使用IPSec保护服务器安全
不管是在Windows XP上启用防火墙还是Windows Server上配置TCP/IP筛选,都不能严格控制出去的流量。因此如果你的服务器中了木马程序(比如中了灰鸽子木马程序),该程序会主动连接入侵者建立会话,入侵者就能监控和控制你的服务器了。
最大化配置服务器网络安全,你可以严格控制进出服务器的流量,比如你的服务器是Web服务器,你可以配置只允许TCP目标端口80的数据包进入服务器,TCP源端口为80的数据包离开服务器。这样即便你的服务器中了灰鸽子木马程序,也不能主动连接入侵者。这种控制方式可以通过配置服务器IPSec来实现,Windows XP,Windows Server 2003和Windows Server 2008都支持IPSec。
下面就以通过IPSec配置Web服务器安全,防止灰鸽子木马程序为例。演示入侵者制作木马程序,在Server上启用Windows防火墙,安装木马程序,在入侵者远程控制服务器。配置IPSec,如图2-143所示,只允许TCP的目标端口为80数据包进入服务器,只允许TCP的源端口为80的数据包离开服务器。验证木马程序不能连接入侵者。
入侵者的IP地址为192.168.1.121,服务器Server的IP地址为192.168.1.200。
1.制作木马程序
灰鸽子木马程序,可以在http://down.51cto.com/搜索“灰鸽子”,可以找到并下载。
中了灰鸽子木马程序,会主动连接到入侵者,入侵者就可以远程监控和操控中了木马的服务器。这就要求木马程序能够连接到入侵者,因此生成的木马程序必须指定入侵者的IP地址。
(1)如图2-144所示,在入侵者的计算机上安装并运行灰鸽子木马程序,单击“配置服务程序”按钮,提示:木马程序在中了招的计算机上是以服务的方式存在的。
(2)如图2-145所示,在出现的“服务器配置”对话框的“自动上线设置”中输入入侵者的IP地址。
▲图2-144 运行灰鸽子木马程序 ▲图2-145 “服务器配置”对话框
(3)如图2-146所示,在“安装选项”选项卡中,选中“安装成功后自动删除安装文件”复选框。木马程序一般都是在后台偷偷运行的,取消选中“程序安装成功后提示安装成功”和“程序运行时在任务栏显示图标”复选框。
(4)如图2-147所示,在“启动设置”选项卡中,选中“Win2000/XP下优先安装成服务启动”复选框,然后单击“生成服务器”按钮,这样就制作好了木马程序。
▲图2-146 “安装选项”选项卡 ▲图2-147 “服务器配置”对话框
(5)如图2-148所示,可以看到生成的木马程序“Server.exe”。
(6)如图2-149所示,将有木马程序的文件夹共享。以方便Server访问,模拟中木马的过程。
▲图2-148 生成的木马程序 ▲图2-149 共享存放木马的文件夹
2.中木马的过程
(1)如图2-150所示,在Server上,打开“本地连接 属性”对话框,单击“设置”按钮,在出现的“Windows防火墙”提示对话框中,单击“是”按钮,启用Windows防火墙服务。
(2)如图2-151所示,在出现的“Windows防火墙”对话框的“常规”选项卡中,选中“启用”单选按钮和“不允许例外”复选框。
▲图2-150 “本地连接 属性”对话框 ▲图2-151 “Windows防火墙”对话框
(3)如图2-152所示,可以看到本地连接启用了Windows防火墙的图标,加了一把锁。
(4)如图2-153所示,在Server上访问入侵者的共享文件夹,将木马程序拷贝到桌面,双击,安装木马程序。
▲图2-152 启用Windows防火墙 ▲图2-153 将木马拷贝到本地并安装
3.远程监控和控制
(1)如图2-154所示,在入侵者计算机上,可以看到中了木马的计算机自动上线,选中上线的服务器,单击“捕获屏幕”按钮。可以远程监控Server桌面。
(2)如图2-155所示,单击图中框起的鼠标和键盘图标,还可以控制远程计算机。
▲图2-154 捕获屏幕 ▲图2-155 远程控制
(3)如图2-156所示,在Server上的命令提示符下输入netstat –n,可以看到木马建立的会话。
(4)如图2-157所示,在Server上,运行msconfig,打开“系统配置实用程序”对话框,选中“隐藏所有Microsoft服务”复选框,可以看到灰鸽子木马安装的服务。
▲图2-156 灰鸽子建立的会话 ▲图2-157 安装的灰鸽子木马
4.配置IPSec保护Web服务器
(1)如图2-158所示,在Server上禁用Windows防火墙。现在使用IPSec严格控制出入流量。
(2)如图2-159所示,选择“开始”→“程序”→“管理工具”→“本地安全策略”命令。
▲图2-158 关闭Windows防火墙 ▲图2-159 选择“本地安全策略”命令
(3)如图2-160所示,在打开的“本地安全设置”窗口中,右击“IP安全策略,在本地计算机”节点,在弹出的快捷菜单中选择“创建IP安全策略”命令。
(4)在出现的“欢迎使用IP安全策略向导”对话框中,单击“下一步”按钮。
