毕业设计-网络攻击常见方法及对策计算机专业论文.doc

网络攻击常见方法及对策论文

一 引言
随着互联网的发展，在计算机网络安全领域里，存在一些非法用户利用各种手段和系统的漏洞攻击计算机网络。网络中的安全漏洞无处不在，即便旧的安全漏洞补丁，新的安全漏洞又将不断涌现。网络攻击正是利用这些存在的漏洞和安全缺陷对系统和资源进行攻击，网络攻击是造成网络不安全的主要原因。单纯掌握攻击技术或者单纯掌握防御技术都不能适应网络安全技术的发展。攻击网络的方法千变万化，也越来越高明。攻击者不仅利用自己的电脑，还能利用internet中那些安全性较差的电脑，对其他的网络进行攻击。在网络攻击中，往往是多种攻击方法一起使用。如果使用计算机网络，就避免不了受到攻击未来的竞争是信息竞争，而网络信息是竞争的重要组成部分。其实质是人与人的对抗，它具体体现在安全策略与攻击策略的交锋上。为了不断增强信息系统的安全防御能力，必须充分理解系统内核及网络协议的实现，真正做到洞察对方网络系统的“细枝末节”，同时应该熟知针对各种攻击手段的预防措施，只有这样才能尽最大可能保证网络的安全。
二 常见的网络攻击以及防御
网络攻击是指网络攻击者利用目前网络通信协议（TCP/IP等）自身存在的或因配置不当而产生的安全漏洞,用户使用的操作系统内在缺陷或者用户使用的程序本身所具有的安全隐患等,通过使用网络命令,或者从internet上下载专用的软件(例如,SATAN等网络扫描软件),或者攻击者自己编写的软件,非法进入本地或远程用户主机系统,获取\修改\删除用户系统的信息以及在用户系统上增加垃圾\色情或者有害信息等一系列过程的总称.
随着现代科技的发展，世界再没有秘密。黑客攻击早在主机终端时代就已经出现，随着Internet的发展，黑客则从以系统为主攻击转变到以网络为主的攻击。网络攻击和网络安全保护是一对矛与盾的关系，我们只有掌握了黑客攻击的常用手段，才能最终保护网络安全。
网络攻击常见的攻击手段主要有以下几种：
（1）获取口令
获取口令的方式有3种方法。
1．缺省的登录界面攻击法：在被攻击主机上启动一个可执行程序，该程序显示一个伪造的登录界面。当用户在这个伪装的界面上键入登录信息（用户名和密码等）后，程序将用户输入的信息传送到攻击者主机，然后关闭界面给出提示信息“系统故障”，要求用户重新登录。此后，才出现真正的登录界面。
2．通过网络监听非法得到用户口令：这类方法有一定的局限性，但危害性极大，监听者往往能够获得其所在网段的所有用户的帐号和口令，对局域网安全威胁巨大。
3．利用软件强行破解用户口令：在知道用户的帐号后（如电子邮件“@”前面的部分），利用一些专门软件强行破解用户口令，这种方法不受网段限制，但黑客要有足够的耐性和时间。对安全系数较高的口令破解往往需要很长时间，但对那些口令安全系数极底的用户只要短短的一两分钟，甚至几十秒就可以将其破解
我们可以采取以下一些步骤来消除口令漏洞，预防口令攻击。
第一步:删除所有没有口令的帐号或为没有口令的用户加上一个口令。特别是系统内置或是缺省账号。
第二步:制定管理制度，规范增加帐号的操作，及时移走不再使用的帐号。经常检查确认有没有增加新的帐号，不使用的帐号是否已被删除。当雇员或承包人离开公司时，或当帐号不再需要时，应有严格的制度保证删除这些帐号。
第三步:加强所有的弱口令，并且设置为不易猜测的口令，为了保证口令的强壮性，我们可以利用Unix系统保证口令强壮性的功能或是采用一些专门的程序来拒绝任何不符合你安全策略的口令。这样就保证了修改的口令长度和组成使得破解非常困难。如采用一首诗的部分诗句中第一或第二个字母，加上一些数字来组成口令，还可以在口令中加入一些特殊符号将使口令更难破解。
第四步:使用口令控制程序，以保证口令经常更改，而且旧口令不可重用。
　第五步:对所有的帐号运行口令破解工具，以寻找弱口令或没有口令的帐号。(在你这么做之前，先确定你有权利这么做，你是管理员)
　另一个避免没有口令或弱口令的方法是采用认证手段，例如采用RSA认证令牌。每分钟变一次，相信没有人可以在没有令牌的情况下进入你的FTP服务器。
（2）拒绝服务攻击
拒绝服务的攻击是指一个用户占据了大量的共享资源，是系统没有剩余的资源给其他用户可用的攻击。它主要用来攻击域名服务器、路由器以及其他网络服务，使被攻击者无法提供正常的服务。这是一类危害极大的攻击方式，严重的可以使一个网络瘫痪。常见的有服务过载、信息流、信号接地。
拒绝服务器攻击的防御：
1． 在网络上设立过滤器或侦测器，在信息到达网站服务器之前阻挡信息。防火墙和路由器是目前阻挡拒绝服务攻击的常用设备，通过设计访问策略，配置好这些设备的安全规则，过滤掉所有可能的伪造数据包，能够对拒绝服务攻击起到一定的防范作用。
2． 及早发现系统存在的攻击漏洞，及时安装系统补丁程序。建立和完善备份机制，对一些特权账号（如管理员账号）的密码设置要谨慎。把攻击者的可乘之机降低到最小。
3． 禁止不必要的网络服务，经常检测系统配制信息并注意查看每天的安全日志。
4． 与网络服务提供商协调工作，让网络服务提供商帮助实现路由的访问控制并对带宽总量进行限制。
5． 当正在遭受DoS攻击时，应当启用应对策略，及时尽可能快地追踪攻击包，分析受影响的系统，确定涉及的其他节点，阻挡已知攻击节点的流量。
6． 发现系统中存在DoS攻击的工具软件要及时清除,以免留下后患。
