网络安全问题的探讨

网络安全问题的探讨

[导读]摘要：随着计算机技术和网络技术的发展，网络安全问题，在今天已经成为网络世界里最为人关注的问题之一。危害网络安全的因素很多，它们主要依附于各种恶意软件，其中病毒和木马最为一般网民所熟悉。针对这些危害因素，网络安全技术得以快速发展，这也大大提高了网络的安全性。不过，完善相关法律法规和加强网络道德建设，才是解决网络安全问题的根本办法。

摘要：随着计算机技术和网络技术的发展，网络安全问题，在今天已经成为网络世界里最为人关注的问题之一。危害网络安全的因素很多，它们主要依附于各种恶意软件，其中病毒和木马最为一般网民所熟悉。针对这些危害因素，网络安全技术得以快速发展，这也大大提高了网络的安全性。不过，完善相关法律法规和加强网络道德建设，才是解决网络安全问题的根本办法。

关键词：网络安全 病毒 木马 加密

1988年，3岁的美国人莫里斯（Morris）将其编写的蠕虫程序输入计算机网络，造成了网络拥塞,无数人因此受到影响，举世震惊。此事引起了人们对计算机病毒的巨大恐慌，也使得计算机专家们开始重视和致力于计算机病毒研究。

时至今日，网络安全问题已经成为互联网世界最为人关注的问题之一。近来最让国人印象深刻的，莫过于去年的熊猫烧香病毒，其危害之大、传播范围之广令人咂舌，毫不夸张的说，当时网民们真是人人自危。其实危害网络安全的因素有很多，除了计算机病毒之外，还包括服务式攻击、网络扫描、网页篡改、信息盗取等。而这些危害的手段主要依附于以下恶意软件：病毒、蠕虫、逻辑炸弹、特洛伊木马、后门（陷门）、Exploit、下载程序、工具包（病毒生成器）、垃圾邮件发送程序、洪泛攻击器等。当然其中影响最大的，也最为一般网民所熟知的，是计算机病毒。

计算机病毒之所以被成为病毒，是因为它像生物病毒一样，能够采用欺骗性的手段生成成千上万的原病毒的复制品。这些病毒通常寄居在宿主程序上，从而达到其破坏的目的。

第 1 页 共 12 页

如今，计算机病毒数量多不胜数，种类纷繁复杂，因此给病毒分类也不是一件轻松的事情。根据寄存的媒体，病毒可以划分为网络病毒、文件病毒、引导型病毒以及这三种的混合型；根据传染的方法，病毒可分为驻留型病毒和非驻留型病毒。此外，还有根据特有的算法，或者根据病毒的破坏性等进行分类的方法。当然也有人将以上这些进行很好的概括，最终将病毒分为寄生性病毒、常驻存储器病毒、攻击引导扇区病毒、隐蔽性病毒、多态性病毒以及变形病毒。

计算机病毒在其生命周期中，一般会经历潜伏阶段、传染阶段、触发阶段、发作阶段等四个阶段。病毒的几个特性（寄生性、传染性、潜伏性、隐蔽性、破坏性和可触发性等）在这四个阶段中分别得到体现。不难理解，对计算机影响最大的阶段是病毒的发作阶段。在触发条件成熟时，病毒即进入发作阶段，轻者干扰用户操作，重者破坏程序和数据，给系统造成巨大的危害。

而正当人们跟计算机病毒“纠缠不清”的时候，木马这种恶意软件“异军突起”，逐渐与病毒“平起平坐”，受到的憎恶的“待遇”比病毒有过之而无不及。木马是一种未经用户同意而进行非授权性的远程控制的恶意程序。很多人认为木马也是病毒的一种，这是因为他们把危害计算机安全的“败类”，都一股脑儿地冠以“病毒”之名。实际上，木马并不感染软件或者数据，而是通过伪装，进行远程控制等行为，这与病毒有着根本性的差异。所以，病毒是病毒，木马是木马，我们还是应该区分开来的。

木马的可怕之处在于，一旦你的电脑中了木马，它就变成了一台傀儡机，控制端利用木马，悄无声息地在你的电脑上上传下载文件，偷窥你的私人文件，甚至盗取各种密码，造成非常严重的后果。

