Windows 系统入侵与防护(完整精矫版)

计算机网络入侵

{计算机网络入侵是计算机网络攻击的重要组成部分，它是指黑客利用编写和调试计算机程序的技巧来获得非法或未授权网络中文件的访问。

{本讲座介绍以下三方面的内容：

1.微软操作系统安全性分析

2.攻击Windows NT/2000/XP

3.Windows NT/2000/XP的安全防护

7.1 微软操作系统安全性分析{早在1995年7月，Windows NT的第一版带服务包3的NT3.5就取得了美国TCSEC(受信计算机系统评测标准)标准的C2安全级；1999年3月，带服务包3的NT4获得了英国ITSEC组织的E3级别，其等同于C2级；同年11月，带服务包6a的单机和网络配置的NT4都达到了C2级；Windows2000的基础安全体系结构比Windows NT更加健壮，其安全性也能达到C2级的标准。

C2安全级的关键要求

{达到C2安全级的关键要求是：

z要求系统实现安全登录机制、自主访问

控制机制、安全审计机制和对象重用保

护机制。

z其中后者就是残留信息的处理机制，

即，阻止一个用户利用或阅读另一个用

户已删除的数据，或访问另一个用户曾

使用并释放的内存。

NT系统的安全机制

{NT系统不仅实现了这些机制，同时还实现了两项B安全级的要求：

{一是信任路径功能，用于防止用户登录时被特洛伊木马程序截获用户名和密码；{二是信任机制管理，支持管理功能的单独账号，例如，给管理员的分离账号、可用于备份计算机的用户账号和标准用户等。

7.1.1 Windows 2000的安全子系统{Windows 2000系统及其后续系统是世界上使用最普遍的系统，了解其安全功能是正确对其利用的前提。

{本节首先介绍Windows2000系列的安全子系统的组成结构，然后再介绍几个重要的安全机制，最后介绍Windows XP新增的安全功能。

一、W2000系列的安全子系统的组成

{图1描述了Windows2000系列的安全子系统的组成，其中包括了一些组件和安全数据基，下面分别简要介绍它们的作用。

（1）安全访问监视器(SRM)：

{是Windows2000的执行程序

(\Winnt\System32\Ntoskrnl.exe)中的组件，其作用是负责检查主体访问对象的操作特权（用户的权利）的安全性，并产生有效的安全审计信息。

（2）本机安全权限子系统(Lsass)

{运行在\Winnt\System32 \ lsass.exe映像下的用户模式进程，负责实施本机的安全策略，例如判决是否允许用户登录本机、口令策略管理与实施、向用户或组授予特权、系统安全审计设置、用户鉴别和把安全审计信息发送到事件日志等安全功能。本机安全授权服务功能也通过lsass加载的数据基实现了大部分的功能。

（3）lsass策略数据基：

{用于保存本机安全策略的配置参数，它存储在注册表HKLM \SECURITY下。它包括的内容有：可以信任来自哪些域的验证登录企图，谁被允许访问系统及其访问方式（交互式、网络和服务登录），谁被分配何种特权和完成什么样的安全审计等等。lsass策略数据基也存储“密钥”，包括用于高速缓存域登录信息和Win32服务的用户账号登录。

（4）安全账号管理（SAM）服务：

{由一组管理本机定义的用户名和组的数据基的子例程提供的服务功能。SAM服务由\Winnt\System32 \samsrv.dll实现，运行在Lsass进程中。

（5）Active Directory（活目录）：

{是轻型目录访问协议（LDAP——Lightweight Directory Access Protocol）的目录服务在Windows2000中的实现，它用数据基的形式保存存储域中对象的信息，包括用户、组和计算机的信息。口令信息和域用户与组的特权信息也存储在Active Directory的数据基中，该数据基被复制在指定为域控制器的计算机上。Active Directory目录服务器对应于\Winnt\System32\ntdsa.dll，运行在Lsass进程中。

（6）验证包(Msv1_0.dll和Kerberros.dll) {其中Kerberros是Windows2000中交互登录到域的验证包；Msv1_0是Windows2000中交互登录到本地计算机的验证包。它们是实现了Windows2000验证策略的DLL，运行在Lsass进程中。其功能是检查用户与口令是否匹配，如果匹配，向Lsass返回用户安全标识等安全性信息。