网络安全协议基础

第二章

网络安全协议基础内容提要本章介绍OSI七层网络模型TCP/IP协议簇。重点介绍IP协议、TCP协议、UDP协议和ICMP协议。介绍常用的网络服务：文件传输服务、Telnet服务、电子邮件服务和、Web服务介绍常用的网络服务端口和常用的网络命令的使用。ISO-OSI模型PDU:ProtocolDataUnit

协议数据单元帧分组物理层：缆线，信号的编码，网络接插件的电、机械接口数据链路层：成帧，差错控制、流量控制，物理寻址，媒体访问控制网络层：路由、转发，拥塞控制传输层：为会话层提供与下面网络无关的可靠消息传送机制会话层：负责建立（或清除）在两个通信的表示层之间的通信通道，包括交互管理、同步，异常报告。表示层：在两个应用层之间的传输过程中负责数据的表示语法应用层：处理应用进程之间所发送和接收的数据中包含的信息内容。数据的封装OSImnemonicsAllPeopleSeemToNeedDataProcessingPleaseDoNotThrowSausagePizzaAway应用层表示层会话层传输层网络层数据链路层物理层TCP/IP模型OSI与TCP/IP模型的比较相同点：1.都是基于独立的协议栈概念。2.两者都有功能相似的应用层、传输层、网络层。不同点：1.在OSI模型中，严格地定义了服务、接口、协议；在TCP/IP模型中，并没有严格区分服务、接口与协议。2.OSI模型支持非连接和面向连接的网络层通信，但在传输层只支持面向连接的通信；TCP/IP模型只支持非连接的网络层通信，但在传输层有支持非连接和面向连接的两种协议可供用户选择。3.TCP/IP模型中不区分、甚至不提起物理层和数据链路层。安全体系结构——安全攻击主动攻击:更改数据流，或伪造假的数据流。伪装（masquerade)重放(replay)篡改(modification)拒绝服务(denialofservice)被动攻击:对传输进行偷听与监视，获得传输信息。报文分析流量分析即冒名顶替。一般而言，伪装攻击的同时往往还伴随着其他形式的主动攻击先被动地窃取通信数据，然后再有目的地重新发送

即修改报文的内容。或者对截获的报文延迟、重新排序阻止或占据对通信设施的正常使用或管理。针对特定目标或是某个网络窃听和分析所传输的报文内容

分析通信主机的位置、通信的频繁程度、报文长度等信息

安全体系结构——安全机制加密：用加密算法对信息加密。保护信息的机密性数字签名：用签名算法对信息进行计算，计算结果附加于信息单元。用于身份认证、数据完整性和非否认服务访问控制：用于实施资源访问权限的机制数据完整性：用于确保信息的完整性身份认证：确保信息交换的实体是所声称的实体流量填充：填充信息，防止流量分析路由控制：能够为特定数据选择特定路由公证：采用可信任的第三方以确保一些信息交换的性质安全体系结构——安全服务认证（Authentication）:提供某个实体的身份保证对等实体认证数据源认证访问控制（Accesscontrol）:保护资源，防止对它的非法使用和操纵数据机密性（Dataencryption）:保护信息不被泄露数据完整性（Integrity）:保护信息以防止非法篡改不可否认性（No-repudiation）:防止参与通信的一方事后否认可用性（Availability

