第六、七课
nc localhost 13 连接localhost地址的13端口
socket编程···························
大端小端
nc 192.168.116.41 13
Unix网络编程richard stevenson socket编程
APUE高级UNIX环境编程
socket(AF_IN, )
| Ethe | ip | icmp |
ICMP:1.TYPE 2.CODE 3.CHECKNUM
Icmp smurf攻击：冒充一个ip地址向广播地址（A类，B类网络）发icmp数据包，这个ip地址会会收到大量icmp回复包
ICMP重定向攻击：嗅探器查看包头和数据+ICMP包头
NMAP 扫描的艺术（phrack）
1.发送SYN+端口号
2.开着的端口:回复SYN+ACK
关着的端口:回复了RST
收不到：被过滤了
nmap ip地址
扫描一个ip地址
- -sS 半开扫描
nmap -sS ip地址 SYN scan 不会真正进行连接，所以不会被日志记录，缺点：需要权限 (sudo) 默认-sS
nmap -sT ip地址 会进行真正的三次握手，一般迫不得已才用 不需要权限 默认-sT
措施：添加防火墙，对所有SYN包DROP
- nmap -sA ip地址 ACK扫描 判断端口是否被过滤，不能判断端口是否开着（回复RST）不能判断端口是否开着
- nmap -sN（-sF、sX） ip地址 NULL扫描 1.端口开着或被过滤 什么都不回复，2.端口关着，发RST包
- 两个合起来用确定端口是否开着
-sP ping scan
-sV 版本扫描
- IDLE(闲置的) scan 原理是什么？ 考点！ 请描述IDLE scan的优点和工作原理？
- 优点：可以不透露攻击者的ip地址，通过肉机查看被攻击者的端口是否打开
- 工作原理：攻击者先向肉机发送一个SYN+ACK,肉机会发送一个RST+IPID=1043
- 攻击者通过肉机的IP地址向被攻击者发送SYN+PORT，被攻击者若打开，向肉机发送SYN+ACK，肉机向被攻击者发送RST+IPID=1044，若被攻击者关闭，发送RST给肉机，肉机弃之。
- 攻击者向肉机发送SYN+ACK，若肉机返回RST+IPID=1045,则被攻击者的端口是打开，若肉机返回RST+IPID=1044,被攻击者的端口是关着的。
- 空闲扫描
SYN-flooding
sudo netwox 76 -i 192.168.116.141 -p 80
tcp_syncookies 防范SYN-flooding攻击 攻击者发送SYN包后服务器不会直接分配内存，而是发送SYN+ACK，并产生一个syncookies，等攻击者再发送一个ACK包时，服务器才认为这是一个有效连接，分配内存，通过cookies恢复内容。
