概述1.1論題提出的意義最近幾年來大規(guī)模的網(wǎng)絡(luò)安全事件頻繁的發(fā)生，比如互聯(lián)網(wǎng)上的蠕蟲、拒絕服務(wù)攻擊、網(wǎng)絡(luò)欺詐等新的攻擊手段接連不斷的出現(xiàn)，因此導致一些系統(tǒng)的泄密、數(shù)據(jù)被破壞掉、許多服務(wù)無法正常進行等事件不斷出現(xiàn)，甚至導致世界上的的互聯(lián)網(wǎng)出現(xiàn)了嚴重的癱瘓，造成的經(jīng)濟損失無法估計。網(wǎng)絡(luò)上的安全引起世界各國的關(guān)注，政府、企業(yè)和研究機構(gòu)都對此安全投入了大量的人力物力；但是目前我們面臨的威脅讓人不容樂觀。校園網(wǎng)絡(luò)有著它獨特的一面，加強校園網(wǎng)絡(luò)安全建設(shè)，維護全體師生網(wǎng)絡(luò)信息安全，是我這篇論文意義之所在。1.2本論文解決的問題在校園網(wǎng)絡(luò)建設(shè)高速發(fā)展的同時顯現(xiàn)了一系列的網(wǎng)絡(luò)安全問題。從遠程控制電腦竊取信息，攻擊學校服務(wù)器篡改重要資料，攻擊學校網(wǎng)絡(luò)使整個網(wǎng)絡(luò)癱瘓，竊取他人上網(wǎng)密碼盜用他人賬號使用，入侵教師或者教務(wù)處電腦偷取考試試卷，類似問題不勝枚舉，但悲劇總是在重復上演。[1]這引起了我的思考，用什么方法能有效防范這類似的悲劇上演。是網(wǎng)絡(luò)本身的缺陷還是因為使用者相關(guān)知識的欠缺導致的，當然了一個問題的暴露很多時候并不是單方面的原因，是由于很多綜合因素合力的結(jié)果?，F(xiàn)在軟件的設(shè)計越來越人性化，這就是說軟件的使用將越來越簡單但設(shè)計卻越來越復雜，這就會導致一個問題就是使用者對于電腦知識的學習將會是越來越淡薄而只是關(guān)心專業(yè)軟件的使用問題，這樣能促使效率的提高。但是對于軟件的設(shè)計卻提出了巨大的挑戰(zhàn)，因為我們知道軟件的設(shè)計越復雜代碼將越多，相應(yīng)的漏洞出現(xiàn)的可能將越大，被黑客利用的機會也將越多。暴露出來的不安全因素也越嚴重。而這篇論文主要是為了校園安全的問題，提出了一些解決的方法。通過硬件方面的加強并與軟件防護有效結(jié)合，達到維護校園師生信息安全，保證校園師生擁有一個安全、健康、高效的網(wǎng)絡(luò)環(huán)境。2硬件防護2.1數(shù)據(jù)備份與恢復數(shù)據(jù)的備份與恢復是在遭受到網(wǎng)絡(luò)攻擊數(shù)據(jù)被他人修改之后復原的主要手段。從硬件配套設(shè)施來設(shè)立備份從而達到防范網(wǎng)絡(luò)攻擊的作用。網(wǎng)絡(luò)攻擊案例的慘痛教訓告訴我們，再怎么固若金湯的防護在黑客的眼中都是存在機會的。而過去無數(shù)的事實也證明了這個觀點。所以從最后的防護手段上我們可以再加裝一道防護設(shè)置就是數(shù)據(jù)的備份與恢復。它是從硬件設(shè)備比如硬盤或者是光盤中將重要數(shù)據(jù)留在這個設(shè)備中，并把此設(shè)備遠離互聯(lián)網(wǎng)，一旦我們遭受到無法恢復的攻擊，數(shù)據(jù)被嚴重篡改之后我們再恢復數(shù)據(jù)，保證數(shù)據(jù)信息的真實與安全。備份對數(shù)據(jù)的安全來說至關(guān)重要。備份是由某種介質(zhì)而產(chǎn)生的，如磁帶和磁盤光盤等，保存的數(shù)據(jù)或數(shù)據(jù)的復制?；謴褪侵讣皶r將數(shù)據(jù)返回到原來的狀態(tài)。數(shù)據(jù)的備份不是隨時存在的，具體的你什么時候做，怎么做，這主要來源于數(shù)據(jù)不同的規(guī)模用途。其中數(shù)據(jù)的備份分為熱備份、冷備份和邏輯備份。冷備份是不需要任何用戶訪問即可關(guān)閉數(shù)據(jù)，并將其備份。這是保存數(shù)據(jù)完整性的簡便的方法，但如果數(shù)據(jù)量大則不太適用了。熱備份用于數(shù)據(jù)正在被寫入更新時進行。而邏輯備份則是適用軟件技術(shù)從一個數(shù)據(jù)到另一個數(shù)據(jù)的過程，該方法比較耗時但是效果很好。2.2配置防火墻近年發(fā)展起來比較重要的網(wǎng)絡(luò)安全技術(shù)，比如防火墻技術(shù)，由用戶來設(shè)立安全規(guī)則，其主要用途是在網(wǎng)絡(luò)入口處檢查網(wǎng)絡(luò)通信，在保護內(nèi)部網(wǎng)絡(luò)安全的前提下，保護內(nèi)外網(wǎng)絡(luò)通信，提高內(nèi)部網(wǎng)絡(luò)的安全。校園防火墻的工作模式如圖2-1：圖2-1：防火墻工作物理位置結(jié)構(gòu)圖防火墻的主要好處分為以下幾點：防火墻可以對網(wǎng)絡(luò)掃描從而過濾過一些攻擊。防火墻能防止特定端口的輸出信息。