获分析—缓冲区溢出攻击






摘要
自从计算机问世以来，安全问题就一直存在着，使用者也一直未给予足够的重视，结果大量连接到Internet上的计算机暴露在愈来愈频繁的攻击中。
随着信息技术日新月异的发展，人类正在进入以网络为主的信息时代，基于Internet开展的电子商务已逐渐成为人们进行商务活动的新模式。越来越多的人通过Internet进行商务活动，电子商务的发展前景十分诱人，但由于Internet的开放性决定网络系统的脆弱性，随之而来的是其安全问题变得越来越突出。






目录
TCP/IP协议介绍
1.01TCP/IP整体构架概述……………………………………………………2
1.02TCP/TP中的协议…………………………………………………………3
1.03IP地址的分配原理和路由选择…………………………………………8
1.04TCO/IP的工作原理………………………………………………………10
网络安全
2.01 网络安全概述……………………………………………………………13
2.02 网络安全的目标2.03 …………………………………………………………14
2.04 网络所面临的威胁………………………………………………………14
2.05 网络安全的解决方案……………………………………………………15
2.06 网络的攻击类型…………………………………………………………16
2.07 网络安全的防范建议……………………………………………………17
入侵检测
3.01 什么是入侵检测及实现方法……………………………………………18
3.02 入侵检测的功能…………………………………………………………19
3.03 入侵行为的概念，3.04 分类和演化……………………………………………20
3.05 网络入侵的一般思路及方法…………………………………………………22
3.06 VC++实现一个简单的端口扫描器……………………………………………28
网络监听与过滤技术
4.01 包捕获…………………………………………………………………………31
4.02 利用以太网络的广播特性进行监听…………………………………………31
4.03 包过滤与分解…………………………………………………………………32
4.04 过滤原理………………………………………………………………………32
4.05 包分解………………………………………………………………33
网络编程基础
5.01 Client/Sever通讯流程………………………………………………………34
5.02 相关API介绍…………………………………………………………………37
网络攻击—缓冲区溢出攻击
6.01 黑客攻击的手段………………………………………………………………48
6.02 缓冲区溢出的概念……………………………………………………………49




第 1 章 TCP/IP协议介绍
TCP/IP（传输控制协议/ 网间协议）是一种网络通信协议，它规范了网络上的所有通信设备，尤其是一个主机与另一个主机之间的数据往来格式以及传送方式。TCP/IP是个协议族，它包含了多种协议，本章将对其中的一些重要协议进行介绍。
1.01TCP/IP整体构架概述
TCP/IP协议并不完全符合OSI的七层参考模型。传统的开放式系统互连参考模型，是一种通信协议的7层抽象的参考模型,其中每一层执行某一特定任务。该模型的目的是使各种硬件在相同的层次上相互通信。这7层是:物理层、数据链路层、网路层、传输层、话路层、表示层和应用层。而TCP/IP通讯协议采用了4层的层级结构，每一层都呼叫它的下一层所提供的网络来完成自己的需求。这4层分别为：
应用层：应用程序间沟通的层，如简单电子邮件传输（SMTP）、文件传输协议（FTP）、网络远程访问协议（Telnet）等。
传输层：在此层中，它提供了节点间的数据传送服务，如传输控制协议（TCP）、用户数据报协议（UDP）等，TCP和UDP给数据包加入传输数据并把它传输到下一层中，这一层负责传送数据，并且确定数据已被送达并接收。
互连网络层：负责提供基本的数据封包传送功能，让每一块数据包都能够到达目的主机（但不检查是否被正确接收），如网际协议（IP）。

应用层
传输层
网际层
网络接口层
硬件层
网络接口层：对实际的网络媒体的管理，定义如何使用实际网络（如Ethernet、Serial Line等）来传送数据。

TCP/IP模型
1.02TCP/IP中的协议
这部分简要介绍一下TCP/IP的内部结构，为讨论与互联网有关的安全问题打下基础。TCP/IP协议组之所以流行，部分原因是因为它可以用在各种各样的信道和底层协议（例如T1和X.25、以太网以及RS-232串行接口）之上。确切地说，TCP/IP协议是一组包括TCP协议和IP协议，UDP（User Datagram Protocol）协议、ICMP（Internet Control Message Protocol）协议和其他一些协议的协议组。
1． IP
网际协议IP是TCP/IP的心脏，也是网络层中最重要的协议。