(5)如图2-161所示,在出现的“IP安全策略名称”设置界面中,输入名称和描述信息,单击“下一步”按钮。
▲图2-160 “本地安全设置”窗口 ▲图2-161 “IP安全策略名称”设置界面
(6)如图2-162所示,在出现的“安全通讯请求”设置界面中,取消选中“激活默认响应规则”复选框,单击“下一步”按钮。
(7)如图2-163所示,在出现的“正在完成IP安全策略向导”设置界面中,单击“完成”按钮。
▲图2-162 “安全通讯请求”设置界面 ▲图2-163 “正在完成IP安全策略向导”设置界面
(8)如图2-164所示,在出现的“WebServerIPSec属性”对话框中,取消选中“使用‘添加向导’”复选框,单击“添加”按钮。
(9)如图2-165所示,在出现的“新规则 属性”对话框中,选中“所有IP通讯”单选按钮,单击“筛选器操作”标签。
▲图2-164 “WebServerIPSec属性”对话框 ▲图2-165 “新规则 属性”对话框
(10)如图2-166所示,在“筛选器操作”选项卡中,没有拒绝的动作,取消选中“使用‘添加向导’”复选框,单击“添加”按钮。
(11)如图2-167所示,在出现的“新筛选器操作 属性”对话框的“安全措施”选项卡中,选中“阻止”单选按钮,单击“常规”标签。
▲图2-166 添加筛选器的操作 ▲图2-167 选择阻止
(12)如图2-168所示,在“常规”选项卡中,输入名称,单击“确定”按钮。
(13)如图2-169所示,在“新规则 属性”对话框中,选择刚刚创建的操作“拒绝通信”,单击“应用”按钮。
▲图2-168 指定操作名称 ▲图2-169 选择操作
(14)如图2-170所示,单击“确定”按钮。
(15)如图2-171所示,这样就添加了拒绝所有通信,相当于拔了网线。然后添加规则允许访问Web站点的流量出入。
▲图2-170 完成添加规则 ▲图2-171 添加允许访问Web服务的规则
(16)如图2-172所示,在“新规则 属性”对话框中,单击“添加”按钮。
(17)如图2-173所示,在出现的“IP筛选器列表”对话框中,输入规则名称,取消选中“使用添加向导”复选框,单击“添加”按钮。
▲图2-172 添加筛选器列表 ▲图2-173 添加筛选器
(18)如图2-174所示,在出现的“IP筛选器 属性”对话框中,可以看到源地址和目标地址,一定要选中“镜像,与源地址和目标地址正好相反的数据包相匹配”复选框。
(19)如图2-175所示,在“协议”选项卡中,协议选择TCP,“设置IP协议端口”选项组中,选中“从此端口”和“到任意端口”单选按钮,单击“确定”按钮。
▲图2-174 配置筛选器 ▲图2-175 指定协议和端口
(20)如图2-176所示,单击“确定”按钮。当然,如果还希望别人访问FTP站点,你还可以继续单击“添加”按钮,添加相应的筛选器。筛选器列表中可以包括多个筛选器。
(21)如图2-177所示,在“新规则 属性”对话框中,选中“允许访问Web服务”单选按钮,单击“筛选器操作”标签。
▲图2-176 完成筛选器列表 ▲图2-177 选择筛选器规则
(22)如图2-178所示,在“筛选器操作”选项卡中,选中“许可”单选按钮,单击“应用”按钮。
(23)如图2-179所示,单击“确定”按钮。
▲图2-178 “筛选器操作”选项卡 ▲图2-179 单击“确定”按钮
(24)如图2-180所示,到目前为止已经创建了两个规则,一个是拒绝所有通信,一个是允许访问Web服务器的流量,多个规则以最佳匹配为准。也就意味着不是访问Web站点的流量就应用所有IP通信的规则。
(25)如图2-181所示,右击刚才创建的WebServerIPSec策略,在弹出的快捷菜单中选择“指派”命令,该策略生效。
▲图2-180 创建的两个规则 ▲图2-181 指派IP策略
(26)如图2-182所示,在Server上运行netstat –n命令,可以看到木马程序不能和入侵者的计算机建立会话,这样木马就成了“卧槽马”,不会为你的Server造成多大危害。
(27)如图2-182所示,ping 入侵者的IP地址,出现Destination host unreachable。因为IPSec没有允许此类通信出入。
(28)如图2-183所示,在入侵者计算机上,你也看不到自动上线的主机,就没办法监控和控制中了木马的服务器。
▲图2-182 查看会话测试网络 ▲图2-183 灰鸽子不能上线了
(29)如图2-184所示,可以看到,在入侵者计算机访问Server的Web站点还是可以的。
▲图2-184 能够访问Web站点
结论 |
Windows防火墙能够禁止主动入侵,但是对木马没有防护作用。Windows的TCP/IP筛选和Windows防火墙类似,能够禁止主动入侵,但是对木马没有防护作用。要想使用严格控制出入服务器的流量策略,可以使用IPSec实现。 |
本文转自 onesthan 51CTO博客,原文链接:http://blog.51cto.com/91xueit/1135840,如需转载请自行联系原作者