近50家网站传播谣言被关停 篱笆网等域名被hold

易名中国(eName.cn)7月24日讯，据悉，本月已有北京知青网、八达网、共和网、军事网等31家网站，因恶意编造、传播性质恶劣的谣言被查封。近日，国家互联网信息办等有关部门加大整顿力度，关停三批因管理不力、任由谣言传播的网站，其中包括篱笆网(liba.com)、回龙观社区网(hlgnet.com)等近50家。

篱笆网等网站

据介绍，国家互联网信息办公室等依法对未在通信管理部门履行备案手续、传播谣言信息的赣州在线、中国将军政要网等4家网站依法予以关闭;对篱笆网、回龙观社区、昆山论坛等43家网站给予关停整改处罚;对虎扑体育论坛、邳州论坛给予暂停更新处罚。

查询易名Whois信息得知，篱笆网、昆山论坛、中国将军政要网等多个网站，域名状态显示为“clientHold”，访问均跳转至114导航网。其中，篱笆网早在4年前，就曾因个别帖子涉黄被关停整顿。目前，篱笆网已经锁定了此次涉嫌传谣的帖子，并展开积极整改与检讨。

现如今，为共同净化网络环境，国家互联网信息办公室、工信部、公安部还将继续加大对造谣、传谣行为的惩处力度，严打网上造谣、传谣行为。

SQL SERVER 2008安全配置

在访问sql server 2008的过程中，大致验证流程

当登录操作一个数据库的时候，会经过三次验证：

1. 操作系统的验证
2. SQL SERVER登录名的验证
3. 数据库用户名的验证

当使用windows身份认证模式的时候，使用的windows账号会通过操作系统的验证，然后以sysadmin的服务器角色通过SQL SERVER 的验证，在访问一个具体的数据库的时候又以其映射的dbo用户名登录相应的数据库。

当使用SQL SERVER 身份认证模式的时候，首先会使用类似于IIS中的匿名账号来通过windows验证，然后以其对应的服务器角色来通过SQL SERVER 的验证，在访问一个具体数据库的时候以其映射的数据库用户名来登录相应的数据库。

操作系统层面：在windows方式验证的过程中，由所使用的windows账号。使用sql账号验证的时候，应该是使用了一个类似于iis中的匿名账号来通过windows验证的。

SQL SERVER 层面：由sql server的登录用户的权限来控制，具体的权限由对应的服务器角色来决定。

(SA是SQL SERVER的一个登录用户名，而不是数据库的用户名)

