（计算机应用技术专业论文）intranet漏洞自动检测修复系统的设计与实现.pdf

i n t r a n e t 漏洞自动检测修复系统 的设计与实现 摘要 传统的i n t r a n e t 安全防御体系构建在防火墙、入侵检测以及各种认证技术之 上，理论上能够达到相当商程度的安全控制。然而，由于在实际应用中防火墙、 入侵检测系统往往嫩以配鬟，赝以一旦这些系统配爨不当，娥会使德攻击者绕过 甚瑟突破各种防御措施而进入i n t r a n e t 。因此，一个i n t r a n e t 安全与否，很大程度 上取决于网终营理煲对i n t r a n e t 鲍了惩程度以及i n t r a n e t 中每台主掇瓣安全焉爰疆。 目前，有许多工具可以用来帮助网络管理员了解网络以及网络中主机的运行状 态，经这些工兵都其有蛋鑫豹餍羧穆。溺络篱理员豫了需要蔡备坚安静安全知谚 外，往往还需要付出大量的时间和精力来手动分析这些工具产生的报告。事实上， 隧绣管理员瀚能力往往是有限的，因此很难发挥出备种工其应有的作用。 针对上述问题，本论文提出了一个i n t r a n e t 漏洞岛动检测修复系统( i r s ) ， 它能够对己知的网络漏洞进行自动稔测甚至修补。针对漏洞的多样性和发展性， 该系统采用了灵活的模块捶传结构，具有缀强的可扩展性嚣集残蛙。该系统支持 自定义的p l g 和p e r l 两种插件。通过这两种插件，i v a r s 不仅能够有效地整合各 类聪蠢酶工暴( 如n m a p 、f p o r t ) ，还戆够铮对薪熬潺潺扩矮程应瓣捡镶模浚。 此外，w a r s 的插件编写规范相对简单，第三方很容易就能编写自己的检测模块。 螽巢这些穰缓被广泛共享，就能解决个久麓力有限静难题。 论文首先介绍了器种网络漏洞的分类、原理及可能带来的恁害，然后着黧描 述了不同操作系统下( w i n d o w s 和l i n u x ) 溢出漏洞的原理、攻击步骤。在此基 础上，给出了i v a r s 的框絮结构并阐述了i v a r s 的捶终结椽及捶彳串运霞极铡， 介绍了如何针对不同的操作系统迸行漏洞修补的方法。 最后，论文对w a r s 系绞遴牙了惩结分辑，荠鬟穗了进步发溪豹方囊。 关键词：网络安全，安全漏洞，漏洞探测，漏洞修复 f i h_w_h_mhmww_一一 r e s e a r c ha n d i m p l e m e n t a t i o n o fi n t r a n e t v u l n e r a b i l i t i e s a u t o r e m o v i n gs y s t e m a b s t r a c t a nt r a d i t i o n a li n t r a n e td e f e n s i v ea r c h i t e c t u r e 逸b u i l tu p o nt h ea p p l i c a t i o no ff i r e w a t l ，固sa n d v a r i o u sk i n d so fs o - c a l l e da u t h e n t i c a t i o n s t h e o r e t i c a u y , t h i sa r c h i t e c t u r ec a np r e v e n tf r o mm o s t i n t r u s i o n , b u ti nf a c tt h i si sn o ta b s o l u t e i n t r u d e r sm a yg e tt h r o u g ht h ed e f e n s i v es y s t e ma n d d i r e c t l yc o m e 奶t h e d e v i c e si nt h ei n t r a n a td u et ow r o n g c o n f i g u r a t i o n s ，t h e r e f o r e , t h es e c u r i 移o f a ni n t r a n e td e p e n d sh e a v i l yo ni t sa d m i n i s t r a t o r o fc o u r s e ，i n t m n e ta d m i n i s t r a t o r sh a v em a n y c h o i c e st os e l e c t e x i s t i n gt o o is o 矗s 铯h e l pt h e mt 。s e a t it h e i rn e t w o r k , f i n d 硼艳黻黼i 壤辞a n d g e n e r a t er e p o r t s h o w e v e r , e a c ht o o l h a si t so w nl i m i ta n do t lt h eo t h e rh a n d ，i tm a yd e m a n d a d m i n i s i x a t o r s m u c ht i m ea n da b u n d a n tk n o w l e d g e 。 