绿盟笔试题（附答案）

第一部分 SYN Flood的基本原理 

SYN Flood是当前最流行的DoS（拒绝服务攻击）与DDoS（分布式拒绝服务攻击）的方式之一，这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，从而使得被攻击方资源耗尽（CPU满负荷或内存不足）的攻击方式。 
要明白这种攻击的基本原理，还是要从TCP连接建立的过程开始说起： 
大家都知道，TCP与UDP不同，它是基于连接的，也就是说：为了在服务端和客户端之间传送TCP数据，必须先建立一个虚拟电路，也就是TCP连接，建立TCP连接的标准过程是这样的： 
首先，请求端（客户端）发送一个包含SYN标志的TCP报文，SYN即同步（Synchronize），同步报文会指明客户端使用的端口以及TCP连接的初始序号； 
第二步，服务器在收到客户端的SYN报文后，将返回一个SYN+ACK的报文，表示客户端的请求被接受，同时TCP序号被加一，ACK即确认（Acknowledgement）。 
第三步，客户端也返回一个确认报文ACK给服务器端，同样TCP序列号被加一，到此一个TCP连接完成。 
以上的连接过程在TCP协议中被称为三次握手（Three-way Handshake）。 

问题就出在TCP连接的三次握手中，假设一个用户向服务器发送了SYN报文后突然死机或掉线，那么服务器在发出SYN+ACK应答报文后是无法收到客户端的ACK报文的（第三次握手无法完成），这种情况下服务器端一般会重试（再次发送SYN+ACK给客户端）并等待一段时间后丢弃这个未完成的连接，这段时间的长度我们称为SYN Timeout，一般来说这个时间是分钟的数量级（大约为30秒-2分钟）；一个用户出现异常导致服务器的一个线程等待1分钟并不是什么很大的问题，但如果有一个恶意的攻击者大量模拟这种情况，服务器端将为了维护一个非常大的半连接列表而消耗非常多的资源----数以万计的半连接，即使是简单的保存并遍历也会消耗非常多的CPU时间和内存，何况还要不断对这个列表中的IP进行SYN+ACK的重试。实际上如果服务器的TCP/IP栈不够强大，最后的结果往往是堆栈溢出崩溃---即使服务器端的系统足够强大，服务器端也将忙于处理攻击者伪造的TCP连接请求而无暇理睬客户的正常请求（毕竟客户端的正常请求比率非常之小），此时从正常客户的角度看来，服务器失去响应，这种情况我们称作：服务器端受到了SYN Flood攻击（SYN洪水攻击）。 

从防御角度来说，有几种简单的解决方法，第一种是缩短SYN Timeout时间，由于SYN Flood攻击的效果取决于服务器上保持的SYN半连接数，这个值=SYN攻击的频度 x SYN Timeout，所以通过缩短从接收到SYN报文到确定这个报文无效并丢弃改连接的时间，例如设置为20秒以下（过低的SYN Timeout设置可能会影响客户的正常访问），可以成倍的降低服务器的负荷。 

第二种方法是设置SYN Cookie，就是给每一个请求连接的IP地址分配一个Cookie，如果短时间内连续受到某个IP的重复SYN报文，就认定是受到了攻击，以后从这个IP地址来的包会被一概丢弃。 

可是上述的两种方法只能对付比较原始的SYN Flood攻击，缩短SYN Timeout时间仅在对方攻击频度不高的情况下生效，SYN Cookie更依赖于对方使用真实的IP地址，如果攻击者以数万/秒的速度发送SYN报文，同时利用SOCK_RAW随机改写IP报文中的源地址，以上的方法将毫无用武之地。 

第二部份 SYN Flooder源码解读 

下面我们来分析SYN Flooder的程序实现。 
首先，我们来看一下TCP报文的格式： 

0   1   2   3   4   5   6 

0 2 4 6 8 0 2 4 6 8 0 2 4 6 8 0 2 4 6 8 0 2 4 6 8 0 2 4 6 8 0 2 4 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

| ＩＰ首部 | ＴＣＰ首部 | ＴＣＰ数据段　　 | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

图一 TCP报文结构 
如上图所示，一个TCP报文由三个部分构成：20字节的IP首部、20字节的TCP首部与不定长的数据段，（实际操作时可能会有可选的IP选项，这种情况下TCP首部向后顺延）由于我们只是发送一个SYN信号，并不传递任何数据，所以TCP数据段为空。TCP首部的数据结构为： 
0   1   2   3  

