我爱电脑技术论坛 » 网站建设 » 站长们应该了解的服务器安全知识-防黑

不和人说话 发表于 2008-5-9 00:40

站长们应该了解的服务器安全知识-防黑

在网络服务器中，通常都会存有好多并不公开或提供下载的文件或程序，这些资料多数是某个公司或是政府机关的机密文件，也可能是某个程序员的程序源代码。由此可以看出，一台服务器的安全是十分重要的。
$_N\x,_q
'BF8u} `?6})o9LQy 　　许多上网用户可能不太明白网络服务器的具体用途，其实用户在网络里浏览网站、收发电子邮件、玩网络游戏等，都是由网络服务器提供的服务。当一个用户浏览某个网站时，首先会在地址栏里输入一个网址(例如[url]www.520diannao.com[/url])，这时，浏览器会向一台域名服务器发送请求，而这台域名服务器将在数据库内找到这个域名所对应的IP地址，随后向这条IP所对应的服务器转送请求，并把其位置告诉网站服务器。当网站服务器收到信息后，将会把用户所需要的资料反馈给用户的浏览器，这样用户便可以浏览被反馈回来的内容。如果网络服务器没有在数据库中找到域名所对应的IP或没有找到可以反馈的资料，那么网络服务器将向浏览器发送一条指令，随后用户的浏览器会在本地找到相对应的出错显示页面(如：该页无法显示)。这就是网络服务器最常见的作用。`;Z9@bhV a
w7[WC E8_B%IU
　　常用手段i5Q k f3NBN;k k
H%WNV'I2}6b(u
　　很多时候黑客都会把网络服务器当作他们的攻击目标，通过进入网络服务器来达到他们的目的。要进行有效地阻止，就需要先了那些黑客是用什么手段来进入网络服务器的，知道他们的攻击方法后，才能有效地解决这些安全隐患。
x#Z#[jGn2m,W
)b].iZXf,e;x9|5L/YJ 　　先来介绍一下黑客常用的手段：h@R*iYyNW
6x"i y4_&G _b3C
　　1. 网络扫描——在Internet上进行广泛搜索，以找出特定计算机或软件中的弱点。
%~IzLDr
[ b])C!BKXC
^P 　　2. 网络嗅探程序——查看通过Internet的数据包，以捕获口令或全部内容。通过安装侦听器程序来监视网络数据流，从而获取连接网络系统时用户键入的用户名和口令。
2v!S l.eP9f %IGGek gpf
　　3. 拒绝服务——通过反复向某个Web站点的设备发送过多的信息请求，导致该设备无法完成应有的网络服务项目(例如电子邮件系统或联机功能)，称为“拒绝服务”问题。E%X;qEx
'_*i2t_f X]m
　　　　4. 欺骗用户——伪造电子邮件地址或Web页地址，从用户处骗得口令、信用卡号码等。欺骗是用来骗取目标系统，使之认为信息是来自或发向其所相信的目的的过程。欺骗可在IP层及之上发生(地址解析欺骗、IP源地址欺骗、电子邮件欺骗等)。当一台主机的IP地址假定为有效，并为Tcp和Udp服务所相信，利用IP地址的源路由，一个攻击者的主机可以被伪装成一个被信任的主机或客户。LJ8}0a F*n;N/TV
z H-{(p7H#J%C![4?t^
　　　　5. 特洛伊木马——一种用户察觉不到的程序，其中含有可利用一些软件中已知弱点的指令。
~$A;z4X'nB B
_7si$M
　　　　6. 后门——为防原来的进入点被探测到，留几个隐藏的路径以方便再次进入。
p5|k aa0}? 3]y;]
QK
　　　　7. 恶意小程序——微型程序，修改硬盘上的文件，发送虚假电子邮件或窃取口令。
B,A2eyaY
YU'qLg0Z[urrX
　　　　8. 竞争拨号程序——能自动拨成千上万个电话号码以寻找进入调制解调器连接的路径。逻辑炸弹是计算机程序中的一条指令，能触发恶意操作。ed_^5W:J

