看Linux系統(tǒng)如何偽裝 |
發(fā)布時間: 2012/9/8 16:37:24 |
網(wǎng)絡(luò)上的計算機(jī)很容易被黑客利用工具或其它手段進(jìn)行掃描,以尋找系統(tǒng)(QQ:小默862693539)中的漏洞,然后再針對漏洞進(jìn)行攻擊。通過偽裝Linux系統(tǒng)(QQ:小默862693539),給黑客設(shè)置系統(tǒng)(QQ:小默862693539)假象,可以加大黑客對系統(tǒng)(QQ:小默862693539)的分析難度,引誘他們步入歧途,從而進(jìn)一步提高計算機(jī)系統(tǒng)(QQ:小默862693539)的安全性。下面以 Red Hat Linux為例,針對幾種黑客常用的途徑介紹一些常用的Linux系統(tǒng)(QQ:小默862693539)偽裝的方法。 一、針對HTTP服務(wù) 通過分析Web服務(wù)器的類型,大致可以推測出操作系統(tǒng)(QQ:小默862693539)的類型,比如,Windows使用IIS來提供HTTP服務(wù),而Linux中最常見的是Apache。 默認(rèn)的Apache配置里沒有任何信息保護(hù)機(jī)制,并且允許目錄瀏覽。通過目錄瀏覽,通?梢垣@得類似“Apache/1.3.27 Server at apache.linuxforum.net Port 80”或“Apache/2.0.49(Unix) PHP/4.3.8”的信息。 通過修改配置文件中的 ServerTokens參數(shù),可以將 Apache的相關(guān)信息隱藏起來。但是,RedHat Linux 運(yùn)行的 Apache 是編譯好的程序,提示信息被編譯在程序里,要隱藏這些信息需要修改Apache的源代碼,然后,重新編譯安裝程序,以實(shí)現(xiàn)替換里面的提示內(nèi)容。 以Apache 2.0.50為例,編輯ap_release.h文件,修改“#defineAP_SERVER_BASEPRODUCT \"Apache\"”為“#define AP_SERVER_BASEPRODUCT \"Mi-crosoft-IIS/5.0\"”。編輯os/unix/os.h文件,修改“#define PLATFORM \"Unix\"”為“#define PLATFORM \"Win32\"”。修改完畢后,重新編譯、安裝Apache。 Apache 安 裝 完 成 后 , 修 改 httpd.conf 配 置 文 件 , 將 “ ServerTokens Full” 改 為“ServerTokens Prod”;將“ServerSignature On”改為“ServerSignature Off”,然后存盤退出。重新啟動Apache后,用工具進(jìn)行掃描,發(fā)現(xiàn)提示信息中已經(jīng)顯示操作系統(tǒng)(QQ:小默862693539)為Windows。 二、針對FTP服務(wù) 通過 FTP 服務(wù),也可以推測操作系統(tǒng)(QQ:小默862693539)的類型,比如,Windows 下的 FTP 服務(wù)多是 Serv-U,而Linux下常用vsftpd、proftpd和pureftpd等軟件。 以proftpd為例,修改配置文件proftpd.conf,添加如下內(nèi)容: ServerIdent on \"Serv-U FTP Server v5.0 for WinSock ready...\" 存盤退出后,重新啟動proftpd服務(wù),登錄到修改了提示信息的FTP服務(wù)器進(jìn)行測試: C:\\>ftp 192.168.0.1 Connected to 192.168.0.1. 220 Serv-U FTP Server v5.0 for WinSock ready... User (192.168.0.1:(none)): 331 Password required for (none). Password: 530 Login incorrect. Login failed. ftp > quit 221 Goodbye. 這樣從表面上看,服務(wù)器就是一個運(yùn)行著Serv-U的Windows了。 三、針對TTL返回值 可以用ping命令去探測一個主機(jī),根據(jù)TTL基數(shù)可以推測操作系統(tǒng)(QQ:小默862693539)的類型。對于一個沒有經(jīng)過任何網(wǎng)關(guān)和路由的網(wǎng)絡(luò),直接 ping對方系統(tǒng)(QQ:小默862693539)得到的TTL值,被叫做“TTL基數(shù)”。網(wǎng)絡(luò)中,數(shù)據(jù)包每經(jīng)過一個路由器,TTL就會減1,當(dāng)TTL為0時,這個數(shù)據(jù)包就會被丟棄。 通常情況下,Windows的TTL的基數(shù)是128,而早期的Red Hat Linux和Solaris的TTL基數(shù)是255,F(xiàn)reeBSD和新版本的Red Hat Linux的TTL基數(shù)是64。