2024年网安最全网络安全基础知识点汇总_网络安全知识 csdn

2. sniffer属第二层次(数据链路层)的攻击。通常是攻击者已经进入了 目标系统
3. 如果sniffer运行在路由器，或有路由器功能的主机上，则可同时监视多个广播域，危害更大
4. 通常，sniffer程序只需看到一个数据包的前200-300个字节的数据， 就能发现用户名和口令等信息

2.3.2 Sniffer防范

• 设法保证系统不被入侵

Sniffer往往是攻击者在侵入系统后使用

• 加密传输

传输前加密，使收集的信息无法解读

• 采用安全拓扑结构

采用交换技术，分割广播域。

管理员应使各计算机之间的信任关系最小，如lan要和internet相 连，仅有firewall是不行的，要考虑一旦入侵成功后他能得到什么， 保证一旦出现sniffer他只对最小范围有效

现代网络常常采用交换机作为网络连接设备枢纽

交换机不会让网络中每一台主机侦听到其他主机的通讯，因此Sniffer技术在这时必须结合网络端口镜像技术进行配合。

而衍生的安全技术则通过ARP欺骗来变相达到交换网络中的侦听。

• 网络端口镜像技术: 在交换机或路由器上， 将一个或多个源端口的数据流量转发到某一个指定端口来实现对网络的监听
• ARP欺骗: ARP欺骗的运作原理是由攻击者发送假的ARP数据包到网上，尤其是送到网关上。其目的是要让送至特定的IP地址的流量被错误送到攻击者所取代的地方。

回顾知识：交换机、路由器、集线器

• 路由器(Router): 是连接因特网中各局域网、广域网的设备。在路由器中记录着路由表，它会根据信道的情况自动选择和设定路由，以最佳路径 ，按前后顺序发送信号。发生在网络层。提供了防火墙的服务，只转发特定地址的数据包，不传送不支持路由协议的数据包传送和求知目标网络数据包的传送，从而可以防止广播风暴。
• 交换机(Switch): 是一种用于电(光)信号转发的网络设备。它可以为接入交换机的任意两个网络节点提供独享的电信号通路，把传输的信息送到符合要求的相应路由上。发生在数据链路层。
• 集线器(Hub): 是指将多条以太网双绞线或光纤集合连接在同一段物理介质下的设备。发生在物理层。

2.4 端口扫描技术

2.4.1 原理

端口扫描是指某些别有用心的人发送一组端口扫描消息，试图以此侵入某台计算机，并了解其提供的计算机网络服务类型(这些网络服务均与端口号相关);

扫描器(工作原理):

自动检测远端或本机安全性弱点的程序，用户可不留痕迹的发现远端机器各端口的分配及运行的服务及软件版本

功能

• 发现一个主机或网络;
• 发现该主机运行何种服务;
• 测试这些服务发现漏洞

2.4.2 分类

常见的端口扫描类型

• TCPconnect(): 入侵者无须任何权限，速度快，但是其易被发现，也易被过滤;
• TCPSYN: 扫描器发送syn数据包，如果返回ack/syn同时需要再发送 RST关闭连接过程，表示端口处监听状态;如果返回RST，则不在侦听，不会留下入侵记录，但需要有root权限才能建立自己的syn数据包
• TCPFIN: 一般防火墙或过滤器会过掉syn包，但FIN可以没有麻烦的通过，于是可能存在关闭的端口会用RST来响应FIN,而打开的端口 则不会响应，但有的系统不管打开与否都响应回复RST包

2.4.3 ping命令

Ping的原理

通过向目标主机传送一个小数据包，目标主机接收并将该包返送回来，如果返回的数据包和发送的数据包一致，则Ping命令成功。根据返回的信息，可以推断TCP/IP参数是否设置正确，以及运行是否正常、网络是否通畅等。

作用和特点

• 用来判断目标是否活动;
• 最常用、最简单的探测手段;
• Ping 程序一般是直接实现在系统内核中的， 而不是一个用户进程

Ping命令可以进行以下操作 :

1. 通过将ICMP(Internet控制消息协议)回显数据包发 送到计算机并侦听回显回复数据包来验证与一台或多 台远程计算机的连接。
2. 每个发送的数据包最多等待一秒。
3. 打印已传输和接收的数据包数。

