计算机系统与网络安全技术实验指导书防火墙

计算机系统与网络安全技术实验指导书(1)电子科技大学计算机学院二一四年九月目 录实验一网络嗅探实验3实验二主机与端口的探测与扫描5实验三安全远程登录实验7实验四计算机木马与后门实验10实验五 SQL注入攻击实验17实验六简单恶意脚本攻击实验20实验七 Windows操作系统安全策略配置-WinXP实验24实验八跨站攻击实验46实验一 网络嗅探实验【实验目的】通过使用WireShark软件掌握Sniffer（嗅探）工具的使用方法，实现捕捉FTP， 等协议的数据包，以理解TCP/IP协议栈中多种协议的数据结构、会话连接建立和终止的过程、TCP序列号、应答序号的变化规律。并且通过实验了解FTP、 等协议明文传输的特性，以建立安全意识，防止FTP、 等协议由于传输明文密码造成的泄密。【实验内容】（1） 设置过滤器（2） 设置规则（3） 捕捉FTP口令【实验设备与环境】（1） 学生每人一台PC，安装WindowsXP/2000操作系统。（2） 一台Windows主机作为服务器，服务器配置固定IP地址。该主机安装FTP服务器ServU，设置用户名和密码，以及相关目录访问权限。（3） 以集线器组网的局域网环境。（4） 个人PC安装网络侦听工具软件WireShark。【实验方法步骤】（1） 启动WireShark软件工具（2） 设置过滤条件，包括源、目的IP地址源、目的端口号、协议类型。包括：以学生所在机器IP地址为源IP地址，捕获所有从学生机器发出的数据报文，并记录数据报文头部信息。以FTP服务器为目的IP地址，捕获所有发向该服务器的数据报文。并记录数据报文头部信息。分别以UDP和TCP作为协议类型，捕获并记录数据报文头部信息，以目的端口号为21，捕获并记录所有FTP控制连接报文头部信息。（3） 用浏览器或FTP客户端登陆指定FTP服务器。（4） 按FTP服务器返回信息，客户端中输入用户名以及口令。（5） 观察口令捕获情况并记录, 记录字段包括：IP头部、传输层头部数据，应用层捕获的数据。【实验报告】（1）对TCP三次握手报文进行记录和分析。（2）对所侦听的FTP协议数据包进行说明和分析，查找FTP登陆账号信息。【相关知识点】（1） 实验必备知识 TCP/IP协议原理 网络侦听原理【评分要求】100分（1） 记录完备 60分（2） 数据分析 40分实验二 主机与端口的探测与扫描【实验目的】通过PING命令了解目标主机的可访问性。通过使用网络扫描软件了解主机端口和服务的开放情况，从而进一步获取系统信息，找出系统安全漏洞。本实验中将使用SuperScan来进行主机和网络扫描。通过本次试验，可以了解到端口（port）与服务（service）开放的风险，增强在计算机系统和网络安全防护方面的意识。【实验内容】（1） 了解ping命令的原理和功能，以及相关参数。（2） 使用ping命令探测主机可达性。（3） 使用SuperScan对特定主机进行扫描。【实验设备与环境】（1） 学生每人一台PC，安装WindowsXP/Windows 7/2000操作系统。两人一组。（2） 局域网络环境。（3） 个人PC安装网络扫描软件SuperScan、TELNET服务器软件或SSH服务器软件。【实验方法步骤】1Ping命令：（1） 进入PC DOS命令窗口。（2） 使用ping /?或直接输入ping后回车进入ping帮助界面，了解ping命令参数和功能含义。（3） 使用ping基本命令格式 ping目标主机IP地址，测试目标主机可达性。记录返回信息。（4） 使用带参数ping命令（要求至少使用两个参数），测试目标主机可达性，记录返回信息。2.SuperScan网络扫描软件（1） 每组两台PC中,选定一台邻居PC作为目标主机，确定其IP地址；另一台作为扫描机。（2） 打开目标主机上的telnet服务端口或SSH端口。（使用给定的TELNET或SSH服务器软件，启动该服务器软件，相应端口随即打开） 对WindowsXP/Windows2000系统，可以通过“控制面板性能与维护管理工具服务Telnet，进行启动服务的设置。（3） 使用扫描机通过DOS命令telnet 目标主机IP地址，远程登录到目标主机，确认telnet端口已打开。（4） 在扫描机上运行SuperScan，对目标主机进行扫描，查看扫描报告中的telnet/SSH等开放端口信息。（5） 关闭目标主机的telnet或SSH服务端口（即将TELNET或SSH服务器软件停止运行），使用SuperScan再次对其进行扫描，查看扫描报告中的开发端口信息，比对服务端口情况。【实验报告】（1） ping命令参数的解释说明。（2） 使用ping命令及返回信息的记录与说明。（3） SuperScan端口扫描报告的比对说明。（4） 解释TCP端口扫描两种方式Connect和SYN的区别。【相关知识点】1、 实验必备知识Ping命令原理与使用。TCP/IP协议中端口的原理与功能。【评分要求】100分（3） 记录完备 60分（4） 数据分析 40分实验三 安全远程登录实验【实验目的】通过运用SSH进行数据加密的实验，理解和掌握SSH的加密原理，了解对应用层协议进行安全传输的技术。【实验原理】SSH协议传统的网络服务程序（如FTP、SMTP和Telnet）在传输机制和实现原理上没有在安全机制方面进行太多的考虑，例如他们在网络上用明文传送数据、用户账户和用户口令，这些数据很容易被截获。