單位IC卡安全知多少

引言： 機房的IC卡是芯片卡相對來說是比較安全，但電腦本身就不一定有那么安全了。安全是一個整體，任何一部分設置不當都有可能全盤皆輸。這個世上沒有絕對安全的系統，只有暫時沒有被攻破的系統。

說到網絡，大家一定不陌生，誰的大學生活不是在電腦的“陪伴下”度過的。今天主要介紹的是我們大學和企業的網絡安全問題，在筆記本還沒有普及的年代，那時機房的電腦是IC卡插卡上網的，網管在單獨的一個房間里面辦卡和辦理卡的充值業務，也許網管認為這種管理方式很安全，有IC卡這種芯片卡做關卡（如圖1），他便可以高枕無憂。但是網管的這種思想是錯誤的，這個世上沒有絕對安全的系統，只有暫時沒有被攻破的系統。

機房的IC卡是芯片卡相對來說是比較安全，但電腦本身就不一定有那么安全了。安全是一個整體，任何一部分設置不當都有可能全盤皆輸。我曾經就有繞過IC卡而直接登錄Windows的成功經歷，說明這種通過IC卡來登錄系統的方法是存在嚴重漏洞的。當時我在開機的時候注意到了一個易游的管理系統，我看到了磁盤分區工具、DOS管理系統、DOS下掛載NTFS分區、COMS密碼清除等一些常用的小工具。我先通過掛載NTFS分區的工具掛載了C盤，一般的網吧都是使用的易游管理系統和易游還原(當然機房也不例外）。在這之前我瀏覽過機房電腦里面的文件，在瀏覽文件的時候注意到了一個腳本文件，其實只要稍微了解計算機的人就知道一般收費系統的認證界面基本都是在注冊表Winlogon項下面的字符串，這樣在登錄Windows時就是直接登錄Windows了。這個IC插卡系統就能被成功繞開了。

圖1 IC卡

還有一種漏洞，開機啟動電腦后啟動PE系統然后加載注冊表，能繞過IC卡認證系統。從上面的介紹可以看出都有哪些做的還不夠安全吧。

防范方法：

1.安全模式一定要禁用。

2.易游管理系統設置密碼過于簡單。建議加入特殊符號，以防暴力破解。

3.BIOS一定要設置密碼。盡管能用一些BIOS密碼清除工具清除密碼，但這并不保險，還是有必要設置密碼的。

4.收費和還原管理系統一定要經常更新，以防有一些漏洞沒有及時更新而導致被利用。

5.BIOS設置把默認的一些啟動項去除，如：USB、CD-ROM等。

6.那些自動配置還原系統的腳本用完之后記著要及時刪除。

7.最重要的一點，盡量不要嘗試用一些管理軟件來管住學生們上網。很多人都在犯這樣的一個錯誤，那就是想利用死的軟件來管住靈活的人。

測試完機房的IC卡認證系統和還原系統那接下來看看這個機房的網絡設備和操作系統安全性能如何。我先用掃描軟件掃描了一下這個機房的網段，發現了幾臺交換機和路由器設備試用默認口令登錄結果居然能成功登錄，看來弱口令無處不在啊！接下來了查看了一下操作系統打補丁的時間，最后打的一次補丁竟然是2009年的，可能自從裝完系統都沒有打過補丁。我通過測試一下2010年的一個快捷方式漏洞，結果能夠成功獲取一臺電腦的控制權限。還測試了一個JAVA的漏洞也能成功獲取了對方電腦的控制權限。

防范方法：

1.修改網絡設備的弱口令和默認密碼。

2.要及時更新系統補丁和升級相關軟件，以防沒有及時更新補丁而導致系統被入侵。

圖2 IC卡充值終端機

3.在條件允許的情況下最好不要使用Telnet管理網絡設備。Telnet是明文傳輸的很不安全，建議使用SSH登錄。

機房簡單的測試完了，那現在再去單位辦公地點去看看吧，來到單位看見一臺多媒體電腦連接著墻上的一個網口，我把網線拔下來插到我的電腦上面發現能正常上網。并且還能夠成功獲取旁邊辦公室老師登錄的網站信息。

