宇塵網(wǎng)絡(luò)分享：服務(wù)器安全知識-防黑

在網(wǎng)絡(luò)服務(wù)器中，通常都會存有好多并不公開或提供下載的文件或程序，這些資料多數(shù)是某個(gè)公司或是政府機(jī)關(guān)的機(jī)密文件，也可能是某個(gè)程序員的程序源代碼。由此可以看出，一臺服務(wù)器的安全是十分重要的。

　　許多上網(wǎng)用戶可能不太明白網(wǎng)絡(luò)服務(wù)器的具體用途，其實(shí)用戶在網(wǎng)絡(luò)里瀏覽網(wǎng)站、收發(fā)電子郵件、玩網(wǎng)絡(luò)游戲等，都是由網(wǎng)絡(luò)服務(wù)器提供的服務(wù)。當(dāng)一個(gè)用戶瀏覽某個(gè)網(wǎng)站時(shí)，首先會在地址欄里輸入一個(gè)網(wǎng)址(例如www.baidu.com)，這時(shí)，瀏覽器會向一臺域名服務(wù)器發(fā)送請求，而這臺域名服務(wù)器將在數(shù)據(jù)庫內(nèi)找到這個(gè)域名所對應(yīng)的IP地址，隨后向這條IP所對應(yīng)的服務(wù)器轉(zhuǎn)送請求，并把其位置告訴網(wǎng)站服務(wù)器。當(dāng)網(wǎng)站服務(wù)器收到信息后，將會把用戶所需要的資料反饋給用戶的瀏覽器，這樣用戶便可以瀏覽被反饋回來的內(nèi)容。如果網(wǎng)絡(luò)服務(wù)器沒有在數(shù)據(jù)庫中找到域名所對應(yīng)的IP或沒有找到可以反饋的資料，那么網(wǎng)絡(luò)服務(wù)器將向?yàn)g覽器發(fā)送一條指令，隨后用戶的瀏覽器會在本地找到相對應(yīng)的出錯(cuò)顯示頁面(如：該頁無法顯示)。這就是網(wǎng)絡(luò)服務(wù)器最常見的作用。

　　常用手段

　　很多時(shí)候黑客都會把網(wǎng)絡(luò)服務(wù)器當(dāng)作他們的攻擊目標(biāo)，通過進(jìn)入網(wǎng)絡(luò)服務(wù)器來達(dá)到他們的目的。要進(jìn)行有效地阻止，就需要先了那些黑客是用什么手段來進(jìn)入網(wǎng)絡(luò)服務(wù)器的，知道他們的攻擊方法后，才能有效地解決這些安全隱患。

　　先來介紹一下黑客常用的手段：

　　1. 網(wǎng)絡(luò)掃描——在Internet上進(jìn)行廣泛搜索，以找出特定計(jì)算機(jī)或軟件中的弱點(diǎn)。

　　2. 網(wǎng)絡(luò)嗅探程序——查看通過Internet的數(shù)據(jù)包，以捕獲口令或全部內(nèi)容。通過安裝偵聽器程序來監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)流，從而獲取連接網(wǎng)絡(luò)系統(tǒng)時(shí)用戶鍵入的用戶名和口令。

　　3. 拒絕服務(wù)——通過反復(fù)向某個(gè)Web站點(diǎn)的設(shè)備發(fā)送過多的信息請求，導(dǎo)致該設(shè)備無法完成應(yīng)有的網(wǎng)絡(luò)服務(wù)項(xiàng)目(例如電子郵件系統(tǒng)或聯(lián)機(jī)功能)，稱為“拒絕服務(wù)”問題。

　　4. 欺騙用戶——偽造電子郵件地址或Web頁地址，從用戶處騙得口令、信用卡號碼等。欺騙是用來騙取目標(biāo)系統(tǒng)，使之認(rèn)為信息是來自或發(fā)向其所相信的目的的過程。欺騙可在IP層及之上發(fā)生(地址解析欺騙、IP源地址欺騙、電子郵件欺騙等)。當(dāng)一臺主機(jī)的IP地址假定為有效，并為Tcp和Udp服務(wù)所相信，利用IP地址的源路由，一個(gè)攻擊者的主機(jī)可以被偽裝成一個(gè)被信任的主機(jī)或客戶。

　　5. 特洛伊木馬——一種用戶察覺不到的程序，其中含有可利用一些軟件中已知弱點(diǎn)的指令。

    6. 后門——為防原來的進(jìn)入點(diǎn)被探測到，留幾個(gè)隱藏的路徑以方便再次進(jìn)入。

　　7. 惡意小程序——微型程序，修改硬盤上的文件，發(fā)送虛假電子郵件或竊取口令。

　　8. 競爭撥號程序——能自動撥成千上萬個(gè)電話號碼以尋找進(jìn)入調(diào)制解調(diào)器連接的路徑。邏輯炸彈是計(jì)算機(jī)程序中的一條指令，能觸發(fā)惡意操作。

　　9. 緩沖器溢出——向計(jì)算機(jī)內(nèi)存緩沖器發(fā)送過多的數(shù)據(jù)，以摧毀計(jì)算機(jī)控制系統(tǒng)或獲得計(jì)算機(jī)控制權(quán)。

