Windows系統(tǒng)安全-系統(tǒng)漏洞分析與防范課件

Windows系統(tǒng)安全

---------系統(tǒng)漏洞分析與防范Windows系統(tǒng)安全

---------系統(tǒng)漏洞分析與防1Windows

NT系統(tǒng)簡介

WindowsNT/2000/XP都是基于WinNT內(nèi)核，安全性比Windows9x明顯提高。主要體現(xiàn)在：提供了對(duì)安全性有影響的管理手段——用戶帳號(hào)和用戶密碼、域名管理、用戶組權(quán)限、共享資源的權(quán)限等。用戶帳號(hào)和用戶密碼

WindowsNT的安全機(jī)制通過請(qǐng)求用戶帳號(hào)和用戶密碼來幫助保護(hù)計(jì)算機(jī)及其資源。給值得信任的使用者，按其使用的要求和網(wǎng)絡(luò)所能給予的服務(wù)分配合適的用戶帳號(hào)，并且設(shè)定相應(yīng)的賬號(hào)密碼。Windows

NT系統(tǒng)簡介

WindowsNT/20002Windows

NT系統(tǒng)簡介

域名管理

(1)以WindowsNT組建的網(wǎng)絡(luò)是一個(gè)局域網(wǎng)范圍的網(wǎng)。(2)域：指網(wǎng)絡(luò)服務(wù)器和其它計(jì)算機(jī)的邏輯分組，凡是在共享域范圍內(nèi)的用戶都使用公共的安全機(jī)制和用戶帳號(hào)信息。(3)每個(gè)用戶有一個(gè)賬號(hào)，每次登錄的是一個(gè)域，而不是某一個(gè)服務(wù)器。即使在物理上相隔較遠(yuǎn)，但在邏輯上可以在一個(gè)域上，這樣便于管理。(4)域所用的安全機(jī)制信息或用戶帳號(hào)信息都存放在目錄數(shù)據(jù)庫中（安全帳號(hào)管理器SAM數(shù)據(jù)庫）。Windows

NT系統(tǒng)簡介

域名管理3Windows

NT系統(tǒng)簡介域名管理

(5)目錄數(shù)據(jù)庫存放在服務(wù)器中，并且復(fù)制到備份服務(wù)器中。(6)通過有規(guī)律的適當(dāng)處理，可以保證數(shù)據(jù)庫的安全性、有效性。(7)在用戶每次登錄時(shí)，通過目錄數(shù)據(jù)庫檢查用戶的賬號(hào)和密碼。所以在對(duì)NT進(jìn)行維護(hù)時(shí)應(yīng)該小心目錄數(shù)據(jù)庫的完整性，一般只有管理員才有權(quán)限管理目錄數(shù)據(jù)庫。

Windows

NT系統(tǒng)簡介域名管理4Windows

NT系統(tǒng)簡介

用戶組權(quán)限

（1）管理員根據(jù)用戶訪問網(wǎng)絡(luò)的類型和等級(jí)給用戶分組，組有全局組和本地組。（2）全局組由一個(gè)域的幾個(gè)用戶帳號(hào)組成，所謂全局是指可以授予該組使用多個(gè)（全局）域資源的權(quán)利和權(quán)限，全局組只能在域中創(chuàng)建。

域全局組：

成員范圍：自己所在的域

使用范圍：所有的域

（3）本地組由用戶帳號(hào)和一個(gè)或多個(gè)域中的全局組構(gòu)成

域本地組：

成員范圍：所有的域

使用范圍：自己所在的域

Windows

NT系統(tǒng)簡介用戶組權(quán)限5Windows

NT系統(tǒng)簡介

共享資源的權(quán)限

（1）WindowsNT允許用戶指定共享的資源。資源共享后，可以通過網(wǎng)絡(luò)限制某些用戶對(duì)他的訪問權(quán)限，這稱為共享權(quán)限的限制。針對(duì)不同的用戶，可以利用資源共享及資源權(quán)限來創(chuàng)建不同的資源安全級(jí)別。（2）WindowsNT在其文件系統(tǒng)NTFS中，可以使用權(quán)限對(duì)單個(gè)文件進(jìn)行保護(hù)，并且可以把該權(quán)限應(yīng)用于本地訪問和網(wǎng)絡(luò)訪問中。

