信息安全技术5-网络入侵与攻击(三)

第五章网络入侵与攻击（三）内容提要1.缓冲区溢出攻击2.拒绝服务攻击33.信息战与信息武器WEB WEB攻击WEB 安全威胁安威胁客户端与服务器间信息传输的安全服务器端的安全问题9软件漏洞Web攻击类型 缓冲区溢出攻击9服务器端的错误配置客户端安全问题9Web 站点提供的免费应用程序 拒绝服务攻击 Web欺骗9利用浏览器的漏洞欺骗 Cookie欺骗：Cookie保存信息（用户身份，时间戳等），通常没有加密，黑客可以对它们进行修改电子行窃 已知漏洞、后门和debug等入侵第节第一节缓冲区溢出攻击1 概述1988年，第一个缓冲区溢出攻击的例子： 1988 年，第个缓冲区溢出攻击的例子：Morris 蠕虫，利用系统OpenSSL 包的缓冲区溢出漏洞攻击网络服务器。

感染了6000 多台计算机损失九千多万美元机，损失九千多万美元。

1998年，CERT 的13份建议中，有9份是与缓冲区溢出有关的。

年 2003年，Slammer 蠕虫利用微软SQL 漏洞产生缓冲区溢出对全球互联网产生冲击。

年缓冲区溢出占 2006年，缓冲区溢出占CERT/CC 建议的重大安全性错误的百分之五十以上。

1 概述缓冲区溢出是通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其它指令，达到攻击的目的。

据统计，通过缓冲区溢出进行的攻击占所有系统攻击总数的80%以上。

利用目标程序的缓冲区溢出漏洞，通过操作目标程序堆栈并暴力改写其返回地址，获得目标控制权的攻击手段；目的在于扰乱具有某些特权运行的程序的功能，使得攻击者取得程序的控制权，如果该程序具有足够权限，那么整个主机就被控制。

1 概述传递到函数的参数函数的返回地址堆栈基址栈底内存高端局部变量缓冲区栈顶内存底端完成以下任务：攻击代码植入目标程序地址空间；改写返回地址为攻击代码地址，让程序跳转到安排的地址空间执行以获得程序控制权；获得序制权常见缓冲区溢出攻击都是一次完成攻击代码植入和程序转向攻击代码两种功能。

1 概述两种在被攻击程序地址空间里安排攻击代码的方法两种在被攻击程序地址空间里安排攻击代码的方法：(1) 植入法：攻击者向被攻击的程序输入一个字符串，程序会把这个字符串放到缓攻击者向被攻击的程序输入个字符串，程序会把这个字符串放到缓冲区里。

这个字符串包含的资料是可以在这个被攻击的硬件平台上运行的指令序列而攻击者用被攻击程序的缓冲区来存放攻击代码如堆栈指令序列，而攻击者用被攻击程序的缓冲区来存放攻击代码。

如：堆栈（stack ，自动变量）、堆（heap ，动态分配的内存区）和静态资料区。

1 概述两种在被攻击程序地址空间里安排攻击代码的方法两种在被攻击程序地址空间里安排攻击代码的方法：利存在的代（2）利用已经存在的代码：有时攻击者要的代码已在被攻击的程序中，攻击者只是对代码传递一些参数。

比如，攻击代码要求执行“exec (“/bin/sh”)”，而在libc 库中的代码执行“exec (arg)”，其中arg 为指向一个字符串的指针参数，那么攻击者只要把传入的参数指针改向指向”/bin/sh”。

2缓冲区溢出保护方法软件开发阶段写正确的代码。

C语言（C＋＋）本身的不安全性。

安全编程技术包括避免使用非安全的C函数、执行边界检查、采用非执行堆栈技术等手段。

9避免使用非安全的C函数。

如gets（）、strcpy（）；9采用非可执行堆栈技术，数据段和堆栈数据段地址空间不可执行；9数组边界检查，对所有数组的读写操作进行范围检查。

如：字符串的零结尾；9程序指针完整性检查。

程序指针完整性检查在程序指针被引用之前检测改变；9改进C语言函数库；9使堆栈向高地址方向增长；9函数地址指针和其它数据地址的分离；2缓冲区溢出保护方法编译检查阶段静态测试工具，静态测试工具检查代码但不运行之。

用来搜索源代码检查是否存在对危险函数的调用如t 和t 等¾用grep来搜索源代码，检查是否存在对危险函数的调用，如gets和strcpy等；¾Compaq C编译器在编译时对程序中数组边界的检查来保证有限的安全性；gcc补丁可以用来实现对C程序进行完全数组边界检查¾gcc补丁可以用来实现对C程序进行完全数组边界检查；¾Purify工具。

Purify是一种C程序调试时查看存储器使用的工具；Stackguard工具在已分配数据堆栈的末尾设置标志位并在缓冲区可能溢出前查¾Stackguard工具在已分配数据堆栈的末尾设置标志位，并在缓冲区可能溢出前查看标志位是否已被改变。

动态测试工具如错误注入技术(Fault Injection)及FIST等故障注入工具。

通过人为随机地产生一些缓冲区溢出来寻找代码的安全漏洞，有效查找缓冲区溢出漏洞。

地产生些缓冲区溢出来寻找代码的安全漏洞，有效查找缓冲区溢出漏洞。

2缓冲区溢出保护方法安全配置使用阶段隐藏系统信息攻击者需要系统信息才能确定缓冲区溢出漏洞所在并发动相¾隐藏系统信息。

攻击者需要系统信息才能确定缓冲区溢出漏洞所在，并发动相应的攻击如不显示系统登录提示信息,使系统对ping没有反应等；关闭不需要的服务¾关闭不需要的服务；¾最小权限原则。

