【文章內容簡介】 強有力的措施處置，管理員也很難發(fā)現(xiàn)。這種情況下，如果能及時迅速地通知安 全管理員，能把該用戶趕出 (logout)操作系統(tǒng)，甚至封死該帳戶，使其無法繼續(xù)登錄，無疑會大大加強系統(tǒng)的安全性。 另外，不同的 UNIX 及 UNIX 的不同版本在實現(xiàn)的過程中都會有這樣那樣的 BUG，其中許多 BUG 是與安全有關的。 80 年代中期， Inter 上流行的著名“蠕蟲”病毒事件就是由 UNIX 系統(tǒng)的安全 BUG 造成的。廠商在發(fā)現(xiàn)并修正 BUG 后會把 PATCH 放在其公司站點上供用戶下載和安裝，但許多用戶沒有技術能力和精力理解、跟蹤這些 PATCH 并及時安裝。有的 UNIX 操作系統(tǒng)雖然能夠達到較高的安全級別，但在缺省安 裝和配置中一般采用較低的安全控制，需要進行許多配置過程才能達到較高的安全級別。由于水平和精力所限，一般用戶環(huán)境中很難完成這樣精確的安全配置，經常存在錯誤的配置，導致安全問題。更為嚴重的是，一臺 UNIX 服務器上經常要安裝很多商業(yè)應用軟件，這些軟件大多以 root 用戶運行。而這些軟件往往存在一些安全漏洞或錯誤的安全配置，從而導致 root 權限被人竊取。所以，我們需要一種系統(tǒng)掃描工具，定期檢查系統(tǒng)中與安全有關的軟件、資源、 PATCH 的情況，發(fā)現(xiàn)問題及時報告并給出解決建議。才能使系統(tǒng)經常處于安全的狀態(tài)。 2 常見的安全威脅 和攻擊手段 在了解安全問題之前，我們先來研究一下目前網絡上存在的一些安全威脅和攻擊手段。然后我們再來了解一些出現(xiàn)安全問題的根源，這樣我們就可以對安全問題有一個很好的認識。迄今為止，網絡上存在上無數(shù)的安全威脅和攻擊，對于他們也存在著不同的 分類方法。我們可以按照攻擊的性質、手段、結果等暫且將其分為機密攻擊、非法訪問、惡意攻擊、社交工程、計算機病毒、不良信息資源和信息戰(zhàn)幾類。 竊取機密攻擊： 所謂竊取機密攻擊是指未經授權的攻擊者（黑客）非法訪問網絡、竊取信息的情況，一般可以通過在不安全的傳輸通道上截取正在傳輸?shù)男?息或利用協(xié)議或網絡的弱點來實現(xiàn)的。常見的形式可以有以下幾種： 1） 網絡踩點（ Footprinting） 攻擊者事先匯集目標的信息，通常采用 whois、 Finger 等工具和 DNS、 LDAP 等協(xié)議獲取目標的一些信息，如域名、 IP 地址、網絡拓撲結構、相關的用戶信息等，這往往是黑客入侵之前所做的第一步工作。 2） 掃描攻擊 掃描攻擊包括地址掃描和端口掃描等，通常采用 ping 命令和各種端口掃描工具，可以獲得目標計算機的一些有用信息，例如機器上打開了哪些端口，這樣就知道開設了哪些服務，從而為進一步的入侵打下基礎。 3） 協(xié)議指紋 黑客 對目標主機發(fā)出探測包，由于不同操作系統(tǒng)廠商的 IP 協(xié)議棧實現(xiàn)之間存在許多細微的差別（也就是說各個廠家在編寫自己的 TCP/IP 協(xié)議棧時，通常對特定的RFC 指南做出不同的解釋），因此各個操作系統(tǒng)都有其獨特的響應方法，黑客經常能確定出目標主機所運行的操作系統(tǒng)。常常被利用的一些協(xié)議棧指紋包括： TTL值、 TCP 窗口大小、 DF 標志、 TOS、 IP 碎片處理、 ICMP 處理、 TCP 選項處理等。 4） 信息流監(jiān)視 這是一個在共享型局域網環(huán)境中最常采用的方法。