SSH是Secure Shell的简写，通过使用SSH可以把所有传输的数据进行加密。（1） SSH的安全登录原理SSH支持两种安全登录认证方式。第一种是基于口令的登录认证。SSH客户端登陆服务器时输入服务器端操作系统的账号和口令，就可以登录到远程主机，所有传输的数据都会被加密，因为这种登录方式在登录过程中加密的口令可以被“中间人”截获并“重放”后发给SSH服务器，所以存在受“中间人”攻击的可能性。第二种登录认证需要依靠密钥来进行。客户端实现为自己创建公私密钥对，并把公钥发给需要访问的服务器。当SSH客户端连接SSH服务器时，客户端软件就会向服务器请求用客户端的公钥进行安全认证。服务器收到请求后，先在本机中查找客户端的公钥，然后把它和客户端发过来的公钥进行比较。如果两个密钥一致，服务器就用客户端的公钥加密一个随机数Challenge并把它发送给客户端软件。SSH客户端软件收到Challenge后用私钥解密再把它发送给服务器。服务器收到解密后的Challenge值后，通过对客户端的登录验证，允许客户端进行连接。这种登录方式，可以避免“中间人”这种攻击方式，因为不需要在网络上传送登录口令，而私钥只保存在SSH客户端，不会在网上传输。（2）SSH的加密通信原理SSH的加密通信通过以下5个阶段来实现。第一阶段：协商SSH版本。第二阶段：协商产生会话密钥。第三阶段：登录认证。第四阶段：处理会话请求。第五阶段：交互会话。【实验内容】（1） 使用WireShark侦听Telnet服务器与客户端之间的通信数据报文，截获Telnet登录用户名和密码。（2） 使用WireShark侦听SSH服务器与客户端之间的通信数据报文，了解报文加密效果。【实验设备与环境】（1） 学生每人一台PC，安装WindowsXP/2000操作系统。两人一组。（2） 局域网络环境。（3） PC1作为服务器，PC2作为客户端。（4） 客户端PC2安装网络侦听工具软件WireShark。（5） 软件：TELNET 服务器软件TelnetD，SSH服务器WinSSHD，SSH客户端SSHSecureShellClient【实验方法步骤】1Telnet通信（1） 服务器PC1安装TELNET 服务器软件，启动后Telnet远程登录服务随即启动。 对WindowsXP/Windows2000系统，启动Telent服务可通过“控制面板系统管理服务”进行设置和启动。（2） 服务器PC1对现有的管理员账号设置口令，供Telnet客户端登录使用。（3） PC2运行Wireshark，准备侦听Telnet服务器与客户端之间的通信。（4） PC2进入DOS命令窗口，使用Telnet命令连接服务器，按系统返回提示信息输入用户名和密码实现登录。（5） 在Wireshark侦听报文中，查找Telnet登录用户名和密码。2SSH通信（1） PC1安装和配置SSH服务器。（2） PC2安装和配置SSH客户端。（3） PC2运行Wireshark，准备侦听SSH服务器与客户端之间的通信。（4） PC2运行SSH客户端，连接SSH服务器，按系统返回提示信息输入密码实现登录。（5） 在Wireshark侦听报文中，查看SSH通信报文，了解数据报文的加密情况。【实验报告】（1） 在所侦听的Telnet数据包中查找Telnet登录用户名和密码，并进行说明和分析，以反映Telnet协议的运行特点。（2） 对所侦听的SSH数据包进行说明和分析，通过与Telnet协议报文的对比，说明SSH协议的特点。【相关知识点】（1） Telnet通信原理。（2） SSH加密通信原理。【评分要求】100分（5） 记录完备 60分（6） 数据分析 40分实验四 计算机木马与后门实验【实验目的】通过对木马的练习，使读者理解和掌握木马传播和运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。【实验原理】木马的全称为特洛伊木马，来源于古希腊神话。木马是具有远程控制、信息偷取、隐私传输功能的恶意代码，它通过欺骗或者诱骗的方式安装，并在用户的计算机中隐藏以实现控制用户计算机的目的。1、 木马的特性木马程序为了实现其特殊功能，一般应该具有以下性质。伪装性：木马程序伪装成合法程序，并且诱惑被攻击者执行，使木马代码会在未经授权的情况下装载到系统中并开始运行。 隐藏性：木马程序不被杀毒软件杀掉，会在系统中采用一些隐藏手段，不会让使用者觉察到木马的存在，例如进程在任务管理器中隐藏，文件不会出现在浏览器中等，从而实现长久对目标计算机的控制。 破坏性：通过木马程序的远程控制，攻击者可以对目标计算机中的文件进行删除，修改、远程运行，还可以进行诸如改变系统配置等恶性破坏系统。窃密性：木马程序最大的特点就是可以偷取被入侵计算机上的所有资料，包括硬盘上的文件，以及屏幕信息，键盘输入信息等。2、 木马的入侵途径木马的入侵主要是通过一些欺骗手段实施的。捆绑欺骗：如果把木马文件与普通文件捆绑，并更改捆绑后的文件图标，伪造成与原文件类似。再通过电子邮件、QQ、MSN等手段直接发送给用户，或者通过放在网上或者某个服务器中，欺骗被攻击者下载直接执行。 利用网页脚本入侵：木马也可以通过Script, active, ASP, CGI交互脚本的方式入侵，由于微软的浏览器在执行Script脚本上存在一些漏洞，攻击者可以利用这些漏洞实现木马的下载和安装。 