第二章操作系统与网络安全

第2章

操作系统与网络安全

目前，在服务器的操作系统平台上，受广大用户欢迎的有Unix、Linux和WindowsNT。这三个操作系统存在着不少的安全漏洞，如果对这些漏洞不了解，不采取相应的对策和防范措施，就会使系统完全暴露在入侵者的入侵范围之内，随时有可能遭受毁灭性的攻击。

本章就是从上述问题着手，来讨论：

1.Unix、Linux和WindowsNT等操作系统的安全基础

2.系统特性和安全策略

3.Unix和WindowsNT操作系统的网络安全配置

2.3Windows系统简介 Windows9x：在具有众多优点的同时，它的缺点是稳定性和安全性欠佳。Windows95／98极易受到各种木马以及炸弹的袭击，一般的网络用户都可以使用一些特种工具轻而易举地让Windows9x死机。 WindowsNT：对网络功能的支持更为强大，并且稳定性有了本质的提高。 注册表：注册表是Windows系统的核心数据库，里面只存放了某些文件类型的应用程序信息。要方便地修改注册表可以使用注册表编辑程序regedit。2.3Windows系统简介2.5WindowsNT/2000网络配置2.5.1WindowsNT/2000的资源访问控制 WindowsNT安全模式的一个最初目标，就是定义一系列标准的安全信息，并把它应用于所有对象的实例，这些安全信息，包括下列元素： 1．所有者 2．组 3．自由ACL（AccessControlList） 4．系统ACL 5．存取令牌（AccessToken）2.5WindowsNT网络配置2.5.2WindowsNT的NTFS文件系统 NTFS文件系统是一种安全的文件系统，因为它支持文件访问控制，人们可以设置文件和目录的访问权限，控制谁可以使用这个文件，以及如何使用这个文件。五个预定义的许可为：拒绝访问，读取，更改，完全控制和选择性访问。2.5WindowsNT/2000常用命令WindowsNT/2000常用命令补充

2.1Unix系统简介

2.1.1Unix系统的由来 Unix操作系统是由美国贝尔实验室开发的一种多用户、多任务的通用操作系统。它从一个实验室的产品发展成为当前使用普遍、影响深远的业界主流操作系统，经历了一个逐步成长、不断完善的发展过程。由于其功能强大、技术成熟、可靠性好、网络功能强及开放性好，可满足各行各业实际应用的需求，受到了广大用户的欢迎，已经成为重要的企业级操作平台。由于Unix系统强大的生命力，它的用户每年以两位数字以上的速度增长，可以肯定地说，Unix是可以进入21世纪的少数几种操作系统平台之一。2.1Unix系统简介 Unix系统在经过20多年的发展成长以后，已经成为一种成熟的主流操作系统，并在发展过程中逐步形成了一些新的特色，其中主要包括： 1．可靠性高。 2．极强的伸缩性。 3．网络功能强。 4．强大的数据库支持功能。 5．开放性好。2.1Unix系统文件目录简介

