攻击与防御考试复习

1、什么是缓冲区？它是包含相同数据类型实例的一个连续的计算机内存块。是程序运行期间在内存中分配的一个连续的区域，用于保存包括字符数组在内的各种数据类型。所谓溢出，其实就是所填充的数据超出了原有的缓冲区边界。两者结合进来，所谓缓冲区溢出，就是向固定长度的缓冲区中写入超出其预告分配长度的内容，造成缓冲区中数据的溢出，从而覆盖了缓冲区周围的内存空间。黑客借此精心构造填充数据，导致原有流程的改变，让程序转而执行特殊的代码，最终获取控制权。问：什么是缓冲区溢出攻击答：缓冲区溢出是指当计算机向缓冲区内填充数据位数时超过了缓冲区本身的容量，溢出的数据覆盖在合法数据上。理想的情况是：程序会检查数据长度，而且并不允

2、许输入超过缓冲区长度的字符。但是绝大多数程序都会假设数据长度总是与所分配的储存空间相匹配，这就为缓冲区溢出埋下隐患。操作系统所使用的缓冲区，又被称为“堆栈”，在各个操作进程之间，指令会被临时储存在“堆栈”当中，“堆栈”也会出现缓冲区溢出。1 缓存溢出的原理假定缓冲区的大小是足够的：当程序出错或者恶意的用户故意送入一过长的字符串时，超过的那部分字符将会覆盖与数组相邻的其他变量的空间，使变量出现不可预料的值。如果数组与子程序的返回地址邻近时，便有可能由于超出的一部分字符串覆盖了子程序的返回地址，而使得子程序执行完毕返回时转向了另一个无法预料的地址，使程序的执行流程发生了错误。甚至，由于应用程序访问

3、了不在进程地址空间范围的地址，而使进程发生违例的故障。heap：存放运行中被动态分配的内存段，它的大小并不固定。如new等函数分配内存时，新分配的内存就被动态添加到堆上，堆被扩张（由低到高方向）；delete等函数释放内存（堆被缩减）。· stack：函数 中定义的变量（但不包括static声明的变量）。在函数被调用时，其参数也会被压入栈中（由高到低方向增长），并且待到调用结束后，函数的返回值也会被存放回栈中。栈：只要栈的剩余空间大于所申请空间，系统将为程序提供内存，否则将报异常提示栈溢出。堆：操作系统有一个记录空闲内存地址的链表，执行申请时， 会遍历该链表，寻找第一个空间大于所申请

4、空间的堆结点，然后将该结点从空闲结点链表中删除，并将该结点的空间分配给程序，大多数系统会在这块内存空间中的首地址处记录本次分配的大小，执行delete时释放相应内存空间。由于找到堆结点的大小不一定正好等于申请的大小，系统会自动将多余的那部分重新放入空闲链表中。栈：在WINDOWS下，栈的大小是2M（一个编译时就确定的常数），如果申请的空间超过栈的剩余空间时，将提示overflow。因此，能从栈获得的空间较小。堆是向高地址扩展的数据结构，是不连续的内存区域。堆的大小 受限于计算机系统中有效的虚拟内存。由此可见，堆获得的空间比较灵活，也比较大。第4章 漏洞扫描缺陷：安全漏洞可能是由于设计

5、者或开发者的不慎而造成的产品缺陷。但并不是所有的产品缺陷都是安全漏洞。例子：在产品中使用一个40比特的密码可能会由于保护强度弱而产生安全隐患，但这并不属于安全漏洞。如果一个设计者由于疏忽在一个128比特的密码中只使用了64比特，那么这一缺陷属于安全漏洞。合理配置：任何产品的帮助文档都对其配置方法有着详细的介绍。此外，产品的最佳实践描述了产品的合理配置方式。只有那些在产品被正常和合理的配置情况下仍可能导致安全性问题的产品缺陷，才能称之为安全漏洞。例子：假如一个需要使用前进行用户身份认证的软件，用户配置了弱密码从而引起被轻易猜解，这并不属于安全漏洞带来的问题。如果该软件初始安装时存在默认密码且并未

