漏洞---看网吧管理软件-纯真年代-西陆网

漏洞---看网吧管理软件

[楼主] 作者:zhsw98 发表时间:2002/09/15 21:59

点击:907次

目前，几乎所有的网吧都用上了网吧管理软件，如《网吧管理专家》、《美萍网管》等。他们使用这种软件的原因不外乎有这么几种：计时收费、防止人为修改和破坏计算机系统、禁止并过滤黄色网站、动态监视每台上网的计算机。但是，所有的这些网吧管理软件又都具有许多的漏洞，希望这篇文章能引起软件公司和软件作者的注意并进行改进。

　　一、实际情况分析

　　笔者经常在郑州的许多家网吧上网，郑州的网吧很多，上网的速度也很快。规模大的网吧有一百多台机器，小的也有二三十台，一般是通过ADSL或DDN接入。虽然各家网吧都使用了不同的网吧管理软件，但这些网吧的计算机都有一些共同的特点：网吧里的电脑基本配置一般为赛扬650，128M内存，20G硬盘，TNT M64的显示卡，17寸彩显。其中，20G硬盘分为C、D、E三个分区，管理员屏蔽了C和D两个分区，因为他的C盘作为系统盘，D盘用来作备份盘，而E盘和软驱A则提供给用户，可以从网上下载软件、音乐或资料存储；开机进入windows后自动启动网吧管理软件，整个界面被网吧管理软件所代替；禁止使用注册表编辑器；禁止使用IE的Internet选项；禁止在IE的地址栏内输入C或D来访问系统和备份盘；禁止控制面板的运行；禁止显示属性的调整；只能运行网吧管理软件所指定的应用程序；禁止开关机和开机后的F8键及windows的安全模式运行。这过如此这些的设置，想必对普通用户而言，这台上网的计算机应该具有了比较高的安全性。

　　二、漏洞寻找

　　你可以通过下面的方法来修改系统。

　　1、新建一个文件，如aa.reg，文件内容如下

　　REGEDIT4
　　[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
　　\Policies\System]
　　"DisableRegistryTools"=dword:00000000

　　然后双击这个文件，将此信息添加到注册表。这样，注册表编辑器就可以使用了。其实，通过修改注册表就可以使用windows下所有的资源，但对于普通用户来说比较难，所以下面是一些更简单的方法。

　　2、从网上下载winrar（可以到华军软件园下载），将此软件安装到E盘，安装完成后单击运行，在winRAR的主菜单中选择更改驱动器，然后输入c: 这样就进入了系统盘（你还可以通过下载opera浏览器等程序运行，在地址栏内输入c: 来进入系统盘）。接着我们进入到C:\WINDOWS\SYSTEM目录下，找到"显示桌面.scf"这个文件并运行，这时整个桌面会回到原来windows的桌面，单击鼠标右键并点"属性"，就可进入到"显示属性"面板，在这里我们可以很轻松的修改显示器的分辩率及刷新率了。顺便说一下，当你更改显示器时，鼠标会停在某个位置不能移动，很可能是因为网吧管理软件的原因。不过没关系，你可以通过TAB键来执行正常的操作，最后调整完成后，鼠标就会恢复正常状态。

3、在刚才的状态下，找到C:\WINDOWS\SYSTEM目录下的Inetcpl.cpp文件并改名为Inetcpl.cpl，这样，就可以运行IE浏览器里的Internet选项了。

　　3、在刚才的状态下，找到C:\Program Files\Common Files\Microsoft Shared\MSINFO目录下的msinfo32.exe文件双击运行，这是windows下的系统信息程序，单击工具菜单里的系统配置实用程序，会运行这个小工具，在这里你可以随心所欲的修改系统的起动文件和配置文件，也可以禁止某些启动程序的运行，甚至你还可以取消网吧管理软件的运行。在这个工具的查看主菜单里，你还可以运行控制面板，并且使用控制面板里的所有功能。

　　4、当你在IE里单击下载文件后，在另存为面板里虽然看不到C：系统盘，但你一样可以输入c:\文件名，保存下载的文件。下一次再下载文件存盘时，你就可以看到c:系统盘了。当然，下面的工作你就可以随意操作了。

　　5、单击一个没有关联过的文件，会弹出文件打开方式，单击其他选项，这时会弹出打开文件的面板，在文件名里输入c:\，同样可以进入系统盘。

　　6、进入网吧管理软件的目录，运行uninstall.exe，可以删除网吧管理软件的大部分文件，在下次机器重启后，此软件将被删除。

　　7、还有最简单的一招，从网上下载如windows修改工具这样的软件安装到E盘并运行，你可以根据自己的需要进行修改。

　　三、建议解决方法

　　笔者认为，上网的机器主要是浏览网页，查资料，听音乐等，所以很多可以从系统上禁止的功能可以禁止。

　　1、系统内部禁止REG文件的导入。

　　2、禁止系统内部显示隐藏文件，这样可防止修改和删除开机文件、系统文件。

　　3、禁止网上下载的EXE文件直接运行，这是最大的隐患。

　　4、禁止各类压缩软件从工具栏输入C: 来进入系统盘进行修改。因为很多的网吧电脑都安装的winzip等压缩工具软件。

　　5、禁止其它类的浏览器在地址栏输入c: 来进入系统盘进行修改。

　　其实，这些工作都是尽量想办法禁止用户进入到系统盘修改文件。

　　经过了这些设置工作，再加上以前的安全设置，我相信，网吧的电脑应该很安全了。

本帖地址：http://club.xilu.com/zhl521/msgview-762370-416.html[复制地址]

[楼主] [2楼] 作者:zhsw98 发表时间: 2002/09/15 22:03

[加为好友][发送消息][个人空间]

回复修改来源删除

Windows 2000漏洞集锦

对于Windows 2000的强大的功能和全新的构架我们都不得不叹服微软的实力，可以预见Windows 2000将成为新一代服务器操作系统的主流，同时也成为黑客攻击的对象。但是由于新的Windows2000的全新构架很大程度都依赖于Active Directory(又称之为AD)，这使得许许多多的管理员在忙于适应新的操作系统，和对原来的资料进行系统的迁移，而对Windows 2000的安全性问题还没有引起足够重视。

　　本文详细介绍黑客在攻击Windows 2000系统时经常利用的一些漏洞和具体步骤以及应对策略，让网络系统管理员在维护系统时尽量做到有的放矢。有一句话非常有道理：“世界上没有绝对愚蠢的系统，只有绝对愚蠢的管理员。”只要我们的网络管理员能够细心地维护系统，相信黑客们是没有可乘之机的。

登陆输入法漏洞

　　这里我们首先介绍一个登录错误，也就是常说的输入法漏洞。当我们启动Windows2000进行到登录验证的提示界面时，任何用户都可以打开各种输入法的帮助栏，并且可以利用其中具有的一些功能访问文件系统，这也就是说我们可以绕过了Windows2000的用户登录验证机制，并且能以最高管理员权限访问整个系统。所以说这个漏洞的危害性是很大的，而且当我们进入系统后，还可以利用Terminal Server远程通信这个漏洞对系统进行攻击。默认的Windows2000系统自带的输入法中有这个漏洞的是：智能ABC,微软拼音,内码,全拼,双拼,郑码。所以就我感觉而言这个漏洞是首要修补的漏洞。

1、把不需要的输入法删除掉，例如郑码等。

2、但是毕竟我们不能把所有的自带输入法都删除，如果我们要使用有漏洞的输入法也可以把那个输入法的帮助文件删除掉。这些帮助文件通常在win2000的安装目录下(如:C:\WINNT)的\help目录下，对应的帮助文件是：

※ WINIME.CHM 输入法操作指南
※ WINSP.CHM 双拼输入法帮助
※ WINZM.CHM 郑码输入法帮助
※ WINPY.CHM 全拼输入法帮助
※ WINGB.CHM 内码输入法帮助

3、微软公司对于此问题发布了MS00-069安全公告，并在互联网上给出了简体中文Windows2000和英文版Windows2000的补丁。所以请尽快打上补丁。

NetBIOS的信息泄漏

　　接下来我们谈一下NetBIOS的共享入侵.这个问题从NT刚发行到现在就从来没有解决。而且它一直由来都是NT系统构架最常见的入侵手段。特别值得一提的就是那个IPC$Null session(空会话)在NT系统里都是已知的安全隐患。虽然打了SP3后可以通过修改注册表来对其进行限制。但不知道为什么Windows2000还是原封不动地保留着这个空对话。那么就让我们来看看空会话能给入侵者带来什么样的信息：

net use \\server\IPC$ "" /user:"" //此命令用来建立一个空会话

net view \\server //此命令用来查看远程服务器的共享资源

服务器名称　　　　　　注释

-------------------------------------------------------
\\pc1
\\pc2
命令成功完成。

net time \\server //此命令用来得到一个远程服务器的当前时间。

nbtstat -A server //此命令用来得到远程服务器的NetBIOS用户名字表

NetBIOS Remote Machine Name Table

   Name              Type        Status
---------------------------------------------
NULL           <00> UNIQUE     Registered
NULL           <20> UNIQUE     Registered
INTERNET       <00> GROUP      Registered
XIXI           <03> UNIQUE     Registered
INet~Services <1C> GROUP      Registered
IS~NULL...... <00> UNIQUE     Registered
INTERNET       <1E> GROUP      Registered
ADMINISTATOR   <03> UNIQUE     Registered
INTERNET       <1D> UNIQUE     Registered
..__MSBROWSE__.<01> GROUP      Registered

MAC Address = 00-54-4F-34-D8-80

　　看看，只不过用了几个系统自带的命令就得到了如此多的信息，那么我们有什么办法可以不让别人轻易得到这么多信息哪？

　　仅靠单纯的修改注册表是一劳永逸的。

HKEY-LOCAL_MACHINE\SYSTEM\CurrentControSet\Control\LSA
Value Name: RestrictAnonymous
Data Type: REG_DWORD
Value: 1

　　但如果一些服务你并不需要开放共享的话。那为什么不禁止它呢？在Windows2000里的方法和NT4的略有不同。它没有限制TCP/IP绑定在NetBISO上，但是我们可以在Internet协议(TCP/IP)属性的设置面板里选取高级(V)选项，然后选择TCP/IP 筛选，接着点选启用TCP/IP筛选，最后在TCP端口点选只允许，然后就可以添加你所想开放的服务的端口了。

此外Windows 2000有一个比较奇怪的特性，使用系统的终端用户可以通过按住右Ctrl，同时Press两次Scrool Lock按键，就轻易可以让整个Windows2000系统完全的崩溃。但同时又在C:\WinNT\下dump完整的当前系统内存记录，内存记录文件名是memory.dmp。当然，这个奇怪的特性默认状态下是关闭的，但是我们可以通过修改注册表的方法把它激活：

    1、运行regedt32.exe （Windows2000的32位注册表编辑器）
    2、选择主键：
　　　HKEY_LOCAL_MACHINE\
　　　然后找到SYSTEM\下的CurrentControlSet\
　　　选择Services\
　　　进入i8042prt\中的Parameters
    3、新建一个双字节值
    4、将键名为CrashOnCtrlScroll
    5、然后在设置一个不为零的值。
    6、退出重启

　　当这一切做完后，你就可以尝试让系统崩溃了，按下按键后的效果为黑屏，将会出现以下信息：

*** STOP: 0x000000E2 (0x00000000,0x00000000,0x00000000,0x00000000)
The end-user manually generated the crashdump.

　　值得注意的是，这个奇怪的特性在WindowsNT4中也存在，不知道是不是微软程序员作测试的一个小功能。不过要是有黑客或者病毒利用它，也是很危险的。

Telnet的拒绝服务攻击

　　Windows中的Telnet一直以来都是网络管理员们最喜爱的网络实用工具之一，但是一个新的漏洞表明，在Windows2000中Telnet在守护其进程时，在已经被初始化的会话还未被复位的情况下很容易受到一种普通的拒绝服务攻击。而在2000年的2月份，拒绝服务攻击几乎成为了所有大型网站的恶梦。

　　Telnet连接后，在初始化的对话还未被复位的情况下，在一定的时间间隔之后，此时如果连接用户还没有提供登录的用户名及密码，Telnet的对话将会超时。直到用户输入一个字符之后连接才会被复位。如果恶意用户连接到Windows2000的Telnet守护进程中，并且对该连接不进行复位的话，他就可以有效地拒绝其他的任何用户连接该Telnet服务器，主要是因为此时Telnet的客户连接数的最大值是1。在此期间任何其他试图连接该Telnet服务器的用户都将会收到如下错误信息：

Microsoft Windows Workstation allows only 1 Telnet Client LicenseServer has closed connection

　　察看“列出当前用户”选项时并不会显示超时的会话，因为该会话还没有成功地通过认证。

IIS服务泄漏文件内容

　　这是一个NSFOCUS安全小组发现的漏洞。当微软IIS 4.0/5.0(远东地区版本)在处理包含有不完整的双字节编码字符的HTTP命令请求时，会导致WEB目录下的文件内容被泄漏给远程攻击者。

　　Microsoft IIS远东地区版本包括中文(简体/繁体),日文，韩文版，由于特定的文字格式使它们都是使用的双字节编码格式。而当IIS接收到用户提交的一个HTTP请求时，如果文件名中包含非ASCII字符，IIS会检查这个字符是否为双字节编码中的前导字符(例如，日文的前导字符包含两段字符：0x81-0x9F, 0xE0-0xFC)。如果是前导字符，它会继续检查下一个字符是否为结尾字符。如果没有下一个字符，IIS会简单地丢弃这个前导字符，因为它并没有构成一个完整的双字节编码。然而，这种处理将导致IIS打开不同的文件而不是用户在请求中指定的文件。

