Windwos 2003平台下基于Serv-UFTP服务器安全防护策略研究.docVIP

Windwos 2003平台下基于Serv-UFTP服务器安全防护策略研究 　　摘要：本文深入探讨了Windows2003服务器中基于Serv-U的FTP服务器存在的严重权限提升漏洞及常见攻击方法，提出了通过修改Serv-U进程的运行身份、加强权限设置等一系列方法降低漏洞危害、防止跨站攻击、保证服务器安全的策略和方法。 　　关键词：ServU FTP 漏洞 防护 　　近年来，随着互联网的快速发展，网站大量涌现。目前除专门维护的独立服务器外，绝大多数虚拟主机和Web服务器都采用FTP方式实现数据上传下载。而在所有FTP服务软件中，Serv-U以其操作简单、功能强大而被广泛运用，市场占有率极高。它设置简单，功能强大，性能稳定，支持Windows全系列操作系统。Serv-U使得搭建FTP服务器变得简单便捷。Serv-U不仅完全符合通用FTP标准，也包括众多的独特功能可为每个用户提供文件共享完美解决方案。它可以设定多个FTP 服务器、限定登录用户的权限、登录主目录及空间大小等。此外还支持SSL FTP传输，支持在多个Serv-U和FTP客户端通过SSL加密连接保护您的数据安全等。但是，随着Serv-U的大面积使用，一些攻击者也针对Serv-U开展攻击，暴露出很多严重漏洞。有些漏洞如不加以处理，可以使黑客轻而易举地获取整个服务器的超级管理员帐号，并可以远程开启3389端口并实现远程桌面链接，将服务器完全暴露于人，导致不可挽回的重大损失。本文旨在提出一些切实可行的方法，彻底杜绝由Serv-u带来的安全隐患。 　　1.Serv-U的提权漏洞分析 　　 　　Serv-U安装后，在本机有一个默认监听端口，即:43958。默认情况下这个端口只有在本地才能连接。默认管理账号是LocalAdministrator，默认密码是#l@$ak#.lk;0@P，这个密码是内置固定的。所以几乎所有的针对Serv-U的攻击木马便是利用此漏洞来添加Serv-U用户的，比如增加一个将主目录指向C盘的全权限管理员用户，就能将服务器的关键目录全部暴露于黑客监控之下。下面我们用一个常用的ASP木马举例说明。 　　我们知道，在当前绝大多数虚拟主机中，一台服务器上往往存放多个站点，服务器管理员会为每个网站管理员分配一个FTP帐号来实现文件的上传下载。网站管理员凭借FTP帐号可以登录到服务器，并且对其??在的目录拥有全部权限（添加、修改、删除、运行等）。一般情况下，用户无法越过自己所在的主目录，因此网站文件的安全性比较有保障。但是倘若用户上传一个普通Web代码编写的木马程序到FTP目录，并运行之，如果服务器对执行权限限制不足，就会调用SHELL指令实现对系统的操作。比如，网上常见的ASP版的Serv-U提权木马，上传到FTP目录后，运行之后可以轻松添加Serv-U帐号。如下图所示。 　　 　　提权成功后，攻击者可以直接通过木马执行命令添加操作系统的管理员帐户，并且管理员帐户是隐藏的（在普通windows的用户管理界面中无法发现）。如果成功，用这个帐户远程登录到服务器，创建一个克隆的管理员帐户，将这个账户的名称设置成与系统正常管理员账户相似的名称，如SQLDebugger等，非常具有迷惑性，一般管理员无法发现。攻击者便掌握了整台服务器。 　　2.Serv-U使用中的安全防护策略 　　2.1 Serv-U安装中的安全策略 　　Serv-U安装时安装目录的选择是安全性的第一步。首先不应安装在默认的系统盘目录里，因为此目录极易被猜到。另外，系统盘的权限控制也比较严格，不利于下一步对Serv-U的运行身份进行限制。因此建议安装在自定义的目录中。在安装选择中，Serv-u的用户配置文件有两种方式，一种是存放在注册表，一种是存放在ServUDaemon.ini文件，推荐使用存放在.ini文件里面的方式，这种方式便于Serv-U软件的升级，也便于重装系统后的ftp用户的恢复，在权限设置上也相对方便。本文中我们假设serv-u软件放在的的D:\soft\Serv-U目录里。 　　2.2 Serv-U的运行权限设置策略 　　Serv-U安装后，默认以系统用户中的SYSTEM权限运行。这是一个权限极高的用户，如果Serv-U被黑客攻击的手，就可以借助SYSTEM权限进行危险性操作。因此，要给Serv-U单独的、较低的用户权限运行。具体方法是： 　　（1）在计算机管理中新增帐户ftp，设置用户不能更改密码，密码永不过期，并设置一个复杂的密码，更改ftp用户隶属于权限较低的Guests组（默认是USERS组），也可以设置为不属于任何组。 　　（2）启动Serv-U（这时是使用默认的system权限运行的），选择本地服务器，自动开始，将Serv-U设置为系统服务，这样服务