网络攻防原理与技术课件最新版第8-14章
合集下载
网络攻防原理与技术课件最新版第7、8章
找到以词典为基础 的口令
其它的攻击方式
口令安全最容易想到的一个威胁就是口令破解，许多公 司因此花费大量功夫加强口令的安全性、牢固性、不可 破解性，但即使是看似坚不可摧很难破解的口令，还是 有一些其它手段可以获取的，类似大开着的“后门”。
社会工程学 偷窥 搜索垃圾箱 口令蠕虫 特洛伊木马 网络监听 重放
社会工程学：通过欺诈手段或人际关系获取密码。 暴力破解：尝试所有字符的组合方式。获取密码只是
时间问题，是密码的终结者。
口令攻击的方法（cont.）
简单口令猜解：很多人使用自己或家人的生日 、电话号码、房间号码、简单数字或者身份证 号码中的几位；也有的人使用自己、孩子、配 偶或宠物的名字，这样黑客可以很容易通过猜 想得到密码。
社会工程学
社会工程学：是一种让人们顺从你的意愿、满足你的 欲望的一门艺术与学问，并不直接运用技术手段，而 是一种利用人性的弱点、结合心理学知识，通过对人 性的理解和人的心理的了解来获得目标系统敏感信息 的技术。简单来说，就是欺骗人们去获得本来无法访 问的信息。
在多数的公司里，如果得到信任，就会被允许拥有访问这个 公司信息的特权，如雇员、合同方。
受骗者：是吗？那好，如果其它人的机器速度都加快了，那么我也这 样做一下。现在我需要做些什么？
攻击者：嗯，你不需要做什么。我可以远程地把一切都为你做好，但 为了能够这样做，我需要知道你的VPN用户名和口令。
受骗者：你真的能够远程地做好这一切？真是太好了。嗯，我的用户 名是abc，口令是chaodong。
字典档（字典攻击）
字典攻击：利用程序尝试字典中的单词的每种 可能性。字典可以是词典或者常用口令的字典 数据库。
只有被破解用户的密码存在于字典档中，才会 被这种方式所找到。
其它的攻击方式
口令安全最容易想到的一个威胁就是口令破解，许多公 司因此花费大量功夫加强口令的安全性、牢固性、不可 破解性，但即使是看似坚不可摧很难破解的口令，还是 有一些其它手段可以获取的，类似大开着的“后门”。
社会工程学 偷窥 搜索垃圾箱 口令蠕虫 特洛伊木马 网络监听 重放
社会工程学：通过欺诈手段或人际关系获取密码。 暴力破解：尝试所有字符的组合方式。获取密码只是
时间问题，是密码的终结者。
口令攻击的方法（cont.）
简单口令猜解：很多人使用自己或家人的生日 、电话号码、房间号码、简单数字或者身份证 号码中的几位；也有的人使用自己、孩子、配 偶或宠物的名字，这样黑客可以很容易通过猜 想得到密码。
社会工程学
社会工程学：是一种让人们顺从你的意愿、满足你的 欲望的一门艺术与学问，并不直接运用技术手段，而 是一种利用人性的弱点、结合心理学知识，通过对人 性的理解和人的心理的了解来获得目标系统敏感信息 的技术。简单来说，就是欺骗人们去获得本来无法访 问的信息。
在多数的公司里，如果得到信任，就会被允许拥有访问这个 公司信息的特权，如雇员、合同方。
受骗者：是吗？那好，如果其它人的机器速度都加快了，那么我也这 样做一下。现在我需要做些什么？
攻击者：嗯，你不需要做什么。我可以远程地把一切都为你做好，但 为了能够这样做，我需要知道你的VPN用户名和口令。
受骗者：你真的能够远程地做好这一切？真是太好了。嗯，我的用户 名是abc，口令是chaodong。
字典档（字典攻击）
字典攻击：利用程序尝试字典中的单词的每种 可能性。字典可以是词典或者常用口令的字典 数据库。
只有被破解用户的密码存在于字典档中，才会 被这种方式所找到。
第8章网络安全与攻防技术.pptx
8.2.6.1 防火墙
• 防火墙的基本目标： (1)内部网络和外部网络之间的所有通信量 都要经过防火墙的检测。 (2)只有授权的协议和服务，通过防火墙安 全策略定义后才能被允许通过。 (3)本身具有防攻击的能力。
• 防火墙主要有两种类型，分别是包过滤防 火墙和应用级网关。
8.2.6.2 防病毒
• 计算机病毒也有其生命周期，一般经历四个阶段： (1)潜伏阶段 (2)繁殖阶段 (3)触发阶段 (4)执行阶段
• 特点： 1、采用双密钥
2、从加密算法和加密密钥要确定解密密钥， 在计算上是不行的。 3、解决常规加密所面临的两大难题：分配 密钥的难题；数字签名的难题
• 主要典型算法： 1、RSA算法 2、DSA算法
8.1.5 散列函数