　　攻击者通过提交一个特殊格式的URL, 可以使IIS使用某个ISAPI动态链接库打开某种它所不能解释的类型的文件，并获得该文件的内容。依赖于系统安装的ISAPI应用程序的类型，攻击者可能获得WEB根目录或者虚拟目录下的文件内容，这些文件可以是普通文本文件(.asp, .ini, .asa等等)，也可以是二进制文件(.exe等等)。

　　黑客们会使用Unicode的方法利用这个漏洞：

　　Unicode（统一的字符编码标准, 采用双字节对字符进行编码）可以说是近一段时期以来最为流行的攻击入侵手段，仅国内近期就有江民公司等几个大的网站被这种入侵手段攻击。那我们就来谈一下这个很容易的利用Unicode漏洞配合IIS的漏洞进行入侵吧。

　　上面我们提到过由于某些双字节的Windows2000在处理某些特殊字符时与英文版本不同，然而利用这种IIS的漏洞，攻击者就可以通过这些特殊字符绕过IIS的目录审计远程执行任意命令。

http://server/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir+c:\

　　黑客们其实只要下面两句很简单的指令绕过IIS的审计就能够对网站的页面进行改写，所谓的黑了一个网站就是这么的简单。

http://server/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+copy+c:\winnt\system32\cmd.exe+d:\inetpub\scripts\123.exe
http://server/scripts/123.exe?/c+echo+黑掉啦?+>+c:\inetpub\wwwroot\default.asp

　　这个问题已经在IIS 4.0 + SP6中得到解决，然而微软却让它在IIS 5.0中再度出现。

　　但该漏洞不会影响包括英语版在内的其他语言版本的IIS 4.0/5.0。

MS SQL Server的SA空密码攻击

　　在Windows2000中，企业级的用户一般都会用到另一个微软的产品，这个产品就是数据库管理软件 MS SQL Server，但是在与MS SQL Server配合使用中，我们发现了很多的问题。最后我们就简单讲一下安装了MS SQL Server的Windows2000的网络操作系统普遍面临的安全问题。

　　在安装MS SQL Server后，MS SQL Server会将产生一个默认的SA用户，而且初始密码在管理员没有设置的情况下为空。但是SA是SQL Server中非常重要的安全模块成员，这样一来黑客们就可以通过SQL Server的客户端进行数据库远程连接，然后再通过SQL的远程数据库管理命令xp_cmdshell stored procedure(扩展存储过程)来进行命令操作:

xp_cmdshell "net user id password /add"
Xp_cmdshell "net localgroup Administrators id /add"

　　就以上两条简单的命令入侵者就能在MS SQL Server的服务器上马上新建一个管理员级别的Administrators组的用户。所以我们这里提醒各位网管大人，在安装好SQL Server您需要做的第一件事就是把SA的空密码立即进行修改。这个问题就不要我告诉你应该在哪里改了吧?

　　而且在一般情况下，一些功能对管理员来说也是没有必要的。如果你不需要MS SQL Server 的xp_cmdshell(use sp_dropextendedproc "xp_cmdshell")这项功能就不要把xp_cmdshell extended stored proc(扩展存储过程)命令功能留着。

　　我们只需要在isql窗口中输入：

use master
sp_dropextendedproc 'xp_cmdshell'

　　然后打上Service Pack 3，这里提醒管理员们一下，一定要经常留意微软的补丁包文件，并且注意及时的把系统和软件更新到最新的补丁。

　　本文中我们讲述了几个近期来最为流行的漏洞和攻击方法，他们实现入侵是如此的方便，这里可有不少的网友会认为Windows2000是一个不安全的操作系统，但如果你这样的认为那就说明我的文章还没有写明白，所以在最后我要强调一下，只要我们常打补丁包，正确的给系统加设密码，我们的安全率就在85％左右。

[楼主] [4楼] 作者:zhsw98 发表时间: 2002/09/15 22:11

[加为好友][发送消息][个人空间]

回复修改来源删除

聊天室的攻防技巧

一、简介

　　随着Internet的普及和发展，网络这块净土也被黑客盯上而屡屡出现一些风波，比如重要网站被黑、商务站点受到影响等等，这些事例都是数不胜举。虽然这些事情和我们普通老百姓都是相距甚远的，但还是给网友们带来了不便，要想有效的防护自己的，首先就要知晓对方会采取何种破坏和攻击手段。

　　实际上存在着许多的聊天工具，比如可以通过V2登入到BBS进行聊天，也可以通过IRC协议进行及时的聊天,比如象ICQ、MSN和国内的OICQ软件都属于这种形式的聊天。

　　各种聊天工具都有它们自己的优缺点，比如IRC协议因为是完全基于字符的，所以速度比较快。还有网站的聊天，该聊天系统的特点是用户注册登入以后，把用户浏览页面的情况实时的发送到相关的服务器上，这样，所有在同一个网站上面的用户就可以实时的进行沟通。基于Web的聊天服务器系统的最大的优点是完全基于浏览器和Web服务器的，所以用户不需要任何其他的客户端的工具，而且由于浏览器完全支持多媒体形式，所以传输的内容可以非常丰富多彩。

二、聊天室存在的攻击行为

　　我们知道浏览器实际上除了和Web服务器进行消息的传送以外，还负责对服务器发送回来的HTML页面进行解析，而现在几乎所有的浏览器都支持JavaScript，这样如果用户在发送信息的时候，不是发送正常的文本而是一些带标记的HTML语言甚至是JavaScript的时候，如果这些语句又是一些恶意的程序代码，就会对用户造成损害。

　　另外，用户可以通过代理截获所有发送和接收的数据包，通过自己编写的应用程序不停的向服务器发送类似格式的数据包使服务器不能处理其他用户的信息包，能够这样做的原因是因为浏览器和Web服务器通讯并不是通过一个固定的Socket连接进行的，服务器端实际上只是判别数据包本身的合法性，并不判断数据包是从哪个IP地址和哪个Port端口发送的。而浏览器是每次发送数据包的时候和服务器建立一个Socket连接，当该次传送完成后连接就会断开。

现在基于Web的聊天室有一般有两种形式：一种是需要用户认证的，即用户在登入服务器以前必须进行注册，一种是不需要认证的，即用户只需要用一个Nickname就可以登入到聊天室中，只要该聊天室中还不存在这个NickName就可以了。关于用户的消息处理，现在几乎所有的聊天室都关闭了对HTML和Javascript的支持，或者是仅仅允许一部分用户（比如聊天室的系统管理员等）使用这些功能。

三、需要注意的问题和防范

　　由于OICQ是用户间的直接连接，所以很容易被查出IP地址而受到攻击，在解决了单机上的安全问题之后，我们面对的将是如何在网络上进行防护。

　　首先，建议大家要安装防火墙程序。

　　目前比较好的防火墙有LockDown 2000、ZoneAlarm和天网等等，这些工具都有汉化的版本，因此使用方面应该是没有太大的问题。如果在这些防火墙程序中将安全等级设置为“高”的话，它们就会对网络上发送和接收的每一个字节进行监测，同时也会对指定的端口进行实时的查看，一旦发现有非正常的数据包企图进入计算机系统，它们就会加以拦截。

　　关于信息长度的限制：

　　一般来说，在服务器发送给浏览器端的HTML中含有的JavaScript会对用户输入的信息做检查，防止信息超过一定的长度，但是实际上用户可以不通过浏览器，自己生成数据包发送到服务器端，所以为了防止用户发送过长的数据包，需要在服务器端检查用户的数据包的长度。当然这里同时需要注意的是要在用户登入的时候在服务器端检查用户名称和密码的最大长度，同时如果设定了用户性别的话，也要设定其长度限制，事实上如果用户是通过浏览器方式的话，因为在服务器发送给客户的HTML文本中已经通过JavaScript剧本做了限定，一般不会有问题，但是要考虑用户通过自己合成数据包发送类似信息所产生的问题。

　　数据包内容的判断：

　　因为恶意用户可能会在发送的信息中含有恶意的JavaScript代码或者是HTML代码，如果这样的信息包在服务器端不经过处理而直接传送到其他用户的浏览器上的话，就会造成其他用户的浏览器不停的打开新的窗口，直到耗尽系统的资源。其他的比如发送特大的图象或者是其他的多媒体文件到指定的客户端就会对该客户端用户造成不良的影响。所以一般我们需要对用户发送的信息进行处理，屏蔽这些HTML语句和Javascript语句。因为所有的命令都是包含在“<>”里面的，所以最简单的方法就是当服务器接收到“<>”字符的时候，只把“<>”看成是普通的字符而不是命令的标志符，就可以避免这个问题。当然为了增加聊天的趣味性，可以对某一些可信任的用户开放这些功能。

用户身份的鉴别：

　　很多聊天室在传送数据包的时候，只是根据网页中隐含的字段得到用户的名称作为用户的标识来发送信息。比如国内比较典型的聊天站点(www.silversand.net)的用户的发送信息的数据包的格式是这样的：GET http://chat.silversand.net/BANNER?USER=username&
SAYS=%3Ch2%3Ethis+is+test%3C%2Fh2%3E&IMG=&IMGURL=&
WHOTO=%CB%F9%D3%D0%C8% CB&ACTION=%CB%B5%BB%B0&as=on&msg=HTTP/1.0 其中username就是表示该数据包是这个用户发送的。这样我们就很容易自己构建一个类似的数据包，而把用户名称替换成其他任何我们想要替换的人的名称，这样聊天室中的信息就会变得比较混乱，搞不清楚消息到底是谁发送的。

　　为了避免这个问题，我们的解决方案是这样的，当用户首次登入的时候，服务器系统应该生成一个唯一的sessionID来标识这个用户，这样，每次用户发送的数据包中必须包括这个sessionID，服务器根据这个sessionID来识别是否是该用户发送的消息，如果是一个不合法的sessionID的话，就简单的丢弃这个数据包。因为sessionID是在服务器端随机生成的，所以用户很难自己构造一个合法的sessionID来欺骗服务器，保证了信息来源的可靠性。当然如果服务器需要用户首先注册的话，可以同时检查用户的密码和sessionID是否匹配，这样用户伪造其他用户的信息的可能性就会更小。

　　关于用户发送重复的信息和自动循环发送随机信息（即通常所说的聊天室刷屏现象）的处理：

　　如果用户只是通过浏览器操作的话，服务器传送给用户的HTML文本中包含的Javascript就会在用户发送消息的时候比较用户的本次信息是否和上次信息相一致，如果是相一致的话，系统就不会发送本次信息并给出警告。而且如果用户是在浏览器上进行操作的话，用户的信息发送间隔会受到手工操作的限制。但是，如果用户是通过自己的应用程序发送数据包的话，就不会有这个限制。实际上用户可以在一个线程中不断对服务器循环发送数据包。所以系统不仅要考虑在客户端有这个限制，还需要在服务器端进行限制。

　　我们的解决方案是这样的，对所有在线的用户，我们建立了一个用户池，它实际上是一个用户对象的链表，每一个用户对象包含了用户的名称，用户的sessionID，用户的上一句发言的信息和用户上一句发言的时间。实际上这个用户池也是滚动的，如果用户在最近一段时间内没有任何信息，我们就认为该用户已经不在线上，就从信息池中删除该用户，以便为其他用户的连接让出资源。如果用户发送的消息和上一次消息相同的话，就简单的丢弃用户的这个数据包，如果用户这次消息的发送时间和上一次时间间隔小于一定范围（比如一秒）的话，我们就认为这种数据发送速率是非正常的，就简单的从用户池中删除这个用户，断掉这个连接。通过这种解决方法有效的解决了用户刷屏和发送重复消息的问题。

四小结

　　本文介绍了Internet的聊天系统和不同的特点，重点介绍了聊天室存在的问题和一些攻击行为的防范，虽然黑客猖獗，不过胜利始终是属于正义一方的。

[楼主] [5楼] 作者:zhsw98 发表时间: 2002/09/15 22:15

[加为好友][发送消息][个人空间]

回复修改来源删除

网络管理员及攻击者的好帮手Wget使用详解
对一个经验不是很丰富的攻击者而言，千辛万苦拿到系统管理权或者Telnet权限以后，往往不得不面对这样尴尬的场面：那倒权限有什么用处？前一阵出现UNICODE漏洞以后，各种网站出现很多利用Unicode漏洞查看服务器目录、文件内容等文章，这些文章往往详细介绍检测Unicode漏洞、利用该漏洞查看系统信息、文件目录结构等内容，很多学习者可以根据这些文章达到查看目录的目的，至于其他，就不了了之。

　　对于一个系统管理员来说，时常要为系统下载一些补丁软件或者杀毒升级包甚至另外一个网站的镜像，对他们而言，可能，网络蚂蚁或者FlashGet往往不是最好选择。为什么？谁也不愿意自己的系统有广告条程序出现，因为我们不能肯定这些广告条到底做了些什么，潜在地漏洞比已知漏洞更加可怕！所以，一些传统的好程序，对于一个管理员而言，往往却要敬而远之。

　　Wget其实是一个Unix下面使用的程序，现在，可以在Winodws系统下面使用，当然，是命令行方式。Wget有以下功能和特点：

　　（1）支持断点下传功能；这一点，也是网络蚂蚁和FlashGet当年最大的卖点，现在，Wget也可以使用此功能，那些网络不是太好的用户可以放心了；

　　（2）同时支持FTP和HTTP下载方式；尽管现在大部分软件可以使用HTTP方式下载，但是，有些时候，仍然需要使用FTP方式下载软件；

　　（3）支持代理服务器；对安全强度很高的系统而言，一般不会将自己的系统直接暴露在互联网上，所以，支持代理是下载软件必须有的功能；

　　（4）设置方便简单；可能，习惯图形界面的用户已经不是太习惯命令行了，但是，命令行在设置上其实有更多的优点，最少，鼠标可以少点很多次，也不要担心是否错点鼠标；

　　（5）程序小，完全免费；程序小可以考虑不计，因为现在的硬盘实在太大了；完全免费就不得不考虑了，即使网络上有很多所谓的免费软件，但是，这些软件的广告却不是我们喜欢的；

