（计算机软件与理论专业论文）基于网络接受标记的internet终端通信.pdf

摘要 i n t e m e t 的开放性使其得到了广泛的应用，但同时也带来了很多问题，每一个终端都有 可能成为被攻击者，由此引起的d d o s 攻击j 一泛的存在于i n t e m e t 中，其本质是向受害主机 发送大量的数据包，导致中间网络发生拥塞，造成数据包的大域丢失，或者消耗受害主机的 有限资源而使其无法向合法用户提供服务。而对于d d o s 攻击的防御，则在网络安全中一 直倍受关注。本文通过对目前d d o s 攻击主要防御方法的分析与研究，选择了基丁二网络接 受标记的防御方法为研究内容，其主要思想为：受害主机可以通过中间网络来决定是否接受 数据包，而这正是从本质上面缓解了dd0s 攻击的威胁。而在这类研究方法当中，网络接 受标记的分配机制至关重要，论文i e 是从接受标记的分配机制出发，主要做了如f 两方面的 工作。 1 对于私有服务器来讲，很容易区分其合法用户与攻击者。论文提出了通过o u t - o f - b a n d 方法获得接受标记的o b d ( o f fb yd e f a u l t ) 防御机制。用户可以向服务器信任的第二方发 送请求包，第二方通过身份认证来决定是否发放接受标记，h j 户再将接受标记加入剑数据包 中与服务器进行通信，而网络中间路由器则通过验证这些标记的有效性，来传送数据包。通 过网络实验可以得出，该方法在抵御dd os 攻击时起剑了很好的效果。 2 对于公共服务器来讲，很难区分合法用户与攻击者。而针对拒绝接受标记服务 ( d e n i a l - o f - c a p a b i l i t i e s ) 的攻击则会很大程度上影响接受标记的分配。本文通过对数据流的 划分，即：根据i p 地址将数据流划分为几个地区，提出了随机地址聚类的请求包队列服务 方式，从实验结果可以看出，某地区发生严重的dd0s 攻击时，对其它地区并没有影响， 而目前的互联网结构在发生dd 0s 攻击时，会影响到服务器全部的用户。另外，对于处在 发生严重dd0s 攻击地区中的合法用户，采_ f j 增加触发器的方法来增大用户数据流的吞吐 量。 关键词：分布式拒绝服务攻击；网络接受标记：拒绝接受标记：公平队列；随机地址聚类队 列；网络模拟 a b s t r a c t t h ei n m e th a v ei n v o l v e di no u rl i v e sm a n yy e a r s u n f o r t u n a t e l y , t h eg a i n so fi n t e r n e tc o m ew i t h s o m ep a i n e v e r ye n dh o s tc o u l db e c o m et h ev i c t i m i nc u r r e n ti n t e m e ta r c h i t e c t u r e d e n i a l - o f - s e r v i c ea t t a c k sc o n s g m et h er e s o u r c e so far e m o t eh o s to rn e t w o r k t h e s ea t t a c k sa r e s i m p l et oi m p l e m e n t ，d i f f i c u l tt op r e v e n t , a n dv e r yd i f f i c u l tt ot r a c e b a c k t h er e s e a r c ho nd d o s a u a c kh a sb e c o m et h ec r i t i c a li s s u ei nn e t w o r ks e c u r i t y r e c e n t l y , t h en e t w o r kc a p a b i l i t yh a s r e c e i v e da t t e n t i o n sa sam e t h o df o rc o m b a t i n gd d o sa t t a c k s d e s t i n a t i o n si n f o r mt h er o u t e r si n i n t e r - n e t w o r kw h e t h e rap a c k e ta c c e p t e do rn o r t h u s ，t h i sm e t h o dc u tt ot h eh e a r to fd d o s