第六章軟件安全技術(shù)

第六章

軟件安全技術(shù)6.1引言軟件安全（SoftwareSecurity）就是使軟件在受到惡意攻擊的情形下依然能夠繼續(xù)正確運(yùn)行及確保軟件在授權(quán)范圍內(nèi)被合法使用的思想。主要內(nèi)容軟件的自身安全（防丟失、篡改）軟件的存儲(chǔ)安全（防竊取、破壞）軟件的通信安全（確保數(shù)據(jù)信息的完整性）軟件的使用安全（防盜版）軟件的運(yùn)行安全（防漏洞）許多關(guān)鍵基礎(chǔ)設(shè)施取決于軟件的安全鐵路電網(wǎng)航空化工關(guān)于軟件安全的相關(guān)報(bào)道關(guān)于軟件安全的相關(guān)報(bào)道

“心臟流血”全球警告

WindowsXP退役帶來安全隱患普通殺毒軟件無法抵御6.1引言出現(xiàn)軟件故障現(xiàn)象的原因“任何軟件，不論它看起來是多么安全，其中都隱藏漏洞”影響軟件安全的技術(shù)趨勢(shì)無處不在的網(wǎng)絡(luò)增加了攻擊途徑，降低了攻擊難度增長(zhǎng)的系統(tǒng)復(fù)雜性滋生了軟件安全漏洞內(nèi)置的可擴(kuò)展性難以防范惡意代碼的嵌入，且安全分析難度增加Windows操作系統(tǒng)復(fù)雜性6.2漏洞6.2漏洞6.2漏洞什么是漏洞從廣泛的意義上看，漏洞是在硬件、軟件、協(xié)議的具體實(shí)現(xiàn)或系統(tǒng)安全策略以及人為因素上存在的缺陷，它可以使黑客能夠在未經(jīng)系統(tǒng)的許可者授權(quán)的情況下訪問或破壞系統(tǒng)。是一切攻擊行為和事件的起源。6.2漏漏洞漏洞的分類按形成原因分分：程序邏輯結(jié)構(gòu)構(gòu)漏洞程序設(shè)計(jì)錯(cuò)誤誤漏洞開放式協(xié)議造造成的漏洞人為因素造成成的漏洞按發(fā)現(xiàn)的先后后順序：已知漏洞未知漏洞0day漏洞洞6.2漏漏洞程序邏輯結(jié)構(gòu)構(gòu)漏洞程序的邏輯設(shè)設(shè)計(jì)不合理典型：Windows2000用用戶登錄的中中文輸入法漏漏洞合法的程序用用途被利用典型：WinRAR的自自解壓功能判斷是否合法法或是否有授權(quán)權(quán)？系統(tǒng)或程序入入口需要用戶戶名、口令或最高權(quán)權(quán)限者授權(quán)獲得操作或使使用權(quán)限否是入口輔助（輸入法等））本地輸入法漏漏洞6.2漏漏洞程序代碼設(shè)計(jì)計(jì)錯(cuò)誤漏洞編程人員在使使用C和C++語言編寫寫程序時(shí)在技技術(shù)上的疏忽忽或程序員的的代碼安全意意識(shí)不高造成成的漏洞。EliasLevy(筆名為AlephOne)的的論文SmashingtheStackforFunandProfit典型：緩沖區(qū)區(qū)溢出漏洞和和內(nèi)存越界漏漏洞緩沖區(qū)溢出漏漏洞當(dāng)一個(gè)程序允允許輸入的數(shù)數(shù)據(jù)大于已分分配的緩沖區(qū)區(qū)大小時(shí)，緩緩沖區(qū)溢出就就會(huì)發(fā)生。有些語言具有有直接訪問應(yīng)應(yīng)用程序內(nèi)存存的能力，如如果未能處理理好用戶的數(shù)數(shù)據(jù)就會(huì)造成成緩沖區(qū)溢出出。C和C++是受緩沖區(qū)溢溢出影響的兩兩種最常見的的編程語言。。緩沖區(qū)溢出造造成的后果小小到系統(tǒng)崩潰潰，達(dá)到攻擊擊者獲取應(yīng)用用程序的完全全控制權(quán)。