设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15003] 2020-02-11_等保测评2.0：Windows入侵防范 ...
返回列表 发新帖
查看: 1|回复: 0

[15003] 2020-02-11_等保测评2.0：Windows入侵防范

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-56

积分

管理员

积分
-56
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-02-11_等保测评2.0：Windows入侵防范 等 保 测 评 2 . 0 ： W i n d o w s 入 侵 防 范 起 于 凡 而 非 于 凡   F r e e B u f   2 0 2 0 - 0 2 - 1 1 一 、 说 明 一 、 说 明 本 篇 文 章 主 要 说 一 说 本 篇 文 章 主 要 说 一 说 w i n d o w s 系 统 中 入 侵 防 范 控 制 点 的 相 关 内 容 和 理 解 。 系 统 中 入 侵 防 范 控 制 点 的 相 关 内 容 和 理 解 。 二 、 测 评 项 二 、 测 评 项 a ) 应 遵 循 最 小 安 装 的 原 则 ， 仅 安 装 需 要 的 组 件 和 应 用 程 序 ； b ) 应 关 闭 不 需 要 的 系 统 服 务 、 默 认 共 享 和 高 危 端 口 ； c ) 应 通 过 设 定 终 端 接 入 方 式 或 网 络 地 址 范 围 对 通 过 网 络 进 行 管 理 的 管 理 终 端 进 行 限 制 ； d ) 应 提 供 数 据 有 效 性 检 验 功 能 ， 保 证 通 过 人 机 接 口 输 人 或 通 过 通 信 接 口 输 入 的 内 容 符 合 系 统 设 定 要 求 ； e ) 应 能 发 现 可 能 存 在 的 已 知 漏 洞 ， 并 在 经 过 充 分 测 试 评 估 后 ， 及 时 修 补 漏 洞 ； f ) 应 能 够 检 测 到 对 重 要 节 点 进 行 入 侵 的 行 为 ， 并 在 发 生 严 重 入 侵 事 件 时 提 供 报 警 。 注 意 ， 测 评 项 d 的 测 评 对 象 不 包 括 服 务 器 的 操 作 系 统 ： 三 、 测 评 项 三 、 测 评 项 a a ) 应 遵 循 最 小 安 装 的 原 则 ， 仅 安 装 需 要 的 组 件 和 应 用 程 序 ； 这 一 条 比 较 容 易 理 解 。 即 仅 安 装 该 服 务 器 需 要 的 组 件 和 应 用 程 序 ， 非 必 需 的 组 件 和 应 用 程 序 应 该 删 除 或 者 停 用 。 输 入 a p p w i z . c p l 可 以 看 到 w i n d o w s 中 安 装 的 程 序 ：
在 进 行 测 评 的 时 候 ， 有 一 些 是 明 显 多 余 的 程 序 ， 比 如 Q Q 、 迅 雷 等 ， 另 外 一 些 ， 如 果 是 不 常 见 或 者 不 清 楚 用 途 的 软 件 ， 需 要 通 过 访 谈 来 进 行 确 认 。 四 、 测 评 项 四 、 测 评 项 b b ) 应 关 闭 不 需 要 的 系 统 服 务 、 默 认 共 享 和 高 危 端 口 ； 这 个 测 评 项 总 的 意 思 为 是 否 对 外 部 的 访 问 进 行 管 制 和 最 小 化 处 理 。 服 务 、 进 程 、 端 口 的 关 系 是 这 样 的 ， 启 用 了 某 个 服 务 ， 某 个 服 务 就 会 启 动 一 个 或 者 数 个 进 程 ， 然 后 进 程 就 有 可 能 会 监 听 端 口 ， 然 后 只 有 当 进 程 监 听 了 端 口 后 ， 此 端 口 的 通 信 才 会 存 在 意 义 。 外 界 对 一 个 服 务 器 的 某 个 没 有 任 何 进 程 监 听 的 端 口 发 送 信 息 的 话 ， 不 会 得 到 任 何 回 应 的 。 如 i i s 服 务 会 启 动 w 3 w p 进 程 ， w 3 w p 进 程 就 会 监 听 8 0 端 口 或 者 你 设 置 的 某 个 端 口 。 