Transcript 第三章: 安全資訊管理 - 雲林科技大學計算機網路研究室

教育部資通訊人才培育先導型計畫
寬頻有線教學推動聯盟中心
第三章 安全資訊管理
國立雲林科技大學
自由軟體研發中心
第三章 安全資訊管理
前言

3.1 Web Security
3.2 VoIP Security
3.3 P2P Security



很多企業會在公司架設屬於自己的伺服器，除
了讓外界可以透過website得知企業的相關訊息，
也可以提供網路交易的服務等。但在架設web
server或是開發web application時，需要防範有
心人士利用web server或web application的相關
安全漏洞入侵企業網路；此外，企業內部的使
用者在瀏覽Internet上的網頁時，也可能帶進木
馬、病毒…等惡意程式，對企業網路的安全造
成威脅。
當 網 路 的 頻 寬 加 大 時 ， 人 們 可 以 透 過 VoIP
(Voice over IP) 的技術將聲音透過網際網路做傳
送；但是企業網路使用VoIP必需要考慮他人竊
聽、盜打及雙方身份識別等的安全性問題。
近幾年P2P (peer to peer)網路應用的興起，讓資
料傳播更有效率，但是全球多項P2P熱門軟體
如：FOXY、eMule、BT、BitComet..等，皆潛
藏高資安風險，除了可能發生侵權問題外，隨
著檔案的交換也可能帶入病毒、木馬程式，或
是讓外界有機會由企業內部取得重要機密文件，
因此企業網路對P2P使用的管理不容忽視。
本章將簡述目前網路上Killer applications: Web、
VoIP與P2P的安全問題，並說明該如何防範。
國立雲林科技大學 自由軟體研發中心
2
第三章 安全資訊管理
3.1 Web security

Web Security可以分成三個部份進行討論：

3.1.1 架設Web server
3.1.2 瀏覽Web site

3.1.3 開發Web Application

架設Web server：當我們使用現成的架站
軟體進行Web Server架設時，要注意其安
全 漏 洞 ， 本 節 我 們 將 針 對 Apache http
server 與 Microsoft 的 Internet Information
Services (IIS)介紹其安全漏洞。
瀏覽Web site：網路的發達帶給人們無限
的便利，搜尋網站(yahoo search、google
search)的功能也日益強大，人們可利用搜
尋網站快速找到其想要的資訊，但在享受
便利的同時，也對企業網路的安全性產生
危脅，例如：不斷彈出的廣告視窗、誤入
釣魚網站、帶有病毒或木馬程式的惡意連
結等。
開發Web Application：除了上述二種之外，
Web Application所形成的安全漏洞也不容
忽視，例如：程式本身的缺陷可能導致非
法使用者能夠取得合法使用者之權限或
root的管理權限，進而導致機密資料外洩
或公司資料被破壞…等。
國立雲林科技大學 自由軟體研發中心
3
第三章 安全資訊管理
3.1.1 架設Web server



資料來源： http://httpd.apache.org/
Apache 伺服器源自於美國國家超級計算
中 心 （ NCSA ） Rob McCool 所 開 發 的
NCSA HTTPd 網頁伺服器，在開放原始
碼社群的努力下，於 1995 年釋出 Apache
0.6.2版，之後經過不斷改進，2000年提出
2.0版，目前最新的版本為2.2.8版。
Apache伺服器能相容於眾多作業系統，
如UNIX、LINUX、Windows等等，為一
開放原始碼之網頁伺服器軟體；其發展目
標是想提供一個安全、效率高且具擴展性
的伺服器，使其能提供HTTP服務。
Apache 網頁伺服器的漏洞
雖然 Apache 在 1997 年 1 月之後，較少
聽到駭客利用Apache的漏洞進行入侵，
但如果您主機上執行的 Apache 並非最新
版本，還是可能存在漏洞，例如下一頁左
圖為Apache官方網站在2002年公告其自
行 發 現 的 安 全 漏 洞 (Chunk Handling
Vulnerability)，所以管理者還是需藉由適
當修補 Apache 漏洞，以避免惡意入侵 者
透過 Apache 程式本身的缺陷，來攻陷網
頁伺服器。
國立雲林科技大學 自由軟體研發中心
4
第三章 安全資訊管理
3.1.1 架設Web server



Apache官方網站公告的安全漏洞-Chunk
Handling Vulnerability (如左圖所示):
 Apache web server 可以支援 RFC2616
所描述的 HTTP 1.1 標準中的 chunkencoded data ； 但 是 在 處 理 某 些
chunk-encoded HTTP requests 時會產
生安全弱點，例如可允許遠端攻擊者
執行任意程式碼等。
另外，Sun Microsystems在2003年公告了
一 份 文 件 ” Security Sun Alert Archive
Reference for Year 2002”，文件內容陳述
許 多 Apache 的 安 全 漏 洞 ， 其 中 第 38 點
(Security Vulnerability in the Way Apache Web
Servers Handle Data Encoded in Chunks)指出：
原本只有存取網頁權限之使用者可以藉由
透過此漏洞，要求Apache HTTP server執
行任意程式碼，包含修改Web頁面內容、
讓Apache server停止提供服務…等惡意程
式碼。
解決方法：更新apache的版本
資料來源：http://httpd.apache.org/info/security_bulletin_20020617.txt
國立雲林科技大學 自由軟體研發中心
5
第三章 安全資訊管理
3.1.1 架設Web server

