2018-2019-2 20189206 《網絡攻防實踐》 第五週做業

#2018-2019-2 20189206 《網絡攻防實踐》第五次做業

課本內容

web應用程序體系結構及其安全威脅

web應用體系結構

web應用程序是一種使用瀏覽器在互聯網或企業內部網上進行訪問操做的應用軟件形態，也造就了B/S計算結構，提高了部署和應用的便捷性。web應用體系結構如圖所示:

• 瀏覽器：完成數據顯示與展現渲染
• 服務器：完成業務計算處理
  • web服務器軟件、web應用程序以及後端數據庫構成
  • 由三層架構（表示層、業務邏輯層和數據層）組織構建
• 瀏覽器與服務器之間的通訊經過因特網或內聯網上HTTP/HTTPS應用層協議的請求與應答進行通訊

針對於上圖對關鍵組件進行介紹：

• 瀏覽器 使用HTTP/HTTPS協議、HTML語言與web服務器進行交互，獲取信息
• web服務器 不只僅是一個HTTP守護程序，有對各類web動態編程語言的支持
• web應用程序 即處於服務器端的業務邏輯
  • 最爲常見的三層體系結構由 表示層、業務邏輯層和數據層組成
    • 表示層：接受web客戶端的輸入並顯示結果
    • 業務邏輯層：從表示層接受輸入並完成某些工做，須要數據層的協做，再將結果送回表示層
    • 數據層：以數據庫或本地文件的形式，提供非易失的信息存儲
• 數據庫
• 傳輸協議HTTP/HTTPS 瀏覽器與web站點之間的通訊傳輸協議時HTTP/HTTPS協議，HTTP協議默認使用TCP 80端口，該協議採用統一資源標識符URI對各類資源進行統必定義，採用請求/相應模式，請求資源。
  • SSL/TLS隧道技術，來實現加密傳輸的HTTPS協議。

web應用安全威脅

• 針對瀏覽器和終端用戶的web瀏覽安全威脅：網頁木馬、網站釣魚等
• 針對傳輸層的網絡協議安全威脅：針對HTTP明文傳輸協議的敏感信息監聽、拒絕服務攻擊等
• 系統層安全威脅：web站點的宿主操做系統
• web服務器軟件安全威脅：web服務器軟件也存在着漏洞與弱點
• web數據安全威脅：web站點中在web應用程序後臺存儲的關鍵數據內容。

web應用安全攻防技術概述

web應用信息收集

針對web應用的攻擊也須要首先進行信息情報的收集，主要收集：服務器域名，IP地址和虛擬IP地址，web服務器端口與其餘開放服務，web站點類型和版本，web應用程序類型及版本，web服務器及其存在的安全漏洞信息。

• 手工審查web應用程序結構與源代碼
  • 攻擊web目標，首先手工瀏覽web應用的各個頁面、菜單、目錄，查看關鍵頁面的源代碼。
    • 查看靜態和動態生成的頁面
    • 目錄結構 web服務器的存儲目錄結構
    • 輔助性文件
    • 輸入表單 form是web應用程序接受用戶輸入的主要途徑，經過手工審查頁面源代碼能夠發現一些關鍵表單的位置
    • 查詢參數字符串
  • 自動下載與鏡像web站頁面
  • Google hacking技術審查與探測web應用程序
  • web應用程序安全評估與漏洞審查
    • 針對web應用程序的攻擊主要集中在身份驗證、會話管理、數據庫操做、輸入數據合法/合理性檢查。
    • 瀏覽器插件：能夠實時查看和修改傳遞給遠端web服務器的數據。
      • 原理：在瀏覽器中嵌入軟件模塊，監控要發送的請求，將其暫停交給分析人員，併爲其提供修改請求的功能，以後再將修改後的請求發送出去。firefox瀏覽器的插件有——tamperData、Firebug、view source chart、Venkman JavaScript Debugger、Live HTTP Headers等。
    • 免費工具集
    • 商業web應用安全評估系統和漏洞掃描器

攻擊web服務器軟件

web服務器的安全漏洞主要分爲如下幾類：

• 數據驅動的遠程代碼執行安全漏洞：web服務器軟件做爲網絡服務守護進程，也會出現緩衝區溢出、不安全指針、格式化字符串等一系列數據驅動安全漏洞的遠程攻擊滲透攻擊。
• 服務器功能擴展模塊漏洞
• 樣本文件安全漏洞
• 源代碼泄露
• 資源解析攻擊

