通過(guò)本文的httptunnel 技術(shù)同時(shí)逃過(guò)了防火墻的屏蔽以及系統(tǒng)的追蹤試驗(yàn)，我們可以看到網(wǎng)絡(luò)安全僅僅依靠某種或某幾種手段是不可靠的，同時(shí)對(duì)安全系統(tǒng)的盲目性依賴(lài)往往會(huì)造成巨大的安全隱患。希望通過(guò)本文能引起管理員對(duì)網(wǎng)絡(luò)安全防護(hù)系統(tǒng)的思考。

　　什么是http暗藏通道

　　什么是局域網(wǎng)安全，系統(tǒng)管理員怎樣才能保障局域網(wǎng)的安全?這是一個(gè)不斷變化的安全概念，很長(zhǎng)的一個(gè)時(shí)期以來(lái)，在局域網(wǎng)與外界互聯(lián)處放置一個(gè)防火墻，嚴(yán)格控制開(kāi)放的端口，就能在很大程度上掌握安全的主動(dòng)權(quán)，方便的控制網(wǎng)內(nèi)外用戶(hù)所能使用的服務(wù)。比如，在防火墻上僅僅開(kāi)放80，53兩個(gè)端口，那么無(wú)論是內(nèi)部還是外面的惡意人士都將無(wú)法使用一些已經(jīng)證明比較危險(xiǎn)的服務(wù)。

　　但要注意一點(diǎn)，防火墻在某種意義上是很愚蠢的，管理員對(duì)防火墻的過(guò)分依賴(lài)以及從而產(chǎn)生的懈怠情緒將不可避免的形成安全上的重大隱患，作為一個(gè)證明，"通道"技術(shù)就是一個(gè)很好的例子，這也是本文要討論的。

　　那么什么是通道呢?這里所謂的通道，是指一種繞過(guò)防火墻端口屏蔽的通訊方式。防火墻兩端的數(shù)據(jù)包封裝在防火墻所允許通過(guò)的數(shù)據(jù)包類(lèi)型或是端口上，然后穿過(guò)防火墻與對(duì)端通訊，當(dāng)封裝的數(shù)據(jù)包到達(dá)目的地時(shí)，再將數(shù)據(jù)包還原，并將還原后的數(shù)據(jù)包交送到相應(yīng)的服務(wù)上。舉例如下：

　　A主機(jī)系統(tǒng)在防火墻之后，受防火墻保護(hù)，防火墻配置的訪問(wèn)控制原則是只允許80端口的數(shù)據(jù)進(jìn)出，B主機(jī)系統(tǒng)在防火墻之外，是開(kāi)放的�，F(xiàn)在假設(shè)需要從A系統(tǒng)Telnet到B系統(tǒng)上去，怎么辦?使用正常的telnet肯定是不可能了，但我們知道可用的只有80端口，那么這個(gè)時(shí)候使用Httptunnel通道，就是一個(gè)好的辦法，思路如下：

　　在A機(jī)器上起一個(gè)tunnel的client端，讓它偵聽(tīng)本機(jī)的一個(gè)不被使用的任意指定端口，如1234，同時(shí)將來(lái)自1234端口上的數(shù)據(jù)指引到遠(yuǎn)端(B機(jī))的80端口上(注意，是80端口，防火墻允許通過(guò))，然后在B機(jī)上起一個(gè)server，同樣掛接在80端口上，同時(shí)指引80端口的來(lái)自client的轉(zhuǎn)發(fā)到本機(jī)的telnet服務(wù)端口23，這樣就ok了�，F(xiàn)在在A機(jī)上telnet本機(jī)端口1234，根據(jù)剛才的設(shè)置數(shù)據(jù)包會(huì)被轉(zhuǎn)發(fā)到目標(biāo)端口為80的B機(jī)，因?yàn)榉阑饓υ试S通過(guò)80端口的數(shù)據(jù)，因此數(shù)據(jù)包暢通的穿過(guò)防火墻，到達(dá)B機(jī)。此時(shí)B機(jī)在80端口偵聽(tīng)的進(jìn)程收到來(lái)自A的數(shù)據(jù)包，會(huì)將數(shù)據(jù)包還原，再交還給telnet進(jìn)程。當(dāng)數(shù)據(jù)包需要由B到A返回時(shí)，將由80端口再回送，同樣可以順利的通過(guò)防火墻。

　　實(shí)際上tunnel概念已經(jīng)產(chǎn)生很久了，而且很有可能讀者使用過(guò)類(lèi)似的技術(shù)，比如下面的網(wǎng)址http://www.http-tunnel.com。它是一個(gè)專(zhuān)業(yè)提供tunnel服務(wù)的公司，通過(guò)他們的在線tunnel server,局域網(wǎng)內(nèi)的用戶(hù)可以使用被防火墻所屏蔽的ICQ，E-MAIL，pcanywhere， AIM，MSN， Yahoo，Morpheus，Napster等等諸多軟件