计算机安全与保密技术 教案 邓亚平 2002年9月

第1章 安全技术概述 1.1 计算机应用技术的演变 ● 主机计算(mainframe computing) ● 分布式客户机/服务器计算(distributed client/serer computing) ● 网络计算(network computing) 1.1.1主机计算模式 主机——终端计算模式：系统软件和硬件集中管理，用户界面单一， 可扩展性差（前十年） 程序设计时代：FORTRAN，COBOL GOTO语句 只使用：顺序，分支，循环结构 2 结构化程序设计时代：PASCAL 设计重于编码，分析重于设计 数据流程图，伪代码，结构化查询语言（SQL）：数据联系语句 软件工程时代 系统中的软件成本比例越来越大 大量生产，高度重用，容易重组，容易维护 瀑布模型：任务规划，需求分析，概要设计，详细设计，测试，维护 开发方法：系统结构分析设计，系统表示语言和工具，软件需求工程方法，有限状态分析机——综合的：计算机辅助软件工程 (CASE:computer aided software engineering) 开发模型：原型法技术模型和面向对象的开法模型 1.1.2 分布式客户机/服务器计算模式 1 计算机应用阶段：DOS单用户，单任务——资源独占 2 网络应用阶段：实现资源共享 客户机/服务器应用阶段：将一个较大的任务适当地分解成多个子任务，由多个系统分别完成。多个子任务间存在交互关系，并体现为“服务请求/服务响应”关系。

网络硬件，网络软件，客户机平台，服务器平台，连接软件（RPC） 1.1.3 互联网络计算模式 用户界面更趋向自然化，资源相对集中，升级和维护简单，开销较少 1 多媒体应用：构架（模型的抽象）和构件——代码的重写量减少 网络计算应用：多种服务器；页面传递；浏览查询和计算处理； APPLET在网上上移动； 1.2 计算机安全技术概述 1.2.1 计算机系统面临的威胁 1 对硬件实体的威胁和攻击 2 对信息的威胁和攻击：hacker 3 同时攻击软硬件系统：计算机病毒（几十亿美元的直接经济损失） 1.2.2 计算机犯罪：每年盗用200多亿美元，其特征如下 1 获益高，罪犯作案时间短 2 风险低，作案容易而不留痕迹 3 犯罪采用先进技术：断口扫描，木马 4 内部人员和青少年犯罪日趋严重 5 犯罪区域广，犯罪机会多 1.2.3 计算机系统的脆弱性和安全的重要性 计算机系统自身的脆弱性 抗外部环境影响的能力差；数据信熄聚集性和安全性密不可分； 剩磁效应和电磁泄漏的不可避免；通信网络的弱点；数据处理的可 访问性和资源共享的目的性之间的矛盾——难保密性 系统安全的重要性

（1）计算机系统存储和处理有关国家安全的机密信息/个人的隐私 （2）计算机系统越来越复杂以及网络化 （3）计算机系统广泛使用，环境变化使系统的可靠性和安全性降低 （4）各级应用人员的操作失误或缺乏经验都会使系统的安全功能不足 （5）计算机系统安全问题涉及多个学科：计算机，通信，容错，加密，防病毒等 （6）重应用轻安全 1.2.4 计算机系统的安全需求与对策 计算机系统的安全需求 （1）保密性 （2）安全性：保密的程度；内部安全，外部安全（物理，人事，过程安全） （3）完整性：程序和数据不被非法修改和复制，保证其真实性和有效性。软件完整性（防复制和动态跟踪）；数据完整性（不被非法修改） （4）服务可用性：适用性，可靠性，及时性和安全性的综合表现 （5）有效性和合法性：是否过时和重发，身份鉴别 （6）信息流的保护：采用填充机制防有害信息的插入 计算机系统的安全对策 （1）系统安全对策的一般原则 · 综合平衡代价原则：需求，风险，代价三者的折衷 · 整体总和分析与分级授权原则：物理管理和技术管理 · 方便用户原则 · 灵活实用性原则：安全措施留有余地，应急措施 · 可评估性原则 （2）计算机系统的安全措施 安全立法，安全管理，安全技术三个层次 1.2.5 计算机系统安全的一般措施 安全立法：社会规范和技术规范两类 （1）社会规范：信息活动中人与人之间的行为准则——合法登记原 则；合法用户原则；信息公开原则；信息利用原则；资源限制原则

（2）技术规范：人和自然界之间的关系准则 计算机安全标准，网络安全标准，操作系统安全标准，数据和信息安 全标准，电磁泄露安全极限安全标准等 行政管理：三分技术，七分管理 （1）人员的教育与培训 （2）健全机构，岗位设置和规章制度 岗位责任制；运行管理维护制度；计算机处理控制管理制度；文档资 料管理制度 技术措施：安全技术措施应落实在系统开发的各个阶段 1.2.6 计算机系统安全技术与标准 计算机系统安全技术概述 （1）实体硬件安全 （2）软件系统安全 （3）数据信息安全 （4）网络站点安全 （5）运行服务安全 （6）病毒防治技术 （7）防火墙技术 （8）计算机应用系统的安全评价 计算机系统安全技术标准 （1）ISO7489-2：OSI安全体系结构的5种安全服务： 鉴别(authentication)；访问控制(access control)；数据保密(data confidentiality)；数据完整性(data integrity)；抗否认(non-reputation) 为实现以上服务制定了8种安全机制： 加密机制(enciphering mechanisms )；数字签名机制(digital signature mechanisms)；访问控制机制(access control mechanisms)；数据完整性 机制(data integrity mechanisms)；鉴别机制(authentication mechanisms)； 通信量填充机制(traffic padding mechanisms)；路由控制机制(routing control mechanisms)；公证机制(notarization mechanisms) （2）信息技术安全评定标准（ITSEC）——欧共体，1991 加拿大可信计算机产品评价准则（CTCPEC）——加拿大，1993 组合的联邦标准（FC）——美国，1993 信息技术安全评价通用准则（CC for ITSEC）——美加英法德荷六国，1993.6

计算机信息安全保护等级划分准则 公安部提出并组织制订，99,9,13经国家质量技术监督局发布，2001,1,1起实施。 本标准规定了计算机信息系统安全保护能力的五个等级： 第一级：用户自主保护级 第二级：系统审计保护级 第三级：安全标记保护级 第四级：机构化保护级 第五级：访问验证保护级 1.3 有关安全立法和知识产权的几个问题 1.3.1 广泛开展计算机安全教育 1.3.2 计算机安全立法 《保守国家秘密法》《计算机软件保护条例》《信息系统安全保护条例》《计算机病毒控制条例》等 1.3.3 计算机软件保护问题 1 现有著作权保护法在计算机领域受限，需要完善 2 Internet/Intranet带来新的挑战 3 正确使用软件的商标权：自由，共享，商用软件 案例：计算机逻辑炸弹（江明公司）——1997夏 第二章 计算机硬件检测与维护 2.1 计算机的可靠性 2.1.1计算机的可靠性（RAS，Reliability, A Safegard , ） 1可靠性：故障概率 2可维护性 3可用性：能正常工作的概率 2.1.2别 计算机的安全性 1 温度与湿度：10-25，40-60% 2 清洁度与照度：<1000粒/升， 3 防静电，电磁干扰及噪音：26分贝，800mA/m,64dB 4防火，防水及防震

5 接地系统：交流地，直流地，安全地 6 供电系统：UPS 2.2 计算机故障的分析 2.2.1计算机故障的分类 1 按影响大小分类：局部性/全局性，独立型/相关型故障 2 按持续时间分类：暂时性/永久性/边缘性故障（元件参数变化） 按计算机软硬件界面分类 （1）硬件故障；（2）机械故障；（3）人为故障；（4）软件故障； （5）病毒故障 2.2.2 计算机故障产生的原因 1 集成电路本身的缺陷 2 静电感应使器件击穿失效 3 电气干扰使器件损坏 4 环境条件的影响：温度和湿度过高过低 5 管理不善：随便开关机，随便拔插电源 2.3 计算机故障的检测原理及方法 2.3.1计算机故障的检测前的准备 1 充分了解机器，熟悉机器性能 2 掌握机器器件的主要参数和测试方法：型号，管脚，电压，电流 3 熟悉计算机常用的测试仪器设备及诊断程序的功能和作用 4 准备好一定数量板，卡部件备份 5 认真做好故障记录 2.3.2 计算机故障的检测原则 1 采取先软后硬的原则：QAPlus,Norton 2 采取先外设后主机的原则 3 采取先电源后负载的原则 4 采取先一般后特殊的原则 5 采取先公用后专用的原则 6 采取先简单后复杂的原则 2.3.3计算机故障的一般检测方法 1 原理分析法：从逻辑上分析各点应有的特征 诊断程序测试法：简易程序测试，检查诊断（专用），高级诊断法 3 4

直接观察法：看，听，摸，闻，对电路板用放大镜 拔插法 交换法：相同的器件 比较法：正确的参量 静态芯片测量和动态分析法：用万用表；运行时观测波形/脉冲数 升温法和降温法：关机检查正常，升温使故障表现出来；降温使故障消失——确定故障元件 2.4 计算机硬故障的诊断与排除 2.4.1计算机硬故障的诊断及分析技巧 计算机正常启动过程 检查CPU；ROM BIOS；POST；引导程序；DOS/WINDOWS 计算机硬故障的诊断分析 初始化显示器前的故障称为关键性故障；非关键性故障（显示） （1）对于非关键性故障：根据提示信息进行处理 （2）对于关键性故障：机器发“嘟嘟”声的长短及次数来找故障 详教材第36页的表。 2.4.2 主机板及其维护 1 主机板：系统板；母板，主板（80%的死机故障与主板有关） CPU，芯片组（北桥，南桥），内存，插槽 2 主板的分类 （1）按所适合的CPU分类： （2）按扩展总线的分类：ISA总线主板；EISA总线主板；PCI总线主板 （3）按主板结构尺寸的分类：AT主板，ATX主板，一体化，NLX（CPU升级方便） （4）按主板结构特点的分类：基于CPU的主板；基于适配电路的主板 3 主板的识别 PCI主板的识别：插槽比ISA短，是白色 软件测试：QAPlus,PC bench,WinBench,Winstone等 4 主板的安装：跳线要按使用说明书进行 5 主板上的插槽与连线：扩展槽，键盘插槽，电源插槽（P8，P9） 6 主板的常见故障分析：先软后硬，静态测试/动态测试 7 主机的使用与维护：严禁带电拔插；先开外设后开主机

2.4.3 中央处理单元（CPU） 1 CPU的种类 （1）Pentium系列：赛扬（Celeron）, PentiumIII, Pentium 4 （2）AMD的K7系列：速龙（Athlon），雷鸟（Thunderbrird），毒龙（Dulon） 2 CPU的测试 用户迫切地需要有一个测试标准，来比较各种微处理器的性能高低。CPU基准测试软件目前有十几种，如果再加上一些实验室自己的测试软件多达50多种。其中比较有权威的要算WinBench 97和ZD实验室开发的Winstone测试软件。 每当新的CPU问世时，伴随的介绍总少不了用SPECint,SPECfp这样的测试基准对CPU的性能进行测试，从而得到CPU的性能指标，并以这些测试参数来作为CPU指数性能的基准测试。 SPEC是System Performance Evaluation Cooperative的缩写，即系统性能评价协作标准。SPEC负责研究如何对计算机系统性能进行有效的描述，由此建立的一套测试程序称为SPEC。由于其评价标准比较客观公正，因而成为计算机系统评测的公认标准。 目前使用的版本是SPEC92，她由20个基准程序组成（6个整数，14个浮点数）。其评价指标有SPEC参考时间，SPEC比率和SPECmark。SPEC参考时间是指在DEC VAX11/780上运行SPEC92基准程序所花的时间；SPEC比率是该基准程序参考时间与被测机器上运行时间的比值，被测机器运行越快，SPEC比率就越大；SPECmark为该机器20个SPEC比率的几何平均值。 目前，根据上述测试标准来建立的衡量微处理器性能指标的主要有两个，一个是有Intel公司制定的iCOMP,另一个是由IBM,AMD,Cyrix等公司联合制定的P-Rating指数。 （1）iCOMP指数 iCOMP是intel Comparative Microprocessor Performance的缩写。它是Intel公司为一般用户提供的一个理解和比较Intel微处理器性能相对差异的易用工具。

1996年公布的iCOMP Index 2.0,由4个工业标准的32位测试基准和一个Intel自行开发的Media Benchmark组成。它们的应用类别和权值列于表1-1： 传统商业应用 CPUmark32 40% 高端应用 Norton SI32 15% 常规用途的整数运算 SPEC int_base 95 20% 常规用途的浮点运算 SPEC fp_base 95 5% 常规多媒体、通信和视频应用 Intel Media Benchmark 20% iCOMP Index 2.0以Pentium 120(主频120MHz,外频60MHz）为性能测试的基准，即它的iCOMP值为100。计算公式如下： iCOMP=100[（BM1/Base_BM1)P1+ （BM2/Base_BM2)P2+ …… + （BM5/Base_BM5)P5] 表1-2列出Pentium, Pentium MMX,Pentium II在2.0版下的iCOMP指数： CPU类型 主频（MHz)外频（MHz)倍频因子 iCOMP指数 Pentium120 120 60 2 100 Pentium133 133 66 2 111 Pentium150 150 60 2.5 114 Pentium166 166 66 2.5 127 Pentium200 200 66 3 142 PentiumMMX166 166 66 2.5 160 PentiumMMX200 200 66 3 182 PentiumMMX233 233 66 3.5 203 Pentium II233 233 66 3.5 267 PentiumII266 266 66 4 303 Pentium II300 300 66 4.5 332 Pentium II333 333 66 5 366 为能反映处理器在当今迅速增长的多媒体,3D和Internet应用需求面前的性能指标，1999年初Intel公司公布了iCOMP Index 3.0性能评价体系。将PC应用明确划分成4大领域：多媒体,3D，Internet和生产率（Productivity)。其中， Productivity是指除去前三项之外的所有PC应用，典型的是各种电子表格，数据库和字处理软件。 iCOMP Index 3.0的评价条件如表1-3所示。

评价项目 基准测试 权值（P） Productivity CPU mark 99 20% ProductivityWintune 98 Advanced CPU Interger Test 20% 多媒体 Multimedia Mark 99 25% 3D3D Winbench 99-3D Lighting and Transformation Test 20% Productivity/3D WinBench 99-FPU 5% Internet Jmark 2.0 Processor Test 10% iCOMP Index 3.0以Pentium II-350为性能测试的基准,并且其iCOMP指数为1000。故iCOMP指数计算公式变为： iCOMP=1000[（BM1/Base_BM1)P1+ （BM2/Base_BM2)P1+ ……+ （BM6/Base_BM6)P6] Pentium II-350以6个测试基准程序测得的Base_MB的值分别是:27.8,87.21,883,26.5,1790,609。例如，以6个测试基准程序测试Pentium II-400，得到BM值分别是：31.6, 99.25, 999 , 30.1, 12050, 674。不难计算出它的iCOMP指数为1130.。 CPU类型 主频（MHz)外频（MHz) 倍频因子 iCOMP3.0指数 Pentium II350 350 100 3.5 1000 Pentium II400 400 100 4.0 1130 Pentium II450 450 100 4.5 1240 PentiumIII450 450 100 4.5 1500 PentiumIII500 500 100 5.0 1650 PentiumIII550 550 100 5.5 1780 （2）P-Rating指数 随着厂家各自CPU新品的推出，用iCOMP来测评不同厂家生产的CPU会有失公正,为此,IBM、AMD、Cyrix等公司合作建立了一套新的微处理器性能评测标准： P-Rating，即额定性能。 P-Rating是以WINSTONE96为测试依据,将非Intel公司的CPU与Pentium系列CPU比较来评定其性能。 WINSTONE96是基于实际应用的测试软件，它测试了十几个当今最流行的应用软件，并结合权重给出最终得分，它是公认的基于Windows的测试标准。 例如， Cyrix公司的6x86的命名就采用了P-Rating指数： Cyrix 6x86-P166+GP133，它表示主频为133MHz，与Pentium-166CPU性能相当。

P-Rating指数作为一种实用的性能评价指标给用户提`供了一个当量级的概念，为选用CPU提供了一种简易的比较方案。 但是， P-Rating确实存在一定的局限性，其原因是WINSTONE96测试软件的浮点运算很少，而对3D应用来讲，浮点运算相当重要。虽说兼容芯片很多性能与同级Pentium系列并不逊色，但其浮点运算性能一般不如Pentium速度快。 3 CPU的安装：引脚有300多，拔插式，有拉杆压紧 2.4.4 存储器 三级存储器结构：高速缓存，主存和外存， 前两种为内存 2.4.4.1 易失性存储器（RAM） 静态RAM（SRAM） （1）SRAM的主要特点： 工作稳定，存取速度快（约为DRAM的3 – 5倍），不需要刷新电路，使用简单；功耗大，集成度较低，价格较贵。 在PC中SRAM主要作为Cache. (2) SRAM的分类： 异步SRAM（ASRAM），同步SRAM（SSRAM）， 流水突发式SRAM（PB-SRAM）：可以超过系统的工作时钟 CSRAM：Slot 2专用（奔腾2 Xeon） 动态RAM（DRAM） （1）DRAM的主要特点： 集成度较高，地址引脚信号分时复用，数据输入和输出信号分离，需要刷新电路，接口电路复杂，存取速度比SRAM慢。 在PC中主要作为内存

（2）DRAM的分类： 1）FPM DRAM（Fast Page Mode DRAM） 标准的DRAM是通过一种称为分页的技术来存取的,其方法是在一定的内存里,保持行地址不变,只改变列地址.这样减少了寻址开销来提高存取速度. 在大多数情况下,内存中的下一个所需要的数据在当前所读取数据的下一个单元.典型的方法是采用突发模式:对于一个给定的存取,除第一次访问以外,还可再连续访问下3个邻近的地址.可用X-Y-Y-Y来描述.例如60ns的DRAM的突发模式为5-3-3-3，只有第一次用5个T，其后为3T。 但在总线时钟频率高于33MHz时，读出的数据可能不可靠。 2）EDO DRAM（Extended Data Out DRAM） 又称为HPM DRAM（Hyper Page Mode）,是在FPM技术上的改进，它可以在输出一个数据的过程中，就准备下一个数据的输出，使内存控制器省去了发一系列地址信息的等待时间，当进行4次内存传送时，可按5-2-2-2的方式进行。 但在总线时钟频率高于50MHz时，读出的数据可能不可靠。 3）B(Bust)EDO DRAM 是在EDO DRAM的基础上的改进，主要是在存储器芯片上增加了一个地址计数器，用来跟踪下一个地址：当以4周期突发访问内存时，一旦知道了第一个地址，接下来的3个地址可由芯片提供，即可以是5-1-1-1的方式工作。 但在总线时钟频率高于66MHz时，读出的数据可能不可靠。 4）SDRAM（Synchronous DRAM） 它支持高速总线时钟频率（ 66MHz以上），而不必插入指令等待周期，将CPU和RAM通过一个相同的时钟锁在一起，共享一个时钟周期，以相同的速度同步工作。以430VX芯片支持的SDRAM为例，在66MHz的内存数据总线下，可按7-1-1-1的方式工作。

SDRAM采用新的双存储体结构，内含两个交错的存储阵列，允许两个内存页面同时打开，当CPU从一个存储器体或阵列访问数据的同时，在内存控制器作用下另一个已准备好读写数据。通过两个存储器阵列的紧密切换，读取效率得到成倍提高。 SDRAM II：DDR SDRAM（Double Data Rate)与SRAM相比有两个不同的特点——首先，它使用了更多，更先进的同步电路，允许数据在时钟的上升与下降两个边沿触发，其数据带宽是SDRAM的两倍；其次，使用了DLL（Delay-Locked Loop,延时锁定回路）来提供一个数据选通信号，每16次输出一次，并重新使来自不同的双存储体的数据同步。 5）SLDRAM（Synchronous Link DRAM) 比SDRAM增加了更先进的同步电路,将当前的4个体结构扩展到16体，同时还改进了逻辑控制电路.实验室里数据传输率可达1.6GB/s。 6) RDRAM(Rambus DRAM) 是Rambus公司开发的具有高系统带宽的，具有从芯片到芯片接口设计的新型高速DRAM。主要采用了两种技术： A）专用接口： Rambus通道有28条信号线，低电压信号，内含总线控制器，使得在每个时钟的两个边沿都可突发传送数据。 B）应用型专用集成电路单元（ASIC cells:Application Specific Integrated Circuit) 有两种：Base RDRAM 数据传输率为600MB/s Direct RDRAM 数据传输率为800MB/s 第二代的产品: Concurrent RDRAM 数据传输率为800MB/s Direct RDRAM 数据传输率为1600MB/s(16位数据宽度) CDRAM(Cached DRAM) 存储器芯片内部插入了一个SRAM作为二级Cache使用。

3）内存条及其接口 1）内存条的分类： A）SIMM（Single Inline Memory Module) 有30线和72线两种： 30线是FPM DRAM，容量256KB，1MB，4MB（16位数据线） 存取周期：70 – 100ns 72线是EDO DRAM， 容量4MB，8MB，16MB，32MB（32位） 存取周期：50 – 70ns B) DIMM (Double Inline Memory Module) 有72线和168线两种： 72线：同上，激光打印机 168线，64位数据线，SDRAM，容量16MB，32MB，64MB， 128MB，256MB。存取周期：6 – 15ns C）SO-DIMM（Small Outline DIMM）: 它比一般的DIMM内存条体积小，只有72线DIMM的一半大小。应用于笔记本电脑和传真机等。144线（EDO） 奇偶校验：微机要求内存有奇偶校验位，但没有也能运行。 内存条有奇偶校验位：IC芯片是3/9片。目前内存的质量已过关，现在制作的72线SIMM时已不再加上奇偶校验的功能。 奇偶校验无法确知错误发生在哪一位，所以无法纠正错误。因此当出错时，就会死机。 错误纠正码（ECC）：一个字节中增加4bit的ECC，如果仅有一位错，就可检测出并加以纠正，而不会造成死机。 2）内存条存储器芯片的识别 内存芯片一般标记了生产厂家、芯片的容量、存取速度、类型和数据宽度等指标。每个厂家的标记方式都不太一样。 例1：NEC 4217405-60，它所代表的含义如下 “42”—类型。41/42=DRAM，43=SRAM，45=SDRAM，48=VRAM

“17”—容量。16/17/18=16Mbit, 4=4Mbit, 1=1Mbit “40”—组成方式。40/41=4bit, 80=8bit, 16=16bit, 10=1bit（数据宽度） “5”—规格。5=EDO DRAM，0=FPM DRAM “60”—存取时间。06/60=60ns, 07/70=70ns 例2：HY 57 V 16 80 10ATC-10，它所代表的含义如下 “HY”—厂家代号。Hyundai(现代电子） “57”及“ATC”—厂家的内部标识：封装的形式，刷新时内存块的大小，批次 “V”—工作电压3.3v. 没有时就表示5v，U=2.5v “16”—容量。16/17/18=16Mbit, 64/65/72=64Mbit, 128/129=128Mbit “80”—数据宽度。80=8bit “10”—规格。0=FPM，单数=EDO，双数=SDRAM “-10”—存取时间。10ns 2.4.4.2 非易失性存储器 1. ROM（Read Only Memory） 2. OTPRPM（One Time Programmable ROM) 3. EPROM(Erasable Programmable ROM) 4. EEPROM(Electronically EPROM) 5.Flash存储器 它在某种低电压下，其内部数据可读不可写，这时类似于ROM；但在一种较高的电压下，其内部数据是可读可写，这时类似于RAM。现广泛用于主板的ROM BIOS。 6.FRAM(Ferro electric RAM):铁电存储器 结构与DRAM有些相似，对数据的存储是利用铁电电容被电场极化后的双稳特性，来表示“1/0”。主要优点： 1）写入数据的速度快；2）可重写次数高：一亿次 3）功耗低：为其它ROM型的二分之一到十二分之一； 4）体积小

