面向21世纪网络技术实用教程系列 网络安全技术款程 赵小林主编彭祖林王亚彬编著
前言 以 Internet为代表的全球性信息化浪潮日益高涨,信息网络技术的应用止∏益普及 和广泛,应用层次正在深人,应用领域从传统的、小型业务系统逐渐向大型、关键业务系统 扩展,典型的如党政部门信息系统、金融业务系统、企业商务系统等。伴随网络的普及,安 全日益成为影响网络效能的重要问题,而 Internet所具有的开放性、国际性和自由性在增 加应用自由度的同时,对安全提出了更高的要求,这主要表现在: 1.开放性的网络,导致网络的技术是全开放的,任何个人、·个闭体都可能获得 因而网络所面临的破坏和攻击可能是多方面的,可以对物理传输线路的攻击,也可以对网 络通信协议和实现实施攻击;可以对软件实施攻击,也可以对硬件实施攻击。比如:通过 在网络上监听获取网上用户的账号和密码,监听密钥分配过程,攻击密钥分配服务器;利 用UNIX操作系统提供的 Daemon,利用FTP采用匿名用户访问进行攻击,等等 2.国际性的网络意味着网络受到攻击不仅仅来自本地网络的用户,它可以来自In ternet上的任何台机器,也就是说,网络安全所面临的是一个国际化的挑战。 3.自出意味着网络最初对用户的使用并没有提供任何的技术约束,用户可以自由地 访问网络,自由地使川和发布各种类型的信息。用户只对自已的行为负责,而没有任何的 法律限制。 4.尽管开放的、自由的、国际化的 Internet的发展给政府机构、企事业单位带来了革 命性的改革和开放,使得他们能够利用 Internet提高办事效率和市场反应能力,以便史具 竞争力。通过 Internet,他们可以从异地取回重要数据,同时又要面对 Internet开放带来 的数据安全的新挑战和新危险。如何保护企业的机密信息不受黑客和工业间谍的入侵 已成为政府机构、企事业单位信息化健康发展所要考虑的重要事情之一。 在我国,对网络安全的研究起步晚,网络安全技术还有待整体地提高和发展。面对日 益严重的安全问题,我们应该如何去认识、去分析去防范,是我们当前每一个投身于In ernet的人所面临的一个迫切的问题,本书即是从这个目的出发,希望通过对安全问题的 些探讨,和对网络入侵(黑客)技术的分析,来提高广大读者朋友在网络及整个系统安全 方面的意识 由于网络安全技术和其屮所涉及的黑客技术都要涉及很多很深的领域,加上作者水 平有限,不当之处在所难免,敬请各位读者不吝指正。望集众人之才思,筑起中国坚强的 防火长城
目录 第1章网络安全概论 1.1网络安全的概念 1.1.1网络安全威胁 1.1.2网络安全策略 2 1.1.3网络安全的五要素 3 1.1.4络安全服务、机制与技术 3 1.1.5网络安全工作目的 1.2网络安全体系结构 1.2.1物理安全 4 1.2.2网络安全 4 1.2.3信息安全 7 1.2.4网安全管理 9 第2章TCP/IP协议基础 12 $2.1TCP/IP协议的历史 12 2.2TCP/P协议基本念 13 2.2.1OSI层次模型和TCP/IP协议层次模型 13 2.2.2际协议(IP) 15 2.2.3传输控制议(TCP) 19 2.2.4路由协议… 27 §2.3域名系统… 36 2.4基于TCP/IP协议的主要服务和众所周知的端口 39 §2.5探索应用TCP/IP协议的程序 44 2.5.1 Telnet 44 2.5.2文件输协议(FTP) 46 第3章网络入侵初步分析 52 3.1网络人侵者 52 3.1.1网络入者（黑客）的范围 52 3.1.2黑客简史…… 52 3.2网络人侵的基本原理… 55 3.2.1网络入的典型特征 56 3.2.2桌面操作系统平台入侵 58 3.2.3口令认证入 59