一：软件下载与安装

　　该软件最新版本为1.53版，可以在以下网址下载：

http://download.yesky.com/servlet/mydown.yeskydown?tag=4&objID=16535

　　因为是命令行工具，直接解压软件到任意目录就可以了。

二：软件使用

　　因为是命令行工具，所以，我们需要了解的就是命令使用格式和参数：

　　命令格式：

　　wget [参数列表] [目标软件、网页的网址]

　　因为软件的参数比较多，我们只选最常用的来看：

　　1、启动类参数

　　这一类参数主要提供软件的一些基本信息；

　　-V,--version 显示软件版本号然后退出；

　　-h,--help显示软件帮助信息；

　　-e,--execute=COMMAND 执行一个 “.wgetrc”命令

　　以上每一个功能有长短两个参数，长短功能一样，都可以使用。需要注意的是，这里的-e参数是执行一个.wgettrc的命令，.wgettrc命令其实是一个参数列表，直接将软件需要的参数写在一起就可以了。

　　2、文件处理参数

　　这类参数定义软件log文件的输出方式等；

　　-o,--output-file=FILE 将软件输出信息保存到文件；

　　-a,--append-output=FILE将软件输出信息追加到文件；

　　-d,--debug显示输出信息；

　　-q,--quiet 不显示输出信息；

　　-i,--input-file=FILE 从文件中取得URL；

　　以上参数对于攻击者比较有用，我们来看看具体使用；

例1：下载新浪首页并且显示下载信息；

图一

　　例2：下载新浪首页并且不显示任何下载信息；

图二

　　例3：下载文件urllist.txt里面所有url：

图三

　　以上三个举例，我们可以看到文件处理参数的使用，需要注意以下问题：

　　（1）如果是一般使用，最好打开-d参数，这样可以看到详细的下载信息；

　　（2）如果是攻击者使用，当然不能使用-d参数，不然一大堆信息出现；

　　（3）例子三的urllist.txt是这样构造的：

　　http://www.sina.com.cn

　　http://www.163.com

　　也就是每个URL一行组成的文本文件；

　　3、下载参数

　　下载参数定义下载重复次数、保存文件名等；

　　-t,--tries=NUMBER 是否下载次数（0表示无穷次）

　　-O --output-document=FILE下载文件保存为别的文件名

　　-nc, --no-clobber 不要覆盖已经存在的文件

　　-N,--timestamping只下载比本地新的文件

　　-T,--timeout=SECONDS 设置超时时间

　　-Y,--proxy=on/off 关闭代理

　　以上参数在网络蚂蚁和FlashGet中也有设置，我们看几个例子：

例1：下载新浪首页并且保存为sina.htm文件

图四

　　例2：下载新浪首页，如果已经存在，不覆盖；

图五

　　在以上举例介绍了常见的下载参数使用，在举例2我们可以看到如果文件已经存在，不下载此文件；

　　4、目录参数

　　目录参数主要设置下载文件保存目录与原来文件（服务器文件）的目录对应关系；

　　-nd--no-directories 不建立目录

　　-x,--force-directories 强制建立目录

　　可能现在我们对这里的目录还不是很了解，我们来看一个举例：

　　例：下载sina的这篇文章：http://finance.sina.com.cn/g/20011021/119513.html，并且强制建立目录：

图六

　　我们看一下文件保存在哪里就会明白强制建立目录的意义：

图七

　　原来强制建立目录关系就是根据网站目录关系建立本地相对应的目录，这对于建立镜像网站特别有用；

5、HTTP参数

　　HTTP参数设置一些与HTTP下载有关的属性；

　　--http-user=USER设置HTTP用户

　　--http-passwd=PASS设置HTTP密码

　　--proxy-user=USER设置代理用户

　　--proxy-passwd=PASS设置代理密码

　　以上参数主要设置HTTP和代理的用户、密码；

　　6、递归参数设置

　　在下载一个网站或者网站的一个目录的时候，我们需要知道的下载的层次，这些参数就可以设置；

　　-r,--recursive 下载整个网站、目录（小心使用）

　　-l,--level=NUMBER 下载层次

　　例：我们要下载一个网站，可以这样：

图八

　　这样可以将一个网站下载回来，但是，如果没有必要，还是不要整个下载的好；

　　7、递归允许与拒绝选项参数

　　下载一个网站的时候，为了尽量快，有些文件可以选择下载，比如图片和声音，在这里可以设置；

　　-A,--accept=LIST 可以接受的文件类型

　　-R,--reject=LIST拒绝接受的文件类型

　　-D,--domains=LIST可以接受的域名

　　--exclude-domains=LIST拒绝的域名

　　-L,--relative 下载关联链接

　　--follow-ftp 只下载FTP链接

　　-H,--span-hosts 可以下载外面的主机

　　-I,--include-directories=LIST允许的目录

　　-X,--exclude-directories=LIST 拒绝的目录

　　在这里，还有一些参数可以设置，我们可以和一般的离线浏览软件比较，基本一样。这里我们就不举例了。

三：总结

　　无论对于一个网络管理者还是攻击者，这一款软件都是好工具。使用的时候，当然最好用批处理文件写好，以免一大批参数要记。其实对于一般的用户，这款工具也是很不错。

[楼主] [6楼] 作者:zhsw98 发表时间: 2002/09/15 22:17

[加为好友][发送消息][个人空间]

回复修改来源删除

注意论坛恶意代码
有少数违法捣蛋的人，在论坛里利用恶意的代码在别人的贴子里贴巨型的图片、屏蔽文字导致浏览上的困难，甚至是利用代码造成浏览者死机进行捣乱，严重影响了论坛和网络秩序，搞得众网虫草木皆兵。下面就以国内一个非常著名的财经论坛中一些典型的恶意代码为例，提醒各网民注意，特别是各论坛的维护管理者，请尽快修正自己系统里的技术漏洞，以免让此类事件再次发生。

　　这个论坛为了方便股民网友之间的交流，也为了不让别的论坛挖掉自己的常客，维持人气，规定在贴子正文里不能放置除了该论坛地址外的任何链接；但是可以在ID旁边的Email地址栏里放50个字节的HTML和JS代码。问题就是在这里产生的：

　　只要在Email地址中输入一些特殊的代码，就可以改字体颜色(隐文字)比如在Email地址中输入 body text=#0000FF 就表示用纯蓝色的字符显示贴子的正文。其中#0000FF是纯蓝色的颜色代码，#00000是黑色,#FFFFFF是白色，也可使用white,blcak,yellow,red,blue等代码，如：body text=red 。

　　如果把字体颜色改为#F1F5F1色——也就是该论坛贴子的底色，和底色一样，文字就看不见了，即 (这种方法在一个贴里只能使用一次，如果该贴子前面有人已经用过了，你再用就无效了）。这种代码影响的不只是发贴回复的那个部分，而是对全张贴里的正文都有影响。所以用刺激的大红大黄等等颜色代码后，整个屏幕炫目刺眼，浏览该贴的人眼睛会不堪重负，只有放弃。

　　另外，只要mail地址中输入一些特殊的代码，就可以贴图像。代码格式如下：

　　img src=HTTP://www.XXX.com/XYZ.jpg

　　其中src=后面的是图像的网址链接，可以通过在图片上点右键选属性的方法看到。大家很容易猜到，只要链接的这个图片尺寸很大，浏览该贴的速度就会慢得令人无法忍受，从而放弃浏览，也就造成变相的封贴效果。有的人还不只贴一个图。

　　如果使用下面这个图像地址，会导致Windows蓝屏甚至死机，这是Windows 98系统的BUG

　　img src=c:\con\con

　　这种造成别人系统死机的行为已经算一种初级的网络攻击。本来是这个论坛里几派不和的圈子之间互相敌对的内部纠纷，（该论坛有一位非常知名的人士，因为频繁地发内容重复的贴和空翻贴刷屏，加上有点吹牛的作风，引起了公愤，他的拥趸和反对者经常破口大骂和贴图封贴互相攻击）但近来有扩散滥用的趋势，连毫不相干的贴也加入恶意代码，殃及无辜。很多人只是来看热闹或是看了贴子的标题，觉得好奇地点击进去，就死机了，如果手头的下载任务还没完成或撰写的文章还没保存的话，损失巨大。

另外，该论坛还有人利用注册机制上的漏洞，用windows自动屏蔽不显示出来的代码冒充别人的ID进行辱骂、封贴等恶劣行径，应该引起各位版主的高度警惕，引以为鉴。下面对浏览各论坛的普通用户，简单介绍一点防止此类行为后果的方法：

　　1、如果只是遇到贴里的文字被改变了颜色和尺寸，可以在IE的查看选项里，点击查看“源代码”，IE将会自动打开记事本程序，把该贴转换成HTML代码的形式在记事本里。因　　为记事本是白底黑字的纯文本显示的，不受任何代码的影响，所以浏览其内容没有问题——当然，里面也夹杂了大量的英文HTML代码，是定义贴子的网络格式的，你可以置之不理，看中文就行了。这样比正常不方便是肯定的了，只有等论坛的管理员来解决真正的问题了。

　　2、如果实在是很喜欢你的论坛和里面的网友，要在“风头火势”也上网看贴，为防死机，可以关闭浏览器的图像显示功能：

　　即选IE 工具－＞Internet选项－＞高级－＞把“显示图片”功能关闭，同时还可以不看广告。在需要显示某个图象的时候，可以图像上右键选“显示图象”。

　　象这个论坛的情况，可能在全国各地都有类似的事情发生，网络管理员应该怎么杜绝此类行为，相信不用我啰唆了，他们都是专业技术人员。BBS论坛已经在我们的网络生活里占了重要的一席之地，众多的网民在论坛上面找到了老师、朋友甚至是爱人。希望大家都遵纪守法，好好维护这个属于大家的交流场所。论坛的版主和技术人员更是应该认真负责，管理维护好论坛的秩序。

[楼主] [7楼] 作者:zhsw98 发表时间: 2002/09/15 22:20

[加为好友][发送消息][个人空间]

回复修改来源删除

狙击黑客：网络入侵检测与预防
在互联网持续升温，电子商务理念也得到大多数人的认同的今天，一向在网络上从事窃取数据与捣乱的网络黑客也同样地注意到这一现象。这种每年可能会造成企业电子商务系统损失惨重，而且意外地终止企业从Web站点所引入商机的网络侵害行为，曾经一度肆虐横行，十分猖獗，而且明目张胆的对世界上主要知名的网站进行破坏，导致其站点瘫痪。

　　包括雅虎在内的知名网站，在去年二月初就陆续受到网络黑客的刻意攻击，导致其站点瘫痪而无法提供给用户持续的服务。此次黑客所使用的攻击方式：“拒绝服务”(Denial of Service, DoS)也因此大出风头，成为众所皆知的网络攻击方式，而这种由网络黑客所发起，通过对网站服务器产生大量服务需求，使网站服务器充斥大量要求答复的讯息，导致服务器系统不胜负荷以至于当机，最终无法提供服务给其他用户的“拒绝服务”攻击，也已经达到一个令电子商务网站值得高度警惕的程度。

　　何谓“拒绝服务”与攻击？

　　不像传统黑客通过系统的漏洞而取得其使用权的入侵攻击方式，“拒绝服务”的攻击则比较属于“阴险狡诈”型，网络黑客通过选取一个系统以进行攻击，并通过产生大量的服务需求以淹没该系统，并造成被攻击系统的瘫痪。

　　“拒绝服务”的攻击方式大都使用一些“ping”指令的形式，通过一部电脑送出小的封包到另一部系统以检查其是否可以进行存取，当被检查的电脑通知攻击的电脑它是可以处于服务的状态时，整个攻击的行动就可以随时展开。另一种“拒绝服务”攻击方式称为“Ping Flood”，它可以通过送出大量的ping指令给要攻击的系统，并在ping指令上使用伪装的IP地址，由于系统尝试去回应这些使用假冒地址的服务需求，并且在最后终于放弃，但是却因此耗用了大量系统资源，接着这大量的网络假需求就会陷所选择攻击的目标于瘫痪。

　　何谓“分布式拒绝服务”与攻击？

　　若是想对一个相当大的系统进行攻击以其使系统瘫痪时，就必须发动相当多的电脑对该系统发起同步的“拒绝服务”攻击，这种分布式的拒绝服务攻击会从互联网上的多个地点制造网络流量，让整个攻击的行动更为巨大而且更加难以追踪。这种方式的攻击行动大都是由一群网络黑客通力合作或者是由单一个网络黑客借用多个其他网站的电脑设备以进行攻击。

　　不久前攻击这些国际大型知名的电子商务网站就是使用后者的技术，并且借用了许多不知情的机器做为攻击站点，这些机器大都是个人或是公司企业所拥有，但是却被网络黑客所入侵，并植入攻击程序或是一些可以从远处控制的代理程序，因此变成这些网络黑客的打手，以引发网络攻击大战。

　　网络黑客可以使用如通讯端口扫描软件(port scanning)等在互联网很容易找到大量类似的技术来判断哪些系统的入侵比较容易，一旦选定了要入侵的目标后，网络黑客就会利用各种的方式以货取这些系统的使用权，并在系统内植入这些恶意的软件，以让他们做为其发起攻击的基地，可以随时随地对各个不同所要攻击的网站发动“分布式拒绝服务”(Distributed DoS)的攻击。

　　在有些的情况下，有些网络黑客会采用阶层式的控制方式来发动全面攻击，网络黑客会对其少数主要的机器发出指令，然后这些机器再依序对于其大量的下游机器发出指令以进行攻击。一旦这些指令都成功的发出而且这些机器都同时响应，他们就会使用假的IP(faked IP)或是冒用IP(spoofed IP)对选定的系统进行DoS的攻击。因此为数相当多的系统都被蒙在鼓里而参与了这个网络的犯罪，并且可能在事后仍然不知情而继续被网络黑客利用，成为犯罪的工具。

而令大家特别担心的是，进行类似这种攻击的软件可以在互联网上的各个网站下免费下载，列如TFN2K(部落淹没网络)与Stacheldraht(倒钩铁丝)就是其中最常见的两种。TFN2K是在Linux、Solaris与Windows操作平台上执行，并在攻击时使用UDP、SYN、ICMP回应与ICMP广播等封包，而这些工具对企业网站最大的威胁则是其具备分布式攻击架构的能力。

　　如何防御“分布式拒绝服务”的攻击？

　　最有效的方法是只允许跟整个Web站点有关的网络流量进入，就可以预防类似的黑客攻击，尤其是所有的ICMP封包，包括ping指令等，应当都要进行封包的拦截，因为ICMP的服务大都是被用来发动“拒绝服务”的攻击。企业使用防火墙就可以阻绝所有的ICMP网络封包，请参考(图1)及(图2)所示。

　　图1：用防火墙或是入侵检测程序可预防IP假冒以及对封包的拦截

　　图2：以CA GuardIT防火墙针对各式封包与攻击模式进行系统入侵检测与应采取的措施

即使再严密的防护措施都还是可能会有漏洞，所以虽然使用围堵的保护方式，但对于Web网站来说仍然有可能会受到大量其它合法的需求而产生类似情况。举个例子来说，一般网站为了能够正常的运作，都必须允许http通讯协议的使用，因此网络黑客也可以对企业网站发出超大量的http需求以达到“拒绝服务”的攻击效果。为了解决这问题，我们就必须安装一个具备能够自动检测与进行回应的机制(detection and response mechanism)，最主要目的就是能够进行早期的黑客攻击检测，并可以快速回应，采取适当的行动以避免对企业系统产生重大危害，让站点可以持续的提供服务给所有的使用者。

　　例如，企业可以使用冠群金辰的针对电子商务(e-Business)所推出的安全解决方案─eTrust系列中的eTrust Intrusion Detection软件，可以及早检测到从一些特定网络所传来的大量网络流量，并采取适当回应，如（图3)。

图3

eTrust Intrusion Detection可以在几秒钟内检测到网络黑客的攻击，并且通过将其动态的规则(dynamic rules)送至各种不同常用的防火墙产品，以起到封包的过滤回应作用：

　　如何让自己的机器不会变为网络黑客犯罪的工具

　　你需要向你所使用的ISP验证他们是否已经使用了最新的安全设备或具备防护功能的软硬件设备等，并将其周边路由器的封包过滤功能打开以进行检验；个人用户若是使用专线而且经常24小时开机的话，也请考虑安装个人防火墙等类似的软件，以确保其系统不会被其他的人蓄意破坏与非经授权的使用，如(图四)，并且最好在每部电脑上执行最新的电脑病毒防护软件与更新所使用的病毒代码，以防止具备恶意的程序入侵而不经意的变成网络杀手，因为最新的电脑病毒防护软件与病毒代码已经可以检测到入侵电脑携带的Trojan Horse病毒，以避免沦为网络黑客发动攻击的“先锋”。

　　
图4 ：个人电脑用户可是使用BlackICE这种小型的入侵检测系统

　　操作系统与应用程序的防护

　　通过经常查询网络论坛、安全防护组织的常见问答集(FAQ)与相关安全制造厂商的建议等，使用者可以确保其所使用的Linux、Windows或Unix机器不会有让外部的非法授权使用者拥有系统管理帐号使用权限的安全漏洞；而在电脑系统上使用的应用程序也可能会有一些BUG，而导致让黑客有机可乘，如以前曾发生过的Buffer Overflow等问题，这些问题也都是使用者常会忽略的细节，因为一般企业在系统执行相当稳定之时，大都希望不要对系统进行任何的修改，而厂商也大都有着多一事不如少一事的心理，而不会主动的对客户进行系统修补(patch)，以至于每个安全防护组织所公布的安全漏洞在每个企业使用的系统都可以被成功的入侵。

黑客所使用的工具

　　使用者的电脑中最好在任何的时间都不要执行任何知名的黑客入侵工具，例如：计算机应急处理协调中心(Computer Emergency Response Team/Coordination Center - CERT/CC)就已经将下面的工具列入其范畴：

　　·部落淹没网络(Tribe Flood Network, TFN)
　　·Trin00
　　·Stacheldraht（德文铁丝网的意思）

　　除了针对这些黑客常用的工具进行扫描外，使用者也必须对其他的黑客程序，如Back Orifice等类似可以进行远端遥控与数据收集的程序进行检查，目前采用电脑病毒防治程序配合最新的病毒代码数据都可以将其扫描出来。

　　如何选择解决方案

　　这种“拒绝服务”与分布式“拒绝服务”的攻击方式，除了造成网络大量的流量外，也会消耗大量的系统资源，所以除了使用上述我们所提及的入侵检测、防火墙进行通讯协议与进入监控与电脑病毒防护软件以检测这些恶意的应用程序外，其实通过适当的Web网站管理、网络管理与系统管理软件，也可以在黑客进行入侵时所涌入的异常网络流量或异于平时的系统资源使用量时，通过所预先设定的监测门槛值(threshold)，在整个系统刚出现异常时，即可通知系统管理人员，以及早进行检查与排除。利用它们监视整个电子商务系统或是不同Web网站、服务器等的资源使用状态，再与防火墙、入侵检测与电脑病毒防护等整合在一起，就可以形成一道缜密的防护网，可以主动的防御各种恶意入侵或是人为因素所引起的异常情况。

图5 ：eTrust Intrusion Detection提供入侵模式与病毒代码

　　电子商务提供了一个比以往更为便利的网络交易环境给所有的互联网使用者，在使用大量的Web站点、提供了重要的公司信息、关键的商业应用程序与消费者私人的信息的同时，也产生更多的风险。为了能够在这个竞争激烈又处处布满危机的环境中获得成功，企业组织必须在使用者存取其资源的同时也必须保护其相对应的资产，并确保其消费者私人信息的安全。企业经营管理人员应该选择能够解决上述问题，并针对各种的电子商务操作环境提供点到点的安全基础架构的解决方案。另外，在选购这类产品时也应该考虑其整合性与支持性，除了能够提供这类入侵检测与防治的产品外，也应该能让防火墙与电脑病毒防护软件整合在一起，并可以定期提供病毒代码与入侵攻击模式数据库的更新，以在面对互联网科技日新月异之际，也能提供完整的企业与电子商务系统的信息安全防护。

[楼主] [8楼] 作者:zhsw98 发表时间: 2002/09/15 22:24

[加为好友][发送消息][个人空间]

回复修改来源删除

SSL的安全漏洞及解决方案

如果你在互联网上访问某些网站时在浏览器窗口的下方有一个锁的小图标，就表示它表示该网页被SSL保护着。但用SSL防护的网站真的能够防范黑客吗？现在国内有很多人对SSL存在这么一个认识误区：SSL很安全，受到SSL防护网页服务器的资料就一定是万无一失的，这也导致这样一个局面，只要有着SSL防护的网站服务器很少接受审查以及监测。其实不然，对于安全要求不甚高的交易或认证，SSL还是一个相当不错的安全机制，然而若应用在特殊要求方面，它还存在有这样那样的问题。在下面的文中我将为大家简单介绍SSL存在的安全漏洞及解决方案，希望本文对你有所帮助。

　　一、认识SSL

　　一般人认为SSL是保护主机或者只是一个应用程序，这是一个误解，SSL不是设计用来保护操作系统的。SSL是Secure Sockets Layer通讯协议的简称，它是被设计用来保护传输中的资料，它的任务是把在网页以及服务器之间的数据传输加密起来。这个加密（encryption）的措施能够防止资料窃取者直接看到传输中的资料，像是密码或者信用卡号码等等。在这里谈到SSL，你就必须了解数字证书（Digital Certificates）的概念。

　　数字证书是一种能在完全开放系统中准确标识某些主体的机制。一个数字证书包含的信息必须能鉴定用户身份，确保用户就是其所持有证书中声明的用户。除了唯一的标识信息外，数字证书还包含了证书所有者的公共密钥。数字证书的使用允许SSL提供认证功能－－保证用户所请求连接的服务器身份正确无误。在信用卡号或PIN号码等机密信息被发送出去前让用户确切知道通讯的另一端的身份是毫无疑问的重要的。很明显的，SSL技术提供了有效的认证。然而大多数用户并未能正确意识到通过SSL进行安全连接的必需性。除非越来越多的用户了解SSL和安全站点的基本知识，否则SSL仍不足以成为保护用户网络连接的必需技术。除非用户能够充分意识到访问站点时应该注意安全连接标识，否则现有的安全技术仍不能称为真正有效。

　　目前几乎所有处理具有敏感度的资料，财务资料或者要求身分认证的网站都会使用SSL加密技术（当你看到https在你的网页浏览器上的URL出现时，你就是正在使用具有SSL保护的网页服务器。）。在这里我把SSL比喻成是一种在浏览器跟网络服务器之间“受密码保护的导管”（cryptographic pipe），也就是我们常说的安全通道。这个安全通道把使用者以及网站之间往返的资料加密起来。但是SSL并不会消除或者减弱网站所将受到的威胁性。在SSL这个安全通道的背后，一般没有受到SSL防护的网站一样具备了相同的网页服务器程序，同样的网页应用程序，CGI的script以及后端数据库。目前普遍存在这么一个错误的认识：很多系统管理者却认为，受到SSL防护的网页服务器自动就变得安全了。其实不然，事实上，受到SSL防护的网页服务器同样还是会受到与一般其它网站服务器遭受攻击的威胁，受到SSL防护的网页服务器不一定是万无一失的。
二、SSL的安全漏洞

　　虽然一个网站可能使用了SSL安全技术，但这并不是说在该网站中正在输入和以后输入的数据也是安全的。所有人都应该意识到SSL提供的仅仅是电子商务整体安全中的一小部份解决方案。SSL在网站上的使用可能会造成管理员对其站点安全性的某些错觉。使用了SSL的网站所可能受到的攻击和其它服务器并无任何区别，同样应该留意各方面的安全性。简言之，加密和数字证书，SSL的主要组成，从来都无法保护服务器－－它们仅仅可以保护该服务器所收发的数据。SSL常见安全问题下面三种：

　　1、攻击证书

　　类似Verisign之类的公共CA机构并不总是可靠的，系统管理员经常犯的错误是过于信任Verisign等的公共CA机构。例如，如果Verisign发放一个证书说我是“某某某”，系统管理员很可能就会相信“我是某某某”。但是，对于用户的证书，公共CA机构可能不象对网站数字证书那样重视和关心其准确性。例如，Verisign发放了一个“keyman"组织的证书，而我是其中一员“JACK”。当一个网站要求认证用户身份时，我们提交了“JACK”的证书。你可能会对其返回的结果大吃一惊的。更为严重的是，由于微软公司的IIS服务器提供了“客户端证书映射”（Client Certificate Mapping）功能，用于将客户端提交证书中的名字映射到NT系统的用户帐号，在这种情况下我们就能够获得该主机的系统管理员特权！

　　如果黑客不能利用上面的非法的证书突破服务器，他们可以尝试暴力攻击（brute-force attack）。虽然暴力攻击证书比暴力攻击口令更为困难，但仍然是一种攻击方法。要暴力攻击客户端认证，黑客编辑一个可能的用户名字列表，然后为每一个名字向CA机构申请证书。每一个证书都用于尝试获取访问权限。用户名的选择越好，其中一个证书被认可的可能性就越高。暴力攻击证书的方便之处在于它仅需要猜测一个有效的用户名，而不是猜测用户名和口令。

　　2、窃取证书

　　除上面的方法外，黑客还可能窃取有效的证书及相应的私有密钥。最简单的方法是利用特洛伊木马。这种攻击几乎可使客户端证书形同虚设。它攻击的是证书的一个根本性弱点：私有密钥－－整个安全系统的核心－－经常保存在不安全的地方。对付这些攻击的唯一有效方法或许是将证书保存到智能卡或令牌之类的设备中。

　　3、安全盲点

　　系统管理员没办法使用现有的安全漏洞扫描（vulnerability scanners）或网络入侵侦测系统（intrusion detection systems，IDS），来审查或监控网络上的SSL交易。网络入侵侦测系统是通过监测网络传输来找寻没有经过认证的活动。任何符合已知的攻击模式或者并未经过政策上授权的网络活动都被标起来以供系统管理者检视。而要让IDS能够发生作用，IDS必须能够检视所有的网络流量信息，但是SSL的加密技术却使得通过http 传输的信息无法让IDS辨认。再者，虽然我们可以用最新的安全扫描软件审查一般的网页服务器来寻找已知的安全盲点，这种扫描软件并不会检查经过SSL保护的服务器。受到SSL保护的网页服务器的确拥有与一般服务器同样的安全盲点，可是也许是因为建立SSL连结所需要的时间以及困难度，安全漏洞扫描软件并不会审查受到SSL 保护的网页服务器。没有网络监测系统再加上没有安全漏洞审查，使得最重要的服务器反而成为受到最少防护的服务器。

