第八讲Web服务的安全性课件.ppt

《第八讲Web服务的安全性课件.ppt》由会员分享，可在线阅读，更多相关《第八讲Web服务的安全性课件.ppt（75页珍藏版）》请在三一办公上搜索。

1、2022/12/19,计算机网络安全,1,第八章Web服务的安全性,Web服务的概念、类型与应用Web服务的安全防范及对应的技术措施Web服务中受到的攻击、密码破解的方法邮箱系统的管理与安全配置,本章要点：,2022/12/19,计算机网络安全,2,第八章Web服务的安全性,8.1 Web服务的安全概述8.2 Web服务中的IE安全8.3 Web服务的安全实验,2022/12/19,计算机网络安全,3,8.1 Web服务的安全概述,8.1.1 网络服务概念 Web服务是基于HTTP协议的服务。大多数Web服务器和浏览器都对HTTP协议进行了必要的扩展，一些新的技术接口CGI通用网关程序、Jav

2、a小程序、ActiveX控件、虚拟现实等，也开始应用于Web服务，使Web文本看上去更生动、形象，信息交互也显得更加容易。 Web服务在方便用户发布信息的同时，也给用户带来了不安全因素。尤其是在标准协议基础之上扩展的某些服务，在向用户提供信息交互的同时，也使得Web基础又增加了新的不安全因素。,2022/12/19,计算机网络安全,4,8.1.2 Web服务的安全威胁,Web服务所面临的安全威胁：1)机密信息所面临的安全威胁2)WWW服务器和浏览器主机面临的安全威胁 其中，前一种安全威胁是因特网上各种服务所共有的，后一种威胁则是由扩展Web服务的某些软件所带来的。这两种安全隐患不是截然分开，而

3、是共同存在并相互作用的，尤其是后一种安全威胁的存在，使得信息保密更加困难。,2022/12/19,计算机网络安全,5,8.1.2 Web服务的安全威胁,1. 机密信息的安全威胁 通过Web服务传递信息时，对于机密信息需要防止搭线窃听，防止外部用户入侵主机。2. 主机面临的威胁1) CGI程序带来的威胁 CGI(Common Gateway Interface)是通用网关接口。它在服务器端与Web服务器相互配合，响应远程用户的交互性请求。允许用户选择一种语言，如C/C+、VB等进行编程，提供服务器端和远程浏览器之间的信息交互能力。,2022/12/19,计算机网络安全,6,8.1.2 Web服务

4、的安全威胁,CGI程序是Web安全漏洞的主要来源，其安全漏洞表现为以下几方面：(1) 泄露主机系统信息，帮助黑客入侵。(2) 当服务器处理远程用户输入的某些信息(如表格)时，易被远程用户攻击。(3) 不规范的第三方CGI程序，或存有恶意的客户向Web服务器发布的CGI程序，将对Web服务器造成物理或逻辑上的损坏，甚至将Web服务器上的整个硬盘信息复制到因特网的某一台主机上。,2022/12/19,计算机网络安全,7,8.1.2 Web服务的安全威胁,2) Java小程序所带来的威胁 Java是由美国Sun公司于1995年推出的一种跨平台和具有交互能力的计算机程序语言。Java小程序为Web服务

5、提供了相当好的扩展能力，并为各种通用的浏览器所支持。Java小程序由浏览器进行解释，并在客户端执行，因而把安全风险直接从服务器端转移到了客户端。在NetScape中的Java的实现中存在一些特殊的安全漏洞，例如任意执行机器指令的能力，Java小程序的相互竞争力，与任意的主机建立连接的能力等。,2022/12/19,计算机网络安全,8,8.1.2 Web服务的安全威胁,Java小程序还存在着下述安全漏洞：(1) 可以欺骗用户，将本地硬盘或连入网络的磁盘上的文件传送到因特网上的任意主机。(2) 能获得用户本地硬盘和任何网络盘上的目录列表。(3) 能监视用户在某段时间内访问过的所有网页，捕捉并传送到

