A. 常見的網路攻擊都有哪幾種
1、口令入侵，是指使用某些合法用戶的帳號和口令登錄到目的主機，然後再實施攻擊活動。這種方法的前提是必須先得到該主機上的某個合法用戶的帳號，然後再進行合法用戶口令的破譯。
2、特洛伊木馬，常被偽裝成工具程式或游戲等誘使用戶打開，一旦用戶打開了這些郵件的附件或執行了這些程式之後，他們就會留在計算機中，並在自己的計算機系統中隱藏一個能在windows啟動時悄悄執行的程式。
3、WWW欺騙，正在訪問的網頁已被黑客篡改過，網頁上的信息是虛假的！例如黑客將用戶要瀏覽的網頁的URL改寫為指向黑客自己的伺服器，當用戶瀏覽目標網頁的時候，實際上是向黑客伺服器發出請求。
4、節點攻擊，攻擊者在突破一台主機後，往往以此主機作為根據地，攻擊其他主機。他們能使用網路監聽方法，嘗試攻破同一網路內的其他主機；也能通過IP欺騙和主機信任關系，攻擊其他主機。
5、網路監聽，是主機的一種工作模式，在這種模式下，主機能接收到本網段在同一條物理通道上傳輸的所有信息，而不管這些信息的發送方和接收方是誰。
(1)計算機網路中暴力攻擊擴展閱讀：
由於攻擊和入侵的對象是網路上的計算機，所以一旦他們取得成功，就會使網路中成千上萬台計算機處於癱瘓狀態。從而給計算機用戶造成巨大的經濟損失，如美國每年因計算機犯罪而造成的經濟損失就達幾百億美元。平均一起計算機犯罪案件所造成的經濟損失是一般案件的幾十到幾百倍。
威脅社會和國家安全。一些計算機網路攻擊者於各種目的經常把政府要害部門和軍事部門的計算機作為攻擊對象，從而對社會和國家造成威脅。
參考資料來源：
網路——計算機網路攻擊
網路——網路攻擊
B. 常見的網路攻擊方法和防禦技術
網路攻擊類型
偵查攻擊：
搜集網路存在的弱點，以進一步攻擊網路。分為掃描攻擊和網路監聽。
掃描攻擊：埠掃描，主機掃描，漏洞掃描。
網路監聽：主要指只通過軟體將使用者計算機網卡的模式置為混雜模式，從而查看通過此網路的重要明文信息。
埠掃描：
根據 TCP 協議規范，當一台計算機收到一個TCP 連接建立請求報文（TCP SYN） 的時候，做這樣的處理：
1、如果請求的TCP埠是開放的，則回應一個TCP ACK 報文， 並建立TCP連接控制結構（TCB）；
2、如果請求的TCP埠沒有開放，則回應一個TCP RST（TCP頭部中的RST標志設為1）報文，告訴發起計算機，該埠沒有開放。
相應地，如果IP協議棧收到一個UDP報文，做如下處理：
1、如果該報文的目標埠開放，則把該UDP 報文送上層協議（UDP ） 處理， 不回應任何報文（上層協議根據處理結果而回應的報文例外）；
2、如果該報文的目標埠沒有開放，則向發起者回應一個ICMP 不可達報文，告訴發起者計算機該UDP報文的埠不可達。
利用這個原理，攻擊者計算機便可以通過發送合適的報文，判斷目標計算機哪些TC 或UDP埠是開放的。
過程如下：
1、發出埠號從0開始依次遞增的TCP SYN或UDP報文（埠號是一個16比特的數字，這樣最大為65535，數量很有限）；
2、如果收到了針對這個TCP 報文的RST 報文，或針對這個UDP 報文 的 ICMP 不可達報文，則說明這個埠沒有開放；
3、相反，如果收到了針對這個TCP SYN報文的ACK報文，或者沒有接收到任何針對該UDP報文的ICMP報文，則說明該TCP埠是開放的，UDP埠可能開放（因為有的實現中可能不回應ICMP不可達報文，即使該UDP 埠沒有開放） 。
這樣繼續下去，便可以很容易的判斷出目標計算機開放了哪些TCP或UDP埠，然後針對埠的具體數字，進行下一步攻擊，這就是所謂的埠掃描攻擊。
主機掃描即利用ICMP原理搜索網路上存活的主機。
網路踩點（Footprinting）
攻擊者事先匯集目標的信息，通常採用whois、Finger等工具和DNS、LDAP等協議獲取目標的一些信息，如域名、IP地址、網路拓撲結構、相關的用戶信息等，這往往是黑客入侵之前所做的第一步工作。
掃描攻擊
掃描攻擊包括地址掃描和埠掃描等，通常採用ping命令和各種埠掃描工具，可以獲得目標計算機的一些有用信息，例如機器上打開了哪些埠，這樣就知道開設了哪些服務，從而為進一步的入侵打下基礎。
協議指紋
黑客對目標主機發出探測包，由於不同操作系統廠商的IP協議棧實現之間存在許多細微的差別（也就是說各個廠家在編寫自己的TCP/IP 協議棧時，通常對特定的RFC指南做出不同的解釋），因此各個操作系統都有其獨特的響應方法，黑客經常能確定出目標主機所運行的操作系統。
常常被利用的一些協議棧指紋包括：TTL值、TCP窗口大小、DF 標志、TOS、IP碎片處理、 ICMP處理、TCP選項處理等。
信息流監視
這是一個在共享型區域網環境中最常採用的方法。
由於在共享介質的網路上數據包會經過每個網路節點， 網卡在一般情況下只會接受發往本機地址或本機所在廣播（或多播）地址的數據包，但如果將網卡設置為混雜模式（Promiscuous），網卡就會接受所有經過的數據包。
基於這樣的原理，黑客使用一個叫sniffer的嗅探器裝置，可以是軟體，也可以是硬體）就可以對網路的信息流進行監視，從而獲得他們感興趣的內容，例如口令以及其他秘密的信息。
訪問攻擊
密碼攻擊：密碼暴力猜測，特洛伊木馬程序，數據包嗅探等方式。中間人攻擊：截獲數據，竊聽數據內容，引入新的信息到會話，會話劫持（session hijacking）利用TCP協議本身的不足，在合法的通信連接建立後攻擊者可以通過阻塞或摧毀通信的一方來接管已經過認證建立起來的連接，從而假冒被接管方與對方通信。
拒絕服務攻擊
偽裝大量合理的服務請求來佔用過多的服務資源，從而使合法用戶無法得到服務響應。
要避免系統遭受DoS 攻擊，從前兩點來看，網路管理員要積極謹慎地維護整個系統，確保無安全隱患和漏洞；
而針對第四點第五點的惡意攻擊方式則需要安裝防火牆等安 全設備過濾DoS攻擊，同時強烈建議網路管理員定期查看安全設備的日誌，及時發現對系統存在安全威脅的行為。
常見拒絕服務攻擊行為特徵與防禦方法
拒絕服務攻擊是最常見的一類網路攻擊類型。
在這一攻擊原理下，它又派生了許多種不同的攻擊方式。
正確了解這些不同的拒絕攻擊方式，就可以為正確、系統地為自己所在企業部署完善的安全防護系統。
入侵檢測的最基本手段是採用模式匹配的方法來發現入侵攻擊行為。
要有效的進行反攻擊，首先必須了解入侵的原理和工作機理，只有這樣才能做到知己知彼，從而有效的防止入侵攻擊行為的發生。
下面我們針對幾種典型的拒絕服務攻擊原理進行簡要分析，並提出相應的對策。
死亡之Ping（ Ping of death）攻擊
由於在早期的階段，路由器對包的最大大小是有限制的，許多操作系統TCP/IP棧規定ICMP包的大小限制在64KB 以內。
在對ICMP數據包的標題頭進行讀取之後，是根據該標題頭里包含的信息來為有效載荷生成緩沖區。
當大小超過64KB的ICMP包，就會出現內存分配錯誤，導致TCP/IP堆棧崩潰，從而使接受方計算機宕機。
這就是這種「死亡之Ping」攻擊的原理所在。
根據這一攻擊原理，黑客們只需不斷地通過Ping命令向攻擊目標發送超過64KB的數據包，就可使目標計算機的TCP/IP堆棧崩潰，致使接受方宕機。
