《信息系统安全》报告书 错误!未定义书签第一章信息系统漏洞简介 41.1信息系统安全漏洞的概念 4第二章信息系统漏洞的生命周期 52.1漏洞研究的主体 52.2漏洞研究的客体 52.3漏洞研究的行为与内容 52.4漏洞的相关属性 6第三章Windows XP系统常见系统漏洞分析与总结 6第四章 LINUX系统常见系统漏洞分析与总结 8第五章 UNIX系统常见系统漏洞分析与总结 12摘要：重要信息系统对于任何一个国家来说，在信息化的时代已经成为了一个关键的基础设施，它的 安全不仅涉及到我们平时看到的技术安全，以及业务安全，还有一些对国家安全的影响信息系统安 全漏洞是信息时代存在的一种客观现象，针对信息系统安全漏洞的研究对保护网络安全和信息安全有 着重要的意义首先在国内外已有的研究基础上，提出系统地、全面地开展信息系统安全漏洞的研究 然后从信息系统管理角度和技术角度对漏洞做了区分，并且从信息系统安全漏洞存在的宿主和起因对 其类型进行了分析,对信息系统安全漏洞的定义做了明确最后从信息系统安全漏洞研究的主体、客体、 行为和属性四个方面进行了论述,提出信息系统安全漏洞生命周期的概念,最后对常见的几种系统进行 漏洞分析，并提出防止策略。
关键词：信息系统漏洞描述Windows XP系统Unix系统Linux系统防范措施第一章信息系统漏洞简介1.1信息系统安全漏洞的概念在30多年的漏洞研究过程中，学者们根据自身的不同理解和应用需求对计算机漏洞下了很多定义 1982年，邓宁(Denning)给出了一个访问控制漏洞的定义，他认为系统中主体对对象的访问安全策略是通 过访问控制矩阵实现的，对一个访问控制漏洞的利用就是使得操作系统执行违反安全策略的操作；1994 年，阿莫罗索(Amoroso)提出一个漏洞是导致威胁潜在发生的一个不利的特性；林德斯科(Lindskog)等人将 一个漏洞定义为破坏发生的可能性超过预设阈值的地方；1998年，克鲁索(Krsul)指出，一个软件漏洞是 软件规范(specification)设计、开发或配置中一个错误的实例，它的执行能违犯安全策略；2002年，汪 立东认为一个漏洞是软件系统或软件组件中存在的缺陷，此缺陷若被发掘利用则会对系统的机密性，完整 性和可用性造成不良影响；2004年，邢栩嘉等人认为计算机脆弱性是系统的一组特性，恶意的主体(攻击 者或者攻击程序)能够利用这组特性，通过已授权的手段和方式获取对资源的未授权访问，或者对系统造成 损害。
另外还有很多相关定义存在于不同的论述之中存在这么多定义的原因是因为研究者从不同角度 来看待信息系统中存在的安全问题从上面有关的定义来看，漏洞的概念很宽泛，可以从很多角度来定义漏洞,主要可以分为两种:一种是 比较狭义的,这种定义主要以软件产品中的安全问题为对象;另一种是比较广义的，是以信息系统中的安全 问题为对象，由此定义之间的差别比较大系统漏洞是指应用软件或操作系统软件在逻辑设计上的缺陷或 错误，被不法者利用，通过网络植入木马、病毒等方式来攻击或控制整个电脑，窃取用户电脑中的重要资 料和信息，甚至破坏用户的系统在不同种类的软、硬件设备，同种设备的不同版本之间，由不同设备构 成的不同系统之间，以及同种系统在不同的设置条件下，都会存在各自不同的安全漏洞问题1.2漏洞的类型与定义1.2.1系统漏洞的分类信息系统是一种人机系统,一方面包括各种设备和资源，另一方面包括操作使用和管理的各种说明制 度从这种广义的角度来分析，信息系统中的漏洞就可以分为两个大类:一个可以称为信息系统管理漏洞， 另一种称为信息系统安全漏洞其中，信息系统管理漏洞主要是针对关于信息系统的政策、法规和人员管 理等方面的安全问题，主要是防止一些信息系统在物理层次方面出现安全问题,这些安全问题的出现是由于 非技术原因所导致的，譬如说水灾、火灾、盗窃等,这种类型的漏洞其实在已有的风险评估规范里面已经有 很多叙述,只不过都是作为物理环境的风险评估形式出现。
