030 网络·通信 黑客·安全.txt

希望大家会喜欢 这个是很不错的一个本书 就是电脑报的 精华本

 
揪出你的数据库——数据库下载攻击技术 
 
曲莲飞 (2005年1月10日 第2期)  
　　作为脚本漏洞的头号杀手锏——数据库下载漏洞，现在已经被越来越多的人所熟知。在这个信息化技术更新飞快的时代，漏洞产生后随之而来的就是各种应对的招数，比如改数据库的后缀、修改数据库的名字等等。很多人以为只要这么做就可以解决问题了，但事实往往不如你我所愿，即使你这么做了也难逃被高手攻击的命运。为此我们有必要去了解一些攻击的手法，来增强自己的安全技能。
1．强制下载后缀名为ASP、ASA的数据库文件
　　大多数的网管为了节省时间，网站上的文章系统、论坛等程序都是直接下载别人的源程序再经过部分修改后使用的。而现在很多人做的ASP源程序都已经将数据库的后缀由原先的MDB改为了ASP或ASA。本来这是好事，但在这个信息极度膨胀的社会，老的方法所能维持的时间毕竟有限。对于ASP或ASA后缀的数据库文件，黑客只要知道它们的存放位置，就能轻易地用迅雷这样的下载软件下载得到。图1即笔者利用迅雷下载到的数据库文件（注意数据库的后缀为ASP）。

图1
2．致命符号——＃
　　很多网管以为在数据库前面加个#号就可以防止数据库被下载。是啊，我当时也认为IE是无法下载带有#号的文件的(IE会自动忽略#号后面的内容)。但是“成也萧何，败也萧何”，我们忘记了网页不仅能通过普通的方法访问，而且用IE的编码技术也能访问到。
　　在IE中，每个字符都对应着一个编码，编码符%23就可以替代#号。这样对于一个只是修改了后缀并加上了#号的数据库文件我们依然可以下载。比如#data.mdb为我们要下载的文件，我们只要在浏览器中输入%23data.mdb就可以利用IE下载该数据库文件，这样一来，#号防御手段就形同虚设一般（图2）。

图2
3．破解Access加密数据库易如反掌
　　有些网管喜欢对Access数据库进行加密，以为这样一来就算黑客得到了数据库也需要密码才能打开。但事实正好相反，由于Access的加密算法太脆弱，所以黑客只要随便到网上找一个破解Access数据库密码的软件，不用几秒钟就能得到密码。这样的软件网上有很多，比如Accesskey。
4.瞬杀——数据暴库技术
　　本身数据库暴库技术应该是属于脚本漏洞的行列，之所以拿到这里来说是因为它在数据库下载漏洞中起到了举足轻重的作用，如果仔细一点，读者会发现上面的技巧都是假定知道数据库名的情况下才能实施的。但很多时候我们根本不可能知道数据库的名字，这时我们可能会感到很沮丧，觉得无法再进行下去，但数据库暴库技术的出现不仅可以一扫我们的沮丧情绪，也能让我们真正地将前面的技术综合起来利用。
　　很多人在用ASP写数据连接文件时，总会这么写(conn.asp)：
　　……
　　db="data/rds_dbd32rfd213fg.mdb"
　　Set conn = Server.CreateObject("ADODB.Connection")
　　connstr="Provider=Microsoft.Jet.OLEDB.4.0;Data Source="  Server.MapPath(db)
　　conn.Open connstr
　　function CloseDatabase
　　Conn.close
　　Set conn = Nothing
　　……
　　这段语句看上去觉得并没什么问题，而且数据库的名字取得很怪，如果没有数据库暴库技术我们能猜到这样的数据库名的几率几乎为零。但就是这么简短的语句却隐藏着无限的信息。可以说网上绝大部分的程序都存在这个漏洞。我们只要将地址栏上在数据连接文件conn.asp(一般为这个)前的/用%5c替代就可以暴到数据库的位置，接下来的事情应该不需要我说了吧？大家只要开动脑筋没有什么事情是做不成的。
 
 
金山毒霸2005试用手记 
 
吉林 海浪轻风 (2005年3月28日 第12期)  
　　软件名称：金山毒霸2005安全组合装（体验版）
　　软件平台：简体中文Windows 98/Me/2000/XP
　　软件大小：15.0MB
　　下载地址：http://db.kingsoft.com/db2005/kwc/download.php?id=18
　　由于金山允许大家从网站上免费下载并安装完全版本的金山毒霸2005套装，而且金山方面还未规定体验版下载后的使用期限，实际上这等于“白送”大家一套杀毒软件，因此，近日下载者众多。但对于用户来说最关心的仍旧是产品的功能，下面就让我们细品一下这款杀毒软件。
初步品尝
　　金山毒霸2005安全组合装包括金山毒霸2005、金山网镖2005、木马专杀2005，安装程序只有15MB，比以前的版本小了许多，而且可以支持服务器版操作系统，这也是以前的版本所不具备的。
　　利用2005版中的文件实时防毒功能，可在Windows还未完全启动时就开始保护计算机系统。另外开启金山毒霸和网镖主程序时，速度比前一版本稍快一些。
亮点评析
　　软件升级，用户一般会先看它有何亮点，然后再决定是否跟进，如果只是更换一下界面，软件升级的意义就不大了。下面就让我们来看看金山毒霸2005拿什么打动用户的心。
1.主动实时升级
　　2005版中的毒霸、网镖、木马专杀都可以独立更新，而且在快速、自定义和离线升级的基础上新增了主动实时升级功能。只要用户连在互联网上，无需做任何操作，当有最新的病毒库或功能出现时，金山毒霸会自动下载安装。
　　点评：这种随时升级的方式，卡巴斯基等国际知名厂商也在采用，它可以加快应对新病毒的速度，在最短时间内抑制新病毒的泛滥。不过，这对安全公司的服务要求也会更高，金山公司承诺每个工作日至少更新3次病毒库数据。
2.漏洞扫描与主动修复
　　和上一个版本相比，这次软件中提供的漏洞扫描功能有了较大提高，扫描对象主要分为三大类。
　　①可以检查系统中是否安装了微软安全公告中提到的安全补丁。会显示漏洞补丁编号、等级、发布时间、说明、补丁大小等详细信息（见图），用户可以勾选想要安装的补丁，点击“修复选中项目”可以下载并安装。

