权威黑客知识讲座(五):浅析网络及网络攻击原理（三）

提到网络就不得不提到IP和Internet，在网络高速发展的今天，Internet之大早已远远超出人们的想象，而Internet就是依靠IP（Internet Protocol，因特网协议的缩写）地址找到数据传输的目标。

一、认识网络的专属标识——IP

对于IP有些人把其比喻为门牌号，人们通过门牌号快速找到电脑所在的地址，有些人把其比喻为身份证，全世界连上Internet的电脑都被分配了唯一的IP地址。

最初设计Internet时，为了便于寻址以及层次化构造网络，每个IP包含两个标识码（ID），即网络ID和主机ID。同一个物理网络中的所有主机都使用同一个网络ID，网络上的一个主机（包括网络上的工作站、服务器和路由器等）有一个主机ID与其相对应。Internet委员会定义了5种IP地址类型以适合不同容量的网络，即A-E类。其中A、B和C类（如下表）有NIC在全球范围内统一分配，D、E类为特殊地址。

A、B和C类IP地址的特点

网络类别	最大网络数	第一个可用网络号	最后一个可用网络号	每个网络最大主机数
A	126	1	126	16777214
B	16382	128.1	191.254	65534
C	2097150	192.0.1	223.255.254	254

通常情况下，一个完整的IP地址由IP地址（网络地址+主机地址）、子网掩码、默认网关和DNS 4部分组成。

这时候或许会有朋友疑问到“既然IP是唯一的，那么为什么机房、网吧或者宿舍都用了类似于192.168.X.X的IP地址，他们都能访问互联网，难道就不会产生冲突么”这就是公网IP和内网IP的区别。

刚才提到同一个物理网络中的所有主机都使用同一个网络ID，也就是说我们在局域网中用的都是内网IP，而整个局域网在Internet中会被分配一个公网IP地址，只要局域网里面不重复就不会冲突，使用内网IP地址有效地缓解了全球IP资源不足的问题。

不过除了类似于192.168.X.X的IP地址外，内网IP还有很多种形式，如果你发现电脑的IP地址在如下三个区域的话，则说明IP地址是内网IP地址，并位于某个局域网中。

10.0.0.0-10.255.255.255

172.16.0.0-172.31.255.255

192.168.0.0-192.168.255.255

实际上，这三个网段的IP是预留使用的，所以并不能直接作为Internet上面的连接使用，否则在互联网中到处都会有很多相同的IP了。

使用内网IP的好处是由于它不能直接对外接发信息，所以内部网络不会被Internet上的黑客所直接攻击，但是内网IP的主机也不能直接连上Internet。（很多企事业单位都是严格执行内外网分离以保障安全的）如果想要让内网IP的主机连上Internet必须依靠局域网中的“网关”，通常对于个人上网电脑来说，这个“网关”就是路由器，它将内网的IP地址连上Internet，自己起一个桥接作用。

对于家庭用户来说大部分都是通过拨号上网，为什么不直接上网而要拨号呢？这是为了更合理使用IP资源，当我们需要上网的时候，就通过拨号向ISP(Internet Service Provide，互联网服务提供商，例如移动，联通，电信等)获取IP地址，当我们下线的时候，ISP就会收回这个IP以分配给其他需要上网的用户，而这种拨号获取的IP通常是由ISP随机提供，因此每次拨号所取得的IP可能都不固定，所以他们被称为动态IP，当然还是有些用户可以独自使用固定的公网IP地址，这主要是学术网络或少数用户向ISP专门申请了一个固定的公网IP地址。

二、黑客的专用通道——端口

电脑运行的系统程序就像一个闭合的圆圈，系统程序设计者把这个圆圈截成很多段，这些线段接口就是端口（通俗的讲是断口，就是中断），系统运行到这些端口时，如果端口关闭就是绳子接通了，系统往下运行；如果端口是打开的，系统就得到命令，有外部数据输入，接受外部数据并执行。

电脑上网后会与不同IP地址的电脑交换数据，我们通过如下基本架构图来了解上网电脑是如何与Internet世界中的各种服务器、网站主机、个人电脑……建立连接关系的

从上图中我们可以看出，电脑中的各种网络软件都是使用某个端口再通过TCP/IP协议在Internet中连接的，它让电脑中的各个网络软件各自连接自己的服务端，比如一台电脑，我们用他上网看微博（需要web服务）、下载电影（需要FTP服务），同时还在收发邮件（需要SMTP服务），它们利用各个程序端口不同来区分程序所需要的服务，例如IE浏览器根据80端口连接网站。（需要注意的是端口并不是一一对应的，访问一台WWW服务器，服务器使用“80”端口与计算机通信，但计算机可能使用“3457”这样的端口，主要取决于程序的定义）。

端口通过端口进行标记，范围是0到65535的整数，按照端口分类可分为公认端口（0-1023，紧密绑定于一些服务，通常这些端口通信表明了某种服务的协议）、注册端口（1024-49151，它们松散地绑定于一些服务。也就是说许多服务绑定于这些端口）、动态和私有端口（49152-65535，理论上不应为服务分配这些端口。实际上机器通常从1024起动态分配端口）。

目前大多网络软件使用的端口号如19（发送字符服务）、21（FTP上传下载服务）、23（telnet主机连接服务）、25（SMTP发信服务）、53(DNS服务器所开放的端口)、80（HTTP网页服务，另木马Executor开放此端口）、110（POP3收信服务）等。

端口为程序在网络连接中提供了接口，黑客也可以利用开放的端口进而掌握该端口对应的系统服务，并利用系统服务达到入侵主机的目的。可是系统到底开启了什么端口和服务呢？我们可以通过netstat命令查出计算机开放的网络协议端口，在CMD中键入netstat–a –n按下Enter键后就可以看到以数字形式显示的TCP和UDP连接的端口号及状态。

如果主机的端口打开的太多，入侵者就可以能悄悄打开其他的服务程序，比如安装IIS增加许多系统服务，也可以安装木马，在特殊的端口进行通信，作为系统管理员，应该尽量关闭过多的端口和服务以保证系统的安全，具体方法，我会在后续的主机安全中详细介绍。