IP层接收由更低层（网络接口层例如以太网设备驱动程序）发来的数据包，并把该数据包发送到更高层---TCP或UDP层；相反，IP层也把从TCP或UDP层接收来的数据包传送到更低层。IP数据包是不可靠的，因为IP并没有做任何事情来确认数据包是按顺序发送的或者没有被破坏。IP数据包中含有发送它的主机的地址（源地址）和接收它的主机的地址（目的地址）。
高层的TCP和UDP服务在接收数据包时，通常假设包中的源地址是有效的。也可以这样说，IP地址形成了许多服务的认证基础，这些服务相信数据包是从一个有效的主机发送来的。IP确认包含一个选项，叫作IP source routing，可以用来指定一条源地址和目的地址之间的直接路径。对于一些TCP和UDP的服务来说，使用了该选项的IP包好象是从路径上的最后一个系统传递过来的，而不是来自于它的真实地点。这个选项是为了测试而存在的，说明了它可以被用来欺骗系统来进行平常是被禁止的连接。那么，许多依靠IP源地址做确认的服务将产生问题并且会被非法入侵。
2. TCP
如果IP数据包中有已经封好的TCP数据包，那么IP将把它们向‘上’传送到TCP层。TCP将包排序并进行错误检查，同时实现虚电路间的连接。TCP数据包中包括序号和确认，所以未按照顺序收到的包可以被排序，而损坏的包可以被重传。
TCP将它的信息送到更高层的应用程序，例如Telnet的服务程序和客户程序。应用程序轮流将信息送回TCP层，TCP层便将它们向下传送到IP层，设备驱动程序和物理介质，最后到接收方。 面向连接的服务（例如Telnet、FTP、rlogin、X Windows和SMTP）需要高度的可靠性，所以它们使用了TCP。DNS在某些情况下使用TCP（发送和接收域名数据库），但使用UDP传送有关单个主机的信息。
3.UDP
UDP与TCP位于同一层，但对于数据包的顺序错误或重发。因此，UDP不被应用于那些使用虚电路的面向连接的服务，UDP主要用于那些面向查询---应答的服务，例如NFS。相对于FTP或Telnet，这些服务需要交换的信息量较小。使用UDP的服务包括NTP（网落时间协议）和DNS（DNS也使用TCP）。
UDP骗TCP包更容易，因为UDP没有建立初始化连接（也可以称为握手）（因为在两个系统间没有虚电路），也就是说，与UDP相关的服务面临着更大的危险。
4.ICMP
internet控制消息协议ICMP是用于报告错误并代表IP对消息进行控制,ICMP与IP位于同一层于同一层，它被用来传送IP的的控制信息。它主要是用来提供有关通向目的地址的路径信息。ICMP的‘Redirect’信息通知主机通向其他系统的更准确的路径，而‘Unreachable’信息则指出路径有问题。另外，如果路径不可用了，ICMP可以使TCP连接‘体面地’终止。PING是最常用的基于ICMP的服务。
ICMP源抑制消息：当TCP/IP主机发送数据到另一主机时，如果速度达到路由器或者链路的饱和状态，路由器发出一个ICMP源抑制消息。
*ICMP数据包结构类型：
一个8位类型字段，表示ICMP数据包类型。
代码：一个8位代码域，表示指定类型中的一个功能。如果一个类型中只有一种功能，代码域置为0。
检验和：数据包中ICMP部分上的一个16位检验和。指定类型的数据随每个ICMP类型变化的一个附加数据。
5.ARP
要在网络上通信，主机就必须知道对方主机的硬件地址(我们不是老遇到网卡的物理地址嘛)。地址解析就是将主机IP地址映射为硬件地址的过程。地址解析协议ARP用于获得在同一物理网络中的主机的硬件地址。
*主机IP地址解析为硬件地址：
(1)当一台主机要与别的主机通信时，初始化ARP请求。当该IP断定IP地址是本地时，源主机在ARP缓存中查找目标主机的硬件地址。
（2)要是找不到映射的话，ARP建立一个请求，源主机IP地址和硬件地址会被包括在请求中，该请求通过广播，使所有本地主机均能接收并处理。
(3)本地网上的每个主机都收到广播并寻找相符的IP地址。
(4)当目标主机断定请求中的IP地址与自己的相符时，直接发送一个ARP答复，将自己的硬件地址传给源主机。以源主机的IP地址和硬件地址更新它的ARP缓存。源主机收到回答后便建立起了通信。
*解析远程IP地址
不同网络中的主机互相通信，ARP广播的是源主机的缺省网关。目标IP地址是一个远程网络主机的话，ARP将广播一个路由器的地址。
(1)通信请求初始化时，得知目标IP地址为远程地址。源主机在本地路由表中查找，若无，源主机认为是缺省网关的IP地址。在ARP缓存中查找符合该网关记录的IP地址(硬件地址)。
(2)若没找到该网关的记录，ARP将广播请求网关地址而不是目标主机的地址。路由器用自己的硬件地址响应源主机的ARP请求。源主机则将数据包送到路由器以传送到目标主机的网络，最终达到目标主机。　(3)在路由器上，由IP决定目标IP地址是本地还是远程。如果是本地，路由器用ARP(缓存或广播)获得硬件地址。如果是远程，路由器在其路由表中查找该网关，然后运用ARP获得此网关的硬件地址。数据包被直接发送到下一个目标主机。
(4)目标主机收到请求后，形成ICMP响应。因源主机在远程网上，将在本地路由表中查找源主机网的网关。找到网关后，ARP即获取它的硬件地址。
(5)如果此网关的硬件地址不在ARP缓存中，通过ARP广播获得。一旦它获得硬件地址，ICMP响应就送到路由器上，然后传到源主机。
*ARP缓存