一般来说，恶意软件的传播方式有两种。一种是网络传播，包括互联网传播和局域网传播；另一种是硬件传播，包括可移动硬件传播和不可移动硬件传播。这里以木马为例，简要介绍几种具体形式：一是通过电子邮件传播,控制端将木马程序以附件的形式夹在邮件中发送出去，收信人只要下载附件，系统就会受到感染；二是软件捆绑，一些非正规的网站将木马捆绑在某软件安装程序上，一旦该软件被下载并运行起来，计算机就会随之受到感染；三是网页挂马，在浏览某些网页时，该网页上的木马就会自动运行起来。因此，我们在上网时一定要加倍小心：如果邮件来自非可信方，不要轻易下载其附件；下载软件尽量到正规网站下载；不要浏览一些具有诱惑性的网页。当然，实时开启安全主动防御软件是非常必要的。

第 2 页 共 12 页

不过，由于病毒和木马等恶意软件极具伪装性和隐蔽性，所以在网络海洋里，光靠“小心”显然是无法“使得万年船”的。于是，网络安全技术得以迅速发展，并通过对公共网络的整体武装，大大提高了网络的安全性。当前主要有以下三种关键的网络技术来阻挡和回击病毒等的危害：防火墙技术、数据加密技术和智能卡技术。我确保你会对加密技术更感兴趣，只要你曾经折服于侦探或寻宝类小说中的密码游戏，或者关注过二战中加密和解密的信息战。其实这里的数据加密技术，就是在那基础上发展而来的，只不过要更加复杂得多。告诉你，迄今为止，最重要的网络与通信安全自动化工具正是你所感兴趣的加密。

目前，两种主要的加密形式是对称加密和公钥加密。数据加密标准（Data Encryption Standard,DES）,是目前使用最为广泛的对称密码，而为了更加保险，人们往往会采用双重甚至三重DES。不过专家们预测，随着加密技术的发展，DES将会逐渐被高级加密标准（AES）所取代。RSA是比较常用的公钥加密算法。公钥加密的产生和发展可以说是密码学发展历史中惟一的一次伟大变革。公钥算法基于函数而非替换和置换，而且由于具有非对称性，它拥有两个密钥（公钥和私钥），这无疑给试图通过获取密钥而进行破坏活动的人增加了难度。

不过，尽管我们采用了这么多办法来增加网络安全，但网络世界并没有迎来哪怕一时半刻的清静。病毒等恶意软件不但丝毫没有偃旗息鼓的迹象，反而不断上演“你方唱罢我登场”的闹剧。其实除了使用网络安全技术以及个人安装杀毒、防毒软件，完善互联网使用相关法律、规范互联网使用行为和提升网络道德意识，才是从根本上解决网络安全问题的好办法。

保障网络安全，已经是迫在眉睫的事。伴随网络的迅速发展，个人数据和重要企业资源等信息被暴露的现象已经越来越普遍，企业面临因网络受黑客攻击而遭到不同程度破坏的风险，使得IT主管肩上的责任越来越重。那么哪些是IT主管最常见的问题，又该如何解决呢？在 保障网络安全，已经是迫在眉睫的事。伴随网络的迅速发展，个人数据和重要企业资源等信息被暴露的现象已经越来越普遍，企业面临因网络受黑客攻击而遭到不同程度破坏的风险，使得IT主管肩上的责任越来越重。那么哪些是IT主管最常见的问题，又该如何解决呢？在此，我们总结出了其中最重要的九个。

问题一 如何确保网络100%安全？

第 3 页 共 12 页

简单答曰：不可能。现有的安全解决方案仅提供风险管理，这意味着尽量减少网络漏洞和风险。最好的办法就是改进预防方法，并且选择最适合自己网络的解决方案。网络面临三种漏洞：策略、配置和技术漏洞。如果对网络所许可的或禁止的知之甚少，就会出现策略漏洞。而且，配置漏洞很容易发生，此外，操作系统及缓冲器溢出等技术漏洞也是重大隐患。切记：良好的安全策略和实施只是预防行动，而不是补救方法。

