2023年最新整理的网络安全基础知识点，建议收藏！

ID：wljsghq

一、网络安全概述1.1 定义

信息安全:

为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。

网络安全：

1.2 信息安全特性1.3 网络安全的威胁

恶意攻击：特洛伊木马、黑客攻击、后门、计算机病毒、拒绝服务攻击、内外部泄密、蠕虫、逻辑炸弹、信息丢失篡改销毁

1.4 网络安全的特征二、入侵方式2.1 黑客

黑客(hacker) :指技术上的行家或热衷于解决问题, 克服限制的人

骇客(cracker):是那些喜欢进入其他人系统的人

骇客和黑客之间最主要的不同是:黑客们创造新东西，骇客们破坏东西。

2.1.1 入侵方法

（1）物理侵入:侵入者绕过物理控制而获得对系统的访问。对主 有物理进入权限 (比如他们能使用键盘) 。 方法包括控制台特权一直到物理参与系统并且移走磁盘(在另外的机器读/写)。

（2）系统侵入: 已经拥有在系统用户的较低权限。如果系统没有打最新的漏洞补丁，就会给侵入者提供一个利用漏洞获得系统管理员权限的机会

（3）远程侵入: 通过网络远程进入系统。侵入者从无特权开始这种侵入方式，包括多种形式。如果在他和受害主机之间有防火墙存在，侵入就复杂得多

2.1.2 系统的威胁2.2 IP欺骗与防范

IP欺骗就是伪造数据包源IP地址的攻击，

它基于两个前提:

2.2.1 TCP等IP欺骗基础知识

1. TCP数据报首部标志域

 URG:紧急数据标志，指明数据流中已经放置紧急数据，紧急指针有效;

 ACK:确认标志，用于对报文的确认;

 PSH:推标志，通知接收端尽可能的将数据传递给应用层，在telnet登陆时，会使用到这个标志;

 RST:复位标志，用于复位TCP连接;

 SYN:同步标志，用于三次握手的建立，提示接收TCP连接的服务端检查序号;

 FIN:结束标志，表示发送端已经没有数据再传输了，希望释放连接， 但接收端仍然可以继续发送数据。

2. TCP三次握手过程

A发送带有SYN标志的数据段通知B需要建立TCP连接。并将TCP报头中的sequence number 设置成自己本次连接的初始值ISN。

B回传给A一个带有SYS+ACK标志的数据段，并告诉A自己的ISN，并确认A发送来的第一个数据段，将acknowledge number设置成A的ISN+1。

A确认收到的B的数据段，将acknowledge number设置成B的ISN+1。

3. 信任与认证

1 基于口令的认证:如SMTP(TCP 25)和远程登录 Telnet(TCP 23)，只通过帐号/口令认证用户;

2 基于IP地址的认证(即信任):登录主机的地址受到被登录服务器信任，则从该主机登录不要口令;如远程登录rlogin(TCP 513)，首先是基于信任关系的认证，其次才进行口令认证。

2.2.2 IP欺骗可行的原因

在TCP/IP协议组中，IP协议是非面向连接，非可靠传输的协议，IP数据包是进行松散发送的，并不是连续发送的，所以可以在源地址和目的地址中间放入满足要求的IP地址，(也就是说可以进行虚假IP 地址的提供)

