聚沙成塔-小哈的记事薄

最近的几个项目里都用到Linux，于是不能像UNIX下有同事帮忙配置好一切那样轻松，要自力更生了。首先记录一下每次都会用到却还没深深记录在我的艾宾浩斯记忆曲线中的SSH相关知识。

SSH的全称为Secure Shell Protocol，是一种在互联网上提供安全远程登录（取代telnet)及其它安全网络服务（取代FTP）的协议，只要在客户端连接时选择SSH协议即可。对于服务器端的配置，Red Hat Enterprise Linux默认开启了SSH服务，对于配置文件的详细解释，可以参考下面两篇文章。

sshd_config配置 详解

sshd_config 中文手册

由于SSH的传输加密特性，还可以用来做安全隧道

SSH tunnel tips 

IBM developworks上的这一篇 实战 SSH 端口转发 介绍的更为详细，而且有“X 协议转发实例分析”，在维护UNIX/LINUX时可以更方便。

安全隧道的实际用途之一么，当然是用来翻墙。

Firefox + Autoproxy + Tor 使用详解（转载）

MyEnTunnel+FireFox+FoxyProxy 通过SSH帐号翻墙教程

如何使用代理服务器

当然用PPTP建个VPN也是可以的

利用低端VPS开设VPN翻墙

科学松鼠会的一篇公钥安全机制与宫爆鸡丁的故事不错

扯远了，最后付一篇

Unix/Linux 系统自动化管理: 远程登录篇

安全是当今IT系统越来越重视的内容，特别在系统集成方面，需要我们尽可能构造一个安全可靠的环境。虽然按照传统的经验，一个系统对于不同的业务进行了网络拓扑上的划分，在关键位置部署了防火墙、入侵检测系统、审计系统等安全设备。但是“在你花费时间去加强系统中最坚固的部分的时候，你的对手则正在靠近这个系统中最薄弱的环节”，就要求我们“避免过度设计，优先改进最薄弱的环节”，而这点，往往用钱和设备是堆积不出来的，特别是一些安全设备对于管理人员来说比较陌生，操作上的疏忽反而会造成反作用。

本文版权所有 © 2010 Xin LI <delphij@FreeBSD.org> 保留所有权利

原文链接 《安全：该做什么和不该做什么》

非商业转载请注明出处http://blog.delphij.net/， 谢绝商业转载。

安全不能建立在"别人不知道"的基础上

"别人不知道"是一种非常常见的安全假象，举例来说，一种自己设计的山寨加密算法、一个系统中一般人不知道的位置等等，都属于这一类。

将安全建立在"别人不知道"的基础上是非常危险的。首先它会给设计者和用户带来"安全"的幻像，这会直接导致与系统交互的人放松警惕；其次，这样的设计往往留有"后门"，甚至是设计者不知道的后门（因为往往他们并不对这类设计进行充分的、专业的审计），容易被攻击者利用；最后，这种做法存在第三方泄密问题，即，使用这种系统的人，需要提防设计系统的人被其他人买通并泄漏一些秘密的情况。

延缓攻击的手段不能用来阻挡攻击

有许多延缓攻击的手段，例如改变服务的端口（比较常见的如将 ssh 改为 tcp/22 以外的端口），或禁止服务程序显示自己的版本等等，或仅仅简单地启用防火墙，这些手段起到的作用只是延缓攻击，而不应作为一种安全屏障。对于多层次式的安全设计来说，采取这些措施有助于提高检测到入侵的机会，但是它们本身并不会提高安全性。

与前一种情况类似，这种做法也只是让管理员放松警惕。例如以 ssh 为例，有人认为将端口改为一个非知名端口可以避免相关的攻击，但事实是，攻击者依然可以利用 ssh 实现或协议设计中存在的一些漏洞来攻破系统。拥有特定资源的攻击者甚至不需要直接对目标系统实施攻击。在较复杂的攻击手段中，包括简单的 port knocking 一类的保护手法，都可以使用类似分组重放这样的方法来逐步攻破。

阅读全文…

转载自月光博客 [ http://www.williamlong.info/ ]
本文链接地址：http://www.williamlong.info/archives/2057.html

本文为个人收藏及技术传播

虽然我们的网络在公开场合下自称是“开放”的互联网，但实际情况却不是这样的，例如前几天，已经有两个同事咨询过我，如何使用代理服务访问Facebook，我发现其过程还是挺多的，与其我一步步讲给他们听，不如写一个教程，这样他们也更能理解和操作。下面我就介绍一下我是怎么使用代理服务器的，算是一篇科普教程吧。

