許多上網(wǎng)用戶(hù)可能不太明白網(wǎng)絡(luò)服務(wù)器的具體用途，其實(shí)用戶(hù)在網(wǎng)絡(luò)里瀏覽網(wǎng)站、收發(fā)電子郵件、玩網(wǎng)絡(luò)游戲等，都是由網(wǎng)絡(luò)服務(wù)器提供的服務(wù)。當(dāng)一個(gè)用戶(hù)瀏覽某個(gè)網(wǎng)站時(shí)，首先會(huì)在地址欄里輸入一個(gè)網(wǎng)址（例如http://www.cnsker.com），這時(shí)，瀏覽器會(huì)向一臺(tái)域名服務(wù)器發(fā)送請(qǐng)求，而這臺(tái)域名服務(wù)器將在數(shù)據(jù)庫(kù)內(nèi)找到這個(gè)域名所對(duì)應(yīng)的IP地址，隨后向這條IP所對(duì)應(yīng)的服務(wù)器轉(zhuǎn)送請(qǐng)求，并把其位置告訴網(wǎng)站服務(wù)器。當(dāng)網(wǎng)站服務(wù)器收到信息后，將會(huì)把用戶(hù)所需要的資料反饋給用戶(hù)的瀏覽器，這樣用戶(hù)便可以瀏覽被反饋回來(lái)的內(nèi)容。如果網(wǎng)絡(luò)服務(wù)器沒(méi)有在數(shù)據(jù)庫(kù)中找到域名所對(duì)應(yīng)的IP或沒(méi)有找到可以反饋的資料，那么網(wǎng)絡(luò)服務(wù)器將向?yàn)g覽器發(fā)送一條指令，隨后用戶(hù)的瀏覽器會(huì)在本地找到相對(duì)應(yīng)的出錯(cuò)顯示頁(yè)面（如：該頁(yè)無(wú)法顯示）。這就是網(wǎng)絡(luò)服務(wù)器最常見(jiàn)的作用。
常用手段
很多時(shí)候黑客都會(huì)把網(wǎng)絡(luò)服務(wù)器當(dāng)作他們的攻擊目標(biāo)，通過(guò)進(jìn)入網(wǎng)絡(luò)服務(wù)器來(lái)達(dá)到他們的目的。要進(jìn)行有效地阻止，就需要先了那些黑客是用什么手段來(lái)進(jìn)入網(wǎng)絡(luò)服務(wù)器的，知道他們的攻擊方法后，才能有效地解決這些安全隱患。
先來(lái)介紹一下黑客常用的手段：
1. 網(wǎng)絡(luò)掃描——在Internet上進(jìn)行廣泛搜索，以找出特定計(jì)算機(jī)或軟件中的弱點(diǎn)。
2. 網(wǎng)絡(luò)嗅探程序——查看通過(guò)Internet的數(shù)據(jù)包，以捕獲口令或全部?jī)?nèi)容。通過(guò)安裝偵聽(tīng)器程序來(lái)監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)流，從而獲取連接網(wǎng)絡(luò)系統(tǒng)時(shí)用戶(hù)鍵入的用戶(hù)名和口令。
3. 拒絕服務(wù)——通過(guò)反復(fù)向某個(gè)Web站點(diǎn)的設(shè)備發(fā)送過(guò)多的信息請(qǐng)求，導(dǎo)致該設(shè)備無(wú)法完成應(yīng)有的網(wǎng)絡(luò)服務(wù)項(xiàng)目(例如電子郵件系統(tǒng)或聯(lián)機(jī)功能)，稱(chēng)為“拒絕服務(wù)”問(wèn)題。
4. 欺騙用戶(hù)——偽造電子郵件地址或Web頁(yè)地址，從用戶(hù)處騙得口令、信用卡號(hào)碼等。欺騙是用來(lái)騙取目標(biāo)系統(tǒng)，使之認(rèn)為信息是來(lái)自或發(fā)向其所相信的目的的過(guò)程。欺騙可在IP層及之上發(fā)生（地址解析欺騙、IP源地址欺騙、電子郵件欺騙等）。當(dāng)一臺(tái)主機(jī)的IP地址假定為有效，并為T(mén)cp和Udp服務(wù)所相信，利用IP地址的源路由，一個(gè)攻擊者的主機(jī)可以被偽裝成一個(gè)被信任的主機(jī)或客戶(hù)。
5. 特洛伊木馬——一種用戶(hù)察覺(jué)不到的程序，其中含有可利用一些軟件中已知弱點(diǎn)的指令。
