◆賴河蒗

?

基于服務(wù)器的網(wǎng)絡(luò)安全實(shí)訓(xùn)平臺構(gòu)建與分析

◆賴河蒗

(廣東司法警官職業(yè)學(xué)院 廣東 510520)

本文提出基于物理服務(wù)器的實(shí)訓(xùn)平臺構(gòu)建方法，在實(shí)驗(yàn)室現(xiàn)有提供的硬件基礎(chǔ)上，針對網(wǎng)絡(luò)安全相關(guān)專業(yè)的教學(xué)與研究，構(gòu)建了具有靈活性和分組協(xié)作性的實(shí)驗(yàn)環(huán)境，解決了以前教學(xué)實(shí)驗(yàn)環(huán)境的虛擬性、統(tǒng)一性分配以及資源有限性等問題。通過分析，該平臺可以有效提高教學(xué)的效果，激發(fā)學(xué)生的潛力，并能為相關(guān)科研提供真實(shí)環(huán)境平臺。

服務(wù)器; 網(wǎng)絡(luò)安全; 實(shí)訓(xùn)平臺; 構(gòu)建; 實(shí)驗(yàn)環(huán)境

0 引言

隨著計算機(jī)互聯(lián)網(wǎng)技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)信息已經(jīng)成為社會發(fā)展的重要組成部分，但網(wǎng)絡(luò)信息的飛速發(fā)展在推動社會發(fā)展的同時，也產(chǎn)生了許多網(wǎng)絡(luò)信息安全問題。從防范的角度考慮，在影響計算機(jī)安全的諸多因素中，人的因素還是第一位的。因此，所有計算機(jī)相關(guān)人員，包括用戶、系統(tǒng)管理員以及超級管理員，都需要努力提高對計算機(jī)網(wǎng)絡(luò)安全的認(rèn)識。然而，在網(wǎng)絡(luò)信息安全方面，專業(yè)技術(shù)人員整體能力相對較低，人才培養(yǎng)與社會需求脫節(jié)，技能型人才嚴(yán)重緊缺。在即將走向社會的大學(xué)生群體中，理論強(qiáng)、實(shí)操弱、經(jīng)驗(yàn)不足等情況尤其嚴(yán)重。加強(qiáng)網(wǎng)絡(luò)安全人才的培養(yǎng)已經(jīng)刻不容緩，推動計算機(jī)網(wǎng)絡(luò)信息安全教學(xué)發(fā)展，幫助學(xué)習(xí)者切實(shí)把握其中的知識內(nèi)涵及理論與實(shí)踐水平，是高校教學(xué)的重任，也是社會的迫切需求。

當(dāng)前大部分教學(xué)實(shí)驗(yàn)環(huán)境的構(gòu)建是基于虛擬機(jī)平臺[1-4]，如文獻(xiàn)[1-4]，或云計算平臺，如文獻(xiàn)[5-7]。為了增強(qiáng)教學(xué)實(shí)驗(yàn)的真實(shí)性和靈活性等，尤其對于網(wǎng)絡(luò)安全相關(guān)的專業(yè)來說，有針對性地構(gòu)建一個基于物理服務(wù)器的網(wǎng)絡(luò)安全實(shí)訓(xùn)平臺，可以提高教學(xué)效果，促進(jìn)學(xué)生的技能發(fā)展。此外，教師可以在平臺上進(jìn)行相關(guān)的教學(xué)以及課題研究，具有較高的實(shí)用性。

1 實(shí)訓(xùn)平臺的構(gòu)建

1.1 考慮因素

（1）網(wǎng)絡(luò)信息安全涉及的內(nèi)容涵蓋Web浸透、系統(tǒng)漏洞挖掘利用、密碼分析與破解、逆向分析、安全編程等等。虛擬機(jī)環(huán)境或云計算環(huán)境通常是統(tǒng)一部署，分配的資源有限，在網(wǎng)絡(luò)安全實(shí)訓(xùn)的教學(xué)當(dāng)中，可能會缺乏一定的靈活性和真實(shí)性。

（2）實(shí)驗(yàn)的所用環(huán)境、直觀性、靈活性、操作方便性、響應(yīng)速度、分組對抗競比等均是影響實(shí)驗(yàn)最終效果的重要因素。