在不關(guān)閉和不使用端口下。防火墻可以防止來自不明入侵者的大致通信，從而刪除不安全的服務(wù)，禁止和控制來自特殊站點的訪問防火墻可以控制網(wǎng)絡(luò)內(nèi)部人員對Internet上特殊站點的訪問。防火墻提供了方便端點來監(jiān)視Internet安全和預警。其中防火墻的主要優(yōu)點可以歸納為，防火墻可作為網(wǎng)絡(luò)通信的阻塞點。防火墻承擔風險的范圍從整個中心網(wǎng)絡(luò)縮小到組成防火墻系統(tǒng)的一臺或幾臺主機上，所有進出網(wǎng)絡(luò)的信息都必須通過防火墻。從而在結(jié)構(gòu)上形成了一個保護網(wǎng)絡(luò)安全和網(wǎng)絡(luò)管理的中心，當然了防火墻也是有缺陷的了，由于互聯(lián)網(wǎng)的開放性，防火墻它不能完全保護網(wǎng)絡(luò)不受攻擊。對于繞過它的軟件無法防范病毒，不能防范感染了病毒的軟件或文件的傳輸，所以為了打敗計算機病毒，只能安裝反病毒軟件。3軟件防護3.1通過網(wǎng)絡(luò)監(jiān)控和維護子網(wǎng)系統(tǒng)安全網(wǎng)絡(luò)監(jiān)聽工具是傳遞給管理員的，從而獲得管理的一類工具。這種工具用來管理和監(jiān)控網(wǎng)絡(luò)狀態(tài)、數(shù)據(jù)流動情況以及網(wǎng)絡(luò)上傳輸?shù)男畔?。網(wǎng)上黑客使用最多的方法是通過是通過它來截獲數(shù)據(jù)，當信息在當今文明網(wǎng)絡(luò)上傳播時，黑客便進行攻擊通過監(jiān)聽的方法。只要通過監(jiān)聽模式設(shè)置網(wǎng)絡(luò)接口，便可以不間斷地將網(wǎng)上傳輸?shù)男畔@取。不過有個前提條件，那就是監(jiān)聽只能是同一個網(wǎng)段的主機。這同一網(wǎng)段是指物理上的連接，因為不是同一網(wǎng)段的數(shù)據(jù)包，在網(wǎng)關(guān)就被過濾了從而無法到達網(wǎng)關(guān)。網(wǎng)絡(luò)監(jiān)聽的最大用處是獲取用戶口令。當前，網(wǎng)上的多數(shù)數(shù)據(jù)是以文明的方式傳播，而且口令通常都很短且容易辨認。一旦被黑客獲取相應(yīng)的口令，則可以非常容易地登上另一臺主機。網(wǎng)絡(luò)監(jiān)聽在當今是一種發(fā)展比較迅速的技術(shù)，幫助網(wǎng)絡(luò)管理員并且測聽網(wǎng)絡(luò)傳輸數(shù)據(jù)及排排除網(wǎng)絡(luò)障礙等方面具有我無可替代的作用。然而，另一個角度，網(wǎng)絡(luò)監(jiān)聽也給網(wǎng)絡(luò)安全帶來的極大的隱患，許多的網(wǎng)絡(luò)侵入往往都以太網(wǎng)內(nèi)網(wǎng)絡(luò)監(jiān)聽行為，從而造成口令失竊﹑敏感數(shù)據(jù)被截區(qū)等一連貫的安全事件發(fā)生。所以從這點我認為一個工具的好壞其實并不是來自工具本身，而在于使用它的人，如果它的主人能夠恰當?shù)睦霉ぞ吣敲催@個工具就能有效的發(fā)揮它的最大價值。而恰當利用的前提我認為還是前面說到的高校的網(wǎng)絡(luò)道德教育這塊迫切需要加強。3.2采用入侵檢測系統(tǒng)入侵檢測(IntrusionDetection)的定義為：識別針對計算機網(wǎng)絡(luò)資源上的一些惡意入侵行為，并就此反應(yīng)。IDS則是完成如上功能的獨立系統(tǒng)。未授權(quán)對象能夠被入侵檢測系統(tǒng)檢測，針對系統(tǒng)的惡意進入行為，同時監(jiān)控授權(quán)對象對系統(tǒng)資源的非法操作。入侵檢測作為一種主動積極的安全保護技術(shù)，滿足了對內(nèi)部潛入、外部潛入和誤操作的實時保護，攔截和響應(yīng)入侵使網(wǎng)絡(luò)系統(tǒng)不被受到危害。入侵檢測系統(tǒng)能很好的彌補防火墻的缺點，從而補充防火墻的外設(shè)。當然了每個系統(tǒng)的設(shè)計總會有缺憾之處需要使用者加以權(quán)衡利弊，入侵檢測系統(tǒng)也有自身的不足。首先它的自覺力比較差，網(wǎng)絡(luò)上的數(shù)據(jù)是隨著網(wǎng)絡(luò)應(yīng)用的變化而改變的，而對于之前的入侵檢測系統(tǒng)，只能看到已有的入侵行為。這就意味著它不能修改檢測模式伴隨著網(wǎng)絡(luò)數(shù)據(jù)的變化，因此，對于現(xiàn)有潛入手段的簡單變種，入侵檢測系統(tǒng)就沒有任何辦法，更不用說新型的攻擊手段。其次誤報、漏報的存在。從系統(tǒng)中的不正常的行為作為入侵檢測的依據(jù)時，必須有一個前提入侵檢測技術(shù)才能發(fā)揮作用：假設(shè)任何一種入侵都會引起系統(tǒng)運行的不正常。但是有時一些異常的數(shù)據(jù)，也會因某種特性與己定義的策略類似，就會被當成是入侵，所以就會產(chǎn)生誤報。