• Hash函数H一般满足以下几个基本要求： (1) 输入x可以为任意长度；输出数据串长 度固定； (2) 正向计算容易，即给定任何m，容易算 出h=H(m)； (3) 反向计算困难，即p=H-1(m)在计算上是 不可行的，这也是散列函数的单向属性； (4) 抗冲突性
第8章 网络安全与攻防技术
8.1 信息安全技术 8.2 网络安全 8.3 网络攻击与防范
本章学习要求
• 了解网络安全的概念 • 掌握密码体制和应用 • 掌握主要的认证技术：消息认证、身份认
证和数字签名 • 掌握电子邮件安全协议：PGP和S/MIME • 掌握防火墙的概念和种类 • 了解计算机病毒的概念和基本防范措施 • 了解入侵检测的方法
8.2.6.4 网络管理安全
• 网络安全管理实施的目标如下： (1) 集中化的安全策略管理 (2) 实时安全监视 (3) 安全联动机制 (4) 配置与补丁管理 (5) 统一的权限管理 (6) 设备管理(Device Management)
网络攻防原理与技术课件最新版第8章身份认证与口令攻击
Kerberos认证协议
安全性分析
一旦用户获得过访问某个服务器的许可证， 只要在许可证的有效期内，该服务器就可根 据这个许可证对用户进行认证，而无需KDC 的再次参与；
实现了客户和服务器间的双向认证； 支持跨域认证； 应用广泛，互操作性好。
Kerberos认证协议
安全性分析
Kerberos认证中使用的时间戳机制依赖于域 内时钟同步，如果时间不同步存在较大的安 全风险；
第 八 章 身份认证与口令攻击
内容提纲
1 身份认证 2 口令行为规律和口令猜测
3 口令破解 4 口令防御
身份认证
一个系统的安全性常常依赖于对终端用户身份的正确识别 与检查。对计算机系统的访问必须根据访问者的身份施加 一定的限制，这些是最基本的安全问题。
身份认证一般涉及两方面的内容：识别和验证。 识别：识别是指要明确访问者是谁，即必须对系统中 的每个合法用户都有识别能力。 要保证识别的有效性，必须保证任意两个不同的用 户都不能具有相同的识别符。 验证：验证是指在访问者声称自己的身份后(向系统输 入它的识别符)，系统还必须对它所声称的身份进行验 证，以防假冒。
脆弱口令行为
口令构造的偏好性选择：口令字符构成
表8-4 中英文用户口令的字符组成结构（文献[52]的表3，表中数据单位为%）
脆弱口令行为
口令构造的偏好性选择：口令长度
表8-5 中英文用户口令的长度分布（文献[52]的表4，表中数据单位为%）
脆弱口令行为
口令重用：
为了方便记忆，用户不可避免地使用流行密码 ，在不同网站重复使用同一个密码，同时在密 码中嵌入个人相关信息，如姓名和生日等
S/KEY
基本原理
S/KEY
安全性分析
网络安全行业网络攻防技术培训ppt
网络安全行业网络攻防技术培训
汇报人：可编辑
BIG DATA EMPOWERS TO CREATE A NEWERA
目录
CONTENTS
网络安全行业概述网络攻防技术基础网络攻击技术详解防御技术详解攻防技术实践案例
BIG DATA EMPOWERS TO CREATE A NEWERA
网络安全行业概述
BIG DATA EMPOWERS TO CREATE A NEWERA
网络攻击技术详解
社交工程攻击是一种利用人类心理和社会行为的弱点进行攻击的方法。
总结词
社交工程攻击通常涉及利用人们的信任、好奇心、恐惧等心理因素，诱导他们泄露敏感信息或执行恶意操作。常见的社交工程攻击手段包括钓鱼邮件、恶意网站、假冒身份等。
详细描述
恶意软件攻击是一种通过传播恶意软件来破坏、控制或窃取计算机系统的攻击方式。
恶意软件可以包括病毒、蠕虫、特洛伊木马等，它们通过感染文件、网络传播等方式传播，对计算机系统和数据安全构成严重威胁。
详细描述
总结词
总结词
详细描述
漏洞利用攻击通常涉及发现并利用漏洞，以获得对目标系统的未授权访问或控制权。这种攻击方式对网络安全构成严重威胁，因此及时修复漏洞至关重要。
详细描述
入侵检测系统通过实时监测和分析网络流量，发现异常行为和潜在威胁，及时发出警报并采取相应措施。入侵防御系统则更进一步，直接对恶意流量进行过滤和阻断，防止攻击造成损害。
总结词
数据加密技术采用特定的算法和密钥对数据进行加密处理，使得只有持有正确密钥的人员才能解密和访问数据。常见的加密算法包括对称加密、非对称加密和混合加密等。
