保护网络安全 路由安全设置九步曲
[ 2007-03-25 04:12:07 | 作者: sun ]
对于大多数企业局域网来说，路由器已经成为正在使用之中的最重要的安全设备之一。一般来说，大多数网络都有一个主要的接入点。这就是通常与专用防火墙一起使用的“边界路由器”。
经过恰当的设置，边缘路由器能够把几乎所有的最顽固的坏分子挡在网络之外。如果你愿意的话，这种路由器还能够让好人进入网络。不过，没有恰当设置的路由器只是比根本就没有安全措施稍微好一点。
在下列指南中，我们将研究一下你可以用来保护网络安全的9个方便的步骤。这些步骤能够保证你拥有一道保护你的网络的砖墙，而不是一个敞开的大门。
1.修改默认的口令!
据卡内基梅隆大学的CERT/CC(计算机应急反应小组/控制中心)称，80%的安全突破事件是由薄弱的口令引起的。网络上有大多数路由器的广泛的默认口令列表。你可以肯定在某些地方的某个人会知道你的生日。SecurityStats.com网站维护一个详尽的可用/不可用口令列表，以及一个口令的可靠性测试。
2.关闭IP直接广播(IP Directed Broadcast)
你的服务器是很听话的。让它做什么它就做什么，而且不管是谁发出的指令。Smurf攻击是一种拒绝服务攻击。在这种攻击中，攻击者使用假冒的源地址向你的网络广播地址发送一个“ICMP echo”请求。这要求所有的主机对这个广播请求做出回应。这种情况至少会降低你的网络性能。
参考你的路由器信息文件，了解如何关闭IP直接广播。例如，“Central(config)#no ip source-route”这个指令将关闭思科路由器的IP直接广播地址。
3.如果可能，关闭路由器的HTTP设置
正如思科的技术说明中简要说明的那样，HTTP使用的身份识别协议相当于向整个网络发送一个未加密的口令。然而，遗憾的是，HTTP协议中没有一个用于验证口令或者一次性口令的有效规定。
虽然这种未加密的口令对于你从远程位置(例如家里)设置你的路由器也许是非常方便的，但是，你能够做到的事情其他人也照样可以做到。特别是如果你仍在使用默认的口令!如果你必须远程管理路由器，你一定要确保使用SNMPv3以上版本的协议，因为它支持更严格的口令。
4.封锁ICMP ping请求
ping的主要目的是识别目前正在使用的主机。因此，ping通常用于更大规模的协同性攻击之前的侦察活动。通过取消远程用户接收ping请求的应答能力，你就更容易避开那些无人注意的扫描活动或者防御那些寻找容易攻击的目标的“脚本小子”(script kiddies)。
请注意，这样做实际上并不能保护你的网络不受攻击，但是，这将使你不太可能成为一个攻击目标。
5.关闭IP源路由
IP协议允许一台主机指定数据包通过你的网络的路由，而不是允许网络组件确定最佳的路径。这个功能的合法的应用是用于诊断连接故障。但是，这种用途很少应用。这项功能最常用的用途是为了侦察目的对你的网络进行镜像，或者用于攻击者在你的专用网络中寻找一个后门。除非指定这项功能只能用于诊断故障，否则应该关闭这个功能。
6.确定你的数据包过滤的需求
封锁端口有两项理由。其中之一根据你对安全水平的要求对于你的网络是合适的。
对于高度安全的网络来说，特别是在存储或者保持秘密数据的时候，通常要求经过允许才可以过滤。在这种规定中，除了网路功能需要的之外，所有的端口和IP地址都必要要封锁。例如，用于web通信的端口80和用于SMTP的110/25端口允许来自指定地址的访问，而所有其它端口和地址都可以关闭。
大多数网络将通过使用“按拒绝请求实施过滤”的方案享受可以接受的安全水平。当使用这种过滤政策时，可以封锁你的网络没有使用的端口和特洛伊木马或者侦查活动常用的端口来增强你的网络的安全性。例如，封锁139端口和445(TCP和UDP)端口将使黑客更难对你的网络实施穷举攻击。封锁31337(TCP和UDP)端口将使Back orifice木马程序更难攻击你的网络。
这项工作应该在网络规划阶段确定，这时候安全水平的要求应该符合网络用户的需求。查看这些端口的列表，了解这些端口正常的用途。
7.建立准许进入和外出的地址过滤政策
在你的边界路由器上建立政策以便根据IP地址过滤进出网络的违反安全规定的行为。除了特殊的不同寻常的案例之外，所有试图从你的网络内部访问互联网的IP地址都应该有一个分配给你的局域网的地址。例如，192.168.0.1这个地址也许通过这个路由器访问互联网是合法的。但是，216.239.55.99这个地址很可能是欺骗性的，并且是一场攻击的一部分。
相反，来自互联网外部的通信的源地址应该不是你的内部网络的一部分。因此，应该封锁入网的192.168.X.X、172.16.X.X和10.X.X.X等地址。
最后，拥有源地址的通信或者保留的和无法路由的目标地址的所有的通信都应该允许通过这台路由器。这包括回送地址127.0.0.1或者E类(class E)地址段240.0.0.0-254.255.255.255。
8.保持路由器的物理安全
从网络嗅探的角度看，路由器比集线器更安全。这是因为路由器根据IP地址智能化地路由数据包，而集线器相所有的节点播出数据。如果连接到那台集线器的一个系统将其网络适配器置于混乱的模式，它们就能够接收和看到所有的广播，包括口令、POP3通信和Web通信。
然后，重要的是确保物理访问你的网络设备是安全的，以防止未经允许的笔记本电脑等嗅探设备放在你的本地子网中。
9.花时间审阅安全记录
审阅你的路由器记录(通过其内置的防火墙功能)是查出安全事件的最有效的方法，无论是查出正在实施的攻击还是未来攻击的征候都非常有效。利用出网的记录，你还能够查出试图建立外部连接的特洛伊木马程序和间谍软件程序。用心的安全管理员在病毒传播者作出反应之前能够查出“红色代码”和“Nimda”病毒的攻击。
此外，一般来说，路由器位于你的网络的边缘，并且允许你看到进出你的网络全部通信的状况。
特洛伊木马如何利用文件关联和设置名
[ 2007-03-25 04:11:56 | 作者: sun ]
特洛伊木马如何利用文件关联和设置名
我们知道，在注册表HKEY_LOCAL_MACHINE SoftwareMicrosoftWindowsCurrentVersionRun下可以加载程序，使之开机时自动运行，类似“Run”这样的子键在注册表中还有几处，均以“Run”开头，如RunOnce、RunServices等。除了这种方法，还有一种修改注册表的方法也可以使程序自启动。
具体说来，就是更改文件的打开方式，这样就可以使程序跟随您打开的那种文件类型一起启动。举例来说，打开注册表，展开注册表到HKEY_CLASSES_ROOTexefileshell
opencommand，这里是exe文件的打开方式，默认键值为：“%1”%*。如果把默认键值改为Trojan.exe“%1”%*，您每次运行exe文件，这个Trojan.exe文件就会被执行。木马灰鸽子就采用关联exe文件的打开方式，而大名鼎鼎的木马冰河采用的是也与此相似的一招——关联txt文件。
对付这种隐藏方法，主要是经常检查注册表，看文件的打开方式是否发生了变化。如果发生了变化，就将打开方式改回来。最好能经常备份注册表，发现问题后立即用备份文件恢复注册表，既方便、快捷，又安全、省事。
木马对设备名的利用
大家知道，在Windows下无法以设备名来命名文件或文件夹，这些设备名主要有aux、com1、com2、prn、con、nul等，但Windows 2000/XP有个漏洞可以以设备名来命名文件或文件夹，让木马可以躲在那里而不被发现。
具体方法是：点击“开始”菜单的“运行”，输入cmd.exe，回车进入命令提示符窗口，然后输入md c:con\命令，可以建立一个名为con的目录。默认请况下，Windows是无法建立这类目录的，正是利用了Windows的漏洞我们才可以建立此目录。再试试输入md c:aux\命令，可以建立aux目录，输入md c:prn\可以建立prn目录，输入md c:com1\目录可以建立Com1目录，而输入md c: ul\则可以建立一个名为nul的目录。在资源管理器中依次点击试试，您会发现当我们试图打开以aux或com1命名的文件夹时，explorer.exe失去了响应，而许多“牧马人”就是利用这个方法将木马隐藏在这类特殊的文件夹中，从而达到隐藏、保护木马程序的目的。
现在，我们可以把文件复制到这个特殊的目录下，当然，不能直接在Windows中复制，需要采用特殊的方法，在CMD窗口中输入copy muma.exe \.c:aux\命令，就可以把木马文件muma.exe复制到C盘下的aux文件夹中，然后点击“开始”菜单中的“运行”，在“运行”中输入c:aux muam.exe，就会成功启动该木马。我们可以通过点击文件夹名进入此类特殊目录，不过，如果您要试图在资源管理器中删除它，会发现这根本就是徒劳的，Windows会提示找不到该文件。
由于使用del c:aux\命令可以删除其中的muma.exe文件，所以，为了达到更好的隐藏和保护效果，下木马者会把muma.exe文件也改名，让我们很难删除。具体方法就是在复制木马文件到aux文件夹时使用命令copy muma.exe \.c:con.exe，就可以把木马文件muma.exe复制到aux目录中，并且改名为con.exe，而con.exe文件是无法用普通方法删除的。
可能有的朋友会想，这个con.exe文件在“开始”菜单的“运行”中无法运行啊。其实不然，只要在命令行方式下输入cmd /c \.c:con就可以运行这个程序了。在运行时会有一个cmd窗口一闪而过，下木马者一般来说会对其进行改进，方法有很多，可以利用开机脚本，也可以利用cmd.exe的autorun：在注册表HKEY_LOCAL_ MACHINESoftwareMicrosoftCommand Processor下建一个字串AutoRun，值为要运行的.bat文件或.cmd文件的路径，如c:winntsystem32auto.cmd，如果建立相应的文件，它的内容为@\.c:con，就可以达到隐蔽的效果。
对于这类特殊的文件夹，发现后我们可以采用如下方法来删除它：先用del \.c:con.exe命令删除con.exe文件（该文件假设就是其中的木马文件名），然后再用rd \.c:aux命令删除aux文件夹即可。
好了，文章到这里就结束了。由于水平有限，文中如有不正确或值得商榷的地方欢迎大家批评指点，另外，写作时曾参阅过网上高手们的帖子，受益匪浅，在此一并谢过！
不过，AutoRun不仅能应用于光盘中，同样也可以应用于硬盘中（要注意的是，AutoRun.inf必须存放在磁盘根目录下才能起作用）。让我们一起看看AutoRun.inf文件的内容吧。