同樣的，也有一些入侵行為并未被系統(tǒng)所檢查出來，也就發(fā)生了漏報。其次對于入侵檢測的延遲最小化入侵檢測系統(tǒng)來說是非常重要的就是數(shù)據(jù)加載問題。入侵檢測的推遲取決于處理數(shù)據(jù)的效率，對于網(wǎng)絡(luò)數(shù)據(jù)流量急劇增長，每天可能會產(chǎn)生上百萬條的事件記錄。面對如此巨大的數(shù)據(jù)，入侵檢測系統(tǒng)怎么才能有效地完成數(shù)據(jù)審計以便做出及時的措施也是目前的一大難題。3.3采用VLAN技術(shù)VLAN(VirtualLocalAreaNetwork)，建立在局域網(wǎng)交換機的基礎(chǔ)之上，又稱虛擬局域網(wǎng),是一種采用網(wǎng)絡(luò)管理軟件構(gòu)建的能夠跨越不同網(wǎng)絡(luò)、不同網(wǎng)段的端到端的邏輯網(wǎng)絡(luò)。一個VLAN就組成一個邏輯子網(wǎng)，又叫邏輯廣播域，它可覆蓋多個網(wǎng)絡(luò)設(shè)備，允許處于不同地理位置的網(wǎng)絡(luò)用戶加入到一個邏輯子網(wǎng)中，與傳統(tǒng)LAN在操作和功能上基本相同，可實現(xiàn)一定范圍內(nèi)終端系統(tǒng)的互聯(lián)。基于普通校園網(wǎng)與VLAN的校園網(wǎng)相比具有哪些區(qū)別：普通校園網(wǎng)無需到布線室進行調(diào)整。而VLAN的校園網(wǎng)管理簡單節(jié)點的增加、移動及其他變化都通過管理控制臺快速便捷處理。VLAN的校園網(wǎng)性能提高通過限制整個網(wǎng)絡(luò)的節(jié)點對節(jié)點通信和廣播通信，虛擬子網(wǎng)可以節(jié)約帶寬，從而降低成本。VLAN的校園網(wǎng)網(wǎng)絡(luò)安全性好虛擬子網(wǎng)創(chuàng)造虛擬邊界，它只能通過路由器跨越，因此需要時，基于路由器的標準安全措施可用于限制對每個虛擬子網(wǎng)的訪問。VLAN作為一種新型網(wǎng)絡(luò)技術(shù)，可以為解決網(wǎng)絡(luò)安全性和網(wǎng)絡(luò)站點的靈活配置等問題提供良好手段。雖然VLAN技術(shù)目前還存在比如VLAN管理的、開銷技術(shù)標準的統(tǒng)一和VALN配置自動化等問題，但隨著技術(shù)的進步，這些問題將會逐步被解決。VLAN技術(shù)廣泛應(yīng)用于網(wǎng)絡(luò)建設(shè)，為提高網(wǎng)絡(luò)的工作效率發(fā)揮巨大作用。隨著校園網(wǎng)絡(luò)的規(guī)模不斷擴大和發(fā)展，也使得VLAN技術(shù)在校園網(wǎng)得更廣泛應(yīng)用。3.4選擇合適的殺毒軟件殺毒軟件市場的產(chǎn)品是琳瑯滿目，各款軟件也都有各款軟件的特色和弊端。怎樣選擇一個合適的殺毒軟件對系統(tǒng)的安全和運行速度也是至關(guān)重要的。其實一臺服務(wù)器的真正安全在于管理員的水平，不在于機器。關(guān)鍵是在于一個具有良好操作習慣、優(yōu)秀技術(shù)水平的系統(tǒng)管理員。其實WindowsServer2003系統(tǒng)在安全上做的是相當好了，之所以大家說默認的機器如何脆弱，如何不安全，那是因為管理員沒有完全好好的利年用系統(tǒng)給予的功能去發(fā)揮出它的作用，甚至有的管理員，管理習慣非常差，把服務(wù)器當PC管理，設(shè)置錯誤百出，造成了漏洞百出。當然如果能得到殺毒專家們的幫助還是大有裨益的。世界上公認的比較著名的殺毒軟件有NOD32、趨勢科技、F-SECURE、熊貓、卡巴斯基、MACFEE、AVG、F-PORT等等。其中卡巴斯基、MACFEE、諾頓又被譽為世界三大殺毒軟件。每個殺毒軟件都有自身的優(yōu)勢，當然也存在不足。比如卡巴斯基雖然殺毒能力很強，但是存在監(jiān)控方面不足，而且在內(nèi)存占用讓人不太滿意。MACFEE的系統(tǒng)監(jiān)控恰恰是做的最好的。NOD32因其掃毒速度最快，內(nèi)存占用最少，全球獲獎無數(shù)，而成為微軟御用4年的殺毒軟件。熊貓可能大家認為是中國的，其實不是，它擁有最先進的殺毒理念和模塊。F-SECURE是集合了AVP、LIBRA、ORION、DRACO四套殺毒引擎的出自芬蘭的殺毒軟件，其中有一個就是卡巴斯基的殺毒內(nèi)核，但殺毒效率要比卡巴斯基好，對網(wǎng)絡(luò)流行病毒特別有效。如何看殺毒軟件的好壞在于看它真正能夠識別病毒的能力，殺毒軟件KV是中國脫殼能力最強的，它只能脫兩種殼UPX和ASPack。瑞星只能脫一種殼UPX。諾頓和金山根本沒有脫殼能力。也就是說如果一個原本能被他們查殺的病毒，只要加一個冷門的殼，它們就沒辦法查出來了。而卡巴斯基支擁有4000種以上的脫殼技術(shù)（目前還在增加），雖然掃描速度慢了，但是識別病毒的能力相當厲害，無論怎樣加殼，都能識別出來。