2008年1月23日 星期三

研討會的心得:入侵手法(Reflection on The Proseminar:Invasion Tricks)

昨天又去參加了一場資安相關的研討會,一方面是因為工作上需要,另一方面是去看看朋友實際操演,畢竟上次的場次沒有參加到,有點遺憾。

除了昨天的研討會之外,先前我也去參加過兩次角度不同的研討會(上課),一次是廠商邀請《研討會的心得--資安議題》,一次是上課《惡意程式分析課的心得》,雖然這是第三次參加,可是有著不同於前兩次的經驗。

第一次老實說像產品發表會,參與過的人就可以理解我所說的意思,第二次是去瞭解一下防毒軟體公司,在電腦遭受感染之後怎麼做病毒分析的方法。而這次我參加的議題則是與入侵手法有關,也實際看見演練的過程,畢竟,先知道有心人士的手法,才知道該如何防範。

在提研討會心得之前,我想先說一下去看研討會應該抱持什麼心態,老實說,也是會後跟朋友聊天時的感想...

其實研討會,無論是廠商邀請自行參加(免費、收費)、甚至是公司出錢派你來參與,我想都會有一點避免不掉的問題,那就是商業行為的置入,畢竟公司是以營利為目的,如果你是付費參加的人,或許還有選擇的權利,不然,大不了就是不要去參加或者只針對特定主題參與即可。

千萬別把個人情緒放在學習增廣見聞之前,如果能在這種場合交到志同道合的朋友,也是件不錯的事情,別老是針對行銷商品、業務推廣來大行批評,畢竟...沒人逼你吧!?雖然我也不喜歡被業務人員騷擾,但是換個心態也就能夠釋懷。(言盡於此)

接著來切入重點,因為我著眼的部份是入侵手法,怕會造成不良的學習及示範,以下的心得內容皆「點到為止」,若真的有興趣,看要私底下討論,或者去參與一下類似的研討會也行。

1.透過瀏覽圖片來植入木馬:

條件:
(1)具有「MS06-001」WMF漏洞
(2)使用WINDOWS圖片和傳真檢視器
(3)使用IE5或6瀏覽器

解決方式:修補MS06-001弱點(停用WINDOWS圖片和傳真檢視器)

2.加入管理者帳號:

條件:
(1)具有「MS06-040」BOF漏洞
(2)具有本機使用者帳號的電腦(M$的都有,除了DC裡的AD之外)
(3)M$的WINDOWS平台內都有終端機服務(僅差在是否有開啟)
(4)使用在區網或無線網路中(無法跨ROUTER和VLAN)

解決方式:修補「MS06-040」弱點。

3.利用網站弱點置換網頁:

條件:
SERVER:
(1)具有CGI漏洞的IIS
(2)具有XP_CMDSHELL的SQL SERVER
(3)網站資料夾權限是Everyone完全控制
(4)預設路徑沒更改
(5)網頁屬於「.htm或.html」

CLIENT:
具有「MS06-014」、「MS04-023」chm或「MS08-001」弱點

解決方式:修復「MS06-014、MS04-023或MS08-001」漏洞。

4.利用SQL Injection植入iFrame或植入DB欄位:

條件:
SERVER:
(1)網頁屬於「.ASP、.ASPX和.PHP」
(2)網頁程式裡有「SQL Injection」
(3)網頁程式呼叫DB的權限過大
(4)DB資料夾沒有鎖定權限
(5)具有XP_CMDSHELL的SQL SERVER
(6)預設路徑沒更改
(7)網站資料夾權限是Everyone完全控制

CLIENT:
具有「MS06-014」MDAC弱點或「MS07-017ANI弱點」

解決方法:修補「MS06-014和MS07-017」或「SQL Injection」。

PS:ASP也可透過FSO(檔案系統物件)來提供處理資料夾及檔案架構的工具。

5.利用其它程式植入木馬:(Realplay、每種播放器都有)

條件:
(1)具Realplay漏洞的電腦
(2)喜歡使用P2P抓取.RM、.RMVB和.WMV的使用者

解決方法:改用RealOne或Realplay 10、11。

我只寫這些條列式的內容,大家會有種搔不到癢處的感覺,其實這些是從講義中截取下來的內容(已得到作者同意),因為這些入侵手法,還需要借助於某些工具(很多來自於對岸)或指令,並不適合在公開部落格上討論。(若是問我是否有破解註冊機還是駭客軟體...等,會石沉大海一樣)

從上述的說明中,不難看出最大的弱點還是出自於M$,除了SQL Injection程式撰寫資料庫管理者有關,其它只要能安穩地把M$的更新乖乖地安裝完(盡可能地不使用S版的XP安裝),就可以做到最基本的安全防護(0時差攻擊除外)。

其實,這樣子的研討會,除了看講師表演入侵手法之外,我覺得最重要的是瞭解這些入侵手法成立的原因管道,畢竟那才是真的能夠幫上我們這些IT管理者,不然花了高額的預算(如果有的話...),添購了一台你自己也不確定要用來防範什麼危險的設備,那還不如把預算省下來多買幾套備份裝置。

除此之外,這次的研討會中有提到Google大神可以協助我們做很多事(無論是漏洞分析、社交漏洞的搜尋,甚至有此地無銀三百兩的配置robot.txt)...),這一點跟我去聽的第一場研討會類似,我也不多說這部份的內容。

結論:

聽完了這場研討會,直覺M$的更新相當重要,只是礙於市場條件實際狀況,經常會有偷吃步的方法出現(S版XP、無人安裝...等),一個不察就會造成漏洞百出,雖然知道有這樣子的風險,台灣真的有做過弱點分析入侵偵測的網站有多少?(那個數字應該會讓人心寒吧!)說不定去對岸的網站隨便掃一掃,就可以發現有多少台灣網站門戶洞開。

心裡想著,如果有一天我的影響力涵蓋那部份的業務時,期許自己能夠細心且謹慎的測試,在時程安全中取得平衡,這是一件相當重要且困難的事,不然...那天在Google上發現自己管的網站,被開了後門,那時帶來的風險,與系統毀損相比,毫不遜色!(系統毀了頂多是資料遺失,被開後門則是想像無限)。