为减少广播量，ARP在缓存中保存地址映射以备用。ARP缓存保存有动态项和静态项。动态项是自动添加和删除的，静态项则保留在CACHE中直到计算机重新启动。
ARP缓存总是为本地子网保留硬件广播地址(0xffffffffffffh)作为一个永久项。此项使主机能够接受ARP广播。当查看缓存时，该项不会显示。每条ARP缓存记录的生命周期为10分钟，2分钟内未用则删除。缓存容量满时，删除最老的记录。
<加入静态(永久)记录通过添加静态ARP项可减少ARP请求访问主机的次数。
* ARP包的结构
ARP结构的字段如下：
硬件类型使用的硬件(网络访问层)类型。
协议类型解析过程中的协议使用以太类型的值。
硬件地址长度硬件地址的字节长度，对于以太网和令牌环来说,其长度为6字节。
协议地址长度协议地址字节的长度，IP的长度是4字节。
操作号指定当前执行操作的字段。
发送者的硬件地址发送者的硬件地址。
发送者的协议地址发送者的协议地址。
目的站硬件地址目标者的硬件地址。目的站协议地址目标者的协议地址
6. TCP和UDP的端口结构
TCP和UDP服务通常有一个客户/服务器的关系，例如，一个Telnet服务进程开始在系统上处于空闲状态，等待着连接。用户使用Telnet客户程序与服务进程建立一个连接。客户程序向服务进程写入信息，服务进程读出信息并发出响应，客户程序读出响应并向用户报告。因而，这个连接是双工的，可以用来进行读写。
两统间的多重Telnet连接是如何相互确认并协调一致呢？TCP或UDP连接唯一地使用每个信息中的如下四项进行确认：
IP地址---发送包的IP地址
目的IP地址---接收包的IP地址。
源端口---源系统上的连接的端口。
目的端口---目的系统上的连接的端口。
端口是一个软件结构，被客户程序或服务进程用来发送和接收信息。一个端口对应一个16比特的数。服务进程通常使用一个固定的端口，例如，SMTP使用25、Xwindows使用6000。这些端口号是‘广为人知’的，因为在建立与特定的主机或服务的连接时，需要这些地址和目的地址进行通讯
1.03IP地址的分配原理和路由的实现
1、IP地址
IP地址标识着网络中一个系统的位置。我们知道每个IP地址都是由两部分组成的：网络号和主机号。其中网络号标识一个物理的网络，同一个网络上所有主机需要同一个网络号，该号在互联网中是唯一的；而主机号确定网络中的一个工作端、服务器、路由器其它T CP/IP主机。对于同一个网络号来说，主机号是唯一的。每个TCP/IP主机由一个逻辑IP地址确定。
网络号和主机号
IP地址有两种表示形式：二进制表示(1和0太多了就搞不清)和点分十进制表示。每个IP地址的长度为4字节，由四个8位域组成，我们通常称之为八位体。八位体由句点. 分开，表示为一个0-255之间的十进制数。一个IP地址的4个域分别标明了网络号和主机号。
2、地址类型
为适应不同大小的网络，internet定义了3种IP地址类型。可以通过IP地址的前八位来确定地址的类型：
类型 IP形式 网络号 主机号
　A类 w.x.y.z w x.y.z
　B类 w.x.y.z w.x y.z
　C类 w.x.y.z w.x.y z
我们来看一下这3类地址：
A类地址：可以拥有很大数量的主机，最高位为0，紧跟的7位表示网络号，余24位表示 主机号，总共允许有126个网络。
B类地址：被分配到中等规模和大规模的网络中，最高两位总被置于二进制的10，允许16384个网络。
C类地址：被用于局域网。高三位被置为二进制的110，允许大约200万个网络。
3、地址分配指南
在分配网络号和主机号时应遵守以下几条准则：
　(1)网络号不能为127。大家知道该标识号被保留作回路及诊断功能，还记得平时ping
127.0.0.1？
　(2)不能将网络号和主机号的各位均置1。如果每一位都是1的话，该地址会被解释为网内 广播而不是一个主机号。(TCP/IP是一个可广播的协议嘛)
　(3)相应于上面一条，各位均不能置0，否则该地址被解释为“就是本网络”。
　(4)对于本网络来说，主机号应该是唯一。(否则会出现IP地址已分配或有冲突之类的错误)
分配网络号
对于每个网络以及广域连接，必须有唯一的网络号，主机号用于区分同一物理网络中的不 同主机。如果网络由路由器连接，则每个广域连接都需要唯一的网络号。
分配主机号
　主机号用于区分同一网络中不同的主机，并且主机号应该是唯一的。所有的主机包括路由
器间的接口，都应该有唯一的网络号。路由器的主机号，要配置成工作站的缺省网关地址。
有效的主机号
A类：w.0.0.1--w.255.255.254B类：w.x.0.1--w.x.255.254
C类：w.x.y.1--w.x.y.254
4.路由实现
路由就是选择一条数据包传输路径的过程。当TCP/IP主机发送IP数据包时，便出现了路由，且当到达IP路由器还会再次出现。路由器是从一个物理网向另一个物理网发送数据包的装置，路由器通常被称为网关。对于发送的主机和路由器而言，必须决定向哪里转发数据包。在决定路由时，I?P层查询位于内存中的路由表。?
(1)当一个主机试图与另一个主机通信时，IP首先决定目的主机是一个本地网还是远程网。?
(2)如果目的主机是远程网，IP将查询路由表来为远程主机或远程网选择一个路由。?
(3)若未找到明确的路由，IP用缺省的网关地址将一个数据传送给另一个路由器。?
