史萊姆論壇

返回   史萊姆論壇 > 教學文件資料庫 > 網路軟硬體架設技術文件
忘記密碼?
論壇說明 標記討論區已讀

歡迎您來到『史萊姆論壇』 ^___^

您目前正以訪客的身份瀏覽本論壇,訪客所擁有的權限將受到限制,您可以瀏覽本論壇大部份的版區與文章,但您將無法參與任何討論或是使用私人訊息與其他會員交流。若您希望擁有完整的使用權限,請註冊成為我們的一份子,註冊的程序十分簡單、快速,而且最重要的是--註冊是完全免費的!

請點擊這裡:『註冊成為我們的一份子!』

Google 提供的廣告


 
 
主題工具 顯示模式
舊 2006-03-16, 07:51 AM   #1
psac
榮譽會員
 
psac 的頭像
榮譽勳章
UID - 3662
在線等級: 級別:30 | 在線時長:1048小時 | 升級還需:37小時級別:30 | 在線時長:1048小時 | 升級還需:37小時級別:30 | 在線時長:1048小時 | 升級還需:37小時級別:30 | 在線時長:1048小時 | 升級還需:37小時級別:30 | 在線時長:1048小時 | 升級還需:37小時
註冊日期: 2002-12-07
住址: 木柵市立動物園
文章: 17381
現金: 5253 金幣
資產: 33853 金幣
預設 網路安全連接阜篇

網路安全連接阜篇

通過限制防火牆連接阜防止黑客非法入侵



  一般來說,我們採用一些功能強大的反黑軟體和防火牆來保證我們的系統安全,本文擬用一種簡易的辦法——通過限制連接阜來說明 大家防止非法入侵。


  非法入侵的方式

 簡單說來,非法入侵的方式可粗略分為4種:

  1、掃瞄連接阜,通過已知的系統Bug攻入主機。

  2、種植木馬,利用木馬開闢的後門進入主機。

  3、採用資料溢位的手段,迫使主機提供後門進入主機。

  4、利用某些軟體設計的漏洞,直接或間接控制主機。

  非法入侵的主要方式是前兩種,尤其是利用一些流行的黑客工具,通過第一種方式攻擊主機的情況最多、也最普遍;而對後兩種方式來說,只有一些手段高超的黑客才利用,波及面並不廣泛,而且只要這兩種問題一出現,軟體服務商很快就會提供修正檔,及時修復系統。

  因此,如果能限制前兩種非法入侵方式,就能有效防止利用黑客工具的非法入侵。而且前兩種非法入侵方式有一個共同點,就是通過連接阜進入主機。

  連接阜就像一所房子(伺服器)的幾個門一樣,不同的門通向不同的房間(伺服器提供的不同服務)。我們常用的FTP預設值連接阜為21,而WWW網頁一般預設值連接阜是80。但是有些馬虎的網路管理員常常開啟一些容易被侵入的連接阜服務,比如139等;還有一些木馬程序,比如冰河、BO、廣外等都是自動開闢一個您不察覺的連接阜。那麼,只要我們把自己用不到的連接阜全部封鎖起來,不就杜絕了這兩種非法入侵嗎?

  限制連接阜的方法

  對於個人用戶來說,您可以限制所有的連接阜,因為您根本不必讓您的機器對外提供任何服務;而對於對外提供網路服務的伺服器,我們需把必須利用的連接阜(比如WWW連接阜80、FTP連接阜21、郵件服務連接阜25、110等)開放,其他的連接阜則全部關閉。

  這裡,對於採用Windows 2000或者Windows XP的用戶來說,不需要安裝任何其他軟體,可以利用「TCP/IP篩選」功能限制伺服器的連接阜。具體設定如下:

  1、右鍵點擊「網路芳鄰」,選項「內容」,然後雙按「本機連接」(如果是撥號上網用戶,選項「我的連接」圖示),彈出「本機連接狀態」對話視窗。

  2、點擊[內容]按鈕,彈出「本機連接內容」,選項「此連接使用下列項目」中的「Internet傳輸協定(TCP/IP)」,然後點擊[內容]按鈕。

  3、在彈出的「Internet傳輸協定(TCP/IP)」對話視窗中點擊[進階]按鈕。在彈出的「進階TCP/IP設定」中,選項「選項」標籤,選「TCP/IP篩選」,然後點擊[內容]按鈕。

