【文章內(nèi)容簡介】 03:12:04 [1]USER nt 331 （ IP地址為 nt的用戶試圖登錄） 03:12:06 [1]PASS – 530 （登錄失敗） 03:12:32 [1]USER administrator 331 （ IP地址為 為 administrator試圖登錄） 03:12:34 [1]PASS – 230 （登錄成功） 03:12:41 [1]MKD nt 550 （新建目錄失敗） 03:12:45 [1]QUIT – 550 （退出 FTP程序） 從日志里就能看出 IP地址為 ，換了 3次用戶名和密碼才成功，管理員立即就可以得知管理員的入侵時間 IP地址以及探測的用戶名 。 HTTP的日志分析 Windows安全管理篇 Windows安全管理篇 ? Windows系統(tǒng)安裝 ? 系統(tǒng)安全檢查 ? 系統(tǒng)安全配置 ? IIS安全配置 ? SQL Server口令和補丁 Windows系統(tǒng)安裝 ? 使用正版可靠安裝盤 ? 將系統(tǒng)安裝在 NTFS分區(qū)上 ? 系統(tǒng)和數(shù)據(jù)要分開存放在不同的磁盤 ? 最小化安裝服務(wù) ? 安全補丁合集和相關(guān)的 Hotfix ? 裝其它的服務(wù)和應(yīng)用程序補丁 ? 每次在安裝其它程序之后，重新應(yīng)用安全補丁 防止病毒 進行文件系統(tǒng)安全設(shè)置 最少建立兩個分區(qū)，一個系統(tǒng)分區(qū)，一個應(yīng)用程序分區(qū)，因為微軟的 IIS經(jīng)常會有泄漏源碼/溢出的漏洞，如果把系統(tǒng)和IIS放在同一個驅(qū)動器會導(dǎo)致系統(tǒng)文件的泄漏甚至入侵者遠程獲取 ADMIN。 NT安裝 SP6a和相關(guān)的 Hotfix WIN2K安裝 SP4和相關(guān)的 Hotfix WINXP安裝 SP2和相關(guān)的 Hotfix WIN2023安裝相關(guān)的 Hotfix 系統(tǒng)安全檢查 ? 系統(tǒng)信息 ? 補丁安裝情況 ? 帳號和口令 ? 網(wǎng)絡(luò)與服務(wù) ? 文件系統(tǒng) ? 日志審核 ? 安全性增強 系統(tǒng)信息 ? 檢查服務(wù)器是否安裝多系統(tǒng)，多系統(tǒng)無法保障文件系統(tǒng)的安全 從“ operating systems‖字段可以查到允許啟動的系統(tǒng)列表 系統(tǒng)信息 ? 查看主機路由信息 補丁安裝情況 ? 檢查當前主機所安裝的 Service Pack以及 Hotfix (Mbsa) SP版本 IE版本，請確認在Hotfix中是否存在 IE SP1補丁信息 Hotfix信息 帳號和口令 ? 多數(shù)的系統(tǒng)，口令是進入系統(tǒng)的第一道防線，也是唯一防線； ? 決大多數(shù)的口令算法是可靠的； ? 獲得口令的方式有多種； ? 口令問題多數(shù)出在管理與安全意識的問題上。 43 口令問題 1：弱口令 ? 用戶趨向于選擇容易的口令，即空口令； ? 用戶會選擇易于記住的東西做口令 – Test、 Password、 guest、 username等 – 名字、生日、簡單數(shù)字等 ? 易于選擇該系統(tǒng)的應(yīng)用 – Ntserver、 orancle等 ? 多數(shù)用戶的安全意識薄弱 44 口令問題 2：明文傳輸 ? 使用明文密碼傳送的應(yīng)用： – FTP、 POP、 Tel、 HTTP、 SNMP、 Socks – Mountd、 Rlogin、 NNTP、 NFS、 – ICQ、 IRC、 PcAnywhere、 VNC等 – MS SQL 、 Oracle等 ? 上訴服務(wù)都容易成為攻擊對象 45 口令攻擊的方式 ? 手工猜測； – 方法：社會工程學、嘗試默認口令 ? 自動猜測； – 工具： NAT、 LC等 ? 竊聽：登陸、網(wǎng)絡(luò)截獲、鍵盤監(jiān)聽 – 工具： Dsniff、 Sniffer Pro、 IKS等 46 Windows常見的口令問題 ? NT/2023的口令問題； ? 用戶教育的問題； ? 管理員注意事項。 47 NT/2023的口令問題 ? SAM（ Security Accounts Manager) – LanManager散列算法（ LM） ? 