p r o b l e mb ya l l o w i n gt h ed e s t i n a t i o n st oc o n t r o lt h ep a c k e tt h e yr e c e i v e i nt h e s er e s e a r c hm e t h o d s d i s t r i b u t i n gn e t w o r kc a p a b i l i t i e s i se x t r e m e l yi m p o r t a n t t h i st h e s i sd i s c u s s e st h i sp r o b l e mi n f o l l o w i n gt w oa r e a s i i ti sv e r ye a s yt od i s t i n g u i s ht h el e g i t i m a t eu s e r sf r o mt h ea t t a c k e r sf o rt h ep r i r a t es e r v a r w ep r o p o s eo b d ( o f f o b y d e f a u l t ) m e c h a n i s mb a s e do no u t - o f - b a n dm e t h o d s t h eu s e r ss e n d c a p a b i l i t i e s r e q u e s tp a c k e tt ot h i r dp a r t i e st r u s t e db ys e r v e r s ，a n dt h e yi d e n t i f yt h el e g i t i m a t eu s e r s u s i n gi d e n t i f i e ra u t h e n t i c a t i o nt od e c i d ew h e t h e rg r a n tt h ec a p a b i l i t i e so rn o t t h eu s e r sc a ni n s e r t t h en e t w o r kc a p a b i l i t i e si n t o p a c k e t s s e n tt ot h es e r v e rw h i l eg e t t i n gt h e m r e u t e r s i n i n t e r - n e t w o r kv a l i d a t et h ep a c k e t s f r o mt h ee x p e r i m e n tr e s u l t , i ts h o wt h a tt h ea t t a c kc a na f f e c t t h el e g i t i m a t et r a f f i ci nl i m i t e de x t e n d 2 u n f o r t u n a t e l y , t h ep u b l i cs e r v e r sc a nn o td i s t i n g u i s hl e g i t i m a t eu s e r sf r o mt h ea t t a c k e r s t h u s ，t h ea t t a c k e r ss e n dm o u n to fr e q u e s tp a c k e t sf o rc a u s i n gs e v e r ep a c k e tl o s t w ec a l l t h i s d e n i a i - o f - c a p a b i l i t i e s ，t h i st h e s i sd i v i d et r a f f i cf l o w si n t od i f f e r e n tr e g i o nb a s e d o ni pa d d r e s s a n du s ea d d r e s sa g g r e g a t eq u e u i n gt os e r v et h er e q u e s tp a c k e t s t h ee x p e r i m e n ts h o wt h a ti tc a n n o ta f f e c tt h et r a f f i c si no t h e rr e g i o nw h e nd d o sa t t a c ko c c u r si nar e g i