　　10. 口令破譯——用軟件猜出口令。通常的做法是通過監(jiān)視通信信道上的口令數(shù)據(jù)包，破解口令的加密形式。

    11. 社交工程——與公司雇員談話，套出有價(jià)值的信息。

12. 垃圾桶潛水——仔細(xì)檢查公司的垃圾，以發(fā)現(xiàn)能幫助進(jìn)入公司計(jì)算機(jī)的信息。

　　　　以上知道了黑客是用什么手段來得到情報(bào)，下面介紹黑客攻擊服務(wù)器的常用過程：

1. 隱藏黑客的位置

典型的黑客會使用如下技術(shù)隱藏他們真實(shí)的IP地址：

利用被侵入的主機(jī)作為跳板;在安裝Windows的計(jì)算機(jī)內(nèi)利用Wingate軟件作為跳板;利用配置不當(dāng)?shù)?/SPAN>Proxy作為跳板。

更老練的黑客會使用電話轉(zhuǎn)接技術(shù)隱蔽自己。他們常用的手法有：利用800電話的私人轉(zhuǎn)接服務(wù)聯(lián)接ISP，

然后再盜用他人的賬號上網(wǎng);通過電話聯(lián)接一臺主機(jī)，再經(jīng)由主機(jī)進(jìn)入Internet。

使用這種在電話網(wǎng)絡(luò)上的“三級跳”方式進(jìn)入Internet 特別難于跟蹤。理論上，黑客可能來自世界任何一個(gè)角落。如果黑客使用800號撥號上網(wǎng)，他更不用擔(dān)心上網(wǎng)費(fèi)用。

2. 網(wǎng)絡(luò)探測和資料收集

黑客通常利用以下手段得知位于內(nèi)部網(wǎng)和外部網(wǎng)的主機(jī)名。

使用nslookup 程序的ls命令;通過訪問公司主頁找到其他主機(jī);閱讀FTP服務(wù)器上的文擋;連接至mailserver并發(fā)送expn請求;Finger 外部主機(jī)上的用戶名。

在尋找漏洞之前，黑客會試圖搜集足夠的信息以勾勒出整個(gè)網(wǎng)絡(luò)的布局。利用上述操作得到的信息，黑客很容易列出所有的主機(jī)，并猜測它們之間的關(guān)系。3. 找出被信任的主機(jī)

黑客總是尋找那些被信任的主機(jī)。這些主機(jī)可能是管理員使用的機(jī)器，或是一臺被認(rèn)為是很安全的服務(wù)器。

首先，他會檢查所有運(yùn)行nfsd或mountd主機(jī)的NFS輸出。往往這些主機(jī)的一些關(guān)鍵目錄(如/usr/bin、/etc和/home)可以被那臺被信任的主機(jī)mount。

如果用戶經(jīng)常從某臺特定的主機(jī)上登錄，Finger daemon也可以被用來尋找被信任的主機(jī)和用戶。黑客還會檢查其他方式的信任關(guān)系。比如，可以利用CGI的漏洞，讀取/etc/hosts.allow 文件等。

分析完上述的各種檢查結(jié)果，黑客就可以大致了解主機(jī)間的信任關(guān)系。下一步，就是探測這些被信任的主機(jī)哪些存在漏洞，可以被遠(yuǎn)程侵入。

4. 找出有漏洞的網(wǎng)絡(luò)成員

當(dāng)黑客得到公司內(nèi)外部主機(jī)的清單后，就可以利用一些Linux掃描器程序?qū)ふ疫@些主機(jī)的漏洞。黑客一般尋找網(wǎng)絡(luò)速度很快的Linux主機(jī)運(yùn)行這些掃描程序。

所有這些掃描程序都會進(jìn)行下列檢查: TCP端口掃描;RPC服務(wù)列表;NFS輸出列表;共享(如samba、netbiox)列表;

缺省賬號檢查;Sendmail、IMAP、POP3、RPC status和RPC mountd有缺陷版本檢測。

進(jìn)行完這些掃描，黑客對哪些主機(jī)有漏洞便有了一定的了解。如果路由器兼容SNMP協(xié)議，

有經(jīng)驗(yàn)的黑客還會采用攻擊性的SNMP掃描程序進(jìn)行嘗試，或者使用“蠻力式”程序去猜測這些設(shè)備的公共和私有community strings。

5. 利用漏洞

當(dāng)黑客找到了所有被信任的外部主機(jī)，也找到了外部主機(jī)所有可能存在的漏洞，那么他的下一步就會開始入侵主機(jī)。

首先，黑客會選擇一臺被信任的外部主機(jī)進(jìn)行嘗試。一旦成功侵入，黑客將從這里出發(fā)，設(shè)法進(jìn)入公司內(nèi)部網(wǎng)絡(luò)。

但這種方法能否成功要看該公司內(nèi)部主機(jī)和外部主機(jī)間的過濾策略。攻擊外部主機(jī)時(shí)，黑客一般是運(yùn)行某個(gè)程序，

利用外部主機(jī)上運(yùn)行有漏洞的daemon竊取控制權(quán)。有漏洞的daemon包括Sendmail、IMAP、POP3各個(gè)漏洞的版本，

以及RPC服務(wù)中諸如statd、mountd、pcnfsd等。有時(shí)，那些攻擊程序必須在與被攻擊主機(jī)相同的平臺上進(jìn)行編譯。

6. 獲得控制權(quán)

黑客利用daemon的漏洞進(jìn)入系統(tǒng)后會做兩件事：清除記錄和留下后門。他會安裝一些后門程序，以便以后可以不被察覺地再次進(jìn)入系統(tǒng)。

大多數(shù)后門程序是預(yù)先編譯好的，只需要想辦法修改時(shí)間和權(quán)限就可以使用，甚至于新文件的大小都和原有文件一樣。

黑客一般會使用rcp傳遞這些文件，以便不留下FTP記錄。一但確認(rèn)自己是安全的，黑客就會開始侵襲公司的整個(gè)內(nèi)部網(wǎng)。

7. 竊取網(wǎng)絡(luò)資源和特權(quán)