tcpip安全性研究毕业设计论文模板.doc

目 录
摘 要 I
英文摘要 II
1 绪 论 1
1.1 课题来由介绍 1
1.2 中国外网络和信息系统安全介绍 1
2 TCP/IP协议栈介绍 4
3 TCP/IP协议栈安全问题 7
3.1 ICMP攻击 7
3.2 TCP“SYN”攻击 7
3.3 序列号攻击 7
3.4 截取连接 8
4 TCP/IP协议栈安全问题对策 14
4.1 威胁网络安全关键原因 14
4.2 TCP/IP协议栈安全具体对策 14
4.2.1 认证问题 14
4.2.2 保密问题 16
4.2.3 截取连接问题 17
4.2.4 TCP会话劫持 17
4.2.5 “SYN”攻击 17
4.2.6 IP地址欺骗 18
4.2.7 IP碎片攻击 18
4.2.8 序列号攻击 19
4.2.9 用户名问题 19
4.2.10 其它协议和工具 19
4.3 入侵检测 19
4.3.1 安全防御体系 19
4.3.2 防火墙和入侵检测 20
4.3.3 入侵检测系统分类 20
4.3.4 实现方法分类 21
5 SYN FLOODING仿真试验 23
5.1相关技术介绍 23
5.1.1 Visual C++ 6.0特色 23
5.1.2 Visual C++开发环境 23
5.2 SYN淹没 25
5.2.1 SYN Flood基础原理 26
5.2.2 SYN Flooder源码解读 27
5.2.3 SYN Flood攻击监测和防御初探 31
5.3 试验结果及分析 33
5.4 试验总结 35
结束语 38
参考文件 39
致 谢 40

TCP/IP安全性研究

摘 要:Internet日益普及给大家生活和工作方法带来了巨大变革，大家在享受网络技术带来便利同时，安全问题也提上了议事日程，网络安全也成为计算机领域研究热点之一。本文在介绍因特网中使用TCP/IP协议基础上，对TCP/IP协议安全性进行了较为全方面讨论，从理论上分析了协议中多个关键安全隐患，然后在分析相关安全协议研究结果基础上，提出了将数据包数据部分加密传输并对报头部分加以认证方法等以保障安全见解。将网络安全理论和实践结合是提升网络安全性有效路径。本文利用现在常见协议分析工具对TCP/IP协议子过程进行了深入分析，并针对TCP/IP协议存在安全隐患做了大量实际操作和试验。期望能对未来信息社会中网络安全环境形成有所帮助。

关键词：TCP/IP；安全；协议　

The TCP/IP Security Research
Computer Science and Technology Cao Hua Teacher: Fu Kaiyao

Abstract:The increasingly popularization of Internet brings great changes to the manners of people's living and working. As people enjoy the convenience brought by network technology, security issues also come into consideration. Network security also becomes one of the research hotspots in the computer domain. This paper mainly focuses on the security of the TCP/IP protocol on the basis of introduction of the TCP/IP protocol. It also analyzes the several main hidden troubles in this protocol. By analyzing the achievements in the research of the related securce protocol，it draws such a view that the data field of a packet should be encrypted and the head field of the packet should be authenticated to ensure security. And it is an effective way to combine the theory of the network security with the practice. This paper studies deeply on the TCP/IP protocol’s sub-process, using the protocol analyzing tools that currently usually used. Many experiments have been done on the hidden troubles in the TCP/IP protocol, and hope to be helpful to form a network security environment in the coming information society.

