目前造成網(wǎng)絡(luò)不安全的主要因素是系統(tǒng)、協(xié)議及數(shù)據(jù)庫等的設(shè)計上存在缺陷。由于當(dāng)今的計算機網(wǎng)絡(luò)操作系統(tǒng)在本身結(jié)構(gòu)設(shè)計和代碼設(shè)計時偏重考慮系統(tǒng)使用時的方便性，導(dǎo)致了系統(tǒng)在遠(yuǎn)程訪問、權(quán)限控制和口令管理等許多方面存在安全漏洞。網(wǎng)絡(luò)互連一般采用TCP/IP協(xié)議，它是一個工業(yè)標(biāo)準(zhǔn)的協(xié)議簇，但該協(xié)議簇在制訂之初，對安全問題考慮不多，協(xié)議中有很多的安全漏洞。同樣，數(shù)據(jù)庫管理系統(tǒng)（DBMS）也存在數(shù)據(jù)的安全性、權(quán)限管理及遠(yuǎn)程訪問等方面問題，在DBMS或應(yīng)用程序中可以預(yù)先安置從事情報收集、受控激發(fā)、定時發(fā)作等破壞程序。

　　由此可見，針對系統(tǒng)、網(wǎng)絡(luò)協(xié)議及數(shù)據(jù)庫等，無論是其自身的設(shè)計缺陷，還是由于人為的因素產(chǎn)生的各種安全漏洞，都可能被一些另有圖謀的黑客所利用并發(fā)起攻擊。因此若要保證網(wǎng)絡(luò)安全、可靠，則必須熟知黑客網(wǎng)絡(luò)攻擊的一般過程。只有這樣方可在?凸セ髑白齪帽匾?姆辣福?傭?繁Ｍ?繚誦械陌踩?涂煽俊?

　　一、黑客攻擊網(wǎng)絡(luò)的一般過程

　　1、信息的收集

　　信息的收集并不對目標(biāo)產(chǎn)生危害，只是為進一步的入侵提供有用信息。黑客可能會利用下列的公開協(xié)議或工具，收集駐留在網(wǎng)絡(luò)系統(tǒng)中的各個主機系統(tǒng)的相關(guān)信息：

　?。?）TraceRoute程序 能夠用該程序獲得到達目標(biāo)主機所要經(jīng)過的網(wǎng)絡(luò)數(shù)和路由器數(shù)。
　?。?）SNMP協(xié)議 用來查閱網(wǎng)絡(luò)系統(tǒng)路由器的路由表，從而了解目標(biāo)主機所在網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)及其內(nèi)部細(xì)節(jié)。
　　（3）DNS服務(wù)器 該服務(wù)器提供了系統(tǒng)中可以訪問的主機IP地址表和它們所對應(yīng)的主機名。
　　（4）Whois協(xié)議 該協(xié)議的服務(wù)信息能提供所有有關(guān)的DNS域和相關(guān)的管理參數(shù)。
　?。?）Ping實用程序 可以用來確定一個指定的主機的位置或網(wǎng)線是否連通。

　　2、系統(tǒng)安全弱點的探測

　　在收集到一些準(zhǔn)備要攻擊目標(biāo)的信息后，黑客們會探測目標(biāo)網(wǎng)絡(luò)上的每臺主機，來尋求系統(tǒng)內(nèi)部的安全漏洞，主要探測的方式如下：

　　（1）自編程序 對某些系統(tǒng)，互聯(lián)網(wǎng)上已發(fā)布了其安全漏洞所在，但用戶由于不懂或一時疏忽未打上網(wǎng)上發(fā)布的該系統(tǒng)的“補丁”程序，那么?途涂梢宰約罕嘈匆歡緯絳蚪?氳礁孟低辰?釁蘋怠?

