网络协议学习笔记 · 17

学习笔记系列文章

---

代理

代理服务器（Proxy Server）

正向代理、反向代理

正向代理

作用：

反向代理

作用：

抓包工具的原理

相关的头部字段

CDN

CDN（Content Delivery Network或Content Distribution Network），内容分发网络

• 利用最靠近每位用户的服务器
• 更快更可靠地将音乐、图片、视频等资源文件（一般是静态资源）传递给用户
  

使用CDN前后

使用CDN前

使用CDN后

网络安全

网络通信中面临的4种安全威胁

• 截获：窃听通信内容
• 中断：中断网络通信
• 篡改：篡改通信内容
• 伪造：伪造通信内容

网络层 - ARP欺骗

ARP欺骗 (ARP spoofing)，又称ARP毒化 (ARP poisoning)、ARP病毒、ARP攻击

核心步骤举例

防护

• 静态ARP

• DHCP Snooping
  网络设备可借由DHCP保留网络上各电脑的MAC地址，在伪造的ARP数据包发出时即可侦测到

• 利用一些软件监听ARP的不正常变动

• …

DoS、DDoS

防御

防御方式通常为：入侵检测、流量过滤、多重验证
堵塞网络带宽的流量将被过滤，而正常的流量可正常通过

防火墙

• 防火墙可以设置规则，例如允许或拒绝特定通讯协议，端口或IP地址
• 当攻击从少数不正常的IP地址发出时，可以简单的使用拒绝规则阻止一切从攻击源IP发出的通信
• 复杂攻击难以用简单规则来阻止，例如80端口遭受攻击时不可能拒绝端口所有的通信，因为同时会阻止合法流量
• 防火墙可能处于网络架构中过后的位置，路由器可能在恶意流量达到防火墙前即被攻击影响

交换机

• 大多数交换机有一定的速度限制和访问控制能力

路由器

• 和交换机类似，路由器也有一定的速度限制和访问控制能力

黑洞引导

• 将所有受攻击计算机的通信全部发送至一个“黑洞”（空接口或不存在的计算机地址）或者有足够能力处理洪流的网络设备商，以避免网络受到较大影响

流量清洗

• 当流量被送到DDoS防护清洗中心时，通过采用抗DDoS软件处理，将正常流量和恶意流量区分
• 正常的流量则回注回客户网站

传输层 - SYN洪水攻击（SYN flooding attack）

防护参考：RFC 4987

传输层 - LAND攻击

应用层 - DNS劫持

DNS劫持，又称为域名劫持

1. 攻击者篡改了某个域名的解析结果，使得指向该域名的IP变成了另一个IP
2. 导致对相应网址的访问被劫持到另一个不可达的或者假冒的网址
3. 从而实现非法窃取用户信息或者破坏正常网络服务的目的

为防止DNS劫持，可以考虑使用更靠谱的DNS服务器，比如：114.114.114.114

谷歌：8.8.8.8、8.8.4.4

微软：4.2.2.1、4.2.2.2

百度：180.76.76.76

阿里：223.5.5.5、223.6.6.6

应用层 - HTTP劫持

对HTTP数据包进行拦截处理，比如插入JS代码
比如你访问某些网站时，在右下角多了个莫名其妙的弹窗广告

HTTP协议的安全问题

encrypt：加密
decrypt：解密
plaintext：明文
ciphertext：密文

如何防止被窃听：

单向散列函数（One-way hash function）

单向散列函数，也被称为：
消息摘要函数（message digest function）
哈希函数（hash function）

输出的散列值，也被称为：
消息摘要（message digest）
指纹（fingerprint）

特点

常见的几种单向散列函数

检查数据是否被篡改

密码加密

几个网站

MD5加密
https://www.cmd5.com/hash.aspx

MD5解密
https://www.cmd5.com/

其他加密
https://www.sojson.com/encrypt_des.html
https://tool.chinaz.com/tools/md5.aspx

上一篇：16. 跨域 · Cookie · Session
下一篇：18. 加密 · 数字签名 · 证书