o n i nc o n t r a s t ，c u r r e n t i n t e r a c ta r c h i t e c t u r e ，af l o o d i n ga t t a c ko nt h es e r v e rw i l ld i s r u p to n g o i n gc o n n e c t i o n sa sw e l l k e yw o r d s ：d i s t r i b u t e dd e n i a l o f - s e r v i c e ；n e t w o r kc a p a b i l i t i e s ；d e n i a l - o f - c a p a b i l i t i e s ； f a i rq u e u i n g ；s t o c h a s t i ca d d r e s s - a g g r e g a t e sq u e u i n g ：n e t w o r ks i m u l a t i o n n i 原创性声明 本人郑重声明：本人所呈交的学位论文，是在导师的指导下独立进行研究所 取得的成果。学位论文中凡引用它人已经发表或未发表的成果、数据、观点等， 均已明确注明出处。除文中已经注明引用的内容外，不包含任何其他个人或集体 已经发表或撰写过的科研成果。对本文的研究成果做出重要贡献的个人和集体， 均已在文中以明确方式标明。 本声明的法律责任由本人承担。 论文作者签名： 关于学位论文使用授权的声明 本人在导师指导下所完成的论文及相关的职务作品，知识产权归属兰州大 学。本人完全了解兰州大学有关保存、使用学位论文的规定，同意学校保存或向 国家有关部门或机构送交论文的纸质版和电子版，允许论文被查阅和借阅；本人 授权兰州大学可以将本学位论文的全部或部分内容编入有关数据库进行检索，可 以采用任何复制手段保存和汇编本学位论文。本人离校后发表、使用学位论文或 与该论文直接相关的学术论文或成果时，第一署名单位仍然为兰州大学。 保密论文在解密后应遵守此规定。 论文作者签名：耄髓导师签名：主圭日期： 基于网络接受标记的i n t e r n c t 终端通信 1 绪论 1 1 论文主要研究内容 论文研究的对象是基丁二网络接受标记( n e t w o r kc a p a b i l i t i e s ) 的d d o s ( d i s t r i b u t e d d e n i a l - o f - s e r v i c e ) 攻击防御结构。主要研究的内容分为两部分： ( 1 ) 针对私有服务器提出了o b d ( o f f - b y - d e f a u l t ) 的防御机制，即：客户通过预先得到 的接受标记与服务器进行通信。与目前常用的i n t e m e t 队列服务方式d r o p m i l 和r e d ，以及 基于接受标记的s i f f 防御方法进行比较。由实验结果可以看出，该方法起来了很好的作用。 ( 2 ) 对于基于网络接受标记研究方法所面i | 缶的拒绝接受标记服务( d e n i a l o f - c a p a b i l i t i e s d o c ) 问题，提出了随机地址聚类队列服务方式( s t o c h a s t i c a d d r e s s a g g r e g a t e q u e u i n g ) ，通 过实验可以看出，对于缓解针对接受标记的攻击起到了较好的效果。 1 2 论文研究的背景与意义 随着网络逐渐深入人们的生活，很多事务都是通过i n t e m e t 上的服务完成，比如：网络 传输，获取信息。网上交易等。冈此，保持这些服务器的可剧性则显得越来越重要，但是最 近几年来。拒绝服务攻击( d o s 。d e n i a l - o f - s e r v i c ea t t a c k s ) 以及分布式拒绝服务攻击( d d o s ， d i s t r i b u t e dd e n i a l - o f - s e r v i c ea t t a c k s ) 越来越严重地阻碍了i n t e m e t 上服务器的可h j 性i “”。 从1 9 9 6 年9 月开始一系列的i n t e m e = t 的站点受到了t c p 同步标志( s y n c h r o n i z e n u m b e r s ， s y n ) 拒绝服务攻击，这种攻击利用了t c p i p 协议的脆弱性，如果不对目前的结构进行很 大地修改，很难阻止这种攻击。