要彻底杜绝拒绝服务攻击,只有追根溯源去找到正在进行攻击的机器和攻击者.因为攻击者一旦停止了攻击行为,很难将其发现,只能在其进行攻击的时候,根据路由器的信息和攻击数据包的特征,采用一级一级回溯的方法来查找其攻击源头.这就需要各级部门的协同 配合,甚至是不同组织\不同国家的合作才能很好地完成,这几乎是不可能实现的。
（3）寻找系统漏洞
许多系统都有这样那样的安全漏洞，其中某些是操作系统或应用软件本身具有的，如Sendmail漏洞， Windows 98中的共享目录密码验证和IE5漏洞等，这些漏洞在补丁未被开发出来之前一般很难防御黑客的破坏，除非你不上网。还有就是有些程序员设计一些功能复杂的程序时，一般采用模块化的程序设计思想，将整个项目分割为多个功能模块，分别进行设计、调试，这时的后门就是一个模块的秘密入口。在程序开发阶段，后门便于测试、更改和增强模块功能。正常情况下，完成设计之后需要去掉各个模块的后门，不过有时由于疏忽或者其他原因后门没有去掉，一些别有用心的人会利用专门的扫描工具发现并利用这些后门，然后进入系统并发动攻击。另外，还有一些是管理员错误引起的，如在网络文件系统中，将目录和文件以可写的方式调出。
如缓冲区溢出是一个非常普遍、非常危险的漏洞，在各种操作系统、应用软件中广泛存在。其原理是，向一个有限的空间的缓冲区拷贝了过长的字符串，它带来两种后果：一是过长的字符串覆盖了相邻的存储单元，引起程序运行失败，严重的可引起死机、系统重起等后果；二是利用这种漏洞可以执行任意的命令，甚至可以取得系统特权。由此引发了许多的攻击方法。
缓冲区溢出对系统带来了巨大的危害，要有效地防止这种攻击，应该做到以下几点：
·程序指针完整性检查：在程序指针被引用之前检测它是否改变。即便一个攻击者成功地改变了程序的指针，由于系统事先检测到了指针的改变，因此这个指针将不会被使用。
　·堆栈保护：这是一种提供程序指针完整性检查的编译器技术，通过检查函数活动纪录中的返回地址来实现。在堆栈中函数返回地址后面加了一些附加的字节，而在函数返回时，首先检查这个附加的字节是否被改动过。如果发生过缓冲区溢出的攻击，那么这种攻击很容易在函数返回前被检测到。但是，如果攻击者预见到这些附加字节的存在，并且能在溢出过程中同样地制造他们，那么他就能成功地跳过堆栈保护的检测。
·数组边界检查：所有的对数组的读写操作都应当被检查以确保对数组的操作在正确的范围内最直接的方法是检查所有的数组操作，通常可以采用一些优化的技术来减少检查的次数。目前主要有以下的几种检查方法：Compaq C编译器、Jones & Kelly C数组边界检查、Purify存储器存取检查等。
（4）扫描
许多网络入侵是从扫描开始的。利用扫描工具能找出目标主机上各种各样的漏洞来，有些漏洞尽管早已公布于众，但在一些系统中任然存在，于是给了外部入侵以可乘之机。常用的短小而实用的端口扫描工具是一种获取主机信息的和方法。在UNIX系统中，使用端口扫描程序不需要超级用户权限，任何用户都可以使用。而且简单的端口扫描程序非常容易写，掌握了初步的SOCKET编程知识，便可以轻而易举地编写出能够在UNIX和Windonws NT下运行的端口扫描程序。黑客们常常用扫描工具找出系统漏洞或者是主机信息，然后展开攻击。
防范端口扫描的方法有两个：
1． 关闭闲置和有潜在危险的端口
这个方法有些“死板”，GxT}P}`pe]国zfrF-sBQzz的它的本质是——将所有用户需要用到的正常计算机端口外的其他端口都关闭掉。因为就黑客而言，所有的端口都可能成为攻击的目标。换句话说“计算机的所有对外通讯的端口都存在潜在的危险”，GV网网ma网g育专e*cVN而一些系统必要的通讯端口，g@OTB'.K的AT网JN垠n如访问网页需要的HTTP（80端口）；QQ（4000端口）等不能被关闭 在Windows NT核心系统（Windows 2000/XP/ 2003）中要关闭掉一些闲置端口是比较方便的，可以采用“定向关闭指定服务的端口”和“只开放允许端口的方式”。计算机的一些网络服务会有系统分配默认的端口，+B+FqXlJ育HwU将一些闲置的服务关闭掉，其对应的端口也会被关闭了（如图2）。进入“控制面板”、“管理工具”、“服务”项内，关闭掉计算机的一些没有使用的服务（如FTP服务、DNS服务、IIS Admin服务等等），它们对应的端口也被停用了。至于“只开放允许端口的方式”， 无1MO"ksqTW@.Kd5育可以利用系统的“TCP/IP筛选”功能实现，设置的时候，“只允许”系统的一些基本网络通讯需要的端口即可。
2． 检查各端口，有端口扫描的症状时，立即屏蔽该端口
这种预防端口扫描的方式显然用户自己手工是不可能完成的，或者说完成起来相当困难，需要借助软件。这些软件就是我们常用的网络防火墙。防火墙的工作原理是：首先检查每个到达你的电脑的数据包， ^^$%`;s&4教!提m的管Qr``hr{提2FO.=4在这个包被你机上运行的任何软件看到之前，防火墙有完全的否决权，可以禁止你的电脑接收Internet上的任何东西。当第一个请求建立连接的包被你的电脑回应后，一个“TCP/IP端口”被打开；端口扫描时，对方计算机不断和本地计算机建立连接，并逐渐打开各个服务所对应的“TCP/IP端口”及闲置端口，防火墙经过自带的拦截规则判断，$T+{I网iTW网5就能够知道对方是否正进行端口扫描，并拦截掉对方发送过来的所有扫描需要的数据包。
现在市面上几乎所有网络防火墙都能够抵御端口扫描，在默认安装后，应该检查一些防火墙所拦截的端口扫描规则是否被选中，否则它会放行端口扫描，而只是在日志中留下信息而已。