0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

|   十六位源端口号 |   十六位目标端口号 | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

| 三十二位序列号   | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

| 三十二位确认号   | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

| 四位 |   |U|A|P|R|S|F|   | 

| 首部 |六位保留位 |R|C|S|S|Y|I|   十六位窗口大小 | 

| 长度 |   |G|K|H|T|N|N|   | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

|   十六位校验和 |   十六位紧急指针 | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

| 选项（若有）   | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

| 数据（若有）   | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

图二 TCP首部结构 

根据TCP报文格式，我们定义一个结构TCP_HEADER用来存放TCP首部： 

typedef struct _tcphdr  

{ 

USHORT th_sport;   //16位源端口 

USHORT th_dport;   //16位目的端口 

unsigned int th_seq;   //32位序列号 

unsigned int th_ack;   //32位确认号 

unsigned char th_lenres; //4位首部长度+6位保留字中的4位 

unsigned char th_flag; //2位保留字+6位标志位 

USHORT th_win;   //16位窗口大小 

USHORT th_sum;   //16位校验和 

USHORT th_urp;   //16位紧急数据偏移量 

}TCP_HEADER; 

通过以正确的数据填充这个结构并将TCP_HEADER.th_flag赋值为2（二进制的00000010）我们能制造一个SYN的TCP报文，通过大量发送这个报文可以实现SYN Flood的效果。但是为了进行IP欺骗从而隐藏自己，也为了躲避服务器的SYN Cookie检查，还需要直接对IP首部进行操作： 
0   1   2   3  
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

| 版本 | 长度 | 八位服务类型 |   十六位总长度 | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

|   十六位标识 | 标志|   十三位片偏移　　 | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

| 八位生存时间 |   八位协议 |   十六位首部校验和 | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

| 三十二位源ＩＰ地址   　　| 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

|   三十二位目的ＩＰ地址 | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

| 选项（若有）   | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

| 　　数据　　   | 

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ 

图三 IP首部结构 

同样定义一个IP_HEADER来存放IP首部 

typedef struct _iphdr 

{ 

unsigned char h_verlen; //4位首部长度+4位IP版本号 

unsigned char tos;   //8位服务类型TOS 

unsigned short total_len; //16位总长度（字节） 

unsigned short ident; //16位标识 

unsigned short frag_and_flags; //3位标志位 

unsigned char ttl; //8位生存时间 TTL 

unsigned char proto;   //8位协议号(TCP, UDP 或其他) 

unsigned short checksum; //16位IP首部校验和 

unsigned int sourceIP; //32位源IP地址 

unsigned int destIP;   //32位目的IP地址 

}IP_HEADER; 

然后通过SockRaw=WSASocket(AF_INET,SOCK_RAW,IPPROTO_RAW,NULL,0,WSA_FLAG_OVERLAPPED)); 

建立一个原始套接口，由于我们的IP源地址是伪造的，所以不能指望系统帮我们计算IP校验和，我们得在在setsockopt中设置IP_HDRINCL告诉系统自己填充IP首部并自己计算校验和： 

flag=TRUE; 

setsockopt(SockRaw,IPPROTO_IP,IP_HDRINCL,(char *)&flag,sizeof(int)); 

IP校验和的计算方法是：首先将IP首部的校验和字段设为0（IP_HEADER.checksum=0）,然后计算整个IP首部（包括选项）的二进制反码的和，一个标准的校验和函数如下所示： 

USHORT checksum(USHORT *buffer, int size) 

{ 

unsigned long cksum=0; 

while(size >1) { 

cksum+=*buffer++; 

size -=sizeof(USHORT); 

} 

if(size ) cksum += *(UCHAR*)buffer; 

cksum = (cksum >> 16) + (cksum & 0xffff); 

cksum += (cksum >>16); 

return (USHORT)(~cksum); 

} 

这个函数并没有经过任何的优化，由于校验和函数是TCP/IP协议中被调用最多函数之一，所以一般说来，在实现TCP/IP栈时，会根据操作系统对校验和函数进行优化。 

TCP首部检验和与IP首部校验和的计算方法相同，在程序中使用同一个函数来计算。 

需要注意的是，由于TCP首部中不包含源地址与目标地址等信息，为了保证TCP校验的有效性，在进行TCP校验和的计算时，需要增加一个TCP伪首部的校验和，定义如下： 

struct  

{ 

unsigned long saddr;   //源地址 

unsigned long daddr;   //目的地址 

char mbz; //置空 

char ptcl;   //协议类型 

unsigned short tcpl;   //TCP长度 

}psd_header; 

然后我们将这两个字段复制到同一个缓冲区SendBuf中并计算TCP校验和： 

memcpy(SendBuf,&psd_header,sizeof(psd_header));  

memcpy(SendBuf+sizeof(psd_header),&tcp_header,sizeof(tcp_header)); 

tcp_header.th_sum=checksum((USHORT *)SendBuf,sizeof(psd_header)+sizeof(tcp_header)); 

计算IP校验和的时候不需要包括TCP伪首部： 

memcpy(SendBuf,&ip_header,sizeof(ip_header)); 

memcpy(SendBuf+sizeof(ip_header),&tcp_header,sizeof(tcp_header)); 

ip_header.checksum=checksum((USHORT *)SendBuf, sizeof(ip_header)+sizeof(tcp_header)); 