利用漏洞入侵：木马还利用一些系统的漏洞入侵，如微软的IIS服务器存在多种溢出漏洞，通过缓冲区溢出攻击程序造成IIS服务器溢出，获得控制权限，然后在被攻击的服务器上安装并运行木马。和病毒协作入侵：现在的病毒有多种自动感染和传播功能，而木马往往和病毒协同工作，在病毒感染目标计算机后，通过木马对目标计算机进行控制。3、 木马的种类按照发展历程和主流技术的演变，可以将木马分为5个阶段。第一代木马是出现在20世纪80年代，主要是UNIX环境中通过命令行界面实现远程控制。第二代木马出现在20世纪90年代，随着WINDOWS系统的普及木马在WINDOWS环境中大量应用，它具备伪装和传播两种功能，具有图形控制界面，可以进行密码窃取、远程控制，例如BO2000和冰河木马。因为放火墙的普遍应用，第二代木马在进入21世纪之后不再有多少用武之地了，由于它采用黑客主动连接用户的方式，对于这种从外网发来的数据包都将被防火墙阻断。第三代木马在连接方式上比第二代木马有了改进，通过端口反弹技术，可以穿透硬件防火墙，例如灰鸽子木马，但木马进程外联黑客时会被软件防火墙阻挡，经验丰富的网络管理员都可以将其拦截。第四代木马在进程隐藏方面比第三代木马做了教大改动，木马通过线程插入技术隐藏在系统进程或应用进程中，实现木马运行中没有进程，网络连接也隐藏在系统进程或应用进程中，比如广外男生木马。第四代木马可以实现对硬件防火墙的穿透，同时它隐藏在系统或应用进程中，往往网络管理员很难识别，所以被软件防火墙拦截后往往又被放行，从而实现对软件防火墙的穿透。第五代木马在隐藏方面比第四代木马又进行了进一步提升，它普遍采用了ROOTKIT技术，通过ROOTKIT技术实现木马运行时进程、文件、服务、端口等的隐藏，采用系统标准诊断工具难以发现它的踪迹。除了按照技术发展分类之外，从功能上木马又可以分为：破坏型木马，主要功能是破坏并删除文件；密码发送型木马，它可以找到密码并发送到指定的邮箱中；服务型木马，它通过启动FTP服务或者建立共享目录，使黑客可以连接并下载文件；DOS攻击型木马，它将作为被黑客控制的肉鸡实施DOS攻击；代理型木马，可使被入侵的机器作为黑客发起攻击的跳板；远程攻击型木马，可以使攻击者利用客户端软件进行完全控制。4、 木马的连接方式一般的木马都采用C/S运行模式，它分为两部分，即客户端和服务器端木马程序。黑客安装木马的客户端，同时诱骗用户安装木马的服务器端。下面简单介绍木马的传统连接技术、反弹端口技术和线称技术。（1） 木马的传统连接技术第一代木马和第二代木马均采用传统的连接方式，即由木马的客户端程序主动连接服务器端程序。当服务器端程序在目标计算机上被执行后，一般会打开一个默认的端口进行监听，当客户端向服务器主动提出连接请求，服务器端的木马程序就会自动运行，来应答客户端的请求，从而建立连接。（2） 木马的反端口技术随着防火墙技术的发展，它可以与效拦截采用传统连接方式从外部主动发起连接的木马程序。但通常硬件防火墙对内部发起的连接请求则认为是正常连接，第三代之后的“反弹式”木马就是利用这个缺点，其服务器端程序主动发起对外连接请求，连接到木马的客户端，就是说“反弹式”木马是服务器端主动发起连接请求 ，而客户端被动的等待连接。根据客户端的IP地址是静态的还是动态的，反弹端口可以有两种连接方式。反弹端口的第一种连接方式，在设置服务器断时要设置固定的客户端IP地址和待连接端口，所以这种方式只适用于客户端IP地址是公网IP且是静态IP的情况。反弹端口的第二种连接方式，可实现服务端根据配置主动连接变动了IP的客户端。入侵者为了避免暴露自己的身份，往往通过跳板计算机控制被入侵用户的计算机，在跳板计算机中安装木马客户端软件，被入侵用户的计算机安装木马的服务端软件。当然，入侵者的跳板计算机有时可能失去入侵者的控制，这时入侵者就需要找到新的跳板计算机，同时使用户计算机上的木马服务端程序，能够连接到新跳板计算机上的木马客户端程序。为此，入侵者利用了一个“代理服务器”保存改变后的客户端IP地址和待连接的端口，只要跳板主机改变了IP地址，入侵者就可以更新“代理服务器”中存放的IP地址和端口号。远程被入侵主机上的服务端程序每次启动后，被设置为先连接“代理服务器”，查询最新木马客户端的IP和端口信息，再按照新的IP地址和客户端进行连接，因此这种连接方式可以适用于客户端和服务器端都是动态IP地址的情况，而且还可以穿透更加严密的防火墙，当然客户端的IP要求是公网IP才行。5、 木马的隐藏技术木马为了防止被杀毒软件查杀，同时也避免被用户计算机发现，往往采用一些隐藏技术，在系统中实现隐身。（1） 线称插入技术一般一个应用程序在运行之后，都会在系统中产生一个进程，同时，每个进程分别对应了一个不同的PID（progress ID，进程标示符）。系统会分配一个虚拟的内存空间地址段给这个进程，一切相关的程序操作，都会在这个虚拟的空间中进行。一个进程可以对应一个或多个线程，线程之间可以同步执行，一般情况下，线程之间是相互独立的，当一个线程发生错误的时候，并不一定会导致整个线程的崩溃，“线程插入技术”就是运用了线程之间运行的相对独立性，使木马完全溶进了系统的内核。这种技术把木马程序作为一个线程，把自身插入到其他应用程序的地址空间。而这个被插入的应用程序对于系统来说，是一个正常的程序，这样，就达到了彻底的隐藏效果。系统运行时会有许多的进程，而每个进程又有许多的线程，这就导致了查杀利用“线程插入”技术木马程序难度的增加。（2） ROOTKIT技术ROOTKIT是一种隐藏技术，它使得恶意程序可以逃避操作系统标准诊断程序的查找。