第4章网络攻击及防御技术(2)..ppt

《第4章网络攻击及防御技术(2)..ppt》由会员分享，可在线阅读，更多相关《第4章网络攻击及防御技术(2)..ppt（31页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、漏洞漏洞扫扫描概述描概述 漏洞漏洞源自源自“vulnerabilityvulnerability”（脆弱性）。一般认为，漏脆弱性）。一般认为，漏洞是指硬件、软件或策略上存在的的安全缺陷，从而使得攻洞是指硬件、软件或策略上存在的的安全缺陷，从而使得攻击者能够在未授权的情况下访问、控制系统。击者能够在未授权的情况下访问、控制系统。标准化组织标准化组织CVECVE（Common Vulnerabilities and Exposures,即即“公共漏洞与暴露公共漏洞与暴露”）致力于所有安全漏洞及安全问题的命）致力于所有安全漏洞及安全问题的命名标准化，安全产品对漏洞的描述与调用一般都与名标准化，安全产

2、品对漏洞的描述与调用一般都与CVE兼容。兼容。1 1 漏洞的概念漏洞的概念信息安全的信息安全的“木桶理论木桶理论”对一个信息系统来说，它的安全性不在于它是否采对一个信息系统来说，它的安全性不在于它是否采用了最新的加密算法或最先进的设备，而是由系统本身用了最新的加密算法或最先进的设备，而是由系统本身最薄弱之处，即漏洞所决定的。只要这个漏洞被发现，最薄弱之处，即漏洞所决定的。只要这个漏洞被发现，系统就有可能成为网络攻击的牺牲品。系统就有可能成为网络攻击的牺牲品。漏洞漏洞扫扫描概述描概述 2 2 漏洞的漏洞的发现发现 一个漏洞并不是自己突然出现的，必须有人发现它。这个工作主要是一个漏洞并不是自己突然

3、出现的，必须有人发现它。这个工作主要是由以下三个组织之一来完成的：黑客、破译者、安全服务商组织。由以下三个组织之一来完成的：黑客、破译者、安全服务商组织。每当有新的漏洞出现，黑客和安全服务商组织的成员通常会警告安全每当有新的漏洞出现，黑客和安全服务商组织的成员通常会警告安全组织机构；破译者也许不会警告任何官方组织，只是在组织内部发布消息。组织机构；破译者也许不会警告任何官方组织，只是在组织内部发布消息。根据信息发布的方式，漏洞将会以不同的方式呈现在公众面前。根据信息发布的方式，漏洞将会以不同的方式呈现在公众面前。通常收集安全信息的途径包括：新闻组、邮件列表、通常收集安全信息的途径包括：新闻组、

4、邮件列表、WebWeb站点、站点、FTPFTP文文档。档。网网络络管理者的部分工作就是管理者的部分工作就是关心信息安全相关新闻，了解信息安全的关心信息安全相关新闻，了解信息安全的动态。动态。管理者需要制定一个收集、分析以及抽取信息的策略，以便管理者需要制定一个收集、分析以及抽取信息的策略，以便获获取有取有用的信息。用的信息。漏洞漏洞扫扫描概述描概述 2 2 漏洞的漏洞的发现发现 漏漏洞洞的的产产生生大大致致可可分分为为有有意意和和无无意意的的两两类类。前前者者是是在在程程序序编编写写过过程程种种，编编程程人人员员为为了了达达到到不不可可告告人人的的目目的的，有有意意的的在在程程序序的的隐隐蔽蔽

5、处处留留下下各各种种各各样样的的后后门门。后后者者是是由由于于编编程程人人员员的的水水平平问问题题，经经验验和和当当时时安安全全技技术术加加密密方方法法所所限限，在在程程序序中中总总会会或或多多或或少少的的有有些些不不足足之之处，有的影响程序的效率，有的会导致非授权用户的权利提升。处，有的影响程序的效率，有的会导致非授权用户的权利提升。漏洞攻击的位置漏洞攻击的位置:（1 1）系系统统的的对对外外服服务务，如如“冲冲击击波波”病病毒毒针针对对系系统统的的“远远程程协协助助”服务；服务；“尼姆达尼姆达”病毒由系统的病毒由系统的“IPCIPC漏洞漏洞”（资源共享）感染。（资源共享）感染。（2 2）集