数据库层面：由数据库的用户名的权限来控制，具体可以通过选择不同的数据库角色或者自定义权限来实现。

（SQL SERVER的登录用户名SA通过映射数据库的用户名来访问数据库内容 ）

所以在SQL SERVER 中，对权限起决定性作用的就是服务器登录名角色和数据库用户名角色。

0×01 sql server 2008 服务器角色及数据库角色

固定服务器角色

（登录SQL SERVER登录用户的权限角色，如SA默认拥有sysadmin角色权限）

Dbcreator：这个服务器角色的成员可以创建、更改、删除和还原任何数据库。
Diskadmin：这个服务器角色用于管理磁盘文件，比如镜像数据库和添加备份设备。Processadmin：SQL Server 2008能够多任务化，也就是说可以通过执行多个进程做多个事件。
Securityadmin：这个服务器角色的成员将管理登录名及其属性。他们可以授权、拒绝和撤销服务器级权限。也可以授权、拒绝和撤销数据库级权限。另外，它们可以重置SQL Server 2008登录名的密码。
Serveradmin：这个服务器角色的成员可以更改服务器范围的配置选项和关闭服务器。Setupadmin：为需要管理链接服务器和控制启动的存储过程的用户而设计。这个角色的成员能添加到setupadmin，能增加、删除和配置链接服务器，并能控制启动过程。
Sysadmin：这个服务器角色的成员有权在SQL Server 2008中执行任何任务。
Public: 有两大特点，第一，初始状态时没有权限；第二，所有的数据库用户都是它的成员。
固定数据库角色：
（数据库用户权限）
微软提供了9个内置的角色，以便于在数据库级别授予用户特殊的权限集合。
db_owner: 该角色的用户可以在数据库中执行任何操作。
db_accessadmin: 该角色的成员可以从数据库中增加或者删除用户。
db_backupopperator: 该角色的成员允许备份数据库。
db_datareader: 该角色的成员允许从任何表读取任何数据。
db_datawriter: 该角色的成员允许往任何表写入数据。
db_ddladmin：该角色的成员允许在数据库中增加、修改或者删除任何对象（即可以执行任何DDL语句）。
db_denydatareader: 该角色的成员被拒绝查看数据库中的任何数据，但是他们仍然可以通过存储过程来查看。
db_denydatawriter: 像db_denydatareader角色，该角色的成员被拒绝修改数据库中的任何数据，但是他们仍然可以通过存储过程来修改。
db_securityadmin: 该角色的成员可以更改数据库中的权限和角色。
public：在SQL Server 2008中每个数据库用户都属于public数据库角色。当尚未对某个用户授予或者拒绝对安全对象的特定权限时，这该用户将据称授予该安全对象的public角色的权限，这个数据库角色不能被删除。

0×02 安全配置方案

1. 限制可以访问数据库的IP

一般可以通过安全策略里面的ipsec或者windows防火墙来限制。

2. 修改数据库的访问端口

可以在SQL SERVER 配置管理器修改访问端口为不常见端口来防止一般性扫描

3. 修改日志审核策略

将登录审核修改为“开启登录成功和失败的日志”，这样方便数据库被入侵之后，对日志的查看。

4. 对SA账户的处理

如使用混合身份验证模式，建议禁用掉SA账户，否则设置非常强的SA密码。

5. 网站使用的数据库账号

对于每一个网站新建一个登陆用户并关联一个数据库用户，设置强密码，给予服务器角色为：PUBLIC，给予对应的数据库角色为：db_owner（需更加安全的保护对应数据库的数据需要调节更加严格的权限，此处给予的为此数据库的最高权限，若此账号泄露，此数据库中的数据不保，配合后续配置不影响服务器安全）

6. 数据库服务运行账号

数据库需要往磁盘写文件，或者通过存储过程执行命令的权限由数据库服务器的运行账户权限决定，使用NETWORK SERVICE账户来运行数据库服务器是较安全的。

7. 磁盘权限的合理配置

合理配置数据库运行，账户在磁盘上的权限，一定不要随意给写权限，特别是网站目录及数据库存储目录以外的位置，这样即使是SA也不能往磁盘写文件。

8. 危险存储过程的处理

由于在sql server 2008中sp_dropextendedproc 不能删除系统扩展存储过程，所以直接禁用常见危险存储过程。具体可根据实际情况来操作，因为有些存储过程是正常需要的。对于一般账户而言，根本没有执行这些高危存储过程的权限，而对于SA账户来说，以上所有的操作都是可恢复的，个人觉得SA账户被入侵之后的关键控制点在于合理配置数据库服务运行账号的权限。

0×03 常见入侵分析及防御

1. 数据库0day

zhangsan认为，升级吧！

2. 网站被入侵获取到普通服务器权限的账号

如果网站被入侵（类似SQL注入），很显然其对应的账号的数据库的数据肯定是不保了。普通账号（只给PUBLIC的账户）是无法执行系统命令的，可能的方式是通过备份数据库来达到写马的操作，防御的最好方法是严格控制数据库运行账号对磁盘的写权限

3. SA账户被入侵

SA账户被入侵后，一般会通过开启xp_cmdshell存储过程来执行系统命令。但是如果配置的数据库服务运行账号NETWORK SERVICE，它能够执行的系统命令也就有限了，甚至可以取消NETWORK SERVICE对于cmd.exe的执行权限。还有就是需要合理配置NETWORK SERVICE的磁盘写入权限。