前面一段是科普教程，如果你只关心如何使用代理，可以直接跳到“如何使用SOCKS代理服务器”这一段。

什么是代理服务器

代理服务器（Proxy Server）是网上提供转接功能的服务器，在一般情况下，我们使用网络浏览器直接去连接其他Internet站点取得网络信息时，是直接联系到目的站点服务器，然后由目的站点服务器把信息传送回来。代理服务器是介于客户端和Web服务器之间的另一台服务器，有了它之后，浏览器不是直接到Web服务器去取回网页而是向代理服务器发出请求，信号会先送到代理服务器，由代理服务器来取回浏览器所需要的信息并传送给你的浏览器。

比如你想访问的目的网站是A，由于某种原因你不能访问到网站A或者你不想直接访问网站A（这样通过代理服务器网站A，对网站A而已可以隐藏你自己的身份，也就是不知道是谁访问的网站，而认为是代理服务器访问的），此时你就可以使用代理服务器，在实际访问网站的时候，你在浏览器的地址栏内和你以前一样输入你要访问的网站，浏览器会自动先访问代理服务器，然后代理服务器会自动给你转接到你的目标网站。

代理服务器的作用

提高访问速度：通常代理服务器都设置一个较大的缓冲区，当有外界的信息通过时，同时也将其保存到缓冲区中，当其他用户再访问相同的信息时，则直接由缓冲区中取出信息，传给用户，以提高访问速度。

隐藏真实身份：上网者也可以通过代理服务器隐藏自己的真实地址信息，还可隐藏自己的IP，防止被黑客攻击。

突破限制：有时候网络供应商会对上网用户的端口，目的网站，协议，游戏，即时通讯软件等的限制，使用代理服务器都可以突破这些限制。

代理服务器主要类型

HTTP代理：最简单的一种代理形式，能够代理客户机的HTTP访问，上网浏览网页使用的都是HTTP协议，通常的HTTP代理端口为80、3128或8080端口。

SOCKS代理：SOCKS代理与HTTP等其他类型的代理不同，它只是简单地传递数据包，而并不关心是何种应用协议，既可以是HTTP协议，也可以是FTP协议，或者其他任何协议，所以SOCKS代理服务器比其他类型的代理服务器速度要快得多。SOCKS代理又分为SOCKS4和 SOCKS5，二者不同的是SOCKS4代理只支持TCP协议（即传输控制协议），而SOCKS5代理则既支持TCP协议又支持UDP协议（即用户数据包协议），还支持各种身份验证机制、服务器端远程域名解析（解决DNS污染就靠这个了）等。SOCK4能做到的SOCKS5都可得到，但SOCKS5能够做到的SOCKS则不一定能做到。目前SOCKS5是最常用的一种SOCKS代理。

如何使用HTTP代理服务器

HTTP代理服务器的设置方法，对于IE和FireFox设置略有不同。设置前需要先找一些可用的免费代理服务器地址。

IE的设置是这样的，打开IE浏览器，选择菜单栏的“工具/Internet选项…”。

这时候分两种情况，对于ADSL拨号用户来说，选择一个网络连接后，点“设置”，如下图所示，选中代理服务器，填入地址和端口号。

对于局域网用户来说，需要点“局域网设置”，如下图所示，选中代理服务器，填入地址和端口号。

FireFox的设置和IE类似，打开FireFox浏览器，选择菜单栏的“工具/选项…”。

这时选择“高级/网络”，点设置，就出现下面的界面，就可以进行代理服务器的设置了，选中“手动配置代理”，然后填写代理服务器的地址和端口。

如何使用SOCKS代理服务器

这里就到重点内容了，SOCKS代理是目前功能最为全面，使用最为稳定的代理服务器，我目前上网就只用SSH搭建SOCKS代理服务器上网，访问网络没有任何限制。下面我就着重讲一下如何使用SOCKS代理服务器。

用SSH搭建SOCKS代理上网，建议使用Firefox浏览器，因为Firefox支持SOCKS代理远程域名解析，而IE只能通过类似SocksCap这样的第三方软件实现，不是很方便。

配置Firefox浏览器

在Firefox设置SOCKS远程域名解析，主要是为了防止DNS污染，具体设置方法是，在Firefox地址栏中，输入 about:config ，按确认，修改里面的一项数值，改成 network.proxy.socks_remote_dns=true 就可以了。

然后，打开FireFox浏览器，选择菜单栏的“工具/选项…”。选择“高级/网络”，点设置，就出现下面的界面，就可以进行代理服务器的设置了，选中“手动配置代理”，然后在SOCKS主机上，填写代理服务器的地址127.0.0.1，端口1080，SOCKS类型选择“SOCKS V5”，这时Firefox就配置结束。

