CPIP协议族安全架构课件

1、CPIP协议族安全架构1 第二章第二章 TCP/IPTCP/IP协议簇的安全架构协议簇的安全架构 2.1TCP/IP2.1TCP/IP协议族概述协议族概述 CPIP协议族安全架构2 内 容 提 要 uTCP/IPTCP/IP协议族概述协议族概述 uTCP/IPTCP/IP协议族安全性分析协议族安全性分析 uTCP/IPTCP/IP协议族安全架构协议族安全架构 CPIP协议族安全架构 TCP/IPTCP/IP协议族分层协议族分层 HTTPSMTPDNSRTP TCPUDP 硬件接口 网络层 链路层 运输层 应用层 以太网FRATM IGMP ARPPARP ICMP 令牌网 物理介质/0层电缆F

2、DDI双绞线 双绞线微波无线卫星 CPIP协议族安全架构 TCP/IPTCP/IP协议族分层（协议族分层（1 1）- -物理层物理层 u物理介质层物理介质层：也叫：也叫0 0层，本身不属于层，本身不属于TCP/IPTCP/IP协议族层次协议族层次 u功能功能：实现节点：实现节点/ /结点之间的物理连接（物理连线）结点之间的物理连接（物理连线） u构成构成：双绞线：双绞线+ +电缆电缆+ +光纤光纤+ +微波微波+ +无线频道无线频道+ +卫星频道等卫星频道等 u网络接口层功能网络接口层功能：物理接入：物理接入+ +b流传输流传输+ +帧组装帧组装+ +点点通信点点通信 u构成构成协议协议：以太

3、网：以太网+ +令牌网令牌网+ +帧中继帧中继+ +信元网信元网+ +别类型网络别类型网络 u网际层功能网际层功能：地址解析：地址解析+ +网间链接网间链接+ +路由寻径路由寻径+ +流量控制流量控制+ +向上服务向上服务 u构成构成协议协议：IP+ARP/PARP+ICMP+IGMP CPIP协议族安全架构5 u数据链路层或网络接口层。数据链路层或网络接口层。 u功能：接收来自网路层的功能：接收来自网路层的IP数据报，把数据发送到制数据报，把数据发送到制 定的网络上；接收物理帧，抽出网络层数据报。定的网络上；接收物理帧，抽出网络层数据报。 u组成：设备驱动程序，网络接口卡。组成：设备驱动程序

4、，网络接口卡。 u协议类型：地址解析协议（协议类型：地址解析协议（ARP）和逆地址解析协议）和逆地址解析协议 （RARP） TCP/IPTCP/IP协议族分层（协议族分层（2 2）- -链路层链路层 CPIP协议族安全架构6 TCP/IPTCP/IP协议族分层（协议族分层（3 3）- -网络层网络层 u网际互联层。网际互联层。 u作用：处理数据包在网络中的活动（作用：处理数据包在网络中的活动（packetpacket）。网络）。网络 层是异构网络的关键。接收传输层的请求，封装数据层是异构网络的关键。接收传输层的请求，封装数据 包，加包头。包，加包头。 u协议：控制消息协议：协议：控制消息协议：

5、 ICMP( internet control message ICMP( internet control message protocol).protocol). 网络层利用他来与其他主机或路由交网络层利用他来与其他主机或路由交 换错误报文和重要消息。比如换错误报文和重要消息。比如pingping。 组管理协议：组管理协议： IGMPIGMP（internet group internet group management protocolmanagement protocol），把），把UDPUDP数据报多播到多个主数据报多播到多个主 机。机。 CPIP协议族安全架构7 TCP/IPTC

6、P/IP协议族分层（协议族分层（4 4）- -传输层传输层 u作用：提供应用程序之间的通信服务，负责为作用：提供应用程序之间的通信服务，负责为2台互台互 联主机的应用程序提供端到端的通信。联主机的应用程序提供端到端的通信。 u协议：协议：TCP/IP CPIP协议族安全架构8 TCP/IPTCP/IP协议族分层（协议族分层（5 5）- -应用层应用层 u最高层。网络向用户提供各种服务。最高层。网络向用户提供各种服务。 u协议：协议： CPIP协议族安全架构 TCP/IPTCP/IP协议族功能协议（协议族功能协议（1 1） uTCP协议协议：握手链接：握手链接+ +可靠可靠B B流传输流传输+