三、解决方法

　　至于如何保护证书的安全，你可以采用IDS（Intrusion Detection System），它是一种用于监测攻击服务器企图的技术和方法。典型的IDS监视网络通讯，并将其与保存在数据库中的已知攻击“特征”或方法比较。如果发现攻击，IDS可以提醒系统管理员、截断连接或甚至实施反攻击等。问题在于如果网络通讯是加密的，IDS将无法监视。这反而可能会使攻击更为轻松。假设在一个典型的被防火墙和IDS防护的DMZ环境中，黑客能轻松地探测被SSL保护的网站，因为SSL对数据的加密使得IDS无法正常监测攻击。通常一台单一的网站服务器会同时使用SSL和普通的TCP协议。由于黑客攻击的服务器而不是网络连接，他们可以选择任意一种途径。通过SSL途径，黑客知道SSL加密为他们带来的好处，这样更容易避开IDS系统的监测。在这里我主要介绍的是如何解决系统管理员没办法使用现有的安全漏洞扫描或网络入侵侦测系统而存在的网页服务器安全盲点的情况，目前解决这个困扰的常用方法大致有以下三种：

　　1、通过Proxy代理服务器的SSL

　　我们可以在一个SSL Proxy代理程序上使用这项资料审查技术。SSL Proxy是一个在连接埠80上接收纯文字的 HTTP通讯请求的软件，它会将这些请求通过经由SSL加密过的连结，转寄到目标网站。我们在连接埠80开一个听取的socket，通过上述的OpenSSL指令，将所有进入这个proxy的数据传送出去。这在Unix上，只是个小技巧：你只须将以下的指令加到你们的/etc/inetd.conf档案里面，这个inetd.conf包含所有inetd所提供的网络服务的设定：

　　www stream tcp nowait root /usr/sbin/tcpd /usr/local/bin/ssl_proxy.sh

　　而/usr/local/bin/ssl_proxy.sh的内容则如下所述：

　　#!/bin/sh
　　/usr/local/ssl/bin/openssl s_client -no_tls1 -quiet -connect 168.172.100.10:443 2>/dev/null

　　168.172.100.10是SSL防护下的网站的地址所在。其中“-no_tls1”以及“-quiet”选项将SSL交谈（handshake）的标题显示关掉，并且也删除了SSL对于尚未经过授权的网站认证所发出的警告。

　　如果你要想测试你的proxy连结，那么你只要以纯文字的方式，在执行SSL proxy的系统的连接端口80建立联机。这个proxy会使用SSL来转寄接收的请求到目标网站。

　　$ telnet 182.197.110.180 GET / HTTP/1.0

　　在这里，服务器正在182.197.110.1的地址执行SSL proxy机制，而真正受到SSL保护的地址则是在 168.172.100.10。通过这个SSL proxy机制，我们只要将安全扫描软件指向proxy的IP地址，就可以使用它来审查一个SSL服务器。

　　在这里，你可以使用whisker程序（网址：http://www.wiretrip.net/rfp/p/doc.asp?id=21&iface=2）来审查 SSL防护的网站服务器。Whisker是一个由Rain Forest Puppy写出来的script，可以用来检查已知的比较容易受到入侵的网站应用程序以及CGI script。

./whisker.pl -h 168.172.100.2
　　-- whisker / v1.3.0a / rain forest puppy / ADM / wiretrip --
　　- Loaded script database of 1691 lines
　　= - = - = - = - = - =
　　= Host: 168.172.100.2
　　= Server: Microsoft-IIS/4.0
　　+ 404 Object Not Found: GET /cfdocs/
　　+ 404 Object Not Found: GET /cfide/Administrator/startstop.html
　　+ 404 Object Not Found: GET /cfappman/index.cfm
　　+ 404 Object Not Found: GET /cgi-bin/
　　+ 403 Access Forbidden: HEAD /scripts/
　　+ 403 Access Forbidden: HEAD /scripts/cpshost.dll
　　+ 404 Object Not Found: HEAD /samples/search/queryhit.htm
　　+ 404 Object Not Found: HEAD /adsamples/config/site.csc
　　+ 403 Access Forbidden: HEAD /scripts/counter.exe
　　+ 403 Access Forbidden: HEAD /scripts/samples/

　　以上情况是在182.197.110.1上执行whisker，然后whisker使用SSL将所有的HTTP请求转寄到168.172.100.10。

　　SSL proxy的观念已经存在一阵子了。目前有一个名为sslproxy.c的程序可以执行以上的功能（网址：http://www.obdev.at/Products/sslproxy.html）。另外还有一个最近才出来，执行SSL proxy还有它额外功能的工具程序，叫做stunnel（http://www.stunnel.org/），是由Brian Hatch开发的。然而，因为使用命令列模式操作OpenSSL软件相对来说比较简单的，所以我将在下面介绍这种方式。

　　2、OpenSSL

　　OpenSSL（相关资料网址：http://www.openssl.org/）包含了一套程序以及函式库，提供前端使用者SSL功能，并且允许软件工程师将SSL模块与他们的程序结合。在众多由SSL提供的产品里面，最能够用来让我们在这里讨论的是命令列模式的（command-line）SSL客户端以及伺服端工具软件。OpenSSL程序是一个指令列接口的程序，它是用来以手动的方式起始SSL连结。OpenSSL让你重新导引与其它程序之间的资料输入以及输出。

　　使用普遍可得的安全扫描软件来审查SSL服务器在研究技术文件时，我们在Apache提供给OpenSSL的接口模块mod_ssl(相关资料网址：http://www.modssl.org/)读到了一些有趣的信息。其中有一段常见问题讨论到有关测试在SSL保护下的网站服务器。你可以利用Telnet连到网页服务器第80号连接埠，然后下达如下的http get指令，从网页服务器取得网页：

因为SSL通联必须要经过一个安全的连接埠，而在这里我们使用的是没有安全防护的连接埠80，因此，这个技巧在HTTPS通讯协议上是行不通的。然而，如果我们用的是OpenSSL程序，我们就可以在SSL连接上做同样的一件事情。

　　下面是OpenSSL连结的细节

　　openssl：s_client -connect www.ramsec.com:443
　　CONNECTED(00000003)
　　depth=0 /C=US/ST=Washington/L=New Castle/O=Rampart Security Group
　　LLC/OU=Web/OU=Terms of use at www.verisign.com/RPA
　　(c)99/CN=secure.ramsec.com
　　verify error:num=20:unable to get local issuer certificate
　　verify return:1
　　depth=0 /C=US/ST=Washington/L=New Castle/O=Rampart Security Group
　　LLC/OU=Web/OU=Terms of use at www.verisign.com/RPA
　　(c)99/CN=secure.ramsec.com
　　verify error:num=27:certificate not trusted
　　verify return:1
　　depth=0 /C=US/ST=Washington/L=New Castle/O=Rampart Security Group
　　LLC/OU=Web/OU=Terms of use at www.verisign.com/RPA
　　(c)99/CN=secure.ramsec.com
　　verify error:num=27:certificate not trusted
　　verify return:1
　　depth=0 /C=US/ST=Washington/L=New Castle/O=Rampart Security Group
　　LLC/OU=Web/OU=Terms of use at www.verisign.com/RPA
　　(c)99/CN=secure.ramsec.com
　　verify error:num=21:unable to verify the first certificate
　　verify return:1
　　---
　　Certificate chain
　　0 s:/C=US/ST=Washington/L=New Castle/O=Rampart Security Group
　　LLC/OU=Web/OU=Terms of use at www.verisign.com/RPA
　　(c)99/CN=secure.ramsec.com
　　i:/C=US/O=RSA Data Security, Inc./OU=Secure Server Certification
　　Authority
　　---
Server certificate
　　-----BEGIN CERTIFICATE-----
　　MIIClTCCAgICEGJTOhcnU+VNQDZ7fqS1K8UwDQYJKoZIhvcNAQEEBQAwXzELMAkG
　　A1UEBhMCVVMxIDAeBgNVBAoTF1JTQSBEYXRhIFNlY3VyaXR5LCBJbmMuMS4wLAYD
　　VQQLEyVTZWN1cmUgU2VydmVyIENlcnRpZmljYXRpb24gQXV0aG9yaXR5MB4XDTAw
　　MDEyNDAwMDAwMFoXDTAxMDEyMzIzNTk1OVowgbsxCzAJBgNVBAYTAlVTMRMwEQYD
　　VQQIEwpXYXNoaW5ndG9uMRMwEQYDVQQHFApOZXcgQ2FzdGxlMSMwIQYDVQQKFBpS
　　YW1wYXJ0IFNlY3VyaXR5IEdyb3VwIExMQzEMMAoGA1UECxQDV2ViMTMwMQYDVQQL
　　FCpUZXJtcyBvZiB1c2UgYXQgd3d3LnZlcmlzaWduLmNvbS9SUEEgKGMpOTkxGjAY
　　BgNVBAMUEXNlY3VyZS5yYW1zZWMuY29tMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCB
　　iQKBgQD+0K9xpPTh79iWWXc5JmTeJrg5YNdmwP5EwfKSPqOk2E8QSRNk8+Huv7h7
　　h636cDbmIh+J+VuRO5x5YP8apUCcqRfIMmQevTFzaIyCf3Mwm/OKNTs+4tqA5kjT
　　SedbBUGaaY2A1VcK0uby1djc+oX8XoCMoRWy+VGBkBrLK51t2QIDAQABMA0GCSqG
　　SIb3DQEBBAUAA34AhT7v59KwTvldIHJV7U4Doca+/wQ6ivbyd35K9hC/wxwE/jnO
　　oBXFKaJvV6mHk9hVz37CtLauUGYIZb3x7Cw6GajhhPicLi0l6ndH4VF9C4tbUb4t
　　2yw/6Jy9i+TfsO/Ldcu4KV0688vfORWm663+6miLYHKGNqFMaR3QaXc=
　　-----END CERTIFICATE-----

　　subject=/C=US/ST=Washington/L=New Castle/O=Rampart Security Group
　　LLC/OU=Web/OU=Terms of use at www.verisign.com/RPA
　　(c)99/CN=secure.ramsec.com
　　issuer=/C=US/O=RSA Data Security, Inc./OU=Secure Server
　　Certification
　　Authority
　　---
　　No client certificate CA names sent
　　---
　　SSL handshake has read 801 bytes and written 312 bytes
　　---
　　New, TLSv1/SSLv3, Cipher is RC4-MD5

Server public key is 1024 bit
　　SSL-Session:
　　Protocol : TLSv1
　　Cipher : RC4-MD5
　　Session-ID:
　　020000001E9F693D9F9D5FF87E6DF24A0BAFC85391992415991DF3AB74522BCB
　　Session-ID-ctx:
　　Master-Key:
　　08FD7A5E6D058A45D0855AD359C0428F3BB5A685E6D74DFB9CDAB6D6A2ED7D53
　　E97147155DC7B9C61B946BE6
　　Key-Arg : None
　　Start Time: 963184785
　　Timeout : 300 (sec)
　　Verify return code: 0 (ok)
　　---
　　GET / HTTP/1.0
　　HTTP/1.1 200 OK
　　Server: Microsoft-IIS/4.0
　　Content-Location: http://216.182.36.154/index.html
　　Date: Mon, 10 Jul 2000 11:41:25 GMT
　　Content-Type: text/html
　　Accept-Ranges: bytes
　　Last-Modified: Thu, 23 Mar 2000 01:41:15 GMT
　　ETag: "305fc7e06894bf1:38441"
　　Content-Length: 886
　　
　　通过上面OpenSSL这项技术，我们就可以直接传送资料到有SSL保护的网站，然后用我们一般审查任何HTTP服务器安全性的方式来审查这个SSL网页服务器。

　　3、监测SSL服务器

　　现在的网络IDS只能够监视纯文字资料内容，所以我们只能够有两项选择：监视服务器上的SSL连结或者将整个连结资料转为纯文字格式。大部分的网页服务器都有一些基本的日志纪录功能。例如：Microsoft的IIS Web server有内建的日志制作功能，使用的是W3svc1格式，它可以侦测到很多一般的网络攻击状况。我通过前述的SSL proxy针对Windows NT 4.0上具备有SSL防护的IIS服务器，来作示范性的攻击。我们用的是由Rain Forest Puppy发现的一般性常见的msadc安全穿透技术。我们的IIS服务器在C:\WINNT\system32\LogFiles 的目录下，记载了以下的日志：

　　12:25:45 10.0.0.1 GET /msadc/msadcs.dll 200
　　12:25:48 10.0.0.1 POST / msadc/msadcs.dll 200

然而，因为这些日志文件通常是存在网页服务器上面，因此，一个成功的攻击事件表示黑客很可能已经对日志文件下了手脚了。此外，安全管理员必须每天检查服务器上的日志文件（另外还有IDS，防火墙等等），这实在不是个最佳的解决方案。

　　除了使用主机日志文件的以外，另一个方式是将SSL连结转换成纯文字格式。如此一来网络的IDS就能够监视资料往来。有几种产品提供这项功能，不过他们主要是为了要提升数据处理效能，而不是为了网络安全的理由。建立以及维护SSL连结，必须耗用相当的CPU时间，如此一来会减损网页服务器的效能。市面上有几家厂商提供“电子商务加速器”，用来将与SSL交涉的工作移到不同的装置或处理器。你可以将IDS置放于加速器跟网页服务器之间，以监控纯文字格式的网络交通。用这种方式监控的话，有一个问题。那就是你必须有至少一个网络区隔（network segment）。这个网络区隔必须是安全的，而且与其它的网络装置分开来。

　　四、结论

　　总的来说SSL仍然不失为一套全面完善的安全策略中有效的组成元素。然而，与网络安全的其它工具软件一样，仅使用单一的防护软件都是无效的。对SSL的过高评价有可能带来安全风险。它仅是网络安全工具的一种，必须和其它网络安全工具紧密结合，方能构造出全面、完善、安全可靠的网络。最后有两件重要的事情是你必须牢记在心的，首先，SSL并不能够防护你的网站安全。它仅仅防护使用者的网页服务器以及目标网站之间的点对点数据链路，网页服务器跟后端的网页应用软件，仍旧会受到跟一般没有SSL防护的网站同样的攻击威胁；第二点，虽然SSL会使网络黑客很难用目前已知的攻击模式直接攻击SSL防护网站，不过，这些防卫仍旧是有可能用诸如SSL proxy等工具来加以突破，然而，相同的技术却也可以被用来监视以及审查系统的安全漏洞。