再将计算过校验和的IP首部与TCP首部复制到同一个缓冲区中就可以直接发送了： 

memcpy(SendBuf,&ip_header,sizeof(ip_header)); 

sendto(SockRaw,SendBuf,datasize,0,(struct sockaddr*) &DestAddr,sizeof(DestAddr)); 



因为整个TCP报文中的所有部分都是我们自己写入的（操作系统不会做任何干涉），所以我们可以在IP首部中放置随机的源IP地址，如果伪造的源IP地址确实有人使用，他在接收到服务器的SYN+ACK报文后会发送一个RST报文（标志位为00000100），通知服务器端不需要等待一个无效的连接，可是如果这个伪造IP并没有绑定在任何的主机上，不会有任何设备去通知主机该连接是无效的（这正是TCP协议的缺陷），主机将不断重试直到SYN Timeout时间后才能丢弃这个无效的半连接。所以当攻击者使用主机分布很稀疏的IP地址段进行伪装IP的SYN Flood攻击时，服务器主机承受的负荷会相当的高，根据测试，一台PIII 550MHz+128MB+100Mbps的机器使用经过初步优化的SYN Flooder程序可以以16,000包/秒的速度发送TCP SYN报文，这样的攻击力已经足以拖垮大部分WEB服务器了。 

稍微动动脑筋我们就会发现，想对SYN Flooder程序进行优化是很简单的，从程序构架来看，攻击时循环内的代码主要是进行校验和计算与缓冲区的填充，一般的思路是提高校验和计算的速度，我甚至见过用汇编代码编写的校验和函数，实际上，有另外一个变通的方法可以轻松实现优化而又不需要高深的编程技巧和数学知识，（老实说吧，我数学比较差:P），我们仔细研究了两个不同源地址的TCP SYN报文后发现，两个报文的大部分字段相同（比如目的地址、协议等等），只有源地址和校验和不同（如果为了隐蔽，源端口也可以有变化，但是并不影响我们算法优化的思路），如果我们事先计算好大量的源地址与校验和的对应关系表（如果其他的字段有变化也可以加入这个表），等计算完毕了攻击程序就只需要单纯的组合缓冲区并发送（用指针来直接操作缓冲区的特定位置，从事先计算好的对应关系表中读出数据，替换缓冲区相应字段），这种简单的工作完全取决于系统发送IP包的速度，与程序的效率没有任何关系，这样，即使是CPU主频较低的主机也能快速的发送大量TCP SYN攻击包。如果考虑到缓冲区拼接的时间，甚至可以定义一个很大的缓冲区数组，填充完毕后再发送（雏鹰给这种方法想了一个很贴切的比喻：火箭炮装弹虽然很慢，但是一旦炮弹上膛了以后就可以连续猛烈地发射了:）。 

第三部分 SYN Flood攻击的监测与防御初探 

对于SYN Flood攻击，目前尚没有很好的监测和防御方法，不过如果系统管理员熟悉攻击方法和系统架构，通过一系列的设定，也能从一定程度上降低被攻击系统的负荷，减轻负面的影响。（这正是我撰写本文的主要目的） 

一般来说，如果一个系统（或主机）负荷突然升高甚至失去响应，使用Netstat 命令能看到大量SYN_RCVD的半连接（数量>500或占总连接数的10%以上），可以认定，这个系统（或主机）遭到了SYN Flood攻击。 

遭到SYN Flood攻击后，首先要做的是取证，通过Netstat –n –p tcp >resault.txt记录目前所有TCP连接状态是必要的，如果有嗅探器，或者TcpDump之类的工具，记录TCP SYN报文的所有细节也有助于以后追查和防御，需要记录的字段有：源地址、IP首部中的标识、TCP首部中的序列号、TTL值等，这些信息虽然很可能是攻击者伪造的，但是用来分析攻击者的心理状态和攻击程序也不无帮助。特别是TTL值，如果大量的攻击包似乎来自不同的IP但是TTL值却相同，我们往往能推断出攻击者与我们之间的路由器距离，至少也可以通过过滤特定TTL值的报文降低被攻击系统的负荷（在这种情况下TTL值与攻击报文不同的用户就可以恢复正常访问） 

前面曾经提到可以通过缩短SYN Timeout时间和设置SYN Cookie来进行SYN攻击保护，对于Win2000系统，还可以通过修改注册表降低SYN Flood的危害，在注册表中作如下改动： 

首先，打开regedit，找到HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters 

增加一个SynAttackProtect的键值，类型为REG_DWORD，取值范围是0-2，这个值决定了系统受到SYN攻击时采取的保护措施，包括减少系统SYN+ACK的重试的次数等，默认值是0（没有任何保护措施），推荐设置是2； 

增加一个TcpMaxHalfOpen的键值，类型为REG_DWORD，取值范围是100-0xFFFF，这个值是系统允许同时打开的半连接，默认情况下WIN2K PRO和SERVER是100，ADVANCED SERVER是500，这个值很难确定，取决于服务器TCP负荷的状况和可能受到的攻击强度，具体的值需要经过试验才能决定。 

