论坛: 黑客进阶 标题: 古典黑客教学文-黑客零起点! 复制本贴地址    
作者: DarK-Z [bridex]    论坛用户   登录
黑客零起点 

Windows NT安全工具

冰影 2001.07.19 03:05


本文是网络手册投稿件

一.审核工具


对NT安全规划清楚的人都应该知道权限的设置正确与否是保证系统安全的重要步骤,但是如果你一个一个文件,目录的去查看的效率也太低了,为了提高效率的目的出发,所以就产生了审核工具这种东西,好,今天我就介绍一款审核工具------DumpACL。
DumpACL(我把它叫做ACL榨汁机),嘿嘿,我对这个东西的名称的中文叫法实在是莫法度,所以只好自己给它取名字拉)。它的下载地址为http://www.somarsoft.com
它主要是提取文件系统,registry,打印机,共享的权限DACLs和audit设置SACLs的信息。它还可以提取用户,组和replication信息。它还能够实现针对某一过滤规则来显示一些你感兴趣的安全设置,例如说只显示eveyrone的权限。
安装这个东东是很容易的事情,只要把dumpacl.exe和dumpacl.hlp放在同一个目录里就行了,直接运行,运行后dumpacl.exe将建立一个注册表键HKEY_CURRENT_USER\SOFTWARE\Somarsoft\DumpAcl,除此之外它不会改变系统的任何设置。使用dumpacl.exe /u的参数将显示一个提示信息它已经把这个键值给删除了,然后你把这些文件删除,这个东西就干净的清除了。
使用,下面就针对文件系统的审核和权限检查做一个小小的介绍:在report选项中的permissions report options中,可以进行一些过滤设置,这样做可以大大减少报告的大小。先看我dump自己的机器的信息,嘿嘿
先来看看图中的权限表达,最顶端有path,account,own,dir,file,success,failure这么7个项目,分别代表路径,帐户,所有者,目录权限,文件权限,成功审核,失败审核7个方面。下面我将就上图中的一些例子来进行说明:
c:\boot.ini是个文件,有关这个文件的说明有3行,第一行的意思是用户组power users对这个文件具有RX权限。第二行的意思是用户组administrators对这个文件具有All的权限并且是这个文件的所有者(看到哪个小o了),第三行的意思是system对这个文件具有ALL的权限。
C:\Documents and Setting\是个目录,有关这个目录的说明有5行,第一行的意思是system的目录和文件权限都为All,第二行的意思是administrators具有和system相同的权限并且它还是这个目录的所有者。第三行的意思是users具有目录和文件的RX权限。第四行的意思是Power Users具有文件和目录的RX权限。第五行的意思是everyone拥有文件和目录的RX权限。
说了这么多的ALL,RX…….不熟悉NT的人肯定满脑糨糊了吧,别急,下面就对这些东西进行解释。
目录权限:
R-- Account can list the contents of the directory.
W-- Account can add new files and subdirectories to the directory.
X-- Account can traverse the directory as part of a path.
D-- Account can delete the entire directory.
P --Account can change permissions for the directory and all files and subdirectories.
O --Account can change ownership of the directory.
All--Same as RWXDPO.
No access-- Account is denied all access to directory.
文件权限:
R --Account can read the file.
W-- Account can write to the file.
X-- Account can execute the file.
D-- Account can delete the file.
P-- Account can change permissions for the file.
O-- Account can change ownership of the file.
All--Same as RWXDPO.
No access --Account is denied all access to file.
审核:
R --Audit attempts to read file or list directory contents.
W --Audit attempts to write to file or add files/subdirectories to directory.
X-- Audit attempts to execute file or traverse directory as part of a path.
D --Audit attempts to delete file or directory.
P-- Audit attempts to change change permissions for the file or directory.
O --Audit attempts to change ownership of the file or directory.
All--Same as RWXDPO audit settings.
上面那点点英文应该难不住正在看文章的你吧,嘿嘿。
二.防火墙
防火墙技术目前的发展比较快,一般的将,防火墙分为包过滤防火墙,应用网关,代理防火墙几种,下面就针对一些典型的产品进行介绍,注意的是我没有钱购买那些大公司的产品,而很多的免费的东西又实在是我不喜欢的东西,就象某些产品的防火墙只有简单的3个选项,低,中,高三个防火级别,也许他们这样做是为了让别人更能够上手,但是这种不能细化安全的产品只适合个人普通用户。另外要说的一句就是不能迷信防火墙,因为这种一个产品就解决所有安全问题是不可能的。好了下面就针对一些NT下--的安全产品,就拿几个典型的防火墙来说明吧。

