Windows系统中从源头防病毒另类高招
[ 2007-03-25 02:59:50 | 作者: sun ]
由于网络和各种存储设备的飞速发展，使得病毒传播的几率也大大的增加了。虽然可以通过安装防病毒软件和网络防火墙来保护你的系统，但是由于病毒技术的发展势头十分迅猛，甚至许多网页中都包含了很多恶意代码，如果用户的防范意识不强的话，即使安装了防病毒软件也很容易“中招”。
笔者经过查阅微软资料以及个人的使用经验，总结出一套防范病毒的方法，希望能对大家有所帮助。
如果大家使用的是Windows2000/XP或2003操作系统的话，那么你可以尝试一下以下的方法——从源头上让你的系统可以对病毒免疫。
首先全新安装的操作系统(或者你能确认你当前使用的系统是无毒的)，立即就打开：
“开始→程序→管理工具→计算机管理→本地用户和组→用户” ，把超级管理员密码更改成十位数以上，并且尽量使用数字和大小写字母相结合的密码。然后再建立一个用户，把它的密码也设置成十位以上并且提升为超级管理员。这样做的目的是为了双保险：如果你忘记了其中一个密码，还有使用另一个超管密码登陆来挽回的余地，免得你被拒绝于系统之外;再者就是网上的黑客无法再通过猜测你系统超管密码的方式远程获得你系统的控制权而进行破坏。接着再添加两个用户，比如用户名分别为：nyh1、nyh2;并且指定他们属于user组，好了，准备工作到这里就全部完成了，以后你除了必要的维护计算机外就不要使用超级管理员和nyh2登陆了。只使用nyh1登陆就可以了。
(建立新用户时，默认为user组。如果要建立管理员用户，在新建完用户后，在“组”里面，点选Administrators组，点击“添加”把这个帐号加入Administrators组中。)
登陆之后上网的时候找到IE，并为它建立一个快捷方式到桌面上，右键单击快捷方式，选择“以其他用户方式运行”点确定!要上网的时候就点这个快捷方式，它会跟你要用户名和密码这时候你就输入nyh2的用户名和密码!!!好了，现在你可以使用这个打开的窗口去上网了，可以随你便去放心的浏览任何恶毒的、恶意的、网站跟网页，而不必再担心中招了!因为你当前的系统活动的用户时nyh1。
而nyh2是不活动的用户，我们使用这个不活动的用户去上网时，无论多聪明的网站，通过IE得到的信息都将让它都将以为这个nyh2就是你当前活动的用户，如果它要在你浏览时用恶意代码对你的系统搞搞破坏的话根本就时行不通的，即使能行通，那么被修改掉的仅仅时nyh2的一个配置文件罢了，而很多恶意代码和病毒试图通过nyh2进行的破坏活动却都将失败，因为nyh2根本就没运行，怎么能取得系统的操作权呢??既然取不得，也就对你无可奈何了。而他们更不可能跨越用户来操作，因为微软得配置本来就是各用户之间是独立的，就象别人不可能跑到我家占据我睡觉用的床一样，它们无法占据nyh1的位置!所以你只要能保证总是以这个nyh2用户做代理来上网(但却不要使用nyh2来登陆系统，因为如果那样的话，如果nyh2以前中过什么网页病毒，那么在user2登陆的同时，他们极有可能被激活!)，那么无论你中多少网页病毒，全部都将是无法运行或被你当前的nyh1用户加载的，所以你当前的系统将永远无毒! 下面是建立IE快捷方式的步骤。
在桌面上点击右键，选择“新建——快捷方式”，在弹出的窗口中选择IEXPLORE(位置在"C:Program FilesInternet ExplorerIEXPLORE.EXE")，点击“下一步”完成。然后鼠标右键点击该快捷方式，选择“属性”，再点击“高级按钮”，在以“其他用户身份运行”前打上勾。
以后上网点击IE的时候，会出现如下窗口，输入nyh2和密码即可。
不过总有疏忽的时候，万一不小心接收了别人发来的病毒文件，或者从邮件中收到病毒文件，一个不小心中毒了怎么办??
不用担心，现在我们就可以来尽情的表演金蝉脱壳的技术了!
开始金蝉脱壳：
重新启动计算机，使用超级管理员登陆——进入系统后什么程序都不要运行
你会惊奇的发现在的系统竟然表现的完全无毒!那就再好不过了，现在就立即就打开：
“开始→程序→管理工具→计算机管理→本地用户和组→用户” 吧!
把里面的nyh1和nyh2两个用户全删掉吧，你只需要这么轻轻的一删就可以了，那么以前随着这两个用户而存在的病毒也就跟随着这两个用户的消失而一起去长眠了——(好象是陪葬，呵呵!)。这么做过之后我保证你的Windows就象新装的一个样，任何系统文件和系统进程里都完全是没有病毒的!
好!现在再重复开始的步骤从新建立nyh1和nyh2两个用户，让他们复活吧。他们复活是复活了，但是曾跟随了他们的病毒却是没这机会了，因为WindowsXP重新建立用户的时候会重新分配给他们全新的配置，而这个配置是全新的也是不可能包含病毒的!!!建立完成之后立即注销超级管理员，转如使用nyh1登陆，继续你象做的事吧，你会发现你的系统如同全新了!以上方法可以周而复始的用，再加上经常的去打微软的补丁，几乎可以永远保证你的操作系统是无毒状态!只要你能遵循以下两条规则：
一、任何时间都不以超级管理员的身份登陆系统——除非你要进行系统级更新和维护、需要使用超级管理员身份的时候或是你需要添加和删除用户的时候。
二、必须使用超级管理员登陆的时候，保证不使用和运行任何除了操作系统自带的工具和程序之外的任何东西，而且所有维护都只通过开始菜单里的选项来完成，甚至连使用资源管理器去浏览硬盘都不! 只做做用户和系统的管理和维护就立即退出，而决不多做逗留!(这也是微软的要求，微软最了解自己的东东，他的建议是正确的。浏览硬盘的事，在其他用户身份下你有大把的机会，在超级管理员的身份下还是不要了!!这应该事能完全作到的)。
总结
通过以上的方法应该能保证你的系统是安全的了，但是计算机技术的发展速度太快，系统和病毒的运行方式可能随时都会革新，所以以上的方法也不能保证100%的绝对防毒。
笔者经过查阅微软资料以及个人的使用经验，总结出一套防范病毒的方法，希望能对大家有所帮助。
如果大家使用的是Windows2000/XP或2003操作系统的话，那么你可以尝试一下以下的方法——从源头上让你的系统可以对病毒免疫。
首先全新安装的操作系统(或者你能确认你当前使用的系统是无毒的)，立即就打开：
“开始→程序→管理工具→计算机管理→本地用户和组→用户” ，把超级管理员密码更改成十位数以上，并且尽量使用数字和大小写字母相结合的密码。然后再建立一个用户，把它的密码也设置成十位以上并且提升为超级管理员。这样做的目的是为了双保险：如果你忘记了其中一个密码，还有使用另一个超管密码登陆来挽回的余地，免得你被拒绝于系统之外;再者就是网上的黑客无法再通过猜测你系统超管密码的方式远程获得你系统的控制权而进行破坏。接着再添加两个用户，比如用户名分别为：nyh1、nyh2;并且指定他们属于user组，好了，准备工作到这里就全部完成了，以后你除了必要的维护计算机外就不要使用超级管理员和nyh2登陆了。只使用nyh1登陆就可以了。
(建立新用户时，默认为user组。如果要建立管理员用户，在新建完用户后，在“组”里面，点选Administrators组，点击“添加”把这个帐号加入Administrators组中。)
登陆之后上网的时候找到IE，并为它建立一个快捷方式到桌面上，右键单击快捷方式，选择“以其他用户方式运行”点确定!要上网的时候就点这个快捷方式，它会跟你要用户名和密码这时候你就输入nyh2的用户名和密码!!!好了，现在你可以使用这个打开的窗口去上网了，可以随你便去放心的浏览任何恶毒的、恶意的、网站跟网页，而不必再担心中招了!因为你当前的系统活动的用户时nyh1。
而nyh2是不活动的用户，我们使用这个不活动的用户去上网时，无论多聪明的网站，通过IE得到的信息都将让它都将以为这个nyh2就是你当前活动的用户，如果它要在你浏览时用恶意代码对你的系统搞搞破坏的话根本就时行不通的，即使能行通，那么被修改掉的仅仅时nyh2的一个配置文件罢了，而很多恶意代码和病毒试图通过nyh2进行的破坏活动却都将失败，因为nyh2根本就没运行，怎么能取得系统的操作权呢??既然取不得，也就对你无可奈何了。而他们更不可能跨越用户来操作，因为微软得配置本来就是各用户之间是独立的，就象别人不可能跑到我家占据我睡觉用的床一样，它们无法占据nyh1的位置!所以你只要能保证总是以这个nyh2用户做代理来上网(但却不要使用nyh2来登陆系统，因为如果那样的话，如果nyh2以前中过什么网页病毒，那么在user2登陆的同时，他们极有可能被激活!)，那么无论你中多少网页病毒，全部都将是无法运行或被你当前的nyh1用户加载的，所以你当前的系统将永远无毒! 下面是建立IE快捷方式的步骤。
在桌面上点击右键，选择“新建——快捷方式”，在弹出的窗口中选择IEXPLORE(位置在"C:Program FilesInternet ExplorerIEXPLORE.EXE")，点击“下一步”完成。然后鼠标右键点击该快捷方式，选择“属性”，再点击“高级按钮”，在以“其他用户身份运行”前打上勾。
以后上网点击IE的时候，会出现如下窗口，输入nyh2和密码即可。
不过总有疏忽的时候，万一不小心接收了别人发来的病毒文件，或者从邮件中收到病毒文件，一个不小心中毒了怎么办??
不用担心，现在我们就可以来尽情的表演金蝉脱壳的技术了!
开始金蝉脱壳：
重新启动计算机，使用超级管理员登陆——进入系统后什么程序都不要运行
你会惊奇的发现在的系统竟然表现的完全无毒!那就再好不过了，现在就立即就打开：
“开始→程序→管理工具→计算机管理→本地用户和组→用户” 吧!
