通讯协议攻击软件_通讯拦截软件

导航：

• 1、网络攻击者常用的攻击工具有哪些
• 2、求最实用的防止ARP攻击软件
• 3、寻找ARP攻击软件
• 4、【10分】 求防ARP攻击和IP冲突攻击的软件，承诺好用追加20分！！！
• 5、Denial of Service (DoS)的攻击方式
• 6、属于网络协议的攻击有哪几种

网络攻击者常用的攻击工具有哪些

1、人性式攻击，比如钓鱼式攻击、社会工程学攻击，这些攻击方式，技术含量往往很低，针对就是人性。有点骗子攻击的味道。著名黑客菲特尼客，以这种攻击为特长。

2、中间人攻击，各式各样的网络攻击，合拢而来几乎都是中间人攻击，原因很简单，任何两方面的通讯，必然受到第三方攻击的威胁。比如sniffer嗅探攻击，这种攻击可以说是网络攻击中最常用的，以此衍生出来的，ARP欺骗、DNS欺骗，小到木马以DLL劫持等技术进行传播，几乎都在使用中间人攻击。

3、缺陷式攻击，世界上没有一件完美的东西，网络也是如此，譬如DDOS攻击，这本质上不是漏洞，而只是一个小小的缺陷，因为TCP协议必须经历三次握手。

4、漏洞式攻击，就是所谓的0day

Hacker攻击，这种攻击是最致命的，但凡黑客手中，必定有一些未公布的0day漏洞利用软件，可以瞬间完成攻击。

求最实用的防止ARP攻击软件

朋友，如果你的电脑受到了ARP攻击，那就试试360的吧，360安全卫士的ARP防火墙对ARP攻击还是很管用的，安装后ARP防火墙默认是关闭的，你自行开启一下，这样就能很好的帮你阻止ARP攻击了，去360官网下载最新的360安全卫士就行，木马防火墙在360安全卫士里，这个还是不错的，你可以放心试试. 希望我的回答对你有帮助，谢谢！

寻找ARP攻击软件

、打开本地连接的TCP/IP属性---添加协议——从磁盘——浏览找到刚刚保存的nettcpip.inf(%winroot%\inf\nettcpip.inf)文件，然后选择“TCP/IP协议”（不要选择那个TCP/IP 版本6）。

经过这一步之后，又返回网络连接的窗口，但这个时候，那个“卸载”按钮已经是可用的了。点这个“卸载”按钮来把TCP/IP协议删除，然后重启一次机器。

4、重启后再照着第3步，重新安装一次TCP/IP协议便可。

5、再重启一次，这时应该可以了，可以根据需要，设置一下IP地址

部分简要介绍一下TCP/IP的内部结构，为讨论与互联网有关的安全问题打下基础。TCP/IP协议组之所以流行，部分原因是因为它可以用在各种各样的信道和底层协议（例如T1和X.25、以太网以及RS-232串行接口）之上。确切地说，TCP/IP协议是一组包括TCP协议和IP协议，UDP（User Datagram Protocol）协议、ICMP（Internet Control Message Protocol）协议和其他一些协议的协议组。

TCP/IP整体构架概述

TCP/IP协议并不完全符合OSI的七层参考模型。传统的开放式系统互连参考模型，是一种通信协议的7层抽象的参考模型,其中每一层执行某一特定任务。该模型的目的是使各种硬件在相同的层次上相互通信。这7层是:物理层、数据链路层、网路层、传输层、话路层、表示层和应用层。而TCP/IP通讯协议采用了4层的层级结构，每一层都呼叫它的下一层所提供的网络来完成自己的需求。这4层分别为：

应用层：应用程序间沟通的层，如简单电子邮件传输（SMTP）、文件传输协议（FTP）、网络远程访问协议（Telnet）等。

传输层：在此层中，它提供了节点间的数据传送服务，如传输控制协议（TCP）、用户数据报协议（UDP）等，TCP和UDP给数据包加入传输数据并把它传输到下一层中，这一层负责传送数据，并且确定数据已被送达并接收。

