網絡攻擊攻擊類型多種多樣，相關技術也層出不窮，藍隊云整理了一些常見的網絡攻擊分享給大家。以便針對性進行識別和防御。

一、端口掃描

端口掃描的目的是找出目標系統上提供的服務列表。端口掃描程序挨個嘗試與 TCP/UDP端口連接，然后根據端口與服務的對應關系，結合服務器端的反應推斷目標系統上是否運行了某項服務，攻擊者通過這些服務可能獲得關于目標系統的進一步的知識或通往目標系統的途徑。根據端口掃描利用的技術，掃描可以分成多種類型，下面分別敘述。

1、完全連接掃描

完全連接掃描利用 TCP/IP 協議的三次握手連接機制，使源主機和目的主機的某個端口建立一次完整的連接。如果建立成功，則表明該端口開放。否則，表明該端口關閉。

2、半連接掃描

半連接掃描是指在源主機和目的主機的三次握手連接過程中，只完成前兩次握手，不建立一次完整的連接。

3、SYN 掃描

首先向目標主機發送連接請求，當目標主機返回響應后，立即切斷連接過程，并查看響應情況。如果目標主機返回 ACK 信息，表示目標主機的該端口開放。如果目標主機返回 RESET信息，表示該端口沒有開放。

4、ID 頭信息掃描

這種掃描方法需要用一臺第三方機器配合掃描，并且這臺機器的網絡通信量要非常少，即dumb主機（啞主機）。

首先由源主機A向dumb主機B發出連續的 PING 數據包，并且查看主機B返回的數據包ID頭信息。一般而言，每個順序數據包的ID頭的值會增加 1。然后由源主機A假冒主機B的地址向目的主機C的任意端口 (1 ~65535) 發送 SYN 數據包。這時，主機C向主機B發送的數據包有兩種可能的結果：

? SYNIACK 表示該端口處于監聽狀態。

? RSTIACK 表示該端口處于非監聽狀態。

那么，由后續 PING 數據包的響應信息的 ID 頭信息可以看出，如果主機C的某個端口是開放的，則主機B返回A的數據包中，ID 頭的值不是遞增 1, 而是大于1。如果主機C的某個端口是非開放的，則主機B返回A的數據包中， ID 頭的值遞增 1, 非常規律。

5、 隱蔽掃描

隱蔽掃描是指能夠成功地繞過 IDS 、防火墻和監視系統等安全機制，取得目標主機端口信息的一種掃描方式。

6、SYN|ACK 掃描

由源主機向目標主機的某個端口直接發送 SYN|ACK 數據包，而不是先發送 SYN 數據包。由于這種方法不發送 SYN 數據包，目標主機會認為這是一次錯誤的連接，從而會報錯。

如果目標主機的該端口沒有開放，則會返回 RST 信息。如果目標主機的該端口處于開放狀態 (LISTENING) ，則不會返回任何信息，而是直接將這個數據包拋棄掉。

7、FIN 掃描

源主機A向目標主機B發送 FIN 數據包，然后查看反饋信息。如果端口返回 RESET 信息，則說明該端口關閉。如果端口沒有返回任何信息，則說明該端口開放。

8、ACK 掃描

首先由主機A向目標主機B發送 FIN 數據包，然后查看反饋數據包的 TTL 值和 WIN 值。開放端口所返回的數據包的 TTL 值一般小于 64, 而關閉端口的返回值一般大于64 。開放端口所返回的數據包的 WIN 般大于 0, 而關閉端口的返回值一般等于0。

9、NULL 掃描

將源主機發送的數據包中的 ACK FIN RST SYN URG PSH 等標志位全部置空。如果目標主機沒有返回任何信息，則表明該端口是開放的。如果返回 RST 信息，則表明該端口是關閉的。

10、XMAS 掃描

XMAS 掃描的原理和 NULL 掃描相同，只是將要發送的數據包中的 ACK、FIN、RST、SYN、URG、PSH 等頭標志位全部置成 。如果目標主機沒有返回任何信息，則表明該端口是開放的。如果返回 RST 信息，則表明該端口是關閉的。

二、口令破解

對于大部分人和系統來說，口令機制是資源訪問控制的第一道屏障，也是最后一道屏障。所以網絡攻擊者常常以破解用戶的弱口令為突破口，獲取系統的訪問權限。口令破解的主要工作流程如下：

