《TCPIP协议安全漏洞.docx》由会员分享，可在线阅读，更多相关《TCPIP协议安全漏洞.docx（8页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、TCPIP协议安全漏洞湖北广播电视大学TCP/IP协议安全漏洞摘要 随着计算机网络技术发展，信息安全问题越来越受到国家关注，网络安全已经成为计算机网络通信领域重点。这篇论文从目前使用TCP/IP协议入手来研究问题，从TCP/IP协议安全性进行较为全面解析，从TCP/IP总体概括、现在存在安全隐患、以及各个层次之间安全问题进行了比较深入讨论。然后用现在最为流行Snifer工具从实验角度上来分析数据包安全情况，最后从SYN攻击代码来分析TCP/IP协议，并且实现了几种防御SYN方法。本文在介绍因特网中使用TCP/IP协议基础上，对TCP/IP协议安全性进行了较为全面讨论，从理论上分析了协议中几种主
2、要安全隐患。由于TCP/IP协议一开始实现主要目是用于科学研究，所以很少考虑安全性方面东西。但随着其应用普及，它已经成为了Internet网络通信协议标准。希望本论文能对未来信息社会中网络安全环境形成有所帮助。关键词: TCP / IP协议，安全协议，服务，协议层，协议家人拒绝ABSTRACTAbstract: With the development of computer network technology, the government concerns more and more the message safety, Now, network security has become
3、 a key area of computer network communications. The paper start with the currently used TCP/IP protocol to study the problem. From the security On TCP/IP protocol we give more comprehensive analysis, Now from the exist security risks, and security issues between the various levels we give more in-de
4、pth discussion. Then using the most popular tool of Snifer to come up safe circumstance that analytical data wrap from the experience angle, and at last we analyze from the SYN attacking code to TCP/IP protocol, and achieve several defenses the SYN attacking.This paper describes the use of the Inter
5、nets TCP / IP protocol on the basis of TCP / IP protocol security for a more comprehensive discussion of the agreement from the theoretical analysis of several major security risk. As TCP / IP protocol began with the main purpose is for scientific research to achieve, so little regard for the safety
