别杀错了：一步一步教你来识别病毒
[ 2007-03-25 03:37:50 | 作者: sun ]
很多时候大家已经用杀毒软件查出了自己的机子中了例如Backdoor. RmtBomb.12 、Trojan.Win32.SendIP.15 等等这些一串英文还带数字的病毒名，这时有些人就懵了，那么长一串的名字，我怎么知道是什么病毒啊？
其实只要我们掌握一些病毒的命名规则，我们就能通过杀毒软件的报告中出现的病毒名来判断该病毒的一些公有的特性了。
世界上那么多的病毒，反病毒公司为了方便管理，他们会按照病毒的特性，将病毒进行分类命名。虽然每个反病毒公司的命名规则都不太一样，但大体都是采用一个统一的命名方法来命名的。
一般格式为：<病毒前缀>.<病毒名>.<病毒后缀>。
病毒前缀是指一个病毒的种类，他是用来区别病毒的种族分类的。不同的种类的病毒，其前缀也是不同的。比如我们常见的木马病毒的前缀Trojan，蠕虫病毒的前缀是Worm等等还有其他的。
病毒名是指一个病毒的家族特征，是用来区别和标识病毒家族的，如以前著名的CIH病毒的家族名都是统一的“CIH”，还有近期闹得正欢的振荡波蠕虫病毒的家族名是“Sasser”。
病毒后缀是指一个病毒的变种特征，是用来区别具体某个家族病毒的某个变种的。一般都采用英文中的26个字母来表示，如Worm.Sasser.b就是指振荡波蠕虫病毒的变种B，因此一般称为 “振荡波B变种”或者“振荡波变种B”。如果该病毒变种非常多（也表明该病毒生命力顽强），可以采用数字与字母混合表示变种标识。
综上所述，一个病毒的前缀对我们快速的判断该病毒属于哪种类型的病毒是有非常大的帮助的。通过判断病毒的类型，就可以对这个病毒有个大概的评估（当然这需要积累一些常见病毒类型的相关知识，这不在本文讨论范围）。而通过病毒名我们可以利用查找资料等方式进一步了解该病毒的详细特征。病毒后缀能让我们知道现在在你机子里呆着的病毒是哪个变种。
下面附带一些常见的病毒前缀的解释（针对我们用得最多的Windows操作系统）：
1、系统病毒
系统病毒的前缀为：Win32、PE、Win95、W32、W95等。这些病毒的一般公有的特性是可以感染Windows操作系统的 *.exe 和 *.dll 文件，并通过这些文件进行传播。如CIH病毒。
2、蠕虫病毒
蠕虫病毒的前缀是：Worm。这种病毒的公有特性是通过网络或者系统漏洞进行传播，很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性。比如冲击波（阻塞网络），小邮差（发带毒邮件）等。
3、木马病毒、黑客病毒
木马病毒其前缀是：Trojan，黑客病毒前缀名一般为Hack.木马病毒的公有特性是通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息。而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制。木马、黑客病毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而黑客病毒则会通过该木马病毒来进行控制。现在这两种类型都越来越趋向于整合了。一般的木马如QQ消息尾巴木马Trojan.QQ3344，还有大家可能遇见比较多的针对网络游戏的木马病毒如Trojan.LMir.PSW.60。这里补充一点，病毒名中有PSW或者什么PWD之类的一般都表示这个病毒有盗取密码的功能（这些字母一般都为“密码”的英文“password”的缩写）一些黑客程序如：网络枭雄（Hack.Nether.Client）等。
4、脚本病毒
脚本病毒的前缀是：脚本病毒的公有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码（.Redlof）。脚本病毒还会有如下前缀：VBS、JS（表明是何种脚本编写的），如欢乐时光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。
5、宏病毒
其实宏病毒是也是脚本病毒的一种，由于它的特殊性，因此在这里单独算成一类。宏病毒的前缀是：Macro，第二前缀是：Word、Word97、Excel、Excel97（也许还有别的）其中之一。凡是只感染WORD97及以前版本WORD文档的病毒采用Word97做为第二前缀，格式是：Macro.Word97；凡是只感染WORD97以后版本WORD文档的病毒采用Word做为第二前缀，格式是：Macro.Word；凡是只感染EXCEL97及以前版本EXCEL文档的病毒采用Excel97做为第二前缀，格式是：Macro.Excel97；凡是只感染EXCEL97以后版本EXCEL文档的病毒采用Excel做为第二前缀，格式是：Macro.Excel，依此类推。该类病毒的公有特性是能感染OFFICE系列文档，然后通过OFFICE通用模板进行传播，如：著名的美丽莎（Macro.Melissa）。
6、后门病毒
后门病毒的前缀是：Backdoor.该类病毒的公有特性是通过网络传播，给系统开后门，给用户电脑带来安全隐患。如54很多朋友遇到过的IRC后门Backdoor.IRCBot。
7、病毒种植程序病毒
这类病毒的公有特性是运行时会从体内释放出一个或几个新的病毒到系统目录下，由释放出来的新病毒产生破坏。如：冰河播种者（Dropper.BingHe2.2C）、MSN射手（Dropper.Worm.Smibag）等。
8.破坏性程序病毒
破坏性程序病毒的前缀是：Harm。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒便会直接对用户计算机产生破坏。如：格式化C盘（Harm.formatC.f）、杀手命令（Harm.Command.Killer）等。
9.玩笑病毒
玩笑病毒的前缀是：Joke.也称恶作剧病毒。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒会做出各种破坏操作来吓唬用户，其实病毒并没有对用户电脑进行任何破坏。如：女鬼（Joke.Girlghost）病毒。
10.捆绑机病毒
捆绑机病毒的前缀是：Binder.这类病毒的公有特性是病毒作者会使用特定的捆绑程序将病毒与一些应用程序如QQ、IE捆绑起来，表面上看是一个正常的文件，当用户运行这些捆绑病毒时，会表面上运行这些应用程序，然后隐藏运行捆绑在一起的病毒，从而给用户造成危害。如：捆绑QQ（Binder.QQPass.QQBin）、系统杀手（Binder.killsys）等。以上为比较常见的病毒前缀，有时候我们还会看到一些其他的，但比较少见，这里简单提一下：
DoS：会针对某台主机或者服务器进行DoS攻击；
Exploit：会自动通过溢出对方或者自己的系统漏洞来传播自身，或者他本身就是一个用于Hacking的溢出工具；
HackTool：黑客工具，也许本身并不破坏你的机子，但是会被别人加以利用来用你做替身去破坏别人。
你可以在查出某个病毒以后通过以上所说的方法来初步判断所中病毒的基本情况，达到知己知彼的效果。在杀毒无法自动查杀，打算采用手工方式的时候这些信息会给你很大的帮助。
决不做“肉鸡” 从零开始自检系统漏洞
[ 2007-03-25 03:37:37 | 作者: sun ]
近来黑客攻击事件频频发生，我们身边的朋友也不断有QQ、E-mail和游戏账号被盗事件发生。现在的黑客技术有朝着大众化方向发展的趋势，能够掌握攻击他人系统技术的人越来越多了，只要你的电脑稍微有点系统Bug或者安装了有问题的应用程序，就有可能成为他人的肉鸡。如何给一台上网的机器查漏洞并做出相应的处理呢?
一、要命的端口
计算机要与外界进行通信，必须通过一些端口。别人要想入侵和控制我们的电脑，也要从某些端口连接进来。某日笔者查看了一位朋友的系统，吃惊地发现开放了139、445、3389、4899等重要端口，要知道这些端口都可以为黑客入侵提供便利，尤其是4899，可能是入侵者安装的后门工具Radmin打开的，他可以通过这个端口取得系统的完全控制权。
在Windows 98下，通过“开始”选取“运行”，然后输入“command”(Windows 2000/XP/2003下在“运行”中输入“cmd”)，进入命令提示窗口，然后输入netstat/an，就可以看到本机端口开放和网络连接情况。
那怎么关闭这些端口呢?因为计算机的每个端口都对应着某个服务或者应用程序，因此只要我们停止该服务或者卸载该程序，这些端口就自动关闭了。例如可以在“我的电脑 →控制面板→计算机管理→服务”中停止Radmin服务，就可以关闭4899端口了。
如果暂时没有找到打开某端口的服务或者停止该项服务可能会影响计算机的正常使用，我们也可以利用防火墙来屏蔽端口。以天网个人防火墙关闭4899端口为例。打开天网“自定义IP规则”界面，点击“增加规则”添加一条新的规则，在“数据包方向”中选择“接受”，在“对方IP地址”中选择“任何地址”，在TCP选项卡的本地端口中填写从4899到0，对方端口填写从0到0，在“当满足上面条件时”中选择“拦截”，这样就可以关闭4899端口了。其他的端口关闭方法可以此类推。
二、敌人的“进程”
在Windows 2000下，可以通过同时按下“Ctrl+Alt+Del”键调出任务管理器来查看和关闭进程;但在Windows 98下按“Ctrl+Alt+del”键只能看到部分应用程序，有些服务级的进程却被隐藏因而无法看到了，不过通过系统自带的工具msinfo32还是可以看到的。在“开始→运行”里输入msinfo32，打开“Microsoft 系统信息”界面，在“软件环境”的“正在运行任务”下可以看到本机的进程。但是在Windows 98下要想终止进程，还是得通过第三方的工具。很多系统优化软件都带有查看和关闭进程的工具，如春光系统修改器等。
但目前很多木马进程都会伪装系统进程，新手朋友很难分辨其真伪，所以这里推荐一款强大的杀木马工具──“木马克星”，它可以查杀8000多种国际木马，1000多种密码偷窃木马，功能十分强大，实在是安全上网的必备工具!
