在GNU bash环境变量中定义一个函数之后，如果后续还有其它字符串，bash在解析这些字符串的时候存在一个缺陷，允许远程攻击者执行任意的命令，只要攻击者 构建一个特殊的环境变量即可。攻击者可以利用此缺陷重写或绕过环境变量的限制执行shell命令，从而导致信息泄漏、未授权的恶意修改、服务中断。
二、受影响版本
目前GNU bash4.3及以下版本存在此问题。
三、利用场景
如下业务场景中都会受此缺陷影响：
1、OpenSSHsshd使用了ForceCommand特性
ForceCommand特性用来给远程用户提供受限的命令执行能力，因此使用了此特性的如git、subversion等都会受影响。
2、Apache HTTP Server使用了modcgi和mod_cgid模块；
在Apache Server启用了modcgi和mod_cgid模块时，只要CGI脚本是由bash编写，或者使用了派生的subshell都会受影响。能够产生这样的subshell的包括：
C语言的system/popen，Python的os.system/os.popen，PHP的system/exec，Perl的open/system。
四、修复方法
yum clean all
yum --enablerepo=updates install bash
五、验证方法
验证是否存在次漏洞的方法：
[root@localhost]# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test
漏洞修复之后，再执行该命令：
[root@localhost]# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test
六、参考链接
https://www.invisiblethreat.ca/2014/09/cve-2014-6271/
https://access.redhat.com/node/1200223
编辑/usr/local/webserver/php/etc/php.ini 文件，搜索 cgi.fix_pathinfo ，如果cgi.fix_pathinfo 该行为 ; cgi.fix_pathinfo=0 请修改为 cgi.fix_pathinfo=0
或直接执行：sed -i 's/; cgi.fix_pathinfo=0/cgi.fix_pathinfo=0/g' /usr/local/webserver/php/etc/php.ini
再执行：/usr/local/webserver/php/sbin/php-fpm restart 重启php-fpm
如果是cgi.fix_pathinfo=0则没问题，不需要修改。
请各位lnmp(linux+nginx+mysql+php)用户检查一下，防止pathinfo漏洞给网站或服务器带来安全隐患。
在nmap-hackers邮件列表中做出的评选，因此没有把nmap安全扫描器（http://www.insecure.org/nmap/）评选在内。
这次评选出来的75个最佳安全工具在网络安全领域都是一些很有代表性的软件，对于那些在网络安全方面不知从何处开始的新手们来说，这对他们有相当的参考价值。
工具：Nessus（最好的开放源代码风险评估工具）
网址：http://www.nessus.org/
类别：开放源码
平台：Linux/BSD/Unix
简介：Nessus是一款可以运行在Linux、BSD、Solaris以及其他一些系统上的远程安全扫描软件。它是多线程、基于插入式的软件，拥有很好的GTK界面，能够完成超过1200项的远程安全检查，具有强大的报告输出能力，可以产生HTML、XML、LaTeX和ASCII文本等格式的安全报告，并且会为每一个发现的安全问题提出解决建议。
工具：Ethereal（网络协议检测工具）
网址：http://www.ethereal.com/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：Ethereal是一款免费的网络协议分析程序，支持Unix、Windows。借助这个程序，你既可以直接从网络上抓取数据进行分析，也可以对由其他嗅探器抓取后保存在硬盘上的数据进行分析。你能交互式地浏览抓取到的数据包，查看每一个数据包的摘要和详细信息。Ethereal有多种强大的特征，如支持几乎所有的协议、丰富的过滤语言、易于查看TCP会话经重构后的数据流等。
工具：Snort（免费的入侵检测系统）
网址：http://www.snort.org/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：Snort是一款轻量级的网络入侵检测系统，能够在IP网络上进行实时的流量分析和数据包记录。它不仅能进行协议分析、内容检索、内容匹配，而且能用于侦测诸如缓冲溢出、隐秘端口扫描、CGI攻击、SMB探测、操作系统指纹识别等大量的攻击或非法探测。Snort使用灵活的规则去描述哪些流量应该被收集或被忽略，并且提供一个模块化的探测引擎。
工具：Netcat（网络瑞士军刀）
网址：http://www.atstake.com/research/tools/network_utilities/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：一个简单而有用的工具，透过使用TCP或UDP协议的网络连接去读写数据。它被设计成一个稳定的后门工具，能够直接由其它程序和脚本轻松驱动。同时，它也是一个功能强大的网络调试和探测工具，能够建立你需要的几乎所有类型的网络连接，还有几个很有意思的内置功能。
工具：TCPDump/WinDump（用于网络监测和数据收集的优秀嗅探器）
网址：http://www.tcpdump.org/，http://windump.polito.it/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：Tcpdump是一款众人皆知和受人喜欢的基于命令行的网络数据包分析和嗅探工具。它能把匹配规则的数据包的包头给显示出来。你能使用这个工具去查找网络问题或者去监视网络上的状况。WinDump是Tcpdump在Windows平台上的移植版。
工具：Hping2（类似ping的网络探测工具）
网址：http://www.hping.org/
类别：开放源码
平台：Linux/BSD/Unix
简介：hping2能发送自定义的ICMP/UDP/TCP包到目标地址并且显示包的响应情况。它有一个方便的traceroute模式，并且支持IP分片。这个工具在traceroute、ping和探测_blank">防火墙后的主机时特别有用。