  4、在彈出的「TCP/IP篩選」對話視窗裡選項「啟用TCP/IP篩選」的複選框,然後把左邊「TCP連接阜」上的「只允許」選上(請見附圖)。

  這樣,您就可以來自己增加或移除您的TCP或UDP或IP的各種連接阜了。

  增加或者移除完畢,重新啟動機器以後,您的伺服器就被保護起來了。

  最後,提醒個人用戶,如果您只上網瀏覽的話,可以不增加任何連接阜。但是要利用一些網路聯絡工具,比如OICQ的話,就要把「4000」這個連接阜開啟,同理,如果發現某個常用的網路工具不能起作用的時候,請搞清它在您主機所開的連接阜,然後在「TCP/IP篩選」中增加連接阜即可。
Windows 2000日誌的描述及移除
日誌文件通常有應用程式日誌,安全日誌、系統日誌、DNS伺服器日誌、FTP日誌、WWW日誌等等,可能會根據伺服器所開啟的服務不同。當我們用流光探測時,比如說IPC探測,就會在安全日誌裡迅速地記下流光探測時所用的用戶名、時間等等,用FTP探測後,也會立燒在FTP日誌中記下IP、時間、探測所用的用戶名和密碼等等。甚至連流影啟動時需要msvcp60.dll這個動庫連接庫,如果伺服器沒有這個文件都會在日誌裡記錄下來,這就是為什麼不要拿國內主機探測的原因了,他們記下你的IP後會很容易地找到你,只要他想找你!!還有Scheduler日誌這也是個重要的LOG,你應該知道經常使用的srv.exe就是通過這個服務來啟動的,其記錄著所有由Scheduler服務啟動的所有行為,如服務的啟動和停止。 日誌文件預設值位置:
應用程式日誌、安全日誌、系統日誌、DNS日誌預設值位置:
%sys temroot%\sys tem32\config
預設值文件大小512KB,管理員都會改變這個預設值大小。 安全日誌文件:%sys temroot%\sys tem32\config\SecEvent.EVT 系統日誌文件:%sys temroot%\sys tem32\config\SysEvent.EVT 應用程式日誌文件:%sys temroot%\sys tem32\config\AppEvent.EVT Internet訊息服務FTP日誌預設值位置:%sys temroot%\sys tem32\logfiles\msftpsvc1\,預設值每天一個日誌
Internet訊息服務WWW日誌預設值位置:%sys temroot%\sys tem32\logfiles\w3svc1\,預設值每天一個日誌
Scheduler服務日誌預設值位置:%sys temroot%\schedlgu.txt 以上日誌在註冊表裡的鍵:
應用程式日誌,安全日誌,系統日誌,DNS伺服器日誌,它們這些LOG文件在註冊表中的:
HKEY_LOCAL_MACHINE\sys tem\CurrentControlSet\Services\Eventlog
有的管理員很可能將這些日誌重定位。其中EVENTLOG下面有很多的子表,裡面可查到以上日誌的定位目錄。
Schedluler服務日誌在註冊表中
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchedulingAgent
FTP日誌詳解:
FTP日誌和WWW日誌預設值情況,每天產生一個日誌文件,包含了該日的一切記錄,檔案名通常為ex(年份)(月份)(日期),例如ex001023,就是2000年10月23日產生的日誌,用記事本就可直接開啟,如下例:
#Software: Microsoft Internet Information Services 5.0 (微軟IIS5.0)
#Version: 1.0 (版本1.0)
#Date: 20001023 0315 (服務啟動時間日期)
#Fields: time cip csmethod csuristem scstatus
0315 127.0.0.1 [1]USER administator 331 (IP位址為127.0.0.1用戶名為administator試圖登入)
0318 127.0.0.1 [1]PASS – 530 (登入失敗)
032:04 127.0.0.1 [1]USER nt 331 (IP位址為127.0.0.1用戶名為nt的用戶試圖登入)
032:06 127.0.0.1 [1]PASS – 530 (登入失敗)
