個人網絡安全防衛手冊

下一頁 1 2 3 4 5 

　　 

網絡技術的飛速發展，隨之而來的不僅僅是愜意與便利，資料的使用、數據的安全更是讓我們憂心仲仲，網絡安全事件層出不窮。

毫不夸張地說，無論是企業用戶，還是個人用戶，只是你上網，就身處危險之中!如何將這種危險降到最低點?本文試著將各種攻擊伎倆列出，并給出詳細的解決方案，希望能給你營造出一個安全的網絡環境。

一、網絡攻擊概覽

1.服務拒絕攻擊

服務拒絕攻擊企圖通過使你的服務計算機崩潰或把它壓跨來阻止你提供服務，服務拒絕攻擊是最容易實施的攻擊行為，主要包括:

(1)死亡之ping (ping of death):由于在網絡技術形成早期，路由器對數據包的最大尺寸都有限制，許多操作系統對TCP/IP棧的實現在ICMP包上都是規定64KB，并且在對包的標題頭進行讀取之后，要根據該標題頭里包含的信息來為有效載荷生成緩沖區，當產生畸形的，聲稱自己的尺寸超過ICMP上限的包也就是加載的尺寸超過64K上限時，就會出現內存分配錯誤，導致TCP/IP堆棧崩潰，致使接受方死機。

(2)淚滴(teardrop):淚滴攻擊利用那些在TCP/IP堆棧實現中信任IP碎片中的包的標題頭所包含的信息來實現攻擊。IP分段含有指示該分段所包含的是原包的哪一段的信息，某些TCP/IP(包括Service pack 4以前的NT)在收到含有重疊偏移的偽造分段時將崩潰。

(3)UDP洪水(UDP flood):各種各樣的假冒攻擊利用簡單的TCP/IP服務，如Chargen和Echo來傳送毫無用處的占滿帶寬的數據。通過偽造與某一主機的Chargen服務之間的一次的UDP連接，回復地址指向開著Echo服務的一臺主機，這樣就生成在兩臺主機之間的足夠多的無用數據流，如果足夠多的數據流就會導致帶寬的服務攻擊。

(4)SYN洪水(SYN flood):一些TCP/IP棧的實現只能等待從有限數量的計算機發來的ACK消息，因為他們只有有限的內存緩沖區用于創建連接，如果這一緩沖區充滿了虛假連接的初始信息，該服務器就會對接下來的連接停止響應，直到緩沖區里的連接企圖超時。在一些創建連接不受限制的實現里，SYN洪水具有類似的影響。

未來的SYN洪水令人擔憂，由于釋放洪水的并不尋求響應，所以無法從一個簡單高容量的傳輸中鑒別出來。

(5)Land攻擊:在Land攻擊中，一個特別打造的SYN包它的原地址和目標地址都被設置成某一個服務器地址，此舉將導致接受服務器向它自己的地址發送SYN-ACK消息，結果這個地址又發回ACK消息并創建一個空連接，每一個這樣的連接都將保留直到超時掉，對Land攻擊反應不同，許多UNIX實現將崩潰，NT變得極其緩慢(大約持續五分鐘)。

(6)Smurf攻擊:一個簡單的Smurf攻擊通過使用將回復地址設置成受害網絡的廣播地址的ICMP應答請求(ping)數據包來淹沒受害主機的方式進行，最終導致該網絡的所有主機都對此ICMP應答請求作出答復，導致網絡阻塞，比ping of death洪水的流量高出一或兩個數量級。更加復雜的Smurf將源地址改為第三方的受害者，最終導致第三方雪崩。