2.5 特洛伊木马

2.5.1 木马与病毒的区别

• 载体

◼ 一般情况下，病毒是依据其能够进行自我复制即传染性的特点而定义的

◼ 木马主要是根据它的有效载体，或者是其功能来定义的，更多情况下是根据其意图来定义的

• 自我复制和传播

◼ 木马一般不进行自我复制，但具有寄生性，如捆绑在合法程序中得到安装、启动木马的权限，DLL木马甚至采用动态嵌入技术寄生在合法程序的进程中

◼ 木马一般不具有普通病毒所具有的自我繁殖、主动感染传播等特性， 但我们习惯上将其纳入广义病毒，也就是说，木马也是广义病毒的一个子类

• 意图

◼ 木马的最终意图是窃取信息、实施远程监控

◼ 木马与合法远程控制软件(如pcAnyWhere)的主要区别在于是 否具有隐蔽性、是否具有非授权性

2.5.2 木马的组成

木马系统软件一般由木马配置程序、控制程序和木马程序(服务器程序) 三部分组成。

2.5.3 木马攻击过程

木马通道与远程控制

◼ 木马连接建立后，控制端端口和服务端木马端口之间将会出现一条通道;

◼ 控制端上的控制端程序可借助这条通道与服务端上的木马程序取得联系，并通过木马程序对服务端进行远程控制，实现的 远程控制就如同本地操作

2.5.4 传播方式

• 捆绑欺骗

◼ 把木马服务端和某个游戏/软件捆绑成一个文件

◼ 通过即时通讯工具、邮件、下载工具等渠道发送出去

• 钓鱼欺骗(Phishing)

◼ 构造一个链接或者一个网页

◼ 利用社会工程学欺骗方法

◼ 欺骗用户输入某些个人，隐私信息，然后窃取个人隐私

• 漏洞攻击

◼ 利用操作系统和应用软件的漏洞进行的攻击

• 网页挂马

◼ 网页挂马就是攻击者通过在正常的页面中(通常是网站的主页)插入一段代码。

◼ 浏览者在打开该页面的时候，这段代码被执行， 然后下载并运行某木马的服务器端程序，进而控制浏览者的主机

三、防火墙技术

3.1 防火墙基础

3.1.1 基本概念

防火墙：过滤！

实现一个机构的安全策略

创建一个阻塞点

记录internet 活动

限制网络暴露

什么是防火墙?

• 防火墙是设置在用户网络和外界之间的一道屏障，防止不可预料的、潜在的破坏侵入用户网络;
• 防火墙在开放和封闭的界面上构造一个保护层，属于内部范围的业务，依照协议在授权许可下进行;外部对内部网络的访问受到防火墙的限制

防火墙功能

• 过滤进出网络的数据
• 管理进出网络的访问行为
• 封堵某些禁止的访问行为
• 记录通过防火墙的信息内容和活动
• 对网络攻击进行检测和告警

防火墙分类

3.1.2 访问控制机制

访问控制机制的演变

1、路由器—>ACL 访问控制列表

2、包过滤防火墙—>根据IP五元组判断能否通过

3、状态监测防火墙—>根据应用判断能否通过

4、应用代理防火墙—>根据应用判断能否通过

5、多检测机制防火墙—>根据多个IP包判断整体应用后判断能否通过

6、多功能集成网关(下一代防火墙 )—>嵌入多种防护功能，经过多层过滤后判断能否通过

1. 包过滤防火墙

数据包过滤(Packet Filtering)技术在网络层对数据包进行选择， 选择的依据是系统内设置的过滤逻辑，即访问控制表(Access Control List，ACL)

• 包过滤防火墙分为静态包过滤、动态包过滤防火墙
• 包检查器并不是检查数据包的所有内容，只检查报头(IP、TCP头部)

优点

◆逻辑简单 ◆有较强的透明性 ◆网络性能的影响较小 ◆开销较小，设备便宜

缺点

◆无法对数据包的内容进行过滤审核

◆在传输层或则是网络层上检测数据，不 能在更高一层检测数据，比如能禁止和通过一个向内的HTTP请求，但不能判断这个 请求是非法的还是合法的。

◆防止欺骗攻击很难，特别是容易受到IP 欺骗攻击(允许来自网络外部的流量，包过 滤防火墙只能检测数据包中的源IP，无法 确定是否是真正的源地址)