已被破解，但仍被保留 – NT散列算法（ NTLM/NTLMv2 ） ? 強加密、改良的身份認證和安全的會話機制 ? 自動降級 48 NT/2023的口令問題 ? LanManager散列算法的問題 – 口令都被湊成 14個字符； – 不足 14位的，用 0補齊； – 全部轉(zhuǎn)化為大寫字母； – 分成兩部分分別加密。 ? 舉例： – Ba01cK28tr － BA01CK2和 8TR0000 49 NT/2023的口令問題 ? SAM數(shù)據(jù)存放位置 – %systemroot%\system32\config\sam – %systemroot%\repair\(NT)Rdisk – %systemroot%\repair\sam （ 2023） ntbackup – 注冊表 HKEY_LOCAL_MACHINE\SAM\SAM 和 HKEY_LOCAL_MACHINE\SECURITY\SAM僅對 system是可讀寫的 50 NT/2023的口令問題 ? 獲取 SAM數(shù)據(jù)的方法 – 使系統(tǒng)自舉到另外的系統(tǒng)， copy SAM文件； – 從 repair目錄攫取備份的 SAM。 – 竊聽口令交換 51 口令策略 ?使用密碼強度及賬戶老化、鎖定策略； –設(shè)置最小的密碼程度為 8個字符，最短密碼時間為 17天，最長密碼時間為 42天，最小的密碼歷史輪回為 6，失敗登陸嘗試為 3，賬戶鎖定為 60分鐘等。 52 用戶教育 ? 口令禁忌 : – 不要選擇可以在任何字典或語言中找到的口令 – 不要選擇簡單字母組成的口令 – 不要選擇任何指明個人信息的口令 – 不要選擇包含用戶名或相似類容的口令 – 不要選擇短于 6個字符或僅包含字母或數(shù)字的口令 – 不要選擇作為口令范例公布的口令 53 管理員注意事項 ? 確保每個用戶都有一個有效的口令； ? 對用戶進行口令教育； ? 使用防止用戶選擇弱口令的配置與工具； ? 進行口令檢查，確保沒有弱口令； ? 確保系統(tǒng)與網(wǎng)絡(luò)設(shè)備沒有缺省賬號和口令； ? 不要在多個機器上使用相同的口令； ? 從不記錄也不與他人共享密碼； 54 管理員注意事項 ? 從不將網(wǎng)絡(luò)登錄密碼用作其他用途； ? 域 Administrators賬戶和 本地 Administrators帳戶使用不同的密碼； ? 小心地保護在計算機上保存密碼的地方； ? 對于特權(quán)用戶強制 30天更換一次口令，一般用戶 60天更換； ? 使用 VPN、 SSH、 一次性口令等安全機制 . 55 Null Session ? Null Session（空連接）連接也稱為匿名登陸，這種機制允許匿名用戶通過網(wǎng)絡(luò)獲得系統(tǒng)的信息或建立未授權(quán)的連接。它常被諸如 的應(yīng)用來列舉遠程服務(wù)器上的共享。 ? 非授權(quán)主機可以是網(wǎng)絡(luò)里所有的主機，即這個主機不需要有訪問服務(wù)器的任何權(quán)限。 ? 任何一臺主機都可以和服務(wù)器之間建立一個 NULL session，這個 NULL session在服務(wù)器里屬于 everyone組。缺省情況下所有的用戶都屬于 everyone這個組。everyone組沒有很大的權(quán)力。但是可以利用它獲取系統(tǒng)的用戶信息 。 Null Session ? use \\server\IPC$ /user: 此命令用來建立一個空會話 ? 獲得目標上的所有用戶列表。包括服務(wù)器上有哪些組和用戶。 ? 服務(wù)器的安全規(guī)則，包括帳戶封鎖、最小口令長度、口令使用周期、口令唯一性設(shè)置等。 ? 列出共享目錄。 ? 讀注冊表。 Null Session ? view \\server 此命令用來查看遠程服務(wù)器的共享資源 ? time \\server 此命令用來得到一個遠程服務(wù)器的當前時間。 ? At \\server – 此命令用來得到一個遠程服務(wù)器的調(diào)度作業(yè) 防御辦法 ? 屏蔽 135139， 445端口（網(wǎng)絡(luò)屬性） ? 去除 NetBios Over TCP/IP(在服務(wù)中去除 server） ? 修改注冊表 – HKEYLOCAL_MACHINE\SYSTEM\