6、集成成的的应应用用软软件件，IEIE、Outlook Outlook ExpressExpress、MSN MSN MessagerMessager、Media PlayerMedia Player这些集成的应用程序，都可能成为漏洞攻击的桥梁。这些集成的应用程序，都可能成为漏洞攻击的桥梁。漏洞漏洞扫扫描概述描概述 3 3 漏洞漏洞对对系系统统的威的威胁胁 漏洞对系统的威胁体现在恶意攻击行为对系统的威胁，漏洞对系统的威胁体现在恶意攻击行为对系统的威胁，因为只有利用硬件、软件和策略上最薄弱的环节，恶意攻击因为只有利用硬件、软件和策略上最薄弱的环节，恶意攻击者才可以得手。者才可以得手。目前，因特网上

7、已有目前，因特网上已有3 3万多个黑客站点，而且黑客技术不万多个黑客站点，而且黑客技术不断创新，基本的攻击手法已多达断创新，基本的攻击手法已多达800800多种。多种。目前我国目前我国9595的与因特网相连的网络管理中心都遭到过的与因特网相连的网络管理中心都遭到过境内外攻击者的攻击或侵入，其中银行、金融和证券机构是境内外攻击者的攻击或侵入，其中银行、金融和证券机构是黑客攻击的重点。国内乃至全世界的网络安全形势非常不容黑客攻击的重点。国内乃至全世界的网络安全形势非常不容乐观。乐观。漏洞可能影响一个漏洞可能影响一个单单位或公司的生存位或公司的生存问题问题。漏洞漏洞扫扫描概述描概述 4 4 漏洞扫描

8、的必要性漏洞扫描的必要性 v帮助网管人员了解网络安全状况帮助网管人员了解网络安全状况v对资产进行风险评估的依据对资产进行风险评估的依据v安全配置的第一步安全配置的第一步v向领导上报数据依据向领导上报数据依据系系统统脆弱性分析脆弱性分析 信息系信息系统统存在存在着着许许多漏洞多漏洞，如，如IISIIS的安全性的安全性、CGICGI的安全的安全性、性、DNSDNS与与FTPFTP协议协议的安全性、的安全性、缓缓冲区溢出冲区溢出问题问题、拒、拒绝绝服服务务和和后后门门。由于网。由于网络络的的飞飞速速发发展，越来越多的漏洞也必将随之出展，越来越多的漏洞也必将随之出现现。1 1 IISIIS安全安全问题

9、问题 WindowsWindows的的IISIIS服服务务器存在着很多漏洞，如拒器存在着很多漏洞，如拒绝绝服服务务、泄、泄露信息、泄露源代露信息、泄露源代码码、获获得更多得更多权权限、目限、目录录遍遍历历、执执行任意行任意命令、命令、缓缓冲区溢出冲区溢出执执行任意代行任意代码码等。等。系系统统脆弱性分析脆弱性分析 2 2 缓缓冲区溢出冲区溢出 通通过过往程序的往程序的缓缓冲区写超出其冲区写超出其长长度的内容，造成度的内容，造成缓缓冲区冲区的溢出，从而破坏程序的堆的溢出，从而破坏程序的堆栈栈，使程序，使程序转转而而执执行其它指令，行其它指令，以达到攻以达到攻击击的目的。造成的目的。造成缓缓冲区溢

