為IIS服務(wù)器穿上“偽裝衣”

偽裝IIS中的FTP服務(wù)

在IIS中還提供了FTP服務(wù)，雖然沒(méi)有Serv-u等FTP服務(wù)器功能強(qiáng)大，但使用起來(lái)很方便。當(dāng)客戶端使用LeapFTP等連接工具連接FTP服務(wù)時(shí)，會(huì)出現(xiàn)“Microsoft FTP Service”等提示信息，這就說(shuō)明您使用的是IIS服務(wù)器。

實(shí)際上，我們完全可以自定義IIS的FTP回應(yīng)信息，在資源管理器中打 開“C:WINDOWSsystem32inetsrv”文件夾，使用Ultraedir打開其中的“ftpsvc2.dll” 文 件，在Ultraedit窗口中點(diǎn)擊“Ctrl＋F”鍵打開尋找窗口，在其中輸入“Microsoft FTP Service”，同 時(shí) 勾 選“查 找ASCⅡ”項(xiàng)，點(diǎn)擊查找按鈕，很快就找到了該特征字符串，在Ultraedit的編輯窗口中直接將其修改為自定義內(nèi)容即可，同時(shí)注意在執(zhí)行上述操作時(shí)，應(yīng)該在CMD窗口中執(zhí) 行 命 令“iisreset /stop”，停止IIS服務(wù)，另外為了防止Windows啟用系統(tǒng)文件保護(hù)機(jī)制自動(dòng)還原文件，應(yīng)該將“C:WINDOWSsystem32dllcache”文件夾中的文件徹底刪除。

實(shí)際上，利用該方法同樣可以簡(jiǎn)單快捷地修改IIS頭信息。利用Ultraedit打開上述目錄中的“w3svc.dll”文件，查找其中的“Server:”特征字符串，可以很快定位IIS的頭信息，將其修改為自定義內(nèi)容即可。修改完成后執(zhí)行“iisreset/start”命令重啟IIS服務(wù)。

偽裝Telnet服務(wù)

在有些Windows服務(wù)器上，通常還啟用了Telnet服務(wù)，可以讓遠(yuǎn)程用戶以模擬終端的方式，登錄到本服務(wù)器上，連接成功之后，就可以像使用自己的電腦一樣在服務(wù)器上執(zhí)行各種命令了。當(dāng)客戶端連接到Windows后，Windows會(huì)彈出“歡迎使用Microsoft Telnet 服務(wù)器”的提示信息，這就等于說(shuō)明本機(jī)使用的是Windows系統(tǒng)，為了防止黑客利用Telnet服務(wù)侵入主機(jī)，需要對(duì)登錄腳本進(jìn)行“偽裝”。在系統(tǒng)盤 的“Winntsystem32”文件 夾 中 打 開“Login.cmd”文件，將其中的“echo歡迎使用Microsoft Telnet 服務(wù) 器”、“echo Welcome to Microsoft Telnet Server”等信息進(jìn)行修改，假設(shè)修改為“echo Red Hat Linux release 8.0（Psyche）Kernel 2.4.18-14 on an i686”，之后保存文件。這樣當(dāng)黑客連接Telnet服務(wù)時(shí)，就搞不清您的服務(wù)器類型了。

改Ping探測(cè)的TTL值

當(dāng)黑客對(duì)選定的服務(wù)器進(jìn)行攻擊之前，通常都會(huì)用Ping命令對(duì)其進(jìn)行探測(cè)，根據(jù)返回的TTL信息來(lái)判斷服務(wù)器的類型，一般來(lái)說(shuō)，Linux服務(wù)器返回的TTL 值 為“64” 或“255”，Windows NT/2000/XP返回的TTL值為“128”等，為了防止TTL值暴露主機(jī)類型，可以將Windows 2000系列的TTL返回值修改成255來(lái)偽裝操作系統(tǒng)，在注冊(cè)表編輯器中展開“HKEY_LOCAL_MACHINE|SystemCurrentControlSetServicesTcpipParameters”分支，在右側(cè)窗口中將“DefaultTTL”鍵值名的數(shù)值修改為十進(jìn)制的“255”即可。

圖1 偽裝IIS頭信息

深度偽裝IIS頭信息

一般來(lái)說(shuō)，在黑客對(duì)您的服務(wù)器進(jìn)行攻擊之前，都需要判斷Web服務(wù)器的類型，最常用的是使用Telnet命令連接服務(wù)器的80端口，從返回信息上取得服務(wù)器的重要信息。