(4)在该路由器中，路由表再次为远程主机或网络查询路由，若还未找到路由，该数据包将?
发送到该路由器的缺省网关地址。?
每发现一条路由，数据包被转送下一级路由器，称为一次“跳步”，并最终发送至目的主机。若未发现任何一个路由，源主机将收到一个出错信息。
1.04TCP/IP的工作原理
TCP/IP的分层工作原理：
相同的报文
相同的分组

相同的数据
相同的帧
传输介质
TCP格式
TCP传输的单位是段，在建立连接，传送数据，确认消息和告之窗口大小时均要进行段的交换。段的格式如下图：段的格式也分成两部分，头和数据。上面格式中的名称已经足够说明了他们的作用了。具体的含义请参见有关资料。
建立一个TCP连接：TCP协议使用一个三次握手来建立一个TCP连接的。
握手过程的第一个段的代码位设置为SYN，序列号为x，表示开始一次握手。接收方收到这个段后，向发送者回发一个段。代码位设置为SYN和ACK，序列号设置为y，确认序列号设置为x+1。发送者在受到这个段后，知道就可以进行TCP数据发送了，于是，它又向接收者发送一个ACK段，表示，双方的连接已经建立在完成握手之后，就开始正式的数据传输了。上面握手段中的序列号都是随机产生的。
第 2 章 网络安全
在网络技术迅速发展和普及的同时，网络的安全性问题也日益突出。用户或局域网连接到Internet后，虽然方便了信息的共享，但是由于网络开放性的体系结构，用户或局域网自身的信息和数据，包括某些具有不同程度保密性要求的信息和数据，也全部暴露在外部网络用户面前。
另外随着网络的开放性、共享性和互连程度的扩大，除了实现信息资源共享，方便了信息检索查询外，依托网络的各种新兴业务也迅速崛起，如电子商务，数字货币，互联网银行等，因而信息网络安全的重要性也日益明显。网络在为人们的生活和工作带来便利的同时，也使非法分子有机可乘，在Intenet上可以轻而易举地获得各种攻击工具，网络攻击时常发生，带来了巨大的经济损失。
针对网络上存在的各种安全隐患，人们已经研制了许多安全防范措施，提出了许多解决信息网络安全问题的思想。已有的信息网络安全技术有：防火墙技术；信息加密技术；信息认证技术；利用操作系统、数据库、应用系统本身的安全机制，对用户权限进行控制等等。其中，防火墙技术是目前比较广泛使用的网络安全防护技术。随着攻击者知识的日趋成熟，攻击工具与手法的日趋复杂多样，单纯的防火墙策略已经无法满足对安全高度敏感的部门的需要
2.01网络安全概述
随着计算机的网络化和全球化，人们日常生活中的许多活动将逐步转移到网络上来。主要原因是由于网络交易的实时性、方便性、快捷性及低成本性。今天，几乎世界上每一个国家都高度依赖于通讯、能源、运输和公用事业网络，包括政府事务、国防、金融、工商业等社会生活的各个方面。地球上的每一个人均可方便地与另一端的用户通讯。企业用户可以通过网络进行信息发布、广告、营销、娱乐和客户支持等，同时可以直接与商业伙伴直接进行合同签订和商品交易，用户通过网络可以获得各种信息资源和服务，如购物、娱乐、求职、教育、医疗、投资等。
然而，信息领域的犯罪也随之而来， 窃取信息、篡改数据和非法攻击等对系统使用者及全社会造成的危害和损失也特别巨大，并且日益增加。据统计，全球约20秒种就有一次计算机入侵事件发生，Internet上的网络防火墙约1/4被突破，约70%以上的网络信息主管人员报告因机密信息泄露而受到了损失。61%在过去的十二个月中遭到内部攻击，58%在过去的十二个月中遭到外部攻击。
大多数信息犯罪采用先进的技术手段，多于 45% 的攻击和高级黑客技术有关，如窃听器(sniffer）（Scan），口令文件窃取、漏洞扫描探测、特洛伊木马程序(Trojan Horse)等 互联网上可以得到免费的黑客工具，黑客工具和技术手段迅速泛滥，难以通过传统方式约束。事件发生的频率快速增加。攻击方法和手段不断翻新。一个破解的系统漏洞会造成所有采用该系统的用户处于危险之中。网络安全是一个关系国家安全和主权、社会的稳定、民族文化的继承和发扬的重要问题，网络安全涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科。
网络安全从其本质上来讲就是网络上的信息安全，是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全所要研究的领域。网络安全涉及的内容既有技术方面的问题，也有管理方面的问题，两方面相互补充，缺一不可。技术方面主要侧重于防范外部非法用户的攻击，管理方面则侧重于内部人为因素的管理。如何更有效地保护重要的信息数据、提高计算机网络系统的安全性已经成为所有计算机网络应用必须考虑和必须解决的一个重要问题。
2.02网络安全的目标
网络安全的目标应当满足：
身份真实性：能对通讯实体身份的真实性进行鉴别。
信息机密性：保证机密信息不会泄露给非授权的人或实体。
信息完整性：保证数据的一致性，能够防止数据被非授权用户或实体建立、修改和破坏。
服务可用性：保证合法用户对信息和资源的使用不会被不正当地拒绝。
不可否认性：建立有效的责任机制，防止实体否认其行为。
系统可控性：能够控制使用资源的人或实体的使用方式。
系统易用性：在满足安全要求的条件下，系统应当操作简单、维护方便。
可审查性：对出现的网络安全问题提供调查的依据和手段
网络安全的唯一真正目标是通过技术手段保证信息的安全。
2.03网络所面临的安全威胁