Keywords: TCP/IP；Security；Protocol

1 绪 论
1.1 课题来由介绍
伴随计算机发展，计算机网络技术也成熟起来，使得计算机网络和Internet得到了快速发展，它已经不仅仅含有共享信息作用了。现在，网络，尤其是Internet己经成为越来越多大家工作、学习、生活中不可缺乏一部分。信息共享和流动在为大家带来方便和高效同时，也向大家提出了新问题:怎样保护信息?在电子商务时代立即到来今天，这己经成为了必需处理问题。任何计算机和网络，只要和Internet连接起来，就随时全部有被攻击危险，在Internet中，没有一台计算机是绝对安全、不受到攻击。经过网络进行攻击事件每十二个月全部在急剧增加，而且，“扫描”事件次数还远远大于攻击发生次数，即使是在学校中——我们试验环境里，也检测到了数次对试验主机扫描。伴随攻击技术发展和危险增加，能够说，没有安全技术作保障，任何网络上信息全部是不可信，甚至是有害。假如不给予重视，甚至可能给国家、政府、企业和个人带来不可挽回损失。
所以，现在安全技术关键性日益突出，信息战、信息对抗技术已经是各个国家、政府、企业和个人越来越关心问题，对此研究也越来越多，并包含了其各个方面。但因为历史原因和安全技术本身复杂性，而且安全技术发展极其快速，使得在安全领域还有大量工作需要做，很多安全方面协议和标准还在制订和讨论中，不少问题还没有得四处理，有待深入研究。
即使安全问题早己引发了大家重视，但计算机技术和网络技术复杂性也给安全研究和实现带来了很大困难。安全问题包含到了计算机及其网络中方方面面，甚至还包含人管理原因，所以，信息对抗技术研究，网络安全系统处理是一个庞大而细致工作。
本课题研究是对信息战和信息对抗技术研究一个组成部分，其目标是对现在广泛流行TCP/IP网络中最常见多个协议安全性问题进行研究，并在此基础上提出了部分处理方法和相关攻击检测方法和技术。在明确和强调协议在信息对抗技术和安全技术关键性基础上，经过攻击模型和入侵检测模型建模，使之对TCP/IP安全问题有更现实意义。
现在使用最广泛网络是TCP/IP网络，下层关键是以太网，所以本课题研究关键是针对建立在共享以太网上TCP/IP网络，分别讨论TCP, IP, TELNET,PTP, SMTP和HTTP等最常见协议安全问题。
1.2 中国外网络和信息系统安全介绍
八十年代末、九十年代初以来，伴随以微电了技术、计算机技术和通信技术为关键信息技术飞速发展，以高速计算机通信网为纽带社会信息化进程加紧了步伐。大家意识到，信息技术，尤其是信息网络是一个国家综合国力强弱关键标志，而未来社会，国和国较量就是综合国力较量，甚至战争也是以夺取信息优势为关键手段所谓信息战。信息已经成为一个国家关键战略资源。
国外很早就认识到了计算机网络安全和信息安全关键性，并开始了对信息战和信息对抗技术研究。西方发达国家相继提出并加速实施了一系列发展信息技术和信息网络国家级乃至全球信息基础设施计划，意在抢占未来信息技术制高
点，使她们在二十一世纪信息时代复杂政治斗争、军事斗争、经济竞争、科技竞争中处于有利地位。
然而，网络化、信息化程度越高，网络和信息系统安全就越复杂，大家对此也就越关心和焦虑。美国国家安全局局长约翰，麦康奈尔在一次情报官员会上说:“我们比地球上任何一个国家更易遭到攻击，易受攻击目标是美国银行、整个金融界、股票市场、联邦贮备委员会、空中交通控制系统和全部诸如这类目标。”美国在名为“国防科学委员会夏季尤其研究小组战场信息体系结构汇报”出台后，大家更深刻地感受到了信息安全迫在眉睫，该汇报认为，毁坏信息系统提供了破坏国家利益“ 一个代价不大外科手术式手段”，“是经过攻击计算机网络来设法搜集情报自然扩充，而这只是从开发一个系统向毁坏或甚至使其失去运转能力”迈出一小步。实际上，即使大家对安全问题越来越重视，但正是因为其复杂性使得安个问题一时不可能得四处理。安全漏洞不停被发觉，对政府、企业、公共网站、个人计算机攻击事件连续不停，这也促进了安全方面研究和实施。
以美国为首西方发达国家早已开始了信息安全标准化制订工作，90年代早期，美国总统克林顿一上台就提出信息高速公路施政纲领，美国政府公布国家信息基础设施(U11)行政计划，很快又提出全球信息基础设施(GII)，美国主张取得大多数国家响应。Internet在信息化浪潮推进下成为了公认未来信息高速公路雏形，它不仅用于教学、科研，也开始用于商务。不过，Internet采取是TCP/IP体系，而不是开放系统互连七层模型，它没有一个完整安全体系和对应安全标准，从开放系统互连概念导出一系列安全体系结构、安全框架和安全机制不完全适应Internet环境，且不能满足实际需要。若按国际标准化组织程序来制订Internet标准，又处理不了目前急用，在此情况下，Internet上出现了标为“请求注释”(RFC)文稿，内容广泛，经过网上讨论修改，被大家接收就成了实际上标准。“请求注释”中有不少是和安全相关，包含到了TCP/IP体系中很多安全问题及其处理提议和标准。
另外，国外有很多企业从事安全方面研究和开发，并对外提供安全咨询和帮助，各大计算机企业也常常把发觉安全漏洞及对应补丁(patch)向外公布。
中国计算机网络发展较晚，但最近计算机网络攻击事件已经有所发生，中国也意识到了网络和信息系统安全关键性。
中国国家技术监督局十分重视信息安全标准化工作，于1984年7月组建了数据加密分技术委员会，并依据现实情况，于1997年8月改组成信息技术安全保密分技术委员会，负责制订信息安全国家标准。另外，“计算机网络安全产品评定中心”也己经成立。但总来说，中国现阶段计算机网络和信息系统安全研究还缺乏专门性和系统性。大家对安全意识还很微弱，不仅大量系统存在严重安全隐患，在使用中也有很多安全问题(如配置不妥、操作不妥等)。
现在，中国在网络和信息系统安全方面和国外技术优异国家有不少差距，技术研究上如此安全产品也是这么。中国自主开发产品少，硬软件技术受制于人，这使我们网络管理展现出一个十分“虚弱”健康状态。关键表现在:计算机网络发展水平，安全技术和管理手段不配套；计算机从产品到技术严重依靠外国。我们即使在操作系统研制、国产数据库开发上作过部分有益工作，不过“杯水车薪”，难以形成体系。所以，在网络安全产品方面，中国同国外差距最少有5-IO年，这首先源于中国总体上应用技术开发落后:其次中国网络在工商业中应用范围和水平全部还比较低，所以善良地期望黑客不光顾也是难以办到。中国古训早有:“害人之心不可有，防人之心不可无”。这也使得中国对此重视和投入很有必需。