2.4.5 电源的使用和维护 1 电源工作原理 220/110V——低通滤波器——桥式整流——电容滤波（DC300V）—— 逆变器——可调矩形波——脉冲方波——整流滤波（直流电压输出） +5V，+12V，-5V，-12V，Power Good;150w,220w,230w 有过压保护和欠压保护电路 2 电源的常见故障 保险丝熔断；输出欠载/空载；选择开关错；整流二极管损坏 3 电源的使用与维护 用UPS；三芯插头；不频繁开关电源（10秒后） 2.4.6 显示器的使用和维护 显示器 CRT（Cathode-Ray Tube:阴极射线管）；LCD（Liquid Crystal Display:液晶 显示器；Flat CRT(平面阴极射线管）；PDP（Plasma Display Panel:等离子 体显示板）-超大屏幕显示和大屏幕显示 PC显示系统：显示适配 器（显示卡），监视器（CRT） 显示模式 字符（A/N）方式：每屏行×列字符数 图形（APA）方式：每屏行×列象素数（分辨率） MDA，CGA，EGA，VGA，扩展VGA（SVGA/TVGA） 3 显示适配器：ISA总线显示卡；EISA总线显示卡；PCI总线显示卡 显示器的分类与识别 单色/彩色；低分辨率（640×350以下）/中分辨率/高分辨率（800×600以 上）；数字信号输入型/模拟信号输入型；固定扫描频率/可变扫描频率； （1）分辨率： （2）点间距：0.28mm, 0.31mm, 0.29mm(0.24mm, 0.25mm,0.26mm) （3）水平扫描：逐行扫描，隔行扫描 隔行扫描:TV系统采用，一幀画面分两场传送并显示的方法，它的优点是 节省频带，对元器件的要求较低，成本低。其缺点是刷新率低，图像有闪 烁感，易使眼睛疲劳。 逐行扫描：早期的刷新率与电网频率一致，因当时滤波技术的限制，会出 现非同步干扰（滚动的黑色条纹）。现在幀频不需与电网频率同步（85Hz)

简单的判别逐行和隔行扫描方式的办法： 将显示模式设在高分辨率下，刷新频率调为70Hz，这时注意观察显示器的边角，如产生严重的闪烁或抖动，则多半是隔行显示器。 5 显示器常见故障及分析 （1）彩色不好/没有彩色：调彩色控制；远离电磁干扰；显示卡 （2）显示器无显示：调整辉度；有视频输入？；有视频产生？； （3）水平不同步：调水平同步旋钮；有水平同步信号？；显示卡 （4）垂直不同步：调垂直同步旋钮；有垂直同步信号？；显示卡 （5）没有字符有图形显示/有字符没有图形显示：显示卡 （6）字符显示不好：病毒；显示卡 6 显示器维修时应注意的问题：详教材第47页 7 使用显示器应注意的问题：DIP开关不可随动；屏幕保护 8 显示器的维护：详教材第48页 2.4.7 硬盘的使用和维护 1 硬盘的基本结构：盘片，硬盘驱动器，适配器组成 盘片：基片是金属片，两面有磁化材料，直径：5.25inch,3.5inch,2.5inch,1.8inch 5400转/分，7200转/分 硬盘驱动器：头盘组件（HDA，Head Disk Assembly)，印刷电路板（PCB） 头盘组件：磁头组件，磁头驱动机构，盘片驱动机构，读/写电路， 循环过滤器，其他附件（底座，上盖） 印刷电路板：主轴和定位系统的控制电路，读/写接口，主轴伺服电路 2 硬盘的性能和指标 容量：10-40GB，磁头数×柱面数×扇区数×512B 数据传输率：外部数据传输率和内部数据传输率 外部数据传输率：又称为突发数据传输率/接口速率 指计算机从硬盘中准确找到相应数据后，从硬盘缓冲区通过接口传输到内存的速率。4MB/s-100MB/s。至少16.6MB/s。 内部数据传输率：又称为最大或最小持续传输速率 指磁头到应盘高速缓存之间的数据传输速率。 18MB/s-40MB/s 主轴转速：3600-10000r/min 平均寻道时间：7.5ms-14ms

3 硬盘的接口 （1）IDE系列接口 IDE（Integrated Device Electronics)也称AT-总线接口/ATA接口 采用40条信号线的单组电缆连接，只能连接两个硬盘，支持和管 理的容量为504MB（528MB），数据传输率8.3MB/s Enhanced IDE接口标准又称ATA-2,主要特点如下: ·支持大容量硬盘 最大容量可达8.4GB(7.88GB),支持以下三种工作模式: (1)普通模式(NORMAL) IDE标准,支持的最大容量528MB(504MB) C(柱面数）：1024 H（磁头数）：16 R（扇区数）：63 N（扇区字节数）：2（512） (2)逻辑块寻址（LBA：Logical Block Addressing) 将传给出BIOS的CHRN信息转换成了28位逻辑块地址，BIOS将 逻辑块地址送到任务文件暂存器并设定SDH（Select Drive Head) 的第六位，以表示LBA。 支持的硬盘最大容量为8.4GB(7.88GB) C:1024 H:255 R:63 N:2(512B) (3)大硬盘模式(LARGE) 当硬盘的柱面数超过1024,而又不被LBA模式支持时采用.它是将 柱面数除以2,而将磁头数乘以2,总容量不变.支持的硬盘最大容量 为1GB(1008MB). H:32 · 提高了数据传输速率 突发数据传输速率：模式1（多字DMA模式1）13.3MB/s 模式2（多字DMA模式2）16.6MB/s 模式3（PIO模式3）11.1MB/s 模式4（PIO模式4）16.6MB/s ·支持硬盘以外的其它设备：磁带驱动器和CD-ROM驱动器 ·两个通道可同时支持四台EIDE设备

Ultra DMA33和Ultra DMA66接口 ATA-3标准的改进之处： 1）提高了可靠性；2）一种简单的基于口令的安全方案； 3）更为出色的电源管理；4）支持SMART（Self-Monitor Analysis and Reporting Technology)技术。 在ATA-4标准还没有正式推出之前，Quantum和Intel公司推出了Ultra ATA（Ultra DMA）接口标准： Ultra DMA33 有人把它称为ATA-3，其主要特点是通过改善驱动程序来提高系统并行工作的能力，在猝发方式下，数据传输速率理论上最高可达33MB/s，实际可达26MB/s - 30MB/s Ultra DMA66 其主要特点： ●  在猝发方式下，数据传输速率理论上最高可达66MB/s ●  为减少线间的干扰，增加了40条地线，成为80线电缆 ●  采用了新CRC校验方法，提高了数据传输的可靠性。 使用Ultra DMA33/66硬盘接口标准必须具备以下的条件： 1）主板芯片组必须支持该标准； 2）硬盘必须支持该标准； 3）正确安装支持硬盘该标准的驱动程序。 （2）SCSI系列接口 SCSI是英文Small Computer System Interface的缩写。它是系统级接口，可以连接各种采用SCSI标准的外设：硬盘，光驱，扫描仪，磁带驱动器，打印机等。 主机通过适配器与SCSI总线相连，外设是通过外设控制器与SCSI总线相连。对设备的依赖性少，可连8台设备，每台设备可连7台外设（逻辑设备号LUN），可进行主机与主机之间，主机与外设，外设与外设之间的通信。

· SCSI接口标准的主要特性： 1）它是一个通用智能型系统级接口。（设备无关） 2）它是一个多任务接口，具有总线仲裁功能 3）可以按同步方式和异步方式传输数据。 4）可以分为单端传送方式和差分传送方式：长度在6米以内采 用单端传送方式，传送距离超过6米时采用差分传送方式。 5）SCSI设备没有主从关系。 · SCSI接口标准 SCSI-1的数据总线宽度只有8位，50芯扁平电缆，连线长度为6米。 1994年SCSI-2的数据总线宽度有8位，16位，采用一根68芯的扁平电缆。它可分为三个标准： ①Fast SCSI: 8位数据总线,数据传输率可达10MB/s, 连线长度为3米 ②Wide SCSI:16位数据总线,数据传输率可达10MB/s, 连线长度为6米 ③Fast Wide SCSI:16位数据总线,数据传输率可达20MB/s, 连线长度为3米 SCSI-3的标准正在制定中:已在应用的有四个标准 ①Ultra SCSI: 8位数据总线,数据传输率可达20MB/s, 连线长度为 1.5米 ②Wide Ultra SCSI: 16位数据总线,数据传输率可达40MB/s, 连线长度为1.5米 ③Ultra-2 SCSI: 8位数据总线,数据传输率可达40MB/s ④Wide Ultra-2 SCSI: 16位数据总线,数据传输率可达80MB/s ⑤Ultra-3 SCSI: 16位数据总线,数据传输率可达160MB/s 4 硬盘的安装步骤：跳线；系统配置；分区高级格式化 5 硬盘常见故障及分析 （1）低级格式化时：“没安装硬盘驱动器”-跳线；电缆线；类型 （2）硬盘不能启动：未分区；没有活动分区；没高级格式化 （3）启动时“硬盘错”：跳线；电缆线；CMOS设置；病毒 6 硬盘的使用与维护

“硬维护”：不要经常低级格式化；环境；不频繁开关机；固定 “软维护”：工具软件对硬盘定期进行维护和整理—碎片；子目录 2.4.8 软盘的使用及其维护 1 软盘系统：软盘驱动器，适配器，软盘 软盘驱动器：盘片驱动系统，磁头定位系统，数据读写抹系统 主轴每分钟300转 适配器：通过34芯电缆将驱动器与主板连接 2 软驱故障的诊治 （1）系统盘引导时不能启动： COMS设置； （2）拷贝过程中错或死机：软驱磁头不干净 （3）读/写时声音异常/报错：清洁部件；软驱故障 3 软驱常见故障及分析 （1）“一般性读A驱错误”：没有格式化；类型设置不当；磁头不干净； 引导扇区（病毒/零磁道坏） （2）“读A盘时扇区没有找到”：病毒；磁头不干净；零磁道坏 4 故障实例分析：详教材第54-55页 5 软驱的使用与维护 盘片的质量；读/写时不要取盘；盘片不要留在软驱中；划盘就不再使用 6 软盘的使用与维护 环境温度和湿度；远离磁场；备份软盘；写保护；防病毒 2.4.9 CD-ROM 光盘及光盘驱动器 优点：●容量大 680MB 相当于470多张1.44MB的软盘 ●密度高，单位成本低 ●可靠性高，易于保存：读取光不接触盘面，不受磁场干扰，没有受潮发霉的问题，正常可用50年左右 ●应用范围广：存数据，文本，数字化的图形，音频，视频

1 CD-ROM盘的物理结构 CD-ROM盘的直径为120mm，中心有直径为15mm的定位孔，厚度为1.2mm，以塑料作基片由三种不同的材料组成，最上面是一层保护层，一般都涂有漆层，并标示了盘的有关信息；中间是以铝膜组成的反光层；底层是聚碳酸脂透明层，这是光盘记录信息的一层。 记录信息时，用1微米左右的强激光在金属层上打出细微小坑，表示“0”，未打坑处表示“1”。 1 0 0 1 1 0 0 0 0 1 0 1 0 0 1 1 1 0 0 1   光盘记录数字信息的方式 2 CD—ROM驱动器 CD—ROM驱动器的主要部件 ●主轴驱动系统：主要是一部可变速电机（200转/分—500转/分） ●光学读出头伺服系统：寻迹控制（找光道），聚焦控制（光盘头发射激光束聚焦到盘片上） ●信号处理电路：读电路与其它处理电路（DAC） 3 CD—ROM物理格式 ①按帧存储的记录格式 这种格式主要是激光唱机（CD—DA，digital audio）使用 帧存588比特（声道） ②按扇区存储的记录格式 两种扇区模式：模式1和模式2 模式1：SYNC HEADER USER DATA EDC SPACE ECC 12B 4B 2048B 4B 8B 276B 模式2：SYNC HEADER USER DATA 12B 4B 2336B SYNC：00（1）FF（10）00（1） HEADER：MIN（1） SEC（1）SECTOR（1） MODE（1）

其中 分：一字节（0 – 73），秒：一字节（0 – 59） 扇区号：一字节（0 – 74），75扇区/秒 两种模式的共同点：●扇区大小相等 2352字节 ●具有相同的同步区（12字节）和扇头区/标识（3字节/1字节） （3） 光盘的数据存储容量 光盘数据存储量=光盘扇区数×每扇区数据存储量 CD—ROM光盘的扇区数与CD—DA光盘相同 光盘扇区数=光盘存储音乐的时间×单位时间内播放的扇区数 CD机以75扇区/秒的速度播放音乐，CD—DA光盘可容纳74分钟的音乐。但光盘最外的5μm很难进行压制，而且许多的CD机也难以读到该区域的信息（大约14分钟时间音乐），一般不使用。 光盘数据存储量=光盘存储音乐的时间×75扇区/秒×每扇区数据存储量 对扇区模式1 CD—ROM光盘，可达容量： 74分×60秒/分×75扇区/秒×2048字节=680MB 实际容量： 60分×60秒/分×75扇区/秒×2048字节=527MB 对扇区模式2 CD—ROM光盘，可达容量：742MB，实际601MB 光驱的安装与启动 （1）安装：一组电源线和40芯的电缆线，三条线接声卡 （2）安装驱动程序：XXX.SYS, MSCDEX.EXE(DOS/WINDOWS) 光驱的维护 保持水平;防尘;光盘不要留在光驱里;读/写时不要操作 光盘的鉴别和维护 不要用手接触光盘表面；平放；防高温和挤压；光滑面朝上 2.4.10 键盘的使用与维护 键盘的分类 键盘有83键，101键，102键，104键和105键（104最常见）

（1）按接口分类 键盘按接口可分为AT接口、PS/2接口、USB接口和无线键盘等。 1）AT接口键盘：AT接口键盘俗称“大口”键盘，键盘的插头是一个圆形5芯插头，插头是有方向性的。在5个插头中央正上方有一个凹的缺口，在机器主板的接口上也有一个定位销，安装时键盘插头的缺口应对准主板接口上的定位销，否则安装不上去。一般比较老式的AT主板使用这种键盘，但随着ATX结构主板的日益普及，这种键盘会很快退出市场。 2）PS/2接口键盘：PS/2接口键盘俗称为“小口”键盘，是目前使用最普通的一种键盘。它和AT借口键盘的区别只是在于接口不同，插头是4针，在插头上也有一个定位口，用来防止插错方向。AT接口和PS/2接口之间可用一个转换接头来实现两者间的相互转换，使两者兼容。 3）USB接口键盘：USB接口键盘支持USB接口热拔插功能，可在打开微机以后，带电拔插键盘，或更换键盘。 4）无线键盘：无线键盘与微机间没有直接的物理连线，可以完全脱离主机。用户可以带着键盘远离主机，不必担心键盘信号线和其它电缆缠在一起。无线键盘通过红外线或无线电波将输入信息传送給接收器。接收器放在主机旁，连接在PS/2口、COM口或USB口上。 无线键盘需要使用干电池供电。按照发射的遥控信号，无线键盘可分为红外线型和无线电波型。对于红外线型的无线键盘要求有较严格的方向性，尤其是水平位置，在使用时键盘红外发射头要基本对准接收器，就像使用电视机的遥控器一样；而无线电键盘发射的无线电波是幅射状传播的，它的方向性要灵活得多，但如果附近有多台微机，又可能干扰其它机器的工作，为了避免在近距离内有同类型（同频率）的键盘工作导致互相干扰，一般无线电键盘都备有4个以上的发射频道，如遇干扰可以手动改频。 无线键盘为了配合移动的需要，一般体积较小并集成有轨迹球，键位与笔记本电脑相仿；为了减小体积，省略了右边的数字小键盘，并将常用的功能键融合到键盘的边缘位置，它的有效范围在3米之内，这种键盘价格比较昂贵。

(2). 按键盘开关接触方式分类 键盘上的所有按键都是结构相同的按键开关，按照开关的接触方式可分为触点式（机械式）和无触点式（电容式）两大类。 1）触点式按键：触点式按键键盘工艺简单，价格低廉，它是借助簧片直接使两个导体接通或断开，有着理想的开关特性。但它的手感较差，击键用力大，响声大，容易使手指疲劳。机械式触点磨损较快，故障率较高，使用寿命短。早期的键盘几乎都是机械式键盘，现在已基本被淘汰。 还有一种用于工控机的键盘，也属于触点式按键，它采用完全密封的轻触薄膜按键，适用于特殊场合。 2）无触点式按键：电容式开关的特点是手感好，击键声音小，容易控制，结构简单，灵敏度高，成本低，易于小型化和批量生产。可以制造出高质量的键盘，但相应的电路较复杂，维修稍感困难。目前使用的微机键盘多为电容式无触点键盘。 键盘常见故障及分析 （1）键盘无反应：键盘信号没有到系统板 （2）某写键不正常：键盘信号错；接触不良；弹簧片变形 （3）锁定在上下档：接触不良；键盘粘连；键盘信号不正确 （4）输入与显示不符：键盘电路板短路 （5）个别字符不能输入：按键失效；焊点失效 （6）光标不停：空格键失效/换行键故障 键盘的使用与维护 不要随意更换键盘；不带电拔插；保持键盘清洁；按键时间不要过长； 2.4.11 鼠标的使用与维护 鼠标器是微机系统的一种辅助输入设备。它可以在屏幕上快速、 准确地移动和定位光标，使操作微机更加轻松自如，提高人们的工作 效率。随着WINDOWS操作系统的不断升级和发展，鼠标器在微机中 的应用越来越大广泛，已经成为微机的标准输入设备，在某些场合， 它的重要程度甚至超过了键盘。  

1 鼠标器的分类 （1）. 按键数分类 按键数鼠标器可以分为双键鼠标器、三键鼠标器和多键鼠标器。微软最早定义的鼠标器只需要左右两个键，IBM认为鼠标器需要三个键才够用，它在两键鼠标器的基础上又加了一个中键。使用中键在某些特殊程序中往往达到事半功倍的作用，例如在Auto CAD软件中就可以利用中键快速启动常用命令，使工作效率成倍提高。 多键鼠标器是在微软发布Microsoft智能鼠标器之后，产生的新一代多功能鼠标器。微软智能鼠标器在原有两键鼠标器的基础上增加了一个滚轮键，只要按一下中间的滚轮，文档自动翻页，使得上下翻页变得极其方便。随着应用的增加，其它厂商生产的新型鼠标器除了有滚轮，还增加了拇指键等快捷按键，进一步简化了操作程序。 （2）. 按接口分类 鼠标器按其接口类型可以分为串行口（方口）、PS/2（小圆口）、USB三类。传统的鼠标器是串行口连接的，用的是9针的D形接口，它占用了一个串行通信口。由于丰富的外设不断涌现和主板的频繁升级，人们逐渐开始使用PS/2鼠标器。PS/2鼠标器用的是6针的圆形接口，是目前市场上的主流产品，但随着USB接口的兴起，今后USB接口鼠标器将会逐渐普及，USB鼠标器使用USB接口。 （3）. 按内部构造分类 1）机械式鼠标器：机械式鼠标器是最早期的鼠标器类型，它的结构简单，使用环境要求较低，维修方便。但机械式鼠标器精度低，传输速度慢，寿命短。现在机械式鼠标器已基本淘汰，很难在市场上见到。 2）光机式鼠标器：光机式鼠标器的全称是光电机械式鼠标器，是目前最常用的一种鼠标器类型。这种鼠标器的精确度和传输速度比机械式鼠标器要高。由于采用非接触部件使磨损率下降，从而大大地提高了鼠标器的寿命。它的外形与机械式鼠标器没有区别，不打开外壳很难分辨。出于这个原因，虽然现在绝大部分的鼠标器都采用了光机结构，但人们习惯上还称其为机械式鼠标器。

3）光电式鼠标器：光电式鼠标器一般配备一块专用的反光板，鼠标器只有在反光板上才能使用。这种鼠标器精确度高，其定位精度为机械式鼠标器的两倍以上，是专业人员的首选。由于光电式鼠标器中没有橡胶球、传动轴和光栅轮，所以鼠标器内部结构比较简单，光电式鼠标器的接触部件较少，使鼠标器的可靠性大大增强。 光电式鼠标器的价格较高，而且还必须配有一块光学鼠标器垫，给使用者带来一定的麻烦。 此外，还有轨迹球鼠标器、无线式鼠标器、网络鼠标器等，由于目前不常用，就不再介绍了。 2 鼠标器的工作原理 （1）. 机械式鼠标器 机械式鼠标器的结构最为简单，有机械传动部分和电路控制板两部分组成。使用时由鼠标器底部的胶质小球带动X方向滚轴和Y方向滚轴，在每个滚轴的末端都有一个译码轮，译码轮边缘附有多个金属导电片，每一个译码轮与两个固定电刷直接接触。鼠标器的移动带动小球的滚动，再通过摩擦作用使两个滚轴带动译码轮旋转，每个译码轮上的金属导电片与对应的电刷接触或断开，电刷随即产生与鼠标器移动有关的脉冲信号。编码器由此识别鼠标器移动的距离和方向，产生相应的电信号传给微机，确定光标在屏幕上的移动距离和方向。若按下鼠标器按键，则会将按下的次数及间隔传给微机。 但由于电刷直接接触译码轮，电刷和译码轮的磨损较为厉害。直接影响机械式鼠标器的寿命。 （2）. 光机式鼠标器 光机式鼠标器底部有一个可以自由滚动的实心橡胶球，有三个滚动轴与该球接触，其中一个是空轴，另外两个互相垂直，分别是X方向滚轴和Y方向滚轴。当鼠标器在桌面上移动时，摩擦力使鼠标器底部的橡胶球也随之滚动，小球再通过摩擦作用带动两个滚轴旋转。 光机式鼠标器在机械式鼠标器的基础上，将磨损最厉害的接触式电刷改进成为非接触式的发光二极管和光敏三极管，将译码轮改为光栅轮，光栅轮边缘等角度地刻着细细的缺口。

发光二极管和光敏三极管放在光栅轮两侧，靠近光栅轮边缘，对着光栅轮缺口，构成光电检测电路。当鼠标器在桌上移动，光栅轮被带动旋转；当光栅轮的缺口旋转到发光二极管和光敏三极管中间，发光二极管发出的光透过缺口照射到光敏三极管上，光敏三极管的阻值减小；当光栅轮没有缺口的地方旋转到发光二极管和光敏三极管中间，发光二极管发出的光被遮挡，光敏三极管阻值增大。这样光栅每遮挡光线一次，接收管就会发送一个信号给处理电路，随着移动方向和速度的不断变化，时断时续的光信号产生了不断变化的脉冲信号。脉冲的个数表示鼠标器的位移量，脉冲的相位表示光栅的转动方向，即鼠标器的移动方向。通过鼠标器的控制芯片转换处理后，再由引线传送给微机，由控制软件来控制屏幕上鼠标器箭头的移动。如果此时按一下左键或右键，按键信号也从引线输出给微机。 （3）. 光电式鼠标器 光电式鼠标器通过发光二极管和光敏管协作来测量鼠标器的位移，一般需要一块专用的反光板，将发光二极管发出的光束部分反射到光敏接收管。 鼠标器内部有一个发光元件和两个聚焦透镜，发射光经过透镜聚焦后从底部的小孔射出，照在鼠标器下面的反光板上，再反射到鼠标器内部的光敏管。反光板上有明暗相同的条纹，条纹之间的距离为0.5mm，发射光照到条纹的不同位置，反射光的强弱也不一样。当在光栅板上移动鼠标器时，这些明暗相同的条纹使反射光有了强弱变化。鼠标器内部将检测到光的强弱转变成表示位移的脉冲，对脉冲进行计数即可测出鼠标器移动的距离。  3 鼠标器的使用与维护 滚动球的清洁；反光板的清洁；桌面的平整与清洁 2.4.12 打印机的使用与维护 1 打印机的分类 目前，关于打印机的分类方法比较多，标准不统一。大致可从以下几方面进行分类。

（1）. 按字符形成方式分类 1）字模式 所谓字模是指刻有字符的物体，一般一个字模对应一个字符。字模式打印机是把字模安装在载体上，借助机械的作用击打字模，使之与色带、纸相碰撞，在打印纸上印出字符。主要机型有鼓式、链式、菊轮式和球式等。 2）点阵式 点阵式打印机的基本原理是，先将字符或图像分解为一个个的象素，由象素建立点阵，通过打印点阵来获得字符或图像。采用这种打印方式的机型有针式打印机、喷墨打印机以及热转换打印机等。 （2）. 按打印方式分类 1）击打式 顾名思义，击打式是利用机械作用击打载体上的字模，使之与色带和纸相撞击而印出字符；或者通过击打钢针撞击色带和纸而打印出由点阵构成的字符或图像。主要机型有鼓式、链式、球式和针式等。 2）非击打式 非击打式打印机是利用各种物理或化学的方法印刷出字符或图像，因此严格地说应称为“印字机”，但在习惯上还是统称为打印机。这种类型的机型有喷墨打印机、激光打印机和热转换打印机等。 （3）. 按单位输出量分类 所谓单位输出量是指打印机打印时，是以字为单位，还是以行或页为单位输出。按这种分类方法，打印机可分为串行、行式和页式三种类型。串行打印是在打印字符时，按先后顺序逐字、逐行、逐页地进行，如菊轮式打印机季属于这种打印方式。行式打印则是在打印过程中以行为单位，对出于打印位置的一行字梏过是其中的若干个字符同时打印，链式打印机和热转换打印机均属此列。页式打印机的打印过程是以页为单位，一页一页地打印，激光打印机就属于这种类型。 （4）. 按技术分类 根据打印机的基本技术不同可分为：针式打印机、喷墨打印机、激光打印机和热转换打印机等。其中喷墨打印机按墨滴的驱动方式可分为压电式和热喷墨式两种，按墨材料性质又可以分为水质墨、固态油墨和液态墨三类；热转换打印机按其工作方式可大致分为热蜡打印机、

固态喷蜡打印机、热升华打印机和微干处理打印机四种类型。 2 针式打印机 目前最常用的打印机是针式打印机、喷墨打印机和激光打印机。下面分别介绍这三种打印机的工作原理。 （1）. 针式打印机的工作原理 针式打印机是一种击打式打印机，它是靠垂直排列的钢针在电磁铁的驱动下完成打印动作的。当钢针向前撞击时，就把色带上的油墨打印到纸上而形成一个色点。针式打印机也称为点阵式打印机。它可以分为打印机械和电路两大部分。机械部分主要包括打印机构、字车机构、色带馈送机构和输纸机构等。电路部分住要包括电源、接口电路、控制面板和控制主板电路。针式打印机的基本工作原理逻辑框图如图所示。   字符 字符 接 缓冲 代码 字符 字符 针数 打印 打 主机 存储 存储 译码 发生 据缓 针驱 印 口 器 器 器 器 冲区 动器 头   控 制 电 路 针式打印机工作原理逻辑框图 针式打印机的整个打印过程是通过微处理机执行固化在ROM中的打印控制程序，并对机械部件实施控制而完成的。接口电路用于完成主机与打印机之间数据、控制信号和状态信号等信息的交换。打印控制程序包括自检程序和控制程序，控制程序又包括控制主程序和若干个子程序，按功能分为四部分。 1）初始化阶段 初始化分为硬件初始化和软件初始化。硬件初始化是在打印机接通电源或接收主机的初始化信号后，由硬件复位电路自动初始化；软件处始化是通过接收主机送来的初始化命令，由软件进行初始化。初始化的主要工作是打印机自测试，驱动字车返回初始位置，对开关状态进行检测并接通控制面板上相应的指示灯；清除打印缓冲区，重新设置接码和打印所需的

数据的初始值及工作单元的处始状态。 2）接码阶段 在脱机状态下，如进行自检，接通自检状态后则进入自检流程，打印出所有自检码，直到按暂停键和进纸/退纸键为止，又自动转到接码入口；若不进行自检，则在开关状态流程中循环，不断地检测开关状态的变化情况。 在联机状态下，接码工作的任务就是接收主机发来的数据。当主机向打印机输出数据时，先检查打印机是否处于“忙”状态，如果打印机“忙”，则主机等待；如果不“忙”主机才输出数据，同时送出选通信号，要求打印机接收数据。打印机接收数据后，先判断是功能码还是字符代码，如果是功能码，则转入相应的处理子程序，以产生相应的打印方式和控制信号；若是字符代码，则CPU按选通信号把字符代码送入字符缓冲存储器，此字符代码经地址译码到字符发生器中找到相应的字符点阵，再存入行缓冲区，然后向主机送一个应答信号，主机接手到应答后，再送下一个数据。 3）打印处理阶段 该阶段工作是把行缓冲区存储的点阵数据按当前打印头所处的列位置，分奇数针和偶数针将24位信息发送到打印机驱动电路。 4）中断处理阶段 控制程序除了以上三部分外，在运行过程中允许插入几个中断处理程序，例如打印中断服务程序和开关状态中断服务程序等。对于24针打印头，由于是24根针双列交错排列，两列针间距6.5个点，所以在打印同一列点时，需分奇数针和偶数针驱动；而打印方向不同，两排针被驱动的次序也不同；若遇到连续空格码，则只需走车，无需打印。要完成上述任务，就需要插入四个互相独立的打印中断服务程序，这些程序是打印奇数针、偶数针、走车延时和连续区间打印子程序。开关状态中断服务程序的功能是接收控制面板的开关信号，完成其指定的功能，判断字车是否运行正常，缺纸否，以及设置相应的标志，去进行处理。 （2） . 针式打印机的使用与维护 通电时不要用旋转手柄；注意纸的厚度；不打印腊纸；不摸针头 3 喷墨打印机 （1）喷墨打印机的工作原理

喷墨打印机是靠喷出的微小墨点在纸上组成字符、图形或图像的，其主要技术环节是墨滴的形成及其充电和偏转。墨滴的控制方式很多，有电荷控制式、静电发射式和脉冲控制式等，这里仅介绍电荷控制式喷墨打印机的工作原理。 电荷控制式喷墨打印机主要由喷墨头、字符发生器、充电电极、偏转电极、墨水供应与回收系统（包括墨水泵、墨水槽、过滤器、收集槽、回收器和管道等）以及相应的控制电路组成。 工作时，导电的墨水在墨水泵的高压力作用下进入喷嘴，通过喷嘴形成一束极细的高速射流。射流通过高频振荡发生器断裂成连续均匀的墨水滴流。在充电电极上，施加一个静电场给墨滴充电，所充电荷的多少随墨滴喷在纸上的位置而变。在充电电极上所加的电压越高，充电电荷就越多。电荷一直保持到墨滴落在纸上为止。带不同电荷的墨滴通过加有恒定高压偏转电极形成的电场后垂直偏转到所需的位置。若垂直线段上某处不需喷墨，则相应的墨滴不充电，这些墨滴在片转电场中不发生偏转而按原方向射入回收器中。 当一列字符印完后，喷墨头以一定速度沿水平方向由左向右移动一列的距离。依次下去，即可印刷出一个字符，并由若干个字符加间隔构成字符行。 （2）喷墨打印机的使用与维护 防止喷嘴堵塞；墨水盒型号与机型一致；专用打印纸；纸装少点； 4 激光打印机 （1） 激光打印机的工作原理 激光打印机是将激光扫描技术和电子照相技术相结合的科技产品，也是近年继喷墨打印机之后发展最快的一种机型，分为黑白和彩色两种，它具有高精度、高速度、噪音低、功能强的优点。 激光打印机由接口、激光扫描和电子照相等三部分组成。 接口部分包含接口部件和字形发生器，由它接收由CPU输入的要打印的信息，经字形发生器变换成不同频率的超声波。 激光扫描部分由激光器、光调制器、光扫描与偏转器、高频驱动器和同步器等几个部件组成。 激光器是激光打印机的光源。激光是某些物质在受激时发出的一种强幅射光，它不仅光强度极高，而且有很好的单色性和方向性，经聚焦透镜可聚焦成极细的激光束，一般采用氦-氖气体激光器。

光调制器有机械、电光和声光调制等多种方式，目前较多的采用声光调制器。声光调制器利用声光效应，不同频率的超声波能使入射的激光束产生“0”级和“1”级衍射光。 光扫描与偏转器控制光路系统，以便在感光体的指定位置上形成扫描光点。 同步器利用“0”级衍射光控制高频驱动器的起停以控制字符或图像间的距离等。 电子照相部分由感光体和电子照相机构组成。感光体是一种无机光敏半导体材料（常用硒-碲合金制成），将它涂抹在一个圆形的鼓面上，则可构成感光鼓，感光鼓本身由铝合金制成。感光体在无光照射时呈现出很高的电阻率，与绝缘体类似；当有光照射时其电阻率大幅度下降，成良导体。正是利用这一特性，在电子照相机构控制下在感光鼓上形成潜像，并转印到打印纸上。 （2） 激光打印机的使用与维护 不要用普通纸打印；硒鼓不要暴露，温度和湿度要适当；自加炭粉 第三章 软件安全技术 3.1 计算机软件安全基本要求 3.1.1 计算机安全保密 1 计算机安全保密的定义 2 计算机软件安全涉及的范围 （1）软件本身的安全保密 （2）数据的安全保密主要是靠软件实现的 （3）系统运行的安全保密 3 计算机软件安全技术措施 3.1.2 软件的本质及特征 工具；资源；知识产品；武器；可存储性，可移植性；寄生性；再生性； 可激发性；破坏性；攻击性 3.2 软件防拷贝技术 3.2.1 软件保护与加密：Shannon加密系统的通信理论——现代密码学 3.2.2 软件加密必要性：知识密集型的产品，成本高，易于复制 3.2.3软件加密和解密过程

硬标记加密：针穿孔（INT 13H 读写该扇区会出错），激光孔（使磁盘的某几个点失去磁性），电磁加密（当磁盘上的信息采用一种奇异的编码格式写入时，正常系统读出的信息会产生随机错，用密钥识别程序能读出这种奇异的数据，从而使加密软件正常运行。），掩膜加密（镀膜方法来制造标记，给磁道/扇区的数据遮盖了） 软标记加密： 磁道软加密（在格式化有意造成一个/多个未格式化的磁道）； 扇区间隙软指纹加密（GAP2不同导致重写扇区的CRC码于原扇区的CRC码不同，新的CRC码称为指纹）； 异常ID加密（每个扇区有一个ID：磁道号，磁头号，扇区号，格式化写入时是任意，异常ID不能被正确读写，INT 13H 5号格式化磁道功能）； 超级扇段加密（用专用设备在软盘上写一些超长的扇区，接近一个磁道的长度，正常的软驱不能写这些扇区，但在程序控制下可成功地读出这些扇区）； 乱序排列加密（正常磁道的扇区号是顺序排列的，将某1/多个磁道的扇区号打乱排，就可以防止拷贝） (1)PROLOCK加密程序 激光加密防拷贝； 密文处理：被加密后的程序，其部分代码进行了密文处理，反汇编命令 “U”不能进行静态分析。执行过程中逐块解密，执行后又加密，内存无完整的明文程序。 防动态跟踪：破坏断点中断和单步中断的向量；隐蔽转移（INT0H）； 多循环多出口；设置堆栈（设在内存低端，破坏中断向量和跟踪） (2)PROTECT加密保护程序 COPYWRITE出现，激光加密就失效了。 3.3 软件加密口令与限制技术 3.3.1加密软件的工作方式 软件加密技术：密钥技术，反跟踪技术，代码插入技术组成 1。外壳式：特点是不修改源代码，使用简单，易破译 加密软件包加密代码附加到执行程序上，并把程序入口指向附加代码。 2。内含式：特点是要修改源代码，容易被跟踪（软件狗和加密卡） 加密代码以OBJ文件存在，应用程序与加密代码经编译连接后再执行

3。结合式：上述两者的结合。OBJ去检查外壳的可靠性。 3.3.2 口令加密技术 1 口令：用户身份验证 2 口令文件的加密 传统的加密方法；单向散列函数方法：Y=F（X），知X推不出Y来， 且X≠Z，则有F（X）≠F（Z） 例见教材表3.1（85页） 3 口令的选择 （1）选择长口令；6-8字符 （2）不定期地改变口令：不要告诉他人； （3）口令不要选择有特定意义的字符串：姓名，生日，电话号； （4）口令字符的范围要广：数字，字母，特殊字符混用； （5）使用一次性口令 上机实例（略） 3.3.3. 限制技术 限制﹑认证与加密 限制：对用户将进行的一系列操作通过某种手段进行确认； 认证：用户拥有的一些东西（例如智能卡） 用户知道的一些东西（例如口令） 用户本身的一些特征（例如指纹、网卡MAC地址) 用户所做的一些事情（例如手写签名） 2 限制技术中的两种加密方法 口令传输不安全：加密 公共密钥加密：加密与解密的密钥不相同；（不对称加密） 专用密钥加密：加密与解密的密钥相同（DES，IDEA）（对称加密） 共享文件的存取控制：格式缓冲器中设存取控制表： （1）文件主在创建时指明该文件的用户名及其存取权限的清单， 但用户太多时表会很长。不常用。详见教材第90页表2。 （2）将用户分类指定权限 通常是分为3类： 文件主；文件主的同组用户；其他用户（UNIX系统） R W X R W X R W X 1 1 1 1 0 1 0 0 0

3.4 防动态跟踪技术 3.4.1跟踪工具及其实现 1 DEBUG调试程序的启动 （1）直接启动：DEBUG（不带参数） （2）带参数的启动：DEBUG/参数 2 DEBUG调试程序的命令 A（汇编）；D（显示内容）；G（执行）；T（跟踪）；Q（退出） 3.4.2 软件运行中的反跟踪技术 1 抑制跟踪命令：使T和G命令不能正常执行 2 改变CRT显示特性 3 定时技术：设程序中正常两点的执行时间是一定值，超时可能被跟踪 3.5保证软件质量的安全体系 3.5.1概述 软件不可靠的原因：人工制造的复杂产品；研制过程带来错误；程序的正确性无法证明。 3.5.2 软件故障的分类 1 按错误的起因分：设计错；数据错；硬件恶化引起的元器件失效 2 按错误持续时间分：瞬时性；永久性 3 按开发阶段分：要求；系统设计；编码；测试；维护 4 特殊的错误类型 逻辑错误；算法错误；操作错误；I/O错误；用户接口错误 3.5.3 软件测试工具 1 测试支持系统检测软件中的错误：自动生成测试数据等 2 用双份比较检测软件中的错误 3 自锁故障的处理：用错了命令/按错键，显示不动了。 同时按下[BREAK][RESET]/冷启动 3.6 系统软件安全技术 3.6.1 计算机软故障的分类 1 操作系统版本不兼容：IBMBIO.COM，IBMDOS.COM，COMMAND.COM

2 系统配置错误: CONFIG.SYS 3 硬盘设置不当: “找不道硬盘”错误 4 使用操作不当:I(Ignore)安装的软件回不能正常运行 5 感染计算机病毒 6 安装新设备时的资源冲突 7 硬件配置不兼容：控制卡不能使用 3.6.2 计算机系统软故障的分析 1 系统故障：系统文件？系统配置文件？内存是否够用？ 2 程序故障：运行环境？装入方法？操作步骤？有无其它软件干扰？ 3 病毒的影响：硬盘不启动；键盘不响应；同一程序运行时间不同结果也不同；打印机不打印（表面是硬故障，实是病毒导致） 3.6.3 基于DOS操作系统的安全技术 1 DOS系统安全命令 COPY，XCOPY，BACKUP；ATTRIB；RENAME；FDISK；FC 2 计算机启动加密 设密码；CMOS不设硬盘；CMOS不设键盘；CMOS不设软驱 3 使用各类实用软件的密码功能 WPS自身密码功能；WORD自身密码功能；EXCEL文件：读/写控制 4 用PCTOOLS工具软件修改扇区加密 修改文件位置代码为“20”；将文件名的大写字母改为小写；将文件名的首位十六进制代码改为“00” 5 在文件名上加密 用半个汉字作文件名；用不可见字符作文件名（区位码的空区位：双字节编码例1695；假空格做文件名：[ALT][2、5、5][松手成空格]） 6 加密批处理文件 将0DH、OAH、1AH（文件结束）改为返回标志“00” 7 逻辑盘加密 不允许用A盘启动；不允许看到整个盘，使其看到的是某个子目录 8 用DOS的ASSIGN.COM命令: 将ABC盘都设为D盘 9 使目录操作失效 DOSKEY DIR/RD/CD/DELTRREE=INVALID DIRECTORY

软盘假死加密 破坏文件分配表(FAT)的特征字节(第一个字节): “读故障” 反弹加密法 DOS将磁盘分成512字节为单位的逻辑扇区，0扇区为引导扇区，其中 有目录项数，文件是以目录项和数据的形式存在磁盘上。一个目录项占 32个字节 （FCB），有两个字节（第26-27/27-28）存的是文件开始簇号 （占用的最初两个逻辑扇区号），将开始簇号存在保留字节（12-21）， 再将原开始簇号的内容设为0FF7H（坏簇），就可达到加密。 12 子目录加密 用DEBUG/PCTOOLS：目录用小写代替；目录项首位设成E5H；改属性 3.6.4 基于Windows操作系统的安全技术 备份系统的初始化文件 WIN.INI, SYSTEM.INI, PROGRAM.INI三个最重要 2 备份程序组文件：XXX..GRP 3 给WIN.INI和SYSTEM.INI注释：以便消除垃圾 3.6.5 基于Windows NT操作系统的安全技术 1 登录：用户名（ID）和口令 2 设置登录安全：限制站点；限制时间；设失效日期；限制次数 3 存取控制：系统审计；允许访问；禁止访问 4 用户权限：系统管理员指定用户/组的权限 5 许可权：NTFS有文件和目录的安全性，控制文件系统的访问 6 所有权：创建对象的用户拥有的对象许可权，可转让别的用户 7 访问许可权：共享一个对象（激光打印机） 8 共享许可权：共享网络资源 9 审计：对危害进行评估（状态审计和时间审计） 第四章 计算机病毒防治 4.1 计算机病毒概述 4.1.1 计算机病毒的定义：破坏，自我复制 4.1.2 计算机病毒的历史：1983年11月3日 第一例（Fred Cohen) 1 DOS引导阶段：引导型，小球，石头，石头2 2 DOS可执行文件阶段：.COM,.EXE，耶路撒冷，星期天 3 混合型阶段：感染文件又感染引导记录，Flip, Ghost

伴随、批次型阶段 1992,“金蝉”病毒（感染EXE时又生成与EXE同名的COM文件；感染 COM时又将COM改为同名的EXE文件，再生成一个原名的伴随体。） 非DOS中的“海盗旗”病毒（问用户名和口令，返回出错信息，删除自 身。批次病毒是在DOS下和“海盗旗”病毒类似的一类病毒。 多形型阶段 1994，看似随机的代码产生相同的结果。“幽灵”病毒，每感染一次就 产生不同的代码。既能感染引导区又能感染程序区。 生成器、变体机阶段 1995，一些数据的运算在不同的通用寄存器中，可得出同样结果， 随机插入一些无关指令不影响结果。 VCL（病毒制造机），就不能用特征识别法，必须分析指令。 变体机就是增加解码复杂程度的指令生成机。 网络、蠕虫阶段 非DOS中“蠕虫”，只占内存，计算网络地址，将自身病毒通过网络传 播，有时也在网络服务器和启动文件中存在。 视窗阶段 1996，利用视窗传播的病毒，DS.3873是一种感染视窗文件，在视窗 运行驻留内存，程序被感染后长度增加3873字节，文件日期加100年。 CIH也是一例，破坏硬盘数据，和Flash ROM芯片存储的BIOS程序。 9 宏病毒阶段：Word文档文件的病毒 10 互联网阶段：“冰冷世界”网络病毒破坏MS CONFIG.exe和 REGEDIT .exe两工具，查OUTLOOK中电邮地址，发送E-mail(拉登被炸死，新华社图片，Worm.vbs(3132字节）） 4.1.3 计算机病毒的特点 1 人为编写：恶性病毒；良性病毒 2 自我复制 3 夺取系统控制权 4 隐蔽性 5 潜伏性：满足触发条件才发作 6 不可预见性 4.1.4 计算机病毒的破坏行为

1 攻击系统数据区：主引导扇区，FAT表，文件目录 2 攻击文件：删除，改名，修改内容，对文件加密等 3 攻击内存：大量占用，改变内存总量，禁止分配内存，蚕食内存 4 干扰系统运行，使速度下降：打不开文件，重启动，死机等 5 干扰键盘，喇叭或屏幕： 6 攻击CMOS： 7 干扰打印机：间隙性打印，假报警，更换字符 8 破坏网络：电子邮件，网络带宽，发送垃圾信息 4.1.5 计算机病毒的命名与分类 命名：按产生的地点；按发作的时间；按特征；按病毒代码的长度 1 按传染方式：引导型，文件型，混合型 2 按连接方式：源码型，入侵型，操作系统型，外壳型 3 按破坏性分：良性病毒，恶性病毒 4 宏病毒：属于文件型病毒 5 网络病毒：在网上运行和传染 4.1.6 计算机病毒的结构 1 引导部分：它随宿主程序的执行而进入内存，为传染部分做准备 2 传染部分：将病毒代码复制到目标上 表现部分：千差万别 4.2 DOS环境下的病毒 4.2.1 DOS基本知识介绍 1 DOS的基本结构：四个模块 （1）引导记录模块：盘I/O参数表，盘基数表，引导记录块 （2）基本I/O模块：系统初始化程序；标准字符和块设备驱动程序 （3）核心模块：文件管理；系统调用模块 （4）SHELL模块：用户和操作系统的接口。COMMAND.com DOS启动过程 （1）硬件自检：13项 （2）自举程序：装入引导记录并执行 （3）系统初始化程序第一阶段：建磁盘基数表；设中断向量，确定内存容量 （4）内核初始化程序：驱动程序初始化；建立扇区缓冲区等

（5）建立系统运行环境 执行CONFIG。SYS的每一条命令； （6）COMMAND初始化程序：执行AOTUEXEC。BAT的每一条命令 DOS引导记录 （1）磁盘I/O参数表：19字节（详教材128页） （2）磁盘基数表：11字节 （3）引导记录块：检查根目录下是否存在两个系统文件。存在则加载到内存指定区，并把控制权交给BIOS模块。 DOS文件系统 （1）文件目录表FDT：文件名，扩展名，属性，文件长度等 （2）文件分配表FAT：记录文件分配到的物理位置（簇：1/多个扇区） DOS的程序加载过程 （1）COMMAND。COM命令处理程序：内部命令，外部命令，批处理文件 （2）EXE文件的加载：PSP，文件头 （3）COM文件的加载：100H，64KB DOS的中断系统 病毒大多数是通过修改中断向量来进行传染 （1）常见的中断原因：外中断，内中断，软中断 （2）中断向量表： 中断向量：中断服务程序的入口地址（段地址：偏移量） 中断向量表：中断类型号与中断向量之间的连接表 （3）中断响应过程 （4）计算机病毒用到的中断 INT 13H：对磁盘扇区读/写操作，格式化，状态，检验等 INT 25H/26H：对磁盘扇区进行绝对读/写操作 INT 1CH：定时中断（55ms），只有一条IRET指令 INT 8H：定时中断（55ms），计数值加1（秒，分，时） INT 10H：屏幕显示 INT 21H：35H功能取中断向量，25H功能设中断向量 4.2.2 常见DOS病毒分析

