網(wǎng)絡攻擊種類
lSSN1009-3044E—mail:info@cccc.net.caComputerKnowledgeAndTechnology電誓知識與技術http:l/www.dnzs.net.cnTeh+8
lSSN1009-3044E—mail:info@cccc.net.caComputerKnowledgeAndTechnology電誓知識與技術http:l/www.dnzs.net.cn
Teh+86-55l一56909635690964V01.4,No.2,October2008,PP.363—365
網(wǎng)絡攻擊種類
曹今鋒
(廣州市統(tǒng)計局計算中心,廣東廣州510030)
摘要:該文詳細分析了計算機網(wǎng)絡攻擊的種類,希望對維護計算機網(wǎng)絡的安全人員有所幫助。
關鍵詞:DDoS;攻擊;網(wǎng)絡;安全
中圖分類號:TP393
NetworkAttackType
Z.ENGLing—zheng文獻標識碼:A文章編號:1009—3044(2∞8)29.0363-03
(DataProcessingCenter,GuangzhouStatisticsBureau,Guangzhou510030,China)
Abstract:Tbisarticlemultianalysis
networkhaSthehelp.
Keywords:hackem;DoS;DDoS;guardcomputernetworkhasattackedthetype,hopedtOthesecuritypemonnelwhomaintainsthecomputer
l引言
隨著Internet在全球的發(fā)展.黑客的活動也日趨活躍,大有方興未艾之勢。其動向有以下幾個特點:
組織越來越擴大化:早期的黑客雖然也有些是有組織的,全規(guī)模不大。,現(xiàn)在跨地Ⅸ,跨國.界的大型黑客組織己經(jīng)出現(xiàn)。在Intemet網(wǎng)匕還有許多黑客的專題討論組,并有不斷擴大之勢。
行動越來越公開化:包括召開會議,舉辦競賽,編寫教材等。例如2002年7月12口至14日,來自世界各國的2000名國際黑客云集紐約。舉行r迄今為止規(guī)模最大的全球黑客大會。并且拋出一款全新的軟件作為宣戰(zhàn)的工具,在此次黑客大會上,黑客們公布的一項計劃引起了全球矚目,那就是眾黑客以不滿網(wǎng)絡安全檢查為幽宣布將對全球20多個進行網(wǎng)絡檢查的圍家開戰(zhàn)。
案件越來越頻繁化:權威機構調查顯示計算機攻擊事件IE在以年64%的速度增加。另據(jù)統(tǒng)計數(shù)字顯示,至2002年年末,黑客事件平均每天發(fā)生614次。比2()02年年初提高20.2%。
情況越來越復雜化:無論人們對于黑客的功過如何評說,黑客的成分背景H益復雜。彳亍為動機各有不同,這是客觀事實,對此己經(jīng)不是用“好人、好事”還是“壞人、壞事”所能簡單概括。正義、非正義,侵入、反饅人的斗急錯綜復雜,種矛扣跡象表明,有朝一目在網(wǎng)上爆發(fā)一場帶界黑客大戰(zhàn)片非天方夜譚。
2入侵系統(tǒng)攻擊、
入侵系統(tǒng)的攻擊首先需要收集目標系統(tǒng)的有關信息(如運行的操用系統(tǒng)版本、開放的端口等),通過信息的收集,獲取系統(tǒng)的控制權。獲取信息通過常規(guī)的網(wǎng)絡探測命令可以獲取一些對攻擊有用的信息,女|lPING命令判斷計算機是否開著,或者計算數(shù)據(jù)包從發(fā)送劍返回需要多少時間:通過Tracert/Tracerout命令跟蹤從一臺計算機到另外一臺計算機所走的路徑.。用Finger和Rusem命令收集用戶信息;使用Host或Nslookup命令,再結合Whois和Finger命令獲到主機、操作系統(tǒng)和用戶的信息;甚躉町以直接使用命令攻擊。2.1口令攻擊