工具：DSniff(一流的网络审计和渗透测试工具）
网址：http://naughty.monkey.org/~dugsong/dsniff/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：DSniff是由Dug Song开发的一套包含多个工具的软件套件。其中，dsniff、filesnarf、mailsnarf、msgsnarf、rlsnarf和 webspy可以用于监视网络上我们感兴趣的数据（如口令、e-mail、文件等），arpspoof、dnsspoof和macof能很容易地载取到攻击者通常难以获取的网络信息（如二层交换数据），sshmitm和webmitm则能用于实现重写SSH和HTTPS会话达到monkey-in-the -middle攻击。在http://www.datanerds.net/~mike/dsniff.html可以找到Windows平台上的移植版。
工具：GFI LANguard（商业化的网络安全扫描软件）
网址：http://www.gfi.com/lannetscan/
类别：商业
平台：Windows
简介：LANguard扫描网络并且得出诸如每台机器的服务包等级、缺少的安全补丁、打开的共享、开放的端口、正在运行的服务和应用程序、注册表键值、弱口令、用户和组等扫描信息的报告。扫描结果输出为一个HTML格式的报告，报告能够自定义。
工具：Ettercap（为你的交换环境提供更多的安全）
网址：http://ettercap.sourceforge.net/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：Ettercap是一款以太网环境下的网络监视、拦载和记录工具，支持多种主动或被动的协议分析（甚至跟加密相关的SSH、HTTPS等），有数据插入、过滤、保持连接同步等多种功能，也有一个能支持多种嗅探模式的、强大而完整的嗅探套件，支持插件，能够检查网络环境是否是交换局域网，并且能使用主动或被动的操作系统指纹识别技术让你了解当前局域网的情况。
工具：Whisker/Libwhisker（CGI缺陷扫描软件和库）
网址：http://www.wiretrip.net/rfp/p/doc.asp/d21.htm
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：Whisker是一款非常好的HTTP服务器缺陷扫描软件，能扫描出大量的已知安全漏洞，特别是些危险的CGI漏洞。Libwhisker是一个用perl编写的由Whiskerr使用的程序库，通过它你可以创建自己HTTP扫描器。
工具：John the Ripper（格外强大、灵活、快速的多平台哈希口令破解器）
网址：http://www.openwall.com/john/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：John the Ripper是一个快速的口令破解器，支持多种操作系统，如Unix、DOS、Win32、BeOS和OpenVMS等。它设计的主要目的是用于检查 Unix系统的弱口令，支持几乎所有Unix平台上经crypt函数加密后的口令哈希类型，也支持Kerberos AFS和Windows NT/2000/XP LM哈希等。
工具：OpenSSH/SSH（访问远程计算机的一种安全方法）
网址：http://www.openssh.com/，http://www.ssh.com/commerce/index.html
类别：开放源码/商业
平台：Linux/BSD/Unix/Windows
简介：SSH（Secure Shell）是一款用来登录远程服务器并在远程服务器上执行命令的程序，在缺少安全防护的网络上它能给两台互不信任的主机间提供安全可靠的加密通讯。X11连接和其他任意的TCP/IP端口连接都可以通过SSH进行数据封装转发到一个安全的通道里。SSH开发的本意是用于代替rlogin、rsh和rcp这些不安全的程序，以及为rdist和rsync提供安全通道。需要注意的是，OpenSSH是SSH的替代软件，SSH对于某些用途是要收费的，但OpenSSH总是免费。
工具：Sam Spade（Windows平台上的免费网络查询工具）
网址：http://www.samspade.org/ssw/
类别：免费软件
平台：Windows
简介：SamSpade提供了一个友好的GUI界面，能方便地完成多种网络查询任务，它开发的本意是用于追查垃圾邮件制造者，但也能用于其它大量的网络探测、网络管理和与安全有关的任务，包括ping、nslookup、whois、dig、traceroute、finger、raw HTTP web browser、DNS zone transfer、SMTP relay check、website search等工具，在它的网站还有大多数查询工具的一个在线版本（http://www.samspade.org/t/）。
工具：ISS Internet Scanner（应用层风险评估工具）
网址：http://www.iss.net/products_services/enterprise_protection/vulnerability_assessment/scanner_internet.php
类别：商业
平台：Windows
简介：互联网扫描器（Internet Scanner）始于1992年一个小小的开放源代码扫描器，它是相当不错的，但价格昂贵，使用开源软件Nessus来代替它也是一个不错的选择。
工具：Tripwire（功能强大的数据完整性检查工具）
网址：http://www.tripwire.com/
类别：商业
平台：Linux/BSD/Unix/Windows
简介：Tripwire是一款文件和目录完整性检查工具，它能帮助系统管理员和用户监视一些重要文件和目录发生的任何变化。通过制定一些基本的系统策略，在文件遭到破坏或篡改时由Tripwire通知系统管理员，从而能及时地做出处理。Tripwire的商业版本非常昂贵，在Tripwire.Org网站有一个免费的开放源代码的Linux版本，UNIX用户也可能需要考虑AIDE（http://www.cs.tut.fi/~rammer/aide.html），它是Tripwire的免费替代品。
工具：Nikto（一款非常全面的web扫描器）
网址：http://www.cirt.net/code/nikto.shtml
