本书系统介绍了网络安全领域相关基础理论、技术原理、实现方法和实际工具应用；针对每种理论和技术都给出相应的工具使用方法，并配以极为丰富的实践插图；同时配有学习建议、精美课件、代码、答案、社群互动答疑等丰富的资源。

社群互动答疑：（QQ群号）164853073。

《网络攻防技术与实战：深入理解信息安全防护体系》将帮助读者深入理解计算机网络安全技术以及信息安全防护体系。首先，系统地介绍网络攻击的完整过程，将网络攻击各个阶段的理论知识和技术基础与实际的攻击过程有机结合，使得读者深入理解网络攻击工具的实现机制。其次，详细地介绍各种网络防御技术的基本原理，主要包括防火墙、入侵防御系统、恶意代码防范、系统安全和计算机取证等，同时结合当前主流开源防御工具的实现方法和部署方式，以图文并茂的形式加深读者对网络防御技术原理和实现机制的理解。最后，全面地介绍网络安全的基础理论，包括加解密技术、加解密算法、认证技术、网络安全协议等，将基础理论和主流工具的应用实践紧密结合，有利于读者理解抽象的理论知识，有利于读者理解各种主流工具背后的实现机制。

郭帆，中国科学技术大学计算机软件与理论专业博士，从事网络安全工作十余年，研究方向为网络和信息安全、程序安全，已在国内外主流期刊和会议发表论文30余篇。

　　第3章网 络 隐 身
　　学习要求：
　　理解IP地址欺骗技术的基本原理。
　　掌握MAC地址欺骗技术的基本原理，掌握相应系统配置方法和工具使用方法。
　　掌握各种网络地址转换技术的基本原理。
　　掌握代理隐藏技术的基本原理，熟悉各种代理工具的使用方法。
　　了解网络隐身的其他方法。
　　IP地址是计算机网络中任何联网设备的身份标识，MAC地址是以太网终端设备的链路层标识，所谓网络隐身就是使得目标不知道与其通信的设备的真实IP地址或MAC地址，当安全管理员检查攻击者实施攻击留下的各种痕迹时，由于标识攻击者身份的IP或MAC地址是冒充的或者不真实的，管理员无法确认或者需要花费大量精力去追踪该攻击的实际发起者。因此，网络隐身技术可以较好地保护攻击者，避免其被安全人员过早发现。常用的网络隐身技术主要包括IP地址欺骗(或IP盗用)、MAC地址欺骗(或MAC盗用)、网络地址转换、代理隐藏、账户盗用和僵尸主机等技术。
　　3.1IP地址欺骗
　　因为TCP/IP协议路由机制只检查报文目标地址的有效性，所以攻击者可以定制虚假的源IP地址，有效避免安全管理员的IP地址追踪。另外，目标的访问控制组件可能使用IP地址列表的方式来设置允许或禁止对网络服务的访问，攻击者可以盗用其他IP地址，从而绕过访问控制的设置，对目标服务实施攻击。
　　IP欺骗(IP Spoofing)就是利用主机间的正常信任关系，通过修改IP报文中的源地址，以绕开主机或网络访问控制，隐藏攻击者的攻击技术。IP地址欺骗的示意图如图31所示，在网络中假设有三台主机A、B、C，其中A和B可以直接通信(或者相互信任且无须认证)，攻击者C冒充主机A实现与主机B通信，A可能在线也可能不在线。
　　图31IP欺骗示意图
　　当C与A在同一个局域网内，实施IP欺骗相对容易，因为攻击者可以观察B返回的报文，根据有关信息成功伪造A发出的报文。当C和A分属不同网络时，如果冒充A与B进行UDP通信，C只需要简单修改发出的IP报文的源IP地址即可。但是如果A与B建立TCP连接进行通信，C实施IP欺骗就非常困难，因为C无法获得响应报文，因此无法得知该连接的初始序列号，而TCP通信是基于报文序号的可靠传输，所以C伪造的TCP报文很大概率被拒绝，攻击欺骗成功的概率较低。
　　一次成功的IP欺骗通常需要三个步骤(见图32)。
