操作系統安全課件

第八章操作系統安全8.1Linux系統8.2Unix/Linux系統安全

8.3Windows系統8.4Windows安全機制8.5Windows系統安全配置第1頁操作系統概述當前服務器慣用操作系統：UnixLinuxWindowsNT//Server。這些操作系統都是符合C2級安全級別操作系統。都存在很多漏洞，假如對這些漏洞不了解，不采取對應辦法，就會使操作系統完全暴露給入侵者。第2頁8.1Linux/Unix系統UNIX操作系統是由美國貝爾試驗室開發(fā)一個多用戶、多任務通用操作系統。UNIX誕生于20世紀60年代末期，貝爾試驗室研究人員于1969年開始在GE645計算機上實現一個分時操作系統雛形，以后該系統被移植到了DECPDP-7小型機上。1970年給系統正式命名為Unix。到1973年，Unix系統絕大部分源代碼都用C語言重新編寫，大大提升了Unix系統可移植性，也為提升系統軟件開發(fā)效率創(chuàng)造了條件。第3頁主要特色UNIX操作系統經過20多年發(fā)展后，已經成為一個成熟主流操作系統，在發(fā)展過程中逐步形成了一些新特色。（1）高可靠性（2）極強伸縮性（3）網絡功效強（4）強大數據庫支持（5）開放性好第4頁Linux系統Linux是由全世界各地成千上萬程序員設計和實現，為了建立不受任何商品化軟件版權制約、全世界都能自由使用Unix兼容產品。Linux最早開始于名叫LinusTorvalds計算機興趣者，是芬蘭赫爾辛基大學學生。目標是設計一個代替Minix（是由AndrewTannebaum教授編寫一個操作系統示教程序）操作系統。該操作系統可用于386、486或飛躍處理器個人計算機上，含有Unix操作系統全部功效。第5頁Linux系統Linux是一個無償開源操作系統，用戶能夠無償取得其源代碼，并能夠隨意修改。在共用許可證GPL(GeneralPublicLicense)保護下自由軟件，有幾個版本，如RedHatLinux、Slackware，以及國內XteamLinux、紅旗Linux等等。Linux流行是源于它優(yōu)點：第6頁Linux經典優(yōu)點（1）完全無償（2）完全兼容POSIX1.0標準（3）多用戶、多任務（4）良好界面（5）豐富網絡功效（6）可靠安全、穩(wěn)定性能（7）支持各種平臺第7頁8.2Unix/Linux系統安全第8頁Unix/Linux安全機制用戶標識和身份判別每個用戶一個唯一標識符(UID);系統給每個用戶組也分配有一個唯一標識符(GID);登錄需要密碼口令；文件系統安全用戶：owner/group/other）訪問權限：read/write/executable。文件加密Unix用戶能夠使用crypt命令加密文件，用戶選擇一個密鑰加密文件，再次使用此命令，用同一密鑰作用于加密后文件，就可恢復文件內容日志審計機制包含：連接時間日志、進程統計和錯誤日志。9第9頁Unix/Linux操作系統安全－弱點用戶數據保護機制并不能確保嚴格安全要求；超級用戶成為系統安全瓶頸；缺乏必要系統審計機制；用戶認證方面要求不夠嚴格；系統本身完整性保護問題，一旦加載惡意關鍵模塊，整個系統可能完全被非法控制。10第10頁Unix/Linux安全配置合理設置系統安全級別合理設置用戶權限指定主控臺及終端登錄限制合理配置/etc/inetd.conf文件合理設置/etc/ftpusers文件合理設置網段及路由不設置UUCP刪除不用軟件包及協議正確配置.profile文件創(chuàng)建匿名ftp應用用戶同維護用戶分開第11頁8.3Windows系統1)高效直觀面向對象圖形用戶界面，易學易用。2)多任務。3)用戶界面統一、友好、漂亮。4)豐富與設備無關圖形操作。第12頁8.4Windows安全機制1.活動目錄服務2.認證服務3.加密文件系統4.安全模版5.安全賬號管理器第13頁Windows安全子系統安全子系統包含：Winlogon GraphicalIdentificationandAuthenticationDLL(GINA)LocalSecurityAuthority(LSA)SecuritySupportProviderInterface(SSPI)AuthenticationPackagesSecuritysupportprovidersNetlogonServiceSecurityAccountManager(SAM)第14頁Windows安全子系統WinlogonGINALSASecurityAccountManagementNetlogonAuthenticationPackagesSecuritySupportProviderSSPI加載GINA，監(jiān)視認證次序加載認證包支持額外驗證機制為認證建立安全通道提供登陸接口提供真正用戶校驗管理用戶和用戶證書數據庫第15頁Windows安全子系統WinlogonandGina:Winlogon調用GINADLL，監(jiān)視安全認證序列。GINADLL提供一個交互式界面為用戶登陸提供認證請求。Winlogon在注冊表中查找\HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon，假如存在GinaDLL鍵，Winlogon將使用這個DLL，假如不存在該鍵，Winlogon將使用默認值MSGINA.DLL。第16頁Windows安全子系統當地安全認證（LocalSecurityAuthority）：