通過以上的四個(gè)管理手段，實(shí)行嚴(yán)格的用戶名密碼認(rèn)證，并根據(jù)操作需求賦予相應(yīng)的權(quán)限，從而獲得對(duì)系統(tǒng)訪問的嚴(yán)格控制。Windows

NT系統(tǒng)簡介共享資源的權(quán)限6WindowsNT常見安全漏洞

通過NETBIOS實(shí)現(xiàn)信息收集與滲透

NETBIOS(網(wǎng)絡(luò)基本輸入輸出系統(tǒng)）：描述怎樣將網(wǎng)絡(luò)基本輸入輸出系統(tǒng)操作變換為等價(jià)的因特網(wǎng)操作的規(guī)則.

通過端口掃描程序掃描目標(biāo)機(jī)或網(wǎng)絡(luò)通過NETBIOS進(jìn)行信息收集

如端口掃描程序報(bào)告端口139在目標(biāo)機(jī)上是開放的，那么接下來就是一個(gè)很自然的過程。發(fā)出Nbtstat命令。Nbtstat命令可以用來查詢目標(biāo)機(jī)的NETBIOS信息。如:D:>nbtsta–A59(-a:列出為其主機(jī)名提供的遠(yuǎn)程計(jì)算機(jī)名字表).入侵者可以通過Nbtstat的輸出信息收集有關(guān)你的機(jī)器的信息，有了這些信息，入侵者就可能在一定程度上斷定有哪些服務(wù)正在目標(biāo)機(jī)上運(yùn)行，有時(shí)也能斷定已經(jīng)安裝了那些軟件包。一般來講，每個(gè)服務(wù)或主要的軟件包都具有一定的脆弱性，因此，這種類型的信息對(duì)入侵者是有用的。

WindowsNT常見安全漏洞通過NETBIOS實(shí)現(xiàn)信息7WindowsNT常見安全漏洞猜測(cè)密碼如果入侵者發(fā)現(xiàn)你的機(jī)器上的共享目錄，將會(huì)試圖進(jìn)入你的硬盤。有時(shí)共享可能設(shè)有口令，不過入侵者會(huì)繼續(xù)進(jìn)行BruteForce（強(qiáng)行）攻擊。BruteForce最常用的工具是NAT工具,這個(gè)工具讓用戶能夠通過可能的用戶/口令列表使網(wǎng)絡(luò)連接命令自動(dòng)操作。NAT將通過所提供的列表中的每個(gè)用戶名和每一個(gè)口令試著連接到遠(yuǎn)程機(jī)上。借助工具Ntscan進(jìn)行BruteForce攻擊，破解用戶名/口令對(duì)。WindowsNT常見安全漏洞猜測(cè)密碼8WindowsNT常見安全漏洞升級(jí)權(quán)限

攻擊者獲得系統(tǒng)一定的訪問權(quán)限后通常要把自己的權(quán)限提升到管理員組，這樣就可以控制了該計(jì)算機(jī)系統(tǒng)。

獲得管理員密碼后，下次就可以用該密碼進(jìn)入系統(tǒng)。先建立一個(gè)用戶，然后把這個(gè)用戶添加到管理員組，或者直接把一個(gè)不起眼的用戶添加到管理員組。安裝后門。方法:下載系統(tǒng)的%windir%\repair\sam.*文件,然后用Lopht等軟件破解.WindowsNT常見安全漏洞升級(jí)權(quán)限9WindowsNT常見安全漏洞破解SAM文件

SAM中包含有本地系統(tǒng)及所控制域的所有用戶信息和用戶名及密碼。SAM文件是經(jīng)過加密后的一個(gè)文檔.其中破解SAM最為常用的工具就是L0pht,如果有一臺(tái)PII450，黑客們便可以利用L0pht在24小時(shí)內(nèi)破解出所有可能的數(shù)字與字母組合。WindowsNT常見安全漏洞破解SAM文件10WindowsNT常見安全漏洞

SAM文件的獲取WindowsNT把SAM存放在%systemroot%\system32\config目錄下,而且在服務(wù)器的NT系統(tǒng)運(yùn)行過程中SAM是被鎖死的,甚至Administrator用戶也無權(quán)更改。

