推荐:手动查杀电脑病毒的一些基本方法
[ 2007-03-25 03:39:57 | 作者: sun ]
（文章里的毒不仅仅是病毒）
你的电脑安全吗？你的电脑可以防黑吗？
我现在就跟大家说说手动杀毒的几个常用的方法。你也许会说现在的杀毒软件那么多啊，为什么我们还要学习用手动来杀毒呢？你想想病毒的产生肯定是比你的杀毒软件的升级快很多的，既然是那个样子的话，我们学习手动杀毒就对我们很有帮助，也可以让我们更加熟悉计算机的进程以及对我们将来学习更多的计算机技术打下很好的基础。费话多说了，现在我们开始。因为我使用的是XP操作系统，那这里就以XP的版本先给大家讲解一下。
首先，对于自己的计算机要有洞悉力，说得通俗点就是如果发现什么不对的就要考虑下是什么原因了。因为是讲手工杀毒那就先讲中毒的几个特别征兆，例如：你的电脑在上网的时候自己会打开不知名的网站（恶意代码也是会这样的啊，我们也把它暂时当病毒吧）；你的电脑的速度变得很慢很慢，特别是开机的时候要很久；你的电脑文件有的开不了；有时候点一个陌生的文件突然一闪而过；有时候总跳出非法操作……可以说你觉得很可疑的时候，都可能是中了病毒。那么我们就要找到病毒。
1.找到病毒
进程法：有的病毒在热启动（CTRL+ALT+DEL)就可以看出来，它们总是想隐藏自己成为系统里面的特殊文件，仔细看就可以看出猫腻了。什么把l(字母）写成1（数字）啦，把O（字母）变成了0的啊，更好笑的是连大小写都出来了，其实只要认真看问题就简单。如果你对进程不是很了解的话，建议把它名字记下来去百度找找，应该可以找到答案。特别要注意的是你在用热启动的时候，最好不要开任何文件和软件，这样比较好辨认。
启动法：现在的病毒和木马都会自己随系统而启动，那么我们就可以根据这个把它找到。开始——运行——输入msconfig在启动选项就可以看到启动的项目和命令还有位置，把你觉得十分可疑的前面的沟去掉就可以了。记下那些可疑的启动项命令的地址，将来杀的时候能够用到。这样可就看到病毒了，也可以在运行里面输入regedit（注册表），HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion的RunOnce，还有RunServices和Run，还有另外一个HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion的RunOnce，以及RunServices和Run的可疑的启动文件都删就好。
文件法：这个比较难麻烦，一步步来就好。我们先打开“我的电脑”工具栏里面的“工具选项”——“查看”——“隐藏受保护的操作系统文件（推荐）”的勾去掉，选择显示所有文件和文件夹，去以下的文件夹看看有没有可疑的文件。
（系统盘用X：/表示）
X：/
X：/WINOWS
X：/WINDOWS/SYSTEM32
X：/WINDOWS/SYSTEM
X：/Program Files/Internet Explorer
X：/windows/Temporary Internet Files/Temporary Internet Files
X:/temp 还有X:/winows/temp
X:/Documents and Settings/Administrator/Templates
x:/Documents and Settings/Administrator/Local Settings/Temporary Internet Files
X:/Documents and Settings/Administrator/Local Settings/Temp
还有各个分区的这些文件夹里面都是病毒常常光顾的地方。有的文件很多，象SYSTEM32就有几百个，怎么找呢？建议使用右键排列图标——修改时间，这样就快很多了。
系统编辑器法：运行——sysedit看有没有可疑的文件，可是这个最好不要乱修改（比较危险），不确定的话还是去搜索下比较好。
2.杀毒
前面说了几种的找毒的方法，根据上面的话，我们就可以知道病毒的名称和地址。那么还不开工，杀毒最好是在断网和在安全模式的时候，为什么呢？据说是在DOS下杀毒的时候最好，可是对于杀毒新手的话，我还是认为先从安全模式下杀比较好，有GUI（图形系统）比那黑白DOS强多了。开机——按F8进入安全模式，使用文件法的前几步使隐藏文件显示，进去我的电脑按F3搜索界面，接着是搜索删文件。记得，在更多搜索选项要全选。删掉了之后还要记得在各个盘的回收站里面的东西全删去，每个盘的回收站都是叫Recycled的。
可是有的病毒是很狡猾的啊，那么我们就要用到工具。介绍几个我常用来辅助杀毒的工具：一个是Tcpview，查看端口是否存在问题，如果有木马可是一看就能发现的。还有就是IceSword和windows优化大师的WinProcess，我个人比较喜欢的是WinProcess，因为它查看进程的时候可以在网上搜索到跟进程相似的东西，省去自己上网输入进程名字的步骤，方法是进程描述中的更多相关信息。
你的电脑安全吗？你的电脑可以防黑吗？
我现在就跟大家说说手动杀毒的几个常用的方法。你也许会说现在的杀毒软件那么多啊，为什么我们还要学习用手动来杀毒呢？你想想病毒的产生肯定是比你的杀毒软件的升级快很多的，既然是那个样子的话，我们学习手动杀毒就对我们很有帮助，也可以让我们更加熟悉计算机的进程以及对我们将来学习更多的计算机技术打下很好的基础。费话多说了，现在我们开始。因为我使用的是XP操作系统，那这里就以XP的版本先给大家讲解一下。
首先，对于自己的计算机要有洞悉力，说得通俗点就是如果发现什么不对的就要考虑下是什么原因了。因为是讲手工杀毒那就先讲中毒的几个特别征兆，例如：你的电脑在上网的时候自己会打开不知名的网站（恶意代码也是会这样的啊，我们也把它暂时当病毒吧）；你的电脑的速度变得很慢很慢，特别是开机的时候要很久；你的电脑文件有的开不了；有时候点一个陌生的文件突然一闪而过；有时候总跳出非法操作……可以说你觉得很可疑的时候，都可能是中了病毒。那么我们就要找到病毒。
1.找到病毒
进程法：有的病毒在热启动（CTRL+ALT+DEL)就可以看出来，它们总是想隐藏自己成为系统里面的特殊文件，仔细看就可以看出猫腻了。什么把l(字母）写成1（数字）啦，把O（字母）变成了0的啊，更好笑的是连大小写都出来了，其实只要认真看问题就简单。如果你对进程不是很了解的话，建议把它名字记下来去百度找找，应该可以找到答案。特别要注意的是你在用热启动的时候，最好不要开任何文件和软件，这样比较好辨认。
启动法：现在的病毒和木马都会自己随系统而启动，那么我们就可以根据这个把它找到。开始——运行——输入msconfig在启动选项就可以看到启动的项目和命令还有位置，把你觉得十分可疑的前面的沟去掉就可以了。记下那些可疑的启动项命令的地址，将来杀的时候能够用到。这样可就看到病毒了，也可以在运行里面输入regedit（注册表），HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion的RunOnce，还有RunServices和Run，还有另外一个HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion的RunOnce，以及RunServices和Run的可疑的启动文件都删就好。
文件法：这个比较难麻烦，一步步来就好。我们先打开“我的电脑”工具栏里面的“工具选项”——“查看”——“隐藏受保护的操作系统文件（推荐）”的勾去掉，选择显示所有文件和文件夹，去以下的文件夹看看有没有可疑的文件。
（系统盘用X：/表示）
X：/
X：/WINOWS
X：/WINDOWS/SYSTEM32
X：/WINDOWS/SYSTEM
X：/Program Files/Internet Explorer
X：/windows/Temporary Internet Files/Temporary Internet Files
X:/temp 还有X:/winows/temp
X:/Documents and Settings/Administrator/Templates
x:/Documents and Settings/Administrator/Local Settings/Temporary Internet Files
X:/Documents and Settings/Administrator/Local Settings/Temp
还有各个分区的这些文件夹里面都是病毒常常光顾的地方。有的文件很多，象SYSTEM32就有几百个，怎么找呢？建议使用右键排列图标——修改时间，这样就快很多了。
系统编辑器法：运行——sysedit看有没有可疑的文件，可是这个最好不要乱修改（比较危险），不确定的话还是去搜索下比较好。
2.杀毒
前面说了几种的找毒的方法，根据上面的话，我们就可以知道病毒的名称和地址。那么还不开工，杀毒最好是在断网和在安全模式的时候，为什么呢？据说是在DOS下杀毒的时候最好，可是对于杀毒新手的话，我还是认为先从安全模式下杀比较好，有GUI（图形系统）比那黑白DOS强多了。开机——按F8进入安全模式，使用文件法的前几步使隐藏文件显示，进去我的电脑按F3搜索界面，接着是搜索删文件。记得，在更多搜索选项要全选。删掉了之后还要记得在各个盘的回收站里面的东西全删去，每个盘的回收站都是叫Recycled的。