国产蓝盾
我没有企业版,但是它的个人版是免费的,呵呵,那就从个人版看企业版拉。先看看它的界面
这个产品的个人版很简单,最重要的也就2个窗口,一个就是上图的rules设置窗口,一个就是日志窗口,看这个个人版就是一个典型的包过滤防火墙,使用数据流向,源端口,目的地端口,数据标志位等等的信息来设置一个过滤准则,来确定到底是通过还是拦截。这当然需要有很深的tcp/ip的知识,不过蓝盾这个产品好就好在它自定了一个安全规则,他可以让你实现一定的服务,这些rules都有自己的中文说明,看起来还不错吧,当然它也有自己的缺点,就我使用的免费个人版来说,其中的finger工具简直就是废物一个,系统设置窗口放了一大堆的端口信息在那里不知所谓,声音报警开关竟然又独立一派,最可恨的是这个程序可能还不是很稳定,我几次系统不能正常关机,要把landon的进程关闭才能够正常关机。看他的主页上说(http://www.landon.com) 自己的企业级的防火墙具备NAT工能,那就是说他的企业防火墙还可以做成网关来使用了,呵呵,它还支持VPN,由于我手头没有软件,所以就不能对它做详细的评述了。
包过滤防火墙的核心或者说灵魂我认为是规则(rules)的设定,下面就规则的设定进行简单的讨论(注意下面的内容是针对对网络协议和工作有较坚厚基础的人的)。防火墙的规则是有先后顺序的,如果规则1先把本地web服务过滤掉了,那么以后即使有另外一条规则是开启本地web服务的,产生的结果仍然是web服务不能使用。防火墙对数据包的应答方法也各有不同,例如linux下的ipchains对于数据包有deny(抛弃),reject(拒绝),allow(通过)三种,而蓝盾个人版里面的处理方法有拦截,通行,下一条三种,要注意各种处理方法的不同。另外防火墙对数据链路的方向性也有定义,一般情况下有output(输出),input(输入),forward(转发)等,而蓝盾个人版没有定义转发,只有输入,输出和全向3种。再有防火墙还有丰富的可控制项目,例如协议,目标地址,源地址,目标地址端口,源地址端口,输入输出流向,和TCP/IP的标志位,ICMP的类型都能够作为规则的条件。了解了这些基础内容以后,我们就具体说一下一般防火墙规则的实现。
1.--首先我们要删除任何已经存在的规则,这样会有一个清晰的开始哦。而且不会在包还未经过你的过滤规则的时候,就和以前的规则进行了匹配。
2.--其次定义默认的规则,默认的规则就是指当所有的规则都不匹配的时候所采取的规则,默认规则一般有2种:禁止一切,接受一切。在这两个规则里面禁止一切的设置对防火墙的设置是比较难,但是安全,你只需要针对你想开启的服务进行设置防火墙的规则。如果你使用接受一切的默认规则,对于设置防火墙比较容易,但是不够安全,这需要你想象你所有可能有的服务,并对它设置。一般的情况下,商业防火墙所采用的默认规则都是禁止一切。
3.--启用回环接口,允许在lo的各类传输。
4.--禁止互连网端口<--------àA,B,C类专用IP地址的连接。
本来这些专用地址是用在内部网的,不应该出现在互联网络上,但是如果路由表配置错误,或者你的路由是自动路由的话,路由将转发伪造ip地址为此内网的主机的黑客主机的数据包。
5.--禁止互连网端口?-------à 127.0.0.0/8专用IP地址的连接。
这个专用地址是用来被系统软件内部调用的,这条规则防止使用这个IP地址进行欺骗。
6.--禁止互连网端口?--------- 来源于255.255.255.255的数据。
根本不应该有这个源地址的数据包,因为这个地址是广播地址呀。
7.--禁止互连网端口?--------- 目的是0.0.0.0的数据。
这个数据包是正常的,不过通常是用来刺探机器是否运行了BSD类的网络软件,由此来确定是否是unix机器(嘿嘿,在NT系统下最好也关闭这个东西)。
8.--禁止互连网端口?-------à源地址是D类地址的数据。
D类多点投送地址只有在做为目的地址的时候才合法。
9.--禁止互连网端口<---------à 目的地址是D类地址的数据。
只有多点投送的数据和音频服务需要多点投送和接受,你有吗?一般的情况你不会有这个服务吧。
10.--禁止互连网端口?---------- 源地址是E类地址的数据。
11.--ICMP消息控制协议比较复杂,不能够一概而论把它全都屏蔽掉,下面就ICMP常用类型做个简单介绍:(注意:这只是一个基本的纲要,你需要针对自己的特殊的情况进行修改,例如ICMP重定向攻击就需要把重定向的包过滤掉………….)
数字类型--名称--功能说明--防火墙策略
0--Echo-reply--Ping的响应--只允许回应信任主机。
3--Destination-unreachable--一般错误状态消息,在到达目的地中的路由器不能把包传送给下一个路由器。--允许输入输出都通过这种包。
4--Source-quench--路由器之间或者路由器和主机之间对于ip网络层流控制。--允许输入输出都通过这种包。
5--Redirect--当路由器确定存在更短路由时,返回发送者的路由信息。--看自己的需要。
8--Echo-request--Ping的请求。--允许这种数据包的输出。允许信任主机数据包的输入。
11--Time-exceeded--当包的TTL被超出是返回的路由消息。--允许输入输出都通过这种包。
12--Parameter-problem--在ip包中发现了非期望的值。--允许输入输出都通过这种包。
------
12.--下面就是各项internet服务的设置了,在设置这些内容的时候需要注意有两种情况需要我们当心:一种就是本机作为客户端,和本机作为服务端的设置。例如如果本机想作为DNS服务器供别人使用,那么就要允许本地53端口的输入和输出。如果要允许DNS服务器间的数据交换,就需要允许本地53端口和信任主机的53端口的通信。如果要允许本地主机作为远程DNS服务的客户端,就需要开启本地到远程DNS服务器的53端口的通信。其他的服务也是用上面的方法来进行开启。注意的是有些特殊的服务有着特殊的要求,例如常见的ftp服务有2个端口,21用来创建服务器初始化连接,传送用户命令。端口20用来创建数据通道,发送文件和目录列表数据。所以对ftp服务的防火墙又需要设置两个端口。所以在设置防火墙的时候需要要求你有丰富的tcp/ip的知识。下面列出一些常用的服务的端口和协议。
服务--SMTP--POP--Telnet--FTP--WEB--SSH--NNTP--Tracerout--DHCP
端口--25--110--23--21.20--80--22--119--33434--67,68
协议--TCP--TCP--TCP--TCP--TCP--TCP--TCP--UDP--UDP
三.扫描工具
扫描器可以帮助你检查自己网络的脆弱性,虽然说有很多的国外的商业扫描器是十分好的作品,但是笨重的身躯和繁长的报告能让你头痛3天,为此,我在这里特别给大家介绍一个国产的免费的扫描器-----xscan。Xscan的作者就是冰河,它的最大的优点就是中文的报告,和对漏洞的中文的评述(我认为)。它最大的缺点就是功能仍然不够全面,感觉对CGI漏洞的扫描功能做的比较好,其他的漏洞检查仍然需要大力改进,而且速度比较慢。好了,废话少说,先让我们看看它的说明书吧。
一.系统要求:Windows 98/NT4.0/2000
二.功能简介:
采用多线程方式对指定IP地址段(或单机)进行安全漏洞扫描,支持插件功能,提供了图形界面和命令行两种操作方式,扫描内容包括:标准端口状态及端口banner信息、CGI漏洞、RPC漏洞、SQL-SERVER默认帐户、FTP弱口令,NT主机共享信息、用户信息、组信息、NT主机弱口令用户等。扫描结果保存在/log/目录中,index_*.htm为扫描结果索引文件。对于一些已知的CGI和RPC等漏洞,我们给出了相应的漏洞描述、利用程序及解决方案,其它漏洞资料正在进一步整理完善中,您也可以通过本站的"安全文献"和"漏洞引擎"栏目查阅相关说明。


三.所需文件:

xscan_gui.exe -- X-Scanner图形界面
xscan.exe -- X-Scanner for Windows 98/NT4.0/2000 主程序
mssql.dll -- SQL动态链接库
netbios.dll -- NetBios动态链接库
oncrpc.dll -- OncRpc动态链接库
readme.txt -- 使用说明
/dat/config.ini -- 用户配置文件,包括扫描端口、默认用户名及口令等信息
/dat/cgi.lst -- CGI漏洞列表
/dat/rpc.ini -- RPC程序名称及漏洞列表
/dat/ntuser.dic -- NT主机用户名字典文件,用于扫描NT弱口令用户
/dat/ntpass.dic -- NT主机密码字典,用于扫描NT弱口令用户
/plugin -- 用于存放所有插件(后缀名为.nfs),插件也可放在xscan.exe所在目录的其他子目录中,程序会自动搜索。

/cgi/*.htm -- CGI漏洞描述及解决方案,其中index.htm为主索引文件
/cgi/ -- CGI漏洞利用程序及实例
/rpc/*.htm -- RPC漏洞描述及解决方案,其中index.htm为主索引文件
/rpc/ -- RPC漏洞利用程序及实例

注:cgi目录和rpc目录内仅包含各漏洞说明及利用程序,并非扫描器所必需的文件。


四.运行参数说明:

1.命令行:Xscan [起始地址]<-[终止地址]> [扫描选项]

其中的[扫描选项]含义如下:
-port : 扫描标准端口(端口列表可通过\dat\config.ini文件定制);
-banner : 获取开放端口的banner信息,需要与-p参数合用;
-cgi : 扫描CGI漏洞;
-rpc : 扫描RPC漏洞;
-sql : 扫描SQL-SERVER默认帐户;
-ftp : 尝试FTP默认用户登录(用户名及口令可以通过\dat\config.ini文件定制);
-netbios: 获取NetBios信息(若远程主机操作系统为Windows9x/NT4.0/2000);
-ntpass : 尝试弱口令用户连接(若远程主机操作系统为Windows NT4.0/2000);
-all : 扫描以上全部内容;

