多個方面分析網絡安全面臨的威脅（網絡安全基礎之網絡協議與安全威脅）

2023-10-12 15:02:57 3

網絡協議的簡介：

定義：協議是網絡中計算機或設備之間進行通信的一系列規則集合。

什麼是規則?

交通中的紅黃綠燈：紅燈停，綠燈行就是規則。

我國汽車靠右行就是規則。

OSI七層模型

OSI(OpenSystem Interconnect)，即開放式系統互聯。一般都叫OSI參考模型，是ISO(國際標準化組織)組織在1985年研究的網絡互聯模型。

(1)物理層(Physical Layer)

物理層是OSI參考模型的最低層，它利用傳輸介質為數據鏈路層提供物理連接。它主要關心的是通過物理鏈路從一個節點向另一個節點傳送比特流，物理鏈路可能是銅線、衛星、微波或其他的通訊媒介。

(2)數據鏈路層(Data Link Layer)

數據鏈路層是為網絡層提供服務的，解決兩個相鄰結點之間的通信問題，傳送的協議數據單元稱為數據幀。

(3)網絡層(Network Layer)

網絡層是為傳輸層提供服務的，傳送的協議數據單元稱為數據包或分組。

(4)傳輸層(Transport Layer)

傳輸層的作用是為上層協議提供端到端的可靠和透明的數據傳輸服務，包括處理差錯控制和流量控制等問題。

傳輸層傳送的協議數據單元稱為段或報文。

(5)會話層(Session Layer)

會話層主要功能是管理和協調不同主機上各種進程之間的通信(對話)，即負責建立、管理和終止應用程式之間的會話。

(6)表示層(Presentation Layer)

表示層處理流經結點的數據編碼的表示方式問題，以保證一個系統應用層發出的信息可被另一系統的應用層讀出。如果必要，該層可提供一種標準表示形式，用於將計算機內部的多種數據表示格式轉換成網絡通信中採用的標準表示形式。數據壓縮和加密也是表示層可提供的轉換功能之一。

(7)應用層(Application Layer)

應用層是OSI參考模型的最高層，是用戶與網絡的接口。該層通過應用程式來完成網絡用戶的應用需求，如文件傳輸、收發電子郵件等。

TCP/IP協議

譯名為傳輸控制協議/網際網路互聯協議，又名網絡通訊協議，是Internet最基本的協議、Internet國際網際網路的基礎，由網絡層的IP協議和傳輸層的TCP協議組成。

TCP/IP定義了電子設備如何連入網際網路，以及數據如何在它們之間傳輸的標準。協議採用了4層的層級結構，每一層都呼叫它的下一層所提供的協議來完成自己的需求。通俗而言：TCP負責發現傳輸的問題，一有問題就發出信號，要求重新傳輸，直到所有數據安全正確地傳輸到目的地。而IP是給網際網路的每一臺聯網設備規定一個地址。

OSI模型與TCP/IP協議的對應

左邊是OSI模型，右邊是TCPIP協議棧分層模型，可以看得出，兩個模型有很清晰的對應關係。

兩個模型的下四層是一一對應的，而OSI模型的上三層對應到TCPIP協議的應用層，所以在談論「應用層」概念的時候，要注意討論的是哪個模型。

數據傳輸的協議單元

依據標準的OSI術語，每層間對應的「協議數據單元」(Protocol Data Unit，簡稱PDU)的名稱都是不同的

物理層為「位」(bit)，即平常講的二進位數位流，在物理傳輸介質上以二進位數位訊號傳輸(簡單的如高電平代表「1」，底電平代表「0」)。

物理層的傳輸介質包括：

同軸電纜(coaxical cable)：細纜和粗纜，目前已經不常用;

雙絞線(twistedpair)：UTP(Unshielded Twisted Paired , 非屏蔽雙絞線)，這種即平時常用的網線;STP (Shielded Twisted Pair,屏蔽雙絞線)，這種線適用於電磁幹擾惡劣的工業環境;(這兩種線使用銅線做介質，到用戶家雖然看起來就一兩根，但在運營商的管線裡是幾千條幾百條線在一起的大對線纜，經常是偷銅者的目標)

光纖(OpticalFiber)：使用光信號來傳播數位訊號的介質，坐火車到處看到路邊寫的大標語：「光纖沒銅，挖了沒用」就是指這個;

無線電波(wirelessradio);

數據鏈路層PDU名稱叫數據幀「Frame」，例如幀中繼技術名稱叫Frame Relay ，其數據單元名字叫「幀」，對乙太網來說是以太幀。

網絡層PDU的名稱叫數據包Packet, 因為IP協議在這一層，所以網際網路上的數據一般被稱為IP數據包。

傳輸層PDU的名稱叫數據段Segment ，這個層面最著名的是傳輸控制協議TCP和用戶數據報協議UDP。

會話層Session 的PDU叫SPDU,會晤協議數據單元;

表示層Presentation的PDU叫PPDU,表示協議數據單元;

應用層Application的PDU叫APDU,應用協議數據單元;