防禦方法：
現在所有的標准TCP/IP協議都已具有對付超過64KB大小數據包的處理能力，並且大多數防火牆能夠通過對數據包中的信息和時間間隔分析，自動過濾這些攻擊。
Windows 98 、Windows NT 4.0（SP3之後）、Windows 2000/XP/Server 2003 、Linux 、Solaris和Mac OS等系統都已具有抵抗一般「Ping of death 」拒絕服務攻擊的能力。
此外，對防火牆進行配置，阻斷ICMP 以及任何未知協議數據包，都可以防止此類攻擊發生。
淚滴（ teardrop）攻擊
對於一些大的IP數據包，往往需要對其進行拆分傳送，這是為了迎合鏈路層的MTU（最大傳輸單元）的要求。
比如，一個6000 位元組的IP包，在MTU為2000的鏈路上傳輸的時候，就需要分成三個IP包。
在IP 報頭中有一個偏移欄位和一個拆分標志（MF）。
如果MF標志設置為1，則表面這個IP包是一個大IP包的片斷，其中偏移欄位指出了這個片斷在整個 IP包中的位置。
例如，對一個6000位元組的IP包進行拆分（MTU為2000），則三個片斷中偏移欄位的值依次為：0，2000，4000。
這樣接收端在全部接收完IP數據包後，就可以根據這些信息重新組裝沒正確的值，這樣接收端在收後這些分拆的數據包後就不能按數據包中的偏移欄位值正確重合這些拆分的數據包，但接收端會不斷償試，這樣就可能致使目標計算朵操作系統因資源耗盡而崩潰。
淚滴攻擊利用修改在TCP/IP 堆棧實現中信任IP碎片中的包的標題頭所包含的信息來實現自己的攻擊。
IP分段含有指示該分段所包含的是原包的哪一段的信息，某些操作系統（如SP4 以前的 Windows NT 4.0 ）的TCP/IP 在收到含有重疊偏移的偽造分段時將崩潰，不過新的操作系統已基本上能自己抵禦這種攻擊了。
防禦方法：
盡可能採用最新的操作系統，或者在防火牆上設置分段重組功能，由防火牆先接收到同一原包中的所有拆分數據包，然後完成重組工作，而不是直接轉發。
因為防火牆上可以設置當出現重疊欄位時所採取的規則。
TCP SYN 洪水（TCP SYN Flood）攻擊
TCP/IP棧只能等待有限數量ACK（應答）消息，因為每台計算機用於創建TCP/IP連接的內存緩沖區都是非常有限的。
如果這一緩沖區充滿了等待響應的初始信息，則該計算機就會對接下來的連接停止響應，直到緩沖區里的連接超時。
TCP SYN 洪水攻擊正是利用了這一系統漏洞來實施攻擊的。
攻擊者利用偽造的IP地址向目標發出多個連接（SYN）請求。
目標系統在接收到請求後發送確認信息，並等待回答。
由於黑客們發送請示的IP地址是偽造的，所以確認信息也不會到達任何計算機，當然也就不會有任何計算機為此確認信息作出應答了。
而在沒有接收到應答之前，目標計算機系統是不會主動放棄的，繼續會在緩沖區中保持相應連接信息，一直等待。
當達到一定數量的等待連接後，緩區部內存資源耗盡，從而開始拒絕接收任何其他連接請求，當然也包括本來屬於正常應用的請求，這就是黑客們的最終目的。
防禦方法：
在防火牆上過濾來自同一主機的後續連接。
不過「SYN洪水攻擊」還是非常令人擔憂的，由於此類攻擊並不尋求響應，所以無法從一個簡單高容量的傳輸中鑒別出來。
防火牆的具體抵禦TCP SYN 洪水攻擊的方法在防火牆的使用手冊中有詳細介紹。
Land 攻擊
這類攻擊中的數據包源地址和目標地址是相同的，當操作系統接收到這類數據包時，不知道該如何處理，或者循環發送和接收該數據包，以此來消耗大量的系統資源，從而有可能造成系統崩潰或死機等現象。
防禦方法：
這類攻擊的檢測方法相對來說比較容易，因為它可以直接從判斷網路數據包的源地址和目標地址是否相同得出是否屬於攻擊行為。
反攻擊的方法當然是適當地配置防火牆設備或包過濾路由器的包過濾規則。
並對這種攻擊進行審計，記錄事件發生的時間，源主機和目標主機的MAC地址和IP地址，從而可以有效地分析並跟蹤攻擊者的來源。
Smurf 攻擊
這是一種由有趣的卡通人物而得名的拒絕服務攻擊。
Smurf攻擊利用多數路由器中具有同時向許多計算機廣播請求的功能。
攻擊者偽造一個合法的IP地址，然後由網路上所有的路由器廣播要求向受攻擊計算機地址做出回答的請求。
由於這些數據包表面上看是來自已知地址的合法請求，因此網路中的所有系統向這個地址做出回答，最終結果可導致該網路的所有主機都對此ICMP應答請求作出答復，導致網路阻塞，這也就達到了黑客們追求的目的了。
這種Smurf攻擊比起前面介紹的「Ping of Death 」洪水的流量高出一至兩個數量級，更容易攻擊成功。
還有些新型的Smurf攻擊，將源地址改為第三方的受害者（不再採用偽裝的IP地址），最終導致第三方雪崩。
防禦方法：
關閉外部路由器或防火牆的廣播地址特性，並在防火牆上設置規則，丟棄掉ICMP協議類型數據包。
Fraggle 攻擊
Fraggle 攻擊只是對Smurf 攻擊作了簡單的修改，使用的是UDP協議應答消息，而不再是ICMP協議了（因為黑客們清楚 UDP 協議更加不易被用戶全部禁止）。
同時Fraggle攻擊使用了特定的埠（通常為7號埠，但也有許多使用其他埠實施 Fraggle 攻擊的），攻擊與Smurf 攻擊基本類似，不再贅述。
防禦方法：
關閉外部路由器或防火牆的廣播地址特性。在防火牆上過濾掉UDP報文，或者屏蔽掉一些常被黑客們用來進Fraggle攻擊的埠。
電子郵件炸彈
電子郵件炸彈是最古老的匿名攻擊之一，通過設置一台計算機不斷地向同一地址發送大量電子郵件來達到攻擊目的，此類攻擊能夠耗盡郵件接受者網路的帶寬資源。
防禦方法：
對郵件地址進行過濾規則配置，自動刪除來自同一主機的過量或重復的消息。
虛擬終端（VTY）耗盡攻擊
這是一種針對網路設備的攻擊，比如路由器，交換機等。
這些網路設備為了便於遠程管理，一般設置了一些TELNET用戶界面，即用戶可以通過TELNET到該設備上，對這些設備進行管理。
一般情況下，這些設備的TELNET用戶界面個數是有限制的。比如，5個或10個等。
這樣，如果一個攻擊者同時同一台網路設備建立了5個或10個TELNET連接。
這些設備的遠程管理界面便被占盡，這樣合法用戶如果再對這些設備進行遠程管理，則會因為TELNET連接資源被佔用而失敗。
ICMP洪水
正常情況下，為了對網路進行診斷，一些診斷程序，比如PING等，會發出ICMP響應請求報文（ICMP ECHO），接收計算機接收到ICMP ECHO 後，會回應一個ICMP ECHO Reply 報文。
而這個過程是需要CPU 處理的，有的情況下還可能消耗掉大量的資源。
比如處理分片的時候。這樣如果攻擊者向目標計算機發送大量的ICMP ECHO報文（產生ICMP洪水），則目標計算機會忙於處理這些ECHO 報文，而無法繼續處理其它的網路數據報文，這也是一種拒絕服務攻擊（DOS）。
WinNuke 攻擊
NetBIOS 作為一種基本的網路資源訪問介面，廣泛的應用於文件共享，列印共享， 進程間通信（ IPC），以及不同操作系統之間的數據交換。