　　②可以检查系统中所有的共享资源是否存在漏洞。
　　③检查系统中账户设置的缺陷和口令的复杂性。扫描结果中会有详细的说明和操作方法。
　　完成扫描后勾选想要修复的项目并点击“修复选择项目”，就可以下载并安装安全补丁。用户还可使用主动漏洞修复功能，当检测到有新漏洞信息发布时主动进行漏洞扫描并自动修复。
　　点评：可以看出金山毒霸2005想与病毒比速度，最大限度地保护用户的安全。由于本土安全厂商的升级服务器都在国内，另外，根据区域特点（比如国内盗QQ号和网游账号的木马较多）有针对性的服务也是本土安全厂商对抗国际大鳄的有力武器。
3.病毒扫描
　　在病毒扫描方面，毒霸2005所支持的范围扩大了，可以支持 DOS、Windows、UNIX等系统下的几十种压缩格式的查毒，并支持对多种压缩、加壳文件的包内直接查杀。
　　毒霸2005提供了跨平台的软盘杀毒方式，即使用创建的Linux应急启动软盘把系统引导到Linux系统下，通过跨操作系统杀毒也能保证杀毒效果。
　　点评：国内政府一直在支持开源式操作系统的发展，反病毒软件的跨平台应用，不但可以扩大用户群，也是对Linux系统的有力支持。
4.木马专杀
　　目前国内的木马病毒异常泛滥，所以国产安全软件都把查杀木马作为重头戏，此次毒霸2005对原有的木马专杀进行了完善。
　　木马专杀2005增加了多个功能，利用其中的进程管理可以直观地看到各进程的文件名、所在路径、所属公司等信息，这比Windows XP的任务管理器更多一些实际意义。用户可以查看到某进程加载的所有DLL模块，这对于发现和清除目前流行的线程插入式木马非常有用。
　　点评：反病毒软件新版本中也可以看出，拦截和清除木马将会成为今年技术竞争的焦点。江民新出的反病毒软件“KV2005AAA”中的木马一扫光主要采用的是动态监视所有修改注册表的行为，另外瑞星也具有注册表启动项监控功能，这也是一种不错的方式。如果能够综合运用多种监控技术进行监控，效果一定会更好。
5.隐私保护功能
　　隐私保护功能可以防止用户重要的资料（如账号、密码）被泄露出去。在“综合设置/隐私保护”中开启该功能并进行添加，可以添加银行账户、电话、密码等信息。
　　点评：诺顿等反病毒软件中也带有类似的隐私保护功能，而且除了监控邮件以外，还可以监控即时通讯工具以及Web页上的信息。希望金山在后续版本中能够扩大监控、保护的范围。
　　总体来看，金山毒霸2005是一款比较成熟的产品，稳定性也很好，各项功能比较全面，主动升级速度较快，推荐大家下载、使用。
白璧微瑕
　　从试用来看，毒霸2005还存在一些需要改进之处。例如没有设置日志文件大小功能；高级选项中没有发现病毒时让用户进行操作的选项；全面支持对IE、腾讯TT、Maxthon以及其他IE内核浏览器的网页监控功能，虽然可以杀除各种已知的网页病毒，但是打开网页的速度却有所下降；另外，对Firefox等非IE内核的浏览器支持不够完善等。这些缺点都需要厂商在日后的升级或产品中进行改善。 
 
 
首次披露博客漏洞——四大漏洞将毁灭博客 
 
肖遥 (2005年4月4日 第13期)  
　　博客，曾是涂鸦文字、倾吐心事的天堂。如今，面对自身的漏洞、黑客的攻击，这个精神的殿堂坍塌了……
　　本期，我们会结合实例对博客中的四大漏洞进行介绍，希望能使更多的人关注博客的安全问题。
入侵博客太简单
　　对于网站、论坛之类的网页程序来说，由于它们建立在大中型的网站服务器上，早已经过多次黑客攻击的洗礼，因此一般来说很少存在着明显的漏洞。
　　而博客（Blog）则不同，博客的使用者大部分是个人用户甚至是菜鸟，由于这些人对网络程序的安全性并不清楚、重视，同时大部分的博客都存在程序编写不严谨的问题，以至于众多博客往往都存在着许多安全漏洞。