电子邮件炸弹攻击原理及相关预防方法
[ 2007-03-25 03:43:50 | 作者: sun ]
互联网这个自由世界，导致一些别有用心的人利用网络缺陷去攻击网民。目前最为普遍的一种攻击手段就是“邮件炸弹”，这也是我们这些个人用户在网络安全中最需要注意的地方。那什么是邮件炸弹，它有哪些危害，知道了厉害之后，我们该采取怎样的办法去对付电子邮件炸弹，以免遭非法用户的“暗算”?对于这些问题的答案，相信大家在看完本篇文章后，一定是很清楚了。
邮件炸弹的概念
谈起“炸弹”，脑海中马上会出现一种战争场面，而所谓的电子邮件炸弹，危害与炸弹是一样的，只不过是电子的，邮件炸弹具体说，指的是邮件发送者，利用特殊的电子邮件软件，在很短的时间内连续不断地将邮件邮寄给同一个收信人，在这些数以千万计的大容量信件面前收件箱肯定不堪重负，而最终“爆炸身亡”。
我们往往会把邮件炸弹与邮件Spaming混淆，其实这两者实质不尽相同。Spaming指的是发件者在同一时间内将同一电子邮件寄出给千万个不同的用户(或寄到新闻组)，主要是一些公司用来宣传其产品的广告方式，这种方式一般不会对收件人造成太大的伤害。
邮件炸弹的危害
邮件炸弹可以说是目前网络中最“流行”的一种恶作剧，而用来制作恶作剧的特殊程序也称为E-mail Bomber。当某人所作所为引起了好事者不满时，好事者就可以通过这种手段来发动进攻。这种攻击手段不仅会干扰用户的电子邮件系统的正常使用，甚至它还能影响到邮件系统所在的服务器系统的安全，造成整个网络系统全部瘫痪，所以邮件炸弹具有很大危害。
邮件炸弹可以大量消耗网络资源，常常导致网络塞车，使大量的用户不能正常地工作。通常，网络用户的信箱容量是很有限的，在有限的空间中，如果用户在短时间内收到上千上万封电子邮件，那么经过一轮邮件炸弹轰炸后的电子邮件的总容量很容易就把用户有限的阵地挤垮。这样用户的邮箱中将没有多余的空间接纳新的邮件，那么新邮件将会被丢失或者被退回，这时用户的邮箱已经失去了作用;另外，这些邮件炸弹所携带的大容量信息不断在网络上来回传输，很容易堵塞带宽并不富裕的传输信道，这样会加重服务器的工作强度，减缓了处理其他用户的电子邮件的速度，从而导致了整个过程的延迟。
预防炸弹袭击的措施
遭受“炸弹”袭击后，第一个举动可能就是对那些无聊之人表示极端的愤慨，同时也想“以其人之道还治其人之身”，让这些“恶人”也尝尝“中弹”的滋味，于是有愤愤不平者可能会想到用电子邮件中的回复和转信的功能将整个炸弹“回放”给发件人。然而这些狡猾的“恶人”可能想到他们的举动会遭人唾骂、遭人报复，为避免“杀身之祸”，这些人早已将退路准备好，他们把电子邮件中的发信人和收信人的两个地址栏都改换成了被攻击者的邮件地址，如果你想报复他们的话，你的“回礼”行动不仅不能够成功，而且他们还会让你“搬起石头砸自己的脚”，使你的邮箱“雪上加霜”，你所寄出的电子邮件就会永无止境地返回给自己。
作战方法
报复肯定不是好方法，还是要预防为主。下面笔者推荐几种“作战方案”供大家参考：
向ISP求援
一旦信箱被轰炸了，但自己又没有好的办法来对付它，这时你应该做的就是拿起电话向你上网的ISP服务商求援，他们就会采取办法帮你清除E-mail Bomb。
不要“惹是生非”在聊天室同人聊天，在论坛上与人争鸣，都要注意言辞不可过激，更不能进行人身攻击。否则……
采用过滤功能
在邮件软件中安装一个过滤器(比如说E-mail notify)是一种最有效的防范措施。在接收任何电子邮件之前预先检查发件人的资料， 如果觉得有可疑之处，可以将之删除，不让它进入你的邮件系统。但这种做法有时会误删除一些有用的邮件。如果担心有人恶意破坏你的信箱，给你发来一个“重磅炸弹”，你可以在邮件软件中启用过滤功能，把你的邮件服务器设置为，超过你信箱容量的大邮件时，自动进行删除。
使用转信功能
有些邮件服务器为了提高服务质量往往设有“自动转信”功能，利用该功能可以在一定程度上解决容量特大邮件的攻击。假设你申请了一个转信信箱，利用该信箱的转信功能和过滤功能，可以将那些不愿意看到的邮件统统过滤掉，删除在邮件服务器中，或者将垃圾邮件转移到自己其他免费的信箱中，或者干脆放弃使用被轰炸的邮箱，另外重新申请一个新的信箱。
谨慎使用自动回信功能
所谓“自动回信”就是指对方给你的这个信箱发来一封信而你没有及时收取的话，邮件系统会按照你事先的设定自动给发信人回复一封确认收到的信件。这个功能本来给大家带来了方便，但也有可能制造成邮件炸弹!试想一下，如果给你发信的人使用的邮件账号系统也开启了自动回信功能，那么当你收到他发来的信而没有及时收取时，你的系统就会给他自动发送一封确认信。恰巧他在这段时间也没有及时收取信件，那么他的系统又会自动给你发送一封确认收到的信。如此一来，这种自动发送的确认信便会在你们双方的系统中不断重复发送，直到把你们双方的信箱都撑爆为止!
用专用工具来对付
如果你的邮箱不幸已经“中弹”，而且你还想继续使用这个信箱名的话，可以用一些邮件工具软件如PoP-It来清除这些垃圾信息。这些清除软件可以登录到邮件服务器上,使用其中的命令来删除不需要的邮件，保留有用的信件。
邮件炸弹的概念
谈起“炸弹”，脑海中马上会出现一种战争场面，而所谓的电子邮件炸弹，危害与炸弹是一样的，只不过是电子的，邮件炸弹具体说，指的是邮件发送者，利用特殊的电子邮件软件，在很短的时间内连续不断地将邮件邮寄给同一个收信人，在这些数以千万计的大容量信件面前收件箱肯定不堪重负，而最终“爆炸身亡”。
我们往往会把邮件炸弹与邮件Spaming混淆，其实这两者实质不尽相同。Spaming指的是发件者在同一时间内将同一电子邮件寄出给千万个不同的用户(或寄到新闻组)，主要是一些公司用来宣传其产品的广告方式，这种方式一般不会对收件人造成太大的伤害。
邮件炸弹的危害
邮件炸弹可以说是目前网络中最“流行”的一种恶作剧，而用来制作恶作剧的特殊程序也称为E-mail Bomber。当某人所作所为引起了好事者不满时，好事者就可以通过这种手段来发动进攻。这种攻击手段不仅会干扰用户的电子邮件系统的正常使用，甚至它还能影响到邮件系统所在的服务器系统的安全，造成整个网络系统全部瘫痪，所以邮件炸弹具有很大危害。
邮件炸弹可以大量消耗网络资源，常常导致网络塞车，使大量的用户不能正常地工作。通常，网络用户的信箱容量是很有限的，在有限的空间中，如果用户在短时间内收到上千上万封电子邮件，那么经过一轮邮件炸弹轰炸后的电子邮件的总容量很容易就把用户有限的阵地挤垮。这样用户的邮箱中将没有多余的空间接纳新的邮件，那么新邮件将会被丢失或者被退回，这时用户的邮箱已经失去了作用;另外，这些邮件炸弹所携带的大容量信息不断在网络上来回传输，很容易堵塞带宽并不富裕的传输信道，这样会加重服务器的工作强度，减缓了处理其他用户的电子邮件的速度，从而导致了整个过程的延迟。
预防炸弹袭击的措施
遭受“炸弹”袭击后，第一个举动可能就是对那些无聊之人表示极端的愤慨，同时也想“以其人之道还治其人之身”，让这些“恶人”也尝尝“中弹”的滋味，于是有愤愤不平者可能会想到用电子邮件中的回复和转信的功能将整个炸弹“回放”给发件人。然而这些狡猾的“恶人”可能想到他们的举动会遭人唾骂、遭人报复，为避免“杀身之祸”，这些人早已将退路准备好，他们把电子邮件中的发信人和收信人的两个地址栏都改换成了被攻击者的邮件地址，如果你想报复他们的话，你的“回礼”行动不仅不能够成功，而且他们还会让你“搬起石头砸自己的脚”，使你的邮箱“雪上加霜”，你所寄出的电子邮件就会永无止境地返回给自己。
作战方法
报复肯定不是好方法，还是要预防为主。下面笔者推荐几种“作战方案”供大家参考：
向ISP求援
一旦信箱被轰炸了，但自己又没有好的办法来对付它，这时你应该做的就是拿起电话向你上网的ISP服务商求援，他们就会采取办法帮你清除E-mail Bomb。
不要“惹是生非”在聊天室同人聊天，在论坛上与人争鸣，都要注意言辞不可过激，更不能进行人身攻击。否则……
采用过滤功能
在邮件软件中安装一个过滤器(比如说E-mail notify)是一种最有效的防范措施。在接收任何电子邮件之前预先检查发件人的资料， 如果觉得有可疑之处，可以将之删除，不让它进入你的邮件系统。但这种做法有时会误删除一些有用的邮件。如果担心有人恶意破坏你的信箱，给你发来一个“重磅炸弹”，你可以在邮件软件中启用过滤功能，把你的邮件服务器设置为，超过你信箱容量的大邮件时，自动进行删除。
使用转信功能
有些邮件服务器为了提高服务质量往往设有“自动转信”功能，利用该功能可以在一定程度上解决容量特大邮件的攻击。假设你申请了一个转信信箱，利用该信箱的转信功能和过滤功能，可以将那些不愿意看到的邮件统统过滤掉，删除在邮件服务器中，或者将垃圾邮件转移到自己其他免费的信箱中，或者干脆放弃使用被轰炸的邮箱，另外重新申请一个新的信箱。
谨慎使用自动回信功能
所谓“自动回信”就是指对方给你的这个信箱发来一封信而你没有及时收取的话，邮件系统会按照你事先的设定自动给发信人回复一封确认收到的信件。这个功能本来给大家带来了方便，但也有可能制造成邮件炸弹!试想一下，如果给你发信的人使用的邮件账号系统也开启了自动回信功能，那么当你收到他发来的信而没有及时收取时，你的系统就会给他自动发送一封确认信。恰巧他在这段时间也没有及时收取信件，那么他的系统又会自动给你发送一封确认收到的信。如此一来，这种自动发送的确认信便会在你们双方的系统中不断重复发送，直到把你们双方的信箱都撑爆为止!
用专用工具来对付
如果你的邮箱不幸已经“中弹”，而且你还想继续使用这个信箱名的话，可以用一些邮件工具软件如PoP-It来清除这些垃圾信息。这些清除软件可以登录到邮件服务器上,使用其中的命令来删除不需要的邮件，保留有用的信件。
详解有关Windows系统下的权限设置
[ 2007-03-25 03:43:35 | 作者: sun ]
随着动网论坛的广泛应用和动网上传漏洞的被发现以及SQL注入式攻击越来越多的被使用，WEBSHELL让防火墙形同虚设，一台即使打了所有微软补丁、只让80端口对外开放的WEB服务器也逃不过被黑的命运。难道我们真的无能为力了吗？其实，只要你弄明白了NTFS系统下的权限设置问题，我们可以对crackers们说：NO!