拒绝服务攻击的发起相对比较容易，但是很难追踪到攻击者， 即使追踪到发起攻击的主机，但是这些主机往往是黑客控制的僵尸网络主机，并不能追踪到 真正的攻击发动者。 在2 0 0 0 年的时候，针对商业站点y a h o o 、e b a y 等的d d o s 攻击致使这些站点瘫痪，2 0 0 1 年，微软的域名服务器也受到类似的攻击，除了一些商业站点受到攻击以外，一些小的商业 站点、教育机构，以及公共的服务器也受到不同程度的攻击p “。 从以上的趋势可以看出，d o s ( d d o s ) 攻击在将来可能会造成更多地影响i n t e r n e t 用 户p 】。因此，i n t e m e t 在发生d d o s 攻击时，如何降低攻击所带来的影响，提高网络传输的 可靠性，保持服务器的可用性，以及如何预防d d o s 攻击，在网络安全领域中，一直受到 关注。论文通过对研究现状的分析，认为基f 网络接受标记的方法可以在本质上缓解d d o s 攻击带来的影响。在前人的- 作基础上面，提出了针对私有服务站点和公共服务站点的防御 方法。通过实验证明，在发生d d o s 攻击时，较好的缓解了其所带来的影响。 兰州人学坝i ：学位论文 1 3 论文研究的思路 通过对目前d d o s 攻击方法和防御方法的分析可以得出：向受害主机发送大量的数据 包，是d d o s 攻击的本质。而终端用户可以通过网络接受标记通知整个网络，哪些数据包 是它想要接受的，哪些是它拒绝接受的。冈而在网络结构中切断了d d o s 攻击的威胁，使 得终端用户受到了保护。而在这样防御结构中，对于接受标记的分配至关重要。 通过对于目前网络技术的分析，认为私有服务器可以较为容易地分辨合法用户和攻击 者，提出了针对它们的防御方法。而对丁：公共服务站点来讲，对每个用户进行公平服务是它 的本质，这增大了站点对于合法用户与攻击者的区分难度，因而，对于获取请求标记的请求 包的处理非常戈键，如果合法用户的请求包不能顺利达剑服务站点，那么整个通信就会受阻。 因此，本文对于拒绝接受标记服务问题进行了深入的分析，并利用随机地址聚类的服务队列 方法来缓解这种攻击的影响。 1 4 论文的创新点 ( 1 ) 提出了针对私有服务站点的o b d ( o f t - b y - d e f a u l t ) 防御机制，客户端预先得到接受 标记，然后，与服务站点进行通信； ( 2 ) 对于拒绝接受标记服务问题进行了分析，并提出了随机地址聚类的队列服务方法来 缓解这种攻击。 2 基于网络接受标记的i n t c r n c t 终端通信 2 分布式拒绝服务攻击 我们首先来分析一f 分布式拒绝服务。攻击场景如图2 1 所示。它具有的特点是试图阻 止合法用户使用服务。分布式拒绝服务攻击雇佣大草的攻击实体来实现这一目标。一种简单 的攻击方法就是向受害主机发送数据流，而这些数据流消耗一些主要的资源，比如路由器资 源，最终阻：受害主机的合法用户使用这些资源。另外一种常用的方法就是发送一些特殊伪 造的数据包来欺骗在受害主机上面的应j j 或者协议，迫使主机重启或者死机。更严重的是， 有的攻击方法并不能预测，也许只有发生后才能知道，比如基f 低速率的d d o s 攻击i o j 。 图2 1 d d o s 攻击场景 f i g u r e2 1d d o s a t t a c ks c e n a r i o 2 1 分布式拒绝服务攻击发生的原因 目前i n t e m o t 所关注的是从源端到目的端数据包传递的有效性。这种设计方法遵循端到 端的方法( e n d - t o - e n dp a r a d i g m ) ，中间网络提供的是尽力( b e s k 肺r t ) 服务，而发送者( s e n d e r ) 和接受者( r e c e i v e r ) 之间则实现高级协议，如：可靠性、服务质量和安全协议等。这种端 到端的设计将复杂性放在了端_ 【 j 户，而使中间网络尽可能简单，中问路由器的本质是传递数 据包。但是在端到端的通信过程中，如果一方行为不端，那么就会对另外一端产生严重的影 响1 7 1 ，但并没有一方在中问网络阻l l 它这种后果主要有两种：( 1 ) i p 欺骗；( 2 ) d d o s 攻击 其主要的原因表现在以下四个方面：( 1 ) i n t o r n o t 安全的独立性，d d o s 攻击通常由那些被入 侵的傀儡机器发起，不管一个受害主机的安全性有多高，它受到d d o s 攻击的可能性取决 于i n t e r a c t 上其它士机的安全状态；( 2 ) i n t e r a c t 的资源是有限的。它可以被足够多的用户所 消耗；( 3 ) i p 欺骗大大助氏了d d o s 的威胁；( 4 ) i n t e m e t 的管理是分布式的，很难建立一种 3 兰州大学硕l 学位论文 统一的安全机制【8 1 。 