早期的ROOTKIT技术通过修改内存中的系统文件映象来逃避检测。这一类ROOTKIT技术主要依赖HOOK技术，比如HOOK API或者系统调用表。目前主流的ROOTKIT技术主要在内核态实现，例如DKOM（直接内核对象操作）技术，通过动态修改系统中的内核数据结构来逃避安全软件的监测。由于这些数据结构随着系统的运行而不断更新变化，因此非常难于检测。6、 木马的检测木马的远程控制功能要实现，必须通过执行一段代码来实现。为此，木马采用的技术再新，也会在操作系统中留下痕迹。如果能够对系统中的文件、注册表做全面的监控，可以实现发现和清楚各种木马的目的。当然现有的监控手段还不一定能够做到全面的监控，但对系统的行为监控也已经非常深入了，通过运用多种监控手段和工具，可以协助发现植入的木马。当然，由于木马的机制不同，所以检测和查杀手段也不尽相同，在本实验中通过对灰鸽子木马的检测查杀，使读者了解木马的原理和查杀的手段。【实验内容】（1）灰鸽子木马的安装、配置、连接与远程控制。（2）灰鸽子木马的检测。（3）灰鸽子木马的查杀。【实验设备与环境】（1） 学生每人一台PC，安装WindowsXP/2000操作系统。两人一组。（2） 局域网络环境。（3） 软件：灰鸽子木马客户端安装程序、IceSword软件。【实验方法步骤】每组两台PC：PC1和PC2。PC1作为木马客户端、PC2作为木马服务端。1灰鸽子木马的安装与入侵(1) 手动终止实验PC机反病毒软件的运行。(2) PC1上安装灰鸽子木马客户端。(3) 使用灰鸽子木马客户端，选择主动连接方式，配置并生成服务端程序。(4) 在PC2上运行灰鸽子木马服务端程序。(5) PC1通过主动连接方式连接PC2的木马服务端。(6) 入侵成功后，自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入，即在同步受控端屏幕变化的同时，监控端的一切键盘及鼠标操作将反映在被控端屏幕。(7) 记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现过的口令信息。(8) 获取系统信息：包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等多项系统数据。(9) 限制系统功能：包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册表等多项功能限制。(10) 远程文件操作：包括创建、上传、下载、复制、删除文件或目录等多项文件操作功能。(11) 注册表操作：包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作功能。(12) 发送信息：以常用图标向受控端发送简短信息。(13) 点对点通信：以聊天室形式同受控端进行在线交谈。2.灰鸽子木马的检测与查杀(1) 使用IceSword软件功能进程项，查看木马进程存储路径，确定木马服务端在PC2上的植入位置。(2) 使用IceSword软件启动项，查找可以可疑服务项，确定灰鸽子木马以服务方式在每次开机后自动启动。(3) 使用IceSword软件功能进程项，终止木马进程。(4) 使用IceSword软件文件管理项，找到木马植入位置，删除木马服务端的可执行文件。【实验报告】（1） 记录灰鸽子木马的安装、配置与入侵过程。（2） 记录木马入侵后所获知的目标主机信息。（3） 木马查杀过程相关信息的记录和说明。【相关知识点】（1） 木马攻击原理。【评分要求】100分（2） 数据记录 60（3） 数据分析 40实验五 SQL注入攻击实验【实验目的】（1）掌握SQL注入基本手段（2）了解WEB站点的脆弱性【实验原理】SQL注入是从正常的WWW端口访问，而且表面看起来跟一般的Web页面访问没什么区别，可能被入侵很长时间管理员都不会发觉。相当一部分程序员编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些用户想得知的数据，这就是所谓的SQL Injection，即SQL注入。【实验内容】（1） 服务器安装所需软件：编译环境JAVA JDK，数据库MySQL，WEB服务器APACHE Tomcat（2） 设置客户机浏览器，登录服务器。（3） 根据登录页面返回信息，构造攻击字符串作为密码，实施攻击。【实验设备与环境】1. 两台PC机，一台作为服务器，一台作为客户端。2. PC机安装WindowsXP/2000操作系统。3. 服务器安装数据库和WEB服务器。4. 局域网环境。【实验方法步骤】1、配置服务器（1） JDK的安装。安装完成JDK后，需要对环境变量进行设置。例如若安装路径为C：jdk(当然其他路径也可以)。a. path变量的设置。在系统变量里找到path变量，选择编辑，在path变量值的最前面加上C：jdkbin;。b. 新建：classpath环境变量的设置。在系统变量栏选择新建classpath，将变量值设置为 .; C：jdklibtools.jar; C：jdk1.6.0libdt.jarc. 新建：设置JAVA_HOME。新建系统环境变量JAVA_HOME，将变量值设置为C：jdk（2） Apache web服务器的安装。安装完成后需要将网站的代码包SqlAttack放在webapps目录下。（3） MySQL数据库的安装。a. 