1988年，，第一個(gè)Internet蠕蟲—Morris蠕蟲就是對(duì)finger服務(wù)務(wù)器攻擊，造造成緩沖區(qū)溢溢出，幾乎導(dǎo)導(dǎo)致Internet癱癱瘓。緩沖區(qū)溢出漏漏洞Morrisfinger蠕蟲的的成因：charbuf[20];gets(buf);另一個(gè)緩沖區(qū)區(qū)溢出例子：：charbuf[15];charprefix[]=“http://”;charpath[]=“”;strcpy(buf,prefix);strcat(buf,path,sizeof(path));6.2漏漏洞開放式協(xié)議造造成的漏洞TCP/IP協(xié)議的最初初設(shè)計(jì)者在設(shè)設(shè)計(jì)該通信協(xié)協(xié)議時(shí)只考慮慮到了協(xié)議的的可行性和實(shí)實(shí)用性，而沒沒有考慮到協(xié)協(xié)議的安全性性。嗅探網(wǎng)絡(luò)數(shù)據(jù)據(jù)包拒絕服務(wù)攻擊擊修改HTTP數(shù)據(jù)包的載載荷以上傳一一個(gè)網(wǎng)頁木馬馬6.2漏漏洞人為因素造成成的漏洞設(shè)置了過于簡(jiǎn)簡(jiǎn)單的口令（（弱口令）無意行為丟失失口令非法操作了系系統(tǒng)資源訪問控制制不合理管理員安全配配置不當(dāng)，允允許不應(yīng)進(jìn)入入網(wǎng)絡(luò)的人進(jìn)進(jìn)入網(wǎng)絡(luò)等因?qū)Υぷ髯飨麡O滯后后了安裝安安全補(bǔ)丁6.2漏漏洞已知漏洞已經(jīng)被人發(fā)發(fā)現(xiàn)了（安安全組織、、黑客和黑黑客組織的的研究人員員、廠商））已經(jīng)知道它它的危害程程度對(duì)高危漏洞洞已經(jīng)知道道它的利用用方法安全機(jī)構(gòu)發(fā)發(fā)布了相應(yīng)應(yīng)的安全補(bǔ)補(bǔ)救措施軟件提供商商一般提供供了安全補(bǔ)補(bǔ)丁6.2漏漏洞未知漏洞特點(diǎn)：還沒沒有被發(fā)現(xiàn)現(xiàn)，但是客客觀存在可能造成的的影響一顆不知何何時(shí)會(huì)引爆爆的定時(shí)炸炸彈6.2漏漏洞0day漏漏洞特點(diǎn)：已經(jīng)經(jīng)被發(fā)掘出出來，只在在小范圍傳傳播可能造成的的影響軟件開發(fā)商商：可能不不會(huì)向外界界公布或是是只公布一一個(gè)簡(jiǎn)單的的信息，并并有可能在在不公開的的情況下更更新漏洞程程序盈利型黑客客：不會(huì)向向外界公布布漏洞信息息，用來謀謀求利益安全組織或或研究型黑黑客：會(huì)向向外界公布布漏洞和詳詳細(xì)信息并并提供臨時(shí)時(shí)解決方案案，使漏洞洞變成已知知漏洞6.2漏漏洞0day漏漏洞演變過程6.2漏漏洞幾種已知的的Windows漏漏洞本地輸入法法漏洞Telnet信息泄泄露漏洞TCP/IP漏洞Server服務(wù)遠(yuǎn)遠(yuǎn)程緩沖區(qū)區(qū)溢出漏洞洞IIS重定定向漏洞InternetExplorer瀏覽器漏漏洞PowerPoint遠(yuǎn)程執(zhí)執(zhí)行任意代代碼漏洞6.3操操作系統(tǒng)統(tǒng)的安全設(shè)設(shè)置操作系統(tǒng)的的重要性計(jì)算機(jī)系統(tǒng)統(tǒng)運(yùn)行的基基礎(chǔ)用戶與計(jì)算算