清华版网络安全教案第8章(2)

(1) 入侵内部网络。包括没有授权地访问内部网 ) 入侵内部网络。 盗取信息。比如进行地址欺骗， 络，盗取信息。比如进行地址欺骗，不可信网络的 用户伪装成可信网络的地址， 用户伪装成可信网络的地址，从而绕过系统的认证 实现进入被攻击系统； 实现进入被攻击系统；或者通过在内部网络中安装 木马程序，实现对内部机器的控制。 木马程序，实现对内部机器的控制。 (2) 针对防火墙的攻击，使其失去功能。包括各 ) 针对防火墙的攻击，使其失去功能。 种协议漏洞攻击和碎片攻击，控制防火墙， 种协议漏洞攻击和碎片攻击，控制防火墙，使防火 墙死机或者失去本身应有功能。 墙死机或者失去本身应有功能。 (3) 拒绝服务攻击。此种攻击现在非常普遍，对 ) 拒绝服务攻击。此种攻击现在非常普遍， 网络的危害非常大，是防火墙较难阻挡的攻击之一。 网络的危害非常大，是防火墙较难阻挡的攻击之一。 它主要有以下几种方式。 它主要有以下几种方式。

① Syn Flood: 该攻击以多个随机的源主机地址向 ： 目的主机发送SYN包，而在收到目的主机的 目的主机发送 包 而在收到目的主机的SYN ACK后并不回应，这样，目的主机就为这些源主 后并不回应， 后并不回应 这样， 机建立了大量的连接队列， 机建立了大量的连接队列，而且由于没有收到 ACK一直维护着这些队列，造成了资源的大量消 一直维护着这些队列， 一直维护着这些队列 耗而不能向正常请求提供服务。 耗而不能向正常请求提供服务。 ② Smurf: 该攻击向一个子网的广播地址发一个 ： 带有特定请求( 回应请求) 带有特定请求(如ICMP回应请求)的包，并且将 回应请求 的包， 源地址伪装成想要攻击的主机地址。 源地址伪装成想要攻击的主机地址。子网上所有主 机都回应广播包请求而向被攻击主机发包， 机都回应广播包请求而向被攻击主机发包，使该主 机受到攻击。 机受到攻击。

③ Land based: 攻击者将一个数据包的源地址和 ： 目的地址都设置为目标主机的地址， 目的地址都设置为目标主机的地址，然后将该数据 包通过IP欺骗的方式发送给被攻击主机 欺骗的方式发送给被攻击主机， 包通过 欺骗的方式发送给被攻击主机，这种包可 以造成被攻击主机因试图与自己建立连接而陷入死 循环，从而很大程度地降低了系统性能。 循环，从而很大程度地降低了系统性能。 的规范， ④ Ping of Death: 根据 ： 根据TCP/IP的规范，一个 包 的规范 一个IP包 的长度最大为65 的长度最大为 536B,但发送较大的 包时将进 ，但发送较大的IP包时将进 行分片，这些IP分片

到达目的主机时又重新组合起 行分片，这些 分片到达目的主机时又重新组合起 来。在Ping of Death攻击时，各分片组合后的总长 攻击时， 攻击时 度将超过65 度将超过 536B,在这种情况下会造成某些操作 ， 系统的宕机。 系统的宕机。