🚀 go-pugleaf

[ԭ��]������Э��Ӱ���

��ӭת�أ��뱣��������Ϣ 
����@֣�ݴ�ѧ���簲ȫ԰ 
http://secu.zzu.edu.cn 


��Ҷ�֪����ftp,telnet,pop,smtp�ȶ�������Э�飬Ҳ����˵�������ڴ������
��ʱ����ݶ���û�б����ܵģ�����һЩ������ݾͻ�����ױ�sniffer�ػ�
��Ȼ�����Ѿ��ձ�ʹ�ý�����������HUB�ˣ�����������һ���ARP sniffer�ij��֣�
�ڽ�����������ȡ���Ҳ�Ǻܼ򵥵����飬����ARP sniffer��ԭ������Ͳ�׸��
�ˡ����ң���Щ�������İ�ȫ��֤��ʽҲ����������ģ����Ǻ������ܵ����м�
�ˡ�(man-in-the-middle)���ַ�ʽ�Ĺ�������ν���м��ˡ��Ĺ�����ʽ������
���м��ˡ�ð������ķ�����������Ĵ������������ݣ�Ȼ����ð�������ݴ�
������ķ�����������������֮�����ݴ��ͱ����м��ˡ�һת�������ֽ�֮��
�ͻ���ֺ����ص����⡣



���ڵ�Ŀ�ľ����ڷ���˺Ϳͻ�����Щ�ֽţ��õ����ò������ĵ���ݣ���������
��ʹ�õ����¼������

FlashFXP 2.0 (һ��Windows�º������FTP�ͻ��ˣ�֧�ֶ���SSL��֤��ʽ) 
SERV-U 4.1 (һ��Windows����ǿ��FTP������) 
VANDYKE VShell 2.03 (Windows���������������򵥵�SSH������) 
VANDYKE Entunnel 1.0.2 (Windows�µ�һ����רҵ��SSH������ܹ���) 

���ϵĹ����㶼���Ժ����׵���֣�ݴ�ѧ���簲ȫ԰���صĵ�
http://secu.zzu.edu.cn

�ڶ���֮ǰ���Ƚ����������� 

SSL:Secure socket layer(SSL)Э������Netscape Communication��˾��ƿ�����
��Ҫ�������Ӧ�ó���֮����ݵİ�ȫ�ԡ��ð�ȫЭ����Ҫ�����ṩ���û��ͷ���
������֤���Դ��͵���ݽ��м��ܺ����أ�ȷ������ڴ����в����ı䣬����ݵ�
�����ԡ�����SSL�����ѽ�����������Ҫ���������WEB�����������У���ˣ�����
��װ����֤�飬�������֤��Ϳ��Լ�������������ˡ�

���������: 

A:�����ԡ�����ͨ�����ݽ��м���ʵ�ֵģ��ڽ���SSL����ʱ��SSLѡ��һ�ֶԳ�
�㷨����ݽ��м��ܣ�Ȼ����������ϴ�����ݡ�SSLʹ�õļ����㷨�кö��֣�
���ij���㷨���µ����繥������ʶ�ƣ���ֻҪѡ��������㷨�Ϳ����ˡ�

B:��Ϣ�������ԡ�SSLʹ��һ�ֺܽ�׳����Ϣ��֤��(Message Authentication
Code)�����磺SHA-1����֤�뱻������ݰ�ĺ󲿣����Һ����һ�鱻���ܡ�����
�����ݱ��޸ģ���ɢ��ֵ���޷���ԭ������֤��ƥ�䣬�Ӷ��ܹ���������Ƿ�
���޸ġ�MACͬʱҲ�����ڱ���SSL�������ܸ��š�

1:������������طŹ���(replay-attack)

����SSLʹ�����к�������ͨѶ�����ܱ����طŹ�����������кű����ܺ���Ϊ��
�ݰ�ĸ��ء������SSL�������У�����һ��Ψһ���������������SSL���֣���
���طű��޻�ɳˡ�

2:����recorder����(reorder-attack)

