网络协议安全

文章内容:

复制代码
ARP协议利用与防护:
    掌握ARP协议原理和交换机的转发过程
    掌握ARP欺骗攻击方式
    了解ARP欺骗防护手段
    掌握MAC地址泛洪攻击方式
    了解MAC地址防洪防护手段
TCP协议利用与防护:
    了解TCP协议的基础
    掌握SYN Flood攻击方式
    了解SYN Flood攻击防护手段
DHCP协议利用与防护:
    熟悉DHCP协议的基础
    掌握DHCP地址耗尽攻击方式
    了解DHCP地址耗尽攻击手段

ARP协议利用与防护:

ARP协议基础:
复制代码
ARP(Address Resolution Protocol)地址解析协议,用于交换机下二层设备寻址,
即询问目标IP对应的MAC地址
转发时会先找自己的ARP表,
如果表项存在则根据ARP表进行转发,如果不存在那么进行寻址
ARP缓存表
复制代码
如果每一个IP包都要执行一次ARP,网络将是不可承受的,ARP有个缓存机制,
将访问主机的MAC地址与IP地址绑定,就能直接告诉交换机对应的MAC地址进行转发,
交换机就可以通过这个来转发
ARP缓存表缺陷
复制代码
ARP缓存表机制存在一个缺陷,主机不会验证自己是否给对方发送过arp请求,
就直接返回包中IP地址对应的MAC地址对应关系保存进ARP缓存表中,
如果有新的对应关系旧的就会被替换
ARP欺骗定义
复制代码
发送伪造ARP消息,对特定的IP所对应的MAC地址进行假冒欺骗,
从而达到恶意目的
ARP欺骗的两种场景:
    1.主机欺骗:危害:获取通信流量
    2.网关欺骗:危害:断网/获取所有通信流量
ARP攻击防护
复制代码
主机欺骗防护:
   arp欺骗是通过重复应答来实现的,那么只需要在本机中添加一条静态的ARP映射,
这样就不需要询问网关MAC地址了,这种方法支队主机欺骗有效

网关欺骗防护:
    在网关绑定主机mac与ip地址

交换机转发行为:

交换机转发数据原理
复制代码
1.交换机收到数据帧的时候,解析数据包,查看源mac地址,并将mac地址与接口
进行关联,更新到mac地址表(CAM)表里面
2.查看数据包目标mac地址,然后查询本地mac地址表,根据目标mac地址对应的接口
将这个数据转发出去
3.如果mac地址表是空或丢弃,广播将这个数据帧进行复制,然后向各个接口转发出去
交换机特性
复制代码
交换机中的mac地址表是有大小限制的,接入交换机mac地址表基本在8kb左右,
当这个表满了的时候,只要mac关联信息不在交换机上,就会将这个帧复制,进行
广播,向所有的接口转发出去
mac地址表老化时间默认为300秒,到300秒就会将mac映射关系删除
MAC地址泛红攻击原理
复制代码
泛洪攻击即是攻击者利用这种学习机制不断发送不同的mac地址给交换机,充满整个mac地址表
此时交换机只能进行数据广播,攻击这个凭此获得信息
危害:攻击者通过泛红攻击对局域网内流量进行抓取,以达到网络信息收集的目的
MAC地址泛洪击防御
复制代码
给交换机的每个端口限制主机的数量,当一个端口学习的mac数量超过整个限制的数量
则将超出的mac地址舍弃

TCP协议利用与防护

TCP协议基础
复制代码
TCP协议:在TCP/IP协议栈中,TCP协议提供可靠的传输服务,传输前需要通过三次握手建立连接
SYN Flood攻击原理
复制代码
SYN Flood攻击是一种典型的DoS攻击,是一种利用TCP协议缺陷,发送大量伪造的TCP连接请求,
从而使受攻击服务器资源耗尽(CPU满负荷或内存不足)的攻击方式
SYN Flood攻击原理:通过发送大量的SUN半开放连接,消耗服务端系统内存来等待整个未决的连接,
通过创建很多的半开放式连接来发送SYN洪水攻击耗尽服务器资源
SYN Flood攻击防护
复制代码
1.监视并释放无效连接
    这种方法不断监视系统中的半开连接和不活动链接,当达到一定阈值时拆除这些连接,从而释放系统资源
2.延缓TCB分配方法
    Syn Cache技术
    Syn Cookie技术
3.SYN Proxy防火墙
    对试图穿越的SYN请求进行验证后才放行,采用的验证连接有效性的方法可以使Syn Cookie技术
4.TCP Safe Reset技术
    防火墙验证连接后发出一个Safe  Reset命令包,使Client重新进行连接,这时Cilent重新发送的
Syn报文防火墙就直接放行,着这种方式中,防火墙就不需要对通过防火墙的数据报文进行序列号的修改了

DHCP协议利用与防护

DHCP地址耗尽攻击场景
复制代码
利用条件:通过不断重复DHCP请求IP地址的过程,来达到耗尽DHCP地址池的目的,详细的手法
首先构建一个DHCP Discover报文来请求网络中的服务器,然后侦听网络中的offer数据包,提取offer报文中的服务器标识,以及分配ip地址后,构造DHCP Request发送后完事
DHCP地址耗尽攻击防护
复制代码
Port-Security技术来限制交换机每个端口可以学习到的最大mac地址数量,这样就可以有效地来防范
DHCP耗尽攻击,这样当安全MAC地址的数量,达到端口允许的限制时,交换机就会将带有未知源的DHCP
数据帧丢弃
就是配置端口安全
相关推荐
bantinghy14 分钟前
Linux系统TCP/IP网络参数优化
linux·网络·tcp/ip
wanhengidc1 小时前
云手机可以息屏挂手游吗?
运维·网络·安全·游戏·智能手机
码熔burning1 小时前
Spring Security 深度学习(六): RESTful API 安全与 JWT
安全·spring·restful·springsecurity
一只小白菜~2 小时前
实战记录:H3C路由器IS-IS Level-1邻居建立与路由发布
运维·网络·计算机网络·智能路由器
kenwm2 小时前
家庭网络异常降速问题排查处理方案
网络·智能路由器
m0_738120722 小时前
CTFshow系列——PHP特性Web93-96
开发语言·安全·web安全·php·ctfshow
搬码临时工2 小时前
使用自定义固定公网URL地址远程访问公司内网OA办公系统,本地无需公网IP和专线让外网访问
网络·网络协议·tcp/ip
Zacks_xdc4 小时前
【前端】使用Vercel部署前端项目,api转发到后端服务器
运维·服务器·前端·安全·react.js
星马梦缘4 小时前
计算机网络6 第六章 应用层——解决“怎么发请求、怎么回响应”的问题(邮件整体传输流程)
网络·计算机网络·域名·ftp·dns·dhcp
@CLoudbays_Martin114 小时前
为什么动态视频业务内容不可以被CDN静态缓存?
java·运维·服务器·javascript·网络·python·php