信息系统安全漏洞主要是针对关于信息系统中由于技术原因出现的安全问题，这种安全问题存在于构 成信息系统的软件、硬件等产品之中从漏洞存在的宿主来看,有硬件类型，例如CPU、主板、BIOS、TPM芯 片等，有软件类型的,例如操作系统、数据库、应用软件等1.2.2信息系统安全漏洞的分类从系统安全漏洞方面来研究的话，根据信息系统安全漏洞(以下简称漏洞)的出现的原因，可以把漏洞主 要分为三种：一是设计型漏洞，这种漏洞不以存在的形式为限制，只要是实现了某种协议、算法、模型或设计,这种安 全问题就会存在，而不因其他因素而变化，例如无论是哪种web服务器，肯定存在HTTP协议中的安全问 题二是开发型漏洞，这种安全漏洞是广泛被传播和利用的，是由于产品的开发人员在实现过程中的有意 或者无意引入的缺陷，这种缺陷会在一定的条件下被攻击者所利用，从而绕过系统的安全机制，造成安全事 件的发生，这种漏洞包含在国际上广泛发布的漏洞库中三是运行型漏洞，这种类型漏洞的出现是因为信息系统的组件、部件、产品或者终端由于存在的相 互关联性，和配置、结构等原因,在特定的环境运行时，可以导致违背安全策略的情况发生这种安全问题一 般涉及到不同的部分，是一种系统性的安全问题。
信息系统安全漏洞从广义上讲，是信息技术、信息产品、 信息系统在设计、实现、配置、运行等过程中，由操作实体有意或无意产生的缺陷，这些缺陷以不同的形式 存在于信息系统的各个层次和环节之中，而且随着信息系统的变化而改变这些缺陷可以被恶意主体所利用, 造成信息系统的安全损害，从而影响构建于信息系统之上正常服务的运行，危害信息系统及信息的安全属 性第二章信息系统漏洞的生命周期综合考虑信息系统安全漏洞自身特性和研究内容，本文提出了信息系统安全漏洞生命周期的概念漏 洞生命周期=主体(Subject):政府机构、国际组织、大学/科研机构、信息技术公司、信息安全公司客 体(Object):不同类型的漏洞行为(Action):制造、发现、验证、评估、公布、检测、消除属性 (Property):描述属性、可利用性，危害性等2.1漏洞研究的主体随着信息化的进步和互联网的飞速发展，由于漏洞自身的特殊性,多种不同的主体根据不同的需求参 与到有关漏洞的研究、分析工作中，包括:政府机构、国际组织、大学/科研机构、信息技术公司、信息安全 公司和黑客组织等,它们在漏洞研究中从不同的角度分析漏洞，起到了不同的作用对于政府机构而言，他们 主要关心的问题有信息系统中存在哪些漏洞，漏洞给信息系统带 来的安全风险有多大，如何有效地处理漏 洞,避免安全风险的增加，如何建立一套系统化、制度化、程序化的工作流程来处理漏洞等内容。
对于国际 组织，他们大多在安全事件接报和统计、安全漏洞收集和整理、安全建议和培训和系统安全提升办法等方 面投入更多精力大学和科研机构研究重点在:漏洞的分类方法、漏洞的描述和利用方法、漏洞带来安全 风险的分析信息技术公司则分析漏洞的产生原因，避免漏洞的出现和对漏洞开发补丁信息安全公司从 事漏洞的检测方法和漏洞的解决方案黑客组织的主要兴趣在未知漏洞的发现和漏洞的利用程序开发2.2漏洞研究的客体信息系统的构成是复杂的，从不同的角度来看，漏洞存在于不同的部分，例如从信息系统构成的纵向 层次来看有部件、组件、产品、子系统、网络等，从信息系统的横向组成部分来看有操作系统、数据库、 应用软件、路由器、交换机、智能终端等根据美国国家漏洞库披露的数据显示，目前仅在软件产品中就 存在29000个漏洞，涉及到14000个信息产品，而目前每天以20个漏洞左右数量增加目前各大软件公 司、国际组织、安全公司等都公布有数量不同的漏洞信息2.3漏洞研究的行为与内容从漏洞的个体来看,每一个漏洞的出现、被发现、公布等状态都是由相关的主体来操作的，这就 必然使得漏洞个体研究或者管理存在一系列的行为过程和研究内容，主要包括：1 .制造 漏洞是被有意或者无意地制造出来的,对于大多数情况来讲，漏洞是在无意中产生的，但 是有些条件下，并不排除被有意产生。
