Windows操作系統(tǒng)安全研究

摘要：由于Windows的普及程度廣，所以基于一些已知的系統(tǒng)漏洞對其系統(tǒng)安全進行研究，其中包括遠程攻擊Windows系統(tǒng) ，取得合法權(quán)限后的攻擊手段，以及對該攻擊手段的防范措施，還有對Windows防火墻的研究，以及對Windows 安全中心，Windows組策略，Windows資源保護，內(nèi)存保護的研究，通過對這些方面的研究發(fā)現(xiàn)，對于Windows操作系統(tǒng)是否安全的爭論已經(jīng)有很多，既然因為Windows 的公認優(yōu)點，比如使用方便，兼容性強等等，而選用了這種操作系統(tǒng)，就不能逃避為了讓它安全，持久地運轉(zhuǎn)下去而要承受的安全風險，因此Windows一直會面對嚴峻的系統(tǒng)安全挑戰(zhàn)。

關(guān)鍵詞：Windows系統(tǒng)；遠程攻擊；密碼；權(quán)限；防火墻；組策略

中圖分類號：TP316 文獻標識碼：A 文章編號：1009-3044（2013）10-2314-03

從1998年開始，微軟平均每年對自己的產(chǎn)品公布大約70份安全報告，一直在堅持不懈的給人們發(fā)現(xiàn)的那些漏洞打補丁，Windows這種操作系統(tǒng)之所以安全風險最高可能是因為它的復雜性和普及度廣，百度一下你就知道從NT3.51到Vista，操作系統(tǒng)的代碼差不多增加了10倍，因為版本要更新，所以Windows系統(tǒng)上被悄悄激活的功能會越來越多，因此越來越多的漏洞會被人們發(fā)現(xiàn)。

1 以前遠程攻擊Windows系統(tǒng)的途徑包括

1） 對用戶帳戶密碼的猜測：Windows系統(tǒng)主要的把關(guān)者多半都是密碼，通過字典密碼猜測和認證欺騙的方法都可以實現(xiàn)對系統(tǒng)的攻擊。

2） 系統(tǒng)的網(wǎng)絡服務：現(xiàn)代工具使得存在漏洞的網(wǎng)絡服務被攻擊相當容易，點擊之間即可實現(xiàn)。

3） 軟件客戶端漏洞：諸如Internet Explorer瀏覽器，MSN，Office和其他客戶端軟件都受到攻擊者的密切監(jiān)視，發(fā)現(xiàn)其中的漏洞，并伺機直接訪問用戶數(shù)據(jù)。

4） 設備驅(qū)動：攻擊者持續(xù)不斷的在分析操作系統(tǒng)上像無線網(wǎng)絡接口，usb和cd-rom等設備提交的所有原始數(shù)據(jù)中，發(fā)現(xiàn)新的攻擊點。

比如說很早以前，如果系統(tǒng)開放了smb服務，入侵系統(tǒng)最有效是古老的方法是遠程共享加載：試著連接一個發(fā)現(xiàn)的共享卷（比如c$共享卷或者ipc$），嘗試各種用戶名/密碼組合，直到找出一個能進入目標系統(tǒng)的組合為止。其中很容易用腳本語言實現(xiàn)對密碼的猜測，比如說，在Windows的命令窗口里用net use語法和for命令編寫一個簡單的循環(huán)就可以進行自動化密碼猜測。

5） 針對密碼猜測活動的防范措施：使用網(wǎng)絡防火墻來限制對可能存在漏洞的服務（例如在tcp 139和445號端口上的smb服務，tcp1355上的msrpc服務，tcp3389上的ts服務）的訪問。

使用Windows的主機防火墻（win xp和更高版本）來限制對有關(guān)服務的訪問。

禁用不必要的服務（尤其注意tcp139和445號端口的smb服務）。

制定和實施強口令字策略。

設置一個賬戶鎖定值，并確保該值夜應用于內(nèi)建的Administrator帳戶。

記錄賬戶登錄失敗事件，并定期查看event logs日志文件。

2 取得合法身份后的攻擊手段

1） 權(quán)限提升：在Windows系統(tǒng)上獲得用戶帳戶，之后就要獲得Administrator或System帳戶。Windows系統(tǒng)最偉大的黑客技術(shù)之一就是所謂的Getadmin系列，它是一個針對Windows nt4的重要權(quán)限提升攻擊工具，盡管相關(guān)漏洞的補丁已經(jīng)發(fā)布，該攻擊所采用的基本技術(shù)”dll注入”仍然具有生命力.因為Getadmin必須在目標系統(tǒng)本地以交換方式運行，因此其強大功能受到了局限.