三、小心，远程管理软件有大麻烦
现在很多人都喜欢在自己的机器上安装远程管理软件，如Pcanywhere、Radmin、VNC或者Windows自带的远程桌面，这确实方便了远程管理维护和办公，但同时远程管理软件也给我们带来了很多安全隐患。例如Pcanywhere 10.0版本及更早的版本存在着口令文件*.CIF容易被解密(解码而非爆破)的问题，一旦入侵者通过某种途径得到了*.CIF文件，他就可以用一款叫做Pcanywherepwd的工具破解出管理员账号和密码。
而Radmin则主要是空口令问题，因为Radmin默认为空口令，所以大多数人安装了Radmin之后，都忽略了口令安全设置，因此，任何一个攻击者都可以用Radmin客户端连接上安装了Radmin的机器，并做一切他想做的事情。
Windows系统自带的远程桌面也会给黑客入侵提供方便的大门，当然是在他通过一定的手段拿到了一个可以访问的账号之后。
可以说几乎每种远程管理软件都有它的问题，如本报43期G12版介绍的强大的远程管理软件DameWare NT Utilitie。它工具包中的DameWare Mini Remote Control某些版本也存在着缓冲区溢出漏洞，黑客可以利用这个漏洞在系统上执行任意指令。所以，要安全地远程使用它就要进行IP限制。这里以Windows 2000远程桌面为例，谈谈6129端口(DameWare Mini Remote Control使用的端口)的IP限制:打开天网“自定义IP规则”界面，点击“增加规则”添加一条新的规则。在“数据包方向”中选择“接受”，在“对方IP地址”中选择“指定地址”，然后填写你的IP地址，在TCP选项卡的本地端口中填写从6129到0，对方端口填写从0到0，在“当满足上面条件时”中选择“通行”，这样一来除了你指定的那个IP(这里假定为192.168.1.70)之外，别人都连接不到你的电脑上了。
安装最新版的远程控制软件也有利于提高安全性，比如最新版的Pcanywhere的密码文件采用了较强的加密方案。
四、“专业人士”帮你免费检测
很多安全站点都提供了在线检测，可以帮助我们发现系统的问题，如天网安全在线推出的在线安全检测系统──天网医生，它能够检测你的计算机存在的一些安全隐患，并且根据检测结果判断你系统的级别，引导你进一步解决你系统中可能存在的安全隐患。
天网医生(http://pfw.sky.net.cn/news/info/list.php?sessid=&sortid=17)可以提供木马检测、系统安全性检测、端口扫描检测、信息泄漏检测等四个安全检测项目，可能得出四种结果:极度危险、中等危险、相当安全和超时或有防火墙。其他知名的在线安全检测站点还有千禧在线(http://www.china-yk.com/tsfw/)以及蓝盾在线检测(hhtp://www.bluedon.com/onlinescan/portscan.asp)。另外,IE的安全性也是非常重要的,一不小心就有可能中了恶意代码、网页木马的招儿，http://bcheck.scanit.be/bcheck/就是一个专门检测IE是否存在安全漏洞的站点，大家可以根据提示操作。
五、自己扫描自己
天网医生主要针对网络新手，而且是远程检测，速度比不上本地，所以如果你有一定的基础，最好使用安全检测工具(漏洞扫描工具)手工检测系统漏洞。
我们知道，黑客在入侵他人系统之前，常常用自动化工具对目标机器进行扫描，我们也可以借鉴这个思路，在另一台电脑上用漏洞扫描器对自己的机子进行检测。功能强大且容易上手的国产扫描器首推X-Scan，当然小蓉流光也很不错。
以X-Scan为例，它有开放端口、CGI漏洞、IIS漏洞、RPC漏洞、SSL漏洞、SQL-SERVER等多个扫描选项，更为重要的是列出系统漏洞之外，它还给出了十分详尽的解决方案，我们只需要“按方抓药”即可。
例如，用X-Scan对隔壁某台计算机进行完全扫描之后，发现如下漏洞:
[192.168.1.70]: 端口135开放: Location Service
[192.168.1.70]: 端口139开放: NET BIOS Session Service
[192.168.1.70]: 端口445开放: Mi crosoft-DS
[192.168.1.70]: 发现 NT-Server弱口令: user/[空口令]
[192.168.1.70]: 发现 “NetBios信息”
从其中我们可以发现，Windows 2000弱口令的问题，这是个很严重的漏洞。NetBios信息暴露也给黑客的进一步进攻提供了方便，解决办法是给User账号设置一个复杂的密码，并在天网防火墙中关闭135～139端口。
六、别小瞧Windows Update
微软通常会在病毒和攻击工具泛滥之前开发出相应的补丁工具，只要点击“开始”菜单中的Windows Update，就到了微软的Windows Update网站，在这里下载最新的补丁程序。所以每周访问Windows Update网站及时更新系统一次，基本上就能把黑客和病毒拒之门外。
一、要命的端口
计算机要与外界进行通信，必须通过一些端口。别人要想入侵和控制我们的电脑，也要从某些端口连接进来。某日笔者查看了一位朋友的系统，吃惊地发现开放了139、445、3389、4899等重要端口，要知道这些端口都可以为黑客入侵提供便利，尤其是4899，可能是入侵者安装的后门工具Radmin打开的，他可以通过这个端口取得系统的完全控制权。
在Windows 98下，通过“开始”选取“运行”，然后输入“command”(Windows 2000/XP/2003下在“运行”中输入“cmd”)，进入命令提示窗口，然后输入netstat/an，就可以看到本机端口开放和网络连接情况。
那怎么关闭这些端口呢?因为计算机的每个端口都对应着某个服务或者应用程序，因此只要我们停止该服务或者卸载该程序，这些端口就自动关闭了。例如可以在“我的电脑 →控制面板→计算机管理→服务”中停止Radmin服务，就可以关闭4899端口了。
如果暂时没有找到打开某端口的服务或者停止该项服务可能会影响计算机的正常使用，我们也可以利用防火墙来屏蔽端口。以天网个人防火墙关闭4899端口为例。打开天网“自定义IP规则”界面，点击“增加规则”添加一条新的规则，在“数据包方向”中选择“接受”，在“对方IP地址”中选择“任何地址”，在TCP选项卡的本地端口中填写从4899到0，对方端口填写从0到0，在“当满足上面条件时”中选择“拦截”，这样就可以关闭4899端口了。其他的端口关闭方法可以此类推。
二、敌人的“进程”
在Windows 2000下，可以通过同时按下“Ctrl+Alt+Del”键调出任务管理器来查看和关闭进程;但在Windows 98下按“Ctrl+Alt+del”键只能看到部分应用程序，有些服务级的进程却被隐藏因而无法看到了，不过通过系统自带的工具msinfo32还是可以看到的。在“开始→运行”里输入msinfo32，打开“Microsoft 系统信息”界面，在“软件环境”的“正在运行任务”下可以看到本机的进程。但是在Windows 98下要想终止进程，还是得通过第三方的工具。很多系统优化软件都带有查看和关闭进程的工具，如春光系统修改器等。
但目前很多木马进程都会伪装系统进程，新手朋友很难分辨其真伪，所以这里推荐一款强大的杀木马工具──“木马克星”，它可以查杀8000多种国际木马，1000多种密码偷窃木马，功能十分强大，实在是安全上网的必备工具!
三、小心，远程管理软件有大麻烦
现在很多人都喜欢在自己的机器上安装远程管理软件，如Pcanywhere、Radmin、VNC或者Windows自带的远程桌面，这确实方便了远程管理维护和办公，但同时远程管理软件也给我们带来了很多安全隐患。例如Pcanywhere 10.0版本及更早的版本存在着口令文件*.CIF容易被解密(解码而非爆破)的问题，一旦入侵者通过某种途径得到了*.CIF文件，他就可以用一款叫做Pcanywherepwd的工具破解出管理员账号和密码。
而Radmin则主要是空口令问题，因为Radmin默认为空口令，所以大多数人安装了Radmin之后，都忽略了口令安全设置，因此，任何一个攻击者都可以用Radmin客户端连接上安装了Radmin的机器，并做一切他想做的事情。
Windows系统自带的远程桌面也会给黑客入侵提供方便的大门，当然是在他通过一定的手段拿到了一个可以访问的账号之后。
可以说几乎每种远程管理软件都有它的问题，如本报43期G12版介绍的强大的远程管理软件DameWare NT Utilitie。它工具包中的DameWare Mini Remote Control某些版本也存在着缓冲区溢出漏洞，黑客可以利用这个漏洞在系统上执行任意指令。所以，要安全地远程使用它就要进行IP限制。这里以Windows 2000远程桌面为例，谈谈6129端口(DameWare Mini Remote Control使用的端口)的IP限制:打开天网“自定义IP规则”界面，点击“增加规则”添加一条新的规则。在“数据包方向”中选择“接受”，在“对方IP地址”中选择“指定地址”，然后填写你的IP地址，在TCP选项卡的本地端口中填写从6129到0，对方端口填写从0到0，在“当满足上面条件时”中选择“通行”，这样一来除了你指定的那个IP(这里假定为192.168.1.70)之外，别人都连接不到你的电脑上了。
安装最新版的远程控制软件也有利于提高安全性，比如最新版的Pcanywhere的密码文件采用了较强的加密方案。
四、“专业人士”帮你免费检测
很多安全站点都提供了在线检测，可以帮助我们发现系统的问题，如天网安全在线推出的在线安全检测系统──天网医生，它能够检测你的计算机存在的一些安全隐患，并且根据检测结果判断你系统的级别，引导你进一步解决你系统中可能存在的安全隐患。
天网医生(http://pfw.sky.net.cn/news/info/list.php?sessid=&sortid=17)可以提供木马检测、系统安全性检测、端口扫描检测、信息泄漏检测等四个安全检测项目，可能得出四种结果:极度危险、中等危险、相当安全和超时或有防火墙。其他知名的在线安全检测站点还有千禧在线(http://www.china-yk.com/tsfw/)以及蓝盾在线检测(hhtp://www.bluedon.com/onlinescan/portscan.asp)。另外,IE的安全性也是非常重要的,一不小心就有可能中了恶意代码、网页木马的招儿，http://bcheck.scanit.be/bcheck/就是一个专门检测IE是否存在安全漏洞的站点，大家可以根据提示操作。
五、自己扫描自己
天网医生主要针对网络新手，而且是远程检测，速度比不上本地，所以如果你有一定的基础，最好使用安全检测工具(漏洞扫描工具)手工检测系统漏洞。
我们知道，黑客在入侵他人系统之前，常常用自动化工具对目标机器进行扫描，我们也可以借鉴这个思路，在另一台电脑上用漏洞扫描器对自己的机子进行检测。功能强大且容易上手的国产扫描器首推X-Scan，当然小蓉流光也很不错。
以X-Scan为例，它有开放端口、CGI漏洞、IIS漏洞、RPC漏洞、SSL漏洞、SQL-SERVER等多个扫描选项，更为重要的是列出系统漏洞之外，它还给出了十分详尽的解决方案，我们只需要“按方抓药”即可。
例如，用X-Scan对隔壁某台计算机进行完全扫描之后，发现如下漏洞:
[192.168.1.70]: 端口135开放: Location Service
[192.168.1.70]: 端口139开放: NET BIOS Session Service
[192.168.1.70]: 端口445开放: Mi crosoft-DS
[192.168.1.70]: 发现 NT-Server弱口令: user/[空口令]
[192.168.1.70]: 发现 “NetBios信息”
从其中我们可以发现，Windows 2000弱口令的问题，这是个很严重的漏洞。NetBios信息暴露也给黑客的进一步进攻提供了方便，解决办法是给User账号设置一个复杂的密码，并在天网防火墙中关闭135～139端口。
六、别小瞧Windows Update
微软通常会在病毒和攻击工具泛滥之前开发出相应的补丁工具，只要点击“开始”菜单中的Windows Update，就到了微软的Windows Update网站，在这里下载最新的补丁程序。所以每周访问Windows Update网站及时更新系统一次，基本上就能把黑客和病毒拒之门外。