攻擊者通過第一階段的信息收集。獲取了目標系統(tǒng)上的用戶名、開放服務,操用系統(tǒng)的類型等關鍵信息,下面就開始實施入侵的核心環(huán)節(jié)——獲取口令。
11口令暴力攻擊
由于有些操用系統(tǒng)不能在數(shù)次登錄失敗后自動關閉賬號,因此有些黑客把人們常用來做口令的單詞制作成詞典,通過計算機程序一個個試探,或把英文字母、數(shù)字組合后進行試探。
21竊?。蹋绷钗募蠼饷?/p>
老版本的Unix沒有Shadow文件,全部口令都存在Passwd文件中,新版本的Unix中,用戶基本信息存放在Passwd文件中,而所有口令以過DES加密后存放存Shadow文件中,并處于嚴密保護之下。-一旦黑客獲取這兩個文件。黑客就可以使用些窮舉測試程序破譯用戶口令。
2.2漏洞攻擊
當采用直接口令攻擊失敗后,攻擊者會開始尋找系統(tǒng)的安全漏洞,有些漏洞是系統(tǒng)設計編程的疏忽,有些足管理員配置不當引起的。這些漏洞在系統(tǒng)被大量使用后會逐漸暴露出來,如果管理員不及時F載補r,更改配置,就會給攻擊者可乘之機。
11利用CGI漏洞進行攻擊
有些CGI程序只是簡單地進行傳遞,不對內容進行過濾,攻擊者就可能通過頁面提交帶危險指令的腳本代碼給機器去執(zhí)行,有些CGI能夠過濾一些特征數(shù)據(jù),但是有蝗攻擊者故意制用一些混亂的字符串犏過檢測,甚至有些管理員將CGI所在的目錄設置為可寫的.攻擊者不僅可以修改替換頁面。而且也可以通過新腳本為所欲為。
對策:嚴格設置CGI腳本權限,采有安全的CGI。
2)F1甲銣議漏洞攻擊
收稿日期:2008—06-12
作者簡介:曾令錚,男。廣東廣州人,計算機助理工程師,研究方向:局域網(wǎng)的安全。
本欄目責任編輯:馮蕾??-?-?-?阿絡疊訊及安全--363

萬方數(shù)據(jù)
,ComputerKnowledgeAndTechnology電■知識與技術2008年第4卷第2期(總第29期l
胛P協(xié)議漏洞之一在于對使用的端口號沒有任何限制,用戶可以使用代P提供給其他服務的任意端口。這就使攻擊者得以利用FrP攻擊其他服務。
FW脅議的第二個漏洞是,PTP標準允許無限次輸入密碼,如些以來攻擊者就可以使用口令暴力攻擊。防范措施是建議服務器限制嘗試輸入正確指令的次數(shù)。另外,一次登錄失敗后應暫停幾秒來削減暴力攻擊的有效性。
F"的第j個漏漏是分配端口號時通常按增序分配,攻擊者可以預先占領端口,讓合法用戶無法分配到端口或趁機竊取信息等。
對策:tL系統(tǒng)改為使用隨機分配端rJ號的方法。
31服務程序漏洞攻擊
一螳常見的WWW或FrIP服務端程序在設汁一|:也被發(fā)現(xiàn)存在安全漏洞,也必須經(jīng)常注意升版本或下載補丁。
姬IIS4.0和5.0中柱Unieode字符孵碼的實現(xiàn)中存在安全漏洞:當IIS打開文件時。如果文件名包含Unieode字符,它會對其解碼。導致攻擊暫在文件名中加入的指令可以執(zhí)行。
4)緩沖區(qū)溢出攻擊
緩沖區(qū)溢出的形成非常簡單.如在C語言中.下面的程序將造成緩沖區(qū)溢出:
bufferflOl;
strew(buffer,str);
只要str的長度大于10,就會溢出,普通的緩沖區(qū)溢出并不會產(chǎn)全安全問題,只有將溢出送到能夠以root權限運行命令的區(qū)域才會產(chǎn)生危害,最常見的方法是在溢出區(qū)域運行一個sheⅡ,再通過Shell執(zhí)行其他的命令。
2.3包劫持和會話劫持攻擊char
由于很多協(xié)議沒有采用任何加密或身份認證技術,比如Telnet、丌P、SMTP等協(xié)議,用戶賬戶、密碼等鄙是以明文方式傳輸?shù)模绻粽呃冒厝。撸劬?,就可能獲得用戶賬戶密碼等信息;更有甚者,在共享的網(wǎng)段中.A、B站點閘正常通信,被攻擊者(:截獲后,C有可能冒充接替B同A繼續(xù)會話,或冒充B發(fā)出FIN數(shù)據(jù)包,釋放rA、B間的鏈接。
