|
網(wǎng)絡(luò)技術(shù)是從1990年代中期發(fā)展起來(lái)的新技術(shù)，它把互聯(lián)網(wǎng)上分散的資源融為有機(jī)整體，實(shí)現(xiàn)資源的全面共享和有機(jī)協(xié)作，使人們能夠透明地使用資源的整體能力并按需獲取信息。資源包括高性能計(jì)算機(jī)、存儲(chǔ)資源、數(shù)據(jù)資源、信息資源、知識(shí)資源、專(zhuān)家資源、大型數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)、傳感器等。 當(dāng)前的互聯(lián)網(wǎng)只限于信息共享，網(wǎng)絡(luò)則被認(rèn)為是互聯(lián)網(wǎng)發(fā)展的第三階段。 當(dāng)服務(wù)器被攻擊時(shí)，最容易被人忽略的地方，就是記錄文件，服務(wù)器的記錄文件了黑客活動(dòng)的蛛絲馬跡。在這里，我為大家介紹一下兩種常見(jiàn)的網(wǎng)頁(yè)服務(wù)器中最重要的記錄文件，分析服務(wù)器遭到攻擊后，黑客在記錄文件中留下什么記錄。 目前最常見(jiàn)的網(wǎng)頁(yè)服務(wù)器有兩種：Apache和微軟的Internet Information Server （簡(jiǎn)稱(chēng)IIS）。這兩種服務(wù)器都有一般版本和SSL認(rèn)證版本，方便黑客對(duì)加密和未加密的服務(wù)器進(jìn)行攻擊。
IIS的預(yù)設(shè)記錄文件地址在 c:winntsystem32logfilesw3svc1的目錄下，文件名是當(dāng)天的日期，如yymmdd.log。系統(tǒng)會(huì)每天產(chǎn)生新的記錄文件。預(yù)設(shè)的格式是W3C延伸記錄文件格式（W3C Extended Log File Format），很多相關(guān)軟件都可以解譯、分析這種格式的檔案。記錄文件在預(yù)設(shè)的狀況下會(huì)記錄時(shí)間、客戶(hù)端IP地址、method（GET、POST等）、URI stem（要求的資源）、和HTTP狀態(tài)（數(shù)字狀態(tài)代碼）。這些字段大部分都一看就懂，可是HTTP狀態(tài)就需要解讀了。一般而言，如果代碼是在200到299代表成功。常見(jiàn)的200狀態(tài)碼代表符合客戶(hù)端的要求。300到399代表必須由客戶(hù)端采取動(dòng)作才能滿(mǎn)足所提出的要求。400到499和500到599代表客戶(hù)端和服務(wù)器有問(wèn)題。最常見(jiàn)的狀態(tài)代碼有兩個(gè)，一個(gè)是404，代表客戶(hù)端要求的資源不在服務(wù)器上，403代表的是所要求的資源拒絕服務(wù)。Apache記錄文件的預(yù)設(shè)儲(chǔ)存位置在/usr/local/apache/logs。最有價(jià)值的記錄文件是access_log，不過(guò) ssl_request_log和ssl_engine_log也能提供有用的資料。 access_log記錄文件有七個(gè)字段，包括客戶(hù)端IP地址、特殊人物識(shí)別符、用戶(hù)名稱(chēng)、日期、Method Resource Protocol（GET、POST等；要求哪些資源；然后是協(xié)議的版本）、HTTP狀態(tài)、還有傳輸?shù)淖止?jié)。
我在這里所用的是與黑客用的相似的模擬攻擊網(wǎng)站方式和工具。（注意：在本文中所介紹的方法請(qǐng)大家不要試用，請(qǐng)大家自覺(jué)遵守網(wǎng)絡(luò)準(zhǔn)則！）
分析過(guò)程
網(wǎng)頁(yè)服務(wù)器版本是很重要的信息，黑客一般先向網(wǎng)頁(yè)服務(wù)器提出要求，讓服務(wù)器送回本身的版本信息。只要把「HEAD / HTTP/1.0」這個(gè)字符串用常見(jiàn)的netcat utility（相關(guān)資料網(wǎng)址：http://www.l0pht.com/~weld/netcat/）和OpenSSL binary（相關(guān)資料網(wǎng)址：http://www.openssl.org/）送到開(kāi)放服務(wù)器的通訊端口就成了。注意看下面的示范：
C:>nc -n 10.0.2.55 80
HEAD / HTTP/1.0 HTTP/1.1 200 OK Server: Microsoft-IIS/4.0 Date: Sun, 08 Mar 2001 14:31:00 GMT Content-Type: text/html Set-Cookie: ASPSESSIONIDGQQQQQPA=IHOJAGJDECOLLGIBNKMCEEED; path=/ Cache-control: private
這種形式的要求在IIS和Apache的記錄文件中會(huì)生成以下記錄：
IIS: 15:08:44 11.1.2.80 HEAD /Default.asp 200
Linux: 11.1.2.80 - - [08/Mar/2001:15:56:39 -0700] "HEAD / HTTP/1.0" 200 0
雖然這類(lèi)要求合法，看似很平常，不過(guò)卻常常是網(wǎng)絡(luò)攻擊的前奏曲。access_log和IIS的記錄文件沒(méi)有表明這個(gè)要求是連到SSL服務(wù)器還是一般的網(wǎng)頁(yè)服務(wù)器，可是Apache的 ssl_request_log和ssl_engine_log（在/usr/local/apache/logs目錄下）這兩個(gè)記錄文件就會(huì)記錄是否有聯(lián)機(jī)到SSL服務(wù)器。請(qǐng)看以下的ssl_request_log記錄文件：