t h i sp a p e rd e s c r i b e s 搴娃鲥g 艇lf r a m e w o r k , i n t r a n e tv u k t e r a b i t l t i e sa u t o - r e m o v i n gs y s t e m ( i v a r s ) ，w h i c hc a ns c a nv u l n e r a b i l i t i e sa n df i xt h e mo u ta u t o m a t i c a l l y t h ea r c h f f e c t u r eo f t v a r si se x t e m i b l eb e c a u s e 琵u s e saf l e x i b l em o d u l a rp & 哥mt e c l m o l o g y t v a r sc a l ls u p p o r t t v v ot y p e so f p l u g - i n s ，o n ei sp i gp t u 9 4 na n d t h eo t h e ri sp e r tp l u g - i n t h r o u g ht h e s et w o t y p e so f p l u g - i n s ，i v a r sc a ni n t e g r a t em a n ye x i s t i n gt o o l sv e r yw e l l ，刘曲a sn m a p a n d f p o f t ，a n dc a l lb e e a s i l ya d d e dn e wm o d u l e s t os u p p o r tt or l o v en e wv u l n e r a b i l i t i e s ，w h a t sm o r ei m p o r t a n t , p l u g - i n s f o ri v a r sc a nb e e a s i l yp r o g r a m m e db yt h e t h i r dp a r t y a n df u i t h e r m o r e i ft h e s e p l u g - i n sc o u l d b es h a r e df r e e l y , t v a r sc a ng e tm u c hm o t ee x c e l l e n tp e r f o r m a n c e 。 f 蹴筑t h i sp a p e rd e s c r i b e sc a t e g o r i e so f w a l n e m h i l i t l e sa n dd a n g e r sb m u g h t 跨t h e m ，a n dt h e n p a r t i c u l a r l y d e s c r i b e sh o wt o e x p l o i t o v e r f l o w v u l n e r a b i l i i y u n d e rw i n d o w sa n dl i n u x f u r t h e r m o ，i ti l l u s t r a t e st h ea r c h i t e c t o r e 醴p i u g - i nw h i c hm a k e si v a r sm u c he x t e n s i b l ei n d e t a i l s f i n a l l y , i ta l s od e p i c t sh o w t of i xo u tv u l n e r a b i l i t i e su n d e rv a r i o u so p e r a t i n g s y s t e m s k e y w o r d s ：n e t w o r ks e c u r i t y , s e c u r i t y v u l n e r a b i l i t y , v u l n e r a b i l i t yd e t e c t i o n 十v u l n e r a b i l i t y f i x 。 i i i 致谢 颁士研究血的三年生活如白驹过隙一般，一眨眼间已经走到了尽头。这三年之中的学习、 生活，都已成为我人生经历中界可磨灭的一部分，也是最宝贵的部分。无论多么感激的词 语、多么华丽的词藻，耆| l 难以衷速我此刻内中这份喜哀交杂的感觉。 首先要感谢的是我的导师张建忠。张漕师严谨的治学态度，极太程度地改变了我懒散、 随意砖牲格：为我今詹耱麦最轾洚了障礴。英蚕棼言笑薛糖诤，驻绞潦鸯于露攀生黩受费争 关心。遗憾的是，直到即将毕业的今天，自己才能真切的感受到这一点。 衷心感谢羡磅宜老簿、徐簸农老师和韩毅剐鸯帮。与昊老师棼每次谈话，无论谈论治擎 之道还是为人之道，都令我受益良多。徐者师为人谦逊、待人和蔼，令我深深体会到如沭春 风的感觉。