打开记事本，新建一个文件，将其命名为AutoRun.inf，在AutoRun.inf中键入以下内容：
[AutoRun]
Icon=C:WindowsSystemShell32.DLL,21
Open=C:Program FilesACDSeeACDSee.exe
其中，“[AutoRun]”是必须的固定格式，一个标准的AutoRun文件必须以它开头，目的是告诉系统执行它下面几行的命令；第二行“Icon=C:WindowsSystemShell32.DLL,21”是给硬盘或光盘设定一个个性化的图标，“Shell32.DLL”是包含很多Windows图标的系统文件，“21”表示显示编号为21的图标，无数字则默认采用文件中的第一个图标；第三行“Open=C:Program FilesACDSeeACDSee.exe”指出要运行程序的路径及其文件名。
如果把Open行换为木马文件，并将这个AutoRun.inf文件设置为隐藏属性，我们点击硬盘时就会启动木马。
为防止遭到这样的“埋伏”，可以禁止硬盘AutoRun功能。在“开始”菜单的“运行”中输入Regedit，打开注册表编辑器，展开到HKEY_CURRENT_USERSoftware MicrosoftWindowsCurrentVersionPoliciesExploer主键下，在右侧窗口中找到“NoDriveTypeAutoRun”，就是它决定了是否执行CDROM或硬盘的AutoRun功能。将其键值改为9D,00,00,00就可以关闭硬盘的AutoRun功能，如果改为B5,00,00,00则禁止光盘的AutoRun功能。修改后重新启动计算机，设置就会生效。
我们知道，在注册表HKEY_LOCAL_MACHINE SoftwareMicrosoftWindowsCurrentVersionRun下可以加载程序，使之开机时自动运行，类似“Run”这样的子键在注册表中还有几处，均以“Run”开头，如RunOnce、RunServices等。除了这种方法，还有一种修改注册表的方法也可以使程序自启动。
具体说来，就是更改文件的打开方式，这样就可以使程序跟随您打开的那种文件类型一起启动。举例来说，打开注册表，展开注册表到HKEY_CLASSES_ROOTexefileshell
opencommand，这里是exe文件的打开方式，默认键值为：“%1”%*。如果把默认键值改为Trojan.exe“%1”%*，您每次运行exe文件，这个Trojan.exe文件就会被执行。木马灰鸽子就采用关联exe文件的打开方式，而大名鼎鼎的木马冰河采用的是也与此相似的一招——关联txt文件。
对付这种隐藏方法，主要是经常检查注册表，看文件的打开方式是否发生了变化。如果发生了变化，就将打开方式改回来。最好能经常备份注册表，发现问题后立即用备份文件恢复注册表，既方便、快捷，又安全、省事。
木马对设备名的利用
大家知道，在Windows下无法以设备名来命名文件或文件夹，这些设备名主要有aux、com1、com2、prn、con、nul等，但Windows 2000/XP有个漏洞可以以设备名来命名文件或文件夹，让木马可以躲在那里而不被发现。
具体方法是：点击“开始”菜单的“运行”，输入cmd.exe，回车进入命令提示符窗口，然后输入md c:con\命令，可以建立一个名为con的目录。默认请况下，Windows是无法建立这类目录的，正是利用了Windows的漏洞我们才可以建立此目录。再试试输入md c:aux\命令，可以建立aux目录，输入md c:prn\可以建立prn目录，输入md c:com1\目录可以建立Com1目录，而输入md c: ul\则可以建立一个名为nul的目录。在资源管理器中依次点击试试，您会发现当我们试图打开以aux或com1命名的文件夹时，explorer.exe失去了响应，而许多“牧马人”就是利用这个方法将木马隐藏在这类特殊的文件夹中，从而达到隐藏、保护木马程序的目的。
现在，我们可以把文件复制到这个特殊的目录下，当然，不能直接在Windows中复制，需要采用特殊的方法，在CMD窗口中输入copy muma.exe \.c:aux\命令，就可以把木马文件muma.exe复制到C盘下的aux文件夹中，然后点击“开始”菜单中的“运行”，在“运行”中输入c:aux muam.exe，就会成功启动该木马。我们可以通过点击文件夹名进入此类特殊目录，不过，如果您要试图在资源管理器中删除它，会发现这根本就是徒劳的，Windows会提示找不到该文件。
由于使用del c:aux\命令可以删除其中的muma.exe文件，所以，为了达到更好的隐藏和保护效果，下木马者会把muma.exe文件也改名，让我们很难删除。具体方法就是在复制木马文件到aux文件夹时使用命令copy muma.exe \.c:con.exe，就可以把木马文件muma.exe复制到aux目录中，并且改名为con.exe，而con.exe文件是无法用普通方法删除的。
可能有的朋友会想，这个con.exe文件在“开始”菜单的“运行”中无法运行啊。其实不然，只要在命令行方式下输入cmd /c \.c:con就可以运行这个程序了。在运行时会有一个cmd窗口一闪而过，下木马者一般来说会对其进行改进，方法有很多，可以利用开机脚本，也可以利用cmd.exe的autorun：在注册表HKEY_LOCAL_ MACHINESoftwareMicrosoftCommand Processor下建一个字串AutoRun，值为要运行的.bat文件或.cmd文件的路径，如c:winntsystem32auto.cmd，如果建立相应的文件，它的内容为@\.c:con，就可以达到隐蔽的效果。
对于这类特殊的文件夹，发现后我们可以采用如下方法来删除它：先用del \.c:con.exe命令删除con.exe文件（该文件假设就是其中的木马文件名），然后再用rd \.c:aux命令删除aux文件夹即可。
好了，文章到这里就结束了。由于水平有限，文中如有不正确或值得商榷的地方欢迎大家批评指点，另外，写作时曾参阅过网上高手们的帖子，受益匪浅，在此一并谢过！
不过，AutoRun不仅能应用于光盘中，同样也可以应用于硬盘中（要注意的是，AutoRun.inf必须存放在磁盘根目录下才能起作用）。让我们一起看看AutoRun.inf文件的内容吧。
打开记事本，新建一个文件，将其命名为AutoRun.inf，在AutoRun.inf中键入以下内容：
[AutoRun]
Icon=C:WindowsSystemShell32.DLL,21
Open=C:Program FilesACDSeeACDSee.exe
其中，“[AutoRun]”是必须的固定格式，一个标准的AutoRun文件必须以它开头，目的是告诉系统执行它下面几行的命令；第二行“Icon=C:WindowsSystemShell32.DLL,21”是给硬盘或光盘设定一个个性化的图标，“Shell32.DLL”是包含很多Windows图标的系统文件，“21”表示显示编号为21的图标，无数字则默认采用文件中的第一个图标；第三行“Open=C:Program FilesACDSeeACDSee.exe”指出要运行程序的路径及其文件名。
如果把Open行换为木马文件，并将这个AutoRun.inf文件设置为隐藏属性，我们点击硬盘时就会启动木马。
为防止遭到这样的“埋伏”，可以禁止硬盘AutoRun功能。在“开始”菜单的“运行”中输入Regedit，打开注册表编辑器，展开到HKEY_CURRENT_USERSoftware MicrosoftWindowsCurrentVersionPoliciesExploer主键下，在右侧窗口中找到“NoDriveTypeAutoRun”，就是它决定了是否执行CDROM或硬盘的AutoRun功能。将其键值改为9D,00,00,00就可以关闭硬盘的AutoRun功能，如果改为B5,00,00,00则禁止光盘的AutoRun功能。修改后重新启动计算机，设置就会生效。
看看你是为谁在养“木马”
[ 2007-03-25 04:11:44 | 作者: sun ]
当你发现自己的爱机中了木马时一定很气愤，很想知道是谁把马放在你的爱机里。这里先简单解释一下原理，怎么去找出马的主人吧！
现在很多木马都有发IP信件的功能，“冰河”就是其中的佼佼者，也是国内用得最多的木马。它能把你上地的动态IP，电脑里的隐藏密码和个人信息等在受害密码和个人信息等在受害者不知道的情况下记录下来并发到指定的E－mail信箱。我们就利用它发的IP信是明文信息的特点（现在好像还没有哪个木马发的IP信有进行过加密的），用sniffer类软件把它记录下来。这样我们就能知道对你用过木马那人的E－mail了。所以我们不要立即把爱机里的木马清除掉（不入虎穴焉得虎子），因为我们还要靠它找出它的主人呢！
首先去下载必要的工具，http://www.xfocus.org/htm1/data/tools/winsniff.zip(在DOS下运行）或HTTP://www.guanqian.com/starkun/tools/other/mpsnif01013.zip（在windos下运行)。两个不同环境下运行的工具各有所长。
一、DOS下winsniff的用法
在c盘创建一个winsniff目录，把包解压，解压后它里面有七个文件。
打开一个MS-DOS窗口(“点击开始--程序--MS-DOS方式”)进入winsniff目录(在MSDOS方式下输入cd\winsniff,跟着按车键)。接着输入winsniff/1，按回车，检查拨号适配器的编号(这里检查结果为0)。
输入winsniff/a 0 /a mail.txt,按回车，这时显示，其中的“0”是表示你的拨号适配器即modem的编号，当你还装有其它网络设备(如：局域网网卡)时它就不一定是0了，那时就要因应不同的需要而改变，“mail.txt”是表示记录文件的名字，可以任意取名字。
接着就是拨号上网或与网络连接(局域网的用户)，等着winsniff帮你截获信息吧。
当你看到显示，出现“[mail]”时请按“ctrl+c”键结束程序，这时你就可以用笔记本打开“mail.txt”文件看看里面的信息了，是不是很惊讶呢，你的密码什么的都给记录下来了!记录文件中的“TO：”后面显示的E-mail地址就是木马主人的E-mail地址了，跟阒想怎么利用这E-mail地址对付那可恶的人就你自已喜欢了，呵呵。但不要玩过火了!这软件的优点是比较稳定不容易出错；缺点就是操作烦琐，适合具备一点DOS操作经验的人用，但我个人比较喜欢用它，因为稳定!