Gj1C7es+H$T+I_:[ 　　　　9. 缓冲器溢出——向计算机内存缓冲器发送过多的数据，以摧毁计算机控制系统或获得计算机控制权。
%O$a'V+]{%th]+YM
$Z D`0TcI}"w!y 　　　　10. 口令破译——用软件猜出口令。通常的做法是通过监视通信信道上的口令数据包，破解口令的加密形式。O E+H3F`wL)[

cWe;kqP*LV 　　　　11. 社交工程——与公司雇员谈话，套出有价值的信息。
.ZAu Hf+?b1eY
;rX"?0u\h,du(J 　　　　12. 垃圾桶潜水——仔细检查公司的垃圾，以发现能帮助进入公司计算机的信息。v'ot V+{
U&U3bMX&D

%r\8tK#| y:E!p#f 　　　　攻击过程
{({&^O Z2]3{
9DpK2s6{D 　　　　以上知道了黑客是用什么手段来得到情报，下面介绍黑客攻击服务器的常用过程：j2B/p/C^Ly#BV

Up.SP4rI 　　　　1. 隐藏黑客的位置
2uZ@3g'mjya0hR-A
/[$RP(J#i@*L 　　　　典型的黑客会使用如下技术隐藏他们真实的IP地址：
#nvG$u\7?)CNz7C3j
{{cJ
Pa5K3v%bO R Lk 　　　　利用被侵入的主机作为跳板;在安装Windows的计算机内利用Wingate软件作为跳板;利用配置不当的Proxy作为跳板。更老练的黑客会使用电话转接技术隐蔽自己。他们常用的手法有：利用800电话的私人转接服务联接ISP，然后再盗用他人的账号上网;通过电话联接一台主机，再经由主机进入Internet。f @bh9jMl7F

+A
OOE}pg`?5sQ 　　　　使用这种在电话网络上的“三级跳”方式进入Internet 特别难于跟踪。理论上，黑客可能来自世界任何一个角落。如果黑客使用800号拨号上网，他更不用担心上网费用。
:nU1t;@J2S'hEi
3|"O6h^P"RS5pM7tj 　　　　2. 网络探测和资料收集
[n+o1oQ m1y IN )zS@m;f_ D
　　　　黑客通常利用以下手段得知位于内部网和外部网的主机名。],WWOC.j,}2{7{

@C\4iI 　　　　使用nslookup 程序的ls命令;通过访问公司主页找到其他主机;阅读FTP服务器上的文挡;连接至mailserver并发送expn请求;Finger 外部主机上的用户名。
;v%ap\7`*x
i ]}m]%h'{I 　　　　在寻找漏洞之前，黑客会试图搜集足够的信息以勾勒出整个网络的布局。利用上述操作得到的信息，黑客很容易列出所有的主机，并猜测它们之间的关系。il v.? qv7Lp

6Ca)h} g-Y+LMUqdk 　　　　3. 找出被信任的主机
t&G+s/ep'ly 'L{d)z*{"OE
　　　　黑客总是寻找那些被信任的主机。这些主机可能是管理员使用的机器，或是一台被认为是很安全的服务器。首先，他会检查所有运行nfsd或mountd主机的NFS输出。往往这些主机的一些关键目录(如/usr/bin、/etc和/home)可以被那台被信任的主机mount。"O+a%E L5q
5Ar:d'f4E TSm7dzW
　　　　如果用户经常从某台特定的主机上登录，Finger daemon也可以被用来寻找被信任的主机和用户。黑客还会检查其他方式的信任关系。比如，可以利用CGI的漏洞，读取/etc/hosts.allow 文件等。
2IN2jzN/hIVA.L1Z
?Fquiz 　　　　分析完上述的各种检查结果，黑客就可以大致了解主机间的信任关系。下一步，就是探测这些被信任的主机哪些存在漏洞，可以被远程侵入。|0s)c)MF)U0j5^^ub

Icq`N!n 　　　　4. 找出有漏洞的网络成员Tc-T0``\8d

Bm5ar'Q0af 　　　　当黑客得到公司内外部主机的清单后，就可以利用一些Linux扫描器程序寻找这些主机的漏洞。黑客一般寻找网络速度很快的Linux主机运行这些扫描程序。}a6Hj-i0X@8Q(ZX\|