2 TCP/IP协议栈介绍
TCP/IP是今天Internet基础和关键，因为TCP(传输控制协议)和IP(网间网协议)出现是在七十年代，标准制订完成于八十年代早期，那时网络规模很小，用户之间相互信任，使用它们目标就是为了将多个计算机连接起来方便信息共享，对安全问题没有足够重视，所以使得这些标准缺乏安全性方法。当网络得到广泛普及，Intenet遍布世界各地时，TCP/IP网络安全问题就日益突出了，甚至成为了传统TCP/IP网络发展障碍。即使IPv6能够处理现在传统TCP/IP中部分安全问题，但TCP/IP及其上应用协议和各类应用大量存在和使用使得传统TCP/IP网络仍有相当长生存期，所以对TCP/IP及其上层应用协议安全性研究和总结是很有必需。
因为TCP/IP协议栈组员较多，不可能一一研究，所以我们关键研究了多个经典协议。其日是经过对这些协议安全问题研究，引发对TCP/IP协议安个问题重视，以加强这方面安全工作，增强信息安全性。
从OSI角度看，TCP/IP协议层次结构并没有十分明确划分，但大多数可分为四个层次：应用层、传输层、网间网层、网络接口层。该协议集包含很多协议，但一个系统具体使用何种协议取决于网络用户需求和网络设计人员要求。
TCP/IP协议由四个层次组成，图2-1。
应用层
传输层
网间网层
网络接口层
图2-1 TCP/IP协议分层结构
TCP/IP协议栈是多个协议统称，包含从介于网络接口层和IP层之间ARP/RARP到应用层FTP, SMTP等等。整个协议栈中传输控制协议和网间网协议承上启下，是这些协议中最关键两个协议。为了讨论方便，这一部分TCP/IP协议栈关键是指传输层和网络层协议，应用层多个关键协议下一个部分讨论。
首先简单介绍一下要讨论多个协议[1]。
n IP (Internet Protocol)是网间网协议，它处于网络层，向上层提供是不可靠无连接服务，关键功效是无连接数据报传送、数据报寻径和差错处理。也就是说，网间网协议作用是尽可能把IP包(数据报)经过合适路径送到目标地，它不确保全部包全部能抵达目标地，这由上层协议来处理。
n ICMP (Internet Control Message Protocol)是网间网控制报文协议。它是用于处理网络层差错和控制报文传输专用协议。ICMP报文封装在IP数据报数据部分中进行传输。
n TCP (Transport Control Protocol)，传输控制协议，是网间网协议上层一个协议，它向上层提供可靠面向连接服务，即，它在传送信息双方之间建立一个连接，全部信息包经过这个连接由发送方抵达接收方，传输控制协议确保全部信息包全部被接收方收到。
不妨假设一台TCP/IP网络上主机有以下协议，其结构图2-2所表示经过它们能够说明系统内多种协议之间关系。
应用层
传输层
网间网层
网络接口层

