网络与系统攻击技术网络与系统攻击技术第八章第八章 假消息攻击假消息攻击 - -对网络协议弱点的利用对网络协议弱点的利用对网络协议弱点的利用对网络协议弱点的利用本章要求本章要求了解假消息攻击的分类掌握ARP欺骗的原理、应用与防范领会ICMP路由重定向的原理掌握DNS欺骗的原理、应用与防范熟悉IP欺骗和SMB中间人攻击原理本章主要内容本章主要内容8.1 假消息攻击的分类8.2 ARP 欺骗8.3 ICMP重定向攻击8.4 IP欺骗8.5 DNS欺骗8.5 SMB中间人攻击8.1 假消息攻击的概念假消息攻击的概念假消息攻击利用网络协议设计中的缺陷，通过发送伪造的数据包达到欺骗目标、从中获利的目的 哪些协议设计有缺陷，是容易受到攻击的呢？哪些协议设计有缺陷，是容易受到攻击的呢？TCP/IP协议栈协议栈应用层OSI 模型表示层会话层传输层网络层数据链路层物理层TCP/IP 模型应用层传输层网络层主机网络层应用程序应用程序操作系统操作系统网络设备网络设备8.1 假消息攻击的分类假消息攻击的分类分类与网络协议各层次的关系应用层传输层网络层数据链路层DNS欺骗，SMB中间人攻击SYN Flood攻击，IP欺骗ICMP重定向攻击，IP分片攻击ARP欺骗物理层数据发送数据发送应用层应用层传输层传输层网络层网络层主机网络层主机网络层应用程序操作系统操作系统网络设备应用数据应用数据TCP头应用数据TCP头IP头应用数据TCP头IP头帧头网页访问网页访问内部网络外部网络GET HTTP:/正确的TCP包头正确的IP包头正确的MAC帧头您的主机：建立建立TCP连接连接要访问上的数据，必须首先和服务器建立起连接。正确的TCP包头正确的IP包头正确的MAC帧头TCP包头包头TCP包头部分包括源端口、目的端口、TCP标志、TCP选项等内容。正确的TCP包头正确的IP包头正确的MAC帧头源端口：4039目的端口：80FLAGS：SYNIP包头包头IP包头部分包括源IP地址、目的IP地址、IP标志等内容。正确的TCP包头正确的IP包头正确的MAC帧头源目的IP：? ? ?目的n目的IP地址通过DNS解析确定。MAC帧头帧头MAC帧头部分包括源MAC地址、目的MAC地址以及上层协议类型等内容。正确的TCP包头正确的IP包头正确的MAC帧头源MAC：00-06-29-b3-4c-49 目的MAC：? ? ?主机路由表主机路由表route print显示当前主机的路由表信息。= Active Routes:Network Destination Netmask Gateway Interface 0.0.0.0 202.196.53.254 202.196.53.8 127.0.0.0 255.0.0.0 127.0.0.1 27.0.0.1 202.196.53.0 255.255.255.0 202.196.53. 8 202.196.53.8 202.196.53. 8 255.255.255.255 127.0.0.1 =vDestIP & Netmask = Network Destination，选择相应的选择相应的Interface和和Gateway发送数据发送数据ARP解析解析Arp命令显示了本机的arp缓存。 Internet Address Physical Address Type 202.196.53.254 00-e0-4c-de-04-26 dynamic 202.196.53.57 08-00-46-60-8d-3a dynamicC:arp -a连接的连接的MAC帧头部分帧头部分由路由表信息和ARP缓存信息，可以确定帧头的目的MAC地址域正确的TCP包头正确的IP包头正确的MAC帧头源MAC：00-06-29-b3-4c-49 目的MAC：? ? ?目的MAC： 00-e0-4c-de-04-26目标IP地址路由IP地址目标MAC地址TCP三次握手三次握手客户机 服务器 发送SYN seq=x 接收SYN报文发送SYN seq = y,ACK ack = x+1 接收SYN+ACK发送 ACK ack = y+1 接受ACK报文段发送发送HTTP请求请求在连接建立后，才正式发送url请求。