拒绝服务与数据库安全课件

1、,拒绝服务与数据库安全,1,PPT学习交流,2,PPT学习交流,3.1 拒绝服务攻击概述,3.1.1 DoS定义 DoS (Denial Of Service)拒绝服务，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。带宽攻击指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，最后导致合法的用户请求就无法通过。连通性攻击指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。,3,PPT学习交流,DoS攻击的原理：借助网络系统或协议的缺陷以及配置漏洞进行

2、网络攻击，使网络拥塞、系统资源耗尽或系统应用死锁，妨碍目标主机和网络系统对正常用户服务请求的及时响应，造成服务的性能受损，甚至导致服务中断。,4,PPT学习交流,DoS攻击的基本过程。,5,PPT学习交流,图3.1 DoS攻击的基本过程,6,PPT学习交流,3.1.2 拒绝服务攻击的分类 拒绝服务攻击可以是“物理的”（又称“硬件的”），也可以是“逻辑的”（又称“软件的”）。,7,PPT学习交流,按攻击的目标又可分为节点型和网络连接型。 节点型: 主机型攻击 应用型攻击 网络连接型,8,PPT学习交流,按照攻击方式来分可以分为：资源消耗、服务中止和物理破坏。 1.资源消耗 带宽耗尽攻击 系统资源

3、耗尽攻击 2.服务中止 3.物理破坏,9,PPT学习交流,按受害者类型可以分为服务器端拒绝服务攻击和客户端拒绝服务攻击。 1.服务器端拒绝服务攻击 2.客户端拒绝服务攻击,10,PPT学习交流,3.1.3 常见DoS攻击 1Land程序攻击 Land 攻击，是利用向目标主机发送大量的源地址与目标地址相同的数据包，造成目标主机解析Land包时占用大量的系统资源，从而使网络功能完全瘫痪的攻击手段。,11,PPT学习交流,2SYN Flood攻击 这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，使被攻击方资源耗尽（CPU满负荷或内存不足）的攻击方式。,12,PPT学习交流,实现过程 : 第

4、一次握手。 第二次握手。 三次握手完成。,13,PPT学习交流,3IP欺骗DoS攻击 4Smurf攻击,14,PPT学习交流,攻击者伪装成被攻击者向某个网络上的广播设备发送请求，该广播设备会将这个请求转发到该网络的其他广播设备，导致这些设备都向被攻击者发出回应，从而达到以较小代价引发大量攻击的目的。,15,PPT学习交流,5Ping of Death 这种攻击通过发送大于65536字节的ICMP包造成操作系统内存溢出、系统崩溃、重启、内核失败等后果，从而达到攻击的目的,16,PPT学习交流,6Teardrop攻击 泪滴（Teardrop）攻击，是基于UDP的病态分片数据包的攻击方法，利用在TC

5、P/IP堆栈中实现信任IP碎片中的包的标题头所包含的信息来实现自己的攻击。,17,PPT学习交流,7WinNuke攻击 WinNuke攻击是一种拒绝服务攻击。 攻击特征：WinNuke攻击又称带外传输攻击，它的特征是攻击目标端口，被攻击的目标端口通常是139、138、137、113、53，而且URG位设为“1”，即紧急模式。 检测方法：判断数据包目标端口是否为139、138、137等，并判断URG位是否为“1”。 反攻击方法：适当配置防火墙设备或过滤路由器就可以防止这种攻击手段（丢弃该数据包），并对这种攻击进行审计（记录事件发生的时间，源主机和目标主机的MAC地址和IP地址MAC）。,18,P

6、PT学习交流,3.1.4 分布式拒绝服务 分布式拒绝服务（Distributed Denial of Service，DDoS），是一种基于DoS的特殊形式的拒绝服务攻击，是一种分布、协作的大规模攻击方式，主要瞄准比较大的站点，像商业公司、搜索引擎或政府部门的站点。,19,PPT学习交流,图3.2 分布式拒绝服务,20,PPT学习交流,DDoS攻击分为3层：攻击者、主控端和代理端。,21,PPT学习交流,1Trinoo 2TFN 3TFN2K 4Stacheldraht,22,PPT学习交流,检测DDoS攻击的主要方法有以下几种。 根据异常情况分析 使用DDoS检测工具,23,PPT学习交流,