1、建立與目標網絡服務的網絡連接；

2、選取一個用戶列表文件及字典文件；

3、在用戶列表文件及字典文件中，選取一組用戶和口令，按網絡服務協議規定，將用戶名及口令發送給目標網絡服務端口；

4、檢測遠程服務返回信息，確定口令嘗試是否成功；

5、如未成功，再取另一組用戶和口令，重復循環試驗，直至口令用戶列表文件及字典文件選取完畢。

三、緩沖區溢出

緩沖區溢出攻擊是攻擊者通過程序向緩沖區寫入超長的、預設的內容，導致緩沖區溢出，覆蓋其它正常的程序或數據，然后讓計算機去運行預設的程序，達到執行非法操作、實現攻擊目的。

四、惡意代碼

惡意代碼是指為達到惡意目的而專門設計的程序或代碼，旨在破壞計算機或網絡系統的可靠性、可用性、安全性和數據完整性或者損耗系統資源的惡意程序。常見的惡意代碼類型有計算機病毒、網絡蠕蟲、特洛伊木馬、后門、邏輯炸彈、僵尸網絡等。

五、拒絕服務

拒絕服務攻擊是指攻擊者利用系統的缺陷，執行一些惡意的操作消耗系統資源，使得目標系統用戶不能及時得到應得的服務或系統資源。

典型的攻擊服務有以下幾種：

1、同步包風暴 (SYN Flood)

攻擊者假造源網址 (Source IP) 發送多個同步數據包 (Syn Packet) 給服務器 (Server),服務器因無法收到確認數據包 (Ack Packet) ，使 TCP/IP 協議的三次握手 (Three-Way Hand-Shacking) 無法順利完成，因而無法建立連接。其原理是發送大量半連接狀態的服務請求，使Unix 等服務主機無法處理正常的連接請求，因而影響正常運作。

2、UDP 洪水 (UDP Flood)

攻擊主機利用簡單的 TCP/IP 服務，對目標主機發送海量的UDP報文，消耗完目標主機的網絡帶寬。

3、Smurf 攻擊

攻擊者偽裝目標主機向局域網的廣播地址發送大量欺騙性的ICMP請求，這些包被放大并發送至被欺騙的地址，大量的計算機向一臺計算機回應ECHO包，導致目標系統網絡阻塞。

4、垃圾郵件

攻擊者利用郵件系統制造垃圾信息，通過專門的郵件炸彈 (mail bomb) 程序給受害用戶的信箱發送垃圾信息，耗盡用戶信箱的磁盤空間。

5、消耗 CPU 和內存資源的拒絕服務攻擊

利用目標系統的計算算法漏洞，構造惡意輸入數據集，導致目標系統的 CPU 或內存資源耗盡，從而使目標系統癱瘓。

6、死亡之 ping (ping of death)

早期，路由器對包的最大尺寸都有限制，許多操作系統在實現 TCP/IP 堆棧時，規定 ICMP包小于等于64KB, 并且在對包的標題頭進行讀取之后，要根據該標題頭中包含的信息為有效載荷生成緩沖區。當產生畸形的、尺寸超過 ICMP 上限的包，即加載的尺寸超過 64KB 上限時，就會出現內存分配錯誤，導致 TCP/IP 堆棧崩潰，使接收方死機。

7、 淚滴攻擊 (Teardrop Attack)

淚滴攻擊暴露出 IP 數據包分解與重組的弱點 IP 數據包在網絡中傳輸時，會被分解成許多不同的片傳送，并借由偏移量字段 (Offset Field) 作為重組的依據。淚滴攻擊通過加入過多或不必要的偏移量字段，使計算機系統重組錯亂，產生不可預期的后果。

8、分布式拒絕服務攻擊 (Distributed Denial of Service Attack)

分布式拒絕服務攻擊是指植入后門程序從遠程遙控攻擊，攻擊者從多個已入侵的跳板主機控制數個代理攻擊主機，所以攻擊者可同時對已控制的代理攻擊主機激活干擾命令，對受害主機大量攻擊。