比如,ping一個Red Hat系統(tǒng)(QQ:小默862693539),顯示如下: Pinging 192.168.0.1 with 32 bytes of data: Reply from 192.168.0.1: bytes=32 time <10ms TTL=64 Reply from 192.168.0.1: bytes=32 time <10ms TTL=64 Reply from 192.168.0.1: bytes=32 time <10ms TTL=64 Reply from 192.168.0.1: bytes=32 time <10ms TTL=64 Ping statistics for 192.168.0.1: Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip times in milli-seconds: Minimum = 0ms, Maximum = 0ms, Average = 0ms 用以下命令修改Red Hat Linux的TTL基數(shù)為128(本來為64): # echo 128 > /proc/sys/net/ipv4/ip_default_ttl 若想使設(shè)置永久生效,可以修改/etc/sysctl.conf配置文件,添加如下一行: net.ipv4.ip_default_ttl = 128 保存退出后,再ping 192.168.0.1,TTL基數(shù)就變?yōu)?28了。 有時通過掃描3389端口和22端口,也可以推測操作系統(tǒng)(QQ:小默862693539)的類型。Windows下一般利用TCP協(xié)議的3389端口進(jìn)行遠(yuǎn)程控制,而Linux可能會用TCP協(xié)議的22端口,提供帶有加密傳輸?shù)腟SH服務(wù)。 為了安全,可以利用iptables來限制22端口的SSH登錄,讓非授權(quán)的IP掃描不到TCP 22端口的存在: #iptables -I INPUT -s ! xx.xx.xx.xx -p tcp --dport 22 -j DROP 利用iptables,將本機(jī)的TCP 3389端口轉(zhuǎn)移到其它開有3389端口的計算機(jī)上,給Linux系統(tǒng)(QQ:小默862693539)偽裝出一個提供服務(wù)的TCP 3389端口。命令如下: #echo 1 > /proc/sys/net/ipv4/ip_forward #iptables -t nat -I PREROUTING -p tcp --dport 3389 -j DNAT --to xx.xx.xx.xx #iptables -t nat -I POSTROUTING -p tcp --dport 3389 -j MASQUERADE 第一條命令表示允許數(shù)據(jù)包轉(zhuǎn)發(fā);第二條命令表示轉(zhuǎn)發(fā)TCP 3389到xx.xx.xx.xx;第三條命令表示使轉(zhuǎn)發(fā)數(shù)據(jù)包實(shí)現(xiàn)“雙向通路”,給數(shù)據(jù)包設(shè)置一個正確的返回通道。若想使轉(zhuǎn)發(fā)永久生效,可以把以上命令添加到/etc/rc.local文件中。 這樣,當(dāng)黑客掃描服務(wù)器所開端口的時候,就找不到 22號端口,而是看到一個偽裝的 3389端口,從而不能正確判斷出操作系統(tǒng)(QQ:小默862693539)的類型。 四、針對netcraft netcraft是一個很厲害的掃描引擎,它通過簡單的 TCP 80,就可以知道所測服務(wù)器的操作系統(tǒng)(QQ:小默862693539)、Web服務(wù)程序和服務(wù)器開機(jī)時間(Uptime)等信息。 上面介紹的幾種方法對 netcraft來說,均不奏效。針對 netcraft,可利用iptables進(jìn)行系統(tǒng)(QQ:小默862693539)偽裝,使netcraft錯誤判斷操作系統(tǒng)(QQ:小默862693539): #iptables -t nat -I PREROUTING -s 195.92.95.0/24 -p tcp --dport 80 -j DNAT --to xx.xx.xx.xx #iptables -t nat -I POSTROUTING -s 195.92.95.0/24 -p tcp --dport 80 -j MASQUERADE 由于通過抓包發(fā)現(xiàn),netcraft的服務(wù)器不止一臺,所以需要對它所在網(wǎng)段進(jìn)行轉(zhuǎn)發(fā)欺騙處理。 五、小結(jié) 以上方法只能從某種角度上防止和阻撓黑客對系統(tǒng)(QQ:小默862693539)漏洞的分析,在一定程度上可減少計算機(jī)被攻擊的可能性,但仍然是“防君子,不防小人”,僅是給大家提供一個活學(xué)活用的新思路。 本文出自:億恩科技【www.riomediacenter.com】 服務(wù)器租用/服務(wù)器托管中國五強(qiáng)!虛擬主機(jī)域名注冊頂級提供商!15年品質(zhì)保障!--億恩科技[ENKJ.COM] |