2.4域名劫持攻擊
攻擊者首先獲得域名擁有者注冊域名時用的郵件賬戶,再冒充擁有者發(fā)送域名變更信息到域名注冊管理公司.讓原域名指向另一個自已已經(jīng)擰制的服務器,然后阿冒允域名擁有者進行確認,這樣在互聯(lián)剛上.原來的服務器就被虛假的服務器所取代r,在獲取郵件賬戶時,小排除使用密碼暴力猜測或對該賬戶所在的郵件服務器進行入侵攻擊。這種行為就像有人拿著你的身份證.變更了你的銀行賬戶一樣。
2.5迂回攻擊
如果服務器難以直接攻破,攻擊者可能采用迂回的策略,通過Finger等工具,跟蹤管理員的活動,找出管理員經(jīng)常使用的管理工作站。然后侄這臺機器L放置木馬。竊取管理員密碼,再攻擊服務器。
2.6IP欺騙攻擊
這種攻擊方式主要應用于【P協(xié)議傳送的報文中。它儀適用于少數(shù)幾種平臺。所渭IP欺騙.就是偽造他人的源IP地址。其實質就是讓一臺機器來扮演另一臺機器,以達到蒙混過關的目的。
2.7拒絕服務攻擊
拒絕服務攻擊大多是由于錯誤配置或者軟件弱點導致的。某些DoS攻擊足由丁:開發(fā)協(xié)議固有的缺陷導致的,某些DoS攻擊可以通過簡單的補.r來解決,還有一些導致攻擊的系統(tǒng)缺陷很雉被彌補=
根據(jù)其攻擊的手法和目的不同,有兩種不同的存在形式:一種是以消耗目標主機的可用資源為目的,使目標服務器忙于應付大星的非法的,無用的連接請求,占用了服務器所有的資源,造成服務器對正常的請求無法再做出及時響應。從而形成事實上的服務E|,斷.這也是最常見的拒絕服務攻擊彤式;另一種拒絕服務攻擊是以消耗服務器連路的有效帶寬為目的。攻擊者通過發(fā)送大量的有用或無用數(shù)據(jù)包,將整條鏈路帶寬全部占用。從而使合法用戶請求無法通過鏈路到達服務器.服務器對部分合法請求的回應也無法返回用戶,造成服務中斷。
以下的麗種情況最容易導致拒絕服務攻擊:
1)由于程序員對程序錯誤的編制,導致系統(tǒng)不停的建立進程,最終耗盡資源,只能重新肩動機器。不同的系統(tǒng)平臺都會采取某些方法可以防止一些特殊的用戶來占用過多的系統(tǒng)資源,我們也建議盡量采用資源管理的方式來減輕這種安全威脅。
2)還有一種情況是南磁盤存儲空間引起的。假如一個用戶有權利存儲夫鼉的文件的話.他就有可能只為系統(tǒng)留下很小的空間用來存儲日志文件等系統(tǒng)信息。這是一種不良的操作習慣,會給系統(tǒng)帶束隱患。這種情況F應該對系統(tǒng)配額作f【j考慮。
3DoS攻擊原理上來分大體分為以下幾類:
3.1利用系統(tǒng)缺陷
因為有些系統(tǒng)在設計時未把惡意攻擊的因素考慮在內,攻擊者通常給端口發(fā)送一些故意弄錯的數(shù)據(jù)包.把這個數(shù)據(jù)包的偏移字段和長度字段寫人一個過大或過小的值,使主機無法處理,從而導致系統(tǒng)重啟或停機。
對策:這螳攻擊都是利用系統(tǒng)的漏洞,岡些補救的辦法是及時升級或下載補丁。
3.2利用放大原理
Smurf攻擊是以最初發(fā)動這種攻擊的程序名Smurf來命名的。指通過將回復地址設置成受害者的地址.用廣播的方式發(fā)送ICMP請求數(shù)據(jù)包,每個收到這個數(shù)據(jù)包的主機都進行而I應,大量的回復數(shù)據(jù)包發(fā)給受害者,導致受害主機崩潰。
某嶼類型的操作系統(tǒng),在一定情況下,對一個請求所返回的信息比請求信息量大幾十倍,攻擊者偽裝成目標主機進行請求。導致大黽數(shù)據(jù)流發(fā)向目標主機,加重了攻擊效果。
3.3分布式拒絕服務攻擊DDoS
