网络安全管理及实用技术 作者 贾铁军9-12章 第10章 操作系统与站点安全管理.pptVIP

2．拒绝服务类漏洞 拒绝服务攻击不取得服务器权限，是使服务器崩溃或失去响应。对Linux的拒绝服务大多数都无须登录即可对系统发起拒绝服务攻击，使系统或相关的应用程序崩溃或失去响应能力，这种方式属于利用系统本身漏洞或其守护进程缺陷及不正确设置进行攻击。 另外一种情况，攻击者登录到Linux系统后，利用这类漏洞，也可以使系统本身或应用程序崩溃。这种漏洞主要由程序对意外情况的处理失误引起，比如写临时文件之前不检查文件是否存在，盲目跟随链接等。 10.3 Linux操作系统的安全管理 3．Linux内核中的整数溢出漏洞 10.3 Linux操作系统的安全管理 案例10-5 Linux Kernel 2.4 NFSv3 XDR处理器例程远程拒绝服务漏洞 在2003年7月29日公布，影响Linux Kernel 2.4.21以下的所有Linux内核版本。 该漏洞存在于XDR处理器例程中，相关内核源代码文件为nfs3xdr.c。此漏洞是由于一个整形漏洞引起（正数/负数不匹配）。攻击者可以构造一个特殊的XDR头（通过设置变量int size为负数）发送给Linux系统即可触发此漏洞。当Linux系统的NFSv3 XDR处理程序收到这个被特殊构造的包时，程序中的检测语句会错误地判断包的大小，从而在内核中拷贝巨大的内存，导致内核数据被破坏，致使Linux系统崩溃。 4．IP地址欺骗类漏洞 由于TCP/IP本身的缺陷，导致很多操作系统都存在TCP/IP堆栈漏洞，使攻击者进行IP地址欺骗非常容易。 IP地址欺骗是很多攻击的基础。IP协议依据IP包头中的目的地址发送IP数据包。如果目的地址是本地网络内的地址，该IP包就被直接发送到目的地。如果目的地址不在本地网络内，该IP包就会被发送到网关，再由网关决定将其发送到何处，这是IP路由IP包的方法。IP路由IP包时对IP头中提供的IP源地址不做任何检查，认为IP头中的IP源地址即为发送该包的机器的IP地址。当接收到该包的目的主机要与源主机进行通信时，系统以接收到的IP包头中IP源地址作为其发送的IP包的目的地址，并与源主机进行通信。 这种数据通信方式虽然非常简单和高效，但同时也是IP协议的一个安全隐患，很多网络安全事故都是由IP协议的这个缺陷而引发。 10.3 Linux操作系统的安全管理 10.3 Linux操作系统的安全管理 10.3.2 Linux系统安全配置 一般，对Linux系统的安全设定包括取消不必要的服务、限制远程存取、隐藏重要资料、修补安全漏洞、采用安全工具以及经常性的安全检查等。 1．取消不必要的服务 由于inetd统一指挥，Linux中大部分TCP或UDP服务都在/etc/inetd.conf文件中设定，取消服务时需要进行修改。 首先，检查/etc/inetd.conf文件，在不要的服务前加上“＃”号进行注释。 其次，inetd利用/etc/services文件查找各项服务所使用的端口，因此，用户必须仔细检查该文件中各端口的设定，以免有安全上的漏洞。 10.3 Linux操作系统的安全管理 2．限制系统的出入 进入Linux系统之前，所有用户都需要登录，只有通过系统验证之后，用户才能进入系统。 Linux一般将口令加密之后存放在/etc/passwd文件中。Linux系统上的所有用户都可以读到/etc/passwd文件。一般的用户可以利用现成的密码破译工具，以穷举法猜测出口令。比较安全的方法是设定影子文件/etc/shadow，只允许有特殊权限的用户阅读该文件。 在Linux系统中，如果要采用影子文件，必须将所有的公用程序重新编译。比较简便的方法是采用插入式验证模块（Pluggable Authentication Modules，PAM）。很多Linux系统都带有Linux工具程序PAM，PAM是一种身份验证机制，可以用来动态地改变身份验证的方法和要求，而不要求重新编译其它公用程序。这是因为PAM采用封闭包的方式，将所有与身份验证有关的逻辑全部隐藏在模块内。 10.3 Linux操作系统的安全管理 3．保持必威体育精装版的系统核心 由于Linux流通渠道很多，而且经常有更新的程序和系统补丁出现，因此，为了加强系统安全，一定要经常更新系统内核。 Kernel是Linux操作系统的核心，常驻内存，用于加载操作系统的其它部分，并实现操作系统的基本功能。由于Kernel控制计算机和网络的各种功能，因此，其安全性对整个系统安全至关重要。早期的Kernel版本存在许