一般情況下，NetBIOS 是運行在 LLC2 鏈路協議之上的，是一種基於組播的網路訪問介面。
為了在TCP/IP協議棧上實現NetBIOS ，RFC規定了一系列交互標准，以及幾個常用的 TCP/UDP 埠：
139：NetBIOS 會話服務的TCP 埠；
137：NetBIOS 名字服務的UDP 埠；
136：NetBIOS 數據報服務的UDP 埠。
WINDOWS操作系統的早期版本（WIN95/98/NT ）的網路服務（文件共享等）都是建立在NetBIOS之上的。
因此，這些操作系統都開放了139埠（最新版本的WINDOWS 2000/XP/2003 等，為了兼容，也實現了NetBIOS over TCP/IP功能，開放了139埠）。
WinNuke 攻擊就是利用了WINDOWS操作系統的一個漏洞，向這個139埠發送一些攜帶TCP帶外（OOB）數據報文。
但這些攻擊報文與正常攜帶OOB數據報文不同的是，其指針欄位與數據的實際位置不符，即存在重合，這樣WINDOWS操作系統在處理這些數據的時候，就會崩潰。
分片 IP 報文攻擊
為了傳送一個大的IP報文，IP協議棧需要根據鏈路介面的MTU對該IP報文進行分片，通過填充適當的IP頭中的分片指示欄位，接收計算機可以很容易的把這些IP 分片報文組裝起來。
目標計算機在處理這些分片報文的時候，會把先到的分片報文緩存起來，然後一直等待後續的分片報文。
這個過程會消耗掉一部分內存，以及一些IP協議棧的數據結構。
如果攻擊者給目標計算機只發送一片分片報文，而不發送所有的分片報文，這樣攻擊者計算機便會一直等待（直到一個內部計時器到時）。
如果攻擊者發送了大量的分片報文，就會消耗掉目標計 算機的資源，而導致不能相應正常的IP報文，這也是一種DOS攻擊。
T
分段攻擊。利用了重裝配錯誤，通過將各個分段重疊來使目標系統崩潰或掛起。
歡迎關注的我的頭條號，私信交流，學習更多的網路技術！
C. 網路中常見的攻擊手段主要有哪些
目前造成網路不安全的主要因素是系統、協議及資料庫等的設計上存在缺陷。由於當今的計算機網路操作系統在本身結構設計和代碼設計時偏重考慮系統使用時的方便性，導致了系統在遠程訪問、許可權控制和口令管理等許多方面存在安全漏洞。
D. 網路攻擊的主要4個類型
瀏覽器攻擊
基於瀏覽器的網路攻擊與第二種常見類型相關聯。他們試圖通過網路瀏覽器破壞機器，這是人們使用互聯網的最常見方式之一。瀏覽器攻擊通常始於合法但易受攻擊的網站。攻擊者攻擊該站點並使用惡意軟體感染該站點。當新訪問者（通過Web瀏覽器）到達時，受感染的站點會嘗試通過利用其瀏覽器中的漏洞將惡意軟體強制進入其系統。
暴力破解
暴力破解攻擊類似於打倒網路的前門。攻擊者試圖通過反復試驗來發現系統或服務的密碼，而不是試圖欺騙用戶下載惡意軟體。這些網路攻擊可能非常耗時，因此攻擊者通常使用軟體自動執行鍵入數百個密碼的任務。
暴力破解攻擊是遵循密碼最佳實踐的重要原因之一，尤其是在關鍵資源（如網路路由器和伺服器）上。
長而復雜的密碼比愚蠢的密碼（例如「123456」，「qwerty」和「password」）更難以通過蠻力破解。請放心：這些是攻擊者嘗試的第一把鑰匙。
拒絕服務（DDoS）攻擊
拒絕服務攻擊（也稱為分布式拒絕服務攻擊（DDoS））在網路安全攻擊列表中排名第三，並且每年都在不斷增強。
DDoS攻擊試圖淹沒資源 例如網站，游戲伺服器或DNS伺服器 - 充斥著大量流量。通常，目標是減慢或崩潰系統。
但DDoS攻擊的頻率和復雜性正在增加。
蠕蟲病毒
惡意軟體通常需要用戶交互才能開始感染。例如，此人可能必須下載惡意電子郵件附件，訪問受感染的網站或將受感染的USB插入計算機。蠕蟲攻擊自行傳播。它們是自我傳播的惡意軟體，不需要用戶交互。通常，它們利用系統漏洞傳播到本地網路之外。
WannaCry勒索軟體在幾天內感染了超過300,000台計算機，使用蠕蟲技術攻擊網路和計算機。
WannaCry針對一個廣泛的Windows漏洞迅速破壞了一台機器。一旦機器被感染，惡意軟體就會掃描連接的LAN和WAN，以查找並感染其他易受攻擊的主機。
惡意軟體攻擊
當然，惡意軟體是惡意軟體創建用於傷害、劫持或監視感染系統的應用程序。目前尚不清楚為什麼「蠕蟲病毒攻擊」不包含在此類別中 - 因為它們通常與惡意軟體相關聯。
無論如何，惡意軟體很普遍並且眾所周知。它傳播的三種常見方式包括：
網路釣魚電子郵件 攻擊者創建郵件以誘使受害者陷入虛假的安全感，欺騙他們下載最終成為惡意軟體的附件。
惡意網站 攻擊者可以設置包含漏洞利用工具包的網站，這些漏洞利用工具包旨在查找網站訪問者系統中的漏洞並使用它們將惡意軟體強制到其系統中。這些網站還可用於將惡意軟體偽裝成合法下載。
惡意廣告 聰明的攻擊者已經發現了使用廣告網路分發商品的方法。點擊後，惡意廣告可以將用戶重定向到惡意軟體託管網站。某些惡意廣告攻擊甚至不需要用戶交互來感染系統。
網路攻擊
面向公眾的服務，例如Web應用程序和資料庫 也是網路安全攻擊的目標。
最常見的網路應用攻擊：
跨站點腳本（XSS） 攻擊者破壞易受攻擊的網站或Web應用程序並注入惡意代碼。當頁面載入時，代碼在用戶的瀏覽器上執行惡意腳本。SQL注入（SQLi）攻擊者不是將標准數據提交到文本框或其他數據輸入欄位，而是輸入SQL語句來誘騙應用程序顯示或操縱其數據。
Path Traversal 攻擊者制定HTTP請求以繞過訪問控制並導航到系統中的其他目錄和文件。例如，路徑遍歷攻擊可以授予攻擊者訪問站點Web伺服器的核心文件的許可權，而不是限於單個網站的內容。
掃描攻擊掃描不是徹底的網路攻擊，而是攻擊前的偵察。攻擊者使用廣泛使用的掃描工具來探測面向公眾的系統，以便更好地了解現有的服務，系統和安全性。
埠掃描器 用於確定系統開放埠的簡單工具。存在幾種類型，其中一些旨在防止被掃描目標的檢測。
漏洞掃描程序 收集有關目標的信息，並將其與已知的安全漏洞進行比較。結果是系統上已知漏洞及其嚴重性的列表。
其他攻擊
我們只能推測綁定到「其他」的網路攻擊類型。也就是說，這里有一些常見的嫌疑人：
物理攻擊 嘗試以老式的方式摧毀或竊取網路架構或系統。被盜的筆記本電腦是一個常見的例子。
內部人員攻擊 並非所有網路攻擊都是由局外人執行的。憤怒的員工，犯罪的第三方承包商和笨拙的工作人員只是少數潛在的參與者。他們可以竊取和濫用訪問憑據，濫用客戶數據或意外泄露敏感信息。
高級持續性威脅 最先進的網路攻擊由黑客精英團隊執行，他們根據目標環境調整和定製技術。他們的目標通常是通過隱藏和「持久」來長時間竊取數據。
展開剩餘內容
E. 計算機網路安全中的暴力攻擊的原理是什麼
暴力攻擊不是很正式的語言，准確的是暴力破解，屬於密碼學的范疇。
原理是窮舉法。
窮舉法的基本思想是根據題目的部分條件確定答案的大致范圍，並在此范圍內對所有可能的情況逐一驗證，直到全部情況驗證完畢。若某個情況驗證符合題目的全部條件，則為本問題的一個解；若全部情況驗證後都不符合題目的全部條件，則本題無解。窮舉法也稱為枚舉法。
F. 網路安全中常見的黑客攻擊方式
1、後門程序
