网络安全基础知识点汇总_网络安全知识 csdn_网络安全知识csdn

（4）信任的关系:侵入者常用“跳板”的方法利用信任关系攻击网络。一个互相信任主机的网络和他们最脆弱的环节一样安全。

• 口令解密

字典攻击:字典攻击可以利用重复的登陆或者收集加密的口令并且试图同加密后的字典中单词匹配

暴力破解(Brute Force Attacks): 同字典攻击类似， 侵入者可能尝试所有的字符组合方式

• 监听不安全的通信

（1）共享媒体: 传统的以太网中, 你只要在线上启动 Sniffer就可以看到在一个网段的所有通信

（2）服务器监听: 在一个交换的网络里，如果入侵者可以在一个服务器(特别是做路由器的)安装sniffer程序，入侵者就可以使用得到的信息来攻击客户主机和信任主机。比如，你可能不知道某个用户的口令，通过在他登陆的时候监听Telnet会话，就可以得到他的口令

（3）远程监听: 大量的主机可以远端网络监控，且使用缺省的community

• 设计的缺点

TCP/IP 协议缺点

系统设计缺点

2.2 IP欺骗与防范

IP欺骗就是伪造数据包源IP地址的攻击，

它基于两个前提:

• TCP/IP网络在路由数据包时，不对源IP地址进行判断— 可以伪造待发送数据包的源IP地址。目前黑客入侵攻击的重要手段之一。
• 主机之间有信任关系存在—基于IP地址认证，不再需要用户账户和口令。

2.2.1 TCP等IP欺骗基础知识

1. TCP数据报首部标志域

 URG:紧急数据标志，指明数据流中已经放置紧急数据，紧急指针有效;

 ACK:确认标志，用于对报文的确认;

 PSH:推标志，通知接收端尽可能的将数据传递给应用层，在telnet登陆时，会使用到这个标志;

 RST:复位标志，用于复位TCP连接;

 SYN:同步标志，用于三次握手的建立，提示接收TCP连接的服务端检查序号;

 FIN:结束标志，表示发送端已经没有数据再传输了，希望释放连接， 但接收端仍然可以继续发送数据。

2. TCP三次握手过程

点此免费领取：CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》

1. A发送带有SYN标志的数据段通知B需要建立TCP连接。并将TCP报头中的sequence number 设置成自己本次连接的初始值ISN。
2. B回传给A一个带有SYS+ACK标志的数据段，并告诉A自己的ISN，并确认A发送来的第一个数据段，将acknowledge number设置成A的ISN+1。
3. A确认收到的B的数据段，将acknowledge number设置成B的ISN+1。

3. 信任与认证

1 基于口令的认证:如SMTP(TCP 25)和远程登录 Telnet(TCP 23)，只通过帐号/口令认证用户;

2 基于IP地址的认证(即信任):登录主机的地址受到被登录服务器信任，则从该主机登录不要口令;如远程登录rlogin(TCP 513)，首先是基于信任关系的认证，其次才进行口令认证。

2.2.2 IP欺骗可行的原因

1. 在TCP/IP协议组中，IP协议是非面向连接，非可靠传输的协议，IP数据包是进行松散发送的，并不是连续发送的，所以可以在源地址和目的地址中间放入满足要求的IP地址，(也就是说可以进行虚假IP 地址的提供)
2. 在TCP/IP协议簇中， TCP是面向连接，提供可靠传输。
3. 面向连接是两个主机首先必须建立连接，然后才能进行数据交换。
4. 可靠性是有数据包中的多位控制字来提供，其中有 两个是SYN和ACK

