CH02网络攻击行为分析课件.ppt

1、计算机网络与信息安全技术教学课件 V08.081网络攻击行为分析网络攻击行为分析第第 2 章章2基本内容u网络信息安全技术与黑客攻击技术都源于同一技术核心，即网络协议和底层编程技术，不同的是怎么使用这些技术。u很多软件或设备可以为网络管理和安全提供保障，但当被别有用心的人所利用时，就成了黑客工具，就象刀具，是基本生活用具，又可成为杀人凶器。我们要做到“知己知彼”，才能“百战不殆”，对黑客的攻击手段、途径、方法和工具了解得越多，越有利于保护网络和信息的安全。u在介绍信息安全技术以前，本章先来分析与黑客攻击相关的知识。 3与与黑客攻击技术黑客攻击技术都源于同一技术都源于同一技术核心，即网络协议和底

2、层编程技术，不同的是怎么核心，即网络协议和底层编程技术，不同的是怎么使用这些技术。使用这些技术。n很多软件或设备可以为网络管理和安全提供保障，很多软件或设备可以为网络管理和安全提供保障，但当被别有用心的人所利用时，就成了黑客工具。但当被别有用心的人所利用时，就成了黑客工具。刀，是基本生活用具，但又是杀人凶刀，是基本生活用具，但又是杀人凶4n计算机网络系统所面临的威胁大体可分为两计算机网络系统所面临的威胁大体可分为两种：一是针对网络中信息的威胁；二是针对种：一是针对网络中信息的威胁；二是针对网络中设备的威胁。网络中设备的威胁。2.1 影响信息安全的人员分析影响信息安全的人员分析 v如果按威胁的对

3、象、性质则可以细分为四类：如果按威胁的对象、性质则可以细分为四类：第一类是针对硬件实体设施第一类是针对硬件实体设施第二类是针对软件、数据和文档资料第二类是针对软件、数据和文档资料第三类是兼对前两者的攻击破坏第三类是兼对前两者的攻击破坏第四类是计算机犯罪。第四类是计算机犯罪。5安全威胁的来源n不可控制的自然灾害，如地震、雷击不可控制的自然灾害，如地震、雷击n恶意攻击、违纪、违法和计算机犯罪恶意攻击、违纪、违法和计算机犯罪n人为的无意失误和各种各样的误操作人为的无意失误和各种各样的误操作n计算机硬件系统的故障计算机硬件系统的故障n软件的软件的“后门后门”和漏洞和漏洞安全威胁主要来自以下几个方面：安

4、全威胁主要来自以下几个方面：6安全威胁的表现形式 n伪装伪装 n非法连接非法连接 n非授权访问非授权访问 n拒绝服务拒绝服务n抵赖抵赖 n信息泄露信息泄露 n业务流分析业务流分析 n改动信息流改动信息流n篡改或破坏数据篡改或破坏数据 n推断或演绎信息推断或演绎信息 n非法篡改程序非法篡改程序 7实施安全威胁的人员 n心存不满的员工心存不满的员工n软硬件测试人员软硬件测试人员n技术爱好者技术爱好者n好奇的年青人好奇的年青人n黑客（黑客（Hacker）n破坏者（破坏者（Cracker）n以政治或经济利益为目的的间谍以政治或经济利益为目的的间谍 8互互联联网网上上的的黑黑色色产产业业链链 92.2

5、网络攻击的层次 网络攻击的途径v针对端口攻击针对端口攻击v针对服务攻击针对服务攻击v针对第三方软件攻击针对第三方软件攻击vDOS攻击攻击v针对系统攻击针对系统攻击v口令攻击口令攻击v欺骗欺骗10网络攻击的层次 网络攻击的层次v第一层攻击：第一层攻击：第一层攻击基于应用层的操作第一层攻击基于应用层的操作 ，这些攻击的目的只，这些攻击的目的只是为了干扰目标的正常工作。是为了干扰目标的正常工作。v第二层攻击：第二层攻击：第二层攻击指本地用户获得不应获得的文件第二层攻击指本地用户获得不应获得的文件(或目录或目录)读权限读权限 。v第三层攻击：第三层攻击：在第二层的基础上发展成为使用户获得不应获得的在第