����������˵�����к�Ҳ���Է�ֹ�����߼�¼��ݰ��Բ�ͬ�Ĵ����͡�

C:�˵���֤

����ʹ��X509(��ǰ�汾��3)֤�飬SSL֧�ֿͻ��ͷ���������֤�� 

SSH:SSH��Ӣ��ȫ����Secure SHell��ͨ��ʹ��SSH������԰����д������ݽ���
���ܣ������м��ˡ����ֹ�����ʽ�ͱȽ���ʵ���ˣ�����Ҳ�ܹ���ֹDNS��IP��
ƭ������һ������ĺô����Ǵ��������Ǿ���ѹ���ģ����Կ��Լӿ촫����ٶȡ�
SSH�кܶ๦�ܣ���ȿ��Դ���telnet����ӷ���ľ��������Ϊ�������Ĵ�����
��һ����ȫ�������

OK�������������Ƚ��FTP�����⣬�����������Ҫ������SERV-U֧��SSL���ܼ�
�����ڶ�������һЩ�������֮������ServUadmin,�ҵ�����Ҫ���ܵ��Ǹ���
��"Security"ѡ����ѡ��"Allow SSL/TLS and regular sessions"��Ȼ��"Apply"
һ�¡�����FTP��������SSL��֧�־��Ѿ������ˡ�

��������������FlashFXP����֧��SSL�ˣ�Ҳ�ܼ򵥣���"վ�������"����"������
��"��ѡ"SSL",Ȼ����ѡ"Auth SSL",������Ϳ�������֧��SSL�ķ������ˣ�����
���������Է�������֤�飬������ͷ�����֮�����ݶ��ᱻ���ܣ�������
Sniffer�ˡ�

��󣬹���FTP��SSL�е�Ҫ������ǣ��������SERV-U���õ�ʱ��ѡ�����"Allow
SSL/TLS and regular sessions"(֧��SSL����ͨ��FTP�Ự)����ô��FlashFXP��
SSLѡ���о�Ҫѡ��"Auth SSL",�����ѡ�����"Aloow only SSL/TLS sessions"
(ֻ֧��SSL�Ự)�Ļ�����ô��FlashFXP��SSLѡ���о�Ҫѡ��"implicit SSL"(��
��SSL),���������ӵ�ʱ��������ġ�

�������ǿ�ʼΪpop,smtp,telnet��Э�����������棬�����Ѿ�������SSH�����
�˿����������telnet��FTP֮�⣬������Ҫ�Ĺ��ܾ���tunnel(���)���ܣ���
���԰����ĵ����ͨ������ķ���ת����Ŀ���ַȥ���������Ǿ�ʹ��VANDYKE��
VShell��Entunnel�������ʵ��������ܡ�

���ȣ���������VShell�ڱ�����һ��SSH����������װ֮�����û�������Ҫ��
���ϲ������þͿ���ʹ���ˣ������:)

��������֮��telnet 127.0.0.1 22,��ᷢ��"SSH-2.0-VShell_2.03 VShell"��
��banner,���û�еõ������Ϣ����鿴VShell�İ���

���ţ���������Entunnel,��װ֮���ڳ�����������ȴ���һ���µ�Session(��
��������)����ΪConnectionȡ�����֣���д��
hostname:127.0.0.1,username:administrator��Ȼ����Port Forwarding��"add"
һ�����򲢸����������Ǿ�д"smtp"��,���ŷֱ���Localд��IP:127.0.0.1��
Remote��д��smtp��������ַ����������port��д��"25",����һ��smtpת������
�����ú��ˡ����������һ��popת���������ú�smtp�IJ�࣬�Ѷ˿ڸij�110
��OK�ˡ�

���,��Connect�������administrator���벢����,�������û��Ļ������ǿ���
�������"status"��"connected"�ģ�������������ͼ��������ɫ�������Ľ�
��һ�����������Ƿ��������"Details"��������Ϣ���߲鿴Entunnel
�İ����ĵ���

���ڣ�ֻҪ���Ƕ��ʼ��ͻ��˽������ٵĸĶ��ʹ󹦸���ˣ������pop��smtp��
����������Ϊ127.0.0.1���������շ��ʼ����κζ������DZ������˵ġ���Ȼ��
�������ͬ���������telnet������Э���ϵģ����ҿ�����"remote"������Զ��ת
������Щ����������Լ������ˡ�

����ڷ��������sshת�������ˣ�������ô���Լ����Ű�ɣ���ĸ��������
�ر��𣿼�ʹ�У����ǵȼ۵��𣿣�


-- 
NewBlue
�Դ����뿪���Ժ���һֱ�ȴ��������