2） 對于權(quán)限提升的防范措施：首先要及時更新補丁，并且對于存儲私人信息的計算機的交互登錄權(quán)限作出非常嚴格限制，因為一旦獲得了這個重要的立足點之后，這些權(quán)限提升攻擊手段就非常容易實現(xiàn)了 ，在Windows2000和更高版本上檢查交互登錄權(quán)限的方法是：運行“l(fā)ocal/group security policy（本地策略＼組安全策略）”工具，找到“l(fā)ocal policies＼user rights assignment（本地策略＼用戶權(quán)限）”結(jié)點，然后檢查log on locally（本地登錄）權(quán)限的授予情況。

3） 獲取并破解密碼：獲得相當于Administrator的地位之后，攻擊者需要安裝一些攻擊工具才能更近一步的控制用戶計算機，所以攻擊者攻擊系統(tǒng)之后的活動之一就是收集更多的用戶名和密碼。針對Windows xp sp2及以后的版本，攻擊者侵入后用戶計算機后首先做的一件事就是關(guān)掉防火墻，因為默認配置的系統(tǒng)防火墻能夠阻擋很多依賴于Windows網(wǎng)絡輔助的工具制造的入侵。

4） 對于密碼破解攻擊的防范措施：最簡單的方法就是選擇高強度密碼，現(xiàn)在多數(shù)Windows系統(tǒng)都默認使用的安全規(guī)則“密碼必須滿足復雜性要求”，創(chuàng)建和更改用戶的密碼的時候要滿足以下要求（以Windows Server 2008為例）：

① 不能包含用戶名和用戶名字中兩個以上的連貫字符；

② 密碼長度至少要6位；

③ 必須包含以下四組符號中的三組：

大寫字母（A到Z）

小寫字母（a到z）

數(shù)字（0到9）

其他字符（例如$，%，&，*）

3 Windows安全功能

3.1 Windows防火墻

Windows xp里有一個名為Internetconnectionfirewall（icf因特網(wǎng)連接防火墻）的組件，微軟在XP后續(xù)版本里對這個防火墻做了很多改進并把它重新命名為Windows Firewall。新名字的防火墻提供了更好的用戶操作界面：保留了“Exception”（例外）設置項，可以只允許“例外”的應用程序通過防火墻；新增加了一個“Advanced”（高級）選項卡，用戶可以對防火墻的各種細節(jié)配置做出調(diào)整。另外，現(xiàn)在還可以通過組策略去配置防火墻，為需要對很多系統(tǒng)的防火墻進行分布式管理的系統(tǒng)管理員提供了便捷。

3.2 Windows 安全中心

安全中心（Seccurity Center）可以讓用戶察看和配置很多系統(tǒng)安全安防功能：Windows Firewall（防火墻），Windows Update（自動更新），Internet Options（因特網(wǎng)選項）。

安全中心的目標瞄準的普通消費者而并不是IT專業(yè)人員，這一點可以從它沒有提供Security Policy（安全策略）和Certificate Manager（證書管理器）等高級安全功能配置界面上看出來。

3.3 Windows組策略

怎樣去管理一個很大的計算機群組？這就需要組策略（Group Policy），它是功能非常強大的工具之一。組策略對象GPO（group policy objects，gpo）被保存在活動目錄（Active Directory）或一臺本地計算機上，這些對象對某個域或本地機器的特定配置參數(shù)做出了定義。GPO作用于站點，域，或組織單元（Organizational Unit，ou），包含在其中的用戶或計算機（稱為有關(guān)GPO的“成員” ）將繼承GPO的設置。用戶可以從“組策略”頁上看到施加在選定對象上的GPO規(guī)則（按優(yōu)先級排列）以及這些規(guī)則是否允許繼承，還可以對GPO規(guī)則進行編輯。GPO似乎是對使用Windows2000及其后續(xù)版本的大規(guī)模網(wǎng)絡進行安全配置的終極手段，但在同時激活本地和域級別的策略時，可能會出現(xiàn)一些奇怪的問題，而組策略生效前的延遲也很讓人惱火。消除這個個延遲的辦法之一是用secedit工具立刻刷新有關(guān)策略。用secedit 命令刷新策略的具體做法是打開“運行”（run）對話框并輸入：

