信息安全行业的一位首席Web安全专家称，一年多前发现的哈希算法漏洞可能成为Web上最危险的安全漏洞。
在2010 RSA大会上，WhiteHat首席安全技术官Jeremiah Grossman正式提出去年中排名前十位的网络黑客攻击技术。一月份，Grossman首次在其博客上列出这一第四年度列表，他试图阐明那些往往不会引起人注意但有重大意义的攻击研究。
排在这一列表首位的是创建流氓认证职权的实现，这有效地击败了因特网的信任基础设施，并使用户难以获知哪个站点和证书是可信的。
这一漏洞最初是由一个安全研究小组（其中包括独立研究员Alex Sotirov）在2008年年底发现的。该攻击针对的是MD5哈希算法中的漏洞，在特殊情况下它能够以复制假冒数字指纹的形式来发动攻击。
Grossman称，如今一些CA（证书的签发机构）仍然在使用MD5，但已逐渐被一种更安全且没有这一漏洞的SHA-1哈希函数所淘汰。
列表中排名第二的是一种HTTP参数污染的技术。通过向网站发送多重请求使得绕过输入验证检查和Web应用防火墙，进而修改web页面内容和客户端应用的行为成为可能。
“你可以通过利用同一名称的多重URL参数来改变后端行为，这也很可能使得用户毁掉他们自己的Yahoo邮箱账户。”
Grossman不可能详细阐述每一种黑客技术的细节，但他还是强调了给私有内网带来特别重大风险的一些黑客技术。包括DNS重绑定。在这种攻击渠道上有几种技术，基本上攻击的是DNS 服务器 以及通过浏览器获取IP地址使得攻击者能够访问到安全内网区域。
Grossman称，即使DNS重绑定已存在好几年了，它或多或少仍未得到完全修复……它实际上可以将浏览器转变为网络代理来执行攻击者的指令。这是种非常猖狂的攻击方式。
同样地，另一种方式RFC-1918同样可以让攻击者通过使用中间人攻击的方式（包括指向非公开路由IP地址的iframe注入）获取对受信内网的访问权限。
Grossman说：“你可能突然间就存储了他们浏览器上的Javascript恶意软件，即使受害者关闭了浏览器，它还是会永久存储在那儿，因为攻击者是在流里的。”
Dallas的工程公司Huitt-Zollars的信息技术主管Glenn Ridnour在出席此次会议时表示，Grossman所谈到的技术并不全是新的，但令攻击者能够访问内网的漏洞的确让人感到不安，因为攻击者可以利用这一漏洞轻易地在各台机器间来回切换。
Ridnour说，“我们花了很多时间来建立防火墙和过滤器，但这种攻击方式不受其他所有因素的影响。”
Grossman在会议中表达的关键主题是：成功防御网站的Web漏洞不仅需要安全的浏览器还需要一个安全的网站基础架构。
“网站必须能够防御敌对用户攻击，同时浏览器必须能够防御恶意网页，就好比你无法只用一只翅膀来飞。”
怎么避免DOS的攻击
DoS（Denial Of Service），拒绝服务的缩写，是指故意攻击网络协议实现的缺陷或直接通过野蛮手段耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务，使目标系统停止响应甚至崩溃。 这些服务资源包括网络带宽，文件系统空间容量，开放的进程或者允许的连接。 这种攻击会导致资源的匮乏，无论计算机的处理速度多快、内存容量多大、网络带宽的速度多快都无法避免这种攻击带来的后果。 大多数的DoS攻击是需要相当大的带宽的，而以个人为单位的黑客没有可用的高带宽资源。 为了克服这个缺点，DoS攻击者开发了分布式的攻击。 攻击者利用工具集合许多的网络带宽来同时对同一个目标发动大量的攻击请求，这就是DDoS（Distributed Denial Of Service）攻击。 可以说DDoS攻击是由黑客集中控制发动的一组DoS攻击的集合，这种方式被认为是最有效的攻击形式，并且非常难以抵挡。 如何防止DoS/DDoS攻击各种DoS攻击软件都可以很轻松地从Internet上获得，DoS攻击给飞速发展的Internet网络安全带来重大的威胁。 然而从某种程度上可以说，DoS攻击永远不会消失并且从技术上目前没有根本的解决办法。 面对凶多吉少的DoS险滩，我们该如何应付呢？让我们首先对造成DoS攻击威胁的技术问题作一下总结。 DoS攻击可以说是如下原因造成的。 1．软件弱点造成的漏洞。 