2007-01-04 08:49:14
标簽：安全 [推送到技術圈]
| 版權聲明：原創作品，如需轉載，請與作者聯系。否則将追究法律責任。 | |||||||||||||||||||||||||||||||||||||||||||||
| simeon(本文已被黑客手冊雜志收錄) 黑客手冊 [url]http://www.nohack.cn/[/url] 遠端終端服務是微軟Windows Server系列中的一大特色，由于其簡潔、維護及使用友善等特點深受廣大使用者及其黑客的喜愛，而遠端終端服務往往運作在一些有重要服務的伺服器上；如果由于遠端終端服務的配置和管理不當，往往會帶來巨大的經濟損失。本文對遠端終端服務及其相關安全技術進行了分析和讨論，最後給出了一些可供參考的安全設定方法，對使用遠端終端的使用者具有一定的安全參考價值。 一、前言 Windows 2000 Server中的Windows Terminal Services（WTS）又稱為遠端終端服務（Remote Terminal Services）或者俗稱為3389，是在Windows NT中最先使用的一種終端，在Windows 2000 Professional版本中不可以安裝，在 Windows 2000 Server或以上版本才可以安裝這個服務，其預設服務端口為3389，在Windows XP系統中稱為“遠端桌面（Remote Desktop）”[1]。遠端終端服務是Windows 2000 Server中的一項重要服務，主要通過遠端桌面連接配接來對伺服器進行管理或者運作應用程式，其功能類似于遠端管理軟體，由于遠端終端服務使用簡單、友善，不産生互動式登陸，而且可以在背景操作，是以在各行各業都有大量的應用，深受使用者喜愛。 遠端終端服務在很多大型系統中使用得越來越廣泛，正是由于遠端終端服務在Windows Server 2000以及Windows 2003 Server中開啟非常簡單友善，一般情況都不需要重新安裝，隻需要運作幾行DOS指令即可開啟，且由于使用終端不受IP位址的限制，隻要擁有使用者賬号及其對應的使用者密碼，就可以正常登入，是以對Windows 2000 Server來講遠端使用終端服務即開啟了友善之門，也開啟了網絡安全的安全隐患之門，而且目前還有針對Windows 2000 Server及其以上版本的遠端終端服務攻擊的軟體，一旦攻擊成攻，對于運作重要程式的伺服器将會帶來不可估量的經濟損失，下面對遠端終端服務以及相關安全技術進行分析。 二、遠端終端服務及其相關安全技術 1．遠端終端服務開啟步驟 在Windows 2000 Server中，有許多開啟遠端終端服務方法，歸納起來對于遠端終端的開啟主要通過以下步驟來進行： （1）檢視“Terminal Services”是否開啟。可以通過伺服器中的“服務管理”以及通過DOS指令下的“net start”來檢視。如果在服務管理器中“Terminal Services”的狀态為“啟動”，則表示“Terminal Services”開啟成功；而在DOS指令下使用“net start”的結果中如果出現了“Terminal Services”則表示開啟了遠端終端服務。 （2）啟動Windows Terminal Services服務。 （3）使用“遠端桌面連接配接”（RDP）連接配接遠端終端，如果使用RDP連接配接遠端終端成功，則表示遠端終端服務開啟成功。 2．一些常見開啟遠端終端服務的方法 （1）使用rots.vbs腳本[2] Rots.vbs是由網名為“灰色軌迹zzzevazzz”寫的一個VBS腳本，該腳本通過系統中自帶的cscript.exe應用程式來執行，使用該腳本可以開啟終端服務以及修改終端服務端口，其使用格式為： cscript.exe rots.vbs ip user userpass port /r 或cscript.exe rots.vbs ip user userpass port /fr（2）使用bat指令 通過記事本建立一個bat檔案，在其中分别輸入以下内容： echo [Components] > c:\sql echo TSEnable = on >>sql c:\sqlsysocmgr /i:c:\winnt\inf\sysoc.inf /u:c:\sql /q 然後運作該批處理指令，重新啟動計算機後，遠端終端服務開啟成功，該方法不能更改終端服務的端口。 （3）導入一個reg檔案到需要開啟終端服務的機器中[3] 該方法主要是修改遠端終端服務的端口及其相關設定，通過生成一個以reg為字尾的檔案，将該檔案導入到需要開啟終端服務的計算機上。該方法比較隐蔽，通過服務管理器以及“net start”指令均不會發現終端服務已經啟動。 （4）使用SQL注入軟體啟動3389服務 在Domain3.5以及教主的HDSI2.0 SQL等注入工具中均提供了開啟3389終端服務功能，使用該類軟體來開啟3389的前提條件是運作Web服務的伺服器必須存在SQL注入漏洞，而且資料庫使用者的權限較大，在SQL Server 2000中資料庫使用者必須為sa。 （5）使用其它軟體開啟3389 在網上其它一些流行軟體其開啟原理跟前面類似，隻是使用不同的程式設計語言進行實作。 3．遠端終端攻擊技術 對于遠端終端伺服器的攻擊除了正常的漏洞攻擊等外，還有一款單獨針對遠端終端服務攻擊的軟體（Terminal Services Cracker），其原理就是利用攻擊字典進行自動嘗試，如果遠端終端伺服器中允許登陸的密碼在攻擊字典中，在理論上攻擊是成功的，其運作界面如圖1所示。  圖1 破解遠端終端伺服器密碼 4．自動記錄遠端終端登入日志 由于運作遠端終端服務的計算機無法對IP位址進行限制，從管理的角度需要進行日志記錄，方法是建立一個名稱為TSLog.bat檔案，用來記錄登入者的ip等相關資訊[3]，腳本内容如下： time /t>>TSLog.log netstat -n -p tcp |find ":3389">>TSLog.log start Explorer在終端服務配置中，需要覆寫使用者的登陸腳本設定并指定為使用者登入時需要打開的腳本檔案TSLog.bat，以使每個使用者登入後都必須執行該腳本檔案。 三、遠端終端服務安全設定及其防範對策 在網絡安全中，隻有相對的主動安全，沒有絕對的安全，本文主要針對遠端終端服務的安全進行讨論，對于與遠端終端服務安全無關的内容在此不進行贅述，對于提供遠端終端服務的計算機來說，可以參考以下安全設定，并根據實際情況進行相應調整。 1．及時更新系統安全更新檔。 對于安裝遠端終端服務的計算機，在新漏洞出現，尤其是在遠端提升權限漏洞方面最容易出現安全問題，極易受到攻擊，是以除了系統安裝完成後，立即更新系統目前所有漏洞的更新檔外，還建議啟動系統的自動更新功能。一旦出現新漏洞的更新檔程式，立即進行更新，在安全更新後需要對系統做一次徹底的安全檢查，以確定系統安全。Windows 2000系統的更新檔更新位址為：[url]http://www.microsoft.com/windows2000/downloads/default.asp[/url]。 2．嚴格安全日志檢查和遠端終端服務登入日志檢查 系統中應當建立3389登陸日記記錄，并定期嚴格檢查系統安全日志和遠端終端登入日志。 3.遠端終端服務應用程式共享安全規則[4] （1）一個應用程式對應一台遠端終端伺服器。 （2）不要允許遠端控制，隻允許執行應用程式，最好是隻執行一個應用程式。 （3）當多個伺服器使用遠端終端伺服器來提供應用程式共享時，可将所有的遠端終端伺服器放入一個單一的OU來應用安全政策。 4．使用第三方遠端終端安全管理軟體2XSecureRDP [5] 2XSecureRDP是由歐洲的2X公司開發的一種免費遠端終端連接配接安全管理工具軟體（圖2），該軟體可以有效地保護遠端使用者，可以根據情況來選擇以何種方式對RDP進行檢驗，比如按照IP設定、用戶端名稱、日期時間或者企業所選擇的其它标準來進行檢驗。該軟體隻允許符合過濾條件的使用者進行登入，能夠很好的保護運作有終端服務的計算機的安全。 圖2 遠端終端服務安全管理軟體2XSecureRDP 5．推薦的遠端終端伺服器設定
表1 遠端終端伺服器設定 6．使用應用程式安全工具來限制應用程式通路[6] 可以安裝“Windows 2000 Server Resource Kit”中“計算機管理工具”，然後運作該工具中“應用安全”來嚴格限制應用程式的通路，其運作效果如圖3所示。 圖 3 授權通路應用程式清單 四、結束語 本文對安裝有遠端終端服務的計算機的安全問題進行分析讨論，對開啟遠端終端服務及其攻擊遠端終端伺服器的各種技術進行了分析，最後提出了針對遠端終端服務的安全解決方法和一些可供參考的安全推薦設定，對提供遠端終端服務的計算機使用者具有一定參考價值。 參考文獻 1．[url]http://test.nbarticle.com/computer/view/2004/11/17/view_92.htm[/url]，遠端終端服務攻略。 2．[url]http://hi.baidu.com/magicin/blog/item/c6d34190fcbc088da877a4f6.html[/url]，五種辦法開啟3389終端。 3．[url]http://windows.chinaitlab.com/skill/2271.html[/url]，微軟終端服務Terminal Service的使用技巧。 4．Guide to Securing Microsoft Windows 2000 Terminal Services，Network Security Evaluations and Tools Division Systems and Network Attack Center。 5．[url]http://www.vshj.com/Article/Print.asp?ArticleID=31304[/url]，加強終端服務安全性的免費工具。 6．[url]http://www.2x.com/securerdp/[/url]，Secure RDP of Windows Terminal Services with 2X SecureRDP。 |