6、 of things. But with the popularity of its application, it has become the standard Internet network communication protocol. Hope that this paper will in the future information society, network security environment, help the formation ofKeywords: TCP/IP; Security Protocol; Denial of Service，Protocol
7、layer, protocol family前言随着网络互联网飞速发展，计算机网络安全性越来越重要。从定义上讲，计算机网络安全是指计算机及其网络系统资源和信息资源不受自然和人为有害因素威胁和危害。随着信息社会到来,计算机网络发展不断地深入到生活各个领域。出现了许多网络服务新型业务。比如：电子商务、数字货币、网络银行电子证券、网络书店、网上拍卖、网络防伪等。随着这些业务发展，网络安全问题显得越来越重要，成为关键所在。因此网络安全研究成为计算机通讯领域和发展重要方向。现在由于自身缺陷,网络开放性以及黑客攻击是造成互联网络不安全主要原因。当前，TCP/IP作为一个事实上工业标准，在其制订之初，没有考
8、虑安全因素，因此他本身无安全可言。TCP/IP作为Internet使用标准协议集，是黑客实施网络攻击重点目标和对象。TCP/IP协议组是目前使用最广泛网络互连协议。但TCP/IP协议组本身存在着一些安全性问题。TCP/IP协议是建立在可信环境之下，首先考虑网络互连缺乏对安全方面考虑。其次，TCP/IP是建立在3次握手协议基础之上，本身就存在一定不安全因素，握手协议过程当中有一定局限性。这种基于地址协议本身就会泄露口令，而且经常会运行一些无关程序，这些都是网络本身缺陷。互连网技术屏蔽了底层网络硬件细节，使得异种网络之间可以互相通信。这就给黑客们攻击网络以可乘之机。由于大量重要应用程序都以TCP作
9、为它们传输层协议，因此TCP安全性问题会给网络带来严重后果。网络开放性，TCP/IP协议完全公开，远程访问使许多攻击者无须到现场就能够得手，连接主机基于互相信任原则等等性质使网络更加不安全。协议中存在许多安全问题，随着应用深入，逐渐受到人们关注。因此，人们开始研究各种各样安全技术来弥补它缺陷，堵住安全漏洞，增加网络安全。目前正在制定安全协议,在互连基础上考虑了安全因素，希望能对未来信息社会中对安全网络环境形成有所帮助。网络安全关系到国家安全。网络安全理论及其应用技术研究，不仅受到学术界以及工业界关注，同时也受到各国政府高度重视。为了自己国家利益，美国等西方发达国家将网络安全技术及产品视为如同核
10、武器一样秘密技术，立法限制其向中国出口。为保障中国网络基础设施安全，国家安全部、公安部等明确要求使用国产网络安全产品来确保我国网络安全。然而，由于种种原因，目前中国有关网络安全技术及其产品研发与美国等西方发达国家相比尚有一定距离。正因为如此，应加倍努力，迎头赶上。在这种背景下，应该更加重视网络安全方面。国家信息安全总体框架已经搭就。已制定报批和发布了有关信息技术安全一系列国家标准、国家军用标准。国家信息安全基础设施正在逐步建成包括国际出入口监控中心、安全产品评测认证中心、病毒检测和防治中心、关键网络系统灾难恢复中心、系统攻击和反攻击中心、电子保密标签监管中心、网络安全紧急处置中心、电子交易证书
11、授权中心、密钥恢复监管中心、公钥基础设施与监管中心、信息战防御研究中心等。第一章 TCP/IP协议概述1.1 TCP/IP协议定义 协议是互相通信计算机双方必须共同遵从一组约定。TCP/IP（传输控制协议/网际协议）就是这样约定，它规定了计算机之间互相通信方法。TCP/IP是为了使接入因特网异种网络、不同设备之间能够进行正常数据通讯，而预先制定一簇大家共同遵守格式和约定。该协议是美国国防部高级研究计划署为简历ARPANET开发，在这个协议集中，两个最知名协议就是传输控制协议（TCP, Transfer Contorl Protocol）和网际协议（IP，Internet Protocol），故
