網(wǎng)絡(luò)信息安全論文梁宇鵬解析

1、信息與網(wǎng)絡(luò)安全梁宇鵬摘 要： 隨著計算機技術(shù)的不斷發(fā)展，計算機網(wǎng)絡(luò)已經(jīng)成為信息時代的重要特征，人們 稱它為信息高速公路。 網(wǎng)絡(luò)是計算機技術(shù)和通信技術(shù)的產(chǎn)物， 是應(yīng)社會對信息共享和信息傳 遞的要求發(fā)展起來的， 各國都在建設(shè)自己的信息高速公路。 我國近年來計算機網(wǎng)絡(luò)發(fā)展的速 度也很快，在國防、電信、銀行、廣播等方面都有廣泛的應(yīng)用。我相信在不長的時間里，計 算機網(wǎng)絡(luò)一定會得到極大的發(fā)展，那時將全面進入信息時 代。正因為網(wǎng)絡(luò)應(yīng)用的如此廣泛，的，它是網(wǎng)絡(luò)能否經(jīng)歷考驗的關(guān)鍵， 現(xiàn)已是生活中必不可少的一個環(huán)節(jié)，又在生活中扮演很重要的角色， 所以其安全性是不容忽視如果安全性不好會給人們帶來很多麻煩。 網(wǎng)絡(luò)信息

2、交流 然而信息安全卻得不到相應(yīng)的重視。 本文就網(wǎng)絡(luò)信息的發(fā)展，組成，與安全問題的危害做一個簡單的探討關(guān)鍵字：計算機網(wǎng)絡(luò)安全 安全的定義網(wǎng)絡(luò)信息安全的威脅一、計算機網(wǎng)絡(luò)系統(tǒng)的定義，功能，組成與主要用途 計算機網(wǎng)絡(luò)源于計算機與通信技術(shù)的結(jié)合，其發(fā)展歷史按年代劃分經(jīng)歷了以下幾個時 期。50-60 年代，出現(xiàn)了以批處理為運行特征的主機系統(tǒng)和遠程終端之間的數(shù)據(jù)通信。60-70 年代，出現(xiàn)分時系統(tǒng)。主機運行分時操作系統(tǒng)，主機和主機之間、主機和遠程終 端之間通過前置機通信。美國國防高級計劃局開發(fā)的ARPA網(wǎng)投入使用，計算機網(wǎng)處于興起時期。70-80 年代是計算機網(wǎng)絡(luò)發(fā)展最快的階段，網(wǎng)絡(luò)開始商品化和實用化，通

3、信技術(shù)和計算 機技術(shù)互相促進， 結(jié)合更加緊密。 網(wǎng)絡(luò)技術(shù)飛速發(fā)展， 特別是微型計算機局域網(wǎng)的發(fā)展和應(yīng) 用十分廣泛。進入 90 年代后， 局域網(wǎng)成為計算機網(wǎng)絡(luò)結(jié)構(gòu)的基本單元。 網(wǎng)絡(luò)間互連的要求越來越強， 真正達到資源共享、數(shù)據(jù)通信和分布處理的目標(biāo)。迅速崛起的 Internet 是人們向往的 " 信息高速公路 "的一個雛形，從它目前發(fā)展的廣度 和應(yīng)用的深度來看，其潛力還遠遠沒有發(fā)揮出來，隨著 21 世紀的到來， Internet 必將在人 類的社會、政治和經(jīng)濟生活中扮演著越來越重要的角色。計算機網(wǎng)絡(luò)的發(fā)展過程是從簡單到復(fù)雜， 從單機到多機， 從終端與計算機之間的通信發(fā)展到 計算

4、機與計算機之間的直接通信的演變過程。 其發(fā)展經(jīng)歷了具有通信功能的批處理系統(tǒng)、 具 有通信功能的多機系統(tǒng)和計算機網(wǎng)絡(luò)系統(tǒng)三個階段。1. 具有通信功能的批處理系統(tǒng)在具有通信功能的批處理系統(tǒng)中，計算機既要進行數(shù)據(jù)處理，又要承擔(dān)終端間的通信， 主機負荷加重， 實際工作效率下降； 分散的終端單獨占用一條通信線路， 通信線路利用率低， 費用高。2. 具有通信功能的多機系統(tǒng)具有通信功能的多機系統(tǒng)的主機前增設(shè)一個前端處理機， 用來專門負責(zé)通信工作， 而且 在終端比較集中的地方設(shè)置集中器。 集中器實際也是一臺計算機， 它把終端發(fā)來的信息收集 起來， 裝配成用戶的作業(yè)信息， 然后再用高速線路傳給前端處理機。 當(dāng)主

