אבטחה בשרת IIS
פרקי ההרצאה: אבטחה בשרת IIS
תמלול ההרצאה: אבטחה בשרת IIS
הטקסט המלא של הדקות הראשונות בהרצאה «אבטחה בשרת IIS» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים להרצאה על אבטחה בשרת ה-S. אנחנו הולכים לעבור על אבטחה יותר ברמת לבקש סיסמה, לבקש הצפנה, למי מותר מה לעשות, למי מותר לראות את הקבצים שיש בתוך האתר מרחוק.
זו הולכת להיות הרצאה מעניינת. אני יונתן רבזין ואתם באחת ההרצאות של מכללת פרקטיקיו. יש לנו למעשה את כל החומר לימוד בוידאו של MCATP של VMware של Cisco ושרתים וחומרה של מחשב ווינדוס 7 ותקשורת וכל מה שמעניין אתכם כולל תכנות יש לנו באתר המכללה הכל בוידאו ואתם יכולים לקבל אותם גם הביתה ובואו נעבור לחלק המעניין שזה המכונה הווירטואלית שלנו
שעליה אנחנו רוצים להתקין IIS ולדבר על אפשרויות האבטחה. יש לנו גם הרצאה נפרדת על אירוח אתרים, איך לארח הרבה אתרים על שירת ה-IIS אחד.
כרגע אנחנו נתעסק באתר אחד ונחפור בתוך האופציות שיש בפנים. ההרצאה על אירוח אתרים מאוד מאוד מעניינת, איך לשים כמה אתרים על אותו שירת ה-IIS, תראו את זה באתר המכללה.
יש לנו פה speed.net, בעצם להתקין תמיכה בדוטנט באתר האינטרנט. יש לנו פה תמיכה בעוד כל מיני דברים שהם יותר למתכנתים. מה שמעניין אותנו, מה שממש מעניין אותנו זה סיקיוריטי, אבטחה, ובאבטחה יש לנו שיטות אימות שונות.
אם אנחנו לא נתקין שום דבר, יהיה לנו רק פריצה אנונימית, אנונימוס. מה זה אנונימוס? בלי שם וסיסמה להיכנס לאתר האינטרנט.
אם אנחנו רוצים לדרוש אימות בכניסה לתיקייה מסוימת בכניסה לאתר מסוים אנחנו צריכים להתקין איזושהי שיטת אימות אז basic authentication למעשה זה שיטת אימות הכי פשוטה שבה שולחים שם וסצמה על הקו באופן גלוי והאופציה הזאת מאוד מסוכנת אבל מאוד נוחה ככה בודקים אם יש בעיות או אין בעיות באתר ואם
אתם רוצים להפעיל את זה בסביבה אמיתית באינטרנט האמיתי Basic Authentication, אתם חייבים לשים מסביב SSL, use SSL, SSL זה בעצם תעלה וירטואלית מסביב לכל התקשורת שמצפינה את הכל.
אז מאוד חשוב לשים את ה-SSL שיצפין את כל התקשורת, אוקיי? Windows Authentication, Windows Authentication לעומת זאת, זאת שיטת אימות יותר חכמה, שבה לא שולחים שם וסיסמה על הקו, ומאחורי השיטה הזאת מסתתרות בעצם שתי שיטות שונות שווינדוס יודעת להשתמש בהן.
אחת קרברוס ואחת NTLM. מה ההבדל ביניהם זה ממש לא משנה בהרצאה הזאת, יש לנו הרצאה בווידאו נפרדת על קרברוס ו-NTLM.
מה שחשוב שבווינדוס אותיטיקיישן בשיטה הזאת יוזר לא צריך להזין שם וסיסמה. השם והסיסמה של היוזר המערכת לוקחת לבד מתוך הלוגין שלו. יוזר עשה לוגין, זה משתמש בשם וסיסמה של היוזר מהלוגין בשביל לעבור אימות ואז יוזר זה נראה לו מה שנקרא יותר טוב מאשר basic authentication שמעביר שם וסיסמה בעצם על הקו וזה לא מעביר סיסמה על הקו וזה משתמש בלוגין של יוזר.
יש עוד שיטות כמו digest authentication ויש כל הנושא של תעודות הדיגיטליות ולעשות מפינג ביניהם. אני לא רוצה להיכנס לדברים מוחכבים כל כך בשלב הזה, אני רוצה להראות לכם עוד משהו, אני לא הולך להסביר לכם את כל האופציות שקיימות ב-S, זה הרבה מעבר לרמה שלנו,
לפחות בקורס של MCITP הבסיסי, בקורס של מאסטר זה קורס ברמה אחרת ששם כבר לומדים את כל האופציות לעומק, אז אנחנו נראה בעצם את ה-Basic Authentication ונראה את ה-IPים, הגבלה לפי כתובות הIP, מי הם הIPים שיכולים להתחבר אליי, ובואו נתקין רגע לפני כן אני רוצה להגיד לכם עוד משהו management service כלי ניהול אפשר להתקין כלי ניהול שאפשר יהיה לנהל את ה-IS
מרחוק אז זאת גם אופציה מאוד שימושית לנהל את ה-IS מרחוק ולא לעשות רימור דסקטופ לשרת יפה נעשה נקסט ונראה את האופציות טוב מאוד אוקיי אנחנו בתוך ה-IS יש לנו אתר דיפולטי שהותקן מה שאתם רואים פה זה את ההתקנה הדפולטית של ה-IS.