可是有的病毒是很狡猾的啊，那么我们就要用到工具。介绍几个我常用来辅助杀毒的工具：一个是Tcpview，查看端口是否存在问题，如果有木马可是一看就能发现的。还有就是IceSword和windows优化大师的WinProcess，我个人比较喜欢的是WinProcess，因为它查看进程的时候可以在网上搜索到跟进程相似的东西，省去自己上网输入进程名字的步骤，方法是进程描述中的更多相关信息。
我们如何才能保护自己
[ 2007-03-25 03:39:46 | 作者: sun ]
电脑病毒总是突如其来、在我们不经意的时候光顾，而它们经常是通过我们非常熟悉且为之做好准备的方式来访。好像两年前，在宏病毒盛行的时代，美丽莎(Melissa)病毒借助Word宏疯狂肆虐了一把。而在蠕虫病毒频频闹事之际，爱虫（ILOVEYOU）病毒在Outlook地址簿上搜索到联系人后，“情书”一时满天飞，一句“I Love you”让人读到心潮澍湃，激情万分！
最新版的Outlook 2002却不再让您打开像宏这样的特殊类型的附件了，同时还会防止恶意代码盗取您的Outlook地址簿，以免向外大量发送带毒邮件。
然而，病毒作者似乎早预料到这种防范方法一定会在曾经对他们完全开放的电子邮件领域出现。不过，道高一尺，魔高一丈，他们也很快适应下来，并以新的方式编写了许多新一代病毒。所幸的是，病毒编写者们不会有多大创新性的做法了，仅仅是将在互联网上找到的恶意代码拷贝并按照他们的意图进行修改罢了。
尽管如此，还是有些新的技巧近年被用在蠕虫及病毒上了，这无疑让人看到新一代病毒正在被不断编写出来。下面是最近出现的新病毒发展趋势，并就如何保护自己给出了一些建议：
一、借助邮件客户端
由于Outlook已变得越来越安全，新病毒只好通过邮件客户端了。如笑哈哈(Shoho)病毒利用自带的SMTP引擎发送带毒邮件，这就使得它在邮件客户端处躲过了任何软件的防范了。
而Tariprox.B病毒则使用了不同的方法：它通过劫持您的邮件，记下邮件客户端，并将恶意代码写入邮件客户端。幸运的是，Tariprox并未传播开来。即使这样，防范这种病毒最好的方法就是在您的个人PC上安装防火墙，若还没有安装，那就赶快行动吧！
二、通过URL及附件
过去曾对URL及附件有着某种神圣的信任感。然后，最近新出现的病毒无疑会让这种信任感大打折扣。以MYParty病毒为例，当您点击一个链接连到过某个网页后，您就不自觉地中招了！而Gigger病毒在您点击名为mmsn_offline.htm的邮件附件时，您的爱机就于无声中被“撞了一下腰”。这是因为Outlook2002并没有设计用来阻止直接的网页链接或.htm文件。
对此的建议是，首先千万别打开附件。第二，若您无需Windows Script Hosting，那就请关掉吧。Gigger便是利用Windows Script Hosting来感染用户的一种JavaScript蠕虫。
三、瞄准即时信息
攻击MSN Messenger的即时信息病毒，虽然较少，但它们是完全抛开了电子邮件而借助即时聊天工具来传播的病毒。前不久出现的CoolNow病毒就能够从MSN Messenger中获取联系人地址，然后将其副本向这些联系人发送，并且在所发送的信息当中，诱使用户进入一个感染了恶意Javascript的网页。针对于此，您最好通过浏览微软Update站点或查看微软的技术服务网络来获取微软产品的最新安全补丁。
四、病毒加黑客的双重攻击
去年夏季出现的尼姆达病毒，本不该令我们感到震惊，但病毒与黑客的双重攻击确实让我们吃惊不小。它利用了服务器及电脑的几个常见漏洞。对于服务器，它会攻击微软的IIS，并创建被感染的网页让您下载。在台式电脑上，它会创建带毒的邮件并发送给地址簿中的所有联系人，同时或通过共享网络传播。
综观全文，我们知道新一代病毒是如何工作的了吧？仅从编写病毒的最新趋势来判断，它们可能完全通过Outlook或感染即时信息客户端。不管哪种方式，遇到病毒时你我都不必惊慌，或许来袭的病毒我们曾似曾相识，所以希望我们为迎战新病毒时代作好准备吧！
批处理实现对网站的监测
[ 2007-03-25 03:39:35 | 作者: sun ]
由于多数监测软件是商业性质，同时使用过一个付费的监测服务感觉效果并不理想，于是动手弄了一个自己的监测系统，使用DOS批处理操作。
原理：
使用了一个Wget.exe 的Win32版本用以从网站下载文件，利用批处理命令检测文件是否抓取成功，如果成功，删除已经下载的文件，退出批处理，如果不成功，利用安装在电脑上的modem拨打某个电话号码，使用特定的振铃次数通知网站发生故障。
测试后将批处理放到windows中的计划任务中周期执行。
注意：wget.exe需要放置到与批处理相同的目录，或者放入windows系统目录。
批处理文件：
monitor.bat
@echo off
echo.>>wget.log
rem 使用wget下载网页首页文件，并记录日志
.\wget -a wget.log -d http://www.xxx.com
rem 判断index.html文件是否下载成功
if exist index.html goto end
echo.>>system.log
echo ---------------------------->>system.log
date/t>>system.log&&time/t>>system.log
echo error occurred>>system.log
rem 调用一个拨号批处理
call .\dial.bat
exit
:end
echo.>>system.log
echo ---------------------------->>system.log
date/t>>system.log&&time/t>>system.log
echo ok>>system.log
echo y|del .\index.html
exit
dial.bat
@echo off
rem 使用at指令传送到串口拨号
echo atdtxxxxxxx >com1
rem 延时14秒，振铃3次
choice /c yn /d y /n /t 14 >nul
rem 挂机
echo ath>com1
choice /c yn /d y /n /t 5 >nul
echo atdtxxxxxxx >com1
choice /c yn /d y /n /t 14 >nul
echo ath>com1
choice /c yn /d y /n /t 5 >nul
echo atdtxxxxxxx >com1
choice /c yn /d y /n /t 14 >nul
echo ath>com1
原理：
使用了一个Wget.exe 的Win32版本用以从网站下载文件，利用批处理命令检测文件是否抓取成功，如果成功，删除已经下载的文件，退出批处理，如果不成功，利用安装在电脑上的modem拨打某个电话号码，使用特定的振铃次数通知网站发生故障。
测试后将批处理放到windows中的计划任务中周期执行。
注意：wget.exe需要放置到与批处理相同的目录，或者放入windows系统目录。
批处理文件：
monitor.bat
@echo off
echo.>>wget.log
rem 使用wget下载网页首页文件，并记录日志
.\wget -a wget.log -d http://www.xxx.com
rem 判断index.html文件是否下载成功
if exist index.html goto end
echo.>>system.log
echo ---------------------------->>system.log
date/t>>system.log&&time/t>>system.log
echo error occurred>>system.log
rem 调用一个拨号批处理
call .\dial.bat
exit
:end
echo.>>system.log
echo ---------------------------->>system.log
date/t>>system.log&&time/t>>system.log
echo ok>>system.log
echo y|del .\index.html
exit
dial.bat
@echo off
rem 使用at指令传送到串口拨号
echo atdtxxxxxxx >com1
rem 延时14秒，振铃3次
choice /c yn /d y /n /t 14 >nul
rem 挂机
echo ath>com1
choice /c yn /d y /n /t 5 >nul
echo atdtxxxxxxx >com1
choice /c yn /d y /n /t 14 >nul
echo ath>com1
choice /c yn /d y /n /t 5 >nul
echo atdtxxxxxxx >com1
choice /c yn /d y /n /t 14 >nul
echo ath>com1
合理维护网络服务器安全的七个小技巧
[ 2007-03-25 03:39:24 | 作者: sun ]
