病毒网络攻击基础知识(4)

病毒网络攻击基础知识猾诮沓靥(4)

五、DNS服务器易受哪些攻击，如何保护DNS服务器

由于DNS服务使用UDP协议，因此对于攻击者而言，更容腴李敝笃易把攻击焦点集中在DNS服务上。DNS服务面临的威胁包括：

缓存区中毒：这种攻击是指黑客在主DNS服务器向辅DNS服务器进行区域传输时插入错误的DNS信息，一旦成功，攻击者便可使辅DNS服务器提供错误的名称到IP地址的解析信息；如果使用DNS缓存伪造信息的话，攻击者可以改变发向合法站点的传输流方向，使它传送到攻击者控制的站点上；

拒绝服务：对某些域名服务器的大规模拒绝服务攻击会造成互联网速度普遍下降或停止运行；

域劫持：通过利用客户升级自己的域注册信息所使用的不安全机制，攻击者可以接管域注册过程来控制合法的域；

泄漏网络拓朴结构：设置不当的DNS将泄漏过多的网络拓朴结构：如果你的DNS服务器允许对任何人都进行区域传输的话，那么你的整个网络架构中的主机名、主机IP列表、路由器名、路由器IP列表，甚至包括你的机器所在的位置等信息都会不知不觉的泄露出去。

为了保护DNS服务器不受攻击，首先应当保护DNS服务器所存储的信息，而且此信息应当由创建和设计者才能修改。部分注册信息的登录方式仍然采用一些比较过时的方法，如采用电子邮件的方式就可以升级DNS注册信息，这些过时的方法需要添加安全措施，例如采用加密的口令，或者采用安全的浏览器平台工具来提供管理域代码记录的方式；其次是正确配置区域传输，即只允许相互信任的DNS服务器之间才允许传输解析数据；还要应用防火墙配合使用，使得DNS服务器位于防火墙的保护之内，只开放相应的服务端口和协议；还有一点需要注意的是使用那些较新的DNS软件，因为他们中有些可以支持控制访问方式记录DNS信息，因此域名解析服务器只对那些合法的请求作出响应。内部的请求可以不受限制的访问区域信息，外部的请求仅能访问那些公开的信息；最后系统管理员也可以采用分离DNS的方式，内部的系统与外部系统分别访问不同的DNS系统，外部的计算机仅能访问公共的记录。

六、路由器面临有哪些威胁，如何保护路由器的安全

路由器作为互联网上重要的地址信息路由设备，直接暴露于网络之中。攻击路由器会浪费CPU周期，误导信息流量，使网络陷于瘫痪。路由器面临的威胁有：

将路由器作为攻击平台：入侵者利用不安全的路由器作为生成对其他站点扫描或侦察的平台；

拒绝服务：尽管路由器在设计上可以传送大量的数据流，但是它同样不能处理传送给大于它传输能力的流量。入侵者利用这种特性攻击连接到网络上的路由器，而不是直接攻击网络上的系统，从而造成对路由器的拒绝服务攻击；

明文传输配置信息：许多网络管理员未关闭或加密Telnet会话，因此若明文传输的口令被截取，黑客就可以任意配置路由器。

好的路由器本身会采取一个好的安全机制来保护自己，但是仅此一点是远远不够的。保护路由器安全还需要网管员在配置和管理路由器过程中采取相应的安全措施：

（一）限制系统物理访问：限制系统物理访问是确保路由器安全的最有效方法之一，即将控制台和终端会话配置成在较短闲置时间后自动退出系统；避免将调制解调器连接至路由器的辅助端口也很重要。一旦限制了路由器的物理访问，用户一定要确保路由器的安全补丁是最新的。因为漏洞常常是在供应商发行补丁之前被披露，这就使得黑客抢在供应商发行补丁之前利用受影响的系统，这需要引起用户的关注。

（二）加强口令安全：黑客常常利用弱口令或默认口令进行攻击。加长口令、选用30到60天的口令有效期等措施有助于防止这类漏洞。另外，一旦重要的网管员工辞职，用户应该立即更换口令。用户应该启用路由器上的口令加密功能，实施合理的验证控制以便路由器安全地传输数据。

（三）应用身份验证功能：在大多数路由器上，用户可以配置一些加密和认证协议，如远程验证拨入用户服务。验证控制可以将用户的验证请求转发给通常在后端网络上的验证服务器，验证服务器还可以要求用户使用双因素验证，以此加强验证系统。