6、二层的基础上发展成为使用户获得不应获得的文件文件(或目录或目录)写权限。写权限。v第四层攻击：第四层攻击：第四层攻击主要指外部用户获得访问内部文件的权第四层攻击主要指外部用户获得访问内部文件的权利。利。 v第五层攻击：第五层攻击：第五层攻击指非授权用户获得特权文件的写权限。第五层攻击指非授权用户获得特权文件的写权限。 v第六层攻击：第六层攻击：第六层攻击指非授权用户获得系统管理员的权限或第六层攻击指非授权用户获得系统管理员的权限或根权限。根权限。 112.3 网络攻击的一般步骤 n（1）隐藏IPn（2）踩点扫描n（3）获得系统或管理员权限n（4）种植后门n（5）在网络中隐身122.4 网络入侵

7、技术n任何以干扰、破坏网络系统为目的的非任何以干扰、破坏网络系统为目的的非授权行为都称之为网络攻击。授权行为都称之为网络攻击。n网络攻击实际上是针对安全策略的违规网络攻击实际上是针对安全策略的违规行为、针对授权的滥用行为与针对正常行为、针对授权的滥用行为与针对正常行为特征的异常行为的总和。行为特征的异常行为的总和。13 网站篡改（占网站篡改（占45.91%45.91%） 垃圾邮件（占垃圾邮件（占28.49%28.49%） 蠕虫（占蠕虫（占6.31%6.31%） 网页恶意代码（占网页恶意代码（占0.51%0.51%） 木马（占木马（占4.01%4.01%） 网络仿冒（占网络仿冒（占4.97%4.

8、97%） 拒绝服务攻击（占拒绝服务攻击（占0.58%0.58%） 主机入侵（占主机入侵（占1.14%1.14%） 网络主要攻击手段14网络入侵技术-漏洞攻击n漏洞攻击：利用软件或系统存在的缺陷实施攻击。漏洞是指硬件、软件或漏洞是指硬件、软件或策略上存在的的安全缺陷，从而使得策略上存在的的安全缺陷，从而使得攻击者能够在未授权的情况下访问、攻击者能够在未授权的情况下访问、控制系统。控制系统。 n缓冲区溢出漏洞攻击 ：通过向程序的缓冲区写入超过其长度的数据，造成溢出，从而破坏程序的堆栈，转而执行其它的指令，达到攻击的目的。nRPC漏洞、SMB漏洞、打印漏洞 15缓冲区溢出缓冲区溢出lBuffer o

9、verflow attack 缓冲区溢出攻击缓冲区溢出攻击缓冲区溢出漏洞大量存在于各种软件中缓冲区溢出漏洞大量存在于各种软件中利用缓冲区溢出的攻击，会导致系统当机，获得系统特权等严利用缓冲区溢出的攻击，会导致系统当机，获得系统特权等严重后果。重后果。l最早的攻击最早的攻击1988年年UNIX下的下的Morris worml最近的攻击最近的攻击Codered 利用利用IIS漏洞漏洞SQL Server Worm 利用利用SQL Server漏洞漏洞Blaster 利用利用RPC漏洞漏洞Sasser利用利用LSASS漏洞漏洞16l向缓冲区写入超过缓冲区长度的内容，造成缓冲区溢出，破坏程序的堆栈，使

10、程序转而执行其他的指令，达到攻击的目的。l原因：程序中缺少错误检测:void func(char *str) char buf16; strcpy(buf,str);如果str的内容多于16个非0字符，就会造成buf的溢出，使程序出错。17l类似函数有strcat、sprintf、vsprintf、gets、scanf等l一般溢出会造成程序读/写或执行非法内存的数据，引发segmentation fault异常退出.l如果在一个suid程序中特意构造内容，可以有目的的执行程序，如/bin/sh，得到root权限。18l类似函数有strcat、sprintf、vsprintf、gets、scan