10、出的根本原因是程序中缺冲区溢出的根本原因是程序中缺少少错误检测错误检测。缓缓冲区溢出漏洞大量存在于各种冲区溢出漏洞大量存在于各种软软件中件中 缓缓冲区溢出攻冲区溢出攻击击之所以成之所以成为为一种常一种常见见安全攻安全攻击击手段的原手段的原因在于因在于缓缓冲区溢出漏洞太普遍，并且易于冲区溢出漏洞太普遍，并且易于实现实现。而且，。而且，缓缓冲冲区溢出漏洞区溢出漏洞给给予了攻予了攻击击者他所想要的一切：植入并且者他所想要的一切：植入并且执执行攻行攻击击代代码码。被植入的攻。被植入的攻击击代代码码以一定的以一定的权权限运行有限运行有缓缓冲区溢出冲区溢出漏洞的程序，从而得到被攻漏洞的程序，从而得到被攻击

11、击主机的控制主机的控制权权。系系统统脆弱性分析脆弱性分析 3 3 拒拒绝绝服服务务攻攻击击 DoS（Denial of Service）软软件弱点是包含在操作系件弱点是包含在操作系统统或或应应用程序中与安全相关的系用程序中与安全相关的系统统缺陷，缺陷，这这些缺陷大多是由于些缺陷大多是由于错误错误的程序的程序编编制，粗心的源代制，粗心的源代码审码审核，无心的副效核，无心的副效应应或或一些不适当的一些不适当的绑绑定所造成的。根据定所造成的。根据错误错误信息所信息所带带来的来的对对系系统统无限制或者未无限制或者未经许经许可的可的访问访问程度，程度，这这些漏洞可以被分些漏洞可以被分为为不同的等不同的等

12、级级。典型的拒典型的拒绝绝服服务务攻攻击击有如下两种形式：有如下两种形式：资资源耗尽和源耗尽和资资源源过载过载。当一个当一个对资对资源的合理源的合理请请求大大超求大大超过资过资源的支付能力源的支付能力时时就会造成拒就会造成拒绝绝服服务务攻攻击击（例（例如，如，对对已已经满载经满载的的WebWeb服服务务器器进进行行过过多的多的请请求。）拒求。）拒绝绝服服务务攻攻击还击还有可能有可能是由于是由于软软件的弱点或者件的弱点或者对对程序的程序的错误错误配置造成的。区分配置造成的。区分恶恶意的拒意的拒绝绝服服务务攻攻击击和非和非恶恶意的服意的服务务超超载载依依赖赖于于请请求求发发起者起者对资对资源的源的

13、请请求是否求是否过过份，从而使份，从而使得其他的用得其他的用户户无法享用无法享用该该服服务资务资源。源。错误错误配置也会成配置也会成为为系系统统的安全的安全隐隐患。患。这这些些错误错误配置通常配置通常发发生在硬件装生在硬件装置，系置，系统统或者或者应应用程序中。如果用程序中。如果对对网网络络中的路由器，防火中的路由器，防火墙墙，交，交换换机以及机以及其他网其他网络连络连接接设备设备都都进进行正确的配置会减小行正确的配置会减小这这些些错误发错误发生的可能性。如果生的可能性。如果发现发现了了这这种漏洞种漏洞应应当当请请教教专业专业的技的技术术人人员员来修理来修理这这些些问题问题。系系统统脆弱性分析

14、脆弱性分析 以下的两种情况最容易以下的两种情况最容易导导致拒致拒绝绝服服务务攻攻击击：由于由于程序程序员对员对程序程序错误错误的的编编制，制，导导致系致系统统不停的建立不停的建立进进程，最程，最终终耗尽耗尽资资源源，只能重新启，只能重新启动动机器。不同的系机器。不同的系统统平台都平台都会采取某些方法可以防止一些特殊的用会采取某些方法可以防止一些特殊的用户户来占用来占用过过多的系多的系统统资资源，我源，我们们也建也建议议尽量采用尽量采用资资源管理的方式来减源管理的方式来减轻这轻这种安全种安全威威胁胁。还还有一种情况是有一种情况是由磁由磁盘盘存存储储空空间间引起引起的。假如一个用的。假如一个用户户

