第六章软件安全技术

第六章

软件安全技术6.1引言软件安全（SoftwareSecurity）就是使软件在受到恶意攻击的情形下依然能够继续正确运行及确保软件在授权范围内被合法使用的思想。主要内容软件的自身安全（防丢失、篡改）软件的存储安全（防窃取、破坏）软件的通信安全（确保数据信息的完整性）软件的使用安全（防盗版）软件的运行安全（防漏洞）许多关键基础设施取决于软件的安全铁路电网航空化工关于软件安全的相关报道关于软件安全的相关报道

“心脏流血”全球警告

WindowsXP退役带来安全隐患普通杀毒软件无法抵御6.1引言出现软件故障现象的原因“任何软件，不论它看起来是多么安全，其中都隐藏漏洞”影响软件安全的技术趋势无处不在的网络增加了攻击途径，降低了攻击难度增长的系统复杂性滋生了软件安全漏洞内置的可扩展性难以防范恶意代码的嵌入，且安全分析难度增加Windows操作系统复杂性6.2漏洞6.2漏洞6.2漏洞什么是漏洞从广泛的意义上看，漏洞是在硬件、软件、协议的具体实现或系统安全策略以及人为因素上存在的缺陷，它可以使黑客能够在未经系统的许可者授权的情况下访问或破坏系统。是一切攻击行为和事件的起源。6.2漏漏洞漏洞的分类按形成原因分分：程序逻辑结构构漏洞程序设计错误误漏洞开放式协议造造成的漏洞人为因素造成成的漏洞按发现的先后后顺序：已知漏洞未知漏洞0day漏洞洞6.2漏漏洞程序逻辑结构构漏洞程序的逻辑设设计不合理典型：Windows2000用用户登录的中中文输入法漏漏洞合法的程序用用途被利用典型：WinRAR的自自解压功能判断是否合法法或是否有授权权？系统或程序入入口需要用户户名、口令或最高权权限者授权获得操作或使使用权限否是入口辅助（输入法等））本地输入法漏漏洞6.2漏漏洞程序代码设计计错误漏洞编程人员在使使用C和C++语言编写写程序时在技技术上的疏忽忽或程序员的的代码安全意意识不高造成成的漏洞。EliasLevy(笔名为AlephOne)的的论文SmashingtheStackforFunandProfit典型：缓冲区区溢出漏洞和和内存越界漏漏洞缓冲区溢出漏漏洞当一个程序允允许输入的数数据大于已分分配的缓冲区区大小时，缓缓冲区溢出就就会发生。有些语言具有有直接访问应应用程序内存存的能力，如如果未能处理理好用户的数数据就会造成成缓冲区溢出出。C和C++是受缓冲区溢溢出影响的两两种最常见的的编程语言。。缓冲区溢出造造成的后果小小到系统崩溃溃，达到攻击击者获取应用用程序的完全全控制权。1988年，，第一个Internet蠕虫—Morris蠕虫就是对finger服务务器攻击，造造成缓冲区溢溢出，几乎导导致Internet瘫瘫痪。缓冲区溢出漏漏洞Morrisfinger蠕虫的的成因：charbuf[20];gets(buf);另一个缓冲区区溢出例子：：charbuf[15];charprefix[]=“http://”;charpath[]=“”;strcpy(buf,prefix);strcat(buf,path,sizeof(path));6.2漏漏洞开放式协议造造成的漏洞TCP/IP协议的最初初设计者在设设计该通信协协议时只考虑虑到了协议的的可行性和实实用性，而没没有考虑到协协议的安全性性。嗅探网络数据据包拒绝服务攻击击修改HTTP数据包的载载荷以上传一一个网页木马马6.2漏漏洞人为因素造成成的漏洞设置了过于简简单的口令（（弱口令）无意行为丢失失口令非法操作了系系统资源访问控制制不合理管理员安全配配置不当，允允许不应进入入网络的人进进入网络等因对待工作作消极滞后后了安装安安全补丁6.2漏漏洞已知漏洞已经被人发发现了（安安全组织、、黑客和黑黑客组织的的研究人员员、厂商））已经知道它它的危害程程度对高危漏洞洞已经知道道它的利用用方法安全机构发发布了相应应的安全补补救措施软件提供商商一般提供供了安全补补丁6.2漏漏洞未知漏洞特点：还没没有被发现现，但是客客观存在可能造成的的影响一颗不知何何时会引爆爆的定时炸炸弹6.2漏漏洞0day漏漏洞特点：已经经被发掘出出来，只在在小范围传传播可能造成的的影响软件开发商商：可能不不会向外界界公布或是是只公布一一个简单的的信息，并并有可能在在不公开的的情况下更更新漏洞程程序盈利型黑客客：不会向向外界公布布漏洞信息息，用来谋谋求利益安全组织或或研究型黑黑客：会向向外界公布布漏洞和详详细信息并并提供临时时解决方案案，使漏洞洞变成已知知漏洞6.2漏漏洞0day漏漏洞演变过程6.2漏漏洞几种已知的的Windows漏漏洞本地输入法法漏洞Telnet