溢出是作業系統、應用軟體永遠的痛!在駭客頻頻攻擊、系統漏洞層出不窮的今天，任何人都不能保證自己的系統、程式不被溢出。既然溢出似乎是必然的，而且利用溢出攻擊的門檻比較低，利用工具有一定電腦基礎的人都可以完成一次溢出。這樣看來，我們的電腦系統，就處於隨時被溢出的危險中。我們總不能坐以待斃，做為IT安全人，都應該未雨綢廖，做好防範工作，把溢出的可能性降到最低。
一、如何防?防什麼?
1、必須打齊補丁
盡最大的可能性將系統的漏洞補丁都打完;最好是比如Microsoft Windows Server系列的系統可以將自動更新服務打開，然後讓伺服器在指定的某個時間段內自動連接到Microsoft Update網站進行補丁的更新。如果伺服器為了安全起見禁止了對公網外部的連接的話，可以用Microsoft WSUS服務在內網進行升級。
2、服務最小化
最少的服務等於最大的安全，停掉一切不需要的系統服務以及應用程式，最大限度地降底伺服器的被攻擊系數。比如前陣子的NDS溢出，就導致很多伺服器挂掉了。其實如果WEB類伺服器根本沒有用到DNS服務時，大可以把DNS服務停掉，這樣DNS溢出就對你們的伺服器不構成任何威脅了。
3、端口過濾
啟動TCP/IP端口的過濾，僅打開常用的TCP如21、80、25、110、3389等端口;如果安全要求級別高一點可以將UDP端口關閉，當然如果這樣之後缺陷就是如在伺服器上連外部就不方便連接了，這裡建議大家用IPSec來封UDP。在協議篩選中只允許TCP協議(協議號為：6)、UDP協議 (協議號為：17)以及RDP協議(協議號為：27)等必需用協議即可;其他無用均不開放。
4、系統防火牆
啟用IPSec策略，為伺服器的連接進行安全認證，給伺服器加上雙保險。封掉一些危險的端口，諸如：135 145 139 445 以及UDP對外連接之類、以及對通讀進行加密與只與有信任關係的IP或者網路進行通訊等等。
提示：通過IPSec禁止UDP或者不常用TCP端口的對外訪問就可以非常有效地防反彈類木馬。
5、系統命令防禦
刪除、移動、更名或者用訪問控製表列Access Control Lists (ACLs)控制關鍵系統文件、命令及文件夾：
(1).駭客通常在溢出得到shell後，來用諸如net.exe、net1.exe、ipconfig.exe、user.exe、query.exe、 regedit.exe、regsvr32.exe 來達到進一步控制伺服器的目的。如：加賬號、克隆管理員了等等。我們可以將這些命令程式刪除或者改名。
提示：在刪除與改名時先停掉文件複製服務 (FRS)或者先將 %windir%system32dllcache下的對應文件刪除或改名。
(2).也或者將這些.exe文件移動到你指定的文件夾,這樣也方便以後管理員自己使用。
(3).訪問控製表列ACLS控制：
找到%windir%system32下找到cmd.exe、cmd32.exe、net.exe、net1.exe、ipconfig.exe、tftp.exe、ftp.exe、user.exe、reg.exe、regedit.exe、regedt32.exe、regsvr32.exe這些駭客常用的文件，在“屬性”→“安全”中對他們進行訪問的ACLs用戶進行定義，諸如只給administrator有權訪問，如果需要防範一些溢出攻擊、以及溢出成功後對這些文件的非法利用;那麼我們只需要將system用戶在ACLs中進行拒絕訪問即可。
(4).如果你覺得在GUI下面太麻煩的話，你也可以用系統命令的CACLS.EXE來對這些.exe文件的Acls進行編輯與修改，或者說將他寫成一個.bat批處理 文件來執行以及對這些命令進行修改。
(5).對磁片如C、D、E、F等進行安全的ACLS設置從整體安全上考慮的話也是很有必要的，另外特別是win2k，對Winnt、WinntSystem、Document and Setting等文件夾。
6、組策略配置
想禁用“cmd.exe”，執行“開始→運行”輸入gpedit.msc打開組策略，選擇“用戶配置→管理模板→系統”，把“阻止訪問命令提示符”設為“啟用”。
同樣的可以通過組策略禁止其他比較危險的應用程式。
7、服務降級
對一些以System許可權運行的系統服務進行降級處理。比如：將Serv-U、Imail、IIS、Php、Mssql、Mysql等一系列以 System許可權運行的服務或者應用程式換成其他administrators成員甚至users許可權運行，這樣就會安全得多了。但前提是需要對這些基本運行狀態、調用API等相關情況較為了解。
總結：其實，關於防止如Overflow溢出類攻擊的辦法除了用上述的幾點以外，還有很多種辦法：比如通過註冊表進行建立相應的鍵值，進行設置;寫防護過濾程式用DLL方式載入windows到相關的SHell以及動態鏈結程式之中這類。當然自己寫代碼來進行驗證加密就需要有相關深厚的Win32編程基礎了，以及對Shellcode較有研究。
二、如何防滲透?
如果不幸你的系統被攻擊者溢出成功，退而求其次，那應該怎樣防止被攻擊者溢出得到Shell後對系統的而進一步入侵呢?
1、其實在做好上述的工作之後，基本上可以預防攻擊者在溢出之後得到shell了，即使Overflow溢出成功，但在用CMDSHELL、以及對外聯接時就卡了。為什麼呢?因為：(1).溢出後程式無法再調用到CMDSHLL我們已經禁止system訪問CMD.exe了。(2).溢出之後在進行反彈時已經無法對外部 IP進行連接了。當然能過system許可權來反彈shell對於大部分攻擊者就困難了。
2、當然世界上是不存在絕對的安全的，假設入侵者在得到了我們的shell之後，做些什麼呢?一般入侵者在在得到shell之後，就會諸如利用系統命令加賬號了通過tftp、ftp、vbs等方式傳文件了等等來達到進一步控制伺服器。這裡我們通過上述的辦法對命令進行了限制，入侵者是沒有辦法通過tftp、 ftp來傳文件了，但他們仍然可以能過echo寫批處理，用批處理通過腳本BAT、VB等從WEB上下載文件，以及修改其他盤類的文件等潛在破壞行為。所以我們需要將echo命令也限制以及將其他盤的System寫、修改文件的許可權進行處理。以及將VB類腳本以及XML、http等組件進行禁用或者限制system的運行許可權。這樣的話別人得到Shell也無法對伺服器上的文件進行刪除以及進行步的控制系統了;同時頁防止本地提權反彈Shell了。
總結：安全是個系統工程，任何小小的疏忽都會讓我們全盤皆輸。“防”永遠比“補”好，IT安全人員“防”在溢出之前，把被攻擊的危險降到最低，這才是真正的安全之道。
文章定位：
