常见攻击方法与攻击过程的简单描述

《常见攻击方法与攻击过程的简单描述》由会员分享，可在线阅读，更多相关《常见攻击方法与攻击过程的简单描述（14页珍藏版）》请在装配图网上搜索。

1、常见攻击方法与攻击过程的简单描述系统攻击是指某人非法使用或破坏某一信息系统中的资源，以及非授权使系统丧失部分或全部服务功能的行为。通常可以把攻击活动大致分为远程攻击和内部攻击两种。现在随着互联网络的进步，其中的远程攻击技术得到很大发展，威胁也越来越大，而其中涉及的系统漏洞以及相关的知识也较多，因此有重要的研究价值。、TCPSYN拒绝服务攻击一般情况下，一个TCP连接的建立需要经过三次握手的过程，即：1、建立发起者向目标计算机发送一个TCPSYN报文；2、目标计算机收到这个SYN报文后，在内存中创建TCP连接控制块（TCB）,然后向发起者回送一个TCPACK报文，等待发起者的回应；3、发起者收到

2、TCPACK报文后，再回应一个ACK报文，这样TCP连接就建立起来了。利用这个过程，一些恶意的攻击者可以进行所谓的TCPSYN拒绝服务攻击：1、攻击者向目标计算机发送一个TCPSYN报文；2、目标计算机收到这个报文后，建立TCP连接控制结构（TCB），并回应一个ACK，等待发起者的回应；3、而发起者则不向目标计算机回应ACK报文，这样导致目标计算机一致处于等待状态。可以看出，目标计算机如果接收到大量的TCPSYN报文，而没有收到发起者的第三次ACK回应，会一直等待，处于这样尴尬状态的半连接如果很多，则会把目标计算机的资源（TCB控制结构，TCB，一般情况下是有限的）耗尽，而不能响应正常的TCP

3、连接请求。防御：在防火墙上过滤来自同一主机的后续连接。未来的SYN洪水令人担忧，由于释放洪水的并不寻求响应，所以无法从一个简单高容量的传输中鉴别出来。检测方法：检查单位时间内收到的SYN连接否收超过系统设定的值。反攻击方法：当接收到大量的SYN数据包时，通知防火墙阻断连接请求或丢弃这些数据包，并进行系统审计。ICMP洪水正常情况下，为了对网络进行诊断，一些诊断程序，比如PING等,会发出ICMP响应请求报文（ICMPECHO），接收计算机接收到ICMPECHO后，会回应一个ICMPECHOReply报文。而这个过程是需要CPU处理的，有的情况下还可能消耗掉大量的资源，比如处理分片的时候。这样如

4、果攻击者向目标计算机发送大量的ICMPECHO报文（产生ICMP洪水），则目标计算机会忙于处理这些ECHO报文，而无法继续处理其它的网络数据报文，这也是一种拒绝服务攻击（DOS）。UDP洪水原理与ICMP洪水类似，攻击者通过发送大量的UDP报文给目标计算机，导致目标计算机忙于处理这些UDP报文而无法继续处理正常的报文。防御：关掉不必要的TCP/IP服务，或者对防火墙进行配置阻断来自Internet的请求这些服务的UDP请求。畸形消息攻击概览：各类操作系统上的许多服务都存在此类问题，由于这些服务在处理信息之前没有进行适当正确的错误校验，在收到畸形的信息可能会崩溃。防御：打最新的服务补丁。口令猜测

5、概览：一旦黑客识别了一台主机而且发现了基于NetBIOS、Telnet或NFS这样的服务的可利用的用户帐号，成功的口令猜测能提供对机器控制。防御：要选用难以猜测的口令，比如词和标点符号的组合。确保像NFS、NetBIOS和Telnet这样可利用的服务不暴露在公共范围。如果该服务支持锁定策略，就进行锁定。特洛伊木马概览：特洛伊木马是一种或是直接由一个黑客，或是通过一个不令人起疑的用户秘密安装到目标系统的程序。一旦安装成功并取得管理员权限，安装此程序的人就可以直接远程控制目标系统。最有效的一种叫做后门程序，恶意程序包括：NetBus、BackOrifice和BO2k,用于控制系统的良性程序如：ne