由于在共享介質的網絡上數(shù)據包會經過每個網絡節(jié)點，網卡在一般情況下只會接受發(fā)往本機 地址或本機所在廣播（或多播）地址的數(shù)據包，但如果將網卡設置為混雜模式（ Promiscuous），網卡就會接受所有經過的數(shù)據包。基于這樣的原理，黑客使用一個叫 sniffer 的嗅探器裝置，可以是軟件，也可以是硬件）就可以對網絡的信息流進行監(jiān)視，從而獲得他們感興趣的內容，例如口令以及其他秘密的信息。 5） 會話劫持（ session hijacking） 利用 TCP 協(xié)議本身的不足，在合法的通信連接建立后攻擊者可以通過阻塞或摧毀通信的一方來接管已經過認證建立起來的連接，從而假冒被接管方與對方通信。 非法訪問 1） 口令破解 可以 采用字典破解和暴力破解來獲得口令。 2） IP 欺騙 攻擊者可以通過偽裝成被信任的 IP 地址等方式來獲取目標的信任。這主要是針對防火墻的 IP 包過濾以及 LINUX/UNIX 下建立的 IP 地址信任關系的主機實施欺騙。 3） DNS 欺騙 由于 DNS 服務器相互交換信息的時候并不建立身份驗證，這就使得黑客可以使用錯誤的信息將用戶引向錯誤主機。 4） 重放攻擊 攻擊者利用身份認證機制中的漏洞先把別人有用的信息記錄下來，過一段時間后再發(fā)送出去。 5） 非法使用 系統(tǒng)資源被某個非法用戶以未授權的方式使用 6） 特洛伊木馬 把一個能幫助黑客完成某個特定動作的程 序依附在某一合法用戶的正常程序中，這時合法用戶的程序代碼已經被改變，而一旦用戶觸發(fā)該程序，那么依附在內的黑客指令代碼同時被激活，這些代碼往往能完成黑客早已指定的任務。 惡意攻擊 惡意攻擊，在當今最為特出的就是拒絕服務攻擊 DoS（ Denial of Server）了。拒絕服務攻擊通過使計算機功能或性能崩潰來組織提供服務，典型的拒絕服務攻擊有如下 2種形式：資源耗盡和資源過載。當一個對資源的合理請求大大超過資源的支付能力時，就會造成拒絕服務攻擊。常見的攻擊行為主要包括 Ping of death、淚滴 (Teardrop)、 UDP flood、 SYN flood、 Land 攻擊、 Smurf 攻擊、 Fraggle 攻擊、電子郵件炸彈、畸形信息攻擊等 1) Ping of death 在早期版本中，許多操作系統(tǒng)對網絡數(shù)據包的最大尺寸有限制，對 TCP/IP 棧的實現(xiàn)在 ICMP 包上規(guī)定為 64KB。在讀取包的報頭后，要根據該報頭中包含的信息來為有效載荷生成緩沖區(qū)。當 PING 請求的數(shù)據包聲稱自己的尺寸超過 ICMP 上限，也就是加載的尺寸超過 64KB 時，就會使 PING 請求接受方出現(xiàn)內存分配錯誤，導致 TCP/IP 堆棧崩潰，致使接受方死機。 2) 淚滴 淚滴攻擊利用了某些 TCP/IP 協(xié)議棧實現(xiàn)中對 IP 分段重組時的錯誤 3) UDP flood 利用簡單的 TCP/IP 服務建立大流量數(shù)據流，如 chargen 和 Echo 來傳送無用的滿帶寬的數(shù)據。通過偽造與某一主機的 chargen 服務之間的一次 UDP 連接，回復地址指向提供 ECHO 服務的一臺主機，這樣就生成了在 2 臺主機之間的足夠多的無用數(shù)據流，過多的數(shù)據流會導致帶寬耗盡。 4) SYN flood 一些 TCP/IP 協(xié)議棧的實現(xiàn)只能等待從有限數(shù)量的計算機發(fā)來的 ACK 消息，因為他們只有有限的內存空間用于創(chuàng)建 連接，如果這一緩沖區(qū)充滿了虛假連接的初始信息，該服務器就會對接下來的連接停止響應，直到緩沖區(qū)的連接企圖超時。