Unix系统采用目录树结构,各种不同的文件分类放在不同的目录下,树的根部及文件的最高级是“/”目录,然后由各种子目录构成

Bin:存放系统可执行文件的目录,包括常用的命令和执行脚本

Boot:放置启动操作系统所需要的文件

Dev:Unix将各种硬件看成是文件,此目录放置对应的硬件文件

Etc:放置系统常用的配置文件和脚本

Home:用户的个人资料,每个用户有自己的文件夹Mnt:挂载文件的目录

Usr:用户文件和安装程序的目录Tmp:系统运行中产生的临时文件存放的目录.2.1Unix系统简介2.1.2Unix常用命令介绍ls

这个命令相当于DOS中的dir（列目录和文件的命令）-a：把本目录下所有的文件，包括隐含的文件列出来。-l：把文件的文件长度、修改的日期等详细信息列出来。-p：在每个文件名后附一个字符说明文件类型。*表示可执行文件，／表示目录，＠表示连接。-d：将目录当作文件显示，而不是显示其下的文件。 当输入ls-al命令并接回车时，就会列出当前目录下所有文件和目录的名称。2.1Unix系统简介介cd变换目录录，和DOS相同。如如果你在在cd后面没有有给定目目的地，，则表示示目的地地是根目目录。在在Unix中有三种种表示目目录的符符号：““．”、、“．．．”、““~”。。“．””表示当当前目录录路径的的位置，，“．．．”表示示当前路路径的上上一层目目录，或或称“父父目录””，“~”表示示根目录录，根目目录指每每个用户户所拥有有的目录录。如想想进入某某一目录录，只需需在cd后加上要要进入的的目录名名，例如如cd／etc。。who列出现在在系统里里有哪些些用户。。Unix是一个多多用户的的操作系系统，可可以同时时有许多多人在机机器上。。who命令可以以把他们们的名字字和终端端号都列列出来。。2.1Unix系统简介介cpcp命令等同同于DOS里的copy命令，即即复制文文件。例如：cpfilelfile2会将filel文件复制制为file2文件。它它有如下下几个重重要参数数：-r：将目录完完全地复复制到其其他目录录里，相相当于xcopy。-p：在Unix里，当你你操作时时，系统统会自动动更改文文件属主主、组、、权限和和时间。。-p参数使这这些内容容保持不不变。catcatenate的缩写，，意为把把内容串串起来，，其实际际作用在在于显示示文件内内容，相相当于DOS里面的type命令。当输入cat／／etc／passwd命令，就就会显示示出本系系统的口口令文件件。2.1Unix系统简介介man英语“manual””的缩写。。这是一一条使用用频率很很高的命命令，用用来得到到系统对对一个特特定命令令的帮助助信息。。例如，，如果想想得到cat命令的详详细帮助助信息，，就输入入mancat。mv这个命令令是move的缩写，，就是移移动一个个目录或或文件。。myfilelfile2就是把文文件filel移动为file2，移动后filel会消失，，实际上上就是把把filel改名为file2。2.1Unix系统简介介rmrm就是remove，，即删除文文件。当当需要删删除目录录以及目目录以下下的子目目录时，，需用r参数。grep在文件当当中查找找指定字字符。例例如greprootpasswd，其功能为为在passwd文件当中中寻找root字符并输输出该行行。find用来搜寻寻特定文文件或目目录。其其使用格格式为：：find［路径］［［匹配表表达式］］主要的匹匹配表达达式有：：-name，通过文件件名查找找；-perm，通过文件件属性查查找；-print，输出搜寻寻结果。。2.1Unix系统简介介2.1.3Unix系统基本本知识●超级用用户在Unix系统中有有一个名名为root的用户，，这个用用户在系系统上拥拥有最大大的权限限，即不不需授权权就可以以对其他他用户的的文件、、目录以以及系统统文件进进行任意意操作。。●文件属属性为保护每每个用户户的私人人文件不不受他人人非法修修改，系系统为每每个文件件和目录录都设定定了属性性。-rw-r--r--lrootwheel545Apr412:19file1r表示可读，w表示可写，x表示可执行。。2.1Unix系统简介●ShellShell是用户和Unix系统内核之间间的接口程序序。在提示符符下输入的每每个命令都由由Shell先解释然后传传给Unix内核。可以简简单地认为Shell就是Unix的命令解释器器，相当于DOS中的COMMAND.COM。●输入/输出出重定向重定向用于改改变一个命令令的输入／输输出源。“<”和“>””符号用于把把当前命令的的输入／输出出重走向为指指定的文件。。●管道管道可以把一一系列命令连连接起来。