攻與防是對立的，有人說，做安全加固要比入侵滲透要難，因為只要你會利用千千萬萬種漏洞當中的其中一種，如果這個系統(tǒng)當中恰好存在這個漏洞，那么你就可以成功的入侵，但是做安全加固則不然，想要做到百分百安全，你就要懂得如何防范這千千萬萬種漏洞——這幾乎是不可能做到的——事實上，即使做到了，你也要面臨許許多多的未知漏洞（未公開的0day），你不可能掌握所有未公開的漏洞。所以，做到百分之百安全是不可能的——不過我們可以努力讓系統(tǒng)變得更加安全：）。
    所以安全做的好的都是大牛，恩，真的是大牛…那么對于我們這些彩筆來說，只懂得攻而不懂得防，這怎么行。雖然我們不懂得那么許多的安全知識，但是可以用一些“另類”的方法來加固我們的系統(tǒng)——至少給入侵者一些錯誤的指引，可能會讓他們不知所措。
[align=center]/*本人能力有限，所以在此只簡單討論一下win下的WEB服務(wù)器相關(guān)安全內(nèi)容
且，本文只適用于彩筆科普等級，高級別的大牛請直接無視…*/[/align]
№.1 多數(shù)的安全隱患存在于腳本程序上。
    相信大家都有這樣這樣的感觸：如果我們的目標是XX站點的服務(wù)器最高權(quán)限，那么我們的思路首先會放在WEB程序上，而不是去采用溢出或其他手段來針對服務(wù)器直接下手。是的，事實的確是這樣，就一臺WEB服務(wù)器而言，WEB程序幾乎是最脆弱的部分——形成這種狀況的原因有很多，在這里我們就不進行討論了。
    所以想要保證系統(tǒng)的安全，要做的最基本的事情就是做好WEB程序的安全。但是關(guān)于如何做好WEB程序的安全在這里我們就不進行過多的討論了，關(guān)于這方面我相信大家都有很多的想法和相當具有可實施性的方法。
№.2 win？linux？unix？
    我想大家在滲透之前肯定是要先踩好點，那么踩點工作都有哪些呢？我想一定會有知道目標服務(wù)器的操作系統(tǒng)和網(wǎng)站容器。我不知道大家喜歡用什么樣的方式來獲得這些信息，但是我想不同的操作系統(tǒng)和網(wǎng)站容器他們標志性的不同點就是默認的404頁面，也就是說，隨便輸入一個不存在的404頁面，如果采用的是默認的404頁面，那么一眼便知了，IIS還是apache還是什么。如果我使用的是apache，自定一個404頁面，而這個頁面看起來和IIS的默認404頁面是一模一樣的，那么…你在入侵的時候會想太多嗎？所以不要小看了默認的404頁面，其實修改默認的404頁面還是很有用的，例如這樣做對于黑客的暴力掃描還是有一定效果的。
    拿我的博客來說，用啊D對我的博客進行目錄的暴力掃描的時候，你會發(fā)現(xiàn)，凡是字典里面存在的目錄名稱都會在掃描結(jié)果里面出現(xiàn)：當然，這些結(jié)果都被轉(zhuǎn)到自定義的404頁面了，所以軟件認為這些頁面是真實存在的——所以你根本無法看出這些掃描結(jié)果里面哪個才是真正存在的目錄。隨便打開一個掃描結(jié)果，你會發(fā)現(xiàn)，這竟然是該死的404….


      當然，光是一個404頁面并不能完全起到欺騙入侵者的作用，還是有很多辦法來判斷服務(wù)器系統(tǒng)和網(wǎng)站容器的，比如在head信息中就很容易得到這些——當然你也可以在這里做一些手腳，來達到簡單欺騙的目的，在這方面我就不占用過多的篇幅來介紹了，感興趣的話可以在internet上查找相關(guān)的資料。
№.3 嚴格的目錄權(quán)限控制，可以大大避免黑客在入侵了服務(wù)器內(nèi)某個網(wǎng)站之后進而滲透整個服務(wù)器的可能。
      想必這一點在提權(quán)當中大家都是深有體會的了。
     在win的IIS中，默認是在users用戶組的權(quán)限下運行的。我們在剛開始使用IIS的時候可能會遇到這樣的情況：IIS給出的默認站點并不能夠使用，訪問的時候出現(xiàn)403錯誤。當然大家都知道，403錯誤的意思就是沒有足夠的權(quán)限訪問或執(zhí)行，其實這個時候就是沒有給你的WEB目錄賦予users用戶組足夠的權(quán)限，你的WEB目錄必須要賦予users用戶組至少讀取和執(zhí)行的權(quán)限，有的目錄可能還需要寫入權(quán)限。具體的操作方法就是選中你的WEB目錄，右鍵–屬性–安全，你可能會看到下面的情況：

這里并沒有針對users用戶組的權(quán)限操作，這時候我們需要把users組添加進去。點擊“添加”，輸入“users”然后單擊“檢查名稱”，就會發(fā)現(xiàn)本機的users組的的全名就顯示出來了，這個時候我們點擊“確定”就可以了。如下圖是users組的默認權(quán)限設(shè)置：