取消普通用户的控制台访问权限；减少特权程序的使用；¾及时下载操作系统补丁；¾及时给程序漏洞打补丁，如果还没有补丁，可以停掉该应用程序或者使用其它的替代品；¾对于UNIX/Linux系统，去掉特权程序的SUID或SGID；¾迁移到托管代码。

3缓冲区溢出攻击攻击例程char name[]="1111111";char name[]="111111111111111111111";int main()[]int main(){char output[8];strcpy(output,name);(){ char output[8];strcpy(output,name);for(int i=0;i<8&&output[i];i++)for(int i=0;i<8&&output[i];i++)printf("\\0x%x",output[i]);return 0;}printf("\\0x%x",output[i]);return 0; }第二节拒绝服务攻击1D S 1 DoS概述 它是一种简单的破坏性攻击行为，广义上可以指任何导致服务器不能正常提供服务的攻击。

确切地说，DoS 攻击是指故意攻击网络协议实现的缺陷或直接通过各种手段耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务，使目标系统停止响应甚至崩溃。

服务资源包括网络带宽，文件系统空间容量，开放的进程或者允许的连接等。

200029日，美国著名的搜索引擎Yahoo 、新闻网站CNN 、电子商务网站年月日美国著名的搜索引擎新闻网站电子商务网站AMAZON 、EBAY 、 等几个大网站遭到强烈的分布式拒绝服务攻击，服务器连续几十个小时无法正常工作，造成高达12亿美元的经济损失。

1拒绝服务攻击概述特点：隐蔽性更好,如采用IP欺骗技术或者利用木马程序，难以追查的目的；多采用分布式技术由单攻击源进攻转变为多个攻击源对单目标 多采用分布式技术，由单一攻击源进攻转变为多个攻击源对单一目标进攻；具将更易操作功能将更完善破坏性更大有意的非黑客也能 工具将更易操作，功能将更完善，破坏性更大，有恶意的非黑客也能使用；将会更多的针对路由器和网关的弱点进行,如利用路由器的多点传送功能将攻击破坏程度扩大若干倍;将会更多的针对TCP/IP协议的先天缺陷而进行，如半连接SYN攻击和ACK攻击；要对服务器实施拒绝服务攻击方式有两个2拒绝服务攻击的原理要对服务器实施拒绝服务攻击，方式有两个：迫使服务器的缓冲区满，不接收新的请求。

使用IP欺骗迫使服务器把合法用户的连接复位影响合法用户的连接 使用IP欺骗，迫使服务器把合法用户的连接复位，影响合法用户的连接，这也是DoS攻击实施的基本思想。

攻击者受害者带虚假地址的请求信息回复虚假地址受害者等待回传信息3拒绝服务攻击的分类（1）利用协议缺陷DoS攻击以多个随机源主机地址向目的主机发送SYN包在收到目的主机的SYN 以多个随机源主机地址向目的主机发送SYN包，在收到目的主机的SYN ACK后并不回应，这样目的主机为这些源主机建立了大量的连接队列并持续，造成资源大量消耗而不能向正常请求提供服务造成资源大量消耗而不能向正常请求提供服务。

（2）利用软件实现的缺陷进行的DoS 攻击对某种特定类型报文或请求没有处理（如特大数据包），导致软件运行异常，甚至系统崩溃。

Teardrop ，Land 等。

3拒绝服务攻击的分类（3）发送大量无用突发数据攻击耗尽资源凭借着手中丰富的资源，发送大量的垃圾数据侵占资源。

（4）欺骗型攻击以伪造自身的方式来取得对方的信任从而达到迷惑对方瘫痪其服务的目的常见的是伪造自己的或目的（通常是个不可到达的目标或受害者的。

常见的是伪造自己的或目的IP （通常是一个不可到达的目标或受害者的地址），或者伪造路由项目，或者伪造DNS 解析地址等，受攻击的服务器因为无法辨别这些请求或无法正常响应这些请求。

4分布式拒绝服务攻击DDos利用一批受控制的机器向一台机器发起攻击，攻击来势迅猛、难以防备，具有较大的破坏性。

常用的工具9Trin00, 00,9TFN/TFN2K,9Stacheldraht很难防范伪造源地址，流量加密，很难跟踪4分布式拒绝服务攻击DDos一次完整的DDos攻击过程（1）攻击者使用扫描工具探测大量主机寻找潜在入侵目标：被攻击目标主机数目、地址情况；目标主机的配置和性能目标主机的配置和性能； 目标的带宽。

攻击者设法入侵有安全漏洞的主机并获得控制权这些主机被（2）攻击者设法入侵有安全漏洞的主机，并获得控制权。

这些主机被用于放置后门、sniffer、守护程序或者客户程序。

链路状态好；性能好； 安全管理水平差。

4分布式拒绝服务攻击DDos一次完整的DDos攻击过程（3）黑客在得到入侵计算机清单后从中选择建立网络需要的主机（3）黑客在得到入侵计算机清单后，从中选择建立网络需要的主机，并放置编译好的守护程序，并对被控制的计算机发送命令。

FTP传送FTP传送。

（4）黑客发送控制命令给主机，准备启动对目标系统的攻击。

（5）主机发送攻击信号给控制计算机，开始攻击。

（6）目标系统被无数的伪造的请求淹没，无法对合法用户响应。

监控攻击效果：如Ping 目标主机，伺机调整攻击强度。