问题二 从哪儿开始着手做安全？

网络安全好比守护办公大楼或是住房，你会先给门上一道锁，将不速之客拒之门外，防火墙就是网络上的一把锁，它控制着访问网络的权限，只允许特许用户进出网络。当然，守护大楼不仅仅是给门上锁，网络安全也不仅仅是在网络周边设置防火墙，为了最有效地满足网络安全需求，还需要其它技术，如用户验证、虚拟专用网和入侵检测。

问题三 如何确保只有授权用户才能访问？

生活中，我们通首先过在门口识别来者身份，才允许用户可以入内。在网络上，你可以利用所谓的AAA服务器实现这功能，这种服务器能够进行验证、授权及登记，换句话说，它能查明用户身份、允许访问的网络部分及已经访问的部分。

问题四 如何建立安全的远程访问通道？

利用IPsec可实现安全的远程访问。IPsec被用于确保通信双方是特许用户或设备，它确保没人在通信线路上窃听及没人能够改变途中通信信号也很有必要。IPsec提供了三种技术以帮助实现这功能。即验证报头、封装安全载荷和因特网密钥交换（IKE）。

问题五 如何确保员工远程访问的安全？

利用IPsec，你同样可以在远程办公人员的PC与总部之间建立一条安全隧道。这可以通过在总部对客户机进行全面的管理与配置，从而使这种解决方案既简单又经济。而有些VPN利用多块加密加速板卡，最多

第 4 页 共 12 页

能够应付1万条100Mbps的连接。

问题六 如何面对入侵者？

防火墙、验证和加密只能尽量防止入侵者进入网络。入侵者可能来自内部，在设计网络安全时，一定要留意可能存在的内部威胁。为解决此问题，既要防患未然又要迅速反应。防患于未然需要为网络清除所有漏洞，以免被人利用。利用入侵检测系统的漏洞扫描器可以做到这点。

问题七 如何既不添人手又加强网络安全？

为了避免增添人手，就要从基于设备的管理或基于多个设备的管理改为基于策略的管理。基于设备的管理需要为设备进行逐个管理及配置，这非常费时、费力，还容易出错。基于策略的管理方法要灵巧得多。它使你可以通过策略管理器集中管理策略（譬如允许指定的一组用户利用Http访问因特网），然后策略管理器会生产所有必要的配置文件，并对所有设备进行配置，而与数量或位置无关。这种管理可以合理配置有限资源、减少错误、确保网络一致性、减少时间和成本。

问题八 有了防火墙、IDS和VPN就安全了吗？

部署这些解决方案能够降低出现漏洞的风险，但网络上只有这些保护还不够，充分利用防火墙、IDS等提供的信息至关重要，监控及分析这类信息也非常关键。此外，教育对安全也很关键。还有，具有了解网络的正常运行状态、如何保护网络安全及如何寻求帮助的能力也很重要。

问题九 采用端到端解决方案是否更好？

购置这种产品肯定是比较好的做法：能彼此通信，从一个中央位置就能便于管理。采用众多不同产品会使管理工作非常困难、费钱及费时。部署由承诺有互操作性的多家厂商提供的不同安全技术拼凑而成的方案不是办法。对组织来说，理想情形就是利用最佳产品组合，组成端到端安全解决方案。

第 5 页 共 12 页

如下为最常见的一些安全问题以及对应的解决办法：

关于WindowsNT

国内站点中，NT站点最多，占91.4%，其余不足10%的多为类Unix系统（如SunOS、HP-Unix、SCO Unix、Linux、BSD Unix等）,而恰恰NT的漏洞最多。由于微软的技术垄断，NT的漏洞一般很难迅速、完美地解决。NT把用户信息和加密口令保存与SAM文件中，即安全帐户管理（Security Accounts Management)数据库，由于NT的加密过程与Win9x一样简单，因此NT口令比Unix(linux)口令更加脆弱，更容易受到一本简单黑客字典的攻击。（NT5.0已改进了它的加密程序，但国内跑得最多的依然是NT4.0）。

