如何在UNIX服务器上配置匿名FTP

在日常的生产运行中,各市行每天都要通过ftp方式从省行计算中心的UNIX文件服务器上收取报表、总帐、流水等数据。为了保证与外部连接时系统和网络的安全,有必要将文件服务器上的ftp用户设置成匿名ftp方式。下面，笔者结合自己的实际工作经验，介绍如何在UNIX服务器上配置匿名ftp。本文配置所用操作系统为SCOOpenServer5.0.5。在客户使用匿名ftp方式登录时，ftpd精灵进程采取特殊方式来限制客户的访问权限。服务器执行chroot(S)命令,转向ftp用户的主目录,使客户只能访问ftp起始目录下的文件。由于使用了chroot系统调用,服务器进程所需…     

计算机网络的访问控制策略浅议

访问控制是网络安全防范和保护的主要策略,其主要任务是保证网络资源不被非法使用和非常访问。 1.入网访问控制 入网访问控制为网络访问提供了第一层控制。它控制哪些用户能够登录到服务器并获取网络资源,控制用户入网的时间和在哪台工作站入网。 用户的入网访问控制可分为3个步骤:用户名的识别与验证、用户口令的识别与验证、用户帐号     

Unix网络系统的安全缺陷及防范措施

Unix网络系统由于其功能强大、性能稳定、安全可靠而在银行系统中广泛的应用。它与Windows95／98等系统相比,具有较高的安全性。但由于其动态体系结构特点、源代码公开、系统配置复杂等原因,Unix网络系统也存在很多安全缺陷,如果不采取相应的防范措施,这些缺陷可能被非法入侵者利用,而影响银行的资金安全。 一、安全缺陷 1.利用网络监听工具截取重要数据 我们通常所用的以太网是一种广播型网络,在这种网络上,发送给每个特定机器的数据都可以被网络上任何机器监听到。常用的监听软件有tcpdump、snoop、etherfind等。这些软件的功能十分强大,既可以监听在网络上传输的所有数据,又可以监听指定源地址、指定目标地址、指定端口和协议的数据,还可以将它们保存下来以便仔细分析。如果网络上有其他用户在使用telnet、ftp、rlogin等服务、就可以监听到这些用户明文形式的帐户名和口令,进而就可以侵入其系统。 2．利用具有suid权限的系统软件的安全漏洞 具有suid权限的程序在运行时,其进程的实际uid为程序执行者的uid,而有效uid为程序owner的uid。由于系统软件的owner通常为root,非法入侵者可能利用这些软件的漏洞来窃取root权限。 (1)利用IFS等环境变量 如果通过阅读系统软件的源程序,知程序中有system()系统调用,如：swstem(“／bin／cpfilelfile2”),那么我们可以重新设置IFS(输入字段分隔符)变量： $IFS=／:exportIFS 此时．该system调用中的命令被解释为：bincpfilefile2,再编一个恶意程序命令为bin并放在用户的path变量内,便可以通过这个bin程序窃取root权限了。 (2)利用缓冲区溢出 有些系统在调用时不检查参数的长度,如调用gets(),scanf()等,这使得程序可以在用户的控制下形成缓冲区溢出。在正常情况下,程序在遇到缓冲区溢出时会停止。但如果用户对Unix很熟悉,就可以使程序在遇到缓冲区溢出时转而运行另一个程序。如果一个有suid权限的程序在缓冲区溢出后转而执行一个shell,那么这时的普通用户就变成了root用户。 (3)利用core文件 程序在运行中发生缓冲溢出、数组边界越界或接收到SIGILL、SIGTRAP等信号时都可能会产生core文件。如果将umask设为000,那么产生的core文件就具有777权限。非法入侵者可以利用dbx或adb等工具来读这个core文件,从而可能获取系统上的重要信息。 3．利用ping、telnet、ftp等命令的缺陷 根据TCP／IP协议规定,数据包的最大长度为65536字节。有的Unix系统在收到过长的IP数据包时,会产生系统崩溃、重新启动、死机等异常反应。我们知道,用ping命令向其他主机发送ICMP数据报文时,其报文大小可以任意指定。因此恶意用户可能通过用ping命令向其他主机发送过长的数据报文来对其进行攻击。微机上常用的SCOUnixSystemV／3863．2．4．2、SCOOpenServer5．0．0和5．O.2均存在该问题。 此外,很多版本的telnet、ftp等命令也存在一定的安全缺陷。 4．利用IP欺骗技术 为了获取访问权限,入侵者可以利用一些基于IP地址的认证程序的特点,在发送IP数据包时,修改其源IP地址字段,将其置为另一台机器的IP地址,该IP地址可能在目标机的／etc／hosts．Equiv或．Rhosts中有记录,这样就可能获取非授权的访问权限,甚至是目标机的root访问权限。 5．利用．Exrc文件 ．Exrc是编辑程序vi的初始化文件。Vi启动时,首先查找并执行$HOME／．Exit和当前目录下的．