GET HTTP:/源端口：4039目的端口：80正确的TCP包头正确的IP包头正确的MAC帧头源IP：202.196.53.8目的IP：162.105.203.114本章主要内容本章主要内容8.1 假消息攻击的分类8.2 ARP 欺骗8.3 ICMP重定向攻击8.4 IP欺骗8.5 DNS欺骗8.6 SMB中间人攻击8.2 ARP欺骗欺骗ARP协议的作用8.2 ARP欺骗欺骗ARP数据包的格式Recipient IP AddressRecipient Hardware AddressSender IP AddressSender Hardware AddressOperation Code(16 bits)Protocol Address Protocol Address LengthLengthHardware Address Hardware Address LengthLengthProtocol Type(16 bits)Protocol Type(16 bits)Hardware Type(16 bits)Hardware Type(16 bits)vOperation Code域区分这个该包是域区分这个该包是ARP/RARP请求请求/应答，应答， ARP缓存缓存并不是每次对IP地址的解析都是通过ARP请求和应答来完成的。ARP请求是一种广播包，为了提高网络的效率，每台主机使用一个数据结构保存最近使用过MAC地址，即ARP缓存ARP解析过程解析过程我们可以用一段简单的伪程序语言描述ARP的解析过程While (true)if ( FoundInBuff( ip ) )break;else SendArp( ip )UpdateBuff( ip, mac )ARP协议的效率改进协议的效率改进响应ARP请求的主机将请求者的IPMAC映射缓存。主动的ARP应答会被视为有效信息接受ARP效率带来的问题效率带来的问题发送错误的发送者MAC地址的ARP请求发送错误的发送者MAC地址的ARP应答8.2 ARP欺骗欺骗ARP欺骗的攻击过程攻击者在局域网段发送虚假的IP/MAC对应信息，篡改网关MAC地址，使自己成为假网关受害者将数据包发送给假网关（攻击者）假网关（攻击者）分析接收到的数据包，把有价值的数据包记录下来（比如QQ以及邮箱登录数据包）假网关再把数据包转发给真正的网关8.2 ARP欺骗欺骗AB网关攻击者在局域网段发送虚假的IP/MAC对应信息，篡改网关MAC地址，使自己成为假网关受害者将数据包发送给假网关（攻击者）假网关（攻击者）分析接收到的数据包，把有价值的数据包记录下来（比如QQ以及邮箱登录数据包）假网关再把数据包转发给真正的网关8.2 ARP欺骗欺骗ARP欺骗问题的原因：ARP协议设计之初没有考虑安全问题，所以任何计算机都可以发送虚假的ARP数据包。ARP协议的无状态性。响应数据包和请求数据包之间没有什么关系，如果主机收到一个ARP响应却无法知道是否真的发送过对应的ARP请求。ARP缓存需要定时更新，给攻击者以可乘之机。8.2 ARP欺骗欺骗 ARPARP欺骗的危害欺骗的危害 嗅探嗅探 拒绝服务攻击拒绝服务攻击 中间人攻击中间人攻击8.2 ARP欺骗欺骗ARP欺骗的局限性ARP欺骗只能被用于局域网（黑客必须已经获得局域网中某台机器的访问权）。8.2 ARP欺骗欺骗ARP欺骗的防范网关建立静态IP/MAC对应关系,各主机建立MAC数据库建立DHCP服务器IDS监听网络安全本章主要内容本章主要内容8.1 假消息攻击的分类8.2 ARP 欺骗8.3 ICMP重定向攻击8.4 IP欺骗8.5 DNS欺骗8.6 SMB中间人攻击8.3 ICMP重定向攻击重定向攻击ICMP的报文类型差错报告报文查询报文源站抑制超时参数问题改变路由回送请求和应答时间戳请求和应答地址掩码请求和应答目的不可达路由器询问和通告ICMP报文8.3 ICMP重定向攻击重定向攻击ICMP重定向报文：ICMP重定向报文是ICMP控制报文中的一种。