網路攻防原理

㈠ 常用網路防攻擊軟體原理

1.網路級防火牆

一般是基於源地址和目的地址,應用或協議以及每個IP包的埠來作出通過與否的判斷.一個路由器便是一個"傳統"的網路級防火牆,大多數的路由器都能通過檢查這些信息來決定是否將所收到的包轉發,但它不能判斷出一個IP包來自何方,去向何處.

防火牆檢查每一條規則直至發現包中的信息與某規則相符.如果沒有一條規則能符合,防火牆就會使用默認規則,一般情況下,默認規則就是要求防火牆丟棄該包.其次,通過定義基於TCP或UDP數據包的埠號,防火牆能夠判斷是否允許建立特定的連接,如Telnet,FTP連接.
2.應用級網關

應用級網關能夠檢查進出的數據包,通過網關復制傳遞數據,防止在受信任伺服器和客戶機與不受信任的主機間直接建立聯系.應用級網關能夠理解應用層上的協議,能夠做復雜一些的訪問控制,並做精細的注冊和稽核.它針對特別的網路應用服務協議即數據過濾協議,並且能夠對數據包分析並形成相關的報告.應用網關對某些易於登錄和控制所有輸出輸入的通信的環境給予嚴格的控制,以防有價值的程序和數據被竊取. 在實際工作中,應用網關一般由專用工作站系統來完成.但每一種協議需要相應的代理軟體,使用時工作量大,效率不如網路級防火牆.

應用級網關有較好的訪問控制,是目前最安全的防火牆技術,但實現困難,而且有的應用級網關缺乏"透明度".在實際使用中,用戶在受信任的網路上通過防火牆訪問Internet時,經常會發現存在延遲並且必須進行多次登錄(Login)才能訪問Internet或Intranet.

3.電路級網關
電路級網關用來監控受信任的客戶或伺服器與不受信任的主機間的TCP握手信息,這樣來決定該會話(Session)是否合法,電路級網關是在OSI模型中會話層上來過濾數據包,這樣比包過濾防火牆要高二層.

電路級網關還提供一個重要的安全功能:代理伺服器(Proxy Server).代理伺服器是設置在Internet防火牆網關的專用應用級代碼.這種代理服務准許網管員允許或拒絕特定的應用程序或一個應用的特定功能.包過濾技術和應用網關是通過特定的邏輯判斷來決定是否允許特定的數據包通過,一旦判斷條件滿足,防火牆內部網路的結構和運行狀態便"暴露"在外來用戶面前,這就引入了代理服務的概念,即防火牆內外計算機系統應用層的"鏈接"由兩個終止於代理服務的"鏈接"來實現,這就成功地實現了防火牆內外計算機系統的隔離.同時,代理服務還可用於實施較強的數據流監控,過濾,記錄和報告等功能.代理服務技術主要通過專用計算機硬體(如工作站)來承擔.

4.規則檢查防火牆

該防火牆結合了包過濾防火牆,電路級網關和應用級網關的特點.它同包過濾防火牆一樣,規則檢查防火牆能夠在OSI網路層上通過IP地址和埠號,過濾進出的數據包.它也象電路級網關一樣,能夠檢查SYN和ACK標記和序列數字是否邏輯有序.當然它也象應用級網關一樣,可以在OSI應用層上檢查數據包的內容,查看這些內容是否能符合企業網路的安全規則.

規則檢查防火牆雖然集成前三者的特點,但是不同於一個應用級網關的是,它並不打破客戶機/伺服器模式來分析應用層的數據,它允許受信任的客戶機和不受信任的主機建立直接連接.規則檢查防火牆不依靠與應用層有關的代理,而是依靠某種演算法來識別進出的應用層數據,這些演算法通過已知合法數據包的模式來比較進出數據包,這樣從理論上就能比應用級代理在過濾數據包上更有效.