7、+分分/ /复端口复端口+ +释放链接释放链接 u协议特征协议特征：数据流：数据流+ +虚电路虚电路+ +缓冲传输缓冲传输+ +元结构元结构+ +全双工全双工 uTCP TCP 头部数据结构头部数据结构 uUDP协议协议：无需连接：无需连接+ +不可靠不可靠数据报传输数据报传输+ +分分/ /复用端口复用端口 u协议特征协议特征：无状态：无状态+ +数据报数据报+ +不可靠不可靠+ +有端口有端口+ +伪头部伪头部 uUDP UDP 头部与伪头部数据结构头部与伪头部数据结构 CPIP协议族安全架构 TCP/IPTCP/IP协议族功能协议（协议族功能协议（2 2） uIPIP协议协议：分片封装：

8、分片封装+ +路由寻径路由寻径+ +存储转发存储转发+ +尽力投递尽力投递 u协议数据发送协议数据发送：直接发送：直接发送+ +间接发送间接发送 u协议特征协议特征：核心协议：核心协议+ +点到点点到点+ +源路由源路由 uIPIP头部数据结构头部数据结构 uICMPICMP协议协议：辅助协议：辅助协议+ +拥塞控制拥塞控制+ +路径检查路径检查 u协议特征协议特征：差错报告：差错报告+ +消息控制消息控制+ +呼叫呼叫- -应答应答 uICMPICMP头部数据结构头部数据结构 CPIP协议族安全架构11 传输层协议的安全隐患传输层协议的安全隐患 uTCPTCP协议的安全隐患：协议的安全隐患：

9、 u三次握手的过程中，服务器可能出现一个异常线程等三次握手的过程中，服务器可能出现一个异常线程等 待，如果有大量的等待，服务器会因为维持大量的半待，如果有大量的等待，服务器会因为维持大量的半 连接列表耗费资源。连接列表耗费资源。 u三次握手时产生初始序列号（三次握手时产生初始序列号（ISNISN），该号不是随即），该号不是随即 产生的，有些平台可以计算出该号，进行攻击产生的，有些平台可以计算出该号，进行攻击 uUDPUDP协议的安全隐患：协议的安全隐患： Udp Udp本身是不可靠的，依靠本身是不可靠的，依靠IPIP协议传输报文，不能协议传输报文，不能 确定报文是否到达，丢弃的包不重传。确定报

10、文是否到达，丢弃的包不重传。 CPIP协议族安全架构12 网络层协议的安全隐患网络层协议的安全隐患 uIPIP协议的安全隐患协议的安全隐患: : u缺少身份认证机制，不检查缺少身份认证机制，不检查IPIP地址，产生地址，产生IPIP欺骗攻击，尤其是欺骗攻击，尤其是 地址假冒。地址假冒。 uIPIP数据包包含了源路由选项，本来是可以指定路由，测试流量数据包包含了源路由选项，本来是可以指定路由，测试流量 ，但是，可以利用源路由选项进行攻击，源路由指定了，但是，可以利用源路由选项进行攻击，源路由指定了IPIP数据数据 包必须经过的路由，使得入侵者可以绕开网络的安全措施，选包必须经过的路由，使得入侵者

11、可以绕开网络的安全措施，选 择攻击目标。择攻击目标。 u重组重组IPIP分段包的威胁，网络存在不同的最大传输单元（分段包的威胁，网络存在不同的最大传输单元（MTUMTU）, , 为此，为此，IPIP提供了对数据包的分段和重组。重组过程是：标志域提供了对数据包的分段和重组。重组过程是：标志域 的的MFMF位为位为1 1的包合并，直到的包合并，直到MFMF为为0.0.组合的数据包数据长度为各个组合的数据包数据长度为各个 分段的和。分段的和。IPIP头中数据包长度域只有头中数据包长度域只有1616位，限制了位，限制了IPIP包的长度包的长度 最大为最大为65535.65535.黑客手工生成数据包，使

