【正文】 路由器或防火墻中的 RPC端口等可避免對(duì)該漏洞的攻擊。 145 ? Sendmail漏洞： Sendmail是 Unix上用得最多的發(fā)送、接收和轉(zhuǎn)發(fā)電子郵件的程序。Sendmail在 Inter上的廣泛應(yīng)用使其成為攻擊者的主要目標(biāo)。攻擊者可利用 Sendmail存在的缺陷進(jìn)行攻擊。最常見的攻擊是攻擊者發(fā)送一封特別的郵件消息給運(yùn)行 Sendmail的計(jì)算機(jī)，Sendmail會(huì)根據(jù)該消息要求被攻擊的計(jì)算機(jī)將其口令文件發(fā)送給攻擊者，這樣口令就會(huì)被暴露。 146 ? BIND的脆弱性： BIND是域名服務(wù) DNS中用得最多的軟件包。它存在一定的缺陷，攻擊者可利用 BIND缺陷攻擊 DNS服務(wù)器：刪除系統(tǒng)日志，安裝軟件工具以獲得管理員權(quán)限，編輯安裝 IRC工具和網(wǎng)絡(luò)掃描工具，掃描網(wǎng)絡(luò)以尋找更多的易受攻擊的 BIND。 147 ? Sadmind和 Mountd缺陷： Sadmind允許遠(yuǎn)程登錄到 Unix系統(tǒng)進(jìn)行管理，并提供一個(gè)系統(tǒng)管理功能的圖形用戶接口。Mountd控制和判斷安裝在主機(jī)上的 NFS連接。 ? 由于軟件開發(fā)人員的失誤，導(dǎo)致這些應(yīng)用緩沖區(qū)溢出，攻擊者可以利用這些漏洞進(jìn)行攻擊，以獲取 root的存取權(quán)限。 148 3 . Unix的安全措施 ? Unix系統(tǒng)主機(jī)的安全是信息網(wǎng)絡(luò)安全的一個(gè)重要方面，黑客往往通過(guò)控制網(wǎng)絡(luò)中系統(tǒng)主機(jī)來(lái)入侵信息系統(tǒng)和竊取數(shù)據(jù)信息，或通過(guò)已控制的系統(tǒng)主機(jī)來(lái)擴(kuò)大已有的破壞行為。 Unix操作系統(tǒng)規(guī)定了較詳細(xì)的安全性原則，從技術(shù)層面指導(dǎo)用戶對(duì)主機(jī)系統(tǒng)進(jìn)行安全設(shè)置和管理，使信息系統(tǒng)的安全達(dá)到一個(gè)更高的層次。 149 ? Unix系統(tǒng)安全措施包括用戶與口令安全、文件系統(tǒng)安全和系統(tǒng)配置安全等。 ? 用戶與口令安全性措施包括： 設(shè)置 /etc/ passwd文件權(quán)限、設(shè)置用戶密碼、設(shè)置帳號(hào)鎖定功能、封閉不常用的帳號(hào)和啟用審計(jì)功能 等。 150 ? 文件系統(tǒng)安全性包括設(shè)置內(nèi)核文件的所有者為 root且組和其他用戶對(duì)內(nèi)核文件不可寫、禁止普通用戶運(yùn)行 crontab并確保 /usr/lib/crontab和該表中列出的任何程序?qū)θ魏稳瞬豢蓪憽?duì)一些開機(jī)啟動(dòng)的文件設(shè)置正確的權(quán)限等等。 151 ? 系統(tǒng)配置安全性措施 包括 禁止 root遠(yuǎn)程Tel登錄和 FTP、 禁止匿名 FTP、 在非郵件服務(wù)器上禁止運(yùn)行 Sendmail、 不必要時(shí)不運(yùn)行 NFS server、 關(guān)閉潛在的危險(xiǎn)服務(wù)、禁止非路由器設(shè)備轉(zhuǎn)發(fā)數(shù)據(jù)包、為系統(tǒng)打最新補(bǔ)丁等等。 