??xml version="1.0" encoding="utf-8" standalone="yes"?>
]]>
http://www.ishar.com/clients/
http://javassh.org/
例子
http://www.ishar.com/telnet/
文档
http://javassh.org/download/2.0/doc/source/index.html
Access-list 定义一个标准的IP ACL
Access-template 在连接的路由器上手动替换临时讉K列表入口
Appn 向APPN子系l发送命令?
Atmsig 执行ATM信o命o
B 手动引导操作pȝ
Bandwidth 讄接口的带q?
Banner motd 指定日期信息标语
Bfe 讄H发事g手册模式
Boot system 指定路由器启动时加蝲的系l映像?
Calendar 讄g日历
Cd 更改路径
Cdp enable 允许接口q行CDP协议
Clear 复位功能
Clear counters 清除接口计数器?
Clear interface 重新启动接口上的仉辑
Clockrate 讄串口gq接的时钟速率Q如|络接口模块和接口处理器能接受的速率
Cmt 开?关闭FDDIq接理功能
Config-register 修改配置寄存器设|?
Configure 允许q入存在的配|模式,在中心站点上l护q保存配|信息?
Configure memory 从NVRAM加蝲配置信息
Configure terminal 从终端进行手动配|?
Connect 打开一个终端连接?
Copy 复制配置或映像数据?
Copy flash tftp 备䆾pȝ映像文g到TFTP服务器?
Copy running-config startup-config RAM中的当前配置存储到NVRAM
Copy running-config tftp RAM中的当前配置存储到网lTFTP服务器上
Copy tftp flash 从TFTP服务器上下蝲新映像到Flash
Copy tftp running-config 从TFTP服务器上下蝲配置文g
Debug 使用调试功能
Debug dialer 昄接口在拨什么号及诸如此cȝ信息
Debug ip rip 昄RIP路由选择更新数据
Debug ipx routing activity 昄关于路由选择协议(RIP)更新数据包的信息
Debug ipx sap 昄关于SAPQ业务通告协议Q更新数据包信息
Debug isdn q921 昄在\由器D通道ISDN接口上发生的数据链\层(W?层)的访问过E?
Debug ppp 昄在实施PPP中发生的业务和交换信息?
Delete 删除文g
Deny Z个已命名的IP ACL讄条g
Dialer idle-timeout 规定U\断开前的I闲旉的长度?
Dialer map 讄一个串行接口来呼叫一个或多个地点
Dialer wait-for-carrier-time 规定花多长时间等待一个蝲体?
Dialer-group 通过对属于一个特定拨L的接口进行配|来讉K控制
Dialer-list protocol 定义一个数字数据接受器QDDRQ拨可以通过协议或ACL与协议的l合来控制控制拨号?
Dir 昄l定讑֤上的文g
Disable 关闭特许模式
Disconnect 断开已徏立的q接
Enable 打开特许模式
Enable password 定一个密码以防止对\由器非授权的讉K
Enable password 讄本地口o控制不同ҎU别的访问?
Enable secret 为enable password命o定义额外一层安全性?强制安全Q密码非明文昄)
Encapsulation frame-relay 启动帧中l封装?
Encapsulation novell-ether 规定在网l段上用的Novell独一无二的格式?
Encapsulation PPP 把PPP讄为由串口或ISDN接口使用的封装方法?
Encapsulation sap 规定在网l段上用的以太|?02.2格式Cisco的密码是sap
End 退出配|模式?
Erase 删除闪存或配|缓存?
Erase startup-config 删除NVRAM中的内容
Exec-timeout 配置EXEC命o解释器在到用户输入前所{待的时闾b?
Exit 退出所有配|模式或者关闭一个激zȝl端会话和终止一个EXEC
Exit l止M配置模式或关闭一个活动的对话和结束EXEC
format 格式化设备?
Frame-relay local-dlci Z用中装的串行线路启动本地管理接口(LMIQ?
Help 获得交互式帮助系l?
History 查看历史记录
Hostname 使用一个主机名来配|\由器Q该L名以提示W或者缺省文件名的方式用?
