网络攻击的种类分析及安全防范策略

李 宁

摘 要:网络安全问题已经引起了人们的普遍关注,成为当今网络技术的一个重要研究课题。本文首先概括了网络安全及攻击行为的三个阶段,之后分析了网络攻击的几种手段及其产生的原理,并就其中典型的拒绝服务攻击、同步(SYN)攻击、Web欺骗攻击和TCP/IP欺骗攻击方式进行了探讨,最后就普通用户最常遇到的两种攻击方式做了简要分析。

关键词:网络安全 攻击 欺骗 防范

随着Internet的进一步发展,各种网上活动日益频繁,尤其网上办公、交易越来越普及,使得网络安全问题日益突出,各种各样的网络攻击层出不穷,如何防止网络攻击,为广大用户提供一个安全的网络环境变得尤为重要。

一、网络攻击概述

网络攻击一般分为三个阶段:

第一阶段:获取一个登录账号

对UNLX系统进行攻击的首要目标是设法获取登录账号及口令,攻击者一般先试图获取存在于/etc/passwd或NIS映射中的加密口令文件,得到该口令文件之后,就对其运行Crack,借助于口令字典,Crack甚至可以在几分钟内破译一个账号。

第二阶段:获取根访问权

进入系统后,入侵者就会收集各种信息,寻找系统中的种种漏洞,利用网络本身存在的一些缺陷,设法获取根访问权,例如未加限制的NFS允许根对其读和写。利用NFS协议,客户与服务器的安装守护程序先交换信息,信息交换后,生成对NFS守护程序的请求,客户通过这些请求对服务器上的文件进行读或写操作。因此,当客户机安装文件系统并打开某个文件时,如果入侵者发出适当的UDP数据报,服务器就将处理NFS请求,同时将结果回送客户,如果请求是写操作,入侵者就可以把信息写入服务器中的磁盘。如果是读操作,入侵者就可以利用其设置于服务器和客户机之间的窥探器了解服务器磁盘中的信息,从而获得根访问权。

第三阶段:扩展访问权

一旦入侵者拥有根访问权,则该系统即可被用来供给网络上的其他系统。例如:可以对登录守护程序做修改以便获取口令;增加包窥探仪可获取网络通信口令;利用一些独立软件工具动态地修改UNLX内核,以系统中任何用户的身份截击某个终端及某个连接,获得远程主机的访问权。

二、攻击的种类及其分析

1.拒绝服务攻击

拒绝服务攻击不损坏数据,而是拒绝为用户服务,它往往通过大量不相关的信息来阻断系统或通过向系统发出毁灭性的命令来实现。例如入侵者非法侵入某系统后,可向与之相关连的其他系统发出大量信息,最终导致接收系统过载,造成系统误操作甚至瘫痪。这种供给的主要目的是降低目标服务器的速度,填满可用的磁盘空间,用大量的无用信息消耗系统资源,使服务器不能及时响应,并同时试图登录到工作站上的授权账户。

2.同步(SYN)攻击

同步攻击与拒绝服务攻击相似,它摧毁正常通信握手关系。在SYN攻击发生时,攻击者的计算机不回应其他计算机的ACK,而是向他发送大量的SYN ACK信息。通常计算机有一缺省值,允许它持特定树木的SYN ACK信息,一旦达到这个数目后,其他人将不能初始化握手,这就意味着其他人将不能进入系统,因此最终有可能导致网络的崩溃。

3.Web欺骗攻击

Web欺骗的关键是要将攻击者伪造的Web服务器在逻辑上置于用户与目的Web服务器之间,使用户的所有信息都在攻击者的监视之下。一般Web欺骗使用两种技术:URL地址重写技术和相关信息掩盖技术。

利用URL地址重写技术,攻击者重写某些重要的Web站点上的所有URL地址,使这些地址均指向攻击者的Web服务器,即攻击者可以将自己的Web站点的URL地址加到所有URL地址的前面。当用户与站点进行安全链接时,则会毫无防备地进入攻击者服务器。此时用户浏览器首先向攻击者服务器请求访问,然后由攻击者服务器向真正的目标服务器请求访问,目标服务器向攻击服务器传回相关信息,攻击者服务器重写传回页面后再传给用户。此时浏览器呈现给用户的的确是一个安全链接,但连接的对象却是攻击者服务器。用户向真正Web服务器所提交的信息和真正Web服务器传给用户的所有信息均要经过攻击者服务器,并受制于它,攻击者可以对所有信息进行记录和修改。

由于浏览器一般均设有地址栏和状态栏,当浏览器与某个站点连接时,可以在地址栏中和状态栏中获取连接中的Web站点地址及相关的传输信息,用户可由此发现问题,所以一般攻击者往往在URL地址重写的同时,利用相关信息掩盖技术来掩盖地址栏和状态栏信息,以达到其掩盖欺骗的目的。

4.TCP/IP欺骗攻击

IP欺骗可发生在IP系统的所有层次上,包括硬件数据链路层、IP层、传输层及应用层均容易受到影响。如果底层受到损害,则应用层的所有协议都将处于危险之中。另外,由于用户本身不直接与底层结构相互交流,有时甚至根本没有意识到这些结构的存在,因而对底层的攻击更具欺骗性。

