我家小花儿

这个屌丝很懒，什么也没留下！

热门标签

一文详解五大网络安全攻击类型_写出网络攻击的5个阶段,及各阶段的主要目的和采取的技术

作者：我家小花儿 | 2024-07-30 22:33:31

踩

写出网络攻击的5个阶段,及各阶段的主要目的和采取的技术

随着网络规模和复杂性不断增大，网络攻击的类型也日益繁多，企业面临的网络安全问题越发严峻。

提到网络攻击，很多人脑海会浮现特洛伊木马、黑客……多方位多手段化的网络攻击让人防不胜防。概括来说网络安全攻击主要分为五大类：
黑客与骇客攻击、IP欺骗与防范、Sniffer 探测与防范、端口扫描技术、特洛伊木马 。

本文将就此五大类攻击方法展开简单介绍，帮助大家进一步了解网络安全攻击相关知识。

黑客与骇客攻击

黑客(hacker)： 指技术上的行家或热衷于解决问题, 克服限制的人；
骇客(cracker)： 是那些喜欢进入其他人系统的人；

骇客和黑客之间最主要的不同是：黑客们创造新东西，骇客们破坏东西。

入侵方法

（1）物理侵入： 侵入者绕过物理控制而获得对系统的访问。对机器有物理进入权限 (比如他们能使用键盘)
。方法包括控制台特权一直到物理参与系统并且移走磁盘(在另外的机器读/写)。
（2）系统侵入： 已经 拥有在系统用户的较低权限 。如果系统没有打最新的漏洞补丁，就会给侵入者提供一个利用漏洞获得系统管理员权限的机会。
（3）远程侵入： 通过网络远程进入系统。侵入者 从无特权开始
这种侵入方式，包括多种形式。如果在他和受害主机之间有防火墙存在，侵入就复杂得多。

系统的威胁

软件bug

软件bug存在于服务器后台程序, 客户程序，操作系统，网络协议栈。

系统配置

（1）缺省配置： 许多系统交付给客户的时候采用的缺省的易用的配置；
（2）懒惰的系统管理员： 惊人数量的主机被配置成没有系统管理员口令；
（3）生成的漏洞： 事实上所有的程序可能被配置成一个非安全的模式；
（4）信任的关系： 侵入者常用“跳板”的方法利用信任关系攻击网络。一个互相信任主机的网络和他们最脆弱的环节一样安全。

口令解密

（1）字典攻击： 字典攻击可以利用重复的登录或者收集加密的口令并且试图同加密后的字典中单词匹配；
（2）暴力破解(Brute Force Attacks)： 同字典攻击类似，侵入者可能尝试所有的字符组合方式。

监听不安全的通信

（1）共享媒体： 传统的以太网中, 你只要在线上启动 Sniffer就可以看到在一个网段的所有通信；
（2）服务器监听：
在一个交换的网络里，如果入侵者可以在一个服务器(特别是做路由器的)安装sniffer程序，入侵者就可以使用得到的信息来攻击客户主机和信任主机。比如，你可能不知道某个用户的口令，通过在他登录的时候监听Telnet会话，就可以得到他的口令；
（3）远程监听： 大量的主机可以远端网络监控，且使用缺省的community。

设计的缺点

（1）TCP/IP 协议缺点；
（2）系统设计缺点。

IP欺骗与防范

IP欺骗就是 伪造数据包源IP地址 的攻击，它基于两个前提:

TCP/IP网络在路由数据包时， 不对源IP地址进行判断 — 可以伪造待发送数据包的源IP地址。目前黑客入侵攻击的重要手段之一；
主机之间 有信任关系 存在— 基于IP地址认证 ，不再需要用户账户和口令。

TCP等IP欺骗基础知识

TCP数据报首部标志域

（1）URG： 紧急数据标志，指明数据流中已经放置紧急数据，紧急指针有效;
（2）ACK： 确认标志，用于对报文的确认;
（3）PSH： 推标志，通知接收端尽可能的将数据传递给应用层，在telnet登录时，会使用到这个标志;
（4）RST： 复位标志，用于复位TCP连接;
（5）SYN： 同步标志，用于三次握手的建立，提示接收TCP连接的服务端检查序号;
（6）FIN： 结束标志，表示发送端已经没有数据再传输了，希望释放连接，但接收端仍然可以继续发送数据。