除了Apache 伺服器本身程式的缺陷
會造成安全問題外，Apache伺服器
可以動態載入適當「模組」(Module)
以提供網站所需的功能，例如：
mod_cgi 、 mod_proxy 等 ， 但 有 時 模
組本身程式的缺陷也會影響Apache
伺服器的安全。如左圖所示：模組
mod_python存在一個 bug，駭客可利
用這個bug對Apache伺服器進行阻斷
式 服 務 攻 擊 ； 建 議 有 安 裝
mod_python 的 Apache 伺 服 器 其 網 站
管理員要上網下載相關Patch套件，
以修正該模組的程式缺陷。
資料來源：https://rhn.redhat.com/errata/RHSA-2004-063.html
國立雲林科技大學 自由軟體研發中心
6
第三章 安全資訊管理

3.1.1 架設Web server
Apache 網頁伺服器安全相關事項與建議：

對設定檔定期進行備份，且在每次修改前，必需將相關設定檔先複製一份，避免在更改設定檔後發
生錯誤，造成系統長時間無法正常提供服務。

定期執行稽核工作，管理者可藉由檢查系統log檔，得知存取網頁的使用者對伺服器做過什麼事。

存取權限(Access Rights)的設定：我們一般都是以nobody帳號執行 Apache，在設定nobody帳號的存
取權限時要儘可能降低其存取權限值，至少要比root的存取權限值低，這是預防萬一 Apache 伺服器
被入侵時，讓攻擊者取得一個低存取權限的帳號 。

嚴格規範root帳號的密碼只有管理者知道。

符號連結(Symbolic Links)：管理者可能為了本身方便而使用符號連結，但是這可能形成安全防衛的
漏洞，因為管理這些符號連結是很困難的一件事，管理者可能建立了大量的符號連結，但是日子一
久可能就會忘記到底存在有那些符號連結，所以管理者必需定期檢查，關閉掉那些不需要的符號連
結。

不能輕易洩漏Apache伺服器上相關的安全措施。

在httpd.conf 或 .htaccess 目錄的設定檔內加入 options -Indexes，避免伺服器將目錄中完整的檔案名
單傳回到存取網頁使用者的端瀏覽器，防止攻擊者透過檔案的名稱獲得伺服器的相關資訊。

藉助掃描相關工具偵測 Apache 網頁伺服器的弱點，再設法修補，以維持網頁伺服器的安全。 (如
Nkito為一開放原始碼之網頁伺服器掃描軟體，可從下列網址http://www.cirt.net/code/nikto.shtml免費
下載該掃描軟體)
參考資料：http://www.cert.org.tw/document/column/show.php?key=83
國立雲林科技大學 自由軟體研發中心
7
第三章 安全資訊管理
3.1.1 架設Web server
Microsoft Internet Information Services (IIS)


資料來源
http://www.iis.net/default.aspx?tabid=1
此為Microsoft所開發的Web伺服器，亦是網站管理者常
用的web伺服器之一。 IIS除了用HTTP來傳送資訊，網
站管理者也可以設定IIS提供File Transfer Protocol（FTP）
服務。FTP服務可讓存取網頁的使用者將檔案傳送到您
的Web伺服器，或從Web伺服器下載檔案。
早期的IIS被發現有以下三個類型的弱點：

利用非標準的 HTTP請求(Malformed request)進行
攻擊:
(http://www.microsoft.com/technet/security/bulletin/
ms00-086.mspx)
Microsoft網站MS00-086中提到IIS 5.0存在“Web
Server File Request Parsing “弱點，當惡意使用者
要求IIS server執行exe檔時，在exe檔名的後面多
加幾行OS指令，IIS server除了執行原本請求的
exe檔以外，還會執行附加在檔名後面的OS指令，
因此可能會讓惡意使用者透過附加的指令碼取得
IIS server的控制權限。

緩衝區溢位：
(http://www.microsoft.com/technet/security/bulletin/
MS01-033.mspx)
許 多 Internet Server Application Programming
Interface (ISAPI) extensions（包含 ASP、HTR、
IDQ、和PHP extensions）都含有緩衝區溢位的弱
點。

範例程式(Sample Applications)：
(http://technet.microsoft.com/enus/library/bb687367.aspx)
範例程式不應該直接安裝在Web伺服器作為服務
程式來使用，因為有些範例程式允許遠端的使用
者可以瀏覽Web伺服器上任意的檔案，例如範例
程式newdns.exe可以建立任意檔案，iisadm可以存
取administrator密碼 。 Microsoft 強烈建議在IIS
server上一定要將範例程式移除，避免因為這個
漏洞造成重要的資訊洩露。
國立雲林科技大學 自由軟體研發中心
8
第三章 安全資訊管理
3.1.1 架設Web server

左圖為 Microsoft在 2007年發佈有關
Internet Information Services的弱點 - 允許
遠端執行程式碼(Remote Code Execution)

漏洞概述： Microsoft Internet Information
Services存有允許遠端執行程式碼的弱點，
攻 擊 者 藉 由 傳 送 蓄 意 製 作 的 URL 要 求
(crafted URL requests)給IIS伺服器，以取
得IIS伺服器的完整控制權。