（四）禁用不必要服务：拥有众多路由服务是件好事，但近来许多安全事件都凸显了禁用不需要本地服务的重要性，如禁止CDP服务；需要注意的是，禁用路由器上的CDP可能会影响路由器的性能。定时对有效操作网络是必不可少的，即使用户确保了部署期间时间同步，经过一段时间后，时钟仍有可能逐渐失去同步。由此，用户可以利用名为网络时间协议（NTP）的服务，对照有效准确的时间源以确保网络上的设备时针同步；不过，确保网络设备时钟同步的最佳方式不是通过路由器，而是在防火墙保护的网络区段放一台NTP服务器，将该服务器配置成仅允许向外面的可信公共时间源提出时间请求。另外，在路由器上，对于SNMP、DHCP以及WEB管理服务等，只有绝对必要的时候才可使用这些服务。

（五）限制逻辑访问：限制逻辑访问主要是借助于合理处置访问控制列表，限制远程终端会话有助于防止黑客获得系统逻辑访问。其中SSH是优先的逻辑访问方法，还可以使用终端访问控制，以限制只能访问可信主机。因此，用户需要给Telnet在路由器上使用的虚拟终端端口添加一份访问列表。

（六）有限使用ICMP消息类型：控制消息协议（ICMP）有助于排除故障，但也为攻击者提供了用来浏览网络设备、确定本地时间戳和网络掩码以及对OS修正版本作出推测的信息。因此，为了防止黑客搜集上述信息，只允许以下类型的ICMP流量进入用户网络：主机无法到达的、端口无法到达的、源抑制的以及超出生存时间（TTL）的。此外，还应禁止ICMP流量以外的所有流量，以防止拒绝服务攻击。

（七）控制流量有限进入网络：为了避免路由器成为DoS攻击目标，用户应该拒绝以下流量进入：没有IP地址的包、采用本地主机地址、广播地址、多播地址以及任何假冒的内部地址的包。虽然用户无法杜绝DoS攻击，但用户可以限制DoS的危害；另外，用户还可以采取增加SYN ACK队列长度、缩短ACK超时等措施来保护路由器免受TCP SYN的攻击。

（八）安全使用SNMP/TELNET：如果用户使用SNMP，那么一定要选择功能强大的共用字符串，最好是使用提供消息加密功能的SNMP V3。如果不通过SNMP管理对设备进行远程配置，用户最好将SNMP设备配置成只读；拒绝对这些设备进行写操作，用户就能防止黑客改动或关闭接口。为进一步确保安全管理，用户可以使用SSH等加密机制，利用SSH与路由器建立加密的远程会话；为了加强保护，用户还应该限制SSH会话协商，只允许会话用于同用户经常使用的几个可信系统进行通信。

七、防范缓冲区溢出攻击

缓冲区溢出（又称堆栈溢出）攻击是最常用的黑客技术之一。这种攻击之所以泛滥，是由于开放源代码程序的本质决定的。Unix本身以及其上的许多应用程序都是用C语言编写的，而C语言不检查缓冲区的边界。在某些情况下，如果用户输入的数据长度超过应用程序给定的缓冲区，就会覆盖其他数据区，这就称作“缓冲区溢出”。一般情况下，覆盖其他数据区的数据是没有意义的，最多造成应用程序错误；但是，如果输入的数据是经过“黑客”精心设计的，覆盖缓冲区的数据恰恰是黑客的入侵程序代码，黑客就获取了程序的控制权。尽管这项攻击的技术要求非常高，而一旦执行这项攻击的程序被设计出来却是非常简单的。

由于缓冲区溢出是一个编程问题，所以他们只能通过修复被破坏的程序代码来解决问题。从“缓冲区溢出攻击”的原理可以看出，要防止此类攻击，我们可以在开放程序时仔细检查溢出情况，不允许数据溢出缓冲区。经常检查操作系统和应用程序提供商的站点，一旦发现补丁程序就马上下载是最好的方法。

八、防范IP欺骗攻击

IP欺骗技术就是伪造某台主机的IP地址的技术。通过IP地址的伪装使得某台主机能够伪装另外的一台主机，而这台主机往往具有某种特权或者被另外的主机所信任。假设现在有一个合法用户（1.1.1.1）已经同服务器建立了正常的连接，攻击者构造攻击的TCP数据，伪装自己的IP为1.1.1.1，并向服务器发送一个带有RST位的TCP数据段。服务器接收到这样的数据后，认为从1.1.1.1发送的连接有错误，就会清空缓冲区中建立好的连接。这时，如果合法用户1.1.1.1再发送合法数据，服务器就已经没有这样的连接了，该用户就必须从新开始建立连接。攻击时，伪造大量的IP地址，向目标发送RST数据，使服务器不对合法用户服务。

虽然IP欺骗攻击有着相当难度，但我们应该清醒地意识到，这种攻击非常广泛，入侵往往由这里开始。预防这种攻击还是比较容易的，比如删除UNIX中所有的/etc/hosts.equiv、$HOME/.rhosts文件，修改/etc/inetd.conf文件，使得RPC机制无法应用。另外，还可以通过设置防火墙过滤来自外部而信源地址却是内部IP的报文。