3.3网络人侵的基本防范 61 3.3.1桌面操作系统台的安全性 62 3.3.2防火墙 66 3.3.3口令攻击防御 67 3.3.4E-mail的入防 67 3.3.5先进的认证技术 70 3.3.6拒绝服务防范 70 3.3.7虚拟专用网络(VPN) 72 3.3.8其它网络入方式及其基本防御方法 76 第4章网络人侵（黑客）工具分类 80 4.1远程人侵的一般过程 80 4.2扫描工具（扫描器） 81 4.2.1概述… 81 4.2.2端口扫描 82 4.3审计及检测工具 101 4.3.1网络监听工具（探器） 101 4.3.2审计与日志工具 115 4.4口令破解工具…· 121 4.4.1常用口令破解工具 122 4.4.2字典 136 §4.5IP欺骗 140 §4.6网络攻击工具 147 4.6.1拒绝服务攻击(DoS) 147 4.6.2后门攻击 159 4.6.3基于应用层协议的攻击 171 第5章网络安全策略 178 §5.1网络安全策略概述 178 5.1.1网络安全现状简介 178 5.1.2网络安全策略分类 181 §5.2网络安全策略实施 185 5.2.1网络安全分析 185 5.2.2网络安全策略设计 187 5.2.3网络安全监测 195 §5.3系统平台安全策略 199 5.3.1Windows VT统安 199 5.3.2Linux系统网络安策 204 §5.4网站安全策略… 208 5.4.1Web服务器安全问题 208 5.4.2CCI安全问题 210 V
5.5电子商务安全策略 223 第6章网络安全专题 227 §6.1防火墙技术 227 6.1.1防火墙基础知识 227 6.1.2防火墙技术及发展 232 6.1.3防火墙的设计与实现 237 6.1.4防火墙的选购、安装与维护 242 6.1.5防火墙的产品介绍 243 §6.2人侵检测技术(IDS) 245 6.2.1入侵检测的概念 245 6.2.2入侵检测的分类 246 6.2.3入检测的步骤 248 6.2.4典型的入侵检测系统 250 6.2.5入侵检测系统的选择及实例 252 6.2.6入侵检测原理的发展现状 253 6.2.7Linux系统中检测(LIDS) 258 6.2.8常明入侵检测方法 266 §6.3数据加密技术…… 267 6.3.1数据加密概述 267 6.3.2数据加密的几种算法 268 6.3.3数据加密标准(DES) 273 6.3.4公钥密码体制简介 274 6.3.5数据加密的应用 277 6.3.6完全保密(PGP) 278 §6.4次性口令身份认证技术 291 6.4.1概述………… 291 6.4.2一次性口令技术原理 293 附录A安全术语 295 附录B一些著名安全站点的地址 299 VI
第1章网络安全概论 §1.1网络安全的概念 随着 Internet的发展,网络安全越来越成为一个敏感的话題。网绎安全有很多基本 的概念,我们先来简单地介绍…下 1.1.1网络安全威胁 爿前,计算机互联网络面临的安全性威胁主要有以下几个方面: 1.非授权访问和破坏(“黑客”攻击 非授权访问:没冇预先经过同意,就使用网络或计算机资源被看作非授权访问,如有 意避开系统访问挖制机制,对闷络设备及资源进行非常使用,或擅自扩大杈限,越权访 问信息。它主要有以下几种形式:假冒、身份攻击、非法用户进入网络系统进行违法操作 合法用户以未授权方式进行操作等。操作系统总不免存在这样那样的漏洞,一些人就利 用系统的漏洞,进行阚络攻击,其主要目标就是对系统数据的非法访问和破坏:“黑客”攻 击已有上几年的历史,黑客活动儿乎覆盖了所有的操作系统,包括UNIX、 Windows nt、 ⅤM、VMS以及MVS。 我们后面会对这一节的内容进行详细讨论。 2.