網路的核心所在 交換機漏洞全面了解

發佈時間：2008.09.26 07:41 來源：賽迪網技術社區 作者：塞北|穀子熟了嗎

交換機市場近年來一直保持著較高的增長勢頭，到2009年市場規模有望達到15.1億美元。交換機在企業網中佔有重要的地位，通常是整個網路的核心所在，這一地位使它成為駭客入侵和病毒肆虐的重點對象，為保障自身網路安全，企業有必要對局域網上的交換機漏洞進行全面了解。以下是利用交換機漏洞的五種攻擊手段。


VLAN跳躍攻擊


虛擬局域網(VLAN)是對廣播域進行分段的方法。VLAN還經常用於為網路提供額外的安全，因為一個VLAN上的電腦無法與沒有明確訪問權的另一個VLAN上的用戶進行對話。不過VLAN本身不足以保護環境的安全，惡意駭客通過VLAN跳躍攻擊，即使未經授權，也可以從一個VLAN跳到另一個VLAN。


VLAN跳躍攻擊


(VLANhopping)依靠的是動態中繼協議(DTP)。如果有兩個相互連接的交換機，DTP就能夠對兩者進行協商，確定它們要不要成為802.1Q中繼，洽商過程是通過檢查端口的配置狀態來完成的。


VLAN跳躍攻擊


充分利用了DTP，在VLAN跳躍攻擊中，駭客可以欺騙電腦，冒充成另一個交換機發送虛假的DTP協商消息，宣佈他想成為中繼;真實的交換機收到這個DTP消息後，以為它應當啟用802.1Q中繼功能，而一旦中繼功能被啟用，通過所有VLAN的資訊流就會發送到駭客的電腦上。


中繼建立起來後，駭客可以繼續探測資訊流，也可以通過給幀添加802.1Q資訊，指定想把攻擊流量發送給哪個VLAN。


生成樹攻擊


生成樹協議(STP)可以防止冗余的交換環境出現回路。要是網路有回路，就會變得擁塞不堪，從而出現廣播風暴，引起MAC表不一致，最終使網路崩潰。


使用STP的所有交換機都通過網橋協議數據單元(BPDU)來共用資訊，BPDU每兩秒就發送一次。交換機發送BPDU時，裏面含有名為網橋ID的標號，這個網橋ID結合了可配置的優先數(默認值是32768)和交換機的基本MAC地址。交換機可以發送並接收這些BPDU，以確定哪個交換機擁有最低的網橋ID，擁有最低網橋ID的那個交換機成為根網橋(rootbridge)。


根網橋好比是小鎮上的社區雜貨店，每個小鎮都需要一家雜貨店，而每個市民也需要確定到達雜貨店的最佳路線。比最佳路線來得長的路線不會被使用，除非主通道出現阻塞。


根網橋的工作方式很相似。其他每個交換機確定返回根網橋的最佳路線，根據成本來進行這種確定，而這種成本基於為帶寬所分配的值。如果其他任何路線發現擺脫阻塞模式不會形成回路(譬如要是主路線出現問題)，它們將被設成阻塞模式。


惡意駭客利用STP的工作方式來發動拒絕服務(DoS)攻擊。如果惡意駭客把一台電腦連接到不止一個交換機，然後發送網橋ID很低的精心設計的BPDU，就可以欺騙交換機，使它以為這是根網橋,這會導致STP重新收斂(reconverge)，從而引起回路，導致網路崩潰。


MAC 表洪水攻擊


交換機的工作方式是:幀在進入交換機時記錄下MAC源地址，這個MAC地址與幀進入的那個端口相關，因此以後通往該MAC地址的資訊流將只通過該端口發送出去。這可以提高帶寬利用率，因為資訊流用不著從所有端口發送出去，而只從需要接收的那些端口發送出去。


MAC地址存儲在內容可尋址記憶體(CAM)裏面，CAM是一個128K大小的保留記憶體，專門用來存儲MAC地址，以便快速查詢。如果惡意駭客向CAM發送大批數據包，就會導致交換機開始向各個地方發送大批資訊流，從而埋下了隱患，甚至會導致交換機在拒絕服務攻擊中崩潰。