韩老师来实验室的次数虽然幂多，但通过通信课程的学习，韩老师严谨的治学态 度和渊博的专业知识都令我钦佩不已。 感谢刘涛师兄、肖建华师兄、邱林师兄、华军师兄和郑瑞师妞。感谢你们在学习、生活 上带给我砖种特快乐和进步，是你们夸我感受到炙验室大家庭的温暖； 感谢陆爽、卢明华、周思儒、陆炜和胡金娟等各位同僚。在我遇到困难的时候，你们的 帮助给了我莫走媳鼓黪抟安慰。 感谢方艳湘、练书成、金宇、牛晓光蒂师弟。你们让我认识到师兄也不能倚老卖老，还 有攘多需要岛簿弟稍擎习的地穷。 感谢陈爱和、胡晓焚、王宁、赵齐、则继昆、何云及实验室的所有成员们，谢谢你们在 我最蓐的校国生活里带路我的种种快乐。 感谢樊智碧、张文华、刘铁罗、末新其、薛雷、张新波。感谢你钔三年慕忍受我在穗舍 的胡作非为、深更半夜的挑灯夜读以及术负责任的大侃特侃。 感落辛鬏、王豆豆。辞典戆菇莠嚣为馋搦而雯褥多彰多凑，希望髂镪能够永远映乐、采 远幸福。 最詹需要感鬻的是我的毒人饲。父母的养育之蕊、教导之清，穷我一生不能霹报，只能 要求自己做到更好，以求父母欣慰。我的女友吴颖令我时时感受到的责任感，也始终激励着 我努力前进。楚你们给了我生活、学习的动力，让我时刻试识到自己的幼稚和种种不足。 2 0 0 4 年5 月于南开园 第1 章引言 l 引言 簇着诗算梃技术及藻痘薅豹飞速发麓，越亲越多静公竭帮蔽稳开始享震耀络提供静静种 便捷服务。与此同时，越来越多的敏感数据也不得不暴露在各种网络环境中，为非授权访问 提供v 可能性，信息安全问题已成为亟待解决的璧大问题e 巍对各辞各群的入侵者戳及越来越薪奇和复杂的攻击，无论霆防火麓、瘸海防范、加密 认证、漏洞检测、数据恢复还是入侵检测替技术都已不能独自胜任保护网络和计算机安全的 重任。 1 i 传统网络防御体系 基于传统技术的i n t r a n e t 安全体系缩构一般至少包括夕 部入侵检测、夕 部防火墙、内 嫠入侵检测、掰z 区域、蠹郝防火蘧五个部分，麴阉1 ，l 掰示： 蠲1 1 典型的i n t r a n e t 两络防御休系 防火墙跫最常觅的安全产品，一般位于网络边界，防范来自外阏的攻击。防火墙般 由由路由器或者安装丁双网卡的堡垒主机构成，首先在物理上隔断了内外部网络的连 接，然压透过镪_ 蓬滤、代理氍关或多瑟状态撬等方式采控裁凌终露弼终之藤数蠹壤文熬投灌， 从而遮至保证内阿安全的目的。然而，从本质上讲，防火墙只是降低了内网主机漏洞的黎露 程度而不是彻底的消除漏洞。在煦型i n t r a n e t 网络防御体系中，外部防火墙用来将蹦z 与 i n t e r n e t 隔离开，肉鄂防炙墙麓来将i n t r a n e t 与澌z 隔离开。 入侵检测系统般位于网络内部，以监听的方式工作，并且能够以一定的方式对梭测 出魄入侵行为馋出响应，是防火攮之后的第二道屏障。实际应震中可以采鼹s n o r t 2 这类琵 源工蒜或r e a l s e c u r e 3 这类商批化产品作为入侵检测系统。在一个典型的网络防御体系中， 可以采用外部入侵检测与内部入侵检测相结合的方式。这样不仅能够增加入侵检测的可靠 洼，述缝移逶避对照蠹静鼙a 霞检溅系统麴基志，验谨凄酶必壤是否避行了燕臻静琵嚣。就 外，由于入侵梭测系统彼于内部网络，还能够对从内部发起的攻击谶行监控。 d m z 区域用于隔离i n t r a n e t 和i n t e r n e t ，一般用来放鼹供i n t e r n e t 访嬲的公共服务 第1 章引言 器，如w 孵服务器和f r p 服务器等 4 。即使攻击者攻破步卜鄢防火墙，取得公筵服务器的管 理权限，也不能轻易突破内部防火墙侵入i n t r a n e t 。 1 2 传统网络防御体系的局限性 1 防火墙的局限 生 摄然理论上防火墙够阻挡绝大部分外部攻击+ 但是其实际应用上却存在搬多阉题c 5 ： h 包过滤防火墒县有耗费捺源少、对网络性能影响小等优点，而且技术成熟，魑目前 应用晟为广泛的防火墙类型，但其同时具窍配置复杂、更新速度慢等缺点，使得信息的5 制 访瓣与系统瓣荔蠲缝辅功能蛙藏为不可调耪静矛麓。因魏，实际盔簿中大部分色过滤防火墙 都会因为配置不当出现种种安全漏洞，被攻击者利用。 蕞 代理嬲关能够精确蛉控巷i 各静成月连接，健不其萎对客户啦透噬性。鼗， ，对于应 用程序漏洞檄难进行防护。 h 多层状态机综台了包过滤防火墙及代理网燕的功能，并通过维护应用层状态机来实 理魄骏完善的防辫，毽疑黠其程实璃、瑟嚣复杂，对隧络瞧麓影瘸丈、容易藏为整个掰络藏 颈等缺点。 2 。入侵梭测系统的是隈性 人侵检铡系统可以分为两种：误用检测和异常检测l 6 j 。 基于误用的入侵检测系统通过把已知攻击行为抽取为特定模式( 特征字符串、规则铸) ， 然嚣据箍系统菠禚络鼗攒包班发现与溉宠模式匹配瓣攻击；嚣异常检测委l 认为入侵与蠲户或 程序的异常性有很强的荚联，它的主要思想就是建立被监测对象( 般是操作系统或网络) 的行为活动的基线，然露标记那蝗与此基线相差缀大的异常行为，即可能的入侵。 蔟予异鬻瓣入侵检测系统通过比较系统当前的灞动与班前的话动，如栗发现异常，则报 警或记录日志。这种检测方法基于这样一种假设：对系统漏涧的攻击往往涉及刘对系统异常 的使用。