Land攻击防护功能配置举例

第1章 H3C ER3100 企业级宽带路由器 (1)1.1 产品照片 (1)1.2 产品介绍 (2)1.3 主要特性： (2)1.4 技术规格 (3)第2章 H3C S3600系列智能弹性交换机 (5)2.1 产品简介 (5)2.2 产品特点 (6)2.3 产品规格 (8)2.4 典型组网 (11)第3章 H3C S1526可管理接入交换机 (14)3.1 产品概述 (14)3.2 产品规格 (14)3.3 典型组网 (17)第4章 SecPath F100-A防火墙 (17)4.1 产品概述 (17)4.2 产品特点 (18)4.3 产品规格 (19)4.4 典型组网 (23)第1章H3C ER3100 企业级宽带路由器1.1 产品照片1.2 产品介绍ER3100是H3C公司推出的一款高性能路由器，它主要定位于以太网/光纤/ADSL接入的SMB市场和政府、企业机构、网吧等网络环境，如需要高速Internet带宽的网吧、企业、学校和酒店等。

ER3100采用专业的64位网络处理器，主频高达500MHz，并且支持丰富的软件特性，如IP<->MAC地址绑定，ARP防攻击，流量限速，链接数限制等功能。

它是H3C ER系列路由器中的中端产品，中型网吧用户和企业用户的理想选择。

1.3 主要特性：●专业的64位网络处理器，主频高达500MHz●高性能，达到百兆线速转发●高处理性能：ER3100采用64位网络处理器，主频高达500MHz，同时配合DDRII高速RAM进行高速转发，可以达到百兆线速转发。

在实际应用中，典型的带机量为100~200台。

●ARP病毒双重防护ER3100通过IP<->MAC地址绑定功能，固定了网关的ARP列表，可以有效防止ARP欺骗引起的内网通讯中断；此外ER3100的免费ARP的定时发送机制，可以有效地避免局域网PC中毒后引发的ARP攻击。

●网络流量限速BT，迅雷等P2P软件对网络带宽的过度占用会影响到网内其他用户的正常业务，ER3100通过基于IP或基于NAT表项的网络流量限速机制可以有效地控制单台PC的上/下行流量和建立的NAT表项的个数，限制了P2P软件对网络带宽的过度占用，弹性带宽又保证了闲事对带宽的充分利用。

网络工程师交换试验手册附录4：网络路由器安全配置手册安全威胁类型：网络命令、PING扫描、端口扫描 侦察⎫非授权访问⎫资源过载型拒绝服务攻击（表一） 拒绝服务（DOS）⎫带外数据型拒绝服务攻击（表二）其他拒绝服务攻击（分布式拒绝服务攻击DDOS、电子邮件炸弹、缓冲区溢出、恶意applet、CPU独占）数据操纵⎫ IP欺骗（IP Spooling）会话重放和劫持（Hijacking）重路由（Rerouting）否认（Repudianton）（表一）类型描述防范措施Ping flood 向一台主机发送大量ICMP回声请求包将边界路由器设置为拒绝响应ICMP回声请求包半开（half-open）syn攻击向端口发起大量不完整TCP会话连接请求，导致宕机使用TCP拦截，lock-and-key,IDC检测数据包风暴发送大量的UDP包使用cisco PIX上的syn flooding 保护功能（表二）类型描述防范措施过大的数据包（死亡ping）修改ip包头中的长度大于实际包长，导致接收系统崩溃过滤ICMP数据包重叠的数据包（winnuke.c）对已建立的连接发送带外数据，导致目标重起或停止（典型的对NETBIOS,端口137）如果不需要关闭NETBIOS分片（teardrop.c）利用一些TCP/IP的IP分片组装代码实施中的漏洞，导致内存缓冲区溢出在边界路由器上扔掉来自外部的被分片了的IP包IP源地址欺骗（land.c）导致计算机产生对自身的TCP连接，陷入死循环在路由器或主机上过滤掉虚假源地址IP包畸形包头（UDP炸弹）制造一些包头中长度不正确的UDP包，导致一些主机出现内核混乱根据CERT 建议列表在主机上安装操作系统补丁保护管理接口的安全设置控制台（Console）口令：⎫router(config)#line console 0router(config-line)#loginrouter(config-line)#password cisco_psw1设置vty（Telnet）口令：⎫router(config)#line vty 0 4router(config-line)#loginrouter(config-line)#password cisco_psw2设置特权模式一般口令：⎫router(config)#enable password cisco_psw3设置特权模式秘密口令：⎫router(config)#enable secret cisco_psw4”service⎫ password-encryption”命令：将口令以一种加密的方式存储在路由器的配置文件中，以致在“Show config”中不可见。