152 Linux系統(tǒng)安全 ? Linux是一種類似 Unix操作系統(tǒng)的自由軟件，是一種與 Unix系統(tǒng)兼容的新型網(wǎng)絡(luò)操作系統(tǒng)。 ? Linux的安全達(dá)到了 TCSEC的 C2安全級(jí)，更高級(jí)別的 Linux在開發(fā)中。 Linux的一些安全機(jī)制(措施 )已被接納為標(biāo)準(zhǔn)。這些安全機(jī)制 (措施 )如下： 153 1. 身份驗(yàn)證機(jī)制 ? 在 Linux中，用戶的身份驗(yàn)證和用戶權(quán)限是分開設(shè)計(jì)的，這樣，用戶的身份驗(yàn)證就比較簡(jiǎn)單。 Linux身份驗(yàn)證系統(tǒng)最基本的實(shí)現(xiàn)是 Linux login程序，不過(guò)其他各應(yīng)用程序也一樣要通過(guò)身份驗(yàn)證來(lái)確定用戶身份。 154 2. 用戶權(quán)限體系 ? Linux的用戶權(quán)限體系包括用戶權(quán)限、超級(jí)用戶權(quán)限和 SUID機(jī)制。 ? Linux使用標(biāo)準(zhǔn)的 Unix文件權(quán)限體系，實(shí)現(xiàn) Linux基本用戶隔離和存取授權(quán)功能。 ? SUID機(jī)制就是在權(quán)限組中增加 SUID和SGID位。 155 3. 加密文件系統(tǒng) ? Linux已有多種加密文件系統(tǒng)，如 CFS、TCFS、 CRYPTFS等，較有代表性的是TCFS(透明加密文件系統(tǒng) )。 TCFS通過(guò)將加密服務(wù)和文件系統(tǒng)緊密結(jié)合，使用戶感覺不到文件的加密過(guò)程。 TCFS不修改文件系統(tǒng)的數(shù)據(jù)結(jié)構(gòu)，備份、修復(fù)以及用戶訪問保密文件的語(yǔ)義也不變。 156 4. 安全審計(jì)和系統(tǒng)日志 ? Linux系統(tǒng)具有安全審計(jì)功能，它可對(duì)網(wǎng)絡(luò)安全進(jìn)行檢測(cè)，利用系統(tǒng)日志記錄攻擊者的行蹤。 ? 日志就是對(duì)系統(tǒng)行為的記錄，它可記錄用戶的登錄 /退出時(shí)間以及用戶執(zhí)行的命令，系統(tǒng)發(fā)生的錯(cuò)誤等。 157 5. 強(qiáng)制訪問控制 ? 強(qiáng)制訪問控制是一種由管理員從全系統(tǒng)角度定義和實(shí)施的訪問控制。它通過(guò)標(biāo)記系統(tǒng)中的主客體，強(qiáng)制性地限制信息的共享和流動(dòng)，使不同的用戶只能訪問與其有關(guān)的、指定范圍的信息，從根本上防止信息泄漏和訪問混亂的現(xiàn)象。 158 6. Linux安全工具 ?網(wǎng)絡(luò)上有各種各樣的攻擊工具，也有各種各樣的安全工具。常用的 Linux系統(tǒng)中的安全工具有 nessus(一個(gè)遠(yuǎn)程安全掃描器 )、 sniffer(監(jiān)聽工具，嗅探器 )、 nmap (掃描工具 )等。 159 20個(gè)最危險(xiǎn)的安全漏洞 三類安全漏洞： 1）影響所有系統(tǒng)的七個(gè)漏洞（ G1~G7） 2） 影響 Windows系統(tǒng)的六個(gè)漏洞（ W1~W6) 3） 影響 Unix系統(tǒng)的七個(gè)漏洞（ U1~U7） 160 G1操作系統(tǒng)和應(yīng)用軟件的缺省安裝 軟件開發(fā)商的邏輯是最好先激活還不需要的功能 ，而不是讓用戶在需要時(shí)再去安裝額外的組件 。 