（5）网络监听
网络监听工具是提供给管理员的一类管理工具。使用这种工具，可以监视网络的状态、数据流动情况以及网络传输的信息。但是网络监听工具也是黑客们常用的工具。当信息以明文的形式在网络传输时，便可以使用网络监听的方式来进行攻击。将网络接口设置在监听模式，便可以源源不断地将网上传输的信息截获。网络监听可以在网上的任何一个位置实施，如局域网中的一台主机、网关上或远程网的调制解调器之间等。网络监听最有用的获得用户口令，当口令被截获时，就可以非常容易地登录另一台主机。
一旦网络被监听,可能导致敏感信息被截获,将会给网络带来很大的安全问题,常用的网络监听的防范方法如下:1要确保以太网的整体安全性,因为网络监听行为要想发生,一个最重要的前提条件就是以太网内部的一台有漏洞的主机被攻破,只有利用被攻破的主机,才能进行网络监听,去收集以太网内敏感的数据信息2对网络中传输的数据进行加密,以密文传输也是一个很好的办法,入侵者即使抓取到了传输的数据信息,意义也不大。3使用交换机目前也是一个应用比较多是方式,这在很大程度上解决了网络监听的问题.4对安全性要求比较高的公司可以考虑 kerberos,kerberos是一种为网络通信提供可信第三方服务的面向开放系统的认证机制,它提供了一种强加密机制,使客户端和服务器即使在非安全的网络连接环境中也能确认彼此的身份,而且在双方通过身份认证后,后续的所有通信也是被加密的。
（6）特洛伊木马攻击
特洛伊木马程序技术是黑客常用的攻击手段。它通过在你的计算机系统隐藏一个会在Windows启动时运行的程序，采用服务器/客户机的运行方式，从而达到在上网时控制你计算机的目的。黑客利用它窃取你的口令、浏览你的驱动器、修改你的文件、登陆注册表等，如流传极广的冰河木马。
特洛伊木马具有隐蔽性和非授权性的特点。所谓隐蔽性是指特洛伊木马程序采用了多种隐藏手段，一旦被植入到对方计算机内部就很难察觉。而非授权性指的是控制端与服务器连接后，控制端就享有服务器端的修改文件及注册表、控制鼠标和键盘等权限，不过这些权限是窃取来的。当前，对计算机和网络安全威胁最大的是病毒和特洛伊木马程序，而制造一个特洛伊木马程序，也就是更换常用的一些系统程序和命令，是非常容易的，更有入侵者故意设置一些陷阱，一获取更大的特权。
特洛伊木马防御原理