6、tcat、VNC、pcAnywhere。理想的后门程序透明运行。防御：避免下载可疑程序并拒绝执行，运用网络扫描软件定期监视内部主机上的监听TCP服务。缓冲区溢出概览：由于在很多的服务程序中大意的程序员使用象strcpy(),strcat()类似的不进行有效位检查的函数，最终可能导致恶意用户编写一小段利用程序来进一步打开安全豁口，然后将该代码缀在缓冲区有效载荷末尾，这样当发生缓冲区溢出时，返回指针指向恶意代码，这样系统的控制权就会被夺取。防御：利用SafeLib、tripwire这样的程序保护系统，或者浏览最新的安全公告不断更新操作系统。地址扫描概览：运用ping这样的程序探测目标地址，对此作出

7、响应的表示其存在。防御：在防火墙上过滤掉ICMP应答消息。反响映射概览：黑客向主机发送虚假消息，然后根据返回hstunreachab这一消息特征判断出哪些主机是存在的。目前由于正常的扫描活动容易被防火墙侦测到，黑客转而使用不会触发防火墙规则的常见消息类型，这些类型包括：RESET消息、SYN-ACK消息、DNS响应包。防御：NAT和非路由代理服务器能够自动抵御此类攻击，也可以在防火墙上过滤hstunreachableICMP应答?.慢速扫描概览：由于一般扫描侦测器的实现是通过监视某个时间桢里一台特定主机发起的连接的数目(例如每秒10次)来决定是否在被扫描，这样黑客可以通过使用扫描速度慢一些的扫

8、描软件进行扫描。防御：通过引诱服务来对慢速扫描进行侦测。体系结构探测概览：黑客使用具有已知响应类型的数据库的自动工具，对来自目标主机的、对坏数据包传送所作出的响应进行检查。由于每种操作系统都有其独特的响应方法（例NT和Solaris的TCP/IP堆栈具体实现有所不同），通过将此独特的响应与数据库中的已知响应进行对比，黑客经常能够确定出目标主机所运行的操作系统。防御：去掉或修改各种Banner，包括操作系统和各种应用服务的，阻断用于识别的端口扰乱对方的攻击计划。利用信息服务DNS域转换概览：DNS协议不对转换或信息性的更新进行身份认证，这使得该协议被人以一些不同的方式加以利用。如果你维护着一台公

9、共的DNS服务器，黑客只需实施一次域转换操作就能得到你所有主机的名称以及内部IP地址。防御：在防火墙处过滤掉域转换请求。Finger服务概览：黑客使用finger命令来刺探一台finger服务器以获取关于该系统的用户的信息。防御：关闭finger服务并记录尝试连接该服务的对方IP地址，或者在防火墙上进行过滤。LDAP服务概览：黑客使用LDAP协议窥探网络内部的系统和它们的用户的信息。防御：对于刺探内部网络的LDAP进行阻断并记录，如果在公共机器上提供LDAP服务，那么应把LDAP服务器放入DMZ。四、端口扫描根据TCP协议规范，当一台计算机收到一个TCP连接建立请求报文（TCPSYN）的时候，

10、做这样的处理：1、如果请求的TCP端口是开放的，则回应一个TCPACK报文，并建立TCP连接控制结构（TCB）；2、如果请求的TCP端口没有开放，则回应一个TCPRST（TCP头部中的RST标志设为1）报文，告诉发起计算机，该端口没有开放。相应地，如果IP协议栈收到一个UDP报文，做如下处理：1、如果该报文的目标端口开放，则把该UDP报文送上层协议（UDP）处理，不回应任何报文（上层协议根据处理结果而回应的报文例外）；2、如果该报文的目标端口没有开放，则向发起者回应一个ICMP不可达报文，告诉发起者计算机该UDP报文的端口不可达。利用这个原理，攻击者计算机便可以通过发送合适的报文，判断目标计算

11、机哪些TCP或UDP端口是开放的，过程如下：1、发出端口号从0开始依次递增的TCPSYN或UDP报文（端口号是一个16比特的数字，这样最大为65535，数量很有限）；2、如果收到了针对这个TCP报文的RST报文，或针对这个UDP报文的ICMP不可达报文，则说明这个端口没有开放；3、相反，如果收到了针对这个TCPSYN报文的ACK报文，或者没有接收到任何针对该UDP报文的丨CMP报文，则说明该TCP端口是开放的，UDP端口可能开放（因为有的实现中可能不回应ICMP不可达报文，即使该UDP端口没有开放）。这样继续下去，便可以很容易的判断出目标计算机开放了哪些TCP或UDP端口，然后针对端口的具体数