把里面的nyh1和nyh2两个用户全删掉吧，你只需要这么轻轻的一删就可以了，那么以前随着这两个用户而存在的病毒也就跟随着这两个用户的消失而一起去长眠了——(好象是陪葬，呵呵!)。这么做过之后我保证你的Windows就象新装的一个样，任何系统文件和系统进程里都完全是没有病毒的!
好!现在再重复开始的步骤从新建立nyh1和nyh2两个用户，让他们复活吧。他们复活是复活了，但是曾跟随了他们的病毒却是没这机会了，因为WindowsXP重新建立用户的时候会重新分配给他们全新的配置，而这个配置是全新的也是不可能包含病毒的!!!建立完成之后立即注销超级管理员，转如使用nyh1登陆，继续你象做的事吧，你会发现你的系统如同全新了!以上方法可以周而复始的用，再加上经常的去打微软的补丁，几乎可以永远保证你的操作系统是无毒状态!只要你能遵循以下两条规则：
一、任何时间都不以超级管理员的身份登陆系统——除非你要进行系统级更新和维护、需要使用超级管理员身份的时候或是你需要添加和删除用户的时候。
二、必须使用超级管理员登陆的时候，保证不使用和运行任何除了操作系统自带的工具和程序之外的任何东西，而且所有维护都只通过开始菜单里的选项来完成，甚至连使用资源管理器去浏览硬盘都不! 只做做用户和系统的管理和维护就立即退出，而决不多做逗留!(这也是微软的要求，微软最了解自己的东东，他的建议是正确的。浏览硬盘的事，在其他用户身份下你有大把的机会，在超级管理员的身份下还是不要了!!这应该事能完全作到的)。
总结
通过以上的方法应该能保证你的系统是安全的了，但是计算机技术的发展速度太快，系统和病毒的运行方式可能随时都会革新，所以以上的方法也不能保证100%的绝对防毒。
小林透露微软下iis漏洞与防止
[ 2007-03-25 02:59:35 | 作者: sun ]
今天动易系统的新漏洞导致了数千的服务器被黑(参考：动易最新漏洞的消息 ），也导致了这类安全漏洞的延伸，著名程序专家小林谈到现在的win的服务器的时候无奈的说：微软的IIS漏洞比沙子还多,又发现一个严重的漏洞，只要创建一个.asp后缀的目录，其目录下的所有文件都能执行。 请使用iis的站长们注意。。。最好禁止创建包括.asp的目录和上传可疑文件。
比如创建一个 265.asp 目录，里面放 265.jpg 都能当 asp 执行。
比如 c:\inetpub\wwwroot\265.asp\265.jpg 这样265.jpg内容是asp，但验证的时候不知道，就中招了。只看后缀名也不可靠啊，以前不让传 .asp 后缀就相对安全了。。。现在不行了。
防止方法：禁止脚本、创建目录，IIS目录的安全性和用户的权限控制结合就可以解决，把user归属到guest里
动易的全系列都有危险 ，别的只要设计发布系统的肯定都会。先临时解决办法贝，这个是微软的漏洞 。其他也没有好的办法。
比如创建一个 265.asp 目录，里面放 265.jpg 都能当 asp 执行。
比如 c:\inetpub\wwwroot\265.asp\265.jpg 这样265.jpg内容是asp，但验证的时候不知道，就中招了。只看后缀名也不可靠啊，以前不让传 .asp 后缀就相对安全了。。。现在不行了。
防止方法：禁止脚本、创建目录，IIS目录的安全性和用户的权限控制结合就可以解决，把user归属到guest里
动易的全系列都有危险 ，别的只要设计发布系统的肯定都会。先临时解决办法贝，这个是微软的漏洞 。其他也没有好的办法。
推荐:常见恶意网页中招现象及防范
[ 2007-03-25 02:59:15 | 作者: sun ]
1.禁止使用电脑
现象描述:尽管网络流氓们用这一招的不多，但是一旦你中招了，后果真是不堪设想!浏览了含有这种恶意代码的网页其后果是:"关闭系统"、"运行"、"注销"、注册表编辑器、DOS程序、运行任何程序被禁止，系统无法进入"实模式"、驱动器被隐藏。
解决办法:一般来说上述八大现象你都遇上了的话，基本上系统就给"废"了，建议重装。
2.格式化硬盘
现象描述:这类恶意代码的特征就是利用IE执行ActiveX的功能，让你无意中格式化自己的硬盘。只要你浏览了含有它的网页，浏览器就会弹出一个警告说"当前的页面含有不安全的ctiveX，可能会对你造成危害"，问你是否执行。如果你选择"是"的话，硬盘就会被快速格式化，因为格式化时窗口是最小化的，你可能根本就没注意，等发现时已悔之晚矣。
解决办法:除非你知道自己是在做什么，否则不要随便回答"是"。该提示信息还可以被修改，如改成"Windows正在删除本机的临时文件，是否继续"，所以千万要注意!此外，将计算机上Format.com、Fdisk.exe、Del.exe、Deltree.exe等命令改名也是一个办法。
3.下载运行木马程序
现象描述:在网页上浏览也会中木马?当然，由于IE5.0本身的漏洞，使这样的新式入侵手法成为可能，方法就是利用了微软的可以嵌入exe文件的eml文件的漏洞，将木马放在eml文件里，然后用一段恶意代码指向它。上网者浏览到该恶意网页，就会在不知不觉中下载了木马并执行，其间居然没有任何提示和警告!
解决办法:第一个办法是升级您的IE5.0，IE5.0以上版本没这毛病;此外，安装瑞星2006、Norton等
病毒防火墙，它会把网页木马当作病毒迅速查截杀。
4. 注册表的锁定
现象描述:有时浏览了恶意网页后系统被修改，想要用Regedit更改时，却发现系统提示你没有权限运行该程序，然后让你联系管理员。晕了!动了我的东西还不让改，这是哪门子的道理!
解决办法:能够修改注册表的又不止Regedit一个，找一个注册表编辑器，例如:Reghance。将注册表中的 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System 下的DWORD值"DisableRegistryTools"键值恢复为"0"，即可恢复注册表。
5.默认主页修改
现象描述:一些网站为了提高自己的访问量和做广告宣传，利用IE的漏洞，将访问者的IE不由分说地进行修改。一般改掉你的起始页和默认主页，为了不让你改回去，甚至将IE选项中的默认主页按钮变为失效的灰色。不愧是网络流氓的一惯做风。
解决办法:
(1).起始页的修改。展开注册表到HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main，在右半部分窗口中将"Start Page"的键值改为"about:blank"即可。同理，展开注册表到HKEY_CURRENT_USER\Software\Microsoft\ Internet Explorer\Main，在右半部分窗口中将"Start Page"的键值改为"about:blank"即可。
注意:有时进行了以上步骤后仍然没有生效，估计是有程序加载到了启动项的缘故，就算修改了，下次启动时也会自动运行程序，将上述设置改回来，解决方法如下:
运行注册表编辑器Regedit.exe，然后依次展开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows \CurrentVersion\Run主键，然后将下面的"registry.exe"子键(名字不固定)删除，最后删除硬盘里的同名可执行程序。退出注册编辑器，重新启动计算机，问题就解决了。
(2).默认主页的修改。运行注册表编辑器，展开HKEY_LOCAL_MACHINE\Software\Microsoft\ Internet Explorer\Main\，将Default-Page-URL子键的键值中的那些恶意网站的网址改正，或者设置为IE的默认值。
(3).IE选项按钮失效。运行注册表编辑器，将HKEY_CURRENT_USER\Software\Policies\ Microsoft\Internet Explorer\Control Panel中的DWORD值"Settings"=dword:1、"Links"=dword:1、"SecAddSites"=dword:1全部改为"0"，将HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Control Panel下的DWORD值"homepage"的键值改为"0"。
6.篡改IE标题栏
现象描述:在系统默认状态下，由应用程序本身来提供标题栏的信息。但是，有些网络流氓为了达到广告宣传的目的，将串值"Windows Title"下的键值改为其网站名或更多的广告信息，从而达到改变IE标题栏的目的。非要别人看他的东西，而且是通过非法的修改手段，除了"无耻"两个字，再没有其它形容词了。
解决办法:展开注册表到HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\下，在右半部分窗口找到串值"Windows Title"，将该串值删除。重新启动计算机。
7.篡改默认搜索引擎
现象描述:在IE浏览器的工具栏中有一个搜索引擎的工具按钮，可以实现网络搜索，被篡改后只要点击那个搜索工具按钮就会链接到网络注氓想要你去的网站。
解决办法:运行注册表编辑器，依次展开HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\CustomizeSearch和HKEY_LOCAL_MACHINE\Software\Microsoft\ Internet Explorer\Search\SearchAssistant,将CustomizeSearch及SearchAssistant的键值改为某个搜索引擎的网址即可。
8.IE右键修改
现象描述:有的网络流氓为了宣传的目的，将你的右键弹出的功能菜单进行了修改，并且加入了一些乱七八糟的东西，甚至为了禁止你下载，将IE窗口中单击右键的功能都屏蔽掉。
解决办法:
(1).右键菜单被修改。打开注册表编辑器，找到HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt，删除相关的广告条文。
(2).右键功能失效。打开注册表编辑器，展开到HKEY_CURRENT_USER\Software\Policies\ Microsoft\Internet Explorer\Restrictions，将其DWORD值"NoBrowserContextMenu"的值改为0。
9.篡改地址栏文字
现象描述:中招者的IE地址栏下方出现一些莫名其妙的文字和图标，地址栏里的下拉框里也有大量的地址，并不是你以前访问过的。
解决办法:
(1).地址栏下的文字。在HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\ToolBar下找到键值LinksFolderName，将其中的内容删去即可。
(2).地址栏中无用的地址。在HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypeURLs中删除无用的键值即可。
10.启动时弹出对话框
现象描述:1.系统启动时弹出对话框，通常是一些广告信息，例如欢迎访问某某网站等等。2.开机弹出网页，通常会弹出很多窗口，让你措手不及，恶毒一点的，可以重复弹出窗口直到死机。
解决办法:
(1).弹出对话框。打开注册表编辑器，找到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Winlogon主键，然后在右边窗口中找到"LegalNoticeCaption"和 "LegalNoticeText"这两个字符串，删除这两个字符串就可以解决在启动时出现提示框的现象了。
(2).弹出网页。点击"开始-运行-输入msconfig",选择"启动"，把里面后缀为url、html、htm的网址文件都勾掉。
11.IE窗口定时弹出
现象描述:中招者的机器每隔一段时间就弹出IE窗口，地址指向网络流氓的个人主页。不晓得是不是网络流氓以为这样你就会经常光顾?
解决办法:点击"开始-运行-输入msconfig",选择"启动"，把里面后缀为hta的都勾掉，重启。
现象描述:尽管网络流氓们用这一招的不多，但是一旦你中招了，后果真是不堪设想!浏览了含有这种恶意代码的网页其后果是:"关闭系统"、"运行"、"注销"、注册表编辑器、DOS程序、运行任何程序被禁止，系统无法进入"实模式"、驱动器被隐藏。
解决办法:一般来说上述八大现象你都遇上了的话，基本上系统就给"废"了，建议重装。
2.格式化硬盘
现象描述:这类恶意代码的特征就是利用IE执行ActiveX的功能，让你无意中格式化自己的硬盘。只要你浏览了含有它的网页，浏览器就会弹出一个警告说"当前的页面含有不安全的ctiveX，可能会对你造成危害"，问你是否执行。如果你选择"是"的话，硬盘就会被快速格式化，因为格式化时窗口是最小化的，你可能根本就没注意，等发现时已悔之晚矣。
解决办法:除非你知道自己是在做什么，否则不要随便回答"是"。该提示信息还可以被修改，如改成"Windows正在删除本机的临时文件，是否继续"，所以千万要注意!此外，将计算机上Format.com、Fdisk.exe、Del.exe、Deltree.exe等命令改名也是一个办法。
3.下载运行木马程序
现象描述:在网页上浏览也会中木马?当然，由于IE5.0本身的漏洞，使这样的新式入侵手法成为可能，方法就是利用了微软的可以嵌入exe文件的eml文件的漏洞，将木马放在eml文件里，然后用一段恶意代码指向它。上网者浏览到该恶意网页，就会在不知不觉中下载了木马并执行，其间居然没有任何提示和警告!
解决办法:第一个办法是升级您的IE5.0，IE5.0以上版本没这毛病;此外，安装瑞星2006、Norton等
病毒防火墙，它会把网页木马当作病毒迅速查截杀。
4. 注册表的锁定
现象描述:有时浏览了恶意网页后系统被修改，想要用Regedit更改时，却发现系统提示你没有权限运行该程序，然后让你联系管理员。晕了!动了我的东西还不让改，这是哪门子的道理!
解决办法:能够修改注册表的又不止Regedit一个，找一个注册表编辑器，例如:Reghance。将注册表中的 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System 下的DWORD值"DisableRegistryTools"键值恢复为"0"，即可恢复注册表。
5.默认主页修改
现象描述:一些网站为了提高自己的访问量和做广告宣传，利用IE的漏洞，将访问者的IE不由分说地进行修改。一般改掉你的起始页和默认主页，为了不让你改回去，甚至将IE选项中的默认主页按钮变为失效的灰色。不愧是网络流氓的一惯做风。
解决办法:
(1).起始页的修改。展开注册表到HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main，在右半部分窗口中将"Start Page"的键值改为"about:blank"即可。同理，展开注册表到HKEY_CURRENT_USER\Software\Microsoft\ Internet Explorer\Main，在右半部分窗口中将"Start Page"的键值改为"about:blank"即可。
注意:有时进行了以上步骤后仍然没有生效，估计是有程序加载到了启动项的缘故，就算修改了，下次启动时也会自动运行程序，将上述设置改回来，解决方法如下:
运行注册表编辑器Regedit.exe，然后依次展开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows \CurrentVersion\Run主键，然后将下面的"registry.exe"子键(名字不固定)删除，最后删除硬盘里的同名可执行程序。退出注册编辑器，重新启动计算机，问题就解决了。
(2).默认主页的修改。运行注册表编辑器，展开HKEY_LOCAL_MACHINE\Software\Microsoft\ Internet Explorer\Main\，将Default-Page-URL子键的键值中的那些恶意网站的网址改正，或者设置为IE的默认值。
(3).IE选项按钮失效。运行注册表编辑器，将HKEY_CURRENT_USER\Software\Policies\ Microsoft\Internet Explorer\Control Panel中的DWORD值"Settings"=dword:1、"Links"=dword:1、"SecAddSites"=dword:1全部改为"0"，将HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Control Panel下的DWORD值"homepage"的键值改为"0"。
6.篡改IE标题栏
现象描述:在系统默认状态下，由应用程序本身来提供标题栏的信息。但是，有些网络流氓为了达到广告宣传的目的，将串值"Windows Title"下的键值改为其网站名或更多的广告信息，从而达到改变IE标题栏的目的。非要别人看他的东西，而且是通过非法的修改手段，除了"无耻"两个字，再没有其它形容词了。
解决办法:展开注册表到HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\下，在右半部分窗口找到串值"Windows Title"，将该串值删除。重新启动计算机。
7.篡改默认搜索引擎
现象描述:在IE浏览器的工具栏中有一个搜索引擎的工具按钮，可以实现网络搜索，被篡改后只要点击那个搜索工具按钮就会链接到网络注氓想要你去的网站。
解决办法:运行注册表编辑器，依次展开HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\CustomizeSearch和HKEY_LOCAL_MACHINE\Software\Microsoft\ Internet Explorer\Search\SearchAssistant,将CustomizeSearch及SearchAssistant的键值改为某个搜索引擎的网址即可。
8.IE右键修改
现象描述:有的网络流氓为了宣传的目的，将你的右键弹出的功能菜单进行了修改，并且加入了一些乱七八糟的东西，甚至为了禁止你下载，将IE窗口中单击右键的功能都屏蔽掉。
解决办法:
(1).右键菜单被修改。打开注册表编辑器，找到HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt，删除相关的广告条文。
(2).右键功能失效。打开注册表编辑器，展开到HKEY_CURRENT_USER\Software\Policies\ Microsoft\Internet Explorer\Restrictions，将其DWORD值"NoBrowserContextMenu"的值改为0。
9.篡改地址栏文字
现象描述:中招者的IE地址栏下方出现一些莫名其妙的文字和图标，地址栏里的下拉框里也有大量的地址，并不是你以前访问过的。
解决办法:
(1).地址栏下的文字。在HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\ToolBar下找到键值LinksFolderName，将其中的内容删去即可。
(2).地址栏中无用的地址。在HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypeURLs中删除无用的键值即可。
10.启动时弹出对话框
现象描述:1.系统启动时弹出对话框，通常是一些广告信息，例如欢迎访问某某网站等等。2.开机弹出网页，通常会弹出很多窗口，让你措手不及，恶毒一点的，可以重复弹出窗口直到死机。
解决办法:
(1).弹出对话框。打开注册表编辑器，找到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Winlogon主键，然后在右边窗口中找到"LegalNoticeCaption"和 "LegalNoticeText"这两个字符串，删除这两个字符串就可以解决在启动时出现提示框的现象了。
(2).弹出网页。点击"开始-运行-输入msconfig",选择"启动"，把里面后缀为url、html、htm的网址文件都勾掉。
11.IE窗口定时弹出
现象描述:中招者的机器每隔一段时间就弹出IE窗口，地址指向网络流氓的个人主页。不晓得是不是网络流氓以为这样你就会经常光顾?
解决办法:点击"开始-运行-输入msconfig",选择"启动"，把里面后缀为hta的都勾掉，重启。
推荐:网络防火墙与防范溢出策略（解决方案）
[ 2007-03-25 02:58:57 | 作者: sun ]
“溢出”一直以来都是很多黑帽子黑客最常用(或者说是最喜欢用)的手段之一，随安全文化的逐步普及，大量的公开shellcode(“溢出”代码)与溢出攻击原理都可以随意在各大的网络安全网站中找得到，由此衍生了一系列的安全隐患...小黑黑使用它们来进行非法的攻击、恶意程序员使用它们来制造蠕虫等等...而网络_blank">防火墙作为人们最喜欢的网络安全“设施”之一，它又能如何“拦截”这一类型的攻击呢？这就是今天小神与大伙一起讨论的问题了。
写这篇烂文时小神粗略地翻了一下CIW SP的教科书，5、6章节详细的介绍了_blank">防火墙的种类、作用、优略点等，但没有提出关于使用_blank">防火墙来进行溢出防御的文章，这是为什么呢？大概是因为这样吧:目前大多的防火墙系统都是针对包过滤规则进行安全防御的，这类型的_blank">防火墙再高也只能工作在传输层，而溢出程序的she llcode是放在应用层的，因此对这类攻击就无能为力了。打个比方:前段时间比较火热的IIS WEBDAV溢出漏洞，若黑客攻击成功能直接得到ROOTSHELL(命令行管理员控制台)，它是在正常提供HTTP服务的情况下产生的溢出漏洞，若在不打补丁与手工处理的情况下一台_blank">防火墙又能做到什么呢？相信你除了把访问该服务器TCP80端口(提供正常地HTTP服务的情况下)的包过滤掉以外就什么都不会去做了，当然，这样也会使你的HTTP服务无法正常地开放(等于没有提供服务...)。下面就让小神以这个漏洞为“论点&&题材”，说说自己的解决方案吧。
1)对希望保护的主机实行“单独开放端口”访问控制策略所谓“单独开放端口”就是指只开放需要提供的端口，对于不需要提供服务的端口实行过滤策略。打个比方，现在我们需要保护一台存在WebDAV缺陷的WEB服务器，如何能令它不被骇客入侵呢？答案是：在这台WEB服务器的前端_blank">防火墙中加入一个“只允许其他机器访问此机的TCP80端口”的包过滤规则(至于阁下的_blank">防火墙能否