增加一个TcpMaxHalfOpenRetried的键值，类型为REG_DWORD，取值范围是80-0xFFFF，默认情况下WIN2K PRO和SERVER是80，ADVANCED SERVER是400，这个值决定了在什么情况下系统会打开SYN攻击保护。 



我们来分析一下Win2000的SYN攻击保护机制：正常情况下，Win2K对TCP连接的三次握手有一个常规的设置，包括SYN Timeout时间、SYN-ACK的重试次数和SYN报文从路由器到系统再到Winsock的延时等，这个常规设置是针对系统性能进行优化的（安全和性能往往相互矛盾）所以可以给用户提供方便快捷的服务；一旦服务器受到攻击，SYN半连接的数量超过TcpMaxHalfOpenRetried的设置，系统会认为自己受到了SYN Flood攻击，此时设置在SynAttackProtect键值中的选项开始作用，SYN Timeout时间被减短，SYN-ACK的重试次数减少，系统也会自动对缓冲区中的报文进行延时，避免对TCP/IP堆栈造成过大的冲击，力图将攻击危害减到最低；如果攻击强度不断增大，超过了TcpMaxHalfOpen值，此时系统已经不能提供正常的服务了，更重要的是保证系统不会崩溃，所以系统将会丢弃任何超出TcpMaxHalfOpen值范围的SYN报文（应该是使用随机丢包策略），保证系统的稳定性。 

所以，对于需要进行SYN攻击保护的系统，我们可以测试/预测一下访问峰值时期的半连接打开量，以其作为参考设定TcpMaxHalfOpenRetried的值（保留一定的余量），然后再以TcpMaxHalfOpenRetried的1.25倍作为TcpMaxHalfOpen值，这样可以最大限度地发挥WIN2K自身的SYN攻击保护机制。 

通过设置注册表防御SYN Flood攻击，采用的是“挨打”的策略，无论系统如何强大，始终不能光靠挨打支撑下去，除了挨打之外，“退让”也是一种比较有效的方法。 

退让策略是基于SYN Flood攻击代码的一个缺陷，我们重新来分析一下SYN Flood攻击者的流程：SYN Flood程序有两种攻击方式，基于IP的和基于域名的，前者是攻击者自己进行域名解析并将IP地址传递给攻击程序，后者是攻击程序自动进行域名解析，但是它们有一点是相同的，就是一旦攻击开始，将不会再进行域名解析，我们的切入点正是这里：假设一台服务器在受到SYN Flood攻击后迅速更换自己的IP地址，那么攻击者仍在不断攻击的只是一个空的IP地址，并没有任何主机，而防御方只要将DNS解析更改到新的IP地址就能在很短的时间内（取决于DNS的刷新时间）恢复用户通过域名进行的正常访问。为了迷惑攻击者，我们甚至可以放置一台“牺牲”服务器让攻击者满足于攻击的“效果”（由于DNS缓冲的原因，只要攻击者的浏览器不重起，他访问的仍然是原先的IP地址）。 

同样的原因，在众多的负载均衡架构中，基于DNS解析的负载均衡本身就拥有对SYN Flood的免疫力，基于DNS解析的负载均衡能将用户的请求分配到不同IP的服务器主机上，攻击者攻击的永远只是其中一台服务器，虽然说攻击者也能不断去进行DNS请求从而打破这种“退让”策略，但是一来这样增加了攻击者的成本，二来过多的DNS请求可以帮助我们追查攻击者的真正踪迹（DNS请求不同于SYN攻击，是需要返回数据的，所以很难进行IP伪装）。 



对于防火墙来说，防御SYN Flood攻击的方法取决于防火墙工作的基本原理，一般说来，防火墙可以工作在TCP层之上或IP层之下，工作在TCP层之上的防火墙称为网关型防火墙，网关型防火墙与服务器、客户机之间的关系如下图所示：



外部TCP连接 内部TCP连接 

[客户机] =================>[防火墙] =================>[服务器] 



如上图所示，客户机与服务器之间并没有真正的TCP连接，客户机与服务器之间的所有数据交换都是通过防火墙代理的，外部的DNS解析也同样指向防火墙，所以如果网站被攻击，真正受到攻击的是防火墙，这种防火墙的优点是稳定性好，抗打击能力强，但是因为所有的TCP报文都需要经过防火墙转发，所以效率比较低由于客户机并不直接与服务器建立连接，在TCP连接没有完成时防火墙不会去向后台的服务器建立新的TCP连接，所以攻击者无法越过防火墙直接攻击后台服务器，只要防火墙本身做的足够强壮，这种架构可以抵抗相当强度的SYN Flood攻击。但是由于防火墙实际建立的TCP连接数为用户连接数的两倍（防火墙两端都需要建立TCP连接），同时又代理了所有的来自客户端的TCP请求和数据传送，在系统访问量较大时，防火墙自身的负荷会比较高，所以这种架构并不能适用于大型网站。（我感觉，对于这样的防火墙架构，使用TCP_STATE攻击估计会相当有效:） 

