|
遠(yuǎn)程桌面安全全解(上) 從windows2000 server版本開始微軟就將一個(gè)名為“遠(yuǎn)程桌面”的程序集成到操作系統(tǒng)中，通過(guò)這個(gè)“遠(yuǎn)程桌面”網(wǎng)絡(luò)管理員可以在網(wǎng)絡(luò)的另一端輕松的控制公司的服務(wù)器，在上面進(jìn)行操作，刪除程序，運(yùn)行命令和在本地計(jì)算機(jī)一樣。因此“遠(yuǎn)程桌面”功能極大的方便了網(wǎng)絡(luò)管理員的工作，在推出以后受到了越來(lái)越多網(wǎng)管的青睞。 然而隨著網(wǎng)絡(luò)的普及，網(wǎng)絡(luò)的安全性越來(lái)越受到企業(yè)的重視，很多網(wǎng)管發(fā)現(xiàn)使用windows的遠(yuǎn)程桌面功能操作服務(wù)器有一定的安全隱患，也就是說(shuō)數(shù)據(jù)傳輸?shù)陌踩?jí)不夠高，雖然傳輸信息進(jìn)行了一定的加密，但黑客高手還是很容易將其還原成本來(lái)信息的。正因?yàn)檫h(yuǎn)程桌面在安全性上的不足使得一些網(wǎng)絡(luò)管理員開始尋求其他遠(yuǎn)程控制工具，例如remote admin,pc any where等。 微軟公司非?？粗羞h(yuǎn)程控制軟件的市場(chǎng)。為了提高遠(yuǎn)程桌面的安全級(jí)別，保證數(shù)據(jù)不被黑客竊取，在Windows2003的最新補(bǔ)丁包SP1中添加了一個(gè)安全認(rèn)證方式的遠(yuǎn)程桌面功能。通過(guò)這個(gè)功能我們可以使用SSL加密信息來(lái)傳輸控制遠(yuǎn)程服務(wù)器的數(shù)據(jù)，從而彌補(bǔ)了遠(yuǎn)程桌面功能本來(lái)的安全缺陷。 提示：如果你使用的是windows2003，但是沒(méi)有安裝最新的SP1補(bǔ)丁的話還是不能夠使用SSL加密的遠(yuǎn)程桌面認(rèn)證方式。因此建議各個(gè)公司馬上將服務(wù)器升級(jí)到windows2003+SP1。 一、危機(jī)四伏親手破解連接信息： 究竟沒(méi)有使用SSL加密傳輸信息的遠(yuǎn)程桌面認(rèn)證方式有多危險(xiǎn)，今天我們就跟隨高級(jí)網(wǎng)絡(luò)工程師一起來(lái)窺探個(gè)究竟。 實(shí)驗(yàn)環(huán)境： 單位服務(wù)器windows2000server版+SP4補(bǔ)丁包，網(wǎng)絡(luò)狀況是光纖10M出口。家中計(jì)算機(jī)為windows XP pro版+SP2補(bǔ)丁包，網(wǎng)絡(luò)狀況是北京網(wǎng)通ADSL 512KB。家中使用XP自帶的沒(méi)有包含SSL認(rèn)證的遠(yuǎn)程桌面連接功能控制服務(wù)器。 破解過(guò)程： 第一步：在家中計(jì)算機(jī)中安裝sniffer數(shù)據(jù)包分析工具，選擇網(wǎng)卡為本地網(wǎng)卡。（如圖1）
第二步：通過(guò)sniffer菜單中的“capture->start”來(lái)啟動(dòng)監(jiān)測(cè)功能，當(dāng)然直接點(diǎn)快捷按鈕的開始小箭頭也是一樣的。 第三步：這時(shí)候啟動(dòng)XP的遠(yuǎn)程桌面連接程序，訪問(wèn)公司的服務(wù)器。 第四步：登錄到服務(wù)器后輸入正確的用戶名和密碼進(jìn)入桌面，然后退出。 第五步：完成登錄服務(wù)器的操作后回到本地計(jì)算機(jī)的sniffer程序，點(diǎn)菜單的“capture->stop and display”來(lái)停止監(jiān)測(cè)并顯示結(jié)果。（如圖2）
