Linux操作系统中防范缓冲区溢出攻击安全概述

　　缓冲区溢出攻击是目前黑客最常用的攻击手段之一，为了应对不断涌现的缓冲区溢出攻击，我们研究了在Linux系统下防范缓冲区溢出的方法，通过研究，总结了在Linux平台下防范缓冲区溢出攻击的安全策略，这些安全策略可以应用于一般企业内部服务器，包括web服务器、mail服务器、samba服务器、ftp服务器以及proxy服务器等。在实际使用中，我们发现通过这些安全策略的配置能够对缓冲区溢出攻击起到很好的防范措施。

　　在对计算机系统安全的研究中，有一种系统安全漏洞引起了我们的关注。一方面是由于这种安全漏洞的广泛性--几乎使所有的操作系统平台都受到影响。另一方面，我们为黑客基于此类安全漏洞所编写的攻击程序的隐蔽性和强大威力所吸引。这就是缓冲区溢出技术。它可以使看似安全的，正在运行常规服务（如 DNS、ftpd等）的主机在几秒钟内失去控制权。缓冲区溢出攻击是目前黑客最常用的攻击手段。在当前CERT和CIAC等发布的Internet安全事件报告中, 缓冲区溢出已成为常见的用语。缓冲区溢出攻击的目的在于扰乱具有某些特权运行的程序的功能。这样可以让攻击者取得程序的控制权，如果该程序具有足够的权限，那么整个主机就被控制了。

　　为了应对不断涌现的缓冲区溢出攻击，我们研究了在Linux系统下防范缓冲区溢出的方法，之所以选择Linux平台，主要有两方面的原因：（1）Linux是一个开放源码的平台，有利于我们在研究的过程中深入技术细节，由于Linux及其上面的大量应用都是基于开放源码，有很多黑客在其上进行了大量的工作，可以说Linux上的网络攻击水平代表了整个网络攻击的最高水平。（2）Linux是一个类Unix系统，同时也是在Internet中大量使用的操作系统平台，选择Linux作为研究缓冲区溢出技术的平台是非常具有代表性的，在Linux平台上取得的经验可以非常容易地移植到其他Unix或者类Unix平台上。

　　通过研究，我们总结了在Linux平台下防范缓冲区溢出的安全策略，这些安全策略可以应用于一般企业内部服务器，包括web服务器、mail服务器、samba服务器、ftp服务器以及proxy服务器等。我们所总结的这些安全策略如下所示：

　　1． 不显示系统提示信息

　　如果不想让远程登录的用户看到系统的提示信息，可以改变"/etc/inetd.conf"文件中的telnet设置：

　　3． 禁止提供finger 服务

　　在Linux系统下，使用finger命令可以显示本地或远程系统中目前已登录用户的详细信息，黑客可以利用这些信息，增大侵入系统的机会。为了系统的安全，最好禁止提供finger服务，即从/usr/bin下删除finger 命令。如果要保留 finger服务，应将finger文件换名，或修改其权限，使得只允许root用户执行finger命令。

　　4． 处理"inetd.conf"文件

　　inetd也叫作"超级服务器"，其作用是根据网络请求装入网络程序。"/etc/inetd.conf"文件告诉inetd监听哪些网络端口，为每个端口启动哪个服务。把Linux系统放在任何网络环境中，第一件要做的事就是了解一下服务器到底要提供哪些服务。不需要的那些服务应该被禁止掉，最好卸载掉，这样黑客就少了一些攻击系统的机会。查看"/etc/inetd.conf"文件，了解一下inetd提供哪些服务。用加上注释的方法（在一行的开头加上#号）禁止任何不需要的服务，再给inetd进程发一个SIGHUP信号。具体操作步骤如下：

　　（1）把文件"/etc/inetd.conf"的许可权限改成600，只允许root来读写该文件。

　　[root@snow]# chmod 600 /etc/inetd.conf

　　（2）确定"/etc/inetd.conf"文件所有者为root。

　　[root@snow]# stat /etc/inetd.conf

　　这个命令显示出来的信息应该是：

　　5． 启动系统的"rc"脚本

　　/etc/rc.d目录下"rc"开头的文件是用来启动系统的初始化文件的。rc系列文件与Ms- Dos系统下的autoexec.bat很类似。rc的意思是"runtime commands"。它们决定了init进程要启动哪些服务。redhat系统下，这些脚本在/etc/rc.d/rc3.d（如果系统以x为默认启动的话，就是/etc/rc.d/rc5.d）。要在启动时禁止某个服务，只需要把大写的S替换为小写的s，同时，redhat也提供一个工具来帮助你关闭服务，输入/usr/sbin/setup，然后选择"system services"，就可以定制系统启动时运行哪些服务。另外一个选择是chkconfig命令，很多linux版本的系统都自带这个工具。脚本名字中的数字是启动的顺序，以大写的K开头的是用来杀死进程的。 如将S50snmpd（SNMP简单网络管理协议，远程用户能从中获得许多系统信息）改为s50snmpd，则系统启动时将不会启动这项服务。

　　用下列命令察看在关闭启动脚本之前有多少服务在运行：

　　suneagle# ps -eaf|wc -l

　　有两个非常有用的工具：ps -xau（输出大量的有关系统运行的信息）和netstat -vat（列出所有和网络相关的信息）。运行他们就可以知道系统在提供、运行哪些服务。

　　6． 处理"services"文件

　　端口号和标准服务之间的对应关系在RFC1700"Assigned Numbers"中有详细的定义。"/etc/services"文件使得服务器和客户端的程序能够把服务的名字转成端口号，这张表在每一台主机上都存在，其文件名是"/etc/services"。只有"root"用户才有权限修改这个文件，而且在通常情况下这个文件是没有必要修改的，因为这个文件中已经包含了常用的服务所对应的端口号。为了提高安全性，我们可以给这个文件加上保护以避免没有经过授权的删除和改变。为了保护这个文件可以用下面的命令：

　　[root@snow]# chattr +i /etc/services

　　7． 改变"/etc/rc.d/init.d/"目录下脚本文件的访问许可

　　通过以下方式改变启动和停止daemon的脚本文件的权限。

　　[root@snow]# chmod -R 700 /etc/rc.d/init.d/*
　
　　这样只有root可以读、写和执行这一脚本，因为一般用户不需要知道脚本文件的内容。

　　8． 使系统对ping没有反应

　　防止系统对ping请求做出反应，对于网络安全是很有好处的，因为没人能够ping你的服务器并得到任何反应。TCP/IP协议本身有很多的弱点，黑客可以利用一些技术，把传输正常数据包的通道用来偷偷地传送数据。使你的系统对ping请求没有反应，可以把这个危险减到最小。使用下面的命令：

　　echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
　　
　　运行完这个命令后，系统对ping就没有反应了。可以把这一行加到"/etc/rc.d/rc.local"文件中去，这样当系统重新启动时，该命令就会自动运行。