信息安全导论 第3章.ppt

1、第3章 信息的状态与攻防,3.1 信息的状态 3.2 信息攻、防模型 3.3 攻、防概述 思考题 实验3 网络安全编程,3.1 信息的状态,信息只有通过数据形式表示出来才能被人们理解和接受，所以信息技术领域经常将信息与数据不加区分的使用，本章我们也沿用这种说法。信息或数据所处的状态可分为三种，即加工处理状态、存储状态和传输状态，如图3-1所示。,图3-1 信息的状态,3.1.1 信息处于加工处理状态 数据或信息只有被调入内存才能被处理器访问，因此，处于加工处理状态的数据应该已经存在于计算机的内存或CPU的寄存器中。现代计算机都是在操作系统的统一指挥和控制下实现对信息的加工处理的。操作系统对内存

2、和处理器的分配和管理都是以进程为单位来实现的。因此处于加工和处理状态中的数据都属于某一个进程。,进程是一个程序及其数据在处理器上的运行过程，是系统进行资源分配和调度的独立单位。一个进程由代码段、程序指针、堆栈(用于存放临时数据)、数据段(存放全局变量)和进程控制块组成。 操作系统是通过进程控制块来感知和控制一个进程的，进程和进程控制块中包含的信息如图3-2所示。,图3-2 进程与进程控制块的结构,从上图3-2可知，处于加工处理状态中的数据有如下几种数据结构： (1) 进程控制块中的数据； (2) 数据区中的数据； (3) 堆栈中的数据； (4) 代码段中的数据； (5) 共享的数据。 例3-1

3、 缓冲区溢出攻击。 缓冲区溢出攻击一般指向程序的缓冲区写入超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其他指令，以达到攻击的目的。缓冲区溢出攻击示意图如图3-3所示。,图3-3 缓冲区溢出攻击示意图,3.1.2 信息处于存储状态 处于存储状态的信息是以文件为单位的形式存放在各种可长期保存数据的存储体中的，这些存储体包括硬盘、优盘、软盘、光盘、磁带、磁盘阵列和SAN等。 文件是指存储在外存储器上的相关数据的集合，是操作系统定义和实现的一种抽象数据类型，是操作系统为信息存储提供的一个统一视图。,一般来说，对文件的操作有打开、处理和关闭三种形式。 (1) 打开文件：在计算机

4、内存中开辟一个缓冲区，用于存放被打开文件的有关信息。 (2) 文件处理：包括读、写、定位等操作。 (3) 关闭文件：将缓冲区中的内容写回到外存(磁盘)，并释放缓冲区。 为了分门别类的有序存放文件，操作系统把文件组织在若干文件夹(目录)中。文件夹一般采用如图3-4所示形式的层次结构(树状结构)。,每个目录通过索引节点号，或者指向一个普通的数据文件，或者指向另一个目录文件。,图3-4 文件夹的层次结构,例3-3 用C+实现文件删除操作 #include int main(void) char file80; printf(请输入你要删除的文件路径: ); gets(file); if (remov

5、e(file) = 0) printf(删除 %s 成功n,file); else printf(删除 %s 失败n,file); return 0; ,例3-4 注册表修改。 注册表在计算机中由键名和键值组成，其中存储了Windows操作系统的所有配置。黑客90%以上对Windows的攻击手段都离不开读写注册表。在运行窗口中输入“regedit”命令可以进入注册表，注册表的界面如图3-5所示。,图3-5 注册表界面,注册表的句柄可以由调用RegOpenKeyEx()和RegCreateKeyEx()函数得到，通过函数RegQueryValueEx()可以查询注册表某一项的值，通过函数RegS

6、etValueEx()可以设置注册表某一项的值。 中了“冰河”木马病毒的计算机注册表都将被修改了，修改了扩展名为txt的文件的打开方式，在注册表中txt文件的打开方式定义在HKEY_CLASSES_ROOT主键下的“txtfileshellopencommand”中。下面的代码可判断是否中了“冰河”木马。,#include #include main() HKEY hKEY; const char* data_Set = txtfileshellopencommand; long ret0 = (RegOpenKeyEx(HKEY_CLASSES_ROOT, data_Set, 0, KEY_

7、READ, ,/查询有关的数据 unsigned char * owner_Get = new BYTE80; unsigned long type_1 = REG_EXPAND_SZ ; unsigned long cbData_1 = 80; long ret1=RegQueryValueEx(hKEY, NULL, NULL, ,If (strcmp(owner_ Get, %systemroot%system32 notepad.exe %1) = 0) printf(没有中冰河); else printf(可能中了冰河); printf(n); 读者可以创建Win32控制台应用程序，

