計算機(jī)系統(tǒng)安全第10章常用攻擊手段(編輯修改稿)
2025-08-28 14:04 本頁面
【文章內(nèi)容簡介】 ， 沒有日志 ， 你會很難發(fā)現(xiàn)攻擊者都作了什么 。 在所有重要的系統(tǒng)上應(yīng)定期做日志 ， 而且日志應(yīng)被定期保存和備份 ， 因為你不知何時會需要它 。 查看每一個主要系統(tǒng)的日志 ， 如果你沒有日志或它們不能確定被保存了下來 ， 你是易被攻擊的 。 所有系統(tǒng)都應(yīng)在本地記錄日志 ， 并把日志發(fā)到一個遠(yuǎn)端系統(tǒng)保存 。 這提供了冗余和一個額外的安全保護(hù)層 。 不論何時 ， 用一次性寫入的媒質(zhì)記錄日志 。 33 G7 易被攻擊的 CGI程序 三、系統(tǒng)漏洞 大多數(shù)的 web服務(wù)器 ， 都支持 CGI程序 。 1． 從你的 web服務(wù)器上移走所有 CGI示范程序 。 2． 審核剩余的 CGI腳本 ， 移走不安全的部分 。 3． 保證所有的 CGI程序員在編寫程序時 ， 都進(jìn)行輸入緩沖區(qū)長度檢查 。 4． 為所有不能除去的漏洞打上補(bǔ)丁 。 5． 保證你的 CGI bin目錄下不包括任何的編譯器或解釋器 。 6． 從 CGI bin目錄下刪除 viewsource腳本 。 7． 不要以 administrator或 root權(quán)限運(yùn)行你的 web服務(wù)器 。 大多數(shù)的 web服務(wù)器可以配置成較低的權(quán)限 ， 例如 nobody. 8． 不要在不需要 CGI的 web服務(wù)器上配置 CGI支持 。 34 W1 Unicode漏洞 三、系統(tǒng)漏洞 不論何種平臺 ， 何種程序 ， 何種語言 ， Unicode為每一個字符提供了一個獨(dú)一無二的序號 。 通過向 IIS服務(wù)器發(fā)出一個包括非法 Unicode UTF8序列的 URL,攻擊者可以迫使服務(wù)器逐字 進(jìn)入或退出 目錄并執(zhí)行任意 (程序 )(script腳本 )， 這種攻擊被稱為目錄轉(zhuǎn)換攻擊 。 Unicode用 %2f和 %5c分別代表 /和 \。 但你也可以用所謂的 超長 序列來代表這些字符 。 超長 序列是非法的 Unicode表示符 ， 它們比實際代表這些字符的序列要長 。 /和 \均可以用一個字節(jié)來表示 。 超長的表示法 ， 例如用 %c0%af代表 /用了兩個字節(jié) 。 IIS不對超長序列進(jìn)行檢查 。 這樣在 URL中加入一個超長的 Unicode序列 ， 就可以繞過 Microsoft的安全檢查 。如果你在運(yùn)行一個未打補(bǔ)丁的 IIS， 那么你是易受到攻擊的 。最好的判斷方法是運(yùn)行 hfchk。 35 W2 ISAPI 緩沖區(qū)擴(kuò)展溢出 三、系統(tǒng)漏洞 安裝 IIS后 ， 就自動安裝了多個 ISAPI extensions。 ISAPI， 代表 Inter Services Application Programming Interface， 允許開發(fā)人員使用 DLL擴(kuò)展 IIS服務(wù)器的性能 。 一些動態(tài)連接庫 ，例如 ， 有編程錯誤 ， 使得他們做不正確的邊界檢查 。特別是 ， 它們不阻塞超長字符串 。 攻擊者可以利用這一點向DLL發(fā)送數(shù)據(jù) ， 造成緩沖區(qū)溢出 ， 進(jìn)而控制 IIS服務(wù)器 。 安裝最新的 Microsoft的補(bǔ)丁 。 該漏洞不影響 Windows XP. 同時 ， 管理員應(yīng)檢查并取消所有不需要的 ISAPI擴(kuò)展 。 經(jīng)常檢查這些擴(kuò)展沒有被恢復(fù) 。 請記住最小權(quán)限規(guī)則 ， 你的系統(tǒng)應(yīng)運(yùn)行系統(tǒng)正常工作所需的最少服務(wù) 。 36 W3 IIS RDS的使用 (Microsoft Remote Data Services) 三、系統(tǒng)漏洞 黑客可以利用 IIS39。s Remote Data Services (RDS)中的漏洞以 administrator權(quán)限在遠(yuǎn)端運(yùn)行命令 。 如果你在運(yùn)行一個未打補(bǔ)丁的系統(tǒng) ， 你是易被攻擊的 。 37 W4 NETBIOS 未保護(hù)的 Windows網(wǎng)絡(luò)共享 三、系統(tǒng)漏洞 Server Message Block (SMB)協(xié)議 ， 也稱為Common Inter File System (CIFS), 允許網(wǎng)絡(luò)間的文件共享 。 不正確的配置可能會導(dǎo)致系統(tǒng)文件的暴露 ， 或給予黑客完全的系統(tǒng)訪問權(quán) 。 在 Windows的主機(jī)上允許文件共享使得它們?nèi)菀资艿叫畔⒏`賊和某種快速移動的病毒的攻擊 。 