网络规划设计师水平考试备考资料（7.网络安全）

概述

本章主要内容为《网络规划设计师教程》第四章内容以及网络安全、加密、认证等相关内容。从历年汇总的试题分析，教程中的内容出现的题点并不多，而且题点比较散乱。其中，重复概率较高的内容包括：“kerberos认证”、“DES、3DES、AES、RSA、MD5、sha1 ”几种加密算法。建议大家重点掌握，其他内容可根据个人时间和精力来复习。

大家也可以关注我的个人公众号“跬步郎”或搜索“网络规划设计师口袋应试”小程序来查找更多的软考备考资料。

---

4.2.4程序漏洞攻击与防御
1. Web程序漏洞攻击与防御
2) SQL注入攻击

用户可以提交一段数 据库査询代码，根据程序返回的结果获得某些他想得知的数据，这就是所谓的S(jL Injection，即SQL注入。SQL注入是从正常的WWW端口访问，而且表面看起来跟一般 的Web页面访问没什么区别，所以目前市面的防火墙都不会对SQL注入发出警报，如果管理员没査看US日志的习惯，可能被入侵很长时间都不会发觉。但是，SQL注入的 手法相当灵活，在注入的时候会碰到很多意外的情况。需要根据具体情况进行分析，构 造巧妙的SQL语句，从而成功获取想要的数据。
SQL注入攻击的过程主要包含以下几步。
(1) 发现SQL注入位置。
(2) 判断后台数据库类型。
(3) 确定XP_CMDSHELL可执行情况。
(4) 发现Web虚拟目录。
(5) 上传ASP木马。
(6)得到管理员权限。
针对SQL注入攻击，可以使用下面的方法进行防御。
(1) 下载SQL通用防注入系统的程序，在需要防范注入的页面头部用<!--# include file="xxx.asp"-->来防止攻击者进行手动注入测试。可是攻击者通过SQL注入分析器就可 轻松跳过防注入系统并自动分析其注入点，然后只需几秒钟，管理员账号及密码就会被 分析出来。
(2) 对于注入分析器的防范，首先要知道SQL注入分析器是如何工作的。如果分析器并不是针对admin管理员账号，而是针对权限（如flag=l),那么无论管理员账号怎么 变都无法逃过检测。
(3) 既然无法逃过检测，那可以建立两个账号，一个是普通的管理员账号一个是防注入的账号。利用一个权限最大的账号制造假象，吸引软件的检测，而这个账号里的 内容是大于千字以上的中文字符，就会迫使软件对这个账号进行分析的时候进入全负荷 状态甚至资源耗尽而死机。

[email protected]
出题概率：★
170169、170170

---

4.2.5欺骗攻击与防御
1. ARP欺骗
2) ARP欺骗的防范措施
(1)在 winxp 下输入命令 arp-s gate-way-ip gate-way-mac 固化 arp 表，阻止 arp 欺骗。
(2)使用ARP服务器。通过该服务器查找自己的ARP转换表来响应其他机器的ARP 广播。确保这台ARP服务器不被黑。
(3) 采用双向绑定的方法解决并且防止ARP欺骗。
(4) ARP防护软件——ARP Guard。通过系统底层核心驱动，无需安装其他任何第 三方软件（如WinPcap),以服务及进程并存的形式随系统启动并运行，不占用计算机系 统资源。

[email protected]
出题概率：★
160141、

---

4.3防火墙应用配置

防火墙是设置在两个或多个网络之间的安全阻隔，用于保证本地网络资源的安全， 通常是包含软件部分和硬件部分的一个系统或多个系统的组合。内部网络被认为是安全 和可信赖的，而外部网络（通常是Internet)被认为是不安全和不可信赖的。

[email protected]
140160、

---

4.6访问控制技术
4.6.1访问控制技术概述
2.访问控制的实现技术
2) 访问控制表

访问控制表（Access Control Lists，ACLs)是目前最流行、使用最多的访问控制实 现技术。每个客体有一个访问控制表，是系统中每一个有权访问这个客体的主体的信息。 这种实现技术实际上是按列保存访问矩阵。
......
3.访问控制表介绍

访问控制表是目前最流行、使用最多的访问控制实现技术。访问控制列表是路由器 接口的指令列表，用来控制端口进出的数据包。ACL适用于所有的被路由协议，如IP、 IPX 和 AppleTalk 等。

ACL的定义也是基于每一种协议的。如果路由器接口配置成为支持三种协议OP、 AppleTalk以及IPX)的情况，那么，用户必须定义三种ACL来分别控制这三种协议的 数据包。
1) ACL的作用
(1) 可以限制网络流量、提高网络性能。例如，可以根据数据包的协议，指定数据包的优先级。
(2) 提供对通信流量的控制手段。例如，可以限定或简化路由更新信息的长度.从而限制通过路由器某一网段的通信流量。
(3) 是提