0×04 常见操作介绍

1. 开启xp_cmdshell

EXEC sp_configure 'show advanced options', 1;
go
RECONFIGURE;
GO
EXEC sp_configure 'xp_cmdshell', 1;
go
RECONFIGURE;
GO

2. 使用xp_cmdshell执行系统命令的操作

exec xp_cmdshell 'whoami'

（如果该存储过程可以执行说明可能已经被入侵）

3. 高危存储过程处理

常见危险存储过程：

xp_cmdshell
xp_delete_file
xp_regread
xp_regwrite
xp_dirtree

由于在sql server 2008中sp_dropextendedproc 不会删除系统扩展存储过程，故直接禁用即可

EXEC sp_configure 'show advanced options', 0;
EXEC sp_configure 'xp_cmdshell', 0;

求指正，求指教！

何谓“尸位素餐”？

何谓“尸位素餐”？
一般机关、企业单位、商店的雇员，凭着人事或其他特殊的关系，只知道每月按期领取薪金，每日吃喝闲坐，而不做任何工作，这种人都可以说是“尸位素餐”。
此外，一般工作能力很差的人，虽然已经尽了自己的能力服务，但事情总是做不好，毫无成绩可言，这种人能够保持职位，不是靠自己的本领，而是借着特殊关系，因此也可以说“尸位素餐”。

李克强：“守土有责，守土负责，守土尽责，这是为官者、领导者的基本伦理。而一些官员、领导掌握着来自民众的公权力，却在其位不谋其政。如果尸位素餐，就不配坐在位置上“。
习近平曾说过，要拎着“乌纱帽”为民干事，为官者“不患无位而患德之不修”，“不患位之不尊，而患德之不崇”。官员领导掌握着公权力，公权力来自民众，权为民所用不是天经地义吗？
官员领导要拎着乌纱帽干事，不要捂着乌纱帽做官，更不能不做事、乱做事，否则民众留你何用？
摘录至《为官尸位素餐，不妨去其位》。

 

为政府、银行进行Ubuntu桌面培训

近日以来，网络信息安全热议沸腾。鉴于我国信息技术基础薄弱的国情，我认为国家明文禁止政府采购使用windows作为办公系统平台，是一件好事!

国家政府机构可以使用开源的Ubuntu这样优秀的、免费的操作系统+免费的openoffice或者liboffice软件。比向微软公司支付高额的软件费来说，向

我们这样的服务培训机构支付一定的服务费用来说，更要符合我国国情。更能推动我国信息技术的发展。

 

本课程为家庭用户和办公室用户提供 Ubuntu 操作系统的培训。目标对象不必预先了解 Ubuntu，但必须具备基本的计算机使用能力。要开始学习本课程，请先在您的计算机硬盘上安装 Ubuntu 10.04 LTS。

本课程以模块为单位来组织。在教室中进行全日制学习的话，两天就可以学习完整个课程。另外，您可以按需选择主题和课程，本课程的关键部分可以在一天之内学完。

学生职责

  • 学生应该按时到达并认真听课。如果学生可能会迟到，必须事先通知教员。
  • 鼓励学生参与课堂讨论。即使某些人对其中一些课程主题已经非常熟悉，分享相关经验对其他人来说也是相当有帮助的。
  • 上课期间，请将手机和传呼机设置成静音模式。
  • 所有学生在最后一天的课程结束后必须通过一次测验以获得毕业证书。

  • 教员职责

  • 教员的职责如下：
    • 合理有效地组织课堂学习，并保证教室环境有益于学习；包括按照日程表安排上课时间、课间休息和午餐时间。
    • 在实验课上回答学生提问，并帮助学生完成练习。
    • 向学生传授有价值的学习经验。
    • 在课程结束时，提供调查问卷以便学生做出反馈。

