TCP安全问题浅析论文

1、TCP安全问题浅析论文 编号：_ xxxxx学院毕业论文（综述） 题 目： TCP安全问题浅析 系 别 计算机科学系 专 业 计算机应用 学生姓名 xxx 成 绩 指导教师 xxx 2013年4月摘 要本文主要讲述了TCP协议的来源、功能以及它连接的建立与终止的过程，和他本身安全问题上的缺陷和序列号攻击的防御措施。 关键词：TCP协议 网络安全 协议攻击目 录 第一章 TCP概述11.1 TCP的起源11.2 TCP所支持的服务类21.3 TCP与UDP区别41.4 TCP的三次握手（Three-Way Handshake）51.5 TCP的滑动窗口（Sliding Windows）7第二章

2、TCP连接的建立与终止92.1 TCP的作用92.2 TCP连接的建立102.3 TCP连接的终止102.4 TCP的服务流程112.5 TCP所提供服务的主要特点122.6 TCP的重传策略122.7 TCP的端口号132.8 如何重置TCP/IP协议132.9 什么是TCP半开连接14第三章 TCP的攻击以及解决153.1 SYN攻击153.2 TCP序列号预测攻击18结 束 语21参考文献22第一章 TCP概述1.1 TCP的起源早期的电脑o并非如我们日常生活中见到的个人 PC 那样细小r它们大都是以一个集中的中央运算系统o用一定的线路与终端系统 输入输出设备 连接起来。这样的一个连接系

3、统o就是网路的最初出现形式。各个网路都使用自己的一套规则协定o可以说是相互独立的。在 1969 年o为美苏冷战期间o美国政府机构试图发展出一套机制o用来连接各个离散的网路系统o以应付战争危机的需求。这个计划o就是由美国国防部委托 Advanced Research Project Agency 发展的 ARPANET 网路系统o研究当部份电脑网路遭到工具而瘫痪后o是否能够透过其他未瘫痪的线路来传送资料。ARPANET 的构想和原理o除了研发出一套可靠的资料通讯技术外o还同时要兼顾跨平台作业。后来oARPANET 的实验非常成功o从而奠定了今日的网际网路模式o它包括了一组电脑通讯细节的网路标准o

4、以及一组用来连接网路和选择网路交通路径的协定o就是大名鼎鼎的 TCP/IP 网际网路协定。 时至 1983 年o美国国防部下令用于连接长距离的网路的电话都必须适应 TCP/IPo同时 Defense Communication Agency DCA 将 ARPANET Advanced Research Projects Agency Net 分成两个独立的网路s一个用于研究用途o依然叫做 ARPANETr另一个用于军事通讯o则称为 MILNET Military Network 。ARPA 后来发展出一个便宜版本o以鼓励大学和研究人员来采用它的协定o其时正适逢大部份大学电脑学系的 UNIX

5、系统需要连接它们的区域网路。由于 UNIX 系统上面研究出来的许多抽象概念与 TCP/IP 的特性有非常高度的吻合o再加上设计上的公开性o而导致其它组织也纷纷使用 TCP/IP 协定。从 1985 年开始oTCP/IP 网路迅速扩展至美国p欧洲好几百个大学p政府机构p研究实验室。它的发展大大超过了人们的预期o而且每年以超过 15% 的速度成长o到了 1994 年o使用 TCP/IP 协定的电脑已经超过三百万台之多。及后数年o由于 Internet 的爆炸性成长oTCP/IP 协定已经成为无人不知p无人不用的电脑网路协定了。1.2 TCP所支持的服务类 不管怎样,TCP/IP是一个协议集。为应用

6、提供一些"低级"功能,这些包括IP、TCP、UDP。其它是执行特定任务的应用协议,如计算机间传送文件、发送电子邮件、或找出谁注册到另外一台计算机。因此, 最重要的"商业"TCP/IP服务有文件传送协议FTP File TransferProtocol 允许用户从一台计算机到另一台取得文件,或发送文件到另外一台计算机。从安全性方面考虑,需要用户指定一个使用其它计算机的用户名和口令。它不同于NFS Network File System 和Netbios协议。一旦你要访问另一台系统中的文件,任何时刻都要运行FTP。而且你只能拷贝文件到自己的机器中去来使用它。

7、RFC 959中有关于FTP的详尽说明。 1.2.2 RLogin 远程登录 Remote login 网络终端协议TELNET允许用户登录到网络上任一计算机上。你可启动一个远程进程连接到指定的计算机,直到进程结束,期间你所键入的内容被送到所指定的计算机。值得注意的是,这时你实际上是与你的计算机进行对话。TELENET程序使得你的计算机在整个过程中不见了,所敲的每一个字符直接送到所登录的计算机系统。一般的说,这种远程连接是通过类式拨号连接的,也就是,拨通后,远程系统提示你输入注册名和口令,退出远程系统,TELNET程序也就退出,你又与自己的计算机对话了。微电脑中的TELNET工具一般含有一个终

