CISP-2-安全攻防

null信息安全技术 安全攻防信息安全技术 安全攻防中国信息安全产品测评认证中心（CNITSEC） www.itsec.gov.cn CISP-2-安全攻防（培训样稿）黑客历史黑客历史60年代 麻省理工AI实验室 第一次出现hacker这个词 Ken Thompson 发明unix 1969，ARPANET开始建立 70年代 Dennis Ritchie 发明C语言 Phreaking: John Draper 世界上第一个计算机病毒出现 乔布斯(apple公司的创办者)制造出了蓝盒子黑客历史黑客历史 80年代早期 首次出现Cyberspace一词 414s 被捕 Legion of Doom和Chaos Computer Club成立 黑客杂志2600、phrack相续创刊 80年代晚期 25岁的Kevin Mutnik首次被捕 1988年，莫里斯蠕虫事件，在几小时内感染了6000台 计算机系统 美国国防部成立了计算机紧急应急小组(CERT)Kevin MutnikKevin Mutnik黑客历史黑客历史 90年代早期 AT&T的长途服务系统在马丁路德金纪念日崩溃 黑客成功侵入格里菲思空军基地和美国航空航天管理局 Kevin Mitnick再次被抓获，这一次是在纽约，他被圣迭哥超级计算中心的Tsutomu Shimomura追踪并截获 90年代晚期 美国联邦网站大量被黑，包括美国司法部，美国空军，中央情报局和美国航空航天管理局等 流行的电子搜索引擎Yahoo被黑客袭击 黑客语言黑客语言1 -> i or l 3 -> e 4 -> a 7 -> t 9 -> g 0 -> o $ -> s | -> i or l|\| -> n |\/| -> m s -> z z -> s f -> ph ph -> f x -> ck ck -> x 黑客语言黑客语言例如： 3v3ry0n3 kn0wz wh3n y0u h4ck a w3b p4g3 y0u h4v3 t0 us3 h4ck3r t4lk Everyone knows when you hack a web page you have To use hacker talk Hack杂志Hack杂志 1. 2600 http://www.2600.com/ 2. Phrack http://www.phrack.org/ nullHack组织Hack组织 1、@stake(原L0pht) http://www.atstake.com 代表作品：L0phtCrack 2、cDc(CULT OF THE DEAD COW) http://www.cultdeadcow.com/ 代表作品：bo、bo2000、Peekabooty Hack组织Hack组织 3、adm ftp://ftp.freelsd.net/ADM/ 4、security http://www.security.is/ 5、antisecurity http://anti.security.is Save a bug save a life 致力于维护软件届的生态平衡nullHack组织Hack组织 6、LSD(Last Stage OF DeLIRIUM) http://lsd-pl.net/ 7、teso http://teso.scene.at/ 8、thc(The Hackers Choice) https://www.thehackerschoice.com/ 著名黑客著名黑客 1．Aleph One Bugtraq邮件列表主持人 Bugtraq FAQ：http://www.nationwide.net/~aleph1/FAQ Bugtraq：http://online.securityfocus.com/archive/1 代表作品：Smashing The Stack For Fun And Profit http://phrack.org/show.php?p=49&a=14 发表于1996年11月8日，第一篇公开发表的介绍缓冲区溢出的论文著名黑客著名黑客2．Simple Nomad http://www.nmrc.org NMRC核心成员，建立者。 NMRC(Nomad Mobile Research Centre) The Hack FAQ 的作者 Pandora（NetWare漏洞扫描器)的作者著名黑客著名黑客3.RFP(Rain Forest Puppy) http://www.wiretrip.net/rfp/ Web Server安全权威、IIS MSADC漏洞的发现者 Rfp实验室的核心成员 主要作品：whisker Cgi扫描器，综合了多种anti-ids技术著名黑客著名黑客4.Fyodor http://www.insecure.org/ Nmap的作者 在phrack杂志51期发表了关于高级端口扫描的论文 http://phrack.org/show.php?p=51&a=11 在phrack杂志54期发表了关于利用tcp/ip 协议 离婚协议模板下载合伙人协议 下载渠道分销协议免费下载敬业协议下载授课协议下载 栈进行远程操作系统识别的论文 http://phrack.org/show.php?p=54&a=9 著名黑客著名黑客5.dugsong http://www.monkey.org/~dugsong/ 揭示了check point FW-1状态包过滤的漏洞 编写了功能强大的黑客工具包dsniff 包括dsniff、webspy、arpspoof、sshow等 http://naughty.monkey.org/~dugsong/dsniff/著名黑客著名黑客6. Solar Designer http://www.openwall.com/ 主要作品 John the Ripper: 最好的unix口令破解工具 openwall: Linux内核安全补丁 黑客大会黑客大会1.BlackHat http://www.blackhat.com/ 2.CanSecWest http://www.cansecwest.com/ 3.defcon http://www.defcon.org黑客攻击的典型步骤黑客攻击的典型步骤获取对方信息，扫描、社会工程学等。 