操作系統(tǒng)與數(shù)據(jù)庫安全：007 操作系統(tǒng)安全實例

1、UNIX操作系統(tǒng)安全技術(shù)實例分析第7章 計算機(jī)系統(tǒng)安全(操作系統(tǒng)安全)Windows操作系統(tǒng)安全技術(shù)實例分析操作系統(tǒng)加固2022/9/25UNIX Sefety Case早期的UNIX并不安全應(yīng)用基于相互信任的環(huán)境不采用強(qiáng)保護(hù)機(jī)制“有問題”的超級權(quán)限（超級用戶）常規(guī)UNIX，C1級OSF/1，B1級USL的SVR4/ES，B2級2022/9/25UNIX操作系統(tǒng)的文件系統(tǒng)的一般安全機(jī)制UNIX文件系統(tǒng)的安全機(jī)制包括： 硬件安全保護(hù)（如段保護(hù)等） 用戶及口令管理 組及口令管理 超級用戶及口令管理 訪問控制2022/9/25UNIX操作系統(tǒng)的文件系統(tǒng)的一般安全機(jī)制（續(xù)） UNIX操作系統(tǒng)用戶及口令

2、管理的內(nèi)容包括： 所有的用戶擁有一個唯一的用戶標(biāo)識（UID：User ID UID是一個16位的數(shù)字 UID連接到了UNIX口令文件（一般位 /etc/passwd）以確定UID對應(yīng)的口令 UDI是用戶在操作系統(tǒng)合法性及擁有相應(yīng)權(quán)限的唯一憑證 UID為0的用戶是系統(tǒng)的超級用戶，擁有一切權(quán)限 口令長度一般小于8個字符 口令一般用DES加密后存放在安全目錄之下（shadow password file） 2022/9/25UNIX操作系統(tǒng)的文件權(quán)限 在UNIX系統(tǒng)中，每個文件和目錄有三組權(quán)限：擁有者 (owner)群組用戶(group)其他用戶 (others)每一組的權(quán)限又分為三個界別： 讀取(

3、r：read)：如果該權(quán)限設(shè)置，就可以讀取和訪問文件和目錄。 寫(w：write)：如果該權(quán)限設(shè)置，就可以修改、創(chuàng)建對應(yīng)的文件和目錄。 執(zhí)行(x：eXecute)：如果該權(quán)限設(shè)置，就可以執(zhí)行該文件，或進(jìn)入對應(yīng)的目錄。 2022/9/25UNIX操作系統(tǒng)的文件權(quán)（續(xù)） 如果對應(yīng)的位為1，則表示有權(quán)限，否則沒有。如圖8-4-2，文件的權(quán)限為111100100，轉(zhuǎn)化為八進(jìn)制為744（對應(yīng)的字符格式為：-rwxr-r-），表示擁有者擁有讀、寫和執(zhí)行的權(quán)限，組和其他用戶只有讀的權(quán)限 2022/9/25S權(quán)限 為了管理的方便，UNIX操作系統(tǒng)還增加了一個S權(quán)限，并設(shè)置了以下三種權(quán)限： set-user-i

4、d（SUID）：如果設(shè)定了該權(quán)限，當(dāng)文件被執(zhí)行時，將以文件的擁有者的身份執(zhí)行，而不是普通用戶的身份。該權(quán)限對于不可執(zhí)行的文件或目錄無效。 set-group-id（SGID）：與set-user-id相同，當(dāng)文件被執(zhí)行時，將以文件的組的身份來執(zhí)行，而不是一般的用戶身份。 sticky（S）：如果對目目錄設(shè)置該權(quán)限，基本該目錄可以被其他用戶讀寫，但該目錄下的文件和目錄只有擁有者才有權(quán)刪除或更名。 2022/9/25S權(quán)限（續(xù)） 與上述權(quán)限的計算相似，如果對應(yīng)位為1表示有相應(yīng)的權(quán)限。例如，如果文件的權(quán)限對應(yīng)的八進(jìn)制數(shù)為4444（對應(yīng)的字符表示為-r-s-x-x），則擁有者具有讀的權(quán)限，組和其他用戶

5、只具有執(zhí)行的權(quán)限。同時，當(dāng)組和其他用戶執(zhí)行該文件時，將以擁有者的身份執(zhí)行。 2022/9/25UNIX操作系統(tǒng)中目錄的權(quán)限 每個用戶有一個主目錄（Home Directory）。用戶必須擁有正確的文件許可權(quán)限才能在目錄下創(chuàng)建、修改、刪除和查閱文件和子目錄。 讀取(r：read)：可以查找目錄中的文件和子目錄。 寫(w：write)：可以從目錄中刪除和修改文件和子目錄。 執(zhí)行(x：eXecute)：可以進(jìn)入對應(yīng)的目錄。必須擁該權(quán)限才能打開目錄中的文件。2022/9/25UNIX操作系統(tǒng)的文件權(quán)限的管理 UNIX系統(tǒng)中有關(guān)查看、修改文件和目錄權(quán)限的命令包括： ls：使用ls l查看對應(yīng)的權(quán)限 ch

