Linux安全：入侵防范、检测和恢复 (2008 年度畅销榜NO.24074 )

本书介绍Linux系统安全维护的技术。主要内容包括：一般性安全问题、高级安全问题、安全策略、信任机制以及猝发入侵和最近的入侵方法，如何为入侵做准备，如何进行入侵检测，如何成功、安全、快速地从遇到的入侵中进行恢复等。本书内容丰富、章节安排合理，适合广大Linux或UNIX系统管理员以及对安全方面感兴趣的读者阅读。附带光盘包括安全性监视工具软件。\r\n

译者序\r\n序言\r\n\r\n第1章 导言 \r\n\r\n1.1 本书适合的读者 \r\n1.2 本书的组织结构 \r\n1.2.1 本书的约定 \r\n1.2.2 背景 \r\n1.3 需要防范的内容 \r\n1.4 谁是你的敌人 \r\n1.5 他们想干什么 \r\n1.6 保护与入侵的代价 \r\n1.7 硬件保护 \r\n1.8 对网络和调制解调器的访问进行保护 \r\n1.9 对系统的访问进行保护 \r\n1.10 文件保护 \r\n1.11 针对入侵的准备和检测 \r\n1.12 从入侵中恢复 \r\n\r\n第一部分 保 护 系 统\r\n\r\n第2章 常见问题的快速解决 \r\n\r\n2.1 了解Linux安全性 \r\n2.1.1 Linux系统的安全性 \r\n2.1.2 攻击路径 \r\n2.1.3 进入安全环\r\n2.2 七种致命错误\r\n2.2.1 脆弱的口令\r\n2.2.2 开放网络端口 \r\n2.2.3 旧软件版本 \r\n2.2.4 很差的物理安全性 \r\n2.2.5 不安全的CGI \r\n2.2.6 陈旧的和不必要的账户 \r\n2.2.7 耽搁 \r\n2.3 良好安全性的重点：口令 \r\n2.4 先进的口令技术 \r\n2.4.1 可以获得很好的安全性的隐蔽的MD5口令 \r\n2.4.2 口令的重复提示 \r\n2.4.3 口令应该是成熟的吗 \r\n2.4.4 账户名 \r\n2.5 防止系统中的用户操作错误 \r\n2.5.1 引入软件的危险 \r\n2.5.2 教育用户 \r\n2.6 限制访问权限 \r\n2.6.1 目录与粘着位\r\n2.6.2 找出权限问题\r\n2.6.3 在启动脚本中使用U掩码 \r\n2.7 初始系统安装中的危险和干扰\r\n2.8 限制不合理的访问 \r\n2.8.1 限制根用户可以登录的终端 \r\n2.8.2 拨打完整序列的电话号码 \r\n2.8.3 停止对数据不受控制的访问\r\n2.8.4 限制服务器的接口 \r\n2.9 防火墙和公司其他的防范措施 \r\n2.9.1 停止终端在防火墙周围运行 \r\n2.9.2 开隧道通过防火墙 \r\n2.9.3 更改内核设置 \r\n2.9.4 Egress过滤 \r\n2.9.5 局域网隐患 \r\n2.9.6 公司内部的防火墙存在隐患 \r\n2.10 关掉不必要的服务 \r\n2.11 高安全性要求最小数量的服务 \r\n2.12 不再使用有隐患的服务 \r\n2.12.1 不要使用finger \r\n2.12.2 关掉rwhod \r\n2.12.3 关掉rwalld\r\n2.12.4 关掉SNMP \r\n2.12.5 关掉NFS、mountd和portmap \r\n2.12.6 转换NFS在TCP上运行 \r\n2.12.7 关掉rsh、rcp、rlogin和rexec \r\n2.12.8 关掉fdmount \r\n2.12.9 关掉Echo和Chargen \r\n2.12.10 关掉talk和ntalk \r\n2.12.11 关掉TFTP \r\n2.12.12 关掉systat和netstat \r\n2.12.13 关掉内部的inetd服务 \r\n2.12.14 升级updatedb和locate\r\n2.13 