筆記修正記錄】2022.1.23

如何學習安全】這種攻擊是什么，形成的原因/利用了網絡的什么缺陷、不足？這些攻擊能實現哪些具體的攻擊功能，黑客實現攻擊的步驟，如何避免這種，(攻擊都是基于原本協議，由于協議的不足或缺陷而設計的)

安全類，學習資源】
微信公眾號——安全牛
微信公眾號——數說安全

網絡攻擊

網絡攻擊分為主動攻擊和被動攻擊
被動攻擊】攻擊者只是被動地監聽和分析網絡上傳輸的信息流，從而獲取信息的內容或其他特征，而不干擾信息流，不對信息進行破壞。攻擊者的目標是獲得線路上所傳輸的信息。常見的被動攻擊,竊聽和數據流分析。
主動攻擊】 常見的主動攻擊:改變數據包傳輸路徑實現截獲攻擊。mac地址欺騙攻擊。DHCP欺騙攻擊。ARP欺騙攻擊。生成樹協議欺騙攻擊。路由項欺騙攻擊。
黑客進行網絡攻擊的步驟】：準備階段：確定目標，收集信息，服務分析，系統分析，漏洞分析。攻擊善后階段。

嗅探攻擊

嗅探攻擊舉例】：利用集線器實施嗅探攻擊。利用MAC表溢出實施嗅探攻擊(原理：交換機路由項滿了就廣播)。利用生成樹欺騙實施嗅探攻擊的過程。

截獲攻擊

SQL注入

SQL注入攻擊的原理】
攻擊者實施SQL注入的流程】
自動進行SQL注入的工具】
如何防止SQL注入攻擊】

跨站腳本攻擊XSS

xss攻擊分類】反射性xss和存儲性xss

消息認證

消息認證：
“消息認證”，是什么】消息認證（Message Authentication)是一個證實收到的消息來自可信的源點且未被篡改的過程。消息認證具有兩層含義:一是檢驗消息的來源是真實的，即對消息的發送者的身份進行認證，二是檢驗消息是完整的，即驗證消息在傳送或存儲過程中未被篡改、刪除或插入等。
消息認證的兩層含義】：消息的真實性(來源真實)，消息的完整性(未被篡改刪除插入)。
消息認證原理】：消息+密鑰k
消息認證方法】：1.消息摘要算法。用hash函數作為消息摘要函數。（？？hash函數如何保證真實性）
消息的完整性驗證】：對原消息使用消息摘要產生算法H，生成消息摘要，將消息摘要附在消息上送過去，接收方對消息使用消息摘要算法，并和發來的消息摘要進行對比，以驗證消息是否在中途被改。
消息認證的相關技術】
消息摘要算法】：常用hash函數作為消息摘要算法，需要特性：單向性，抗碰撞。
消息認證存在的局限性】：通信雙方欺騙
資料】
認證往往是應用系統中安全保護的第一道防線，極為重要。
dai加密和認證的區別：加密用以確保數據的保密性，阻止對手的被動攻擊，如截取、竊聽。認證用以確保報文發送者和接受者的真實性以及報文的完整性，阻止對手的主動攻擊，如冒充、篡改、重播等。

消息認證碼MAC

消息認證碼MAC是什么/簡介】：消息認證碼MAC可以提供消息認證。消息認證碼是基于密鑰和消息摘要所獲得的一個值，可用于數據源發認證和完整性校驗。在發送數據之前，發送方首先使用通信雙方協商好的散列函數計算其摘要值。在雙方共享的會話密鑰作用下，由摘要值獲得消息驗證碼。之后，它和數據一起被發送。接收方收到報文后，首先利用會話密鑰還原摘要值，同時利用散列函數在本地計算所收到數據的摘要值，并將這兩個數據進行比對。若兩者相等，則報文通過認證。
消息認證碼/消息鑒別碼MAC作用】：進行消息認證，檢驗真實性和完整性。
MAC碼實現消息認證的過程】：
消息認證碼MAC方法存在的問題】：消息認證無法保證抗否認性，即無法防止通信雙方中的一方對另一方的欺騙。如何防止通信雙方中的一方對另一方的欺騙或抵賴?用數字簽名
MAC函數，是什么】MAC函數需要明文、密鑰和算法的參與。MAC函數在一個密鑰的控制下將任意長的消息映射到一個短的定長值。MAC函數不要求可逆性。
資料】）通過密鑰和消息計算得出，黑客無法根據篡改后的消息計算出消息鑒別碼，密鑰是發送端和接收端之間的共享密鑰