12、字，进行下一步攻击，这就是所谓的端口扫描攻击。防御：许多防火墙能检测到是否被扫描，并自动阻断扫描企图。五、分片IP报文攻击为了传送一个大的IP报文，IP协议栈需要根据链路接口的MTU对该IP报文进行分片，通过填充适当的IP头中的分片指示字段，接收计算机可以很容易的把这些IP分片报文组装起来。目标计算机在处理这些分片报文的时候，会把先到的分片报文缓存起来，然后一直等待后续的分片报文，这个过程会消耗掉一部分内存，以及一些IP协议栈的数据结构。如果攻击者给目标计算机只发送一片分片报文，而不发送所有的分片报文，这样攻击者计算机便会一直等待（直到一个内部计时器到时），如果攻击者发送了大量的分片报文，就会

13、消耗掉目标计算机的资源，而导致不能相应正常的IP报文，这也是一种DOS攻击。六、SYN比特和FIN比特同时设置在TCP报文的报头中，有几个标志字段：1、SYN：连接建立标志，TCPSYN报文就是把这个标志设置为1,来请求建立连接；2、ACK：回应标志，在一个TCP连接中，除了第一个报文（TCPSYN）夕卜，所有报文都设置该字段，作为对上一个报文的相应；3、FIN：结束标志，当一台计算机接收到一个设置了FIN标志的TCP报文后，会拆除这个TCP连接；4、RST：复位标志，当IP协议栈接收到一个目标端口不存在的TCP报文的时候，会回应一个RST标志设置的报文；5、PSH:通知协议栈尽快把TCP数据

14、提交给上层程序处理。正常情况下，SYN标志（连接请求标志）和FIN标志（连接拆除标志）是不能同时出现在一个TCP报文中的。而且RFC也没有规定IP协议栈如何处理这样的畸形报文，因此，各个操作系统的协议栈在收到这样的报文后的处理方式也不同，攻击者就可以利用这个特征，通过发送SYN和FIN同时设置的报文，来判断操作系统的类型，然后针对该操作系统，进行进一步的攻击。七、没有设置任何标志的TCP报文攻击正常情况下，任何TCP报文都会设置SYN，FIN，ACK，RST，PSH五个标志中的至少一个标志，第一个TCP报文（TCP连接请求报文）设置SYN标志，后续报文都设置ACK标志。有的协议栈基于这样的假设

15、，没有针对不设置任何标志的TCP报文的处理过程，因此，这样的协议栈如果收到了这样的报文，可能会崩溃。攻击者利用了这个特点，对目标计算机进行攻击。八、设置了FIN标志却没有设置ACK标志的TCP报文攻击正常情况下，ACK标志在除了第一个报文（SYN报文）夕卜，所有的报文都设置，包括TCP连接拆除报文（FIN标志设置的报文）。但有的攻击者却可能向目标计算机发送设置了FIN标志却没有设置ACK标志的TCP报文，这样可能导致目标计算机崩溃。九、死亡之PINGTCP/IP规范要求IP报文的长度在一定范围内（比如，064K）,但有的攻击计算机可能向目标计算机发出大于64K长度的PING报文，导致目标计算机

16、IP协议栈崩溃。防御：现在所有的标准TCP/IP实现都已实现对付超大尺寸的包，并且大多数防火墙能够自动过滤这些攻击，包括：从windows98之后的windows,NT（servicepack3之后），linux、Solaris、和MacOS都具有抵抗一般pingofdeath攻击的能力。此外，对防火墙进行配置，阻断ICMP以及任何未知协议，都讲防止此类攻击。十、地址猜测攻击跟端口扫描攻击类似，攻击者通过发送目标地址变化的大量的ICMPECHO报文，来判断目标计算机是否存在。如果收到了对应的ECMPECHOREPLY报文，则说明目标计算机是存在的，便可以针对该计算机进行下一步的攻击。十一、泪滴

17、攻击对于一些大的IP包，需要对其进行分片传送，这是为了迎合链路层的MTU（最大传输单元）的要求。比如，一个4500字节的IP包，在MTU为1500的链路上传输的时候，就需要分成三个IP包。在IP报头中有一个偏移字段和一个分片标志（MF）,如果MF标志设置为1，则表面这个IP包是一个大IP包的片断，其中偏移字段指出了这个片断在整个IP包中的位置。例如，对一个4500字节的IP包进行分片（MTU为1500），则三个片断中偏移字段的值依次为：0，1500，3000。这样接收端就可以根据这些信息成功的组装该IP包。如果一个攻击者打破这种正常情况，把偏移字段设置成不正确的值，即可能出现重合或断开的情况，