15、有有权权利存利存储储大量的文件的大量的文件的话话，他就有可能只，他就有可能只为为系系统统留下很小留下很小的空的空间间用来存用来存储储日志文件等系日志文件等系统统信息。信息。这这是一种不良的操作是一种不良的操作习惯习惯，会，会给给系系统带统带来来隐隐患。患。这这种情况下种情况下应该对应该对系系统统配配额额作出作出考考虑虑。拒绝服务攻击（拒绝服务攻击（DoS）SYN（我可以连接吗？）我可以连接吗？）攻击者攻击者受害者受害者伪造地址进行网络连接请求伪造地址进行网络连接请求为何还为何还没回应没回应就是让就是让你白等你白等虚假地址虚假地址回复信息回复信息服务器等待回传信息服务器等待回传信息拒绝服务攻击的

16、种类拒绝服务攻击的种类l发送大量的无用请求，致使目标网络系统整发送大量的无用请求，致使目标网络系统整体的网络性能大大降低，丧失与外界通信的体的网络性能大大降低，丧失与外界通信的能力。能力。l利用网络服务以及网络协议的某些特性，发利用网络服务以及网络协议的某些特性，发送超出目标主机处理能力的服务请求，导致送超出目标主机处理能力的服务请求，导致目标主机丧失对其他正常服务请求的相应能目标主机丧失对其他正常服务请求的相应能力。力。l利用系统或应用软件上的漏洞或缺陷，发送利用系统或应用软件上的漏洞或缺陷，发送经过特殊构造的数据包，导致目标的瘫痪经过特殊构造的数据包，导致目标的瘫痪（称之为（称之为nuke

17、nuke)利用系统缺陷攻击利用系统缺陷攻击利用系统缺陷攻击利用系统缺陷攻击1)1)OOBOOBOOBOOB攻击攻击攻击攻击2)2)耗尽连接攻击耗尽连接攻击耗尽连接攻击耗尽连接攻击利用放大原理利用放大原理利用放大原理利用放大原理1)1)SmurfSmurfSmurfSmurf攻击攻击攻击攻击2)2)利用放大系统攻击利用放大系统攻击利用放大系统攻击利用放大系统攻击分布式拒绝服务攻击分布式拒绝服务攻击分布式拒绝服务攻击分布式拒绝服务攻击DDoSDDoSDDoSDDoS拒绝服务攻击（拒绝服务攻击（DoS）1.1.OOBOOB攻击（攻击（攻击（攻击（Out of BandOut of Band）原理：原

18、理：原理：原理：攻击者是利用攻击者是利用攻击者是利用攻击者是利用WindowsWindows下微软网络协定下微软网络协定下微软网络协定下微软网络协定NetBIOSNetBIOS的一的一的一的一个例外处理程序个例外处理程序个例外处理程序个例外处理程序OOBOOB（Out of BandOut of Band）的漏洞。只要有人的漏洞。只要有人的漏洞。只要有人的漏洞。只要有人以以以以OOBOOB的方式，通过的方式，通过的方式，通过的方式，通过TCP/IPTCP/IP传递一个小小的包到某个传递一个小小的包到某个传递一个小小的包到某个传递一个小小的包到某个IPIP地地地地址的某个开放的受端上（一般为址的

19、某个开放的受端上（一般为址的某个开放的受端上（一般为址的某个开放的受端上（一般为139139）。）。）。）。对象：使没有防护或修订的对象：使没有防护或修订的对象：使没有防护或修订的对象：使没有防护或修订的win95/ntwin95/nt系统瞬间当机。系统瞬间当机。系统瞬间当机。系统瞬间当机。工具：工具：工具：工具：SspingSsping、Teardrop(Teardrop(泪滴泪滴泪滴泪滴)、Trin00Trin00、Targe3Targe3这些攻击都是利用系统的漏洞，因此补救的办法是升级或下这些攻击都是利用系统的漏洞，因此补救的办法是升级或下这些攻击都是利用系统的漏洞，因此补救的办法是升级