首先检查本机是否已安装Mysql，如果已安装需要先卸载再安装新的Mysql数据库（一定要卸载以前安装的版本（通过“控制面板“的”添加删除程序“），否则在输入密码的时候总是会提示输入之前的密码）。由于网站代码中对数据库的访问信息（数据库名称、密码、数据表名称）是事先固定的，所以需要对数据库密码和表按照下述要求统一进行设置。b. 在安装过程进行到配置MySQL时（configure the MySQL Server now），选择Standard Configuration，以简化后续配置过程。c. 数据库的root password统一设置为GGLP。d. 安装完成数据库后安装Navicat for mysql，即图形化界面，以方便数据库操作。e. 删除已有连接，新建连接localhost（注意正确输入root口令），数据库sqlattack，以及表userInfo，其中表的字段包括id, name, pwd（注意字段类型、主键设置）。（注意数据库名、表名和字段名的大小写）2配置客户机（1） 如果未实施过SQL注入的话，第一步先把IE菜单工具Internet选项高级显示友好 错误信息前面的勾去掉。否则不论服务器返回什么错误，IE都只显示为 500服务器错误，不能获得更多的提示信息。（2） 用浏览器登录WEB服务器： :/IP地址:8080/SqlAttack/login.jsp（3） 进入登录界面后，进行攻击。（4） 掌握攻击原理后，尝试其他的攻击。提示字符串：aor t=t，为什么？这个字符串使我们的网站登陆校验SQL语句出现了什么样的变化，从而完成了攻击？你是否可以构造另外的字符串？提示：本网站进行用户名和密码验证的脚本为：String sql=select * from userInfo where name=+name+ and pwd=+pwd+ ;【实验报告】提交实验记录，对实验结果进行分析，解释你所构造的字符串完成攻击的原因，以及如何采取什么措施来防止此类攻击。【相关知识点】 熟悉简单的SQL语句构成【评分要求】100分(1) 记录完备 60分(2) 数据分析 40分实验六简单恶意脚本攻击实验【实验目的】（1） 了解恶意脚本攻击的基本原理。（2） 实施简单恶意脚本攻击。（3） 掌握针对简单恶意脚本攻击的防御方法。【实验原理】1攻防原理介绍Cross-Site Scripting跨站脚本攻击,它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。其实XSS利用的是网页的回显，即，接收用户的输入，然后再在页面显示用户的输入。总结一下几个可能会出现漏洞的地方：搜索引擎、留言板、错误页面等。通过在上面那些类型的页面输入一些特殊的字符（包括 / ），如：，然后在结果页中的源码处搜索是否存在原样的：，如果存在，恭喜你，发现了一个XSS漏洞。此类攻击分为三类： （1）DOM-based cross-site scripting 页面本身包含一些DOM对象的操作，如果未对输入的参数进行处理，可能会导致执行恶意脚本。（2）Reflected cross-site scripting也被称为None-Persistent cross-site scripting，即，非持久化的XSS攻击，是我们通常所说的，也是最常用，使用最广的一种方式。它通过给别人发送带有恶意脚本代码参数的URL，当URL地址被打开时，特有的恶意代码参数被HTML解析、执行。它的特点是非持久化，必须用户点击带有特定参数的链接才能引起。（3）Persistent cross-site scripting持久化XSS攻击，指的是恶意脚本代码被存储进被攻击的数据库，当其他用户正常浏览网页时，站点从数据库中读取了非法用户存入非法数据，恶意脚本代码被执行。这种攻击类型通常在留言板等地方出现。如：在留言板留言的内容为： f*k USA function WindowBomb() var iCounter = 0; / dummy counter while (true) alert(你好); 则当查看留言时，不断的跳出“你好”的对话框。2、 防御技术和方案替换危险字符，如：&, , ，, /, ?，;, :, %, , =, +。【实验内容】（1） 编写简单的恶意脚本。（2） 通过编写的恶意脚本对存在漏洞的网站进行攻击。【实验设备与环境】（1） 一台PC机和SimpleNAD网络攻防实验教学系统。（2） 局域网环境。【实验方法步骤】1. 找到有CSS漏洞的网站，这里提供一个新闻管理系统： :/127.0.0.1:8080/ASP+SQL基于WEB的新闻发布系统/default.asp 2. 访问该新闻管理系统，并对新闻进行评论。在评论内容处填入下面的内容并提交（如图6.1 要填入的评论内容、图6.2对新闻进行评论），则不断弹出“你好”对话框，遭到恶意脚本攻击，如图6.3恶意脚本攻击。图6.1 要填入的评论内容图6.2对新闻进行评论图6.3恶意脚本攻击【实验报告】提交实验记录，对实验结果进行分析，对你编写的攻击代码进行说明，并解释该脚本攻击成功的原理和原因，以及如何采取防范措施。【相关知识点】恶意脚本攻击,指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。CSS利用的是网页的回显，即，接收用户的输入，然后再在页面显示用户的输入。因此，为防范CSS攻击，我们需要替换危险字符，如：&, , ，, /, ?