）：确保系统的可用网络亮安全变模型算法机制协议身份迎认证信息恼的机之密性佣、完它整性记、不嘱可否蚀认性SecurityProtocols(Services)Standards-basedSecurityProtocolsProprietarySecurityProtocolsSSLIPSecPrivateWireBigBrotherMechanismsEncryptionSignatureHashingKeyExchangeAlgorithmsSymmetricAsymmetricAsymmetricSymmetricMD-5SHA-1Diffie-HellmanDESAESRSAECCDSARSADESMACSe显rv撑ic华es绒,崖Me献ch辅an禽is射ms脸,泼Al根go胜ri穷th炎ms网络棕访问串安全尿模型Fi革re洞wa信ll哗s回an趴d叹Se导cu娱ri侄ty旬G及at您ew浅ay很sID择SVP球N保证订网络部的可用场性、摧可控恼性网络和各层飘的相发关安狮全协逢议链路层：链路隧参道协蚁议、追加密撇技术网络室层：弄包过馒滤、IP挺SE迅C协议渴、VP且N传输摊层/会话涛层：SS佳L/帮TL察S协议应用见层：SH鸦TT问P、PG波P、S/粪MI虽ME等解剖际TC掌P/陶IP票模型TC泼P/全IP组的更四层梳、OS杆I参考野模型符和常喜用协孔议的赌对应工关系险如图2-什3所示紧。抓取昂Pi企ng李指令吓发送嗓的数辉据包按照匀第一胖章Sn宗if狗fe御r的设如置抓甚取Pi鸟ng指令童发送叔的数真据包喉，命疲令执雕行如右图2-蚊4所示邻。抓取陵Pi魄ng坊指令质发送秘的数度据包抓取句Pi袜ng患指令域发送炭的数倡据包其实IP报头冲的所之有属棒性都耻在报皂头中狮显示梅出来厌，可煎以看驻出实快际抓订取的梁数据爹报和孔理论巩上的诞数据伟报一闲致，哗分析寇如图2-须6所示陵。IP产v4宰的I间P地灾址分腔类IP魔v4地址舒在19鞠81年9月实摇现标烂准化酬的。层基本崭的IP地址括是8位一俭个单忌元的32位二郊进制字数。稻为了共方便背人们洗的使顺用，绑对机添器友蹲好的仰二进吓制地设址转接变为帮人们芹更熟而悉的护十进渣制地橡址。IP地址象中的带每一勿个8位组略用0～25请5之间申的一铸个十系进制拾数表巨示。债这些怎数之设间用炸点“.”隔开童，因嗓此，缩慧最小洞的IP男v4地址飞值为糖，最刑大的锅地址笼值为程，然来而这壮两个猜值是蛛保留亩的，横没有毛分配领给任岭何系烦统。IP地址苍分成台五类键：A类地伴址、B类地抖址、C类地巧址、D类地暂址和E类地喇址。每一远个IP地址计包括授两部恭分：茫网络寇地址辽和主悟机地按址，皱上面话五类巩地址篮对所杏支持纤的网沈络数淡和主市机数糊有不动同的家组合铺。传输多控制撇协议牛协议驱TC路PTC欺P是匹传输牺层协洋议，泉提供坐可靠桌的应削用数垃据传聋输。TC挠P在旺两个野或多志个主补机之腊间建惭立面耗向连的接的洋通信化。TC艰P支册持多绣数据键流操转作，爪提供江错误泉控制拍，甚木至完掉成对忌乱序炮到达底的报奔文进棵行重猜新排鸽序。一次姨完整判的F流TP痕会话首先唇开启桐目标谋主机妄的FT蔽P服务波，如驴图2-离7所示首。一次销完整讨的F糟TP案会话启动Sn鱼if肿fe失r，然沟后在坊主机忠的DO汽S命令然行下鼻利用FT掌P指令尤连接洞目标箱主机框上的FT姥P服务挨器，英连接堤过程竞如图2-孝8所示哄。一次以完整推的F优TP富会话一次干完整棍的F燥TP已会话登录FT柄P的过逃程是差一次惨典型南的TC商P连接抬，因锋为FT确P服务台使用馆的是TC卧P协议每。分悼析TC预P报头灶的结促构如枕图2-牌10所示娘。传输娃控制纪协议恭（T欠CP歪）的湿特点传输速控制制协议接（TC抚P）的农特点浩是：练提供盒可靠怜的、波面向禽连接盯的数柳据报纠传递币服务影。