缓冲区溢出
简单的说就是程序对接受的输入数据没有进行有效的检测导致错误，后果可能造成程序崩溃或者执行攻击者的命令，详细的资料可以看unsecret.org的漏洞利用栏目。
缓冲区溢出的概念
缓冲区溢出好比是将十磅的糖放进一个只能装五磅的容器里……
堆栈溢出（又称缓冲区溢出）攻击是最常用的黑客技术之一。我们知道，UNIX本身以及其上的许多应用程序都是用C语言编写的，C语言不检查缓冲区的边界。在某些情况下，如果用户输入的数据长度超过应用程序给定的缓冲区，就会覆盖其他数据区。这称作“堆栈溢出或缓冲溢出”。
一般情况下，覆盖其他数据区的数据是没有意义的，最多造成应用程序错误。但是，如果输入的数据是经过“黑客”精心设计的，覆盖堆栈的数据恰恰是黑客的入侵程序代码，黑客就获取了程序的控制权。如果该程序恰好是以root运行的，黑客就获得了root权限，然后他就可以编译黑客程序、留下入侵后门等，实施进一步地攻击。按照这种原理进行的黑客入侵就叫做“堆栈溢出攻击”。
为了便于理解，我们不妨打个比方。缓冲区溢出好比是将十磅的糖放进一个只能装五磅的容器里。一旦该容器放满了，余下的部分就溢出在柜台和地板上，弄得一团糟。由于计算机程序的编写者写了一些编码，但是这些编码没有对目的区域或缓冲区——五磅的容器——做适当的检查，看它们是否够大，能否完全装入新的内容——十磅的糖，结果可能造成缓冲区溢出的产生。如果打算被放进新地方的数据不适合，溢得到处都是，该数据也会制造很多麻烦。但是，如果缓冲区仅仅溢出，这只是一个问题。到此时为止，它还没有破坏性。当糖溢出时，柜台被盖住。可以把糖擦掉或用吸尘器吸走，还柜台本来面貌。与之相对的是，当缓冲区溢出时，过剩的信息覆盖的是计算机内存中以前的内容。除非这些被覆盖的内容被保存或能够恢复，否则就会永远丢失。
在丢失的信息里有能够被程序调用的子程序的列表信息，直到缓冲区溢出发生。另外，给那些子程序的信息——参数——也丢失了。这意味着程序不能得到足够的信息从子程序返回，以完成它的任务。就像一个人步行穿过沙漠。如果他依赖于他的足迹走回头路，当沙暴来袭抹去了这些痕迹时，他将迷失在沙漠中。这个问题比程序仅仅迷失方向严重多了。入侵者用精心编写的入侵代码（一种恶意程序）使缓冲区溢出，然后告诉程序依据预设的方法处理缓冲区，并且执行。此时的程序已经完全被入侵者操纵了。
入侵者经常改编现有的应用程序运行不同的程序。例如，一个入侵者能启动一个新的程序，发送秘密文件（支票本记录，口令文件，或财产清单）给入侵者的电子邮件。这就好像不仅仅是沙暴吹了脚印，而且后来者也会踩出新的脚印，将我们的迷路者领向不同的地方，他自己一无所知的地方。
缓冲区溢出的处理
你屋子里的门和窗户越少，入侵者进入的方式就越少……
由于缓冲区溢出是一个编程问题，所以只能通过修复被破坏的程序的代码而解决问题。如果你没有源代码，从上面“堆栈溢出攻击”的原理可以看出，要防止此类攻击，我们可以：
1、开放程序时仔细检查溢出情况，不允许数据溢出缓冲区。由于编程和编程语言的原因，这非常困难，而且不适合大量已经在使用的程序；
2、使用检查堆栈溢出的编译器或者在程序中加入某些记号，以便程序运行时确认禁止黑客有意造成的溢出。问题是无法针对已有程序，对新程序来讲，需要修改编译器；
3、经常检查你的操作系统和应用程序提供商的站点，一旦发现他们提供的补丁程序，就马上下载并且应用在系统上，这是最好的方法。但是系统管理员总要比攻击者慢一步，如果这个有问题的软件是可选的，甚至是临时的，把它从你的系统中删除。举另外一个例子，你屋子里的门和窗户越少，入侵者进入的方式就越少
数组的边界检查分类
如果给数组输入数据大于定义的数组,C语言编译器是不会给出提示或者警告之类的.这将是很危险的.因为,如果是scanf()输入的数据大于数组定义的最大元素个数,编译器不会理会用户的输入是否合法,多余的元素将放入内存保存起来,并备为后续输入用,假设后面的还数组等等,后面的数组就会接收前面多余出来的数据,这样,导致毁灭性的错误.所以,数组的边界检查是很重要的.类似的问题还有文件操作中,如果打开文件中的数据少于下面程序需要用到数据的量,而下面的程序如果一定要从前面的数据缓冲区中获取较大的数据量,这样也会导致不可预知的错误.下面是一个有关数组越界检查的例子:
#include"stdio.h"
#define max 5
int main(void)
{
int a[max];
int i=0;
printf("Please input integers,press the integer 0 to stop. n ");
do
{
if(i==max)
{
printf("arrray if full,no more space! n");
i++;break;
}
printf("Please input integers,press the integer 0 to stop. n ");
scanf("%d",&a[i]);
}while(a[i++]>0);
printf("Output the array a[max]: n");
for(i=0;i<max;i++)
printf("%d ",&a[i]);
printf("Press any key to exit the program...");
getch();
return 0;
}
IP欺骗技术 （http://wwww.200s.net/html/6/535/856.htm）
即使是很好的实现了TCP/IP协议，由于它本身有着一些不安全的地方，从而可以对TCP/IP网络进行攻击。这些攻击包括序列号欺骗，路由攻击，源地址欺骗和授权欺骗。本文除了介绍IP欺骗攻击方法外，还介绍怎样防止这个攻击手段。
上述攻击是建立在攻击者的计算机（包括路由）是连在INTERNET上的。这里的攻击方法是针对TCP/IP本身的缺陷的，而不是某一具体的实现。
实际上，IP 欺骗不是进攻的结果，而是进攻的手段。进攻实际上是信任关系的破坏。
第一节 IP欺骗原理