引导记录病毒 （1）软引导记录病毒：格式化建立引导记录程序，查盘上有IO.SYS DOS.SYS时就引导.若BIOS装入的是病毒感染的自举例程,病毒就会留 在内存,判硬盘是否有毒,无则将病毒写入主引导记录,将原引导记录存 到某1扇区;病毒INT 13H:若软盘在读/写时,判该盘有毒吗?无,对其感染. 若病毒保留了内存为己所用,可用内存总量会减少(640KB). （2）主引导记录病毒 它驻留在逻辑硬盘分区的引导记录中。与引导记录病毒的作用类似。 （3）火炬病毒：发作时屏幕上有5个火炬。对硬盘的主引导记录直接 覆盖，而对软盘引导记录进行迁移（标记：内存1BCH） 2 文件病毒 （1）COM文件的感染 修改COM文件的前3条指令，病毒加在COM文件的尾部； 病毒插入在COM文件的前部； （2）EXE文件的感染 在EXE文件头中有一个入口点变量（CS，IP），病毒将该信息保存， 改写入口点指向病毒程序（通常在EXE的尾部） （3）SYS文件的感染 有两个入口点：Strategy,Interrupt,病毒只要改一个入口点就行。 3 伴随型病毒 不会在原程序文件上依附，而是创建一个新文件，执行时进行传染。 4.3 宏病毒 4.3.1 宏病毒的行为和特征 宏病毒行为机制 Word范本文档（Normal.dot），它包含了宏（Word Basic编写） Word宏病毒通过DOC文档和DOT模板进行自我复制和传染。 宏病毒特征 （1）感染DOC文档和DOT模板文件。染毒的文档属性是模板的。 （2）打开一个带宏病毒的文档/模板时就激活宏病毒，感染通用模板。 （3）多数宏病毒包含AutoOpen,AutoClose,AutoNew,AutoExit

（4）含有对文档进行读/写操作的宏命令 （5）以BFF（二进制文件格式）存储，加密压缩格式，可能不兼容 4.3.2 宏病毒的防治和清除 1 宏病毒的识别 （1）在Word中从“工具”栏打开“宏”菜单，选中Normal.dot模板，若有上述自动宏以及FileSave,FileSaveAs,FileExit等文件操作宏，或一些怪名字的宏，可能有宏病毒了。 （2）在Word中从“工具”栏打开菜单时看不到“宏”/光标移到“宏”处点击鼠标无反应，肯定有宏病毒。 （3）打开一个文档，不进行任何操作，退出在Word时，若提示存盘，可能Normal.dot模板有宏病毒。 （4）打开以DOC为扩展名的文档文件，在另存菜单中只能以模板方式存盘，也可能带有宏病毒。 （5）在运行Word时，经常出现内寸不够，打印不正常，也可能有宏病毒。 （6）在运行Word时，打开DOC文档出现是否启动“宏”提示，该文档可能有宏病毒。 宏病毒的清除 （1）用防杀病毒的软件查杀 （2）手工查杀：前提是Word本身没有被传染 4.4 网络病毒 4.4.1 网络病毒的特点 多种共享资源的交叉感染；新病毒（Java/ActiveX）不需要宿主程序， 与操作平台无关；传染范围广；入侵途径：工作站-服务器-工作站 4.4.2 病毒在网上的传播与表现 局域网文件服务器带毒文件复制到工作站；工作站运行带毒内存驻留 文件可传染访问的EXE文件（服务器）；文件服务器是EXE文件病毒 的载体；对等网络最不安全；Internet是文件病毒的载体；引导病毒不 能通过Internet传播 4.4.3 专攻网络的GPI病毒

Get Password I.一种Novell网，自上而下传播。病毒驻留在内存，等常驻程序被启动时，才利用INT 21H进行感染（先取得最高权限）。 4.4.4 电子邮件病毒 就是以电子邮件作为传播途径的病毒（文件型，宏病毒）。例如： Melissa,HAPPY99,Papa等。 1 电子邮件病毒特点 （1）邮件本身无毒，但它的内容中有ANSI字符时，用UNIX终端上网查看时，就有被入侵的可能。 （2）邮件可以带任何类型的文件作为附件，附件文件可能有毒。 （3）利用某些电子邮件的扩充功能（Outlook/Outlook Express能执行VBA指令写的宏等），在邮件中夹带有针对性的代码进行传染和扩散。 （4）利用某些操作系统的特有功能（Windows 98 的Windows Scripting Host, 利用*.SHS文件）进行破坏。 （5）超大的电子邮件，电子邮件炸弹 电子邮件病毒的防范 （1）对地址不详和来路不明的邮件拒收； （2）不要轻易打开附件中的文档文件。（先存在硬盘上，查毒）； （3）不要轻易执行附件中的EXE和COM文件 （4）千万不要直接打开文件扩展名很怪的附件和带有脚本文件的附件（*。VBS，*。SHS） （5）最好不使用Outlook/Outlook Express收发电子邮件 4.5 现代计算机病毒流行的特征 4.5.1 攻击对象趋于混合型 4.5.2 反跟踪技术 4.5.3 增强了隐蔽性 1 避开修改中断向量 2 请求在内存中的合法身份 3 维持宿主程序的外部特性 4 不使用明显的感染标志：一系列相关运算

4.5.4 加密技术处理 1 对程序段动态加密:病毒边执行边解密，使DEBUG失效 2 对显示信息加密：现世纪病毒，显示的是加密的书信 3 对宿主程序段加密：入口的几个字节加密后存在病毒体内 4.5.5 病毒体繁衍不同变种 自我变形，自我保护，自我恢复；分散潜伏到各种宿主程序中；多态病毒感染一个新的EXE文件时，同时产生一个新的解密程序。使特征码的检测失效。 4.6 杀毒软件技术 4.6.1 病毒扫描程序 简单的串扫描算法：查找病毒的字节序列；易误判，检测时间长。 通配符串扫描算法：只检查文件的开头和结尾，改进了字符串的特征标记：XX ** YY ZZ BB UU ** YY（加密的键值在变） 入口点扫描算法：基于入口点既可能直接指向病毒，也有可能指向把控制传送给病毒的一些机器代码。 类属解密算法（GD）：基于两点假设（1）多态病毒的相邻两代至少包含一小段机器代码是一致的，密文也是一样的；（2）若多态病毒执行，病毒的解密程序能正确地解密，并把控制传送给静态的病毒代码 4.6.2 内存扫描程序：内存驻留文件和引导记录病毒 1 对新的内存驻留病毒分析产生特征标记； 2 几乎所有内存驻留病毒都会被检测出来； 3 设计正确的扫描程序，误检率，漏检率都必须很低； 4 内存扫描是一个很快的过程； 5 内存扫描程序必须定期更新 4.6.3 完整性检查器 正常时保存每个可执行文件和引导记录的信息指纹（CRC，入口的前几条指令，长度，日期和时间等）。几乎所有的病毒都会修改可执行文件和引导记录。 4.6.4 行为监视器 是一种内存驻留程序，防止新的/未知的病毒的传播。其特点是：

1 不需要进行頻繁的更新以保持有效； 2 无法检测出慢性病毒（它不会主动调用系统服务） 3 所截取的系统活动对可以检测到病毒的类型有关 4 可能会要求用户决定一项活动的合法性 5 只有病毒发作时才能检测到病毒 4.6.5 计算机病毒防治 1 新购置的计算机中是可能带有病毒的（杀毒软件） 2 新购置的硬盘/软盘是可能带有病毒的（杀毒软件） 3 新购置的计算机软件也要进行病毒检测。 4 在保证硬盘无毒时，最好用硬盘引导启动。 5 定期或不定期地进行磁盘文件备份 6 对于软盘要将数据和程序分别存放，程序盘有写保护 7 对重点保护的机器做到专机，专人，专盘，专用。 8 任何情况下，应总保留一张不开写口的无毒的系统启动盘 9 用BOOTSAFE等实用程序做好分区表和引导记录等的备份。 10 在网络服务器生成安装时，应将文件系统划分成多文件卷系统（系统卷，应用程序卷，用户独占的单卷文件系统） 11 安装服务器时应保证无毒，网络操作系统本身不感染病毒 12 应将系统卷设为对其他用户是只读状态 网络工作站上采取必要的防毒措施： 基于硬件支持的ROM BIOS存取控制和防毒卡； 基于软件的病毒防御程序：VSAFE，VSHI ELD 14 在服务器上安装LAN PROTECT等防毒系统 4.6.6 计算机病毒的免疫 1 建立程序的特征值档案: 无毒前就计算出特征值存在表中 2 严格内存管理 系统内存大小（KB）存在0040：0013H单元。调用INT 12H读内容 中断向量管理 保存ROM BIOS和DOS引导后设的中断向量表的备份。 4.6.7 计算机感染病毒后的恢复 1 防止和修复引导记录病毒

（1）修复感染的软盘：SYS A：命令；FORMAT A：/U （2）修复感染的主引导记录：FDISK/MBR命令 （3）利用杀毒软件修复 防止和修复可执行文件病毒 判别可执行文件病毒的方法： （1）无毒的软件引导后，对同一目录列目录后，文件的总长度与 通过硬盘引导后的不一样。（带毒时文件长度不真实）； （2）有些文件型病毒（ONE-HALF，3783，FLIP等），在感染文 件的同时，也感染系统的引导扇区。若引导扇区被破坏了，则磁盘 上也有可能有文件型病毒。 （3）系统文件的长度发生变化，则这写系统文件很有可能有病毒。 应记住常见系统文件的长度。 （4）系统运行时经常死机，或系统无法正常启动，可能有病毒。 修复的方法： （1）使用杀毒软件； （2）删除有毒的软件，重新安装 （3）用备份覆盖有毒文件 4.7 典型病毒介绍 4.7.1 CIH病毒 不仅破坏硬盘的主引导记录和分区表，而且破坏Flash BIOS芯片中 的系统程序。只感染Windows95/98的*.EXE的PE格式可执行文件。 染毒的文件长度不变。 （占用被毒文件的头部184字节，其余的病毒写在文件内部的空闲 区，例如文件尾部） CIH病毒采用是VXD技术，病毒驻留内存。 1998年从台湾传入大陆。有三个版本：4月26日/6月26日/每月26日 瑞星杀毒软件最先实现可以查杀该病毒的功能，清除后不破坏文件。 4.7.2 Win32/Klez.worm.91978病毒 蠕虫病毒，Windows文件型，单月13日进行破坏文件。 与原型的邮件主题相同，但其附件文件长度与原型文件长度不同，

变成了90KB（91978字节）。 该病毒运行时，系统文件夹上生成WinSvc.exe文件。其他变形病毒运行时也生成KRN132.exe文件。另外，在本地驱动器和网络驱动器路径上生成许多*.EXE扩展名的蠕虫文件（*.TXT.EXE,*.JPE.EXE）。 还在系统文件夹上生成WQK.EXE(11722字节）。 被破坏的文件长度与原文件长度相同，但内容被清除了。 4.7.3 Win32.Kriz（圣诞杀手）病毒 一个感染PE格式EXE文件的Windows95/98/NT病毒，而且多形性。 当帮助文件运行时，该病毒驻留内存直到系统重新启动。该病毒将自身代码进行加密，只留下很少的注释。它会感染被应用软件打开的文件，甚至当用户浏览文件时也可进行感染。 病毒在12月25日发作，会删除CMOS内的信息，直接删除磁盘扇区，用垃圾码刷写BIOS。同时也感染KERNEL32.DLL。 当该病毒在机器上运行时，首先检查KERNEL32.DLL是否被感染，如已被感染则自动退出，否则将KERNEL32.DLL拷贝成KRIZED.TT6并感染它。然后创建Wininit.ini: [rename] C:\WINDOWS\SYSTEM\ KERNEL32.DLL= C:\WINDOWS\SYSTEM\ KRIZED.TT6 被感染的文件中有下列功能： CopyFileA, CopyFileW, CreateFileA, CreateFileW, MoveFileA, MoveFileW, DeleteFileA, DeleteFileW, GetFileAttributesA等， 这使得任何PE格式的EXE文件在运行，拷贝，移动和浏览时被病毒感染。 7.4.4 Melissa（梅丽莎）病毒 是一种WORD宏病毒，当打开了该病毒的WORD文档时，首先感染通用模板文件（Normal.dot），并修改Windows注册表项HKEY-CURRENT-USER\Software\Microsotf\Office,将其增加表项Melissa?,并给其赋值“…by Kwyjibo“。在Outlook启动的情况下，将自动给地址薄的前50名发送信件，信件的主题是：Important Message From,内容是：Here is that document you asked for …don’t show anyone else;-)，附件：list.doc（带毒）

该病毒有5种变种：PaPa病毒,“疯牛”病毒，“辛迪加”病毒等。 7.4.5 “求职信”病毒（W32.Klez.A@mm) 该病毒通过电子邮件传播，邮件的主题从下列种随机选取： Hi; Hello; How are you?; Can you help me?; We want peace; Where will you go?; Congratulations!!!; Don’t Cry; Lok at the pretty; Some advice on your shortcoming; Free XXX Pictures; A free hot porn site: Why don’t you reply to me?; How about have dinner with me together? Never kiss stranger 信件的内容如下： I’m sorry to do so, but it’s helpless to say sorry. I want a good job,I must support my parents. Now you have seen my technical capabilities. How much my year-salary now? NO more than $5,500. What do you think of this fact? Don’t call my names,I have no hostility. Can you help me? 附件的名称也是随机的：如Nxrj.exe,Uruo.exe,Vws.exe等 如果用户使用Outlook收发电子邮件，那么在预览含有该病毒的邮件时，病毒已经执行，也就是说只有打开邮件就自动下载这个附件。病毒一旦运行，将在C:\WINDOWS\SYSTEM下生成两个隐含文件Krnl32.exe和Wqk.exe，同时修改注册表，增加如下键值： H_L_M\Software\Microsoft\Windows\CurrentVersion\Run\Krnl32=C: \WINDOWS\SYSTEM\Krnl32.exe H_L_M\Software\Microsoft\Windows\CurrentVersion\Run\WQK=C: \WINDOWS\SYSTEM\Wqk.exe 并感染PE文件和.SCR文件。 一旦感染此病毒，系统将变得非常缓慢，可以通多取Outlook中的邮件地址，自动传播给其他用户。在某些月份的13日会破坏系统文件，导致系统瘫痪。 该病毒的特点： （1）利用MS的Ifram ExecCommand漏洞 使IE没有打补丁的用户会自动运行该病毒，即使没有点击，浏览，

预览也会中招。 （2）可以远程激活 （3）大量消耗内存硬盘空间等系统资源 （4）双程序结构 一个负责远程传播，另一个负责本地传染传播。 7.4.6 VBS.HappyTime病毒 欢乐时光是一个感染VBS，HTML和脚本文件的脚本类病毒。该病毒用VB Script语言编写，既可以电子邮件的形式传播，也可以在本地通过文件进行感染。 用浏览器打开被感染的HTML文件时，病毒会设置网页的时间中断事件，每10秒运行Help.vbs一次，该文件存放在C盘下第一个子目录下。如果通过hta文件激活病毒，病毒还会在C盘第一个子目录下生成Help.hta文件并执行。 若执行的是染毒的VBS文件，只要日期和月份数字和是13，则病毒会删除从C盘找到的第一个EXE或DLL文件；是其他时间，则从C盘找到地一个HTML，VBS，HTM，ASP文件，从文件内容中找到mailto语句，分解出若干收件人邮件地址，发送带毒附件（Unititled.htm)的邮件，然后置换文件内容为病毒代码。 当病毒被执行次数为366的整数倍时，如果当前时间的秒数值正好是偶数，则取得Outlook Express中所有发信人的地址和主题，然后以转发原信件为主题，给这些地址发送信件，附件为Unititled.htm； 如果秒数为奇数，则读取地址薄中所有人的地址，分别发送主题为“Help”，附件为Unititled.htm的病毒邮件。 此外，病毒还会修改桌面墙纸的设置，若无墙纸则会设置成Help.htm；若有墙纸则修改为与与原墙纸文件名相同，扩展名为htm的文件，而这些文件中带有病毒代码。 如果是通过脚本或其他方式运行病毒，则会在C盘第一个子目录下创建病毒文件Help.vbs，在%Windows%目录下创建病毒文件Untitled.htm。修改注册表HKEY_CURRENT_USER\Identities\XXXXXXXX\Software\Microsoft\OutlookExpress\5.0\Mail（其中XXXXXXXX为缺省用户ID值）项下的3个键值。并查找Windows\Web目录下所有的HTM，HTT，VBS，

ASP文件，从中找到mailto语句，分解出若干收件人邮件地址，发送带毒附件（Unititled ASP文件，从中找到mailto语句，分解出若干收件人邮件地址，发送带毒附件（Unititled.htm)的邮件，然后置换文件内容为病毒代码。病毒脚本代码的第以行为“Rem I am sorry! Happy time”，可以此来判断一个文件是否已被感染。 7.4.7 Code Red 病毒 利用MS IIS 上发现的索引服务漏洞（该漏洞存在于IIS 4.0和5.0中，运行在Windows NT, Windows2000,Windows XP beta版），在被感染的页面上显示“Hacked by Chinese”。该漏洞允许远程入侵者在染毒机器中运行任意的代码。该病毒不将病毒体植入服务器的硬盘，只是驻留在服务器的内存中，并通过网络连接攻击其他的服务器。 Code Red I：发现日期——2001/7/18 别名：W32/Bady.worm 该蠕虫感染运行MS Index Server 2.0的系统和在WIN2000启用了 Indexing Service的系统，利用了一个缓冲区溢出漏洞进行传播。 该蠕虫通过TCP/IP和端口80传播，利用上述漏洞将自己作为一个TCP/IP流直接发送到染毒系统的缓冲区，蠕虫依次扫描Web，以便能够感染其他的系统。一旦感染了当前的系统，蠕虫会检测硬盘中是否有C:\notworm，如果该文件存在，将停止感染其他主机。 Code Red II 病毒作者对病毒体作了很多优化，不仅仅对英文系统发动攻击，而是攻击任何语言的系统。这种病毒还可以在受到攻击的机器上植入“特洛伊木马”，使得被攻击的机器后门大开。当机器日期大于 2002/10时，病毒将强行重新启动计算机。 如何判定受到Code Red II病毒的攻击： （1）在Windows NT: Winnt\system32\logfiles\w3svc1目录下的日志文件中是否含有以下内容：GET,/default.ida,XXXXXXXXXXXXXXXXXXXXXXXXXXXX %u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u000%u00=a （2）使用命令 netstat –a。如果在1025以上端口出现很多SYS-SENT连接请求，或者1025以上大量端口出于Listening状态；

（3）如果在以下目录中存在Root.exe文件 C:\inetpub\Scripts\ D:\inetpub\Scripts\ C:\progra~1\Common~1\System\MSADC\ D:\progra~1\Common~1\System\MSADC\ 同时红色代码2还会释放两个文件（木马程序）—— C:\Explorer.exe, D :\Explorer.exe （4）NT服务器中的Web服务器和FTP服务器会异常中止。 4.8 常用反病毒软件产品 4.8.1 KV3000 是江民公司在KV300+的基础上推出的一套全新的杀病毒软件。 和KV300+相比，在各个方面都有了较大的提高与改善：人机界面；功能设置；杀病毒种类（国际上流行的近4万种病毒）等。 它支持的操作系统：DOS，Windows 3.x , 95/98/Me/NT/2000/XP 提供了更加完善的应盘救护箱功能：F10功能可以对像被CIH病毒等破坏的硬盘顷刻之间就恢复得完好如初。 增加了杀毒的方法：在广谱特征代码过滤法，步步跟踪法，逻辑判断法，逆转显影法，启法分析法的基础上，加入了功能更强大的虚拟机法，神经网络敏感系统等新技术。 可识别的压缩文件的格式更多；在ZIP，ARJ，RAR基础上新增了对MS CAB文件格式，WWPACK压缩文件格式，LZH压缩文件格式的识别，同时也识别这些压缩文件生成的可执行压缩文件格式的文件：PKLITE，LZEXE，WWPACK，ASPACK，UPX等。 4.8.2 金山毒霸2003 是金山公司开发的杀毒软件 当您的电脑发生异常现象时，用传统的查杀病毒方式查杀硬盘需要60分钟以上，而使用金山毒霸新增的“闪电杀毒”*查杀只需要4分钟！ 网页防毒：您的默认主页和IE标题栏曾经被恶意网页修改过吗？您的电脑被万花谷、混客绝情炸弹、新欢乐时光等网页病毒侵扰过吗？网页防火墙能拦截此类恶意网页脚本、网页病毒和恶意ActiveX控件,同时还可以自动关闭弹出式网页广告窗口。

每台电脑都存在系统漏洞，著名的求职信(Wantjob,Klez)和尼姆达(Nimda)就是利用系统漏洞进行入侵。漏洞扫描修补功能可自动扫描系统漏洞，并提供系统漏洞补丁，杜绝安全隐患，防范上述病毒、新病毒及黑客对电脑的攻击。 1 邮件防毒：双向拦截邮件病毒 您收到过求职信病毒wantjob,klez发给您的带毒邮件吗？双向邮件防火墙无需更改邮件账号设置，兼容所有电子邮件软件**。可彻底查杀邮件病毒、过滤垃圾邮件。 2 聊天防毒：MSN/QQ/ICQ安全助手 您是否想过，您的MSN与QQ好友传过来的文件有可能带有病毒？金山毒霸继QQ安全助手和ICQ安全助手之后，又率先推出MSN安全助手。可自动防范将死者(Goner)等病毒，为您保证安全的网上聊天环境。 下载防毒：NetAnts/FlashGet安全助手 为保证您下载软件时不被病毒侵扰,下载安全助手嵌入到下载工具NetAnts、FlashGet中，在您下载软件的同时过滤可能藏有的病毒。 办公防毒：Office安全助手 金山毒霸通过嵌入Microsoft Office的安全助手保证您的办公安全，在您打开Word、Excel、PowerPoint文件时过滤文件中可能藏有的宏病毒。 双引擎杀毒 金山毒霸内置国内国际两套先进的杀毒引擎，对病毒进行双重过滤分析，第一时间拦截国际、国内病毒，杀毒更彻底，用户更放心。 查杀未知病毒 启发式扫描方式用人工智能算法基于可疑文件的行为判定未知病毒，可做到提前查杀未知病毒。对于脚本病毒、宏病毒的查杀尤为准确。 杀内存病毒 通过内存监控技术查杀病毒，即使是正在运行的病毒都可以做到

