|
<%=(int(rnd()*1)+1)%>您当前的位置：中国安全在线cnsafer.com 请进入[技术论坛]发表评论 了在不安全信道上通信的信息，被监听的可能性使用到了RAS算法，在授权过程结束后，所有的传输都用IDEA技术加密。但SSH并不就是完全安全的。因此，总的说来，监听的检测属于安全防范的内容，需要非常综合的知识和技能进行分析设计。
安全方面的考虑
DOS 攻击的检测与预防
我国还在网络的发展阶段，自然有网络“hacker”、“crack”出现，也正是由于是发展阶段，这些人的攻击手段一般靠一些工具，这些工具一般分为破解性和破坏性，破解性耗时长成功率低，而破坏性的工具较符合这些人的性格故受欢迎，而DOS攻击工具攻击方便，成功率高，一般是“hacker”的首选。
所谓的DOS攻击是一种拒绝服务攻击，它并不是入侵系统，而只是让系统崩溃，或处于拒绝连接状态，DOS攻击的方法主要是发送大量假的syn包使服务器忙于应答和等待假syn的请求无法对正常的连接作出反应，或发送大量的广播包利用某系系统对一些广播包会产生回应得bug来形成广播风暴阻塞网络，消耗服务器资源达到进攻目的。现在还出现了分布式的DOS攻击工具，它通过控制多台分机同时发送到攻击包，威力巨大，同时，DOS攻击还可能是另一种供给的前奏，这就是IP欺骗攻击（该攻击可以获得ROOT权限，危险系数最高），如果出现了DOS攻击但又不阻塞网络，且攻击目标不起眼，那么这很可能就是一个IP欺或TCP截取的开始，所以DOS攻击是一种破坏力大，效果明显，且暗藏杀机的攻击。
热而DOS攻击是较容易检测的，其攻击现象明显，攻击特征突出，通过对网络的监听不难发现，如上所述我们已经可以从网络上监听数据帧并能分析他们，于是编写一个程序使用户可以通过定义自己的规范与数据帧比较然后对符合规范的数据作出相应的反应，对于DOS攻击我们可以通过定义一个带有时间限制的规范来检测，如我们可以定义在1秒如出现100个以上的syn数据包为DOS攻击，然后定义处理方法，如MAIL,LOG,SHUTDOWN或与防火墙联动等。
IP冒用的检测与攻击
网络的飞速发展导致了原有的32位地址协议不能满足飞速扩充的庞大计算机群，。利益不能均分，导致了IP冒用的出现，使网络秩序产生混乱。
在这里先解释一下ARP协议的应用。ARP协议是将IP地址转换成MAC地址的协议，是局域网数据交流的基础，一台计算机是如何将自己和某一IP地址绑定？首先，一台计算机启动，他将向局域网发送其IP的ARP询问包，这是为了防止IP冲突，如无人回答，其将发送其IP的ARP应答包，向局域网申明绑定其物理地址和ip地址，如果没有在服务器上使用固定的ip/mac表那么没有ip使用权的计算机也可以乘机绑定ip，这就是ip冒用。
对网络监测的利用可以达到检测ip冒用的出现并对之进行攻击的目的。具体方法是将检测到的arp数据帧中的ip 和 eth 地址取出来与我们建立的对应表比较，如发现ip冒用的情况，则向其发送反向arp包使其网络中断实现攻击，该做法适用于那些无法控制路由器配置，又不想修改网关配置的网络管理。在程序中我采用的是被动式的arp查询，也就是不发arp查询包，可以说出了发攻击包外对网络没有增加另外的负担。
监听技术在网络测试中的应用
网络监听不只是网络管理的基础，还能应用在网络测试中，现在的网络测试工具大都建立在监听基础上，对监听到的数据帧的种类和数量进行统计，从而实现网络的测试。同理可以使用本监听程序对数据分类统计达到测试网络的作用。
例如目前较多用到的网络测试：
1）检测广播包在网络中的负载，即检测广播包在所有包中的比例，只要在程序中比较数据帧中目的地址的物理地址为ff:ff:ff:ff:ff:ff与总帧数的比例就可得知。从而给出了配置VLAN等的数据基础。
2）检测网络中因冲突产生的坏数据帧的数量，因为共享式以太网采取的CSMA/CD协议，每台计算机发送信号时不能保证没有有其它计算机也在发送信号，而在发现冲突后就停止发送，故会产生一些损坏的数据帧，检测损坏的数据帧在网络数据中的比例是体现网络性能的重要参数，这种检测对于监听程序而言和第一种检测大体相同，只是把统计的数据包改成冲突的数据帧，也就是数据帧大小小于64个字节的数据帧的数量，同理类是网络测试都可以通过监听程序实现，由此我们可以分析出更合适具体情况的布线方法等等。
垃圾邮件过滤的初步实现
垃圾邮件就是过滤到那些我们不想接受的，内容不安全的电子邮件，由于电子邮件的服务特点，使得电子邮件成为当代社会信息传递的便捷途径之一，但同时也有一些人利用这一点发送不安全的危害社会的宣传，于是垃圾邮件过滤就成为了必要，由于当前邮件服务器管理的松懈，随便一个人有台计算机有个IP就可以组建服务器,使得邮件的来源相当复杂,所以要完全过滤不容易,但我们还是可以通过网络监听来实现邮件的初步过滤.
第一种方法:就是屏蔽某些ip的swtp连接，通过监听程序可以实现这点，如设定规则当源IP地址为****且TCP连接端口为25时就屏蔽连接。
第二种方法:由于很多电子邮件服务器允许邮件转发（这也是必要的，我们不可能能连接到每一台机），所以通过ip地址不一定可以屏蔽这个用户的邮件他可以通过其他的服务器转发，因此在第一种方法无效的情况下我们可以通过账号来屏蔽服务，由于电子邮件服务器的统一命令要求需要用户在发邮件时申明用户例如：mail from XXX@XXX ,所以我们可以通过监听程序来发现我们不喜欢的用户并屏蔽，这要求我们对数据帧不仅分析报头，还要分析数据，将其与我们设定的字符串比较，如相同，则找到了屏蔽连接.
上一页 [1] [2]
您对本文章有什么意见或着疑问吗？请到论坛讨论您的关注和建议是我们前行的参考和动力 |
网友评论：（只显示最新10条。评论内容只代表网友观点，与本站立场无关！）