機(jī)系統(tǒng)的的交互界面面和環(huán)境一座安全屏屏障，入侵侵者首要目目標(biāo)各種應(yīng)用系系統(tǒng)成敗的的關(guān)鍵既要防止操操作系統(tǒng)本本身的隱患患和不安全全漏洞，也也要防止對(duì)對(duì)操作系統(tǒng)統(tǒng)的濫用、、破壞和竊竊取服務(wù)6.3操操作系統(tǒng)統(tǒng)的安全設(shè)設(shè)置用戶權(quán)限管管理用戶權(quán)限分成：登錄錄權(quán)限、操操作權(quán)限權(quán)限是針對(duì)對(duì)資源而言言的安全標(biāo)識(shí)符符SecurityIdentifier,SIDSID具有有唯一性，，絕對(duì)不會(huì)會(huì)重復(fù)產(chǎn)生生Regedit:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\ProfileList6.3操操作作系系統(tǒng)統(tǒng)的的安安全全設(shè)設(shè)置置用戶戶權(quán)權(quán)限限管管理理權(quán)限限的的四四項(xiàng)項(xiàng)基基本本原原則則拒絕絕優(yōu)優(yōu)于于允允許許原原則則（（解解決決沖沖突突））權(quán)限限最最小小化化原原則則（（保保障障資資源源安安全全））權(quán)限限繼繼承承性性原原則則（（實(shí)實(shí)現(xiàn)現(xiàn)““自自動(dòng)動(dòng)化化””））權(quán)限限累累加加原原則則（（靈靈活活性性））磁盤盤配配額額（（NTFS格格式式））可設(shè)設(shè)置置不不同同用用戶戶擁擁有有不不同同的的磁磁盤盤配配額額。。兩個(gè)個(gè)級(jí)級(jí)別別：：磁磁盤盤配配額額限限制制、、磁磁盤盤配配額額警警告告6.3操操作作系系統(tǒng)統(tǒng)的的安安全全設(shè)設(shè)置置審核核策策略略設(shè)設(shè)置置審核核日日志志用用來來記記錄錄用用戶戶執(zhí)執(zhí)行行的的各各項(xiàng)項(xiàng)操操作作安全全審審核核對(duì)對(duì)于于任任何何企企業(yè)業(yè)系系統(tǒng)統(tǒng)來來說說都都極極其其重重要要，，因因?yàn)闉橹恢荒苣苁故褂糜脤弻徍撕巳杖罩局緛韥碚f說明明是是否否發(fā)發(fā)生生了了違違反反安安全全的的事事件件。。日志志包包括括事件件日日志志，，記記錄錄了了系系統(tǒng)統(tǒng)上上發(fā)發(fā)生生的的事事件件安全全日日志志，，記記錄錄了了審審核核事事件件6.3操操作作系系統(tǒng)統(tǒng)的的安安全全設(shè)設(shè)置置注冊(cè)冊(cè)表表安安全全設(shè)設(shè)置置注冊(cè)冊(cè)表表是是存存儲(chǔ)儲(chǔ)計(jì)計(jì)算算機(jī)機(jī)的的配配置置信信息息的的數(shù)數(shù)據(jù)據(jù)容容器器它是是中中央央分分層層數(shù)數(shù)據(jù)據(jù)庫庫注冊(cè)冊(cè)表表控控制制所所有有32位位應(yīng)應(yīng)用用程程序序和和驅(qū)驅(qū)動(dòng)動(dòng)，，控控制制的的方方法法是是基基于于用用戶戶和和計(jì)計(jì)算算機(jī)機(jī)的的。。在缺缺省省情情況況下下，，所所有有基基于于Windows的的計(jì)計(jì)算算機(jī)機(jī)的的注注冊(cè)冊(cè)表表在在網(wǎng)網(wǎng)絡(luò)絡(luò)上上都都是是可可以以被被訪訪問問到到。。