操作系统与网络安全课件

2024年10月16日23時21分

操作系統與網路安全2024年10月16日23時21分2.1Unix系統簡介2.1.1Unix系統的由來 Unix操作系統是由美國貝爾實驗室開發的一種多用戶、多任務的通用操作系統。它從一個實驗室的產品發展成為當前使用普遍、影響深遠的業界主流操作系統，經歷了一個逐步成長、不斷完善的發展過程。由於其功能強大、技術成熟、可靠性好、網路功能強及開放性好，可滿足各行各業實際應用的需求，受到了廣大用戶的歡迎，已經成為重要的企業級操作平臺。由於Unix系統強大的生命力，它的用戶每年以兩位數字以上的速度增長，可以肯定地說，Unix是可以進入21世紀的少數幾種操作系統平臺之一。2024年10月16日23時21分2.1Unix系統簡介 Unix系統在經過20多年的發展成長以後，已經成為一種成熟的主流操作系統，並在發展過程中逐步形成了一些新的特色，其中主要包括： 1．可靠性高。 2．極強的伸縮性。 3．網路功能強。 4．強大的資料庫支持功能。 5．開放性好。2024年10月16日23時21分2.1Unix系統簡介2.1.2Unix常用命令介紹ls

這個命令相當於DOS中的dir（列目錄和文件的命令）-a：把本目錄下所有的檔，包括隱含的檔列出來。-l：把檔的檔長度、修改的日期等詳細資訊列出來。-p：在每個檔案名後附一個字元說明文件類型。*表示可執行檔，／表示目錄，＠表示連接。-d：將目錄當作檔顯示，而不是顯示其下的檔。 當輸入ls-al命令並接回車時，就會列出當前目錄下所有檔和目錄的名稱。2024年10月16日23時21分2.1Unix系統簡介cd

變換目錄，和DOS相同。如果你在cd後面沒有給定目的地，則表示目的地是根目錄。在Unix中有三種表示目錄的符號：“．”、“．．”、“~”。“．”表示當前目錄路徑的位置，“．．”表示當前路徑的上一層目錄，或稱“父目錄”，“~”表示根目錄，根目錄指每個用戶所擁有的目錄。如想進入某一目錄，只需在cd後加上要進入的目錄名，例如cd／etc。who

列出現在系統裏有哪些用戶。Unix是一個多用戶的操作系統，可以同時有許多人在機器上。who命令可以把他們的名字和終端號都列出來。2024年10月16日23時21分2.1Unix系統簡介cp

cp命令等同於DOS裏的copy命令，即複製檔。 例如：cpfilelfile2會將filel檔複製為file2檔。它有如下幾個重要參數： -r：將目錄完全地複製到其他目錄裏，相當於xcopy。 -p：在Unix裏，當你操作時，系統會自動更改檔屬主、組、許可權和時間。-p參數使這些內容保持不變。cat

catenate的縮寫，意為把內容串起來，其實際作用在於顯示檔內容，相當於DOS裏面的type命令。 當輸入cat／etc／passwd命令，就會顯示出本系統的口令檔。2024年10月16日23時21分2.1Unix系統簡介man

英語“manual”的縮寫。這是一條使用頻率很高的命令，用來得到系統對一個特定命令的幫助資訊。例如，如果想得到cat命令的詳細幫助資訊，就輸入mancat。mv

這個命令是move的縮寫，就是移動一個目錄或檔。myfilelfile2就是把檔filel移動為file2，移動後filel會消失，實際上就是把filel改名為file2。2024年10月16日23時21分2.1Unix系統簡介rm

rm就是remove，即刪除檔。當需要刪除目錄以及目錄以下的子目錄時，需用r參數。grep

在檔當中查找指定字元。例如greprootpasswd，其功能為在passwd檔當中尋找root字元並輸出該行。find

用來搜尋特定檔或目錄。其使用格式為： find［路徑］［匹配運算式］ 主要的匹配運算式有：-name，通過檔案名查找； -perm，通過檔屬性查找； -print，輸出搜尋結果。2024年10月16日23時21分2.1Unix系統簡介2.1.3Unix系統基本知識 ●超級用戶 在Unix系統中有一個名為root的用戶，這個用戶在系統上擁有最大的許可權，即不需授權就可以對其他用戶的檔、目錄以及系統檔進行任意操作。 ●檔屬性 為保護每個用戶的私人檔不受他人非法修改，系統為每個檔和目錄都設定了屬性。 -rw-r--r--lrootwheel545Apr412:19file1 r表示可讀，w表示可寫，x表示可執行。2024年10月16日23時21分2.1Unix系統簡介

