《信息安全原理与技术》期末考点｜包过滤规则实例（SMTP）【万字完整版】

《信息安全原理与技术》期末考点包过滤规则实例SMTP【万字完整版】适配教材郭亚军《信息安全技术第4版》适用场景本科期末考试 / 金管局科技岗笔试内容包含原理溯源、TCP 三次握手前置铺垫、两张规则表逐行拆解、漏洞原理、修正逻辑、同类易混对比、简答题题库、选择题坑点、画图思路、论述题标准答案、背诵提纲全文核心围绕 SMTP 包过滤防火墙经典案例展开适合直接打印背诵 目录一、前置基础考点必须先掌握二、基础版包过滤规则表逐行拆解原始 D 规则漏洞分析三、修正版安全规则表逐字段拆解期末背诵核心四、全题核心简答题库按考频排序五、选择题高频坑点汇总六、论述题完整版标准答案15 分大题七、精简背诵版考前速记八、同类型考点延伸举一反三九、易混淆概念辨析一、前置基础考点⚠️ 这部分必须先掌握否则看不懂后面的 SMTP 包过滤案例1.1 包过滤防火墙基本原理包过滤防火墙网络层防火墙是防火墙三大类型里最基础、期末最高频考察的一类工作层次OSI 模型的网络层、传输层读取信息IP 首部与 TCP/UDP 首部信息工作机制根据预先配置的规则表对 IP 数据包进行匹配匹配成功就执行预设动作允许 / 丢弃核心规则选择题、简答题第一大坑规则匹配顺序是自上而下、顺序匹配一旦命中某一条规则就不再向下匹配末尾一条通常是默认丢弃规则拒绝所有没有被前面规则放行的流量——这是本案例一切分析的大前提。1.2 包过滤能检查哪些字段可检查字段说明源 IP 地址报文来自哪台主机目的 IP 地址报文发往哪台主机传输层协议TCP / UDP / ICMP源端口号发起方端口目的端口号接收方端口关键考点基础简陋包过滤防火墙早期版本不支持读取 TCP 标志位SYN、ACK、FIN、RST 等——这就是原始版本 D 规则产生安全缺陷的根源支持 TCP 标志位检测的包过滤属于增强型包过滤也叫有状态包过滤状态检测防火墙雏形。高频辨析题无状态包过滤只看包头静态字段无法区分“主动发起连接的 SYN 包”和“已有连接的应答 ACK 包”有状态包过滤可以结合 TCP 会话状态、标志位判断报文归属1.3 TCP 标志位两个核心本案例只用到 SYN 和 ACK标志位全称含义SYN同步位只有建立新 TCP 连接的发起报文才会携带 SYN 标志SYN1 代表请求新建连接ACK确认位除了三次握手第一个 SYN 包之外后续所有确认报文都携带 ACK1正常 TCP 三次握手流程服务端客户端服务端客户端① SYN (请求建立连接)② SYN ACK (同意并回应)③ ACK (确认连接建立完成)核心区分一句话带 SYN 的包 尝试发起新连接只有 ACK、不带 SYN 的包 已有连接的回应报文。1.4 端口号划分规则本题高频配套考点端口范围类别典型服务0 – 1023公认端口知名端口SMTP25、HTTP80、HTTPS443、FTP211024 – 49151注册端口—49152 – 65535动态 / 私有临时端口—⚠️答题注意教材案例里简化表述统一写成1023把 1024 以上全部当作客户端临时端口。这是考题标准简化写法答题时直接沿用“大于 1023 的高端口为客户端临时端口”即可不要自行区分 49152 分界避免和标准答案冲突1.5 SMTP 协议基础全称简单邮件传输协议Simple Mail Transfer Protocol功能负责邮件发送、邮件服务器之间转发邮件传输层依托TCP固定服务端口25通信模型分两种内网用户邮件客户端主动向外网 SMTP 服务器投递邮件外网 SMTP 服务器向内网邮件服务器投递邮件防火墙部署在内网和外网边界流量方向定义⚠️ 绝对不能搞反表格、简答、画图全部以此为准方向定义入方向数据包从外网外部流向内网内部出方向数据包从内网内部流向外网外部二、基础版规则表考察形式给这张表要求找出漏洞、说明漏洞原理、写出攻击场景、给出修改方案——期末论述原题2.1 原始规则表存在严重安全缺陷规则方向源地址目的地址协议目的端口动作A入外部内部TCP25允许B出内部外部TCP1023允许C出内部外部TCP25允许D入外部内部TCP1023允许E任何任何任何任何任何丢弃2.2 逐行逐条解析每条规则含义✅ 规则 A放行外部访问内网 25 端口入方向流量源地址外网、目的地址内网TCP 协议目的端口 25 →放行。