-v : 显示详细扫描进度;
-d : 禁止扫描前PING被扫主机。
-plugin : 使用插件;

-t [线程数量]: 设置线程数量,默认为20个线程,最大值为50;
-proxy [代理服务器:端口]: 通过代理服务器扫描漏洞,目前只适用于"-cgi"选项;

2.示例:
xscan xxx.xxx.1.1-xxx.xxx.10.255 -all -plugin
含义:扫描XXX.XXX.1.1-XXX.XXX.10.255网段内主机的所有信息,并使用插件;

xscan xxx.xxx.1.1 -netbios -ntpass -t 30
含义:获取XXX.XXX.1.1主机的Netbios信息,并检测NT弱口令用户,线程数量为30;

xscan xxx.xxx.1.1 -port -banner -cgi -proxy 129.66.58.13:80 -v -d
含义:扫描xxx.xxx.1.1主机的标准端口状态,通过代理服务器"129.66.58.13:80"扫描CGI漏洞,检测端口banner信息,且扫描前不通过ping命令检测主机状态,显示详细扫描进度。


五.数据文件格式:

1."dat\config.ini":

[PORT-LIST]:待扫描端口,格式为"Port=端口1,端口2,端口3...";
[FTP-DEFAULT-ACCOUNTS]:FTP默认帐户,格式为"用户名=口令1,口令2...";
[NT-PASS-DICT]:设置NT用户名及密码字典所在位置,用于扫描NT弱口令用户,格式为"user_dict=.\dat\nt_user.dic";"pass_dict=.\dat\nt_pass.dic",可根据需要更改字典文件名"ntuser.dic"和"ntpass.dic",文件名为空表示不使用字典文件(如"pass_dict=")。注:只有当无法通过NETBIOS获取对方用户列表时,才从字典文件中获取用户名,否则用户名字典无效,程序将以当前服务器中用户列表作为用户名字典;
[NT-DEFAULT-ACCOUNTS]:NT默认帐户,当无法通过NETBIOS获取用户名列表而且又未设置用户名字典时,将由该处获取用户名及口令,格式为"用户名=口令1,口令2...";
[SQL-SERVER-DEFAULT-ACCOUNTS]:SQL-SERVER默认帐户,格式为"用户名=口令1,口令2...";

2."dat\cgi.lst":

CGI程序路径1
CGI程序路径2
CGI程序路径3
......

3."dat\rpc.ini":

1) 存在漏洞的RPC程序列表,内容及格式如下:

[编号1]
ID=程序ID;name=程序名称;alias=程序别名;version=程序版本;protocol=协议;level=风险等级。

[编号2]
......

2) RPC程序ID与名称对应表:

[RPC-NAME]:已知的RPC名称,格式为"程序ID = 程序名称,程序别名1 程序别名2 ..."。
六.插件接口:
1. bind.nfs
扫描漏洞:1) bind NXT records漏洞
参考http://security.nsfocus.com/showQuery.asp?bugID=114
2) ISC Bind 8 TSIG缓冲区溢出漏洞
参考http://security.nsfocus.com/showQuery.asp?bugID=1230
3) DNS Supports IQUERY漏洞
参考http://www.whitehats.com/info/IDS277
溢出程序参考http://www.securityfocus.com/vdb/?id=134
2. finger.nfs
扫描漏洞:1) finger 0@host漏洞
参考http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-1999-0197
2) FreeBSD 4.1.1 finger漏洞
FreeBSD 4.1.1的finger实现有问题,执行finger filename@victim,可以看到文件内容,例如finger /etc/passwd@victim可以看到passwd文件
3) finger重定向漏洞
执行finger @host@victim,可以用victim做代理来finger host主机
3. sygate.nfs
扫描漏洞:1) 某些版本的sygate有一个后门,可以通过7323端口远程控制
参考http://www.securityfocus.com/vdb/?id=952
中文http://security.nsfocus.com/showQuery.asp?bugID=273
4. RedV.nfs
老鬼(colossus)为纪念2001年5月1日-2001年5月7日所做,自动更换页面插件,将编辑好的Index.htm文件存放至xscan.exe所在目录下的dat目录,当扫描出对方存在SQL-SERVER默认帐户、NT管理员空口令、UNICODE中的任何一种漏洞,将自动用Index.htm文件覆盖对方原索引文件,其中UNICODE漏洞仅限于英文WINDOWS,本插件仅供学习及技术交流之用,请勿滥用。
好了,有着冰河这么一个优秀的程序设计人员在开发它,我们只要等待+鼓励+帮助,那么很快xscan将迅速成长起来。当然如果你的机器需要特别的“照顾”的话,可以选用一些商业扫描器,例如ISS,retina等等。
四.IDS
我没有用过NT 下的几个满意的,对于这种工具很多都是商业用的,需要money去买,嘿嘿…….,不过我还是给大家推荐一款自称是IDS的NT下的工具。
Fport这个工具的主要用途就是列出你所开启的端口和程序,他一共就是3个文件,很小,但是很能干哦,我想对于查找那些不明程序的开了什么端口很有效果。下面是他的输出:
FPort v1.33 - TCP/IP Process to Port Mapper
Copyright 2000 by Foundstone, Inc. http://www.foundstone.com

Pid Process Port Proto Path
392 svchost -> 135 TCP C:\WINNT\system32\svchost.exe
8 System -> 139 TCP
8 System -> 445 TCP
512 MSTask -> 1025 TCP C:\WINNT\system32\MSTask.exe
8 System -> 1027 TCP