C[Qa-b9tIg B8u 　　　　所有这些扫描程序都会进行下列检查: TCP端口扫描;RPC服务列表;NFS输出列表;共享(如samba、netbiox)列表;缺省账号检查;Sendmail、IMAP、POP3、RPC status和RPC mountd有缺陷版本检测。U`~,\5Hd
F

Kq3R-i$j1xS 　　　　进行完这些扫描，黑客对哪些主机有漏洞便有了一定的了解。如果路由器兼容SNMP协议，有经验的黑客还会采用攻击性的SNMP扫描程序进行尝试，或者使用“蛮力式”程序去猜测这些设备的公共和私有community strings。
[;i3^|(K3fZ"J1Vi
!f x6X)t k!? 　　　　5. 利用漏洞 P@G%b;Iw5D
y&md.[S2H6F-u
　　　　当黑客找到了所有被信任的外部主机，也找到了外部主机所有可能存在的漏洞，那么他的下一步就会开始入侵主机。
.H3LT2Uqv`8z 7W7sD:H1Vm
　　　　首先，黑客会选择一台被信任的外部主机进行尝试。一旦成功侵入，黑客将从这里出发，设法进入公司内部网络。但这种方法能否成功要看该公司内部主机和外部主机间的过滤策略。攻击外部主机时，黑客一般是运行某个程序，利用外部主机上运行有漏洞的daemon窃取控制权。有漏洞的daemon包括Sendmail、IMAP、POP3各个漏洞的版本，以及RPC服务中诸如statd、mountd、pcnfsd等。有时，那些攻击程序必须在与被攻击主机相同的平台上进行编译。

U*O(g3X"J tn~H wtfa-y
　　　　6. 获得控制权d6cV
Rxw&x

$_.|6|^'K'R,G 　　　　黑客利用daemon的漏洞进入系统后会做两件事：清除记录和留下后门。他会安装一些后门程序，以便以后可以不被察觉地再次进入系统。大多数后门程序是预先编译好的，只需要想办法修改时间和权限就可以使用，甚至于新文件的大小都和原有文件一样。黑客一般会使用rcp传递这些文件，以便不留下FTP记录。一但确认自己是安全的，黑客就会开始侵袭公司的整个内部网。
$Y9d$OFz
9P&kb {!i dw 　　　　7. 窃取网络资源和特权T,tM{h$Gt