12、而整个协议集被称为TCP/IP。之所以说TCP/IP是一个协议簇，是因为TCP/IP包括了TCP、IP、UDP、ICMP、RIP、TELNET、ARP等许多协议，对因特网中主机寻址方式、主机命名机制、信息传输规则，以及各种各样服务功能均做了详细约定，这些约定一起称为TCP/IP。TCP/IP协议和开放系统互连参考模型一样，是一个分层结构。协议分层使得各层任务和目十分明确，这样有利于软件编写和通信控制。TCP/IP协议分为4层，由下至上分别是网路接口层、网际层、传输层和应用层，如图所示1.2 TCP/IP协议总体概况目前在Internet上使用是TCP/IP协议。TCP/IP协议叫做传输控制/网
13、际协议，它是Internet国际互联网络基础。TCP/IP是网络中使用基本通信协议。其中IP(Internet Protocol)全名为网际互连协议，它是为计算机网络相互连接进行通信而设计协议。TCP(Transfer Control Protocol)是传输控制协议。TCP/IP协议是能够使连接到网上所有计算机网络实现相互通信一套规则，正是因为有了TCP/IP协议,因特网才得以迅速发展成为世界上最大、开放计算机通信网络。从表面名字上看TCP/IP包括两个协议，传输控制协议(TCP)和互联网际协议(IP)，其实TCP/IP实际上是1组协议集合，它包括了上百个各种功能协议。如：远程登录、文件传输
14、和电子邮件等等，而TCP协议和IP协议是保证数据完整传输两个基本重要协议。IP协议之所以能使各种网络互联起来是由于它把各种不同“帧”统一转换成“IP数据报”格式，这种转换是因特网一个最重要特点。所以IP协议使各种计算机网络都能在因特网上实现互通,即具有“开放性”特点。TCP/IP协议基本传输单位是数据包(datagram)。TCP协议负责把数据分成若干个数据包，并给每个数据包加上包头，包头上有相应编号，以保证在数据接收端能将数据还原为原来格式，IP协议在每个包头上还要加上接收端主机地址，这样数据通过路由器中MAC地址来确定数据流向，如果传输过程中出现数据丢失，数据失真等情况，TCP协议会自动要
15、求数据重新传输，并重新组。.总之，IP协议保证数据传输，而TCP协议保证数据传输质量。TCP/IP协议数据传输基于TCP/IP协议4层结构：应用层、传输层、网络层、接口层。第二章 各协议层存在安全漏洞2.1 链路层存在安全漏洞我们知道，在以太网中，信道是共享，任何主机发送每一个以太网帧都会到达别与该主机处于同一网段所有主机以太网接口，一般地，CSMA/CD协议使以太网接口在检测到数据帧不属于自己时，就把它忽略，不会把它发送到上层协议（如ARP、RARP层或IP层）。如果我们对其稍做设置或修改，就可以使一个以太网接口接收不属于它数据帧。例如有实现可以使用杂错接点，即能接收所有数据帧机器节点。解决
16、该漏洞对策是：网络分段、利用交换器，动态集线器和桥等设备对数据流进行限制、加密（采用一次性口令技术）和禁用杂错接点。2.2 网络层漏洞几乎所有基于TCP/IP机器都会对ICMPecho请求进行响应。所以如果一个敌意主机同时运行很多个ping命令向一个服务器发送超过其处理能力ICMPecho请求时，就可以淹没该服务器使其拒绝其他服务。另外，ping命令可以在得到允许网络中建立秘密通道从而可以在被攻击系统中开后门进行方便攻击，如收集目标上信息并进行秘密通信等。解决该漏洞措施是拒绝网络上所有ICMPecho响应。2.3 IP漏洞IP包一旦从网络中发送出去，源IP地址就几乎不用，仅在中间路由器因某种原
17、因丢弃它或到达目标端后，才被使用。这使得一个主机可以使用别主机IP地址发送IP包，只要它能把这类IP包放到网络上就可以。因而如果攻击者把自己主机伪装成被目标主机信任友好主机，即把发送IP包中源IP地址改成被信任友好主机IP地址，利用主机间信任关系（Unix网络软件开发者发明术语）和这种信任关系实际认证中存在脆弱性（只通过IP确认），就可以对信任主机进行攻击。注意，其中所说信任关系是指一个被授权主机可以对信任主机进行方便访问。所有r*命令都采用信任主机方案，所以一个攻击主机把自己IP改为被信任主机IP，就可以连接到信任主机并能利用r*命令开后门达到攻击目。解决这个问题一个办法是，让路由器拒绝接收