數字簽名

數字簽名技術是什么】：數字簽名用于電子文檔,支持數字信息的“鑒定”,向數字信息的接收者保證發送者的身份和該信息的完整性。
數字簽名技術原理】
數字簽名的實現】：①基于公鑰密碼體制的數字簽名。基于公鑰密碼體制的數字簽名 ，過程：直接用發送方私鑰對數據進行加密。基于公鑰密碼體制的數字簽名 ，存在問題：直接用私鑰進行加密，速度慢，成本高。 ②：基于公鑰密碼體制和哈希函數的數字簽名：發送方將要簽名的消息作為一個哈希函數的輸入,產生一個定長的消息摘要,使用簽名者的私有密鑰對這個消息摘要進行加密就形成簽名,然后,將簽名附在消息后發送給接收方。接收方根據接收到的消息產生一個消息摘要,同時使用簽名者的公開密鑰對原始簽名進行解密。如果計算得出的消息摘要與解密后的消息摘要匹配,那么簽名是有效的，可證明這個信息就是發送方發送的。如果是直接用私鑰對全部原信息加密，如果原信息數據量大，會很慢。注意，這個過程實現了消息認證和數字簽名，但這個過程沒有考慮對原文的加密。(mine：基于公鑰密碼體制和哈希函數的數字簽名，好像直接實現了消息認證和數字簽名)
數字簽名技術的作用】：

互聯網安全

拒絕服務攻擊】：通過消耗鏈路帶寬和節點的資源和處理能力,達到使互聯網喪失服務功能的攻擊行為。
防御拒絕服務攻擊】：管制與拒絕服務攻擊相關的信息流量。
流量管制】：將屬于特定應用的IP分組的傳輸速率限定在某個設定值的技術。
信息流分類】：信息流分類，是什么：從IP分組流中分離出屬于特定應用的一組IP分組,然后才能對這些IP分組進行速率限定。信息流分類的關鍵是找到IP分組的特征。
流量管制—漏斗管治算法】：對某類IP分組進行速率限定，保證信息恒定速率進入到網絡中。
流量管制—令牌桶算法】：令牌桶算法是干什么：令牌桶算法過程描述(zc)。要會計算平均速率

路由器安全

互聯網安全核心是路由器安全。
防止路由項欺騙，路由項源端鑒別和完整性鑒別】借助MAC碼原理。
路由器進行單播反向路徑驗證，防止偽造源ip地址。
策略路由，即允許特定ip分組按指定的途徑路由傳輸。
黑客針對路由器的攻擊行為主要有:mine:路由項欺騙、流量攻擊
VRRP虛擬路由冗余協議】：一個終端如果只設置一個網關，如果這個網關壞了，這個終端就無法上網了，為了解決這個問題，VRRP就是將多個路由器虛擬為一個路由器組，為這個虛擬路由器設置ip地址，這個虛擬ip地址其實是其中一個路由，其他終端將這個虛擬網關ip地址作為自己的網關，當其中一個路由器有問題，自動會切換為虛擬路由器組中好的哪一個路由器的ip。VRRP的應用：負載均衡。

防火墻

防火墻，是什么】讓正常的信息流通過，防止外部有害的信息流進入內網。
防火墻，分類】：個人防火墻、網絡防火墻
個人防火墻，是什么】用戶自己終端上的防火墻。
網絡防火墻，是什么】內網和外網網絡連接處的防火墻。
網絡防火墻的分類】網絡層的防火墻(即分組package過濾器)、傳輸層的防火墻(即電路層代理)、應用層防火墻(即應用層網關)。
防火墻功能】：訪問控制、方向控制、用戶控制、行為控制
防火墻的局限性：】無法抵御內網攻擊；無法阻止病毒(因為它不檢測內容)；無法防御符合安全策略的數據包發起的攻擊。

網絡層的防火墻(即分組package過濾器)

分組過濾器，是什么/定義】
分組package過濾器分類】：無狀態分組過濾器、有狀態分組過濾器

無狀態分組過濾器

• 無狀態分組過濾器，是什么】只是單純限制通過路由器的這個數據包的源ip地址定義規則。
• 無狀態分組過濾器的局限性：只是單純限制通過路由器的這個數據包，不考慮數據包之間的關系
  無狀態分組過濾器的過濾規則】:
• 無狀態分組過濾器的過濾規則，cache：首先根據需求，決定是用白名單還是黑名單。確定在路由器的哪個接口、入方向還是出方向。
• 無狀態分組過濾器的過濾規則，是什么：即訪問控制列表。給路由器上設定的規則，其中說明了同意什么特征的數據包通過或者不通過。
• 無狀態分組過濾器的過濾規則，書寫】 根據其需求，選擇需要設定規則的字段。dai mine：包含協議類型、源ip原端口、目的ip目的端口、采取的動作。要注意規則的先后順序(如何確定順序呢？mine：取決于你的策略是白名單還是黑名單，白名單策略：先寫允許的規則，后寫拒絕的。 )
• 已知需求，寫出無狀態分組過濾器的過濾規則】