互连网络层：负责提供基本的数据封包传送功能，让每一块数据包都能够到达目的主机（但不检查是否被正确接收），如网际协议（IP）。

网络接口层：对实际的网络媒体的管理，定义如何使用实际网络（如Ethernet、Serial Line等）来传送数据。

TCP/IP中的协议

以下简单介绍TCP/IP中的协议都具备什么样的功能，都是如何工作的：

1． IP

网际协议IP是TCP/IP的心脏，也是网络层中最重要的协议。

IP层接收由更低层（网络接口层例如以太网设备驱动程序）发来的数据包，并把该数据包发送到更高层---TCP或UDP层；相反，IP层也把从TCP或UDP层接收来的数据包传送到更低层。IP数据包是不可靠的，因为IP并没有做任何事情来确认数据包是按顺序发送的或者没有被破坏。IP数据包中含有发送它的主机的地址（源地址）和接收它的主机的地址（目的地址）。

高层的TCP和UDP服务在接收数据包时，通常假设包中的源地址是有效的。也可以这样说，IP地址形成了许多服务的认证基础，这些服务相信数据包是从一个有效的主机发送来的。IP确认包含一个选项，叫作IP source routing，可以用来指定一条源地址和目的地址之间的直接路径。对于一些TCP和UDP的服务来说，使用了该选项的IP包好象是从路径上的最后一个系统传递过来的，而不是来自于它的真实地点。这个选项是为了测试而存在的，说明了它可以被用来欺骗系统来进行平常是被禁止的连接。那么，许多依靠IP源地址做确认的服务将产生问题并且会被非法入侵。

2. TCP

如果IP数据包中有已经封好的TCP数据包，那么IP将把它们向‘上’传送到TCP层。TCP将包排序并进行错误检查，同时实现虚电路间的连接。TCP数据包中包括序号和确认，所以未按照顺序收到的包可以被排序，而损坏的包可以被重传。

TCP将它的信息送到更高层的应用程序，例如Telnet的服务程序和客户程序。应用程序轮流将信息送回TCP层，TCP层便将它们向下传送到IP层，设备驱动程序和物理介质，最后到接收方。

面向连接的服务（例如Telnet、FTP、rlogin、X Windows和SMTP）需要高度的可靠性，所以它们使用了TCP。DNS在某些情况下使用TCP（发送和接收域名数据库），但使用UDP传送有关单个主机的信息。

3.UDP

UDP与TCP位于同一层，但对于数据包的顺序错误或重发。因此，UDP不被应用于那些使用虚电路的面向连接的服务，UDP主要用于那些面向查询---应答的服务，例如NFS。相对于FTP或Telnet，这些服务需要交换的信息量较小。使用UDP的服务包括NTP（网落时间协议）和DNS（DNS也使用TCP）。

欺骗UDP包比欺骗TCP包更容易，因为UDP没有建立初始化连接（也可以称为握手）（因为在两个系统间没有虚电路），也就是说，与UDP相关的服务面临着更大的危险。

4.ICMP

ICMP与IP位于同一层，它被用来传送IP的的控制信息。它主要是用来提供有关通向目的地址的路径信息。ICMP的‘Redirect’信息通知主机通向其他系统的更准确的路径，而‘Unreachable’信息则指出路径有问题。另外，如果路径不可用了，ICMP可以使TCP连接‘体面地’终止。PING是最常用的基于ICMP的服务。

5. TCP和UDP的端口结构

TCP和UDP服务通常有一个客户/服务器的关系，例如，一个Telnet服务进程开始在系统上处于空闲状态，等待着连接。用户使用Telnet客户程序与服务进程建立一个连接。客户程序向服务进程写入信息，服务进程读出信息并发出响应，客户程序读出响应并向用户报告。因而，这个连接是双工的，可以用来进行读写。

两个系统间的多重Telnet连接是如何相互确认并协调一致呢？TCP或UDP连接唯一地使用每个信息中的如下四项进行确认：

源IP地址 发送包的IP地址。

目的IP地址 接收包的IP地址。

源端口 源系统上的连接的端口。

目的端口 目的系统上的连接的端口。

端口是一个软件结构，被客户程序或服务进程用来发送和接收信息。一个端口对应一个16比特的数。服务进程通常使用一个固定的端口，例如，SMTP使用25、Xwindows使用6000。这些端口号是‘广为人知’的，因为在建立与特定的主机或服务的连接时，需要这些地址和目的地址进行通讯

【10分】 求防ARP攻击和IP冲突攻击的软件，承诺好用追加20分！！！

最新ARP防火墙 V4.3.1下载地址

彻底摆脱ARP困扰的终极设备解决方案(参考资料里面带图的)

一、 ARP来了！

ARP病毒导致的频繁掉线，业已成为网吧业主最头疼的问题，ARP也一跃成为网络圈里最耳熟能详的名词之一。一时间各网络厂商针对ARP病毒的解决方案纷纷出炉，民间高手也各显其能。

硬件路由厂商最先出招，提供的解决方案大致分为三类，一类是“ARP免疫型”，从NAT底层协议出发，使用特定的NAT转发机制，仅PC机端需要对路由器或软路由的LAN口MAC进行MAC-IP绑定，对付ARP病毒的方法简单说来就是“你说的我听不懂”。另一类是“双向绑定型”，路由器、PC机端，都需要把对方的MAC-IP进行双向绑定，简单说来就是“你说的我不听”。还有一类是“内网广播型”，在内网中发送比ARP攻击频率更高的正确ARP信息，简单说来就是“我声大所以听我的”。

软件厂商也不甘落后，相继推出了ARP保护神，ARP卫士，ARP嗅探器，ARP防火墙，彩影网盾等等纯软件的解决方案。

但是在网吧实际使用环境中，使用效果并不尽如人意。第二代ARP病毒可以随心所欲的更改PC机的ARP缓存，绑定也无效，现有解决方案的弊端不断暴露出来。硬件产品无法解决PC端的ARP病毒攻击问题，既无法阻止ARP发作，也无法定位攻击源。而软件产品由于缺乏对网络硬件以及网络底层协议的了解，完全是瞎猫在找死耗子。

难道对ARP病毒真的就束手无策了吗？不。巡路“免疫墙”是彻底摆脱ARP困扰的终极解决方案。

二、巡路的解决之道

首先澄清一点，ARP不是病毒，而是一种“协议性攻击行为”，只所以称之为病毒，是因为目前ARP攻击工具的传播方式与发作现象已经愈来愈接近病毒。ARP（地址解释协议）是网络通信协议中的不可缺少的关键协议，它是负责将IP地址转换为对应MAC地址的协议。ARP的存在给了好事者可趁之机，但如果缺少了ARP协议，网络设备之间将无法进行通讯，这是为什么对ARP投鼠忌器的主要原因。

ARP病毒可分为两种，一种是ARP欺骗，一种是ARP攻击。ARP欺骗最先是黑客们偷盗网络账号使用的，后来被广泛用于类似网路岗、网络执法官之类的网络管理工具，被骗主机会将数据发送给伪装的主机，从而达到截获数据的目的。而ARP攻击纯粹是以破坏网络通讯为主要目的，发送虚假的ARP请求包或应答包，使得网络内所有主机都失去了有序的组织和联系，所以ARP攻击成为网吧经营活动中相互打击一种重要方式。

ARP病毒的传播，必须有“肉鸡”，就是容易被感染的宿主机，通过得到宿主机的控制权来发送ARP欺骗、虚假的ARP请求包和应答包。由于没有明显的特征字以及ARP在网络通讯中的重要地位，防毒墙和防火墙应对ARP病毒也束手无策。所以从源头上堵住问题数据的流出，同时放行合法的ARP数据包，才是彻底摆脱ARP困扰的终极解决方案。

巡路“免疫墙”应运而生，安装在PC机上的免疫墙终端能够完成对MAC-IP的看守式绑定，彻底根除ARP病毒影响，即使本机中毒（删除本机的静态绑定列表），也不能对自身和网络造成影响。安装在服务器上的巡路监控端提供了网络“可视化”的操作平台，不仅可以做到“攻击定位”，更可以将ARP病毒限制在单机范围内，完全避免其对网络的伤害。此外，网络管理员可以制定策略，对攻击行为进行定义和制定“反击”措施，以示惩戒。同时配合具备“ARP先天免疫”功能的欣向路由器，应对内外网的ARP病毒攻击，形成一个三位一体的完整解决方案。

三、巡路免疫墙

巡路免疫墙由免疫墙终端和监控端两部分组成，免疫墙终端安装在内网主机上，监控端安装在服务器上。

免疫墙工作在网卡之上，终端开机后自动运行，没有操作界面，完全服从于“监控端”控制，负责和监控端通信，如接收控制指令。监控端作为整个网络的视窗，可以监测网络中的每个客户端的某些网络行为，如连接速率，建立的连接数目，ARP欺骗，IP欺骗，分片攻击等等。（如图）