18、来自网络外部IP地址与本地某一主机IP地址相同IP包进入。2.4 ARP欺骗ARP协议在对IP地址进行解析时，利用ARP缓存（也叫ARP表）来做。ARP缓存每一条目保存有IP地址到物理地址映射。如果在ARP表中没有这样对应条目，ARP协议会广播ARP请求，获得对应于那个IP地址物理地址，并把该对应关系加入到ARP表中。ARP表中每一个条目都有一个计时器，如果计时器过期，该条目就无效，因而被从缓存中删除。显然，如果攻击者暂时使用不工作主机IP地址，就可以伪造IP-物理地址对应关系对，把自己伪装成象那个暂时不使用主机一样。克服此问题方法是，让硬件地址常驻内存，并可以用ARP命令手工加入（特权用户才
19、可以那样做）；也可以通过向RARP服务器询问来检查客户ARP欺骗。因为RARP服务器保留着网络中硬件地址和IP相关信息。2.5 路由欺骗：在路由协议中，主机利用重定向报文来改变或优化路由。如果一个路由器发送非法重定向报文，就可以伪造路由表，错误引导非本地数据报。另外，各个路由器都会定期向其相邻路由器广播路由信息，如果使用RIP特权主机520端口广播非法路由信息，也可以达到路由欺骗目。解决这些问题办法有，通过设置主机忽略重定向信息可以防止路由欺骗；禁止路由器被动使用RIP和限制被动使用RIP范围。2.6 DNS欺骗网络上所有主机都信任DNS服务器，如果DNS服务器中数据被攻击者破坏，就可以进行D
20、NS欺骗。2.7 拦截TCP连接：攻击者可以使TCP连接两端进入不同步状态，入侵者主机向两端发送伪造数据包。冒充被信任主机建立TCP连接，用SYN淹没被信任主机，并猜测3步握手中响应（建立多个连接到信任主机TCP连接，获得初始序列号ISN(InitialSerialNumber)和RTT，然后猜测响应ISN，因为序列号每隔半秒加64000，每建立一个连接加64000）。预防方法：使所有r*命令失效，让路由器拒绝来自外面与本地主机有相同IP地址包。RARP查询可用来发现与目标服务器处在同一物理网络主机攻击。另外ISN攻击可通过让每一个连接ISN随机分配配合每隔半秒加64000来防止。2.8 使用
21、TCPSYN报文段淹没服务器。利用TCP建立连接3步骤缺点和服务器端口允许连接数量限制，窃取不可达IP地址作为源IP地址，使得服务器端得不到ACK而使连接处于半开状态，从而阻止服务器响应响应别连接请求。尽管半开连接会被过期而关闭，但只要攻击系统发送spoofedSYN请求速度比过期快就可以达到攻击目。这种攻击方法一直是一种重要攻击ISP（InternetServiceProvider）方法，这种攻击并不会损害服务，而是使服务能力削弱。解决这种攻击办法是，给Unix内核加一个补丁程序或使用一些工具对内核进行配置。一般做法是，使允许半开连接数量增加，允许连接处于半开状态时间缩短。但这些并不能从根本
22、上解决这些问题。实际上在系统内存中有一个专门队列包含所有半开连接，这个队列大小是有限，因而只要有意使服务器建立过多半开连接就可以使服务器这个队列溢出，从而无法响应其他客户连接请求。第三章 关于TCP/IP协议族存在脆弱性剖析3.1 TCP/IP协议族存在脆弱性IP层主要曲线是缺乏有效安全认证和保密机制，其中最主要因素就是IP地址问题。TCP/IP协议用IP地址来作为网络节点惟一标识，许多 TCP/IP服务，包括Berkeley中R命令、NFS、X Window等都是基于IP地址对用户进行认证和授权。当前TCP/IP网络安全机制主要是基于IP地址包过滤（Packet Filtering）和认证（
23、Authentication）技术，它有效性体现在可以根据IP包中源IP地址判断数据真实性和安全性。然而IP地址存在许多问题，协议最大缺点就是缺乏对IP地址保护，缺乏对IP包中源IP地址真实性认证机制与保密措施。这也就是引起整个TCP/IP协议不安全根本所在。由于UDP是基于IP协议之上，TCP分段和UDP协议数据包是封装在IP包中在网络上传输，因此同样面临IP层所遇到安全威胁。现在人们一直在想办法解决，却仍然无法避免就是根据TCP连接建立时“三次握手”机制攻击。3.2 应用服务不容乐观3.2.1 文件传输协议 FTP经久不衰原因在于它可以在互联网上进行与平台无关数据传输，它基于一个客户机/服