入侵检测习题二一、选择题（共20分，每题2分）1、按照检测数据的来源可将入侵检测系统（IDS）分为__________。

A．基于主机的IDS和基于网络的IDSB．基于主机的IDS和基于域控制器的IDSC．基于服务器的IDS和基于域控制器的IDSD．基于浏览器的IDS和基于网络的IDS2、一般来说入侵检测系统由3部分组成，分别是事件产生器、事件分析器和________。

A．控制单元B．检测单元C．解释单元D．响应单元3、按照技术分类可将入侵检测分为__________。

A．基于标识和基于异常情况B．基于主机和基于域控制器C．服务器和基于域控制器D．基于浏览器和基于网络4、在网络安全中，截取是指未授权的实体得到了资源的访问权。

这是对________。

A．可用性的攻击B．完整性的攻击C．保密性的攻击D．真实性的攻击5、入侵检测的基础是（1），入侵检测的核心是（2）。

（1）（2）A. 信息收集B. 信号分析C. 入侵防护D. 检测方法6、信号分析有模式匹配、统计分析和完整性分析等3种技术手段，其中_______用于事后分析。

A．信息收集B．统计分析C．模式匹配D．完整性分析7、网络漏洞扫描系统通过远程检测__________TCP/IP不同端口的服务，记录目标给予的回答。

A．源主机B．服务器C．目标主机D．以上都不对8、________系统是一种自动检测远程或本地主机安全性弱点的程序。

A．入侵检测B．防火墙C．漏洞扫描D．入侵防护9、下列选项中_________不属于CGI漏洞的危害。

A．缓冲区溢出攻击B．数据验证型溢出攻击C．脚本语言错误D．信息泄漏10、基于网络低层协议，利用协议或操作系统实现时的漏洞来达到攻击目的，这种攻击方式称为__________。

A．服务攻击B．拒绝服务攻击C．被动攻击D．非服务攻击习题解析【试题1】按照检测数据的来源可将入侵检测系统（IDS）分为__________。

A．基于主机的IDS和基于网络的IDSB．基于主机的IDS和基于域控制器的IDSC．基于服务器的IDS和基于域控制器的IDSD．基于浏览器的IDS和基于网络的IDS【试题2】一般来说入侵检测系统由3部分组成，分别是事件产生器、事件分析器和________。

网络攻击得行为分析摘要随着信息网络技术应用的日益普及，由于其国际性、开放性和自由性的特点，对安全提出了更高的要求。

跨站攻击是针对web应用的一种网络攻击手段。

攻击者通过跨站攻击将脚本代码注入至web应用中，并通过数据回显等方式反射或发送给客户端的浏览器并在客户端浏览器执行。

恶意脚本将能够劫持客户端浏览器，盗取敏感数据。

跨站攻击可以被攻击者视为实施进一步攻击的武器，利用跨站脚本劫持用户浏览器，注入恶意代码之后，攻击者可以结合其他攻击方式，对客户端和服务器造成更大的危害。

在当前时代的网络背景下，跨站攻击逐渐成为危害巨大的攻击方式，然而，相当一部分的开发者，用户都没有意识到跨站攻击的严重性。

本文根据网络公里行为展开分析首先提出选题研究背景意义，进而提相互相关概念，其次对网络攻击流程和影响因素分析，最后提出防护对策。

关键词：网络攻击行为分析防护对策AbstractWith the increasing popularity of the application of information network technology, higher requirements have been put forward for security because of its characteristics of international, open and free. XSS is for a network attack method of web applications. The attacker by XSS attack the script into the web application, and through the data display mode of reflection or transmission to the client browser and executed on the client browser. Malicious scripts will be able to hijack client browsers and steal sensitive data. Cross site attacks can be regarded as the attacker further attacks using weapons, XSS hijack a user's browser, after the injection of malicious code, the attacker can be combined with other attacks, causing more harm to the client and server. In the current era of network background, cross site attacks gradually become dangerous attacks, however, a considerable part of the developers, users are not aware of the seriousness of the XSS attack. Based on the analysis of network kilometre behavior, this paper first puts forward the background significance of topic selection, and then puts forward the concept of interrelated. Secondly, it analyzes the process and influencing factors of network attack, and finally puts forward protective countermeasures.Key words: network attack behavior analysis and Protection Countermeasures目录摘要 (1)1.绪论 (5)1.1研究背景意义 (5)1.1.1研究背景 (5)1.1.2研究意义 (5)1.2国内外研究现状 (6)1.2.1国内研究现状 (6)1.2.2国外研究现状 (6)2.网络攻防相关概念 (7)2.1网络安全问题概述 (7)2.2网络攻击行为 (8)2.3网络攻击中的行为特点 (8)2.3.1利用网络有流量产生 (8)2.3.2行为不同于正常交互 (8)2.3.3信息承载于在数据包中 (8)2.3.4网络中攻击行为的工具言语化 (8)2.3.5精神、声誉方面的攻击 (9)2.3.6网络中攻击行为目的实现的最大化 (9)3.网络攻击流程及影响因素 (10)3.1网络攻击流程分析 (10)3.1.1 SYN洪水攻击(SYN flood ) (10)3.1.2 ping洪水攻击 (11)3.1.3 Smurf攻击 (11)3.1.4 Land攻击 (11)3.2网络中攻击行为的影响因素 (11)3.2.1人为影响因素 (11)3.2.2网络中攻击行为的环境影响因素 (13)4.计算机网络攻击案例 (14)4.1协议隐形攻击行为的分析和利用 (14)4.1.1隐形攻击行为的触发和分析 (14)4.1.2隐形攻击行为的利用 (15)4.2实验及分析 (15)4.2.1实验平台的搭建 (15)4.2.2隐形攻击行为分析实例 (16)4.3隐形攻击行为的利用实例 (17)4.4讨论 (17)5.网络防御措施 (19)5.1入侵检测 (19)5.2实施防火墙技术 (19)5.3服务器端的行为控制 (20)5.4网络传输中的测量控制 (21)5.5其它辅助防御措施 (21)总结 (23)参考文献 (24)1.绪论1.1研究背景意义1.1.1研究背景当今世界，网络信息技术口新月异，全面融入社会生产生活，深刻改变着全球经济格局、利益格局、安全格局。