6、mod修改權(quán)限 chmod：修改擁有者 chgrp：修改組2022/9/25 UNIX操作系統(tǒng)的文件的初始權(quán)限的確定 文件或目錄的初始權(quán)限是由創(chuàng)建者的用戶掩碼（umask）來確定的。umask是一個9位二進(jìn)制數(shù)對應(yīng)的八進(jìn)制數(shù)，例如：當(dāng)umask022的用戶創(chuàng)建一個文件時，其初始權(quán)限為777 XOR umask777 XOR 022755。 2022/9/25UNIX操作系統(tǒng)中的常用命令 ps 進(jìn)程列表 netstat網(wǎng)絡(luò)服務(wù)狀態(tài) tcpdump網(wǎng)絡(luò)數(shù)據(jù)包捕獲 kill進(jìn)程管理 chmod修改文件、目錄權(quán)限 chgrp修改文件、目錄的組 chown修改文件、目錄擁有者 ifconfig配置網(wǎng)絡(luò)端

7、口 ping網(wǎng)絡(luò)測試（ping R） traceroute：路由跟蹤 nslookup域名查詢 umask： 修改用戶掩碼 2022/9/25UNIX操作系統(tǒng)安全技術(shù)實例分析操作系統(tǒng)安全第8章 計算機(jī)系統(tǒng)安全(操作系統(tǒng)安全)Windows操作系統(tǒng)安全技術(shù)實例分析操作系統(tǒng)加固2022/9/25WinNT Safety CaseWinNT安全級別為C1級安全標(biāo)識符SID訪問令牌安全描述符訪問控制列表訪問控制項2022/9/25Windows操作系統(tǒng)安全 Microsoft Windows系列操作系統(tǒng)大致上可分為 Windows 3.1/95/98/ME 及 Windows NT/2000/XP/2

8、003 兩個系列。前者主要針對一般的用戶，而后者則針對那些對安全性和穩(wěn)定性有更高要求的用戶。2022/9/25基本概念 （1）安全標(biāo)識（Security Identifiers：SID）安全標(biāo)識SID是Windows NT系統(tǒng)中最基本的安全對象，它是用來識別用戶或群組，并以此作為用戶或組群擁有訪問權(quán)限的標(biāo)志。當(dāng)新建一個賬號時，系統(tǒng)會為該帳號自動分派一個SID；當(dāng)用戶登錄系統(tǒng)時，系統(tǒng)就會從安全數(shù)據(jù)庫中取出對應(yīng)的SID，并將其存放到系統(tǒng)訪問令牌中。在隨后的存取操作中，就用SAT中的的SID來識別該用戶。SID永遠(yuǎn)都是唯一的，由計算機(jī)名、當(dāng)前時間、當(dāng)前用戶態(tài)線程的CPU耗費(fèi)時間的總和三個參數(shù)決定以保

9、證它的唯一性。例如S-1-5-21-1763234323-3212657521-1234321321-500。2022/9/25基本概念 （續(xù)）（2）系統(tǒng)訪問令牌（System Access Tokens：SAT）系統(tǒng)訪問令牌是一個用來描述一個進(jìn)程（process)或線程（thread）所擁有權(quán)限的數(shù)據(jù)結(jié)構(gòu)。其內(nèi)容包括用戶名及其安全標(biāo)識SID用戶群組及其群組安全標(biāo)識權(quán)限等。SAT是程序的訪問系統(tǒng)通行證，并以此作為用戶的認(rèn)證和訪問控制的標(biāo)識。2022/9/25基本概念 （續(xù)）（3）安全描述符（Security descriptors：SD）Windows 系統(tǒng)中的任何對象的屬性都有安全描述符這部

10、分。它保存對象的安全配置。（4）訪問控制列表（Access control lists：ACL）：訪問控制列表有兩種：任意訪問控制列表（Discretionary ACL）：包含用戶和組的列表，以及相應(yīng)的權(quán)限。每一個用戶或組在任意訪問控制列表中都有特殊的權(quán)限。系統(tǒng)訪問控制列表（System ACL）：為審核服務(wù)，包含對象被訪問時間。2022/9/25基本概念（續(xù)）（5）訪問控制項（Access Control Entries：ACE）訪問控制項（ACE）包含了用戶或組的SID以及對象的權(quán)限。訪問控制項有兩種：允許訪問拒絕訪問拒絕訪問的級別高于允許訪問2022/9/25Windows 網(wǎng)絡(luò)模型