IP欺骗供给通常是通过外部计算机伪装成另一台合法机器来实现的。他能破坏两台机器间通信链路上的正常数据流,也可以在通信链路上插入数据,其伪装的目的在于哄骗网络中的其他机器误将攻击者作为合法机器而加以接受,诱使其他机器向它发送数据或允许它修改数据。

由于许多应用程序最初设计时就是把信任建立于发送方的IP地址簿,即如果包能够使其自身沿着路由到达目的地,并且应答包也可以回到原地,则可以肯定源IP地址是有效的。因此一个攻击者可以通过发送有效IP源地址属于另一台机器的IP数据报来实施欺骗。

一方面现有路由器的某些配置使得网络更容易受到IP欺骗攻击。因此利用这一点网络外不用户只要设法表明是一种内部IP地址即可绕过路由器发送报。

另一方面,攻击者使用伪造的IP地址发送数据报,不仅可以获取数据报特有的有效请求,还可以通过预测TCP字节顺序号迫使接收方相信其合法而与之进行连接,从而达到TCP欺骗连接。

一个TCP连接包括三个阶段:(1)建立连接;(2)数据交换;(3)断开连接。其中最关键的就是数据交换。TCP协议为每个数据字节分配自己的顺序号,每个TCP头包含一个顺序域。TCP数据交换中客户方以发送带有SYN标志的TCP头为开始,发送一个或多个TCP/IP数据包,接受方回送包含SYN及ACK标志的头答复送方的SYN头。

初始的顺序号是随机的,当接受方接收到客户的序列号后首先要进行确认,如果确认号域有效,它就对应于下一个期望数据字节的顺序号,并设置ACK标志。攻击者利用伪造的IP地址成功地发送数据报后,只是获得这些数据报特有的有效请求,要获得些请求的答复还必须预测到TCP顺序号。攻击者对顺序号的预测是一个估计与猜测的过程。攻击者可以在客户与服务器之间设置窥探仪来确定初始顺序号,一旦攻击者获取了连接的初始顺序号,就可以通过估算发送者发送给接收者的TCP/IP数据量计算出下一个期望的顺序号,即下一个期望的顺序号为:数据量+初始顺序号。而事实上,一些TCP/IP实现并不完全采用随机方式分配初始顺序号,而是由一个简单的随机数生成器产生。这种生成器按某种固定的次序产生数据,因此实际上可能的初始顺序号只能在一个有限的范围内,这样预测起来就会更加方便。预测获得的顺序号只是一个估计值,它一般可分为三种情况考虑。

第一种情况:预测值正好等于下一顺序号

若伪造的数据报迟于合法数据报到达且其包含的数据报少于合法数据报,则接收方将完全丢弃伪造的数据报;如果若伪造的数据报迟于合法数据报到达但其数据报包含的数据多于合法数据报,则接收方将接收伪造数据报中顺序号大于合法数据报的那部分内容,同时丢弃顺序号与合法数据报重叠部分的内容;若伪造的数据报早于合法数据报到达,则接收方将丢弃合法数据报内容。

第二种情况:预测值大于下一个顺序号

在这种情况下,接收方将丢弃其中超过窗口域(即输入缓冲区)中的部分内容,而将前面部分内容放入缓冲区中,待下一期望顺序号与第一个伪造数据报字节顺序号间的空当被合法数据填满之后,再为接收方接收。

第三种情况:预测值小于下一个顺序号

在这种情况下,伪造数据报中的前面部分内容肯定会被丢弃,但是如果伪造数据报内容足够多,则接收方有可能接受其后面的内容。

三、网络上常见的几种攻击方式及其防范

用户在拨号上网时,如果选择了“保存密码”的功能,则上网密码将被储存在windows目录中,以“username.pwl”的形式存放。如果不小心被别人看到这个文件,那就麻烦了,因为从网上可以很轻松地找到诸如pwlview这样的软件来观看其中的内容,那上网密码就泄漏了。

那么该如何防范密码不被攻击呢?应从以下方面入手:(1)不用生日、电话号码、名字等易于猜到的字符做密码。(2)上网时尽量不选择保存密码。(3)每隔半个月左右更换一次密码。

木马程序是一种特殊的病毒,它通过修改注册表等手段潜伏在系统中,在用户上网后,种植木马的黑客通过服务器端木马程序控制用户的计算机,获取用户的口令等重要信息,其危害性非常大。

预防木马程序应从以下几方面入手:(1)安装反病毒防火墙。(2)对于不明来历的电子邮件要谨慎对待,不要轻易打开其附件文件。(3)不要随便从一些小站点下载软件,应从较大的知名网站上下载。

四、结束语

本文阐述了网络攻击的一般步骤,较详细地介绍了几种常见的网络攻击手段的原理,并提出了一些可行的防范网络攻击的策略,希望本文能够为网络管理员或一般的网络使用者在制订网络安全策略时起到有益的参考。

参考文献

1.(美)海吉著,罗进文等译.《网络安全技术与解决方案》.人民邮电出版社,2009.3.1

2.(美)斯托林斯(Stallings,W.)著,孟庆树等译.密码编码学与网络安全——原理与实践(第四版).电子工业出版社,2006.11.1

3.龙冬阳.网络安全技术及应用.华南理工大学出版社,2006.2.1

4.王继刚.揭秘Web应用程序攻击技术.水利水电出版社,2009.5.1 ■