第四章网络安全课件.ppt

网络安全问题网络安全问题第四章本章学习内容：本章学习内容：•网络安全框架•网络安全机制•网络攻击原理与步骤•常见的网络攻击手段•IPv4的安全问题•Internet网络服务的安全问题•IPv6新一代网络的安全机制4.1 网络安全框架颁布，确立了基于OSI参考模型的七层协议之上的信息安全体系结构•五大类安全服务(鉴别、访问控制、保密性、完整性、抗否认）•八类安全机制(加密、数字签名、访问控制、数据完整性、鉴别交换、业务流填充、路由控制、公证）•OSI安全管理安全服务•安全服务的基本类型：ISO对OSI规定了五种级别的安全服务：–对象认证 –访问控制–数据保密性–数据完整性–防抵赖 鉴别服务鉴别服务•鉴别服务包括同等实体鉴别和数据源鉴别两种服务•使用同等实体鉴别服务可以对两个同等实体（用户或进程）在建立连接和开始传输数据时进行身份的合法性和真实性验证，以防止非法用户的假冒，也可防止非法用户伪造连接初始化攻击•数据源鉴别服务可对信息源点进行鉴别，可确保数据是由合法用户发出，以防假冒访问控制服务访问控制服务 访问控制包括身份验证和权限验证访问控制服务防止未授权用户非法访问网络资源，也防止合法用户越权访问网络资源数据保密性服务数据保密性服务•采用数据保密性服务的目的是保护网络中各通信实体之间交换的数据，即使被非法攻击者截获，也使其无法解读信息内容，以保证信息不失密。

该服务也提供面向连接和无连接两种数据保密方式保密性服务还提供给用户可选字段的数据保护和信息流安全，即对可能从观察信息流就能推导出的信息提供保护信息流安全的目的是确保信息从源点到目的点的整个流通过程的安全数据完整性服务数据完整性服务•数据完整性服务防止非法用户对正常数据的变更，如修改、插入、延时或删除，以及在数据交换过程中的数据丢失数据完整性服务可分为以下五种情形，通过这些服务来满足不同用户、不同场合对数据完整性的要求ü带恢复功能的面向连接的数据完整性；ü不带恢复功能的面向连接的数据完整性；ü选择字段面向连接的数据完整性；ü选择字段无连接的数据完整性；ü无连接的数据完整性非否认服务非否认服务•非否认服务可防止发送方发送数据后否认自己发送过数据，也可防止接收方接收数据后否认已接收过数据它由两种服务组成：一是发送（源点）非否认服务，二是接收（交付）非否认服务这实际上是一种数字签名服务安全服务与协议层中的位置安全服务OSI层次1234567鉴别服务同等实体鉴别YYY数据源鉴别YYY访问控制访问控制服务YYY数据完整性带恢复功能的连接完整性YYY不带恢复功能的连接完整性YYY选择字段连接完整性Y选择字段无连接完整性 YYY无连接完整性Y数据保密性连接保密性YYYYYY无连接保密性YYYYY信息流保密性YYY非否认服务发送非否认Y接受非否认YISO7498-2到TCP/IP的映射4.2支持安全服务的基本机制•为了实现上述5种安全服务，ISO 7408-2中制定了支持安全服务的8种安全机制，它们分别是：–加密机制（Enciphrement Mechanisms）–数字签名机制（Digital Signature Mechanisms）–访问控制机制（Access Control Mechanisms）–数据完整性机制（Data Integrity Mechanisms）–鉴别交换机制（Authentication Mechanisms）–通信业务填充机制（Traffic Padding Mechanisms）–路由控制机制（Routing Control Mechanisms）–公证机制（Notarization Mechanisms）1. 加密机制（密码机制）–可以支持数据保密性、完整性等多种安全服务–算法可以是可逆的，也可以是不可逆的2. 数字签名机制数字签名机制主要解决以下安全问题。