保護(hù)注冊(cè)冊(cè)表，防防范遠(yuǎn)程程攻擊6.3操操作作系統(tǒng)的的安全設(shè)設(shè)置TCP/IP篩篩選在“內(nèi)核核”模式式下工作作通過與IPSec篩選選器及““路由和和遠(yuǎn)程訪訪問”數(shù)數(shù)據(jù)包篩篩選一起起使用，，可以對(duì)對(duì)TCP/IP站訪問問控制方方案進(jìn)行行分層。。可控制入入站和出出站的TCP/IP訪訪問主機(jī)安安全加加固(水桶桶原則則)網(wǎng)絡(luò)設(shè)設(shè)備加加固、、網(wǎng)絡(luò)絡(luò)結(jié)構(gòu)構(gòu)調(diào)整整、服服務(wù)器器系統(tǒng)統(tǒng)加固固、數(shù)數(shù)據(jù)庫庫加固固、安安全產(chǎn)產(chǎn)品優(yōu)優(yōu)化6.4應(yīng)應(yīng)用用系統(tǒng)統(tǒng)的安安全軟件分分析技技術(shù)靜態(tài)分分析技技術(shù)從反匯匯編出出來的的程序序清單單上分分析，，從提提示信信息入入手進(jìn)進(jìn)行分分析。。常用工具：：W32Dasm、、IDA、、HIEW等動(dòng)態(tài)分析技技術(shù)利用動(dòng)態(tài)分分析工具一一步一步地地單步執(zhí)行行軟件。常用工具：：Soft-ICE、TRW2000等6.4應(yīng)應(yīng)用系統(tǒng)統(tǒng)的安全常用的軟件件保護(hù)技術(shù)術(shù)時(shí)間限制共享軟件一一般都有時(shí)時(shí)間上的限限制，如試試用30天天等。序列號(hào)方式式軟件的試用用期過后，，利用加密密算法，根根據(jù)用戶的的私人信息息連同信用用卡號(hào)碼計(jì)計(jì)算出一個(gè)個(gè)注冊(cè)碼。。KeyFile保保護(hù)是一種利用用文件來注注冊(cè)的保護(hù)護(hù)方式。6.4應(yīng)應(yīng)用系統(tǒng)統(tǒng)的安全常用的軟件件保護(hù)技術(shù)術(shù)功能限制的的程序一般是DEMO版或或菜單中部部分選項(xiàng)呈呈灰色。CD-check程序在啟動(dòng)動(dòng)時(shí)判斷光光驅(qū)中的光光盤上是否否存在特定定的文件，，而在運(yùn)行行過程中一一般不再檢檢查。加密狗技術(shù)術(shù)加密狗通過過在軟件執(zhí)執(zhí)行過程中中和加密狗狗交換數(shù)據(jù)據(jù)來實(shí)現(xiàn)加加密。6.5網(wǎng)網(wǎng)絡(luò)安全全協(xié)議一般的網(wǎng)絡(luò)絡(luò)通信協(xié)議議都沒有考考慮安全性性需求，這這就帶來了了互聯(lián)網(wǎng)許許多的攻擊擊行為，導(dǎo)導(dǎo)致了網(wǎng)絡(luò)絡(luò)的不安全全性常用的網(wǎng)絡(luò)絡(luò)安全協(xié)議議Kerberos認(rèn)認(rèn)證協(xié)議安全電子交交易協(xié)議SET安全套接層層協(xié)議SSLIP層安全全協(xié)議IPSec6.5網(wǎng)網(wǎng)絡(luò)安全全協(xié)議Kerberos認(rèn)認(rèn)證協(xié)議①②③④⑤⑥6.5網(wǎng)網(wǎng)絡(luò)安全全協(xié)議安全電子交交易協(xié)議SET持卡人商家清算銀行支付網(wǎng)關(guān)認(rèn)證中心6.5網(wǎng)網(wǎng)絡(luò)安全全協(xié)議安全套接層層SSL請(qǐng)稍等…你好！