拒绝服务攻击{ Denial of Service Attack 种破坏性攻击,最早的拒绝服务攻击是“电子邮件炸弹”,它能使用户在很短的时间 内收到人量电子郎件,使用户系统不能处理正常业务,严重时会使系统崩溃、网络瘫痪。 它不断对网络服务系统进行干扰,改变其正常的作业流程,执行无关程序使系统响应减慢 甚至瘫痪,影响正常用户的使用,甚至使合法用户被排斥而不能进入计算机网络系统或不 能得到相应的服务。 3.计算机病毒 计算机病毒程序很容易做出,有着巨大的破坏性,其危害已被入们所认识。单机病毒 就已经让人们“谈毒色变”了,而通过网络传播的病毒,无论是在传播速度破坏性,还是在 传播范围等方面都是单机病毒不能比拟的。 4.特洛伊木马( Trojan Horse 特洛伊木马的名称来源于古希腊的历史故事。特洛伊木马程序一般是由编程人员编 制,它提供了用户所不希望的功能,这些额外的功能往往是有害的。把预谋的有害的功能 隐藏在公开的功能中,以掩盖其真实企图。 5.破坏数据完整性 指以非法手段窃得对数据的使用权,删除、修改、插入或重发某些重要信息,可以修改
讽络安全技术教程 网络上传输的数据,以及销毁网络上传输的数据,替代网络上传输的数据,重复播放某个 分组序列,改变网络上传输的数据包的先后次序,使攻击者获益,以扰用户的正常使 6,蠕虫(Wors 蠕虫是个或-组程序,它可以从一台机器向另·台机器传播,它同病毒不样,它 不需要修改宿主程序就能仁播 7.活板门( Trap doors) 为攻击者提世“后门”的·段非法的操作系统程序,这般是指-此内部程序人员为 了特殊的目的,在所编制的程序屮潜伏代码或保留漏洞 8.隐蔽通道 是种允许违背合法的安全策略的力式进行操作系统进程间通信(PC)的通道,它 分为隐蔽存储通道和隐蔽时间通道、隐蔽通道的重要参数是带宽。 9.信息泄漏或丢失 指敏感数据在有意或无意中被泄漏出去或丢失,它通常包括:息在传输中丢失或泄 漏(如“黑客”们利用电磁泄漏或搭线窃听等方式截获机密信息,或通过对信息流向、流量 通信频度和长度等参数的分析,推出有用信息,如用户口令、账号等),信息在存储介质中 丢失或泄漏,通过建立隐敵隧道等窃取敏感信息等 在所有的操作系统中,由N系统的核心代码是公片的,这使其成为最易受攻 的目标:攻击者可能先设法嶝驮到ˉ台UNI丶的主机上,通过操作系统的漏涧来取得 特权,然后再以此为据点访问其余主机,这被称为“跳跃”( I stand-hopping)攻市者在到 达目的主机之前往往会先经过几次这种跳妖这样,即使被攻击网络发现了攻击者从何 处发起攻击,管埋人员也很难颇次找到他们的最初据点,而且他们在窃取某台主机的系统 特权后,退出时删抻系统日志.用户只要能登录到UNX系统,就能相对容易地成为 超级用户,所以,如何检测系统自身的漏洞,保障网络的安个.已成为个日益紧迫的问 1.1.2网络安全策略 在网络安全中,加强网络的安全管呷,制定有关规章制庋,对于确保焖络的安全、可靠 地运行,将起到「分有效的作用 安仝策略是指仼一个特定的环境怛为提供一定级别的安个保护所必须遵守的规则 该娑全箦略模型包括了建立安仝环境的一个重要组成部分,即: 戚严的法律:安全的基石是社会法律、法规与千段,这是建京一套安全管理的标准和 方法。即通过立与信息安全相关的汯律、法规,使非法分子慑于法律,不敢轻葶妄动ε 先进的技术:先进的安个技术是信息安全的根本保障,用户对自身面临的威胁进行风 险评估,根据安全服务的种类,选择相应的安全机制,然后集成先进的安全技术 严格的管理:网络的安全管理策略包括有确定安全管理等级和安全管理范围;制定有 关网络操作使用规程和人员出人机管理制度;制定网络系统的维护制度和应急措施等 各网络使用机构、个业和单位应建立枓宜的信息安全管理办法,加强内部管理,建立审计 和跟踪体系,提高幣体信息安全意识
