因特网与TCPIP安全PPT.ppt

Farmer-Venema X终端技术组合使用rsh和Telnet来产生并行的攻击。该方法包括堆积一些命令，入侵者用rsh连接到X终端并调用X终端的Telnet客户机程序，最后，使用指定DISPLAY选项或变量将输出重定向到入侵者的本地终端上。 另外，我们可以用Telnet确定目标是实(Real)域还是虚(Virtual)域。它可以帮助入侵者准确地确定要攻击的机器资源，或者更精确地确定攻击过程中与之交战的是哪台机器。 正常情况下，一个实域(Real Domain)就是一种具有经过Inter NIC正式注册的域。它拥有自己的服务器，具有永久性的IP地址，用28.8 Kb/s modem、ISDN、56 Kb/s modem、Frame Relay、T1、T3、ATM永久性地连到Internet。Telnet到一个实域，就是连接到那台机器而不是其它机器。 虚域(Virtual Domain)则不一样，简单地说就是在实服务器上的一个目录取了一个特定的域名。如付费给某些ISP进行域名登记并在其磁盘空间产生一个目录作为虚域，这种方法允许“your_”伪装成一台实服务器。如此一来，当用户将其浏览器指向“www.your_”时，他们到达的实际是ISP的服务器。ISP服务器将连接请求重定向到服务器中对应目录处。由于各种原因(如费用)，使虚域方式很流行。一般来说，付上一次启动费用(以后每月付一次月租)后ISP将处理一切事务。 对入侵者来说，这是一个很重要的问题。比如，入侵者打算破译某个域，但尚未确定目标是否是一台真实的服务器。有可能他们认为正在入侵办公室的一些小机器，而事实上，他们正在攻击一台大型的、著名的ISP服务器。 Telnet常常暴露服务器状态。当入侵者启动Telnet连到“your_”时(连接时，可以看到机器名，机器名看起来像大网络上的节点)，他马上就知道地址是一个虚域。 此外，Telnet还可以用于其它恶意目的，其一就是有名的“brute-force”攻击。近来，几乎所有的服务器都有遭受这种攻击的记载，其最常用的启动方法就是Telnet客户机程序，攻击者用自己的脚本语言编制这些程序，Tera Term (http://hp.vector.co.jp/authors/VA002416/teraterm.html)就是一种。 5.8 ICMP 协 议 ICMP与IP位于同一层，它通常被认为是IP层的一个组成部分。它传递差错报文以及其它需要注意的控制信息。ICMP报文是在IP数据报内部被传输的，如图5-22所示。 ICMP的报文格式如图5-23所示，所有报文的前四个字节都是一样的，但是剩下的其它字节则互不相同。下面我们简要介绍各种报文格式。 图5-22 ICMP封装在IP数据报内部 图5-23 ICMP报文 类型字段可以有15种不同的值，以描述特定类型的ICMP报文。某些ICMP报文还使用代码字段的值来进一步描述不同的条件。 校验和字段覆盖整个ICMP报文。使用的算法和IP首部校验和算法相同。ICMP的校验和是必须的。 5.8.1 ICMP报文类型 各种类型的ICMP报文类型如图5-24所示，不同类型由报文中的类型字段和代码字段来共同决定。图中，最后两列表明ICMP报文是一份查询报文还是一份差错报文。 图5-24 ICMP报文类型 5.8.2 Smurf攻击 Smurf攻击是以最初发动这种攻击的程序名Smurf来命名的。这种攻击方法结合IP地址欺骗和ICMP回复方法使大量网络通信充斥目标系统，使得目标系统拒绝为正常系统进行服务。 攻击的过程是这样的：攻击者向一个具有大量主机和因特网连接的网络的广播地址发送一个欺骗性ping分组(echo 请求，类型8，代码0)，这个目标网络被称为反弹站点，而欺骗性ping分组的源地址就是攻击者希望攻击的系统。 这种攻击的前提是，路由器接收到这个发送给IP广播地址(如55)的分组后，会认为这就是广播分组，并且把以太网广播地址FF:FF:FF:FF:FF:FF映射过来。这样路由器从因特网上接收到该分组，会对本地网段中的所有主机进行广播。 读者肯定能够想到下面会发生什么情况。网段中的所有主机都会向欺骗性分组的IP地址发送echo响应信息。如果这是一个很