㈡ 入侵防護系統(IPS)的原理

通過全來面的數據包偵測源，TippingPoint的入侵防禦系統提供吉比特速率上的應用、網路架構和性能保護功能。應用保護能力針對來自內部和外部的攻擊提供快速、精準、可靠的防護。由於具有網路架構保護能力，TippingPoint的入侵防禦系統保護VOIP系統、路由器、交換機、DNS和其他網路基礎免遭惡意攻擊和防止流量異動。TippingPoint的入侵防禦系統的性能保護能力幫助客戶來遏制非關鍵業務搶奪寶貴的帶寬和IT資源，從而確保網路資源的合理配置並保證關鍵業務的性能。

㈢ UDP攻擊怎麼防禦以及防禦原理

UDP攻擊的原理以及防禦方式分析

當下，無孔不入的ddos攻擊已經威脅了多數網站的生存，作為其最主流的攻擊方式之一的UDP flood攻擊，自然也是很多網站主的「噩夢」。下面是關於UDP flood攻擊詳細原理以及防禦方式分析，希望能夠幫助更多的網站主們解決這個「噩夢」

UDP flood 又稱UDP洪水攻擊或UDP淹沒攻擊，UDP是沒有連接狀態的協議，因此可以發送大量的 UDP 包到某個埠，如果是個正常的UDP應用埠，則可能幹擾正常應用，如果是沒有正常應用，伺服器要回送ICMP，這樣則消耗了伺服器的處理資源，而且很容易阻塞上行鏈路的帶寬。

常見的情況是利用大量UDP小包沖擊DNS伺服器或Radius認證伺服器、流媒體視頻伺服器。100k pps的UDPFlood經常將線路上的骨幹設備例如防火牆打癱，造成整個網段的癱瘓。在UDPFLOOD攻擊中，攻擊者可發送大量偽造源IP地址的小UDP包。但是，由於UDP協議是無連接性的，所以只要開了一個UDP的埠提供相關服務的話，那麼就可針對相關的服務進行攻擊，正常應用情況下，UDP包雙向流量會基本相等，而且大小和內容都是隨機的，變化很大。出現UDPFlood的情況下，針對同一目標IP的UDP包在一側大量出現，並且內容和大小都比較固定。

至於防禦方式，由於UDP協議與TCP協議不同，是無連接狀態的協議，並且UDP應用協議五花八門，差異極大，所以針對UDPFlood的防護非常困難，而且要根據具體情況對待。

UDP協議與TCP協議不同，是無連接狀態的協議，並且UDP應用協議五花八門，差異極大，因此針對UDPFlood的防護非常困難。其防護要根據具體情況對待:?

判斷包大小，如果是大包攻擊則使用防止UDP碎片方法：根據攻擊包大小設定包碎片重組大小，通常不小於1500。在極端情況下，可以考慮丟棄所有UDP碎片。

攻擊埠為業務埠：根據該業務UDP最大包長設置UDP最大包大小以過濾異常流量。

攻擊埠為非業務埠：一個是丟棄所有UDP包，可能會誤傷正常業務：一個是建立UDP連接規則，要求所有去往該埠的UDP包，必須首先與TCP埠建立TCP連接。不過這種方法需要很專業的防火牆或其他防護設備支持。

再有就是通過防禦平台進行防禦。ddos.cc平台就是專業的防禦平台。平台通過躍點防護理念，一級高防cdn體系，可以將cc攻擊與ddos攻擊徹底排除在網路應用之外，確保網站24小時不間斷運營。

㈣ 網路攻擊器的原理是什麼是怎麼向固定的ip地址發起進攻的

常見網路攻擊原理
1.1 TCP SYN拒絕服務攻擊
一般情況下，一個TCP連接的建立需要經過三次握手的過程，即：
1、 建立發起者向目標計算機發送一個TCP SYN報文；
2、 目標計算機收到這個SYN報文後，在內存中創建TCP連接控制塊（TCB），然後向發起者回送一個TCP ACK報文，等待發起者的回應；
3、 發起者收到TCP ACK報文後，再回應一個ACK報文，這樣TCP連接就建立起來了。
利用這個過程，一些惡意的攻擊者可以進行所謂的TCP SYN拒絕服務攻擊：
1、 攻擊者向目標計算機發送一個TCP SYN報文；
2、 目標計算機收到這個報文後，建立TCP連接控制結構（TCB），並回應一個ACK，等待發起者的回應；
3、 而發起者則不向目標計算機回應ACK報文，這樣導致目標計算機一致處於等待狀態。
可以看出，目標計算機如果接收到大量的TCP SYN報文，而沒有收到發起者的第三次ACK回應，會一直等待，處於這樣尷尬狀態的半連接如果很多，則會把目標計算機的資源（TCB控制結構，TCB，一般情況下是有限的）耗盡，而不能響應正常的TCP連接請求。