11、f等l一般溢出会造成程序读/写或执行非法内存的数据，引发segmentation fault异常退出.l如果在一个suid程序中特意构造内容，可以有目的的执行程序，如/bin/sh，得到root权限。19l在进程的地址空间安排适当的代码l通过适当的初始化寄存器和内存，跳转到以上代码段执行l利用进程中存在的代码传递一个适当的参数如程序中有exec(arg)，只要把arg指向“/bin/sh”就可以了l植入法把指令序列放到缓冲区中堆、栈、数据段都可以存放攻击代码，最常见的是利用栈20n拒绝服务攻击（DoS）：通过各种手段来消耗网络带宽和系统资源，或者攻击系统缺陷，使系统的正常服务陷于瘫痪状态，不能

12、对正常用户进行服务，从而实现拒绝正常用户的服务访问。 n分布式拒绝服务攻击：DDoS，攻击规模更大，危害更严重。n实例：SYN-Flood洪水攻击，Land攻击，Smurf攻击 ，UDP-Flood攻击，WinNuke攻击（139）等。网络入侵技术-拒绝服务攻击21n典型的拒绝服务攻击有如下两种形式：资源典型的拒绝服务攻击有如下两种形式：资源耗尽和资源过载。耗尽和资源过载。n当一个对资源的合理请求大大超过资源的支当一个对资源的合理请求大大超过资源的支付能力时就会造成拒绝服务攻击付能力时就会造成拒绝服务攻击（例如，对（例如，对已经满载的已经满载的Web服务器进行过多的请求。）服务器进行过多的请求

13、。）拒绝服务攻击还有可能是由于软件的弱点或拒绝服务攻击还有可能是由于软件的弱点或者对程序的错误配置造成的。者对程序的错误配置造成的。n区分恶意的拒绝服务攻击和非恶意的服务超区分恶意的拒绝服务攻击和非恶意的服务超载依赖于请求发起者对资源的请求是否过份，载依赖于请求发起者对资源的请求是否过份，从而使得其他的用户无法享用该服务资源。从而使得其他的用户无法享用该服务资源。22n以下的两种情况最容易导致拒绝服务攻击：以下的两种情况最容易导致拒绝服务攻击：n由于由于程序员对程序错误的编制，导致系统不停的建立进程序员对程序错误的编制，导致系统不停的建立进程，最终耗尽资源程，最终耗尽资源，只能重新启动机器。不

14、同的系统平，只能重新启动机器。不同的系统平台都会采取某些方法可以防止一些特殊的用户来占用过台都会采取某些方法可以防止一些特殊的用户来占用过多的系统资源，我们也建议尽量采用资源管理的方式来多的系统资源，我们也建议尽量采用资源管理的方式来减轻这种安全威胁。减轻这种安全威胁。n还有一种情况是还有一种情况是由磁盘存储空间引起由磁盘存储空间引起的。假如一个用户的。假如一个用户有权利存储大量的文件的话，他就有可能只为系统留下有权利存储大量的文件的话，他就有可能只为系统留下很小的空间用来存储日志文件等系统信息。这是一种不很小的空间用来存储日志文件等系统信息。这是一种不良的操作习惯，会给系统带来隐患。这种情况

15、下应该对良的操作习惯，会给系统带来隐患。这种情况下应该对系统配额作出考虑。系统配额作出考虑。23nPing of Death：发送长度超过：发送长度超过65535字节的字节的ICMP Echo Request 数据包导致目标机数据包导致目标机TCP/IP协议栈崩溃，系统死机或重协议栈崩溃，系统死机或重启。启。nTeardrop：发送特别构造的：发送特别构造的IP 数据包，导致目标机数据包，导致目标机TCP/IP协协议栈崩溃，系统死锁。议栈崩溃，系统死锁。nSyn flooding：发送大量的：发送大量的SYN包。包。nLand：发送：发送TCP SYN包，包的包，包的SRC/DST IP相同，