巡路免疫墙“授权版”监控端运行界面

巡路免疫墙具备的功能包括：

1．恶意攻击识别：对数据进行精确分析，将“网络攻击”进行拦截，并举报其违规行为，目前支持IP地址欺骗和所有的ARP欺骗，以及洪水包攻击。

2．ARP看守式绑定：彻底根除ARP病毒影响，即使本机中毒（删除本机的静态绑定列表），也不能对自身和网络造成影响——ARP问题终极解决方案。

3．超大流量发现：根据定义，当某台主机流量过大时，系统将进行报警（并反制）。

4．蠕虫病毒发现：当某台主机发起过多连接时，系统将进行报警（并反制）

5．内外网分开统计：针对内网外网数据进行分开统计，避免内网传输被误认为是大流量攻击。

6．流量控制：可以分开控制内网主机的上下传流量。

7．分组权限管理：针对不同的分组可以对内网主机进行分开管理，包括权限和报警条件。

8．采用私有通讯协议加密传输，安全性极高。

9．在保证即时性的同时，对危险行为进行现场保护，日志记录，保证有据可查。

10．客户端及监控端自动升级：最新软件可以迅速布置到所有主机。

四、巡路的扩展

巡路的功能不仅仅局限于ARP问题的解决，针对其他引发网吧断线的“协议性攻击行为”，如UDP攻击，IP分片攻击，SYN攻击、假冒IP欺骗，假冒MAC欺骗，洪水包攻击等等，巡路也提供的很好的解决方案。

所以说，“毒墙、火墙、免疫墙，一个也不能少”。

Denial of Service (DoS)的攻击方式

DDoS攻击可以具体分成两种形式：带宽消耗型以及资源消耗型。它们都是透过大量合法或伪造的请求占用大量网络以及器材资源，以达到瘫痪网络以及系统的目的。 协议分析攻击（SYN flood，SYN洪水） 传送控制协议 (TCP) 同步 (SYN) 攻击。TCP 进程通常包括发送者和接受者之间在数据包发送之前创建的完全信号交换。启动系统发送一个 SYN 请求，接收系统返回一个带有自己 SYN 请求的 ACK （ 确认 ）作为交换。发送系统接着传回自己的 ACK 来授权两个系统间的通讯。若接收系统发送了 SYN 数据包，但没接收到 ACK，接受者经过一段时间后会再次发送新的 SYN 数据包。接受系统中的处理器和内存资源将存储该 TCP SYN 的请求直至超时。DDoS TCP SYN 攻击也被称为“资源耗尽攻击” ,它利用 TCP 功能将僵尸程序伪装的 TCP SYN 请求发送给受害服务器，从而饱和服务处理器资源并阻止其有效地处理合法请求。它专门利用发送系统和接收系统间的三向信号交换来发送大量欺骗性的原 IP 地址 TCP SYN 数据包给受害系统。最终，大量 TCP SYN 攻击请求反复发送，导致受害系统内存和处理器资源耗尽，致使其无法处理任何合法用户的请求。 LAND attack 这种攻击方式与SYN floods类似，不过在LAND attack攻击包中的原地址和目标地址都是攻击对象的IP。这种攻击会导致被攻击的机器死循环，最终耗尽资源而死机。 CC 攻击 CC 攻击是 DDoS 攻击的一种类型，使用代理服务器向受害服务器发送大量貌似合法的请求 （通常使用 HTTP GET)。CC (攻击黑洞)根据其工具命名，攻击者创造性地使用代理机制，利用众多广泛可用的免费代理服务器发动 DDoS 攻击。许多免费代理服务器支持匿名模式，这使追踪变得非常困难。 僵尸网络攻击 僵尸网络是指大量被命令控制型 (CC) 服务器所控制的互联网主机群。攻击者传播恶意软件并组成自己的僵尸网络。僵尸网络难于检测的原因是，僵尸主机只有在执行特定指令时才会与服务器进行通讯，使得它们隐蔽且不易察觉。僵尸网络根据网络通讯协议的不同分为IRC、HTTP或P2P类等。 Application level floods（应用程序级洪水攻击） 与前面叙说的攻击方式不同，Application level floods主要是针对应用软件层的，也就是高于OSI的。它同样是以大量消耗系统资源为目的，通过向IIS这样的网络服务程序提出无节制的资源申请来迫害正常的网络服务。

属于网络协议的攻击有哪几种

1. TCP/IP 协议的脆弱性

1.1 不能提供可靠的身份验证

TCP/IP 协议以 32 bit 的 IP 地址来作为网络节点的唯一标识，而 IP 地址只是用户软件设置中的一个参数，因而是可以随意修改的。

对 UDP 来说，是根据这个 IP 地址来唯一标识通信对方。 TCP 则通过三次握手，使情况稍有改善。 TCP 中的每个报文都含有一个标识本报文在整个通信流中位置的 32 bit 序列号，通信双方通过序列号来确认数据的有效性。

由于 TCP 设计三次握手过程本身并不是为了身份验证，只是提供同步确认和可靠通信，虽然这也能够提供一定的身份验证的支持，但这种支持很薄弱。

由于 TCP/IP 不能对节点上的用户进行有效的身份认证，服务器无法鉴别登录用户的身份有效性，攻击者可以冒充某个可信节点的 IP 地址，进行 IP 欺骗攻击.