數據封包和解包過程

用戶數據報文的一個封裝過程，應用程式的數據使用TCP協議進行傳輸，用戶數據被切割成合適的數據片段後，被加上網絡層協議IP的首部字節，成為IP數據包，然後被加上數據鏈路層的乙太網首部，成為乙太網數據幀，再由乙太網驅動程序將幀轉化為二進位位流，在物理層面傳送。

數據包傳輸過程

上圖是兩個主機通過一臺交換機和一臺路由器通信的示意圖。二層交換機僅跨越OSI模型的物理層和數據鏈路層，所以稱為二層交換機，僅為所有連接的主機提供數據鏈路層間的互通功能。

路由器是跨越物理層、數據鏈路層、網絡層的設備。

最簡單的路由器的概念是一臺裝有兩塊網卡的主機，主機內部安裝的路由軟體可以根據IP位址在兩塊網卡間轉發IP數據包，兩塊網卡各有一個IP位址，具有兩個物理接口的路由器同這個道理是類似的。

由上圖圖四可以看到，IP位址的概念是屬於IP協議，IP協議是屬於OSI模型第三層網絡層的，所有跨越網絡層的設備都需要有IP位址。最左邊的主機同路由器的左側接口各有一個IP位址，使用IP協議通信;最右邊的伺服器和路由器右側接口各有一個IP位址，使用IP協議通信;路由器的不同接口的IP位址是屬於不同的IP子網的，路由器就是在不同IP子網間傳送IP數據包的設備，路由是根據IP數據包裡的地址選擇正確傳遞路徑的過程。

TCP/IP 四層模型

ARP協議：

地址解析協議，即ARP(Address Resolution Protocol)，是根據IP位址獲取物理地址的一個TCP/IP協議。

原理：

主機發送信息時將包含目標IP位址的ARP請求廣播到網絡上的所有主機，並接收返回消息，以此確定目標的物理地址;收到返回消息後將該IP位址和物理地址存入本機ARP緩存中並保留一定時間，下次請求時直接查詢ARP緩存以節約資源。地址解析協議是建立在網絡中各個主機互相信任的基礎上的，網絡上的主機可以自主發送ARP應答消息，其他主機收到應答報文時不會檢測該報文的真實性就會將其記入本機ARP緩存。

網絡接口層的安全威脅

在網絡中，flooding是指從任何節點通過一個路由器發送的信息包會被發送給與該路由器相連的所有其他節點(除了發送信息包出來的那個節點)。

在典型的MAC flooding中，攻擊者能讓目標網絡中的交換機不斷泛洪大量不同源MAC地址的數據包，導致交換機內存不足以存放正確的MAC地址和物理埠號相對應的關係表。如果攻擊成功，交換機會進入failopen模式，所有新進入交換機的數據包會不經過交換機處理直接廣播到所有的埠(類似HUB集線器的功能)。攻擊者能進一步利用嗅探工具(例如Wireshark)對網絡內所有用戶的信息進行捕獲，從而能得到機密信息或者各種業務敏感信息。

損壞：自然災害、動物破壞、老化、誤操作

幹擾：大功率電器/電源線路/電磁輻射

電磁洩漏：傳輸線路電磁洩漏

搭線竊聽：物理搭線

欺騙：ARP欺騙

嗅探：常見二層協議是明文通信的(以太、arp等)

拒絕服務：macflooding，arpflooding等

網際網路網絡層

IP協議簡介：

IP協議是用於將多個包交換網絡連接起來的，它在源地址和目的地址之間傳送一種稱之為數據包的東西，它還提供對數據大小的重新組裝功能，以適應不同網絡對包大小的要求。

IP實現兩個基本功能：尋址和分段。IP可以根據數據包包頭中包括的目的地址將數據報傳送到目的地址，在此過程中IP負責選擇傳送的道路，這種選擇道路稱為路由功能。如果有些網絡內只能傳送小數據報，IP可以將數據報重新組裝並在報頭域內註明。IP模塊中包括這些基本功能，這些模塊存在於網絡中的每臺主機和網關上，而且這些模塊(特別在網關上)有路由選擇和其它服務功能。對IP來說，數據報之間沒有什麼聯繫，對IP不好說什麼連接或邏輯鏈路。

網際網路層網絡安全威脅

傳輸層

IP分片技術

乙太網的MTU是1500，你可以用 netstat -i 命令查看這個值。如果IP層有數據包要傳，而且數據包的長度超過了MTU，那麼IP層就要對數據包進行分片(fragmentation)操作，使每一片的長度都小於或等於MTU。我們假設要傳輸一個UDP數據包，乙太網的MTU為1500位元組，一般IP首部為20位元組，UDP首部為8位元組，數據的淨荷(payload)部分預留是1500-20-8=1472位元組。如果數據部分大於1472位元組，就會出現分片現象。

