远东控股集团--常见网络攻击类型以及应对策略

《远东控股集团--常见网络攻击类型以及应对策略》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、常见网络攻击以及应对方法作者远东控股集团信息屮心马建明时间2012年4月14H目录1.TCPSYN拒绝服务攻击32.ICMP洪水43.端口扫描5l.TCPSYN拒绝服务攻击一般情况下，一个TCP连接的建立需要经过三次握手的过程，BP：1、建立发起者向廿标计算机发送一个TCPSYN报文；2、廿标计算机收到这个SYN报文后，在内存中创建TCP连接控制块（TCB）,然后向发起者回送一个TCPACK报文，等待发起者的冋应；3、发起者收到TCPACK报文后，再回应一个ACK报文，这样TCP连接就建立起來了

2、。利用这个过程，一些恶意的攻击者可以进行所谓的TCPSYN拒绝服务攻击：1、攻击者向目标计算机发送一个TCPSYN报文；2、「I标计算机收到这个报文后，建立TCP连接控制结构（TCB）,并回应一个ACK,等待发起者的冋应；3、而发起者则不向口标计算机回应ACK报文，这样导致目标计算机一致处于等待状态。可以看出，H标计算机如果接收到大量的TCPSYN报文，而没有收到发起者的第三次ACK回应，会一直等待，处于这样尴尬状态的半连接如果很多，则会把1=1标计算机的资源（TCB控制结构，TCB,-•般情况

3、卜■是有限的）耗尽，而不能响应正常的TCP连接请求。应对方法：在iptables中加入下面儿行：[root@yuandong~]#vim/etc/sysconfig/iptablesiptables-AFORWARD-ptcp-syn-mlimit-limit1/s-limit-burst5-jACCEPT[root@yuandong~]#/etc/init.d/iptablesrestart2.ICMP洪水正常情况下，为了对网络进行诊断，一些诊断程序，比如PING等，会发出ICMP响应请求报文

4、(ICMPECHO),接收计算机接收到ICMPECHO后，会回应一个ICMPECHOReply报文。而这个过程是需要CPU处理的，有的情况下还可能消耗掉大量的资源，比如处理分片的时候。这样如果攻击者向目标计算机发送大杲的ICMPECH0报文(产生ICMP洪水),则目标计算机会忙于处理这些ECHO报文，而无法继续处理其它的网络数据报文，这也是—种拒绝服务攻击(D0S)o应对方法：在iptables中加入卜•血几行：[root@yuandong~]#vim/etc/sysconfig/iptable

5、siptables-AFORWARD-picmp-icmp-typeecho-request-mlimit--limit1/s-jACCEPT[root@yuandong~]#/etc/init.d/iptablesrestart3•端口扫描根据TCP协议规范，当一台计算机收到一个TCP连接建立请求报文（TCPSYN）的时候，做这样的处理：1、如果请求的TCP端口是开放的，贝IJ回应一个TCPACK报文，并建立TCP连接控制结构（TCB）；2、如果请求的TCP端口没有开放，则冋应一个TCPRST

6、（TCP头部中的RST标志设为1）报文，告诉发起计算机，该端口没有开放。相应地，如果IP协议栈收到一个UDP报文，做如下处理：1、如果该报文的目标端口开放，则把该UDP报文送上层协议（UDP）处理，不冋应任何报文（上层协议根据处理结果而回应的报文例外）；2、如果该报文的1=1标端口没有开放，则向发起者回应一个ICMP不可达报文，告诉发起者计算机该UDP报文的端口不可达。利用这个原理，攻击者计算机便可以通过发送合适的报文，判断目标计算机哪些TCP或UDP端口是开放的，过程如下：1、发出端口号从0开

7、始依次递增的TCPSYN或UDP报文（端口号是一个16比特的数字,这样最大为65535,数量很有限）;2、如杲收到了针对这个TCP报文的RST报文，或针对这个UDP报文的ICMP不可达报文，则说明这个端口没有开放；3、相反，如果收到了针对这个TCPSYN报文的ACK报文，或者没有接收到任何针对该UDP报文的ICMP报文，则说明该TCP端口是开放的，UDP端口可能开放（因为有的实现中可能不冋应1CMP不可达报文，即使该UDP端口没有开放）。这样继续下去，便可以很容易的判断出目标计算机开放了哪些TC

8、P或UDP端口，然后针对端口的具体数字，进行下一步攻击，这就是所谓的端口扫描攻击。应对方法：在iptables中加入卜-而儿行：[root@yuandong~]#vim/etc/sysconfig/iptablesIptables-AFORWARD-ptcp-tcp-flagsSYN,ACK,FIN,RSTRST-mlimit--limit1/s-jACCEPT[root@yuandong~]#/etc/init.d/iptablesrestart