拒絕服務攻擊中引人的一個新概念,它利用攻擊者已經(jīng)入侵并控制的主機,對某一單機發(fā)起攻擊。在懸殊的帶寬力量對比下,被攻擊的主機會很快失去反應。這種攻擊方式被證實是非常有效的,而且非常難以抵擋。一般的人難以順利實現(xiàn)這螳攻擊.因為攻本欄目責任編輯:馮蕾

萬方數(shù)據(jù)
,曾令錚:網(wǎng)絡攻擊種類
擊學必順已經(jīng)入侵并控制一批網(wǎng)上主機,然后在這些機器上裝上并運行分布端的攻擊守護進程。
常見的基于網(wǎng)絡的拒絕服務攻擊:
I)Smutf(directedbroadcast)
廣播信息町以通過一定的手段(通過廣播地址或其他機制)發(fā)送到整個網(wǎng)絡巾的機器:當某臺機器使用廣播地址發(fā)送一個ICMPecho請求包時(例如PING),一些系統(tǒng)會回應一個ICMPecho網(wǎng)應包,也就是說,發(fā)送一一個包會收到許多的響應包。Smurf攻擊就是使用這個原理來進行的,當然,它還需?個假冒的源地址。也就是說在網(wǎng)絡巾發(fā)送源地址為要攻擊毛機的地址,目的地址為廣播地址的包,會使許多的系統(tǒng)響應發(fā)送大量的信息給被攻擊主機。
2)7FCP—SYNflood
當用戶進行一次標準的TCP連接時,會有一個3次握手過程。首先是請求服務方發(fā)送一個SYN消息.服務方收到SYN后。會向請求方廬I送一個SYN—ACK表示確認,當請求方收到SYN~ACK后,再次向服務方發(fā)送一個ACK消息,這樣,一次TCP連接建立成功。但是’FCP—SYNflood存實現(xiàn)過程中只迸行前2個步驟:當服務方收到清求方的SYN—ACK確認消息后,請求方由于采用源地址欺騙等手段使得服務方收不到ACK回應,于是,服務方會狂一定時問處于等待接收請求方ACK消息的狀態(tài)。對于某臺服務器來說.可用的TCP連接是有限的,如果惡意攻擊方快速連續(xù)地發(fā)送此類連接請求,該服務器可用的TCP連接隊列將很快被阻塞,系統(tǒng)町用資源急劇減少,網(wǎng)絡町用帶寬迅速縮小,長此下去,網(wǎng)絡將無法向用戶提供正常的服務。
3)UDPflood
由t二UDP(用戶數(shù)據(jù)包協(xié)議)在網(wǎng)絡中的應用比較廣泛,基于UDP攻擊種類也較多。如今在Internet卜提供WWW和Mail等服務沒備通常是使用Unix的服務器,它們默認一些被惡意利用的UDP服務.如echo和chargen服務,它會顯示接收到的每一個數(shù)據(jù)包,而原本作為測試功能的ehargen服務會在收到每一個數(shù)據(jù)包時隨機反饋一些字符,如果惡意攻擊者將這2個UDP服務互指,則網(wǎng)絡可用帶寬將很快耗盡。
4結束語
網(wǎng)絡攻擊是一種多環(huán)節(jié),多視角的,它像物質分子的滲透,無孔不入。網(wǎng)絡攻擊經(jīng)常是網(wǎng)絡黑客的惡作劇?,F(xiàn)在已經(jīng)演變?yōu)樯虡I(yè)信息和軍事機密的竊取;戰(zhàn)爭r11對敵方軍事活動的干擾也發(fā)展演變成為現(xiàn)在的信息戰(zhàn)。
因為采取以上對策外,還要安裝防火墻。但對內部網(wǎng)絡來說。防火墻確實起到廠相當大的作用,想要突破它足非常不易的。但是如果對于一臺僅提供WEB服務的主機而言,那么防火墻所起的作用就非常有限。因為既然要對外提供服務,那么就要允許外部的數(shù)據(jù)包進入主機,但這與防火墻本身的保護機制是互相矛盾的。由于無法把潛在的危險集中于一點,所以黑客就有可能攻擊對外提供報務的主機。即使對外部提供的服務本身,就防火墻本身而青也可能存在漏洞,例如著名的FireWaⅡ一l防火墻軟件就已經(jīng)被發(fā)現(xiàn)存在多種漏洞。即使防火墻軟件是完全安全的,如果大意配置不當,那么也會給黑客留下攻擊的縫隙。
參考文獻:
f1】華勇,高健媛,韓臻.嘲絡安全存在問題解決方法的研究fJ].鐵路計算機應用,2002(13.