　?。?）慢速掃描 由于一般掃描偵測器的實現(xiàn)是通過監(jiān)視某個時間段里一臺特定主機發(fā)起的連接的數(shù)目來決定是否在被掃描，這樣黑客可以通過使用掃描速度慢一些的掃描軟件進行掃描。

　?。?）體系結(jié)構(gòu)探測 黑客利用一些特殊的數(shù)據(jù)包傳送給目標(biāo)主機，使其作出相對應(yīng)的響應(yīng)。由于每種操作系統(tǒng)的響應(yīng)時間和方式都是不一樣的，?屠?謎庵痔卣靼訓(xùn)玫降慕峁?胱急負(fù)玫氖?菘庵械淖柿舷嘍哉眨?又斜憧汕岫?拙俚嘏卸銑瞿勘曛骰?僮饗低乘?玫陌姹炯捌淥?喙匭畔??

　　（4）利用公開的工具軟件像審計網(wǎng)絡(luò)用的安全分析工具SATAN、Internet的電子安全掃描程序IIS等一些工具對整個網(wǎng)絡(luò)或子網(wǎng)進行掃描，尋找安全方面的漏洞。

　　3、建立模擬環(huán)境，進行模擬攻擊

　　根據(jù)前面兩小點所得的信息，建立一個類似攻擊對象的模擬環(huán)境，然后對此模擬目標(biāo)進行一系列的攻擊。在此期間，通過檢查被攻擊方的日志，觀察檢測工具對攻擊的反應(yīng)，可以進一步了解在攻擊過程中留下的“痕跡”及被攻擊方的狀態(tài)，以此來制定一個較為周密的攻擊策略。

　　4、具體實施網(wǎng)絡(luò)攻擊

　　入侵者根據(jù)前幾步所獲得的信息，同時結(jié)合自身的水平及經(jīng)驗總結(jié)出相應(yīng)的攻擊方法，在進行模擬攻擊的實踐后，將等待時機，以備實施真正的網(wǎng)絡(luò)攻擊。

　　二、協(xié)議欺騙攻擊及其防范措施

　　1、源IP地址欺騙攻擊

　　許多應(yīng)用程序認(rèn)為若數(shù)據(jù)包可以使其自身沿著路由到達目的地，并且應(yīng)答包也可回到源地，那么源IP地址一定是有效的，而這正是使源IP地址欺騙攻擊成為可能的一個重要前提。

　　假設(shè)同一網(wǎng)段內(nèi)有兩臺主機A和B，另一網(wǎng)段內(nèi)有主機X。B 授予A某些特權(quán)。X 為獲得與A相同的特權(quán)，所做欺騙攻擊如下：首先，X冒充A，向主機 B發(fā)送一個帶有隨機序列號的SYN包。主機B響應(yīng)，回送一個應(yīng)答包給A，該應(yīng)答號等于原序列號加1。然而，此時主機A已被主機X利用拒絕服務(wù)攻擊 “淹沒”了，導(dǎo)致主機A服務(wù)失效。結(jié)果，主機A將B發(fā)來的包丟棄。為了完成三次握手，X還需要向B回送一個應(yīng)答包，其應(yīng)答號等于B向A發(fā)送數(shù)據(jù)包的序列號加1。此時主機X 并不能檢測到主機B的數(shù)據(jù)包（因為不在同一網(wǎng)段），只有利用TCP順序號估算法來預(yù)測應(yīng)答包的順序號并將其發(fā)送給目標(biāo)機B。如果猜測正確，B則認(rèn)為收到的ACK是來自內(nèi)部主機A。此時，X即獲得了主機A在主機B上所享有的特權(quán)，并開始對這些服務(wù)實施攻擊。

　　要防止源IP地址欺騙行為，可以采取以下措施來盡可能地保護系統(tǒng)免受這類攻擊：
　　
　?。?）拋棄基于地址的信任策略 阻止這類攻擊的一種十分容易的辦法就是放棄以地址為基礎(chǔ)的驗證。不允許r類遠(yuǎn)程調(diào)用命令的使用；刪除.rhosts 文件；清空/etc/hosts.equiv 文件。這將迫使所有用戶使用其它遠(yuǎn)程通信手段，如telnet、ssh、skey等等。