BIG DATA EMPOWERS TO CREATE A NEWERA
汇报人：可编辑
BIG DATA EMPOWERS TO CREATE A NEWERA
目录
CONTENTS
网络安全行业概述网络攻防技术基础网络攻击技术详解防御技术详解攻防技术实践案例
BIG DATA EMPOWERS TO CREATE A NEWERA
网络安全行业概述
BIG DATA EMPOWERS TO CREATE A NEWERA
网络攻击技术详解
社交工程攻击是一种利用人类心理和社会行为的弱点进行攻击的方法。
总结词
社交工程攻击通常涉及利用人们的信任、好奇心、恐惧等心理因素，诱导他们泄露敏感信息或执行恶意操作。常见的社交工程攻击手段包括钓鱼邮件、恶意网站、假冒身份等。
详细描述
恶意软件攻击是一种通过传播恶意软件来破坏、控制或窃取计算机系统的攻击方式。
恶意软件可以包括病毒、蠕虫、特洛伊木马等，它们通过感染文件、网络传播等方式传播，对计算机系统和数据安全构成严重威胁。
详细描述
总结词
总结词
详细描述
漏洞利用攻击通常涉及发现并利用漏洞，以获得对目标系统的未授权访问或控制权。这种攻击方式对网络安全构成严重威胁，因此及时修复漏洞至关重要。
详细描述
入侵检测系统通过实时监测和分析网络流量，发现异常行为和潜在威胁，及时发出警报并采取相应措施。入侵防御系统则更进一步，直接对恶意流量进行过滤和阻断，防止攻击造成损害。
总结词
数据加密技术采用特定的算法和密钥对数据进行加密处理，使得只有持有正确密钥的人员才能解密和访问数据。常见的加密算法包括对称加密、非对称加密和混合加密等。
BIG DATA EMPOWERS TO CREATE A NEWERA
《网络攻防原理与技术(第 3 版)》教学课件第7章
如IIS服务器的溢出漏洞，通过一个“IISHack”的攻 击程序就可使IIS服务器崩溃，并同时在被攻击服务 器执行“木马”程序。
MIME漏洞则是利用Internet Explorer在处理不正常的 MIME类型存在的问题，攻击者有意地更改MIME类 型，使IE可以不提示用户而直接运行电子邮件附件 中的恶意程序等。
配置木马 传播木马 启动木马 建立连接 远程控制
配置木马
配置木马：
通信配置：监听端口、DNS、IP等 功能配置：文件读取、键盘监听、截屏等 安装配置：安装路径、文件名、是否删除安
装文件、注册表启动项等
配置木马
案例：冰河木马的配置界面
远程控制木马的运行步骤
远程控制木马进行网络入侵的过程:
远程控制木马
木马体系结构：C/S 架构，木马程序 + 控 制端程序
木马程序即是服务器端程序。 控制端程序作为客户端，用于攻击者远程控
制被植入木马的机器。
远程控制木马与远程控制软件的区别?
隐蔽性: 木马被隐藏，避免被发现； 非授权性：木马程序不经授权控制主机
远程控制木马的运行步骤
远程控制木马进行网络入侵的过程:
计算机木马
木马程序具有很大的危害性，主要表现在: 自动搜索已中木马的计算机； 管理对方资源，如复制文件、删除文件、查 看文件内容、上传文件、下载文件等； 跟踪监视对方屏幕； 直接控制对方的键盘、鼠标； 随意修改注册表和系统文件； 共享被控计算机的硬盘资源； 监视对方任务且可终止对方任务； 远程重启和关闭机器。
2007~20半年：毒王“AV终结者”
恶意代码概念的发展史
2010~2020：虚拟货币和隐秘网络带动的 勒索新对抗
2013年开始，勒索软件、挖矿木马逐步泛滥 2016：Mirai爆发，致瘫Dyn 2017：WannaCry全球大爆发 2019：WannaMine挖矿木马爆发
MIME漏洞则是利用Internet Explorer在处理不正常的 MIME类型存在的问题，攻击者有意地更改MIME类 型，使IE可以不提示用户而直接运行电子邮件附件 中的恶意程序等。
配置木马 传播木马 启动木马 建立连接 远程控制
配置木马
配置木马：
通信配置：监听端口、DNS、IP等 功能配置：文件读取、键盘监听、截屏等 安装配置：安装路径、文件名、是否删除安
装文件、注册表启动项等
配置木马
案例：冰河木马的配置界面
远程控制木马的运行步骤
远程控制木马进行网络入侵的过程:
远程控制木马
木马体系结构：C/S 架构，木马程序 + 控 制端程序
木马程序即是服务器端程序。 控制端程序作为客户端，用于攻击者远程控
制被植入木马的机器。
远程控制木马与远程控制软件的区别?
