浅析防火墙面临的安全威胁.pdfVIP

Q：§ Science and Technology lnnovation Herald T技 术 浅析防火墙面临的安全威胁 毕 强 (中国信息安全认证 中心 北京 100020) 摘 要：防火墙作为网络访问控制设备 ，在保护服务器和内网用户中起着非常重要的作用。然而大多数熟练的黑客都能从防火墙配置和 维护上的弱点来绕过防火墙，时服务器和内网造成严重损失。本文将介绍黑客攻击防火墙的典型技巧，并探讨防火墙的一些弱点，以提高 数据通信以及web站点的安全保障水平。 关键词 ：防火墙 网络威胁 弱点 中图分类号：TP393．08 文献标识码 ：A 文章编号：1674—09SX(2009)12(b)一0020—02 1防火墙概述 路由跟踪(Traceroute)是一个网络调试工 很多扫描器失去 了作用 ，下面将要介绍一 现有的防火墙主要有 ：包过滤型 、代理 具 ，用于分析或找出到达特定 目标主机的路 个工具 ： 服务器型和复合型防火墙 。 由中的所有主机。Traceroute的基本工作原理 2．2．1hping 包过滤(PacketFliter)通常安装在路 由 是发送UDP或ICMPecho数据包到 目标主机， 这个由SalvatoreSanfilippo编写的hping 器上 ，而且大 多数商用路 由器都提供 了包 同时在每轮(缺省是三个数据包)成功的探测 通过 向一个 目的端 口发送TCP分组并报 告 过滤的功能 。包过滤规则以IP包信息为基 后将IP包头 中的TTL(TimeToLive，生存期) 由它引回的分组进行工作 。依据多种条件 ， 础，对IP源地址、目标地址 、协议类型、端 口 域递增1。如果路 由跟踪使用UDP数据包 ，则 hping返 回各种各样的响应 。每个分组部分 号等进行筛选 。包过滤在 网络层进行。 目标端 口在每个数据包中都递增1。 或全面 的提供 了防火墙具体访 问控制 的相 代理服务器型(Proxy Service)防火墙 IP数据包头的TTL域用于限制数据包 当清晰的画面 。举例来说，使用hping可 以 通常由两部分构成 ，服务器端程序和客户 在 网络 中传输 的生存期 ，其值在每 台路 由 发现打开着 、被阻塞、被丢弃或者被拒绝 的 端程序、。客户端程序与中间节点连接 ，中间 器转发数据包前减1。如果TTL为0或更小 ， 分 组 。 节点再与提供服务的服务器实际连接 。 则路 由器会 向源主机 回送一个ICMP错误 下面的例子中，hping报告80端 口打开 复合型(Hybrid)防火墙将包过滤和代 消 g(timetoliveexceededintransit)数据 着 ，准备好接收连接。我们是从它接 收到一 理服务两种方法结合起来 ，形成新 的防火 包 。这样源主机就能够知道数据包在哪台 个设置 了SA标志的分组(SYN／ACK分组) 墙 ，由堡垒主机提供代理服务 。 路 由器上过期 。通过将TTL从开始 时设置 获悉的。 从理论上看 ，防火墙处于 网络安全的 为 1，且依次递增1，并监视 ICMP响应信息 [japleak@root]$hping www ． 最底层，负责网络间的安全认证与传输 ，但 来获得主机 间的所有路 由器 (这里假设数 yourcompany．com -c2 -S -p80 n 随着 网络安全技术 的整体发展和 网络应用 据包均未被过滤或丢失)。为了确保能够从 HPING www ．yourcompany．corn (ethO 的不断变化 ，现代防火