在此阶段，主要研究漏洞产生的特定环境、条件和原因，分析不同漏 洞的来源、平台、时间、分布位置等多种因素，发现漏洞产生的场景模式和规律，找到其中可重用的模式， 为漏洞相关研究环节提供研究基础2. 发现漏洞作为客观对象存在于信息产品之中,被不断地挖掘出来针对未知漏洞存在而又不为 人所知的情况，在此阶段研究者主要研究利用各种方法、技术、理论来发现未知漏洞并且分析由于模块 化设计、代码重用等方式带来的漏洞在不同位置出现的关联性和依赖性所使用的方法主要有:基于静态 分析的漏洞发现技术、基于动态分析的漏洞发现技术等：信息系统安全漏洞研究静态、动态分析相结合的 漏洞发现技术3. 验证 在公布的漏洞中，由于信息来源的不确定性，需要对公布的漏洞进行仔细的分析，以确定 漏洞是否存在，相关信息是否准确，并对其相关特征进行深入分析在此阶段，主要研究漏洞触发条件和利 用规则的分析和描述、漏洞攻击模拟与验证4. 评估分析漏洞的危害性、利用方法和危害等级等，对漏洞可能对信息系统造成的安全危害进行 分析并且通过分析漏洞利用和攻击的条件、境、可能等特点，研究信息系统中利用漏洞危害系统安全的 风险传播模型5. 检测在役系统中存在大量的、已公布的漏洞，研究如何标示漏洞的特征，以便进行有效的检查， 主要研究漏洞检测特征的知识表达，主要手段有基于主机的漏洞检测和基于网络的漏洞检测。
6. 公布 讨论漏洞相关信息的搜集、发布、管理、统计、分析等，以形成有效的信息发布机制和相关 知识框架，以便有策略或分类别地发布漏洞信息，并发布相应的安全建议7. 消除 针对信息系统中存在的漏洞，研究如何有效地消除以及避免其危害的方法和途径,例如软 件公司通过开发针对漏洞的补丁或软件升级，并且分析一旦漏洞被利用带来攻击时，如何有效地和其他安 全措施联动，防止更大的危害产生2.4漏洞的相关属性能够深入地分析信息系统的安全漏洞，需要准确地提取漏洞的属性特征，即在确定研究对 象之后，就 应该解决如何描述这个对象的问题，也就是通过哪些属性来刻画这个对象,结合漏 洞的研究主体和其行为， 漏洞的特征可以分为客观性属性和评价性属性第一，客观性属性漏洞作为信息系统中的一种客观事实,其客观性属性是不随研究者的研究观点而变化,这些属性是静 态的，描述了与信息系统相关组成部分的一些对应关系，为了简明而清晰地说明这些属性，本文将这些属性 归纳成以下几类：生产主体:产生漏洞的主体，例如Microsoft,Cisco等宿主种类应包括操作系统、网络 协议、应用程序等出现位置:漏洞出现在系统中的位置，如内存管理、文件管理、设备管理、身份认证和 进程管理调度等。
起源成因:漏洞产生的原因时间属性:例如发现时间，发布时间、更新时间等攻击 方式:本地攻击或远程攻击攻击所需权限:使用某通用服务远程访问、通过可信系统访问、使用用户账号 访问、物理访问、特权访问等后果影响：访问数据（系统数据、用户数据），命令执行（执行系统命令、 执行用户命令）、代码执行（以系统特权执行机器码、以用户权限执行机器码、以系统特权执行脚本、以 用户特 权执行脚本）、DOS等第二，评价性属性漏洞评价性属性是一些动态变化的属性，根据时间、环境、研究者的变化而存在的很难统一描述的 一些属性首先是安全性威胁:对系统完整性、可用性、机密性等安全属性的威胁其次是易攻击性:可 用工具包、要求专家知识、普通用户才可采取的动作管理员方可采取的动作等还有攻击复杂性:攻击 该漏洞的复杂程度,分为简单的命令序列、复杂的命令或指令集、需定时和同步等还有时间影响力:在 与漏洞生命周期相对应的漏洞利用周期中，不同的阶段对漏洞利用产 。