溢出是作業系統、應用軟體永遠的痛!在駭客頻頻攻擊、系統漏洞層出不窮的今天,任何人都不能保證自己的系統、程式不被溢出。既然溢出似乎是必然的,而且利用溢出攻擊的門檻比較低,利用工具有一定電腦基礎的人都可以完成一次溢出。這樣看來,我們的電腦系統,就處於隨時被溢出的危險中。我們總不能坐以待斃,做為IT安全人,都應該未雨綢廖,做好防範工作,把溢出的可能性降到最低。
一、如何防?防什麼?
1、必須打齊補丁
盡最大的可能性將系統的漏洞補丁都打完;最好是比如Microsoft Windows Server系列的系統可以將自動更新服務打開,然後讓伺服器在指定的某個時間段內自動連接到Microsoft Update網站進行補丁的更新。如果伺服器為了安全起見禁止了對公網外部的連接的話,可以用Microsoft WSUS服務在內網進行升級。
2、服務最小化
最少的服務等於最大的安全,停掉一切不需要的系統服務以及應用程式,最大限度地降底伺服器的被攻擊系數。比如前陣子的NDS溢出,就導致很多伺服器挂掉了。其實如果WEB類伺服器根本沒有用到DNS服務時,大可以把DNS服務停掉,這樣DNS溢出就對你們的伺服器不構成任何威脅了。
3、端口過濾
啟動TCP/IP端口的過濾,僅打開常用的TCP如21、80、25、110、3389等端口;如果安全要求級別高一點可以將UDP端口關閉,當然如果這樣之後缺陷就是如在伺服器上連外部就不方便連接了,這裡建議大家用IPSec來封UDP。在協議篩選中只允許TCP協議(協議號為:6)、UDP協議 (協議號為:17)以及RDP協議(協議號為:27)等必需用協議即可;其他無用均不開放。
4、系統防火牆
啟用IPSec策略,為伺服器的連接進行安全認證,給伺服器加上雙保險。封掉一些危險的端口,諸如:135 145 139 445 以及UDP對外連接之類、以及對通讀進行加密與只與有信任關係的IP或者網路進行通訊等等。
提示:通過IPSec禁止UDP或者不常用TCP端口的對外訪問就可以非常有效地防反彈類木馬。
5、系統命令防禦
刪除、移動、更名或者用訪問控製表列Access Control Lists (ACLs)控制關鍵系統文件、命令及文件夾:
(1).駭客通常在溢出得到shell後,來用諸如net.exe、net1.exe、ipconfig.exe、user.exe、query.exe、 regedit.exe、regsvr32.exe 來達到進一步控制伺服器的目的。如:加賬號、克隆管理員了等等。我們可以將這些命令程式刪除或者改名。
提示:在刪除與改名時先停掉文件複製服務 (FRS)或者先將 %windir%system32dllcache下的對應文件刪除或改名。
(2).也或者將這些.exe文件移動到你指定的文件夾,這樣也方便以後管理員自己使用。
(3).訪問控製表列ACLS控制:
找到%windir%system32下找到cmd.exe、cmd32.exe、net.exe、net1.exe、ipconfig.exe、tftp.exe、ftp.exe、user.exe、reg.exe、regedit.exe、regedt32.exe、regsvr32.exe這些駭客常用的文件,在“屬性”→“安全”中對他們進行訪問的ACLs用戶進行定義,諸如只給administrator有權訪問,如果需要防範一些溢出攻擊、以及溢出成功後對這些文件的非法利用;那麼我們只需要將system用戶在ACLs中進行拒絕訪問即可。
(4).如果你覺得在GUI下面太麻煩的話,你也可以用系統命令的CACLS.EXE來對這些.exe文件的Acls進行編輯與修改,或者說將他寫成一個.bat批處理 文件來執行以及對這些命令進行修改。
(5).對磁片如C、D、E、F等進行安全的ACLS設置從整體安全上考慮的話也是很有必要的,另外特別是win2k,對Winnt、WinntSystem、Document and Setting等文件夾。
6、組策略配置
想禁用“cmd.exe”,執行“開始→運行”輸入gpedit.msc打開組策略,選擇“用戶配置→管理模板→系統”,把“阻止訪問命令提示符”設為“啟用”。
同樣的可以通過組策略禁止其他比較危險的應用程式。
7、服務降級
對一些以System許可權運行的系統服務進行降級處理。比如:將Serv-U、Imail、IIS、Php、Mssql、Mysql等一系列以 System許可權運行的服務或者應用程式換成其他administrators成員甚至users許可權運行,這樣就會安全得多了。但前提是需要對這些基本運行狀態、調用API等相關情況較為了解。
總結:其實,關於防止如Overflow溢出類攻擊的辦法除了用上述的幾點以外,還有很多種辦法:比如通過註冊表進行建立相應的鍵值,進行設置;寫防護過濾程式用DLL方式載入windows到相關的SHell以及動態鏈結程式之中這類。當然自己寫代碼來進行驗證加密就需要有相關深厚的Win32編程基礎了,以及對Shellcode較有研究。
二、如何防滲透?
如果不幸你的系統被攻擊者溢出成功,退而求其次,那應該怎樣防止被攻擊者溢出得到Shell後對系統的而進一步入侵呢?
1、其實在做好上述的工作之後,基本上可以預防攻擊者在溢出之後得到shell了,即使Overflow溢出成功,但在用CMDSHELL、以及對外聯接時就卡了。為什麼呢?因為:(1).溢出後程式無法再調用到CMDSHLL我們已經禁止system訪問CMD.exe了。(2).溢出之後在進行反彈時已經無法對外部 IP進行連接了。當然能過system許可權來反彈shell對於大部分攻擊者就困難了。
2、當然世界上是不存在絕對的安全的,假設入侵者在得到了我們的shell之後,做些什麼呢?一般入侵者在在得到shell之後,就會諸如利用系統命令加賬號了通過tftp、ftp、vbs等方式傳文件了等等來達到進一步控制伺服器。這裡我們通過上述的辦法對命令進行了限制,入侵者是沒有辦法通過tftp、 ftp來傳文件了,但他們仍然可以能過echo寫批處理,用批處理通過腳本BAT、VB等從WEB上下載文件,以及修改其他盤類的文件等潛在破壞行為。所以我們需要將echo命令也限制以及將其他盤的System寫、修改文件的許可權進行處理。以及將VB類腳本以及XML、http等組件進行禁用或者限制system的運行許可權。這樣的話別人得到Shell也無法對伺服器上的文件進行刪除以及進行步的控制系統了;同時頁防止本地提權反彈Shell了。
總結:安全是個系統工程,任何小小的疏忽都會讓我們全盤皆輸。“防”永遠比“補”好,IT安全人員“防”在溢出之前,把被攻擊的危險降到最低,這才是真正的安全之道。
文章定位: