網(wǎng)絡信息對抗第五章windows安全攻防-免費閱讀
【正文】 可以進行廣播或者一對多的通訊，傳輸數(shù)據(jù)大小受限制，沒有錯誤檢查機制，也不必建立通訊會話 ? NetBIOS over TCP/IP，支持三種服務 ? 名字服務 UDP 137 ? 會話服務 TCP 139/445 ? 數(shù)據(jù)報服務 UDP 138 MSRPC遠程進程調用 /DCOM ? RPC (Remote Procedure Call) ? 網(wǎng)絡編程標準 ? 目的 : 提供 “ 能在某種程度上像應用程序開發(fā)人員隱藏有關網(wǎng)絡編程細節(jié) ” 的編程模型 ? RPC調用 ? 允許程序員編寫的客戶應用程序跨網(wǎng)絡調用遠程計算機上服務器應用程序中的過程 ? COM/DCOM ? COM對象 : 使應用程序由不同組件構成，導出面向對象接口，提高軟件模塊化、可擴展性和可交互性。 ?兼容移動終端，微軟將蘋果的 IOS、谷歌的Android視為 Windows 8在移動領域的主要競爭對手。 ? API Hooking目的 ? 隱藏自身存在 : 惡意代碼 , Rootkit ? 安全監(jiān)控和加強 : 防病毒軟件 , … ? 安全監(jiān)控和分析 : Sandbox, … ? API Hooking技術手段 ? 用戶層 API Hooking: Proxy DLL, IAT Patching, Code overwriting, Debugger ? 內核層 API Hooking: SSDT hook, IDT Hook, Sysenter hook, IRP hook ? 混合模式 API Hooking: 結合兩者，有些內核 API沒有很好的文檔支持 Windows系統(tǒng)的注冊表 ? Windows系統(tǒng)注冊表 ? Windows配置和控制方面關鍵角色 ? 系統(tǒng)全局配置的存儲倉庫 ? 每個用戶配置信息的存儲倉庫 ? 注冊表查找編輯工具 ? ? 注冊表的讀寫 ? 讀取 : 系統(tǒng)引導過程 , 系統(tǒng)登錄過程 , 應用程序啟動過程 ? 修改 : 缺省安裝 , 應用程序安裝 , 設備驅動安裝 , 修改應用程序配置 ? 注冊表在文件系統(tǒng)上的存儲 (Hive) ? HKLM\SYSTEM\CurrentControlSet\Control\hivelist ? 注冊表監(jiān)視工具 ? RegMon ? 注冊表自動啟動可擴展點（ ASEP點） autorun ? 經(jīng)常被惡意代碼 /攻擊者利用 提綱 ?Windows操作系統(tǒng)簡介 ?Windows NT ?Windows NT ?Windows NT Windows Windows Windows Networking API ? NetBIOS－網(wǎng)絡基本輸入 /輸出系統(tǒng) ? Windows獨有的局域網(wǎng)組網(wǎng)協(xié)議 ? RPC –遠過程調用 ? PRC/DCOM ? WinSock API ? 命名管道 (Named Pipes)和郵件槽 (Mail Slots) ? 命名管道：提供可靠雙向通信，協(xié)議無關的標識Windows網(wǎng)絡資源的方法 ? 郵件槽：提供不可靠的單向數(shù)據(jù)傳輸，支持廣播 ? Web訪問 API ? WinI/WinHTTP/HTTP API NetBIOS ? NetBIOS(網(wǎng)絡基本輸入 /輸出系統(tǒng) )：最初由 IBM開發(fā)， MS利用 NetBIOS作為構建局域網(wǎng)的上層協(xié)議 ? NetBIOS使得程序和網(wǎng)絡之間有了標準的接口，方便應用程序的開發(fā)。 Windows NT SRM安全引用監(jiān)控器 ? SRM (Security Reference Monitor) ? 安全引用監(jiān)控器 ? Windows資源寶庫的看門人 ? 位置 : Windows執(zhí)行體 ? 內核模式，負責對運行在用戶模式代碼的各種資源存取請求進行檢查 Subject –安全主體 ? Windows NT ? 用戶 (users)和用戶帳戶 (accounts) ? 用戶組 (groups) ? 計算機 (puters) ? Account Identifier: Security identifier(SID)安全標識符 ? 時間和空間唯一的安全主體帳戶標識 ? 48位數(shù)值 : S1NY1Y2Y3Y4 ? Some wellknown SIDs: Administrator Y4(RID)=500 用戶帳戶 ? 用戶帳戶 ? 操作系統(tǒng)運行程序代碼的執(zhí)行環(huán)境 ? 帳戶權限 ? 限制該用戶帳戶內運行程序對系統(tǒng)資源對象的訪問 ? Windows內建帳戶 ? 本地 Administrator帳戶 : 最高權限 ? SYSTEM/LocalSystem: 技術角度最高權限，自動運行程序所使用的運行環(huán)境 ? Guest帳戶 : 相對極少的權限 ? IUSR_machinename: IIS匿名網(wǎng)絡訪問帳戶 , Guest組 ? IWAM_machinename: IIS應用程序運行帳戶 ? 黑客眼里的 Windows帳戶 ? 本地 Administrator和 SYSTEM帳戶擁有最高權限，是終極目標 用戶組 ? 用戶組 ? 簡化用戶管理引入的用戶帳戶容器 ? 將用戶帳戶添加入特定用戶組，該用戶即擁有用戶組配置的全部權限
教學課件相關推薦
鄂ICP備17016276號-1