18、就可能导致目标操作系统崩溃。比如，把上述偏移设置为0，1300，3000。这就是所谓的泪滴攻击。防御：服务器应用最新的服务包，或者在设置防火墙时对分段进行重组，而不是转发它们。十二、带源路由选项的IP报文为了实现一些附加功能，IP协议规范在IP报头中增加了选项字段，这个字段可以有选择的携带一些数据，以指明中间设备（路由器）或最终目标计算机对这些IP报文进行额外的处理。源路由选项便是其中一个，从名字中就可以看出，源路由选项的目的，是指导中间设备（路由器）如何转发该数据报文的，即明确指明了报文的传输路径。比如，让一个IP报文明确的经过三台路由器R1，R2，R3，则可以在源路由选项中明确指明这三个路

19、由器的接口地址，这样不论三台路由器上的路由表如何，这个IP报文就会依次经过R1,R2,R3。而且这些带源路由选项的IP报文在传输的过程中，其源地址不断改变，目标地址也不断改变，因此，通过合适的设置源路由选项，攻击者便可以伪造一些合法的IP地址，而蒙混进入网络。十三、带记录路由选项的IP报文记录路由选项也是一个IP选项，携带了该选项的IP报文，每经过一台路由器，该路由器便把自己的接口地址填在选项字段里面。这样这些报文在到达目的地的时候，选项数据里面便记录了该报文经过的整个路径。通过这样的报文可以很容易的判断该报文经过的路径，从而使攻击者可以很容易的寻找其中的攻击弱十四、未知协议字段的IP报文在I

20、P报文头中，有一个协议字段，这个字段指明了该IP报文承载了何种协议，比如，如果该字段值为1,则表明该IP报文承载了ICMP报文，如果为6,贝I是TCP,等等。目前情况下，已经分配的该字段的值都是小于100的，因此，一个带大于100的协议字段的IP报文，可能就是不合法的，这样的报文可能对一些计算机操作系统的协议栈进行破坏。十五、IP地址欺骗一般情况下，路由器在转发报文的时候，只根据报文的目的地址查路由表，而不管报文的源地址是什么，因此，这样就可能面临一种危险：如果一个攻击者向一台目标计算机发出一个报文，而把报文的源地址填写为第三方的一个IP地址，这样这个报文在到达目标计算机后，目标计算机便可能向

21、毫无知觉的第三方计算机回应。这便是所谓的IP地址欺骗攻击。比较著名的SQLServer蠕虫病毒，就是采用了这种原理。该病毒（可以理解为一个攻击者）向一台运行SQLServer解析服务的服务器发送一个解析服务的UDP报文，该报文的源地址填写为另外一台运行SQLServer解析程序（SQLServer2000以后版本）的服务器，这样由于SQLServer解析服务的一个漏洞，就可能使得该UDP报文在这两台服务器之间往复，最终导致服务器或网络瘫痪。十六、WinNuke攻击NetBIOS作为一种基本的网络资源访问接口，广泛的应用于文件共享，打印共享，进程间通信（IPC）,以及不同操作系统之间的数据交换。

22、一般情况下，NetBIOS是运行在LLC2链路协议之上的，是一种基于组播的网络访问接口。为了在TCP/IP协议栈上实现NetBIOS，RFC规定了一系列交互标准，以及几个常用的TCP/UDP端口：139：NetBIOS会话服务的TCP端口;137：NetBIOS名字服务的UDP端口；136：NetBIOS数据报服务的UDP端口。WINDOWS操作系统的早期版本（WIN95/98/NT）的网络服务（文件共享等）都是建立在NetBIOS之上的，因此，这些操作系统都开放了139端口（最新版本的WINDOWS2000/XP/2003等，为了兼容，也实现了NetBIOSoverTCP/IP功能，开放了1