(1)啟動(dòng)引導(dǎo)另一操作系統(tǒng)不直接啟動(dòng)NT系統(tǒng)，而用另一個(gè)引導(dǎo)服務(wù)器，SAM文件的保護(hù)顯然就失去了作用。黑客通常會(huì)使用SystemInternals公司的NTFSDOS的系統(tǒng)驅(qū)動(dòng)來獲得對(duì)NTFS硬盤格式訪問的權(quán)限，然后將SAM文件提取。WindowsNT常見安全漏洞SAM文件的獲取11WindowsNT常見安全漏洞

SAM文件的獲取

(2)獲取備份的SAM

NT中的修復(fù)磁盤工具會(huì)備份系統(tǒng)中的關(guān)鍵信息，其中也包括SAM文件。黑客一般會(huì)選擇L0pht進(jìn)行導(dǎo)入完成獲取備份的工作。(3)從SAM中導(dǎo)出散列加密值如獲得Administrator訪問權(quán)限，黑客很容易獲取到NT在注冊(cè)表中存儲(chǔ)的SAM密碼散列．用L0pht或者Pwdump這兩個(gè)工具都可以容易的獲取到這些加密值．WindowsNT常見安全漏洞SAM文件的獲取12防范辦法防范最好的辦法——安裝漏洞補(bǔ)丁微軟已經(jīng)對(duì)發(fā)現(xiàn)的大多數(shù)安全漏洞提供了補(bǔ)丁，這些補(bǔ)丁可以在/security網(wǎng)站下載。達(dá)到系統(tǒng)本身提供的安全能力

WindowsNT資源工具箱軟件提供C2配置管理器c2config.exe,運(yùn)行他可以核查你的系統(tǒng)配置，并指出為符合C2級(jí)安全標(biāo)準(zhǔn)，你必須修改什么配置。系統(tǒng)安全設(shè)置使用NTFS個(gè)格式分區(qū)。最好建立兩個(gè)邏輯分區(qū)，一個(gè)用作系統(tǒng)分區(qū)，一個(gè)用作應(yīng)用程序分區(qū)。盡量修改“我的文檔”及“OutlookExpress”等應(yīng)用程序的默認(rèn)文件夾位置，使其位置不在系統(tǒng)分區(qū)。防范辦法防范最好的辦法——安裝漏洞補(bǔ)丁13

防范辦法(2)

運(yùn)行防病毒軟件;關(guān)閉默認(rèn)共享；鎖住注冊(cè)表；禁止用戶從軟盤和光盤啟動(dòng)系統(tǒng)；利用WindowsNT安全配置工具來配置安全策略。服務(wù)安全配置關(guān)閉不必要的端口。關(guān)閉端口意味著減少功能。禁用NETBIOS。設(shè)置好安全紀(jì)錄的訪問權(quán)限;安全紀(jì)錄在默認(rèn)情況下是沒有保護(hù)的。把他設(shè)置成只有Administrators和系統(tǒng)帳戶才有權(quán)訪問。禁止建立空連接，默認(rèn)情況下，任何用戶都可通過空連接連上服務(wù)器，進(jìn)而枚舉出帳號(hào)，猜測(cè)密碼。我們可以通過修改注冊(cè)表來禁止建立空連接.關(guān)閉不需要的服務(wù)。防范辦法(2)運(yùn)行防病毒軟件;14一個(gè)攻擊WindowsNT系統(tǒng)過程(一)1.收集信息對(duì)于WindowsNT的主機(jī)，一般通過默認(rèn)的共享“Ipc$”進(jìn)行。Ipc$(進(jìn)程間通信)共享是NT主機(jī)上一個(gè)標(biāo)準(zhǔn)的隱藏共享,主要用于服務(wù)器到服務(wù)器的通信.如果主機(jī)啟動(dòng)了Server服務(wù)，就可以建立了不需要賬號(hào)和密碼的空連接，通過“Ipc”,就可以利用工具或者自己編寫的程序得到主機(jī)的賬號(hào)列表和共享（默認(rèn)和設(shè)置）列表。2.得到密碼得到賬號(hào)列表后，可以通過BruteForce的方法得到密碼。一個(gè)攻擊WindowsNT系統(tǒng)過程(一)1.收集信息2.15一個(gè)攻擊WindowsNT系統(tǒng)過程(二)3.破解出Administrator的密碼破解一個(gè)user賬號(hào)密碼后，進(jìn)步破解Administrator的密碼獲取\winnt\repair\sam,然后用工具Pwdump破解。4.得到管理員特權(quán)后留后門用微軟的“Netsvc.exe”工具，它可以啟動(dòng)遠(yuǎn)程計(jì)算機(jī)上的服務(wù)netsvc\\tlntsvr/start,一般啟動(dòng)“Schedule”服務(wù)。把“Netcat.exe”放在遠(yuǎn)端計(jì)算機(jī)上，然后用“At”命令啟動(dòng)他；一個(gè)攻擊WindowsNT系統(tǒng)過程(二)3.破解出Adm16一個(gè)攻擊WindowsNT系統(tǒng)過程(二)Telnet99把Guest用戶激活：netuserguest/active:yes把Guest用戶設(shè)置一個(gè)密碼：netuserguestabcd把Guest加到Administrators組中：netlocatgroupadministratorsguest/add使用Telnet管理工具“WinNT\system32\tlnadmn.exe”在注冊(cè)表選項(xiàng)把NTLM設(shè)置為“0”，防止Telnet服務(wù)要求NTLM認(rèn)證。用管理員身份建立遠(yuǎn)程計(jì)算機(jī)的Ipc連接后，可以用事件查看器、注冊(cè)表編輯器等各種管理工具連接到遠(yuǎn)程計(jì)算機(jī)進(jìn)行管理。獲取遠(yuǎn)程計(jì)算機(jī)上“WinNT\repair”下的sam文件，用工具破解。

一個(gè)攻擊WindowsNT系統(tǒng)過程(二)Telnet1.17針對(duì)此類攻擊的防御方法停止“Server”服務(wù)。該服務(wù)提供RPC（遠(yuǎn)程過程控制）支持、文件、打印以及命名管道共享。用“NetShare”命令確認(rèn)默認(rèn)的共享已經(jīng)刪除，查看手工設(shè)置的共享，刪除不需要的共享。停止TCP/IPServices服務(wù)，該服務(wù)支持以下的TCP/IP服務(wù)。CharacterGenerator,Daytime,Discard,Rcho,QuoteoftheDay服務(wù)。此服務(wù)對(duì)應(yīng)多個(gè)端口，如“７，９，１７”等，可能導(dǎo)致DDOS攻擊.用“NetStart”命令查看啟動(dòng)的服務(wù)。確認(rèn)停止所有不必要的服務(wù)，特別是停止“Telnet,Ftp”服務(wù)等。用netuser和netlocalgroup命令查看異常的用戶和本地組,刪除或僅用不必要的賬號(hào).如Guest等。用掃描工具檢查開放的可疑端口,查找木馬。禁止一般用戶從網(wǎng)絡(luò)訪問計(jì)算機(jī)。針對(duì)此類攻擊的防御方法停止“Server”服務(wù)。該服務(wù)提供R18一次針對(duì)Windows2000的入侵過程(一)1.探測(cè)選擇攻擊對(duì)象，了解部分簡單的對(duì)象信息。這里，針對(duì)具體的攻擊目標(biāo)，隨便選擇了一組IP地址，進(jìn)行測(cè)試，選擇處于活動(dòng)狀態(tài)的主機(jī)，進(jìn)行攻擊嘗試；Pinger程序查找IP地址針對(duì)探測(cè)的安全建議對(duì)于網(wǎng)絡(luò)：安裝防火墻，禁止這種探測(cè)行為對(duì)于主機(jī)：安裝個(gè)人防火墻軟件，禁止外部主機(jī)的ping包，使對(duì)方無法獲知主機(jī)當(dāng)前正確的活動(dòng)狀態(tài)一次針對(duì)Windows2000的入侵過程(一)1.探測(cè)19一次針對(duì)Windows2000的入侵過程(二)2.掃描使用的掃描軟件這里選擇的掃描軟件是SSS（ShadowSecurityScanner），目前的最高版本是5.3.1，SSS是俄羅斯的一套非常專業(yè)的安全漏洞掃描軟件，能夠掃描目標(biāo)服務(wù)器上的各種漏洞，包括很多漏洞掃描、端口掃描、操作系統(tǒng)檢測(cè)、賬號(hào)掃描等等，而且漏洞數(shù)據(jù)可以隨時(shí)更新。掃描遠(yuǎn)程主機(jī)

