【文章內(nèi)容簡(jiǎn)介】 03:12:04 [1]USER nt 331 （ IP地址為 nt的用戶試圖登錄） 03:12:06 [1]PASS – 530 （登錄失?。? 03:12:32 [1]USER administrator 331 （ IP地址為 為 administrator試圖登錄） 03:12:34 [1]PASS – 230 （登錄成功） 03:12:41 [1]MKD nt 550 （新建目錄失敗） 03:12:45 [1]QUIT – 550 （退出 FTP程序） 從日志里就能看出 IP地址為 ，換了 3次用戶名和密碼才成功，管理員立即就可以得知管理員的入侵時(shí)間 IP地址以及探測(cè)的用戶名 。 HTTP的日志分析 Windows安全管理篇 Windows安全管理篇 ? Windows系統(tǒng)安裝 ? 系統(tǒng)安全檢查 ? 系統(tǒng)安全配置 ? IIS安全配置 ? SQL Server口令和補(bǔ)丁 Windows系統(tǒng)安裝 ? 使用正版可靠安裝盤 ? 將系統(tǒng)安裝在 NTFS分區(qū)上 ? 系統(tǒng)和數(shù)據(jù)要分開存放在不同的磁盤 ? 最小化安裝服務(wù) ? 安全補(bǔ)丁合集和相關(guān)的 Hotfix ? 裝其它的服務(wù)和應(yīng)用程序補(bǔ)丁 ? 每次在安裝其它程序之后，重新應(yīng)用安全補(bǔ)丁 防止病毒 進(jìn)行文件系統(tǒng)安全設(shè)置 最少建立兩個(gè)分區(qū)，一個(gè)系統(tǒng)分區(qū)，一個(gè)應(yīng)用程序分區(qū)，因?yàn)槲④浀?IIS經(jīng)常會(huì)有泄漏源碼/溢出的漏洞，如果把系統(tǒng)和IIS放在同一個(gè)驅(qū)動(dòng)器會(huì)導(dǎo)致系統(tǒng)文件的泄漏甚至入侵者遠(yuǎn)程獲取 ADMIN。 NT安裝 SP6a和相關(guān)的 Hotfix WIN2K安裝 SP4和相關(guān)的 Hotfix WINXP安裝 SP2和相關(guān)的 Hotfix WIN2023安裝相關(guān)的 Hotfix 系統(tǒng)安全檢查 ? 系統(tǒng)信息 ? 補(bǔ)丁安裝情況 ? 帳號(hào)和口令 ? 網(wǎng)絡(luò)與服務(wù) ? 文件系統(tǒng) ? 日志審核 ? 安全性增強(qiáng) 系統(tǒng)信息 ? 檢查服務(wù)器是否安裝多系統(tǒng)，多系統(tǒng)無法保障文件系統(tǒng)的安全 從“ operating systems‖字段可以查到允許啟動(dòng)的系統(tǒng)列表 系統(tǒng)信息 ? 查看主機(jī)路由信息 補(bǔ)丁安裝情況 ? 檢查當(dāng)前主機(jī)所安裝的 Service Pack以及 Hotfix (Mbsa) SP版本 IE版本，請(qǐng)確認(rèn)在Hotfix中是否存在 IE SP1補(bǔ)丁信息 Hotfix信息 帳號(hào)和口令 ? 多數(shù)的系統(tǒng)，口令是進(jìn)入系統(tǒng)的第一道防線，也是唯一防線； ? 決大多數(shù)的口令算法是可靠的； ? 獲得口令的方式有多種； ? 口令問題多數(shù)出在管理與安全意識(shí)的問題上。 43 口令問題 1：弱口令 ? 用戶趨向于選擇容易的口令，即空口令； ? 用戶會(huì)選擇易于記住的東西做口令 – Test、 Password、 guest、 username等 – 名字、生日、簡(jiǎn)單數(shù)字等 ? 易于選擇該系統(tǒng)的應(yīng)用 – Ntserver、 orancle等 ? 多數(shù)用戶的安全意識(shí)薄弱 44 口令問題 2：明文傳輸 ? 使用明文密碼傳送的應(yīng)用： – FTP、 POP、 Tel、 HTTP、 SNMP、 Socks – Mountd、 Rlogin、 NNTP、 NFS、 – ICQ、 IRC、 PcAnywhere、 VNC等 – MS SQL 、 Oracle等 ? 上訴服務(wù)都容易成為攻擊對(duì)象 45 口令攻擊的方式 ? 手工猜測(cè)； – 方法：社會(huì)工程學(xué)、嘗試默認(rèn)口令 ? 自動(dòng)猜測(cè)； – 工具： NAT、 LC等 ? 竊聽：登陸、網(wǎng)絡(luò)截獲、鍵盤監(jiān)聽 – 工具： Dsniff、 Sniffer Pro、 IKS等 46 Windows常見的口令問題 ? NT/2023的口令問題； ? 用戶教育的問題； ? 管理員注意事項(xiàng)。 47 NT/2023的口令問題 ? SAM（ Security Accounts Manager) – LanManager散列算法（ LM） ? 已被破解，但仍被保留 – NT散列算法（ NTLM/NTLMv2 ） ? 