（3）實(shí)訓(xùn)的內(nèi)容和教學(xué)設(shè)計往往要求貼近學(xué)生的實(shí)際能力水平。

（4）教師可以方便靈活地對學(xué)生進(jìn)行分組，學(xué)生既可以自主學(xué)習(xí)又可以完成課堂實(shí)驗(yàn)任務(wù)，形成組內(nèi)相互合作、組間對抗競比。

（5）機(jī)器性能方面要穩(wěn)定，響應(yīng)速度快，所用系統(tǒng)環(huán)境和網(wǎng)絡(luò)結(jié)構(gòu)要盡可能簡單、真實(shí)，包括系統(tǒng)環(huán)境，命令操作界面，對抗環(huán)境以及最終的實(shí)訓(xùn)效果。

（6）構(gòu)建的平臺需要有較強(qiáng)的承載能力，滿足搭載更多數(shù)量和更高復(fù)雜度的實(shí)驗(yàn)環(huán)境的要求，具有較好的兼容性。各種網(wǎng)絡(luò)信息安全相關(guān)的教學(xué)任務(wù)可以被輕松地部署、管理和維護(hù)。

（7）通過引導(dǎo)學(xué)生積極參與實(shí)訓(xùn)平臺的構(gòu)建，使其掌握或了解網(wǎng)絡(luò)安全方面重要的相關(guān)知識。既可以理論聯(lián)系實(shí)踐，讓實(shí)驗(yàn)結(jié)果更直接明了，教學(xué)效果更顯著，又可以為學(xué)生的畢業(yè)論文以及教師的教學(xué)與科研提供真實(shí)的實(shí)訓(xùn)平臺。

1.2 實(shí)施方案

機(jī)房已購置足夠相關(guān)設(shè)備，包括主機(jī)、服務(wù)器、防火墻、入侵檢測系統(tǒng)、應(yīng)用防護(hù)系統(tǒng)、路由器以及交換機(jī)等重要網(wǎng)絡(luò)硬件設(shè)備。機(jī)器數(shù)量、配置、性能等滿足平臺構(gòu)建需求。主機(jī)、服務(wù)器安裝了系統(tǒng)還原，開機(jī)運(yùn)行在影子模式，對操作系統(tǒng)和軟件基本不會有影響。構(gòu)建以多個小組為單位的攻防環(huán)境，能營造小團(tuán)隊(duì)之間相互隔離、相互競爭、相互促進(jìn)的效果。

基于物理服務(wù)器的實(shí)訓(xùn)平臺拓?fù)浣Y(jié)構(gòu)如圖1。

圖1 基于物理服務(wù)器的實(shí)訓(xùn)平臺拓?fù)浣Y(jié)構(gòu)圖

該實(shí)訓(xùn)平臺共有9個小組。每個小組的實(shí)驗(yàn)環(huán)境、操作系統(tǒng)及參數(shù)配置均相同，主要涉及設(shè)備包括有服務(wù)器1臺，用戶主機(jī)6臺，交換機(jī)1臺，路由器1臺，防火墻及相關(guān)安全檢測設(shè)備（圖中略）。其中服務(wù)器用于部署web網(wǎng)站以及網(wǎng)絡(luò)安全相關(guān)的應(yīng)用，交換機(jī)用于連接6臺用戶主機(jī)和服務(wù)器，路由器用于連接組外的總線。每個組的服務(wù)器和用戶主機(jī)處于同一個網(wǎng)段，部署方案為：第一個小組處于192.168.10.0/24網(wǎng)段，第二小組處于192.168.20.0/24網(wǎng)段，……依次類推。各個組匯聚到總線，總線處于172.16.0.0/16網(wǎng)段，第一個小組的路由器出口地址是172.16.0.1/16，第二小組的路由器出口地址是172.16.0.2/16，……依次類推。

在該結(jié)構(gòu)中，每個小組以服務(wù)器為中心，把相關(guān)教學(xué)實(shí)驗(yàn)部署在服務(wù)器上，通過在服務(wù)器和主機(jī)安裝所用到的攻防工具以及相關(guān)教學(xué)案例，小組成員之間可以相互協(xié)作。