TCP三次握手过程

（1）A发送带有SYN标志的数据段通知B需要建立TCP连接。并将TCP报头中的sequence number 设置成自己本次连接的初始值ISN。

（2）B回传给A一个带有SYS+ACK标志的数据段，并告诉A自己的ISN，并确认A发送来的第一个数据段，将acknowledge
number设置成A的ISN+1。

（3）A确认收到的B的数据段，将acknowledge number设置成B的ISN+1。

信任与认证

（1）基于口令的认证： 如SMTP(TCP 25)和远程登录 Telnet(TCP 23)，只通过账号/口令认证用户;
（2）基于IP地址的认证(即信任)： 登录主机的地址受到被登录服务器信任，则从该主机登录不要口令;如远程登录rlogin(TCP
513)，首先是基于信任关系的认证，其次才进行口令认证。

IP欺骗可行的原因

在TCP/IP协议组中，IP协议是 非面向连接，非可靠传输 的协议，IP数据包是进行 松散发送的，并不是连续发送的 ，所以可以在源地址和目的地址中间放入满足要求的IP地址，(也就是说可以进行虚假IP 地址的提供)
在TCP/IP协议簇中， TCP是 面向连接，提供可靠传输。
面向连接是两个主机首先必须 建立连接，然后才能进行数据交换。
可靠性是由数据包中的多位控制字来提供，其中有两个是 SYN和ACK。

IP欺骗过程

IP欺骗步骤

（1）选定目标主机
利用端口扫描，网络监听工具，看有哪些机器和目标主机进行TCP/IP连接。

（2）寻找目标主机信任的主机
选择好进攻的目标主机后，必须寻找到 目标主机信任的主机； 可以尝试显示目标主机的 文件系统在哪里被export，
或者使用rpcinfo来分析有用信息；或者尝试目标主机的 相邻IP地址 ，获取有价值信息。

（3）控制被信任的主机
黑客向被信任的主机的TCPA 发送大量SYN请求 ，使得被信任主机的TCP/IP链接达到队列的最上限，从而
无法响应目标主机的SYN请求。

（4）采样目标主机的TCP序列号，猜测数据包序列号，尝试建立连接
在此期间，黑客就有机会伪装成被信任主机的IP地址，将SYN请求返回给目标主机，黑客利用网络监听和抓包软件，采样目标主机的
TCP序列号，并猜测目标主机的数据包序列号，尝试建立与目标主机的基于地址验证的应用连接。

（5）建立连接，种植后门
一旦与目标主机建立TCP/IP连接，黑客就会使用命令，通过目标主机的安全性较弱的端口，种植后门程序。

（6）进行远程控制和非法操作
后门种植成功后，黑客一般会断开与目标主机的连接，并且停止对被信任主机的攻击，全身而退。黑客退出后，找寻合理时机，对目标主机进行远程控制和非法操作。

IP欺骗原理：序列号猜测

（1）序列号猜测的重要性

攻击者X冒充受攻击目标A信任的对象B，远程连接A 的rlogin端口，如果能连接成功，不再需要口令就能登录A。

因为A对X请求的响应包返回给B，X不可能知道其中A的序列号，要想在图中的第5步完成三次握手并连接成功，他必须“猜”到A的序列号(ISN)。

（2）序列号猜测的过程

X首先连接A的SMTP端口(X是A的合法的邮件用户，但不是它所信任的rlogin用户，因为邮件应用的安全级别相对不高 )，
试探其ISN变化规律，以估算下一次连接时A的ISN值。

X必须马上按照图中3—5步的方法假冒B来与A 建立rlogin连接。
X必须 立刻进行欺骗攻击， 否则其他主机有可能与A建立了新的连接，X所猜测的序列号就不准了，当然就这样也不一定能一次猜测成功。

