信息安全概論（簡體書）

《信息安全概論/重點大學信息安全專業規劃系列教材》全面介紹信息安全的基本概念、原理、知識體系與應用，涵蓋了當前信息安全領域的主要研究內容，是信息安全專業的入門教材。《信息安全概論/重點大學信息安全專業規劃系列教材》主要涉及密碼學基礎與應用、網絡安全技術、環境與系統安全技術、操作系統安全技術、數據庫安全技術等信息安全領域的基礎知識。
《信息安全概論/重點大學信息安全專業規劃系列教材》條理清晰、語言通俗、知識體系結構完整，既可作為信息安全或計算機專業的本科生、研究生教材或參考書，也可供從事網絡與信息安全相關的科研人員、工程技術人員和技術管理人員參考。

9.4 網絡欺騙
常見的網絡欺騙包括IP源地址欺騙、DNS欺騙和源路由選擇欺騙。
9.4.1 lP源地址欺騙
IP源地址欺騙就是偽造某臺主機的IP地址的技術。通過IP地址的偽造使得某臺主機能夠偽裝成另外一臺主機，而這臺主機往往具有某種特權或者被另外的主機所信任。
假設已經找到一個攻擊目標主機，并發現了該主機存在信任模式，又獲得受信任主機IP。攻擊者如果簡單使用IP地址偽造技術，偽裝成受信任主機向目標主機發送連接請求，按TCP／IP三次握手的過程，目標主機將發送確認信息給受信任主機，如果受信任主機發現連接是非法的，信任主機會發送一個復位信息給目標主機，請求釋放連接，這樣IP欺騙將無法進行。因此，攻擊者為達到欺騙的目的，通常先使用如TCPSYN泛洪攻擊等技術使受信任主機喪失工作能力。受信任主機不能發送復位信息，目標主機也不會收到連接確認，根據TCP協議會認為是一種暫時的網絡通信錯誤，目標主機會認為對方將繼續嘗試建立連接，直至確信無法連接（出現連接超時）。在這段時間里，攻擊者可使用序列號猜測技術猜測出目標主機希望獲取的確認序列號，再次偽裝成信任主機發送連接確認信息，確認包的序列號設置為猜測得出的序列號.如果猜測正確就可以與目標主機建立起TCP連接。一旦連接建立，攻擊者就可以向目標主機發送攻擊數據，如放置后門程序等。
通過以上的分析可知，IP源地址欺騙過程主要包含五個步驟：?選定目標主機A；?發現信任模式及受信任主機B；?使主機B喪失工作能力；?偽裝成主機B向主機A發送建立TCP連接請求，并猜測主機A希望的確認序列號；?用猜測的確認序列號發送確認信息，建立連接。
IP源地址欺騙存在的主要原因是某些應用中的信任關系是建立在IP地址的驗證上，而數據包中IP的地址是可以很容易偽造的。IP源地址欺騙攻擊過程中難度最大的是序列號估計，估計精度的高低是欺騙成功與否的關鍵。針對這樣的特點，防范IP源地址欺騙可采取如下對策。
（1）不使用基于地址的信任策略。阻止這類攻擊的簡單辦法是放棄以地址為基礎的驗證。如在UNIX操作系統中不允許R類遠程調用命令的使用，刪除thosts文件和/etc／hosts.equiv文件，要求所有用戶使用其他更為安全的遠程通信手段，如SSH等。
（2）使用包過濾。如果內部網絡是通過路由器接入外部網絡的，那么可以利用邊界路由器來進行包過濾。確信只有內部網絡中可以使用IP信任關系，當路由器發現來自外部網絡的數據包的源地址和目的地址都是內部網絡的IP地址就意味著有人要試圖使用IP源地址欺騙的方式攻擊系統。使用這種方法的影響是，如果外部網絡存在受信任主機，包過濾將不能防范攻擊者偽裝成外部網絡中的受信任主機實施欺騙。
（3）使用加密機制。阻止IP欺騙的另一種可行的方法是在通信時要求加密傳輸和驗證。例如對發送的數據包進行數字簽名，使用偽造IP地址的方法就無法對目標主機實施欺騙了。
……