二、Windows下masnif的使用
在c盘创建一个mpsnif目录，把它解压，解压后有四个文件。通过双击MPSnif文件运行软件，它的工作界面如图4所示。
首先要对它进行一下设置，点击一下设置，点击一下“setup”按钮就会出现所示对话框，“Dicectory（目录）”后原来填的是“c:\”，把它改为“C：\mpsnif\”，而“DNS”可以忽略，点击“OK”按钮后它会再出现一个对话框，忽略它点击“确定”即可。然后把软件关掉再重新启动，这时刚才的设置就生效了。
选择要监视的设备，一般是选“拨号适配器”（如果你还装了其它网络设备，并且要对它进行监视才选你要监视的设备）。还要选择要监视的协议，单击“TCP ports”选中“Smtp(25)”，使它的前面有个钩。
这时可以点击“Start”按钮使软件开始工作，按着要做的就是拨号上网或与网络连接(局域网的用户)，等着MPsnif帮你截获信息。我们也可以去干别的事，这时MPSnif会显示很多数据记录。
等下到网后再到“C：mpsnif”目录中查找并打开文件名为XXX_XXX_XXX_XXX$XXX-XXX_XXX_XXX_XXX$25_XXXXXXX的文件(其中$XXXX为你在发信出去时在本机打开的承受机端口，而它前面的XXX_XXX_XXX_XXX是你该次上网的IP地址；$25为邮件服务器打开的S M T P 端口，它前面的XXXXXX为该邮件的大小)，在文件里“TO：”后面的E-mail地址就是木马主人的E-mail地址了。这软件的优点是操作较为简单方便，容易使用，功能比上面那个强(还有很多别的监视功能，有兴趣的可以自己研究。)；缺点是不够稳定，常提示你程序出错(可能是它还是测试版的原因吧，或是我的系统出了问题)，但不会影响到它的拦截数据的功能，它适合那些对电脑了解不深的人应用。
三、使用注意事项
1.运行这两个软件时都必须要在拨号上网或与网络连接前就运行，因为这样才能肯定拦截到木马所发出的IP信；
2.在运行这两个软件时不要作任何收发邮件的工作，因为这样会影响到拦截数据的准确性，给你造成“误报”的可能性；
3.这两个软件者不是百分之百的不会出问题，有时可能会拦截不到，请多试一两次提高准确率；
4.我们知道木马主人的E-mail后，记得把爱机里的木马给清除了，这样才能彻底的杜绝其他人对你爱机进行的木马侵扰；
5.在给木马主人的惩罚时请适可而止，不要过火了，到时候造成别的人严重损失时理亏就会变成你了；
6.这两个软件都会牵涉到一些别的安全问题，请不要用来做违法的事
现在很多木马都有发IP信件的功能，“冰河”就是其中的佼佼者，也是国内用得最多的木马。它能把你上地的动态IP，电脑里的隐藏密码和个人信息等在受害密码和个人信息等在受害者不知道的情况下记录下来并发到指定的E－mail信箱。我们就利用它发的IP信是明文信息的特点（现在好像还没有哪个木马发的IP信有进行过加密的），用sniffer类软件把它记录下来。这样我们就能知道对你用过木马那人的E－mail了。所以我们不要立即把爱机里的木马清除掉（不入虎穴焉得虎子），因为我们还要靠它找出它的主人呢！
首先去下载必要的工具，http://www.xfocus.org/htm1/data/tools/winsniff.zip(在DOS下运行）或HTTP://www.guanqian.com/starkun/tools/other/mpsnif01013.zip（在windos下运行)。两个不同环境下运行的工具各有所长。
一、DOS下winsniff的用法
在c盘创建一个winsniff目录，把包解压，解压后它里面有七个文件。
打开一个MS-DOS窗口(“点击开始--程序--MS-DOS方式”)进入winsniff目录(在MSDOS方式下输入cd\winsniff,跟着按车键)。接着输入winsniff/1，按回车，检查拨号适配器的编号(这里检查结果为0)。
输入winsniff/a 0 /a mail.txt,按回车，这时显示，其中的“0”是表示你的拨号适配器即modem的编号，当你还装有其它网络设备(如：局域网网卡)时它就不一定是0了，那时就要因应不同的需要而改变，“mail.txt”是表示记录文件的名字，可以任意取名字。
接着就是拨号上网或与网络连接(局域网的用户)，等着winsniff帮你截获信息吧。
当你看到显示，出现“[mail]”时请按“ctrl+c”键结束程序，这时你就可以用笔记本打开“mail.txt”文件看看里面的信息了，是不是很惊讶呢，你的密码什么的都给记录下来了!记录文件中的“TO：”后面显示的E-mail地址就是木马主人的E-mail地址了，跟阒想怎么利用这E-mail地址对付那可恶的人就你自已喜欢了，呵呵。但不要玩过火了!这软件的优点是比较稳定不容易出错；缺点就是操作烦琐，适合具备一点DOS操作经验的人用，但我个人比较喜欢用它，因为稳定!
二、Windows下masnif的使用
在c盘创建一个mpsnif目录，把它解压，解压后有四个文件。通过双击MPSnif文件运行软件，它的工作界面如图4所示。
首先要对它进行一下设置，点击一下设置，点击一下“setup”按钮就会出现所示对话框，“Dicectory（目录）”后原来填的是“c:\”，把它改为“C：\mpsnif\”，而“DNS”可以忽略，点击“OK”按钮后它会再出现一个对话框，忽略它点击“确定”即可。然后把软件关掉再重新启动，这时刚才的设置就生效了。
选择要监视的设备，一般是选“拨号适配器”（如果你还装了其它网络设备，并且要对它进行监视才选你要监视的设备）。还要选择要监视的协议，单击“TCP ports”选中“Smtp(25)”，使它的前面有个钩。
这时可以点击“Start”按钮使软件开始工作，按着要做的就是拨号上网或与网络连接(局域网的用户)，等着MPsnif帮你截获信息。我们也可以去干别的事，这时MPSnif会显示很多数据记录。
等下到网后再到“C：mpsnif”目录中查找并打开文件名为XXX_XXX_XXX_XXX$XXX-XXX_XXX_XXX_XXX$25_XXXXXXX的文件(其中$XXXX为你在发信出去时在本机打开的承受机端口，而它前面的XXX_XXX_XXX_XXX是你该次上网的IP地址；$25为邮件服务器打开的S M T P 端口，它前面的XXXXXX为该邮件的大小)，在文件里“TO：”后面的E-mail地址就是木马主人的E-mail地址了。这软件的优点是操作较为简单方便，容易使用，功能比上面那个强(还有很多别的监视功能，有兴趣的可以自己研究。)；缺点是不够稳定，常提示你程序出错(可能是它还是测试版的原因吧，或是我的系统出了问题)，但不会影响到它的拦截数据的功能，它适合那些对电脑了解不深的人应用。
三、使用注意事项
1.运行这两个软件时都必须要在拨号上网或与网络连接前就运行，因为这样才能肯定拦截到木马所发出的IP信；
2.在运行这两个软件时不要作任何收发邮件的工作，因为这样会影响到拦截数据的准确性，给你造成“误报”的可能性；
3.这两个软件者不是百分之百的不会出问题，有时可能会拦截不到，请多试一两次提高准确率；
4.我们知道木马主人的E-mail后，记得把爱机里的木马给清除了，这样才能彻底的杜绝其他人对你爱机进行的木马侵扰；
5.在给木马主人的惩罚时请适可而止，不要过火了，到时候造成别的人严重损失时理亏就会变成你了；
6.这两个软件都会牵涉到一些别的安全问题，请不要用来做违法的事
新手也能对付病毒：看端口清木马
[ 2007-03-25 04:11:33 | 作者: sun ]
如果计算机里存在着木马病毒和未经授权的远程控制软件，那别人不但能得到你所有的隐私信息和账号密码，更能随时夺走计算机的控制权，本文主要讲述如何关闭这两类软件。
需要说明的一点是，本文介绍的各种木马及未授权被安装的远程控制软件均是由于没有正确的设置管理员密码导致系统被侵入而存在的。因此请先检查系统中所有帐号的口令是否设置的足够安全。
口令设置要求：
1.口令应该不少于8个字符；
2.不包含字典里的单词、不包括姓氏的汉语拼音；
3.同时包含多种类型的字符，比如大写字母(A,B,C,..Z)、小写字母(a,b,c..z)、数字(0,1,2,…9)、标点符号(@,,!,$,％,& …)。
注意：下文中提到的相关路径根据您的操作系统版本不同会有所不同，请根据自己的系统做相应的调整。根据系统安装的路径不同，目录所在盘符也可能不同，如系统安装在D盘，请将C:\Windows改为D:\Windows依此类推。
大部分的木马程序都可以改变默认的服务端口，我们应该根据具体的情况采取相应的措施，一个完整的检查和删除过程如下例所示：
例：113端口木马的清除（仅适用于Windows系统）：这是一个基于irc聊天室控制的木马程序。
1.首先使用netstat -an命令确定自己的系统上是否开放了113端口；
2.使用fport命令察看出是哪个程序在监听113端口；
例如我们用fport看到如下结果：
Pid ProcessPort Proto Path
392 svchost -> 113 TCP
C:\WinNT\system32\vhos.exe
我们就可以确定在监听在113端口的木马程序是vhos.exe而该程序所在的路径为c:\Winnt\system32下。
3.确定了木马程序名（就是监听113端口的程序）后，在任务管理器中查找到该进程，并使用管理器结束该进程。
4.在开始-运行中键入regedit运行注册表管理程序，在注册表里查找刚才找到那个程序，并将相关的键值全部删掉。
5.到木马程序所在的目录下删除该木马程序。（通常木马还会包括其他一些程序，如rscan.exe、psexec.exe、ipcpass.dic、ipcscan.txt等，根据木马程序不同，文件也有所不同，你可以通过察看程序的生成和修改的时间来确定与监听113端口的木马程序有关的其他程序）。
6.重新启动机器。
707端口：
这个端口开放表示你可能感染了nachi蠕虫病毒，该蠕虫的清除方法如下：
1、停止服务名为WinS Client和Network Connections Sharing的两项服务；
2、删除c:\Winnt\SYSTEM32\WinS\目录下的DLLHOST.EXE和SVCHOST.EXE文件；
3、编辑注册表，删除HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services项中名为RpcTftpd和RpcPatch的两个键值。
1999端口：
这个端口是木马程序BackDoor的默认服务端口，该木马清除方法如下：
1、使用进程管理工具将notpa.exe进程结束；
2、删除c:\Windows\目录下的notpa.exe程序；
3、编辑注册表，删除HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run项中包含c:\Windows\notpa.exe /o=yes的键值。
2001端口：
这个端口是木马程序黑洞2001的默认服务端口，该木马清除方法如下：
1、首先使用进程管理软件将进程Windows.exe杀掉；
2、删除c:\Winnt\system32目录下的Windows.exe和S_Server.exe文件；
3、编辑注册表，删除HKEY_LOCAL_MACHINE\Software \Microsoft \Windows \CurrentVersion \RunServices\项中名为Windows的键值；
4、将HKEY_CLASSES_ROOT和HKEY_LOCAL_MACHINE\Software\CLASSES项中的Winvxd项删除；
5、修改HKEY_CLASSES_ROOT \txtfile \shell \open \command项中的c:\Winnt\system32\S_SERVER.EXE ％1为C:\WinNT\NOTEPAD.EXE ％1；
6、修改HKEY_LOCAL_MACHINE \Software \CLASSES \txtfile\shell \open \command项中的c:\Winnt\system32\S_SERVER.EXE ％1键值改为 C:\WinNT\NOTEPAD.EXE ％1。
2023端口：
这个端口是木马程序Ripper的默认服务端口，该木马清除方法如下：
1、使用进程管理工具结束sysrunt.exe进程；
2、删除c:\Windows目录下的sysrunt.exe程序文件；