8、编译、查看上述程序的运行结果。,3.1.3 信息处于传输状态 处于传输状态的数据存在于传输介质之中，这些传输介质包括磁介质、双绞线、同轴电缆、光纤和无线传输介质。无线传输介质又包括无线电、短波、微波、卫星和光波。,数据的传输是遵照一定协议进行的，对等实体之间通过协议传送协议数据单元实现虚拟通信，而下层协议向上层提供服务，实际通信在最底层完成。TCP/IP协议是Internet最基本的协议。TCP/IP协议的传输层提供了TCP和UDP两种传输协议，其中TCP是面向连接的、可靠的传输协议。它把报文分解为多个段进行传输，在目的站再重新装配这些段，必要时重新发送没有收到的段；UDP是无连接的协议，由于

9、对发送的段不进行校验和确认，因此它是“不可靠”的。,例3-5 如图3-6所示，TCP协议在建立连接时需要“三次握手”进行确认。首先由客户端发送SYN=1，Seq.No=x的分组开始建立请求连接后，进入SYN_SEND状态，等待服务器确认(第一次握手)；服务器收到上述分组后，必须确认客户的SYN，即回送一个SYN+ACK包(SYN=1，ACK=1，ACK.No=x+1，Seq.No=y)，此时服务器进入SYN_RECV状态(第二次握手)；客户端收到服务器的SYN+ACK包后，服务器发送确认ACK包(SYN=0，ACK=1，ACK.No=y+1)，此包发送完毕，客户端和服务器进入ESTABLISH

10、ED状态，完成三次握手。,图3-6 TCP三次握手示意图,图3-7是通过抓包工具Sniffer获得的一个FTP会话。读者可结合TCP数据包的结构来分析上述过程。,(a) 第一次“握手”,(b) 第二次“握手”,(c) 第三次“握手”,图3-7 通过抓包工具查看三次“握手”过程,3.2 信息攻、防模型,3.2.1 信息在加工处理状态和存储状态下的攻、 防模型 我们可以把处于加工处理状态和存储状态的信息看成是位于一个信息系统之内，攻击者(人、软件等)试图入侵相关信息系统，而防护者试图保护相关信息系统不受攻击者的侵害。相关的攻、防模型如图3-8所示。,图3-8 信息在加工处理状态和存储状态下的攻、防

11、模型,上述模型要求信息系统的拥有者(防护者)有如下权限： (1) 要能够选择适当的“门卫”来识别合法用户和非法用户，并把非法用户拒之“门”外； (2) 要有内部的控制和审查机制来实施安全控制，确保只有授权用户才能访问相关资源，防止越权访问。 认证技术、访问控制技术、防火墙技术和入侵检测技术是上述模型中防护者常用的防护方法，可信计算机系统对该模型的实施具有一定帮助。图3-9对该模型中“门卫”的具体任务作了进一步的诠释。,图3-9 “门卫”的访问控制作用,3.2.2 信息在传输状态下的攻、防模型 传输状态下信息的攻、防模型如图3-10所示。,图3-10 信息在传输状态下的攻、防模型,在图3-10中

12、，攻击者试图通过窃听、篡改收发双方的信息，假冒一方与另一方通信，造成通信信道阻塞等手段达到攻击目的，防护者试图保护相关通信不受攻击者侵害。图3-11分别描述了攻击者可能采用的攻击方法。,图3-11 攻击者采用的攻击方法,攻击者通过监听网络上传递的信息流，从而获取信息内容的过程称为窃听。攻击者仅仅希望得到信息流的长度、传输频率等数据的过程称为流量分析。人们通常把此类攻击称为被动攻击，如图3-11(a)所示。,攻击者通过有选择的修改、删除、延迟、乱序、复制、插入数据流或数据流的一部分以达到其非法目的攻击称为主动攻击。这种攻击可以归纳为篡改、伪造和中断三种。篡改是指攻击者修改、破坏由发送方到接收方的

13、信息流，使接收方得到错误的信息，从而破坏信息的完整性，如图3-11(b)所示。伪造是针对信息真实性的攻击，攻击者首先记录一段发送方与接收方之间的信息流，然后在适当时间向接收方或发送方重放(playback)这段信息，或者是完全伪造一段信息流，以冒充发送方或接收方可信任的第三方，向接收方发送。中断是指阻断由发送方到接收方的信息流，使接收方无法得到该信息，这是针对信息可用性的攻击，如图3-11(c)所示。,上述模型对防护者有如下要求： 要选择合适的算法来确保信息的安全传输； 要能生成相关算法使用的秘密信息(密钥)； 要有相关密钥的分配方法； 要指定一个通信协议供合法参与方使用相关安全服务实现安全通