032:09 127.0.0.1 [1]USER cyz 331 (IP位址為127.0.0.1用戶名為cyz的用戶試圖登入)
0322 127.0.0.1 [1]PASS – 530 (登入失敗)
0322 127.0.0.1 [1]USER administrator 331 (IP位址為127.0.0.1用戶名為administrator試圖登入)
0324 127.0.0.1 [1]PASS – 230 (登入成功)
0321 127.0.0.1 [1]MKD nt 550 (新增目錄失敗)
0325 127.0.0.1 [1]QUIT – 550 (結束FTP程序) 從日誌裡就能看出IP位址為127.0.0.1的用戶一直試圖登入系統,換了四次用戶名和密碼才成功,管理員立即就可以得知管理員的入侵時間、IP位址以及探測的用戶名,如上例入侵者最終是用administrator用戶名進入的,那麼就要考慮更換此用戶名的密碼,或者重新命名administrator用戶。
WWW日誌
WWW服務同FTP服務一樣,產生的日誌也是在%sys temroot%\sys tem32\LogFiles\W3SVC1目錄下,預設值是每天一個日誌文件,下面是一個典型的WWW日誌文件
#Software: Microsoft Internet Information Services 5.0
#Version: 1.0
#Date: 20001023 03:091
#Fields: date time cip csusername sip sport csmethod csuristem csuriquery scstatus cs(UserAgent)
20001023 03:091 192.168.1.26 192.168.1.37 80 GET /iisstart.asp 200 Mozilla/4.0+(compatible;+MSIE+5.0;+Windows+98;+DigExt)
20001023 03:094 192.168.1.26 192.168.1.37 80 GET /pagerror.gif 200 Mozilla/4.0+(compatible;+MSIE+5.0;+Windows+98;+DigExt) 通過份析第六行,可以看出2000年10月23日,IP位址為192.168.1.26的用戶通過訪問IP位址為192.168.1.37機器的80連接阜,檢視了一個頁面iisstart.asp,這位用戶的瀏覽器為compatible;+MSIE+5.0;+Windows+98+DigExt,有經驗的管理員就可通過安全日誌、FTP日誌和WWW日誌來確定入侵者的IP位址以及入侵時間。
既使你刪掉FTP和WWW日誌,但是還是會在系統日誌和安全日誌裡記錄下來,但是較好的是只顯示了你的機器名,並沒有你的IP,例如上面幾個探測之後,系統日誌將會產生下面的記錄: 一眼就能看出2000年10月23日,16點17分,系統因為某些事件出現警告,雙按頭一個,開啟它的內容。內容裡記錄了出現警告的原因,是因為有人試圖用administator用戶名登入,出現一個錯誤,來源是FTP服務。同時安全記錄裡寫將同時記下: 可以看到兩種圖示:鑰匙(表示成功)和鎖(表示當用戶在做什麼時被系統停止)。接連四個鎖圖示,表示四次失敗稽核,事件檔案類型是帳戶登入和登入、註銷失敗,日期為2000年10月18日,時間為1002,這就需要重點觀察。
雙點第一個失敗稽核事件的,即得到此事件的詳細描述。 分析我們可以得知有個CYZ的工作站,用administator用戶名登入本地機,但是因為用戶名未知或密碼錯誤(實際為密碼錯誤)未能成功。
另外還有DNS伺服器日誌,不太重要,就此略過。 知道了Windows2000日誌的詳細情況,下面就要學會怎樣移除這些日誌:
通過上面,得知日誌文件通常有某項服務在後台保護,除了系統日誌、安全日誌、應用程式日誌等等,它們的服務是Windos2000的關鍵工作,而且與註冊表文件在一塊,當Windows2000啟動後,啟動服務來保護這些文件,所以很難移除,而FTP日誌和WWW日誌以及Scedlgu日誌都是可以輕易地移除的。
首先要取得Admnistrator密碼或Administrators組成員之一,然後Telnet到遠端主機,先來試著移除FTP日誌:
D:\SERVER>del schedlgu.txt
