对网络入侵检测系统安全进行分析3

69%2d%62%69%6e”，单纯的字符串对比就会忽略掉这串编码值内部代表的意义。攻击者也可以通过目录结构的特性，隐藏其真正的意图，例如：在目录结构中，“./”代表本目录，“../”代表上层目录，Web服务器可能会将“/cgi-bin/././phf”、“//cgi-bin//phf”、“/cgi-bin/blah/../phf?”这些URL request均解析成“/cgi-bin/phf”，但单纯的入侵检测系统可能只会判断这些request是否包含“/cgi-bin/phf”的字符串，而没有发现其背后所代表的意义。

　　3.将整个request在同一个TCP Session中切割成多个仅内含几个字符的小Packet，网络入侵检测若没将整个TCP session重建，则入侵检测系统将仅能看到类似“GET”、“/cg”、“i”、“-bin”、“/phf”的个别Packet，而不能发现重组回来的结果，因为它仅单纯地检查个别Packet是否出现类似攻击的字符串。类似的规避方式还有IP Fragmentation Overlap、TCP Overl

页码：[1] [2] [3] [4] [5] 第3页、共5页

设为首页 | 加入收藏 | 广告服务 | 友情链接 | 版权申明