工作在IP层或IP层之下的防火墙（路由型防火墙）工作原理有所不同，它与服务器、客户机的关系如下图所示： 

[防火墙] 数据包修改转发 

[客户机]========|=======================>[服务器] 

TCP连接 



客户机直接与服务器进行TCP连接，防火墙起的是路由器的作用，它截获所有通过的包并进行过滤，通过过滤的包被转发给服务器，外部的DNS解析也直接指向服务器，这种防火墙的优点是效率高，可以适应100Mbps-1Gbps的流量，但是这种防火墙如果配置不当，不仅可以让攻击者越过防火墙直接攻击内部服务器，甚至有可能放大攻击的强度，导致整个系统崩溃。 

在这两种基本模型之外，有一种新的防火墙模型，我个人认为还是比较巧妙的，它集中了两种防火墙的优势，这种防火墙的工作原理如下所示： 

第一阶段，客户机请求与防火墙建立连接： 

SYN   SYN+ACK   ACK 

[客户机]---- >[防火墙]   =>   [防火墙]-------- >[客户机]   =>   [客户机]--- >[防火墙] 



第二阶段，防火墙伪装成客户机与后台的服务器建立连接 

[防火墙]< =========== >[服务器] 

TCP连接 



第三阶段，之后所有从客户机来的TCP报文防火墙都直接转发给后台的服务器 

防火墙转发 

[客户机]< ======|======= >[服务器] 

TCP连接 

这种结构吸取了上两种防火墙的优点，既能完全控制所有的SYN报文，又不需要对所有的TCP数据报文进行代理，是一种两全其美的方法。 

近来，国外和国内的一些防火墙厂商开始研究带宽控制技术，如果能真正做到严格控制、分配带宽，就能很大程度上防御绝大多数的拒绝服务攻击，我们还是拭目以待吧。 

17:21 | 添加评论 | 阅读评论 (1) | 固定链接 | 写入日志 | 计算机与 Internet

9月18日

nfocus的基本知识

1、 基本知识 
a) 经常使用的搜索引擎（至少三个）。
google baidu sougou zhongsou  soso altavista a9
b) 经常访问的国内外网络安全方面的网站和URL（至少四个）。 
http://www.phrack.org  专业级的黑客站点
http://www.sans.org  是由超过15万计算机专业人员组成的组织，提供很多安全信息和培训活动
http://www.securityfocus.com  一个内容很全的网络安全网站
http://www.cert.org  计算机应急响应小组
http://www.xfocus.net 
http://www.hackbase.com

2、 名词解释 
全是关于网络攻击方面的术语解释，具体有 DDoS、Worm、IP Spoof、SYN Flood、Brute Attack、Social Engineering、Honeybot、ShellCode 等差不多十个。

分布式拒绝服务攻击（DDoS）是目前黑客经常采用而难以防范的攻击手段。DoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。

蠕虫病毒是计算机病毒的一种。它的传染机理是利用网络进行复制和传播，传染途径是通过网络和电子邮件。虫一般不采取利用pe格式插入文件的方法，而是复制自身在互联网环境下进行传播，病毒的传染能力主要是针对计算机内的文件系统而言，而蠕虫病毒的传染目标是互联网内的所有计算机.局域网条件下的共享文件夹，电子邮件email，网络中的恶意网页，大量存在着漏洞的服务器等都成为蠕虫传播的良好途径。

IP Spoof ip电子欺骗 我们可以说是一台主机设备冒充另外一台主机的IP地址，与其它设备通信，从而达到某种目的技术

SYN Flood SYN洪水攻击
TCP SYN Flood是一种常见，而且有效的远程拒绝服务(Denial of Service)攻击方式，它通过一定的操作破坏TCP三次握手建立正常连接，占用并耗费系统资源，使得提供TCP服务的主机系统无法正常工作。问题就出在TCP连接的三次握手中，假设一个用户向服务器发送了SYN报文后突然死机或掉线，那么服务器在发出SYN+ACK应答报文后是无法收到客户端的ACK报文的（第三次握手无法完成），这种情况下服务器端一般会重试（再次发送SYN+ACK给客户端）并等待一段时间后丢弃这个未完成的连接，这段时间的长度我们称为SYN Timeout，一般来说这个时间是分钟的数量级（大约为30秒-2分钟）；一个用户出现异常导致服务器的一个线程等待1分钟并不是什么很大的问题，但如果有一个恶意的攻击者大量模拟这种情况，服务器端将为了维护一个非常大的半连接列表而消耗非常多的资源----数以万计的半连接，即使是简单的保存并遍历也会消耗非常多的CPU时间和内存，何况还要不断对这个列表中的IP进行SYN+ACK的重试。实际上如果服务器的TCP/IP栈不够强大，最后的结果往往是堆栈溢出崩溃---即使服务器端的系统足够强大，服务器端也将忙于处理攻击者伪造的TCP连接请求而无暇理睬客户的正常请求（毕竟客户端的正常请求比率非常之小），此时从正常客户的角度看来，服务器失去响应，这种情况我们称作：服务器端受到了SYN Flood攻击（SYN洪水攻击）。

