| VB 源码 | VC 源码 | ASP源码 | JSP源码 | PHP源码 | CGI源码 | FLASH源码 | 素材模板 | C 源程序 | 站长工具 | 站长教程 |

系统安全

木马病毒
黑客技术
系统安全
防火墙
安全防范

本类阅读TOP10

·Windows 2000 密码破解不完全指南
·修改系统DLL文件实现禁用来防止木马病毒!
·浅谈Win2000密码的必然破解
·NTFS文件加密初探
·目前实用的几种入侵方法 以及工具防范
·防范非法用户入侵Win 2000/XP系统七招
·守护进程的概念和建立方法
·Windows 2000密码破解不完全指南
·虚拟服务器实现方法
·虚拟文件系统 (VFS) 简介

站内搜索

系统的安全检查
  像find和secure这样的程序称为检查程序,它们搜索文件系统,寻找出SUID/SGID文件,设备文件,任何人可写的系统文件,设有口令的登录用户,具有相同UID/GID的用户等等.
  
  
  (1)记帐
  
  UNIX记帐软件包可用作安全检查工具,除最后登录时间的记录外,记帐系统还能保存全天运行的所有进程的完整记录,对于一个进程所存贮的信息包括UID,命令名,进程开始执行与结束的时间,CPU时间和实际消耗的时间,该进程是否是root进程,这将有助于系统管理员了解系统中的用户在干什么.acctcom命令可以列出一天的帐目表.有明,系统中有多个记帐数据文件,记帐信息保存在文件/usr/adm/pacct*中,/usr/adm/pacct是当前记录文件,/usr/adm/pacctn是以前的记帐文件(n为整型数).若有若干个记帐文件要查看,可在acctcom命令中指定文件名:
  acctcom /usr/adm/pacct? /usr/adm/pacct
  要检查的问题的其中之一是:在acctcom的输出中查找一个用户过多的登录过程,若有,则说明可能有人一遍遍地尝试登录,猜测口令,企图非法进入系统.此外,还应查看root进程,除了系统管理员用su命令从终端进入root,系统启动,系统停止时间,以及由init(通常init只启动getty,login,登录shell),cron启动的进程和具有root SUID许可的命令外,不应当有任何root进程.
  
  由记帐系统也可获得有关每个用户的CPU利用率,运行的进程数等统计数据.
  
  
  (2)其它检查命令
  
  *du:报告在层次目录结构(当前工作目录或指定目录起)中各目录占用的磁盘块数.可用于检查用户对文件系统的使用情况.
  
  *df:报告整个文件系统当前的空间使用情况.可用于合理调整磁盘空间的使用和管理.
  
  *ps:检查当前系统中正在运行的所有进程.对于用了大量CPU时间的进程,同时运行了许多进程的用户,运行了很长时间但用了很少CPU时间的用户进程应当深入检查.还可以查出运行了一个无限制循环的后台进程的用户,未注销户头就关终端的用户(一般发生在直接连线的终端).
  
  *who:可以告诉系统管理员系统中工作的进展情况等等许多信息,检查用户的登录时间,登录终端.
  
  *su:每当用户试图使用su命令进入系统用户时,命令将在/usr/adm/sulog文件中写一条信息,若该文件记录了大量试图用su进入root的无效操作信息,则表明了可能有人企图破译root口令.
  
  *login:在一些系统中,login程序记录了无效的登录企图(若本系统的login程序不做这项工作而系统中有login源程序,则应修改login).
  
  每天总有少量的无效登录,若无效登录的次数突然增加了两倍,则表明可能有人企图通过猜测登录名和口令,非法进入系统.
  
  这里最重要的一点是:系统管理没越熟悉自己的用户和用户的工作习惯,就越能快速发现系统中任何不寻常的事件,而不寻常的事件意味着系统已被人窃密.
    
  (3)安全检查程序的问题
  
  关于以上的检查方法的一个警告,若有诱骗,则这些方法中没有几个能防诱骗.如find命令,如果碰到路径名长于256个字符的文件或含有多于200个文件的目录,将放弃处理该文件或目录,用户就有可能利用建立多层目录结构或大目录隐藏SUID程序,使其逃避检查(但find命令会给出一个错误信息,系统管理员应手工检查这些目录和文件).也可用ncheck命令搜索文件系统,但它没有find命令指定搜索哪种文件的功能.
  
  如果定期存取.profile文件,则检查久未登录用户的方法就不奏效了.而用户用su命令时,除非用参数-,否则su不读用户的.profile.
  
  有三种方法可寻找久未登录的帐户:
  
  . UNIX记帐系统在文件/usr/adm/acct/sum/login中为每个用户保留了最后一次登录日期.用这个文件的好处是,该文件由系统维护,所以可完全肯定登录日期是准确的.缺点是必须在系统上运行记帐程序以更新
  
  loginlog文件,如果在清晨(午夜后)运行记帐程序,一天的登录日期可能就被清除了.
  
  . /etc/passwd文件中的口令时效域将能告诉系统管理员,用户的口令是否过期了,若过期,则意味着自过期以来,户头再未被用过.这一方法的好处在于系统记录了久未用的户头,检查过程简单,且不需要记帐系统所需要的磁盘资源,缺点是也许系统管理员不想在系统上设置口令时效,而且这一方法仅在口令的最大有效期(只有几周)才是准确的.
  