8、端仿真程序。 1.2.3 SMTP POP3 电子邮件 Mail 允许你发送消息给其它计算机的用户。通常,人们趋向于使用指定的一台或两台计算机。计算机邮件系统只需你简单地往另一用户的邮件文件中添加信息,但随之产生问题,使用的微电脑的环境不同,还有重要的是宏 MACRO 不适合于接受计算机邮件。为了发送电子邮件,邮件软件希望连接到目的计算机,如果是微电脑,也许它已关机,或者正在运行另一个应用程序呢?出于这种原因,通常由一个较大的系统来处理这些邮件,也就是一个一直运行着的邮件服务器。邮件软件成为用户从邮件服务器取回邮件的一个界面。 任何一个的TCP/IP工具提供上述这些服务。这些传统的应用功能在基

9、于TCP/IP的网络中一直扮演非常重要的角色。目前情况有点变化,这些功能使用也发生变化,如老系统的改造,计算机的发展等,出现了各种安装版本,如:微电脑、工作站、小型机、和巨型机等。这些计算机好像在一起完成指定的任务,尽管有时看来像是只用到某个指定的计算机,但它是通过网络得到其它计算机系统的服务。服务器Server是为网络上其它提供指定服务的系统,客户Client是得到这种服务的另外计算机系统。 值得注意的是,服务/客户机不一定是不同的计算机,有可能是同一计算机中的不同运行程序 。以下是几种目前计算机上典型的一些服务,这些服务可在TCP/IP网络上调用。 1.2.4 NFS 网络文件系统 Net

10、work File System 这种访问另一计算机的文件的方法非常接近于流行的FTP。网络文件系统提供磁盘或设备服务,而无需特定的网络实用程序来访问另一系统的文件。可以简单地认为它是一个外加的磁盘驱动器。这种额外"虚拟"磁盘驱动器就是其它计算机系统的磁盘。这非常有用。你只需加大几台计算机的磁盘容量,就可使网络上其他用户访问它,且不说所带来的经济效益,它还能够让几台工作的计算机共享相同的文件。它也使得系统维护和备份易如反掌,因为再不必为大量的不同机器上的文件的升级和备份而担心。 1.2.5 远程打印 Remote Printing 允许你使用其它计算机上的打印机,好像这些打

11、印机直接连到你的计算机上。 1.2.6 远程执行 Remote Execution 允许你请求运行在不同计算机上的特殊程序。当你在一个很小的计算机上运行一个需要大机系统资源的程序时,这时候远程执行非常有用。 1.2.7 名字服务器 Name Servers 在一个大的系统安装过程中,需要用到大量的各种名字,包括用户名、口令,姓名、网络地址、帐号等,管理这些是非常令人乏味的。因此将这些数据形成数据库,放到一个小系统中去,其它系统通过网络来访问这些数据。 1.2.8 终端服务器 Terminal Servers 很多的终端连接安装不再直接将终端连到计算机,取而代之的是,将他们连接到终端服务器上。终

12、端服务器是一个小的计算机,它只需知道怎样运行TELNET 或其它一些完成远程登录的协议 。如果你的终端想连上去,只用键入要连的计算机名就可。通常有可能同时有几个这种连接,这时终端服务器采用快速开关技术来切换。 第二章 TCP连接的建立与终止2.1 TCP的作用? TCP建立连接时的三次握手在因特网协议簇（Internet protocol suite）中，TCP层是位于IP层之上，应用层之下的运输层。不同主机的应用层之间经常需要可靠的、像管道一样的连接，但是IP层不提供这样的流机制，而是提供不可靠的包交换。 应用层向TCP层发送用于网间传输的、用8位字节表示的数据流，然后TCP把数据流分割成适

13、当长度的报文段（通常受该计算机连接的网络的数据链路层的最大传送单元 MTU 的限制）。之后TCP把结果包传给IP层，由它来通过网络将包传送给接收端实体的TCP层。TCP为了保证不发生丢包，就给每个字节一个序号，同时序号也保证了传送到接收端实体的包的按序接收。然后接收端实体对已成功收到的字节发回一个相应的确认 ACK ；如果发送端实体在合理的往返时延 RTT 内未收到确认，那么对应的数据（假设丢失了）将会被重传。TCP用一个校验和函数来检验数据是否有错误；在发送和接收时都要计算校验和。 首先，TCP建立连接之后，通信双方都同时可以进行数据的传输，其次，他是全双工的；在保证可靠性上，采用超时重传和

