網(wǎng)絡(luò)信息對抗第五章windows安全攻防-免費閱讀
【正文】 可以進(jìn)行廣播或者一對多的通訊，傳輸數(shù)據(jù)大小受限制，沒有錯誤檢查機(jī)制，也不必建立通訊會話 ? NetBIOS over TCP/IP，支持三種服務(wù) ? 名字服務(wù) UDP 137 ? 會話服務(wù) TCP 139/445 ? 數(shù)據(jù)報服務(wù) UDP 138 MSRPC遠(yuǎn)程進(jìn)程調(diào)用 /DCOM ? RPC (Remote Procedure Call) ? 網(wǎng)絡(luò)編程標(biāo)準(zhǔn) ? 目的 : 提供 “ 能在某種程度上像應(yīng)用程序開發(fā)人員隱藏有關(guān)網(wǎng)絡(luò)編程細(xì)節(jié) ” 的編程模型 ? RPC調(diào)用 ? 允許程序員編寫的客戶應(yīng)用程序跨網(wǎng)絡(luò)調(diào)用遠(yuǎn)程計算機(jī)上服務(wù)器應(yīng)用程序中的過程 ? COM/DCOM ? COM對象 : 使應(yīng)用程序由不同組件構(gòu)成，導(dǎo)出面向?qū)ο蠼涌?，提高軟件模塊化、可擴(kuò)展性和可交互性。 ?兼容移動終端，微軟將蘋果的 IOS、谷歌的Android視為 Windows 8在移動領(lǐng)域的主要競爭對手。 ? API Hooking目的 ? 隱藏自身存在 : 惡意代碼 , Rootkit ? 安全監(jiān)控和加強(qiáng) : 防病毒軟件 , … ? 安全監(jiān)控和分析 : Sandbox, … ? API Hooking技術(shù)手段 ? 用戶層 API Hooking: Proxy DLL, IAT Patching, Code overwriting, Debugger ? 內(nèi)核層 API Hooking: SSDT hook, IDT Hook, Sysenter hook, IRP hook ? 混合模式 API Hooking: 結(jié)合兩者，有些內(nèi)核 API沒有很好的文檔支持 Windows系統(tǒng)的注冊表 ? Windows系統(tǒng)注冊表 ? Windows配置和控制方面關(guān)鍵角色 ? 系統(tǒng)全局配置的存儲倉庫 ? 每個用戶配置信息的存儲倉庫 ? 注冊表查找編輯工具 ? ? 注冊表的讀寫 ? 讀取 : 系統(tǒng)引導(dǎo)過程 , 系統(tǒng)登錄過程 , 應(yīng)用程序啟動過程 ? 修改 : 缺省安裝 , 應(yīng)用程序安裝 , 設(shè)備驅(qū)動安裝 , 修改應(yīng)用程序配置 ? 注冊表在文件系統(tǒng)上的存儲 (Hive) ? HKLM\SYSTEM\CurrentControlSet\Control\hivelist ? 注冊表監(jiān)視工具 ? RegMon ? 注冊表自動啟動可擴(kuò)展點（ ASEP點） autorun ? 經(jīng)常被惡意代碼 /攻擊者利用 提綱 ?Windows操作系統(tǒng)簡介 ?Windows NT ?Windows NT ?Windows NT Windows Windows Windows Networking API ? NetBIOS－網(wǎng)絡(luò)基本輸入 /輸出系統(tǒng) ? Windows獨有的局域網(wǎng)組網(wǎng)協(xié)議 ? RPC –遠(yuǎn)過程調(diào)用 ? PRC/DCOM ? WinSock API ? 命名管道 (Named Pipes)和郵件槽 (Mail Slots) ? 命名管道：提供可靠雙向通信，協(xié)議無關(guān)的標(biāo)識Windows網(wǎng)絡(luò)資源的方法 ? 郵件槽：提供不可靠的單向數(shù)據(jù)傳輸，支持廣播 ? Web訪問 API ? WinI/WinHTTP/HTTP API NetBIOS ? NetBIOS(網(wǎng)絡(luò)基本輸入 /輸出系統(tǒng) )：最初由 IBM開發(fā)， MS利用 NetBIOS作為構(gòu)建局域網(wǎng)的上層協(xié)議 ? NetBIOS使得程序和網(wǎng)絡(luò)之間有了標(biāo)準(zhǔn)的接口，方便應(yīng)用程序的開發(fā)。 Windows NT SRM安全引用監(jiān)控器 ? SRM (Security Reference Monitor) ? 安全引用監(jiān)控器 ? Windows資源寶庫的看門人 ? 位置 : Windows執(zhí)行體 ? 內(nèi)核模式，負(fù)責(zé)對運行在用戶模式代碼的各種資源存取請求進(jìn)行檢查 Subject –安全主體 ? Windows NT ? 用戶 (users)和用戶帳戶 (accounts) ? 用戶組 (groups) ? 計算機(jī) (puters) ? Account Identifier: Security identifier(SID)安全標(biāo)識符 ? 時間和空間唯一的安全主體帳戶標(biāo)識 ? 48位數(shù)值 : S1NY1Y2Y3Y4 ? Some wellknown SIDs: Administrator Y4(RID)=500 用戶帳戶 ? 用戶帳戶 ? 操作系統(tǒng)運行程序代碼的執(zhí)行環(huán)境 ? 帳戶權(quán)限 ? 限制該用戶帳戶內(nèi)運行程序?qū)ο到y(tǒng)資源對象的訪問 ? Windows內(nèi)建帳戶 ? 本地 Administrator帳戶 : 最高權(quán)限 ? SYSTEM/LocalSystem: 技術(shù)角度最高權(quán)限，自動運行程序所使用的運行環(huán)境 ? Guest帳戶 : 相對極少的權(quán)限 ? IUSR_machinename: IIS匿名網(wǎng)絡(luò)訪問帳戶 , Guest組 ? IWAM_machinename: IIS應(yīng)用程序運行帳戶 ? 黑客眼里的 Windows帳戶 ? 本地 Administrator和 SYSTEM帳戶擁有最高權(quán)限，是終極目標(biāo) 用戶組 ? 用戶組 ? 簡化用戶管理引入的用戶帳戶容器 ? 將用戶帳戶添加入特定用戶組，該用戶即擁有用戶組配置的全部權(quán)限
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1