392 svchost -> 135 UDP C:\WINNT\system32\svchost.exe
8 System -> 137 UDP
8 System -> 138 UDP
8 System -> 445 UDP
220 lsass -> 500 UDP C:\WINNT\system32\lsass.exe
208 services -> 1026 UDP C:\WINNT\system32\services.exe
很清楚吧,但是它自称是 IDS似乎是有点夸大了。哎,要是谁有什么有趣的IDS软件给我玩玩就好了。
六.--其他
SecureIIS 1。0。4
Eeye安全公司(http://www.eeye.com)刚刚不久推出一款新的产品SecureIIS,这个东东是一个具备防火墙和入侵检测系统特性的产品,它能够保护IIS系统不受已知或者未知的入侵方法的侵害,它工作在应用程序层,包裹在IIS外面来检测数据安全 ,让攻击变的更加困难。
安装好这个工具以后,然后选定你想要保护的站点,接着就是自定义保护项目了,在这里一共有7个项目,我们将在下面一一进行介绍。
Buffer overflow-----常用的攻击方法,产生原因是由于攻击者使用一个发送一个大的请求到WEB服务器,WEB服务器尝试把这个大的请求copy到一个较小的缓冲器里,这样一个Buffer overflow就产生了,如果攻击者发送一个特别的缓冲的来溢出的话,他可能能够在你的 WEB服务器上执行一些命令。
ShellCode Protection-----检查数据中可能存在的执行命令经过你的服务器。
Keyword Filtering------ 默写确定的攻击种类可以使用过滤关键字的方法停止,例如过滤掉cmd.exe和system32,嘿嘿,最近很常见的攻击哦。
Allowed Folders-------加入一些检查的路径将使你的WEB避免遭受一些Directory Traversal Attacks。
Http Method---------WEB服务的请求方法的限定将使你的服务器更加安全。缺省情况下SecureIIS只允许GET和POST两种方法,嘿嘿,如果你的WEB没有留言本,论坛等等需要POST的请求的页面,那么连POST也可以省掉了.
Miscellaneous-------一些分类模糊的攻击模式的保护就在这里拉。
Sellect error file-------错误文件的选择。
总的来说那,这个产品的确是有点新意,但是毕竟才刚刚开发出来,许多的功能仍需要完善,就例如说它的1.0.3版本虽然对ADMIN的关键字进行检查,但是对于解码的关键字就没有进行检查例如"%41DMIN"的请求就通过了…….咳,说什么好呢,革命尚未完成,同志还要努力呀。哈哈
忘记唠叨一句,在它的子目录policies里有一个default.ini是一个缺省的配置,你可以看看它到底做了些什么。
三.扫描工具
扫描器可以帮助你检查自己网络的脆弱性,虽然说有很多的国外的商业扫描器是十分好的作品,但是笨重的身躯和繁长的报告能让你头痛3天,为此,我在这里特别给大家介绍一个国产的免费的扫描器-----xscan。Xscan的作者就是冰河,它的最大的优点就是中文的报告,和对漏洞的中文的评述(我认为)。它最大的缺点就是功能仍然不够全面,感觉对CGI漏洞的扫描功能做的比较好,其他的漏洞检查仍然需要大力改进,而且速度比较慢。好了,废话少说,先让我们看看它的说明书吧。
一.系统要求:Windows 98/NT4.0/2000
二.功能简介:
采用多线程方式对指定IP地址段(或单机)进行安全漏洞扫描,支持插件功能,提供了图形界面和命令行两种操作方式,扫描内容包括:标准端口状态及端口banner信息、CGI漏洞、RPC漏洞、SQL-SERVER默认帐户、FTP弱口令,NT主机共享信息、用户信息、组信息、NT主机弱口令用户等。扫描结果保存在/log/目录中,index_*.htm为扫描结果索引文件。对于一些已知的CGI和RPC等漏洞,我们给出了相应的漏洞描述、利用程序及解决方案,其它漏洞资料正在进一步整理完善中,您也可以通过本站的"安全文献"和"漏洞引擎"栏目查阅相关说明。


三.所需文件:

xscan_gui.exe -- X-Scanner图形界面
xscan.exe -- X-Scanner for Windows 98/NT4.0/2000 主程序
mssql.dll -- SQL动态链接库
netbios.dll -- NetBios动态链接库
oncrpc.dll -- OncRpc动态链接库
readme.txt -- 使用说明
/dat/config.ini -- 用户配置文件,包括扫描端口、默认用户名及口令等信息
/dat/cgi.lst -- CGI漏洞列表
/dat/rpc.ini -- RPC程序名称及漏洞列表
/dat/ntuser.dic -- NT主机用户名字典文件,用于扫描NT弱口令用户
/dat/ntpass.dic -- NT主机密码字典,用于扫描NT弱口令用户
/plugin -- 用于存放所有插件(后缀名为.nfs),插件也可放在xscan.exe所在目录的其他子目录中,程序会自动搜索。

/cgi/*.htm -- CGI漏洞描述及解决方案,其中index.htm为主索引文件
/cgi/ -- CGI漏洞利用程序及实例
/rpc/*.htm -- RPC漏洞描述及解决方案,其中index.htm为主索引文件
/rpc/ -- RPC漏洞利用程序及实例

注:cgi目录和rpc目录内仅包含各漏洞说明及利用程序,并非扫描器所必需的文件。


四.运行参数说明:

1.命令行:Xscan [起始地址]<-[终止地址]> [扫描选项]

其中的[扫描选项]含义如下:
-port : 扫描标准端口(端口列表可通过\dat\config.ini文件定制);
-banner : 获取开放端口的banner信息,需要与-p参数合用;
-cgi : 扫描CGI漏洞;
-rpc : 扫描RPC漏洞;
-sql : 扫描SQL-SERVER默认帐户;
-ftp : 尝试FTP默认用户登录(用户名及口令可以通过\dat\config.ini文件定制);
-netbios: 获取NetBios信息(若远程主机操作系统为Windows9x/NT4.0/2000);
-ntpass : 尝试弱口令用户连接(若远程主机操作系统为Windows NT4.0/2000);
-all : 扫描以上全部内容;

-v : 显示详细扫描进度;
-d : 禁止扫描前PING被扫主机。
-plugin : 使用插件;

-t [线程数量]: 设置线程数量,默认为20个线程,最大值为50;
-proxy [代理服务器:端口]: 通过代理服务器扫描漏洞,目前只适用于"-cgi"选项;

2.示例:
xscan xxx.xxx.1.1-xxx.xxx.10.255 -all -plugin
含义:扫描XXX.XXX.1.1-XXX.XXX.10.255网段内主机的所有信息,并使用插件;

xscan xxx.xxx.1.1 -netbios -ntpass -t 30
含义:获取XXX.XXX.1.1主机的Netbios信息,并检测NT弱口令用户,线程数量为30;

xscan xxx.xxx.1.1 -port -banner -cgi -proxy 129.66.58.13:80 -v -d
含义:扫描xxx.xxx.1.1主机的标准端口状态,通过代理服务器"129.66.58.13:80"扫描CGI漏洞,检测端口banner信息,且扫描前不通过ping命令检测主机状态,显示详细扫描进度。


五.数据文件格式:

1."dat\config.ini":

[PORT-LIST]:待扫描端口,格式为"Port=端口1,端口2,端口3...";
[FTP-DEFAULT-ACCOUNTS]:FTP默认帐户,格式为"用户名=口令1,口令2...";
[NT-PASS-DICT]:设置NT用户名及密码字典所在位置,用于扫描NT弱口令用户,格式为"user_dict=.\dat\nt_user.dic";"pass_dict=.\dat\nt_pass.dic",可根据需要更改字典文件名"ntuser.dic"和"ntpass.dic",文件名为空表示不使用字典文件(如"pass_dict=")。注:只有当无法通过NETBIOS获取对方用户列表时,才从字典文件中获取用户名,否则用户名字典无效,程序将以当前服务器中用户列表作为用户名字典;
[NT-DEFAULT-ACCOUNTS]:NT默认帐户,当无法通过NETBIOS获取用户名列表而且又未设置用户名字典时,将由该处获取用户名及口令,格式为"用户名=口令1,口令2...";
[SQL-SERVER-DEFAULT-ACCOUNTS]:SQL-SERVER默认帐户,格式为"用户名=口令1,口令2...";

2."dat\cgi.lst":

CGI程序路径1
CGI程序路径2
CGI程序路径3
......

3."dat\rpc.ini":

1) 存在漏洞的RPC程序列表,内容及格式如下:

[编号1]
ID=程序ID;name=程序名称;alias=程序别名;version=程序版本;protocol=协议;level=风险等级。

[编号2]
......