它負責以下任務：調用全部認證包，檢驗在注冊表\HKLM\SYSTEM\CurrentControlSet\Control\LSA下AuthenticationPAckages下值，并調用該DLL進行認證（MSV_1.DLL）。在4.0版里，WindowsNT會尋找\HKLM\SYSTEM\CurrentControlSet\Control\LSA下全部存在SecurityPackages值并調用。創(chuàng)建用戶訪問令牌。管理當地安裝服務所使用服務賬號。儲存和映射用戶權限。管理審核策略和設置。管理信任關系。第17頁Windows安全子系統網絡登陸（Netlogon）：網絡登陸服務必須在經過認證后建立一個安全通道。要實現這個目標，必須經過安全通道與域中域控制器建立連接，然后，再經過安全通道傳遞用戶口令，在域域控制器上響應請求后，重新取回用戶SIDs和用戶權限。安全賬號管理器（SecurityAccountManager）：安全賬號管理器，也就是我們經常所說SAM，它是用來保留用戶賬號和口令數據庫。不一樣域有不一樣Sam，在域復制過程中，Sam包將會被拷貝。第18頁Windows密碼系統WindowsNT及Win中對用戶帳戶安全管理使用了安全帳號管理器(securityaccountmanager)機制,安全帳號管理器對帳號管理是經過安全標識進行，安全標識在帳號創(chuàng)建時就同時創(chuàng)建，一旦帳號被刪除，安全標識也同時被刪除。安全標識是唯一，即使是相同用戶名，在每次創(chuàng)建時取得安全標識都時完全不一樣。所以，一旦某個帳號被刪除，它安全標識就不再存在了，即使用相同用戶名重建帳號，也會被賦予不一樣安全標識，不會保留原來權限。第19頁Windows平臺上共享資源在Windows平臺上，共享資源是受攻擊入侵點文件資源共享打印服務共享IPC$也是一個共享資源在網絡環(huán)境下，又離不開共享功效對策使用隱藏共享設置好權限控制第20頁Windows9x/ME它本身就不是一個安全操作系統主要危險直接連接到共享資源上遠程訪問注冊表安裝后門服務程序利用現有服務程序漏洞拒絕服務當地系統不安性重新開啟口令不安全第21頁WindowsNTWindowsNT是一個安全操作系統即使已經發(fā)覺了大量漏洞不過總算補丁來得很及時兩個顯著安全性特點操作系統本身并不提供遠程運行代碼能力對于控制臺交互登錄權力僅限于少數帳號安全現實狀況對于WindowsNT大量攻擊都是經過應用服務器進行(比如IISWebServer)。盡快升級到Windows第22頁WindowsNTAdministrator這是攻擊者最期望得到權限伎倆遠程密碼猜測找到一個共享點，使用netuse命令行Nat工具從NT認證協議(LanMan、NTLM)著手防護禁止NICNetBIOS功效帳戶管理策略：設定lockout功效、強制使用強口令失敗類型審計總是需要第23頁SAM數據庫SAM:SecurityAccountsManager,包含有當地系統或者所控制域上全部用戶用戶名和密文形式密碼這是攻擊者最感興趣部位獲取sam數據庫，然后進行破解在系統運行期間，sam數據庫是上鎖獲取sam伎倆從另一個文件系統進行拷貝從關鍵文件備份中獲取壓縮之后sam文件在線提取密碼散列值從網絡上進行監(jiān)聽破解工具不論是字典破解，還是窮舉攻擊，往往很奏效兩種伎倆結合起來使用使用syskey保護第24頁IIS服務安全配置刪除無用腳本映射

IIS被預先配置為支持慣用文件名擴展如.asp和.shtm文件。IIS接收到這些類型文件請求時，該調用由DLL處理。假如您不使用其中一些擴展或功效，則應刪除該映射，步驟以下：