攻擊web應用程序

針對web應用安全威脅從攻擊技術角度分爲如下6類：

• 針對認證機制的攻擊：針對用來確認用戶、服務或應用身份機制的攻擊手段
• 受權機制的攻擊：針對用來肯定用戶、服務或應用是否具備執行請求動做必須權限機制的攻擊手段
• 客戶端攻擊：擾亂或滲透攻擊web站點客戶端用戶的攻擊手段
• 命令執行攻擊：在web站點執行遠程命令的攻擊手段
• 信息暴露：獲取web站點具體系統信息的攻擊手段
• 邏輯攻擊：擾亂或滲透攻擊web應用邏輯流程的攻擊手段

攻擊web數據內容

• 安全敏感數據泄露
  • web服務器存在目錄遍歷漏洞或不安全的目錄文件枚舉配置
  • 利用web服務器的上傳目錄臨時中轉文件
  • 在web站點公開的文檔資料中包含我的隱私、企業祕密
• 網站篡改
  • 利用特定攻擊手段入侵網站後，將網站頁面內容進行替換，表達入侵成功或某種觀點訴求。
• 不良信息內容上傳

SQL注入

代碼注入利用web應用程序的輸入驗證不完善漏洞，使得web應用程序執行由攻擊者所注入的惡意指令和代碼。

代碼注入根據攻擊目標不一樣分爲：

• 惡意讀取、修改與操縱數據庫的SQL注入攻擊；
• 在web服務器端安裝、執行Webshaell等惡意腳本的PHP注入或ASP注入攻擊；
• 在web服務器端惡意執行操做系統命令的shell注入攻擊；
• 其餘多種注入攻擊

SQL注入攻擊原理

利用web應用程序的數據層存在的輸入驗證不完善性安全漏洞實施的代碼注入攻擊技術。因爲用戶輸入沒有被正確地過濾以消除SQL語言中的轉義字符，或沒有進行嚴格的類型判斷，使得用戶能夠輸入並執行一些非預期的SQL指令代碼。

SQL注入攻擊步驟和過程

• 發現SQL注入點
  • 在動態網頁中存在http://SITE/xxx.asp?some_rec=yyy的動態網頁，當some_rec字段爲整形參數，經過不一樣的三種字符串可判斷該動態頁面是否存在SQL注入點。
    • yyy修改成yyy' 形成SQL出錯，動態頁面返回錯誤提示信息
    • yyy修改成yyy and 1=1 不對查詢條件形成任何影響，返回正常頁面
    • yyy修改成yyy and 1=2 查詢不到任何信息
    • 存在以上三種狀況認爲web應用存在注入點
  • 當some_rec爲字符型參數時，經過三種不一樣的字符串肯定是否存在SQL注入點
    • yyy修改成yyy'輸入引號不匹配形成SQL語句錯誤
    • yyy修改成yyy'and'1'='1'不對查詢語句形成任何影響
    • yyy修改成yyy' and '1'='2'查詢不到任何信息，返回空白頁面或錯誤提示信息
• 判斷後臺數據庫類型
  • 利用數據庫服務器的系統變量
  • 利用數據庫服務器的系統表進行判斷
  • 後臺數據庫管理員用戶口令猜解
    • 猜解表名
    • 猜解字段名
    • 用戶名與口令猜解
• 上傳ASP後門，獲得默認帳戶權限
  • 在破解獲得web應用管理員用戶名和口令後，經過找出後臺管理界面登陸，攻擊者就能夠經過後臺管理界面一般所提供的的下載上傳文件等功能上傳ASP後門，對web站點進行遠程控制。
• 本地權限提高
• 利用數據庫擴展存儲過程執行shell命令

SQL注入攻擊工具

• Wposion在動態文檔中找出SQL注入漏洞
• wieliekoek.pl找出含有表單的頁面，容許在配置文件中對注入字符串進行修改，進行SQL注入漏洞探測
• SPIKE Proxy容許使用者在配置文件中對待注入字符串進行定製，執行自動化注入測試
• SPI Toolkit