图2-2 协议之间关系
由图2-2可见，在TCP/IP中，TCP、UDP、IP是协议集关键，应用层协议FTP、TENET、SMIP等基础上是依靠于TCP，而NFS, DNS等则基础上是依靠于UDP，而有些应用型程序如EGP（外部网关协议)，它不使用传输层服务，而直接使用IP服务。IP则是整个协议集纽带。
从总体上看，TCP/IP传输行为开始于应用层协议。在TCP应用层中，要传输信息称为“数据流（stream）”，由应用层传输到传输层。而在UDP应用层中要传输信息称为“报文(message)”，由应用层传输到传输层。在传输层，TCP/IP将它用户数据按目标可接收最大长度分成“段(segment)”传输到IP层，而UDP是基于分组交换数据模式，它数据结构以“分组(packet)”传送到IP层。不管是“段”还是“分组”，在网间层全部被组织成IP“数据报(datagram)”交给网络链路层，网络链路层则将数据封装成“帧(frame)”，经过具体网络传送出去。
尽管如此，TCP/IP模型和协议也有部分缺点:
① 该模型没有明确地域分服务、接口和协议概念。好软件工程实践要求区分规范和实现。所以，对于使用新技术来设计新网络，TCP/IP模型不是一个太好模板。
② TCP/IP模型完全不是通用，而且不适合描述除TCP/IP模型之外任何协议栈。
③ 主机网络层在分层协议中根本不是通常意义下层。它是一个接口，处于网络层和数据链路层之间。接口和层间区分是很关键，不能粗心大意.
④ TCP/IP模型不区分物理层和数据链路层。这两层完全不一样。物理层必需处理媒质传输特点。而数据链路层工作是区分帧头和帧尾，而且以通信需要可靠性把帧从一端传到另一端。好模型应该把它们作为分离层。
⑤ 即使TCP和IP协议被仔细地设计，而且很好地实现了，不过伴随连入Internet网络和主机数量高速增加，IP 地址空间将面临耗尽危险。