1) 否认2) 伪造3) 冒充 (4) 篡改数字签名机制具有可证实性、不可否认性、不可伪造性和不可重用性3.访问控制机制访问控制可以防止未经授权的用户非法使用系统资源，这种服务不仅可以提供给单个用户，也可以提供给用户组的所有用户访问控制是通过对访问者的有关信息进行检查来限制或禁止访问者使用资源的技术，分为高层访问控制和低层访问控制高层访问控制包括身份检查和权限确认，是通过对用户口令、用户权限、资源属性的检查和对比来实现的低层访问控制是通过对通信协议中的某些特征信息的识别、判断，来禁止或允许用户访问的措施4. 数据完整性机制数据完整性是指在数据传输过程中，接收到的数据和原来数据之间保持完全一致数据完整性包括数据单元的完整性和数据序列的完整性两个方面数据单元的完整性是指组成一个单元的一段数据不被破坏和增删篡改数据序列的完整性是指发出的数据分割为按序列号编排的许多单元时，在接收时还能按原来的序列把数据串联起来，而不要发生数据单元的丢失、重复、乱序、假冒等情况目前保持数据完整性的算法多是数据摘压算法和数字签名算法5. 鉴别交换机制（Authentication Exchange）–交换鉴别机制是通过互相交换信息的方式来确定彼此的身份。

用于交换鉴别的技术有以下2种1) 口令由发送方给出自己的口令，以证明自己的身份，接收方则根据口令来判断对方的身份2) 密码技术发送方和接收方各自掌握的密钥是成对的接收方在收到已加密的信息时，通过自己掌握的密钥解密，能够确定信息的发送者是掌握了另一个密钥的那个人在许多情况下，密码技术常需用到时间标记、同步时钟、双方或三方“握手”协议以及数字签名和公证机构此外，还可利用实体的特征或所有权进行鉴别，如指纹识别和身份卡等 6.通信业务流填充 流量填充机制提供针对流量分析的保护7. 路由控制路由控制机制可以指定通过网络发送数据的路径这样，可以选择那些可信的网络结点，从而确保数据不会暴露在安全攻击之下而且，如果数据进入某个没有正确安全标志的专用网络时，网络管理员可以选择拒绝该数据包8. 公证机制网络的开放性使网络鱼龙混杂，人们难辨真伪同时，网络的有些故障和缺陷也可能导致信息的丢失或延误为了免得事后说不清，可以找一个大家都信任的公证机构，各方交换的信息都通过公证机构来中转公证机构从中转的信息里提取必要的证据，日后一旦发生纠纷，就可以据此作出仲裁安全服务和安全机制的关系4.3 网络攻击原理与步骤1. 网络攻击的概念 利用目标计算机网络系统的安全缺陷，为窃取、修改、伪造或破坏信息，以及降低、破坏网络使用效能而采取的各种措施和行动。

通俗的说,网络攻击就是在没有授权的情况下而使用了网络资源目的： 降低、破坏网络使用效能 破坏目标的秘密2. 安全漏洞•在计算机网络安全领域，“漏洞”是因设计不周而导致的硬件、软件或策略存在的缺陷正是由于这种缺陷的存在而导致了许多非法用户未经授权而获得访问系统的权限或提高其访问权限事实上，目前出现的所有软、硬件都存在不同程度的漏洞计算机网络领域要达到绝对安全是不可能的但是，可以努力使其安全漏洞减少到最小的程度，使由漏洞带来的损失尽量减少• （1）与软件、硬件供应商相关的安全漏洞– 这类主要包括软件的各种Bugs、操作系统的补丁、脆弱的服务程序、网络系统及程序的缺省配置中可能设置的不安全选项；– 硬件中固有的脆弱性代码及硬件设计与实现时的缺陷等也是系统产生安全漏洞的重要原因这部分的漏洞原因有两点：– 第一，在程序编写过程中，编程人员在授意下或为了某种目的，有意地在程序的隐蔽处留下各种各样的后门，供日后使用；– 第二，由于编程人员水平、经验和当时的安全技术所限，在程序中总会或多或少的有些不足之处，这些地方有的是影响程序的运行效率，有的会导致非授权用户的权限提升安全漏洞的成因• （2）与系统管理者有关的安全漏洞：– 实际上，UNIX类操作系统和微软的NT类操作系统内部都采取了较强的安全机制，并且为系统管理员提供了许多安全选项，用于配置符合用户单位安全需要的系统，但是，如果系统管理员不能正确理解各安全选项的作用，并适当地选用它们，那么操作系统许多内在的安全机制就不能发挥作用，甚至形成系统安全的“短板”。

