IP碎片攻击敲响安全警钟.pdfVIP

mss 1460 sackOK timestam p 1所示 。根 据 以往 的经验 ，晚 还原出这次攻击 的原貌 。 ． ， i 上这 个时 候正 常流 量 是最小 1．第一个包的日志 65519[Itcp] (DF) 的，除 了少 量 web浏 览流 量、 在 后 面所 出现 的 日志 中， 通 过查 看 上 面 数据 包 分 电子 邮件 流量 和 内部 子 网授 每条记录都是在 网络捕获 的单 析 ，我开始怀疑 ，这是否 是一次 权请求流量外 ，没有任何其 他 独 的包 。这 些包是 被 tcpdump --ICP连接端 口扫描?这些数据 流量是活跃 的。攻击者正是利 工具捕获 的。从这些包 中解码 包从 10．0．0．1发 出，想连接受 用这些流量 中的一种来确定防 的基本信息如-F： 害者系统上 的哪些标准服务? 火墙和 NIDS系统的工作情况。 以下是第一个包 的 日志 ： 接着看下面 的 日志记录 ： 我想最有可能出问题 的就是 电 ⑤o3：02：3o．169272 ()03：02：30．169502 子邮件服务器 。 10 ．0 ．0 ．1 2570 192 ． 10．0．0．1．2573 192．168 在 继续 行动 之前 ，我 决定 168．1．1．telnet： S 350598809： ． 1．1．sm tP：S 346774169： 先停止 公司 内的邮件客户端 ， 350598809(0) Win 32120 346774169(0) Win 32120 mms 1460 sackOK timestamp m ss 1460 sackOK tim estamp 并备 份 了在 受攻 击 期 间NIDS ． 。 ， 机器 发送 的大量消息 。我留意 65519[Itcp](DF) 65519[Itcp](19t=) 到 ，大部分消息是在一 次攻 击 03 ：0 2 ：30 ．169534 这条 记录 表 明，攻 击者 送 发生之后两分钟 收到的 ，并且 192．168．1．1．telnet 10．0 ． 出了一个 TCP SYN数据包 ，或 在收到 电子邮件之后两分钟紧 0．1．2570：R 0：0(0) aCk 者对受害主机上 的服务发送 了 接着 出现扫描 ，非常有规律 。 350598810 win 0 初始化通信 的数据包 。这个数 随后 ，我关 闭了 公司 的 电 03：02：30．169342 10．0．0 据包探测受害主机是否运行着 子邮件服务器 ，并重新配置 了 ． 1．2571 192．168．1．1．ssh：S 一 个 邮件传 输代理 程序 ，例 如 防火墙 ，拒绝所有来 自攻 击者 335493470：335493470(0) win Sendmail。远程服务 由 IP地 址 网段 的数据包 ，并重新 安装配 32120 mm s 1460． sackOK 后 的 sMTP表示 。 置 了一 台 电子 邮件 服 务器 上 ． timestamp65519[Itcp](DF) 因为 系 统 并 没 有 运 行 线 。而后 ，对 故障机器进行 了 03 ：0 2 ：30 ．1696 71 SendmaiI，所 以我 们 没 有 看 见 取证分析 。