文章出处:亚洲资源网
在第13期我们谈了局域网中入侵服务器的方式以及防范对策，这次笔者想根据自己的经验谈谈互联网对本地服务器的入侵。常见的互联网入侵无非有以下几种：1.IPC入侵；2.利用系统的安全漏洞溢出管理员进行入侵；3.DDoS攻击，也叫分布式拒绝服务。如果你的系统遇到了三种情况之一，而且被扫描软件扫描到，那就很危险了。为了便于大家更好地理解，笔者就在模拟环境中举例讲解，请大家一定不要按照此方法入侵别人的服务器。
几种入侵方式
首先请安装Win2000系统，然后打开扫描软件X-Scan2.3，再点击“设置/扫描参数”，在出现的对话框中添入一段IP地址，如61.139..1—61.139.2.255，然后点击确定。继续点击“设置→扫描模块”，勾选SQL-Server弱口令、NT-Server弱口令，点击确定，再点击“开始扫描”。一会儿后，X-Scan就已经扫描完了，看看结果，有几十台电脑符合我们的要求。任意点击一IP地址如61.139..100，打开追捕，查看了一下该IP的具体位置以及用户名，做到心中有数，并查看一下该IP所开的端口以及所提供的服务，相关的步骤都可用X-Scan实现。收集完所有需要的信息后，就可以开始入侵了。
打开一个cmd窗口，输入net use \61.139.（.100ipc$ '密码' /user）'用户名'，回车，如果出现命令成功完成，那我们的电脑就和对方建立了IPC连接，再次在cmd中输入copy chackwollf.exe \61.139..100admin$，回车，这时我们就将木马程序Wollf.exe拷贝到了对方的系统目录下，不过最好先加一下壳（这样不容易被病毒防火墙查杀）。下一步就是启动这个黑客程序WinNT上面有Schedule（定时服务，可利用它来启动这个程序。首先看一下对方此时的时间以便决定何时启动。输入命令net time \61.139..100，查看到对方的本地时间为23∶11，那我们就用at命令来启动它。输入at \61.139..100 23∶13 Wollf.exe等待几分钟，我们就可以Telnet上去了。
这一次的黑客入侵发现，管理员安全意识过于薄弱，密码竟然为空。而在我国的电脑上空口令非常多见，请现在还在使用空口令的用户赶快加上密码，密码最好在8位以上，采用大小写字母加字符的组合。不要以为采用了密码就安全无忧了，请记住在理论上没有攻克不了的密码，所以一定还要定期更改密码。还有一点，SQL Server安装后将产生默认的SA用户，密码为空，黑客可以利用SQL Server客户端来进行数据库远程连接。如果被扫描到，那你的系统也就完了，它所开放的端口为1433。
OK，请大家再次打开X-Scan，在扫描模块中点击IIS漏洞，并设置一个C类网段，经过扫描，又发现目标主机。IIS的漏洞比较多，但笔者认为比较经典的漏洞有Unncode不过现在有这种漏洞的电脑已经比较少了，但少并不代表没有，打开浏览器输入http：//IP/scripts/..%c1%1c../winnt/system32/cmd.exe﹖/c+dir+c 等语句试试，看见了C盘了吗?Unncode在一般情况下是不能获得管理员权限的，不过它可以下载SAM文件，在本地用LC4来进行暴力破解。SAM文件保存着Win2000的登录名和密码等许多有用的信息，在WinNT中它叫SAM_，SAM文件在Windows启动后即被锁定，无法更改、拷贝，但可使用它在WinNT的Repair中的备份文件。
防御办法是把主目录C：Inetpub修改成DInetpub，对于Inetpub目录中的Scripts，最好删除或更改文件名。因为在Scripts目录里可执行EXE文件，它可是木马运行的好地方。可在“Internet信息服务”→“默认Web站点”中进行修改，我们还可以用Iislockd这个软件来进行防范，它是IIS管理员们的好助手。
另外还有IDQ/IDA溢出，对于这个溢出，可用Snake IIS溢出管理员进行防护。对于用漏洞进行溢出管理员的操作，我们可以这样防护：点击“计算机管理→Internet信息服务→默认Web站点”，点击右键选择属性，在出现的默认Web站点属性窗口中单击主目录，在出现的目录中点击配置，在应用程序映射中删除.IDQ和.IDA，确定后也就补住了这个漏洞。DDoS攻击现在还不是很常见，因为它所需要的条件较高，不是每个人都可以实现的。
防止服务器被入侵
看了以上的介绍，是不是有很多感触啊?呵呵，那我们应该怎么维护好我们的服务器，防止被外部入侵呢?
1.Win2000 Server在默认安装情况下会安装终端服务，默认开放3389端口，如果你的用户名和密码被破解，你的电脑就被完全控制了；或者用很久以前比较流行的输入法漏洞，不过现在还有这种漏洞的电脑不多了。防范措施：删除输入法的帮助文件，设置一个“强壮”的密码。
2.微软的IIS（Internet Ihformation Server）经常会有漏洞，所以要及时打上IIS的补丁。对于一般的小公司，最好不要提供如Telnet、FTP等服务，减少被入侵的机会。对于现在提供Web服务的本地服务器，多采用ASP+Access的动态网页格式，那么我们就要注意数据库的存放路径问题，可将它放置在多级目录中。不要去申请免费论坛，因为现在的论坛如果配置不好，就有可能被黑客利用，如果论坛被攻破，那你的网站、系统都可能被黑掉!
3.建议安装了Win2000 Server的系统最好打上SP3补丁。因为SP3补丁堵住了很多以前的漏洞，并安装了网络版防火墙，不过它在每次开机的时候，系统资源占用率比较大，但对于不关机的服务器来说还是很适用的，它会阻止任何未经过认可的应用程序运行。
4.删除SAM文件的备份。
5.初级的黑客一般在入侵成功后都会犯下致命的错误，那就是删除日志文件或者事件查看器。我们可以利用留下的蛛丝马迹来查找黑客，并且每天都应该分析一下IIS为我们提供的日志记录看看日志有无断点和被破坏的迹象，不过那需要相当丰富的经验，但大家可以用日志分析软件来进行分析。
6.一般情况下最好禁用Guest账户，删除系统安装IIS后自动添加的账户。大家可以做得更巧妙一点，重新命名Administrator账户，并提供一个“强壮”的密码，再创建一个也有密码的“假”Administrator账户，让它不具备任何权限，并对它开启日志审核。不过用扫描软件还是可以很轻易知道你是不是属于管理员组的，我们可以用CA软件来克隆管理员，并把以前的管理员权限删除为Guest组，这时候再用扫描软件扫描，这台电脑就没有管理员了。
7.安装端口实时监测软件如Active Ports，它的最大好处在于在监视端口的同时，能把活动端口所对应的应用程序列出来。
8.对计算机进行全方位的立体检测，可用微软为我们提供的免费工具MBSA（Microsoft Baseline Security Analyzer，微软基准安全分析器）进行检测。
以上是笔者在做了一年系统管理员后的一点经验之谈，希望对你有所帮助!（四川 王耿）
安全文摘 