例如執(zhí)行命令“telnet 對(duì)方 IP 80”， IIS 服務(wù)器就會(huì)返 回“HTTP/1.1 400 Bad Bequest，Server:Microsoft－IIS/5.0”等IIS頭信息，從其中 的“Server:Microsoft－IIS/5.0”中即可判斷出對(duì)方使用的是IIS服務(wù)器，然后黑客即可通過(guò)進(jìn)一步的掃描，搜尋漏洞，溢出攻擊等手段侵入您的服務(wù)器。

如果對(duì)IIS的頭信息進(jìn)行加密偽裝，讓黑客摸不清服務(wù)器的“底細(xì)”，那么對(duì)方就不敢貿(mào)然進(jìn)攻了。使用ServerMask這款軟件，就可以對(duì)IIS頭信息進(jìn)行全面?zhèn)窝b，讓黑客摸不清您的服務(wù)器底細(xì)，無(wú)從下手進(jìn)行入侵。

在ServerMask主窗口左側(cè)顯示在IIS服務(wù)器上安裝的所有網(wǎng)站，選擇目標(biāo)網(wǎng)站，在窗口右側(cè)的“Security Profile”列表中提供了多種偽裝手段，如果選擇“Hide”項(xiàng)，ServerMask即可將您的網(wǎng)站隱藏起來(lái)，當(dāng)攻擊者試圖向其發(fā)送測(cè)試連接請(qǐng)求時(shí)，ServerMask將拒絕發(fā)送任何回應(yīng)信息，如果該網(wǎng)站消失了一樣。如果選擇“Emulate”項(xiàng)，表示執(zhí)行網(wǎng)站仿真功能，當(dāng)攻擊者試圖探測(cè)本網(wǎng)站的信息時(shí)，ServerMask可以將本網(wǎng)站偽裝成Apache服務(wù)器，并將相關(guān)的虛假信息發(fā)送給攻擊者，讓其誤以為本機(jī)使用的Apache服務(wù)器，讓其要么知難而退，要么執(zhí)行錯(cuò)誤的攻擊操作。如果選擇“Randomize”項(xiàng)，表示使用隨機(jī)偽裝信息保護(hù)本網(wǎng)站。

實(shí)際上，ServerMask可以模擬大量的服務(wù)器回應(yīng)信息，包括Apache對(duì)應(yīng)的Redhat、Unix、Mac、Win32等服務(wù)器版本，以及 Oracle 9i、Lotus-Domino、Zeus、IBM_HTTP_Server、SunOS、LiveServer、WebSphere Application Server等40多種服務(wù)器的頭信息。這樣攻擊者每次試圖探測(cè)本網(wǎng)站時(shí)，ServerMask可以使用隨機(jī)的服務(wù)器的頭信息來(lái)“糊弄”攻擊者，讓其感到本網(wǎng)站“高深莫測(cè)”，從而知難而退。

如果您選擇“Customize”項(xiàng)，表示自定義偽裝信息。在彈出的面板中輸入新的偽裝項(xiàng)目名稱，點(diǎn)擊“Headers”按鈕，在“Server Header”面板（如圖1所示）中勾選“Enable Server header masking”項(xiàng)，激活I(lǐng)IS信息頭加密功能，選擇“Remove Server header from all HTTP response”項(xiàng)，表示刪除IIS信息頭。選擇“Masquerade in Server header as common non-IIS server”項(xiàng)，表 示 使 用其它服務(wù)器的信息頭內(nèi)容替換IISIIS信息頭。選擇“Randomize Swever header among common non-IIS servers”項(xiàng)，讓 ServerMask自動(dòng)隨機(jī)改變IISIIS信息頭，選 擇“Set custom Server header value”項(xiàng)，可以讓您自定義IIS信息頭內(nèi)容。在“Add Headers”面板中勾選“Enable Header Add”項(xiàng)，表示允許添加新的IIS信息頭。點(diǎn)擊“Add”按鈕，添加新的IIS信息頭即可。