2) RPC程序ID与名称对应表:

[RPC-NAME]:已知的RPC名称,格式为"程序ID = 程序名称,程序别名1 程序别名2 ..."。
六.插件接口:
1. bind.nfs
扫描漏洞:1) bind NXT records漏洞
参考http://security.nsfocus.com/showQuery.asp?bugID=114
2) ISC Bind 8 TSIG缓冲区溢出漏洞
参考http://security.nsfocus.com/showQuery.asp?bugID=1230
3) DNS Supports IQUERY漏洞
参考http://www.whitehats.com/info/IDS277
溢出程序参考http://www.securityfocus.com/vdb/?id=134
2. finger.nfs
扫描漏洞:1) finger 0@host漏洞
参考http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-1999-0197
2) FreeBSD 4.1.1 finger漏洞
FreeBSD 4.1.1的finger实现有问题,执行finger filename@victim,可以看到文件内容,例如finger /etc/passwd@victim可以看到passwd文件
3) finger重定向漏洞
执行finger @host@victim,可以用victim做代理来finger host主机
3. sygate.nfs
扫描漏洞:1) 某些版本的sygate有一个后门,可以通过7323端口远程控制
参考http://www.securityfocus.com/vdb/?id=952
中文http://security.nsfocus.com/showQuery.asp?bugID=273
4. RedV.nfs
老鬼(colossus)为纪念2001年5月1日-2001年5月7日所做,自动更换页面插件,将编辑好的Index.htm文件存放至xscan.exe所在目录下的dat目录,当扫描出对方存在SQL-SERVER默认帐户、NT管理员空口令、UNICODE中的任何一种漏洞,将自动用Index.htm文件覆盖对方原索引文件,其中UNICODE漏洞仅限于英文WINDOWS,本插件仅供学习及技术交流之用,请勿滥用。
好了,有着冰河这么一个优秀的程序设计人员在开发它,我们只要等待+鼓励+帮助,那么很快xscan将迅速成长起来。当然如果你的机器需要特别的“照顾”的话,可以选用一些商业扫描器,例如ISS,retina等等。
四.IDS
我没有用过NT 下的几个满意的,对于这种工具很多都是商业用的,需要money去买,嘿嘿…….,不过我还是给大家推荐一款自称是IDS的NT下的工具。
Fport这个工具的主要用途就是列出你所开启的端口和程序,他一共就是3个文件,很小,但是很能干哦,我想对于查找那些不明程序的开了什么端口很有效果。下面是他的输出:
FPort v1.33 - TCP/IP Process to Port Mapper
Copyright 2000 by Foundstone, Inc. http://www.foundstone.com

Pid Process Port Proto Path
392 svchost -> 135 TCP C:\WINNT\system32\svchost.exe
8 System -> 139 TCP
8 System -> 445 TCP
512 MSTask -> 1025 TCP C:\WINNT\system32\MSTask.exe
8 System -> 1027 TCP

392 svchost -> 135 UDP C:\WINNT\system32\svchost.exe
8 System -> 137 UDP
8 System -> 138 UDP
8 System -> 445 UDP
220 lsass -> 500 UDP C:\WINNT\system32\lsass.exe
208 services -> 1026 UDP C:\WINNT\system32\services.exe
很清楚吧,但是它自称是 IDS似乎是有点夸大了。哎,要是谁有什么有趣的IDS软件给我玩玩就好了。
六.--其他
SecureIIS 1。0。4
Eeye安全公司(http://www.eeye.com)刚刚不久推出一款新的产品SecureIIS,这个东东是一个具备防火墙和入侵检测系统特性的产品,它能够保护IIS系统不受已知或者未知的入侵方法的侵害,它工作在应用程序层,包裹在IIS外面来检测数据安全 ,让攻击变的更加困难。
安装好这个工具以后,然后选定你想要保护的站点,接着就是自定义保护项目了,在这里一共有7个项目,我们将在下面一一进行介绍。
Buffer overflow-----常用的攻击方法,产生原因是由于攻击者使用一个发送一个大的请求到WEB服务器,WEB服务器尝试把这个大的请求copy到一个较小的缓冲器里,这样一个Buffer overflow就产生了,如果攻击者发送一个特别的缓冲的来溢出的话,他可能能够在你的 WEB服务器上执行一些命令。
ShellCode Protection-----检查数据中可能存在的执行命令经过你的服务器。
Keyword Filtering------ 默写确定的攻击种类可以使用过滤关键字的方法停止,例如过滤掉cmd.exe和system32,嘿嘿,最近很常见的攻击哦。
Allowed Folders-------加入一些检查的路径将使你的WEB避免遭受一些Directory Traversal Attacks。
Http Method---------WEB服务的请求方法的限定将使你的服务器更加安全。缺省情况下SecureIIS只允许GET和POST两种方法,嘿嘿,如果你的WEB没有留言本,论坛等等需要POST的请求的页面,那么连POST也可以省掉了.
Miscellaneous-------一些分类模糊的攻击模式的保护就在这里拉。
Sellect error file-------错误文件的选择。
总的来说那,这个产品的确是有点新意,但是毕竟才刚刚开发出来,许多的功能仍需要完善,就例如说它的1.0.3版本虽然对ADMIN的关键字进行检查,但是对于解码的关键字就没有进行检查例如"%41DMIN"的请求就通过了…….咳,说什么好呢,革命尚未完成,同志还要努力呀。哈哈
忘记唠叨一句,在它的子目录policies里有一个default.ini是一个缺省的配置,你可以看看它到底做了些什么。
三.扫描工具
扫描器可以帮助你检查自己网络的脆弱性,虽然说有很多的国外的商业扫描器是十分好的作品,但是笨重的身躯和繁长的报告能让你头痛3天,为此,我在这里特别给大家介绍一个国产的免费的扫描器-----xscan。Xscan的作者就是冰河,它的最大的优点就是中文的报告,和对漏洞的中文的评述(我认为)。它最大的缺点就是功能仍然不够全面,感觉对CGI漏洞的扫描功能做的比较好,其他的漏洞检查仍然需要大力改进,而且速度比较慢。好了,废话少说,先让我们看看它的说明书吧。
一.系统要求:Windows 98/NT4.0/2000
二.功能简介:
采用多线程方式对指定IP地址段(或单机)进行安全漏洞扫描,支持插件功能,提供了图形界面和命令行两种操作方式,扫描内容包括:标准端口状态及端口banner信息、CGI漏洞、RPC漏洞、SQL-SERVER默认帐户、FTP弱口令,NT主机共享信息、用户信息、组信息、NT主机弱口令用户等。扫描结果保存在/log/目录中,index_*.htm为扫描结果索引文件。对于一些已知的CGI和RPC等漏洞,我们给出了相应的漏洞描述、利用程序及解决方案,其它漏洞资料正在进一步整理完善中,您也可以通过本站的"安全文献"和"漏洞引擎"栏目查阅相关说明。


三.所需文件:

xscan_gui.exe -- X-Scanner图形界面
xscan.exe -- X-Scanner for Windows 98/NT4.0/2000 主程序
mssql.dll -- SQL动态链接库
netbios.dll -- NetBios动态链接库
oncrpc.dll -- OncRpc动态链接库
readme.txt -- 使用说明
/dat/config.ini -- 用户配置文件,包括扫描端口、默认用户名及口令等信息
/dat/cgi.lst -- CGI漏洞列表
/dat/rpc.ini -- RPC程序名称及漏洞列表
/dat/ntuser.dic -- NT主机用户名字典文件,用于扫描NT弱口令用户
/dat/ntpass.dic -- NT主机密码字典,用于扫描NT弱口令用户
/plugin -- 用于存放所有插件(后缀名为.nfs),插件也可放在xscan.exe所在目录的其他子目录中,程序会自动搜索。

