计算机及网络系统安全策略(ppt 163页).ppt

第4章计算机及网络系统的安全性,4.1计算机系统的安全保护机制4.2计算机系统的安全等级4.3计算机的开机口令验证机制4.4Windows95/98/ME的安全保护机制4.5利用注册表提高Windows95/98/ME的安全性4.6Windows98系统安全策略编辑器4.7Windows95/98/ME的缺陷和防范措施4.8计算机文档的保密问题4.9本章小结练习题,计算机和网络工作站是目前应用最广泛的设备，计算机网络的安全在很大程度上依赖于网络终端和客户工作站的安全。目前的计算机系统安全级别特别低，几乎没有进行特别有力的防范措施。在未联网的单机时代，安全问题造成的损失较少，并未引起人们的注意。处于网络时代的今天，未加保护的计算机系统联入网络，由于非法用户的入侵、计算机数据的破坏和泄密，将会给人们造成无法估量的损失。因此，了解和掌握计算机及网络系统的安全保护机制，加强安全防范措施，使计算机系统变得更加安全，已变得非常必要。本章主要讨论有关计算机系统安全方面的内容，包括：,计算机系统的安全保护机制；评估计算机系统的安全等级；计算机BIOS程序的安全设置和保护机制；计算机BIOS程序密码的破解和防范措施；Windows95/98/ME的有关安全保护机制；非法用户入侵Windows95/98/ME的方法和防范措施；Windows95/98/ME对等网络中权限和安全机制；计算机Word文档的保密问题。,4.1计算机系统的安全保护机制随着计算机技术的发展，计算机系统的安全越来越被人们所关注。非授权用户常常对计算机系统进行非法访问，这种非法访问使系统中存储信息的完整性受到威胁，导致信息被修改或破坏而不能继续使用，更为严重的是系统中有价值的信息泄密和被非法篡改、伪造、窃取或删除而不留任何痕迹。要保护计算机系统，必须从技术上了解计算机系统安全访问控制的保护机制。为了防止非法用户使用计算机系统或者合法用户对系统资源的非法访问，需要对计算机实体进行访问控制。例如，银行信息系统的自动提款机为合法用户提供现款，但它必须对提款的用户身份进行识别和验证，对提款的行为进行监督控制，以防止非法用户的欺诈行为。,存取控制主要包括授权、确定存取权限和实施权限3个内容。一个计算机系统的存取控制仅指本系统内的主体对客体的存取控制，不包括外界对系统的存取(其中主体指使用网络系统的用户和用户组，客体指网络系统中系统资源，如文件、打印机等资源)。因此，实施存取控制是维护系统运行安全、保护系统资源的重要技术手段。存取控制是对处理状态下的信息进行保护，是保证对所有的直接存取活动进行授权的重要手段；同时，存取控制要对程序执行期间访问资源的合法性进行检查。它控制着对数据和程序的读、写、修改、删除、执行等操作，防止因事故和有意破坏对信息的威胁。存取控制必须对访问者的身份和行为实施一定的限制，这是保证系统安全所必须的。,要解决上述问题，需要采取两种措施：识别与验证访问系统的用户；决定用户对某一系统资源可进行何种访问(读、写、修改、运行等)。4.1.1用户的识别和验证要求用户在使用计算机以前，首先向计算机输入自己的用户名和身份鉴别数据(如口令、标识卡、指纹等)，以便进行用户的识别与验证，防止冒名顶替和非法入侵。所谓“识别”，就是要明确访问者是谁，即识别访问者的身份。必须对系统中的每个合法用户都有识别,能力，要保证识别的有效性，必须保证任意两个不同的用户都不能具有相同的标识符。通过惟一标识符(1D)，系统可以识别出访问系统的每一个用户。所谓“验证”，是指在访问者声明自己的身份(向系统输入它的标识符)后，系统必须对它所声明的身份进行验证，以防假冒，实际上就是证实用户的身份。验证过程总是需要用户出具能够证明他身份的特殊信息，这个信息是秘密的，任何其他用户都不能拥有它。识别与验证是涉及到系统和用户的一个全过程。只有识别与验证过程都正确后，系统才能允许用户访问系统资源。利用物理锁可以对一些重要的资源实施控制。只要,把需要保护的系统资源用锁锁上，而钥匙由自己掌握，那么没有钥匙的人是不能访问受到保护的资源的。在这里，ID相当于钥匙，系统根据不同的ID可对其分配相应的不同的可使用资源。但拥有钥匙的用户不一定是合法拥有者，所以需采用验证技术证实用户的合法身份，这种技术可以有效地防止由于ID的非法泄露所产生的安全问题。口令机制是一种简便的验证手段，但比较脆弱。生物技术，如利用指纹、视网膜技术等，是一种比较有前途的方法。目前计算机系统最常用的验证手段仍是口令机制，它通过下述各种方法来加强其可靠性。口令需加密后存放在系统数据库中，一般采用单向加密算法对口令进行加密。,要使输入口令的次数尽量减少，以防意外泄露。当用户离开系统所属的组织时，要及时更换他的口令。不要将口令存放在文件或程序中，以防其他用户读取该文件或程序时发现口令。用户要经常更换口令，使自己的口令不易被猜测出来。4.1.2决定用户访问权限对于一个已被系统识别与验证了的用户，还要对其访问操作实施一定的限制。可以把用户分为具有如下几种属性的用户类。,特殊的用户：这种用户是系统的管理员，具有最高级别的特权，可以对系统任何资源进行访问，并具有所有类型的访问、操作能力。一般的用户：即系统的一般用户，他们的访问操作要受到一定的限制，通常需要由系统管理员对这类用户分配不同的访问操作权力。