解決方案：執行修補程式
資料來源：http://www.microsoft.com/technet/security/Bulletin/MS07041.mspx
國立雲林科技大學 自由軟體研發中心
9
第三章 安全資訊管理
3.1.1 架設Web server
IIS網頁伺服器安全相關事項與建議：
參考資料來源:
http://www.cert.org.tw/service/VulDB/sans_group.php?group=sa
ns&key=iis

隨時上網下載且執行最新的修補程式
http://www.microsoft.com/downloads/render.aspx?displaylang=e
n&content=updateservices
http://technet.microsoft.com/en-us/wsus/default.aspx

使用網路安全檢查工具，協助早期發現系
統弱點。
http://www.microsoft.com/technet/security/tools/default.mspx
http://www.microsoft.com/technet/security/tools/hfnetchk.asp

移除範例程式
檢查下列路徑%wwwroot%/scripts，確認沒有範例程式
存在該目錄下。

移除不必要的 ISAPI Extension
可使用 IIS 管理員，或者是微軟發布的 IIS Lockdown 工
具來移除。 .
http://www.microsoft.com/technet/security/tools/locktool.mspx
資料來源:
http://www.microsoft.com/technet/security/tools/urlscan.mspx

安裝過濾 HTTP 請求的工具
安裝過濾工具，以協助IIS伺服器在處理HTTP請求之前，
先檢查並且阻擋過濾惡意的HTTP 請求，如左圖所示，
微軟有提供一URLScan Security Tool，下載網址如下:
http://www.microsoft.com/technet/security/tools/urlscan.asp
國立雲林科技大學 自由軟體研發中心
10
第三章 安全資訊管理
3.1.2 瀏覽Web site


參考資料：
http://www.microsoft.com/technet/security/Bulletin/MS06-055.mspx
企業網路的使用者在瀏覽Web sites時，也
可能會對企業網路的安全性產生危脅，例
如：瀏覽器本身的漏洞、瀏覽帶有病毒或
木馬程式的惡意網頁等。
左圖所示為Microsoft在2006年公告其
Internet Explorer瀏覽器的漏洞Vulnerability in Vector Markup Language
Could Allow Remote Code Execution

內容說明：有心人士可利用未修補的
Internet Explorer 瀏 覽 器 VML (Vector
Markup Language)漏洞，在網際網路上進
行零時差攻擊，讓使用者在瀏覽網頁及開
啟郵件時受到攻擊，並有可能遭到植入木
馬程式。

所有使用微軟Internet Explorer 瀏覽器的使
用者皆可能受到影響。

建議措施：
 請 至 微 軟 網 站 或 利 用
Windows
Update抓取更新程式，並進行安裝。
 建議使用者若接到來路不明之電子郵
件，請勿任意開啟。
國立雲林科技大學 自由軟體研發中心
11
第三章 安全資訊管理

在Web Security的問題日益嚴重的情況下，使用者在瀏覽網頁時，常遇到的安全
性問題大約有：




廣告視窗程式
誤入釣魚網站
帶有病毒或木馬程式的惡意連結
影響



3.1.2 瀏覽Web site
輕則一直彈出廣告視窗
重則需重灌系統或造成企業機密資料外洩
建議




勿點來路不明之連結
勿瀏覽來路不明之網站
修補作業系統及瀏覽器之漏洞
安裝防止惡意程式、木馬、病毒等相關反制軟體
國立雲林科技大學 自由軟體研發中心
12
第三章 安全資訊管理
3.1.2 瀏覽Web site

廣告視窗(Adware)


在2001~2004年最常見，當使用者在瀏覽
網頁時，會自動彈出廣告視窗，或是當使
用者點擊連結時，彈出類似「您是否確定
要瀏覽此頁面」的詢問視窗，使用者按下
確定後，便在使用者的主機上安裝Adware
程式，之後使用者關掉瀏覽器，視窗還是
會不定時自動彈出。
解決辦法：


現今各家的瀏覽器都會附上防止自動彈出
視窗的功能，之後Yahoo toolbar、Google
toolbar等，也都有支援防止自動彈出視窗
的功能，只有經過使用者允許才會彈出視
窗。
然而除此之外，使用者的主機應該要裝設
可以防止Adware的防毒軟體或程式，並經
常更新特徵碼，以防不慎被植入Adware。
資料來源：http://www.zdnet.com.tw/news/software
國立雲林科技大學 自由軟體研發中心
13
第三章 安全資訊管理
3.1.2 瀏覽Web site

誤入釣魚網站



最近幾年，除了常見的詐騙電話之外，也
常常出現釣魚網站來獲取使用者之帳號密
碼或個人資料。
有些不法人士，會為自己私設的釣魚網站
申請一組很類似真實正常網站的domain
name，如左圖所示，當使用者在keyin網
址www.landbank.com.tw，若打錯便有可能
進入釣魚網站。
另外有一種詐騙情況如下:若使用者在某銀
行有開設帳戶，並且使用網路銀行之服務，
詐騙集團利用email將釣魚網站的link傳送
給使用者，故意將link做的像真實網站的
link一樣，使用者點進去後頁面也相同，
讓使用者以自己的帳號密碼進行登入，藉
此取得使用者的帳號密碼，之後詐騙集團
再用此組帳號密碼登入到該銀行。
資料來源：http://www.itis.tw/node/1545
國立雲林科技大學 自由軟體研發中心
14
第三章 安全資訊管理
3.1.2 瀏覽Web site