開放端口掃描

操作系統(tǒng)識(shí)別

SSS本身就提供了強(qiáng)大的操作系統(tǒng)識(shí)別能力，也可以使用其他工具進(jìn)行主機(jī)操作系統(tǒng)檢測(cè)。

主機(jī)漏洞分析

一次針對(duì)Windows2000的入侵過程(二)2.掃描20掃描結(jié)果：端口掃描可以看出幾個(gè)比較知名的端口均處于打開狀態(tài)，如139、80等

嘗試使用Unicode漏洞攻擊，無效?？赡苤鳈C(jī)已經(jīng)使用了SP進(jìn)行補(bǔ)丁或未開放遠(yuǎn)程訪問權(quán)限

掃描結(jié)果：端口掃描可以看出幾個(gè)比較知名的端口均處于打開狀態(tài)，21掃描結(jié)果：操作系統(tǒng)識(shí)別

掃描結(jié)果：操作系統(tǒng)識(shí)別22掃描結(jié)果：漏洞掃描SSS可對(duì)遠(yuǎn)程主機(jī)進(jìn)行漏洞檢測(cè)分析，這更方便了我們了解遠(yuǎn)程主機(jī)的狀態(tài)，選擇合適的攻擊入口點(diǎn)，進(jìn)行遠(yuǎn)程入侵

主機(jī)的帳號(hào)密碼使用的是“永不過期”方式，我們可以接下去進(jìn)行帳號(hào)密碼的強(qiáng)行破解

掃描結(jié)果：漏洞掃描SSS可對(duì)遠(yuǎn)程主機(jī)進(jìn)行漏洞檢測(cè)分析，這更方23一次針對(duì)Windows2000的入侵過程(四)4.滲透Administrator口令強(qiáng)行破解

目標(biāo)主機(jī)是一臺(tái)個(gè)人主機(jī)，絕大部分情況下，均使用Administrator帳號(hào)進(jìn)行登陸，且個(gè)人防范意識(shí)較差的話，選擇的密碼一般都較簡單，如“主機(jī)名”、“11111”、“12345”之類的簡單密碼（方便自己的快速登陸）。所以考慮利用NetBIOS會(huì)話服務(wù)（TCP139）進(jìn)行遠(yuǎn)程密碼猜測(cè)。

這里我們使用NAT（NetBIOSAuditingTool）進(jìn)行強(qiáng)行破解：構(gòu)造一個(gè)可能的用戶帳戶表，以及簡單的密碼字典，然后用NAT進(jìn)行破解。成功一次針對(duì)Windows2000的入侵過程(四)4.滲透24Administrator口令破解情況Administrator口令破解情況25一次針對(duì)Windows2000的入侵過程(五)5.鞏固權(quán)力現(xiàn)在我們得到了Administrator的帳戶，接下去我們需要鞏固權(quán)力添加一個(gè)迷惑性的帳戶，并加入administrators組，將來通過新帳戶進(jìn)入裝載后門裝載后門一般的個(gè)人主機(jī)為防范病毒，均會(huì)安裝反病毒軟件，如NortonAnti-Virus、金山毒霸等，并且大部分人也能及時(shí)更新病毒庫，而大部分的木馬程序在這類軟件的病毒庫中均被視為Trojan木馬病毒。所以，這為我們?cè)黾恿穗y度。除非一些很新的程序或自己編寫的程序才能夠很好地隱藏起來我們使用NetCat作為后門程序進(jìn)行演示一次針對(duì)Windows2000的入侵過程(五)5.鞏固權(quán)26安裝后門程序(一)利用剛剛獲取的Administrator口令，通過Netuse映射對(duì)方驅(qū)動(dòng)器

安裝后門程序(一)利用剛剛獲取的Administrator口27安裝后門程序(二)然后將netcat主程序nc.exe復(fù)制到目標(biāo)主機(jī)的系統(tǒng)目錄下（便于隱藏），可將程序名稱改為容易迷惑對(duì)方的名字，如rundl132.exe、ddedll32.exe等

安裝后門程序(二)然后將netcat主程序nc.exe復(fù)制到28安裝后門程序(三)遠(yuǎn)程N(yùn)etCat服務(wù)程序啟動(dòng)后，我們可以在本地進(jìn)行遠(yuǎn)程連接，運(yùn)行命令（在遠(yuǎn)程主機(jī)上），這時(shí)，我們已經(jīng)完全控制了這臺(tái)機(jī)器了利用at命令遠(yuǎn)程啟動(dòng)NetCat，供我們