审计的用户：这类用户负责整个系统范围的安全控制与资源使用情况的审计。作废的用户：这是一类被拒绝访问系统的用户，也可能是非法用户。,4.2计算机系统的安全等级为了对一个计算机系统进行安全评估，美国国防部按处理信息的等级和应采用的相应措施，将计算机安全分为：A、B、C、D4等8个级别，共27条评估准则。从最低等级D等开始，到A等。随着安全等级的提高，系统的可信度随之增加，风险逐渐减少。下面，对每个安全等级的内容和要求作简要说明。4.2.1非保护级D等是最低保护等级，即非保护级。它是为那些经过评估，但不满足较高评估等级要求的系统设计的，只具有一个级别。该等是指不符合要求的那些系统。因此，这种系统不能在多用户环境下处理敏感信息。D级并非没有安全保护功能，只是保护功能太弱。,4.2.2自主保护级C等为自主保护级，具有一定的保护功能，采用的措施是自主访问控制和审计跟踪。它一般只适用于具有一定等级的多用户环境，并具有对主体责任和对他们的初始动作审计的能力。它的各级提供无条件的安全保护，并通过审计追踪，对主体及其产生的动作负责。这一等级分为Cl和C2两个级别。1.自主安全保护级(C1级)其存取控制的基础是以指名道姓的方式，提供了各用户与数据的隔离，以符合自主安全要求。它包含了若干可信控制方式，能在个体基础上实施存取限制，即允许用户保护他自己的项目和隐私信息，防止他的数据被别的用户无意读取或破坏。,Cl级通过提供用户与数据隔离，就能够满足市场可信计算机(TCB，trustedcomputingbase)自动安全要求。所谓可信计算机是一个安全计算机系统的参考校验机制。它包括所有负责实施安全策略，以及对保护系统所依赖的客体实施隔离操作的系统单元，简单地说，即所有与系统安全有关的功能均包含在TCB中。在这一级，TCB应在命名用户和命名的客体之间定义和进行访问控制。它用的机理(如个人组公共控制、访问控制表)应允许客体拥有者指定和控制客体是由自己使用，还是由用户组或公共使用。该级需要在进行任何活动之前，TCB去确认用户身份(如采用口令)，并保护确认数据，以免未经授权,对确认数据的访问和修改。通过用户拥有者的自主定义和控制，可以防止自己的数据被别的用户有意或无意地读出、篡改、干涉和破坏。同时提供软件和硬件特性，并定期检查其运行的正确性。系统的完整性要求硬件和软件能提供保证TCB连续有效操作特性。目前生产的大多数计算机系统都能达到这一等级，但这级系统不一定要经过严格的评价。评价为Cl级多是依据系统的某些特点。2.可控安全保护级(C2级)在C2级，计算机系统比C1级有更具体的自主访问控制。通过注册过程，同与安全有关的事件和资源隔离，使得用户的操作有可查性。在安全方面，除,具备Cl级所有功能外，还提供授权服务。并且可提供控制，以防止存取权力的扩散。应确定用户的动作或默认客体提供的保护，避免非授权存取。它可指定哪些用户可以访问哪些客体，未经授权用户不得访问已指定访问权的客体。同时还提供了客体再用功能，即对于一个未使用的存储客体，TCB应该能够保证该客体不包含未授权主体的数据。在这一方面，除具有Cl级全部功能外，还提供惟一的识别自动数据处理系统中各个用户的能力；提供将这种身份与该客体用户发生的所有审计动作相联系的能力。C2级系统能与该识别符合，可审计所有主体进行的各种活动；能对可信计算机(TCB)进行建立和维护，对客体存取的审计进行跟踪，并保护审计信息，防止被修改、毁坏或未经授权访问。,TCB还能记录下列类型的事件：确认和识别安全机理的使用，将客体引入一用户地址空间，客体的删除，操作人员、系统管理人员和安全管理人员进行的各种与安全相关的活动。对每个审计事件，审计记录应包括：用户名、事件发生时间、事件类型、事件的成功或失败等。对于确认事件，请求源(如终端ID)也应包括在审计记录中。对于客体进行访问的事件，审计记录应包括客体名。自动数据处理系统管理人员应能通过识别符，有选择地审计任一用户或多个用户的活动。除Cl级的要求外，TCB还必须保留一特定区域，以防外部人员的篡改。由于TCB控制的资源是以主体,和客体定义的子集，TCB应与被保护的资源隔离，以使存取控制更容易，从而达到审计的目的。DEC公司的VAXVMS操作系统、Novell公司的NetWare系统和Microsoft公司的WindowsNT/2000都被确认为C2级。4.2.3强制安全保护级B等为强制保护级，这一等级比C等级的安全功能有很大增强。它要求对客体实施强制访问控制，并要求客体必须带有敏感标志，可信计算机利用它去施加强制访问控制。这一部分可分为Bl、B2、B3共3级。,1.标记安全保护级(B1)从本级开始，不但有自主存取控制，还增加了强制存取控制，组织统一干预每个用户的存取权限。本级具有C2级的全部安全特性，并增加了数据标记，以标记决定已命名主体对该客体的存取控制。本级还规定在测试过程中发现的缺陷应当已全部排除。2.结构化保护级(B2)从本级开始，按最小特权原则取消权力无限大的“特权用户”。任何一个人都不能享有操纵和管理计算机的全部权力。本级将系统管理员与系统操作员的职能隔离，系统管理员对系统的配置和可信设施进行强有力的管理，系统操作员操纵计算机正常运行。本级将强制存取控制扩展到计算机的全部主体,和全部客体，并且要发现和消除能造成信息泄漏的隐蔽存储信道。