用新版本代替旧版本 \r\n2.13.1 升级named程序 \r\n2.13.2 升级2.2内核 \r\n2.13.3 升级sendmail\r\n2.13.4 加强Sendmail来抵御DoS攻击 \r\n2.13.5 升级SSH \r\n2.13.6 升级WU-FTPD \r\n2.13.7 升级Netscape\r\n2.13.8 禁止Web广告 \r\n2.13.9 升级mountd \r\n2.13.10 升级gpm \r\n2.13.11 升级imwheel \r\n2.13.12 升级OpenLDAP\r\n2.13.13 修正OpenLDAP\r\n2.13.14 修正innd \r\n2.13.15 Postgresql的脆弱之处 \r\n2.14 把不同安全等级的服务分隔开 \r\n\r\n第3章 简单入侵方法及应对策略 \r\n\r\n3.1 X系统的安全漏洞 \r\n3.2 物理入侵 \r\n3.2.1 从入侵者的软盘或光盘启动系统 \r\n3.2.2 CMOS重新配置 \r\n3.2.3 给CMOS加上密码\r\n3.2.4 防止未授权用户使用单用户模式 \r\n3.2.5 防止用软盘窃取信息 \r\n3.2.6 防止Ctrl-Alt-Delete组合键的袭击 \r\n3.3 其他主题 \r\n3.3.1 电缆调制解调器 \r\n3.3.2 $PATH中“.”引发的问题 \r\n3.3.3 阻塞IP源路由 \r\n3.3.4 阻塞IP欺骗 \r\n3.3.5 屏幕自动锁定\r\n3.3.6 /etc/mailcap\r\n3.3.7 chattr程序和不可修改标志位 \r\n3.3.8 安全删除 \r\n3.3.9 同步I/O \r\n3.3.10 用以增强安全性的mount参数 \r\n3.3.11 使用SSH包装UDP和TCP \r\n3.3.12 cat目录与man命令 \r\n3.3.13 用*limit限制资源使用 \r\n3.3.14 公共界面下shell程序的历史记录 \r\n3.3.15 理解地址解析协议 \r\n3.3.16 防止ARP缓存中毒 \r\n3.3.17 Shell转义 \r\n3.3.18 你自己的ISP \r\n3.3.19 终端探测程序\r\n3.3.20 Star Office \r\n3.3.21 VMware \r\n3.4 终端设备攻击 \r\n3.4.1 功能键劫持 \r\n3.4.2 组合键的脆弱之处 \r\n3.4.3 xterm修改日志文件的脆弱之处 \r\n3.5 磁盘探测 \r\n3.5.1 真正擦除文件 \r\n3.5.2 破坏在空闲数据块上的旧的保密数据 \r\n3.5.3 擦除整个磁盘上的数据 \r\n3.5.4 破坏一个硬盘 \r\n\r\n第4章 入侵子系统的一般方法 \r\n\r\n4.1 NFS、mountd以及portmap \r\n4.2 Sendmail \r\n4.2.1 分离或多邮件服务器的附加安全性 \r\n4.2.2 Sendmail基础安全性 \r\n4.2.3 Sendmail安全选项 \r\n4.2.4 伪造邮件及新闻发送者地址 \r\n4.2.5 垃圾邮件来自何处 \r\n4.2.6 转发垃圾邮件 \r\n4.2.7 阻塞垃圾邮件 \r\n4.2.8 抵制垃圾邮件的工具 \r\n4.2.9 启用控制中继功能 \r\n4.2.10 禁止公开邮递列表\r\n4.2.11 写满磁盘的Sendmail DoS \r\n4.3 Telnet \r\n4.4 FTP \r\n4.4.1 匿名FTP的配置 \r\n4.4.2 FTP代理威胁 \r\n4.5 rsh、rcp、rexec以及rlogin服务 \r\n4.5.1 R*安全性 \r\n4.5.2 R*的不安全性 \r\n4.6 DNS \r\n4.6.1 限制由于升级Named所带来的损害 \r\n4.6.2 服务于人 \r\n4.7 POP及IMAP服务器 \r\n4.8 使用Samba \r\n4.8.1 Samba是否在系统上\r\n4.8.2 Samba的卸载 \r\n4.8.3 Samba配置文件 \r\n4.8.4 文件smb.conf \r\n4.8.5 注意CIFS／SMB-Only的用户 \r\n4.9 防止使用Squid来覆盖入侵痕迹\r\n4.10 syslogd服务 \r\n4.11 print服务 \r\n4.12 ident服务 \r\n4.13 INND与News\r\n4.14 保护你的DNS注册 \r\n\r\n第5章 常见攻击方法 \r\n\r\n5.1 Rootkit攻击 \r\n5.2 报文欺骗 \r\n5.2.1 为何UDP报文欺骗得以成功 \r\n5.2.2 TCP顺序号欺骗 \r\n5.2.3 会话劫持 \r\n5.3 SYN泛洪攻击\r\n5.4 阻止SYN泛洪攻击 \r\n5.5 阻止TCP顺序号欺骗\r\n5.6 报文风暴、Smurf攻击和Fraggles \r\n5.6.1 避免成为放大器 \r\n5.6.2 阻止报文风暴攻击\r\n5.6.3 Cisco路由器\r\n5.6.4 DDoS攻击：被抵消的网络资源 \r\n5.7 缓冲区溢出或使用get()标记内存\r\n5.8 欺骗技术 \r\n5.8.1 邮件欺骗\r\n5.8.2 MAC攻击 \r\n5.8.3 中毒的ARP缓存 \r\n5.8.4 中毒的DNS缓存 \r\n5.9 中间人攻击 \r\n\r\n第6章 高级安全问题 \r\n\r\n6.1 配置具有更高安全性的Netscape \r\n6.1.1 Netscape的重要属性 \r\n6.1.2 获取自己的cookie \r\n6.1.3 系统用户的Netscape首选 \r\n6.1.4 Netscape个人安全管理器 \r\n6.1.5 Netscape Java的安全性 \r\n6.2 终止对I/O设备的访问 \r\n6.2.1 为何/dev/tty的模式设为666 \r\n6.2.2 虚拟控制台缓冲区的脆弱之处\r\n6.2.3 可加密的磁盘驱动程序 \r\n6.3 跟踪Apache安全问题 \r\n6.3.1 所有权和权限 \r\n6.3.2 SSI \r\n6.3.3 ScriptAllias \r\n6.3.4 防止用户改变系统设置 \r\n6.3.5 控制Apache可以访问的目录 \r\n6.3.6 控制Apache可以访问的文件扩展 \r\n6.3.7 杂项 \r\n6.3.8 数据库泄漏 \r\n6.3.9 拒绝不受欢迎的主机 \r\n6.3.10 到站点的链接 \r\n6.4 Web服务器使用的几种特殊技术 \r\n6.4.1 将多个服务互相隔离 \r\n6.4.2 切勿信任CGI \r\n6.4.3 隐藏的表单变量与被破坏的Cookie \r\n6.4.4 保护职员的个人信息 \r\n6.4.5 禁止Robot \r\n6.4.6 危险的CGI程序 \r\n6.4.7 利用CGI Query程序的漏洞进行攻击 \r\n6.4.8 转换十六进制编码的URL \r\n6.4.9 利用CGI Counterfiglet程序进行的攻击 \r\n6.4.10 利用CGI phf程序进行的攻击 \r\n6.4.11 CGI脚本和程序 \r\n6.4.12 强制URL封锁 \r\n6.4.13 探测被毁损的Web页 \r\n6.5 安全的信用卡数据单向传输 \r\n6.6 强化系统安全性 \r\n6.7 限制登录地点及次数 \r\n6.8 一些隐秘但致命的安全问题 \r\n6.8.1 防范缓冲区溢出攻击 \r\n6.8.2 防范chroot()攻击 \r\n6.8.3 