ARP攻擊


ARP(AddressResolutionProtocol)欺騙是一種用於會話劫持攻擊中的常見手法。地址解析協議(ARP)利用第2層物理MAC地址來映射第3層邏輯IP地址，如果設備知道了IP地址，但不知道被請求主機的MAC地址，它就會發送ARP請求。ARP請求通常以廣播形式發送，以便所有主機都能收到。


惡意駭客可以發送被欺騙的ARP回復，獲取發往另一個主機的資訊流。假設駭客Jimmy也在網路上，他試圖獲取發送到這個合法用戶的資訊流，駭客Jimmy欺騙ARP響應，聲稱自己是IP地址為10.0.0.55(MAC地址為05-1C-32-00-A1-99)的主人，合法用戶也會用相同的MAC地址進行響應。結果就是，交換機在MAC地表中有了與該MAC表地址相關的兩個端口，發往這個MAC地址的所有幀被同時發送到了合法用戶和駭客Jimmy。


VTP攻擊


VLAN中繼協議(VTP,VLANTrunkProtocol)是一種管理協議，它可以減少交換環境中的配置數量。就VTP而言，交換機可以是VTP伺服器、VTP客戶端或者VTP透明交換機，這裡著重討論VTP伺服器和VTP客戶端。用戶每次對工作于VTP伺服器模式下的交換機進行配置改動時，無論是添加、修改還是移除VLAN，VTP配置版本號都會增加1，VTP客戶端看到配置版本號大於目前的版本號後，就知道與VTP伺服器進行同步。


惡意駭客可以讓VTP為己所用，移除網路上的所有VLAN(除了默認的VLAN外)，這樣他就可以進入其他每個用戶所在的同一個VLAN上。不過，用戶可能仍在不同的網路上，所以惡意駭客就需要改動他的IP地址，才能進入他想要攻擊的主機所在的同一個網路上。


惡意駭客只要連接到交換機，並在自己的電腦和交換機之間建立一條中繼，就可以充分利用VTP。駭客可以發送VTP消息到配置版本號高於當前的VTP伺服器，這會導致所有交換機都與惡意駭客的電腦進行同步，從而把所有非默認的VLAN從VLAN數據庫中移除出去。

盜竊千萬名客戶個人資料 南韓逮捕四嫌

法新社╱F26劉學源 2008-09-08 01:35


南韓警方今天逮捕四名嫌犯，此四人涉嫌盜竊南韓第二大煉油廠「GS CALTEX」高達一千一百萬名客戶的個人資料，本案是南韓歷來最大宗個人資料外洩事件。

南韓警察廳表示，落網的四人包括GS CALTEX旗下子公司的兩名職員，他們被控違反保護網路個人資訊法規罪名。

繼內含GS CALTEX高達一千一百萬名客戶姓名、身分証號碼、電子郵件信箱等資訊的CD和DVD光碟，上週在首爾垃圾堆被人發現後，警方就一直在追緝嫌犯。

調查人員表示，其中一名嫌犯故意洩漏消息給媒體，意圖藉宣傳炒高這批個人資料的市場價值。

個人資料經常被拿來進行線上或離線非法交易，圖謀商業利益。安全專家警告指出，外洩的個人資料也能用於犯罪用途。

外洩的GS CALTEX客戶資料包括政府高層官員、國會議員和政治名流在內。

警方指控任職GS CALTEX客服中心的一名二十八歲男子，涉嫌自公司資料庫盜竊客戶資料，利用CD和DVD 製作六份拷貝。

警方指出，GS CALTEX一名女職員和前述男子的兩名友人，涉嫌於今年七月到八月間協助犯案。

今年稍早前，涉及駭客或商人的類似案件曾震驚南韓全國。

美國網路拍賣巨擘eBAy的南韓關係企業「InternetAuction」的一千零八十萬用戶個人資料，於今年二月遭駭客入侵。南韓行動電話業者「樂金電信」今年五月也發生類似的駭客入侵事件。