网络中的主机可能会受到非法入侵者的攻击，网络中的敏感数据有可能泄露和或被修改，从内部网向共网传送的信息可能被他人窃听或篡改等等，造成网络安全的威胁的原因可能是多方面的，有来自外部，也有可能来自企业网络内部。攻击者主要是利用了TCP/IP协议的安全漏洞和操作系统的安全漏洞。归纳起来，系统的安全威胁常表现为以下特征：
1.窃听：攻击者通过监视网络数据获得敏感信息。
2.重传：攻击者事先获得部分或全部信息，以后将此信息发送给接收者。
3.伪造：攻击者将伪造的信息发送给接收者。
4.篡改：攻击者对合法用户之间的通讯信息进行修改、删除、插入，再发送给接收者。
5.拒绝服务攻击：攻击者通过某种方法使系统响应减慢甚至瘫痪，阻止合法用户获得服务。6.行为否认：通讯实体否认已经发生的行为。
7.非授权访问：没有预先经过同意，就使用网络或计算机资源被看作非授权访问。它主要有8.以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。
9.传播病毒：通过网络传播计算机病毒，其破坏性非常高，而且用户很难防范。如众所周知的CIH病毒，最近出现的“爱虫” 病毒都具有极大的破坏性。
信息受到侵犯的典型来源：（美国阿伯丁集团咨询报告）人为错误 ---- 35%
人为忽略 ---- 25%
不满意的雇员 ---- 15%
外部攻击 ---- 10%
火灾、水灾 ---- 10%
其他 ---- 5%
2.04网络安全的解决方案
一个完整的网络安全解决方案所考虑的问题应当是非常全面的。保证网络安全需要靠一些安全技术，但是最重要的是要有详细的安全策略和良好的内部管理。 在确立网络安全的目标和策略之后，还要确定实施网络安全所应付出的代价，然后选择确实可行的技术方案，方案实施完成之后最重要的是要加强管理，制定培训计划和网络安全管理措施。完整的安全解决方案应该覆盖网络的各个层次，并且与安全管理相结合。
1.物理层的安全防护：在物理层上主要通过制定物理层面的管理规范和措施来提供安全解决方案。
2.链路层安全保护：主要是链路加密设备对数据加密保护。它对所有用户数据一起加密，用户数据通过通信线路送到另一节点后解密。
3.网络层和安全防护：网络层的安全防护是面向IP包的。网络层主要采用防火墙作为安全防护手段，实现初级的安全防护。在网络层也可以根据一些安全协议实施加密保护。在网络层也可实施相应的入侵检测。
4.传输层的安全防护：传输层处于通信子网和资源子网之间，起着承上启下的作用。传输层也支持多种安全服务：1)对等实体认证服务；2)访问控制服务；3)数据保密服务；4)数据完整性服务；5)数据源点认证服务；
5.应用层的安全防护：应用层的安全防护：原则上讲所有安全服务均可在应用层提供。在应用层可以实施强大的基于用户的身份认证。在应用层也是实施数据加密，访问控制的理想位置。在应用层还可加强数据的备份和恢复措施。应用层可以是对资源的有效性进行控制，资源包括各种数据和服务。应用层的安全防护是面向用户和应用程序的，因此可以实施细粒度的安全控制。
6.要建立一个安全的内部网，一个完整的解决方案必须从多方面入手。
加强主机本身的安全，减少漏洞；
用系统漏洞检测软件定期对网络内部系统进行扫描分析，找出可能存在的安全隐患；
建立完善的访问控制措施，安装防火墙，加强授权管理和认证；
在线监控非法入侵和异常行为，实时报警和切断非法行为；
加强数据备份和恢复措施；
对敏感的设备和数据要建立隔离措施；
对在公共网络上传输的敏感数据要加密；
加强内部网的整体防病毒措施；
建立详细的安全审计日志等。
2.05网络攻击的类型
对互联网络的攻击包括对静态数据的攻击和对动态数据的攻击。 对静态数据的攻击主要有：
口令猜测：通过穷举方式搜索口令空间，逐一测试，得到口令，进而非法入侵系统。
IP地址欺骗：攻击者伪装成源自一台内部主机的一个外部地点传送信息包，这些信息包中包含有内部系统的源IP地址，冒名他人，窃取信息。
指定路由：发送方指定一信息包到达目的站点的路由，而这条路由是经过精心设计 的、绕过设有安全控制的路由。
根据对动态信息的攻击形式不同，可以将攻击分为主动攻击和被动攻击两种。
被动攻击主要是指攻击者监听网络上传递的信息流，从而获取信息的内容（interception），或仅仅希望得到信息流的长度、传输频率等数据，称为流量分析（traffic analysis）。被动攻击和窃听示意图如图1、图2所示：
除了被动攻击的方式外，攻击者还可以采用主动攻击的方式。主动攻击是指攻击者通过有选择的修改、删除、延迟、乱序、复制、插入数据流或数据流的一部分以达到其非法目的。主动攻击可以归纳为中断、篡改、伪造三种（见图3）。中断是指阻断由发送方到接收方的信息流，使接收方无法得到该信息，这是针对信息可用性的攻击（如图4）。篡改是指攻击者修改、破坏由发送方到接收方的信息流，使接收方得到错误的信息，从而破坏信息的完整性（如图5）。伪造是针对信息的真实性的攻击，攻击者或者是首先记录一段发送方与接收方之间的信息流，然后在适当时间向接收方或发送方重放（playback）这段信息，或者是完全伪造一段信息流，冒充接收方可信任的第三方，向接收方发送。（如图6）




2.06网络安全的防范建议
Internet是一个公共网络，网络中有很多不安全的因素。一般局域网和广域网应该有以下安全措施：
(1). 系统要尽量与公网隔离，要有相应的安全连接措施.