11、Microsoft Windows系統(tǒng)在網(wǎng)絡(luò)設(shè)計上支持兩種網(wǎng)絡(luò)模型：工作群組（Workgroup）模型網(wǎng)絡(luò)域（Domain）模型。2022/9/25Windows 網(wǎng)絡(luò)模型 工作群組（Workgroup）模型工作群組模型適合于小型網(wǎng)絡(luò)，具有相同工作組名稱的各工作站可以參與同一個工作群組各工作站自行維護(hù)各自的賬號及安全策略數(shù)據(jù)庫工作群組成員之間可共享某些資源由于資源管理必須在各工作站上設(shè)定，因此對于大規(guī)模網(wǎng)絡(luò)很難實施統(tǒng)一的管理。2022/9/25Windows 網(wǎng)絡(luò)模型 網(wǎng)絡(luò)域（Domain）模型。網(wǎng)絡(luò)域模型適合于大中型網(wǎng)絡(luò)與工作群組模型的分布式資源管理方式，網(wǎng)絡(luò)域模型采用集中式管理在網(wǎng)域模型里

12、，由一個主域控制器（Primary domain controller：PDC）負(fù)責(zé)儲存所管轄網(wǎng)絡(luò)域內(nèi)的共享賬號數(shù)據(jù)及安全策略數(shù)據(jù)庫每個工作站必須通過主域控制器的認(rèn)證后，才能存取域內(nèi)的資源域的管理員只需要對網(wǎng)絡(luò)主控臺進(jìn)行管理，就可以控制各用戶的訪問權(quán)限通過跨域認(rèn)證和信任，擴(kuò)大資源共享范圍，從而使網(wǎng)絡(luò)域模型適合于大型網(wǎng)絡(luò)環(huán)境。 2022/9/25Windows NT的安全模型 Windows NT包括一組構(gòu)成 Windows 安全模型的安全組件。這些組件確保了應(yīng)用程序不能在沒有身份驗證和授權(quán)的情況下對資源進(jìn)行訪問。這些安全組件稱為Windows的安全子系統(tǒng)（Windows Security Su

13、bsystem），是Windows NT系統(tǒng)中安全機(jī)制的最重要核心。2022/9/25Windows NT的安全模型 （續(xù)）安全子系統(tǒng)的組件在本地安全管理員進(jìn)程（lsass.exe）的上下文中運(yùn)行，主要包括以下組件： Winlogon Graphical Identification and Authentication DLL (GINA) Local Security Authority (LSA) Security Support Provider Interface (SSPI) Authentication Packages （AP） Security support provide

14、rs （SSP） Netlogon Service （Netlogon） Security Account Manager (SAM) 2022/9/25安全子系統(tǒng)中各組件的關(guān)系 2022/9/25Windows NT的安全模型（續(xù)） （1）windows登錄（Winlogon）：Winlogon調(diào)用GINA DLL，并監(jiān)視安全警告序列(SecureAttentionSequence：SAS)。SAS是一組組合鍵，默認(rèn)情況下為Ctrl-Alt-Delete。它的作用是確保用戶交互式登錄時輸入的信息被系統(tǒng)所接受，而不會被其他程序所獲取。因此，使用“安全登錄”進(jìn)行登錄，可以確保用戶的帳號和密碼不會

15、被攻擊者盜取。Winlogon啟動時，在注冊表中查找以下鍵值：HKLMSoftwareMicrosoftWindows NTCurrentVersionWinlogon如果存在GinaDLL鍵，Winlogon將使用這個DLL如果不存在該鍵，Winlogon將使用默認(rèn)值MSGINA.DLL。 2022/9/25Windows NT的安全模型（續(xù)） （1）windows登錄（Winlogon）（續(xù)）：要啟用“安全登錄”的功能，可以運(yùn)行“controluserpasswords2”命令打開“用戶帳戶”對話框，選擇“高級” 選中“要求用戶按Ctrl-Alt-Delete”選項后確定即可以后，在每次登

16、錄對話框出現(xiàn)前都有一個提示，要求用戶按Ctrl-Alt-Delete組合鍵，目的是為了在登錄時出現(xiàn)WindowsXP的GINA登錄對話框，因為只有系統(tǒng)本身的GINA才能截獲這個組合鍵信息。而如前面講到的GINA木馬，會屏蔽掉“安全登錄”的提示，所以如果“安全登錄”的提示無故被屏蔽也是發(fā)現(xiàn)木馬的一個前兆。2022/9/25Windows NT的安全模型（續(xù)） 2022/9/25Windows NT的安全模型 （續(xù)）（2）界面識別與認(rèn)證（Graphical Identification and Authentication：GINA）動態(tài)鏈接庫 GINA提供一個交互式的界面為用戶登錄提供認(rèn)證請求G

