服務(wù)器安全（三） (5)

發(fā)布時(shí)間: 2012/9/9 15:58:09

要過(guò)濾所有的ICMP報(bào)文只需要將類(lèi)型和編碼都設(shè)置為255）
　　細(xì)心的朋友剛才可能已經(jīng)發(fā)現(xiàn)，在輸入、輸出過(guò)濾器的下面，還有一個(gè)"碎片檢查"功能，這個(gè)功能使用來(lái)
應(yīng)付IP碎片攻擊的，這已經(jīng)超出了本文所討論的范圍，我會(huì)在以后的拒絕服務(wù)攻擊的文章中繼續(xù)和大家一起探
討的。Win2000的路由及遠(yuǎn)程訪問(wèn)是一個(gè)功能非常強(qiáng)大的工具集
4.改變windows系統(tǒng)的一些默認(rèn)值（例如：數(shù)據(jù)包的生存時(shí)間(TTL)值，不同系統(tǒng)有不同的值，有經(jīng)驗(yàn)的人
可以根據(jù)TTL的不同的值判斷對(duì)方使用的是何種操作系統(tǒng)（例如windows 2000默認(rèn)值128），我改改改，看你怎
么看)
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters
DefaultTTL REG_DWORD 0-0xff(0-255 十進(jìn)制,默認(rèn)值128)
說(shuō)明:指定傳出IP數(shù)據(jù)包中設(shè)置的默認(rèn)生存時(shí)間(TTL)值.TTL決定了IP數(shù)據(jù)包在到達(dá)
目標(biāo)前在網(wǎng)絡(luò)中生存的最大時(shí)間.它實(shí)際上限定了IP數(shù)據(jù)包在丟棄前允許通過(guò)的路由
器數(shù)量.有時(shí)利用此數(shù)值來(lái)探測(cè)遠(yuǎn)程主機(jī)操作系統(tǒng).
5.防止ICMP重定向報(bào)文的攻擊
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters
EnableICMPRedirects REG_DWORD 0x0(默認(rèn)值為0x1)
說(shuō)明:該參數(shù)控制Windows 2000是否會(huì)改變其路由表以響應(yīng)網(wǎng)絡(luò)設(shè)備(如路由器)發(fā)送給它的ICMP重定向消息,有
時(shí)會(huì)被利用來(lái)干壞事.Win2000中默認(rèn)值為1,表示響應(yīng)ICMP重定向報(bào)文.
6.禁止響應(yīng)ICMP路由通告報(bào)文
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersInterfacesinterface
PerformRouterDiscovery REG_DWORD 0x0(默認(rèn)值為0x2)
說(shuō)明:“ICMP路由公告”功能可造成他人計(jì)算機(jī)的網(wǎng)絡(luò)連接異常,數(shù)據(jù)被竊聽(tīng),計(jì)算機(jī)被用于流量攻擊等嚴(yán)重后果
.此問(wèn)題曾導(dǎo)致校園網(wǎng)某些局域網(wǎng)大面積,長(zhǎng)時(shí)間的網(wǎng)絡(luò)異常.因此建議關(guān)閉響應(yīng)ICMP路由通告報(bào)文.Win2000中默
認(rèn)值為2,表示當(dāng)DHCP發(fā)送路由器發(fā)現(xiàn)選項(xiàng)時(shí)啟用
7.防止SYN洪水攻擊
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters
SynAttackProtect REG_DWORD 0x2(默認(rèn)值為0x0)
說(shuō)明:SYN攻擊保護(hù)包括減少SYN-ACK重新傳輸次數(shù),以減少分配資源所保留的時(shí)
間.路由緩存項(xiàng)資源分配延遲,直到建立連接為止.如果synattackprotect=2,
則AFD的連接指示一直延遲到三路握手完成為止.注意,僅在TcpMaxHalfOpen和
TcpMaxHalfOpenRetried設(shè)置超出范圍時(shí),保護(hù)機(jī)制才會(huì)采取措施.
8.禁止C$、D$一類(lèi)的缺省共享
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters
AutoShareServer、REG_DWORD、0x0
9.禁止ADMIN$缺省共享
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters
AutoShareWks、REG_DWORD、0x0
10.限制IPC$缺省共享
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa
restrictanonymous REG_DWORD 0x0 缺省
0x1 匿名用戶無(wú)法列舉本機(jī)用戶列表
0x2 匿名用戶無(wú)法連接本機(jī)IPC$共享
說(shuō)明:不建議使用2，否則可能會(huì)造成你的一些服務(wù)無(wú)法啟動(dòng)，如SQL Server
11.不支持IGMP協(xié)議
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters
IGMPLevel REG_DWORD 0x0(默認(rèn)值為0x2)
說(shuō)明:記得Win9x下有個(gè)bug,就是用可以用IGMP使別人藍(lán)屏,修改注冊(cè)表可以修正這個(gè)
bug.Win2000雖然沒(méi)這個(gè)bug了,但I(xiàn)GMP并不是必要的,因此照樣可以去掉.改成0后用
route print將看不到那個(gè)討厭的224.0.0.0項(xiàng)了.