传输甜控制投协议朝可以狼做到楚如下樱的六冻点：1、确妻保IP数据债报的武成功扣传递来。2、对牺程序妈发送功的大挂块数察据进松行分智段和辆重组先。3、确为保正辆确排常序以酷及按旬顺序厕传递违分段生的数萝据。4、通圣过计集算校遮验和双，进炭行传志输数映据的浅完整董性检坏查。5、根眯据数凝据是治否接疾收成恼功发们送消赤息。汇通过猜有选准择的完确认们，也普对没叨有收勺到的胳数据血发送判确认孔。6、为国必须裙使用歇可靠浇的基条于会表话的前数据铺传输姻的程饭序提妄供支题持，抄如数期据库午服务胃和电站子邮咐件服鹅务。TC插P协番议的指工作镇原理TC塘P提供猎两个燃网络鸡主机舅之间死的点虏对点块通讯美。TC矿P从程咳序中求接收艘数据竹并将耀数据挪处理苏成字灯节流廊。首先胁将字阅节分栽成段泛，然柱后对府段进挖行编币号和哄排序小以便舰传输驼。在弊两个TC含P主机穴之间堵交换坦数据设之前饰，必正须先岭相互泽建立辅会话滥。TC泊P会话朴通过屠三次院握手赠的完师成初诊始化四。TC辅P在建使立连樱接的嚼时候个需要宵三次渗确认碰，俗秀称“万三次牲握手腊”，庆在断驾开连米接的欠时候难需要唐四次历确认絮，俗浙称“拍四次悲挥手岭”。TC恭P协配议的木三次凉“握锯手”TC文P协恰议的昼三次皆“握感手”这个世过程括在FT懒P的会吸话过车程中巩也明伐显的伸显示尤出来齐，如傅图2-逢12所示迅。第一片次“役握手款”首先斯分析将建立筛“握赌手”难第一漂个过欠程包薯的结徒构，贿如图福2-谜13舅所示吹。S跌YN甚=1当,A烦CK妨=0第二缎次“脸握手您”SY豪N为1，开装始建发立请佳求连斜接，担需要镰对方慎计算煌机确携认，戏对方赖计算害机确就认返散回的猪数据世包。AC睡K=笋1,缺SY谊N=引1第三腹次“粪握手绪”AC施K=淹1,疑SY站N=约0这个傲时候度需要奴源计巩算机兔的确晶认就菌可以扯建立串连接令了。TC倚P协蓝议的咏四次悼“挥眠手”需要肾断开摆连接疫的时泄候，TC注P也需师要互炮相确递认才纹可以神断开相连接煤，四蓝次交直互过望程如秩图2-宁16所示衣。第一纹次“骗挥手票”第一好次交晴互过薄程的努数据融报结洁构第二垒次“途挥手眯”第一说次交讽互中去，首未先发赶送一自个FI早N=里1的请赚求，词要求饱断开舰，目窑标主驰机在溉得到锡请求迁后发控送AC翻K=吗1进行来确认第三评次“棵挥手充”在确丑认信兵息发蜻出后睬，就鸡发送丽了一FI苦N=校1的包新，与泽源主咸机断秧开。第四寻次“脑挥手留”随后霉源主矮机返事回一县条AC勇K=型1的信驶息，测这样晶一次壮完整辨的TC盲P会话砌就结者束了输。用户薯数据杏报协眨议U熄DPUD截P为序应用可程序贵提供附发送粱和接哗收数败据报良的功文能。某些狭程序姜（比久如腾虏讯的醒OI谜CQ名）使竟用的潮是U祥DP取协议臂，U哲DP挨协议贡在T圈CP且/I城P主近机之鄙间建架立快桨速、旗轻便盈、不武可靠俩的数泥据传夜输通陪道。UD屯P和掌TC探P传物递数午据的乒差异UD冷P和TC萝P传递炼数据违的差躁异类报似于今电话骂和明俗信片盲之间蒸的差订异。TC具P就像闲电话掀，必酱须先治验证须目标注是否隙可以退访问舌后才竹开始铲通讯源。UD路P就像烛明信刺片，像信息搞量很嘴小而摔且每中次传队递成永功的食可能温性很衬高，核但是铃不能捧完全择保证是传递洲成功渔。UD丸P通常励由每纵次传讨输少在量数丙据或逗有实饿时需处要的解程序功使用芒。在这刊些情歪况下皇，UD惯P的低便开销置比TC瘦P更适末合。UD就P与TC当P提供阳的服蠢务和凤功能肆直接宿对比UD鄙P和维TC膊P传县递数司据的淋比较UDP协议TCP协议无连接的服务；在主机之间不建立会话。面向连接的服务；在主机之间建立会话。UDP不能确保或承认数据传递或序列化数据。TCP通过确认和按顺序传递数据来确保数据的传递。使用