隐蔽性: 木马被隐藏，避免被发现； 非授权性：木马程序不经授权控制主机
远程控制木马的运行步骤
远程控制木马进行网络入侵的过程:
计算机木马
木马程序具有很大的危害性，主要表现在: 自动搜索已中木马的计算机； 管理对方资源，如复制文件、删除文件、查 看文件内容、上传文件、下载文件等； 跟踪监视对方屏幕； 直接控制对方的键盘、鼠标； 随意修改注册表和系统文件； 共享被控计算机的硬盘资源； 监视对方任务且可终止对方任务； 远程重启和关闭机器。
2007~20半年：毒王“AV终结者”
恶意代码概念的发展史
2010~2020：虚拟货币和隐秘网络带动的 勒索新对抗
2013年开始，勒索软件、挖矿木马逐步泛滥 2016：Mirai爆发，致瘫Dyn 2017：WannaCry全球大爆发 2019：WannaMine挖矿木马爆发
网络攻防原理与技术课件最新版第14章
特征检测法实现方式
3. 状态迁移法
利用状态转换图描述并检测已知的入侵模式。入侵 检测系统保存入侵相关的状态转换图表，并对系统 的状态信息进行监控，当用户动作驱动系统状态向 入侵状态迁移时触发入侵警告。
状态迁移法能够检测出多方协同的慢速攻击，但是 如果攻击场景复杂的话，要精确描述系统状态非常 困难。因此，状态迁移法通常与其他的入侵检测法 结合使用。
异常：需要采用用户行为或者系统行为的一些属性描述被监 控主体的行为特征。这些属性必须具有很好的区分度，能够 区分出正常活动和异常活动，从而确保数据在经过聚类算法 处理以后，标识用户正常活动的数据聚集在一起，而标识攻 击等异常活动的数据聚集在一起。
异常检测实现方法
4. 人工免疫
将非法程序及非法应用与合法程序、合法数据区分 开来，与人工免疫系统对自体和非自体进行类别划 分相类似。 Forrest采用监控系统进程的方法实现了 Unix平台的人工免疫入侵检测系统。
特征检测法实现方式
2. 专家系统法
入侵活动被编码成专家系统的规则：“If 条件 Then 动作”的形式。入侵检测系统根据收集到的数据， 通过条件匹配判断是否出现了入侵并采取相应动作
实现上较为简单，其缺点主要是处理速度比较慢， 原因在于专家系统采用的是说明性的表达方式，要 求用解释系统来实现，而解释器比编译器的处理速 度慢。另外，维护规则库也需要大量的人力精力， 由于规则之间具有联系性，更改任何一个规则都要 考虑对其他规则的影响。
分类（续）
按系统各模块的运行方式来分：
集中式：系统各个模块包括数据的收集分析集 中在一台主机上运行
分布式：系统的各个模块分布在不同的计算机 和设备上
根据时效性来分：
脱机分析：行为发生后，对产生的数据进行分 析
第8章 网络攻击与防护ppt课件
检测和保护站点免受IP欺骗的最好办法就是 安装一个过滤路由器，来限制对外部接口的访问， 禁止带有内部网资源地址包通过。当然也应禁止 （过滤）带有不同内部资源地址的内部包通过路 由器到别的网上去，这就防止内部的用户对别的 站点进行IP欺骗。
Page 16
ppt精选版
19.06.2021
8.3 拒绝服务攻击
Page 14
ppt精选版
19.06.2021
对于来自网络外部的欺骗来说，阻止这 种攻击的方法是很简单的，在局部网络的对 外路由器上加一个限制条件，只要在路由器 里面设置不允许声称来自于内部网络的外来 包通过就行了。如果网络存在外部的可信任 主机，那么路由器就无法防止别人冒充这些 主机而进行的IP欺骗。
Page 29
ppt精选版
19.06.2021
1．Whois命令
Whois（类似于finger）是一种Internet的目 录服务，whois提供了在Internet上一台主机或某 个域的所有者的信息，如管理员的姓名、通信地 址、电话号码和E-mail地址等信息，这些信息是 在官方网站whois server上注册的，如保存在 InterNIC的数据库内。Whois命令通常是安全审 计人员了解网络情况的开始。一旦得到了Whois 记录，从查询的结果还可得知primary和 secondary域名服务器的信息。
Page 28
ppt精选版
19.06.2021
另外一些工具功能更全面，但是在使 用前需要认真地配置。有专门从事网络管 理和安全的公司出售这些工具。好的网络 级和主机级扫描器会监听和隔离进出网络 和主机的所有会话包。在学习这些 “Hacker-in-a-box”的解决方案前，应当先 接触一些当前黑客常常使用的技巧。
Page 16
ppt精选版
19.06.2021
8.3 拒绝服务攻击
Page 14
ppt精选版
19.06.2021
对于来自网络外部的欺骗来说，阻止这 种攻击的方法是很简单的，在局部网络的对 外路由器上加一个限制条件，只要在路由器 里面设置不允许声称来自于内部网络的外来 包通过就行了。如果网络存在外部的可信任 主机，那么路由器就无法防止别人冒充这些 主机而进行的IP欺骗。
Page 29
ppt精选版
19.06.2021
1．Whois命令
Whois（类似于finger）是一种Internet的目 录服务，whois提供了在Internet上一台主机或某 个域的所有者的信息，如管理员的姓名、通信地 址、电话号码和E-mail地址等信息，这些信息是 在官方网站whois server上注册的，如保存在 InterNIC的数据库内。Whois命令通常是安全审 计人员了解网络情况的开始。一旦得到了Whois 记录，从查询的结果还可得知primary和 secondary域名服务器的信息。