6、因特网上的任意主机。(4) 能够在未经用户允许的情况下触发NetScape或Explore发送E-mail。,2022/12/19,计算机网络安全,9,8.1.2 Web服务的安全威胁,3) ASP所带来的威胁IIS提供了利用ASP动态产生网页的服务。一个ASP文件就是一个在HTML网页中直接含有程序代码的文件。回传一个监视文件，会促使IIS运行网页中内嵌的程序代码，然后将运行结果直接回送到浏览器上。此外，静态的HTML网页是按其原来的样子回传到浏览器上，而不经过任何解析处理。IE是利用文件的扩展名来区别文件的形态。扩展名为.htm或.html的文件属于静态HTML文件，扩展名为.asp的文件

7、则是一个Active Server Pages文件。,2022/12/19,计算机网络安全,10,8.1.2 Web服务的安全威胁,在所有网络安全漏洞里，很容易忽略的一个就是未经解析的文件内容或程序代码无意中被显示出来。简单地说，就是使用者能够从网页服务器上骗取动态网页里的程序代码。只需利用一个简单的参数($DATA)便可看到ASP的原始程序。,2022/12/19,计算机网络安全,11,8.1.2 Web服务的安全威胁,4) Cookie所带来的威胁Cookie指的是一个保存在客户机中的简单的文本文件，它与特定的Web文档关联在一起，保存了该客户机访问这个Web文档时的信息，当客户机再次访问

8、这个Web文档时这些信息可供该文档使用。由于Cookie可以保存在客户机上，因此它具有记录用户个人信息的功能，但不必使用复杂的CGI等程序实现。,2022/12/19,计算机网络安全,12,8.1.2 Web服务的安全威胁,Cookie在给用户带来方便的同时，也带来了一定的安全隐患。对Cookie的限制，有下述方法。(1) 如果用户使用的浏览器是IE 4.0，可右击执行“属性”命令，在弹出的对话框中打开“安全”选项卡，单击“自定义级别”按钮，在弹出的对话框中选中“禁止所有Cookie使用”单选按钮即可。(2) 如果用户使用的浏览器是IE 5.0，而IE 5.0有本地、可信站点、受限站点等级别之

9、分，所以需要分别进行上述设置。(3) 另一种简单的方法是把Cookie文件夹的属性设为只读。,2022/12/19,计算机网络安全,13,8.1.2 Web服务的安全威胁,5) ActiveX控件所带来的威胁ActiveX控件真正实现了多语言编程的无缝连接，也可以嵌入到HTML文本中，形成一定功能的程序模块。ActiveX控件被嵌入到HTML页面中，并下载到浏览器端加以执行，因此会对浏览器造成一定程度的安全威胁。此外，在客户端的浏览器，如IE中插入某些ActiveX控件，也会对服务器端造成意想不到的安全威胁。,2022/12/19,计算机网络安全,14,8.1.2 Web服务的安全威胁,在下载

10、和使用ActiveX时有两个危险：一个是恶意的或没有署名的ActiveX控件，另一个是已署名但仍是恶意的控件。采取的最佳措施是在IE的安全设置中将安全设置为禁止使用任何ActiveX控件。具体步骤是右击IE图标执行“属性”命令，在弹出的对话框中打开“安全”选项卡，单击“自定义级别”按钮，并在弹出的对话框中选择对ActiveX是否禁用，是否提示等。,2022/12/19,计算机网络安全,15,8.1.3 防御措施,为了确保Web服务的安全，通常采用以下几种技术措施： 在现有的网络上安装防火墙，对需要保护的资源建立隔离区；对机密敏感的信息进行加密存储和传输；在现有网络协议的基础上，为C/S通信双方

11、提供身份认证并通过加密手段建立秘密通道；对没有安全保证的软件实施数字签名，提供审计、追踪手段，确保一旦出现问题可立即根据审计日志进行追查等。,2022/12/19,计算机网络安全,16,8.1.3 防御措施,1. 安装防火墙为局域网或站点提供隔离保护，是目前普遍采用的一种安全有效的防御措施，这种方法不仅对Web服务有效，对其他服务也同样有效。防火墙是位于内部网络与因特网之间的计算机或网络设备中的一个功能模块，是按照一定的安全策略建立起来的硬件和软件的有机结合体，其目的是为内部网络或主机提供安全保护，控制可以从外部访问内部受保护的对象，哪个用户可以从内部网络访问因特网，以及相互之间以哪种方式进行