防范方法：

1.交換機要開啟端口綁定IP+MAC+端口，這樣能從一定程度上防范非法接入。

2.電腦終端要及時更新漏洞補丁并裝一個ARP防火墻用以防范ARP欺騙攻擊。

單位測試完了那就再去測試終端機，這些設備在圖書館和食堂。

終端機可以簡單分為兩類：

1.鍵鼠操作型終端機

2.觸控操作型終端機

圖書館的終端機是鍵鼠操作型終端機。我直接試了試Ctrl+Alt+Del快捷鍵發現能成功彈出任務管理器，這時我結束了圖書管理程序直接就返回到了電腦的桌面。

再去食堂的飯卡充值的終端機上面看看，食堂的終端機是觸控操作型終端機，我找了個網頁的界面，然后長時間按屏幕直接就彈出來右鍵菜單了，其實長按屏幕就相當于鼠標右鍵了。我點了一下菜單上面的另存為然后直接就彈出另存為的對話框，這個時候桌面的任務欄也顯示出來了。我直接點任務欄上面的返回到桌面的那個程序，直接就把那個充值系統最小化了，熟悉的Windows桌面的圖片就顯示在我面前了。飯卡充值終端肯定和數據庫相連，我可以接下來嘗試連接數據庫，此時若嘗試一下基本的弱口令或采取一些其他設備，學生飯卡的密碼便面臨很大風險。

防范方法：

1.屏蔽掉Ctrl+Alt+Del等一些快捷鍵操作。

2.禁用長按屏幕出現右鍵菜單的功能。

宿舍主要測試兩項，一項是刷卡打水的飲水機,另一項就是宿舍的無線網。

2008年2月荷蘭政府發布了一項警告，指出目前廣泛應用的Mifare RFID產品賴以保證安全的密鑰存在很高的風險。Mifare卡其實就是現在市面上使用的大多數的水卡、門禁、公交卡等。若通過一些專業設備可能會使卡面臨極大風險。

防范方法：

盡量避免使用Mifare卡，而換成高級點的CPU卡，至少現在還沒有公布過對CPU卡的破解。

至于宿舍的網絡，同樣存在VPN繞過限制等的漏洞。

1.偽造MAC就是隨意偽造一個認證成功的MAC地址便可上網。

2.通過VPN繞過限制來免費上網。現在校園網為了實現瀏覽器輸入任何地址都要跳轉到下載客戶端的頁面，必須開放DNS UDP 53端口及Web TCP 80 端口。校園網的管理人員大都沒有限制客戶端訪問DNS的IP，從而導致未經過認證的客戶端也可以訪問UDP 53端口。這樣就可以繞過驗證免費上網了。我當時是測試了某個軟件，發現能利用這一漏洞并能成功繞過限制來達到免費上網。

3、如宿舍的寬帶賬號一般就是宿舍號+床鋪號或其他與人員信息相關的號碼，密碼一般默認是該人員相關的一些信息。通過單位網站上的人員管理系統可以獲取身份證號、宿舍號、床鋪號等。因為網站的管理系統默認的賬號和密碼都一樣，賬號就是學生或員工的編號，這個號碼有一定的規律性。了解了這些信息很容易就能獲取別人的寬帶賬號密碼，這樣測試大部分能登錄成功，因為大部分人都沒有修改密碼的意識。

防范方法：

1.限制客戶端訪問DNS的IP地址。

2.目前沒有很好的辦法來防范偽造MAC地址的攻擊，只有保護好自己的MAC地址不要輕易泄露給他人。

3、默認密碼一定要改，有很多企業吃過這個虧。我以前測試過攝像頭安全，發現國內大多在線攝像頭都使用著默認密碼。在國外有個全球攝像頭在線查看的網站，其中里面中國的有三四千個家用或公共區域的在線攝像頭，全都是使用的默認密碼。

通過以上分析就會知道在使用IC卡時如果不注意防范，可能就會留下隱患。最后希望大家能知道稍稍的了解一下這方面的問題，不要指望你的策略做得到位、安全軟件用的好就能防住黑客的攻擊，當你用一個不變的策略和軟件來防范一個靈活的人的時候你就大錯特錯了！平時留意自己的習慣，只有不斷的加強網絡安全管理才能更好的防范網絡攻擊，才能使網絡更加的安全、可靠。