12】胡小新,E穎,羅旭斌.一種DoS攻擊的防御方案fjI.f}算機工程與應用,2004(i2):160-163
【31陳浩.internet上的網(wǎng)絡攻擊與防范Ⅲ.電信技術,1998(4).。
f41黑客防線[EB/OL|.http://www.hacker.corn.cn.
『51火狐技術聯(lián)盟[EB/OLI.http://www.wrsky.com.
(上接第339頁)
動態(tài)帶寬分配一LcAS功能
在開發(fā)虛級聯(lián)的同時也在開發(fā)動態(tài)帶寬分配功能。該功能通常稱為鏈路容量調
整方案(LCAS)。在SI)H殲銷內交換發(fā)送的信息,以便更改由虛級聯(lián)組(VCG)
使川的從屬終端數(shù)日。從屬終端的數(shù)目可減可增.也可應用由此引發(fā)的帶寬更改,在
出現(xiàn)網(wǎng)絡錯誤時不會丟失數(shù)據(jù)。
LCAS可對提供C分配的帶寬進行進一步il考l整。如果初始帶寬分配只是用于
平均流量而非全峰值帶寬,面平均帶寬使用率在一段時問后會有所更改,此時
可修改分配以反映該更改。
LCAS對于容錯和故障保護也很有用,因為該協(xié)議具有從VCG清除故障鏈路
的能力由于數(shù)據(jù)流在虛級聯(lián)組中的從屬終端上是八位字節(jié)的帶狀流,岡此,在某~
從屬終端出現(xiàn)錯誤而沒有這樣一種機制的情況F,整個數(shù)據(jù)流會在從屬終端出現(xiàn)錯
誤期間也出現(xiàn)錯誤。LCAS協(xié)議提供了一種檢測錯誤從屬終端并自動從組中清除錯
誤終端的機制,VCG在帶寬變小時會終止運行但它仍繼續(xù)傳輸沒有錯誤的數(shù)據(jù)。
以t對DSLAM的傳輸網(wǎng)技術進行了較洋細介紹,DSLAM的傳輸利用MSTP的
L2交換功能.實現(xiàn)DsLAM節(jié)點的IP上行匯聚,利用MS,IP環(huán)網(wǎng),實現(xiàn)傳送業(yè)務的’.
保護。這樣。不但日f以節(jié)約大量的光纖資源和fP交換端口,而且具有SDH保護功
能,從而MSTP網(wǎng)絡設備特性為DSIAM的安全可靠的傳輸提供了保障。圖3參考文獻:
【11吳風修.SDH技術與設備【M】.北京:人民郵電出版社,2(}06.
f21劉光,羅衛(wèi)兵.IP—DSLAM技術在數(shù)字化哨位網(wǎng)絡互聯(lián)中的應用【J】.武警上程學院學報,2007,23(2):23—25.
f3】鄒辰.DSI。AM現(xiàn)狀及其發(fā)展趨勢[J1.光通信研究,2003(2):33—35.
【4】何小玉.DSLAM技術發(fā)展與應h3EJl.電信科學,2004,20(3):25—29.
本欄目責仔編輯:馮蕾7萬方數(shù)據(jù)??-?????胃終囊訊及安全,-365


網(wǎng)絡攻擊種類
作者:
作者單位:
刊名:
英文刊名:
年,卷(期):曾令錚, ZENG Ling-zheng廣州市統(tǒng)計局計算中心,廣東,廣州,510030電腦知識與技術COMPUTER KNOWLEDGE AND TECHNOLOGY2008,4(29)
參考文獻(5條)
1. 火狐技術聯(lián)盟
2. 黑客防線
3. 陳浩 Intemet上的網(wǎng)絡攻擊與防范[期刊論文]-電信技術 1998(04)
4. 胡小新;王穎;羅旭斌 一種DoS攻擊的防御方案[期刊論文]-計算機工程與應用 2004(12)
5. 華勇;高健媛;韓臻 嘲絡安全存在問題解決方法的研究[期刊論文]-鐵路計算機應用 2002(01)
本文鏈接:http://d.g.wanfangdata.com.cn/Periodical_dnzsyjs-itrzyksb200829044.aspx