/cgi/*.htm -- CGI漏洞描述及解决方案,其中index.htm为主索引文件
/cgi/ -- CGI漏洞利用程序及实例
/rpc/*.htm -- RPC漏洞描述及解决方案,其中index.htm为主索引文件
/rpc/ -- RPC漏洞利用程序及实例

注:cgi目录和rpc目录内仅包含各漏洞说明及利用程序,并非扫描器所必需的文件。


四.运行参数说明:

1.命令行:Xscan [起始地址]<-[终止地址]> [扫描选项]

其中的[扫描选项]含义如下:
-port : 扫描标准端口(端口列表可通过\dat\config.ini文件定制);
-banner : 获取开放端口的banner信息,需要与-p参数合用;
-cgi : 扫描CGI漏洞;
-rpc : 扫描RPC漏洞;
-sql : 扫描SQL-SERVER默认帐户;
-ftp : 尝试FTP默认用户登录(用户名及口令可以通过\dat\config.ini文件定制);
-netbios: 获取NetBios信息(若远程主机操作系统为Windows9x/NT4.0/2000);
-ntpass : 尝试弱口令用户连接(若远程主机操作系统为Windows NT4.0/2000);
-all : 扫描以上全部内容;

-v : 显示详细扫描进度;
-d : 禁止扫描前PING被扫主机。
-plugin : 使用插件;

-t [线程数量]: 设置线程数量,默认为20个线程,最大值为50;
-proxy [代理服务器:端口]: 通过代理服务器扫描漏洞,目前只适用于"-cgi"选项;

2.示例:
xscan xxx.xxx.1.1-xxx.xxx.10.255 -all -plugin
含义:扫描XXX.XXX.1.1-XXX.XXX.10.255网段内主机的所有信息,并使用插件;

xscan xxx.xxx.1.1 -netbios -ntpass -t 30
含义:获取XXX.XXX.1.1主机的Netbios信息,并检测NT弱口令用户,线程数量为30;

xscan xxx.xxx.1.1 -port -banner -cgi -proxy 129.66.58.13:80 -v -d
含义:扫描xxx.xxx.1.1主机的标准端口状态,通过代理服务器"129.66.58.13:80"扫描CGI漏洞,检测端口banner信息,且扫描前不通过ping命令检测主机状态,显示详细扫描进度。


五.数据文件格式:

1."dat\config.ini":

[PORT-LIST]:待扫描端口,格式为"Port=端口1,端口2,端口3...";
[FTP-DEFAULT-ACCOUNTS]:FTP默认帐户,格式为"用户名=口令1,口令2...";
[NT-PASS-DICT]:设置NT用户名及密码字典所在位置,用于扫描NT弱口令用户,格式为"user_dict=.\dat\nt_user.dic";"pass_dict=.\dat\nt_pass.dic",可根据需要更改字典文件名"ntuser.dic"和"ntpass.dic",文件名为空表示不使用字典文件(如"pass_dict=")。注:只有当无法通过NETBIOS获取对方用户列表时,才从字典文件中获取用户名,否则用户名字典无效,程序将以当前服务器中用户列表作为用户名字典;
[NT-DEFAULT-ACCOUNTS]:NT默认帐户,当无法通过NETBIOS获取用户名列表而且又未设置用户名字典时,将由该处获取用户名及口令,格式为"用户名=口令1,口令2...";
[SQL-SERVER-DEFAULT-ACCOUNTS]:SQL-SERVER默认帐户,格式为"用户名=口令1,口令2...";

2."dat\cgi.lst":

CGI程序路径1
CGI程序路径2
CGI程序路径3
......

3."dat\rpc.ini":

1) 存在漏洞的RPC程序列表,内容及格式如下:

[编号1]
ID=程序ID;name=程序名称;alias=程序别名;version=程序版本;protocol=协议;level=风险等级。

[编号2]
......

2) RPC程序ID与名称对应表:

[RPC-NAME]:已知的RPC名称,格式为"程序ID = 程序名称,程序别名1 程序别名2 ..."。
六.插件接口:
1. bind.nfs
扫描漏洞:1) bind NXT records漏洞
参考http://security.nsfocus.com/showQuery.asp?bugID=114
2) ISC Bind 8 TSIG缓冲区溢出漏洞
参考http://security.nsfocus.com/showQuery.asp?bugID=1230
3) DNS Supports IQUERY漏洞
参考http://www.whitehats.com/info/IDS277
溢出程序参考http://www.securityfocus.com/vdb/?id=134
2. finger.nfs
扫描漏洞:1) finger 0@host漏洞
参考http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-1999-0197
2) FreeBSD 4.1.1 finger漏洞
FreeBSD 4.1.1的finger实现有问题,执行finger filename@victim,可以看到文件内容,例如finger /etc/passwd@victim可以看到passwd文件
3) finger重定向漏洞
执行finger @host@victim,可以用victim做代理来finger host主机
3. sygate.nfs
扫描漏洞:1) 某些版本的sygate有一个后门,可以通过7323端口远程控制
参考http://www.securityfocus.com/vdb/?id=952
中文http://security.nsfocus.com/showQuery.asp?bugID=273
4. RedV.nfs
老鬼(colossus)为纪念2001年5月1日-2001年5月7日所做,自动更换页面插件,将编辑好的Index.htm文件存放至xscan.exe所在目录下的dat目录,当扫描出对方存在SQL-SERVER默认帐户、NT管理员空口令、UNICODE中的任何一种漏洞,将自动用Index.htm文件覆盖对方原索引文件,其中UNICODE漏洞仅限于英文WINDOWS,本插件仅供学习及技术交流之用,请勿滥用。
好了,有着冰河这么一个优秀的程序设计人员在开发它,我们只要等待+鼓励+帮助,那么很快xscan将迅速成长起来。当然如果你的机器需要特别的“照顾”的话,可以选用一些商业扫描器,例如ISS,retina等等。
四.IDS
我没有用过NT 下的几个满意的,对于这种工具很多都是商业用的,需要money去买,嘿嘿…….,不过我还是给大家推荐一款自称是IDS的NT下的工具。
Fport这个工具的主要用途就是列出你所开启的端口和程序,他一共就是3个文件,很小,但是很能干哦,我想对于查找那些不明程序的开了什么端口很有效果。下面是他的输出:
FPort v1.33 - TCP/IP Process to Port Mapper
Copyright 2000 by Foundstone, Inc. http://www.foundstone.com

Pid Process Port Proto Path
392 svchost -> 135 TCP C:\WINNT\system32\svchost.exe
8 System -> 139 TCP
8 System -> 445 TCP
512 MSTask -> 1025 TCP C:\WINNT\system32\MSTask.exe
8 System -> 1027 TCP

