网络安全与隐私 期末复习资料汇总

1、信息保障的核心是对系统或者数据的4个方面的要求：保护(Protect)，检测(Detect)，反应(React)，恢复(Restore)。

P42、简述信息安全的机密性、完整性和可用性。

答：信息安全的目标是保护信息的机密性、完整性、抗否认性和可用性，也有的观点认为是机密性、完整性和可用性，即CIA(Confidentiality Integrity Availability)。

(1)保密性Confidentiality：机密性是指保证信息不能被非授权访问，即使非授权用户得到信息也无法知晓信息内容，因而不能使用。

通常通过访问控制阻止非授权用户获得机密信息，通过加密变换阻止非授权用户获知信息内容。

(2)完整性Integrity：完整性是指维护信息的一致性，即信息在生成、传输、存储和使用过程中不应发生人为或非人为的非授权篡改。

一般通过访问控制阻止篡改行为，同时通过消息摘要算法来检验信息是否被篡改。

信息的完整性包括两个方面：○1数据完整性：数据没有被未授权篡改或者损坏；○2系统完整性：系统未被非法操纵，按既定的目标运行。

(3)可用性Availability：可用性是指保障信息资源随时可提供服务的能力特性，即授权用户根据需要可以随时访问所需信息。

可用性是信息资源服务功能和性能可靠性的度量，涉及到物理、网络、系统、数据、应用和用户等多方面的因素，是对信息网络总体可靠性的要求。

P43、从系统安全的角度可以把网络安全的研究内容分成两大体系：攻击和防御。

P54、从系统安全的角度可以将攻击技术划分为哪几个方面？答：攻击技术主要包括五个方面：(1)网络监听：自己不主动去攻击别人，在计算机上设置一个程序去监听目标计算机与其他计算机通信的数据。

(2)网络扫描：利用程序去扫描目标计算机开放的端口等，目的是发现漏洞，为入侵该计算机做准备。

(3)网络入侵：当探测发现对方存在漏洞以后，入侵到目标计算机获取信息。

(4)网络后门：成功入侵目标计算机后，为了对“战利品”的长期控制，在目标计算机中种植木马等后门。

(5)网络隐身：入侵完毕退出目标计算机后，将自己入侵的痕迹清除，从而防止被对方管理员发现。

P5-65、从系统安全的角度可以将防御技术划分为哪几个方面？答：防御技术包括以下几个方面：(1)操作系统的安全配置：操作系统的安全是整个网络安全的关键。

(2)加密技术：为了防止被监听和盗取数据，将所有的数据进行加密。

(3)防火墙技术：利用防火墙，对传输的数据进行限制，从而防止被入侵。

(4)入侵检测：如果网络防线最终被攻破了，需要及时发出被入侵的警报。

(5)网络安全协议：保证传输的数据不被截获和监听。

P66、TCP/IP协议族包括4个功能层：应用层、传输层、网络层和网络接口层。

这4层概括了相对于OSI参考模型中的7层。

P297、网络层的主要功能是完成网络中主机间的报文传输，在广域网中，这包括产生从源端到目的端的路由。

P308、简述TCP协议的特点及功能。

答：(1)传输控制协议(TCP)的特点是：提供可靠的、面向连接的数据报传递服务。

(2)传输控制协议的基本功能包括：○1确保IP数据报的成功传递。

○2对程序发送的大块数据进行分段和重组。

○3确保正确排序以及按顺序传递分段的数据。

○4通过计算校验和，进行传输数据的完整性检查。

○5根据数据是否接收成功发送消息。

通过有选择的确认，也对没有收到的数据发送确认。

○6为必须使用可靠的基于会话的数据传输的程序提供支持，如数据库服务和电子邮件服务。

P389、目前E-mail服务使用的两个主要协议是简单邮件传输协议/SMTP和邮局协议POP3。

P4810、一般操作系统中，实用程序PING通过发送ICMP包来验证与另一台TCP/IP 计算机的IP级连接，应答消息的接收情况将和往返过程的次数一起显示出来。

P5111、句柄是一个指针，可以控制指向的对象。

P5812、注册表中存储了Windows操作系统的所有配置。

P8013、使用多线程技术编程有两大优点：提高CPU的利用率；可以设置每个线程的优先级，调整工作进度。

P9614、简述网络攻击的基本步骤。

答：一次成功的攻击，都可以归纳成基本的五步骤，但是根据实际情况可以随时调整。

归纳起来就是“黑客攻击五部曲”(1)隐藏IP：通常有两种方法实现自己IP的隐藏：第一种方法是首先入侵互联网上的一台电脑(俗称“肉鸡”)，利用这台电脑进行攻击，这样即使被发现了，也是“肉鸡”的IP地址。

第二种方式是做多极跳板“Sock代理”，这样在入侵的电脑上留下的是代理计算机的IP地址。

(2)踩点扫描：踩点就是通过各种途径对所要攻击的目标进行多方面的了解(包括任何可得到的蛛丝马迹，但要确保信息的准确)，确定攻击的时间和地点。

(3)获得系统或管理员权限：得到管理员权限的目的是连接到远程计算机，对其进行控制，达到自己攻击目的。

(4)种植后门：为了保持长期对自己胜利果实的访问权,在已经攻破的计算机上种植一些供自己访问的后门。

(5)在网络中隐身：一次成功入侵之后，一般在对方的计算机上已经存储了相关的登录日志，这样就容易被管理员发现。

在入侵完毕后需要清除登录日志已经其他相关的日志。

P10515、一次成功的攻击，可以归纳成基本的五个步骤，但是根据实际情况可以随时调整。

归纳起来就是“黑客攻击五部曲”，分别为：隐藏IP、踩点扫描、获得系统或管理员权限、种植后门、网络隐身。

P10516、扫描方式可以分成两大类：快速扫描和乱序扫描。

P10617、被动式策略扫描是基于主机之上，对系统中不合适的设置、脆弱的口令及其他同安全规则抵触的对象进行检查。

P10718、字典攻击是最常见的一种暴力攻击。

P12219、分析并解决下列C程序中存在的问题：void function(char * str){char buffer[16];strcpy(buffer,str);}解：(1)上述程序存在缓冲区溢出攻击的隐患。