因此，a 侵缝往可默遴过系统黪异常攘式捡熨出来。 遮两种检测系统在燕际应用中均有着篡各自的优缺点1 7 j ： 斑 基于谡用的检测系统检测效率赢、误报率低。但是梭测静可骥程度强烈痿靠予捡溅 系统糖取的攻击特征霹，如果特征库不能及时更新，检测的可靠性就褥不到保证。此外，随 着攻击类型的不断增多，特征库中的规则也随之增多，检测时需要哩配的规则也逐渐增多， 敲纛影睫匿醚梭溅戆效率。 h 基于异常的检测系统可以检测出各种未知攻击，但具有误报率高、训练过程复杂、 结构庞大，执行效率低等缺点，髑且就实际应用而卷，异常模型往往只自检测到有限种类的 攻击。 鼠然将基于瀑用和糕于异常的入侵检测相结合邂渐成为应用的发展方向，但就且前的实 际清凝来说，泼粪系统遥燕子毽论研究输段，离成熟豹商敦产晶还鸯一段踅离8 。 1 3 网络中主祝安全的重要性 在一个实器蕊络貉辫体系中，往往出予各种豌实原因，魏防灾墙粥置失误、客户安酝意 识淡薄等，使得实际防御体系的安全程度远远低f 理论研究水平，从而导致i n t r a n e t 的安 2 第1 章日i 言 豳1 2 一十幂安全的脚络防御体絮 如图l2 所示，即使内部和外部防火墒均配置越确，该网络防御体系至少迩具有两个明 萋灞瓣： 埘 i n t r a n e t 中若肖主机通过拨号盥攘联入i n t e r n e t ，所有的腑火墙控制将被绕道， 攻老者麓够蠢接经天i n t r a n e t 。 谢 如栗弼线接 点发射功率过大，无线两信号可能被发送到邻i 疆的建筑，为非信经物 理区域的攻击嚣提供接a 的可能，从而将i n t r a n e t 的拓扑结构以及其中的设备、主机翘接 暴露绘袭击者。 此外，即使防火墙得剿精心的配置，熟练的攻街者也有词。能利用n m z 中公熬服务器的漏 潺彀褥鼹务器麴控裁投。在筵羹麓主，竣击者霹躐继续霹内帮薅必蟪避嚣渗透。 对于目前广泛应用的基于误阁的入侵枪测系统，娴熟的攻击者往张也能够通过精心构造 数据包绕过检 | i ! 系统的捻测规则。 一亟攻击者通过静静方珐绕遘了茨交嫱帮入稷稔瓣系统，露怼静黪是一个个没有醛藏静 网络设备和主机。因此，一个相对安全的阿络防御体系，必烦建立在网络内每台主机的安 垒性均得到保诞躲基磁土。否烈，任 霉一窘主桩抟不安全嚣素帮会或为熬巾弼终安全数瓶鞣， 可能为整个i n t r a n e t 带来不可估莽静破环。 1 4 当前研究现状 露前，很多公司和组织都对 i n t r a n e t 的安全进行了研究，蕊中不芝n e s s u s 、i s si n t e r n e t s c a n n e r 和r e t i n a 9 等优秀的漏洞扫描详估工具以及g f il a n g u a r d 这类漏洞修补工具、 b a s t i l l e 这类o sh a r d e n i n g 工其。餐这鉴王具或蠢只是在绘出潺褥谬结壤簧之蜃不再避行 进一疹的处理，纯粹依熊管理人员的手动修补：或者没有考您具有多种操作系统的混合斌网 络，只是单纯针对一釉撵作系统，如w i n d o w s ，提如解决方襄。此外，大部分此菸工具粼没 有援裹存在嚣涌瓣圭褪愚秀菝安装矗秘，蕊一个已经被安装蠢门麓主枫球使被安装补丁修复 漏洞，也不能阻止攻击者的登录。 兰! 堂! 堕 本文提出的i n t r a n e t 漏洞自动检测修复系统，在一定程度上弥补了现肖各类产晶的不 足，并且在黛成各种已有工具、自动化处理网络安全管理方面做出了初步尝试。 1 5 漏洞自动检测修复系统的提出 一个优秀的网络管理员，对于i n t r a n e t 中所有可能暴鼯给攻击者的服务和漏洞，每一 时刻都应该其有清晰地把握。为达到这目的，管理员往往需要采取以下几步：首先需要使 用诸如n m a p 1 0 、n e s s u s t 1 等汗源工具，或者选择一些商用产品如o f il a n g u a r d 1 2 j 、i s s i n t e r n e ts c a n n e r 1 3 、s h a d o ws e c u r i t ys c a n n e r 1 4 等进行网段扫描，以获得到当前网络 的安全蓝图；然鑫，嚣要分掇套类捡测掇壹，为轰秘潺漏手动打 了或采取g f il 整 l g u a r d 自动安装补丁；此外，认真负责的管理员可能还会在主机上运行c h k r o o t k i t 1 5 、f p o r t 1 6 j 等工具来判断主机是丽被安装了后门，甚至使用b a s t i l l el 1 7 j 对操作系统进行加圈( o s h a r d e n i n g ) 【豫jh 9 。 然而，当前可供迸择的这些工具都有着各自的局限性，在实际应用中往往给网络管理人 员带米了诸多不便利： 斑 n m a p 可以对主机打开的端口进行完整的扫描，从而获取主机提供的服务信息。著 名的开源漏洞分析工具n e s s u s 在n m a p 担撼结果的熬础上对主机开放的端口进行漏洞测试和 分褥，蔽焉获褥该主瓿麓安全僖惫。通遘瓣霹段上辑有主橇进行该搡 笮，便黥装褥整个随络 的安全蓝图。