Page 28
ppt精选版
19.06.2021
另外一些工具功能更全面，但是在使 用前需要认真地配置。有专门从事网络管 理和安全的公司出售这些工具。好的网络 级和主机级扫描器会监听和隔离进出网络 和主机的所有会话包。在学习这些 “Hacker-in-a-box”的解决方案前，应当先 接触一些当前黑客常常使用的技巧。
网络攻击与防范安全概论培训课件(PPT 104张)
国内的几个安全事件
(10) 承受能力原则。
•1998年8月２２日，江西省中国公用多媒体信息网 安全系统的“动态化”原则是指整个系统内应尽可能多的具有可变因素和良好的扩展性。
被告人王磊犯破坏计算机信息系统罪，判处有期徒刑二年六个月；
（ １６９台）被电脑“黑客”攻击，整个系统瘫 被告人王磊犯破坏计算机信息系统罪，判处有期徒刑二年六个月；
子海关、电子证券、网络书店、网上拍卖、网络 国内学者给出的定义是：“信息安全保密内容分为：实体安全、运行安全、数据安全和管理安全四个方面。
安全测评是依据安全标准对安全产品或信息系统进行安全性评定。
购物、网络防伪、CTI（客户服务中心）、网上 漏洞扫描是针对特定信息网络存在的漏洞而进行的。
如保护CA认证中心采用多层安全门和隔离墙，核心密码部件还要用防火、防盗柜保护。
30分钟后 在全球的感染面积
RPC DCOM蠕虫
2003年8月11日首先被发现，然后迅速扩散，这时候 距离被利用漏洞的发布日期还不到1个月 该蠕虫病毒针对的系统类型范围相当广泛（包括 Windows NT/2000/XP） 截至8月24日，国内被感染主机的数目为25~100万台 全球直接经济损失几十亿美金
应用信息系统高速发展
• 电子商务、电子政务、电子税务、电子银行、电 凯文•米特尼克（1964年生）
2002年3月底，美国华盛顿著名艺术家Gloria Geary在eBay拍卖网站的帐户，被黑客利用来拍卖 Intel Pentium芯片 次日，继工行之后，中国银行也再出差错，中行银期转账全面暂停，网银、柜台均无法操作
• 网络安全
– 指网络系统的硬件、软件及其系统中的数据受 到保护，不因偶然的或者恶意的原因而遭到破 坏、更改、泄露，确保系统能连续、可靠、正 常地运行，使网络服务不中断。
网络攻防原理与技术课件新版第7-8章
网络
建立连接
远程控制
服务端
配置木马阶段主要实现两个功能：
✓定制木马：定制端口，确定木马在哪个端口监听。 ✓信息反馈：设置信息反馈的方式。
远程控制木马的运行步骤
配置木马
传播木马 控制端
运行木马
信息反馈
建立连接
远程控制
服务端
通过各种传播方式散播木马（往往结合病毒 的传播手段，如电子邮件，网络下载等等）
三、木马特点
木马的特点
一个典型的特洛伊木马（程序）通常具 有以下四个特点：
有效性 隐蔽性 顽固性 易植入性
一个木马的危害大小和清除难易程度可 以从这四个方面来加以评估。
有效性
由于木马常常构成网络入侵方法中的一个重要内容， 它运行在目标机器上就必须能够实现入侵者的某些 企图。因此有效性就是指入侵的木马能够与其控制 端（入侵者）建立某种有效联系，从而能够充分控 制目标机器并窃取其中的敏感信息。
RFC1244 (1/2)
RFC1244 (Request for Comments : 1244) 中是这样描述木马的: “木马是一种程序， 它能提供一些有用的，或是仅仅令人感 兴趣的功能，但是它还有用户所不知道 的其他功能，例如在你不了解的情况下 拷贝文件或窃取你的密码。”
RFC1244 (2/2)
木马的分类
从木马技术发展的历程考虑，大致可以分为六代:
随着身份认证USBKey和杀毒软件主动防御的兴起，使 用黏虫技术和特殊反显技术的第六代木马逐渐系统化， 前者主要以盗取和篡改用户敏感信息为主，后者以动 态口令和硬证书攻击为主，PassCopy和暗黑蜘蛛侠是 这类木马的代表。
木马的分类
从木马所实现的功能角度可分为： ① 破坏型 ② 密码发送型 ③ 远程访问型 ④ 键盘记录木马 ⑤ DoS攻击木马 ⑥ 代理木马 ⑦ FTP木马 ⑧ 程序杀手木马 ⑨ 反弹端口型木马
网络安全：网络攻击与防御技术实践演示培训ppt
网络安全风险
网络安全风险是指由于网络系统的脆 弱性和外部威胁的存在，可能导致网 络系统遭受攻击和破坏，从而造成损 失和不良影响。
网络安全体系结构与技术
网络安全体系结构
网络安全体系结构包括防火墙、入侵检测系统、安全审计系 统、数据备份与恢复等，这些组件相互协作，共同维护网络 系统的安全。
网络安全技术
防火墙部署
防火墙的部署应根据网络架构和安 全需求进行合理配置，包括部署位 置、访问控制列表等配置。
入侵检测与防御系统
01
02
03
入侵检测概述
入侵检测系统用于实时监 测网络流量和系统行为， 发现异常行为并及时报警 。
入侵检测技术
包括基于特征的检测和基 于异常的检测，以及分布 式入侵检测等。
入侵防御系统
03
2020年针对SolarWinds软件供应链的攻击，影响了全球数千家
企业和组织。