　　（2）使用加密方法 在包發(fā)送到 網(wǎng)絡(luò)上之前，我們可以對它進行加密。雖然加密過程要求適當(dāng)改變目前的網(wǎng)絡(luò)環(huán)境，但它將保證數(shù)據(jù)的完整性、真實性和保密性。

　　（3）進行包過濾 可以配置路由器使其能夠拒絕網(wǎng)絡(luò)外部與本網(wǎng)內(nèi)具有相同IP地址的連接請求。而且，當(dāng)包的IP地址不在本網(wǎng)內(nèi)時，路由器不應(yīng)該把本網(wǎng)主機的包發(fā)送出去。有一點要注意，路由器雖然可以封鎖試圖到達內(nèi)部網(wǎng)絡(luò)的特定類型的包。但它們也是通過分析測試源地址來實現(xiàn)操作的。因此，它們僅能對聲稱是來自于內(nèi)部網(wǎng)絡(luò)的外來包進行過濾，若你的網(wǎng)絡(luò)存在外部可信任主機，那么路由器將無法防止別人冒充這些主機進行IP欺騙。

　　2、源路由欺騙攻擊

　　在通常情況下，信息包從起點到終點所走的路是由位于此兩點間的路由器決定的，數(shù)據(jù)包本身只知道去往何處，而不知道該如何去。源路由可使信息包的發(fā)送者將此數(shù)據(jù)包要經(jīng)過的路徑寫在數(shù)據(jù)包里，使數(shù)據(jù)包循著一個對方不可預(yù)料的路徑到達目的主機。下面仍以上述源IP欺騙中的例子給出這種攻擊的形式：

　　主機A享有主機B的某些特權(quán)，主機X想冒充主機A從主機B（假設(shè)IP為aaa.bbb.ccc.ddd）獲得某些服務(wù)。首先，攻擊者修改距離X最近的路由器，使得到達此路由器且包含目的地址aaa.bbb.ccc.ddd的數(shù)據(jù)包以主機X所在的網(wǎng)絡(luò)為目的地；然后，攻擊者X利用IP欺騙向主機B發(fā)送源路由(指定最近的路由器)數(shù)據(jù)包。當(dāng)B回送數(shù)據(jù)包時，就傳送到被更改過的路由器。這就使一個入侵者可以假冒一個主機的名義通過一個特殊的路徑來獲得某些被保護數(shù)據(jù)。

　　 為了防范源路由欺騙攻擊，一般采用下面兩種措施：

　　? 對付這種攻擊最好的辦法是配置好路由器，使它拋棄那些由外部網(wǎng)進來的卻聲稱是內(nèi)部主機的報文。

　　? 在路由器上關(guān)閉源路由。用命令no ip source-route。

　　?系統(tǒng)防御戰(zhàn):黑客網(wǎng)絡(luò)攻擊的預(yù)防措施(2)

　　三、拒絕服務(wù)攻擊及預(yù)防措施

　　在拒絕服務(wù)攻擊中，攻擊者加載過多的服務(wù)將對方資源全部使用，使得沒有多余資源供其他用戶無法使用。SYN Flood攻擊是典型的拒絕服務(wù)攻擊。

　　SYN Flood常常是源IP地址欺騙攻擊的前奏，又稱半開式連接攻擊，每當(dāng)我們進行一次標(biāo)準(zhǔn)的TCP連接就會有一個三次握手的過程，而SYN Flood在它的實現(xiàn)過程中只有三次握手的前兩個步驟，當(dāng)服務(wù)方收到請求方的SYN并回送SYN-ACK確認(rèn)報文后，請求方由于采用源地址欺騙等手段，致使服務(wù)方得不到ACK回應(yīng)，這樣，服務(wù)方會在一定時間內(nèi)處于等待接收請求方ACK報文的狀態(tài)，一臺服務(wù)器可用的TCP連接是有限的，如果惡意攻擊方快速連續(xù)的發(fā)送此類連接請求，則服務(wù)器的系統(tǒng)可用資源、網(wǎng)絡(luò)可用帶寬急劇下降，將無法向其它用戶提供正常的網(wǎng)絡(luò)服務(wù)。