安全知识基础杀毒软件跟防火墙的区别
[ 2007-03-25 03:37:21 | 作者: sun ]
在计算机的安全防护中，我们经常要用到杀毒软件和防火墙，而这两者在计算机安全防护中所起到的作用也是不同的。
1.防火墙是位于计算机和它所连接的网络之间的软件，安装了防火墙的计算机流入流出的所有网络通信均要经过此防火墙。使用防火墙是保障网络安全的第一步，选择一款合适的防火墙，是保护信息安全不可或缺的一道屏障。
2.因为杀毒软件和防火墙软件本身定位不同，所以在安装反病毒软件之后，还不能阻止黑客攻击，用户需要再安装防火墙类软件来保护系统安全。
3.杀毒软件主要用来防病毒，防火墙软件用来防黑客攻击。
4.病毒为可执行代码，黑客攻击为数据包形式。
5.病毒通常自动执行，黑客攻击是被动的。
6.病毒主要利用系统功能，黑客更注重系统漏洞。
7.当遇到黑客攻击时反病毒软件无法对系统进行保护。
8.对于初级用户，可以选择使用防火墙软件配置好的安全级别。
9.防火墙软件需要对具体应用进行规格配置。
10.防火墙不处理病毒。
不管是Funlove病毒也好，还是CIH也好,在内部网络用户下载外网的带毒文件的时候，防火墙是不为所动的（这里的防火墙不是指单机/企业级的杀毒软件中的实时监控功能，虽然它们不少都叫“病毒防火墙”）。
看到这里，或许您原本心目中的防火墙已经被我拉下了神台。是的，防火墙是网络安全的重要一环，但不代表设置了防火墙就能一定保证网络的安全。“真正的安全是一种意识，而非技术!”请牢记这句话。
不管怎么样，防火墙仍然有其积极的一面。在构建任何一个网络的防御工事时，除了物理上的隔离和目前新近提出的网闸概念外，首要的选择绝对是防火墙。
最后，要说的依然是那句“世界上没有一种技术能真正保证绝对地安全。”安全问题，是从设备到人，从服务器上的每个服务程序到防火墙、IDS等安全产品的综合问题；任何一个环节工作，只是迈向安全的步骤。
附录：
防火墙能够作到些什么？
1.包过滤
具备包过滤的就是防火墙？对，没错！根据对防火墙的定义，凡是能有效阻止网络非法连接的方式，都算防火墙。早期的防火墙一般就是利用设置的条件，监测通过的包的特征来决定放行或者阻止的，包过滤是很重要的一种特性。虽然防火墙技术发展到现在有了很多新的理念提出，但是包过滤依然是非常重要的一环，如同四层交换机首要的仍是要具备包的快速转发这样一个交换机的基本功能一样。通过包过滤，防火墙可以实现阻挡攻击，禁止外部/内部访问某些站点，限制每个ip的流量和连接数。
2.包的透明转发
事实上，由于防火墙一般架设在提供某些服务的服务器前。如果用示意图来表示就是 Server—FireWall—Guest 。用户对服务器的访问的请求与服务器反馈给用户的信息，都需要经过防火墙的转发,因此，很多防火墙具备网关的能力。
3.阻挡外部攻击
如果用户发送的信息是防火墙设置所不允许的，防火墙会立即将其阻断，避免其进入防火墙之后的服务器中。
4.记录攻击
如果有必要，其实防火墙是完全可以将攻击行为都记录下来的，但是由于出于效率上的考虑，目前一般记录攻击的事情都交给IDS（入侵检测系统）来完成了。
以上是所有防火墙都具备的基本特性，虽然很简单，但防火墙技术就是在此基础上逐步发展起来的。
网络安全界永恒不变的10大安全法则
[ 2007-03-25 03:37:10 | 作者: sun ]
1.如果攻击者能够说服您在自己的计算机上运行他的程序，那么该计算机便不再属于您了。
2.如果攻击者能够在您的计算机上更改操作系统，那么该计算机便不再属于您了。
3.如果攻击者能够不受限制地实地访问您地计算机，那么该计算机便不再属于您了。
4.如果您允许攻击者上载程序到您地Web站点，那么该计算机便不再属于您了。
5.再强大地安全性也会葬送在脆弱地密码手里。
6.计算机地安全性受制于管理员的可靠性。
7.加密数据的安全性受制于解密密钥的安全性。
8.过时的病毒扫描程序比没有病毒扫描程序好不了多少。
9.绝对的匿名无论在现实中还是在Web中都不切实际。
10.技术不是万能药。
安全基础知识之全方位了解Mac地址
[ 2007-03-25 03:36:50 | 作者: sun ]
什么是Mac地址？
Mac地址就是在媒体接入层上使用的地址，通俗点说就是网卡的物理地址，现在的Mac地址一般都采用6字节48bit（在早期还有2字节16bit的Mac地址）。
前24位由是生产厂家向IEEE申请的厂商地址(这可是要花钱的哦！据说1000美元才能买一个地址块)。后24位就由生产厂家自行定以了(早期的2字节的却不用申请) 。
IP地址和Mac地址有什么联系和区别
大家都知道，现在有很多计算机都是通过先组建局域网，然后通过交换机和Internet连接的（大学里的校园网就是这样）。然后给每个用户分配固定的IP地址，由管理中心统一管理，这样为了管理方便就需要使用Mac地址来标志用户，防止发生混乱，明确责任（比如网络犯罪）。另外IP地址和Mac地址是有区别的，虽然他们在局域网中是一一对应的关系。IP地址是跟据现在的IPv4标准指定的，不受硬件限制比较容易记忆的地址，而Mac地址却是用网卡的物理地址，多少与硬件有关系，比较难于记忆。
如何知道自己的Mac地址
方法比较多，也比较得简单，在这里介绍两种常用的方法，在Win9x 可用：WinIPcfg获得，在2000、XP可用IPconfig -all获得。如果你已经给自己的网卡分配了IP还可以用 nbtstat -A 自己的IP ，后者只能在2000/XP下使用。
如何获得别人的Mac
其实上面已经涉及到了，如果是2000/XP用户可以用 nbtstat -A IP地址（还可以获得别的东东啊，可别学坏啊）。另外同一局域网内的，你可以用ping IP 或者ping 主机名，然后用arp -a 来获得。
如何修改自己的Mac地址
Mac地址是保存在网卡的EPROM里面，通过网卡生产厂家提供的修改程序可以更改存储器里的地址，即使网卡没有这样的设置我们也可以通过间接的方法修改，一般网卡发出的包的源Mac地址并不是网卡本身写上去的，而是应用程序提供的，只是在通常的实现中，应用程序先从网卡上得到Mac地址，每次发送的时候都用这个Mac做为源Mac而已，Windows中，网卡的Mac保存在注册表中，实际使用也是从注册表中提取的，所以只要修改注册表就可以简单的改变Mac
Win9x中修改：
打开注册表编辑器，在HKEY_LOCAL_MacHINE\SYSTEM\CurrentControlSet\Service\Class\Net\下的0000，0001，0002 Win2000/XP中的修改：同样打开注册表编辑器，HKEY_LOCAL_MACHINE\SYSTEM\
CurrentControlSet\Control\Class\4D36E970-E325-11CE-BFC1-08002BE10318 中的0000,0001,0002中的DriverDesc,如果在0000找到，就在0000下面添加字符串变量，命名为“NetworkAddress”，值为要设置的Mac地址，例如：000102030405 完成上述操作后重启就好了。
Linux下的修改：
1.必须关闭网卡设备，否则会报告系统忙，无法更改。
命令是：“ifconfig eth0 down”。
2.修改Mac地址，这一步较Windows中的修改要简单。
命令是：“ifconfig eth0 hw ether 00AABBCCDDEE”
3.重新启用网卡
“ifconfig eth0 up”网卡的Mac地址更改就完成了。
现在还有很多软件提供了修改Mac地址的功能，如：Mac2001
那么既然IP和Mac地址都可以改，那么怎么防御呢？通过简单的交换机端口绑定（端口的Mac表使用静态表项），可以在每个交换机端口只连接一台主机的情况下防止修改Mac地址的盗用，如果是三层设备还可以提供：交换机端口－IP－Mac 三者的绑定，防止修改Mac的IP盗用，这种方法更有效！还有些方法如配置交换机的VLAN，使用用户认证等，都略显复杂，再次不多浪费笔墨。
安全知识之深入了解网络中的蠕虫病毒
[ 2007-03-25 03:36:40 | 作者: sun ]
蠕虫源起
提到蠕虫，大家都不会陌生，这些自然界中的低等生物以农作物为食，给人类带来经济损失。但是，如果说计算机中也有这样一种名为“蠕虫”的东西存在，同样也给人类带来严重经济损失，你也许会觉得这是天方夜谭，虫子怎么会爬进计算机呢？
1988年11月2日，世界上第一个计算机蠕虫正式诞生。美国康乃尔大学一年级研究生莫里斯为了求证计算机程序能否在不同的计算机之间自我复制传播，他写了一段试验程序，为了程序能顺利进入另一台计算机，他写了一段破解用户口令的代码。11月2日早上5点，这段被称为“Worm”（蠕虫）的程序开始了它的旅行，它果然没有辜负莫里斯的期望：它爬进了几千台电脑，让它们死机，造成了经济损失高达9600万美元的记录。从此，“蠕虫”这个名词传开了，莫里斯也许并不知道：他在证明这个结论的同时，也打开了潘多拉魔盒。
自1988年第一个蠕虫显示出它的威力以来，越来越多的人加入了蠕虫制作阵营，他们用这种途径来证明自己的能力，或者实现一些特殊目的，于是多种多样的蠕虫诞生了。可是不管蠕虫的“行为方式”（它们进入计算机后要做的事情）有多少种，其“传播方式”却仅仅有屈指可数的几种：电子邮件、网页代码、社会工程学以及系统漏洞等。
下面，我们就来看看蠕虫进入计算机的几种主要方式。
破邮箱而出：邮件蠕虫
也许是受遗传的影响吧，最初的莫里斯蠕虫是通过邮件系统复制自身的，发展到现在，蠕虫传播的主流依然是邮件系统，不同的是，蠕虫“前辈”利用的邮件系统能够自动完成协助复制工作，而如今的邮件系统只能负责传播，要启动蠕虫必须由用户打开邮件才可以。
为什么选择邮件传播？因为这是最大的传播系统。为什么用户一打开邮件就被蠕虫撬窗入室？这要从微软的两个古老漏洞说起，它们分别是1999年11月11日的IFrame漏洞和2001年3月29日的MIME漏洞。
IFrame是一段用于往网页里放入一个小页面的HTML语言，它用来实现“框架”结构。当年有好事者测试出一个可怕的现象：往一个页面里放入多个IFrame时，框架里请求运行程序的代码就会被执行，如果有人故意做了一个执行破坏程序的页面，那后果可想而知。由于IFrame的尺寸可以自由设置，因此破坏者可以在一个页面里放入多个“看不见”的框架，并附带多个“看不见”的有害程序，浏览了那个网页的人自然就成了受害者！
和IFrame漏洞相比，MIME漏洞更加出名，它其实只是一小段用来描述信息类型的数据。浏览器通过读取它来得知接收到的数据该怎么处理，如果是文本和图片就显示出来，是程序就弹出下载确认，是音乐就直接播放。请留意最后一个类型：音乐，浏览器对它采取的动作是：播放。
要知道：音乐文件和程序文件都是一样的二进制数据，都需要解码还原数据到系统临时目录里，然后浏览器通过一个简单的文件后缀名判断来决定该用哪种方法处理它。例如用户收到一个MP3文件，MIME把它描述成音乐文件，所以浏览器解码保存这个文件到一个临时目录，而后查找调用这个文件后缀MP3对应的执行程序，这就是一次完整的工作过程；但是问题就出在这个似乎完美的步骤上，如果攻击者给用户发送一个带有EXE后缀可执行文件的邮件，并把它的MIME描述为音乐文件，这时候浏览器会把它解到临时目录，然后根据它的后缀名调用一个能打开它的应用程序——EXE后缀告诉系统，直接运行这个文件！于是这个文件就被顺利执行了，用户的机器也开始遭到破坏。正因为这样，邮件蠕虫才成了如今世界“虫害”的主要来源。靠邮件传播的蠕虫主要有SoBig、MyDoom、求职信等。相对于邮件蠕虫，利用网页传播的蠕虫手段无疑更为高明，它分为两个“门派”：传统派和脚本派。传统派使用的技术又包括两种，一种是用一个IFrame插入一个Mail框架，同样利用MIME漏洞执行蠕虫，这是直接沿用邮件蠕虫的方法；另一种是用IFrame漏洞和浏览器下载文件的漏洞来运作的，首先由一个包含特殊代码的页面去下载放在另一个网站的病毒文件，然后运行它，完成蠕虫传播。