Exrc文件。非法入侵者可以将一个自己编写的．Exic放在／tmp等公共目录下,当root用户在该目录下运行vi时,该．Exrc文件就会自动运行。非法入侵者可以利用该．Exrc修改重要的系统配置文件,从而获得对系统的长期控制权。 目前的银行系统很多Unix机器在配置上存在着明显的安全缺陷。例如,很多业务机上都有一个关机用户,该用户是root权限,通过将initO或shutdown命令加入其．Pmfile文件,使操作人员能利用该关机用户进行系统关机。但这种关机用户往往未加口令(即使有口令也常为很多人知晓),因而恶意用户可以利用ftp命令,通过关机用户进行登录,进而修改系统文件而获得长期控制权。更有甚者．许多银行网点都是X．25专线连接到机房,而在配置X．25时,往往未将x29、x25ftp等服务屏蔽掉,这样X．25网上的任何用户都可以利用这些X．25服务．通过关机用户而自由进入该台银行业务机。 二、查看是否已被入侵的方法 1．检查日志文件 在文件／etc／syslog．Conf中控制了日志文件的位置以及哪些日志文件记录哪些活动。通过检查这些日志文件,可以获得本系统是如何被攻破的、入侵的过程怎样、哪些远程主机访问了本机器等信息。 2．检查具有suid权限的文件 入侵者常留下具有suid权限且owner为root的可执行文件,以便以后能继续以root身份访问系统。 3．检查文件／etc／passwd是否被修改 应检查非法新增用户、没有口令的用户和UID的改变(尤其是UID为O的用户)。 4．检查系统网络配置中是否有非法的项 应检查／etc／hosts．Equiv以及所有的．Rhosts文件中是否有“+”项和非法的地址项。 5．检查系统上非正常的隐藏文件 Unix上常用的方法是在文件或目录名前加上“…”、“．．”(两点加一个空格)或“．．^G”,这样就实现了文件或目录的隐藏效果,可以用find命令查找这些文件。 6．检查／etc／inetd．Conf和／etc／rc2．D／*文件 检查这些文件是否被植入了人侵者留下的“后门”程序。 三、提高安全性的措施 1.及时安装Unix补丁程序 旧版本的Unix系统往往含有安全漏洞,因此为了系统的安全,应该使用最新版本的Unix系统。同时,新版系统在运行过程中,可能会逐渐暴露出一些安全缺陷,因此要及时安装系统的补丁程序。这些补丁程序可以从各个Unix供应商的Internet网站上下载得到。 2．对网络监听的防范措施 首先应在支持监听模式网络接口的机器上检查是否有网络监听工具软什在运行,包括检查在系统上运行的可疑进程、对／dev／nit的未经授权使用等。如果发现了有网络监听软件正在运行,就应检查网络系统是否已被攻击,并设法恢复系统。此外．对于以太网等广播型网络,应当尽量不要在网络上传输纯文本形式的口令信息,不要以root身份进行远程登录。 3．对IP欺骗技术的防范措施 解决IP欺骗技术的最好方法是安装过滤路由器,不允许包含内部网络地址的数据包通过该路由器。此外,还应该过滤掉与用户内部网络地址不同的源地址向外发出的数据包,这样可以防止源于网络的IP欺骗的攻击。 4．提高文件系统配置的安全性措施 (1)确保系统上没有用于非法目的的.Exre文件。 (2)确保各个系统文件尤其是／etc下各文件的权限被正确设置。 (3)确保／etc、／bin、／usr／bin、／usr／sbin、／tmp、／var／tmp等系统目录的owner为mot,并且／tmp、／var／tmp目录的权限最高位为“t”。 (4)橙查系统上所有具有suid或sgid权限的文件。 (5)建议任何由root运行的文件,其文件owner都应该是root,并将其文件权限的“w”位屏蔽掉。 5．提高网络系统配置的安全性措施 (1)r命令系列(rep、rlogin、rsh)常常是Unix系统的不安全因素。因此,当不真正需要使用r命令时,应当将这些服务去掉。当确实需要使用r命令时,应当谨慎地配置／etc／hosts．Equiv和$HOME／．Rhosts文件。应确保这些文件的权限正确,它们的第一个字符不是“-”,文件中不含有“+”通配符,并建议对root用户不要配置其．Rhosts。 (2)对于／etc／inetd．Conf文件,应确保该文件的owner是root,权限为600,并尽量过滤掉并不真正需要的服务,如tftp服务和r命令服务。 (3)对于ftp服务,应确保已经正确地设置了文件／etc／ftpusers,如果没有该文件则创建。该文件用于指定不许访问用户系统的ftp服务器的用户,其中至少应包含root、bin、rrcp等。 6．加强帐号和口令的安全管理 一定要定期检查／etc／passwd和／etc／shadow文件,检查除root外uid为O的帐号、没有口令的帐号或新增的帐号。任何帐号都不能没有口令保护,各帐号的口令都应当经常更换,要定期查看su日志文件和拒绝登录消息日志文件。     