　　為了防止拒絕服務(wù)攻擊，我們可以采取以下的預(yù)防措施：

　?。?） 建議在該網(wǎng)段的路由器上做些配置的調(diào)整，這些調(diào)整包括限制Syn半開數(shù)據(jù)包的流量和個數(shù)。

　?。?）要防止SYN數(shù)據(jù)段攻擊，我們應(yīng)對系統(tǒng)設(shè)定相應(yīng)的內(nèi)核參數(shù)，使得系統(tǒng)強制對超時的Syn請求連接數(shù)據(jù)包復(fù)位，同時通過縮短超時常數(shù)和加長等候隊列使得系統(tǒng)能迅速處理無效的Syn請求數(shù)據(jù)包。

　?。?）建議在路由器的前端做必要的TCP攔截，使得只有完成TCP三次握手過程的數(shù)據(jù)包才可進入該網(wǎng)段，這樣可以有效地保護本網(wǎng)段內(nèi)的服務(wù)器不受此類攻擊。

　?。?）對于信息淹沒攻擊，我們應(yīng)關(guān)掉可能產(chǎn)生無限序列的服務(wù)來防止這種攻擊。比如我們可以在服務(wù)器端拒絕所有的ICMP包，或者在該網(wǎng)段路由器上對ICMP包進行帶寬方面的限制，控制其在一定的范圍內(nèi)。

　　總之，要徹底杜絕拒絕服務(wù)攻擊，最好的辦法是惟有追根溯源去找到正在進行攻擊的機器和攻擊者。 要追蹤攻擊者可不是一件容易的事情，一旦其停止了攻擊行為，很難將其發(fā)現(xiàn)。惟一可行的方法是在其進行攻擊的時候，根據(jù)路由器的信息和攻擊數(shù)據(jù)包的特征，采用逐級回溯的方法來查找其攻擊源頭。這時需要各級部門的協(xié)同配合方可有效果。

　　四、其他網(wǎng)絡(luò)攻擊行為的防范措施

　　協(xié)議攻擊和拒絕服務(wù)攻擊是黑客慣于使用的攻擊方法，但隨著網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，攻擊行為千變?nèi)f化，新技術(shù)層出不窮。下面將闡述一下網(wǎng)絡(luò)嗅探及緩沖區(qū)溢出的攻擊原理及防范措施。

　　1、針對網(wǎng)絡(luò)嗅探的防范措施

　　網(wǎng)絡(luò)嗅探就是使網(wǎng)絡(luò)接口接收不屬于本主機的數(shù)據(jù)。計算機網(wǎng)絡(luò)通常建立在共享信道上，以太網(wǎng)就是這樣一個共享信道的網(wǎng)絡(luò)，其數(shù)據(jù)報頭包含目的主機的硬件地址，只有硬件地址匹配的機器才會接收該數(shù)據(jù)包。一個能接收所有數(shù)據(jù)包的機器被稱為雜錯節(jié)點。通常賬戶和口令等信息都以明文的形式在以太網(wǎng)上傳輸，一旦被黑客在雜錯節(jié)點上嗅探到，用戶就可能會遭到損害。

　　 對于網(wǎng)絡(luò)嗅探攻擊，我們可以采取以下措施進行防范：

　　（1）網(wǎng)絡(luò)分段 一個網(wǎng)絡(luò)段包括一組共享低層設(shè)備和線路的機器，如交換機，動態(tài)集線器和網(wǎng)橋等設(shè)備，可以對數(shù)據(jù)流進行限制，從而達到防止嗅探的目的。

