網(wǎng)絡(luò)安全導(dǎo)論 實(shí)驗(yàn)11A 操作系統(tǒng)安全

實(shí)驗(yàn)11A操作系統(tǒng)安全

一、實(shí)驗(yàn)?zāi)康?/p>

1.理解如何查找Windows服務(wù)器存在的安全問(wèn)題

2.掌握Windows服務(wù)器的安全性設(shè)置方法。

二、實(shí)驗(yàn)準(zhǔn)備

1.Windows操作系統(tǒng)的安仝管理措施主要有安裝系統(tǒng)補(bǔ)丁、用戶帳號(hào)及口令安仝、文

件系統(tǒng)安全、主機(jī)安全管理等組成。帳號(hào)和口令安全設(shè)置包括限制新建的帳號(hào)的登錄、限制

帳戶的登錄時(shí)間、限制登錄到指定的計(jì)算機(jī)、設(shè)置帳號(hào)失效期和設(shè)置密碼策略。單個(gè)主機(jī)

的安全設(shè)置的主要措施有使用安全策略、設(shè)置系統(tǒng)資源審核和關(guān)閉不必要的服務(wù)。

2.為了提高系統(tǒng)安全性，需要對(duì)系統(tǒng)的一些重耍文件夾在行正確的權(quán)限設(shè)置，查閱資

料，合理設(shè)置下列目錄和文件的使用權(quán)限：c:\inelpub\wwwrooi、c:/inelpub/mai】rooi、

c:/inelpub/ftproote/windows。

3.在Windows中，計(jì)算機(jī)使用SID來(lái)跟蹤每個(gè)帳戶，讀者可以在命令行下輸入whoami

/user查看自己的SID。如果重命名管理員帳戶，計(jì)第機(jī)仍然知道哪個(gè)帳戶是管理員帳戶因?yàn)?/p>

無(wú)論帳戶名稱如何變化，SID保持不變。查閱有關(guān)資料，熟悉帳戶、服務(wù)、注冊(cè)表管理方法。

三、實(shí)驗(yàn)內(nèi)容

1.通過(guò)nctsharc命令查看本地共享資源，進(jìn)行必要的更改。

相關(guān)命令集以及運(yùn)行結(jié)果如下圖所示。

C:\Users\Administrator>netshare

共享名資源注解

基

歌認(rèn)^

八

為

默

于

共

任

逅I

程

管

逅

PC理

C:\Windows

：\Users\Adininistrator>netsharemyShar?=，，C：/In^el"

yShare共享成功。

C:\Users\Administrator>netshareadmin$/delete

admin?已經(jīng)刪除。

C:\Users\Administrator>netshareC$/delete

C$已經(jīng)刪除。

C：\Users\Adininistrator>netshareD$/delete

D$已經(jīng)刪除。

C:\Users\Administrator>netshare

共享名資源注解

IPC$遠(yuǎn)程IPC

myShareC：/Intel

命令成功完成。

2.利用Windows內(nèi)置程序查看網(wǎng)絡(luò)是否有入侵行為發(fā)牛c

2.1檢查系統(tǒng)賬號(hào)

1.查看服務(wù)器是否存在可疑賬號(hào)、新增賬號(hào)

cmd-lusrmgr.nisc,查看是否有新增/可疑的賬號(hào)，如有管理員群組的(Administrators)

里的新增賬戶。經(jīng)檢查，處于正常狀態(tài)。

mlusrmgr，［本地用戶和組(本地)戶］

文件(F)操作(A)查看(V)郭助(H)

方亮I國(guó)昌I日國(guó)

4本地用戶和組(本地)名稱全名病述

LJ用戶grAdministrat...曾理計(jì)算機(jī)(域)的內(nèi)置悵戶

□組S,DefaultAcc...親統(tǒng)管理的用戶帳戶.

因Guest供來(lái)賓訪問(wèn)計(jì)算枳或訪問(wèn)域的內(nèi)...

包WDAGUtilit…會(huì)能］WindowsDefender應(yīng)

也lusrmgr?【本地戶和殂(本地)、卸

文件(F)坦作(A)?§(V)語(yǔ)就(H)

?，1力庭1&插日五

要本地用戶和組(本地)名稱3

二用戶由5AccessControlAssi^.此組的成員可以遠(yuǎn)程查詢此計(jì)算...

蛆

電Administrators告理員而計(jì)算磯〃S有不受限制管…

零EdckupOperators備扮理柞員為了備份或還原文件...

ifcCryptographicOper...授權(quán)成員執(zhí)行加法掛作.