●Shell

Shell是用戶和Unix系統內核之間的介面程式。在提示符下輸入的每個命令都由Shell先解釋然後傳給Unix內核。可以簡單地認為Shell就是Unix的命令解釋器，相當於DOS中的COMMAND.COM。

●輸入/輸出重定向

重定向用於改變一個命令的輸入／輸出源。“<”和“>”符號用於把當前命令的輸入／輸出重走向為指定的檔。

●管道

管道可以把一系列命令連接起來。這意味著第一個命令的輸出會通過管道傳給第二個命令而作為第二個命令的輸入，第二個命令的輸出又會作為第三個命令的輸入，以此類推。

2024年10月16日23時21分2.2Linux系統簡介 2.2.1Linux的歷史 Unix系統對電腦硬體的要求比較高，對於一般的個人來說，想要在PC機上運行Unix是比較困難的。而Linux就為一般用戶提供了一個使用Unix介面操作系統的機會。因為Linux是按照Unix風格設計的操作系統，所以在源代碼級上相容絕大部分的Unix標準。可以說相當多的網路安全人員在自己的機器上運行的正是Linux。2024年10月16日23時21分2.2Linux系統簡介2.2.2Linux的特點1．與Unix高度相容。Linux是一種完全符合POSIX.l等國際標準的操作系統，它和大部分商業Unix操作系統保持高度的相容性，幾乎所有的Unix命令都可以在Linux下使用。2．高度的穩定性和可靠性。Linux是一種完全32位的操作系統（其實Linux可以很容易地升級為64位），具備完善的多任務機制。2024年10月16日23時21分2.2Linux系統簡介3．完全開放源代碼，價格低廉。Linux符合GNU通用公共版權協議，是自由軟體，它的源代碼是完全開放的，可以免費得到，這對於系統安全人員來說是非常重要的，因為閱讀源代碼是發現系統漏洞的最主要方法。而且與各種商業操作系統相比。4．安全可靠，絕無後門。由於源代碼開放，用戶不用擔心Linux中會存在秘密後門，而且任何錯誤都會被及時發現並修正，因此Linux可以提供極高的安全性。2024年10月16日23時21分2.2Linux系統簡介2.2.3vi用法介紹

vi是Linux下的一個非常好用的全螢幕文本編輯器。

vi有兩種模式，即編輯模式和命令模式。編輯模式用來輸入文字資料，而命令模式用來下達一些編排檔、存檔以及離開vi等等的操作命令。

進入vi：直接輸入vi<檔案名>

離開vi：命令模式下鍵入:q，:wq指令則是存盤後再離開

模式切換：切換到命令模式下需按Esc鍵2024年10月16日23時21分2.3Windows系統簡介 Windows9x：在具有眾多優點的同時，它的缺點是穩定性和安全性欠佳。Windows95／98極易受到各種木馬以及炸彈的襲擊，一般的網路用戶都可以使用一些特種工具輕而易舉地讓Windows9x死機。 WindowsNT：對網路功能的支持更為強大，並且穩定性有了本質的提高。 註冊表：註冊表是Windows系統的核心資料庫，裏面只存放了某些檔類型的應用程式資訊。要方便地修改註冊表可以使用註冊表編輯程式regedit。2024年10月16日23時21分2.3Windows系統簡介2024年10月16日23時21分2.4Unix網路配置2.4.1網路配置檔1./etc／hosts檔

該檔的目的是提供簡單的主機名到IP地址的轉換。一個例子，其中以“#”打頭的行表示注釋：#IPADDRESS FQDN ALIASES

localhost3 host16 host2

2024年10月16日23時21分2.4Unix網路配置 2./etc/ethers檔

當一個主機在本地網路上，並知道其IP地址時，TCP/IP將它轉換成實際的以太網地址。這可以通過地址轉換協議（ARP），或者創建一個／etc／ethers檔並由該檔列出所有的以太網地址列表來實現。該檔的格式是：前面是以太網地址，後面是正式的主機名，例如：#EthernetAddress Hostname5:2:21:3:fc:1a host12:54:12:4:54:7f host2e1:0:c1:1:9:23 host32024年10月16日23時21分2.4Unix網路配置 3./etc/networks檔 該檔提供了一個Internet上的IP地址和名字。每一行提供了一個特定的網路的資訊，例如： #NETWORKNAME IPADDRESS