2 2 分布式拒绝服务攻击的具体方法 一次d d o s 攻击的发生主要有以f 三个阶段：( 1 ) 攻击者首先雇佣很多代理机器。这个 过程通常是远程扫描主机，寻找安全漏洞，如果发现有漏洞，那么利用攻击代码感染有安全 缺陷的主机。而被控制的主机则继续扫描，感染其它主机；( 2 ) 被攻击的主机在特定的时间 向某一受害主机发动攻击( 发送大鼋的数据包) ；( 3 ) 受到控制的主机通常在一段时间内，并 没有发现自己已经成为僵尸主机。而它主要的攻击方式分为以下两类。 ( 1 ) 对t c p 层的攻击 t c p 协议的三次握手协议中- 规定了在一段时间内，对于某一t c p 二仁开( h a l f - o p e n ) 连接数鼍的限制。攻击者a 可以采_ i jt c ps y n 泛洪攻击的方法，向受害主机d 发送大量的， 伪造i p 地址的连接请求，当# 开连接数昔到达限制时，后续的用户请求则被丢弃，但是已 经建立的连接并不受到影响，这样受害主机则不能对其余的合法用户进行服务。这种情况 一直维持剑连接超时此时主机则释放为这个半开连接所分配的所有资源。 如果这个伪造i p 地址的s y n 请求包的l p 地址恰好是另外一个主机s 的地址，那么s 将会接受到d 发来的s y n a c k 数据包。但是s 并没有发送t c p 连接请求，所以向d 发送 r s t 数据包，d 随后重置连接。如果d 发送的s 、r na c k 数据包没有到达主机，那么d 将 在一段时间后关仞j 这个连接。攻击者往往向受害主机d 源源不断地发送s y n 请求包，d 的 资源被人鼍消耗，最终对于合法用户拒绝服务i “。其过程如图2 2 所示。 对i p 层的攻击 针对【p 网络层的攻击通常是带宽消耗攻击，攻击者通常雇佣人鼍的僵尸主机，向某一 目标网络发送人晕的数据包米淹没网络带宽。从而使网络发生长时间的拥塞。使得从发送端 发送剑接收端的数据包发生大耸的丢弃从而影响终端用户的正常通信【”1 。 2 3 分布式拒绝服务攻击攻击的防御结构 对丁二d d o s 攻击一个全面的防御结构应该有四个因素( 如图2 3 所示) ：预防、检测、 缓解与追踪【l l l 。在攻击之前，应该有预防机制消除攻击的威胁。当攻击发生时，应该在很 短的时间内检测剑，并开启缓解机制。在攻击过程中或者攻击结束后，回溯追踪机制应该能 够确定攻击源。在计算机安全中，对r 潜在的危险没有万能的机制，将上述这些机制综合起 来可以对丁攻击起刨很好的防御作月j 。 ( 1 ) p r e v e n t i o n ：预防是抵御d d o s 攻击的第一步系统补j - 与升级显得至关重要， 4 基十嘲络接受标记的i n t r n e t 终端通信 当攻击者利用系统漏洞将主机入侵控制之后，那么他就可以发动d i x ) s 攻击。因此，降低 系统的安全风险，可以大大降低d d o s 攻击的威胁。 图2 2s y n 泛洪攻击 f i g u r e - 2 2s y nf l o o d i n ga t t a c k i n g 图2 3 d d o s 防御结构 f i g u r e - 2 3t h ea r c h i t e c t u r eo f d d o s d e f e n s e ( 2 ) d e t e c t i o n ：检测是d d o s 攻击时种理想的手段，大多数检测机制是利用安装 在主机内部的软件，对于流量模式或者资源利用率进行检测。当检测剑异常时，系统管理员 或者一些自动处理程序根据警报手段措施，将系统恢复到平常状态。大多数攻击可以被终端 用户或者服务器所发现。但是。在很多情况下，d d o s 攻击可以影响网络中的路由器【”， 在发生大规模d d o s 攻击的情况下，则需要在整个网络中进行检测。 ( 3 ) m r r i g a t i o n ；缓解则是降低d d o s 攻击破坏效果的一个手段。最简单、最容易 的方法就是将攻击者发送的包丢弃而放行正常用户的包。但是，这种方法面i 临的最大障碍是 如何准确区分一个包属于合法用户或者攻击者。并且在大规模攻击的情况下每一个僵尸主 杌只需要发送很少的数据包，更增加了区分合法用户与攻击者的难度。 ( 4 ) t r a c e b a c k ：回溯追踪是确定攻击者来源的方法。通常的方法是i p 回溯追踪法。 该类方法一般都需要网络中的路由器在传递数据的过程中，对包进行标记f 1 3 - 1 4 1 。当一个数据 包传递到服务器的时候，通过在数据包中的标记信息来识别发送者的地址。 