这包含在操作系统或应用程序中与安全相关的系统缺陷，这些缺陷大多是由于错误的程序编制，粗心的源代码审核，无心的副效应或一些不适当的绑定所造成的。 由于使用的软件几乎完全依赖于开发商，所以对于由软件引起的漏洞只能依靠打补丁来弥补。 2．错误配置也会成为系统的安全隐患。 这些错误配置通常发生在硬件装置、服务器系统或者应用程序中，大多是由于一些没经验、不负责任员工或者错误的理论所造成。 因此我们必须保证对网络中的路由器、交换机等网络连接设备和服务器系统都进行正确的配置，这样才会减小这些错误发生的可能性。 3．重复请求导致过载的拒绝服务攻击。 当对资源的重复请求大大超过资源的支持能力时就会造成拒绝服务攻击。 要避免系统遭受DoS攻击，从前两点来看，网络管理员要积极谨慎地维护整个系统，确保无安全隐患和漏洞；而针对第三点的恶意攻击方式则需要安装防火墙等安全设备过滤DoS攻击，同时强烈建议网络管理员定期查看安全设备的日志，及时发现对系统存在安全威胁的行为。 3com公司是一个全面的企业网络解决方案提供商，旨在为企业用户提供“简单丰富、安全可靠且高性价比”的网络解决方案。 Internet支持工具就是其中的主要解决方案之一，包括SuperStack 3 Firewall、Web Cache以及Server Load Balancer。 作为安全网关设备的3Com SuperStack 3 防火墙在缺省预配置下可探测和防止“拒绝服务”以及“分布式拒绝服务”等黑客侵袭，强有力地保护用户的网络，免遭未经授权访问和其他来自Internet的外部威胁和侵袭。 而且3Com SuperStack 3 Server Load Balancer在为多服务器提供硬件线速的4～7层负载均衡的同时，还能保护所有服务器免受“拒绝服务”攻击。 同样3Com SuperStack 3 Web Cache不但为企业提供高效的本地缓存，也能保证自身免受“拒绝服务”攻击。
怎么样管理服务器（网吧）？
第一种方法需要安装HLserver4108，然后再升级到最新版，再安装CS1.5最新版，最后设置一下基本参数就行了。 第二种方法很简单，就是直接使用CS1.5提供的，这是最方便的办法，然后将以上建立一个快捷方式，在命令行里输入下面一行（注意空格）：D \Hlserver\ -game cstrike -port maXPlayers 28map de_dust2 -nomastersv_lan 1“D \Hlserver\” 你安装hlserver的目录“-game cstrike” 指定运行游戏为CS“-port ” 指定游戏连接端口为“ maxplayers 28” 游戏最大人数28人“ map de_dust2” 指定开始地图为de_dust2“-nomaster” 服务器不上WON认证“ sv_lan 1” 指定其为一个LAN ServerCS服务器人数设到最大值32，但如果满了，就会掉帧，所以可以根据你机器配置来设置人数，一台电脑可以设两个以上的服务器，只要把端口分开就可以了。 电影服务 Web服务器篇为了最大化地利用网吧资源，顺便把电影服务器设为Web服务器，建议配置为 P4 1.7GHz、256MB内存、200GB以上硬盘（可以买两个酷鱼五120GB的），系统建议装 windows 2000 Server版，如果装个人版的话，IIS只支持10个人浏览，如果装高级服务器版的话，会多安装很多无用的东西，所以服务器版的默认配置是比较适合100台以上网吧的。 240GB硬盘就已经可以放几百部RM和AVI格式的电影了，做了Web服务器，FTP服务器每天有4万多IP登录服务器，服务器也能运行得很好。 电影服务器的建立方法2000漏洞较多，所以装好之后，需要做以下几件事情：1、打补丁微软的作风就是三天一小补，五天一大补，漏洞太多，补一点就好一点，使用“开始→Windows Update”然后把所有的补丁都装进去吧。 2、删除默认共享（1）删除IPC$共享Windows 2000的缺省安装很容易被攻击者取得账号列表，即使安装了最新的Service pack也是如此。 在Windows 2000中有一个缺省共享IPC$，并且还有诸如admin$ C$ D$等等，而IPC$允许匿名用户（即未经登录的用户）访问，利用这个缺省共享可以取得用户列表。 