基本的IP地址欺騙

基本的IP地址欺騙
Internet協議或IP是根本議定書發送/接收數據通過計算機網絡和互聯網。 與網際網路通訊協定，每包發送或接收包含有關的資料的運作，例如來源地和目的地的數據包。 與IP地址欺騙，信息放置在源字段是不實際的來源，該數據包。 通過使用不同的地址在源領域的數據包，實際發件人可以使像包，被送往由另一台計算機上，從而反應目標計算機將被發送到假地址中指定的數據包-除非攻擊者要重定向的反應，他自己的電腦。

影響IP地址欺騙
IP地址欺騙是非常有益的，特別是在案件拒絕服務（ DoS ）攻擊，如大量的信息被發送到目標計算機或系統沒有肇事者關心的反應，目標系統。 這種類型的攻擊，特別是有效的，因為攻擊數據包，似乎即將從不同的來源，因此，肇事者是難以追查。

黑客使用的IP地址欺騙，經常利用隨機選擇的IP地址從整個頻譜的IP地址空間的同時，一些更先進的黑客僅使用未經註冊的部分IP地址範圍。 IP地址欺騙，但是，是不那麼有效，比使用殭屍網絡為DoS攻擊，因為它可以被監控互聯網當局利用散射技術可以判斷DoS攻擊的基礎上，有多少無效的IP地址使用的攻擊。 不過，它仍然是一個可行的替代辦法，為黑客的攻擊。

IP地址欺騙，也是一個非常有用的工具，在網絡的滲透和克服網絡安全保密措施。 發生這種情況時， IP地址spoofers使用受信任的IP地址，內部網絡，從而規避需要提供一個使用者名稱或密碼登錄到該系統。 這類攻擊通常是基於一組特定的主機控制（如rhosts ）是不安全的配置。

IP地址欺騙的防禦
侵入過濾或包過濾傳入的交通，從體制外的使用技術是一種有效方式，防IP地址欺騙，因為這種技術可以判斷如果數據包是來自內部或外部的制度。 因此，出口過濾也可以阻止假冒IP地址的數據包從退出制度和發動攻擊，對其他網絡。


上層協議，如TCP連接或傳輸控制協議，其中序列號碼是用來建立了一個安全的連接與其他系統也是一個有效的方法，防IP地址欺騙。


關閉源路由（鬆散和嚴格的）對您的網絡路由器也可協助防止黑客利用欺騙的許多功能。 源路由是一個技術的廣泛使用，在過去，以防止一個單一的網絡故障造成的重大網絡故障，但目前的路由協議互聯網上的今天使得這一切，但不必要的。

偽劣品充斥電腦組裝市場：仿冒幾可亂真

北京新浪網 (2008-09-03 11:49)

　　□梁紅舉

　　一些不良廠家越來越猖獗，以前還不敢明目張膽在一級市場銷，產品多半銷往偏遠山區，現在則開始借助一些無良奸商，利用低價冒充行貨銷售，蒙騙消費者，甚至在DIY電腦時用翻新件。

　　近日，在廣州天河崗頂一帶的電腦城可以發現一線品牌三星、LG、索尼等都有不少被仿冒的產品，奸商以低於行貨50元─100元的價格銷售，欺騙消費者。而在競爭激烈的電腦DIY市場，甚至有奸商用翻新的記憶體條、主板等欺騙不太懂行的消費者。

　　仿冒品幾可亂真

　　在廣州天河崗頂附近的幾大電腦城轉一轉會發現，以前，貼牌液晶顯示器基本在一些專營二手電腦的市場出現，消費者也知道它們是貼牌產品，價格比行貨便宜很多。但現在筆者仔細觀察，發現一手產品市場也出現了它們的身影。產品與行貨外觀幾乎沒有區別，只是因為知道是仿冒產品，覺得工藝還是有點毛糙，包裝也一樣，前面LOGO和機後條形碼都有，開機畫面也差不多，偶爾發現螢幕上有1─2個小壞點，奸商則趁機說，就是因為有個別壞點才可以低價銷售，不由得你不信這些都是行貨。

　　冒牌OEM謊稱代組裝

　　筆者輾轉聯繫到幾家專門生產液晶顯示器的『OEM廠商』，假扮在湛江、茂名有多家檔口，專門經營電腦DIY和液晶顯示器。××電子的一位業務經理稱，他們是液晶顯示器代加工定點生產廠家，『三星、LG我們都做，你要什麼型號，我們都可以幫你代工。』他給出19英寸寬屏液晶顯示器的價格約為850元(不包括外包裝)。