(2). 不同的工作范围的网络既要采用防火墙、安全路由器、保密网关等相互隔离，又要在政策循序时保证互通。
(3). 为了提供网络安全服务，各相应的环节应根据需要配置可单独评价的加密、数字签名、访问控制、数据完整性、业务流填充、路由控制、公证、鉴别审计等安全机制，并有相应的安全管理。
(4). 远程客户访问重要的应用服务要有鉴别服务器严格执行鉴别过程和访问控制。
(5). 网络和网络安全设备要经受住相应的安全测试。
(6). 在相应的网络层次和级别上设立密钥管理中心、访问控制中心、安全鉴别服务器、授权服务器等，负责访问控制以及密钥、证书等安全材料的产生、更换、配置和销毁等相应的安全管理活动。
(7). 信息传递系统要具有抗侦听、抗截获能力能对抗传输信息的纂改、删除、插入、重放、选取明文密码破译等主动攻击和被动攻击，保护信息的机密性，保证信息和系统的完整性。
(8). 涉及保密的信息在传输过程中，在保密装置以外不以明文形式出现。
第 3 章 入侵检测
自从计算机问世以来，安全问题就一直存在。特别是随着Internet的迅速扩张和电子商务的兴起，人们发现保护资源和数据的安全，让他免受来自恶意入侵者的威胁是件相当困难的事。对于企业网络来说，入侵的来源可能是企业内部心怀不满的员工、网络黑客，甚至是竞争对手。攻击者可以窃听网络上的信息，窃取用户的口令、数据库的信息；还可以篡改数据库内容，伪造用户身份，否认自己的签名。更有甚者，攻击者可以删除数据库的内容，摧毁网络节点，释放计算机病毒，直到整个企业网络陷入瘫痪。入侵检测技术是一种主动保护自己免受黑客攻击的一种网络安全技术。入侵检测技术帮助系统对付网络攻击，拓展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门，它在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护
3.01什么是入侵检测及实现方法
入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。这些都通过它执行以下任务来实现：
· 监视、分析用户及系统活动；
· 系统构造和弱点的审计；
· 识别反映已知进攻的活动模式并向相关人士报警；
· 异常行为模式的统计分析；
· 评估重要系统和数据文件的完整性；
· 操作系统的审计跟踪管理，并识别用户违反安全策略的行为
3.02入侵检测的功能
·监督并分析用户和系统的活动
检查系统配置和漏洞
检查关键系统和数据文件的完整性
识别代表已知攻击的活动模式
对反常行为模式的统计分析
对操作系统的校验管理，判断是否有破坏安全的用户活动。
入侵检测系统和漏洞评估工具的优点在于：
提高了信息安全体系其它部分的完整性
提高了系统的监察能力
跟踪用户从进入到退出的所有活动或影响
识别并报告数据文件的改动
发现系统配置的错误，必要时予以更正
识别特定类型的攻击，并向相应人员报警，以作出防御反应
可使系统管理人员最新的版本升级添加到程序中
允许非专家人员从事系统安全工作
为信息安全策略的创建提供指导
必须修正对入侵检测系统和漏洞评估工具不切实际的期望：这些产品并不是无所不能的，它们无法弥补力量薄弱的识别和确认机制
在无人干预的情况下，无法执行对攻击的检查
无法感知公司安全策略的内容
不能弥补网络协议的漏洞
不能弥补由于系统提供信息的质量或完整性的问题
它们不能分析网络繁忙时所有事务
它们不能总是对数据包级的攻击进行处理
它们不能应付现代网络的硬件及特性

入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。从网络安全立体纵深、多层次防御的角度出发，入侵检测理应受到人们的高度重视，这从国外入侵检测产品市场的蓬勃发展就可以看出。在国内，随着上网的关键部门、关键业务越来越多，迫切需要具有自主版权的入侵检测产品。但现状是入侵检测仅仅停留在研究和实验样品（缺乏升级和服务）阶段，或者是防火墙中集成较为初级的入侵检测模块。可见，入侵检测产品仍具有较大的发展空间，从技术途径来讲，我们认为，除了完善常规的、传统的技术（模式识别和完整性检测）外，应重点加强统计分析的相关技术研究。
3.03入侵行为的概念，分类和演化
从最早期的计算机安全开始，人们就密切关注恶意使用者破坏保护机制的可能性。早期系统多为多用户批处理系统。这个时期，主要的威胁来自系统的合法使用者，他们企图得到未经授权的材料。到了20世纪70年代，分时系统和其他的多用户系统已成气候，Willis H Ware主持的计算机安全防御科学特别工作小组提供了一项报告，为处理多级数据的计算机系统的发展奠定了基础。但这篇报告并没有受到应有的重视，直到70年代中期，人们才开始进行构建多级安全体系的系统研究。
