- 在线时间
- 0 小时
- 最后登录
- 2007-9-23
- 注册时间
- 2004-9-10
- 听众数
- 3
- 收听数
- 0
- 能力
- 0 分
- 体力
- 9975 点
- 威望
- 7 点
- 阅读权限
- 150
- 积分
- 4048
- 相册
- 0
- 日志
- 0
- 记录
- 0
- 帖子
- 1893
- 主题
- 823
- 精华
- 2
- 分享
- 0
- 好友
- 0

我的地盘我做主
该用户从未签到
 |
五、另一种嗅探--冒充入侵
! p( A# |8 v4 i1 q. q, r [+ I. Z1 M1 e
您已了解到实际的嗅探入侵的基础,包括一些组成部分。本部分详述的冒充入侵中,黑客用客户机IP地址作为源址向服务器发送一个SYN包以初始化通话。黑客传送的地址必须是冒充成可信任主机地址。服务器将用一个SYN/ACK包来确认SYN包,它包含以下行: 2 M# Q1 b+ c: {; h: P' k
! c: y, y1 X% \1 K# W2 g
SEG_SEQ = SVR_SEQ_O
9 t6 Y6 e' X* A" S } J6 F" ^5 S% H6 E. U5 _
黑客因此可以用自己的包来确认服务器的SYN/ACK包。黑客数据包中包含了黑客所猜的SVR_SEQ_O的值即顺序号。如果成功,那么黑客不必嗅探客户包,因为黑客能预测SVR_SEQ_O且确认它。 9 V- @ b R0 q5 s/ y
5 P4 B% I5 C0 _0 |& c6 p" O% ^# \ D
1.冒充入侵的两个主要缺点 4 X8 e q- K" L0 i% |. m5 B" `4 G4 i
X/ k, ?2 I# n
(1)黑客冒充的客户机将收到来自服务器的SYN/ACK包,而向服务器回发一个RST(复位)包,因为在客户机看来,通话不存在。而黑客可能阻止客户机的复位包产生,或当客户机未按入网络时入侵,或使客户机的TCP队列溢出,如此,客户机将在往服务器上发送数据中丢失包。
" s0 F4 G% L: g& q: N- u' h& _9 b5 Z$ c- p' {8 F: e% s. s
(2)黑客不能从服务器上得到数据,然而黑客可以发送一些足以危害主机的数据。
2 n% Y9 S3 r: l) M" \9 }
d; O! X! N. O- O 2.冒充入侵和非同步后劫持入侵的不同点
+ u( r7 g$ `: c: `& P' _- E) }# a3 r2 @3 c- r7 l3 q& U
冒充入侵和您以前了解到的非同步后劫持入侵的四个不同之处在于:
, h9 P7 }( z3 x( ?( p, g
% t3 ~. v2 O0 A$ R (1)非同步后劫持入侵让黑客实行并控制连接的鉴别阶段,而冒充入侵依靠于可信任主机的鉴别方案。
* \5 w0 }3 q/ B) K* J0 D8 p: H. f! w
(2)非同步后劫持入侵让黑客对于TCP流有很大的访问权。换句话说,黑客可以同时收发数据,而不是像冒充入侵那样仅能发送数据。 * U# X. \7 y# N) l1 n
9 q/ E0 H' m9 y E1 c (3)非同步后劫持入侵利用以太网嗅探来预测或得到SVR-SEQ-O。
M7 ~6 n, e( a0 E' C, k/ E
* z, V& K5 o' c8 k (4)黑客可以用非同步后劫持入侵法攻击任何类型主机。因为冒充入侵时要倚赖于UNIX可信任主机的模式,所以它仅能对UNIX主机进行攻击。 / O$ l8 V) M5 }* \+ ]
* b. v9 t- T6 E( s9 q! H
然而,如果客户机脱线了或是不能收发RST复位包,黑客可以用冒充入侵来与服务器建立一个全面的TCP连结。黑客将可代表客户机发送数据。当然,黑客必须通过认证障碍。如果系统采用的是基于可信任主机的认证,那么黑客将对主机的服务有全权访问。 2 `7 k3 T; e, p
/ S, }) C0 X3 ~9 V' t& r, y
尽管当黑客进行非同步后劫持入侵进攻局域网时,系统分析员易于核查到入侵,但在远程低带宽和低延迟网上进行非同步持劫持入侵是很有效果的。而且,正如您所知,黑客可使用与进行被动嗅探入侵(它经常发生在INTERNET)时相同的资源来实施非同步后劫持入侵。两种入侵对黑客来说其优点在于它对用户都是不可的。用户不可见很重要,INTERNET上入侵主机越来越频繁,网络安全变得令人关注,黑客的秘密行动是黑客入侵的一个重要因素。 |
zan
|