IP分片攻擊

如果有意發送總長度超過65535的IP碎片，一些老的系統內核在處理的時候就會出現問題，導致崩潰或者拒絕服務。另外，如果分片之間偏移量經過精心構造，一些系統就無法處理，導致死機。所以說，漏洞的起因是出在重組算法上。pingo『 death是利用ICMP協議的一種碎片攻擊。攻擊者發送一個長度超過65535的EchoRequest數據包，目標主機在重組分片的時候會造成事先分配的65535位元組緩衝區溢出，系統通常會崩潰或掛起。ping不就是發送ICMPEcho Request數據包的嗎?讓我們嘗試攻擊一下吧!不管IP和ICMP首部長度了，數據長度反正是多多益善，就65535吧

IP數據包

數據包的結構：數據包的結構非常複雜，不是三言兩語能夠說清的，在這裡主要了解一下它的關鍵構成就可以了，這對於理解TCP/IP協議的通信原理是非常重要的。數據包主要由「目的IP位址」、「源IP位址」、「淨載數據」等部分構成，包括包頭和包體，包頭是固定長度，包體的長度不定，各欄位長度固定，雙方的請求數據包和應答數據包的包頭結構是一致的，不同的是包體的定義。數據包的結構與我們平常寫信非常類似，目的IP位址是說明這個數據包是要發給誰的，相當於收信人地址;源IP位址是說明這個數據包是發自哪裡的，相當於發信人地址;而淨載數據相當於信件的內容。正是因為數據包具有這樣的結構，安裝了TCP/IP協議的計算機之間才能相互通信。我們在使用基於TCP/IP協議的網絡時，網絡中其實傳遞的就是數據包。理解數據包，對於網絡管理的網絡安全具有至關重要的意義。

我們可以用一個形象一些的例子對數據包的概念加以說明：我們在郵局郵寄產品時，雖然產品本身帶有自己的包裝盒，但是在郵寄的時候只用產品原包裝盒來包裝顯然是不行的。必須把內裝產品的包裝盒放到一個郵局指定的專用紙箱裡，這樣才能夠郵寄。這裡，產品包裝盒相當於數據包，裡面放著的產品相當於可用的數據，而專用紙箱就相當於幀，且一個幀中只有一個數據包。「包」聽起來非常抽象，那麼是不是不可見的呢?通過一定技術手段，是可以感知到數據包的存在的。就是用數據包捕獲軟體Iris捕獲到的數據包的界面圖，在此，大家可以很清楚地看到捕獲到的數據包的MAC地址、IP位址、協議類型埠號等細節。通過分析這些數據，網管員就可以知道網絡中到底有什麼樣的數據包在活動了。

TCP/UDP協議

面向連接的TCP協議：

TCP(TransmissionControl Protocol，傳輸控制協議)是基於連接的協議，也就是說，在正式收發數據前，必須和對方建立可靠的連接。一個TCP連接必須要經過三次「對話」才能建立起來，也就是所謂的」TCP的三次握手」。

面無連接的UDP協議：

UDP(UserData Protocol，用戶數據報協議)是與TCP相對應的協議。它是面向非連接的協議，它不與對方建立連接，而是直接就把數據包發送過去!

「面向連接」就是在正式通信前必須要與對方建立起連接。比如你給別人打電話，必須等線路接通了、對方拿起話筒才能相互通話。

TCP的三次握手：

其中的過程非常複雜，我們這裡只做簡單、形象的介紹，你只要做到能夠理解這個過程即可。我們來看看這三次對話的簡單過程：主機A向主機B發出連接請求數據包：「我想給你發數據，可以嗎?」，這是第一次對話;主機B向主機

A發送同意連接和要求同步(同步就是兩臺主機一個在發送，一個在接收，協調工作)的數據包：「可以，你什麼時候發?」，這是第二次對話;主機A再發出一個數據包確認主機B的要求同步：「我現在就發，你接著吧!」，這是第三次對話。三次「對話」的目的是使數據包的發送和接收同步，經過三次「對話」之後，主機A才向主機B正式發送數據。

「面向非連接」就是在正式通信前不必與對方先建立連接，不管對方狀態就直接發送。與手機簡訊非常相似：你在發簡訊的時候，只需要輸入對方手機號就OK了。

TCP:FTPHTTP POP IMAP SMTP TELNET SSH

UDP

Q聊天,在線視頻RTSP,網絡語音電話VoIP

第一次握手：建立連接時，客戶端發送syn包(syn=j)到伺服器，並進入SYN_SENT狀態，等待伺服器確認;SYN：同步序列編號(Synchronize Sequence Numbers)。第二次握手：伺服器收到syn包，必須確認客戶的SYN(ack=j 1)，同時自己也發送一個SYN包(syn=k)，即SYN ACK包，此時伺服器進入SYN_RECV狀態;第三次握手：客戶端收到伺服器的SYN ACK包，向伺服器發送確認包ACK(ack=k 1)，此包發送完畢，客戶端和伺服器進入ESTABLISHED(TCP連接成功)狀態，完成三次握手。完成三次握手，客戶端與伺服器開始傳送數據。

傳輸層的安全威脅