電腦網絡安全原理

吳禮發

男，1968年8月生，分別於1991年7月、1995年2月從南京通信工程學院獲計算機與指揮自動化專業學士、
計算機應用技術專業工學碩士學位，1998年10 月於南京大學計算機軟件專業獲工學博士學位，
現為南京郵電大學計算機學院教授、博士生導師。
先後承擔了20餘項國家和軍隊重點科研項目，獲軍隊科技進步一等獎1項、二等獎1項、三等獎4項，
全軍教學成果二等獎1項、三等獎2項。
出版學術專著1部，教材5部，獲國家發明專利6項，發表學術論文100 餘篇。
主要從事軟件安全漏洞挖掘與利用、協議逆向分析、雲計算安全等方向的教學和科研工作。

第1章緒論1
1.1計算機網絡概述1
1.1.1網絡結構和組成1
1.1.2網絡體系結構4
1.2計算機網絡脆弱性分析6
1.3計算機網絡安全概念8
1.3.1計算機網絡安全8
1.3.2與計算機網絡安全相關的概念9
1.4計算機網絡安全威脅13
1.4.1網絡安全威脅因素13
1.4.2網絡攻擊概述14
1.5網絡安全模型15
1.6網絡安全機制與服務19
1.7網絡安全技術的發展簡史26
1.8本書的內容與組織28
1.9習題32
1.10實驗34

第2章密碼學基礎知識36
2.1密碼學基本概念36
2.2古典密碼系統38
2.2.1單表代換密碼38
2.2.2多表代替密碼41
2.2 .3置換密碼算法43
2.3現代密碼系統概述44
2.3.1對稱密鑰密碼系統44
2.3.2公開密鑰密碼系統46
2.4典型對稱密鑰密碼系統48
2.4.1數據加密標準（DES） 48
2.4.2高級數據加密標準（AES） 56
2.4.3 RC4 60
2.5典型公開密鑰密碼系統62
2.5.1 RSA公開密鑰密碼系統62
2.5.2 Diffie-Hellman密鑰交換協議65
2.5.3 ElGamal公鑰密碼體制67
2.5.4橢圓曲線密碼體制68
2.5.5基於身份標識的密碼體制70
2.6密碼分析71
2.6.1傳統密碼分析方法71
2.6.2密碼旁路分析72
2.6.3密碼算法和協議的工程實現分析73
2.7習題74
2.8實驗76
2.8.1 DES數據加密、解密算法實驗76
2.8.2 RSA數據加密、解密算法實驗76

第3章認證與數字簽名78
3.1散列函數78
3.1.1散列函數的要求78
3.1.2 MD算法80
3.1.3 SHA算法81
3.2消息認證83
3.2.1報文源的認證83
3.2.2報文宿的認證85
3.2.3報文內容的認證86
3.2.4報文順序的認證90
3.3數字簽名91
3.3.1數字簽名的基本概念92
3.3.2利用RSA密碼系統實現數字簽名93
3.3.3利用ElGamal密碼系統實現數字簽名94
3.3.4利用橢圓曲線密碼實現數字簽名95
3.3.5散列函數在數字簽名中的作用95
3.4身份認證96
3.4.1一次性口令認證98
3.4. 2基於共享密鑰的認證100
3.4.3可擴展認證協議EAP 107
3.5習題109
3.6實驗114
3.6.1使用GPG4win進行數字簽名114
3.6.2 OpenSSL軟件的安裝與使用115

第4章PKI與數字證書116
4.1密鑰管理116
4.2數字證書117
4.2.1證書格式118
4.2.2 CRL格式125
4.3 PKI 126
4.3.1 PKI組成127
4.3.2證書籤發和撤銷流程132
4.3.3證書的使用134
4.3.4 PKIX 135
4.4證書透明性136
4.5習題138
4.6實驗141