1.2 ICMP洪水

正常情況下，為了對網路進行診斷，一些診斷程序，比如PING等，會發出ICMP響應請求報文（ICMP ECHO），接收計算機接收到ICMP ECHO後，會回應一個ICMP ECHO Reply報文。而這個過程是需要CPU處理的，有的情況下還可能消耗掉大量的資源，比如處理分片的時候。這樣如果攻擊者向目標計算機發送大量的ICMP ECHO報文（產生ICMP洪水），則目標計算機會忙於處理這些ECHO報文，而無法繼續處理其它的網路數據報文，這也是一種拒絕服務攻擊（DOS）。

1.3 UDP洪水

原理與ICMP洪水類似，攻擊者通過發送大量的UDP報文給目標計算機，導致目標計算機忙於處理這些UDP報文而無法繼續處理正常的報文。

1.4 埠掃描

根據TCP協議規范，當一台計算機收到一個TCP連接建立請求報文（TCP SYN）的時候，做這樣的處理：

1、 如果請求的TCP埠是開放的，則回應一個TCP ACK報文，並建立TCP連接控制結構（TCB）；
2、 如果請求的TCP埠沒有開放，則回應一個TCP RST（TCP頭部中的RST標志設為1）報文，告訴發起計算機，該埠沒有開放。

相應地，如果IP協議棧收到一個UDP報文，做如下處理：

1、 如果該報文的目標埠開放，則把該UDP報文送上層協議（UDP）處理，不回應任何報文（上層協議根據處理結果而回應的報文例外）；
2、 如果該報文的目標埠沒有開放，則向發起者回應一個ICMP不可達報文，告訴發起者計算機該UDP報文的埠不可達。

利用這個原理，攻擊者計算機便可以通過發送合適的報文，判斷目標計算機哪些TCP或UDP埠是開放的，過程如下：

1、 發出埠號從0開始依次遞增的TCP SYN或UDP報文（埠號是一個16比特的數字，這樣最大為65535，數量很有限）；
2、 如果收到了針對這個TCP報文的RST報文，或針對這個UDP報文的ICMP不可達報文，則說明這個埠沒有開放；
3、 相反，如果收到了針對這個TCP SYN報文的ACK報文，或者沒有接收到任何針對該UDP報文的ICMP報文，則說明該TCP埠是開放的，UDP埠可能開放（因為有的實現中可能不回應ICMP不可達報文，即使該UDP埠沒有開放）。

這樣繼續下去，便可以很容易的判斷出目標計算機開放了哪些TCP或UDP埠，然後針對埠的具體數字，進行下一步攻擊，這就是所謂的埠掃描攻擊。

1.5 分片IP報文攻擊

為了傳送一個大的IP報文，IP協議棧需要根據鏈路介面的MTU對該IP報文進行分片，通過填充適當的IP頭中的分片指示欄位，接收計算機可以很容易的把這些IP分片報文組裝起來。
目標計算機在處理這些分片報文的時候，會把先到的分片報文緩存起來，然後一直等待後續的分片報文，這個過程會消耗掉一部分內存，以及一些IP協議棧的數據結構。如果攻擊者給目標計算機只發送一片分片報文，而不發送所有的分片報文，這樣攻擊者計算機便會一直等待（直到一個內部計時器到時），如果攻擊者發送了大量的分片報文，就會消耗掉目標計算機的資源，而導致不能相應正常的IP報文，這也是一種DOS攻擊。