有狀態分組過濾器

• 有狀態分組過濾器，是什么】：會檢測多個數據包之間的關系，檢查是不是屬于一個會話的。在請求數據包通過防護墻時會記錄下它的信息，當響應數據包想通過它時會檢查是否和之前記錄下的信息匹配
• 有狀態分組過濾器過濾規則，書寫】mine：在一個路由器的一個接口上，同時設置入方向和出方向的規則，且只設置這個接口這個方向的請求類型的包。不設置響應類型的包的規則，因為路由器內部自己會處理響應類型的包。

無線網絡安全

無線網絡中存在的問題】
如何解決無線網絡中安全問題，考點】
無線網絡安全協議】WEP、WPA、WPA2 、802.11i
WEP的簡介】：兩種模式，企業模式和個人模式。
WEP的安全缺陷】
重點：WEP加密和完整性檢測過程，即WEP加密解密過程】

傳輸層的防火墻(即電路層代理)

電路層代理，是什么/解釋】工作在傳輸層
電路層代理，功能】：數據中繼，用戶身份鑒別，檢測傳輸層報文
電路層代理實現過程】
電路層代理的應用】：利用電路層代理實現規避訪問限制(服務器限制了可訪問它的終端的ip網段，非此ip網段的終端可以借助設立電路層代理的ip，實現對于服務器的訪問)。 穿透防火墻

應用層防火墻(即應用層網關)

應用層網關，是什么/解釋】：會對數據包內的內容進行檢測。
web應用防火墻WAF】：

• web應用防火墻WAF,是什么：
• web應用防火墻WAF】功能：檢測協議，識別攻擊特征、制定應用規范
• web應用防火墻WAF，應用情景】：透明模式(WAF處在終端和服務器傳輸路徑之間，消息必經過)。反向代理模式(WAF不在路徑上，需要通過路由器配置才可讓消息去WAF，可以設定HTTP請求消息必須通過WAF，但HTTP響應消息不需要通過WAF)

PKI和數字證書

PKI是什么】：PKI是目前網絡應用中,使用范圍最廣、技術成熟的身份認證方式。PKI用來為用戶提供網絡身份】
PKI組成部分zc】
數字證書頒發過程】
用數字證書鑒別身份的原理】
雜】
有頒發證書的網站，代表此服務端是被官方權威機構驗證過的，而不是假冒的服務端，保證客戶端放心訪問。

網絡安全協議

網絡安全協議，是什么】網絡安全協議是建立在密碼體制基礎上的一種高互通協議,它為參與網絡應用的各方定義了一系列提供安全保障的協議交互步驟,借助密碼算法來保護協議交互的認證性、機密性、完整性和不可否認性，最終通過實現可靠的密鑰分配、身份認證、信息保密來保障各類網絡應用的安全運行。TCP/IP網絡棧每層有對應的安全協議。不同的傳輸網絡也有對應的安全協議。
網絡安全協議，作用/功能】雙向身份鑒別，數據加密，數據完整性檢測，防重放攻擊機制等。

網絡層安全協議—IPsec(AH、ESP、IKE)】

網絡層安全協議—IPsec，是什么/簡介】lPsec是實現IP分組端到端安全傳輸的機制,由一組安全協議組成,該組安全協議的作用是實現雙向身份鑒別、數據加密、數據完整性檢測和防重放攻擊等安全功能。IPSec是IPv6的一個組成部分,也是IPv4的一個可擴展協議。IPsec不是一個協議，而是由一組安全協議組成，兩個安全通信協議AH和ESP，一個密鑰交換管理協議----IKE。
IPsec有兩個工作模式：傳輸模式和隧道模式】 IPsec的傳輸模式和隧道模式區別：mine:傳輸模式涉及從原端到目的端全過程，隧道模式是從邊界路由到對方邊界路由，即公共網絡中傳輸的過程。
AH協議】(Authentication Header,認證頭):提供數據源認證、保障數據的完整性以及抗重放服務,不加密數據包。mine：具體體現就是：在隧道模式或者傳輸模式下，對數據包進行相應的不同策略的"加一個頭部"策略。
ESP協議】(Encapsulating Security Payload,封裝安全載荷)具有所有AH的功能,還可以利用加密技術保障數據機密性。mine：具體體現就是：在隧道模式或者傳輸模式下，對數據包進行相應的不同策略的"加一個頭部"的策略
IKE協議】(Internet Key Exchange Protocol, Internet密鑰交換協議)為IPSec提供了自動協商交換密鑰、建立安全關聯的服務。mine:在使用AH或ESP通信之前，用IKE進行相關配置，如協商通信雙方使用什么加密算法等。IKE如何建立安全關聯過程：涉及兩個階段。
IPsec的應用】：vpn