要打造一台安全的WEB服务器，那么这台服务器就一定要使用NTFS和Windows NT/2000/2003。众所周知，Windows是一个支持多用户、多任务的操作系统，这是权限设置的基础，一切权限设置都是基于用户和进程而言的，不同的用户在访问这台计算机时，将会有不同的权限。DOS是个单任务、单用户的操作系统。但是我们能说DOS没有权限吗？不能！当我们打开一台装有DOS操作系统的计算机的时候，我们就拥有了这个操作系统的管理员权限，而且，这个权限无处不在。所以，我们只能说DOS不支持权限的设置，不能说它没有权限。随着人们安全意识的提高，权限设置随着NTFS的发布诞生了。
Windows NT里，用户被分成许多组，组和组之间都有不同的权限，当然，一个组的用户和用户之间也可以有不同的权限。下面我们来谈谈NT中常见的用户组。
Administrators：管理员组，默认情况下，Administrators中的用户对计算机/域有不受限制的完全访问权。分配给该组的默认权限允许对整个系统进行完全控制。所以，只有受信任的人员才可成为该组的成员。
Power Users：高级用户组，Power Users 可以执行除了为 Administrators 组保留的任务外的其他任何操作系统任务。分配给 Power Users 组的默认权限允许 Power Users 组的成员修改整个计算机的设置。但Power Users 不具有将自己添加到 Administrators 组的权限。在权限设置中，这个组的权限是仅次于Administrators的。
Users：普通用户组，这个组的用户无法进行有意或无意的改动。因此，用户可以运行经过验证的应用程序，但不可以运行大多数旧版应用程序。Users 组是最安全的组，因为分配给该组的默认权限不允许成员修改操作系统的设置或用户资料。Users 组提供了一个最安全的程序运行环境。在经过 NTFS 格式化的卷上，默认安全设置旨在禁止该组的成员危及操作系统和已安装程序的完整性。用户不能修改系统注册表设置、操作系统文件或程序文件。Users 可以关闭工作站，但不能关闭服务器。Users 可以创建本地组，但只能修改自己创建的本地组。
Guests：来宾组，按默认值，来宾跟普通Users的成员有同等访问权，但来宾帐户的限制更多。
Everyone：顾名思义，所有的用户，这个计算机上的所有用户都属于这个组。
其实还有一个组也很常见，它拥有和Administrators一样、甚至比其还高的权限，但是这个组不允许任何用户的加入，在察看用户组的时候，它也不会被显示出来，它就是SYSTEM组。系统和系统级的服务正常运行所需要的权限都是靠它赋予的。由于该组只有这一个用户SYSTEM，也许把该组归为用户的行列更为贴切。
权限是有高低之分的，有高权限的用户可以对低权限的用户进行操作，但除了Administrators之外，其他组的用户不能访问 NTFS 卷上的其他用户资料，除非他们获得了这些用户的授权。而低权限的用户无法对高权限的用户进行任何操作。
我们平常使用计算机的过程当中不会感觉到有权限在阻挠你去做某件事情，这是因为我们在使用计算机的时候都用的是Administrators中的用户登陆的。这样有利也有弊，利当然是你能去做你想做的任何一件事情而不会遇到权限的限制。弊就是以 Administrators 组成员的身份运行计算机将使系统容易受到特洛伊木马、病毒及其他安全风险的威胁。访问 Internet 站点或打开电子邮件附件的简单行动都可能破坏系统。不熟悉的 Internet 站点或电子邮件附件可能有特洛伊木马代码，这些代码可以下载到系统并被执行。如果以本地计算机的管理员身份登录，特洛伊木马可能使用管理访问权重新格式化您的硬盘，造成不可估量的损失，所以在没有必要的情况下，最好不用Administrators中的用户登陆。Administrators中有一个在系统安装时就创建的默认用户——Administrator，Administrator 帐户具有对服务器的完全控制权限，并可以根据需要向用户指派用户权利和访问控制权限。因此强烈建议将此帐户设置为使用强密码。永远也不可以从 Administrators 组删除 Administrator 帐户，但可以重命名或禁用该帐户。由于大家都知道“管理员”存在于许多版本的 Windows 上，所以重命名或禁用此帐户将使恶意用户尝试并访问该帐户变得更为困难。对于一个好的服务器管理员来说，他们通常都会重命名或禁用此帐户。Guests用户组下，也有一个默认用户——Guest，但是在默认情况下，它是被禁用的。如果没有特别必要，无须启用此账户。我们可以通过“控制面板”——“管理工具”——“计算机管理”——“用户和用户组”来查看用户组及该组下的用户。
我们用鼠标右键单击一个NTFS卷或NTFS卷下的一个目录，选择“属性”——“安全”就可以对一个卷，或者一个卷下面的目录进行权限设置，此时我们会看到以下七种权限：完全控制、修改、读取和运行、列出文件夹目录、读取、写入、和特别的权限。“完全控制”就是对此卷或目录拥有不受限制的完全访问。地位就像Administrators在所有组中的地位一样。选中了“完全控制”，下面的五项属性将被自动被选中。“修改”则像Power users，选中了“修改”，下面的四项属性将被自动被选中。下面的任何一项没有被选中时，“修改”条件将不再成立。“读取和运行”就是允许读取和运行在这个卷或目录下的任何文件，“列出文件夹目录”和“读取”是“读取和运行”的必要条件。“列出文件夹目录”是指只能浏览该卷或目录下的子目录，不能读取，也不能运行。“读取”是能够读取该卷或目录下的数据。“写入”就是能往该卷或目录下写入数据。而“特别”则是对以上的六种权限进行了细分。读者可以自行对“特别”进行更深的研究，鄙人在此就不过多赘述了。
下面我们对一台刚刚安装好操作系统和服务软件的WEB服务器系统和其权限进行全面的刨析。服务器采用Windows 2000 Server版，安装好了SP4及各种补丁。WEB服务软件则是用了Windows 2000自带的IIS 5.0，删除了一切不必要的映射。整个硬盘分为四个NTFS卷，C盘为系统卷，只安装了系统和驱动程序；D盘为软件卷，该服务器上所有安装的软件都在D盘中；E盘是WEB程序卷，网站程序都在该卷下的WWW目录中；F盘是网站数据卷，网站系统调用的所有数据都存放在该卷的WWWDATABASE目录下。这样的分类还算是比较符合一台安全服务器的标准了。希望各个新手管理员能合理给你的服务器数据进行分类，这样不光是查找起来方便，更重要的是这样大大的增强了服务器的安全性，因为我们可以根据需要给每个卷或者每个目录都设置不同的权限，一旦发生了网络安全事故，也可以把损失降到最低。当然，也可以把网站的数据分布在不同的服务器上，使之成为一个服务器群，每个服务器都拥有不同的用户名和密码并提供不同的服务，这样做的安全性更高。不过愿意这样做的人都有一个特点——有钱。好了，言归正传，该服务器的数据库为MS-SQL，MS-SQL的服务软件SQL2000安装在d:\ms-sqlserver2K目录下，给SA账户设置好了足够强度的密码，安装好了SP3补丁。为了方便网页制作员对网页进行管理，该网站还开通了FTP服务，FTP服务软件使用的是SERV-U 5.1.0.0，安装在d:\ftpservice\serv-u目录下。杀毒软件和防火墙用的分别是Norton Antivirus和BlackICE，路径分别为d:\nortonAV和d:\firewall\blackice，病毒库已经升级到最新，防火墙规则库定义只有80端口和21端口对外开放。网站的内容是采用动网7.0的论坛，网站程序在e:\www\bbs下。细心的读者可能已经注意到了，安装这些服务软件的路径我都没有采用默认的路径或者是仅仅更改盘符的默认路径，这也是安全上的需要，因为一个黑客如果通过某些途径进入了你的服务器，但并没有获得管理员权限，他首先做的事情将是查看你开放了哪些服务以及安装了哪些软件，因为他需要通过这些来提升他的权限。一个难以猜解的路径加上好的权限设置将把他阻挡在外。相信经过这样配置的WEB服务器已经足够抵挡大部分学艺不精的黑客了。读者可能又会问了：“这根本没用到权限设置嘛！我把其他都安全工作都做好了，权限设置还有必要吗？”当然有！智者千虑还必有一失呢，就算你现在已经把系统安全做的完美无缺，你也要知道新的安全漏洞总是在被不断的发现。权限将是你的最后一道防线！那我们现在就来对这台没有经过任何权限设置，全部采用Windows默认权限的服务器进行一次模拟攻击，看看其是否真的固若金汤。
假设服务器外网域名为http://www.webserver.com，用扫描软件对其进行扫描后发现开放WWW和FTP服务，并发现其服务软件使用的是IIS 5.0和Serv-u 5.1，用一些针对他们的溢出工具后发现无效，遂放弃直接远程溢出的想法。打开网站页面，发现使用的是动网的论坛系统，于是在其域名后面加个/upfile.asp，发现有文件上传漏洞，便抓包，把修改过的ASP木马用NC提交，提示上传成功，成功得到WEBSHELL，打开刚刚上传的ASP木马，发现有MS-SQL、Norton Antivirus和BlackICE在运行，判断是防火墙上做了限制，把SQL服务端口屏蔽了。通过ASP木马查看到了Norton Antivirus和BlackICE的PID，又通过ASP木马上传了一个能杀掉进程的文件，运行后杀掉了Norton Antivirus和BlackICE。再扫描，发现1433端口开放了，到此，便有很多种途径获得管理员权限了，可以查看网站目录下的conn.asp得到SQL的用户名密码，再登陆进SQL执行添加用户，提管理员权限。也可以抓SERV-U下的ServUDaemon.ini修改后上传，得到系统管理员权限。还可以传本地溢出SERV-U的工具直接添加用户到Administrators等等。大家可以看到，一旦黑客找到了切入点，在没有权限限制的情况下，黑客将一帆风顺的取得管理员权限。
那我们现在就来看看Windows 2000的默认权限设置到底是怎样的。对于各个卷的根目录，默认给了Everyone组完全控制权。这意味着任何进入电脑的用户将不受限制的在这些根目录中为所欲为。系统卷下有三个目录比较特殊，系统默认给了他们有限制的权限，这三个目录是Documents and settings、Program files和Winnt。对于Documents and settings，默认的权限是这样分配的：Administrators拥有完全控制权；Everyone拥有读&运，列和读权限；Power users拥有读&运，列和读权限；SYSTEM同Administrators；Users拥有读&运，列和读权限。对于Program files，Administrators拥有完全控制权；Creator owner拥有特殊权限；Power users有完全控制权；SYSTEM同Administrators；Terminal server users拥有完全控制权，Users有读&运，列和读权限。对于Winnt，Administrators拥有完全控制权；Creator owner拥有特殊权限；Power users有完全控制权；SYSTEM同Administrators；Users有读&运，列和读权限。而非系统卷下的所有目录都将继承其父目录的权限，也就是Everyone组完全控制权！
现在大家知道为什么我们刚刚在测试的时候能一帆风顺的取得管理员权限了吧？权限设置的太低了！一个人在访问网站的时候，将被自动赋予IUSR用户，它是隶属于Guest组的。本来权限不高，但是系统默认给的Everyone组完全控制权却让它“身价倍增”，到最后能得到Administrators了。那么，怎样设置权限给这台WEB服务器才算是安全的呢？大家要牢记一句话：“最少的服务+最小的权限=最大的安全”对于服务，不必要的话一定不要装，要知道服务的运行是SYSTEM级的哦，对于权限，本着够用就好的原则分配就是了。对于WEB服务器，就拿刚刚那台服务器来说，我是这样设置权限的，大家可以参考一下：各个卷的根目录、Documents and settings以及Program files，只给Administrator完全控制权，或者干脆直接把Program files给删除掉；给系统卷的根目录多加一个Everyone的读、写权；给e:\www目录，也就是网站目录读、写权。最后，还要把cmd.exe这个文件给挖出来，只给Administrator完全控制权。经过这样的设置后，再想通过我刚刚的方法入侵这台服务器就是不可能完成的任务了。可能这时候又有读者会问：“为什么要给系统卷的根目录一个Everyone的读、写权？网站中的ASP文件运行不需要运行权限吗？”问的好，有深度。是这样的，系统卷如果不给Everyone的读、写权的话，启动计算机的时候，计算机会报错，而且会提示虚拟内存不足。当然这也有个前提——虚拟内存是分配在系统盘的，如果把虚拟内存分配在其他卷上，那你就要给那个卷Everyone的读、写权。ASP文件的运行方式是在服务器上执行，只把执行的结果传回最终用户的浏览器，这没错，但ASP文件不是系统意义上的可执行文件，它是由WEB服务的提供者——IIS来解释执行的，所以它的执行并不需要运行的权限。
经过上面的讲解以后，你一定对权限有了一个初步了了解了吧？想更深入的了解权限，那么权限的一些特性你就不能不知道了，权限是具有继承性、累加性 、优先性、交叉性的。
继承性是说下级的目录在没有经过重新设置之前，是拥有上一级目录权限设置的。这里还有一种情况要说明一下，在分区内复制目录或文件的时候，复制过去的目录和文件将拥有它现在所处位置的上一级目录权限设置。但在分区内移动目录或文件的时候，移动过去的目录和文件将拥有它原先的权限设置。
累加是说如一个组GROUP1中有两个用户USER1、USER2，他们同时对某文件或目录的访问权限分别为“读取”和“写入”，那么组GROUP1对该文件或目录的访问权限就为USER1和USER2的访问权限之和，实际上是取其最大的那个，即“读取”+“写入”=“写入”。 又如一个用户USER1同属于组GROUP1和GROUP2，而GROUP1对某一文件或目录的访问权限为“只读”型的，而GROUP2对这一文件或文件夹的访问权限为“完全控制”型的，则用户USER1对该文件或文件夹的访问权限为两个组权限累加所得，即：“只读”+“完全控制”=“完全控制”。
优先性，权限的这一特性又包含两种子特性，其一是文件的访问权限优先目录的权限，也就是说文件权限可以越过目录的权限，不顾上一级文件夹的设置。另一特性就是“拒绝”权限优先其它权限，也就是说“拒绝”权限可以越过其它所有其它权限，一旦选择了“拒绝”权限，则其它权限也就不能取任何作用，相当于没有设置。
交叉性是指当同一文件夹在为某一用户设置了共享权限的同时又为用户设置了该文件夹的访问权限，且所设权限不一致时，它的取舍原则是取两个权限的交集，也即最严格、最小的那种权限。如目录A为用户USER1设置的共享权限为“只读”，同时目录A为用户USER1设置的访问权限为“完全控制”，那用户USER1的最终访问权限为“只读”。
权限设置的问题我就说到这了，在最后我还想给各位读者提醒一下，权限的设置必须在NTFS分区中才能实现的，FAT32是不支持权限设置的。同时还想给各位管理员们一些建议：
1.养成良好的习惯，给服务器硬盘分区的时候分类明确些，在不使用服务器的时候将服务器锁定，经常更新各种补丁和升级杀毒软件。
2.设置足够强度的密码，这是老生常谈了，但总有管理员设置弱密码甚至空密码。
3.尽量不要把各种软件安装在默认的路径下。
4.在英文水平不是问题的情况下，尽量安装英文版操作系统。
5.切忌在服务器上乱装软件或不必要的服务。
6.牢记：没有永远安全的系统，经常更新你的知识。
要打造一台安全的WEB服务器，那么这台服务器就一定要使用NTFS和Windows NT/2000/2003。众所周知，Windows是一个支持多用户、多任务的操作系统，这是权限设置的基础，一切权限设置都是基于用户和进程而言的，不同的用户在访问这台计算机时，将会有不同的权限。DOS是个单任务、单用户的操作系统。但是我们能说DOS没有权限吗？不能！当我们打开一台装有DOS操作系统的计算机的时候，我们就拥有了这个操作系统的管理员权限，而且，这个权限无处不在。所以，我们只能说DOS不支持权限的设置，不能说它没有权限。随着人们安全意识的提高，权限设置随着NTFS的发布诞生了。
Windows NT里，用户被分成许多组，组和组之间都有不同的权限，当然，一个组的用户和用户之间也可以有不同的权限。下面我们来谈谈NT中常见的用户组。
Administrators：管理员组，默认情况下，Administrators中的用户对计算机/域有不受限制的完全访问权。分配给该组的默认权限允许对整个系统进行完全控制。所以，只有受信任的人员才可成为该组的成员。
