系統(tǒng)安全漏洞與安全檢測(cè)-資料下載頁(yè)
2025-01-08 23:16本頁(yè)面
【正文】 N2022系統(tǒng)日志 IIS日志 路徑： c:\winnt\system32\logfile\w3svc1 FTP日志 路徑： c:\winnt\system32\logfile\MSFTPSVC1 端口掃描 作用：發(fā)現(xiàn)木馬和確定開(kāi)通的服務(wù)。 工具： SUPERSCAN、 PORTSCAN、 網(wǎng)絡(luò)的監(jiān)視 作用：發(fā)現(xiàn)網(wǎng)絡(luò)攻擊 工具： TCPDUMP（ LINUX）、 WINDUMP（ WINDOWS）、命今 NETSTAT 檢查用戶帳號(hào)和組信息 啟動(dòng) 用戶管理器 程序，或者在命令行狀態(tài)下執(zhí)行 user、 group和 localgroup命令，查看當(dāng)前用戶和組清單，確保內(nèi)置 GUEST帳號(hào)被禁止使用：看看是否有非法組成員存在。默認(rèn)安裝后的組都具有特殊權(quán)限，例如， Administrators組成員有權(quán)對(duì)本地系統(tǒng)做任何事情， Backup operators組成員有權(quán)讀取系統(tǒng)中的所有文件， PowerUsers組成員有權(quán)創(chuàng)建共享。不要讓一些不合適的用戶隱藏在這些組中。 定時(shí)任務(wù)中是否存在可疑程序 檢查定時(shí)任務(wù)中是否存在可疑程序。攻擊者可以讓后門(mén)程序定時(shí)運(yùn)行，以便將來(lái)重新入侵。更進(jìn)一步地，要準(zhǔn)確核對(duì)定時(shí)任務(wù)所對(duì)應(yīng)的實(shí)際程序名是否合法。在命令行狀態(tài)下執(zhí)行 “at”命令可以很方便地看到這些信息。 臨時(shí)進(jìn)程 檢查是否存在臨時(shí)進(jìn)程。要獲取這些信息，可以借助任務(wù)管理器、也可以在命令行執(zhí)行 。pulist可以查看每個(gè)進(jìn)程由誰(shuí)啟動(dòng)， tlist f 可以查看哪個(gè)進(jìn)程又啟動(dòng)了子進(jìn)程。 檢測(cè)混雜模式的網(wǎng)卡 作用：確認(rèn)是否被監(jiān)聽(tīng)。 軟件： PROMISCAN 嗅探行為已經(jīng)成為網(wǎng)絡(luò)安全的一個(gè)巨大威脅。通過(guò)網(wǎng)絡(luò)嗅探，一些惡意用戶能夠很容易地竊取到絕密的文檔和任何人的隱私。要實(shí)現(xiàn)上述目的非常容易，惡意用戶只要從網(wǎng)絡(luò)上下載嗅探器并安全到自己的計(jì)算機(jī)就可以了。然而，卻沒(méi)有一個(gè)很好的方法來(lái)檢測(cè)網(wǎng)絡(luò)上的嗅探器程序 ,以下將討論使用地址解析協(xié)議 (Address Resolution Protocol)報(bào)文來(lái)有效地檢測(cè)網(wǎng)絡(luò)上的嗅探器程序。 原理和檢測(cè)方法 : 例如：網(wǎng)絡(luò)上一臺(tái) IP地址為 PC(X)以太網(wǎng)地址是 000000000001，這臺(tái) PC(X)需要向網(wǎng)絡(luò)上另外一臺(tái) IP地址為 PC(Y)發(fā)送消息。在發(fā)送之前， X首先發(fā)出一個(gè) ARP請(qǐng)求包查詢 的以太網(wǎng)地址。查詢包的目的地址被設(shè)置為 FFFFFFFFFFFF(廣播 )，從而本地網(wǎng)絡(luò)上的所有節(jié)點(diǎn)都可以收到這個(gè)包。收到之后，每個(gè)節(jié)點(diǎn)會(huì)檢查這個(gè) ARP包查詢的 IP地址和本機(jī)的 IP地址是否匹配。如果不同，就忽略這個(gè) ARP包；如果匹配 (Y)就向 X發(fā)出應(yīng)答。 X收到應(yīng)答之后就緩存Y的 IP/硬件地址。然后， X就可以向 Y發(fā)送實(shí)際的數(shù)據(jù)。如果我們把這個(gè)查詢包的目的地址 (以太網(wǎng)地址 )設(shè)置為另外的地址 ,而不是原來(lái)的廣播地址又將如何？例如：我們把 查詢包的目的地址設(shè)置為 000000000001會(huì)發(fā)生什么？處于正常模式下網(wǎng)絡(luò)節(jié)點(diǎn)的以太網(wǎng)卡會(huì)認(rèn)為這個(gè)查詢包是發(fā)往其它主機(jī)的，其硬件過(guò)濾器會(huì)拒絕接收這個(gè)包；然而，如果這個(gè)網(wǎng)絡(luò)節(jié)點(diǎn) ()的以太網(wǎng)卡處于混雜模式(promiscuous mode)下，那么即使以太網(wǎng)地址不匹配，其硬件過(guò)濾器也不進(jìn)行任何過(guò)濾，從而使這個(gè)查詢包能夠進(jìn)入到系統(tǒng)的內(nèi)核。因?yàn)檫@個(gè)節(jié)點(diǎn)的 IP地址和查詢包的要查詢 IP地址相同，其內(nèi)核就會(huì)認(rèn)為 ARP查詢包到達(dá)，應(yīng)該作出應(yīng)答。但是，另我們吃驚的是，這個(gè)處于混雜模式節(jié)點(diǎn)的內(nèi)核不會(huì)應(yīng)答 ARPR查詢包。這種出人意料的結(jié)果說(shuō)明這個(gè)包被系統(tǒng)內(nèi)核過(guò)濾掉了。在這里我們把這叫作軟件過(guò)濾器。 注冊(cè)表的檢測(cè) 作用：發(fā)現(xiàn)木馬 工具： fc命令 , RegSnap HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\KnownDLLs HKEY_LOCAL_MACHINE\System\ControlSet001\Control\Session Manager\KnownDLLs HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\ RunOnce HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\ RunOnceEx HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ RunServices HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\ Windows (run= line) HKEY_CURRENT_USER\Software\Microsoft\Windows\Current Version\Run HKEY_CURRENT_USER\Software\Microsoft\Windows\Current Version\ RunOnce HKEY_CURRENT_USER\Software\Microsoft\Windows\Current Version\ RunOnceEx HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ RunServices HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\ Windows (run= value) 檢查是否存在非授權(quán)的共享 要從窗口界面檢查系統(tǒng)中都共享了哪些資源，是件很煩瑣的事情，很可能造成遺漏。執(zhí)行命令行程序 share是個(gè)簡(jiǎn)便的方法，它可以很快很完整地顯示出系統(tǒng)中的所有共享資源 六、專業(yè)的安全檢測(cè) 代碼漏洞 后門(mén)漏洞 藍(lán)盾安全小組
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1