“脚本派”蠕虫就更复杂了，它们不是可执行程序，而是一段具有破坏和自动寻找载体能力进行传播的代码。凑巧的是，Windows系统自身文件夹模板也是通过脚本运作的（由此可见脚本的强大！），于是有人把它们的用途放到了入侵方面，通过一段精心编制的脚本，这只“没有身体”（没有独立执行的程序体）的虫子就很轻松地爬进了千家万户。当然，这类蠕虫实现的功能往往比完整的蠕虫要少，因此编写者让它完成的任务一般也很简单：破坏文件。曾经大面积爆发的欢乐时光就是这样做才令人“谈虫色变”的，虽然它只是一段很简单的文件操作代码集合
细心的读者应该会有个疑问：既然网页蠕虫是通过网页传播的，而看网页的人那么多，它应该成为主流才对啊，为什么却是邮件蠕虫？
其实原因很简单：大部分蠕虫作者不可能在公共热门网站里放入自己的蠕虫框架代码。要知道，往页面里加入代码是要取得服务器管理权限的，这并不是所有人都能做得到的，这就增加了传播的局限性，因此网页蠕虫始终成不了主流。
不记得是谁第一个把网页蠕虫和社会学结合在一起了，但是当QQ第一次被迫自动发出“http://sckiss.yeah.net，你快去看看”的消息时，这一领域的大门被撞开了，“爱情森林”蠕虫的实体是躲在网页背后的EXE木马，又利用QQ把自身网址宣布出去，把这两个看似不相关的方面结合得天衣无缝！这种蠕虫的实现原理很简单：当蠕虫爬进你的机器后，它就会查找QQ进程，截获发送消息事件并且在QQ的信息里自动加入一段诱惑你的话，让你去浏览它藏身的网页而被它爬入电脑，同时成为它的又一个宣传者。显然，这种“宣传”方法成功与否，全在于蠕虫编写者的社会学和心理学，否则稍有经验的人都会知道这是大名鼎鼎的“QQ尾巴”了（图4），例如“想看XX明星绯闻去http://www.xxxxx.com”这种弱智的语言功力，如今已经不能拿来骗人了。
2003年1月，很多人特别是从事信息安全的IT人都记住了这个月，因为在这个月里，全世界的网络被大小仅为376个字节的“小虫子”打败了，直接经济损失超过数百亿美元，更重要的是：这个小蠕虫又开创了一个蠕虫里程碑，它就是“SQL蠕虫王Slammer”，世界上第一个打破常规的蠕虫。它不再像前面那些蠕虫一样安静等待别人来触发了，它要自己闯天下，它把运行的关键指向了SQL溢出漏洞，结果，它成功了：它收拾了全球13台根域名服务器中的8台，导致全球主干网络瘫痪！
“SQL蠕虫王Slammer”所做的一切似乎只为了宣布一件事情：蠕虫也可以这样写！于是这一新领域的蠕虫便迅速发展起来了，利用RPC溢出漏洞的冲击波、冲击波杀手，仓促把玩LSASS溢出漏洞的震荡波、震荡波杀手……这些反客为主的蠕虫在每一次新漏洞被公布之时迅速出现，趁火打劫地加入破坏行列，其间又有些号称“杀手”的“除害蠕虫”，帮人家把前一个蠕虫杀了，然后自己也赖着不走了，成为受害者机器里的又一条蠕虫——拔刀相助，尔后强驻？这似乎不是英雄所为。
系统漏洞蠕虫一般具备一个小型的溢出系统，它随机产生IP并尝试溢出，然后将自身复制过去。它们往往造成被感染系统性能速度迅速降低，甚至系统崩溃，属于最不受欢迎的一类虫子。
蠕虫进入电脑后，会做什么事情呢？现在已经很难下定论了，因为蠕虫的类型已经变得非常复杂，但是它们的最终目的不外乎是：偷密码资料（比如QQ尾巴）、影响用户正常使用机器（比如冲击波）、扰乱网络通讯（比如Nimda）、破坏用户机器（比如欢乐时光）、“借机杀人”（比如MyDoom、SQL蠕虫王）、发email（比如Sobig）等。
蠕虫的防治
蠕虫已经成了当前病毒的主流方式，每年由蠕虫造成的经济损失超过数亿美元，不仅如此，它们还在向威胁人类正常使用电脑的方向发展，如果再不严厉打击制造蠕虫的幕后黑手，总有一天世界网络会被这些小虫子摧毁。
由于蠕虫发展越来越壮大，它的进程也由单一文件变成多进程互相防护、DLL挂钩、文件并联等方式。普通用户要想手工清除这些蠕虫已经变得相当困难，最好的方法是预防。其实大部分蠕虫都是利用了系统漏洞进行传播的，如果用户安全意识较高，那么蠕虫就会无门可钻。专家认为：提高用户的安全防范意识，学习一点常备的电脑维护知识，远比一味跟在蠕虫后面升级杀毒软件的方法更加实际和有效！
WEB专用服务器的安全设置的实战技巧
[ 2007-03-25 03:36:25 | 作者: sun ]
IIS的相关设置：
删除默认建立的站点的虚拟目录，停止默认web站点，删除对应的文件目录c:inetpub，配置所有站点的公共设置，设置好相关的连接数限制，带宽设置以及性能设置等其他设置。配置应用程序映射，删除所有不必要的应用程序扩展，只保留asp，php，cgi，pl，aspx应用程序扩展。对于php和cgi，推荐使用isapi方式解析，用exe解析对安全和性能有所影响。用户程序调试设置发送文本错误信息给户。对于数据库，尽量采用mdb后缀，不需要更改为asp，可在IIS中设置一个mdb的扩展映射，将这个映射使用一个无关的dll文件如C:WINNTsystem32inetsrvssinc.dll来防止数据库被下载。设置IIS的日志保存目录，调整日志记录信息。设置为发送文本错误信息。修改403错误页面，将其转向到其他页，可防止一些扫描器的探测。另外为隐藏系统信息，防止telnet到80端口所泄露的系统版本信息可修改IIS的banner信息，可以使用winhex手工修改或者使用相关软件如banneredit修改。
对于用户站点所在的目录，在此说明一下，用户的FTP根目录下对应三个文件佳，wwwroot，database，logfiles，分别存放站点文件，数据库备份和该站点的日志。如果一旦发生入侵事件可对该用户站点所在目录设置具体的权限，图片所在的目录只给予列目录的权限，程序所在目录如果不需要生成文件（如生成html的程序）不给予写入权限。因为是虚拟主机平常对脚本安全没办法做到细致入微的地步，更多的只能在方法用户从脚本提升权限：
ASP的安全设置：
设置过权限和服务之后，防范asp木马还需要做以下工作，在cmd窗口运行以下命令：
regsvr32/u C:\WINNT\System32\wshom.ocx
del C:\WINNT\System32\wshom.ocx
regsvr32/u C:\WINNT\system32\shell32.dll
del C:\WINNT\system32\shell32.dll
即可将WScript.Shell, Shell.application, WScript.Network组件卸载，可有效防止asp木马通过wscript或shell.application执行命令以及使用木马查看一些系统敏感信息。另法：可取消以上文件的users用户的权限，重新启动IIS即可生效。但不推荐该方法。
另外，对于FSO由于用户程序需要使用，服务器上可以不注销掉该组件，这里只提一下FSO的防范，但并不需要在自动开通空间的虚拟商服务器上使用，只适合于手工开通的站点。可以针对需要FSO和不需要FSO的站点设置两个组，对于需要FSO的用户组给予c:winntsystem32scrrun.dll文件的执行权限，不需要的不给权限。重新启动服务器即可生效。
对于这样的设置结合上面的权限设置，你会发现海阳木马已经在这里失去了作用！
PHP的安全设置：
默认安装的php需要有以下几个注意的问题：
C:\winnt\php.ini只给予users读权限即可。在php.ini里需要做如下设置：
Safe_mode=on
register_globals = Off
allow_url_fopen = Off
display_errors = Off
magic_quotes_gpc = On [默认是on，但需检查一遍]
open_basedir =web目录
disable_functions =passthru,exec,shell_exec,system,phpinfo,get_cfg_var,popen,chmod
默认设置com.allow_dcom = true修改为false[修改前要取消掉前面的；]
MySQL安全设置：
如果服务器上启用MySQL数据库，MySQL数据库需要注意的安全设置为：
删除mysql中的所有默认用户，只保留本地root帐户，为root用户加上一个复杂的密码。赋予普通用户updatedeletealertcreatedrop权限的时候，并限定到特定的数据库，尤其要避免普通客户拥有对mysql数据库操作的权限。检查mysql.user表，取消不必要用户的shutdown_priv,relo
ad_priv,process_priv和File_priv权限，这些权限可能泄漏更多的服务器信息包括非mysql的其它信息出去。可以为mysql设置一个启动用户，该用户只对mysql目录有权限。设置安装目录的data数据库的权限(此目录存放了mysql数据库的数据信息)。对于mysql安装目录给users加上读取、列目录和执行权限。
Serv-u安全问题：
安装程序尽量采用最新版本，避免采用默认安装目录，设置好serv-u目录所在的权限，设置一个复杂的管理员密码。修改serv-u的banner信息，设置被动模式端口范围（4001—4003）在本地服务器中设置中做好相关安全设置：包括检查匿名密码，禁用反超时调度，拦截“FTP bounce”攻击和FXP，对于在30秒内连接超过3次的用户拦截10分钟。域中的设置为：要求复杂密码，目录只使用小写字母，高级中设置取消允许使用MDTM命令更改文件的日期。
更改serv-u的启动用户：在系统中新建一个用户，设置一个复杂点的密码，不属于任何组。将servu的安装目录给予该用户完全控制权限。建立一个FTP根目录，需要给予这个用户该目录完全控制权限，因为所有的ftp用户上传，删除，更改文件都是继承了该用户的权限，否则无法操作文件。另外需要给该目录以上的上级目录给该用户的读取权限，否则会在连接的时候出现530 Not logged in, home directory does not exist。比如在测试的时候ftp根目录为d:soft，必须给d盘该用户的读取权限，为了安全取消d盘其他文件夹的继承权限。而一般的使用默认的system启动就没有这些问题，因为system一般都拥有这些权限的。
数据库服务器的安全设置
对于专用的MSSQL数据库服务器，按照上文所讲的设置TCP/IP筛选和IP策略，对外只开放1433和5631端口。对于MSSQL首先需要为sa设置一个强壮的密码，使用混合身份验证,加强数据库日志的记录,审核数据库登陆事件的”成功和失败”.删除一些不需要的和危险的OLE自动存储过程(会造成企业管理器中部分功能不能使用),这些过程包括如下:
Sp_OACreate Sp_OADestroy Sp_OAGetErrorInfo Sp_OAGetProperty
Sp_OAMethod Sp_OASetProperty Sp_OAStop
去掉不需要的注册表访问过程,包括有:
Xp_regaddmultistring Xp_regdeletekey Xp_regdeletevalue
Xp_regenumvalues Xp_regread Xp_regremovemultistring
Xp_regwrite
去掉其他系统存储过程，如果认为还有威胁，当然要小心Drop这些过程，可以在测试机器上测试，保证正常的系统能完成工作，这些过程包括：
xp_cmdshell xp_dirtree xp_dropwebtask sp_addsrvrolemember
xp_makewebtask xp_runwebtask xp_subdirs sp_addlogin
sp_addextendedproc
在实例属性中选择TCP/IP协议的属性。选择隐藏 SQL Server 实例可防止对1434端口的探测,可修改默认使用的1433端口。除去数据库的guest账户把未经认可的使用者据之在外。 例外情况是master和 tempdb 数据库,因为对他们guest帐户是必需的。另外注意设置好各个数据库用户的权限，对于这些用户只给予所在数据库的一些权限。在程序中不要用sa用户去连接任何数据库。网络上有建议大家使用协议加密的，千万不要这么做，否则你只能重装MSSQL了。
入侵检测和数据备份
入侵检测工作
作为服务器的日常管理，入侵检测是一项非常重要的工作，在平常的检测过程中，主要包含日常的服务器安全例行检查和遭到入侵时的入侵检查，也就是分为在入侵进行时的安全检查和在入侵前后的安全检查。系统的安全性遵循木桶原理，木桶原理指的是：一个木桶由许多块木板组成，如果组成木桶的这些木板长短不一，那么这个木桶的最大容量不取决于长的木板，而取决于最短的那块木板。应用到安全方面也就是说系统的安全性取决于系统中最脆弱的地方，这些地方是日常的安全检测的重点所在。