• （3）与用户活动有关的安全漏洞：– 共享目标的授权，账户口令的不经意泄漏，病毒检测不完备，自接Modem绕过内部网络系统的安全防范边界，一机同时跨接或分时跨接内部网与Internet，从网上下载含病毒或木马软件的文档资料，私自安装有缺陷的应用软件，利用软盘或U盘和其他计算机随意交换文件，私自提高访问权限等此外，还有内部不满用户以及恶意的离职用户的实施的攻击更是对系统安全的严重威胁安全漏洞的类型1. 允许拒绝服务的漏洞“拒绝服务”是一种常见的恶作剧式的攻击方式，它使服务器忙于处理一些乱七八糟的任务，消耗大量的处理时间，以至于服务器无暇顾及用户的请求允许拒绝服务的漏洞则可能导致拒绝服务发生2. 允许有限权限的本地用户未经授权提高其权限的漏洞3.允许外来团体(在远程主机上)未经授权访问网络的漏洞3. 网络攻击基本过程网络攻击是网络信息战中的主动行为，目标是为了获取网络空间的控制权网络攻击是利用目前网络通信协议自身存在的或因配置不当而产生的安全漏洞、用户使用的操作系统内在缺陷或者用户使用的程序语言本身所具有的安全隐患等，使用网络命令，或者从Internet上下载的专用攻击工具，或者攻击者自己编写的攻击程序，攻击目标主机使其无法正常工作，或者通过非法进入本地或者远程用户主机系统，非法获得、修改、删除用户系统的信息以及在用户系统上添加各种恶意信息等一系列过程的总称。

3. 网络攻击基本过程1. 目标探测 1. 通过网络：查InterNIC，使用搜索引擎 2. 通过电信 3. 扫描目标主机：Nmap，X-Scan，Satan2. 定位3. 获取一般用户访问权4. 提升访问权5. 获取目标主机上的信息6. 扩展攻击效果与消除入侵痕迹1.有阻塞类攻击2.控制类攻击3.探测类攻击4.欺骗类攻击5.漏洞类攻击6.破坏类攻击任何一次网络攻击，都可能不止采用一种攻击手段，很可能是多种攻击手段的集合常见的网络攻击手段1. 阻塞类攻击 阻塞类攻击企图强制占有信道资源、网络连接资源、存储空间资源，使服务器崩溃或资源耗尽无法对外继续提供服务 拒绝服务攻击是典型的阻塞类攻击 拒绝服务攻击是由人或非人为发起的行动，使你的主机硬件、软件或者两者同时失去工作能力，使你的系统不可访问并因此拒绝合法的用户服务要求这种攻击往往是针对TCP/IP协议中的某个弱点，或者系统存在的某些漏洞，对目标系统发起的大规模进攻致使攻击目标无法向合法的用户提供正常的服务拒绝服务攻击简单有效，能够产生迅速的效果。