进行攻击，exploit。 消除痕迹，删除日志等。 留后门。 获取信息获取信息公众域信息。 Nmap, traceroute, firewalk, ping sweeps, etc NIC 注册纪录 DNS 纪录 SNMP 扫描 OS 识别 Banner grabbing War dialers 社交工程Google的高级使用Google的高级使用1. 搜索整个字符串 a)"Index of /password“ b)"Index of /" password.txt 2. site--搜索整个站点 site:www.netpower.com.cn 火眼 3. filetype—搜索某种文件类型 4. inurl---分类搜索 inurl:firewall netpower inurl:ids netpower inurl:ids anti限制robot访问web站点的方法限制robot访问web站点的方法 Robot限制协议 http://www.target.com/robots.txt User－agent: * Disallow: / Robot META标记 〈meta name=″robots″ content=″noindex,nofollow″〉 Crawl CrawlBabelweb: http://www.hsc-labs.com/ressources/outils/babelweb/ teleport http://www.tenmax.com/teleport/pro/home.htm spade http://www.samspade.org/ssw/download.htmlwhois –q 263.netwhois –q 263.netnull通过DNS获取信息通过DNS获取信息1、获取bind版本信息 dig @ns.xxx.com version.bind chaos txt Bind的各个版本存在多个缓冲区溢出漏洞，例如： 8.2、8.2.1：bind NXT records漏洞 8.2 – 8.2.3：ISC Bind 8 TSIG缓冲区溢出漏洞 限制对BIND的版本信息进行查询 BIND 8版本中，在named.conf中使用version命令修改版本号，例如： options    {         version  “hello1.1.1”; }; DNS区域传输DNS区域传输dig @ns.xxx.com xxx.com axfr 或 host –l –v –t any xxx.com 列出所有dns注册信息 限制区域传输 对于BIND 8版的软件，在配置文件named.conf中使用命令allow-transfer来限制允许区域传输的主机，例如：     options    {             allow-transfer    {                             192.168.100.1;                             202.96.44.0/24;             };     };网络拓扑发现网络拓扑发现nullTracerouteTracerouteIP TTL 12345端口扫描端口扫描1.慢扫描。工具：nmap。例如：nmap -T Paranoid -sT 192.168.68.1。（间隔5分钟扫描一个端口）。 2.随机扫描。Nmap默认就是随机扫描，指随机扫描目标端口。（有些nids是根据连续连接本地端口段来判断端口扫描的）。 3. 碎片扫描。工具nmap。例如：nmap –f –sT 192.168.68.1。 4.诱骗扫描。工具：nmap。例如：nmap -D 192.168.68.1,192.168.68.2,192.168.68.3,192.168.68.5 -sS 192.168.68.98。（192.168.68.1,192.168.68.2,192.168.68.3都是虚假的地址）。端口扫描端口扫描5．tcp扫描。工具 nmap。例如：nmap –sT 192.168.68.1。 6. Udp扫描。工具 nmap。例如：nmap –sU 192.168.0.1 7. 协议栈扫描。工具 nmap.例如:nmap –sO 192.168.0.1 8．Syn扫描。工具 nmap。例如：nmap –sS 192.168.68.1。 9．Null扫描。工具 nmap。例如：nmap –sN 192.168.68.1。 10．Xmas Tree扫描。工具 nmap。例如：nmap –sX 192.168.68.1。 11. FIN扫描。