　　『這個價格不算便宜，崗頂的幾大電腦城都有我們的客戶。』筆者再與××公司一名自稱總經理的人士聯繫，『我們的外殼都是三星、LG等廠家的，屏也是他們的，就連包裝，也都是他們生產的，只是產品由我們組裝，批發價格比他們便宜200元。』筆者發現在他提供的包裝盒上，三星液晶顯示器的生產地依然貼著『中國天津』，而不是這家位於番禺的工廠。

　　隨後，筆者詢問了三星、LG、索尼中國公司的相關負責人，他們均表示，其液晶顯示器從來沒有委托廣州的任何一家廠代工。『如果是廣州代工的，肯定是假冒偽劣產品。』

　　一行內人士透露，這些假冒行貨的產品一般用臺灣屏，也有的用國產屏，有些甚至用翻新屏，工藝比行貨的要差，包裝盒是自己盜版的。『這些所謂的OEM廠家現在越來越猖獗，以前還不敢明目張膽在一級市場銷，產品多半銷往偏遠山區，現在則開始借助一些無良奸商，慢慢利用低價冒充行貨銷售，蒙騙消費者。』

　　DIY產品用上翻新件

　　在電腦城甚至還有一些不良商家在DIY電腦時用翻新件。在一家DIY電腦的檔口，筆者發現一款酷睿2的遊戲娛樂電腦，即使是集成顯卡的，一般報價也在2000元左右，可就有商家給出的價格不到1400元。

　　『你去買吧，肯定有不少翻新件。硬盤、主板、記憶體、顯卡都得注意。』有商家好意提醒。但低價確實吸引不少消費者。

　　在那家低價DIY電腦的檔口，店員按照消費者確認的DIY配件，拿回一大堆產品，他們裝機的速度很快，能看到各種配件都是在包裝盒里拿出來，但仔細觀察，還是發現記憶體條有翻新的痕跡，而且主板的型號也與消費者指定的型號差一個字母，將昂達945GCA換成了昂達945GCS，價格相差了50元。

　　筆者找到熟悉的一位裝機行家，他說，這在低價DIY產品中已經是一個不公開的秘密，『如果被客戶發現了，就謊稱拿錯了，然後推薦利潤高的產品！』他告誡DIY的消費者，買硬體時，首先注意不要買雜牌貨，這點最重要。而在裝機前，一定要記清楚準備購買的顯示卡、主板等硬體的具體型號，並檢查清楚產品包裝是否完整，是否有翻新痕跡，然後才讓他們幫你安裝。

　　火眼金睛識別翻新件(相關資料)

　　李利

　　買液晶顯示器最好到品牌專賣店購買，不要輕易相信一些小商家。假冒偽劣液晶顯示器的邊框與行貨還是有一定的區別，工藝、拋光處理還是可以看得出來，特別是要試機，看螢幕色彩是否鮮艷、是否有亮點和壞點。因為對於翻新機來說，外殼的翻新比較簡單，只有螢幕的亮點和壞點無法還原。

　　硬盤可以檢查螺絲，如果有動過，肯定是翻新產品。另外，仔細看硬盤背面，假如看到日期後有『R』字母，這個字母標注的意思就是硬盤返修的日期，而不是硬盤生產日期。

　　對於顯卡主板等板卡類配件來說，首先看電路塊上有沒有被塗抹的痕跡,有的話很可能是返修過的。然後看背後的焊點，假如有新焊的痕跡或焊點焊得和周邊的不一樣，明顯粗糙，則基本可以斷定是翻修過的，也要仔細看一下板上的元器件。

　　CPU和記憶體要注意別買到打磨的，盡量到正規的代理商手裡買。如果還不放心，可以準備一些軟件，比如everest這種硬體監測工具，裝機後就可以檢測實用記錄，看出廠日期是否太早，如果太早，或許有問題，另外看有沒有被重新寫過BIOS，如果重新寫過，肯定是翻新產品。