電fDeviceOwners此期的成員可以更淺至拄范田內(nèi)...

^DistributedCOMUs...成員允許啟動(dòng).激活使用此計(jì)...

ifeEventLogReaders此組的成員可以從本地計(jì)算機(jī)中...

退Guests否認(rèn)值,安踏用戶組的成員.??

電Hyper-VAdministry...此團(tuán)的成號(hào)相石封Hyper-V而W..

電l$」USRSInternet信包系務(wù)使用主:內(nèi)置組.

ij}NetworkConfigurat...此期中的成三有部分告理權(quán)限身…

谷PerformanceLogU...該組中的成員可以計(jì)圮進(jìn)行性能...

典PerformanceMonit..此的成員可以從本地租遠(yuǎn)程訪...

運(yùn)PowerUsers包括高級(jí)用戶以向下兼落，Sffi...

RemoteDesktopUs...此俎中的成層吸授予遠(yuǎn)程登錄第

4^RemoteManageme...此追的成員可以通過(guò)營(yíng)理協(xié)設(shè)倒..

電Replicator支持W中的文件星明

4}SystemManagedA...此期的成員由莖統(tǒng)告理.

卷Users防止用戶進(jìn)行存息或無(wú)金的系統(tǒng)

2.netuser:查看當(dāng)前用戶

netlocalgroupadministrators：查看當(dāng)前用戶組

經(jīng)檢查，處于正常狀態(tài)。

C:\Users\AdministratorXusrmsr.msc

C:\Users\Administrator>netuser

WPC-29的用戶帳戶

AdministratorDefaultAccountGuest

VDAGUtilityAccount

命令成功完成。

C:\Users\Administrator>netlocalgroupadministrators

別名administrators

注樓管理員對(duì)計(jì)算機(jī)/域有不受限制的完全訪問(wèn)權(quán)

成員

Administrator

命若成式完版。

2.2結(jié)合Windows安全日志，查看管理員登錄時(shí)間、用戶名是否存在異常。

Win+r+eventvwr.msc打開(kāi)事件查行器，使用日忐篩選功能對(duì)“4624”登錄成功事件、“4625”

登錄失敗事件進(jìn)行查看，由近期登錄用戶時(shí)間，用戶名，縮小排杳范圍，以及可以根據(jù)大量

登錄失敗事件判斷出某賬號(hào)被進(jìn)行暴力破解。甚至我們可以導(dǎo)出Windows氏志一安全，利

用LogParser進(jìn)行分析。

▼利??日於

*WTEOOMU刁一="

s■?

?2/yigB夕—MMoo.

火...W2AHZ/W8U<e▼?*?..

M庫(kù)eaacar?"叫心-

吟—-

tK33M^fta5k*U.

Q?r?

9K4624.Mcrotofll^dMaKU^.■

Eft!

mrtM屯■■,

M<w?w*tt..

aR*

Mirewft“ciridMWfOt13

Uer■

SICXIX

MiU三

SS三

?WftPl：

三

是莪B0什

Hiyws□X

文儂9'作(A)MlV)?助(H)

?，二國(guó)日也

ttWtBM(XJS)安寶WtR4.72C梅作

>目今《?

?/3儂S.?r.ty,親J?：.事用IB?越三初日，?

、V卅Mows日至

61郵電亨關(guān)?亨曰嶗0次率,

?性

LA。本穗.?2022/2/2l/ffi-1M9:.,Mkro...El

0s?up典??...

blBiK將日NSe日本文件另尋為一

1]ForwardedEvents行任務(wù)

>&ffi^ft^OSBE?再二田麗日白是又碎...

目訂園T5

■■

■ft

>.

?iX4625.Microjo^tWindowssecurity-

□W性

??^?39

羽

w制

U侯存國(guó)52大..

EascxM)：安全@

Q

回事件屬性-事件4625,MicrosoftWindowssecurityauditing.