但是，n e s s u s 的很多漏洞测试并不能真正确定漏洞的存在，其报告的可靠性 还需要经过嗣终管理人员的手动分据来确定，从藤大摄度增攮趣了网络管理人员工作的复杂 性。 g f il & n g u a r d 这类工其虽然能够自动的修补系统本身的漏洞，但这些工具是操作 系统娟关的，褒运行不强搽终系统主掇静i n t r a n e t 上镬矮凳烈疆裁，掰实际上缀多i n t r a n e t 都可能同时拥有各种不同的操作系统，如u n i x 、l i n u x 和w i n d o w s 等。 h b a s t i l l e 只能对u n i x l i n u x 系统进行加阉；c h k r o o t k i t 只黯用来检测u n i x l i n u x 系统豹盂门。 蹦 商业产品如i s si n t e r n e ts c a n n e r 、g f il a n g u a r d 和s h a d o ws e c u r i t ys c a n n e r 往穗协格昂贵， 一般中小企业所能受攫褥起。 为了给网络管理人员提供照为方便可靠的i n t r a n e t 安全管理工具，本论文试图在 i n t r a n e t 漏澜的自动检测及修鬟方砸进行探索，探索的内窭包括以下几个方藤： m 自动对网段内的主机进行端口扫描，分析其可能存在的漏洞。对于能俘获取s h e l l 的严霾漏洞进行详细钡4 试，以判断其是蓊属于能够获取管瑗员权限的严重漏滟。 措 对予存在严耋灞漏( 畿够获取管疆员权袋s h e l l 的漏洞) ，稔查该主帆是否已经被 攻击者攻破并留下后门。如果存在后门，则清除后门。 拦 对于获褥管理受援陵熬主辊，垂旗安装蛰丁，避免其再次竣攻击老攻疆。 肖 提供对u n i x l i n u x 系统和w i n d o w s 系统的支持，以支持其柯多种操作系统的混合 式网络。因为实际应用中大部分i n t r a n e t 为此类溉台式网络。 蕞 提供攘块纯的平台结稳，便于；l 重掰静玫毒方法扩聚梭爨模块，也茬子鬃成蠢的工螽， 提供扩展功能。 巍予对霹毅嚣，本论文搽讨麴最是一个原型系统，着重予磅究溢凌潺弱及蒸予溢出潺漏 基础的自动检测与修复。但整个系统的体系结构是可扩展的，在今后的是实现中，这种扩展 性使褥在本系统中加入其他类型的漏洞和检测简单易行。 4 第1 章引言 1 6 论文结构 本论文分为六个部分，其其体结构为；第一章介绍了网络安全的重要性、目前两络安全 体系的缺陷以及漏洞自动检测修复系统地提出；第二章介绍了安全与漏洞的相关知识；第三 章撬出了灞濑鸯秘捡羲修复系绞豹体系绥梅毯及慈俸设诗旗絮；第西牵详细叙述了该羝统各 个模块的的具体设计与实现；第五章着重介绍了构建自动修复系统的一些关键技术及相关工 具；第六章对本系统进行了总结，并提出了系统今后的发蔗方向。 第2 章安全与安仝潇洞 2 安全与安全漏洞 i n t e r n e t 本质上是一个开放的网络，对于任何一个具有随络连接期i s p 帐号的人都是开 藏簸，冀本隽势没套两鬟鲢珐慧寒礴漂爨掩狳蓦惑驰安全。困照，麸安垒瓣霸寰嚣，i n t e r n e t 是天生不安垒的。然而，商界和个人目前都期望通过在i n t e r n e t 上应用一些安全原则以有 效的使用它。瓒有i n t e r r i e r 用户所厦对的共同挑战就是知秘在允许缀授权的用户在馕爝它 翡鞫鞋雩保护敏感信息。f 2 。】 2 。i 安全概述 麓萃熬说，惩络垮凌堡静安全措戆楚一释髭黪识尉释清除不安垒囡素戆蘸宠。诗箕虢程 弼络的安全性主要包括既下方面c 2 i j ： 班 掰用性( a v a i l a b i l i t y ) ；保汪愿户可以正常访阃系统资源。 墨 完整性 i n t e g r i t y ) ：保证系统资巍露能被鬣粳埔户修改，接被铡的是艨始数据。 珏 真实性( a u t h e n t i c i t y ) ：正确识别消息的来源，保证避接的可拣性。 珏 规密佳( c o n f i d e n t i a l i t y ) ：僳证系统中存 避竣终竣簿装握灵豁浚授蔽鞴户访翳。 i n t r a n e t 通常由个公司斌组织组趟，为公司戚组织的成员提供资源共攀以及番种网 终膣务。一般认毙，据对于i n t e r n e t ，i i l t r a n e t 的安全性能够褥型受夫程度静器_ l 垂。熊藤 事安上，璃着玻击手段的飞速发糕，i n t r a n e t 的蜜全性正照剐越来越严重的戚胁。此外， i n t r a n e t 的安金始终处于一个不断运动、转变盼状态。即使当前的炭金性能够得到保诞， 疆是随蓑薅褥泌攉移、勰鳇潺灞不鬣基瑗，i n t r m l e t 瞧藏越泉逮楚予不安全，需要对瓣霉 到维护以确保冀安全。 为了维护嘲络盼安全性，i n t r a n e t 缝捷需要将防火墙、热密认链、入镫梭溅、漏澜捡 添、瘸毒醣护帮鼗舞液簸等技术综舍痘焉，形成一个完善静游籀俸系常觅酌嶷垒律系帮图 2 1 所示。下筒分别对这些技术作简单介绍： 辫2 。i 竞整麴安全籍黼体系结鞠霭 蕊 薅文壤；它蹙豫护邂络安垒懿一骥常冕焉黧耍翁措魏，它辩主要霄魏燕茬裁裁镶护 内部阕络与i n t e r n e t 之间的连接。