38 三、系統(tǒng)漏洞 1． 在共享數(shù)據(jù)時 ， 確保只共享所需目錄 。 2． 為增加安全性 ， 只對特定 IP地址進(jìn)行共享 ， 因為 DNS名可以欺詐 。 3． 對 Windows系統(tǒng) (NT,2022)， 只允許特定用戶訪問共享文件夾 。 4． 對 Windows系統(tǒng) ， 禁止通過 空對話 連接對用戶 ， 組 ， 系統(tǒng)配置和注冊密鑰進(jìn)行匿名列舉 。 在 W5中有更詳盡的信息 。 5． 對主機(jī)或路由器上的 NetBIOS會話服務(wù) ( tcp 139), Microsoft CIFS (TCP/UDP 445)禁止不綁定的連接 。 6． 考慮在獨(dú)立或彼此不信任的環(huán)境下 ， 在連接 Inter的主機(jī)上部署 Restrict Anonymous registry key。 39 W5 通過空對話連接造成的信息泄露 三、系統(tǒng)漏洞 空對話連接 (null session)， 也稱為匿名登錄 ， 是一種允許匿名用戶獲取信息 （ 例如用戶名或共享文件 ） ， 或不需認(rèn)證進(jìn)行連接的機(jī)制 。 享文件 。 在 Windows NT和 Windows 2022系統(tǒng)下 ， 許多本地服務(wù)是在 SYSTEM帳號下運(yùn)行的 ， 又稱為 Windows 2022的LocalSystem。 很多操作系統(tǒng)都使用 SYSTEM帳號 。 當(dāng)一臺主機(jī)需要從另一臺主機(jī)上獲取系統(tǒng)信息時 ， SYSTEM帳號會為另一臺主機(jī)建立一個空對話 。 SYSTEM帳號實際擁有無限的權(quán)利 ， 而且沒有密碼 ， 所以你不能以 SYSTEM的方式登錄 。 SYSTEM有時需要獲取其它主機(jī)上的一些信息 ， 例如可獲取的共享資源和用戶名等典型的網(wǎng)上鄰居功能 。 由于它不能以用戶名和口令進(jìn)入 ， 所以它使用空對話連接進(jìn)入 ， 不幸的是攻擊者也可以相同的方式進(jìn)入 。 40 W6 Weak hashing in SAM (LM hash) 三、系統(tǒng)漏洞 盡管 Windows的大多數(shù)用戶不需要 LAN Manager的支持 ， 微軟還是在 Windows NT 和 2022系統(tǒng)里缺省安裝了 LAN Manager口令散列 。 由于 LAN Manager使用的加密機(jī)制比微軟現(xiàn)在的方法脆弱 ， LAN Manager的口令能在很短的時間內(nèi)被破解 。 LAN Manager散列的主要脆弱性在于： ?長的口令被截成 14個字符 ?短的口令被填補(bǔ)空格變成 14個字符 ?口令中所有的字符被轉(zhuǎn)換成大寫 ?口令被分割成兩個 7個字符的片斷 另外 ， LAN Manager容易被偵聽口令散列 。 偵聽可以為攻擊者提供用戶的口令 。 41 U1 RPC 服務(wù)緩沖區(qū)溢出 三、系統(tǒng)漏洞 遠(yuǎn)程請求 （ Remote Procedure Calls ） 允許一臺機(jī)器上的程序執(zhí)行另一臺機(jī)器上的程序 。 用來提供網(wǎng)絡(luò)服務(wù)如 NFS文件共享 。 由于 RPC缺陷導(dǎo)致的弱點正被廣泛的利用著 。 有證據(jù)顯示 ， 1999年到 2022年間的大部分分布式拒絕服務(wù)型攻擊都是在那些通過 RPC漏洞被劫持的機(jī)器上執(zhí)行的 。 按照下面步驟保護(hù)你的系統(tǒng)避免該攻擊： 1. 只要允許 ， 在可以從 Inter 直接訪問的機(jī)器上關(guān)閉或刪除這些服務(wù) 2. 在你必須運(yùn)行該服務(wù)的地方 ， 安裝最新的補(bǔ)?。? 3. 定期搜索供應(yīng)商的補(bǔ)丁庫查找最新的補(bǔ)丁并立刻安裝 。 4. 在路由或防火墻關(guān)閉 RPC 端口 (port 111) 。 5. 關(guān)閉 RPC loopback 端口 , 3277032789 (TCP and UDP) 42 U2 Sendmail 漏洞 三、系統(tǒng)漏洞 Sendmail 是在 UNIX和 Linux上用的最多的發(fā)送 ， 接收和轉(zhuǎn)發(fā)電子郵件的程序 。 Sendmail在 Inter上的廣泛應(yīng)用使它成為攻擊者的主要目標(biāo) 。 過去的幾年里發(fā)現(xiàn)了若干個缺陷 。 事實上 ， 第一個建議是 CERT/CC 在 1988年提出的 ， 指出了Sendmail中一個易受攻擊的脆弱性 。 其中最為常用的是攻擊者可以發(fā)送一封特別的郵件消息給運(yùn)行 Sendmail的機(jī)器 ，Sendmail會根據(jù)這條消息要求受劫持的機(jī)器把它的口令文件發(fā)給攻擊者的機(jī)器 （ 或者另一臺受劫持的機(jī)器 ） ， 這樣口令就會被破解掉 。 Sendmail 有很多的易受攻擊的弱點 ，
高考資料相關(guān)推薦
鄂ICP備17016276號-1