，;, :, %, , =, +。【评分要求】100分(1) 记录完备 60分(2) 数据分析 40分实验七 Windows操作系统安全策略配置-WinXP实验【实验目的】（1） 理解Windows操作系统的安全策略。（2） 掌握Windows操作系统的安全策略的配置。【实验原理】1windowsXP系统漏洞介绍系统漏洞通常是由于系统开发过程中程序设计不严谨或者由于某些功能自身而留下的，包括身份认证、访问控制、服务漏洞等多个方面。系统上已知的漏洞被称为“通用漏洞披露”(CVEs)，它是由MITRE组织汇编整理的漏洞信息。漏洞使系统非常危险，它可以使攻击者或病毒很容易取得系统最高权限，然后可以对系统进行各种破坏，让用户无法上网，甚至对一些分区进行格式化操作，盗取用户的各种账号密码等。利用从网上下载的公开代码对未打补丁的系统进行攻击，成功率可以达到80%；稍作技术改进之后，攻击成功率接近百分之百。可以把WindowsXP操作系统漏洞大致分为两种类型：一类是由于系统设计的缺陷产生的漏洞。他们是源于系统设计的复杂性而出现的疏忽和缺陷。这种漏洞在被微软发现并发布补丁之前，极有可能被不法分子所利用，对别人的计算机进行恶意攻击，甚至制作出危害极大且短时间内难以抵挡的恶性计算机病毒。例如UPnP（Universal Plug and Play，通用即插即用软件）的漏洞问题，UPnP服务可以导致著名的“缓冲区溢出”漏洞，由于UPnP服务运行在系统的上下文，攻击者如果利用漏洞成功，可以完全控制主机。更为严重的是SSDP服务器程序同样也监听广播和多播接口，所以攻击者可以同时攻击多个机器而不需要知道单个主机的IP地址。这种系统设计漏洞的存在，往往会令用户在不觉中就已经受到攻击和侵害。对于一般用户来说，这种类型的漏洞是最难以防范的，因为在漏洞被公布之前，他们根本难以知情，更不要说防范。另一种可以称为功能性漏洞。WindowsXP在易用性、多功能，尤其是网络共享和远程帮助等方面下了很大功夫，但是，很多的功能在方便用户的同时，也留下了可以被入侵者利用的漏洞和后门。著名的IPC攻击就是网络共享功能留下漏洞的例子，Windows XP在默认安装后允许任何用户通过空用户连接（IPC）得到系统所有账号和共享列表，这本来是为了方便局域网用户共享资源和文件的，但是任何一个远程用户都可以利用这个空的连接得到你的用户列表。黑客就可以利用这项功能，查找系统的用户列表，并使用暴力密码破解工具，对系统进行攻击。其他的像远程协助功能所使用的RPC（Remote Procedure Call）服务可以导致“冲击波”病毒的攻击，以及由于用户管理功能产生的Administrator超级用户管理漏洞问题，都给系统安全带来了极大的隐患。WindowsXP下的服务程序都遵循SCM (Service Control Manager，服务控制管理器)的接口标准，它们会在登录系统时自动运行，并为各类应用程序提供支持，是WindowsXP所有功能实现的基础。相当数量的系统漏洞都是由于系统服务方面的缺陷产生的，而更多的，是基于系统服务来实现的，因此，对于WindowsXP的运行基础服务程序，我们不得不加以格外重视。如果到互联网上搜索一下，可以看到很多关于“关闭垃圾服务”这样的话题。事实上，经过4年来无数用户的使用和研究，WindowsXP的系统服务程序的各项功能已经得到深入的解析，从结果来看，确实有着相当数量的对一般用户没有价值的服务也就是“垃圾服务”存在，更为严重的，是存在着相当多的不仅对一般用户没有意义、甚至可以被黑客所利用的不安全服务，例如UpnP、Telnet（允许远程用户登录到计算机并运行程序）、Remote registry（允许远程注册表运行修改）等等，更有甚者，现在的黑客已经充分利用到服务程序高高在上的系统地位，利用系统服务的漏洞，或者将病毒程序、木马等设计成系统服务级程序，甚至是用这种程序取代原有的系统服务，以躲过杀毒软件和防火墙的监视，这就是黑客常用的“后门”手段。因此，深入了解系统服务及其配置，是做好系统安全的重中之重。2防御技术和方案根据windows系统提供的策略机制进行设置，提高windows系统的安全性。2.1 账号安全策略（1）用户安全设置检查用户账号，停止不需要的账号，建议更改默认的账号名。1）禁用Guest账号在计算机管理的用户里面把Guest账号禁用。为了保险起见，最好给Guest加一个复杂的密码。 2）限制不必要的用户 去掉所有的Duplicate User用户、测试用户、共享用户等等。用户组策略设置相应权限，并且经常检查系统的用户，删除已经不再使用的用户。 3）创建两个管理员账号创建一个一般权限用户用来收信以及处理一些日常事物，另一个拥有Administrator权限的用户只在需要的时候使用。 4）把系统Administrator账号改名Windows XP的Administrator用户是不能被停用的，这意味着别人可以一遍又一遍地尝试这个用户的密码。尽量把它伪装成普通用户，比如改成Guesycludx。 5）创建一个陷阱用户创建一个名为“Administrator”的本地用户，把它的权限设置成最低，什么事也干不了的那种，并且加上一个超过10位的超级复杂密码。 6）把共享文件的权限从Everyone组改成授权用户 不要把共享文件的用户设置成“Everyone”组，包括打印共享，默认的属性就是“Everyone”组的。 