NT首当其冲的漏洞就是SMB漏洞，其导致SAM数据库和其他NT服务器及NT/9x工作站上的文件可能被SMB的后门所共享。SMB(Server Message Block 服务器消息块）是微软早期的LAN产品的一种继承协议，即基于Windows95/98/NT平台的共享功能。在LAN中，共享功能提供了网络中硬盘，CDROM，打印机的资源共享，极大方便了网络的使用。由于LAN局限在内部使用，并未引起较大安全问题。当LAN连上因特网，成为一个子网络时，人们通常还是认为，共享功能仅限于LAN使用，其实不然，通过因特网，是可以访问到LAN中的共享资源。共享资源有两种访问方式，一种是只读方式，另一种是完全访问方式。通常基于方便使用的考虑，共享资源都没有设置口令，而且，有些还打开了完全访问方式。这样，一个菜鸟黑客都可以利用Internet上俯拾皆是的SMB黑客工具，来窃取文件，删除磁盘，甚至上传木马，以达到长期、更进一步控制的目的。仅我知道的此类软件就有老掉牙的Logion、Redbutton和NetHackerII。用这些软件访问LAN不需要Administrator访问权或者交互式访问权。NT在安装后，每个磁盘都会缺省地被设置成共享，这时后，Internet和LAN上的任何人都可以用命令行方式连接服务器。如在开始-运行里键入“\\\\IPADDRESS\\C$,\\\\IPADDRESS\\D&……”或在Dos下连接。当前。对于使用SMB进行NT组网，还没有任何其他可选的方法。

建议：安装NT后，立即修改磁盘共享属性；严格控制共享，请加上复杂的口令；打印服务器应认真对待，任何人都可以通过SMB漏洞将你的打印驱动替换成木马或夹入病毒；安装防火墙，截止从端口135到142的所有TCP和UDP连接，这样有利于控制，其中包括对基于RPC工作于135端口的安全漏洞的控制。

第 6 页 共 12 页

当然，最安全的方法是利用代理（Proxy）来限制或者完全拒绝网络上基于SMB的连接；同时在内部路由器上设置ACL,在各个独立子网之间，截止端口135至142。

另一大漏洞就是注册表访问漏洞。NT的缺省Registry权限有很多不恰当之处。第一，Registry的缺省权限设置是对Everyone（所有人）的Full Control（完全控制）和Create（创建），这可能导致注册表文件被不知情用户或恶意用户修改、删除或替换。第二，NT的缺省状态下是允许用户远程访问NT的注册表。这将导致严重的安全隐患。

建议：立即关掉“远程注册表造访”，使用第三方的工具软件如Enterprise Administrator来管理注册表

，

必

要

时

将

其

锁

住

。

或

手

动

修

改

注

册

表

——

在

HKEY_Local_Machine\\System\\CurrentControlSet\\Control\\SecurePipeServer下添加Winreg项(Reg_SZ类型），再在其下添加Description值（Reg_SZ类型），输入字符串“Registry sever\

NT的进程定期处理机制有较大漏洞。NT允许非特权用户运行某些特别的程序，导致NT系统崩溃或者挂起。CPUHOG是一个只有5行的小程序，它可以使NT挂起；NTCrash与前者类似，这类软件在Internet上到处可见。一些扫描器也可以使NT拒绝服务，如经典的SATAN和InternetScanner,它们都可以使NT崩溃。甚至用一条简单的Ping命令（对，就是Win9x/Nt中的Ping）也可以服务器重启。如“Ping -l 65524 host.domain.com ”。究其原因，在于NT对较大的ICMP包是很脆弱的，如果向NT发一条指定包大小为64K的Ping命令，NT的TCP/IP Stack将不会正常工作。此种情况会使系统离线工作，直至重启。

建议：赶快去下载Service Pack 6，立即安装。

帐户设置不合理也是人为的安全因素，如果和NT密码的脆弱性联合起来，又是一个严重的隐患。通常入侵者最感兴趣的是Administrator帐户，次之是Guest帐户。因此，必须严格地设置域和帐户。