loopback 127 187.12.4 166.23.56 該檔中的每一項包括一個網路的IP地址、名稱、別名和注釋。2024年10月16日23時21分2.4Unix網路配置4./etc/protocols檔 該檔提供了一個已知的DARPAInternet協議的列表。下例每行包含了協議名、協議號以及該協議的別名：#Internet（IP）protocolsip 0 IP #internetprotocol,pseudoprotocolnumbericmp 1 ICMP #internetcontrolmessageprotocolggp 3 GGP #gatewaytogatewayprotocoltcp 6 TCP #transmissioncontrolprotocolegp 8 EGP #exteriorgatewayprotocolpup 12 PUP #PARCuniversalpacketprotocoludp 17 UDP #userdatagramprotocolhello 63 HELLO #HELLORoutingProtocol

2024年10月16日23時21分2.4Unix網路配置5./etc/services檔 該檔提供了可用的服務列表。對每一個服務，檔中的每一行提供了下述資訊： 正式服務名、端口號、協議名、別名#NetworkservicesInternetstyle#echo 7/tcpecho 7/udpdiscard 9/tcp sink nulldiscard 9/udp sink nullsystat 11/tcpftp 21/tcptelnet 23/tcp2024年10月16日23時21分2.4Unix網路配置2.4.2Unix檔訪問控制

Unix系統的資源訪問控制是基於檔的，為了維護系統的安全性，系統中每一個檔都具有一定的訪問許可權，只有具有這種訪問許可權的用戶才能訪問該檔，否則系統將給出PermissionDenied的錯誤資訊。有三類用戶：用戶本人、用戶所在組的用戶、其他用戶

允許權：

R--讀 W--寫 X--執行 允許權組：A--管理員（所有權利） V--屬主 G--組 O--其他每個人2024年10月16日23時21分2.4Unix網路配置2.4.3NFS檔訪問系統的安全

任一臺主機都可以做NFS伺服器或者NFS客戶。或者二者兼而有之。 用戶最常犯的錯誤只是簡單的NFS設置錯誤，設置有錯誤的NFS主機到處都是。 由於NFS對用戶的認證非常簡單，並且對NFS設置錯誤的例子比比皆是。因此NFS對網路安全的危害是非常巨大的。 首先，對可以安裝調出檔卷的主機沒有限制，將使得任何主機都可以安裝，因此攻擊者所在的主機也一樣可以安裝它。即使沒有其他許可權，攻擊者通過這一步便已看到了系統的許多資訊。2024年10月16日23時21分2.4Unix網路配置 其次，沒有明確地設置調出檔卷為只讀，則調出檔卷在客戶端缺省為可讀、可寫。這時候攻擊者便可以增加，修改，刪除或替換NFS伺服器上的檔。需要明確指出的是，調出檔卷缺省為可寫。 第三，許多主機常常將NFS伺服器上的系統信箱和用戶主目錄所在的目錄調出。安裝這些目錄的用戶（攻擊者），只要具有檔屬主的UID和GID，便可以閱讀這些檔。這只要攻擊者在本機是超級用戶，那麼他便可以用su命令變成任何普通用戶，或者諸如bin這類的特殊用戶。2024年10月16日23時21分2.4Unix網路配置 第四，有一些系統甚至將NFS伺服器上的根目錄調出。這等於是將系統送到別人眼底。系統的一切秘密暴露無疑。攻擊者只需用命令“subin”變成bin用戶，或者與root同組的用戶，便可以替換系統一些啟動時的檔，或者在／（root用戶的主目錄），/bin（bin用戶的主目錄）下增加一個.rhosts檔。系統已經為外來用戶敞開了大門。2024年10月16日23時21分2.4Unix網路配置設置NFS時的一些安全事項：●限制可安裝調出檔卷的客戶機及可安裝的目錄。●如果可能，將檔系統以只讀方式調出去。●對調出的檔及目錄設置為root所有。●不要將伺服器的可執行檔調出。●不要將用戶目錄調出去。●使用安全的NFS●最後一點，最好不要使用NFS。2024年10月16日23時21分2.5WindowsNT網路配置2.5.1WindowsNT的資源訪問控制 WindowsNT安全模式的一個最初目標，就是定義一系列標準的安全資訊，並把它應用於所有對象的實例，這些安全資訊，包括下列元素： 1．所有者 2．組 3．自由ACL（AccessControlList） 4．系統ACL 5．存取令牌（AccessToken）2024年10月16日23時21分2.5WindowsNT網路配置2.5.2WindowsNT的NTFS檔系統