◆所有可能用到的端口(尤其是>1024的端 口)都必需放开,增加了被攻击的可能性

◆在复杂的网络中很难管理

◆通常来说包过滤技术是防火墙技术中最低的。

2. 状态检测防火墙

状态检测防火墙由动态包过滤防火墙演变而来，工作在传输层，使用各种状态表(state tables)来追踪活跃的TCP会话，它能够根据连接状态信息动态地建 立和维持一个连接状态表，并且把这个连接状态表用于后续报文的处理。

状态检测技术一般的检查点有:

• 检查数据包是否是一个已经建立并且正在使用的通信流的一部分。
• 如果数据包和连接表的各项都不匹配，那么防火墙就会检测数据包 是否与它所配置的规则集相匹配。
• 在检测完毕后，防火墙会根据路由转发数据包，并且会在连接表中 为此次对话创建或者更新一个连接项
• 防火墙通常对TCP包中被设置的FIN位进行检测、通过会话超时设置决定何时从连接表中删除某连接项。

优点

◆更高的安全性

◆高效性

◆应用范围广

缺点

◆不能对应用层数据进行控制

◆不能产生高层日志

◆配置复杂

3. 应用代理防火墙

应用代理(Application Proxy)也称为应用层网关(Application Gateway)

• 工作在应用层，其核心是代理进程
• 每一种应用对应一个代理进程，实现监视和控制应用层通信流
• 自适应代理防火墙:在每个连接通信的开始仍然需要在应用层接受检测， 而后面的包可以经过安全规则由自适应代理程序自动的选择是使用包过滤还是代理

优点

◆可以检查应用层、传输层和网络层的协议特征，对数据包的检测能力比较强

◆代理完全控制会话，可以提供很详细的日志和安全审计功能

◆可以隐藏内部网的IP地址，保护内部主机免受外部主机的进攻

◆可以集成认证机制

缺点

◆最大缺点是要求用户改变自己的行为，或者在访问代理服务的 每个系统上安装特殊的软件

◆分析困难，实现困难，每一种应用服务必须设计一个代理软件模块进行安全控制，并 且应用升级时，一半代理服务程序也要升级

◆影响用户网络速度(命令解释)

◆不能防止SYN攻击

4. 复合型防火墙

复合型防火墙是指综合了状态检测与应用代理的新一代的防火墙

• 对整个报文进行访问控制和处理，具体检测内容由策略决定，
• 如果策略是包过滤策略，则对TCP、IP报头进行检测，
• 如果策略是应用代理策略，则对用户数据进行检测

优点

◆可以检查整个数据包的内容

◆根据需要建立连接状态表

◆网络层保护强

◆应用层控制细

缺点

◆会话控制较弱

5. 核检测防火墙

对于简单包过滤防火墙、状态检测包过滤防火墙和应用代理防火墙，他们只是检查单个报文，所以只检查其中的一个报文，但是他们都不能把这些报文组合起来，形成一个会话 来进行处理。