20、或下这些攻击都是利用系统的漏洞，因此补救的办法是升级或下载补丁载补丁载补丁载补丁 对策对策对策对策拒绝服务攻击（拒绝服务攻击（DoS）2.2.耗尽连接攻读耗尽连接攻读耗尽连接攻读耗尽连接攻读vvLANDLAND攻击：攻击：攻击：攻击：向被攻击者发送一个个源地址和目标地址都向被攻击者发送一个个源地址和目标地址都向被攻击者发送一个个源地址和目标地址都向被攻击者发送一个个源地址和目标地址都被设置成为被攻击者的地址的被设置成为被攻击者的地址的被设置成为被攻击者的地址的被设置成为被攻击者的地址的SYNSYN包，导致被攻击者自己与包，导致被攻击者自己与包，导致被攻击者自己与包，导致被攻击者自己与自己建立一

21、个空连接，直到超时。自己建立一个空连接，直到超时。自己建立一个空连接，直到超时。自己建立一个空连接，直到超时。vvTCP/SYNTCP/SYN攻击攻击攻击攻击：攻击者向目标主机不断发送带有虚假源攻击者向目标主机不断发送带有虚假源攻击者向目标主机不断发送带有虚假源攻击者向目标主机不断发送带有虚假源地址的地址的地址的地址的SYNSYN包，目标主机发送包，目标主机发送包，目标主机发送包，目标主机发送ACK/SYNACK/SYN回应，因为源地址回应，因为源地址回应，因为源地址回应，因为源地址是虚假的，所以不会收到是虚假的，所以不会收到是虚假的，所以不会收到是虚假的，所以不会收到ACKACK回应，导致耗

22、费大量资源等回应，导致耗费大量资源等回应，导致耗费大量资源等回应，导致耗费大量资源等待待待待ACKACK上，直止系统资源耗尽。上，直止系统资源耗尽。上，直止系统资源耗尽。上，直止系统资源耗尽。这些攻击都是利用系统的漏洞，因此补救的办法是升级或下这些攻击都是利用系统的漏洞，因此补救的办法是升级或下这些攻击都是利用系统的漏洞，因此补救的办法是升级或下这些攻击都是利用系统的漏洞，因此补救的办法是升级或下载补丁载补丁载补丁载补丁 对策对策对策对策拒绝服务攻击（拒绝服务攻击（DoS）拒绝服务攻击拒绝服务攻击SynFloodl正常的正常的TCP/IPTCP/IP三次握三次握手手lSynFloodSynFl

23、ood攻击攻击 服服务务器器 客客户户端端SYNSYN+ACKACK握手完成，开始传送数握手完成，开始传送数据，系统消耗很少据，系统消耗很少被被攻攻击击主主机机 攻攻击击主主机机伪造源地址伪造源地址不不存存在在的的主主机机不断重试及不断重试及等待，消耗等待，消耗系统资源系统资源不响应不响应SYNSYN+ACKSynFlood的防御对策的防御对策l重新设置一些重新设置一些TCP/IPTCP/IP协议参数协议参数增加增加增加增加TCPTCPTCPTCP监听套解字未完成连接队列的最大长度监听套解字未完成连接队列的最大长度监听套解字未完成连接队列的最大长度监听套解字未完成连接队列的最大长度减少未完成连

24、接队列的超时等待时间减少未完成连接队列的超时等待时间减少未完成连接队列的超时等待时间减少未完成连接队列的超时等待时间类似于类似于类似于类似于SYN CookiesSYN CookiesSYN CookiesSYN Cookies的特殊措施的特殊措施的特殊措施的特殊措施l选择高性能的防火墙选择高性能的防火墙SYN ThresholdSYN ThresholdSYN ThresholdSYN Threshold类类类类SYN DefenderSYN DefenderSYN DefenderSYN Defender类类类类SYN ProxySYN ProxySYN ProxySYN Proxy类类类