彻底清除。用户无需重启到DOS，即可以在Windows环境下实现对内存病毒查杀。 8 多种压缩格式查毒 支持ZIP、CAB、RAR、ARJ等多种流行压缩格式，可以进行无限层次压缩包和自解压文件中的病毒检测。同时,金山毒霸提供了WinZip安全助手，可在压缩和解压的过程中自动查杀病毒。 9 硬盘修复 对于CIH或其他病毒造成的电脑硬盘损坏，数据丢失，金山毒霸能够完善的修复硬盘扩展分区和主分区。 10 病毒隔离 对染毒文件进行有效隔离，同时以压缩方式保存，在防毒的同时有效地为您节省空间。 11 金山毒霸网页版 金山毒霸查杀功能在浏览器上的完全实现，即使不使用毒霸主程序也可以方便的对您的计算机进行查杀病毒。 12 金山毒霸大管家 将病毒防火墙、邮件防火墙等众多功能组件集成为一个系统栏图标 ,集中控制，方便用户的统一管理。 4.8.3 瑞星杀毒软件2003 日前从公安部计算机病毒防治产品检验中心获悉，我国反病毒领域取得重大突破――瑞星杀毒软件2003版以全面、强大、稳定、高效的防、杀毒能力，获得总分95分的最高分，成为在我国境内销售的所有国内外反病毒产品中的第一个、也是唯一一个“一级品”，一举改变了长期以来国内反病毒市场没有“一级品”的局面。 　　目前在国内市场上销售的所有国内、国外反病毒产品，都必须经过公安部计算机病毒防治产品检验中心的检测，以获得公安部的销售许可。根据以往的检测结果，所有通过检测的产品均为合格品或二级品，此前瑞星的每次检测结果都为二级品的最高分90分。本次检测瑞星总分高达95分，不仅突破了历次检测的最高分数，而且远远超过了“一级品”的　　

最低标准，是当前在我国境内销售的所有产品中当之无愧的第一名。 　　瑞星多年来坚持技术创新，对反病毒核心技术的理论研究和创新运用做了大量基础性工作，先后申请了六项专利技术，率先实现了行为判断未知病毒、智能解包还原、内存监控、NTFS兼容、协议层邮件监控等技术，攻克了一批国际上公认的技术难题，瑞星杀毒软件的品质得到了根本性的提升，使我国防病毒技术水平走到了世界前列。 　　此次瑞星杀毒软件2003版在检测中表现优异，全面超过了国内外同类产品，产品品质和功能实现了更大的突破，这是瑞星长期重视技术研发，投入巨资进行技术创新并实现产品化所结出的丰硕成果。 第5章 数据加密与压缩技术 5.1 数据加密概述 5.1.1 密码学的发展 密码学的发展：奴隶社会的羊皮加密；传统加密；现代加密 防密码分析的方法： （1）强壮的加密算法；（2）动态的会话密钥；（3）保护关键密钥： 加密会话密钥的密钥 2 基本概念 明文：信息的原始形式（Plaintext, P) 密文：明文经加密后的形式（Ciphertext， C） 加密：将明文变成密文的过程（Enciphering, E)，由加密算法实现 解密：将密文变成明文的过程（Deciphering, D)，由加解密算法实现 密钥：通信双方掌握的专门信息（Key, K) （1）单密码体制（对称密码体制） （2）双密码体制（非对称密码体制） 加密算法：C=EK（P） 解密算法：P=DK（C） 5.1.2 传统密码技术 1 数据表示方法 多种形式：文字，图形，声音，图像（机器中是二进制数据） 字母与数字可一一对应；

2 替代密码：字母替代字母 (1)单表替代密码：由一个字母表构成的替代密码。 凯撒密码（循环移位密码）：把明文中所有字母都用它右边的第K个字母替代，并认为Z后又是A。 F(a) = (a+k) mod n A:0,B:1,C:2,D:3;E:4,F:5,G:6,H:7,I:8,……,V:21,W:22,X:23,Y:24,Z:25 设k=3，明文COMPUTER F（C）= （2+3）MOD 26 =5=F，。。。。。。 F（R）= （17+3）MOD 26=20=U 密文C=FRPSXWHU 解密：D（R）=（17-3）MOD 26=14=O D（P）=（15-3）MOD 26=12=M 这种密码的明文与密文对应关系简单，安全性差。 乱序字母表：选密钥排在表的最前面，以后依次为为未出现的字母。例选密钥为HOW，新的字母表： HOWABCDEFGIJKLMNPQRSTUVXYZ。 密文中保留了明文中的单字母出现的频度。以下是频度高的字母 单字母：E，T，A，O，N 双字母：TH，HE，IN，ER，AN，RE，ED 三字母：THE，ING，AND，HER，ENT，ION (2) 多表替代密码：维吉利亚（Vigenere）密码 设密钥K=k1k2…kn, 明文M= m1m2…mn 则密文C= c1c2…cn Ci=(mi+ki) mod 26 例如：密钥为BAND，明文为RENAISSANCE（复兴） 明文：RENA ISSA NCE 密钥：BAND BAND BAN 密文：SEAD JSFD OCR

其加密过程就是以明文字母选列，以密钥字母选行，两者的交点就是密文字母；解密是以密钥字母选行，从中找到密文字母，密文字母所在列的列名就是明文字母。 换位密码 明文字母不变，但每个字母的位置改变了。 （1）列换位法：将明文字母分成N个一行的分组各组依次排列，最后不全的组用某个字母填满。密文由各列依次组成。 例如：明文WHAT YOU CAN LEARN FROM THIS BOOK，分成5个一行：W H A T Y O U C A N L E A R N F R O M T H I S B O O K X X X 密文：WOLFHOHUERIKACAOSXTARMBXYNNTOX （2）矩阵换位法：将明文中的字母按给定顺序安排在一矩阵中，然后用另一种顺序选出矩阵的字母就得到密文。 例如：明文ENGINEERING可按行排在3×4矩阵中，如下所示 1 2 3 4 E N G I N E E R I N G 给定置换： 1 2 3 4 f= 2 4 1 3 N I E G E R N E N I G 密文：NIEGERNE IG （密钥就是行数和列数： 3×4，置换f） 解密时由f的逆置换： 1 2 3 4 3 1 4 2

5.1.3 数据加密标准DES 在传统密码学和计算机技术发展的基础上，现代密码学得以飞速地建立和发展。反过来，计算机技术的发展，迫切需要与之相应的加密标准。为建立适用于计算机系统的民用密码，1973年5月和1974年8月，美国商业部国家标准局（NBS）再次发布通告，向社会征求密码算法。结果IBM公司的Lucifier算法中选。NBS公布了此算法，以求得公众评论。1977年1月，美国联邦信息处理标准第46号出版物，正式公布了“数据加密标准（即DES）”。 DES是重复使用移位变换和替代变换的分组密码，在本质上，它属于一种抗破译能力更强的乘积密码。其密钥长64位，其中包含8位数据校验位，它对分块输入的64位明文数据组进行加密，把明文转换成为等块长的64位密文输出，其密钥空间为 ２56１０17。 图5-18所示为DES加密算法过程概图。主要地表达了如下四个主要过程。 (1) 初始移位 对输入的64位明文，按“初始排列IP表”进行移位变换（即IP变换），例如明文中第58位移位后变成第一位，明文中第50位移位后变成第2位，…，移位对应关系见图示。通过IP变换，改变了64位明文的排列顺序，生成了两个长度分别为32位的数据块，左边的位构成了L0，右边的位构成了R0。这一步与密钥无关。

IP置换: 58 50 42 34 26 18 10 2 60          60 52 44 36 28 20 12 4 62  54 46 38 30 22 14 6 64  56 48 40 32 24 16 8 57   49 41 33 25 17 9 1 59  51 43 35 27 19 11 3 61 53 45 37 29 21 13 5 63 55 47 39 31 23 15 7 (2) 子密钥（密钥表）的生成 根据“子密钥生成算法”，对输入的64位密钥，进行移位选择，得到16个不同的子密钥，每个子密钥长48位。这些密钥说是64位，实际有效的只有56位；因为64位的密钥，系由8个字节组成，每字节8位，其中第8位，即密钥中的第8、16、24、32、40、48、56、64是校验位，并不参与密钥计算。密钥的作用是控制复杂的乘积变换。生成子密钥（密钥表）的主要过程如图所示。 K 57 49 41 33 25 17 9 63 55 47 39 31 23 15 1 58 50 42 34 26 18 7 62 54 46 38 30 22 10 2 59 51 43 35 27 14 6 61 53 45 37 29 19 11 3 60 52 44 36 21 13 5 28 20 12 4 PC-1置换 C0（28位） D0（28位） 循环左移1位 循环左移1位 C1（28位） D1（28位） 选择排列 K1 C15（28位） D15（28位） 选择排列 K16

其中选择排列详见教材第177页 （3）乘积变换 其中乘积变换框图如下 Li-1(32b) Ri-1(32b) 选择扩展运算E（48） Ke(56)   ki + 子密钥产生器 （48）   选择压缩运算S（32）   置换运算P + Li(32b) Ri(32b) Li= Ri-1 Ri= Li-1 + ( Ri-1, ki) i=1,2,……,16 其中选择扩展运算E（48） 详见教材第175页 选择压缩运算S（32）： 将48位数据按顺序分成8组，每组分成6位，这8组分别称为S盒的变换。 设Si的6个输入为b1b2b3b4b5b6,在S表中找出b1b6行，b2b3b4b5列的数字，就是变换后得到的4位输出结果。 例如S3的输入为110101：b1b6=(11)=3, b2b3b45b=(1010)=10,查表 S3(3,10)=14=(1110), S3的输出是1110 置换运算P: 16 7 20 21 29 12 28 17 1 15 23 26 5 18 31 10 2 8 24 14 32 27 3 9 19 13 30 6 22 11 4 25 乘积变换经过16轮迭代才输出。

5.1.4 公开密钥密码体制——RSA算法及应用 1.公开密钥密码体制 为了解决在计算机网络上安全地传送和保管密钥的问题。1977年由Diffie和Hellman在“密码学的新方向”一文中提出密钥交换协议，从而出现了公开密钥密码体制： 加密密钥（公开密钥）：不保密，解密密钥（秘密密钥）：保密 其特点是： （1）DKd(EKe(P))=P （2） DKe(EKe(P))≠P （3） 在计算机上容易产生成对的Ke和Kd （4）已知Ke推不出Kd （5）加密和解密运算可互换：EKe (DKd (P))=P 2.RSA公开密钥密码系统 又称MIT算法，由美国麻省理工学院的Rivest,Shamir和Adleman三学者提出。此算法是基于数论原理。 （1）    选择两个保密的大质数，p和q（应大于10100） （2）    计算 n=p×q n公开 求n的欧拉函数Φ(n) Φ(n)=(p-1) ×(q-1) （≤n并与n互质的数的数目） 例如，n=21,p=3,q=7 Φ(21)=12 与21互质的数1，2，4，5，8，10，11，13，16，17，19，20 （3） 从2—（Φ(n)-1）中任选一个与Φ(n)互质的数，作为加密指数e （4） 解同余方程 e×d=1 (modΦ(n)),得到解密指数d。 用整数P和C分别表示明文和密文（P<n,C<n）： 加密 C=Pe(mod n) 解密 P=Cd(mod n) 例如，选p=5,q=11,则n=55, Φ(55)=40 取e=7（从2—39），与40互质 解 7d=1(mod 40), 得到d=23 当明文P=2时，密文C=27（mod 55）=18 解密时，P=1823（mod 55）=18×182×184×1816（mod 55） =18×49×36×26（mod 55）=2

3 RSA的安全性 RSA算法的安全性基于对大数的因数分解很费时间： 比特 100 200 300 500 750 1000 时间 30秒 3天 9年 百万年 2×109年 6×1015年 若p>10100和q>10100，则n>10200≈2664 RSA算法的缺点是运算速度太慢。 RSA实验室认为n为512比特已不安全，建议至少为1024比特。 1991年6月美国数学家已找到最大数是10155的因数分解方法。1995年有人已经破译512比特的密文。RSA算法的安全性面临新的考验。 4 RSA的实用考虑 在网络用户之间传送会话密钥（DES的密钥） 5.2 数据压缩 5.2.1 数据压缩概述 为了节省网络资源（信道的带宽），实现多媒体数据传送： 数字化的视频和音频信号的数据量是非常大的。例如，一幅有中分辨率（640×480）的真彩色图像（24比特/像素），他的数据量约为7.37Mb/幀，一个100MB的硬盘只能存放约100幀图像。若要达到每秒25幀的全动态显示，每秒多需的数据量为184M比特，而且要求系统的数据传输率必须达到184M比特/秒。 数据压缩的指标： （1）压缩比大；（2）压缩算法要简单；（3）恢复效果好 目前常用的压缩编码方法分为两大类： 无损压缩（冗余压缩法，熵编码）；有损压缩法（熵压缩法） 5.2.2 Huffman编码 １．Huffman编码 Huffman编码的基本思想是，使用频率越高的字符其编码越短，称为频度依赖编码，Huffman 1952年给出的一种编码算法如下： 输入：所有待编码字符及其使用频率。 输出：每个字符的Huffman编码。 算法：以每个字符为叶节点，按如下构造Huffman编码树。

(1) 令所有叶节点为未标记节点。 (2) 如果未标识节点数少于2，则转(4)。 (3) 在未标识节点中找出频率最小的两个，给它们作上标记，并为它们建立一个父节点，用弧线将其和父节点相连。父节点为未标记节点，其频率为两个子节点频率之和，转(2)。 (4) 每个标记节点连到父节点的左弧线记为0，右弧线标记1，从根节点到叶节点将各弧线标记顺序排列，即得到各叶节点字符的HUFFMAN编码。 ２．举例说明 设有一源数据序列，包括A、B、C、D、E五个符号，它们出现的概率分别是0.40、0.18、0.15、0.15和0.12。Huffman编码的过程可用编码树来表示。Huffman树的构造过程如下。 (1) 将源数据符号按概率递减的顺序排列； (2)   取两个最小概率所对应的符号为叶节点，为这两个节点构造一个双亲节点，其概率为两个叶节点的概率之和，如图5-14；   (3)   把D、E节点的双亲节点按其概率的大小插入到数据符号列表中。如图5-15所示；

(4) 重复步骤(2)、(3)，直到全部节点被构造到Huffman树中，即到达根节点为止； A：0；B：100；C：101；D：110；E：111； 符号A在源数据中出现的概率最大，其代码最短；其它出现概率较小的符号的代码相对较长。这样，将会使代码的平均码长尽可能短。理论研究表明，Huffman编码方法是接近压缩比上限的一种较好的编码方法。   第6章 数据库系统安全 6.1 数据库安全概述 6.1.1 简介 数据库由数据库管理系统（DBMA）管理。 应用于客户机/服务器平台，数据共享就带来安全性问题。 6.1.2 数据库的特性 多用户 高可用性：被访问和更新的时间长度 频繁的更新 大文件：表的形式存储，有的高达几个G 6.1.3 数据库安全系统特性 1 数据独立性

（1）物理独立性：指物理结构（物理位置和物理设备等）的变化不影响应用结构及相应的应用程序 （2）逻辑独立性：指逻辑结构的变化不影响用户的应用程序 数据安全性 （1）数据的隔离；（2）使用授权规则；（3）数据加密 数据的完整性 （1）正确性：输入值与类型一致； （2）有效性：对数据值范围的约束，例如月份若输入为13； （3）一致性：不同用户读取的数据必须一致 并发控制：同时有多个用户访问数据库 故障恢复：对出信物理或逻辑上的错误，尽快使它恢复正常 6.1.4 数据库管理系统 DBMS的主要功能： 编译功能；执行数据库命令；提供数据的安全性和完整性；对用户的 识别，授权和访问控制；保证网络通信功能 数据库管理员（DBA）的职责： 决定数据库的信息内容和结构； 决定数据库的存储结构调整和存取策略； 定义数据的安全性要求和完整性约束条件； 确保数据库的安全性和完整性； 监督和控制数据库的使用和运行； 数据库系统的改进和重组 6.2 数据库的数据保护 6.2.1 数据库的故障类型 事务内部的故障 事务（Transaction）:指一个操作命令序列，是并发控制的单位。是一个不可分割的单位。COMMIT，ROLLBACK 内部的故障多发生于数据的不一致性，例如：T1读取数据B值为100修 改为200，则T2读取B值为200，但由于T1被撤消，B值恢复为100，而 T2读取的数据是200，与数据库内容不一致。

2 系统范围内的故障 又称软故障，指系统突然停止运行时造成的数据库故障。例如：CPU故障，OS故障 介质故障：硬故障 计算机病毒与黑客 6.2.2 数据库的数据保护 1 数据库的安全性 安全控制模型：详见教材第199页图示 （1）用户标识和鉴别：用户名和口令 （2）存取控制：不通的用户有不同的操作权力：查询，修改，索引的建立，数据库的创建等。按授权规则给予用户。 （3）数据分级：绝密级，机密级，秘密级和公用级。用户也分级 （4）数据加密：明键加密法（也是一种公开密钥算法） 数据的完整性：完整性约束条件来实现 （1）数据类型与值域的约束 （2）关键字约束 主关键字约束：惟一；外关键字约束：与另一表的主关键字的值匹配 （3）数据联系的约束 静态约束：例如单价，数量和金额；动态约束：新旧值之间的约束 SQL语言只能提供安全性控制，触发器保证数据的一致性和完整性。 数据库并发控制 数据库并发操作带来的问题：详见教材第202-203页的例子。 并发控制的主要方法：封锁技术（Locking） 基本的封锁类型是排它型锁（X封锁）。它可以解决前例中的问题。 （详见教材第204页） 6.3 死锁，活锁和可串行化 6.3.1 死锁与活锁 封锁的控制方法有可能引起死锁与活锁的问题： 活锁：某个事务永远处于等待状态。 解决的最常用方法是对事务进行排队，按“先进先出”的原则调度。

死锁：两个或两个以上的事务永远无法结束，彼此都在等对方解除封锁。详见教材第205页举例。 解决死锁问题的主要方法： （1）要求每个事务一次就将所有要使用的数据全部加锁，否则就不能执行。 （2）预先规定一个封锁顺序，所有事务都必须按这个顺序对数据执行封锁。例如树型结构的文件，可规定从根结点开始封锁。 （3）不预防死锁，用某种方法来判断有死锁存在时，再解除死锁。 6.3.2 可串行化 并行事务执行时，系统的调度是随机的。当并行操作的结果与串行操作的结果相同时，则认为这个并行事务处理结果是正确的。这个并行操作调度称为可串行化调度。 一个给定的交叉调度，当且仅当它是可串行化的，才是正确的。 6.3.3 时标技术 是保证数据库数据的完整性的方法。 时标：事务启动的时间。 时标确定了一组事务的一个特定的串行执行，若有冲突则通过撤消并重新启动一个事务来解决。 由于物理更新是在COMMIT之后，因此事务重启动不需要回滚。 若有多个事务访问同一个记录R，那么系统必须对R保持两个同步值： FMAX（成功执行“FIND R”操作的最年轻的事务的时标） UMAX（成功执行“UPD R”操作的最年轻的事务的时标） 设T 是企图既要“FIND R”又要“UPD R”的事务，t是T的时标。 并发控制的规则如下： FIND R : if t>=UMAX then /*接受FIND操作*/ FMAX : = max ( t, FMAX) ; else /*发生冲突*/ restart T ; UPD R : if t>=FAMX and t>=UMAX then /*接受UPD操作*/

UMAX := t ; else/*发生冲突*/ restart T ; 6.4 数据库的备份与恢复 6.4.1 数据库的备份 冷备份：能保持数据的完整性 热备份：依赖日志文件 逻辑备份：使用软件技术从数据库提取数据并将结果写入一个输出文件，它是表中所有数据的一个映像。 6.4.2 制定备份的策略 （1）备份周期：月，周，天，小时； （2）冷备份/热备份 （3）增量备份/全备份/两者同时用 （4）备份介质的选择：磁盘/磁带/光盘 （5）人工备份/自动备份 （6）备份介质的保存：防盗，防磁，防火 6.4.3 数据库的恢复：重新安装数据库的过程 1 数据库的恢复采用的办法： （1）周期性地对整个数据库进行转储：静态转储，动态转储 （2）对每次数据库的修改，都记录下修改前后的值，写入“运行日志”数集中。 利用日志文件恢复事务 （1）登记日志文件（logging） Log记录：事务标识，操作类型，更新前的值，更新后的值，时间 对数据库的修改是“先写日志文件”的原则。 （2）事务恢复 第一步：从日志文件中找出在发生故障时，哪些事务已结束和哪些事务没有结束（无COMMIT记录） 第二步：对没有结束的事务进行撤消处理（UNDO）；对已结束的事务进行重做（REDO） 有可能数据来不及存在外存上，存在数据的不一致性。

6.5 SQL Server数据库安全技术 6.5.1 SQL Server功能概述 系统管理员(sa)：DBA；安装SQL Server和配置数据库服务器；创建和维护数据库设备及数据库；安全管理；备份和恢复数据库；故障诊断；性能优化；磁盘镜像等 数据库拥有者（DBO）：创建数据库的用户 数据库对象拥有者（DBOO）：创建数据库对象（表，索引，视图触发器和存储过程等）的用户 数据库用户：只有经授权后才拥有对数据库对向的操作权 6.5.2 SQL Server的安全模式 （1）标准安全模式：默认安全模式， SQL Server独立管理数据库安全 （2）集成安全模式：Windows NT的用户就是SQL Server的用户 （3）混合安全模式：允许使用上述两种模式的一种来认证 6.5.3 创建用户和用户组 安装SQL Server后只有两个用户：sa, guest 1 为SQL Server增加用户：sp_addlogin系统存储过程； 2 为数据库增加用户：sp_adduser存储过程 3 创建组：sp_addgroup;一个用户只能属于一个组（public组除外） 4 口令：用系统存储过程sp_password来修改口令 6.5.4 权限管理 语句权限管理：对用户执行语句或命令的权限管理； 对象权限管理：是sa,DBO,DBOO对数据库及其对象的操作权限的控制 6.5.5 SQL Server的备份 1 SQL Server的备份类型：全备份；增量备份；表备份 2 创建备份：（1）备份数据库：DUPM DATABASE命令 （2）备份事务处理日志：DUMP TRANSACTION；备份master 6.5.6 SQL Server的恢复 1 恢复数据库：用SP_dbremove先删除有错的数据库，再用LAOD DATABASE装入备份数据库 2 使用事务处理日志: LAOD TRANSACTION 3恢复master 数据库：详见教材第216页 4恢复丢失的设备：DISK REINIT和 DISK REFTT

第7章 网络站点的安全 7.1 因特网的安全 7.1.1 因特网介绍 7.1.2 TCP/IP协议 7.1.3 因特网服务的安全隐患 1．电子邮件 一个安全问题是邮件的溢出，即无休止的邮件耗尽用户的存储空间（包括链式邮件）。而邮件系统，可以发送包含程序的电子邮件，这种程序如果在管理不严格的情况下运行能产生“特洛伊木马” 。 2．文件传输（FTP） 匿名FTP是ISP的一项重要服务，它允许用户通过FTP，访问FTP服务器上的文件，这时不正确的配置将严重威胁系统的安全。因此需要保证使用它的人不会申请系统上其它的区域或文件，也不能对系统做任意的修改。 3．远程登录（Telnet） Telnet早期是比较安全的，它要用户认证。但Telnet送出的所有信息是不加密的，很容易被黑客攻击。现在Telnet被认为是从远程系统申请你的站点时最危险的服务之一。 4．用户新闻（Usenet News） 像电子邮件一样，用户新闻具有危险性，并且大多数站点的新闻信息量大约6个月翻一番，很容易造成溢出。为了安全起见，一定要配置好新闻服务。 很多站点建立了预定的本地新闻组以便于本地用户间进行讨论。这些新闻组往往包含秘密的、有价值的或者是敏感的信息。有些人可以通过NNTP服务器私下申请这些预定新闻组，结果造成泄密。