CHAPTER 03
防御技术与实践
防火墙技术与部署
防火墙概述
防火墙是网络安全体系的核心组 件，用于隔离内部网络和外部网 络，防止未经授权的访问和数据
泄露。
防火墙技术
包括包过滤、代理服务器、有状态 检测等，每种技术都有其优缺点， 应根据实际需求选择合适的防火墙 技术。
入侵防御系统是一种主动 防御技术，能够实时阻断 恶意流量和攻击行为。
数据加密与安全通信
数据加密概述
数据加密是保障数据机密 性和完整性的重要手段， 通过加密算法将明文转换 为密文。
数据加密技术
包括对称加密、非对称加 密和混合加密等，每种加 密技术都有其适用场景和 优缺点。
安全通信协议
常用的安全通信协议包括 SSL/TLS、IPSec等，这些 协议能够提供端到端的数 据加密和完整性校验。
网络安全风险是指由于网络系统的脆 弱性和外部威胁的存在，可能导致网 络系统遭受攻击和破坏，从而造成损 失和不良影响。
网络安全体系结构与技术
网络安全体系结构
网络安全体系结构包括防火墙、入侵检测系统、安全审计系 统、数据备份与恢复等，这些组件相互协作，共同维护网络 系统的安全。
网络安全技术
防火墙部署
防火墙的部署应根据网络架构和安 全需求进行合理配置，包括部署位 置、访问控制列表等配置。
入侵检测与防御系统
01
02
03
入侵检测概述
入侵检测系统用于实时监 测网络流量和系统行为， 发现异常行为并及时报警 。
入侵检测技术
包括基于特征的检测和基 于异常的检测，以及分布 式入侵检测等。
入侵防御系统
03
2020年针对SolarWinds软件供应链的攻击，影响了全球数千家
企业和组织。
CHAPTER 03
防御技术与实践
防火墙技术与部署
防火墙概述
防火墙是网络安全体系的核心组 件，用于隔离内部网络和外部网 络，防止未经授权的访问和数据
泄露。
防火墙技术
包括包过滤、代理服务器、有状态 检测等，每种技术都有其优缺点， 应根据实际需求选择合适的防火墙 技术。
入侵防御系统是一种主动 防御技术，能够实时阻断 恶意流量和攻击行为。
数据加密与安全通信
数据加密概述
数据加密是保障数据机密 性和完整性的重要手段， 通过加密算法将明文转换 为密文。
数据加密技术
包括对称加密、非对称加 密和混合加密等，每种加 密技术都有其适用场景和 优缺点。
安全通信协议
常用的安全通信协议包括 SSL/TLS、IPSec等，这些 协议能够提供端到端的数 据加密和完整性校验。
网络攻击与防范课件
13
5. 黑客的破坏力扩大化
随着Internet的高速发展, 政府、军事、银行、邮 电、企业、教育等等部门纷纷接入互联网, 电子商 务也在蓬勃发展, 全社会对互联网的依赖性日益增 加, 黑客的破坏力也日益扩大化。2009年6月2日, 公安部发布消息称, 造成5月19日中国六省市互联 网大面积瘫痪、一手炮制“暴风断网门”的4名黑 客已经落网。沸沸扬扬的“断网事件”告一段落, 但一条“黑色产业链”因“暴风断网门”而浮出水 面。有数据显示, 目前, 我国黑客产业链已达10多 亿元规模, 其破坏性则至少达到数百亿元。
10
主要表现在以下3个方面。 （1）反检测技术 攻击者采用了能够隐藏攻击工具的技术, 这使得安全专家通
过各种分析方法来判断新的攻击的过程变得更加困难和耗时。 （2）动态行为 以前的攻击工具按照预定的单一步骤发起进攻, 现在的自动
攻击工具能够按照不同的方法更改它们的特征, 如随机选择 预定的决策路径, 或者通过入侵者直接控制。 （3）攻击工具的模块化
11
3. 黑客技术普及化
黑客技术普及化的原因有以下三个方面: （1）黑客组织的形成，使黑客的人数迅速扩大，如美国的
“大屠杀2600”的成员就曾达到150万人，这些黑客组织 还提供大量的黑客工具，使掌握黑客技术的人数剧增。 （2）黑客站点的大量出现。通过Internet，任何人都能访 问到这些站点，学习黑客技术也不再是一件困难的事。 （3）计算机教育的普及，很多人在学习黑客技术上不再存 在太多的专业障碍。
7
2.1.3 知名黑客
凯文·鲍尔森, 也叫“黑暗但丁”, 他因非法入侵洛杉矶KIIS-FM电话线路而闻 名全美, 同时也因此获得了一辆保时捷汽车。美国联邦调查局（FBI）也曾追查 鲍尔森, 因为他闯入了FBI数据库和联邦计算机, 目的是获取敏感信息。鲍尔森 的专长是入侵电话线路, 他经常占据一个基站的全部电话线路。鲍尔森还经常 重新激活黄页上的电话号码, 并提供给自己的伙伴用于出售。他最终在一家超 市被捕, 并被处以五年监禁。在监狱服刑期间, 鲍尔森担任了《Wired》杂志的 记者, 并升任高级编辑。
5. 黑客的破坏力扩大化
随着Internet的高速发展, 政府、军事、银行、邮 电、企业、教育等等部门纷纷接入互联网, 电子商 务也在蓬勃发展, 全社会对互联网的依赖性日益增 加, 黑客的破坏力也日益扩大化。2009年6月2日, 公安部发布消息称, 造成5月19日中国六省市互联 网大面积瘫痪、一手炮制“暴风断网门”的4名黑 客已经落网。沸沸扬扬的“断网事件”告一段落, 但一条“黑色产业链”因“暴风断网门”而浮出水 面。有数据显示, 目前, 我国黑客产业链已达10多 亿元规模, 其破坏性则至少达到数百亿元。
10