由於程序員設計一些功能復雜的程序時，一般採用模塊化的程序設計思想，將整個項目分割為多個功能模塊，分別進行設計、調試，這時的後門就是一個模塊的秘密入口。在程序開發階段，後門便於測試、更改和增強模塊功能。正常情況下，完成設計之後需要去掉各個模塊的後門，不過有時由於疏忽或者其他原因（如將其留在程序中，便於日後訪問、測試或維護）後門沒有去掉，一些別有用心的人會利用窮舉搜索法發現並利用這些後門，然後進入系統並發動攻擊。
2、信息炸彈
信息炸彈是指使用一些特殊工具軟體，短時間內向目標伺服器發送大量超出系統負荷的信息，造成目標伺服器超負荷、網路堵塞、系統崩潰的攻擊手段。比如向未打補丁的 Windows 95系統發送特定組合的 UDP 數據包，會導致目標系統死機或重啟；向某型號的路由器發送特定數據包致使路由器死機；向某人的電子郵件發送大量的垃圾郵件將此郵箱「撐爆」等。目前常見的信息炸彈有郵件炸彈、邏輯炸彈等。
3.DOS攻擊
分為DOS攻擊和DDOS攻擊。DOS攻擊它是使用超出被攻擊目標處理能力的大量數據包消耗系統可用系統、帶寬資源，最後致使網路服務癱瘓的一種攻擊手段。作為攻擊者，首先需要通過常規的黑客手段侵入並控制某個網站，然後在伺服器上安裝並啟動一個可由攻擊者發出的特殊指令來控制進程，攻擊者把攻擊對象的IP地址作為指令下達給進程的時候，這些進程就開始對目標主機發起攻擊。這種方式可以集中大量的網路伺服器帶寬，對某個特定目標實施攻擊，因而威力巨大，頃刻之間就可以使被攻擊目標帶寬資源耗盡，導致伺服器癱瘓。比如1999年美國明尼蘇達大學遭到的黑客攻擊就屬於這種方式。DDOS攻擊是黑客進入計算條件，一個磁碟操作系統（拒絕服務）或DDoS攻擊（分布式拒絕服務）攻擊包括努力中斷某一網路資源的服務，使其暫時無法使用。
這些攻擊通常是為了停止一個互聯網連接的主機，然而一些嘗試可能的目標一定機以及服務。DDOS沒有固定的地方，這些攻擊隨時都有可能發生；他們的目標行業全世界。分布式拒絕服務攻擊大多出現在伺服器被大量來自攻擊者或僵屍網路通信的要求。
伺服器無法控制超文本傳輸協議要求任何進一步的，最終關閉，使其服務的合法用戶的一致好評。這些攻擊通常不會引起任何的網站或伺服器損壞，但請暫時關閉。
這種方法的應用已經擴大了很多，現在用於更惡意的目的；喜歡掩蓋欺詐和威懾安防面板等。
4、網路監聽
網路監聽是一種監視網路狀態、數據流以及網路上傳輸信息的管理工具，它可以將網路介面設置在監聽模式，並且可以截獲網上傳輸的信息，也就是說，當黑客登錄網路主機並取得超級用戶許可權後，若要登錄其他主機，使用網路監聽可以有效地截獲網上的數據，這是黑客使用最多的方法，但是，網路監聽只能應用於物理上連接於同一網段的主機，通常被用做獲取用戶口令。
5.系統漏洞
許多系統都有這樣那樣的安全漏洞（Bugs），其中某些是操作系統或應用軟體本身具有的，如Sendmail漏洞，Windows98中的共享目錄密碼驗證漏洞和IE5漏洞等，這些漏洞在補丁未被開發出來之前一般很難防禦黑客的破壞，除非你不上網。還有就是有些程序員設計一些功能復雜的程序時，一般採用模塊化的程序設計思想，將整個項目分割為多個功能模塊，分別進行設計、調試，這時的後門就是一個模塊的秘密入口。在程序開發階段，後門便於測試、更改和增強模塊功能。正常情況下，完成設計之後需要去掉各個模塊的後門，不過有時由於疏忽或者其他原因（如將其留在程序中，便於日後訪問、測試或維護）後門沒有去掉，一些別有用心的人會利用專門的掃描工具發現並利用這些後門，然後進入系統並發動攻擊。
6、密碼破解當然也是黑客常用的攻擊手段之一。
7.誘入法
黑客編寫一些看起來「合法」的程序，上傳到一些FTP站點或是提供給某些個人主頁，誘導用戶下載。當一個用戶下載軟體時，黑客的軟體一起下載到用戶的機器上。該軟體會跟蹤用戶的電腦操作，它靜靜地記錄著用戶輸入的每個口令，然後把它們發送給黑客指定的Internet信箱。例如，有人發送給用戶電子郵件，聲稱為「確定我們的用戶需要」而進行調查。作為對填寫表格的回報，允許用戶免費使用多少小時。但是，該程序實際上卻是搜集用戶的口令，並把它們發送給某個遠方的「黑客」
8.病毒攻擊
計算機病毒可通過網頁、即時通信軟體、惡意軟體、系統漏洞、U盤、移動硬碟、電子郵件、BBS等傳播。
G. 網路攻擊的基本特徵
計算機網路攻擊的特點：
1、造成損失巨大：一旦攻擊者取得成功，會使網路中成千上萬台計算機處於癱瘓狀態，從而給計算機用戶造成巨大的經濟損失。平均一起計算機犯罪案件所造成的經濟損失是一般案件的幾十到幾百倍。
2、威脅社會和國家安全：一些計算機網路攻擊者出於各種目的經常把政府要害部門和軍事部門的計算機作為攻擊目標，從而對社會和國家安全造成威脅。
3、手段多樣，手法隱蔽：攻擊手段五花八門，網路攻擊者既可以通過監視網上數據來獲取別人的保密信息；也可以通過截取別人的帳號和口令而進入別人的計算機系統；還可以繞過設計過的防火牆等。都可在短時間內通過任何一台聯網的計算機完成。因而犯罪不留痕跡，隱蔽性很強。
4、以軟體攻擊為主：幾乎所有的網路入侵都是通過對軟體的截取和攻擊從而破壞整個計算機系統的。它完全不同於人們在生活中所見到的對某些機器設備進行物理上的摧毀。
H. 網路攻擊的種類
網路攻擊（也稱賽博攻擊）是指針對計算機信息系統、基礎設施、計算機網路或個人計算機設備的，任何類型的進攻動作。對於計算機和計算機網路來說，破壞、揭露、修改、使軟體或服務失去功能、在沒有得到授權的情況下偷取或訪問任何一計算機的數據，都會被視為於計算機和計算機網路中的攻擊。
攻擊分類
主動攻擊
主動攻擊會導致某些數據流的篡改和虛假數據流的產生。這類攻擊可分為篡改、偽造消息數據和終端（拒絕服務）。
（1）篡改消息
篡改消息是指一個合法消息的某些部分被改變、刪除，消息被延遲或改變順序，通常用以產生一個未授權的效果。如修改傳輸消息中的數據，將「允許甲執行操作」改為「允許乙執行操作」。
（2）偽造
偽造指的是某個實體（人或系統）發出含有其他實體身份信息的數據信息，假扮成其他實體，從而以欺騙方式獲取一些合法用戶的權利和特權。
（3）拒絕服務
拒絕服務即常說的DoS（Deny of Service），會導致對通訊設備正常使用或管理被無條件地中斷。通常是對整個網路實施破壞，以達到降低性能、終端服務的目的。這種攻擊也可能有一個特定的目標，如到某一特定目的地（如安全審計服務）的所有數據包都被阻止。
被動攻擊
被動攻擊中攻擊者不對數據信息做任何修改，截取/竊聽是指在未經用戶同意和認可的情況下攻擊者獲得了信息或相關數據。通常包括竊聽、流量分析、破解弱加密的數據流等攻擊方式。
（1）流量分析
流量分析攻擊方式適用於一些特殊場合，例如敏感信息都是保密的，攻擊者雖然從截獲的消息中無法的到消息的真實內容，但攻擊者還能通過觀察這些數據報的模式，分析確定出通信雙方的位置、通信的次數及消息的長度，獲知相關的敏感信息，這種攻擊方式稱為流量分析。
（2）竊聽