17、INA 被設(shè)計成一個獨(dú)立的模塊開發(fā)人員也可以用一個更加強(qiáng)有力的認(rèn)證方式（指紋、視網(wǎng)膜）替換內(nèi)置的GINA DLL。 2022/9/25Windows NT的安全模型（續(xù)） （3）本地安全管理員（Local Security Authority：LSA） LSA是Windows NT安全系統(tǒng)的核心功能模塊，它的主要功能是檢查用戶登錄信息，并依據(jù)安全策略為用戶生成系統(tǒng)訪問令牌（System Access Token：SAT）。它負(fù)責(zé)以下任務(wù)： 調(diào)用所有的認(rèn)證包：檢查在注冊表HKLMSYSTEMCurrentControlSetControlLSA下AuthenticationPAckages下的值

18、，并調(diào)用該DLL進(jìn)行認(rèn)證（MSV_1.DLL）。在4.0版里，Windows NT會尋找HKLMSYSTEMCurrentControlSetControlLSA 下所有存在的SecurityPackages值并調(diào)用。2022/9/25Windows NT的安全模型（續(xù)） 重新找回本地組的SIDs和用戶的權(quán)限。 創(chuàng)建用戶的訪問令牌。 管理本地安裝的服務(wù)所使用的服務(wù)賬號。 儲存和映射用戶權(quán)限。 管理審核的策略和設(shè)置。 管理信任關(guān)系。 2022/9/25Windows NT的安全模型（續(xù)） （4）安全支持提供者的接口（Security Support Provide Interface：SSPI）

19、 安全支持提供者接口SSPI遵循RFC 2743和RFC 2744的定義，提供一些安全服務(wù)的API，為應(yīng)用程序和服務(wù)提供請求安全的認(rèn)證連接的方法。 2022/9/25Windows NT的安全模型 （續(xù)）（5）認(rèn)證包（Authentication Package：AP）：認(rèn)證包可以為真實用戶提供認(rèn)證。通過GINA DLL的可信認(rèn)證后，認(rèn)證包返回用戶的SIDs給LSA，然后將其存放在用戶的訪問令牌中。 2022/9/25Windows NT的安全模型（續(xù)）（6）安全支持提供者（Security Support Provider：SSP）：安全支持提供者是以驅(qū)動的形式安裝的，能夠?qū)崿F(xiàn)一些附加的安全

20、機(jī)制，默認(rèn)情況下，Windows NT安裝了以下三種： Msnsspc.dll：微軟網(wǎng)絡(luò)挑戰(zhàn)/反應(yīng)認(rèn)證模塊 Msapsspc.dll：分布式密碼認(rèn)證挑戰(zhàn)/反應(yīng)模塊，該模塊也可以在微軟網(wǎng)絡(luò)中使用 Schannel.dll：該認(rèn)證模塊使用某些證書頒發(fā)機(jī)構(gòu)提供的證書來進(jìn)行驗證，常見的證書機(jī)構(gòu)比如Verisign。這種認(rèn)證方式經(jīng)常在使用SSL（Secure Sockets Layer）和PCT（Private Communication Technology）協(xié)議通信的時候用到。 2022/9/25Windows NT的安全模型（續(xù)）（7）網(wǎng)絡(luò)登錄（Netlogon）：網(wǎng)絡(luò)登錄服務(wù)必須在通過認(rèn)證后建立

21、一個安全的通道。要實現(xiàn)這個目標(biāo)，必須通過安全通道與域中的域控制器建立連接，然后，再通過安全的通道傳遞用戶的口令，在域的域控制器上響應(yīng)請求后，重新取回用戶的SIDs和用戶權(quán)限。 2022/9/25Windows NT的安全模型（續(xù)）（8）安全賬號管理者（Security Account Manager：SAM）：SAM是存儲帳戶信息的數(shù)據(jù)庫，并為本地安全管理員（LSA）提供用戶認(rèn)證。SAM保存了注冊表中HKLMSecuritySam中的一部分內(nèi)容。不同的域有不同的Sam，在域復(fù)制的過程中，Sam包將會被拷貝 2022/9/25Windows NT的安全模型（續(xù)）在Windwos Server 2

22、003中，安全子系統(tǒng)還包括安全套接層服務(wù)（SSL）和Kerberose認(rèn)證等。這些組件以動態(tài)鏈接庫（DLL）的形式提供。2022/9/25Windows NT的安全模型（續(xù)）Windows 及Windows NT系列操作系統(tǒng)中的安全組件安全組件描述netlogon.dll這是 Net Logon 服務(wù)，它維護(hù)著計算機(jī)到域控制器的安全通道。它通過安全通道將用戶的憑據(jù)傳遞到域控制器，并返回此用戶的安全標(biāo)識符和用戶權(quán)限。在Windows NT Version 4.0中，Net Logon 是主域控制器和備份域控制器的復(fù)制協(xié)議；在 Windows Server 2003 中，Net Logon 服務(wù)使