23、39端口）。WinNuke攻击就是利用了WINDOWS操作系统的一个漏洞，向这个139端口发送一些携带TCP带外（OOB）数据报文，但这些攻击报文与正常携带OOB数据报文不同的是，其指针字段与数据的实际位置不符，即存在重合，这样WINDOWS操作系统在处理这些数据的时候，就会崩溃。十七、Land攻击LAND攻击利用了TCP连接建立的三次握手过程，通过向一个目标计算机发送一个TCPSYN报文（连接建立请求报文）而完成对目标计算机的攻击。与正常的TCPSYN报文不同的是，LAND攻击报文的源IP地址和目的IP地址是相同的，都是目标计算机的IP地址。这样目标计算机接收到这个SYN报文后,就会向该报文

24、的源地址发送一个ACK报文，并建立一个TCP连接控制结构（TCB），而该报文的源地址就是自己，因此，这个ACK报文就发给了自己。这样如果攻击者发送了足够多的SYN报文，则目标计算机的TCB可能会耗尽，最终不能正常服务。这也是一种DOS攻击。防御：打最新的补丁，或者在防火墙进行配置，将那些在外部接口上入站的含有内部源地址滤掉。（包括10域、127域、192.168域、172.16到172.31域）十八、Script/ActiveX攻击Script是一种可执行的脚本，它一般由一些脚本语言写成，比如常见的JAVASCRIPT，VBSCRIPT等。这些脚本在执行的时候，需要一个专门的解释器来翻译，翻译

25、成计算机指令后，在本地计算机上运行。这种脚本的好处是，可以通过少量的程序写作，而完成大量的功能。这种SCRIPT的一个重要应用就是嵌入在WEB页面里面，执行一些静态WEB页面标记语言（HTML）无法完成的功能，比如本地计算，数据库查询和修改，以及系统信息的提取等。这些脚本在带来方便和强大功能的同时，也为攻击者提供了方便的攻击途径。如果攻击者写一些对系统有破坏的SCRIPT，然后嵌入在WEB页面中，一旦这些页面被下载到本地，计算机便以当前用户的权限执行这些脚本，这样，当前用户所具有的任何权限，SCRIPT都可以使用，可以想象这些恶意的SCRIPT的破坏程度有多强。这就是所谓的SCRIPT攻击。A

26、ctiveX是一种控件对象，它是建立在MICROSOFT的组件对象模型（COM）之上的，而COM则几乎是Windows操作系统的基础结构。可以简单的理解，这些控件对象是由方法和属性构成的，方法即一些操作，而属性则是一些特定的数据。这种控件对象可以被应用程序加载，然后访问其中的方法或属性，以完成一些特定的功能。可以说，COM提供了一种二进制的兼容模型（所谓二进制兼容，指的是程序模块与调用的编译环境，甚至操作系统没有关系）。但需要注意的是，这种对象控件不能自己执行，因为它没有自己的进程空间，而只能由其它进程加载，并调用其中的方法和属性，这时候，这些控件便在加载进程的进程空间运行，类似与操作系统的可

27、加载模块，比如DLL库。ActiveX控件可以嵌入在WEB页面里面，当浏览器下载这些页面到本地后，相应地也下载了嵌入在其中的ActiveX控件，这样这些控件便可以在本地浏览器进程空间中运行（ActiveX空间没有自己的进程空间，只能由其它进程加载并调用），因此，当前用户的权限有多大，ActiveX的破坏性便有多大。如果一个恶意的攻击者编写一个含有恶意代码的ActiveX控件，然后嵌入在WEB页面中，被一个浏览用户下载后执行，其破坏作用是非常大的。这便是所谓的ActiveX攻击。十九、Smurf攻击ICMPECHO请求包用来对网络进行诊断，当一台计算机接收到这样一个报文后，会向报文的源地址回应一

28、个ICMPECHOREPLY。一般情况下，计算机是不检查该ECHO请求的源地址的，因此，如果一个恶意的攻击者把ECHO的源地址设置为一个广播地址，这样计算机在恢复REPLY的时候，就会以广播地址为目的地址，这样本地网络上所有的计算机都必须处理这些广播报文。如果攻击者发送的ECHO请求报文足够多，产生的REPLY广播报文就可能把整个网络淹没。这就是所谓的smurf攻击。除了把ECHO报文的源地址设置为广播地址外，攻击者还可能把源地址设置为一个子网广播地址，这样，该子网所在的计算机就可能受影响。防御：为了防止黑客利用你的网络攻击他人，关闭外部路由器或防火墙的广播地址特性。为防止被攻击，在防火墙上设