竊聽是最常用的手段。應用最廣泛的區域網上的數據傳送是基於廣播方式進行的，這就使一台主機有可能受到本子網上傳送的所有信息。而計算機的網卡工作在雜收模式時，它就可以將網路上傳送的所有信息傳送到上層，以供進一步分析。如果沒有採取加密措施，通過協議分析，可以完全掌握通信的全部內容，竊聽還可以用無限截獲方式得到信息，通過高靈敏接受裝置接收網路站點輻射的電磁波或網路連接設備輻射的電磁波，通過對電磁信號的分析恢復原數據信號從而獲得網路信息。盡管有時數據信息不能通過電磁信號全部恢復，但可能得到極有價值的情報。
由於被動攻擊不會對被攻擊的信息做任何修改，留下痕跡很好，或者根本不留下痕跡，因而非常難以檢測，所以抗擊這類攻擊的重點在於預防，具體措施包括虛擬專用網VPN，採用加密技術保護信息以及使用交換式網路設備等。被動攻擊不易被發現，因而常常是主動攻擊的前奏。
被動攻擊雖然難以檢測，但可採取措施有效地預防，而要有效地防止攻擊是十分困難的，開銷太大，抗擊主動攻擊的主要技術手段是檢測，以及從攻擊造成的破壞中及時地恢復。檢測同時還具有某種威懾效應，在一定程度上也能起到防止攻擊的作用。具體措施包括自動審計、入侵檢測和完整性恢復等。
I. 如何防範計算機網路攻擊
一、計算機網路攻擊的常見手法
互聯網發展至今，除了它表面的繁榮外，也出現了一些不良現象，其中黑客攻擊是最令廣大網民頭痛的事情，它是計算機網路安全的主要威脅。下面著重分析黑客進行網路攻擊的幾種常見手法及其防範措施。
（一）利用網路系統漏洞進行攻擊
許多網路系統都存在著這樣那樣的漏洞，這些漏洞有可能是系統本身所有的，如WindowsNT、UNIX等都有數量不等的漏洞，也有可能是由於網管的疏忽而造成的。黑客利用這些漏洞就能完成密碼探測、系統入侵等攻擊。
對於系統本身的漏洞，可以安裝軟體補丁；另外網管也需要仔細工作，盡量避免因疏忽而使他人有機可乘。
（二）通過電子郵件進行攻擊
電子郵件是互聯網上運用得十分廣泛的一種通訊方式。黑客可以使用一些郵件炸彈軟體或CGI程序向目的郵箱發送大量內容重復、無用的垃圾郵件，從而使目的郵箱被撐爆而無法使用。當垃圾郵件的發送流量特別大時，還有可能造成郵件系統對於正常的工作反映緩慢，甚至癱瘓，這一點和後面要講到的「拒絕服務攻擊（DDoS）比較相似。
對於遭受此類攻擊的郵箱，可以使用一些垃圾郵件清除軟體來解決，其中常見的有SpamEater、Spamkiller等，Outlook等收信軟體同樣也能達到此目的。
（三）解密攻擊
在互聯網上，使用密碼是最常見並且最重要的安全保護方法，用戶時時刻刻都需要輸入密碼進行身份校驗。而現在的密碼保護手段大都認密碼不認人，只要有密碼，系統就會認為你是經過授權的正常用戶，因此，取得密碼也是黑客進行攻擊的一重要手法。
取得密碼也還有好幾種方法，一種是對網路上的數據進行監聽。因為系統在進行密碼校驗時，用戶輸入的密碼需要從用戶端傳送到伺服器端，而黑客就能在兩端之間進行數據監聽。
但一般系統在傳送密碼時都進行了加密處理，即黑客所得到的數據中不會存在明文的密碼，這給黑客進行破解又提了一道難題。這種手法一般運用於區域網，一旦成功攻擊者將會得到很大的操作權益。
另一種解密方法就是使用窮舉法對已知用戶名的密碼進行暴力解密。這種解密軟體對嘗試所有可能字元所組成的密碼，但這項工作十分地費時，不過如果用戶的密碼設置得比較簡單，如「12345」、「ABC」等那有可能只需一眨眼的功夫就可搞定。
為了防止受到這種攻擊的危害，用戶在進行密碼設置時一定要將其設置得復雜，也可使用多層密碼，或者變換思路使用中文密碼，並且不要以自己的生日和電話甚至用戶名作為密碼，因為一些密碼破解軟體可以讓破解者輸入與被破解用戶相關的信息，如生日等，然後對這些數據構成的密碼進行優先嘗試。另外應該經常更換密碼，這樣使其被破解的可能性又下降了不少。
（四）後門軟體攻擊
後門軟體攻擊是互聯網上比較多的一種攻擊手法。Back Orifice2000、冰河等都是比較著名的特洛伊木馬，它們可以非法地取得用戶電腦的超級用戶級權利，可以對其進行完全的控制，除了可以進行文件操作外，同時也可以進行對方桌面抓圖、取得密碼等操作。
這些後門軟體分為伺服器端和用戶端，當黑客進行攻擊時，會使用用戶端程序登陸上已安裝好伺服器端程序的電腦，這些伺服器端程序都比較小，一般會隨附帶於某些軟體上。有可能當用戶下載了一個小游戲並運行時，後門軟體的伺服器端就安裝完成了，而且大部分後門軟體的重生能力比較強，給用戶進行清除造成一定的麻煩。
當在網上下載數據時，一定要在其運行之前進行病毒掃描，並使用一定的反編譯軟體，查看來源數據是否有其他可疑的應用程序，從而杜絕這些後門軟體。
（五）拒絕服務攻擊
互聯網上許多大網站都遭受過此類攻擊。實施拒絕服務攻擊（DDoS）的難度比較小，但它的破壞性卻很大。它的具體手法就是向目的伺服器發送大量的數據包，幾乎佔取該伺服器所有的網路寬頻，從而使其無法對正常的服務請求進行處理，而導致網站無法進入、網站響應速度大大降低或伺服器癱瘓。
現在常見的蠕蟲病毒或與其同類的病毒都可以對伺服器進行拒絕服務攻擊的進攻。它們的繁殖能力極強，一般通過Microsoft的Outlook軟體向眾多郵箱發出帶有病毒的郵件，而使郵件伺服器無法承擔如此龐大的數據處理量而癱瘓。
對於個人上網用戶而言，也有可能遭到大量數據包的攻擊使其無法進行正常的網路操作，所以大家在上網時一定要安裝好防火牆軟體，同時也可以安裝一些可以隱藏IP地址的程序，怎樣能大大降低受到攻擊的可能性。
-----------------------------------------------------------------------------
二、計算機網路安全的防火牆技術
計算機網路安全是指利用網路管理控制和技術措施，保證在一個網路環境里，信息數據的保密性、完整性和可使用性受到保護。網路安全防護的根本目的，就是防止計算機網路存儲、傳輸的信息被非法使用、破壞和篡改。防火牆技術正是實現上述目的一種常用的計算機網路安全技術。
（一）防火牆的含義
所謂「防火牆」，是指一種將內部網和公眾訪問網(如Internet)分開的方法，它實際上是一種隔離技術。防火牆是在兩個網路通訊時執行的一種訪問控制尺度，它能允許你「同意」的人和數據進入你的網路，同時將你「不同意」的人和數據拒之門外，最大限度地阻止網路中的黑客來訪問你的網路，防止他們更改、拷貝、毀壞你的重要信息。
（二）防火牆的安全性分析
防火牆對網路的安全起到了一定的保護作用，但並非萬無一失。通過對防火牆的基本原理和實現方式進行分析和研究，作者對防火牆的安全性有如下幾點認識：
1．只有正確選用、合理配置防火牆，才能有效發揮其安全防護作用
防火牆作為網路安全的一種防護手段，有多種實現方式。建立合理的防護系統，配置有效的防火牆應遵循這樣四個基本步驟：
a.風險分析；
b.需求分析；
c.確立安全政策；
d.選擇准確的防護手段，並使之與安全政策保持一致。
然而，多數防火牆的設立沒有或很少進行充分的風險分析和需求分析，而只是根據不很完備的安全政策選擇了一種似乎能「滿足」需要的防火牆，這樣的防火牆能否「防火」還是個問題。
2．應正確評估防火牆的失效狀態
評價防火牆性能如何，及能否起到安全防護作用，不僅要看它工作是否正常，能否阻擋或捕捉到惡意攻擊和非法訪問的蛛絲馬跡，而且要看到一旦防火牆被攻破，它的狀態如何? 按級別來分，它應有這樣四種狀態：