信任关系
＞ ～/.rhosts' ；从主机B上，在你的home目录中输入'echo " A username ＞～/.rhosts' 。至此，你能毫无阻碍地使用任何以r＊开头的远程调用命令,如：rlogin，rcall，rsh等，而无口令验证的烦恼。这些命令将允许以地址为基础的验证，或者允许或者拒绝以IP地址为基础的存取服务。
这里的信任关系是基于IP地址的。
Rlogin
Rlogin 是一个简单的客户/服务器程序，它利用TCP传输。Rlogin 允许用户从一台主机登录到另一台主机上，并且，如果目标主机信任它，Rlogin 将允许在不应答口令的情况下使用目标主机上的资源。安全验证完全是基于源主机的IP 地址。因此，根据以上所举的例子，我们能利用Rlogin 来从B远程登录到A，而且不会被提示输入口令。
TCP 序列号预测
IP只是发送数据包，并且保证它的完整性。如果不能收到完整的IP数据包，IP会向源地址发送一个ICMP 错误信息，希望重新处理。然而这个包也可能丢失。由于IP是非面向连接的，所以不保持任何连接状态的信息。每个IP数据包被松散地发送出去，而不关心前一个和后一个数据包的情况。由此看出，可以对IP堆栈进行修改，在源地址和目的地址中放入任意满足要求的IP地址，也就是说，提供虚假的IP地址。
TCP提供可靠传输。可靠性是由数据包中的多位控制字来提供的，其中最重要的是数据序列和数据确认，分别用SYN和ACK来表示。TCP 向每一个数据字节分配一个序列号，并且可以向已成功接收的、源地址所发送的数据包表示确认（目的地址ACK 所确认的数据包序列是源地址的数据包序列，而不是自己发送的数据包序列）。ACK在确认的同时，还携带了下一个期望获得的数据序列号。显然，TCP提供的这种可靠性相对于IP来说更难于愚弄。
序列编号、确认和其它标志信息
由于TCP是基于可靠性的，它能够提供处理数据包丢失，重复或是顺序紊乱等不良情况的机制。实际上，通过向所传送出的所有字节分配序列编号，并且期待接收端对发送端所发出的数据提供收讫确认，TCP 就能保证可靠的传送。接收端利用序列号确保数据的先后顺序，除去重复的数据包。TCP 序列编号可以看作是32位的计数器。它们从0至2^32－1 排列。每一个TCP连接（由一定的标示位来表示）交换的数据都是顺序编号的。在TCP数据包中定义序列号（SYN）的标示位位于数据段的前端。确认位（ACK）对所接收的数据进行确认，并且指出下一个期待接收的数据序列号。
TCP通过滑动窗口的概念来进行流量控制。设想在发送端发送数据的速度很快而接收端接收速度却很慢的情况下，为了保证数据不丢失，显然需要进行流量控制，协调好通信双方的工作节奏。所谓滑动窗口，可以理解成接收端所能提供的缓冲区大小。TCP利用一个滑动的窗口来告诉发送端对它所发送的数据能提供多大的缓冲区。由于窗口由16位bit所定义，所以接收端TCP 能最大提供65535个字节的缓冲。由此，可以利用窗口大小和第一个数据的序列号计算出最大可接收的数据序列号。
其它TCP标示位有RST（连接复位，Reset the connection）、PSH（压入功能，Push function）和FIN （发送者无数据，No more data from sender）。如果RST 被接收，TCP连接将立即断开。RST 通常在接收端接收到一个与当前连接不相关的数据包时被发送。有些时候，TCP模块需要立即传送数据而不能等整段都充满时再传。一个高层的进程将会触发在TCP头部的PSH标示，并且告诉TCP模块立即将所有排列好的数据发给数据接收端。FIN 表示一个应用连接结束。当接收端接收到FIN时，确认它，认为将接收不到任何数据了。
TCP序列号预测最早是由Morris对这一安全漏洞进行阐述的。他使用TCP序列号预测，即使是没有从服务器得到任何响应， 来产生一个TCP包序列。这使得他能欺骗在本地网络上的主机。
通常TCP连接建立一个包括3次握手的序列。客户选择和传输一个初始的序列号（SEQ标志）ISN C，并设置标志位SYN=１，告诉服务器它需要建立连接。服务器确认这个传输，并发送它本身的序列号ISN S，并设置标志位ACK，同时告知下一个期待获得的数据序列号是ISN=1。客户再确认它。在这三次确认后，开始传输数据。整个过程如下所示：(C:Client S:Server)
C---S: SYN(ISN C )
S---C: SYN(ISN S ) ,ACK(ISN C )
C---S: ACK(ISN S )
C---S:数据 或S---C:数据
也就是说对一个会话，C必须得到ISN S确认。ISN S可能是一个随机数。
了解序数编号如何选择初始序列号和如何根据时间变化是很重要的。似乎应该有这种情况，当主机启动后序列编号初始化为1，但实际上并非如此。初始序列号是由tcp_init函数确定的。ISN每秒增加128000，如果有连接出现，每次连接将把计数器的数值增加64000。很显然，这使得用于表示ISN的32位计数器在没有连接的情况下每9.32 小时复位一次。之所以这样，是因为这样有利于最大限度地减少旧有连接的信息干扰当前连接的机会。这里运用了2MSL 等待时间的概念（不在本文讨论的范围之内）。如果初始序列号是随意选择的，那么不能保证现有序列号是不同于先前的。假设有这样一种情况，在一个路由回路中的数据包最终跳出了循环，回到了“旧有”的连接（此时其实是不同于前者的现有连接），显然会发生对现有连接的干扰。
假设一个入侵者X有一种方法，能预测ISN S。在这种情况下，他可能将下列序号送给主机T来模拟客户的真正的ISN S：
X---S: SYN(ISN X ) ,SRC = T
S---T: SYN(ISN S ) ,ACK(ISN X )
X---S: ACK(ISN S ) ,SRC =T
尽管消息S*T并不到X，但是X能知道它的内容，因此能发送数据。如果X要对一个连接实施攻击，这个连接允许执行命令，那么另外的命令也能执行。
那么怎样产生随机的ISN？在Berkeley系统，最初的序列号变量由一个常数每秒加一产生，等到这个常数一半时，就开始一次连接。这样，如果开始了一个合法连接，并观察到一个ISN S在用，便可以计算，有很高可信度，ISN S 用在下一个连接企图。
Morris 指出，回复消息
S---T:SYN(ISN S ) ,ACK(ISN X )
事实上并不消失，真正主机将收到它，并试图重新连接。这并不是一个严重的障碍。
Morris发现，通过模仿一个在T上的端口，并向那个端口请求一个连接，他就能产生序列溢出，从而让它看上去S*T消息丢失了。另外一个方法，可以等待知道T关机或重新启动。
下面详细的介绍一下。
IP欺骗
IP欺骗由若干步骤组成，这里先简要地描述一下，随后再做详尽地解释。先做以下假定：首先，目标主机已经选定。其次，信任模式已被发现，并找到了一个被目标主机信任的主机。黑客为了进行IP欺骗，进行以下工作：使得被信任的主机丧失工作能力，同时采样目标主机发出的TCP 序列号，猜测出它的数据序列号。然后，伪装成被信任的主机，同时建立起与目标主机基于地址验证的应用连接。如果成功，黑客可以使用一种简单的命令放置一个系统后门，以进行非授权操作。
使被信任主机丧失工作能力
一旦发现被信任的主机，为了伪装成它，往往使其丧失工作能力。由于攻击者将要代替真正的被信任主机，他必须确保真正被信任的主机不能接收到任何有效的网络数据，否则将会被揭穿。有许多方法可以做到这些。这里介绍“TCP SYN 淹没”。
前面已经谈到，建立TCP连接的第一步就是客户端向服务器发送SYN请求。 通常，服务器将向客户端发送SYN/ACK 信号。这里客户端是由IP地址确定的。客户端随后向服务器发送ACK，然后数据传输就可以进行了。然而，TCP处理模块有一个处理并行SYN请求的最上限，它可以看作是存放多条连接的队列长度。其中，连接数目包括了那些三步握手法没有最终完成的连接，也包括了那些已成功完成握手，但还没有被应用程序所调用的连接。如果达到队列的最上限，TCP将拒绝所有连接请求，直至处理了部分连接链路。因此，这里是有机可乘的。
黑客往往向被进攻目标的TCP端口发送大量SYN请求，这些请求的源地址是使用一个合法的但是虚假的IP地址（可能使用该合法IP地址的主机没有开机）。而受攻击的主机往往是会向该IP地址发送响应的，但可惜是杳无音信。与此同时IP包会通知受攻击主机的TCP：该主机不可到达，但不幸的是TCP会认为是一种暂时错误，并继续尝试连接（比如继续对该IP地址进行路由，发出SYN/ACK数据包等等），直至确信无法连接。
当然，这时已流逝了大量的宝贵时间。值得注意的是，黑客们是不会使用那些正在工作的IP地址的，因为这样一来，真正IP持有者会收到SYN/ACK响应，而随之发送RST给受攻击主机，从而断开连接。前面所描述的过程可以表示为如下模式。
1 Z （X） －－－SYN －－－> B
Z （X） －－－SYN －－－＞ B
Z （X） －－－SYN －－－＞ B
2 X ＜－－－SYN/ACK－－ B
X ＜－－－SYN/ACK－－ B
3 X ＜－－－ RST －－－ B
在时刻1时，攻击主机把大批SYN 请求发送到受攻击目标（在此阶段，是那个被信任的主机），使其TCP队列充满。在时刻2时，受攻击目标向它所相信的IP地址（虚假的IP）作出SYN/ACK反应。在这一期间，受攻击主机的TCP模块会对所有新的请求予以忽视。不同的TCP 保持连接队列的长度是有所不同的。BSD 一般是5，Linux一般是6。使被信任主机失去处理新连接的能力，所赢得的宝贵空隙时间就是黑客进行攻击目标主机的时间，这使其伪装成被信任主机成为可能。
序列号取样和猜测
前面已经提到，要对目标主机进行攻击，必须知道目标主机使用的数据包序列号。现在，我们来讨论黑客是如何进行预测的。他们先与被攻击主机的一个端口（SMTP是一个很好的选择）建立起正常的连接。通常，这个过程被重复若干次，并将目标主机最后所发送的ISN存储起来。黑客还需要估计他的主机与被信任主机之间的RTT时间（往返时间），这个RTT时间是通过多次统计平均求出的。RTT 对于估计下一个ISN是非常重要的。前面已经提到每秒钟ISN增加128000，每次连接增加64000。现在就不难估计出ISN的大小了，它是128000乘以RTT的一半，如果此时目标主机刚刚建立过一个连接，那么再加上一个64000。再估计出ISN大小后，立即就开始进行攻击。当黑客的虚假TCP数据包进入目标主机时，根据估计的准确度不同，会发生不同的情况：
·如果估计的序列号是准确的，进入的数据将被放置在接收缓冲器以供使用。
·如果估计的序列号小于期待的数字，那么将被放弃。
·如果估计的序列号大于期待的数字，并且在滑动窗口（前面讲的缓冲）之内，那么，该数据被认为是一个未来的数据，TCP模块将等待其它缺少的数据。如果估计的序列号大于期待的数字，并且不在滑动窗口（前面讲的缓冲）之内，那么，TCP将会放弃该数据并返回一个期望获得的数据序列号。下面将要提到，黑客的主机并不能收到返回的数据序列号。
1 Z（B） --－－SYN －－－> A
2 B ＜－－－SYN/ACK－－－ A
3 Z（B） --－－－ACK－－－＞ A
4 Z（B） －－－——PSH－－－＞ A
攻击者伪装成被信任主机的IP 地址，此时，该主机仍然处在停顿状态（前面讲的丧失处理能力），然后向目标主机的513端口(rlogin的端口号)发送连接请求，如时刻1所示。在时刻2，目标主机对连接请求作出反应，发送SYN/ACK数据包给被信任主机（如果被信任主机处于正常工作状态，那么会认为是错误并立即向目标主机返回RST数据包，但此时它处于停顿状态）。按照计划，被信任主机会抛弃该SYN/ACK数据包。然后在时刻3，攻击者向目标主机发送ACK数据包，该ACK使用前面估计的序列号加1（因为是在确认）。如果攻击者估计正确的话，目标主机将会接收该ACK 。至此，连接正式建立起来了。在时刻4，将开始数据传输。一般地，攻击者将在系统中放置一个后门，以便侵入。经常会使用 ′cat ＋＋ >> ～/.rhosts′。之所以这样是因为，这个办法迅速、简单地为下一次侵入铺平了道路。
一个和这种TCP序列号攻击相似的方法，是使用NETSTAT服务。在这个攻击中，入侵者模拟一个主机关机了。如果目标主机上有NETSTAT，它能提供在另一端口上的必须的序列号。这取消了所有要猜测的需要。
典型攻击工具和攻击过程:hunt
IP欺骗的防止
防止的要点在于，这种攻击的关键是相对粗糙的初始序列号变量在Berkeley系统中的改变速度。TCP协议需要这个变量每秒要增加25000次。Berkeley 使用的是相对比较慢的速度。但是，最重要的是，是改变间隔，而不是速度。
我们考虑一下一个计数器工作在250000Hz时是否有帮助。我们先忽略其他发生的连接，仅仅考虑这个计数器以固定的频率改变。
为了知道当前的序列号，发送一个SYN包，收到一个回复：
X---S: SYN(ISN X )
S---X: SYN(ISN S ) ,ACK(ISN X ) (1)
第一个欺骗包，它触发下一个序列号，能立即跟随服务器对这个包的反应：
X---S: SYN(ISN X ) ,SRC = T (2)
序列号ISN S用于回应了：
S---T: SYN(ISN S ) ,ACK(ISN X )
是由第一个消息和服务器接收的消息唯一决定。这个号码是X和S的往返精确的时间。这样，如果欺骗能精确地测量和产生这个时间，即使是一个4-U时钟都不能击退这次攻击。
抛弃基于地址的信任策略
阻止这类攻击的一种非常容易的办法就是放弃以地址为基础的验证。不允许r＊类远程调用命令的使用；删除.rhosts 文件；清空/etc/hosts.equiv 文件。这将迫使所有用户使用其它远程通信手段，如telnet、ssh、skey等等。
进行包过滤
如果您的网络是通过路由器接入Internet 的，那么可以利用您的路由器来进行包过滤。确信只有您的内部LAN可以使用信任关系，而内部LAN上的主机对于LAN以外的主机要慎重处理。您的路由器可以帮助您过滤掉所有来自于外部而希望与内部建立连接的请求。
使用加密方法
阻止IP欺骗的另一种明显的方法是在通信时要求加密传输和验证。当有多种手段并存时，可能加密方法最为适用。
使用随机化的初始序列号
黑客攻击得以成功实现的一个很重要的因素就是，序列号不是随机选择的或者随机增加的。Bellovin 描述了一种弥补TCP不足的方法，就是分割序列号空间。每一个连接将有自己独立的序列号空间。序列号将仍然按照以前的方式增加，但是在这些序列号空间中没有明显的关系。可以通过下列公式来说明：
ISN =M＋F（localhost，localport ，remotehost ，remoteport ）
M：4微秒定时器
F：加密HASH函数。
F产生的序列号，对于外部来说是不应该能够被计算出或者被猜测出的。Bellovin 建议F是一个结合连接标识符和特殊矢量（随机数，基于启动时间的密码）的HASH函数。
什么是DNS欺骗？（http://hi.baidu.com/jxroot/blog/item/b6525da7e4b51697d143589b.html）
DNS欺骗是一门改变DNS原始指向IP的艺术。为了更好的理解，让我们先来看一个例子。如果你想用浏览器去google搜索一些信息，毫无疑问的你会在地址栏里输入www.google.com的网址然后回车。
那么在这背后又有什么事情正在进行着呢？一般而言，你的浏览器将会向DNS服务器发送一个请求，从而要求得到与www.google.com相匹配的IP地址，DNS服务器则会告诉你的浏览器google的IP地址，接着你的浏览器会连接并显示主页内容。哦，等一下，你打开的网页说google因无钱支付网站费用而转让给cSite的消息。你可能会非常吃惊，并打电话告诉你的好朋友。当然你的朋友一定会笑你疯掉了，因为你的朋友是可以登陆google并进行搜索的。还确信正在和你通信的IP地址是友好的吗？说不定你已成圈中之羊。当你在浏览器地址里输入http:// 66.249.89.99并回车时，你又会发现，其实www.google.com健在。
其实刚刚就是DNS劫持攻击时目击者可能看到的情形。
Quote:
试想如果跳转的页面被无声无息地挂着马又会多糟糕非常急切地相要知道着其中地玄机吧？是不是DNS服务器给了我们一个错误地IP地址？可能是吧。至少，这是我们脑中最符合逻辑地答案。
按此在新窗口打开图片事实上，有两种方法可以实现DNS劫持攻击。让我们来看看第一种，“DNS ID欺骗”技术。
A)DNS 高速缓冲存储器麻痹（DNS Cache Poisoning）
可以想象，DNS服务器不可能将所有现存的域名或IP地址存储在本身的存储空间里。这就是为什么DNS服务器有一个高速缓冲存储器（cache），它使得服务器可以存储DNS记录一一段时间。
事实上，一台DNS服务器只会记录本身所属域中的授权的主机，如果它想要知道其它的，在自身域以外主机的信息，就必须向信息持有者（另一台DNS服务器）发送请求，同时，为了不每次都发送请求，这台DNS服务器会将另一台DNS服务器返回的信息又记录下来。
那么现在，我们就来看看是怎么麻痹DNS的缓存的。
攻击者有自己的域（attacker.net）和一个已被攻陷的DNS服务器（ns.attacker.net）。注意！我说的是被攻陷的DNS服务器，因为攻击者已经自定义了他自己的DNS服务器的记录，比如，记录可以是
www.google.com=81.81.81.81
1)攻击者向你的DNS服务器发送请求查询www.attacker.net
2)你的DNS服务器不知道这台主机的IP地址，因为他不属于本身域，所有你的DNS服务器就会问此主机的所属域的DNS服务器。
3)这时被黑DNS服务器就会回复你的DNS服务器，在此同时它也会给出它所有的记录（包括连接www.google.com的记录）注意，这个过程叫做zone transfer.
4)这是你的DNS服务器还没有被麻痹。攻击者得到了自己的IP地址，但是他的目标不是得到自己网络服务器的地址，而是逼迫zone transfer进行以使你的DNS服务器麻痹直到其缓存不会被清楚或更新。
5)现在如果你再问你的DNS服务器关于www.google.com的IP地址，它会告诉你172.50.50.50，这也正是攻击者的服务器所在！现在，攻击者就能为所欲为，例如挂马什么的……当然这也对google造成了相当的损失！
B)DNS ID欺骗（DNS ID Spoofing）
我们可以看到，当主机X要与主机Y联系是需要近来的IP地址。然而在绝大多数情况下，X只有Y的名字，这样，DNS协议就是来解决名字到IP地址的问题的。
因此，X就会向它所在域的DNS服务器询问Y的IP地址。其间，主机X分配一个随即数，这个数也将会出现在从DNS服务器返回的信息里。当X收到回复后，X会对比两个数字，如果一致，则收到信息被视为有效。
那这样一个模型是否安全呢？并非十分安全。任何人都可以组织一次攻击来获得这个ID。举例说如果你用LAN，别人就可以利用嗅探器捕获你的请求ID，然后根据这个ID伪造一个回复信息……但是信息里含有攻击者所选的IP地址。然后，不加识别的，X会吧攻击者提供的IP地址当作Y的。
顺便提一句，DNS协议的提出请求是依赖于UDP的（只有在zone transfer时才用TCP），这也就意味着发送一个伪造的包是极其简单的，因为没有SYN/ACK号（不像TCP，UDP没有提供一个小型防IP欺骗的防护）
但是，这样的攻击是被局限的。在我以上的例子中，攻击者用嗅探器拦获ID，回复构造过的包给受害主机。
换句话说，即使攻击者拦截了请求，数据包还是会传去DNS服务器，而DNS服务器也照样会回复（除非攻击者拦截并阻止对网关的请求或实施ARP缓存麻痹才可能在转换网络中攻击）。
这就意味着攻击者必须在真DNS服务器前回复，即为了攻击成功，攻击者必须和被攻击者同一个LAN，只有这样他才可以获得快速的ping并且捕获对方的数据包。
实践举例（仅作测试目的）
看怎么劫持我们本地网络连接：
1、麻痹被攻击者的ARP缓存（具体的工具和说明可以在http://www.arp-sk.org上找到）
2、此时，目标主机的出口数据包将会重定向到你的主机上，但是还必须转发给真正的网关。我们可以用类似Winroute Pro的工具来实现。
3、为了实施DNS ID欺骗我们用valgasu开发的工具WinDNSSpoof
（在使用这个工具前请先安装Winpcap，见http://winpcap.polito.it）
命令行下输入类似的命令：
wds -n
www.google.com
-i 123.123.123.123 -g 00-C0-26-DD-59-CF –v
这个命令会使目标主机的
www.google.com指向123.123.123.123。
其中00-C0-26-DD-59-CF是网关或DNS服务器的MAC地址。
Tips: 在Windows NT内核下，查询远程IP的MAC地址可以在CMD里用nbtstat -A xxx.xxx.xxx.xxx命令
警告：记住！在未授权的情况下使用这些手段是被禁止的！
C)借助生日悖论的精确攻击
什么是“生日悖论”？
“生日悖论”得名于一个能产生奇怪现象的数学模型，即如果有23人在一起，那么很有可能其中的两人有相同的生日。其实要理解也不是那么困难。
假设现在你在一个派对问某人他的生日，那么他跟你不同生日的几率就是364/365=0.997，则相同的概率就是1-364/365=0.003。
现在，如果你再问另外一个人，他的生日不同于前一人且不同于你的概率就是(364/365)*(363/365)=0.992，所以我们至少可以推得我们中两人有相同生日的概率为1-0.992=0.008。
如果我们继续这样的推算，很快就能算得23人中有两人的生日相同的概率高达50％。我们可以通过以下的C代码看出概率是如何趋近于1的。
Copy code
#define POSSIBILITIES 365.0
void main (void)
{
float chances;
int i, j;
for (i = 1; i
没法编译的朋友可以看下面的结果：
People
2
9
16
23
30
37
44
65
79
Chances
0.0027
0.0946
0.2836
0.5073
0.7063
0.8487
0.9329
0.9977
0.9999
没法编译的朋友可以看下面的结果：
生日悖论普遍的应用于检测哈希函数:N-位长度的哈希表可能发生碰撞测试次数不是2N次而是只有2N/2次。这一结论被应用到破解密码学散列函数的生日攻击中
生日问题所隐含的理论已经在[Schnabel 1938]名字叫做capture-recapture的统计试验得到应用，来估计湖里鱼的数量。
好，下面我们还是回到我的攻击测试上来，在上述的最为普遍的DNS欺骗攻击中，是在窃听（嗅探）网络以便得到来自X的ID号码，然后回复以相同的ID只是含有攻击者提供的IP。
就像我之前说的，这种攻击需要嗅探网络中的X生成的DNS数据。那这是不是意味着攻击者不能不用嗅探器实施攻击呢？
试着“猜猜”ID怎么样？
为什么不呢，但是ID号是用两字节构成的，这意味着有65535个可能的值！也就是说攻击者如果想要成功攻击的话，他要构造出65535个不同ID号的伪造回复，这样里面至少有且仅有一个包是可用的。
如果这样的攻击的话，我们需要相当好的带宽，而且最重要的是我们不知道何时发送伪造的回复。他就必须先知道对方有个请求，然后紧接着及时地（在真的来自DNS服务器的回复之前）发送回复。
让我们来从另一个角度看问题，我们知道是有可能性去直接麻痹DNS服务器的。回忆一下，攻击者是想DNS服务器询问解析www.attacker.net，多亏有从ns.attacker.net来的恶意记录zone transfer，攻击者才可以麻痹DNS服务器的高速缓存器。值得重提的是，这种攻击的局限在于攻击者必须在运行自己带有恶意记录的DNS服务器。
这样的分析之下，如果攻击者没有办法嗅探你的网络数据或者没有自己的服务器，是不是就是说你就远离DNS劫持技术了？
答案是，完全不是这样。
我之前提到过，DNS协议是用UDP回复，UDP是非连接状态的协议，是没有像TCP三次握手的过程的。所以，这也就使得可以非常容易地用你选的任意IP发送UDP包。所以为什么攻击者在可以从任意DNS服务器发送伪造包的情况下要辛辛苦苦地架设起自己地DNS服务器呢？他可以直接询问受害者的DNS服务器解析www.google.com
，然后立即发送含伪造IP的包给www.google.com的域名服务器。
好，这样时间刚好，这样是可行的，所以问题就只有受害者的DNS服务器将要向ns.google.com发送一次请求来得到www.google.com的IP，同时有一个请求的ID号。所以又一次的，攻击者就必须发送65535个含ns.google.com的伪造包来做为受害者域名服务器的源地址。至少有一个包是吻合的。所以看来这个可能会成功。
下面就是最有趣的部分了……如果攻击者向受害者的DNS服务器发送了100份请求来解析www.google.com
会发生什么呢？那么ns.victim.com也将会向ns.google.com发送100份请求，那然后如果我们发送100个从 ns.google.com到ns.victim.com的伪造回复会怎样呢？如果你已经理解了刚刚提到的生日悖论原理，你就应该懂得相比之下冲撞（猜对）的概率已经有了可观的提高。
除此之外，还有个必须注意的小细节——源端口！
试想，ns.victim.com将要向ns.google.com发送请求，UDP头就应该像这样：
Copy code
Source address : ns.victim.com
Destination address : ns.google.com
Source port : 1256 (choosed randomly and > 1024)
Destination port : 53 (DNS port)
Data : What is the IP of www.google.com?
很明显，攻击者必须ns.victim.com的源端口作为目标端口发送伪造的DNS回复，包的内容就像：
Copy code
Source address : ns.google.com
Destination address : ns.victim.com
Source port : 53
Destination port : 1256
Data : The IP of www.google.com is 81.81.81.81
所以如果我们没有嗅探又要怎样猜测源端口呢？“不幸”的是，对大多数DNS服务器来说，源端口是不会为每个客户端而改变的，因此攻击者可以很简单地通过看 ns.victim.com的目前源端口来得到。比方说，如果他有一个域名服务器，他只要请求DNS查找他的域的一个站名，得到的返回查询包就会包含现在在的被ns.victim.com用来发送DNS请求的源端口。
好，现在我知道如何得到源端口了，你可能会对攻击的成功率好奇。这也是我正要讲的。我们的C代码也有所改动：
Copy code
#define POSSIBILITIES 65535.0
void main (void)
{
float chances;
int i, j;
for (i = 0; i
结果如下：
Queries
50
100
150
200
250
300
350
400
500
550
650
750
Chances
0.0185
0.0728
0.1569
0.2621
0.3785
0.4961
0.6069
0.7048
0.8517
0.9008
0.9604
0.9865
我们可以看到，650个构造回复有0.960411的概率成功，近乎100％！
欲知更多详细信息，我建议阅读以下文章：
http://www.kb.cert.org/vuls/id/457875
http://www.securityfocus.com/guest/17905
D)总结
在这篇文章里，我用
www.google.com
做例子，并不是因为我真的对其的重定向攻击感兴趣。这个问题在你访问你的银行账户，在线购书网站甚至是网页电子邮件时尤为重要。
而对于网站管理者来说，可行的防范措施有：
对高速缓存器加以限制，保证不保留额外的记录。
不要用或依赖DNS构架安全体系。
使用SSL之类的加密技术，所以即使被攻击，难度也会加大
DNS欺骗是一门改变DNS原始指向IP的艺术。为了更好的理解，让我们先来看一个例子。如果你想用浏览器去google搜索一些信息，毫无疑问的你会在地址栏里输入www.google.com的网址然后回车。
那么在这背后又有什么事情正在进行着呢？一般而言，你的浏览器将会向DNS服务器发送一个请求，从而要求得到与www.google.com相匹配的IP地址，DNS服务器则会告诉你的浏览器google的IP地址，接着你的浏览器会连接并显示主页内容。哦，等一下，你打开的网页说google因无钱支付网站费用而转让给cSite的消息。你可能会非常吃惊，并打电话告诉你的好朋友。当然你的朋友一定会笑你疯掉了，因为你的朋友是可以登陆google并进行搜索的。还确信正在和你通信的IP地址是友好的吗？说不定你已成圈中之羊。当你在浏览器地址里输入http:// 66.249.89.99并回车时，你又会发现，其实www.google.com健在。
其实刚刚就是DNS劫持攻击时目击者可能看到的情形。
Quote:
试想如果跳转的页面被无声无息地挂着马又会多糟糕非常急切地相要知道着其中地玄机吧？是不是DNS服务器给了我们一个错误地IP地址？可能是吧。至少，这是我们脑中最符合逻辑地答案。
按此在新窗口打开图片事实上，有两种方法可以实现DNS劫持攻击。让我们来看看第一种，“DNS ID欺骗”技术。