[楼主] [9楼] 作者:zhsw98 发表时间: 2002/09/15 22:31

[加为好友][发送消息][个人空间]

回复修改来源删除

常用网络软件密码破解管窥
对于具有一定网龄的网友来说，不可避免的都会接触到各类密码。如果你不慎将这些密码忘记了，将会带来诸多麻烦。例如，无法登录邮箱、不能使用QQ、打不开压缩文件等等。下面，笔者就介绍一下如何重拾这些重要的密码的方法。

　　一．Outlook Express密码破解

　　在Outlook Express程序中所涉及到的密码包括电子邮箱密码、新闻组密码及用户身份确认密码。使用“Advanced Outlook Express Password Recovery ”这款软件能够恢复以上所提到的各项密码。

　　“Advanced Outlook Express Password Recovery ”是一款英文共享软件，目前的最新版本是1.03，其文件大小有665 KB，适用于Win9x／WinNT／Win2000操作平台。该软件的国内下载地址为：http://ftp1.etang.com:8080/dnaq/jmgj/aoepr.zip，程序的主页是http://www.elcomsoft.com/。

　　“Advanced Outlook Express Password Recovery ”的程序界面十分简洁明了，（如图1所示）通过点击工具栏上的按钮就可以完成各项操作。首先，我们点击【Options】（选项）按钮，弹出“Options”对话框（如图2所示），在此可以自定义“Log file”（日志文件）的存放路径。此后，在联机状态下，点击【Recover passwords for E－Mail accounts】按钮，可以执行恢复邮箱密码的操作；点击【Recover passwords for News accounts】按钮，可以恢复新闻组密码；点击【Recover passwords for Identities】按钮，可以恢复用户身认证密码。如果你想成功恢复各项密码，最好还是成为注册用户。

图1

图2

二．Foxmail密码破解

　　1．帐户密码破解

　　A．软件破解

　　“Foxmail 4口令破除专家”是一款专门破解Foxmail 4帐户密码的小工具。它是一款国产免费软件，目前的最新版是1.0 ，其文件大小有15KB，软件下载地址为：http://202.102.4.17/rina/521hacker/pwd/FOXPASS4.zip。

　　“Foxmail 4口令破除专家”无需安装，直接解压缩后即可运行。当程序启动后，我们看到(如图3所示)的界面。首先，在“Foxmail 4路径”文本框中重新输入程序的实际路径；其后，点击【GO】按钮，在“帐号列表”中将显示出在Foxmail 4程序中设置为加密的帐号，你选择其中的帐号后，点击【确定】按钮即可；最后，当重新运行Foxmail 4程序后，发现适才指定的帐号密码已被破解。

图3

　　B．手工破解

　　我们利用Foxmail帐户加密存在着一个漏洞，无需借助任何工具，即可查看帐号中的邮件，其后还可将其导出。这与破解密码有着异曲同工之妙。下面，笔者举实例演示一下操作方法。

目的：查看或导出笔者在Foxmail 4程序中的加密的“新浪邮箱”帐号。

　　实施步骤：

　　第一步：在Foxmail 4中新建一个帐号，如“新浪邮箱备份”；

　　第二步：查看Foxmail 4安装目录的“mail”子文件夹，在其中将会看到“新箱邮箱”与“新浪邮箱备份”分支，把“新浪邮箱”文件夹中的所有文件复制到“新浪邮箱备份”文件夹中，覆盖原有文件。

　　第三步：重新启动Foxmail 4，打开“新浪邮箱备份”帐号，将看到“新浪邮箱”帐号中的邮件全部显示在此。

　　第四步：选择其中重要的邮件，将其导出。因为当再次启动Foxmail 4后，“新浪邮箱备份”帐号也将被加密。

　　2．电子邮件地址密码破解

　　你在Foxmail 4的邮箱帐户属性中如果将E－Mail密码设置为保存状态，而后将该密码忘记了，利用笔者推荐的这款软件就可以轻松重新知晓密码。“利用Foxmail窃取E－Mail密码”仅有7KB，适用于Foxmail 3.X及4.X版本，其下载地址为：http://202.102.4.17/rina/521hacker/pwd/pwd-foxmail.zip。

　　“利用Foxmail窃取E－Mail密码”的程序界面(如图4所示)，在相应的文本框中输入STG格式的E－Mail密码文件所在路径。一般此类文件的存储位置为：Foxmail安装目录│mail│帐户名称。选择完毕后，点击【开始查询】按钮，将会立即弹出“探测结果”对话框，在此显示出该用户的E－Mail地址、密码长度及口令。

图4

　　除了以上笔者介绍的两款邮件收发客户端程序所专属的密码破解工具之外，使用各种星号（＊＊＊）查看工具，能够快捷有效地查看所有密码显示框中的内容。

三．QQ号码破解

　　由于QQ号码如今十分难以申请，所以如果你遗失了较早申请到QQ号密码，就十分可惜了，假设你又没有申请QQ密码保护，大概就只能通过穷举破解的办法了。具有此类功能的软件资源十分丰富，比如较为知名的“天空葵”、“TTD”等等。笔者在此谨介绍“OicqHack”这款软件，它有202KB，其下载地址为http://micracker.myetang.com/tools/OicqHack12b.zip。

　　该软件的界面(如图5所示)。其破解QQ密码的具体步骤为：

图5

　　第一步：方法一，在“From：”框中敲入丢失密码的QQ号；方法二，勾选“Uin File”复选框，在OicqHack安装目录下打开UIN.DIC文件，把相关的QQ号码添加其中。

　　第二步：若勾选“Password File”复选框，则启用软件自带的密码字典文件，经笔者试用该字典文件效果不是很好。您可以另选一个字典文件，也可以使用穷举法令软件自动生成密码。在界面的右上端有数字、小写字母、大写字母及符号这四个复选框，如果您当初所设定的密码为小写字母，则勾选显示有26个英文字母的复选框；（其它类型均按此操作）如果为多种类型混杂的密码，则勾选多项。需要注意的是，使用该方法耗时较长，您要有足够的耐心。

　　第三步：在“Password Length：”中输入密码的长度。

第四步：设置“Max Threads：”（最大并发网络连接数）及“Timeout：”（最大超时等待时间）。如果您的网络连接状况欠佳，最大超时等待时间最好调整得大一些。

　　第五步：点击【Start】按钮，程序开始破解密码，中途若则点击【Stop】按钮则停止操作。

　　四．IE分级审查密码破解

　　A．软件破解

　　“WIN98密码删除工具”是一款国产免费软件，其软件大小有602KB，顾名思义，仅适用于WIN98操作系统，其软件下载地址为http://202.102.4.17/rina/521hacker/pwd/killie.zip。

　　该软件安装后，将自动运行，显示出(如图6所示)程序界面中，该程序界面还算漂亮，而且比较智能化，它可以将界面切换为工具条形式，以节省空间。在程序主视图中，只要点击【IE之分级审查密码删除】按钮即可完成操作。

图6

　　B．手工破解

　　运行注册表（Regeidt），打开【HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion \Policies】分支，选择“Policies”→“Ratings”子键，按DELETE键将其删除。完成操作后，重新启动计算机方可成效。

　　五．WinZiP等软件的密码破解

WinZip主要用于处理ZIP文件格式，因此笔者选择“Ultimate ZIP Cracker－trial version”这款软件做为破解工具。该软件除了能够破解ZIP格式外，还支持ARJ、DOC（WORD文档）及XLS（EXCEL文档）格式。“Ultimate ZIP Cracker－trial version”是一款英文共享软件，其文件大小有891KB，软件下载地址为http://202.102.4.17/rina/521hacker/pwd/uzcsetup.zip。

　　当运行“Ultimate ZIP Cracker－trial version”程序之后，我们看到(如图7所示)的界面。首先，我们要选择准备破解的文件所在路径，在“Choose the name of encrypted file”项下的文本框中可以直接输入，也可以点击【Brows】按钮选择驱动器列表中的文件所在位置。其后，我们要选择破解方法，在“Method：”下拉菜单中可以选择“Password Wizard”（密码向导模式）；“Date Search”（日期搜索）；“Customized Search”（定制搜索）“Dictionary Search”（字典搜索）等七种方式。当选择好破解方法后，在“Allowed characters”（允许的字符）项目中选择密码可能包含的字符类型，如数字、字母、下划线等。然后，在“Password length”（密码长度）项目中设置将要破解文件的密码长度。最后，点击【Start】（开始）按钮，执行破解操作。如果搜索到密码的话，将在程序界面最下端的列表框中显示出文件名称及密码。

图7

　　以上介绍这些密码破解方法可谓是把双刃剑，如果将其用于非法目的，将带来极大的安全隐患，所以一定要做到“已所不欲，勿施于人”。

“网吧管理专家”密码破解

现在的网吧几乎全部都是安装"网吧管理专家"来进行对网吧的管理。网吧管理员以设置密码的方式来防止别人任意修改、访问等操作，由于"网吧管理专家"设置密码的项目众多，难免会忘记其中一组或几组的密码，忘记密码该怎么办呢？

　　若是不能退出"网吧管理专家"客户端程序，请您重启计算机以安全模式启动Windows，再按照如下所述操作；若是能退出"网吧管理专家"客户端程序，回到Windows操作界面，就可以如下操作：

　　首先，在开始 -> 运行 -> 输入Regedit.exe（进行对Windows注册表编辑），看看是否把Regedit.exe 禁用，若是禁用，请用超级兔子魔法设置（MagicSet Ver 3.3/3.4）把禁用更改为允许使用。具体操作：超级兔子魔法设置 -> 安全与其它 -> （取消）禁止使用注册表编辑器REGEDIT.EXE -> 保存，这时重新运行Regedit.exe就能正常使用了。

　　然后，找到"网吧管理专家"所写注册表的位置。具体位置：[HKEY_LOCAL_MACHINE\SOFTWARE\万象幻境\专家系列网管软件]

　　当进入到上述位置，您会看到右边窗口有如下信息：

　　计算机解锁密码、运行设置程序密码、历史记录密码、退出密码、DownloadPassword、VisitDiskPassword等字符串值，跟随其后的一长串数字就是"网吧管理专家"设置各项功能的密码（密码已被编译），您想清除哪项功能的密码，就找到相应的字符串值将其删除就行了。

　　计算机解锁密码："网吧管理专家"对电脑进行解锁所需要的密码。

　　运行设置程序密码：运行"网吧管理专家"设置程序所需要的密码。

　　历史记录密码：查看"网吧管理专家"历史记录所需要的密码。

　　退出密码：退出"网吧管理专家"客户程序所需要的密码。

　　DownloadPassword：将下载的软件保存到本地硬盘时所需要的密码。

　　VisitDiskPassword：进行Internet属性设置所需要的密码。

　　其次（可选）：如果您觉得此方法只适合一台或二、三台客户机有效，对几十台，甚至上百台的客户机操作作起来就非常麻烦了，哪再讲述一种快速的方法。

　　用每台客户机去访问服务器的"网吧管理专家"安装程序进行重新安装，在安装过程中，会在"选择安装客户机版/服务器版"和该软件安装路径之间，多出二行文字：

　* 系统检查到您曾经安装过这个软件，是否保留以前的系统设置？
　* 保留以前的系统设置

　　将它设置为：（取消保留以前的系统设置），当安装完成后，以前"网吧管理专家"的参数设置全部被替换成了默认值。

　　最后，重新设置"网吧管理专家"的各项密码就行了。

　　上述的密码破解方法仅供网吧管理员应急和电脑爱好者学习用，请勿用于其它用途。
超级保镖密码破解

超级保镖从面市以来就受到了广大电脑爱好者的欢迎，它的磁盘保护功能是让人惊叹的，有一句话说的是"有利就有弊"，这么强大的功能一定也有弊的一面。如果您忘记了超级保镖的系统管理员密码，那您就不能进入超级保镖的高级用户设置，更改超级保镖的系统设置了，后果就不用我多说了吧，您一定知道的！

　　我觉得超级保镖的密码是它最脆弱的一面，超级保镖的密码是保存在超级保镖所在的文件夹中的sysmode.ini文件。如果您是用记事本查看该文件内容，密码是被隐藏了的，能不能把密码读出来呢？小生才疏学浅没办法做到，但可以把它破解。其实，破解超级保镖的密码一点也不难，只要会操作电脑的人士都能做到。

密码破解方法如下：

首先，找到超级保镖所在的文件夹（超级保镖默认的文件夹名称为：SafeDisk）；

其次，找到超级保镖文件夹中的 sysmode.ini文件；

再次，将sysmode.ini删除，并重新启动计算机；

最后，进入Windows后，在Windows的系统栏点击"超级保镖"图标，进入高级用户设置，重新设定密码并保存就行了。

是不是很简单，希望我的这一招能对您有所帮助。

[楼主] [12楼] 作者:zhsw98 发表时间: 2002/09/15 22:37

[加为好友][发送消息][个人空间]

回复修改来源删除

基于NetBIOS的简单Windows攻击

下面我给大家讨论一下有关如何进攻NetBIOS。

什么是SMB?