所 以 对 于 这 个 测 评 项 ， 可 以 从 多 个 方 面 进 行 判 断 ， 一 个 是 开 启 服 务 （ 其 中 也 包 括 了 共 享 服 务 ） 情 况 ， 一 个 是 监 听 端 口 的 情 况 ， 其 中 最 直 接 的 是 通 过 服 务 器 监 听 的 端 口 情 况 进 行 判 断 。 4 . 1 .   不 需 要 的 系 统 服 务 不 需 要 的 系 统 服 务 一 方 面 ， 可 以 查 看 w i n d o w s 启 用 的 功 能 ， 在 服 务 器 管 理 器 中 的 功 能 节 点 中 ， 可 以 看 到 已 启 用 的 w i n d o w s 功 能 ： 这 里 启 用 了 T e l n e t 服 务 器 功 能 ， 明 显 是 多 余 的 （ 在 身 份 鉴 别 控 制 点 的 c 测 评 项 中 也 是 不 允 许 的 ） ， 但 注 意 ， 这 不 能 代 表 它 就 一 定 开 启 了 t e l n e t 服 务 。 另 外 如 果 不 是 网 站 服 务 器 、 应 用 服 务 器 ， 未 承 担 网 站 后 台 的 业 务 ， 那 么 I I S 也 是 多 余 的 。 另 外 一 方 面 ， 就 是 直 接 查 看 各 个 服 务 的 状 态 ：
注 意 ， 这 里 的 T e l n e t 服 务 是 关 闭 的 ， 所 以 并 没 有 监 听 相 关 的 端 口 。 4 . 2 .   默 认 共 享 默 认 共 享 对 于 默 认 共 享 ， 也 可 以 先 看 看 共 享 服 务 是 否 开 启 了 ： 然 后 用 命 令 n e t   s h a r e 查 看 开 启 的 共 享 到 底 有 哪 些 ： 这 里 解 释 一 下 ， 对 于 w i n d o w s 系 统 而 言 ， 默 认 是 会 给 你 开 启 共 享 的 ， 一 个 磁 盘 一 个 共 享 ， c 盘 多 一 个 A d m i n $ 共 享 ， 然 后 都 会 有 一 个 i p c $ 共 享 。 默 认 共 享 和 一 般 共 享 的 区 别 在 于 ， 它 的 共 享 名 后 面 会 有 一 个 $ ， 这 代 表 它 是 一 个 隐 藏 共 享 ， 也 就 是 说 在 计 算 机 的 网 络 中 是 看 不 到 的 ：
但 是 ， 仅 仅 是 隐 藏 而 已 ， 可 以 在 文 件 夹 地 址 栏 中 输 入 地 址 进 行 正 常 的 共 享 访 问 （ 期 间 要 输 入 用 户 名 、 口 令 ） ： 服 务 器 上 可 以 在 服 务 器 管 理 器 中 的 共 享 和 存 储 管 理 中 的 会 话 管 理 中 查 看 共 享 连 接 会 话 （ 这 里 只 包 括 其 它 终 端 连 自 己 的 ） ： 也 可 以 用 n e t   s e s s i o n 命 令 进 行 查 看 （ 这 里 只 包 括 其 它 终 端 连 自 己 的 ） ：
至 于 i p c $ 具 体 用 来 干 嘛 ， 我 不 大 清 楚 ， 它 可 以 实 现 空 用 户 名 、 空 口 令 的 连 接 （ 下 面 是 在 其 它 的 终 端 上 连 接 服 务 器 ， n e t u s e 命 令 可 以 查 看 自 己 对 其 它 服 务 器 的 共 享 连 接 会 话 ） ： 连 上 了 后 ， 基 本 没 有 什 么 权 限 ： 连 上 了 后 ， 再 去 连 或 者 其 他 共 享 ， 实 际 是 直 接 拿 连 接 时 输 入 的 用 户 名 、 口 令 去 验 证 。 所 以 如 果 连 时 输 入 了 账 户 的 用 户 名 和 口 令 ， 那 么 可 以 连 上 其 它 共 享 会 话 。 如 果 是 以 空 用 户 名 、 空 口 令 的 形 式 连 上 ， 就 连 不 上 其 它 共 享 会 话 。 对 于 默 认 共 享 ， 关 闭 方 式 有 几 种 ： 关 闭 S e r v e r 服 务 ， 但 是 这 个 是 将 共 享 服 务 全 部 关 闭 了 ， 要 注 意 是 否 会 影 响 到 业 务 实 际 需 要 的 共 享 。 使 用 n e t   s h a r e   x x x   / d e l e t e 命 令 删 除 共 享 ， x x x 即 为 共 享 的 名 字 ， 比 如 n e t   s h a r e   i p c $   / d e l e t e 。 