這種方法盡管對(duì)用戶很方便 ， 但卻產(chǎn)生了很多危險(xiǎn)的安全漏洞 ， 因?yàn)橛脩舨粫?huì)主動(dòng)的給他們不使用的軟件組件打補(bǔ)丁 。 而且很多用戶根本不知道實(shí)際安裝了什么 ， 很多系統(tǒng)中留有安全漏洞就是因?yàn)橛脩舾静恢腊惭b了這些程序 。 應(yīng)該對(duì)任何連到 Inter上的系統(tǒng)進(jìn)行端口掃描和漏洞掃描 。 卸載不必要的軟件 ， 關(guān)掉不需要的服務(wù)和額外的端口 。 這會(huì)是一個(gè)枯燥而且耗費(fèi)時(shí)間的工作 。 161 G2 沒有口令或使用弱口令的帳號(hào) 易猜的口令或缺省口令是個(gè)嚴(yán)重的問題 ， 更嚴(yán)重的是有的帳號(hào)根本沒有口令 。 應(yīng)進(jìn)行以下操作： 1． 審計(jì)你系統(tǒng)上的帳號(hào) ， 建立一個(gè)使用者列表 。 2． 制定管理制度 ， 規(guī)范增加帳號(hào)的操作 ， 及時(shí)移走不再使用的帳號(hào) 。 3． 經(jīng)常檢查確認(rèn)有沒有增加新的帳號(hào) ， 不使用的帳號(hào)是否已被刪除 。 當(dāng)雇員或承包人離開公司時(shí) ， 或當(dāng)帳號(hào)不再需要時(shí) ， 應(yīng)有嚴(yán)格的制度保證刪除這些帳號(hào) 。 4． 對(duì)所有的帳號(hào)運(yùn)行口令破解工具 ， 以尋找弱口令或沒有口令的帳號(hào) 。 162 G3 沒有備份或者備份不完整 從事故中恢復(fù)要求及時(shí)的備份和可靠的數(shù)據(jù)存儲(chǔ)方式 。 應(yīng)列出一份緊要系統(tǒng)的列表 。 制定備份方式和策略 。 重要問題： 1． 系統(tǒng)是否有備份 ？ 2． 備份間隔是可接受的嗎 ？ 3． 系統(tǒng)是按規(guī)定進(jìn)行備份的嗎 ？ 4． 是否確認(rèn)備份介質(zhì)正確的保存了數(shù)據(jù) ？ 5． 備份介質(zhì)是否在室內(nèi)得到了正確的保護(hù) ？ 6． 是否在另一處還有操作系統(tǒng)和存儲(chǔ)設(shè)施的備份 ？ （ 包括必要的 license key） 7． 存儲(chǔ)過(guò)程是否被測(cè)試及確認(rèn) ？ 163 G4 大量打開的端口 合法的用戶和攻擊者都通過(guò)開放端口連接系統(tǒng) 。端口開得越多 ， 進(jìn)入系統(tǒng)的途徑就越多 。 stat 命令可以在本地運(yùn)行以判斷哪些端口是打開的 ,但更保險(xiǎn)的方法是對(duì)你的系統(tǒng)進(jìn)行外部的端口掃描 .在眾多的端口掃描器中 ， 最流行的是 nmap。 一旦你確定了哪些端口是打開的 ， 接下來(lái)的任務(wù)是確定所必須打開的端口的最小集合 關(guān)閉其他端口 ，找到這些端口對(duì)應(yīng)的服務(wù) ， 并關(guān)閉 /移走它們 。 164 G5 沒有過(guò)濾地址不正確的包 IP地址欺詐 。 例如 smurf攻擊 。 對(duì)流進(jìn)和流出你網(wǎng)絡(luò)的數(shù)據(jù)進(jìn)行過(guò)濾 。 1． 