5、機把信息發(fā)給用戶 時，集中器先接收由前端處理機傳來的信息， 經(jīng)預(yù)處理分發(fā)給用戶， 從而實現(xiàn)了數(shù)據(jù)處理與 數(shù)據(jù)通信的分工。3. 計算機網(wǎng)絡(luò)系統(tǒng)在計算機網(wǎng)絡(luò)系統(tǒng)中， 服務(wù)器負責(zé)處理網(wǎng)絡(luò)上各主機 （或稱為工作站） 之間通信控制和 通信處理的任務(wù)，網(wǎng)絡(luò)上各主機負責(zé)數(shù)據(jù)和用戶作業(yè)的處理，是計算機網(wǎng)絡(luò)的資源擁有者。 在網(wǎng)絡(luò)系統(tǒng)中， 各主機之間沒有主次關(guān)系， 它們各自相互獨立， 但通過通信控制設(shè)備和通信 介質(zhì)實現(xiàn)系統(tǒng)中各計算機之間的數(shù)據(jù)和系統(tǒng)軟、硬件資源的共享。隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展和完善， 網(wǎng)絡(luò)結(jié)構(gòu)、 網(wǎng)絡(luò)系統(tǒng)日趨成熟， 計算機網(wǎng)絡(luò)已逐步滲透到 當(dāng)今信息社會的各個領(lǐng)域，其應(yīng)用前景是十分廣闊的。計算機網(wǎng)絡(luò)是

6、把一定地理范圍內(nèi)的計算機通過通信線路互連起來， 在相應(yīng)通信協(xié)議和網(wǎng) 絡(luò)系統(tǒng)軟件的支持下，彼此互相通信并共享資源的系統(tǒng)。因此，可以把計算機網(wǎng)絡(luò)定義為： 凡將地理位置不同， 并具有獨立功能的多臺計算機系統(tǒng)通過通信設(shè)備和線路連接起來， 以功 能完善的網(wǎng)絡(luò)軟件實現(xiàn)在網(wǎng)絡(luò)中資源共享的系統(tǒng)，稱之為計算機網(wǎng)絡(luò)系統(tǒng)。網(wǎng)絡(luò)系統(tǒng)是由網(wǎng)絡(luò)操作系統(tǒng)和用以組成計算機網(wǎng)絡(luò)的多臺計算機，以及各種通信設(shè)備構(gòu)成 的。在計算機網(wǎng)絡(luò)系統(tǒng)中， 每臺計算機是獨立的， 任何一臺計算機都不能干預(yù)其它計算機的 工作，任何兩臺計算機之間沒有主從關(guān)系。 計算機網(wǎng)絡(luò)系統(tǒng)由網(wǎng)絡(luò)硬件和網(wǎng)絡(luò)軟件兩部分組 成。在網(wǎng)絡(luò)系統(tǒng)中， 硬件對網(wǎng)絡(luò)的性能起著決定的作

7、用， 是網(wǎng)絡(luò)運行的實體，而網(wǎng)絡(luò)軟件則 是支持網(wǎng)絡(luò)運行、提高效益和開發(fā)網(wǎng)絡(luò)資源的工具。1. 網(wǎng)絡(luò)硬件網(wǎng)絡(luò)硬件是計算機網(wǎng)絡(luò)系統(tǒng)的物質(zhì)基礎(chǔ)。 構(gòu)成一個計算機網(wǎng)絡(luò)系統(tǒng)， 首先要將計算機及 其附屬硬件設(shè)備與網(wǎng)絡(luò)中的其它計算機系統(tǒng)連接起來，實現(xiàn)物理連接。常見的網(wǎng)絡(luò)硬件有： 計算機、網(wǎng)絡(luò)接口卡、通信介質(zhì)以及各種網(wǎng)絡(luò)互連設(shè)備等。網(wǎng)絡(luò)中 的計算機又分為服務(wù)器和網(wǎng)絡(luò)工作站兩類。2. 網(wǎng)絡(luò)軟件網(wǎng)絡(luò)軟件是實現(xiàn)網(wǎng)絡(luò)功能所不可缺少的軟環(huán)境。網(wǎng)絡(luò)軟件通常包括網(wǎng)絡(luò)操作系統(tǒng)( Network Operating System )和網(wǎng)絡(luò)協(xié)議軟件。網(wǎng)絡(luò)操作系統(tǒng)網(wǎng)絡(luò)操作系統(tǒng)是運行在網(wǎng)絡(luò)硬件基礎(chǔ)之上的， 為網(wǎng)絡(luò)用戶提供共享資源管理服務(wù)

