安全技术 应用服务安全性讲解（三）

NO.3 DNS服务

DNS服务是Internet上其它服务的基础，它是一种用于TCP/IP应用程序的分布式数据库，提供主机名字和IP地址之间的转换信息；对于每一个DNS节点，包含有该节点所在的机器的信息、邮件服务器的信息、主机CPU和操作系统等信息。􀂾
正向域名解析：机器名－>IP，网络用户通过UDP协议与DNS服务器进行通信，返回用户所需的相关信息；􀂾
反向域名解析：客户向一台DNS服务器请求服务，服务器根据客户的IP反向解析该IP对应的域名；

客户机要首先从DNS服务器获得www.cnfan.net对应的IP地址，才能和远地服务器建立连接，DNS域名空间的域名是由分布在不同地方的域名服务器来管理的，域名解析是由用户指定的域名服务器来完成的，DNS域名服务采用的是客户/服务器（client/server）工作模式。客户方的解析过程函数（resolver），嵌套在其它应用的客户程序之内的，本地域名服务器始终运行它的域名服务器进程（named），该进程收到客户请求时，就开始进行域名解析。

域名系统的树状结构图：


DNS服务存在的主要安全问题：防火墙不会限制对DNS的访问、DNS可以泄漏内部的网络拓扑结构、DNS存在许多简单有效的远程缓冲溢出攻击，可以说DNS本身性能问题是关系到整个应用的关键，然而几乎所有的网站都需要DNS。无可避免，我们要面对它！

DNS的安全威胁：名字欺骗、信息隐藏、拒绝服务攻击、设置不当的DNS会泄漏过多的网络拓扑结构、利用被控制的DNS服务器入侵整个网络，破坏网络的安全完整性（篡改DNS的记录信息）、利用被控制的DNS服务器，绕过防火墙等其它安全设备的控制（DNS需要的端口是UDP 53和TCP 53，需要使用root执行权限）。

名字欺骗图：


DNS欺骗：


ARP欺骗：

攻击手段：
1、当本地主机与DNS服务器/本地主机与客户端主机均不在同一个局域网内时可向客户端主机随机发送大量DNS响应数据包但命中率低最有效的方法是向DNS服务器发起拒绝攻击；􀂙
2、当本地主机至少与DNS服务器或客户端主机中的某一台处于同一局域网内，可通过ARP欺骗来实现稳定可靠的DNS ID欺骗

解决方案：若遭遇DNS欺骗，先禁用本地连接，然后启用本地连接，就可清除DNS缓存；也可在IE中使用代理服务器，这时客户端不会在本地进行域名请求，DNS欺骗就不可行；


NO.4 Serv-U

Serv-U功能：设置端口号、组管理，组用户继承用户权限、IP过滤
安全隐患：默认帐户、SERV-U暴力破解、具有执行权限，可执行命令、得到WEB-SHELL后，可利用SERV-U本地权限提升
防范：删除默认帐户，设置强度密码，禁用Serv-u命令。

NO.5 Mail服务

SMTP和POP、IMAP都存在一定的问题（协议和服务端程序），尤其以SMTP为讨论重点
Mail服务是一种不安全的服务，因为它必须接受来自Internet的几乎所有数据

简单邮件传输协议(SMTP)：
潜在的风险：伪造Email，用于社交工程攻击、垃圾邮件，消耗带宽和拒绝服务、病毒和特洛伊木马的传播、以明文形式进行数据传送。
解决方法：利用PGP等加密产品进行邮件传输、加强SMTP验证，限制MAIL RELAY、安装反病毒软件及个人防火墙、定期培训，加强用户的安全意识。

动态中继验证控制：DRAC(Dynamic Relay Authorization Control)动态中继验证控制是专门为邮件服务器设计的一个服务器端软件，可以同时为多个邮件服务器提供动态中继验证服务。DRAC的原理是“邮件服务之前的pop验证”。

CMAIL：安装配置邮件服务器并以WEB方式登陆邮箱。可用ShadowEmail等挂字典跑邮箱密码的工具（部分邮件服务器对试验的次数做了限制）。

NO.6 SNMP
SNMP报头：
 
SNMP的工作机制：
简单网络管理系统分2种角色：SNMP管理站和SNMP代理。（代理是实际网络设备中用来实现SNMP功能的部分，它在UDP的161端口接收NMS的读写请求消息，管理站在UDP的162端口接收代理的事件通告消息），SNMP v1不支持加密和授权，通过包含在SNMP中的团体名提供简单的认证。

SNMP消息：5种协议数据单元（即消息）类型 （Get-request、Get-next-request、Set-request、Get-response、Trap）。其中Get-request和Get-Next-Request由管理工作站发给代理，请求检索信息，代理以Get-Response响应它; 管理工作站使用Set-Request可以远程设置代理所在的网络设备的参数。

SNMP的安全隐患：团体名作为唯一的SNMP认证手段，也是薄弱环节之一，而且团体名在网上以明码传输。SNMP主要采用UDP传输，很容易进行IP源地址假冒，多数SNMP设备接收来自网络广播地址的SNMP消息。

安全措施：关注所用产品的改进信息，及时增打补丁，升级版本；在不必要的情况下，关闭SNMP服务 ；对进入网络的SNMP流量进行过滤；使用安全性和身份验证加固的SNMPv3（SNMPv3主要有三个模块：信息处理和控制模块、本地处理模块和用户安全模块；增加的三个新的安全机制：身份验证，加密和访问控制）

NO.7 DATA服务

DATA服务器主要是存放数据库。其安全性包括两个方面（以SQL Server为例）：
1、IDC的安全性（建议使用NTFS分区、给予用户执行日常任务所必需的最低等级的访问许可权、强制执行口令和登录策略、TCP/IP过滤、防火墙及代理服务器。）
2、SQL本身的安全性问题


NO.8 远程登陆

远程登录服务是指通过某种端口协议为远程客户端提供执行系统命令的服务
常见的远程登陆服务包括：
Telnet
终端服务
PcAnywhere
rlogin
SSH
协议漏洞、服务程序漏洞等问题

防范措施为禁用。