24、务器架构。FTP 将通过两个信道（端口）传输，一个传输数据（TCP 端口 20），另一个传输控制信息（TCP 端口 21）。在控制信道之上，双方（客户机和服务器）交换用于发起数据传输命令。一个 FTP 连接包含4个步骤：用户鉴权建立控制信道建立数据信道关闭连接。FTP 连接控制使用 TCP （Transmission Control Protocol， 传输控制协议），它保障了数据可靠传输。因此，FTP 在数据传输中不需要关心分组丢失和数据错误检测。 匿名FTP作为互联网上广泛应用服务，安全等级低下受到了黑客频繁光顾。匿名FTP 是真匿名，并没有记录谁请求了什么信息，谁下载了什么文件，上传了什
25、么东西（有可能是木马）。FTP存在着致命安全缺陷，FTP使用标准用户名和口令作为身份验证，缺乏有效访问权限控制机制，而其口令和密码传输也都是明文方式。 3.2.1 Web服务 Web服务器位于宿主基础结构前端，它与Internet直接相连，负责接收来自客户端请求，创建动态Web页并响应请求数据。最初WWW服务只提供静态HTML页面，为改变人们对网络互动请求愿望，开始引入了CGI程序，CGI程序让主页活动起来。CGI程序可以接收用户输入信息，一般用户是通过表格把输入信息传给CGI程序，然后CGI程序可以根据用户要求进行一些处理，一般情况下会生成一个HTML文件，并传回给用户。很多CGI 程序都存
26、在安全漏洞，很容易被黑客利用做一些非法事情。现在很多人在编写CGI程序时，可能对CGI软件包中安全漏洞并不了解，而且大多数情况下不会重新编写程序所有部分，只是对其加以适当修改，这样很多CGI程序就不可避免具有相同安全漏洞。很多 SQL Server 开发人员并没有在代码编写开始时候就从安全防护基础开始，这样就无法确保您开发代码安全性，其结果就造成了无法将应用程序运行控制在所需最低权限之内。3.3 提高网络可信度前面IPv4存在弊端，很多安全防范技术被忽略了，它不可避免地被新一代技术IPv6取代。IPsec安全协议就是事后 发展一种协议（如图3-1），而NAT（网络地址转换，Network Ad
27、dress Translation）解决了IP地址短缺问题，却增加了安全风险，使真正端到端安全应用难以实现。端到端安全性两个基本组件鉴权和加密都是IPv6协议集成组件；而在IPv4中，它们只是附加组件，因此，采用IPv6安全性会更加简便、一致。在现在网络环境中，尤其是园区网当中，由于不存在NAT地址转换问题，所以IPSec具备允许部署可信计算基础架构基本特征。IPSec数据包验证能够确保整个IP报头、下一层协议（例如TCP、UPD或ICMP）报头以及数据包有效负载数据完整性。 华夏网管ofAdmin.Com 另外，针对数据包单向Hash算法用以提供校验和。通信发起方计算校验和并在发送之前将其附
28、加到数据包中；响应方则在收到数据包后为其计算校验和。如果响应方所计算出校验和与数据包中附带校验和完全匹配，则证明数据包在传输过程中未被修改。校验和单向计算特性意味着其取值无法在传输过程中进行修改，这也就保证了端到端数据传输过程可信程度。 第四章 TCP/IP协议安全性分析4.1 TCP状态转移图和定时器应于连接建立或终止、流量控制和数据传输。几类主要定时器及其功能如下TCP状态转移图控制了一次连接初始化、建立和终止，该图由定义状态以及这些状态之间转移弧构成。TCP状态转移图与定时器密切相关，不同定时器对：连接定时器：在连接建立阶段，当发送了SYN包后，就启动连接定时器。如果在75秒内没有收到应
29、答，则放弃连接建立。 FIN-WAIT-2定时器：当连接从FIN-WAIT-1状态转移到FIN-WAIT-2状态时，将一个 FIN-WAIT-2定时器设置为10分钟。如果在规定时间内该连接没有收到一个带有置位FINTCP包，则定时器超时，再定时为75秒。如果在该时间段内仍无FIN包到达，则放弃该连接。 TIME-WAIT定时器：当连接进入TIME-WAIT状态时，该定时器被激活。当定时器超时时，与该连接相关内核数据块被删除，连接终止。 维持连接定时器：其作用是预测性地检测连接另一端是否仍为活动状态。如果设置了SO-KEEPALIVE套接字选择项，则TCP机状态是ESTABLISHED或CLOS