8、、 基本 通信服務(wù)、 網(wǎng)絡(luò)系統(tǒng)安全服務(wù)及其他網(wǎng)絡(luò)服務(wù)的軟件系統(tǒng)。 網(wǎng)絡(luò)操作系統(tǒng)是網(wǎng)絡(luò)的核心， 其 他應(yīng)用軟件系統(tǒng)需要網(wǎng)絡(luò)操作系統(tǒng)的支持才能運行。在網(wǎng)絡(luò)系統(tǒng)中， 每個用戶都可享用系統(tǒng)中的各種資源， 所以， 網(wǎng)絡(luò)操作系統(tǒng)必須對用戶 進行控制，否則，就會造成系統(tǒng)混亂，造成信息數(shù)據(jù)的破壞和丟失。為了協(xié)調(diào)系統(tǒng)資源，網(wǎng) 絡(luò)操作系統(tǒng)需要通過軟件工具對網(wǎng)絡(luò)資源進行全面的管理，進行合理的調(diào)度和分配。網(wǎng)絡(luò)協(xié)議連入網(wǎng)絡(luò)的計算機依靠網(wǎng)絡(luò)協(xié)議實現(xiàn)互相通信， 而網(wǎng)絡(luò)協(xié)議是靠具體的網(wǎng)絡(luò)協(xié)議軟件的 運行支持才能工作。凡是連入計算機網(wǎng)絡(luò)的服務(wù)器和工作站上都運行著相應(yīng)的網(wǎng)絡(luò)協(xié)議軟 件，比如最常用的互聯(lián)網(wǎng)協(xié)議 TCP/IP ，網(wǎng)間

9、互連協(xié)議 IPX/netbois, 等等隨著網(wǎng)絡(luò)技術(shù)的發(fā)展， 其應(yīng)用領(lǐng)域越來越廣泛。 通過網(wǎng)絡(luò)系統(tǒng)， 人們可以坐在家里預(yù)訂 去世界各地的飛機票、火車票、船票，預(yù)訂客房等。通過遠程通信可了解全世界各地證券、 股市行情，在任何地方的銀行存取貨幣等。通過網(wǎng)絡(luò)信息系統(tǒng)對企業(yè)生產(chǎn)、銷售、財務(wù)、儲 運、固定資產(chǎn)等各方面進行管理，還可以對企業(yè)進行輔助計劃、輔助決策， 對企業(yè)進行宏觀 控制。另外，計算機網(wǎng)絡(luò)系統(tǒng)在信息咨詢業(yè)、辦公自動化、軍事、航天航空、教育、氣象、 圖書館管理等方面都有廣泛的應(yīng)用。計算機網(wǎng)絡(luò)的應(yīng)用領(lǐng)域十分廣泛，主要有以下幾種用途。1. 共享資源建立計算機網(wǎng)絡(luò)的主要目的在于實現(xiàn) " 資

10、源共享 " ，所以其功能主要體現(xiàn)在通過資源共享 而實現(xiàn)。利用計算機網(wǎng)絡(luò)可以共享主機設(shè)備，如，中型機、小型機、工作站等；也可以共享較高 級和昂貴的外部設(shè)備，如：激光打印機、繪圖儀、數(shù)字化儀、掃描儀等。使不擁有大型計算 機的用戶也可以通過網(wǎng)絡(luò)使用大型機資源， 分享到擁有大型機的優(yōu)勢， 避免系統(tǒng)建設(shè)中的重 復(fù)勞動和投資。計算機網(wǎng)絡(luò)系統(tǒng)可將分散在各地的計算機中的數(shù)據(jù)信息收集起來，進行綜合分析處理。 并把分析結(jié)果反饋給相關(guān)的各個計算機中， 使數(shù)據(jù)信息得到充分的共享。 更重要的是， 利用 計算機網(wǎng)絡(luò)共享軟件、數(shù)據(jù)等信息資源，以最大限度地降低成本，提高效率。通過計算機網(wǎng)絡(luò)系統(tǒng)可以緩解用戶資源缺乏的