29、置规则，丢弃掉ICMP包。Fraggle攻击概览：Fraggle攻击对Smurf攻击作了简单的修改，使用的是UDP应答消息而非ICMP防御：在防火墙上过滤掉UDP应答消息电子邮件炸弹概览：电子邮件炸弹是最古老的匿名攻击之一，通过设置一台机器不断的大量的向同一地址发送电子邮件，攻击者能够耗尽接受者网络的带宽。ARP“中间人”攻击按照ARP协议的设计，一个主机即使收到的ARP应答并非自身请求得到的，也会将其哋址和A地址的对应关系添加到自身的ARP映射表中。这样可以减少网络上过多的ARP数据通信，但也为“ARP欺骗”创造了条件。如下图示，A和通过进行通信。此时，如果有黑客想探听A和之间的通信，它可以

30、分别给这两台主机发送伪造的ARP应答报文，使和A用A更新自身ARP映射表中与对方哋址相应的表项。此后，A和之间看似“直接”的通信，实际上都是通过黑客所在的主机间接进行的，即担当了“中间人”的角色，可以对信息进行了窃取和篡改。这种攻击方式就称作“中间人攻击”。常见的欺骗种类有A欺骗、P欺骗、P欺骗，黑客可以伪造报文的源地址进行攻击，其目的一般为伪造身份或者获取针对P的特权，另外此方法也被应用于，拒绝服务攻击，严重的危害了网络安全。ARP入侵检测功能ARP入侵检测功能工作机制为了防止P欺骗攻击，低端以太网交换机提供了I过滤特性，开启该功能后，交换机可以强制经过某一端口流量的源地址符合动态获取的P表

31、项或静态配置的P与A绑定表项的记录，防止攻击者通过伪造源地址来实施攻击。此外，该功能也可以防止用户随便指定哋址，造成的网络地址冲突等现象。报文泛洪攻击报文泛洪攻击是指：恶意用户利用工具伪造大量报文发送到服务器，一方面恶意耗尽了P资源，使得合法用户无法获得P资源另一方面如果交换机上开启了P功能，会将接收到的报文上送到P。因此大量的报文攻击设备会使C服务器高负荷运行，甚至会导致设备瘫痪。ARP报文泛洪攻击ARP报文泛洪类似泛洪，同样是恶意用户发出大量的ARP报文，造成设备的ARP表项溢出，影响正常用户的转发。安全防范对于上述的几种攻击手段，接入网解决方案在用户接入侧利用Po提供相应的防范手段。P表

32、项的建立开启P功能后，接入交换机根据设备的不同特点可以分别采取监听PR广播报文和P单播报文的方法来记录用户获取的哋址等信息。目前，交换机的P表项主要记录的信息包括：分配给客户端的地址、客户端的地址、信息、端口信息、租约信息。为了防止中间人攻击，接入交换机支持将收到的请求与回应报文重定向到，结合安全特性来判断报文的合法性并进行处理，具体如下。表项或者手工配置的静态绑表项或者手工配置的静态绑定表项或者手工配置的静态绑表项或者手工配置的静打印出丢弃信息提示用户。当报文中的源地址及源地址的绑定关系与定表项匹配，且报文的入端口及其所属与表项一致，则为合法报文，进行转发处理。当报文中的源地址及源地址的绑定

33、关系与定表项不匹配，或报文的入端口，入端口所属与态绑定表项不一致，则为非法报文，直接丢弃，并通过手工配置静态绑定表项表只记录了通过方式动态获取地址的客户端信息，如果用户手工配置了固定地址，其地址、地址等信息将不会被表记录，因此不能通过基于表项的入侵检测，导致用户无法正常访问外部网络。为了能够让这些拥有合法固定地址的用户访问网络，交换机支持手工配置静态绑定表的表项,即：用户的地址、地址及连接该用户的端口之间的绑定关系。以便正常处理该用户的报文。信任端口设置由于实际组网中，交换机的上行口会接收其他设备的请求和应答的报文，这些报文的源地址和源地址并没有在表项或者静态绑定表中。为了解决上行端口接收的请

34、求和应答报文能够通过入侵检测问题，交换机支持通过配置信任端口，灵活控制报文检测功能。对于来自信任端口的所有报文不进行检测，对其它端口的报文通过查看表或手工配置的静态绑定表进行检测。二十、虚拟终端（VTY）耗尽攻击这是一种针对网络设备的攻击，比如路由器，交换机等。这些网络设备为了便于远程管理，一般设置了一些TELNET用户界面，即用户可以通过TELNET到该设备上，对这些设备进行管理。一般情况下，这些设备的TELNET用户界面个数是有限制的，比如，5个或10个等。这样，如果一个攻击者同时同一台网络设备建立了5个或10个TELNET连接，这些设备的远程管理界面便被占尽，这样合法用户如果再对这些设备