D:\SERVER\SchedLgU.Txt
工作無法存取檔案,因為另一個程序正在使用此文件。
說過了,後台有服務保護,先把服務停掉!
D:\SERVER>net stop "task scheduler"
下面的服務依賴於 Task Scheduler 服務。
停止 Task Scheduler 服務也會停止這些服務。 Remote Storage Engine 是否繼續此操作? (Y/N) [N]: y
Remote Storage Engine 服務正在停止....
Remote Storage Engine 服務已成功停止。 Task Scheduler 服務正在停止.
Task Scheduler 服務已成功停止。
OK,它的服務停掉了,同時也停掉了與它有依賴關係的服務。再來試著刪一下!
D:\SERVER>del schedlgu.txt
D:\SERVER>
沒有反應?成功了!下一個是FTP日誌和WWW日誌,原理都是一樣,先停掉相關服務,然後再刪日誌!
D:\SERVER\sys tem32\LogFiles\MSFTPSVC1>del ex*.log D:\SERVER\sys tem32\LogFiles\MSFTPSVC1>
以上操作成功移除FTP日誌!再來WWW日誌!
D:\SERVER\sys tem32\LogFiles\W3SVC1>del ex*.log D:\SERVER\sys tem32\LogFiles\W3SVC1>
OK!恭喜,現在簡單的日誌都已成功移除。下面就是很難的安全日誌和系統日誌了,守護這些日誌的服務是Event Log,試著停掉它!
D:\SERVER\sys tem32\LogFiles\W3SVC1>net stop eventlog
這項服務無法接受請求的 "暫停" 或 "停止" 操作。
KAO,I 服了 U,沒辦法,它是關鍵服務。如果不用第三方工具,在指令行上根本沒有移除安全日誌和系統日誌的可能!所以還是得用雖然簡單但是速度慢得當機的辦法:開啟「控制台」的「系統管理工具」中的「事件檢視器 」(98沒有,知道用Win2k的好處了吧),在表單的「操作」項有一個名為「連線到另一台電腦」的表單。選項遠端電腦的安全性日誌,右鍵選項它的內容: 點擊內容裡的「清除日誌」按鈕,OK!安全日誌清除完畢!同樣的忍受痛苦去清除系統日誌! 目前在不借助第三工具的情況下,能很快,很順利地清除FTP、WWW還有Schedlgu日誌,就是系統日誌和安全日誌屬於Windows2000的嚴密守護,只能用本機的事件檢視器 來開啟它,因為在圖形介面下,加之網速又慢,如果你銀子多,時間閒,還是可以清除它的。綜上所述,介紹了Windows2000的日誌文件以及移除方法,但是你必須是Administrator,注意必須作為管理員或管理組的成員登入才能開啟安全日誌記錄。該程序適用於 Windows 2000 Professional 電腦,也適用於作為獨立伺服器或成員伺服器執行的 Windows 2000 Server 電腦。 雖然FTP等等日誌可以很快清除,但是系統日誌和安全日誌卻不是那麼快、那麼順利地能移除,如果遇到聰明的管理員,將日誌文件轉移到另一個地方,那更是難上加難,所以奉勸大家,千萬不要拿國內的主機做試驗,國內的法律很嚴呀!今天吃飯時,聽說有兩個人開玩笑,一個人把另外一個人的東西藏起來了,結果那個人一急,報案了,於是藏東西那個人被判四年刑!!法官說法律是不開玩笑的!!!所以大家一定要牢記這點! 鑰匙(表示成功)和鎖(表示當用戶在做什麼時被系統停止)。接連四個鎖圖示,表示四次失敗稽核,事件檔案類型是帳戶登入和登入、註銷失敗,日期為2000年10月18日,時間為1002,這就需要重點觀察。雙點第一個失敗稽核事件的,即得到此事件的詳細描述。 知道了Windows2000日誌的詳細情況,下面就要學會怎樣移除這些日誌:
通過上面,得知日誌文件通常有某項服務在後台保護,除了系統日誌、安全日誌、應用程式日誌等等,它們的服務是Windos2000的關鍵工作,而且與註冊表文件在一塊,當Windows2000啟動後,啟動服務來保護這些文件,所以很難移除,而FTP日誌和WWW日誌以及Scedlgu日誌都是可以輕易地移除的。
首先要取得Admnistrator密碼或Administrators組成員之一,然後Telnet到遠端主機,先來試著移除FTP日誌:
D:\SERVER>del schedlgu.txt
D:\SERVER\SchedLgU.Txt
工作無法存取檔案,因為另一個程序正在使用此文件。
說過了,後台有服務保護,先把服務停掉!
D:\SERVER>net stop "task scheduler"
下面的服務依賴於 Task Scheduler 服務。
停止 Task Scheduler 服務也會停止這些服務。 Remote Storage Engine 是否繼續此操作? (Y/N) [N]: y
Remote Storage Engine 服務正在停止....
Remote Storage Engine 服務已成功停止。 Task Scheduler 服務正在停止.
Task Scheduler 服務已成功停止。
OK,它的服務停掉了,同時也停掉了與它有依賴關係的服務。再來試著刪一下!
D:\SERVER>del schedlgu.txt
D:\SERVER>
沒有反應?成功了!下一個是FTP日誌和WWW日誌,原理都是一樣,先停掉相關服務,然後再刪日誌!
D:\SERVER\sys tem32\LogFiles\MSFTPSVC1>del ex*.log D:\SERVER\sys tem32\LogFiles\MSFTPSVC1>
以上操作成功移除FTP日誌!再來WWW日誌!
D:\SERVER\sys tem32\LogFiles\W3SVC1>del ex*.log D:\SERVER\sys tem32\LogFiles\W3SVC1>
OK!恭喜,現在簡單的日誌都已成功移除。下面就是很難的安全日誌和系統日誌了,守護這些日誌的服務是Event Log,試著停掉它!
D:\SERVER\sys tem32\LogFiles\W3SVC1>net stop eventlog
這項服務無法接受請求的 "暫停" 或 "停止" 操作。 它是關鍵服務。如果不用第三方工具,在指令行上根本沒有移除安全日誌和系統日誌的可能!所以還是得用雖然簡單但是速度慢得當機的辦法:開啟「控制台」的「系統管理工具」中的「事件檢視器 」(98沒有,知道用Win2k的好處了吧),在表單的「操作」項有一個名為「連線到另一台電腦」的表單。輸入遠端電腦的IP,然後點支煙,等上數十分鍾,忍受象當機的折磨。選項遠端電腦的安全性日誌,右鍵選項它的內容: 點擊內容裡的「清除日誌」按鈕,OK!安全日誌清除完畢!同樣的忍受痛苦去清除系統日誌! 目前在不借助第三工具的情況下,能很快,很順利地清除FTP、WWW還有Schedlgu日誌,就是系統日誌和安全日誌屬於Windows2000的嚴密守護,只能用本機的事件檢視器 來開啟它,因為在圖形介面下,加之網速又慢,如果你銀子多,時間閒,還是可以清除它的。綜上所述,介紹了Windows2000的日誌文件以及移除方法,但是你必須是Administrator,注意必須作為管理員或管理組的成員登入才能開啟安全日誌記錄。該程序適用於 Windows 2000 Professional 電腦,也適用於作為獨立伺服器或成員伺服器執行的 Windows 2000 Server 電腦。
終端方式登入的日誌記錄 關於用遠端終端服務登入伺服器日誌究竟會不會被紀錄?何種情況下才能紀錄日誌?做了以下測試。 這裡先交待一下:
伺服器名:ABUSERVER
客戶端機名:ABUPC13 客戶端機的IP:192.168.0.13 登入所用的帳號:Administrator
本機安全原則裡面開啟:稽核登入事件 測試一:
用終端服務的方式登入伺服器,並正常註銷結束,檢視安全稽核的日誌記錄如下:
登入成功:
用戶名: Administrator
域: ABUSERVER 登入 ID: (0x0,0x1D0B52)
登入檔案類型: 2
登入程序: User32
身份驗證程序包: Negotiate
工作站名: ABUSERVER 用戶註銷:
用戶名: Administrator
域: ABUSERVER 登入 ID: (0x0,0x1D0B52)
登入檔案類型: 2 很奇怪吧,因為並沒有看到有自己的IP或者機器名被記錄下來。而且在登入時紀錄的工作站名: ABUSERVER (這不是伺服器的名字嘛) 測試二:
正常登入上伺服器以後,選項中斷連線,臨時中斷當前會話,然後再次使用客戶端連接上伺服器,在安全日誌裡出現了以下記錄:
 