动态口令安全认证的拨号接入

一、引言在计算机网络中,用户登录或访问服务器、路由器、接入服务器时,最常见、最简单的访问控制方法是使用口令,通过对口令的验证来确认用户的合法性、控制用户的访问权限。由于一般情况下口令采用静态方式和明码传输,口令泄密和被窃听的可能性非常大,因而口令不安全是网络系     

金融领域UNIX网络系统的安全管理策略

1.UNIX系统的基本安全机制(1)用户帐号用户帐号就是用户在UNIX系统上的合法身份标志，其最简单的形式是用户名/口令。在UNIX系统内部，与用户名/口令有关的信息存储在/etc/passwd文件中，一旦当非法用户获得passwd文件时，虽然口令是被加密的密文，但如果口令的安全强度不高，非法用户即可采用“字典攻击”的方法枚举到用户口令，特别是当网络系统有某一入口时，获取passwd文件就非常容易。(2)文件系统权限UNIX文件系统的安全主要是通过设置文件的权限来实现的。每一个UNIX文件和目录都有18种不同的权限，这些权限大体可分为3类，即…     

FTP服务的设置与安全管理

一、前言 术语“FTP”源于“File Transfer Protocol”(文件传输协议),用于在网络上的两台主机之间传输文件。利用FTP协议,用户可以把接入网络的不同计算机上的文件拷贝到自己的计算机上,实现资源共享。在Internet上,成千上万的FTP服务器正是利用了这一协议提供FTP服务。尽管这一角色近几年已     

UNIX下一个适用网络文件处理程序的设计与实现

UNIX作为稳定、成熟的操作系统已广泛应用在国民经济的各个领域,银行的核心主机大都采用UNIX操作系统,并通过TCP/IP网络协议与其它主机联接成网络。在网络系统应用中,客户端需要访问UNIX服务器上的文件,对服务端上文件(特别是大文件)的某部分进行快速读写。UNIX提供了NFS网络文件系统方法共享文件,也提供了FIP、RCP等服务传输任何类型的文件,但是这些方法在     

知识信箱

河北读者李子静问:什么是文件服务器徐博士答:文件服务器是在局域网中,所有用户都可访问的文件存储设备。与磁盘服务器不同,文件服务器比较复杂,它不仅要存储文件,而且还要在用户请求和改变文件时管理这些文件并保持这     

Cisco路由器口令丢失后的恢复

Cisco路由器中含有三种口令,分别是特权用户口令enable password、加密的特权用户口令enable secret password(适合10.3(2)或更新的版本)和虚拟终端访问口令console password。路由器处于用户命令状态时,用户可以看到路由器的连接状态,可以访问其它网络和主机,但不能看到和更改路由器的设置内容。而进入路由器的特权命令状态时,不但可以执行所有的用户命令,还可以看到并更改路由器的设置内容。但是,当Cisco路由器的特     

