計算機安全實用技術及研究(五)

本論文在其他論文欄目，由論文格式網整理,轉載請注明來源www.donglienglish.cn,更多論文,請點論文格式范文查看
根據檔案文件重建一個目錄結構命令為:
cpio -id
cpio的安全約定如下:
(1)檔案文件存放每個文件的信息,包括文件所有者,小組用戶,最后修改時間,最后存取時間,
文件存取許可方式.
*根據檔案建立的文件保持存放于檔案中的取許可方式.
*從檔案中提取的每個文件的所有者和小組用戶設置給運行cpio -i命令的用戶,而不是設置給檔案中指出的所有者和小組用戶.
*當運行cpio -i命令的用戶是root時,被建立的文件的所有者和小組用戶是檔案文件所指出的.
*檔案中的SUID/SGID文件被重建時,保持SUID和SGID許可,如果重建文件的用戶不是root,SUID/SGID許可是檔案文件指出的用戶/小組的許可.
(2)現存文件與cpio檔案中的文件同名時,若現存文件比檔案中的文件更新,這些文件將不被重寫.
(3)如果用修改選項U,則同名的現存的文件將被重寫.可能會發生一件很奇怪的事:如被重寫的文件原與另一個文件建了鏈,文件被重寫后鏈并不斷開,換言之,該文件的鏈將保持, 因此,該文件的所有鏈實際指向從檔案中提取出來的文件,運行cpio無條件地重寫現存文件以及改變鏈的指向.
(4)cpio檔案中可含的全路徑名或父目錄名給出的文件.
7.su和newgrp命令
(1)su命令:可不必注銷戶頭而將另一用戶又登錄進入系統,作為另一用戶工作.它將啟動一新的shell并將有效和實際的UID和GID設置給另一用戶.因此必須嚴格將root口令保密.
(2)newgrp命令:與su相似,用于修改當前所處的組名.
8.文件加密
crypt命令可提供給用戶以加密文件,使用一個關鍵詞將標準輸入的信息編碼為不可讀的雜亂字符串,送到標準輸出設備.再次使用此命令,用同一關鍵詞作用于加密后的文件,可恢復文件內容.
一般來說,在文件加密后,應刪除原始文件,只留下加密后的版本,且不能忘記加密關鍵詞.
在vi中一般都有加密功能,用vi -x命令可編輯加密后的文件.關于加密關鍵詞的選取規則與口令的選取規則相同.
由于crypt程序可能被做成特洛依木馬,故不宜用口令做為關鍵詞.最好在加密前用pack或compress命令對文件進行壓縮后再加密.
9.其它安全問題
(1)用戶的.profile文件
由于用戶的HOME目錄下的.profile文件在用戶登錄時就被執行.若該文件對其他人是可寫的則系統的任何用戶都能修改此文件,使其按自己的要求工作.這樣可能使得其他用戶具有該用戶相同的權限.
(2)ls -a
此命令用于列出當前目錄中的全部文件,包括文件名以.開頭的文件,查看所有文件的存取許可方式和文件所有者,任何不屬于自己但存在于自己的目錄中的文件都應懷疑和追究.
(3).exrc文件
為編輯程序的初始化文件,使用編輯文件后,首先查找$HOME/.exrc文件和./.exrc文件,若該文件是在$HOME目錄中找到,則可像.profile一樣控制它的存取方式,若在一個自己不能控制的目錄中,運行編輯程序,則可能運行其他人的.exrc文件,或許該.exrc文件存在那里正是為了損害他人的文件安全.為了保證所編輯文件的安全,最好不要在不屬于自己或其他人可寫的目錄中運行任何編輯程序.
(4)暫存文件和目錄
在UNIX系統中暫存目錄為/tmp和/usr/tmp,對于程序員和許多系統命令都使用它們,如果用這些目錄存放暫存文件,別的用戶可能會破壞這些文件. 使用暫存文件最好將文件屏蔽值定義為007,但最保險的方法是建立自己的暫存文件和目錄:$HOME/tmp,不要將重要文件存放于公共的暫存目錄.
(5)UUCP和其它網絡
UUCP命令用于將文件從一個UNIX系統傳送到另一個UNIX系統,通過UUCP傳送的文件通常存于/usr/spool/uucppublic/login目錄,login是用戶的登錄名,該目錄存取許可為777,通過網絡傳輸并存放于此目錄的文件屬于UUCP所有,文件存取許可為666和777,用戶應當將通過UUCP傳送的文件加密,并盡快移到自己的目錄中.其它網絡將文件傳送到用戶HOME目錄下的rjc 目錄中.該目錄應對其他人是可寫可搜索的,但不必是可讀的,因而用戶的rjc目錄的存取許可方式應為733,允許程序在其中建立文件.同樣,傳送的文件也應加密并盡快移到自己的目錄中.