实现这样的规则就另当别论了)。加上这个规则又会有怎样的效果呢？经常做入侵渗透测试的朋友应该比我还清楚远程溢出的攻击实施流程了吧？
①使用缺陷扫描器找到存在远程溢出漏洞的主机-》②确认其版本号(如果有需要的话)-》③使用exploit(攻击程序)发送shellcode-》④确认远程溢出成功后使用NC或TELNET等程序连接被溢出主机的端口-》⑤得到SHELL
使用“单独开放端口”策略的解决方案对整个远程溢出过程所发生的前三步都是无能为力的，但来到第四步这个策略能有效地阻止骇客连上有缺陷主机的被溢出端口，从而切断了骇客的恶意攻击手段。
优点：操作简单，一般的网络/系统管理员就能完成相关的操作。
缺点：对溢出后使用端口复用进行控制的EXPLOITS就无能为力了；对现实中的溢出后得到反向连接控制的EP LOITS也是无能为力；不能阻止D.o.S方面的溢出攻击。
2)使用应用层_blank">防火墙系统
这里所谓的应用层并不是想特别指明该_blank">防火墙工作在应用层，而是想指明它能在应用层对数据进行处理。由于应用层的协议/服务种类比较多，因此针对应用层形式的_blank">防火墙就有一定的市场局限性了。就楼上所提到的案例而言我们可以使用处理HTTP协议的应用层_blank">防火墙对存在WebDAV缺陷的服务器订制保护规则，保证服务器不收此类攻击的影响。应用层中的HTTP协议_blank">防火墙系统不多，其中比较出名的有EEYE公司的SecureIIS，其使用方式就可谓是“弱智型”了，说说它的基本防御原理与特点吧。当服务端接受到一个发送至TCP80端口的数据包时首先就会将该包转移至SecureIIS，SecureIIS就会对该包进行分析并解码该包的应用层数据，将得到的数据与你本身定制的规则进行数据配对，一旦发现条件相符饿数值就会执行规则所指定的相应操作。
优点：能有效地切断一些来自应用层的攻击(如溢出、SQL注入等)。
缺点：因为需要安装在服务器上，所以会占用一定的系统资源；(eeye公司本身并无开发该软件的中文版本，所以一旦它受到POST行为发出的中文数据时就会自动认为是高位攻击代码，自动将其隔离，并进行相关的处理操作)。
楼上的两种解决方法我比较推崇第二种，但其实还是有第三种解决方案的(大家不要或我为某产品卖广告就好:)。
写这篇烂文时小神粗略地翻了一下CIW SP的教科书，5、6章节详细的介绍了_blank">防火墙的种类、作用、优略点等，但没有提出关于使用_blank">防火墙来进行溢出防御的文章，这是为什么呢？大概是因为这样吧:目前大多的防火墙系统都是针对包过滤规则进行安全防御的，这类型的_blank">防火墙再高也只能工作在传输层，而溢出程序的she llcode是放在应用层的，因此对这类攻击就无能为力了。打个比方:前段时间比较火热的IIS WEBDAV溢出漏洞，若黑客攻击成功能直接得到ROOTSHELL(命令行管理员控制台)，它是在正常提供HTTP服务的情况下产生的溢出漏洞，若在不打补丁与手工处理的情况下一台_blank">防火墙又能做到什么呢？相信你除了把访问该服务器TCP80端口(提供正常地HTTP服务的情况下)的包过滤掉以外就什么都不会去做了，当然，这样也会使你的HTTP服务无法正常地开放(等于没有提供服务...)。下面就让小神以这个漏洞为“论点&&题材”，说说自己的解决方案吧。
1)对希望保护的主机实行“单独开放端口”访问控制策略所谓“单独开放端口”就是指只开放需要提供的端口，对于不需要提供服务的端口实行过滤策略。打个比方，现在我们需要保护一台存在WebDAV缺陷的WEB服务器，如何能令它不被骇客入侵呢？答案是：在这台WEB服务器的前端_blank">防火墙中加入一个“只允许其他机器访问此机的TCP80端口”的包过滤规则(至于阁下的_blank">防火墙能否
实现这样的规则就另当别论了)。加上这个规则又会有怎样的效果呢？经常做入侵渗透测试的朋友应该比我还清楚远程溢出的攻击实施流程了吧？
①使用缺陷扫描器找到存在远程溢出漏洞的主机-》②确认其版本号(如果有需要的话)-》③使用exploit(攻击程序)发送shellcode-》④确认远程溢出成功后使用NC或TELNET等程序连接被溢出主机的端口-》⑤得到SHELL
使用“单独开放端口”策略的解决方案对整个远程溢出过程所发生的前三步都是无能为力的，但来到第四步这个策略能有效地阻止骇客连上有缺陷主机的被溢出端口，从而切断了骇客的恶意攻击手段。
优点：操作简单，一般的网络/系统管理员就能完成相关的操作。
缺点：对溢出后使用端口复用进行控制的EXPLOITS就无能为力了；对现实中的溢出后得到反向连接控制的EP LOITS也是无能为力；不能阻止D.o.S方面的溢出攻击。
2)使用应用层_blank">防火墙系统
这里所谓的应用层并不是想特别指明该_blank">防火墙工作在应用层，而是想指明它能在应用层对数据进行处理。由于应用层的协议/服务种类比较多，因此针对应用层形式的_blank">防火墙就有一定的市场局限性了。就楼上所提到的案例而言我们可以使用处理HTTP协议的应用层_blank">防火墙对存在WebDAV缺陷的服务器订制保护规则，保证服务器不收此类攻击的影响。应用层中的HTTP协议_blank">防火墙系统不多，其中比较出名的有EEYE公司的SecureIIS，其使用方式就可谓是“弱智型”了，说说它的基本防御原理与特点吧。当服务端接受到一个发送至TCP80端口的数据包时首先就会将该包转移至SecureIIS，SecureIIS就会对该包进行分析并解码该包的应用层数据，将得到的数据与你本身定制的规则进行数据配对，一旦发现条件相符饿数值就会执行规则所指定的相应操作。
优点：能有效地切断一些来自应用层的攻击(如溢出、SQL注入等)。
缺点：因为需要安装在服务器上，所以会占用一定的系统资源；(eeye公司本身并无开发该软件的中文版本，所以一旦它受到POST行为发出的中文数据时就会自动认为是高位攻击代码，自动将其隔离，并进行相关的处理操作)。
楼上的两种解决方法我比较推崇第二种，但其实还是有第三种解决方案的(大家不要或我为某产品卖广告就好:)。
小方法辨别电脑是否中毒
[ 2007-03-25 02:58:45 | 作者: sun ]
电脑中毒症状一览
1.平时运行好端端的电脑，却变得迟钝起来，反应缓慢，出现蓝屏甚至死机；
2.程序载入的时间变长。有些病毒能控制程序或系统的启动程序，当系统刚开始启动或是一个应用程序被载入时，这些病毒将执行它们的动作，因此要花更多的时间来载入程序；
3.可执行程序文件的大小改变了。正常情况下，这些程序应该维持固定的大小，但有些病毒会增加程序文件的大小；
4.对同样一个简单的工作，磁盘却花了要长得多的时间才能完成。例如，原本储存一页的文字只需一秒，但感染病毒可能会花更多的时间来寻找未感染的文件；
5.没有存取磁盘，但磁盘指示灯却一直在亮。硬盘的指示灯无缘无故一直在亮着，意味着电脑可能受到病毒感染了；
6.开机后出现陌生的声音、画面或提示信息，以及不寻常的错误信息或乱码。尤其是当这种信息频繁出现时，表明你的系统可能已经中毒了；
7.系统内存或硬盘的容量突然大幅减少。有些病毒会消耗可观的内存或硬盘容量，曾经执行过的程序，再次执行时，突然告诉你没有足够的内存可以利用，或者硬盘空间意外变小；
8.文件名称、扩展名、日期、属性等被更改过；
9.文件的内容改变或被加上一些奇怪的资料；
10.文件离奇消失。
（如果您的电脑有以上症状出现，请及时"就诊"）
如何预防电脑病毒
病毒的传染无非是两种方式：一是网络，二是软盘与光盘。如今由于电子邮件的盛行，通过互联网传递的病毒要远远高于后者。
1、不要轻易下载小网站的软件与程序。
2、不要光顾那些很诱惑人的小网站，因为这些网站很有可能就是网络陷阱。
3、不要随便打开某些来路不明的E-mail与附件程序。
4、安装正版杀毒软件公司提供的防火墙，并注意时时打开着。
5、不要在线启动、阅读某些文件，否则您很有可能成为网络病毒的传播者。
6、经常给自己发封E-mail，看看是否会收到第二封未属标题及附带程序的邮件。
对于软盘，光盘传染的病毒，不要随便打开程序或安装软件。可以先复制到硬盘上，接着用杀毒软件检查一遍，再执行安装或打开命令。
1.平时运行好端端的电脑，却变得迟钝起来，反应缓慢，出现蓝屏甚至死机；
2.程序载入的时间变长。有些病毒能控制程序或系统的启动程序，当系统刚开始启动或是一个应用程序被载入时，这些病毒将执行它们的动作，因此要花更多的时间来载入程序；
3.可执行程序文件的大小改变了。正常情况下，这些程序应该维持固定的大小，但有些病毒会增加程序文件的大小；
4.对同样一个简单的工作，磁盘却花了要长得多的时间才能完成。例如，原本储存一页的文字只需一秒，但感染病毒可能会花更多的时间来寻找未感染的文件；
5.没有存取磁盘，但磁盘指示灯却一直在亮。硬盘的指示灯无缘无故一直在亮着，意味着电脑可能受到病毒感染了；
6.开机后出现陌生的声音、画面或提示信息，以及不寻常的错误信息或乱码。尤其是当这种信息频繁出现时，表明你的系统可能已经中毒了；
7.系统内存或硬盘的容量突然大幅减少。有些病毒会消耗可观的内存或硬盘容量，曾经执行过的程序，再次执行时，突然告诉你没有足够的内存可以利用，或者硬盘空间意外变小；
8.文件名称、扩展名、日期、属性等被更改过；
9.文件的内容改变或被加上一些奇怪的资料；
10.文件离奇消失。
（如果您的电脑有以上症状出现，请及时"就诊"）
如何预防电脑病毒
病毒的传染无非是两种方式：一是网络，二是软盘与光盘。如今由于电子邮件的盛行，通过互联网传递的病毒要远远高于后者。
1、不要轻易下载小网站的软件与程序。
2、不要光顾那些很诱惑人的小网站，因为这些网站很有可能就是网络陷阱。
3、不要随便打开某些来路不明的E-mail与附件程序。
4、安装正版杀毒软件公司提供的防火墙，并注意时时打开着。
5、不要在线启动、阅读某些文件，否则您很有可能成为网络病毒的传播者。
6、经常给自己发封E-mail，看看是否会收到第二封未属标题及附带程序的邮件。
对于软盘，光盘传染的病毒，不要随便打开程序或安装软件。可以先复制到硬盘上，接着用杀毒软件检查一遍，再执行安装或打开命令。
浅谈高手是如何针对DDos部署防御措施的
[ 2007-03-25 02:58:34 | 作者: sun ]
ddos（distributed denial of service，分布式拒绝服务）攻击的主要手段是通过大于管道处理能力的流量淹没管道或通过超过处理能力的任务使系统瘫痪，所以理论上只要攻击者能够获得比目标更强大的“动力”，目标是注定会被攻陷的。
对于ddos攻击来说并没有100％有效的防御手段。但是由于攻击者必须付出比防御者大得多的资源和努力才能拥有这样的“动力”，所以只要我们更好的了解ddos攻击，积极部署防御措施，还是能够在很大程度上缓解和抵御这类安全威胁的。
增强防御力
对抗ddos攻击一个很重要的要素就是增强自身的防御能力。使用更大的带宽及提升相关设备的性能是面对ddos攻击最直接的处理方法。虽然这必定需要耗用一定的资源，但是对于那些将生存寄托于这些在线系统的企业来说，进行这种投入是具备足够理由的。只是在执行这类“硬性增幅”的时候，我们需要把握适度的原则。
因为我们的资源是有限的，如果增加100%的投入仅能在相关性能及ddos防御力上获得10%的提升，明显是一种得不偿失的处理方式，毕竟这并不是我们仅有的选择。而且攻击者的资源同样是有限的，在我们增加防御强度的同时，就意味着攻击者必须集合比原来多得多的攻击傀儡机来实施攻击，并且会提高攻击者暴露的风险。不过应该记住的是，真正有效的ddos防御并不是陷入与攻击者“角力”的恶性循环当中，而是应该综合各种方法，为攻击者设置足够的障碍。
目标系统处理
攻击者的最终目标可能是一台主机，也可能是一台网络设备。除了对其目标的硬件能力进行增强之外，我们同样应该充分发挥系统自身的潜能，通过对目标系统的针对性处理，我们可以有效地放大现有资源的能量。最基本的任务是做好更新补丁的工作。特别是一些操作系统的通讯协议堆栈存在着问题，很容易成为拒绝服务攻击的利用对象。因为利用漏洞实施拒绝服务攻击相对于纯粹的设施能力比拼要容易的多。如果不能保证消除明显可被拒绝服务攻击利用的漏洞，其它的防御工作将只能成为摆设。
好在现在各类系统的补丁更新速度还是比较令人满意的，只要根据自身环境的情况注意对相关系统的补丁发布情况进行跟踪就可以了。一些经常被使用的方法还包括限制连接队列的长度以及减少处理延时等。前者可以缓解系统资源的耗尽，虽然不能完全避免“拒绝服务”的发生，但是至少在一定程度上降低了系统崩溃的可能性。而后者能够加强系统的处理能力，通过减少延时，我们可以以更快的速度抛弃队列里的等待的连接，而不是任其堆满队列；不过这种方法也不是在所有的情况下都有效，因为很多ddos的攻击机制并不是建立在类似syn flood这样以畸形连接淹没队列的方式之上。
纵深防御
攻击者和目标通常并非直接相连，两者之间要经过很多网络节点才能进行通信。所以我们可以在受保护系统之前尽可能部署有效的屏障，以缓解系统的压力。设置屏障最主要的工具就是_blank">防火墙，先进的_blank">防火墙产品能够有效识别和处理数据包的深层内容，这样有助于我们设置更加细致的过滤。
现在有很多_blank">防火墙产品集成了反ddos功能，进一步提高了对常见ddos攻击包的识别能力。这样的产品可以在很大程度上增强ddos防御能力，并且可以做到不对数据包进行完全检查就可以发现“恶意行为”。这是非常有帮助的能力，因为如果判断ddos攻击所耗费的处理越少，就越不容易被耗尽处理能力，从而极大的增加攻击者的成本。包括很多路由器产品在内的网络设备都具备一些_blank">防火墙功能，我们应该尽可能充分的利用。
特别是路由器本身负责对数据流进行导向，应尽可能将其置于“前哨”位置。这样既可以起到御敌于千里之外的作用，又可以灵活地将攻击包导向到其它无害的位置甚至化攻击于虚无。当然，攻击者对这些防御层也会有或浅或深的体认，不会一味地以目标系统作为惟一的打击点，他们很可能会在受到这些设施的阻挠之后转而组织针对这些设施的攻击，这就需要我们动态的对防御设施进行调整，随机应变。
除了以上这些基础的方法和工具之外，还有一些更高级的技巧可以利用，例如我们可以进行冗余设计，以在系统瘫痪于攻击发生时有可以随时启用的应急机制；也可以部署一些陷阱部件，既可以用于吸引攻击流量，也可以对攻击者起到一定的迷惑作用。
知己者胜
其实在对我们进行安全防御时，最重要的因素之一是对系统的透彻了解。例如我们必须清楚地知道系统对外开放了哪些服务，哪些访问是被禁止的。同时，当有ddos攻击迹象发生的时候，我们也应该很好地判断攻击利用了系统的哪些处理机制。虽然我们已经听过无数人无数次的重复“关闭不必要服务”，但显然其重要性仍未被充分认知。
有时一个端口没有开放我们就认为其处于安全状态，其实事实并非如此。很多时候，一些关闭的端口由于设计上的原因仍会响应某些查询，这一点经常被ddos攻击所利用。攻击者通过向这些看似沉睡的端口发送海量的查询耗尽目标系统的资源从而达到自己的目的。我们经常利用一个称为shields up!!的基于web接口的工具检查端口的真实状态，我们可以从http://www.grc.com/找到该工具的登入接口。
我们在一台联网的工作站上登录其页面并执行all service ports检测，返回的结果页会列出从0到1055端口状态的方格图，绿色的小块儿表示该端口处于安全的隐秘（stealth）状态，将不会对外界做出任何响应。如果小块儿是代表危险的红色，说明该端口处于开放状态。而如果小块儿是蓝色的话，说明该端口处于关闭状态，虽然大部分程序无法使用这些端口，但不代表其绝对安全。通过类似的工具我们可以更透彻的了解我们暴露在网络上的都是什么，也才能进行真正有效的处理，同时不会忽视存在的隐患。
对于ddos攻击来说并没有100％有效的防御手段。但是由于攻击者必须付出比防御者大得多的资源和努力才能拥有这样的“动力”，所以只要我们更好的了解ddos攻击，积极部署防御措施，还是能够在很大程度上缓解和抵御这类安全威胁的。
增强防御力
对抗ddos攻击一个很重要的要素就是增强自身的防御能力。使用更大的带宽及提升相关设备的性能是面对ddos攻击最直接的处理方法。虽然这必定需要耗用一定的资源，但是对于那些将生存寄托于这些在线系统的企业来说，进行这种投入是具备足够理由的。只是在执行这类“硬性增幅”的时候，我们需要把握适度的原则。
因为我们的资源是有限的，如果增加100%的投入仅能在相关性能及ddos防御力上获得10%的提升，明显是一种得不偿失的处理方式，毕竟这并不是我们仅有的选择。而且攻击者的资源同样是有限的，在我们增加防御强度的同时，就意味着攻击者必须集合比原来多得多的攻击傀儡机来实施攻击，并且会提高攻击者暴露的风险。不过应该记住的是，真正有效的ddos防御并不是陷入与攻击者“角力”的恶性循环当中，而是应该综合各种方法，为攻击者设置足够的障碍。
目标系统处理
攻击者的最终目标可能是一台主机，也可能是一台网络设备。除了对其目标的硬件能力进行增强之外，我们同样应该充分发挥系统自身的潜能，通过对目标系统的针对性处理，我们可以有效地放大现有资源的能量。最基本的任务是做好更新补丁的工作。特别是一些操作系统的通讯协议堆栈存在着问题，很容易成为拒绝服务攻击的利用对象。因为利用漏洞实施拒绝服务攻击相对于纯粹的设施能力比拼要容易的多。如果不能保证消除明显可被拒绝服务攻击利用的漏洞，其它的防御工作将只能成为摆设。
好在现在各类系统的补丁更新速度还是比较令人满意的，只要根据自身环境的情况注意对相关系统的补丁发布情况进行跟踪就可以了。一些经常被使用的方法还包括限制连接队列的长度以及减少处理延时等。前者可以缓解系统资源的耗尽，虽然不能完全避免“拒绝服务”的发生，但是至少在一定程度上降低了系统崩溃的可能性。而后者能够加强系统的处理能力，通过减少延时，我们可以以更快的速度抛弃队列里的等待的连接，而不是任其堆满队列；不过这种方法也不是在所有的情况下都有效，因为很多ddos的攻击机制并不是建立在类似syn flood这样以畸形连接淹没队列的方式之上。
纵深防御
攻击者和目标通常并非直接相连，两者之间要经过很多网络节点才能进行通信。所以我们可以在受保护系统之前尽可能部署有效的屏障，以缓解系统的压力。设置屏障最主要的工具就是_blank">防火墙，先进的_blank">防火墙产品能够有效识别和处理数据包的深层内容，这样有助于我们设置更加细致的过滤。
现在有很多_blank">防火墙产品集成了反ddos功能，进一步提高了对常见ddos攻击包的识别能力。这样的产品可以在很大程度上增强ddos防御能力，并且可以做到不对数据包进行完全检查就可以发现“恶意行为”。这是非常有帮助的能力，因为如果判断ddos攻击所耗费的处理越少，就越不容易被耗尽处理能力，从而极大的增加攻击者的成本。包括很多路由器产品在内的网络设备都具备一些_blank">防火墙功能，我们应该尽可能充分的利用。
特别是路由器本身负责对数据流进行导向，应尽可能将其置于“前哨”位置。这样既可以起到御敌于千里之外的作用，又可以灵活地将攻击包导向到其它无害的位置甚至化攻击于虚无。当然，攻击者对这些防御层也会有或浅或深的体认，不会一味地以目标系统作为惟一的打击点，他们很可能会在受到这些设施的阻挠之后转而组织针对这些设施的攻击，这就需要我们动态的对防御设施进行调整，随机应变。
除了以上这些基础的方法和工具之外，还有一些更高级的技巧可以利用，例如我们可以进行冗余设计，以在系统瘫痪于攻击发生时有可以随时启用的应急机制；也可以部署一些陷阱部件，既可以用于吸引攻击流量，也可以对攻击者起到一定的迷惑作用。
知己者胜
其实在对我们进行安全防御时，最重要的因素之一是对系统的透彻了解。例如我们必须清楚地知道系统对外开放了哪些服务，哪些访问是被禁止的。同时，当有ddos攻击迹象发生的时候，我们也应该很好地判断攻击利用了系统的哪些处理机制。虽然我们已经听过无数人无数次的重复“关闭不必要服务”，但显然其重要性仍未被充分认知。
有时一个端口没有开放我们就认为其处于安全状态，其实事实并非如此。很多时候，一些关闭的端口由于设计上的原因仍会响应某些查询，这一点经常被ddos攻击所利用。攻击者通过向这些看似沉睡的端口发送海量的查询耗尽目标系统的资源从而达到自己的目的。我们经常利用一个称为shields up!!的基于web接口的工具检查端口的真实状态，我们可以从http://www.grc.com/找到该工具的登入接口。
我们在一台联网的工作站上登录其页面并执行all service ports检测，返回的结果页会列出从0到1055端口状态的方格图，绿色的小块儿表示该端口处于安全的隐秘（stealth）状态，将不会对外界做出任何响应。如果小块儿是代表危险的红色，说明该端口处于开放状态。而如果小块儿是蓝色的话，说明该端口处于关闭状态，虽然大部分程序无法使用这些端口，但不代表其绝对安全。通过类似的工具我们可以更透彻的了解我们暴露在网络上的都是什么，也才能进行真正有效的处理，同时不会忽视存在的隐患。
深入解析并防范电脑蠕虫病毒!