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：Nikto是一款能对web服务器多种安全项目进行测试的扫描软件，能在200多种服务器上扫描出2000多种有潜在危险的文件、CGI及其他问题。它也使用LibWhiske库，但通常比Whisker更新的更为频繁。
工具：Kismet（强大的无线嗅探器）
网址：http://www.kismetwireless.net/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：Kismet是一款802.11b网络嗅探和分析程序，功能有：支持大多数无线网卡，能通过UDP、ARP、DHCP数据包自动实现网络IP阻塞检测，能通过Cisco Discovery协议列出Cisco设备，弱加密数据包记录，和Ethereal、tcpdump兼容的数据包dump文件，绘制探测到的网络图和估计网络范围。
工具：SuperScan（Windows平台上的TCP端口扫描器）
网址：http://www.foundstone.com/index.htm?subnav=resources/navigation.htm&subcontent=/resources/proddesc/superscan.htm
类别：免费
平台：Windows
简介：SuperScan是一款具有TCP connect端口扫描、Ping和域名解析等功能的工具，能较容易地做到对指定范围内的IP地址进行ping和端口扫描。源代码不公开。
工具：L0phtCrack 4（Windows口令审计和恢复程序）
网址：http://www.atstake.com/research/lc/
类别：商业
平台：Linux/BSD/Unix/Windows
简介：L0phtCrack试图根据从独立的Windows NT/2000工作站、网络服务器、主域控制器或Active Directory上正当获取或者从线路上嗅探到的加密哈希值里破解出Windows口令，含有词典攻击、组合攻击、强行攻击等多种口令猜解方法。
工具：Retina（eEye公司的风险评估扫描工具）
网址：http://www.eeye.com/html/Products/Retina/index.html
类别：商业
平台：Windows
简介：像上面提到的Nessus和ISS Internet Scanner一样，Retina的功能也是用于扫描网络内所有的主机并且报告发现的每一个缺陷。
工具：Netfilter（当前Linux内核采用的包过滤_blank">防火墙）
网址：http://www.netfilter.org/
类别：开放源码
平台：Linux
简介：Netfilter是一款功能强大的包过滤_blank">防火墙，在标准的Linux内核内得到实现，iptables是 _blank">防火墙配置工具。它现在支持有状态或无状态检测的包过滤，支持所有种类的NAT和包分片。相应的，对于非Linux平台上的 _blank">防火墙，OpenBSD平台上有pf，UNIX平台上有ipfilter，Windows平台上有Zone Alarm个人_blank">防火墙。
工具：traceroute /ping /telnet /whois（基本命令）
网址：
类别：免费
平台：Linux/BSD/Unix/Windows
简介：当我们使用大量的高水平的工具来辅助安全审计工作时，别忘了这几个最基本的工具。我们每个人都应非常熟悉这几个工具的用法，几乎所有的操作系统上都附带有这几个工具，不过Windows平台上没有whois工具，并且traceroute改名为tracert。
工具：Fport（增强的netstat）
网址：http://www.foundstone.com/index.htm?subnav=resources/navigation.htm&subcontent=/resources/proddesc/fport.htm
类别：免费
平台：Windows
简介：Fport能显示主机上当前所有打开的TCP/IP、UDP端口和端口所属的进程，因此通过使用它能即刻发现未知的开放端口和该端口所属的应用程序，是一款查找木马的好工具。不过，Fport仅支持Windows系统，在许多UNIX系统上有一个netstat命令实现类似功能，Linux系统上用“netstat -pan”命令。源代码不公开。
工具：SAINT（安全管理员的综合网络工具）
网址：http://www.saintcorporation.com/saint/
类别：商业
平台：Linux/BSD/Unix
简介：Saint是一款商业化的风险评估工具，但与那些仅支持Windows平台的工具不同，SAINT运行在UNIX类平台上，过去它是免费并且开放源代码的，但现在是一个商业化的产品。
工具：Network Stumbler（免费的Windows平台802.11嗅探器）
网址：http://www.stumbler.net/
类别：免费
平台：Windows
简介：Netstumbler是最有名的寻找无线接入点的工具，另一个支持PDA的WinCE平台版本叫Ministumbler。这个工具现在是免费的，仅仅支持Windows系统，并且源代码不公开，而且该软件的开发者还保留在适当的情况下对授权协议的修改权。UNIX系统上的用户可以使用Kismet来代替。
工具：SARA（安全管理员的辅助工具）
网址：http://www-arc.com/sara/
类别：开放源码
平台：Linux/BSD/Unix
简介：SARA是一款基于SATAN安全扫描工具开发而来的风险评估工具，每月更新两次。
工具：N-Stealth（web服务器扫描工具）
网址：http://www.nstalker.com/nstealth/
类别：商业
平台：Windows
简介：N-Stealth是一款商业化的Web服务器安全扫描软件，通常它比whisker、nikto等免费的web扫描器升级的更为频繁。N-Stealth开发商宣称的“超过20,000条的缺陷和 exploit数据”和“每天新增大量的缺陷检查”是非常可疑的。我们也要注意到，在nessus、ISS、Retina、SAINT和SARA等所有常见的风险评估工具里已含有web扫描组件，不过它们可能没有N-Stealth这样灵活易用和更新频繁。n-stealth不公开源代码。
工具：AirSnort（802.11 WEP密码破解工具）
网址：http://airsnort.shmoo.com/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：AirSnort是一款无线局域网密钥恢复工具，由Shmoo小组开发。它监视无线网络中的传输数据，当收集到足够多的数据包时就能计算出密钥。