这 里 说 删 除 i p c $ 共 享 ， 不 会 对 其 它 的 共 享 造 成 影 响 。 另 外 这 只 是 暂 时 的 删 除 ， 服 务 器 重 启 后 又 会 关 闭 ； 在 防 火 墙 或 i p 策 略 中 ， 对 共 享 服 务 使 用 的 端 口 进 行 禁 止 ， 不 过 这 里 不 是 很 好 判 断 ， 根 据 s m b 协 议 使 用 的 不 同 ， 可 能 使 用 不 同 的 端 口 ： 4 . 3 .   高 危 端 口 或 多 余 端 口 高 危 端 口 或 多 余 端 口 其 实 端 口 如 果 不 做 终 端 i p 限 制 ， 那 么 基 本 都 存 在 漏 洞 ， 至 于 监 听 了 多 余 的 端 口 ， 那 就 更 危 险 了 。 C : U s e r s C X > n e t   u s e   1 9 2 . 1 6 8 . 9 . 1 3 6 i p c $   " "   / u s e r : " " 命 令 成 功 完 成 。 C : U s e r s C X > n e t   u s e 会 记 录 新 的 网 络 连 接 。 状 态               本 地                 远 程                                             网 络 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - O K                                           1 9 2 . 1 6 8 . 9 . 1 3 6 i p c $             M i c r o s o f t   W i n d o w s   N e t w o r k 命 令 成 功 完 成 。 i p c $ C : U s e r s C X > n e t   t i m e   1 9 2 . 1 6 8 . 9 . 1 3 6 发 生 系 统 错 误   5 。 拒 绝 访 问 。 C : U s e r s C X > n e t   v i e w   1 9 2 . 1 6 8 . 9 . 1 3 6 发 生 系 统 错 误   5 。 拒 绝 访 问 。 i p c $ c $ i p c $ i p c $ a d m i n i s t r a t o r i p c $ C : U s e r s C X > n e t   u s e   1 9 2 . 1 6 8 . 9 . 1 3 6 i p c $   " "   / u s e r : " " 命 令 成 功 完 成 。 C : U s e r s C X > n e t   u s e   1 9 2 . 1 6 8 . 9 . 1 3 6 c $ 密 码 在   1 9 2 . 1 6 8 . 9 . 1 3 6 c $   无 效 。 为   ' 1 9 2 . 1 6 8 . 9 . 1 3 6 '   输 入 用 户 名 : 发 生 系 统 错 误   1 2 2 3 。 操 作 已 被 用 户 取 消 。
那 么 这 里 说 一 下 常 见 的 多 余 端 口 （ 就 是 那 种 w i n d o w s 默 认 给 你 开 启 的 端 口 ） ： 8 0 端 口 ， 对 于 w i n d o w s 而 言 ， 大 概 率 是 开 启 了 I I S 服 务 ， 如 果 本 身 没 有 这 个 业 务 ， 即 为 多 余 端 口 ； 1 3 5 端 口 ， 是 微 软 R P C 远 程 过 程 调 用 使 用 的 端 口 号 ， 没 有 涉 及 到 远 程 过 程 调 用 的 ， 即 为 多 余 端 口 。 