日常的安全检测
日常安全检测主要针对系统的安全性，工作主要按照以下步骤进行：
1．查看服务器状态：
打开进程管理器，查看服务器性能，观察CPU和内存使用状况。查看是否有CPU和内存占用过高等异常情况。
2．检查当前进程情况
切换“任务管理器”到进程，查找有无可疑的应用程序或后台进程在运行。用进程管理器查看进程时里面会有一项taskmgr，这个是进程管理器自身的进程。如果正在运行windows更新会有一项wuauclt.exe进程。对于拿不准的进程或者说不知道是服务器上哪个应用程序开启的进程，可以在网络上搜索一下该进程名加以确定[进程知识库：http://www.dofile.com/]。通常的后门如果有进程的话，一般会取一个与系统进程类似的名称，如svch0st.exe，此时要仔细辨别[通常迷惑手段是变字母o为数字0，变字母l为数字1]
3．检查系统帐号
打开计算机管理，展开本地用户和组选项，查看组选项，查看administrators组是否添加有新帐号，检查是否有克隆帐号。
4．查看当前端口开放情况
使用activeport，查看当前的端口连接情况，尤其是注意与外部连接着的端口情况，看是否有未经允许的端口与外界在通信。如有，立即关闭该端口并记录下该端口对应的程序并记录，将该程序转移到其他目录下存放以便后来分析。打开计算机管理==》软件环境==》正在运行任务[在此处可以查看进程管理器中看不到的隐藏进程]，查看当前运行的程序，如果有不明程序，记录下该程序的位置，打开任务管理器结束该进程，对于采用了守护进程的后门等程序可尝试结束进程树，如仍然无法结束，在注册表中搜索该程序名，删除掉相关键值，切换到安全模式下删除掉相关的程序文件。
5．检查系统服务
运行services.msc，检查处于已启动状态的服务，查看是否有新加的未知服务并确定服务的用途。对于不清楚的服务打开该服务的属性，查看该服务所对应的可执行文件是什么，如果确定该文件是系统内的正常使用的文件，可粗略放过。查看是否有其他正常开放服务依存在该服务上，如果有，可以粗略的放过。如果无法确定该执行文件是否是系统内正常文件并且没有其他正常开放服务依存在该服务上，可暂时停止掉该服务，然后测试下各种应用是否正常。对于一些后门由于采用了hook系统API技术，添加的服务项目在服务管理器中是无法看到的，这时需要打开注册表中的HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices项进行查找，通过查看各服务的名称、对应的执行文件来确定是否是后门、木马程序等。
6．查看相关日志
运行eventvwr.msc，粗略检查系统中的相关日志记录。在查看时在对应的日志记录上点右键选“属性”，在“筛选器”中设置一个日志筛选器，只选择错误、警告，查看日志的来源和具体描述信息。对于出现的错误如能在服务器常见故障排除中找到解决办法则依照该办法处理该问题，如果无解决办法则记录下该问题，详细记录下事件来源、ID号和具体描述信息，以便找到问题解决的办法。
7．检查系统文件
主要检查系统盘的exe和dll文件，建议系统安装完毕之后用dir *.exe /s >1.txt将C盘所有的exe文件列表保存下来，然后每次检查的时候再用该命令生成一份当时的列表，用fc比较两个文件，同样如此针对dll文件做相关检查。需要注意的是打补丁或者安装软件后重新生成一次原始列表。检查相关系统文件是否被替换或系统中是否被安装了木马后门等恶意程序。必要时可运行一次杀毒程序对系统盘进行一次扫描处理。
8．检查安全策略是否更改
打开本地连接的属性，查看“常规”中是否只勾选了“TCP/IP协议”，打开“TCP/IP”协议设置，点“高级”==》“选项”，查看“IP安全机制”是否是设定的IP策略，查看“TCP/IP”筛选允许的端口有没有被更改。打开“管理工具”=》“本地安全策略”，查看目前使用的IP安全策略是否发生更改。
9．检查目录权限
重点查看系统目录和重要的应用程序权限是否被更改。需要查看的目录有c:;c:winnt;
C:winntsystem32;c:winntsystem32inetsrv;c:winntsystem32inetsrvdata;c:documents and
Settings;然后再检查serv-u安装目录，查看这些目录的权限是否做过变动。检查system32下的一些重要文件是否更改过权限，包括：cmd，net，ftp，tftp，cacls等文件。
10．检查启动项
主要检查当前的开机自启动程序。可以使用AReporter来检查开机自启动的程序。
发现入侵时的应对措施
对于即时发现的入侵事件，以下情况针对系统已遭受到破坏情况下的处理，系统未遭受到破坏或暂时无法察觉到破坏先按照上述的检查步骤检查一遍后再酌情考虑以下措施。系统遭受到破坏后应立即采取以下措施：
视情况严重决定处理的方式，是通过远程处理还是通过实地处理。如情况严重建议采用实地处理。如采用实地处理，在发现入侵的第一时间通知机房关闭服务器，待处理人员赶到机房时断开网线，再进入系统进行检查。如采用远程处理，如情况严重第一时间停止所有应用服务，更改IP策略为只允许远程管理端口进行连接然后重新启动服务器，重新启动之后再远程连接上去进行处理，重启前先用AReporter检查开机自启动的程序。然后再进行安全检查。
以下处理措施针对用户站点被入侵但未危及系统的情况，如果用户要求加强自己站点的安全性，可按如下方式加固用户站点的安全：
站点根目录----只给administrator读取权限，权限继承下去。
wwwroot ------给web用户读取、写入权限。高级里面有删除子文件夹和文件权限
logfiles------给system写入权限。
database------给web用户读取、写入权限。高级里面没有删除子文件夹和文件权限
如需要进一步修改，可针对用户站点的特性对于普通文件存放目录如html、js、图片文件夹只给读取权限，对asp等脚本文件给予上表中的权限。另外查看该用户站点对应的安全日志，找出漏洞原因，协助用户修补程序漏洞。
数据备份和数据恢复
数据备份工作大致如下：
1． 每月备份一次系统数据。
2． 备份系统后的两周单独备份一次应用程序数据，主要包括IIS、serv-u、数据库等数据。
3． 确保备份数据的安全，并分类放置这些数据备份。因基本上采用的都是全备份方法，对于数据的保留周期可以只保留该次备份和上次备份数据两份即可。
数据恢复工作：
1．系统崩溃或遇到其他不可恢复系统正常状态情况时，先对上次系统备份后发生的一些更改事件如应用程序、安全策略等的设置做好备份，恢复完系统后再恢复这些更改。
2．应用程序等出错采用最近一次的备份数据恢复相关内容。
服务器性能优化
1 服务器性能优化
系统性能优化
整理系统空间:
删除系统备份文件，删除驱动备份，刪除不用的輸入法，刪除系统的帮助文件，卸载不常用的组件。最小化C盘文件。
性能优化：
删除多余的开机自动运行程序；减少预读取，减少进度条等待时间；让系统自动关闭停止响应的程序；禁用错误报告,但在发生严重错误时通知；关闭自动更新,改为手动更新计算机；启用硬件和DirectX加速；禁用关机事件跟踪；禁用配置服务器向导； 减少开机磁盘扫描等待时间；将处理器计划和内存使用都调到应用程序上；调整虚拟内存；内存优化；修改cpu的二级缓存；修改磁盘缓存。
IIS性能优化
1、调整IIS高速缓存
HKEY_LOCAL_MACHINE\ System\CurrentControlSet\Services\InetInfoParametersMemoryCacheSize
MemoryCacheSize的范围是从0道4GB，缺省值为3072000（3MB）。一般来说此值最小应设为服务器内存的10%。IIS通过高速缓存系统句柄、目录列表以及其他常用数据的值来提高系统的性能。这个参数指明了分配给高速缓存的内存大小。如果该值为0，那就意味着“不进行任何高速缓存”。在这种情况下系统的性能可能会降低。如果你的服务器网络通讯繁忙，并且有足够的内存空间，可以考虑增大该值。必须注意的是修改注册表后，需要重新启动才能使新值生效。
2．不要关闭系统服务: “Protected Storage”
3．对访问流量进行限制
A.对站点访问人数进行限制
B.站点带宽限制。保持HTTP连接。
C.进程限制, 输入CPU的耗用百分比
4．提高IIS的处理效率
应用程序设置”处的“应用程序保护”下拉按钮，从弹出的下拉列表中，选中“低（IIS进程）”选项,IIS服务器处理程序的效率可以提高20%左右。但此设置会带来严重的安全问题，不值得推荐。
5．将IIS服务器设置为独立的服务器
A.提高硬件配置来优化IIS性能硬盘：硬盘空间被NT和IIS服务以如下两种方式使用：一种是简单地存储数据；另一种是作为虚拟内存使用。如果使用Ultra2的SCSI硬盘，可以显著提高IIS的性能。
B.可以把NT服务器的页交换文件分布到多个物理磁盘上，注意是多个“物理磁盘”，分布在多个分区上是无效的。另外，不要将页交换文件放在与WIndows NT引导区相同的分区中。
C.使用磁盘镜像或磁盘带区集可以提高磁盘的读取性能。
D.最好把所有的数据都储存在一个单独的分区里。然后定期运行磁盘碎片整理程序以保证在存储Web服务器数据的分区中没有碎片。使用NTFS有助于减少碎片。推荐使用Norton的Speeddisk，可以很快的整理NTFS分区。
6．起用HTTP压缩
HTTP压缩是在Web服务器和浏览器间传输压缩文本内容的方法。HTTP压缩采用通用的压缩算法如gzip等压缩HTML、JavaScript或CSS文件。可使用pipeboost进行设置。
7．起用资源回收
使用IIS5Recycle定时回收进程资源。
服务器常见故障排除
1． ASP“请求的资源正在使用中”的解决办法：
该问题一般与杀毒软件有关，在服务器上安装个人版杀毒软件所致。出现这种错误可以通过卸载杀毒软件解决，也可尝试重新注册vbscript.dll和jscript.dll来解决，在命令行下运行：regsvr32 vbscript.dll 和regsvr32 jscript.dll即可。
2．ASP500错误解决办法：
首先确定该问题是否是单一站点存在还是所有站点存在，如果是单一站点存在该问题，则是网站程序的问题，可打开该站点的错误提示，把IE的“显示友好HTTP错误”信息取消，查看具体错误信息，然后对应修改相关程序。如是所有站点存在该问题，并且HTML页面没有出现该问题，相关日志出现“服务器无法加载应用程序‘/LM/W3SVC/1/ROOT‘。错误是 ‘不支持此接口‘”。那十有八九是服务器系统中的ASP相关组件出现了问题，重新启动IIS服务，尝试是否可以解决该问题，无法解决重新启动系统尝试是否可解决该问题，如无法解决可重新修复一下ASP组件：
首先删除com组件中的关于IIS的三个东西，需要先将属性里的高级中“禁止删除”的勾选取消。
命令行中，输入“cd winnt\system32\inetsrv”字符串命令，单击回车键后，再执行“rundll32 wamreg.dll,CreateIISPackage”命令，接着再依次执行“regsvr32 asptxn.dll”命令、“iisreset”命令，最后重新启动一下计算机操作系统，这样IIS服务器就能重新正确响应ASP脚本页面了。
3. IIS出现105错误：
在系统日志中“服务器无法注册管理工具发现信息。管理工具可能无法看到此服务器” 来源：w3svc ID：105解决办法：
在网络连接中重新安装netbios协议即可，安装完成之后取消掉勾选。
4．MySQL服务无法启动【错误代码1067】的解决方法
启动MySQL服务时都会在中途报错！内容为：在 本地计算机 无法启动MySQL服务 错误1067：进程意外中止。
解决方法：查找Windows目录下的my.ini文件，编辑内容（如果没有该文件，则新建一个），至少包含
basedir，datadir这两个基本的配置。
[mysqld]
# set basedir to installation path, e.g., c:/mysql
# 设置为MYSQL的安装目录
basedir=D:/www/WebServer/MySQL