Power Users：高级用户组，Power Users 可以执行除了为 Administrators 组保留的任务外的其他任何操作系统任务。分配给 Power Users 组的默认权限允许 Power Users 组的成员修改整个计算机的设置。但Power Users 不具有将自己添加到 Administrators 组的权限。在权限设置中，这个组的权限是仅次于Administrators的。
Users：普通用户组，这个组的用户无法进行有意或无意的改动。因此，用户可以运行经过验证的应用程序，但不可以运行大多数旧版应用程序。Users 组是最安全的组，因为分配给该组的默认权限不允许成员修改操作系统的设置或用户资料。Users 组提供了一个最安全的程序运行环境。在经过 NTFS 格式化的卷上，默认安全设置旨在禁止该组的成员危及操作系统和已安装程序的完整性。用户不能修改系统注册表设置、操作系统文件或程序文件。Users 可以关闭工作站，但不能关闭服务器。Users 可以创建本地组，但只能修改自己创建的本地组。
Guests：来宾组，按默认值，来宾跟普通Users的成员有同等访问权，但来宾帐户的限制更多。
Everyone：顾名思义，所有的用户，这个计算机上的所有用户都属于这个组。
其实还有一个组也很常见，它拥有和Administrators一样、甚至比其还高的权限，但是这个组不允许任何用户的加入，在察看用户组的时候，它也不会被显示出来，它就是SYSTEM组。系统和系统级的服务正常运行所需要的权限都是靠它赋予的。由于该组只有这一个用户SYSTEM，也许把该组归为用户的行列更为贴切。
权限是有高低之分的，有高权限的用户可以对低权限的用户进行操作，但除了Administrators之外，其他组的用户不能访问 NTFS 卷上的其他用户资料，除非他们获得了这些用户的授权。而低权限的用户无法对高权限的用户进行任何操作。
我们平常使用计算机的过程当中不会感觉到有权限在阻挠你去做某件事情，这是因为我们在使用计算机的时候都用的是Administrators中的用户登陆的。这样有利也有弊，利当然是你能去做你想做的任何一件事情而不会遇到权限的限制。弊就是以 Administrators 组成员的身份运行计算机将使系统容易受到特洛伊木马、病毒及其他安全风险的威胁。访问 Internet 站点或打开电子邮件附件的简单行动都可能破坏系统。不熟悉的 Internet 站点或电子邮件附件可能有特洛伊木马代码，这些代码可以下载到系统并被执行。如果以本地计算机的管理员身份登录，特洛伊木马可能使用管理访问权重新格式化您的硬盘，造成不可估量的损失，所以在没有必要的情况下，最好不用Administrators中的用户登陆。Administrators中有一个在系统安装时就创建的默认用户——Administrator，Administrator 帐户具有对服务器的完全控制权限，并可以根据需要向用户指派用户权利和访问控制权限。因此强烈建议将此帐户设置为使用强密码。永远也不可以从 Administrators 组删除 Administrator 帐户，但可以重命名或禁用该帐户。由于大家都知道“管理员”存在于许多版本的 Windows 上，所以重命名或禁用此帐户将使恶意用户尝试并访问该帐户变得更为困难。对于一个好的服务器管理员来说，他们通常都会重命名或禁用此帐户。Guests用户组下，也有一个默认用户——Guest，但是在默认情况下，它是被禁用的。如果没有特别必要，无须启用此账户。我们可以通过“控制面板”——“管理工具”——“计算机管理”——“用户和用户组”来查看用户组及该组下的用户。
我们用鼠标右键单击一个NTFS卷或NTFS卷下的一个目录，选择“属性”——“安全”就可以对一个卷，或者一个卷下面的目录进行权限设置，此时我们会看到以下七种权限：完全控制、修改、读取和运行、列出文件夹目录、读取、写入、和特别的权限。“完全控制”就是对此卷或目录拥有不受限制的完全访问。地位就像Administrators在所有组中的地位一样。选中了“完全控制”，下面的五项属性将被自动被选中。“修改”则像Power users，选中了“修改”，下面的四项属性将被自动被选中。下面的任何一项没有被选中时，“修改”条件将不再成立。“读取和运行”就是允许读取和运行在这个卷或目录下的任何文件，“列出文件夹目录”和“读取”是“读取和运行”的必要条件。“列出文件夹目录”是指只能浏览该卷或目录下的子目录，不能读取，也不能运行。“读取”是能够读取该卷或目录下的数据。“写入”就是能往该卷或目录下写入数据。而“特别”则是对以上的六种权限进行了细分。读者可以自行对“特别”进行更深的研究，鄙人在此就不过多赘述了。
下面我们对一台刚刚安装好操作系统和服务软件的WEB服务器系统和其权限进行全面的刨析。服务器采用Windows 2000 Server版，安装好了SP4及各种补丁。WEB服务软件则是用了Windows 2000自带的IIS 5.0，删除了一切不必要的映射。整个硬盘分为四个NTFS卷，C盘为系统卷，只安装了系统和驱动程序；D盘为软件卷，该服务器上所有安装的软件都在D盘中；E盘是WEB程序卷，网站程序都在该卷下的WWW目录中；F盘是网站数据卷，网站系统调用的所有数据都存放在该卷的WWWDATABASE目录下。这样的分类还算是比较符合一台安全服务器的标准了。希望各个新手管理员能合理给你的服务器数据进行分类，这样不光是查找起来方便，更重要的是这样大大的增强了服务器的安全性，因为我们可以根据需要给每个卷或者每个目录都设置不同的权限，一旦发生了网络安全事故，也可以把损失降到最低。当然，也可以把网站的数据分布在不同的服务器上，使之成为一个服务器群，每个服务器都拥有不同的用户名和密码并提供不同的服务，这样做的安全性更高。不过愿意这样做的人都有一个特点——有钱。好了，言归正传，该服务器的数据库为MS-SQL，MS-SQL的服务软件SQL2000安装在d:\ms-sqlserver2K目录下，给SA账户设置好了足够强度的密码，安装好了SP3补丁。为了方便网页制作员对网页进行管理，该网站还开通了FTP服务，FTP服务软件使用的是SERV-U 5.1.0.0，安装在d:\ftpservice\serv-u目录下。杀毒软件和防火墙用的分别是Norton Antivirus和BlackICE，路径分别为d:\nortonAV和d:\firewall\blackice，病毒库已经升级到最新，防火墙规则库定义只有80端口和21端口对外开放。网站的内容是采用动网7.0的论坛，网站程序在e:\www\bbs下。细心的读者可能已经注意到了，安装这些服务软件的路径我都没有采用默认的路径或者是仅仅更改盘符的默认路径，这也是安全上的需要，因为一个黑客如果通过某些途径进入了你的服务器，但并没有获得管理员权限，他首先做的事情将是查看你开放了哪些服务以及安装了哪些软件，因为他需要通过这些来提升他的权限。一个难以猜解的路径加上好的权限设置将把他阻挡在外。相信经过这样配置的WEB服务器已经足够抵挡大部分学艺不精的黑客了。读者可能又会问了：“这根本没用到权限设置嘛！我把其他都安全工作都做好了，权限设置还有必要吗？”当然有！智者千虑还必有一失呢，就算你现在已经把系统安全做的完美无缺，你也要知道新的安全漏洞总是在被不断的发现。权限将是你的最后一道防线！那我们现在就来对这台没有经过任何权限设置，全部采用Windows默认权限的服务器进行一次模拟攻击，看看其是否真的固若金汤。
假设服务器外网域名为http://www.webserver.com，用扫描软件对其进行扫描后发现开放WWW和FTP服务，并发现其服务软件使用的是IIS 5.0和Serv-u 5.1，用一些针对他们的溢出工具后发现无效，遂放弃直接远程溢出的想法。打开网站页面，发现使用的是动网的论坛系统，于是在其域名后面加个/upfile.asp，发现有文件上传漏洞，便抓包，把修改过的ASP木马用NC提交，提示上传成功，成功得到WEBSHELL，打开刚刚上传的ASP木马，发现有MS-SQL、Norton Antivirus和BlackICE在运行，判断是防火墙上做了限制，把SQL服务端口屏蔽了。通过ASP木马查看到了Norton Antivirus和BlackICE的PID，又通过ASP木马上传了一个能杀掉进程的文件，运行后杀掉了Norton Antivirus和BlackICE。再扫描，发现1433端口开放了，到此，便有很多种途径获得管理员权限了，可以查看网站目录下的conn.asp得到SQL的用户名密码，再登陆进SQL执行添加用户，提管理员权限。也可以抓SERV-U下的ServUDaemon.ini修改后上传，得到系统管理员权限。还可以传本地溢出SERV-U的工具直接添加用户到Administrators等等。大家可以看到，一旦黑客找到了切入点，在没有权限限制的情况下，黑客将一帆风顺的取得管理员权限。
那我们现在就来看看Windows 2000的默认权限设置到底是怎样的。对于各个卷的根目录，默认给了Everyone组完全控制权。这意味着任何进入电脑的用户将不受限制的在这些根目录中为所欲为。系统卷下有三个目录比较特殊，系统默认给了他们有限制的权限，这三个目录是Documents and settings、Program files和Winnt。对于Documents and settings，默认的权限是这样分配的：Administrators拥有完全控制权；Everyone拥有读&运，列和读权限；Power users拥有读&运，列和读权限；SYSTEM同Administrators；Users拥有读&运，列和读权限。对于Program files，Administrators拥有完全控制权；Creator owner拥有特殊权限；Power users有完全控制权；SYSTEM同Administrators；Terminal server users拥有完全控制权，Users有读&运，列和读权限。对于Winnt，Administrators拥有完全控制权；Creator owner拥有特殊权限；Power users有完全控制权；SYSTEM同Administrators；Users有读&运，列和读权限。而非系统卷下的所有目录都将继承其父目录的权限，也就是Everyone组完全控制权！
现在大家知道为什么我们刚刚在测试的时候能一帆风顺的取得管理员权限了吧？权限设置的太低了！一个人在访问网站的时候，将被自动赋予IUSR用户，它是隶属于Guest组的。本来权限不高，但是系统默认给的Everyone组完全控制权却让它“身价倍增”，到最后能得到Administrators了。那么，怎样设置权限给这台WEB服务器才算是安全的呢？大家要牢记一句话：“最少的服务+最小的权限=最大的安全”对于服务，不必要的话一定不要装，要知道服务的运行是SYSTEM级的哦，对于权限，本着够用就好的原则分配就是了。对于WEB服务器，就拿刚刚那台服务器来说，我是这样设置权限的，大家可以参考一下：各个卷的根目录、Documents and settings以及Program files，只给Administrator完全控制权，或者干脆直接把Program files给删除掉；给系统卷的根目录多加一个Everyone的读、写权；给e:\www目录，也就是网站目录读、写权。最后，还要把cmd.exe这个文件给挖出来，只给Administrator完全控制权。经过这样的设置后，再想通过我刚刚的方法入侵这台服务器就是不可能完成的任务了。可能这时候又有读者会问：“为什么要给系统卷的根目录一个Everyone的读、写权？网站中的ASP文件运行不需要运行权限吗？”问的好，有深度。是这样的，系统卷如果不给Everyone的读、写权的话，启动计算机的时候，计算机会报错，而且会提示虚拟内存不足。当然这也有个前提——虚拟内存是分配在系统盘的，如果把虚拟内存分配在其他卷上，那你就要给那个卷Everyone的读、写权。ASP文件的运行方式是在服务器上执行，只把执行的结果传回最终用户的浏览器，这没错，但ASP文件不是系统意义上的可执行文件，它是由WEB服务的提供者——IIS来解释执行的，所以它的执行并不需要运行的权限。
经过上面的讲解以后，你一定对权限有了一个初步了了解了吧？想更深入的了解权限，那么权限的一些特性你就不能不知道了，权限是具有继承性、累加性 、优先性、交叉性的。
继承性是说下级的目录在没有经过重新设置之前，是拥有上一级目录权限设置的。这里还有一种情况要说明一下，在分区内复制目录或文件的时候，复制过去的目录和文件将拥有它现在所处位置的上一级目录权限设置。但在分区内移动目录或文件的时候，移动过去的目录和文件将拥有它原先的权限设置。
累加是说如一个组GROUP1中有两个用户USER1、USER2，他们同时对某文件或目录的访问权限分别为“读取”和“写入”，那么组GROUP1对该文件或目录的访问权限就为USER1和USER2的访问权限之和，实际上是取其最大的那个，即“读取”+“写入”=“写入”。 又如一个用户USER1同属于组GROUP1和GROUP2，而GROUP1对某一文件或目录的访问权限为“只读”型的，而GROUP2对这一文件或文件夹的访问权限为“完全控制”型的，则用户USER1对该文件或文件夹的访问权限为两个组权限累加所得，即：“只读”+“完全控制”=“完全控制”。
优先性，权限的这一特性又包含两种子特性，其一是文件的访问权限优先目录的权限，也就是说文件权限可以越过目录的权限，不顾上一级文件夹的设置。另一特性就是“拒绝”权限优先其它权限，也就是说“拒绝”权限可以越过其它所有其它权限，一旦选择了“拒绝”权限，则其它权限也就不能取任何作用，相当于没有设置。
交叉性是指当同一文件夹在为某一用户设置了共享权限的同时又为用户设置了该文件夹的访问权限，且所设权限不一致时，它的取舍原则是取两个权限的交集，也即最严格、最小的那种权限。如目录A为用户USER1设置的共享权限为“只读”，同时目录A为用户USER1设置的访问权限为“完全控制”，那用户USER1的最终访问权限为“只读”。
权限设置的问题我就说到这了，在最后我还想给各位读者提醒一下，权限的设置必须在NTFS分区中才能实现的，FAT32是不支持权限设置的。同时还想给各位管理员们一些建议：
1.养成良好的习惯，给服务器硬盘分区的时候分类明确些，在不使用服务器的时候将服务器锁定，经常更新各种补丁和升级杀毒软件。
2.设置足够强度的密码，这是老生常谈了，但总有管理员设置弱密码甚至空密码。
3.尽量不要把各种软件安装在默认的路径下。
4.在英文水平不是问题的情况下，尽量安装英文版操作系统。
5.切忌在服务器上乱装软件或不必要的服务。
6.牢记：没有永远安全的系统，经常更新你的知识。
教你上网前保证Windows XP安全的办法
[ 2007-03-25 03:43:12 | 作者: sun ]
当您安装新的 Windows XP Home、Professional 计算机时，需要确保系统安装了最新的更新软件和安全软件，以便在连接至 Internet 之前防御病毒和其它潜在威胁。连接至 Internet 后，定期更新操作系统和防病毒软件也同样重要。
下面这些步骤可帮助您以最新可用的 Windows XP 安全工具来设置新计算机。
第1步：正确安装系统补丁
安装完Windows XP后，我们接着马上需要进行Windows XP SP2的安装（硬盘剩余空间最好不要小于1.6GB），该补丁是2004年7月前发现的Windows XP系统安全漏洞的总包。
第2步：验证防火墙
安装完Windows XP SP2后，应该已安装了 Windows 防火墙（XP SP防火墙的设置见随后的教程）。
要验证计算机是否安装了 SP2，单击“开始”、“我的电脑”，然后单击“查看系统信息”以弹出“系统属性”窗口。此信息列在“系统：”标题下。“系统属性”窗口
第3步：获取软件更新
• 激活 Windows 自动更新。
• 插入调制解调器或网线以访问 Internet，然后启动“网络连接向导”。
• 连接后，让 Windows Update 安装最新的安全更新和软件更新。
一旦完成了所有更新且设定设置，您就可以在 Internet 冲浪了！只是要记住，勤于了解计算机安全技术很重要，因此，请定期运行 Windows Update，检查最新的下载和产品更新，保持启用自动更新并了解最新的安全威胁。同时多学习网络安全防范知识。
从服务器的记录寻找黑客的蛛丝马迹
[ 2007-03-25 03:43:00 | 作者: sun ]
当服务器被攻击时，最容易被人忽略的地方，就是记录文件，服务器的记录文件了黑客活动的蛛丝马迹。在这里，我为大家介绍一下两种常见的网页服务器中最重要的记录文件，分析服务器遭到攻击后，黑客在记录文件中留下什么记录。
目前最常见的网页服务器有两种：Apache和微软的Internet Information Server （简称IIS）。这两种服务器都有一般版本和SSL认证版本，方便黑客对加密和未加密的服务器进行攻击。