12、访问。,2022/12/19,计算机网络安全,17,8.1.3 防御措施,2. 加密保护对机密信息进行加密存储和传输是传统而有效的方法，这种方法能够有效地确保机密信息的安全，并防止搭线窃听和黑客入侵，在基于Web服务的一些网络安全协议中得到了广泛应用。在WWW服务器和浏览器中，如微软公司的IIS服务器和IE浏览器，都可以对信息进行加解密运算，同时也留有接口，使用户可以对加解密算法进行重载，构造自己的加解密模块。此外，传输加解密也可以在IP层实现，对进出的所有信息进行加解密，以确保网络层的数据安全。,2022/12/19,计算机网络安全,18,8.2 Web服务中的IE安全,一些恶意网站、免费或

13、者共享软件、垃圾邮件，以诱人图片或点击后有奖为诱饵，欺骗用户点击网页上隐藏的恶意程序，从而修改用户的注册表，把IE篡改得面目全非。它们经常强行篡改IE首页、标题栏等内容，或者将它们的链接强行添加到历史浏览记录中而且无法删除，甚至使相关按钮变灰，无法修复。这种恶意篡改IE，轻则强迫用户访问某些指定的网站，重则在系统中驻留木马等恶意程序，造成系统运行缓慢。,2022/12/19,计算机网络安全,19,8.2 Web服务中的IE安全,恶意网页是将含有有害代码的ActiveX内嵌在网页中，当用户打开含有有害代码的网页时，代码就会产生作用，恶意修改用户的注册表。1. IE默认链接首页被修改IE浏览器上方

14、的标题栏被改成“欢迎访问”，受害者众多。受到更改的注册表项目为：HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExploreMainStart Page；HKEY_CURRENT_USERSoftwareMicrosoftInternet ExploreMainStart Page。,2022/12/19,计算机网络安全,20,8.2 Web服务中的IE安全,解决办法：(1)执行“开始”“运行”命令，在“打开”文本框中输入regedit。(2)找到注册表项HKEY_LOCAL_MACHINESoftwareMicrosoftInternet Explo

15、reMain，在右半部分窗口中找到串值Start Page，将键值改为about：blank。(3)同样，找到注册表项HKEY_CURRENT_USERSoftwareMicrosoftInternetExploreMain，在右半部分窗口中找到串值Start Page，然后按第(2)步中所述方法处理。(4)退出注册表编辑器，重新启动计算机。,2022/12/19,计算机网络安全,21,8.2 Web服务中的IE安全,有时候，当IE的起始页变成了某些网页后，就算通过选项设置修改好了，重启以后又会变成该网页。这是由于在系统里加了一个自运行程序，它会在系统启动时将IE起始页设成他们的网页。其解决办

16、法是：运行注册表编辑器Regedit.exe，然后依次展开找到HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrent versionRun主键，将其下的Registry.exe子键删除，并删除自运行程序C：Program FilesRegistry.exe，最后在IE浏览器的选项中重新设置起始页就可以了。,2022/12/19,计算机网络安全,22,8.2 Web服务中的IE安全,2. 修改IE浏览器默认主页，并且锁定设置项，禁止用户更改回来解决方法如下所示：(1)执行“开始”“运行”命令，在“打开”文本框中输入regedit。(2)展开注册表找到H

17、KEY_CURRENT_USERSoftwarePolicesMicrosoftInternetExplore Control Panal，在右半部分窗口中找到二进制数值Settings、Links、SecAddsites。(3)将这些DWORD值改为0，即可恢复功能。(4)退出注册表编辑器，重新启动计算机。,2022/12/19,计算机网络安全,23,8.2 Web服务中的IE安全,3. IE标题栏被修改一些恶意网站将串值Window Title下的键值改为其网站名或更多的广告信息。解决办法如下：(1) 安装“超级兔子魔法设置”软件。执行“开始” “程序” “超级兔子魔法设置” “超级兔子I

18、E修复专家”命令，打开IE修复程序。(2) 单击“全面修复IE系统”按钮，在恢复项目的“IE浏览器的标题与首页”复选框前打上勾，然后再单击“下一步”按钮，如图所示。(3) 完成后退出超级兔子IE修复专家，重启计算机。,2022/12/19,计算机网络安全,24,8.2 Web服务中的IE安全,2022/12/19,计算机网络安全,25,8.2 Web服务中的IE安全,4. IE的鼠标右键菜单被修改IE的右键菜单多出了“欢迎访问网站”、“用QQ彩信发送该图片”等的字样。解决方法：(1)执行“开始”“运行”命令，在“打开”文本框中输入regedit，启动注册表编辑器。(2)展开注册表找到HKEY_

