主动的非同步入侵的原理（四） |
|---|
|
| 2004-05-25 |
| |
6．对ACK风暴的了解
在TCP连接内，几乎所有含ACK设定标识而不带数据的包都是未接收包的确认信息。在任何网上，特别是在INTERNET通讯中，将发生大量的转送。在一个遭受了前面详述的各种入侵的网上，会发生更多的转送。转送的号码将依据网上的负荷和引起风暴的黑客主机而定，一个服务器登录能包含多达300多个空包。特别地，在一个实际入侵中传送的数据包可能产生10-30个ACK空包。
7．检测及其副作用
您可以利用ACK入侵的各种缺陷来检测入侵，这部分将描述三种检测方式，但记住仍有其他方法。
非同步状态检测。您可以利用TCP包来观察连接双方的顺序号。根据顺序号。您可以判断出连接是否处于非同步状态。然而，仅当假定您在连接上传送顺序号时没有黑客改变它，您才可以在连接的双方阅读包——这是一个一般的安全假定。
ACK风暴检测：些局域以太网的TCP交通在入侵前的统计表明，总的TELNET包的无数据包率为1/3，而当一个黑客入侵时，为1/300。
包百分率记数：您可以通过对包的百分率记数来监视连接的状态。通过对有入侵时的包百分率和普通数据包百分率的对比，可以提醒您存在非同步入侵。表1显示了通常连接中数据包和ACK包每分钟的数目。
TCP包和 ACK包的数目在本地以太网上变化很大。表1显示了本地以太网上TCP或ACK包的一个可能变化。一个常规连接上的ACK TELNET包的百分率一般稳定在45％左右，Telnet会话是一种交互式会话，服务器必须对用户敲入的每一个字母进行响应和认证。事实上这正是Telnet包计数稳定性的原因所在。在TELNET会话中，基于降低包丢失率的考虑，每个包通常仅含一个字母或一行正文，所以数据交换量较小。正如TELNET数据流，流向远程以太网的数据与其是一致的。因为它的高数据负荷，接收主机可能丢失一些包。
相对地，当黑客入侵时，真正的包与ACK包的比值会发生改变。表2显示了黑客入侵时包的计数。
在表2中，本地连接是指只有少数来自客户端的IP跳跃的一个主机的通讯会话。通讯会话的往返延迟（RTD）大约在3毫秒。例如，通讯会话可能跨越客户机与主机间的4个局域服务器。正如您所知，在黑客入侵时包计数器的改变很明显。就算它变化较为轻微，ACK计数与总包计数几乎是一致的，则交通量基本都是指认证包，意味着几乎不包括数据包。
8．防卫非同步后劫持入侵
在以前详述内容中，我们仅知加密KERBEROS传递方案（它安置于网络应用层中）或实施TCP密码（它安置于网络传输中）是唯一防卫TELNET实际入侵的途径。
数据加密并不能防止入侵或内容被更改，但可以很好地限制黑客操纵数据的能力。正如您所知，您可以数字化签名数据，让黑客截获数据后的实时改动变得困难。
|
|
| |
|
发表评论
推荐文章
关闭窗口
|
|
|
|
