CISP-PTE笔记
协议栈攻击分类
1.协议栈自身的脆弱性
1）缺乏数据源验证机制
2）缺乏完整性验证机制
3）缺乏机密性验证机制
2.网络接口层攻击
3.网络层攻击
4.应用层攻击
网络攻击的基本模式
被动威胁（不影响通信双方）
截获（机密性）
嗅探（sniffing），监听（eavesdropping）
主动威胁（影响通信双方）
篡改（完整性）
数据包篡改（tampering）
中断（可用性）
拒绝服务（dosing）
伪造（真实性）
欺骗（spoofing）
物理层——设备破环，监听
物理设备破坏
指攻击者直接破坏网络的各种物理设施，比如服务器设施，或者网络的传输通信设施等
设备破坏攻击的目的主要是为了中断网络服务
物理设备窃听
光纤监听，红外监听
链路层——MAC泛洪
MAC 泛洪
交换机中存在着一张记录着 MAC 地址的表，为了完成数据的快速转发，该表具有自动学习机制：泛洪攻击即是攻击者利用这种学习机制不断发送不同的 MAC 地址给交换机，填满整个 MAC 表，此时交换机只能进行数据广播，攻击者凭此获得信息。
MAC泛洪防护
给交换机的的每个端口限制主机的数量，当一个端口学习的 MAC 数量超过这个限制的数量，则将超出的 MAC 地址舍弃。
1.[Quidway-Ethernet0/0/1]port-security enable //开启接口安全功能
2.[Quidway-Ethernet0/0/1]port-security sticky //开启接口粘滞 MAC 地址功
3.[Quidway-Ethernet0/0/1]port-security protect-action protect //接口安全功能的保护动作
4.[Quidway-Ethernet0/0/1]port-security max-mac-num 20 //接口 MAC 地址学习限制数
规定端口能够通过什么样的 MAC 地址和学习什么样的 MAC 地址
对超过一定数量的 MAC 地址进行违背规则处理
网络层——IP欺骗，Smurf攻击
IP欺骗
IP地址欺骗是指行动产生的 IP 包为伪造的源IP地址，以便冒充其它系统和发件人的身份。这是一种黑客的攻击形式，黑客使用一台计算机上网，而借用另外一台机器的 IP 从而冒充另外一台机器与服务器打交道。
按照 lnternet Protocol网络互联协议，数据包头包含来源地和目的地信息。而 IP 地址欺骗，就是通过伪据数据包包头，使显示的信息源不是实际的来源，就像这个数据包是从另一台计算机发送的
Smurf攻击
· Smurf攻击是DDOS攻击的一种, 它主要通过IP欺骗和ICMP请求来占用被攻击主机资源， 使其网络拥塞停止服务。
· Smurf攻击通过使用将回复地址设置成受害网络的广播地址的ICMP应答请求( ping)数据包，来淹没受害主机， 最终导致该网络的所有主机都对此ICMP应答请求做出答复， 导致网络阻塞。更加复杂的 Smurf将源地址改为第三方的受害者， 最终导致第三方崩溃。
Smurf攻击检测与防护
·ICMP应答风暴的检测
对网络进行监控和统计发现，若出现 Smurf攻击， 则会出现大量的echo报文。由于存在 echo应答风暴， echo报文在所有报文中所占的比例大大增加。如果出现这种情况， 就可能遭到了 Smurf攻击。
·报文丢失率和重传率的上升
由于 echo风暴造成网络负载过重，会出现大量报文丢失和报文重传现象。若有明显的报文丢失率和重传率上升现象， 就有可能遭到了 Smurf攻击。
·常出现意外的连接重置的现象
在受到 Smurf攻击时，由于网络重载，会使其它的网络连接出现意外的中断或重置的现象。如反复出现意外的中断或重置， 也可能受到了 Smurf攻击。
防范措施
配置路由器禁止IP广播包进入网络中
配置网络上所有计算机的操作系统，禁止对目标地址为广播地址的ICMP包响应。
被攻击目标与ISP协商，有ISP暂时阻止这些流量。
对于从本网络向外部网络发送的数据包，本网络应该将其源地址为其他网络的这部分数据包过滤掉。
传输层——TCP SYN Flood攻击
TCP SYN Flood攻击
SYN 报文是 TCP 连接的第一个报文，攻击者通过大量发送 SYN 报文，造成大量未完全建立的 TCP 连接，占用被攻击者的资源。
TCP SYN Flood攻击防护
·丢包模式，利用TCP重传机制，丢弃首个Syn包
·反向探测，即向Client发送探测包。
·代理模式，即Syn Proxy，也可以防火墙等设备做代理
应用层——缓冲区溢出攻击，Web攻击
缓冲区溢出攻击
攻击软件系统的行为中，最常见的一种方法
可以从本地实施，也可以从远端实施
利用软件系统(操作系统，网络服务，应用程序)实现中对内存操作的缺陷，以高操作权限运行攻击代码
漏洞与操作系统和体系结构相关，需要攻击者有较高的知识/技巧
Web攻击
常见的WEB攻击
对客户端
含有恶意代码的网页，利用浏览器的漏洞，威胁本地系统
对Web服务器
利用Apache/IIS…的漏洞
利用CGI实现语言(PHP/ASP/Perl…)和实现流程的漏洞
XSS/SQL/CSRF/上传漏洞/解析漏洞…
通过Web服务器，入侵数据库，进行横向渗透