　?。?）加密 一方面可以對數(shù)據(jù)流中的部分重要信息進行加密，另一方面也可只對應(yīng)用層加密，然而后者將使大部分與網(wǎng)絡(luò)和操作系統(tǒng)有關(guān)的敏感信息失去保護。選擇何種加密方式這就取決于信息的安全級別及網(wǎng)絡(luò)的安全程度。

　　（3）一次性口令技術(shù) 口令并不在網(wǎng)絡(luò)上傳輸而是在兩端進行字符串匹配，客戶端利用從服務(wù)器上得到的Challenge和自身的口令計算出一個新字符串并將之返回給服務(wù)器。在服務(wù)器上利用比較算法進行匹配，如果匹配，連接就允許建立，所有的Challenge和字符串都只使用一次。

　　（4）禁用雜錯節(jié)點 安裝不支持雜錯的網(wǎng)卡，通?？梢苑乐笽BM兼容機進行嗅探。

　　2、緩沖區(qū)溢出攻擊及其防范措施

　　緩沖區(qū)溢出攻擊是屬于系統(tǒng)攻擊的手段，通過往程序的緩沖區(qū)寫超出其長度的內(nèi)容，造成緩沖區(qū)的溢出，從而破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其它指令，以達到攻擊的目的。當(dāng)然，隨便往緩沖區(qū)中填東西并不能達到攻擊的目的。最常見的手段是通過制造緩沖區(qū)溢出使程序運行一個用戶shell，再通過shell執(zhí)行其它命令。如果該程序具有root權(quán)限的話，攻擊者就可以對系統(tǒng)進行任意操作了。

　　緩沖區(qū)溢出對網(wǎng)絡(luò)系統(tǒng)帶來了巨大的危害，要有效地防止這種攻擊，應(yīng)該做到以下幾點：

　?。?）程序指針完整性檢查 在程序指針被引用之前檢測它是否改變。即便一個攻擊者成功地改變了程序的指針，由于系統(tǒng)事先檢測到了指針的改變，因此這個指針將不會被使用。

　?。?）堆棧的保護 這是一種提供程序指針完整性檢查的編譯器技術(shù)，通過檢查函數(shù)活動記錄中的返回地址來實現(xiàn)。在堆棧中函數(shù)返回地址后面加了一些附加的字節(jié)，而在函數(shù)返回時，首先檢查這個附加的字節(jié)是否被改動過。如果發(fā)生過緩沖區(qū)溢出的攻擊，那么這種攻擊很容易在函數(shù)返回前被檢測到。但是，如果攻擊者預(yù)見到這些附加字節(jié)的存在，并且能在溢出過程中同樣地制造他們，那么他就能成功地跳過堆棧保護的檢測。

　?。?）數(shù)組邊界檢查 所有的對數(shù)組的讀寫操作都應(yīng)當(dāng)被檢查以確保對數(shù)組的操作在正確的范圍內(nèi)進行。最直接的方法是檢查所有的數(shù)組操作，通常可以采用一些優(yōu)化技術(shù)來減少檢查次數(shù)。目前主要有這幾種檢查方法：Compaq C編譯器、Jones & Kelly C數(shù)組邊界檢查、Purify存儲器存取檢查等。

　　未來的競爭是信息競爭，而網(wǎng)絡(luò)信息是競爭的重要組成部分。其實質(zhì)是人與人的對抗，它具體體現(xiàn)在安全策略與攻擊策略的交鋒上。為了不斷增強信息系統(tǒng)的安全防御能力，必須充分理解系統(tǒng)內(nèi)核及網(wǎng)絡(luò)協(xié)議的實現(xiàn)，真正做到洞察對方網(wǎng)絡(luò)系統(tǒng)的“細(xì)枝末節(jié)”，同時應(yīng)該熟知針對各種攻擊手段的預(yù)防措施，只有這樣才能盡最大可能保證網(wǎng)絡(luò)的安全。