常規(guī)詳組信息

使用者：

安全I(xiàn)D：pc-29'^Administrator

日志名稱(M):一

來(lái)源(S);MicrosoftWindowssecur記錄時(shí)間(D)：2022/2/21閥一13:49:43

事件ID(E):4625^Mgy(Y)：Logon

瓢U(L):信息關(guān)鍵字(K)：審核失致

用戶(U):能計(jì)算機(jī)(R):pc-01

操作代碼(。)：信息

更多信息⑴:事嚀三三聯(lián)忙幫助

經(jīng)檢查均正常

2.3檢查異常端口、進(jìn)程

檢查端口

檢查端口連接情況，是否有遠(yuǎn)程連接、可疑連接

打開(kāi)cmd輸入命令：netstat-ano

S3告理具C:\Windows\system32\cmd.exe

?LiiunuAUTXiiuundLJVAZTKxv.v.?LOQUO?4」

c)2019MicrosoftCorporation4保留所有權(quán)利。

:\Users\Administrator>netstat-ano

^

p本地地址外出5地址狀態(tài)PID

1253-

p0.0.0.0:1350.0.0.0:0LISTENING4

p0.0.0.0:4450.0.0.0:0LISTENING527<

p0.0.0.0:50400.0.0.0:0LISTENING700

p0.0.0.0:496640.0.0.0:0LISTENING9080

p0.0.0.0:496650.0.0.0:0LISTENING162

p0.0.0.0:496660.0.0.0:0LISTENING

168uA

p0.0.0.0:496670.0.0.0:0LISTENING1353~

p0.0.0.0:496680.0.0.0:0LISTENING684

p0.0.0.0:496700.0.0.0:0LISTENING342A

p0.0.0.0:496710.0.0.0:0LISTENING4u

p172.21.12.29:1390.0.0.0:0LISTENING7

453《

p172.21.12.29:1027114.250.63.38:443ESTABLISIED^

^8o

p172.21.12.29:16870.0.0.0:0LISTENING745

ESTABLISffiD

p172.21.12.29:2393112.85.70.25:443745JA

p172.21.12.29:17464114.250.63.38:443ESTABLISffiD7453-

p172.21.12.29:17465114.250.70.38:443ESTABLISHED7

453《

p172.21.12.29:17469114.250.65.38:443ESTABLISIED745A

p172.21.12.29:17473114.250.65.38:443ESTABLISHED73

453"

p172.21.12.29:17475114.250.65.36:443ESTABLISHED745<

p172.21.12.29:17480114.250.66.38:443ESTABLISIfD73

45o~

172.21.12.29:17481114.250.66.37:443ESTABLISHED745<

17991199Q-1742911A9RnAR22-ESTABLISHED3

再通過(guò)tasklist命令進(jìn)程定位tasklist|findstr"PID'

C：\Il!=：Rrf=:\AdTnini<jt.rat.nr>t.ask1ist.|findstr"1256"

svchost.exe1256Services012,068K

C：\Users\Administrator>

檢查進(jìn)程

win+r輸入msinfo32打開(kāi)系統(tǒng)信息，查看進(jìn)程詳細(xì)信息，比如：進(jìn)程路徑、進(jìn)程ID、文件

創(chuàng)建日期、啟動(dòng)時(shí)間等。

三

=?xifte■，林WEI

cMo煙

北?1auz^HML72.1W0X)85I?KBuW226

c三

?l?0mz/wism.“0474，.iMMIU

三c

1M3wuT%ai.

c=黑*XUMSU

101180202Z/S1nMLMA475&1.i52M?U2022/.

c三

M?IWOmz/viMU9M47SB.1.iMMIU2W2A

三c=

cM?ismmwiMUMO4ml.ZS2MSU皿26

三)2022/SnMLSB-047Sa1.202ZA

c813a1Z52MBU

4

士t)eo2W2WMI.2MMIU2W1

三r1

c4I?mxv)/sns?ac，？5，，9M?《x?v

三i?o“XM7現(xiàn)，.

c黑?2022AH252MIU?2Z6

=c_?IMOmz/viMUM042J21MBUM"

41S802022AHMLMA47MJ.ZS2MIU20226

c或

=c三41J802O22AHMUMX)47?1.252MIU2O2U

4IMOW?/WiMUMXUT$&1.

c=然iMMIUm?A

“d475a，?

c41J?2WW1MLlRMBJ20224

工

三

c"4IMOmz/wiMU“0夕4,?iMMIUmu

>wjunai.KU26

c或*ism232MBU

c4?，為202ZAHML“d475aLZ52MIUM2ZA

三

c=M?mwig.10418M21moos?W

c*isaomz/viMUtoAiasej.mod2tW

雙

c黑*13802022/SnML161181WS-OOKB.M"

=1

H1?IMO2W2AHMUIO018K21XWKB.20W

S!器1SQ，《w皿2AHMLQMFH*wr

=C㈤—2O22/V19L?1L????直―w