網絡信息系統安全漏洞的研究

正鋒 馬莉雅

【摘要】隨著網絡的普及，人類全面迎來了信息化時代，網絡開始滲透并深入影響我們的生產生活，不但如此，國家的軍事、政治、文化等方面受到網絡的影響也越來越深，網絡安全問題成為了我們關注的焦點。由于國家很多敏感信息以及機密要聞都有著極大的價值，因此會受到很多不法人士的覬覦，世界各地的黑客能夠以系統漏洞為媒介通過網絡對系統進行攻擊。因此文章就有關安全漏洞問題進行了相關論述、研究。

【關鍵詞】網絡信息系統；安全漏洞；權限

中圖分類號：C93文獻標識碼： A

信息與網絡涉及到國家的政治、軍事、文化等諸多領域，其中有很多是國家敏感信息和國家機密，所以難免會吸引來自世界各地的各種網絡黑客的人為攻擊（例如，信息竊取、信息泄漏、數據刪除和篡改、計算機病毒等）。本文圍繞著網絡信息系統的漏洞進行初步的研究和討論。

一．漏洞與計算機系統的關系

現在計算機的系統安全等級分級標準一般是依據“受信任計算機系統評量基準”（Trusted Computer System Evaluation Criteria）中的定義來表述漏洞問題與不同安全級別計算機系統之間的關系的，可信任系統的基本定義如下：一個由完整的硬件及軟件所組成的系統，在不違反訪問權限的情況下，它能同時服務于不限定個數的用戶，并處理從一般機密到最高機密等不同范圍的信息。橘皮書把計算機系統可接受的信任程度進行分級，一旦符合某類安全條件或者安全等級的系統即歸類為某種安全等級，橘皮書將計算機系統的安全性能由高而低劃分為A、B、C、D四大等級。A級：可驗證訪問控制（Verified Protection），而其特點在于該等級的系統擁有正式的分析及數學式方法，可完全證明該系統的安全策略及安全規格的完整性與一致性；B級：強制訪問控制（Mandatory Protection），該等級的安全特點在于由系統強制對客體進行安全保護，在該級安全系統中，每個系統客體（如文件、目錄等資源）及主體（如系統管理員、用戶、應用程序）都有自己的安全標簽（Security Label），系統依據用戶的安全等級賦予其對各個對象的訪問權限；C級：自主訪問控制（Discretionary Protection），該等級的安全特點在于系統的客體（如文件、目錄）可由該系統主體（如系統管理員、用戶、應用程序）自主定義訪問權。例如：管理員可以決定系統中任意文件的權限。當前Unix、Linux、Windows NT等作系統都為此安全等級；D級：最低保護（Minimal Protection），凡沒有通過其他安全等級測試項目的系統即屬于該級，如Dos，Windows個人計算機系統。

二、各類漏洞的研究與分析

1、網絡信息系統軟件安全漏洞

一個計算機網絡軟件安全漏洞有它多方面的屬性，我認為可以大致分成以下幾類，事實上一個系統漏洞對安全造成的威脅遠不限于它的直接可能性，如果攻擊者獲得了對系統的一般用戶訪問權限，他就極有可能再通過利用本地漏洞把自己升級為管理員權限：

1.1、遠程管理員權限。攻擊者無須一個賬號登錄到本地直接獲得遠程系統的管理員權限，通常通過攻擊以root身份執行的有缺陷的系統守護進程來完成。漏洞的絕大部分來源于緩沖區溢出，少部分來自守護進程本身的邏輯缺陷。

1.2、本地管理員權限。攻擊者在已有一個本地賬號能夠登錄到系統的情況下，通過攻擊本地某些有缺陷的sued程序，競爭條件等手段，得到系統的管理員權限。如：在windows2000下，攻擊者就有機會讓網絡DDE（一種在不同的Windows機器上的應用程序之間動態共享數據的技術）代理在本地系統用戶的安全上下文中執行其指定的代碼，從而提升權限并完全控制本地機器。

1.3、普通用戶訪問權限。攻擊者利用服務器的漏洞，取得系統的普通用戶存取權限，對UNIX類系統通常是shell訪問權限，對Windows系統通常是cmd.exe的訪問權限，能夠以一般用戶的身份執行程序，存取文件。攻擊者通常攻擊以非root身份運行的守護進程，有缺陷的chi程序等手段獲得這種訪問權限。

1.4、權限提升。攻擊者在本地通過攻擊某些有缺陷的sgid程序，把自己的權限提升到某個非root用戶的水平。獲得管理員權限可以看作是一種特殊的權限提升，只是因為威脅的大小不同而把它獨立出來。

1.5、讀取受限文件。攻擊者通過利用某些漏洞，讀取系統中他應該沒有權限的文件，這些文件通常是安全相關的。這些漏洞的存在可能是文件設置權限不正確，或者是特權進程

對文件的不正確處理和意外dump core使受限文件的一部份dump到了core文件中。

1.6、遠程拒絕服務。攻擊者利用這類漏洞，無須登錄

即可對系統發起拒絕服務攻擊，使系統或相關的應用程序崩潰或失去響應能力。這類漏洞通常是系統本身或其守護進程有缺陷或設置不正確造成的。如Windows2000帶的Net

meeting3.01存在缺陷，通過向它發送二進制數據流，可以使服務器的CPU占用達到100%。

1.7、本地拒絕服務。在攻擊者登錄到系統后，利用這類漏洞，可以使系統本身或應用程序崩潰。這種漏洞主要因為是程序對意外情況的處理失誤，如寫臨時文件之前不檢查文件是否存在，盲目跟隨鏈接等。 論文代寫