5．万维网（WWW） 搜索 Web文件的工具是浏览器，而浏览器由于灵活而倍受用户的欢迎，而灵活性也会导致控制困难。浏览器比FTP服务器更容易转换和执行，但是一个恶意的侵入也就更容易得到转换和执行。浏览器一般只能理解基本的数据格式如 HTML、JPEG和GIF格式。对其它的数据格式，浏览器要通过外部程序来观察。一定要注意哪些外部程序是默认的，不能允许那些危险的外部程序进入站点。用户不要随便的增加外部程序，随便修改外部程序的配置 7.1.4 因特网的安全问题及其原因 因特网会受到严重的与安全有关的问题的损害。忽视这些问题的站点将面临被闯入者攻击的危险，而且可能给闯入者攻击其它的网络提供了基地。 1．认证环节薄弱性 因特网的许多事故的起源是因为使用了薄弱的、静态的口令。因特网上的口令可以通过许多方法破译，其中最常用的两种方法是把加密的口令解密和通过监视信道窃取口令。一些TCP或UDP服务只能对主机地址进行认证，而不能对指定的用户进行认证。 2．系统易被监视性 应该注意到当用户使用Telnet或FTP连接到远程主机上的账户时，在因特网上传输的口令是没有加密的，这很重要。那么侵入系统的一个方法就是通过监视携带用户名和口令的IP包获取，然后使用这些用户名和口令通过正常渠道登录到系统。如果被截获的是管理员的口令，那么获取特权级访问就变得更容易了。 3．易被欺骗性 主机的IP地址被假定为是可用的，TCP和UDP服务相信这个地址。问题在于，如果将攻击者的主机冒充一个被信任的主机或客户就危险了。

例：攻击者假扮成某一特定服务器的可信任的客户。 （l）攻击者要使用那个被信任的客户的IP地址取代自己的地址。 （2）攻击者构造一条要攻击的服务器和其主机间的直接路径，把被信任的客户作为通向服务器路径的最后节点。 （3）攻击者用这条路径向服务器发出客户申请。 （4）服务器接收客户申请，就好像是从可信任客户直接发出的一样，然后返回响应。 （5）可信任客户使用这条路径将数据包向前传送给攻击者的主机。 因特网的电子邮件是最容易被欺骗的，因此没有被保护（例如使用数字签名）的电子邮件是不可信的。 例：考虑当Unix主机发生电子邮件交换时的情形，交换过程是通过一些有ASCII字符命令组成的协议进行的。闯入者可以用Telnet直接连到系统的SMTP端口上，手工键入这些命令。接收的主机相信发送的主机，那么有关邮件的来源就可以轻易地被欺骗，只需输入一个与真实地址不同的发送者地址就可做到这一点。这导致了任何没有特权的用户都可以伪造或欺骗电子邮件。 4．有缺陷的局域网服务 一些数据库（例如口令文件）以分布式管理，允许系统共享文件和数据。但这些服务带来了不安全因素，可以被有经验的闯入者利用以获得访问权。如果一个中央服务系统遭到损害。那么其它信任该系统的系统会更容易遭到损害。 一些系统允许主机们互相“信任”。如果一个系统被侵入或欺骗，那么对于闯入者来说，获取那些信任它的访问权就很简单了。

5．复杂的设备和控制 对主机系统的访问控制配置通常很复杂而且难以验证其正确性。因此，偶然的配置错误会使闯入者获取访问权。 许多因持网上的安全事故的部分起因是由那些被闯入者发现的弱点造成的。由于目前大多数Unix系统都是从BSD获得网络部分的代码，而BSD的源代码又可以轻易得到，所以闯入者可以通过研究其中可利用的缺陷来侵入系统。存在缺陷的部分原因是因为软件的复杂性，而且没有能力在各种环境中进行测试。 6．主机的安全性无法估计 主机系统的安全性无法很好地估计，随着每个站点的主机数量的增加，确保每台主机的安全性都处于高水平的能力却在下降。只用管理一台系统的能力来管理如此多的系统就很容易犯错误。另一个因素是系统管理的作用经常变换并且行动迟缓。这导致一些系统的安全性比另一些要低。这些系统将成为薄弱环节，最终将破坏这个安全链。 7.2 Web站点的安全 7.2.1 Web站点的安全 7.2.2 Web站点的安风险类型 两类：机密信息被窃取；数据软硬件系统被破坏 7.2.3 安全策略制定原则 1．基本原则：每个Web站点都应有一个安全策略，在制定安全策略之前，首先应当先做威胁分析： （1）有多少外部入口点存在，能想象到什么威胁？ （2）威胁来自网络内部还是网络外部？威胁来自黑客还是有知识的入侵者？ （3）威胁来自工业间谍？ （4）入侵者将访问哪些数据库、表、目录或信息？ （5）威胁是网络内部的非授权使用还是移动数据？ （6）数据被破坏还是受到了攻击，或是网络内外非授权的访问、地址欺骗、IP欺骗、协议欺骗等等？

2．服务器记录原则 大多数Web服务器记录它们收到的每一次联接和访问。这个记录通常包括IP地址和主机名。如果站点采取任何形式的验证系统，服务器也会记录用户名。如果用户在逗留期间填写任何表格，该表格下所有变量的值都会被记录在案。请求的状态、传递数据的大小、用户E-mail地址等都会被记录下来。一些浏览器和服务器一样，甚至也能提供如有关使用中的浏览器、URL、客户从哪里来以及用户的E-mail地址等信息。这些记录对于分析服务器的性能，发现和跟踪黑客袭击是有用的。 Web服务器记录的如下信息，会对用户构成威胁。 （1）IP地址。 （2）服务器/宿主名字。 （3）卸载时间。 （4）用户名（可通过用户授权来了解，或在Unix中通过标识协议获得）。 （5）URL要求。 （6）以用户在会话期间常用的形式及出现的可变数据。 （7）要求的状态。 （8）数据传输尺寸。 7.2.4 配置Web服务器的安全特性 通常，如果IP地址设置不正确，就不能转换。一旦 Web服务器获得 IP地址和客户可能的域名，它就开始一系列验证手段以决定客户是否有权访问他要求访问的文档。这里，有几个安全漏洞： （l）客户可能永远得不到要求的信息，因为服务器伪造了域名。客户可能无法获得授权访问的信息。 （2）服务器可能向另一用户发送信息，因为伪造了域名。 （3）误认闯入者是合法用户，服务器可能允许闯入者访问。

加强服务器的安全，有以下几个步骤： （1）认真配置服务器，使用它的访问和安全特性。 （2）可将Web服务器当作无权的用户运行。 （3）检查驱动器和共享的权限，将系统设为只读状态。 （4）可将敏感文件放在基本系统中，再设二级系统，所有的敏感数据都不向因特网开放。 （5）充分考虑最糟糕的情况后，配置自己的系统。 （6）检查 HTTP服务器使用的Applet脚本和客户交互作用的CGI脚本。防止外部用户执行内部指令。 （7）建议在Windows NT服务器上运行Web服务器，这样安全，尽管它不能提供像Unix和Sun那么多的功能。 7.2.5 排除站点中的安全漏洞 最基本的安全措施是排除站点中的安全漏洞，使其降到最少，通常表现为以下四种方式： （1）物理的漏洞由未授权人员访问引起，由于他们能浏览那些不被允许的地方。用户不仅能浏览Web，而且可以改变浏览器的配置并取得站点信息，例如IP地址，DNS入口等。 （2）软件漏洞是由“错误授权”的应用程序引起。例如脚本和Applet ，它会执行不应执行的功能。一条首要规则是，不要轻易相信脚本和Applet。使用时，应确信能掌握它们的功能。 （3）不兼容问题漏洞是由不良系统集成引起。一个硬件或软件运行时可能工作良好，一旦和其它设备集成后（例如作为一个系统），就可能会出现问题。这类问题很难确认，所以对每一个部件在集成进入系统之前，都必须进行测试。 （4）缺乏安全策略。如果用户用他们的电话号码作为口令，无论口令授权体制如何安全都没用。必须有一个包含所有安全必备（如覆盖阻止等）的安全策略。

7.2.6 监视控制Web站点出入情况 为了防止和追踪黑客闯入和内部滥用，需要对Web站点上的出入情况进行监视控制。 1．监控请求 （1）服务器日常受访次数是多少？受访次数增加了吗？ （2）用户从那里连接的？ （3）一周中哪天最忙？一天中何时最忙？ （4）服务器上哪类信息被访问？哪些页面最受欢迎？每个目录下有多少页被访问？ （5）每个目录下有多少用户访问？访问站点的是哪些浏览器？与站点对话的是哪种操 作系统？ （6）更多的选择哪种提交方式？ 2．测算访问次数 如果想了解有多少人知道你的站点，他们到底关心什么，访问次数是一个很重要的指标。这个指标直接影响安全保护，也会促进安全性的提高和改善。 （1）确定站点访问次数。访问次数是一个原始数字，仅仅描述了站点上文件下载的平均数目。 （2）确定站点访问者数目。实际上，得到的数据是站点上某个文件被访问的次数。显然，将访问次数与主页文件联系在一起时，该数字接近于某个时期内访问者数目，但也不是百分之百的准确。 3．传输 如果客户机不能与站点建立联系（更不用说联接和交换数据了）的话，那么这个站点实际上算不上是一个站点。通常认为，Web由传输协议、数据格式（HTML）及浏览器组成。使用协议、数据格式或浏览器，无需任何特别要求。因此，使用Web浏览器、Web专用协议和Web专用数据格式等工具，就可以建立Web联接。 4．传输更新：不断更新是Web站点成长的关键。Web站点的连接信息必须不停地更新、重建与改变，否则，将严重限制Web站点的服务质量。一般来说，Web站点只允许单一种类的文本作为联接资源。

7.3. 黑客 7.3.1 黑客与入侵者 黑客是英文hacker的译音，原意为热衷于电脑程序的设计者，指对于任何计算机操作系统的奥秘都有强烈兴趣的人。黑客大都是程序员，他们具有操作系统和编程语言方面的高级知识，知道系统中的漏洞及其原因所在，他们不断追求更深的知识，并公开他们的发现，与其它人分享，并且从来没有破坏数据的企图。黑客在微观的层次上考察系统，发现软件漏洞和逻辑缺陷。他们编程去检查软件的完整性。黑客出于改进的愿望，编写程序去检查远程机器的安全体系，这种分析过程是创造和提高的过程。 入侵者（攻击者）指怀着不良的企图，闯入远程计算机系统甚至破坏远程计算机系统完整性的人。入侵者利用获得的非法访问权，破坏重要数据，拒绝合法用户的服务请求，或为了自己的目的故意制造麻烦。入侵者的行为是恶意的，入侵者可能技术水平很高，也可能是个初学者。 黑客指利用通信软件通过网络非法进入他人系统，截获或篡改计算机数据，危害信息安全的电脑入侵者。黑客们通过猜测程序对截获的用户账号和口令进行破译，以便进入系统后做更进一步的操作。 9.3.2 黑客攻击的三个阶段 1．信息收集 信息收集的目的是为了进入所要攻击的目标网络的数据库。黑客会利用下列的公开协议或工具，收集驻留在网络系统中的各个主机系统的相关信息。 SNMP协议：用来查阅网络系统路由器的路由表，从而了解目标主机所在网络的拓扑结构及其内部细节。 TraceRoute程序：能够用该程序获得到达目标主机所要经过的网络数和路由器数。

Whois协议：该协议的服务信息能提供所有有关的DNS域和相关的管理参数。 DNS服务器：该服务器提供了系统中可以访问的主机的IP地址表和它们所对应的主机名。 Finger协议：用来获取一个指定主机上的所有用户的详细信息，如用户注册名、电话号码、最后注册时间以及他们有没有读邮件等。 Ping程序：可以用来确定一个指定主机的位置。 自动Wardialing软件：可以向目标站点一次连续拨出大批电话号码，直到遇到某一正确的号码使其MODEM响应。 2．系统安全弱点的探测 在收集到攻击目标的一批网络信息之后，黑客会探测网络上的每台主机，以寻求该系统的安全漏洞或安全弱点，黑客可能使用下列方式自动扫描驻留在网络上的主机。 （1）自编程序。黑客发现 “补丁”程序的接口后会自己编写程序，通过该接口进入目标系统。 （2）利用公开的工具。利用这些工具可以对整个网络或子网进行扫描，寻找安全漏洞。 3．网络攻击 黑客使用上述方法，收集或探测到一些“有用”信息之后，就可能会对目标系统实施攻击。 （1）试图毁掉攻击入侵的痕迹，并在受到损害的系统上建立另外的新的安全漏洞或后门，以便在先前的攻击点被发现之后，继续访问这个系统。 （2）在目标系统中安装探测器软件，包括特洛伊木马程序，用来窥探所在系统的活动，收集黑客感兴趣的一切信息，如Telnet和FTP的账号名和口令等。 （3）进一步发现受损系统在网络中的信任等级，这样黑客就可以通过该系统信任级展开对整个系统的攻击。

7.3.3 对付黑客入侵 “被侵入”指的是网络遭受到非法闯入的情况。这种情况分为不同的程度： （1）入侵者只获得访问权（一个登录名和口令）； （2）入侵者获得访问权，并毁坏、侵蚀或改变数据； （3）入侵者获得访问权，并获得系统一部分或整个系统控制权，拒绝拥有特权用户的访问； （4）入侵者没有获得访问权，而是用不良的程序，引起网络持久性或暂时性的运行失败、重新启动、挂起或其它无法操作的状态 1．发现黑客 如果黑客破坏了站点的安全性，则应追踪他们。可以用一些工具帮助发现黑客。在Unix平台检查系统命令，如：rm、login、/bin/sh及perl等的使用情况。在Windows NT平台上，可以定期检查Event Log中的Security Log，以寻找可疑行为。 2．应急操作 万一事故发生，应按如下步骤进行。 （l）估计形势 ①黑客是否已成功闯入站点？果真如此，则不管黑客是否还在那里，必须迅速行动。 ②黑客是否还滞留在系统中？若是，需尽快阻止他们。 ③可以关闭系统或停止有影响的服务（ FTP、Gopher、Telnet等），甚至可能需要关闭因特网连接。 ④侵入是否有来自内部威胁的可能呢？若如此，除授权者之外，千方小心莫让其他人知道你的解决方案。 ⑤是否了解入侵者身份？若想知道这些，可预先留出一些空间给入侵者，从中了解一些入侵者的信息。 （2）切断连接 一旦了解形势之后，首先应切断连接，具体操作要看环境。

①能否关闭服务器？需要关闭它吗？若有能力，可以这样做。若不能，可关闭一些服务。 ②是否关心追踪黑客？若打算如此，则不要关闭因特网连接，因为这会失去入侵者的踪迹。 ③若关闭服务器，是否能承受得起失去一些必须的有用系统信息的损失？ （3）分析问题 必须有一个计划，合理安排时间。当系统已被入侵时，应全盘考虑新近发生的事情，当已识别安全漏洞并将进行修补时，要保证修补不会引起另一个安全漏洞。 （4）采取行动 3．抓住入侵者 抓住入侵者是很困难的，特别是当他们故意掩藏行迹的时候。机会在于你是否能准确击中黑客的攻击。这将是偶然的，而非有把握的。然而，尽管击中黑客需要等待机会，遵循如下原则会大有帮助。 （1）注意经常定期检查登录文件。特别是那些由系统登录服务和wtmp文件生成的内容。 （2）注意不寻常的主机连接及连接次数通知用户。 （3）注意那些原不经常使用却突然变得活跃的账户。应该禁止或干脆删去这些不用的账户。 （4）预计黑客经常光顾的时段里，每隔10分钟运行一次shell script文件，记录所有的过程及网络联接

7.4 口令安全 7.4.1 口令破解过程 1．硬件问题 要进行成功的大型口令文件的破解活动，机器至少应该具备66 MHz主频和32 MB内存（或更高）。 采用分布式破解法（Distributed Cracking）破解口令。分布式破解法就是入侵者用独立的几个进程，并行地执行破解工作，其实现有几种方法，其中之一就是把口令文件分解成几块，在各自独立的机器上分别破解这几块文件。通过这种方法，破解工作被分散到不同工作站上进行，花费的时间和资源就少了。 2．口令破解机制 字表被送到加密进程加密，通常是一次加密一个单词。加密过程中使用了各种规则，每加密一个单词，就把它与目标口令（同样是加密的）对比，如果不匹配，就开始处理下一个单词。 有些“口令入侵者”执行过程与此不同，它们取出整个字表，应用一条规则进行加密，从而生成下一个字表，这个字表再加密，再与目标口令匹配。这两种方法没有实质性的区别，只是第二种方法可能更快些。 最终如果有一个单词与目标口令匹配，则认为口令被破解，相应的明码正文单词被存入文件。 9.4.2 设置安全的口令 安全的口令是那些很难猜测的口令。难猜测的原因是因为同时有大小写字符，不仅有字符，还有数字、标点符号、控制字符和空格，另外，还要容易记忆、至少有7到8个字符长和容易输入。 不安全的口令往往是：任何名字，包括人名、软件名、计算机名甚至幻想中事物的名字，电话号码或者某种执照的号码，社会保障号，任何人的生日，其它很容易得到的关于自己的信息，一些常用的词，任何形式的计算机中的用户名，在英语字典或者外语字典中的词，地点名称或者一些名词，键盘上的一些词，任何形式的上述词再加上一些数字。

保持口令的安全有以下几点建议： （l）不要将口令写下来。 （2）不要将口令存于终端功能键或调制解调器的字符串存储器中。 （3）不要选取显而易见的信息作口令。 （4）不要让别人知道。 （5）不要交替使用两个口令。 （6）不要在不同系统上使用同一口令。 （7）不要让人看见自己在输入口令。 7.5 网络监听 网络监听工具是提供给管理员的一类管理工具。使用这种工具，可以监视网络的状态、数据流动情况以及网络上传输的信息。但是网络监听工具也是黑客们常用的工具。当信息以明文的形式在网络上传输时，便可以使用网络监听的方式进行攻击。将网络接口设置在监听模式便可以源源不断地将网上的信息截获。网络监听可以在网上的任何一个位置实施，如局域网中的一台主机、网关上或远程网的调制解调器之间等。黑客们用得最多的是截获用户的口令。 7.5.1 监听的可能性 在一些传输介质上，信息有被监听的可能性。在网络上，监听效果最好的地方是在网关、路由器和防火墙一类的设备处，通常由网络管理员来操作。使用监听最方便的地方是在一个以太网中的任何一台连网的主机上。 Ethernet网是一个广播型的网络。困扰着因特网的大多数包监听事件都是一些运行在一台计算机中的包监听程序的结果。 尽管令牌网并不是一个广播型网络，但带有令牌的那些包在传输过程中，平均要经过网络上一半的计算机。高的数据传输率使监听变得困难。

电话线可以被一些电话公司协作人或者一些有机会在物理上访问到线路的人搭线窃听。在微波线路上的信息也会被截获。在实际中，高速的调制解调器将比低速的调制解调器搭线窃听困难一些，因为高速调制解调器中引入了许多频率。 使用有线电视信道发送IP数据包的系统依靠RF调制解调器。RF使用一个TV通道用于上行和下行。在这些线路上传输的信息没有加密，因此，可以被一些可以从物理上访问到TV电缆的人截获。 无线电本来就是一个广播型的传输媒介。任何有一个无线电接收机的人都可以截获那些传输的信息。 7.5.2 在以太网中的监听 只须安装一个监听软件，然后就可以坐在机器旁浏览监听到的信息了。 以太网协议的工作方式为将要发送的数据包发往连接在一起的所有主机。在包头中包括着应该接收数据包的主机的正确地址。因此，只有与数据包中目标地址一致的那台主机才能接收数据包。但是，当主机工作在监听模式下，无论数据包中的目标物理地址是什么，主机都将接收。 数字信号到达一台主机的网络接口时，在正常情况下，网络接口读入数据帧，然后进行检查，如果数据帧中携带的物理地址是自己的，或者物理地址是广播地址，将由数据帧交给上层协议软件，也就是IP层软件，否则就将这个帧丢弃。对于每一个到达网络接口的数据帧，都要进行这个过程。然而，当主机工作在监听模式下，则所有的数据帧都将交给上层协议软件处理。局域网的这种工作方式，一个形象的例子是，大房间就像是一个共享的信道，里面的每个人好像是一台主机。人们所说的话是信息包，在大房间中到处传播。当我们对其中某个人说话时，所有的人都能听到。但只有名字相同的那个人，才会对这些话语做出反应，进行处理。其它的人听到了这些话语，因为名字不是自己，则忽略这些话语。

当连接在同一条电缆或集线器上的主机被逻辑地分为几个子网时，如果主机处于监听模式下，它还能接收到发向与自己不在同一子网（使用了不同的掩码，IP地址和网关）的主机的那些信包。也就是说，在同一条物理信道上传输的所有信息都可以被接收到。但不能监听不在同一个网段的计算机传输的信息。一台计算机只能监听经过自己网络接口的那些信息包。 要使主机工作在监听模式下，需要向网络接口发送I/O控制命令，将其设置为监听模式。在Unix系统中，发送这些命令需要超级用户的权限。但是，在Windows 98中，则没有这个限制。只要运行这一类的监听软件即可。 7.5.3 网络监听的检测 网络监听本来是为了管理网络，监视网络的状态和数据流动情况。但是由于它能有效地截获网上的数据，因此也成了网上黑客使用得最多的方法。监听只能是同一网段的主机。这里同一网段是指物理上的连接，因为不是同一网段的数据包，在网关就被滤掉，传不到该网段来。 网络监听最有用的是获得用户口令。当前，网上的数据绝大多数是以明文的形式传输。而且口令通常很短且容易辨认。当口令被截获后，则可以非常容易地登上另一台主机。 1．简单的检测方法 当系统运行网络监听软件时，系统因为负荷过重，因此对外界的响应很慢。 （l）对于怀疑运行监听程序的机器，用正确的 IP地址和错误的物理地址去ping，运行监听程序的机器会有响应。这是因为正常的机器不接收错误的物理地址，处于监听状态的机器能接收。 （2）往网上发大量不存在的物理地址的包，由于监听程序将处理这些包，将导致性能下降。通过比较前后该机器性能加以判断。这种方法难度比较大。

（3）一个可行的检查监听程序的方法是搜索所有主机上运行的进程。那些使用Windows 98的机器很难做到这一点。而使用Unix和Windows NT的机器可以很容易地得到当前进程的清单。 2．对付一个监听 加密是一个很好的办法，可以保证那些秘密数据（用户名和口令）的安全传输不被监听和偷换。 安全壳 SSH-Secure Shell是一种在像Telnet那样的应用环境中提供保密通信的协议，它实现了一个密钥交换协议，以及主机及客户端认证协议。SSH完全排除了在不安全的信道上通信被监听的可能性。 SSH软件包包括一些工具：ssd是运行于Unix服务器主机上的服务程序，它监听来自客户主机的连接请求，当接收到一个连接请求，它就进行认证，并开始对客户端进行服务， SSH客户程序，用来登录到其它主机去，或者在其它主机上执行命令。scp用来安全地将文件从一台主机复制到另一台主机去。 3．其它防范监听的方法 一般能够击败网络监听的方法是使用安全的拓扑结构。这种技术通常被称为分段技术。它将网络分成一些小的网络，每一网段的集线器被连接到一个交换器上（Switch）。因为网段是硬件连接的，因而包只能在该子网的网段内被监听工具截获。这样，网络中剩余的部分（不在同一网段的部分）就被保护了。用户也可以使用网桥或者路由器来进行分段。这可能更加合适一些，但取决于网络的结构和财力。