UDP的程序负责提供传输数据所需的可靠性。使用

TCP的程序能确保可靠的数据传输。UDP快速，具有低开销要求，并支持点对点和一点对多点的通讯。TCP比较慢，有更高的开销要求，而且只支持点对点通讯。UDP和

TCP都使用端口标识每个

TCP/IP程序的通讯。UD承P数尤据报权分析常用希的网敢络服赛务中记，DN冈S使用UD夫P协议使。DN胖S是域掏名系穿统(D耐om尾ai臂n购Na摸me胆S卫ys钓te秆m)的缩由写当用滚户在条应用谣程序比中输夜入DN悠S名称亦时，DN末S服务英可以锣将此域名称悦解析锻为与史此名傅称相省关的IP地址气。用域鱼名访迅问用IP地址年访问设置闪DN筑S解盼析需要缎在主增机上贿设置DN驴S解析此的主甘机，穴将主损机的DN黄S的解血析指甘向虚得拟机析，如引图2-秘22所示祥。自动液获取众地址布中的垄D堤NS设置瓜DN另S解馅析虽然片虚拟惰机并轿没有肝设置DN键S解析区，但己是只伯要访屑问DN挪S都可挽以抓植到UD垒P数据莫报。裳设置物完毕净后，从在主荣机的DO外S界面击中输遇入命盐令ns胜lo暗ok勺up，如物图2-葛23所示锣。UD志P报样头查看逢Sn庸if俱fe料r抓万取的宪数据偷报，塑可以通看到近UD时P报还头，献如图敬2-吹24谨所示榆。UD抵P报互头的海分析对U隐DP赌报头漠的分淘析如丙图2白-2某5所斥示。互联真网控雪制消独息协社议I姜CM饿P通过IC询MP协议枪，主拜机和鱼路由歉器可喷以报躲告错熟误并蚁交换怎相关氏的状之态信故息。漫在下巩列情徐况中蝇，通舰常自归动发攀送IC巾MP消息裂：IP数据楚报无泥法访韵问目逆标。IP路由爆器（烘网关达）无院法按白当前男的传侍输速裳率转劈燕发数绣据报既。IP路由饰器将妨发送虑主机探重定岛向为斜使用胆更好遭的到颠达目液标的开路。IC鸡MP协议称的结先构如屋图2-朱26所示观。IC哄MP库协议沟的结铃构IC挂MP注数据聋报分优析使用Pi模ng命令仿发送IC尸MP回应述请求刃消息环，使勾用Pi秒ng命令喷，可密以检改测网劳络或纯主机侧通讯县故障蹄并解著决常班见的TC浇P/慢IP连接艘问题档。分符析Pi拿ng指令绿的数古据报猴，如龙图2-波27所示产。FT鸡P服极务FT租P的逐缺省耻端口阻是2款0（撇用于联数据暮传输剪）和秩21菊（用薯于命宋令传剖输）包。在T矛CP击/I弄P中泰FT倘P是厕非常浴独特浮的，网因为辉命令臭和数弓据能凶够同投时传机输，乐而数痛据传调输是瞎实时疯的，缎其他加协议轰不具厕有这逆个特厌性。FT敢P客稿户端号可以北是命哨令界致面的窜也可核以是鸭图形抄界面氧的。凯命令预界面昏的如栗图2耐-2距8所备示。命令非行等屿录F这TP度服务恨器图形孙界面始登录神FT作P服子务器也可仪以在遗浏览误器中是输入艺“f父tp捕:/剃/主税机I种P地蜜址”隐，利骗用图荒形界架面连丛接F悬TP幅服务像器，佛如图芦2-剖29楼所示组。更改母登录咬用户取信息登录闲FT陪P可筝以更临改登怠录用批户信范息，太选择甚菜单朗“文屿件”认下的灭菜单给项“观登录会”，鹅出现诞用户计名输洞入对星话框寻，如耐图2且-3匆0所港示。Te答ln荐et催服务Te玩ln征et搬是T钩EL流ec户om夸mu咐ni掉ca跪ti器on标s砍NE哈Tw迎or消k的狱缩写杀，其另名字懂具有千双重覆含义鸦，既绒指应遭用也窗是指炼协议朗自身拾。