符号链接攻击 \r\n6.8.4 lost+found=全部问题 \r\n6.8.5 rm -r 竞争 \r\n6.9 防止登录模拟器攻击 \r\n6.9.1 更新/etc/issue \r\n6.9.2 弥补/bin/login \r\n6.9.3 内核支持 \r\n6.10 使用Libsafe防止缓冲区溢出 \r\n\r\n第7章 创建安全策略 \r\n\r\n7.1 通用策略 \r\n7.2 个人使用策略 \r\n7.3 账户策略 \r\n7.4 电子邮件策略 \r\n7.5 Web服务器策略\r\n7.6 文件服务器和数据库策略 \r\n7.7 防火墙策略 \r\n7.8 桌面策略 \r\n7.9 便携式电脑策略 \r\n7.10 报废策略 \r\n7.11 网络拓扑策略 \r\n7.12 问题报告策略 \r\n7.13 所有权策略 \r\n7.14 选择策略的策略 \r\n\r\n第8章 对其他机器的信任机制 \r\n\r\n8.1 安全系统与不安全系统 \r\n8.2 控制下的Linux系统和UNIX系统 \r\n8.3 控制主机 \r\n8.4 Windows的安全特征 \r\n8.5 防火墙的脆弱之处 \r\n8.6 虚拟专用网络 \r\n8.7 病毒与Linux\r\n \r\n第9章 分段入侵 \r\n\r\n9.1 Mission Impossible技术 \r\n9.2 间谍 \r\n9.3 疯狂攻击和自杀性攻击 \r\n\r\n第10章 案例分析 \r\n\r\n10.1 Berkeley 防御系统的漏洞 \r\n10.2 这个领域中的佼佼者 \r\n10.3 Ken Thompson对海军的攻击 \r\n10.4 虚拟机特洛伊木马 \r\n10.5 AOL的DNS更改失败 \r\n10.6 “我是无辜的” \r\n10.7 用笔记本电脑和付费电话进行攻击 \r\n10.8 从巨额数目中盗窃几美分 \r\n\r\n第11章 最新的入侵方法 \r\n\r\n11.1 分段攻击 \r\n11.2 死亡性Ping \r\n11.3 秘密扫描 \r\n11.4 电缆调制解调器：一个黑客的梦 \r\n11.5 用Sendmail来阻止电子邮件攻击 \r\n11.6 Sendmail账户猜想 \r\n11.7 神秘的ingreslock \r\n11.8 你正在被跟踪 \r\n11.8.1 Pentium Ⅲ 序列号 \r\n11.8.2 Microsoft的GUID允许监视 \r\n11.9 分布式拒绝服务攻击 \r\n11.10 隐藏的特洛伊木马程序 \r\n11.10.1 为什么要用ICMP回应报文及如何回应 \r\n11.10.2 特洛伊木马将来的方向 \r\n11.10.3 混杂模式内核消息 \r\n11.11 经过TCP 98端口的Linuxconf \r\n11.12 恶意的HTML标志和脚本 \r\n11.13 syslog（）的格式问题 \r\n\r\n第二部分 入侵防范准备\r\n\r\n第12章 加固系统 \r\n\r\n12.1 用SSH保护用户会话 \r\n12.1.1 编译SSH2 \r\n12.1.2 配置SSH \r\n12.1.3 使用SSH \r\n12.1.4 用SSH包装X \r\n12.1.5 使用SSH、PPP和Perl的VPN \r\n12.1.6 使用sftp \r\n12.1.7 使用scp \r\n12.1.8 用SSH封装其他基于TCP的服务 \r\n12.1.9 使用FreeS/WAN IPSec建立VPN \r\n12.1.10 SSH不能防范的脆弱之处 \r\n12.2 PGP \r\n12.3 FSF的PGP替代软件 \r\n12.3.1 下载 \r\n12.3.2 编译 \r\n12.3.3 工作原理 \r\n12.3.4 生成密钥 \r\n12.3.5 