7.6扫描器 7.6.1 什么是扫描器 扫描器是自动检测远程或本地主机安全性弱点的程序。通过使用扫描器可以不留痕迹的发现远程服务器的各种TCP端口的分配、提供的服务和软件版本，这就能间接地或直观地了解到远程主机所存在的安全问题。 真正的扫描器是TCP端口扫描器，扫描器可以搜集到关于目标主机的有用信息（比如，一个匿名用户是否可以登录等）。而其它所谓的扫描器仅仅是Unix网络应用程序，Unix平台上通用的rusers和host命令就是这类程序 7.6.2 端口扫描 1．端口 许多TCP/IP程序可以通过因特网启动，这些程序大都是面向客户/服务器的程序。当主机接收到一个连接请求时，它便启动一个服务，与请求客户服务的机器通信。为简化这一过程，每个应用程序（例如FTP、Telnet）被赋予一个唯一的地址，这个地址称为端口。 2．端口扫描工具 使用端口扫描工具也是一种获取主机信息方法。端口扫描程序是一个非常简便实用的工具它可以帮助系统管理员更好地管理系统与外界的交互。 7.6.3 扫描工具 1．SATAN SATAN是一个分析网络的安全管理和测试、报告工具。用它可收集网络上的主机的许多信息，并可以识别组的报告与网络相关的安全问题。下面是SATAN扫描的一些系统漏洞和具体扫描的内容。 FTPD脆弱性、NFS脆弱性、NIS脆弱性，NIS口令文件可被任何主机访问、RSH脆弱性、Sendmail服务器脆弱性、X服务器访问控制无效、借助TFTP对任意文件的访问、对写匿名FTP根目录可进行写操作。

2．网络安全扫描器NSS NSS是一个非常隐蔽的扫描器它运行速度非常快，可以执行下列常规检查： （l）Sendmail； （2）匿名FTP； （3）NFS出口； （4）TFTP； （5）Hosts.equiv； （6）Xhost。 3．Strobe 超级优化TCP端口检测程序Strobe是一个TCP端口扫描器，它可以记录指定机器的所有开放端口。Strobe运行速度快，其作者声称在适当的时间内，便可扫描整个一个小国家的机器。Strobe的主要特点是，它能快速识别指定机器上正在运行什么服务 。 Strobe的主要不足是这类信息很有限，一次Strobe攻击充其量可以提供给“入侵者”一个粗略的指南，告诉什么服务可以被攻击。 7.7 E-mail的安全 7.7.1 E-mail工作原理及安全漏洞 1 E-mail工作原理：用户代理，传送代理，接受代理（SMTP，POP） 2 E-mail的安全漏洞 信息在传送过程中通常会做几次短暂停留。因为其它的E-mail服务器会查看信头，以确定该信息是否发往自己，如果不是，服务器会将其转送到下一个最可能的地址。 E-mail服务器有一个“路由表”，在那里列出了其它E-mail服务器的目的地的地址。当服务器读完信头，意识到信息不是发给自己时，它会迅速将信息送到目的地服务器或离目的地最近的服务器。 E-mail服务器向全球开放，它们很容易受到黑客的袭击。信息中可能携带会损害服务器的指令

7.7.2 匿名转发 在正常的情况下，发送电子邮件会尽量将发送者的名字和地址包括进邮件的附加信息中。但是，有时侯，发送者希望将邮件发送出去而不希望收件者知道是谁发的。这种发送邮件的方法被称为匿名邮件。 实现匿名的一种最简单的方法，是简单地改变电子邮件软件里的发送者的名字。但这是一种表面现象，因为通过信息表头中的其它信息。仍能够跟踪发送者。而让你的地址完全不出现在邮件中的唯一的方法是让其他人发送这个邮件，邮件中的发信地址就变成了转发者的地址了。 7.7.3 E-mail欺骗 欺骗性E-mail会制造安全漏洞。E-mail欺骗行为的一些迹象是：E-mail假称来自系统管理员，要求用户将他们的口令改变为特定的字串，并威胁如果用户不照此办理，将关闭用户的账户。 由于简单邮件传输协议（SMTP）没有验证系统，伪造E-mail十分方便。如果站点允许与SMTP端口联系，任何人都可以与该端口联系，并以你甚至虚构的某人的名义发出E-mail。 凡是E-mail附件是可执行文件（.exe、.com）及WORD/EXCEL文档（包括.do？和.xl？等），切不可随便打开或运行，除非你非常确定它不是恶意程序。 7.7.4 E-mail轰炸和炸弹 1．E-mail轰炸 E-mail轰炸可被描述为不停地接到大量同一内容的E-mail。 2．E-mail炸弹 UP Yours是最流行的炸弹程序，它使用最少的资源，做了超量的工作，有简单的用户界面以及尝试着去隐蔽攻击者的地址源头。 防治E-mail炸弹的办法是删除文件或进入一种排斥模式。

7.7.5 保护E-mail 最有效的保护E-mail的方法是使用加密签字，如“Pretty Good Privacy”（ PGP），来验证E-mail信息。通过验证E-mail信息，可以保证信息确实来自发信人，并保证在传送过程中信息没有被修改。 PGP运用了复杂的算法，操作结果产生了高水平的加密，系统采用公钥/私钥配合方案，在这种方案中，每个报文只有在用户提供了一个密码后才被加密。 应阻止SMTP端口的直接连接，避免收发欺骗性的E-mail。设置一个防火墙，公司外部的SMTP连接到一个E-mail服务器上，以使站点只有一个E-mail入口。 7.8 特洛伊木马程序 是一种恶意程序，但不是病毒。 特洛伊木马程序是表面上做一件事情，其实做另外事情的程序，或者是一种未经授权的程序，包含在一段正常的程序中。 7.8.1特洛伊木马程序代表哪一级别的危险 难以发现；在二进制代码中发现，不可阅读；存在任何OS及平台 7.8.2 发现特洛伊木马程序 在二进制文件中；没有被编译的可执行文件中；可疑代码 7.8.3 检测特洛伊木马程序 1 使用“object reconciliation”技术：版本比较 2 检查文件的大小 3 检测特洛伊木马程序的MD5技术：数字签名（报文摘要） 7.8.4 蠕虫 是一种恶意程序，通过网络连接把自身复制到其他系统，不修改目标主机的其他程序，主要是大量地消耗系统资源和带宽。

7.9IP电子欺骗 7.9.1 盗用IP地址 一台主机能否使用另外的IP地址呢？如果在同一个子网中，并且具有该IP地址的主机未开机，那么盗用者可以放心地使用这个IP地址，唯一留下马脚的是物理地址有可能被记录下来。如果盗用的是另一网段一台主机的IP地址，一般情况下是不行的，因为在正常通信时，将收不到从对方返回的IP数据包。因此，盗用IP应该是只能盗用本网段的IP。原因是最简单的网段，也要有一个路由器作为出口，在路由器的配置中，要指定这个网段的网络地址和掩码。如果这个网段的主机使用了其它网段的IP，则路由器不认为这个IP是属于它的网段，所以不给转发。 防止盗用IP可以绑定IP和物理地址。这是因为在一个网段内的网络寻址不是依靠IP而是物理地址。IP只是在网际间寻址使用的。因此在网段的路由器上有IP和物理的动态对应表。这是由ARP协议来生成并维护的。配置路由器时，可以指定静态的ARP表，这样路由器会根据静态ARP表检查数据，如果不能对应，则不进行处理。所以通过设置路由器上的静态APR表，可以防止在本网段盗用IP。 7.9.2 什么是IP电子欺骗 所谓IP电子欺骗，就是伪造某台主机的IP地址的技术。其实质就是让一台机器来扮演另一台机器，以达到蒙混过关的目的。被伪造的主机往往具有某种特权或者被另外的主机所信任。IP欺骗通常都要用编写的程序实现。IP欺骗者通过使用RAW Socket编程，发送带有假冒的源IP地址的IP数据包，来达到自己的目的。另外，在现在的网上，也有大量的可以发送伪造的IP地址的工具可用，使用它可以任意指定源IP地址，以免留下自己的痕迹。

入侵者可以利用IP欺骗技术获得对主机未授权的访问，因为他可以发出这样的来自内部地址的IP包。当目标主机利用基于IP地址的验证来控制对目标系统中的用户访问时，这些小诡计甚至可以获得特权或普通用户的权限。即使设置了防火墙，如果没有配置对本地区域中资源IP包地址的过滤，这种欺骗技术依然可以奏效。 当进入系统后，黑客会绕过口令以及身份验证，来专门守候，直到有合法用户连接登录到远程站点。一旦合法用户完成其身份验证，黑客就可控制该连接。这样，远程站点的安全就被破坏了。 关于IP欺骗技术有如下三个特征： （1）只有少数平台能够被这种技术攻击，也就是说很多平台都不具有这方面缺陷。 （2）这种技术出现的可能性比较小，因为这种技术不好理解，也不好操作，只有一些真正的网络高手才能做到这点。 （3）很容易防备这种攻击方法，如使用防火墙等。 7.9.3 IP欺骗的对象及实施 1．IP欺骗的对象 IP欺骗只能攻击那些运行真正的TCP/IP的机器，真正的TCP/IP指的是那些完全实现了TCP／IP协议，包括所有的端口和服务。 2．IP欺骗的实施 几乎所有的欺骗都是基于某些机器之间的相互信任的，这种信任有别于用户间的信任和应用层的信任。 黑客可以通过很多命令或端口扫描技术、监听技术确定机器之间的信任关系，例如一台提供r服务的机器很容易被端口扫描出来，使用端口扫描技术同样可以非常方便地确定一个局部网络内机器之间的相互关系。

假定一个局域网内部存在某些信任关系。如，主机A信任主机B、主机B信任主机C，则为了侵入网络NET内，黑客可以采用下面两种方式： （l）通过假冒机器B来欺骗机器A和C。 （2）通过假冒机器A或C来欺骗机器B 为了假冒机器C去欺骗机器B，首要的任务是攻击原来的C，使得C发生瘫痪。这是一种拒绝服务的攻击方式。 7.9.4 IP欺骗攻击的防备 对于来自网络外部的欺骗来说，阻止这种攻击的方法是很简单的，在局部网络的对外路由器上加一个限制条件，只要在路由器里面设置不允许声称来自于内部网络的外来包通过就行了。尽管路由器可以解决电子欺骗中的一般问题，它们是通过分析测试源地址来实现的。但是，如果你的网络存在外部的可信任主机，那么路由器就无法防止别人冒充这些主机而进行的IP欺骗。 当实施欺骗的主机在同一网络内时，攻击往往容易得手，并且不容易防范。 另外，应该注意与外部网络相连的路由器，看它是否支持内部接口。如果路由器有支持内部网络子网的两个接口，则须警惕，因为很容易受到IP欺骗。这也是为什么说将Web服务器放在防火墙外面有时会更安全的原因。 检测和保护站点免受IP欺骗的最好办法就是安装一个过滤路由器，来限制对外部接口的访问，禁止带有内部网资源地址包通过。当然也应禁止（过滤）带有不同内部资源地址的内部包通过路由器到别的网上去，这就防止内部的用户对别的站点进行IP欺骗。 7.10 文件传输安全服务 7.10.1FTP安全措施 是安全最弱的服务。 以WINDOWS NT/2000的Web服务器位例，采用的安全措施：

（1）对每个用户都设置对连接做记录； （2）使用Resource Kit可提供FTP服务器及其活动重要的统计数字； （3）定期检查FTP服务器。 7.10.2 匿名FTP安全漏洞及检查 匿名FTP安全漏洞 （1）存在可写区域：就可进行删除和修改信息； （2）FTP软件漏洞：允许访问所有文件系统； （3）FTP服务器配置错误：可能允许对敏感文件的访问。 检查匿名FTP配置 用最新的FTP daemon/服务器版本。 （1）设目录时，将匿名FTP根目录和下级目录不属FTP用户； （2）应由root拥有FTP根目录及其下级目录，只有它有写权限； （3）文件和库也有写保护； （4）~/ftp/etc/passwd文件中不应包含系统的/etc/passwd文件中已有的涌户名和加密口令； （5）不允许匿名用户编写目录和文件； （6）不要把系统文件放在~/ftp/etc目录下； 7.10.3 在UNIX系统下设置匿名FTP（略） 第8章 防火墙与平台安全 8.1 防火墙 8.1.1 因特网防火墙 1．防火墙的基本知识 防火墙是在两个网络之间执行访问控制策略的一个或一组系统，包 括硬件和软件，目的是保护网络不被他人侵扰。本质上，它遵循的是一 种允许或阻止业务来往的网络通信安全机制，也就是提供可控的过滤网 络通信，只允许授权的通信。 通常，防火墙就是位于内部网或Web站点与因特网之间的一个路由 器或一台计算机，又称为堡垒主机。其目的如同一个安全门，为门内的 部门提供安全，控制那些可被允许出入该受保护环境的人或物。就像工 作在前门的安全卫士，控制并检查站点的访问者。

防火墙是由管理员为保护自己的网络免遭外界非授权访问但又允许与因特网联接而发展起来的。从网际角度，防火墙可以看成是安装在两个网络之间的一道栅栏，根据安全计划和安全策略中的定义来保护其后面的网络。由软件和硬件组成的防火墙应该具有以下功能。 （1）所有进出网络的通信流都应该通过防火墙。 （2）所有穿过防火墙的通信流都必须有安全策略和计划的确认和授权。 （3）理论上说，防火墙是穿不透的。 内部网需要防范的三种攻击有： 间谍：试图偷走敏感信息的黑客、入侵者和闯入者。 盗窃：盗窃对象包括数据、Web表格、磁盘空间和CPU资源等。 破坏系统：通过路由器或主机／服务器蓄意破坏文件系统或阻止授权用户访问内部网 （外部网）和服务器。 这里，防火墙的作用是保护Web站点和公司的内部网，使之免遭因特网上各种危险的侵犯。 因特网 防火墙 内部网 防火墙在因特网与内部网中的位置 从逻辑上讲，防火墙是分离器、限制器和分析器。从物理角度看，各站点防火墙物理实现的方式有所不同。通常防火墙是一组硬件设备，即路由器、主计算机或者是路由器、计算机和配有适当软件的网络的多种组合。

2．防火墙的基本功能（补充） （1）防火墙能够强化安全策略 （2）防火墙能有效地记录因特网上的活动 （3）防火墙限制暴露用户点 （4）防火墙是一个安全策略的检查站 3．防火墙的不足之处（补充） （1）不能防范恶意的知情者 （2）防火墙不能防范不通过它的连接 （3）防火墙不能防备全部的威胁 （4）防火墙不能防范病毒 8.1.2 数据包过滤 防火墙通常是一个具备包过滤功能的简单路由器，支持因特网安全。这是使因特网联接更加安全的一种简单方法，因为包过滤是路由器的固有属性。 包是网络上信息流动的单位。在网上传输的文件一般在发出端被划分成一串数据包，经过网上的中间站点，最终传到目的地，然后这些包中的数据又重新组成原来的文件。 每个包有两个部分：数据部分和包头。包头中含有源地址和目标地址等信息。 包过滤一直是一种简单而有效的方法。通过拦截数据包，读出并拒绝那些不符合标准的包头，过滤掉不应入站的信息。 每个数据包都包含有特定信息的一组报头，其主要信息是： （1）IP协议类型（TCP、UDP，ICMP等）； （2）IP源地址； （3）IP目标地址； （4）IP选择域的内容； （5）TCP或UDP源端口号； （6）TCP或UDP目标端口号； （7）ICMP消息类型。 路由器也会得到一些在数据包头部信息种没有得到的关于数据包得其他信息。

过滤路由器放置在内部网络与因特网之间，作用为： （l）过滤路由器将担负更大的责任，它不但需要执行转发及确定转发的任务，而且它是唯一的保护系统； （2）如果安全保护失败（或在侵袭下失败），内部的网络将被暴露； （3）简单的过滤路由器不能修改任务； （4）过滤路由器能容许或否认服务，但它不能保护在 一个服务之内的单独操作。如果一个服务没有提供安全的操作要求，或者这个服务由不安全的服务器提供，数据包过滤路由器则不能保护它。 8.1.3 代理服务 代理服务是运行在防火墙主机上的一些特定的应用程序或者服务程序。防火墙主机可以是有一个内部网络接口和一个外部网络接口的双重宿主主机，也可以是一些可以访问因特网并可被内部主机访问的堡垒主机。这些程序接受用户对因特网服务的请求（诸如文件传输FTP和远程登录Telnet等），并按照安全策略转发它们到实际的服务。所谓代理就是一个提供替代连接并且充当服务的网关。代理也称之为应用级网关。 代理服务位于内部用户（在内部的网络上）和外部服务（在因特网上）之间。代理在幕后处理所有用户和因特网服务之间的通信以代替相互间的直接交谈。 8.1.4 防火墙体系结构 1．双重宿主主机体系结构 双重宿主主机体系结构是围绕具有双重宿主的主体计算机而构筑的。该计算机至少有两个网络接口，这样的主机可以充当与这些接口相连的网络之间的路由器，并能够从一个网络到另一个网络发送IP数据包。 防火墙内部的网络系统能与双重宿主主机通信，同时防火墙外部的网络系统（在因特网上）也能与双重宿主主机通信。通过双重宿主主机，防火墙内外的计算机便可进行通信了，但是这些系统不能直接互相通信，它们之间的IP通信被完全阻止。

1 双重宿主主机的防火墙体系结构是相当简单的，双重宿主主机位于两者之间，并且被连接到因特网和内部的网络。上图显示这种体系结构。

1 2．主机过滤体系结构 在主机过滤体系结构中提供安全保护的主机仅仅与内部网相连。另外，主机过滤结构还有一台单独的路由器（过滤路由器）。在这种体系结构中，主要的安全由数据包过滤提供，其结构如上图所示。 3．子网过滤体系结构 子网过滤体系结构添加了额外的安全层到主机过滤体系结构中，即通过添加参数网络，更进一步地把内部网络与因特网隔离开。 子网过滤体系结构的最简单的形式为两个过滤路由器，每一个都连接到参数网，一个位于参数网与内部的网络之间，另一个位于参数网与外部网络之间。

1 （1）参数网络 参数网络是在内外部网之间另加的一层安全保护网络层。如果入侵者成功地闯过外层保护网到达防火墙，参数网络就能在入侵者与内部网之间再提供一层保护。 如果入侵者仅仅侵入到参数网络的堡垒主机，他只能偷看到这层网络（参数网络）的信息流（看不到内部网的信息），而这层网络的信息流仅从参数网络往来于外部网或者从参数网络往来于堡垒主机。因为没有纯粹的内部信息流（内部主机间互传的重要和敏感的信息）在参数网络中流动，所以即使堡垒主机受到损害也不会让入侵者破坏内部网的信息流。

（2）堡垒主机 在子网过滤结构中，我们将堡垒主机与参数网络相连，而这台主机是外部网服务于内部网的主节点。它为内部网服务的主要功能有： ①它接收外来的电子邮件再分发给相应的站点； ②它接收外来的FTP，并连到内部网的匿名FTP服务器； ③它接收外来的有关内部网站点的域名服务。 向外的服务功能可用以下方法来实施： ①在内、外部路由器上建立包过滤，以便内部网的用户可直接操作外部服务器； ②在主机上建立代理服务，在内部网的用户与外部的服务器之间建立间接的连接。 （3）内部路由器 内部路由器的主要功能是保护内部网免受来自外部网与参数网络的侵扰。 内部路由器完成防火墙的大部分包过滤工作，它允许某些站点的包过滤系统认为符合安全规则的服务在内外部网之间互传。根据各站点的需要和安全规则，可允许的服务是以下这些外向服务中的若干种，如：Telnet、FTP、WAIS、Archie、Gopher或者其它服务。 内部路由器可以设定，使参数网络上的堡垒主机与内部网之间传递的各种服务和内部网与外部网之间传递的各种服务不完全相同。 （4）外部路由器 外部路由器既可保护参数网络又保护内部网。实际上，在外部路由器上仅做一小部分包过滤，它几乎让所有参数网络的外向请求通过，而外部路由器与内部路由器的包过滤规则是基本上相同的。

外部路由器的包过滤主要是对参数网络上的主机提供保护。然而，一般情况下，因为参数网络上主机的安全主要通过主机安全机制加以保障，所以由外部路由器提供的很多保护并非必要。 外部路由器真正有效的任务就是阻断来自外部网上伪造源地址进来的任何数据包。这些数据包自称是来自内部网，而其实它是来自外部网。 8.1.5 防火墙的各种变化和组合 （l） 使用多堡垒主机； （2）合并内部路由器与外部路由器； （3）合并堡垒主机与外部路由器； （4）合并堡垒主机与内部路由器； （5）使用多台内部路由器； （6）使用多台外部路由器； （7）使用多个参数网络； （8）使用双重宿主主机与子网过滤。 8.1.6 内部防火墙 但有时为了某些原因，我们还需要对内部网的部分站点再加以保护以免受其它站点的侵袭。因此，有时我们需要在同一结构的两个部分之间，或者在同一内部网的两个不同组织结构之间再建立防火墙（也被称为内部防火墙）。 因为网络中每一个用户所需要的服务和信息经常是不一样的，它们对安全保障的要求也不一样，所以我们可以将网络组织结构的一部分与其余站点隔离（比如，财务部分要与其它部分分开）。

1．试验网络 在大多数情况下，应该在内部防火墙中设置这样的包过滤：允许内部网的其它站点主动地连接试验网络，而对试验网络，只允许建立与被认为是安全内部网的其它站点的连接。 在有些情况下，我们也可能要防止内部网其它站点的某些类型的信息流干扰试验网络，因此要设置允许所有的外向连接（对试验网络而言）而控制内向连接的包过滤。 如果有几个试验网络，最好的方法是设置一个参数网络，并给每个试验网络配置一台路由器并连接到参数网络。而主要的包过滤工作在连接参数网络与内部主网的路由器上完成。 2．低保密网络 试验网络比较危险，但它对整个内部网的安全构成的威胁还不是最大的。而许多内部网组织结构里面的资源本身就固有一些非安全因素。比如，校园网中那些包含学生公寓网点的部分就被认为是不安全的，单位企业网中的那些演示网部分、客户培训网部分和开放实验室网部分都被认为是安全性比较差的。但这些网又比纯粹的外部网与内部网其它部分的交互要多得多。这些网络称为低保密网。 3．高保密网络 内部网的某些站点可能需要很高的安全保障。比如校园网中的教务网、招生信息网，商业网中的财务网、新品开发网都应具有相当高的保密度。 当高保密网的信息流通过内部网的其它部分时，可以用对信息进行加密的方法对它们加以保护。也可将高保密网与内部网的其它部分完全隔离。比如，有一个新品开发网，这个网的用户只有在注册到某台机器上时方可使用该网络，这样就可用防火墙（一般是一台带有包过滤的路由器）将这个网与内部网完全分离。这个防火墙对待内部网的其它用户就像对待外部网一样。一般情况下，这类高保密网需要的外部服务并不太多，因此在防火墙内不一定要有堡垒主机，而只有在防火墙保护极为机密的内部子网上，才用参数网络。

4．联合防火墙 若干企业集团为了合作开发项目而需在一定的时间内共享某些机器、数据和其它资源。在建立内部防火墙时，应根据以下原则来限定哪些资源需共享；哪些信息需保护；又如何来实现保护： （l）为何要与其它企业网络相连。这将决定内部防火墙允许哪些服务通过、阻断哪些服务。 （2）是否希望与对方在不使用因特网的前提下互传电子邮件和文件。 （3）是否试图为两个不同企业项目开发组的成员创立一个共同的软件平台。如有此要求则需要两个防火墙来隔离该软件平台与各企业的本地网。 （4）支持哪类信息互传，又需要加何种安全保护。 5．共享参数网络 共享参数网络结构是解决联合网安全问题的一个好办法。每个参与联合体的网在参数网络上都有各自能控制的路由器。在有些结构中，参数网络上没有堡垒主机，而这些路由器是参数网络上仅有的设备。 6．内部防火墙的堡垒主机选择 如果联合网的各合作单位间有足够的信任度，那在防火墙中可仅使用包过滤，以便其它单位的用户与本单位的内部网服务可直接建立连接（如DNS、SMTP）。相反，如果各单位间缺乏足够的信任度，他们可建立各自的参数网络，建立他们可单独控制的堡垒主机。这样从一个内部网流出的信息流须经过两台堡垒主机方可抵达另一内部网。 8.2 堡垒主机 8.2.1 建立堡垒主机的一般原则 1．最简化原则： 堡垒主机越简单，对它进行保护就越方便。堡垒主机提供的任何网络服务都有可能在软件上存在缺陷或在配置上存在错误，而这些差错就可能使堡垒主机的安全保障出问题。因此，在堡垒主机上设置的服务必须最少，同时对必须设置的服务软件只能给予尽可能低的权限。