6. 后門(mén)——為防原來(lái)的進(jìn)入點(diǎn)被探測(cè)到，留幾個(gè)隱藏的路徑以方便再次進(jìn)入。
7. 惡意小程序——微型程序，修改硬盤(pán)上的文件，發(fā)送虛假電子郵件或竊取口令。
8. 競(jìng)爭(zhēng)撥號(hào)程序——能自動(dòng)撥成千上萬(wàn)個(gè)電話號(hào)碼以尋找進(jìn)入調(diào)制解調(diào)器連接的路徑。邏輯炸彈是計(jì)算機(jī)程序中的一條指令，能觸發(fā)惡意操作。
9. 緩沖器溢出——向計(jì)算機(jī)內(nèi)存緩沖器發(fā)送過(guò)多的數(shù)據(jù)，以摧毀計(jì)算機(jī)控制系統(tǒng)或獲得計(jì)算機(jī)控制權(quán)。
10. 口令破譯——用軟件猜出口令。通常的做法是通過(guò)監(jiān)視通信信道上的口令數(shù)據(jù)包，破解口令的加密形式。
11. 社交工程——與公司雇員談話，套出有價(jià)值的信息。
12. 垃圾桶潛水——仔細(xì)檢查公司的垃圾，以發(fā)現(xiàn)能幫助進(jìn)入公司計(jì)算機(jī)的信息。
攻擊過(guò)程
以上知道了黑客是用什么手段來(lái)得到情報(bào)，下面介紹黑客攻擊服務(wù)器的常用過(guò)程：
1. 隱藏黑客的位置
典型的黑客會(huì)使用如下技術(shù)隱藏他們真實(shí)的IP地址：
利用被侵入的主機(jī)作為跳板；在安裝Windows的計(jì)算機(jī)內(nèi)利用Wingate軟件作為跳板；利用配置不當(dāng)?shù)腜roxy作為跳板。更老練的黑客會(huì)使用電話轉(zhuǎn)接技術(shù)隱蔽自己。他們常用的手法有：利用800電話的私人轉(zhuǎn)接服務(wù)聯(lián)接ISP，然后再盜用他人的賬號(hào)上網(wǎng)；通過(guò)電話聯(lián)接一臺(tái)主機(jī)，再經(jīng)由主機(jī)進(jìn)入Internet。
使用這種在電話網(wǎng)絡(luò)上的“三級(jí)跳”方式進(jìn)入Internet 特別難于跟蹤。理論上，黑客可能來(lái)自世界任何一個(gè)角落。如果黑客使用800號(hào)撥號(hào)上網(wǎng)，他更不用擔(dān)心上網(wǎng)費(fèi)用。
2. 網(wǎng)絡(luò)探測(cè)和資料收集
黑客通常利用以下手段得知位于內(nèi)部網(wǎng)和外部網(wǎng)的主機(jī)名。
使用nslookup 程序的ls命令；通過(guò)訪問(wèn)公司主頁(yè)找到其他主機(jī)；閱讀FTP服務(wù)器上的文擋；連接至mailserver并發(fā)送expn請(qǐng)求；Finger 外部主機(jī)上的用戶(hù)名。
在尋找漏洞之前，黑客會(huì)試圖搜集足夠的信息以勾勒出整個(gè)網(wǎng)絡(luò)的布局。利用上述操作得到的信息，黑客很容易列出所有的主機(jī)，并猜測(cè)它們之間的關(guān)系。
3. 找出被信任的主機(jī)
黑客總是尋找那些被信任的主機(jī)。這些主機(jī)可能是管理員使用的機(jī)器，或是一臺(tái)被認(rèn)為是很安全的服務(wù)器。首先，他會(huì)檢查所有運(yùn)行nfsd或mountd主機(jī)的NFS輸出。往往這些主機(jī)的一些關(guān)鍵目錄(如/usr/bin、/etc和/home)可以被那臺(tái)被信任的主機(jī)mount。
如果用戶(hù)經(jīng)常從某臺(tái)特定的主機(jī)上登錄，F(xiàn)inger daemon也可以被用來(lái)尋找被信任的主機(jī)和用戶(hù)。黑客還會(huì)檢查其他方式的信任關(guān)系。比如，可以利用CGI的漏洞，讀取/etc/hosts.allow 文件等。
分析完上述的各種檢查結(jié)果，黑客就可以大致了解主機(jī)間的信任關(guān)系。下一步，就是探測(cè)這些被信任的主機(jī)哪些存在漏洞，可以被遠(yuǎn)程侵入。