　　图32IP欺骗实现过程
　　1. 使A停止工作
　　由于C要假冒A，C必须保证A无法收到任何有效的TCP报文，否则A会发送RST标记的报文给B，从而使得TCP连接被关闭。可以通过拒绝服务攻击、社会工程学或中间人攻击等方法使得A停止工作。
　　2. 猜测初始序列号
　　C必须知道B与A建立连接时的TCP报文的初始序列号(ISN)，即第二路握手报文中的SEQ字段值。C只有在第三路握手报文中将确认号设置为ISN+1，才能通过B的验证，成功建立连接。在无法截获第二路握手报文时，如何正确猜测ISN值是欺骗成功与否的关键。
　　TCP的ISN使用32位计数器，通常难以猜中，但是由于某些操作系统协议栈实现时，ISN的选择存在一定规律，有的基于时间，有的随机增加，还有的固定不变，因此可以预先对某个端口进行多次连接，采样其ISN基值和变化规律，作为猜测未来连接的ISN的参考信息。当采集的信息足够对ISN进行预测时，即可开始建立假冒连接。当C发送的报文在到达B时，根据猜测ISN的不同结果，B有以下四种处理方式：
　　(1) ISN正确，C的报文被B成功接收。
　　(2) ISN小于B期望的数字，B丢弃该报文。
　　(3) ISN大于B期望的数字，且在B的滑动窗口内，B认为这是乱序到达的报文，将报文放入缓冲区中并等待其他报文。
　　(4) ISN大于B期望的数字，且超出B的滑动窗口，B将丢弃该报文并重发确认报文给A。
　　3. 建立欺骗连接
　　IP欺骗之所以能够实施是因为通信主机之间仅凭IP地址标识对方身份，并且攻击者可以正确猜测TCP连接的初始序列号(ISN)。
　　对于IP欺骗可采取的防范措施包括：
　　(1) 使用基于加密的协议如IPSec或SSH进行通信，通信时使用口令或证书进行身份验证。
　　(2) 使用随机化的ISN，攻击者无法猜测正常连接的序列号。
　　(3) 在路由器上配置包过滤策略，检测报文的源IP地址是否属于网络内部地址，如果来自外部网络的报文的源IP地址属于内部网络，那么该报文肯定是伪造的。
　　(4) 不要使用基于IP地址的信任机制。
　　3.2MAC地址欺骗
　　MAC地址欺骗(或MAC盗用，MAC Spoofing)通常用于突破基于MAC地址的局域网访问控制(图33)，例如在交换机上限定只转发源MAC地址在预定义的访问列表中的报文，其他报文一律拒绝。攻击者只需要将自身主机的MAC地址修改为某个存在于访问列表中的MAC地址即可突破该访问限制，而且这种修改是动态的并且容易恢复。还有的访问控制方法将IP地址和MAC进行绑定，目的是使得一个交换机端口只能提供给一位付费用户的一台主机使用，此时攻击者需要同时修改自己的IP地址和MAC地址去突破这种限制。
　　图33基于MAC地址的访问控制
　　在不同的操作系统中修改MAC地址有不同的方法，其实质都是网卡驱动程序从系统中读取地址信息并写入网卡的硬件存储器，而不是实际修改网卡硬件ROM中存储的原有地址，即所谓的“软修改”，因此攻击者可以为了实施攻击临时修改主机的MAC地址，事后很容易恢复为原来的MAC地址。
　　在Windows中，几乎所有的网卡驱动程序都可以从注册表中读取用户指定的MAC地址，当驱动程序确定这个MAC地址有效时，就会将其编程写入网卡的硬件寄存器中，而忽略网卡原来的MAC地址。以下以Windows 7 SP1家用版为例，说明Windows系统中修改MAC地址的两种方法。一种方法是直接在网卡的“配置→高级→网络地址”菜单项中修改修改网卡地址时需要注意前三个字节表示网卡厂商，如果修改后的网卡地址不属于该厂商，修改后的地址可能会无效。系统只会设置有效的地址，所以必须检查修改后的地址是否生效。(图34)，系统会自动重启网卡，修改后可以在控制台窗口中键入“ipconfig /all”命令检查网卡地址是否已成功更改，如果选择“不存在”则恢复为原有MAC地址。该方法针对有线网卡有效，但是无线网卡默认没有“网络地址”，无法使用这种方法修改。
　　图34网卡属性中修改网络地址
　　另一种方法是直接修改注册表，生成与第一种方法相同的针对无线网卡的“网络地址”设置。运行注册表编辑器(regedit.exe)，在“＼HKEY_LOCALMACHINE＼SYSTEM＼ControlSet001＼Control＼Class”键下搜索网卡的描述信息，定位网卡配置选项在注册表中的位置，本例中无线网卡的对应配置选项在注册表项“［HKEY_LOCAL_MACHINE＼SYSTEM＼ControlSet001＼Control＼Class＼{4D36E972E32511CEBFC108002BE10318}＼0015”内(图35)。然后在“Ndi＼params”子项下新建子项“NetworkAddress”，并新增如图36所示的所有键值，即可在无线网络连接的配置选项中生成“网络地址”菜单项，并可自由修改MAC地址。当地址修改成功后，注册表会自动在上述表项(即0015项)中增加一个“NetworkAddress”的键值(图37)。也可以将以下文本导入注册表(保存为.reg后缀的文件名)，产生与图36相同的效果：
　　［HKEY_LOCAL_MACHINE＼SYSTEM＼ControlSet001＼Control＼Class＼{4D36E972E32511CEBFC108002BE10318}＼0015＼Ndi＼params＼NetworkAddress］
　　"default"="000000000000"
　　"Optional"="1"
　　"ParamDesc"="网络地址"
　　"type"="edit"
　　"UpperCase"="1"
　　"LimitText"="12"
　　图35注册表中网卡的配置选项
　　图36新增NetworkAddress项及键值前后的网卡连接菜单项对比
　　……

　　随着计算机网络的迅速发展，电子商务和网络支付等关键业务剧增，对网络安全的需求不断提高，与此同时，互联网中的网络攻击事件持续不断，网络安全面临的威胁变化多样。因此，网络安全已经成为人们普遍关注的问题，网络安全技术也成为信息技术领域的重要研究方向。
　　当前有关计算机网络安全的图书各有特色，总体上可以分为三类。第一类着重讨论加/解密技术和安全协议等网络安全基础理论，特别是深入讨论各种具体算法和协议机制，但是没有与主流的网络安全工具和实际的网络攻防实践相结合，使得图书较为抽象和生涩难懂，读者很难学以致用。第二类专注于探讨网络攻击手段和对应的网络防御技巧，不对这些手段和技巧背后的技术原理做详细解释，同时也不对网络安全理论和技术做详细介绍，使得图书内容过于浅显，读者无法深入理解网络攻防过程中出现的各种现象的产生原因，也无法解决在实际工程实践中出现的各种问题。第三类则把各种安全机制放在一起讨论，类似于大杂烩，但是所有内容却都是浅尝辄止。上述三类图书的共同问题在于一是没有对当前主流的网络攻防技术进行深入探讨，二是空泛地介绍基本概念和方法，没有与具体的网络、系统和安全问题相结合，因此使得读者很难提高实际解决网络安全问题的能力。
　　本书以将读者领进计算机网络安全技术的大门为目标。首先，系统地介绍网络攻击的完整过程，将网络攻击各个阶段的理论知识和技术基础与实际的攻击过程有机结合，使读者能够深入理解网络攻击工具的实现机制。其次，详细地介绍各种网络防御技术的基本原理，主要包括防火墙、入侵防御系统、恶意代码防范、系统安全和计算机取证等，同时结合当前主流开源防御工具的实现方法和部署方式，以图文并茂的形式加深读者对网络防御技术原理和实现机制的理解。最后，全面地介绍网络安全的基础理论，包括加/解密技术、加/解密算法、认证技术、网络安全协议等，将基础理论和主流工具的应用实践紧密结合，有利于读者理解抽象的理论知识及各种主流工具背后的实现机制。
　　全书共13章。第1章概述，全面介绍网络安全的目标、威胁和研究内容； 第2章信息收集，详细讨论各种信息收集技术的原理和使用方式； 第3章网络隐身，综合介绍IP地址欺骗和MAC欺骗、代理隐藏和NAT技术等隐藏主机的原理及主流工具的使用方法； 第4章网络扫描，详细阐述端口扫描、服务和系统扫描、漏洞扫描、配置扫描、弱口令扫描等扫描技术的基本原理，同时结合开源工具的实际扫描过程和扫描结果进行验证； 第5章网络攻击，结合主流攻击工具的使用方法，详细说明各类网络攻击的技术原理，包括弱口令攻击、中间人攻击、恶意代码攻击、漏洞破解和拒绝服务攻击等； 第6章网络后门与痕迹清除，结合实际工具和目标环境详细介绍如何设置各种系统后门，针对Windows和Linux系统环境，分别介绍不同的痕迹清除方法； 第7章访问控制与防火墙，详细讨论各类访问控制方法以及包过滤防火墙、代理防火墙、有状态防火墙等技术的基本原理，结合Cisco ACL、Linux iptables、Windows个人防火墙和CCProxy等主流工具的配置方法和应用实践，分析它们的实现机制和相应的技术原理； 第8章入侵防御，在详细说明基于主机的IPS和基于网络的IPS的工作流程及基本原理的基础上，分别结合开源软件OSSEC和Snort的配置方式和应用实践，进一步讨论有关技术原理； 第9章密码技术基础，全面讨论密码学体制、加/解密算法、认证技术和PKI架构等理论知识，结合加/解密工具GnuPG的应用实践说明加/解密技术的使用方式； 第10章网络安全协议，详细介绍链路层安全协议802.1X和EAP、网络层安全协议IPSec、传输层安全协议SSL和无线安全协议802.11i的实现机制，结合在Windows系统中应用IPSec协议的实践，进一步说明IPSec协议的原理，结合使用无线破解工具aircrackng破解WPA/PSK口令的应用实践，进一步说明802.11i协议的密钥交换机制； 第11章网络安全应用，详细说明常见的应用层安全协议的实现机制，包括VPN、电子邮件安全协议PGP和S/MIME、安全电子交易协议SET，结合Cisco路由器的IPSec VPN应用实践说明IP隧道的实现原理，结合详细的加/解密流程图说明SET协议的工作过程； 第12章恶意代码防范与系统安全，首先详细讨论病毒、木马和蠕虫的防范方法，并结合Windows自带工具说明常用的木马防御手段，然后展开讨论Windows和Linux操作系统的安全机制及有关安全配置方法，最后详细说明计算机取证的定义、步骤和技术原理，结合主流取证工具的配置方式和使用方法说明计算机取证的作用； 第13章Web程序安全，首先详细介绍Web程序安全的核心安全问题和防御机制，以及与安全有关的HTTP内容和数据编码，然后结合DVWA项目着重讨论验证机制、会话管理、SQL注入和XSS漏洞等常见安全威胁的产生原因、攻击方法和防御技术。
　　作为一本理论和实践紧密结合的图书，正如网络的设计和部署可能存在漏洞一样，限于作者的水平，本书难免存在各种错误和不足。作者殷切希望读者批评指正，也希望读者能够就图书内容和叙述方式提出意见和建议。
　　作者
　　2018年7月