圖2 構(gòu)造虛假的Cookie信息

在配置了IIS的服務(wù)器時(shí)，除了系統(tǒng)自身提供的IIS頭信息之外，在IIS中運(yùn)行的一些腳本程序環(huán)境，一些第三方的IIS增強(qiáng)工具都會(huì)產(chǎn)生一些HTTP頭信息。當(dāng)客戶端連接服務(wù)器時(shí)，在IIS的回應(yīng)包中可能附帶有這些相關(guān)的HTTP頭信息（例如使用FlashGet、迅雷等軟件對(duì)網(wǎng)站進(jìn)行探測(cè)或者下載文件時(shí)，在返回信息中就包含一些IIS的敏感信息），即使您使用上述方法偽裝了IIS基本頭信息，然而這些第三方的HTTP頭信息照樣可以暴露您的服務(wù)器類型，例如可能在IIS的回應(yīng)信息中包含“X-Powered-By:PHP/4.0.0”信 息，這表示在您的PHP腳本運(yùn)行環(huán)境中存在錯(cuò)誤的配置信息，在IIS頭信息中包含“X-AspNet-Version”， 說(shuō)明您使用了在IIS中運(yùn)行了ASP.Net腳本程序，在IIS頭信息中包含“IISExport”項(xiàng)，表示您使用了IISExport這款I(lǐng)IS信息導(dǎo)出工具等。ServerMask可以讓您自由地刪除這些第三方的HTTP頭信息，讓你的IIS服務(wù)器更加難以探測(cè)。打開“Remove Headers”面板，在其中勾選“Remove all HTTP headers on list”項(xiàng)，表示可以在IIS頭信息中刪除列表中的第三方HTTP信息。當(dāng)然，您也可以根據(jù)實(shí)際需要，添加更多的HTTP信息項(xiàng)，在面板底部的“Header”欄中輸入新的HTTP項(xiàng) 目，點(diǎn) 擊“Add”按鈕完成添加操作。

巧妙包裝“小甜餅”，防御Cookie注入攻擊

COOKIE技術(shù)在網(wǎng)絡(luò)編程中使用的很廣泛，例如 使 用 ASP、ASP.NET、PHP、JSP、SiteServer、ColdFusion、PHP等腳本設(shè)計(jì)的網(wǎng)站，當(dāng)用戶訪問(wèn)您的網(wǎng)站時(shí)，會(huì)在客戶機(jī)中留下相關(guān)的COOKIE信息，通過(guò)對(duì)這些COOKIE的信息類型進(jìn)行分析，就可以判斷出服務(wù)器的類型。ServerMASK可以對(duì)COOKIE項(xiàng)目進(jìn)行偽裝，從而在客戶端留下誰(shuí)也看不懂的COOKIE信息，這樣就可以有效避免了服務(wù)器信息的暴露。

當(dāng)使用上面的方法，創(chuàng)建了自定義的偽裝項(xiàng)目名稱，ServerMask會(huì)將其添加到窗口左側(cè)的網(wǎng)站列表中。在其中選擇對(duì)應(yīng)的自定義偽裝項(xiàng)目名稱，在窗口右側(cè)點(diǎn)擊“Cookies”按鈕，在“Cookie Masking”面板中勾選“Mask all session cookie on list”項(xiàng)，表示激活Cookie偽裝功能。在Cookie偽裝列表左側(cè)的“Cookie name to mask”欄中顯示一些常見(jiàn)的Cookie類型，例如ASPSESSIONID、PHPSESSID等。選中這些Cookie項(xiàng)目，在列表右側(cè)的“Masked cookie name”欄中可以根據(jù)需要對(duì)其進(jìn)行更改，將其修改為讓黑客感到迷茫的名稱。如果您不想自行修改，可以點(diǎn)擊“Generate”按鈕，讓ServerMask為其產(chǎn)生隨機(jī)字符串進(jìn)行替換。當(dāng)然，ServerMask預(yù)設(shè)的Cookie類型畢竟有限，您可以點(diǎn)擊“Add”按鈕，來(lái)添加所需的Cookie名稱，并根據(jù)實(shí)際需要對(duì)其進(jìn)行偽裝處理。