在特定的情况下，当路由器检测到一台机器使用非优化路由的时候，它会向该主机发送一个ICMP重定向报文，请求主机改变路由。功能：保证主机拥有动态的、既小且优的路由表限制：ICMP重定向机制只能在同一网络的路由器与主机之间使用8.3 ICMP重定向攻击重定向攻击ABR2AB最佳路由是R1路由器，A将数据包送到R2路由器 R3R4R1R2路由器会发现这个问题，并用ICMP信息包通知数据包的来源端设备，称为重定向之后A通过R1向B发送数据包ICMP常用类型和代码常用类型和代码ICMP重定向报文重定向报文Type 5Code 1Checksum路由器路由器IP地址地址重定向包的包头，以及荷载的前重定向包的包头，以及荷载的前8个个Bytes网络ICMP重定向重定向在同一局域网内有两个以上路由时，路由可以发送ICMP重定向帮助主机使用最佳路径外部网络目标IP：202.196.50.2 目标端口：UDP 7数据从R2走会较近外部网络ICMP重定向欺骗重定向欺骗ICMP重定向数据包会更新主机的路由表信息。如果冒充网关的身分向主机发送ICMP重定向报文，就可以让该主机与指定目标的通信发送到本机进行中转。危害危害ICMP重定向可以辅助交换式局域网中的嗅探网络从B路由更近主机B主机A外部网络路由器8.3 ICMP重定向攻击重定向攻击ICMP重定向攻击的危害改变对方的路由表与ARP欺骗类似，ICMP重定向攻击也可以用来做嗅探、拒绝服务或中间人攻击等8.3 ICMP重定向攻击重定向攻击ICMP重定向攻击的局限性ICMP重定向攻击一次只能指定一个目的地址新路由必须是直达的重定向包必须来自去往目标的当前路由被改变的路由必须是一条间接路由8.3 ICMP重定向攻击重定向攻击ICMP重定向攻击的防范修改系统和防火墙配置，拒绝接收ICMP重定向报文在Windows 2000里可修改注册表HKLMSYSTEMCurrentControlSetServicesTcpipParametersEnableICMPRedirects REG_DWORD 0x0(默认值为0x1)通过route print命令来查看本机的路由表 本章主要内容本章主要内容8.1 假消息攻击的分类8.2 ARP 欺骗8.3 ICMP重定向攻击8.4 IP欺骗8.5 DNS欺骗8.6 SMB中间人攻击8.4IP欺骗欺骗IP欺骗的原理 利用主机之间的正常信任关系发动的攻击更准确的三次握手描述更准确的三次握手描述TCP包使用seq域和ack域的值来确保每个字节都能准确地送达目的地。客户机 服务器 发送SYN 接收SYN 报文 发送SYN/ ACK 接收SYN+ACK发送 ACK接受ACK 报文段 seq=xseq = y, ack = x+1 ack = y+1IP欺骗欺骗正确预测服务器响应中的序列号y是IP欺骗的关键攻击主机Z服务器B接受ACK使用主机A的IP发送SYNseq=x接收SYN 报文 发送SYN/ ACK seq = y, ack = x+1 ack = y+1信任主机A使用主机A的IP发送ACK服务拒绝服务拒绝8.4IP欺骗欺骗IP欺骗的难点在于得到TCP的ACK初始序列号。如果攻击者与受害者主机在同一局域网内，则可以结合嗅探的手段直接获取该序列号；否则，只能通过猜测的方法。8.4IP欺骗欺骗IP欺骗的危害以可信任的身份与服务器建立连接伪造源IP地址，隐藏攻击者身份，消除攻击痕迹8.4IP欺骗欺骗IP欺骗的防范抛弃基于地址的信任策略进行包过滤，只信任内部主机利用路由器屏蔽掉所有外部希望向内部发出的连接请求使用加密传输和验证的方法使用随机化的初始序列号，使得TCP序列号难以猜测本章主要内容本章主要内容8.1 假消息攻击的分类8.2 ARP 欺骗8.3 ICMP重定向攻击8.4 IP欺骗8.5 DNS欺骗8.6 SMB中间人攻击DNSDNS（Domain Name Service）是域名系统的缩写, 它是嵌套在阶层式域结构中的主机名标记方法。 