[ 2007-03-25 02:58:21 | 作者: sun ]
凡能够引起计算机故障，破坏计算机数据的程序统称为计算机病毒。所以从这个意义上说，蠕虫也是一种病毒！网络蠕虫病毒，作为对互联网危害严重的 一种计算机程序，其破坏力和传染性不容忽视。与传统的病毒不同，蠕虫病毒以计算机为载体，以网络为攻击对象！本文中将蠕虫病毒分为针对企业网络和个人用户2类，并从企业用户和个人用户两个方面探讨蠕虫病毒的特征和一些防范措施!
...
阅读全文...
...
阅读全文...
通过HttpModule实现数据库防注入
[ 2007-03-25 02:58:07 | 作者: sun ]
通过相应的关键字去识别是否有 Sql注入攻击代码
string SqlStr = "and |exec |insert |select |delete |update |count | * |chr |mid |master |truncate |char |declare ";
在下面的代码中你要看以上面的定义, 其实就是定义要识别的关键字.
而我们处理请求一般都是通过 Request.QueryString / Request.Form 这两种
我们可以专门写一个类去处理这些请求, 但如果在每一个处理环节都载入这个类去做处理, 那太麻烦了.
如果写一个ISAPI当然也能完成这个功能的实现, 但在.NET 中 HttpModule帮我们实现了类似于ISAPI Filter的功能, 所以改为通过 HttpModule 去处理这些事情是最好不过的啦.
我们现在要用到的只是里面的BeginRequest这个事件, 所以只需要注册BeginRequest这个事件就可以了.
REM 过滤字符串
Dim strFilter As String = "and|exec|insert|select|delete|update|count|*|chr|mid|master|truncate|char|declare|&"
REM 分割后的过滤字符串数组
Dim strf() As String
Dim strTemp1, strTemp2 As String
strf = strFilter.Split("|")
If Request.RequestType = "GET" Then
For Each strTemp1 In Request.QueryString
For Each strTemp2 In strf
If InStr(LCase(strTemp1), LCase(strTemp2), CompareMethod.Text) Then
Response.Write("想干啥？别注我！有漏洞通知QQ：26242000")
Response.End()
End If
Next
Next
ElseIf Request.RequestType = "POST" Then
For Each strTemp1 In Request.Form
For Each strTemp2 In strf
If InStr(LCase(strTemp1), LCase(strTemp2), CompareMethod.Text) Then
Response.Write("想干啥？别注我！有漏洞通知QQ：26242000")
Response.End()
End If
Next
Next
End If
再来看看我在百度上找的sql防攻击代码
// @copyright S.Sams Lifexperience http://blog.8see.net/
using System;
namespace Theme.Services.Public
{
/// <summary>
/// SqlstrAny 的摘要说明。
/// </summary>
public class ProcessRequest
{
public ProcessRequest()
{
//
// TODO: 在此处添加构造函数逻辑
//
}
#region SQL注入式攻击代码分析
/// <summary>
/// 处理用户提交的请求
/// </summary>
public void StartProcessRequest()
{
try
{
string getkeys = "";
string sqlErrorPage = System.Configuration.ConfigurationSettings.AppSettings["CustomErrorPage"].ToString();
if (System.Web.HttpContext.Current.Request.QueryString != null)
{
for(int i=0;i<System.Web.HttpContext.Current.Request.QueryString.Count;i++)
{
getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys[i];
if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage+"?errmsg=sqlserver&sqlprocess=true");
System.Web.HttpContext.Current.Response.End();
}
}
}
if (System.Web.HttpContext.Current.Request.Form != null)
{
for(int i=0;i<System.Web.HttpContext.Current.Request.Form.Count;i++)
{
getkeys = System.Web.HttpContext.Current.Request.Form.Keys[i];
if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage+"?errmsg=sqlserver&sqlprocess=true");
System.Web.HttpContext.Current.Response.End();
}
}
}
}
catch
{
// 错误处理: 处理用户提交信息!
}
}
/// <summary>
/// 分析用户请求是否正常
/// </summary>
/// <param name="Str">传入用户提交数据</param>
/// <returns>返回是否含有SQL注入式攻击代码</returns>
private bool ProcessSqlStr(string Str)
{
bool ReturnValue = true;
try
{
if (Str != "")
{
string SqlStr = "and |exec |insert |select |delete |update |count | * |chr |mid |master |truncate |char |declare ";
string[] anySqlStr = SqlStr.Split('|');
foreach (string ss in anySqlStr)
{
if (Str.IndexOf(ss)>=0)
{
ReturnValue = false;
}
}
}
}
catch
{
ReturnValue = false;
}
return ReturnValue;
}
#endregion
}
}
// System.Configuration.ConfigurationSettings.AppSettings["CustomErrorPage"].ToString(); 这个为用户自定义错误页面提示地址,
//在Web.Config文件时里面添加一个 CustomErrorPage 即可
//<!-- 防止SQL数据库注入攻击的出错页面自定义地址 -->
// <add key="CustomErrorPage" value="../Error.html" />
string SqlStr = "and |exec |insert |select |delete |update |count | * |chr |mid |master |truncate |char |declare ";
在下面的代码中你要看以上面的定义, 其实就是定义要识别的关键字.
而我们处理请求一般都是通过 Request.QueryString / Request.Form 这两种
我们可以专门写一个类去处理这些请求, 但如果在每一个处理环节都载入这个类去做处理, 那太麻烦了.
如果写一个ISAPI当然也能完成这个功能的实现, 但在.NET 中 HttpModule帮我们实现了类似于ISAPI Filter的功能, 所以改为通过 HttpModule 去处理这些事情是最好不过的啦.
我们现在要用到的只是里面的BeginRequest这个事件, 所以只需要注册BeginRequest这个事件就可以了.
REM 过滤字符串
Dim strFilter As String = "and|exec|insert|select|delete|update|count|*|chr|mid|master|truncate|char|declare|&"
REM 分割后的过滤字符串数组
Dim strf() As String
Dim strTemp1, strTemp2 As String
strf = strFilter.Split("|")
If Request.RequestType = "GET" Then
For Each strTemp1 In Request.QueryString
For Each strTemp2 In strf
If InStr(LCase(strTemp1), LCase(strTemp2), CompareMethod.Text) Then
Response.Write("想干啥？别注我！有漏洞通知QQ：26242000")
Response.End()
End If
Next
Next
ElseIf Request.RequestType = "POST" Then
For Each strTemp1 In Request.Form
For Each strTemp2 In strf
If InStr(LCase(strTemp1), LCase(strTemp2), CompareMethod.Text) Then
Response.Write("想干啥？别注我！有漏洞通知QQ：26242000")
Response.End()
End If
Next
Next
End If
再来看看我在百度上找的sql防攻击代码
// @copyright S.Sams Lifexperience http://blog.8see.net/
using System;
namespace Theme.Services.Public
{
/// <summary>
/// SqlstrAny 的摘要说明。
/// </summary>
public class ProcessRequest
{
public ProcessRequest()
{
//
// TODO: 在此处添加构造函数逻辑
//
}
#region SQL注入式攻击代码分析
/// <summary>
/// 处理用户提交的请求
/// </summary>
public void StartProcessRequest()
{
try
{
string getkeys = "";
string sqlErrorPage = System.Configuration.ConfigurationSettings.AppSettings["CustomErrorPage"].ToString();
if (System.Web.HttpContext.Current.Request.QueryString != null)
{
for(int i=0;i<System.Web.HttpContext.Current.Request.QueryString.Count;i++)
{
getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys[i];
if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage+"?errmsg=sqlserver&sqlprocess=true");
System.Web.HttpContext.Current.Response.End();
}
}
}
if (System.Web.HttpContext.Current.Request.Form != null)
{
for(int i=0;i<System.Web.HttpContext.Current.Request.Form.Count;i++)
{
getkeys = System.Web.HttpContext.Current.Request.Form.Keys[i];
if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage+"?errmsg=sqlserver&sqlprocess=true");
System.Web.HttpContext.Current.Response.End();
}
}
}
}
catch
{
// 错误处理: 处理用户提交信息!