建议：必须设置两个或两个以上的系统管理员帐户，以免万一入侵者已得到最高权限并将口令更改。并且将原Administrator帐户改名，加上复杂的口令，再设置一个没有任何权限的假Administrator帐户，以欺骗入侵者；取消Guest帐户或者加上复杂的口令；设置口令尝试次数上限，达到即锁住该帐户，以防止穷

第 7 页 共 12 页

举口令；关注系统日志，对大量Login失败记录应保持警惕。

LAN中的不友好用户和恶意用户也应注意。通常LAN中的用户得到管理员权限的成功概率高达70%，而其他用户则不到5%，因为本网用户通常较熟悉管理员的工作习惯，而且穷举口令在局域网中也比从互联网上快得多（LAN中100次/秒，Internet中3-5次/秒）。“最危险的敌人通常都在你身边”，此类的黑客工具举不胜举，如NTRecover、NTLocksmith(NT锁匠，这名字倒是恰如其分)、Getadmin、IKS、L0phtCrack…… 另外，网络监听（也叫嗅查器 Sniffer）也是LAN 中常用的窃密方法。因为一般公司都是使用共享式的HUB，所以只要将网卡接口设置为监听模式即可，通常可以截获本段网络中传送的信息流，加以分析，从中得到密码。我用NetHackerII试着监听了本段局域网仅两分钟，就得到了一个叫“super99”的明文共享口令；而密文口令，可以保存成SMB文本，送L0phtCracker解密。L0phtCracker2.52 在48小时内，几乎能解90%以上的密码（当然要一个好字典哦:-)）。现在的入侵者在服务器久攻不下后，会用IP扫描器扫描服务器所在网段（如冯志宏大侠的“月光搜索”），得到本网段的工作站的IP，然后挨个尝试，找出最脆弱的一台攻击，得手后即开始监听，伺机窃得管理员口令。而且在宽带网逐渐普及的今天，攻击的速度也越来越快。可能原来需要一个月跑出来的口令，现在只需一天或几小时。

建议：采用Switch HUB 后就只能监听本网段；严格设定域和工作组，用拓扑结构将各个域分开。

另外，Modem拨入式访问也应引起注意。不要将电话号码透露给任何人，不要将记有号码的介质随意放置，并要给此种访问加上口令。 NT在默认状况下用紧急修复盘更新后，整个SAM数据库会被复制到%system%repair\\sam._下，而且对所有人可读。因此在修复后，立即将其改为对所有人不可读。

关于泛Unix

NT由于界面友好，操作简单，被中小型企业广泛采用；而Unix由于对管理人员要求较高，常常用于大型企业和ISP。因此，若此类服务器被摧毁，损失将是惊人的。

Unix系统中的/etc/passwd文件是整个系统中最重要的文件，它包含了每个用户的信息（加密后的口令也可能存与/etc/shadow文件中）。它每一行分为7个部分，依次为用户登录名，加密过的口令，用户号，

第 8 页 共 12 页

用户组号，用户全名，用户主目录和用户所用的Shell程序，其中用户号（UID）和用户组号（GID)用于Unix系统唯一地标识用户和同组用户及用户的访问权限。这个文件是用DES不可逆算法加密的，只能用John之类的软件穷举，因此，此文件成为入侵者的首要目标。通常黑客用FTP匿名登录后将passwd Get回去，就用John开始跑了。所以一定要把此文件设为不可读不可写。另注意，opasswd或passwd.old是passwd的备份，它们可能存在，如果存在，一定也要设为不可读不可写

文件许可权也是应高度注意的问题。用ls -l 可以看到文件的权限。r表示可读，w表示可写，x表示可执行；第一个rwx表示文件属主的访问权限，第二个rwx表示文件属主同组用户的访问权限，第三个rwx表示其他用户的访问权限。改变文件的属主和组名可用chown和chgrp,但修改后原属主和组名就无法修改回来了。用ls -l看时，目录前面有个d，在Unix中，目录也是文件，所以目录许可也类似与文件许可。

