拒绝服务与数据库安全课件.pptx
,拒绝服务与数据库安全,3.1 拒绝服务攻击概述,3.1.1 DoS定义 DoS(Denial Of Service)拒绝服务，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。带宽攻击指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，最后导致合法的用户请求就无法通过。连通性攻击指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。,DoS攻击的原理：借助网络系统或协议的缺陷以及配置漏洞进行网络攻击，使网络拥塞、系统资源耗尽或系统应用死锁，妨碍目标主机和网络系统对正常用户服务请求的及时响应，造成服务的性能受损，甚至导致服务中断。,DoS攻击的基本过程。,图3.1 DoS攻击的基本过程,3.1.2 拒绝服务攻击的分类 拒绝服务攻击可以是“物理的”（又称“硬件的”），也可以是“逻辑的”（又称“软件的”）。,按攻击的目标又可分为节点型和网络连接型。节点型:主机型攻击 应用型攻击 网络连接型,按照攻击方式来分可以分为：资源消耗、服务中止和物理破坏。1.资源消耗 带宽耗尽攻击 系统资源耗尽攻击 2.服务中止 3.物理破坏,按受害者类型可以分为服务器端拒绝服务攻击和客户端拒绝服务攻击。1.服务器端拒绝服务攻击 2.客户端拒绝服务攻击,3.1.3 常见DoS攻击 1Land程序攻击 Land 攻击，是利用向目标主机发送大量的源地址与目标地址相同的数据包，造成目标主机解析Land包时占用大量的系统资源，从而使网络功能完全瘫痪的攻击手段。,2SYN Flood攻击 这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，使被攻击方资源耗尽（CPU满负荷或内存不足）的攻击方式。,实现过程:第一次握手。第二次握手。三次握手完成。,3IP欺骗DoS攻击4Smurf攻击,攻击者伪装成被攻击者向某个网络上的广播设备发送请求，该广播设备会将这个请求转发到该网络的其他广播设备，导致这些设备都向被攻击者发出回应，从而达到以较小代价引发大量攻击的目的。,5Ping of Death 这种攻击通过发送大于65536字节的ICMP包造成操作系统内存溢出、系统崩溃、重启、内核失败等后果，从而达到攻击的目的,6Teardrop攻击 泪滴（Teardrop）攻击，是基于UDP的病态分片数据包的攻击方法，利用在TCP/IP堆栈中实现信任IP碎片中的包的标题头所包含的信息来实现自己的攻击。,7WinNuke攻击 WinNuke攻击是一种拒绝服务攻击。攻击特征：WinNuke攻击又称带外传输攻击，它的特征是攻击目标端口，被攻击的目标端口通常是139、138、137、113、53，而且URG位设为“1”，即紧急模式。检测方法：判断数据包目标端口是否为139、138、137等，并判断URG位是否为“1”。反攻击方法：适当配置防火墙设备或过滤路由器就可以防止这种攻击手段（丢弃该数据包），并对这种攻击进行审计（记录事件发生的时间，源主机和目标主机的MAC地址和IP地址MAC）。,3.1.4 分布式拒绝服务 分布式拒绝服务（Distributed Denial of Service，DDoS），是一种基于DoS的特殊形式的拒绝服务攻击，是一种分布、协作的大规模攻击方式，主要瞄准比较大的站点，像商业公司、搜索引擎或政府部门的站点。,图3.2 分布式拒绝服务,DDoS攻击分为3层：攻击者、主控端和代理端。,1Trinoo 2TFN 3TFN2K 4Stacheldraht,检测DDoS攻击的主要方法有以下几种。根据异常情况分析 使用DDoS检测工具,安全防御措施有以下几种。及早发现系统存在的攻击漏洞，及时安装系统补丁程序。在网络管理方面，要经常检查系统的物理环境，禁止那些不必要的网络服务。,利用网络安全设备（例如防火墙）来加固网络的安全性，配置好它们的安全规则，过滤掉所有可能的伪造数据包。,比较好的防御措施就是和网络服务提供商协调工作，让他们帮助实现路由访问控制和对带宽总量的限制。,当发现正在遭受DDoS攻击时，应当及时启动应付策略，尽可能快地追踪攻击包，并且要及时联系ISP和有关应急组织，分析受影响的系统，确定涉及的其他节点，从而阻挡已知攻击节点的流量。,3.1.5 拒绝服务攻击的防护 拒绝服务攻击的防护一般包含两个方面：一是针对不断发展的攻击形式，尤其是采用多种欺骗技术的技术，能够有效地进行检测；二，也是最为重要的，就是如何降低对业务系统或者是网络的影响，从而保证业务系统的连续性和可用性。