编辑评论：服务器的安全对于管理员来说是非常重要的，只要服务器不出问题啥事都好办，服务器的器的安全是值得每个管理员关注的，那么管理员如何能把保障服务器安全工作做的更好呢，下面就来看看本文讲的一些小技巧吧。
对于一个网络而言，维护其服务器安全的重要性是不言而喻的，那么作为管理员的你如何来更好地保障服务器的安全呢？本文较系统地给您介绍一些实用的技巧。
技巧一:从基本做起
黑客开始对你的网络发起攻击的时候，他们首先会检查是否存在一般的安全漏洞。因此，当你服务器上的数据都存在一个FAT的磁盘分区的时候，即使安装上世界上所有的安全软件也不会对你有多大帮助的。
因此，你需要从基本做起。将服务器上所有包含了敏感数据的磁盘分区都转换成NTFS格式的。同时，可以为Exchange Server安装反病毒软件，将被感染的邮件在到达用户以前隔离起来。
技巧二:保护你的备份
备份实际上是一个巨大的安全漏洞。应该考虑通过密码保护你的磁带，并且如果你的备份程序支持加密功能，你还可以加密这些数据，如果窃贼还是把磁带弹出来带走的话，磁带上的数据也就毫无价值了。
技巧三:使用RAS回叫功能
Windows NT最酷的功能之一就是对服务器进行远程访问(RAS)的支持。不幸的是，一个RAS服务器对一个企图进入你的系统的黑客来说是一扇敞开的大门。黑客们所需要的一切只是一个电话号码。
你所要使用的技术将在很大程度上取决于你的远程用户如何使用RAS。如果远程用户经常是从家里或是类似的不太变动的地方呼叫主机，建议你使用回叫功能，它允许远程用户登录以后切断连接。然后RAS服务器拨通一个预先定义的电话号码再次接通用户。黑客也就没有机会设定服务器回叫的号码了。
另一个可选的办法是限定所有的远程用户都访问单一的服务器。这样，即使黑客通过破坏手段来进入主机，那么他们也会被隔离在单一的一台机器上。
最后还有一个技巧就是在你的RAS服务器上使用出人意料的协议，迷惑一些不加提防的黑客。
技巧四:考虑工作站的安全问题
工作站是通向服务器的一个端口，在所有的工作站上使用Windows 2000。Windows 2000是一个非常安全的操作系统。你也可以使用Windows NT。锁定工作站，使得一些没有安全访问权的人想要获得网络配置信息变得困难或是不可能。
另一个技术是将工作站的功能限定一个“聪明的”哑终端，让程序和数据驻留在服务器上但却在工作站上运行。所有安装在工作站上的是一份Windows拷贝以及一些指向驻留在服务器上的应用程序的图标。当你点击一个图标运行程序时，这个程序将使用本地的资源来运行，而不是消耗服务器的资源。这比你运行一个完全的哑终端程序对服务器造成的压力要小得多。
技巧五:使用流行的补丁程序
微软雇佣了一个程序员团队来检查安全漏洞并修补它们。这些补丁被捆绑进一个大的软件包并做为服务包(service pack)发布。通常有两种不同的补丁程序版本:一个40位的版本和一个128位的版本。128位的版本使用128位的加密算法，比40位的版本要安全得多。微软定期将重要的补丁程序发布在它的FTP站点上。这些热点补丁程序是自上一次服务包发布以后被公布的安全修补程序。要经常查看热点补丁。但要记住一定要按逻辑顺序使用这些补丁。避免导致一些文件的版本错误。
技巧六:使用强有力的安全政策
要提高安全性，另一个可以做的工作就是制定一个好的，强有力的安全策略。确保每一个人都知道它并知道它是强制执行的。如果你使用Windows 2000 Server，你就有可能指定用户特殊的使用权限来使用你的服务器而不需要交出管理员的控制权，可以授予这种删除和禁用账号权限并限制创建用户或是更改许可等这些活动的权限了。
技巧七:反复检查防火墙
防火墙是网络的一个重要部分，因为它将你公司的计算机同互联网上那些可能对它们造成损坏的蛊惑仔们隔离开来。
你首先要做的事情是确保防火墙不会向外界开放超过必要的任何IP地址。你总是至少要让一个IP地址对外界可见。这个IP地址被使用来进行所有的互联网通讯。如果你还有DNS注册的Web服务器或是电子邮件服务器，它们的IP地址也许也要通过防火墙对外界可见。但是，工作站和其他服务器的IP地址必须被隐藏起来。
你还可以查看端口列表验证你已经关闭了所有并不常用的端口地址。例如，TCP/IP 端口80用于HTTP通讯，因此你可能并不想堵掉这个端口。但是，你也许永远都不会用端口81，因此它应该被关掉。你可以在Internet上找到每个端口使用用途的列表。
如果你不希望紧要的数据被病毒或是黑客破坏或是被一个可能用这些数据来对付你的人窃取。就必须掌握一些维护服务器安全的技巧来保障它的安全。
堵住路由器的漏洞
对于黑客来说，利用路由器的漏洞发起攻击通常是一件比较容易的事情。保护路由器安全需要网管员在配置和管理路由器过程中采取相应的安全措施。
堵住安全漏洞
限制系统物理访问是确保路由器安全的最有效方法之一。限制系统物理访问的方法就是将控制台和终端会话配置成在较短闲置时间后自动退出系统。避免将调制解调器连接至路由器的辅助端口也很重要。
避免身份危机
黑客常常利用弱口令或默认口令进行攻击。加长口令、选用30到60天的口令有效期等措施有助于防止这类漏洞。用户应该启用路由器上的口令加密功能，这样即使黑客能够浏览系统的配置文件，他仍然需要破译密文口令。
禁用不必要服务
拥有众多路由服务是件好事，但近来许多安全事件都突显了禁用不需要本地服务的重要性。另一个需要用户考虑的因素是定时，即使用户确保了部署期间时间同步，经过一段时间后，时钟仍有可能逐渐失去同步。用户可以利用名为网络时间协议（NTP）的服务，对照有效准确的时间源以确保网络上的设备时针同步。
限制逻辑访问
限制逻辑访问主要是借助于合理处置访问控制列表，使用入站访问控制将特定服务引导至对应的服务器。为了避免路由器成为DoS攻击目标，用户应该拒绝以下流量进入：没有IP地址的包、采用本地主机地址、广播地址、多播地址以及任何假冒的内部地址的包。用户还可以采取增加SYN ACK队列长度、缩短ACK超时等措施来保护路由器免受TCP SYN攻击。
监控配置更改
用户在对路由器配置进行改动之后，需要对其进行监控。如果用户使用SNMP，那么一定要选择功能强大，提供消息加密功能的SNMP。为进一步确保安全管理，用户可以利用SSH与路由器建立加密的远程会话。配置管理的一个重要部分就是确保网络使用合理的路由协议。
实施配置管理
用户应该实施控制存放、检索及更新路由器配置的配置管理策略，并将配置备份文档妥善保存在安全服务器上，以防新配置遇到问题时用户需要更换、重装或回复到原先的配置。
对于一个网络而言，维护其服务器安全的重要性是不言而喻的，那么作为管理员的你如何来更好地保障服务器的安全呢？本文较系统地给您介绍一些实用的技巧。
技巧一:从基本做起
黑客开始对你的网络发起攻击的时候，他们首先会检查是否存在一般的安全漏洞。因此，当你服务器上的数据都存在一个FAT的磁盘分区的时候，即使安装上世界上所有的安全软件也不会对你有多大帮助的。
因此，你需要从基本做起。将服务器上所有包含了敏感数据的磁盘分区都转换成NTFS格式的。同时，可以为Exchange Server安装反病毒软件，将被感染的邮件在到达用户以前隔离起来。
技巧二:保护你的备份
备份实际上是一个巨大的安全漏洞。应该考虑通过密码保护你的磁带，并且如果你的备份程序支持加密功能，你还可以加密这些数据，如果窃贼还是把磁带弹出来带走的话，磁带上的数据也就毫无价值了。
技巧三:使用RAS回叫功能
Windows NT最酷的功能之一就是对服务器进行远程访问(RAS)的支持。不幸的是，一个RAS服务器对一个企图进入你的系统的黑客来说是一扇敞开的大门。黑客们所需要的一切只是一个电话号码。
你所要使用的技术将在很大程度上取决于你的远程用户如何使用RAS。如果远程用户经常是从家里或是类似的不太变动的地方呼叫主机，建议你使用回叫功能，它允许远程用户登录以后切断连接。然后RAS服务器拨通一个预先定义的电话号码再次接通用户。黑客也就没有机会设定服务器回叫的号码了。
另一个可选的办法是限定所有的远程用户都访问单一的服务器。这样，即使黑客通过破坏手段来进入主机，那么他们也会被隔离在单一的一台机器上。
最后还有一个技巧就是在你的RAS服务器上使用出人意料的协议，迷惑一些不加提防的黑客。
技巧四:考虑工作站的安全问题
工作站是通向服务器的一个端口，在所有的工作站上使用Windows 2000。Windows 2000是一个非常安全的操作系统。你也可以使用Windows NT。锁定工作站，使得一些没有安全访问权的人想要获得网络配置信息变得困难或是不可能。
另一个技术是将工作站的功能限定一个“聪明的”哑终端，让程序和数据驻留在服务器上但却在工作站上运行。所有安装在工作站上的是一份Windows拷贝以及一些指向驻留在服务器上的应用程序的图标。当你点击一个图标运行程序时，这个程序将使用本地的资源来运行，而不是消耗服务器的资源。这比你运行一个完全的哑终端程序对服务器造成的压力要小得多。
技巧五:使用流行的补丁程序
微软雇佣了一个程序员团队来检查安全漏洞并修补它们。这些补丁被捆绑进一个大的软件包并做为服务包(service pack)发布。通常有两种不同的补丁程序版本:一个40位的版本和一个128位的版本。128位的版本使用128位的加密算法，比40位的版本要安全得多。微软定期将重要的补丁程序发布在它的FTP站点上。这些热点补丁程序是自上一次服务包发布以后被公布的安全修补程序。要经常查看热点补丁。但要记住一定要按逻辑顺序使用这些补丁。避免导致一些文件的版本错误。