30、E-WAIT。4.2 网络入侵方式 4.2.1 伪造IP地址 入侵者使用假IP地址发送包，利用基于IP地址证实应用程序。其结果是未授权远端用户进入带有防火墙主机系统。 假设有两台主机A、B和入侵者控制主机X。假设B授予A某些特权，使得A能够获得B所执行一些操作。X目标就是得到与B相同权利。为了实现该目标，X必须执行两步操作：首先，与B建立一个虚假连接；然后，阻止A向B报告网络证实系统问题。主机X必须假造AIP地址，从而使B相信从X发来包确是从A发来。 我们同时假设主机A和B之间通信遵守TCPIP三次握手机制。握手方法是： A：SYN（序列号=M） BA：SYN（序列号N），ACK（应答序号=M
31、+1） AB：ACK（应答序号N+1） 主机X伪造IP地址步骤如下：首先，X冒充A，向主机B发送一个带有随机序列号SYN包。主机B响应，向主机A发送一个带有应答号SYN+ACK包、该应答号等于原序列号加1。同时，主机B产生自己发送包序列号，并将其与应答号一起发送。为了完成三次握手，主机X需要向主机B回送一个应答包，其应答号等于主机B向主机A发送包序列号加1。假设主机X与A和B不同在一个子网内，则不能检测到B包，主机X只有算出B序列号，才能创建TCP连接。其过程描述如下： XB：SYN（序列号=M），SRC=A BA：SYN（序列号=N），ACK（应答号=M+1） XB：ACK（应答号N+1），
32、SRCA 同时，主机X应该阻止主机A响应主机B包。为此，X可以等到主机A因某种原因终止运行，或者阻塞主机A操作系统协议部分，使它不能响应主机B。 一旦主机X完成了以上操作，它就可以向主机B发送命令。主机B将执行这些命令，认为他们是由合法主机A发来。 4.2.2 TCP状态转移问题 上述入侵过程，主机X是如何阻止主机A向主机B发送响应在，主机调通过发送一系列SYN包，但不让A向调发送SYN-ACK包而中止主机A登录端口。如前所述，TCP维持一个连接建立定时器。如果在规定时间内（通常为75秒）不能建立连接，则TCP将重置连接。在前面例子中，服务器端口是无法在75秒内作出响应。 下面我们来讨论一下主
33、机X和主机A之间相互发送包序列。X向A发送一个包，其SYN位和FIN位置位，A向X发送ACK包作为响应： XA：SYN FIN（系列号=M）AX：ACK（应答序号M+1）从上面状态转移可以看出，A开始处于监听（LISTEN）状态。当它收到来自X包后，就开始处理这个包。值得注意是，在TCP协议中，关于如何处理SYN和FIN同时置位包并未作出明确规定。我们假设它首先处理SYN标志位，转移到SYN-RCVD状态。然后再处理FIN标志位，转移到CLOSE-WAIT状态。如果前一个状态是ESTABLISHED，那么转移到CLOSE-WAIT状态就是正常转移。但是，TCP协议中并未对从SYN-RCVD状态
34、到CLOSE-WAIT状态转移作出定义。但在几种TCP应用程序中都有这样转移，例如开放系统SUN OS4.1.3，SUR4和ULTRX4.3。因此，在这些TCP应用程序中存在一条TCP协议中未作定义从状态SYN-RCVD到状态CLOSE-WAIT转移弧，在上述入侵例子中，由于三次握手没能彻底完成，因此并未真正建立TCP连接，相应网络应用程序并未从核心内获得连接。但是，主机ATCP机处于CLOSE-WAIT状态，因此它可以向X发送一个FIN包终止连接。这个半开放连接保留在套接字侦听队列中，而且应用进程不发送任何帮助TCP执行状态转移消息。因此，主机ATCP机被锁在了CL0SE-WAIT状态。如果