,通常建议用户可以采取以下手段来保障网络能够抵御拒绝服务攻击。,增加网络核心设备的冗余性，提高对网络流量的处理能力和负载均衡能力。通过路由器配置访问列表过滤掉非法流量。,部署防火墙，提高网络抵御网络攻击的能力。部署入侵检测设备，提高对不断更新的DoS攻击的识别和控制能力。,3.2 基于漏洞入侵的防护方法,3.2.1 基于IIS漏洞入侵的防护方法 1.ida&.idq漏洞,表3.1.ida&.idq漏洞简介,续表,2.printer漏洞,表3.2.printer漏洞简介,续表,3Unicode目录遍历漏洞,表3.3 Unicode目录遍历漏洞简介,续表,续表,4.asp映射分块编码漏洞,表3.4.asp映射分块编码漏洞简介,续表,5WebDAV远程缓冲区溢出漏洞,表3.5 WebDAV远程缓冲区溢出漏洞简介,6Microsoft IIS 6.0 Web安全漏洞 安全解决方案如下所示。转移根目录，不要把Web根目录建在系统磁盘（C:）。把IIS目录的权限设置为只读。如果IIS只用来提供静态网页，即不提供ASP、JSP、CGI等脚本,服务，那么建议删除脚本目录，或者说，删除全部默认安装目录，并禁止任何脚本、应用程序执行，并删除应用程序配置里面的“ISAPI”应用程序、禁止脚本测试等。,设置安全日志，并把该日志存在一个不显眼的路径下。安装网络防火墙，并禁用除80端口以外所有端口的内外通信连接。经常备份，并把备份文件存储在另一台计算机上。,3.2.2 基于电子邮件服务攻击的防护方法 IMAP和POP漏洞。拒绝服务（DoS）攻击。,死亡之ping 同步攻击 循环,系统配置漏洞 默认配置 空的/默认根密码 漏洞创建,利用软件问题 缓冲区溢出 意外组合 未处理的输入,利用人为因素 特洛伊木马及自我传播 远程访问 数据发送 破坏 拒绝服务 代理,解决方法有以下3种。（1）在电子邮件系统周围锁定电子邮件系统电子邮件系统周边控制开始于电子邮件网关的部署。电子邮件网关应根据特定目的与加固的操作系统和防止网关受到威胁的入侵检测功能一起构建。,（2）确保外部系统访问的安全性电子邮件安全网关必须负责处理来自所有外部系统的通信，并确保通过的信息流量是合法的。通过确保外部访问的安全，可以防止入侵者利用Web邮件等应用程序访问内部系统。,（3）实时监视电子邮件流量实时监视电子邮件流量对于防止黑客利用电子邮件访问内部系统是至关重要的。检测电子邮件中的攻击和漏洞攻击（如畸形MIME）需要持续监视所有的电子邮件。,3.2.3 注册表入侵的防护方法,表3.6 注册表根项名称说明,续表,续表,表3.7 注册表数据类型说明,续表,通过以下两种方法增强注册表的安全性。1禁止使用注册表编辑器,方法一：打开一个“记事本”文件，如果计算机的操作系统是Windows 2000XP，在其中输入以下文字：Windows Registry Editor Version 5.00,HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem“Disableregistrytools”=dword:00000000,如果操作系统是Windows 98或Windows 95，则输入如下文字：REGEDIT4,HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem“Disableregistrytools”=dword:00000000,将文件保存为名为“Unlock.reg”的注册表文件。双击运行该文件，即可将该文件导入到注册表中，然后使用常规打开注册表编辑器的方法就可以重新打开注册表编辑器了。,方法二：在Windows 2000XP2003系统中，从“开始”菜单中选择“运行”，在打开的“运行”对话框中输入“Gpedit.msc”，单击“确定”按钮，即可打开“组策略”对话框（见图3.4）。,从左侧栏中依次选择“用户配置”“管理模板”“系统”选项，在右侧栏中双击“阻止访问注册表编辑工具”，可以打开“阻止访问注册表编辑工具属性”对话框，选择“已禁用”单选项，单击“确定”按钮，即可恢复禁用的注册表编辑器。如图3.5所示。,图3.4 组策略编辑器,图3.5“阻止访问注册表编辑工具属性”对话框,2删除“远程注册表服务”（Remote Registry Service）方法是找到注册表中HKEY_LOCAL_MACHINE SYSTEMCurrentControlSet,Services下的RemoteRegistry项，在其上单击鼠标右键，选择“删除”选项，将该项删除后就无法启动该服务了，即使我们通过“控制面板”“管理工具”“服务”中启动也会出现相应的错误提示，根本无法启动该服务。