目的： 攻击者并不单纯为了进行拒绝服务攻击而攻击，往往是为了完成其他的攻击面必须做的例如：在目标主机上放了木马，需要让目标主机重启；为了完成IP欺骗，而使被冒充的主机瘫痪；在正式攻击之前，使目标主机的日志系统不能正常工作常用的拒绝服务攻击• ping拒绝服务攻击（ping of death）“ping”攻击是向目标端口发送大量的超大尺寸的ICMP包来实现的由于在早期的阶段，路由器对所传输的文件包最大尺寸都有限制，许多操作系统对TCP／IP的实现在ICMP包上都是规定64KB，并且在对包的标题头进行读取之后，要根据该标题头里包含的信息来为有效载荷生成缓冲区，一旦产生畸形即声称自己的尺寸超过ICMP上限的包，也就是加载的尺寸超过64KB上限时，就会出现内存分配错误，导致TCP／IP堆栈崩溃，从而导致系统崩溃这类攻击只要简单地使用命令：ping –l 65510 目标主机IP但是这种攻击方式主要是针对Windows 9X操作系统的，而Unix、Linux、Solaris、Mac OS都具有抵抗一般ping of death攻击的能力•SYN flood攻击 正常的一个TCP连接需要连接双方进行三个动作，即“三次握手”，其过程如下：请求连接的客户机首先将一个带SYN标志位的包发给服务器；服务器收到这个包后产生一个自己的SYN标志，并把收到到包的SYN+1作为ACK标志返回给客户机；客户机收到该包后，再发一个ACK=SYN+1的包给服务器。

经过这三次握手，连接才正式建立在服务器向客户机发返回包时，它会等待客户机的ACK确认包，这时这个连接被加到未完成连接队列中，直到收到ACK应答后或超时才从队列中删除这个队列是有限的，一些TCP／IP堆栈的实现只能等待从有限数量的计算机发来的ACK消息，因为他们只有限度数量的内存缓冲区用于创建连接，如果这些缓冲区内充满了虚假连接的初始信息，该服务器就会对接下来的连接停止响应，直到缓冲区里的连接企图超时如果客户机伪装大量SYN包进行连接请求并且不进行第三次握手，则服务器的未完成连接队列就会被塞满，正常的连接请求就会被拒绝，这样就造成了拒绝服务 在一些创建连接不受限制的实现里，SYN flood具有类似的影响不过未来的SYN flood令人担忧，这是由于发出SYN flood的攻击者并不寻求响应，所以无法从一个简单高容量的传输中鉴别出来•Land攻击Land攻击由著名黑客组织RootShell发现，原理比较简单： 向目标机发送源地址与目的地址一样的数据包，造成目标机解析Land包占用太多资源，从而使网络功能完全瘫痪在Land攻击中，一个特别打造的SYN包中的原地址和目标地址都被设置成某一个服务器地址，这时将导致接受服务器向它自己的地址发送SYN-ACK消息，结果这个地址又发回ACK消息并创建一个空连接，每一个这样的连接都将保留直到超时掉。

对Land攻击反应不同，许多UNIX实现将崩溃，而WindowsNT会变的极其缓慢（大约持续五分钟）•Smurf攻击•原理：向广播地址发送伪造地址的ICMP Echo数据包攻击者向一个广播地址发送ICMP Echo请求，并且用受害者的IP地址作为源地址，于是，广播地址网络上的每台机器响应这些Echo请求，同时向受害者主机发送ICMP Echo-Reply应答于是，受害者主机会被这些大量的应答包淹没•受影响的系统：大多数操作系统和路由器•技术细节–两个主要的特点：使用伪造的数据包，使用广播地址–不仅被伪造地址的机器受害，目标网络本身也是受害者，它们要发送大量的应答数据包Smurf攻击示意图•电子邮件炸弹 电子邮件炸弹是最古老的匿名攻击之一 传统的邮件炸弹大多只是简单的向邮箱内扔去大量的垃圾邮件，从而充满邮箱，大量的占用了系统的可用空间和资源使机器暂时无法正常工作 过多的邮件垃圾往往会加剧网络的负载力和消耗大量的空间资源来储存它们，过多的垃圾信件还将导致系统的log文件变得很大，甚至有可能溢出文件系统，这样会给Unix、Windows等系统带来危险。