16、相同，SPORT/DPORT相同，导致目标机相同，导致目标机TCP/IP协议栈崩溃，系统死协议栈崩溃，系统死机或失去响应。机或失去响应。nWinnuke：发送特别构造的：发送特别构造的TCP包，使得包，使得Windows机器蓝屏。机器蓝屏。nSmurf：攻击者冒充服务器向一个网段的广播地址发送：攻击者冒充服务器向一个网段的广播地址发送ICMP echo包，整个网段的所有系统都向此服务器回应包，整个网段的所有系统都向此服务器回应icmp reply包。包。24拒绝服务攻击方式拒绝服务攻击方式 七、拒绝服务攻击1)死亡之死亡之ping （ping of death） 由于在早期的阶段，路由器对包的

17、最大尺寸都有限制，许多操作系统对TCP/IP栈的实现在ICMP包上都是规定64KB，并且在对包的标题头进行读取之后，要根据该标题头里包含的信息来为有效载荷生成缓冲区，当产生畸形的，声称自己的尺寸超过ICMP上限的包也就是加载的尺寸超过64K上限时，就会出现内存分配错误，导致TCP/IP堆栈崩溃，致使接受方宕机。25拒绝服务攻击方式拒绝服务攻击方式七、拒绝服务攻击2）SYN Flooding攻击攻击 对Windows NT攻击很有效使用一个伪装的地址向目标计算机发送连接请求叫做IP欺骗技术。当目标计算机收到这样的请求后，就会使用一些资源来为新的连接提供服务，接着回复请求一个肯定答复（叫做SYNA

18、CK）。由于SYNACK是返回到一个伪装的地址，没有任何响应。于是目标计算机将继续设法发送SYNACK。一些系统都有缺省的回复次数和超时时间，只有回复一定的次量、或者超时时，占用的资源才会释放。例：Windows NT3.5和4 0中缺省设置为可重复发送SYNACK答复5次。要等待3+6+12+24+48+96=189秒之后，才释放资源。26SYN-Flooding攻击示意图27拒绝服务攻击方式拒绝服务攻击方式七、拒绝服务攻击3)Land攻击攻击 在Land攻击中，一个特别打造的SYN包它的源地址和目标地址都被设置成某一个服务器地址，此举将导致接收服务器向它自己的地址发送SYN-ACK消息，结

19、果这个地址又发回ACK消息并创建一个空连接，每一个这样的连接都将保留直到超时掉，对Land攻击反应不同，许多UNIX实现将崩溃，NT变的极其缓慢（大约持续五分钟）。28拒绝服务攻击方式拒绝服务攻击方式七、拒绝服务攻击4)Smurf攻击攻击 smurf攻击通过使用将回复地址设置成受害网络的广播地址的ICMP应答请求（Ping）数据包来淹没受害主机，最终导致该网络的所有主机都对此ICMP应答请求作出答复，导致网络阻塞，比ping of death洪水的流量高出一或两个数量级。更加复杂的Smurf将源地址改为第三方的受害者，最终导致第三方崩溃。29Smurf攻击示意图 30拒绝服务攻击方式拒绝服务攻

20、击方式七、拒绝服务攻击5）Fraggle攻击攻击 Fraggle攻击与攻击与Smurf攻击类似，但它使用的攻击类似，但它使用的不是不是ICMP，而是，而是 UDP Echo。可以在防火墙上过滤掉可以在防火墙上过滤掉UDP应答消息来防范应答消息来防范 。31n入侵者常常采用下面几种方法获取用户的入侵者常常采用下面几种方法获取用户的密码口令：密码口令：弱口令扫描弱口令扫描Sniffer密码嗅探密码嗅探暴力破解暴力破解社会工程学（即通过欺诈手段获取）社会工程学（即通过欺诈手段获取）木马程序或键盘记录程序木马程序或键盘记录程序。网络入侵技术-口令攻击32破解PDF密码33破解OF密码34破解系统密码3

21、5n一个开放的网络端口就是一条与计算机进行通信的信道，对网络端口的扫描可以得到目标计算机开放的服务程序、运行的系统版本信息，从而为下一步的入侵做好准备。n扫描是采取模拟攻击的形式对目标可能存在的已知安全漏洞逐项进行检查，利用各种工具在攻击目标的IP地址或地址段的主机上寻找漏洞。 n典型的扫描工具包括安全焦点的X-Scan、小榕的流光软件，简单的还有IpScan、SuperScan等，商业化的产品如启明星辰的天镜系统具有更完整的功能 。网络入侵技术-扫描攻击 36n网络嗅探与协议分析是一种被动的侦察手段，使用嗅探监听软件，对网络中的数据进行分析，获取可用的信息。n网络监听可以使用专用的协议分析设