6、强制用户在使用前进行密码更改，或者使用明文进行密码保存，则属于安全漏洞。侵占：在使用者允许（且没有被欺骗），或系统授权范围内进行的行为，例如控制系统或变更配置等，则不是侵占，不属于安全漏洞。只有造成的后果同时违背了使用者的意愿和产品配置的安全策略的行为，才有可能是安全漏洞。例子：如果一个产品的缺陷会导致管理员具有修改计算机上所有文件的权限，那么不属于安全漏洞。如果产品缺陷导致非特权级别用户（如普通用户）具备这些权限，那么就属于安全漏洞。假设使用者在访问某个网页时，浏览器弹出警告窗口，告知使用者该网页正试图运行某些程序。这时如果使用者选择允许程序的运行，而这个程序的运行导致了某些安全性问题，这不

7、属于安全漏洞。如果该网页属于受信任区域，并且浏览器被配置为允许运行来自受信任区域的程序，那么这个行为符合系统安全策略，因此也不存在安全漏洞。如果浏览器没有弹出警告窗口，该网页也不属于受信任区域，但是程序在使用者不知情的情况下就下载并运行了，那么这个缺陷就可能是安全漏洞。如果浏览器的地址栏被当前浏览的非信任网站伪造为可信任的网址，从而使用者受到欺骗，那么该问题表明浏览器可能存在安全漏洞。使用者是基于对人的信任被欺骗，比如攻击者通过社会工程的方式（通过电话或聊天的方式）诱骗使用者运行木马程序，则和安全漏洞无关。泄露：在未经文件所有者或管理员授权的情况下，若产品的缺陷使得攻击者能够使用这些数据，那么

8、该缺陷属于安全漏洞。这些使用行为包括对数据的访问、添加和修改等。例子：假设操作系统提供了基于文件的访问控制功能。如果一个产品缺陷允许一个使用者访问另一使用者的数据，而没有对使用者的权限和文件的访问限制进行正确检查，那么这个缺陷属于安全漏洞。如果一个新建的文件的默认权限为全局可读，不属于安全漏洞。如果操作系统本身并没有提供基于文件的访问控制功能，并且在其相关文档中说明了这一点，那么它也不属于安全漏洞。拒绝服务：意味着使用者的请求无法得到正常响应，但需要指出的是，产品的运行状况受多种因素影响，这些因素包括资源限制如硬件配置，产品设计负载能力等，所以并非所有的无法正常响应，都因产品缺陷或者安全漏洞而

9、起。例子：Microsoft Windows XP Professional 自动设置了在 IIS 上最多 10 个连接的限制，当连接数量达到10个以上，系统不会处理新的连接请求，这不属于拒绝服务。假设一个网络服务在运行资源满足的条件下，由于不恰当的处理连接请求而导致服务或整个系统停止响应，则属于产品缺陷，可能属于安全漏洞。Ping命令的使用用法: ping -t -a -n count -l size -f -i TTL -v TOS-r count -s count -j host-list | -k host-list -w timeout -R -S srcaddr -4 -6 tar

10、get_name选项:-t Ping 指定的主机，直到停止。若要查看统计信息并继续操作 - 请键入 Control-Break；若要停止 - 请键入Control-C。-a 将地址解析成主机名。-n count 要发送的回显请求数。-l size 发送缓冲区大小。-f 在数据包中设置“不分段”标志(仅适用于 IPv4)。-i TTL 生存时间。-v TOS 服务类型(仅适用于 IPv4。该设置已不赞成使用，且对 IP 标头中的服务字段类型没有任何影响)。-r count 记录计数跃点的路由(仅适用于 IPv4)。-s count 计数跃点的时间戳(仅适用于 IPv4)。-j host-list