(6)特絡依木馬
在UNIX系統安全中,用特絡依木馬來代表和種程序,這種程序在完成某種具有明顯意圖的功能時,還破壞用戶的安全.如果PATH設置為先搜索系統目錄,則受特絡依木馬的攻擊會大大減少.如模似的crypt程序.
(7)誘騙
類似于特絡依木馬,模似一些東西使用戶泄漏一些信息,不同的是,它由某人執行,等待無警覺的用戶來上當.如模似的login.
(8)計算機病毒
計算機病毒通過把其它程序變成病毒從而傳染系統的,可以迅速地擴散,特別是系統管理員的粗心大意,作為root運行一個被感染的程序時.實驗表明,一個病毒可在一個小時內(平均少于30分鐘)取得root權限.
(9)要離開自己已登錄的終端
除非能對終端上鎖,否則一定要注銷戶頭.
(10)智能終端
由于智能終端有send和enter換碼序列,告訴終端送當前行給系統,就像是用戶敲入的一樣. 這是一種危險的能力,其他人可用write命令發送信息給本用戶終端,信息中如含有以下的換碼序列: 移光標到新行(換行) 在屏幕上顯示"rm -r *" 將該行送給系統后果大家可以想象. 禁止其他用戶發送信息的方法是使用mesg命令,mesg n不允許其他用戶發信息,mesg y允許其他用戶發信息. 即使如此仍是有換碼序列的問題存在,任何一個用戶用mail命令發送同樣一組換碼序列,不同的要用!rm -r *替換rm -r *.mail將以!開頭的行解釋為一條shell命令,啟動shell,由shell解釋該行的其它部分,這被稱為shell換碼.為避免mail命令發送換碼序列到自己的終端,可建立一個過濾程序,在讀mail文件之前先運行過濾程序,對mail文件進行處理:
myname="$LOGNAME";
tr -d［001-007］［-013-037］
/usr/mail/$myname >> $HOME/mailbox;
> /usr/mail/$myname;
mail -f $HOME/mailbox
其中tr將標準輸入的字符轉換手寫到標準輸出中.這只是一個簡單的思路,從原則上來說, 此程序應為一C程序,以避免破壞正發送到的文件,可用鎖文件方式實現.
(11)斷開與系統的聯接
用戶應在看到系統確認用戶登錄注銷后再離開以免在用戶未注銷時由他人潛入.
(12)cu命令
該命令使用戶能從一個UNIX系統登錄到另一個UNIX系統,此時,在遠地系統中注銷用戶后還必須輸入"~"后回車,以斷開cu和遠地系統的聯接.
cu還有兩個安全問題:
*如本機安全性弱于遠地機,不提倡用cu去登錄遠地機,以免由于本地機的不安全而影響較安全的遠地機.
*由于cu的老版本處理"~"的方法不完善,從安全性強的系統調用安全性弱的系統時,會使弱系統的用戶使用強系統用戶的cu傳送強系統的/etc/passwd文件,除非確信正在使用的cu是正確版本,否則不要調用弱系統.
10.保持戶頭安全的要點
(1)保持口令的安全
*不要將口令寫下來.
*不要將口令存于終端功能鍵或MODEM的字符串存儲器中
*不要選取顯而易見的信息作口令.
*不要讓別人知道.
*不要交替使用兩個口令.
*不要在不同系統上使用同一口令.
*不要讓人看見自己在輸入口令.
(2)不要讓自己的文件或目錄可被他人寫.
*如果不信任本組用戶,umask設置為022.
*確保自己的.profile除自己外對他人都不可讀寫.
*暫存目錄最好不用于存放重要文件.
*確保HOME目錄對任何人不可寫.
*uucp傳輸的文件應加密,并盡快私人化.
(3)若不想要其他用戶讀自己的文件或目錄,就要使自己的文件和目錄不允許任何人讀.
*umask設置為006/007.
*若不允許同組用戶存取自己的文件和目錄, umask設置為077.
*暫存文件按當前umask設置,存放重要數據到暫存文件的程序,就被寫成能確保暫存文件對其他用戶不可讀.
*確保HOME目錄對每個用戶不可讀.
(4)不要寫SUID/SGID程序.
(5)小心地拷貝和移文件.
*cp拷貝文件時,記住目的文件的許可方式將和文件相同,包括SUID/SGID許可在內, 如目的文件已存在,則目的文件的存取許可和所有者均不變.