a.未受傷害能夠繼續正常工作；
b.關閉並重新啟動，同時恢復到正常工作狀態；
c.關閉並禁止所有的數據通行；
d. 關閉並允許所有的數據通行。
前兩種狀態比較理想，而第四種最不安全。但是許多防火牆由於沒有條件進行失效狀態測試和驗證，無法確定其失效狀態等級，因此網路必然存在安全隱患。
3.防火牆必須進行動態維護
防火牆安裝和投入使用後，並非萬事大吉。要想充分發揮它的安全防護作用，必須對它進行跟蹤和維護，要與商家保持密切的聯系，時刻注視商家的動態。因為商家一旦發現其產品存在安全漏洞，就會盡快發布補救(Patch) 產品，此時應盡快確認真偽(防止特洛伊木馬等病毒)，並對防火牆軟體進行更新。
4.目前很難對防火牆進行測試驗證
防火牆能否起到防護作用，最根本、最有效的證明方法是對其進行測試，甚至站在「黑客」的角度採用各種手段對防火牆進行攻擊。然而具體執行時難度較大，主要原因是：
a.防火牆性能測試目前還是一種很新的技術，尚無正式出版刊物，可用的工具和軟體更是寥寥無幾。據了解目前只有美國ISS公司提供有防火牆性能測試的工具軟體。
b.防火牆測試技術尚不先進，與防火牆設計並非完全吻合，使得測試工作難以達到既定的效果。
c.選擇「誰」進行公正的測試也是一個問題。
可見，防火牆的性能測試決不是一件簡單的事情，但這種測試又相當必要，進而提出這樣一個問題：不進行測試，何以證明防火牆安全？
5.非法攻擊防火牆的基本「招數」
a. IP地址欺騙攻擊。許多防火牆軟體無法識別數據包到底來自哪個網路介面，因此攻擊者無需表明進攻數據包的真正來源，只需偽裝IP地址，取得目標的信任，使其認為來自網路內部即可。IP地址欺騙攻擊正是基於這類防火牆對IP地址缺乏識別和驗證的機制而得成的。
b.破壞防火牆的另一種方式是攻擊與干擾相結合。也就是在攻擊期間使防火牆始終處於繁忙的狀態。防火牆過分的繁忙有時會導致它忘記履行安全防護的職能，處於失效狀態。
c.防火牆也可能被內部攻擊。因為安裝了防火牆後，隨意訪問被嚴格禁止了， 這樣內部人員無法在閑暇的時間通過Telnet瀏覽郵件或使用FTP向外發送信息，個別人會對防火牆不滿進而可能攻擊它、破壞它，期望回到從前的狀態。這里，攻擊的目標常常是防火牆或防火牆運行的操作系統，因此不僅涉及網路安全，還涉及主機安全問題。
----------------------------------------------------------------------------
（三）防火牆的基本類型
實現防火牆的技術包括四大類：網路級防火牆（也叫包過濾型防火牆）、應用級網關、電路級網關和規則檢查防火牆。
1.網路級防火牆
一般是基於源地址和目的地址、應用或協議以及每個IP包的埠來作出通過與否的判斷。一個路由器便是一個「傳統」的網路級防火牆，大多數的路由器都能通過檢查這些信息來決定是否將所收到的包轉發，但它不能判斷出一個IP包來自何方，去向何處。
先進的網路級防火牆可以判斷這一點，它可以提供內部信息以說明所通過的連接狀態和一些數據流的內容，把判斷的信息同規則表進行比較，在規則表中定義了各種規則來表明是否同意或拒絕包的通過。包過濾防火牆檢查每一條規則直至發現包中的信息與某規則相符。
如果沒有一條規則能符合，防火牆就會使用默認規則，一般情況下，默認規則就是要求防火牆丟棄該包。其次，通過定義基於TCP或UDP數據包的埠號，防火牆能夠判斷是否允許建立特定的連接，如Telnet、FTP連接。
下面是某一網路級防火牆的訪問控制規則：
(1)允許網路123.1.0使用FTP(21口)訪問主機 ；
(2)允許IP地址為 和 的用戶Telnet (23口)到主機 上；
(3)允許任何地址的E-mail(25口)進入主機 ；
(4)允許任何WWW數據（80口）通過；
(5)不允許其他數據包進入。
網路級防火牆簡潔、速度快、費用低，並且對用戶透明，但是對網路的保護很有限，因為它只檢查地址和埠，對網路更高協議層的信息無理解能力。
2.規則檢查防火牆
該防火牆結合了包過濾防火牆、電路級網關和應用級網關的特點。它同包過濾防火牆一樣， 規則檢查防火牆能夠在OSI網路層上通過IP地址和埠號，過濾進出的數據包。它也象電路級網關一樣，能夠檢查SYN和ACK標記和序列數字是否邏輯有序。
當然它也象應用級網關一樣， 可以在OSI應用層上檢查數據包的內容，查看這些內容是否能符合公司網路的安全規則。規則檢查防火牆雖然集成前三者的特點，但是不同於一個應用級網關的是，它並不打破客戶機/服務機模式來分析應用層的數據， 它允許受信任的客戶機和不受信任的主機建立直接連接。
規則檢查防火牆不依靠與應用層有關的代理，而是依靠某種演算法來識別進出的應用層數據，這些演算法通過已知合法數據包的模式來比較進出數據包，這樣從理論上就能比應用級代理在過濾數據包上更有效。
目前在市場上流行的防火牆大多屬於規則檢查防火牆，因為該防火牆對於用戶透明，在OSI最高層上加密數據，不需要你去修改客戶端的程序，也不需對每個需要在防火牆上運行的服務額外增加一個代理。
如現在最流行的防火牆之一OnTechnology軟體公司生產的OnGuard和CheckPoint軟體公司生產的FireWall-1防火牆都是一種規則檢查防火牆。
從趨勢上看，未來的防火牆將位於網路級防火牆和應用級防火牆之間，也就是說，網路級防火牆將變得更加能夠識別通過的信息，而應用級防火牆在目前的功能上則向「透明」、「低級」方面發展。最終防火牆將成為一個快速注冊稽查系統，可保護數據以加密方式通過，使所有組織可以放心地在節點間傳送數據。
（四）防火牆的配置
防火牆配置有三種：Dual-homed方式、Screened-host方式和Screened-subnet方式。Dual-homed方式最簡單。 Dual-homedGateway放置在兩個網路之間，這個Dual-omedGateway又稱為bastionhost。
這種結構成本低，但是它有單點失敗的問題。這種結構沒有增加網路安全的自我防衛能力，而它往往是受「黑客」攻擊的首選目標，它自己一旦被攻破，整個網路也就暴露了。
Screened-host方式中的Screeningrouter為保護Bastionhost的安全建立了一道屏障。它將所有進入的信息先送往Bastionhost，並且只接受來自Bastionhost的數據作為出去的數據。
這種結構依賴Screeningrouter和Bastionhost，只要有一個失敗，整個網路就暴露了。Screened-subnet包含兩個Screeningrouter和兩個Bastionhost。 在公共網路和私有網路之間構成了一個隔離網，稱之為」停火區」（DMZ，即DemilitarizedZone）,Bastionhost放置在」停火區」內。這種結構安全性好，只有當兩個安全單元被破壞後，網路才被暴露，但是成本也很昂貴。
----------------------------------------------------------------------------
（四）防火牆的安全措施