口令安全

用户的口令是对系统安全的最大安全威胁。为什么这样说呢?因为用户不像系统管理员对系统安全要求那样严格,他们对系统的要求是简单易用。而简单和安全是互相矛盾的两个因素,简单就不安全,安全就不简单。简单的密码是暴露自己隐私最危险的途径,是对自己邮件服务器上的他人利益的不负责任,是对系统安全最严重的威胁。 下面将分三部分介绍口令安全。 安全与不安全的口令 首先应当明确在目前的普通机器上投有绝对安全的口令,因为目前UNIX工作站或服务器口令密码都是用8位(有的新系统是用13位)DES算法进行加密的,即有效密码只有前8位,超过8位的密码就没用了(这是DES算法决定的),昕以一味靠密码的长度是不可以的。而且DES加密算法已经可以被人很快破译。 因为设置密码的是人而不是机器,所以就存在安全的口令和不安全的口令。安全的口令真的可以让机器算5000年,不安全的口令只需要一次就能猜出。 安全的口令有以下特点： (1)位数>6位。 (2)大小写字母混合。如果用一个大写字母,既不要放在开头,也不要放在结尾。 (3)如果你记得住的话,可以把数字无序的加在字母中。 (4)系统用户一定用8位口令,而且有～！@#$％^&*<>?：”{}等符号。 不安全的口令则有如下几种情况： (1)使用用户名(帐号)作为口令。尽管这种方法在便于记忆上有着相当的优势,可是在安全上几乎是不堪一击。几乎所有以破解口令为手段的黑客软件,都首先会将用户名作为口令的突破口,而破解这种口令几乎不需要时间。在一个用户数超过一千的电脑网络中,一般可以找到10至20个这样的用户。 (2)使用用户名(帐号)的变换形式作为口令。将用户名颠倒或者加前后缀作为口令,既容易记忆又可以防止许多黑客软件。不错,对于这种方法的确是有相当一部分黑客软件无用武之地,不过那只是一些初级的软件。比如说著名的黑客软件John,如果你的用户名是fool．那么它在尝试使用fool作为口令之后,还会试着使用诸如fool123、fool1、loof、loof123、lofo等作为口令,只要是你想得到的变换办法,John也会想得到,它破解这种口令,几乎也不需要时间。 (3)使用自己或者亲友的生日作为口令。 这种口令有着很大的欺骗性,因为这样往往可以得到一个6位或者8位的口令,但实际上可能的表达方式只有100×12×31=37200种,即使再考虑到年月日三者共有六种排列顺序,一共也只有37200×6=223200种。 (4)使用常用的英文单词作为口令。这种方法比前几种方法要安全一些。如果你选用的单词是十分偏僻的,那么黑客软件就可能无能为力了。不过黑客多有一个很大的字典库,一般包含10万～20万的英文单词以及相应的组合,如果你不是研究英语的专家,那么你选择的英文单词恐怕十之八九可以在黑客的字典库中找到。如果是那样的话,以20万单词的字典库计算,再考虑到一些DES(数据加密算法)的加密运算,每秒1800个的搜索速度也不过只需要110秒。 (5)使用5位或5位以下的字符作为口令。从理论上来说,一个系统包括大小写、控制符等可以作为口令的一共有95个,5位就是7737809375种可能性,使用P200破解虽说要多花些时间,最多也只需53个小时,可见5位的口令是很不可靠的,而6位口令也不过将破解的时间延长到一周左右。 实际上UNIX的口令设计是十分完善的,一般用户是不可能把自己的密码改成用户名、小于4位或简单的英文单词。这是UNIX系统默认的安全模式,是除了系统管理员(超级用户)以外不可以改变的。因此只要改过口令,应该说口令一般是安全的。重要的是一定要改口令,这应该是用户上网的第一件事。 对于系统管理员的口令即使是8位带～!@#$％^&*的也不代表是很安全的,安全的口令应当是每月更换的带～！@#％^...的口令。而且如果一个管理员管理多台机器,请不要将每台机器的密码设成一样的,防止黑客攻破一台机器后就可攻击所有机器。获得主机口令的方法 口令被盗也就是用户在这台机器上的一切信息将全部丧失,并且危及他人信息安全,计算机只认口令不认人。最常见的是电子邮件被非法截获,上网时被盗用。而且黑客可以利用一般用户用不到的功能给主机带来更大的破坏。例如利用主机和Internet连接高带宽的特点出国下载大型软件,然后在从国内主机下载;利用系统管理员给用户开的shell和UNIX系统的本身技术漏洞获得超级用户的权利;进入其他用户目录拷贝用户信息。 获得主机口令的途径有两个： 1．利用技术漏洞。如缓冲区溢出,Sendmail漏洞,Sun的ftpd漏洞,Ultrix的fingerd,AIX的rlogin等等。 2．利用管理漏洞。如root身份运行httpd,建立shadow的备份但是忘记更改其属性,用电子邮件寄送密码等等。 如何对付口令攻击 目前的情况下系统管理员还不能依靠用户自觉保证口令的安全,管理员应当经常运用口令破解工具对自己机器上的用户口令进行检查,发现如在不安全之列的口令应当立即通知用户修改口令。邮件服务器不应该给用户进shell的权利,新加用户时直接将其shell指向／bin／passwd。对能进shell的用户更要小心保护其口令,一个能进shell的用户等于半个超级用户。保护好／etc／passwd和／etc／shadow当然是首要的事情。 不应该将口令以明码的形式放在任何地方,系统管理员口令不应该很多人都知道。 另外,还应从技术上保密,最好不要让root远程登录,少用Telnet或安装SSL加密Telnet信息。另外保护用户名也是很重要的事情。登录一台机器需要知道两个部分——用户名和口令。如果要攻击的机器用户名都需要猜测,可以说攻破这台机器是不可能的。     