所以綜合各種因素考慮服務(wù)器殺毒軟件最好的應(yīng)該是MACFEE和NOD32。3.5加密核心數(shù)據(jù)總是有不法分子企圖通過各種手段獲取到他不該獲得的信息。而校園網(wǎng)絡(luò)中就有很多類似信息，比方說教務(wù)網(wǎng)的成績信息，各教務(wù)辦的考試信息、考試試卷，甚至飯卡校園一卡通的資金信息等等……為了有效防范黑客的攻擊，創(chuàng)造了密碼學。數(shù)據(jù)加密的基本思想是對需要保護的敏感信息通過變換信息的表現(xiàn)方式進行偽裝，使未授權(quán)的用戶都不能了解被保護的內(nèi)容。在實際應(yīng)用中，普遍采用公鑰和私鑰密碼相結(jié)合的混合加密方法，即用私鑰密碼加解密，公鑰密碼則使用在密碼傳送過程中，從而達到了取長補短的目的，既解決了密鑰管理難的問題，又解決了加解密的效率問題。然而，密碼學不僅包含編碼與破譯，還包括安全管理、安全協(xié)議的設(shè)計、散列函數(shù)等相關(guān)內(nèi)容。不僅如此，密碼學的進一步發(fā)展，出現(xiàn)了大量新概念和新技術(shù)，如量子密碼技術(shù)、混沌密碼、零知識證明技術(shù)、盲簽名等。這些新技術(shù)都將成為信息的安全堅實的后盾。4實際案例分析4.1教務(wù)系統(tǒng)安全問題學校教務(wù)系統(tǒng)往往是受到攻擊的主要目標之一，關(guān)系到學生成績的記錄，選修報名等等諸多事項，下面通過一個攻擊學校服務(wù)器的真實案例來具體分析教務(wù)系統(tǒng)的安全問題[10]。這個案例整個入侵過程如下：掃描學校所處的整個C類IP段在線的主機發(fā)現(xiàn)共有5個目標存活主機。211.*.*.3->學校網(wǎng)站首頁服務(wù)器211.*.*.5->圖書館網(wǎng)站服務(wù)器211.*.*.12->招生部網(wǎng)站服務(wù)器211.*.*.13->財務(wù)部網(wǎng)站服務(wù)器211.*.*.21->Mail系統(tǒng)+教務(wù)管理系統(tǒng)選定了211.*.*.21這個服務(wù)器，它是學生網(wǎng)上報選修課的服務(wù)器，首先用X-Scan簡單掃描了一下沒有什么危險漏洞，采用系統(tǒng)漏洞入侵的方法是行不通了。只有試試現(xiàn)下廣泛流行的腳本滲透、SQL注入等方法了。那么再看看211.*.*.21有沒有可疑的地方，因為找不到登陸口Mail系統(tǒng)暫時放棄，沒有可用的帳號教務(wù)管理系統(tǒng)又非常大，里面的內(nèi)容是沒法看到了。轉(zhuǎn)了很久終于發(fā)現(xiàn)有一個投票接口存在SQL注入，不過遺憾的是屏蔽了出錯信息，投票為保證結(jié)果真實性通常都是限制一個IP只能投票一次?？墒沁@個系統(tǒng)IP信息居然是存放在一個Form表單中可以隨意更改的。不過最終注入還是失敗，好像限制了查詢語句的長度，而這個長度根據(jù)觀察只有4字節(jié)，只好放棄這個注入點了。這套教務(wù)管理程序從來沒有見過，系統(tǒng)文件命名規(guī)則也不按標準來的，好像是用拼音的縮寫，嘗試猜解它的一些程序的路徑總是失敗。能訪問到的只有很少的一部分才程序。又試著查看這套系統(tǒng)的完整程序包，看到底部的版權(quán)信息：青XX軟件有限公司，最后把網(wǎng)址都寫上，進鏈接網(wǎng)頁卻遲遲無法打開，提示“該頁無法顯示”的錯誤信息。于是先放棄系統(tǒng)完整程序包的想法。然后把注意力放到了學校的網(wǎng)站首頁，也就是211.*.*.3這臺機器，打開新聞欄目，嘗試了一下“upfile.asp”、“upload.asp”、“upload.htm”，存在upload.htm，而且不需要驗證，任何人都可以上傳，先上傳個.asp后門試試，顯示“文件類型非法...文件上傳完畢！”，既然文件類型都檢測到非法了還可以上傳，那接下來找找看.asp后門上傳到哪里了“upfile、upfiles、upload、uploadfile”等目錄都找了，都不存在。很簡單一下就猜到了新聞系統(tǒng)的管理員登錄路徑/admin，看了看有沒有SQL注入點，一點過濾都沒有，探測了下原來它使用Acsses，這個簡單，寫了一個使用SQL注入自動的猜解密碼的程序，然后輸入IP、Port、URL點擊開始，大約30秒，應(yīng)該是MD5加密后的密碼，試著登陸下，無法登陸。再拿出MD5窮舉工具，只設(shè)置了破解8位數(shù)內(nèi)的純數(shù)字密碼，花了大約1分鐘時間，密碼就出來了940207，登錄卻沒找到上傳目錄，原來管理員從來沒有使用過這個上傳系統(tǒng)，所以只好放棄根據(jù)新聞的相關(guān)圖片來尋找上傳文件路徑的方法。接著返回網(wǎng)站首頁點一下里面的學工部，它是采用一個叫做“EngineWenDay”的整站程序來構(gòu)建的，在Google上搜索了一下，然后下載了對應(yīng)的版本開始研究。