用户目录下的.profile文件在用户登录时就被执行，若此文件对其他人是可写的则系统的任何用户都能修改此文件，比如上传木马，加入后门。如“echo \"++\">.rhosts”就可随意进出其他用户帐号，再开始攻击，从而嫁祸他人。应设置用户ID许可和同组用户ID许可；并将umask命令加入每个用户的.profile文件，以避免特络依木马攻击和各种模拟Login的诱骗。同时应多用ls -l查看自己的目录，包括以.开头的文件。任何不属于自己但存在于自己目录的文件应立即引起怀疑和追究。

最好不设匿名帐户或来宾帐户（anonymouse & guest）如果一定要设，请在/etc/passwd中将其shell设为/bin/failure，使其不能访问任何shell。（注意：Linux中是设为/bin/false）。打开chroot（如chroot -s）,使其访问的文件限定在一定目录下。

作为root登录后，应时刻保持清醒，知道自己下一步该做什么，因为你的一点微小的疏忽都可能给整个系统带来不良后果 ，甚至导致系统崩溃。尽量少用root登录，而以具有同样权限的其他帐户登录，或用普通帐户登录后再用su命令取得管理员权限。这样做是为了避免可能潜在的嗅探器监听和加载木马。给你的root 帐户加上足够复杂的口令，并定期更换。

Unix可执行文件的目录如/bin可由所有的用户进行读访问，这样用户就可以从可执行文件中得到其版

第 9 页 共 12 页

本号，从而知道它会有什么样的漏洞。如从Telnet就可以知道sendmail的版本号。禁止对某些文件的访问虽不能完全禁止黑客地攻击，但至少可以使攻击变得更加困难。

如果是SunOS系统，请及时关注Sun的补丁信息，因为SunOS系统被侵入的事件较多，而且国内绝大部分重要的网络(国家政府部门，邮电通信，教育部门等)都采用SunOS系统。据报道，有30%上有严重的root级安全问题，如最经典的例子：SunOS V4安装时会创建一个/rhosts文件，这个文件允许Internet上的任何人可以登录主机并获得超级用户权限。SUN的本意是方便管理员从网上进行安装，但也为入侵者大开其门。比较新的例子有SunOS的rpc.ttdbserver存在巨大漏洞，可以使任何人远程登录取得root级权限并不需要何口令，接着一条rm -fr * 的命令就可以…… 建议网络管理员去下载最新的补丁。并且注意的是，通常管理员对核心主机非常关注，会及时补上补丁，但同网络内的其他主机的管理却没有跟上，入侵者虽然通常无法直接突破核心主机，但往往通过这一点，先突破附近的电脑，进入LAN网络，在利用嗅探器等方式监视LAN，获取通向服务器的途径。所以，同网段的机器都应该同等级重视。

这里将常见的系统漏洞的版本号总结一下，如果您的版本号与此相同，请立即升级系统或安装补丁程序。

Linux 1.2.13可以利用CGI轻松获得root权限（这个太老了吧！）

XFree86 3.1.2 的某个漏洞可使其他替罪羊代为删除任何文件

Sendmail8.7-8.8.2 for Linux ,FreeBSD有root级漏洞

SunOS Version4.0 有root 级漏洞

关于CGI等

CGI 是主页安全漏洞的主要来源。CGI(COMMOM GATE INTERFACE)是外部应用程序与WEB服务器交互的一个标准接口，它可以完成客户端与服务器的交互操作。CGI带来了动态的网页服务,但是INTERNET的宗旨是面向每个人的，任何人可在任何时候任意多次通过INTERNET访问某WEB服务器，而这些特性又

第 10 页 共 12 页

会给INTERNET带来安全上的问题。CGI程序设计不当,就可能暴露未经授权的数据,例如,一个最早的CGI漏洞:在浏览器里输入

http://www.xxxx.xxxx.com/cgi-bin/phf?Qalias=x%0a/bin/cat /etc/passwd 就可以看到Unix服务器的passwd文件。

/msads/Samples/SELECTOR/showcode.asp可以看到NT服务器上的任何文件。这些root级漏洞几乎均来自与用户的交互，这种交互性在给主页带来活力的同时，成为Web服务器的一个潜在危险。具有破坏性的数据可以从多种渠道进入服务器，客户端可以设计自己的数据录入方式，数据内容，然后调用服务器端的CGI程序。如有的留言板可以用……的方法屏蔽CGI，使它支持超文本，然后五花八门的Java炸弹、色情图片、色情链接搞得留言板乌烟瘴气。又如可以由客户端用户任意设定数据的长度，如果用户恶意地设置超长数据，结果是系统挂起，甚至导致瘫痪。