  .系统管理员可以写一个程序,每天(和重新引导系统时)扫描/etc/wtmp,自己保留下用户最后登录时间记录,这一方法的好处是不需要记帐程序,并且时间准确,缺点是要自己写程序.
  
  以上任何方法都可和/usr/adm/sulog文件结合起来,查出由login或su登录户头的最后登录时间.
  
  如果有人存心破坏系统安全,第一件要做的事就是寻找检查程序.破坏者将修改检查程序,使其不能报告任何异常事件,也可能停止系统记帐,删除记帐文件,使系统管理员不能发现破坏者干了些什么.
  
  
  (4)系统泄密后怎么办?
  
  发现有人已经破坏了系统安全的时候,这时系统管理员首先应做的是面对肇事用户.如果该用户所做的事不是蓄意的,而且公司没有关于"破坏安全"的规章,也未造成损坏,则系统管理员只需清理系统,并留心该用户一段时间.如果该用户造成了某些损坏,则应当报告有关人士,并且应尽可能地将系统恢复到原来的状态.
  
  如果肇事者是非授权用户,那就得做最坏的假设了:肇事者已设法成为root且本系统的文件和程序已经泄密了.系统管理员应当想法查出谁是肇事者,他造成了什么损坏?还应当对整个文件做一次全面的检查,并不只是检查SUID和SGID,设备文件.如果系统安全被一个敌对的用户破坏了,应当采用下面的步骤:
  
  .关系统,然后重新引导,不要进入多用户方式,进入单用户方式.
  
  .安装含有本系统原始UNIX版本的带和软盘.
  
  .将/bin,/usr/bin,/etc,/usr/lib中的文件拷贝到一个暂存目录中.
  
  .将暂存目录中所有文件的校验和(用原始版本的sum程序拷贝做校验和,不要用/bin中的suM程序做)与系统中所有对就的文件的校验和进行比较,如果有任何差别,要查清差别产生的原因.如果两个校验和不同,是由于安装了新版本的程序,确认一相是否的确是安装了新版本程序.如果不能找出校验和不同的原因,用暂存目录中的命令替换系统中的原有命令.
  
  .在确认系统中的命令还未被窜改之前,不要用系统中原命令.用暂存目录中的shell,并将PATH设置为仅在暂存目录中搜索命令.
  
  .根据暂存目录中所有系统命令的存取许可,检查系统中所有命令的存取许可.
  
  .检查所有系统目录的存取许可,如果用了perms,检查permlist文件是否被窜改过.
  
  .如果系统UNIX(/unix)的校验和不同于原版的校验和,并且系统管理员从未修改过核心,则应当认为,一个非法者"很能干",从暂存缓冲区重新装入系统.系统管理员可以从逐步增加的文件系统备份中恢复用户的文件,但是在检查备份中的"有趣"文件之前,不能做文件恢复.
  
  .改变系统中的所有口令,通知用户他们的口令已改变,应找系统管理员得到新口令.
  
  .当用户来要新口令时,告诉用户发生了一次安全事故,他们应查看自己的文件和目录是否潜伏着危害(如SUID文件,特洛依木马,任何人可写的目录),并报告系统管理员任何异乎寻常的情况.
  
  .设法查清安全破坏是如何发生的?如果没有肇事者说明,这也许是不可能弄清的.如果能发现肇事者如何进入系统,设法堵住这个安全漏洞.
  
  第一次安装UNIX系统时,可以将shell,sum命令,所有文件的校验和存放在安全的介质上(带,软盘,硬盘和任何可以卸下并锁焉起来的介质).于是不必再从原版系统带上重新装入文件,可以安装备份介质,装入shell和sum,将存在带上的校验和与系统中文件的校验和进行比较.系统管理员也许想自己写一个计算校验和的程序,破坏者将不能知道该程序的算法,如果将该程序及校验和保存在带上,这一方法的保密问题就减小到一个物理的安全问题,即只需将带锁起来.
  



相关文章
  • 遭受拒绝服务攻击事件的分析及对策
  • 通过TCP/IP堆栈特征探测远程操作系统
  • 通过IP欺骗进行攻击的原理及预防
  • 远程连接作为root的用法和总结
  • 远程shell特洛伊木马病毒
  • 运用CrackLib构建安全的Unix口令
  • 调整 TCP/IP 防范攻击
  • 设置Unix启动密码
  • 解剖恶意网站代码
  • 虚拟服务器实现方法
  • 虚拟文件系统 (VFS) 简介
  • 网络最高安全指南
  • 网络安全的几项关键技术
  • 网络安全漏洞检测
  • 系统遭受入侵后使用TCT进行紧急恢复并分析
  • 系统管理进阶-内存管理
  • 系统管理员安全(2)
  • 系统管理员安全(1)
  • 系统管理员安全
  • 端口扫描技术
  • 相关软件


    下载首页关于我们广告服务联系方式常见问题隐私声明法律条款本站声明下载帮助发布软件站点地图谷歌卫星地图