二、銅墻鐵壁使用證書加密認(rèn)證： 首先要將服務(wù)器升級(jí)到最新版本windows2003，然后還需要通過(guò)windows update或網(wǎng)站將service packet 1補(bǔ)丁包安裝。因?yàn)橹挥邪惭b了SP1的Windows2003才具備通過(guò)SSL加密的遠(yuǎn)程桌面功能。以下所有操作都是對(duì)服務(wù)器而言的，只有服務(wù)器經(jīng)過(guò)設(shè)置容許支持SSL加密認(rèn)證，客戶端才可以通過(guò)遠(yuǎn)程桌面訪問(wèn)程序正常連接。 1.安裝證書服務(wù)： 第一步：默認(rèn)情況下windows2003沒(méi)有安裝證書服務(wù)，我們通過(guò)控制面板的添加/刪除windows組件來(lái)安裝“證書服務(wù)”。（如圖8）
2.設(shè)置證書服務(wù)參數(shù)： 默認(rèn)情況下證書類型不是我們本次操作所需要的，所以還需要對(duì)其進(jìn)行修改設(shè)置。 第一步：通過(guò)任務(wù)欄的“開始->程序->管理工具->證書頒發(fā)機(jī)構(gòu)”來(lái)打開證書設(shè)置窗口。（如圖15）
IIS啟動(dòng)后我們就可以通過(guò)網(wǎng)頁(yè)來(lái)申請(qǐng)證書了。 第一步：打開IE瀏覽器，在地址欄處輸入http://ip/certsrv/。例如服務(wù)器地址為10.91.30.45，則輸入http://10.91.30.45/certsrv，如果IIS工作正常，證書服務(wù)安裝正確的話會(huì)出現(xiàn)microsoft證書服務(wù)界面。（如圖19）
第三步：在申請(qǐng)證書界面選擇“高級(jí)證書申請(qǐng)”。（如圖20）
提示：如果高級(jí)證書姓名填寫的是其他信息，那么在配置SSL加密認(rèn)證時(shí)會(huì)出現(xiàn)配置信息與服務(wù)器名不符合的錯(cuò)誤。所以務(wù)必填寫服務(wù)器的IP地址。 第六步：電子郵件和公司，部門，地區(qū)等信息隨意填寫。 第七步：需要的證書類型選擇“服務(wù)器身份驗(yàn)證證書”。 第八步：密鑰選項(xiàng)設(shè)置為“創(chuàng)建新密鑰集”。 第九步：密鑰用戶設(shè)置為“交換”。 第十步：將最下方的“標(biāo)記密鑰為可導(dǎo)出”與“將證書保存在本地計(jì)算機(jī)存儲(chǔ)”前打?qū)?。至此高?jí)證書申請(qǐng)參數(shù)填寫完畢。（如圖22）
4.頒發(fā)證書： 下面為大家介紹如何頒發(fā)剛剛申請(qǐng)的證書。 第一步：通過(guò)任務(wù)欄的“開始->程序->管理工具->證書頒發(fā)機(jī)構(gòu)”來(lái)打開證書設(shè)置窗口。 第二步：在本地計(jì)算機(jī)softer下的“掛起的申請(qǐng)”處會(huì)看到有一個(gè)申請(qǐng)，ID號(hào)為2，這個(gè)就是剛才的申請(qǐng)。 第三步：在該申請(qǐng)上點(diǎn)鼠標(biāo)右鍵選擇“所有任務(wù)->頒發(fā)”，頒發(fā)后我們申請(qǐng)的證書就可以使用了。（如圖25）
證書已經(jīng)通過(guò)服務(wù)器的審批，下面就要在服務(wù)器上安裝我們申請(qǐng)的證書。只有擁有了證書才能讓我們遠(yuǎn)程訪問(wèn)中傳輸?shù)臄?shù)據(jù)更加安全。 第一步：打開IE瀏覽器，在地址欄處輸入http://ip/certsrv/。例如服務(wù)器地址為10.91.30.45，則輸入http://10.91.30.45/certsrv，如果IIS工作正常，證書服務(wù)安裝正確的話會(huì)出現(xiàn)microsoft證書服務(wù)界面。 第二步：選擇“查看掛起的證書申請(qǐng)狀態(tài)”，在這里會(huì)看到我們?cè)瓉?lái)提交的那個(gè)“服務(wù)器身份驗(yàn)證證書”的蹤影。（如圖26）
|
|
|