打開Internet服務管理器。右鍵單擊Web服務器，然后從上下文菜單中選擇“屬性”。主目錄|配置|刪除無用.htr.ida.idq.printer.idc.stm.shtml等第25頁終端服務安全輸入法漏洞造成威脅第26頁Windows危險服務剪貼簿查看器Messenger（Netsend）RemoteRegistryServiceServer(支持此計算機經過網絡文件、打印、和命名管道共享)TerminalServices(允許多位用戶連接并控制一臺機器，而且在遠程計算機上顯示桌面和應用程序。這是遠程桌面(包含管理員遠程桌面)、快速用戶轉換、遠程幫助和終端服務器基礎結構。)第27頁禁止對注冊表遠程訪問第28頁禁止和刪除服務經過services.msc禁止服務使用ResourceKit徹底刪除服務Sc命令行工具Instsrv工具舉例OS/2和Posix系統僅僅為了向后兼容Server服務僅僅為了接收netbios請求第29頁針對Windows入侵示例第30頁1.探測選擇攻擊對象，了解部分簡單對象信息。針對詳細攻擊目標，隨便選擇一組IP地址，進行測試，選擇處于活動狀態(tài)主機；針對探測安全提議對于網絡：安裝防火墻，禁止這種探測行為對于主機：安裝個人防火墻軟件，禁止外部主機ping包，使對方無法獲知主機當前正確活動狀態(tài)針對Windows入侵過程(一)第31頁針對Windows入侵過程(二)2.掃描使用掃描軟件這里選擇掃描軟件是SSS（ShadowSecurityScanner），SSS是俄羅斯一套非常專業(yè)安全漏洞掃描軟件，能夠掃描目標服務器上各種漏洞，包含很多漏洞掃描、端口掃描、操作系統檢測、賬號掃描等等，而且漏洞數據能夠隨時更新。掃描遠程主機

開放端口掃描

操作系統識別

SSS本身就提供了強大操作系統識別能力，也能夠使用其它工具進行主機操作系統檢測。

主機漏洞分析

第32頁掃描結果：端口掃描能夠看出幾個比較著名端口均處于打開狀態(tài)，如139、80等

嘗試使用Unicode漏洞攻擊，無效?？赡苤鳈C已經使用了SP進行補丁或未開放遠程訪問權限

第33頁掃描結果：操作系統識別

結果顯示該主機操作系統為Windows，正是我們期望操作系統類型第34頁掃描結果：漏洞掃描SSS可對遠程主機進行漏洞檢測分析，選擇適當攻擊入口點，進行遠程入侵；

該主機存在漏洞較多，我們能夠確定選擇該主機作為攻擊對象。另外，主機帳號密碼使用是“永不過期”方式，我們能夠在下面進行帳號密碼強行破解

第35頁針對Windows入侵過程(三)3.查看目標主機信息在完成對目標主機掃描后，能夠利用WindowsNT/對NetBIOS缺省信賴，對目標主機上用戶帳號、共享資源等進行檢驗。這里，再利用WindowsIPC空會話查詢遠程主機

第36頁針對Windows入侵過程(四)4.滲透IIS攻擊嘗試利用IIS中著名Unicode和“Translate:f”漏洞進行攻擊，沒有成功。目標主機可能已修復對應漏洞，或沒有打開遠程訪問權限Administrator口令強行破解

目標主機是一臺個人主機，絕大部分情況下，均使用Administrator帳號進行登陸，且個人防范意識較差話，選擇密碼普通都較簡單，如“主機名”、“11111”、“12345”之類簡單密碼。所以考慮利用NetBIOS會話服務（TCP139）進行遠程密碼猜測。

這里使用NAT（NetBIOSAuditingTool）進行強行破解：結構一個可能用戶帳戶表，以及簡單密碼字典，然后用NAT進行破解。成功第37頁Administrator口令破解情況第38頁針對Windows入侵過程(五)5.鞏固權力現在得到了Administrator帳戶，接下去需要鞏固權力添加一個迷惑性帳戶，并加入administrators組，未來經過新帳戶進入裝載后門裝載后門普通個人主機為防范病毒，均會安裝反病毒軟件，如NortonAnti-Virus、金山毒霸等，而且大部分人也能及時更新病毒庫，而大部分木馬程序在這類軟件病毒庫中均被視為Trojan木馬病毒。除非一些很新程序或自己編寫程序才能夠很好地隱藏起來我們使用NetCat作為后門程序進行演示第39頁安裝后門程序(一)利用剛才獲取Administrator口令，經過Netuse映射對方驅動器

第40頁安裝后門程序(二)然后將netcat主程序nc.exe復制到目標主機系統目錄下（便于隱藏），可將程序名稱改為輕易迷惑對方名字，如rundl132.exe、ddedll32.exe等

利用at命令遠程開啟NetCat