11、矛盾， 并可對各資源的忙與閑進行合理調(diào) 節(jié)。2.數(shù)據(jù)通信利用計算機網(wǎng)絡(luò)可以實現(xiàn)計算機用戶相互間的通信。通過網(wǎng)絡(luò)上的文件服務(wù)器交換信息 和報文、收發(fā)電子郵件、 相互協(xié)同工作等。這些對辦公室自動化、 提高生產(chǎn)率起著十分重要 的作用。隨著 Internet 在世界各地的風(fēng)行，傳統(tǒng)的電話、電報、郵遞等通信方式受到很大 沖擊，電子郵件、BBS已為世人廣泛接受，IP電話、視頻會議等各種通信方式二、網(wǎng)絡(luò)安全概述2.1 網(wǎng)絡(luò)安全的定義網(wǎng)絡(luò)安全的具體含義會隨著 " 角度 " 的變化而變化。比如：從用戶（個人、企業(yè)等）的角 度來說， 他們希望涉及個人隱私或商業(yè)利益的信息在網(wǎng)絡(luò)上傳輸時受到機密性

12、、完整性和真實性的保護，避免其他人或?qū)κ掷酶`聽、冒充、篡改、抵賴等手段侵犯用戶的利益和隱， 同時也避免其它用戶的非授權(quán)訪問和破壞。從網(wǎng)絡(luò)運行和管理者角度說， 他們希望對本地網(wǎng)絡(luò)信息的訪問、 讀寫等操作受到保護和控 制，避免出現(xiàn) "陷門 "、病毒、非法存取、拒絕服務(wù)和網(wǎng)絡(luò)資源非法占用和非法控制等威脅， 制止和防御網(wǎng)絡(luò)黑客的攻擊。對安全保密部門來說， 他們希望對非法的、 有害的或涉及國家機密的信息進行過濾和防 堵，避免機要信息泄露，避免對社會產(chǎn)生危害，對國家造成巨大損失。從社會教育和意識形態(tài)角度來講， 網(wǎng)絡(luò)上不健康的內(nèi)容， 會對社會的穩(wěn)定和人類的發(fā)展 造成阻礙，必須對其進行控

13、制。從本質(zhì)上來講， 網(wǎng)絡(luò)安全就是網(wǎng)絡(luò)上的信息安全， 是指網(wǎng)絡(luò)系統(tǒng)的硬件、 軟件及其系統(tǒng)中的 數(shù)據(jù)受到保護， 不受偶然的或者惡意的原因而遭到破壞、 更改、泄露，系統(tǒng)連續(xù)可靠正常地 運行，網(wǎng)絡(luò)服務(wù)不中斷。廣義來說，凡是涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真 實性和可控性的相關(guān)技術(shù)和理論都是網(wǎng)絡(luò)安全所要研究的領(lǐng)域。 網(wǎng)絡(luò)安全涉及的內(nèi)容既有技 術(shù)方面的問題， 也有管理方面的問題，兩方面相互補充， 缺一不可。技術(shù)方面主要側(cè)重于防 范外部非法用戶的攻擊， 管理方面則側(cè)重于內(nèi)部人為因素的管理。 如何更有效地保護重要的 信息數(shù)據(jù)、提高計算機網(wǎng)絡(luò)系統(tǒng)的安全性已經(jīng)成為所有計算機網(wǎng)絡(luò)應(yīng)用必須考慮和必須解決 的

14、一個重要問題。不同環(huán)境和應(yīng)用中的網(wǎng)絡(luò)安全運行系統(tǒng)安全 : 即保證信息處理和傳輸系統(tǒng)的安全。它側(cè)重于保證系統(tǒng)正常運行，避免 因為系統(tǒng)的崩潰和損壞而對系統(tǒng)存貯、 處理和傳輸?shù)男畔⒃斐善茐暮蛽p失， 避免由于電磁泄 漏，產(chǎn)生信息泄露，干擾他人，受他人干擾。網(wǎng)絡(luò)上系統(tǒng)信息的安全 : 包括用戶口令鑒別，用戶存取權(quán)限控制，數(shù)據(jù)存取權(quán)限、方式 控制，安全審計，安全問題跟蹤，計算機病毒防治，數(shù)據(jù)加密。網(wǎng)絡(luò)上信息傳播安全 : 即信息傳播后果的安全。包括信息過濾等。它側(cè)重于防止和控制 非法、有害的信息進行傳播后的后果。避免公用網(wǎng)絡(luò)上大量自由傳輸?shù)男畔⑹Э?。網(wǎng)絡(luò)上信息內(nèi)容的安全 : 它側(cè)重于保護信息的保密性、真實性和