域名——无形资产的新领域

Internet上有千万台主机，为区分这些主机，人们给每个主机都分配了一个专门的地址，称为IP地址。通过IP地址可以访问到每一台主机。IP地址由几个分数字组成，对于一般用户来讲使用不便。因此，域名便产生了，它是用容易记忆的单词和习惯用语表示的因特网上的地址。人们习惯记忆与使用域名，但机器间互相只认识IP地址，域名与IP地址之间是一一对应的，它们之间的转换工作由专门的域名解析服务器来自动完成。通常用户只要知道某企业的域名，就可以顺利地访问到该企业的网站了。企业的域名是企业在因特网上的身份证，是企业的网上商标，客户将会记住这个名字，并用它找寻企业产品和服务信息。     

防范入侵全接触

黑客入侵早在主机时代就已经出现,而随着互联网的发展,现代黑客则从以系统为主的入侵转变到以网络为主的入侵,新的手法包括:通过网络监听获取网上用户的帐号和密码;监听密钥分配过程、攻击密钥管理服务器,得到密钥或认证码;利用Unix操作系统提供的守护进程的缺省帐户进行入侵;利用Finger等命令收集信息,提高自己的入侵能力;利用sendmail,采用debug、wizard、pipe等进行入侵;利用FFP,采用匿名用户访问进行入侵;利用NFS进行入侵;通过隐蔽通道进行非法活动;突破防火墙等等.在讨论如何防范入侵和收拾入侵后的残局之前,我们有必要先对"人侵"作一个定义:入侵是对信息系统的非授权访问及(或)未经许可在信息系统中进行操作,威胁计算机网络的安全机制(包括机密性、完整性、可用性)的行为.入侵可能是来自互联网的攻击者对系统的非法访问,也可能是系统的授权用户对未授权的内容进行非法访问.     