工具 nmap。例如：nmap –sF 192.168.68.1。 12. 分布式扫描。工具 dps、dscan。 13.快扫描。工具 nmap。例如：nmap –F 192.168.0.1 端口扫描端口扫描14. Ack扫描，检查是否是状态FW。nmap –sA 192.168.0.1。 15. Windows扫描，nmap –sW 192.168.0.1。 16. RPC扫描，nmap –sR 192.168.0.1 17. 反向ident扫描，nmap –I 192.168.0.1。 18. Idle扫描。nmap -P0 -sI 中间主机 192.168.0.1 19. ftp bounce扫描。idle scanidle scanIdle扫描(端口开放) 1Idle扫描(端口开放) 1 目标机攻击者unknowing.com3vil.orgSyn:80跳板主机 ID =0172.0.0.1Idle扫描(端口开放) 2Idle扫描(端口开放) 2 目标机攻击者unknowing.com3vil.orgSyn/ack跳板主机 ID =1172.0.0.1Idle扫描(端口开放) 3Idle扫描(端口开放) 3目标机攻击者跳板主机 ID =110.0.0.1192.0.0.1172.0.0.1Syn src = 172.0.0.1 Dst = 192.0.0.1Idle扫描(端口开放) 4Idle扫描(端口开放) 4目标机攻击者10.0.0.1192.0.0.1Syn/Ack src = 192.0.0.1 Dst = 172.0.0.1跳板主机 ID =1172.0.0.1Idle扫描(端口开放) 5Idle扫描(端口开放) 5目标机攻击者10.0.0.1192.0.0.1Rst src == 172.0.0.1 Dst = 192.0.0.1跳板主机 ID =2172.0.0.1Idle扫描(端口开放) 6Idle扫描(端口开放) 6目标机攻击者10.0.0.1192.0.0.1Syn:80跳板主机 ID =2172.0.0.1Idle扫描(端口开放) 7Idle扫描(端口开放) 7目标机攻击者10.0.0.1192.0.0.1Syn:80Syn/ack跳板主机 ID =3172.0.0.1Idle扫描(端口关闭) 1Idle扫描(端口关闭) 1 目标机攻击者unknowing.com3vil.orgSyn:80跳板主机 ID =0172.0.0.1Idle扫描(端口关闭) 2Idle扫描(端口关闭) 2 目标机攻击者unknowing.com3vil.orgSyn/ack跳板主机 ID =1172.0.0.1Idle扫描(端口关闭) 3Idle扫描(端口关闭) 3目标机攻击者跳板主机 ID =110.0.0.1192.0.0.1172.0.0.1Syn src = 172.0.0.1 Dst = 192.0.0.1Idle扫描(端口关闭) 4Idle扫描(端口关闭) 4目标机攻击者10.0.0.1192.0.0.1Rst src = 192.0.0.1 Dst = 172.0.0.1跳板主机 ID =1172.0.0.1Idle扫描(端口关闭) 5Idle扫描(端口关闭) 5目标机攻击者10.0.0.1192.0.0.1Syn:80跳板主机 ID =1172.0.0.1Idle扫描(端口关闭) 6Idle扫描(端口关闭) 6目标机攻击者10.0.0.1192.0.0.1Syn:80Syn/ack跳板主机 ID =2172.0.0.1ftp bounce 扫描ftp bounce 扫描目标机攻击者10.0.0.1192.0.0.1ftp server172.0.0.1nmap –P0 –sT –b 172.0.0.1 192.168.0.1原理原理telnet ftp.xxx.com 21 user anonymous pass a@a.com port 192,168,0,173,23,23 200 PORT command successful. nlst 425 Can't build data connection: Connection refused. port 192,168,0,173,12,234 200 PORT command successful. nlst 150 ASCII data connection for /bin/ls (192.168.0.173,3306) (0 bytes). 226 ASCII Transfer complete. quit 远程操作系统识别技术远程操作系统识别技术1．DNS的hinfo纪录 2．Banner grab 3. 二进制文件法 3．Snmp get sysdescr 4．Tcp堆栈指纹技术 5．Icmp堆栈指纹技术 DNS的hinfo纪录DNS的hinfo纪录www IN HINFO “Sparc Ultra 5” “Solaris 2.6” 获取方法：dig @ns.xxx.com xxx.com hinfo 非常老的方法，现在一般没有管理员在dns记录里面添加hinfo纪录。Banner grabBanner grabRedhat:/etc/issue、/etc/issue.net bsd:/etc/motd Solaris:/etc/motd 缺陷：不准确，负责任的管理员一般都修改这个文件 通过web server得到操作系统类型 lynx –head –dump http://www.target.com 二进制文件分析法二进制文件分析法得到远程系统的一个二进制文件 例如 1. web server 目录下产生的core文件 2. 