对于核检测防火墙，它可以将不同报文，在防火墙内部， 模拟成应用层客户端或服务器端，对整个报文进行重组，合成一个会话来进行理解，进行访问控制。

可以提供更细的访问控制，同时能生产访问日志。可以看到，它的上下报文是相关的，它具备包过滤和应用代理防 墙的全部特点，还增加了对会话的保护能力。

优点

◆网络层保护强

◆应用层保护强

◆会话层保护强

◆前后报文有联系，可以关联进行出来

缺点

◆不能防病毒传播

◆不能防止一些未知的入侵或攻击

小结

◼ 包过滤防火墙: 包过滤防火墙不检查数据区，包过滤防火墙不建立连接状态表，前后报文无关，应用层控制很弱。

◼ **应用代理防火墙:**不检查IP、TCP报头，不建立连接状态表 ，网络层保护比较弱，影响用户的网速。

◼ **状态检测防火墙:**不检查数据区，建立连接状态表，前后报文相关，应用层控制很弱。

◼ **复合型防火墙:**可以检查整个数据包内容，根据需要建立连接状态表，网络层保护强，应用层控制细，会话控制较弱

◼ **核检测防火墙:**可以检查整个数据包内容，网络层保护强， 应用层保护强，前后报文有联系。

3.2 防火墙设计原则及优缺点

3.2.1 设计原则

• 过滤不安全服务的原则

◼ 防火墙应封锁所有信息流，然后对希望提供的安全服务逐项开放

◼ 这是一种非常有效实用的方法，可以造成一种十分安全的环境，因为只有经过仔细挑选的服务才能允许用户使用

• 屏蔽非法用户的原则

◼ 防火墙可先允许所有的用户和站点对内部网络的访问，然后网络管理员按照 IP 地址对未授权的用户或不信任的站点进行逐项屏蔽

◼ 这种方法构成了一种更为灵活的应用环境，网络管理员可以针对不同的服务面向不同的用户开放，也就是能自由地设置各个用户的不同访问权限

3.2.2 优缺点

优点:

◼ 允许管理员定义一个中心扼制点防止非法用户进入内部网络

◼ 保护网络中脆弱的服务

◼ 用户可方便的监视网络的安全并产生报警

◼ 集中安全性

◼ 增强保密性

◼ 是审计和记录网络流量的一个最佳地方

缺点:

◼ 限制有用的服务

◼ 不能有效防止内部的攻击

◼ Internet防火墙不能防止通过防火墙以外的攻击

◼ 不能完全防止传送已感染病毒的文件和软件

◼ 无法防范数据驱动型攻击

◼ 不能防备新的网络安全问题

3.3 防火墙体系结构

• 屏蔽主机网关 Screened Host Gateway

包过滤路由器只放行到堡垒主机的数据包

➢ 一个分组过滤路由器 连接外部网络

➢ 一个堡垒主机安装在 内部网络上;

➢ 通常在路由器上设立过滤规则，并使这个 堡垒主机成为从外部网络唯一可直接到达 的主机，这确保了内部网络不受未被授权 的外部用户的攻击

• 屏蔽子网Screened Subnet Firewall

◼ 在内部网络和外部网络之间增加一个子网

◼ 屏蔽子网区域称为边界网络Perimeter Network，也称为非军事区 DMZ(De-Militarized Zone)

入侵者攻击内部网络至少要突破两个路由器:

• 内部路由器

◼ 负责管理DMZ到内部网

◼ 仅接收来自堡垒主机的数据包

◼ 完成防火墙的大部分工作

• 外部路由器

◼ 防范通常的外部攻击络的访问

◼ 管理Internet到DMZ的访问

◼ 只允许外部系统访问堡垒主机

• 堡垒主机

◼ 安全防护、运行各种代理服务

3.4 硬件防火墙的性能指标

1. 吞吐量

1、定义:在不丢包的情况下能够达到的最大速率

2、衡量标准:吞吐量作为衡量防火墙性能的重要指标之一，吞吐量小就会造成网络新的瓶颈，以致影响到整个网络的性能

2. 延时

1、定义:入口输入帧最后一个比特到达至出口处 输出帧的第一个比特 输出所用的时间间隔

2、衡量标准:防火墙的延时能够体现出它处理数据的速度

3. 丢包率

1、定义:在连续负载的情况下，防火墙设备由于资源不足应转发但却未转发的帧百分比

2、衡量标准:防火墙的丢包率对其稳定性、可靠性有很大的 影响

4. 背靠背

1、定义:从空闲状态开始，以达到传输介质最小合法间隔极限的传输速率发送相当数量的固定长度的帧，当出现第一个帧丢失时，发送的帧数

2、衡量标准:背对背包的测试结果能体现出被测防火墙的缓冲容量， 网络上经常有一些应用会产生大量的突发数据包(例如:NFS、备份、 路由更新等)，而且这样的数据包的丢失可能会产生更多的数据包，强大的缓冲能力可以减小这种突发情况对网络造成的影响

5. 最大并发连接数

最大并发连接数:

指穿越防火墙的主机之间与防火墙之间能同时建立的最大连接数

• 衡量标准:并发连接数的测试主要用来测试被测防火墙建立和维持TCP连接的性能，同时也能通过并发连接数的大小体现被测防火墙对来自于客户端的TCP连接请求响应的能力

