NT系统的安全策略（页）

《NT系统的安全策略（页）》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、NT系统的安全策略NT系统的安全策略一徐彬贺蕴普刘雪宁中国科学院广州化学研究所当年WINDOWSNT刚刚推出的时候，人们还在怀疑这样一个原代码非公开性的操作系统如何能占领服务器市场,但随＜1996年NT4.0的推出,越來越多的使用者开始使用NT来构建自己的网络平台,WINDOWSNT的优点也慢慢被人们所发现：使用简单、图形化界面友好、稳定性也可以接受（较ZWINDOWS系列的不稳定而言）、开发工具完善等。今年WTND0WS2000的发布更加坚定了微软抢占•服务器市场的决心，特别是WINDOWS2000ADVANCESERVER,WINDOWS2000DATACENTER及群集技术

2、的推出更是说明了微软决心要进军高端服务器市场，与UNIX和LINUX三分天下。但是，仅仅是使用简单是不够的，作为一个安全级别为C2级以及原代码非公开性的操作系统，NT从一推出來便漏洞百出。NT4.0从推出至今已冇了6个服务升级包（微软不好意思称Z为补丁），每一个都冇儿I•兆Z巨，下载的时候令人痛苦力分。NT系统的安全性不好是因为英复杂的结构和源代码不对外公开，整个操作系统只有微软口己可以修改，不象LINUX及多种UNIX系统，内核的源码是公开的，当一个安全性问题或漏洞被发现后，全球许多优秀的程序员都可以参与修改，使得LINUX.UNIX系统的错误很快被修正。所以当NT的漏洞被发现

3、后，人们首先看到的是MTCROSOH安全公告上的长篇大论的解释或是讣你删除出问题的组件,随后就是耐心的等待，直到补丁或服务升级包的推出。WINDOWS2000的推出并没有改变NT系统安全性不好的问题，让我们一起來看看WINDOWS2000安装时出现的一个漏洞：在Windows2000安装过程中未对,小“川$进行保护，也就是说当安装过程中第一次输入管理员密码到下一次重新启动前，任意网络用户都可以不用密码而通过直接连接ADMINS共享来访问系统，即在网络共享输入：\服务器名ADMIN$从而进入系统。所以建议大家徃安装WINDOWS2000的时候物理隔断服务器的网络连接。从上面的例

4、子可以看出‘WindowsNT系列并不是令人放心的系统,我们需要了解NT系统的漏洞,了解黑客的入侵方式，定出我们的安全策略。一、NT系统的漏洞1.密码:对任何人來讲，较短的密码都是极不安全的‘WindowsNT的密码实际上没有以文件形式保存，而是一些杂乱的暗码夹杂在某些文件的内部。己经发现包含有NT密码的文件冇8个，包括WTNNTrapairsam._,这个文件中包含管理员的密码，以及WINNTsystem32inetsrvMetaBase,bin,这个文件中包含UIUSR_ComputerName等帐号的密码。破解NT的密码有许多小工具，比如LOphtCrack这

5、个小软件，从菜单小选取注册农获取信息或从SAM文件中获取信息，对于六位数密码（不包含特殊字符），-•般情况卜一20分钟内可以解出來（当然，破解机器的速度不能太慢）。所以对丁•管理员的密码，最好是8-9位，而且要带有特殊字符。2.IIS:InternetInformationServer是一个很好用的WEB和FTP服务平台，由于IIS与ASP脚本语言及ACTIVEX控件紧密结合，用户可以在服务器端用简单的脚本作出功能强人的数据库杳询及动态WEB页而，另外TTS也提供了远程管理的功能，使用户通过WEB可以对IIS进行管理。虽然IIS简单.好用，但是漏洞百出。我们知道ASP脚木语言的一

6、大好处是无法查看源代码，所有的ASP脚木均在服务務端执行，客户端得到的是程序执行的结果，得不到ASP脚木的源代码，这在一定程度上保护了开发者的利益。但是I1S3的一个经典漏洞便疑露了ASP脚木的源代码，只要在浏览器里加上儿个特殊字符，便可以看到源码，如(假设要访问的文件为http://www.test,com/test,asp),在浏览器地址框内敲入红框内的内容，即可在査看源码小看到整个ASP源码。当然，这个漏洞已被补上，但现在已知能查看ASP源码的漏洞已冇六个，真是令人防不胜防。下而我们來看看最近的一些典型的漏洞:(1)shtml.dll的问题在NT4+FrontpageExt

7、ention以及WIND0WS2000的"_vli_bin"的虚拟目录下有一个文件shtml.dll,目的是用來浏览smartHTML文件。如果在windows2000_t安装Frontpage,将在web根目录下创建一个"vtibin"的虚拟目录，shtml.dll是位于该目录下的文件Z—。当我们要访问的文件不存在的时候，例如访问一个根本不存在的aaa.html,则会返回一个错误信息，而其中也会包含WEB的木地路径信息。获取WEB的木地路径信息对黑客来说是一件开心的事，是他准备