任何進(jìn)入你網(wǎng)絡(luò)的數(shù)據(jù)包不能把你網(wǎng)絡(luò)內(nèi)部的地址作為源地址；必須把你網(wǎng)絡(luò)內(nèi)部的地址作為目的地址 。 任何離開你網(wǎng)絡(luò)的數(shù)據(jù)包必須把你網(wǎng)絡(luò)內(nèi)部的地址作為源地址；不能把你網(wǎng)絡(luò)內(nèi)部的地址作為目的地址 。 3． 任何進(jìn)入或離開你網(wǎng)絡(luò)的數(shù)據(jù)包不能把一個(gè)私有地址 （ private address） 或在 RFC1918中列出的屬于保留空間 （ 包括 , 絡(luò)回送地址 ） 的地址作為源或目的地址 。 165 G6 不存在或不完整的日志 安全領(lǐng)域的一句名言是： 預(yù)防是理想的 ， 但檢測(cè)是必須的 。 一旦被攻擊 ， 沒有日志 ， 你會(huì)很難發(fā)現(xiàn)攻擊者都作了什么 。 在所有重要的系統(tǒng)上應(yīng)定期做日志 ， 而且日志應(yīng)被定期保存和備份 ， 因?yàn)槟悴恢螘r(shí)會(huì)需要它 。 查看每一個(gè)主要系統(tǒng)的日志 ， 如果你沒有日志或它們不能確定被保存了下來(lái) ， 你是易被攻擊的 。 所有系統(tǒng)都應(yīng)在本地記錄日志 ， 并把日志發(fā)到一個(gè)遠(yuǎn)端系統(tǒng)保存 。 這提供了冗余和一個(gè)額外的安全保護(hù)層 。 不論何時(shí) ， 用一次性寫入的媒質(zhì)記錄日志 。 166 G7 易被攻擊的 CGI程序 大多數(shù)的 web服務(wù)器 ， 都支持 CGI程序 。 1． 從你的 web服務(wù)器上移走所有 CGI示范程序 。 2． 審核剩余的 CGI腳本 ， 移走不安全的部分 。 3． 保證所有的 CGI程序員在編寫程序時(shí) ， 都進(jìn)行輸入緩沖區(qū)長(zhǎng)度檢查 。 4． 為所有不能除去的漏洞打上補(bǔ)丁 。 5． 保證你的 CGI bin目錄下不包括任何的編譯器或解釋器 。 6． 從 CGI bin目錄下刪除 viewsource腳本 。 7． 不要以 administrator或 root權(quán)限運(yùn)行你的 web服務(wù)器 。 大多數(shù)的 web服務(wù)器可以配置成較低的權(quán)限 ， 例如 nobody. 8． 不要在不需要 CGI的 web服務(wù)器上配置 CGI支持 。 167 W1 Unicode漏洞 不論何種平臺(tái) ， 何種程序 ， 何種語(yǔ)言 ， Unicode為每一個(gè)字符提供了一個(gè)獨(dú)一無(wú)二的序號(hào) 。 通過(guò)向 IIS服務(wù)器發(fā)出一個(gè)包括非法 Unicode UTF8序列的 URL,攻擊者可以迫使服務(wù)器逐字 進(jìn)入或退出 目錄并執(zhí)行任意 (程序 )(script腳本 )，這種攻擊被稱為目錄轉(zhuǎn)換攻擊 。 Unicode用 %2f和 %5c分別代表 /和 \。 但你也可以用所謂的 超長(zhǎng) 序列來(lái)代表這些字符 。 超長(zhǎng) 序列是非法的 Unicode表示符 ， 它們比實(shí)際代表這些字符的序列要長(zhǎng) 。 /和 \均可以用一個(gè)字節(jié)來(lái)表示 。 超長(zhǎng)的表示法 ， 例如用 %c0%af代表 /用了兩個(gè)字節(jié) 。 