3 TCP/IP协议栈安全问题
正是因为TCP/IP协议栈存在很多不安原因，从而造成应用此协议主机轻易被网络黑客攻击，以下我们经过列举不一样网络攻击来叙述TCP/IP协议栈中安全问题。
3.1 ICMP攻击
ICMP用于网络层错误处理和交换控制信息，它本身是没有身份认证，利用这一点能够进行拒绝服务攻击或使路径选择改变[2]。ICMP“超时”消息表明是IP包头中“生存期(TTL)”已经为零，这通常是因为目标主机距离太远或寻径中出现循环路径造成。“目标不可抵达”消息则表明因为某种原因数据包不能抵达目标主机。这两种消息全部能够使主机立即关闭连接。因为ICMP没有身份认证，使得攻击者有可能伪造这两类消息发送给被攻击主机，使通信终止。
“重定向”消息能够用来截取数据包。ICMP“重定向”消息通常是在主机A要将数据包经过失误网关发送到目标地时用到，这时网关会发送“重定向”消息给主机A。假如攻击者伪造一个“重定向”消息发送给主机A，就能使被攻击主机A发送到特定目标主机B数据包路经攻击者主机，使攻击者能够窃听到主机A发送给主机B信息。要注意是，进行这种攻击时，实施攻击主机和被攻击主机必需在同一局域网上。
“回显”消息是ICMP用于判定主机是否连接在网络上，为此，能够向目标主机发送“回显”请求包，假如目标主机接收到了这个包，它会发送ICMP“回显”响应包。命令“ping”就是“回显”消息包一个应用。假如路由器等网络设各不对发送到广播地址ICMP包进行过滤，攻击者能够伪造源地址为受害主机AICMP “回显”广播包，目标网络中主机就会发送大量响应包到主机A，造成主机A所在网络阻塞，甚至网络不可用。
3.2 TCP“SYN”攻击
TCP连接建立是经过“三次握手”完成，“SYN”攻击是利用了“三次握手”机制本身实现。假定连接由主机A提议，主机B(服务器端)许可接收到来自主机A连接请求后(带“SYN”标志包)，会发送一个响应(一样带“SYN”标志)，并等候主机A确实定。这时，主机B上这个连接在侦听队列中，直至收到主机A确实定。这个等候通常最少是75秒，这么使即使是有很大网络延迟连接建立也能够完成。问题是侦听队列长度是有限，在有大量不能完成连接请求时，这个队列会溢出，这时将不能接收和处理后续连接请求。所以，攻击者能够在很短时间内发送大量连接请求，但不响应目标主机发送回来连接确定包，造成目标主机“侦听队列”溢出，不能处理其它网络服务。
此攻击方法在后面章节我们将用试验进行仿真，具体分析其攻击步骤及原理。
3.3 序列号攻击
TCP提供是可靠服务，它采取序列号来确定收到数据。连接双方初始序列号是在连接建立过程中产生，也就是说，是在“三次握手”过程中产生。假如能知道或猜出服务器初始序列号，则无需窃听技术和条件就能够对服务器进行攻击了。
这里有一个问题，假定主机X伪装成主机B，它要和主机A建立连接，当主机A接收到伪装数据包后，它要发送一个带“SYN”和“ACK”标志包到被伪装主机B，而主机B会因为自己不是连接提议者，它会拒绝这个包:发送一个带“RST”标志包到主机A，因为“RST”标志表明重置连接，这么主机A就会放弃这个连接，使攻击失败。所以，要成功地实现这类攻击，主机X能够采取TCP“SYN”攻击来使主机B不能响应网络上传来数据包，也就收不到主机A发送带“SYN”和“ACK”标志连接确定包，使攻击不会终止。当然，假如主机B正处于关机或是离线状态，则攻击就更轻易了。
不难发觉，这种攻击是利用了TCP初始化序列号生成机制方面问题而实施。假如攻击者不能得到序列号信息，攻击将不能成功。
3.4 截取连接
截取连接是IP地址欺骗一个变种，也是IP地址欺骗一个应用。它指是攻击主机（主机X）在主机A和主机B之间连接建立过程中或连接建立后通信过程中将自己插入到连接中，以伪装成任意一方进行通信。这是很危险，因为使用截取连接攻击能够绕过通常口令、Kerberos和一次性口令等身份认证，只要通信不是经过加密和署名，就能够在通信过程中取得连接控制权[3]。
因为截取连接是极其危险，也是攻击者常常使用攻击手段，所以有必需对这一攻击方法作比较深入研究。为此，我们定义:
SVR_SEQ:服务器端将要发送或正在发送首个字节序列号。
SVR_ACK:服务器端要接收下一字节序列号。
SVR_WIND:服务器端接收窗口。
SVR_DATA_LEN:服务器端发送数据包中数据长度。
CLT_SEQ:用户端将要发送或正在发送首个字节序列号。
CLT_ACK:用户端要接收下一字节序列号。
CLT_WIND:用户端接收窗口。
CLT_DATA_LEN:用户端发送数据包中数据长度。
SEG_SEQ:正在传输某个数据包中数据序列号。
SEG_ACK:正在传输某个数据包中确实定序列号。
SEG_FLAG:正在传输某个数据包标志位信息。
SEG_DATA_LEN:正在传输某个数据包中数据长度。
它们在正常情况下满足:
CLT_ACK<=SVR_SEQ<=CLT_ACK+CLT_WIND (滑动窗口内)
SVR_ACK<=CLT_SEQ<=SVR_ACK+SVR_WIND (滑动窗口内)
经典没有重传连接中，从用户端到服务器端包满足：
SEG_SEQ=SVR_ACK
SEG_ACK=CLT_ACK
连接建立前用户端处于关闭(CLOSE)状态，服务器端处于侦听(LISTEN)状态，“三次握手”这时能够表示图3-1,其中CLT_SEQ0为用户端初始序列号，SVR_SEQ0是服务器端初始序列号。