知道了木马的攻击原理和隐身方法，我们就可以采取措施进行防御了。

1.端口扫描

端口扫描是检查远程机器有无木马的最好办法, 端口扫描的原理非常简单, 扫描程序尝试连接某个端口, 如果成功, 则说明端口开放,如果失败或超过某个特定的时间(超时), 则说明端口关闭。但对于驱动程序/动态链接木马, 扫描端口是不起作用的。
2.查看连接
查看连接和端口扫描的原理基本相同，不过是在本地机上通过netstat -a（或某个第三方程序）查看所有的TCP/UDP连接，查看连接要比端口扫描快，但同样是无法查出驱动程序/动态链接木马,而且仅仅能在本地使用。
3.检查注册表
上面在讨论木马的启动方式时已经提到，木马可以通过注册表启动（好像现在大部分的木马都是通过注册表启动的，至少也把注册表作为一个自我保护的方式），那么，我们同样可以通过检查注册表来发现冰河在注册表里留下的痕迹。
4.查找文件
查找木马特定的文件也是一个常用的方法，木马的一个特征文件是kernl32.exe,另一个是sysexlpr.exe，只要删除了这两个文件,木马就已经不起作用了。如果你只是删除了sysexlpr.exe而没有做扫尾工作的话,可能会遇到一些麻烦-就是你的文本文件打不开了, sysexplr.exe是和文本文件关联的,你还必须把文本文件跟notepad关联上。
另外，对于驱动程序/动态链接库木马，有一种方法可以试试，使用Windows的"系统文件检查器"通过"开始菜单"-"程序"-"附件"-"系统工具"-"系统信息"-"工具"可以运行"系统文件检查器", 用“系统文件检查器”可检测操作系统文件的完整性，如果这些文件损坏，检查器可以将其还原，检查器还可以从安装盘中解压缩已压缩的文件（如驱动程序）。如果你的驱动程序或动态链接库在你没有升级它们的情况下被改动了,就有可能是木马(或者损坏了),提取改动过的文件可以保证你的系统安全和稳定。
（7）病毒攻击
病毒是一些程序，常常修改同一计算机中的另一些程序，将自己复制进其他程序代码中。病毒也会修改其他程序的执行流程，并将自己复制到受感染的程序中。有时，一个很小的病毒可以在计算机系统上造成极大的破坏，当他们被传播到网络环境中去时，危险性就更大。现在流行的很多病毒都带有黑客性质，如影响面极广的Nimda、“求职信”、 “红色代码II”和“熊猫烧香病毒”等。
攻击者可以佯称自己为管理员，将这些病毒通过电子邮件的方式发送给你。下面就以熊猫病毒为例：
在2007年新年出现的“PE_FUJACKS”就是最近让广大互联网用户闻之色变的“熊猫烧香”。这个版本的病毒已经集成了PE_FUJACK和QQ大盗的代码，通过网络共享,文件感染和移动存储设备传播，尤其是感染网页文件，并在网页文件写入自动更新的代码，一旦浏览该网页，就会感染更新后的变种。
不幸中招的用户都知道，“熊猫烧香”会占用局域网带宽，使得电脑变得缓慢，计算机会出现以下症状：熊猫烧香病毒会在网络共享文件夹中生成一个名为GameSetup.exe的病毒文件；结束某些应用程序以及防毒软件的进程，导致应用程序异常，或不能正常执行，或速度变慢；硬盘分区或者U盘不能访问使用；exe程序无法使用程序图标变成熊猫烧香图标；硬盘的根目录出现setup.exeauturun.INF文件；同时浏览器会莫名其妙地开启或关闭。
该病毒主要通过浏览恶意网站、网络共享、文件感染和移动存储设备(如U盘)等途径感染，其中网络共享和文件感染的风险系数较高，而通过Web和移动存储感染的风险相对较低。该病毒会自行启动安装，生成注册列表和病毒文件%System%\drivers\spoclsv.exe，并在所有磁盘跟目录下生成病毒文件setup.exe,autorun.inf。
熊猫烧香有很多变种，其原理和和以前的PE_Looked一样。
可以采用以下方法进行防御和解除：
1、下载sysclean工具：