但是，对于d d o s 攻击来讲，如果不对目前的i n t e m e t 结构进行重新设计，很难从根本 5 兰州人学硕l 学位论文 上面消除这种威胁。因此，目前的相芙i ：作，主要基于当前的网络结构。 2 4 分布式拒绝服务攻击防御方法的研究现状 早期的i ：作主要集中于发送端是能够确认的。例如：基于网络边界的过滤方法i l ”，可 以阻j r 攻击者在一个网络内使用伪造的i p 地址进行攻击。这就要求路由器应具有两方面的 特性：一是1 f 常有效的方法检查每一个经过它的数据包；二是有很强地辨别合法与不合法用 户的能力。这类方法在很大程度上减小了i p 地址伪造的问题。但是它也存在如下的问题： ( 1 ) 对于每一个数据包都进行检测，会降低网络的性能； ( 2 ) 真正的攻击者操纵僵尸网络采j j 僵尸主机真正的网络地址，使得过滤方法无效。 s t e f a ns a v a g e 等学者提出基于砰地址回溯( i p t r a e e b a c k ) 方法“”“”的基本思想是： 网络中间路由器在数据包中标记自己的i p 地址，通常将自己的i p 地址通过h a s h 函数计算 得到一个值，然后将这个值分段后嵌入剑数据包中，受害主机在收集了大量的数据包后，通 过数据包中的【p 地址信息，恢复出它经过的路径，然后通过所建立的路径信息追溯攻击者。 这种方法存在的问题有二个方面：( 1 ) 终端需要收集大鼍的数据包才能构建攻击路径，在这 个过程中终端可能已经受到了攻击：( 2 ) 攻击者可以发动针对发送者和接受者之间链接的攻 击。它通过修改数据包中r r l ( t i m et ol i v e ) 值，让攻击包造成攻击之后，没有到达接收端 就被丢弃，即造成网络链路的拥塞；( 3 ) 构建的攻击路径并不能精确的追溯剑攻击者。 x i a o f e n gw a n g 等提出了基于t c p f l p 谜题( p u z z l e ) 的方法“4 ”1 8 1 。其基本思想是拥塞 路由器产生一个服务器记号( n o n c e ) n 。，客户端产生一个客户端记号( n o n c e ) n 。，而对f 这个谜题的解是一个字符串x ，满足单向h a s h 函数h ( n 。，n 。x ) 的前面d 位数为0 ，d 称 为谜题难度。当中间路由器在拥塞状况f ，每收剑一个客户端的连接包，并不急于转发这个 数据包。而是返同一个h a s h 函数，客户端对这个h a s h 函数进行计算，然后将结果再发送 给服务器，如果正确，则放行这个数据包，否则丢弃。如果僵尸主机伪造i p 地址，则收不 剑路由器所发送的谜题，这样，数据包中没有谜题的求解，不能通过路由器。这种方法存在 的问题是：( 1 ) h a s h 函数的选择非常重要，如果难度很大。那么对于计算能力小的客户端来 说( 比如：p d a ) 。为了让服务器接受请求，需要进行人量的计算，这样，对于客户端本身 则构成了d o s 攻击；( 2 ) 对丁- 不同的h a s h 函数，服务器需要进行计算与保存，以便在客户 端请求时，将h a s h 函数返回给客户端以后。在客户端将计算的h a s h 值返回后进行比较， 因此服务器也需要大簧的计算，来消耗存储空间保存相应的h a s h 值。 基于重叠网络( o v e r l a yn e t w o r k ) 的防御措施是由一些在i n t e m e t 上面的肯点组成， 路由器只接受从重睿网络上竹点信任的用户请求，然后发给受保护的w e b 服务器。其基本 思想是基于图灵测试( l u r i n gt e s t ) 的方法，当一个客户端要与服务器通信时，首先得通过 6 摹f 阿络接受标记的i n t c r n c t 终端通信 由重叠网络上面节点给出的图灵测试然后利用一个通道将客户端与服务器相联接。由丁二每 次的图灵测试都需要用户进行输入，在使_ | | 过程中带来了很多不便；另外，这种方法对丁：一 般的带宽消耗攻击并不能进行防御：( 1 ) 攻击者可以利用u d p 等协议，来消耗中间路由器的 资源；( 2 ) 如果重叠网络上面的节点被入侵，整个防御机制就会受到破坏i l 。 最近，研究者提出了基于网络接受标记( n e t w o r k c a p a b i l i t i e s ) 的防御方法，就是在数 据包的头部潜入认证信息，中间的路由器可以验证数据包中的信息，若通过验证，就将数据 包放入优先队列中进行处理否则放入尽力服务( b e s t - e f r o r t ) 队列中。而这个验证信息， 通常由客户端给服务器发送请求包，然后由服务器将认证信息( 即：网络接受标记) 发送给 客户端( 例如：通过t c p 三次握手协议，服务器在同步确认( s y n a c k ) 包中加入验证 信息返同给客户端) ，最后客户端通过认证信息与服务器通信口“。 