אנחנו יכולים לראות שאתר האינטרנט באמת עובד, באמת פועל, ואנחנו הולכים לראות בעצם את הבפנים של האתר.
האתר עצמו, בבייסיק סטינגס שלו, מוביל לתיקייה System Drive, זה קונאנסי, iNet Pub www Root, זאת התיקייה הפיזית שאליה הוא מוביל, והנה אנחנו רואים פה שיש לנו אתר אינטרנט עם שני קבצים.
בואו ניפטר מהוויזרד הזה של ה... דפדפן, יופי, אז יש לנו אתר אינטרנט דיפולטי שכרגע לא דורש שום שם וסיסמה והכל נכנס חלק ויפה. אנחנו רוצים לעשות פה, בואו נתחיל לעשות תת-תיקייה, בואו נראה, לאט לאט.
אז פיזית ראינו שהוא נמצא ב-CINetPub, נכון? זה המיקום הפיזי שלו. אנחנו נעשה בפנים תת-תיקייה שנקראת סודית, ובתוך התיקייה הסודית נעשה קובץ טקסט שנקרא כספומט, זה קובץ כספומט, נרשום את הסיסמה שלי לכספומט, סתם זאת לא הסיסמה שלי, יופי.
הקובץ הזה זה קובץ מסוג טקסט, אנחנו יכולים לראות פה שזה קובץ טקסט, ואנחנו ניגש אליו דרך הבראוזר, דרך הדפדפן. שימו לב, כשאנחנו כותבים HTTP, זה "הגענו לתיקייה הזאת" של wwwroot.
עכשיו אנחנו רוצים בתוך התיקייה הזאת לגשת לתת-תיקייה שנקראת סודי, זה ממש כמו בשייר, כמו בשיתוף. ובתוך הסודית אנחנו רוצים לגשת לקובץ שנקרא caspomat.txt caspomat.txt הוא אומר not found לא מצאתי הוא לא מצא כי כתבתי לו סודית לא נכון הנה סודית נכון והנה הוא מצא ונתן לי את הקובץ אתם רואים ממש אני מציין לו נתיב
כמו בשיתוף יחסית לתיקיית השורש לתיקיית הרוט של האתר מצוין רק מה הבעיה תכף אנחנו נתחיל לדבר על כמה בעיות מה קורה קודם כל אם אני לא יודע את השם של הקובץ ואני כותב לו רק שם של התיקייה מה הוא יעשה שימו לב מה הוא אומר אתה פנית לתיקייה וווב סרבר מוגדר not least the content of this directory השרת מוגדר לא להראות לך את הרשימה של
התוכן של התיקייה כאילו האתר אינטרנט לא מראה לך את כל מה שיש לו הוא לא מראה לך אם אתה רוצה תבקש קובץ ספציפית אם אתה לא יודע מה אתה רוצה אתה לא מקבל רשימה של כל מה שיש לו כי זאת פגיעה באבטחה האקר יכול להיכנס לראות את כל הקבצים שיש ואולי יש לי קבצים שאני לא רוצה שהוא ייגש אליהם או שלא ידע איך
הכל בנוי אצלי כן אז אני לא מאשר by default לראות את כל תוכן התיקייה אם אתם יודעים שזה שרת פנימי ואתם כן רוצים לאפשר לו לראות את כל הקבצים שיש בתיקייה הזאת אז אתם יכולים לבוא ל-IS וב-IS בהגדרות של האתר יש את ה-content view שזה בעצם הקבצים הפיזיים שיש בפנים ויש את ה-featured view שזה האופציות שיש לנו באתר.
בפרש אתם גם תראו את התיקייה הסודית שעשינו. אז יש לנו פה דירקטורי בראוזינג. בראוז בתוך התיקייה ואנחנו עושים דאבל קליק על זה ורואים שזה דירקטורי בראוזינג has been disabled.
