危险漫步博客
新鲜的“黑客思维”就是从全新的角度看待黑客技术,从更高的层面去思考;专注于黑客精神及技术交流分享的独立博客。
文章2289 浏览19378963

巧借IPSecCmd命令保卫网络安全

在网络环境中,Windows为了保证数据传输的安全性,采用IPSec (Internet Protocol Security,即网络通信协议的安全性)机制对网络中传输的数据进行各种形式的加密和身份认证,来保证IP网络上通讯的安全。IPsec用来保护一条或多条主机与主机间、安全网关与安全网关间、安全网关与主机间的路径。IPsec能提供的安全服务包括访问控制、无连接的完整性、数据源认证、抗重播保护、保密性和有限传输流保密性在内的服务。因为这些服务均在lP层提供,所以任何高层协议均能使用它们。为了让用户更加灵活的使用IPSec安全架构,在Windows中内置了基于命令行的IPSecCmd程序,让用户快捷高效的加密网络数据,阻止各种网络攻击,从而让网络变得更加安全。这里就举例分析了IPSecCmd命令的使用方法,帮助用户更好的了解其运行机制。好了下面就由危险漫步来跟大家一一介绍我们今天的主角——IPSecCmd。

一、IPSeccmd语法分析

这里以Windows XP为操作环境说明IPseccmd的用法。将-Windows XP的安装盘放入光驱,在资源管理器中打开光驱盘符,进入"Support\Tools"文件夹,运行其中的"Setup.exe"文件安装整个资源包。之后点击"开始"一"程序"一"Windows Support Tools" 一"Command Prompt"项,在CMD窗口中直接运行"ipseccmd.exe",就可以看到Ipseccmd命令的完整语法。这里简要对其主要参数做简要分析。其中的参数"-w TYPE:DOMAIN"表示安全策略写入的位置,一般为"REG",即写入到注册表中。参数"-p PoIicyName:Polllnterva"指策略名称,参数"-r RuleName"指规则名称,注意上述名称可以为中文。参数"-f"指设置安全规则,参数"-X"表示指派安全策略,参数"-y"指停止该安全策略,参数"-o"表示删除该策略。

二、利用IPSeccmd加密网络数据

假设在局域网中存在PCl和PC2两台计算机,我们要在这两台电脑之间使用AH和ESP的组合,通过密钥".security"来建立一个IPSec的安全规则。这里的AH指认证报头(Authentication Header),它用于保证数据的一致性,通过为IP封包产生校验值从而保证IP封包在网络传输过程中不被非法修改。ESP指封装安全负载(Encapsulation Security Payload),用于保证数据的保密性和完整性。它通过将IP封包后进行加密传输,到达客户端后,再用密钥对lP封包进行解密还原。这样,即使别人中途截获了IP封包,因为没有密钥就无法对其解密。IPSec是通过在原始的IP数据包中插入AH或者ESP头,达到IP数据加密的目的。在CMD窗口中执行命令命令行中的参数表示对PC1和PC2两台电脑间的所有数据流进行过滤。当然,如果只希望过滤TCP数据包则需要将其改为也可以对指定的网段进行网络数据过滤,例如对"169.59.0.0/255.255.0.0"到"192.168.0.0/255,0.0.0"网段之间的UDP数据包进行过滤,则可以输入命令行中的参数"-n ah[md5]+esp[des,sha]"指定AH和ESP协议使用的加密和身份认证算法,具体的语法"{ESP[ConfAlgAuthAlg]:k/s AH[HashAlg]:k/s|AH[HashAlg+ESPConfAlg,AuthAJg]:k/s)",其中"ConfAlg"指定加密算法,可以是DES、3DES加密算法,或者不使用加密算法。“AuthAlg”指定完整性算法,可以是MD5、SHA1(安全哈希算法1),或者无算法。“HashAlg”指定哈希函数,可以是MD5(消息摘要5)或SHA1。其中的“k/s”来指定在快速模式SA更新密钥前的千字节(在数字后加上“K”)数或者秒数(在数字后加上“S”)。如果同时指定两个更新密钥参数,需要使用斜线“/”进行分隔。例如需要每小时而且每隔10MB的数据便重新使用密钥快速模式SA。需要输入“3600S/10000K”。命令行中的“-ap:”secrurity”参数用来指定认证方式。在PC1电脑上运行上述命令建立IPSeccmd安全规则后,还需要在PC2上建立同样的规则。这样,在PC1和PC2之间传输的就是加密后的数据了,即使使用嗅探工具进行抓包,也无法知晓其中的实际内容。