2.2.3 IP欺骗过程

IP欺骗步骤

1.选定目标主机

利用端口扫描，网络监听工具看有哪些机器和目标主机进行TCP/IP连接

2.寻找目标主机信任的主机

选择好进攻的目标主机后，必须寻找到目标主机信任的主机

可以尝试显示目标主机的文件系统在哪里被export, 或者使用rpcinfo来分析有用信息

或者尝试目标主机的相邻IP地址，获取有价值信息

3.控制被信任的主机

黑客向被信任的主机的TCPA发送大量SYN请求， 使得被信任主机的TCP/IP链接达到队列的最上限， 从而无法响应目标主机的SYN请求

4.采样目标主机的TCP序列号，猜测数据包序列号，尝试建立连接

在此期间，黑客就有机会伪装成被信任主机的IP地址，将SYN请求返回给目标主机，

黑客利用网络监听和抓包软件，采样目标主机的 TCP序列号，并猜测目标主机的数据包序列号， 尝试建立与目标主机的基于地址验证的应用连接。

5.建立连接，种植后门

一旦与目标主机建立TCP/IP连接，黑客就会使用命令，通过目标主机的安全性较弱的端口，种植后门程序

6.进行远程控制和非法操作

后门种植成功后，黑客一般会断开与目标主机的连 接，并且停止对被信任主机的攻击，全身而退。黑客推出后，找寻合理时机，对目标主机进行远程控制和非法操作。

2.2.4 IP欺骗原理

序列号猜测

序列号猜测的重要性

• 攻击者X冒充受攻击目标A信任的对象B，远程连接A 的rlogin端口，如果能连接成功，不再需要口令就能登录A。
• 因为A对X请求的响应包返回给B，X不可能知道其中A的序列号，要想在图中的第5步完成三次握手并连 接成功，他必须“猜”到A的序列号(ISN)。

序列号猜测的过程

1. X首先连接A的SMTP端口(X是A的合法的邮件用户，但不是它所信任的rlogin用户，因为邮件应用的安全级别相对不高 )，试探其ISN变化规律，以估算下一次连接时A的ISN值。
2. X必须马上按照图中3—5步的方法假冒B来与A建立rlogin连接。

1 .X必须立刻进行欺骗攻击，否则其他主机有可能与A建立了新的连接，X所猜测的序列号就不准了。

\2. 当然就这样也不一定能一次猜测成功。

不同网络环境下的序列号猜测

1)若X和A及B在同一局域网中，从理论上说很容易实现IP欺骗攻击。因为攻击者X甚至于不用猜测A发送给B的数据包中包含的序列号——用嗅探技术即可。

2)若X来自于外网，要想猜测到A和B所在的局域网中传送的数据包中的序列号非常困难——理论可行。

3)美国头号电脑黑客米特尼克是第一个在广域网成功实现IP欺骗攻击的人。但当时的序列号相对现在非常容易猜测。

关于被冒充对象B

1)X首先必须对B进行DoS攻击，否则在图中第4步中B 收到A发送来的它未请求过的请求应答包，将向A返 回RST报文而终止连接，黑客不能冒充连接成功。

2)X发送到A的rlogin端口的伪造数据包的源IP地址是 “假冒”了B的IP地址。

3)为何X不能直接将自己的IP地址修改为B的IP地址来 连接到A的rlogin端口?

1 IP地址产生冲突; 2 外网X不能这样修改。

2.2.5 IP欺骗防范

使用较强壮的随机序列号生成器，要准确猜测TCP连接的ISN几乎不可能。

在边界路由器上进行源地址过滤，也就是说，对进入本网络的IP包，要检查其源IP地址，禁止外来的 却使用本地IP的数据包进入，这也是大多数路由器的缺省配置。

禁止r-类型的服务，用SSH(专为远程登录会话和其 他网络服务提供安全性的协议,传输的数据均加密) 代替rlogin这样的不安全的网络服务。

在通信时要求加密传输和验证。

分割序列号空间。Bellovin提出一种弥补TCP序列号随机性不足的方法，就是分割序列号空间，每一个连接都将有自己独立的序列号空间。连接之间序列号没有明显的关联。