除了系统有崩溃的可能之外，大量的垃圾信件还会占用大量的CPU时间和网络带宽，造成正常用户的访问速度成了问题例如：同时间内有近百人同时向某国的大型军事站点发去大量的垃圾信件的话，那么这样很有可能会使这个站的邮件服务器崩溃，甚至造成整个网络中断2. 控制类攻击(1) 口令攻击也不是一种具体的攻击方式，而是一类攻击的总称，这类攻击的攻击目标都是口令具体方式有以下几种：A：手工猜测，通过正常的网络登录（如Telnet等）来尝试口令B：暴力攻击（Brute Force attack），尝试所有口令字符串的组合方式，（例如数字、字母等） C：字典攻击（Dictionary attack），根据字典文件中提供的可能的字符串值进行尝试D：网络嗅探（sniffer），通过嗅探器在局域网内嗅探明文传输的口令字符串E：键盘记录，在目标系统中安装键盘记录后门，记录操作员输入的口令字符串(2)特洛伊木马 是在执行看似正常的程序时，还同时运行了未被察觉的有破坏性的程序；木马通常能够将重要的信息传送给攻击者，而且攻击者可以把任意数量的程序植入木马 木马是设计藏在电脑中进行特定工作或依照黑客的操作来进行某些工作的程序。

它是一个C/S结构的程序，运行在黑客的电脑上的是client端，运行在目标电脑上的是server端当目标电脑连上互联网后，Client端会发给Server端信息，然后听候黑客指令，执行黑客指令机器中木马的原因大概有以下几种:A、黑客入侵后植入B、利用系统或软件（IE，Outlook Express）的漏洞植入c、寄电子邮件后植入，寄一封夹带木马程序的信件，只要收件者没有警觉心、不注意网络安全而运行它就可可能成功植入或通过即时聊天软件（如），发送含木马的链接或者文件，接受者运行后木马就被成功植入不过现在腾讯也越来越重视安全了，最新版2006版就不允许发送可执行文件并且登录时使用了键盘加密保护技术d、在自己的网站上放一些伪装后的木马程序，宣称它是好玩的或者有用的工具等名目，让不知情的人下载后运行后便可成功植入木马程序，这点有点象姜太公钓鱼，愿者上钩 这必须看黑客选用的木马程序而定一般我们说的木马程序多半是指功能强大且完整的工具，如冰河、SubSever等他们通常可以进行如下黑客任务：A：复制各类文件或电子邮件（可能包含商业秘密、个人隐私）、删除各类文件、查看被黑者电脑中的文件，就如同使用资源管理器查看一样。

B：转向入侵（redirection Intrusion），利用被黑者的电脑来进入其他电脑或服务器进行各种黑客行为，也就是找个替罪羊C：监控被黑者的电脑屏幕画面，键盘操作来获取各类密码，例如进入各种会员网页的密码、拨号上网的密码、网络银行的密码、邮件密码等D：远程遥控，操作对方的windows系统、程序、键盘预防方法：及时给系统打布丁，不随意打开来历不明的邮件，不随意下载和运行不明软件，打开杀毒软件的即时监控功能由以上木马植入方式可以看出，黑客的成功其实多半时利用使用者的疏忽与不重视网络安全而造成的，并非无法阻挡，只要上网时多小心，黑客是很难得逞的木马被植入后黑客可以进行那些动作3.探测攻击收集目标系统的各种与网络安全有关的信息，为下一步入侵提供帮助包括：扫描技术体系结构刺探系统信息服务收集等最常用的工具： Ping和Traceroute端口扫描的技术已经非常成熟，目前有大量的商业、非商业的扫描器²域名²经过网络可以到达的IP地址²每个主机上运行的TCP和UDP服务²系统体系结构²访问控制机制²系统信息（用户名和用户组名、系统标识、路由表、SNMP信息等）²其他信息，如模拟/数字号码、认证机制等攻击者需要的信息4. 欺骗类攻击IP欺骗：冒充合法网络主机骗取敏感信息假消息攻击：设置假消息Arp缓存虚构Dns 高速缓存污染伪造电子邮件•IP欺骗的动机–隐藏自己的IP地址，防止被跟踪–以IP地址作为授权依据–穿越防火墙•IP欺骗的形式–单向IP欺骗：不考虑回传的数据包–双向IP欺骗：要求看到回传的数据包–更高级的欺骗：TCP会话劫持•IP欺骗成功的要诀–IP数据包路由原则：根据目标地址进行路由IP攻击的整个步骤： （1）首先使被信任主机的网络暂时瘫痪，以免对攻击造成干扰； （2）然后连接到目标机的某个端口来猜测ISN基值和增加规律； （3）接下来把源址址伪装成被信任主机，发送带有SYN标志的数据段请求连接； （4）然后等待目标机发送SYN+ACK包给已经瘫痪的主机； （5）最后再次伪装成被信任主机向目标机发送的ACK，此时发送的数据段带有预测的目标机的ISN+1； （6）连接建立，发送命令请求。