DNS的作用实现域名解析，也就是将域名对应到相应的IP地址 如 域名所对应的IP地址是Internet根服务器负责管理Internet根和高级域DNS域名系统域名系统域名系统是一个树形结构comnetorgedumil根根govintmicrosoftwwwexampleHost_aDNS查询过程查询过程WEB浏览器e.pku.edu.cnDNS客户机（解析器）客户机到服务器的查询服务器到服务器的查询DNS解析器缓存DNS服务器区域DNS服务器缓存其它DNS服务器Q1A1Hosts文件Q2A2根提示文件（cache dns）Q3Q4Q5A3A4A5DNS会话的验证会话的验证DNS查询和应答是基于UDP的应用验证不同的查询/应答是依靠报文中的标识段（ID）8.5DNS欺骗欺骗DNS欺骗的原理客户端以特定的标识ID向DNS服务器发送域名查询数据包DNS服务器查询之后以同样的ID返回给客户端响应数据包攻击者拦截该响应数据包，并修改其内容，返回给客户端8.5DNS欺骗欺骗难点在于如何获得标识号ID可以结合ARP欺骗或ICMP重定向等手段，采用嗅探的方法得到8.5DNS欺骗欺骗造成DNS欺骗问题的原因：UDP协议是无状态、不可靠的协议DNS协议本身没有好的身份认证机制 8.5DNS欺骗欺骗DNS欺骗的危害在于：将用户访问的合法网址重定向到另一个网址篡改合法网页的内容，使用户在不知情的情况下访问非法网站8.5DNS欺骗欺骗DNS欺骗的防范构建静态的域名-IP映射，如Windows系统的hosts文件直接用IP地址连接服务器用加密的连接访问服务器，如SSL本章主要内容本章主要内容8.1 假消息攻击的分类8.2 ARP 欺骗8.3 ICMP重定向攻击8.4 IP欺骗8.5 DNS欺骗8.6 SMB中间人攻击8.6 SMB中间人攻击中间人攻击中间人攻击中间人攻击（Man-in-the-Middle Attack，简称“MITM攻击”）是一种“间接”的入侵攻击。A客户机B客户机C攻击者正常的通信攻击者介入正常的通信中对客户机是透明的对客户机是透明的8.6 SMB中间人攻击中间人攻击SMB协议SMB协议（Server Message Block）是一个用于不同计算机之间共享文件、打印机、通信对象等各种计算机资源的协议。各种操作系统基本上都对SMB协议进行了实现，在Linux中使用Samba，在Windows系统中使用NetBIOS。8.6 SMB中间人攻击中间人攻击早期SMB协议使用明文口令进行身份验证LAN Manager Challenge Response机制（LM）Windows NT Challenge Response验证机制（NTLM）NTLMv2和Kerberos验证机制8.6 SMB中间人攻击中间人攻击A客户机B服务器典型的NTLM认证过程(1) 建立TCP连接(2) 协商请求，A告知B自己所支持的认证协议 (3) 协商响应，B告知A使用NTLM+8字节的挑战(4)A将24字节结果提交给B(5) 返回校验结果 A对挑战数据进行DES加密 B将生成数据和A的数据进行比较 8.6 SMB中间人攻击中间人攻击SMB中间人攻击的实现假设攻击者已经利用ARP欺骗或ICMP重定向等手段将客户端与服务器之间的所有通信拦截下来，那么攻击者可以在NTLM认证的第二步将客户端的数据篡改，申明自身只支持明文密码传送，那么接下来的密码传送就会是明文的了。8.6 SMB中间人攻击中间人攻击A客户机B服务器典型的NTLM认证过程(1) 建立TCP连接(2) 协商请求，A告知B自己只支持明文密码传送 (3) 协商响应(4)A将明文密码提交给B(5) 返回校验结果A攻击者8.6 SMB中间人攻击中间人攻击SMB中间人攻击的关键是攻击者处于客户端和服务器通信的中间，可以嗅探或任意篡改通信数据，并且不会中断它们的连接。8.6 SMB中间人攻击中间人攻击其他形式的中间人攻击信息篡改信息窃取中间人攻击使用的范围SMBHTTPFTPTELNETPOP3SMTP