(7)Fraggle攻擊:Fraggle攻擊對Smurf攻擊作了簡單的修改，使用的是UDP應答消息而非ICMP。

(8)電子郵件炸彈:電子郵件炸彈是最古老的匿名攻擊之一，通過設置一臺機器不斷的大量的向同一地址發送電子郵件，攻擊者能夠耗盡接受者網絡的帶寬。

(9)畸形消息攻擊:各類操作系統上的許多服務都存在此類問題，由于這些服務在處理信息之前沒有進行適當正確的錯誤校驗，在收到畸形的信息可能會崩潰。

2.利用型攻擊

利用型攻擊是一類試圖直接對你的機器進行控制的攻擊，最常見的有三種:

(1)口令猜測:一旦黑客識別了一臺主機而且發現了基于NetBIOS、Te.net或NFS這樣的服務的可利用的用戶賬號，成功的口令猜測能提供對機器的控制。

(2)特洛伊木馬:特洛伊木馬是一種或是直接由一個黑客，或是通過一個不令人起疑的用戶秘密安裝到目標系統的程序。一旦安裝成功并取得管理員權限，安裝此程序的人就可以直接遠程控制目標系統。最有效的一種叫做后門程序，惡意程序包括:NetBus、BackOrifice和BO2k,用于控制系統的良性程序如:netcat、VNC、pcAnywhere。理想的后門程序透明運行。

(3)緩沖區溢出:由于在很多的服務程序中大意的程序員使用象strcpy(),strcat()類似的不進行有效位檢查的函數，最終可能導致惡意用戶編寫一小段利用程序來進一步打開安全豁口然后將該代碼綴在緩沖區有效載荷末尾，這樣當發生緩沖區溢出時，返回指針指向惡意代碼，這樣系統的控制權就會被奪取。

3.信息收集型攻擊

信息收集型攻擊并不對目標本身造成危害，如名所示這類攻擊被用來為進一步入侵提供有用的信息。主要包括:掃描技術、體系結構刺探、利用信息服務。

(1)掃描技術:

地址掃描:運用ping這樣的程序探測目標地址，對此作出響應的表示其存在。

端口掃描:通常使用一些軟件，向大范圍的主機連接一系列的TCP端口，掃描軟件報告它成功的建立了連接的主機所開的端口。

慢速掃描:由于一般掃描偵測器的實現是通過監視某個時間幀里一臺特定主機發起的連接的數目(例如每秒10次)來決定是否在被掃描，這樣黑客可以通過使用掃描速度慢一些的掃描軟件進行掃描。

體系結構探測:黑客使用具有已知響應類型的數據庫的自動工具，對來自目標主機的、對壞數據包傳送所作出的響應進行檢查。由于每種操作系統都有其獨特的響應方法(NT和Solaris的TCP/IP堆棧具體實現有所不同)，通過將此獨特的響應與數據庫中的已知響應進行對比，黑客經常能夠確定出目標主機所運行的操作系統。

(2)利用信息服務:

DNS域轉換:DNS協議不對轉換或信息性的更新進行身份認證，這使得該協議被人以一些不同的方式加以利用。如果你維護著一臺公共的DNS服務器，黑客只需實施一次域轉換操作就能得到你所有主機的名稱以及內部IP地址。

Finger服務:黑客使用finger命令來刺探一臺finger服務器以獲取關于該系統的用戶的信息。

上進行過濾。

LDAP服務:黑客使用LDAP協議窺探網絡內部的系統和它們的用戶的信息。

4.假消息攻擊

用于攻擊目標配置不正確的消息，主要包括:DNS高速緩存污染、偽造電子郵件。

(1)DNS高速緩存污染:由于DNS服務器與其他名稱服務器交換信息的時候并不進行身份驗證，這就使得黑客可以將不正確的信息摻進來并把用戶引向黑客自己的主機。

(2)偽造電子郵件:由于SMTP并不對郵件的發送者的身份進行鑒定，因此黑客可以對你的內部客戶偽造電子郵件，聲稱是來自某個客戶認識并相信的人，并附帶上可安裝的特洛伊木馬程序，或者是一個引向惡意網站的連接。

原文轉自：http://www.kjueaiud.com