14、捎带确认机制。 在流量控制上，采用滑动窗口协议，协议中规定，对于窗口内未经确认的分组需要重传。 在拥塞控制上，采用慢启动算法。 2.2 TCP连接的建TCP协议通过三个报文段完成连接的建立，这个过程称为三次握手 three-way handshake ，过程如下图所示。 TCP的三次握手2.3 TCP连接的终止TCP连接的终止2.4 TCP的服务流程TCP协议提供的是可靠的、面向连接的传输控制协议，即在传输数据前要先建立逻辑连接，然后再传输数据，最后释放连接3个过程。TCP提供端到端、全双工通信；采用字节流方式，如果字节流太长，将其分段；提供紧急数据传送功能。 尽管TCP和UDP都使用相同的网

15、络层（IP），TCP却向应用层提供与UDP完全不同的服务。 TCP提供一种面向连接的、可靠的字节流服务。 面向连接意味着两个使用TCP的应用（通常是一个客户和一个服务器）在彼此交换数据之前必须先建立一个TCP连接。这一过程与打电话很相似，先拨号振铃，等待对方摘机说“喂”，然后才说明是谁。 在一个TCP连接中，仅有两方进行彼此通信。广播和多播不能用于TCP。 TCP通过下列方式来提供可靠性： 应用数据被分割成TCP认为最适合发送的数据块。这和UDP完全不同，应用程序产生的数据报长度将保持不变。由TCP传递给IP的信息单位称为报文段或段（segment）TCP如何确定报文段的长度。 当TCP发出一

16、个段后，它启动一个定时器，等待目的端确认收到这个报文段。如果不能及时收到一个确认，将重发这个报文段。o当TCP收到发自TCP连接另一端的数据，它将发送一个确认。这个确认不是立即发送，通常将推迟几分之一秒 TCP将保持它首部和数据的检验和。这是一个端到端的检验和，目的是检测数据在传输过程中的任何变化。如果收到段的检验和有差错，TCP将丢弃这个报文段和不确认收到此报文段（希望发端超时并重发）。 既然TCP报文段作为IP数据报来传输，而IP数据报的到达可能会失序，因此TCP报文段的到达也可能会失序。如果必要，TCP将对收到的数据进行重新排序，将收到的数据以正确的顺序交给应用层。 既然IP数据报会发生

17、重复，TCP的接收端必须丢弃重复的数据。 TCP还能提供流量控制。TCP连接的每一方都有固定大小的缓冲空间。TCP的接收端只允许另一端发送接收端缓冲区所能接纳的数据。这将防止较快主机致使较慢主机的缓冲区溢出。 两个应用程序通过TCP连接交换8bit字节构成的字节流。TCP不在字节流中插入记录标识符。我们将这称为字节流服务（bytestreamservice）。如果一方的应用程序先传10字节，又传20字节，再传50字节，连接的另一方将无法了解发方每次发送了多少字节。收方可以分4次接收这80个字节，每次接收20字节。一端将字节流放到TCP连接上，同样的字节流将出现在TCP连接的另一端。 另外，TC

18、P对字节流的内容不作任何解释。TCP不知道传输的数据字节流是二进制数据，还是ASCII字符、EBCDIC字符或者其他类型数据。对字节流的解释由TCP连接双方的应用层解释。 这种对字节流的处理方式与Unix操作系统对文件的处理方式很相似。Unix的内核对一个应用读或写的内容不作任何解释，而是交给应用程序处理。对Unix的内核来说，它无法区分一个二进制文件与一个文本文件。 2.5 TCP所提供服务的主要特点（1）面向连接的传输； （2）端到端的通信； （3）高可靠性，确保传输数据的正确性，不出现丢失或乱序； （4）全双工方式传输； 5）采用字节流方式，即以字节为单位传输字节序列； （6）紧急数据传送功能。 2.6 TCP的重传策略TCP协议用于控制数据段是否需要重传的依据是设立重发定时器。在发送一个数据段的同时启动一个重发定时器，如果在定时器超时前收到确认就关闭该定时器，如果定时器超时前没有收到确认，则重传该数据段。 这种重传策略的关键是对定时器初值的设定。目前采用较多的算法是Jacobson于1988年提出的一种不断调整超时时间间隔的动态算法。其工作原理是：对每条连接TCP都保持一个变量RTT，用于存放当前到目的端往返所需要时间最接近的估计值。当发送一个数据段时，同时启动连接的定时器，如果在定时器超时前确认到达，则记录所需要的时间（M），并修