不同网络环境下的序列号猜测

（1）若X和A及B在 同一局域网 中，从理论上说很容易实现IP欺骗攻击。因为攻击者X甚至于不用猜测A发送给B的数据包中包含的序列号——用
嗅探技术 即可。

（2）若X来自于外网，要想猜测到A和B所在的局域网中传送的数据包中的序列号非常困难——理论可行。

（3）美国头号电脑黑客米特尼克是第一个在广域网成功实现IP欺骗攻击的人。但当时的序列号相对现在非常容易猜测。

关于被冒充对象B

（1）X首先 必须对B进行DoS攻击 ，否则在图中第4步中B 收到A发送来的它未请求过的请求应答包，将向A返
回RST报文而终止连接，黑客不能冒充连接成功。

（2）X发送到A的rlogin端口的 伪造数据包的源IP地址 是 “假冒”了 B的IP地址 。

（3）为何X不能直接将 自己的IP地址 修改为 B的IP地址 来连接到A的rlogin端口?
原因： IP地址产生冲突；外网X不能这样修改。

IP欺骗防范

（1）使用较强壮的 随机序列号生成器 ，要准确猜测TCP连接的ISN几乎不可能。

（2）在边界路由器上进行源地址过滤，也就是说， 对进入本网络的IP包，要检查其源IP地址 ，禁止外来的
却使用本地IP的数据包进入，这也是大多数路由器的缺省配置。

（3） 禁止r-类型的服务 ，用SSH(专为远程登录会话和其他网络服务提供安全性的协议,传输的数据均加密)
代替rlogin这样的不安全的网络服务。

（4）在通信时要求 加密传输和验证 。

（5）分割序列号空间。
Bellovin提出一种弥补TCP序列号随机性不足的方法，就是分割序列号空间，每一个连接都将有自己独立的序列号空间。连接之间序列号没有明显的关联。

Sniffer 探测与防范

Sniffer原理

广播类网络上，可以将某一 网络适配器(NIC) 设为接收相应广播域上传输的所有帧；
sniffer属第二层次(数据链路层)的攻击。通常是攻击者已经进入了目标系统；
如果sniffer运行在 路由器 ，或有路由器功能的主机上，则可同时 监视多个广播域 ，危害更大；
通常，sniffer程序只需看到一个数据包的前200-300个字节的数据，就能发现用户名和口令等信息。

Sniffer防范

设法保证系统不被入侵： Sniffer往往是攻击者在侵入系统后使用；
加密传输： 传输前加密，使收集的信息无法解读；
采用安全拓扑结构： 采用交换技术，分割广播域。

管理员应使 各计算机之间的信任关系最小 ，如lan要和internet相连，仅有firewall是不行的，要考虑一旦入侵成功后他能得到什么，
保证一旦出现sniffer他只对最小范围有效。

现代网络常常采用 交换机 作为网络连接设备枢纽：

（1）交换机不会让网络中每一台主机侦听到其他主机的通讯，因此Sniffer技术在这时必须结合 网络端口镜像技术 进行配合。

（2）而衍生的安全技术则通过 ARP欺骗 来变相达到交换网络中的侦听。

网络端口镜像技术： 在交换机或路由器上，将一个或多个源端口的数据流量 转发到某一个指定端口 来实现对网络的监听
ARP欺骗： ARP欺骗的运作原理是由 攻击者发送假的ARP数据包到网上 ，尤其是送到网关上。其目的是要让送至特定的IP地址的流量被错误送到攻击者所取代的地方。

端口扫描技术

原理

端口扫描是指某些别有用心的人发送一组端口扫描消息，试图以此侵入某台计算机，并了解其 提供的计算机网络服务类型 （这些网络服务均与端口号相关）;

扫描器(工作原理)： 自动检测远端或本机安全性弱点的程序，用户可不留痕迹的发现远端机器各端口的分配及运行的服务及软件版本。

功能：

发现一个主机或网络;
发现该主机运行何种服务;
测试这些服务发现漏洞。

分类

常见的端口扫描类型：

TCPconnect()： 入侵者无需任何权限，速度快，但是其易被发现，也易被过滤；
TCPSYN： 扫描器发送syn数据包，如果返回ack/syn同时需要再发送 RST关闭连接过程，表示端口处监听状态;如果返回RST，则不在侦听，不会留下入侵记录，但需要有root权限才能建立自己的syn数据包；
TCPFIN： 一般防火墙或过滤器会过掉syn包，但FIN可以没有麻烦的通过，于是可能存在关闭的端口会用RST来响应FIN,而打开的端口则不会响应，但有的系统不管打开与否都响应回复RST包。