各種防火牆的安全性能不盡相同。這里僅介紹一些一般防火牆的常用安全措施：
1.防電子欺騙術
防電子欺騙術功能是保證數據包的IP地址與網關介面相符，防止通過修改IP地址的方法進行非授權訪問。還應對可疑信息進行鑒別，並向網路管理員報警。
2.網路地址轉移
地址轉移是對Internet隱藏內部地址，防止內部地址公開。這一功能可以克服IP定址方式的諸多限制，完善內部定址模式。把未注冊IP地址映射成合法地址，就可以對Internet進行訪問。
3.開放式結構設計
開放式結構設計使得防火牆與相關應用程序和外部用戶資料庫的連接相當容易，典型的應用程序連接如財務軟體包、病毒掃描、登錄分析等。
4.路由器安全管理程序
它為Bay和Cisco的路由器提供集中管理和訪問列表控制。
（六）傳統防火牆的五大不足
1．無法檢測加密的Web流量
如果你正在部署一個光鍵的門戶網站，希望所有的網路層和應用層的漏洞都被屏蔽在應用程序之外。這個需求，對於傳統的網路防火牆而言，是個大問題。
由於網路防火牆對於加密的SSL流中的數據是不可見的，防火牆無法迅速截獲SSL數據流並對其解密，因此無法阻止應用程序的攻擊，甚至有些網路防火牆，根本就不提供數據解密的功能。
2、普通應用程序加密後，也能輕易躲過防火牆的檢測
網路防火牆無法看到的，不僅僅是SSL加密的數據。對於應用程序加密的數據，同樣也不可見。在如今大多數網路防火牆中，依賴的是靜態的特徵庫，與入侵監測系統（IDS，Intrusion Detect System）的原理類似。只有當應用層攻擊行為的特徵與防火牆中的資料庫中已有的特徵完全匹配時，防火牆才能識別和截獲攻擊數據。
但如今，採用常見的編碼技術，就能夠地將惡意代碼和其他攻擊命令隱藏起來，轉換成某種形式，既能欺騙前端的網路安全系統，又能夠在後台伺服器中執行。這種加密後的攻擊代碼，只要與防火牆規則庫中的規則不一樣，就能夠躲過網路防火牆，成功避開特徵匹配。
3、對於Web應用程序，防範能力不足
網路防火牆於1990年發明，而商用的Web伺服器，則在一年以後才面世。基於狀態檢測的防火牆，其設計原理，是基於網路層TCP和IP地址，來設置與加強狀態訪問控制列表（ACLs，Access Control Lists）。在這一方面，網路防火牆表現確實十分出色。
近年來，實際應用過程中，HTTP是主要的傳輸協議。主流的平台供應商和大的應用程序供應商，均已轉移到基於Web的體系結構，安全防護的目標，不再只是重要的業務數據。網路防火牆的防護范圍，發生了變化。
對於常規的企業區域網的防範，通用的網路防火牆仍佔有很高的市場份額，繼續發揮重要作用，但對於新近出現的上層協議，如XML和SOAP等應用的防範，網路防火牆就顯得有些力不從心。
由於體系結構的原因，即使是最先進的網路防火牆，在防範Web應用程序時，由於無法全面控制網路、應用程序和數據流，也無法截獲應用層的攻擊。由於對於整體的應用數據流，缺乏完整的、基於會話（Session）級別的監控能力，因此很難預防新的未知的攻擊。
4、應用防護特性，只適用於簡單情況
目前的數據中心伺服器，時常會發生變動，比如：
★ 定期需要部署新的應用程序；
★ 經常需要增加或更新軟體模塊；
★ QA們經常會發現代碼中的bug，已部署的系統需要定期打補丁。
在這樣動態復雜的環境中，安全專家們需要採用靈活的、粗粒度的方法，實施有效的防護策略。
雖然一些先進的網路防火牆供應商，提出了應用防護的特性，但只適用於簡單的環境中。細看就會發現，對於實際的企業應用來說，這些特徵存在著局限性。在多數情況下，彈性概念（proof-of-concept）的特徵無法應用於現實生活中的數據中心上。
比如，有些防火牆供應商，曾經聲稱能夠阻止緩存溢出：當黑客在瀏覽器的URL中輸入太長數據，試圖使後台服務崩潰或使試圖非法訪問的時候，網路防火牆能夠檢測並制止這種情況。
細看就會發現，這些供應商採用對80埠數據流中，針對URL長度進行控制的方法，來實現這個功能的。
如果使用這個規則，將對所有的應用程序生效。如果一個程序或者是一個簡單的Web網頁，確實需要涉及到很長的URL時，就要屏蔽該規則。
網路防火牆的體系結構，決定了網路防火牆是針對網路埠和網路層進行操作的，因此很難對應用層進行防護，除非是一些很簡單的應用程序。
5、無法擴展帶深度檢測功能
基於狀態檢測的網路防火牆，如果希望只擴展深度檢測（deep inspection）功能，而沒有相應增加網路性能，這是不行的。
真正的針對所有網路和應用程序流量的深度檢測功能，需要空前的處理能力，來完成大量的計算任務，包括以下幾個方面：
★ SSL加密/解密功能；
★ 完全的雙向有效負載檢測；
★ 確保所有合法流量的正常化；
★ 廣泛的協議性能；
這些任務，在基於標准PC硬體上，是無法高效運行的，雖然一些網路防火牆供應商採用的是基於ASIC的平台，但進一步研究，就能發現：舊的基於網路的ASIC平台對於新的深度檢測功能是無法支持的。
三、結束語
由於互聯網路的開放性和通信協議的安全缺陷，以及在網路環境中數據信息存儲和對其訪問與處理的分布性特點，網上傳輸的數據信息很容易泄露和被破壞，網路受到的安全攻擊非常嚴重，因此建立有效的網。
J. 網路暴力的危害與應對方法
網路暴力的危害
1、網路暴力混淆真假
真真假假的世界，尤其是網路這樣一個虛擬的社會，真假原本就難以辨識，而在網路暴力事件的不斷沖擊下，原本難以辨識的真善美和假丑惡變得更加難以區分。通常，對真理的曲解並不在於信息源本身，而在於真理在傳播的過程中被歪曲混淆，網路暴力事件，往往是真理被曲解的過程，在這個過程中，混淆了對與錯，真假難辨。網民進入網路世界，應該具備對與錯的基本辨識能力，可實際情況是，在網路這樣一個虛擬世界，對與錯的界限變得很模糊，當然，如果在認識事物的過程中從不同角度看問題是絕對值得推崇的。但是這里的混淆並不是辯證的用理性的態度去理解事情，而是將錯的東西說成對的，而對的事情又變成錯誤的，歪曲事實真相。眾多網民參與網路暴力事件時，會帶有個人情感的去看待事物，換而言之，就是對待一個事件往往會有「第一印象」，這個「第一印象」就是個體對網路事件的第一態度，而在接下來的過程中，進行搜索或者獲得資料試圖去辨明事件真相也不能解決問題，因為進入網路世界的人們有一個共通的特點就是在利用搜索網站進行搜索時，所搜尋到的資料和觀點基本都是和自己原本持有觀念相一致的觀點，這個過程中不但無法將其從錯誤引向正確的觀點，反而會更加強化其原有的觀點。一件事情在網路上引起爭論，引來各方關注和討論，原本是件好事，經過討論和辨別的事情能夠更加趨近真理，可是網路暴力的發生也是網路事件引起爭論的結果，而這樣的結果不是討論結果的價值多元化，而是兩種截然相反的極端觀點佔主流地位，網民不自覺的站隊，無形中充當了網路暴力事件的推動者。縱觀多數能夠引起極大爭議的網路暴力事件，不難發現這樣的事件大多即使未違反法律也多半違背普遍道德倫理價值觀。
2、網路暴力侵犯當事人權益