Interface 讄接口cdq且输入接口配置模式
Interface 配置接口cd和进入接口配|模式?
Interface serial 选择接口q且输入接口配置模式
Ip access-group 控制对一个接口的讉K
Ip address 讑֮接口的网l逻辑地址
Ip address 讄一个接口地址和子|掩码ƈ开始IP处理
Ip default-network 建立一条缺省\由?
Ip domain-lookup 允许路由器缺省用DNS
Ip host 定义静态主机名到IP地址映射
Ip name-server 指定臛_6个进行名?地址解析的服务器地址
Ip route 建立一条静态\由?
Ip unnumbered 在ؓl一个接口分配一个明的IP地址情况下,在串口上启动互联|协议(IPQ的处理q程
Ipx delay 讄点计敊W?
Ipx ipxwan 在串口上启动IPXWAN协议
Ipx maximum-paths 当{发数据包时设|Cisco IOS软g使用的等仯\径数量?
Ipx network 在一个特定接口上启动互联|数据包交换QIPXQ的路由选择q且选择装的类型(用ឮ ?装)
Ipx router 规定使用的\由选择协议
Ipx routing 启动IPX路由选择
Ipx sap-interval 在较慢的链\上设|较不频J的SAPQ业务广告协议)更新
Ipx type-20-input-checks 限制对IPX20cL据包q播的传播的接受
Isdn spid1 在\由器上规定已l由ISDN业务供应商ؓB1信道分配的业务简介号QSPIDQ?
Isdn spid2 在\由器上规定已l由ISDN业务供应商ؓB2信道分配的业务简介号QSPIDQ?
Isdntch-type 规定了在ISDN接口上的中央办公区的交换机的cd
Keeplive Z用中装的串行线路LMIQ本地管理接口)机制
Lat 打开LATq接
Line 定一个特定的U\和开始线路配|?
Line concole 讄控制台端口线路?
Line vty E控制台讉K规定了一个虚拟终端?
Lock 锁住l端控制及W?
Login 在终端会话登录过E中启动了密码检查?
Login 以某用户w䆾dQ登录时允许口o验证
Logout 退出EXEC模式
Mbranch 向下跟踪l播地址路由至终端?
Media-type 定义介质cd
Metric holddown 把新的IGRP路由选择信息与正在用的IGRP路由选择信息隔离一D|闾b?
Mrbranch 向上解析l播地址路由x端?
Mrinfo 从组播\由器上获取邻居和版本信息
Mstat 对组播地址多次路由跟踪后显C统计数字?
Mtrace 由源向目标跟t解析组播地址路径
Name-connection 命名已存在的|络q接
Ncia 开?关闭NCIA服务器?
Network 把一个基于NIC的地址分配l一个与它直接相q的路由器把|络与一个IGRP的\由选择的过E联pv来在IPX路由器配|模式下Q在|络上启动加强的IGRP
Network 指定一个和路由器直接相q的|络地址D?
Network-number 对一个直接连接的|络q行规定
No shutdown 打开一个关闭的接口
Pad 开启一个X.29 PADq接
Permit Z个已命名的IP ACL讄条g
Ping 把ICMP响应h的数据包发送网l上的另一个节Ҏ查主机的可达性和|络的连通性对|络的基本连通性进行诊断?
Ping 发送回声请求,诊断基本的网l连通性?
Ppp 开始IETF点到点协议?
Ppp authentication 启动Challenge握手鉴权协议QCHAPQ或者密码验证协议(PAPQ或者将两者都启动Qƈ且对在接口上选择的CHAP和PAP验证的顺序进行规定?
Ppp chap hostname 当用CHAPq行w䆾验证Ӟ创徏一批好像是同一C机的拨号路由器?
Ppp chap password 讄一个密码,该密码被发送到对\由器q行w䆾验证的主机命令对q入路由器的用户?密码的数量进行了限制
Ppp pap sent-username 对一个接口启动远EPAP支持Qƈ且在PAP对同{层h数据包验证过E中使用sent-username和password
Protocol 对一个IP路由选择协议q行定义Q该协议可以是RIPQ内部网兌\由选择协议QIGRPQ,开放最短\径优先(OSPFQ,q可以是加强的IGRP
Pwd 昄当前讑֤名?