35、进行远程管理，则会因为TELNET连接资源被占用而失败。一、路由协议攻击网络设备之间为了交换路由信息，常常运行一些动态的路由协议，这些路由协议可以完成诸如路由表的建立，路由信息的分发等功能。常见的路由协议有RIP,OSPF,IS-IS,BGP等。这些路由协议在方便路由信息管理和传递的同时，也存在一些缺陷，如果攻击者利用了路由协议的这些权限，对网络进行攻击,可能造成网络设备路由表紊乱（这足可以导致网络中断）,网络设备资源大量消耗,甚至导致网络设备瘫痪。下面列举一些常见路由协议的攻击方式及原理：1、针对RIP协议的攻击RIP，即路由信息协议，是通过周期性（一般情况下为30S）的路由更新报文来维护路

36、由表的，一台运行RIP路由协议的路由器，如果从一个接口上接收到了一个路由更新报文，它就会分析其中包含的路由信息，并与自己的路由表作出比较，如果该路由器认为这些路由信息比自己所掌握的要有效，它便把这些路由信息引入自己的路由表中。这样如果一个攻击者向一台运行RIP协议的路由器发送了人为构造的带破坏性的路由更新报文，就很容易的把路由器的路由表搞紊乱，从而导致网络中断。如果运行RIP路由协议的路由器启用了路由更新信息的HMAC验证,则可从很大程度上避免这种攻击。2、针对OSPF路由协议的攻击OSPF，即开放最短路径优先，是一种应用广泛的链路状态路由协议。该路由协议基于链路状态算法，具有收敛速度快，平稳

37、，杜绝环路等优点，十分适合大型的计算机网络使用。OSPF路由协议通过建立邻接关系，来交换路由器的本地链路信息，然后形成一个整网的链路状态数据库，针对该数据库，路由器就可以很容易的计算出路由表。可以看出，如果一个攻击者冒充一台合法路由器与网络中的一台路由器建立邻接关系，并向攻击路由器输入大量的链路状态广播（LSA,组成链路状态数据库的数据单元），就会引导路由器形成错误的网络拓扑结构，从而导致整个网络的路由表紊乱，导致整个网络瘫痪。当前版本的WINDOWS操作系统（WIN2K/XP等）都实现了OSPF路由协议功能，因此一个攻击者可以很容易的利用这些操作系统自带的路由功能模块进行攻击。跟RIP类似，

38、如果OSPF启用了报文验证功能（HMAC验证），则可以从很大程度上避免这种攻击。3、针对IS-IS路由协议的攻击IS-IS路由协议，即中间系统到中间系统，是ISO提出来对ISO的CLNS网络服务进行路由的一种协议,这种协议也是基于链路状态的，原理与OSPF类似。IS-IS路由协议经过扩展，可以运行在IP网络中，对IP报文进行选路。这种路由协议也是通过建立邻居关系，收集路由器本地链路状态的手段来完成链路状态数据库同步的。该协议的邻居关系建立比OSPF简单，而且也省略了OSPF特有的一些特性,使该协议简单明了，伸缩性更强。对该协议的攻击与OSPF类似，通过一种模拟软件与运行该协议的路由器建立邻居关

39、系，然后传颂给攻击路由器大量的链路状态数据单元（LSP），可以导致整个网络路由器的链路状态数据库不一致（因为整个网络中所有路由器的链路状态数据库都需要同步到相同的状态），从而导致路由表与实际情况不符，致使网络中断。与OSPF类似，如果运行该路由协议的路由器启用了IS-IS协议单元（PDU）HMAC验证功能，则可以从很大程度上避免这种攻击。二十二、针对设备转发表的攻击为了合理有限的转发数据，网络设备上一般都建立一些寄存器表项，比如MAC地址表，ARP表，路由表，快速转发表，以及一些基于更多报文头字段的表格，比如多层交换表，流项目表等。这些表结构都存储在设备本地的内存中，或者芯片的片上内存中，数量