2.3 Sniffer 探测与防范

2.3.1 Sniffer原理

1. 广播类网络上，可以将某一网络适配器(NIC)设为接收相应广播域上传输的所有帧
2. sniffer属第二层次(数据链路层)的攻击。通常是攻击者已经进入了 目标系统
3. 如果sniffer运行在路由器，或有路由器功能的主机上，则可同时监视多个广播域，危害更大
4. 通常，sniffer程序只需看到一个数据包的前200-300个字节的数据， 就能发现用户名和口令等信息

2.3.2 Sniffer防范

• 设法保证系统不被入侵

Sniffer往往是攻击者在侵入系统后使用

• 加密传输

传输前加密，使收集的信息无法解读

• 采用安全拓扑结构

采用交换技术，分割广播域。

管理员应使各计算机之间的信任关系最小，如lan要和internet相 连，仅有firewall是不行的，要考虑一旦入侵成功后他能得到什么， 保证一旦出现sniffer他只对最小范围有效

现代网络常常采用交换机作为网络连接设备枢纽

交换机不会让网络中每一台主机侦听到其他主机的通讯，因此Sniffer技术在这时必须结合网络端口镜像技术进行配合。

而衍生的安全技术则通过ARP欺骗来变相达到交换网络中的侦听。

• 网络端口镜像技术: 在交换机或路由器上， 将一个或多个源端口的数据流量转发到某一个指定端口来实现对网络的监听
• ARP欺骗: ARP欺骗的运作原理是由攻击者发送假的ARP数据包到网上，尤其是送到网关上。其目的是要让送至特定的IP地址的流量被错误送到攻击者所取代的地方。

回顾知识：交换机、路由器、集线器

• 路由器(Router): 是连接因特网中各局域网、广域网的设备。在路由器中记录着路由表，它会根据信道的情况自动选择和设定路由，以最佳路径 ，按前后顺序发送信号。发生在网络层。提供了防火墙的服务，只转发特定地址的数据包，不传送不支持路由协议的数据包传送和求知目标网络数据包的传送，从而可以防止广播风暴。
• 交换机(Switch): 是一种用于电(光)信号转发的网络设备。它可以为接入交换机的任意两个网络节点提供独享的电信号通路，把传输的信息送到符合要求的相应路由上。发生在数据链路层。
• 集线器(Hub): 是指将多条以太网双绞线或光纤集合连接在同一段物理介质下的设备。发生在物理层。

2.4 端口扫描技术

2.4.1 原理

端口扫描是指某些别有用心的人发送一组端口扫描消息，试图以此侵入某台计算机，并了解其提供的计算机网络服务类型(这些网络服务均与端口号相关);

扫描器(工作原理):

自动检测远端或本机安全性弱点的程序，用户可不留痕迹的发现远端机器各端口的分配及运行的服务及软件版本

功能

• 发现一个主机或网络;
• 发现该主机运行何种服务;
• 测试这些服务发现漏洞

2.4.2 分类

常见的端口扫描类型

• TCPconnect(): 入侵者无须任何权限，速度快，但是其易被发现，也易被过滤;
• TCPSYN: 扫描器发送syn数据包，如果返回ack/syn同时需要再发送 RST关闭连接过程，表示端口处监听状态;如果返回RST，则不在侦听，不会留下入侵记录，但需要有root权限才能建立自己的syn数据包
• TCPFIN: 一般防火墙或过滤器会过掉syn包，但FIN可以没有麻烦的通过，于是可能存在关闭的端口会用RST来响应FIN,而打开的端口 则不会响应，但有的系统不管打开与否都响应回复RST包

2.4.3 ping命令

Ping的原理

通过向目标主机传送一个小数据包，目标主机接收并将该包返送回来，如果返回的数据包和发送的数据包一致，则Ping命令成功。根据返回的信息，可以推断TCP/IP参数是否设置正确，以及运行是否正常、网络是否通畅等。