19、CURRENT_USERSoftwareMicrosoftInternet ExploreMenuExt，在键值下方找到右键菜单“用QQ彩信发送该图片”，如图所示。,2022/12/19,计算机网络安全,26,8.2 Web服务中的IE安全,(3) 删除相关的恶意IE右键菜单即可。,2022/12/19,计算机网络安全,27,8.2 Web服务中的IE安全,5. IE默认搜索引擎被修改解决办法如下：(1)执行“开始”“运行”命令，在“打开”文本框中输入regedit。(2)展开注册表找到HKEY_LOCAL_MACHINESoftwareMicrosoftInternet Explore Se

20、arch，找到右边的相应字符串Customize Search和Search Assistant。(3) 双击相应字符串，将Customize Search和Search Assistant的键值改为某个搜索引擎的网址即可。,2022/12/19,计算机网络安全,28,8.2 Web服务中的IE安全,6. 浏览网页后注册表被禁用这是注册表下的DWORD值DisableRegistryToo1s被修改为1的缘故，将其键值恢复为0，即可恢复。其解决办法表述如下：(1) 新建一个文本文件，把后缀名txt改为reg，文本文件就变成了注册表文件。(2) 编辑注册表文件reg.reg，将下面这些内容复制到

21、文件里。REGEDIT4HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPolices SystemDisableRegistryToo1s=dword：00000000,2022/12/19,计算机网络安全,29,8.2 Web服务中的IE安全,在REGEDIT4后面一定要空一行，并且REGEDIT4中的T和4之间一定不能有空格。(3) 保存后退出。双击注册表文件reg.reg，把注册表文件中的信息添加到系统的注册表里，解除注册表的锁定状态。,2022/12/19,计算机网络安全,30,8.2 Web服务中的IE安全,7. 关闭恶

22、意共享 恶意共享是指用户在浏览网页后硬盘被共享，一般是在浏览了含有有害代码的ActiveX网页文件后在不被用户知道的情况下产生的。在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionNetworkLanMan 下面添加键值RWC$，在RWC$下又分别建立键值Flags、Type、Path，这样就把C盘设为共享了，共享名为RWC,还看不到硬盘被共享。如果把Flags=dword：00000302改成Flags =dword：00000402，就可看到硬盘被共享。,2022/12/19,计算机网络安全,31,8.2 Web服务中的IE安

23、全,黑客通过这种方法把用户的硬盘当作他的一个逻辑硬盘，随意复制文件，删除文件，给文件改名，甚至可以格式化硬盘。要关闭这种恶意共享，到HKEY_LOCAL_MACHINESoftwareMicrosoftWindows CurrentVersionNetworkLanMan查看，如果出现RWC$，要把它删除。然后可以把windowssystem下面的VServer.vxd(MicroSoft网络上的文件与打印机共享，虚拟设备驱动程序)删除，再把HKEY_LOCAL_MACHINESystemCurrentControlSetServicesVxD下的Vserver键值删除，让木马等程序永远都不能

24、控制本机。,2022/12/19,计算机网络安全,32,8.2 Web服务中的IE安全,执行 “工具”“Internet选项”命令，在弹出的对话框中打开“安全”选项卡，单击“自定义级别”按钮，把安全级别由“中”改为“高”。在IE设置中将ActiveX插件和控件、Java脚本等全部禁止，就可以避免被共享。具体方法是：在IE窗口中执行“工具”“Internet选项”命令，在弹出的对话框中打开“安全”选项卡，再单击“自定义级别”按钮，就会弹出“安全设置”对话框，把其中所有ActiveX插件和控件以及Java相关全部选择禁用即可。不过，这样可能会造成一些正常使用ActiveX的网站无法浏览。,2022

