本书可以与任何计算机安全教材配套使用。

本书提供了对计算机安全的基本技能与概念的实践。无论是保护家用计算机，还是公司的计算机网络，始终有四个基本的问题需要考虑。本书的结构正是按照这四个问题来编排的。

l 网络如何工作？

l 网络为何易受攻击？威胁是什么？

l 如何保护网络？

l 如何检测网络攻击并进行响应？

本书多数实验有Windows平台和Linux平台两个版本。

关 于 作 者

Vincent Nestler，Capitol College和M.A.T. Education、Columbia University的网络安全硕士，是一位有着超过15年网络管理和安全方面经验的网络工程顾问和技术教练员。曾在美国海军陆战预备队担任数据通信维护军官。设计并实施了针对国防情报系统机构（DISA）计算机紧急响应小组的海军训练。在其调任DISA期间，为联合广播系统担任助理操作员（训练）。他开发了计算机网络操作程序的课程。他是Capitol College、DeVry Institute of Technology以及The Katharine Gibbs School的网络和安全方面的副教授。专业认证包括Red Hat认证工程师、Microsoft认证培训师、Microsoft认证系统工程师、Cisco认证网络工程师、以及Security+。

Wm. Arthur Conklin，是德州大学San Antonio分校（UTSA）的Center for Infrastructure Assurance and Security的助理教授研究员。他是工商管理博士后，专攻信息系统和信息保障。Conklin先生拥有Washington University的B.A.，UTSA的M.B.A，以及加州U.S. Naval Postgraduate School in Monterey的电子工程双学位。他所感兴趣的研究领域是分布式系统的安全问题。Conklin先生是U.S. Navy有着10年经验的老手，曾担任外部战争军官和工程值勤官，有超过10年的软件工程和项目管理经验。他是McGraw-Hill出版的Security+ Certi?cation All-in-One Exam Guide and Principles of Computer Security: Security+ and Beyond的合著者。

Gregory White博士自1986年以来就涉足计算机和网络安全工作。他在空军呆了19年，目前就职于空军预备队。1995年从Texas A&M University获得计算机科学哲学博士。目前他担任Center for Infrastructure Assurance and Security的临时指导和技术指导，并且是UTSA计算机系的助理教授。目前他正发起多项研究，包括对影响计算机安全的组织问题的考察、高速入侵检测、基础设施保护，以及从安全性来计算投资收益的方法。他是几本计算机安全方面书籍的合著者，并发表了大量的文章和报告出版物。

Matthew Hirsch，Capitol College的网络安全硕士，NEW Paltz 纽约州立大学（SUNY）物理学B.A.，Katharine Gibbs School计算机网络专业的副教授。有超过15年的系统和网络管理员经验。Deutsche Bank的系统管理者，Sanwa Securities和Market Arts Software的系统/网络管理员。纽约市一家非盈利性ISP——Dorsar的志愿管理员。在1994年为Market Arts建立了一个几乎完全安全，或者说极度安全的防火墙。

关于技术编辑

Mike Casper的主要角色是财政服务行业的信息安全管理者，负责服务供应商的合规性和监督。他对于估算全球厂商的安全状态有着广博的知识和经验。Mike也曾在宾夕法尼亚州和北卡罗莱那州有着9年的高校讲师经历。Mike的成就之一是合著了CompTIA Security + Examination。他获得的认证包括：CompTIA Security+、安全认证网络专家（SCNP），以及认证的信息系统安全专家（CISSP）。

前  言

听过的会忘记

看见的会记住

做过的会理解   ——孔子

对于学生来说，努力学习的成功与否依赖于几个因素，包括资料的复杂度和直接接触的程度。学习最复杂的科目不能只是在讲稿上被动地参与。真正学会并理解一个复杂问题的所有要素，需要更密切地探索素材。

计算机安全是个综合性科目，有许多复合领域、交迭规则以及非常特殊、错综复杂的技术现状。开发计算机安全方面熟练的专业人员需要定位几个部分，即技术和基于原理的知识，外加在操作中使用那个知识的实践经验。这本书的目的是协助模拟计算机安全知识库的实践体验部分。

