网络安全7-欺骗攻击.ppt

* IP欺骗攻击 IP欺骗的过程 信任 SYNx SYNy+ACKx+1 ACKy+1 第7章 第4节 IP欺骗攻击 IP欺骗的过程 首先使被信任主机的网络暂时瘫痪 连接到目标机的某个端口来猜测ISN基值和增加规律 把源址址伪装成被信任主机，发送带有SYN标志的数据段请求连接 等待目标机发送SYN+ACK包给已经瘫痪的主机 再次伪装成被信任主机向目标机发送的ACK，此时发送的数据段带有预测的目标机的ISN+1 连接建立，发送命令请求 第7章 第4节 序列号猜测的重要性 ? 攻击者X冒充受攻击目标A信任的对象B，远程连接A的rlogin端口，如果能连接成功，不再需要口令就能登录A。 ? 因为A对X请求的响应包返回给B，X不可能知道其中A的序列号，要想在图中的第5步完成三次握手并连接成功，他必须“猜”到A的序列号。 序列号猜测的过程 1）X首先连接A的SMTP端口（X是A的合法的邮件用户，但不是它所信任的rlogin用户，因为邮件应用的安全级别相对不高），试探其ISN变化规律，以估算下一次连接时A的ISN值。 2）X必须马上按照图中3—5步的方法假冒B来与A建立rlogin连接。 ① X必须立刻进行欺骗攻击，否则其他主机有可能与A建立了新的连接，X所猜测的序列号就不准了。 ② 当然就这样也不一定能一次猜测成功。 攻击的难点：ISN的预测 攻击的难点：ISN的预测 TCP使用32位计数器 每一个连接选择一个ISN 不同的系统的ISN有不同的变化规律 ISN每秒增加128000，出现连接增加64000 无连接情况下每9.32小时复位一次 不同网络环境下的序列号猜测 1）若X和A及B在同一局域网中，从理论上说很容易实现IP欺骗攻击。因为攻击者X甚至于不用猜测A发送给B的数据包中包含的序列号——用嗅探技术即可。 2）若X来自于外网，要想猜测到A和B所在的局域网中传送的数据包中的序列号非常困难——理论可行。 3）美国头号电脑黑客米特尼克是第一个在广域网成功实现IP欺骗攻击的人。但当时的序列号相对现在非常容易猜测。 关于被冒充对象B 1）X首先必须对B进行DoS攻击，否则在图中第4步中B收到A发送来的它未请求过的请求应答包，将向A返回RST报文而终止连接，黑客不能冒充连接成功。 2）X发送到A的rlogin端口的伪造数据包的源IP地址是“假冒”了B的IP地址。 3）为何X不能直接将自己的IP地址修改为B的IP地址来连接到A的rlogin端口？ ①IP地址产生冲突； ②外网X不能这样修改。 IP欺骗攻击 IP欺骗的过程 首先使被信任主机的网络暂时瘫痪 连接到目标机的某个端口来猜测ISN基值和增加规律 把源址址伪装成被信任主机，发送带有SYN标志的数据段请求连接 等待目标机发送SYN+ACK包给已经瘫痪的主机 再次伪装成被信任主机向目标机发送的ACK，此时发送的数据段带有预测的目标机的ISN+1 连接建立，发送命令请求 第7章 第4节 IP欺骗攻击 IP欺骗的预防 删除/etc/hosts.equiv，$HOME/.rhosts 修改/etc/inetd.conf文件，使得RPC机制无法运作 设置路由器，过滤来自外部而信源地址却是内部IP的报文 修改TCP的ISN变化规律，使得攻击者难以预测 第7章 第4节 第7章 欺骗攻击 DNS欺骗攻击 Email欺骗攻击 Web欺骗攻击 IP欺骗攻击 第7章 小结 第7章 欺骗攻击 课后思考 请简述DNS的工作原理，并指出在整个DNS解析过程中，可能存在的被欺骗攻击的地方。 假如你的主机正在面临DNS欺骗攻击，你打算采取什么解决策略和方案？ Web欺骗攻击有哪些具体形式？请简述其原理。 假如你负责开发、维护和管理某商业网站，面对潜在的Web欺骗攻击，你将采取哪些手段避免你的网站受到攻击？ 第7章 习题 * * 客户主机需要访问时，首先要知道的IP地址。而客户主机获得 IP地址的唯一方法就是向所在网络设置的DNS服务器进行查询。这样一次DNS域名解析过程随即展开： 客户主机软件(例如Web浏览器)需要对进行解析，它首先会向本地DNS服务器(域)发送域名解析请求，要求回复的IP地址； 由于本地DNS服务器的数据库中没有的记录，同时缓存中也没有相应记录，所以，它会依据DNS协议机器配置向网络中的其他DNS服务器提交请求。这个查询请求竹鸡递交，直到域的真正权威DNS服务器收到请求(这里省略了寻找域真正权威的迭代过程，假定本地DNS服务器最终找到了所需要的信息)； 域DNS服务器将向域DNS服务器返回IP查询结果(假定为)； 域的本地DNS服务器最终将查询结果返回给客户主机浏览器，并将这一结果存储到其DNS缓存当