1目錄（Contents）欺騙攻擊ARP欺騙與防御IP欺騙與防御DNS欺騙與防御電子郵件欺騙及防御Web欺騙與防御欺騙：冒充身份通過認證以騙取信任的攻擊方式攻擊者針對認證機制的缺陷，將自己偽裝成可信任方，從而與受害者交流，以獲取信息或者展開進一步攻擊常見的欺騙攻擊：ARP欺騙IP欺騙電子郵件欺騙DNS欺騙Web欺騙2欺騙攻擊假作真時真亦假，無為有處有還無ARP工作原理：3ARP欺騙IP地址MAC地址ARPCDAEB誰是55我是5建立在網(wǎng)絡互相信任的基礎上每臺主機、網(wǎng)關都有一個ARP緩存表，用于存儲其他主機或網(wǎng)關IP—MAC的對應關系arp–a4ARP欺騙動態(tài)dynamic：其內容可以被ARP應答包的內容修改靜態(tài)static：不能被ARP應答包內容修改ARP的缺陷：主機收到應答包后不驗證自己是否發(fā)送過對應的ARP請求不驗證該回應包是否可信直接用應答包里的信息替換ARP緩存表中的原有信息5ARP欺騙6ARP欺騙ARP欺騙前的信息流向ARP欺騙后的信息流向網(wǎng)關MAC：01-01-01-01-01-01主機B—感染ARP病毒IP：MAC：03-03-03-03-03-03ARP緩存表02-02-02-02-02-0203-03-03-03-03-03ARP緩存表01-01-01-01-01-0103-03-03-03-03-03主機A—被ARP欺騙IP：MAC：02-02-02-02-02-02ARP緩存表01-01-01-01-01-0102-02-02-02-02-02發(fā)送偽造的ARPreply包：的MAC是03-03-03-03-03-03發(fā)送偽造的ARPreply包：的MAC是03-03-03-03-03-0303-03-03-03-03-0303-03-03-03-03-03ARP欺騙的后果：導致同網(wǎng)段的其他用戶無法正常上網(wǎng)（頻繁斷網(wǎng)或網(wǎng)速慢）嗅探交換式局域網(wǎng)內的所有數(shù)據(jù)包，從而獲取敏感信息對信息進行篡改，修改重要信息，進而控制受害者會話7ARP欺騙Ettercap——（圖像化版本：ettercap-graphical）dsniff8ARP欺騙driftnet：抓取圖片等ARP欺騙的檢測：網(wǎng)絡頻繁掉線網(wǎng)絡突然莫名其妙的慢使用arp–a命令發(fā)現(xiàn)網(wǎng)關的MAC地址與真實的網(wǎng)關MAC地址不同使用網(wǎng)絡嗅探軟件發(fā)現(xiàn)局域網(wǎng)存在大量ARP響應包ARP欺騙的防御：MAC地址靜態(tài)綁定（arp-s）使用ARP服務器（確保該服務器不被控制）使用ARP欺騙防護軟件，如ARP防火墻及時發(fā)現(xiàn)進行ARP欺騙的主機，并將其隔離9ARP欺騙Example：在Windows下使用靜態(tài)的ARP表假設網(wǎng)關54的MAC為：00-0f-7a-02-00-4b把網(wǎng)關的arp記錄設置成靜態(tài)，命令為arp-s5400-0f-7a-02-00-4b10ARP欺騙IP協(xié)議：非面向連接，兩臺計算機的信任連接主要依靠雙方的IP地址IP欺騙的方式：簡單的IP地址更改源路由攻擊TCP會話劫持11IP欺騙簡單的IP地址更改:（攻擊效果很一般）攻擊者將IP地址改成其他主機的地址TCP：A將收到一無所知的會話回復，將丟棄數(shù)據(jù)包，無法完成一次完整的TCP連接UDP：無連接，數(shù)據(jù)包會發(fā)送到A，導致拒絕服務12IP欺騙信任ABC冒充A盲目飛行攻擊(flyingblindattack)/單向攻擊(one-wayattack)攻擊者如果想得到從目的主機返回的數(shù)據(jù)流，一個方法是攻擊者插入到正常情況下數(shù)據(jù)流經(jīng)過的通路上Q：攻擊者一定能得到返回的數(shù)據(jù)流嗎？A：不能，因為Internet是動態(tài)路由13IP欺騙中間人14IP欺騙Q：怎么能確保得到返回的數(shù)據(jù)流哪？A：源路由攻擊（sourcerouting）：寬松的源站選擇（LSR）：發(fā)送端指明數(shù)據(jù)包必須經(jīng)過的IP地址清單，但如果需要也可以經(jīng)過其他地址嚴格的源站選擇（SRS）：發(fā)送端指明數(shù)據(jù)包必須經(jīng)過的確切IP地址，數(shù)據(jù)包如果沒有經(jīng)過這一確切路徑，數(shù)據(jù)包將被丟棄，并返回ICMP報文remark：（源路由字段39字節(jié)—3字節(jié)附加信息）/4—1個目的地址（最后一個必須是目的地址）=8IP地址TCP會話劫持(SessionHijack)：接管現(xiàn)存動態(tài)會話的過程，即攻擊者可以替代原來的合法用戶，同時監(jiān)視并掌握會話內容會話劫持結合了嗅探及欺騙技術會話劫持一般伴隨著拒絕服務DoS，且不依賴于操作系統(tǒng)15IP欺騙—高級應用正常會話被冒充者A服務器受害者攻擊者B下線！你好，我是A會話劫持的關鍵之一—TCP序列號猜測:16IP欺騙17IP欺騙—高級應用Wireshark顯示的是相對序列號/確認號，而不是實際序列號/確認號