工具：NBTScan（从Windows网络上收集NetBIOS信息）
网址：http://www.inetcat.org/software/nbtscan.html
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：NBTscan是一个用于扫描网络上NetBIOS名字信息的程序。这个程序对给出范围内的每一个地址发送NetBIOS状态查询，并且以易读的表格列出接收到的信息，对于每个响应的主机，它列出它的IP地址、NetBIOS计算机名、登录用户名和MAC地址。
工具：GnuPG/PGP（保护你的文件和通信数据的先进加密程序）
网址：http://www.gnupg.org/，http://www.pgp.com/
类别：开放源码/商业
平台：Linux/BSD/Unix/Windows
简介：PGP是由Phil Zimmerman开发的著名加密程序，它使用公钥加密算法和常规的加密技术相结合，能将加密后的文件安全地从一地传递到另一地，从而保护用户的数据免于窃听或其他的安全风险。GnuPG是遵照PGP标准开发的开源程序，不同的是，GnuPG是永远免费的，而PGP对于某些用途要收费。
工具：Firewalk（高级的traceroute）
网址：http://www.packetfactory.net/projects/firewalk/
类别：开放源码
平台：Linux/BSD/Unix
简介：Firewalk使用类似traceroute的技术来分析IP包的响应，从而测定网关的访问控制列表和绘制网络图。2002年10月，这个一流的工具在原来的基础上进行了重新开发。需要注意到的是，Firewalk里面的大多数功能也能由Hping2的traceroute选项来实现。
工具：Cain & Abel（穷人的L0phtcrack）
网址：http://www.oxid.it/cain.html
类别：免费
平台：Windows
简介：Cain & Abel是一个针对Microsoft操作系统的免费口令恢复工具。它通过如下多种方式轻松地实现口令恢复：网络嗅探、破解加密口令（使用字典或强行攻击）、解码被打乱的口令、显示口令框、显示缓存口令和分析路由协议等。源代码不公开。
工具：XProbe2（主动操作系统指纹识别工具）
网址：http://www.sys-security.com/html/projects/X.html
类别：开放源码
平台：Linux/BSD/Unix
简介：XProbe是一款测定远程主机操作系统类型的工具。它依靠与一个签名数据库的模糊匹配以及合理的推测来确定远程操作系统的类型，利用ICMP协议进行操作系统指纹识别是它的独到之处。
工具：SolarWinds Toolsets（大量的网络发现、监视、攻击工具）
网址：http://www.solarwinds.net/
类别：商业
平台：Windows
简介：SolarWinds包含大量适合系统管理员做特殊用途的工具，与安全相关的工具包括许多的网络发现扫描器（network discovery scanner）和一个SNMP强力破解器。
工具：NGrep（方便的包匹配和显示工具）
网址：http://www.packetfactory.net/projects/ngrep/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：NGrep在网络层实现了GNU grep的大多数功能，基于pcap，可以使你通过指定扩展的正则表达式或十六进制表达式去匹配网络上的数据流量。它当前能够识别流经以太网、PPP、SLIP、FDDI、令牌网和回环设备上的TCP、UDP和ICMP数据包，并且和其他常见的嗅探工具（如tcpdump和snoop）一样，理解bpf过滤机制。
工具：Perl/Python（脚本语言）
网址：http://www.perl.org，http://www.python.org/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：当我们使用那些已经开发好的安全工具来处理任务时，别忘了能自己写出（或修改）安全程序也是一件非常重要的事情。利用Perl和Python能非常容易地写出用于系统测试、exploit和修补的脚本程序，使用包含Net::RawIP和协议实现等模块的CPAN（Comprehensive Perl Archive Network：http://www.cpan.org/）或类似的档案能帮助我们比较容易地进行相关的开发。
工具：THC-Amap（应用程序指纹识别扫描器）
网址：http://www.thc.org/releases.php
类别：开放源码
平台：Linux/BSD/Unix
简介：由THC开发的Amap是一个功能强大的扫描器，它通过探测端口响应的应用程序指纹数据来识别应用程序和服务，远甚于通过缺省端口号来判断应用程序和服务的方法。
工具：OpenSSL（最为重要的SSL/TLS加密库）
网址：http://www.openssl.org/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：OpenSSL项目是共同努力开发出来的一个健全的、商业级的、全开放的和开放源代码的工具包，用于实现安全套接层协议(SSL v2/v3)和传输层安全协议(TLS v1)以及形成一个功效完整的通用加密库。该项目由全世界范围内志愿者组成的团体一起管理，他们使用Internet去交流、设计和开发这个OpenSSL工具和相关的文档。
工具：NTop（网络使用状况监测软件）
网址：http://www.ntop.org/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：Ntop是一款显示网络使用状况的流量监测软件，类似于UNIX平台上监视系统进程的top命令。在交互模式下，ntop会将网络的使用状况显示在用户的终端上；在Web模式下，ntop会做为一个web服务器，创建包含网络状况的HTML网页返回给用户。
工具：Nemesis（命令行式的UNIX网络信息包插入套件）
网址：http://www.packetfactory.net/projects/nemesis/
类别：开放源码
平台：Linux/BSD/Unix
简介：Nemesis项目是为了开发一个UNIX/Linux系统上基于命令行的、方便人们使用的IP栈，它可以自定义数据包、插入数据包、进行协议攻击等，是一个很好的测试_blank">防火墙、入侵检测系统、路由器和其他网络设备的工具。如果你对Nemesis感兴趣，那么你也可能需要看看hping2，这两者补相互之不足。