Reload 关闭q执行冷启动Q重启操作系l?
Rlogin 打开一个活动的|络q接
Router q一定义的IP路由协议作ؓ路由q程Q例如:router rip 选择RIP作ؓ路由协议
Router igrp 启动一个IGRP的\由选择q程
Router rip 选择RIP作ؓ路由选择协议
Rsh 执行一个远E命令?
Sdlc 发送SDLC试帧?
Send 在ttyU\上发送消息?
Service password-encryption 对口令进行加密?
Setup q行Setup命o
Show 昄q行pȝ信息
Show access-lists 昄当前所有ACL的内容?
Show buffers 昄~存器统计信息?
Show cdp entry 昄CDP表中所列相邻设备的信息
Show cdp interface 昄打开的CDP接口信息
Show cdp neighbors 昄CDP查找q程的结果?
Show dialer 昄为DDRQ数字数据接受器Q设|的串行接口的一般诊断信息?
Show flash 昄闪存的布局和内容信息?
Show frame-relay lmi 昄关于本地理接口QLMIQ的l计信息
Show frame-relay map 昄关于q接的当前映入口和信息
Show frame-relay pvc 昄关于帧中l接口的怹虚电路(pvcQ的l计信息
Show hosts 昄L名和地址的缓存列表?br />
Show interfaces 昄讄在\由器和访问服务器上所有接口的l计信息
Show interfaces 昄路由器上配置的所有接口的状态?
Show interfaces serial 昄关于一个串口的信息
Show ip interface 列出一个接口的IP信息和状态的结
Show ip interface 列出接口的状态和全局参数
Show ip protocols 昄zd路由协议q程的参数和当前状态?
Show ip route 昄路由选择表的当前状态?
Show ip router 昄IP路由表信息?
Show ipx interface 昄Cisco IOS软g讄的IPX接口的状态以及每个接口中的参敊W?
Show ipx route 昄IPX路由选择表的内容
Show ipx servers 昄IPX服务器列表?
Show ipx traffic 昄数据包的数量和类型?
Show isdn active 昄当前呼叫的信息,包括被叫L、徏立连接前所p的时间、在呼叫期间使用的自动化操作控制QAOCQ收费单元以及是否在呼叫期间和呼叫结束时提供AOC信息
Show isdn ststus 昄所有isdn接口的状态、或者一个特定的数字信号链\QDSLQ的状态或者一个特定isdn接口的状态?
Show memory 昄路由器内存的大小Q包括空闲内存的大小
Show processes 昄路由器的q程
Show protocols 昄讄的协议?
Show protocols 昄配置的协议。这条命令显CZQ何配|了的第3层协议的状态?
Show running-config 昄RAM中的当前配置信息
Show spantree 昄关于虚拟局域网QVLANQ的生成树信息?
Show stacks 监控和中断程序对堆栈的用,q显C系l上一ơ重启的原因
Show startup-config 昄NVRAM中的启动配置文g
Show ststus 昄ISDNU\和两个B信道的当前状态?
Show version 昄pȝg的配|,软g的版本,配置文g的名U和来源及引导映像?
Shutdown 关闭一个接口?
Telnet 开启一个telectq接
Term ip 指定当前会话的网l掩码的格式
Term ip netmask-format 规定了在show命o输出中网l掩码显C的格式
Timers basic 控制着IGRP以多时间间隔发送更C息?
Trace 跟踪IP路由
Username password 规定了在CHAP和PAP呼叫者n份验证过E中使用的密码?
Verify 验flash文g
Where 昄zdq接
Which-route OSI路由表查扑֒昄l果
Write q行的配|信息写入内存,|络或终端?