它能够跟踪流经宦的所有浦信信息，并访问、分析和利用 通信继患、通信状态、艨用状态等。髅出榴斑的处联。 藏灭覆检溅系绫：入侵检测系统( 1 a t r u s i o nd e t e c t i o ns y s t e m i d s ) 可通过对网 络或系统的状惑和行为的检测，分析出非授权的网络访问和蹲意的网络行为，迅遵发现a 侵 6 笙! 璧塞全量壅垒塑塑 行为和企图，为安全簖范提供有效的手段 珥 加密认证：加密的作用是保护数据在存储和传输过程中的安全性，它对用户数据采 溺一定懿热鬟算法，镁 秣数爨发生交傀，茨史嚣法焉户瓣箕豹使鬻 热密技拳的关键在于 加密算法的实现，目前加密方法主要有对称加密和非对称加密两种技术。认证技术则主臻用 于身份验证，通过认证冀法对数据进行处理，可以使接收方疆认发邀方的身份，这弛技术包 括数字签名等。 h 漏洞检测系统；漏洞评估系统是一个漏涧和风险评估工具，用于发现、发掘和报告 踺终安全濂灞。一个窭色麓安全谭售系绫不经能够捡溅帮掇告灞漏，甄显还爵戳发臻瀑润发 生在什么地方以及发生的原因。 蹦 防癍毒软件：防病毒软件的应用也是多屡安全防护蛇一项必要措施一它是专门为防 止跫鲡病毒感染信息蓉娆雨设诗的。它的许对性徽强，但燕需要不断更新，戳跟上病毒技术 的发展。 h 恢复技术；恢复技术怒孵络安全体系孛懿最后一个保障按零，它是耱静救葶段， 以求尽量减少损失，包括系统恢复和数据恢复两方面内容：系统恢复是指去除网络攻击所造 成的影响，如删除后门、堵截漏洞等；数据恢复则是指恢复被替换掉或者损甥的数据内容。 然而在实际应用中，邵使采取了上述安全体系，i n t r a n e t 仍然可能存在种种安全豫患 下面列出一些常见的i n t r a n e t 安全隐患以及可能遭受的棚应攻击： 馘 嗅探稳患：虽然采取了加密认谥。使得远程登录信息即使被嗅探器捕获，也不髓解 密出登录口令，但这些被加密的数据可能被攻击糟利用来谶行劫持会话攻击。此外，如果 i n t r a n e t 中安装了无线嬲络麴辩侯，瘟秘绦采碟了w e p 或麓类捺议热密砖输数据，懿避免 因为无线电波的泄漏而造成敏感数据信息的泄漏但这些被加密的数据同样可能被用来进行 劫持会话攻击。 蕞 谤鞠控穰臻慧；懿采臻火墙繇谤阚控涮娥受誉翁编写不正确，袋对孀户豹权限势瓤不 正确，就会造成访问控制隐患，为攻击者提供访问未授权敏感数据的机会。 h 弱日令隐患：如果合法耀户设萋瓣密码 1 令过于麓罄，如擎溺墨令、缝数字搿令或 与j j | i i 户名相同的口令，就辍有可能被攻击着破解。 口令管理隐患：关键服务的口令是否有明确的管理者管理，如果这些关键口令被任 意分发，列会增搬泄潺鳇撬会。 试 远程接入隐患：如果i n t r a n e t 中有未经许可的拨号远程接入i n t e r n e t ，所有拨号 传输的数据包将绕开防火墙的过滤，i n t r a n e t 就被直接暴露在i n t e r n e t 上。北外，如聚合 法用户酶w n 密码瀣漏，也会携供攻击者远程连ai n t r a n e t 豹祝会。 h 软件嶷装隐患：如果在i n t r a n e t 的主机中安装束被验证的第三方软件，就有可能 安装上攻击者编写的恶寒后门；这些后门运行黠或蠢为攻鑫鼗提供远程连接黪s h e l l ，袋者 主动控集敏感数据发送给攻击者。由于这魑连接一般从i n t r a n e t 中发起，因此可能绕汗防 火墙的过滤。 蕞 赧务潺淘隐患：这是最嚣霓懿安全戆忘。一个i n t r a n e t 可戆嚣要对羚提误菜貉辍 务。即使采用了漏洞评估系统，但是漏洞评估系统般只能棱查出己知漏洞，对于未知漏洞 则无能为力。此外，漏洞评估系统还可能因为井级不及时等原因，检测不出服务器上可被剥 矮戆灞满，这黧潺漏镬骞可髓被竣击者耩麓来驭褥莱些权隈。 由此可知，即使理论上比较完善的防御体系，也有可能由于配置或应用等其他园素出现 耱耱戆惠。 7 第2 章安全与安全潲洞 2 。2 常见攻击步骤 丽对不阿搽作系统，不同类瓤的漏洞，攻击者犍往使用不同的攻击方法a 但是，所宵的 攻蠢罩亍为都w 以归类为几个特定盼步骤。一个典型的攻击如下赝示： 硝 信息收集：在敬击之前，入侵者会尽可能地找出目标主机的相关信息。例如，如果 目标网络是和熟域名超注册的，则可以邋过w h e i s 查询域名来得到瞬络信息；也可熊通 过n s l o o k u p 、3d i g 翁萁德匏工巽程净域名转换蠢诲窭爨务器羲名字等。这过莛筹不蔗 必要的，很多攻击常常省略这一步。 疑 端辩孽曩接；收浆竞信息之羼，攻卷者裁会搜周各释捆描工爨寒进雩亍挝搂。端潍妻薯搂 哥l 奠粼甄密妥标圭梳避希在笺，鲡果在线虢话，避而可戳招播出裔标主杌并放了翡i 些日务。 使用n m a p 、a m a p 之类的扫描工具。还可以判断出目标主机上操作系绒的类型。除了直接进 行g e b 瀑漏竣密癸，这步翥常是必需竣。 烈 漏洞玻击：得到目标主帆开放的端口后，根据攻锭 的意图，攻击者或者进行d o s 攻击。或者根揣目标主机提供的服务，对可能具有漏洞的服势进行攻击。攻击成功之鏖，将 蓑缮一个远程s h e l l 。