,3.2.4 Telnet入侵的防护方法 禁用Telnet服务,防范IPC漏洞，禁用建立空连接，,3.3 SQL数据库安全,3.3.1 数据库系统概述3.3.2 SQL服务器的发展 1970年6月，1987年，1993年，1996年，1998年，2000年9月，2005年。,3.3.3 数据库技术的基本概念 数据（Data）数据库（DB）数据库管理系统（DBMS）数据库系统（DBS）数据库技术 数据模型,两种类型。一种是独立于计算机系统的数据模型，完全不涉及信息在计算机中的表示，只是用来描述某个特定组织所关心的信息结构，这类模型称为“概念数据模型”。,另一种数据模型是直接面向数据库的逻辑结构，它是对现实世界的第二层抽象。这类模型直接与数据库管理系统有关，称为“逻辑数据模型”，一般又称为“结构数据模型”。,结构数据模型应包含数据结构、数据操作和数据完整性约束3个部分。,3.3.4 SQL安全原理 1第一级安全层次 服务器登录，SQL Server有两种服务器验证模式：安全模式和混合模式,表3.8 服务器角色及其主要功能,2第二级安全层次 它控制用户与一个特定的数据库的连接。,3第三级安全层次 它允许用户拥有对指定数据库中一个对象的访问权限，由数据库角色来定义。,（1）用户定义的角色（2）固定数据库角色,表3.9数据库角色及其主要功能,续表,3.4 SQL Server攻击的防护,3.4.1 信息资源的收集 称之为SQL Server解决服务方案。,3.4.2 获取账号及扩大权限 入侵者可以通过以下几个手段来获取账号或密码。,社会（交）工程学 弱口令扫描 探测包 暴力破解SQL口令 其他方法,3.4.3 设置安全的SQL Server 在进行SQL Server 2000数据库的安全配置之前，需要完成3个基本的安全配置。,对操作系统进行安全配置，保证操作系统处于安全的状态。,对要使用的数据库软件（程序）进行必要的安全审核，比如ASP、PHP等脚本，这是很多基于数据库的Web应用常出现的安全隐患，对于脚本主要是一个过滤问题，需要过滤一些类似于“,”、“”、“；”、“”、“/”等的字符，防止破坏者构造恶意的SQL语句进行注入。,安装SQL Server 2000后，要打上最新的补丁。,SQL Server 2000的安全配置。（1）使用安全的密码策略和账号策略，减少过多的权限（2）激活审核数据库事件日志（3）清除危险的扩展存储过程,（4）在与工作相关的存储过程上设置严格的权限（5）使用协议加密（6）拒绝来自1434端口的探测,（7）更改默认的TCP/IP端口1433（8）对网络连接进行IP限制（6）拒绝来自1434端口的探测,1、有时候读书是一种巧妙地避开思考的方法。23.3.2023.3.20Monday,March 20,20232、阅读一切好书如同和过去最杰出的人谈话。22:50:1122:50:1122:503/20/2023 10:50:11 PM3、越是没有本领的就越加自命不凡。23.3.2022:50:1122:50Mar-2320-Mar-234、越是无能的人，越喜欢挑剔别人的错儿。22:50:1122:50:1122:50Monday,March 20,20235、知人者智，自知者明。胜人者有力，自胜者强。23.3.2023.3.2022:50:1122:50:11March 20,20236、意志坚强的人能把世界放在手中像泥块一样任意揉捏。2023年3月20日星期一下午10时50分11秒22:50:1123.3.207、最具挑战性的挑战莫过于提升自我。2023年3月下午10时50分23.3.2022:50March 20,20238、业余生活要有意义，不要越轨。2023年3月20日星期一10时50分11秒22:50:1120 March 20239、一个人即使已登上顶峰，也仍要自强不息。下午10时50分11秒下午10时50分22:50:1123.3.2010、你要做多大的事情，就该承受多大的压力。3/20/2023 10:50:11 PM22:50:112023/3/2011、自己要先看得起自己，别人才会看得起你。3/20/2023 10:50 PM3/20/2023 10:50 PM23.3.2023.3.2012、这一秒不放弃，下一秒就会有希望。20-Mar-2320 March 202323.3.2013、无论才能知识多么卓著，如果缺乏热情，则无异纸上画饼充饥，无补于事。Monday,March 20,202320-Mar-2323.3.2014、我只是自己不放过自己而已，现在我不会再逼自己眷恋了。23.3.2022:50:1120 March 202322:50,谢谢大家,