    培训前准备和检查

    • 了解学生的资质和期望。课程中的某些部分可能要按需进行调整。
    • 检查并试运行学生和教员的计算机，确保 Ubuntu 在那些机器上能够正常运行。
    • 确保您阅读了课室的设备指南，测试实验练习并且解决可能出现的问题。
    • 在正式讲课之前阅读教员指南和教学用幻灯片。
    • 学生可能由于教学幻灯片内容的局限而无法回答所有问题。请您在提出问题之前确保您的教学内容已覆盖相关的主题。
    • 强烈推荐您教授培训材料中包含的每个主题。当然，如果您的时间有限，每个章节的教员注记中也已标明哪些是可选主题。

    教学方法

    以下是一些您可能会用到的教学方法：

    • 幻灯片和讲座: 幻灯片可以用来解释清楚概念和逐步演示操作步骤。
    • 示范: 在学生亲自动手开始练习之前，教员可以就一些对学员来说可能比较复杂的步骤进行示范。
    • 复习题: 提问应贯穿在每节课的过程中，以确保学生能够理解关键的概念。
    • 上机练习: 每隔一段时间，应让学生亲自动手做一些练习来模拟现实生活中可能会遇到的情况。

    一些教学提示和指导方针

    • 使用较为直白的语言讲解，能让学生听起来更加自然舒服，且更有助于其理解相关内容。
    • 保持环境舒适和轻松。
    • 请尽快回答学生的疑问。如果有不确定的问题，应向学生说明情况并争取在隔天给出答复。
    • 当学生进行练习时应当在教室中来回走动以发现在练习中遇到问题的学生，并给予帮助。
    • 按照对象的资质和对 Ubuntu 的熟练程度，适当地使用各种教学手段 (幻灯片、范例和引导进行实验练习)。
    • 使用幻灯片帮助您专注于当前主题而避免离题，确保不遗漏任何有关信息的同时着重对主要的知识点进行讲解。偶尔看一眼特定的知识点，并尽快将您的注意力重新放回学生身上。避免单调地逐字复述幻灯片上的内容。
    • 为了激发学生的积极性，在课堂上贯穿进行实验练习。

    课程结构

    每个课程包括以下几个部分。

    简介

    在第一天要首先做的：

    1. 欢迎学生们，然后做一个自我介绍，再让学生们介绍自己，包括名字、职业背景、所在公司、对本课程的期望和对 Linux 操作系统的熟悉程度。
    2. 明确介绍整个培训的教学意图和目标。
    3. 制定课间休息的规则。

    内容设置

    使用下列方法：

    • 对主题进行简要介绍。
    • 从学习者的角度解释为何该主题很重要。
    • 联系之前学习的主题

    主要内容

    您可以使用以上介绍的任意教学方法，也可以按照学生的资质和教学内容的复杂程度任意组合以上提到的方法。采用多样的教学风格和方法可以避免单调，有利于教学实践。

    • 对于较复杂的主题，先进行示范，然后再让学生进行上机练习。如果该主题比较简单，可以在使用幻灯片进行过程演示时让学生自行进行练习。
    • 解释如何和何时需要去使用界面上的选项。

 

HTTP 1.1与HTTP 1.0的比较

HTTP 1.1与HTTP 1.0的比较

一个WEB站点每天可能要接收到上百万的用户请求，为了提高系统的效率，HTTP 1.0规定浏览器与服务器只保持短暂的连接，浏览器的每次请求都需要与服务器建立一个TCP连接，服务器完成请求处理后立即断开TCP连接，服务器不跟踪每个客户也不记录过去的请求。但是，这也造成了一些性能上的缺陷，例如，一个包含有许多图像的网页文件中并没有包含真正的图像数据内容，而只是指明了这些图像的URL地址，当WEB浏览器访问这个网页文件时，浏览器首先要发出针对该网页文件的请求，当浏览器解析WEB服务器返回的该网页文档中的HTML内容时，发现其中的<img>图像标签后，浏览器将根据<img>标签中的src属性所指定的URL地址再次向服务器发出下载图像数据的请求，如图3.3所示。 继续阅读 →