在TCP/IP协议簇中， TCP是面向连接，提供可靠传输。

面向连接是两个主机首先必须建立连接，然后才能进行数据交换。

可靠性是有数据包中的多位控制字来提供，其中有 两个是SYN和ACK

2.2.3 IP欺骗过程

IP欺骗步骤

选定目标主机

利用端口扫描，网络监听工具

看有哪些机器和目标主机进行TCP/IP连接

寻找目标主机信任的主机

选择好进攻的目标主机后，必须寻找到目标主机信任的主机

可以尝试显示目标主机的文件系统在哪里被export, 或者使用rpcinfo来分析有用信息

或者尝试目标主机的相邻IP地址，获取有价值信息

控制被信任的主机

黑客向被信任的主机的TCPA发送大量SYN请求， 使得被信任主机的TCP/IP链接达到队列的最上限， 从而无法响应目标主机的SYN请求

采样目标主机的TCP序列号，猜测数据包序列号，尝试建立连接

在此期间，黑客就有机会伪装成被信任主机的IP地址，将SYN请求返回给目标主机，

黑客利用网络监听和抓包软件，采样目标主机的 TCP序列号，并猜测目标主机的数据包序列号， 尝试建立与目标主机的基于地址验证的应用连接。

建立连接，种植后门

一旦与目标主机建立TCP/IP连接，黑客就会使用命令，通过目标主机的安全性较弱的端口，种植后门程序

进行远程控制和非法操作

后门种植成功后，黑客一般会断开与目标主机的连 接，并且停止对被信任主机的攻击，全身而退。黑客推出后，找寻合理时机，对目标主机进行远程控制和非法操作。

2.2.4 IP欺骗原理

序列号猜测

序列号猜测的重要性

序列号猜测的过程

X首先连接A的SMTP端口(X是A的合法的邮件用户，但不是它所信任的rlogin用户，因为邮件应用的安全级别相对不高 )，试探其ISN变化规律，以估算下一次连接时A的ISN值。

X必须马上按照图中3—5步的方法假冒B来与A建立rlogin连接。

1 X必须立刻进行欺骗攻击，否则其他主机有可能与A建立了新的连接，X所猜测的序列号就不准了。

2 当然就这样也不一定能一次猜测成功。

不同网络环境下的序列号猜测

1)若X和A及B在同一局域网中，从理论上说很容易实现IP欺骗攻击。因为攻击者X甚至于不用猜测A发送给B的数据包中包含的序列号——用嗅探技术即可。

2)若X来自于外网，要想猜测到A和B所在的局域网中传送的数据包中的序列号非常困难——理论可行。

3)美国头号电脑黑客米特尼克是第一个在广域网成功实现IP欺骗攻击的人。但当时的序列号相对现在非常容易猜测。

关于被冒充对象B

1)X首先必须对B进行DoS攻击，否则在图中第4步中B 收到A发送来的它未请求过的请求应答包，将向A返 回RST报文而终止连接，黑客不能冒充连接成功。

2)X发送到A的rlogin端口的伪造数据包的源IP地址是 “假冒”了B的IP地址。

3)为何X不能直接将自己的IP地址修改为B的IP地址来 连接到A的rlogin端口?

1 IP地址产生冲突; 2 外网X不能这样修改。

2.2.5 IP欺骗防范

使用较强壮的随机序列号生成器，要准确猜测TCP连接的ISN几乎不可能。

在边界路由器上进行源地址过滤，也就是说，对进入本网络的IP包，要检查其源IP地址，禁止外来的 却使用本地IP的数据包进入，这也是大多数路由器的缺省配置。

禁止r-类型的服务，用SSH(专为远程登录会话和其 他网络服务提供安全性的协议,传输的数据均加密) 代替rlogin这样的不安全的网络服务。

在通信时要求加密传输和验证。

分割序列号空间。Bellovin提出一种弥补TCP序列号随机性不足的方法，就是分割序列号空间，每一个连接都将有自己独立的序列号空间。连接之间序列号没有明显的关联。

2.3 Sniffer 探测与防范2.3.1 Sniffer原理

广播类网络上，可以将某一网络适配器(NIC)设为接收相应广播域上传输的所有帧

sniffer属第二层次(数据链路层)的攻击。通常是攻击者已经进入了 目标系统

如果sniffer运行在路由器，或有路由器功能的主机上，则可同时监视多个广播域，危害更大

通常，sniffer程序只需看到一个数据包的前200-300个字节的数据， 就能发现用户名和口令等信息

2.3.2 Sniffer防范

现代网络常常采用交换机作为网络连接设备枢纽

交换机不会让网络中每一台主机侦听到其他主机的通讯，因此Sniffer技术在这时必须结合网络端口镜像技术进行配合。

而衍生的安全技术则通过ARP欺骗来变相达到交换网络中的侦听。

回顾知识：交换机、路由器、集线器2.4 端口扫描技术2.4.1 原理

端口扫描是指某些别有用心的人发送一组端口扫描消息，试图以此侵入某台计算机，并了解其提供的计算机网络服务类型(这些网络服务均与端口号相关);

扫描器(工作原理):

自动检测远端或本机安全性弱点的程序，用户可不留痕迹的发现远端机器各端口的分配及运行的服务及软件版本

功能

2.4.2 分类

常见的端口扫描类型

2.4.3 ping命令

Ping的原理

通过向目标主机传送一个小数据包，目标主机接收并将该包返送回来，如果返回的数据包和发送的数据包一致，则Ping命令成功。根据返回的信息，可以推断TCP/IP参数是否设置正确，以及运行是否正常、网络是否通畅等。

作用和特点

Ping命令可以进行以下操作 :