6. 每秒新建连接数

每秒新建连接数则指防火墙由开始建立连接直到达到最大连接数的 速率指标，也是防火墙的性能指标之一

3.4 分布式防火墙

边界防火墙的固有欠缺：

1. 结构上受限制：企业网物理边界日趋模糊
2. 内部不够安全：80%的攻击和越权访问来自于内部
3. 效率不高：边界防火墙把检查机制集中在网络边界的单点，造成了网络访问的瓶颈问题(大容量、高性能、可扩展、安全策略的复杂性)
4. 单点故障：边界防火墙本身也存在着单点故障危险， 一旦出现问题或被攻克，整个内部网络将 会完全暴露在外部攻击者面前

3.4.1 定义

1. 从狭义来讲，分布式防火墙产品是指那些驻留在网络主机中，如服务器或桌面机，并对主机系统自身提供安全防护的软件产品
2. 从广义来讲，分布式防火墙是一种新的防火墙体系 结构。

◼ 它们包含如下产品:网络防火墙、主机防火墙、中心管理等

1、网络防火墙

用于内部网与外部网之间(即传统的边界防火墙)和内部网子网之间的防护产品

2、主机防火墙

对于网络中的服务器和桌面机进行防护，这些主机的物理位置可能在内部网中，也可能在内部网外，如托管服务器或移动办公的便携机

3、中心管理

中心管理是分布式防火墙系统的核心和重要特征之一

◼ 总体安全策略的策划、管理、分发及日志的汇总，解决 了由分布技术而带来的管理问题。

◼ 边界防火墙只是网络中的单一设备，管理是局部的。对分布式防火墙来说，每个防火墙作为安全监测机制可以根据安全性的不同要求布置在网络中的任何需要的位置上，但总体安全策略又是统一策划和管理的，安全策略的分发及日志的汇总都是中心管理应具备的功能。

优点

1、增加系统安全性

(1)增加了针对主机的入侵监测和防护功能;

(2)加强了对来自内部攻击的防范;

(3)可以实施全方位的安全策略;

(4)提供了多层次立体的防范体系。

2、保证系统性能

消除了结构性瓶颈问题，提高了系统性能。

3、系统的可扩展性

随系统扩充提供了安全防护无限扩充的能力。

四、密码学基础

4.1 定义

密码技术通过信息的变换或编码，将机密消息变换 成乱码型文字，使非指定的接收者不能由其截获的 乱码中得到任何有意义的信息，并且不能伪造任何 乱码型的信息

研究密码技术的学科称为密码学(cryptology) ，它包 含两个分支:

◼ 密码编码学(cryptography) -对信息进行编码实现信息隐 蔽

◼ 密码分析学(cryptanalysis) -研究分析如何破译密码

术语：

➢未加密的消息(Message)被称为明文(PlainText);(它可能是比特流，也可 能是文本文件、位图、数字化的语音流或数字化的视频图像);

➢被加密的消息称为密文(Cipher);

➢用某种方法伪装消息以隐藏它的内容的过程称为加密(Encryption);

➢把密文转变为明文的过程称为解密(Decryption);

➢密钥:参与变换的参数,用 K(Key)表示;

➢加密算法:对明文进行加密时采用的一组规则;

➢解密算法:对密文解密时采用的一组规则;

➢使消息保密的技术和科学叫做密码编码学(Cryptography);

➢破译密文的科学和技术是密码分析学(Cryptanalysis);

4.2 对称和非对称加密

◼ 对称密钥算法:K1 与 K2 相同

◼ 非对称密钥算法:K1 和 K2 可以相同，也可以不同

对比

单钥密码体制中，收发双方使用同一密钥，系統的保密性主要取决于密钥的安全性。禾統的密钥管理、传输和分配是一个重要且十分复杂的问题。

单钥的优点是：保密强度高，运算速度快，缺点是密钥数目大，密钥分配困难，天法实现不可否认服务。

公钥容码体制中，加密密钥K是公开的，解密密钥K必须保密。公钥体制的密钥产生、分配和管理相对简单，尤适用于计算机网络系统中。

公钥体制的特点：实现信息公开加密，实现不可否认服务，但缺点是加解密运算复杂，速度较慢。

两类密码攻击法

写在最后

在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。

需要完整版PDF学习资源私我

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！