除了對(duì)真實(shí)存在的Cookie項(xiàng)的名稱進(jìn)程偽裝外，ServerMASK還能以假亂真的創(chuàng)建一些虛假的Cookie，來(lái)更加有效的迷惑入侵者。在“Cookie Decoys”面板（如圖2所示）中勾選“Add all decoy cookie in list”項(xiàng)，激活虛假Cookie創(chuàng)建功能。點(diǎn)擊“Add”按鈕，可以在列表中添加名稱為“CookieX”的虛假Cookie項(xiàng)（其中X代表順序編號(hào)），在列表的“Cookie name to add”列中選擇新建的虛假Cookie項(xiàng)，可以更改其名稱，例如可以為其編造雜亂的名稱等。如果您不想費(fèi)力地自創(chuàng)虛假Cookie，可以點(diǎn)擊“Generate”按鈕，讓ServerMASK隨機(jī)添加名稱隨意的Cookie項(xiàng)。在“Randomize decoy cookie value every X seconds”項(xiàng)，可以設(shè)置每隔多長(zhǎng)時(shí)間，自動(dòng)為這些虛假的Cookie賦予隨機(jī)數(shù)值，默認(rèn)周期為1200秒。當(dāng)然，這里的虛假Cookie僅僅用來(lái)迷惑入侵者，隨著這些Cookie也會(huì)被服務(wù)器和客戶機(jī)之間傳送和存儲(chǔ)，但是這些Cookie并沒(méi)有實(shí)際用途，并不參與和干涉任何實(shí)際網(wǎng)絡(luò)程序的正?；顒?dòng)，不會(huì)對(duì)其造成任何不良影響。

自定義錯(cuò)誤回應(yīng)頁(yè)面

我們知道，當(dāng)訪問(wèn)一些不存在的網(wǎng)址時(shí)，瀏覽器會(huì)回應(yīng)HTTP 404等錯(cuò)誤提示頁(yè)面，在其中可能包含一些有可能泄露網(wǎng)站信息的數(shù)據(jù)。對(duì)于黑客來(lái)說(shuō)，通過(guò)對(duì)該錯(cuò)誤回應(yīng)頁(yè)面進(jìn)行分析，可以對(duì)網(wǎng)站相關(guān)信息進(jìn)行窺視，為之后的入侵進(jìn)行必要的“踩點(diǎn)”。使用ServerMASK提供的自定義錯(cuò)誤回應(yīng)頁(yè)面功能，可以徹底堵住這一潛在的漏洞。

在ServerMASK主 窗口 中 點(diǎn) 擊“Errors”按 鈕，在“General”面 板 中 勾 選“Enable Custom Errors”項(xiàng)，激活自定義錯(cuò)誤回應(yīng)頁(yè)面功能。勾選“Replace application layer error（5xx）with non-IIS 404 responses”項(xiàng)，激活應(yīng)用程序?qū)渝e(cuò)誤替換功能，當(dāng)觸發(fā)HTTP 500以上錯(cuò)誤回應(yīng)事件后，同樣可以使用預(yù)設(shè)的錯(cuò)誤信息加以替換。這樣，當(dāng)客戶端訪問(wèn)服務(wù)器產(chǎn)生錯(cuò)誤事件后，ServerMASK會(huì)立即攔截該錯(cuò)誤事件，并將預(yù)設(shè)的錯(cuò)誤信息發(fā)送給客戶端，來(lái)迷惑入侵者。

在“Error Directory”面板中的“Error Directory Name”欄中輸入存儲(chǔ)錯(cuò)誤提示信息的文件夾名稱，默認(rèn) 為“errors”。 在“Error Directory Search Mode”欄中 選 擇“Check Site Root Only for Error Directory”項(xiàng)，表示需要在對(duì)應(yīng)網(wǎng)站根目錄下創(chuàng)建上述文件夾（例如“error”文件夾），將包含錯(cuò)誤提示信息的文件存放在里面。當(dāng)觸發(fā)錯(cuò)誤事件后，ServerMASK可以從網(wǎng)站根目錄下的“error”文件夾中提取相關(guān)文件（名稱必須為“404”，例如“404.htm”等），并將其內(nèi)容作為錯(cuò)誤回應(yīng)信息發(fā)送給客戶端。選擇“Check Requested Directory for Error Directory”項(xiàng)，表 示當(dāng)客戶端發(fā)送的錯(cuò)誤訪問(wèn)請(qǐng)求觸發(fā)錯(cuò)誤回應(yīng)事件后，ServerMASK根據(jù)提交的網(wǎng)址查詢其所屬的網(wǎng)站根目錄下是否存在上述預(yù)設(shè)文件夾（例如“error”文件夾），如果存在就從中提取相關(guān)文件，將其包含的錯(cuò)誤信息發(fā)送給客戶端。如果網(wǎng)站下包含很多子網(wǎng)站的話，很適合選擇該種方法來(lái)設(shè)定以上文件夾來(lái)存儲(chǔ)錯(cuò)誤提示信息。