7）不让系统显示上次登录的用户名 打开注册表编辑器并找到注册表项HKLMSoftwaremicrosoftWindowsTCurrentVersionWinlogonDont-DisplayLastUserName，把键值改成1。 8）系统账号/共享列表 Windows XP的默认安装允许任何用户通过空用户得到系统所有账号/共享列表，这个本来是为了方便局域网用户共享文件的，但是一个远程用户也可以得到你的用户列表并使用暴力法破解用户密码。可以通过更改注册表Local_MachineSystemCurrentControlSetControlLSA-RestrictAnonymous = 1来禁止139空连接，还可以在Windows XP的本地安全策略（如果是域服务器就是在域服务器安全和域安全策略中）就有这样的选项RestrictAnonymous（匿名连接的额外限制）。还可以在Windows XP的本地安全策略（如果是域服务器，就是在域服务器安全和域安全策略中）就有这样的选项RestrictAnonymous（匿名连接的额外限制），这个选项有三个值： 0：None. Rely on default permissions（无，取决于默认的权限） 0这个值是系统默认的，什么限制都没有，远程用户可以知道你机器上所有的账号、组信息、共享目录、网络传输列表等等，对服务器来说这样的设置非常危险。 1：Do not allow enumeration of SAM accounts and shares（不允许枚举SAM账号和共享） 1这个值是只允许非NULL用户存取SAM账号信息和共享信息。 2：No access without explicit anonymous permissions（没有显式匿名权限就不允许访问） 2这个值是在win2000中才支持的，如果不想有任何共享，就设为2。一般推荐设为1。 （2）开启密码策略密码对系统安全非常重要.本地安全设置中的密码策略在默认的情况下都没有开启打开管理工具-本地安全设置-密码策略，设置密码策略：密码复杂性要求启用密码长度最小值6位密码最长存留期15天强制密码历史5个设置密码策略设置选项。(3)开启帐户策略开启帐户策略可以有效的防止字典式攻击.策略设置复位帐户锁定计数器30分钟帐户锁定时间30分钟帐户锁定阈值5次2.2网络安全策略（1）关闭不必要的端口 关闭端口意味着减少功能，在安全和功能上面需要你做一点决策。具体方法为：打开“ 网上邻居/属性/本地连接/属性/internet 协议(TCP/IP)/属性/高级/选项/TCP/IP筛选/属性” 打开“TCP/IP筛选”，添加需要的TCP、UDP协议即可。 1） 关闭自己的139端口，ipc和RPC漏洞存在于此。关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。2）445端口的关闭修改注册表，添加一个键值：HKEY_LOCAL_MACHINESystemCurrentControlSetServicesNetBTParameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为0这样就ok了。3）3389的关闭XP：我的电脑上点右键选属性-/远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。4）4899的防范网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。（2）删除本地共享资源1）查看本地共享资源运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。2）删除共享net share admin$ /deletenet share c$ /deletenet share d$ /delete（如果有e，f，可以继续删除）3）删除ipc$空连接在运行内输入regedit，在_blank/注册表中找到：HKEYLOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。（3） 防止RPC漏洞打开管理工具服务找到RPC(Remote Procedure Call (RPC) Locator)服务将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。XP SP2和2000 pro sp4，均不存在该漏洞。2.3应用安全策略设置（1）禁用服务若PC没有特殊用途，基于安全考虑，打开控制面板，进入管理工具服务，关闭以下服务：.Alerter通知选定的用户和计算机管理警报.ClipBook启用“剪贴簿查看器”储存信息并与远程计算机共享.Distributed File System将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无法访问共享.Distributed Link Tracking Server适用局域网分布式链接.Indexing Service提供本地或远程计算机上文件的索引内容和属性，泄露信息.Messenger警报.NetMeeting Remote Desktop Sharingnetmeeting公司留下的客户信息收集.Network DDE为在同一台计算机或不同计算机上运行的程序提供动态数据交换.Network