例如在SQL注入和Cookies注入的教學(xué)實(shí)驗(yàn)中，利用服務(wù)器提供Web服務(wù)，并作為靶機(jī)，用戶主機(jī)端則作為攻擊方。每組服務(wù)器可以設(shè)置不同的Web網(wǎng)站服務(wù)，并設(shè)置不同的后臺管理及密碼，在攻擊實(shí)驗(yàn)中顯得直接、靈活。在DDos攻擊中，通過對物理機(jī)服務(wù)器的洪水攻擊，使服務(wù)器從響應(yīng)速度變慢到死機(jī)，可以讓實(shí)驗(yàn)更直觀。在Windows密碼破解以及IPC攻擊與遠(yuǎn)程控制的實(shí)驗(yàn)中，用戶主機(jī)通過掃描得到了服務(wù)器管理員賬號和密碼后，可以接著建立IPC$連接，開啟telnet服務(wù)，上傳和運(yùn)行程序，進(jìn)行遠(yuǎn)程注冊表配置，建立一個隱藏的管理員用戶，實(shí)現(xiàn)對服務(wù)器的完全控制。整個實(shí)驗(yàn)過程清晰明了，并可以分組隔離操控，組內(nèi)成員需要充分協(xié)作，既提供了真實(shí)的入侵浸透環(huán)境，又提供了團(tuán)隊(duì)相互磨合與切磋的機(jī)會。在防火墻策略配置實(shí)驗(yàn)中，充分利用實(shí)驗(yàn)室實(shí)訓(xùn)平臺中已有設(shè)備與架構(gòu)，靈活地實(shí)現(xiàn)內(nèi)外網(wǎng)之間進(jìn)出規(guī)則的配置，對某一個IP地址或某IP地址范圍（IP地址段）的允許訪問或拒絕訪問、流量控制以及虛擬專用網(wǎng)VPN的搭建等。

2 平臺的使用與分析

2.1 教學(xué)實(shí)例的應(yīng)用

實(shí)例：利用物理服務(wù)器的平臺進(jìn)行手工SQL注入實(shí)驗(yàn)的競比。

教師把存在SQL漏洞的成績查詢系統(tǒng)發(fā)布在各個組的服務(wù)器上，以服務(wù)器作為靶機(jī)，用戶主機(jī)作為攻擊機(jī)器。要求每個組以最快的速度通過手工注入的方式獲取網(wǎng)站的管理員登錄密碼，并以管理員身份登錄后修改自己的成績。各個組之間是相互隔離，互不影響，組間是競比的。組內(nèi)是相互合作的，每個組的成員可以分工合作，相互配合，爭取在最短的時間內(nèi)完成任務(wù)。為了簡化實(shí)驗(yàn)流程，假設(shè)該成績查詢系統(tǒng)的表名是admin，列名分別是username和password，管理員賬號是Administrator，管理員登錄密碼的位數(shù)是12位，以上信息公開給各組成員。管理員登錄的具體密碼則需要每個組成員通過手工SQL注入的方法獲取。每組有6個組員，如果某小組A的成員相互配合相互協(xié)助，通過分工，每個組員只需猜測其中2位的密碼，在A組的所有組員都猜測完成之后進(jìn)行匯總，將獲得管理員密碼。但是，如果某小組B缺乏合作，組內(nèi)的每個成員都只是單獨(dú)自己完成，那么每個組員都需要猜測12位的密碼。在不考慮其它因素的情況下，組B花費(fèi)的時間是組A的6倍。

在該手工SQL注入的實(shí)驗(yàn)中，學(xué)生可用以下步驟：

（1）SQL注入一般存在于形如http://xxxx.xxxx.xxxx.xxxx/ index.asp?p=YY的網(wǎng)站中。假設(shè)第一個小組的服務(wù)器IP為192.168.10.254，用戶主機(jī)的IP分別是192.168.10.101～192.168.10.106。部署成績查詢系統(tǒng)，令學(xué)號為1號的學(xué)生查詢個人成績的訪問網(wǎng)址是http:// 192.168.10.254/Index.asp? xuehao=1，學(xué)號為2號的學(xué)生查詢個人成績的訪問網(wǎng)址是http://192.168.10.254/ Index.asp?xuehao=2，……依次類推。

（2）在（1）的訪問網(wǎng)址后面追加and 1=1，訪問該網(wǎng)址，若與訪問原地址得到的結(jié)果相同，則將and 1=1更改為追加and 1=2，并發(fā)現(xiàn)訪問該網(wǎng)址與訪問原地址得到的結(jié)果不同了，則可SQL注入。

（3）由于數(shù)據(jù)庫的表名、列名以及管理員的賬號已告知學(xué)生，則現(xiàn)只需進(jìn)行管理員密碼的猜測，以第一組的組員進(jìn)行注入為例，其它組的類同。那么訪問網(wǎng)址為：

http://192.168.10.254/Index.asp?xuehao=? and (select top 1 asc (mid(password,?,1)) from admin)>?