a y a a r 等提出的s i f t ( s t a t e l e * ji n t e r n e tf l o wf i l t e r ) 方法【2 1 1 对文献【2 0 】进行了一个 详细的设计：s i f f 方法可以让终端用户有选择地停止到达它的数据流，这种方法将网络流 量划分为有特权的( 优先处理的数据包) 和没有特权的( 酱通数据流) 两类。任何一个客户 端若与服务器通过特权通道进行通信时必须通过一个握手协议得到接受标记，并将标记嵌入 到特权数据包中。客户端首先发送一个探测数据包( e x p l o r ep a c k e t ) ，其中的接受标记域被 初始化为0 ，所有路径上的路由器，根据i p 地址，本身的秘密( s e c r e t ) 等，计算一个h a s h 值，填入到最低有效( 1 e a s ts i g n i f i c a n t ) 的z 位，并将接受标记域左移z 位，除了第一个路 由器看到标记域全部为0 时。在域中最高有效( m o s ts i g n i f i c a n t ) 位增加一个i 。这样的话。 在标记域中真上e 的标记是除了最高有效何以外的所有位。当探测包到达服务器的时候，服 务器返回一个应答包，并将接受标记域返回。当客户端接收剑应答包后，将除了最高有效位 之外的所有位取出将它们划分为z 位的分组，然后将这些分组逆序后作为接受标记。最后， 客户端将这些标记加入到数据包中通过特殊通道与服务器通信。这样，便通过网络接受标记 握手交换方法建立特权通道，而标记由中间路由器验证。但是，s i f f 方法主要有两个问题： p r o t o c o l o b d ) l s v a l i d = f a l s e ； i f ( e n t r y ) l s v a l i d - - - t r u e ； e l s e i f ( v a l i d a t e c a p ( p k t ) ) l s v a l i d = e r e a t e e n t r y ( p k t ) ； ) i f ( i s v a l i d ) e n q u e p r i o r i t y ( p k t ) ； e l s e e n q u e b e s t e f f o r t ( p k t ) ； e l s e e n q u e b e s t e f f o r t ( p k t ) ； 2 n s 2 记录档格式说明( 表3 1 ) 第l 栏：表示封包事件发生的原因( “r ”表示封包被某个符点接收：“+ ”表示进入队 列；“一”表示离开队列；“d ”表示封包被队列丢弃) ： 第2 栏：表示的是事件发生的时间； 第3 、4 栏：表示的是事件发生的地址( 从f r o mn o d e 到t on o d e ) ； 第5 栏：表示封包的形态； 第6 栏：表示封包的大小； 第7 栏：表示封包的标记； 第8 栏：表示封包属于哪一个资料流； 第9 、1 0 栏：表示封包的源端和目的端( 格式是a b ，a 代表节点编号，b 代表端口号) ； 第l l 栏：表示封包的序号； 第1 2 栏：表示封包的i d 。 3 模拟实验 ) t e l 脚本： i f $ a r g c l - 2 p u t ss t d e r r ”u s a g e ：s a r g v o ” e x i t l 兰州人学坝 。学位论文 s e to p t ( a t k r ) 1 i n d e x $ a r g v0 】 s e to p t ( 1 0 9 f i l e ) 1 i n d e x $ a r g vl 】 # 建立r o u t e r 剑r o u t e r 之间的链接 p r o c l 1 1 l c 十r r lr 2b w d e l a y g l o b a ln sn o d e s n sd u p l e x - l i n k $ r j $ r 2 $ b w $ d e l a ys f q # 建立r o u t e r 到h o s t 之间的链接 p r o c l i n k - r - h rhb w d e l a y g l o b a la sn o d ec b r s n sd u p l e x - l i n ks r $ h $ b w $ d e l a yd r o p t a i l ， p r o cc r e a e s i m p l e - t