配置不当的ftp server下的二进制文件 …… 利用file 、readelf等来鉴别Snmp get sysdescrSnmp get sysdescr$ snmputil get 192.168.0.124 public .1.3.6.1.2.1.1.1.0 Variable = system.sysDescr.0 Value = String Sun SNMP Agent, Ultra-1 $ snmputil get 192.168.0.124 public .iso.org.dod.internet.mgmt.mib-2.system.sysDescr.0 Variable = system.sysDescr.0 Value = String Sun SNMP Agent, Ultra-1Snmp getnext mib-2Snmp getnext mib-2$ snmputil getnext 192.168.0.124 public .1.3.6.1.2.1 Variable = system.sysDescr.0 Value = String Sun SNMP Agent, Ultra-1 $ snmputil getnext 192.168.0.124 public .iso.org.dod.internet.mgmt.mib-2.0 Variable = system.sysDescr.0 Value = String Sun SNMP Agent, Ultra-1TCP Segment FormatTCP Segment Format20 bytesTcp堆栈指纹技术Tcp堆栈指纹技术nmap –O 192.168.0.1 TEST 1: 向目标开放端口发包 send_tcp_raw_decoys(rawsd, &target->host, current_port, openport, sequence_base, 0,TH_BOGUS|TH_SYN,0,"\003\003\012\001\002\004\001\011\010\012\077\077\077\077\000\000\000\000\000\000" , 20, NULL, 0); Nmap用于系统识别的包（1）Nmap用于系统识别的包（1） TH_BOGUS = 64 = 0x40 = 1000000 TH_SYN = 0x02 = 000010 BOGUS 标记探测器 – 在syn包的tcp头里设置一个未定义的TCP "标记"（64）。版本号2.0.35之前的linux内核在回应中保持这个标记。有些操作系统在收到这种包是会复位连接。 null\003\003\012\001\002\004\001\011\010\012\077\077\077\077\000\000\000\000\000\000是tcp选项，解释如下： \003\003\012：窗口扩大因子 kind=3,len=3,移位数=\012=10 \001：无操作：kind=1 \002\004\001\011：最大报文段长度 kind=2,len=4,长度=\001\011=265 \010\012：时间戳 kind=8,len=10 \077\077\077\077：时间戳值 1061109567 \000\000\000\000：时间戳响应 \000：选项结束 kind=0 \000：填充位 Nmap用于系统识别的包（2）Nmap用于系统识别的包（2）TEST 2：向目标开放端口发包 send_tcp_raw_decoys(rawsd, &target->host, current_port +1,openport,sequence_base,0,0, 0,"\003\003\012\001\002\004\001\011\010\012\077\077\077\077\000\000\000\000\000\000" , 20, NULL, 0);   源端口+1，6个标志位都为0，ip选项同TEST1。 Nmap用于系统识别的包（3）Nmap用于系统识别的包（3）TEST 3：向目标开放端口发包 send_tcp_raw_decoys(rawsd, &target->host, current_port +2,openport,sequence_base, 0,TH_SYN|TH_FIN|TH_URG|TH_PUSH,0,"\003\003\012\001\002\004\001\011\010\012\077\077\077\077\000\000\000\000\000\000" , 20, NULL, 0);   源端口+2，设置标志位TH_SYN(0x02)，TH_FIN(0x01)，TH_URG(0x20)，TH_PUSH(0x08)。Ip选项同TEST1。Nmap用于系统识别的包（4）Nmap用于系统识别的包（4）TEST 4：向目标开放端口发包 send_tcp_raw_decoys(rawsd, &target->host, current_port +3, openport, sequence_base, 0,TH_ACK,0,"\003\003\012\001\002\004\001\011\010\012\077\077\077\077\000\000\000\000\000\000" , 20, NULL, 0);   源端口+3，设置标志位TH_ACK，ip选项同TEST1。 