elva

远程桌面安全全解(上)

远程桌面安全全解(上)



从windows2000 server版本开始微软就将一个名为“远程桌面”的程序集成到操作系统中，通过这个“远程桌面”网络管理员可以在网络的另一端轻松的控制公司的服务器，在上面进行操作，删除程序，运行命令和在本地计算机一样。因此“远程桌面”功能极大的方便了网络管理员的工作，在推出以后受到了越来越多网管的青睐。 然而随着网络的普及，网络的安全性越来越受到企业的重视，很多网管发现使用windows的远程桌面功能操作服务器有一定的安全隐患，也就是说数据传输的安全级不够高，虽然传输信息进行了一定的加密，但黑客高手还是很容易将其还原成本来信息的。正因为远程桌面在安全性上的不足使得一些网络管理员开始寻求其他远程控制工具，例如remote admin,pc any where等。
微软公司非常看中远程控制软件的市场。为了提高远程桌面的安全级别，保证数据不被黑客窃取，在Windows2003的最新补丁包SP1中添加了一个安全认证方式的远程桌面功能。通过这个功能我们可以使用SSL加密信息来传输控制远程服务器的数据，从而弥补了远程桌面功能本来的安全缺陷。
提示：如果你使用的是windows2003，但是没有安装最新的SP1补丁的话还是不能够使用SSL加密的远程桌面认证方式。因此建议各个公司马上将服务器升级到windows2003+SP1。
一、危机四伏亲手破解连接信息：
究竟没有使用SSL加密传输信息的远程桌面认证方式有多危险，今天我们就跟随高级网络工程师一起来窥探个究竟。
实验环境：
单位服务器windows2000server版+SP4补丁包，网络状况是光纤10M出口。家中计算机为windows XP pro版+SP2补丁包，网络状况是北京网通ADSL 512KB。家中使用XP自带的没有包含SSL认证的远程桌面连接功能控制服务器。
破解过程：
第一步：在家中计算机中安装sniffer数据包分析工具，选择网卡为本地网卡。（如图1）
图1 点击看大图
提示：其实将sniffer工具安装在与家中计算机处于同一个子网中的计算机进行监控也是没有任何问题的，他同样可以监测到下面提到的数据信息。
第二步：通过sniffer菜单中的“capture->start”来启动监测功能，当然直接点快捷按钮的开始小箭头也是一样的。
第三步：这时候启动XP的远程桌面连接程序，访问公司的服务器。
第四步：登录到服务器后输入正确的用户名和密码进入桌面，然后退出。
第五步：完成登录服务器的操作后回到本地计算机的sniffer程序，点菜单的“capture->stop and display”来停止监测并显示结果。（如图2）
图2 点击看大图
第六步：在显示结果窗口中点左边的“objects”标签，如果你是通过宽带路由器多台计算机共享上网的话就会在“objects”窗口中看到我们要访问服务器的IP地址了，当然对于那些只有一台计算机并通过ADSL猫上网的朋友，由于ADLS猫充当了IP地址转换和过滤的工作，所以只会在“objects”窗口看到本地网卡的信息。选中本地网卡或服务器的IP地址然后点下方的“decode”标签进行数据包分析。（如图3）
图3 点击看大图
第七步：在“DECODE”标签中我们就可以对监测到的数据包进行分析了。我们从最上方开始分析目的地地址。在第23个数据包时就会看到服务器的IP地址，这些数据包就是我们要仔细分析的。（如图4）
图4 点击看大图
第八步：继续往下分析到第26个数据包时就从最下方的数据信息中可以清晰的看到登录服务器时所输入的用户名——“softer”了。（如图5）
图5 点击看大图
第九步：在分析到第28和29个数据包时就会在数据信息处看到经过加密的密码信息了。（如图6）虽然我们无法辩识但黑客可以根据这些密文进行反编译。编译过程比较长，类似于穷举法。（如图7）
图6 点击看大图
图7 点击看大图
虽然远程桌面连接传输信息时不同于FTP与telnet那样使用明文传输，但是用户名的明文传输与密码的简单加密还是存在着很大的安全隐患的，数据包很容易被黑客偷窥并破解。所以我们要将远程桌面安全进行到底。

二、铜墙铁壁使用证书加密认证：

首先要将服务器升级到最新版本windows2003，然后还需要通过windows update或网站将service packet 1补丁包安装。因为只有安装了SP1的Windows2003才具备通过SSL加密的远程桌面功能。以下所有操作都是对服务器而言的，只有服务器经过设置容许支持SSL加密认证，客户端才可以通过远程桌面访问程序正常连接。
1.安装证书服务：
第一步：默认情况下windows2003没有安装证书服务，我们通过控制面板的添加/删除windows组件来安装“证书服务”。（如图8）
图8 点击看大图
第二步：在CA证书类型中选择“独立根CA”，然后点“下一步”继续。（如图9）
图9 点击看大图
第三步：在CA识别信息窗口中为安装的CA起一个公用名称——softer，可分辨名称后缀处空白不填写，有效期限保持默认5年即可。（如图10）
图10 点击看大图
第四步：在证书数据库设置窗口我们保持默认即可，因为只有保证默认目录（windows\system32\certlog）系统才会根据证书类型自动分类和调用。点“下一步”后继续。（如图11）
图11 点击看大图
第五步：配置好安装证书所需要的参数后系统就开始安装该组件，当然在安装过程中会提示要求插入WINDOWS2003系统光盘。（如图12）
图12 点击看大图
第六步：插入光盘找到系统文件后继续安装，在安装服务的最后系统会提示“要容许证书服务需要启用IIS的ASP功能”，我们选择“是”来启用ASP。（如图13）
图13 点击看大图
第七步：完成CA证书服务的windows组件安装工作。（如图14）
图14 点击看大图
提示：如果windows2003没有安装IIS组件的话还需要按照上面介绍的方法将IIS组件也安装。