14、信。 密码学中的加密、签名、摘要、密钥管理等技术是上述模型中防护者常用的防护方法。,3.3 攻、防概述,3.3.1 攻击 任何危及单位和个人信息安全的行为都称为攻击，攻击和威胁通常是指同一个概念。攻击者攻击成功的标志是成功破坏了防护者信息安全目标中的一个或多个，例如破坏数据的机密性、完整性等。,信息总是经过采集、存储、传输和处理才能够发挥作用。人们总是从大量数据中提取出一定的信息，积累一定的信息而成为知识，将知识和具体的实践活动相结合而发展智慧、形成认识。信息攻击针对信息的各个过程，最后直指人的心理、思想、认识、判断、决策和意志。也就是说，信息攻击的目标将分别针对物理层、信息结构层和意识空间，

15、如图3-12所示。,图3-12 信息攻击主要围绕三个层面展开,对处于加工处理状态和存储状态信息的攻击可以看成是对一个信息系统的攻击，攻击者往往利用操作系统在进程管理、内存管理、文件管理、设备管理等方面的漏洞或应用程序的漏洞来实现相关攻击。而对传输中的信息攻击往往是利用通信协议的脆弱性来实现。 由上可知，只有深入分析信息所处的环境和信息的存在状态，攻击者才能选择并发起有针对性的攻击。,3.2.2 防护 防护者的目标是对存储、加工处理和传输中的数据实现信息安全的要求、抗击攻击者的攻击。不同的业务有不同的信息安全要求，防护者针对具体的信息安全要求，结合信息所处的环境和信息的存在状态开展防护工作。 防

16、护者采用的方法和手段称为安全机制。安全机制总体上可分为预防、检测、阻止和恢复几个方面。常用的安全机制主要有信息隐藏、加密技术、数字签名、访问控制、数据完整性技术、认证、流量填充、路由控制安全标签、事件检测、安全审计、可信计算和安全恢复等。,作为一个单位的信息安全机构来说，其任务就是保障本单位的信息安全，为本单位用户提供安全的信息服务。安全性需求的满足也可以看成是一种服务，RFC 2828定义安全服务为“系统提供的能够实现对系统资源进行一种特殊保护的通信或加工处理服务”。系统常提供的安全性服务主要有机密性、可认证性、数据完整性、不可抵赖性和可用性。 安全机制是实现安全服务的手段，一种安全服务可以

17、由多种安全机制来实现，同样一种安全机制也可能在多种安全服务中起作用。安全机制与安全服务的关系如图3-13所示。,图3-13 安全机制与安全服务的关系图,安全保护机制的设计还必须遵循一定的原则。例如，保护机制应设计得尽可能简单和短小，主体对每个客体的每一次访问都必须经过安全检查，主体对客体的访问应遵循“最小授权”原则，不应该把保护机制的抗攻击能力建立在设计的保密性的基础之上，应该在公开的环境中设法增强保护机制的防御能力，等等。,思 考 题,(1) 什么是进程，进程控制块中的主要信息有哪些？ (2) 简述缓冲区溢出攻击的基本原理。 (3) 画图说明 UDP协议的数据包结构。 (4) TCP协议头主

18、要由哪些字段组成，各有什么作用？ (5) 计算机系统中的数据主要面临哪些攻击，传输中的数据主要面临哪些攻击？ (6) 什么是安全机制，什么是安全服务，什么是可信计算？,实验3 网络安全编程,一、实验目的 (1) 掌握手工和编程序修改注册表的方法，掌握相关API函数的调用方法。 (2) 熟悉网络攻击的基本方法，理解端口扫描的基本原理。 (3) 对网络安全程序开发有初步了解。,二、实验准备 (1) 注册表的句柄可以由调用RegOpenKeyEx()和RegCreateKeyEx()函数得到，通过函数RegQueryValueEx()可以查询注册表某一项的值，通过函数RegSetValueEx()可以设置注册表某一项的值。要求实验前熟悉注册表修改的有关方法。,(2) 对网络端口的扫描可以得到目标计算机开放的服务程序、运行的系统版本等重要信息，从而为下一步入侵做好准备。对网络端口的扫描可以通过执行手工命令实现，但一般效率较低。较好的选择就是通过网络扫描器来实现。要求实验前熟悉扫描器的工作原理。 (3) 安全程序的开发往往需要直接网络编程，请同学们查阅有关资料，了解相关知识。,三、实验内容 (1) 请创建控制台程序，分析、编译并执行下面程序，给出运行结果。 #include #include main() HKEY hKey1; DWO