主要表现在以下3个方面。 （1）反检测技术 攻击者采用了能够隐藏攻击工具的技术, 这使得安全专家通
过各种分析方法来判断新的攻击的过程变得更加困难和耗时。 （2）动态行为 以前的攻击工具按照预定的单一步骤发起进攻, 现在的自动
攻击工具能够按照不同的方法更改它们的特征, 如随机选择 预定的决策路径, 或者通过入侵者直接控制。 （3）攻击工具的模块化
11
3. 黑客技术普及化
黑客技术普及化的原因有以下三个方面: （1）黑客组织的形成，使黑客的人数迅速扩大，如美国的
“大屠杀2600”的成员就曾达到150万人，这些黑客组织 还提供大量的黑客工具，使掌握黑客技术的人数剧增。 （2）黑客站点的大量出现。通过Internet，任何人都能访 问到这些站点，学习黑客技术也不再是一件困难的事。 （3）计算机教育的普及，很多人在学习黑客技术上不再存 在太多的专业障碍。
7
2.1.3 知名黑客
凯文·鲍尔森, 也叫“黑暗但丁”, 他因非法入侵洛杉矶KIIS-FM电话线路而闻 名全美, 同时也因此获得了一辆保时捷汽车。美国联邦调查局（FBI）也曾追查 鲍尔森, 因为他闯入了FBI数据库和联邦计算机, 目的是获取敏感信息。鲍尔森 的专长是入侵电话线路, 他经常占据一个基站的全部电话线路。鲍尔森还经常 重新激活黄页上的电话号码, 并提供给自己的伙伴用于出售。他最终在一家超 市被捕, 并被处以五年监禁。在监狱服刑期间, 鲍尔森担任了《Wired》杂志的 记者, 并升任高级编辑。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
A:10.10.10.1
写出使用ARP欺骗的方 法监听局域网与外网之 间通信的的详细步骤。
路由器或网关是内 网与外网之间报文 转发的必经节点
内网 外网
B:10.10.10.2
交换机
路由器R: 10.10.10.8
C:10.10.10.3
网关欺骗 ARP
目标主机的IP为192.168.10.122，它的网 关IP地址为192.168.10.1，网关MAC地址 为00-e8-4c-68-17-8b
网关欺骗 ARP
攻击主机发起ARP攻击后，目标主机的网关MAC地址已 经被修改成攻击主机的MAC地址，目标主机的流量被攻击 主机成功劫持
网关欺骗 ARP
从图中可以看出，目标主机访问了115.239.210.52 () 网站的web服务
网关欺骗 ARP
攻击停止后，目标主机的网关MAC地址恢复正常
网线 数据的传输
一、交换式网络监听
交换机的工作方式
交换机
CAM
Content Addressable Memory，内容可寻址 存储器
端口管理
MAC ① ② ③
端口 1 2 3
以太网 交换机
端口1
缓存
端口2
①
③
②
存储转发实现了无碰 撞地传输数据
(一)交换网络监听：交换机+集线器
内网 外网
A:10.10.10.1
(三)交换网络监听：MAC洪泛
攻击思路：
MAC地址 端口
CAM
伪M造AMCA1 C 31 伪M造AMCA2 C 32
在局域网中发送带有欺骗性 MAC地址源的数据；
伪M造AMCA3 C 33
CAM表中将会填充伪造的
伪造MAC 3
MAC地址记录，随着记录增
伪造MAC 3
多，与CAM表相关的交换机
B:10.10.10.2
交换机
路由器R: 10.10.10.8
C:10.10.10.3
步骤3：攻击者将嗅探到 的数据发送回原本应该接 收的主机
(四)交换网络监听：ARP欺骗
需要监听的通信双方 主机不在一个局域网 内？ 需要监听主机与外界 网络之间的通信？
(四)交换网络监听：ARP欺骗
课后思考题：
交换机
B:10.10.10.2
10.10.10.2的MAC地址是 11:22:33:44:55:CC
C:10.10.10.3
10.10.10.1的MAC地址是 11:22:33:44:55:CC
路由器R: 10.10.10.8
步骤1：攻击者向主机A和 B发送ARP欺骗报文
(四)交换网络监听：ARP欺骗
11:22:33:44:55:BB
11:22:33:44:55:CC
B:10.33:44:55:RR
交换机 4 2
3
内网 外网
端口 3 2 3 4
路由器R: 10.10.10.8
步骤3：攻击者将数据缓存， 让网络正常后，再将数据转 交。然后再开始新一轮的攻 击。
步骤2：受害主机将数据 帧发送给攻击者，攻击者 从网络接口嗅探数据。
协助网络管理员监测网络传输数据，排除网络故 障；
被黑客利用来截获网络上的敏感信息，给网络安 全带来极大危害。
网络监听案例
网络监听在安全领域引起普遍注意是在 1994年。在该年2月，一个不知名的人在 众多的主机和骨干网络设备上安装了网 络监听软件，对美国骨干互联网和军方 网窃取了超过10万个有效的用户名和口 令。
广播（Broadcast）：接收所有类型为广播报文 的数据帧；
多播（Multicast）：接收特定的组播报 混杂模式（Promiscuous）：是指对报文中的目
的硬件地址不加任何检查，全部接收的工作模式 。
网卡的处理流程
接收数据帧
混杂模式 接口配置模式
非混杂模式
查看目的MAC地址
本机MAC地址或广播地址
MAC地址 11:22:33:44:55:CC 11:22:33:44:55:CC 11:22:33:44:55:RR