其次，由于某些系统的 TCP 序列号是可以预测的，攻击者可以构造一个TCP'数据包，对网络中的某个可信节点进行攻击。

1.2 不能有效防止信息泄漏

IPv4 中没有考虑防止信息泄漏，在 IP 、 TCP 、 UDP 中都没有对数据进行加密。 IP 协议是无连接的协议，一个 IP 包在传输过程中很可能会经过很多路由器和网段，在其中的任何一个环节都很容易进行窃昕 。攻击者只需简单地安装一个网络嗅探器，就可以看到通过本节点的所有网络数据包。

1.3 没有提供可靠的信息完整性验证手段

在 IP 协议中，仅对 IP 头实现校验和保护

在UDP 协议中，对整个报文的校验和检查是一个可选项，并且对 UDP 报文的丢失不做检查。

在 TCP 协议中，虽然每个报文都经过校验和检查，并且通过连续的序列号来对包的顺序和完整进行检查，保证数据的可靠传输。但是，校验算法中没有涉及加密和密码验证，很容易对报文内容进行修改，再重新计算校验和

1.4 协议没有手段控制资源占杳和分配

TCP/IP 中，对资源占杳和分配设计的一个基本原则是自觉原则。如参加 TCP通信的一方发现上次发送的数据报丢失，则主动将通信速率降至原来的一半。这样，也给恶意的网络破坏者提供了机会 c 如网络破坏者可以大量的发 IP 报，造成网络阻塞，也可以向一台主机发送大量的 SYN 包从而大量占有该主机的资源 (SYN Flood) 。这种基于资源占用造成的攻击被称为拒绝服务攻击( DOS)

2.常见 TCP/IP 协议攻击方法分析

2.1 IP 欺骗( IP Spoofing)

IP 欺骗是指一个攻击者假冒一个主机或合法用户的 IP 地址，利用两个主机之间的信任关系来达到攻击的目的，而这种信任关系只是根据源 IP 地址来确定。所谓信任关系是指当主机 B 信任主机 A 上的 X用户时，只要 X 在 A 上登录， X 用户就可以直接登录到主机 B 上，而不需要任何口令。

IP 欺骗通常需要攻击者能构造各种形式 IP 数据包，用虚假的源 IP 地址替代自己的真实 IP 地址。如果主机之间存在基于 IP 地址的信任关系，目标主机无法检测出已经被欺骗。

防范措施

各个网络 ISP 应该限制源地址为外部地址的 IP 数据包进入互联网

合理的配置防火墙，限制数据包的源地址为内部网络的数据包进入网络。

2.2 TCP 会话劫持 (TCP sessJOn hijacking)

image.png

TCP 会话劫持跳过连接过程.对一个已经建立的连接进行攻击。攻击者与被假冒主机和目标主机之一在同一个子网中，攻击者通过一个嗅探程序可以看到被假冒主机和目标主机之间通信的数据包。

攻击者看到被假冒主机和目标主机建立一个连接并进行身份认证后，通过对数据包捕获和进行分析，就可以得到连接的序列号。

一旦得到正确的序列号就可以发送一个假冒的 TCP 分段，接管已经建立的连接。这样，被假冒主机发送的数据包都会被目标主机忽略，因为它们的序列号会被目标主机认为不正确。

防范措施

最主要的方法是在传输层对数据进行加密。

2.3 拒绝服务( Denial Of Service )

拒绝服务坷的目的就是使受害的服务器不能提供正常的网络服务。

2.3.1 SYN 淹没 (SYN Flooding)

当开放了一个TCP端口后，该端口就处于Listening状态，不停地监视发到该端口的Syn报文，一旦接收到Client发来的Syn报文，就需要为该请求分配一个TCB（Transmission Control Block），通常一个TCB至少需要280个字节，在某些操作系统中TCB甚至需要1300个字节，并返回一个SYN ACK命令，立即转为SYN-RECEIVED即半开连接状态，而操作系统在SOCK的实现上最多可开启半开连接个数是一定的。

image.png

从以上过程可以看到，如果恶意的向某个服务器端口发送大量的SYN包，则可以使服务器打开大量的半开连接，分配TCB，从而消耗大量的服务器资源，同时也使得正常的连接请求无法被相应。而攻击发起方的资源消耗相比较可忽略不计。

