协议，它位于IP协议层之上，在网络上的两台计算机之间提供可靠的、有序的通信通道。
许多应用比如浏览器、SSH、Telnet、Email等使用TCP进行通信。
TCP协议处于为应用提供主机到主机通信服务的传输层。
一般我们讲TCP提供可靠的有连接服务，这个可靠包括三层含义l 数据有序传输l 丢包重传机制l 流量控制机制2. TCP协议的工作原理我们通过一个简单的TCP client程序和TCP Server程序来展示TCP建立连接、数据传输、断开连接的过程。
以下这两个程序中，为了能清晰说明程序的通信过程，不做容错处理，力求简单。
工作当中这样的程序是不能正常工作的。
2.1 TCP Client 程序#include <stdio.h>#include <string.h>#include <errno.h>#include <sys/socket.h>#include <netinet/ip.h>#include <unistd.h>#include <sys/socket.h>#include <netinet/in.h>#include <arpa/inet.h>#define SER_ADDR "127.0.0.1"#define SER_PORT 9999//#define SER_ADDR "172.16.28.98"/* main function */int main(int argc, char *argv[]){/*** Step 1: 创建一个socket，指定SOCK_STREAM参数代表基于TCP协议* 如果是UDP协议，则需要用SOCK_DGRAM*/int sockfd = socket(AF_INET, SOCK_STREAM, 0);/*** Step 2: 设置目标主机IP地址和端口号* IP+Port，标识网络上某个主机的通信进程*/struct sockaddr_in dest;memset(&dest, 0, sizeof(struct sockaddr_in));dest.sin_family = AF_INET;dest.sin_addr.s_addr = inet_addr(SER_ADDR);dest.sin_port = htons(SER_PORT);/*** Step 3: 连接服务器*/if (connect(sockfd, (struct sockaddr *)&dest,sizeof(struct sockaddr_in)) != 0){/* 此处SYN Flood攻击会用到*/fprintf(stdout, "Error for connect: %s\n", strerror(errno));return 1;}/*** Step 4: 向Server发送数据*/char *buffer1 = "Hello Server!\n";char *buffer2 = "Hello Again!\n";write(sockfd, buffer1, strlen(buffer1));write(sockfd, buffer2, strlen(buffer2));/*** Step 5: 关闭连接*/close(sockfd);return 0;}一个客户端程序大概如下几个步骤：1. 创建一个socket，通过过指定参数SOCK_STREAM,来标识基于TCP传输，如果需要用UDP协议的话，则需要指定SOCK_DGRAM. 特别指出，如果需要通过原始套接字进行通讯，需要指定SOCK_RAW。
网络协议攻击
网络协议攻击网络协议是计算机网络中用于通信、传输数据的规则和标准，它们是网络通信的基础。
然而，网络协议也成为了黑客攻击的目标之一。
网络协议攻击是指黑客利用网络协议的漏洞或弱点，对网络系统进行攻击和破坏的行为。
网络协议攻击的形式多种多样，包括但不限于ARP欺骗、DNS劫持、IP欺骗、SYN洪水攻击等。
这些攻击不仅会造成网络系统的瘫痪，还会导致用户信息泄露、数据丢失等严重后果。
首先，ARP欺骗是一种常见的网络协议攻击手段。