3、编辑system.ini文件，将shell=explorer.exe sysrunt.exe 改为shell=explorer.exe后保存；
4、重新启动系统。
2583端口：
这个端口是木马程序Wincrash v2的默认服务端口，该木马清除方法如下：
1、编辑注册表，删除HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run\项中的WinManager = "c:\Windows\server.exe"键值；
2、编辑Win.ini文件，将run=c:\Windows\server.exe改为run=后保存退出；
3、重新启动系统后删除C:\Windows\system\ SERVER.EXE。
3389端口：
首先说明3389端口是Windows的远程管理终端所开的端口，它并不是一个木马程序，请先确定该服务是否是你自己开放的。如果不是必须的，请关闭该服务。
Win2000关闭的方法：
1、Win2000server
开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。
2、Win2000pro
开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。
Winxp关闭的方法：
在我的电脑上阌壹∈粜?->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。
4444端口：
如果发现你的机器开放这个端口，可能表示你感染了msblast蠕虫，清除该蠕虫的方法如下：
1、使用进程管理工具结束msblast.exe的进程；
2、编辑注册表，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run项中的"Windows auto update"="msblast.exe"键值；
3、删除c:\Winnt\system32目录下的msblast.exe文件。
4899端口：
首先说明4899端口是一个远程控制软件（remote administrator)服务端监听的端口，他不能算是一个木马程序，但是具有远程控制功能，通常杀毒软件是无法查出它来的，请先确定该服务是否是你自己开放并且是必需的。如果不是请关闭它。
关闭方法：
1、请在开始-->运行中输入cmd(98以下为command),然后 cd C:\Winnt\system32(你的系统安装目录），输入r_server.exe /stop后按回车。
然后在输入r_server /uninstall /silence；
2、到C:\Winnt\system32(系统目录）下删除r_server.exe admdll.dll raddrv.dll三个文件。
5800，5900端口：
首先说明5800，5900端口是远程控制软件VNC的默认服务端口，但是VNC在修改过后会被用在某些蠕虫中。请先确认VNC是否是你自己开放并且是必须的，如果不是请关闭。
关闭方法：
1、首先使用fport命令确定出监听在5800和5900端口的程序所在位置（通常会是c:\Winnt\fonts\explorer.exe)；
2、在任务管理器中杀掉相关的进程（注意有一个是系统本身正常的，请注意！如果错杀可以重新运行c:\Winnt\explorer.exe)；
3、删除C:\Winnt\fonts\中的explorer.exe程序；
4、删除注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run项中的Explorer键值；
5、重新启动机器。
6129端口：
首先说明6129端口是一个远程控制软件（dameware nt utilities)服务端监听得端口，他不是一个木马程序，但是具有远程控制功能，通常的杀毒软件是无法查出它来的。请先确定该服务是否是你自己安装并且是必需的，如果不是请关闭。
关闭方法：
1、选择开始-->设置-->控制面板-->管理工具-->服务
找到DameWare Mini Remote Control项点击右键选择属性选项，将启动类型改成禁用后停止该服务；
2、到c:\Winnt\system32(系统目录）下将DWRCS.EXE程序删除；
3、到注册表内将HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\项中的DWRCS键值删除。
需要说明的一点是，本文介绍的各种木马及未授权被安装的远程控制软件均是由于没有正确的设置管理员密码导致系统被侵入而存在的。因此请先检查系统中所有帐号的口令是否设置的足够安全。
口令设置要求：
1.口令应该不少于8个字符；
2.不包含字典里的单词、不包括姓氏的汉语拼音；
3.同时包含多种类型的字符，比如大写字母(A,B,C,..Z)、小写字母(a,b,c..z)、数字(0,1,2,…9)、标点符号(@,,!,$,％,& …)。
注意：下文中提到的相关路径根据您的操作系统版本不同会有所不同，请根据自己的系统做相应的调整。根据系统安装的路径不同，目录所在盘符也可能不同，如系统安装在D盘，请将C:\Windows改为D:\Windows依此类推。
大部分的木马程序都可以改变默认的服务端口，我们应该根据具体的情况采取相应的措施，一个完整的检查和删除过程如下例所示：
例：113端口木马的清除（仅适用于Windows系统）：这是一个基于irc聊天室控制的木马程序。
1.首先使用netstat -an命令确定自己的系统上是否开放了113端口；
2.使用fport命令察看出是哪个程序在监听113端口；
例如我们用fport看到如下结果：
Pid ProcessPort Proto Path
392 svchost -> 113 TCP
C:\WinNT\system32\vhos.exe
我们就可以确定在监听在113端口的木马程序是vhos.exe而该程序所在的路径为c:\Winnt\system32下。
3.确定了木马程序名（就是监听113端口的程序）后，在任务管理器中查找到该进程，并使用管理器结束该进程。
4.在开始-运行中键入regedit运行注册表管理程序，在注册表里查找刚才找到那个程序，并将相关的键值全部删掉。
5.到木马程序所在的目录下删除该木马程序。（通常木马还会包括其他一些程序，如rscan.exe、psexec.exe、ipcpass.dic、ipcscan.txt等，根据木马程序不同，文件也有所不同，你可以通过察看程序的生成和修改的时间来确定与监听113端口的木马程序有关的其他程序）。
6.重新启动机器。
707端口：
这个端口开放表示你可能感染了nachi蠕虫病毒，该蠕虫的清除方法如下：
1、停止服务名为WinS Client和Network Connections Sharing的两项服务；
2、删除c:\Winnt\SYSTEM32\WinS\目录下的DLLHOST.EXE和SVCHOST.EXE文件；
3、编辑注册表，删除HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services项中名为RpcTftpd和RpcPatch的两个键值。
1999端口：
这个端口是木马程序BackDoor的默认服务端口，该木马清除方法如下：
1、使用进程管理工具将notpa.exe进程结束；
2、删除c:\Windows\目录下的notpa.exe程序；
3、编辑注册表，删除HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run项中包含c:\Windows\notpa.exe /o=yes的键值。
2001端口：
这个端口是木马程序黑洞2001的默认服务端口，该木马清除方法如下：
1、首先使用进程管理软件将进程Windows.exe杀掉；
2、删除c:\Winnt\system32目录下的Windows.exe和S_Server.exe文件；
3、编辑注册表，删除HKEY_LOCAL_MACHINE\Software \Microsoft \Windows \CurrentVersion \RunServices\项中名为Windows的键值；
4、将HKEY_CLASSES_ROOT和HKEY_LOCAL_MACHINE\Software\CLASSES项中的Winvxd项删除；
5、修改HKEY_CLASSES_ROOT \txtfile \shell \open \command项中的c:\Winnt\system32\S_SERVER.EXE ％1为C:\WinNT\NOTEPAD.EXE ％1；
6、修改HKEY_LOCAL_MACHINE \Software \CLASSES \txtfile\shell \open \command项中的c:\Winnt\system32\S_SERVER.EXE ％1键值改为 C:\WinNT\NOTEPAD.EXE ％1。
2023端口：
这个端口是木马程序Ripper的默认服务端口，该木马清除方法如下：
1、使用进程管理工具结束sysrunt.exe进程；
2、删除c:\Windows目录下的sysrunt.exe程序文件；
3、编辑system.ini文件，将shell=explorer.exe sysrunt.exe 改为shell=explorer.exe后保存；
4、重新启动系统。
2583端口：
这个端口是木马程序Wincrash v2的默认服务端口，该木马清除方法如下：
1、编辑注册表，删除HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run\项中的WinManager = "c:\Windows\server.exe"键值；
2、编辑Win.ini文件，将run=c:\Windows\server.exe改为run=后保存退出；
3、重新启动系统后删除C:\Windows\system\ SERVER.EXE。
3389端口：
首先说明3389端口是Windows的远程管理终端所开的端口，它并不是一个木马程序，请先确定该服务是否是你自己开放的。如果不是必须的，请关闭该服务。
Win2000关闭的方法：
1、Win2000server
开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。
2、Win2000pro
开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。
Winxp关闭的方法：
在我的电脑上阌壹∈粜?->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。
4444端口：
如果发现你的机器开放这个端口，可能表示你感染了msblast蠕虫，清除该蠕虫的方法如下：
1、使用进程管理工具结束msblast.exe的进程；
2、编辑注册表，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run项中的"Windows auto update"="msblast.exe"键值；
3、删除c:\Winnt\system32目录下的msblast.exe文件。
4899端口：
首先说明4899端口是一个远程控制软件（remote administrator)服务端监听的端口，他不能算是一个木马程序，但是具有远程控制功能，通常杀毒软件是无法查出它来的，请先确定该服务是否是你自己开放并且是必需的。如果不是请关闭它。
关闭方法：
1、请在开始-->运行中输入cmd(98以下为command),然后 cd C:\Winnt\system32(你的系统安装目录），输入r_server.exe /stop后按回车。
然后在输入r_server /uninstall /silence；
2、到C:\Winnt\system32(系统目录）下删除r_server.exe admdll.dll raddrv.dll三个文件。
5800，5900端口：
首先说明5800，5900端口是远程控制软件VNC的默认服务端口，但是VNC在修改过后会被用在某些蠕虫中。请先确认VNC是否是你自己开放并且是必须的，如果不是请关闭。
关闭方法：