Honeybot
僵尸网络跟踪工具
HoneyBOT是一款能够在网络上模仿超过1000个易受攻击的服务的Windows蜜罐程序，可以捕获和记录入侵和袭击企图。它运行于Windows 2000及以上版本，是AtomicSfotwareSolutions公司的产品。

ShellCode
Shellcode实际是一段代码（也可以是填充数据），是用来发送到服务器
利用特定漏洞的代码，一般可以获取权限。另外，Shellcode一般是作为数据发送给受攻击服务的。

NT最新SP版本、Windows 2000最新SP版本

3、 系统知识 
1) Windows方面 
a) NT最新SP版本、Windows 2000最新SP版本 
b) Windows用的组策略编辑器是哪个
在启用“Guest”用户的前提下，点击“开始”菜单打开“运行”窗口，输入“gpedit.msc”，打开“组策略”编辑器(如图)，选择“本地计算机策略计算机配置Windows设置安全设置本地策略用户权利指派”，在右边窗口中双击“拒绝从网络访问这台计算机”，打开“拒绝从网络访问这台计算机属性”对话框)，可以看到其中有“Guest”用户，如果在这里删除“Guest”用户，那么在Windows 98下就可以通过网上邻居访问这台微机的共享目录了。同理，如果要拒绝某用户或组(使用windows 2000/XP系统)访问这台计算机，可以将其添加到列表框中。

c) 使用IIS应如何进行相应的安全设置。

2）UNIX/Linux方面 
有关于Unix、Linux、Sun、FreeBSD这几个操作系统方面的问题，因为我都没做，题目不少，但记得的不多。 
a) 关于sendmail方面的问题（具体不记得了）。 
b) 修改文件的宿主、组和其他用户的读写权限，两种方法。
chmod,chown,和chgrp

c) 如何禁用linux的root用户登陆FTP。
改/etc/ftpuser,不管用，我把/etc/ftpaccess中deny。 
4、 网络方面 
a) A、B、C三类的私有IP地址范围。 
IP地址一般分为A、B、C三类，我们以w.x.y.z这个IP地址为例，说明一下三类IP地址的划分：当W的数值在1－126之间的时，IP地址为A类，默认的子网掩码是255.0.0.0。当W数值在128－191之间时，IP地址为B类，默认的子网掩码是255.255.0.0。当W的数字在192－223之间时，IP地址为C类，默认的子网掩码是255.255.255.0。

b) Cisco中line配置的远程登陆密码是明文显示的，哪条命令可以使其显示为暗文。 
switch(config)#enable password 1234  明文显示
switch(config)#enable secret cisco  加密显示

c) 配置出口的ICMP的ping数据包不大于256k的命令列表。 
d) ACL列表number分别支持的协议：1～99、100～199、200～299、300～399、400～499、500～599、600～699、 700～799、800～899、900～999、1000～1999。（简直要吐血，估计是CCIE出的题）。 
5、 安全方面 
a) 防火墙的常用三种技术 
基于路由器的包过滤防火墙、基于通用操作系统的防火墙、基于专用安全操作系统的防火墙。

b) 使用Linux的安全风险有哪些

c) 国内外的不同linux产品（各列举3个）
Red Hat Suse Blue Poinr Red Flag

d) 139端口和445端口的区别是什么？ 
在windows2000中出现了一个以前没有用过的端口455。 
概念：
SMB(Server Message Block)
Windows协议族，用于文件和打印共享服务。
NBT(NetBIOS over TCP/IP)
使用137, 138 (UDP) and 139 (TCP）来实现基于TCP/IP的NETBIOS网际互联。
内容：
在Windows NT中SMB基于NBT实现。
而在Windows2000中，SMB除了基于NBT的实现，还有直接通过445端口实现。
当Win2000（允许NBT)作为client来连接SMB服务器时，它会同时尝试连接139和445端口，如果445端口有响应，那么就发送RST包给139端口断开连接，以455端口通讯来继续.当445端口无响应时，才使用139端口。
当Win2000（禁止NBT)作为client来连接SMB服务器时，那么它只会尝试连接445端口，如果无响应，那么连接失败。（注意可能对方是NT4.0服务器。）
如果win2000服务器允许NBT, 那么UDP端口137, 138, TCP 端口 139, 445将开放。
如果 NBT 被禁止, 那么只有445端口开放. 
好了，如果我们在win2000上运行一些工具利用null session列举出对方机器的一些有用资料时，应该把我们机器上的NBT设为允许