2、下载病毒特征码压缩包：

3、将下载的病毒特征码压缩包解压缩得到病毒特征码文件lpt$vpn.xxx(其中xxx是三位数字)
4、将sysclean工具和病毒特征码文件放在同一个文件夹下
5、重启进入安全模式
6、运行sysclean工具，对系统进行全盘扫描
7、重启回到正常模式，检查病毒是否已被清除。
最后，还提醒大家，养成以下良好习惯，以防熊猫烧香的入侵：
1 建立良好的安全习惯，不要打开可疑邮件和访问可疑网站
2 平时上网的时候一定要打开ocse的实时监控功能。
3 经常升级安全补丁。建议用户应该定期到微软网站去下载最新的安全补丁，切实做好防范工作。
4 在打开一个陌生文件时，请用最新病毒库的杀毒软件进行扫描。
5 请经常更新病毒库，防止病毒的侵入。
6 关闭网络共享，如果必须共享，请设置复杂密码。
7 使用U盘等移动存储设备请一定要做好防范措施

（8）Web欺骗
这是一种在Internet上使用的针对WWW的攻击技术，这种攻击方法会泄露
某人的隐私或破坏数据的完整性，危及到使用Web浏览器的用户。Web站点的广泛使用，诱惑着网上的欺诈行为。这种欺诈行为是由于铺天盖地的信息，而又无法让人们辨认其真假。类似的例子是张贴在街头的小广告，仅凭看到的一些信息，是无法分辨哪些是真，哪些是假。而Web上这种欺诈就更加容易了。
黑客攻击时，先编写一些看起来“合法”的程序，上传到一些FTP站点或是提供给某些个人主页，诱导用户下载。当一个用户下载软件时，黑客软件一起下载到用户的机器上。该软件会跟踪用户计算机操作，它静静的记录着用户输入的每个口令，然后把它们发送给黑客指定的Internet 信箱。例如，有人发送给用户电子邮件，声称为“确定我们的用户需要”而进行搜索作为对填写表格的回报，允许用户免费使用多少小时。但是，该程序实际上却是搜集用户的口令，并把它们发送给某个远方的“黑客”。
Web欺骗的预防解决
逃离灾难
　　受攻击者可以自觉与不自觉地离开攻击者的错误Web页面。这里有若干种方法。访问Bookmark或使用浏览器中提供的“Open location”进入其他Web页面，离开攻击者所设下的陷阱。不过，如果用户使用“Back”按键，则会重新进入原先的错误Web页面。当然，如果用户将所访问的错误Web存入Bookmark，那么下次可能会直接进入攻击者所设下的陷阱。
　关于追踪攻击者
　　 有人建议应当通过跟踪来发现并处罚攻击者。确实如此攻击者如果想进行Web欺骗的话，那么离不开Web服务器的帮助。但是，他们利用的Web服务器很可能是被攻击后的产物，就象罪犯驾驶着盗窃来的汽车去作案一样。
　　 预防办法
Web欺骗是当今Internet上具有相当危险性而不易被察觉的欺骗手法。幸运的是，我们可以采取的一些保护办法。
短期的解决方案
　　 为了取得短期的效果，最好从下面三方面来预防：
1.禁止浏览器中的JavaScript功能，那么各类改写信息将原形毕露；
2.确保浏览器的连接状态是可见的，它将给你提供当前位置的各类信息；
3.时刻注意你所点击的URL链接会在位置状态行中得到正确的显示。
　　 现在，JavaScript、ActiveX以及Java提供越来越丰富和强大的功能，而是越来越为黑客们进行攻击活动提供了强大的手段。为了保证安全，建议用户考虑禁止这些功能。
　　 这样做，用户将损失一些功能，但是与可能带来的后果比较起来，每个人会得出自己的结论。
　　 长期的解决方案
　　1.改变浏览器，使之具有反映真实URL信息的功能，而不会被蒙蔽；
　　2.对于通过安全连接建立的Web——浏览器对话，浏览器还应该告诉用户谁在另一端，而不只是表明一种安全连接的状态。比如：在建立了安全连接后，给出一个提示信息“NetscapeInc.”等等。
　　 所有的解决方案，可以根据用户的安全要求和实际条件来加以选择
。
（9）IP欺骗
IP电子欺骗，就是通过伪造源于一个可信任IP地址的数据包以使一台机器认证另一台机器的复杂技术，其实质就是让一台机器来扮演另一台机器，借以蒙混过关。欺骗的形式多种多样，从随机扫描到利用系统已知的一些漏洞。电子欺骗攻击通常发生于一台主机被确信在安全性方面存在漏洞之后。此时入侵者已经作好了实施一次IP电子欺骗的准备，攻击者知道目标网络存在漏洞并且知道该具体攻击哪一台主机。如果黑客入侵成功，他可以控制整个WEB站点，在网络管理人员不知情下，随心所欲的为所欲为。一般情况下，黑客在取得IP电子欺骗成功以后，往往会做：
1获得较高授权。
在入侵成功Web站点重新登记注册（往往以假名方式），并给予较高授权，使得入侵者可以在下次“合法”的进入该Web站点。
2设置“后门”程序。
在入侵成功Web站点留下“后门”程序，入侵在以后进入该Web站点可以避开检验认证程序的检查。
IP欺骗的防止
防止的要点在于，这种攻击的关键是相对粗糙的初始序列号变量在Berkeley系统中的改变速度。TCP协议需要这个变量每秒要增加25000次。Berkeley 使用的是相对比较慢的速度。但是，最重要的是，是改变间隔，而不是速度。
我们考虑一下一个计数器工作在250000Hz时是否有帮助。我们先忽略其他发生的连接，仅仅考虑这个计数器以固定的频率改变。
为了知道当前的序列号，发送一个SYN包，收到一个回复:

　　X---S: SYN(ISN X )
　　S---X: SYN(ISN S ) ,ACK(ISN X ) (1)

　　第一个欺骗包，它触发下一个序列号，能立即跟随服务器对这个包的反应:

　　X---S: SYN(ISN X ) ,SRC = T (2)

　　序列号ISN S用于回应了:

　　S---T: SYN(ISN S ) ,ACK(ISN X )

　　是由第一个消息和服务器接收的消息唯一决定。这个号码是X和S的往返精确的时间。这样，如果欺骗能精确地测量和产生这个时间，即使是一个4-U时钟都不能击退这次攻击。

抛弃基于地址的信任策略
阻止这类攻击的一种非常容易的办法就是放弃以地址为基础的验证。不允许r*类远程调用命令的使用;删除.rhosts 文件;清空/etc/hosts.equiv 文件。这将迫使所有用户使用其它远程通信手段，如telnet、ssh、skey等等。
进行包过滤
如果您的网络是通过路由器接入Internet 的，那么可以利用您的路由器来进行包过滤。确信只有您的内部LAN可以使用信任关系，而内部LAN上的主机对于LAN以外的主机要慎重处理。您的路由器可以帮助您过滤掉所有来自于外部而希望与内部建立连接的请求。
使用加密方法
阻止IP欺骗的另一种明显的方法是在通信时要求加密传输和验证。当有多种手段并存时，可能加密方法最为适用。
使用随机化的初始序列号
黑客攻击得以成功实现的一个很重要的因素就是，序列号不是随机选择的或者随机增加的。Bellovin 描述了一种弥补TCP不足的方法，就是分割序列号空间。每一个连接将有自己独立的序列号空间。序列号将仍然按照以前的方式增加，但是在这些序列号空间中没有明显的关系
可以通过下列公式来说明:
ISN =M+F(localhost，localport ，remotehost ，remoteport )