这这意味着第一一个命令的输输出会通过管管道传给第二二个命令而作作为第二个命命令的输入，，第二个命令令的输出又会会作为第三个个命令的输入入，以此类推推。2.2Linux系统简介2.2.1Linux的历史Unix系统对计算机机硬件的要求求比较高，对对于一般的个个人来说，想想要在PC机上运行Unix是比较困难的的。而Linux就为一般用户户提供了一个个使用Unix界面操作系统统的机会。因因为Linux是按照Unix风格设计的操操作系统，所所以在源代码码级上兼容绝绝大部分的Unix标准。可以说说相当多的网网络安全人员员在自己的机机器上运行的的正是Linux。。2.2Linux系统简介2.2.2Linux的特点1．与Unix高度兼容。Linux是一种完全符符合POSIX.l等国际标准的的操作系统，，它和大部分分商业Unix操作系统保持持高度的兼容容性，几乎所所有的Unix命令都可以在在Linux下使用。2．高度的稳稳定性和可靠靠性。Linux是一种完全32位的操作作系统（其实实Linux可以很容易地地升级为64位），具备备完善的多任任务机制。2.2Linux系统简介3．完全开放放源代码，价价格低廉。Linux符合GNU通用公共版权权协议，是自自由软件，它它的源代码是是完全开放的的，可以免费费得到，这对对于系统安全全人员来说是是非常重要的的，因为阅读读源代码是发发现系统漏洞洞的最主要方方法。而且与与各种商业操操作系统相比比。4．．安全全可可靠靠，，绝绝无无后后门门。。由由于于源源代代码码开开放放，，用用户户不不用用担担心心Linux中会会存存在在秘秘密密后后门门，，而而且且任任何何错错误误都都会会被被及及时时发发现现并并修修正正，，因因此此Linux可以以提提供供极极高高的的安安全全性性。。2.2Linux系统统简简介介2.2.3vi用法法介介绍绍vi是Linux下的的一一个个非非常常好好用用的的全全屏屏幕幕文文本本编编辑辑器器。。vi有两两种种模模式式，，即即编编辑辑模模式式和和命命令令模模式式。。编编辑辑模模式式用用来来输输入入文文字字资资料料，，而而命命令令模模式式用用来来下下达达一一些些编编排排文文件件、、存存档档以以及及离离开开vi等等等的的操操作作命命令令。。进入入vi：：直接接输输入入vi<文件件名名>离开开vi：：命令令模模式式下下键键入入:q，，:wq指令令则则是是存存盘盘后后再再离离开开模式式切切换换：：切换换到到命命令令模模式式下下需需按按Esc键2.4Unix网络络配配置置2.4.1网网络络配配置置文文件件1./etc／／hosts文件件该文文件件的的目目的的是是提提供供简简单单的的主主机机名名到到IP地址址的的转转换换。。一个个例例子子，，其其中中以以““#””打打头头的的行行表表示示注注释释：：#IPADDRESSFQDNALIASESlocalhost3host16host22.4Unix网络络配配置置2./etc/ethers文件件当一一个个主主机机在在本本地地网网络络上上，，并并知知道道其其IP地址址时时，，TCP/IP将它它转转换换成成实实际际的的以以太太网网地地址址。。这这可可以以通通过过地地址址转转换换协协议议（（ARP）），，或者创创建一一个／／etc／ethers文件并并由该该文件件列出出所有有的以以太网网地址址列表表来实实现。。该文件件的格格式是是：前前面是是以太太网地地址，，后面面是正正式的的主机机名，，例如如：#EthernetAddressHostname5:2:21:3:fc:1ahost12:54:12:4:54:7fhost2e1:0:c1:1:9:23host32.4Unix网络配配置2.4Unix网络配配置4./etc/protocols文件该文件件提供供了一一个已已知的的DARPAInternet协议的的列表表。下例每每行包包含了了协议议名、、协议议号以以及该该协议议的别别名：：#Internet（（IP）protocolsip 0IP#internetprotocol,pseudoprotocolnumbericmp1 ICMP#internetcontrolmessageprotocolggp3 GGP #gatewaytogatewayprotocoltcp6 TCP #transmissioncontrolprotocolegp8 EGP #exteriorgatewayprotocolpup12 PUP #PARCuniversalpacketprotocoludp17 UDP #userdatagramprotocolhello 63HELLO #HELLORoutingProtocol2.4Unix网络配置5./etc/services文件该文件提供供了可用的的服务列表表。