chinaapub.com 第4章原务器防护727 令(很容易猜出的)访问系统,等等。尽管这种威胁看来势不可挡,但可以采取一些方法来保护 安全结构设计较差的网络系统。管理员必须主动地研究所用产品的 Internet安全特性。如果做 好预防工作,就能在 Internet上构建一个安全的系统 测试 ASP Web站点的安全程序的最好方法是,在服务器还在开发阶段而没有正式投入到 Internet之前,自己尝试着闯入破坏它。测试网站是否具有防止“拒绝服务”攻击的能力;测 试所设置的访问控制的综合能力。最好定期访问那些提供最新黑客工具和自动攻击软件的网 站,例如: http://www.rootshell.com http://www.hackers.com http://www.dark-secrets.com 恶意攻击和破坏 最近恶意的在线破坏仿佛要成为一种趋势。这种做法相当标准,攻击者窃取口令或找到 其他的方法进入你的系统,并把你的站点弄得面目全非。幸运的是我们可以很容易地清除 “在线涂改”,并且改变口令以防止重复攻击,但最主要的事情是使自己的口令保密。下一章 将研究加密方法。 破坏者也可以用FTP和 telnet闯入你的系统。因此,除非是必须的,否则就不要提供这些 服务。除非使用第三方软件,否则 Windows2000不支持 telnet和远程控制台访问。所以, Windows2000使用者只需要考虑有关FTP的安全问题。如果服务器是内部的,应该用一个光 盘驱动器或其他形式的介质升级你的网站。从长远观点来看,这种额外的努力是很值得的 2.假冒和IP欺骗 在 Internet上最大的问题之一就是假冒,即攻击者以别人的身份进入你的系统。对于那些 使用IP和用户身份验证的服务器来说,这是个大问题 让我们来研究一下IP。它是TCPP的一部分。IP由四个层次组成,如表24-1所示 表24-1|P的四个层次 端主机( Source host 产生数据包( packet,数据的单位)的主机 源端端口( Source port) 发出数据包的端口 的端主机(D 数据包接收端主机 目的端口( Destination Host) 数据包接收端口 在我们讨论“假冒”问题时,源端主机是需要重点研究的一个层次。它是信息块一也 就是所谓的“包”( packet)-一的来源,是信息的起始端。如果能用自己的数据包假冒源端主 机的数据包,就能使主机相信它们来自被假冒的地址。这种技术就称为“IP欺骗”(IP spoofing)在网络上,攻击者用这种方法伪装成受信任的主机。事实上,大多数拒绝服务攻 击是用这种方法掩盖自己的起始地址 不要完全相信自己的网络是很可靠的,但这不应归责于IP,因为它唯一的目的就是提供4 个层次,使路由器知道向何处发送数据包,没有提供检查的方法。一个反假冒的手段就是使 用防火墙检査数据包是否确实来自它声称的源端主机。虽然对于IP欺骗,防火墙不是万无 失的。但一个法则是配置你的路由器,使其丢弃那些声称来自你的网络的入站数据包。丢弃 声称不是来自你的网络的出站数据包,可以防止自己的职员攻击其他网络。第2 4章 服务器防护计计727 下载 令(很容易猜出的)访问系统，等等。尽管这种威胁看来势不可挡，但可以采取一些方法来保护 安全结构设计较差的网络系统。管理员必须主动地研究所用产品的 I n t e r n e t安全特性。如果做 好预防工作，就能在I n t e r n e t上构建一个安全的系统。 测试ASP We b站点的安全程序的最好方法是，在服务器还在开发阶段而没有正式投入到 I n t e r n e t之前，自己尝试着闯入破坏它。测试网站是否具有防止“拒绝服务”攻击的能力；测 试所设置的访问控制的综合能力。最好定期访问那些提供最新黑客工具和自动攻击软件的网 站，例如： • http://www. r o o t s h e l l . c o m • http://www. h a c k e r s . c o m • http://www. d a r k - s e c r e t s . c o m 1. 恶意攻击和破坏 最近恶意的在线破坏仿佛要成为一种趋势。这种做法相当标准，攻击者窃取口令或找到 其他的方法进入你的系统，并把你的站点弄得面目全非。幸运的是我们可以很容易地清除 “在线涂改”，并且改变口令以防止重复攻击，但最主要的事情是使自己的口令保密。下一章 将研究加密方法。 破坏者也可以用 F T P和t e l n e t闯入你的系统。因此，除非是必须的，否则就不要提供这些 服务。除非使用第三方软件，否则 Windows 2000 不支持 t e l n e t和远程控制台访问。所以， Windows 2000使用者只需要考虑有关 F T P的安全问题。如果服务器是内部的，应该用一个光 盘驱动器或其他形式的介质升级你的网站。从长远观点来看，这种额外的努力是很值得的。 2. 假冒和I P欺骗 在I n t e r n e t上最大的问题之一就是假冒，即攻击者以别人的身份进入你的系统。对于那些 使用I P和用户身份验证的服务器来说，这是个大问题。 让我们来研究一下I P。它是T C P / I P的一部分。I P由四个层次组成，如表2 4 - 1所示。 表24-1 IP的四个层次 层 次 说 明 源端主机(Source Host) 产生数据包( p a c k e t，数据的单位)的主机 源端端口(Source Port) 发出数据包的端口 目的端主机(Destination Host) 数据包接收端主机 目的端口(Destination Host) 数据包接收端口 在我们讨论“假冒”问题时，源端主机是需要重点研究的一个层次。它是信息块—也 就是所谓的“包”( p a c k e t )—的来源，是信息的起始端。如果能用自己的数据包假冒源端主 机的数据包，就能使主机相信它们来自被假冒的地址。这种技术就称为“ I P欺骗” ( I P s p o o f i n g )。在网络上，攻击者用这种方法伪装成受信任的主机。事实上，大多数拒绝服务攻 击是用这种方法掩盖自己的起始地址。 不要完全相信自己的网络是很可靠的，但这不应归责于 I P，因为它唯一的目的就是提供 4 个层次，使路由器知道向何处发送数据包，没有提供检查的方法。一个反假冒的手段就是使 用防火墙检查数据包是否确实来自它声称的源端主机。虽然对于 I P欺骗，防火墙不是万无一 失的。但一个法则是配置你的路由器，使其丢弃那些声称来自你的网络的入站数据包。丢弃 声称不是来自你的网络的出站数据包，可以防止自己的职员攻击其他网络