设置SSH

配置好了Firefox，就该配置SSH了，安全外壳协议（Secure Shell Protocol / SSH）是一种在不安全网络上提供安全远程登录及其它安全网络服务的协议。常用的SSH工具有开源软件PuTTY，支持SSH远程登录的主机可以实现socks5代理服务器的功能，不过在PuTTY中没有配置文件，需要手动设置才能实现，且无法保存，而PuTTY完整版自带的pLink可以实现命令行方式调用PuTTY实现SSH的加密通道。

具体的方法是，去PuTTY官方网站下载pLink这个文件，pLink的调用参数是：plink -C -v -N -pw 密码 -D 本地端口 远程用户@IP或域名:远程希望打开的端口。

新建一个文件，写入以下内容，另存为pLink.bat批处理文件，并放在Putty的安装目录内。

plink -N Username@sshServer -pw Password -D 127.0.0.1:1080

请将Username sshServer Password三处改为用户自己登陆SSH服务器的用户名、服务器地址和密码。这个SSH帐号可以通过多种方法获得，例如用户购买了某些国外主机空间或VPS就会有SSH帐号，或者在淘宝网也有SSH帐号出售，我自用的SSH帐号是用每年100美元购买虚拟主机时赠送的，通常SSH帐号的价格大约是每年几十元人民币左右，也有少量国外网站提供免费的SSH帐号。

执行这个批处理文件，保持其窗口开启，一旦关闭窗口代理便失效。然后打开已经配置好127.0.0.1:1080的Socks5代理的Firefox浏览器，就可以使用SOCKS代理服务器上网了。

其他设置技巧

为了方便代理服务器的快速切换，我建议安装一个名为QuickProxy的FireFox代理服务器扩展，可以实现一键切换代理功能，QuickProxy安装后在状态栏有一个按钮，点击后可以启用、关闭Firefox浏览器的默认代理设置，可以快速在代理和非代理之间切换，很方便。界面如下图所示。

设置完成了之后，你就可以自由自在地在开放的互联网上傲游了。根据我的使用经验，基于SSH的SOCKS代理稳定、快速、功能全面，是值得推荐的代理方法，使用过程中流量需要自己把控，我个人觉得其浏览体验要远远高于其他代理软件。

随着这次Google退出中国市场，本文可能会成为未来网民常用的上网技巧之一。

写在前面：全文这么看一遍，等于把大学里的《信息安全》课程又温故了一下。理论就应该这么结合着实践来讲，早两年看到就能启发俺如何做毕业设计，不用搞的那么头痛了。

作者： Jeff Moser
译者： 马国耀
原文链接：http://www.infoq.com/cn/articles/HTTPS-Connection-Jeff-Moser

当你在浏览了一个网站上面的商品之后，点击“继续并结帐”时会发生什么？本文即将对（浏览器）与Amazon建立安全连接的整个过程中最初的若干毫秒进行分析。当你点击继续按钮时一个新的页面将被加载：

在短暂的220毫秒内，发生了很多有趣的事情，Firefox修改了地址栏的颜色，并在其右下角放置了一个锁状的图标。在我最喜爱的网络工具Wireshark以及略微修改的Firefox调试版的帮助下，我们可以对正在发生的事情看个究竟。

根据RFC 2818协议的规定，Firefox明白“https”意味着它应该连接Amazon.com的443端口：

大多数人将HTTPS和SSL(Secure Sockets Layer)联系起来，SSL是Netscape公司在90年代中期发明的。随着时间的推移这种说法就渐渐变得不准确了。由于Netscape失去了市场份额，它将SSL的维护工作移交给因特网工程任务组（IETF）。第一个后Netscape版本被重新命名为安全传输层协议（TLS），TLS1.0是在1999年1月份发布的。由于TLS诞生都10年了， 所以真正的“SSL”传输其实是几乎见不到。

阅读全文…

上周表妹让我帮忙买个无线路由器，为的是能在两个房间都能上网。这年头家里有两台电脑的越来越多，加上带wifi功能的手机、NDSI、Wii等娱乐设备，不管是电信还是网通给的ADSL猫都没有多余的口再来插网线了，而且如今无线路由器只要120就能搞定54M速率的，所以大家都开始wireless了。

不过我在家直接用笔记本搜索到的无线情况如下：在一共搜索到的7个无线节点中，有1个没有采用任何的加密措施，可以直接连接上。

而且路由器启用了DHCP，我毫不费力的得到了一个IP地址192.168.1.100，通过这个IP地址，那么默认的路由器ip就是192.168.1.1了。

TP-LINK的路由器，默认用户名、密码是admin/admin，别的品牌默认密码不外乎password、changeme（话说回来，这种人人皆知的也不好叫密码了），顺利进入。

