DKY_2023信安第五章复习“网络攻防技术”_wxc

一、黑客攻击&渗透测试

①网络黑客攻击的一般步骤

收集信息——>寻找漏洞——>入侵目标——>留下后门——>扩展攻击范围——>清除痕迹

②渗透测试⭐

概念：经过授权，模拟黑客进行攻击来评估计算机网络系统安全的一种评估方法。

③练习⭐

二、社会工程学攻击

略

三、扫描器

1、概念

关键词：收集系统信息、自动检测、安全性弱点

双刃剑用途：①安全评估工具、②网络攻击工具

2、扫描器技术

Ping扫描、端口扫描、操作系统扫描、漏洞扫描

2.1、Ping扫描⭐

作用	用来判断远程设备可访问性
协议	ICMP（网络控制报文协议）
实现	向目标主机发送ICMP Echo Request 数据包，如果主机可达，会回复ICMP Echo Reply包

2.2、端口扫描⭐⭐⭐

开放扫描、半开放扫描、秘密扫描等：【TCP】（要求会看抓包截图，复习TCP建立连接，复习实验二）

①开放扫描

特点：三次握手建立TCP完整连接，如：TCP CONNET扫描

优点：不需要任何权限√、连接速度快√

缺点：很容易被发现√，容易被firewall过滤√

②半开放扫描

特点：扫描方不需要建立完整TCP连接，如：TCP SYN扫描

优点：一般不会留下记录（没有建立通信连接）√

缺点：构造SYN数据包需要root权限√、许多防火墙和入侵检测系统对于SYN Flood设置过滤和报警机制，使得其隐蔽性变差√

③秘密扫描

特点：不使用TCP三次握手建立连接的原理，如：TCP FIN扫描

优点：隐蔽性强（非TCP连接）√

缺点：Windows无效，都会回送RST√、容易被丢弃√

·FIN字段用于TCP“四报文挥手”释放连接
·FIN扫描在linux/unix操作系统下才有效
·向一个远端主机某端口发送只有FIN标志位的TCP数据包如果端口是关闭的，则远程主机丢弃该包，并送回一个RST包；否则，远程主机丢弃该包，不回送。

2.3、操作系统探测

特点：通过向目标主机发送应用服务连接或访问目标主机开放的有关服务记录，探测出目标主机的操作系统

原理：利用TCP/IP协议栈实现上的特点——不同操作系统之间在处理网络数据包（TCP/IP数据包头的标志字段中）上的差异

命令：nmap -o

栈指纹：各种操作系统的协议栈的实现存在细微的差异

2.4、漏洞扫描

漏洞扫描技术是建立在端口扫描技术和操作系统识别技术的基础之上的

分类：系统漏洞扫描 、特定服务的漏洞扫描 、信息泄漏漏洞扫描 、网络及管理设备漏洞扫描 、人为管理漏洞扫描

四、嗅探器（协议分析仪）⭐⭐⭐

1、基本概念

定义：嗅探器是利用计算机的网络接口截获目的地为其他计算机的数据报文的一种工具，可以用来进行网络监听

理解：嗅探器==监听

双刃剑用途：①网络管理工具、②被动攻击工具

分类：软件嗅探器（Wireshark）、硬件嗅探器（协议分析仪）

2、工作原理

以太网卡的工作原理、 共享网络的监听原理、 交换网络的监听原理

2.1、以太网工作原理

2.1.1、以太网

以太网：局域网

发展历程：共享式==>交换式

上网方式：计算机——[网卡：收发数据包]——>以太网

2.1.2、共享式以太网

共享式以太网：广播通信、CSMA/CD协议

CSMA/CD：载波监听多址接入碰撞检测

相关概念：争用期、最小帧长、最大帧长、退避

设备发展：共享总线——>集线器——>网桥（自学习、转发帧）

2.1.3、交换式以太网

设备发展：集线器/网桥——>交换机

交换机：实质是多接口网桥，自学习、转发帧，存储转发

交换式以太网：全双工通信、不需要使用CSMA/CD协议

2.2、嗅探器工作原理

2.2.1、ARP协议（地址解析协议）

地址解析协议：MAC ⇒ IP【查看MAC地址命令：ipconfig】，网络层

相关概念：ARP高速缓存表（主机、路由器），生存周期（动态、静态）、实现原理（ARP请求报文—广播、ARP相应报文—单播）

2.2.2、以太网卡工作模式

非混杂模式： 只接收目的MAC地址与自己MAC地址相匹配的数据帧，以及广播数据包
混杂模式： 不管数据帧中的目的MAC地址是否与自己的MAC地址匹配，都接收下来 【嗅探器原理】