25、类SmurfSmurfSmurfSmurf攻击攻击攻击攻击攻击者攻击者用广播的方式发送回复地址为受害者地址的用广播的方式发送回复地址为受害者地址的ICMP(ICMP(网际控网际控制报文协议制报文协议)请求数据包，每个收到这个数据包的主机都进行回请求数据包，每个收到这个数据包的主机都进行回应，大量的回复数据包发给受害者，导致受害主机崩溃。应，大量的回复数据包发给受害者，导致受害主机崩溃。S S S Sm m m mu u u ur r r rf f f f攻攻攻攻击击击击原原原原理理理理拒绝服务攻击（拒绝服务攻击（DoS）利用放大系统攻击利用放大系统攻击利用放大系统攻击利用放大系统攻击某些类型的

26、操作系统，在一定情况下，对一个请求所返某些类型的操作系统，在一定情况下，对一个请求所返某些类型的操作系统，在一定情况下，对一个请求所返某些类型的操作系统，在一定情况下，对一个请求所返回的信息比请求信息量大几十倍（如回的信息比请求信息量大几十倍（如回的信息比请求信息量大几十倍（如回的信息比请求信息量大几十倍（如MacintoshMacintoshMacintoshMacintosh），），），），攻击者伪攻击者伪攻击者伪攻击者伪装成目标主机进行请求，导致大量数据流发向目标主机，加装成目标主机进行请求，导致大量数据流发向目标主机，加装成目标主机进行请求，导致大量数据流发向目标主机，加装成目标主机进

27、行请求，导致大量数据流发向目标主机，加重了攻击效果。重了攻击效果。重了攻击效果。重了攻击效果。拒绝服务攻击（拒绝服务攻击（DoS）DoS攻击技术DDoS技术DDoS攻击手段是在传统的攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。攻击基础之上产生的一类攻击方式。单单一的一的DoS攻击一般是采用一对一方式的攻击一般是采用一对一方式的，DDoS就是利用更多的就是利用更多的傀儡机傀儡机来发起进攻，以比从前更大的规模来进攻受害者。来发起进攻，以比从前更大的规模来进攻受害者。DDoS分布式拒绝服务攻击分布式拒绝服务攻击lDDoSDDoS是是DoSDoS攻击的延伸，威力巨大，具体攻击攻击的延伸，威

28、力巨大，具体攻击方式多种多样。方式多种多样。l分布式拒绝服务攻击就是利用一些自动化或分布式拒绝服务攻击就是利用一些自动化或半自动化的程序控制许多分布在各个地方的半自动化的程序控制许多分布在各个地方的主机同时拒绝服务攻击同一目标主机同时拒绝服务攻击同一目标 。l攻击一般会采用攻击一般会采用IPIP地址欺骗技术，隐藏自己地址欺骗技术，隐藏自己的的IPIP地址，所以很难追查。地址，所以很难追查。分布式拒绝服务攻击分布式拒绝服务攻击分布式拒绝服务攻击分布式拒绝服务攻击 DDoS一个一个一个一个DDoSDDoSDDoSDDoS攻击体系分成四大部分，第攻击体系分成四大部分，第攻击体系分成四大部分，第攻击体

29、系分成四大部分，第2 2 2 2和第和第和第和第3 3 3 3部分分别用作控制和实际部分分别用作控制和实际部分分别用作控制和实际部分分别用作控制和实际发起攻击，对第发起攻击，对第发起攻击，对第发起攻击，对第4 4 4 4部分的受害者来说，部分的受害者来说，部分的受害者来说，部分的受害者来说，DDoSDDoSDDoSDDoS的实际攻击包是从第的实际攻击包是从第的实际攻击包是从第的实际攻击包是从第3 3 3 3部分攻击部分攻击部分攻击部分攻击傀儡机上发出的，第傀儡机上发出的，第傀儡机上发出的，第傀儡机上发出的，第2 2 2 2部分的控制机只发布命令而不参与实际的攻击。对部分的控制机只发布命令而不参