ARP（地址解析协议）是用于将IP地址转换为MAC地址的协议，而ARP欺骗则是指黑客发送虚假的ARP响应，欺骗网络中的主机，使其将数据发送到错误的MAC地址上。
这样一来，黑客就可以窃取网络数据、监控通信内容甚至篡改数据，给网络安全带来了严重威胁。
其次，DNS劫持也是一种常见的网络协议攻击方式。
DNS（域名系统）是将域名转换为IP地址的协议，而DNS劫持则是指黑客篡改DNS服务器的解析结果，使用户在访问特定网站时被重定向到恶意网站，从而窃取用户的账号密码、个人信息等敏感数据。
这种攻击不仅损害了用户的利益，还可能导致企业的商誉受损。
另外，IP欺骗也是网络协议攻击的一种常见形式。
IP欺骗是指黑客伪造IP地址，发送虚假的数据包，使目标主机误以为这些数据包是合法的，从而实施攻击。
IP欺骗可以导致网络系统的拒绝服务，造成网络瘫痪，给网络安全带来了严重威胁。
最后，SYN洪水攻击也是一种常见的网络协议攻击手段。
SYN洪水攻击是指黑客发送大量伪造的TCP连接请求，使目标主机资源耗尽，无法响应合法用户的请求。
这种攻击会导致网络系统的瘫痪，造成严重的服务不可用问题。
综上所述，网络协议攻击是一种严重威胁网络安全的行为。
为了防范网络协议攻击，我们需要加强网络安全意识，及时更新补丁，加强网络设备的安全配置，使用防火墙、入侵检测系统等安全设备，保护网络系统不受攻击。
同时，网络管理人员需要加强对网络协议攻击的了解，及时发现并应对各种攻击行为，确保网络安全稳定运行。
网络攻击的对抗技术
网络攻击的对抗技术第一章介绍网络攻击已成为当今社会的一个严重问题。
收集用户信息，窃取信用卡号码，破坏网站结构等，网络攻击的危害性越来越大。
为了保护用户隐私和确保网络安全，研究网络攻击的对抗技术成为了一项必要的任务。
本文将介绍网络攻击的对抗技术，并重点讨论网络攻击的预防和缓解措施。
第二章针对网络攻击的对抗技术网络攻击的对抗技术包括防火墙、入侵检测系统（IDS）和入侵防御系统（IPS）等。
这些技术不仅可以预防网络攻击，还可以识别和处理网络攻击，避免其对系统造成重大损害。
2.1 防火墙防火墙是一种基于软件或硬件的网络安全设备，用于控制网络出口和入口的通信流量。
防火墙可以识别与规则相符的流量，有效屏蔽未经授权扫描和攻击。
其作用类似于检查员，能够保护计算机网络免受恶意代码和攻击者攻击。
2.2 IDSIDS是一种评估计算机系统安全性并识别和应对针对系统安全的威胁的安全组件。
它可以扫描和分析系统的各种信息，如日志、系统配置、用户活动等，以发现是否有潜在的网络攻击。
2.3 IPSIPS是兼具检测和防御功能的网络安全设备。
与IDS不同，IPS不仅可以识别网络攻击，还可以执行拦截、封堵、隔离和追踪等动作。
第三章预防网络攻击的措施针对网络攻击，各企业、机构和部门都应该制定对应的安全策略。
以下是一些预防网络攻击的措施。
3.1 确保系统安全更新已知漏洞、关闭无用功能和端口以及使用杀毒和反间谍软件都是确保系统安全的关键步骤。
3.2 安全设置通过设置安全策略和策略强制使网络遵循规则可以有效地防范网络攻击。
这可以通过网络安全组策略或安全配置完成。
3.3 培训用户许多网络安全事故都源于人为因素。
通过培训，企业可以教授其员工如何判断和避免威胁。
第四章缓解网络攻击的措施如果网络攻击已经发生，下面是一些缓解网络攻击的措施。
4.1 熄灭基础架构当网络攻击大规模发生时，暂停基础架构可以防止攻击传播。
例如，关闭电源或限制物理和网络连接。
4.2 安全运营中心如果攻击已经存在，应该尽快将其报告给安全运营中心。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
提纲
TCP/IP网络协议栈攻击概述 网络层协议攻击 传输层协议攻击 TCP/IP网络协议栈攻击防范措施 作业4－TCP/IP协议栈重点协议的攻击实 验
监测、预防与安全加固
传输层
加密传输和安全控制机制(身份认证，访问控制)
应用层
加密，用户级身份认证，数字签名技术，授权 和访问控制技术以及主机安全技术如审计、入 侵检测
网络安全协议
网络接口层
无线：WPA/WPA2 统一认证：802.1X