15、完整性。避免攻擊者利 用系統(tǒng)的安全漏洞進行竊聽、 冒充、 詐騙等有損于合法用戶的行為。 本質(zhì)上是保護用戶的利 益和隱私2.2 網(wǎng)絡(luò)信息安全問題的產(chǎn)生與網(wǎng)絡(luò)信息安全的威脅可以從不同角度對網(wǎng)絡(luò)安全作出不同的解釋。一般意義上，網(wǎng)絡(luò)安全是指信息安全和 控制安全兩部分。國際標(biāo)準(zhǔn)化組織把信息安全定義為 " 信息的完整性、可用性、保密性和可 靠性 " ；控制安全則指身份認證、不可否認性、授權(quán)和訪問控制?；ヂ?lián)網(wǎng)與生俱有的開放性、交互性和分散性特征使人類所憧憬的信息共享、開放、 靈活和快速等需求得到滿足。網(wǎng)絡(luò)環(huán)境為信息共享、信息交流、信息服務(wù)創(chuàng)造了理想空間， 網(wǎng)絡(luò)技術(shù)的迅速發(fā)展和廣泛應(yīng)用，

16、為人類社會的進步提供了巨大推動力。 然而， 正是由于互 聯(lián)網(wǎng)的上述特性，產(chǎn)生了許多安全問題：a ）信息泄漏、信息污染、信息不易受控。例如，資源未授權(quán)侵用、未授權(quán)信息流出 現(xiàn)、系統(tǒng)拒絕信息流和系統(tǒng)否認等，這些都是信息安全的技術(shù)難點。b ）在網(wǎng)絡(luò)環(huán)境中，一些組織或個人出于某種特殊目的，進行信息泄密、信息破壞、 信息侵權(quán)和意識形態(tài)的信息滲透， 甚至通過網(wǎng)絡(luò)進行政治顛覆等活動， 使國家利益、 社會公 共利益和各類主體的合法權(quán)益受到威脅。C ）網(wǎng)絡(luò)運用的趨勢是全社會廣泛參與， 隨之而來的是控制權(quán)分散的管理問題。 由于 人們利益、 目標(biāo)、價值的分歧， 使信息資源的保護和管理出現(xiàn)脫節(jié)和真空， 從而使信息安全

17、 問題變得廣泛而復(fù)雜。d ）隨著社會重要基礎(chǔ)設(shè)施的高度信息化， 社會的 "命脈"和核心控制系統(tǒng)有可能面臨 惡意攻擊而導(dǎo)致?lián)p壞和癱瘓，包括國防通信設(shè)施、動力控制網(wǎng)、金融系統(tǒng)和政府網(wǎng)站等。隨著人類社會生活對 Internet 需求的日益增長， 網(wǎng)絡(luò)安全逐漸成為 Internet 及各項網(wǎng)絡(luò)服 務(wù)和應(yīng)用進一步發(fā)展的關(guān)鍵問題， 特別是 1993 年以后 Internet 開始商用化， 通過 Internet 進行的各種電子商務(wù)業(yè)務(wù)日益增多， 加之 Internet/Intranet 技術(shù)日趨成熟， 很多組織和企 業(yè)都建立了自己的內(nèi)部網(wǎng)絡(luò)并將之與 Internet 聯(lián)通。上述上電子商

18、務(wù)應(yīng)用和企業(yè)網(wǎng)絡(luò)中的 商業(yè)秘密均成為攻擊者的目標(biāo)。 據(jù)統(tǒng)計， 目前網(wǎng)絡(luò)攻擊手段有數(shù)千種之多， 使網(wǎng)絡(luò)安全問題 變得極其嚴峻， 據(jù)美國商業(yè)雜志 信息周刊 公布的一項調(diào)查報告稱， 黑客攻擊和病毒等安 全問題在 2000 年造成了上萬億美元的經(jīng)濟損失，在全球范圍內(nèi)每數(shù)秒鐘就發(fā)生一起網(wǎng)絡(luò)攻 擊事件。隨著 Internet 的發(fā)展， 網(wǎng)絡(luò)安全技術(shù)也在與網(wǎng)絡(luò)攻擊的對抗中不斷發(fā)展。 從總體上 看，經(jīng)歷了從靜態(tài)到動態(tài)、從被動防范到主動防范的發(fā)展過程當(dāng)人們訪問他們不應(yīng)訪問的信息時，或他們企圖對網(wǎng)絡(luò)或其資源作希望做的事時，我們 成這樣的企圖為攻擊。攻擊是一種你不想遇到的行為或一種企圖的行為。三 、實例3.1 網(wǎng)絡(luò)