1980年4月，詹姆斯安德森（James P．Anderson）为美国空军做的题为《Computer SecurityThreatMonitoring and Surveillance》（计算机安全威胁监控与监视）的技术报告，第一次详细阐述了入侵检测的概念，并首先为入侵和入侵检测提出了一个统一的架构，这是该领域的开山之作。他在论文中给出了入侵和入侵检测技术方面的概念：
威胁（Threat）　可能存在有预谋的、未经认可的尝试：
①存取数据；
②操控数据；
③使系统不可靠或无法使用。
危险（Risk）　意外的和不可预知的数据暴露，或者，由于硬件故障、软件设计的不完整和不正确所造成的违反操作完整性的问题。
脆弱性（Vulnerability）　已知的或可疑的硬件或软件设计中的缺陷；使系统暴露的操作；意外暴露自己信息的操作。攻击（Attack）　实施威胁的明确的表达或行为。
　渗透／入侵（Penetration）一个成功的攻击；（未经认可的）获得对文件和程序的使用，或对计算机系统的控制。
　威胁概念中的③包括DOS（Denial Of Service）“拒绝服务攻击”。盗用计算资源也属于这个类别之内。
　一般来说，外部入侵者的首要工作是进入系统。所谓外部入侵者，也可能是合法用户，但违规使用了未经授权的资源。另一方面，除了拒绝服务攻击外，多数攻击都需要入侵者取得用户身份。Anderson更进一步把入侵情况按表1所示分类。
20世纪80年代中后期，网络计算已经相当普遍，渗透和入侵也更广泛。但许多厂商和系统管理员却疏忽了这个危险。一些厂商在售出的系统中预先定义管理账户（曾有厂商使用User name：system，Password：manager），而很多系统操作员却大意地忘记了改变这个缺省设置。
1988年11月2日，第一个大范围的Internet上的攻击和渗透事件发生了。肇事者是“莫理斯蠕虫”，他采用多种传输技术在系统间复制，利用的是发送邮件程序的漏洞，这个漏洞允许邮寄的指令能在异地系统上执行。除此之外，蠕虫也利用在finger守护进程溢出串变量来扩散。蠕虫代码中还包含了一个高效的口令破解程序，他尝试破解被他传染的系统上的使用者的密码。在“莫理斯蠕虫”之后，DARPA建立了“计算机紧急情况反应小组”，也就是现在SEI（软件工程学会）的CERT（ComputerEmergencyResponse Team）。
1996年，在线杂志Phrack发表了一篇缓冲溢出攻击的文章，随后这种攻击事件就多了起来。CERT的一项研究显示，从1997年开始，缓冲溢出攻击变成逐渐严重。近年来报告给CERT／CC的攻击事件中涉及缓冲溢出的百分比上升，这种漏洞攻击流行的原因包括：系统的脆弱性；管理者（administrator）或超级用户（super user）在目标系统中的特权，攻击行为一般都要利用这些特权；这些攻击的脚本或程序在Internet上的适用性很好，使用者只需很少的技巧。
和其他攻击方式一样，缓冲溢出已经越来越复杂和更具综合性。早期的攻击主要是通过目标程序读数据。后来发现，包含环境参数的变量也可能被当作攻击向量使用。最近，基于格式串（format strings）的缓冲溢出也开始使用。
1992年，第一次大范围的“root kits”开始出现。入侵者会像一个平常的使用者一样进入系统，接着靠猜测、社会工程学或其他方式得到一个使用者的口令，然后他们尝试利用系统的弱点成为root。一旦获得root权限，版本不同的系统公用程序，像是Su，Ftp和Ftpd就会被安装和远程执行，这使侵入者能方便地再次进入（后门技术），而且，入侵者会修改系统信息，清理入侵痕迹，让管理者和安全审计者难以察觉。
现在的攻击行为向着大规模、自动和协同方向发展。攻击已经变得越来越复杂、越来越自动化。图1中，实线代表攻击行为，虚线代表入侵者需要掌握的技术，他显示了从90年代起，攻击行为的发展和对入侵者技术要求降低的情况。CERT／CC曾预言：攻击行为的自动化可能在因特网上引发大规模的入侵活动，这在今天得到了验证。
3.04网络入侵的一般思路及方法
第一步：进入系统
1. 扫描目标主机。
2. 检查开放的端口，获得服务软件及版本。
3. 检查服务软件是否存在漏洞，如果是，利用该漏洞远程进入系统；否则进入下一步。
4. 检查服务软件的附属程序(*1)是否存在漏洞，如果是，利用该漏洞远程进入系统；否则进入下一步。
5. 检查服务软件是否存在脆弱帐号或密码，如果是，利用该帐号或密码系统；否则进入下一步。
6. 利用服务软件是否可以获取有效帐号或密码，如果是，利用该帐号或密码进入系统；否则进入下一步。
7. 服务软件是否泄露系统敏感信息，如果是，检查能否利用；否则进入下一步。
8. 扫描相同子网主机，重复以上步骤，直到进入目标主机或放弃。
第二步：提升权限
1. 检查目标主机上的SUID和GUID程序是否存在漏洞，如果是，利用该漏洞提升权限，否则进入下一步。
2. 检查本地服务是否存在漏洞，如果是，利用该漏洞提升权限，否则进入下一步。
3. 检查本地服务是否存在脆弱帐号或密码，如果是，利用该帐号或密码提升权限；否则进入下一步。
4. 检查重要文件的权限是否设置错误，如果是，利用该漏洞提升权限，否则进入下一步。