IIS的预设记录文件地址在 c:winntsystem32logfilesw3svc1的目录下，文件名是当天的日期，如yymmdd.log。系统会每天产生新的记录文件。预设的格式是W3C延伸记录文件格式（W3C Extended Log File Format），很多相关软件都可以解译、分析这种格式的档案。记录文件在预设的状况下会记录时间、客户端IP地址、method（GET、POST等）、URI stem（要求的资源）、和HTTP状态（数字状态代码）。这些字段大部分都一看就懂，可是HTTP状态就需要解读了。一般而言，如果代码是在200到299代表成功。常见的200状态码代表符合客户端的要求。300到399代表必须由客户端采取动作才能满足所提出的要求。400到499和500到599代表客户端和服务器有问题。最常见的状态代码有两个，一个是404，代表客户端要求的资源不在服务器上，403代表的是所要求的资源拒绝服务。Apache记录文件的预设储存位置在/usr/local/apache/logs。最有价值的记录文件是access_log，不过 ssl_request_log和ssl_engine_log也能提供有用的资料。 access_log记录文件有七个字段，包括客户端IP地址、特殊人物识别符、用户名称、日期、Method Resource Protocol（GET、POST等；要求哪些资源；然后是协议的版本）、HTTP状态、还有传输的字节。
我在这里所用的是与黑客用的相似的模拟攻击网站方式和工具。
分析过程
网页服务器版本是很重要的信息，黑客一般先向网页服务器提出要求，让服务器送回本身的版本信息。只要把「HEAD / HTTP/1.0」这个字符串用常见的netcat utility和OpenSSL binary送到开放服务器的通讯端口就成了。注意看下面的示范：
C:>nc -n 10.0.2.55 80
HEAD / HTTP/1.0
HTTP/1.1 200 OK
Server: Microsoft-IIS/4.0
Date: Sun, 08 Mar 2001 14:31:00 GMT
Content-Type: text/html
Set-Cookie: ASPSESSIONIDGQQQQQPA=IHOJAGJDECOLLGIBNKMCEEED; path=/
Cache-control: private
这种形式的要求在IIS和Apache的记录文件中会生成以下记录：
IIS: 15:08:44 11.1.2.80 HEAD /Default.asp 200
Linux: 11.1.2.80 - - [08/Mar/2001:15:56:39 -0700] "HEAD / HTTP/1.0" 200 0
虽然这类要求合法，看似很平常，不过却常常是网络攻击的前奏曲。access_log和IIS的记录文件没有表明这个要求是连到SSL服务器还是一般的网页服务器，可是Apache的 ssl_request_log和ssl_engine_log（在/usr/local/apache/logs目录下）这两个记录文件就会记录是否有联机到SSL服务器。请看以下的ssl_request_log记录文件：
[07/Mar/2001:15:32:52 -0700] 11.1.1.50 SSLv3 EDH-RSA-DES-CBC3-SHA "HEAD / HTTP/1.0" 0
第三和第四个字段表示客户端使用的是哪种加密方式。以下的ssl_request_log分别记录从OpenSSL、 Internet Explorer和Netscape客户端程序发出的要求。
[07/Mar/2001:15:48:26 -0700] 11.1.1.50 SSLv3 EDH-RSA-DES-CBC3-SHA "GET / HTTP/1.0" 2692
[07/Mar/2001:15:52:51 -0700] 10.0.2.55 TLSv1 RC4-MD5 "GET / HTTP/1.1" 2692
[07/Mar/2001:15:54:46 -0700] 11.1.1.50 SSLv3 EXP-RC4-MD5 "GET / HTTP/1.0" 2692
[07/Mar/2001:15:55:34 –0700] 11.1.2.80 SSLv3 RC4-MD5 “GET / HTTP/1.0” 2692
另外黑客通常会复制一个网站（也就是所谓的镜射网站。），来取得发动攻击所需要的信息。网页原始码中的批注字段常有目录、文件名甚至密码的有用资料。复制网站常用的工具包括窗口系统的Teleport Pro（网址：http://www.tenmax.com/teleport/pro/home.htm）和Unix系统的wget（网址：http://www.gnu.org/manual/wget/）。在这里我为大家分析wget和TeleportPro这两个软件攻击网页服务器后记录文件中的内容。这两个软件能全面快速搜寻整个网站，对所有公开的网页提出要求。只要检查一下记录文件就知道，要解译镜射这个动作是很简单的事。以下是IIS的记录文件：
16:28:52 11.1.2.80 GET /Default.asp 200
16:28:52 11.1.2.80 GET /robots.txt 404
16:28:52 11.1.2.80 GET /header_protecting_your_privacy.gif 200
16:28:52 11.1.2.80 GET /header_fec_reqs.gif 200
16:28:55 11.1.2.80 GET /photo_contribs_sidebar.jpg 200
16:28:55 11.1.2.80 GET /g2klogo_white_bgd.gif 200
16:28:55 11.1.2.80 GET /header_contribute_on_line.gif 200
注：11.1.2.80这个主机是Unix系统的客户端，是用wget软件发出请求。
16:49:01 11.1.1.50 GET /Default.asp 200
16:49:01 11.1.1.50 GET /robots.txt 404
16:49:01 11.1.1.50 GET /header_contribute_on_line.gif 200
16:49:01 11.1.1.50 GET /g2klogo_white_bgd.gif 200
16:49:01 11.1.1.50 GET /photo_contribs_sidebar.jpg 200
16:49:01 11.1.1.50 GET /header_fec_reqs.gif 200
16:49:01 11.1.1.50 GET /header_protecting_your_privacy.gif 200
注：11.1.1.50系统是窗口环境的客户端，用的是TeleportPro发出请求。
注意：以上两个主机都要求robots.txt这个档，其实这个档案是网页管理员的工具，作用是防止wget和TeleportPro这类自动抓文件软件对某些网页从事抓取或搜寻的动作。如果有人提出robots.txt档的要求，常常代表是要镜射整个网站。但，TeleportPro和wget这两个软件都可以把要求robots.txt这个文件的功能取消。另一个侦测镜射动作的方式，是看看有没有同一个客户端IP反复提出资源要求。
黑客还可以用网页漏洞稽核软件：Whisker，来侦查网页服务器有没有安全后门（主要是检查有没有cgi-bin程序，这种程序会让系统产生安全漏洞）。以下是IIS和Apache网页服务器在执行Whisker后产生的部分记录文件。
IIS：
13:17:56 11.1.1.50 GET /SiteServer/Publishing/viewcode.asp 404
13:17:56 11.1.1.50 GET /msadc/samples/adctest.asp 200
13:17:56 11.1.1.50 GET /advworks/equipment/catalog_type.asp 404
13:17:56 11.1.1.50 GET /iisadmpwd/aexp4b.htr 200
13:17:56 11.1.1.50 HEAD /scripts/samples/details.idc 200
13:17:56 11.1.1.50 GET /scripts/samples/details.idc 200
13:17:56 11.1.1.50 HEAD /scripts/samples/ctguestb.idc 200
13:17:56 11.1.1.50 GET /scripts/samples/ctguestb.idc 200
13:17:56 11.1.1.50 HEAD /scripts/tools/newdsn.exe 404
13:17:56 11.1.1.50 HEAD /msadc/msadcs.dll 200
13:17:56 11.1.1.50 GET /scripts/iisadmin/bdir.htr 200
13:17:56 11.1.1.50 HEAD /carbo.dll 404
13:17:56 11.1.1.50 HEAD /scripts/proxy/ 403
13:17:56 11.1.1.50 HEAD /scripts/proxy/w3proxy.dll 500
13:17:56 11.1.1.50 GET /scripts/proxy/w3proxy.dll 500
Apache：
11.1.1.50 - - [08/Mar/2001:12:57:28 -0700] "GET /cfcache.map HTTP/1.0" 404 266
11.1.1.50 - - [08/Mar/2001:12:57:28 -0700] "GET /cfide/Administrator/startstop.html
HTTP/1.0" 404 289
11.1.1.50 - - [08/Mar/2001:12:57:28 -0700] "GET /cfappman/index.cfm HTTP/1.0" 404 273
11.1.1.50 - - [08/Mar/2001:12:57:28 -0700] "GET /cgi-bin/ HTTP/1.0" 403 267
11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "GET /cgi-bin/dbmlparser.exe HTTP/1.0" 404 277
11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /_vti_inf.html HTTP/1.0" 404 0
11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /_vti_pvt/ HTTP/1.0" 404 0
11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /cgi-bin/webdist.cgi HTTP/1.0" 404 0
11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /cgi-bin/handler HTTP/1.0" 404 0
11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /cgi-bin/wrap HTTP/1.0" 404 0
11.1.1.50 - - [08/Mar/2001:12:57:29 -0700] "HEAD /cgi-bin/pfdisplay.cgi HTTP/1.0" 404 0
大家要侦测这类攻击的关键，就在于从单一IP地址发出大量的404 HTTP状态代码。只要注意到这类信息，就可以分析对方要求的资源；于是它们就会拼命要求提供 cgi-bin scripts（Apache 服务器的 cgi-bin 目录；IIS服务器的 scripts目录）。
小结
网页如果被人探访过，总会在记录文件留下什么线索。如果网页管理员警觉性够高，应该会把分析记录文件作为追查线索，并且在检查后发现网站真的有漏洞时，就能预测会有黑客攻击网站。
接下来我要向大家示范两种常见的网页服务器攻击方式，分析服务器在受到攻击后黑客在记录文件中痕迹。
（1）MDAC攻击
MDAC攻击法可以让网页的客户端在IIS网页服务器上执行命令。如果有人开始攻击IIS服务器，记录文件就会记下客户端曾经呼叫msadcs.dll文档：
17:48:49 12.1.2.8 GET /msadc/msadcs.dll 200
17:48:51 12.1.2.8 POST /msadc/msadcs.dll 200
（2）利用原始码漏洞
第二种攻击方式也很普遍，就是会影响ASP和Java网页的暴露原始码漏洞。 最晚被发现的安全漏洞是 +.htr 臭虫，这个bug会显示ASP原始码。 如果有人利用这个漏洞攻击，就会在IIS的记录文件里面留下这些线索：
17:50:13 11.1.2.80 GET /default.asp+.htr 200
网页常会只让有权限的使用者进入。接下来我们要让各位看 Apache的access_log记录文件会在登录失败时留下什么线索：
12.1.2.8 - user [08/Mar/2001:18:58:29 -0700] "GET /private/ HTTP/1.0" 401 462
注：第三栏里面的使用者名称是「user」。还有要注意HTTP的状态代号是401，代表非法存取。
有效防止DOS攻击--利用linux架设防火墙
[ 2007-03-25 03:42:44 | 作者: sun ]
虚拟主机服务商在运营过程中可能会受到黑客攻击，常见的攻击方式有SYN，DDOS等。通过更换IP，查找被攻击的站点可能避开攻击，但是中断服务的时间比较长。比较彻底的解决方法是添置硬件防火墙。不过，硬件防火墙价格比较昂贵。可以考虑利用Linux系统本身提供的防火墙功能来防御。
1. 抵御SYN
SYN攻击是利用TCP/IP协议3次握手的原理，发送大量的建立连接的网络包，但不实际建立连接，最终导致被攻击服务器的网络队列被占满，无法被正常用户访问。Linux内核提供了若干SYN相关的配置，用命令：
sysctl -a | grep syn
看到：
net.ipv4.tcp_max_syn_backlog = 1024
net.ipv4.tcp_syncookies = 0
net.ipv4.tcp_synack_retries = 5
net.ipv4.tcp_syn_retries = 5
tcp_max_syn_backlog是SYN队列的长度，tcp_syncookies是一个开关，是否打开SYN Cookie功能，该功能可以防止部分SYN攻击。tcp_synack_retries和tcp_syn_retries定义SYN的重试次数。加大SYN队列长度可以容纳更多等待连接的网络连接数，打开SYN Cookie功能可以阻止部分SYN攻击，降低重试次数也有一定效果。
调整上述设置的方法是：
增加SYN队列长度到2048：
sysctl -w net.ipv4.tcp_max_syn_backlog=2048
打开SYN COOKIE功能：
sysctl -w net.ipv4.tcp_syncookies=1
降低重试次数：
sysctl -w net.ipv4.tcp_synack_retries=3
sysctl -w net.ipv4.tcp_syn_retries=3
为了系统重启动时保持上述配置，可将上述命令加入到/etc/rc.d/rc.local文件中。
2. 抵御DDOS
DDOS，分布式拒绝访问攻击，是指黑客组织来自不同来源的许多主机，向常见的端口，如80，25等发送大量连接，但这些客户端只建立连接，不是正常访问。由于一般Apache配置的接受连接数有限（通常为256），这些“假” 访问会把Apache占满，正常访问无法进行。
Linux提供了叫ipchains的防火墙工具，可以屏蔽来自特定IP或IP地址段的对特定端口的连接。使用ipchains抵御DDOS，就是首先通过netstat命令发现攻击来源地址，然后用ipchains命令阻断攻击。发现一个阻断一个。
打开ipchains功能
首先查看ipchains服务是否设为自动启动：
chkconfig --list ipchains
输出一般为：
ipchains 0:off 1:off 2:on 3:on 4:on 5:on 6:off
如果345列为on，说明ipchains服务已经设为自动启动如果没有，可以用命令：
chkconfig --add ipchains
将ipchains服务设为自动启动。
其次，察看ipchains配置文件/etc/sysconfig/ipchains是否存在。如果这一文件不存在，ipchains即使设为自动启动，也不会生效。缺省的ipchains配置文件内容如下：