1、首先使用fport命令确定出监听在5800和5900端口的程序所在位置（通常会是c:\Winnt\fonts\explorer.exe)；
2、在任务管理器中杀掉相关的进程（注意有一个是系统本身正常的，请注意！如果错杀可以重新运行c:\Winnt\explorer.exe)；
3、删除C:\Winnt\fonts\中的explorer.exe程序；
4、删除注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run项中的Explorer键值；
5、重新启动机器。
6129端口：
首先说明6129端口是一个远程控制软件（dameware nt utilities)服务端监听得端口，他不是一个木马程序，但是具有远程控制功能，通常的杀毒软件是无法查出它来的。请先确定该服务是否是你自己安装并且是必需的，如果不是请关闭。
关闭方法：
1、选择开始-->设置-->控制面板-->管理工具-->服务
找到DameWare Mini Remote Control项点击右键选择属性选项，将启动类型改成禁用后停止该服务；
2、到c:\Winnt\system32(系统目录）下将DWRCS.EXE程序删除；
3、到注册表内将HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\项中的DWRCS键值删除。
微软的IE和OFFICE前几个月一直受zero-day攻击之扰。它已经形成了一个惯例循环，微软每月在“补丁星期二”发布新的补丁，而在此前后就会出现一大把新的zero-day攻击。黑客们想要在微软能够对付它之前，最大可能地延长他们的zeroday攻击存在的时间。
微软利用客户反馈，自动工具，以及加入反病毒联盟这些方法来了解每个新的zero-day攻击的波及广度。如果该攻击波及很广，微软会加快正常的补丁周期，并且在下一个补丁星期二之前发布修正补丁。如果攻击没有广泛传播，通常都会是这种情况，微软就会等到正常的发布补丁的星期二到了再发布。花正常的时间开发和测试补丁通常意味着那补丁会很稳定（最近这对微软来说甚至变得很难做到……这就是题外话了）。
当决定按正常周期发布对付一个不是很紧急的zero-day补丁的时候，微软也很痛苦。媒体上到处都是关于最新bug，面对骗局如何自救等等。即使是我最喜欢的dshield.org，也早早加入媒体的队伍，抓着微软在上百万恶意攻击到处蔓延的时候不立刻发布补丁的痛处不放。在最近的几期攻击中，所谓的“百万恶意攻击”波及范围都是不超过100的。
但是别人眼中的自己才是真实的自己，在最新补丁调试阶段微软只有忍受痛苦。无论威胁是否只是适度地传播，消费者在官方发布补丁或者其他补偿保护措施（比如配置查杀程序）可用之前，只有苦苦等待。大多数用户从来不使用替代保护方案，因此在使用官方补丁之前他们仍处于无保护状态。
因此，很多第三方公司开始发布防护补丁，以便在官方补丁发布之前弥补空白。最集中的表现就是，新Zeroday紧急响应组（ZERT）。ZERT由一些杰出的程序员和安全专家组成，他们致力于在官方补丁滞后于大众需要的时候提供补丁。ZERT的Z保护平台允许人们开发和使用第三方微软Windows补丁，并且在卖主提供补丁后允许人们卸载该第三方补丁。
另一些专业人士，比如Jesper Johansson博士，他以前是微软的高级安全员。他建议人们使用能够阻止zero-day代码的补偿防御措施。Jesper最近提出了一些可靠的安全修正程序，它们能够使用组策略快速配置。
微软以及其他很多安全专家警告用户们不要使用第三方补丁以及修正程序。大多数用户都应该认真听取这些意见。首先，第三方补丁以及修正程序通常都没有像官方补丁那样彻底测试过。一个微软的人员曾经告诉我，每个IE安全补丁在发布之前都要经过数以千计的退化测试。
比起它们解决的问题来说，第三方补丁确实造成更多问题。即使是Jesper那优秀的VML保护脚本也曾在打了普通补丁的Windows系列计算机中引起问题。
但是有了官方警告，我觉得任何拥有知识丰富的网管的公司都能够从第三方补丁和针对危机的及时的建议中获得好处，前提是网管有时间彻底测试第三方补丁或修正程序。有些第三方对出现的漏洞等反应很快：例如，Jesper为自己的修正程序编写更新——他一旦注意到问题就会立刻给出建议；ZERT似乎在怎样应用它的补丁上作了正确选择，系统不用修改原始的那个压缩的可执行文件。
我认为，如果一个广泛传播的攻击对你的系统环境有极大危险，你应该考虑测试并使用第三方的补丁或者修正程序。管理层应当意识到第三方补丁的性质，风险并下最终决定。任何新的补丁——甚至是官方补丁——你都应当彻底测试，并且准备测试后的复原方案以防安了补丁后情况更糟。
微软利用客户反馈，自动工具，以及加入反病毒联盟这些方法来了解每个新的zero-day攻击的波及广度。如果该攻击波及很广，微软会加快正常的补丁周期，并且在下一个补丁星期二之前发布修正补丁。如果攻击没有广泛传播，通常都会是这种情况，微软就会等到正常的发布补丁的星期二到了再发布。花正常的时间开发和测试补丁通常意味着那补丁会很稳定（最近这对微软来说甚至变得很难做到……这就是题外话了）。
当决定按正常周期发布对付一个不是很紧急的zero-day补丁的时候，微软也很痛苦。媒体上到处都是关于最新bug，面对骗局如何自救等等。即使是我最喜欢的dshield.org，也早早加入媒体的队伍，抓着微软在上百万恶意攻击到处蔓延的时候不立刻发布补丁的痛处不放。在最近的几期攻击中，所谓的“百万恶意攻击”波及范围都是不超过100的。
但是别人眼中的自己才是真实的自己，在最新补丁调试阶段微软只有忍受痛苦。无论威胁是否只是适度地传播，消费者在官方发布补丁或者其他补偿保护措施（比如配置查杀程序）可用之前，只有苦苦等待。大多数用户从来不使用替代保护方案，因此在使用官方补丁之前他们仍处于无保护状态。
因此，很多第三方公司开始发布防护补丁，以便在官方补丁发布之前弥补空白。最集中的表现就是，新Zeroday紧急响应组（ZERT）。ZERT由一些杰出的程序员和安全专家组成，他们致力于在官方补丁滞后于大众需要的时候提供补丁。ZERT的Z保护平台允许人们开发和使用第三方微软Windows补丁，并且在卖主提供补丁后允许人们卸载该第三方补丁。
另一些专业人士，比如Jesper Johansson博士，他以前是微软的高级安全员。他建议人们使用能够阻止zero-day代码的补偿防御措施。Jesper最近提出了一些可靠的安全修正程序，它们能够使用组策略快速配置。
微软以及其他很多安全专家警告用户们不要使用第三方补丁以及修正程序。大多数用户都应该认真听取这些意见。首先，第三方补丁以及修正程序通常都没有像官方补丁那样彻底测试过。一个微软的人员曾经告诉我，每个IE安全补丁在发布之前都要经过数以千计的退化测试。
比起它们解决的问题来说，第三方补丁确实造成更多问题。即使是Jesper那优秀的VML保护脚本也曾在打了普通补丁的Windows系列计算机中引起问题。
但是有了官方警告，我觉得任何拥有知识丰富的网管的公司都能够从第三方补丁和针对危机的及时的建议中获得好处，前提是网管有时间彻底测试第三方补丁或修正程序。有些第三方对出现的漏洞等反应很快：例如，Jesper为自己的修正程序编写更新——他一旦注意到问题就会立刻给出建议；ZERT似乎在怎样应用它的补丁上作了正确选择，系统不用修改原始的那个压缩的可执行文件。
我认为，如果一个广泛传播的攻击对你的系统环境有极大危险，你应该考虑测试并使用第三方的补丁或者修正程序。管理层应当意识到第三方补丁的性质，风险并下最终决定。任何新的补丁——甚至是官方补丁——你都应当彻底测试，并且准备测试后的复原方案以防安了补丁后情况更糟。
禁用Scripting Host防范网页黑手
[ 2007-03-25 04:10:27 | 作者: sun ]
来自网络的攻击手段越来越多了，一些恶意网页会利用软件或系统操作平台等的安全漏洞，通过执行嵌入在网页HTML超文本标记语言内的Java Applet小应用程序、javaScript脚本语言程序、ActiveX软件部件交互技术支持可自动执行的代码程序，
强行修改用户操作系统的注册表及系统实用配置程序，从而达到非法控制系统资源、破坏数据、格式化硬盘、感染木马程序的目的。
目前来自网页黑手的攻击分为两种：一种是通过编辑的脚本程序修改IE浏览器；另外一种是直接破坏Windows系统。前者一般会修改IE浏览器的标题栏、默认主页等，关于此方面的文章比较多。下面就来介绍一些针对破坏Windows系统的网页黑手的防范方法。
黑手之一 格式化硬盘
这是一种非常危险的网页黑手，它会通过IE执行ActiveX部件并调用Format.com或Deltree.exe将硬盘格式化或者删除文件夹。在感染此类破坏程序后，会出现一个信息提示框，提示：“当前的页面含有不完全的ActiveX，可能会对你造成危害，是否执行？yes，no”，如果单击“是”，那么硬盘就会被迅速格式化，而这一切都是在后台运行的，不易被察觉。
防范的方法是：将本机的Format.com或Deltree.exe命令改名字。另外，对于莫名出现的提示问题，不要轻易回答“是”。可以按下［Ctrl+Alt+Del］组合键在弹出的“关闭程序”窗口中，将不能确认的进程中止执行。
黑手之二 耗尽系统资源
这种网页黑手会执行一段Java Script代码并产生一个死循环，以至不断消耗本机系统资源，最后导致系统死机。它们会出现在一些恶意网站或者邮件的附件中，只要打开附件程序后，屏幕上就会出现无数个IE窗口，最后只有重新启动计算机。
防范的方法是：不要轻易进入不了解的网站，也不要随便打开陌生人发来的E-mail中的附件，比如扩展名是VBS、HTML、HTM、DOC、EXE的文件。
黑手之三 非法读取文件
此类黑手会通过对ActiveX、JavaScript和WebBrowser control的调用来达到对本地文件进行读取。它还可以利用浏览器漏洞实现对本地文件的读取，避免此类攻击可以关闭禁用浏览器的JavaScript功能。
黑手之四 获取控制权限
此类黑手会利用IE执行Actives时候发生，虽然说IE提供对于“下载已签名的ActiveX控件”进行提示的功能，但是恶意攻击代码会绕过IE，在无需提示的情况下下载和执行ActiveX控件程序，而这时恶意攻击者就会取得对系统的控制权限。如果要屏蔽此类黑手，可以打开注册表编辑器，然后展开如下分支：
解决方法是在注册表分支HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerActiveX Compatibility 下为Active Setup controls创建一个基于CLSID的新键值 {6E449683_C509_11CF_AAFA_00AA00 B6015C}，然后在新键值下创建一个REG_DWORD 类型的键Compatibility，并设定键值为0x00000400即可。
对于来自网上的种种攻击，在提高防范意识的同时，还需做好预防工作。
1.设定安全级别
鉴于很多攻击是通过包含有恶意脚本实现攻击，可以提高IE的级别。在IE中执行“工具/Internet选项”命令，然后选择“安全”选项卡，选择“Internet”后单击［自定义级别］按钮，在“安全设置”对话框中，将“ActiveX控件和插件”、“脚本”中的相关选项全部选择“禁用”，另外设定安全级别为“高”。需要注意的是，如果选择了“禁用”，一些需要使用ActiveX和脚本的网站可能无法正常显示。
2.过滤指定网页
对于一些包含有恶意代码的网页，可以将其屏蔽，执行“工具/Internet选项”命令，选择内容选项卡，在“分级审查”中单击［启用］按钮，打开“分级审查”对话框，选择“许可站点”选项卡，输入需要屏蔽网址，然后单击［从不］按钮，再单击［确定］按钮。
3.卸载或升级WSH
有些利用VBScript编制的病毒、蠕虫病毒，比如 “I LOVE YOU”和“Newlove”，它们都包含了一个以 VBS为后缀名的附件，打开附件后，用户就会被感染。这些病毒会利用Windows内嵌的 Windows Scripting Host 即WSH进行启动和运行。也就是说，如果将WSH禁用，隐藏在VB脚本中的病毒就无法被激活了。
在Windows 98中禁用WSH，打开“添加/删除”程序，选择“Windows 设置/附件”，并单击“详细资料”，取消“Windows Scripting Host”选项，完成后单击［确定］按钮即可。
