网络安全检测技术

一，网络安全漏洞

• 安全威胁是指所有能够对计算机网络信息系统的网络服务和网络信息的机密性，可用性和完整性产生阻碍，破坏或中断的各种因素。安全威胁可分为人为安全威胁和非人为安全威胁两大类。

1，网络安全漏洞威胁

• 漏洞分析的目的是发现目标系统中存在的安全隐患，分析使用的安全机制是否能够保证系统的机密性，完整性和可用性。
• 漏洞分析通过对评估目标进行穿透测试，进而尝试从中获取一些有价值的信息。
• 穿透测试可分为两类：
  • 无先验知识穿透测试：通常从外部实施，测试者对被测试网络系统的拓扑结构等信息一无所知。
  • 有先验知识穿透测试：测试者通常具有被测试网络系统的基本访问权限，并可以了解网络系统拓扑结构等知识。
• 对于安全漏洞，可以按照风险等级对其进行归类。
  

2，网络安全漏洞的分类

• 漏洞是在硬件，软件和协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。
• 在进行系统安全性评估时，需要注意的是已发现的漏洞数量并不能完全反应系统的安全程度，与系统的使用范围，经受检验的程度，及是否开放源码等因素都有关系。
• 漏洞的分类主要有按漏洞可能对系统造成的直接威胁分类和按漏洞的成因分类两大类。

1，按漏洞可能对系统造成的直接威胁分类

漏洞类型	漏洞描述	典型漏洞
远程管理员权限	攻击者无须一个账号登录到本地，直接获得远程系统的管理员权限，通常通过攻击以root身份执行的有缺陷的系统守护进程来完成。漏洞的绝大部分来源于缓冲区溢出，少部分来自守护进程本身的逻辑缺陷。	Windows NT IIS 4.0的ISAPI DLL对输入的URL未进行适当的边界检查，如果构造一个超长的URL，可以溢出IIS（inetinfo.exe）的缓冲区，执行攻击者指定的代码。由于inetinfo.exe是以local system身份启动，溢出后可以直接得到管理员权限。
本地管理员权限	攻击者在已有一个本地账号能够登录到系统的情况下，通过攻击本地某些有缺陷的suid程序和竞争条件等手段，得到系统的管理员权限。	RedHat Linux的restore是个suid程序，它的执行依靠一个RSH环境变量，通过设置环境变量PATH，可以使RSH变量中的可执行程序以root身份运行，从而获得系统的root权限。
普通用户访问权限	攻击者利用服务器的漏洞，取得系统的普通用户存取权限，对UNIX类系统通常是shell访问权限，对Windows系统通常是cmd.exe的访问权限，能够以一般用户的身份执行程序，存取文件。攻击者通常攻击以非root身份运行的守护进程，及有缺陷的cgi程序等手段获得这种访问权限。	Windows IIS 4.0~5.0存在Unicode解码漏洞，可以使攻击者利用cmd.exe以guest组的权限在系统上运行程序。相当于获得了普通用户的权限。
权限提升	攻击者在本地通过攻击某些有缺陷的sgid程序，可以把权限提升到某个非root用户的水平。获得管理员权限可以看成是一种特殊的权限提升，只是因为威胁的大小不同而独立出来。	RedHat Linux 6.1带的man程序为sgid man，它存在format bug，通过对它的溢出攻击，可以使攻击者得到man组的用户权限。
读取受限文件	攻击者通过利用某些漏洞，读取系统中他应该没有权限的文件，这些文件通常是与安全相关的。这些漏洞的存在可能是我呢见设置权限不正确，或者是特权进程对文件的不正确处理和意外dump core使受限文件的一部分dump到了core文件中。	SunOS 5.5的ftpd存在漏洞，一般用户可以引起ftpd出错，而dump出一个全局可读的core文件，里面有shadow文件的片段，从而使一般用户能读到shadow的部分内容。
远程拒绝服务	攻击者利用这类漏洞，无须登录即可对系统发起拒绝服务攻击，使系统或相关的应用程序崩溃或失去响应能力。这类漏洞通常是系统本身或其守护进程有缺陷或设置不正确造成的。	早期的Linux和BSD的tcp/ip堆栈的IP片段重组模块存在缺陷，攻击者通过向系统发出特殊的IP片段包可以使计算机崩溃。
本地拒绝服务	在攻击者登录到系统后，利用这类漏洞，可以使系统本身或应用程序崩溃。这种漏洞主要因为是程序对意外情况的处理失误，如写临时文件之前不检查文件是否存在，盲目跟随链接等。	RedHat 6.1的tmpwatch程序存在缺陷，可以是系统fork（）出许多进程，从而使系统失去响应能力。
远程非授权文件存取	利