你好?。ǔ敝菰挘拔蚁胗喛偪偨y(tǒng)套房。?！笨梢愿阏f說句悄悄話話嗎？我會(huì)說上海海話、四川川話、潮州州話可以啊。我會(huì)說山東東話、潮州州話、廣西西話………就說潮州話話吧6.5網(wǎng)網(wǎng)絡(luò)安全全協(xié)議安全套接層層SSL6.5網(wǎng)網(wǎng)絡(luò)安全全協(xié)議虛擬專用網(wǎng)網(wǎng)VPN指在公用網(wǎng)網(wǎng)絡(luò)中建立立（虛擬的的）專用的的數(shù)據(jù)通信信網(wǎng)絡(luò)的技技術(shù)。技術(shù)特點(diǎn)安全保障服務(wù)質(zhì)量保保證可擴(kuò)充性和和靈活性可管理性6.5網(wǎng)網(wǎng)絡(luò)安全全協(xié)議虛擬專用網(wǎng)網(wǎng)VPNVPN技術(shù)術(shù)認(rèn)證技術(shù)———驗(yàn)證數(shù)數(shù)據(jù)的完整整性和用戶戶認(rèn)證（SSL）加密密技技術(shù)術(shù)————數(shù)數(shù)據(jù)據(jù)加加密密（（IPSec））密鑰鑰交交換換與與管管理理————IKE（（互互聯(lián)聯(lián)網(wǎng)網(wǎng)密密鑰鑰交交換換））、、SKIP（（互互聯(lián)聯(lián)網(wǎng)網(wǎng)簡(jiǎn)簡(jiǎn)單單密密鑰鑰管管理理））作業(yè)業(yè)簡(jiǎn)述述漏漏洞洞的的定定義義及及其其分分類類簡(jiǎn)述述保保障障軟軟件件安安全全的的幾幾種種方方法法查閱閱資資料料，，說說明明安安全全電電子子協(xié)協(xié)議議SET實(shí)實(shí)現(xiàn)現(xiàn)安安全全通通信信的的過過程程。。討論論XP2014年年4月月8日日，，Windows宣宣布布““退退役役””，，你你認(rèn)認(rèn)為為這這將將對(duì)對(duì)信信息息的的安安全全造造成成什什么么影影響響？？登錄錄Moodel教教學(xué)學(xué)平平臺(tái)臺(tái)，，選選擇擇計(jì)計(jì)算算機(jī)機(jī)信信息息安安全全與與管管理理課課程程，，對(duì)對(duì)該該話話題題發(fā)發(fā)表表你你的的觀觀點(diǎn)點(diǎn)。。補(bǔ)充充簡(jiǎn)單單文文件件共共享享會(huì)打打開開許許多多NetBIOS漏洞洞關(guān)閉閉簡(jiǎn)簡(jiǎn)單單文文件件共共享享：：在““我我的的電電腦腦””中中，，“工工具具””→→““文文件件夾夾選選項(xiàng)項(xiàng)””，，點(diǎn)擊擊““查查看看””選選項(xiàng)項(xiàng)，，取消消““使使用用簡(jiǎn)簡(jiǎn)單單文文件件共共享享（推推薦薦））””補(bǔ)充充FAT32把FAT32文文件件系系統(tǒng)統(tǒng)轉(zhuǎn)轉(zhuǎn)換換成成NTFS將文文件件系系統(tǒng)統(tǒng)轉(zhuǎn)轉(zhuǎn)換換成成NTFScmd命命令令窗窗口口中中，，執(zhí)執(zhí)行行convertvolume/fs:ntfs（（其其中中volume是是驅(qū)驅(qū)動(dòng)動(dòng)器器的的盤盤符符））補(bǔ)充Guest帳帳戶可以訪問計(jì)算算機(jī)，但受到到限制。