W e b S e r v i c e 是 R P C 的 一 种 实 现 ， 这 里 是 一 个 公 用 的 W e b S e r v i c e 接 口 ， 看 了 之 后 就 知 道 大 概 是 干 嘛 的 了 ： h t t p : / / w w w . w e b x m l . c o m . c n / W e b S e r v i c e s / W e a t h e r W e b S e r v i c e . a s m x ； 1 3 7 、 1 3 8 、 1 3 9 端 口 （ T C P 、 U D P ） ， 是 N e t B I O S 名 称 服 务 （ N e t B I O S   N a m e   S e r v i c e ） 使 用 的 端 口 号 ， 用 于 局 域 网 中 提 供 计 算 机 的 名 字 或 I P 地 址 查 询 服 务 以 及 文 件 共 享 服 务 。 换 句 话 说 ， 共 享 服 务 可 能 使 用 这 三 个 端 口 ， 如 果 没 有 业 务 上 不 需 要 共 享 服 务 ， 那 么 肯 定 是 多 余 端 口 ； 4 4 5 端 口 ， 共 享 服 务 可 能 使 用 的 端 口 ， 如 果 没 有 业 务 上 不 需 要 共 享 服 务 ， 那 么 肯 定 是 多 余 端 口 ； 4 7 0 0 1 端 口 ， W i n d o w s   R e m o t e   M a n a g e m e n t 服 务 用 到 的 端 口 ， 只 能 说 一 般 用 不 到 ， 大 概 率 是 多 余 端 口 。 常 见 的 高 危 端 口 ： 一 些 流 行 病 毒 的 后 门 端 口 （ 如   T C P   2 7 4 5 、 3 1 2 7 、 6 1 2 9   端 口 ） ， 还 有 5 9 3 端 口 ， 是 针 对 D C O M ( D i s t r i b u t e d   C o m p o n e n t O b j e c t   M o d e l , 分 布 式 组 件 对 象 模 型 ) 协 议 的 。 它 允 许 C / S 结 构 的 应 用 通 过 D C O M 使 用 R P C   o v e r   H T T P   s e r v i c e 。 至 于 初 级 教 材 里 说 的 1 0 2 5 端 口 ， 不 明 白 是 用 来 干 嘛 的 ， 因 为 它 是 一 个 动 态 端 口 ， 分 配 给 哪 个 进 程 是 不 确 定 的 （ 1 0 2 4 的 下 一 个 就 是 1 0 2 5 ） ： 其 实 还 是 那 句 话 ， 大 部 分 端 口 都 有 问 题 （ 如 果 你 不 进 行 i p 限 制 ） ， w i n d o w s 常 见 的 3 3 8 9 、 2 2 、 2 1 等 端 口 ， 都 存 在 一 定 的 危 险 性 （ 如 果 你 不 进 行 i p 限 制 ） ， 所 以 多 余 端 口 好 判 断 ， 但 高 危 端 口 要 根 据 具 体 情 况 进 行 判 断 。 4 . 4 .   查 看 监 听 端 口 查 看 监 听 端 口 具 体 测 评 中 要 先 自 己 查 看 监 听 的 端 口 ， 以 及 端 口 的 作 用 ， 然 后 再 进 行 访 谈 。 使 用 n e t s t a t   - a n o 查 看 端 口 情 况 ： 其 中 P I D 列 代 表 的 是 监 听 这 个 端 口 的 进 程 ， 因 为 虽 然 0 - 1 0 2 4 端 口 作 为 熟 知 端 口 号 ， 一 般 用 于 一 些 公 共 的 协 议 使 用 ， 也 就 是 规 定 好 了 哪 个 服 务 使 用 哪 个 端 口 。 但 这 只 是 一 种 规 范 ， 不 代 表 强 制 规 定 ， 实 际 上 某 服 务 （ 进 程 ） 到 底 监 听 什 么 端 口 都 是 自 己 指 定 的 ， 所 以 判 断 端 口 的 作 用 要 结 合 监 听 该 端 口 的 进 程 。 同 样 ， 端 口 也 不 分 操 作 系 统 版 本 ， 比 如 2 2 端 口 ， 为 s s h 协 议 使 用 端 口 ， 一 般 不 出 现 在 W i n d o w s 上 。 但 这 只 是 一 种 规 范 、 通 用 做 法 。