含义允许外部主机主动访问内网 25 端口即外网的 SMTP 服务器可以向内网邮件服务器发送邮件满足内网邮件服务器接收外部邮件的业务需求。这条规则本身业务合理没有漏洞。⚪ 规则 B放行内网访问外网高端口出方向流量源内网、目的外网TCP目的端口 1023 →放行。含义内网主机主动访问外网主机的高端口服务。在本案例 SMTP 场景里属于配套通用放行规则不属于 SMTP 核心流量考题里一般不作为分析重点。✅ 规则 C放行内网向外发起 SMTP 连接出方向流量源内网、目的外网TCP目的端口 25 →放行。含义允许内网主机向外发起 SMTP 连接内网用户向外发送邮件、内网邮件客户端连接外网 SMTP 服务器发信。这是SMTP 出站核心业务规则业务逻辑正确无漏洞。 规则 D漏洞所在行全题重中之重入方向流量源外网、目的内网TCP目的端口 1023 → 放行原始规则设计意图内网主机向外发起 SMTP 连接时操作系统会随机分配一个大于 1023 的临时端口作为自身客户端端口外网 SMTP 服务器收到内网发过来的邮件请求之后回复应答报文应答报文的目的端口就是内网这个临时高端口。设计者初衷是放行这一类返回的应答包保障内网向外发邮件之后能够收到服务器返回的确认报文。但是这个原始规则只检查【目的端口 1023】这一个条件没有检查 TCP 标志位防火墙拿到数据包只能看到入方向、外网来、去内网、TCP、目的端口 1023直接放行。它没有办法区分两件完全不一样的事情情况流量性质具体报文情况 1✅ 合法流量内网先发起向外 SMTP 连接外网服务器返回的ACK 应答包情况 2 恶意流量外网攻击者主动构造TCP SYN 包源地址任意外网地址目的地址内网主机 IP目的端口随便填一个大于 1023 的端口直接向内网发起新连接扫描、入侵因为规则 D 没有 SYN/ACK 校验只要满足「入、外→内、TCP、目的端口 1023」不管包带不带 SYN全部放行。攻击者就可以利用这条规则穿透防火墙主动对内网主机高端口进行端口扫描、木马反向连接渗透、漏洞攻击。⚙️ 规则 E默认丢弃兜底所有没有匹配到 A/B/C/D 任意一条的数据包全部丢弃。这是包过滤标准兜底策略——默认拒绝原则安全设计的常规做法本身无问题。2.3 原始 D 漏洞完整攻击场景论述题可直接默写第一步合法业务背景内网用户想要向外发送邮件内网主机 IP192.168.1.10随机分配临时端口1025访问外网 SMTP 服务器203.0.113.5的 TCP 25 端口。连接建立之后外网服务器回复报文源IP203.0.113.5 源端口25 目的IP192.168.1.10 目的端口1025 TCP标志ACK这个报文是合法应答设计者希望放行。✔️第二步攻击者构造恶意数据包源IP攻击者公网IP任意 目的IP192.168.1.10 目的端口1025或任意1023端口 TCP标志SYN这个数据包同样满足规则 D 全部匹配项入方向、外部→内部、TCP、目的端口 1023。防火墙直接放行这个 SYN 包等于允许外网攻击者主动向内网主机 1025 端口发起 TCP 连接第三步攻击后果内网主机上如果恰好有监听 1025 端口的木马、后台服务攻击者就可以建立 TCP 会话控制内网主机哪怕没有服务攻击者也可以批量遍历所有 1023 端口对内网做端口扫描探测内网开放端口收集内网资产信息为后续渗透做准备。一句话总结漏洞本质无状态单纯依靠端口过滤无法区分“会话应答报文”和“外部主动新建连接报文”把应答通道变成了外部主动入侵内网的通道。