技巧六:使用强有力的安全政策
要提高安全性，另一个可以做的工作就是制定一个好的，强有力的安全策略。确保每一个人都知道它并知道它是强制执行的。如果你使用Windows 2000 Server，你就有可能指定用户特殊的使用权限来使用你的服务器而不需要交出管理员的控制权，可以授予这种删除和禁用账号权限并限制创建用户或是更改许可等这些活动的权限了。
技巧七:反复检查防火墙
防火墙是网络的一个重要部分，因为它将你公司的计算机同互联网上那些可能对它们造成损坏的蛊惑仔们隔离开来。
你首先要做的事情是确保防火墙不会向外界开放超过必要的任何IP地址。你总是至少要让一个IP地址对外界可见。这个IP地址被使用来进行所有的互联网通讯。如果你还有DNS注册的Web服务器或是电子邮件服务器，它们的IP地址也许也要通过防火墙对外界可见。但是，工作站和其他服务器的IP地址必须被隐藏起来。
你还可以查看端口列表验证你已经关闭了所有并不常用的端口地址。例如，TCP/IP 端口80用于HTTP通讯，因此你可能并不想堵掉这个端口。但是，你也许永远都不会用端口81，因此它应该被关掉。你可以在Internet上找到每个端口使用用途的列表。
如果你不希望紧要的数据被病毒或是黑客破坏或是被一个可能用这些数据来对付你的人窃取。就必须掌握一些维护服务器安全的技巧来保障它的安全。
堵住路由器的漏洞
对于黑客来说，利用路由器的漏洞发起攻击通常是一件比较容易的事情。保护路由器安全需要网管员在配置和管理路由器过程中采取相应的安全措施。
堵住安全漏洞
限制系统物理访问是确保路由器安全的最有效方法之一。限制系统物理访问的方法就是将控制台和终端会话配置成在较短闲置时间后自动退出系统。避免将调制解调器连接至路由器的辅助端口也很重要。
避免身份危机
黑客常常利用弱口令或默认口令进行攻击。加长口令、选用30到60天的口令有效期等措施有助于防止这类漏洞。用户应该启用路由器上的口令加密功能，这样即使黑客能够浏览系统的配置文件，他仍然需要破译密文口令。
禁用不必要服务
拥有众多路由服务是件好事，但近来许多安全事件都突显了禁用不需要本地服务的重要性。另一个需要用户考虑的因素是定时，即使用户确保了部署期间时间同步，经过一段时间后，时钟仍有可能逐渐失去同步。用户可以利用名为网络时间协议（NTP）的服务，对照有效准确的时间源以确保网络上的设备时针同步。
限制逻辑访问
限制逻辑访问主要是借助于合理处置访问控制列表，使用入站访问控制将特定服务引导至对应的服务器。为了避免路由器成为DoS攻击目标，用户应该拒绝以下流量进入：没有IP地址的包、采用本地主机地址、广播地址、多播地址以及任何假冒的内部地址的包。用户还可以采取增加SYN ACK队列长度、缩短ACK超时等措施来保护路由器免受TCP SYN攻击。
监控配置更改
用户在对路由器配置进行改动之后，需要对其进行监控。如果用户使用SNMP，那么一定要选择功能强大，提供消息加密功能的SNMP。为进一步确保安全管理，用户可以利用SSH与路由器建立加密的远程会话。配置管理的一个重要部分就是确保网络使用合理的路由协议。
实施配置管理
用户应该实施控制存放、检索及更新路由器配置的配置管理策略，并将配置备份文档妥善保存在安全服务器上，以防新配置遇到问题时用户需要更换、重装或回复到原先的配置。
如何准确检测出你电脑上的间谍软件
[ 2007-03-25 03:39:12 | 作者: sun ]
如何准确检测出你电脑上的间谍软件前言
你应该有过这样的遭遇，就是电脑感染上了间谍软件或广告软件。在这种情况下，解决问题的关键就是要在你的硬盘、内存或Windows注册表中找出间谍软件的所在。我最近研究了我的主要网络内的几台机器，以找到间谍软件和广告软件的感染信息。我个人建议，最好能利用一些有效的商业软件和免费软件经常进行这样的检查。
下面介绍一下步骤：
1.在使用某种商业软件或免费软件的工具检查之前，尽可能的将机器清理干净。运行防病毒软件或反间谍软件扫描，一旦发现一些异常的项目立即清除。有关这一主题的内容在网络上有许多。需要注意的是，在进入下一步之前，专家们强烈建议使用并运行一种以上的杀毒、反间谍软件扫描以便达到彻底清理。
2.建立一个检查点或者对系统作备份。如果你使用的是Windows XP，那再方便不过了，这样很快就能建立一个系统恢复点（依次打开：开始菜单――帮助和支持――使用系统还原恢复你对系统的改变，然后点击创建一个还原点的按钮）。当然还有其他的方法（对于那些使用Windows家族其他操作系统的人来说是唯一的方法）就是创建一整套系统的备份，包括系统状态信息（如果其他办法都不可行的话，你可以使用NTBackup.exe文件；他包含了所有Windows新版本的信息）。这样的话，万一在接下来的步骤中出了差错，还可以将您的系统恢复到前一个正确的状态。
3.关闭所有不必要的应用程序。一些反间谍软件从电脑运行的所有线程和注册表中查找不正常迹象，因此先退出所有应用程序再启动反间谍程序运行检查，可以节省大量时间。
4.运行反间谍程序。在这一步，我使用了Hijack This这个软件。将下载回来的Zip文件解压到你想要的目录，然后双击HijackThis.exe这个执行文件，会跳出一个带有提示“Do a system scan and save a logfile.”的窗口。默认状态下，日志文件会保存在“我的文档”中，我发现在保存的日志文件名称中加入日期和时间信息很有用，这样的话，一个名为hijackthis.log的文件就改名为hijackthis-yymmdd:hh.mm.log（hh.mm是24小时制的几点几分）。这样的话，以后你任何时候再次运行Hijack This（一旦开始运行，它会自动清空以前的日志），都不必担心丢失以前的日志。因此，时间标记不愧是个很好的方法，这对将来你的日志文件分析非常有用。
5.查看Hijack This结果窗口中显示的扫描结果。这个结果与写入日志文件的信息是相同的，并且你会发现在每一个项目的左边都有一个复选框。如果你核选了某些项目，按下“Fix Checked“按钮， Hijack This就可以将其彻底清除了。你会发现在那里有很多看上去秘密的文件，你可以对其进行快速扫描，以决定在这时采取何种操作。实际上，真正存在的问题是识别出哪些文件具有潜在的威胁，哪些是必须的，而哪些是无关紧要的。此时分析工具能够帮上我们的大忙。记住，现在不要关闭Hijack This的查找结果窗口，也不需要进行核选操作，因为在接下来的步骤中我们还会返回这个窗口。
具体方法
6.用Hijack This的日志分析程序运行你的日志文件。你可以使用 Help2Go Detective或者 Hijack This Analysis 这两个分析工具中的一个。如果两个软件都有的话，我个人倾向于Help2Go Detective，但这两个都值得一试。在Hijack This日志里，你会发现每一个入侵（线程）的特殊信息和相关处理建议，包括哪些可以保留，哪些可以删除（但却是无害的），哪些是可疑文件（或许应该删除，但是还需要进一步分析研究），以及哪些必须删除（因为确定是恶意病毒）。这时，你可疑检查所有被确认为恶意病毒的选项，或者与已知的间谍软件和广告软件有关的选项。
7.检查可疑项目（包括可选的激活项目）。有时你可以查看注册表名称或者相关文件和目录信息，来检查即使通过分析程序（使用Hijack This很明显发现的）也没有识别出的项目，这是可能是你故意安装或使用的程序的一部分。这些项目经常会被单独的遗留下来。如果检查程序和你人为的都没有发现这些项目，安全选项就会将它们备份然后删除（然而如果你采取了这个步骤，那么要挽救这种状况只有存储一份备份文件或者返回到前一个恢复状态。）如果你想知道你在查看的是什么文件，就进入下一个附加步骤，用google或其他搜索工具搜索项目的名称。在99%的情况下我都可以在两分钟或更少时间内作出批准与否的决定。只有一少部分项目，最显著的是dll文件不仅仅需要通过文件名的搜索验证来裁留。
8.在Hijack This结果窗口核选有害文件和不确定的可疑项目，然后按下“Fix checked”按钮。你也可以在结果窗口中滚动查看项目，并通过单击来高亮选择单独的项目，接着通过点击"Info on selected item…."（选中项目的信息……）来获取这些项目的额外信息。这时来查看这些信息比在上一步骤查看更合适，因为这时分析工具的速度更快而且面向对象更友好。
9.重启系统查看运行情况。如果系有统运行不正常现象，如应用程序不工作或变得异常，或者系统看上去不太对劲时，你需要决定是否需要返回到恢复状态或备份状态。如果Windows不能完成启动，在系统启动之初按下F8键，直到启动进入安全启动菜单，选择最后一次正确的配置。这样启动就没有问题了，系统启动之后你还需要退回到恢复点，或者恢复到在第二步备份的状态。如果你接收这个选项的话，就不需要保存改动了，可以直接越过第10步。
10.最后再运行依次Hijack This扫描：重复步骤4，但是需要注意更改保存日志文件的日期标签。你可以扫描结果来确定移动的项目已经被彻底清除，或者只需保存你电脑状态的快照，快速清除就可以了（这样会对下一次进行同样的操作产生一个有意义的参照状态）。
安全专家嘱咐的5条要诀
[ 2007-03-25 03:39:01 | 作者: sun ]