信息泄泄露漏洞TCP/IP漏洞Server服务远远程缓冲区区溢出漏洞洞IIS重定定向漏洞InternetExplorer浏览器漏漏洞PowerPoint远程执执行任意代代码漏洞6.3操操作系统统的安全设设置操作系统的的重要性计算机系统统运行的基基础用户与计算算机系统的的交互界面面和环境一座安全屏屏障，入侵侵者首要目目标各种应用系系统成败的的关键既要防止操操作系统本本身的隐患患和不安全全漏洞，也也要防止对对操作系统统的滥用、、破坏和窃窃取服务6.3操操作系统统的安全设设置用户权限管管理用户权限分成：登录录权限、操操作权限权限是针对对资源而言言的安全标识符符SecurityIdentifier,SIDSID具有有唯一性，，绝对不会会重复产生生Regedit:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\ProfileList6.3操操作作系系统统的的安安全全设设置置用户户权权限限管管理理权限限的的四四项项基基本本原原则则拒绝绝优优于于允允许许原原则则（（解解决决冲冲突突））权限限最最小小化化原原则则（（保保障障资资源源安安全全））权限限继继承承性性原原则则（（实实现现““自自动动化化””））权限限累累加加原原则则（（灵灵活活性性））磁盘盘配配额额（（NTFS格格式式））可设设置置不不同同用用户户拥拥有有不不同同的的磁磁盘盘配配额额。。两个个级级别别：：磁磁盘盘配配额额限限制制、、磁磁盘盘配配额额警警告告6.3操操作作系系统统的的安安全全设设置置审核核策策略略设设置置审核核日日志志用用来来记记录录用用户户执执行行的的各各项项操操作作安全全审审核核对对于于任任何何企企业业系系统统来来说说都都极极其其重重要要，，因因为为只只能能使使用用审审核核日日志志来来说说明明是是否否发发生生了了违违反反安安全全的的事事件件。。日志志包包括括事件件日日志志，，记记录录了了系系统统上上发发生生的的事事件件安全全日日志志，，记记录录了了审审核核事事件件6.3操操作作系系统统的的安安全全设设置置注册册表表安安全全设设置置注册册表表是是存存储储计计算算机机的的配配置置信信息息的的数数据据容容器器它是是中中央央分分层层数数据据库库注册册表表控控制制所所有有32位位应应用用程程序序和和驱驱动动，，控控制制的的方方法法是是基基于于用用户户和和计计算算机机的的。。在缺缺省省情情况况下下，，所所有有基基于于Windows的的计计算算机机的的注注册册表表在在网网络络上上都都是是可可以以被被访访问问到到。。保护注册册表，防防范远程程攻击6.3操操作作系统的的安全设设置TCP/IP筛筛选在“内核核”模式式下工作作通过与IPSec筛选选器及““路由和和远程访访问”数数据包筛筛选一起起使用，，可以对对TCP/IP站访问问控制方方案进行行分层。。可控制入入站和出出站的TCP/IP访访问主机安安全加加固(水桶桶原则则)网络设设备加加固、、网络络结构构调整整、服服务器器系统统加固固、数数据库库加固固、安安全产产品优优化6.4应应用用系统统的安安全软件分分析技技术静态分分析技技术从反汇汇编出出来的的程序序清单单上分分析，，从提提示信信息入入手进进行分分析。。常用工具：：W32Dasm、、IDA、、HIEW等动态分析技技术利用动态分分析工具一一步一步地地单步执行行软件。常用工具：：Soft-ICE、TRW2000等6.4应应用系统统的安全常用的软件件保护技术术时间限制共享软件一一般都有时时间上的限限制，如试试用30天天等。序列号方式式软件的试用用期过后，，利用加密密算法，根根据用户的的私人信息息连同信用用卡号码计计算出一个个注册码。。KeyFile保保护是一种利用用文件来注注册的保护护方式。6.4应应用系统统的安全常用的软件件保护技术术功能限制的的程序一般是DEMO版或或菜单中部部分选项呈呈灰色。CD-check程序在启动动时判断光光驱中的光光盘上是否否存在特定定的文件，，而在运行行过程中一一般不再检检查。加密狗技术术加密狗通过过在软件执执行过程中中和加密狗狗交换数据据来实现加加密。6.5网网络安全全协议一般的网络络通信协议议都没有考考虑安全性性需求，这这就带来了了互联网许许多的攻击击行为，导导致了网络络的不安全全性常用的网络络安全协议议Kerberos认认证协议安全电子交交易协议SET安全套接层层协议SSLIP层安全全协议IPSec6.5网网络安全全协议Kerberos认认证协议①②③④⑤⑥6.5网网络安全全协议安全电子交交易协议SET持卡人商家清算银行支付网关认证中心6.5网网络安全全协议安全套接层层SSL请稍等…你好！