19、信息應(yīng)用中字符引發(fā)的信息安全問題說到字符， 很多用戶也許會不以為然： 小小的字符， 不過是個非?；A(chǔ)的人機交互表達 形式， 它能產(chǎn)生什么威脅？但是， 威脅偏偏就來自最原始的方面， 并且這種威脅往往是 最危險的，也是最難以防范的。正如世界上有各種表達形式和書寫格式不同的語言一樣， 在計算機的世界里同樣存在類似的 問題： 在計算機發(fā)展初期， 不同的計算機系統(tǒng)對字符的處理方式不同， 這導(dǎo)致了各個系統(tǒng)之 間不能互相交流。 為了解決這個問題， 人們制訂了多種標(biāo)準(zhǔn)以便不同系統(tǒng)之間也能正確進行 字符交互，這就是字符編碼的由來。由于字符可以通過多種途徑進行表達， 所以它們的編碼也多種多樣， 常見的英文字符編碼

20、有 ASCII、ANSI、Unicode、UTF、ISO等，對于非英文字符， 常見的字符編碼有 GBK BIG5、JIS 等。可能有的讀者已經(jīng)開始不耐煩了：說了半天"編碼" ，到底什么才是編碼？！這里， 我們用一個小例子幫助大家理解什么是"編碼" 。我們可以這樣理解： 一杯水無論放進什么形狀的杯子里都還是水， 而不會變成老虎之類的， 這個道理很簡單， 對不對？那么同樣 的法則也適用于字符。 對一個字符來說， 無論系統(tǒng)內(nèi)部怎么處理， 只要最終顯示出來的是原 來的字符，那就沒錯。例如”小”字，Uni code編碼把它作為"D0%A1存放，而ASCI

21、I編碼里， 它可以用 "-12127" 來表示， 但是無論它怎么變， 只要還能還原回 "小"字， 系統(tǒng)的處理工作就 不會出問題多種編碼的產(chǎn)生本來是為了解決字符信息的交互問題，然而正是這些多種多樣的編碼導(dǎo)致了讓人意想不到的后果。 字符，這個不起眼的小東西在編碼的世界里舉起了 "大刀 "， 這使得上面提到的 "水變成老虎 "成為可能。字符威脅實錄在接觸計算機不久的時候你聽說了一個詞"ASCII"；到了 Windows 2000開始流行的時候，你知道"Unicode"幫你解決了不少

22、亂碼問題；當(dāng)你成為計算機高手以后，你常常會跟"SQL"玩?zhèn)€不亦樂乎， 可是你知道嗎？在這些你所熟知的字符或編碼背后， 隱藏著什么樣的危險嗎？你 知道這樣的危險就在你身邊嗎？控制符：想說愛你不容易 ASCII 全稱 American Standard Code for Information Interchange （美國信息互換標(biāo)準(zhǔn)代碼），是最基礎(chǔ)的字符表達方式， 它能完整表示 26個英文字母、 1 0個數(shù)字以及通用的格式符號等。 ASCII 又分為控制字符和 可顯示字符（也稱為 "Printable" ，即可打印字符），通常情況下，控制字符只能由特殊按

23、 鍵和系統(tǒng)自己產(chǎn)生， 而且這些字符中的大部分是我們看不見的。 但是你千萬不要以為看不見 即不存在，恰恰相反，它們時刻存在！例如，在你保存一個文本的時候，系統(tǒng)就會自動在文 件結(jié)尾添加一個你看不見的結(jié)束符號， 這個符號的作用就是用來告訴處理程序， 讀取到這里 的時候：停！專業(yè)說法可以稱之為文件結(jié)束符。不幸的是，上面提到， ASCII 控制編碼并非只有系統(tǒng)自身可以產(chǎn)生，用戶也可以通過特 殊的輸入方式成功地輸出一個鍵盤上打不出來的特殊字符，這就可能會造成極其嚴重的后 果。老一輩的論壇管理員也許還記得國內(nèi)那次恐怖論壇攻擊事件： 很多論壇的帖子在一夜之 間全部丟失！可是論壇卻沒有被入侵過的痕跡，服務(wù)器也完