URL字符轉義

+     URL 中+號表示空格               %2B   
空格   URL中的空格能夠用+號或者編碼    %20 
/     分隔目錄和子目錄                %2F 
?     分隔實際的URL和參數             %3F 
%     指定特殊字符                    %25 
#     表示書籤                       %23 
&URL  中指定的參數間的分隔符          %26 
=URL  中指定參數的值                 %3D

XSS跨腳本攻擊

XSS跨站腳本攻擊的最終目標不是提供服務的web應用程序而是使用web應用程序的用戶。XSS的漏洞存在於web應用程序中，使得攻擊者能夠在web頁面中插入惡意代碼（HTML或JavaScript）用戶在瀏覽網頁時，瀏覽器會解析這些插入的代碼，形成獲取用戶敏感信息、客戶端滲透攻擊等危害後果。

XSS攻擊技術原理

web應用程序對用戶輸入內容的安全驗證與過濾不夠完善，用戶提交的內容能夠包括HTML、JAVAScript及其餘腳本代碼。例如在name變量填寫爲<script>alert(/xss/)</script>,這段客戶端代碼將會被包含在留言瀏覽頁面中，其餘用戶訪問時將會執行代碼。

XSS攻擊技術分類

• 持久性XSS漏洞
  • 一般出如今一些能夠將用戶輸入持久性地保存在web服務器端，在頁面中持續顯示，從而影響全部訪問這些頁面的用戶。一般在於留言本、BBS論壇、博客等web應用程序中，這些惡意腳本將被永久性地包含在網站頁面中。
• 非持久性XSS漏洞

• 攻擊者構造一個包含惡意腳本的bank.com登陸請求鏈接，經過email等方式將該攻擊發送給其餘用戶
• 用戶點擊登陸鏈接後會將惡意鏈接中包含的惡意腳本當作用戶名參數提交給bank.com登錄處理頁面
• 網站將會在反饋的歡迎頁面中包含惡意客戶端腳本
• 攻擊者的惡意客戶端在受害者瀏覽器中執行，會驅動瀏覽器發送會話令牌
• 攻擊者得到用戶會話令牌後，能夠劫持用戶會話，僞造用戶登陸進一步實施攻擊

XSS攻擊實例

在SEED實驗環境中的PHPBB論壇程序中引入XSS安全漏洞，咱們利用以下步驟來測試與利用該漏洞。

• 經過http://www.sqllabmysqlphpbb.com訪問，首先須要運行Apache service

• 測試XSS漏洞，在phpbb論壇發佈含有腳本<script>alert('XSS');</script>的帖子，驗證該論壇程序存在XSS安全漏洞，修改以下代碼，不須要密碼就能夠登陸相應的帳號。

• 顯示用戶的會話Cookie

將發佈帖子中的腳本換爲

• 竊取用戶的會話Cookie

攻擊者能夠進一步利用XSS漏洞進行用戶會話Cookie的竊取。攻擊者首先架設一個服務器，該服務器將全部收到的HTPP請求顯示在屏幕中，而後在論壇中發佈帖子。當其餘用戶訪問到該帖子頁面時，植入腳本會在瀏覽器中自動執行。

• 利用Cookie信息假冒其餘用戶發表與修改帖子
• 實現XSS蠕蟲

web瀏覽器的技術發展與安全威脅

web瀏覽器軟件的安全威脅

• 複雜性：現代web瀏覽器軟件因爲須要支持HTTP HTTPS FTP等多種類型的應用層協議瀏覽，符合HTML XHTML CSS等一系列的頁面標準規範，支持多種客戶端執行環境，知足大量用戶的瀏覽需求，變得很是龐大和複雜。也就致使了瀏覽器軟件中存在着可被滲透攻擊所利用的大量安全漏洞。
• 可擴展性：現代瀏覽器軟件都支持第三方插件擴展機制，但第三方擴展插件的開發過程缺少安全保證，出現安全漏洞的狀況更爲廣泛。
• 連通性：瀏覽器始終工做在聯網狀態，一旦其中存在安全漏洞，就很容易被網絡上的威脅源利用與攻擊。

web瀏覽器安全威脅位置

• 針對傳輸網絡的網絡協議安全威脅
• 針對web瀏覽器端系統平臺的安全威脅——桌面操做系統所存在的安全漏洞使得web瀏覽器環境存在着被攻擊的風險。
• 針對web瀏覽器軟件及插件程序的滲透攻擊威脅
• 針對互聯網用戶的社會工程學攻擊威脅

web瀏覽器端的滲透攻擊威脅——網頁木馬

被隱蔽地掛接在一些提供真實內容的網頁上，用戶在訪問這些網頁時，網頁木馬會神不知鬼不覺地向用戶計算機中植入惡意程序，與傳統木馬程序相比，網頁木馬仍是具備較大的差別性，並體現出更高的複雜性。