5. 检查配置目录(*2)中是否存在敏感信息可以利用。
6. 检查用户目录中是否存在敏感信息可以利用。
7. 检查临时文件目录(*3)是否存在漏洞可以利用。
8. 检查其它目录(*4)是否存在可以利用的敏感信息。
9. 重复以上步骤，直到获得root权限或放弃。
第三步：放置后门
最好自己写后门程序，用别人的程序总是相对容易被发现。
第四步：清理日志
最好手工修改日志，不要全部删除，也不好使用别人写的工具。
附加说明：
*1 例如WWW服务的附属程序就包括CGI程序等
*2 这里指存在配置文件的目录，如/etc等
*3 如/tmp等，这里的漏洞主要指条件竞争
*4 如WWW目录，数据文件目录等
/*****************************************************************************/
好了，大家都知道了入侵者入侵一般步骤及思路 那么我们开始做入侵检测了。
第一步、我们都知道一个入侵者想要入侵一台服务器首先要扫描这台服务器，搜集服务器的信息，以便进一步入侵该系统。系统信息被搜集的越多，此系统就越容易被入侵者入侵。 所以我们做入侵检测时，也有必要用扫描器扫描一下系统，搜集一下系统的一些信息，来看看有没有特别流行的漏洞(呵呵这个年头都时兴流行哦：)
第二步、扫描完服务器以后，查看扫描的信息－－－－>分析扫描信息。如果有重大漏洞－－－－>修补(亡羊补牢，时未晚)，如果没有转下一步。
第三步、没有漏洞，使用杀毒工具扫描系统文件，看看有没有留下什么后门程序，如：nc.exe、srv.exe......如果没有转下一步。
第四步、入侵者一般入侵一台机器后留下后门，充分利用这台机器来做一些他想做的事情，如：利用肉鸡扫描内网，进一步扩大战果，利用肉鸡作跳板入侵别的网段的机器，嫁祸于这台机器的管理员，跑流影破邮箱......
如何检测这台机器有没有装一些入侵者的工具或后门呢？
查看端口(偏好命令行程序，舒服)
1、fport.exe－－－>查看那些端口都是那些程序在使用。有没有非法的程序，和端口 winshell.exe 8110 晕倒～后门 net use 谁在用这个连接我？
2、netstat -an ---->查看那些端口与外部的ip相连。 23 x.x.x.x 没有开23端口，怎么自己打开了？？黑客！？
3、letmain.exe //ip -admin -d 列出本机的administrators组的用户名查看是否有异常。 怎么多了一个hacker用户？？<＝＝>net user id
4、pslist.exe---->列出进程<==>任务管理器
5、pskill.exe---->杀掉某个进程，有时候在任务管理器中无法中止程序那就用这个工具来停止进程吧。
6、login.exe ---->列出当前都有那些用户登录在你的机器上，不要你在检测的同时，入侵者就在破坏：(
7、查看日志文件--->庞大的日志文件--->需要借助第三方软件来分析日志 记录了入侵者扫描的信息和合法用户的正确请求
Find “scirpts/..” C:/WINNT/system32/LogFiles/W3SVC1/ex010705.log --解码漏洞？？谁在扫描我？
8、查看 Web 目录下文件改动与否 留没有留 asp php 后门......查看存放日志文件的目录
DOS dir /a
GUI 查看显示所有文件和文件夹
技巧：查看文件的修改日期，我两个月没有更新站点了(好懒：)，怎么 Web 目录下有最近修改文件的日期？？奇怪吧？：)
＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃
C:/WINNT/system32/LogFiles/W3SVC1>dir
dir
驱动器 C 中的卷是 system Server
卷的序列号是 F4EE-CE39
C:/WINNT/system32/LogFiles/W3SVC1 的目录
2001-07-05 02:43 1,339 ex010704.log
2001-07-05 23:54 52,208 ex010705.log
2001-07-07 22:59 0 ex010707.log
2001-07-08 22:45 0 ex010708.log
2001-07-10 08:00 587 ex010709.log
恩？奇怪？怎么没有 2001-07-06 那天的日志文件？？可疑......2001-07-07、2001-07-08 两天的日志文件大小为零，我得网站访问量怎么两天都是空？？没有那么惨吧：(好奇怪？！
＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃＃
D:/win 2000>dir
dir
驱动器 D 中的卷是 新加卷
卷的序列号是 28F8-B814
D:/win 2000 的目录
2001-06-03 17:43