安全攻防和系统加固.pptVIP

* 讲课的时候故意犯错＝违反RFC,马上RFC会反对,如同纠正错误的同学 异常包头：目标主机或过滤设备会反馈ICMP Parameter Problem Error信息。不同厂家的路由器和操作系统对这些错误的处理方式不同，返回的结果也各异。 无效字段：目标主机或过滤设备会反馈ICMP Destination Unreachable信息 错误分片：将丢弃这些错误数据包，并向发送主机反馈ICMP Fragment Reassembly Time Exceeded 错误报文 超长包：该路由器会反馈 Fragmentation Needed and Don’t Fragment Bit was Set差错报文，从而获取目标系统的网络拓扑结构。 反向映射探测：该技术用于探测被过滤设备或防火墙保护的网络和主机。通常这些系统无法从外部直接到达，但是我们可以采用反向映射技术，通过目标系统的路由设备进行有效的探测。 当我们想探测某个未知网络内部的结构时，可以构造可能的内部IP地址列表，并向这些地址发送数据包。当对方路由器接收到这些数据包时，会进行IP识别并路由，对不在其服务的范围的IP包发送ICMP Host Unreachable或ICMP Time Exceeded 错误报文，没有接收到相应错误报文的IP地址会可被认为在该网络中。当然，这种方法也会受到过滤设备的影响。 * * * * 实现原理：通过调用socket函数connect()连接到目标计算机上，完成一次完整的三次握手过程。如果端口处于侦听状态，那么connect()就能成功返回。否则，这个端口不可用，即没有提供服务。 实现原理：ident 协议允许看到通过TCP连接的任何进程的拥有者的用户名，即使这个连接不是由这个进程开始的。比如，连接到http端口，然后用identd来发现服务器是否正在以root权限运行。 缺点：这种方法只能在和目标端口建立了一个完整的TCP连接后才能看到。 * 因为这种秘密扫描方法违反了通例，在网络流量中相当醒目，正是它的刻意追求隐蔽特性留下了狐狸尾巴 * Nmap不支持windows,因为windows协议栈改变很小,建议可以利用winnuke,或者land攻击这种方式,通过锁定hotfix确定windows版本,容易系统崩溃 * * * * 　 * 用TCP协议栈上一些点来定义 失败的攻击尝试会将daemon crash掉，所以如果你可以提前锁定Solaris 2.51‘ or ’Linux 2.0.35‘ ，将可以成功的调节你的shellcode * UNIX 及类 UNIX 操作系统 ICMP 回显应答的 TTL 字段值为 255 Compaq Tru64 5.0 ICMP 回显应答的 TTL 字段值为 64 微软 Windows NT/2K操作系统 ICMP 回显应答的 TTL 字段值为 128 微软 Windows 95 操作系统 ICMP 回显应答的 TTL 字段值为 32 * 1.效果一般,找不到就输出窗口大小,不能分辨windows版本 2.像tcpdump一样,支持规则,稍微详细了一点,库大了一点 * * * * Version 9 安全性很好 * 历史曾经出过telnet问题 * 截止06.4.21 * 优点:不需要设定参数 缺點：可惜沒有報表可以知道部署安裝狀況 (SUS)，没有进程条，干没干活不知道。不能提供強迫安裝(SUS)及背景延後開機的功能 Windows 2000 SP2和Windows XP 需要下载客户端 * 下载必须手动 * * SQL注入：程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据 1.避免了大量的存在于早期IIS系统中的目录遍历漏洞、上传代码漏洞以及MDAC漏洞。 2.匿名帐号不再具有web服务器根目录的写权限。另外，FTP用户也被相互隔离在他们自己的根目录中。这些限制有效的避免了用户向服务器文件系统的其他部分上传一些有害程序。 3.IIS 6.0中默认禁用了对父目录的访问。这样可以避免攻击者跨越web站点的目录结构，访问服务器上的其他敏感文件，如SAM文件等。当然也请注意，由于父目录默认被禁用，这可能导致一些从早期版本IIS上迁移过来的应用由于无法使用父目录而出错。 * * 网络钓鱼(Phishing)一词，是“Fishing”和“Phone”的综合体，由于黑客始祖起初是以电话作案(利用名牌效应) * * 利用ping模式进行监测 伪造出这样的一种icmp数据包：硬件地址是不与局域网内任何一台主机相同,任何正常的主机会检查这