35、维持活动定时器特征被使用，通常2小时后TCP将会重置连接并转移到CLOSED状态。当TCP机收到来自对等主机RST时，就从ESTABLISHED，FINWAIT-1和FIN-WAIT-2状态转移到CLOSED状态。这些转移是很重要，因为它们重置TCP机且中断网络连接。但是，由于到达数据段只根据源IP地址和当前队列窗口号来证实。因此入侵者可以假装成已建立了合法连接一个主机，然后向另一台主机发送一个带有适当序列号RST段，这样就可以终止连接了！从上面分析我们可以看到几种TCP应用程序中都存在外部状态转移。这会给系统带来严重安全性问题。4.2.3 定时器问题正如前文所述，一旦进入连接建立过程，则启动
36、连接定时器。如果在规定时间内不能建立连接，则TCP机回到CLOSED状态。我们来分析一下主机A和主机X例子。主机A向主机X发送一个SYN包，期待着回应一个SYN-ACK包。假设几乎同时，主机X想与主机A建立连接，向A发送一个SYN包。A和X在收到对方SYN包后都向对方发送一个SYN-ACK包。当都收到对方SYN-ACK包后，就可认为连接已建立。在本文中，假设当主机收到对方SYN包后，就关闭连接建立定时器。XA：SYN（序列号=M） AX：SYN（序列号=N） XA：SYN（序列号=M），ACK（应答号=N+1）AX：SYN（序列号=N），ACK（应答号M+1）主机X向主机A发送一个FTP请求。
37、在X和A之间建立起一个TCP连接来传送控制信号。主机A向 X发送一个SYN包以启动一个TCP连接用来传输数据，其状态转移到SYN-SENT状态。 当X收到来自ASYN包时，它回送一个SYN包作为响应。主机X收到来自ASYN-ACK包，但不回送任何包。主机A期待着接收来自XSYN-ACK。由于X不回送任何包，因此A被锁在SYN-RCVD状态。这样，X就成功地封锁了A一个端口。4.3 利用网络监控设备观测网络入侵我们在局域网上安装一个网络监控设备观测通过网络包，从而判断是否发生了网络入侵。下面我们将讨论在几种入侵过程中网络监控设备可观测到序列包。4.3.1 伪造IP地址最初，网络监控设备会监测到大
38、量TCP SYN包从某个主机发往A登录端口。主机A会回送相应SYN-ACK包。SYN包目是创建大量与主机A半开放TCP连接，从而填满了主机A登录端口连接队列。大量TCP SYN包将从主机X经过网络发往主机B，相应地有SYN-ACK包从主机B发往主机X。然后主机X将用RST包作应答。这个SYNSYN-ACKRST包序列使得入侵者可以知道主机BTCP序列号发生器动作。主机A向主机B发送一个SYN包。实际上，这是主机X发送一个“伪造”包。收到这个包之后，主机B将向主机A发送相应SYN-ACK包。主机A向主机B发送ACK包。按照上述步骤，入侵主机能够与主机B建立单向TCP连接。4.3.2 虚假状态转移
39、当入侵者试图利用从SYN-RCVD到CLOSE-WAIT状态转移长时间阻塞某服务器一个网络端口时，可以观察到如下序列包： 从主机X到主机B发送一个带有SYN和FIN标志位置位TCP包。主机B首先处理SYN标志，生成一个带有相应ACK标志位置位包，并使状态转移到SYN-RCVD，然后处理FIN标志，使状态转移到CLOSE-WAIT，并向X回送ACK包。主机X不向主机B发送其它任何包。主机TCP机将固定在CLOSE-WAIT状态。直到维持连接定时器将其重置为CLOSED状态。因此，如果网络监控设备发现一串SYN-FINACK包，可推断入侵者正在阻塞主机B某个端口。 3.3 定时器问题 如果一入侵者
40、企图在不建立连接情况下使连接建立定时器无效，我们可以观察到以下序列包： 主机X从主机B收到一个TCP SYN包。 主机X向主机B回送一个SYN包。主机X不向主机B发送任何ACK包。因此，B被阻塞在SYN-RCVD状态，无法响应来自其它客户机连接请求。致谢 通过本次毕业论文设计，我从早到老师身上学到了很多东西。他们深厚理论水平和实践都让我受益匪浅。都给与我很大帮助，我想这对于我以后工作和学习来说是种巨大帮助。同时也感谢老师对我教育和栽培。参考文献1 韦卫，王德杰，Interne网络层安全协议理论研究与实现，计算机学报 1999年22期2 谢正均，IP欺骗原理及其对策，电信快报 1999年2期3 林敏，网络互连安全技术及解决方案，中国金融电脑 1999年3期