黑客會(huì)利用Guest帳帳戶禁用Guest帳戶WinXPPro：：“控制面板板”→“管理理工具”→→“計(jì)算機(jī)管管理”→““本地用戶和和組”→““用戶”，雙雙擊Guest帳戶，選選中“帳戶已已停用”WinXPHome：先執(zhí)行Netuserguestpassword命令，，然后進(jìn)入““控制面板””→“用戶戶設(shè)置”，設(shè)設(shè)置Guest帳戶的密密碼補(bǔ)充補(bǔ)充Administrator帳戶建立另一個(gè)擁擁有全部權(quán)限限的帳戶，然然后停用Administrator帳戶設(shè)置足夠復(fù)雜雜的密碼在WinXPHome中，修修改一下默認(rèn)認(rèn)的所有者帳帳戶名稱。補(bǔ)充補(bǔ)充交換文文件即虛擬擬內(nèi)存存（pagefile.sys））要求機(jī)機(jī)器在在關(guān)機(jī)機(jī)的時(shí)時(shí)候清清除系系統(tǒng)的的頁面面文件件(交交換文文件)regedit在注注冊(cè)冊(cè)表表中中找找到到HKEY_local_machine＼＼system＼＼currentcontrolset＼＼control＼＼sessionmanager＼＼memorymanagement，，然然后后創(chuàng)創(chuàng)建建或或修修改改ClearPageFileAtShutdown，，把把這這個(gè)個(gè)DWORD值值設(shè)設(shè)置置為為1補(bǔ)充充補(bǔ)充充轉(zhuǎn)儲(chǔ)文件件系統(tǒng)在遇遇到嚴(yán)重重問題時(shí)時(shí)，會(huì)把把內(nèi)存中中的數(shù)據(jù)據(jù)保存到到轉(zhuǎn)儲(chǔ)文文件。禁止創(chuàng)建建轉(zhuǎn)儲(chǔ)文文件“控制面面板”→→“系統(tǒng)統(tǒng)”→→“高高級(jí)”→→““啟動(dòng)和和故障恢恢復(fù)”，，將“寫寫入調(diào)試試信息””這一欄欄設(shè)置成成“(無無)”。。HKEY_local_machine＼＼software＼＼Microsoft＼WindowsNT＼CurrentVersion＼AeDebug，把Auto值改成成“0””。補(bǔ)充充補(bǔ)充充補(bǔ)充充多余的服服務(wù)NetMeetingRemoteDesktopSharing，，RemoteDesktopHelpSessionManager，，RemoteRegistry，………關(guān)閉不需需要的服服務(wù)“控制面面板”→→“管理理工具””→“服服務(wù)”，，右鍵點(diǎn)點(diǎn)擊不需需要的服服務(wù)名稱稱并選擇擇“屬性性”菜單單，在““常規(guī)””選項(xiàng)卡卡中把““啟動(dòng)類類型”改改成“手手動(dòng)”，，再點(diǎn)擊擊“停止止”按鈕鈕補(bǔ)充充補(bǔ)充充遠(yuǎn)程協(xié)助助/桌面面禁用此功功能設(shè)置組策策略（gpedit.msc），““計(jì)算配配置”→→“管理理模板””→““系統(tǒng)””→““遠(yuǎn)程協(xié)協(xié)助節(jié)點(diǎn)點(diǎn)”禁止用戶戶請(qǐng)求遠(yuǎn)遠(yuǎn)程協(xié)助助禁止用戶戶在這臺(tái)臺(tái)計(jì)算機(jī)機(jī)上向別