23、用 DNS 將名稱解析到域控制器的 IP 地址。msv1_0.dll這是NT局域網(wǎng)管理器（ NT LAN Manager： NTLM）的身份驗證協(xié)議。此協(xié)議對不使用 Kerberos 身份驗證的客戶端進(jìn)行身份驗證。schannel.dll這是安全套接字層 (SSL) 身份驗證協(xié)議。此協(xié)議在一個加密的通道而不是安全性較低的通道上提供身份驗證。kerberos.dll這是 Kerberos 5 身份驗證協(xié)議kdcsvc.dll這是 Kerberos 密鑰分發(fā)中心 (KDC) 服務(wù)，此服務(wù)負(fù)責(zé)將授權(quán)票證的票證 (TGT) 授權(quán)給客戶端lsasrv.dll這是實施安全策略的 LSA 服務(wù)器服務(wù)sams

24、rv.dll這是SAM，它存儲了本地安全帳戶、實施本地存儲的策略并支持APIntdsa.dll這是目錄服務(wù)模塊，它支持Windows Server 2003 復(fù)制協(xié)議和LDAP 并管理數(shù)據(jù)的分區(qū)secur32.dll這是將所有組件保存在一起的多身份驗證提供程序2022/9/25Windows NT的安全模型（續(xù)）Windows NT通過安全子系統(tǒng)建立一個系統(tǒng)存取令牌SAT的大致流程 2022/9/25Windows NT的安全模型（續(xù)）（1）登錄請求：用戶按下Ctrl+Alt+Del，激活Winlogon程序進(jìn)行登錄進(jìn)程系統(tǒng)。（2）傳遞口令信息：用于輸入賬號和口令后，Winlogon產(chǎn)生口令的

25、哈希值并傳送給安全子系統(tǒng)中的本例安全管理員LSA進(jìn)行處理。（3）核對帳號信息：LSA利用LsaLogonUser系統(tǒng)調(diào)用啟動對應(yīng)的認(rèn)證程序（即認(rèn)證包）以進(jìn)行核對賬號及密碼哈希值。（4）認(rèn)證：認(rèn)證程序依據(jù)SAM，核對賬號及密碼哈希值。2022/9/25Windows NT的安全模型 （續(xù)）（5）創(chuàng)建安全識別碼：如果認(rèn)證成功，SAM則回傳用戶訪問系統(tǒng)的安全標(biāo)識（Security Identifier：SID）以及所屬群組的安全識別碼；否則調(diào)用其它認(rèn)證程序處理。（6）創(chuàng)建登錄會話：認(rèn)證程序建立一個登錄會話（logon session），并把該登錄會話及安全識別碼交給LSA處理。（7）創(chuàng)建系統(tǒng)訪問令牌

26、：如果登錄成功，則系統(tǒng)訪問令牌SAT將被建立，并回傳給登錄進(jìn)程處理；如果登錄失敗，登錄進(jìn)程將被刪除用戶登錄信息，并向用戶發(fā)送登錄錯誤信息。2022/9/25Windows NT的安全模型 （續(xù)）（8）創(chuàng)建Win32程序：如果登錄成果，登錄進(jìn)程調(diào)用Win32子系統(tǒng)（Win32 Subsystem），為用戶創(chuàng)建一個Win32程序，并賦予該程序?qū)?yīng)的系統(tǒng)訪問令牌。（9）執(zhí)行Win32程序；Win32子系統(tǒng)執(zhí)行程序管理器，以便完與用戶的交互。 2022/9/25Windows NT的賬號與群組管理 在安裝Windows NT系統(tǒng)時，系統(tǒng)會自動建立兩個賬號，這兩個賬號有著不同的權(quán)限。一為Administ

27、rator賬號，它擁有最高的權(quán)限，管理計算機(jī)/網(wǎng)域內(nèi)的所有賬號，能存取系統(tǒng)或使用者的所有檔案，對系統(tǒng)的操作及安全有完全的控制權(quán)。另一個則是Guest賬號，供來賓存取計算機(jī)或網(wǎng)域之用。它只能讀取管理者允許的資源，無法對任何檔案做寫入動作。2022/9/25Windows NT的賬號與群組管理 （續(xù)）為了簡化管理在工作群組或是網(wǎng)域里各賬號的使用權(quán)限，Windows NT使用了群組的觀念把同類型使用者賬號歸成一個群組。這樣只要修改該群組所擁有的權(quán)限，在群組內(nèi)的使用者賬號則自動使用該群組的權(quán)力。然而應(yīng)用于不同網(wǎng)絡(luò)模型的需求，群組可分為區(qū)域群組(Local Group)及全域群組(Global Grou

