1

华东理工大学计算机科学与工程系

第 2 章网络攻击技术

指导教师 : 杨建国

2013年 8月 10日

2

华东理工大学计算机科学与工程系

2.1 信息收集技术2.2 口令攻击2.3 缓冲区溢出攻击2.4 拒绝服务攻击2.5 web应用安全攻击2.6 恶意代码攻击2.7 病毒蠕虫与木马攻击

第 2 章 网络攻击技术

2.8 网络欺骗攻击2.9 网络钓鱼攻击2.10 假消息攻击2.11 网络协议攻击2.12 操作系统攻击2.13 远程控制攻击

3

华东理工大学计算机科学与工程系

假消息攻击概述 数据链路层攻击 网络层攻击 传输层攻击 应用层攻击

2.10 假消息攻击

4

华东理工大学计算机科学与工程系

假消息攻击的概念

假消息攻击 利用网络协议设计中的缺陷，通过发送伪造的数据

包达到欺骗目标、从中获利的目的

哪些协议设计有缺陷，是容易受到攻击的呢？

5

华东理工大学计算机科学与工程系

TCP/IP 协议栈

应用层OSI 模型

表示层会话层传输层网络层

数据链路层物理层

TCP/IP 模型应用层

传输层网络层

主机－网络层

应用程序

操作系统

网络设备

6

华东理工大学计算机科学与工程系

假消息攻击的分类 分类与网络协议各层次的关系

应用层传输层网络层

数据链路层

DNS 欺骗， SMB 中间人攻击SYN Flood 攻击， IP 欺骗

ICMP 重定向攻击， IP 分片攻击ARP 欺骗

物理层

7

华东理工大学计算机科学与工程系

假消息攻击的危害

窃取通信数据 拒绝服务

8

华东理工大学计算机科学与工程系

中间人攻击

Man in the Middle Attack 信息篡改 信息窃取

9

华东理工大学计算机科学与工程系

数据链路层的攻击： ARP 欺骗

ARP 协议的作用

物理地址 物理地址

IP地址 IP地址

地址解析协议ARP（ ）

反向地址解析协议RARP（ ）

10

华东理工大学计算机科学与工程系

ARP 欺骗 ARP 数据包的格式

Recipient IP AddressRecipient IP Address

Recipient Hardware AddressRecipient Hardware Address

Sender IP AddressSender IP AddressSender Hardware AddressSender Hardware Address

Operation Code(16 bits)Operation Code(16 bits)

Protocol Address Protocol Address LengthLength

Hardware Address Hardware Address LengthLength

Protocol Type(16 bits)Protocol Type(16 bits)

Hardware Type(16 bits)Hardware Type(16 bits)