Land攻击防护功能配置举例本节介绍Land攻击防护功能的配置实例。

将安全网关的以太网口ethernet 0/0配置为trust域，以太网口ethernet 0/2配置为untrust域，以太网口ethernet 0/1配置为DMZ域。

需要对DMZ域内的服务器进行Land攻击防护。

攻击防护组网图如下：请按照以下步骤进行配置：第一步：配置安全网关接口ethernet0/0、ethernet0/2以及ethernet0/1。

1.从页面左侧导航树选择并点击“配置网络网络连接”，进入网络连接页面。

2.选中接口列表中<ethernet0/0>对应的复选框，点击列表左上方的『编辑』按钮，弹出<接口配置>对话框。

具体配置信息如下：o接口名：ethernet0/0o绑定安全域：三层安全域o安全域：从下拉菜单中选择“trust”3.点击『确定』按钮保存所做配置并返回主配置页面。

4.选中接口列表中<ethernet0/2>对应的复选框，点击列表左上方的『编辑』按钮，弹出<接口配置>对话框。

具体配置信息如下：o接口名：ethernet0/2o绑定安全域：三层安全域o安全域：从下拉菜单中选择“untrust”o类型：静态IPo IP：202.1.0.1o网络掩码：246.点击『确定』按钮保存所做配置并返回主配置页面。

7.选中接口列表中<ethernet0/1>对应的复选框，点击列表左上方的『编辑』按钮，弹出<接口配置>对话框。

具体配置信息如下：o接口名：ethernet0/1o绑定安全域：三层安全域o安全域：从下拉菜单中选择“dmz”o类型：静态IPo IP：10.0.0.1o网络掩码：86.点击『确定』按钮保存所做配置并返回主配置页面。

第二步：配置策略规则。

1.从页面左侧导航树选择并点击“配置安全策略”，进入策略页面。

2.点击策略列表左上方的『新建』按钮，弹出<策略配置>对话框，显示策略基本配置选项。

58DoS保护配置58.1DoS保护配置58.1.1概述DoS保护功能支持防Land攻击、防非法TCP报文攻击。

⏹Land 攻击Land攻击主要是攻击者将一个SYN 包的源地址和目的地址都设置为目标主机的地址，源和目的端口号设置为相同值，造成被攻击主机因试图与自己建立TCP 连接而陷入死循环，甚至系统崩溃。

⏹非法TCP报文攻击在TCP报文的报头中，有几个标志字段：1. SYN：连接建立标志，TCP SYN报文就是把这个标志设置为1，来请求建立连接。

2. ACK：回应标志，在一个TCP连接中，除了第一个报文（TCP SYN）外，所有报文都设置该字段作为对上一个报文的响应。

3. FIN：结束标志，当一台主机接收到一个设置了FIN标志的TCP报文后，会拆除这个TCP连接。

4. RST：复位标志，当IP协议栈接收到一个目标端口不存在的TCP报文的时候，会回应一个RST标志设置的报文。

5. PSH：通知协议栈尽快把TCP数据提交给上层程序处理。

非法TCP报文攻击是通过非法设置标志字段致使主机处理的资源消耗甚至系统崩溃，例如以下几种经常设置的非法TCP报文：1.SYN 比特和FIN比特同时设置的TCP报文正常情况下，SYN标志（连接请求标志）和FIN标志（连接拆除标志）不能同时出现在一个TCP报文中，而且RFC也没有规定IP协议栈如何处理这样的畸形报文。