Nmap用于系统识别的包（5）Nmap用于系统识别的包（5）TEST 5：向目标关闭端口发包 send_tcp_raw_decoys(rawsd, &target->host, current_port +4, closedport, sequence_base, 0,TH_SYN,0,"\003\003\012\001\002\004\001\011\010\012\077\077\077\077\000\000\000\000\000\000" , 20, NULL, 0);   源端口+4，标志位TH_SYN，ip选项同TEST1。Nmap用于系统识别的包（6）Nmap用于系统识别的包（6）TEST6：向目标关闭端口发包 send_tcp_raw_decoys(rawsd, &target->host, current_port +5, closedport, sequence_base, 0,TH_ACK,0,"\003\003\012\001\002\004\001\011\010\012\077\077\077\077\000\000\000\000\000\000" , 20, NULL, 0); 源端口+5，标志位TH_ACK，ip选项同TEST1。Nmap用于系统识别的包（7）Nmap用于系统识别的包（7）TEST7：向目标关闭端口发包 send_tcp_raw_decoys(rawsd, &target->host, current_port +6, closedport, sequence_base, 0,TH_FIN|TH_PUSH|TH_URG,0,"\003\003\012\001\002\004\001\011\010\012\077\077\077\077\000\000\000\000\000\000" , 20, NULL, 0);   源端口+6，标志位TH_FIN，TH_PUSH，TH_URG，ip选项同TEST1。 Nmap用于系统识别的包（8）Nmap用于系统识别的包（8）TEST 8：向目标关闭端口发包 send_closedudp_probe(rawsd, &target->host, o.magic_port, closedport);   向目标关闭端口发送udp包 一个指纹结构一个指纹结构TSeq(Class=RI%gcd=<6%SI=<57A26&>DF1) T1(DF=Y%W=2297|2788|4431|8371|8F4D|ABCD|FFF7|FFFF|2297|212%ACK=S++%Flags=AS%Ops=NNTNWME) T2(DF=N%W=0%ACK=O%Flags=R%Ops=WNMETL) T3(Resp=N) T4(DF=Y|N%W=0%ACK=O%Flags=R%Ops=|WNMETL) T5(DF=Y%W=0%ACK=S++%Flags=AR%Ops=) T6(DF=Y|N%W=0%ACK=O|S%Flags=AR|R%Ops=|WNMETL) T7(DF=Y|N%W=0%ACK=S|O%Flags=AR|R%Ops=|WNMETL) PU(DF=Y%TOS=0%IPLEN=70%RIPTL=148%RID=E%RIPCK=E|F%UCK=E|F|F|E%ULEN=134%DAT=E) Fingerprint Solaris 2.6 - 2.7 Solaris 2.6 – 2.7的指纹Icmp堆栈指纹技术Icmp堆栈指纹技术Ofir Arkin提出 http://www.sys-security.com/html/projects/icmp.html http://www.phrack.org/show.php?p=57&a=7 http://www.sys-security.com/html/projects/X.html ICMP 包格式ICMP 包格式081631typecodechecksumidentifiersequence number例子：echo request/reply (ping/pong) optional data 通常格式ICMP 协议ICMP 协议ICMP 信息请求ICMP 信息请求针对广播地址的non-echo icmp 请求针对广播地址的non-echo icmp 请求利用tos位检测windows系统利用tos位检测windows系统识别windows识别windowsXprobe 作者Xprobe 作者null被动操作系统识别被动操作系统识别CAttackerSYN|ACK from host A src port 23 with advertised window 0x4000, DF bit on & ttl of 64SYN to port 23A操作系统被动察觉通告的窗口值、是否设置DF位、缺省TTL。OS Fingerprints: 4000:ON:64 = FreeBSD被动操作系统识别工具被动操作系统识别工具1. siphon http://gravitino.net/projects/siphon/ http://siphon.datanerds.net/ 2. P0f http://www.stearns.org/p0f/Hack攻击----进入系统Hack攻击----进入系统1. 