24、好無損，難道見鬼了？！后來， 有人仔細查看了論壇日志文件， 原來是入侵者用一個特殊符號發(fā)了一個帖子， 這個符號讓處 理程序讀取文件時誤認為文件到這里就結(jié)束了， 而控制符號是不會顯示出來的， 所以論壇程 序只能認為這 "惟一 "的帖子格式不對， 于是論壇停止了文件讀取， 在我們看來， 即很多論壇 帖子被刪除了。 但是事情僅僅是這樣就結(jié)束了嗎？入侵者只是發(fā)了一個控制符號導(dǎo)致了論壇 讀取錯誤， 然而數(shù)據(jù)還是在的， 只要去掉這個字符就可以恢復(fù)了。 有人會笑了：小兒科的把 戲！不過，別急著下結(jié)論，如果那么輕易就結(jié)束游戲，管理員就不會哭了：由于這個控制符 號的存在， 一旦有人寫入新的數(shù)

25、據(jù)， 那么在這個帖子后面的所有數(shù)據(jù)將被清空！ 因為系統(tǒng)認 為文件到這里已經(jīng)結(jié)束了， 那么后面的數(shù)據(jù)將會怎么樣？結(jié)局只有一個： 被全部清空！ 這時 候，破壞論壇的就不再是入侵者了， 而是那些熱心過頭急著發(fā)帖問 " 啊！論壇被黑了！ "的成 員們了，這個游戲好玩嗎？一個字符，殲滅論壇Unicode ：管理員的噩夢許多人對 Unicode 的認識是從著名的 "IIS Unicode" 二次編碼漏洞開始的。但是具體什 么是 Unicode ，這就不是所有人都知道的了。 Unicode 常常被翻譯為 "萬國碼 "或者"唯獨碼 &quo

26、t;， 后者也許是來自 Unicode發(fā)明者的宗旨：”推進多文種的統(tǒng)一編碼”。Unicode同現(xiàn)在流行的 代碼頁最顯著不同點在于： Unicode 是兩字節(jié)的全編碼，對于 ASCII 字符它也使用兩字節(jié)表 示。普通代碼頁是通過高字節(jié)的取值范圍來確定字符是 ASCII 碼，還是漢字的高字節(jié)。 如果 發(fā)生數(shù)據(jù)損壞，當(dāng)整篇文字某處內(nèi)容被破壞，則會引起其后漢字的混亂。Unicode 則一律使用兩個字節(jié)表示一個字符，最明顯的好處是它簡化了漢字的處理過程。Unicode 編碼標(biāo)準(zhǔn)的出現(xiàn)讓各種系統(tǒng)之間的交流變得簡單，然而正如愛情是把雙刃劍那樣，Unicode 也會傷人的。問題出在 Unicode 對字符的解

27、碼上， 它的算法讓一個字符可以通過多種編碼格式產(chǎn)生， 于是 入侵者可以采用”旁門左道”產(chǎn)生一個非標(biāo)準(zhǔn)編碼的路徑符號。例如"c1%1c",通過Uni code解碼公式解析出來的字串為： %c1%1c->(0xc1-0xc0)*0x40+0x1c=0x5c="/" 。我們知道， IIS 在打開文件時， 如果該文件名包含 Unicode 字符， 它會對其進行解碼， 如果用戶提供一些特 殊的編碼，將可能導(dǎo)致IIS錯誤地打開或者執(zhí)行 Web根目錄以外的文件。在這里，IIS并不 知道這個是路徑符，就直接發(fā)出了處理請求。于是，入侵者攻擊者利用這個漏洞繞過了IIS

28、的路徑檢查，進入了系統(tǒng)(圖 3)，這就是著名的 "IIS Unicode" 二次編碼漏洞攻擊原理。 論壇：天生和字符有仇如果有人專門去閱讀一些論壇的文件內(nèi)容，會發(fā)現(xiàn)它們里面都會有一些代碼專門用來處理字符， 這部分代碼的工作叫做 "字符過濾"。為什么呢？因為有太多字符 都能對論壇造成傷害， 這些字符不一定需要特殊編碼， 甚至我們正常敲出的文字里都有可能 包含被論壇作者定義為 "危險"的字符。 究其原因， 就是因為論壇程序的特殊性， 因為它們工 作在服務(wù)器和外界的接口處，而且自身也是由純字符組成的，但是一些看似正常的字符會"不小