帶有病毒或木馬程式的惡意連結


網頁上帶有病毒或木馬程式的惡意連結最
近有了新的名字，叫做網站掛馬，與釣魚
網站不同的是釣魚網站通常是設置一個以
假亂真的網站，來欺騙網站瀏覽者上當；
網頁掛馬則由有心人士自行設立一個網站，
以各種方式吸引民眾瀏覽，再讓網站瀏覽
者不知不覺點擊了惡意連結；也有駭客藉
由網站伺服器上軟體的漏洞或弱點，先入
侵一個正常的網站(如Yahoo網站)，利用瀏
覽者對於正常網站的信任感，讓瀏覽者在
瀏覽正常網站的網頁過程中，不知不覺將
病毒或木馬程式植入網站瀏覽者的主機。
阻止惡意連結


目前搜尋引擎Google就對潛藏惡意程式的
網站標示警語，提醒網友不要進入。若使
用搜尋引擎Google找資料時，有些搜尋結
果所列出的網站下面，會出現「這個網站
可能會損害您的電腦」，這些警告信息是
由 Google 的 「 阻 止 惡 意 程 式 組 織 」
（ http://www.stopbadware.org/home ） 所 提
供的惡意程式提醒服務。
另一方面，網站伺服器的管理者在設定上
要注意避免出現漏洞，要定時安裝修補程
式，避免駭客入侵取得控制權限，導致網
站伺服器的網頁被竄改或被加入惡意連結。
資料來源：http://www.itis.tw/node/603
國立雲林科技大學 自由軟體研發中心
15
第三章 安全資訊管理
3.1.2 瀏覽Web site
網路威脅現況

2007資安危機 網頁惡意連結最嚴重

當下的攻擊已經轉為
區域性、目標性
非單一攻擊、接踵而來的是

以金錢利益為前提考量
隨著web瀏覽而來的Web-Based威脅
駭客危害資訊安全的手法越來越高明，專
家預測2007年的網路安全趨勢，將以網頁
惡意連結的問題最為嚴重；遭到駭客入侵
的網頁從外觀上完全看不出跟正常網頁有
什麼不同，不過一旦網友瀏覽這些網頁，
就會被暗中連結到其它的惡意網頁，瀏覽
網頁的主機將被植入木馬程式，以竊取個
人機密資料；通常該類的木馬程式其特徵
會一再變化，所以一般防毒軟體的預防效
果有限。
網頁惡意連結攻擊與散播方式



駭客利用SQL injection相關的漏洞入侵各
大知名網站的資料庫，然後再植入惡意連
結至網頁上，讓各大知名網站變成掛馬網
站。
網友的主機連上知名網站之後，遭背景導
向惡意連結，該惡意連結利用Microsoft相
關軟體的弱點，在網友主機執行惡意程式
取得權限。
受感染的主機會到僵屍網路下載其它的惡
意程式(目前發現惡意程式的類型均為特洛
伊木馬類型的病毒)。
國立雲林科技大學 自由軟體研發中心
16
第三章 安全資訊管理
Web Threat 嚴重威脅所有電腦用戶
3.1.2 瀏覽Web site
趨勢科技發佈最新網頁威脅(Web Threat)攻擊警訓
參考資料：
http://tw.trendmicro.com/tw/about/news/pr/article/20070903143
452.html

利用網路惡意連結程式散播，歐洲單日近六萬電腦點選
遭感染，趨勢科技公告該惡意攻擊模式係駭客隨機挑選
安全防護較不完整的網站進行入侵，之後在此類網站中
植入惡意連結程式HTML_iFrame.CU，一旦網友點選此
網站 ，電腦 即會被 連 結至另一個 IP 位 址並 植入名為
JS_DLOADER.NTJ的惡意程式，此隻惡意程式會利用
微軟IE中的MS04-040及MS06-057漏洞入侵電腦，以植
入可竊取個人機密資料的木馬程式。除了個人資料外洩
之外，此被入侵的電腦將被開啟後門，成為駭客散播惡
意程式的工具之一，藉此造成更大規模的感染。

以下為趨勢科技針對單日遭到感染之個人電腦統計數字：
IT - Italy (44300)
ES - Spain (5754)
US - United States (3185)
DE - Germany (1956)
FR - France (1333)
GB - United Kingdom (1065)
NL - Netherlands (962)
CA - Canada (908)
CH - Switzerland (826)
國立雲林科技大學 自由軟體研發中心
17
第三章 安全資訊管理


隨著網路的發達，現在的使用者都可以透過Web Server執行Web Applications，
例如：Web Mail、網路銀行和線上購物…等。當駭客藉由Web Applications存在
的弱點，成功入侵企業的網站伺服器時，將造成企業公司財務或名譽上的損失。
常見的入侵方式如下：






3.1.3 開發Web Applications
利用修改合法使用者正常登入後所留下的session cookies 取得合法使用者之權限。
利用Cross Site Scripting (XSS) 漏洞。
利用Buffer Overflows 漏洞。
利用Injection 漏洞(例如SQL Injection) 。
系統Backup備份檔存放在可被直接存取的位置。
解決方式：

當開發人員在開發Web Applications前，必需先瞭解所使用工具的安全性問題；在開發中避免產生
之前已經被公告的漏洞；開發完成後必需持續注意新漏洞的發佈與更新patch，並且定期採用Web
Server/Applications的弱點掃瞄軟體來進行掃瞄與監控，以減少網站伺服器被入侵的機會。
國立雲林科技大學 自由軟體研發中心
18
第三章 安全資訊管理
3.2 VoIP security

