常用网络攻击原理与防范(2)

这样只要str的长度大于16，就会造成buffer的溢出，使程序运行出错。随便往缓冲区中填东西造成它溢出一般只会出现“分段错误”（Segmentation fault），而不能达到攻击的目的。最常见的手段是通过制造缓冲区溢出使程序运行一个用户shell，再通过shell执行其它命令。如果该程序属于root且有suid权限的话，攻击者就获得了一个有root权限的shell，可以对系统进行任意操作了。缓冲区溢出攻击之所以成为一种常见安全攻击手段其原因在于缓冲区溢出漏洞太普遍了，并且易于实现。缓冲区溢出成为远程攻击的主要手段，其原因在于缓冲区溢出漏洞给予了攻击者所想要的一切：植入并且执行攻击代码。被植入的攻击代码以一定的权限运行有缓冲区溢出漏洞的程序，从而得到被攻击主机的控制权。攻击过程缓冲区溢出攻击的目的在于扰乱具有某些特权运行的程序的功能，这样可以使得攻击者取得程序的控制权，如果该程序具有足够的权限，那么整个主机就被控制了。一般而言，攻击者攻击具有root权限的程序，然后执行类似“exec(sh)”的执行代码来获得root权限的shell。为了达到这个目的，攻击者必须达到如下两个目标：在程序的地址空间里安排适当的代码。

：指向该对象的以null结束的字符缓冲区的指针。，如果调用者提供了一个指向堆栈的指针，并且get()函数读入的字符数量超过了超过了缓冲区的空间大小，get()会愉快地将多出来的字符继续写入到堆栈中，这就覆盖了堆栈中原来的内容。但是，gets()函数并不检查缓冲区大小，如果调用者提供了一个指向堆栈的指针，并且get()函数读入的字符数量超过了超过了缓冲区的空间大小，get()会愉快地将多出来的字符继续写入到堆栈中，这就覆盖了堆栈中原来的内容。

其参数p必须是先前调用malloc函数或calloc函数（另一个动态分配存储区域的函数）时返回的指针，也可以理解为指向一个整型数组的首地址*/。如果不得不允许帮助程序函数访问底层指针，并且您知道帮助程序函数将使用指针且在调用函数返回前先返回，则该函数不必共享底层指针的所有权。而缓冲区溢出中，最为危险的是堆栈溢出，因为入侵者可以利用堆栈溢出，在函数返回时改变返回程序的地址，让其跳转到任意地址，带来的危害一种是程序崩溃导致拒绝服务，另外一种就是跳转并且执行一段恶意代码，比如得到shell，然后为所欲为。

长跳转缓冲区（Longjmp buffers）：在C语言中包含了一个简单的检验/恢复系统，称为setjmp/longjmp。意思是在检验点设定“setjmp(buffer)”，用“longjmp(buffer)”来恢复检验点。然而，如果攻击者能够进入缓冲区的空间，那么“longjmp(buffer)”实际上是跳转到攻击者的代码。象函数指针一样，longjmp缓冲区能够指向任何地方，所以攻击者所要做的就是找到一个可供溢出的缓冲区。防范措施缓冲区溢出攻击在远程网络攻击中占了大多数，这种攻击可以使得一个匿名的Internet用户有机会获得一台主机的部分或全部的控制权。如果能有效地消除缓冲区溢出的漏洞，则很大一部分安全威胁可以得到缓解。目前有四种基本的方法保护主机免受缓冲区溢出的攻击和影响。邮件攻击1、非执行缓冲区通过使被攻击程序的数据段地址空间不可执行，从而使得攻击者不可能执行已植入到被攻击程序输入缓冲区的代码，这种技术被称为非执行的缓冲区技术。在早期的Unix系统设计中，只允许程序代码在代码段中执行。但是近来的Unix和MS Windows系统由于要实现更好的性能和功能，往往在数据段中动态地放入可执行的代码，这也是缓冲区溢出的根源。