2.设置证书服务参数：

默认情况下证书类型不是我们本次操作所需要的，所以还需要对其进行修改设置。
第一步：通过任务栏的“开始->程序->管理工具->证书颁发机构”来打开证书设置窗口。（如图15）
图15 点击看大图
第二步：如果证书颁发机构中没有显示出任何计算机则我们需要通过“文件”菜单中的设置来加载本地计算机的证书服务。（如图16）
图16 点击看大图
第三步：在计算机softer上点鼠标右键选择“属性”，然后点“策略模快”标签，在策略模快标签下还有一个“属性”按钮。（如图17）
图17
第四步：点属性按钮后在设置请求处理窗口中将默认的设置修改为“如果可以的话，按照证书模板中的设置。否则，将自动颁发证书”。（如图18）
图18
3.申请证书
IIS启动后我们就可以通过网页来申请证书了。
第一步：打开IE浏览器，在地址栏处输入http://ip/certsrv/。例如服务器地址为10.91.30.45，则输入http://10.91.30.45/certsrv，如果IIS工作正常，证书服务安装正确的话会出现microsoft证书服务界面。（如图19）
图19 点击看大图
第二步：我们在该界面中选择“申请一个证书”。
第三步：在申请证书界面选择“高级证书申请”。（如图20）
图20 点击看大图
第四步：在高级证书申请界面选择“创建并向此CA提交一个申请”。（如图21）
图21 点击看大图
第五步：在高级证书申请填写界面需要我们修改的地方比较多，首先输入姓名，这个姓名要填写服务器的IP地址。
提示：如果高级证书姓名填写的是其他信息，那么在配置SSL加密认证时会出现配置信息与服务器名不符合的错误。所以务必填写服务器的IP地址。
第六步：电子邮件和公司，部门，地区等信息随意填写。
第七步：需要的证书类型选择“服务器身份验证证书”。
第八步：密钥选项设置为“创建新密钥集”。
第九步：密钥用户设置为“交换”。
第十步：将最下方的“标记密钥为可导出”与“将证书保存在本地计算机存储”前打对勾。至此高级证书申请参数填写完毕。（如图22）
图22 点击看大图
第十一步：点提交申请后会出现“潜在的脚本冲突”提示，我们不用理会直接选择“是”即可。（如图23）
图23
第十二步：提交申请完毕会出现证书挂起的提示，系统会提示你的申请信息已经挂起，等待管理员颁发，并还会显示出申请ID的序号。（如图24）
图24 点击看大图
至此我们就完成了证书的申请工作，接下来还需要对申请的证书进行颁发，只有颁发了我们才可以开始使用。
4.颁发证书：

下面为大家介绍如何颁发刚刚申请的证书。
第一步：通过任务栏的“开始->程序->管理工具->证书颁发机构”来打开证书设置窗口。
第二步：在本地计算机softer下的“挂起的申请”处会看到有一个申请，ID号为2，这个就是刚才的申请。
第三步：在该申请上点鼠标右键选择“所有任务->颁发”，颁发后我们申请的证书就可以使用了。（如图25）
图25 点击看大图
5.安装证书：
证书已经通过服务器的审批，下面就要在服务器上安装我们申请的证书。只有拥有了证书才能让我们远程访问中传输的数据更加安全。
第一步：打开IE浏览器，在地址栏处输入http://ip/certsrv/。例如服务器地址为10.91.30.45，则输入http://10.91.30.45/certsrv，如果IIS工作正常，证书服务安装正确的话会出现microsoft证书服务界面。
第二步：选择“查看挂起的证书申请状态”，在这里会看到我们原来提交的那个“服务器身份验证证书”的踪影。（如图26）
图26 点击看大图
第三步：点该“服务器身份验证证书”后出现证书已颁发的提示，我们直接点“安装此证书”。（如图27）
图27 点击看大图
第四步：系统会弹出“潜在的脚本冲突”提示，我们不用理睬继续点“是”即可。系统会自动将该证书安装在服务器上。（如图28）
图28 点击看大图
第五步：安装完毕系统会以网页的形式将“证书已安装信息”反馈给用户。（如图29）
29 点击看大图
总结：本篇文章的讲解了远程桌面连接自身的安全隐患并且为大家介绍了“将远程桌面安全进行到底”中的“服务安装”，“设置证书”，“申请证书”，“颁发证书”以及“安装证书”。当然“将远程桌面安全进行到底”涉及的内容比较多，在下半部分中笔者将为大家介绍“服务器上远程桌面连接的加密设置”，“客户机的具有加密功能远程桌面功能的安装”以及“客户机证书的安装“等操作。

posted on 2007-05-06 16:35 叶子 阅读(392) 评论(0)  编辑 收藏 引用 所属分类: 网络安全


只有注册用户登录后才能发表评论。
网站导航: 博客园   IT新闻   BlogJava   博问   Chat2DB   管理