2.2.3、嗅探器的监听原理⭐⭐

在共享式网络中，监听主机将网卡接收模式设为混杂模式，就可以监听所有在共享网络传输的数据包。

在交换式网络中，需要使用ARP欺骗技术，伪造ARP应答包，实现网络嗅探。

理解：ARP请求==>ARP应答（ARP欺骗）==>ARP缓存表非法更新【中间人攻击】

3、网络监听的防范

检测困难，重在防范

①方法一：数据加密。使得嗅探器得不到明文数据

②方法二：使用安全的拓扑结构——分段技术：网桥、交换机、路由器

4、思考题

五、口令攻击

1、基本概念

攻击者试图获得其他人口令而采取的攻击

2、分类

2.1、针对客户端的口令攻击

①口令猜测攻击

·穷举：只要功夫深，铁杵磨成针——消耗时间成本

·字典：有规律的字符集组成的文件——消耗空间成本

·撞库：攻击者通过收集网络上已泄露的用户名、口令组合， 生成字典或直接使用这些组合尝试登陆其他网站

预防撞库：不要在不同系统上使用同一口令

其他：基于PCFG的漫步口令猜测算法、Personal-PCFG算法（分类、训练、猜测）

②口令破解攻击

彩虹表：保存了大量明文及其相应散列值的数据表——散列值比对

2.2、针对传输过程的口令攻击

口令嗅探（在线被动攻击）

2.3、针对服务器端的口令攻击

例如基于数据库漏洞：默认用户名和口令、超级用户、SQL注入攻击、文件上传漏洞

SQL注入攻击：SELECT * FROM users WHERE username=’ alice’ or ‘1’=‘1’ and password=’any’

3、口令攻击防范与口令安全

略

六、欺骗攻击

1、ARP欺骗⭐⭐

1.1、原因

ARP缓存表的实现不具备认证机制

1.2、原理

见嗅探器监听原理【中间人攻击】

1.3、网页劫持（客户端/服务器端）

1.4、防范

IP和MAC绑定、网关信息设置成静态ARP……

2、IP欺骗⭐⭐

2.1、原因

IP协议不安全。IP数据包在进行路由、 接收和处理时， 路由器、 目标主机都不对源IP地址的合法性进行判断， 而TCP/IP协议栈在发送数据时， 又允许用户修改IP报文的头部

2.2、原理

通过修改IP源地址， 就可以达到欺骗的目的==>骗取访问权限

2.3、种类

①单向攻击

攻击者使用假冒的IP地址向一台机器发送数据包， 但不会收到任何返回的数据包==>洪泛攻击

②源路由攻击

利用IP数据报的源路由选项机制来控制数据报转发路径， 进而实现会话监听

③TCP会话劫持：TCP序列号猜测技术

在一次正常的通信中， 攻击者作为第三方参与其中，绕过身份认证， 它可以对会话进行监听， 也可以将恶意数据插入到会话流中， 甚至可以取代某一方接管会话。

2.4、防范

禁止使用源路由、使用IPSec等安全协议……

3、DNS欺骗

原理：

防范：DNS流量加密、直接访问IP……

4、Cookie欺骗和Session欺骗

Cookie：会话Cookie【Session欺骗】、持久Cookie

Cookie欺骗：利用Cookie中存储的用户ID、 口令等相关信息， 获取他人Cookie， 向服务器提交， 冒充他人身份， 通过登录认证

Session欺骗：获得Cookie中的Session（Web技术）信息，伪装成Session ID合法登录

防范：Cookie中不直接存用户口令相关信息

七、漏洞利用——缓冲区溢出攻击⭐⭐

1、概念

向缓冲区中填入过多的数据，导致缓冲区溢出（Buffer Overflow），覆盖了相邻的内存空间，破坏程序堆栈，以获得某些非法的权限

2、原理

指针和数组越界不保护是缓冲区溢出的根源

3、防范

◼ 正确地编写代码
◼ 使缓冲区成为非执行的缓冲区
◼ 利用编译器的边界检查来实现缓冲区的保护
◼ 程序指针完整性检查

八、拒绝服务（DoS）攻击⭐⭐⭐

1、LAND攻击

IP欺骗：源IP=目的IP

2、SYN Flood

大量的TCP：SYN请求数据包，目的地址不存在

3、UDP Flood

UDP无连接，大量UDP数据包占用目标主机/服务器带宽，甚至会造成整条传输链路阻塞，且会占用会话资源

4、ICMP Flood

与UDP Flood类似，大量请求造成正常的连接得不到响应

5、Smurf攻击

用伪造的源地址，向局域网的广播地址发送ICMP的‘echo’请求数据报，局域网内所有主机向该地址返回‘echo’响应数据报，造成该主机服务中断

6、Teardrop攻击

利用大量UDP病态分片数据包，偏移量修改==>包重叠，占用系统资源，甚至导致系统重启崩溃

7、CC Proxy

HTTP Get Flood，消耗DB连接池资源，无法响应正常请求

8、DDos攻击（分布式）

hacker ——> 控制机（Master Server） ——> 攻击机（Zombie）：Flood

由于IP地址范围广，发送正常数据包，因此难以发现和过滤，防御困难

9、DRDDoS攻击（分布式反射拒绝服务攻击）

一种UDP反射攻击（类似Smurf攻击的原理）

IP欺骗、广播、反射、放大 ==> 不用控制、容易实现

10、防范

略

九、APT攻击⭐

1、概念

APT， Advanced Persistent Threat，高级持续性渗透攻击

特点：攻击时间长，长期潜伏、多次渗透；攻击手段多样；攻击特征弱

2、攻击阶段

3、防御

略