392 svchost -> 135 UDP C:\WINNT\system32\svchost.exe
8 System -> 137 UDP
8 System -> 138 UDP
8 System -> 445 UDP
220 lsass -> 500 UDP C:\WINNT\system32\lsass.exe
208 services -> 1026 UDP C:\WINNT\system32\services.exe
很清楚吧,但是它自称是 IDS似乎是有点夸大了。哎,要是谁有什么有趣的IDS软件给我玩玩就好了。
六.--其他
SecureIIS 1。0。4
Eeye安全公司(http://www.eeye.com)刚刚不久推出一款新的产品SecureIIS,这个东东是一个具备防火墙和入侵检测系统特性的产品,它能够保护IIS系统不受已知或者未知的入侵方法的侵害,它工作在应用程序层,包裹在IIS外面来检测数据安全 ,让攻击变的更加困难。
安装好这个工具以后,然后选定你想要保护的站点,接着就是自定义保护项目了,在这里一共有7个项目,我们将在下面一一进行介绍。
Buffer overflow-----常用的攻击方法,产生原因是由于攻击者使用一个发送一个大的请求到WEB服务器,WEB服务器尝试把这个大的请求copy到一个较小的缓冲器里,这样一个Buffer overflow就产生了,如果攻击者发送一个特别的缓冲的来溢出的话,他可能能够在你的 WEB服务器上执行一些命令。
ShellCode Protection-----检查数据中可能存在的执行命令经过你的服务器。
Keyword Filtering------ 默写确定的攻击种类可以使用过滤关键字的方法停止,例如过滤掉cmd.exe和system32,嘿嘿,最近很常见的攻击哦。
Allowed Folders-------加入一些检查的路径将使你的WEB避免遭受一些Directory Traversal Attacks。
Http Method---------WEB服务的请求方法的限定将使你的服务器更加安全。缺省情况下SecureIIS只允许GET和POST两种方法,嘿嘿,如果你的WEB没有留言本,论坛等等需要POST的请求的页面,那么连POST也可以省掉了.
Miscellaneous-------一些分类模糊的攻击模式的保护就在这里拉。
Sellect error file-------错误文件的选择。
总的来说那,这个产品的确是有点新意,但是毕竟才刚刚开发出来,许多的功能仍需要完善,就例如说它的1.0.3版本虽然对ADMIN的关键字进行检查,但是对于解码的关键字就没有进行检查例如"%41DMIN"的请求就通过了…….咳,说什么好呢,革命尚未完成,同志还要努力呀。哈哈
忘记唠叨一句,在它的子目录policies里有一个default.ini是一个缺省的配置,你可以看看它到底做了些什么。三.扫描工具
扫描器可以帮助你检查自己网络的脆弱性,虽然说有很多的国外的商业扫描器是十分好的作品,但是笨重的身躯和繁长的报告能让你头痛3天,为此,我在这里特别给大家介绍一个国产的免费的扫描器-----xscan。Xscan的作者就是冰河,它的最大的优点就是中文的报告,和对漏洞的中文的评述(我认为)。它最大的缺点就是功能仍然不够全面,感觉对CGI漏洞的扫描功能做的比较好,其他的漏洞检查仍然需要大力改进,而且速度比较慢。好了,废话少说,先让我们看看它的说明书吧。
一.系统要求:Windows 98/NT4.0/2000
二.功能简介:
采用多线程方式对指定IP地址段(或单机)进行安全漏洞扫描,支持插件功能,提供了图形界面和命令行两种操作方式,扫描内容包括:标准端口状态及端口banner信息、CGI漏洞、RPC漏洞、SQL-SERVER默认帐户、FTP弱口令,NT主机共享信息、用户信息、组信息、NT主机弱口令用户等。扫描结果保存在/log/目录中,index_*.htm为扫描结果索引文件。对于一些已知的CGI和RPC等漏洞,我们给出了相应的漏洞描述、利用程序及解决方案,其它漏洞资料正在进一步整理完善中,您也可以通过本站的"安全文献"和"漏洞引擎"栏目查阅相关说明。


三.所需文件:

xscan_gui.exe -- X-Scanner图形界面
xscan.exe -- X-Scanner for Windows 98/NT4.0/2000 主程序
mssql.dll -- SQL动态链接库
netbios.dll -- NetBios动态链接库
oncrpc.dll -- OncRpc动态链接库
readme.txt -- 使用说明
/dat/config.ini -- 用户配置文件,包括扫描端口、默认用户名及口令等信息
/dat/cgi.lst -- CGI漏洞列表
/dat/rpc.ini -- RPC程序名称及漏洞列表
/dat/ntuser.dic -- NT主机用户名字典文件,用于扫描NT弱口令用户
/dat/ntpass.dic -- NT主机密码字典,用于扫描NT弱口令用户
/plugin -- 用于存放所有插件(后缀名为.nfs),插件也可放在xscan.exe所在目录的其他子目录中,程序会自动搜索。

/cgi/*.htm -- CGI漏洞描述及解决方案,其中index.htm为主索引文件
/cgi/ -- CGI漏洞利用程序及实例
/rpc/*.htm -- RPC漏洞描述及解决方案,其中index.htm为主索引文件
/rpc/ -- RPC漏洞利用程序及实例

注:cgi目录和rpc目录内仅包含各漏洞说明及利用程序,并非扫描器所必需的文件。


四.运行参数说明:

1.命令行:Xscan [起始地址]<-[终止地址]> [扫描选项]

其中的[扫描选项]含义如下:
-port : 扫描标准端口(端口列表可通过\dat\config.ini文件定制);
-banner : 获取开放端口的banner信息,需要与-p参数合用;
-cgi : 扫描CGI漏洞;
-rpc : 扫描RPC漏洞;
-sql : 扫描SQL-SERVER默认帐户;
-ftp : 尝试FTP默认用户登录(用户名及口令可以通过\dat\config.ini文件定制);
-netbios: 获取NetBios信息(若远程主机操作系统为Windows9x/NT4.0/2000);
-ntpass : 尝试弱口令用户连接(若远程主机操作系统为Windows NT4.0/2000);
-all : 扫描以上全部内容;

-v : 显示详细扫描进度;
-d : 禁止扫描前PING被扫主机。
-plugin : 使用插件;

-t [线程数量]: 设置线程数量,默认为20个线程,最大值为50;
-proxy [代理服务器:端口]: 通过代理服务器扫描漏洞,目前只适用于"-cgi"选项;

2.示例:
xscan xxx.xxx.1.1-xxx.xxx.10.255 -all -plugin
含义:扫描XXX.XXX.1.1-XXX.XXX.10.255网段内主机的所有信息,并使用插件;

xscan xxx.xxx.1.1 -netbios -ntpass -t 30
含义:获取XXX.XXX.1.1主机的Netbios信息,并检测NT弱口令用户,线程数量为30;

xscan xxx.xxx.1.1 -port -banner -cgi -proxy 129.66.58.13:80 -v -d
含义:扫描xxx.xxx.1.1主机的标准端口状态,通过代理服务器"129.66.58.13:80"扫描CGI漏洞,检测端口banner信息,且扫描前不通过ping命令检测主机状态,显示详细扫描进度。


五.数据文件格式:

1."dat\config.ini":

[PORT-LIST]:待扫描端口,格式为"Port=端口1,端口2,端口3...";
[FTP-DEFAULT-ACCOUNTS]:FTP默认帐户,格式为"用户名=口令1,口令2...";
[NT-PASS-DICT]:设置NT用户名及密码字典所在位置,用于扫描NT弱口令用户,格式为"user_dict=.\dat\nt_user.dic";"pass_dict=.\dat\nt_pass.dic",可根据需要更改字典文件名"ntuser.dic"和"ntpass.dic",文件名为空表示不使用字典文件(如"pass_dict=")。注:只有当无法通过NETBIOS获取对方用户列表时,才从字典文件中获取用户名,否则用户名字典无效,程序将以当前服务器中用户列表作为用户名字典;
[NT-DEFAULT-ACCOUNTS]:NT默认帐户,当无法通过NETBIOS获取用户名列表而且又未设置用户名字典时,将由该处获取用户名及口令,格式为"用户名=口令1,口令2...";
[SQL-SERVER-DEFAULT-ACCOUNTS]:SQL-SERVER默认帐户,格式为"用户名=口令1,口令2...";

2."dat\cgi.lst":

CGI程序路径1
CGI程序路径2
CGI程序路径3
......