那么究竟应如何防止这些数据的入侵呢?首先服务器应对输入数据的长度有严格限制，在使用POST方法时，环境变量CONTENT－LENGTH能确保合理的数据长度，对总的数据长度和单个变量的数据长度都应有检查功能；另外，GET方法虽可以自动设定长度，但不要轻信这种方法，因为客户可以很容易地将GET改为POST。CGI程序还应具有检查异常情况的功能，在检查出陌生数据后CGI还应能及时处理这些情况。CGI在增加上这些功能后，很可能变得很繁琐。在实际应用当中还要在程序的繁琐度和安全性上折衷考虑。“黑客”还可以想出其他办法进攻服务器，比如以CET和POST以外的方法传输数据，通过改变路径信息盗窃传统上的密码文件/etc/passwd, 在HTML里增加radio选项等等。最后，要对CGI进行全面的测试，确保没有隐患再小心使用。

ASP也是一大问题。ASP由于强大的功能、简单的开发和维护成为了当前开发Web程序的首选。但ASP一直BUG不断。如IIS3.0时在ASP后加一个$Data就得到源码；IIS4.0时在ASP后加%81或%82也有同样功效。另外 showcode.asp、codebrws.asp等也有漏洞。管理员可以下载SP6补丁，并留意有关ASP漏洞的报道。

第 11 页 共 12 页

近来邮件病毒一再升温，恶意的VBScript也漫天飞。黑客可以将恶意的VBS代码夹在超文本中，加上以over方式触发的链接，将信以HTML格式寄给你，当你的鼠标挨上链接，具有特殊功能的VBS就被执行，简单的如乱删你的文件，复杂的如得到你的系统目录字符串，然后在注册表中将你的C盘改为共享或更隐蔽一点的就是将startup目录改为共享，最后用SMB共享软件连接服务器，上传木马。因此，尤其注意异常的邮件，先用杀毒软件扫一遍，如不放心就用记事本打开看；如果看都不敢看，简单——Delete了事！

关于密码

这可以说是老生常谈，因此其重要性不必我再浪费口舌。密码一定要长，至少7位以上，最好8位。如Unix一共是128个字符（0x00～0xff），小于0x20的都是控制符，不能作为口令输入，0x7f为转义符，也不能输入，那么共有128-32-1=95个字符可作为口令输入。如果passwd为6位，包括任意5个字母和一位数字或符号，则其可能性为52*52*52*52*52*43=16,348,773,000(163亿种可能性)。这纯粹是理论估算，实际上密码比这有规律得多。英文常用词条约5000条，从5000个词中任取一个字母与一个字符合成口令，仅有5000*2*2*2*2*2*43=6,880,000(688万种可能性)，现在一台赛扬600上每秒可算10万次，则需要时间为6880000/100000/60=1.146667（分钟）仅需1分钟！而就算全部穷举，也只要16348773000/100000/60/60=9.621864（小时）因此6位密码十分不可靠。而8位（7个字母和一个字符）要（52*52*52*52*52*52*52*43）/100000/3600≈26017.52（小时）≈1084（天）≈2.97（年）。你看，你的密码仅仅加了两位，别人就要多算近3年，举手之劳，何乐而不为之？现在很多解密工具都采用分层解密。如先尝试用用户名或用户名的变形来试，再用中文和英文字典来试，最后再用所有可能的组合来穷举。但一般来说，除非黑客对你十分感兴趣，才会进行费时颇多的第三步。因此，密码不要用8位以下数字，不要用自己的中英文名，不要用字典上的词，数字和字母交替夹杂，并最好加入@#$%!&*?之类的字符。但你一定要记熟，别自己进不了root！

以上是对现有安全状况的总结和建议，当然最好的办法还是安装防火墙（取决于你的财力）。

第 12 页 共 12 页