Internet安全体系结构之二课件.pptVIP

第7章 Internet安全体系结构之二 ;传输层定义网络层和面向应用层的接口。建立应用间的端到端连接，并且为数据传输提供可靠或不可靠的连接服务 功能包括：连接管理、分组组装、服务识别、流量控制等。 传输层的两个核心成分：传输层端口和序列。;TCP协议;TCP 首部 ;源端口和目标端口用于定位源端的应用进程和目的端的应用进程。 序列号和确认号（32比特）：TCP发送的流中的每个字节都是编号的 头长度（4比特）：以4字节为单位表示TCP头的大小。 标志（6比特）：标志字段部分包含6个标志位，它说明了其他字段含有有意义的数据或说明某种控制功能。 窗口（16比特）：此字段告诉接收这个段的TCP实体，除了那些已被确认的，它还可以发送多少数据字节。 校验和（16比特）：用于传输层差错检测。 紧急指针（16比特）：是一个正的偏移量，和序号字段中的值相加表示紧急数据最后一个字节的序号。 选项字段用于确定TCP实体可从其他实体收到的段的最大尺寸。 数据（可变大小）：用户提供的数据。;URG ;发送 SYN (seq=N ctl=SYN);发送 SYN (seq=N ctl=SYN);发送 SYN (seq=N ctl=SYN);7.1.1 端口和套接字 套接字（Socket）：主机上的进程是通过端口号来区别的。计算机中的不同进程可能同时进行通信，它们用端口号来区别，由网络地址和端口号的组合达到唯一标识的目的。 发送套接字=源IP地址+源端口号 接收套接字=目的IP地址+目的端口号; 传输层使用网络层来建立结点之间的连接，网络层路由提供网络套接字。套接字有主动和被动的两种。主动套接字指示建立网络连接，服务器使用被动套接字，等待和监听网络连接。;;7.1.2 排序 ;7.1.3 序列拦截 ;7.2 传输层风险 ;7.2.2 一个端口和多个端口的比较 ;7.2.3 静态端口赋值和动态端口赋值 ;7.2.4 端口扫描 ;7.2.5 信息泄露 ;7.3 TCP侦察;1.初始窗口大小 不同操作系统使用不同初始窗口大小。 当TCP会话继续时，窗口大小会增加，而总的增加值多少也是由操作系统确定的。 2.TCP选项 每个TCP分组包含TCP报头值的一些选项，不同的操作系统支持不同的选项、值和次序。;3.序列号 所有实施TCP系统用同样的方法增加序列号，但??初始序列号是各个操作系统特定的。序列号能用来识别操作系统、版本，以及补丁版本的信息。 4.客户端口号 不同的操作系统使用不同的动态端口号范围，供客户选择。观察动态端口号的范围，可以帮助识别操作系统。;5.重试 当TCP分组没有收到回答响应，分组重新分送。重试的次数以及间隔是不同操作系统特定的。可以通过SYN重试、SYN-ACK重试以及ACK重试3钟不同方法来确定。;7.3.2 端口扫描 TCP端口扫描用来识别运行的服务。端口扫描企图连接到端口并记录结果。 SYN-ACK RST ICMP不可达 什么也没有;7.3.3日志 网络监控工具，诸如IDS和IPS，一般监控和日志SYN请求以及任何不包括部分建立连接的通信。SYN分组被记录，未请求的ACK和RST分组也被日志。基于这些分组的频度、类型和次序，一些工具能识别网络扫描。;7.4 TCP拦截 任何干扰TCP连接的攻击都归结为TCP拦截。 1.全会话拦截 全会话拦截常常需要攻击者具有直接的数据链路访问。运行在随意模式，攻击者观察网络地址、端口以及用于连接的序列号。 2.ICMP和TCP拦截 遇到恶意使用时，ICMP能将TCP连接重新指向不同的端口和不同的主机。; TCP会话劫持 攻击者重定向客户和服务器之间的数据流，使之经过攻击者的机器，就可以截获到他们之间的通信。在攻击过程中，可以采取被动攻击以免引起注意，即客户的所有命令保持原样被发送到服务器，服务器的响应也不加修改地发送给客户。对于客户和服务器来说，它们都认为是在直接进行通信。由于攻击者可以看到序列号，有必要的话，它可以把伪造的数据包放到TCP流中。这将允许攻击者以被欺骗的客户具有的特权来访问服务器。攻击者同样也可以查看所有同攻击相关的输出，而且不把它们送往客户机，这样的攻击是透明的。在这种情况下，攻击者甚至于不需要知道访问机器所需的口令。攻击者只需简单地等待用户登录到服务器，然后劫持(Hijack)会话数据流即可。;; 可以看出，TCP会话劫持能成功的前提首先是TCP建立连接的三次握手过程中没有任何的认证机制。TCP假定只要接收到的数据包包含正确的序列号就认为数据是可以接受的。一旦连接建立，服务器将无法确定进入的数据包是确实来自真正的客户机器而不是某一台假冒的机器；当然，攻击要成功还需要能准确地获得服务器的ISN。;伪造I