工具：LSOF（列出打开的文件）
网址：ftp://vic.cc.purdue.edu/pub/tools/unix/lsof/
类别：开放源码
平台：Linux/BSD/Unix
简介：LSOF是针对Unix的诊断和分析工具，它能显示出由系统里正在运行的进程所打开的文件，也能显示出每一个进程的通讯socket。
工具：Hunt（Linux平台上高级的包嗅探和会话劫持工具）
网址：http://lin.fsid.cvut.cz/~kra/index.html#HUNT
类别：开放源码
平台：Linux
简介：Hunt能监视、劫持、重设网络上的TCP连接，在以太网上使用才有作用，并且含有监视交换连接的主动机制，以及包括可选的ARP转播和劫持成功后的连接同步等高级特征。
工具：Honeyd（你个人的honeynet，http://www.honeynet.org/）
网址：http://www.citi.umich.edu/u/provos/honeyd/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：Honeyd是一个能在网络上创建虚拟主机的小小后台程序，虚拟主机能被配置成运行任意的服务，并且洽当的服务TCP特性以致他们看起来就像是运行在某个特定版本的操作系统上。Honeyd能在一个模拟的局域网环境里让一台主机配有多个地址，并且可以对虚似主机进行 ping、traceroute。虚拟主机上任何类型的服务都可以依照一个简单的配置文件进行模拟。Honeyd也可以对一台主机做代理服务，而不是模拟它。
工具：Achilles（可以修改http会话包的代理程序）
网址：http://packetstormsecurity.nl/filedesc/achilles-0-27.zip.html
类别：开放源码
平台：Windows
简介：Achilles是一个设计用来测试web应用程序安全性的工具。它是一个代理服务器，在一个HTTP会话中扮演着“中间人”（man-in-the-middle）的角色。一个典型的HTTP代理服务器将在客户浏览器和web服务器间转发数据包，但Achilles却载取发向任一方的HTTP会话数据，并且在转发数据前可以让用户修改这些数据。
工具：Brutus（网络认证的强行破解工具）
网址：http://www.hoobie.net/brutus/
类别：免费
平台：Windows
简介：Brutus是一款对远程服务器的网络服务进行口令猜解的工具，支持字典攻击和组合攻击，支持的网络应用包括HTTP、POP3、FTP、SMB、TELNET、IMAP、NTP等。源代码不公开。UNIX系统上的THC-Hydra有类似的功能。
工具：Stunnel（一个多种用途的SSL加密外壳）
网址：http://www.stunnel.org/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：Stunnel程序被设计用来做为本地客户端和远程服务器间的SSL加密外壳。它能在POP2、POP3、IMAP等使用inetd后台进程的服务器上增加SSL功能，并且不会影响到程序源代码。它使用OpenSSL或SSLeay库建立SSL会话连接。
工具：Paketto Keiretsu（极端的TCP/IP）
网址：http://www.doxpara.com/paketto
类别：开放源码
平台：Linux/BSD/Unix
简介：Paketto Keiretsu是一组使用新式的不常见的策略去操作TCP/IP网络的工具集合，开发的最初本意是为了在现有TCP/IP架构里去实现一些功能，但现在已经远远超出了最初的本意。包含的工具有：Scanrand，一个罕见的快速的网络服务和拓朴发现系统；Minewt，一个NAT/MAT路由器；linkcat，把以太网链路做为标准的输入输出；Paratrace，不产生新的连接就能追踪网络路径；Phentropy，使用OpenQVIS在三维拓朴空间里能绘制出任意总量的数据源图形。
工具：Fragroute（破坏入侵检测系统最强大的工具）
网址：http://www.monkey.org/~dugsong/fragroute/
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：Fragroute能够截取、修改和重写向外发送的报文，实现了大部分的IDS攻击功能。Fragroute起重要作用的是一个简单的规则设置语言，以它去实现延迟、复制、丢弃、碎片、重叠、打印、重排、分割、源路由或其他一些向目标主机发送数据包的攻击。这个工具开发的本意是去测试入侵检测系统、 _blank">防火墙、基本的TCP/IP栈的行为。像Dsniff、Libdnet一样，这个优秀的工具也是由Dug Song开发的。
工具：SPIKE Proxy
网址：http://www.immunitysec.com/spikeproxy.html
类别：开放源码
平台：Linux/BSD/Unix/Windows
简介：Spike Proxy是一个开放源代码的HTTP代理程序，用于发现web站点的安全缺陷。它是Spike应用程序测试套件（http://www.immunitysec.com/spike.html）的一部份，支持SQL插入检测、web站点检测、登录表单暴力破解、溢出检测和字典穷举攻击检测等。
工具：THC-Hydra（网络认证的破解工具）
网址：http://www.thc.org/releases.php
类别：开放源码
平台：Linux/BSD/Unix
简介：这个工具能对需要网络登录的系统进行快速的字典攻击，包括FTP、POP3、IMAP、Netbios、Telnet、HTTP Auth、LDAP NNTP、VNC、ICQ、Socks5、PCNFS等，支持SSL，并且现在是Nessus风险评估工具的一部份。
【其他的25个最佳安全工具】
OpenBSD ( http://www.openbsd.org/ )：安全可靠的操作系统。
TCP Wrappers ( ftp://ftp.porcupine.org/pub/security/index.html )：一流的IP访问控制和日志的实现机制。
pwdump3 ( http://www.polivec.com/pwdump3.html )：获取本地或远程Windows主机的口令哈希，而不管是否安装了syskey。
LibNet ( http://www.packetfactory.net/libnet/ )：允许程序员去构造和插入网络数据包的高水平开发函数库.
