论文部分内容阅读
路由协议是网络基础设施的核心，目前OSPF路由协议是一种使用广泛的内部网关路由协议。本文研究OSPF协议的安全性，在分析OSPF协议安全机制以及已有攻击方法的基础上，提出了四种新的攻击方法。这些攻击方法利用不同方式注入恶意的链路状态通告(LSA)，修改路由器路由表，从而实现路由欺骗。本文同时设计实现了OSPF渗透测试系统，该系统可对OSPF网络进行安全性测试。全文主要工作如下: 1.提出了一种邻接欺骗攻击。该攻击主要针对OSPF网络中边界路由器未设置为被动接口的场景，攻击者伪装成一台合法的路由器接入到OSPF网络中，注入恶意的LSA。利用该攻击可实现网页欺骗、密码嗅探、中间人攻击、DNS欺骗等效果。 2.提出了一种双LSA远程多注入攻击。该攻击主要针对攻击者获得网络路由器拓扑及参数的场景，利用远程路由器的身份注入两个恶意的LSA。与Nakibly等人提出的双LSA注入攻击相比，它可逃避自反击机制，同时增大了污染区域。这种攻击不仅可实现网页欺骗、密码嗅探等效果，还能控制流量的中间传输路径。 3.提出了一种单路径注入攻击。在与攻击二相同的场景下，攻击者查找网络中满足单路径条件的路由器对，从中选出跳板路由器，并以它的身份注入一个恶意的LSA。该攻击只需要注入一个LSA就能逃避自反击机制。利用该攻击可实现流量黑洞，从而造成部分区域的网络瘫痪。 4.提出了一种远程邻接欺骗攻击。我们设计了一种探测远程路由器运行参数的方法，利用该方法可与远程路由器建立虚假的邻接关系，最后以幻影路由器的身份注入恶意的LSA，可实现流量黑洞。该攻击与上述三种攻击相比其适用场景更广，可在未知网络路由器拓扑及参数的情况下实施。 5.采用GNS3网络仿真软件、VMware虚拟机以及真实物理计算机搭建了一个高仿真程度的网络模拟平台，并在此平台下验证了上述四种路由欺骗攻击的可行性及有效性。 6.设计并实现了一个可对OSPF网络进行安全性检测的渗透测试系统，利用该系统可实现OSPF协议密钥认证机制的安全性评估以及OSPF网络渗透测试。经测试表明，上述四种攻击可在真实环境下达到预期的攻击效果，本文设计的系统可有效的发现OSPF网络的安全漏洞。