# Firewall configuration written by lokkit
# Manual customization of this file is not recommended.
# Note: ifup-post will punch the current nameservers through the
# firewall; such entries will *not* be listed here.
:input ACCEPT
:forward ACCEPT
:output ACCEPT
-A input -s 0/0 -d 0/0 -i lo -j ACCEPT
# allow http,ftp,smtp,ssh,domain via tcp; domain via udp
-A input -p tcp -s 0/0 -d 0/0 pop3 -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 http -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 https -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 ftp -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 smtp -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 ssh -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 domain -y -j ACCEPT
-A input -p udp -s 0/0 -d 0/0 domain -j ACCEPT
# deny icmp packet
#-A input -p icmp -s 0/0 -d 0/0 -j DENY
# default rules
-A input -p tcp -s 0/0 -d 0/0 0:1023 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 2049 -y -j REJECT
-A input -p udp -s 0/0 -d 0/0 0:1023 -j REJECT
-A input -p udp -s 0/0 -d 0/0 2049 -j REJECT
-A input -p tcp -s 0/0 -d 0/0 6000:6009 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 7100 -y -j REJECT
如果/etc/sysconfig/ipchains文件不存在，可以用上述内容创建之。创建之后，启动ipchains服务：/etc/init.d/ipchains start
用netstat命令发现攻击来源
假如说黑客攻击的是Web 80端口，察看连接80端口的客户端IP和端口，命令如下：netstat -an -t tcp | grep ":80" | grep ESTABLISHED | awk '{printf "%s %s\n",$5,$6}' | sort
输出：
161.2.8.9:123 FIN_WAIT2
161.2.8.9:124 FIN_WAIT2
61.233.85.253:23656 FIN_WAIT2
...
第一栏是客户机IP和端口，第二栏是连接状态。如果来自同一IP的连接很多（超过50个），而且都是连续端口，就很可能是攻击。如果只希望察看建立的连接，用命令：
netstat -an -t tcp | grep ":80"
| grep ESTABLISHED | awk '{printf "%s %s\n",$5,$6}' | sort
用ipchains阻断攻击来源
用ipchains阻断攻击来源，有两种方法。一种是加入到/etc/sysconfig/ipchains里，然后重启动ipchains服务。另一种是直接用ipchains命令加。屏蔽之后，可能还需要重新启动被攻击的服务，是已经建立的攻击连接失效,加入/etc/sysconfig/ipchains.
假定要阻止的是218.202.8.151到80的连接，编辑/etc/sysconfig/ipchains文件，在:output ACCEPT
行下面加入：
-A input -s 218.202.8.151 -d 0/0 http -y -j REJECT
保存修改，重新启动ipchains：
/etc/init.d/ipchains restart
如果要阻止的是218.202.8的整个网段，加入：
-A input -s 218.202.8.0/255.255.255.0 -d 0/0 http -y -j REJECT
直接用命令行
加入/etc/sysconfig/ipchains文件并重起ipchains的方法，比较慢，而且在ipchains重起的瞬间，可能会有部分连接钻进来。最方便的方法是直接用ipchains命令。假定要阻止的是218.202.8.151到80的连接，命令：
ipchains -I input 1 -p tcp -s 218.202.8.151 -d 0/0 http -y -j REJECT
如果要阻止的是218.202.8的整个网段，命令：
ipchains -I input 1 -p tcp -s 218.202.8.0/255.255.255.0 -d 0/0 http -y -j REJECT
其中，-I的意思是插入，input是规则连，1是指加入到第一个。
您可以编辑一个shell脚本，更方便地做这件事，命令：
vi blockit
内容：
#!/bin/sh
if [ ! -z "$1" ] ; then
echo "Blocking: $1"
ipchains -I input 1 -p tcp -s "$1" -d 0/0 http -y -j REJECT
else
echo "which ip to block?"
fi
保存，然后：
chmod 700 blockit
使用方法：
./blockit 218.202.8.151
./blockit 218.202.8.0/255.255.255.0
上述命令行方法所建立的规则，在重起之后会失效，您可以用ipchains-save命令打印规则:
ipchains-save
输出：
:input ACCEPT
:forward ACCEPT
:output ACCEPT
Saving `input'.
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -i lo -j ACCEPT
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 110:110 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 80:80 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 22:22 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 88:88 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 89:89 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 90:90 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 91:91 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 8180:8180 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 443:443 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 21:21 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 25:25 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 22:22 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 53:53 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 9095:9095 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 8007:8007 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 53:53 -p 17 -j ACCEPT
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 0:1023 -p 6 -j REJECT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 2049:2049 -p 6 -j REJECT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 0:1023 -p 17 -j REJECT
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 2049:2049 -p 17 -j REJECT
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 6000:6009 -p 6 -j REJECT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 7100:7100 -p 6 -j REJECT -y
您需要把其中的"Saving `input'."去掉，然后把其他内容保存到/etc/sysconfig/ipchains文件，这样，下次重起之后，建立的规则能够重新生效。
3. 如果使用iptables
RH 8.0以上开始启用iptables替代ipchains，两者非常类似，也有差别的地方。
* 启用iptables
如果/etc/sysconfig/下没有iptables文件，可以创建：
# Firewall configuration written by lokkit
# Manual customization of this file is not recommended.
# Note: ifup-post will punch the current nameservers through the
# firewall; such entries will *not* be listed here.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Lokkit-0-50-INPUT - [0:0]
-A INPUT -j RH-Lokkit-0-50-INPUT
-A RH-Lokkit-0-50-INPUT -i lo -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport ftp -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport ssh -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport http -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport smtp -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport pop3 -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport mysql -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 2001 -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport domain -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p udp -m udp --dport domain -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 0:1023 --syn -j REJECT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 2049 --syn -j REJECT
-A RH-Lokkit-0-50-INPUT -p udp -m udp --dport 0:1023 -j REJECT
-A RH-Lokkit-0-50-INPUT -p udp -m udp --dport 2049 -j REJECT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 6000:6009 --syn -j REJECT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 7100 --syn -j REJECT
COMMIT
以上配置允许了ftp, ssh, http, smtp, pop3, mysql, 2001(Prim@Hosting ACA端口)，domain端口。
启动iptables
/etc/init.d/iptables start
设置iptables为自动启动
chkconfig --level 2345 iptables on
用iptables屏蔽IP
iptables -I RH-Lokkit-0-50-INPUT 1 -p tcp -m tcp -s 213.8.166.227 --dport 80 --syn -j REJECT
注意到，和ipchains的区别是：
-I 后面跟的规则名称的参数和ipchains不同，不是统一的input，而是在/etc/sysconfig/iptables里定义的那个多了-m tcp指定端口的参数是--dport 80多了--syn参数，可以自动检测sync攻击。
使用iptables禁止ping：
-A INPUT -p icmp -m icmp --icmp-type 8 -m
limit --limit 6/min --limit-burst 2 -j
ACCEPT-A INPUT -p icmp -m icmp --icmp-type 8 -j
REJECT --reject-with icmp-port-unreachable
1. 抵御SYN
SYN攻击是利用TCP/IP协议3次握手的原理，发送大量的建立连接的网络包，但不实际建立连接，最终导致被攻击服务器的网络队列被占满，无法被正常用户访问。Linux内核提供了若干SYN相关的配置，用命令：
sysctl -a | grep syn
看到：
net.ipv4.tcp_max_syn_backlog = 1024
net.ipv4.tcp_syncookies = 0
net.ipv4.tcp_synack_retries = 5
net.ipv4.tcp_syn_retries = 5
tcp_max_syn_backlog是SYN队列的长度，tcp_syncookies是一个开关，是否打开SYN Cookie功能，该功能可以防止部分SYN攻击。tcp_synack_retries和tcp_syn_retries定义SYN的重试次数。加大SYN队列长度可以容纳更多等待连接的网络连接数，打开SYN Cookie功能可以阻止部分SYN攻击，降低重试次数也有一定效果。
调整上述设置的方法是：
增加SYN队列长度到2048：
sysctl -w net.ipv4.tcp_max_syn_backlog=2048
打开SYN COOKIE功能：
sysctl -w net.ipv4.tcp_syncookies=1
降低重试次数：
sysctl -w net.ipv4.tcp_synack_retries=3
sysctl -w net.ipv4.tcp_syn_retries=3
为了系统重启动时保持上述配置，可将上述命令加入到/etc/rc.d/rc.local文件中。
2. 抵御DDOS
DDOS，分布式拒绝访问攻击，是指黑客组织来自不同来源的许多主机，向常见的端口，如80，25等发送大量连接，但这些客户端只建立连接，不是正常访问。由于一般Apache配置的接受连接数有限（通常为256），这些“假” 访问会把Apache占满，正常访问无法进行。
Linux提供了叫ipchains的防火墙工具，可以屏蔽来自特定IP或IP地址段的对特定端口的连接。使用ipchains抵御DDOS，就是首先通过netstat命令发现攻击来源地址，然后用ipchains命令阻断攻击。发现一个阻断一个。
打开ipchains功能
首先查看ipchains服务是否设为自动启动：
chkconfig --list ipchains
输出一般为：
ipchains 0:off 1:off 2:on 3:on 4:on 5:on 6:off
如果345列为on，说明ipchains服务已经设为自动启动如果没有，可以用命令：
chkconfig --add ipchains
将ipchains服务设为自动启动。
其次，察看ipchains配置文件/etc/sysconfig/ipchains是否存在。如果这一文件不存在，ipchains即使设为自动启动，也不会生效。缺省的ipchains配置文件内容如下：
# Firewall configuration written by lokkit
# Manual customization of this file is not recommended.
# Note: ifup-post will punch the current nameservers through the
# firewall; such entries will *not* be listed here.
:input ACCEPT
:forward ACCEPT
:output ACCEPT
-A input -s 0/0 -d 0/0 -i lo -j ACCEPT
# allow http,ftp,smtp,ssh,domain via tcp; domain via udp
-A input -p tcp -s 0/0 -d 0/0 pop3 -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 http -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 https -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 ftp -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 smtp -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 ssh -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 domain -y -j ACCEPT
-A input -p udp -s 0/0 -d 0/0 domain -j ACCEPT
# deny icmp packet
#-A input -p icmp -s 0/0 -d 0/0 -j DENY
# default rules
-A input -p tcp -s 0/0 -d 0/0 0:1023 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 2049 -y -j REJECT
-A input -p udp -s 0/0 -d 0/0 0:1023 -j REJECT
-A input -p udp -s 0/0 -d 0/0 2049 -j REJECT
-A input -p tcp -s 0/0 -d 0/0 6000:6009 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 7100 -y -j REJECT
如果/etc/sysconfig/ipchains文件不存在，可以用上述内容创建之。创建之后，启动ipchains服务：/etc/init.d/ipchains start
用netstat命令发现攻击来源
假如说黑客攻击的是Web 80端口，察看连接80端口的客户端IP和端口，命令如下：netstat -an -t tcp | grep ":80" | grep ESTABLISHED | awk '{printf "%s %s\n",$5,$6}' | sort
输出：
161.2.8.9:123 FIN_WAIT2
161.2.8.9:124 FIN_WAIT2
61.233.85.253:23656 FIN_WAIT2
...