強(qiáng)加密、改良的身份認(rèn)證和安全的會(huì)話機(jī)制 ? 自動(dòng)降級(jí) 48 NT/2023的口令問題 ? LanManager散列算法的問題 – 口令都被湊成 14個(gè)字符； – 不足 14位的，用 0補(bǔ)齊； – 全部轉(zhuǎn)化為大寫字母； – 分成兩部分分別加密。 ? 舉例： – Ba01cK28tr － BA01CK2和 8TR0000 49 NT/2023的口令問題 ? SAM數(shù)據(jù)存放位置 – %systemroot%\system32\config\sam – %systemroot%\repair\(NT)Rdisk – %systemroot%\repair\sam （ 2023） ntbackup – 注冊(cè)表 HKEY_LOCAL_MACHINE\SAM\SAM 和 HKEY_LOCAL_MACHINE\SECURITY\SAM僅對(duì) system是可讀寫的 50 NT/2023的口令問題 ? 獲取 SAM數(shù)據(jù)的方法 – 使系統(tǒng)自舉到另外的系統(tǒng)， copy SAM文件； – 從 repair目錄攫取備份的 SAM。 – 竊聽口令交換 51 口令策略 ?使用密碼強(qiáng)度及賬戶老化、鎖定策略； –設(shè)置最小的密碼程度為 8個(gè)字符，最短密碼時(shí)間為 17天，最長(zhǎng)密碼時(shí)間為 42天，最小的密碼歷史輪回為 6，失敗登陸嘗試為 3，賬戶鎖定為 60分鐘等。 52 用戶教育 ? 口令禁忌 : – 不要選擇可以在任何字典或語言中找到的口令 – 不要選擇簡(jiǎn)單字母組成的口令 – 不要選擇任何指明個(gè)人信息的口令 – 不要選擇包含用戶名或相似類容的口令 – 不要選擇短于 6個(gè)字符或僅包含字母或數(shù)字的口令 – 不要選擇作為口令范例公布的口令 53 管理員注意事項(xiàng) ? 確保每個(gè)用戶都有一個(gè)有效的口令； ? 對(duì)用戶進(jìn)行口令教育； ? 使用防止用戶選擇弱口令的配置與工具； ? 進(jìn)行口令檢查，確保沒有弱口令； ? 確保系統(tǒng)與網(wǎng)絡(luò)設(shè)備沒有缺省賬號(hào)和口令； ? 不要在多個(gè)機(jī)器上使用相同的口令； ? 從不記錄也不與他人共享密碼； 54 管理員注意事項(xiàng) ? 從不將網(wǎng)絡(luò)登錄密碼用作其他用途； ? 域 Administrators賬戶和 本地 Administrators帳戶使用不同的密碼； ? 小心地保護(hù)在計(jì)算機(jī)上保存密碼的地方； ? 對(duì)于特權(quán)用戶強(qiáng)制 30天更換一次口令，一般用戶 60天更換； ? 使用 VPN、 SSH、 一次性口令等安全機(jī)制 . 55 Null Session ? Null Session（空連接）連接也稱為匿名登陸，這種機(jī)制允許匿名用戶通過網(wǎng)絡(luò)獲得系統(tǒng)的信息或建立未授權(quán)的連接。它常被諸如 的應(yīng)用來列舉遠(yuǎn)程服務(wù)器上的共享。 ? 非授權(quán)主機(jī)可以是網(wǎng)絡(luò)里所有的主機(jī)，即這個(gè)主機(jī)不需要有訪問服務(wù)器的任何權(quán)限。 ? 任何一臺(tái)主機(jī)都可以和服務(wù)器之間建立一個(gè) NULL session，這個(gè) NULL session在服務(wù)器里屬于 everyone組。缺省情況下所有的用戶都屬于 everyone這個(gè)組。everyone組沒有很大的權(quán)力。但是可以利用它獲取系統(tǒng)的用戶信息 。 Null Session ? use \\server\IPC$ /user: 此命令用來建立一個(gè)空會(huì)話 ? 獲得目標(biāo)上的所有用戶列表。包括服務(wù)器上有哪些組和用戶。 ? 服務(wù)器的安全規(guī)則，包括帳戶封鎖、最小口令長(zhǎng)度、口令使用周期、口令唯一性設(shè)置等。 ? 列出共享目錄。 ? 讀注冊(cè)表。 Null Session ? view \\server 此命令用來查看遠(yuǎn)程服務(wù)器的共享資源 ? time \\server 此命令用來得到一個(gè)遠(yuǎn)程服務(wù)器的當(dāng)前時(shí)間。 ? At \\server – 此命令用來得到一個(gè)遠(yuǎn)程服務(wù)器的調(diào)度作業(yè) 防御辦法 ? 屏蔽 135139， 445端口（網(wǎng)絡(luò)屬性） ? 去除 NetBios Over TCP/IP(在服務(wù)中去除 server） ? 修改注冊(cè)表 – HKEYLOCAL_MACHINE\SYSTEM\