IIS不對(duì)超長(zhǎng)序列進(jìn)行檢查 。 這樣在 URL中加入一個(gè)超長(zhǎng)的 Unicode序列 ， 就可以繞過(guò) Microsoft的安全檢查 。如果你在運(yùn)行一個(gè)未打補(bǔ)丁的 IIS， 那么你是易受到攻擊的 。最好的判斷方法是運(yùn)行 hfchk。 168 W2 ISAPI 緩沖區(qū)擴(kuò)展溢出 安裝 IIS后 ， 就自動(dòng)安裝了多個(gè) ISAPI extensions。 ISAPI，代表 Inter Services Application Programming Interface， 允許開發(fā)人員使用 DLL擴(kuò)展 IIS服務(wù)器的性能 。 一些動(dòng)態(tài)連接庫(kù) ， 例如 ， 有編程錯(cuò)誤 ， 使得他們做不正確的邊界檢查 。 特別是 ， 它們不阻塞超長(zhǎng)字符串 。 攻擊者可以利用這一點(diǎn)向 DLL發(fā)送數(shù)據(jù) ， 造成緩沖區(qū)溢出 ， 進(jìn)而控制 IIS服務(wù)器 。 安裝最新的 Microsoft的補(bǔ)丁 。 該漏洞不影響 Windows XP. 同時(shí) ， 管理員應(yīng)檢查并取消所有不需要的 ISAPI擴(kuò)展 。 經(jīng)常檢查這些擴(kuò)展沒有被恢復(fù) 。 請(qǐng)記住最小權(quán)限規(guī)則 ， 你的系統(tǒng)應(yīng)運(yùn)行系統(tǒng)正常工作所需的最少服務(wù) 。 169 W3 IIS RDS的使用 (Microsoft Remote Data Services) 黑客可以利用 IIS39。s Remote Data Services (RDS)中的漏洞以 administrator權(quán)限在遠(yuǎn)端運(yùn)行命令 。 如果你在運(yùn)行一個(gè)未打補(bǔ)丁的系統(tǒng) ， 你是易被攻擊的 。 170 W4 NETBIOS 未保護(hù)的Windows網(wǎng)絡(luò)共享 Server Message Block (SMB)協(xié)議 ， 也稱為 Common Inter File System (CIFS), 允許網(wǎng)絡(luò)間的文件共享 。不正確的配置可能會(huì)導(dǎo)致系統(tǒng)文件的暴露 ， 或給予黑客完全的系統(tǒng)訪問權(quán) 。 在 Windows的主機(jī)上允許文件共享使得它們?nèi)菀资艿叫畔⒏`賊和某種快速移動(dòng)的病毒的攻擊 。 171 1． 在共享數(shù)據(jù)時(shí) ， 確保只共享所需目錄 。 2． 為增加安全性 ， 只對(duì)特定 IP地址進(jìn)行共享 ， 因?yàn)?DNS名可以欺詐 。 3． 對(duì) Windows系統(tǒng) (NT,2022)， 只允許特定用戶訪問共享文件夾 。 4． 對(duì) Windows系統(tǒng) ， 禁止通過(guò) 空對(duì)話 連接對(duì)用戶 ， 組 ， 系統(tǒng)配置和注冊(cè)密鑰進(jìn)行匿名列舉 。 在 W5中有更詳盡的信息 。 5 ． 對(duì)主機(jī)或路由器上的 NetBIOS 會(huì)話服務(wù) ( tcp 139), Microsoft CIFS (TCP/UDP 445)禁止不綁定的連接 。 6． 考慮在獨(dú)立或彼此不信任的環(huán)境下 ， 在連接 Inter的主機(jī)上部署 Res