30、与实际的攻击。对部分的控制机只发布命令而不参与实际的攻击。对部分的控制机只发布命令而不参与实际的攻击。对第第第第2 2 2 2和第和第和第和第3 3 3 3部分计算机，黑客有控制权或者是部分的控制权，并把相应的部分计算机，黑客有控制权或者是部分的控制权，并把相应的部分计算机，黑客有控制权或者是部分的控制权，并把相应的部分计算机，黑客有控制权或者是部分的控制权，并把相应的DDoSDDoSDDoSDDoS程序上传到这些平台上，这些程序与正常的程序一样运行并等待来自程序上传到这些平台上，这些程序与正常的程序一样运行并等待来自程序上传到这些平台上，这些程序与正常的程序一样运行并等待来自程序上传到这些平

31、台上，这些程序与正常的程序一样运行并等待来自黑客的指令，通常它还会利用各种手段隐藏自己不被别人发现。黑客的指令，通常它还会利用各种手段隐藏自己不被别人发现。黑客的指令，通常它还会利用各种手段隐藏自己不被别人发现。黑客的指令，通常它还会利用各种手段隐藏自己不被别人发现。D D D DD D D Do o o oS S S S攻攻攻攻击击击击原原原原理理理理分布式拒绝服务攻击防御对策分布式拒绝服务攻击防御对策l对于分布式攻击，目前仍无非常有效的方法对于分布式攻击，目前仍无非常有效的方法来防御来防御l基本的防御对策基本的防御对策做好各种基本的拒绝服务攻击防御措施，打好补做好各种基本的拒绝服务攻击防御

32、措施，打好补做好各种基本的拒绝服务攻击防御措施，打好补做好各种基本的拒绝服务攻击防御措施，打好补丁；丁；丁；丁；联系联系联系联系ISPISP对主干路由器进行限流措施；对主干路由器进行限流措施；对主干路由器进行限流措施；对主干路由器进行限流措施；利用各种安全防御系统进行辅助记录工作。利用各种安全防御系统进行辅助记录工作。利用各种安全防御系统进行辅助记录工作。利用各种安全防御系统进行辅助记录工作。使用软件来帮助管理员搜索使用软件来帮助管理员搜索使用软件来帮助管理员搜索使用软件来帮助管理员搜索ddosddosddosddos客户端客户端客户端客户端lfind_find_ddosddoslZombie

33、ZapperZombieZapperlddospingddosping系系统统脆弱性分析脆弱性分析 4 4 DNSDNS的安全性的安全性对对DNSDNS服服务务器的攻器的攻击击主要有三种方法：地址欺主要有三种方法：地址欺骗骗、远远程漏程漏洞入侵和拒洞入侵和拒绝绝服服务务。1 1）地址欺）地址欺骗骗。地址欺。地址欺骗骗攻攻击击利用了利用了RFCRFC标标准准协议协议中的某些中的某些不完善的地方，达到修改域名指向的目的。不完善的地方，达到修改域名指向的目的。2 2）远远程漏洞入侵。程漏洞入侵。BINDBIND服服务务器器软软件的件的许许多版本存在多版本存在缓缓冲冲区溢出漏洞，黑客可以利用区溢出漏洞

34、，黑客可以利用这这些漏洞些漏洞远远程入侵程入侵BINDBIND服服务务器所器所在的主机，并以在的主机，并以rootroot身份身份执执行任意命令。行任意命令。3 3）拒）拒绝绝服服务务。一种攻。一种攻击针对击针对DNSDNS服服务务器器软软件本身件本身；另一种另一种攻攻击击的目的目标标不是不是DNSDNS服服务务器，而是利用器，而是利用DNSDNS服服务务器作器作为为中中间间的的“攻攻击击放大器放大器”，去攻，去攻击击其他其他InternetInternet上的主机上的主机。系系统统脆弱性分析脆弱性分析 5 5 FTPFTP协议协议漏洞分析漏洞分析 1 1）FTPFTP反反弹弹(FTP Bou