12、其组合后大于黑客手工生成数据包，使其组合后大于6553565535 CPIP协议族安全架构13 uICMPICMP协议的安全隐患：协议的安全隐患： uICMPICMP作用：差错控制、拥塞控制（没有用户数据）作用：差错控制、拥塞控制（没有用户数据） u原理：利用重定向报文破坏路由和利用不可达报文发原理：利用重定向报文破坏路由和利用不可达报文发 起拒绝服务攻击。起拒绝服务攻击。 u方法：方法：ICMPICMP包为包为64KB64KB，根据包标题头信息为有效载荷，根据包标题头信息为有效载荷 生成缓冲区，载荷大小超过上限，导致堆栈溢出，系生成缓冲区，载荷大小超过上限，导致堆栈溢出，系 统崩溃。局域网内

13、还可以伪造统崩溃。局域网内还可以伪造ICMPICMP重定向包，使其经重定向包，使其经 过自己主机，就会产生不可达。过自己主机，就会产生不可达。 总结：安全风险：传输风险（窃听、伪造、篡改）总结：安全风险：传输风险（窃听、伪造、篡改） 攻击风险（地址假冒、非法攻击风险（地址假冒、非法 访问）访问） CPIP协议族安全架构14 链路层协议的安全隐患链路层协议的安全隐患 uARP安全隐患：该协议使用了安全隐患：该协议使用了CACHE技术存放最近技术存放最近 的映射表，该映射表几分钟后就会过期，伪造的映射表，该映射表几分钟后就会过期，伪造IP地址地址 ，一旦数据过期，就可以假冒入侵被信任服务器。，一旦

14、数据过期，就可以假冒入侵被信任服务器。 uPPP安全隐患：分组点到点传输，没有完整性和机密安全隐患：分组点到点传输，没有完整性和机密 性保护。性保护。 uCSMA/CD安全隐患：该协议在以太网接口检测数据安全隐患：该协议在以太网接口检测数据 帧，不是自己就忽略，重新设置就可以全部接收。帧，不是自己就忽略，重新设置就可以全部接收。 CPIP协议族安全架构15 应用层协议安全隐患应用层协议安全隐患 u主要包括：超级管理员身份运行，一旦被黑，丢失系主要包括：超级管理员身份运行，一旦被黑，丢失系 统权限；多数协议身份认证简单，数据明文传输。统权限；多数协议身份认证简单，数据明文传输。 uTELNET:

15、TELNETTELNET:TELNET登录时会话中账号和口令明文传输，登录时会话中账号和口令明文传输， 通过会话劫持获得账号和密码。通过会话劫持获得账号和密码。 uFTPFTP：端口长期开放。：端口长期开放。1.1.敏感信息从公共信息剥离。敏感信息从公共信息剥离。 2.2.明文传输。明文传输。 uSMTPSMTP：拒绝服务：大量垃圾信息，比如邮箱炸弹。信：拒绝服务：大量垃圾信息，比如邮箱炸弹。信 息收集：息收集：vrfyvrfy命令把用户邮件别名转换为注册名。命令把用户邮件别名转换为注册名。 uDNSDNS：DNSDNS服务器返回的相应信息被网络主机信任。伪服务器返回的相应信息被网络主机信任。

16、伪 造造IPIP地址请求影响服务器映射表，控制服务器。地址请求影响服务器映射表，控制服务器。 uWWW:WWW:改变改变webweb站点数据，伪造服务器等站点数据，伪造服务器等 CPIP协议族安全架构16 2.2.2典型攻击典型攻击 uSYN floodSYN flood：用户发送：用户发送synsyn请求报文后死机或断开连接请求报文后死机或断开连接 ，服务器发出，服务器发出syn+ACKsyn+ACK报文，等待用户的报文，等待用户的ackack报文，一报文，一 般要等般要等3030秒到秒到2 2分钟，才丢弃。分钟，才丢弃。 uTCPTCP序列号猜测：序列号猜测：TCPTCP顺序递交协议。三次