VOICE over Internet Protocol (簡稱VoIP) 是一種
快速興起的網路語音通訊技術，它利用網路無
所不在的特性，在企業或家庭的網路環境部署
VoIP的裝置，取代傳統的電話系統，藉由IPbased封包交換網路進行語音通訊。

VoIP的相關軟體，可安裝在桌上型電腦、行動
IP電話或網路閘道器上，使用數位通訊技術傳
遞語音資料，提升企業網路的使用率，讓公司
減少語音通訊的成本，即在現有的企業網路架
構下，除了傳送數位資料外，附加通話功能及
服務。

如左圖所示，VoIP的架構包含endpoints (VoIP
Phone) 、 control nodes 、 gateway nodes (VoIP
Gateway Router)、IP-based網路等。VoIP的使用
者 能夠透 過 Internet 或 電話網路 public-switched
telephone network (PSTN)與另一端的VoIP使用
者或傳統電話機連線。
VoIP網路架構
國立雲林科技大學 自由軟體研發中心
19
第三章 安全資訊管理
3.2 VoIP security




VoIP 的 使 用 者 在 進 行 語 音 通 訊 之 前 必 須 先 撥 號
(signaling)，待通訊線路被建立後，如左圖所示，VoIP
系統會將語音資料先編碼(encoding)，再透過網路傳送
給接收端，若接收端是使用傳統電話系統，則需要透過
控制閘道(gateway control)進行格式轉換。
撥號(signaling) ： 一般VoIP系統最常用來執行撥號的控
制協定有H.323與SIP (Session Initial Protocol)。

H.323是ITU-T於1996年提出的VoIP標準，一開始
是應用在以區域網路(LAN)為基礎的視訊會議，
後來被廣泛應用於網路電話。

SIP被廣泛使用作為VoIP通訊的標準，可用於建
立多方多媒體通訊(Multiparty Multimedia
Communications)系統，SIP也規範通話建立與結
束所使用的命令方式與訊息傳輸的協商機制等。
編碼與傳送(encoding & transport)：當撥號完成且建立
連線時，使用者的語音會先由類比訊號轉成數位信號
(VoiceData) ， 稱 為 編 碼 ； 之 後 VoiceData 還 需 被 封 裝
(encapsulation) 成 串 流 封 包 ， 才 能 經 由 網 路 即 時 (real
time)送到接收端，接收端再依照之前的封裝流程一步
一步解回(decapsulation) VoiceData，再解碼將數位信號
轉成類比訊號(語音)。
控 制 閘 道 (gateway control) ： 若 VoIP Phone 要 與 一 般
PSTN的電話進行通訊時，需要透過控制閘道進行格式
轉換。
VoIP語音傳遞流程
國立雲林科技大學 自由軟體研發中心
20
第三章 安全資訊管理
3.2 VoIP security

由於語音的資料是透過Internet做傳送，因此除
了考慮在傳統電話網路上會出現的安全性問題
以外，也必需考慮在IP network上會發生的安全
威脅。在一般傳統電話網路上最常發生安全漏
洞包含竊聽、盜打電話等，也都會發生在VoIP
的系統；左圖所示為目前VoIP系統常發生的安
全性問題:








常見的VoIP安全性問題
DoS—Availability
Eavesdropping—Confidentiality
Alteration of Voice Stream—Confidentiality and
Integrity
Toll Fraud—Integrity
Redirection of Call—Integrity and Confidentiality
Accounting Data Manipulation—Integrity
Caller Identification (ID) Impersonation—Integrity
Unwanted Calls and Messages (SPIT)—Availability
and Integrity
國立雲林科技大學 自由軟體研發中心
21
第三章 安全資訊管理

3.2 VoIP security
DoS—Availability(破壞系統的可用性)
 DoS (Denial of Service) 是過去幾年Internet網路上常見的攻擊之一，其
目的是要讓使用者無法正常的使用服務，DoS攻擊會耗盡目標電腦的
網路頻寬或系統資源 ；在VoIP的系統可以解說成使用者無法撥電話或
無法接電話。
 VoIP 使用 Internet 通訊協定來傳送語音，同樣有被攻擊的風險。有心
人士可以送出大量的 SIP 要求（例如邀請、註冊、再見或 RTP 封包）
佔據 VoIP系統所需要的資源，讓VoIP系統完全不能處理其他使用者的
要求；或利用Internet 通訊協定的漏洞，如 TCP SYN、Ping of Death攻
擊某個VoIP 設備，讓VoIP系統降低服務品質(如強迫使用者提前掛斷
電話等) ，嚴重時VoIP系統甚至無法正常提供網路電話服務。
國立雲林科技大學 自由軟體研發中心
22
第三章 安全資訊管理