图3-1 TCP连接:三次握手
在连接双方进入“连接建立”状态时，满足：
CLT_SEQ=CLT_SEQ0+1
CLT_ACK=SVR_SEQ0+1
SVR_SEQ=SVR_SEQ0+1
SVR_ACK=CLT_SEQ0+1
关闭连接是利用“FIN”标志或“RST”标志完成。当接收到带“RST”标志数据包时，主机进入关闭状态并释放这个连接所占有资源，这个带“RST”标志包无需确定，全部被释放连接后续包将被丢弃。当接收到带“FIN”标志数据包时，主机进入等候关闭(CLOSE-WAIT)状态，进入关闭连接一系列包交换并最终关闭连接。
在“连接”状态下，当一个数据包中序列号处于接收方滑动窗口范围之内时，它将被接收，如服务器端收到包满足:
SEG_SEQ=CLT_SEQ [SVR_ACK，SVR_ACK+SVR_WIND]
用户端收到包满足:
SEG_SEQ=SVR_SEQ [CLT_ACK，CLT_ACK+CLT_WIND]
不然这个包将被丢弃。
为了能更清楚攻击过程，有必需先了解“被破坏同时状态”，它指是在连接双方处于连接建立(ESTABLISHED)状态，而且没有数据在交换时，有:
SVR_SEQ!=CLT_ACK
CLT_SEQ!=SVR_ACK
这时假如有数据交换，比如用户端发送数据包到服务器端，可能发生两种情况:
① SVR_ACK<CLT_SEQ<=SVR_ACK+SVR_WIND
这个包被服务器端接收，数据被保留，等候序列号更小且在接收窗口内数据到来。
② CLT_SEQ<SVR_ACK或CLT_SEQ>SVR_ACK+SVR_WIND
包将被丢弃。
截取连接攻击关键就是使连接双方进入“被破坏同时状态”，使双方数据交换不能正常进行，然后再伪造双方可接收数据包使连接会话继续进行，从而达成控制连接目标。攻击分两步进行。
1)第一步，破坏TCP连接同时，使连接进入“被破坏同时状态”。这又分为连接建立中攻击和连接建立后攻击。
· 连接建立过程中破坏同时
这指在“三次握手”过程中破坏连接同时，过程以下:
① 攻击者X侦听服务器端发送“SYN”/“ACK”包(PKG)。
② 侦听到服务器端发送“SYN”/“ACK”包后，攻击者立即向服务器端发送一个带“RST”标志包，再立即发送到服务器端用于连接建立包，这个伪造用于连接建立数据包五元组信息(<源IP地址:源端口;目标IP地址:目标端口;协议(TCP)>)和侦听到包PKG中五元组信息相同，只是用户端初始序列号(定义这个伪造序列号为:ATK_SEQ)和PKG中确实定序列号SVR_ACK(=CLT_SEQ+1)完全不一样。
③ 用户端接收到服务器端发送“SYN”/“ACK”包PKG后，进入连接建立状态。服务器端在接收到攻击者X发送“RST”包后会关闭用户端提议连接。因为又立即收到攻击者X连接建立请求，它会在一样端口打开一个新连接，并使用新初始化序列号SVR_SEQ0向用户端发送连接响应包(带“SYN”和“ACK”标志)。
④ 攻击者在侦听到服务器端这个“SYN”/“ACK”包后，伪造发送用户端对此包确实定包。服务器端所以进入连接建立状态。
至此连接双方已进入连接建立状态，不过被破坏了同时连接建立状态。简化表示全过程图3-2。
·连接建立后，通信中破坏同时
连接建立后破坏同时能够使攻击者不受服务器端通常性身份认证制约，因为攻击者能够在身份认证结束以后破坏TCP连接同时状态，获取连接控制权。以攻击者伪装成用户端为例，步骤以下:
① 攻击者X侦听服务器端发送任意数据包。
② 攻击者侦听到服务器端到用户端数据包PKG，取出包中SVR_SEQn和SVR_ACKn，并计算出PKG中数据段长度SVR_DATA_LENn。

图3-2 连接建立过程中破坏同时
③ 攻击者伪造用户端到服务器端数据包PKGn+1，,满足:
SEG_SEQn+1=SVR_ACK
SEG_ACKn+1=SVR_SEQn+SVR_BATA_LENn
SEG_DATA_LENn+1>0
服务器端在接收到数据包PKGn+1,后会进入被破坏同时状态。因为这时有:
CLT_SEQ!=SVR_ACK
关键过程图3-3。