e) 主流的防病毒厂商和产品（国内、外各列举3个）

f) 使用过的主流漏扫产品，其优缺点有哪些？ 
ScanFi X-scan 流光
g) 主流的防火墙厂商和产品品牌（国内、外各列举3个）
 天容信 3COM Alcate_lucent Cisco 安氏

h) 使用select 查询语句的不安全之处在哪
 注入式攻击
6、 能力测试 
1)拓扑设计，具体网络概述如下： 
a) 路由器接入Internet网
 
b) 外部Mail服务器提供邮件服务
 
c) 核心交换机上划分财务、人事、业务、办公和内部服务器5个VLAN，下挂接入交换机

d) 内部有www服务器，另有独立的MSSQL服务器和OA服务器。

e) 安全设备有防火墙、IDS和SCAN。

2)设计要求： 
a) 如何设计规划网络结构（需要画出拓扑图） 
b) 如何设置防火墙的过滤规则 
 一般选择中级或者是高级
c) 假如IDS只能监控交换机的一个端口，你会建议用户监控哪个端口 
   交换机上设置专门监听端口。监听端口是交换机上配置的一个特殊端口，SPAN(Switch Port Analyzer)通常用来察看网络的使用情况，SPAN端口通常也被称为监听(Spy)端口或镜像(Mirror)端口
7、 英文测试 
简要翻译一篇关于Exchange邮件服务器SMTP服务如何请求DNS解析的文章（不太难）。 
8、 素质测试 
a) 作为一名技术，在接到客户电话时首先要做什么？该用什么样的典范语言？ 
b) 作为一名技术，出差时你认为必须要带的东西有哪些？（至少三样，笔记本除外） 
c) 两道算术题，一题是6个带小数的数字相加之和，有选择项。另一题要详细讲一下，因为我到现在都还没搞清楚。 
d) 题目的内容是：迈克和托德的薪水相差 $21 。迈克的薪水比托德多 $20 。迈克的薪水是多少？托德的薪水是多少？（起初我以为题目出错了，回来后查了一下，网上居然有，是微软公司IT技术专家碰到的一次面试题。当场晕倒～） 
9、 职业目标 
a) 英文描述为什么选择中联绿盟？你的短期和长期的职业目标是什么？你想要有什么的成就？ 
b) 情景题：假如你在电梯里遇到绿盟的HR，你如何在30秒内给HR留下深刻印象？[/color]

 

第一题：描述tcp的三次握手，写出syn ack的关系。 
TCP传输双方传送的每一个字节都伴随着一个序列号（SEQ），它期待对方在接收到后产生一个应答（ACK）， 应答一方面通知对方数据成功收到，另一方面告知对方希望接收的下一个字节。同时，任何两台设备之间欲建立TCP连接都需要一个两方确认的起始过程，称三次握手，可分解如下面来表示:

第一步:请求方向服务方发送SYN，表示想发起一次TCP连接。我们假定这次的序列号是某个数值X
Trust ->Target
SYN
SEQ:X

第二步:服务方产生SYN，ACK响应，并向请求方发送ACK， ACK的值为X+1，表示数据成功接收到，且告知下一次希望接收到字节的SEQ是X+1。同时， 服务方向请求方发送自己的SEQ， 我们假定它的序列号是某个数值Y。
Target -> Trust
SYN，ACK
SEQ:Y
ACK:X+1

第三步: 请求方向服务方发送ACK，表示接收到服务方的回应。这次它的SEQ值为X+1，同时它的ACK值为Y+1，原理同上。
Trust ->Target
ACK
SEQ:X+1
ACK:Y+1 
完成这一步以后， 请求方与服务方之间的连接开放，数据可以进行传输了。

第二题：描述tcp/udp的区别及优劣。描述p2p机制，及其发展前景。
基于连接与无连接 
对系统资源的要求（TCP较多，UDP少） 
UDP程序结构较简单 
流模式与数据报模式 TCP保证数据正确性，UDP可能丢包TCP保证数据顺序，UDP不保证
TCP协议是面向连接的，每个数据包的传输过程是：先建立链路、数据传输、然后清除链路。数据包不包含目的地址。受端和发端不但顺序一致，而且内容相同。它的可靠性高，
UDP协议是面向无连接的，每个数据包都有完整的源、目的地址及分组编号，各自在网络中独立传输，传输中不管其顺序，数据到达收端后再进行排序组装，遇有丢失、差错和失序等情况，通过请求重发来解决。它的效率比较高。

第三题：排序，用冒泡法或快速排序法，并分析时间/空间复杂度。

第四题：树的深度优先遍历。

第五题：有三顶红帽子两顶白帽子,有三个人带其中的三顶,每个人只能看到其它人的帽子,A说:我不知道我自己是什么颜色,B想了想也说:我也不知道我是什么颜色,C说我知道我是什么颜色了。