第5章無線網絡安全142
5.1無線局域網安全142
5.1.1概述142
5.1.2 WEP安全協議145
5.1.3 WPA/WPA2安全協議148
5.2移動網絡安全155
5.2.1 2G安全155
5.2.2 3G安全157
5.2.3 4G安全159
5.2.4 5G安全161
5.3習題166
5.4實驗168

第6章IP及路由安全169
6.1 IPv4協議及其安全性分析169
6.2 IPsec 170
6.2.1 IPsec安全策略171
6.2.2 IPsec運行模式175
6.2.3 AH協議176
6.2.4 ESP協議179
6.2.5網絡密鑰交換182
6.2.6 SA組合191
6.2.7 IPsec的應用192
6.3 IPv6協議及其安全性分析194
6.3.1 IPv6協議格式194
6.3.2 IPv6安全性分析196
6.4路由安全197
6.4.1 RIP協議及其安全性分析198
6.4.2 OSPF協議及其安全性分析200
6.4.3 BGP協議及其安全性分析203
6.5習題206
6.6實驗209
6.6.1 IPsec VPN配置209
6.6.2用Wireshark觀察IPsec協議的通信過程209

第7章傳輸層安全211
7.1傳輸層安全概述211
7.1 .1端口和套接字212
7.1.2 UDP協議及其安全性212
7.1.3 TCP協議及其安全性213
7.2 SSL 216
7.2.1 SSL體系結構216
7.2.2 SSL記錄協議218
7.2.3 SSL密碼變更規格協議220
7.2.4告警協議220
7.2.5握手協議221
7.2.6密鑰生成226
7.3 TLS 227
7.3.1 TLS與SSL的差異227
7.3.2 TLS 1.3 231
7.4 SSL/TLS VPN 234
7.5習題236
7.6實驗237

第8章DNS安全239
8.1 DNS概述239
8.1.1因特網的域名結構240
8.1.2用域名服務器進行域名轉換241
8.2 DNS面臨的安全威脅245
8.2.1協議脆弱性245
8.2.2實現脆弱性249
8.2.3操作脆弱性250
8.3 DNSSEC 251
8.3.1 DNSSEC基本原理251
8.3.2 DNSSEC配置267
8.3.3 DNSSEC的安全性分析271
8.3 .4 DNSSEC部署271
8.4習題273
8.5實驗274
8.5.1 DNSSEC配置274
8.5.2觀察DNSSEC域名解析過程275

第9章Web應用安全276
9.1概述276
9.2 Web應用體系結構脆弱性分析277
9.3 SQL注入攻擊及防範282
9.3.1概述282
9.3.2 SQL注入漏洞探測方法284
9.3.3 Sqlmap 289
9.3.4 SQL注入漏洞的防護292
9.4跨站腳本攻擊293
9.4.1跨站腳本攻擊原理293
9.4.2跨站腳本攻擊的防範297
9.5 Cookie欺騙及防範298
9.6 CSRF攻擊及防範300
9.6.1 CSRF攻擊原理300
9.6.2 CSRF攻擊防禦302
9.7目錄遍歷及其防範304
9.8操作系統命令注入及防範306
9.9 HTTP消息頭注入攻擊及防範308
9.10 HTTPS 309
9.10.1 HTTPS基本原理309
9.10.2 HTTPS服務器部署310
9.11 HTTP over QUIC 311
9.12 Web應用防火牆313
9.13習題314
9.14實驗316
9.14.1 WebGoat的安裝與使用316
9.14.2用Wireshark觀察HTTPS通信過程316

第10章電子郵件安全317
10.1電子郵件概述317
10.2電子郵件的安全問題319
10.3安全電子郵件標準PGP 321
10.3.1 PGP基本原理322
10.3.2 PGP密鑰管理324
10.4 WebMail安全威脅及防範327
10.5垃圾郵件防範332
10.5.1基於地址的垃圾郵件檢測334
10.5.2基於內容的垃圾郵件檢測335
10.5.3基於行為的垃圾郵件檢測337
10.6習題337
10.7實驗339