图3-3 通信中破坏同时
2)第二步，控制连接。
这需要伪造通信数据包来完成。假定TCP会话己进入如上被破坏同时状态，这时用户端发送一个数据包满足:
SEG_SEQ=CLT_SEQ
SEQ_ACK=CLT_ACK
因为这时连接双方处于被破坏同时状态，有:
CLT_SEQ<SVR_ACK
所以这个包将被丢弃，攻击者能够将此数据包中SEG_SEQ, SEG_ACK,数据部分内容和校验和修改后发出:
SEG_SEQ=SVR_ACK
SEG_ACK=SVR_SEQ
这么数据包就能被服务器端接收并处理。因为攻击者能够侦听和伪造IP数据包，所以它能够加入或删除通信双方交换数据。依据应用层协议不一样，能够进行不一样类型攻击，造成不一样程度危害。
以下我们讨论多个常见应用层协议安全性。这多个应用层协议全部不一样程度地存在安全问题，即使其中一些问题己有标准给予讨论，但在实现和配置中仍存在大量这些安全问题。这些协议安全问题现有共性，也有特殊性。
用户名和口令是广泛使用身份认证机制，telnet、ftp等协议全部是采取这种认证方法。不幸是，telnet和ftp用户名和口令全部是明文传输，在没有附加安全认证机制情况下，这是很危险。而smtp, http等更是在通常情况下没有身份认证。
这多个协议不仅仅是身份认证存在隐患，还有安全保密问题:它们通信内容是明文传输。这对于不一样协议有不一样危害。窃听者能够经过窃听到包数据内容来取得应用层协议通信内容。
由此可见，没有加密方法作保障，通信内容和用户个人隐私得不到保护。应用层保密问题和TCP/IP保密问题亲密相关，假如在IP层采取了很好、可用保密方法，则通信应用层协议内容将不再是明文传输，应用层协议安全保密压力自然降低很多。反之，因为TCP/IP层没有安全保密方法，所以这些应用层协议有必需使用好安全机制来确保数据保密性。
截取连接攻击能够成功关键是TCP和IP协议本身含有了进行截取连接攻击条件，和应用层协议是内容是不加密。但对于不一样应用层协议，采取这种攻击有不一样效果，危害也不一样。因为攻击者所能做就不仅仅是像窃听这么被动攻击了，而是能够取得连接控制权，发送自己想发送内容，进行主动攻击了。
即使TCP/IP中定义了校验和，TCP还利用序列号机制来确保数据完整性,但这些信息在TCP/IP没有足够安全方法时是很轻易被攻击者改变，而应用层这些协议本身却没有足够完整性验证方法。
所以，攻击者完全能够修改数据包中数据部分内容而不为上层协议所知。以telnet为例，攻击者能够修改服务器返回信息，但并不改变TCP中数据段长度，用户端却仍然将这些信息正常处理，觉察不到已被攻击。假如有信息摘要、数字署名等安全方法作保障，就能够确保数据在传输过程中完整性，当数据被改变(偶然或恶意)时，接收方能觉察到，以进行正确处理(如重传)。
在此强调一下FTP协议安全性，因为ftp有代理功效，其本身是意在支持两个ftp服务器之间文件传输:由ftp用户端主机A发送ftp“PORT”命令到服务器端主机B，指定另一个ftp服务器地址和端口(假定为主机C)，使得在主机B和主机C之间能够传送文件。这里，主机B就充当了代理。
不幸是，利用代理功效，攻击者就能够进行间接攻击，从而隐蔽攻击者真实身份和信息，而且能够对付基于网络地址访问限制。实施这种攻击时，攻击者先建立到代理服务器助连接，利用“PORT”命令指定被攻击主机地址和欲攻击端口，以后再传送指定文件到被攻击主机被攻击端口，而文件内容就是对响应端口服务攻击命令。比如对smtp攻击，攻击者在主机X提议攻击，先在当地创建一个包含smtp命令文件，文件内容能够是传送一封恶意邮件，以后建立到代理服务器主机Bftp连接，将这个文件传输到主机B上，再用“PORT”命令指定被攻击主机C及其端口25，传送这个文件到主机C就实现了对主机C隐藏身份smtp访问和攻击。