7、安全防御措施有以下几种。 及早发现系统存在的攻击漏洞，及时安装系统补丁程序。 在网络管理方面，要经常检查系统的物理环境，禁止那些不必要的网络服务。,24,PPT学习交流, 利用网络安全设备（例如防火墙）来加固网络的安全性，配置好它们的安全规则，过滤掉所有可能的伪造数据包。,25,PPT学习交流, 比较好的防御措施就是和网络服务提供商协调工作，让他们帮助实现路由访问控制和对带宽总量的限制。,26,PPT学习交流, 当发现正在遭受DDoS攻击时，应当及时启动应付策略，尽可能快地追踪攻击包，并且要及时联系ISP和有关应急组织，分析受影响的系统，确定涉及的其他节点，从而阻挡已知攻击节点的流量。,27,

8、PPT学习交流,3.1.5 拒绝服务攻击的防护 拒绝服务攻击的防护一般包含两个方面：一是针对不断发展的攻击形式，尤其是采用多种欺骗技术的技术，能够有效地进行检测；二，也是最为重要的，就是如何降低对业务系统或者是网络的影响，从而保证业务系统的连续性和可用性。,28,PPT学习交流,通常建议用户可以采取以下手段来保障网络能够抵御拒绝服务攻击。,29,PPT学习交流, 增加网络核心设备的冗余性，提高对网络流量的处理能力和负载均衡能力。 通过路由器配置访问列表过滤掉非法流量。,30,PPT学习交流, 部署防火墙，提高网络抵御网络攻击的能力。 部署入侵检测设备，提高对不断更新的DoS攻击的识别和控制能力

9、。,31,PPT学习交流,3.2 基于漏洞入侵的防护方法,3.2.1 基于IIS漏洞入侵的防护方法 1.ida&.idq漏洞,32,PPT学习交流,表3.1 .ida&.idq漏洞简介,33,PPT学习交流,续表,34,PPT学习交流,2.printer漏洞,35,PPT学习交流,表3.2 .printer漏洞简介,36,PPT学习交流,续表,37,PPT学习交流,3Unicode目录遍历漏洞,38,PPT学习交流,表3.3 Unicode目录遍历漏洞简介,39,PPT学习交流,续表,40,PPT学习交流,续表,41,PPT学习交流,4.asp映射分块编码漏洞,42,PPT学习交流,表3.4

10、.asp映射分块编码漏洞简介,43,PPT学习交流,续表,44,PPT学习交流,5WebDAV远程缓冲区溢出漏洞,45,PPT学习交流,表3.5 WebDAV远程缓冲区溢出漏洞简介,46,PPT学习交流,6Microsoft IIS 6.0 Web安全漏洞 安全解决方案如下所示。 转移根目录，不要把Web根目录建在系统磁盘（C:）。 把IIS目录的权限设置为只读。 如果IIS只用来提供静态网页，即不提供ASP、JSP、CGI等脚本,47,PPT学习交流,服务，那么建议删除脚本目录，或者说，删除全部默认安装目录，并禁止任何脚本、应用程序执行，并删除应用程序配置里面的“ISAPI”应用程序、禁止脚

11、本测试等。,48,PPT学习交流, 设置安全日志，并把该日志存在一个不显眼的路径下。 安装网络防火墙，并禁用除80端口以外所有端口的内外通信连接。 经常备份，并把备份文件存储在另一台计算机上。,49,PPT学习交流,3.2.2 基于电子邮件服务攻击的防护方法 IMAP和POP漏洞 。 拒绝服务（DoS）攻击。,50,PPT学习交流, 死亡之ping 同步攻击 循环,51,PPT学习交流, 系统配置漏洞 默认配置 空的/默认根密码 漏洞创建,52,PPT学习交流, 利用软件问题 缓冲区溢出 意外组合 未处理的输入,53,PPT学习交流, 利用人为因素 特洛伊木马及自我传播 远程访问 数据发送 破

12、坏 拒绝服务 代理,54,PPT学习交流,解决方法有以下3种。 （1）在电子邮件系统周围锁定电子邮件系统电子邮件系统周边控制开始于电子邮件网关的部署。电子邮件网关应根据特定目的与加固的操作系统和防止网关受到威胁的入侵检测功能一起构建。,55,PPT学习交流,（2）确保外部系统访问的安全性电子邮件安全网关必须负责处理来自所有外部系统的通信，并确保通过的信息流量是合法的。通过确保外部访问的安全，可以防止入侵者利用Web邮件等应用程序访问内部系统。,56,PPT学习交流,（3）实时监视电子邮件流量实时监视电子邮件流量对于防止黑客利用电子邮件访问内部系统是至关重要的。检测电子邮件中的攻击和漏洞攻击（如