为此，本级计算机安全级的结构，将被自行划分为与安全保护有关的关键部分和非关键部分。3.安全域级(B3)本级在计算机安全方面已达到目前能达到的最完备等级。按照最小特权的原则，本级增加了安全管理员，将系统管理员、系统操作员和安全管理员的职能隔离，使其各司其职，将人为因素对计算机安全的威胁减至最小。本级要求在计算机安全级的结构中，没有为实现安全策略所不必要的代码。它的所有部分都是与保护有关的关键部件，并且它是用系统工程方法实现的，其结构的复杂性最小，易于分,析和测试。本级的审计功能有很大的增加，不但能记录违反安全的事件，而且能发出报警信号。本级还要求具有使系统恢复运行的程序。4.2.4验证安全保护级A等是验证保护级。它的显著特征是从形式设计规范说明和验证技术导出分析，并高度地保证正确地实现TCB。其特点是使用形式化验证方法，以保证系统的自主访问和强制访问，控制机理能有效地使该系统存储和处理秘密信息或其他敏感信息。该等级分为A1和超A1两个级别。1.验证设计级(A1级)本级的安全功能与B3级基本相同，但最明显的不,同是本级必须对相同的设计，运用数学形式化证明方法加以验证，以证明安全功能的正确性。本级还规定了将安全计算机系统运送到现场安装所必须的程序。2.超A1级由于超Al级超出目前的技术发展，有些具体要求很难提出，仅提供了一些设想。它为今后研究提供指导。综上所述，对可信计算机而言，D级是不具备最低限度安全的等级；C1和C2级是具备最低安全限度的等级；B1和B2级是具有中等安全保护能力的等级，与C级相比是较高安全等级，对于一般的重要应用基本上可以满足安全要求；B3级和A1级是最,高安全等级，其成本高，只有极重要的应用才需使用这种安全等级的设备。4.3计算机的开机口令验证机制目前PC机是世界上使用最多的计算机，PC机上运行的操作系统多为MSDOS或Windows95/98/ME等，而Windows95/98/ME等系统简单易学，且具有友好的界面、丰富的应用软件成为个人用户的首选。然而，由于Windows95/98/ME本身就不是为网络应用设计的，因此它存在许多安全性方面的问题，是十分容易被攻击的。根据美国计算机安全中心(NCSC)公布的可信计算机系统评价准则(TCSEC，trustedcomputer,systemevaluationcriteria)，Windows95/98/ME只能达到D级，基本上相当于未加安全措施的个人计算机系统。而在另一方面，因为Windows95/98/ME的流行，许多黑客工具在设计时就考虑了Windows95/98/ME的兼容性，许多黑客也利用它来攻击网络系统。因此，对于个人计算机系统，用启动开机口令的开机验证机制防止非法用户使用计算机，是非常必要的。开机口令的开机验证机制是由计算机的BIOS(BaseInput/OutputSystem)程序来管理的，下面将介绍这方面的内容。,4.3.1BIOS的口令机制BIOS的口令机制俗称CMOS口令设置，CMOS口令是保证计算机信息安全的第一道屏障。CMOS(本意是指互补金属氧化物半导体存储器，应用于集成电路芯片制造)是电脑主板上的一块可读写的RAM芯片，主要用来保存当前系统的硬件配置，CMOSRAM芯片由系统通过一块后备电池供电，所以无论是开或关机状态中，CMOS的信息都不会丢失。CMOS口令分为CMOS开机口令和BIOS设置口令。如设置了CMOS开机口令，则计算机在开机完成硬件自检后将要求操作者输入密码，如密码不正确，将不能进入CMOS参数设置，亦无法继续启动操作系统，更无从谈起运行其他软件了。,如计算机仅设置了BIOS设置口令，则虽然在启动操作系统和运行各种软件时不受限制，但如要进入BIOS设置程序必须输入预设的口令，否则无法改变CMOS参数。因此，根据实际需要，合理地设置CMOS口令，是做好计算机信息安全工作的重要途径。计算机有很多种不同的BIOS程序，最有名的是AWARDBIOS和AMIBIOS程序。下面以AWARDBIOS为例讨论BIOS中CMOS的开机密码的设置，设置方法如下。(1)启动计算机，在计算机正在启动时不停地按DEL键(注意，是不停地按动，而不是按住不放)，直到出现如图4.1所示的CMOSSETUP设置界面时,为止(有的计算机进入CMOS的快捷键不是DEL，例如康柏计算机的CMOS设置是按F2键，需要看具体情况而定)，其中的加框的选项与开机的CMOS密码的有关。(2)用键盘上的光标键选择SUPERVISORPASSWORD项，然后回车，出现ENTERPASSWORD后，输入密码再回车，这时又出现CONFIRMPASSWORD，在其后再次输入同一密码(注：该项原意是对刚才输入的密码进行校验，如果两次输入的密码不一致，则会要求重新输入)。SUPERVISORPASSWORD选项是用来设置计算机管理员的密码，拥有该密码，就可以设置计算机的CMOS参数和使用计算机。,(3)用光标键选择USERPASSWORD项后回车，同上面一样，密码需输入两次才能生效。以上设置的两个密码分别为设置密码和修改CMOSSETUP密码，建议两个均取同一密码，以便记忆。USERPASSWORD选项是用来设置使用计算机的用户密码，拥有该密码，就可以使用计算机。