对每一一个服务，，文件中的每一行提提供了下述述信息：正式服务名名、端口号号、协议名名、别名#NetworkservicesInternetstyle#echo7/tcpecho7/udpdiscard9/tcp sink nulldiscard9/udp sink nullsystat 11/tcpftp21/tcptelnet 23/tcp2.4Unix网络配置2.4.2Unix文件访问控控制Unix系统的资源源访问控制制是基于文文件的，为为了维护系系统的安全全性，系统统中每一个个文件都具具有一定的的访问权限限，只有具具有这种访访问权限的的用户才能能访问该文文件，否则则系统将给给出PermissionDenied的错误信息息。有三类类用户：：用户本人人、用户户所在组的的用户、、其它用户户允许权：R--读W--写X--执行允许权组：：A--管理员（所所有权利））V--属主G--组O--其他每个人人2.4Unix网络配置2.4.3NFS文件访问系系统的安全全任一台主机机都可以做做NFS服务器或者者NFS客户。或者者二者兼而而有之。用户最常犯犯的错误只只是简单的的NFS设置错误，，设置有错错误的NFS主机到处都都是。由于NFS对用户的认认证非常简简单，并且且对NFS设置错误的的例子比比比皆是。因因此NFS对网络安全全的危害是是非常巨大大的。首先，对可可以安装调调出文件卷卷的主机没没有限制，，将使得任任何主机都都可以安装装，因此攻攻击者所在在的主机也也一样可以以安装它。。即使没有有其它权限限，攻击者者通过这一一步便已看看到了系统统的许多信信息。2.4Unix网络配置置其次，没有明明确地设置调调出文件卷为为只读，则调调出文件卷在在客户端缺省省为可读、可可写。这时候候攻击者便可可以增加，修修改，删除或或替换NFS服务器上的文文件。需要明明确指出的是是，调出文件件卷缺省为可可写。第三，许多主主机常常将NFS服务器上的系系统信箱和用用户主目录所所在的目录调调出。安装这这些目录的用用户（攻击者者），只要具具有文件属主主的UID和GID，便可以阅读这这些文件。这这只要攻击者者在本机是超超级用户，那那么他便可以以用su命令变成任何何普通用户，，或者诸如bin这类的特殊用用户。2.4Unix网络配置第四，有一些些系统甚至将将NFS服务器上的根根目录调出。。这等于是将将系统送到别别人眼底。系系统的一切秘秘密暴露无疑疑。攻击者只只需用命令““subin”变成bin用户，或者与与root同组的用户，，便可以替换换系统一些启启动时的文件件，或者在／／（root用户的主目录录），/bin（bin用户的主目录录）下增加一一个.rhosts文件。系统已已经为外来用用户敞开了大大门。2.4MOUNT命令的使用MOUNT命令用于加载载文件系统,完整的格式式是:MOUNT–TVFSTYPEDEVICEDIR第一个部分分是需要挂挂载的的文文件系统的的格式,如如-TEXET2第二个部分分是需要挂挂载的设备备文件名如如:/dev/hda5第三个部分分是指出挂挂载到何处处如:/mnt/disk例1:挂载载一个MS-DOS分区到/mnt/disk挂载载点点上上,这这个个分分去去设设备备名名称称为为/dev/hda5Mount––tmsdos/dev/hda5/mnt/disk例2:挂挂载载usb设备备Mount/dev/sda/mnt/usb2.4Unix网络络配配置置设置置NFS时的的一一些些安安全全事事项项：：●限限制制可可安安装装调调出出文文件件卷卷的的客客户户机机及及可可安安装装的的目目录录。。●如如果果可可能能，，将将文文件件系系统统以以只只读读方方式式调调出出去去。。●对对调调出出的的文文件件及及目目录录设设置置为为root所有有。。●不不要要将将服服务务器器的的可可执执行行文文件件调调出出。。●不不要要将将用用户户目目录录调调出出去去。。●使使用用安安全全的的NFS●最后后一一点点，，最最好好不不要要使使用用NFS。。小结结本章章内内容容：：1．．Unix是一一个个多多任任务务多多用用户户的的操操作作系系统统，，它它具具有有：：可可靠靠性性高高、、极极强强的的伸伸缩缩性性、、网网络络功功能能强强、、强强大大的的数数据据库库支支持持功功能能和和开开放放性性好好等等特特点点。。2．．Linux是按按照照Unix风格格设设计计的的操操作作系系统统，，所所以以在在源源代代码码级级上上兼兼容容绝绝大大部部分分的的Unix标准准。。Linux主要要具具有有：：与与Unix高度度兼兼容容、、高高度度的的稳稳定定性性和和可可靠靠性性、、完完全全开开放放源源代代码码，，价价格格低低廉廉和和系系统统安安全全可可靠靠，，绝绝无无后后门门等等特特点点。。3．．Wi