根据Web服务器记录来追击黑客入侵
2008-02-23 08:20:56来源：互联网 阅读 ()
现今的网络，安全越来越受到大家的重视，在构建网络安全环境时，在技术手段，管理制度等方面都逐步加强，配置防火墙，安装入侵检测系统等等。但网络安全是个全方位的问题，忽略哪一点都会造成木桶效应，使得整个安全系统虚设。本文从分析Web服务器的logging记录来找出漏洞，防范攻击，从而加强Web服务器安全。
Web服务是Internet所提供最多，最丰富的服务，各种Web服务器自然也是受到攻击最多的，我们采用了很多措施来防止遭受攻击和入侵，其中查看Web服务器的记录是最直接，最常用，又比较有效的一种方法，但logging记录很庞大，查看logging记录是很繁琐的事情，假如抓不住重点，攻击线索就容易被忽略。下面就对最流行的两类Web服务器：Apache和IIS做攻击的实验，然后在众多的记录中查到攻击的蛛丝马迹，从而采取适当的措施加强防范。
1、默认的web记录
对于IIS，其默认记录存放在c:\\winnt\\system32\\logfiles\\w3svc1，文档名就是当天的日期，记录格式是标准的W3C扩展记录格式，能够被各种记录分析工具解析，默认的格式包括时间、访问者IP地址、访问的方法(GET or POST...)、请求的资源、HTTP状态(用数字表示)等。对于其中的HTTP状态，我们知道200-299表明访问成功；300-399表明需要客户端反应来满足请求；400-499和500-599表明客户端和服务器出错；其中常用的如404表示资源没找到，403表示访问被禁止。
Apache的默认记录存放在/usr/local/apache/logs，其中最有用的记录文档是access_log，其格式包括客户端IP、个人标示(一般为空)、用户名(假如需要认证)、访问方式(GET or POST...)、HTTP状态、传输的字节数等。
2、收集信息
我们模拟黑客攻击服务器的通常模式，先是收集信息，然后通过远程命令一步步实施入侵。我们使用的工具是netcat1.1 for windows，Web服务器ip为10.22.1.100，客户端IP为：10.22.1.80。
C:>nc -n 10.22.1.100 80 HEAD / HTTP/1.0 HTTP/1.1 200 OK Server: Microsoft-IIS/4.0 Date: Sun, 08 Oct 2002 14:31:00 GMT Content-Type: text/html Set-Cookie: ASPSESSIONIDGQQQQQPA=IHOJAGJDECOLLGIBNKMCEEED; path=/ Cache-control: private 在IIS和Apache的log里显示如下： IIS: 15:08:44 10.22.1.80 HEAD /Default.asp 200 Linux: 10.22.1.80- - [08/Oct/2002:15:56:39 -0700] \"HEAD / HTTP/1.0\" 200 0 |
以上的活动看上去很正常，也不会对服务器产生任何影响，但这是通常攻击的前奏。
3、Web站点映像
黑客经常映像一个站点来帮助攻击服务器，常用来映像的工具备Windows下的Teleport pro和Unix下的Wget。
下面我们看使用这两个工具后在服务器记录里的信息：
16:28:52 10.22.1.80 GET /Default.asp 200 16:28:52 10.22.1.80 GET /robots.txt 404 16:28:52 10.22.1.80 GET /header_protecting_your_privacy.gif 200 16:28:52 10.22.1.80 GET /header_fec_reqs.gif 200 16:28:55 10.22.1.80 GET /photo_contribs_sidebar.jpg 200 16:28:55 10.22.1.80 GET /g2klogo_white_bgd.gif 200 16:28:55 10.22.1.80 GET /header_contribute_on_line.gif 200 16:49:01 10.22.1.81 GET /Default.asp 200 16:49:01 10.22.1.81 GET /robots.txt 404 16:49:01 10.22.1.81 GET /header_contribute_on_line.gif 200 16:49:01 10.22.1.81 GET /g2klogo_white_bgd.gif 200 16:49:01 10.22.1.81 GET /photo_contribs_sidebar.jpg 200 16:49:01 10.22.1.81 GET /header_fec_reqs.gif 200 16:49:01 10.22.1.81 GET /header_protecting_your_privacy.gif 200 |
10.22.1.80是使用Wget的Unix客户端，10.22.1.81是使用Teleport pro的Windows客户端，都请求robots.txt文档，Robots.txt是请求没有被映像的文档时所要用到的。所以看到有对robots.txt文档的请求，表明有映像的企图。当然，在Wget和Teleport pro客户端，能够手工禁止对robots.txt文档的访问，这时，辨别方法能够看是否有从同一IP地址来的重复资源请求。