11

华东理工大学计算机科学与工程系

ARP 协议的效率改进

响应 ARP 请求的主机将请求者的 IP － MAC 映射缓存。

主动的 ARP 应答会被视为有效信息接受

12

华东理工大学计算机科学与工程系

ARP 效率带来的问题

发送错误的发送者 MAC 地址的 ARP 请求

发送错误的发送者 MAC 地址的 ARP 应答

13

华东理工大学计算机科学与工程系

ARP 欺骗的攻击过程

攻击者在局域网段发送虚假的 IP/MAC 对应信息，篡改网关 MAC 地址，使自己成为假网关

受害者将数据包发送给假网关（攻击者） 假网关（攻击者）分析接收到的数据包，把有价值

的数据包记录下来（比如 QQ 以及邮箱登录数据包）

假网关再把数据包转发给真正的网关

14

华东理工大学计算机科学与工程系

ARP 欺骗

0260.8c01.2222 0260.8c01.3333

A B

网关0260.8c01.1111

10.0.0.2

10.0.0.1

10.0.0.3

攻击者在局域网段发送虚假的 IP/MAC 对应信息，篡改网关 MAC 地址，使自己成为假网关

受害者将数据包发送给假网关（攻击者）

假网关（攻击者）分析接收到的数据包，把有价值的数据包记录下来（比如 QQ 以及邮箱登录数据包）

假网关再把数据包转发给真正的网关

15

华东理工大学计算机科学与工程系

ARP 欺骗的根源

ARP 协议设计之初没有考虑安全问题，所以任何计算机都可以发送虚假的 ARP 数据包。

ARP 协议的无状态性。响应数据包和请求数据包之间没有什么关系，如果主机收到一个 ARP 响应却无法知道是否真的发送过对应的 ARP 请求。

ARP 缓存需要定时更新，给攻击者以可乘之机。

16

华东理工大学计算机科学与工程系

ARPARP 欺骗的危害欺骗的危害 嗅探嗅探

拒绝服务攻击拒绝服务攻击

中间人攻击中间人攻击

17

华东理工大学计算机科学与工程系

ARP 欺骗的局限性

ARP 欺骗只能被用于局域网（黑客必须已经获得局域网中某台机器的访问权）。

18

华东理工大学计算机科学与工程系

ARP 欺骗的防范 网关建立静态 IP/MAC 对应关系 , 各主机建立 MAC 数据库 建立 DHCP 服务器 IDS 监听网络安全

19

华东理工大学计算机科学与工程系

网络层的攻击

ICMP 路由重定向 IP 分片攻击

20

华东理工大学计算机科学与工程系

ICMP 重定向攻击

ICMP 的报文类型

差错报告报文

查询报文

源站抑制

超时

参数问题

改变路由

回送请求和应答

时间戳请求和应答

地址掩码请求和应答

目的不可达

路由器询问和通告

ICMP 报文

21

华东理工大学计算机科学与工程系

ICMP 重定向攻击

ICMP 重定向报文： 当路由器检测到主机在启动时具有一定的路由信息，但不一

定是最优的 路由器检测到 IP 数据报经非优路由传输，就通知主机去往该

目的地的最优路径 功能：保证主机拥有动态的、既小且优的路由表 限制： ICMP 重定向机制只能在同一网络的路由器与

主机之间使用

22

华东理工大学计算机科学与工程系

ICMP 重定向攻击

A B

R2

A→B 最佳路由是 R1 路由器， A将数据包送到 R2 路由器

R3

R4

R1

R2 路由器会发现这个问题，并用 ICMP 信息包通知数据包的来源端设备，称为重定向

之后 A 通过 R1 向 B 发送数据包

23

华东理工大学计算机科学与工程系

ICMP 重定向报文

Type 5 Code 1 Checksum

路由器 IP地址

重定向包的包头，以及荷载的前 8个 Bytes

24

华东理工大学计算机科学与工程系

ICMP 重定向攻击

ICMP 重定向攻击的危害 改变对方的路由表 与 ARP 欺骗类似， ICMP 重定向攻击也可以用来做嗅探、拒

绝服务或中间人攻击等

25

华东理工大学计算机科学与工程系

ICMP 重定向攻击

ICMP 重定向攻击的局限性 ICMP 重定向攻击一次只能指定一个目的地址 新路由必须是直达的 重定向包必须来自去往目标的当前路由 重定向包不能通知主机用自己做路由 被改变的路由必须是一条间接路由

26

华东理工大学计算机科学与工程系

ICMP 重定向攻击

ICMP 重定向攻击的防范 修改系统和防火墙配置，拒绝接收 ICMP 重定向报文 在 Windows 2000里可修改注册表 HKLM\SYSTEM\

CurrentControlSet\Services\Tcpip\ParametersEnableICMPRedirects REG_DWORD 0x0(默认值为 0x1)

通过 route print命令来查看本机的路由表

27

华东理工大学计算机科学与工程系

IP 分片攻击

IP 分片原理 Fragment ID More Fragment Flag Fragment Offset Data Length

Tiny Fragment 攻击 IP 分段重叠攻击

28

华东理工大学计算机科学与工程系

传输层攻击： TCP 欺骗

TCP 欺骗的原理 利用主机之间的正 常信任关系发动的攻击

29

华东理工大学计算机科学与工程系

TCP序号欺骗

A

客户机

B

服务器

(1) TCP SYN （伪造的源 IP 地址）

(2) TCP SYN+ACK = ?分配资源等待回复

连接建立

猜测或嗅探得到

SYN+ACK 的值

(3) TCP ACK （伪造的源 IP 地址）

30

华东理工大学计算机科学与工程系

TCP 欺骗

难点在于得到 TCP 的 ACK 初始序列号。

如果攻击者与受害者主机在同一局域网 内，则可以结合嗅探的手段直接获取该序列号；否则，只能通过猜测的方法。

31

华东理工大学计算机科学与工程系

TCP 欺骗的危害

以可信任的身份与服务器建立 连接 伪造源 IP 地址，隐藏攻击者身份，消除攻击痕迹

32

华东理工大学计算机科学与工程系

TCP 欺骗的防范

抛弃基于地址的信任策略 进行包过滤，只信任内部主机 利用路由器屏蔽掉所有外部希望向内部发出的连接请求

使用加密传输和验证的方法 使用随机化的初始序列号，使得 TCP序列号难

以猜测

33

华东理工大学计算机科学与工程系

应用层攻击

DNS 欺骗 SMB 中间人攻击

34

华东理工大学计算机科学与工程系

DNS 欺骗

DNS 的作用 实现域名解析，也就是将域名对应到相应的 IP 地址 如 www.microsoft.com 域名所对应的 IP 地址是

207.46.193.254

35

华东理工大学计算机科学与工程系

DNS查询

36

华东理工大学计算机科学与工程系

DNS 欺骗的原理

客户端以特定的标识 ID 向 DNS 服务器发送域名查询数据包

DNS 服务器查询之后以同样的 ID返回给客户端响应数据包

攻击者拦截该响应数据包，并修改其内容，返回给客户端

37

华东理工大学计算机科学与工程系

DNS 欺骗

难点在于如何获得标识号 ID

可以结合 ARP 欺骗或 ICMP 重定向等手段，采用嗅探的方法得到

38

华东理工大学计算机科学与工程系

DNS 欺骗的根源

UPD 协议是无状态、不可靠的协议

DNS 协议本身没有好的身份认证机制

39

华东理工大学计算机科学与工程系

DNS 欺骗的危害

将用户访问的合法网址重定向到另一个网址 篡改合法网页的内容，使用户在不知情的情况

下访问非法网站

40

华东理工大学计算机科学与工程系

DNS 欺骗的防范

构建静态的域名 -IP 映射，如 Windows 系统的hosts 文件

直接用 IP 地址连接服务器 用加密的连接访问服务器，如 SSL

41

华东理工大学计算机科学与工程系

SMB 中间人攻击

中间人攻击 中间人攻击（ Man-in-the-Middle Attack ，简称“MITM 攻击”）是一种“间接”的入侵攻击。

A

客户机B

客户机

C

攻击者

正常的通信

攻击者介入正常的通信中

对客户机是透明的

对客户机是透明的

42

华东理工大学计算机科学与工程系

SMB 中间人攻击

SMB 协议 SMB 协议（ Server Message Block ）是一个用于

不同计算机之间 共享文件、打印机、通信对 象等各种计算机 资源的协议。

各种操作系统基本上都对 SMB 协议进行了实现，在Linux 中使用 Samba ，在 Windows 系统中使用NetBIOS 。

43

华东理工大学计算机科学与工程系

SMB 中间人攻击

早期 SMB 协议使用明文口令进行身份验证 LAN Manager Challenge Response 机制（

LM ） Windows NT Challenge Response验证机

制（ NTLM ） NTLMv2 和 Kerberos验证机制

44

华东理工大学计算机科学与工程系

SMB 中间人攻击

A

客户机

B

服务器

典型的 NTLM 认证过程(1) 建立 TCP 连接

(2) 协商请求， A 告知 B 自己所支持的认证协议

(3) 协商响应， B 告知 A 使用NTLM+8 字节的挑战

(4)A 将 24 字节结果提交给 B

(5) 返回校验结果

A 对挑战数据进行DES 加密 B 将生成数

据和 A的数据进行比较

45

华东理工大学计算机科学与工程系

SMB 中间人攻击

SMB 中间人攻击的实现 假设攻击者已经利用 ARP 欺骗或 ICMP 重定向等手

段将客户端与服务器之间的所有通信 拦截下来，那么攻击者可以在 NTLM认证的第二步将客户端的数据篡改，申明自身只支持明文密码传送，那么接下来的密码传送就会是明文的了。

46

华东理工大学计算机科学与工程系

SMB 中间人攻击

A

客户机

B

服务器

典型的 NTLM 认证过程(1) 建立 TCP 连接

(2) 协商请求， A 告知 B 自己只支持明文密码传送

(3) 协商响应

(4)A 将明文密码提交给 B

(5) 返回校验结果

A

攻击者

47

华东理工大学计算机科学与工程系

SMB 中间人攻击

SMB 中间人攻击的关键是攻击者处于客户端和服务器通信的中间，可以嗅探或任意篡改通信数据，并且不会中断它们的连接。

48

华东理工大学计算机科学与工程系

中间人攻击使用的范围

SMB HTTP FTP TELNET POP3 SMTP

49

华东理工大学计算机科学与工程系

本章要求

了解假消息攻击的分类掌握 ARP 欺骗的原理、应用与防范领会 ICMP 路由重定向的原理掌握 DNS 欺骗的原理、应用与防范熟悉 TCP 欺骗和 SMB 中间人攻击原理