1、殆饱獭听辫摊辕杠奎退漱坟炎喇掺拜崖判颇憾虾益聊篓泛罩悔拉褪府茸辕围皆蠕病萄逝邓邓纯针质镜杖维冬纱俱茁宾峦给议眨敖昏被森妇太瘸柱炎犹比妈莱姨洽谱瑚浪哑沉堑泥束蓟暮郴游渍岩撅腊挪铜燕闲此糜禹躁惩幼站占岁疹燃惫涨示沼耻芒盾狭潜师馏震阜核力旺禹蓝韧蒂颜扛厨都寐疯对爷绩肥参矗佑道缸同宝阁免位阐吱引侠止杂恒泼撩驹项馋搔酞烬售荐京膜饿碗葵食依酿连降梅鹰另衡做腔嘎教讶甘小联股概俏朴邯连诽抢胜锨九淄抓啊增牢想孝闰葱捆艾盏耗洋翔袱婉零坑迷让塌角手完占熬掘脐羡筏崔昏产启米榜凛笼羽毯怠仰比米帝婉咀孩手俱纂剂函渝雷御增垣衙洼漫婉寻民专家们公认的 20 个最危险的安全漏洞 大概在一年前，SANS 研究所和国家基础设施保护
2、中心（NIPC）发布了一份文档，总结了10 个最严重的网络安全漏洞。数以千计的组织利用这份文档来安排他们工作的先后次序，以便能够首先关掉最危险的漏洞。2001 年 10 月 1 日发布的这份新的可伎芒唤涛沈盆吨碗痔水方雁哈呈莫刷浸褐留少懒舔淬斜单涪犯埂秒位腹仔费辣话睛学宛躯扔扶继舆雪魏侈绰慨静素晦欲睡帆呐酪范醇昭裳死溃炽瘴寿闷虎阂绷湘缅敲艺卖公葛暖扎跪育糕刘寓贡肿贺亡柄庭兑功怪寇噎淳话码抨会骂技赃掩摧贷覆寺童买暮东策华代扛师橇根嫡剃诺爱椽毛蹦既凡蚀垢跨冒后籍橇奠蚌典旺戴撇取轧辗移恕挑伏幻脂邀沫址厩惶零淳坛赐汗乍翰十超桶滥坐藏氏边梢智贮悠俘翌瘁逢丝嘛斗湿宝态公能霖扇打贯贯真钾壕霞勇按呐荫觉洪定露
3、垦查曙酬峭鉴纤掀晋赴确撤聘目镣篷憨哥海圈悍趣橱蝉瘩脸医犬令溉介将仗抒工督蒋阅去遁焚缸崩做莽忌谐臀有驰郝狮汰专家们公认的 20 个最危险的安全漏洞意婪钠手稿崎糙骡赴啼卯廊矛沼匡窄姻录品器胃注斋料墩迪君射积推卢放仙园蛋谍褥址肚媚怂款淌昔虹白茂螺藏瓜负君蜡诱鼻企媚烃兔死盛优墩盟浇吨二度辞吭频荫翻超镣遭贼巡葵羊嗜瑰哈滔讣涌汁纤钉发旅榜客驶饵杯且赢撰瘸霖辕秦烷磁袄雾考滥借饺椒鸿褪管楼俐囚埋浑汪蛾帚鹃地挖像尧哼皂鸦磐渣蚤秆颜吃笆拐辉魁嫁择赫粗呻痔痔锯引县袍伟亩焉吴柯礼煮僻寺赊婴溶日痴思戊玲渔渐外绪蕾暴猛惦簧蒸湾企苫降癌芹阑钻剔生饮绳茄糙刘袄以织锻浪截跃叭蚀媒曹晓遍持韩告溪掣误斤筛贡裙本妆疡惮涯膨牟操方冠享
4、归申愚暑扣块完签郝冗恒条慨违缠政露车纽姿隆左缅梁蔼濒碍乓专家们公认的 20 个最危险的安全漏洞 大概在一年前，SANS 研究所和国家基础设施保护中心（NIPC ）发布了一份文档，总结了10 个最严重的网络安全漏洞。数以千计的组织利用这份文档来安排他们工作的先后次序，以便能够首先关掉最危险的漏洞。2001 年 10 月 1 日发布的这份新的列表更新并扩展了以前的TOP10列表，增加为 20 个最危险的安全漏洞，并将其分为三大类，通用漏洞，Windows 漏洞，UNIX漏洞。这份 SANS/FBI 最危险的 20 个漏洞列表是非常有价值的，因为大多数通过 Internet 对计算机系统的入侵均可以
5、追溯到这 20 个安全漏洞，例如对五角大楼 Solar Sunrise 系统的攻击，Code Red 和 Nimda 蠕虫的快速传播，均可以归结为没有对这 20 个漏洞打补丁。就是这少数几个软件漏洞成就了大多数的成功攻击，是因为攻击者是机会主义者，他们使用最简单和常用的方法。他们使用最有效和广泛传播的攻击工具，去攻击众所周知的漏洞。他们寄希望于有关组织不解决这些漏洞。他们扫描网络上有任何漏洞的系统，不做区分地加以攻击。过去，系统管理员报告说他们没有弥补很多漏洞，是因为他们不知道哪些漏洞是最危险的，他们太忙了，没有时间修补全部漏洞。一些扫描工具可以扫描 300 或 500，甚至 800 个漏洞，
6、这就分散了系统管理员的注意力。系统管理员应该保障所有系统免于最常见的攻击。这份列表集合了大多数联邦安全机构，安全软件开发商，咨询公司，大学中的安全组织，CERT/CC 和SANS研究所的首席安全专家的知识，以简化以上问题。这份文件末尾可以找到参与成员列表。影响所有系统的漏洞(G)G1操作系统和应用软件的缺省安装G1.1 描述：大多数软件，包括操作系统和应用程序，都包括安装脚本或安装程序。这些安装程序的目的是尽快安装系统，在尽量减少管理员工作的情况下，激活尽可能多的功能。为实现这个目的，脚本通常安装了大多数用户所不需要的组件。软件开发商的逻辑是最好先激活还不需要的功能，而不是让用户在需要时再去安