2．预防原则 8.2.2堡垒主机的种类 堡垒主机目前一般有以下三种类型：无路由双宿主主机、牺牲主机和内部堡垒主机。 无路由双宿主主机有多个网络接口，但这些接口间没有信息流。这种主机本身就可作为一个防火墙，也可作为一个更复杂防火墙结构的一部分。 牺牲主机除了可让用户随意登录外，其配置基本上与一般的堡垒主机一样。用户总是希望在堡垒主机上存有尽可能多的服务与程序。主要特点是它易于被管理，即使被侵袭也无碍内部网的安全。 在大多数配置中，堡垒主机可与某些内部主机进行交互。比如，堡垒主机可传送电子邮件给内部主机的邮件服务器，传送Usenet新闻给新闻服务器，与内部域名服务器协同工作等。这些内部主机其实是有效的次级堡垒主机，对它们就应像保护堡垒主机一样加以保护。我们可以在它们上面多放一些服务，但对它们的配置必须遵循与堡垒主机一样的过程。 8.2.3 堡垒主机的选择 1．堡垒主机操作系统的选择 2．堡垒主机速度的选择 3．堡垒主机的硬件 4．堡垒主机的物理位置 （1）位置要安全 （2）堡垒主机在网络上的位置 堡垒主机应被放置在没有机密信息流的网络上，最好放置在一个单独的网络上。

为了支持以上这些服务，堡垒主机还应有域名服务（DNS）。 8.2.4 堡垒主机提供的服务 堡垒主机应当提供站点所需求的所有与因特网有关的服务，同时还要经过包过滤提供内部网向外界的服务。任何与外部网无关的服务都不应放置在堡垒主机上。 （1）无风险服务，仅仅通过包过滤便可实施的服务。 （2）低风险服务，在有些情况下这些服务运行时有安全隐患，但加以一些安全控制措施便可消除安全问题。 （3）高风险服务，在使用这些服务时无法彻底消除安全隐患；这类服务一般应被禁用，特别需要时也只能放置在主机上使用。 （4）禁用服务，应被彻底禁止使用的服务。 电子邮件（SMTP）是堡垒主机应提供的最基本的服务，其它还应提供的服务有： ①FTP，文件传输服务； ②WAIS，基于关键字的信息浏览服务； ③HTTP，超文本方式的信息浏览服务； ④NNTP，Usenet新闻组服务； ⑤Gopher，菜单驱动的信息浏览服务。 为了支持以上这些服务，堡垒主机还应有域名服务（DNS）。 8.2.5 建立堡垒主机 我们在上面已介绍了堡垒主机应完成的工作，而建立堡垒主机则应遵循以下步骤。 （l）给堡垒主机一个安全的运行环境。 （2）关闭机器上所有不必要的服务软件。 （3）安装或修改必需的服务软件。 （4）根据最终需要重新配置机器。 （5）核查机器上的安全保障机制。 （6）将堡垒主机连入网络。

建立堡垒主机应该注意以下几点： （1）要在机器上使用最小的、干净的和标准的操作系统。 （2）应该认真对待每一条从计算机紧急救援协作中心获得的针对用户目前工作平台的安全建议。 （3）要经常使用检查列表（Checklist）。 （4）要保护好系统的日志。作为极为重要的主机，堡垒主机上记录有很多信息，建立堡垒主机的一个重要步骤就是要确保系统日志的安全。系统日志非常重要，因为通过它可以判断出堡垒主机的运行是否正常，同时，当有黑客入侵到堡垒主机时，系统日志是记录当时现场的主要机制。所以妥善存放日志很重要。 8.2.6 堡垒主机的监测 1．监测堡垒主机的运行 完成了对堡垒主机的所有配置就可把它连到网上。为了能监视堡垒主机的运行情况，及时发现出现的异常现象，及早发现入侵者或系统本身的安全漏洞。我们首先必须详细了解正常系统运行时预处理文件的内容，包括以下几项： （l）一般在同一时刻大概会有几个作业在运行？ （2）每个作业一般花费多少CPU时间？ （3）一天内哪些时间是系统重载的时间？ 2．自动监测堡垒主机 8.2.7 堡垒主机的保护与备份 在完成堡垒主机的配置并将它投入正常运行后，要给它以较好的物理运行环境，并将有关软件做备份，将文档资料妥善保存。 备份文件应与堡垒主机分离。这样可保证备份不会被侵入到堡垒主机的黑客破坏。由于堡垒主机应是一个稳定的系统，因而备份的制作频度可以稍低一些。每周一次或每月一次便足够了。

8.3 包过滤 包过滤是一种保安机制，它控制哪些数据包可以进出网络而哪些数据包应被网络拒绝。我们在这儿首先简单介绍一些高层IP（因特网协议）网络的概念。 一个文件要穿过网络，必须将文件分成小块，每小块文件单独传输。把文件分成小块的做法主要是为了让多个系统共享网络，每个系统可以依次发送文件块。在IP网络中，这些小块被称为包。所有的信息传输都是以包的方式来实施的。 8.3.1 包过滤是如何工作的 包过滤技术可以允许或不允许某些包在网络上传递，它依据以下的判据： （1）将包的目的地址作为判据； （2）将包的源地址作为判据； （3）将包的传送协议作为判据。 包过滤系统只能让我们进行类似以下情况的操作： （1）不让任何用户从外部网用Telnet登录； （2）允许任何用户使用SMTP往内部网发电子邮件； （3）只允许某台机器通过NNTP往内部网发新闻。 包过滤不能允许我们进行如下的操作： （1）允许某个用户从外部网用Telnet登录而不允许其它用户进行这种操作。 （2）允许用户传送一些文件而不允许用户传送其它文件。 入侵者总是把他们伪装成来自于内部网。要用包过滤路由器来实现我们设计的安全规则，唯一的方法是通过参数网络上的包过滤路由器。只有处在这种位置上的包过滤路由器才能通过查看包的源地址，从而辨认出这个包到底是来自于内部网还是来自于外部网。

1 1．包过滤的优点 包过滤方式有许多优点，而其主要优点之一是仅用一个放置在重要位置上的包过滤路由器就可保护整个网络。如果我们的站点与因特网间只有一台路由器，那么不管站点规模有多大，只要在这台路由器上设置合适的包过滤，我们的站点就可获得很好的网络安全保护。 2．包过滤的缺点 （1）在机器中配置包过滤规则比较困难； （2）对系统中的包过滤规则的配置进行测试也较麻烦； （3）许多产品的包过滤功能有这样或那样的局限性，要找一个比较完整的包过滤产品比较困难。

8.3.2 包过滤路由器的配置 在配置包过滤路由器时，我们首先要确定哪些服务允许通过而哪些服务应被拒绝，并将这些规定翻译成有关的包过滤规则。 下面给出将有关服务翻译成包过滤规则时非常重要的几个概念。 （1）协议的双向性。协议总是双向的，协议包括一方发送一个请求而另一方返回一个应答。在制定包过滤规则时，要注意包是从两个方向来到路由器的。 （2）“往内”与“往外”的含义。在我们制定包过滤规则时，必须准确理解“往内”与“往外”的包和“往内”与“往外”的服务这几个词的语义。 （3）“默认允许”与“默认拒绝”。网络的安全策略中的有两种方法：默认拒绝（没有明确地被允许就应被拒绝）与默认允许（没有明确地被拒绝就应被允许）。从安全角度来看，用默认拒绝应该更合适。 8.3.3 包的基本构造 包的构造有点像洋葱一样，它是由各层连接的协议组成的。每一层，包都由包头与包体两部分组成。在包头中存放与这一层相关的协议信息，在包体中存放包在这一层的数据信息。这些数据信息也包含了上层的全部信息。在每一层上对包的处理是将从上层获取的全部信息作为包体，然后依本层的协议再加上包头。这种对包的层次性操作（每一层均加装一个包头）一般称为封装。 8.3.4 包过滤处理内核 过滤路由器可以利用包过滤作为手段来提高网络的安全性。 1．包过滤和网络策略 包过滤还可以用来实现大范围内的网络安全策略。网络安全策略必须清楚地说明被保护的网络和服务的类型、它们的重要程度和这些服务要保护的对象。

2．一个简单的包过滤模型 包过滤器通常置于一个或多个网段之间。外部网段是通过网络将用户的计算机连接到外面的网络上，内部网段用来连接公司的主机和其它网络资源。 包过滤器设备的每一端口都可用来完成网络安全策略，该策略描述了通过此端口可访问的网络服务类型。 3．包过滤器操作 （l）包过滤标准必须由包过滤设备端口存储起来，这些包过滤标准叫包过滤规则。 （2）当包到达端口时，对包的报头进行语法分析，大多数包过滤设备只检查IP、TCP或UDP报头中的字段，不检查包体的内容。 （3）包过滤器规则以特殊的方式存储。 （4）如果一条规则阻止包传输或接收，此包便不被允许通过。 （5）如果一条规则允许包传输或接收，该包可以继续处理。 （6）如果一个包不满足任何一条规则，该包被阻塞。 4．包过滤设计 考虑图中的网络，其中过滤路由器被用作在内部被保护网络和外部不信任网络之间的第一道防线。 假设网络策略安全规则确定：从外部主机发来的因特网邮件在某一特定网关被接收，并且想拒绝从不信任的CREE-PHOST的主机发来的数据流。 因特网 包过滤路由器 内部网

在这个例子中，SMTP使用的网络安全策略必须翻译成包过滤规则。我们可以把网络安全规则翻译成下列中文规则： [过滤器规则1]：我们不相信从CREE-PHOST来的连接。 [过滤器规则2]：我们允许与我们的邮件网关的连接。 这些规则可以编成表。其中星号（*）表明它可以匹配该列的任何值。 对于过滤器规则1：阻塞任何从（*）CREE-PHOST端口来的到我们任意（*）主机的任意（*）端口的连接。 对于过滤器规则2：允许任意（*）外部主机从其任意（*）端口到我们的Mail-GW主机端口的连接。 对于过滤器规则3 ：表示了一个内部主机发送SMTP邮件到外部主机端口25。如果外部站点对SMTP不使用端口25，那么SMTP发送者便发送邮件。 这些规则应用的顺序与它们在表中的顺序相同。如果一个包不与任何规则匹配，它就会遭到拒绝。表中规定：它允许任何外部机器从端口25产生一个请求。端口25应该保留SMTP。 序 动作 内部主机 内 外部主机 外 说明 1 阻塞 * Cree-phost 阻塞来自CREEPHOST流量 2 允许 Mail-GW 25 允许我们的邮件网关的连接 3 允许输出SMTP至远程邮件网关

8.3.5 包过滤规则 制定包过滤规则时应注意的事项： （l）联机编辑过滤规则。 （2）要用IP地址值，而不用主机名。 8.3.6 依据地址进行过滤 在包过滤系统中，最简单的方法是依据地址进行过滤。用地址进行过滤可以不管使用什么协议，仅根据源地址/目的地址对流动的包进行过滤。我们可用这种方法只让某些被指定的外部主机与某些被指定的内部主机进行交互。还可以防止黑客用伪包装成来自某台主机，而其实并非来自于那台主机的包对网络进行的侵扰。 8.3.7 依据服务进行过滤 1．往外的Telnet服务 在往外的Telnet服务中，一个本地用户与一个远程服务器交互。我们必须对往外与往内的包都加以处理。 2．往内的Telnet服务 3．依据源端口来过滤 依据源端口来过滤必须有个前提，提供端口号的机器必须是真实的。如若入侵者已经通过root完全控制了这台机器，那他就可随意在这台机器上，也就等于在我们包过滤规则的端口上运行任意的客户程序或服务器程序。有时我们就根本不能相信由对方机器提供的机器源地址，因为有可能那台机器就是入侵者伪装的。

8.4 代理服务 代理服务的条件是具有访问因特网能力的主机才可以作为那些无权访问因特网的主机的代理，这样使得一些不能访问因特网的主机通过代理服务也可以完成访问因特网的工作。 代理服务是在双重宿主主机或堡垒主机上运行一个具有特殊协议或一组协议。使一些仅能与内部用户交谈的主机同样也可以与外界交谈，这些用户的客户程序通过与该代理服务器交谈来代替直接与外部因特网中的服务器的“真正的”交谈。代理服务器判断从客户端来的请求并决定哪些请求允许传送而哪些应被拒绝。当某个请求被允许时，代理服务器就代表客户与真正的服务器进行交谈，并将从客户端来的请求传送给真实服务器，将真实服务器的回答传送给客户。 8.4.1代理服务的优缺点 1．代理服务的优点 （1）代理服务允许用户“直接”访问因特网 （2）代理服务适合于做日志 2．代理服务的缺点 （1）代理服务落后于非代理服务 （2）每个代理服务要求不同的服务器 （3）代理服务一般要求对客户或程序进行修改 （4）代理服务对某些服务来说是不合适的 （5）代理服务不能保护你不受协议本身缺点的限制 8.4.2 代理服务的工作方法 代理工作的细节对每一种服务是不同的，代理服务在服务器上要求运行合适的代理服务器软件。在客户端可以有以下不同的方法。 （1）定制客户软件。 （2）定制客户过程。

8.4.3 代理服务器的使用 代理服务器有一些特殊类型，主要表现为应用级与回路级代理、公共与专用代理服务器和智能代理服务器。 1．应用级与回路级代理 主要区别为：应用级代理使用修改的过程，回路级代理使用修改的客户程序，这与代理的实用性有关。为了实现一个代理连接，你必须知道连接的方向。一个混合网关可以很容易地阻止连接，但一个代理主机只能接收连接，并从得到的信息中判断它要与哪里继续进行连接。一个回路级代理不能解释应用协议，需要通过其它方式给它提供信息。 2．公共与专用代理服务器 一个专用代理服务器只适用于单个协议，而一个公共代理服务器则适用多个协议。实际上专用代理服务器是应用级的，而公共代理服务器是属于回路级的。 3．智能代理服务器 如果一个代理服务器不仅能处理转发请求，同时还能够做其它许多事情的话，这样的代理服务器就称为智能代理服务器。 8.4.4使用代理的若干问题 1．TCP与其它协议 理想的代理服务器应在一个方向作TCP的连接，仅包含安全的命令、一些可变长度的送给服务器的用户数据，并且只用于内部客户到外部服务器上。 因为TCP是一个面向连接的协议，只需进行一次建立代理的连接，然后就可以一直使用该连接了。UDP没有连接的概念，每个数据包都需要代理服务器进行独立的传输，因此TCP代理更为简便。

2．不使用代理服务器的代理 一些服务特别是所谓的“存储转发”服务（如SMTP、NNTP）一般都支持代理。这些服务是为了让服务器接收信息，然后进行存储直到它们被转发到其它服务器上。 一般很少有信息直接从发送者的机器传送到接收者的机器，信息至少要通过四台机器： （l）发送者的机器； （2）发送者站点的输出邮件网关（或发送者的因特网服务提供者）； （3）接收者站点的输入邮件网关； （4）接收者的机器。 3．无法代理的原因及解决办法 可能会由于下列原因而不能进行代理 （1）没有代理服务器 （2）代理无法保证服务的安全 （3）无法修改客户程序或过程 经常有一些服务不具备修改用户过程的条件，一般情况下，可以在堡垒主机上安全地提供数据的传输，允许用户连入堡垒主机，但是要加以限制，只允许运行无法进行代理的服务。 8.4.5 用于因特网服务的代理特性 因特网上的主要服务功能有电子邮件E-mail．简单邮件传输协议SMTP、邮局协议POP、文件传输FTP、远程登录Telnet、存储转发协议NNTP、万维网WWW、域名服务DNS等。 1．电子邮件（E-mail） （1）一个服务器，用来向外部主机发送邮件或从外部主机接收邮件。 （2）发信代理，用于将邮件正确地放入本地主机邮箱中。 （3）用户代理，用于让收信人阅读邮件并编排出站邮件。

2．简单邮件传输协议（SMTP）的代理特点 因为SMTP是一个存储转发协议，所以它特别适合于进行代理。由于任何一个SMTP服务器都有可能为其它站点进行邮件转发，因而很少将它设置成一个单独的代理。大多数站点将输入的SMTP连接到一台安全运行SMTP服务的堡垒主机上，该堡垒主机就是一个代理。 3．邮局协议（POP）的代理特点 邮局协议（POP）对于代理系统来说是非常简单的，因为它采用单个连接。内置的支持代理的POP客户程序还很少，主要原因是POP多用于局域网，而很少用于因特网。 4．文件传输FTP 在开始使用一个FTP连接时，客户程序首先为自己分配两个大于1023的TCP端口，它使用第一个端口作为命令通道端口与服务器连接，然后发出端口命令，告诉服务器它的第二个作为数据通道的端口号，这样服务器就能打开数据通道了。大多数FTP服务器（特别是那些用在因特网上的主要匿名FTP站点）和许多FTP客户程序都支持一种允许客户程序打开命令通道和数据通道来连接到FTP服务器的方式，这种方式被称为“反向方式”。 在使用反向方式时，一个FTP客户程序需要分配两个TCP端口供其使用。它使用第一个TCP端口与FTP服务器连接，但客户程序通过反向方式命令代替原来的端口命令来告诉服务器客户程序的第二个TCP端口。 这样就能使服务器为本身的数据通道分配第二个TCP端口，并通知客户程序所分配的那个端口号。这时，客户程序就从它的数据通道的端口连接到服务器刚才通知它的那个端口上。 5．远程登录（Telnet） 代理系统能够很好地支持Telnet。 6．存储转发协议（NNTP） NNTP是一个存储转发的协议，有能力进行自己的代理。它作为一个简单的单个连接协议很容易实现代理。

7．万维网（WWW） 各种HTTP客户程序（如Netscape Navigator或因特网Explorer等）都支持代理的方案。 8．域名服务（DNS） DNS具有这样的结构：可以使服务器充当客户程序的代理。利用DNS能够转发自身的特点，可以使一个DNS服务器成为另一个DNS服务器的代理。在真正的实现时，大多数情况可以修改DNS库来使用修改的客户程序代理。在不支持动态连接的机器上，使用DNS的修改客户程序的代理需要重新编译网络中使用的每个程序。 8.5 选择防火墙的原则 设计和选用防火墙首先要明确哪些数据是必须保护的，这些数据的被侵入会导致什么样的后果及网络不同区域需要什么等级的安全级别。不管采用原始设计还是使用现成的防火墙产品，对于防火墙的安全标准，首先需根据安全级别确定。其次，设计或选用防火墙必须与网络接口匹配，要防止你所能想到的威胁。防火墙可以是软件或硬件模块，并能集成于网桥、网关和路由器等设备之中。 1．防火墙自身的安全性 大多数人在选择防火墙时都将注意力放在防火墙如何控制连接以及防火墙支持多少种服务上，但往往忽略一点，防火墙也是网络上的主机设备，也可能存在安全问题。防火墙如果不能确保自身安全，则防火墙的控制功能再强，也终究不能完全保护内部网络。 2．考虑特殊的需求 （1）IP地址转换（IP Address Translation） 进行IP地址转换有两个好处：其一是隐藏内部网络真正的IP，这可以使黑客无法直接攻击内部网络，也是要强调防火墙自身安全性问题的主要原因；另一个好处是可以让内部用户使用保留的IP，这对许多IP不足的企业是有益的。

（2）双重 DNS 当内部网络使用没有注册的IP地址，或是防火墙进行IP转换时，DNS也必须经过转换。因为，同样的一个主机在内部的IP与给予外界的IP将会不同，有的防火墙会提供双重DNS有的则必须在不同主机上各安装一个DNS。 （3）虚拟企业网络（VPN） VPN可以在防火墙与防火墙或移动的Client间对所有网络传输的内容加密，建立一个虚拟通道，让两者间感觉是在同一个网络上，可以安全且不受拘束地互相存取。 （4）病毒扫描功能 大部分防火墙都可以与防病毒防火墙搭配实现病毒扫描功能。有的防火墙则可以直接集成病毒扫描功能，差别只是病毒扫描工作是由防火墙完成，或是由另一台专用的计算机完成。 （5）特殊控制需求 有时候企业会有特别的控制需求，如限制特定使用者才能发送E-mail，FTP只能得到档案不能上传档案，限制同时上网人数、使用时间等，依需求不同而定。 3．选择防火墙的原则 防火墙产品往往有上千种，如何在其中选择最符合需要的产品；是消费者最关心的事。在选购防火墙软件时，应该考虑以下几点。 （1）防火墙应该是一个整体网络的保护者 （2）防火墙必须能弥补其它操作系统的不足 （3）防火墙应该为使用者提供不同平台的选择 （4）防火墙应能向使用者提供完善的售后服务

<计算机安全和保密技术> 复习要点 第1章 安全技术概述 1。计算机系统面临的威胁（3点） 2。计算机系统自身的脆弱性（5点） 3。计算机系统的保密需求（6点） 4。计算机系统的安全措施（3个层次） 5。计算机系统安全技术概述（8种） 第2章 计算机硬件检测与维护 1。计算机的可靠性（3性） 2。计算机故障按软硬件界面的分类（5种） 3。计算机故障的检测原则（6条） 4。CPU测试的标准（2个） 5。电源的常见故障（4种） 6。显示器的分类与识别：分辨率，点间距，逐行扫描，隔行扫描 7。硬盘常见故障及分析：硬盘不能启动（3种原因） 8。硬盘的使用与维护：硬维护（4种） 9。光盘的维护（4点） 10。键盘常见故障及分析（6种） 11。激光打印机的使用与维护（4点） 第3章 软件安全技术 1。计算机软件安全涉及的范围（3方面） 2。硬标记加密（4种） 3。软件加密技术的组成（3种） 4。口令的选择（5点） 5。认证的概念 6。软件运行中的反跟踪技术（3种） 7。计算机软故障的分类（7种） 8。基于WINDOWS NT的安全技术（9种） 第4章 计算机病毒的防治

1。计算机病毒的特点（6点） 2。计算机病毒的破坏行为（8） 3。计算机病毒的结构（3部分） 4。电子邮件病毒的特点（5点） 5。病毒扫描程序（4种算法） 6。计算机病毒的防治（14条） 7。常用反病毒软件（3种） 第5章 数据加密与压缩技术 1。单密钥密码体制和双密钥密码体制 2。单字母表替代加密 3。换位加密 4。DES加密算法加密过程概图 5。RSA的应用：传会话密钥；数字签名 6。Huffman编码 第6章 数据库系统安全 1。数据库系统安全特性（3点） 2。事务的概念 3。数据库的安全性（4点） 4。利用日志文件恢复事务 5。SQL Server的安全模式（3种） 6。SQL Server的恢复（不要求master） 第7章 网络站点的安全 1。因特网的安全问题及其原因（6点） 2。Web站点中安全漏洞的表现方式（4种） 3。黑客攻击的三个阶段 4。系统安全弱点的探测（2种） 5。抓住入侵者应遵循的原则（4条） 6。网络监听的简单的检测方法（4点） 7。检测特洛伊木马程序（3条）

第8章 防火墙与平台安全 1。 防火墙的基本功能（4点） 2。 防火墙的不足（4点） 3。 防火墙的体系结构（3种） 4。堡垒主机的种类（3种） 5。包过滤的缺点（3点） 6。代理服务的缺点（5点） 题型：单项选择题（20分），多项选择题（20分）； 判断题（20分）；填空题（20分）；简答题（20分）