在一些創(chuàng)建連接不收限制的系統(tǒng)實現(xiàn)里， SYN 洪流具有類似的影響！ 5) Land 攻擊 在 Land 攻擊中，將一個 SYN 包的源地址和目標地址均設成同一個服務器地址，導致接受服務器向自己的地址發(fā)送 SYNACK 消息，結果這個地址又發(fā)回 ACK 消息并創(chuàng)建一個空連接，每一個這樣的連接都將保持直到超時。對 LAND 攻擊反應不同，許多UNIX 實現(xiàn)將崩潰， NT 則變得極其緩慢。 6) Smurf 攻擊 簡單的 Smurf 攻擊發(fā)送 ICMP 應答請求包，目的地址設為受害網絡的廣播地址，最終導致該網絡的所有主機都對此 ICMP 應答請求做出答復，導致網絡阻塞。如果將源地址改為第三方的受害者，最終將導致第三方崩潰。 7) fraggle 攻擊 該攻擊對 Smurf 攻擊做了簡單修改，使用的是 UDP 應答消息而非 ICMP。 8) 電子郵件炸彈 這是最古老的匿名攻擊之一，通過設置一臺機器不斷的向同一地址發(fā)送電子郵件，攻擊者能耗盡接受者的郵箱 9) 畸形信息攻擊 各類操作系統(tǒng)的許多服務均存在這類問題，由于這些服務在處理消息之前沒有進行適當正確的錯誤校驗，受到畸形信息可能會崩潰。 10) DdoS 攻擊 DdoS 攻擊（ Distributed Denial of Server,分布式拒絕服務）是一種基于 DOS 的特殊形式的拒絕服務攻擊，是一種分布協(xié)作的大規(guī)模攻擊方式，主要瞄準比較大的站點，像商業(yè)公司、搜索引擎和政府部門的站點。他利用一批受控制的機器向一臺目標機器發(fā)起攻擊，這樣來勢迅猛的攻擊令人難以防備，因此具有很大的破壞性。 除了以上的這些拒絕服務攻擊外，一些常見的惡意攻擊還包括緩沖區(qū)溢出攻擊、硬件設備破壞性攻擊以及網頁篡改等。 11) 緩沖區(qū)溢出攻擊（ buffer overflow） 通過往程序的緩沖區(qū)寫 超過其長度的內容，造成緩沖區(qū)的溢出，從而破壞程序的堆棧，使程序轉而執(zhí)行其他指令，以達到攻擊的目的。緩沖區(qū)溢出是一種非常普遍、非常危險的漏洞，在各種操作系統(tǒng)、應用軟件中廣泛存在，根據統(tǒng)計：通過緩沖區(qū)溢出進行的攻擊占所有系統(tǒng)攻擊總數(shù)的 80%以上。利用緩沖區(qū)溢出攻擊可以導致程序運行失敗、系統(tǒng)死機、重新啟動等后果，更嚴重的是，可以利用他執(zhí)行非授權的指令，甚至可以取得系統(tǒng)特權，進而進行各種非法操作。由于他歷史悠久、危害巨大，被稱為數(shù)十年來攻擊和防衛(wèi)的弱點。 社交工程（ Social Engineering） 采用說服 或欺騙的手段，讓網絡內部的人來提供必要的信息，從而獲得對信息系統(tǒng)的訪問權限。 計算機病毒 病毒是對軟件、計算機和網絡系統(tǒng)的最大威脅之一。所謂病毒，是指一段可執(zhí)行的程序代碼，通過對其他程序進行修改，可以感染這些程序，使他們成為含有該病毒程序的一個拷貝。 不良信息資源 在互聯(lián)網如此發(fā)達的今天，真可謂“林子大了，什么鳥都有”，網絡上面充斥了各種各樣的信息，其中不乏一些暴力、色情、反動等不良信息。 信息戰(zhàn) 計算機技術和網絡技術的發(fā)展，使我們處與信息時代。信息化是目前國際社會發(fā)展的趨勢，他對于經濟、社會的發(fā)展都 有著重大意義。美國著名未來學家托爾勒說過：“誰掌握了信息、控制了網絡，誰將擁有整個世界”。