交换密钥 \r\n12.3.6 传播你的公开密钥 \r\n12.3.7 签名文件 \r\n12.3.8 邮件的加密和签名 \r\n12.3.9 加密的备份和其他过滤器 \r\n12.3.10 非常高的GPG安全性 \r\n12.4 使用IP Chain和DMZ的防火墙 \r\n12.4.1 IP Chain不能做什么 \r\n12.4.2 IP Chain基础 \r\n12.4.3 IP Chain命令 \r\n12.4.4 启动一个防火墙脚本 \r\n12.4.5 防火墙的基本用法 \r\n12.4.6 阻塞外部恶意入侵 \r\n12.4.7 IP伪装 \r\n12.4.8 创建DMZ\r\n12.4.9 有状态的防火墙 \r\n12.4.10 SSH危险 \r\n12.4.11 加密的邮件访问 \r\n\r\n第13章 硬件准备 \r\n\r\n13.1 时间就是一切 \r\n13.2 高级准备 \r\n13.3 切换到辅助控制 \r\n13.3.1 哪个系统应该具有备份系统 \r\n13.3.2 两类备份系统 \r\n13.3.3 安全备份系统设计 \r\n13.3.4 保持安全备份系统处于就绪状态 \r\n13.3.5 检查高速缓存 \r\n13.3.6 最好准备一个空闲的硬盘 \r\n\r\n第14章 配置准备 \r\n\r\n14.1 TCP Wrapper \r\n14.1.1 TCP Wrapper的使用 \r\n14.1.2 TCP Wrapper的高级使用 \r\n14.2 自适应TCP Wrapper \r\n14.3 Cracker Trap \r\n14.3.1 /etc/service文件 \r\n14.3.2 /etc/inetd.conf文件 \r\n14.3.3 /etc/hosts.allow文件\r\n14.4 用内核模式终止黑客服务器 \r\n14.5 应急训练 \r\n14.5.1 飞机失事演习 \r\n14.5.2 这只是一次测试\r\n14.5.3 危险和预防 \r\n14.5.4 计划好进行哪些演习 \r\n14.5.5 测试系统 \r\n14.5.6 安全的特洛伊木马 \r\n14.5.7 程序的大小很重要 \r\n14.5.8 引起更多的麻烦 \r\n14.6 用Tiger team侵入你自己的系统 \r\n\r\n第15章 扫描系统 \r\n\r\n15.1 Nessus安全扫描程序 \r\n15.2 SARA和SAINT安全审计程序 \r\n15.3 nmap网络映射程序 \r\n15.4 Snort攻击检测程序\r\n15.5 用SHADOW进行扫描和分析 \r\n15.6 John the Ripper \r\n15.7 保存RPM数据库校验和 \r\n\r\n第三部分 入 侵 检 测\r\n\r\n第16章 行为监视 \r\n\r\n16.1 日志文件 \r\n16.2 如何利用日志文件 \r\n16.3 当有人攻击系统时呼叫系统管理员 \r\n16.4 一个自动呼叫的例子 \r\n16.5 使用你的自动呼叫的例子 \r\n16.6 呼叫telnet和rsh的使用 \r\n16.7 监视端口的使用 \r\n16.8 使用tcpdump监视你的局域网 \r\n16.8.1 编译tcpdump \r\n16.8.2 使用tcpdump \r\n16.9 用欺骗工具包监视扫描程序 \r\n16.10 监视进程 \r\n16.11 使用cron来提防黑客 \r\n16.12 Caller ID \r\n\r\n第17章 扫描系统查找异常 \r\n\r\n17.1 找出可疑的文件 \r\n17.1.1 分析可疑的文件\r\n17.1.2 定期地比较文件内容 \r\n17.2 Tripwire \r\n17.2.1 安装Tripwire \r\n17.2.2 