1、换掉Internet Explorer浏览器：这大概是你能做的最重要的一件事了。换成Firefox, Mozilla, Safari, 任何不是IE的浏览器。尽管微软要发布被寄予厚望的IE7，传说中比其他任何浏览器都安全一光年的东西。它太具革命性了，以至于要强制升级！作者看来还是远离一个有争议的东西而使用替代品比较稳妥。
2、加强浏览器的安全：NoScript，Netcraft 反钓鱼工具栏，E-Bay工具栏，Google工具栏都是不错的选择。这些工具能够挫败“钓鱼网站”，防止被黑，密码外泄等。
3、不要点email里的链接：一盎司的偏执换来的是一磅的补丁。无论何时何地都要尽量不点击email里的链接，特别是某些链接本身就很危险，而钓鱼email有时又很难察觉。如果你和一个网站有生意往来，它给你发邮件，让你“点击这里”来更新身份数据，而不是让你手动登录它的网站，那你要当心了。而有的邮件的链接相对安全一些，比如你注册、修改密码后的几分钟内发过来的确认邮件。
4、防护你的Web邮箱：使用较长的难猜测的密码，每六个月更换一次。不要在任何其他地方使用这个密码。删掉带有敏感信息的邮件。许多人把所有重要的帐号都集中关联在一个邮箱地址，如果有人得到你的email帐户，所有关联的帐号都会有危险。你能做的最好的就是使用不容易猜的密码，且绝不要用在其他地方。如能删除含有敏感信息的邮件则更佳。
5、使用单一的信用卡进行在线购物：我们在线购物的信用卡号被偷的可能性还是存在的。最好把可能的损失限制在最小。只使用一张信用卡可能是监视异常交易的最好方法。还有，千万别用借记卡在线购物，因为缺乏法律保护。
2、加强浏览器的安全：NoScript，Netcraft 反钓鱼工具栏，E-Bay工具栏，Google工具栏都是不错的选择。这些工具能够挫败“钓鱼网站”，防止被黑，密码外泄等。
3、不要点email里的链接：一盎司的偏执换来的是一磅的补丁。无论何时何地都要尽量不点击email里的链接，特别是某些链接本身就很危险，而钓鱼email有时又很难察觉。如果你和一个网站有生意往来，它给你发邮件，让你“点击这里”来更新身份数据，而不是让你手动登录它的网站，那你要当心了。而有的邮件的链接相对安全一些，比如你注册、修改密码后的几分钟内发过来的确认邮件。
4、防护你的Web邮箱：使用较长的难猜测的密码，每六个月更换一次。不要在任何其他地方使用这个密码。删掉带有敏感信息的邮件。许多人把所有重要的帐号都集中关联在一个邮箱地址，如果有人得到你的email帐户，所有关联的帐号都会有危险。你能做的最好的就是使用不容易猜的密码，且绝不要用在其他地方。如能删除含有敏感信息的邮件则更佳。
5、使用单一的信用卡进行在线购物：我们在线购物的信用卡号被偷的可能性还是存在的。最好把可能的损失限制在最小。只使用一张信用卡可能是监视异常交易的最好方法。还有，千万别用借记卡在线购物，因为缺乏法律保护。
防止病毒侵害 保护你的假日交易
[ 2007-03-25 03:38:50 | 作者: sun ]
如果要买一块手表，你会怎么做？专门花几天时间，将所有表店一一逛遍，累得死去活来，挑得头昏眼花；还是等到专门去香港澳门或者国外出差的机会才出手？伴随着网络商务的不断发展，相信更多人会选择一边喝着咖啡，一边上网，几天后，快递就将打了折的手表送到手中。
的确，网络商务繁荣改变了人们的生活习惯，通过网络采购一些书本、音像制品已经不是一种时尚，人们足不出户就能购买到大多数的生活用品，完成金融交易。不过就在人们享受网络带来便利的同时，一些黑客也在利用病毒，窃取别人的帐号、密码，达到对他人的钱财非法占有的目的。
根据赛门铁克公司最新的一期《互联网安全威胁报告》指出，家用计算机正面临日益增加的网络攻击，包括隐私盗窃，欺诈以及其他受金融利益驱使的网络犯罪，因为家用电脑更容易忽略采用必要的安全防范措施。此外，攻击者现在正使用各种技术，逃避检测，延长其在系统上驻留的时间，以伺机盗取信息，为市场行销目的劫持计算机，提供远程接入，或盗取机密信息获得经济利益。
而报告同时表示，金融领域同样是黑客猖獗，其中网页仿冒最为严重。在赛门铁克网页仿冒报告网络和赛门铁克Brightmail反垃圾邮件在此期间跟踪的所有网页仿冒网站中占到了84%。一旦攻击者通过其中一个攻击获准接入攻击目标的帐户，那么他们可以进行转帐、挪用资金、申请贷款、赊帐或盗用信用卡。
据报告显示，十大网页仿冒中有九个来自金融领域，进一步证明了网页仿冒活动高度集中在金融领域，不法分子试图窃取多家网上银行的账号和密码，给用户带来经济损失。
伴随着圣诞节，元旦，情人节，春节等节日的先后到来，我们又即将迎来新一波的网络购物的高峰期，许多计划出游的朋友开始着手在各大电子商务网站上淘自己需要的出行物品。这时也恰恰是那些心怀不轨的网络黑客最忙碌的时机。我们必须及时更新杀毒软件，防止病毒侵害。使用经过验证的综合性安全套件是进行自我防护非常好的手段。最新的诺顿网络安全特警2007就是一款非常不错的选择。
此外，在网络购物时，尽可能选择大、中型交易网站。由于小型网站由于本身实力和技术原因，一般没有提供可靠的交易工具，小型电子商务交易网站也有可能不具备为用户分担风险或提供担保的实力。而大、中型电子商务网站可以被监管部门密切注视，积极监管。
而在支付环节尽可能利用大型网站现有的交易支付工具；充分掌握交易网站公布的防诈骗方法以及网站对交易的担保细则；支付前要协商确定运输中的责任问题，尽力争取要求到“货到免责”；经常了解网站、网友、论坛公布的诈骗手法、事件和名单曝光。
如果你具有打心底里喜欢上网“血拼”，喜欢在网上刷信用卡，提前享受；有用鼠标来决定购买的“控制欲”；不喜欢或者没时间为了一件奢侈品四处奔波；喜欢24小时随时都可以尽情Shopping，希望以上的忠告能帮助您减少网络购物的风险，保护你的假日交易。
的确，网络商务繁荣改变了人们的生活习惯，通过网络采购一些书本、音像制品已经不是一种时尚，人们足不出户就能购买到大多数的生活用品，完成金融交易。不过就在人们享受网络带来便利的同时，一些黑客也在利用病毒，窃取别人的帐号、密码，达到对他人的钱财非法占有的目的。
根据赛门铁克公司最新的一期《互联网安全威胁报告》指出，家用计算机正面临日益增加的网络攻击，包括隐私盗窃，欺诈以及其他受金融利益驱使的网络犯罪，因为家用电脑更容易忽略采用必要的安全防范措施。此外，攻击者现在正使用各种技术，逃避检测，延长其在系统上驻留的时间，以伺机盗取信息，为市场行销目的劫持计算机，提供远程接入，或盗取机密信息获得经济利益。
而报告同时表示，金融领域同样是黑客猖獗，其中网页仿冒最为严重。在赛门铁克网页仿冒报告网络和赛门铁克Brightmail反垃圾邮件在此期间跟踪的所有网页仿冒网站中占到了84%。一旦攻击者通过其中一个攻击获准接入攻击目标的帐户，那么他们可以进行转帐、挪用资金、申请贷款、赊帐或盗用信用卡。
据报告显示，十大网页仿冒中有九个来自金融领域，进一步证明了网页仿冒活动高度集中在金融领域，不法分子试图窃取多家网上银行的账号和密码，给用户带来经济损失。
伴随着圣诞节，元旦，情人节，春节等节日的先后到来，我们又即将迎来新一波的网络购物的高峰期，许多计划出游的朋友开始着手在各大电子商务网站上淘自己需要的出行物品。这时也恰恰是那些心怀不轨的网络黑客最忙碌的时机。我们必须及时更新杀毒软件，防止病毒侵害。使用经过验证的综合性安全套件是进行自我防护非常好的手段。最新的诺顿网络安全特警2007就是一款非常不错的选择。
此外，在网络购物时，尽可能选择大、中型交易网站。由于小型网站由于本身实力和技术原因，一般没有提供可靠的交易工具，小型电子商务交易网站也有可能不具备为用户分担风险或提供担保的实力。而大、中型电子商务网站可以被监管部门密切注视，积极监管。
而在支付环节尽可能利用大型网站现有的交易支付工具；充分掌握交易网站公布的防诈骗方法以及网站对交易的担保细则；支付前要协商确定运输中的责任问题，尽力争取要求到“货到免责”；经常了解网站、网友、论坛公布的诈骗手法、事件和名单曝光。
如果你具有打心底里喜欢上网“血拼”，喜欢在网上刷信用卡，提前享受；有用鼠标来决定购买的“控制欲”；不喜欢或者没时间为了一件奢侈品四处奔波；喜欢24小时随时都可以尽情Shopping，希望以上的忠告能帮助您减少网络购物的风险，保护你的假日交易。
网站服务器通用和专用保护方法分析比较
[ 2007-03-25 03:38:38 | 作者: sun ]
一：网站的通用保护方法
针对黑客威胁，网络安全管理员采取各种手段增强服务器的安全，确保WWW服务的正常运行。象在Internet上的Email、ftp等服务器一样，可以用如下的方法来对WWW服务器进行保护：
安全配置
关闭不必要的服务，最好是只提供WWW服务，安装操作系统的最新补丁，将WWW服务升级到最新版本并安装所有补丁，对根据WWW服务提供者的安全建议进行配置等，这些措施将极大提供WWW服务器本身的安全。
防火墙
安装必要的防火墙，阻止各种扫描工具的试探和信息收集，甚至可以根据一些安全报告来阻止来自某些特定IP地址范围的机器连接，给WWW服务器增加一个防护层，同时需要对防火墙内的网络环境进行调整，消除内部网络的安全隐患。
漏洞扫描
使用商用或免费的漏洞扫描和风险评估工具定期对服务器进行扫描，来发现潜在的安全问题，并确保由于升级或修改配置等正常的维护工作不会带来安全问题。