“Db\PW_SYS_Data.mdb”是個默認數(shù)據(jù)庫路徑，管理員還沒有更改默認數(shù)據(jù)庫，所以開始下載它的數(shù)據(jù)庫，可最后始終只能下載到72%。不知道IIS怎么了，又只好暫時放棄對數(shù)據(jù)庫的下載了。SQL注入點同樣很容易被找到，再次嘗試猜解密碼，不過密碼還是MD5加密的，窮舉了8位的數(shù)字密碼都沒有成功。再仔細看了看它的程序，Cookies欺騙也不好弄，它是需要Session驗證的。招生的數(shù)據(jù)庫查詢也有注入，不過還是沒用，它需要的是一個WebShell，211.*.*.3幾乎翻了一遍了，有很多地方存在SQL注入漏洞，也猜解出來了很多密碼，不過都MD5加密了。而且沒有辦法上傳WebShell[12]。接著嘗試從圖書館著手，也就是211.*.*.5，圖書館也使用了一套整站程序，不過版權(quán)信息是修改了的，短時間內(nèi)無法確定是哪套系統(tǒng)，又找到了一個SQL注入，再次嘗試猜解密碼，密碼也是MD5加密了，不過據(jù)以往經(jīng)驗，這應(yīng)該是“123456”的加密后的代碼，嘗試果然如此，進入了后臺，發(fā)現(xiàn)有了一個上傳文件的地方，先修改設(shè)置成允許上傳.asp，接著上傳，結(jié)果返回顯示HTTP500錯誤，程序出錯了，正好損壞了upfile.asp文件，因此全部文件都沒辦法上傳。試試用這個賬號密碼登陸211.*.*.3的財務(wù)處的那套整站程序，財務(wù)部和圖書館是一樣的系統(tǒng)，不過這里的上傳可以用，上傳了自己寫的.aspWebShell防止殺毒軟件警報響起。進去看了看，F(xiàn)at32文件系統(tǒng)，讀取任意文件，打開4個ip分別為：211.*.*.3；211.*.*.5；211.*.*.12；211.*.*.13.看看網(wǎng)絡(luò)情況，看來招生部、財務(wù)部、學校主頁圖書館都已經(jīng)入侵了。探測了一下局域網(wǎng)，好像不存在，原來這個機器是孤立的，所需要的教務(wù)管理系統(tǒng)并不在這臺機器上。把之前SQL探測出來的密碼進行了下匯總，然后嘗試用211.*.*.21，，Web管理員入口和FTP登陸，都沒有成功。想到教務(wù)管理系統(tǒng)的服務(wù)器（211.*.*.21）有FTP服務(wù)，于是嘗試寫了個程序端口重綁在了211.*.*.3的21端口監(jiān)聽FTP的用戶密碼并記錄下來，心想這兩臺機器的管理員或許使用相同的FTP帳號密碼也說不定。利用WebShell找到了教務(wù)管理系統(tǒng)所在的路徑，看到管理員安裝了Winrar，Winrar有一個命令行版本的，用命令打包就行了，5分鐘就打包完畢。分析下這個系統(tǒng)，糟糕的文件命名，沒有縮進的代碼書寫習慣，連大小寫也不用區(qū)分。依據(jù)分析出這套系統(tǒng)使用的是MSSQL作數(shù)據(jù)儲存。試著那找找看連接MSSQL的conn.asp文件在哪里，最終找到了文件名是GetAdminData.dat，.dat文件名是可以直接下載，但看起來里面的內(nèi)容好像使用了微軟的screnc.exe加密了原代碼，猜想SQL數(shù)據(jù)庫的連接密碼肯定在這里。Google一番找到了解密serenc.exe的工具。解密后果然不出所料，SQL連接密碼寫在這里?；氐?11.*.*.21，下載211.*.*.21/xxxx/GetAdminData.dat成功，然后解密成功，最后找到了211.*.*.21機器上運行的MSSQL的sa用戶的密碼。用MSSQL的客戶段連接上，再查詢一下學號對應(yīng)的密碼。因為已經(jīng)得到sa用戶的密碼，不需要提升自身的權(quán)限，而且xp_cmdshell還可以使用。給管理員桌面上寫了一個Txt文件，告訴他存在的漏洞和解決方法，再給他一些安全建議，清空日志，打掃痕跡，最后點了Exit退出了主機，入侵到此結(jié)束。總結(jié)：教育類網(wǎng)站的安全性讓人堪憂，一旦刪除它數(shù)據(jù)庫，修改了考生成績或者修改了財務(wù)信息，那么后果可想而知。現(xiàn)在來分析一下這個入侵過程所顯現(xiàn)出來的校園網(wǎng)絡(luò)安全問題。首先他利用x-Scan大致掃描了一下沒有什么嚴重的漏洞。首先解釋下x-Scan是采用多線程方式對指定IP地址段(或單機)進行安全漏洞檢測，支持插件功能，提供圖形界面和命令行這兩種操作方式，掃描內(nèi)容包括了標準端口狀態(tài)，端口BANNER信息，遠程操作系統(tǒng)類型及版本，CGI漏洞，IIS漏洞，RPC漏洞，SQL-SERVER、FTP-SERVER、SMTP-SERVER、POP3-SERVER、NT-SERVER弱口令用戶，NT服務(wù)器NETBIOS信息等。利用系統(tǒng)漏洞入侵時早期比較流行的一種入侵方式，隨著整個技術(shù)的進步先進的掃描軟件的涌現(xiàn)，提醒我們的廣大管理員要及時打好系統(tǒng)的漏洞補丁這個很重要。