系统攻击与入侵检测

《系统攻击与入侵检测》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第5章系统攻击与入侵检测本章学习目标：系统入侵的基本原理、主要方法以及如何实现入侵检测，进行主动防御。本章应该掌握以下内容：入侵的概念几种系统攻击方法的原理入侵检测的原理入侵检测系统的组成及结构5.1系统攻击概述系统攻击或入侵是指利用系统安全漏洞，非授权进入他人系统（主机或网络）的行为。了解自己系统的漏洞及入侵者的攻击手段，才能更好的保护自己的系统。5.1.1黑客与入侵者HackerCracker,Intruder5.1.2系统攻击的三个阶段（1）收集信息（2）探测系统安全弱点（3）实施攻击5.1.3网络入侵的对象1.固有的安全漏洞2

2、.系统维护措施不完善的系统3．缺乏良好安全体系的系统5.2系统攻击方法5.2.1口令攻击1．获取口令的一些方法（1）是通过网络监听非法得到用户口令（2）口令的穷举攻击（3）利用系统管理员的失误5.2.1口令攻击2．设置安全的口令（1）口令的选择：字母数字及标点的组合，如：Ha,Pp@y!和w/(X,y)*;使用一句话的开头字母做口令，如：由Afoxjumpsoveralazydog!产生口令：AfJoAld!。（2）口令的保存：记住、放到安全的地方，加密最好。（3）口令的使用：输入口令不要让别人看到；不要在不同的系统上使用同一口令；定期

3、改变口令。3．一次性口令（OTP，One-TimePassword）。所谓的一次性口令就是一个口令仅使用一次，能有效地抵制重放攻击，这样窃取系统的口令文件、窃听网络通信获取口令及穷举攻击猜测口令等攻击方式都不能生效。OTP的主要思路是：在登录过程中加入不确定因素，使每次登录过程中的生成的口令不相同。使用一次性口令的系统中，用户可以得到一个口令列表，每次登录使用完一个口令后就将它从列表明中删除；用户也可以使用IC卡或其他的硬件卡来存储用户的秘密信息，这些信息再随机数、系统时间等参数一起通过散列得到一个一次性口令。5.2.2IP欺骗伪造某主

4、机的IP地址并实现与该目标主机的处于同一信用域内的其他主机之间的连接的技术。3个步骤：（1）使目标主机丧失工作能力。（2）采样目标主机发出的TCP序列号，猜测出它的后续序列号（3）伪装成被信用主机，与目标主机建立起基于IP地址验证的应用连接。建立TCP连接的3次握手客户机服务器SYN请求SYN/ACKACKSYNFlooding攻击对WindowsNT攻击很有效使用一个伪装的地址向目标计算机发送连接请求叫做IP欺骗技术。当目标计算机收到这样的请求后，就会使用一些资源来为新的连接提供服务，接着回复请求一个肯定答复（叫做SYN－ACK）。由

5、于SYN－ACK是返回到一个伪装的地址，没有任何响应。于是目标计算机将继续设法发送SYN－ACK。一些系统都有缺省的回复次数和超时时间，只有回复一定的次量、或者超时时，占用的资源才会释放。NT设罢为可回复5次，每次等待时间加倍：则：3+6+12+24+48+96=189SSYN-Flooding攻击示意图1．IP欺骗的工作原理（1）使被信任主机丧失工作能力TCPSYN-Flood：t1:Z（X）－－－SYN－－－>BZ（X）－－－SYN－－－＞BZ（X）－－－SYN－－－＞B……………………………t2:X＜－－－SYN/ACK-----

6、---BX＜－－－SYN/ACK--------B……………………………t3:X＜－－－RST－－－B（2）序列号猜测方法如下：攻击者先与被攻击主机的一个端口（SMTP是一个很好的选择）建立起正常的连接。通常，这个过程被重复若干次，并将目标主机最后所发送的ISN（初始序列号）存储起来。攻击者还需要估计他的主机与被信任主机之间的RTT时间（往返时间），这个RTT时间是通过多次统计平均求出的。(3）实施欺骗Z伪装成A所信任的主机B攻击目标A的过程如下：t1:Z（B）－－SYN－－－>At2:B＜－－－SYN/ACK－－－At3:Z（B）－－

7、－ACK－－－＞At4:Z（B）－－－—PSH－－－＞A2.IP欺骗的防止（1）抛弃基于地址的信任策略（2）进行包过滤（3）使用加密方法（4）使用随机化的初始序列号5.2.3端口扫描1．端口与服务许多的TCP/IP程序都是可以通过网络启动的客户/服务器结构。服务器上运行着一个守护进程，当客户有请求到达服务器时，服务器就启动一个服务进程与其进行通信。为简化这一过程，每个应用服务程序（如WWW、FTP、Telnet等）被赋予一个唯一的地址，这个地址称为端口。端口号由16位的二进制数据表示，范围为0~65535。守护进程在一个端口上监听，等待

8、客户请求。2．端口扫描端口扫描是获取主机信息的一种常用方法。利用端口扫描程序可以了解远程服务器提供的各种服务及其TCP端口分配，了解服务器的操作系统及目标网络结构等信息。作为系统管理员使用扫描工具，可以及时