}
}
/// <summary>
/// 分析用户请求是否正常
/// </summary>
/// <param name="Str">传入用户提交数据</param>
/// <returns>返回是否含有SQL注入式攻击代码</returns>
private bool ProcessSqlStr(string Str)
{
bool ReturnValue = true;
try
{
if (Str != "")
{
string SqlStr = "and |exec |insert |select |delete |update |count | * |chr |mid |master |truncate |char |declare ";
string[] anySqlStr = SqlStr.Split('|');
foreach (string ss in anySqlStr)
{
if (Str.IndexOf(ss)>=0)
{
ReturnValue = false;
}
}
}
}
catch
{
ReturnValue = false;
}
return ReturnValue;
}
#endregion
}
}
// System.Configuration.ConfigurationSettings.AppSettings["CustomErrorPage"].ToString(); 这个为用户自定义错误页面提示地址,
//在Web.Config文件时里面添加一个 CustomErrorPage 即可
//<!-- 防止SQL数据库注入攻击的出错页面自定义地址 -->
// <add key="CustomErrorPage" value="../Error.html" />
巧妙的搭建一个Windows下的蜜罐系统
[ 2007-03-25 02:57:52 | 作者: sun ]
搭建一个基于*nix系统的蜜罐网络相对说来需要比较多系统维护和网络安全知识的基础，但是做一个windows系统的蜜罐(下面简称winpot)的门槛就比较低，而且大部分朋友都会M$的select & click :)，今天我们就一起尝试搭建一个windows下的蜜罐系统
由于win和*nix系统不一样，我们很难使用有效的工具来完整的追踪入侵者的行为，因为win下有各式各样的远程管理软件(VNC,remote-anything)，而对于这些软件，大部分杀毒软件是不查杀他们的，而我们也没有象LIDS那样强大的工具来控制Administrator的权限，相对而言，winpot的风险稍微大了点，而且需要花更加多的时间和精力去看管他，没办法，门槛低了，风险当然就会相对高了。
OK，开始
先介绍一下我们需要的软件
vpc Virtual pc，他是一个虚拟操作系统的软件，当然你也可以选择vmware.
ActivePerl-5.8.0.805-MSWin32-x86.msi windows下的perl解析器
evtsys_exe.zip 一个把系统日志发送到log服务器的程序
comlog101.zip 一个用perl写的偷偷记录cmd.exe的程序，不会在进程列表中显示，因为入侵者运行的的确是cmd.exe :)
Kiwi_Syslog_Daemon_7 一个很专业的日志服务器软件
norton antivirus enterprise client 我最喜欢的杀毒软件，支持win2k server。当然，如果你觉得其他的更加适合你，你有权选择
ethereal-setup-0.9.8.exe Ethereal的windows版本，Ethereal是*nix下一个很出名的sniffer，当然，如果你已经在你的honeynet中布置好了
sniffer,这个大可不必了，但是本文主要还是针对Dvldr 蠕虫的，而且ethereal的decode功能很强，用他来获取irc MSG很不错的
WinPcap_3_0_beta.exe ethereal需要他的支持。
md5sum.exe windows下用来进行md5sum校验的工具
绿色警戒防火墙 对入侵者做限制
windows 2000 professional的ISO镜象 用vpc虚拟操作系统的时候需要用到他
除了windows 2000 professional的ISO镜象，本文涉及的所有程序都可以在郑州大学网络安全园下载的到
http://www.520hack.com
Dvldr蠕虫简介
他是一个利用windows 2000/NT弱口令的蠕虫。该蠕虫用所带的字典暴力破解随机生成的ip的机器，如果成功，则感染机器，并植入VNC修改版
本，并向一个irc列表汇报已经感染主机的信息，同时继续向其他机器感染。可以访问郑州大学网络安全园或者关于他更详细的信息。
一：使用VPC安装一个win2k pro，具体的安装方法本文就省略了，打上所有的补丁，只留一个漏洞，就是dvldr蠕虫需要的administrator的空
密码。
二：安装norton antivirus enterprise client，升级到最新的病毒库，并启动实时监控
三：用cmdlog替换cmd.exe程序,把comlog101.zip解压缩后有五个文件cmd.exe,cmd101.pl,COMLOG.txt,MD5.txt,README.txt,其中cmdlog.txt和
readme.txt都是说明文件，md5.txt包含这五个文件的md5校验和的值，我们可以使用md5sum.exe工具来检测一下他们是否遭受修改
D:comlog101>md5sum.exe *
md5sum.exe: .: Permission denied
md5sum.exe: ..: Permission denied
f86ba5ffaa8800a2efa9093d2f11ae6f *cmd.exe
484c4708c17b5a120cb08e40498fea5f *com101.pl
001a6f9ca5f6cf01a23076bad9c6261a *comlog.txt
121bf60bc53999c90c6405440567064b *md5.txt
eb574b236133e60c989c6f472f07827b *md5sum.exe
42605ecfa6fe0f446c915a41396a7266 *README.TXT
把这些数字和md5.txt的数字对比，如果出现不一致，就证明程序遭受修改，请勿使用并通知我
在校验无误之后,我们开始覆盖系统的cmd.exe。先打开资源管理器-->工具-->文件夹选项-->查看，把"隐藏受保护的操作系统文件"的钩去掉，
并选择"显示所有文件和文件夹"-->确定
然后去到C:WINNTsystem32dllcache目录，并找到cmd.exe,并把他改名成cm_.exe,再把comlog101下的cmd.exe和com101.pl复制到这里,并把C
:WINNTsystem32下的cmd.exe也改成cm_.exe，同样把comlog101目录下的cmd.exe和com101.pl复制到这里。在这段时间，系统会提醒你系统
文件遭到修改，问你是否修复，选择取消就可以了。然后在C:WINNTHelp目录下建一个叫"Tutor"的目录，这里是用来放cmd.exe的命令记录的地方，当然你同样可以修改com101.pl来选择日志的存放位置。
现在我们运行cmd.exe,你会发现窗口一闪而过，这是因为我们还没装perl解析器。运行ActivePerl-5.8.0.805-MSWin32-x86.msi，一路next就OK了。
现在我们运行cmd.exe,这回我们可爱的cmd窗口就跳出来了，随便敲几个东西进去，然后去到C:WINNTHelpTutor目录下，你就可以看到记录了。为了避免记录自己在cmd.exe的操作，我们可以把原来的cmd.exe改成另外一个名字来执行。
四：安装日志服务器，我们选择Kiwi的Syslog Daemon 7是因为他够专业并且有很多统计信息和支持产品，一路next并启动服务即可。
netstat -an我们可以看到514端口
UDP 0.0.0.0:514 *:*
五：安装evtsys_exe,解压缩之后有两个程序evtsys.exe和evtsys.dll，同样需要检测文件是否被修改
D:evtsys_exe>md5sum.exe *
md5sum.exe: .: Permission denied
md5sum.exe: ..: Permission denied
f5ba9453e12dc030b5e19f75c079fec2 *evtsys.dll
dcc02e429fbb769ea5d94a2ff0a14067 *evtsys.exe
eb574b236133e60c989c6f472f07827b *md5sum.exe
如果一切正常的话，执行evtsys.exe /?
D:evtsys_exe>evtsys.exe /?
Usage: evtsys.exe -i|-u|-d [-h host] [-p port] [-q char]
-i Install service (安装服务)
-u Uninstall service (卸载服务)
-d Debug: run as console program (以debug模式运行)
-h host Name of log host (日志服务器IP地址)
-p port Port number of syslogd (日志服务器端口，默认是514)
-q char Quote messages with character
Default port: 514
我们运行D:evtsys_exe>evtsys.exe -h 日志服务器IP -i来安装服务
这样你系统的应用程序日志，系统日志，安全日志都会发到日志服务器去了，这样我们就可以更加真实的了解到系统的运行情况。
六：安装WinPcap_3_0_beta.exe和ethereal-setup-0.9.8.exe
下面针对本案例大概的说说ethereal的使用
先启动ethereal
capture->start
capture packets in promiscuous mode
不选这个，因为我们只需要得到本机的信息，不需要以混杂模式运行
filter
filter name:irc
string:ip host urip and tcp port 6667
只能有一条规则，但是可以使用逻辑符号
否定(`!' or `not')
交集(`&&' or `and')
并集(`||' or `or')
还有=,>=,+,&等等
更加详细的设置请查看ethereal的manual
先自己测试一下sniffer是否工作
连接上IRC，并发言，我们可以看到一些结果
然后选择一个记录，并且按”follow tcp stream”就可以查看IRC的聊天内容了
七：安装设置绿色警戒防火墙 关闭“进入请求通知”，开放共享，把所有的入侵检测对策的“拦截”都改成“警告”，警告级别都改成“记录”，我们主要是想了解一下大概的攻击情况
接着打扫战场，把你下载的软件，临时文件，历史记录，文档的记录全部删除，但是别忘记用regsnap做个镜象哦，最后再次开启ethereal
现在剩下的就是等蠕虫感染来了………………
由于win和*nix系统不一样，我们很难使用有效的工具来完整的追踪入侵者的行为，因为win下有各式各样的远程管理软件(VNC,remote-anything)，而对于这些软件，大部分杀毒软件是不查杀他们的，而我们也没有象LIDS那样强大的工具来控制Administrator的权限，相对而言，winpot的风险稍微大了点，而且需要花更加多的时间和精力去看管他，没办法，门槛低了，风险当然就会相对高了。
OK，开始
先介绍一下我们需要的软件
vpc Virtual pc，他是一个虚拟操作系统的软件，当然你也可以选择vmware.