25、/12/19,计算机网络安全,33,8.2 Web服务中的IE安全,由于这类网页通过修改注册表破坏系统，可以通过把注册表加锁，禁止修改注册表达到预防的目的。加锁方法如下所述。(1) 运行注册表编辑器regedit.exe。(2) 展开找到注册表HKEY_CURRENT_USERSoftwareMicrosoftWindows CurrentVersion PoliciesSystem，新建一个名为DisableRegistryTools的DWORD类型的键值项，并将其值改为1，即可禁止使用注册表编辑器。,2022/12/19,计算机网络安全,34,8.2 Web服务中的IE安全,其解锁方法如下

26、所述。用记事本新建一个文本文件registry.txt，再将后缀名txt改为reg，形成一个注册表文件，写入以下内容:REGEDIT4HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem，DisableRegistryToolsdword：00000000将该文件存盘，以后要使用注册表编辑器，双击registry.reg即可。,2022/12/19,计算机网络安全,35,8.2 Web服务中的IE安全,8. 给网页加锁常见的是Javascript密码锁。Javascript语言可以被嵌入HTML的文件之中，使

27、用它设计出交互性的网页内容。使用Javascript非常简单，只是一小段代码，就可以让网页产生多样的效果。使用Javascript加密最简单的结果就是让浏览者不能使用鼠标右键，当他按鼠标右键想对图片进行保存或者复制文字的时候就会弹出一个警告窗口或是弹出收藏夹等。以下介绍一些具体的实现方法。,2022/12/19,计算机网络安全,36,8.2 Web服务中的IE安全,1) 利用弹出窗口封锁鼠标右键 将下面这段代码放在网页HTML代码的headHead标志中，就可以实现封锁右键，给网页加密。Function click()if(eventbutton2)alert(本站不准使用右键，使用左键吧！_

28、)document.onmousedown=click/script,2022/12/19,计算机网络安全,37,8.2 Web服务中的IE安全,2) 弹出“添加收藏夹”对话框封锁鼠标右键 将下面这段代码放在网页的HTML代码的headFunction click( )if(eventbutton2)window.externaladdFavorite(http：/www.*.com/,*网)document.onmousedown=click/script,2022/12/19,计算机网络安全,38,8.2 Web服务中的IE安全,3) 彻底封锁鼠标右键 将下面代码放在HTML代码的head

29、function.DM(e)if(!ns)if(eventbutton1)window.externaladdFavorite(http：/www.*.com/,*网)elseif(e.which1)return falsens =navigator.app Name,Natscape;if(ns)document.captureEvents(Event.MOUSEMOVE|Event.MOUSEDOWN);documentonmousemove=DM;documentOnmousemove=DM;,2022/12/19,计算机网络安全,39,8.2 Web服务中的IE安全,4) 禁止查看源文

30、件 将下面这段代码放在网页的HTML代码的head,2022/12/19,计算机网络安全,40,8.2 Web服务中的IE安全,5) 用乱码显示链接、调用地址加密利用某些函数把URL字符转换成ASC码，从而达到隐藏链接页面和*.js、*.asp等脚本的目的。如：,2022/12/19,计算机网络安全,41,8.3 Web服务的安全实验,8.3.1 FTP服务的安全 8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,42,8.3.1 FTP服务的安全,1.实训目的（1）掌握FTP服务的工作方式。（2）掌握FTP服务客户端的配置。（3）了解FTP服务中可能遭遇的密码破解。

31、2.实训内容（1）FTP服务客户端的配置。（2） FTP服务的密码破解。,2022/12/19,计算机网络安全,43,3.实训理论基础 FTP是File Transfer Protocol(文件传输协议)的缩写，用来在两台计算机之间互相传送文件。相比HTTP，FTP协议要复杂得多。 复杂的原因是FTP协议要用到两个TCP连接，一个是命令链路，用来在FTP客户端与服务器之间传递命令；另一个是数据链路，用来上传或下载数据。,8.3.1 FTP服务的安全,2022/12/19,计算机网络安全,44,FTP协议有两种工作方式：PORT方式和PASV方式，中文意思为主动式和被动式。 从上面可以看出，两种