交换机
B:10.10.10.2 C:10.10.10.3
步骤2：攻击者从网络接 口上嗅探受害主机发过来 的数据帧
路由器R: 10.10.10.8
(四)交换网络监听：ARP欺骗
A:10.10.10.1
内网 外网
IP地址 10.10.10.1 10.10.10.3 10.10.10.8
MAC地址 11:22:33:44:55:CC 11:22:33:44:55:CC 11:22:33:44:55:RR
IP地址 10.10.10.2 10.10.10.3 10.10.10.8
MAC地址 11:22:33:44:55:CC 11:22:33:44:55:CC 11:22:33:44:55:RR
该事件是互联网上最早期的大规模网络监听 事件，使网络监听从“地下”走向了公开， 并迅速地在大众中普及开来。
黑客用网络监听能干什么？
嗅探敏感的帐号信息
Telnet会话的用户名和密码； HTTP应用程序的用户名和密码； FTP口令； 电子邮件消息 ……
截获网络上传输的文件 分析协议信息
网关欺骗 ARP
攻击主机的IP地址为192.168.10.148，MAC地址为00-0c-29-6c-22-04， 在运行攻击程序arpspoof.py之前，还需要开启对网关和目标IP地址的 流量转发功能，在终端输入“echo 1 > /proc/sys/net/ipv4/ip_forward” 命令，然后运行上述攻击程序（需要root权限）后即可发起对目标主 机的ARP欺骗攻击
第 八 章 网络监听
内容提纲
1 网络监听概述 2 流量劫持 3 数据采集 4 网络监听工具 5 网络监听防御
知识回顾
如何攻陷控制一台主机？
网络侦察 网络扫描 口令攻击 缓冲区溢出攻击 木马
控制一台主 机后如何把战 果扩大到该局
域网？
网络监听
网络监听（ Network Listening）：是指在计 算机网络接口处截获网上计算机之间通信的 数据，也称网络嗅探（Network Sniffing ）。
伪造MAC 3
内存将被耗尽，这时交换机以
伪造MAC 3
类似于集线器的模式工作，向
伪造MAC 3
其它所有的物理端口转发数据
伪造MAC 3
。
交换网络监听：MAC洪泛
为什么MAC洪泛M攻AC地址 端口
击机会不C成能A功根M ？据难自道己交的M换端AC1
1
口数来固定CAM表MAC2
2
的长度吗? MAC3
3
(五)交换网络监听：端口盗用
A:10.10.10.1
内网 外网
B:10.10.10.2
MAC地址 11:22:33:44:55:AA
11:22:33:44:55:BB
11:22:33:44:55:CC
1
11:22:33:44:55:RR
交换机 4 2
3
端口 31 2 3 4
路由器R: 10.10.10.8
其他硬件地址 MAC地址类型
产生中断，通知系统
丢弃
二、数据采集
以太网的广播方式发送
应用层
广播特性的总线 实现了一对一的
通信
网卡
传输层 网络层 数据链路层 物理层
网卡是否工作 在混杂模式？
应用层 传输层 网络层 数据链路层 物理层
网卡
A 不接受
只有 D 接受 B 发送的数据
B
B向 D 发送数据
C 不接受
10.10.10.3 11:22:33:44:55:CC
10.10.10.8 11:22:33:44:55:RR
IP地址 10.10.10.2 10.10.10.3 10.10.10.8
MAC地址 11:22:33:44:55:CBBC 11:22:33:44:55:CC 11:22:33:44:55:RR
DNS劫持
CDN入侵
四、Wi-Fi 流量劫持
Wi-Fi 热点
Wi-Fi 热点钓鱼
Wi-Fi 强制断线
内容提纲
1 网络监听概述 2 流量劫持 3 数据采集 4 网络监听工具 5 网络监听防御
一、网卡的工作原理
网卡地址
MAC地址
网卡工作方式
单播（Unicast）：网卡在工作时接收目的地址 是本机硬件地址的数据帧；
我的源MAC是A 的MAC，目的 MAC是C的MAC
步骤1：发送伪造以太网 帧：源MAC为受害者的 MAC；目的MAC为攻击
者的MAC。
C:10.10.10.3
(五)交换网络监听：端口盗用
A:10.10.10.1
问题：攻击者怎么把嗅探数 据发还给受害主机？
MAC地址 11:22:33:44:55:AA
DNS攻击
DNS缓存投毒：控制DNS缓存服务器，把原本准备访问 某网站的用户在不知不觉中带到黑客指向的其他网站上 。其实现方式有多种，比如可以通过利用网民ISP端的 DNS缓存服务器的漏洞进行攻击或控制，从而改变该ISP 内的用户访问域名的响应结果；或者通过利用用户权威 域名服务器上的漏洞，如当用户权威域名服务器同时可 以被当作缓存服务器使用，黑客可以实现缓存投毒，将 错误的域名纪录存入缓存中，从而使所有使用该缓存服 务器的用户得到错误的DNS解析结果。
网卡处于混杂模式：接收所有的数据帧。
共享式网络监听：总线型以太网
广播特性的总线：所有都能收到，但只 有地址对了，才处理，从而实现了一对 一的通信
A 不接受
只有 D 接受 B 发送的数据
B
B向 D 发送数据
C 不接受
D 接受
E 不接受