5. 漏洞类攻击（1）空白或默认口令把管理性口令留为空白或使用产品生产商所设置的默认口令虽然某些运行在 Linux 上的服务包含默认管理口令，这种行为在硬件（如路由器和 BIOS）中最常见在路由器、防火墙、VPN 和网络连接的贮存设备（NAS）中最常见；在许多过时了的操作系统，特别是附带服务的 OS，如 UNIX 和 Windows；管理员有时会在匆忙间创建一个有特权的用户而把口令留为空白这就会成为发现了这个用户帐户的入侵者的完美入口 （2）窃听通过窃听网络中的两个活跃节点的连接来收集它们之间传递的信息这类攻击多数在使用纯文本传输协议（如 Telnet、FTP、和 HTTP 传输）时发生远程怪客必须具备到某个 LAN 上的一个已被弱化的系统的进入权；通常，攻击者已经使用了某种积极攻击方式（如 IP 假冒或中间人攻击）来弱化这个 LAN 上的某个系统 （3）服务弱点 攻击者寻找缺陷或漏洞；通过这个弱点，攻击者可以危及整个系统以及系统上的任何数据，甚至还能够危及网络上的其它系统 在开发和测试中，某些服务中的弱点可能没有被注意到；这些弱点（如：缓冲区溢出）能够给攻击者完全的管理控制。

管理员应该确保服务不是以根用户身份运行；并时刻关注来自开发商或安全组织（如 CERT 和 CVE）的补丁和勘误更新（4）应用程序弱点 攻击者在桌面系统和工作站应用程序（如电子邮件客户程序）中寻找缺陷并执行任意编码、插入用于未来攻击行为的特洛伊木马、或者崩溃系统如果被危及的工作站拥有对整个网络的管理特权，还会发生进一步的漏洞利用 工作站和桌面系统更容易被蓄意利用，因为使用工作站和桌面系统的用户没有防止或检测攻击活动的专业知识或经验把安装未经授权的软件或打开不请自来的邮件的危险性通知给用户是极端重要的6. 破坏类攻击对目标机器的各种数据与软件实施破坏的一类攻击包括：计算机病毒、逻辑炸弹、信息删除等逻辑炸弹与病毒的主要区别：没有感染能力，不会自动传播，软件编制者故意安放的目标代码中1.安全目标安全目标可用性、机密性、完整性、真实性、不可否认性2.IPv4版TCP/TP的缺陷（1）不提供加密传输（2）不提供对等实体鉴别（3）不支持流填充机制（4）协议本身缺陷如服务端口半连接5）各子网平等，难以实现有效的安全管理（6）应用层实用软件存在的安全漏洞4.4 IPv4的安全问题3.5 网络服务的安全问题Web基本结构• Web是一个运行于Internet和TCP/IP intranet 之上的基本的client/server应用。