# set datadir to location of data directory,
# e.g., c:/mysql/data or d:/mydata/data
# 设置为MYSQL的数据目录
datadir=D:/www/WebServer/MySQL/data
注意，我在更改系统的temp目录之后没有对更改后的目录给予system用户的权限也出现过该问题。
5．DllHotst进程消耗cpu 100%的问题
服务器正常CPU消耗应该在75%以下，而且CPU消耗应该是上下起伏的，出现这种问题的服务器，CPU会突然一直处100%的水平，而且不会下降。
查看任务管理器，可以发现是DLLHOST.EXE消耗了所有的CPU空闲时间，管理员在这种情况下，只好重新启动IIS服务，奇怪的是，重新启动IIS服务后一切正常，但可能过了一段时间后，问题又再次出现了。
直接原因：
有一个或多个ACCESS数据库在多次读写过程中损坏， MDAC系统在写入这个损坏的ACCESS文件时，ASP线程处于BLOCK状态，结果其他线程只能等待，IIS被死锁了，全部的CPU时间都消耗在DLLHOST中。
解决办法：
把数据库下载到本地，然后用ACCESS打开，进行修复操作。再上传到网站。如果还不行，只有新建一个ACCESS数据库，再从原来的数据库中导入所有表和记录。然后把新数据库上传到服务器上。
6．Windows installer出错：
在安装软件的时候出现“不能访问windows installer 服务。可能你在安全模式下运行 windows ，或者windows installer 没有正确的安装。请和你的支持人员联系以获得帮助” 如果试图重新安装InstMsiW.exe，提示：“指定的服务已存在”。
解决办法：
关于installer的错误，可能还有其他错误提示，可尝试以下解决办法：
首先确认是否是权限方面的问题，提示信息会提供相关信息，如果是权限问题，给予winnt目录everyone权限即可[安装完把权限改回来即可]。如果提示的是上述信息，可以尝试以下解决方法：运行“msiexec /unregserver”卸载Windows Installer服务，如果无法卸载可使用SRVINSTW进行卸载，然后下载windows installer的安装程序[地址：http://www.newhua.com/cfan/200410/instmsiw.exe]，用winrar解压该文件，在解压缩出来的文件夹里面找到msi.inf文件，右键单击选择“安装”，重新启动系统后运行“msiexec /regserver”重新注册Windows Installer服务。
服务器管理
服务器日常管理安排
服务器管理工作必须规范严谨，尤其在不是只有一位管理员的时候，日常管理工作包括：
1．服务器的定时重启。每台服务器保证每周重新启动一次。重新启动之后要进行复查，确认服务器已经启动了，确认服务器上的各项服务均恢复正常。对于没有启动起来或服务未能及时恢复的情况要采取相应措施。前者可请求托管商的相关工作人员帮忙手工重新启动，必要时可要求让连接上显示器确认是否已启动起来；后者需要远程登陆上服务器进行原因查找并根据原因尝试恢复服务。
2．服务器的安全、性能检查，每服务器至少保证每周登陆两次粗略检查两次。每次检查的结果要求进行登记在册。如需要使用一些工具进行检查，可直接在e:tools中查找到相关工具。对于临时需要从网络上找的工具，首先将IE的安全级别调整到高，然后在网络上进行查找，不要去任何不明站点下载，尽量选择如华军、天空等大型网站进行下载，下载后确保当前杀毒软件已升级到最新版本，升级完毕后对下载的软件进行一次杀毒，确认正常后方能使用。对于下载的新工具对以后维护需要使用的话，将该工具保存到e:tools下，并在该目录中的readme.txt文件中做好相应记录，记录该工具的名称，功能，使用方法。并且在该文件夹中的rar文件夹中保留一份该工具的winrar压缩文件备份，设置解压密码。
3．服务器的数据备份工作，每服务器至少保证每月备份一次系统数据，系统备份采用ghost方式，对于ghost文件固定存放在e:ghost文件目录下，文件名以备份的日期命名，如0824.gho，每服务器至少保证每两周备份一次应用程序数据，每服务器至少保证每月备份一次用户数据，备份的数据固定存放在e:databak文件夹，针对各种数据再建立对应的子文件夹，如serv-u用户数据放在该文件夹下的servu文件夹下，iis站点数据存放在该文件夹下的iis文件夹下。
4．服务器的监控工作，每天正常工作期间必须保证监视所有服务器状态，一旦发现服务停止要及时采取相应措施。对于发现服务停止，首先检查该服务器上同类型的服务是否中断，如所有同类型的服务都已中断及时登陆服务器查看相关原因并针对该原因尝试重新开启对应服务。
5．服务器的相关日志操作，每服务器保证每月对相关日志进行一次清理，清理前对应的各项日志如应用程序日志、安全日志、系统日志等都应选择“保存日志”。所有的日志文件统一保存在e:logs下，应用程序日志保存在e:logsapp中，系统程序日志保存在e:logssys中，安全日志保存在e:logssec中。对于另外其他一些应用程序的日志，也按照这个方式进行处理，如ftp的日志保存在e:logsftp中。所有的备份日志文件都以备份的日期命名，如20050824.evt。对于不是单文件形式的日志，在对应的记录位置下建立一个以日期命名的文件夹，将这些文件存放在该文件夹中。
6．服务器的补丁修补、应用程序更新工作，对于新出的漏洞补丁，应用程序方面的安全更新一定要在发现的第一时间给每服务器打上应用程序的补丁。
7．服务器的隐患检查工作，主要包括安全隐患、性能等方面。每服务器必须保证每月重点的单独检查一次。每次的检查结果必须做好记录。
8．不定时的相关工作，每服务器由于应用软件更改或其他某原因需要安装新的应用程序或卸载应用程序等操作必须知会所有管理员。
9．定期的管理密码更改工作，每服务器保证至少每两个月更改一次密码，对于SQL服务器由于如果SQL采用混合验证更改系统管理员密码会影响数据库的使用则不予修改。
相关建议：对每服务器设立一个服务器管理记载，管理员每次登陆系统都应该在此中进行详细的记录，共需要记录以下几项：登入时间，退出时间，登入时服务器状态[包含不明进程记录，端口连接状态，系统帐号状态，内存/CPU状态]，详细操作情况记录[详细记录下管理员登陆系统后的每一步操作]。无论是远程登陆操作还是物理接触操作都要进行记录，然后将这些记录按照各服务器归档，按时间顺序整理好文档。
对于数据备份、服务器定时重启等操作建议将服务器分组，例如分成四组，每月的周六晚备份一组服务器的数据，每周的某一天定时去重启一组的服务器，这样对于工作的开展比较方便，这些属于固定性的工作。另外有些工作可以同步进行，如每月一次的数据备份、安全检查和管理员密码修改工作，先进行数据备份，然后进行安全检查，再修改密码。对于需要的即时操作如服务器补丁程序的安装、服务器不定时的故障维护等工作，这些属于即时性的工作，但是原则上即时性的工作不能影响固定工作的安排。
管理员日常注意事项
在服务器管理过程中，管理员需要注意以下事项：
1．对自己的每一次操作应做好详细记录，具体见上述建议，以便于后来检查。
2．努力提高自身水平，加强学习。
禁用Scripting Host 防范网页的黑手
[ 2007-03-25 03:36:09 | 作者: sun ]
来自网络的攻击手段越来越多了，一些恶意网页会利用软件或系统操作平台等的安全漏洞，通过执行嵌入在网页HTML超文本标记语言内的Java Applet小应用程序、javaScript脚本语言程序、ActiveX软件部件交互技术支持可自动执行的代码程序，
强行修改用户操作系统的注册表及系统实用配置程序，从而达到非法控制系统资源、破坏数据、格式化硬盘、感染木马程序的目的。
目前来自网页黑手的攻击分为两种：一种是通过编辑的脚本程序修改IE浏览器；另外一种是直接破坏Windows系统。前者一般会修改IE浏览器的标题栏、默认主页等，关于此方面的文章比较多。下面就来介绍一些针对破坏Windows系统的网页黑手的防范方法。
黑手之一 格式化硬盘
这是一种非常危险的网页黑手，它会通过IE执行ActiveX部件并调用Format.com或Deltree.exe将硬盘格式化或者删除文件夹。在感染此类破坏程序后，会出现一个信息提示框，提示：“当前的页面含有不完全的ActiveX，可能会对你造成危害，是否执行？yes，no”，如果单击“是”，那么硬盘就会被迅速格式化，而这一切都是在后台运行的，不易被察觉。
防范的方法是：将本机的Format.com或Deltree.exe命令改名字。另外，对于莫名出现的提示问题，不要轻易回答“是”。可以按下［Ctrl+Alt+Del］组合键在弹出的“关闭程序”窗口中，将不能确认的进程中止执行。
黑手之二 耗尽系统资源
这种网页黑手会执行一段Java Script代码并产生一个死循环，以至不断消耗本机系统资源，最后导致系统死机。它们会出现在一些恶意网站或者邮件的附件中，只要打开附件程序后，屏幕上就会出现无数个IE窗口，最后只有重新启动计算机。
防范的方法是：不要轻易进入不了解的网站，也不要随便打开陌生人发来的E-mail中的附件，比如扩展名是VBS、HTML、HTM、DOC、EXE的文件。
黑手之三 非法读取文件
此类黑手会通过对ActiveX、JavaScript和WebBrowser control的调用来达到对本地文件进行读取。它还可以利用浏览器漏洞实现对本地文件的读取，避免此类攻击可以关闭禁用浏览器的JavaScript功能。
黑手之四 获取控制权限
此类黑手会利用IE执行Actives时候发生，虽然说IE提供对于“下载已签名的ActiveX控件”进行提示的功能，但是恶意攻击代码会绕过IE，在无需提示的情况下下载和执行ActiveX控件程序，而这时恶意攻击者就会取得对系统的控制权限。如果要屏蔽此类黑手，可以打开注册表编辑器，然后展开如下分支：
解决方法是在注册表分支HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerActiveX Compatibility 下为Active Setup controls创建一个基于CLSID的新键值 {6E449683_C509_11CF_AAFA_00AA00 B6015C}，然后在新键值下创建一个REG_DWORD 类型的键Compatibility，并设定键值为0x00000400即可。
对于来自网上的种种攻击，在提高防范意识的同时，还需做好预防工作。
1.设定安全级别
鉴于很多攻击是通过包含有恶意脚本实现攻击，可以提高IE的级别。在IE中执行“工具/Internet选项”命令，然后选择“安全”选项卡，选择“Internet”后单击［自定义级别］按钮，在“安全设置”对话框中，将“ActiveX控件和插件”、“脚本”中的相关选项全部选择“禁用”，另外设定安全级别为“高”。需要注意的是，如果选择了“禁用”，一些需要使用ActiveX和脚本的网站可能无法正常显示。
2.过滤指定网页
对于一些包含有恶意代码的网页，可以将其屏蔽，执行“工具/Internet选项”命令，选择内容选项卡，在“分级审查”中单击［启用］按钮，打开“分级审查”对话框，选择“许可站点”选项卡，输入需要屏蔽网址，然后单击［从不］按钮，再单击［确定］按钮。 3.卸载或升级WSH
有些利用VBScript编制的病毒、蠕虫病毒，比如 “I LOVE YOU”和“Newlove”，它们都包含了一个以 VBS为后缀名的附件，打开附件后，用户就会被感染。这些病毒会利用Windows内嵌的 Windows Scripting Host 即WSH进行启动和运行。也就是说，如果将WSH禁用，隐藏在VB脚本中的病毒就无法被激活了。
在Windows 98中禁用WSH，打开“添加/删除”程序，选择“Windows 设置/附件”，并单击“详细资料”，取消“Windows Scripting Host”选项，完成后单击［确定］按钮即可。
在Windows 2000中禁用WSH的方法是，双击“我的电脑”图标，然后执行“工具/文件夹选项”命令，选择“文件类型”选项卡，找到“VBS VBScript Script File”选项，并单击［删除］按钮，最后单击［确定］即可。
