常见网络攻击手段原理分析

常见网络攻击手段原理分析

常见网络攻击手段原理分析
[ 2006-06-18 23:47:16 | 作者: neeao ] 收藏到[365Key] [del.icio.us]
字体大小: 大 | 中 | 小

1.1 TCP SYN拒绝服务攻击

　　一般情况下，一个TCP连接的建立需要经过三次握手的过程，即：

　　1、 建立发起者向目标计算机发送一个TCP SYN报文；

　　2、 目标计算机收到这个SYN报文后，在内存中创建TCP连接控制块（TCB），然后向发起者回送一个TCP ACK报文，等待发起者的回应；

　　3、 发起者收到TCP ACK报文后，再回应一个ACK报文，这样TCP连接就建立起来了。
　　利用这个过程，一些恶意的攻击者可以进行所谓的TCP SYN拒绝服务攻击：

　　1、 攻击者向目标计算机发送一个TCP SYN报文；

　　2、 目标计算机收到这个报文后，建立TCP连接控制结构（TCB），并回应一个ACK，等待发起者的回应；

　　3、 而发起者则不向目标计算机回应ACK报文，这样导致目标计算机一致处于等待状态。
　　可以看出，目标计算机如果接收到大量的TCP SYN报文，而没有收到发起者的第三次ACK回应，会一直等待，处于这样尴尬状态的半连接如果很多，则会把目标计算机的资源（TCB控制结构，TCB，一般情况下是有限的）耗尽，而不能响应正常的TCP连接请求。

　　1.2 ICMP洪水

　　正常情况下，为了对网络进行诊断，一些诊断程序，比如PING等，会发出ICMP响应请求报文（ICMP ECHO），接收计算机接收到ICMP ECHO后，会回应一个ICMP ECHO Reply报文。而这个过程是需要CPU处理的，有的情况下还可能消耗掉大量的资源，比如处理分片的时候。这样如果攻击者向目标计算机发送大量的ICMP ECHO报文（产生ICMP洪水），则目标计算机会忙于处理这些ECHO报文，而无法继续处理其它的网络数据报文，这也是一种拒绝服务攻击（DOS）。

　　1.3 UDP洪水

　　原理与ICMP洪水类似，攻击者通过发送大量的UDP报文给目标计算机，导致目标计算机忙于处理这些UDP报文而无法继续处理正常的报文。

1.4 端口扫描

　　根据TCP协议规范，当一台计算机收到一个TCP连接建立请求报文（TCP SYN）的时候，做这样的处理：

　　1、 如果请求的TCP端口是开放的，则回应一个TCP ACK报文，并建立TCP连接控制结构（TCB）；
　　2、 如果请求的TCP端口没有开放，则回应一个TCP RST（TCP头部中的RST标志设为1）报文，告诉发起计算机，该端口没有开放。

　　相应地，如果IP协议栈收到一个UDP报文，做如下处理：

　　1、 如果该报文的目标端口开放，则把该UDP报文送上层协议（UDP）处理，不回应任何报文（上层协议根据处理结果而回应的报文例外）；
　　2、 如果该报文的目标端口没有开放