18IP欺騙會話劫持過程：發(fā)現(xiàn)攻擊目標：必須能檢測目標主機的通信流確認會話狀態(tài)：會話劫持一般在流量達到高峰時進行攻擊者可以選擇的會話較多掉線不容易引起用戶的懷疑猜測序列號：TCP僅通過SEQ/ACK序列號來區(qū)分正確/錯誤數(shù)據(jù)包以某種方式擾亂客戶機的SEQ/ACK，使服務器不再相信客戶機的正確數(shù)據(jù)包，然后偽裝成客戶機，使用猜測的正確的SEQ/ACK序列號與服務器通信擾亂方法：恰當?shù)臅r間在通信流中插入一個欺騙包，服務器接收后更新ACK；客戶機對此毫無察覺，依然使用舊的SEQ通信使客戶主機下線：DoS攻擊接管會話：攻擊者在受害服務器上留下后門（創(chuàng)建賬號）19IP欺騙路由器欺騙過濾：防范基本的IP欺騙：入口過濾：不允許任何從外面進入網(wǎng)絡的數(shù)據(jù)包使用單位內部地址作為源地址出口過濾：從內網(wǎng)主機到內網(wǎng)主機的流量不允許流到本網(wǎng)絡之外防范源路由欺騙：設置路由器禁用源路由防范會話劫持（沒有有效的辦法可以根本上防范會話劫持攻擊，只能盡量減少攻擊帶來的危害）：加密：使用安全協(xié)議：使用SSH，而不使用Telnet限制保護：允許外網(wǎng)到內網(wǎng)的信息越少，內網(wǎng)越安全20IP欺騙的防御DNS欺騙的原理及實現(xiàn)步驟：當向本地DNS服務器查詢域名時，如果服務器緩存中已有相應記錄，就直接將這條記錄返回給用戶DNS欺騙的關鍵是在DNS服務器的本地Cache中緩存一條偽造的解析記錄21DNS欺騙與防御兩種可能情況下的實現(xiàn)辦法:攻擊者可以控制本地域名服務器攻擊者控制本地域名服務器(假定是163.com域的權威)，在其數(shù)據(jù)庫中增加一個附加記錄，將攻擊目標的域名(如)指向攻擊者的欺騙IP用戶向該域名服務器發(fā)送對攻擊目標的域名解析時，將得到攻擊者的欺騙IP*現(xiàn)實情況：攻擊者往往無法控制DNS服務器攻擊者無法控制DNS服務器但可以控制DNS服務器所在網(wǎng)絡的某臺主機，并可以監(jiān)聽該網(wǎng)絡中的通信情況。黑客要對遠程的某DNS服務器進行欺騙：首先，黑客要冒充某個域名服務器的IP地址其次，黑客要能預測目標域名服務器所發(fā)送DNS數(shù)據(jù)包的ID號22DNS欺騙與防御確定目標DNS服務器的ID號為DNS欺騙攻擊的關鍵DNS數(shù)據(jù)通過UDP（53端口）協(xié)議傳遞，通信過程往往是并行的，即域名服務器之間同時可能會進行多個解析過程Q：靠什么來彼此區(qū)別呢?A：DNS報文的ID域請求方和應答方使用相同的ID號證明是同一個會話在一段時期內，DNS服務器一般都采用一種有章可循的ID生成機制，如對每次發(fā)送的域名解析請求ID依次加123DNS欺騙與防御攻擊者如果可以在某個DNS服務器的網(wǎng)絡中進行嗅探，則只要向遠程DNS服務器發(fā)送一個對本地某域名的解析請求，得到來自目標DNS服務器的請求數(shù)據(jù)包（因為遠程DNS服務器肯定會轉而請求本地的DNS服務器），攻擊者就可以得到想要的ID號即使無法監(jiān)聽擁有DNS服務器的網(wǎng)絡，也有辦法得到目標DNS服務器的ID號向目標DNS服務器請求某個不存在域名地址（但該域存在）冒充所請求域的DNS服務器，向目標DNS服務器連續(xù)發(fā)送應答包，包中的ID號依次遞增一段時間后，再次向目標DNS服務器發(fā)送針對