Te进ln眼et赴给用博户提航供了冬一种鬼通过沉网络模登录惠远程船服务雹器的授方式劈燕。Te尚ln殖et皂通过混端口看23甩工作派。开启寒Te挣ln旧et断服务Te裳ln痕et要求祝有一巨个Te改ln怕et服务中器，拿此服药务器谱驻留能在主与机上锐，等拨待着椒远端区机器跳的授限权登韵录。对要使仰用Te震ln街et服务啊首先耀需要法在虚灵拟机许上开问启Te久ln舰et服务投，选可择进较入Te兴ln缺et服务机管理胸器，告如图2-越31所示克。开启民Te深ln哭et巾服务在T帅el途ne垒t服园务管忌理器计中选移择4政，启明动T稿el务ne皇t服每务器忙，如贱图2促-3而2所圈示。连接拢Te搅ln霉et枪服务枪器虚拟留机上扯的Te逝ln靠et服务右器就王启动辅了，约然后胖在主鸡机的DO库S窗口抖中连喉接虚或拟机随的Te参ln睁et服务穷器，金如图2-挖33所示穿。Em渣ai仔l服集务目前勾Em雁ai艰l服孟务用挣的两霸个主俱要的毕协议窄是：误简单洁邮件拿传输耐协议脸SM见TP词（S冠im助pl切e愤Ma煤il嫂T咽ra窝ns疗fe汪r那Pr凡ot慌oc遮ol冒）和图邮局宾协议假PO饶P3怒（P穗os铁t租Of都fi贡ce樱P休ro建to佛co油l）两。SM挺TP垮默认臣占用越25麦端口钳，用牲来发勉送邮吹件，川PO饭P3出占用剂11闻0端坛口，勤用来耀接收耍邮件活。在W只in挡do赶ws些平台恋下，嫁主要午利用扇Mi戒cr浇os流of辱t亮Ex栗ch孙an呀ge洲S首er谢ve姥r作怒为电跪子邮柔件服动务器据。We朗b服如务We捧b服势务是少目前所最常挎用的型服务少，使潜用H鞭TT映P协未议，袄默认葬We兼b服谱务占氏用8泉0端猪口在W习in论do佳ws妹平台野下一副般使嗽用I侦IS纯（I冒nt修er干ne签t塔In慰fo林rm拢at丈io扯n遥Se销rv恰er选）作歪为W颗eb良服务击器。常用哪的网背络服霞务端炊口常用孟服务店端口合列表端口协议服务21TCPFTP服务25TCPSMTP服务53TCP/UDPDNS服务80TCPWeb服务135TCPRPC服务137UDPNetBIOS域名服务138UDPNetBIOS数据报服务139TCPNetBIOS会话服务443TCP基于SSL的HTTP服务445TCP/UDPMicrosoftSMB服务3389TCPWindows终端服务常用盛的网止络命折令常用离的网元络命邪令有晕：判断煌主机堆是否洁连通遥的pi委ng指令查看IP地址萝配置节情况拔的ip熟co桐nf柔ig指令查看失网络书连接树状态概的ne信ts匠ta携t指令进行迈网络饱操作塞的ne善t指令进行鹊定时毙器操辨作的at指令乞。进行此路由极跟踪谜的tr胸ac喷er揪t指令软。pi惯ngpi失ng选指令坊通过巴发送排IC食MP岭包来波验证幼与另匪一台搞TC秃P/锯IP权计算绢机的蔽IP漠级连确接。应答绒消息灵的接把收情拍况将附和往树返过塔程的罢次数换一起警显示展出来罢。pi帆ng育指令携用于扫检测猾网络软的连由接性大和可袄到达嫂性，始如果雾不带柱参数她，p拉in倍g将繁显示狮帮助烂，如税图2所-3守9所象示。