你好！（潮州话））“我想订总总统套房。。”可以跟你说说句悄悄话话吗？我会说上海海话、四川川话、潮州州话可以啊。我会说山东东话、潮州州话、广西西话………就说潮州话话吧6.5网网络安全全协议安全套接层层SSL6.5网网络安全全协议虚拟专用网网VPN指在公用网网络中建立立（虚拟的的）专用的的数据通信信网络的技技术。技术特点安全保障服务质量保保证可扩充性和和灵活性可管理性6.5网网络安全全协议虚拟专用网网VPNVPN技术术认证技术———验证数数据的完整整性和用户户认证（SSL）加密密技技术术————数数据据加加密密（（IPSec））密钥钥交交换换与与管管理理————IKE（（互互联联网网密密钥钥交交换换））、、SKIP（（互互联联网网简简单单密密钥钥管管理理））作业业简述述漏漏洞洞的的定定义义及及其其分分类类简述述保保障障软软件件安安全全的的几几种种方方法法查阅阅资资料料，，说说明明安安全全电电子子协协议议SET实实现现安安全全通通信信的的过过程程。。讨论论XP2014年年4月月8日日，，Windows宣宣布布““退退役役””，，你你认认为为这这将将对对信信息息的的安安全全造造成成什什么么影影响响？？登录录Moodel教教学学平平台台，，选选择择计计算算机机信信息息安安全全与与管管理理课课程程，，对对该该话话题题发发表表你你的的观观点点。。补充充简单单文文件件共共享享会打打开开许许多多NetBIOS漏洞洞关闭闭简简单单文文件件共共享享：：在““我我的的电电脑脑””中中，，“工工具具””→→““文文件件夹夹选选项项””，，点击击““查查看看””选选项项，，取消消““使使用用简简单单文文件件共共享享（推推荐荐））””补充充FAT32把FAT32文文件件系系统统转转换换成成NTFS将文文件件系系统统转转换换成成NTFScmd命命令令窗窗口口中中，，执执行行convertvolume/fs:ntfs（（其其中中volume是是驱驱动动器器的的盘盘符符））补充Guest帐帐户可以访问计算算机，但受到到限制。黑客会利用Guest帐帐户禁用Guest帐户WinXPPro：：“控制面板板”→“管理理工具”→→“计算机管管理”→““本地用户和和组”→““用户”，双双击Guest帐户，选选中“帐户已已停用”WinXPHome：先执行Netuserguestpassword命令，，然后进入““控制面板””→“用户户设置”，设设置Guest帐户的密密码补充补充Administrator帐户建立另一个拥拥有全部权限限的帐户，然然后停用Administrator帐户设置足够复杂杂的密码在WinXPHome中，修修改一下默认认的所有者帐帐户名称。补充补充交换文文件即虚拟拟内存存（pagefile.sys））要求机机器在在关机机的时时候清清除系系统的的页面面文件件(交交换文文件)regedit在注注册册表表中中找找到到HKEY_local_machine＼＼system＼＼currentcontrolset＼＼control＼＼sessionmanager＼＼memorymanagement，，然然后后创创建建或或修修改改ClearPageFileAtShutdown，，把把这这个个DWORD值值设设置置为为1补充充补充充转储文件件系统在遇遇到严重重问题时时，会把把内存中中的数据据保存到到转储文文件。禁止创建建转储文文件“控制面面板”→→“系统统”→→“高高级”→→““启动和和故障恢恢复”，，将“写写入调试试信息””这一栏栏设置成成“(无无)”。。HKEY_local_machine＼＼software＼＼Microsoft＼WindowsNT＼CurrentVersion＼AeDebug，把Auto值改成成“0””。补充充补充充补充充多余的服服务NetMeetingRemoteDesktopSharing，，RemoteDesktopHelpSessionManager，，RemoteRegistry，………关闭不需需要的服服务“控制面面板”→→“管理理工具””→“服服务”，，右键点点击不需需要的服服务名称称并选择择“属性性”菜单单，在““常规””选项卡卡中把““启动类类型”改改成“手手动”，，再点击击“停止止”按钮钮补充充补充充远程协助助/桌面面禁用此功功能设置组策策略（gpedit.msc），““计算配配置”→→“管理理模板””→““系统””→““远程协协助节点点”禁止用户户请求远远程协助助禁止用户户在这台台计算机机上向别