安全漏洞挖掘与防护课件：网络攻击与防御.ppt

提纲常见的网络攻击方法网络攻击方法概述信息收集网络监听ARP欺骗IP欺骗Email欺骗Web欺骗漏洞攻击和口令攻击缓冲区溢出DoS攻击和DDoS攻击口令攻击的方法与类型口令攻击分类本地口令猜解远程口令猜测应用程序口令猜解操作系统口令猜解主动攻击被动攻击欺骗攻击钓鱼攻击Phishing=FishingPhone黑客始祖起初是以电话作案，所以用“Ph”来取代“F”，创造了”Phishing”通过攻陷的网站服务器钓鱼通过端口重定向钓鱼通过伪装的网站钓鱼钓鱼攻击2004年7月联想集团和腾讯公司联合赠送QQ币首放证券网站×√嗅探攻击主机A：您的主机FTP服务器主机B：安装了“窃听程序”的主机？Username？Passwordstudent#Ygfi15ghr89!@#Username：studentPassword：#Ygfi15ghr89!@#如果主机B处于主机A和FTP通信的信道上，就可以“窃听到”合法的用户名及口令GETUser：studentPwd：#Ygfi15ghr89!@#IP欺骗攻击IP欺骗就是伪造数据包源IP地址的攻击。它基于两个前提：1）TCP/IP网络在路由数据包时，不对源IP地址进行判断——可以伪造待发送数据包的源IP地址；2）主机之间有信任关系存在——存在基于IP地址的认证，不再需要用户帐号和口令。信任关系 在现实中投入应用的IPspoof一般被用于有信任关系的服务器之间的欺骗。在hosta和hostb上Tomy的home目录中创建.rhosts文件，使用任何以r开头的远程调用命令（如rlogin、rsh、rcp等）而无需口令验证既然hosta和hostb之间的信任关系是基于IP址而建立起来的，那么假如能够冒充hostb的IP，就可以远程登录到hosta。IP欺骗攻击IP欺骗的形式单向IP欺骗：不考虑回传的数据包双向IP欺骗：要求看到回传的数据包更高级的欺骗：TCP会话劫持单向IP欺骗双向IP欺骗会话劫持欺骗和劫持欺骗是伪装成合法用户，以获得一定的利益劫持是积极主动地使一个在线的用户下线，或者冒充这个用户发送消息，以便达到自己的目的会话劫持分两种被动劫持，实际上就是藏在后面监听所有的会话流量。常常用来发现密码或者其他敏感信息主动劫持，找到当前活动的会话，并且把会话接管过来。迫使一方下线，由劫持者取而代之，危害更大，因为攻击者接管了一个合法的会话之后，可以做许多危害性更大的事情会话劫持示意图被劫持者A服务器B1A远程登录，建立会话，完成认证过程攻击者H2监听流量3劫持会话4迫使A下线TCP三次握手过程SYN包,C的序列号ClientSYN+ACK包,S序列号,C应答号ServerACK包,S的应答号?源端口(1024高端口)?目的端口(1024熟知?源IP地址(寻址只关心端口，表明Server上目的IP，不认证源IP地提供的服务)址，可能是“假”地址)?目的IP地址(提供服务假冒另一主机IP地址的服务器的IP地址)IP协议IP报文格式选项（0或更多）目的地址源地址头校验和协议生命期分段偏移MFDF标识总长服务类型IHL版本32比特TCP协议数据（可选项）可选项（0或更多）紧急指针校验和窗口大小FINSYNRSTPSHACKURGTCP头长确认号顺序号目的端口源端口32比特TCP报文格式TCP三步握手建立连接SYNxSYNy,ACKx+1ACKy+1Open主机A主机BTCP释放连接FINmACKm+1ACKn+1发送方接收方FINn会话劫持攻击的基本步骤发现攻击目标确认动态会话猜测序列号 关键一步，技术难点使被冒充主机下线 伪造FIN包，拒绝服务攻击接管会话进行会话劫持的工具Juggernaut可以进行TCP会话攻击的网络sniffer程序Hunt功能与Juggernaut类似TTYWatcher免费程序，