商务网站安全与控制

132.商务网站安全与控制

5.2.4网络软件和网络服务的漏洞便可以提供许多关于

1.Finger的漏洞。在TCP/P协议中，Finger程序只需一用文此信息进行字典攻击。主机的信息，比如谁正在登录、登录时间和登录地点等。“黑客同以上的软软件，而不正确的配置

2.匿名FTP。匿名FTP允许任何网络用户通过FTP访问系统亥具有可工作的1Shell所以它将严重威胁系统的安全FTP虽然是一个合法的账户，但它不应Ftp:/home/ftp/bin/在主机的Passwd文件中的账户信息应是:ftp:*:400:400:Anonymous的权限是11；~ftp/etc/的false，还应该保证Ftp的主目录权限为0555；~ftp/bin、~ftp/etc|系统的用户都不应该具有权限是444；/s/spool/mail/ftp的权限是0400。任何以Ftp登录到录内设置“特洛依术马”来创建文件和目录的权限，因为黑客完全可以在一个具有写权限的文样存在让用户破坏系统进行攻击。首先，多数FTP服务器可以用Anonymous用户名登录，+及磁盘空间。和文件的可能:其次，上载的软件可能有破坏性，大量上载的文件会耗费机时信息的.建立匿名服务器时，应当确保用户不能访问系统的重要部分.尤其是包含系统配置文件目录。注意不要上用户获得SHELL级的用户访问权限，因为普通文件传输协议(TFTP支持无认证操作，应屏蔽掉。FTp服务允许客户将文件从一个机器复制到另一个机器，客户端一般需要验证。FTP有

安全漏洞是人所共知的，而且现在的FTP正变得非常复杂和难于理解，功能也不断增强。比如，FTP系统的一个主要安全漏洞是它可以被黑客骗取某个用户的的权限，而黑客实际上是以公共账户方式登录的。

FTP服务器的目录权限是很重要的，一旦侵人，第一件事就是看是否是可写目录。如果可以，他便会把包含其名字和当前机器的.rhosts文件放到该目录下。由于该目录通常是ftp用户(ftpd)的主目录，于是一个可以进人系统的远程登录就大功告成了。

TFTP是一个相当危险的文件传输服务，由于它根本不作登录与控制审查，任何人可以通过该命令取走服务器上的具有读权限的文件。

3.远程登录。在网络上运行诸如rlogin、rcprexec等远程命令时，由于要跨越一些网络的传输口令，而TCP/IP对所传输的信息又不进行加密，所以，网络黑客只要在所攻击的目标主机的IP包所经过的一条路由上运行“嗅探器”的程序，就可以截取目标口令。小面:

TELNET的最大安全问题是客户登录到服务器的时候用的明文传输，那么登录的用户名和口令易被监听到。

4.不安全的网络服务。在TCP/IP网络中，echo、systat、netstat、bootp、udp、tftp、link、supdup.sunprc、news.sump、xdmcpexeclogin.shell、printerbiffwho.syslog、uucp.route、open-

win.NFS.XII等服务被认为是不安全的，尤其是那些依赖于人工呼叫包的UDP的服务。孔5.电子邮件。电子邮件E-mail是当今网络上使用最多的一项服务，对于网络用户，最担心的莫过于电子邮件的安全和保密。

在计算机网络中最容易被窃的就是电子邮件的信息。电子邮件所经过的传输过程是这样为:首先在电子邮件SMTP服务器上，将使用者的电子邮件“打包”，然后转化成一组组的二进时代码，以便于网络传输；由于电子邮件服务器主机与收信人的电子邮件服务器主机并不一定