文档介绍：一、传输层安全
网络安全网络安全
2021/1/15
1
1、TCP初始序号预测（1）
我们知道TCP协议采用确认重传机制保证数据流的可靠性，确认是以TCP的序号字段为基础的。TCP在使用三次握手机制建立连接时的初始序号有一定的随机性，但是依据其实现机制不同，还是有一些方法可以对TCP初始序号进行预测。
网络安全网络安全
2021/1/15
2
1、TCP初始序号预测（2）
有3种常用的方法来产生初始序列号：
64K规则：这是一种最简单的机制，目前仍在一些主机上使用。每秒用一常量（12800）增加初始序列号，如果有某一个连接启动，则用另一个常量（64000）增加序列号计数器。
与时间相关的产生规则：这是一种很流行的简单机制，允许序列号产生器产生与时间相关的值。这个产生器在计算机自举时产生初始值，依照每台计算机各自的时钟增加。由于各计算机上的时钟并不完全相等，增大了序列号的随机性。
伪随机数产生规则：较新的操作系统使用伪随机数产生器产生初始序列号。
网络安全网络安全
2021/1/15
3
1、TCP初始序号预测（3）
对于第一、第二种方式产生的初始序号，攻击者在一定程度上是可以预测的。首先，攻击者发送一个SYN包，目标主机响应后攻击者可以知道目标主机的TCP/IP协议栈当前使用的初始序列号。然后，攻击者可以估计数据包的往返时间，根据相应的初始序号产生方法较精确的估算出初始序号的一个范围。有了这个预测出的初始序号范围，攻击者可以对目标主机进行TCP欺骗的盲攻击
网络安全网络安全
2021/1/15
4
1、TCP初始序号预测（4）
能够预测TCP初始序号的原因是其产生与时间相关且变化频率不够快，从而导致随机性不够。预防此类攻击，只需使用第三种初始序号产生方法，一般伪随机数发生器产生的序号是无法预测的。
网络安全网络安全
2021/1/15
5
2、端口扫描（1）
端口是TCP/IP体系中运输层的服务访问点，传输层到某端口的数据都被相应绑定到该端口的进程所接收。保留端口是TCP/IP分配端口的一种方法，它们都对应了相应的应用程序和服务。攻击者可以试图和目标主机的一系列端口（一般是保留端口和常用端口）建立连接或请求通信，若目标主机有回应，则它打开了相应的应用程序或服务，攻击者也就可以使用应用层的一些攻击手段了。
网络安全网络安全
2021/1/15
6
2、端口扫描（2）
常用的端口扫描技术：
TCP connect() 扫描
这是最基本的TCP扫描。操作系统提供的connect()系统调用，用来与每一个感兴趣的目标主机的端口进行连接。如果端口处于侦听状态，那么connect()就能成功。否则，这个端口是不能用的，即没有提供服务。
网络安全网络安全
2021/1/15
7
2、端口扫描（3）
2）TCP SYN扫描
这种技术通常认为是“半开放”扫描，这是因为扫描程序不必要打开一个完全的TCP连接。扫描程序发送的是一个SYN数据包，好象准备打开一个实际的连接并等待反应一样（参考TCP的三次握手建立一个TCP连接的过程）。一个SYN|ACK的返回信息表示端口处于侦听状态。一个RST返回，表示端口没有处于侦听态。如果收到一个SYN|ACK，则扫描程序必须再发送一个RST信号，来关闭这个连接过程。
网络安全网络安全
2021/1/15
8
2、端口扫描（4）
3）TCP FIN 扫描
有的时候可能SYN扫描都不够秘密。一些防火墙和包过滤器会对一些指定的端口进行监视，有的程序能检测到这些扫描。相反，FIN数据包可能会没有任何麻烦的通过。这种扫描方法的思想是关闭的端口会用适当的RST来回复FIN数据包。这种方法和系统的实现有一定的关系。有的系统不管端口是否打开，都回复RST，这样，这种扫描方法就不适用了。并且这种方法在区分Unix和NT时，是十分有用的。
网络安全网络安全
2021/1/15
9
2、端口扫描（5）
4)IP包分段扫描
这种不能算是新方法，只是其它技术的变化。它并不是直接发送TCP探测数据包，是将数据包分成几个较小的IP段。这样就将一个TCP头分成好几个数据包，从而过滤器就很难探测到。
网络安全网络安全
2021/1/15
10