32、方式的命令链路连接方法是一样的，而数据链路的建立方法就完全不同。而FTP的复杂性就在于此。,客户端,服务器,命令链路,PORT命令,客户端,服务器,命令链路,PASV命令,主动式,被动式,8.3.1 FTP服务的安全,2022/12/19,计算机网络安全,45,4.实训步骤 1）FTP客户端的配置 用PASV方式还是PORT方式登录FTP服务器，选择权在FTP客户端。客户端只有内网IP，没有公网IP。如果用PORT方式，因为客户端没有公网IP，FTP将无法连接客户端建立数据链路。因此，在这种情况下，客户端必须要用PASV方式，才能连接FTP服务器。,8.3.1 FTP服务的安全,2022/12

33、/19,计算机网络安全,46,客户端有公网IP，但安装了防火墙若用PASV方式登录，因为建立数据链路的时候是由客户端向服务器发送连接请求，没有问题。反过来，如果PORT方式登录，因为建立数据链路的时候是由服务器向客户端发送连接请求，此时连接请求会被防火墙拦截。如果要用PORT方式登录FTP服务器，请在防火墙上打开1024以上的高端端口。,8.3.1 FTP服务的安全,2022/12/19,计算机网络安全,47,常见的FTP客户端软件PORT方式与PASV方式的切换方法 大部分FTP客户端默认使用PASV方式。IE默认使用PORT方式。对IE客户端：执行“工具”“Internet选项”命令，在弹

34、出的对话框中打开“高级”选项卡，选中“使用被动FTP”复选框(IE 6.0以上才支持)。,8.3.1 FTP服务的安全,2022/12/19,计算机网络安全,48,尽量不要用IE作为FTP客户端 IE只是个很粗糙的FTP客户端工具。首先，IE 6.0以下的版本不支持PASV方式；其次，IE在登录FTP的时候，看不到登录信息。在登录出错的时候，无法找到错误的原因。在测试FTP的时候，建议不要使用IE。,8.3.1 FTP服务的安全,2022/12/19,计算机网络安全,49,2）FTP口令破解实例 Brutus是英国的Hoobie公司出品的一款功能很强大的密码破解工具。运行Brutus，对Bru

35、tus运行界面中的各参数进行相应设置后开始扫描破解。,8.3.1 FTP服务的安全,2022/12/19,计算机网络安全,50,5. 实训思考题（1）如何配置各种FTP客户端？（2）如何防范FTP密码破解？,8.3.1 FTP服务的安全,2022/12/19,计算机网络安全,51,8.3.2 E-mail服务的安全,1.实训目的（1）掌握E-mail服务的工作原理。（2）掌握E-mail服务中安全证书的获取。（3）了解E-mail服务中可能遭遇的密码破解。（4）掌握反垃圾邮件的方法。 2.实训内容（1）垃圾邮件及邮件炸弹。（2） E-mail服务的密码破解。（3）反垃圾邮件软件的使用。,202

36、2/12/19,计算机网络安全,52,3.实训理论基础 1）电子邮件的特性电子邮件除了具备普通邮件一样的特性外，它还具有普通邮件所不具备的特点。 信息类型多样 快速便捷 高效灵活,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,53,2）电子邮件工作原理 电子邮件的传输 一个邮件系统的传输包含了用户代理(User Agent)、传输代理(Transfer Agent)及接受代理(Delivery Agent)3大部分。电子信箱系统是一个高性能、大容量的计算机邮件服务器。 存储转发 一种存储转发式的服务方式，属异步通信方式,8.3.2 E-mail服务的安全,2022/

37、12/19,计算机网络安全,54,电子邮件地址 由英文、数字及其他字符组成，通常分为两部分，中间以（念作at）分开。第一部分是账号名；第二部分代表接收邮件的计算机的域名和主机名。电子邮件的组成 由两部分组成：邮件头和邮件体，分别相当于普通信件的信封和信纸。邮件头包括：发件人的电子邮箱地址、收件人的电子邮箱地址、发信日期、邮件主题。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,55,3）电子邮件协议 电子邮件系统所应用的传输协议包括SMTP和POP3，其中，SMTP负责邮件的发送，POP3负责邮件的接收。 SMTP简单邮件传输协议 规定由源地址到目的地址传送邮件的规