入侵检测系统
利用入侵检测系统（IDS）的实时监控能力，发现正在进行的攻击行为及攻击前的试探行为，记录黑客的来源及攻击步骤和方法。
这些安全措施都将极大提供WWW服务器的安全，减少被攻击的可能性。
二：网站的专用保护方法
尽管采用的各种安全措施能防止很多黑客的攻击，然而由于各种操作系统和服务器软件漏洞的不断发现，攻击方法层出不穷，技术高明的黑客还是能突破层层保护，获得系统的控制权限，从而达到破坏主页的目的。这种情况下，一些网络安全公司推出了专门针对网站的保护软件，只保护网站最重要的内容--网页。一旦检测到被保护的文件发生了{非正常的}改变，就进行恢复。一般情况下，系统首先需要对正常的页面文件进行备份，然后启动检测机制，检查文件是否被修改，如果被修改就需要进行恢复。我们对以下几个方面的技术进行分析比较：
监测方式
本地和远程：检测可以是在本地运行一个监测端，也可以在网络上的另一台主机。如果是本地的话，监测端进程需要足够的权限读取被保护目录或文件。监测端如果在远端的话，WWW服务器需要开放一些服务并给监测端相应的权限，较常见的方式是直接利用服务器的开放的WWW服务，使用HTTP协议来监测被保护的文件和目录。也可利用其它常用协议来检测保护文件和目录，如FTP等。采用本地方式检测的优点是效率高，而远程方式则具有平台无关性，但会增加网络流量等负担。
定时和触发：绝大部分保护软件是使用的定时检测的方式，不论在本地还是远程检测都是根据系统设定的时间定时检测，还可将被保护的网页分为不同等级，等级高的检测时间间隔可以设得较短，以获得较好的实时性，而将保护等级较低的网页文件检测时间间隔设得较长，以减轻系统的负担。触发方式则是利用操作系统提供的一些功能，在文件被创建、修改或删除时得到通知，这种方法的优点是效率高，但无法实现远程检测。
比较方法
在判断文件是否被修改时，往往采用被保护目录和备份库中的文件进行比较，比较最常见的方式全文比较。使用全文比较能直接、准确地判断出该文件是否被修改。然而全文比较在文件较大较多时效率十分低下，一些保护软件就采用文件的属性如文件大小、创建修改时间等进行比较，这种方法虽然简单高效，但也有严重的缺陷：{恶意入侵者}可以通过精心构造，把替换文件的属性设置得和原文件完全相同，{从而使被恶意更改的文件无法被检测出来}。另一种方案就是比较文件的数字签名，最常见的是MD5签名算法，由于数字签名的不可伪造性，数字签名能确保文件的相同。
恢复方式
恢复方式与备份库存放的位置直接相关。如果备份库存放在本地的话，恢复进程必须有写被保护目录或文件的权限。如果在远程则需要通过文件共享或FTP的方式来进行，那么需要文件共享或FTP的帐号，并且该帐号拥有对被保护目录或文件的写权限。
备份库的安全
当黑客发现其更换的主页很快被恢复时，往往会激发起进一步破坏的欲望，此时备份库的安全尤为重要。网页文件的安全就转变为备份库的安全。对备份库的保护一种是通过文件隐藏来实现，让黑客无法找到备份目录。另一种方法是对备份库进行数字签名，如果黑客修改了备份库的内容，保护软件可以通过签名发现，就可停止WWW服务或使用一个默认的页面。
通过以上分析比较我们发现各种技术都有其优缺点，需要结合实际的网络环境来选择最适合的技术方案。
三：网站保护的缺陷
尽管网站保护软件能进一步提高系统的安全，仍然存在一些缺陷。首先这些保护软件都是针对静态页面而设计，而现在动态页面占据的范围越来越大，尽管本地监测方式可以检测脚本文件，但对脚本文件使用的数据库却无能为力。
另外，有些攻击并不是针对页面文件进行的，前不久泛滥成灾的"Red Code"就是使用修改IIS服务的一个动态库来达到攻击页面的目的。另一个方面，网站保护软件本身会增加WWW服务器的负载，在WWW服务器负载本身已经很重的情况下，一定好仔细规划好使用方案。
四：结论
本文讨论了网站常用的保护方法，详细地分析比较了专用网站保护软件采用的各种技术实现和优缺点，并指出了其缺陷。安全虽不是使用某个工具或某些工具就可以解决的，但使用这些工具能帮助提高安全性，减少安全风险。
针对黑客威胁，网络安全管理员采取各种手段增强服务器的安全，确保WWW服务的正常运行。象在Internet上的Email、ftp等服务器一样，可以用如下的方法来对WWW服务器进行保护：
安全配置
关闭不必要的服务，最好是只提供WWW服务，安装操作系统的最新补丁，将WWW服务升级到最新版本并安装所有补丁，对根据WWW服务提供者的安全建议进行配置等，这些措施将极大提供WWW服务器本身的安全。
防火墙
安装必要的防火墙，阻止各种扫描工具的试探和信息收集，甚至可以根据一些安全报告来阻止来自某些特定IP地址范围的机器连接，给WWW服务器增加一个防护层，同时需要对防火墙内的网络环境进行调整，消除内部网络的安全隐患。
漏洞扫描
使用商用或免费的漏洞扫描和风险评估工具定期对服务器进行扫描，来发现潜在的安全问题，并确保由于升级或修改配置等正常的维护工作不会带来安全问题。
入侵检测系统
利用入侵检测系统（IDS）的实时监控能力，发现正在进行的攻击行为及攻击前的试探行为，记录黑客的来源及攻击步骤和方法。
这些安全措施都将极大提供WWW服务器的安全，减少被攻击的可能性。
二：网站的专用保护方法
尽管采用的各种安全措施能防止很多黑客的攻击，然而由于各种操作系统和服务器软件漏洞的不断发现，攻击方法层出不穷，技术高明的黑客还是能突破层层保护，获得系统的控制权限，从而达到破坏主页的目的。这种情况下，一些网络安全公司推出了专门针对网站的保护软件，只保护网站最重要的内容--网页。一旦检测到被保护的文件发生了{非正常的}改变，就进行恢复。一般情况下，系统首先需要对正常的页面文件进行备份，然后启动检测机制，检查文件是否被修改，如果被修改就需要进行恢复。我们对以下几个方面的技术进行分析比较：
监测方式
本地和远程：检测可以是在本地运行一个监测端，也可以在网络上的另一台主机。如果是本地的话，监测端进程需要足够的权限读取被保护目录或文件。监测端如果在远端的话，WWW服务器需要开放一些服务并给监测端相应的权限，较常见的方式是直接利用服务器的开放的WWW服务，使用HTTP协议来监测被保护的文件和目录。也可利用其它常用协议来检测保护文件和目录，如FTP等。采用本地方式检测的优点是效率高，而远程方式则具有平台无关性，但会增加网络流量等负担。
定时和触发：绝大部分保护软件是使用的定时检测的方式，不论在本地还是远程检测都是根据系统设定的时间定时检测，还可将被保护的网页分为不同等级，等级高的检测时间间隔可以设得较短，以获得较好的实时性，而将保护等级较低的网页文件检测时间间隔设得较长，以减轻系统的负担。触发方式则是利用操作系统提供的一些功能，在文件被创建、修改或删除时得到通知，这种方法的优点是效率高，但无法实现远程检测。
比较方法
在判断文件是否被修改时，往往采用被保护目录和备份库中的文件进行比较，比较最常见的方式全文比较。使用全文比较能直接、准确地判断出该文件是否被修改。然而全文比较在文件较大较多时效率十分低下，一些保护软件就采用文件的属性如文件大小、创建修改时间等进行比较，这种方法虽然简单高效，但也有严重的缺陷：{恶意入侵者}可以通过精心构造，把替换文件的属性设置得和原文件完全相同，{从而使被恶意更改的文件无法被检测出来}。另一种方案就是比较文件的数字签名，最常见的是MD5签名算法，由于数字签名的不可伪造性，数字签名能确保文件的相同。
恢复方式
恢复方式与备份库存放的位置直接相关。如果备份库存放在本地的话，恢复进程必须有写被保护目录或文件的权限。如果在远程则需要通过文件共享或FTP的方式来进行，那么需要文件共享或FTP的帐号，并且该帐号拥有对被保护目录或文件的写权限。
备份库的安全
当黑客发现其更换的主页很快被恢复时，往往会激发起进一步破坏的欲望，此时备份库的安全尤为重要。网页文件的安全就转变为备份库的安全。对备份库的保护一种是通过文件隐藏来实现，让黑客无法找到备份目录。另一种方法是对备份库进行数字签名，如果黑客修改了备份库的内容，保护软件可以通过签名发现，就可停止WWW服务或使用一个默认的页面。
通过以上分析比较我们发现各种技术都有其优缺点，需要结合实际的网络环境来选择最适合的技术方案。
三：网站保护的缺陷
尽管网站保护软件能进一步提高系统的安全，仍然存在一些缺陷。首先这些保护软件都是针对静态页面而设计，而现在动态页面占据的范围越来越大，尽管本地监测方式可以检测脚本文件，但对脚本文件使用的数据库却无能为力。
另外，有些攻击并不是针对页面文件进行的，前不久泛滥成灾的"Red Code"就是使用修改IIS服务的一个动态库来达到攻击页面的目的。另一个方面，网站保护软件本身会增加WWW服务器的负载，在WWW服务器负载本身已经很重的情况下，一定好仔细规划好使用方案。
四：结论
本文讨论了网站常用的保护方法，详细地分析比较了专用网站保护软件采用的各种技术实现和优缺点，并指出了其缺陷。安全虽不是使用某个工具或某些工具就可以解决的，但使用这些工具能帮助提高安全性，减少安全风险。
连根拔起 破解恶意网页的十大奇妙招术
[ 2007-03-25 03:38:25 | 作者: sun ]
1、修改IE的起始主页
IE的起始主页就是每次打开IE时最先进入的页面，随时点击IE工具栏中的“主页”按钮也能进入起始主页，它一般是我们需要频繁查看的页面，但有些恶意网页会将起始主页改为某些乌七八糟的网址，以达到其不可告人的目的。