13、畸形MIME）需要持续监视所有的电子邮件。,57,PPT学习交流,3.2.3 注册表入侵的防护方法,58,PPT学习交流,表3.6 注册表根项名称说明,59,PPT学习交流,续表,60,PPT学习交流,续表,61,PPT学习交流,表3.7 注册表数据类型说明,62,PPT学习交流,续表,63,PPT学习交流,通过以下两种方法增强注册表的安全性。 1禁止使用注册表编辑器,64,PPT学习交流,方法一：打开一个“记事本”文件，如果计算机的操作系统是Windows 2000XP，在其中输入以下文字： Windows Registry Editor Version 5.00,65,PPT学习交流,HK

14、EY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem “Disableregistrytools”=dword:00000000,66,PPT学习交流,如果操作系统是Windows 98或Windows 95，则输入如下文字： REGEDIT4,67,PPT学习交流,HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem “Disableregistrytools”=dword:00000000,68,PPT学习交流,将文件保存为

15、名为“Unlock.reg”的注册表文件。双击运行该文件，即可将该文件导入到注册表中，然后使用常规打开注册表编辑器的方法就可以重新打开注册表编辑器了。,69,PPT学习交流,方法二：在Windows 2000XP2003系统中，从“开始”菜单中选择“运行”，在打开的“运行”对话框中输入“Gpedit.msc”，单击“确定”按钮，即可打开“组策略”对话框（见图3.4）。,70,PPT学习交流,从左侧栏中依次选择“用户配置”“管理模板”“系统”选项，在右侧栏中双击“阻止访问注册表编辑工具”，可以打开“阻止访问注册表编辑工具属性”对话框，选择“已禁用”单选项，单击“确定”按钮，即可恢复禁用的注册表编

16、辑器。如图3.5所示。,71,PPT学习交流,图3.4 组策略编辑器,72,PPT学习交流,图3.5 “阻止访问注册表编辑工具属性”对话框,73,PPT学习交流,2删除“远程注册表服务”（Remote Registry Service） 方法是找到注册表中HKEY_LOCAL_MACHINE SYSTEMCurrentControlSet,74,PPT学习交流,Services下的RemoteRegistry项，在其上单击鼠标右键，选择“删除”选项，将该项删除后就无法启动该服务了，即使我们通过“控制面板”“管理工具”“服务”中启动也会出现相应的错误提示，根本无法启动该服务。,75,PPT学习交

17、流,3.2.4 Telnet入侵的防护方法 禁用Telnet服务 ,防范IPC漏洞，禁用建立空连接，,76,PPT学习交流,3.3 SQL数据库安全,3.3.1 数据库系统概述3.3.2 SQL服务器的发展 1970年6月，1987年，1993年，1996年，1998年，2000年9月，2005年 。,77,PPT学习交流,3.3.3 数据库技术的基本概念 数据（Data） 数据库（DB） 数据库管理系统（DBMS） 数据库系统（DBS） 数据库技术 数据模型,78,PPT学习交流,两种类型。 一种是独立于计算机系统的数据模型，完全不涉及信息在计算机中的表示，只是用来描述某个特定组织所关心的信

18、息结构，这类模型称为“概念数据模型”。,79,PPT学习交流,另一种数据模型是直接面向数据库的逻辑结构，它是对现实世界的第二层抽象。这类模型直接与数据库管理系统有关，称为“逻辑数据模型”，一般又称为“结构数据模型”。,80,PPT学习交流,结构数据模型应包含数据结构、数据操作和数据完整性约束3个部分。,81,PPT学习交流,3.3.4 SQL安全原理 1第一级安全层次 服务器登录，SQL Server有两种服务器验证模式 ：安全模式和混合模式,82,PPT学习交流,表3.8 服务器角色及其主要功能,83,PPT学习交流,2第二级安全层次 它控制用户与一个特定的数据库的连接。,84,PPT学习交流,3第三级安全层次 它允许用户拥有对指定数据库中一个对象的访问权限，由数据库角色来定义。,85,PPT学习交流,（1）用户定义的角色 （2）固定数据库角色,86,PPT学习交流,表3.9 数据库角色及其主要功能,87,PPT学习交流,续表,88,PPT学习交流,3.4 SQL Server攻击的防护,3.4.1 信息资源的收集 称之为SQL Server解决服务方案。,89,PPT学习交流,3.4.2 获取账号及扩大权限 入侵者可以通过以下几个