作用和特点

• 用来判断目标是否活动;
• 最常用、最简单的探测手段;
• Ping 程序一般是直接实现在系统内核中的， 而不是一个用户进程

Ping命令可以进行以下操作 :

1. 通过将ICMP(Internet控制消息协议)回显数据包发 送到计算机并侦听回显回复数据包来验证与一台或多 台远程计算机的连接。
2. 每个发送的数据包最多等待一秒。
3. 打印已传输和接收的数据包数。

2.5 特洛伊木马

2.5.1 木马与病毒的区别

• 载体

◼ 一般情况下，病毒是依据其能够进行自我复制即传染性的特点而定义的

◼ 木马主要是根据它的有效载体，或者是其功能来定义的，更多情况下是根据其意图来定义的

• 自我复制和传播

◼ 木马一般不进行自我复制，但具有寄生性，如捆绑在合法程序中得到安装、启动木马的权限，DLL木马甚至采用动态嵌入技术寄生在合法程序的进程中

◼ 木马一般不具有普通病毒所具有的自我繁殖、主动感染传播等特性， 但我们习惯上将其纳入广义病毒，也就是说，木马也是广义病毒的一个子类

• 意图

◼ 木马的最终意图是窃取信息、实施远程监控

◼ 木马与合法远程控制软件(如pcAnyWhere)的主要区别在于是 否具有隐蔽性、是否具有非授权性

2.5.2 木马的组成

木马系统软件一般由木马配置程序、控制程序和木马程序(服务器程序) 三部分组成。

2.5.3 木马攻击过程

木马通道与远程控制

◼ 木马连接建立后，控制端端口和服务端木马端口之间将会出现一条通道;

◼ 控制端上的控制端程序可借助这条通道与服务端上的木马程序取得联系，并通过木马程序对服务端进行远程控制，实现的 远程控制就如同本地操作

2.5.4 传播方式

• 捆绑欺骗

◼ 把木马服务端和某个游戏/软件捆绑成一个文件

◼ 通过即时通讯工具、邮件、下载工具等渠道发送出去

• 钓鱼欺骗(Phishing)

◼ 构造一个链接或者一个网页

◼ 利用社会工程学欺骗方法

◼ 欺骗用户输入某些个人，隐私信息，然后窃取个人隐私

• 漏洞攻击

◼ 利用操作系统和应用软件的漏洞进行的攻击

• 网页挂马

◼ 网页挂马就是攻击者通过在正常的页面中(通常是网站的主页)插入一段代码。

◼ 浏览者在打开该页面的时候，这段代码被执行， 然后下载并运行某木马的服务器端程序，进而控制浏览者的主机

三、防火墙技术

3.1 防火墙基础

3.1.1 基本概念

防火墙：过滤！

实现一个机构的安全策略

创建一个阻塞点

记录internet 活动

限制网络暴露

什么是防火墙?

• 防火墙是设置在用户网络和外界之间的一道屏障，防止不可预料的、潜在的破坏侵入用户网络;
• 防火墙在开放和封闭的界面上构造一个保护层，属于内部范围的业务，依照协议在授权许可下进行;外部对内部网络的访问受到防火墙的限制

防火墙功能

• 过滤进出网络的数据
• 管理进出网络的访问行为
• 封堵某些禁止的访问行为
• 记录通过防火墙的信息内容和活动
• 对网络攻击进行检测和告警

防火墙分类

3.1.2 访问控制机制

访问控制机制的演变

1、路由器—>ACL 访问控制列表

2、包过滤防火墙—>根据IP五元组判断能否通过

3、状态监测防火墙—>根据应用判断能否通过

4、应用代理防火墙—>根据应用判断能否通过

5、多检测机制防火墙—>根据多个IP包判断整体应用后判断能否通过

6、多功能集成网关(下一代防火墙 )—>嵌入多种防护功能，经过多层过滤后判断能否通过

1. 包过滤防火墙

数据包过滤(Packet Filtering)技术在网络层对数据包进行选择， 选择的依据是系统内设置的过滤逻辑，即访问控制表(Access Control List，ACL)