o p o l o g y g l o b a ln s n o d ec b r o p t f 撕 s e t i0 $ i - 2 i n c r i s e tn o d e ( $ i ) 【$ n sn o d e 】 l i n k - r - rs n o d e ( 0 ) $ n o d e ( 1 ) 1 0 m b1 0 m s l i n k - r - h $ n o d e ( i ) $ n o d e ( 2 ) l o o m b1 0 m s s e tu d p r e c e i v e r 【n e wa g e n t n u l l 】 $ n sa t t a c h - a g e n ts n o d e ( 2 ) $ u d p r e c e i v e r # s e tt c p r e c e i v e r 【n e wa g e n t t c p s i n k 】 # $ n sa t t a c h - a g e ms n o d e ( 2 ) $ t c p r e e e i v e r # 建立l e g a t i m a t e 用户 f o r s e t 1 l $ i o l l i n o r j s e tu s e r ( $ i ) 【s n sn o d ej # $ i l s e “$ ns e td s ta d d rl ll l i n k - r - h $ n o d e ( 0 1 $ u s e r ( $ i ) 1 0 0 m b1 0 m s s e tu d p ( $ i ) 【n e wa g e n t u d p 】 s n sa t t a c h a g e n t $ u s e r ( $ i ) $ u d p ( $ i ) $ n sc o n n e c t $ u d p ( $ i ) $ u d p r e e e i v e r $ u d p ( $ i ) s e tf i d _ 1 0 0 s e tc b r ( $ i ) 【n e wa p p l i c a t i o n t r a f f i c c b r 】 $ c b “$ na t t a c h - a g e n ts u d p ( $ i ) $ c b “$ i ) s e tt y p e _ c b r $ c b “$ i ) s e tp a c k e t _ s i z e _ 1 0 0 0 $ c b 邪i ) s e tr a t e i m b $ c b r ( $ i ) s e tr a n d o m f a l s e # 建立攻击者 f o r s e t i1 0 1 $ i = 1 0 0 + $ o p t ( a t k r ) i n c r i s e tn o d e ( $ i ) 【s n sn o d e 】 l i n k r - h $ n o d e ( 0 ) $ n o d e ( $ i ) 1 0 0 m b1 0 m s 基于刚络接受标记的i n t e m e t 终端通信 p r o cc r e a t e - f l o w n lf 1 2 g l o b a ln sn o d e s e tu d p i 【n e w a g e n t u d pj $ n sa t t a c h - a g e n t $ n l $ u d p l s e tu d p 2 【n e wa g e n t u d p 】 s n sa t t a c h - a g e n t $ n 2 $ u d p 2 $ n sc o n n e c t $ u d p ! , u o p 2 # a t k s 已经在这里将$ r c 和s i n k 连接了 s e ta p p i 【n e w a p p l i c a t i o n f v a a t t a c k e r 】 s a p p la t t a c h - a g e n t $ u d p l # $ a p p ls e tr e q _ o n l y _ l s e ta p p 2 n e wa p p l i c a t i o n t v a a t t a c k e r s i n k 】 $ a p p 2a t t a c h a g e n ts u d p 2 r e t u r n $ a p p i ) p r o cc b r - s t a r t g l o b a la sn o d e c b ro p tm