4、漏洞扫描
随着攻击的发展，我们能够用一些Web漏洞检查的软件，如Whisker，他能够检查已知晓的各种漏洞，如cgi程式导致的安全隐患等。下面是运行Whisker1.4的IIS和Apache的相关记录：
IIS 12:07:56 10.22.1.81 GET /SiteServer/Publishing/viewcode.asp 404 12:07:56 10.22.1.81 GET /msadc/samples/adctest.asp 200 12:07:56 10.22.1.81 GET /advworks/equipment/catalog_type.asp 404 12:07:56 10.22.1.81 GET /iisadmpwd/aexp4b.htr 200 12:07:56 10.22.1.81 HEAD /scripts/samples/details.idc 200 12:07:56 10.22.1.81 GET /scripts/samples/details.idc 200 12:07:56 10.22.1.81 HEAD /scripts/samples/ctguestb.idc 200 12:07:56 10.22.1.81 GET /scripts/samples/ctguestb.idc 200 12:07:56 10.22.1.81 HEAD /scripts/tools/newdsn.exe 404 12:07:56 10.22.1.81 HEAD /msadc/msadcs.dll 200 12:07:56 10.22.1.81 GET /scripts/iisadmin/bdir.htr 200 12:07:56 10.22.1.81 HEAD /carbo.dll 404 12:07:56 10.22.1.81 HEAD /scripts/proxy/ 403 12:07:56 10.22.1.81 HEAD /scripts/proxy/w3proxy.dll 500 12:07:56 10.22.1.81 GET /scripts/proxy/w3proxy.dll 500 Apache 10.22.1.80-[08/Oct/2002:12:57:28 -0700] \"GET /cfcache.map HTTP/1.0\" 404 266 10.22.1.80-[08/Oct/2002:12:57:28 -0700] \"GET /cfide/Administrator/startstop.html HTTP/1.0\" 404 289 10.22.1.80-[08/Oct/2002:12:57:28 -0700] \"GET /cfappman/index.cfm HTTP/1.0\" 404 273 10.22.1.80-[08/Oct/2002:12:57:28 -0700] \"GET /cgi-bin/ HTTP/1.0\" 403 267 10.22.1.80-[08/Oct/2002:12:57:29 -0700] \"GET /cgi-bin/dbmlparser.exe HTTP/1.0\" 404 277 10.22.1.80-[08/Oct/2002:12:57:29 -0700] \"HEAD /_vti_inf.html HTTP/1.0\" 404 0 10.22.1.80-[08/Oct/2002:12:57:29 -0700] \"HEAD /_vti_pvt/ HTTP/1.0\" 404 0 10.22.1.80-[08/Oct/2002:12:57:29 -0700] \"HEAD /cgi-bin/webdist.cgi HTTP/1.0\" 404 0 10.22.1.80-[08/Oct/2002:12:57:29 -0700] \"HEAD /cgi-bin/handler HTTP/1.0\" 404 0 10.22.1.80-[08/Oct/2002:12:57:29 -0700] \"HEAD /cgi-bin/wrap HTTP/1.0\" 404 0 10.22.1.80-[08/Oct/2002:12:57:29 -0700] \"HEAD /cgi-bin/pfdisplay.cgi HTTP/1.0\" 404 |
标签：
版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有
上一篇： IIS 错误代码大汇总
下一篇： 一个IP建多个Web站点——TCP端口法
IDC资讯： 主机资讯 注册资讯 托管资讯 vps资讯 网站建设
网站运营： 建站经验 策划盈利 搜索优化 网站推广 免费资源
网络编程： Asp.Net编程 Asp编程 Php编程 Xml编程 Access Mssql Mysql 其它
服务器技术： Web服务器 Ftp服务器 Mail服务器 Dns服务器 安全防护
软件技巧： 其它软件 Word Excel Powerpoint Ghost Vista QQ空间 QQ FlashGet 迅雷
网页制作： FrontPages Dreamweaver Javascript css photoshop fireworks Flash