M:4微秒定时器

F:加密HASH函数
。
F产生的序列号，对于外部来说是不应该能够被计算出或者被猜测出的。Bellovin 建议F是一个结合连接标识符和特殊矢量(随机数，基于启动时间的密码)的HASH函数 。
三 家庭用户攻击的防御
3.1 ADSL的用户攻击的防御
目前，使用ADSL的用户越来越多，由于ADSL用户在线时间长、速度快，因此成为黑客们的攻击目标。ADSL用户除了注意上面提到的一些防御外，ADSL用户还应该注意以下几个安全保护自己网络的方法。
　　一、取消文件夹隐藏共享
在默认状态下，Windows 2000/XP会开启所有分区的隐藏共享，从"控制面板/管理工具/计算机管理"窗口下选择"系统工具/共享文件夹/共享"，就可以看到硬盘上的每个分区名后面都加了一个"$"。但是只要键入"计算机名或者IPC$"，系统就会询问用户名和密码，遗憾的是，大多数个人用户系统Administrator的密码都为空，入侵者可以轻易看到C盘的内容，这就给网络安全带来了极大的隐患。
怎么来消除默认共享呢？方法很简单，打开注册表编辑器，进入"HKEY_LOCAL_MACHINESYSTEMCurrentControlSetSevices
Lanmanworkstationparameters"，新建一个名为"AutoShareWKs"的双字节值，并将其值设为"0"，然后重新启动电脑，这样共享就取消了。
二、拒绝恶意代码
一般恶意网页都是因为加入了用编写的恶意代码才有破坏力的。这些恶意代码就相当于一些小程序，只要打开该网页就会被运行。所以要避免恶意网页的攻击只要禁止这些恶意代码的运行就可以了。
运行IE浏览器，点击"工具/Internet选项/安全/自定义级别"，将安全级别定义为"安全级-高"，对"ActiveX控件和插件"中第2、3项设置为"禁用"，其它项设置为"提示"，之后点击"确定"。这样设置后，当你使用IE浏览网页时，就能有效避免恶意网页中恶意代码的攻击。
三、封死黑客的"后门"
1.删掉不必要的协议
对于服务器和主机来说，一般只安装TCP/IP协议就够了。鼠标右击"网络邻居"，选择"属性"，再鼠标右击"本地连接"，选择"属性"，卸载不必要的协议。其中NETBIOS是很多安全缺陷的根源，对于不需要提供文件和打印共享的主机，还可以将绑定在TCP/IP协议的NETBIOS关闭，避免针对NETBIOS的攻击。选择"TCP/IP协议/属性/高级"，进入"高级TCP/IP设置"对话框，选择"WINS"标签，勾选"禁用TCP/IP上的NETBIOS"一项，关闭NETBIOS。
2.关闭"文件和打印共享"
文件和打印共享应该是一个非常有用的功能，但在不需要它的时候，也是黑客入侵的很好的安全漏洞。所以在没有必要"文件和打印共享"的情况下，我们可以将它关闭。用鼠标右击"网络邻居"，选择"属性"，然后单击"文件和打印共享"按钮，将弹出的"文件和打印共享"对话框中的两个复选框中的钩去掉即可。
虽然"文件和打印共享"关闭了，但是还不能确保安全，还要修改注册表，禁止它人更改"文件和打印共享"。打开注册表编辑器，选择"HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesNetWork"主键，在该主键下新建DWORD类型的键值，键值名为"NoFileSharingControl"，键值设为"1"表示禁止这项功能，从而达到禁止更改"文件和打印共享"的目的；键值为"0"表示允许这项功能。这样在"网络邻居"的"属性"对话框中"文件和打印共享"就不复存在了。
3.把Guest账号禁用
打开控制面板，双击"用户和密码"，单击"高级"选项卡，再单击"高级"按钮，弹出本地用户和组窗口。在Guest账号上面点击右键，选择属性，在"常规"页中选中"账户已停用"。另外，将Administrator账号改名可以防止黑客知道自己的管理员账号，这会在很大程度上保证计算机安全。
4.禁止建立空连接
在默认的情况下，任何用户都可以通过空连接连上服务器，枚举账号并猜测密码。因此，我们必须禁止建立空连接。方法有以下两种：
方法一是修改注册表：打开注册表"HKEY_LOCAL_MACHINESystemCurrentControlSetControlLSA"，将DWORD值"RestrictAnonymous"的键值改为"1"即可。
最后建议大家给自己的系统打上补丁，微软那些没完没了的补丁还是很有用的！
四、隐藏IP地址
隐藏IP地址的主要方法是使用代理服务器。
与直接连接到Internet相比，使用代理服务器能保护上网用户的IP地址，从而保障上网安全。代理服务器的原理是在客户机（用户上网的计算机）和远程服务器（如用户想访问远端WWW服务器）之间架设一个"中转站"，当客户机向远程服务器提出服务要求后，代理服务器首先截取用户的请求，然后代理服务器将服务请求转交远程服务器，从而实现客户机和远程服务器之间的联系。很显然，使用代理服务器后，其它用户只能探测到代理服务器的IP地址而不是用户的IP地址，这就实现了隐藏用户IP地址的目的，保障了用户上网安全。提供免费代理服务器的网站有很多，你也可以自己用代理猎手等工具来查找。　
五、更换管理员帐户
Administrator帐户拥有最高的系统权限，黑客入侵的常用手段之一就是试图获得Administrator帐户的密码，所以我们要重新配置Administrator帐号。
首先是为Administrator帐户设置一个强大复杂的密码，然后我们重命名Administrator帐户，再创建一个没有管理员权限的Administrator帐户欺骗入侵者。这样一来，入侵者就很难搞清哪个帐户真正拥有管理员权限，也就在一定程度上减少了危险性。
六、杜绝Guest帐户的入侵
禁用或彻底删除Guest帐户是最好的办法，但在某些必须使用到Guest帐户的情况下，就需要通过其它途径来做好防御工作了。首先要给Guest设一个强壮的密码，然后详细设置Guest帐户对物理路径的访问权限。举例来说，如果你要防止Guest用户可以访问tool文件夹，可以右击该文件夹，在弹出菜单中选择"安全"标签，从中可看到可以访问此文件夹的所有用户。删除管理员之外的所有用户即可。或者在权限中为相应的用户设定权限，比方说只能"列出文件夹目录"和"读取"等，这样就安全多了。

