数学建模社区-数学中国

标题: 黑客入侵方式全解密（5）(图) [打印本页]
作者: 韩冰    时间: 2004-10-4 00:17
标题: 黑客入侵方式全解密（5）(图)
在服务器接收到包之后，服务器对黑客请求的数据和客户端请求的数据予以响应。在服务器对客户端响应之前，黑客可以漏掉或删除服务器对黑客命令的响应，如此，用户便不再觉察到任何黑客入侵（如图8）。  9 X3 ^4 u; v+ E' [
图8　黑客从服务器的传送包中删除其请求的信息　　以下部分您将了解 TCP ACK风暴，它在黑客继续伪装时，在非同步后劫持入侵中将发作。     
' r; ~- b$ e, d' w* g, X( l$ s. D' b9 |# p3 P: c
　　2．TCP ACK风暴 ; R9 `, ]2 B/ |' v
6 v! U7 @4 S7 ?3 Y% z0 t* e
　　前面部分详述的后期非同步劫持入侵有一个基本的不足，即它将大量地产生 TCP ACK包，网络专家称这些大量的 ACK包为 TCP ACK风暴。当一个主机（无论客户机或服务器）收到一个不能接受的包时，主机将向产生的主机发送期待的顺序号来认证这个不能接收的包。 3 ^1 M  ]$ Q+ l* Y
0 Y5 B0 c+ d5 L- t+ {4 A6 v2 S; B
　　在以前详述的主动的 TCP入侵的情况下，第一个 TCP ACK包将包含服务器的顺序号，客户机因为没有送出请求更改的包，所以将不接受这个认证包。因此，客户机产生自己的认证包，它反过来迫使服务器产生另一个认证包，这些反复循环，理论上对传送每个数据包是一个无止尽循环（如图9）。
& ^6 E' Z; c' O/ F5 ?) I# p0 G" I9 `6 z
图9　入侵产生的风暴循环　　因为认证包不传送数据，如果接收者丢失了这个包，ACK包的发送者将不再传递。换句话说，如果一个机器在ACK风暴循环中丢掉一个包，循环便终止。幸运的是，正如您以前所知，TCP将IP用在不可靠的网络层上，以一个非空的包损失，网络设计者将迅速结束循环。而且，网上丢掉的包越多，ACK风暴持续期越短。再加之，ACK循环是自规的--换句话说，黑客产生的循环越多，客户机和服务器接到的交通数量也越多，它反过来增加拥挤度。这样便丢掉包，有更多的循环结束。
, F! I4 Y5 O  t8 H7 `( g3 s7 |& Y1 ?1 _7 k( D8 E
　　TCP 连接在每次客户机或服务器发送数据时创建一个循环。如果既不是客户机又不是服务器发送数据，TCP连接便产生不了循环。如果客户机和服务器都未发送数据也没有黑客认证数据，发送者将再传这个数据。在再传之后，TCP连接将为每一个再传送创建一个风暴，最后连接的双方放弃连接，因为客户机和服务器都未发送ACK包。如果黑客认证了数据传送，TCP连接将仅产生一个风暴。实际上，由于网上的负荷，黑客经常错过数据包，因此黑客将认证再传送的第一个包--意味着每次在黑客传输时入侵将至少产生一个ACK风暴。
' _3 [) G+ M) h* f* Z" |
0 U! W0 I6 X' |6 y; v! P; Z! ?5 A　　3．前期非同步入侵
7 H  p% j6 ~+ z! x' ?- a, M# M# y) u
　　在前面，您了解到非同步后TCP劫持入侵（即在客户机和服务器连接之后发生的入侵）。不像非同步后劫持入侵，前期非同步入侵在客户机和服务器的早期连接建立时破坏其连接，而不是在连接已设立或完成之后。前期非同步入侵在服务器端破坏连接，在破坏连接之后，黑客创建一个具有不同顺序号的新连接，前期非同步的入侵工作如下。 : m4 J  G; U. Q

: [: b1 i2 h" N: W% {& Q2 b! H+ _- {　　（1）在连接创建阶段2，黑客窃听服务器发送到客户机SYN/ACK包（如图10）。   ~! g4 Z6 v7 o1 S% f* n+ x
! q2 z. [/ e( |' i) ^0 c1 N2 Q
图10　服务器给客户机发送一个ACK包0 A3 c5 [; E+ s* A; g3 j6 [( W" {

$ _7 g7 a7 g/ ?" q& @　　（2）当黑客检测到SYN/ACK包时，黑客发送一个RST复位请求包，接着发送一个与服务器的SYN/ACK包有相同参数SYN包。然而，黑客的请求带着一个不同的顺序号。您可以把这个看作入侵者确认包（ATK_ACK_0）（如图11）。 # _/ }& v+ }( t1 T5 V& l

( V/ T0 z$ c1 ?0 N0 ?3 `图11　黑客发送两个数据包给服务器
* ^( b6 `) H* w" G+ |6 X" G% j
$ p  n( s7 {3 n　　（3）服务器将收到RST包时关闭第一个连接，且将在同一端重开一个新的连接，但当收到SYN包时，便具有不同顺序号，服务器将向原用户回送一个SYN/ACK包。
, _) i$ I  m5 Q+ s% E, d. Y1 w( F! t) n0 Y9 ^
　　（4）黑客截取SYN/ACK包，向服务器发送它自己的ACK包，服务器开关掷向同步连接以创建状态（如图12）。 6 C3 b# S8 s/ T  ?

% V9 W0 b5 F) X8 E3 Q' E图12　黑客截获包并建立同步接



欢迎光临 数学建模社区-数学中国 (http://www.madio.net/) Powered by Discuz! X2.5