[07/Mar/2001:15:32:52 -0700] 11.1.1.50 SSLv3 EDH-RSA-DES-CBC3-SHA "HEAD / HTTP/1.0" 0
第三和第四個(gè)字段表示客戶(hù)端使用的是哪種加密方式。以下的ssl_request_log分別記錄從OpenSSL、 Internet Explorer和Netscape客戶(hù)端程序發(fā)出的要求。
[07/Mar/2001:15:48:26 -0700] 11.1.1.50 SSLv3 EDH-RSA-DES-CBC3-SHA "GET / HTTP/1.0" 2692
[07/Mar/2001:15:52:51 -0700] 10.0.2.55 TLSv1 RC4-MD5 "GET / HTTP/1.1" 2692 [07/Mar/2001:15:54:46 -0700] 11.1.1.50 SSLv3 EXP-RC4-MD5 "GET / HTTP/1.0" 2692 [07/Mar/2001:15:55:34 –0700] 11.1.2.80 SSLv3 RC4-MD5 “GET / HTTP/1.0” 2692
另外黑客通常會(huì)復(fù)制一個(gè)網(wǎng)站（也就是所謂的鏡射網(wǎng)站。），來(lái)取得發(fā)動(dòng)攻擊所需要的信息。網(wǎng)頁(yè)原始碼中的批注字段常有目錄、文件名甚至密碼的有用資料。復(fù)制網(wǎng)站常用的工具包括窗口系統(tǒng)的Teleport Pro（網(wǎng)址：http://www.tenmax.com/teleport/pro/home.htm）和Unix系統(tǒng)的wget（網(wǎng)址：http://www.gnu.org/manual/wget/）。在這里我為大家分析wget和TeleportPro這兩個(gè)軟件攻擊網(wǎng)頁(yè)服務(wù)器后記錄文件中的內(nèi)容。這兩個(gè)軟件能全面快速搜尋整個(gè)網(wǎng)站，對(duì)所有公開(kāi)的網(wǎng)頁(yè)提出要求。只要檢查一下記錄文件就知道，要解譯鏡射這個(gè)動(dòng)作是很簡(jiǎn)單的事。以下是IIS的記錄文件：
16:28:52 11.1.2.80 GET /Default.asp 200
16:28:52 11.1.2.80 GET /robots.txt 404 16:28:52 11.1.2.80 GET /header_protecting_your_privacy.gif 200 16:28:52 11.1.2.80 GET /header_fec_reqs.gif 200 16:28:55 11.1.2.80 GET /photo_contribs_sidebar.jpg 200 16:28:55 11.1.2.80 GET /g2klogo_white_bgd.gif 200 16:28:55 11.1.2.80 GET /header_contribute_on_line.gif 200
注：11.1.2.80這個(gè)主機(jī)是Unix系統(tǒng)的客戶(hù)端，是用wget軟件發(fā)出請(qǐng)求。
16:49:01 11.1.1.50 GET /Default.asp 200
16:49:01 11.1.1.50 GET /robots.txt 404 16:49:01 11.1.1.50 GET /header_contribute_on_line.gif 200 16:49:01 11.1.1.50 GET /g2klogo_white_bgd.gif 200 16:49:01 11.1.1.50 GET /photo_contribs_sidebar.jpg 200 16:49:01 11.1.1.50 GET /header_fec_reqs.gif 200 16:49:01 11.1.1.50 GET /header_protecting_your_privacy.gif 200
注：11.1.1.50系統(tǒng)是窗口環(huán)境的客戶(hù)端，用的是TeleportPro發(fā)出請(qǐng)求。
注意：以上兩個(gè)主機(jī)都要求robots.txt這個(gè)檔，其實(shí)這個(gè)檔案是網(wǎng)頁(yè)管理員的工具，作用是防止wget和TeleportPro這類(lèi)自動(dòng)抓文件軟件對(duì)某些網(wǎng)頁(yè)從事抓取或搜尋的動(dòng)作。如果有人提出robots.txt檔的要求，常常代表是要鏡射整個(gè)網(wǎng)站。但，TeleportPro和wget這兩個(gè)軟件都可以把要求robots.txt這個(gè)文件的功能取消。另一個(gè)偵測(cè)鏡射動(dòng)作的方式，是看看有沒(méi)有同一個(gè)客戶(hù)端IP反復(fù)提出資源要求。
網(wǎng)絡(luò)的神奇作用吸引著越來(lái)越多的用戶(hù)加入其中，正因如此，網(wǎng)絡(luò)的承受能力也面臨著越來(lái)越嚴(yán)峻的考驗(yàn)―從硬件上、軟件上、所用標(biāo)準(zhǔn)上......，各項(xiàng)技術(shù)都需要適時(shí)應(yīng)勢(shì)，對(duì)應(yīng)發(fā)展，這正是網(wǎng)絡(luò)迅速走向進(jìn)步的催化劑。
| 