(4)选择BIOSFEATURESSETUP项回车，出现BIOSFEATURESSETUP设置界面，用光标键选择SECURITYOPION选项后，用键盘上的PAGEUP/PAGEDOWN键把选项改为SYSTEM(设定为SYSTEM的目的是让计算机在任何时候都要检测密码，包括启动机器，SECURITYOPION选项还有一个参数SETUP，设定为该参数表示计算机在设置CMOS参数时要检测密码)，然后按ESC键退出。,(5)选择SAVE&EXITSETUP项回车，出现提示后按Y键再回车，以上设置的密码即可生效。,图4.1,通过以上步骤设置以后，在计算机启动和设置CMOS参数时都要检测密码。4.3.2BIOS的口令破解与防范措施1.几种常见密码破解方法在日常的工作中，常碰到一些用户由于遗忘了CMOS口令或无意中设置了CMOS口令，致使计算机无法启动操作系统或无法进行CMOS参数设置的情况，很多用户对此束手无策，只能送计算机公司修理，耽误了很多时间。其实，根据CMOS口令的设置情况，可以有很多方法来破解，其原则是：如果设置了CMOS开机口令，,必须采用硬件或CMOS万能密码法破解；如果仅设置了BIOS设置口令，破解这种口令简直易如反掌！下面给出破解CMOS口令的各种方法。注意：这些方法当然也有可能会被黑客们利用，因此亦应针对这些破解方法，做好自己计算机的CMOS口令保护。2.硬件法破解CMOS口令忘记了电脑的BIOS密码是一件不幸的事，如果将BIOS设置中的SEURITYOPTION(密码属性)设为ALWAYS/SETUP或SYSTEM则更是不幸中的不幸，因为此时既无法进入CMOS设置程序更改口令，也无法启动操作系统用其他方法破解，只能采取在硬件上进行CMOS掉电处理和使用万能密码这两类方法解决。,下面介绍CMOS掉电处理的方法。这里首先需要提及的是，硬件破解的各种方法均需在计算机关机的状态下进行(最好将电源线拔掉，对于ATX电源尤应如此)，先清除人身上的静电，再打开计算机机箱进行，否则可能导致计算机硬件的损坏。(1)跳线/开关放电破解法计算机主板上一般都有CMOSCLEAR(CMOS清除)跳线位置，可参照主板说明书或主板上印制的跳线说明，用一跳线在该位置上跳接一下，CMOS口令就被清除了，然后将跳线恢复原状，开机后即能进入CMOS设置。(2)导线划芯片放电破解法硬件破解CMOS口令的本质是让CMOSRAM芯片,掉电，使其中保存的设置信息丢失，从而达到清除CMOS口令的目的(上面跳线法的实质也是这样)，抓住了这一点，在解决此类问题时，可先将CMOS电池卸下，然后用一根导线，将其一端接到CMOS电池插座的地线端，用另一端往CMOSRAM片的两排脚上轻轻地一扫而过(如不能确认哪块是CMOS芯片，则可多扫几块芯片，扫时注意别损伤了芯片引脚)，CMOS密码便会被清除。此方法适用于计算机主板上没有设计CMOSCLEAR跳线的情况。(3)卸电池等待法这是一种麻烦和消极的方法。我们知道，CMOS是靠主板上的一块电池及相应的附属电路来提供电源,以保持设置信息的，因此，如果将CMOS电池取下，再将电池接口的正负极(注意不是电池的正负极)短路，然后等待一段时间后，CMOS供电电路中残存的电能将会消耗完，CMOS口令就会被清除了。如果CMOS电池是焊接在主板上的，则需先焊下来再试用上述的第(2)、(3)方法。所以只有在确认主板上确实没有设计CMOSCLEAR跳线的情况下，才可采用后两种方法。3.用CMOS万能密码破解开机口令如果计算机机箱加锁(比如众多的进口原装计算机)或因为其他原因无法打开机箱，自然也就无法进行上述的硬件破解法，那么是否还有方法能破解,CMOS开机口令呢？答案是肯定的，下面向读者介绍一种不用拆机箱的软方法万能密码。原理：在BIOS的密码中也有像WPS那样的万能密码，但不同的BIOS厂家有不同的密码。(1)用CMOSPWD获取CMOS万能密码计算机BIOS的版本太多，不同版本的万能密码也不一样，想用上述的几个密码“通行”于所有版本的BIOS显然是不可能的。那么如何获得更多的万能密码呢？在Inernet网上有一个运行在DOS环境下的CMOSPWD.EXE软件可以做到这一点。图4.2是CMOSPWD.EXE程序的一个运行结果报告。由此运行结果可以看出，CMOSPWD工具可以获取多种BIOS类型的CMOS万能密码。因此，当忘,记了计算机的CMOS密码时，可找一台相同的计算机，给其设置上CMOS开机口令，然后运行CMOSPWD找到“万能钥匙”，再用到自己的计算机上即可。(2)用UNAWARD获取AWARDBIOS万能密码UNAWARD.EXE可以帮你轻松地获得AwardBIOS的万能密码，而且还有三个：纯数字密码、小写字母密码和大写字母密码。假如你愿意，还可以用该软件DISABLE(禁用)这些万能密码，甚至删除这些密码。执行UNAWARD.EXE程序，显示如图4.3所示。,图4.2,图4.3,通常同型号主机的AWARDBIOS万能密码是一致的。因此当忘记了AWARDBIOS密码时，不用着急，试着在身边找找或打电话问问朋友们的主板型号、厂商是否与自己的这台主机主板相同，假如有的话，用UNAWARD.EXE将那台机子上的密码获取后再传回来，一切就大功告成了。UNAWARD.EXE在Internet上可以下载。注意：若需BIOS的万能密码，必须先在超级用户密码(SUPERVISORPASSWORD)中设置密码，如没有超级用户密码选项，则必须在用户密码(USERPASSWORD)中设置密码，否则该软件不能用作BIOS的万能密码。