35、nce)FTP Bounce)。FTPFTP的代理服务特性，形成的代理服务特性，形成FTPFTP反弹漏洞。反弹漏洞。2 2）有限制的）有限制的访问访问(Restricted Access)Restricted Access)。可能形成可能形成控制控制连连接接是可是可信任的，而数据信任的，而数据连连接却不是。接却不是。3 3）保保护护密密码码(Protecting Protecting Passwords)Passwords)。漏漏洞洞：在在FTPFTP标标准准 PR85PR85中中，FTPFTP服服务务器器允允许许无无限限次次输输入入密密码码；“PASSPASS”命命令以明文令以明文传传送密送

36、密码码。4 4）端端口口盗盗用用(PortPort SteaUngSteaUng)。漏漏洞洞：当当使使用用操操作作系系统统相相关的方法分配端口号关的方法分配端口号时时，通常都是按增序分配。，通常都是按增序分配。系系统统脆弱性分析脆弱性分析 6 6 后门（后门（backdoorbackdoor）后后门门通常是一个服通常是一个服务务端程序，它可能由黑客端程序，它可能由黑客编编写，被写，被恶恶意攻意攻击击者通者通过过一定手段放在目一定手段放在目标标主机上以达到非法目的；也主机上以达到非法目的；也可能是目可能是目标标主机正在运行的授主机正在运行的授权应权应用用软软件，其本身具有可被件，其本身具有可被攻

37、攻击击者利用的特性。更形象地者利用的特性。更形象地说说，第一种情况是小，第一种情况是小偷偷趁主人趁主人度假期度假期间间，在房主院子后面，在房主院子后面为为自己打造了一个后自己打造了一个后门门，并稍加，并稍加装装饰饰，使人，使人轻轻易易发现发现不了他的杰作；第二种情况可能是主人不了他的杰作；第二种情况可能是主人为为了方便，本来就在院子后面留有一了方便，本来就在院子后面留有一门门，但由于疏忽竟然忘，但由于疏忽竟然忘了上了上锁锁，这这就就给给小小偷偷以可乘之机。当然，在第一种情况下，以可乘之机。当然，在第一种情况下，若小若小偷偷在主人眼皮底下开工，自然需要更高超的技在主人眼皮底下开工，自然需要更高超

38、的技术术，通常，通常人人们们所所说说的特洛伊木的特洛伊木马马就是就是这这种情况。种情况。很多网管软件也有类似的功能很多网管软件也有类似的功能，若被误用或滥用，后果，若被误用或滥用，后果会非常严重。会非常严重。漏洞扫描工具漏洞扫描工具lX-ScanX-Scan国人自主开发，完全免费国人自主开发，完全免费国人自主开发，完全免费国人自主开发，完全免费视频：视频：X-SCAN的使用的使用.wmv采用多线程方式对指定采用多线程方式对指定IPIP地址段地址段(或或单机单机)进行安全漏洞检测，支持插件进行安全漏洞检测，支持插件功能。扫描内容包括：远程服务类功能。扫描内容包括：远程服务类型、操作系统类型及版本

39、，各种弱型、操作系统类型及版本，各种弱口令漏洞、后门、应用服务漏洞、口令漏洞、后门、应用服务漏洞、网络设备漏洞、拒绝服务漏洞等二网络设备漏洞、拒绝服务漏洞等二十几个大类。对于多数已知漏洞，十几个大类。对于多数已知漏洞，给出了相应的漏洞描述、解决方案给出了相应的漏洞描述、解决方案及详细描述链接及详细描述链接详见：详见：X-SCAN使用教程使用教程.docSSS（Shadow Security Scanner）Retina Network Security ScannerLANguard Network Security ScannerDOS攻击实验攻击实验l完成实验五：完成实验五：网络端口扫描及网络端口扫描及DOSDOS攻击实验攻击实验3漏洞攻击的防范l防范利用漏洞攻击的最佳方式就是预先打好补丁，只要系统漏洞修复能和安全组织公布的漏洞信息以及厂商的补丁同步，网络内机器受攻击的可能性就越小，安全系数就越高。l除了升级的方法外，一些工具软件这些软件一般定向保护系统的应用程序，针对“对外服务”漏洞的较少。