要修复IE起始主页方法很简单，在IE“工具”菜单中单击“Internet选项”(以IE5为例，下同)，选择“常规”选项卡，在“主页”文本框中输入起始页的网址即可。
如果进行上述设置后不起作用，那肯定是在Windows的“启动”组中加载了恶意程序，使每次启动电脑时自动运行程序来对IE进行非法设置。可通过注册表编辑器，将此类程序从“启动”组清除。
方法是:点击“开始→运行”，输入“Regedit”后回车，在注册表编辑器中依次展开[HKEY_LOCAL_MACHINE\Software\Wicrosoft\Windows\Current Version\Run]主键，右部窗口中显示的是所有启动时加载的程序项，将包含可疑程序的键值名删除。
除了起始主页，还有默认主页被修改的情况。我们还是通过注册表编辑器来修复默认主页。展开[HKEY_LOCAL_MACHINE\Software\Wicrosoft\Internet Explorer\Main]主键，右部窗口中的键值名“Default-Page-URL”决定IE的默认主页，双击该键值名，在“键值”文本框中输入网址，该网址将成为新的IE默认主页。
2、修改IE工具栏
IE的工具栏包括工具按钮、地址栏、链接等几个项目，恶意网页可能会自作主张的在工具栏上添加按钮，或者在地址栏的下拉列表中加入一些并未访问过的网址，甚至会通过篡改链接栏的标题显示一些恶心的文字。
要去掉不需要的按钮，方法很简单，对工具栏按钮点右键选“自定义”，在“当前工具栏按钮”下拉框中选定不需要的按钮后点击“删除”即可。
要去掉多余的地址列表，可通过注册表编辑器展开[HKEY_CURRENT_USER\Software\Wicrosoft\Internet Explorer\TypeURLs]主键，将右部窗口中“url1”、“url2”等键值名全部删除即可。
要修复链接栏标题，首先展开[HKEY_CURRENT_USER\Software\Wicrosoft\Internet Explorer\Toolbar]主键，在右部窗口中对键值名“LinksFolderName”双击，修改其键值为欲显示的信息，或直接将该键值名删除，链接栏的标题将恢复为默认的“链接”字样。
3、修改默认的搜索引擎
在IE的工具栏中有一个“搜索”按钮，它链接到一个指定的搜索引擎，可实现网络搜索。被恶意网页修改后的该按钮并不能进行搜索工作，而是链接到由恶意网页指定的网页上去了。
要修复搜索引擎，首先展开[HKEY_CURRENT_USER\Software\Wicrosoft\Internet Explorer\Search]主键，在右部窗口中将“CustomizeSearch”、“SearchAssistant”这两个键值名对应的网址改为某个搜索引擎的网址即可。
4、修改IE标题栏
我们浏览网页时，IE标题栏显示的是由当前网页决定的标题信息。但某些恶意网页通过修改注册表，使IE无论浏览什么网页都要在标题后附加一段信息，要么是某个网站的名称，要么是一些垃圾广告，甚至是一些政治反动或不堪入目的信息。
要修复IE标题栏，在注册表编辑器中展开[HKEY_LOCAL_MACHINE\Software\Wicrosoft\Internet Explorer\Main]主键，将右部窗口中的“Window Title”键值名直接删除即可。
5、修改或禁止IE右键
有些恶意网页对IE右键快捷菜单进行修改，加入一些无聊信息，或是加入指向其网站的链接，以为这样人们就会经常光顾他们的网站，真是很可笑。
要删除右键菜单中的垃圾内容，可通过注册表编辑器展开[HKEY_CURRENT_USER\Software\Wicrosoft\Internet Explorer\MenuExt]主键，将下面的垃圾内容全部删除即可，也可直接把“MenuExt”子键删除掉，因为“MenuExt”子键下是右键菜单的扩展内容，把它删除，右键菜单便恢复为默认样式。
有些恶意网页为禁止下载，竟然禁止使用右键，简直太可恶了。展开[HKEY_CURRENT_USER\Software\Policies\Wicrosoft\Internet Explorer\Restrictions]主键(注意这里是Policies分支下的Internet Explorer)，在右部窗口中将键值名“NoBrowserContextMenu”的Dword键值改为“0”即可，或者将该键值名删除，甚至可将“Restrictions”子键删除，“Restrictions”子键下是一些限制IE功能的设置。
有些恶意网页更狡猾，当使用鼠标右键时不会显示菜单，而是弹出对话框警告你不要“侵权”，或是强迫你阅读他们的垃圾广告，这种情况并未修改注册表，所以退出这个网页就不会有事了。如果非要在这个网页中使用右键，可采取变通的方法:当弹出对话框后，先按下键盘上的“属性”键(右侧Ctrl键左边的一个键)不放，再按回车键，弹出几次对话框就按几次回车键，最后放开“属性”键，右键快捷菜单便出来了文字。
6、系统启动时弹出网页或对话框
若出现启动Windows时弹出网页，这是恶意网页对Windows的“启动”组动了手脚的缘故。我们在注册表中将“启动”组内相应项目删除即可解决。
方法是：展开[HKEY_LOCAL_MACHINE\Software\Wicrosoft\Windows\Current Version\Run]主键，在右部窗口中将包含有url、htm、html、asp、php等网址属性的键值名全部删除。
恶意网页还有一种类似的伎俩是，启动Windows时会弹出对话框，以显示它们的广告信息。解决办法是：展开[HKEY_LOCAL_MACHINE\Software\Wicrosoft\Windows\Current Version]主键，该主键下的子键“Winlogon”可以使Windows启动时显示信息提示框，直接将该子键删除即可避免启动时出现垃圾信息了。
7、定时弹出IE新窗口
IE浏览器中每隔一段时间就会弹出新的窗口去访问别的网页，这种情况也是典型的恶意网页中毒症状。恶意网页是通过在Windows的“启动”组添加hta文件来达到目的的。同样，我们利用第6条中的方法，将启动组内包含hta文件的项目全部删除即可。
8、禁止修改注册表
这是恶意网页最无耻的行径了，恶意网页修改了我们的系统，当我们使用注册表编辑器Regedit.exe时去修复注册表时，系统提示“注册表编辑器被管理员所禁止”。恶意网页试图通过禁止Regedit.exe的使用，来阻止我们修复注册表，可谓用心险恶。
但注册表编辑工具除了Regedit.exe外还有很多种，随便从网上下载一个注册表编辑器，展开[HKEY_CURRENT_USER\Software\Wicrosoft\Windows\Current Version\Policies\System]主键，将键值名“DisableRegistryTools”的键值改为“0”，或将该键值名删除，这样便可使用Windows自带的注册表编辑器了。
如果找不到其它编辑器，利用记事本编写以下三行内容：
REGEDIT4
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"disableregistrytools"=dword：0
将以上内容保存为aaa.reg，文件名可任取，但扩展名一定要为reg，然后双击这个文件，提示信息成功输入注册表之后，你便又可使用Regedit.exe了。
9、下载运行木马程序
恶意网页最阴险的一招就是下载并运行木马程序，从而控制访问者的电脑。这利用的是IE5.0的一个漏洞，恶意网页通过一段恶代码链接一个嵌入了exe文件（木马）的eml文件（E-mail文件），当访问者浏览这类网页并点击经过伪装的链接时，便会自动下载eml文件并运行其中的exe文件（木马），并且不会有任何提示信息，一切在悄无声息中进行。
如此罪恶的行径，我们却没有什么好的对付办法。唯有升级IE版本了，因为这个漏洞在IE5.0以上版本中都不复存在。
10、格式化硬盘
恶意网页能把你的硬盘格式化！？你没看错，这可是恶意网页最狠毒的一招了，后果不堪设想，简直太恐怖了。恶意网页是利用IE执行ActiveX功能，调用Windows下的Format.com程序对硬盘进行格式化，由于使用了一个微软未曾公开的运行参数，Format.com格式化硬盘时无需经过你的确认而自动进行，同时窗口处于最小化状态，很可能你还没反应过来，你的系统就已经完蛋了。此招真是太卑鄙了。
但险招有险象，当你访问此类恶意网页时，由于要使用ActiveX功能，IE会提示当前页面含有不安全的ActivcX，可能会对系统造成危害，并询问是否执行，这时你就要提高警惕了，千万不要随便选择“是”，而且这种提示信息还可能经过伪装，例如：“浏览器将使用防毒功能，避免你受到恶意攻击，是否继续？”真是颠倒是非，让你雾里看花，你得小心再小心，否则没有后悔药给你吃。
其实最安全的办法是，将你电脑中的Format.com程序改名，使恶意网页调用程序无门、行恶不成。在Windows中还有一个危险命令Deltree.exe，它的作用是删除整个目录，也可带参数自动运行，为了不让恶意网页有机可乘，你不妨也把它改名大吉。