,(3)使用通用CMOS密码目前大部分主板使用AWARD公司的BIOS程序，部分主板使用AMI公司的BIOS程序，某些厂家在生产主板时为自己的BIOS预留了通用CMOS密码，以解一时之需。其中AWARDBIOS只有4.51版以前的才有通用密码。据目前所知，有以下通用密码(按成功概率排序)。AWARDBIOS：wantgirlSyxzdirrideBBBh996wnatgirlAwardAMIBIOS：Sysg以上通用密码在386、486或奔腾主板上破解CMOS几乎百发百中，但在P级以上的主板存在通用密码的可能性就较少了。,4.用万能密码程序准确破解BIOS设置口令如果在微机的BIOSSETUP程序中设置了CMOS口令，但在PASSWORDOPTION(密码选项)中选择为SETUP时，不必打开机箱，只要简单地利用上面介绍的万能密码程序在当前计算机上运行一下，即可轻松和准确地获得这台计算机的CMOS万能密码，然后用此万能密码即可进入BIOSSETUP程序中更改各种CMOS参数了。(1)用DEBUG破解SETUP设置口令在微机的BIOSSETUP程序中设置了口令，但在PASSWORDOPTION(密码选项)中选择为SETUP时，可简单地利用DOS中的DEBUG程序清除CMOS口令。,当计算机接通电源时，首先执行的是BIOS加电自检程序，对整个系统进行全面的检测，其中也要对CMOSRAM中的配置信息有关单元作累加和测试，并与原来的存储结果进行比较，当两者相吻合时，则CMOSRAM中的配置有效，程序继续进行其他测试；当发现累加和与原值不相等时，则要求重新配置，并能自动地按实际情况进行最小配置的设定，此时原来的CMOS口令也会被自动消除。利用这一点，只要往CMOSRAM中的80口10H2DH(配置信息存放单元)中的任一单元写入一个数，即可清除CMOSSETUP口令。具体操作如下：从A：或C：启动，然后运行DEBUG程序(从DOS目录中拷贝或运行)，输入：,Cdebug(回车)O7010(回车)O7110(回车)q(回车)然后重新启动系统，密码即被清除，系统将要求重新配置CMOS参数，这样便可以重新进入BIOSSETUP接口去设计系统配置了。(2)输入代码破解SETUP设置口令使用本方法生成的可执行文件能够清除CMOS密码。本方法的最大特点是不需使用任何工具软件，而只需简单地使用DOS内部的COPY命令，从键盘上输入所需代码，并生成所需的破解程序。,A：179，55，136，216，230，112，176，32，230，113，254，195，128，251，64，117，241，195Z回车注意：输入上述数字时必须用键盘上的Alt键加小键盘上的数字键来输入，其中的逗号表示输入到该处时松一下双手再继续输入，而非真的输入逗号；Z代表按CtrlZ键(也可按F6键)结束文件输入，最后回车在当前目录下生成可执行文件。运行生成的可执行文件，再重新冷启动计算机，会发现原来的CMOS设置口令已经被清除了。同样需注意的是，该方法在某些计算机上可能会不起作用。,5.防范CMOS密码的破解通过对几种常见CMOS密码破解方法的介绍，可以了解到要破解CMOS密码的前提条件。采用硬件破解法必须能够打开机箱，因此防止硬件破解法的主要措施是给主机机箱加上物理锁。对于采用万能密码，目前没有好的防范措施，如果非法用户持有万能密码，这开机密码的安全保护措施已失去效用，只能靠其他的安全措施，如通过操作系统的安全机制。另外市场上有些硬盘保护卡和防毒卡也有开机保护机制和密码机制，也能起到CMOS密码的功能，且破解的可能性要比CMOS密码机制更难些。,要防范采用工具软件破解CMOS密码，最主要是不能让非法用户在被保护的计算机上物理性地执行工具软件，可采用如下措施。(1)屏蔽计算机的软驱和光驱，使之不能从软驱和光驱引导操作系统。(2)使用者不能在计算机处于交互状态(即可执行用户命令的状态)时离开计算机；如若离开计算机，应该关机、锁定键盘或使计算机处于安全保护状态(例如Windows98系统的带密码屏幕保护状态)。(3)有条件的用户可以给计算机加安全保护卡(例如硬盘保护卡和防毒卡，也有开机保护机制和密码机制)。(4)设置安全的口令，定期更新密码。,有关设置安全口令的措施如下。(1)好的口令好的口令是那些很难猜测的口令。难猜测的原因是因为同时有大小写字符，不但有字符，还有数字、标点符号、控制字符和空格。另外，还要容易记忆，至少有7到8个字符长，并且容易输入。(2)不安全口令不安全的口令往往是：任何名字(包括人名、软件名、计算机名甚至幻想中事物的名字)，电话号码或者某种执照的号码，社会保障号，任何人的生日，其他很容易得到的关于自己的信息，一些常用的音调，任何形式的计算机中的用户名，在英语字典或者外语字典中的词，地点名称或者一些名词，键盘上的一些词，任何形式的上述词再加上一些数字。,(3)保持口令安全要注意的问题不要将口令写下来。不要将口令存于终端功能键或调制解调器的字符串存储器中。不要选取显而易见的信息作口令。不要让别人知道。不要交替使用两个口令。不要在不同系统上使用同一口令。不要让人看见自己在输入口令。(4)一次性口令减小口令危险的最有效方法是根本不用常规口令。