2.4 配套简答设问为什么不能简单删掉 D 规则❌很多同学的答题误区漏洞是 D 导致的那直接删掉 D 行不行答案不行如果直接删除 D 规则内网主机向外发起 SMTP 连接之后外网 SMTP 服务器返回的应答报文目的端口是内网临时高端口 1023没有规则匹配最终命中 E 默认丢弃规则应答包被丢掉TCP 连接无法正常通信内网用户发邮件这个业务直接失效。✅ 所以解决方案不是删掉 D而是给 D 规则增加更多约束条件缩小放行范围只放行合法的应答包拦截外部主动发起的 SYN 新建连接包——这就是修正版 D 规则的设计思想。三、修正版规则表考题最爱考对比写出改进后的 D 规则字段、解释每个字段约束的意义、对比新旧 D 差异。3.1 修正后规则表期末背诵核心表规则方向源地址源端口目的地址目的端口协议标志动作D入外部25内部1023TCPACK允许说明A、B、C、E 四条规则业务逻辑不变表格只修改 D 规则增加源端口、TCP 标志两个校验字段——这是增强型包过滤防火墙支持解析 TCP 头部标志位。3.2 修正版 D 规则逐字段拆解简答踩分点一个字段一分序号字段取值约束意义1方向入依旧是外网流向内网的报文和原来一致2源地址外部报文来自外网3源端口25⭐报文的源端口必须是 SMTP 服务端口 25。合法应答报文只能来自外网 SMTP 服务器其服务端口固定 25攻击者主动发起的扫描包源端口一般是随机高端口天然不满足此条件——第一层过滤4目的地址内部目标在内网5目的端口1023目标端口是内网主机向外发起连接时分配的客户端临时端口和原来一致6协议TCPSMTP 基于 TCP7标志ACK⭐报文必须携带 ACK 标志。ACK 标志意味着这是确认应答报文不是携带 SYN 的新建连接请求报文。SYN 包不会单独携带 ACK 标志外部想要发起新连接必须发送 SYN1 的报文SYN 报文无法匹配本条规则8动作允许同时满足以上全部条件才放行3.3 合法流量匹配演示内网向外发邮件正常流程外网SMTP服务器203.0.113.5:25防火墙内网主机192.168.1.10:1026外网SMTP服务器203.0.113.5:25防火墙内网主机192.168.1.10:1026匹配规则C内→外 ✔ 放行匹配修正版D规则逐项核对入方向 ✔ 外部 ✔ 源端口25 ✔ 内部 ✔目的端口大于1023 ✔ TCP ✔ ACK ✔全部命中 → 允许通行 ✅TCP连接正常建立邮件传输正常业务不受影响 ① 发送SYN包 (出方向, TCP目的端口25)转发 SYN 包② 回复确认报文源IP203.0.113.5, 源端口25目的IP192.168.1.10, 目的端口1026TCP标志ACK转发 ACK 包3.4 恶意攻击流量拦截演示场景一攻击者使用随机高端口发起 SYN攻击者发包源IP攻击者公网IP 源端口30000随机高端口 目的IP192.168.1.10 目的端口1026 TCP标志SYN逐条对照 D 规则源端口不是 25、TCP 标志是 SYN 不是 ACK→ 不匹配 D → 继续向下匹配没有其他规则匹配 → 命中 E 默认丢弃规则 →数据包直接丢弃攻击无法建立连接。️场景二攻击者刻意伪造源端口 25经典坑点辨析题源IP攻击者公网IP 源端口25伪造 目的IP192.168.1.10 目的端口1026 TCP标志SYN此时源端口满足条件但TCP 标志字段是 SYN不满足 ACK 条件→ 依旧无法匹配 D 规则 →被 E 丢弃。️⚠️经典坑点辨析攻击者伪造源端口 25 能不能绕过答案不能因为标志位是 SYND 只放行 ACK 包。想要匹配 D必须同时满足「源端口 25 ACK 标志」两个条件缺一不可。攻击者主动发起新连接报文一定带 SYN天然无法满足 ACK 约束。3.5 修正方案的边界说明拔高论述考点拉开分数这个方案属于简易状态控制思想但严格来说它还不是完整的状态检测防火墙✅ 它只适配SMTP 这个固定服务端口场景服务端固定 25应答包源端口固定 25✅ 如果换成其他服务比如HTTP 80外网服务器应答源端口固定 80这套思路可以复用❌ 但如果是P2P、动态端口服务应答源端口不固定依靠“源端口ACK”的静态规则就不够用——这时候才需要真正的状态检测防火墙维护一张连接状态表记录已建立的五元组会话只放行会话内返回报文。 