第8章假消息攻击课题.ppt

网络攻防技术 本章主要内容 8.1 假消息攻击的分类 8.2 ARP 欺骗 8.3 ICMP重定向攻击 8.4 IP欺骗 8.5 DNS欺骗 8.6 SMB中间人攻击 网络攻防技术 8.6 SMB中间人攻击 中间人攻击 中间人攻击（Man-in-the-Middle Attack，简称“MITM攻击”）是一种“间接”的入侵攻击。 A 客户机 B 客户机 C 攻击者 正常的通信 攻击者介入正常的通信中 对客户机是透明的 对客户机是透明的 网络攻防技术 8.6 SMB中间人攻击 SMB协议 SMB协议（Server Message Block）是一个用于不同计算机之间共享文件、打印机、通信对象等各种计算机资源的协议。 各种操作系统基本上都对SMB协议进行了实现，在Linux中使用Samba，在Windows系统中使用NetBIOS。 网络攻防技术 8.6 SMB中间人攻击 早期SMB协议使用明文口令进行身份验证 LAN Manager Challenge Response机制（LM） Windows NT Challenge Response验证机制（NTLM） NTLMv2和Kerberos验证机制 网络攻防技术 8.6SMB中间人攻击 A 客户机 B 服务器 典型的NTLM认证过程 (1) 建立TCP连接 (2) 协商请求，A告知B自己所支持的认证协议 (3) 协商响应，B告知A使用NTLM+8字节的挑战 (4)A将24字节结果提交给B (5) 返回校验结果 A对挑战数据进行DES加密 B将生成数据和A的数据进行比较 网络攻防技术 8.6 SMB中间人攻击 SMB中间人攻击的实现 假设攻击者已经利用ARP欺骗或ICMP重定向等手段将客户端与服务器之间的所有通信拦截下来，那么攻击者可以在NTLM认证的第二步将客户端的数据篡改，申明自身只支持明文密码传送，那么接下来的密码传送就会是明文的了。 网络攻防技术 8.6 SMB中间人攻击 A 客户机 B 服务器 典型的NTLM认证过程 (1) 建立TCP连接 (2) 协商请求，A告知B自己只支持明文密码传送 (3) 协商响应 (4)A将明文密码提交给B (5) 返回校验结果 A 攻击者 网络攻防技术 8.6 SMB中间人攻击 SMB中间人攻击的关键是攻击者处于客户端和服务器通信的中间，可以嗅探或任意篡改通信数据，并且不会中断它们的连接。 网络攻防技术 8.6 SMB中间人攻击 其他形式的中间人攻击 1信息篡改 2信息窃取 中间人攻击使用的范围 SMB HTTP FTP TELNET POP3 SMTP * 网络攻防技术 8.4 IP欺骗 IP欺骗的防范 抛弃基于地址的信任策略 进行包过滤，只信任内部主机 利用路由器屏蔽掉所有外部希望向内部发出的连接请求 使用加密传输和验证的方法 使用随机化的初始序列号，使得TCP序列号难以猜测 会话(交易)劫持 在现实环境中，比如对于银行一笔交易 如果营业员检查了顾客的身份证和账户卡 抬起头来，发现不再是刚才的顾客 他会把钱交给外面的顾客吗？ 在网络上没有人知道你是一条狗 TCP会话劫持(session hijacking) 欺骗和劫持 欺骗是伪装成合法用户，以获得一定的利益 劫持是积极主动地使一个在线的用户下线，或者冒充这个用户发送消息，以便达到自己的目的 动机 Sniffer对于一次性密钥并没有用 认证协议使得口令不在网络上传输 会话劫持分两种 被动劫持，实际上就是藏在后面监听所有的会话流量。常常用来发现密码或者其他敏感信息 主动劫持，找到当前活动的会话，并且把会话接管过来,迫使一方下线，由劫持者取而代之.危害更大，因为攻击者接管了一个合法的会话之后，可以做许多危害性更大的事情 会话劫持示意图 被劫持者A 服务器B 1 A远程登录，建立会话，完成认证过程 攻击者H 2 监听流量 3 劫持会话 4 迫使A下线 会话劫持的原理 TCP协议 三次握手建立TCP连接(即一个TCP会话) 终止一个会话，正常情况需要4条消息 如何标识一个会话：状态：源IP:端口+SN 目标IP:端口+SN 从TCP会话的状态入手 要了解每一个方向上的SN(数据序列号) 两个方向上的序列号是相互独立的 TCP数据包，除了第一个SYN包之外，都有一个ack标志，给出了期待对方发送数据的序列号 所以，猜测序列号是成功劫持TCP会话的关键 关于TCP协议的序列号 在每一个ACK包中，有两个序列号 第一个(SEG_SEQ)是当前包中数据第一个字节的序号 第二个(SEG_ACK)是期望收到对方数据包中第一个字节的序号 假设客户(CLT)向服务器(SVR)发起一个连接，我们用以下的表示 SVR_SEQ: 服务器将要发送的下一个字节的序号 SVR_ACK: 服务器将要接收的下一