ActivePerl-5.8.0.805-MSWin32-x86.msi windows下的perl解析器
evtsys_exe.zip 一个把系统日志发送到log服务器的程序
comlog101.zip 一个用perl写的偷偷记录cmd.exe的程序，不会在进程列表中显示，因为入侵者运行的的确是cmd.exe :)
Kiwi_Syslog_Daemon_7 一个很专业的日志服务器软件
norton antivirus enterprise client 我最喜欢的杀毒软件，支持win2k server。当然，如果你觉得其他的更加适合你，你有权选择
ethereal-setup-0.9.8.exe Ethereal的windows版本，Ethereal是*nix下一个很出名的sniffer，当然，如果你已经在你的honeynet中布置好了
sniffer,这个大可不必了，但是本文主要还是针对Dvldr 蠕虫的，而且ethereal的decode功能很强，用他来获取irc MSG很不错的
WinPcap_3_0_beta.exe ethereal需要他的支持。
md5sum.exe windows下用来进行md5sum校验的工具
绿色警戒防火墙 对入侵者做限制
windows 2000 professional的ISO镜象 用vpc虚拟操作系统的时候需要用到他
除了windows 2000 professional的ISO镜象，本文涉及的所有程序都可以在郑州大学网络安全园下载的到
http://www.520hack.com
Dvldr蠕虫简介
他是一个利用windows 2000/NT弱口令的蠕虫。该蠕虫用所带的字典暴力破解随机生成的ip的机器，如果成功，则感染机器，并植入VNC修改版
本，并向一个irc列表汇报已经感染主机的信息，同时继续向其他机器感染。可以访问郑州大学网络安全园或者关于他更详细的信息。
一：使用VPC安装一个win2k pro，具体的安装方法本文就省略了，打上所有的补丁，只留一个漏洞，就是dvldr蠕虫需要的administrator的空
密码。
二：安装norton antivirus enterprise client，升级到最新的病毒库，并启动实时监控
三：用cmdlog替换cmd.exe程序,把comlog101.zip解压缩后有五个文件cmd.exe,cmd101.pl,COMLOG.txt,MD5.txt,README.txt,其中cmdlog.txt和
readme.txt都是说明文件，md5.txt包含这五个文件的md5校验和的值，我们可以使用md5sum.exe工具来检测一下他们是否遭受修改
D:comlog101>md5sum.exe *
md5sum.exe: .: Permission denied
md5sum.exe: ..: Permission denied
f86ba5ffaa8800a2efa9093d2f11ae6f *cmd.exe
484c4708c17b5a120cb08e40498fea5f *com101.pl
001a6f9ca5f6cf01a23076bad9c6261a *comlog.txt
121bf60bc53999c90c6405440567064b *md5.txt
eb574b236133e60c989c6f472f07827b *md5sum.exe
42605ecfa6fe0f446c915a41396a7266 *README.TXT
把这些数字和md5.txt的数字对比，如果出现不一致，就证明程序遭受修改，请勿使用并通知我
在校验无误之后,我们开始覆盖系统的cmd.exe。先打开资源管理器-->工具-->文件夹选项-->查看，把"隐藏受保护的操作系统文件"的钩去掉，
并选择"显示所有文件和文件夹"-->确定
然后去到C:WINNTsystem32dllcache目录，并找到cmd.exe,并把他改名成cm_.exe,再把comlog101下的cmd.exe和com101.pl复制到这里,并把C
:WINNTsystem32下的cmd.exe也改成cm_.exe，同样把comlog101目录下的cmd.exe和com101.pl复制到这里。在这段时间，系统会提醒你系统
文件遭到修改，问你是否修复，选择取消就可以了。然后在C:WINNTHelp目录下建一个叫"Tutor"的目录，这里是用来放cmd.exe的命令记录的地方，当然你同样可以修改com101.pl来选择日志的存放位置。
现在我们运行cmd.exe,你会发现窗口一闪而过，这是因为我们还没装perl解析器。运行ActivePerl-5.8.0.805-MSWin32-x86.msi，一路next就OK了。
现在我们运行cmd.exe,这回我们可爱的cmd窗口就跳出来了，随便敲几个东西进去，然后去到C:WINNTHelpTutor目录下，你就可以看到记录了。为了避免记录自己在cmd.exe的操作，我们可以把原来的cmd.exe改成另外一个名字来执行。
四：安装日志服务器，我们选择Kiwi的Syslog Daemon 7是因为他够专业并且有很多统计信息和支持产品，一路next并启动服务即可。
netstat -an我们可以看到514端口
UDP 0.0.0.0:514 *:*
五：安装evtsys_exe,解压缩之后有两个程序evtsys.exe和evtsys.dll，同样需要检测文件是否被修改
D:evtsys_exe>md5sum.exe *
md5sum.exe: .: Permission denied
md5sum.exe: ..: Permission denied
f5ba9453e12dc030b5e19f75c079fec2 *evtsys.dll
dcc02e429fbb769ea5d94a2ff0a14067 *evtsys.exe
eb574b236133e60c989c6f472f07827b *md5sum.exe
如果一切正常的话，执行evtsys.exe /?
D:evtsys_exe>evtsys.exe /?
Usage: evtsys.exe -i|-u|-d [-h host] [-p port] [-q char]
-i Install service (安装服务)
-u Uninstall service (卸载服务)
-d Debug: run as console program (以debug模式运行)
-h host Name of log host (日志服务器IP地址)
-p port Port number of syslogd (日志服务器端口，默认是514)
-q char Quote messages with character
Default port: 514
我们运行D:evtsys_exe>evtsys.exe -h 日志服务器IP -i来安装服务
这样你系统的应用程序日志，系统日志，安全日志都会发到日志服务器去了，这样我们就可以更加真实的了解到系统的运行情况。
六：安装WinPcap_3_0_beta.exe和ethereal-setup-0.9.8.exe
下面针对本案例大概的说说ethereal的使用
先启动ethereal
capture->start
capture packets in promiscuous mode
不选这个，因为我们只需要得到本机的信息，不需要以混杂模式运行
filter
filter name:irc
string:ip host urip and tcp port 6667
只能有一条规则，但是可以使用逻辑符号
否定(`!' or `not')
交集(`&&' or `and')
并集(`||' or `or')
还有=,>=,+,&等等
更加详细的设置请查看ethereal的manual
先自己测试一下sniffer是否工作
连接上IRC，并发言，我们可以看到一些结果
然后选择一个记录，并且按”follow tcp stream”就可以查看IRC的聊天内容了
七：安装设置绿色警戒防火墙 关闭“进入请求通知”，开放共享，把所有的入侵检测对策的“拦截”都改成“警告”，警告级别都改成“记录”，我们主要是想了解一下大概的攻击情况
接着打扫战场，把你下载的软件，临时文件，历史记录，文档的记录全部删除，但是别忘记用regsnap做个镜象哦，最后再次开启ethereal
现在剩下的就是等蠕虫感染来了………………
修改注册表清除黑客程序保证计算机安全
[ 2007-03-25 02:57:40 | 作者: sun ]
在网络给我们的工作学习带来极大方便的同时，病毒、木马、后门以及黑客程序也严重影响着信息的安全。这些程序感染计算机的一个共同特点是在注册表中写入信息，来达到如自动运行、破坏和传播等目的。以下是笔者在网上收集的，通过修改注册表来对付病毒、木马、后门以及黑客程序，保证个人计算机的安全。
1.清理访问“网络邻居”后留下的字句信息
在HEKY_CURRENT_USER/Network/Recent下，删除下面的主键。
2.取消登陆时自动拨号
在HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Network/RealModeNet下修改右边窗口中的“autologon”为“01 00 00 00 00”。
3.取消登录时选择用户
已经删除了所有用户，但登录时还要选择用户，我们要取消登录时选择用户，就要在HKEY_LOCAL_MACHINENetworkLogon下，在右边的窗口中,修改"UserProfiles"值为"0"。
4.隐藏上机用户登录的名字
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionWinlogon下在右边的窗口中新建字符串"DontDisplayLastUserName",设值为"1"。
5.预防Acid Battery v1.0木马的破坏
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices下若在右边窗口中如发现了“Explorer”键值，则说明中了YAI木马，将它删除。
6.预防YAI木马的破坏
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices下若在右边窗口中如发现了“Batterieanzeige”键值，则说明中了YAI木马，将它删除。
7.预防Eclipse 2000木马的破坏
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices下若在右边窗口中如发现了“bybt”键值，则将它删除。然后在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices下删除右边的键值“cksys”，重新启动电脑。
8.预防BO2000的破坏
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices下若在右边窗口中如发现了“umgr32.exe”键值，则说明中了BO2000，将它删除。
9.预防爱虫的破坏
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下若在右边窗口中如发现了“MSKernel32”键值，就将它删除。
10.禁止出现IE菜单中“工具”栏里“interner选项”
把c:windowssystem下的名为inetcpl.cpl更名为inetcpl.old或则别的名字后就会出现禁止使用的情况把名字再换回来，就可以恢复使用。
11.预防BackDoor的破坏
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下若在右边窗口中如发现了“Notepad”键值，就将它删除。
12.预防WinNuke的破坏
在HKEY_LOCAL_MACHINESystemCurrentControlSetServicesVxDMSTCP下在右边的窗口中新建或修改字符串“BSDUrgent”，设其值为0。
13.预防KeyboardGhost的破坏
在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices下如发现KG.EXE这一键值，就将它删除，并查找KG.exe文件和kg.dat文件，将它们都删除
14.查找NetSpy黑客程序
在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun下,在右边的窗口中寻找键"NetSpy",如果存在,就说明已经装有NetSpy黑客程序,把它删除.
1.清理访问“网络邻居”后留下的字句信息
在HEKY_CURRENT_USER/Network/Recent下，删除下面的主键。
2.取消登陆时自动拨号
在HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Network/RealModeNet下修改右边窗口中的“autologon”为“01 00 00 00 00”。
3.取消登录时选择用户
已经删除了所有用户，但登录时还要选择用户，我们要取消登录时选择用户，就要在HKEY_LOCAL_MACHINENetworkLogon下，在右边的窗口中,修改"UserProfiles"值为"0"。
4.隐藏上机用户登录的名字
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionWinlogon下在右边的窗口中新建字符串"DontDisplayLastUserName",设值为"1"。
5.预防Acid Battery v1.0木马的破坏
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices下若在右边窗口中如发现了“Explorer”键值，则说明中了YAI木马，将它删除。
6.预防YAI木马的破坏
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices下若在右边窗口中如发现了“Batterieanzeige”键值，则说明中了YAI木马，将它删除。
7.预防Eclipse 2000木马的破坏
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices下若在右边窗口中如发现了“bybt”键值，则将它删除。然后在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices下删除右边的键值“cksys”，重新启动电脑。
8.预防BO2000的破坏
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices下若在右边窗口中如发现了“umgr32.exe”键值，则说明中了BO2000，将它删除。
9.预防爱虫的破坏
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下若在右边窗口中如发现了“MSKernel32”键值，就将它删除。
10.禁止出现IE菜单中“工具”栏里“interner选项”
把c:windowssystem下的名为inetcpl.cpl更名为inetcpl.old或则别的名字后就会出现禁止使用的情况把名字再换回来，就可以恢复使用。
11.预防BackDoor的破坏
在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下若在右边窗口中如发现了“Notepad”键值，就将它删除。
12.预防WinNuke的破坏
在HKEY_LOCAL_MACHINESystemCurrentControlSetServicesVxDMSTCP下在右边的窗口中新建或修改字符串“BSDUrgent”，设其值为0。
13.预防KeyboardGhost的破坏
在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices下如发现KG.EXE这一键值，就将它删除，并查找KG.exe文件和kg.dat文件，将它们都删除
14.查找NetSpy黑客程序
在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun下,在右边的窗口中寻找键"NetSpy",如果存在,就说明已经装有NetSpy黑客程序,把它删除.