看来这个路由器买回来唯一做过的就是按着配置指南，step by step的输入了ADSL的账号，可以打开路由器时自动连接。除此之外，就是一座不设防的空城。

通过上述“入侵”的过程，你也许对如何加强安全性有点头目了：

1. 隐藏SSID号
   SSID（Service Set Identifier）也可以写为ESSID，用来区分不同的网络，最多可以有32个字符，无线网卡设置了不同的SSID就可以进入不同网络，SSID通常由AP广播出来，通过XP自带的扫描功能可以相看当前区域内的SSID。出于安全考虑可以不广播SSID，此时用户就要手工设置SSID才能进入相应的网络。简单说，SSID就是一个无线局域网的名称，只有设置为名称相同SSID的值的电脑才能够连接到同一个无线网络中互相通信。
2. 设置非默认管理端口和复杂密码
   不要使用192.168.X.1的管理端口和admin、admin这样的密码
   别人都总结的好好的了 http://www.phpv.net/html/1553.html
3. 禁用DHCP
   别一下网段、网关什么的都暴露了
4. MAC地址过滤
   只允许自己的网卡访问路由，其它一概禁止

以上这些，只要您打开路由器的配置界面，从上到下，每一项都点一遍，就知道在哪里设置了。不过这些“雕虫小技”，除了最后一项会对入侵者设置一些障碍（可以通过伪造mac地址破解），其它的操作只防得了君子，对小人是一点用都没有的。要想把小人赶出门外，只能用加密措施。

安全类型选择WPA/WPA2，安全选项选择WPA2，加密方法选择AES，这三者是现在最安全的无线网络设置组合。

有了以上理论基础，网络嗅探工具加上暴力破解工具有了用武之地。按照下面几个帖子里的内容，平均10分钟就可以破解出使用WEP加密方法的密码。

BackTrack 使用全解

XP系统里利用VMware虚拟机启动BT3破解无线WEP和WPA傻瓜版教程

Intel3945ABG在BT3下破解有（无）客户端wep简明教程

WPA用Temporary Key Integrity Protocol (TKIP)机制避免了WEP的这个重大缺陷，一般支持WEP的无线网卡和路由都能支持WPA。当然更安全的是WPA2加密协议，使用AES来代替TKIP。至于WPA-PSK则是WPA Personal的缩写，一般家庭使用，而WPA Enterprise顾名思义适合企业用户使用。如果你的无线路由器或网卡不支持WPA2，那么试试升级firmware或者驱动，实在不行使用WPA，千万不要再使用WEP了。

参考文章 http://arstechnica.com/security/news/2008/04/wireless-security.ars

当今网络世界，每台电脑都有人惦记着，刚学会使用工具的小伙子们惦记着拿你的QQ来练练手，放两个木马在你的电脑里满足一下“成就感”，有明确利益诉求的则看看你没有什么热门的网络游戏帐号，再高级一点的犯罪团伙则瞄着你的银行帐号、支付宝帐号，可以说是充满着腥风血雨。除了这些无差别攻击，要是你被人“盯”上，而电脑还缺少必要的保护，那么就是新一出“我家家门常打开”了。

想不到霍炬在谈论高级编程之余还为广大网民考虑的如此周到，写了一篇《匿名网民的安全指南》，现在连载到第二部分，大家可以点击下面链接去看看。

        匿名网民的安全指南(1)           匿名网民的安全指南(2)

内容很入门，当然是对于我这样的IT从业人员来说， 一般人，特别是小姑娘看到估计还是会头大。不过像现在报纸、电台里一直宣传的反电话、短信诈骗一样，讲的多了大家自然也会慢慢注意，特别是对于“急需提高自己的安全级别的”人来说，应该会有帮助。

因为“6 本文会时常修补增加内容”，所以我就不转载了，不过这个系列的文章应该还没完，因为现在最重要的无线安全没有介绍到。既然如此，那我就贴上关于无线安全的文章。

       配置无线的方法 Geek to Live: Set up a home wireless network

       加固无线的方法  The ABCs of securing your wireless network

       否则的话，就等着 How to Crack a Wi-Fi Network’s WEP Password with BackTrack

       如果你认为无线密码被破了大不了让别人蹭蹭网，只要那小子不下BT也没啥关系，那你可要注意了你们已经在同一个局域网中，你的共享资源都在别人的眼皮底下，你的C盘、D盘、E盘过不了多久也会对别人开放，你发送的每一个网络包别人都可以截取。

当然避免的方法很多，如果你对霍炬的两篇文章看的云里雾里，那么最简单的就是下载个360安全卫士，做一下“安全体检”，这样本机的安全至少有了保证，但是在公共计算机上的安全主要靠安全意识了。如果你看不明白无线安全的那三篇文章（或者你懒得看英文），那么等俺有空了，会翻译一下。当然时间也许要个几天，因为我喜欢每步步骤都做一下，确认文章中的操作可行，才会发出来。