替代的办法是在系统中安装新的软件或硬件，使用,一次性口令。一次性口令就是一个口令只使用一次。一个用户可能收到一个打印输出的口令列表，每次登录使用完一个口令，就将它从列表中删除。用户也可能得到一个可以携带的小卡，这个卡每次将显示一个不同的号。用户还可以携带一个小的计算器，当登录时，计算机将会打印出一个不同的号码，用户将这个号码输入这个小小的计算器中，然后输入自己的标志号码，计算器将输出一个口令，用户将这个口令再输入计算机中。一次性口令系统比传统方式能提供令人惊奇的安全性能。不幸的是，它们要求安装一些特定的程序或者需要购买一些硬件，因此现在使用得并不普遍。,在一个网络中，当用户穿过Internet或者其他的网络来访问时，管理员就应该认真地考虑使用一次性口令。否则，攻击者可以窃听、截获用户口令，以后将攻击这些站点。4.4Windows95/98/ME的安全保护机制如前所述，计算机的开机密码保护机制是非常脆弱的。因此，必须寻求其他的保护措施。例如：操作系统的安全措施。总的来说，Windows95/98/ME只能达到D级，基本上相当于未加安全措施的个人计算机系统。虽然微软的系统加密技术有点让人担忧，可用上总比不用好。本节将以Windows98系统为例介绍这方面的内容。,Windows98系统的安全措施是由登录机制、屏幕保护密码、文件夹共享密码和远程管理密码等部分组成的。这些安全保护措施，Windows98系统都提供了安装和设置方法，大部分方法可以通过修改Windows98系统的注册表来实现。4.4.1Windows98的登录机制Windows98系统登录方式有三种：Microsoft网络用户、Microsoft友好登录和Windows登录。其中Microsoft网络用户和Microsoft友好登录两种选项，只有在Windows98系统安装网络适配器(如网卡或拨号适配器)时才能选择。,1.Windows98系统登录严格讲，Windows登录选项对系统起不到安全保护作用。Microsoft公司设计Windows登录机制的用意主要在于区分不同用户使用Windows98系统有一个个性化的桌面和菜单选项，而不在于保护系统和防止非法用户使用计算机。所以，用户在Windows98启动后出现“Windows登录”界面时，如图4.4所示，如不输入密码，单击“取消”选项也可进入Windows98桌面。,图4.4,2.Microsoft网络用户和Microsoft友好登录这两种选项只有Windows98在网络中存在才可以选择，当Windows98系统作为网络中的一个主机时，这个用户必须以“Microsoft网络用户”的身份登录。如果用户选择了“Microsoft网络用户”选项，在Windows98启动后出现“Microsoft网络用户登录”界面，如图4.5所示，如不输入密码，单击“取消”选项也可进入Windows98桌面，用户将不能使用网络资源，但并不妨碍用户使用本机的资源。至于“Microsoft友好登录”选项，它与“Microsoft网络用户”选项的作用相同，如图4.6所示，惟一的区别是登录界面更漂亮一点。,图4.5,图4.6,上述3种选项的选择步骤是：启动Windows98系统进入系统桌面用鼠标右击Windows98的“网络邻居”图标“属性”，出现“网络”窗体“配置”，其中“主网络登录(L)”的设置即为“Windows98登录”的设置选项，如图4.7所示。,图4.7,4.4.2Windows98的屏幕保护机制Windows98可以设置屏幕保护程序，其作用是：当用户要离开计算机一段时间，而又不能关闭计算机的电源时(如计算机正在进行运算)，为了保护计算机，可设定计算机在一段时间后不进行操作，计算机将进入屏幕保护状态以保护计算机的显示器和硬盘，使其进入节能状态。在设置屏幕保护程序时，可选择“密码保护”选项，这样当计算机进入“屏幕保护”状态后，如要使计算机恢复到正常状态，就需要密码，否则将不能操作计算机，从而达到保护计算机安全的目的。Windows98系统屏幕保护程序设计的步骤为：启动Windows98系统进入系统桌面，选择“启动”,“设置”“控制面板”“显示”，出现“显示属性”窗体，选择“屏幕保护程序”选项，如图在“屏幕保护程序)”位置，可选择屏幕保护程序，同时，选定“密码保护”选项，可输入保护密码，如图4.8所示，同时输入启动保护程序的时间，按“确定”，就完成了屏幕保护程序的设置工作。4.4.3Windows98共享资源和远程管理机制当Windows98系统与其他计算机联成网络时，计算机的资源可以相互共享，为了保护计算机系统的安全，Windows98有简单的权限控制，其访问控制方式有两种：共享级访问控制方式和用户级访问控制方式。,用户级访问控制方式要求在网络中必须有域服务器，通过域服务器(例如WindowsNT/2000的域服务器)来管理Windows98的资源，这种方法安全性较高，其设置方法同WindowsNT/2000的共享资源的设置，将陆续在WindowsNT/2000的安全性中讲解。在没有域服务器的对等网络中，Windows98的共享资源管理只能采用共享级访问控制方式，选择共享级控制方式的权限有3种：“只读”、“完全”和“根据密码访问”。