A)DNS 高速缓冲存储器麻痹（DNS Cache Poisoning）
可以想象，DNS服务器不可能将所有现存的域名或IP地址存储在本身的存储空间里。这就是为什么DNS服务器有一个高速缓冲存储器（cache），它使得服务器可以存储DNS记录一一段时间。
事实上，一台DNS服务器只会记录本身所属域中的授权的主机，如果它想要知道其它的，在自身域以外主机的信息，就必须向信息持有者（另一台DNS服务器）发送请求，同时，为了不每次都发送请求，这台DNS服务器会将另一台DNS服务器返回的信息又记录下来。
那么现在，我们就来看看是怎么麻痹DNS的缓存的。
攻击者有自己的域（attacker.net）和一个已被攻陷的DNS服务器（ns.attacker.net）。注意！我说的是被攻陷的DNS服务器，因为攻击者已经自定义了他自己的DNS服务器的记录，比如，记录可以是
www.google.com=81.81.81.81
1)攻击者向你的DNS服务器发送请求查询www.attacker.net
2)你的DNS服务器不知道这台主机的IP地址，因为他不属于本身域，所有你的DNS服务器就会问此主机的所属域的DNS服务器。
3)这时被黑DNS服务器就会回复你的DNS服务器，在此同时它也会给出它所有的记录（包括连接www.google.com的记录）注意，这个过程叫做zone transfer.
4)这是你的DNS服务器还没有被麻痹。攻击者得到了自己的IP地址，但是他的目标不是得到自己网络服务器的地址，而是逼迫zone transfer进行以使你的DNS服务器麻痹直到其缓存不会被清楚或更新。
5)现在如果你再问你的DNS服务器关于www.google.com的IP地址，它会告诉你172.50.50.50，这也正是攻击者的服务器所在！现在，攻击者就能为所欲为，例如挂马什么的……当然这也对google造成了相当的损失！
B)DNS ID欺骗（DNS ID Spoofing）
我们可以看到，当主机X要与主机Y联系是需要近来的IP地址。然而在绝大多数情况下，X只有Y的名字，这样，DNS协议就是来解决名字到IP地址的问题的。
因此，X就会向它所在域的DNS服务器询问Y的IP地址。其间，主机X分配一个随即数，这个数也将会出现在从DNS服务器返回的信息里。当X收到回复后，X会对比两个数字，如果一致，则收到信息被视为有效。
那这样一个模型是否安全呢？并非十分安全。任何人都可以组织一次攻击来获得这个ID。举例说如果你用LAN，别人就可以利用嗅探器捕获你的请求ID，然后根据这个ID伪造一个回复信息……但是信息里含有攻击者所选的IP地址。然后，不加识别的，X会吧攻击者提供的IP地址当作Y的。
顺便提一句，DNS协议的提出请求是依赖于UDP的（只有在zone transfer时才用TCP），这也就意味着发送一个伪造的包是极其简单的，因为没有SYN/ACK号（不像TCP，UDP没有提供一个小型防IP欺骗的防护）
但是，这样的攻击是被局限的。在我以上的例子中，攻击者用嗅探器拦获ID，回复构造过的包给受害主机。
换句话说，即使攻击者拦截了请求，数据包还是会传去DNS服务器，而DNS服务器也照样会回复（除非攻击者拦截并阻止对网关的请求或实施ARP缓存麻痹才可能在转换网络中攻击）。
这就意味着攻击者必须在真DNS服务器前回复，即为了攻击成功，攻击者必须和被攻击者同一个LAN，只有这样他才可以获得快速的ping并且捕获对方的数据包。
实践举例（仅作测试目的）
看怎么劫持我们本地网络连接：
1、麻痹被攻击者的ARP缓存（具体的工具和说明可以在http://www.arp-sk.org上找到）
2、此时，目标主机的出口数据包将会重定向到你的主机上，但是还必须转发给真正的网关。我们可以用类似Winroute Pro的工具来实现。
3、为了实施DNS ID欺骗我们用valgasu开发的工具WinDNSSpoof
（在使用这个工具前请先安装Winpcap，见http://winpcap.polito.it）
命令行下输入类似的命令：
wds -n
www.google.com
-i 123.123.123.123 -g 00-C0-26-DD-59-CF –v
这个命令会使目标主机的
www.google.com指向123.123.123.123。
其中00-C0-26-DD-59-CF是网关或DNS服务器的MAC地址。
Tips: 在Windows NT内核下，查询远程IP的MAC地址可以在CMD里用nbtstat -A xxx.xxx.xxx.xxx命令
警告：记住！在未授权的情况下使用这些手段是被禁止的！
C)借助生日悖论的精确攻击
什么是“生日悖论”？
“生日悖论”得名于一个能产生奇怪现象的数学模型，即如果有23人在一起，那么很有可能其中的两人有相同的生日。其实要理解也不是那么困难。
假设现在你在一个派对问某人他的生日，那么他跟你不同生日的几率就是364/365=0.997，则相同的概率就是1-364/365=0.003。
现在，如果你再问另外一个人，他的生日不同于前一人且不同于你的概率就是(364/365)*(363/365)=0.992，所以我们至少可以推得我们中两人有相同生日的概率为1-0.992=0.008。
如果我们继续这样的推算，很快就能算得23人中有两人的生日相同的概率高达50％。我们可以通过以下的C代码看出概率是如何趋近于1的。
Copy code
#define POSSIBILITIES 365.0
void main (void)
{
float chances;
int i, j;
for (i = 1; i
没法编译的朋友可以看下面的结果：
People
2
9
16
23
30
37
44
65
79
Chances
0.0027
0.0946
0.2836
0.5073
0.7063
0.8487
0.9329
0.9977
0.9999
没法编译的朋友可以看下面的结果：