在Windows 2000中禁用WSH的方法是，双击“我的电脑”图标，然后执行“工具/文件夹选项”命令，选择“文件类型”选项卡，找到“VBS VBScript Script File”选项，并单击［删除］按钮，最后单击［确定］即可。
另外，还可以升级WSH 5.6，IE浏览器可以被恶意脚本修改，就是因为IE 5.5以前版本中的WSH允许攻击者利用JavaScript中的Getobject函数以及htmlfilr ActiveX对象读取浏览者的注册表，可以在http://www.microsoft.com/下载最新版本的WSH。
4.禁用远程注册表服务
在Windows 2000/XP中，可以点击“控制面板/管理工具/服务”，用鼠标右键单击“Remote Registry”，然后在弹出的快捷方式中选择“属性”命令，在“常规”选项卡中单击［停止］按钮，这样可以拦截部分恶意脚本代码。
5.安装防火墙和杀毒软件
安装防火墙和杀毒软件可以拦截部分恶意代码程序，比如可以安装瑞星杀毒软件。
强行修改用户操作系统的注册表及系统实用配置程序，从而达到非法控制系统资源、破坏数据、格式化硬盘、感染木马程序的目的。
目前来自网页黑手的攻击分为两种：一种是通过编辑的脚本程序修改IE浏览器；另外一种是直接破坏Windows系统。前者一般会修改IE浏览器的标题栏、默认主页等，关于此方面的文章比较多。下面就来介绍一些针对破坏Windows系统的网页黑手的防范方法。
黑手之一 格式化硬盘
这是一种非常危险的网页黑手，它会通过IE执行ActiveX部件并调用Format.com或Deltree.exe将硬盘格式化或者删除文件夹。在感染此类破坏程序后，会出现一个信息提示框，提示：“当前的页面含有不完全的ActiveX，可能会对你造成危害，是否执行？yes，no”，如果单击“是”，那么硬盘就会被迅速格式化，而这一切都是在后台运行的，不易被察觉。
防范的方法是：将本机的Format.com或Deltree.exe命令改名字。另外，对于莫名出现的提示问题，不要轻易回答“是”。可以按下［Ctrl+Alt+Del］组合键在弹出的“关闭程序”窗口中，将不能确认的进程中止执行。
黑手之二 耗尽系统资源
这种网页黑手会执行一段Java Script代码并产生一个死循环，以至不断消耗本机系统资源，最后导致系统死机。它们会出现在一些恶意网站或者邮件的附件中，只要打开附件程序后，屏幕上就会出现无数个IE窗口，最后只有重新启动计算机。
防范的方法是：不要轻易进入不了解的网站，也不要随便打开陌生人发来的E-mail中的附件，比如扩展名是VBS、HTML、HTM、DOC、EXE的文件。
黑手之三 非法读取文件
此类黑手会通过对ActiveX、JavaScript和WebBrowser control的调用来达到对本地文件进行读取。它还可以利用浏览器漏洞实现对本地文件的读取，避免此类攻击可以关闭禁用浏览器的JavaScript功能。
黑手之四 获取控制权限
此类黑手会利用IE执行Actives时候发生，虽然说IE提供对于“下载已签名的ActiveX控件”进行提示的功能，但是恶意攻击代码会绕过IE，在无需提示的情况下下载和执行ActiveX控件程序，而这时恶意攻击者就会取得对系统的控制权限。如果要屏蔽此类黑手，可以打开注册表编辑器，然后展开如下分支：
解决方法是在注册表分支HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerActiveX Compatibility 下为Active Setup controls创建一个基于CLSID的新键值 {6E449683_C509_11CF_AAFA_00AA00 B6015C}，然后在新键值下创建一个REG_DWORD 类型的键Compatibility，并设定键值为0x00000400即可。
对于来自网上的种种攻击，在提高防范意识的同时，还需做好预防工作。
1.设定安全级别
鉴于很多攻击是通过包含有恶意脚本实现攻击，可以提高IE的级别。在IE中执行“工具/Internet选项”命令，然后选择“安全”选项卡，选择“Internet”后单击［自定义级别］按钮，在“安全设置”对话框中，将“ActiveX控件和插件”、“脚本”中的相关选项全部选择“禁用”，另外设定安全级别为“高”。需要注意的是，如果选择了“禁用”，一些需要使用ActiveX和脚本的网站可能无法正常显示。
2.过滤指定网页
对于一些包含有恶意代码的网页，可以将其屏蔽，执行“工具/Internet选项”命令，选择内容选项卡，在“分级审查”中单击［启用］按钮，打开“分级审查”对话框，选择“许可站点”选项卡，输入需要屏蔽网址，然后单击［从不］按钮，再单击［确定］按钮。
3.卸载或升级WSH
有些利用VBScript编制的病毒、蠕虫病毒，比如 “I LOVE YOU”和“Newlove”，它们都包含了一个以 VBS为后缀名的附件，打开附件后，用户就会被感染。这些病毒会利用Windows内嵌的 Windows Scripting Host 即WSH进行启动和运行。也就是说，如果将WSH禁用，隐藏在VB脚本中的病毒就无法被激活了。
在Windows 98中禁用WSH，打开“添加/删除”程序，选择“Windows 设置/附件”，并单击“详细资料”，取消“Windows Scripting Host”选项，完成后单击［确定］按钮即可。
在Windows 2000中禁用WSH的方法是，双击“我的电脑”图标，然后执行“工具/文件夹选项”命令，选择“文件类型”选项卡，找到“VBS VBScript Script File”选项，并单击［删除］按钮，最后单击［确定］即可。
另外，还可以升级WSH 5.6，IE浏览器可以被恶意脚本修改，就是因为IE 5.5以前版本中的WSH允许攻击者利用JavaScript中的Getobject函数以及htmlfilr ActiveX对象读取浏览者的注册表，可以在http://www.microsoft.com/下载最新版本的WSH。
4.禁用远程注册表服务
在Windows 2000/XP中，可以点击“控制面板/管理工具/服务”，用鼠标右键单击“Remote Registry”，然后在弹出的快捷方式中选择“属性”命令，在“常规”选项卡中单击［停止］按钮，这样可以拦截部分恶意脚本代码。
5.安装防火墙和杀毒软件
安装防火墙和杀毒软件可以拦截部分恶意代码程序，比如可以安装瑞星杀毒软件。
现在很多单位都配置了局域网，为了便于进行网络管理，同时为了提高的登录网络的速度，网管人员一般都为局域网中的每台电脑都指定了IP地址。但是在Windows环境下其他用户很容易修改IP地址配置，这样就很容易造成IP地址冲突等故障，不利于网络的正常管理。
因此，最好能为IP地址加上一把“锁”，这样别人就不能轻易更改IP地址了。
在Windows 2000/XP中存在Netcfgx.dll，Netshell.dll和Netman.dll三个动态库文件，它们实际上是系统控件，在Windows 2000/XP的安装过程中会自动注册这些控件。这三个控件和Windows 2000/XP的网络功能紧密相关。当修改IP地址时，就需要用到这三个控件。因此，只要将上述三个控件卸载，就可以屏蔽网络连接窗口，这样无论是双击桌面上的网上邻居图标，还是在控制面板中双击“网络连接”项，都无法正常进入网络连接窗口，也就无法在本地连接属性窗口中修改IP地址了。
在“开始/运行”中输入“Cmd.exe”，确认后打开CMD窗口，在其中分别执行“Regsvr32 /u Netcfgx.dll”、“Regsvr32 /u Netcfgx.dll”、“Regsvr32 /u Netcfgx.dll”命令，就可以将上述控件从系统中卸载。当然，如果以后需要修改IP地址的话，可以上述控件逐一注册即可。注册的方法很简单，只要将上述命令中的“/u”参数去掉，就可以执行注册操作了。例如执行命令“Regsvr32 Netcfgx.dll”就完成了控件Netcfgx.dll的注册。
因此，最好能为IP地址加上一把“锁”，这样别人就不能轻易更改IP地址了。
在Windows 2000/XP中存在Netcfgx.dll，Netshell.dll和Netman.dll三个动态库文件，它们实际上是系统控件，在Windows 2000/XP的安装过程中会自动注册这些控件。这三个控件和Windows 2000/XP的网络功能紧密相关。当修改IP地址时，就需要用到这三个控件。因此，只要将上述三个控件卸载，就可以屏蔽网络连接窗口，这样无论是双击桌面上的网上邻居图标，还是在控制面板中双击“网络连接”项，都无法正常进入网络连接窗口，也就无法在本地连接属性窗口中修改IP地址了。
在“开始/运行”中输入“Cmd.exe”，确认后打开CMD窗口，在其中分别执行“Regsvr32 /u Netcfgx.dll”、“Regsvr32 /u Netcfgx.dll”、“Regsvr32 /u Netcfgx.dll”命令，就可以将上述控件从系统中卸载。当然，如果以后需要修改IP地址的话，可以上述控件逐一注册即可。注册的方法很简单，只要将上述命令中的“/u”参数去掉，就可以执行注册操作了。例如执行命令“Regsvr32 Netcfgx.dll”就完成了控件Netcfgx.dll的注册。
一劳永逸 如何完全屏蔽ActiveX插件
[ 2007-03-25 04:10:02 | 作者: sun ]
很多朋友在浏览网页的时候会遇到浏览器“卡死”的情况，这多半是因为该网页中有嵌入式的ActiveX插件需要提示安装。为了对付这个问题，市面上有很多相关的“免疫”软件，如NoTroubleMe等，而且Windows XP SP2中也提供了该功能。不过这些思路都比较被动，如果遇到新的ActiveX程序，他们就无能为力了。下面笔者来介绍自己的解决方案。
1． 屏蔽ActiveX插件的思路
其实对我们真正有用的ActiveX插件毕竟是少数，就普通网友来说不外乎有：Windows Update控件、Flash控件这两种必需的，当然有些朋友可能还想使用银行在线系统或者其它服务需要安装ActiveX。我们其实可以将这些有用的 ActiveX都进行安装，接下来在浏览器设置中屏蔽所有ActiveX插件的在线安装，这样以后不管有什么ActiveX都不为弹出来了。
2． 一劳永逸的设置实战
第一步：首先使用IE访问你需要安装ActiveX插件的页面，比如微软的Windows Update站点、带有Flash的站点等，在提示安装ActiveX的时候选择“是”进行安装。
第二步：所有的ActiveX都安装完毕后，在IE中选择“工具→Internet选项”，切换到“安全”标签，点击“自定义级别”按钮，在弹出的 “安全设置”窗口中将“下载未签名的ActiveX控件”和“下载已签名的ActiveX控件”两项都设置为“禁用”。最后保存退出即可，如图所示。
当遇到某些网站的ActiveX确认是需要你安装的时候，将上述设置恢复为“默认”，再刷新页面进行安装即可，装完后再重新设置为“禁用”。
1． 屏蔽ActiveX插件的思路
其实对我们真正有用的ActiveX插件毕竟是少数，就普通网友来说不外乎有：Windows Update控件、Flash控件这两种必需的，当然有些朋友可能还想使用银行在线系统或者其它服务需要安装ActiveX。我们其实可以将这些有用的 ActiveX都进行安装，接下来在浏览器设置中屏蔽所有ActiveX插件的在线安装，这样以后不管有什么ActiveX都不为弹出来了。
2． 一劳永逸的设置实战
第一步：首先使用IE访问你需要安装ActiveX插件的页面，比如微软的Windows Update站点、带有Flash的站点等，在提示安装ActiveX的时候选择“是”进行安装。
第二步：所有的ActiveX都安装完毕后，在IE中选择“工具→Internet选项”，切换到“安全”标签，点击“自定义级别”按钮，在弹出的 “安全设置”窗口中将“下载未签名的ActiveX控件”和“下载已签名的ActiveX控件”两项都设置为“禁用”。最后保存退出即可，如图所示。
当遇到某些网站的ActiveX确认是需要你安装的时候，将上述设置恢复为“默认”，再刷新页面进行安装即可，装完后再重新设置为“禁用”。
如何防止电脑被黑客入侵
[ 2007-03-25 04:09:51 | 作者: sun ]
我们的防火墙是不是经常有人来攻击你XXX端口呢?如果关掉相应没有用处的端口不就好了吗?