另外，还可以升级WSH 5.6，IE浏览器可以被恶意脚本修改，就是因为IE 5.5以前版本中的WSH允许攻击者利用JavaScript中的Getobject函数以及htmlfilr ActiveX对象读取浏览者的注册表，可以在http://www.microsoft.com/下载最新版本的WSH。
4.禁用远程注册表服务
在Windows 2000/XP中，可以点击“控制面板/管理工具/服务”，用鼠标右键单击“Remote Registry”，然后在弹出的快捷方式中选择“属性”命令，在“常规”选项卡中单击［停止］按钮，这样可以拦截部分恶意脚本代码。
5.安装防火墙和杀毒软件
安装防火墙和杀毒软件可以拦截部分恶意代码程序，比如可以安装瑞星杀毒软件。
种植木马的方法及防范策略
[ 2007-03-25 03:35:57 | 作者: sun ]
相信很多朋友都听说过木马程序，总觉得它很神秘、很高难，但事实上随着木马软件的智能化，很多骇客都能轻松达到攻击的目的。今天，笔者就以最新的一款木马程序——黑洞2004，从种植、使用、隐藏、防范四个方面来为网络爱好者介绍一下木马的特性。需要提醒大家的是，在使用木马程序的时候，请先关闭系统中的病毒防火墙，因为杀毒软件会把木马作为病毒的一种进行查杀。
操作步骤:
一、种植木马
现在网络上流行的木马基本上都采用的是C/S 结构（客户端/服务端）。你要使用木马控制对方的电脑，首先需要在对方的的电脑中种植并运行服务端程序，然后运行本地电脑中的客户端程序对对方电脑进行连接进而控制对方电脑。
为了避免不熟悉木马的用户误运行服务端，现在流行的木马都没有提供单独的服务端程序，而是通过用户自己设置来生成服务端，黑洞2004也是这样。首先运行黑洞2004，点击“功能/生成服务端”命令，弹出“服务端配置”界面。由于黑洞2004采用了反弹技术（请参加小知识），首先单击旁边的“查看”按钮，在弹出的窗口中设置新的域名，输入你事先申请空间的域名和密码，单击“域名注册”，在下面的窗口中会反映出注册的情况。域名注册成功以后，返回“服务端配置”界面，填入刚刚申请的域名，以及“上线显示名称”、“注册表启动名称”等项目。为了迷惑他人，可以点“更改服务端图标”按钮为服务端选择一个图标。所有的设置都完成后，点击“生成EXE型服务端”就生成了一个服务端。在生成服务端的同时，软件会自动使用UPX为服务端进行压缩，对服务端起到隐藏保护的作用。
服务端生成以后，下一步要做的是将服务端植入别人的电脑？常见的方法有，通过系统或者软件的漏洞入侵别人的电脑把木马的服务端植入其的电脑；或者通过Email夹带，把服务端作为附件寄给对方；以及把服务端进行伪装后放到自己的共享文件夹，通过P2P软件（比如PP点点通、百宝等），让网友在毫无防范中下载并运行服务端程序。
由于本文主要面对普通的网络爱好者，所以就使用较为简单的Email夹带，为大家进行讲解。我们使用大家经常会看到的Flash动画为例，建立一个文件夹命名为“好看的动画”，在该文件夹里边再建立文件夹“动画.files”，将木马服务端软件放到该文件夹中假设名称为“abc.exe”，再在该文件夹内建立flash文件，在flash文件的第1帧输入文字“您的播放插件不全，单击下边的按钮，再单击打开按钮安装插件”，新建一个按钮组件，将其拖到舞台中，打开动作面板，在里边输入“on (press) { getURL("动画.files/abc.exe"); }”，表示当单击该按钮时执行abc这个文件。在文件夹“好看的动画”中新建一个网页文件命名为“动画.htm”，将刚才制作的动画放到该网页中。看出门道了吗？平常你下载的网站通常就是一个.html文件和一个结尾为.files的文件夹，我们这么构造的原因也是用来迷惑打开者，毕竟没有几个人会去翻.files文件夹。现在我们就可以撰写一封新邮件了，将文件夹“好看的动画”压缩成一个文件，放到邮件的附件中，再编写一个诱人的主题。只要对方深信不疑的运行它，并重新启动系统，服务端就种植成功了。
二、使用木马
成功的给别人植入木马服务端后，就需要耐心等待服务端上线。由于黑洞2004采用了反连接技术，所以服务端上线后会自动和客户端进行连接，这时，我们就可以操控客户端对服务端进行远程控制。在黑洞2004下面的列表中，随便选择一台已经上线的电脑，然后通过上面的命令按钮就可以对这台电脑进行控制。下面就简单的介绍一下这些命令的意义。
文件管理：服务端上线以后，你可以通过“文件管理”命令对服务端电脑中的文件进行下载、新建、重命名、删除等操作。可以通过鼠标直接把文件或文件夹拖放到目标文件夹，并且支持断点传输。简单吧？
进程管理：查看、刷新、关闭对方的进程，如果发现有杀毒软件或者防火墙，就可以关闭相应的进程，达到保护服务器端程序的目的。
窗口管理：管理服务端电脑的程序窗口，你可以使对方窗口中的程序最大化、最小化、正常关闭等操作，这样就比进程管理更灵活。你可以搞很多恶作剧，比如让对方的某个窗口不停的最大化和最小化。
视频监控和语音监听：如果远程服务端电脑安装有USB摄像头，那么可以通过它来获取图像，并可直接保存为Media Play可以直接播放的Mpeg文件；需要对方有麦克风的话，还可以听到他们的谈话，恐怖吧？
除了上面介绍的这些功能以外，还包括键盘记录、重启关机、远程卸载、抓屏查看密码等功能，操作都非常简单，明白了吧？做骇客其实很容易。
三、隐藏
随着杀毒软件病毒库的升级，木马会很快被杀毒软件查杀，所以为了使木马服务端辟开杀毒软件的查杀，长时间的隐藏在别人的电脑中，在木马为黑客提供几种可行的办法。
1.木马的自身保护
就像前面提到的，黑洞2004在生成服务端的时候，用户可以更换图标，并使用软件UPX对服务端自动进行压缩隐藏。
2.捆绑服务端
用户通过使用文件捆绑器把木马服务端和正常的文件捆绑在一起，达到欺骗对方的目的。文件捆绑器有广外文件捆绑器2002、万能文件捆绑器、exeBinder、Exe Bundle等。
3.制做自己的服务端
上面提到的这些方法虽然能一时瞒过杀毒软件，但最终还是不能逃脱杀毒软件的查杀，所以若能对现有的木马进行伪装，让杀毒软件无法辨别，则是个治本的方法。可以通过使用压缩EXE和DLL文件的压缩软件对服务端进行加壳保护。例如Step1中的UPX就是这样一款压缩软件，但默认该软件是按照自身的设置对服务端压缩的，因此得出的结果都相同，很难长时间躲过杀毒软件；而自己对服务端进行压缩，就可以选择不同的选项，压缩出与众不同的服务端来，使杀毒软件很难判断。下面我就以冰河为例，为大家简单的讲解一下脱壳（解压）、加壳（压缩）的过程。
如果我们用杀毒软件对冰河进行查杀，一定会发现2个病毒，一个是冰河的客户端，另一个是服务端。使用软件“PEiD”查看软件的服务端是否已经被作者加壳。
现在，我们就需要对软件进行脱壳，也就是一种解压的过程。这里我使用了“UPXUnpack”，选择需要的文件后，点击“解压缩”就开始执行脱壳。
脱壳完成后，我们需要为服务端加一个新壳，加壳的软件很多，比如：ASPack、ASProtect、UPXShell、Petite等。这里以“ASPack”为例，点击“打开”按钮，选择刚刚脱壳的服务端程序，选择完成后ASPack会自动为服务端进行加壳。再次用杀毒软件对这个服务端进行查杀，发现其已经不能识别判断了。如果你的杀毒软件依旧可以查杀，你还可以使用多个软件对服务端进行多次加壳。笔者在使用Petite和ASPack对服务端进行2次加壳后，试用了多种杀毒软件都没有扫描出来。现在网络中流行的很多XX版冰河，就是网友通过对服务端进行修改并重新加壳后制做出来的。
四、防范
防范重于治疗，在我们的电脑还没有中木马前，我们需要做很多必要的工作，比如：安装杀毒软件和网络防火墙；及时更新病毒库以及系统的安全补丁；定时备份硬盘上的文件；不要运行来路不明的软件和打开来路不明的邮件。
最后笔者要特别提醒大家，木马除了拥有强大的远程控制功能外，还包括极强的破坏性。我们学习它，只是为了了解它的技术与方法，而不是用于盗窃密码等破坏行为，希望大家好自为之。
小知识：反弹技术，该技术解决了传统的远程控制软件不能访问装有防火墙和控制局域网内部的远程计算机的难题。反弹端口型软件的原理是，客户端首先登录到FTP服务器，编辑在木马软件中预先设置的主页空间上面的一个文件，并打开端口监听，等待服务端的连接，服务端定期用HTTP协议读取这个文件的内容，当发现是客户端让自己开始连接时，就主动连接，如此就可完成连接工作。因此在互联网上可以访问到局域网里通过 NAT （透明代理）代理上网的电脑，并且可以穿过防火墙。与传统的远程控制软件相反，反弹端口型软件的服务端会主动连接客户端，客户端的监听端口一般开为80（即用于网页浏览的端口），这样，即使用户在命令提示符下使用“netstat -a”命令检查自己的端口，发现的也是类似“TCPUserIP:3015ControllerIP：httpESTABLISHED”的情况，稍微疏忽一点你就会以为是自己在浏览网页，而防火墙也会同样这么认为的。于是，与一般的软件相反，反弹端口型软件的服务端主动连接客户端，这样就可以轻易的突破防火墙的限制
操作步骤:
一、种植木马
现在网络上流行的木马基本上都采用的是C/S 结构（客户端/服务端）。你要使用木马控制对方的电脑，首先需要在对方的的电脑中种植并运行服务端程序，然后运行本地电脑中的客户端程序对对方电脑进行连接进而控制对方电脑。
为了避免不熟悉木马的用户误运行服务端，现在流行的木马都没有提供单独的服务端程序，而是通过用户自己设置来生成服务端，黑洞2004也是这样。首先运行黑洞2004，点击“功能/生成服务端”命令，弹出“服务端配置”界面。由于黑洞2004采用了反弹技术（请参加小知识），首先单击旁边的“查看”按钮，在弹出的窗口中设置新的域名，输入你事先申请空间的域名和密码，单击“域名注册”，在下面的窗口中会反映出注册的情况。域名注册成功以后，返回“服务端配置”界面，填入刚刚申请的域名，以及“上线显示名称”、“注册表启动名称”等项目。为了迷惑他人，可以点“更改服务端图标”按钮为服务端选择一个图标。所有的设置都完成后，点击“生成EXE型服务端”就生成了一个服务端。在生成服务端的同时，软件会自动使用UPX为服务端进行压缩，对服务端起到隐藏保护的作用。
服务端生成以后，下一步要做的是将服务端植入别人的电脑？常见的方法有，通过系统或者软件的漏洞入侵别人的电脑把木马的服务端植入其的电脑；或者通过Email夹带，把服务端作为附件寄给对方；以及把服务端进行伪装后放到自己的共享文件夹，通过P2P软件（比如PP点点通、百宝等），让网友在毫无防范中下载并运行服务端程序。
由于本文主要面对普通的网络爱好者，所以就使用较为简单的Email夹带，为大家进行讲解。我们使用大家经常会看到的Flash动画为例，建立一个文件夹命名为“好看的动画”，在该文件夹里边再建立文件夹“动画.files”，将木马服务端软件放到该文件夹中假设名称为“abc.exe”，再在该文件夹内建立flash文件，在flash文件的第1帧输入文字“您的播放插件不全，单击下边的按钮，再单击打开按钮安装插件”，新建一个按钮组件，将其拖到舞台中，打开动作面板，在里边输入“on (press) { getURL("动画.files/abc.exe"); }”，表示当单击该按钮时执行abc这个文件。在文件夹“好看的动画”中新建一个网页文件命名为“动画.htm”，将刚才制作的动画放到该网页中。看出门道了吗？平常你下载的网站通常就是一个.html文件和一个结尾为.files的文件夹，我们这么构造的原因也是用来迷惑打开者，毕竟没有几个人会去翻.files文件夹。现在我们就可以撰写一封新邮件了，将文件夹“好看的动画”压缩成一个文件，放到邮件的附件中，再编写一个诱人的主题。只要对方深信不疑的运行它，并重新启动系统，服务端就种植成功了。
二、使用木马
成功的给别人植入木马服务端后，就需要耐心等待服务端上线。由于黑洞2004采用了反连接技术，所以服务端上线后会自动和客户端进行连接，这时，我们就可以操控客户端对服务端进行远程控制。在黑洞2004下面的列表中，随便选择一台已经上线的电脑，然后通过上面的命令按钮就可以对这台电脑进行控制。下面就简单的介绍一下这些命令的意义。
文件管理：服务端上线以后，你可以通过“文件管理”命令对服务端电脑中的文件进行下载、新建、重命名、删除等操作。可以通过鼠标直接把文件或文件夹拖放到目标文件夹，并且支持断点传输。简单吧？