扫描目标主机。 2. 检查开放的端口，获得服务软件及版本。 3. 检查服务是否存在漏洞，如果是，利用该漏洞远程进入系 统。 4. 检查服务软件是否存在脆弱帐号或密码，如果是，利用该帐号或密码系统。 5. 利用服务软件是否可以获取有效帐号或密码，如果是，利用该帐号或密码进入系统。 6. 服务软件是否泄露系统敏感信息，如果是，检查能否利用。 7. 扫描相同子网主机，重复以上步骤，直到进入目标主机或放弃。 Hack攻击----提升权限Hack攻击----提升权限1. 检查目标主机上的SUID和GUID程序是否存在漏洞，如果是，利用该漏洞提升权限(unix)。 2. 检查本地服务是否存在漏洞，如果是，利用该漏洞提升权限。 3. 检查本地服务是否存在脆弱帐号或密码，如果是，利用该帐号或密码提升权限。 4. 检查重要文件的权限是否设置错误，如果是，利用该漏洞提升权限。 5. 检查配置目录中是否存在敏感信息可以利用。 6. 检查用户目录中是否存在敏感信息可以利用。 7. 检查其它目录是否存在可以利用的敏感信息。 8. 重复以上步骤，直到获得root权限或放弃。 Hack攻击----善后处理Hack攻击----善后处理第三步：放置后门   最好自己写后门程序，用别人的程序总是相对容易被发现。   第四步：清理日志   删除本次攻击的相关日志，不要清空日志。Hack攻击----入侵检测Hack攻击----入侵检测1.扫描系统 2.根据结果打补丁，修补系统 3.检测系统中是否有后门程序Hack攻击----检测后门Hack攻击----检测后门A.察看端口 unix：lsof lsof –i tcp –n：察看所有打开的tcp端口 windows：fport fport /pHack攻击----检测后门Hack攻击----检测后门B.察看进程 unix：ps ps ex：察看所有运行的进程 windows：pslist C.杀掉进程 unix：kill windows：pskillHack攻击----检测后门Hack攻击----检测后门D：检查suid、guid程序(对于unix系统) find / -user root -perm -4000 –print find / -user root -perm -2000 -print E：对软件包进行校验(对于某些linux系统) which login rpm –qf /bin/login rpm –V util-linuxHack攻击----检测后门Hack攻击----检测后门F：检测/etc/passwd文件(unix) 1.陌生用户 2.口令为空的用户 3.uid或gid为0的用户 G：检测是否由sniffer程序在运行(unix) ifconfig Hack攻击----检测后门Hack攻击----检测后门H：检测系统中的隐藏文件(unix) find / -name ".*" -print I：检测系统中的LKM后门 chkrootkit(unix) kstat(linux) ksec(bsd) 黑客技术黑客技术1.口令破解 Unix口令破解工具：john the ripper http://www.openwall.com/john/ Windows nt、2000口令破解工具：L0phtCrack http://www.atstake.com/research/lc3/index.html 黑客技术黑客技术2.端口扫描与远程操作系统识别 Nmap:最好的端口扫描器和远程操作系统识别工具 http://www.insecure.org/nmap/ Xprobe:icmp远程操作系统识别工具 http://www.sys-security.com/html/projects/X.html 只需要发4个包就可以识别远程操作系统 黑客技术黑客技术3.sniffer技术 dsniff:多种协议的口令监听工具 http://naughty.monkey.org/~dugsong/dsniff FTP, Telnet,SMTP, HTTP, POP, poppass, NNTP, IMAP, SNMP, LDAP, Rlogin,RIP, OSPF, PPTP MS-CHAP, NFS, VRRP, YP/NIS, SOCKS, X11,CVS, IRC, AIM, ICQ, Napster, PostgreSQL, Meeting Maker,Citrix,ICA, Symantec pcAnywhere, NAI Sniffer, Microsoft SMB, Oracle SQL*Net, Sybase and Microsoft SQL protocols等等。 黑客技术黑客技术4. Hijack,tcp劫持技术 hunt:tcp连接劫持工具 http://lin.fsid.cvut.cz/~kra/#HUNT 综合利用sniffer技术和arp欺骗技术 黑客技术黑客技术5. 远程漏洞扫描技术—通用漏洞扫描工具 nessus:开源远程漏洞扫描工具 http://www.nessus.org/ Security assess:中科网威火眼网络安全评估分析系统 http://www.netpower.com.cn 黑客技术黑客技术6. 