选择“只读”时，其他计算机用户只能读取本机共享目录下的文件和子目录，而不能修改和删除该目录下的文件和子目录；选择“完全”共享类型，其他计算机用户可完全控制(即：可以读取也可修改或删除)共享目录下的文件和子目录；选择“需要密码”时，需要输入“只读”和“完全”共享的密码，其他计算机用户必须提供密码来决定它使用共享目录下的文件和子目录。,图4.8,Windows98系统共享资源的访问控制方式设置步骤为：(1)“Microsoft网络上的文件和打印机共享”的设定启动Windows98系统进入系统桌面用鼠标右击Windows98的“网络邻居”图标“属性”，出现“网络”窗体“配置”“添加”，出现“请选择网络组件类型”窗体，在窗体中选择“服务”，单击“添加”按钮“选择网络服务”窗体，在“选择网络服务”窗体中，选择“Microsoft网络上的文件和打印机共享”，单击“确认”按钮，关闭“选择网络服务”窗体单击“取消”按钮，关闭“请选择网络组件类型”窗体，回到“网络”窗体在“网络”窗体中单击“文件及打印共享”“文件及打印共享”窗体，将所有“允许其他用户访问我的文件”和“允许其他用户使用我的打印机”两个选项选上,关闭窗口返回到“网络”窗体中，如图4.9所示。,图4.9,(2)设置“共享级访问控制方式”在(1)中的“网络”窗体中，选择“访问控制”，选择“共享级访问控制”，如图4.10所示，单击“确定”按钮，重新启动Windows98系统。,图4.10,(3)设置共享权限当设置完步骤(1)和(2)后，如要将计算机的资源(假设磁盘C)设置成共享权限，设置步骤如下：重新启动计算机，在出现登录对话框中输入一个用户名及其密码后，单击“确定”按钮即登录到本机，同时可以使用网络上的共享资源。用户名和密码是由用户任意设定的第一次使用某个用户名登录时需要确认输入的密码。注意：在输入用户名和密码后，必须单击“确定”按钮方可访问网络中的资源，如果“取消”则仅将该机作为单机使用，在网络邻居中将找不到其他计算机的共享资源。,当进入到计算机Windows98系统后，打开“我的电脑”，右击磁盘C：的图标，在出现的菜单中，选择“共享”，在屏幕显示的对话框中选择“共享为”，输入一个共享名(如“Win98C”)，选择3种共享方式中的一种：选择“只读”、“完全”或“根据密码访问”，选择“根据密码访问”时，还需输入“只读”和“完全”共享的共享密码(为了使计算机系统更加安全可靠，一般设定共享资源的权限最好采用“根据密码访问”)。如图4.11所示，这样其他计算机用户就可以使用设置的共享资源Win98C了。,图4.11,(4)使用Windows98的共享资源在网络中，如有计算机使用已设置好的共享资源(如计算机WS1的共享资源Win98C)，当该计算机登录到Windows98系统后，打开“网上邻居”，显示“整个网络”以及同组的各计算机名，将发现计算机WS1。双击WS1，显示共享名Win98C，双击共享名Win98C可以访问WS1的磁盘C上的文件或目录(如果Win98C资源设定的权限是“根据密码访问”，则双击共享名Win98C后还需提供相关的密码)。另外，Windows98系统的资源可通过远程的计算机来管理，这就是Windows98的远程管理机制，启动Windows98远程管理机制，其他局域网的网,络用户可以通过网络管理Windows98系统下的文件和打印机(包括Windows98资源的共享访问机制的设置)。启动Windows98远程管理机制的步骤为：(1)启动Windows98远程管理服务启动Windows98系统进入系统桌面，选择“开始”“设置”“控制面板”“密码”“密码属性”窗体，在“密码属性”窗体中选择“远程管理”选定和激活“启用此服务器的远程管理”，同时，输入远程管理密码，输入两遍密码，如图4.12所示，按“确定”关闭“密码属性”窗体，即可完成操作。要想使“启动Windows98远程管理服务”成功，还需先完成“Windows98系统共享资源的访问控制方式”设置步骤(1)和(2)。,图4.12,(2)远程管理Windows98的资源当一台计算机已设置了远程管理服务，就可以通过局域网的任何一台Windows98计算机管理该计算机的文件和打印机了。假设计算机WS1已经配置了远程管理服务，现在通过WS2来管理WS1的资源，其步骤如下。启动WS2以“Microsoft网络用户”的身份登录到本机的Windows98桌面上，打开“网上邻居”，显示“整个网络”以及同组的各计算机名，将发现计算机WS1用鼠标右击“WS1”图标“属性”出现“WS1属性”窗体，单击“工具”栏，窗体中显示3个配置按钮：“网络监视器”、“系统监视器”和“管理程序”，其中通过“网络监视器”允许查看WS1上的,共享目录和通过网络正在使用该目录的用户，“系统监视器”允许查看WS1上的磁盘访问与网络的使用情况，而“管理程序”则是远程管理WS1的文件和打印机的共享设置，3个配置选项都需要提供WS1的远程管理密码。现在单击“管理程序”“输入网络密码”窗体，如图4.13所示，输入WS1的远程管理密码，出现“计算机WS1所有资源”的窗体，其中C、D等是WS1的磁盘C、D的代号，不带符号的目录为已设置好的共享目录，可以像设置本地计算机的资源那样设置WS1的C及D及其子目录等资源的共享，同时也可以改变不带符号的共享目录的访问控制方式，如图4.14所示。