pi稻ngpi却ng可以深利用pi诱ng指令涉验证眉和对免方计猴算机府的连榴通性聋，使昼用的题语法适是“pi岔ng对方讨计算烈机名识或者IP地址僻”。坚如果更连通恰的话奥，返有回的必信息驶如图2-问40所示质。ip餐co骨nf楼ig怜指令ip柔co炮nf顽ig指令孤显示羡所有TC趋P/浊IP网络佣配置睁信息恩、刷厚新动肌态主楼机配生置协控议（DH嫩CP必,摘Dy味na弓mi厅c巷Ho狐st字C药on摩fi房诚gu茶ra堡ti示on盈P箱ro家to晌co浅l）和享域名记系统乱（DN尝S）设欲置。使用越不带面参数商的ip陈co拨nf诵ig可以挖显示疯所有煤适配粘器的IP地址眯、子呢网掩景码和狗默认享网关最。在DO坟S命令困行下忆输入ip鸡co瓶nf截ig指令翼。ne采ts障ta聋t指虫令ne用ts症ta喊t指令寄显示段活动权的连约接、跪计算处机监佛听的上端口嘉、以璃太网棍统计未信息挪、IP路由愁表、IP文v4统计任信息宏（IP、IC早MP、TC妇P和UD规P协议江）。使用肥“ne毁ts削ta属t异-a尖n”命令蚀可以械查看牵目前岔活动的的连彻接和乳开放朵的端庄口，软是网奔络管渣理员源查看方网络抛是否妥被入地侵的辱最简香单方途法。午使用县的方燥法如而图2-工43所示婚。ne秀t指盼令ne幕t指令帐的功佳能非刘常的辽强大刚，ne牲t指令火在网厘络安里全领权域通妙常用隔来查斜看计拥算机稀上的润用户寺列表捎、添驻加和愁删除补用户狱、和薪对方搜计算乘机建虏立连剑接、寨启动柔或者品停止轻某网嘉络服胖务等慨。利用瞧“ne加t保us灿er籍”查看涝计算从机上辆的用骑户列麦表，鹅如图2-慈44所示重。ne察t踪蝶指令ne脏t梁us移e列出垄本机奸网络粱连接ne性t侍us天e感\\脾IP花\i倘pc绕$捏“密码”宅/u资se亦r:帐号；建虎立与饮指定IP的IP仆C$励(空连际接)ne薯t沃us闭e蜓z:含\单\I罩P\筋c$煮“密码”竹/u栏se吊r:姓“帐号”；将间对方凤的c盘映均射为蔽自己族的z盘ne快t闯us候e窗\\级IP友\i建pc味$想/d注el删除漫与指者定IP的IP店C$连接ne距t去us狂e湿z:央/招de浪l删除县本机孙映射燃的z盘ne趴t渴us办e界*龟/d缘瑞el删除送本机护所有皮映射着和IP孤C$连接ne奶t珠sh搏ar耍e查看土本地午主机院共享差资源ne柳t堡ti君me阿\伍\I吧P查看勤远程境主机愤的当蛾前时连间ne狱t戏st谣ar棕t显示屯本地洪主机销当前典服务ne坦t指污令利用暂“n余et贿u川se疗r宾用户街名督密码肉”给蛙某用容户修磁改密捏码，樱比如迁把管评理员舅的密储码修塌改成禽“1跪23骡45已6”征，如才图2房诚-4稿5所敞示。案例2-泡2建立胶用户希并添哈加到侦管理奇员组案例极名称引：添妄加用咽户到纯管理娘员组文件呀名称五：2-检01遍.b贴atne虹t泰us螺er止j浊ac神k盗12浩34吴56换/娱ad是d添加饭用户ne诊t挪lo边ca伟lg肠ro泡up奸a肢dm疮in坑is惹tr刺at床or银s锻ja诉ck识/蛾ad巩d将用左户添绵加到臭管理骡员组ne纳t互us闯er查看肆用户和对晒方计殃算机骨建立肃信任析连接只要待拥有套某主瞎机的戒用户鸟名和筝密码玻，就患可以迈用“IP叫C$（In凯te竞rn但et服P唉ro满to惠co纸l口Co惩nt歉ro吐l）”双建立砌