为了能沟通，你和我都需要共同的语言，如中文或英文。计算机也一样，有很多计算机“语言”用于沟通互连在网上的机器，这些语言叫“协议”。TCP/IP, NETBEUI, IPX, SNA 和 Appletalk都是协议。有一种很流行的协议，它能使你共享文件，磁盘，目录，打印机，甚至网络端口。这个协议叫做SMB(Server Message Block)标准，它能被用于Warp连接和客户端与服务器之间的信息沟通。

Windows系列中的SMB

Windows SMB被叫做“文件和打印共享”，它允许你访问共享被其他用户许可的文件和文件夹。基于Windows 95, 98或Windows Millenium的共享，即使你加了密码也是不安全的，利用这个共享，你可以得到从游戏到信用卡号码，音乐或数据库，甚至任何你想要的信息。

如何使用SMB？

1、下载SMB Scanner，然后打开它，输入一个IP类。（比如：4.3.37.1-4.3.38.255）建议你去下载IP地址分配表。

2、当搜索完成后，不要用软件本身的功能来“暴力”破解共享密码，请看下一步。

3、打开“运行”，键入一个用SMBScanner搜出来的IP地址，例子：假如搜出的地址是：3.5.137.138，然后在运行窗口中键入"\\3.5.137.138"，按回车。然后是等...这要看你的连接速度，一般不会超过30秒，完成后将出现一个带共享名的文件夹。如果它出现了一些像“不共享”“IP地址连接不上”等，不要灰心，毕竟进攻电脑不是那么容易的事儿，你没有失败，看其他的IP。

4、单击一个带共享名的文件夹，打开它，这时将出现一个对话框，要密码。如果没有密码就太好了，你可以直接访问和下载文件了，但不要在此目录里运行可执行文件，按ctrl and C把它们复制到你的本地机器上再执行。如果对话框向你要密码，请看下一步。

5、打开“运行”窗口，输入“command”如果你在用WindowsNT/2000的话请输入“cmd”打开一个命令窗口，键入“nbtstat -a ipaddress”你将看到如下的输出：

Local Area Connection:
Node IpAddress: [4.3.37.XXX] Scope Id: []

NetBIOS Remote Machine Name Table

Name Type Status
---------------------------------------------
MATRIX <00> UNIQUE Registered ------------------------重要!
WORKGROUP <00> GROUP Registered
MATRIX <20> UNIQUE Registered
MATRIX <03> UNIQUE Registered
WORKGROUP <1E> GROUP Registered
ADMINISTRATOR <03> UNIQUE Registered
WORKGROUP <1D> UNIQUE Registered
..__MSBROWSE__.<01> GROUP Registered
MATRIX <6A> UNIQUE Registered
MATRIX <87> UNIQUE Registered

MAC Address = 00-80-C6-F9-X-X

最靠前的名字是NetBIOS name (MATRIX)，第六行的是用户名。注意：请记好NetBIOS name!，我们将用它破解共享名文件夹的password。

6、下载PQwak，然后打开。

在NBMAME右面输入nbtstat中显示的NetBIOS name
在SHARE栏里输入受密码保护的共享文件夹名。
在IP栏里输入IP地址。
设置DELAY，要看你的连接方式，如果你用56k的小猫的话，建议把DELAY设置在1000-2000，如果你用ADSL的话，建议在800-900。

7、运行 PQwak，不会让您浪费很长时间，完成后返回到受密码保护的共享文件夹，打开它，当它要网络密码时，将PQwak里的密码拷贝下来，再粘贴到密码对话框。OK！

注意：如果你运行PQwak后出现“the password is a ' or the password is wrong”，请将DELAY数值调高。

[楼主] [14楼] 作者:zhsw98 发表时间: 2002/09/15 22:44

[加为好友][发送消息][个人空间]

回复修改来源删除

让天网防火墙失效
请看：

137:408D8D CMP BYTE PTR [EDX+12A],0 ；EDX+12A==0表示防火墙已关闭
137:408D94 JZ 408E01 ；跳到打开防火墙的程序段
.
.
.
137:408DD2 CALL 464284 ；若EDX+12A==1表示防火墙已打开
；该CALL调用询问是否关闭防火墙的菜单
137:408DD7 CMP EAX,6 ；EAX==6表示在菜单中选择了“是”
137:408DDA LEA EAX,[EBP-4]
137:408DDD SETZ CL ；if(eax==6) cl=1; else cl=0;
137:408DE0 AND ECX,1 ；这条不用说了吧
137:408DE3 MOV EDX,2
137:408DE8 PUSH ECX
137:408DE9 DEC DWORD PTR [EBP-C]
137:408DEC CALL 4C9008
137:408DF1 POP ECX
137:408DF2 TEST ECX,ECX ；ECX==0否
137:408DF4 JZ 408E01 ；是，则跳到打开防火墙处
137:408DF6 XOR EDX,EDX ；关闭防火墙的程序段参数设定
137:408DF8 MOV EAX,EBX ；EDX==0表示要关闭
137:408DFA CALL 408E1C ；关闭防火墙的主程序
137:408DFF JMP 408E0A ；任务完成！回家吧
137:408E01 MOV DL,1 ；打开防火墙的程序段参数设定
137:408E03 MOV EAX,EBX ；EDX==1表示要打开
137:408E05 CALL 408E1C ；打开防火墙的主程序
137:408E0A MOV ECX,[EBP-28] ；任务完成！回家
137:408E0D MOV FS:[0],ECX
137:408E14 POP EBX
137:408E15 MOV ESP,EBP
137:408E17 POP EBP
137:408E18 RET
看到上面的程序段了吗？别以为把408D94处改为NOP或把408E01处改为XOR EDX,EDX就可以了事，事情没那么简单，因为程序运行时并不经过此程序段，所以我们必须深入下去…………等等，在这之前我有话要说，其实上面的程序是有重复的，可以改为：

TEST ECX,ECX
XOR EDX,EDX
JZ SUB1
MOV EDX,1
SUB1: MOV EAX,EBX
CALL 408E1C
...
...
　　这样我们就可以节省下9个字节，两个这样的程序，我们就能节约18个字节，三个就是27个字节……? ……哇哈哈哈…………我赚翻了…………（#@%^@，我被一顿暴打）

　　言归正传，我们切入408DFA的那个CALL后，可以看到如下的程序：

137:408E1C PUSH EBX
137:408E1D MOV EBX,EAX
137:408E1F PUSH ECX
137:408E20 MOV [ESP],DL ；保存打开/关闭的标志，以后要用
137:408E23 MOV EAX,[EBX+340]
137:408E29 MOV DL,[ESP]
137:408E2C MOV ECX,[EAX]
137:408E2E CALL [ECX+5C]
137:408E31 XOR EDX,EDX
137:408E33 MOV EAX,[EBX+340]
137:408E39 CALL 4874E0
137:408E3E MOV EDX,3
137:408E43 MOV EAX,[EBX+340]
137:408E49 CALL 48757C

137:408E4E XOR EDX,EDX ；很像解密程序，可惜不是（我试过）
137:408E50 MOV DL,[ESP]
137:408E53 CMP EDX,1
137:408E56 SBB EDX,EDX
137:408E58 NEG EDX

137:408E5A MOV EAX,[EBX+358]
137:408E60 CALL 4874E0
137:408E65 CMP BYTE PTR [ESP],0 ；这个吗……也不是（因为我试过）
137:408E69 JZ 408E8A
137:408E6B MOV EDX,8
137:408E70 MOV EAX,[EBX+358]
137:408E76 CALL 48757C
137:408E7B MOV ECX,[4D86D8]
137:408E81 MOV EAX,[ECX]
137:408E83 CALL 404090
137:408E88 JMP 408E9A
137:408E8A MOV EDX,0A
137:408E8F MOV EAX,[EBX+358]
137:408E95 CALL 48757C
137:408E9A MOV EDX,[4D86D8]
137:408EA0 MOV ECX,[EDX]
137:408EA2 MOV DL,[ESP]
137:408EA5 MOV EAX,[ECX+2F8]
137:408EAB CALL 40A834 ；关键啊！！！千万不要过门而不入！
137:408EB0 MOV EAX,EBX
137:408EB2 CALL 408EBC
137:408EB7 POP EDX
137:408EB8 POP EBX
137:408EB9 RET

408EAB处的CALL如下：
137:40A834 PUSH EBX
137:40A835 PUSH ESI
137:40A836 ADD ESP,-8
137:40A839 MOV [ESP],DL
137:40A83C MOV EBX,EAX
137:40A83E PUSH EBX
137:40A83F CALL 40A1E4
137:40A844 POP ECX
137:40A845 TEST AL,AL
137:40A847 JZ 40A884
137:40A849 MOV SI,71060004
137:40A84E CMP BYTE PTR [ESP],0 ；各位看官别眨眼了
137:40A852 JNZ 40A857 ；在这里，我把它改为NOP………
哇哈哈哈…………成功了
137:40A854 ADD ESI,4
137:40A857 PUSH 0
137:40A859 LEA EAX,[ESP+8]
.
.
.
　　到此为止，大伙看懂了吗？？只要把40A852处的两个字节改为NOP，天网就跟没装一样，具体改法如下：

文件：SNFW.EXE
源代码：24 00 75 03 83 (H)
破解码：-- -- 90 90 -- (H)

　　以上修改在“天网防火墙个人版2.0(BETA)，应用程序版本：2.0.2.98，驱动程序版本：02000101”，WINDOWS98系统中测试通过！

　　我已把修改好的天网放在了我的主页中了，地址是：HTTP://TSCOFFEE.MYETANG.COM，有空的话我还会写一个破解程序，如果需要的话！

[楼主] [16楼] 作者:zhsw98 发表时间: 2002/09/15 22:50

[加为好友][发送消息][个人空间]

回复修改来源删除

最新ddos攻击漏洞

概述:
=====

　　最近有一类新型的网络DoS攻击漏洞被人们发现, 这些属于同一组攻击类型的漏洞已被命名为＂Naptha＂. ＂Naptha＂实际上是TCP/IP堆栈以及网络应用程序在处理TCP连接状态实现上的弱点.

受影响系统:
===========

　　参见测试产品列表:
http://razor.bindview.com/publish/advisories/adv_list_NAPTHA.html
漏洞影响:
=========

　　通过创建大量的TCP连接并使它们保持在某些特定状态，某些应用程序甚至是操作系统自身会消耗大量的资源，直至出错或者崩溃。过去，以这种方式来攻击TCP连接并没有被广泛使用，因为这也会显著地消耗攻击者的系统资源。然而，＂Naptha＂的改进之处就在于它可以很容易的对目标进行攻击，而攻击者这一方只会有很少的一点资源耗费。

背景知识∶
=========

DoS （Denial of Service）

　　拒绝服务攻击是用来显著降低系统提供服务的质量或可用性的一种有目的行为。

DoS-RS（Resource Starvation）

　　资源耗尽是一种类型的拒绝服务攻击。这里我们要区分一下＂攻击＂与＂显著的安全问题＂的区别。如果攻击者拥有足够的网络资源，对于DoS-RS攻击来说，任何系统都是有弱点的。真正让DoS-RS成为安全问题的一种方法是要让被攻击目标耗费比攻击者多得多的系统资源。这种在资源耗费级别上的显著不同才说明这是一个安全漏洞。

DoS-RS-TCP_STATE

　　操作系统内核会为每一个TCP连接保存一条记录。大量的连接将要求更多的内存以及CPU处理时间。因此理论上来说，一台拥有大量的内存，快速的处理器，和性能优良的操作系统的主机上的用户，只须简单地使用一些标准程序例如TELNET(发起大量连接)就可以攻击那些配置较差的系统。然而，在发起攻击的系统上也会耗费大量的系统资源，因此这通常并不会被认为是一种严重的安全问题。

　　如果一个攻击程序直接使用一些网络API，例如Berkeley套接字来发动攻击，将更有效也更危险。但通常这仍然不足以对目标主机腹成严重的安全威胁。

细节描述∶
=========

　　＂Naptha＂是一个有效的＂DoS-RS-TCP_STATE＂攻击的例子。它不使用传统的网络API来设置TCP连接。不象真实的TCP/IP堆栈那样，它不保存任何连接状态的记录。它只根发给它的报文中的某些标志来进行响应。按照这种方法，它可以与目标主机建立成千上丌的连接，而与目标主机相比，攻击者只使用了很少的资源。使用这种方法，它可以对目标主机上的某个特定服务或TCP/IP堆栈自身造成真正的威胁。

　　下面是很多Naptha攻击中的几个例子∶

- Novell＇s Netware 5.0 （安装了SP1）

　　在对524端口建立3000个打开的连接后，系统锁死。系统所有的64M内存全被使用， CPU占用率达到%100。在停止攻击后12小时，连接仍然没有超时，系统也没有释放内存。

- FreeBSD 4.0-REL

　　在对ssh端口建立495个连接后，系统开始变得不稳定。由于每个连接都会fork一个守护进程的子进程，使得文件句柄很快被耗尽；系统报告＂too many open files in system＂.在大约30分钟后，连接开始超时，系统再次变得不稳定。

- Windows 2000

　　Windows 2000好像不受影响

　　参见测试产品列表:
http://razor.bindview.com/publish/advisories/adv_list_NAPTHA.html

Naptha工作原理:
===============

　　这一节的目的是讲述Naptha攻击的基本结腹，以便研究者可以验证我们所说的∶这样的攻击是可能的而且应当被相当认真的对待。当然以前在这方面已经有人做过一些研究，但还没有人发布类似的工具，它能使目标主机处在任一TCP连接状态（例如＂ESTABLISHED＂和＂FIN-WAIT-1＂等等），并可以使用一种多组件体系（允许在不同的主机上发起攻击）Naptha攻击可以通过分布式的方式来实现，因此使其变得更为有效。

　　攻击的第一部分要从一个伪造IP地址的所有可能端口向目标主机发送一系列的SYN报文。如果考虑单个攻击的情况，这个程序在同一主机上的多份拷贝可以同时被用来攻击不同的主机，也可以使用多台主机攻击单一目标。这听起来像是一种SYN Flood攻击，实际上并不是这样的。

