网络攻防笔记

写在开头:本文为学习网络攻防的知识点笔记，后续补充中（不清楚之处请谅解）

网络技术

一、网络扫描技术

网络扫描通常分为：

服务扫描：对目标进行www的扫描

端口扫描：通过扫描目标所有打开的端口

批量扫描：想知道这台计算机打开了哪些服务，端口

网络扫描主要功能：

• 识别目标主机端口的状态（监听或关闭）
• 扫描目标主机识别其工作状态（开关机）
• 识别目标主机操作系统的类型和版本
• 识别目标主机服务程序的类型和版本
• 分析目标主机、目标网络的漏洞（脆弱点）
• 生成扫描结果报告

扫描技术是把双刃剑

常见网络扫描技术：

1. tcp connect scan（tcp连接扫描）

是一种利用TCP协议的完整的3次握手过程进行端口扫描的技术。操作系统提供的connect（）连接函数完成系统调用，用来与目标计算机的端口进行连接，如果端口处于倾听状态，就连接成功；否则连接失败。

tcp连接扫描技术优点：

• 不需要任何权限，系统中的任何用户都有权利使用这个调用
• 实现简单，稳定可靠

缺点：

• 扫描方式不隐蔽
• 容易被发觉

2. tcp SYN scan（tcp同步序列号扫描）（半连接扫描）半开式扫描，间接扫描

是指利用TCP协议但是不是完整的3次握手过程来进行端口扫描的技术。扫描主机向目标主机的选择端口发送SYN包，如果应答是RST，那么，说明端口是关闭的，按照设定继续探听其他端口；如果应答中包含SYN和ACK，说明目标端口处于监听状态。此时已完成两次握手，但在第三次握手前，扫描主机终端本次连接，使连接没有完全建立起来。

优点：不易被发现

缺点：构造SYN数据包需要超级用户的权限，才能获得专门的系统调用。

3. tcp fin scan（tcp结束标志扫描）（隐蔽扫描）

优点：隐蔽

缺点：等待超时

有些系统没有严格遵守tcp协议标志，导致无效。

fin扫描的两个变种：

tcp Xmas tree scan（tcp圣诞树扫描）

tcp null scan（tcp空扫描）

4. udp scan（udp协议扫描）

5. ICMP扫描

   ping方法

二、网络差点：

1. 服务判定
2. 网络服务旗标抓取技术 （banner）
3. 指纹技术分为主动识别和被动识别

主动指纹识别技术：主动往远程主机发送数据包并对相应的响应进行分析的过程，使扫描器在更短的时间内获得比被动扫描更准确的结果。

被动指纹识别技术：获取目标主机发过来的数据包并对其进行分析的一种方法。

三、网络监听

监听工具

实施攻击

一、口令攻击

• 词典攻击
• 强行攻击
• 组合攻击

二、缓冲区溢出攻击

三、木马攻击

系统中被植入的、认为设计的程序，目的在于网络远程控制其他用户的计算机，窃取信息资料，并可致使目标系统瘫痪。

木马与远程控制相似。

• 有效性（建立有效联系）
• 隐蔽性
• 顽固性（清楚木马的难易程度）
• 易植入性（先决条件）

与蠕虫技术结合。

一般是客服端和服务端程序

技术：

• 植入技术
• • 主动植入
  • 被动植入
• 自动加载技术（自启动技术）
• 隐藏技术
• • 伪隐藏
  • 真隐藏
• 监控技术

记录用户事件：

• 记录被控端计算机的键盘和鼠标事件，将记录结果保存为一个文本文件并，并发送诶攻击者
• 在被控端抓取当前屏幕，形参一个图文件。

四、欺骗攻击

改变伪装自己的身份

类型：

• IP欺骗
• ARP欺骗（协议的的欺骗，获取中间报文）
• 电子邮件欺骗
• DNS欺骗
• web欺骗
• 社会工程学攻击

五、拒绝服务攻击

简单高效

网络带宽攻击；即以极大的通信量冲击网络，使得所有可用网络资源都消耗殆尽，最后导致合法的用户请求无法通过。

连通性攻击；以大量的连接请求冲击计算机，使得所有可用的操作系统都被消耗殆尽，最终计算机无法在处理合法用户的请求。

黑客工具；

常用于辅助其他攻击的进行。

分布式拒绝服务攻击：

僵尸网络：攻击者手中一个攻击平台，由互联网上数百到数十万计算机构成，这些就三级被黑客利用蠕虫等手段植入了僵尸程序并暗中操作。

客户服务机技术

六、web攻击

三层结构：客户端浏览器（表示层）---->web服务器（应用层）---->数据库（数据层）

web 服务

动态页面，动态生成

• 未验证参数：URL，cookie，
• 访问控制缺陷
• 账户及会话管理缺陷
• 跨站脚本漏洞
• 缓冲区溢出
• 命令注入漏洞（恶意代码注入，
• 错误处理问题
• 远程管理漏洞
• web服务器及应用服务器配置不当

网络防御技术

一、信息收集防御技术

面对攻击者的扫描，可采取的主要防御措施：

• 使用专用的扫描监测工具（对不常用端口进行监听
• 使用防火墙系统
• 使用入侵检测系统
• 使用蜜罐系统（详细记录）一定防御
• 使用审计工具（日志审计）跟踪客户端ip，地理位置，操作系统版本

二、口令攻击防御技术

技术和管理上

强口令特征：

口令管理策略：加密口令，口令文件管理，定期更换

采用一次性口令技术：有效抵御网络嗅探攻击

三、欺骗攻击防御技术

1. 防范基本的ip欺骗

• 入口过滤

• 出口过滤

2. 防范回话劫持攻击

​ 其防御方法有：

• 进行加密
• 使用安全协议（ssh，Telnet，VPN（从客户端到服务端）），
• 限制保护措施

3. ARP欺骗攻击的检测与防御：

   常见表现情况：

• 网络频繁掉线

• 网络过慢

• 使用ARP-a名发现网关的Mac地址与真实网关Mac地址不同

• 使用网络嗅探工具发现局域网中存在大量ARP响应包时

受到ARP欺骗的应对策略：

• Mac地址绑定
• 使用静态ARP缓存
• 使用ARP服务器（未被攻击），通过其来找到自己的ARP转换表来响应其他机器的ARP广播
• ARP欺骗防护软件
• 及时发现正在进行ARP欺骗的主机，并隔离

web欺骗防御技术：培养安全意识和教育

四、拒绝服务攻击防御技术

当个节点拒绝服务攻击（不用）

分布式拒绝服务攻击

• 优化网络和服务结构
• 保护主机系统安全
• 安装入侵检测系统
• 与因特网服务商ISP合作
• 使用扫描工具

五、木马攻击防御技术

对木马的检测:

• 检测方法：端口扫描与连接检测

• 检测系统进程

• 检测.ini文件，注册表和服务（开机启动，文件捆绑）

• 监视网络通信流量（嗅探软件）

防范：

• 及时修补漏洞，补丁
• 及时发现清除
• 运行实时监控程序
• 培养风险意识

六、缓冲区溢出攻击防御技术

• 源码级保护
• 运行期保护方法（在程序运行过程中发现阻止缓冲区溢出攻击）
• 阻止攻击代码的执行（非执行的缓冲区技术：设置被攻击程序的数据段地址属性为不可执行，避免攻击）
• 加强系统保护（安装典型，服务管理，检测系统漏洞）