拒绝服务攻击的原理及防范技术

互联网在给人们带来无限生机的同时,它多年累积下的大量系统漏洞,也使网络世界面临着巨大的安全威胁。拒绝服务(DenialofService)攻击就是一种典型的遍布全球的系统威胁。与企图获得网络及信息访问权等手段不同,最典型的DoS攻击是以消耗服务器端资源为目标,通过伪造超过服务器处理能力的请求数据造成服务器响应阻塞,阻碍网络主机提供正常服务,从而使合法用户无法得到服务响应。DoS攻击既能通过TCP、ICMP等协议实现,也能攻击特殊的网络服务应用,如HTTP、FTP服务。此外,有些DoS攻击还通过发送无用的网络报文掀起网络风暴和提供错误的…     

巧用ftp备份数据库数据

ftp是网络中文件传输的一个命令,它可以用于两台主机之间进行文件传输,从而达到资源共享的目的.下面是笔者在工作中利用ftp备份数据库数据的一个实例.     

如何对Lotus Notes的用户标识符进行重新验证

Lotus Notes 系统在创建用户时,会要求为每一个用户分配一个独一无二的用户标识符(ID),即确定被授权的二进制文件,每个用户必须通过该标识符进行合法注册后,才能访问Notes 服务器。其主要包括:Notes 许可证、公用和私用密钥、加密密钥、验证字和口令6个部分。出于安全考虑,Notes 管理者会为每个 ID的验证字设定一个有效日期,临近到期时,会要求用户重新进行验证。具体步骤如图1所示:     

使用瘦客户机，加快银行业务发展

一、客户机的发展客户机/服务器(C/S)结构出现于20世纪90年代初。在 C/S 系统中,应用程序从结构上分为两大部分:一部分是由多个用户共享的信息与功能,称为服务器部分;另一部分是为每个用户所提供的功能,称为客户机部分。客户机负责执行前台功能,如管理用户接口、数据处理和报告请求等,而服务器执行后台服务,如管理共享外设、控制和执行数     

大型计算机系统安全的几点考虑

一、大型计算机主机系统安全的标准及相关措施一个可靠的保护机制应该具有以下的特点和好处：1．有能力鉴别试图进入安全系统的用户。这种机制使得当用户进入系统时,系统把用户与其唯一的身份标识联系起来。2．有能力检查用户是否具有他自称的那种身份。这种机制可以对用户做更进一步的身份鉴别,如要求用户提供密码等。3．只允许经过授权的用户访问受保护的资源。这种机制使用户对每一个受保护资源的访问权限得到细致的划分。4提供安全管理的简便途径。这种机制使人们可以选择安全的结构和管理的方式。5．记录对受保护资源的访问。它提供…     

谈呼叫中心与CTI、CRM的关系

呼叫中心是一种综合信息服务系统,它是基于电话机、传真机、计算机等原本相互独立的通信办公设备而建立的一种交互式电信增值系统。用户可以通过电话拨入、传真、计算机Modem拨号连接、Internet网址访问、E-mail等多种方式,访问呼叫中心的数据库,得到各种信息服务或完成多种交易。呼叫中心具有广泛的应用面,可以在所有向公众消费者提供信息服务的部门建立。     

使用KVM主机切换系统提高中心机房管理能力

当前,金融系统中心机房或数据中心环境日趋繁杂,除了重要的业务处理主机外,还需要大量的业务和管理用服务器与之配套。这些服务器的数量倍增,使得原本比较宽敞的机房日益拥挤。KVM(Keyboard、Video、Mouse,键盘、显示器、鼠标)主机切换系统解决方案能够实现轻易访问、监视及管理机房内所有的计算机,可以通过减少访问及诊断的时间,提高设备的运作效率,从而节省可观的机房面积以及不必要的设备与人力,大大提升商业银行的竞争力。一、KVM主机切换系统1.KVM主机切换系统的定义在机房服务器管理领域,除了常说的网络管理软件、服务器管理软件…     

Sybase软件故障排除若干例

农业银行分布服务器储蓄网络系统应用软件，是采用关系型数据库DBMSSybase软件开发的，它以Sybase数据库和C语言为主要开发工具，采用客户／服务器体系结构，以数据集中处理分布的方式构成网络系统。笔者在实践过程中摸索出了一些故障排除的方法，介绍如下：故障现象1：客户端在以CXSI进入系统画面时，当输入正确的操作员代码01及口令后，屏幕上出现“11．网络地址错”。故障分析及排除：以超级用户一身份注册进入客户机中，经仔细检查发现／etc下的hoss文件相应于主机名a6193001那一行的IP地址led，1．豆豆．101与中心机房7507路由器…