网络安全课程设计10

网络安全课程设计

辽 宁 工 业 大 学 网络安全技术专题（论文）

题目： 网络服务器防御方案

院（系）：

专业班级：

学 号：

学生姓名：

指导教师：

教师职称：

起止时间：2010.12.06-2010.12.19

网络安全课程设计

专题设计（论文）任务及评语

网络安全课程设计

目 录

第1章 专题的设计目的与要求 ................................................. 1

1.1 专题设计目的 ........................................................ 1

1.2 专题设计的实验环境 .................................................. 1

1.3 专题设计的预备知识 .................................................. 1

1.4 专题设计要求 ........................................................ 3

第2章 专题的设计内容 ....................................................... 5

2.1 背景描述 ............................................................ 5

2.2软件安装与工具使用 .................................................. 8

2.3结果显示 ........................................................... 13

第3章 设计总结 ............................................................ 14

参考文献 ................................................................... 15

网络安全课程设计

第1章 专题的设计目的与要求

1.1 专题设计目的

本技术专题实际是网络系统管理专业学生学习完《网络安全基础》课程后，进行的一次关于网络安全技术方面的训练，学生应该具有较系统的网络安全知识，并在实际应用时具备一定的防范非法入侵、维护网络、系统安全性的能力，其目的在于加深对网络安全知识的理解，掌握运用软件进行攻击和防御的基本方法。

1.2 专题设计的实验环境

硬件：Intel® Pentium ( R ) 4 CPU 2.4GHz 845P主板 DDR256M内存 软件：Windows 2000 操作平台

应用到的软件：天网防火墙，方正熊猫硬件安全网关

1.3 专题设计的预备知识

网络服务器防御方案比尔.盖茨先生弥补了大部分系统漏洞之后，开始转移方向，发现基于网站的各种脚本漏洞能非常轻易的使用， 而且能够通过提权来获取系统权限。于是，基于web的脚本漏洞成功黑客们的最爱。随后流氓软件开始在中国的互联网大地上盛行了起来，互联网的网站应用领域的黑客入侵技术开始流行了起来。最典型的就是黑客的网站挂马技术，这种技术就是利用网站的漏洞建立或者上传一个ASP木马的方式来获取网站的WEBSHELL权限，然后通过WEBSHELL权限通过提权获取系统权限，再接着就是在服务器的网站里面加入一些恶意的脚本代码，让你的电脑在访问网站的时候，不知不觉的中病毒和黑客程序，最后你电脑里面的重要资料，QQ号，网络游戏帐号，网上银行帐户里面的现金都会不翼而飞。 据专业权威机构统计，02年中国境内网站被入侵的比例不到10％，而到了06年，中国境内网站被入侵的比例是85％。黑客技术的普及化以及巨大商业利益的窃取网上银行的资金，QQ号码倒卖，网络游戏装备和帐号的倒卖等地下黑客产业链的形成是导致网站遭遇安全事件的主因。

WEB的各种攻击手段：

网络安全课程设计

1、SQL注入漏洞的入侵

这种是ASP+ACCESS的网站入侵方式，通过注入点列出数据库里面管理员的帐号和密码信息，然后猜解出网站的后台地址，然后用帐号和密码登录进去找到文件上传的地方，把ASP木马上传上去，获得一个网站的WEBSHELL。

2、ASP上传漏洞的利用

这种技术方式是利用一些网站的ASP上传功能来上传ASP木马的一种入侵方式，不少网站都限制了上传文件的类型，一般来说ASP为后缀的文件都不允许上传，但是这种限制是可以被黑客突破的，黑客可以采取COOKIE欺骗的方式来上传ASP木马，获得网站的WEBSHELL权限。

3、后台数据库备份方式获得WEBSHELL

这个主要是利用网站后台对ACCESS数据库进行数据库备份和恢复的功能，备份数据库路径等变量没有过滤导致可以把任何文件的后缀改成ASP，那么利用网站上传的功能上传一个文件名改成JPG或者GIF后缀的ASP木马，然后用这个恢复库备 份和恢复的功能把这个木马恢复成ASP文件，从而达到能够获取网站WEBSHELL控制权限的目的。

4、 网站旁注入侵

这种技术是通过IP绑定域名查询的功能查出服务器上有多少网站，然后通过一些薄弱的网站实施入侵，拿到权限之后转而控制服务器的其它网站。

5、sa注入点利用的入侵技术

这种是ASP+MSSQL网站的入侵方式，找到有SA权限的SQL注入点，然后用SQL数据库的XP_CMDSHELL的存储扩展来运行系统命令建立系统级别的帐号，然后通过3389登录进去，或者在一台肉鸡上用NC开设一个监听端口，然后用VBS一句话木马下载一个NC到服务器里面，接着运行NC的反向连接命令，让服务器反向连接到远程肉鸡上，这样远程肉鸡就有了一个远程的系统管理员级别的控制权限。

6、sa弱密码的入侵技术

这种方式是用扫描器探测SQL的帐号和密码信息的方式拿到SA的密码，然后用

SQLEXEC之类的工具通过1433端口连接到远程服务器上，然后开设系统帐号，通过3389登录。然后这种入侵方式还可以配合WEBSHELL来使用，一般的ASP+MSSQL网站通常会把MSSQL的连接 …… 此处隐藏：7409字，全部文档内容请下载后查看。喜欢就下载吧 ……