網頁木馬的本質核心就是利用腳本語言實現對web瀏覽器軟件安全漏洞的滲透攻擊，從而向客戶端主機中植入惡意程序。咱們定義網頁木馬是對web瀏覽器端軟件進行客戶端滲透攻擊的一類惡意移動代碼，一般以網頁腳本語言或flash、PDF等惡意構造的web文件形式存在，經過利用web瀏覽器端軟件中存在的安全漏洞，得到客戶端計算機的控制權限以植入惡意程序。

對網頁木馬機理的理解

因爲網頁木馬採用客戶端滲透攻擊的形式，須要web瀏覽器端軟件訪問惡意構造的web頁面內容，纔可能觸發滲透攻擊過程。所以網頁木馬的攻擊是被動式的，須要一些技術方法誘使互聯網用戶來訪問網頁木馬頁面。

網頁掛馬機制

在編寫完成網頁木馬滲透攻擊代碼以後，爲了使得可以有終端用戶使他們可能存在安全漏洞的web瀏覽端軟件來訪問網頁木馬，攻擊者還須要將網頁木馬掛接到一些擁有客戶訪問流量的網站頁面上，這一過程稱爲網頁掛馬。

• 內嵌HTML標籤

iframe標籤的功能是在頁面中建立一個內嵌的框架，用於包含和顯示其餘文檔頁面，當包含頁面被瀏覽器打開時，被包含的頁面也會同時被請求並顯示在內嵌框架中。<iframe src="URL to Trojan" width="0" height="0" frameborder="0"></frame>將內嵌框架設置爲不可見，避免引發受害者的注意。

• 惡意Script腳本

script腳本標籤經過外部引用腳本的方式來包含網頁木馬。跳轉腳本一般使用document.write動態生成包含網頁木馬鏈接的iframe內嵌標籤。

• 內嵌對象連接

利用圖片、flesh等內嵌對象中的特定方法來完成指定頁面的加載。這種掛馬技術可以產生出一些包含木馬鏈接的圖片或flash文件，經過向一些容許用戶上傳圖片和flesh文件的網站進行上傳，從而形成這些網站特定頁面被掛馬的危害後果。

• ARP欺騙掛馬

在同一以太網網段內，攻擊者經過ARP欺騙能夠進行中間人攻擊，劫持全部目標網站出入的網絡流量，並可能在目標網站的HTML反饋包中注入任意的惡意腳本，從而使其成爲將網絡訪問流量鏈接至網頁木馬的掛馬網站。

混淆機制

網頁木馬攻擊網絡中每每採用了大量的混淆技術，來對抗反病毒軟件的檢測，並提升反病毒工程師的分析難度，從而使得網頁木馬攻擊網絡更難被檢測和摧毀，這些混淆技術也被稱爲「免殺」

目前使用普遍的混淆方法主要有：將代碼從新排版，去除縮進、空行、換行等，同時將網頁木馬中的變量名替換爲一組合法的隨機字符串，失去自我描述能力，干擾閱讀分析；經過大小寫變換、十六進制編碼、escape編碼等方法對網頁木馬進行編碼混淆；經過通用或定製加密工具對網頁木馬進行加密等到密文，使用腳本語言中包含的解密函數對密文進行解密，再進行動態輸出或執行；利用字符串運算、數學運算或特殊函數混淆代碼；修改網頁木馬文件掩碼欺騙反病毒軟件，或對網頁木馬文件結構進行混淆，來假裝正常文件。

網頁木馬的檢測與分析技術

• 基於特徵碼匹配的傳統檢測方式
  • 用惡意腳本代碼靜態分析過程來提取出其中具備樣本特異性的代碼，在線更新至反病毒客戶端軟件中。
• 基於統計與機器學習的靜態分析方法
• 基於動態行爲結果斷定的檢測方法
  • 經過構建web訪問瀏覽器及應用軟件、存有安全漏洞的高交互式客戶端蜜罐環境，在蜜罐中訪問待檢測的網頁，根據訪問過程當中是否觸發了新啓動進程、文件系統修改等非預期系統狀態變化，以肯定當前頁面是否被掛載了木馬。
• 基於模擬瀏覽器環境的動態分析檢測方法