3U6K-F_7n4C4BU 　　　　黑客找到攻击目标后，一般会继续进行如下攻击：MWE5J;v\
~'t&ld` I
　　　　. 下载敏感信息
}@ v~v`m
)u t#_wwh*R 　　　　如果黑客的目的是从某机构内部的FTP或WWW服务器上下载敏感信息，他可以利用已经被侵入的某台外部主机轻而易举地得到这些资料。
ZY"?},FCO|5z G#LL rU+o U!R
　　　　. 攻击其他被信任的主机和网络
~8Y+{3MNG~6a9M 5w*FH\*[U
　　　　大多数的黑客入侵后仅仅为了探测内部网上的主机并取得控制权，只有那些“雄心勃勃”的黑客，为了控制整个网络才会安装特洛伊木马和后门程序，并清除记录。 那些希望从关键服务器上下载数据的黑客，常常不会满足于以一种方式进入关键服务器。他们会费尽心机找出被关键服务器信任的主机，安排好几条备用通道。#qmO5_ e
|8oAg2fE;mF!\.~
　　　　. 安装sniffers
Gt G&U Y-D"v C $V+as\c2q BH
　　　　在内部网上，黑客要想迅速获得大量的账号(包括用户名和密码)，最为有效的手段是使用“sniffer”程序。黑客会使用上面提到的方法，获得系统的控制权并留下再次侵入的后门，以保证sniffer能够执行。
i9`f.}+jA
k9U-L WO8}C'jFf(i
　　　　. 瘫痪网络.be!P8dqQy
s^
xz XQH R)e X\
　　　　如果黑客已经侵入了运行数据库、网络操作系统等关键应用程序的服务器，使网络瘫痪一段时间是轻而易举的事。如果黑客已经进入了公司的内部网，他可以利用许多路由器的弱点重新启动、甚至关闭路由器。如果他们能够找到最关键的几个路由器的漏洞，则可以使公司的网络彻底瘫痪一段时间。+d+Q)^b}:|9g
NwX,g:Fk
　　　　如何防止
M0S4Y#M sX ];Z1]7`DBqf2s
　　　　接下来介绍一种防止黑客的入侵的简单方法。(现在大部分服务器使用的都是Windows 2000服务器系统。所以本文以Windows 2000系统为例进行介绍。)
o'a(Lqf5usCR OiE&v$?:I \b
　　　　由于Windows 2000 Server非常人性化，于是很多服务器都采用了这种易于操作的系统。可是用的人越多，它的漏洞暴露的也就越多，从而使Windows 2000 Server操作系统不再安全。例如：利用Windows 2000的客户端连接管理器和Windows 2000中文简体版存在的输入法漏洞，便可以绕过身分验证机制进入系统内部。
8]Z*CmV4y)w
x|
m6Sd f} 　　　　Windows 2000的终端服务功能，能使系统管理员对Windows 2000进行远程操作，采用的是图形界面，能使用户在远程控制计算机时功能与在本地使用一样，其默认端口为3389，用户只要安装了Windows 2000客户端连接管理器就能与开启了该服务的计算机相联。因此这一漏洞使终端服务成为Windows 2000的合法木马。填补这个漏洞可以使用打补丁或删除输入法来达到。也可以手动解除这个隐患：运行regedit，展开HKEY_USERS\.DEFAULT\Keyboard Layout\Preload，以下键值对应输入法为：:u|.X1E,vv
MG]n;@7x#m
　　　　00000804 英文
IuS)w0wC+|
dc,pT{*C4`x 　　　　E00E0804 微软拼音&Z E7^"TF:z
:T-YL?GQ,mz
　　　　E0010804 全拼FWQ6zd0Zd
*c)C*\0X5zv&Fb
　　　　E0030804 郑码
6k*H eXv[`D}v
H`ry3e2y3c 　　　　E0040804 智能ABC
:}6Y3e*}1Y vsL
4o"B*_6e:S)s7@ 　　　　将除英文和智能ABC外的其他输入法全部删除，然后重启电脑或注销，这样在登录时就只能切换英文和智能ABC了。如果不需在登录时输入中文，可以直接将HKEY_USERS\.DEFAULT\Keyboard Layout\Preload删除，在登录时就只能用英文。这样黑客便无法利用输入法中的漏洞了。
#rM-L.SkZ!PM^ O8Q9Lm3nQ
　　　　注意事项&Y[A&m
S+GA6th
i-YLFfB+L
　　　　Windows 2000 Server的漏洞有数千个，本文不能一一列出。以下是使用Windows 2000系统时的注意事宜，仅供服务器管理员参考：
/V2nFKN@ [ &?~x2HTv
　　　　1. 经常到微软官方网站去查看是否有新的系统补丁，如果有的话，请在第一时间里升级系统。,c6i.~Ym1e
^]8eWg8q
　　　　2. 去大型的黑客网站查看是否有一些微软尚未发现的漏洞。因为服务器的漏洞多数是黑客们先发现的。
\ @|C"XnQ[T *?Ly7kM:J tyA
　　　　3. 定期用各种安全扫描工具自我扫描。
v{ i#^A{a 'n2n+M[F%?G
　　　　4. 尽量少开端口，没有必要开的端口不要开启。
EwC`}{f2yw;X
.s e(_2j&y9rGha ]
yg` 　　　　5. 服务器里不要安装任何游戏软件或其他软件。因为一些黑客会利用那些软件的漏洞进入服务器。
5?,F:_ u(f5g"Y
iV2?y*B"N 　　　　6. 保护好服务器Administrator密码。经常更换密码，且密码最好是12~16位的数字加字母的不规则排列组合。$ny.\$`QX{

+i2e:J`3fg1?'A,z_ 　　今天就讲这些，我有空会继续在站长网为大家讲点服务器安全知识，谢谢大家的观看!

查看完整版本: 站长们应该了解的服务器安全知识-防黑