所谓缓冲区攻击，就是向目标程序的缓冲区写超出其能接收的最大信息量的内容，造成缓冲区的溢出，从而破坏程序的堆栈，造成程序崩溃或使程序转而执行其它指令，以达到攻击的目的。

造成缓冲区溢出的原因是程序中没有仔细检查用户输入的参数。

本程序中，strcpy()函数将直接把str中的内容copy到buffer中，如果str 的长度大于16，就会造成buffer的溢出，使程序运行出错。

存在象strcpy这样的问题的C库函数还有strcat()，sprintf()，vsprintf()，gets()，scanf()等。

当然，随便往缓冲区中填东西造成它溢出一般只会出现“分段错误”(Segmentation fault)，而不能达到攻击的目的。

最常见的手段是通过制造缓冲区溢出使程序运行一个用户shell，再通过shell执行其它命令。

如果该程序有root或者suid执行权限的话，攻击者就获得了一个有root权限的shell，可以对系统进行任意操作了。

缓冲区溢出攻击之所以成为一种常见安全攻击手段其原因在于缓冲区溢出漏洞太普遍了，并且易于实现。

而且，缓冲区溢出成为远程攻击的主要手段其原因在于缓冲区溢出漏洞给予了攻击者他所想要的一切：植入并且执行攻击代码。

被植入的攻击代码以一定的权限运行有缓冲区溢出漏洞的程序，从而得到被攻击主机的控制权。

(2)改写程序代码可以解决上述问题：void function(char * str){char buffer[16];for(int i=0;(i<16) && (*str !='\0');i++,str++){buffer[i]= *str;}}P13420、分布式拒绝服务的特点是先使用一些典型的黑客入侵手段控制一些高带宽的服务器，然后在这些服务器上安装攻击进程，集数十台，数百台甚至上千台机器的力量对单一攻击目标实施攻击。

P14321、分析SYN Flooding攻击的基本原理。

答：(1)为了保证通信双方的数据报能够可靠传输(不出错、无丢失、不重复、不乱序)，TCP协议通过流量控制和重传等技术来实现可靠的数据报传输，并且采用三次握手协议建立一个信任连接：○1第一次握手：客户端向服务器发送连接请求分组(SYN包)，其同步比特SYN 置为1、应答比特ACK置为0，并进入SYN_SEND状态，等待服务器响应。

○2第二次握手：服务器收到客户端的连接请求分组后，如同意建立连接，则需要发送一个响应分组(SYN+ACK包)，其同步比特SYN置为1、应答比特ACK置为1，此时服务器进入SYN_RECV状态，也称为半连接状态。

○3第三次握手：客户端收到服务器的确认分组(ACK包)，向服务器发送一个确认分组，其同步比特SYN置为0、应答比特ACK置为1。

此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手。

如下图所示。

(2)在服务端收到客户端的请求SYN包时，需要为该连接建立很多数据结构，包括socket结构、Internet协议控制块结构、TCP控制块结构等。

一般情况下，这些结构会占用超过280字节的内存单元。

同时，服务端还维护一个有限的未连接队列该队列为每个客户端的SYN包设立一个条目，该条目表明服务器已收到SYN包，并向客户发出响应，正在等待客户的确认包。

当服务器收到客户的确认包时，删除该条目，服务器才会进入ESTABLISHED状态；如果未收到客户确认包，服务器会进行首次重传，等待一段时间仍未收到客户确认包，进行第二次重传，如果重传次数超过系统规定的最大重传次数，系统才将该连接信息从半连接队列中删除。

如果客户端是某个攻击者，它通过发送大量的半连接请求时，对于服务端，一方面它会耗费大量的内存资源，另一方面，当半连接的数量达到半连接队列的最大值时，TCP就会丢弃后续所有的连接请求，此时合法用户的连接请求都会被拒绝，直到半连接超时或某些连接被重置或释放。

为了使服务器拒绝服务的时间长于超时所占用的时间，攻击者采用伪造的IP地址，持续不断的向服务器发送SYN分组，即SYN攻击风暴。

P14422、木马程序一般由两部分组成：服务器端程序和客户端程序。

P16323、简述恶意代码的攻击机制。

答：恶意代码的行为表现各异，破坏程度千差万别，但基本作用机制大体相同，其整个作用过程分为6个部分：(1)侵入系统。

侵入系统是恶意代码实现其恶意目的的必要条件。

恶意代码入侵的途径很多，如：从互联网下载的程序本身就可能含有恶意代码；接收已经感染恶意代码的电子邮件；从光盘或软盘往系统上安装软件；黑客或者攻击者故意将恶意代码植入系统等。

(2)维持或提升现有特权。

恶意代码的传播与破坏必须盗用用户或者进程的合法权限才能完成。

(3)隐蔽策略。

为了不让系统发现恶意代码已经侵入系统，恶意代码可能会改名、删除源文件或者修改系统的安全策略来隐藏自己。