以上揭露的只是恶意网页最普遍的十种罪行，除此之外，还有一些五花八门的小伎俩，也给我们上网带来不少麻烦。另外，以上提出的解决办法，都是在受到恶意网页危害后的解救措施，并不保证以后就太平无事了。若要避免或减轻危害，还得从预防做起。
最简单的预防措施是升级IE版本和使用杀毒软件的病毒防火墙：
a、升级IE版本
很多恶意网页只对IE5.0及以下版本有效。高版本软件一般都修复了低版本中的Bug，我们使用高版本IE就相对安全得多。
b、启用病毒防火墙
现在的杀毒软件大都有病毒防火墙功能，例如瑞星。病毒防火墙可以智能的识别、查杀、隔离恶意网页，除此之外，杀毒软件还是各种木马程序的“克星”。杀毒软件总是站在与电脑界的各种恶魔抗争的最前线，让反毒战士来保护我们，准没错！
安全帐号管理器SAM文件基础知识
[ 2007-03-25 03:38:12 | 作者: sun ]
Windows NT及Windows2000中对用户帐户的安全管理使用了安全帐号管理器(security account manager)的机制，安全帐号管理器对帐号的管理是通过安全标识进行的，安全标识在帐号创建时就同时创建，一旦帐号被删除，安全标识也同时被删除。安全标识是唯一的，即使是相同的用户名，在每次创建时获得的安全标识都时完全不同的。因此，一旦某个帐号被删除，它的安全标识就不再存在了，即使用相同的用户名重建帐号，也会被赋予不同的安全标识，不会保留原来的权限。
安全账号管理器的具体表现就是%SystemRoot%\\system32\\config\\sam文件。SAM文件是Windows NT的用户帐户数据库，所有NT用户的登录名及口令等相关信息都会保存在这个文件中。SAM文件可以认为类似于Unix系统中的Passwd文件,不过没有这么直观明了。Passwd使用的是存文本的格式保存信息，这是一个Linux Passwd文件内容的例子：
0: root:8L7v6:0:0:root:/root:/bin/bash
1: bin:*:1:1:bin:/bin:
2: daemon:*:2:2:daemon:/sbin:
3: adm:*:3:4:adm:/var/adm:
4: lp:*:4:7:lp:/var/spool/lpd:
5: sync:*:5:0:sync:/sbin:/bin/sync
6: shutdown:*:6:0:shutdown:/sbin:/sbin/shutdown
7: halt:*:7:0:halt:/sbin:/sbin/halt
8: mail:*:8:12:mail:/var/spool/mail:
9: news:*:9:13:news:/var/spool/news:
10: uucp:*:10:14:uucp:/var/spool/uucp:
11: operator:*:11:0perator:/root:
12: games:*:12:100:games:/usr/games:
13: gopher:*:13:30:gopher:/usr/lib/gopher-data:
14: ftp:*:14:50:FTP User:/home/ftp:
15: nobody:I0iJ.:99:99:Nobody:/home/httpd:/bin/bash
16: david:c6CuzM:500:500::/home/david:/bin/bash
17: dummy:fIVTl4IgU:501:503::/home/dummy:/bin/bash
18: msql:!!:502:504::/home/msql:/bin/bash
Unix中的Passwd文件中每一行都代表一个用户资料，每一个账号都有七部分资料，不同资料中使用“:”分割格式如下，
账号名称:密码:uid:gid:个人资料:用户目录:shell
除了密码是加密的以外(这里的密码部分已经Shadow了)其他项目非常清楚明了。
而NT中就不是这样，虽然他也是用文件保存账号信息，不过如果我们用编辑器打开这些NT的SAM文件，除了乱码什么也看不到。因为NT系统中将这些资料全部进行了加密处理，一般的编辑器是无法直接读取这些信息的。注册表中的
HKEY_LOCAL_MACHINE\\SAM\\SAM
HKEY_LOCAL_MACHINE\\SECURITY\\SAM
保存的就是SAM文件的内容，在正常设置下仅对System是可读写的。
NT的帐号信息在SAM文件中是如何存储的呢？
在SAM文件中保存了两个不同的口令信息：LanManager（LM）口令散列算法和更加强大的加密NT版，LM就是NT口令文件的弱点。我们来看看LM口令算法是如何加密口令的，考虑这样一个口令：Ba01cK28tr，这样的口令已经可以称的上是一个安全的口令了，虽然没有!#等特殊字符，但是已经包含大写字母，小写字母和数字，并且具有无规律性。可以认为是符合安全的要求的一个口令。
LM对口令的处理方法是：如果口令不足14位，就用0把口令补足14位，并把所有的字母转称大写字母。之后将处理后的口令分成两组数字，每组是7位。刚才我们所提到的口令经处理后就变成BA01CK2和8TR0000部分。然后由这两个7位的数字分别生成8位的DES KEY，每一个8位的DES KEY都使用一个魔法数字(将0x4B47532140232425用全是1的一个KEY进行加密获得的)再进行一次加密，将两组加密完后的字符串连在一起，这就是最终的口令散列。这个字符传看起来是个整体，但是象L0phtcrack这样的破解软件，他能将口令字符串的两部分独立的破解。因此，破解上面所提到口令(10位)，由于口令已经被分解为两部分破解，而后面的那部分口令由于只有3位，破解难度可想而知并不困难。实际的难度就在前面的七位口令上了。因此就NT而言，一个10位的口令与一个7位的口令相比并没有太高的安全意义。由此还可以了解：1234567*$#这样的口令可能还不如SHic6这样的口令安全。(关于如何设置安全口令的问题不是本文的范围，有兴趣的可以参考相关文章)
而正式的口令(加密NT版)是将用户的口令转换成unicode编码，然后使用MD4算法将口令加密。
NT之所以保留两种不同版本的口令是由于历史原因造成的，在一个纯NT的环境中应该将LAN manager口令关闭。因为LAN manager口令使用了较弱的DES密钥和算法，比较容易破解。相比较之下，使用较强加密算法的NT正式口令要安全些。
但是这两种口令的加密方法从总体上来说强度还是不足，因此，微软在Win NT4的SP3之和以后的补丁中，提供了一个Syskey.exe的小工具来进一步加强NT的口令。这个软件是可以选择使用的，管理员只要运行一下这个程序并回答一些设置问题就可以添加这项增强功能。(Windows2000已经作为缺省安装设置了)
Syskey被设计用来防止轻易获得SAM口令，它是如何工作的呢？
当Syskey被激活，口令信息在存入注册表之前还进行了一次加密处理。然而，在机器启动后，一个旧的格式的信息还是会保存在内存中。因为，这个旧格式的口令信息是进行网络验证的所需要的。
可以这样认为：Syskey使用了一种方法将口令信息搞乱。或者说使用了一个密钥，这个密钥是激活Syskey由用户选择保存位置的。这个密钥可以保存在软盘，或者在启动时由用户生成(通过用户输入的口令生成)，又或者直接保存在注册表中。由于没有官方的正式技术说明如何关闭Syskey，所以Syskey一旦启用就无非关闭，除非用启用Syskey之前的注册表备份恢复注册表。
将Syskey激活后系统有什么发生了什么，如何关掉Syskey呢？
-1-
将Syskey激活后，在注册表HKLM\\System\\CurrentControlSet\\Control\\Lsa下被添加了新的键值\'SecureBoot\'中保存了Syskey的设置：
1 - KEY保存在注册表中
2 - KEY由用户登录时输入的口令生成
3 - KEY保存在软盘中
但是把主键删除或者把值设成0并没能将Syskey关闭，看来还有其他的地方。
-2-
HKLM\\SAM\\Domains\\Account\\F 是一个二进制的结构，通常保存着计算机的SID和其他的描述信息。当syskey被激活后，其中的内容就变大了(大小大约是原来的两倍) 增加的部分估计是加密的KEY+一些标记和其他的数值,这些标记和数值中一定有一部分包括 SecureBoot 相同的内容。所以，在NT4(已安装SP6补丁包)将这些标记位设为0可能就可以关闭Syskey了。在改变这些设置时系统给出了一个错误提示说明SAM和系统设置相互冲突，但是在重新启动计算机后，系统已经不再使用Syskey了。
-3-
再Windows2000中还有另一个地方还存储着关于syskey的信息
HKLM\\security\\Policy\\PolSecretEncryptionKey\\
这也是一个二进制的结构，也是使用同样的存储方式，将这里相应部分同样设为0,syskey就已经从Windows2000中移除了。(如果这三部分修改出现错误(不一致)，系统会在下次启动是自动恢复为默认值)
-4-
然后就是口令信息部分。旧的口令信息是长度是16字节，但使用Syskey后长度全部被增加到20字节。其中头四个字节看起来想是某种计数器，可能是历史使用记录计数器。奇怪的是，当Syskey被激活时，他并不立即记录，而是在系统下次启动时才记录。而且，当密钥被改变时，口令信息似乎并没有相应更新。