1.6 SYN比特和FIN比特同時設置

在TCP報文的報頭中，有幾個標志欄位：
1、 SYN：連接建立標志，TCP SYN報文就是把這個標志設置為1，來請求建立連接；
2、 ACK：回應標志，在一個TCP連接中，除了第一個報文（TCP SYN）外，所有報文都設置該欄位，作為對上一個報文的相應；
3、 FIN：結束標志，當一台計算機接收到一個設置了FIN標志的TCP報文後，會拆除這個TCP連接；
4、 RST：復位標志，當IP協議棧接收到一個目標埠不存在的TCP報文的時候，會回應一個RST標志設置的報文；
5、 PSH：通知協議棧盡快把TCP數據提交給上層程序處理。

正常情況下，SYN標志（連接請求標志）和FIN標志（連接拆除標志）是不能同時出現在一個TCP報文中的。而且RFC也沒有規定IP協議棧如何處理這樣的畸形報文，因此，各個操作系統的協議棧在收到這樣的報文後的處理方式也不同，攻擊者就可以利用這個特徵，通過發送SYN和FIN同時設置的報文，來判斷操作系統的類型，然後針對該操作系統，進行進一步的攻擊。

1.7 沒有設置任何標志的TCP報文攻擊

正常情況下，任何TCP報文都會設置SYN，FIN，ACK，RST，PSH五個標志中的至少一個標志，第一個TCP報文（TCP連接請求報文）設置SYN標志，後續報文都設置ACK標志。有的協議棧基於這樣的假設，沒有針對不設置任何標志的TCP報文的處理過程，因此，這樣的協議棧如果收到了這樣的報文，可能會崩潰。攻擊者利用了這個特點，對目標計算機進行攻擊。

1.8 設置了FIN標志卻沒有設置ACK標志的TCP報文攻擊

正常情況下，ACK標志在除了第一個報文（SYN報文）外，所有的報文都設置，包括TCP連接拆除報文（FIN標志設置的報文）。但有的攻擊者卻可能向目標計算機發送設置了FIN標志卻沒有設置ACK標志的TCP報文，這樣可能導致目標計算機崩潰。

1.9 死亡之PING

TCP/IP規范要求IP報文的長度在一定范圍內（比如，0－64K），但有的攻擊計算機可能向目標計算機發出大於64K長度的PING報文，導致目標計算機IP協議棧崩潰。

1.10 地址猜測攻擊

跟埠掃描攻擊類似，攻擊者通過發送目標地址變化的大量的ICMP ECHO報文，來判斷目標計算機是否存在。如果收到了對應的ECMP ECHO REPLY報文，則說明目標計算機是存在的，便可以針對該計算機進行下一步的攻擊。

1.11 淚滴攻擊

對於一些大的IP包，需要對其進行分片傳送，這是為了迎合鏈路層的MTU（最大傳輸單元）的要求。比如，一個4500位元組的IP包，在MTU為1500的鏈路上傳輸的時候，就需要分成三個IP包。
在IP報頭中有一個偏移欄位和一個分片標志（MF），如果MF標志設置為1，則表面這個IP包是一個大IP包的片斷，其中偏移欄位指出了這個片斷在整個IP包中的位置。例如，對一個4500位元組的IP包進行分片（MTU為1500），則三個片斷中偏移欄位的值依次為：0，1500，3000。這樣接收端就可以根據這些信息成功的組裝該IP包。

如果一個攻擊者打破這種正常情況，把偏移欄位設置成不正確的值，即可能出現重合或斷開的情況，就可能導致目標操作系統崩潰。比如，把上述偏移設置為0，1300，3000。這就是所謂的淚滴攻擊。

1.12 帶源路由選項的IP報文

為了實現一些附加功能，IP協議規范在IP報頭中增加了選項欄位，這個欄位可以有選擇的攜帶一些數據，以指明中間設備（路由器）或最終目標計算機對這些IP報文進行額外的處理。

源路由選項便是其中一個，從名字中就可以看出，源路由選項的目的，是指導中間設備（路由器）如何轉發該數據報文的，即明確指明了報文的傳輸路徑。比如，讓一個IP報文明確的經過三台路由器R1，R2，R3，則可以在源路由選項中明確指明這三個路由器的介面地址，這樣不論三台路由器上的路由表如何，這個IP報文就會依次經過R1，R2，R3。而且這些帶源路由選項的IP報文在傳輸的過程中，其源地址不斷改變，目標地址也不斷改變，因此，通過合適的設置源路由選項，攻擊者便可以偽造一些合法的IP地址，而矇混進入網路。

