文档介绍：第4章 Web网站安全部署
知识要点:Web系统的安全弱点,系统服务包和安全补丁,限制用户权限,文件系统安全,删除或禁用不必要的组件和服务,日志和审核,系统防病毒策略与案例。IIS的安全机制,设置IP地址限制、设置用户身份验证,设置Web服务器权限,控制IIS应用程序,审核IIS日志记录,安全加固工具及应用。防火墙和路由器应用,使用网络DMZ,虚拟专用网络。
重点知识:Web系统的安全弱点,系统服务包和安全补丁,删除或禁用不必要的组件和服务,日志和审核,系统防病毒策略,IIS的安全机制,身份验证,审核IIS日志记录,保护网络边界。
难点知识:Web系统的安全弱点分析,审核IIS日志记录,保护网络边界。
山东师范大学管理学院
Web系统的安全弱点
影响Web系统最常见的弱点
操作系统和应用程序的默认安装
使用弱口令或空口令的账号
无备份或者备份不完整
大量打开的端口
没有用于更正输入和输出地址的报文筛选
无日志或者日志不完善
易受攻击的CGI程序
恶意代码
山东师范大学管理学院
与平台相关的弱点
Unicode弱点(Web服务器文件夹遍历)
使用Microsoft的Unicode会产生弱点。通过将一个精心构造的包含无效Unicode UTF-8序列的URL发送到IIS服务器,攻击者可以强制该服务器遍历某个目录和执行任意的脚本。这种类型称为目录遍历攻击(Directory Traversal Attack)。如果攻击者一直前进,到达标为“executabil”的Microsoft IIS目录时,攻击者可以让自己加入的程序在该服务器上运行。
山东师范大学管理学院
与平台相关的弱点
缓冲区溢出
有几个DLL()中包含了程序设计错误,这些错误允许攻击者设置缓冲区溢出攻击,并安全控制IIS Web服务器。
大块的编码内存在默认时与IIS ISAPL扩展处理的过程中,会存在远程缓冲区溢出。
第三个缓冲区溢出情形,存在于提供限定符安全检查的方法中(适用于IIS )
缓冲区溢出弱点,还存在于服务器对文件名的有效性与大小检查的过程中。
当启用FTP服务时,IIS中会存在DoS弱点。
山东师范大学管理学院
与平台相关的弱点
无保护的Windows网络共享
BIOS协议)上的文件共享。
使用称为服务器消息块(SMB,Server Message Block)协议(该协议支持Windows文件共享)的Windows文件共享,也被攻击者用来获取敏感的系统信息。
通过空会话连接泄漏信息
SYSTEM账号具有事实上无限制的特权,并且在访问时不需要口令,因此管理员不能以SYSTEM登录。SYSTEM有时需要其他机器上的信息,如SMB共享、用户名等,即网上邻居类型的功能。因为它不能使用用户ID和口令登录到其他系统上,所以它使用空会话来获取访问权限。这样也就给攻击者提供了以空会话来进行登录的机会。
山东师范大学管理学院
与平台相关的弱点
安全账号管理器中的弱散列法
LAN Manager散列的主要缺点是它们总是被填充,或者截短至14个字符并被分解成两个部分,每部分7个字符,这种模式使得它们易于破解。口令破解程序只须破解两个7字符口令,甚至不需要测试小写字母。此外,LAN Manager易受口令散列的偷听攻击。这种缺陷影响Microsoft Windows NT和Windows 2000 计算机。
安全警告
一个易受攻击的Web站点,应立刻使用能够修复这些问题的Microsoft Service Packs 和Security Updates。
山东师范大学管理学院
源码类
目标码类
一对一
攻击
兑变式
攻击
非法权限类
蠕虫类(侵占资源)
传染类
操作系统类
文件类
攻击手段
一对一
攻击
兑变式
攻击
蠕虫类(侵占资源)
源码类
操作系统类
文件类
传染类
目标码类
系统欺骗
拒绝服务
入侵
特洛伊木马
窃取
非法权限类
系统欺骗
特洛伊木马
拒绝服务
入侵
窃取
安全攻击基本手段
山东师范大学管理学院
非法权限类
特洛伊木马
系统欺骗
拒绝服务
入侵
窃取
山东师范大学管理学院
一种未经授权的程序,或在合法程序中有一段未经授权的程序代码,或在合法程序中包含有一段用户不了解的程序功能。上述程序对用户来说具有恶意的行为。
PKZIP300
特洛伊木马
非法权限类
信息窃取类
逻辑炸弹类
陷阱入口类
功能欺骗类
山东师范大学管理学院
信息窃取类攻击系统权限
对任意用户进行FINGER请求
对一般用户正常响
应,保持原