比 如 我 在 w i n d o w s 上 就 曾 查 到 过 2 2 端 口 ， 通 过 监 听 该 端 口 的 进 程 的 P I D ， 查 到 了 该 进 程 。 发 现 是 一 个 远 程 管 理 软 件 ， 可 能 这 个 软 件 是 w i n d o w s 、 l i n u x 共 用 的 ， 所 以 默 认 监 听 2 2 端 口 。 使 用 t a s k l i s t   / v 查 看 正 在 运 行 的 进 程 ： 里 面 就 有 P I D ， 当 然 ， 直 接 打 开 任 务 管 理 器 进 行 查 看 也 可 以 。 对 于 这 些 信 息 （ 端 口 信 息 和 进 程 信 息 ） ， 建 议 有 可 能 的 情 况 不 要 使 用 截 图 ， 因 为 不 利 于 文 本 搜 索 ， 可 以 在 命 令 后 使 用 > ， 将 其 输 入 到 某 文 本 文 件 中 。 4 . 5 .   W i n d o w s 防 火 墙 防 火 墙 一 个 端 口 ， 是 否 能 够 有 效 的 进 行 通 信 ， 要 看 它 是 否 被 监 听 ， 以 及 监 听 后 有 没 有 被 允 许 通 信 。 比 如 4 7 0 0 1 端 口 ， 如 果 被 监 听 了 （ 使 用 n e t s t a t   - a n o 查 看 到 ） ， 但 是 在 防 火 墙 中 或 者 i p 策 略 中 被 禁 止 通 信 了 ， 那 么 这 个 端 口 其 实 不 能 进 行 啥 通 信 ， 这 种 情 况 下 ， 不 能 认 为 服 务 器 监 听 了 多 余 端 口 。 对 于 W i n d o w s 防 火 墙 ， 一 般 存 在 三 个 配 置 文 件 ： 域 配 置 文 件 、 专 用 配 置 文 件 、 共 用 配 置 文 件 当 W i n d o w s 接 入 网 络 时 ， 一 般 会 弹 出 个 框 让 你 选 择 这 个 网 络 属 于 哪 种 类 型 ， 这 个 时 候 就 是 在 决 定 连 入 这 个 网 络 后 使 用 哪 一 种 配 置 文 件 。 所 以 查 看 W i n d o w s 防 火 墙 状 态 ， 不 能 简 单 通 过 查 看 防 火 墙 状 态 来 判 断 ， 要 进 入 高 级 设 置 中 来 判 断 ：
这 里 注 意 ， 公 用 配 置 文 件 是 活 动 的 ， 也 即 现 在 服 务 器 接 入 的 网 络 使 用 的 是 公 用 配 置 文 件 ， 同 时 它 下 面 的 防 火 墙 是 启 用 的 。 注 意 看 ， 专 用 配 置 文 件 下 的 防 火 墙 已 关 闭 ， 但 是 它 没 有 处 于 活 动 状 态 ， 现 在 接 入 的 网 络 用 不 到 这 个 配 置 文 件 ， 所 以 关 闭 也 无 所 谓 。 所 以 查 看 具 体 防 火 墙 规 则 的 时 候 也 要 注 意 它 是 属 于 哪 个 配 置 文 件 的 ， 是 不 是 属 于 已 启 用 的 配 置 文 件 的 规 则 ： 同 时 还 要 注 意 一 点 ， W i n d o w s 防 火 墙 是 白 名 单 制 度 ， 也 就 是 开 启 防 火 墙 后 ， 只 有 允 许 的 端 口 才 可 以 通 行 （ 白 名 单 ） ， 默 认 拒 绝 其 它 端 口 ， 不 过 这 是 可 以 设 置 的 ：
至 于 W i n d o w s 防 火 墙 的 规 则 内 容 ， 这 里 就 不 说 了 ， 百 度 上 写 得 很 清 楚 。 4 . 6 .   I p 策 略 策 略 W i n d o w s 本 身 除 了 防 火 墙 可 以 实 现 端 口 的 管 制 ， I p 安 全 策 略 中 也 可 以 实 现 ： I p 安 全 规 则 引 用 一 个 筛 选 器 列 表 ， 规 则 的 名 字 会 自 动 变 成 应 用 的 筛 选 器 列 表 的 名 字 ：
筛 选 器 列 表 中 可 以 有 多 个 I P 筛 选 器 ： 筛 选 器 即 对 i p 设 置 规 则 ， 表 示 对 符 合 选 定 规 则 的 连 接 进 行 操 作 （ 允 许 、 阻 止 等 ） 。 进 行 的 操 作 由 筛 选 器 列 表 指 定 的 筛 选 器 操 作 决 定 ， 也 就 是 说 同 一 个 筛 选 器 列 表 中 的 I P 筛 选 器 的 操 作 都 是 一 样 的 ：
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 22:29 , Processed in 0.752972 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表