3.2 VoIP security
Eavesdropping—Confidentiality (破壞通訊的隱私性)
 在傳統的電話系統，監聽是政府相關部門才享有的權力，普通人不
太可能也沒有權力可以進行電話內容竊聽。但是 VoIP 是利用Internet
網路來傳送語音， Internet為一開放式架構，有心人士可以輕易作到
監聽電話內容，記錄所竊取到語音封包，若是公司的網路電話遭到
監聽，公司內部資料就可能多了一條外洩管道。
 監聽 VoIP 和傳統監聽網路資料不太一樣，監聽 VoIP 除了需要攔截建
立連線使用的信號訊息外，亦要攔截之後包含語音的媒體資料流
(Media stream)。信號訊息通常使用SIP (Session Initiation Protocol)通
訊協定來傳遞， SIP可使用不同的傳輸層(例如 UDP或TCP) ，通訊協
定的埠號由VoIP軟體自行決定。媒體資料流(Media stream)一般使用
UCP 搭配 RTP (Real Time Protocol)。目前利用SIP 和 RTP通訊協定傳
送的封包並沒有被加密，有心人士可以利用相關工具(例如Ethereal)
來側錄封包，除了達到監聽的目的，還可以得知通話者的身份、註
冊資訊和SIP統一資源標識符號(Uniform Resource Identifier:例如電話
號碼)等個人資料。
國立雲林科技大學 自由軟體研發中心
23
第三章 安全資訊管理

3.2 VoIP security
Alteration of Voice Stream—Confidentiality and Integrity (破壞隱私性及完整
性)
 取代攻擊或是可稱為man-in-the-middle的攻擊:當通話的雙方彼此不認
識的時候，攻擊者攔截通訊的語音封包，同時假冒雙方與另一端進行
通訊，兩端的通話者其實都是在跟攻擊者通訊，但是並不知道攻擊者
的存在。

此種攻擊在通話雙方彼此認識的情況是比較難以成功，除非攻擊者能
產生通話雙方的相似聲波，或事先錄下某一方的聲音用來欺騙另一方，
但這還是有困難度存在，因為攻擊者無法預測通話雙方的內容。
國立雲林科技大學 自由軟體研發中心
24
第三章 安全資訊管理

3.2 VoIP security
Toll Fraud—Integrity (破壞完整性)
 話費詐欺的做法是由攻擊者誘騙使用者撥打高付費電話，常見的手
法是在使用者的通訊設備留下電話號碼，並要求使用者回電，使用
者一旦回電就需付高額的通話費，達到斂財之目的。

話費詐欺另一種做法是欺騙電話系統，攻擊者可以利用replay或是
impersonate的方法去偽冒成系統的合法使用者通過系統的身份驗證；
之後攻擊者撥打高付費電話時，付錢的不是攻擊者本身，系統會向
被假冒的受害者收取費用。
國立雲林科技大學 自由軟體研發中心
25
第三章 安全資訊管理

Redirection of Call—Integrity and Confidentiality


通常在提供撥話服務的同時，也會有一個accounting database用來存放call data records
(CDR)資訊， CDR包含每一通電話的撥號端號碼、接話端號碼、日期時間與通話時間
等。 CDR被用來當做收費的依據，如果攻擊者能夠得到修改CDR database的權限時，
便可以用來竄改或刪除通話記錄，藉此進行盜打或犯罪等不法行為。
Caller Identification (ID) Impersonation—Integrity


VoIP在設計時，為了方便讓caller能夠透過一組號碼找到位於不同位置或使用不同接話
設備的callee，提供了Redirection的服務，當caller撥號至callee號碼時，可以redirect到
callee的手機、室內電話或VoIP Phone等的任何通訊設備。有心人士可以藉由修改
redirect的資訊，將號碼redirect至有心人士所預定的號碼(如：高付費電話、或攻擊者
本身的電話)。
Accounting Data Manipulation—Integrity


3.2 VoIP security
有心人士可透過ID假冒成別的合法使用者來撥打電話或接話。
Unwanted Calls and Messages (SPIT)—Availability and Integrity

在真實的世界裏，我們常常會收到自己不想要的資訊或電話，如廣告信、詐騙電話…
等。而SPIT指的是SPAM over Internet telephone，在VoIP中，使用者也會有voice mail
box，因此，攻擊者可以藉由大量的垃圾語音信息塞爆合法使用者的voice mail box，
使其無法接收其他的語音訊息。
國立雲林科技大學 自由軟體研發中心
26
第三章 安全資訊管理

3.2 VoIP security
基本上常用來解決前面所敘述之攻擊的防禦方法有下列四種:

將 VoIP and Data Traffic分開

設定身份驗證機制

撥號時進行雙方身份驗證

語音訊息需做加密
國立雲林科技大學 自由軟體研發中心
27
第三章 安全資訊管理
3.2 VoIP security

將 VoIP and Data Traffic分開：如左上圖所示，
我們可以將VoIP的封包與Data Traffic做區隔，
以防止其他人藉由網路封包監聽器來進行竊聽。

設定身份驗證機制：管理者可以透過一台
Configuration Server來控管使用者，如左下圖所
示，當使用者(VoIP Phone)要使用VoIP服務時，
會先向DHCP Server取得自身要使用的IP與
Configuration Server的IP；接著，Configuration
Server會對VoIP Phone進行身份驗證，確認VoIP
Phone的身份後，再給予啟用VoIP Service的設
定檔，VoIP Phone再藉由此設定檔，進行VoIP
連線。

撥號時進行雙方身份驗證：我們需要在撥號的
同時，執行撥號端與接話端之間的相互身份認
證，待互相確定對方之身份後，再建立一條加
密通道，傳送語音。

訊息需做加密：利用現有的加解密系統，對語
音資訊進行加密，如此一來，除非竊聽者破解
密碼系統或取得通訊時所使用的金鑰，否則，
將無法竊聽通話內容。
VoIP and Data Traffic分開
設定身份驗證機制
國立雲林科技大學 自由軟體研發中心
28
第三章 安全資訊管理
3.2 VoIP security