17、握手时如果顺序递交协议。三次握手时如果 猜测到序列号，能够被主机信任。方法：猜测到序列号，能够被主机信任。方法：1.1.嗅探服务嗅探服务 器器IPIP。2.2.监听。本次监听。本次TCPTCP连接与下次连接之间序列号连接与下次连接之间序列号 存在一定的关系。存在一定的关系。 uIPIP地址欺骗：拒绝服务攻击导致双方主机瘫痪，伪造地址欺骗：拒绝服务攻击导致双方主机瘫痪，伪造 数据包，猜测序列号，得到主机信任。数据包，猜测序列号，得到主机信任。 u会话劫持：获得序列号后，在会话劫持：获得序列号后，在TCPTCP片断中插入自己的片断中插入自己的 命令，到服务器时装配成命令行，就像合法用户输入命令，到

18、服务器时装配成命令行，就像合法用户输入 命令一样。命令一样。 CPIP协议族安全架构17 u路由欺骗：路由欺骗： CPIP协议族安全架构 TCP/IPTCP/IP协议族安全性（协议族安全性（1 1） 传输层：TCP风险+UDP风险 TCP协议风险1：握手半连接连接上限拒绝服务 TCP协议风险2：初始序号号计算冒充控制攻击 UDP协议风险：截获+冒充+插入+篡改 网际层：IP风险+ICMP风险 IP协议风险1：地址欺骗合法用户穿透防火前 IP协议风险2：指定源路由绕开网络防御攻击 IP协议风险3：黑客发送分片包主机重组64KIP崩溃 CPIP协议族安全架构 TCP/IPTCP/IP协议族安全性（

19、协议族安全性（1 1） uICMPICMP协议风险协议风险1 1：黑客伪装：黑客伪装主动发送不可达包主动发送不可达包DoS DoS uICMPICMP协议风险协议风险2 2：黑客伪装：黑客伪装重定向重定向窃取数据窃取数据 u链路层链路层：ARPARP风险风险+PPP+PPP风险风险+ +CSMA/CD风险风险 uARPARP风险风险：CacheCache过期过期假冒回应假冒回应获得信任获得信任攻击攻击 uPPPPPP风险风险：点对点：点对点广播广播截获截获 uCSMA/CDCSMA/CD风险风险：混杂模式：混杂模式截获数据截获数据 u应用层应用层：TELNET+路由协议路由协议+NF FS+N

20、TP等风险等风险 CPIP协议族安全架构 TCP/IPTCP/IP协议族安全性（协议族安全性（2 2） uTELNETTELNET风险风险：远程登录：远程登录会话创建会话创建明文帐号口令明文帐号口令窃听窃听 uFTPFTP风险风险：被动工作模式：被动工作模式文件管理信息疏漏文件管理信息疏漏提升权限提升权限 uFTPFTP风险类型风险类型：串区访问：串区访问+ +明文口令帐号明文口令帐号+ +版权问题版权问题 uSMTPSMTP风险风险1 1：邮件大小限制：邮件大小限制发送超大邮件发送超大邮件收件端无法处理收件端无法处理半连接形成半连接形成 DoSDoS uSMTPSMTP风险风险2 2：邮箱空

21、间限制：邮箱空间限制垃圾塞满邮箱垃圾塞满邮箱邮箱崩溃邮箱崩溃 uSMTPSMTP风险风险3 3：发送危险邮件或附件：发送危险邮件或附件接收端中招接收端中招炸弹炸弹 uSMTPSMTP风险风险4 4：搜集新的邮件帐户：搜集新的邮件帐户 CPIP协议族安全架构 TCP/IPTCP/IP协议族安全性（协议族安全性（3 3） uSNMPSNMP风险风险1 1：默认共同体字符串：默认共同体字符串pbulic或或private uSNMPSNMP风险风险2 2：网管站访问被管设备：网管站访问被管设备UnixUnix的的rhostsrhosts超权操作超权操作 uSNMPSNMP风险风险3 3：群发：群发/ /超大超大GetGet请求请求半连接半连接服务器崩溃服务器崩溃 uDNSDNS风险风险：假：假IPIP欺骗请求欺骗请求更改