那么在這里我想到了一個問題，既然這個軟件我們能通過Internet免費下載并使用，而且這個軟件我試用了一下，雖說沒有試用出什么實際的結(jié)論出來，但是這能不能改造為學校網(wǎng)絡(luò)管理員的一個反黑武器呢？既然我們知道了有這個工具，我們的管理員自己就可以去尋找學校網(wǎng)站服務(wù)器的漏洞然后加以防護。我想這也算是一個十分有效的防護方法。自動拆解密碼。所謂自動拆解密碼通過查證了解也是通過軟件或者代碼，制作類似字典的文件，然后自動試用里面的密碼群與服務(wù)器協(xié)商。通過試證大量的密碼來找到正確的密碼。通過這個入侵實例可以看到黑客很容易就破解的我們管理員的密碼。而且是通過MD5加密后的密碼。但是這里有一個密碼設(shè)置問題要注意。在設(shè)置密碼時，最好是用字母和數(shù)字結(jié)合的方式，重要數(shù)據(jù)可以加長密碼并區(qū)分大小寫。這樣就算用自動拆解密碼也是要巨大的運算量當達到一定的級別之后幾乎用普通的計算器是無法破解密碼的。關(guān)于這個拆解密碼方式其實也有防護方式，比方說可以設(shè)定為一個賬戶一天輸入錯誤密碼三次或者多少次之后這個賬戶就被鎖定，需要更高級別的賬戶來解密或者第二天自動解密。還可綁定IP，只有某特定IP地址才能登陸管理其它IP將不能登陸成功，也可以設(shè)定多個密碼以一定的規(guī)律天天變換，這些都是有操作性的設(shè)想。都可以在實際使用中進行檢驗。黑客利用多處SQL注入漏洞，通過網(wǎng)頁對網(wǎng)站數(shù)據(jù)庫進行修改。它可以直接在數(shù)據(jù)庫中添加具有管理員權(quán)限的用戶，使其獲得系統(tǒng)管理員權(quán)限。黑客可以利用管理員權(quán)限任意獲得網(wǎng)站上的文件或者在網(wǎng)頁上加掛木馬和各種惡意程序，對網(wǎng)站以及訪問該網(wǎng)站的用戶都帶來重大危害。而防范這類攻擊主要是要從程序的編譯過程加以注意使用專業(yè)的漏洞掃描工具掃描網(wǎng)站的漏洞并及時打好補丁。面對程序編譯過程浩瀚的代碼海洋，可以這樣說，我覺得沒有漏洞的出現(xiàn)是不可能的，但是編譯人員好的編譯習慣將會使漏洞的出現(xiàn)大大降低。合理的命名方式規(guī)范的編程手法都是要在平時的學習中加以注意。對管理員的一點建議，作為校園網(wǎng)絡(luò)的安全的守衛(wèi)者，我們管理員也應(yīng)該有黑客的激情經(jīng)常查閱相關(guān)的攻擊手段自己查找校園網(wǎng)絡(luò)中存在的問題，現(xiàn)在的這個網(wǎng)絡(luò)世界太開放了。隨時都有新的軟件和攻擊手段出現(xiàn)，我們的校園網(wǎng)絡(luò)管理員要時時了解最新的攻擊方法并加以防范。最后要說的就是網(wǎng)絡(luò)道德教育的問題。這個案例中的主人翁從他的攻擊手段和方法上看也算是高手了，并且最后成功的擁有校園網(wǎng)的管理權(quán)限，也就是說成功的黑掉了學校的網(wǎng)站，但是幸運的是他沒有對學校的數(shù)據(jù)加以破壞，值得慶幸的是他還為管理員提供了一些建議。我并不是贊揚這件事情，但是我看到的是一個善良的黑客，一個有著良好的網(wǎng)絡(luò)道德的黑客。通過學校大力的支持網(wǎng)絡(luò)道德建設(shè)這一塊，讓更多有著黑客技術(shù)的學生把他們的技術(shù)用到正確的地方，這樣網(wǎng)絡(luò)將會更加的和諧安全。4.2一網(wǎng)通安全問題目前我們學校正在大力建設(shè)校園一網(wǎng)通，據(jù)學校介紹這校園一網(wǎng)通將可以通行學校的各個部門，充當水卡﹑飯卡﹑借書證﹑校園上網(wǎng)繳費﹑甚至門禁系統(tǒng)的身份認證，這一張小小的卡要擔當這么重要的角色那么它的安全性如何。首先要說的是既然是學校大力推廣，那么校園一卡通系統(tǒng)的價值又如何呢？校園一卡通發(fā)展的必然趨勢體現(xiàn)在于一卡通系統(tǒng)多方面的使用價值：首先它減少了收費和認證的工作人員，提高其工作效率，方便了廣大師生的日常生活；其次它減輕了系統(tǒng)維護人員的勞動強度，使維護多種不同系統(tǒng)改變?yōu)榫S護單一統(tǒng)一系統(tǒng)；再次由于部分自動化系統(tǒng)實現(xiàn)了無人監(jiān)管、自助消費，甚至可以實現(xiàn)24小時不間斷開放；最后因為提高對校園網(wǎng)設(shè)備的利用率，在一定程度上減少了學校信息化建設(shè)的使用經(jīng)費。數(shù)字化校園已成為教育信息化發(fā)展的必然趨勢，我國各大高校都紛紛投入到數(shù)字化校園建設(shè)中來，推動了教學手段和教育思想的變革，最終將會實現(xiàn)教學、管理的全面信息化。數(shù)字化校園是通過利用先進的計算機網(wǎng)絡(luò)技術(shù)，提供豐富的信息載體，實現(xiàn)校園內(nèi)信息資源共享和數(shù)字化，在傳統(tǒng)校園網(wǎng)絡(luò)基礎(chǔ)上，從而構(gòu)建一個全方位的數(shù)字空間。