期末考题限定 SMTP 场景这套修改方案就是标准答案答题不用拓展到状态表除非题目额外提问“对比状态检测防火墙”。四、简答题库按考试频率排序踩分点已标注简答 1简述原始 SMTP 包过滤 D 规则存在什么安全缺陷6 分答原始 D 规则为入方向放行外部去往内部、TCP、目的端口大于 1023 的数据包不校验 TCP 标志位与源端口。该规则设计目的是放行内网向外发起 SMTP 连接后外网服务器返回的应答报文但规则无法区分报文是已有连接的 ACK 应答包还是外部攻击者主动发起的 SYN 新建连接包。攻击者可以发送 SYN 数据包目的端口为内网大于 1023 的端口直接匹配 D 规则穿透防火墙对内网主机高端口进行端口扫描、主动建立 TCP 连接实施入侵攻击防火墙丧失边界防护能力。简答 2如何修改 D 规则消除漏洞写出修改后的规则并解释每一项约束的作用8 分答修改后的 D 规则入方向源地址外部源端口 25目的地址内部目的端口 1023TCP 协议TCP 标志 ACK动作允许。约束作用①源端口固定 25限定报文只能来自外网 SMTP 服务端口只有 SMTP 服务器的应答报文源端口才是 25②TCP 标志为 ACK仅放行应答确认报文拒绝携带 SYN 标志、用于新建 TCP 连接的报文阻止外部主动发起连接其余字段保留原有业务需求保证内网向外发送 SMTP 邮件时外网服务器的应答报文可以正常通行。简答 3包过滤防火墙规则匹配原则是什么本题 E 规则作用4 分答包过滤规则自上而下顺序匹配数据包命中第一条符合条件的规则就执行对应动作不再继续向下匹配E 是默认丢弃规则属于最小权限安全策略所有没有被前面规则显式允许的流量全部丢弃防止意外流量放行。简答 4为什么单纯依靠端口号做包过滤不安全5 分答端口只是标识服务的数字标识无状态包过滤仅检查端口无法识别 TCP 会话状态不能区分数据包是主动发起连接的 SYN 请求包还是已经建立连接之后的 ACK 响应包。攻击者可以构造匹配端口条件的 SYN 包穿透防火墙主动向内网发起连接产生安全漏洞。增加 TCP 标志位校验可以弥补该缺陷。简答 5SMTP 协议传输层、端口、通信方向在本案例分别是什么3 分答SMTP 使用TCP 协议知名端口25两种合法流量方向外网→内网 25外部向内网邮件服务器发信内网→外网 25内网向外发送邮件简答 6能不能通过只增加 ACK 标志不增加源端口 25 约束来修改 D拔高辨析题答不安全。如果只加 ACK不限制源端口那么外网任意端口发来的 ACK 包只要目的端口 1023 就放行。攻击者可以构造ACK 扫描包对内网高端口进行 TCP ACK 扫描探测防火墙策略和内网主机存活状态依然存在信息泄露风险。因此源端口25 是必要约束缩小放行来源范围只信任 SMTP 服务器端口返回报文。五、选择题高频坑点汇总选择判断必考每一条都是出题人精心设计的陷阱 ️序号陷阱表述正误正确理解坑 1规则匹配是找到所有匹配规则再执行动作❌ 错顺序匹配命中即停止坑 2修正后的 D 允许外部主机主动发起 SMTP 连接到内网高端口❌ 错D 只放行ACK 应答包SYN 新建连接无法通过坑 3原始 D 漏洞根源是开放了 25 端口❌ 错A 规则开放 25 入方向是业务需要漏洞根源是 D 没有 TCP 标志校验坑 4大于 1023 端口是服务器服务端口❌ 错考题设定是客户端临时端口坑 5ACK 报文一定不会携带 SYN✅ 对三次握手第一个包只有 SYN没有 ACK坑 6删除 D 规则可以修复漏洞业务不受影响❌ 错删除 D 会导致内网向外发邮件收不到应答SMTP 出站业务中断六、论述题完整版标准答案15 分大题期末大题 15 分原题直接默写✍️题目某边界防火墙配置 SMTP 包过滤规则如下表原始表请分析规则安全问题、攻击原理、给出改进规则并说明改进思路。标准答案1. 