網路暴力中，參與者非理性的群體攻擊侵犯了網路暴力事件當事人，對當事人的身心造成了傷害，並直接侵擾了當事人的現實生活。尤其人肉搜索風靡開始，網民已不再局限於在網路上通過語言文字或圖像的方式對當事人進行攻擊討伐，通過人肉搜索手段直接從網路虛擬社會滲透到現實社會，對當事人的現實生活進行騷擾。網路暴力事件中，受害人有名有姓，卻找不到具體的實施傷害的人，正因為如此，參與的網民抱著法不責眾的心理肆意而為。網路集體暴力中，網民很少考慮到當事人的心理。而當事人因網路暴力事件，所受的懲罰完全非等量懲罰。當事人需要道德譴責，需要法律制裁，但絕對不需要披著道德外衣打著正義旗幟的暴力去解決。
3、網路暴力影響網民的道德價值觀
除了直接造成的危害和影響外，網路暴力行為的頻繁發生，會影響網民的價值觀。正確的價值觀念是人類社會秩序正常運行、美好和諧社會得以構建的保障。在日常生活中，人們的道德觀念價值觀念無時無刻不在影響他們的行為和處事方式。就學校食堂旳例子來說，每到吃飯時會很擁擠，樓梯中總是人頭攢動，但是卻亂中又井然有序，就是價值觀念在發生作用。交通規則的道理相同，在交通規則還未制定、紅綠燈都還不存在的世界，馬路上來來往往的行人、車輛也會互相相讓，以使每一個通行的人能快點到達目的地。社會的普遍價值觀影響了個體的價值觀，進而影響個體的行為。網路暴力沖擊人自身的防衛系統，原本符合社會倫理、符合道德意識的價值觀在網路暴力的沖擊下會被扭曲。原本提倡的辯證法在網路暴力事件中完全被忽略，事情變得只有兩個極端，非A即B。在網路暴力事件中，參與事件的網民盲目的支持某一方過於絕對化的觀點，披著道德的外衣，做著違反道德的事，而且並不認為自己有錯。這里網路暴力的表現就是扭曲的價值觀，把錯誤的觀點當成是真理，堅決不承認錯誤。人在思維上有一種慣性，就是有時會過於堅信某一方面的觀點，並通過其他信息的搜尋不斷的強化自己的觀點。正因為個體已經偏向於某一方面的觀點，一旦與自己已有觀念不同的觀點侵入，則會存在不安全感，盡其所能的去維護自己的觀點，進而自我欺騙，在搜集與自己持相同觀點的同時加上一定程度的自我欺騙，原先的觀點被強化，不再接受其他觀點，價值觀被扭曲。
4、網路暴力阻礙和諧社會構建
網路暴力事件加速個人信息的泄漏，引發社會恐慌，阻礙和諧社會的進程。2012年4月對公民如何保護個人信息權進行了網路調查，參與人數4142人。其中對於個人信息是否泄漏的調查數據顯示：30%的人多次遭遇信息泄漏狀況，40%的人偶爾有信息泄漏的狀況，僅15%的人極少遭遇此情況，且15%的人對自己信息是否泄漏尚不清楚。由此可見，至少70%以上的人遭遇過不同程度的個人信息泄漏狀況，個人信息安全關繫到個體的切身利益，個人信息遭到侵犯，使得當事人缺乏安全感，容易引發不安情緒。而對於個人信息存在哪些安全隱患方面，52%的人認為機構或網站擅自將個人信息泄漏或販賣給其他機構或個人，23%的人認為個人信息被不法分子用於詐騙等犯罪行為，18%的人認為機構或網站的個人信息保管機制不健全，5%的人認為個人在上網時遭遇「釣魚網站」，而僅有2%的人認為是其他原因。很明顯98%以上的人所認為的安全隱患都與網路有關。網路暴力事件侵犯了當事人的名譽權、隱私權，泄漏了網民的個人信息，更加增強了個人信息的安全風險，引發了社會的恐慌情緒。網路空間和現實社會是有共通之處的，有的學者則直接認為，「網路空間」也是「現實社會」，只不過它是一種通過虛擬技術進行信息交流和傳播的新型媒介而已。按照這樣的說法，網路空間，是人們生活的空間，是一個以虛擬為形式的「現實社會」。那麼，在這樣一個社會所受到的一切影響也必然會作用到現實社會。網路暴力是「輿論」場域的群體性紛爭，以道德的名義對當事人進行討伐，可以說是網路自由的異化，這無疑阻礙了和諧網路社會的構建。與現實社會的暴力行為相比，網路暴力參與的群體更廣，傳播速度更快，因此某些意義上說，可能比現實社會的暴力產生的危害更大。網路暴力的產生雖然時間不長，但是危害大、影響范圍廣，而且蔓延趨勢嚴重。網路暴力作為網路表達自由的異化現象，有的學者認為不僅是對人類公共道德和傳統價值觀念的挑戰，更為嚴重的是，網路上的一些過激言論或行為已經觸及到法律的紅線。也有的學者認為，網路上的發泄情緒所引發的網路暴力，不僅使得社會倫理大廈根基動搖，道德與誠信逐漸淪喪，而且古老的文明傳統即將逝去，與現代文明風氣也漸行漸遠。國外學者也注意到網路暴力的嚴重性，並一致認為網路暴力以及給受害者的騷擾在全球范圍內呈上升趨勢。他們提出，與傳統暴力相比，網路暴力以及網路犯罪來得更加頻繁。而且有人甚至認為互聯網潛在的巨大危害能徹底摧毀一個人的生活，這里摧毀的力量指的就是網路暴力。隨著博客、貼吧、論壇以及視頻網站的運營，人們的行為、話語、姿態，可能通過這些媒介，登上網路平台，遭受公眾審判，而公眾在審判的過程中帶有過多的個人情感和情緒的發泄，往往過於偏激，引發網路暴力。加之人肉搜索的興起，私人信息被曝，網民跟風炒作，擴大事情影響，引發網路暴力，給當事人造成嚴重的身心傷害。針對性的教育引導整治「網路暴力」的關鍵是教育引導。教育者不能「談網色變」，要正視網路的「雙刃劍」性質，為青少年營造良好的網路氛圍，用積極的信息豐富青少年生活，讓青少年認識到虛擬不是生活的全部，健康的生活方式才會使人生更美好。
教育中要引入網路道德教育。青少年涉足「網路暴力」的原因之一就是道德的缺失，因此教育要對症下葯，培養學生正確認識網路道德，樹立正確的人生觀、價值觀，把倫理知識引入到對學生的教育中，培養學生網路的責任感。
要引導青少年正確看待網路，讓年輕的網民以辯證的眼光審視網路中的各種現象。對網路中的信息真偽性加以理性的認識，杜絕盲從；充分結合未成年人的興趣、愛好，加強網上正面宣傳，為未成年人營造良好的網路文化氛圍，不斷增強網路安全與道德意識，培養良好的網路道德素質，讓學生學會自我調節、自我約束和自我保護。
另外要教育青少年辨別網上信息的能力，通過引導青少年對網上信息內容的辨別，反思網路中信息良莠不齊的現狀，讓青少年養成在虛擬環境下能思考、會節制、有辨別的能力。
規范互聯網行業，在制度和技術上加大對不良信息的監管力度涉及互聯網的行業很多，互聯網行業就是網上信息的所在之處。很多網站服務商為了博取更多的關注而不負責任地發布或鼓勵網民發布諸如名人花邊新聞等不良信息。這類消息往往缺乏依據，或根據細碎的片段，利用網民好奇心理，斷章取義得出一些「轟動效應」強烈的結論，從而得到點擊率和經濟利益。
國家相關職能部門要在規范互聯網方面有所作為，政府有義務監管和整治互聯網行業。對散布不法信息的網站要制訂明確的執法依據，下大力整治，在技術上提高監管效率，長期整治，逐步凈化網路環境。
探索和建立實名制上網機制長期以來的匿名網路弊端凸顯，網民可以輕易地對事件進行不實的報道或評論，各種和網路沾邊的犯罪案件往往就是由於匿名網路的虛擬性和無制約性所致。在虛擬的環境下，網民可以以匿名方式從事「網路暴力」活動。韓國明星崔真實自殺案就是由於匿名消息超出當事人心理承受能力造成的。
過分的自由如同斷線的風箏勢必會撞得粉碎。沒有必要的管制，倫理道德的底線往往會被無情地埋葬。網路文明不能只寄希望於網民的誠信，網路中必須有能讓網民對自己在網上的言行舉止負起責任的制度。
實名制上網可以大幅度減少網上不負責任的言論，實名網民在發帖前會考慮所發信息內容的真實性，至少在發貼前進行必要的調查。