这本书不是设计来涵盖计算机安全方面的所有特征的独立参考书。它旨在与基于原理的课本相结合，比如McGraw-Hill出版的Principles of Computer Security: Security + and Beyond。这两种课程完美的结合提供了理解基本的计算机安全概念和技能的基础。

教学设计

安全方面的四个问题

本书安排了四个部分，每一部分都对应与网络和计算机安全相关联的问题。这些问题作为结构化的框架，建立在前一部分的基础之上，据此我们努力来开发对计算机安全原理连贯的理解。那些部分和问题是：

第1部分——网络如何工作？

第2部分——网络是怎样易受攻击的？威胁是什么？

第3部分——怎样防止对网络的伤害？

第4部分——在网络上怎样检测并响应攻击？

这四个问题建立在彼此的基础上。首先，在我们能看到存在的漏洞之前，理解网络是怎样工作的非常重要。研究了基于网络的漏洞和威胁之后，一定会期待着防止伤害网络的方法。最后，即使是在最安全的环境中，我们也必须做最坏的打算，并询问我们能怎样检测和应该怎样响应攻击。

实验习题设计

这本实验手册是特别设计的，允许教师灵活运用。关于设备和设置是相当灵活的，因此它们可以在Windows、Linux或使用虚拟机的Mac平台上实施。设备数量也相当灵活，因此独立的网络和虚拟的网络都可用来部署。最后，实验的选择很灵活，因此并不期望    每一个实验都被用到，而是选择合适的实验，用来支持在课程作业的原理部分中特定的   概念。

这些实验习题的目的在于传授计算机和网络安全方面的技巧和概念。每个实验都有几个特征，允许在不会偏离重要概念的情况下灵活运用。

为Windows和Linux而准备的实验

大部分的实验练习都是针对Windows和Linux操作系统的。这不仅使学生们可以在自己所熟悉的操作系统上操作，而且可以用来在理解每个操作系统如何运作之间架起桥梁。

实验彼此独立

尽管这些实验根据所涵盖的内容和技巧而相互关联，但相对于配置和设置来说它们是独立的。这样就使得在实验的次序和重复方面有最大的灵活性。

实验以步进式来介绍

在本实验手册分成四个部分的同时，每一部分又进一步分成多章，把内容划分成    多个逻辑组。这有助于对网络安全很陌生的学生循序渐进地开发他的知识并了解技巧和   概念。

实验可以以主题的次序完成

不但实验练习根据那四个问题按内容分成了不同的组，而且针对当前实验之后的实验的参考也被分了不同的组。例如，可能想要执行一个与FTP相关的实验练习。可以从第1部分做FTP实验，它演示了FTP的用法；从第2部分做嗅探实验，它演示了FTP的漏洞；从第3部分做SCP实验，它演示了通过加密文件的传输来加固；以及从第4部分做日志分析实验，它可以揭露FTP服务器上的攻击。

大部分实验都有进一步学习的建议

在每一个实验的结尾都有进一步研究的建议。这些部分为学生指出正确的方向来探索更多内容。对于那些超前和提早完成了实验的学生而言，这些建议的实验提供了挑战，然而它们不必作为其它学生的要求。

虚拟机的使用

尽管所有的实验都可以在按配套Web站点上的说明所配置的计算机上执行，但强烈建议在诸如Microsoft Virtual PC或VMWare那样的虚拟机上执行那些实验。使用虚拟机有若干好处。

易于部署

一旦创建了虚拟机，就可以复制到所有的实验计算机上。

可以在Linux或Mac平台的PC上完成

只要满足了最低资源和软件需求，就可以在两种PC（Linux或Mac）上完成实验。

一名学生，一台PC，多台机器

如果用实际的PC机去建立实验，将至少需要3台PC机来创建完成所有实验所必需的网络。这意味着在拥有30台计算机的教室中，仅有10个实验能同时进行。通过使用虚拟机，全部的30台计算机都可以用来同时运行30个实验。