會話從 winstation 中斷連接:
用戶名: administrator
域: ABUSERVER
登入 ID: (0x0,0x1D0B52)
會話名稱: Unknown
客戶端名: ABUPC13
客戶端位址: 192.168.0.13 會話被重新連線到 winstation:
用戶名: administrator
域: ABUSERVER
登入 ID: (0x0,0x1BE7BA)
會話名稱: RDP-Tcp#7
客戶端名: ABUPC13
客戶端位址: 192.168.0.13
這次,自己客戶端機名以及當時的IP都被記錄下來了。 測試三:
正常連接伺服器,輸入錯誤的密碼,再輸入到第6次(預設安全組態情況下)終端服務視窗關閉。 重新連接登入後,檢查日誌出現以下紀錄: 在系統日誌裡:
來自客戶端名 ABUPC13 的遠端會話超出了所允許的失敗登入最大次數。強行終止了會話。 在安全日誌裡:
登入失敗:
原因: 用戶名未知或密碼錯誤
用戶名: administrator
域: ABUSERVER
登入檔案類型: 2
登入程序: User32
身份驗證程序包: Negotiate
工作站名: ABUSERVER 到這裡,分析了各種不同環境下登入終端伺服器的日誌紀錄效果。 這樣看來,是不是清楚了很多?也許有朋友會奇怪為什麼在第一個日誌記錄中,工作站名也是伺服器的名稱而不是我用來登入的客戶端機的名稱。 原因是因為在以終端方式登入的時候,系統實際上是以 虛擬桌面、本機登入 的方式進行記錄,自然沒有對真正 用戶的紀錄咯。 所以總結如下:
1、當一個用戶以終端方式登入伺服器的時候,如果正常結束,伺服器上的日誌中,將不會記錄你的IP,機器名。
2、當用戶以終端方式登入後又發生了中斷,這時候系統才會紀錄客戶端機的IP以及機器名。
3、當密碼輸入錯誤導致連接終止時,在系統日誌裡會留下客戶端機的機器名訊息。 系統在紀錄終端方式的客戶端機IP位址的時候,如果你的客戶端機處於一個區域網路中,通過透明網路閘道的方式訪問伺服器,在伺服器上留下的IP也只是你局內網的IP位址,看來,單純依靠微軟的日誌紀錄,還是難免會有疏漏的。
__________________
http://bbsimg.qianlong.com/upload/01/08/29/68/1082968_1136014649812.gif
psac 目前離線  
送花文章: 3, 收花文章: 1631 篇, 收花: 3205 次
 


主題工具
顯示模式

發表規則
不可以發文
不可以回覆主題
不可以上傳附加檔案
不可以編輯您的文章

論壇啟用 BB 語法
論壇啟用 表情符號
論壇啟用 [IMG] 語法
論壇禁用 HTML 語法
Trackbacks are 禁用
Pingbacks are 禁用
Refbacks are 禁用


所有時間均為台北時間。現在的時間是 05:55 AM


Powered by vBulletin® 版本 3.6.8
版權所有 ©2000 - 2024, Jelsoft Enterprises Ltd.


SEO by vBSEO 3.6.1