第2章 网络安全威胁71.pptVIP

* 南京邮电大学信息安全系 * 2.5.4 ARP欺骗（ARP Spoofing） ARP协议的缺陷：一台主机即使收到的ARP应答包并非请求得到的，也会将其插入ARP缓存表中。 ① 黑客想嗅探同一局域网两台主机的通信，就分别给它们发送ARP应答包，让它们误认为对方的MAC地址就是黑客的MAC地址。 ② 两台主机之间的数据包都会通过黑客，双方看似“直接”的通信，实际上都是通过黑客中转的。 第30页，共71页，编辑于2022年，星期五 * 南京邮电大学信息安全系 * 2.5.5 DNS欺骗（DNS Spoofing） DNS协议的缺陷：DNS服务器向另一个DNS服务器发送解析请求时并不认证被请求方，黑客可以冒充被请求方返回一个被篡改的IP地址。 DNS服务器会缓存被黑客篡改的IP地址，以后对该服务器的同一域名的解析请求，在该条目被缓存的生存期内，得到的结果都将被篡改。 第31页，共71页，编辑于2022年，星期五 * 南京邮电大学信息安全系 * 2.5.6 会话劫持（Session Hijacking） 会话劫持：结合嗅探和欺骗技术，在正常的通信过程中，黑客作为第三方参与其中： ① 要么在数据流里注射额外的信息； ② 或将双方的通信模式暗中改变，即从直接联系变成交由黑客中转。 1）中间人（Man In The Middle，MITM）攻击 基于ARP/DNS欺骗，后者可在广域网内进行 还能利用配置不当的加密协议，如SSH1/SSL协议 第32页，共71页，编辑于2022年，星期五 * 南京邮电大学信息安全系 * 2）会话注射（Session Injection） 是会话劫持不同于（强于）其他攻击的特点所在： ① 合法用户先完成身份认证； ② 劫持者再冒充合法用户，以正确的ISN向服务器发送数据（cat/etc/password）： Ⅰ向合法用户发RST包使其下线； Ⅱ注射完数据后，再把连接交还合法用户。 在一定意义上实现IP欺骗攻击：不用猜服务器的ISN，可直接得到，因已被劫持。 第33页，共71页，编辑于2022年，星期五 * 南京邮电大学信息安全系 * 2.5.7 拒绝服务（Denial of Service）攻击 ? 并非某一种具体的攻击方式 ? 而是攻击所表现出来的结果—— 使服务器不能正常地对外界提供服务（可用性） 内存损耗 系统程序和应用程序的漏洞 带宽损耗 网络协议实现中的缺陷 （如TCP三次握手缺陷） 攻击者不需与目标交互 可伪造源IP地址 难以追踪 结果 原因 第34页，共71页，编辑于2022年，星期五 * 南京邮电大学信息安全系 * DoS攻击方法的分类与比较 代表性方法 所利用漏洞/缺陷 防范现状 使用现状 Ping of Death 系统程序和应用程序的漏洞 很好防范 基本不用 Teardrop UDP Flood 网络协议实现中的缺陷 很好防范 基本不用 LAND Attack SYN Flood 网络协议实现中的缺陷 很难根本防范 多用于DDoS攻击中 Smurf Attack 第35页，共71页，编辑于2022年，星期五 * 南京邮电大学信息安全系 * （1）UDP Flood 原因： ? 没有修改系统的缺省配置 ? 开放易受攻击的服务端口 ① 没必要打开这些端口（不需提供小号端口服务） ② 缺省打开则显示出系统功能 ③ 减少昂贵的技术支持服务的费用 第36页，共71页，编辑于2022年，星期五 * 南京邮电大学信息安全系 * UDP Flood利用的服务 UDP Flood利用如下服务的弱点： ① Echo服务（TCP 7和UDP 7）对接收到的每个字符进行回送。 ② Chargen服务（TCP 19和UDP 19）对接收到的每个数据包都返回一些随机生成的字符。 即如果与Chargen服务建立了连接，它会不断返回乱字符直到连接中断。 第37页，共71页，编辑于2022年，星期五 * 南京邮电大学信息安全系 * UDP Flood的实现原理 1）黑客选择两个目标A和B； 2）生成伪造的UDP包，目的地是B的Chargen端口，来源“假冒”为A的Echo端口； 3）B的Chargen服务返回的随机字符发送给A的Echo服务； 4）A再向B回送收到的字符，如此反复，最终导致这两台主机应接不暇而拒绝服务； 5）A和B的内存和两者所在局域网的带宽都受到严重损耗。 第38页，共71页，