防范措施

无效连接监视释放

这种方法不停监视系统的半开连接和不活动连接，当达到一定阈值时拆除这些连接，从而释放系统资源。这种方法对于所有的连接一视同仁，而且由于SYN Flood造成的半开连接数量很大，正常连接请求也被淹没在其中被这种方式误释放掉，因此这种方法属于入门级的SYN Flood方法。

延缓TCB分配方法

从前面SYN Flood原理可以看到，消耗服务器资源主要是因为当SYN数据报文一到达，系统立即分配TCB，从而占用了资源。而SYN Flood由于很难建立起正常连接，因此，当正常连接建立起来后再分配TCB则可以有效地减轻服务器资源的消耗。常见的方法是使用Syn Cache和Syn Cookie技术。

Syn Cache技术：

这种技术是在收到SYN数据报文时不急于去分配TCB，而是先回应一个SYN ACK报文，并在一个专用HASH表（Cache）中保存这种半开连接信息，直到收到正确的回应ACK报文再分配TCB。在FreeBSD系统中这种Cache每个半开连接只需使用160字节，远小于TCB所需的736个字节。在发送的SYN ACK中需要使用一个己方的Sequence Number，这个数字不能被对方猜到，否则对于某些稍微智能一点的Syn Flood攻击软件来说，它们在发送Syn报文后会发送一个ACK报文，如果己方的Sequence Number被对方猜测到，则会被其建立起真正的连接。因此一般采用一些加密算法生成难于预测的Sequence Number。

Syn Cookie技术：

对于SYN攻击，Syn Cache虽然不分配TCB，但是为了判断后续对方发来的ACK报文中的Sequence Number的正确性，还是需要使用一些空间去保存己方生成的Sequence Number等信息，也造成了一些资源的浪费。

Syn Cookie技术则完全不使用任何存储资源，这种方法比较巧妙，它使用一种特殊的算法生成Sequence Number，这种算法考虑到了对方的IP、端口、己方IP、端口的固定信息，以及对方无法知道而己方比较固定的一些信息，如MSS、时间等，在收到对方的ACK报文后，重新计算一遍，看其是否与对方回应报文中的（Sequence Number-1）相同，从而决定是否分配TCB资源。

使用SYN Proxy防火墙

Syn Cache技术和Syn Cookie技术总的来说是一种主机保护技术，需要系统的TCP/IP协议栈的支持，而目前并非所有的操作系统支持这些技术。因此很多防火墙中都提供一种SYN代理的功能，其主要原理是对试图穿越的SYN请求进行验证后才放行，下图描述了这种过程：

image.png

从上图（左图）中可以看出，防火墙在确认了连接的有效性后，才向内部的服务器（Listener）发起SYN请求，在右图中，所有的无效连接均无法到达内部的服务器。

采用这种方式进行防范需要注意的一点就是防火墙需要对整个有效连接的过程发生的数据包进行代理，如下图所示：

请点击输入图片描述

image.png

因为防火墙代替发出的SYN ACK包中使用的序列号为c，而服务器真正的回应包中序列号为c’，这其中有一个差值|c-c’|，在每个相关数据报文经过防火墙的时候进行序列号的修改。

TCP Safe Reset技术：

这也是防火墙Syn代理的一种方式，其工作过程如下图所示：

image.png

这种方法在验证了连接之后立即发出一个Safe Reset命令包，从而使得Client重新进行连接，这时出现的Syn报文防火墙就直接放行。在这种方式中，防火墙就不需要对通过防火墙的数据报文进行序列号的修改了。这需要客户端的TCP协议栈支持RFC 793中的相关约定，同时由于Client需要两次握手过程，连接建立的时间将有所延长。

2.3.2 死亡之 Ping(Ping O' Death )

死亡之 Ping 是利用 ICMP 协议的一种碎片攻击 。攻击者发送一个长度超过 65 535Byte 的 Echo Request 数据包，目标主机在重组分片的时候会造成事先分配的 65 535 Byt 字节缓冲区溢出，系统通常会崩愤或挂起