实验是可移动的——笔记本电脑

使用虚拟机的额外好处是在笔记本电脑上建立网络安全实验。这意味着学生不必非要去实验室做练习；他可以随时随地进行实验。

易于回滚

如果正确地配置，则每个实验练习结束后都不需要卸载或重新镜像计算机。所要做的只是退出虚拟机而不保存改变。如果虚拟硬盘驱动器被修改了，将原始文件复制回来只是个很简单的过程。

进一步实验的无限潜能

不像模拟器，每个虚拟机都使用实际的操作系统，这样就可以用来开发新的技术和/或考查其它的安全概念和软件，而只有相对很少的麻烦。

安全实验设置

所有的实验练习都有a、b、c或d的字母标记。“a”实验是基于Windows的练习，“b”实验是基于Linux的练习，而“c”实验是Windows和Linux的混合练习。带有a、b、或c标记的实验规定在封闭的网络或虚拟PC上执行。“d”实验则需要在带有Internet访问的计算机上执行。

“a”实验

这些实验涉及一台Windows XP Professional PC机和一台Windows 2000 Server。通常XP PC机将是攻击者，而服务器是防御者。

“b”实验

这些实验涉及Linux的Red Hat 9 版本。一个将被配置为客户端，一个配置为服务器。通常Linux客户端将是攻击者，而服务器是防御者。

“c”实验

这些实验涉及Windows和Linux PC机的组合。Linux PC机用作SSH和邮件服务器。

“d”实验

这些实验涉及带有Internet访问的主PC机。尽管大多数练习设计为没有Internet访问就能完成，但少数需要连接。Internet连接允许学生进行搜索并看看现实世界所存在的间谍软件的影响。

注意，所有的计算机都有意配置了不坚固的密码。这是为了易于实验使用，并演示了不坚固密码的危险。第3部分中涵盖了更多坚固密码的创建和使用。

安全性实验需求和使用说明

安全性实验设置的详细需求和使用说明可以在www.securitylabmanual.com上找到。需求和使用说明因所要使用的平台和基本OS而异。

注意

由于许多厂商改善了他们的软件，本手册中所使用的有效版本可能不再可用了。同 样，少数实验练习可能不完全按所写的那样工作，但通常仍然应该工作。请访问www. securitylabmanual.com查找更新和其他信息。