28、p)兩種。所謂區(qū)域群組即是該群組所設(shè)定的權(quán)限只能應(yīng)用在本機(jī)計算機(jī)上;而全域群組則是可以應(yīng)用在同一個網(wǎng)域里的各工作站上。2022/9/25Windows 的口令保護(hù) 對于Windows 95/98，用戶口令信息存放在Windows目錄下的.pwl文件里。例如，對于一個叫做guest的用戶，其口令就會存放在文件guest.pwl中。當(dāng)然，.pwl文件里的內(nèi)容都用RC4算法進(jìn)行加密。但是，由于這類文件沒有訪問權(quán)限的限制，因此攻擊者可以獲得這些文件后，采用蠻力破解的方式獲得其中的用戶口令。 2022/9/25Windows 的口令保護(hù)（續(xù)） 與Windows 95/98相比，Windows NT系統(tǒng)對

29、口令的保存進(jìn)行了改進(jìn)，用戶口令及相關(guān)信息不是保存在文件中，而是儲存在注冊表的HKEY_LOCAL_MACHINESAM中。系統(tǒng)管理者除了可以使用注冊表管理工具regedt32.exe修改其權(quán)限限制來讀取其內(nèi)容外，也不能讀取其中的內(nèi)容。2022/9/25Windows 的口令保護(hù)（續(xù)）在%SystemRoot%SYSTEM32CONFIGSAM文件也有一份對應(yīng)文件。但是，由于該文件被系統(tǒng)鎖定，因此用戶依然無法讀取其中的內(nèi)容。但是，NT4.0 系統(tǒng)安裝后的口令備份文件存放在%SystemRoot%REPAIRSAM，管理員可以直接讀取其中的內(nèi)容。因此，攻擊者如果獲得了該文件，也可以采用蠻力破解的方

30、式獲得用戶口令。2022/9/25Windows 的口令保護(hù)（續(xù)）Windows NT系統(tǒng)在處理使用者密碼時會分成LAN Manager 口令及Windows NT口令并儲存在SAM里。LAN Manager 口令是為了要與以前的系統(tǒng)兼容而保存下來的，但由于其產(chǎn)生方式不夠安全較易破解，因此后來增加了Windows NT 口令以加強(qiáng)安全度。在LAN Manger處理口令過程中，若使用者輸入的口令不足14 字節(jié)則自動補(bǔ)上0 x00，再把14 字節(jié)的口令拆成兩部份各自轉(zhuǎn)換成DES 密鑰來加密一個固定的8-bit 的幻數(shù)（magic number），所得的兩組8 個字節(jié)（64 位）加密值就結(jié)合成所謂的

31、LAN Manager 口令。2022/9/25Windows 的口令保護(hù)（續(xù)） 2022/9/25Windows認(rèn)證 Windows NT系統(tǒng)提供一種稱為Server Message Block (SMB)的應(yīng)用協(xié)議來提供登入網(wǎng)域存取的功能。而SMB所支持的認(rèn)證協(xié)議包括下面四種： LAN Manager (LM) challenge/response Windows NT LAN Manager challenge/response (NTLM) Windows NT LAN Manager challenge/response Version 2.0 (NTLMv2) Kerberos v

32、5 2022/9/25Windows認(rèn)證 Windows NT系統(tǒng)上是使用registry 里的HKEY_LOCAL_MACHINE System CurrentControlSet control LSA LMCompatibilityLevel值來控制使用的認(rèn)證方式。其各數(shù)值表示的意義如下： 0：使用LM response及 NTLM response；不使用NTLMv2 1：若有協(xié)商則采用NTLMv2認(rèn)證方式 2：只采用NTLM認(rèn)證方式 3：只采用NTLMv2認(rèn)證方式 4：主域服務(wù)器拒絕LM responses 5：主域服務(wù)器拒絕LM及NTLM responses，只接受NTLMv2。

33、2022/9/25Windows的資源共享 Windows 95/98系統(tǒng)在資源共享存取控制方面分兩種安全等級。一是共享級訪問控制(Share-Lever Security)這是內(nèi)定采用的方式，就是只要有提供口令就可以訪問共享的資源。另外一種是用戶級訪問控制（User-Lever Security）在這種設(shè)定下，用戶必須在遠(yuǎn)程計算機(jī)的認(rèn)證服務(wù)器上（遠(yuǎn)程計算機(jī)所指定的另一臺Windows NT系統(tǒng)）擁有賬號才能夠訪問共享資源。2022/9/25Windows的資源共享（續(xù)） 對于共享級訪問控制環(huán)境，所設(shè)定的密碼不分大小寫，口令存放在注冊表中：HKEY_LOCAL_MACHINESoftwareM

34、icrosoftWindowsCurrentVersionNetworkLanManParm1enc 是完整存取的口令Parm2enc 則是只讀存取的口令這兩種口令只用簡單的異或（XOR）加密，只要取得該口令，再與0 x35，0 x9a，0 x4d，0 xa6，0 x53，0 xa9，0 xd4，0 x6a這八個數(shù)值進(jìn)行XOR操作，就可以還原原始口令。Windows NT系統(tǒng)則采用用戶級訪問控制，只有用戶在該系統(tǒng)內(nèi)擁有賬號才能訪問其共享資源。 2022/9/25Windows的注冊表 Windows系統(tǒng)最初使用初始化文件（.ini文件）來記錄應(yīng)用程序或系統(tǒng)程序的配置和控制參數(shù)。但是由于.ini

