Module网路协定弱点.pptVIP

Module 10：網路協定弱點 學習目的 本模組目的在於介紹網路協定的弱點。此模組將介紹系統安全管理須知的現今常見網路協定的弱點，含ICMP攻擊、DNS攻擊、SYN flood攻擊、服務阻斷式攻擊、Port scanning。 Module 10：網路協定弱點 Module 10-1：ICMP攻擊 Module 10-2：DNS攻擊 Module 10-3：SYN flood攻擊 Module 10-4：阻斷服務攻擊 Module 10-5：Port scanning Module 10-1：ICMP攻擊 Module 10-1：ICMP攻擊 Smurf Attack Ping Flood Attack Smurf Attack 直接對網路進行廣播，造成網路很快地充滿垃圾封包而中斷 smurf會不斷地將小量偽造的ICMP要求封包送給IP廣播位址（IP broadcast address），然後廣播位址會傳回大量的ICMP回應封包給目標主機 除了攻擊特定目標主機，也能在網路上塞滿ICMP的要求封包與回應封包而造成網路中斷 Ping Flood Attack 將大量「偽造來源位址」的ICMP要求封包送給目標主機 目標主機會回應等量的ICMP回應封包而造成目標主機無法負荷而當機 攻擊方的頻寬必須比被攻擊方的頻寬還要充裕(例如利用僵屍電腦)，才有可能成功的阻斷目標電腦的網路 Module 10-2：DNS攻擊 Module 10-2：DNS攻擊 DNS最初設計時未考量可能的攻擊 例如DoS、DDoS攻擊 DNSSEC (RFC 2535)提供 DNS 的安全防護措施 Module 10-3：SYN flood攻擊 Module 10-3：SYN flood攻擊 DoS（阻斷服務攻擊）與DDoS（分散式阻斷服務攻擊）的方式之一 利用TCP通信協定的弱點，發送大量偽造的TCP連接請求，使得被攻擊方資源耗盡（CPU或記憶體）的攻擊方式。 Module 10-4：阻斷服務攻擊 Module 10-4：阻斷服務式攻擊 阻斷服務攻擊(Denial of Service，DoS)的攻擊原理大都是利用TCP/IP網路協定本身的漏洞與特性 受攻擊之目標主機或網路因無法處理由攻擊者所發出或偽造的大量垃圾封包，而導致目標主機系統停滯或當機 DDoS (Distributed Denial of Service)算是DoS攻擊的一種，是以多對一的方式，同時對一個攻擊目標發動攻擊 而這些發動攻擊的點，通常是已遭受入侵而不自知的電腦系統 Module 10-5：Port scanning Module 10-5：Port scanning Nmap簡介 Nmap的安裝方法 Nmap的使用 Nmap發展歷史 Nmap全名是Network Mapper，是由Fyodor Vaskovich所開發的一套開放原始碼軟體 可用於檢測本機或網路遠端主機的安全性弱點 可藉由此軟體對本身管理的伺服器主機進行安全性稽核與弱點分析，進而有助於增強系統及網路安全 主要功能是針對TCP/IP的TCP埠作掃瞄，不僅可以查出目標主機所開放的TCP埠，還能取得對應的網路服務類型，以及應用軟體名稱與版本 此外，還可以偵測出目標主機所使用的作業系統、封包過濾器及防火牆種類等資訊 Nmap操作平台 目前已有許多作業系統都提供支援如： Linux Microsoft Windows FreeBSD、OpenBSD、Solaris、IRIX、HP-UX、Mac OS X、NetBSD、Sun OS及Amiga…等 有些Unix-like的作業系統會預設安裝Nmap，如： Red Hat Linux、Fedora Core Linux Debian Linux Gentoo、 FreeBSD、OpenBSD Nmap操作方式 Nmap操作方式有兩種 命令列模式操作指令 如果在Unix-like系統中有安裝X Window環境，還可使用圖形介面的軟體NmapFE (Nmap Front End)以視窗模式操作 Nmap的安裝方法-Linux 在Linux系統下的安裝方式可以採用Tarball原始碼套件安裝，或是以RPM套件安裝，而Tarball套件可安裝在任何的Unix-like系統 若以最新穩定版本Nmap 3.81版安裝在Fedora Core 4（FC4）為例，使用Tarball套件壓縮檔為nmap-3.81.tar.bz2，安裝指令的操作步驟如下： bzip2 -cd nmap-3.81.tar.bz2 | tar xvf - cd nmap-3.81 ./configure make su root （若登入的使用者不具root權限，在make install之前必須切換至ro