第11章拒絕服務攻擊及防禦341
11.1概述341
11.2劇毒包型拒絕服務攻擊343
11.2. 1碎片攻擊343
11.2.2其他劇毒包型拒絕服務攻擊344
11.3風暴型拒絕服務攻擊346
11.3.1攻擊原理346
11.3.2直接風暴型拒絕服務攻擊347
11.3.3反射型拒絕服務攻擊349
11.3. 4殭屍網絡356
11.3.5典型案例分析359
11.4拒絕服務攻擊的應用361
11.5拒絕服務攻擊的檢測及響應技術362
11.5.1拒絕服務攻擊檢測技術362
11.5.2拒絕服務攻擊響應技術363
11.6習題366
11.7實驗369
11.7.1編程實現SYN Flood DDoS攻擊369
11.7.2編程實現NTP反射型拒絕服務攻擊370

第12章網絡防火牆371
12.1概述371
12.1.1防火牆的定義371
12.1.2防火牆的作用371
12.1.3防火牆的分類373
12.2防火牆的工作原理375
12.2.1包過濾防火牆375
12.2.2有狀態的包過濾防火牆379
12.2 .3應用網關防火牆381
12.3防火牆的體系結構384
12.3.1屏蔽路由器結構385
12.3.2雙宿主機結構385
12.3.3屏蔽主機結構386
12.3.4屏蔽子網結構387
12.4防火牆的部署方式388
12.5防火牆的評價標準389
12.6防火牆技術的不足與發展趨勢392
12.7習題395
12.8實驗398

第13章入侵檢測與網絡欺騙399
13.1入侵檢測概述399
13.1.1入侵檢測的定義399
13.1.2通用的入侵檢測模型400
13.1.3入侵檢測系統的作用400
13.1.4入侵檢測系統的組成401
13.2入侵檢測系統的信息源402
13.2.1以主機數據作為信息源402
13.2.2以應用數據作為信息源403
13.2.3以網絡數據作為信息源403
13.3入侵檢測系統的分類404
13.4入侵檢測的分析方法405
13.4.1特徵檢測406
13.4.2異常檢測407
13.5典型的入侵檢測系統Snort 411
13.5.1 Snort的體系結構412
13.5.2 Snort的規則結構413
13.5.3編寫Snort規則416
13.6入侵檢測技術的發展趨勢418
13.7網絡欺騙技術420
13.7.1蜜罐421
13.7.2蜜網424
13.7.3網絡欺騙防禦425
13.8習題429
13.9實驗431
13.9.1 Snort的安裝與使用431
13.9.2蜜罐的安裝與使用431

第14章惡意代碼433
14.1概述433
14.1.1計算機病毒433
14.1.2計算機蠕蟲436
14.1.3計算機木馬438
14.2木馬的工作原理440
14.2.1配置木馬441
14.2.2傳播木馬444
14.2.3運行木馬447
14.2.4信息反饋449
14.2.5建立連接451
14.2.6遠程控制452
14.3木馬的隱藏技術455
14.3.1木馬在植入時的隱藏455
14.3.2木馬在存儲時的隱藏456
14.3.3木馬在運行時的隱藏458
14.4發現主機感染木馬的*基本方法462
14.5針對木馬的防護手段465
14.6習題467
14.7實驗468

第15章網絡安全新技術470
15.1軟件定義網絡安全470
15.1.1概述470
15.1.2 SDN體系結構470
15.1.3 OpenFlow 473
15.1.4 SDN安全475
15.2零信任安全481
15.2.1概述481
15.2.2 NIST零信任架構484
15.3移動目標防禦與網絡空間擬態防禦490
15.3.1移動目標防禦491
15.3.2網絡空間擬態防禦497
15.3.3移動目標防禦與網絡空間擬態防禦的關係499
15.4習題501

參考文獻502