七、安装必要的安全软件

　　我们还应在电脑中安装并使用必要的防黑软件，杀毒软件和防火墙都是必备的。在上网时打开它们，这样即便有黑客进攻我们的安全也是有保证的。

　3.2 QQ攻击的防御　　　　

Q也是通过互联网传播信息的，所以它也必须遵循网络的数据包传输方式，既然如此，它的信息包文件也必定包括了本机的网络信息，如此一来，通过QQ就可以获得对方的详细IP地址，腾讯开发的自动显示对方IP的“IP版QQ”就是使用频率较高的。如图1所示，这就是一个“IP版QQ”所显示的信息，它不仅可以有限显示对方的IP地址；还可以追加出对方所在的地域位置。黑客通过QQ侦测到对方的详细IP地址；端口号后，再利用这些信息实施进一步的攻击。如利用黑客软件攻击或者堵塞掉xxx.xxx.xxx.xxx主机地址上的xxxx QQ端口，使QQ无法上线，或者消息不能发送等等。
　　提示：黑客们一般通过观察对方QQ所使用的端口号来判断对方是否在主机上使用QQ。因为QQ默认使用的端口号为“4000”，如果是4001、4002等端口，说明是在主机上同时使用几个QQ，如果对方QQ的端口号离“4000”较远，说明对方可能是通过这台电脑代理服务器上网。
　　知道了由QQ泄漏网络信息产生攻击的道理，就可以对症下药了。这同样是“IP版QQ”所显示出来的信息，但它丝毫没有泄漏对方的网络信息，这是怎么回事呢？这正HTTP代理上网后的效果。
　　如何在QQ里，启用HTTP代理呢？单击QQ软件主界面下面的“系统菜单”按钮(软件最下面，灰色有“QQ2000”字样的按钮)，选择［系统参数］→［QQ参数设置］→［网络设置］项，勾选“有效HTTP1.1代理设置”，然后输入代理服务器地址、端口，以及其他一些相关信息就可以了。
使用HTTP代理可以有效地防止QQ泄漏本机的网络信息，且HTTP的代理服务器网上也有很多免费提供。如果你实在找不到合适代理服务器，可以直接使用腾讯公司提供的HTTP代理服务器。不过腾讯的代理服务器只提供给会员使用。
除了有效的代理手段，还可以使用网络防火墙防止QQ外泄本机信息。网络防火墙的“网络规则”相关设置里都可以限制本机发送的IP包头，防止QQ的发送的信息把本机的IP外漏。但使用网络防火墙的同时会给QQ带来副作用。例如：使用防火墙做出了针对QQ的设置后，很可能会导致QQ消息无法发送；无法登录QQ等情况。
对QQ自身的信息攻击
“坏人”可以采取“信息炸弹”的形式来攻击QQ。所谓“信息炸弹”，就是利用QQ的及时通讯形式，发送上万条的信息，如此以来，不但影响了正常的信息收发，信息发送量过大的情况下还会使QQ掉线。最棘手的是，普通的网络防火墙会认为这是正常的QQ消息，不会将其拦截。
QQ消息“炸弹”之所以普遍存在主要是由于QQ本身的网络协议以及软件的设计存在着漏洞，QQ主要采用UDP协议进行数据传输（一种面向非连接的协议），虽然它的通信效果比较好，但可靠性却不如TCP协议，只适用于一次传输少量的数据，或对数据可靠性要求不高的环境。大家用QQ聊天时，发送的都是点对点的消息包，即聊天消息都是直接从自己这里发送到QQ好友那里的（只有当好友不在线，或者对方网络不通时，聊天消息才保存在腾讯的服务器上）。UDP协议的不可靠性，使得伪造UDP数据包并不是一件困难的事，再加上点对点的传输方式让普通用户的真实IP地址很容易暴露在攻击者的面前，所以消息“炸弹”就能通过伪造的消息包，轻松地针对IP地址进行攻击，炸你没商量！QQ消息“炸弹”类的攻击软件非常多，具有代表性的有“飘叶千夫指”，QQsend以及早期的QQjoke等，这些攻击软件的使用都比较简单，运行后先填上受害者的电脑IP地址和端口号，然后再填上欲发送的消息内容以及发送次数，就可以向对方的QQ发送垃圾消息了，下面我们以经典的“飘叶千夫指”为例进行介绍。　　

“飘叶千夫指”，炸你没商量 　　
　“飘叶千夫指”中自带了十条待发送的消息，攻击者也可以点击“编辑”按键自行添加