C/S → B/S1. 服务器:规定了服务器的传输设定、信息传输格式及服务器的基本开放结构2. 客户机: 统称Web浏览器，用于向服务器发送资源索取请求，并将接收到的信息进行解码和显示3. 通信协议: Web浏览器与服务器之间遵照HTTP协议进行通信Web服务的安全问题HTTP协议• 是分布式Web应用的核心技术协议，它定义了Web浏览器向Web服务器发送索取Web页面请求的格式，以及Web页面在Internet上的传输方式• HTTP工作过程：（1）Web服务器在80端口等候Web浏览器的请求；（2）Web浏览器通过三次握手与服务器建立起TCP/IP连接，然后Web浏览器向Web服务器发送索取页面的请求：Get /dailynews.html（3）服务器以相应的文件为内容响应Web浏览器的请求HTTP协议• B/S之间的通讯协议：HTTP– HTTP位于TCP之上，默认的端口为80– 客户发出对页面的请求，服务器送回这些页面• 动态页面和静态页面– Web页面的表述和交互能力• 各种标记、超链接，…• 交互功能：表单、脚本• 交互能力的扩展：Java Applet, ActiveX, …WEB服务服务1.漏洞操作系统明文或弱口令web服务器（IIS等）漏洞CGI安全漏洞•Web是应用层上提供的服务，直接面向Internet用户，欺骗的根源在于–由于Internet的开放性，任何人都可以建立自己的Web站点–Web站点名字(DNS域名)可以自由注册，按先后顺序–并不是每个用户都清楚Web的运行规则•Web欺骗的动机–商业利益，商业竞争–政治目的•Web欺骗的形式–使用相似的域名–改写URL–劫持Web会话2.Web欺骗•注册一个与目标公司或组织相似的域名，然后建立一个欺骗网站，骗取该公司的用户的信任，以便得到这些用户的信息–例如，针对ABC公司，用来混淆–如果客户提供了敏感信息，那么这种欺骗可能会造成进一步的危害，例如：•用户在假冒的网站上订购了一些商品，然后出示支付信息，假冒的网站把这些信息记录下来(并分配一个cookie)，然后提示：现在网站出现故障，请重试一次。

当用户重试的时候，假冒网站发现这个用户带有cookie，就把它的请求转到真正的网站上用这种方法，假冒网站可以收集到用户的敏感信息–对于从事商业活动的用户，应对这种欺骗提高警惕使用相似的域名•一个HTTP页面从Web服务器到浏览器的传输过程中，如果其中的内容被修改了的话，则欺骗就会发生，其中最重要的是URL改写–URL改写可以把用户带到不该去的地方，例如： 欢迎访问电影频道.•有一些更为隐蔽的做法–直接指向一些恶意的代码–把url定向放到script代码中，难以发现•改写页面的做法–入侵Web服务器，修改页面–设置中间http代理–在传输路径上截获页面并改写–在客户端装载后门程序–……改写URL•HTTP协议不支持会话(无状态)，Web会话如何实现？–Cookie–用url记录会话–用表单中的隐藏元素记录会话•Web会话劫持的要点在于，如何获得或者猜测出会话ID劫持Web会话•在现实环境中，比如对于银行一笔交易如果营业员检查了顾客的身份证和账户卡抬起头来，发现不再是刚才的顾客他会把钱交给外面的顾客吗？在网络上没有人知道你谁网络服务的安全问题ftp服务服务1.匿名登录与web服务在一起时，利用写目录上传运行文件，调用web服务器执行2.ftp代理服务器达到隐藏IP的目的3.跳板攻击问题Telnet的安全问题的安全问题1.明文传输2.没有强力认证过程3.没有完整性检查4.传输的数据都没有加密电子邮件的安全问题电子邮件的安全问题安全问题面临四大难题：1.病毒2.垃圾邮件3.邮件在到达之前被篡改/或者整份邮件为冒名邮件4.邮件被非法截获/窥探 邮件传输路途中的安全问题，默认邮件是用明文方式传递。

邮件经过的邮件服务器，默认邮件对于管理员是透明的.DNS的安全问题的安全问题1. DNS欺骗 DNS欺骗会产生许多安全问题，例如：将用户引导到错误的互联网站点 方法： 缓存感染、DNS信息劫持、DNS重定向 更改MX记录，造成邮件被截获、修改或删除 更改A记录，使您的WWW服务器的域名指向黑客的具有同样WWW内容的主机，诱使访问者登录，获取访问者的密码等相关信息 添加A记录 2.拒绝服务攻击 如果得不到DNS服务，那么就会产生一场灾难：由于网址不能解析为IP地址，用户将无方访问互联网作业：1. ISO对OSI规定了五种级别的安全服务2. 可以采用哪些安全机制来实现上述安全服务3.网络攻击技术有哪些4.常用网络服务的安全问题.。