VI

计算机安全实验手册

V

前  言

目    录

第1部分  网络基础——网络如何工作

第1章  工作站网络配置与连接 2

实验1：网络工作站客户端配置 3

实验1a：Windows客户端配置（ipconfig/ping/arp） 5

实验1b：Linux客户端配置（ifconfig/ping/arp） 10

实验2：计算机名称解析 16

实验2a：Windows（nslookup） 17

实验2b：Linux（nslookup） 21

实验3：网络路由基础（路由） 26

实验3a：网络路由基础 27

实验4：网络通信分析 35

实验4a：Windows网络通信分析（Ethereal） 36

实验4b：Linux网络通信分析（Ethereal） 40

第2章  TCP/UDP基础 45

实验5：TCP基础 46

实验5a：Windows中的TCP三向握手 49

实验5b：Linux中的TCP三向握手 52

实验6：UDP基础 56

实验6a：Windows UDP基础 57

实验6b：Linux UDP基础 59

第3章  网络应用程序 62

实验7：FTP通信 64

实验7a：Windows FTP通信（FTP-HTTP） 65

实验7b：Linux FTP通信（FTP-HTTP） 69

实验8：端口连接状态 74

实验8a：基于Windows的端口连接状态（netstat） 75

实验8b：基于Linux的端口连接状态（netstat） 78

实验9：E-mail协议——SMTP和POP 82

实验9b：Linux E-mail——SMTP和POP 83

实验9c：Windows E-mail——SMTP和POP 87

实验10：E-mail客户端软件 92

实验10b：Linux E-mail客户端软件（Evolution） 93

实验10c：Windows E-mail客户端软件（Outlook Express） 97

实验11：Windows网络管理 102

实验11a：Windows网络管理（Net命令） 102

第2部分  漏洞和威胁——网络能怎样被损坏

第4章  扫描并枚举网络目标 108

实验12：IP地址和端口扫描，服务身份判定 109

实验12a：Nmap--Windows中的IP扫描 110

实验12b：Nmap--Linux中的IP扫描 115

实验13：研究系统漏洞 123

实验14：基于GUI的漏洞扫描器 127

实验14a：NeWT——在Windows中使用漏洞扫描器 128

实验14b：Nessus——在Linux中使用漏洞扫描器 133

第5章  攻击——Web服务器，E-mail，DOS和特洛伊攻击 140

实验15：Web服务器利用 141

实验15a：Web服务器利用 142

实验16：E-mail系统利用 146

实验16b：在Linux中利用E-mail漏洞 147

实验16c：在Windows中利用E-mail漏洞 152

实验17：拒绝服务利用 158

实验17a：Windows拒绝服务SMBDie 159

实验17b：Linux拒绝服务SYN Flood 162

实验18：特洛伊攻击 168

实验18a：使用Netbus特洛伊 169

实验18a2：使用SubSeven特洛伊 174

第6章  特权提升——嗅探、键盘记录、密码破解攻击 180

实验19：截取和嗅探网络通信 181

实验19b：在Linux中嗅探网络通信 182

实验19c：在Windows中嗅探网络通信 185

实验20：击键记录 189

实验20a：Windows中的击键记录 190

实验20b：Linux中的击键记录 193

实验21：密码破解 196

实验21a：Windows中的密码破解 197

实验21b：Linux中的密码破解 200

实验22：中间人攻击 205

实验22c：中间人攻击 205

实验23：藏匿术 211

实验23a：Windows中的藏匿术 212

第3部分  预防——怎样防止对网络的伤害

第7章  加固主机 218

实验24：加固操作系统 219

实验24a：加固Windows 2000 221

实验24b：加固Linux 228

实验25：Windows XP SP2 233

实验25a：Windows XP Service Pack 2 233

实验26：使用反病毒应用软件 240

实验26b：Linux中的反病毒 241

实验26c：Windows中的反病毒 246

实验27：使用防火墙 252

实验27a：Windows中的个人防火墙 253

实验27b：Linux中的IPTables 258

第8章  安全化网络通信 262

实验28：使用GPG加密和签署E-mail 263

实验28b：在Linux中使用GPG 265

实验28c：在Windows中使用GPG 274

实验29：使用Secure Shell（SSH） 285

实验29b：在Linux中使用Secure SHell 286

实验29c：在Windows中使用Secure SHell 290

实验30：使用Secure Copy（SCP） 295

实验30b：在Linux中使用Secure Copy 296

实验30c：在Windows中使用Secure Copy 300

实验31：使用证书和SSL 306

实验31a：在Windows中使用证书和SSL 308

实验31b：在Linux中使用证书和SSL 314

实验32：使用IPSec 321

实验32a：在Windows中使用IPSec 322

第4部分  检测与响应--如何检测并响应攻击

第9章  着手准备并检测攻击 330

实验33：系统日志文件分析 331

实验33a：Windows中的日志分析 332

实验33b：Linux中的日志分析 337

实验34：入侵检测系统 343

实验34a：在Windows（Snort）中使用入侵检测系统 344

实验34b：在Linux（Snort）中使用入侵检测系统 352

实验35：使用蜜罐 360

实验35a：在Windows中使用蜜罐 361

实验36：检测间谍软件 368

实验36a：Windows中的间谍软件检测和删除 369

实验37：备份和恢复 375

实验37a：Windows中的备份和恢复 376

实验37b：Linux中的备份和恢复 383

第10章  数字取证 388

实验38：初始响应——事故测定 389

实验38a：初始响应——事故测定 390

实验39：获取数据 397

实验39a：获取数据 398

实验40：取证分析 404

实验40a：取证分析 405

VIII

计算机安全实验手册

IX

目  录