　　第二部分需要运行在刚才伪造IP所在的局域网中。程序首先确保路由器的ARP表中有这台＂幻影主机＂(就是伪造的IP地址)。接下来，它会在混杂模式下监听从目标主机发往＂幻影主机＂的报文。这个程序会使用合　的标志以及序列号来响应那些报文。例如，它监听SYN/ACK报文，然后发送ACK报文，它也可以在报文中设置FIN标志，以便让连接处于FIN-WAIT-1状态。为了让连接存活时间更长，它也会监听某些定期发送的数据报文或者＇keep alive＇(确保连接存活)的报文，然后发送ACK报文回复。单个攻击程序可以同时攻击多个目标主机。

　　使用＇幻影主机＇是为了让跟踪攻击来源更为困难。

　　为了实现在资源耗费上的不对等，这样的攻击程序必须不能在攻击主机的内核中设置任何的TCB(传输控制块)。这有助于保证攻击者的活动不会收到攻击主机系统内核限制的束缚。另外客户端程序进程的数目应当不会随着连接数目的增加而增加。Naptha通过完全避免使用系统的TCP/IP堆栈而是自己腹造raw socket报文来实现上述要求。事实上，在进行高速的Naptha攻击时，所受到的限制更多的是来自网络带宽而不是攻击主机的资源。

　　Naptha也支持对连接速率的限制。在某些情况下，连接可以被高速建立，目标主机上会被快速打开成千上丌的端口，在连接超时之前所有的资源就被耗尽了。而在另一种情况下，连接也可以以一种较慢的速率建立，以避免触发目标主机上（或防火墙）的SYN Flood保护机制。

　　为了完成有效的DoS,所要求建立连接的数目以及速率依赖于一些因素。不同的操作系统对连接数目，打开文件数目，进程使用内存等有不同的限制。不同端口上运行的应用程序也有自己的资源控制等级。有些应用程序为每一个连接开启一个新进程来处理。系统的CPU速度以及内存大小也影响它对Naptha攻击的抵抗能力。最后网络本身也会对攻击造成一定影响。

　　总之，Naptha攻击表明了资源耗尽攻击的严重性。针对这个问题，还没有一个显而易见的解决方法。下面的部分只是提供了一些改进的思路。

推荐做法:
=========

　　不幸的是，大部分的万商都受到Naptha攻击的影响。在一些万商提供补丁之前，除了通常的安全策略，我们能做的事情并不多。这里有我们推荐的一些做法∶

　　1. 如果你怀疑某个系统(特别是可公开访问的系统)容易变成Naptha攻击的牺牲品，请限制上面运行服务的数量。

　　2. 通过防火墙来限制对系统暴露在外的TCP端口的访问。在需要公开访问的系统，这可能是不现实的，但也应当尽可能的进行限制。

　　3. 确保所有的边界设备(例如路由器和防火墙)被正确的配置。你应当同时进行对内和对外的过滤。

　　4. 在Unix系统上，使用inetd或者 Dan Bernstein的tcpserver (http://cr.yp.to/ucspi-tcp.html)来限制开启守护进程的数目。这并不会防止特定守护进程的过载，然而这可以防止守护进程拖垮整个服务器。这也将允许服务器从攻击中恢复正常。在那些可以调节TCP超时以及keepalive参数的系统上，下列做法可以允许系统更快的恢复正常（假设Naptha攻击没有使系统崩溃）。例如，在Linux 2.2内核中设置下列TCP keepalive参数∶

# cat /proc/sys/net/ipv4/tcp_keepalive_time

7200

# cat /proc/sys/net/ipv4/tcp_keepalive_probes

9

# cat /proc/sys/net/ipv4/tcp_max_ka_probes

5

# echo 30 /proc/sys/net/ipv4/tcp_keepalive_time

# echo 2 /proc/sys/net/ipv4/tcp_keepalive_probes

# echo 100 /proc/sys/net/ipv4/tcp_max_ka_probes

　　上面的例子中，keepalive 时间从2个小时变成30秒，keepalive探测的数目也从9调节成2。也可以将发送探测的最大数目从5改成100。这些数值都只是我们给出的一些建议值，在实际应用时几乎可以肯定的说应加以调整。

　　6. 用来演示这种攻击的程序只通过CERT提供给系统万商进行测试。程序代码不会公开发布。然而下列的信息可以作为＇指纹＇来使IDS系统可以检测我们的测试代码。请注意∶代码自身可以很容易得被修改以该改变此指纹，因此，这个指纹并不是一个检测Naptha攻击的可靠方法。

IP:

　TOS = Low Delay

　ID = 413

TCP:

　FLAGS = SYN

　SEQ ID = 6060842

　WINDOW = 512

Snort (http://www.snort.org) 是一种免费的＂轻量级＂的IDS.下面是针对Naptha的Snort规则∶

alert tcp any any any any (flags:S; seq: 6060842; id: 413; msg: ＂ Naptha DoS Attack, see http://razor.bindview.com//publish/advisories/adv_NAPTHA.html＂;)

参考资料:
=========

CVE:
The Common Vulnerabilities and Exposures (CVE) project has assigned the name CAN-2000-1039 to this issue. This is a candidate for inclusion in the CVE list (http://cve.mitre.org), which standardizes names for security problems.

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2000-1039

CERT Advisory:
http://www.cert.org/advisories/CA-2000-21.html

Microsoft＇s security bulletin:
http://www.microsoft.com/technet/security/bulletin/MS00-091.asp

Microsoft Security Patch:
NT4: http://www.microsoft.com/Downloads/Release.asp?ReleaseID=25114

RFC 2267:
http://www.faqs.org/rfcs/rfc2267.html

＂Distributed Denial of Service Defense Tactics＂ security paper Author: Simple Nomad
http://razor.bindview.com/publish/papers/DDSA_Defense.html

＂Strategies for Defeating Distributed Attacks＂ security paper Author: Simple Nomad
http://razor.bindview.com/publish/papers/strategies.html

Snort:
http://www.snort.org

Dan Bernstein＇s tcpserver:
http://cr.yp.to/ucspi-tcp.html

Simson Garfinkel on Process-Table Attack
http://www.securityfocus.com/archive/1/12636

Stanislav Shulanov＇s Netkill
http://www.securityfocus.com/archive/1/56462

Advisory Contact: advisory+naptha@razor.bindview.com
Acknowledgements: Mark Loveless and the rest of the RAZOR team.
Contact: info@razor.bindview.com | Fax: 508-485-0737 | Bindview Home

[楼主] [17楼] 作者:zhsw98 发表时间: 2002/09/15 22:54

[加为好友][发送消息][个人空间]

回复修改来源删除

网上冲浪安全防范

因特网的迅速发展，给人们工作、学习、娱乐及生活的各个方面带来了极大的好处，人们对计算机网络的依赖程度也越来越高，近年来，网络黑客也正在严重威胁着网络上的计算机，网络安全问题越来越被人们所重视。本文简要介绍了防范黑客的几条措施。

　　1．使用防火墙

　　防火墙是一个或一组实施访问控制策略的系统。用于控制内部网络与因特网之间或客户机与其它主机之间的网络传输。当用户决定要提供何种水平的连接之后，就由防火墙来保证不允许出现其它超出此范围的访问行为。防火墙是可以使用的最强大的安全手段。可以防止计算机被非法入侵。简单地说，防火墙类似于一个有人把守的城门，只有符合要求的数据才能进出。 1.1防火墙的选择

　　对于个人而言，目前应用较多的是个人防火墙。因为个人防火墙具有费用低（或免费，或廉价）、文件小（占用硬盘和内存少）、操作简单等特点，而且有些防火墙功能也是很强的。常用的有：天网防火墙个人版、zoneAlarm、 Sygate Personal Firewall、Norton personal firewall、lockDown等。天网防火墙个人版目前可用于Win95/Win98/Win2000，只有700多K，使用特别简单，功能也较强，可在http://www.newhua.com等站点下载。zoneAlarm 是一个免费软件，具有功能强大、使用简单、小巧的特点，其大小为996k，可在http://www.zonelabs.com下载。对于喜欢集成类工具和Symentec忠实的用户来说，Norton personal firewall 是您的首选。它具有防止病毒、防止恶意连接和防护特洛伊木马三大功能。Sygate Personal Firewall也是免费软件。Sygate Personal Firewall v2.1.468，大小为2.54 MB，系统平台为Windows 9x/NT/2000，下载地址：http://www.sygate.com/download/Sygate_Personal_Firewall.exe。

　　1.2防火墙的配置

　　防火墙要实现其应有的功能，关键在于正确的配置，许多有防火墙的站点被攻破，往往不是防火墙本身的缺陷造成的，而是由于防火墙管理员配置不正确造成的。而要配置好一个防火墙，关键不在对防火墙本身如何使用上，而在于制定好安全策略。对于个人来说，可能的话尽可能配置得保守些。

　　有了防火墙，并不是说你的计算机就安全了，正如上面所说的那样，许多被攻破的站点也有防火墙。因为防火墙的配置可能不正确，加之防火墙本身也都存在着缺陷，尽管这种缺陷往往较小。目前针对防火墙的攻击研究也正变得流行。基于上述理由，要保证你的计算机安全，还要和其它措施相配合。
2．设置好浏览器

　　上网冲浪离不开浏览器，浏览器的缺省设置往往是针对一般用户的，它不具有个性，缺省的设置往往方便你的上网操作，但这是有代价的，这就是它给你的网络带来了安全问题。下面以IE5.0为例，说明如何设置好浏览器。

　　2.1禁用或限制cookie

　　某些 Web 站点在用户浏览web页时在用户的硬盘上用很小的文本文件存储了有关用户的一些信息，这些文件就称为 Cookie（IE5.0中，cookie独立地存储在C:/windows/cookie目录下）。保存在 Cookie 中的只有用户提供的信息，或者是用户在访问 Web 站点时所做的选择。IE5.0认为“允许 Web 站点创建 Cookie 并不意味着该站点或其他站点能够访问您计算机的其他地方，并且只有创建 Cookie 的站点才能读取它的内容。”Netscape认为“这一简单的机制导致产生一个功能强大的新工具……”。

　　Cookie的好处在于：用户在首次浏览web页时，cookie记住有关信息，以后每次连接该站点时，服务器自动检索有关信息，客户机就提供这些预选信息，不再需要输入用户标识（user_id），使用户省去了一些步骤。

　　Cookie的缺陷在于：cookie包含的信息包括用户的IP地址、用户密码、兴趣等重要信息；服务器对其检索不是在服务器上进行，而是在用户的硬盘上进行。因此，给用户的计算机带来了安全问题。解决cookie问题的方法是：可以指定当某个站点要在您的计算机上创建 Cookie 时是否给出提示，这样就可以选择允许或拒绝创建 Cookie，也可以禁止浏览器接受任何 Cookie。具体设置如下：

（1）在 Internet Explorer 的“工具”菜单上，单击“Internet 选项”。

（2）单击“内容”选项卡。

（3）选择“Internet”区域，再点击“自定义级别”。

（4）在“安全选项”页面中，下拉滚动块，出现“Cookies”选项后，选取“禁用”选项。
在上面的第（3）中，除“Internet”外，还有“本地Intranet”、“可信站点”、“受限站点”几个选项，可对不同的安全区域指定不同的设置。例如，如果站点位于“可信站点”区域或“本地 Intranet”区域，则允许站点创建 Cookie；如果位于“Internet 区域”，则在创建 Cookie 之前给出提示；如果位于“受限站点”区域，则不允许有任何 Cookie。可根据情况，参照上面的做法进行设置。

　　对于已经存在的cookie ,可以把C:\windows\cookies目录下的文件删除。

　　2.2禁用或限制Java、Java小程序脚本、ActiveX控件和插件

　　由于网上（如在浏览web页和在聊天室里）经常有用Java、JavaApplet、ActiveX编写的脚本，它们可能会获取你的用户标识、IP地址、乃至相关口令，它们甚至会在你的机器上安装某些程序或进行其它操作。因此应对Java、Java小程序脚本、ActiveX控件和插件的使用进行限制。具体的设置和上面cookie的设置类似。

　　2.3调整“自动完成”功能的设置

　　缺省条件下，用户在第一次使用web地址、表单、表单的用户名和密码后（如果同意保存密码），在下一次再想进入同样的web页及输密码时，只需输入开头部分，后面的就会自动完成，给用户带来了便利，但同时也带来了安全问题。可以通过调整“自动完成”功能的设置，来解决该问题。可以通过调整“自动完成”功能，仅保存和建议所需要的信息。可以选择针对 Web 地址、表单和密码使用“自动完成”功能，也可以只在某些地方使用此功能，还可以清除任何项目的历史记录。具体设置如下：

（1）在 Internet Explorer 的“工具”菜单上，单击“Internet 选项”。

（2）单击“内容”选项卡。

（3）在“个人信息”区域，单击“自动完成”。

（4）选中要使用的“自动完成”选项的复选框。

　　若要清除历史记录，只需在第（4）步点击“清除表单”和“清除密码”按钮即可。

3．正确使用密码

　　密码用于保证只有经过合法授权的用户才能够访问相应的资源。口令入侵是黑客入侵最常用的一种方法，它利用系统、软件的缺陷和用户的疏忽，取得合法密码，然后进行各种操作。其中，用户的密码使用不当是造成这种入侵成功的最重要原因。选取密码时首先要注意避免以下几种易犯的错误：

（1）使用用户名、登陆名及单位名作为密码；

（2）使用以上的变换形式作为密码；

（3）使用用自己或亲友的生日作为密码；

（4）使用常用的英文单词作为密码；

（5）使用6位或6位以下的字符作为密码。

　　相对应的正确的做法应注意以下几条原则：

（1）限制密码的长度。密码至少有6位以上