1.13 帶記錄路由選項的IP報文

記錄路由選項也是一個IP選項，攜帶了該選項的IP報文，每經過一台路由器，該路由器便把自己的介面地址填在選項欄位裡面。這樣這些報文在到達目的地的時候，選項數據裡面便記錄了該報文經過的整個路徑。
通過這樣的報文可以很容易的判斷該報文經過的路徑，從而使攻擊者可以很容易的尋找其中的攻擊弱點。

1.14 未知協議欄位的IP報文

在IP報文頭中，有一個協議欄位，這個欄位指明了該IP報文承載了何種協議 ，比如，如果該欄位值為1，則表明該IP報文承載了ICMP報文，如果為6，則是TCP，等等。目前情況下，已經分配的該欄位的值都是小於100的，因此，一個帶大於100的協議欄位的IP報文，可能就是不合法的，這樣的報文可能對一些計算機操作系統的協議棧進行破壞。

1.15 IP地址欺騙

一般情況下，路由器在轉發報文的時候，只根據報文的目的地址查路由表，而不管報文的源地址是什麼，因此，這樣就 可能面臨一種危險：如果一個攻擊者向一台目標計算機發出一個報文，而把報文的源地址填寫為第三方的一個IP地址，這樣這個報文在到達目標計算機後，目標計算機便可能向毫無知覺的第三方計算機回應。這便是所謂的IP地址欺騙攻擊。

比較著名的SQL Server蠕蟲病毒，就是採用了這種原理。該病毒（可以理解為一個攻擊者）向一台運行SQL Server解析服務的伺服器發送一個解析服務的UDP報文，該報文的源地址填寫為另外一台運行SQL Server解析程序（SQL Server 2000以後版本）的伺服器，這樣由於SQL Server 解析服務的一個漏洞，就可能使得該UDP報文在這兩台伺服器之間往復，最終導致伺服器或網路癱瘓。

1.16 WinNuke攻擊

NetBIOS作為一種基本的網路資源訪問介面，廣泛的應用於文件共享，列印共享，進程間通信（IPC），以及不同操作系統之間的數據交換。一般情況下，NetBIOS是運行在LLC2鏈路協議之上的，是一種基於組播的網路訪問介面。為了在TCP/IP協議棧上實現NetBIOS，RFC規定了一系列交互標准，以及幾個常用的TCP/UDP埠：

139：NetBIOS會話服務的TCP埠；
137：NetBIOS名字服務的UDP埠；
136：NetBIOS數據報服務的UDP埠。

WINDOWS操作系統的早期版本（WIN95/98/NT）的網路服務（文件共享等）都是建立在NetBIOS之上的，因此，這些操作系統都開放了139埠（最新版本的WINDOWS 2000/XP/2003等，為了兼容，也實現了NetBIOS over TCP/IP功能，開放了139埠）。

WinNuke攻擊就是利用了WINDOWS操作系統的一個漏洞，向這個139埠發送一些攜帶TCP帶外（OOB）數據報文，但這些攻擊報文與正常攜帶OOB數據報文不同的是，其指針欄位與數據的實際位置不符，即存在重合，這樣WINDOWS操作系統在處理這些數據的時候，就會崩潰。

1.17 Land攻擊

LAND攻擊利用了TCP連接建立的三次握手過程，通過向一個目標計算機發送一個TCP SYN報文（連接建立請求報文）而完成對目標計算機的攻擊。與正常的TCP SYN報文不同的是，LAND攻擊報文的源IP地址和目的IP地址是相同的，都是目標計算機的IP地址。這樣目標計算機接收到這個SYN報文後，就會向該報文的源地址發送一個ACK報文，並建立一個TCP連接控制結構（TCB），而該報文的源地址就是自己，因此，這個ACK報文就發給了自己。這樣如果攻擊者發送了足夠多的SYN報文，則目標計算機的TCB可能會耗盡，最終不能正常服務。這也是一種DOS攻擊。