生日悖论普遍的应用于检测哈希函数:N-位长度的哈希表可能发生碰撞测试次数不是2N次而是只有2N/2次。这一结论被应用到破解密码学散列函数的生日攻击中
生日问题所隐含的理论已经在[Schnabel 1938]名字叫做capture-recapture的统计试验得到应用，来估计湖里鱼的数量。
好，下面我们还是回到我的攻击测试上来，在上述的最为普遍的DNS欺骗攻击中，是在窃听（嗅探）网络以便得到来自X的ID号码，然后回复以相同的ID只是含有攻击者提供的IP。
就像我之前说的，这种攻击需要嗅探网络中的X生成的DNS数据。那这是不是意味着攻击者不能不用嗅探器实施攻击呢？
试着“猜猜”ID怎么样？
为什么不呢，但是ID号是用两字节构成的，这意味着有65535个可能的值！也就是说攻击者如果想要成功攻击的话，他要构造出65535个不同ID号的伪造回复，这样里面至少有且仅有一个包是可用的。
如果这样的攻击的话，我们需要相当好的带宽，而且最重要的是我们不知道何时发送伪造的回复。他就必须先知道对方有个请求，然后紧接着及时地（在真的来自DNS服务器的回复之前）发送回复。
让我们来从另一个角度看问题，我们知道是有可能性去直接麻痹DNS服务器的。回忆一下，攻击者是想DNS服务器询问解析www.attacker.net，多亏有从ns.attacker.net来的恶意记录zone transfer，攻击者才可以麻痹DNS服务器的高速缓存器。值得重提的是，这种攻击的局限在于攻击者必须在运行自己带有恶意记录的DNS服务器。
这样的分析之下，如果攻击者没有办法嗅探你的网络数据或者没有自己的服务器，是不是就是说你就远离DNS劫持技术了？
答案是，完全不是这样。
我之前提到过，DNS协议是用UDP回复，UDP是非连接状态的协议，是没有像TCP三次握手的过程的。所以，这也就使得可以非常容易地用你选的任意IP发送UDP包。所以为什么攻击者在可以从任意DNS服务器发送伪造包的情况下要辛辛苦苦地架设起自己地DNS服务器呢？他可以直接询问受害者的DNS服务器解析www.google.com
，然后立即发送含伪造IP的包给www.google.com的域名服务器。
好，这样时间刚好，这样是可行的，所以问题就只有受害者的DNS服务器将要向ns.google.com发送一次请求来得到www.google.com的IP，同时有一个请求的ID号。所以又一次的，攻击者就必须发送65535个含ns.google.com的伪造包来做为受害者域名服务器的源地址。至少有一个包是吻合的。所以看来这个可能会成功。
下面就是最有趣的部分了……如果攻击者向受害者的DNS服务器发送了100份请求来解析www.google.com
会发生什么呢？那么ns.victim.com也将会向ns.google.com发送100份请求，那然后如果我们发送100个从 ns.google.com到ns.victim.com的伪造回复会怎样呢？如果你已经理解了刚刚提到的生日悖论原理，你就应该懂得相比之下冲撞（猜对）的概率已经有了可观的提高。
除此之外，还有个必须注意的小细节——源端口！
试想，ns.victim.com将要向ns.google.com发送请求，UDP头就应该像这样：
Copy code
Source address : ns.victim.com
Destination address : ns.google.com
Source port : 1256 (choosed randomly and > 1024)
Destination port : 53 (DNS port)
Data : What is the IP of www.google.com?
很明显，攻击者必须ns.victim.com的源端口作为目标端口发送伪造的DNS回复，包的内容就像：
Copy code
Source address : ns.google.com
Destination address : ns.victim.com
Source port : 53
Destination port : 1256
Data : The IP of www.google.com is 81.81.81.81
所以如果我们没有嗅探又要怎样猜测源端口呢？“不幸”的是，对大多数DNS服务器来说，源端口是不会为每个客户端而改变的，因此攻击者可以很简单地通过看 ns.victim.com的目前源端口来得到。比方说，如果他有一个域名服务器，他只要请求DNS查找他的域的一个站名，得到的返回查询包就会包含现在在的被ns.victim.com用来发送DNS请求的源端口。
好，现在我知道如何得到源端口了，你可能会对攻击的成功率好奇。这也是我正要讲的。我们的C代码也有所改动：
Copy code
#define POSSIBILITIES 65535.0
void main (void)
{
float chances;
int i, j;
for (i = 0; i
结果如下：
Queries
50
100
150
200
250
300
350
400
500
550
650
750
Chances
0.0185
0.0728
0.1569
0.2621
0.3785
0.4961
0.6069
0.7048
0.8517
0.9008
0.9604
0.9865
我们可以看到，650个构造回复有0.960411的概率成功，近乎100％！
欲知更多详细信息，我建议阅读以下文章：
http://www.kb.cert.org/vuls/id/457875
http://www.securityfocus.com/guest/17905
D)总结
在这篇文章里，我用
www.google.com
做例子，并不是因为我真的对其的重定向攻击感兴趣。这个问题在你访问你的银行账户，在线购书网站甚至是网页电子邮件时尤为重要。
而对于网站管理者来说，可行的防范措施有：
对高速缓存器加以限制，保证不保留额外的记录。
不要用或依赖DNS构架安全体系。
使用SSL之类的加密技术，所以即使被攻击，难度也会加大
