黑客怎么看待Windows文件服务器安全？

发表日期：2011-02-09 文章编辑：王东浏览次数：22 标签：

Windows文件效劳器在网络中的作用至关重要。它们承载了敏感文件、数据库和密码等等。当文件效劳器宕机的时分，网络很可能因而瘫痪，假如它们被毁坏，等于翻开了潘多拉魔盒。

　　下面是作者遇到过的文件效劳器被黑客攻击的真实案例。和大家分享所遇到的情形以及这些破绽是如何被应用来毁坏系统的——这些都是从一个黑客的角度来看的。这将协助你进一步理解在新闻中看到的关于系统破绽如何被应用以及分离详细的状况来理解平安问题——协助你从一个全新的角度来开端检测你的效劳器平安，你将会认识并非一切平安问题都是深不可测的。

　　第一步：发现一个没有装置的补丁

　　将一切你晓得的微软重要平安更新都装置上，然后用我最喜欢的几个破绽探测工具停止扫描。你会发现一定还有可能被攻击的破绽存在。

　　你会常常发现，大多数Windows文件效劳器平安破绽问题都是由于忘了装置补丁招致的，这种状况常常在网络内部就会招致攻击。这很大水平上要归咎于许多网络在内部没有部署入侵维护系统——一切内部衔接都是被信任的。假如你公司里面有不法分子试图控制你的Windows效劳器，那就费事了。

　　让我们从一个内部攻击者的角度来看看一个忘了打windows补丁的破绽是怎样被发现的。他所需求的只是一个内部网络的衔接和几个能够免费下载的平安工具：NeXpose Community edition 和 Metasploit。

　　以下就是详细步骤：

　　有不良企图的用户经过装置NeXpose来扫描网络——或者他所晓得的一系列重要效劳器——扫描破绽。

　　接着他发现了一个文件效劳器的MS08-067破绽允许‘恣意代码’执行，这看起来真实有点可笑。

　　然后这个用户进入Metasploit的检测清单页面能够看到该破绽。

　　接着他下载并装置Metasploit,添加一些参数，然后创立能够完整访问你的效劳器的命令，如下图所示。

　　图1.用Metasploit检查MS08-067破绽

　　这在有破绽的Windows系统和相关应用上能够被一再反复操作，哪怕你一点都不理解。想想这可能形成的毁坏有多可怕吧：删除文件，复制备份SAM数据库和敏感文件，添加/删除用户，等等。假如你有放在公网上供公共访问的效劳器却没有防火墙维护，相同类型的攻击也可能经过INTERNET发作。

　　另外很重要的是要记住上面提到的网络衔接能够经过一个不平安的无线网络获得。一个常见的例子是能够经过本来提供应仓库中的扫描设备运用的无线热点直接衔接到你的网络中。不论它们是运用WEP、WPA或者其它的加密方式来保证这些扫描设备的平安性，任何在一定间隔范围内(常常是在你的停车场里或者旁边的大楼)的设备都能随便的接入你的网络从而展开攻击。

　　第二步：嗅探网络获得有用信息

　　说到不平安的无线网络，有歹意的外来攻击者潜入你的网络获得敏感信息普通是应用一些无线网络剖析工具，如CommView for WiFi 或者 AirMagnet WiFi Analyzer。另外，假如攻击者能够取得一个你网络的物理衔接(或者是一个被信任的用户)，他就能用工具来停止ARP攻击，这能够让他穿透你的以太网‘平安’控制并从你的网络中拿到任何他想要的东西。

　　为什么要攻击一个文件效劳器就必需做这个呢?很简单，攻击者能够很容易地经过SMB、POP3、WEB、FTP和windows认证对话来获得密码然后用它做为一个非法的直接链接来访问你的文件效劳器。

　　图2.应用如Cane%Abel这样的工具能够轻松或者密码

第三步：获得敏感文件
　　我一再反复这个话题由于问题看起来越来越糟糕。问题在于这些存储在没有维护的共享效劳器上的敏感信息能够被网络中的任何人随意访问——典型的是那些公共文件夹。为什么?我的见地是网络管理员常常有太多的信息需求管理，而且用户也常常对他们的文件做一些草率的操作。当然，关于企业管理层来说，毫无疑问个人身份信息的平安管理是十分重要的。
　　下面是可能发作的事情：
　　一个具有规范域权限的用户(或者是一个获得了某个合法用户权限的黑客)扫描网络以找到共享文件。比方GFI LANguard就能够带来这问题，它内置了一个查找共享资源的工具。
　　他找到共享资源然后尝试一个一个的衔接它们。
　　他发现文件真实是太多了，然后决议用windows阅读器的搜索功用来挑选，或者更快更强大的工具如Effective File Search (EFS)来寻觅敏感信息。
　　攻击者搜索.doc,.xls,.txt和相似的文本文件包含关键字如“ssn”，“dob”“confidential”等等。毫无疑问地，只需他搜索到的文件不是成百上千个，他一定会找到一些有用的东西。
　　他将这些信息复制出来，然后用这些偷来的权限来进一步毁坏，比方卖给他们的竞争者等等。
　　再反复一次，本人测试一下这个问题，你会发现我所说的一点不假。用什么工具来寻觅你要的文档类型和关键字都能够。假如你的文件效劳器是供公共访问的(普通状况是制止这样的，但是我见到很多这样的)，那么黑客可用用google queries做很多事情来获得敏感的效劳器信息。要测试这一点，我倡议用Acunetix\'s Web Vulnerability Scanner，它内置一个google攻击数据库(GHDB)扫描功用。
　　第四步：停止间接影响文件效劳器平安的攻击
　　最后，很容易就能够在你的网络中找到其它破绽也很容易间接形成文件效劳器被支配和攻击。这些大多数是由于物理设备平安问题。
　　我想说的一个严重问题是，一些数据中心中的设备的网页管理界面能够被一切用户访问，包括任何在别的大楼中经过不平安的无线网络衔接进来的用户。更糟糕的是，这个数据中心管理应用是用默许的用户和密码运转的。这意味着一旦你登陆上去，能够将门禁感应禁用，平安正告发送能够被更改，日志文件也能更改，等等。这对黑客来说，是多么好的方式来掩盖攻击的痕迹。
　　我还曾见过很屡次文件效劳器被完整公共开放(典型的在繁忙的金融公司，医疗机构，网络被完整开放给本地业务系统)。我说的是完整没有平安控制的网络环境——以至连最根本的物理设备平安控制都没有。这些效劳器常常连屏幕都不锁定，这很容易招致管理员后门。
　　黑客还能获知系统内部的关联，这样他们就能在没有人的时分进入系统盗取需求的信息。破解Windows文件效劳器很难?由于硬盘都是不加密的，黑客要做的只是用一些如Ophcrack Live CD 或 ElcomSoft System Recovery这样的工具来破解或者重置系统密码，包括管理员密码。这就是为什么我要倡议将效劳器硬盘加密的缘由，它简直是最后一道防线了。
　　最后——不要闲坐着
　　请切记假如黑客能够这么做，那么你本人也应该测试操作一遍。你能够本人尝试攻击一下你的windows文件效劳器——以歹意的方式——来看看从没有限制的网络内部和外局部别能做些什么。请记住停止这些测试要留意方式办法，这样能够保证你用正确的方式，在适宜的时间，用适宜的工具，等等。