编写一个能正确运行的程序作为优化的起点，要确保程序能稳定运行以及其正确性，在精度不足或者发生溢出时必须使用双精度浮点或者更长的整数类型。由2.1可知，要编写正确的并发程序，关键问题在于：在访问共享的可变状态时需要进行正确的管理，这里正确的管理主要解决竞态条件和数据竞争（主要包括对象可见性）问题，我们知道同步方法和同步代码可以确保以原子的方式执行操作，因此错误的会认为synchronized只能用于实现原子性和确定临界区（critical section）即解决竞态条件问题，其实同步还有重要的一方面就是内存（对象）的可见性（visibly）。使用java语言编写应用程序最大的优点在于“一次编译，处处运行”，然而这并不是说所有的java程序都具有跨平台的特性，事实上，相当一部分的java程序是不能在别的操作系统上正确运行的，那么如何才能编写一个真正的跨平台的java程序呢。

另一种是欺骗网关，告诉网关局域网某客户机的mac地址是arp攻击主机，这种欺骗网关的arp攻击目前没有什么软件能够很好的解决，最好的解决办法是让网络管理员在网关设备上绑定每个客户机的mac地址。cain中的arp的欺骗，原理是 操纵两台主机的arp缓存表，以改变它们之间的正常通信方向，这种通信注入的结果就是arp欺骗攻击，利用arp欺骗可以获得明文的信息。arp攻击主要有两种类型，一种是欺骗客户机，告诉客户机网关是arp攻击主机，造成被欺骗客户机不能访问正常的网关，导致不能上网，这种欺骗，可以通过绑定网关 mac地址来很好的实现。

为了减少这种不便，可以在主机A和主机B中建立起两个帐户的相互信任关系。有了这种信任关系，就可以方便地使用任何以r开头的远程调用命令，如：rlogin，rcall，rsh等，而无口令验证的烦恼。这些命令将提供以地址为基础的验证，根据访问者IP地址，决定允许或拒绝存取服务。即信任关系是基于IP地址的。2、TCP序列号猜测大家都知道，TCP连接的建立包括一个三次握手的过程，如图所示。由于在某些系统中序列号y的产生规律相对简单，就为今后的安全留下了隐患。如果攻击者了解主机A与B之间建立了信任关系，在A不能正常工作时，假冒主机A的IP地址，向主机B发送建立TCP连接的请求包，这时如果攻击者能够猜出主机B确认包中的序列号y，就可以假冒主机A与主机B建立TCP连接。然后通过传送可执行的命令数据，侵入主机B中。为何要猜序列号？当攻击者C与A位于不同子网时，若C冒充A向B发连接请求时，C是无法收到服务器B的应答的攻击过程IP地址欺骗攻击由若干步骤组成。首先，选定目标主机；其次，发现信任模式，并找到一个被目标主机信任的主机；然后，使该主机丧失工作能力，同时采样目标主机发出的TCP 序列号，猜测出它的数据序列号。

然后，伪装成被信任的主机，同时建立起与目标主机基于地址验证的应用连接。如果成功，黑客可以使用一种简单的命令放置一个系统后门，以进行非授权操作。一旦发现被信任的主机，为了伪装成它，往往使其丧失工作能力。由于攻击者将要代替真正的被信任主机，他必须确保真正被信任的主机不能接收到任何有效的网络数据，否则将会被揭穿。有许多方法可以实现这一点，如SYN-Flood攻击。为了知道目标主机使用的数据包序列号，攻击者往往先与被攻击主机的一个端口（SMTP是一个很好的选择）建立起正常的连接。通常，这个过程被重复若干次，并将目标主机最后所发送的序列号存储起来。此外，攻击者还需要估计他的主机与被信任主机之间的包往返时间，这个时间是通过多次统计平均求出的，它对于估计下一个数据序列号是非常重要的。在上述准备完成后，攻击者将使用被信任主机的IP地址，此时，该主机仍然处在停顿状态（前面讲的丧失处理能力），向目标主机的513端口（rlogin的端口号）发送连接请求。之后，目标主机对连接请求作出反应，发送SYN/ACK数据包给被信任主机（如果被信任主机处于正常工作状态，那么会认为是错误并立即向目标主机返回RST数据包，但此时它处于停顿状态）。