40、有限。如果一个攻击者通过发送合适的数据报，促使设备建立大量的此类表格，就会使设备的存储结构消耗尽，从而不能正常的转发数据或崩溃。下面针对几种常见的表项，介绍其攻击原理：1、针对MAC地址表的攻击MAC地址表一般存在于以太网交换机上，以太网通过分析接收到的数据幀的目的MAC地址，来查本地的MAC地址表，然后作出合适的转发决定。这些MAC地址表一般是通过学习获取的，交换机在接收到一个数据幀后，有一个学习的过程，该过程是这样的：a）提取数据幀的源MAC地址和接收到该数据幀的端口号；b）查MAC地址表，看该MAC地址是否存在，以及对应的端口是否符合；C）如果该MAC地址在本地MAC地址表中不存在，则创

41、建一个MAC地址表项；d）如果存在，但对应的出端口跟接收到该数据幀的端口不符，则更新该表；e）如果存在，且端口符合，则进行下一步处理。分析这个过程可以看出，如果一个攻击者向一台交换机发送大量源MAC地址不同的数据幀，则该交换机就可能把自己本地的MAC地址表学满。一旦MAC地址表溢出，则交换机就不能继续学习正确的MAC表项，结果是可能产生大量的网络冗余数据，甚至可能使交换机崩溃。而构造一些源MAC地址不同的数据幀，是非常容易的事情。2、针对ARP表的攻击ARP表是IP地址和MAC地址的映射关系表，任何实现了IP协议栈的设备，一般情况下都通过该表维护IP地址和MAC地址的对应关系，这是为了避免AR

42、P解析而造成的广播数据报文对网络造成冲击。ARP表的建立一般情况下是通过二个途径：1）主动解析，如果一台计算机想与另外一台不知道MAC地址的计算机通信，则该计算机主动发ARP请求，通过ARP协议建立（前提是这两台计算机位于同一个IP子网上）；2）被动请求，如果一台计算机接收到了一台计算机的ARP请求，则首先在本地建立请求计算机的IP地址和MAC地址的对应表。因此，如果一个攻击者通过变换不同的IP地址和MAC地址，向同一台设备，比如三层交换机发送大量的ARP请求，则被攻击设备可能会因为ARP缓存溢出而崩溃。针对ARP表项，还有一个可能的攻击就是误导计算机建立正确的ARP表。根据ARP协议，如果一

43、台计算机接收到了一个ARP请求报文，在满足下列两个条件的情况下，该计算机会用ARP请求报文中的源IP地址和源MAC地址更新自己的ARP缓存：1）如果发起该ARP请求的IP地址在自己本地的ARP缓存中；2）请求的目标IP地址不是自己的。可以举一个例子说明这个过程，假设有三台计算机A，B，C，其中B已经正确建立了A和C计算机的ARP表项。假设A是攻击者，此时，A发出一个ARP请求报文，该请求报文这样构造：1）源IP地址是C的IP地址，源MAC地址是A的MAC地址；2）请求的目标IP地址是A的IP地址。这样计算机B在收到这个ARP请求报文后（ARP请求是广播报文，网络上所有设备都能收到），发现B的A

44、RP表项已经在自己的缓存中，但MAC地址与收到的请求的源MAC地址不符，于是根据ARP协议，使用ARP请求的源MAC地址（即A的MAC地址）更新自己的ARP表。这样B的ARP混存中就存在这样的错误ARP表项：C的IP地址跟A的MAC地址对应。这样的结果是，B发给C的数据都被计算机A接收到。3、针对流项目表的攻击有的网络设备为了加快转发效率，建立了所谓的流缓存。所谓流，可以理解为一台计算机的一个进程到另外一台计算机的一个进程之间的数据流。如果表现在TCP/IP协议上，贝惺由（源IP地址，目的IP地址，协议号，源端口号，目的端口号）五元组共同确定的所有数据报文。一个流缓存表一般由该五元组为索引，每当设备接收到一个IP报文后，会首先分析IP报头，把对应的五元组数据提取出来，进行一个HASH运算，然后根据运算结果查询流缓存，如果查找成功，则根据查找的结果进行处理，如果查找失败，则新建一个流缓存项，查路由表，根据路由表查询结果填完整这个流缓存，然后对数据报文进行转发（具体转发是在流项目创建前还是创建后并不重要）。可以看出，如果一个攻击者发出大量的源IP地址或者目的IP地址变化的数据报文，就可能导致设备创建大量的流项目，因为不同的源IP地址和不同的目标IP地址对应不同的流。这样可能导致流缓存溢出。