进程管理：查看、刷新、关闭对方的进程，如果发现有杀毒软件或者防火墙，就可以关闭相应的进程，达到保护服务器端程序的目的。
窗口管理：管理服务端电脑的程序窗口，你可以使对方窗口中的程序最大化、最小化、正常关闭等操作，这样就比进程管理更灵活。你可以搞很多恶作剧，比如让对方的某个窗口不停的最大化和最小化。
视频监控和语音监听：如果远程服务端电脑安装有USB摄像头，那么可以通过它来获取图像，并可直接保存为Media Play可以直接播放的Mpeg文件；需要对方有麦克风的话，还可以听到他们的谈话，恐怖吧？
除了上面介绍的这些功能以外，还包括键盘记录、重启关机、远程卸载、抓屏查看密码等功能，操作都非常简单，明白了吧？做骇客其实很容易。
三、隐藏
随着杀毒软件病毒库的升级，木马会很快被杀毒软件查杀，所以为了使木马服务端辟开杀毒软件的查杀，长时间的隐藏在别人的电脑中，在木马为黑客提供几种可行的办法。
1.木马的自身保护
就像前面提到的，黑洞2004在生成服务端的时候，用户可以更换图标，并使用软件UPX对服务端自动进行压缩隐藏。
2.捆绑服务端
用户通过使用文件捆绑器把木马服务端和正常的文件捆绑在一起，达到欺骗对方的目的。文件捆绑器有广外文件捆绑器2002、万能文件捆绑器、exeBinder、Exe Bundle等。
3.制做自己的服务端
上面提到的这些方法虽然能一时瞒过杀毒软件，但最终还是不能逃脱杀毒软件的查杀，所以若能对现有的木马进行伪装，让杀毒软件无法辨别，则是个治本的方法。可以通过使用压缩EXE和DLL文件的压缩软件对服务端进行加壳保护。例如Step1中的UPX就是这样一款压缩软件，但默认该软件是按照自身的设置对服务端压缩的，因此得出的结果都相同，很难长时间躲过杀毒软件；而自己对服务端进行压缩，就可以选择不同的选项，压缩出与众不同的服务端来，使杀毒软件很难判断。下面我就以冰河为例，为大家简单的讲解一下脱壳（解压）、加壳（压缩）的过程。
如果我们用杀毒软件对冰河进行查杀，一定会发现2个病毒，一个是冰河的客户端，另一个是服务端。使用软件“PEiD”查看软件的服务端是否已经被作者加壳。
现在，我们就需要对软件进行脱壳，也就是一种解压的过程。这里我使用了“UPXUnpack”，选择需要的文件后，点击“解压缩”就开始执行脱壳。
脱壳完成后，我们需要为服务端加一个新壳，加壳的软件很多，比如：ASPack、ASProtect、UPXShell、Petite等。这里以“ASPack”为例，点击“打开”按钮，选择刚刚脱壳的服务端程序，选择完成后ASPack会自动为服务端进行加壳。再次用杀毒软件对这个服务端进行查杀，发现其已经不能识别判断了。如果你的杀毒软件依旧可以查杀，你还可以使用多个软件对服务端进行多次加壳。笔者在使用Petite和ASPack对服务端进行2次加壳后，试用了多种杀毒软件都没有扫描出来。现在网络中流行的很多XX版冰河，就是网友通过对服务端进行修改并重新加壳后制做出来的。
四、防范
防范重于治疗，在我们的电脑还没有中木马前，我们需要做很多必要的工作，比如：安装杀毒软件和网络防火墙；及时更新病毒库以及系统的安全补丁；定时备份硬盘上的文件；不要运行来路不明的软件和打开来路不明的邮件。
最后笔者要特别提醒大家，木马除了拥有强大的远程控制功能外，还包括极强的破坏性。我们学习它，只是为了了解它的技术与方法，而不是用于盗窃密码等破坏行为，希望大家好自为之。
小知识：反弹技术，该技术解决了传统的远程控制软件不能访问装有防火墙和控制局域网内部的远程计算机的难题。反弹端口型软件的原理是，客户端首先登录到FTP服务器，编辑在木马软件中预先设置的主页空间上面的一个文件，并打开端口监听，等待服务端的连接，服务端定期用HTTP协议读取这个文件的内容，当发现是客户端让自己开始连接时，就主动连接，如此就可完成连接工作。因此在互联网上可以访问到局域网里通过 NAT （透明代理）代理上网的电脑，并且可以穿过防火墙。与传统的远程控制软件相反，反弹端口型软件的服务端会主动连接客户端，客户端的监听端口一般开为80（即用于网页浏览的端口），这样，即使用户在命令提示符下使用“netstat -a”命令检查自己的端口，发现的也是类似“TCPUserIP:3015ControllerIP：httpESTABLISHED”的情况，稍微疏忽一点你就会以为是自己在浏览网页，而防火墙也会同样这么认为的。于是，与一般的软件相反，反弹端口型软件的服务端主动连接客户端，这样就可以轻易的突破防火墙的限制
社会工程学：一个行骗游戏的新玩法
[ 2007-03-25 03:35:43 | 作者: sun ]
在今天的计算机犯罪领域中，罪犯不需要借助英特网进入，他们只要通过简单的询问就能获得信息。当心友好的内部人员或是职务上看起来是外部的人员，他们可能会利用你的好心或天真来获得他们要的东西。举几个例子来说明吧…
一位部门秘书接到一个电话,"我是Josie Bass,有什么能帮您的吗?"
“你好，我是计算机中心的Martin White,我们认为可能有人入侵了文件服务器，我能和你们技术主管谈谈吗?”
“现在是周五下午，这里只有我一个人 。”Josie说。
“你的工作怎么样，Josie？”
“还好，你呢？”
深呼一口气，“不算太坏,除了现在是周五的下午而且我们要处理堆积如山的文件。总之，如我所说的，我们认为你的文件服务器受到了威胁。”
“你为什么这么认为呢？”
“你的帐号是jbass,是吗？”
“是。”
“我们在你的文件服务器上检测到了异常的通信。”
“好，你能不能具体点告诉我这是怎么回事？”
“当然,我正在搜索,但有太多文件了。”翻页的声音。“我真正担心的是,当我这样搜索时,坏人可以从你们的服务器下载并修改资料，也许你应该把你的服务器与网络断开或者修改你的系统密码。”
“Jeez,我不知道该怎么做。”
Martin叹息，“这真糟糕，入侵者可能没有完全地破坏你的系统。”手指翻动书，发出翻页的声音。“我刚才想到一件事，我正好在线，如果我有你的密码的话，只要几分钟就可查出来了。”沉重的叹息，“为什么我之前没有想到呢？持续一个星期了—看了很多小时的数字。”一番停顿后，“Ok,你的密码多少？”
“我…er….”Josie犹豫了。
“哦，好的，你不会把它拿出来，我明白了。”翻页的声音。“这也是个好办法。”停顿了一下，“这些家伙会尝试不同的方法入侵…”翻页。
“嘿，”Josie说，“我们会整晚都在这里，忘了告诉你：我的密码是jb2cats。”
“谢谢，好的，稍等。”密码输入的声音。“好了，让我仔细检查一下。”更多的输入。“找到了，好消息，他们没能进入你的系统。”停顿，“非常感谢，Josie，我们一起为这件无效的事上折腾了半夜，顺便说一声，一旦他们跳过了你的服务器，再回来就是很罕见的事了，你的系统现在状况良好。”
“谢谢，祝你有一个愉快的周末。”Josie放心地回答。
“你也是。”
“Martin White”和他的同伙将会有一个愉快的周末，从这个部门修改他们选修课程的学生等级——为了学费，当然。（译者注：这里的意思应该是Martin的课程没及格，需要重修，把成绩修改了，自然就不需要交纳学费了。）
这是一个被称为“社会工程学”的例子，一个信息技术犯罪的非技术表象描述。用其它方法表达就是“欺骗艺术家”Martin玩的一个“行骗游戏”。意思很简单：欺骗受害人，获得有用的机密信息，或采取不正当行动为攻击者获得利益。
大部分人对我们都是有益并且值得信赖的—许多人这样认为。我们想要做好邻居并有许多好邻居，社会工程师利用了人类这一合作倾向。他们经常使用胁迫和扮演角色手段，也使用老式但清晰的摄像头进行偷窥和偷听。
当被偷窃的信息增加时，我们需要知道更多信息盗窃使用的迂回方法。
例如：
一个糊涂的醉鬼会打电话给办事员请求更改他的密码。
一个似乎很重要的人扮成主管人员打电话给新来的网络管理员要求马上开通他的账户！
在机场当你输入你的电讯信用卡或ATM号码时有人会往你肩膀上看（肩窥），他们甚至使用双筒望远镜和摄象机。
一个访客会偷看你在键盘上输入的注册ID和密码。
一个自信的人打电话给电脑工作人员并要他或她在控制台输入几行指令。
一个攻击者搜集你的废纸（垃圾数据探究），寻找线索解开你的保密信息。
不同于技术的目标，社会工程学是一个古老行当的新名字，它常常成功，因为我们的文化没有赶上我们拥有的技术。一个社会工程师从一个保险箱里获得东西比获得密码要更困难，即使这个东西就在健康俱乐部的带锁储物柜里。最好的防御很简单：教育，训练和意识。
记住：密码就像一把牙刷一样，每三个月更换一次，并不让其他人使用它。（即使有人声称自己来自处理Internet上各项安全问题的专责机构）。
一位部门秘书接到一个电话,"我是Josie Bass,有什么能帮您的吗?"
“你好，我是计算机中心的Martin White,我们认为可能有人入侵了文件服务器，我能和你们技术主管谈谈吗?”
“现在是周五下午，这里只有我一个人 。”Josie说。
“你的工作怎么样，Josie？”
“还好，你呢？”
深呼一口气，“不算太坏,除了现在是周五的下午而且我们要处理堆积如山的文件。总之，如我所说的，我们认为你的文件服务器受到了威胁。”
“你为什么这么认为呢？”
“你的帐号是jbass,是吗？”
“是。”
“我们在你的文件服务器上检测到了异常的通信。”
“好，你能不能具体点告诉我这是怎么回事？”
“当然,我正在搜索,但有太多文件了。”翻页的声音。“我真正担心的是,当我这样搜索时,坏人可以从你们的服务器下载并修改资料，也许你应该把你的服务器与网络断开或者修改你的系统密码。”
“Jeez,我不知道该怎么做。”
Martin叹息，“这真糟糕，入侵者可能没有完全地破坏你的系统。”手指翻动书，发出翻页的声音。“我刚才想到一件事，我正好在线，如果我有你的密码的话，只要几分钟就可查出来了。”沉重的叹息，“为什么我之前没有想到呢？持续一个星期了—看了很多小时的数字。”一番停顿后，“Ok,你的密码多少？”
“我…er….”Josie犹豫了。
“哦，好的，你不会把它拿出来，我明白了。”翻页的声音。“这也是个好办法。”停顿了一下，“这些家伙会尝试不同的方法入侵…”翻页。
“嘿，”Josie说，“我们会整晚都在这里，忘了告诉你：我的密码是jb2cats。”
“谢谢，好的，稍等。”密码输入的声音。“好了，让我仔细检查一下。”更多的输入。“找到了，好消息，他们没能进入你的系统。”停顿，“非常感谢，Josie，我们一起为这件无效的事上折腾了半夜，顺便说一声，一旦他们跳过了你的服务器，再回来就是很罕见的事了，你的系统现在状况良好。”
“谢谢，祝你有一个愉快的周末。”Josie放心地回答。
“你也是。”
“Martin White”和他的同伙将会有一个愉快的周末，从这个部门修改他们选修课程的学生等级——为了学费，当然。（译者注：这里的意思应该是Martin的课程没及格，需要重修，把成绩修改了，自然就不需要交纳学费了。）
这是一个被称为“社会工程学”的例子，一个信息技术犯罪的非技术表象描述。用其它方法表达就是“欺骗艺术家”Martin玩的一个“行骗游戏”。意思很简单：欺骗受害人，获得有用的机密信息，或采取不正当行动为攻击者获得利益。
大部分人对我们都是有益并且值得信赖的—许多人这样认为。我们想要做好邻居并有许多好邻居，社会工程师利用了人类这一合作倾向。他们经常使用胁迫和扮演角色手段，也使用老式但清晰的摄像头进行偷窥和偷听。
当被偷窃的信息增加时，我们需要知道更多信息盗窃使用的迂回方法。
例如：
一个糊涂的醉鬼会打电话给办事员请求更改他的密码。
一个似乎很重要的人扮成主管人员打电话给新来的网络管理员要求马上开通他的账户！
在机场当你输入你的电讯信用卡或ATM号码时有人会往你肩膀上看（肩窥），他们甚至使用双筒望远镜和摄象机。
一个访客会偷看你在键盘上输入的注册ID和密码。
一个自信的人打电话给电脑工作人员并要他或她在控制台输入几行指令。
一个攻击者搜集你的废纸（垃圾数据探究），寻找线索解开你的保密信息。
不同于技术的目标，社会工程学是一个古老行当的新名字，它常常成功，因为我们的文化没有赶上我们拥有的技术。一个社会工程师从一个保险箱里获得东西比获得密码要更困难，即使这个东西就在健康俱乐部的带锁储物柜里。最好的防御很简单：教育，训练和意识。
记住：密码就像一把牙刷一样，每三个月更换一次，并不让其他人使用它。（即使有人声称自己来自处理Internet上各项安全问题的专责机构）。