使用Tripwire \r\n17.2.3 Tripwire不能保护什么 \r\n17.2.4 Tripwire的替代程序 \r\n17.3 检测删除的可执行文件 \r\n17.4 检测混杂模式的网络接口卡 \r\n17.5 找出混杂的进程 \r\n17.6 自动检测被涂改的Web页面 \r\n\r\n第四部分 入 侵 恢 复\r\n\r\n第18章 重新获得对系统的控制 \r\n\r\n18.1 找到黑客运行的进程 \r\n18.2 处理运行着的黑客进程\r\n18.3 断开调制解调器、网络、打印机和系统 \r\n\r\n第19章 找出并修复损害 \r\n\r\n19.1 检查/var/log日志 \r\n19.2 syslogd和klogd守护进程 \r\n19.3 远程记录 \r\n19.4 解释日志文件项 \r\n19.4.1 lastlog \r\n19.4.2 messages\r\n19.4.3 syslog \r\n19.4.4 kernlog\r\n19.4.5 cron \r\n19.4.6 xferlog \r\n19.4.7 daemon \r\n19.4.8 mail \r\n19.5 检查其他日志 \r\n19.6 检查TCP Wrapper \r\n19.7 文件系统被怎样破坏 \r\n19.8 植入假的数据 \r\n19.9 修改了的监视程序 \r\n19.10 什么都不可信该怎么办 \r\n19.11 重新获得控制 \r\n19.12 找到黑客修改的文件 \r\n19.12.1 解释tar -d的输出 \r\n19.12.2 用RPM加速检查 \r\n19.12.3 RPM修复 \r\n19.12.4 恢复数据库 \r\n19.12.5 外设损害 \r\n19.12.6 通过恶意电子邮件偷窃 \r\n19.12.7 内核会被怎样破坏 \r\n19.13 封锁攻击 \r\n19.14 找到set-UID程序 \r\n19.15 找到mstream特洛伊木马 \r\n\r\n第20章 找出黑客的系统 \r\n\r\n20.1 用nslookup跟踪数字IP地址 \r\n20.2 用dig跟踪数字IP地址 \r\n20.3 查找.com拥有者 \r\n20.4 从IP地址直接找到黑客 \r\n20.5 查找.gov系统 \r\n20.6 使用ping \r\n20.7 使用traceroute \r\n20.8 邻近系统的结果 \r\n20.9 最近一次对黑客的国际追踪 \r\n20.10 确信你找到了攻击者 \r\n20.11 其他系统管理员：他们关心吗 \r\n\r\n第21章 惩罚黑客 \r\n\r\n21.1 警察会有多大帮助 \r\n21.1.1 FBI \r\n21.1.2 美国秘密服务 \r\n21.1.3 其他联邦机构 \r\n21.1.4 州立机构 \r\n21.1.5 本地警察 \r\n21.1.6 准备你的案子 \r\n21.1.7 跟踪被盗的数据\r\n21.1.8 关心证据 \r\n21.2 起诉 \r\n21.3 允许非法行为的ISP要负的责任 \r\n21.4 反击 \r\n21.4.1 法律问题 \r\n21.4.2 大量垃圾邮件攻击 \r\n21.4.3 死亡性ping \r\n21.4.4 恶意的Java Applet \r\n21.4.5 雇佣打手 \r\n\r\n第五部分 附 录\r\n\r\n附录A 有关安全技术的最新网上资源 \r\n附录B 其他参考资源 \r\n附录C 网络服务和端口\r\n附录D PORTS.C程序清单\r\n附录E BLOCKIP.CSH程序清单 \r\n附录F FPROMISC.CSH程序清单\r\n附录G OVERWRITE.C程序清单 \r\n附录H 危险等级 \r\n附录I 本书附带光盘的内容 \r\n附录J 术语表