Write erase 现在由copy startup-config命o替换
X3 在PAD上设|X.3参数
Xremote q入XRemote模式
一 前言
首先要澄清一下名字的hQ?br /> 1 SSL(Secure SocketLayer)是netscape公司设计的主要用于web的安全传输协议。这U协议在WEB上获得了q泛的应用?br /> 2 IETF(http://www.ietf.org/)SSL作了标准化,即RFC2246,q将其称为TLSQTransportLayer SecurityQ,从技术上ԌTLS1.0与SSL3.0的差别非常微。由于本文中没有涉及两者间的细差别,本文中这两个名字{h?br /> 3 在WAP的环境下Q由于手机及手持讑֤的处理和存储能力有限Qwap论坛Q?a >http://www.wapforum.org/Q在TLS的基上做?..S协议QWireless Transport Layer SecurityQ,以适应无线的特D环境?/p>
我们从各式各L文章中得知,SSL可以用于保密的传输,q样我们与web server之间传输的消息便是“安全的”?br /> 而这U“安全”究竟是怎么实现的,最l有能实现多大程度的保密Q本文希望能用通俗的语a阐明其实现原理?/p>
?整体l构概览
SSL是一个介于HTTP协议与TCP之间的一个可选层Q其位置大致如下Q?
Q-Q-Q-Q-Q?
| HTTP |
Q-Q-Q-Q-Q?
| SSL |
Q-Q-Q-Q-Q?
| TCP |
Q-Q-Q-Q-Q?
| IP |
Q-Q-Q-Q-Q?/font>
如果利用SSL协议来访问网,其步骤如下:
用户Q在览器的地址栏里输入https://www.sslserver.com/
HTTP层:用户需求翻译成HTTPhQ如
GET /index.htm HTTP/1.1
Host http://www.sslserver.com/
SSL? 借助下层协议的的信道安全的协商出一份加密密钥,q用此密钥来加密HTTPh?br /> TCP层:与web server?43端口建立q接Q传递SSL处理后的数据?/p>
接收端与此过E相反?
SSL在TCP之上建立了一个加密通道Q通过q一层的数据l过了加密,因此辑ֈ保密的效果?/p>
SSL协议分ؓ两部分:Handshake Protocol和Record Protocol,。其中HandshakeProtocol用来协商密钥Q协议的大部分内容就是通信双方如何利用它来安全的协商出一份密钥?Record Protocol则定义了传输的格式?br />?需要的加密斚w的基知识
了解SSL原理需要一点点加密的概念,q里把需要的概念做一下简单阐qͼ
加密一般分Zc,对称加密Q非对称加密及单向散列函数?
对称加密Q又分分l密码和序列密码?br /> 分组密码是将明文按一定的位长分组Q明文组l过加密q算得到密文l,密文l经q解密运?br /> Q加密运的逆运)Q还原成明文l?
序列密码是指利用量的密钥(制ؕ元素Q通过某种复杂的运(密码法Q生大量的伪随Z,用于Ҏ文位的加密?br /> 解密是指用同L密钥和密码算法及与加密相同的伪随Z,用以q原明文位流???
CBC(Cipher Block Chaining)模式q个词在分组密码中经怼用到Q它是指一个明文分l在被加密之前要与前一个的密文分组q行异或q算。当加密法用于此模式的时候除密钥外,q需协商一个初始化向量QIVQ,q个IV没有实际意义Q只是在W一ơ计的时候需要用到而已。采用这U模式的话安全性会有所提高?/p>
分组密码的典型例子ؓDES,RC5,IDEA?
序列密码的典型例子ؓRC4?/p>
公钥加密Q?
单的说就是加密密钥与解密密钥不同Q分U钥和公钥。这U方法大多用于密钥交换,RSA便是一个我们熟知的例子?br /> q有一个常用的UCDHQ它只能用于密钥交换Q不能用来加密?
单向散列函数Q?