翔：聚这个s h e l l 熬觳鼹不是簿理员蓊蔽韵，运哥瑷在踅蒸醯上避行进 一步攻击，利用本地溢出或其他方法取得管理员权限的s h e l l 。 嚣 溥除弱_ 志、安装后门：黢入曩标圭挺之后，攻走者鲍葚要疆熟羧是遥过裂除辎美基 恚秘审计来藏溢入侵幸亍为，然藉或者觏建一个属予蠢己的使灞者帐户，或者蜜装后门耩序 ( r o e t k i t s ) 以确认他可以再次侵入。当然，这些后门程序也可能成为暴露攻击行为的园索。 鲁 对蒋定攻击，运鼗步骤可麓在舞节主有薪不弼。钢蟊，谨慎瓣瑷击者在墩击之前会登 录到其他机器，甚至通斌多台其他主机进行多级登泶，如图2 2 所示。当这些主机分布襁全 球各个雷家鲍时候，瑟使攻击孬为棱发瑷，也镘难逡踪攻击发莛者的真实主梃。 信任嚣锺 蕊受矽 i n t r a n e t 鹜2 。2 透建多缀辩转避蟹攻盎蟾竣击善 拳上述攻蛊步骤可以霉出，镬蜒袭击磐是建立雀强标主拣存在瀑濑懿基穑之上鲢。爨踅， 要修复漏漏、防范攻击，首先需黎了解漏洞。 8 兰! 要塞全兰室垒塑塑 2 3 漏洞概述 媳然很多安全防御体系的隐患是由配置不当或其他原因造成的，但绝大部分隐患箍由于 软件的漏洞造成的。 2 3 1 漏洞的分类 软件漏洞出现的原因可能是由于系统设计时的缺陷，也可能是因为程序员在编程过程中 缺乏安全编码瓣意识，使用了不安全的类库照数。此外，还霹能是因为随着时间的推穆，攻 击技术不断避步，使得原本安全的技术也变得不安全了。 熬于上述种种原因，软件漏洞广泛的存在于服务器后台程序( d a e m o n s ) 、客户程序、操 痒系绞、疆终魄议棱中+ 其钵胃激分为娃下凡静： 艇 缓冲区溢出：这是一种通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢 出，扶两破坯程枣静蜷棱，使毯廖转瑶掇嚣其它摆令，以达至攻击瓣譬黪戆攻击方法。嚣 f b i 统计，8 0 的安全漏洞属于缓冲区溢蹦漏洞。由于很多服务的源代码在网络上是公轩的， 攻击精通过阅读这些代码来寻找有缓冲医溢出问题的程序；照熟练的攻击者还可以通过阅读 程穿本身麓反汇编码慕器是否鸯滋鑫蠢联存在：玫奄者还熊够逶过梭囊程痔所有靛输入并置 试图利用随机数据来溢出。 h 非法输入：稷序通常被划分成多层代码，包括潜在的作为最下面的操作系统屡。攻 击者可以通过发送一壁对于菜一瑶无意义的输人，这些输入对萁谴层帮会产生意想不至0 的后 果。例如，常见的c g i 漏洞就属于这种漏洞。 h 竞争条俸：瑷在大部分撩俘系统都是多谯务多线穗的。邃裁意跨饕在这些系统土 可l 蔓同时运行多个程序，如果两个程序同时访问同一个数据就会发生意想不到的结果。这种 漏洞的利用，濡要多个避程或线程按照一定的顺序执行，难度极大。但攻击者勰过很多次的 攫l 试，霹箍获褥投限，进入系统。 2 3 。2 通用漏洞数据疼 。t 述的漏澜说明的是各种攻漆蛉根本原困，基予这些澡涧蟾攻击方法又有麓各秘各样的 表现形式。为了规范器葡已经发观的所有漏洞的命名潋及共率这些漏洞信息， v i i t r e 提国了 c v e 标准e 2 2 。 c v e 的英文全稼是“c o m m o nv u l n e r a b i l i t i e s e x p o s u r e s ”( 公共瀑演及缺憝) 。c v e 是个行业标准，为每个漏洞和暴嚣确定了惟一的名称和标准化的描述，可以成为评价相廊入 侵检测和漏洞扫描等工具产品和数据库的藻准。c v e 就好像是一个字舆表，为广泛认同的信 惠安全漏满或密已经暴露出来静弱点绘爨一个公共瓣名称。使壤一个筵两熬名字，可戳帮动 用户在各自独立的各种漏洞数据库中和漏洞评估工具中共拳数据，虽然这些工媳很难整台在 一起。这样就使得c v e 成为了安全信息共摩躲“关键字”。 9 第2 章寂全与安垒漏洞 w i t h c v e 墅2 。3c v e 柞艨示意墅 w 妯o u tc v e c v e 的作娜妇图2 3 新示。闺中每个节点代表不同盼漏漏数据蓐或漏漏监测系统，舞头 连线表示它们之间的交流。可戳看出，在备方都不支持c v e 的情况下( 左国) ，任意双方要 进行漏洞信息和数据的交换，都需要进行个别协商，因而出现了各种梅样不同的协议，管理 上嚣嚣混乱；在各方都支持c v e 对( 右鬻) ，馕凌貔磐褥多了，善方帮戆使翔统一夔格式帮 名称交换漏洞信息极大的方便了漏洞信息交流的管理。如果在一个漏洞报告中指明的一个 漏洞有c v e 名称，你就可以快速地在任何其它c v e 兼容的数据库中找到相应修车 的信息，解 决安全离题。c v e 静具体格式翔翻2 4 耩示： c v e 一2 0 0 2 一1 0 5 王 f o r m a ts t r i n gv u i n e r a b l l i t vi nt r a c e s r o u t e6 0g o l d a k an a o gt r a c e r o u t e ) a l l o w s 】o c a iu s e r st o e x e c u t ea r b l t r a r yc o d ev i at h e tf t e r m i n a t o r c o i t i m a n di l n ea r g u m e n t h r e | e t e l i c e ：b u g t r a q ：2 0 0 2 0 6 0 6f o r m a ts t r t 颡垂# l nt r a c 酷h 趣s ，0g o 啦 r e f e r e n c e ；b u g t r a q ：2 0 0 2 0 7 2 ln a n o gt r a c e r o u t ef 。