一般来说，我们采用一些功能强大的反黑软件和防火墙来保证我们的系统安全，本文拟用一种简易的办法——通过限制端口来帮助大家防止非法入侵-----如何关闭系统中的一些端口，同时如何关闭WINDOWS 下的默认共享C$、D$、Admin$、IPC$等等。
非法入侵的方式
简单说来，非法入侵的方式可粗略分为4种：
1、扫描端口，通过已知的系统Bug攻入主机。
2、种植木马，利用木马开辟的后门进入主机。
3、采用数据溢出的手段，迫使主机提供后门进入主机。
4、利用某些软件设计的漏洞，直接或间接控制主机。
非法入侵的主要方式是前两种，尤其是利用一些流行的黑客工具，通过第一种方式攻击主机的情况最多、也最普遍；而对后两种方式来说，只有一些手段高超的黑客才利用，波及面并不广泛，而且只要这两种问题一出现，软件服务商很快就会提供补丁，及时修复系统。
因此，如果能限制前两种非法入侵方式，就能有效防止利用黑客工具的非法入侵。而且前两种非法入侵方式有一个共同点，就是通过端口进入主机。
端口就像一所房子（服务器）的几个门一样，不同的门通向不同的房间（服务器提供的不同服务）。我们常用的FTP默认端口为21，而WWW网页一般默认端口是80。但是有些马虎的网络管理员常常打开一些容易被侵入的端口服务，比如139等；还有一些木马程序，比如冰河、BO、广外等都是自动开辟一个您不察觉的端口。那么，只要我们把自己用不到的端口全部封锁起来，不就杜绝了这两种非法入侵吗？
这里举例关闭的端口有，135，137，138，139，445，1025，2475，3127，6129，3389，593，还有TCP，其他我就不一一指出了。
具体操作如下:
默认情况下，Windows有很多端口是开放的，在你上网的时候，网络病毒和黑客可以通过这些端口连上你的电脑。为了让你的系统变为铜墙铁壁，应该封闭这些端口，主要有：TCP 135、139、445、593、1025 端口和 UDP 135、137、138、445 端口，一些流行病毒的后门端口（如 TCP 2745、3127、6129 端口），以及远程服务访问端口3389。下面介绍如何在WinXP/2000/2003下关闭这些网络端口。
第一步，点击“开始”菜单/设置/控制面板/管理工具，双击打开“本地安全策略”，选中“IP 安全策略，在本地计算机”，在右边窗格的空白位置右击鼠标，弹出快捷菜单，选择“创建 IP 安全策略”，于是弹出一个向导。在向导中点击“下一步”按钮，为新的安全策略命名；再按“下一步”，则显示“安全通信请求”画面，在画面上把“激活默认相应规则”左边的钩去掉，点击“完成”按钮就创建了一个新的IP 安全策略。
点击“确定”后回到筛选器列表的对话框，可以看到已经添加了一条策略，重复以上步骤继续添加 TCP 137、139、445、593 端口和 UDP 135、139、445 端口，为它们建立相应的筛选器。
再重复以上步骤添加TCP 1025、2745、3127、6129、3389 端口的屏蔽策略，建立好上述端口的筛选器，最后点击“确定”按钮。
第四步，在“新规则属性”对话框中，选择“新 IP 筛选器列表”，然后点击其左边的圆圈上加一个点，表示已经激活，最后点击“筛选器操作”选项卡。在“筛选器操作”选项卡中，把“使用添加向导”左边的钩去掉，点击“添加”按钮，添加“阻止”操作：在“新筛选器操作属性”的“安全措施”选项卡中，选择“阻止”，然后点击“确定”按钮。
第五步、进入“新规则属性”对话框，点击“新筛选器操作”，其左边的圆圈会加了一个点，表示已经激活，点击“关闭”按钮，关闭对话框；最后回到“新IP安全策略属性”对话框，在“新的IP筛选器列表”左边打钩，按“确定”按钮关闭对话框。在“本地安全策略”窗口，用鼠标右击新添加的 IP 安全策略，然后选择“指派”。
这时候你就可以电脑了，重新启动后，电脑中上述网络端口就被关闭了，在这时候病毒和黑客应该是已经不能连上这些端口了，从而保护了你的电脑
以下要说的是怎样关闭WINDOWS下的默认共享C$、D$、Admin$和IPC$等等。
大家应该知道在WINDOWS 2000和WINDOWS XP下会有默认的共享，病毒和黑客也可以通过这个途径进入你的电脑，从而来毁坏你的文件甚至远程控制你的电脑，这时就应该删除这些默认的共享（其实这些默认的共享对于你个人来说，只是有百害而无一利，这时我个人的看法噢，有意见大家提哟）。
第二步，右击该IP安全策略，在“属性”对话框中，把“使用添加向导”左边的钩去掉，然后单击“添加”按钮添加新的规则，随后弹出“新规则属性”对话框，在画面上点击“添加”按钮，弹出IP筛选器列表窗口；在列表中，首先把“使用添加向导”左边的钩去掉，然后再点击右边的“添加”按钮添加新的筛选器。
第三步，进入“筛选器属性”对话框，首先看到的是寻址，源地址选“任何 IP 地址”，目标地址选“我的 IP 地址”；点击“协议”选项卡，在“选择协议类型”的下拉列表中选择“TCP”，然后在“到此端口”下的文本框中输入“135”，点击“确定”按钮，这样就添加了一个屏蔽 TCP 135（RPC）端口的筛选器，它可以防止外界通过135端口连上你的电脑。
这里要先说WINDOWS XP的操作系统，XP可不比2000那么容易对付啰，在我还没找到方法之前，在QQ上碰到“封情绝爱”，问了一下，没想到当时他也没有想到方法，过了15钟左右，当时我在网上已经查到用net share *$ /del这个方法时，“封情”也同时告诉我要用这个命令，真是英雄所见略同。
如果你只是偶尔很少用的电脑，你可以在“开始”菜单里选择“运行”，然后在里面输入“net share *$ /del”(*代表你要删除的共享的名称)就可以了。但是在下次开机以后还会有这个默认的共享，怎么样才能彻底完全的在开机后就关闭这些默认共享呢，Follow me ，let’s go.