第一栏是客户机IP和端口，第二栏是连接状态。如果来自同一IP的连接很多（超过50个），而且都是连续端口，就很可能是攻击。如果只希望察看建立的连接，用命令：
netstat -an -t tcp | grep ":80"
| grep ESTABLISHED | awk '{printf "%s %s\n",$5,$6}' | sort
用ipchains阻断攻击来源
用ipchains阻断攻击来源，有两种方法。一种是加入到/etc/sysconfig/ipchains里，然后重启动ipchains服务。另一种是直接用ipchains命令加。屏蔽之后，可能还需要重新启动被攻击的服务，是已经建立的攻击连接失效,加入/etc/sysconfig/ipchains.
假定要阻止的是218.202.8.151到80的连接，编辑/etc/sysconfig/ipchains文件，在:output ACCEPT
行下面加入：
-A input -s 218.202.8.151 -d 0/0 http -y -j REJECT
保存修改，重新启动ipchains：
/etc/init.d/ipchains restart
如果要阻止的是218.202.8的整个网段，加入：
-A input -s 218.202.8.0/255.255.255.0 -d 0/0 http -y -j REJECT
直接用命令行
加入/etc/sysconfig/ipchains文件并重起ipchains的方法，比较慢，而且在ipchains重起的瞬间，可能会有部分连接钻进来。最方便的方法是直接用ipchains命令。假定要阻止的是218.202.8.151到80的连接，命令：
ipchains -I input 1 -p tcp -s 218.202.8.151 -d 0/0 http -y -j REJECT
如果要阻止的是218.202.8的整个网段，命令：
ipchains -I input 1 -p tcp -s 218.202.8.0/255.255.255.0 -d 0/0 http -y -j REJECT
其中，-I的意思是插入，input是规则连，1是指加入到第一个。
您可以编辑一个shell脚本，更方便地做这件事，命令：
vi blockit
内容：
#!/bin/sh
if [ ! -z "$1" ] ; then
echo "Blocking: $1"
ipchains -I input 1 -p tcp -s "$1" -d 0/0 http -y -j REJECT
else
echo "which ip to block?"
fi
保存，然后：
chmod 700 blockit
使用方法：
./blockit 218.202.8.151
./blockit 218.202.8.0/255.255.255.0
上述命令行方法所建立的规则，在重起之后会失效，您可以用ipchains-save命令打印规则:
ipchains-save
输出：
:input ACCEPT
:forward ACCEPT
:output ACCEPT
Saving `input'.
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -i lo -j ACCEPT
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 110:110 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 80:80 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 22:22 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 88:88 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 89:89 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 90:90 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 91:91 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 8180:8180 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 443:443 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 21:21 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 25:25 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 22:22 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 53:53 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 9095:9095 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 8007:8007 -p 6 -j ACCEPT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 53:53 -p 17 -j ACCEPT
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 0:1023 -p 6 -j REJECT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 2049:2049 -p 6 -j REJECT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 0:1023 -p 17 -j REJECT
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 2049:2049 -p 17 -j REJECT
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 6000:6009 -p 6 -j REJECT -y
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 7100:7100 -p 6 -j REJECT -y
您需要把其中的"Saving `input'."去掉，然后把其他内容保存到/etc/sysconfig/ipchains文件，这样，下次重起之后，建立的规则能够重新生效。
3. 如果使用iptables
RH 8.0以上开始启用iptables替代ipchains，两者非常类似，也有差别的地方。
* 启用iptables
如果/etc/sysconfig/下没有iptables文件，可以创建：
# Firewall configuration written by lokkit
# Manual customization of this file is not recommended.
# Note: ifup-post will punch the current nameservers through the
# firewall; such entries will *not* be listed here.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Lokkit-0-50-INPUT - [0:0]
-A INPUT -j RH-Lokkit-0-50-INPUT
-A RH-Lokkit-0-50-INPUT -i lo -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport ftp -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport ssh -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport http -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport smtp -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport pop3 -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport mysql -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 2001 -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport domain -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p udp -m udp --dport domain -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 0:1023 --syn -j REJECT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 2049 --syn -j REJECT
-A RH-Lokkit-0-50-INPUT -p udp -m udp --dport 0:1023 -j REJECT
-A RH-Lokkit-0-50-INPUT -p udp -m udp --dport 2049 -j REJECT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 6000:6009 --syn -j REJECT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 7100 --syn -j REJECT
COMMIT
以上配置允许了ftp, ssh, http, smtp, pop3, mysql, 2001(Prim@Hosting ACA端口)，domain端口。
启动iptables
/etc/init.d/iptables start
设置iptables为自动启动
chkconfig --level 2345 iptables on
用iptables屏蔽IP
iptables -I RH-Lokkit-0-50-INPUT 1 -p tcp -m tcp -s 213.8.166.227 --dport 80 --syn -j REJECT
注意到，和ipchains的区别是：
-I 后面跟的规则名称的参数和ipchains不同，不是统一的input，而是在/etc/sysconfig/iptables里定义的那个多了-m tcp指定端口的参数是--dport 80多了--syn参数，可以自动检测sync攻击。
使用iptables禁止ping：
-A INPUT -p icmp -m icmp --icmp-type 8 -m
limit --limit 6/min --limit-burst 2 -j
ACCEPT-A INPUT -p icmp -m icmp --icmp-type 8 -j
REJECT --reject-with icmp-port-unreachable
使用路由器仍然还需要防病毒措施
[ 2007-03-25 03:42:26 | 作者: sun ]
如果通过路由器接入互联网，不安装防病毒软件是否安全？是不是应该安装杀毒软件？
即便使用路由器接入互联网，也一定要安装防病毒软件。路由器具有地址转换及开闭TCP/IP通信端口的功能。这些功能虽然可防止病毒传播等一些来自互联网的攻击，但其中仍有无法阻止的攻击。
路由器无法完全防止攻击
比如，路由器无法防御邮件附件中的病毒。因为病毒已作为邮件的一部分存入个人电脑。另外，无法检测出从网上下载的软件中包含的病毒。
那么，路由器可防止何种攻击呢？互联网上的TCP/IP通信使用全球通用IP地址与联络方的个人电脑等终端交换数据。全球通用IP地址是用户接入互联网时服务提供商分配的IP地址。路由器具有可在多台个人电脑上共享这一通用IP地址的功能（称为IP伪装等，IP Masquerade）。
如使用地址转换功能，则可在共用一条接入线路的各个人电脑上使用固定IP（Private IP）地址。固定IP地址是一种可在不直接接入互联网的LAN中自由使用的IP地址，由路由器自动分配。
路由器的安全功能
几乎所有路由器都具有数据包过滤功能，可根据不同的端口号进行数据控制。
固定IP不能在互联网中使用(不能路由)，要想通过互联网直接访问分配有这种地址的个人电脑非常困难。也就是说，经路由器接入互联网的个人电脑受到外部入侵的可能性很小。
另外，TCP/IP通信中还使用了端口号。数据通过IP地址传送至目标个人电脑，但为了分清目标个人电脑中哪个应用软件使用该数据，因此需要使用端口号。一般应用软件使用的端口号都是固定的，路由器根据端口号决定数据的通过或拦截（关闭端口等）。
最近肆虐的W32/MSBlaster等病毒利用的就是使用特定端口号的软件（服务）中存在的漏洞，因此只正确使用路由器的端口关闭功能可以有效防止此类病毒的感染。
即便使用路由器接入互联网，也一定要安装防病毒软件。路由器具有地址转换及开闭TCP/IP通信端口的功能。这些功能虽然可防止病毒传播等一些来自互联网的攻击，但其中仍有无法阻止的攻击。
路由器无法完全防止攻击
比如，路由器无法防御邮件附件中的病毒。因为病毒已作为邮件的一部分存入个人电脑。另外，无法检测出从网上下载的软件中包含的病毒。
那么，路由器可防止何种攻击呢？互联网上的TCP/IP通信使用全球通用IP地址与联络方的个人电脑等终端交换数据。全球通用IP地址是用户接入互联网时服务提供商分配的IP地址。路由器具有可在多台个人电脑上共享这一通用IP地址的功能（称为IP伪装等，IP Masquerade）。
如使用地址转换功能，则可在共用一条接入线路的各个人电脑上使用固定IP（Private IP）地址。固定IP地址是一种可在不直接接入互联网的LAN中自由使用的IP地址，由路由器自动分配。
路由器的安全功能
几乎所有路由器都具有数据包过滤功能，可根据不同的端口号进行数据控制。
固定IP不能在互联网中使用(不能路由)，要想通过互联网直接访问分配有这种地址的个人电脑非常困难。也就是说，经路由器接入互联网的个人电脑受到外部入侵的可能性很小。
另外，TCP/IP通信中还使用了端口号。数据通过IP地址传送至目标个人电脑，但为了分清目标个人电脑中哪个应用软件使用该数据，因此需要使用端口号。一般应用软件使用的端口号都是固定的，路由器根据端口号决定数据的通过或拦截（关闭端口等）。
最近肆虐的W32/MSBlaster等病毒利用的就是使用特定端口号的软件（服务）中存在的漏洞，因此只正确使用路由器的端口关闭功能可以有效防止此类病毒的感染。
网页恶意代码的十一大危害及其解决方案
[ 2007-03-25 03:42:15 | 作者: sun ]
一）如何在注册表被锁定的情况下修复注册表
注册表被锁定这一招是比较恶毒的，它使普遍用户即使会简单修改注册表使其恢复的条件下，困难又多了一层。症状是在开始菜单中点击“运行”，在运行框中输入regedit命令时，注册表不能够使用，并发现系统提示你没有权限运行该程序，然后让你联系系统管理员。
这是由于注册表编辑器：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System下的DWORD值“DisableRegistryTools”被修改为“1”的缘故，将其键值恢复为“0”即可恢复注册表的使用。
解决办法:
（1）可以自己动手制作一个解除注册表锁定的工具，就是用记事本编辑一个任意名字的.reg文件，比如recover.reg，内容如下：
REGEDIT4
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"=dword:00000000
要特别注意的是：如果你用这个方法制作解除注册表锁定的工具，一定要严格按照上面的书写格式进行，不能遗漏更不能修改（其实你只需将上述内容“复制”、“粘贴”到你机器记事本中即可）；完成上述工作后，点击记事本的文件菜单中的“另存为”项，文件名可以随意，但文件扩展名必须为.reg（切记）,然后点击“保存”。这样一个注册表解锁工具就制作完成了，之后你只须双击生成的工具图标，其会提示你是否将这个信息添加进注册表，你要点击“是”，随后系统提示信息已成功输入注册表，再点击“确定”即可将注册表解锁了。
(2)也可以直接下载下面这个解锁工具，下载完成运行后可直接解锁注册表编辑器：
http://it.rising.com.cn/antivirus/net_virus/spiteful/enable.reg
（二）篡改IE的默认页
有些IE被改了起始页后，即使设置了“使用默认页”仍然无效，这是因为IE起始页的默认页也被篡改了。具体说就是以下注册表项被修改：
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Page_URL
“Default_Page_URL”这个子键的键值即起始页的默认页。
解决办法：
运行注册表编辑器，然后展开上述子键，将“Default_Page_UR”子键的键值中的那些篡改网站的网址改掉就行了，或者将其设置为IE的默认值。
（三）修改IE浏览器缺省主页，并且锁定设置项，禁止用户更改
主要是修改了注册表中IE设置的下面这些键值(DWORD值为1时为不可选)：