IP 数据包的最大长度是 65 535 (2 16 - 1) Byte，其中包括包头长度(如果 IP 选项末指定，一般为 20 B)超过 MTU( Maximum Transmission Unit) 的数据包被分割成小的数据包，在接受端重新组装。一般以太网的MTU 为 11500 Byte ，互联网上的 MTU 通常是 576 Byte ICMP 回应请求放在 IP 数据包中，其中有 8 Byt 的 ICMP头信息，接下来是 "Ping" 请求的数据宇节的数目。因此数据区所允许的最大尺寸为 65 535 - 20 - 8 = 65 507Byte

image.png

分段后的 IP 包要在接收端的 IP 层进行重组，这样"死亡之 Ping"就可以再发送一个回应请求数据包，使它的数据包中的数据超过 65 507 Byte ，使得某些系统的 IP 分段组装模块出现异常。因为在 IP 分段组装的过程中，它通过每一个 IP 分段中的偏移量来决定每一个分段在整个 IP 包中的位置，最后一个分段中，如果 IP 包的长度大于 65 507 Byte各个分段组装后就会超过 IP 包的最大长度。某些操作系统要等到将所有的分段组装完后才对 IP 包进行处理，所以就存在这样一种内部缓冲区或内部变量溢出的可能性，这样会导致系统崩愤或重启。

防范措施

可以利用防火墙来阻止 Ping ，然而这样也会阻挡一些合法应用。所以只要阻止被分段的 Ping ，这样在大多数系统上允许一般合法的 64 Byt 的 Ping 通过，挡住了那些长度大于 MTU 的 ICMP 数据包.

这种攻击能使系统崩溃的原因因系统不同而异.有的可能因为内核中固定大小的缓冲区因 IP 数据包过大而越界，损坏了其它数据或编码;有的则可能因为用一个无符号的 16 bit 变量来保存数据包的长度和相关变量，当这些变量的值超过 65 535 Byte 时，变量不再与其数值一致，从而引发异常。因此可以为相应的系统打上补丁。

2.3.3 RST 和 FIN 攻击( RST and FIN attack)

在 TCP 包中有 6 个标志位来指示分段的状态。其中 RST 用来复位一个连接， FIN 表示没有数据要发送了攻击者经常利用这两个标志位进行拒绝服务攻击。他们先分析通过目标主机和受骗主机之间的 IP 数据包，计算出从受骗主机发往目标主机的下一个 TCP 段的序列号，然后产生一个带有 RST 位设置的 TCP 段，将其放在假冒源 IP 地址的数据包中发往目标主机，目标主机收到后就关闭与受骗主机的连接。

利用 FIN 位的攻击与 RST 位的攻击很相似。攻击者预测到正确的序列号后，使用它创建一个带 FIN 位的 TCP 分段，然后发送给目标主机，好像受骗主机没有数据要发送了，这样，由受骗主机随后发出的 TCP 段都会目标主机认为是网络错误而忽略。

2.3.6 Smurf攻击

通过地址欺骗，并使用回复地址设置成受害网络的广播地址的ICMP应答请求(ping)数据包来淹没受害主机的方式进行。最终导致该网络的所有主机都对此ICMP应答请求做出答复，导致网络阻塞

黑客锁定一个被攻击的主机（通常是一些Web服务器）；

黑客寻找可做为中间代理的站点，用来对攻击实施放大（通常会选择多个，以便更好地隐藏自己，伪装攻击）；

黑客给中间代理站点的广播地址发送大量的ICMP包（主要是指Ping命令的回应包）。这些数据包全都以被攻击的主机的IP地址做为IP包的源地址；

中间代理向其所在的子网上的所有主机发送源IP地址欺骗的数据包；

中间代理主机对被攻击的网络进行响应。

2.3.7 Land 攻击

用一个特别打造的SYN包，其原地址和目标地址都被设置成某一个服务器地址。此举将导致服务器向它自己的地址发送SYN-ACK消息，结果这个地址又发回ACK消息并创建一个空连接。被攻击的服务器每接收一个这样的连接都将保留，直到超时

防御方法：

这类攻击的检测方法相对来说比较容易，因为可以直接通过判断网络数据包的源地址和目标地址是否相同确认是否属于攻击行为。反攻击的方法当然是适当地配置防火墙设备或制定包过滤路由器的包过滤规则，并对这种攻击进行审计，记录事件发生的时间、源主机和目标主机的MAC地址和IP地址，从而可以有效地分析并跟踪攻击者的来源。