DDE DSDM管理动态数据交换 (DDE) 网络共享.Remote Desktop Help Session Manager管理并控制远程协助.Remote Registry使远程计算机用户修改本地注册表.Routing and Remote Access在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息.Server支持此计算机通过网络的文件、打印、和命名管道共享.TCP/IPNetBIOS Helper提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享文件、打印和登录到网络.Telnet允许远程用户登录到此计算机并运行程序.Terminal Services允许用户以交互方式连接到远程计算机.Window s Image Acquisition (WIA)照相服务，应用与数码摄象机如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。（2）本地策略这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。(虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的)打开管理工具找到本地安全设置.本地策略.审核策略.审核策略更改 成功失败.审核登陆事件 成功失败.审核对象访问 失败.审核跟踪过程 无审核.审核目录服务访问 失败.审核特权使用 失败.审核系统事件 成功失败.审核帐户登陆时间 成功失败.审核帐户管理 成功失败然后再到管理工具找到事件查看器：应用程序：右键/属性/设置日志大小上限，我设置了50mb，选择不覆盖事件安全性：右键/属性/设置日志大小上限，我也是设置了50mb，选择不覆盖事件系统：右键/属性/设置日志大小上限，我都是设置了50mb，选择不覆盖事件【实验内容】（1） 账号安全策略设置。（2） 网络安全策略设置。（3） 应用安全策略设置。【实验设备与环境】（4） 一台PC机或SimpleNAD网络攻防实验教学系统。（5） PC机安装WindowsXP SP2操作系统。（6） 局域网环境。【实验方法步骤】1设置账号安全策略 从账户安全策略和密码安全策略分别进行设置。（1）开启帐户策略在开始-运行中输入gpedit.msc，回车，出现组策略窗口。如图7.1组策略。图7.1组策略选择计算机配置windows设置，在右侧的窗口中出现账户策略，本地策略、公钥策略和软件限制策略等。如图7.2。图7.2安全设置选择账户策略账户锁定策略，如图7.3。图7.3账户策略可设置为如图7.4设置账户策略的策略，开启帐户策略可以有效的防止字典式攻击。l 复位帐户锁定计数器30分钟在此后复位帐户锁定计数器此安全设置确定在某次登录尝试失败之后将登录尝试失败计数器重置为 0 次错误登录尝试之前需要的时间。可用范围是 1 到 99,999 分钟。如果定义了帐户锁定阈值，此重置时间必须小于或等于帐户锁定时间。默认值: 无，因为只有在指定了帐户锁定阈值时，此策略设置才有意义。l 帐户锁定时间30分钟帐户锁定时间此安全设置确定锁定帐户在自动解锁之前保持锁定的分钟数。可用范围从 0 到 99,999 分钟。如果将帐户锁定时间设置为 0，帐户将一直被锁定直到管理员明确解除对它的锁定。如果定义了帐户锁定阈值，则帐户锁定时间必须大于或等于重置时间。默认值: 无，因为只有在指定了帐户锁定阈值时，此策略设置才有意义。l 帐户锁定阈值5次帐户锁定阈值此安全设置确定导致用户帐户被锁定的登录尝试失败的次数。在管理员重置锁定帐户或帐户锁定时间期满之前，无法使用该锁定帐户。可以将登录尝试失败次数设置为介于 0 和 999 之间的值。如果将值设置为 0，则永远不会锁定帐户。在使用 Ctrl+Alt+Del 或密码保护的屏幕保护程序锁定的工作站或成员服务器上的密码尝试失败将计作登录尝试失败。默认值: 0。图7.4设置账户策略（2）开启密码策略密码对系统安全非常重要，本地安全设置中的密码策略在默认的情况下都没有开启。参见图7.5，选择密码策略。图7.5密码策略可进行如图7.7的密码策略设置：l 密码复杂性要求启用密码必须符合复杂性要求。此安全设置确定密码是否必须符合复杂性要求。如果启用此策略，密码必须符合下列最低要求： 不能包含用户的帐户名，不能包含用户姓名中超过两个连续字符的部分 至少有六个字符长包含以下四类字符中的三类字符： 英文大写字母(A 到 Z) 英文小写字母(a 到 z) 10 个基本数字(0 到 9) 非字母字符(例如 !、$、#、%)在更改或创建密码时执行复杂性要求。默认值:在域控制器上启用。在独立服务器上禁用。注意: 默认情况下，成员计算机沿用各自域控制器的配置。策略启用后，尝试新建一个用户test，密码设置为123456，会出现如图7.6的出错提示。图7.6l 密码长度最小值6位最短密码长度。此安全设置确定用户帐户密码包含的最少字符数。可以将值设置为介于1和14个字符之间，或者将字符数设置为0，以确定不需要密码。默认值:在域控制器上为 7。在独立服务器上为 0。注意: 默认情况下，成员计算机沿用各自域控制器的配置。l 密码最长存留期15天密码最长使用期限此安全设置确定在系统要求用户更改某个密码之前可以使用该密码的期间(以天为单位)。可以将密码设置为在某些天数(介于1到9