38、则，它属于TCP/IP协议族 。它只能传输ASCII文本文件，但对于一些二进制数据文件则需要进行编码后才能传输。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,56,POP3邮局协议的第3个版本 规定怎样将个人计算机连接到因特网的邮件服务器和下载电子邮件的电子协议，负责接收电子邮件。POP3协议的工作过程大致可分为以下3步： 授权过程 传输过程 更新状态,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,57,4.实训步骤 1）电子邮件加密 为了确保重要、机密邮件的安全性，可以利用软件自带的加密与数字签名对一些重要的邮件进行加密。 要先经过安

39、装CA根证书，申请证书，收取证书序号及密码，下载并安装自己的证书这几道手续。最好先关闭防火墙，以确保CA根证书安装成功。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,58,启动Foxmail，执行“账户”菜单下的“属性”命令，在“账户属性”对话框中单击“安全”图标。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,59,单击“选择”按钮，弹出如下所示的网页。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,60,当上面成功申请完成后，立即登录到刚才申请时所填写的邮箱，收取一封主题为Foxmail CA Certi

40、ficate Download的邮件，该邮件中有业务受理号与密码。再次返回“Foxmai1 CA证书服务”页面，单击“下载并安装您的证书”超链接，在显示页面中输入业务受理号和密码，进行安装。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,61,将看到提示信息：“证书已成功下载，并被成功安装到IE浏览器中”。现在就能够发送签名、加密的邮件了。 执行“账户” “属性”命令，在弹出的对话框中单击左侧列表的“安全”图标，单击“安全”项目中的“选择”按钮，在弹出的“选择证书”对话框中，选择其中的证书并确认。 Foxmail会自动对邮件用计算机上安装的数字标识进行解密。,8.3

41、.2 E-mail服务的安全,2022/12/19,计算机网络安全,62,2）反垃圾电子邮件 客户端邮件过滤以TOM网的免费邮箱为例，首先在TOM网的主页上输入用户名与密码，进入某用户的免费邮箱。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,63,用鼠标单击左边的“我的配置”超链接，进入邮箱设置区，单击其中的“邮件过滤”超链接，在页面中，按要求填写邮件的过滤规则即可。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,64,Spam Buster反垃圾邮件软件 启动Spam Buster，单击主界面上的Settings & Stats按钮(

42、设置与统计)，便会弹出一个横向工具条。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,65,单击General Settings (普通设置)图标，弹出对话框。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,66,过滤规则决定广告邮件的过滤项目。单击Spam Settings图标来调用此项功能，该项分别有如下10项过滤规则。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,67,规则设定后，单击OK按钮即可按照预定的信箱设置开始登录并检查。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全

43、,68,3）电子邮件炸弹 随心邮件炸弹 一个国产匿名邮件发送工具，程序本身自带SMTP服务器，可以直接发送到对方的邮件地址，快速高效。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,69,KaBoom！v3.0一个国外的邮件炸弹软件，可以匿名发信的邮箱炸弹。在短时间内发大量信件到同一邮箱。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,70,邮件炸弹防范 为了更好地防范邮件炸弹，要提前在邮件软件中设置好防范项目。主要就是指定文件大小超过指定量时不接收。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,71,4）邮

44、箱口令破解 Web邮箱密码破解 黑雨POP3邮箱密码暴力破解器采用字典法破解邮件密码。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,72,POP3口令破解 E-mail Crack是一个基于POP3协议的口令破解软件，它根据攻击者提供的用户名单和口令列表文件，自动逐个尝试用户口令。,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,73,5. 实训思考题（1）简述E-mail服务中安全证书的获取及使用方法。（2）如何对电子邮件进行过滤设置？（3）在Outlook中如何进行反垃圾邮件的配置？ （4）如何防范邮件炸弹？（5）如何找回遗忘的电子邮件密码？,8.3.2 E-mail服务的安全,2022/12/19,计算机网络安全,74,小 结,本章介绍了Web服务的安全，以及Web中的安全威胁。通过Web服务中的IE安全、FTP安全、电子邮件安全的配置及实例分析，掌握相应的防范措施，了解和使用相应的工具软件。,2022/12/19,计算机网络安全,75,习 题,1. Web服务中可能受到哪些安全威胁？对应的措施是什么？2. 如何防止硬盘被恶意共享？3. FTP协议的两种工作方式是什么？在IE中如何切换？4. 简述电子邮件的工作原理。5. 如何进行电子邮件的反垃圾邮件活动？有什么样的措施可以采用？,