11、 与主机列表一起的松散源路由(仅适用于 IPv4)。-k host-list 与主机列表一起的严格源路由(仅适用于 IPv4)。-w timeout 等待每次回复的超时时间(毫秒)。-R 同样使用路由标头测试反向路由(仅适用于 IPv6)。-S srcaddr 要使用的源地址。-4 强制使用 IPv4。-6 强制使用 IPv6。1. 网络安全问题主要表现在哪些方面？常用防范措施有哪些？ 整体网络的安全问题主要表现在以下几个方面：网络的物理安全、网络拓扑结构安全、网络系统安全、应用系统安全和网络管理的安全等。防范措施：*物理措施*防问措施*数据加密*病毒防范*其他措施。包括信息过滤、容错、数据镜

12、像、数据备份和审计等。2. 简述数据报文的传送过程。 在进行数据传输时，相邻层之间通过接口进行通信，发送方由高层到低层逐层封装数据，接收方由低层到高层逐层解包数据。 如果接收方与方送方位于同一网段，则不需要进行路由选路，不经路由设备直达接收方。 如果通信双方不在同一网段，例如我们访问互联网，则需要进行路由选路，经过若干路由设备。报文经过路由设备时进行的处理过程是这样的：在路由设备的物理层接收报文，然后向上传递到数据链路层、网络层。在网络层路由设备会判断报文的目的IP地址是否是本地网络，然后将报文重新打包下发到数据链路层和物理层发送出去。在这个过程中网络层的目的IP地址始终保持不变，而数据链路层

13、的MAC地址更改成本地目的主机的MAC地址或下一个路由器的MAC地址。3.在网络中定位一台计算机的方法是使用_IP地址_或_域名DN_。4.私有IP地址通常由路由器使用_NAT_协议来转换为公有地址。5. ping命令是用于检测_网络连接性_和_主机可到达性_的主要TCP/IP命令。使用ping命令默认情况下将发送_4_次ICMP数据包，每个数据包的大小为_32_个字节。6. ping命令的常用参数的含义：-n,-t,-l。 -n 指定发送数据包的数目，默认为4个。 -t 对目标持续不断地发送ICMP数据包，按Ctrl+C组键停止。-l 指定发包时，单个数据包的大小，默认是32KB。7. pi

14、ng命令出现“Request timed out.”信息的可能原因有哪些？ * 与对方网络连接有问题（对方关机、此IP不存在、网络有问题）。 * 双方网络连接慢，网速卡、数据不能及时传递。 * 对方安装了防火墙，过滤了ICMP数据包。 * 本地安装了防火墙，过滤了ICMP数据包（在企业用的比较多，ISA服务器过滤内部的ICMP数据包）。8. 简述tracert命令的工作原理。通过向目标主机发送不同IP生存时间值的ICMP回应数据包，Tracert诊断程序确定到目标主机所经过的路由。在数据包传输中所经过的每个路由在转发数据报之前要将数据包上的TTL值减1。当数据包上的TTL值减为0时，路由器应该

15、将“ICMP已超时”的消息发回源系统。Tracert先发送TTL为1 的回应数据包，并在随后的每次发送过程中将TTL值递增1，直到目标响应或TTL值达到最大值，从而确定路由。通过检查中间路由发回的“ICMP已超时”的消息确定路由。某些路由不经询问直接丢弃TTL过期的数据包，这在Tracert实用程序中看不到。Tracert命令按顺序打印出返回“ICMP已超时”消息的路径中的近端路由器接口列表。如果使用“-d”选项，则Tracert实用程序不在每个IP地址上查询DNS。stat命令常用参数-a，-b，-n，-r的含义。 -a 显示所有连接和监听端口。 -b 显示包含于创建每个连接或监听端口的可执

16、行组件。 -n 以数字形式显示地址和端口号。 -r 显示路由表。10. net user、net localgroup命令的常用用法。net user用于添加用户或更改用户账号或显示用户账户信息，该命令也可以写为 net users。 net user 命令格式如下：ner user username password |* options /domain 利用“net user”命令查看当前系统的所有用户列表；利用“net user 用户名”命令查看指定用户的详细信息；利用“net user 用户名密码”命令，可以修改指定用户的密码；利用“net user 用户名 密码/add”命令为当前系

