黑客是怎样攻击服务器的（上）

黑客是怎样攻击服务器的（上）
1 }/ I. H% S. H1 }  t5 C/ k　　                      文：Saumil Udayan Shah  
                                译：杨宴雷  

! g' c7 [8 R; ^: n2 v  w??Web服务器将成为下一代黑客施展妖术的对象。在很大程度上，进行这种攻击只需一个
Web浏览器和一个创造性的头脑。以前，黑客的攻击对象集中在操作系统和网络协议上，但
" y8 b; h: V" [: A; }5 P$ p6 t随着这些攻击目标的弱点和漏洞逐渐得到修补，要进行这类攻击已经变得非常困难。操作系
$ ?$ V: P/ l3 T统正在变得更加稳健，对攻击的抵抗能力日益提高。随着身份验证和加密功能渐渐被内置到
网络协议中，网络协议也变得更加安全。此外，防火墙也越来越智能，成为网络和系统的外
  C4 t7 c1 A1 r; A9 {% ]+ E9 {部保护屏障。  

??另一方面，电子商务技术正在日益普及开来，其复杂性有增无减。基于Web的应用程序
8 {* Q7 k3 p  P- u正在与基本的操作系统和后端数据库更加紧密地集成在一起。遗憾的是，人们在基于Web
的基础设施安全性方面所做的工作还很不够。Web服务器和Web应用程序中的弱点被发现的
速度为何这么快呢？  
& j& f% X1 G! |0 s
??有很多因素促成了这种Web黑客活动的快速增加。其中最主要的原因是防火墙允许所有
的Web通信都可以进出网络，而防火墙无法防止对Web服务器程序及其组件或Web应用程序
的攻击。第二个原因是，Web服务器和基于Web的应用程序有时是在"功能第一，安全其次"
* R' d2 d& W; Y8 m的思想指导下开发出来的。  

# t4 @4 l9 c8 a# d8 T??当您的Web服务器面临巨大威胁时，怎样保障它们的安全呢？这就需要您不断了解新信
" T! o8 L$ N6 I$ C; i0 c息，新情况，每天跟踪您所用服务器的有关网站，阅读相关新闻并向它进行咨询。为了让你
. n- _7 l* u4 m1 s, \. ]着手这方面的工作，下面介绍黑客对NT系统的四种常用攻击手段，同时介绍如何防止这类
& W- C& u; v) X8 h攻击。  
3 L& R) h$ S: A
Microsoft IIS ism.dll缓冲区溢出  
受影响的服务器：运行IIS 4.0并带有"Service Pack 3/4/5"的Windows NT服务器  
, Q9 O! h. g1 I- u
( P7 O/ D% a- y. O$ `: q??Microsoft IIS缓冲区溢出这一安全弱点是Web服务器无时不有的重大缺陷之一。该弱
, p% ]7 d6 y# S. o6 b' R8 U8 {点被称为IIS eEye，这个名称来自发现此问题的一个小组。在实施缓冲区溢出攻击时，黑
客向目标程序或服务输入超出程序处理能力的数据，导致程序突然终止。另外，还可以通过
* U* I; {- x, p( B$ @( {设置，在执行中的程序终止运行前，用输入的内容来覆盖此程序的某些部分，这样就可以在
3 Q- Y3 w6 p; [# W5 P服务器的安全权限环境下执行任意黑客命令。  
! p9 Z. D! b& ~( r4 ~
??eEye发现，IIS用来解释HTR文件的解释程序是ism.dll，它对缓冲区溢出攻击的抵抗
' o2 j& d5 q, U( {: a力十分脆弱。如果攻击者将一个以.htr结尾的超长文件名（大约3,000个字符，或更多）
6 U1 A& W4 J: n1 p传递给IIS，那么输入值将在ism.dll中造成输入缓冲区溢出，并导致IIS崩溃。如果攻击
# z, _9 o% D9 {* b3 `9 i: v者输入的不是一串字母而是可执行代码（通常称为"鸡蛋"或"外壳代码"），那么在IIS
终止之前将执行该代码。由eEye小组发现的这一攻击方法包括三个步骤：  

) k* K& W3 k; c, S１．创建一个用于侦听任意TCP端口上连接活动的程序。一旦接收到连接信号，该程序将执
行一个Windows命令外壳程序(cmd.exe)，并将该外壳与连接绑定在一起。这个程序是经过
修改的Netcat。Netcat是一个流行的网络连接实用程序，其源代码可以免费获得。  
% b% p6 H- ~* V+ k  K5 y% Y' H6 |２．在IIS的ism.dll中制造缓冲区溢出，并使IIS从外部Web站点下载侦听程序（由步骤
1产生）。  
. I" u5 S% G/ B& H! S３．执行刚下载的程序（由步骤2产生），该程序将等待传入的连接并使攻击者进入Windows
命令外壳程序中。  
% }+ X2 M: H. v3 B% t( \
??由于缓冲区溢出导致IIS在崩溃之前转而运行Windows命令外壳，所以该外壳程序将在
IIS的安全权限背景下运行，而该安全权限背景等价于NT Administrator权限。这样，攻
击者要做的只是与被攻击的IIS服务器的侦听端口建立连接，然后等着出现c:>提示就万事
大吉了。现在，攻击者拥有对整个NT服务器的管理权限，可以做任何事，比如，添加新用
户、修改服务器的内容、格式化驱动器，甚至将该服务器用作攻击其它系统的踏脚石。  

??运行IIS 4.0并带有"Service Pack 3/4/5"的Windows NT服务器容易受到此类攻击。
Microsoft已经发布了对该弱点的修补程序。Windows NT Service Pack 6也已经修补了该
问题。