精华区 [关闭][返回]

当前位置:网易精华区>>讨论区精华>>电脑技术>>● 计算机安全>>◆系统漏洞◆>>TCP/IP服务的脆弱性

主题:TCP/IP服务的脆弱性
发信人: sexman()
整理人: williamlong(1999-11-09 18:33:19), 站内信件
基于TCP/IP协议的服务很多,人们比较熟悉的有WWW服务,FTP服务,电子邮件服
务,不太熟悉的有TFTP服务,NFS服务,Finger服务等等。这些服务都存在不同程
度上的安全缺陷,当用户用防火墙保护站点时,就需要考虑,该提供哪些服务,
要禁止哪些服务,在这里只对一些服务作一些简单介绍。
一、WWW服务
WWW服务相对于其它服务出现比较晚,是基于超文本传输协议(HTTP),它是由瑞
士日内瓦欧洲粒子物理实验室发明的,并在短时间内得到迅猛发展,是人们最常
使用的因特网服务。随着Netscape公司推出安全套接口层(SSL),WWW服务器和
浏览器的安全性得到大大的提高,现在人们已经把这种技术应用于电子商务(E-b
usiness),例如在美国,人们可以在因特网上买卖股票和使用信用卡购物。既然
把WWW服务说得那么安全,那到底它存在什么安全问题呢?安全套接口层(SSL)
确实对WWW服务的安全提高很多,但它主要解决了数据包被窃听和劫持的问题,除
此之外WWW服务还有其它的问题,如 WWW服务使用的CGI程序,服务器端附件(SS
I,Server Side Include), Java Applet小程序等。
最初WWW服务只提供静态的HTML页面,这种页面显得很呆板,用户看到主页没有变
化,于是人们引入了CGI程序,CGI程序让人们的主页活起来。当用户进入hotmai
l时,会发现下面的广告是不断变化的,这就是应用了CGI程序的结果。CGI程序可
以接收用户的输入信息,一般用户是通过表格把输入信息传给CGI程序的,然后C
GI程序可以根据用户的要求进行一些处理,一般情况下会生成一个HTML文件,并
传回给用户。CGI程序很多都存在安全漏洞,很容易被黑客利用做一些非法的事情
,如把/etc/passwd文件传给黑客,删除服务器上的文件等等。还有,现在很多人
在编CGI程序时,可能对CGI软件包中的安全漏洞并不了解,而且大多数情况下不
会重新编写程序的所有部分,只是对其加以适当的修改,这样很多CGI程序就不可
避免的具有相同的安全漏洞,所以用户若要编写一个安全的CGI程序,就应先去了
解这些软件包中的安全漏洞,这些在网上可以得到。CGI程序程序很多是用Perl来
编写的,Perl的功能很强大,但也很不安全,其中有很多UNIX的特殊字符可用来
执行UNIX的系统命令,一般入侵者就是利用这些特殊字符实施攻击的

--
   无言独上西楼,
    月如钩,寂寞梧桐深院锁清秋。  
      剪不断,理还乱,是离愁,
        别是一般滋味在心头。
                                     -----SexMan-----
                                 http://sexman.163.net

※ 来源:.月光软件站 http://www.moon-soft.com.[FROM: 202.103.139.158]

[关闭][返回]