最近幾年VoIP的安全問題已慢慢浮現，針對這
種情況，AVAYA、賽門鐵克、西門子等在 2005
年 2 月成立了 VoIP 安全聯盟(VOIPSA)，雖然
目前 VoIP相關的攻擊事件並不多，但其潛在的
危險性仍不容忽視。
如左圖所示， VOIPSA 在網站上公告了VOIP相
關的工具，在“Hacking Exposed VoIP”一書中
亦介紹了為數不少的VOIP工具應用。
VOIPSA提供了以下不同種類的工具，讓使用者
能夠用來檢視VoIP的設備或軟體是否有安全性
上的問題。








VoIP Sniffing Tools
VoIP Scanning and Enumeration Tools
VoIP Packet Creation and Flooding Tools
VoIP Fuzzing Tools
VoIP Signaling Manipulation Tools
VoIP Media Manipulation Tools
Miscellaneous Tools
Tool Tutorials and Presentations
參考資料：
http://www.voipsa.org/Resources/tools.php
國立雲林科技大學 自由軟體研發中心
29
第三章 安全資訊管理
3.3 P2P security

近年來由於P2P的興起，許多網路的使用者皆
能透過P2P來共享自己擁有的檔案資源，在P2P
的架構之下，一個檔案在分享時都會被切成許
多個小區塊，每個peer可以同時向不同的網路
節點抓取檔案區塊。 P2P打破傳統需要將檔案
放置在Server上讓所有人下載的方式，讓網路
頻寬的使用更有效率、降低Server的負載及提
高抓取檔案的效率。

一般在P2P架構中常見的管理方式如下:
 集中式-集中式管理的運作方式需要一台伺
服器(Server)負責蒐集目前P2P網路各個節
點(node)所擁有資訊的狀況，並傳送資訊
索引列表(index)給提出要求抓取檔案的節
點使用。例如：eMule、ezPeer、Kuro、
Foxy…等P2P軟體皆屬於集中式管理架構。

P2P網路架構
分散式-分散式的P2P架構會將資訊管理的
能力分散在P2P網路各個節點，不像集中
式需要有一台server去管理所有節點的檔
案資訊。節點之間可以自行建構一個網路
連線、自行搜尋所需要的資訊和備份資訊
等。例如：BitTorrent with DHT
國立雲林科技大學 自由軟體研發中心
30
第三章 安全資訊管理
3.3 P2P security

P2P因為方便人們搜尋其想要的資訊，並利用網路快速散播資訊，大大造
福網路使用者，但是過於方便的資訊分享功能，反而為企業網路帶來更
大的災害。

例如之前曾經發生有人利用P2P分享工具搜尋到美國駐軍伊拉克的機密資
料，為美國資安外洩的重大事件之一。日前台灣也發生警員運用P2P下載
音樂，因為錯誤的設定，造成其電腦變成P2P網路上公享的資料夾，造成
總統車隊路線、道路警衛資料及案情筆錄..等機密資料公開於網路中。這
些層出不窮的事件，突顯出P2P分享工具所帶來的安全問題已影響到全世
界。

對於有安裝P2P軟體的主機常遇到的問題如下：
 資料不慎外洩的風險。
 下載夾帶病毒或惡意程式的檔案。
 P2P軟體本身的漏洞，可能造成駭客入侵。
國立雲林科技大學 自由軟體研發中心
31
第三章 安全資訊管理
3.3 P2P security

許多使用者在安裝P2P分享工具後，
若錯誤的設定，可能會造成電腦成為
網路上的分享資料夾，衍生出資料不
慎外洩的事件，如左圖所示。

欲防止資料不慎外洩最簡單的方式即
為當使用者安裝完P2P分享工具後，
先檢查自己設定分享的資料夾為何，
以免在無意間外洩存放於磁碟中的檔
案文件。但此種方式依然無法保證磁
碟中的檔案文件不會外洩，因為P2P
分享工具本身可能包含惡意程式碼，
駭客可以在使用者享受P2P所帶來的
便利與好處的同時，偷偷竊取使用者
電腦所存放的文件。
資料來源：
http://www.zdnet.com.tw/news/software/0,2000085678,2011
6793,00.htm
國立雲林科技大學 自由軟體研發中心
32
第三章 安全資訊管理
3.3 P2P security

如左圖所示，有些夾帶病毒或惡意程
式的檔案會偽裝成一些公開分享的影
音檔案，當網路使用者以P2P抓取這
些危險檔案後，可能會讓電腦被植入
木馬、後門程式、側錄使用者的帳號
密碼、重要資料外洩、被感染成殭屍
電腦、甚至造成電腦當機損毀等。

要防止下載的檔案包含病毒或惡意程
式，最簡單的方式便是在電腦上安裝
Anti-Virus、Anti-Spy之類的軟體，並
且時時更新特徵碼。但此方式，依然
無法防止使用者下載並執行含有病毒
碼或惡意程式的檔案；因此，不下載、
不貪圖方便，才能完全防止電腦被植
入病毒或惡意程式。
資料來源：
http://www.dk101.com/Discuz/archiver/?tid-18800.html
國立雲林科技大學 自由軟體研發中心
33
第三章 安全資訊管理
3.3 P2P security