美國前總統(tǒng)克林頓也說：“今后的時代，控制世界的國家將不是靠軍事，而是信息能力走在前面的國家?！泵绹瓣戃妳⒅\長沙爾文上將更是一語道破：“信息時代的出現(xiàn)，將從根本上改變戰(zhàn)爭的進行方式” 1995 年，美國國防部組建信息戰(zhàn)執(zhí)行委員會， 10 月組建世界上第一支信息戰(zhàn)分隊。之后，美國陸、海、空三軍相繼成立信息站中心。 1990 年海灣戰(zhàn)爭，被稱為“世界上首次全面的信息站”，充分顯示了現(xiàn)代高技術條件下“制信息權”的關鍵作用。 3 安全問題 的根源 前面已經介紹了網絡上常見的安全威脅與攻擊，下面來看一下這些安全問題的根源所在，大體上有物理安全問題、方案設計的缺陷、系統(tǒng)的安全漏洞、 TCP/IP 協(xié)議的安全和人等幾個方面。 物理安全問題 除了物理設備本身的問題外，物理安全問題還包括設備的位置安全、限制物理訪問、物理環(huán)境安全和地域因素等。 物理設備的位置極為重要。所有基礎網絡設施都應該放置在嚴格限制來訪人員的地方，以降低出現(xiàn)未經授權訪問的可能性。 方案設計的缺陷 有一類安全問題根源在于方案設計時的缺陷。 由于在實際中，網絡的結構往往比較復雜，為了實現(xiàn)異 構網絡間信息的通信，往往要犧牲一些安全機制的設置和實現(xiàn)，從而提出更高的網絡開放性的要求。開放性和安全性正是一對相生相克的矛盾。 由于特定的環(huán)境往往會有特定的安全需求，所以不存在可以到處通用的解決方案，往往需要制訂不同的方案。如果設計者的安全理論與實踐水平不夠的話，設計出來的方案經常會出現(xiàn)很多漏洞，這也是安全威脅的根源之一。 系統(tǒng)的安全漏洞 隨著軟件系統(tǒng)規(guī)模的不斷增大，系統(tǒng)中的安全漏洞或后門也不可避免的存在，比如我們常用的操作系統(tǒng)，無論是 WINDOWS 還是 LINUX 幾乎都存在或多或少的安全漏洞，眾多的各類服務 器最典型的如微軟的 IIS 服務器、瀏覽器、數(shù)據庫、等都被發(fā)現(xiàn)過存在安全隱患。可以說任何一個軟件系統(tǒng)都可能因為程序員的一個疏忽、設計中的一個缺陷等原因而存在安全漏洞，這也是網絡安全問題的主要根源之一。 目前我們發(fā)現(xiàn)的安全漏洞數(shù)量已經相當龐大，據統(tǒng)計已經接近病毒的數(shù)量。以下列舉了一些典型的安全漏洞，他們在新發(fā)布的系統(tǒng)或已經打過補丁的系統(tǒng)中可能已經不再存在，但是了解他們依然具有非常積極的意義！ 1） 操作系統(tǒng)類安全漏洞 操作系統(tǒng)類安全漏洞包括非法文件訪問、遠程獲得 ROOT 權限、系統(tǒng)后門、 NIS 漏洞、FINGER 漏洞、 RPC 漏洞等 2） 網絡系統(tǒng)類安全漏洞 典型例子包括： CISCO IOS 的早期版本不能抵抗很多拒絕服務類的攻擊（如 LAND）等 3） 應用系統(tǒng)類安全漏洞 各種應用都可能隱含安全缺陷，尤其是較早的一些產品和國內一些公司的產品對安全問題很少考慮，更是如此，如通過 TCP/IP 協(xié)議應用 MAIL SERVER、 WWW SERVER、FTP SERVER、 DNS 時出現(xiàn)的安全漏洞等 TCP/IP協(xié)議的安全問題 因特網最初設計考慮時該網不會因局部故障而影響信息的傳輸，基本沒有考慮安全問 題，因此他在安全可靠、服務質量、帶寬和方便性等方面存在 這嚴重的不適應性。作為因特網靈魂的 TCP/IP 協(xié)議，更存在著很大的安全隱患，缺乏強健的安全機制，這也是網絡不安全的主要因素之一。