׃信道本n的干扰和Zؓ的破坏,接受到的信息可能与原来发出的信息不同Q一个通用的办法就是加入校验码?br /> 单向散列函数便可用于此用途,一个典型的例子是我们熟知的MD5,它?28位的摘要Q在现实中用的更多的是安全散列算法(SHAQ,SHA的早期版本存在问题,目前用的实际是SHAQ?Q它可以产生160位的摘要Q因此比128位散列更能有效抵抗穷举攻凅R?/p>
׃单向散列的算法都是公开的,所以其它h可以先改动原文,再生成另外一份摘要。解册个问题的办法可以通过HMACQRFC 2104Q?它包含了一个密钥,只有拥有相同密钥的h才能鉴别q个散列?/p>
?密钥协商q程
׃对称加密的速度比较慢,所以它一般用于密钥交换,双方通过公钥法协商Z份密钥,然后通过对称加密来通信Q当ӞZ保证数据的完整性,在加密前要先l过HMAC的处理?/p>
SSL~省只进行server端的认证Q客L的认证是可选的。以下是其流E图Q摘自TLS协议Q?/p>
Client Server
Clienth*llo -------->
Serverh*llo
Certificate*
ServerKeyExchange*
CertificateRequest*
<-------- Serverh*lloDone
Certificate*
ClientKeyExchange
CertificateVerify*
[ChangeCipherSpec]
Finished -------->
[ChangeCipherSpec]
<-------- Finished
Application Data <-------> Application Data
单的说便是:SSL客户端(也是TCP的客LQ在TCP链接建立之后Q发Z个Clienth*llo来发h手,q个消息里面包含了自己可实现的算法列表和其它一些需要的消息QSSL的服务器端会回应一个Serverh*lloQ这里面定了这ơ通信所需要的法Q然后发q去自己的证书(里面包含了n份和自己的公钥)。Client在收到这个消息后会生成一个秘密消息,用SSL服务器的公钥加密后传q去QSSL服务器端用自qU钥解密后,会话密钥协商成功Q双方可以用同一份会话密钥来通信了?/p>
?密钥协商的Ş象化比喻
如果上面的说明不够清晎ͼq里我们用个形象的比喻,我们假设A与B通信QA是SSL客户端,B是SSL服务器端Q加密后的消息放在方括号[]里,以突出明文消息的区别。双方的处理动作的说明用圆括PQ括赗?/p>
AQ我惛_你安全的通话Q我q里的对U加密算法有DES,RC5,密钥交换法有RSA和DHQ摘要算法有MD5和SHA?/font>
BQ我们用DESQRSAQSHAq对l合好了?
q是我的证书Q里面有我的名字和公钥,你拿去验证一下我的n份(把证书发lAQ?br /> 目前没有别的可说的了?/font>
AQ(查看证书上B的名字是否无误,q过手头早已有的CA的证书验证了B的证书的真实性,如果其中一Ҏ误,发出警告q断开q接Q这一步保证了B的公钥的真实性)
Q生一份秘密消息,q䆾U密消息处理后将用作加密密钥Q加密初始化向量和hmac的密钥。将q䆾U密消息-协议中称为per_master_secret-用B的公钥加密,装成称作ClientKeyExchange的消息。由于用了B的公钥,保证了第三方无法H听Q?br /> 我生成了一份秘密消息,q用你的公钥加密了,l你Q把ClientKeyExchange发给BQ?br /> 注意Q下面我p用加密的办法l你发消息了Q?br /> Q将U密消息q行处理Q生成加密密钥,加密初始化向量和hmac的密钥)
[我说完了]
BQ(用自qU钥ClientKeyExchange中的U密消息解密出来Q然后将U密消息q行处理Q生成加密密钥,加密初始化向量和hmac的密钥,q时双方已经安全的协商出一套加密办法了Q?br /> 注意Q我也要开始用加密的办法给你发消息了!
[我说完了]
A: [我的U密?..]
B: [其它Z会听到的...]
?加密的计?
上一步讲了密钥的协商Q但是还没有阐明是如何利用加密密钥,加密初始化向量和hmac的密钥来加密消息的?br /> 其实其过E不q如此:
1 借助hmac的密钥,Ҏ文的消息做安全的摘要处理Q然后和明文攑ֈ一赗?
2 借助加密密钥Q加密初始化向量加密上面的消息?br />?安全?
SecurityPortal?000q底有一份文章《The End of SSL and SSH?》激起了很多的讨论,
目前也有一些成熟的工具如dsniffQ?a >http://www.monkey.org/~dugsong/dsniff/Q可?br /> 通过man in the middled来截获https的消息?br /> 从上面的原理可知QSSL的结构是严}的,问题一般出现在实际不严谨的应用中。常见的d是
middle in the middledQ它是指在A和B通信的同Ӟ有第三方C处于信道的中_可以完全
听到A与B通信的消息,q可拦截Q替换和dq些消息?