业务梳理该防火墙用于内网外网边界A 放行外网访问内网 25 端口接收外部邮件C 放行内网访问外网 25 端口内网向外发送邮件原始 D 规则意图放行外网 SMTP 服务器返回给内网临时高端口的应答报文E 默认丢弃。2. 安全缺陷原始 D 规则仅校验「入方向、外→内、TCP、目的端口 1023」缺少源端口与 TCP 标志校验防火墙无法区分 SYN 新建连接包和 ACK 应答包。外部攻击者构造目的端口 1023 的SYN 数据包即可匹配 D 规则穿透防火墙主动对内网主机高端口发起 TCP 连接开展端口扫描、渗透入侵破坏内网安全边界。3. 改进方案修改 D 规则新增源端口25、TCP 标志 ACK两个校验条件。新 D 规则入外部源端口 25内部目的端口 1023TCPACK允许。4. 改进原理合法应答报文来自外网 SMTP 服务器源端口固定 25并且是 TCP 确认报文携带 ACK 标志不属于新建连接 SYN 包。增加约束之后只有内网主动向外发起 SMTP 连接对应的应答报文能够放行外部想要主动发起新连接必须发送 SYN 包无法匹配本条规则流量被末尾默认丢弃规则拦截。既保留内网向外发送邮件的业务功能又封堵外部主动向内网高端口发起连接的攻击通道。5. 补充说明该改进属于增强型包过滤利用 TCP 标志区分会话请求与响应是状态检测防火墙设计思想的简单实现。七、精简背诵版考前速记 考前速记适合进考场前最后看一遍SMTP 基于TCP 25 端口。【原始漏洞】原始 D 规则为入方向放行外部到内部 TCP 目的端口 1023 报文设计目的放行内网向外发邮件的返回应答包但规则不检查源端口和 TCP 标志无法区分 SYN 新建连接包和 ACK 应答包外部攻击者发送 SYN 包就能匹配 D主动对内网高端口扫描入侵存在安全漏洞。【修正方案】改进后的 D 规则增加约束入方向、源端口 25、TCP 标志 ACK只放行外网 SMTP 服务器针对内网 SMTP 出站连接返回的 ACK 应答报文外部主动发起连接需要 SYN 标志无法匹配该规则被默认丢弃规则拦截。【配套原则】包过滤规则自上而下顺序匹配匹配即停止E 规则为默认丢弃遵循最小权限安全策略。单纯端口过滤属于无状态过滤无法识别 TCP 会话状态增加 TCP 标志位校验提升安全性。八、同类型考点延伸举一反三举一反三防止换案例出题这套分析范式完全一致考试可以换HTTP80 端口复刻考察对比项SMTP 案例HTTP 迁移案例原始漏洞规则入、外→内、TCP 目的端口1023允许完全一样漏洞原理无 SYN/ACK 校验SYN 包可穿透一模一样修正 D 规则入、外部、源端口25、内部、1023、TCP、ACK允许入、外部、源端口80、内部、1023、TCP、ACK允许答题话术、漏洞描述、得分点完全通用只是端口数字替换——复习的时候对照 SMTP 案例迁移理解即可。九、易混淆概念辨析名词解释题高频考点① 无状态包过滤只读取 IP、TCP 头部静态字段地址、端口、协议不记录 TCP 会话状态无法区分 SYN/ACK。本案例原始版本就是无状态包过滤。优点速度快开销小缺点安全能力弱存在本案例漏洞② 有状态状态检测防火墙维护一张会话连接表记录五元组、连接状态只有已经存在会话对应的返回报文才放行不依赖固定源端口 ACK 静态规则能力更强。⚠️ 注意SMTP 修正版 D 是静态模拟状态控制不是完整状态检测③ 应用层网关代理防火墙和包过滤区分工作在应用层不是本案例考点但选择题经常拿来做干扰项。 写在最后这道 SMTP 包过滤案例是包过滤防火墙的经典母题出题角度覆盖选择、简答、论述、画图全题型。核心把握三条主线规则匹配机制自上而下、命中即止、默认丢弃兜底漏洞本质无状态端口过滤无法区分 SYN新建连接与 ACK会话应答修正思想源端口 25 ACK 标志双重约束静态模拟状态控制。把这两张规则表原始版 修正版的每一个字段含义吃透无论题目怎么变形换端口、换协议、换方向都能按同一套分析范式稳拿满分觉得有用的话点赞 收藏 ⭐ 加关注 ➕持续更新信安期末考点系列祝大家期末高分通过