六、網絡釣魚

網絡釣魚 (Phishing)是一種通過假冒可信方（知名銀行、在線零售商和信用卡公司等可信的品牌）提供網上服務，以欺騙手段獲取敏感個人信息（如口令、信用卡詳細信息等）的攻擊方式。目前，網絡釣魚綜合利用社會工程攻擊技巧和現代多種網絡攻擊手段，以達到欺騙意圖。網絡釣魚者利用欺騙性的電子郵件和偽造的網站來進行詐騙活動，誘騙訪問者提供一些個人信息，如信用卡號、賬戶和口令、社保編號等內容，以謀求不正當利益。

七、網絡竊聽

網絡竊聽是指利用網絡通信技術缺陷，使得攻擊者能夠獲取到其他人的網絡通信信息。常見的網絡竊聽技術手段主要有網絡嗅探、中間人攻擊。網絡攻擊者將主機網絡接口的方式設成“雜亂”模式，就可以接收整個網絡上的信息包，從而可以獲取敏感的口令，甚至將其重組，還原為用戶傳遞的文件。

八、SQL 注入

在Web 服務中，一般采用三層架構模式：瀏覽器＋Web 服務器＋數據庫。其中， Web 腳本程序負責處理來自瀏覽器端提交的信息，如用戶登錄名和密碼、查詢請求等。但是，由于 Web腳本程序的編程漏洞，對來自瀏覽器端的信息缺少輸入安全合法性檢查，網絡攻擊者利用這種類型的漏洞 SQL 命令插入 Web 表單的輸入域或頁面的請求查找字符串，欺騙服務器執行惡意的 SQL 命令。

九、社交工程

網絡攻擊者通過一系列的社交活動，獲取需要的信息。例如偽造系統管理員的身份，給特定的用戶發電子郵件騙取他的密碼口令。有的攻擊者會給用戶送免費程序，不過該程序除了完成用戶所需的功能外，還隱藏了一個將用戶的計算機信息發送給攻擊者的功能。

十、電子監聽

網絡攻擊者采用電子設備遠距離地監視電磁波的傳送過程。靈敏的無線電接收裝置能夠在遠處看到計算機操作者輸入的字符或屏幕顯示的內容。

十一、會話劫持

會話劫持是指攻擊者在初始授權之后建立一個連接，在會話劫持以后，攻擊者具有合法用戶的特權權限

十二、漏洞掃描

漏洞掃描是一種自動檢測遠程或本地主機安全漏洞的軟件，通過漏洞掃描器可以自動發現系統的安全漏洞。常見的漏洞掃描技術有CGI 漏洞掃描、弱口令掃描、操作系統漏洞掃描、數據庫漏洞掃描等。

十三、代理技術

網絡攻擊者通過免費代理服務器進行攻擊，其目的是以代理服務器為“攻擊跳板”，即使攻擊目標的網絡管理員發現了，也難以追蹤到網絡攻擊者的真實身份或 IP 地址。為了增加追蹤的難度，網絡攻擊者還會用多級代理服務器或者“跳板主機”來攻擊目標。代理服務器被叫作“肉雞”，黑客常利用所控制的機器進行攻擊活動，例如 DDoS 攻擊。

十四、數據加密

網絡攻擊者常常采用數據加密技術來逃避網絡安全管理人員的追蹤。加密使網絡攻擊者的數據得到有效保護，即使網絡安全管理人員得到這些加密的數據，沒有密鑰也無法讀懂，這樣就實現了攻擊者的自身保護。攻擊者的安全原則是，任何與攻擊有關的內容都必須加密或者立刻銷毀。

藍隊云是成立15年的云計算及網絡安全服務商，擁有專業網絡安全服務團隊，豐富的網絡安全服務經驗。藍隊云自2015年以來多次為國際及國家會議、省級權威賽事提供技術服務，是國家互聯網應急中心（CNCERT）第九屆網絡安全應急服務支撐單位，在2021年被聘選為聯合國《生物多樣性公約》第十五次締約方大會（COP15）網絡安全保衛組特聘技術支撐單位，2022年獲頒由云南省委網信辦、國家計算機網絡應急技術處理協調中心云南分中心遴選的第一屆云南省網絡安全應急技術服務支撐單位。藍隊云能夠為政府、企業等客戶提供定制化的網絡安全服務，服務范圍涵蓋風險評估、滲透測試、安全運維、應急響應、代碼審計、攻防演練、等保合規、密評改造等，需要的朋友可以和藍隊云聯系。