אנחנו לוחצים לו enabled, אומרים לו מה מותר לו לראות בדיוק ושימו לב עכשיו אני עושה refresh ואתם רואים את כל מה שיש בתיקייה הזאת במקרה שלנו יש רק קובץ אחד אבל אם היו פה הרבה קבצים יכלנו לראות את כולם ואפשר לראות גם את התוכן של אותו הקובץ אתם רואים זה התוכן של הקובץ אתם רואים יפה כמובן שהאופציה הזאת מסוכנת ואנחנו נסגור
אותה אז זאת אופציה שנקראת directory browsing עכשיו אני אומר דבר כזה כאשר בן אדם לא יודע מה הוא רוצה לקבל אל תיתן תן לו הודעת שגיאה כזאת Forbidden אסור לראות את התוכן של כל הקבצים בתיקייה, תן לו קובץ ברירת מחדל, תיתן לו במסך כאילו הוא כתב קובץ מסוים.
טוב, ניכנס ל-Default Document, מסמך דיפולטי, ונגיד לו שהמסמך הדיפולטי שלנו זה caspomat.txt זה המסמך הדיפולטי שהוא מקבל, ובואו נראה מה יקרה עכשיו.
עכשיו כשנעשה רפרש על התיקייה עצמה נקבל בעצם מסמך דיפולטי מסמך ברירת מחדל שיוצג למי שמתחבר לתיקייה הזאת זה חשוב לכם למקרה שהמתכנת פתאום הביא לכם קובץ שהוא לא דיפולט ואתם צריכים להחליף דיפולט כן זה מאוד נהוג להיכנס ולהחליף דיפולט של מסמך כשאתם נכנסים לאתר של ynet אתם לא כותבים
בדיוק איזה קובץ אתם רוצים אז יש דיפולט אז זה נקרא דיפולט דוקיומנט מצוין ראינו דיפולט דוקיומנט ראינו דירקטורי בראוזינג זה לראות את כל מה שיש בפנים, עכשיו נעבור לחלק הכי מעניין, אם תיקייה סודית אנחנו רוצים בגישה אליה שיבקש שם וסיסמה אז זה נקרא Authentication עימות ואנחנו עומדים על התיקייה ואומרים עימות ואומרים
תעשה עימות של עימות של BASIC BASIC זה אומר לבקש שם וסיסמה ולשלוח אותם על הקו לשרת BASIC מצוין הוא אומר תיזהר SSL לא מופעל זה מסוכן אני אומר בסדר גמור אל תדאג הכל בסדר ועכשיו ואנחנו ננסה שוב לגשת לתיקייה הסודית.
קונטרול F5. ושימו לב, הוא מבקש הפעם שם וסיסמה. ואני צריך לתת לו שם וסיסמה, אבל לא אמרתי איזה שם וסיסמה. איפה? אמרתי לו אותיטיקיישן לשם וסיסמה, אבל איזה שם? איזה סיסמה?
חבר'ה, זה נקבע בפרמישנס של התיקייה, בהרשאות של התיקייה. אני פיזית מגיע ל-C של התיקייה הזאת, דרך סיכונן C, עושה פרופרטיז ובסיקיוריטי שלה קובע למי מותר להיכנס ולמי אסור להיכנס.
בעצם ה-S עצמו מסתמך על Windows בניהול משתמשים ומסתמך על NTFS שינהל את האבטחה. אז בואו נעשה יוזר שקוראים לו יוני וניתן רק ליוני להיכנס לתיקייה הזאת.
אז ניכנס לאקטיב דירקטורי, יוזרס אנד קומפיוטרס ונעשה יוזר שקוראים לו יוני. נעשה יוזר שקוראים לו יוני עם סיסמה מייקרוסופט פאסטרופט של מייקרוסופט יופי עשינו יוזר יוני ועכשיו אנחנו רוצים רק לא לתת לי לתת את הזכות להיכנס לתיקייה הזאת
אנחנו באים לתיקייה סודית פרופרטיז סקיוריטי ומוסיפים את יוני בתיקייה הזאת נותנים לו פול קונטרול בעיה שיש פה לכל היוזרים ברירת מחדל מה זה ברירת מחדל זה מגיע בהורשה שלכולם מותר read אז אני רוצה להוריד את זה, אני בא ל-Operties על סודית, על תיקייה,
עושה Advanced, וב-Advanced מוריד הורשה. אומר לא צריך הורשה, ואז רק ליוני מותר להיכנס, כדי שיהיה לי קל לעבוד אני אוסיף גם את האדמיניסטרטור, כי אני בעצמי אדמיניסטרטור, וגם אני אוסיף מערכת גיבוי, את ה-Windows עצמו, שזה Windows System.
בסופו של דבר אפשרתי רק כניסה ליוזר שקוראים לו יוני, לתיקייה הספציפית הזאת, וזה תופס ל-Web דרך HTTP. אז יוזרים מנהלים באקטיב דירקטורי או ב-Locally Users and Computers אם אין אקטיב דירקטורי, ואת ההרשאות מנהלים ב-NTFS.
מצוין, עכשיו אנחנו כותבים יוני, כותבים פסוורד וניגשים לקובץ. אם אנחנו נכתוב משהו אחר אנחנו לא נוכל לגשת. בואו נעשה עוד יוזר,