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel
"Settings"=dword:1
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel
"Links"=dword:1
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel
"SecAddSites"=dword:1
解决办法：
将上面这些DWORD值改为“0”即可恢复功能。
（四）IE的默认首页灰色按扭不可选
这是由于注册表HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Control Panel
下的DWORD值“homepage”的键值被修改的缘故。原来的键值为“0”，被修改后为“1”（即为灰色不可选状态）。
解决办法：
将“homepage”的键值改为“0”即可。
（五）IE标题栏被修改
在系统默认状态下，是由应用程序本身来提供标题栏的信息，但也允许用户自行在上述注册表项目中填加信息，而一些恶意的网站正是利用了这一点来得逞的：它们将串值Window Title下的键值改为其网站名或更多的广告信息，从而达到改变浏览者IE标题栏的目的。
具体说来受到更改的注册表项目为：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Window Title
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title
解决办法：
①在Windows启动后，点击“开始”→“运行”菜单项，在“打开”栏中键入regedit，然后按“确定”键；
②展开注册表到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main下，在右半部分窗口中找到串值“Window Title” ，将该串值删除即可，或将Window Title的键值改为“IE浏览器”等你喜欢的名字；
③同理，展开注册表到
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
然后按②中所述方法处理。
④退出注册表编辑器，重新启动计算机，运行IE，你会发现困扰你的问题被解决了！
（六）IE右键菜单被修改
受到修改的注册表项目为：
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt
下被新建了网页的广告信息，并由此在IE右键菜单中出现！
解决办法：
打开注册标编辑器，找到
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt
删除相关的广告条文即可，注意不要把下载软件FlashGet和Netants也删除掉，这两个可是“正常”的，除非你不想在IE的右键菜单中见到它们。
（七）IE默认搜索引擎被修改
在IE浏览器的工具栏中有一个搜索引擎的工具按钮，可以实现网络搜索，被篡改后只要点击那个搜索工具按钮就会链接到那个篡改网站。出现这种现象的原因是以下注册表被修改：
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\CustomizeSearch
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\SearchAssistant
解决办法：
运行注册表编辑器，依次展开上述子键，将“CustomizeSearch”和“SearchAssistant”的键值改为某个搜索引擎的网址即可。
（八）系统启动时弹出对话框
受到更改的注册表项目为：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon
在其下被建立了字符串“LegalNoticeCaption”和“LegalNoticeText”，其中“LegalNoticeCaption”是提示框的标题，“LegalNoticeText”是提示框的文本内容。由于它们的存在，就使得我们每次登陆到Windwos桌面前都出现一个提示窗口，显示那些网页的广告信息！
解决办法：
打开注册表编辑器，找到
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon
这一个主键，然后在右边窗口中找到“LegalNoticeCaption”和“LegalNoticeText”这两个字符串，删除这两个字符串就可以解决在登陆时出现提示框的现象了。
（九）IE默认连接首页被修改
IE浏览器上方的标题栏被改成“欢迎访问……网站”的样式，这是最常见的篡改手段，受害者众多。
受到更改的注册表项目为：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
通过修改“Start Page”的键值，来达到修改浏览者IE默认连接首页的目的，如浏览“万花谷”就会将你的IE默认连接首页修改为“http://on888.home.chinaren.com ”，即便是出于给自己的主页做广告的目的，也显得太霸道了一些，这也是这类网页惹人厌恶的原因。
解决办法：
①在Windows启动后，点击“开始”→“运行”菜单项，在“打开”栏中键入regedit，然后按“确定”键；
②展开注册表到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main下，在右半部分窗口中找到串值“Start Page”双击 ，将Start Page的键值改为“about:blank”即可；
③同理，展开注册表到
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
在右半部分窗口中找到串值“Start Page”，然后按②中所述方法处理。
④退出注册表编辑器，重新启动计算机，一切OK了！
特殊例子：当IE的起始页变成了某些网址后，就算你通过选项设置修改好了，重启以后又会变成他们的网址啦，十分的难缠。其实他们是在你机器里加了一个自运行程序，它会在系统启动时将你的IE起始页设成他们的网站。
解决办法：运行注册表编辑器regedit.exe，然后依次展开
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run
主键，然后将其下的registry.exe子键删除，然后删除自运行程序c:\Program Files\registry.exe，最后从IE选项中重新设置起始页。
（十）IE中鼠标右键失效
浏览网页后在IE中鼠标右键失效，点击右键没有任何反应！
有的网络流氓为了达到其恶意宣传的目的，将你的右键弹出的功能菜单进行了修改，并且加入了一些乱七八糟的东西，甚至为了禁止你下载，将IE窗口中单击右键的功能都屏蔽掉。
解决办法：
1.右键菜单被修改。打开注册表编辑器，找到HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼MenuExt，删除相关的广告条文。
2.右键功能失效。打开注册表编辑器，展开到HKEY_CURRENT_USER＼Software＼Policies＼Microsoft＼Internet Explorer＼Restrictions，将其DWORD值"NoBrowserContextMenu"的值改为0。
（十一）查看“源文件”菜单被禁用
在IE窗口中点击“查看”→“源文件”，发现“源文件”菜单已经被禁用。
恶意网页修改了注册表，具体的位置为：
在注册表
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer
下建立子键“Restrictions”，然后在“Restrictions”下面建立两个DWORD值：
“NoViewSource”和“NoBrowserContextMenu”，并为这两个DWORD值赋值为“1”。
在注册表
HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Restrictions
下，将两个DWORD值：“NoViewSource”和“NoBrowserContextMenu”的键值都改为了“1”。
通过上面这些键值的修改就达到了在IE中使鼠标右键失效，使“查看”菜单中的“源文件”被禁用的目的。
解决办法：
将以下内容另存为后缀名为.reg的注册表文件，比如说unlock.reg，双击unlock.reg导入注册表，不用重启电脑，重新运行IE就会发现IE的功能恢复正常了。
REGEDIT4
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Restrictions
“NoViewSource”=dword:00000000
"NoBrowserContextMenu"=dword:00000000
HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Restrictions
“NoViewSource”=dword:00000000
“NoBrowserContextMenu”=dword:00000000
注册表被锁定这一招是比较恶毒的，它使普遍用户即使会简单修改注册表使其恢复的条件下，困难又多了一层。症状是在开始菜单中点击“运行”，在运行框中输入regedit命令时，注册表不能够使用，并发现系统提示你没有权限运行该程序，然后让你联系系统管理员。
这是由于注册表编辑器：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System下的DWORD值“DisableRegistryTools”被修改为“1”的缘故，将其键值恢复为“0”即可恢复注册表的使用。
解决办法:
（1）可以自己动手制作一个解除注册表锁定的工具，就是用记事本编辑一个任意名字的.reg文件，比如recover.reg，内容如下：
REGEDIT4
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"=dword:00000000
要特别注意的是：如果你用这个方法制作解除注册表锁定的工具，一定要严格按照上面的书写格式进行，不能遗漏更不能修改（其实你只需将上述内容“复制”、“粘贴”到你机器记事本中即可）；完成上述工作后，点击记事本的文件菜单中的“另存为”项，文件名可以随意，但文件扩展名必须为.reg（切记）,然后点击“保存”。这样一个注册表解锁工具就制作完成了，之后你只须双击生成的工具图标，其会提示你是否将这个信息添加进注册表，你要点击“是”，随后系统提示信息已成功输入注册表，再点击“确定”即可将注册表解锁了。
(2)也可以直接下载下面这个解锁工具，下载完成运行后可直接解锁注册表编辑器：
http://it.rising.com.cn/antivirus/net_virus/spiteful/enable.reg
（二）篡改IE的默认页
有些IE被改了起始页后，即使设置了“使用默认页”仍然无效，这是因为IE起始页的默认页也被篡改了。具体说就是以下注册表项被修改：
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Page_URL
“Default_Page_URL”这个子键的键值即起始页的默认页。
解决办法：
运行注册表编辑器，然后展开上述子键，将“Default_Page_UR”子键的键值中的那些篡改网站的网址改掉就行了，或者将其设置为IE的默认值。
（三）修改IE浏览器缺省主页，并且锁定设置项，禁止用户更改
主要是修改了注册表中IE设置的下面这些键值(DWORD值为1时为不可选)：
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel
"Settings"=dword:1
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel
"Links"=dword:1
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel
"SecAddSites"=dword:1
解决办法：
将上面这些DWORD值改为“0”即可恢复功能。
（四）IE的默认首页灰色按扭不可选
这是由于注册表HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Control Panel
下的DWORD值“homepage”的键值被修改的缘故。原来的键值为“0”，被修改后为“1”（即为灰色不可选状态）。
解决办法：
将“homepage”的键值改为“0”即可。
（五）IE标题栏被修改
在系统默认状态下，是由应用程序本身来提供标题栏的信息，但也允许用户自行在上述注册表项目中填加信息，而一些恶意的网站正是利用了这一点来得逞的：它们将串值Window Title下的键值改为其网站名或更多的广告信息，从而达到改变浏览者IE标题栏的目的。
具体说来受到更改的注册表项目为：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Window Title
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title
解决办法：
①在Windows启动后，点击“开始”→“运行”菜单项，在“打开”栏中键入regedit，然后按“确定”键；
②展开注册表到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main下，在右半部分窗口中找到串值“Window Title” ，将该串值删除即可，或将Window Title的键值改为“IE浏览器”等你喜欢的名字；
③同理，展开注册表到
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
然后按②中所述方法处理。
④退出注册表编辑器，重新启动计算机，运行IE，你会发现困扰你的问题被解决了！
（六）IE右键菜单被修改
受到修改的注册表项目为：
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt
下被新建了网页的广告信息，并由此在IE右键菜单中出现！
解决办法：
打开注册标编辑器，找到
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt
删除相关的广告条文即可，注意不要把下载软件FlashGet和Netants也删除掉，这两个可是“正常”的，除非你不想在IE的右键菜单中见到它们。
（七）IE默认搜索引擎被修改
在IE浏览器的工具栏中有一个搜索引擎的工具按钮，可以实现网络搜索，被篡改后只要点击那个搜索工具按钮就会链接到那个篡改网站。出现这种现象的原因是以下注册表被修改：
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\CustomizeSearch
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\SearchAssistant
解决办法：
运行注册表编辑器，依次展开上述子键，将“CustomizeSearch”和“SearchAssistant”的键值改为某个搜索引擎的网址即可。
（八）系统启动时弹出对话框
受到更改的注册表项目为：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon
在其下被建立了字符串“LegalNoticeCaption”和“LegalNoticeText”，其中“LegalNoticeCaption”是提示框的标题，“LegalNoticeText”是提示框的文本内容。由于它们的存在，就使得我们每次登陆到Windwos桌面前都出现一个提示窗口，显示那些网页的广告信息！
解决办法：
打开注册表编辑器，找到
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon
这一个主键，然后在右边窗口中找到“LegalNoticeCaption”和“LegalNoticeText”这两个字符串，删除这两个字符串就可以解决在登陆时出现提示框的现象了。
（九）IE默认连接首页被修改
IE浏览器上方的标题栏被改成“欢迎访问……网站”的样式，这是最常见的篡改手段，受害者众多。
受到更改的注册表项目为：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
通过修改“Start Page”的键值，来达到修改浏览者IE默认连接首页的目的，如浏览“万花谷”就会将你的IE默认连接首页修改为“http://on888.home.chinaren.com ”，即便是出于给自己的主页做广告的目的，也显得太霸道了一些，这也是这类网页惹人厌恶的原因。
解决办法：
①在Windows启动后，点击“开始”→“运行”菜单项，在“打开”栏中键入regedit，然后按“确定”键；
②展开注册表到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main下，在右半部分窗口中找到串值“Start Page”双击 ，将Start Page的键值改为“about:blank”即可；
③同理，展开注册表到
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
在右半部分窗口中找到串值“Start Page”，然后按②中所述方法处理。
④退出注册表编辑器，重新启动计算机，一切OK了！
特殊例子：当IE的起始页变成了某些网址后，就算你通过选项设置修改好了，重启以后又会变成他们的网址啦，十分的难缠。其实他们是在你机器里加了一个自运行程序，它会在系统启动时将你的IE起始页设成他们的网站。