    我曾有過這樣的經(jīng)歷：拿到了某站的webshell之后，發(fā)現(xiàn)這個站點根本不需要提權(quán)，因為IIS完全是運行administrators組的用戶下的，你知道的，這意味著什么。在同一時間，我手上還有另外一個網(wǎng)站的webshell，而在這個webshell上我?guī)缀醪荒茏鋈魏侮P(guān)于提權(quán)的事情——權(quán)限限制的太死了，除了可以讀取站點目錄以外，其他的什么事情也做不了。
    這就是差距。嚴格的權(quán)限限制是做好安全的第一步。比如我們在提權(quán)時經(jīng)常會用到的program目錄，temp目錄等等，或者這樣說，除了給WEB目錄賦予users組相應(yīng)的權(quán)限以外，其他的任何目錄users組都沒有權(quán)限進行任何操作，哪怕是讀取。這樣即便是服務(wù)器上的某個站點被入侵，那么入侵者也只能在這個站點的WEB目錄上轉(zhuǎn)喲了。還有就是最好把WEB目錄中的其他目錄也設(shè)置好嚴格的權(quán)限，只在必須要使用寫入權(quán)限的目錄才賦予寫入權(quán)限，只在必須要執(zhí)行腳本的目錄才賦予腳本執(zhí)行權(quán)限。試想一下，當你利用一個上傳漏洞像服務(wù)器上傳一個shell文件的時候，假設(shè)你傳到了默認的上傳目錄（這個目錄是專門存放上傳的圖片文件的），那么如果管理員把這個權(quán)限設(shè)置成不允許腳本執(zhí)行，那不也是白費？當然，你會想傳到其他的目錄當中去，但是如果其他的目錄沒有寫權(quán)限呢？當然了，既必須有腳本執(zhí)行權(quán)限又必須有寫入權(quán)限的目錄多半時候是存在的，這里只是舉一個例子，說明這樣做至少會給入侵者帶來很多的麻煩。
№.4 也許簡單的誤導會讓入侵者不知所措。
    有了權(quán)限了，可以添加賬戶了，那么你首先要做的事是什么？net user hacker F4CK /add && net localgroup administrators hacker /add ，是這樣么？如果我給administrators組改個名字呢？給他起個名字叫做…叫做Guests怎么樣？對的，Guests是默認的來賓用戶組，那么原本的Guests組怎么辦呢？你看我們把他命名為administrators怎么樣？當然我們不會給真正的Guests組任何權(quán)限，當我們發(fā)現(xiàn)我們的“administrators”用戶組多了用戶的時候，那就要趕緊檢查服務(wù)器哪里出了問題了，因為既然入侵者可以添加用戶，那么至少說明入侵者已經(jīng)拿到很高的權(quán)限了，這個時候需要萬分警惕，并且馬上清除入侵者的后門。
    在這里順便提一句關(guān)于系統(tǒng)補丁的事情，本來沒想說的，但是后來想了想還是加上去吧。服務(wù)器及時打補丁是很重要的，不然即使你安全做的再好，沒有打補丁的話，說不準人家一個遠程溢出你就悲劇了呢…
№.5 數(shù)據(jù)庫安全相關(guān)。
    大家在入侵滲透的過程中可能都有這樣的經(jīng)歷：如果遇到一個SA或root權(quán)限的注入點，那么這個站點基本就悲劇了。所以很重要的一件事就是，在非要必要的情況下，一定不要使用類似sa、root這樣的高權(quán)限的數(shù)據(jù)庫用戶，因為一旦出現(xiàn)SQL注入漏洞，那么將是致命的！
№.56其實各類優(yōu)秀的安全軟件還是值得一用的。
    事實的確如此。管理員不可能每天24小時不間斷的守在服務(wù)器前不斷的刷新，不斷的監(jiān)視服務(wù)器的各項狀態(tài)，管理員也是人，也是需要休息的，然而機器不一樣，只要給他足夠的電他就會給你干活——如此，為何不選擇一款優(yōu)秀的安全軟件運行在你的服務(wù)器上呢？至于安全軟件的選擇方面，我并不推薦360這樣的產(chǎn)品，因為他至少在服務(wù)器上的表現(xiàn)不是很好，個人認為麥咖啡在服務(wù)器上的表現(xiàn)還是不錯的，當然有很多很優(yōu)秀的安全產(chǎn)品供我們選擇。
    除了這些殺毒類產(chǎn)品之外，我想還有必要安裝一些特別針對站點或服務(wù)器安全的實時監(jiān)控類的安全產(chǎn)品，例如XX狗，XX盾之類的，會給管理員節(jié)省不少精力。
№.7 關(guān)閉不必要的服務(wù)——只給入侵者留一個安全的80端口讓他轉(zhuǎn)喲去吧！
 
如果能夠很好的做到以上幾點，那么你的服務(wù)器至少也可以算的上是一個相對比較安全的服務(wù)器了——我想至少我這樣的彩筆可能是無能為力了

最新評論