• 包过滤防火墙分为静态包过滤、动态包过滤防火墙
• 包检查器并不是检查数据包的所有内容，只检查报头(IP、TCP头部)

优点

◆逻辑简单 ◆有较强的透明性 ◆网络性能的影响较小 ◆开销较小，设备便宜

缺点

◆无法对数据包的内容进行过滤审核

◆在传输层或则是网络层上检测数据，不 能在更高一层检测数据，比如能禁止和通过一个向内的HTTP请求，但不能判断这个 请求是非法的还是合法的。

◆防止欺骗攻击很难，特别是容易受到IP 欺骗攻击(允许来自网络外部的流量，包过 滤防火墙只能检测数据包中的源IP，无法 确定是否是真正的源地址)

◆所有可能用到的端口(尤其是>1024的端 口)都必需放开,增加了被攻击的可能性

◆在复杂的网络中很难管理

◆通常来说包过滤技术是防火墙技术中最低的。

2. 状态检测防火墙

状态检测防火墙由动态包过滤防火墙演变而来，工作在传输层，使用各种状态表(state tables)来追踪活跃的TCP会话，它能够根据连接状态信息动态地建 立和维持一个连接状态表，并且把这个连接状态表用于后续报文的处理。

状态检测技术一般的检查点有:

• 检查数据包是否是一个已经建立并且正在使用的通信流的一部分。
• 如果数据包和连接表的各项都不匹配，那么防火墙就会检测数据包 是否与它所配置的规则集相匹配。
• 在检测完毕后，防火墙会根据路由转发数据包，并且会在连接表中 为此次对话创建或者更新一个连接项
• 防火墙通常对TCP包中被设置的FIN位进行检测、通过会话超时设置决定何时从连接表中删除某连接项。

优点

◆更高的安全性

◆高效性

◆应用范围广

缺点

◆不能对应用层数据进行控制

◆不能产生高层日志

◆配置复杂

3. 应用代理防火墙

应用代理(Application Proxy)也称为应用层网关(Application Gateway)

• 工作在应用层，其核心是代理进程
• 每一种应用对应一个代理进程，实现监视和控制应用层通信流
• 自适应代理防火墙:在每个连接通信的开始仍然需要在应用层接受检测， 而后面的包可以经过安全规则由自适应代理程序自动的选择是使用包过滤还是代理

优点

◆可以检查应用层、传输层和网络层的协议特征，对数据包的检测能力比较强

◆代理完全控制会话，可以提供很详细的日志和安全审计功能

◆可以隐藏内部网的IP地址，保护内部主机免受外部主机的进攻

◆可以集成认证机制

缺点

◆最大缺点是要求用户改变自己的行为，或者在访问代理服务的 每个系统上安装特殊的软件

◆分析困难，实现困难，每一种应用服务必须设计一个代理软件模块进行安全控制，并 且应用升级时，一半代理服务程序也要升级

◆影响用户网络速度(命令解释)

◆不能防止SYN攻击

4. 复合型防火墙

复合型防火墙是指综合了状态检测与应用代理的新一代的防火墙

• 对整个报文进行访问控制和处理，具体检测内容由策略决定，
• 如果策略是包过滤策略，则对TCP、IP报头进行检测，
• 如果策略是应用代理策略，则对用户数据进行检测

优点

◆可以检查整个数据包的内容

◆根据需要建立连接状态表

◆网络层保护强

◆应用层控制细

缺点

◆会话控制较弱

5. 核检测防火墙

对于简单包过滤防火墙、状态检测包过滤防火墙和应用代理防火墙，他们只是检查单个报文，所以只检查其中的一个报文，但是他们都不能把这些报文组合起来，形成一个会话 来进行处理。

对于核检测防火墙，它可以将不同报文，在防火墙内部， 模拟成应用层客户端或服务器端，对整个报文进行重组，合成一个会话来进行理解，进行访问控制。

可以提供更细的访问控制，同时能生产访问日志。可以看到，它的上下报文是相关的，它具备包过滤和应用代理防 墙的全部特点，还增加了对会话的保护能力。

优点

◆网络层保护强

◆应用层保护强

◆会话层保护强

◆前后报文有联系，可以关联进行出来

缺点

◆不能防病毒传播

◆不能防止一些未知的入侵或攻击

小结

◼ 包过滤防火墙: 包过滤防火墙不检查数据区，包过滤防火墙不建立连接状态表，前后报文无关，应用层控制很弱。

◼ **应用代理防火墙:**不检查IP、TCP报头，不建立连接状态表 ，网络层保护比较弱，影响用户的网速。

◼ **状态检测防火墙:**不检查数据区，建立连接状态表，前后报文相关，应用层控制很弱。

◼ **复合型防火墙:**可以检查整个数据包内容，根据需要建立连接状态表，网络层保护强，应用层控制细，会话控制较弱

◼ **核检测防火墙:**可以检查整个数据包内容，网络层保护强， 应用层保护强，前后报文有联系。

3.2 防火墙设计原则及优缺点

3.2.1 设计原则

• 过滤不安全服务的原则

◼ 防火墙应封锁所有信息流，然后对希望提供的安全服务逐项开放

◼ 这是一种非常有效实用的方法，可以造成一种十分安全的环境，因为只有经过仔细挑选的服务才能允许用户使用

• 屏蔽非法用户的原则

◼ 防火墙可先允许所有的用户和站点对内部网络的访问，然后网络管理员按照 IP 地址对未授权的用户或不信任的站点进行逐项屏蔽

◼ 这种方法构成了一种更为灵活的应用环境，网络管理员可以针对不同的服务面向不同的用户开放，也就是能自由地设置各个用户的不同访问权限

3.2.2 优缺点

优点:

◼ 允许管理员定义一个中心扼制点防止非法用户进入内部网络

◼ 保护网络中脆弱的服务

◼ 用户可方便的监视网络的安全并产生报警

◼ 集中安全性

◼ 增强保密性

◼ 是审计和记录网络流量的一个最佳地方

缺点:

◼ 限制有用的服务

◼ 不能有效防止内部的攻击

◼ Internet防火墙不能防止通过防火墙以外的攻击

◼ 不能完全防止传送已感染病毒的文件和软件

◼ 无法防范数据驱动型攻击

◼ 不能防备新的网络安全问题

3.3 防火墙体系结构

• 屏蔽主机网关 Screened Host Gateway

包过滤路由器只放行到堡垒主机的数据包

➢ 一个分组过滤路由器 连接外部网络

➢ 一个堡垒主机安装在 内部网络上;

➢ 通常在路由器上设立过滤规则，并使这个 堡垒主机成为从外部网络唯一可直接到达 的主机，这确保了内部网络不受未被授权 的外部用户的攻击

• 屏蔽子网Screened Subnet Firewall

◼ 在内部网络和外部网络之间增加一个子网

◼ 屏蔽子网区域称为边界网络Perimeter Network，也称为非军事区 DMZ(De-Militarized Zone)

入侵者攻击内部网络至少要突破两个路由器:

• 内部路由器

◼ 负责管理DMZ到内部网

◼ 仅接收来自堡垒主机的数据包

◼ 完成防火墙的大部分工作

• 外部路由器

◼ 防范通常的外部攻击络的访问

◼ 管理Internet到DMZ的访问

给大家的福利

零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

因篇幅有限，仅展示部分资料

网络安全面试题

绿盟护网行动

还有大家最喜欢的黑客技术

网络安全源码合集+工具包

所有资料共282G，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！