TCP会话劫持-MSE安全攻防培训资料课件.ppt
《TCP会话劫持-MSE安全攻防培训资料课件.ppt》由会员分享,可在线阅读,更多相关《TCP会话劫持-MSE安全攻防培训资料课件.ppt(27页珍藏版)》请在三一办公上搜索。
1、TCP会话劫持,1,会话劫持(Session Hijack)是一种结合了嗅探以及欺骗技术在内的攻击手段。广义上说,会话劫持就是在一次正常的通信过程中,黑客作为第三方参与到其中,或者是在数据流(例如基于TCP的会话)里注射额外的信息,或者是将双方的通信模式暗中改变,即从直接联系变成有黑客联系。,什么是会话劫持,2,TCP会话劫持的攻击方式可以对基于TCP的任何应用发起攻击,如HTTP、FTP、Telnet等。对于攻击者来说,所必须要做的就是窥探到正在进行TCP通信的两台主机之间传送的报文,这样攻击者就可以得知该报文的源IP、源TCP端口号、目的IP、目的TCP端号,从而可以得知其中一台主机对将要
2、收到的下一个TCP报文段中seq和ackseq值的要求。这样,在该合法主机收到另一台合法主机发送的TCP报文前,攻击者根据所截获的信息向该主机发出一个带有净荷的TCP报文,如果该主机先收到攻击报文,就可以把合法的TCP会话建立在攻击主机与被攻击主机之间。,基本原理,3,带有净荷的攻击报文能够使被攻击主机对下一个要收到的TCP报文中的确认序号(ackseq)的值的要求发生变化,从而使另一台合法的主机向被攻击主机发出的报文被被攻击主机拒绝。TCP会话劫持攻击方式的好处在于使攻击者避开了被攻击主机对访问者的身份验证和安全认证,从而使攻击者直接进入对被攻击主机的的访问状态,因此对系统安全构成的威胁比较
3、严重。,基本原理,4,所谓会话,就是两台主机之间的一次通讯。例如你Telnet到某台主机,这就是一次Telnet会话;你浏览某个网站,这就是一次HTTP会话。而会话劫 持(Session Hijack),就是结合了嗅探以及欺骗技术在内的攻击手段。例如,在一次正常的会话过程当中,攻击者作为第三方参与到其中,他可以在正常数据包中插入恶 意数据,也可以在双方的会话当中进行简听,甚至可以是代替某一方主机接管会话。,会话,5,我们可以把会话劫持攻击分为两种类型:1)中间人攻击(Man In The Middle,简称MITM)2)注射式攻击(Injection)并且还可以把会话劫持攻击分为两种形式:1)
4、被动劫持2)主动劫持被动劫持实 际上就是在后台监视双方会话的数据流,丛中获得敏感数据而主动劫持则是将会话当中的某一台主机“踢”下线,然后由攻击者取代并接管会话,这种攻击方法危害非常大,攻击者可以做很多事情,比如“cat etc/master.passwd”(FreeBSD下的Shadow文件)。,会话劫持,6,攻击者首先需要使用ARP欺骗或DNS欺骗,将会话双方的通讯流暗中改变,而这种改变对于会话双方来说是完全透明的。不管是ARP欺骗,还是DNS欺骗,中间人攻击都改变正常的通讯流,它就相当于会话双方之间的一个透明代理,可以得到一切想知道的信息。,中间人攻击,7,嗅探器只能在共享网段内进行ARP
5、欺骗可在交换式网络中进行ARP欺骗主要以发送欺骗性ARP报文方式进行,ARP欺骗,8,DNS欺骗就是攻击者冒充域名服务器的一种欺骗行为DNS服务器不可能将所有现存的域名或IP地址存储在本身的存储空间里。这就是为什么DNS服务器有一个高速缓冲存储器(cache),它使得服务器可以存储DNS记录一段时间。事实上,一台DNS服务器只会记录本身所属域中的授权的主机,如果它想要知道其它的,在自身域以外主机的信息,就必须向信息持有者(另一台DNS服务器)发送请求,同时,为了不每次都发送请求,这台DNS服务器会将另一台DNS服务器返回的信息又记录下来。,DNS欺骗,9,攻击者有一台Internet上的授权的
6、DNS服务器攻击者能修改这台服务器的DNS记录促使服务器进行递归查询,DNS欺骗,10,ARP欺骗冒充网关(局域网中)嗅探UDP53协议中的信息,DNS欺骗其他方法,11,这种方式的会话劫持比中间人攻击实现起来简单一些,它不会改变会话双方的通讯流,而是在双方正常的通讯流插入恶意数据。在注射式攻击中,需要实现两种技术:1)IP欺骗2)预测TCP序列号如果是UDP协议,只需伪造IP地址,然后发送过去就可以了,因为UDP没有所谓的TCP三次握手,但基于UDP的应用协议有流控机制,所以也要做一些额外的工作。,注射式攻击,12,对于IP欺骗,有两种情况需要用到:1)隐藏自己的IP地址2)利用两台机器之间
7、的信任关系实施入侵在Unix/Linux平台上,可以直接使用 Socket构造IP包,在IP头中填上虚假的IP地址,但需要root权限在Windows平台上,不能使用Winsock,需要使用 Winpacp(也可以使用Libnet),IP欺骗,13,根据TCP/IP中的规定,使用TCP协议进行通讯需要提供两段序列号,TCP协议使用这两段序列号确保连接同步以及安全通讯,系统的TCP/IP协议栈 依据时间或线性的产生这些值在通讯过程中,双方的序列号是相互依赖的,这也就是为什么称TCP协议是可靠的传输协议(具体可参见RFC 793)如果攻击者在这个时候进行简单会话插入,结果肯定是失败,因为会话双方“
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- TCP 会话 劫持 MSE 安全 攻防 培训资料 课件
链接地址:https://www.31ppt.com/p-3726674.html