网络互联层
IPsec协议簇 AH协议：完整性、认证、抗重放攻击 ESP协议：机密性、数据源验证、抗重放、完整性 TLS/SSL: 加密、可靠
避免攻击者成为通信双方的中间人
部署交换式网络，用交换机代替集线器 禁用主机上的源路由 采用静态绑定IP-MAC映射表以避免ARP欺 过滤ICMP重定向报文
TCP会话加密(IPsec协议)
避免了攻击者在得到传输层的端口及序列号等关键信息
防火墙配置
限制尽可能少量的外部许可连接的IP地址
IP源地址欺骗
IP源地址欺骗
伪造具有虚假源地址的IP数据包进行发送 目的：隐藏攻击者身份、假冒其他计算机
ቤተ መጻሕፍቲ ባይዱ
IP源地址欺骗原理
路由转发只是用目标IP地址，不对源做验证 现实世界中的平信 通常情况：无法获得响应包
IP源地址欺骗
IP源地址欺骗–假冒IP攻击
可以嗅探响应包的环境
利用Netwox进行ARP欺骗
ARP欺骗攻击防范措施
静态绑定关键主机的IP地址与MAC地址映 射关系
网关/关键服务器 "arp-s IP地址MAC地址类型"
使用相应的ARP防范工具
ARP防火墙
使用VLAN虚拟子网细分网络拓扑 加密传输数据以降低ARP欺骗攻击的危害 后果
UDP Flood
带宽耗尽型拒绝服务攻击 分布式拒绝服务攻击(DDoS) 利用僵尸网络控制大量受控傀儡主机 通常会结合IP源地址欺骗技术
UDP Flood攻击防范措施
禁用或过滤监控和响应服务 禁用或过滤其它的UDP 服务 网络关键位置使用防火墙和代理机制来过滤掉一些 非预期的网络流量 遭遇带宽耗尽型拒绝服务攻击
同一局域网 ARP欺骗、重定向攻击劫持响应包
盲攻击(blind attack)
Robert T. Morris在1985年提出 Kevin Mitinick在1995年仍使用 通过猜测TCP三次握手中所需的信息，假冒IP 建立起TCP连接
盲攻击过程
IP源地址欺骗技术的应用场景
提交详细实验报告 deadline: 4月18日
提纲
TCP/IP网络协议栈攻击概述 网络层协议攻击 传输层协议攻击 TCP/IP网络协议栈攻击防范措施 作业4－TCP/IP协议栈重点协议的攻击实 验
作业：TCP/IP协议栈重点协议的攻击实验
网络层攻击
ARP缓存欺骗 ICMP重定向攻击
传输层攻击
SYN flood攻击 TCP RST攻击 TCP会话劫持
ARP欺骗：发送伪造ARP消息，对特定IP所对应 的MAC地址进行假冒欺骗，从而达到恶意目的
ARP欺骗(ARP Spoofing)
ARP欺骗攻击技术原理
网关ARP欺骗
ARP欺骗技术的应用场景
利用ARP欺骗进行交换网络中的嗅探 ARP欺骗构造中间人攻击，从而实施TCP 会话劫持 ARP病毒 ARP欺骗挂马
监测、预防与安全加固
网络接口层–主要安全威胁是网络嗅探
局域网中的监听点检测 网络设计上尽量细分和优化网络结构 关键路径上的网关、路由器等设备的严格安全防护 各类网络采用上层的加密通信协议
互联层
多种检测和过滤技术来发现和阻断网络中欺骗攻击 增强防火墙、路由器和网关设备的安全策略(egress filtering) 关键服务器使用静态绑定IP-MAC映射表、使用IPsec 协议加密通讯等预防机制
SYN Flood攻击防范措施
防火墙地址状态监控技术
有状态防火墙
网络中的TCP连接进行状态监控和处理 维护TCP连接状态：NEW状态、GOOD状态、 BAD状态… “三次握手”代理
防火墙地址状态监控技术
UDP Flood攻击
UDP协议
无状态不可靠 仅仅是传输数据报
网络攻击基本模式
截获
嗅探(sniffing) 监听(eavesdropping)
中断
拒绝服务(DoSing)
篡改
数据包篡改(tampering)
伪造
欺骗(Spoofing)
网络攻击基本模式
中间人攻击(MITM攻击)
通信双方
Alice & Bob
中间人
HTTPS、S/MIME、SET
传输层 应用层
网络安全协议
下一代因特网协议