*mv移文件時,記住目的文件的許可方式將和文件相同,包括SUID/SGID許可在內, 若在同一文件系統內移文件,目的文件的所有者和小組都不變,否則,目的文件的所有者和小組將設置成本用戶的有效UID 和GID.
*小心使用cpio命令,它能復蓋不在本用戶當前目錄結構中的文件,可用t選項首先列出要被拷貝的文件.
(6)刪除一個SUID/SGID程序時,先檢查該程序的鏈接數,如有多個鏈,則將存取許可方式改為000,然后再刪除該程序,或先寫空該程序再刪除,也可將該程序的i結點號給系統管理員去查找其他鏈.
(7)用crypt加密不愿讓任何用戶(包括超級用戶)看的文件.
*不要將關鍵詞做為命令變量.
*用ed -x或vi -x編輯加密文件.
(8)除了信任的用戶外,不要運行其他用戶的程序.
(9)在自己的PATH中,將系統目錄放在前面.
(10)不要離開自己登錄的終端.
(11)若有智能終端,當心來自其他用戶,包括write命令,mail命令和其他用戶文件的信息中有換碼序列.
(12)用CTRL+D或exit退出后,在斷開與系統的聯接前等待看到login:提示.
(13)注意cu版本.
*不要用cu調用安全性更強的系統.
*除非確信cu不會被誘騙去發送文件,否則不要用cu調用安全性較弱的系統.
小結
1.加強安全管理
實際上安全的管理就是把該關的功能關閉，該限制的文件限制訪問權限。從上面的介紹，fingerd應當關掉或被替換。關閉fingerd的方法也很簡單：注釋掉/etc/inetd.conf文件中finger進程來禁止finger，并重新啟動inetd進程。或者在Internet上下載一個新的fingerd程序，它提供的信息可以讓系統管理員放心。
如果要運行sendmail，請修改郵件發送配置文件（通常位于/etc/sendmail.cf），將O PrivacyOptions=authwarnings改為O PrivacyOptions=authwarnings,novrfy,noexpn，這樣可以關閉expn和vrfy的輸出。
如果安裝的操作系統沒有shadow的話，建議安裝shadow程序，并確實保證shadow文件的安全。備份shadow文件時文件名不能和shadow有關，最好備份到軟盤上存放于安全地點。希望國內的系統管理員們多看看黑客方面的消息，在這方面沒有權威。漏洞從來不是CERT或DDN發現的，等他們做出反應時，對于那些敏感的地方來說可能已經太晚了。知識是從細心地搜索中學來的，經常上網是不可缺少的。
2.安全建議
從安全角度考慮，經常做telnet、ftp等需要傳送口令的重要機密信息應用的主機應該單獨設立一個網段, 以避免某一臺個人機被攻破，被攻擊者裝上sniffer,造成整個網段通信全部暴露。有條件的情況下, 重要主機裝在交換式集線器上，這樣可以避免sniffer偷聽密碼。
專用主機只開專用功能，如運行網管、數據庫重要進程的主機上不應該運行如sendmail這種bug比較多的程序。網管網段路由器中的訪問控制應該限制在最小限度，與系統集成商研究清楚各進程必需的進程端口號, 關閉不必要的端口。
對用戶開放的各個主機的日志文件全部定向到一個syslogd server上,集中管理。該服務器可以由一臺擁有大容量存貯設備的Unix或NT主機承當。定期檢查備份日志主機上的數據。
網管不得訪問Internet。并建議設立專門機器使用ftp或WWW下載工具和資料。
提供電子郵件、WWW、DNS的主機不安裝任何開發工具，避免攻擊者編譯攻擊程序。
不向用戶提供pine、elm、 mail、 vi等命令或環境, 登錄只提供更換口令的功能。
網絡配置原則是“用戶權限最小化"，例如關閉不必要或者不了解的網絡服務，不用電子郵件寄送密碼。
下載安裝最新的操作系統及其它應用軟件的安全和升級補丁，安裝幾種必要的安全加強工具，例如tcpwrapper， tripwire，john等，限制對主機的訪問，加強日志記錄，對系統進行完整性檢查，定期檢查用戶的脆弱口令，并通知用戶盡快修改。
定期檢查系統日志文件，在備份設備上及時備份。
定期檢查關鍵配置文件（最長不超過一個月）。
重要用戶的口令應該定期修改（不長于三個月），不同主機使用不同的口令。

首頁上一頁 2 3 4 5 6 下一頁尾頁 5/6/6

相關論文


上一篇：LED數碼管顯示技術	下一篇：防御網站被攻擊對策探討

Tags：計算機安全實用技術研究

【收藏】【返回頂部】