r m a ts t r i n ge x p l o i t r e f e r e n c mb u g t r a q ：2 0 0 2 0 7 2 3r e ：n a n o gt r a c e r o u t ef o r m a ts t r l n ge x p l o i t r e f e r e m c mb u ( i r r a q ：2 0 0 2 0 7 2 4r e ：n a n o gt r a c e r o u t ef o r m a ts t r i n ge x p l o i t ， r e f e n e r e e - s 娃s e ：s u s e - s 盎：2 0 ：淤l 矗e f e t e n c e ；b l d ：4 9 5 6 r e f e r e l l e e lx f ：t r a c e s f o u t e t f o r m a t s t r l n g ( 9 2 9 1 ) 鼙2 4c ￥e 格式示意嚣 2 。碡溢出漏漏概述 绝丈部分滚程跨络攻击均嚣予溢出瀑溺玫壹，谯1 9 9 8 年l i n c o l n 实验室丽来评嵇入後 检测的的5 种远程攻击中，有3 种是基于社会工程学的信任关系，2 种是缓冲区溢出。而在 1 9 9 8 年c e r t 的1 3 份建议中，鸯9 份是是与缓冲区溢出有关的，在1 9 9 9 年，至少有半数躲 建议怒和缓冲区溢邕有关的l 2 3 j 。在b u g t r a q 前调蠢中，有2 3 的被调查者认为缓冲区溢出 漏洞是一个很严莺的安全问题l 2 4 j 。 本沧文在安现i n t r a n e t 瀑溺自动检溅修复系绫捱桨辩，羲重实瑷了铮对w i n d o w s 器统 和l i n u x 系统的溢出漏洞的修复。以此为蕊础，扩展其他类趟的漏洞修复模块也就变得简单 易行。本节着黛于从整体上介绍辙出漏洞的概况，关于溢出漏洞的具体细节将柱第5 章避行 详缝论述。 1 0 涨； 嚣一 苎! 童壅全皇童垒塑塑 2 4 1 溢出漏洞的原理 缓冲区溢出攻击之所以成为一种常见安全攻诲手段其原因在予缓冲区溢出漏洞太普通 了，并且易于实现。而且，缓冲医溢出成为远程攻击的主要手段其原因在于缓冲区溢出漏洞 给予了攻击者经掰想娶的一留：植入并且执行攻击代码。被植入豁竣击找码疆一定的载隈运 行肖缓冲区溢出漏洞的程序，从而得到被攻击主机的控制权a 缓冲区滋爨攻击鲍嚣的在于扰乱具鸯墓些特投运行的程序的功能，这样可以使得竣赘者 取褥程序的控制权，如果该程序具有足够的权限，鄢么整个主机就被控制了。一般而畜，攻 击者攻击r o o t 程序，然后执行类似“e x e c ( s h ) ”的执行代醐来获得r o o t 的s h e l l ，但并不 都是这样。为了达到这个强麴，攻壶者妊缓透至l 翔下鹃嚣个霾拣； 珂 在程序的地址空间里安插适当的代码。 疑 通避适当地鹚始德寄存爨帮存镰器， 援廖弹转劐预先安撵斡她垃空阕捷纾。 l 。安捶我褥 有两种程被攻击程序地址空间里安排攻击代鹞的方法： 疆 植入法：攻击者向被攻击的程序输入一个字符串，程序会把这个字德审放到缓i 申区 墼。这个字符率包含酶数据是可以在这个被攻击的硬件平台上运行韵指令穿鳓。在这墼攻击 者用被攻击程序的缓冲区来存放攻击代码。具体的方式有两个差别，第一个是攻击者不必为 达到戴基的纛溢出任键缓渖区，霹鞋找足够戆空涟袁数嚣攻击钱璐。第二个是缓冲嚣霹鼓 设在任何地方，如堆栈( 自动燮量) 、堆( 动态分配的) 和静态数据区( 初始化或者未韧始 化的数据) 。 氍 剩麓已羟存在麴代羁：育对候，攻击者憋簧静我鹞疆经在被攻壹匏整痔中了，攻击 者所要做的只是对代码传递一些参数，然后使程序跳转到预定的目标。例如，攻击代码要求 执行“e x e c ( h i n s h ”) ”，两崧l i b c 库巾的代码执行“e x e c ( a r g ) ”，其中a r g 是一个指向 一个字符审静糖铮参数，那么攻击者只要把传入的参数指针敬向措向”b i n s h ”，然后调转 到】i b c 库中的相应的指令序列即可。 2 控涮虢转 在程序的地址空问熙安插代码之后，所要做的就是让程序跳转到预先安排的地址空间执 亍。辨有的这些方法都是在寻求改变程廖鲍撬行滚程，使之弹s 转至玻击代码。 鼹基本的方法就是溢出一个没有边界检查或者其他弱点的缓冲区，这样就扰乱了程序的 正常的执行顺序。通过溢出一个缓冲区，攻击者可以用近乎爆力的方法改写相铘的程序空间 露意接霉过了系统兹硷套。实际h ，诲多匏缓捧区溢整是蓐黎力翁方法囊寻求踱交程穿揆锖 的。遮类程序的不同的地方就是程序空间的突破和内存空