我們上面講過(guò)，自定義信息實(shí)際上是包含在名稱為404的文件中，并存儲(chǔ)在預(yù)設(shè)的文件夾中。ServerMASK支持多種格式的錯(cuò)誤信息文件，可以滿足各種情況下的實(shí)際需要。在“Error Files”面板中的“Static Error Page Files Types”項(xiàng)，點(diǎn) 擊“Configure”按鈕，可以配置靜態(tài)格式的錯(cuò)誤信息文件。在彈出窗口中可以看到，ServerMASK默認(rèn)支持htm、html等格式的網(wǎng)頁(yè)文件。當(dāng)然，可以點(diǎn)擊“Add”按鈕，添加新的靜態(tài)文件格式。之后在網(wǎng)站根目錄下進(jìn)入預(yù)設(shè)的文件夾（例如“error”文件夾），在其中創(chuàng)建諸如“404.htm、404.html”等名稱的文件，在其中編輯所需的錯(cuò)誤回應(yīng)信息。如果勾選“Enable Dynamic Page for 404 Errors”項(xiàng)，點(diǎn)擊“Configure”按鈕，可以管理和添加動(dòng)態(tài)錯(cuò)誤信息文件，例如“asp，aspx，php，cfm 等格式”，之后進(jìn)入上述預(yù)設(shè)文件夾，編輯諸如“404.asp，404.php”等文件，在其中編輯所需的錯(cuò)誤回應(yīng)信息。此外，還可以勾選“Enable Image Files for 404 Image Error”項(xiàng)，點(diǎn)擊“Configure”按鈕，可以將圖片文件作為回應(yīng)錯(cuò)誤信息發(fā)送給客戶端，您可以編輯所需的圖片格式，之后按照上述方法編輯圖片名稱（例如404.jpg等）。

使用高級(jí)偽裝模式強(qiáng)化效果

除了使用上述常規(guī)偽裝方式外，還可以針對(duì)一些特殊的情況，使用更加高級(jí)的偽裝模式。在ServerMASK窗口中點(diǎn)擊“Advanced”按鈕，在“Emulation”面板中勾選“Emulate common non-IIS server Etag formats”項(xiàng)，激活針對(duì)Etag標(biāo)識(shí)的偽裝操作，Etag標(biāo)識(shí)存在于網(wǎng)絡(luò)緩存數(shù)據(jù)中，這些格式標(biāo)識(shí)可能會(huì)暴露IIS服務(wù)器的相關(guān)信息。在其下的列表中可以選擇用于偽裝的服務(wù)器標(biāo)識(shí)格式，包括 Apache format1、Apache format、Sun format、TomCat等格式信息，ServerMASK使用選定的上述非IIS服務(wù)器格式來(lái)替換Etag標(biāo)識(shí)格式。如 果 勾 選“Random Etag format”項(xiàng)，標(biāo)示按照預(yù)設(shè)周期，動(dòng)態(tài)替換IIS緩存中的Etag格式，默認(rèn)周期為1200秒。勾選“Emulate Apache Web server HTTP headers order”和“Emulate Apache（ALLOW） header format”項(xiàng)，可以使用Apache服務(wù)器的HTTP頭的順序排列信息和格式數(shù)據(jù)對(duì)IIS服務(wù)器對(duì)應(yīng)內(nèi)容進(jìn)行偽裝。

在“File Extension”面板中勾選“Support URLs and HTTP requests without file to mask extension signatures”項(xiàng)，表示當(dāng)客戶端發(fā)來(lái)的訪問(wèn)地址中包含文件名信息時(shí)，ServerMASK可以使用無(wú)關(guān)的內(nèi)容對(duì)其進(jìn)行屏蔽，防止黑客通過(guò)探測(cè)特定的網(wǎng)站文件來(lái)刺探虛實(shí)。在“Response Code”面板中勾選“Normalize and mask various response code messages and format”項(xiàng)，表示服務(wù)器觸發(fā)200，403.404，501等編號(hào)的事件時(shí)，對(duì)傳輸給客戶端的相關(guān)內(nèi)容定位頭 信 息（Content-Location header）中包含的網(wǎng)址進(jìn)行偽裝處理，防止黑客借此分析服務(wù)器敏感信息。

如果啟用該功能，需要在“IP Mask”面板中勾選“Mask internal IP address in Content-Location header”項(xiàng)，在“Domain Name”欄中輸入用于上述偽裝的網(wǎng)站，這樣一旦ServerMASK發(fā)現(xiàn)傳輸給客戶端的相關(guān)內(nèi)容定位頭信息包含有網(wǎng)址信息，就會(huì)使用預(yù)設(shè)網(wǎng)址進(jìn)行替換。