IpTraf ( http://cebu.mozcom.com/riker/iptraf/ )： IP网络监控软件。
Fping ( http://www.fping.com/ )：一次可以ping多个IP地址的扫描程序。
Bastille ( http://www.bastille-linux.org/ )：增强系统安全性的脚本程序，支持Linux, Mac OS X和HP-UX操作系统。
Winfingerprint ( http://winfingerprint.sourceforge.net/ )：一款基于Win32的高级远程系统扫描器。
TCPTraceroute ( http://michael.toren.net/code/tcptraceroute/ )：使用TCP SYN包实现traceroute的工具。
Shadow Security Scanner ( http://www.safety-lab.com/en2/products/1.htm )：一款商业化的风险评估工具。
pf ( http://www.benzedrine.cx/pf.html )：OpenBSD系统内很有特色的包过滤防火墙。
LIDS ( http://www.lids.org/ )：Linux内核上的入侵检测和入侵防御系统。
hfnetchk ( http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/tools/hfnetchk.asp )：微软发布的用于检查网络上Windows主机补丁安装情况的工具。
etherape ( http://etherape.sourceforge.net/ )：继流量监测软件etherman之后又一个支持unix的图形化网络状况监测软件。
dig ( http://www.isc.org/products/BIND/ )：Bind附带的DNS查询工具。
Crack/Cracklib ( http://www.users.dircon.co.uk/~crypto/ )：一流的本地口令破解器。
cheops/cheops-ng ( http://www.marko.net/cheops/，http://cheops-ng.sourceforge.net/ )：绘制本地或远程网络的网络图，并且也能识别主机的操作系统类型。
zone alarm ( http://www.zonelabs.com/ )：Windows平台上的个人_blank">防火墙软件。
Visual Route ( http://www.visualware.com/visualroute/index.html )：获取traceroute/whois数据，并且绘制出数据包经过的网络路线在世界地图上的位置。
The Coroner"s Toolkit (TCT) ( http://www.fish.com/tct/ )：运行于Unix系统上的文件系统检查及紧急修复工具集。
tcpreplay ( http://tcpreplay.sourceforge.net/ )：能把tcpdump或snoop保存下来的流量监测文件在任意点进行回放的工具。
snoop ( http://www.spitzner.net/snoop.html )：Solaris系统附带的网络嗅探工具。
putty ( http://www.chiark.greenend.org.uk/~sgtatham/putty/ )：Windows平台上优秀的SSH客户端。
pstools ( http://www.sysinternals.com/ntw2k/freeware/pstools.shtml )：一套用于管理Windows系统的免费命令行工具。
arpwatch ( http://www-nrg.ee.lbl.gov/ )：主要用来检测mac地址和ip地址对应关系的工具.
四、IIS的高级服务配置
为了使当前IIS Server提供的IIS服务更加安全可靠，应当进行高级服务配置，从某种意义上，IIS服务器代表着本企业或者校园网的形象，甚至作为网络办公的平台，其中往往涉及一些非常重要的数据资料，事实上，黑客们攻击的对象也大都是Web站点和FTP站点，因此IIS Server服务器的安全越来越显得重要，所以IIS服务器需要配置包括对Web站点的访问帐号验证及访问的IP地址授权以及对FTP站点的访问帐号验证，上传文件权限配置以及对FTP站点提供的IP地址授权等等。
此外，还可以在路由器Router2中做IP地址的访问控制ACL，通过ACL访问控制列表来拒绝或者接受来自各客户机的访问。
1．在IISserver中配置安全访问帐号
步骤○1为了在提供Web服务时进行身份验证，实例中，在IIS Server上建立一个用以提供Web访问的帐号webuser，并设置相应的密码为123456，如图19
图19
步骤○2为了在提供FTP服务时进行身份验证，实例中，在IIS Server上建立一个用以提供FTP访问的帐号ftpuser，并设置相应的密码为123456，如图20
图20
步骤○3添加IIS server的本地组webgroup，并将webuser添加至该组中，如图21
图21
步骤○4添加IIS server的本地组ftpgroup，并将ftpuser添加至该组中，如图22
图22
步骤○5打开在IIS server中为Web提供服务的主目录wwwroot的属性对话框，在安全选项卡中添加webuser用户，并为其设置相应的访问权限，如图23
图23
步骤○6打开IIS信息服务控制台，在默认的Web站点属性对话框中的目录安全性选项卡，将匿名访问前的复选框去掉，对WEB访问用户进行身份验证设置，如图24
图24
步骤○7打开IIS信息服务控制台，在默认的FTP站点属性对话框中的安全帐号选项卡，将允许匿名连接前的复选框去掉，并通过添加将ftpuser帐号加入其中，对FTP访问用户进行身份验证设置，如图25
图25
五、IIS高级服务测试
1．在PC1和PC2上做Web站点的访问测试
步骤○1在PC1和PC2中打开Internet Explorer浏览器，输入WEB站点的IP地址http://172.16.1.2，访问后如图26
图26
步骤○2此时如不输入正确的webuser帐号及密码或者使用取消，访问将被拒绝。如图27
图27
步骤○3访问时提供正确的webuser帐号及密码后，如图28
图28
步骤○4正确的帐号Webuser验证通过以后，Web站点访问成功，如图29
图29
2．在PC1和PC2上做FTP站点的访问测试
步骤○1在PC1和PC2中打开Internet Explorer浏览器，输入FTP站点的IP地址ftp://172.16.1.2，访问后如图30
图30
步骤○2此时如果不能提供正确的ftpuser帐户和密码，访问被拒绝，如果提供的帐号和密码正确，则如图31-图32
图31
图32
(3) 在PC4(Red Hat Linux 9)上做WEB站点及FTP站点测试，同样也需要提供正确的帐号和密码，在访问Web站点时提供webuser帐号，在访问FTP站点时提供ftpuser帐号。
(4) 比如使用RED HAT LINUX 9的终端登陆FTP站点，正常访问如图33，如果FTP站点配置了写入权限，还可以在PC4上上传文件至FTP站点，如图33中所示
