132.商務(wù)網(wǎng)站安全與控制

5.2.4網(wǎng)絡(luò)軟件和網(wǎng)絡(luò)服務(wù)的漏洞便可以提供許多關(guān)于

1.Finger的漏洞。在TCP/P協(xié)議中，F(xiàn)inger程序只需一用文此信息進(jìn)行字典攻擊。主機(jī)的信息，比如誰正在登錄、登錄時(shí)間和登錄地點(diǎn)等。“黑客同以上的軟軟件，而不正確的配置

2.匿名FTP。匿名FTP允許任何網(wǎng)絡(luò)用戶通過FTP訪問系統(tǒng)亥具有可工作的1Shell所以它將嚴(yán)重威脅系統(tǒng)的安全FTP雖然是一個(gè)合法的賬戶，但它不應(yīng)Ftp:/home/ftp/bin/在主機(jī)的Passwd文件中的賬戶信息應(yīng)是:ftp:*:400:400:Anonymous的權(quán)限是11；~ftp/etc/的false，還應(yīng)該保證Ftp的主目錄權(quán)限為0555；~ftp/bin、~ftp/etc|系統(tǒng)的用戶都不應(yīng)該具有權(quán)限是444；/s/spool/mail/ftp的權(quán)限是0400。任何以Ftp登錄到錄內(nèi)設(shè)置“特洛依術(shù)馬”來創(chuàng)建文件和目錄的權(quán)限，因?yàn)楹诳屯耆梢栽谝粋€(gè)具有寫權(quán)限的文樣存在讓用戶破壞系統(tǒng)進(jìn)行攻擊。首先，多數(shù)FTP服務(wù)器可以用Anonymous用戶名登錄，+及磁盤空間。和文件的可能:其次，上載的軟件可能有破壞性，大量上載的文件會(huì)耗費(fèi)機(jī)時(shí)信息的.建立匿名服務(wù)器時(shí)，應(yīng)當(dāng)確保用戶不能訪問系統(tǒng)的重要部分.尤其是包含系統(tǒng)配置文件目錄。注意不要上用戶獲得SHELL級(jí)的用戶訪問權(quán)限，因?yàn)槠胀ㄎ募鬏攨f(xié)議(TFTP支持無認(rèn)證操作，應(yīng)屏蔽掉。FTp服務(wù)允許客戶將文件從一個(gè)機(jī)器復(fù)制到另一個(gè)機(jī)器，客戶端一般需要驗(yàn)證。FTP有

安全漏洞是人所共知的，而且現(xiàn)在的FTP正變得非常復(fù)雜和難于理解，功能也不斷增強(qiáng)。比如，F(xiàn)TP系統(tǒng)的一個(gè)主要安全漏洞是它可以被黑客騙取某個(gè)用戶的的權(quán)限，而黑客實(shí)際上是以公共賬戶方式登錄的。

FTP服務(wù)器的目錄權(quán)限是很重要的，一旦侵人，第一件事就是看是否是可寫目錄。如果可以，他便會(huì)把包含其名字和當(dāng)前機(jī)器的.rhosts文件放到該目錄下。由于該目錄通常是ftp用戶(ftpd)的主目錄，于是一個(gè)可以進(jìn)人系統(tǒng)的遠(yuǎn)程登錄就大功告成了。

TFTP是一個(gè)相當(dāng)危險(xiǎn)的文件傳輸服務(wù)，由于它根本不作登錄與控制審查，任何人可以通過該命令取走服務(wù)器上的具有讀權(quán)限的文件。

3.遠(yuǎn)程登錄。在網(wǎng)絡(luò)上運(yùn)行諸如rlogin、rcprexec等遠(yuǎn)程命令時(shí)，由于要跨越一些網(wǎng)絡(luò)的傳輸口令，而TCP/IP對(duì)所傳輸?shù)男畔⒂植贿M(jìn)行加密，所以，網(wǎng)絡(luò)黑客只要在所攻擊的目標(biāo)主機(jī)的IP包所經(jīng)過的一條路由上運(yùn)行“嗅探器”的程序，就可以截取目標(biāo)口令。小面:

TELNET的最大安全問題是客戶登錄到服務(wù)器的時(shí)候用的明文傳輸，那么登錄的用戶名和口令易被監(jiān)聽到。

4.不安全的網(wǎng)絡(luò)服務(wù)。在TCP/IP網(wǎng)絡(luò)中，echo、systat、netstat、bootp、udp、tftp、link、supdup.sunprc、news.sump、xdmcpexeclogin.shell、printerbiffwho.syslog、uucp.route、open-

win.NFS.XII等服務(wù)被認(rèn)為是不安全的，尤其是那些依賴于人工呼叫包的UDP的服務(wù)?？?.電子郵件。電子郵件E-mail是當(dāng)今網(wǎng)絡(luò)上使用最多的一項(xiàng)服務(wù)，對(duì)于網(wǎng)絡(luò)用戶，最擔(dān)心的莫過于電子郵件的安全和保密。

在計(jì)算機(jī)網(wǎng)絡(luò)中最容易被竊的就是電子郵件的信息。電子郵件所經(jīng)過的傳輸過程是這樣為:首先在電子郵件SMTP服務(wù)器上，將使用者的電子郵件“打包”，然后轉(zhuǎn)化成一組組的二進(jìn)時(shí)代碼，以便于網(wǎng)絡(luò)傳輸；由于電子郵件服務(wù)器主機(jī)與收信人的電子郵件服務(wù)器主機(jī)并不一定