4. 找出有漏洞的網(wǎng)絡(luò)成員
當(dāng)黑客得到公司內(nèi)外部主機(jī)的清單后，就可以利用一些Linux掃描器程序?qū)ふ疫@些主機(jī)的漏洞。黑客一般尋找網(wǎng)絡(luò)速度很快的Linux主機(jī)運(yùn)行這些掃描程序。
所有這些掃描程序都會(huì)進(jìn)行下列檢查: TCP端口掃描；RPC服務(wù)列表；NFS輸出列表；共享(如samba、netbiox)列表；缺省賬號(hào)檢查；Sendmail、IMAP、POP3、RPC status和RPC mountd有缺陷版本檢測(cè)。
進(jìn)行完這些掃描，黑客對(duì)哪些主機(jī)有漏洞便有了一定的了解。如果路由器兼容SNMP協(xié)議，有經(jīng)驗(yàn)的黑客還會(huì)采用攻擊性的SNMP掃描程序進(jìn)行嘗試，或者使用“蠻力式”程序去猜測(cè)這些設(shè)備的公共和私有community strings。
5. 利用漏洞
當(dāng)黑客找到了所有被信任的外部主機(jī)，也找到了外部主機(jī)所有可能存在的漏洞，那么他的下一步就會(huì)開(kāi)始入侵主機(jī)。
首先，黑客會(huì)選擇一臺(tái)被信任的外部主機(jī)進(jìn)行嘗試。一旦成功侵入，黑客將從這里出發(fā)，設(shè)法進(jìn)入公司內(nèi)部網(wǎng)絡(luò)。但這種方法能否成功要看該公司內(nèi)部主機(jī)和外部主機(jī)間的過(guò)濾策略。攻擊外部主機(jī)時(shí)，黑客一般是運(yùn)行某個(gè)程序，利用外部主機(jī)上運(yùn)行有漏洞的daemon竊取控制權(quán)。有漏洞的daemon包括Sendmail、IMAP、POP3各個(gè)漏洞的版本，以及RPC服務(wù)中諸如statd、mountd、pcnfsd等。有時(shí)，那些攻擊程序必須在與被攻擊主機(jī)相同的平臺(tái)上進(jìn)行編譯。
6. 獲得控制權(quán)
黑客利用daemon的漏洞進(jìn)入系統(tǒng)后會(huì)做兩件事：清除記錄和留下后門(mén)。他會(huì)安裝一些后門(mén)程序，以便以后可以不被察覺(jué)地再次進(jìn)入系統(tǒng)。大多數(shù)后門(mén)程序是預(yù)先編譯好的，只需要想辦法修改時(shí)間和權(quán)限就可以使用，甚至于新文件的大小都和原有文件一樣。黑客一般會(huì)使用rcp傳遞這些文件，以便不留下FTP記錄。一但確認(rèn)自己是安全的，黑客就會(huì)開(kāi)始侵襲公司的整個(gè)內(nèi)部網(wǎng)。
7. 竊取網(wǎng)絡(luò)資源和特權(quán)
黑客找到攻擊目標(biāo)后，一般會(huì)繼續(xù)進(jìn)行如下攻擊：
· 下載敏感信息
如果黑客的目的是從某機(jī)構(gòu)內(nèi)部的FTP或WWW服務(wù)器上下載敏感信息，他可以利用已經(jīng)被侵入的某臺(tái)外部主機(jī)輕而易舉地得到這些資料。
· 攻擊其他被信任的主機(jī)和網(wǎng)絡(luò)
大多數(shù)的黑客入侵后僅僅為了探測(cè)內(nèi)部網(wǎng)上的主機(jī)并取得控制權(quán)，只有那些“雄心勃勃”的黑客，為了控制整個(gè)網(wǎng)絡(luò)才會(huì)安裝特洛伊木馬和后門(mén)程序，并清除記錄。 那些希望從關(guān)鍵服務(wù)器上下載數(shù)據(jù)的黑客，常常不會(huì)滿(mǎn)足于以一種方式進(jìn)入關(guān)鍵服務(wù)器。他們會(huì)費(fèi)盡心機(jī)找出被關(guān)鍵服務(wù)器信任的主機(jī)，安排好幾條備用通道。
· 安裝sniffers
在內(nèi)部網(wǎng)上，黑客要想迅速獲得大量的賬號(hào)（包括用戶(hù)名和密碼），最為有效的手段是使用“sniffer”程序。黑客會(huì)使用上面提到的方法，獲得系統(tǒng)的控制權(quán)并留下再次侵入的后門(mén)，以保證sniffer能夠執(zhí)行。