17、统创建一个账户（用户名和密码已在命令中指定） net localgroup 用于添加、显示或更改本地组。 使用不用带参数的“net localgroup"命令可以查看计算机中所有的本地组名称；使用“net localgroup 用户组"命令可以查看某个用户组中的所有成员；使用“net localgroup 用户组 用户名 /add" 将指定的用户添加到指定的用户组中；如果将命令后的“/add"改成"/del"可以将用户从某个组中删除。11. net view和net share的异同。异: net view 可以显示域列表、计算机列表

18、 net share 的作用可以创建、删除共享资源net view 的使用格式 net view computername net /domain net share 的常用用法: “net share 共享名 ” “net share 共享名=文件或文件夹路径” "net share 共享名/del" Net view 查看的是当前网络内的所有共享资源列表 net share 查看的是当前系统内所有的共享资源列表相同：都可以显示共享资源 都可直接输入本身命令来查看共享资源列表 start和net stop的作用。 Net Start 用于启动服务，或显示已启动服务的列表，

19、Net Shop 用于停止所开启的服务。13. ipconfig命令的功能，/all参数的作用。Ipconfig 命令用来显示和配置当前TCP/IP网络配置值。/all 查看当前系统所有网络适配器（网卡）详细信息。14. arp命令常用参数：-a，-s，-d。“arp-a” 命令可以显示本机的路由表信息。“arp-s IP地址MAC地址”命令将IP地址与MAC地址绑定。“arp-d IP地址”命令删除某个IP的路由记录，使用“arp-d *”命令删除所有的路由记录。15. 黑客入侵的一般步骤。准备-攻击-巩固16. 常见漏洞的分类有哪几种？ *操作系统漏洞*Web服务器漏洞*Ftp服务器漏洞*

20、数据库服务器漏洞*应用程序漏洞17. 黑客攻击工具的类型有哪些？ *扫描工具*入侵辅助工具*数据嗅探工具*远程溢出*后门*远程控制18. 简述TCP连接的建立过程。* 客户端首先发送一个带有初始序列号（ISN）的同不包（标志位为SYN的数据包）*服务器端在收到这个同不包后发送一个响应数据包（标志位为ACK，带有ISN+1的序列号）给客户端，这个序列号正是客户端所期待收到的序列号。在这个数据包中，服务器端还设置了自己的SYN标志，并包含自己的ISN。* 客户端收到数据包后，使用一个ACK包来响应服务器端发出的SYN数据包给服务器端。ACK序列号是服务器端的SYN数据包的ISN+1，这正是服务器端

21、所期待收到的序列号。这样客户端和服务器端的一次TCP连接就成功完成了。19. 常见端口扫描中哪些为正向扫描，哪些为反向扫描？TCP Connect()扫描 SYN 扫描 NULL扫描 FIN 扫描 ACK 扫描 Xmas-Tree扫描 Dumb扫描20.前五种（1-5）端口扫描的原理及各自优缺点。21.检测目标主机是否存在漏洞的两种方法。 * 在端口扫描后得知目标主机开启的端口以及端口上的网络服务，将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配，查看是否满足匹配条件的漏洞存在。*通过模拟黑客的攻击手法，对目标主机系统进行攻击性的安全漏洞扫描，如测试弱势口令等。若模拟攻击成功，则表明目标主

22、机系统存在安全漏洞。22. 第4章介绍的工具都有什么功能，属于什么类型？端口扫描： SuperScan 是Windows平台下一款不错的扫描软件，可以通过Ping命令判断某一主机是否在线，可以用它来扫描局域网内所有的活动主机或某一台主机所开放的端口，查找IP/主机名，6723.C/S和B/S的设计结构有什么不同？24.主流Web服务器有哪些？微软公司的IIS服务器、开源的软件Apache和Tomcat25. 常见的Web漏洞攻击方式有哪些？SOL注入，漏洞提权，跨站攻击，口令破解 程序对用户提交的数据过滤不严格所导致26.SQL注入攻击、漏洞提权攻击等存在的根本原因是_。27.如何防范各种We