傳輸層安全協議：SSL/TLS協議

傳輸層安全協議的作用】是實現兩個進程之間TCP報文的安全傳輸。與應用層協議獨立無關;高層應用層協議(如HTTP、FTP、TELNET)能透明的建立于SSL協議之上。
傳輸層安全協議—安全套接層協議(Secure Socket Layer,SSL)】
傳輸層安全協議—傳輸層安全(Tranport layer Security,TLS)】

SSL/TLS協議，是什么，簡介】SSL/TLS協議不是一個單獨的協議，而是一個兩層的協議：傳輸層和應用層之間的記錄協議，三個處于應用層的：握手協議+密碼規范變更協議+報警協議。SSL后期發展為TLS。

• SSL記錄協議,是什么:用于封裝上層協議消息。通過記錄協議傳輸的上層消息可以實現源端鑒別、保密性和完整性。
• SSL的三個應用層協議：握手協議、密碼規范變更協議和報警協議。
• SSL握手協議，是什么:—種實現身份鑒別和安全參數協商的協議。通信雙方在通過TLS記錄協議進行封裝過程前,必須通過握手協議完成雙向身份鑒別過程,并約定安全參數，如用什么加密算法、密鑰是多少。
• SSL握手協議工作過程：
  SSL/TLS,功能/作用】客戶對服務器的身份認證問題、服務器對客戶的身份認證問題、建立服務器與客戶之間安全的數據通道問題。連接是秘密的、連接是可認證的、連接是可靠的。在通信雙方利用加密的信道建立安全的連接。
  SSL/TLS，應用】:用于任何面向連接的安全通信;S/HTTP、S/MIME、SSL-Telnet、SSL-SMTP、SSL-POP3、電子商務系統。https協議。

應用層安全協議：HTTPS

應用層安全協議，是什么/簡介】應用層安全協議實現兩個應用進程之間應用消息的安全傳輸。由于不同應用有不同的應用協議，所以不同的應用協議也有其對應的安全協議。用于安全訪問網站的基于SSL/TLS的HTTP(HTTPS)、PGP、SET。
HTTPS，概述】https為正常的http包封裝了一層SSL。應用了SSL的https兩個功能：1.建立一個信息安全通道 2.確認網站的真實性
HTTPS和HTTP的區別】

安全類，零散知識/雜倉庫】

TCP/IP協議棧的安全缺陷。
認證與加密的區別】:加密用以確保數據的保密性,阻止對手的被動攻擊,如竊聽。認證用以確保消息來源的真實性以及消息的完整性,阻止對手的主動攻擊,如冒充、篡改、重播等。
Web安全可以從以下三個方面進行考慮:Web服務器的安全；Web客戶端的安全；Web通信信道的安全。
黑客如何隱藏自己的網絡位置，ip或域名】
黑客如何隱藏自己的網絡位置，ip或域名？:利用被侵入的主機（俗稱“肉雞”）作為跳板進行攻擊，這樣即使被發現了，也是“肉雞”的IP地址。使用多級代理，這樣在被入侵主機上留下的是代理計算機的IP地址。偽造IP地址。假冒用戶賬號。
柯克霍夫原則】：密碼安全取決于密鑰，而不是密碼算法，密碼算法要公開。密鑰的安全程度取決于密鑰長度。
“異或密碼”，即用"異或運算"實現加密解密】

• "異或"是什么/簡介】：異或（xor）是一個數學運算符，異或的數學符號為“⊕”。
• 用"異或運算"實現加密解密，解釋】：數字串A進行兩次異或得本身。首先得確保通信發送方和通信接收方都存儲了相同的key。通信發送方將message與key作一次異或運算后就可以得到一段加密文本，通信接收方收到通信發送方的加密文本，將加密文本與key再次進行異或運算就可以得到通信發送方本來想發送的文本message。明文xor密文=密鑰
• "異或密碼"存在的安全問題/缺陷】

總結

以上是生活随笔為你收集整理的网络安全理论的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。