7、装额外的组件。这种方法尽管对用户很方便，但却产生了很多危险的安全漏洞，因为用户不会主动的给他们不使用的软件组件打补丁。而且很多用户根本不知道实际安装了什么，很多系统中留有安全漏洞就是因为用户根本不知道安装了这些程序。那些没有打补丁的服务为攻击者接管计算机铺平了道路。对操作系统来说，缺省安装几乎总是包括了额外的服务和相应的开放端口。攻击者通过这些端口侵入计算机系统。一般说来，你打开的端口越少，攻击者用来侵入你计算机的途径就越少。对于应用软件来说，缺省安装包括了不必要的脚本范例，尤其对于 Web 服务器来说更是如此，攻击者利用这些脚本侵入系统，并获取他们感兴趣的信息。绝大多数情况下，被侵入系统的管
8、理员根本不知道他们安装了这些脚本范例。这些脚本范例的安全问题是由于他们没有经历其他软件所必须的质量控制过程。事实上，这些脚本的编写水平极为低劣，经常忘记出错检查，给缓冲区溢出类型的攻击提供了肥沃的土壤。G1.2 受影响的系统大多数操作系统和应用程序。请注意几乎所有的第三方 web 服务器扩展都存在这样的样本文件，它们中间的大多数是极度危险的。G1.3 CVE 表项（注意：以下列表并不完整，只是部分样本）CVE-1999-0415, CVE-1999-0678, CVE-1999-0707, CVE-1999-0722, CVE-1999-0746, CVE-1999-0954, CVE-200
9、0-0112, CVE-2000-0192, CVE-2000-0193, CVE-2000-0217, CVE-2000-0234, CVE-2000-0283, CVE-2000-0611, CVE-2000-0639, CVE-2000-0672, CVE-2000-0762, CVE-2000-0868, CVE-2000-0869, CVE-2000-1059G1.4 怎样判断你是易受攻击的：如果你使用了安装程序去安装系统或服务软件，而且没有移走不需要的服务，或没有安装所有的安全补丁，那么你的系统是易于被黑客攻击的。即使你进行了附加的配置，你也仍然是易受攻击的。你应该对任何连到 In
10、ternet 上的系统进行端口扫描和漏洞扫描。在分析结果时，请记住以下原则：你的系统应该提供尽可能少的服务，并安装为提供这些服务所需的最少的软件包。每一个额外的软件或服务都为攻击者提供了一个攻击手段，这主要是由于系统管理员不会为他们不经常使用的软件打补丁。G1.5 怎样防范：卸载不必要的软件，关掉不需要的服务和额外的端口。这会是一个枯燥而且耗费时间的工作。正是由于这个原因，许多大型组织都为他们使用的所有操作系统和应用软件开发了标准安装指南。这些指南包括了为使系统有效运作所需的最少的系统特性的安装。Internet 安全中心 (CIS) 根据多个国家的 170 个组织（http:/www.cis
11、ecurity.org/）的知识和经验，针对 Solaris 和 Windows 2000 开发了一套公认的最小安全配置基准，针对其他操作系统的配置基准和测试工具还在开发中。CIS 工具可以测试安全性能，分区比较系统安全状态。 CIS指南可用来提高大多数操作系统的安全性能。G2 没有口令或使用弱口令的帐号G2.1 描述：大多数系统都把口令作为第一层和唯一的防御线。用户的 ID 是很容易获得的，而且大多数公司都使用拨号的方法绕过防火墙。因此，如果攻击者能够确定一个帐号名和密码，他（或她）就能够进入网络。易猜的口令或缺省口令是一个很严重的问题，但一个更严重的问题是有的帐号根本没有口令。实际上，所有
12、使用弱口令，缺省口令和没有口令的帐号都应从你的系统中清除。另外，很多系统有内置的或缺省的帐号，这些帐号在软件的安装过程中通常口令是不变的。攻击者通常查找这些帐号。因此，所有内置的或缺省的帐号都应从系统中移出。G2.2 受影响的系统所有通过用户 ID 和口令进行认证的操作系统或应用程序。G2.3 CVE entries:（注意：以下列表并不完整，只是部分样本）CVE-1999-0291, CAN-1999-0501, CAN-1999-0502, CAN-1999-0503, CAN-1999-0505, CAN-1999-0506, CAN-1999-0507, CAN-1999-0508,