其核心內(nèi)容是指學校采用先進的信息化手段和工具，將現(xiàn)實的各項信息資源數(shù)字化而形成的一個數(shù)字空間，從而是的現(xiàn)實校園在時間和空間上得以延伸。在數(shù)字化校園里，學?？梢岳矛F(xiàn)代化手段進行教學、科研、管理、服務(wù)等活動，從而以提高教學質(zhì)量、科研水平和管理水平。對于校園一卡通系統(tǒng)我校采用的是專網(wǎng)搭建，以增加投入換取安全減小風險的做法。因為是專網(wǎng)，所以安全性相對要好，但網(wǎng)絡(luò)安全也只是相對而言沒有絕對的說法。下面具體從鏈路傳輸、網(wǎng)絡(luò)結(jié)構(gòu)、操作系統(tǒng)、應(yīng)用系統(tǒng)和資金安全五方面來對現(xiàn)有一卡通網(wǎng)絡(luò)進行網(wǎng)絡(luò)安全分析。4.2.1鏈路傳輸?shù)陌踩治鲆豢ㄍńK端一般是通過一卡通專用網(wǎng)絡(luò)先經(jīng)過由雙絞線經(jīng)過上位機的傳送，后由前兆單模光纖歷經(jīng)交換機的傳送，最終傳到數(shù)據(jù)庫服務(wù)器上的這種方式實現(xiàn)一卡通的數(shù)據(jù)傳輸?shù)?。對于鏈路傳輸?shù)據(jù)有兩種不同的入侵方式：第一種是入侵者進入內(nèi)網(wǎng)中，竊取信息，然后進行攻擊，使之癱瘓。第二種是將竊聽裝置安裝到傳輸線路上，從而竊取到重要的數(shù)據(jù)，利保證用高科技的技術(shù)他們可以讀出任何想知道的信息，他們有可能將得到的信息泄露出去或者將原有數(shù)據(jù)進行更改。針對這一現(xiàn)象，我們往往采用加密傳輸數(shù)據(jù)這一方法解決鏈路傳輸過程中安全問題。并可以保證網(wǎng)絡(luò)傳輸信息的機密性、完整性、真實性通過并通過數(shù)字簽名及認證技術(shù)。然而，一般一卡通網(wǎng)絡(luò)傳輸數(shù)據(jù)都是使用者的消費信息，這種數(shù)據(jù)沒有太大的機密性存在，因此這不是一卡通安全運行中首先要解決的問題。4.2.2網(wǎng)絡(luò)結(jié)構(gòu)的安全分析1、雖然，一卡通網(wǎng)絡(luò)并沒有直接和Internet進行聯(lián)系，只是外部網(wǎng)絡(luò)通過路由器進行連接。但是在這個過程中還是存在著極為嚴重的安全威脅。網(wǎng)絡(luò)數(shù)據(jù)與考勤功能和圖書借閱功能存在著很大的關(guān)聯(lián)性(物理角度上是隔開的)。這就要求要在一定時間內(nèi)對一卡通系統(tǒng)數(shù)據(jù)進行更新，把一些數(shù)據(jù)導入其中。這樣就是使學?？梢圆樵兒驮L問這些數(shù)據(jù)通過校園網(wǎng)絡(luò)。目前由于一卡通網(wǎng)絡(luò)不可以訪問校園網(wǎng)絡(luò)，導致了它幾乎沒有可能被外部網(wǎng)段的攻擊。防火墻是用的最多的防止外網(wǎng)攻擊采取的保護手段，基于目前網(wǎng)絡(luò)的狀況，由于幾乎外部網(wǎng)絡(luò)不會攻擊校園網(wǎng)絡(luò)，所以設(shè)防火墻設(shè)備來阻止外部的攻擊這方案一般是不校方防考慮的。2、據(jù)網(wǎng)絡(luò)攻擊事件的調(diào)查：威脅內(nèi)部網(wǎng)絡(luò)安全的因素中70％是來自內(nèi)部網(wǎng)絡(luò)的攻擊和侵犯。分為以下幾種情況：內(nèi)部人員故意泄密、內(nèi)部人員私自修改他人密碼、內(nèi)部人員將程序破壞、網(wǎng)絡(luò)管理員盜取他人賬號信息和密碼、內(nèi)部人員將他人信息傳播給其他人等一系的情況。上述的這些情況都是對校園網(wǎng)絡(luò)產(chǎn)生極嚴重的威脅。目前在一卡通網(wǎng)絡(luò)中存在著許多問題，但是由于使用人的數(shù)目過多，身份的復雜性，網(wǎng)絡(luò)內(nèi)部的安全問題已成為眾多安全為題之首要問題。一般來說，信任是網(wǎng)絡(luò)安全的基礎(chǔ)，當內(nèi)部網(wǎng)絡(luò)已和外部網(wǎng)絡(luò)隔離以后，如果內(nèi)部網(wǎng)絡(luò)之間存在這問題，之前與外網(wǎng)的隔離也是徒勞的，所以內(nèi)部網(wǎng)絡(luò)安全的問題是不容忽視的。一般來說，采取入侵檢測的這種技術(shù)已經(jīng)稱為內(nèi)部網(wǎng)絡(luò)中最安全最普遍的一種安全措施。入侵檢測包括兩種：基于主機的和基于網(wǎng)絡(luò)的。考慮到目前一卡通網(wǎng)絡(luò)存的狀況：網(wǎng)絡(luò)還是比較簡單的，并沒有連接外網(wǎng)，所以我們主要選擇主機的入侵檢測技術(shù)。4.2.3操作系統(tǒng)的安全分析網(wǎng)絡(luò)操作系統(tǒng)的安全一般被認為是操作系統(tǒng)的統(tǒng)稱。