12.設(shè)置arp緩存老化時(shí)間設(shè)置
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices:TcpipParameters
ArpCacheLife REG_DWORD 0-0xFFFFFFFF(秒數(shù),默認(rèn)值為120秒)
ArpCacheMinReferencedLife REG_DWORD 0-0xFFFFFFFF(秒數(shù),默認(rèn)值為600)
說(shuō)明:如果ArpCacheLife大于或等于ArpCacheMinReferencedLife,則引用或未引用的ARP緩存項(xiàng)在ArpCacheLife
秒后到期.如果ArpCacheLife小于阿ARPCacheMinReferencedLife,未引用項(xiàng)在ArpCacheLife秒后到期,而引用項(xiàng)
在ArpCacheMinReferencedLife秒后到期.每次將出站數(shù)據(jù)包發(fā)送到項(xiàng)的IP地址時(shí),就會(huì)引用ARP緩存中的項(xiàng)。
13.禁止死網(wǎng)關(guān)監(jiān)測(cè)技術(shù)
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices:TcpipParameters
EnableDeadGWDetect REG_DWORD 0x0(默認(rèn)值為ox1)
說(shuō)明:如果你設(shè)置了多個(gè)網(wǎng)關(guān),那么你的機(jī)器在處理多個(gè)連接有困難時(shí),就會(huì)自動(dòng)改用備份網(wǎng)關(guān).有時(shí)候這并不是
一項(xiàng)好主意,建議禁止死網(wǎng)關(guān)監(jiān)測(cè).
14.不支持路由功能
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices:TcpipParameters
IPEnableRouter REG_DWORD 0x0(默認(rèn)值為0x0)
說(shuō)明:把值設(shè)置為0x1可以使Win2000具備路由功能,由此帶來(lái)不必要的問(wèn)題.
15.做NAT時(shí)放大轉(zhuǎn)換的對(duì)外端口最大值
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices:TcpipParameters
MaxUserPort REG_DWORD 5000-65534(十進(jìn)制)(默認(rèn)值0x1388--十進(jìn)制為5000)
說(shuō)明:當(dāng)應(yīng)用程序從系統(tǒng)請(qǐng)求可用的用戶端口數(shù)時(shí),該參數(shù)控制所使用的最大端口數(shù).正常情況下,短期端口的分
配數(shù)量為1024-5000.將該參數(shù)設(shè)置到有效范圍以外時(shí),就會(huì)使用最接近的有效數(shù)值(5000或65534).使用NAT時(shí)建
議把值放大點(diǎn).
16.修改MAC地址
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlClass
找到右窗口的說(shuō)明為"網(wǎng)卡"的目錄,
比如說(shuō)是{4D36E972-E325-11CE-BFC1-08002BE10318}
展開(kāi)之,在其下的0000,0001,0002...的分支中找到"DriverDesc"的鍵值為你網(wǎng)卡的說(shuō)明,比如說(shuō)"DriverDesc"的
值為"Intel(R) 82559 Fast Ethernet LAN on Motherboard"然后在右窗口新建一字符串值,名字為
"Networkaddress",內(nèi)容為你想要的MAC值，比如說(shuō)是"004040404040"然后重起計(jì)算機(jī)，ipconfig /all看看.
17. 系統(tǒng)默認(rèn)banner的修改
IIS BANNER 的 DLL 文件放在C:WINNTSYSTEM32INETSRV 目錄下面的，其中對(duì)應(yīng)關(guān)系是：
WEB是：C:WINNTSYSTEM32INETSRVW3SVC.DLL
FTP是： C:WINNTSYSTEM32INETSRVFTPSVC2.DLL
SMTP是：C:WINNTSYSTEM32INETSRVSMTPSVC.DLL
注意：
在修改的時(shí)候請(qǐng)停止 IIS的服務(wù)，可以用 iisreset /stop 。
由于 2000系統(tǒng)后臺(tái)的文件保護(hù)機(jī)制的作用，當(dāng)系統(tǒng)一旦發(fā)現(xiàn)重要的 DLL文件被修改后就會(huì)嘗試用
%SYSTEMROOT%system32dllcache 目錄下的備份文件來(lái)進(jìn)行恢復(fù)，所以在修改前我們還需要事先刪除
%SYSTEMROOT%system32dllcache目錄下的同名文件