29、心 "改變了它們的邏輯，這是連論壇作者自己可能都沒想到的。例如，一些論壇的功能 設(shè)置部分會涉及文件讀寫， 因此有必要加上權(quán)限盤查。 但是如果作者編寫的權(quán)限檢查代碼忽 略了某些特殊字符的輸入，結(jié)果就會讓入侵者成功地往系統(tǒng)中寫入一個文件。 LB5000 論壇 就曾經(jīng)出現(xiàn)過一個重大漏洞： 它的界面設(shè)置模塊對用戶權(quán)限的盤查不嚴謹， 其中一個字符輸 入沒有經(jīng)過身份驗證， 而這個設(shè)置會產(chǎn)生一個可以讓論壇程序執(zhí)行的文件用于臨時保存界面 配置數(shù)據(jù)，于是入侵者通過以下格式寫入一個簡單的內(nèi)容： setskin.cgi?membercode= ad&action=process&print

30、me=use%20CGI%20qw(:standard)%3bopen(HBU,param('a')%3bpr int%20HBU%20param('b')%3b ，這樣就能完成對論壇的寫操作。 讓我們簡單地看看這段代碼。 這個代碼產(chǎn)生了一個包含以下有用內(nèi)容的 leoskin.cgi 文件：use CGI qw(:standard);open(HBU,param('a');print HBU param('b');懂 Perl 語法的用戶一眼就能看出來，這是一段簡單的寫入文件代碼，入侵者只要用 "leoskin.cgi?

31、a=> 文件名 &b= 內(nèi)容 " 格式的語句就可以向論壇寫入文件。 到這里也許有人 還不明白：寫個文件有什么了不起？別忘了， LB5000 論壇是基于文件的，它的所有東西都 是文件，包括管理員賬號。既然我們能寫文件，那么只要想辦法寫入一個管理員賬號文件， 這下了不起沒有？利用這一點， 入侵者還可以寫入一個執(zhí)行命令的文件 WebShell ，進而 控制整個服務(wù)器！近期 DVBB駝壇最熱的一個漏洞就是UPFILE漏洞，這個漏洞為什么得以成功呢？是簡單的字符起的作用！ 有誰不能用十六進制處理工具把里面那個關(guān)鍵的空格改為 結(jié)束符而成功入侵這類論壇呢？！這又是一個"小&

32、quot;字符摧跨 " 大"堤壩的典型案例。SQL你的”針管”在哪里說到字符就不能不提一下大名鼎鼎的SQL 了，其實很多論壇過濾字符最大的原因也是因為SQL這個不能稱之為漏洞的”結(jié)構(gòu)化查詢語言”讓"AND"、"OR"等最為簡單的字符成了危險的 代號。由于ASP的特性，入侵者在一個連接數(shù)據(jù)庫操作的URL里加入"AND SQL語句"會讓IIS執(zhí)行這個URL里的SQL語句，于是服務(wù)器的噩夢又來了。通過SQL能做什么呢？最簡單的是猜測密碼 (比如免費下載電影或者享用付費用戶才擁有的服務(wù)) ，如果服務(wù)器的權(quán)限設(shè) 置不好，入侵

33、者能直接用SQL執(zhí)行任何系統(tǒng)命令！包括清空整個數(shù)據(jù)庫的全部資料奇怪的編碼：格式化字符如今， "溢出攻擊 " 已經(jīng)成為攻擊的主要方式之一，廣大用戶或多或少都會聽說過 "Shell" 這 個名詞， 有興趣的人可能還看過一些溢出程序的代碼。 很多人都會產(chǎn)生出這樣的疑問： 每個 溢出程序代碼里都會發(fā)現(xiàn)的那一串甚至幾串用路徑符和類似十六進制代碼表示的字符串，那是什么？要說明這個問題，必須先知道C語言對字符的處理方法。 在C語言中，寫一行代碼向屏幕打 印字符并不是簡單地向屏幕輸出字符串，能在屏幕顯示的字符實際上是經(jīng)過函數(shù)轉(zhuǎn)換的"打印格式”字符，C語言提供了一種格式化字符，它允許程序員控制顯示文本的樣式，我們可 以通過代替特殊的格式字符來顯示值或數(shù)據(jù)。例如 "printf("The value is %s",sVal)" ，其 中"%s"就是格式化字符，它自身不能用做顯示， 而是告訴系統(tǒng)，按照"字符串”的格式把sVal 的值放進整個字符串， 這就像一個蛋糕模子， 它固定了一種樣式， 你做出的蛋糕就只能是這 種樣式了。然而問題又來了， "格式化字符 "的存在， 讓溢出攻擊成了現(xiàn)實。 攻擊者用十六進制編碼向內(nèi) 存寫入攻擊代碼， 并按照一定