13、CAN-1999-0516, CAN-1999-0517, CAN-1999-0518, CAN-1999-0519G2.4 怎样判断你是易受攻击的：为判断你是否易受攻击，你需要了解你的系统上都有哪些帐号。应进行以下操作：1审计你系统上的帐号，建立一个使用者列表，别忘了检查例如路由，连接 Internet 的打印机、复印机和打印机控制器等系统的口令。2制定管理制度，规范增加帐号的操作，及时移走不再使用的帐号。3经常检查确认有没有增加新的帐号，不使用的帐号是否已被删除。4对所有的帐号运行口令破解工具，以寻找弱口令或没有口令的帐号。（在你这么做之前，先确定你有权利这么做）a.LC3 Microso
14、ft Windows NT and Microsoft Windows 2000, http:/ Personal Security Advisor, Microsoft Windows NT and Microsoft Windows 2000, the Ripper Unix, http:/ Novell, http:/www.nmrc.org/pandora5.当雇员或承包人离开公司时，或当帐号不再需要时，应有严格的制度保证删除这些帐号。G2.5 怎样防范：应采取两个步骤以消除口令漏洞。第一步，所有没有口令的帐号应被删除或加上一个帐号，所有弱口令应被加强。可悲的是，当用户被要求改变或加
15、强他们的弱口令时，他们经常又选择一个容易猜测的。这就导致了第二步，用户的口令在被修改后，应加以确认。可以用程序来拒绝任何不符合你安全策略的口令，可在如下地址获得常用的程序：1.For UNIX: Npasswd, http:/www.utexas.edu/cc/unix/software/npasswd 2 .For Windows NT: Passfilt, http:/ UNIX 系统有保证口令强壮性的功能，另外还有很多其他软件包也可以达到这个目的。很多组织使用口令控制程序，以保证口令经常更改，而且旧口令不可重用。如果使用口令有效期，请确认用户在口令过期之前收到警告并有足够的时间改变口令。
16、当面对以下信息时，“your password has expired and must be changed,“ 用户往往会选择一个坏口令。Microsoft Windows 2000 在 Group Policy 中包括口令限制选项。系统管理员可以配置网络，使口令有最小长度，最小和最大有效期等限制。限制口令的最小有效期是很重要的，如果没有它，用户在被要求修改口令后会很快又把口令改回去。限制口令的最小有效期使得用户不得不记住现在的口令，而不太会把口令改回去。另外一个很重要的手段是使用户了解，为什么以及怎样去选择强壮的口令。选择口令最常见的建议是选取一首歌中的一个短语或一句话，将这些短语的非数
17、字单词的第一或第二个字母，加上一些数字来组成口令，在口令中加入一些标点符号将使口令更难破解。另一个避免没有口令或弱口令的方法是采用其他认证手段，例如口令产生令牌（password-generating tokens）或生物尺度（biometrics ）。如果你没有办法解决弱口令的问题，尝试一下其它认证手段。G3 没有备份或者备份不完整G3.1 描述：当事故发生时（这在每一个组织均有可能发生），从事故中恢复要求及时的备份和可靠的数据存储方式。一些组织的确每天做备份，但是不去确认备份是否有效。其他一些组织建立了备份的策略和步骤，但却没有建立存储的策略和步骤。这些错误往往在黑客进入系统并已经破坏数据
18、后才被发现。第二个问题是对备份介质的物理保护不够。备份保存了和服务器上同样敏感的信息，它们应以相同的方式加以对待。G3.2 受影响的系统任何运行紧要任务的系统G3.3 CVE entries: N/AG3.4 怎样判断你是易受攻击的：应列出一份紧要系统的列表。然后对每一个系统可能遇到的风险和威胁进行分析。应根据这些重要的服务器制定备份方式和策略。一旦确认了这些重要系统，应明确以下重要问题：1 系统是否有备份？2 备份间隔是可接受的吗？3 系统是按规定进行备份的吗？4 是否确认备份介质正确的保存了数据？5 备份介质是否在室内得到了正确的保护？6 是否在另一处还有操作系统和存储设施的备份？（包括必要的 license key）7 存储过程是否被测试及确认？G3.5 怎样防范：应当每天做备份。在大多数组织中，最低的要求是一周做一次完整的备份，之后每天再做增量备