35、文件多，管理不易且讀取速度慢因此從Windows 3.1開始采用注冊表（Registry）來存放這些數(shù)據(jù)。注冊表其實就是一個reg.dat文件，但是由于其格式的特殊性，因此只能利用regedit.exe進(jìn)行修改和設(shè)置各種值。 2022/9/25Windows的注冊表 Windows注冊表分為五個子樹： HKEY_LOCAL_MACHINE存放各種關(guān)于硬件、操作系統(tǒng)以及已經(jīng)安裝的軟件的信息。 HKEY_CLASSES_ROOT這是鏈接到HKEY_LOCAL_MACHINESOFTWAREClasses的快捷方式，包含文件關(guān)聯(lián)、OLE（對象鏈接和嵌入）和DDE（動態(tài)數(shù)據(jù)交換）類定義。2022/9/

36、25Windows的注冊表（續(xù)） HKEY_CURRENT_CONFIG這是鏈接到HKEY_LOCAL_MACHINESYSTEM CurrentControlSet Hardware ProfilesCurrent的快捷方式，包含了目前硬件的設(shè)定值。 HKEY_CURRENT_USER這個也是一個連往HKEY_USERS的快捷方式，包含了目前登入系統(tǒng)的使用者環(huán)境設(shè)定，網(wǎng)絡(luò)連結(jié)等。 HKEY_USER這個包含了動態(tài)加載使用者profiles的信息。 由于注冊表的重要性，windows系統(tǒng)對注冊表設(shè)置了各種訪問控制權(quán)限。2022/9/25Windows的注冊表（續(xù)）權(quán)限解釋只讀允許用戶和組從注冊

37、表中讀取數(shù)值完全控制允許用戶和組從注冊表中設(shè)置數(shù)值特殊訪問允許用戶和組在給定的注冊項中創(chuàng)建子項詢問值允許用戶和組讀取關(guān)鍵字的值設(shè)置值允許用戶和組設(shè)置關(guān)鍵字的值創(chuàng)建子項允許用戶和組識別創(chuàng)建注冊項的子項計數(shù)子項允許用戶和組識別某注冊項的子項通 知允許用戶和組從注冊表中審計通知事件創(chuàng)建鏈接允許用戶和組在特定項中建立符號鏈接刪 除允許用戶和組在刪除選定的注冊項寫入DAC允許用戶和組將DAC寫入注冊表項寫入Owner允許用戶和組獲得注冊表項的所有權(quán)讀取控制允許用戶和組具有訪問選定注冊表項的安全信息注冊表的訪問控制權(quán)限 2022/9/25Windows的注冊表（續(xù)）為了便于管理，注冊表的訪問控制權(quán)限與固定

38、的組對應(yīng)例如系統(tǒng)管理員組、系統(tǒng)組、用戶組、所有用戶組等。系統(tǒng)管理員、系統(tǒng)和所有用戶三個組對于上述五個子樹的缺省訪問權(quán)限。 2022/9/25Windows的注冊表（續(xù)）注冊表的缺省訪問控制權(quán)限 子樹系統(tǒng)管理員組系統(tǒng)組所用用于組HKEY_LOCAL_MACHINE完全控制完全控制讀取HKEY_CLASSES_ROOT完全控制完全控制讀取HKEY_CURRENT_CONFIG完全控制完全控制讀取HKEY_CURRENT_USER完全控制完全控制完全控制HKEY_USER完全控制完全控制完全控制2022/9/25Windows的注冊表（續(xù)）HKEY_LOCAL_MACHINE子樹下存放了與安全相關(guān)的

39、關(guān)鍵字，包括： HKEY_LOCAL_MACHINESAM： HKEY_LOCAL_MACHINESecurity： HKEY_LOCAL_MACHINESoftwareMicrosoftRPC： HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersion2022/9/25Windows的注冊表（續(xù)）注冊表中的項文件HKEY_LOCAL_MACHINESAM%SystemRoot%system32config SAMHKEY_LOCAL_MACHINESecurity%SystemRoot%system32config SECURIT

40、YHKEY_LOCAL_MACHINESoftware%SystemRoot%system32configsoftwareHKEY_LOCAL_MACHINESystem & HKEY_CURRENT_CONFIG%SystemRoot%system32config systemHKEY_USER.DEFAULT%SystemRoot%system32config defaultHKEY_CURRENT_USER%SystemRoot%Profiles%username%Ntuser.dat注冊表的缺省訪問控制權(quán)限 2022/9/25Windows的注冊表（續(xù)）需要說明的是，注冊表中與安全有關(guān)