图33
(5) 如果不能提供正确的ftpuser帐号和密码，访问将被拒绝。如图34
图34
六、在IIS server服务器上做访问控制配置
1．在IIS Server上做Web服务的IP地址及域名限制，打开默认web站点属性对话框，并在目录安全性选项卡中通过编辑IP地址及域名限制，配置如图35
图35
2．在IIS Server上做FTP服务的IP地址及域名限制，打开默认FTP站点属性对话框，并在目录安全性选项卡中通过编辑IP地址及域名限制，配置如图36
图36
3． 此时，在PC4(IPAddress:172.16.1.3)和PC2(IPAddress:192.168.1.2)上访问可通过，能正常使用IISServer所提供的Web站点或者FTP站点服务，而在PC1(IPAddress:192.168.2.2)上访问被拒绝，如图37，图38
图37
图38
七、远程管理Web站点
由于某些时候在IIS Server服务器上操作不是很方便，我们还需要对IIS服务器进行远程管理，这样，只要能够通过局域网或者在企业网内部，事实上在INTERNET上也可以与IIS server服务器相连，就可以使用IE浏览器来实现对WEB站点的远程管理。
步骤1．在控制台中选择管理Web站点，打开管理web站点属性对话框，此时应注意端口的配置，在实例中选择默认的3914端口。如图39
图39
步骤2：打开操作员选项卡，将Webuser帐号添加进来，今后通过webuser帐号可对IIS进行远程管理。如图40
图40
步骤3：出于IIS管理的安全性，不允许任何机器登陆IIS服务器进行配置，我们将IP地址及域名限制到管理员经常使用的PC2机上。如图41
图41
步骤4：此时在PC1和PC4的浏览器中输入http://172.16.1.2:3914,访问被拒绝，而在PC2上输入管理WEB站点的地址http://172.16.1.2:3914，访问正常，可对IIS做远程的WEB站点管理，如图42
图42
八、在路由上做访问控制
为了在IIS Server上提供更加安全可靠的服务，如当前IIS Server服务器向PC2和PC4提供IIS服务，而拒绝给PC1提供服务，这时候可以在路由器上做ACL访问控制表。
实例中我们以Router2作为ACL控制路由器，登陆到Router2后，对Router2做标准的访问控制
router2#config t
Enter configuration commands, one per line. End with CNTL/Z.
router2(config)#access-list 1 permit 192.168.1.0 0.0.0.255
router2(config)#int serial 0
router2(config-if)#ip access-group 1 in
router2(config-if)#exit
router2(config)#exit
router2#
使用show running-config 后可看到
ip classless
access-list 1 permit 192.168.1.0 0.0.0.255
snmp-server community public RO
!
这时从PC2(IPAdress 192.168.1.2)上访问IIS Server，服务被接受，访问正常。如果从PC1(IPAdress 192.168.2.2)上访问IIS Server，服务被觉得，无法正常访问。
总之，IIS在Intranet中提供了很重要的信息共享服务，但是在提供IIS服务时如果只是对其进行基本设置，提供匿名访问的话可能会带来许多安全性的问题，所以需要IIS Server的访问安全性做合理的规划，如访问身份验证和IP地址及域名访问控制，其中访问控制可以在IIS Server服务器本身或者在路由器中做ACL的访问控制表进行安全访问控制。此外IIS还提供了虚拟网站和虚拟目录，虚拟网站可以将一个IIS服务器配置成多个WEB站点。
一、 实验网络环境及配置
图1 拓扑结构
实验环境：锐捷R2624路由器(router2)一台 、锐捷R2624路由器(router1)一台、锐捷S1926 G+交换机一台及PC机3台，服务器1台。
1．在Router 2上配置各端口的IP地址及路由RIP协议后，配置信息如下：
router2#show ip int brief
Interface IP-Address OK? Method Status Protocol
FastEthernet0 172.16.1.1 YES NVRAM up up
FastEthernet1 unassigned YES unset administratively down down
FastEthernet2 unassigned YES unset administratively down down
FastEthernet3 unassigned YES unset administratively down down
Serial0 10.1.1.2 YES NVRAM up up
Serial1 unassigned YES unset down down
router2#show ip route
Codes: C - connected, S - static, R - RIP
O - OSPF, IA - OSPF inter area
E1 - OSPF external type 1, E2 - OSPF external type 2
Gateway of last resort is not set
10.0.0.0/24 is subnetted, 1 subnets
C 10.1.1.0 is directly connected, Serial0
R 192.168.1.0/24 [120/1] via 10.1.1.1, 00:00:18, Serial0
R 192.168.2.0/24 [120/1] via 10.1.1.1, 00:00:18, Serial0
172.16.0.0/24 is subnetted, 1 subnets
C 172.16.1.0 is directly connected, FastEthernet0
2．在Router 1上配置各端口的IP地址及路由RIP协议后，配置信息如下：
router1#show ip int brief
Interface IP-Address OK? Method Status Protocol
FastEthernet0 192.168.1.1 YES NVRAM up up
FastEthernet1 192.168.2.1 YES NVRAM up up
FastEthernet2 unassigned YES unset administratively down down
FastEthernet3 unassigned YES unset administratively down down
Serial0 10.1.1.1 YES NVRAM up up
Serial1 unassigned YES unset down down
router1#show ip route