远程漏洞扫描技术—web漏洞扫描工具 whisker: http://www.wiretrip.net/rfp/p/doc.asp/i2/d21.htm twwwscan: http://search.iland.co.kr/twwwscan/ 黑客技术—缓冲溢出黑客技术—缓冲溢出 缓冲区返回地址攻击者输入的数据 黑客技术—hack iis黑客技术—hack iis黑客技术—hack ms sqlserver黑客技术—hack ms sqlserver黑客技术—hack ms sqlserver黑客技术—hack ms sqlserverWindows 2000 系统如何打补丁Windows 2000 系统如何打补丁1.执行wupdmgr.exe，单击产品更新，更新系统中软件到最新版本 2.然后下载HFNetChk http://download.microsoft.com/download/win2000platform/Utility/3.3/NT45/EN-US/Nshc332.exe 3.执行hfnetchk -v 4.依照提示提示从 http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/current.asp 下载最新的安全补丁。 黑客技术：Smurf 攻击黑客技术：Smurf 攻击Ping广播地址 源地址被设置为 被攻击者的ip黑客技术：Ping o’ Death 攻击黑客技术：Ping o’ Death 攻击攻击者产生碎片被攻击者收到碎片重组碎片Internet最后一个碎片 太大导致缓存 溢出buffer 65535 bytes黑客技术：Teardrop 攻击黑客技术：Teardrop 攻击第二个 碎片: 4 bytesoffsetendnew offsetlen = end - newoffset < 0memcpy( *dest, *src, len)unsigned int or unsigned longnull黑客技术：DDOSWIN95.MURBURG病毒 WIN95.MURBURG病毒 WIN95.HPS病毒WIN95.HPS病毒黑客技术：rootkit黑客技术：rootkit 黑客技术：rootkit黑客技术：rootkit _root_看不到了替换不安全的服务程序替换不安全的服务程序WU-FTPD：历史上的安全问题 Aug 1999: long dir name overflow Oct 1999: site newer DoS and overflows Jun 2000: site exec overflow Jan 2001: privatepw temp file problems Nov 2001: glob heap overflow 建议 关于小区增设电动车充电建议给教师的建议PDF智慧城市建议书pdf给教师的36条建议下载税则修订调整建议表下载 使用： http://vsftpd.beasts.org/或 http://www.proftpd.org/ 替换不安全的服务程序替换不安全的服务程序ISC BIND ：历史上的安全问题 Apr 1998: iquery overflow Nov 1999: NXT overflow Apr 2000: multiple DoS bugs Nov 2000: ZXFR DoS Feb 2001: TSIG et. al. overflows 建议使用： http://cr.yp.to/djbdns.html 替换不安全的服务程序替换不安全的服务程序Sendmail ：历史上的安全问题 Nov 1999: local sendmail problems Dec 1999: newaliases local DoS Apr 2000: mail.local header corruption May 2001: signal handler heap vuln Aug 2001: -d param memory overwrite Oct 2001: config overflow/not drop privs 建议使用： http://www.postfix.org/或 http://cr.yp.to/qmail.html http://cr.yp.to/qmail.html 替换不安全的服务程序替换不安全的服务程序HTTP Servers ： 尽量避免windows平台下的web server 静态内容建议使用： http://www.acme.com/software/thttpd/ 或 http://cr.yp.to/publicfile.html 动态内容建议使用： http://www.apache.org/ 加固IIS加固IIS1.改变缺省主目录到非系统盘 2.删除无用的虚拟目录 3.删除无用的应用程序映射 4.在脚本错误信息里将发送详细asp错误信息改为发送文本 5. 删除例子程序 inetpub\samples winnt\help\iishelp Program files\common files\system\msadc 6. 禁止父目录 内核安全内核安全Immunix System http://www.immunix.org/ Redhat linux + Stack Guard + Format Guard 阻止大部分的堆栈溢出和格式化字符串攻击 只能用于x86 ELF 体系。 null中国信息安全产品 测评认证中心 对外办公地点： 北京西三环北路27号 互联网址： www.itsec.gov.cn 电话：68428899 传真：68462942问题？问题？