4 TCP/IP协议栈安全问题对策
上面讨论安全问题，不仅仅是协议标准制订问题，实际上还关系到协议实现和实际应用中可行性、配置等问题。而在信息对抗中包含到全部是实实在在应用中问题，所以有必需针对应用中存在这些问题采取合适对策
要处理这些安全问题，既能够针对性地加强使用管理，合理配置，也能够利用其它工具和协议来加强安全性，采取入侵检测技术也能很大程度上避免更大损失。但这些全部没有从根本上改变TCP/IP协议栈模式，处理其安全问题。对现在广泛使用TCP和IP来说，很多安全问题是无法根本处理，IPv6是新制订网络层网间网协议，和IPv4相比很大程度上处理了很多安全问题，但要广泛使用仍需一段时间。
4.1 威胁网络安全关键原因
网络处于不安全情况，Internet愈加不安全，威胁网络安全原因大致能够分为以下几类[4]:
1．因特网协议簇本身含有先天不足，是网络不安全最基础根源。
2．系统漏洞广泛传输，据统计，大约平均每千行代码就有一个缺点。
3．黑客攻击活动，黑客攻击活动越来越频繁，从昔日小规模向有组织方向发展。4．攻击工具随手可得。
5．病毒泛滥也是网络不安全很关键原因。
6．基础信息产业严重依靠国外。
4.2 TCP/IP协议栈安全具体对策
以下先讨论协议栈中共同安全问题对策，再讨论特殊问题对策。
4.2.1 认证问题
① TCP/IP
TCP和IP本身没有什么认证机制，TCP连接双方对IP数据报认可来自五元组:<原IP地址；源端口；目标IP地址；目标端口；协议(TCP)>，接收方取出IP数据报中五元组信息，和当地五元组信息比较，匹配正确则表明此数据报来自匹配连接另一方，再依据序列号信息判定包中数据是否可用。这就使得恶意者能够伪造含有正当信息数据报，进行防护地址欺骗，实施攻击。要处理这个问题，就必需在网络层协议IP中引入认证机制，比如实现IPsec(IP Security)。IPSec (Internet 协议安全)是一个工业标准网络安全协议，为 IP 网络通信提供透明安全服务，保护 TCP/IP 通信免遭窃听和篡改，能够有效抵御网络攻击，同时保持易用性。IPSec有两个基础目标：1）保护IP数据包安全；2）为抵御网络攻击提供防护方法。 IPSec结合密码保护服务、安全协议组和动态密钥管理三者来实现上述两个目标。 IPSec基于一个端对端安全模式。这种模式有一个基础前提假设，就是假定数据通信传输媒介是不安全，所以通信数据必需经过加密，而掌握加解密方法只有数据流发送端和接收端，二者各自负责对应数据加解密处理，而网络中其它只负责转发数据路由器或主机无须支持IPSec[5]。该特征有利于用户在下列方案中成功地配置IPSec：
· 局域网：C/S模式，对等模式
· 广域网：路由器对路由器模式，网关对网关模式
· 远程访问：拨号用户机，专网对Internet访问
设计IPsec目标是为IPv4和IPv6提供互操作高质量、基于加密安全性，包含访问控制，数据源身份认证，保密性等等，IPsec中有两个协议:
AH (Authentication Header)和ESP (Encapsulating Security Payload)。其中AH能够用于提供数据发送源认证，而ESP则能够保护除数据报头以外数据安全。
② TELNET和FTP
TELNET和FTP认证方法类似，全部是口令认证，而且用户名和口令传送是明文方法。加强认证可用方法和协议很多，如:OTP (One-Tune-Password), TLS, PGP, Kerberos等等。以使用TLS为例，服务器端(S)应有服务器证书C(S),用户端(C)应有用户端证书C(C)，这两个证书不能同时全部没有。服务器证书中有身份标识ID(S),服务器公钥及公钥算法VerS、CA(签证机关)署名SigCA (ID(S),VerS)等信息，即:
C(S)=(ID(S),VerS,SigCA(ID(S),Vers))
C(C)=(ID(C),Verc,SigCA(ID(C),VerC))
其中CA是公正权威第三方签证机关。假如需要对对方身份进行认证，则可要求对方传送证书，接收方可对证书进行验证，如服务器端对用户端验证应是，在接收到用户端证书C(C)后，利用CA公开验证算法VerCA计算:
VerCA(SigCA(ID(C), VerC))=ID(C), VerC
和C(C)中ID(C), VerC相符，