下一代因特网协议 IPv6为代表 ICMPv6、DHCPv6…… 没有了ARP IPv6优势 IPv6具有更大的地址空间：主动扫描和主动传播受到抑制 IPv6使用更小的路由表 IPv6增加了增强的组播(Multicast)支持以及对流的支持 (Flow Control) –提升QoS IPv6加入了对自动配置(Auto Configuration)的支持 IPv6具有更高的安全性：网络层的数据进行加密,…
利用Netwox进行TCP SYN Flood攻击
SYN Flood攻击防范措施-SynCookie
弥补TCP连接建立过程资源分配这一缺陷 “无状态的三次握手”
服务器收到一个SYN报文后,不立即分配缓冲区 利用连接的信息生成一个cookie, 作为SEQ 客户端返回ACK中带着ACK = cookie+1 服务器端核对cookie, 通过则建立连接，分配 资源
检测
ACK风暴：ACK包的数量明显增加
TCP SYN Flood
拒绝服务攻击(DoS)
破坏可用性
TCP SYN Flood
SYN洪泛攻击 利用TCP三次握手协议的缺陷 大量的伪造源地址的SYN连接请求 消耗目标主机的连接队列资源 不能够为正常用户提供服务
TCP SYN Flood
利用Netwox进行ICMP路由重定向攻击
ICMP路由重定向攻击
ICMP路由重定向攻击防范
根据类型过滤一些ICMP数据包 设置防火墙过滤 对于ICMP重定向报文判断是不是来自本地 路由器
提纲
TCP/IP网络协议栈攻击概述 网络层协议攻击 传输层协议攻击 TCP/IP网络协议栈攻击防范措施 作业4－TCP/IP协议栈重点协议的攻击实 验
TCP RST攻击演示
TCP RST攻击
TCP会话劫持
结合嗅探、欺骗技术 中间人攻击：注射额外信息，暗中改变通信 计算出正确的seqackseq即可 TCP会话攻击工具
Juggernaut、Hunt、TTY watcher、IP watcher
TCP会话劫持攻击过程
如何防止会话劫持
Mallory 与通信双方建立起各自独立的会话连接 对双方进行身份欺骗 进行消息的双向转发 必要前提：拦截通信双方的全部通信(截获)、转发篡改 消息(篡改)、双方身份欺骗(伪造) 现实世界中的中间人攻击－－－婚介中心欺骗术
TCP/IP网络协议栈安全缺陷与攻击技术
原始报文伪造技术及工具
利用Netwox进行IP源地址欺骗
IP源地址欺骗的防范措施
使用随机化的初始序列号→避免远程的盲攻 击 使用网络层安全传输协议如IPsec
避免泄露高层协议可供利用的信息及传输内容
避免采用基于IP地址的信任策略
以基于加密算法的用户身份认证机制来替代
在路由器和网关上实施包检查和过滤
原始报文伪造技术
伪造出特制的网络数据报文并发送 原始套接字(Raw Socket)
Netwox/Netwag
超过200个不同功能的网络报文生成与发送工具 #netwoxnumber [parameters ... ]
Netwox
Netwag－Netwox图形版
提纲
TCP/IP网络协议栈攻击概述 网络层协议攻击 传输层协议攻击 TCP/IP网络协议栈攻击防范措施 作业4－TCP/IP协议栈重点协议的攻击实 验
网络安全属性
网络安全CIA属性
机密性(Confidentiality) 完整性(Integrity) 可用性(Availability)
其他两个补充属性
真实性(Authentication) 不可抵赖性(Non-Repudiation) –可审查性 (Accountability)
TCP RST攻击
中断攻击 伪造TCP重置报文攻击(spoofed TCP reset packet) TCP重置报文将直接关闭掉一个TCP会话连接 限制条件：通讯目标方接受TCP包
通讯源IP地址及端口号一致 序列号(Seq)落入TCP窗口之内
嗅探监视通信双方的TCP连接，获得源、目标IP地址及端口 结合IP源地址欺骗技术伪装成通信一方，发送TCP重置报文 给通信另一方 应用场景：恶意拒绝服务攻击、重置入侵连接、GFW GFW: “net::ERR_CONNECTION_RESET”
入站过滤机制(ingress filtering) 出站过滤机制(egress filtering)