第六题：主观题，说一下最近一年读的书，和你的收获。

第七题：你曾经做过的项目，包括业余自己做的，分析收获。

第八题：你对绿盟的认识。

第九题：比较难，描述：一个绘图程序要完成显示、打印功能，同时图形形状多种（比如三角形、圆),要求用UML或C++来描述对象，并写出操作方法。
 

23:05 | 添加评论 | 固定链接 | 写入日志

9月11日

Axis&Gsoap简介

目前Web 服务 主要通过基于C/C++和JAVA 两种编程语言的工具来实现。不管是哪种编程语言，都已经有相应的工具包来定制和发布Web 服务。常用的发布Web 服务方法有：采用Java 编程的Axis+Java 与采用Ｃ编程的Gsoap+C。Axis 提供一个可以封装一般应用和类为Web 服务的容器和相应的支持环境，Gsoap 是C 语言编写的针对Web 服务的工具包，可以为程序提供用于定制和发布Web 服务的环境，同时还有很多支持性的函数库。虽然两种工具大相径庭，但其核心功能确实一样的，那就是充当SOAP引擎。SOAP 是一个基于XML 的用于应用程序之间通信数据编码的传输协议。最初由微软和Userland Software 提出，随着不断地完善和改进，SOAP很快被业界广泛应用。在其发展过程中，W3C XML 标准工作小组积极促成SOAP 成为一个真正的开放标准。SOAP 被广泛作为新一代跨平台、跨语言分布计算Web 服务的重要部分。通常情况下，SOAP = HTTP + RPC + XML。即：SOAP 以HTTP 作为底层通信协议，以RPC 作为交互方式，以XML 作
为数据传送的格式。在Web 服务体系中，客户端与服务端或者服务端与服务端均是靠基于SOAP 协议的SOAP 包来通讯。

Axis 简介
Axis 是Apache 组织推出的SOAP 引擎，Axis 项目是Apache 组织著名的SOAP 项目的后继项目。虽然Axis 核心功能是SOAP 引擎，但完成的功能并不仅仅是一个引擎的功能。 它还包括：一个独立运行的SOAP 服务器；一个Servlet 引擎的插件，这个Servlet 引擎一般都是Tomcat；对WSDL 的扩展支持；一个将WSDL 的描述生成JAVA 类的工具；一些示例代码；还有一个监控TCP/IP 包的工具 TCPMonitor；Axis 一共有两种发布Web 服务的方法：
使用即时发布 Java Web 服务(JWS)
对即时发布的支持是Axis 的特色之一，使用即时发布使用户只需有提供服务的Java 类的源代码，即可将其迅速发布成Web 服务。每当用户调用这类服务的时候，Axis 会自动进行编译，即使服务器重启了也不必对其做任何处理，使用非常简单快捷。
使用定制发布 Web 服务 Deployment Descriptor(WSDD)

即时发布是一项令人激动的技术，它使Web 服务的开发变得如此简单；
然而即时发布并不总是最好的选择，比如有些应用系统是第三方提供的，我们没有购买源代码，只有.class 文件，但我们又希望将这个应用系统的一些功能对外发布成Web 服务，使其能够在更大范围内产生作用，这个时候即时发布技术就无能为力了。此外，即时发布技术并不灵活，无法进行更多的服务配置，这使得它并不能满足一些特定系统的需求。

Gsoap 简介
Gsoap 是一个开源的项目，用它可以方便的使用C/C++地进行SOAP 客户端和服务器端编程，而不必了解XML 和SOAP 协议的细节。这样使用者就可以专注于自己的Web 服务 客户端或服务器端的编写，而不用纠缠与其它细节。它以HTTP 协议为基本的通信协议，以XML 文件形式请求远程服务，再以XML 文件的形式返回执行结果。Gsoap 编译工具提供了一个SOAP/XML 关于C/C++ 语言的实现，从而让C/C++语言开发web 服务或客户端程序的工作变得轻松了很多。Gsoap 包含的WSDL 生成器可以为你的web 服务生成web 服务的解释，解释器及导入器可以使用户不需要分析web 服务的细节就可以实现一个客户端或服务端程序，编译器可以 生成SOAP 的代码来序列化或反序列化C/C++的数据结构。和Gsoap 相比，其他绝大多数的C++ web 服务工具包通过提供一组API 函数类库来处理特定的SOAP 数据结构，这样就使得用户必须改变程序结构来适应相关的类库。与之相反，Gsoap 利用编译器技术提供了一组透明化的SOAP API，并将与开发无关的SOAP 实现细节相关的内容对用户隐藏起来。Gsoap 的编译器能够自动的将用户定义的本地化的C 或C++数据类型转变为符合 XML 语法的数据结构，反之亦然。这样，只用一组简单的API 就将用户从SOAP 细节实现工作中解脱了出来，可以专注与应用程序逻辑的实现工作了。此外，Gsoap 编译器可以集成C/C++和Fortran 代码（通过一个Fortran 到C 的接口），嵌入式系统，其他SOAP 程序提供的实时软件的资源和信息；可以跨越多个操作系统，语言环境以及在防火墙后的不同组织。开发简单和跨平台这两个特点对于CI 的开发是十分有利的。