1.8、遠程非授權文件存取。利用這類漏洞，攻擊可以不經授權地從遠程存取系統的某些文件。這類漏洞主要是由一些有缺陷的cgi程序引起的，它們對用戶輸入沒有做適當的合法性檢查，使攻擊者通過構造特別的輸入獲得對文件存取。如Windows IE存在諸多漏洞允許惡意的web頁面讀取瀏覽用戶的本地的文件。

1.9、口令恢復。因為采用了很弱的口令加密方式，使攻擊者可以很容易的分析出口令的加密方法，從而使攻擊者通過某種方法得到密碼后還原出明文來。

1.10、欺騙。利用這類漏洞，攻擊者可以對目標系統實施某種形式的欺騙。這通常是由于系統的實現上存在某些缺陷。

2、硬件的缺陷和漏洞

之前是網絡系統軟件方面的漏洞分類與部分示例，然而硬件設施的存在也引出了硬件方面的缺陷。內存空間之間沒有保護機制，即使簡單的界限寄存器也沒有，也沒有只可供操作系統使用的監控程序或特權指令，任何人都可以編制程序訪問內存的任何區域，甚至連系統工作區(如系統的中斷向量區)也可以修改，用戶的數據區得不到硬件提供的安全保障。 計算機的外部設備是不受操作系統安全控制的，任何人都可以利用系統提供的輸出命令打印文件內容，輸出設備是最容易造成信息泄漏或被竊取的地方。計算機電磁泄漏是一種很嚴重的信息泄漏途徑。計算機的中央處理器中常常還包括許多未公布的指令代碼，這些指令常常被廠家用于系統的內部診斷或可能被作為探視系統內部的信息的“陷門”，有的甚至可能被作為破壞整個系統運轉的“炸彈”。 計算機硬件故障也會對計算機中的信息造成威脅，硬件故障常常會使正常的信息流中斷，這將造成歷史信息的永久丟失。

三．網絡信息系統的防范

3.1 訪問控制策略

訪問控制主要是對人網訪問和網絡權限進行控制，目錄級安全和屬性安全進行控制。入網訪問是網絡訪問的第一步，也是網絡安全防御的首要之處，作為第一層的網絡系統，它的主要作用是識別和驗證用戶身份，核對用戶口令，當用戶帳號出現缺省時要及時進行相關權限的限制。這三項功能環環相扣，層層遞進。用戶如果有任何一條沒能通過，都無法完成訪問，更不能進入網絡系統?？刂凭W絡權限主要是制定針對網絡非法操作的安全保護措施，它詳細規定了用戶的訪問權限，包括哪些內容可以瀏覽，哪些資源可以共享等，對用戶的操作權限進行嚴格限制。目錄級安全控制主要表現在網絡對用戶訪問目錄和文件設備的控制。用戶是否有權限對文件進行管理取決于用戶的受托者，或由指派用戶所在組的受托者指派。屬性安全控制主要是指當用戶查看文件、瀏覽目錄和使用網絡設備時，管理員應給文件、目錄及相關的所有設備指定訪問屬性，保證在權限安全的基礎上提供更進一步的安全屬性。

3.2 防火墻抵御網絡攻擊

防火墻技術是目前網絡信息系統中最為常見也是應用最為廣泛的防御技術，它通過加強網絡之間的訪問控制來防止外部網絡用戶以非法手段進入內部網絡，甚至在未經授權的情況下訪問內部網絡資源。防火墻能夠很好地保護內部網絡的操作環境，它主要分為包過濾技術、狀態檢測技術及服務代理技術三大類。傳統防火墻技術是通過路由器來連接網絡內的所有設備以實施網絡保護功能，但是當非法用戶用虛假地址進行訪問的時候，傳統防火墻就無法進行辨別，更不能進行有效的防范，其他安全策略也隨之失去作用。目前流行的代理服務器技術，與之相比具備了更多的優點，例如靈活性強，安全性能更高等，它能夠對接收到的數據包進行仔細地分析并提供一定的訪問控制，使網絡防火墻具有透明的加密機制，具備了較強的伸縮與擴展的彈性。

3.3 運用掃描技術分析網絡漏洞

運用掃描技術分析網絡漏洞的原理其實就是用遠程自動檢測來修復本地主機的安全漏洞。它通過對網絡環境的錯誤注入手段進行分析，模擬網絡攻擊行為的方式，對系統中的數據進行篩選，從中挑選出不合法的信息并進行回應，從而達到發現并修復漏洞的目的。掃描漏洞能夠自動檢測出本地主機安全防御機制中的弱點，使管理員能夠及時發現并進行有針對性的修補。通過重新更正系統漏洞，正確配置系統資源的方式，來達到構筑新的計算機網絡安全環境的目的。

四、結論

認清網絡的脆弱性和潛在威脅，采取強有力的安全策略，對于保障網絡的安全性將變得十分重要。同時，計算機網絡技術目前正處于蓬勃發展的階段，新技術層出不窮，其中也不可避免的存在一些漏洞，因此，進行網絡防范要不斷追蹤新技術的應用情況，及時升級、完善自身的防御措施。