TCP连接的状态与关闭方式

TCP连接的状态与关闭方式，及其对Server与Client的影响

1. TCP连接的状态

首先介绍一下TCP连接建立与关闭过程中的状态。TCP连接过程是状态的转换，促使状态发生转换的因素包括用户调用、特定数据包以及超时等，具体状态如下所示：

  • CLOSED：初始状态，表示没有任何连接。
  • LISTEN：Server端的某个Socket正在监听来自远方的TCP端口的连接请求。
  • SYN_SENT：发送连接请求后等待确认信息。当客户端Socket进行Connect连接时，会首先发送SYN包，随即进入SYN_SENT状态，然后等待Server端发送三次握手中的第2个包。
  • SYN_RECEIVED：收到一个连接请求后回送确认信息和对等的连接请求，然后等待确认信息。通常是建立TCP连接的三次握手过程中的一个中间状态，表示Server端的Socket接收到来自Client的SYN包，并作出回应。
  • ESTABLISHED：表示连接已经建立，可以进行数据传输。
  • FIN_WAIT_1：主动关闭连接的一方等待对方返回ACK包。若Socket在ESTABLISHED状态下主动关闭连接并向对方发送FIN包（表示己方不再有数据需要发送），则进入FIN_WAIT_1状态，等待对方返回ACK包，此后还能读取数据，但不能发送数据。在正常情况下，无论对方处于何种状态，都应该马上返回ACK包，所以FIN_WAIT_1状态一般很难见到。
  • FIN_WAIT_2：主动关闭连接的一方收到对方返回的ACK包后，等待对方发送FIN包。处于FIN_WAIT_1状态下的Socket收到了对方返回的ACK包后，便进入FIN_WAIT_2状态。由于FIN_WAIT_2状态下的Socket需要等待对方发送的FIN包，所有常常可以看到。若在FIN_WAIT_1状态下收到对方发送的同时带有FIN和ACK的包时，则直接进入TIME_WAIT状态，无须经过FIN_WAIT_2状态。
  • TIME_WAIT：主动关闭连接的一方收到对方发送的FIN包后返回ACK包（表示对方也不再有数据需要发送，此后不能再读取或发送数据），然后等待足够长的时间（2MSL）以确保对方接收到ACK包（考虑到丢失ACK包的可能和迷路重复数据包的影响），最后回到CLOSED状态，释放网络资源。
  • CLOSE_WAIT：表示被动关闭连接的一方在等待关闭连接。当收到对方发送的FIN包后（表示对方不再有数据需要发送），相应的返回ACK包，然后进入CLOSE_WAIT状态。在该状态下，若己方还有数据未发送，则可以继续向对方进行发送，但不能再读取数据，直到数据发送完毕。
  • LAST_ACK：被动关闭连接的一方在CLOSE_WAIT状态下完成数据的发送后便可向对方发送FIN包（表示己方不再有数据需要发送），然后等待对方返回ACK包。收到ACK包后便回到CLOSED状态，释放网络资源。
  • CLOSING：比较罕见的例外状态。正常情况下，发送FIN包后应该先收到（或同时收到）对方的ACK包，再收到对方的FIN包，而CLOSING状态表示发送FIN包后并没有收到对方的ACK包，却已收到了对方的FIN包。有两种情况可能导致这种状态：其一，如果双方几乎在同时关闭连接，那么就可能出现双方同时发送FIN包的情况；其二，如果ACK包丢失而对方的FIN包很快发出，也会出现FIN先于ACK到达。 继续阅读 →

让FreeBSD更安全

我们都知道Internet并不总是一个友好的地方，而且你可能也不想让另一个地方的人拥有与你一样的访问许可权限。这意味着你可能不希望在没有某种防火墙的前提下访问Internet。幸运的是，你的FreeBSD系统支持良种防火墙：ipfw 和 ipfilter。更令人振奋的是，通俗易懂的文档正在迅速增加。如果你不在防火墙后面，那么请花一个周六下午的时间读一读如何在你的系统上配置防火墙的文章，并操练一把。你将为此感到愉快，以下是一部分可用的资源：
继续阅读 →