Codes: C - connected, S - static, R - RIP
O - OSPF, IA - OSPF inter area
E1 - OSPF external type 1, E2 - OSPF external type 2
Gateway of last resort is not set
10.0.0.0/24 is subnetted, 1 subnets
C 10.1.1.0 is directly connected, Serial0
C 192.168.1.0/24 is directly connected, FastEthernet0
C 192.168.2.0/24 is directly connected, FastEthernet1
R 172.16.0.0/16 [120/5] via 10.1.1.2, 00:00:16, Serial0
3．在锐捷S1926G+以太网交换机上配置
IP Address. . . . . . . . . . . . : 172.16.1.254
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 172.16.1.1
4．IIS SERVER服务器及各客户端PC机的配置如表1
此时，各客户端PC机与IISserver间能相互Ping通，企业网络服务实验模型建立完毕。
二、IIS的安装与基本配置
1． IIS的安装步骤
(1).开始——>设置——>控制面板——>添加/删除程序——>windows组件，打开“windows组件向导”，如图2
图2
(2)选中图2中的internet 信息服务(IIS)，查看详细信息，将文件传输协议(FTP)服务器项的复选框选中，如图3
图3
(3)单击确定，接下来，插入windows 2000 server安装光盘，IIS安装完毕。
(4)通过开始——>程序——>管理工具——>Internet信息服务，打开控制台，启动IIS服务，如图4
图4
2．IIS的基本配置
(1) 配置Web站点:
步骤○1选中图4中的默认Web站点，在右键菜单中选中属性，打开默认Web站点属性对话框。配置IP地址为当前IISserver的主机地址172.16.1.2，如图5
图5
步骤○2选择“主目录”选项卡，配置提供Web服务的目录，实验时，可使用其默认选项，即
c:\inetpub\wwwroot，如图6
图6
步骤○3打开“目录安全性”选项卡，对访问帐户进行设置，如图7
图7
步骤○4打开图7中匿名访问和验证控制下的编辑，将“匿名访问”前的复选框选中，在没有特殊要求时，一般使用匿名访问，该项如不选中，今后在访问Web服务时将需要通过身份验证后才可访问。如图8
图8
步骤○5打开“文档”选项卡，配置Web站点的默认主页文件，实例中通过添加文件Index.htm文档作为web站点的启动文档，如图9，至此，Web服务配置完毕。
图9
(2) 配置FTP站点:
步骤○1选中图4中的默认FTP站点，在右键菜单中选中属性，打开默认FTP站点属性对话框。配置IP地址为当前IISserver的主机地址172.16.1.2，如图10
图10
步骤○2打开“安全帐号”选项卡，在没有特殊要求时将“允许匿名连接”前的复选框选中，如图11
图11
步骤○3打开“消息”选项卡，输入FTP站点的登陆信息，此消息将在访问者登陆后可见，一般为欢迎信息或者为本FTP站点的功能及材料的简介。如图12
图12
步骤○4打开“主目录”选项卡，设置FTP站点使用的主目录，在实例中使用默认路径即c:\inetpub\ftproot,如果此FTP站点还需要给访问者提供上传服务，则应在“写入”复选框前选中，否则使用默认设置。如图13
图13
步骤○5打开“目录安全性”选项卡，为使得当前FTP站点为所有的客户端提供FTP服务，在本实例中使用默认配置，如图14，至此，FTP站点配置完毕。
图14
三、IISserver中的IIS服务(Web、Ftp服务)配置后进行测试
1． 在客户机PC1和PC2进行测试，PC1和PC2上均使用Windows 2000操作系统。
PC1和PC2的配置如表1：
步骤○1验证PC1和PC2的属性配置，可通过开始——>运行——>CMD，打开命令提示符MS-DOS，在MSDOS下输入IPCONFIG。
PC1：
Connection-specific DNS Suffix . :
IP Address. . . . . . . . . . . . : 192.168.1.2
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 192.168.1.1
PC2：
Connection-specific DNS Suffix . :
IP Address. . . . . . . . . . . . : 192.168.2.2
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 192.168.2.1
步骤○2在PC1和PC2中打开Internet Explorer浏览器，输入WEB站点的IP地址http://172.16.1.2，测试通过，访问成功后如图15
图15
步骤○3在PC1和PC2中打开Internet Explorer浏览器，输入FTP站点的IP地址ftp://172.16.1.2，注意在访问Web站点和访问FTP站点时，访问方式的不同(即Http和Ftp方式的不同)。测试通过，访问成功后如图16
图16
2． 在客户机PC4进行测试，PC4采用Red Hat Linux 9操作系统。
PC4的配置如表1：
步骤○1验证PC4的属性配置，可通过开始——>系统工具——>终端，打开root@localhost窗口，输入ifconfig eth0:
[root@localhost root]# ifconfig eth0
eth0 Link encap:Ethernet HWaddr 00:0D:61:AA:FB:A5
inet addr:172.16.1.3 Bcast:172.16.1.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:16139 errors:0 dropped:0 overruns:0 frame:0
TX packets:1909 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:1201296 (1.1 Mb) TX bytes:1179219 (1.1 Mb)
Interrupt:16 Base address:0xb000
步骤○2打开Red Hat Linux 9的Mozilla浏览器，输入http://172.16.1.2，访问正常。
步骤○3使用Red Hat Linux 9的gFtp来进行访问FTP服务，访问正常，如图17
图17
步骤○4使用Red Hat Linux 9中的终端来对FTP服务器进行测试，访问正常，如图18
图18
限于篇幅，此文拆成上下文刊发，下篇将介绍“IIS的高级服务配置及测试、访问控制配置、远程管理Web站点以及在路由上做访问控制”等内容，请见：IIS服务配置及安全访问控制策略详解（下）。