23、b攻击？SQL注入防范：*网站程序员在构造动态SQL语句时，一定要使用类安全的参数加码机制。 *做好安全审计工作，在每次更新程序时，对所有的编码做审评，严格检查用户输入的数据，尽可能多的过滤掉用户输入的非法字符 *不要将敏感性数据在数据库里以明文存放，一定要将敏感型数据加密后放到数据库中，这样即便入侵者得到了数据，也需要用一段时间来破解 *经常做网站SQL注入漏洞检测以检测网站的安全性 * 锁定数据库的安全，只给访问数据库的Web应用功能所需的最低权限。Web漏洞提权防范：尽可能的完善网站程序，如果使用第三方开发的程序，则需要经常关注所用系统的漏洞，如果出现漏洞，要尽快打好补丁，如果官方还没有

24、公布补丁程序，可以将存在漏洞的页面改名或删除。跨站脚本攻击（XSS）防范：对动态生成的页面的字符进行编码、对用户的输入进行过滤和限制，尽量使用HTML和URL编码。Web口令暴力破解防范： 作为网站管理员，要尽量使用非连续的字符作为密码，而且要包含特殊字符，密码最好在20位左右。要最大程度的保护管理员的用户名和密码不被破解，网站的后台管理地址一定要隐蔽，不要放在类似admin,maser,webmaster等文件夹下；后台登陆尽量使用验证码。28.第5章各种常用工具的作用？29.数据库服务器可能遭受的攻击类型。*利用安全漏洞攻击*口令破解攻击*SQL注入攻击*数据库直接连接攻击*数据库信息列举

25、*利用网站程序攻击*特权提升攻击30.MS SQL Server和My SQL的默认帐户是什么？默认安装使用的端口号是什么？31.数据库中有些默认安装的存储过程存在安全隐患，为了防止被恶意入侵者使用，可以_手动删除_这些存储过程。32.常用的数据库安全扫描软件有哪些？NGSSoftware Shadow Database Scanner33. 系统漏洞产生的原因有哪些？ * 漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统，即某个程序（包括操作系统）在设计时考虑周全，当程序遇到一个看似合理，但实际无法处理的问题时，引发的不可预见的

26、错误。 * 编程人员的人为因素，在程序编写过程，为实现不正当的目的，在程序代码的隐蔽处保留后门。* 受编程人员的能力、经验和当时安全技术所限，在程序中难免会有不足之处，轻则影响程序效率，重则导致非授权用户的权限提升或溢出漏洞。34.可以使用_MBSA、Retina_工具检测操作系统漏洞。35.现在最常见的DoS攻击包含对计算机网络的_宽带_攻击和_连通性_攻击。36.常见的拒绝服务攻击的方式有哪些？死亡之Ping Land攻击 泪滴攻击 UDP洪水攻击 SYN洪水攻击 DDoS分布式拒绝服务 DRDoS攻击剖析-分布式反射拒绝服务37.DDoS的含义是_DDoS全称为Distributed D

27、enial of Service ,它是基于DoS的特殊形式的拒绝服务攻击，是一种分布、协作的大规模攻击方式，攻击目标通常是比较大的站点，如企业网站、搜索引擎和门户网站等。_。38.MBSA的扫描方式有两种：_安全扫描_和_更新扫描_。MBSA在运行扫描时要求在被扫描的主机上必须具有_管理员_权限。39.ARP协议的含义是_ARP_是Address Resoolution Protocol 地址解析协议 的缩写主机在发送帧前将目标IP地址转换成目标MAC地址的过程的协议_，基本功能是_通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行_。ARP攻击是_局域网内部_内常见的一种攻击方式。40.列举三种以上常见的局域网攻击方式。 IPC$空连接 Telnet攻击 ARP欺骗 局域网嗅探 局域网监控软件41.ARP欺骗的两种类