通过将ICMP(Internet控制消息协议)回显数据包发 送到计算机并侦听回显回复数据包来验证与一台或多 台远程计算机的连接。

每个发送的数据包最多等待一秒。

打印已传输和接收的数据包数。

2.5 特洛伊木马2.5.1 木马与病毒的区别

自我复制和传播

意图

2.5.2 木马的组成

木马系统软件一般由木马配置程序、控制程序和木马程序(服务器程序) 三部分组成。

2.5.3 木马攻击过程

木马通道与远程控制

2.5.4 传播方式

钓鱼欺骗(Phishing)

漏洞攻击

网页挂马

三、防火墙技术3.1 防火墙基础3.1.1 基本概念

防火墙：过滤！

实现一个机构的安全策略

创建一个阻塞点

记录internet 活动

限制网络暴露

什么是防火墙?

防火墙功能

防火墙分类

3.1.2 访问控制机制

访问控制机制的演变

1、路由器—>ACL 访问控制列表

2、包过滤防火墙—>根据IP五元组判断能否通过

3、状态监测防火墙—>根据应用判断能否通过

4、应用代理防火墙—>根据应用判断能否通过

5、多检测机制防火墙—>根据多个IP包判断整体应用后判断能否通过

6、多功能集成网关(下一代防火墙 )—>嵌入多种防护功能，经过多层过滤后判断能否通过

1. 包过滤防火墙

数据包过滤(Packet Filtering)技术在网络层对数据包进行选择， 选择的依据是系统内设置的过滤逻辑，即访问控制表(Access Control List，ACL)

优点

缺点

2. 状态检测防火墙

状态检测防火墙由动态包过滤防火墙演变而来，工作在传输层，使用各种状态表(state tables)来追踪活跃的TCP会话，它能够根据连接状态信息动态地建 立和维持一个连接状态表，并且把这个连接状态表用于后续报文的处理。

状态检测技术一般的检查点有:

优点

缺点

3. 应用代理防火墙

应用代理(Application Proxy)也称为应用层网关(Application Gateway)

优点

缺点

4. 复合型防火墙

复合型防火墙是指综合了状态检测与应用代理的新一代的防火墙

优点

缺点

5. 核检测防火墙

对于简单包过滤防火墙、状态检测包过滤防火墙和应用代理防火墙，他们只是检查单个报文，所以只检查其中的一个报文，但是他们都不能把这些报文组合起来，形成一个会话 来进行处理。

对于核检测防火墙，它可以将不同报文，在防火墙内部， 模拟成应用层客户端或服务器端，对整个报文进行重组，合成一个会话来进行理解，进行访问控制。

可以提供更细的访问控制，同时能生产访问日志。可以看到，它的上下报文是相关的，它具备包过滤和应用代理防 墙的全部特点，还增加了对会话的保护能力。

优点

缺点

小结3.2 防火墙设计原则及优缺点3.2.1 设计原则

屏蔽非法用户的原则

3.2.2 优缺点

优点:

缺点:

3.3 防火墙体系结构

入侵者攻击内部网络至少要突破两个路由器:

外部路由器

堡垒主机

3.4 硬件防火墙的性能指标1. 吞吐量

1、定义:在不丢包的情况下能够达到的最大速率

2、衡量标准:吞吐量作为衡量防火墙性能的重要指标之一，吞吐量小就会造成网络新的瓶颈，以致影响到整个网络的性能

2. 延时

1、定义:入口输入帧最后一个比特到达至出口处 输出帧的第一个比特 输出所用的时间间隔

2、衡量标准:防火墙的延时能够体现出它处理数据的速度

3. 丢包率

1、定义:在连续负载的情况下，防火墙设备由于资源不足应转发但却未转发的帧百分比

2、衡量标准:防火墙的丢包率对其稳定性、可靠性有很大的 影响

4. 背靠背

1、定义:从空闲状态开始，以达到传输介质最小合法间隔极限的传输速率发送相当数量的固定长度的帧，当出现第一个帧丢失时，发送的帧数

2、衡量标准:背对背包的测试结果能体现出被测防火墙的缓冲容量， 网络上经常有一些应用会产生大量的突发数据包(例如:NFS、备份、 路由更新等)，而且这样的数据包的丢失可能会产生更多的数据包，强大的缓冲能力可以减小这种突发情况对网络造成的影响

5. 最大并发连接数

最大并发连接数:

指穿越防火墙的主机之间与防火墙之间能同时建立的最大连接数

衡量标准:并发连接数的测试主要用来测试被测防火墙建立和维持TCP连接的性能，同时也能通过并发连接数的大小体现被测防火墙对来自于客户端的TCP连接请求响应的能力

6. 每秒新建连接数

每秒新建连接数则指防火墙由开始建立连接直到达到最大连接数的 速率指标，也是防火墙的性能指标之一

3.4 分布式防火墙

边界防火墙的固有欠缺：

结构上受限制：企业网物理边界日趋模糊

内部不够安全：80%的攻击和越权访问来自于内部

效率不高：边界防火墙把检查机制集中在网络边界的单点，造成了网络访问的瓶颈问题(大容量、高性能、可扩展、安全策略的复杂性)

单点故障：边界防火墙本身也存在着单点故障危险， 一旦出现问题或被攻克，整个内部网络将 会完全暴露在外部攻击者面前

3.4.1 定义

从狭义来讲，分布式防火墙产品是指那些驻留在网络主机中，如服务器或桌面机，并对主机系统自身提供安全防护的软件产品

从广义来讲，分布式防火墙是一种新的防火墙体系 结构。

它们包含如下产品:网络防火墙、主机防火墙、中心管理等

总体安全策略的策划、管理、分发及日志的汇总，解决 了由分布技术而带来的管理问题。

边界防火墙只是网络中的单一设备，管理是局部的。对分布式防火墙来说，每个防火墙作为安全监测机制可以根据安全性的不同要求布置在网络中的任何需要的位置上，但总体安全策略又是统一策划和管理的，安全策略的分发及日志的汇总都是中心管理应具备的功能。

优点

增加系统安全性

(1)增加了针对主机的入侵监测和防护功能;

(2)加强了对来自内部攻击的防范;

(3)可以实施全方位的安全策略;

(4)提供了多层次立体的防范体系。

保证系统性能

消除了结构性瓶颈问题，提高了系统性能。

系统的可扩展性

随系统扩充提供了安全防护无限扩充的能力。

四、密码学基础4.1 定义

密码技术通过信息的变换或编码，将机密消息变换 成乱码型文字，使非指定的接收者不能由其截获的 乱码中得到任何有意义的信息，并且不能伪造任何 乱码型的信息

研究密码技术的学科称为密码学(cryptology) ，它包 含两个分支:

术语：

➢未加密的消息(Message)被称为明文(PlainText);(它可能是比特流，也可 能是文本文件、位图、数字化的语音流或数字化的视频图像);

➢被加密的消息称为密文(Cipher);

➢用某种方法伪装消息以隐藏它的内容的过程称为加密(Encryption);

➢把密文转变为明文的过程称为解密(Decryption);

➢密钥:参与变换的参数,用 K(Key)表示;

➢加密算法:对明文进行加密时采用的一组规则;

➢解密算法:对密文解密时采用的一组规则;

➢使消息保密的技术和科学叫做密码编码学(Cryptography);

➢破译密文的科学和技术是密码分析学(Cryptanalysis);

4.2 对称和非对称加密对比

单钥密码体制中，收发双方使用同一密钥，系統的保密性主要取决于密钥的安全性。禾統的密钥管理、传输和分配是一个重要且十分复杂的问题。

单钥的优点是：保密强度高，运算速度快，缺点是密钥数目大，密钥分配困难，天法实现不可否认服务。

公钥容码体制中，加密密钥K是公开的，解密密钥K必须保密。公钥体制的密钥产生、分配和管理相对简单，尤适用于计算机网络系统中。

公钥体制的特点：实现信息公开加密，实现不可否认服务，但缺点是加解密运算复杂，速度较慢。

两类密码攻击法

穷举法

分析破译法

常见密码分析攻击唯密文攻击

密码分析者有一些用同一加密算法加密的消息的 密文，他们的任务是恢复尽可能多的明文，或者最好是能推算出加密消息的密钥，以便用密钥解出其他被加密的消息。

已知明文攻击

密码分析者得到一些消息的密文和相应的明文后， 用加密信息推出用来加密的密钥或导出一个算法， 此算法可以对用同一密钥加密的任何新的消息进 行解密

选择明文攻击自适应选择明文攻击选择密文攻击

已知:C1，P1=Dk(C1)，C2，P2=Dk(C2)，··· ，Ci， Pi=Dk(Ci)，推导出: K

数字签名

4.3 加密算法

对称加密算法： DES 、AES

非对称公钥算法： RSA 、背包密码、McEliece密码、Rabin、 椭圆 曲线、EIGamal D_H