2.3.8 UDP FLOOD攻击

UDP不需要像TCP那样进行三次握手，运行开销低，不需要确认数据包是否成功到达目的地。这就造成UDP泛洪攻击不但效率高，而且还可以在资源相对较少的情况下执行。UDP FLOOD可以使用小数据包(64字节)进行攻击,也可以使用大数据包(大于1500字节,以太网MTU为1500字节)进行攻击。大量小数据包会增大网络设备处理数据包的压力；而对于大数据包，网络设备需要进行分片、重组，最终达到的效果就是占用网络传输接口的带宽、网络堵塞、服务器响应慢等等。

防御方案： 限制每秒钟接受到的流量(可能产生误判)；通过动态指纹学习(需要攻击发生一定时间)，将非法用户加入黑名单。

2.3.9 泪滴攻击

“teardrop”,又称“泪滴”：IP数据包在网络传递时，数据包可以分成更小的片段。攻击者可以通过发送两段(或者更多)数据包来实现TearDrop攻击。第一个包的偏移量为0，长度为N，第二个包的偏移量小于N。为了合并这些数据段，TCP/IP堆栈会分配超乎寻常的巨大资源，从而造成系统资源的缺乏甚至机器的重新启动，达到攻击者需要的拒绝服务的目的。

3. DOS与DDOS区别

3.1 DOS

“DoS”是Denial of Service，拒绝服务的缩写。所谓的拒绝服务是当前网络攻击手段中最常见的一种。它故意攻击网络协议的缺陷或直接通过某种手段耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务或资源访问，使目标系统服务停止响应甚至崩溃，而最值得注意的是，攻击者在此攻击中并不入侵目标服务器或目标网络设备，单纯利用网络缺陷或者暴力消耗即可达到目的。

从原理上来说，无论攻击者的攻击目标(服务器、计算机或网络服务)的处理速度多快、内存容量多大、网络带宽的速度多快都无法避免这种攻击带来的后果。任何资源都有一个极限，所以攻击者总能找到一个方法使请求的值大于该极限值，导致所提供的服务资源耗尽。

从技术分类的角度上来说，最常见的DoS攻击有对计算机网络的带宽攻击和连通性攻击。带宽攻击指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，最后导致合法用户的请求无法通过。连通性攻击指用大量的连接请求冲击服务器或计算机，使得所有可用的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。

在网络还不发达的时候，单一的DoS攻击一般是采用一对一的方式，也就是攻击者直接利用自己的计算机或者设备，对攻击目标发起DoS攻击。当攻击目标处在硬件性能低下、网络连接情况不好等情况的时候，一对一的DoS攻击效果是非常明显的，很有可能直接一个攻击者就搞定一个网站或者一个服务器，让它拒绝服务。

3.2 DDOS

随着计算机和网络技术的发展，硬件设备的处理性能加速度增长，成本也变得非常低廉，网络的快速发展更是让带宽、出入口节点宽度等大大的提升，这让传统的DoS攻击很难凑效。

随着这样情况的出现，攻击者研究出了新的攻击手段，也就是DDoS。

DDoS是在传统的DoS攻击基础之上产生的一种新的攻击方式，即Distributed Denial Of Service，分布式拒绝服务攻击。

如果说计算机与网络的处理能力比以往加大了10倍的话(示例数据，没有实质意义)，那攻击者使用10台计算机同时进行攻击呢？也就达到了可以让目标拒绝服务的目的。简单来说，DDoS就是利用更多的计算机来发起攻击。

就技术实现方式来分析，分布式拒绝服务攻击就是攻击者利用入侵手段，控制几百台，或者成千上万台计算机(一般被控制的计算机叫做傀儡主机，或者口头被网络安全相关人员称为“肉鸡”)，然后在这些计算机上安装大量的DDoS程序。这些程序接受来自攻击者的控制命令，攻击者同时启动全部傀儡主机向目标服务器发起拒绝服务攻击，形成一个DoS攻击群，猛烈的攻击目标，这样能极为暴力的将原本处理能力很强的目标服务器攻陷。

3.3 区别

通过上面的分析，可以看出DDoS与DoS的最大区别是数量级的关系，DoS相对于DDoS来说就像是一个个体，而DDoS是无数DoS的集合。另一方面，DDoS攻击方式较为自动化，攻击者可以把他的程序安装到网络中的多台机器上，所采用的这种攻击方式很难被攻击对象察觉，直到攻击者发下统一的攻击命令，这些机器才同时发起进攻。可以说DDoS攻击是由黑客集中控制发动的一组DoS攻击的集合，现在这种方式被认为是最有效的攻击形式，并且非常难以抵挡。

标签：通讯协议攻击软件