要想防范这些，可将在“管理工具→本地安全策略→安全设置→本地策略→安全选项”中的“对匿名连接的额外限制”修改为“不允许枚举SAM账号和共享”。 就可以防止大部分此类连接，但是还没完，如果使用NetHacker只要使用一个存在的账号就又可以顺利地取得所有的账号名称。 所以，我们还需要另一种方法做后盾：创建一个文件，内容就是一行命令“net share ipc$ delete”不包括引号；在Windows的计划任务中增加一项任务，执行以上的，时间安排为“计算机启动时执行”，或者把这个文件放到“开始→程序→启动”中让它一启动就删除IPC$共享；重新启动服务器。 （2）删除admin$共享修改注册表HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\lanmanserver\parameters增加AutoShareWks子键（REG_DWord），键值为0。 （3）清除默认磁盘共享 C$、D$等修改注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters，增加AutoShareServer子键（REG_DWORD），键值为0。 3、修改默认用户名在“管理工具→本地安全策略→安全设置→本地策略→安全选项”的“重命名来宾账户”将“guest”改成“abc”或者其他名字，下面机器登录名字设为名字，然后再把“重命名系统管理员账户”也改一下。 有一次我扫描了一下我的IP段，就发现有多家网吧服务器的管理员名称是默认的Administrator，并且是简单密码。 两个服务器已经很稳定，隔一两天重启一下服务器。
怎么设置网站？
其实,我们完全可以自己打造WWW的个人服务器,在网上发布一些个人信息,并且体会做管理员的乐趣。 WWW服务器的架设有很多种方式,下面介绍一些主流的实现方法: 通过微软提供的IIS 目前很大一部分的WWW服务器都架设在微软公司的IIS之上。 它使用的环境为WinNT/2000/XP+Internet Information Service(IIS),相信很多用户现在使用的都是Win2000或WinXP系统,在Win2000 Professional和WinXP系统中,默认的情况下,它们在系统初始安装时都不会安装IIS(目前版本为IIS5.0),因此得将这些组件添加到系统中去。 第一步:IIS的安装 A.在控制面板中选择“添加/删除程序”,在出现的对话框中选择“添加/删除Windows组件”(如图1)。 B.在出现的复选框中选择安装Internet信息服务(IIS),这一组件约需19MB的空间。 C.点击“下一步”,并将Win2000安装光盘放入光驱,安装程序即可将程序文件复制到硬盘中,点击“结束”即可完成。 第二步:IIS中Web服务器的基本配置 IIS中Web服务器的基本配置主要包括如下几部分: A.打开IIS服务器的配置窗口,选择“开始”→“程序”→“管理工具”→“Internet服务管理器”,或者“选择”→“控制面板”→“管理工具”→“Internet服务管理器”也可,打开的窗口如图3。 B.在打开的窗口中鼠标右击“默认Web站点”,选择“属性”菜单。 C.在出现的“默认Web站点属性”窗口中,选择“主目录”标签,用以设置Web内容在硬盘中的位置,默认目录为“C:\\Inetpub\\Wwwroot”,你可根据需要自己设置(如图4)。 D.在属性窗口处选择“文档”标签,设置自己默认的首页网页名称,例如“”,将其添加并移动到列表的最顶端(如图5)。 E.确认默认的Web站点是否已经启动,如果没有可以鼠标右键点击“默认Web站点”,选择“启动”,在打开的IE地址栏中键入本机的IP地址,即可看到自己指定的主页已经开始在Internet上发布了。 这里只是介绍IIS最基本的设置选项,大家还可以按照需要去具体设置上面提到的“默认Web站点属性”,通过它来配置IIS的安全和其他一些参数。 IIS虽然好用,但默认安装的情况下,它也有很多的安全漏洞,包括著名的Unicode漏洞和CGI漏洞,因此在IIS安装完成之后,建议继续在微软公司主页上下载安装它们提供的安全漏洞补丁SP1和SP2。 此外,建议将磁盘的文件系统转换成NTFS格式,安装系统的分区可在系统安装候转换,也可在安装完系统以后用PQMagic等工具进行转换。
发表评论