,图4.13,图4.14,4.4.4Windows98注册表的机制注册表是Windows98系统的核心，在注册表中存储着系统的所有硬件和软件信息，通过它可以控制操作系统的行为。因此，它的安全直接关系到Windows98系统的安全，黑客的进攻往往以它为主要目标。下面详细介绍注册表的作用和保护措施。注册表是一个包含有Windows98系统和应用程序以及硬件信息的中央数据库，是Windows98系统的核心之一。它存储在Windows98目录下的system.dat文件中，这是一个只读的、隐藏的文件。Windows98每次启动时都要用到它，并把它备份到system.d00到system.d04共5个文件中。当启动后,加载的system.dat文件受损后，Windows98自动按照备份时间顺序由新到旧调用备份注册表文件覆盖现在使用的system.dat文件，以恢复操作系统的稳定性。可见注册表在Windows98中是多么重要。通过它几乎可以修改Windows系统的任何一个设置，包括开始程序的设置、硬件参数的修改、桌面的修改、实现系统的优化等等，因此，它对于整个Windows系统的安全起着重要的作用。注册表是以树型结构存在的，就像资源管理器一样，不过它的目录项的含义与其不同，一共有5种不同的类型，包括：根键：注册表的根目录，相当于磁盘上的根目录如：C:；,键和子键：相当于磁盘上的子目录，在键下是子键，就像目录可以包括子目录一样。键值项：相当于磁盘上的文件，在一个键或子键下可以包含一个或多个键值项。键值项由键值名、数据类型和键值3个部分组成，格式为“键值名：数据类型：键值”。键值类型：注册表有3种键值类型：(1)DWORD：18位的十六进制数据作为双字；(2)字符串值：存储的字符串；(3)二进制：是一个十六进制数，作为一个字节解释。如前所述，Windows98的注册表是包括由应用程序、硬件设备、设备驱动程序配置、网络协议和网,络适配卡设置等信息的数据库。注册表的数据结构由六个根键构成，均以HKEY_为前缀，解释如下。HKEY_CLASS_ROOT：含有与对象的连接与嵌套(OLE)和文件级相关联的信息，即存储应用程序的扩展名，指明不同扩展名与不同应用软件之间的相互关系，双击某个文件时，相对应的那个程序启动它。HKEY_CURRENT_USER：含有正在登录上网用户信息。包括用户所属的组、环境变量、桌面设置、网络连接、打印机和应用程序等。HKEY_LOCAL_MACHINE：含有本地计算机的部分系统信息。这些信息包括硬件设置、操作系统设置、启动控制数据和驱动器的驱动程序。,HKEY_USERS：含有所有计算机上登录入网的用户信息。包括从本地访问系统的用户和远程登录的用户信息都存储在注册表中。它是可以由远程计算机访问的根键，所以要特别小心。HKEY_CURRENT_CONFIG含有当前用户的一些设置信息，如显示器的数据、用户的Windows98系统设置等。HKEY_DYN_DATA存放着系统运行的动态信息和数据。这个根键的值变化得较快，但不能从“regedit.exe”注册表编辑程序观察到。在Windows98中运行“regedit.exe”程序可查看或修改有关注册的信息。注册表包含了注册表数据库的全部内容。计算机的默认设置和用户的一些特殊的,设置，如自定义的启动画面、登录必须要求密码、自动登录等方法。用“regedit.exe”程序调出的如图4.15所示的“注册表编辑器”窗口是用于更改系统注册表设置的高级工具，由于注册表中包含关于如何运行计算机的重要信息，因此注册表对于Windows98系统来说是非常重要的。各种设置项目，最好使用Windows98控制来更改系统设置。除非有绝对必要，否则请不要直接编辑注册表。另外，在直接编辑注册表之前，一定要备份注册表。如果注册表中出现错误，计算机可能无法正常运转。一旦发生这种情况，请用备份的注册表将他还原。,图4.15,4.5利用注册表提高Windows95/98/ME的安全性Windows登录选项对系统起不到安全保护的作用，在Windows98系统中使用用户名和密码是让每个用户有一个个性化的桌面和菜单选项，但它和一般的网络操作系统WindowsNT/2000相比不是一个真正的多用户系统，不能保护系统和防止非法用户使用计算机。当Windows98启动后出现“Windows登录”界面时，如不输入密码单击“取消”选项也可进入Windows98桌面。为了解决这个问题，可以通过修改注册表的相关选项来尽可能的提高它的安全性，防止匿名用户登录使用Windows98系统。在Windows98系统的注册表的,HKEY_LOCAL_MACHINENetworkLogon子键中，有许多键值项，如：“username”代表登录默认用户，“PrimaryProvider”代表登录方式，而“MustBeValidated”代表登录能否使用匿名用户登录，但是Windows98系统默认无“MustBeValidated”子键。基于此，可以在注册表的HKEY_LOCAL_MACHINENetworkLogon子键中增加一个“MustBeValidated”子键，将其键值设置为“1”，如图4.16所示，则表示禁止匿名用户登录使用Windows98系统。具体步骤如下。,图4.16,(1)首先，要设置的禁止匿名用户登录。启动“开始”“运行”，在弹出的窗口中运行Regedit.exe，出现“注册表编辑”窗口，进