将SecureCRT的会话信息导入Xshell

这么多年一直在是用SecureCRT软件进行远程SSH维护众多服务器，近几年来出现的Xshell是一只新秀，而且针对个人和学校学生免费使用。这是一个非常好的事情。SecureCRT也是非常稳定、简洁、内存占用不高的运维工具，确定就是收费的商业软件。

今天我需要将一部分SecureCRT的会话保持密码和ip导入到Xshell，以后可能长期会使用Xshell。因为主机较多，一个一个手工新建会话速度太慢，所以找到了这样一个工具SessionImporter.exe

这个可以将putty zoc5 SecureCRT的会话导入到Xshell，非常方便！

 

关于DEDECMS SQL注入高危漏洞被利用发起大规模攻击的情况通报

近日，国家信息安全漏洞共享平台（CNVD）对国内应用广泛的网站内容管理软件DEDECMS（又称“织梦”CMS） 存在的一个SQL注入高危漏洞进行监测后发现，针对该漏洞的攻击近期呈现大规模爆发趋势，对网站运行安全和用户个人信息安全构成较为严重的威胁。具体情况通报如下：

   一、漏洞情况分析

DEDECMS是由上海卓卓网络科技有限公司生产的一款网站建站系统软件，在国内政府、高校、企事业单位以及个人用户网站中应用较为广泛。2014年2月25日，该软件被披露存在一个高危漏洞（CNVD收录编号：CNVD-2014-01382)。至2月28日，针对该漏洞的攻击利用代码和相关利用工具在互联网上已经被公开传播。漏洞存在于/plus/recommend.php页面，由于页面参数未进行严格过滤，存在SQL注入漏洞。

攻击者可利用漏洞直接获得网站数据库信息（包括后台管理员账号和口令信息），进而取得网站后台管理权限，后续可进一步渗透取得网站服务控制权。

      二、漏洞影响范围

CNVD对漏洞的综合评级为“高危”。受漏洞影响的DEDECMS 版本包括V 5.7 SP1及以下版本。由于漏洞危害大且易于利用，CNVD联合上海交通大学组织开展对该漏洞攻击情况的监测，并加大对存在漏洞的政府和高校网站的处置通报力度。

根据CNVD抽样监测结果，3月3日至9日，互联网上有2668个攻击源IP发起漏洞攻击，其中境外攻击源IP占22%（589个）, 境外攻击源IP中自中国香港地区和美国的较多，分别有163个和155个。上述2668个攻击源IP共尝试扫描了48661个网站IP主机，其中474个网站IP因存在漏洞被攻击成功。从时间周期看，如下图所示，在一周之内被尝试攻击的网站数量呈现上升趋势并保持在高位，在3月8日达到峰值，被攻击成功的网站IP达到286个。

        根据CNVD成员单位——上海交通大学网络信息中心在华东地区教育网内的监测结果，共有1903个攻击源IP对9972个网站IP发起尝试攻击。如下图所示，从2月26日至3月8日，被攻击网站IP数量总体呈现递增趋势。

针对黑客发起大规模漏洞攻击的情况，CNCERT组织协调全国分中心以及教育网应急组织（CCERT）加大漏洞通报和处置力度， 3月3日至13日共计通报政府、高校和电信行业网站存在DEDECMS漏洞事件超过100起。

  三、漏洞处置建议

目前，DEDECMS软件生产厂商已经发布了针对该漏洞的相关补丁。建议用户及时到生产厂商官方网站下载补丁程序及时升级。同时，建议禁止外部无关IP或用户访问网站后台管理地址。

相关安全公告链接参考如下：

http://www.cnvd.org.cn/flaw/show/CNVD-2014-01382

http://www.freebuf.com/tools/27206.html

http://paper.wooyun.org/bugs/wooyun-2014-051950