上面網(wǎng)址中第二代表學(xué)號，第三個代表密碼password從左邊開始的第位，第四個代表ASCII碼對應(yīng)的值。先查詢管理員密碼的第位對應(yīng)ASCII碼的值是多少，再根據(jù)ASCII碼的值，對照ASCII碼表查出是什么字符。由于ASCII碼對應(yīng)的在0～126這個范圍之內(nèi)，所以在假設(shè)第四個時也在0～126的范圍內(nèi)假設(shè)就可以。

（4）利用得到的管理員密碼，以及相關(guān)已知信息，登錄網(wǎng)站管理后臺，修改相應(yīng)信息，完全掌控該網(wǎng)站。

2.2 分析比較

在利用物理服務(wù)器平臺進(jìn)行網(wǎng)絡(luò)信息安全實(shí)訓(xùn)的過程中，各組之間是隔離的，教學(xué)安排也是靈活的。相比實(shí)驗(yàn)室以前的教學(xué)實(shí)驗(yàn)環(huán)境，該平臺讓實(shí)驗(yàn)在真實(shí)環(huán)境中得到展示，實(shí)驗(yàn)操作速度更快，相關(guān)操作更易于在實(shí)踐中應(yīng)用，教學(xué)知識點(diǎn)更易于學(xué)生掌握，更有利于讓學(xué)生體驗(yàn)比賽的過程，更能充分發(fā)揮學(xué)生的積極性和主動性。學(xué)生在實(shí)訓(xùn)過程中可以分工合作，在更短時間內(nèi)實(shí)現(xiàn)攻擊入侵行為，激發(fā)了學(xué)生的興趣和斗志。此外，對教師來說，除了可以使得教學(xué)設(shè)計更加靈活、豐富，也能更好地提升自身在網(wǎng)絡(luò)安全方面的水平與科研能力。

針對網(wǎng)絡(luò)安全專業(yè)實(shí)訓(xùn)，在實(shí)驗(yàn)室的其它平臺上進(jìn)行了教學(xué)實(shí)驗(yàn)的比較，難以有以上效果。虛擬機(jī)平臺或云平臺通常是統(tǒng)一管理，統(tǒng)一部署，統(tǒng)一操作，資源有限，速度相對較慢，缺乏讓學(xué)生分工合作，缺乏隔離，教學(xué)內(nèi)容和相關(guān)實(shí)驗(yàn)難以在真實(shí)環(huán)境中操作。

3 結(jié)束語

本文重點(diǎn)圍繞如何更適合教學(xué)與研究，建立了一個針對網(wǎng)絡(luò)安全相關(guān)專業(yè)的物理服務(wù)器實(shí)訓(xùn)平臺，為教學(xué)提供了真實(shí)的實(shí)驗(yàn)環(huán)境。通過分析可知，該平臺可以讓教學(xué)取得更好的效果，也為相關(guān)研究提供物理環(huán)境支持。

[1]羅婕，寧天橋.基于虛擬化技術(shù)建設(shè)高效綠色計算機(jī)實(shí)驗(yàn)教學(xué)平臺[J].計算機(jī)與現(xiàn)代化，2013.

[2]董焱.基于虛擬化技術(shù)的實(shí)驗(yàn)教學(xué)中心環(huán)境構(gòu)建[J].實(shí)驗(yàn)技術(shù)與管理，2011.

[3]姜莉.基于虛擬機(jī)的計算機(jī)公共機(jī)房多系統(tǒng)實(shí)驗(yàn)環(huán)境的構(gòu)建[J].中國現(xiàn)代教育裝備, 2009.

[4]宋蕾.虛擬技術(shù)在高校計算機(jī)機(jī)房實(shí)驗(yàn)室中的應(yīng)用[J].實(shí)驗(yàn)室研究與探索，2013.

[5]董尚燕.應(yīng)用云計算構(gòu)建高校計算機(jī)課程實(shí)驗(yàn)教學(xué)環(huán)境[J].電腦知識與技術(shù)，2016.

[6]朱文普.基于云平臺下的計算機(jī)實(shí)驗(yàn)室建設(shè)與管理[J]. 數(shù)字技術(shù)與應(yīng)用，2016.

[7]陳欽榮.基于云計算的虛擬計算機(jī)實(shí)驗(yàn)室構(gòu)建與研究[J].網(wǎng)絡(luò)空間安全，2015.