第1章网络安全概论 1.1.3网络安仝的五要素 安全包括五个基本要素:机密性、完整性、可用性、可控性与可审杏性。 机密性:确保信息不景簖绐未授权的实体或进程 完整性:只有得到允许的人才能修改数据,并且能够判别出数据是合己被算改 叮用性:得到授杈的实体在耑要时可访问数据,即攻击者不能占用所有的资源而阻碍 授杖者的1作。 可控性:可以控制授杈范围内的信息流向及行为方式。 可审耷性:对出现的网络安令问题提供调查的依据和手段 1.1.4网络安全服务、机制与技术 安仝服务:包括控制服务、数据机密性服务、数据完整性服务、对象认证服务、防抵 服务。 安全机制:包括访问控制机制、加密机制、认证交换机制、数了签名机制、防业务流分 析机制、路由控制机制 安全技术:包括防火墙技术、加密技术、鉴别技术、数字签名技术、审计监控技术、病毒 防治技术 在安全的开放环境中,用广可以使用各种安全应用。安全应用由一些安全服务来实 现;而安全服务又足由各种安全机制或安全技术来实现的、应当指出,同·安全机制有时 也可以用于实现不同的安全服务 11.5网络安全工作目的 安全作的日的就是为了在安全法律、法规、政策的支持与指导下,通过采用合适的 安全技术与安全聳理揹施,宄成以下任务: (1)使用访问控制机制,阻止非授权用户进入网络,即“进不来”,从而保证网络系统 的可用性 (2)使用授机制,实现对用户的权限控制,即不该拿走的“拿不走”,同时结台内容 市计机制,实现对网络资源及信息的可控性。 (3)使用加密机制,确保信息不暴露给末授权的实体或进程,即“看不懂”,从而实现 信息的保密性 (4)使用数据完整性鉴別机制,保证只有得到允许的入才能修改数据,而其他人“改 不了”,从而确保信息的完整性。 (5)使用寊计、監控、防抵赖等安全机制,使得攻占者、破坏者、抵赖者“走不脱",并进 步对网络岀现的安全冋題提供调依据和手段,实现信息安全的可审卉性 §1.2网络安全体系结构 关于网络安全的体系结构的划分有很多种。我们下面介绍一种比较有代表性的体系 结构划分
网络安全技术教程 1.2.1物理安全 物理安全是指用一些装置和应用程序来保护计算机硬件和存储介质的安全比如在 计算杋下安装将计算杋固定在桌子上的安全托盘、硬盘震动保护器等下面详细地谈 一下物理安全 物理安全搾常重要,它负责保护计算杋网络设备、设施以及其他媒体免遭地震、水灾 火灾等环境事故,以及人为操作失误、错误和各种计算机犯罪行为导致的破坏过程:它上 要包括二个方面 (1)环境安全:对系统所在环境的安全保护,如区域保护和灾难保护。参见国家标准 B50173-93《电f计算机机房设计规范》、国标CB2887-89《计算站场地技术条件 GB9361-88《计算站场地安全要求》 (2)设备安仝:主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗 电磁干扰及电源保护等 (3)媒体安伞;包括媒体数据的安全及媒休本身的安全。 屁然,为保证信息网络系统的物理安全,除在网络规划和场地、环境等要求之外,还要 防止系統信息在空间的扩散。计算机系统通过电磁辐射使信息被截获而失密的案例已经 很多,在理论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米的复原 显示,给计算机系统信息的保密「作带来了极大的危害。为了防止系统中的信息在空间 上的扩散,通常在物理上釆取·定的防护措施,来减少或于扰扩散出去的空间信号。这是 重要的政策、军队、金融机构在兴建信息巾心时的首要设置条件 正常的防范描施上要在二个方面 (1)对主机房及重要信息存储、收发部门进行屏蔽处理,即建设个具有高效屏蔽效 能的屏蔽室,它来安装运行的主要设备以防止磁鼓磁带与高辐射设备等的信号外泄 为提高屏蔽室的效能,在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设 计,如信号线、电话线、空调、消防控制线,以及通风管道、门的开关等 (2)对本地网、局域网传输线路传导辐射的抑制。