第五章网络攻击与防范技术5.1网络攻击概述与分类近10年安全漏洞发布趋势5.1网络攻击概述与分类5.1网络攻击概述与分类网络攻击的一般流程5.2目标探测5.2.1目标探测的内容5.2.2目标探测的方法2.分析目标网络信息使用专用的工具，如VisualRoute等。这些软件的主要功能：快速分析和辨别Internet连接的来源，标识某个IP地址的地理位置等。3.分析目标网络路由了解信息从一台计算机到达互联网另一端的另一台计算机传播路径，常见的检测工具为Tracert/TraceRoute。5.3扫描概念和原理5.3.1主机扫描技术5.3.2端口扫描技术2．TCPSYN扫描3．TCPFIN扫描4．TCPXmas扫描5．TCPNULL扫描5．UDP扫描UDP扫描并不可靠。1)目标主机可以禁止任何UDP包通过；2)UDP本身不是可靠的传输协议，数据传输的完整性不能得到保证；3)系统在协议栈的实现上有差异，对一个关闭的UDP端口，可能不会返回任何信息，而只是简单的丢弃。6．FTP返回扫描FTP代理扫描是用一个代理的FTP服务器来扫描TCP端口。假设S是扫描机，T是扫描目标，F是一个支持代理选项的FTP服务器，能够跟S和T建立连接，FTP端口扫描步骤如下：（1）S与F建立一个FTP会话，使用PORT命令声明一个选择的端口p-T作为代理传输所需要的被动端口；（2）然后S使用一个LIST命令尝试启动一个到p-T的数据传输；（3）如果端口p-T确实在监听，传输就会成功，返回码150和226被发送回给S。否则S会收到“425Canbuilddataconnection:Connectionrefused”的应答;（4）S持续使用PORT和LIST命令，直到对T上所有的选择端口扫描完毕为止。这种方法的优点是难以跟踪，能穿过防火墙。主要缺点是速度很慢，有的FTP服务器最终还是能得到一些线索，关闭代理功能。防止端口扫描5.3.3漏洞扫描5.4网络监听5.4.1网络监听原理5.4.2网络监听检测与防范2．网络监听的防范（1）采用加密手段进行信息传输也是一个很好的办法（2）以交换式集线器代替共享式集线器。交换式集线器代替共享式集线器，使单播包仅在两个节点之间传送，从而防止非法监听。（3）使用Kerberos。5.5缓冲区溢出攻击缓冲区溢出1．通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，使系统崩溃。例：#include<string.h>voidmain(intargc,char*argv[]){charbuffer[10];strcpy(buffer,argv[1]);}执行该程序，输入字符串长度小于10时，程序正常运行，否则系统崩溃。262．通过向程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其它指令，以达到攻击目的。例如下面程序：#include<iostream.h>#include<string.h>voidfunction(inta){charbuffer[5];char*ret;ret=buffer+12;*ret+=8;}voidmain(){intx;x=10;function(7);x=1;cout<<x<<endl;}程序的运行结果是？程序的实际运行结果是10，而不是1。上段程序的执行过程：依次为形式参数a、RET、EBP分配4字节的内存，为语句charbuffer[5]分配内存时，需要5字节的内存。对于32位存储器，内存的分配是以4个字节为单位来进行的，所以为buffer分配的内存一共需要8个字节。voidmain(){intx;x=10;function(7);x=1;cout<<x<<endl;}执行ret=buffer+12后，ret指向RET(buffer地址和RET地址相差12个字节)。RET的值是函数function(7)的返回地址，即“x=1”的首地址，执行*ret+=8语句后就将RET的值加上了8个字节，而x=1这条语句占有8个字节。5.5.2缓冲区溢出攻击方法5.5.3防范缓冲区溢出2．及时安装漏洞补丁3.借助防火墙阻止缓冲区溢出。5.6拒绝服务攻击5.6.1IP碎片攻击5.6.2UDP洪泛5.6.3SYN洪泛5.6.4Smurf攻击5.6.5分布式拒绝服务攻击DDoS攻击的步骤防范DDoS攻击的策略5.7欺骗攻击与防范IP欺骗的原理ARP欺骗攻击与防范ARP欺骗攻击原理ARP攻击防护本章教学要求：（1）了解网络攻击的概念；（2）了解目标探测的内容和方法；（3）掌握扫描器工作原理；（4）