按照计划，被信任主机会抛弃该SYN/ACK数据包（当然攻击者也得不到该包，否则就不用猜了）。在协议要求得时间内，攻击者向目标主机发送ACK数据包，该ACK使用前面估计的序列号加1。如果攻击者估计正确的话，目标主机将会接收该ACK 。至此，连接正式建立起来了。然后，将开始数据传输。一般地，攻击者将在系统中放置一个后门，以便今后得侵入。然后，伪装成被信任的主机，同时建立起与目标主机基于地址验证的应用连接。如果成功，黑客可以使用一种简单的命令放置一个系统后门，以进行非授权操作。此外，在上述准备完成后，攻击者将使用被信任主机的IP地址，此时，该主机仍然处在停顿状态（前面讲的丧失处理能力），向目标主机的513端口（rlogin的端口号）发送连接请求。之后，目标主机对连接请求作出反应，发送SYN/ACK数据包给被信任主机（如果被信任主机处于正常工作状态，那么会认为是错误并立即向目标主机返回RST数据包，但此时它处于停顿状态）。按照计划，被信任主机会抛弃该SYN/ACK数据包（当然攻击者也得不到该包，否则就不用猜了）。在协议要求得时间内，攻击者向目标主机发送ACK数据包，该ACK使用前面估计的序列号加1。

arp欺骗攻击就利用了这点，攻击者主动发送arp报文，发送者的mac地址为攻击者主机的mac地址，发送者的ip地址为被攻击主机的ip地址。1. 发送主机发送一个本地的rarp广播，在此广播包中，声明自己的mac地址并且请求任何收到此请求的rarp服务器分配一个ip地址。如果在arp缓存表中没有找到目标ip地址，主机a就会在网络上发送一个广播，a主机mac地址是“主机a的mac地址”，这表示向同一网段内的所有主机发出这样的询问：“我是192.168.1.5，我的硬件地址是"主机a的mac地址".请问ip地址为192.168.1.1的mac地址是什么。

防止措施：阻塞所有入站的Ping包；停止路由器为具有网络广播地址的分组映射LAN广播地址的活动。IP地址欺骗----Land攻击Land攻击的报文分组具有如下特点：源IP地址：被攻击系统的IP地址。目的IP地址：被攻击系统的IP地址。传输方式：TCP源端口号：135目的端口号：135标志设置：SYN=1也可以使用其他的端口和设置。攻击者会使系统错误地认为自己正在与自己交谈，这样可以造成死循环，最终使系统挂起或死锁。防止措施：在路由器或防火墙的WAN端口禁止地址为本网段地址的IP包通过。五网络网络，在网络安全上一直是一个比较敏感的话题，作为一种发展比较成熟的技术，在协助网络管理员监测网络传输数据，排除网络故障等方有不可替代的作用，因而一直倍受网络管理员的青睐。然而，在另一方面网络也给网络安全带来了极大的隐患，许多的网络**往往都伴随着网络行为，从而造成口令失窃，敏感数据被截获等连锁性安全事件。网络可以在网上的任何一个位置实施，如局域网中的一台主机、网关上或远程网的调制解调器之间等。黑客们用得最多的是截获用户的口令。在网络上，效果最好的地方是在网关、路由器、防火墙一类的设备处，通常由网络管理员来操作。

包过滤防火墙工作的地方就是各种基于tcp/ip协议的数据报文进出的通道，它把这网络层和传输层作为数据监控的对象，对每个数据包的头部、协议、地址、端口、类型等信息进行分析，并与预先设定好的防火墙过滤规则进行核对，一旦发现某个包的某个或多个部分与过滤规则匹配并且条件为“阻止”的时候，这个包就会被丢弃。包过滤是最早使用的一种防火墙技术，它的第一代模型是“静态包过滤”（static packet filtering），使用包过滤技术的防火墙通常工作在osi模型中的网络层（network layer）上，后来发展更新的“动态包过滤”（dynamic packet filtering）增加了传输层（transport layer），简而言之，包过滤技术工作的地方就是各种基于tcp/ip协议的数据报文进出的通道，它把这两层作为数据监控的对象，对每个数据包的头部、协议、地址、端口、类型等信息进行分析，并与预先设定好的防火墙过滤规则（filtering rule）进行核对，一旦发现某个包的某个或多个部分与过滤规则匹配并且条件为“阻止”的时候，这个包就会被丢弃。首先主机b向主机a发送一个arp应答包说192，让所有上网的流量必须经过arp攻击者控制的主机，然后目标ip的所有者会以一个含有ip和mac地址对的数据包应答请求主机，直到通信停止后2分钟，这个对应关系才会从表中被删除，如果没有就通过arp请求获得，如果有就直接与网关通信，然后再由网关c通过路由将数据包送到网关e.1。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-98938-2.html