三、利用IPSeccmd阻止Ping探测

Ping命令可以说是使用的最广泛的网络命令,在黑客入侵之前几乎都要使用该命令来“刺探”虚实。网络用户处于保护电脑安全的考虑,一般都希望不让别人Ping到自己。通常拦截Ping命令的方法是安装防火墙软件,在其中建立相应的规则来阻止Ping命令。实际上,利用IPseccmd命令可以更加快捷的拦截Ping命令。在CMD窗口中执行命令“IPSeccmd -p”security”-r”noping” -f O+*::icmp -n BLOCK -w REG”,即可让Ping命令无功而返。其中的“-p securityl”参数指定安全策略的名称为“securityl”,参数“-r noping”指明安全规则的名称是“noping”。参数“-f *+O::icmp”的作用是建立一个筛选器,其中的“*’表示任何源地址,“0”表示本机地址,“+”表示对进出的数据报进行双向过滤,三者可以组合使用。“::ic mp”表示本规则只处理基于ICMP协议的数据包,因为Ping命令发送的是ICMP数据包。其中的“-n Block”指定本规则采取的筛选动作是“阻止”,注意此处的“BLOCK”应大写。其中的“-w reg”参数表示将本安全规则写入注册表,这样即可电脑重启之后规则仍然有效。其中的“-x”参数很重要,表示立即指派本安全策略。

四、关闭危险的的端口

当Windows XP安装完成后,会自动开启一些默认的端口,例如135、 137、138、445等。因为Windows XP自身通常存在各种潜在的漏洞,一些病毒和黑客程序就利用上述端口对系统进行任意攻击,进而将本机作为跳板,对网络中的其它电脑进行渗透。例如前一段时间流行的“振荡波”病毒,就是利用Windows的DCOM RPC缓冲区漏洞,通过上述端口进行船舶的。利用IP seccmd命令,可以轻易的将任意端口进行封闭。在CMD窗口中执行命令对关闭上述端口。该命令行中的参数其具体含义上文已经进行了分析,应该指出的是在ipseccmd命令中可以同时对多个端口,以及进出其中的数据包类型进行配置,这充分发挥了IP:seccmd命令的强大功能。如果在一条策略中配置多条安全规则时,应该使用多个“-f”参数分别指明不同的规则配置,而不是分多行进行输入,否则当命令执行时,后一个规则就会自动覆盖前一个规则。

五、限定IP访问

当在本机上安装了远程桌面,PCAnywhere等远程控制软件后,管理员利用预设的连接密码,就可以从远程电脑上登录到本机,从而方便的对本机进行远程管理。但是,在默认情况下远程控制软件是允许任何远程电脑与之建立连接的,入侵者通过扫描器能够探测到本机上开放的远程控制端口,可以通过猜解口令等方式非法登录到本机上,从而严重威胁本机安全。利用Ipseccmd命令可以设定只允许特定的IP访问本机,入侵者即使知道了登录密码,也无法和本机进行连接,从而大大提供了安全性。这里以常见的远程桌面为例进行说明。在CMD窗口中分别执行命令限定允许登录远程桌面的IP地址。远程桌面使用的端口是3389,上述命令首先建立名称为“noremotedesktop”的规则,禁止一切IP访问3389端口,接着又建立名称为“onlyoneIP”的规则,利用参数“-n PASS”只允许IP“219.168.0.99”访问本机的3389端口。

六、管理安全规划

当使用IPseccmd命令建立了许多规则后,在CMD窗口中可以执行“ipseccmd show XXX”命令,来管理建立的规则。其中的“xxx”可以是“gpo"、“filters”、“policieS”、“status”、“ahtb”、“sas”等参数,分别执行规则的查看,过滤,了解规则的状态,认证等信息。可以同时使用多个参数,彼此之间以空格分隔。当然可以执行命令“lpseccmd show all”来查看所有的信息。如果需要删除指定的规则,则执行命令“ipseccmdp”securityl00”-y-w REG”,即可删除名称为“securityl00”的规则。如果希望停用指定的规则,则执行命令即可暂时停用名称为“securityl00”的规则。利用“IPSeccmd:-u”命令,可以重新启动”TPSecPolicy Agent”服务以清除所有动态指定的策略。

活学活用IPSeccrnd命令范例1阻止所有的外部地址的所有端口访问本机的所有端口范例2阻止任何计算机的任何端口和地址为192.168.0.99的TCP 5631端口的通信范例3阻止地址为219.136.170.91的远程计算机的TCP 2899端日和本机的1433端口通讯范例4阻止本机的TCP 3699端口连接任何一台电脑的任何端口:范例5切断本机和外部计算机的任何网络通讯范例6  阻止指定网段  (例如219.159.197.6/255:255.255.0)中的所有主机的某一端口(例如TCP 2199)到本机的指定端口(例如6799)的访问范例7阻止某一段主机(例如192.168.0.9/255.255.255.0)的某端口(例如TCP 6677)到另一段主机(193.168.0.99/255.255.255.O)的某端口(例如TCP 1239)的访问当然,上述使用范例都是假设阻止操作,如果需要设置为通行操作的话,只需将其中的参数“BLOCK”改为“PASS”即可。