目前的操作系統(tǒng)中都存在著很多安全漏洞：無論是商用UNIX的操作系統(tǒng)還是我們一般使用的windows操作系統(tǒng)。上述的這些安全漏洞都有可能導致嚴重的安全隱患。所以對一卡通網(wǎng)絡(luò)來說：所有的操作系統(tǒng)都是存在安全漏洞的，無論是SCOUNIXWARE7．1．1還是windowsServer2003，這些問題都是不能避免的。雖然操作系統(tǒng)的生產(chǎn)的廠家一直對操作系統(tǒng)進行著不斷地改善，但是始終沒有找一個可以徹底解決這些問題的方法。4.2.4應(yīng)用系統(tǒng)的安全分析很多方面的因素都影響著應(yīng)用系統(tǒng)的安全指數(shù)。應(yīng)用系統(tǒng)是不斷變化著的，是一個動態(tài)的系統(tǒng)，這就要求必須檢查每一個存在的安全漏洞，然后采取與之對應(yīng)的有效措施，這樣做的目的就是為了使整個應(yīng)用的安全風險有所降低。對于一卡通網(wǎng)絡(luò)來說，他包括的系統(tǒng)有很多種：一卡通管理應(yīng)用系統(tǒng)、中間件應(yīng)用程序系統(tǒng)、ORACLE8．1．7數(shù)據(jù)庫系和各種控制軟件。開發(fā)商應(yīng)該盡最大努力保護一卡通網(wǎng)絡(luò)的安全，對于客戶來說：只是使用和做一些簡單的維護。4.2.5資金安全分析對于一卡通，主要消費也是在學校的一些小額消費，要是每次消費都要輸入密碼這樣會產(chǎn)生很多麻煩，特別是在吃飯的時候大量學生涌入食堂，如果每個人都要輸入密碼將嚴重影響食堂的工作效率。為了保證資金的安全，目前通用的做法是將卡設(shè)定一個消費限額，就是每天最高消費30元，當超過這個限額之后就要輸入這個密碼。這樣在安全和便捷中取一個平衡。但是目前大量的學生一卡通密碼都是初始密碼沒有經(jīng)過后期自己的修改這樣給自己的資金安全造成了一定的隱患。希望引起廣大同學的注意。再就是因刷卡過程中的學校工作人員錯誤輸入扣費金額學生沒有看清就同意刷卡導致的資金問題，這個在使用過程中比較普遍，記得我剛來學校的時候飯卡消費過程中就多次遇到過這種問題，當時的解決辦法都是同食堂工作人員商量，下次來消費時減去多余的扣費金額，這樣我認為對使用還是造成了諸多的不便，不過可喜的是學?，F(xiàn)在對這方面實行了升級，現(xiàn)在如果出現(xiàn)錯誤扣費之后，學校工作人員可以通過消費終端按鍵取消上次扣費操作重新扣費這樣對使用還是方便了許多，是個可喜的改進。那如果是因為服務(wù)器問題導致的資金安全是怎么樣解決的呢？為了數(shù)據(jù)因服務(wù)器損壞或者忽然間斷電這些原因而丟失的這種現(xiàn)象，我們通常采取將共享存儲系統(tǒng)與雙機系統(tǒng)的兩臺主機直接連接起來的這種辦法。我們在兩臺主機上分別安裝操作系統(tǒng)、用戶應(yīng)用軟件、系統(tǒng)的應(yīng)用軟件。數(shù)據(jù)庫這種重要的共享數(shù)據(jù)必須要保存在存儲系統(tǒng)上，然后使用心跳網(wǎng)絡(luò)將兩臺電腦進行連接。在兩臺已經(jīng)安裝好系統(tǒng)的主機開始運作的之后，LCHA軟件則開始對整個系統(tǒng)進行了嚴格地監(jiān)控，如果想使LCHA軟件可以監(jiān)控每一臺主機，必須利用私用網(wǎng)絡(luò)這個介質(zhì)傳遞各種重要的心跳信息。如果在工作中，主機發(fā)生了運作的問題，心跳信息所產(chǎn)的變化會被LCHA軟件捕捉到，捕捉之后，LCHA軟件，會主動地控制系統(tǒng)對主機進行切換：既備份機開始和工作主機有一樣功能的應(yīng)用程序，然后它就開始操作了主機上存在的工作任務(wù)（包括提供TCP／IP網(wǎng)絡(luò)服務(wù)、系統(tǒng)的存儲，存取等一系列的服務(wù)），之后開始報警，管理人員聽到報警之后，將對存在故障的主機進行維修。維修結(jié)束后，根據(jù)LCHA的設(shè)定的這一功能，已無故障的主機可以通過手動或者自動自己切換回來，當然也可以不切換回來。這時候已維修好的主機就可以被當作備用機使用了，雙機又可以一起開始工作了。而且現(xiàn)在的一卡通設(shè)計者也是很替使用者考慮，比方說我們學校的現(xiàn)在一卡通上面就印有持卡者的照片和身份信息，如果不慎遺失，拾卡者可以比較容易找到卡主，這應(yīng)該說是對傳統(tǒng)的一種顛覆是個很好的發(fā)展趨勢。5總結(jié)本畢業(yè)設(shè)計是校園網(wǎng)絡(luò)安全問題的研究與對策，主要是討論目前校園網(wǎng)絡(luò)中存在的安全問題，分析目前已經(jīng)發(fā)生的網(wǎng)絡(luò)安全案例，并通過這些案例來找到應(yīng)對的辦法。其實總的來說目前校園的網(wǎng)絡(luò)相對來說還是比較安全的，很多通過網(wǎng)絡(luò)和現(xiàn)實中知曉的案例其實都可以看成個案，并不具備