---

視頻學習

kali漏洞分析之數據庫評估

• BBQsql

是一個python編寫的盲注工具，當檢測可疑的注入漏洞時會頗有用，同時是一個半自動工具，容許客戶自定義參數。

從界面上能夠看到設置不一樣的參數只要在命令行中輸入對應的參數便可

• DBPwAudit 數據庫用戶名密碼枚舉工具

使用方式：

破解SQLSever數據庫

    ./dbpwaudit -s IP -d master（數據庫名） -D mssql（數據庫類型） -U username（字典） -P password（字典）

破解MySql數據庫

    ./dbpwaudit.sh -s IP -d mysql（數據庫名稱） -D MySQL（數據庫類型） -U username（字典） -P password（字典）

• HexorBase 圖形化的破譯與鏈接工具

能夠看到在界面的最下方是bruteforce暴力枚舉破譯數據庫的用戶名和密碼

• Jsql Injection

一款輕量級的安全測試工具，能夠檢測SQL注入漏洞。跨平臺開源且免費。將存在注入漏洞的URL貼進來就能夠進行響應的漏洞利用。

• MDBTools

包括MDB-Export以及MDB-Dump,mdb-parsecsv,mdb-sql,mdb-tables等子工具，具體環境具體使用

• Oracle Scanner

是一個利用Java開發的Oracle評估工具。它是基於插件的結構。

• SIDGsser

• sqldict 用戶名密碼破解工具

• tnscmd10g 能夠向Oracle數據庫注入命令

• sqlsus

是一個開放源代碼的SQL注入和接管工具，sqlsus使用perl編寫，基於命令行界面，能夠獲取數據庫結構，注入本身的SQL語句，從服務器下載文件，爬行web站點上的可寫目錄，上傳和後空後門等。

使用方法：先利用-g參數，生成test.conf，並編輯配置文件，以後啓動測試，獲取數據庫數據並可查看全部數據庫的名字

• sqlninja

是一款專門針對SQL server的SQL注入工具，sqlninja側重於得到一個shell，能夠遠程SQL服務器的標誌和特徵；對管理員帳號口令的強力攻擊，一旦找到口令進行提權。還具備「逃避技術」、「盲目執行」攻擊模式等。注入網址是須要寫在配置文件中的，默認是sqlninja.conf

• sqlmap

是一個開源的滲透測試工具，主要用於自動化偵測和實施SQL注入攻擊，以及滲透數據庫服務器。SQLmap配有強大的偵測引擎，適用於高級滲透測試用戶，不只能夠得到數據庫的指紋信息，還能夠從數據庫中提取數據，處理潛在文件系統以及經過帶外數據鏈接執行系統命令。

使用方法:snamp -u "測試是否存在SQL注入的URL" --cookie'PHPHSESSID=cookies值;securtiy=low'將會測試當前URL是否存在SQL注入漏洞，添加其餘參數還能夠查看數據庫相關信息。

kali漏洞分析之web應用代理

經過web應用代理工具分析數據包，或者修改數據包重放、暴力攻擊等常常會在web安全測試中用到。

• burpsuite

咱們首先在burpsuite的proxy的option選項，將監聽設置爲127.0.0.1 8080端口，同時修改firefox瀏覽器的web代理爲127.0.0.1 8080

此時咱們能夠看到訪問百度時沒有直接打開百度的鏈接，在raw頁多出了一些請求

點擊forword，此時瀏覽器打開了百度

• owapsZAP

• paros

• vega

是一個開放源碼的web應用程序安全測試平臺，Vega能夠幫助測試SQL注入，XSS、敏感信息泄露和其餘安全漏洞也有代理功能，能夠利用代理功能截獲數據包。

• webScarab
  • 是一款代理軟件包括HTTP代理、網絡爬行、網絡蜘蛛、會話ID分析，自動腳本接口，模糊測試工具，web格式的編碼與解碼等其基於GNU協議，是webGoat中使用的工具之一。