該域名的解析請求，如果得到返回結果，就說明目標DNS服務器接受了剛才的偽造應答，否則，再次嘗試24DNS欺騙與防御25DNS欺騙與防御例：B域的DNS服務器向A域的DNS服務器請求解析，如果偽造的DNS應答包中含有正確的ID號，并搶在B域的DNS服務器之前向A域的DNS服務器返回偽造信息，欺騙就將成功一次DNS欺騙攻擊的完整過程26Ettercap進行dns-spoof27Ettercap進行dns-spoofDNS欺騙的局限性：攻擊者不能替換緩存中已經(jīng)存在的記錄DNS服務器存在緩存刷新時間問題DNS欺騙的防御：使用最新版本DNS服務器軟件并及時安裝補丁關閉DNS服務器的遞歸功能：利用緩存中的記錄信息或通過查詢其它服務器獲得信息并發(fā)送給客戶機，稱為遞歸查詢——容易導致DNS欺騙限制區(qū)域傳送范圍：限制域名服務器做出響應的地址、限制域名服務器做出響應的遞歸請求地址、限制發(fā)出請求的地址限制動態(tài)更新采用分層的DNS體系結構28DNS欺騙與防御電子郵件欺騙的原理:郵件系統(tǒng)組成:用戶代理（UserAgent）:用戶端發(fā)信和收信的程序，負責將信件按照一定的標準包裝，然后送到郵件服務器，或由郵件服務器收回傳輸代理（TransferAgent）:負責信件的交換和傳輸，將信件傳送至適當?shù)泥]件服務器投遞代理（DeliveryAgent）:將信件分發(fā)至最終用戶的郵箱正常情況下，郵件會將發(fā)送者的名字和地址包括進郵件頭中，但有時發(fā)送者不希望收件者知道是誰發(fā)的(匿名郵件)：最簡單的方法：改變電子郵件發(fā)送者的名字，但通過郵件頭的其它信息仍能夠跟蹤發(fā)送者徹底的方式：讓其他人發(fā)送這個郵件，發(fā)信地址就變成轉發(fā)者的地址?，F(xiàn)在因特網(wǎng)上有大量的匿名服務器29電子郵件欺騙及防御技術30電子郵件服務器的工作流程MaryJack1.將郵件傳到SMTP服務器2.詢問的SMTP服務器地址3.傳送SEVER1的IP地址4.將郵件傳送SEVER15.將郵件存儲到郵件存放區(qū)Jack:jack@DNS服務器的SMTP服務器SEVER1(的SMTP服務器)郵件存放區(qū)（mailstore）6.向POP3服務器索取郵件8.將郵件傳給Mary7.讀取Mary的郵件Mary:Mary@POP3服務器(的POP3服務器)Jack發(fā)送郵件給Mary@yahoo.com的流程郵件存放區(qū)POP3/IMAPSMTP電子郵件欺騙的方法：利用相似的電子郵件地址找到一個受害者熟悉的名字，然后注冊一個像該名字的郵件地址。收件人很可能會回復這個郵箱，攻擊者就有得到想要信息的可能性直接使用偽造的E-mail地址SMTP協(xié)議的致命缺陷——遵循過于信任的原則：不對郵件發(fā)送者的身份進行驗證可以隨意構造發(fā)件人地址來發(fā)送郵件遠程登錄到SMTP端口（25）發(fā)送郵件31電子郵件欺騙及防御技術沒有設置SMTP身份驗證功能的郵件服務器發(fā)出電子郵件時，發(fā)送郵件服務器不會對發(fā)件人地址進行驗證或者確認，因此攻擊者能夠隨意指定他想使用的所有地址32電子郵件欺騙及防御技術攻擊者還能夠指定他想要的任何郵件返回地址。當用戶回信時，答復回到攻擊者所掌握的郵箱test@test33電子郵件欺騙及防御技術遠程登錄到SMTP端口發(fā)送郵件攻擊者有一臺25號端口開放的機器和一臺正在運行的郵件服務器后，輸入下面的命令：telnetIP地址