3."dat\rpc.ini":

1) 存在漏洞的RPC程序列表,内容及格式如下:

[编号1]
ID=程序ID;name=程序名称;alias=程序别名;version=程序版本;protocol=协议;level=风险等级。

[编号2]
......

2) RPC程序ID与名称对应表:

[RPC-NAME]:已知的RPC名称,格式为"程序ID = 程序名称,程序别名1 程序别名2 ..."。
六.插件接口:
1. bind.nfs
扫描漏洞:1) bind NXT records漏洞
参考http://security.nsfocus.com/showQuery.asp?bugID=114
2) ISC Bind 8 TSIG缓冲区溢出漏洞
参考http://security.nsfocus.com/showQuery.asp?bugID=1230
3) DNS Supports IQUERY漏洞
参考http://www.whitehats.com/info/IDS277
溢出程序参考http://www.securityfocus.com/vdb/?id=134
2. finger.nfs
扫描漏洞:1) finger 0@host漏洞
参考http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-1999-0197
2) FreeBSD 4.1.1 finger漏洞
FreeBSD 4.1.1的finger实现有问题,执行finger filename@victim,可以看到文件内容,例如finger /etc/passwd@victim可以看到passwd文件
3) finger重定向漏洞
执行finger @host@victim,可以用victim做代理来finger host主机
3. sygate.nfs
扫描漏洞:1) 某些版本的sygate有一个后门,可以通过7323端口远程控制
参考http://www.securityfocus.com/vdb/?id=952
中文http://security.nsfocus.com/showQuery.asp?bugID=273
4. RedV.nfs
老鬼(colossus)为纪念2001年5月1日-2001年5月7日所做,自动更换页面插件,将编辑好的Index.htm文件存放至xscan.exe所在目录下的dat目录,当扫描出对方存在SQL-SERVER默认帐户、NT管理员空口令、UNICODE中的任何一种漏洞,将自动用Index.htm文件覆盖对方原索引文件,其中UNICODE漏洞仅限于英文WINDOWS,本插件仅供学习及技术交流之用,请勿滥用。
好了,有着冰河这么一个优秀的程序设计人员在开发它,我们只要等待+鼓励+帮助,那么很快xscan将迅速成长起来。当然如果你的机器需要特别的“照顾”的话,可以选用一些商业扫描器,例如ISS,retina等等。
四.IDS
我没有用过NT 下的几个满意的,对于这种工具很多都是商业用的,需要money去买,嘿嘿…….,不过我还是给大家推荐一款自称是IDS的NT下的工具。
Fport这个工具的主要用途就是列出你所开启的端口和程序,他一共就是3个文件,很小,但是很能干哦,我想对于查找那些不明程序的开了什么端口很有效果。下面是他的输出:
FPort v1.33 - TCP/IP Process to Port Mapper
Copyright 2000 by Foundstone, Inc. http://www.foundstone.com

Pid Process Port Proto Path
392 svchost -> 135 TCP C:\WINNT\system32\svchost.exe
8 System -> 139 TCP
8 System -> 445 TCP
512 MSTask -> 1025 TCP C:\WINNT\system32\MSTask.exe
8 System -> 1027 TCP

392 svchost -> 135 UDP C:\WINNT\system32\svchost.exe
8 System -> 137 UDP
8 System -> 138 UDP
8 System -> 445 UDP
220 lsass -> 500 UDP C:\WINNT\system32\lsass.exe
208 services -> 1026 UDP C:\WINNT\system32\services.exe
很清楚吧,但是它自称是 IDS似乎是有点夸大了。哎,要是谁有什么有趣的IDS软件给我玩玩就好了。
六.--其他
SecureIIS 1。0。4
Eeye安全公司(http://www.eeye.com)刚刚不久推出一款新的产品SecureIIS,这个东东是一个具备防火墙和入侵检测系统特性的产品,它能够保护IIS系统不受已知或者未知的入侵方法的侵害,它工作在应用程序层,包裹在IIS外面来检测数据安全 ,让攻击变的更加困难。
安装好这个工具以后,然后选定你想要保护的站点,接着就是自定义保护项目了,在这里一共有7个项目,我们将在下面一一进行介绍。
Buffer overflow-----常用的攻击方法,产生原因是由于攻击者使用一个发送一个大的请求到WEB服务器,WEB服务器尝试把这个大的请求copy到一个较小的缓冲器里,这样一个Buffer overflow就产生了,如果攻击者发送一个特别的缓冲的来溢出的话,他可能能够在你的 WEB服务器上执行一些命令。
ShellCode Protection-----检查数据中可能存在的执行命令经过你的服务器。
Keyword Filtering------ 默写确定的攻击种类可以使用过滤关键字的方法停止,例如过滤掉cmd.exe和system32,嘿嘿,最近很常见的攻击哦。
Allowed Folders-------加入一些检查的路径将使你的WEB避免遭受一些Directory Traversal Attacks。
Http Method---------WEB服务的请求方法的限定将使你的服务器更加安全。缺省情况下SecureIIS只允许GET和POST两种方法,嘿嘿,如果你的WEB没有留言本,论坛等等需要POST的请求的页面,那么连POST也可以省掉了.
Miscellaneous-------一些分类模糊的攻击模式的保护就在这里拉。
Sellect error file-------错误文件的选择。
总的来说那,这个产品的确是有点新意,但是毕竟才刚刚开发出来,许多的功能仍需要完善,就例如说它的1.0.3版本虽然对ADMIN的关键字进行检查,但是对于解码的关键字就没有进行检查例如"%41DMIN"的请求就通过了…….咳,说什么好呢,革命尚未完成,同志还要努力呀。哈哈
忘记唠叨一句,在它的子目录policies里有一个default.ini是一个缺省的配置,你可以看看它到底做了些什么。


是在是太累了!!我要休息了



返回 主目录 分目录

出版组织:中华小刀会 CNKN. www.cnknife.org 版权所有 站长:小飞刀










好久的文章啦,我找到了.大家看看



地主 发表时间: 09-06-25 08:19

回复: qingshui [qingshui]   论坛用户   登录
拜读大作,受益匪浅
以收藏,希望出新文章,期待之中


B1层 发表时间: 09-09-19 06:22

回复: DarK-Z [bridex]   论坛用户   登录
那是VERY很久以前的小刀会(冰河第一站)的第一版主的文章!

太远了。

B2层 发表时间: 09-09-21 13:12

论坛: 黑客进阶

20CN网络安全小组版权所有
Copyright © 2000-2010 20CN Security Group. All Rights Reserved.
论坛程序编写:NetDemon

粤ICP备05087286号