接下來以burpsuit爲例的使用介紹

burpsuit是一個web應用程序集成攻擊平臺，包含了一系列burp工具，這些工具之間有大量的接口能夠相互通訊。平臺中全部工具共同享有同一個robust框架，以便統一處理HTTP請求。容許攻擊者結合手工和自動技術枚舉、分析、攻擊web應用程序。

• spide 爬行蜘蛛能夠抓取目標網站，以顯示網站的內容，基本結構，和其餘功能
• scanner web應用漏洞自動發現程序
• repeater 能夠手動從新發送單個HTTP請求
• sequencer 對會話令牌，會話標識符或其餘出於安全緣由須要隨機產生的鍵值的可預測性分析
• decoder 轉換成規範的形式編碼數據，或轉化成各類形式編碼和散列的原始數據
• comparer 是一個簡單的工具，執行比較數據之間的任何兩個項目

接下來是spider的使用，首先，要將瀏覽器的代理web改成127.0.0.1 如前步驟，而後將dvwa的安全改成low便可，訪問其餘頁面將會獲取到頁面信息。

請求到的全部頁面都會在proxy主界面的HTTP History下顯示出來

返回登陸界面，隨便輸入帳號和密碼登陸確定是失敗的，咱們能夠在HTTP history下看到最新的一條請求，以及請求的內容

利用intruder模塊，對帳號密碼進行暴力破解，將POST數據包發送給intruder模塊，同時，將add包圍username和password兩個變量，將會利用字典一次替換兩個變量，對帳號密碼進行暴力破解

repeater改包重放 將某個包發送至repeater中能夠修改包中的內容從新實現新的訪問

compare模塊能夠比較兩個包的不一樣

BAPP Store能夠專門下載一些插件實現更多的功能

kali漏洞分析之Fuzz工具

• Bed.pl
  • bed是一個純文本協議的Fuzz工具，可以檢查常見的漏洞，例如緩衝區溢出，格式串漏洞，整數溢出等。

• Fuzz_ipv6
  • 針對ipv6的工具
• 0hrwurm
• PowerFuzzer
• wfuzz
  • 針對web應用的模糊測試工具，能夠進行web應用暴力破解，同時支持對網站目錄、登陸信息。應用資源文件等的暴力破解。
• xsser
  • 擁有圖形化界面和命令行

測試xsser工具

首先複製瀏覽器的cookie值，並在命令行輸入命令

能夠獲得結果，100%存在xss漏洞

---

Python黑帽子

• 遇到的問題，在運行代碼mail_sniffer.py時，報錯

由於這章的代碼時利用Scanpy的接口進行數據包嗅探和提取其中的內容，我檢測是不是scapy出現了錯誤，因而在命令行輸入Scapy，出現如下問題

能夠看到報錯是INFO: Can't import python ecdsa lib. Disabled certificate manipulation tools應該是在安裝matplotlib模塊的時候沒有安裝正確，因而，我利用pip install matplotlib pyx cryptography嘗試安裝matplotlib模塊，提示

因而我在提示目錄下刪除了原有的模塊從新安裝，此次安裝成功

以後運行代碼沒有再報錯

運行mail_sniffer.py，同時使用Telnet pop3.163.com 110 輸入用戶名和密碼登陸郵箱，將看到mail_sniffer截獲到了咱們的郵箱帳號和密碼

• 利用Scapy進行ARP緩存投毒
  • ARP投毒就是欺騙目標機器使其確信咱們的攻擊主機是它的網關，這樣全部流量都會經過咱們的攻擊機，截獲目標機器與網關的通訊數據

首先咱們觀察Windows靶機ARP緩存表中攻擊機的IP地址與MAC地址。以及其網關的IP地址。

在運行代碼時出現瞭如下的錯誤

仔細檢查代碼發現是interface接口錯誤，仔細檢查代碼發現，咱們選用的網絡接口是eth0，而不是書中的en1。：（（ 這件事告訴我不能照抄代碼，須要理解代碼才能正確運行。運行結束後咱們能夠檢查靶機的網關mac地址已經變成了攻擊機的mac地址了。

• 處理pcap文件

因爲沒有找到人臉識別的pcap文件我對這個也不是特別瞭解，可是運行能夠正常運行

代碼已經上傳到碼雲，點擊這裏----> 個人碼雲：））