· 癱瘓網(wǎng)絡(luò)
如果黑客已經(jīng)侵入了運(yùn)行數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)操作系統(tǒng)等關(guān)鍵應(yīng)用程序的服務(wù)器，使網(wǎng)絡(luò)癱瘓一段時(shí)間是輕而易舉的事。如果黑客已經(jīng)進(jìn)入了公司的內(nèi)部網(wǎng)，他可以利用許多路由器的弱點(diǎn)重新啟動(dòng)、甚至關(guān)閉路由器。如果他們能夠找到最關(guān)鍵的幾個(gè)路由器的漏洞，則可以使公司的網(wǎng)絡(luò)徹底癱瘓一段時(shí)間。
如何防止
接下來(lái)介紹一種防止黑客的入侵的簡(jiǎn)單方法。（現(xiàn)在大部分服務(wù)器使用的都是Windows 2000服務(wù)器系統(tǒng)。所以本文以Windows 2000系統(tǒng)為例進(jìn)行介紹。）
由于Windows 2000 Server非常人性化，于是很多服務(wù)器都采用了這種易于操作的系統(tǒng)?？墒怯玫娜嗽蕉?，它的漏洞暴露的也就越多，從而使Windows 2000 Server操作系統(tǒng)不再安全。例如：利用Windows 2000的客戶(hù)端連接管理器和Windows 2000中文簡(jiǎn)體版存在的輸入法漏洞，便可以繞過(guò)身分驗(yàn)證機(jī)制進(jìn)入系統(tǒng)內(nèi)部。
Windows 2000的終端服務(wù)功能，能使系統(tǒng)管理員對(duì)Windows 2000進(jìn)行遠(yuǎn)程操作，采用的是圖形界面，能使用戶(hù)在遠(yuǎn)程控制計(jì)算機(jī)時(shí)功能與在本地使用一樣，其默認(rèn)端口為3389，用戶(hù)只要安裝了Windows 2000客戶(hù)端連接管理器就能與開(kāi)啟了該服務(wù)的計(jì)算機(jī)相聯(lián)。因此這一漏洞使終端服務(wù)成為Windows 2000的合法木馬。填補(bǔ)這個(gè)漏洞可以使用打補(bǔ)丁或刪除輸入法來(lái)達(dá)到。也可以手動(dòng)解除這個(gè)隱患：運(yùn)行regedit，展開(kāi)HKEY_USERS\.DEFAULT\Keyboard Layout\Preload，以下鍵值對(duì)應(yīng)輸入法為：
00000804 英文
E00E0804 微軟拼音
E0010804 全拼
E0030804 鄭碼
E0040804 智能ABC
將除英文和智能ABC外的其他輸入法全部刪除，然后重啟電腦或注銷(xiāo)，這樣在登錄時(shí)就只能切換英文和智能ABC了。如果不需在登錄時(shí)輸入中文，可以直接將HKEY_USERS\.DEFAULT\Keyboard Layout\Preload刪除，在登錄時(shí)就只能用英文。這樣黑客便無(wú)法利用輸入法中的漏洞了。
注意事項(xiàng)
Windows 2000 Server的漏洞有數(shù)千個(gè)，本文不能一一列出。以下是使用Windows 2000系統(tǒng)時(shí)的注意事宜，僅供服務(wù)器管理員參考：
1. 經(jīng)常到微軟官方網(wǎng)站去查看是否有新的系統(tǒng)補(bǔ)丁，如果有的話，請(qǐng)?jiān)诘谝粫r(shí)間里升級(jí)系統(tǒng)。
2. 去大型的黑客網(wǎng)站查看是否有一些微軟尚未發(fā)現(xiàn)的漏洞。因?yàn)榉?wù)器的漏洞多數(shù)是黑客們先發(fā)現(xiàn)的。
3. 定期用各種安全掃描工具自我掃描。
4. 盡量少開(kāi)端口，沒(méi)有必要開(kāi)的端口不要開(kāi)啟。
5. 服務(wù)器里不要安裝任何游戲軟件或其他軟件。因?yàn)橐恍┖诳蜁?huì)利用那些軟件的漏洞進(jìn)入服務(wù)器。
6. 保護(hù)好服務(wù)器Administrator密碼。經(jīng)常更換密碼，且密碼最好是12~16位的數(shù)字加字母的不規(guī)則排列組合。