现在就要说如何在开机后，WINDOWS会自动关闭所有的默认共享，WINDOWS 2000和WINDOWS XP在这里也是大同小异，在“开始”菜单里选择“运行”，填入“regedit”，打开注册表[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]分支，在其下新建“字符串值”，命名可随意，比如“delshareC$”,鼠标右键单击，在弹出的快捷菜单中左键单击“修改”，在接着出现的“编辑字符串”窗口的“数值数据”一栏中输入“net share C$ /del”(不包括引号)按“确定”按钮。同理添加“字符串值”如“delshareD$”，“数值数据”为“net share D$ /del”等，有几个分区就加到哪为止，包括“net share Admin$ /del”等等，注意：这里有大小写之分。之后保存注册表重启计算机，就能实现开机自动关闭这些特殊共享资源了。
但是，大家有没有发现，“net share IPC$ /del”这个命令对于“IPC$”根本就不起任何作用，它还是保持着默认共享怎么办？？？（实际上做到这一步已经够了，无需在关闭IPC$了）
在这里呢，我还要感谢我的培训老师“Ｍｏｚａｒｔ”，是他指导了我怎样才能永久关闭IPC$和默认共享依赖的服务：lanmanserver即server服务,还需要到“控制面板”里的“管理工具”内，找到“服务”在到“server服务”（右击）进入“属性”，点击“常规”，在“启动类型”这一项中选择“已禁用”，这样就关闭了IPC$的默认共享。但是这就会产生一定的负面效应，一旦你关闭了了IPC$的默认共享，很多的Ｓｅｒｖｅｒ服务你就不能利用，同时也可能会发生你不能访问局域网内的其他电脑，请慎用！！
写到这里手也酸了，也快下班了，希望这篇文章能够对大家有所帮助，也欢迎转帖到其他论坛，但是请尊重中华盾，也请尊重本人的劳动成果，请在转载时标注明原创者是中华盾的血衣少，谢谢！！
一般来说，我们采用一些功能强大的反黑软件和防火墙来保证我们的系统安全，本文拟用一种简易的办法——通过限制端口来帮助大家防止非法入侵-----如何关闭系统中的一些端口，同时如何关闭WINDOWS 下的默认共享C$、D$、Admin$、IPC$等等。
非法入侵的方式
简单说来，非法入侵的方式可粗略分为4种：
1、扫描端口，通过已知的系统Bug攻入主机。
2、种植木马，利用木马开辟的后门进入主机。
3、采用数据溢出的手段，迫使主机提供后门进入主机。
4、利用某些软件设计的漏洞，直接或间接控制主机。
非法入侵的主要方式是前两种，尤其是利用一些流行的黑客工具，通过第一种方式攻击主机的情况最多、也最普遍；而对后两种方式来说，只有一些手段高超的黑客才利用，波及面并不广泛，而且只要这两种问题一出现，软件服务商很快就会提供补丁，及时修复系统。
因此，如果能限制前两种非法入侵方式，就能有效防止利用黑客工具的非法入侵。而且前两种非法入侵方式有一个共同点，就是通过端口进入主机。
端口就像一所房子（服务器）的几个门一样，不同的门通向不同的房间（服务器提供的不同服务）。我们常用的FTP默认端口为21，而WWW网页一般默认端口是80。但是有些马虎的网络管理员常常打开一些容易被侵入的端口服务，比如139等；还有一些木马程序，比如冰河、BO、广外等都是自动开辟一个您不察觉的端口。那么，只要我们把自己用不到的端口全部封锁起来，不就杜绝了这两种非法入侵吗？
这里举例关闭的端口有，135，137，138，139，445，1025，2475，3127，6129，3389，593，还有TCP，其他我就不一一指出了。
具体操作如下:
默认情况下，Windows有很多端口是开放的，在你上网的时候，网络病毒和黑客可以通过这些端口连上你的电脑。为了让你的系统变为铜墙铁壁，应该封闭这些端口，主要有：TCP 135、139、445、593、1025 端口和 UDP 135、137、138、445 端口，一些流行病毒的后门端口（如 TCP 2745、3127、6129 端口），以及远程服务访问端口3389。下面介绍如何在WinXP/2000/2003下关闭这些网络端口。
第一步，点击“开始”菜单/设置/控制面板/管理工具，双击打开“本地安全策略”，选中“IP 安全策略，在本地计算机”，在右边窗格的空白位置右击鼠标，弹出快捷菜单，选择“创建 IP 安全策略”，于是弹出一个向导。在向导中点击“下一步”按钮，为新的安全策略命名；再按“下一步”，则显示“安全通信请求”画面，在画面上把“激活默认相应规则”左边的钩去掉，点击“完成”按钮就创建了一个新的IP 安全策略。
点击“确定”后回到筛选器列表的对话框，可以看到已经添加了一条策略，重复以上步骤继续添加 TCP 137、139、445、593 端口和 UDP 135、139、445 端口，为它们建立相应的筛选器。
再重复以上步骤添加TCP 1025、2745、3127、6129、3389 端口的屏蔽策略，建立好上述端口的筛选器，最后点击“确定”按钮。
第四步，在“新规则属性”对话框中，选择“新 IP 筛选器列表”，然后点击其左边的圆圈上加一个点，表示已经激活，最后点击“筛选器操作”选项卡。在“筛选器操作”选项卡中，把“使用添加向导”左边的钩去掉，点击“添加”按钮，添加“阻止”操作：在“新筛选器操作属性”的“安全措施”选项卡中，选择“阻止”，然后点击“确定”按钮。
第五步、进入“新规则属性”对话框，点击“新筛选器操作”，其左边的圆圈会加了一个点，表示已经激活，点击“关闭”按钮，关闭对话框；最后回到“新IP安全策略属性”对话框，在“新的IP筛选器列表”左边打钩，按“确定”按钮关闭对话框。在“本地安全策略”窗口，用鼠标右击新添加的 IP 安全策略，然后选择“指派”。
这时候你就可以电脑了，重新启动后，电脑中上述网络端口就被关闭了，在这时候病毒和黑客应该是已经不能连上这些端口了，从而保护了你的电脑
以下要说的是怎样关闭WINDOWS下的默认共享C$、D$、Admin$和IPC$等等。
大家应该知道在WINDOWS 2000和WINDOWS XP下会有默认的共享，病毒和黑客也可以通过这个途径进入你的电脑，从而来毁坏你的文件甚至远程控制你的电脑，这时就应该删除这些默认的共享（其实这些默认的共享对于你个人来说，只是有百害而无一利，这时我个人的看法噢，有意见大家提哟）。
第二步，右击该IP安全策略，在“属性”对话框中，把“使用添加向导”左边的钩去掉，然后单击“添加”按钮添加新的规则，随后弹出“新规则属性”对话框，在画面上点击“添加”按钮，弹出IP筛选器列表窗口；在列表中，首先把“使用添加向导”左边的钩去掉，然后再点击右边的“添加”按钮添加新的筛选器。
第三步，进入“筛选器属性”对话框，首先看到的是寻址，源地址选“任何 IP 地址”，目标地址选“我的 IP 地址”；点击“协议”选项卡，在“选择协议类型”的下拉列表中选择“TCP”，然后在“到此端口”下的文本框中输入“135”，点击“确定”按钮，这样就添加了一个屏蔽 TCP 135（RPC）端口的筛选器，它可以防止外界通过135端口连上你的电脑。
这里要先说WINDOWS XP的操作系统，XP可不比2000那么容易对付啰，在我还没找到方法之前，在QQ上碰到“封情绝爱”，问了一下，没想到当时他也没有想到方法，过了15钟左右，当时我在网上已经查到用net share *$ /del这个方法时，“封情”也同时告诉我要用这个命令，真是英雄所见略同。
如果你只是偶尔很少用的电脑，你可以在“开始”菜单里选择“运行”，然后在里面输入“net share *$ /del”(*代表你要删除的共享的名称)就可以了。但是在下次开机以后还会有这个默认的共享，怎么样才能彻底完全的在开机后就关闭这些默认共享呢，Follow me ，let’s go.
现在就要说如何在开机后，WINDOWS会自动关闭所有的默认共享，WINDOWS 2000和WINDOWS XP在这里也是大同小异，在“开始”菜单里选择“运行”，填入“regedit”，打开注册表[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]分支，在其下新建“字符串值”，命名可随意，比如“delshareC$”,鼠标右键单击，在弹出的快捷菜单中左键单击“修改”，在接着出现的“编辑字符串”窗口的“数值数据”一栏中输入“net share C$ /del”(不包括引号)按“确定”按钮。同理添加“字符串值”如“delshareD$”，“数值数据”为“net share D$ /del”等，有几个分区就加到哪为止，包括“net share Admin$ /del”等等，注意：这里有大小写之分。之后保存注册表重启计算机，就能实现开机自动关闭这些特殊共享资源了。
但是，大家有没有发现，“net share IPC$ /del”这个命令对于“IPC$”根本就不起任何作用，它还是保持着默认共享怎么办？？？（实际上做到这一步已经够了，无需在关闭IPC$了）
在这里呢，我还要感谢我的培训老师“Ｍｏｚａｒｔ”，是他指导了我怎样才能永久关闭IPC$和默认共享依赖的服务：lanmanserver即server服务,还需要到“控制面板”里的“管理工具”内，找到“服务”在到“server服务”（右击）进入“属性”，点击“常规”，在“启动类型”这一项中选择“已禁用”，这样就关闭了IPC$的默认共享。但是这就会产生一定的负面效应，一旦你关闭了了IPC$的默认共享，很多的Ｓｅｒｖｅｒ服务你就不能利用，同时也可能会发生你不能访问局域网内的其他电脑，请慎用！！
写到这里手也酸了，也快下班了，希望这篇文章能够对大家有所帮助，也欢迎转帖到其他论坛，但是请尊重中华盾，也请尊重本人的劳动成果，请在转载时标注明原创者是中华盾的血衣少，谢谢！！
轻松玩转天网防火墙IP规则
[ 2007-03-25 04:09:34 | 作者: sun ]
现在的互联网并非一片净土，为了防范来自网络的攻击，很多初学的朋友也安装了防火墙软件来保护自己，可是如何用防火墙更加实用呢？下面，就跟随笔者一块，以天网防火墙为例，通过它支持自定义规则的功能，满足不同类型用户的需求，避免“防住了别人也阻止了自己”的尴尬。
小知识：IP规则是一系列的比较条件和一个对数据包的动作组合，它能根据数据包的每一个部分来与设置的条件进行比较。当符合条件时，就可以确定对该包放行或者阻挡。通过合理的设置规则可以把有害的数据包挡在你的机器之外，也可为某些有合法网络请求的程序开辟绿色通道。
添加规则
虽然天网中已经设置好了很多规则，可是每个人有每个人的情况，还要根据自己的情况来制定自己的规则(在天网防火墙的IP规则列表中，位于前端的规则会首先动作，并且忽略后面有相关联系的规则，从而使为特别网络服务开辟绿色通道成为可能)。比如，笔者在自己的机器中创建了一个FTP服务器，用来和朋友们分享各类资源，但朋友们反映不能连接。仔细查找，发现原来是天网在“作怪”！现在就给FTP设置一条特别的IP规则方便使用。
单击系统托盘中的天网图标打开程序界面，在主界面的左侧点击第二个图标“IP规则管理”。
点击“增加规则”按钮，弹出“增加IP规则”窗口，在“名称”中输入一个将要显示在IP规则列表中的名字，在下方的“说明”中填写对该条规则的描述，防止以后忘了该规则的用途。因为笔者建立的FTP服务器需要与朋友们交换数据，因此在“数据包方向”中通过下拉菜单选中“接收和发送”；如果朋友们都没有固定的IP地址，可在“对方IP地址”中选择“任何地址”；另外，由于FTP服务器基于TCP／IP协议，并且需要开放本机的21端口，因此在“数据包协议类型”中选择“TCP”协议，在“本地端口”中输入“0”和“21”开放该端口。由于不限制对方使用何种端口进行连接，所以可在“对方端口”中保持默认的“0”；最后，在“当满足上面条件时”的下拉菜单中选择“通行”来放行即可。
经过上面的设置，本机的21端口就被打开了。返回天网主界面，选中新创建的“FTP”规则，按住“↑”将其移动到“TCP 数据包监视”规则的下方，以跳过最严厉的“禁止所有人连接”规则，然后点击“保存规则”保存设置。现在重新启动天网防火墙即可生效。
提示：如果想在天网的连接日志中记录朋友们的访问IP情况，可以在“同时还”中勾选“记录”选项。
备份与恢复规则
如果你已经创建或修改了很多的IP规则，当需要重新安装系统或天网的时候还要来设置这些规则。因此，采用导出后备份，当需要时再导入恢复是最简单的方法。
点击“导出规则”按钮，打开导出设置窗口，在“文件名”中设定保存备份的文件夹，在下方的IP规则列表中选中自己创建的IP规则(也可点击“全选”按钮备份全部IP规则)，点击“确定”后即可导出进行备份了。
当需要恢复时，只有点击“导入规则”，通过“打开”窗口找到并双击备份的IP规则文件即可导入了。
现在我们已经了解了天网的IP规则设置的方法，以后再也不怕天网防火墙将我们的合法程序挡在门外了。也许有朋友会问：我安装的网络服务程序不使用常见端口，不知道它需要开放哪些端口怎么办？没关系，再教你一个最简单的方法：启动被阻止的程序，打开天网防火墙的安全日志，看看它到底阻止了哪个端口，哪个端口就是需要用IP规则开放的端口。