secedit/refreshpolicy MACHINE_POLICY

如果你想刷新“user configuration”結(jié)點下的策略，就要輸入：

secedit/refreshpolicy USER_POLICY

3.4 Windows資源保護

Windows 2000和xp新增一項名為Windows File Protection（wfp，windows文件保護）的功能，它能保護由Windows安裝程序安裝的系統(tǒng)文件不被覆蓋。并且之后在Windows Vista版本中做了更新，增加了重要的注冊鍵值和文件，并更名為WRP（Windows資源保護）。WRP有一個弱點在于管理員用于更改被保護資源的ACL（Access Control List，訪問控制列表）。默認設置下，本地管理員組別用于setakeownership權(quán)限并接管任何受WRP保護資源的所有權(quán)。因此被保護資源的訪問權(quán)限可能被擁有者任意更改，這些文件也可能被修改，替換或刪除。WRP并非被制作用來抵御假的系統(tǒng)管理員，它的主要目的是為了防止第三方安裝者修改對系統(tǒng)穩(wěn)定性有重大影響的受保護文件。

3.5 內(nèi)存保護：dep

微軟的Data Execution Prevention（DEP，防止數(shù)據(jù)執(zhí)行）機制由硬件和軟件協(xié)同構(gòu)成。DEP機制將在滿足其運行要求的硬件上自動運行，它會把內(nèi)存中的特定區(qū)域標注為“不可執(zhí)行區(qū)”——除非這個區(qū)域明確地包含著可執(zhí)行代碼。很明顯，這種做法可以防住絕大多數(shù)堆棧型緩沖區(qū)溢出攻擊。除了依靠硬件實現(xiàn)DEP機制外，XP SP2和更高版本還實現(xiàn)了基于軟件的DEP機制去阻斷各種利用windows異常處理機制中的漏洞的攻擊手段。Windows體系的Strucctured Exception Handling（SEH，結(jié)構(gòu)化異常處理）機制一直是攻擊者認為最靠普的可執(zhí)行代碼注入點。

4 結(jié)束語

Windows的系統(tǒng)安全挑戰(zhàn)：

對于Windows操作系統(tǒng)是否安全的爭論已經(jīng)有很多，并且以后肯定還會有更多，不管這些消息是來自微軟，微軟的支持者，還是來自微軟的反對者，只有時間才能證明它們是對還是錯。

Windows很多轟動一時的安全漏洞地絕大多數(shù)在很多其他技術(shù)里也同樣存在很長時間了———它們之所以成為“著名的”Windows安全漏洞，原因只是因為Windows 的用戶數(shù)量更為巨大而已。既然因為Windows 的公認優(yōu)點，比如使用方便，兼容性強等等，而選用了這種操作系統(tǒng)，就不能逃避為了讓它安全，持久地運轉(zhuǎn)下去而要承受的安全風險，所以Windows一直會面對嚴峻的系統(tǒng)安全挑戰(zhàn)。

參考文獻：

[1] 徐顯秋. Windows 2000和XP系統(tǒng)常用安全策略[J].重慶科技學院學報，2005 （4）.

[2] 賴宏應.信息化建設中的信息網(wǎng)絡安全專題—安全威脅和安全策略[C]//四川省通信學會2003年學術(shù)年會論文集，2003.

[3] 耿翕，崔之祜.網(wǎng)絡防火墻技術(shù)的應用及分析[C]//第十九次全國計算機安全學術(shù)交流會論文集，2004.

[4] 李超.網(wǎng)絡安全技術(shù)及策略[C]//第六屆全國計算機應用聯(lián)合學術(shù)會議論文集，2002.

[5] 王全民，王淞，金華鋒，張麗艷.基于windows nt平臺文件隱藏和檢測系統(tǒng)的設計[J].計算機安全，2010（6）.

[6] 張昌宏，胡衛(wèi)，廖巍.計算機桌面安全防護系統(tǒng)設計與實現(xiàn)[C]//中國通信學會第六屆學術(shù)年會論文集（上），2009.

[7] 馮先強. windows內(nèi)核級木馬架構(gòu)模型的改進與實現(xiàn)[D]. 大連：大連理工大學，2010.

[8] 劉海光.基于用戶診斷方式的反惡意軟件系統(tǒng)的研究與實現(xiàn)[D].成都：四川師范大學，2008.

[9] 姜紅艷，那艷.windows的虛擬內(nèi)存管理與優(yōu)化[J].鞍山師范學院學報，2005（4）.