由于电缆传输辐射信息的不可避 免性,现均采用了光缆传输的方式,大多数均在 Modem出来的设备用光电转换接口,用光 缆接出屏蔽室外进行传输 (3)对终端设备辐射的措施。终端机,尤其是CRT显示器,由于上万伏高压电子流 的作用,辐射有极强的信号外泄但又因终端分散使用不宜集中采用屏蔽室的办法来防 止,故现在的要求除在订购设备上尽量选取低辐射产品外,目前主要采取主动式的于扰设 备如干扰机来破坏对应信息的窃取,个别重要的首脑或集中的终端也可考虑采用有窗子 的装饰性屏蔽室,这样虽降低了部分屏蔽效能,但可大大改善工作环境,使人感到在普通 机房内一样工作。 122冈络安全 网络安全主要包括系统(主机、服务器)安全、网络运行安全、局域网和子网安全 1.内外网隔离及访问控制系统 在内部网与外部网之间,设置防火墙(包括分组过滤与应用代理)实现内外网的隔离
苇1章网络安全概论 与访间控制是保护内部网安全的坡上要最有效、最经济的措施之一,防火墙技术可根据 防范的方式和侧重点的不同分为很多种类型,但总体来讲有两大类较为常用:分组过滤 应用代理 (1)分组过滤( Packet Filtering):作用在网络层和传输层,它根据分组包的源地址、目 的地址和端口号、协议类型等标志确定是否允许数据包通过:只有满足过滤逻辑的数据 包才被转发到相应的目的地出口端,其余数据包则被从数据流中丢弃 (2)应用代理( Application Proxy):也叫痘用网关( Application Gateway),它作用在应 用层,其特点是完全“阻隔”了网络通信流,通过对每种应用服务编制专门的代理程序,实 现监视和搾制应用层通信流的作川。实际中的应用网关通常由专用工作站实现。 无论何种类型防火墙,从总体上看,都应具有以下五大基本功能: ①过滤进、出网络的数据; ②管理进、出网终的访问行为 ③封堵某些禁的业务; ④记录通过防火墙的信息内谷和活动; ⑤对网络攻击的检测和告警 应该强调的是,防火墙是整体安伞防护体系的个重要组成部分,而不是全部。因此 必须将防火墙的安全保护融合到系统的整体安全策略中,才能实现真正的安全。 2.内部网不同网络安全域的隔离及访问控制 在这里,防火墙被用来隔离内部网络的一个网段与另个网段。这样,就能防止影响 因一个网段的问题而穿过整个网络传播。针对某些网络,在某些情况下,它的一些局域网 的某个网段比另一个网段更受信,或者某个网段比另个更敏感。而在它们之间设置 防火墙就可以限制局部网络安全问题对全局网络造成的影响 3.网络安全检测 网络系统的安全性是网络系统屮最薄弱的环节。如何及时发现网络系统中最薄弱的 环节,如何最大限度地保讦络系统的安全,最有效的方法是定期对网络系统进行安全性 分析,及时发现并修正存在的弱点和漏洞 网络安仝检测「具通常是一个网络安全性评估分析软件,其功能是用实践性的方法 扫描分析网络系统,检査报告系统存在的弱点和漏泂建议补救措施和安全策略,达到增 强网络安全性的H的 4.审计与监控 审计是记录用户使用计算机网络系统进行所有活动的过程,它是提高安全性的重要 L具。它不仪能够识别谁访问了系统,还能指出系统正被怎样地使用。对于确定是否有 网络攻击的情况,审计信总对于确定冋题和攻击源很重要。同时,系统事件的记录能够更 迅速和系统地识别问题,并且它是后面阶段事故处理的重要依据。另外,通过对安全事件 的不断收集与积累,并且加以分析,有选择性地对其中的某些站点或用户进行审计跟踪 以便对发现或可能产生的破坏性行为提供有力的证据。因此,除使用-般的网管软件和 系统监控管理系统外,还应使用目前较为成熟的网络监控设备或实时人侵检測设备,以便 对进出各级局域网的常見操作进行实吋检查、监控、报警和阻断,从而防止针对网络的攻 卡与犯罪行为