25在連接上以后，再輸入下面的內容：

HELO

MAILFROM:欺騙偽裝的mail地址

RCPTTO:收件的受害者mail地址

DATA

郵件的內容34電子郵件欺騙及防御技術35電子郵件欺騙及防御技術釣魚（Phishing）郵件：利用偽裝的電郵，欺騙收件人將賬號、口令等信息回復給指定的接收者；或引導收件人連接到特制的網(wǎng)頁，如銀行的網(wǎng)頁，令登錄者信以為真，輸入信用卡或銀行卡號碼、賬戶名稱及密碼等而被盜取魚叉式網(wǎng)絡釣魚（SpearPhishing）：一種只針對特定目標進行攻擊的網(wǎng)絡釣魚攻擊36釣魚郵件與魚叉式釣魚攻擊APT組織海蓮花發(fā)送的釣魚郵件37釣魚郵件與魚叉式釣魚攻擊電子郵件欺騙的防御:樹立風險意識，不要隨意打開一個不信任的郵件從如下角度介紹幾種防范方法：郵件接收者郵件發(fā)送者郵件服務器郵件加密38電子郵件欺騙及防御技術郵件接收者：合理配置郵件客戶端，使總能顯示完整的電子郵件地址，而不僅僅顯示別名，完整的電子郵件地址能提供表明正在發(fā)生一些不平常事情的一些跡象用戶應該注意檢驗發(fā)件人字段，不要被相似的發(fā)信地址所蒙蔽郵件發(fā)送者：如使用foxmail或者outlook之類的郵件客戶端，必須保護好郵件客戶端，防止他人修改客戶端設置39電子郵件欺騙及防御技術郵件服務器提供方：采用SMTP身份驗證機制：新SMTP協(xié)議規(guī)范新增2個命令(VRFY,EXPN)，對發(fā)件人進行身份認證，一定程度上降低了匿名/垃圾郵件的風險郵件加密——安全郵件標準：OpenPGP(RFC4880):PGP(PrettyGoodPrivacy，相當好的隱私，商業(yè)版)GnuPG(GPG，C):開源項目,支持OpenPGP,S/MIMES/MIME（RFC2311,Secure/MultipurposeInternetMailExtension）安全/多用途因特網(wǎng)郵件擴展40電子郵件欺騙及防御技術41OpenPGP發(fā)送消息的過程Alice給Bob發(fā)送消息的操作步驟使用GnuPG或PGP，對郵件加密、簽名42加密郵件

Web欺騙：創(chuàng)造一個完整的令人信服的Web世界，但實際是一個虛假的復制虛假的Web看起來十分逼真，擁有相同的網(wǎng)頁和鏈接。然而攻擊者控制著這個虛假的Web站點，受害者的瀏覽器和Web之間的所有網(wǎng)絡通信就完全被攻擊者截獲Web欺騙成功的關鍵是在受害者和真實Web服務器之間插入攻擊者的Web服務器—中間人攻擊（man-in-the-middle)，攻擊者要完成以下工作：攻擊者改寫Web頁中的所有URL地址，使它們指向攻擊者的Web服務器。例如指向/43Web欺騙與防御工作流程：用戶訪問偽造的/

/

向/

請求文檔；/

向