41、的大部份數(shù)據(jù)也存放在%SystemRoot%system32config目錄下以下文件中： SAM SECURITY software system default此外，文件%SystemRoot%Profiles%username%Ntuser.dat也存放了網(wǎng)絡(luò)帳號的有關(guān)信息。2022/9/25Windows的NTFS文件系統(tǒng) 新技術(shù)文件系統(tǒng)（New Technology File System：NTFS）在傳統(tǒng)FAT文件系統(tǒng)基礎(chǔ)上，提高了對目錄和文件的訪問控制。NTFS的基本訪問控制權(quán)限包括：讀（R）寫（W）執(zhí)行（X）刪除（D）改變訪問控制權(quán)限（P）擁有者權(quán)限（O）。而對于文件2022/

42、9/25Windows的NTFS文件系統(tǒng)（續(xù)）還有以下訪問控制權(quán)限的組合： NoAccess：沒有權(quán)限 Read（RX）：僅有讀權(quán)限 Change（RWXD）：讀、寫、執(zhí)行和刪除權(quán)限 Full Control（ALL）：讀、寫、執(zhí)行、刪除，并可改變權(quán)限和取得擁有者權(quán)限 Special Access：讀、寫、執(zhí)行、刪除、改變權(quán)限，也寬衣阿指定取得擁有者資格等任意組合 2022/9/25Windows的NTFS文件系統(tǒng)（續(xù)）雖然提供了多種訪問控制，但是操作系統(tǒng)依然無法保證NTFS可以完全避免信息被攻擊者所盜取。為此，NTFS提供了文件系統(tǒng)加密功能。但是，加密后如果用戶忘記口令，會帶來使用上的不方便

43、等問題。而Windows 2000新增的加密文件系統(tǒng)（Encrypting File System： EFS）位于Windows 核心態(tài)，屬于 NTFS檔案系統(tǒng)之上的一個驅(qū)動程序，因此加解密動作都在操作系統(tǒng)內(nèi)核中完成。EFS以公鑰技術(shù)為基礎(chǔ)，利用 Windows 內(nèi)建的CryptoAPI架構(gòu)，可自動對已選定目錄內(nèi)新產(chǎn)生的文件進(jìn)行加密，自動產(chǎn)生加密密鑰，自動找尋用戶數(shù)字證書及私鑰。當(dāng)用戶讀取文件時，EFS自動解密文件，無需用戶的介入。2022/9/25Windows的NTFS文件系統(tǒng)（續(xù)）2022/9/25Windows的NTFS文件系統(tǒng)（續(xù)）Windows常用命令 任務(wù)管理器進(jìn)程管理（Ctrl

44、+Alt+Del ） 服務(wù)管理器服務(wù)管理（控制面板） systeminfo獲得系統(tǒng)信息 tasklist系統(tǒng)監(jiān)視（XP以前系統(tǒng)為tlist） Caclswindow文件、目錄權(quán)限管理 Netstat網(wǎng)絡(luò)服務(wù)狀態(tài)2022/9/25Windows的NTFS文件系統(tǒng)（續(xù)） net網(wǎng)絡(luò)命令 netsh網(wǎng)絡(luò)命令 arp地址解析命令 ping網(wǎng)絡(luò)測試（ping R） ipconfig網(wǎng)卡配置 tracert路由跟蹤 nslookup域名查詢 Openfiles 監(jiān)視打開的文件（XP以前為oh） eventtriggers 在事件發(fā)生時執(zhí)行某個命令 taskkill任務(wù)終止（以前為kill）2022/9/2

45、5UNIX操作系統(tǒng)安全技術(shù)實例分析操作系統(tǒng)安全第8章 計算機(jī)系統(tǒng)安全(操作系統(tǒng)安全)Windows操作系統(tǒng)安全技術(shù)實例分析操作系統(tǒng)加固2022/9/25操作系統(tǒng)加固技術(shù) 操作系統(tǒng)是最難以控制的安全因素：軟件日益龐大/功能和服務(wù)眾多，以及安全漏洞層出不窮。操作系統(tǒng)加固（OS Hardening）也叫主機(jī)加固（host Hardening），是通過執(zhí)行操作系統(tǒng)或應(yīng)用程序的典型安裝或缺省安裝，然后進(jìn)行一定修改，從而減少潛在漏洞，增強(qiáng)被保護(hù)目標(biāo)的安全性。操作系統(tǒng)加固的結(jié)果是受保護(hù)目標(biāo)擁有了一個安全的平臺，該平臺不依賴于外在的安全機(jī)制。操作系統(tǒng)加固是縱深防御（Defense In-Depth）的最后一道防線，攻擊者一旦突破主機(jī)，則將直接面對真正的攻擊目標(biāo)。2022/9/25操作系統(tǒng)加固技術(shù) （續(xù)）主機(jī)加固分為：防止本地攻擊的安全加固抵御網(wǎng)絡(luò)攻擊的安全加固抵御應(yīng)