1 SSL可以允许多种密钥交换法Q而有些算法,如DHQ没有证书的概念Q这样A便无法验证B的公?br /> 和n份的真实性,从而C可以L的冒充,用自q密钥与双斚w信Q从而窃听到别h谈话的内宏V?br /> 而ؓ了防止middle inthe middledQ应该采用有证书的密钥交换算法?br /> 2 有了证书以后Q如果C用自q证书替换掉原有的证书之后QA的浏览器会弹Z个警告框q行警告Q但又有多少Z注意q个警告呢?
3 ׃国密码出口的限ӞIEQnetscape{浏览器所支持的加密强度是很弱的,如果只采用浏览器自带的加密功能的话,理论上存在被破解可能?/font>
?代理
下面探讨一下SSL的代理是怎样工作?可参见[6])。这可能与你开始想的不太一PQ?/p>
当在览器里讄了https的代理,而且在浏览器里输入了https://www.example.com之后Q?br /> 览器会与proxy建立tcp链接Q然后向其发么一D|息:
CONNECT server.example.com:443 HTTP/1.1
Host: server.example.com:443
然后proxy会向webserver端徏立tcpq接,之后Q这个代理便完全成了个内容{发装|。浏览器
与web server会徏立一个安全通道Q因此这个安全通道是端到端的,管所有的信息过了proxy,
但其内容proxy是无法解密和改动的(当然要由证书的支持,否则q个地方便是个manin the middled的好场所Q见上面的讨论)?/p>
?关于证书
注意Q如果对于一般的应用Q管理员只需生成“证书请求”(后缀大多?csrQ,它包含你的名字和公钥Q然后把q䆾h交给诸如verisign{有CA服务公司Q当Ӟq同几百金Q,
你的证书hl验证后QCA用它的私钥签名,形成正式的证书发q给你。管理员再在webserver上导入这个证书就行了。如果你不想花那W钱Q或者想了解一下原理,可以自己做CA?/p>
从ca的角度讲Q你需要CA的私钥和公钥。从惌证书的服务器角度,需要把服务器的证书h交给CA.
如果你要自己做CAQ别忘了客户端需要导入CA的证书(CA的证书是自签名的Q导入它意味着你“信仠Z这个CA{v的证书)?br /> 而商业CA的一般不用,因ؓ它们已经内置在你的浏览器中了?
?wtls
在WAP的环境中Q也有安全加密的需求,因此wapforum参照在WWW世界里最为流行的SSL协议设计了WTLS.从原理上_q䆾协议与SSL是基本相同的Q但在具体的地方作了许多改动。这些改动的大多没有什么技术上的需要,而是׃考虑到手持设备运与存储的局限而尽量做了简化。不q我的感觉是q些改动意义实在不大Q其获得的计和存储上节省出来的旉和空间ƈ不多。在g速度H飞猛进的时代,q种改动能获得的好处也许q不很多Q一个新的协议便需要大量新的投入,而且与原有体制ƈ不兼容,关于q点有文章[7]做了_ֽ阐述Q可参看Q?/p>
q里我简单D一些SSL与WTLS的差别?
1 WTLS在一般udpq类不可靠信道之上工作,因此每个消息里要有序列号Q协议里也要靠它来处理丢包,重复{情c?br /> 此外Q拒l服务攻M因此变得更加Ҏ?
2 WTLS建立的安全连接是在wap|关和手持设备之_wap|关和web server之间如果也要保密Q便要采再用SSLQ即在这U模型中无法实现端到端的加密?/font>
---------- ------------- ---------
| Mobile |----------->| WAP |---------->| WEB |
| Device |<-----------| Gateway |<----------|Server |
| | WTLS | | SSL | |
---------- ------------- ---------
3 WTLS协议里加了一U成为key_refresh的机?当传递了一定数量数据包后,双方通过同样的算法将自己的密钥做一下更新。付Z很小的代P安全性得以增强?br />