因此各个操作系统的协议栈在收到这样的报文后的处理方式也不相同，攻击者就可以利用这个特征，通过发送SYN和FIN同时设置的报文，来判断操作系统的类型，然后针对该操作系统，进行进一步的攻击。

2.没有设置任何标志的TCP报文正常情况下，任何TCP报文都会设置SYN，FIN，ACK，RST，PSH五个标志中的至少一个标志，第一个TCP报文（TCP连接请求报文）设置SYN标志，后续报文都设置ACK标志。

有的协议栈基于这样的假设，没有针对不设置任何标志的TCP报文的处理过程，因此这样的协议栈如果收到了这样的报文可能会崩溃。

交换机安全配置命令笔记开启核心交换IP欺骗攻击防范功能、Land攻击防范功能、Smurf攻击防范功能、YN Flood 攻击防范功能、ICMP Flood攻击防范功能、Ping of Death攻击防范功能、TearDrop攻击防范功能，由于配置交换机安全配置，会占用大量设备资源，请综合考虑是否进行配置;一.配置Land攻击防范功能land攻击是一种使用相同的源和目的主机和端口发送数据包到某台机器的攻击。

结果通常使存在漏洞的机器崩溃。

操作stepstep1执行命令system-view，进入系统视图。

step2执行命令vlan vlan-id,创建VLAN并进入VLAN视图。

step3执行命令quit，退回系统视图。

step4执行命令firewall enable，打开攻击防范使能开关。

step5执行命令interface vlanif vlan-id，进入VLANIF接口视图。

step6执行命令firewall defend enable，打开攻击防范使能开关。

step7执行命令quit，退回系统视图。

step8执行命令firewall defend land enable，使能Land攻击防范功能。

缺省情况下，Land攻击防范功能处于关闭状态。

查看S-switch设备配置的攻击防范信息display firewall defend flag使用display firewall defend flag命令查看S-switch设备配置的攻击防范信息，显示“land”表示Land攻击防范功能已经使能。

二.配置Smurf攻击防范功能原理：攻击者向网络广播地址发送ICMP包，并将回复地址设置成受害网络的广播地址，通过使用ICMP应答请求数据包来淹没受害主机的方式进行，最终导致该网络的所有主机都对次ICMP应答请求作出答复，导致网络阻塞。

更加复杂的Smurf攻击攻击将源地址改为第三方受害者，最终导致第三方崩溃。

防DDOS攻击设备技术要求一、设备清单二、参数要求所有打“★”为必须满足技术条件，如无法满足则视为非实质性响应。

三、项目实施要求3.1.项目实施周期要求中标方需在合同签订后2个月内，完成设备采购、安装调试，并且配合完成所有应用系统的联调测试。

3.2.项目实施工作要求3.2.1.供货中标人须在不迟于合同签订后的30个工作日内完成所有招标设备到指定地点的供货。

投标人应确保其技术建议以及所提供的软硬件设备的完整性、实用性，保证全部系统及时投入正常运行。

若出现因投标人提供的软硬件设备不满足要求、不合理，或者其所提供的技术支持和服务不全面，而导致系统无法实现或不能完全实现的状况，投标人负全部责任。

3.2.2.安装调试中标单位必须提供安装、配线以及软硬件的测试和调整，实施过程由专业的系统集成人员进行安装、检测和排除故障。

3.2.3.验收设备到货后，用户单位与中标单位共同配合有关部门对所有设备进行开箱检查，出现损坏、数量不全或产品不对等问题时，由中标单位负责解决。

根据标书要求对本次所有采购设备的型号、规格、数量、外型、外观、包装及资料、文件（如装箱单、保修单、随箱介质等）进行验收。

设备安装完成，由中标单位制定测试方案并经用户确认后，对产品的性能和配置进行测试检查，并形成测试报告。

测试过程中出现设备产品性能指标或功能上不符合标书要求时，用户有拒收的权利。

3.2.4.特别工具中标单位必须提供用于系统安装与配置的介质（光盘、磁盘或其他）。

如果必须提供特殊工具来维护硬件和软件，投标人必须列出特殊工具的清单、价格、名称和数量，但不包括在总价格中。

3.2.5.文档要求验收完成后，中标单位必须如数提供完整的系统软硬件安装、操作、使用、测试、控制和维护手册。

手册必须包括下列内容：系统和操作手册必须包括（但不局限于）：系统安装与配置手册系统维护，包括：诊断手册、故障排除指南。

用户手册包括（但不局限）：系统竣工文档用户使用手册等3.3.培训要求中标方应提供包括相应主机存储、网络安全等设备的培训，包括技术培训和操作培训。