如左圖所示，有些P2P軟體(如Skype)
本身的漏洞，可能造成駭客入侵。除
了藉著Anti-Virus、 Anti-Spy、IDS等
防禦軟體以外，隨時注意更新P2P軟
體也是相當重要的。
資料來源：
http://www.zdnet.com.tw/news/software/0,2000085678,201021
42,00.htm
國立雲林科技大學 自由軟體研發中心
34
第三章 安全資訊管理
3.3 P2P security

人們在獲得P2P網路所帶來的便利時，往往忽
略了P2P所帶來的安全性問題，例如在P2P網路
上常常存在某些心懷不軌的節點，這些惡意節
點可能會分享病毒檔、木馬程式、提供假檔案、
或破壞P2P網路連結…等，P2P程式的使用者若
使用不當，也可能造成機密檔案外洩。

針對P2P所引發的威脅，目前有許多專家學者
致力於Trust P2P之研究，主要是設計各種安全
機制讓網路上共同使用P2P軟體的peers之間能
夠建立互信關係，部份文獻提出以密碼學的方
式來達到私密性、完整性與來源性之互信關系。

以下為目前被提出如何在P2P網路建立Trust(互
信)關系的方法：



以Reputation 為基礎
以輕量級的憑證進行身份確認
以Trust Computing的架構為基礎
Trust P2P網路架構
國立雲林科技大學 自由軟體研發中心
35
第三章 安全資訊管理



總結
Web Security 的 部 份 可 以 分 成 架 設 Web server 、 瀏 覽 Web site 及 開 發 Web
Applications三個部份進行保護。在架設Web Server時，要注意其安全漏洞，定期
安裝修補程式；在瀏覽Web site時要盡量避免誤入釣魚網站或點擊帶有病毒或木
馬程式的惡意連結…等，時時更新防毒、防止惡意程式入侵之相關軟體；Web
Applications的開發者，更需要時時增長自己的網路安全知識，多注意開發Web
Applications時會常犯下的程式設計錯誤或開發工具本身的漏洞，以防止駭客藉
由漏洞進入企業內部取得重要機密。
VoIP為企業帶來便利的語音交談系統，可以節省電話費，雖然現在比較少有這方
面的攻擊產生，但其安全防護仍不容忽視，VOIPSA提供了許多檢視VoIP設備或
軟體安全性的工具供大家使用，有助於及早發現VoIP的漏洞或安全問題。
P2P軟體讓大家可以很方便的藉由網路分享檔案，但隨之而來的安全性問題如機
密資料洩露、惡意或智慧財產權軟體的任意散佈…等，令人不得不重視P2P所造
成的另類安全危機，目前雖然有許多學者提出相對應的P2P安全機制，但是最有
效的方法還是企業經營者要嚴格規範公司員工不得下載來路不明的檔案，才不會
成為受害者之一。
國立雲林科技大學 自由軟體研發中心
36
第三章 安全資訊管理




















參考資料
NSA，http://www.nsa.gov/snac/downloads_all.cfm.
VoIP-NEWS，http://www.voip-news.com:80/.
VOIPSA，http://www.voipsa.org/.
OWASP，http://www.owasp.org/index.php/Main_Page.
Apache server project, http://httpd.apache.org/.
RED HAT NETWORK, https://rhn.redhat.com/.
IIS.net, http://www.iis.net/default.aspx?tabid=1.
http://www.cert.org/advisories/CA-2002-17.html
http://sunsolve.sun.com/search/document.do?assetkey=1-66-234302-1
TechNet Security Center, http://www.microsoft.com/technet/security/default.mspx.
台灣電腦網路危機處理暨協調中心，http://www.cert.org.tw/。
資通安全資訊網，http://ics.stpi.org.tw/。
資安人科技網，http://www.isecutech.com.tw/。
資安之眼，http://www.itis.tw/ 。
Meier, J.D., “Web application security engineering”, IEEE Security & Privacy Magazine, Volume 4, Issue
4, July-Aug. 2006 Page(s):16 – 24.
Butcher, D.; Xiangyang Li; Jinhua Guo;, “Security Challenge and Defense in VoIP Infrastructures”, IEEE
Transactions on Systems, Man, and Cybernetics, Part C: Applications and Reviews, 2007.
Wesley Chou,“Strategies to Keep Your VoIP Network Secure”, IT Professional, Volume 9, Issue 5, Sept.-Oct.
2007 Page(s):42 – 46.
Song, S.; Hwang, K.; Zhou, R.; Kwok, Y.-K., “Trusted P2P Transactions with Fuzzy Reputation Aggregation”,
Internet Computing, IEEE Volume 9, Issue 6, Nov.-Dec. 2005 Page(s):24 – 34.
Park, J.S.; An, G.; Chandra, D.;, “Trusted P2P computing environments with role-based access control“, IET
Information Security, Volume 1, Issue 1, March 2007 Page(s):27 – 35.
Song, S.; Hwang, K.; Zhou, R.; Kwok, Y.-K.;, “Trusted P2P transactions with fuzzy reputation aggregation”,
IEEE Internet Computing, Volume 9, Issue 6, Nov.-Dec. 2005 Page(s):24 – 34.
國立雲林科技大學 自由軟體研發中心
37