22、备实现，也可使用Sniffer Pro 4.7、TCPDump等软件实现。SnifferPro是最常用的嗅探分析软件，它可以实现数据包捕获、数据包统计、过滤数据包、数据包解码等功能，功能解码可以获取很多有用的信息，如用户名、密码及数据包内容。 网络入侵技术-嗅探与协议分析 37n协议欺骗攻击就是假冒通过认证骗取对方信任，从而获取所需信息，进而实现入侵的攻击行为。n常见的协议欺骗有以下几种方式：IP欺骗：对抗基于IP地址的验证。ARP欺骗：它是一个位于TCP/IP协议栈中的低层协议，负责将某个IP地址解析成对应的MAC地址。ARP欺骗通过伪造ARP与IP的信息或对应关系实现。NC软件就能实现AR

23、P欺骗。TCP会话劫持：与IP欺骗类似，通过嗅探并向网络注入额外的信息实现TCP连接参与。如IP watcher就是一种有效的会话劫持工具。网络入侵技术-协议欺骗攻击 38IP欺骗欺骗定义：利用主机之间的正常信任关系发动的攻击。信任关系：在Unix系统中，rlogin,rsh,rcp等远程调用命令的信任基础是IP地址，若地址验证通过，则无须口令验证就能远程登录。修改$HOME/.rhosts文件内容，可建立两台机器之间的信任关系。当/etc/hosts.equiv中出现一个“+”或$HOME/.rhosts中出现“+”时，表明任意地址的主机无须口令可直接用r命令登录此主机。39IP欺骗过程欺骗

24、过程1）发现攻击目标A和B具有伙伴信任关系。 假设黑客想冒充B去和A对话。2）要使目标B瘫痪（如用拒绝服务攻击），避免露馅3）采样A发出的TCP序列号，反复尝试猜测它的初始序列号ISN。ISN为32位计数器，无连接时9.32小时复位一次。预测ISN考虑因素： ISN每秒增加128000；每次连接增加64000；A和B之间的往返时间；40IP欺骗过程欺骗过程4)将源地址伪装成B机地址，发送带有SYN标志的数据段请求连接。5）然后等待A发送SYN+ACK给瘫痪的B，因为这时黑客看不到这个包。6）再次伪装成B向A发送ACK，此时发送的数据段带有预测目标机A的ISN+1。7）连接建立，发送命令。41I

25、P欺骗示意图欺骗示意图 IP欺骗的步骤会话劫持示意图 42n社会工程学（社会工程学（Social Engineering），是一种通过对受），是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段，取得自身利益的陷阱进行诸如欺骗、伤害等危害手段，取得自身利益的手法。手法。n20世纪70年代末期，一个叫做斯坦利马克瑞夫金（Stanley Mark Rifkin）的年轻人成功地实施了史上最大的银行劫案。他没有雇用帮手、没有使用武器、没有天衣无缝的行动计划，“甚至无需计算机的协助”，仅仅依靠一个进入电汇室的机会并打了三个电话，便成功地将一千零二十万美元转入自己在国外的个人账户。 网络入侵技术-社会工程学攻击 432.5 网络防御与信息安全保障n针对网络入侵和密码破译等攻击行为，本书在以后的章节中，在ISO安全体系结构的指导下，通过内容安全技术和网络安全技术两大部分来介绍网络信息安全的实现方法，并通过若干实验项目来验证、巩固相关技术，当然，技术实施要由人来完成，人才是最关键的。 44本章小结n本章从分析影响信息安全的人员入手，总结出网络攻击途径，并将攻击按实现的难易程度分为6个层次；结合网络攻击的案例，说明网络攻击的一般步骤；最后介绍了目前常见的网络入侵技术，以此提醒网络用户时刻关注自己的系统安全。