基于防火墙穿透技术Firewalking的安全探测系统

王彬 吴渝 王国胤

Firewalking是一种穿透防火墙进行安全探测的技术，分析了目前流行的几种探测工具，基于Firewalking技术开发了可穿透防火墙的安全探测系统FWTEST。该系统工作在Windows 9x/2000/NT系列平台上，支持ICMP，UDP，TCP协议，可进行11种探测。测试表明本系统能成功发现防火墙，并穿透防火墙绘制出目标两络拓扑图，探测出防火墙的ACL规则。

防火墙攻击穿透技术研究与实现

The Research and Implementation of the Attacking and Penetrating Firewall Technologies

胡善岳 张新泉 李治云 吴娅

本文首先对防火墙的典型攻击技术——IP地址欺骗技术进行了分析；在分析研究了ICMP协议的基础上，利用ICMP协议的特点研究并实现了防火墙的ICMP隐蔽通道攻击穿透技术。[著者文摘]

用ICMP封装用户数据进行通信的方法及其实现

林洋 李腊元

利用ICMP数据报的隐蔽性和穿透防火墙的能力，在ICMP报文中封装用户数据进行通信，并以此为基础引入TCP协议的一些实现技术，从而使这种通信模式具有面向连接的能力并具有一定的可靠性。文中还给出了主要数据结构的描述。

基于ICMP的网络攻击与防范

张振国 张楠

许多网络攻击都基于ICMP协议。本文首先介绍ICMP协议，接着探究了常见的基于ICMP的网络攻击的原理．最后提出防火墙应对方案以防止和减轻这种攻击所造成的危害。

防火墙入侵阻止功能的设计与实现

Design and Implementation of a Firewall IPS Module

乔向东 杨仝 张景伟

针对防火墙内嵌入侵阻止功能模块的研究，提出了2种不同的设计方案，方案1利用基于libipq库的netfilter的排队（QUEUE）动作以及snort_inline技术实现对攻击数据包的丢弃，方案2则是综合利用syncookies技术、netfilter的新模糊包速率匹配、PSD检测、U32检测技术并结合对防火墙内核改造来实现对主流拒绝服务攻击（DOS）攻击包的阻止；在综合比较的基础上，依据方案2完成了实验模块的设计与实现；攻击测试结果表明，该模块具备了较好地防御主流DOS攻击的能力。[著者文摘]

Two different design schemes about firewall IPS module are brought up. In the first scheme snot - inline technique and the QUEUE action of neffilter are used to achieve dropping of attack data packet. In the second one, IPS about Denial of Service attack is achieved with the benefit of combination of synccokies, the new neffiher fuzzy match, PSD match, U32 match with an improvement on the firewall kernel. After comprehensive comparison, the module is developed according to the second scheme. The experiment shows that the designed module works well in defending main DOS attack.[著者文摘]

计算机网络安全与防火墙技术

王敏[1] 刘绍龙[2]

随着计算机网络的普及，网络安全问题越来越得到人们的重视。在确保网络安全和数据安全方面，有数据加密技术、智能卡技术、防火墙技术等，我们在这里主要研究的是防火墙技术。从防火墙的防范方式和侧重点的不同来看，防火墙可以分为很多类型，本文根据防火墙对内外数据的处理方法上．大致将防火墙分为包过滤防火墙和代理防火墙两大体系，并对这两种防火墙进行对比。了解防火墙的局限性，对防火墙的认识进一步的加深。最后，了解防火墙的基本元素及防火墙的常见体系结构。

防火墙软件Ipchains在Linux系统中的应用

来羽

Ipchains软件是Linux平台上网络层的IP包过滤防火墙，在防火墙链中置IP伪装是一个比包过滤策略更加安全的解决方案。它同时解决了Internet中IP地址资源不足的问题，构建IP防火墙的基本配置方式是：可选择允许符合一定条件的包通过，也可先接受所有的包，再明确指出禁止哪些类型的包。在开始过滤某些不想要的包之前，以下内容应不在被阻拦之列：ICMP包、到DNS的TCP连接、主动式FTP的TCP连接等，此外，还应针对可能的网络攻击的特点完善的安全策略。

移动IP环境下IP追踪的研究

Study on IP Traceback for Mobile IP

粱国臣 高袭伟

针对DoS和DDoS攻击对移动IP环境下的IP追踪进行了详细的分析，给出了其各个功能实体受攻击时进行IP追踪的方法，并且在此基础上提出了一种新的ICMP消息来完善移动IP环境下IP追踪机制的方法。[著者文摘]

The paper discusses the IP traceback methods for DoS attack and DDoS attack in context of mobile IP, and provides detailed IP traceback methods in case of attack for each function entity of mobile IP. Finally, the paper proposes a new ICMP notification message for traceback co-operation.[著者文摘]