解决办法：运行注册表编辑器regedit.exe，然后依次展开
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run
主键，然后将其下的registry.exe子键删除，然后删除自运行程序c:\Program Files\registry.exe，最后从IE选项中重新设置起始页。
（十）IE中鼠标右键失效
浏览网页后在IE中鼠标右键失效，点击右键没有任何反应！
有的网络流氓为了达到其恶意宣传的目的，将你的右键弹出的功能菜单进行了修改，并且加入了一些乱七八糟的东西，甚至为了禁止你下载，将IE窗口中单击右键的功能都屏蔽掉。
解决办法：
1.右键菜单被修改。打开注册表编辑器，找到HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼MenuExt，删除相关的广告条文。
2.右键功能失效。打开注册表编辑器，展开到HKEY_CURRENT_USER＼Software＼Policies＼Microsoft＼Internet Explorer＼Restrictions，将其DWORD值"NoBrowserContextMenu"的值改为0。
（十一）查看“源文件”菜单被禁用
在IE窗口中点击“查看”→“源文件”，发现“源文件”菜单已经被禁用。
恶意网页修改了注册表，具体的位置为：
在注册表
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer
下建立子键“Restrictions”，然后在“Restrictions”下面建立两个DWORD值：
“NoViewSource”和“NoBrowserContextMenu”，并为这两个DWORD值赋值为“1”。
在注册表
HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Restrictions
下，将两个DWORD值：“NoViewSource”和“NoBrowserContextMenu”的键值都改为了“1”。
通过上面这些键值的修改就达到了在IE中使鼠标右键失效，使“查看”菜单中的“源文件”被禁用的目的。
解决办法：
将以下内容另存为后缀名为.reg的注册表文件，比如说unlock.reg，双击unlock.reg导入注册表，不用重启电脑，重新运行IE就会发现IE的功能恢复正常了。
REGEDIT4
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Restrictions
“NoViewSource”=dword:00000000
"NoBrowserContextMenu"=dword:00000000
HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Restrictions
“NoViewSource”=dword:00000000
“NoBrowserContextMenu”=dword:00000000
快速增强路由器安全的十个小技巧
[ 2007-03-25 03:41:59 | 作者: sun ]
很多网络管理员还没有认识到他们的路由器能够成为攻击的热点，路由器操作系统同网络操作系统一样容易受到黑客的攻击。大多数中小企业没有雇佣路由器工程师，也没有把这项功能当成一件必须要做的事情外包出去。因此，网络管理员和经理人既不十分了解也没有时间去保证路由器的安全。下面是保证路由器安全的十个基本的技巧。
1.更新你的路由器操作系统:就像网络操作系统一样，路由器操作系统也需要更新，以便纠正编程错误、软件瑕疵和缓存溢出的问题。要经常向你的路由器厂商查询当前的更新和操作系统的版本。
2.修改默认的口令:据卡内基梅隆大学的计算机应急反应小组称，80%的安全事件都是由于较弱或者默认的口令引起的。避免使用普通的口令，并且使用大小写字母混合的方式作为更强大的口令规则。
3.禁用HTTP设置和SNMP(简单网络管理协议):你的路由器的HTTP设置部分对于一个繁忙的网络管理员来说是很容易设置的。但是，这对路由器来说也是一个安全问题。如果你的路由器有一个命令行设置，禁用HTTP方式并且使用这种设置方式。如果你没有使用你的路由器上的SNMP，那么你就不需要启用这个功能。思科路由器存在一个容易遭受GRE隧道攻击的SNMP安全漏洞。
4.封锁ICMP(互联网控制消息协议)ping请求:ping和其它ICMP功能对于网络管理员和黑客都是非常有用的工具。黑客能够利用你的路由器上启用的ICMP功能找出可用来攻击你的网络的信息。
5.禁用来自互联网的telnet命令:在大多数情况下，你不需要来自互联网接口的主动的telnet会话。如果从内部访问你的路由器设置会更安全一些。
6.禁用IP定向广播:IP定向广播能够允许对你的设备实施拒绝服务攻击。一台路由器的内存和CPU难以承受太多的请求。这种结果会导致缓存溢出。
7.禁用IP路由和IP重新定向:重新定向允许数据包从一个接口进来然后从另一个接口出去。你不需要把精心设计的数据包重新定向到专用的内部网路。
8.包过滤:包过滤仅传递你允许进入你的网络的那种数据包。许多公司仅允许使用80端口(HTTP)和110/25端口(电子邮件)。此外，你可以封锁和允许IP地址和范围。
9.审查安全记录:通过简单地利用一些时间审查你的记录文件，你会看到明显的攻击方式，甚至安全漏洞。你将为你经历了如此多的攻击感到惊奇。
10.不必要的服务:永远禁用不必要的服务，无论是路由器、服务器和工作站上的不必要的服务都要禁用。思科的设备通过网络操作系统默认地提供一些小的服务，如echo(回波), chargen(字符发生器协议)和discard(抛弃协议)。这些服务，特别是它们的UDP服务，很少用于合法的目的。但是，这些服务能够用来实施拒绝服务攻击和其它攻击。包过滤可以防止这些攻击。
1.更新你的路由器操作系统:就像网络操作系统一样，路由器操作系统也需要更新，以便纠正编程错误、软件瑕疵和缓存溢出的问题。要经常向你的路由器厂商查询当前的更新和操作系统的版本。
2.修改默认的口令:据卡内基梅隆大学的计算机应急反应小组称，80%的安全事件都是由于较弱或者默认的口令引起的。避免使用普通的口令，并且使用大小写字母混合的方式作为更强大的口令规则。
3.禁用HTTP设置和SNMP(简单网络管理协议):你的路由器的HTTP设置部分对于一个繁忙的网络管理员来说是很容易设置的。但是，这对路由器来说也是一个安全问题。如果你的路由器有一个命令行设置，禁用HTTP方式并且使用这种设置方式。如果你没有使用你的路由器上的SNMP，那么你就不需要启用这个功能。思科路由器存在一个容易遭受GRE隧道攻击的SNMP安全漏洞。
4.封锁ICMP(互联网控制消息协议)ping请求:ping和其它ICMP功能对于网络管理员和黑客都是非常有用的工具。黑客能够利用你的路由器上启用的ICMP功能找出可用来攻击你的网络的信息。
5.禁用来自互联网的telnet命令:在大多数情况下，你不需要来自互联网接口的主动的telnet会话。如果从内部访问你的路由器设置会更安全一些。
6.禁用IP定向广播:IP定向广播能够允许对你的设备实施拒绝服务攻击。一台路由器的内存和CPU难以承受太多的请求。这种结果会导致缓存溢出。
7.禁用IP路由和IP重新定向:重新定向允许数据包从一个接口进来然后从另一个接口出去。你不需要把精心设计的数据包重新定向到专用的内部网路。
8.包过滤:包过滤仅传递你允许进入你的网络的那种数据包。许多公司仅允许使用80端口(HTTP)和110/25端口(电子邮件)。此外，你可以封锁和允许IP地址和范围。
9.审查安全记录:通过简单地利用一些时间审查你的记录文件，你会看到明显的攻击方式，甚至安全漏洞。你将为你经历了如此多的攻击感到惊奇。
10.不必要的服务:永远禁用不必要的服务，无论是路由器、服务器和工作站上的不必要的服务都要禁用。思科的设备通过网络操作系统默认地提供一些小的服务，如echo(回波), chargen(字符发生器协议)和discard(抛弃协议)。这些服务，特别是它们的UDP服务，很少用于合法的目的。但是，这些服务能够用来实施拒绝服务攻击和其它攻击。包过滤可以防止这些攻击。
预防网络病毒的八个忠告
[ 2007-03-25 03:41:48 | 作者: sun ]
纵观今年全球病毒的发展，不难发现蠕虫病毒接踵而至，着实让杀毒市场火了一把。蠕虫病毒信手拈来，如库尔尼科娃、Sircam、红色代码、蓝色代码、本拉登等等，一个比一个厉害，一个比一个恶毒，令人防不胜防，只要你上网，不经意之间就有可能染上病毒而浑然不知。
现在人们还没有养成定期进行系统升级、维护的习惯，这也是最近受病毒侵害感染率高的原因之一。只要培养良好的预防病毒意识，并充分发挥杀毒软件的防护能力，完全可以将大部分病毒拒之门外。
1、安装防毒软件：鉴于现今病毒无孔不入，安装一套防毒软件很有必要。首次安 装时，一定要对计算机做一次彻底的病毒扫描，尽管麻烦一点，但可以确保系统尚未受过病毒感染。另外建议你每周至少更新一次病毒定义码或病毒引擎（引擎的更新速度比病毒定义码要慢得多），因为最新的防病毒软件才是最有效的。定期扫描计算机也是一个良好的习惯。
2、注意软盘、光盘媒介：在使用软盘、光盘或活动硬盘其他媒介之前，一定要对 之进行扫描，不怕一万，就怕万一。
3、下载注意点：下载一定要从比较可*的站点进行，对于互联网上的文档与电子 邮件，下载后也须不厌其烦做病毒扫描。
4、用常识进行判断：来历不明的邮件决不要打开，遇到形迹可疑或不是预期中的 朋友来信中的附件，决不要轻易运行，除非你已经知道附件的内容。
5、禁用Windows Scripting Host。许多病毒，特别是蠕虫病毒正是钻了这项“空子”，使得用户无需点击附件，就可自动打开一个被感染的附件。
6、使用基于客户端的防火墙或过滤措施，以增强计算机对黑客和恶意代码的攻击 的免疫力。或者在一些安全网站中，可对自己的计算机做病毒扫描，察看它是否存在安全漏洞与病毒。如果你经常在线，这一点很有必要，因为如果你的系统没有加设有效防护，你的个人资料很有可能会被他人窃取。
7、警惕欺骗性或文告性的病毒。这类病毒利用了人性的弱点，以子虚乌有的说辞 来打动你，记住，天下没有免费的午餐，一旦发现，尽快删除。更有病毒伪装成杀毒软件骗人。
8、使用其它形式的文档，比如说办公处理换用.wps或.pdf文档以防止宏病毒。当然，这不是彻底避开病毒的万全之策，但不失为一个避免病毒缠绕的好方法。
现在人们还没有养成定期进行系统升级、维护的习惯，这也是最近受病毒侵害感染率高的原因之一。只要培养良好的预防病毒意识，并充分发挥杀毒软件的防护能力，完全可以将大部分病毒拒之门外。
1、安装防毒软件：鉴于现今病毒无孔不入，安装一套防毒软件很有必要。首次安 装时，一定要对计算机做一次彻底的病毒扫描，尽管麻烦一点，但可以确保系统尚未受过病毒感染。另外建议你每周至少更新一次病毒定义码或病毒引擎（引擎的更新速度比病毒定义码要慢得多），因为最新的防病毒软件才是最有效的。定期扫描计算机也是一个良好的习惯。
2、注意软盘、光盘媒介：在使用软盘、光盘或活动硬盘其他媒介之前，一定要对 之进行扫描，不怕一万，就怕万一。
3、下载注意点：下载一定要从比较可*的站点进行，对于互联网上的文档与电子 邮件，下载后也须不厌其烦做病毒扫描。
4、用常识进行判断：来历不明的邮件决不要打开，遇到形迹可疑或不是预期中的 朋友来信中的附件，决不要轻易运行，除非你已经知道附件的内容。
5、禁用Windows Scripting Host。许多病毒，特别是蠕虫病毒正是钻了这项“空子”，使得用户无需点击附件，就可自动打开一个被感染的附件。
6、使用基于客户端的防火墙或过滤措施，以增强计算机对黑客和恶意代码的攻击 的免疫力。或者在一些安全网站中，可对自己的计算机做病毒扫描，察看它是否存在安全漏洞与病毒。如果你经常在线，这一点很有必要，因为如果你的系统没有加设有效防护，你的个人资料很有可能会被他人窃取。
7、警惕欺骗性或文告性的病毒。这类病毒利用了人性的弱点，以子虚乌有的说辞 来打动你，记住，天下没有免费的午餐，一旦发现，尽快删除。更有病毒伪装成杀毒软件骗人。
8、使用其它形式的文档，比如说办公处理换用.wps或.pdf文档以防止宏病毒。当然，这不是彻底避开病毒的万全之策，但不失为一个避免病毒缠绕的好方法。
修改注册表对付病毒木马后门及黑客
[ 2007-03-25 03:41:37 | 作者: sun ]
在网络给我们的工作学习带来极大方便的同时，病毒、木马、后门以及黑客程序也严重影响着信息的安全。这些程序感染计算机的一个共同特点是在注册表中写入信息，来达到如自动运行、破坏和传播等目的。以下是笔者在网上收集的，通过修改注册表来对付病毒、木马、后门以及黑客程序，保证个人计算机的安全。
1.预防Acid Battery v1.0木马的破坏
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
RunServices下若在右边窗口中如发现了“Explorer”键值，则说明中了YAI木马，将它删除。
2.预防YAI木马的破坏
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
RunServices下，若在右边窗口中如发现了“Batterieanzeige”键值，则说明中了YAI木马，将它删除。
3.预防Eclipse 2000木马的破坏
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
RunServices下，若在右边窗口中如发现了“bybt”键值，则将它删除。然后在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
RunServices下删除右边的键值“cksys”，重新启动电脑。
4.预防BO2000的破坏
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
RunServices下，若在右边窗口中如发现了“umgr32.exe”键值，则说明中了BO2000，将它删除。
5.预防爱虫的破坏
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
Run下，若在右边窗口中如发现了“MSKernel32”键值，就将它删除。
6.禁止出现IE菜单中“工具”栏里“interner选项”
把c:\windows\system下的名为inetcpl.cpl更名为inetcpl.old或则别的名字后就会出现禁止使用的情况把名字再换回来，就可以恢复使用。
7.预防BackDoor的破坏
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
Run下，若在右边窗口中如发现了“Notepad”键值，就将它删除。
8.预防WinNuke的破坏
在HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\
MSTCP下，若在右边的窗口中新建或修改字符串“BSDUrgent”，设其值为0。
9.预防KeyboardGhost的破坏
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
RunServices下如发现KG.EXE这一键值，就将它删除，并查找KG.exe文件和kg.dat文件，将它们都删除。
10.查找NetSpy黑客程序
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Run下，若在右边的窗口中寻找键“NetSpy”，如果存在，就说明已经装有NetSpy黑客程序，把它删除。
11.清理访问“网络邻居”后留下的字句信息
在HEKY_CURRENT_USER/Network/Recent下，删除下面的主键。
12.取消登陆时自动拨号
在HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/
Network/RealModeNet下修改右边窗口中的“autologon”为“01 00 00 00 00”。
13.取消登录时选择用户
已经删除了所有用户，但登录时还要选择用户，我们要取消登录时选择用户，就要在HKEY_LOCAL_MACHINE\Network\Logon下，在右边的窗口中，修改“UserProfiles”值为“0”。
14.隐藏上机用户登录的名字
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
Winlogon下，若在右边的窗口中新建字符串“DontDisplayLastUserName”，设值为“1”。
1.预防Acid Battery v1.0木马的破坏
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
RunServices下若在右边窗口中如发现了“Explorer”键值，则说明中了YAI木马，将它删除。
2.预防YAI木马的破坏
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
RunServices下，若在右边窗口中如发现了“Batterieanzeige”键值，则说明中了YAI木马，将它删除。
3.预防Eclipse 2000木马的破坏
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
RunServices下，若在右边窗口中如发现了“bybt”键值，则将它删除。然后在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
RunServices下删除右边的键值“cksys”，重新启动电脑。
4.预防BO2000的破坏
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
RunServices下，若在右边窗口中如发现了“umgr32.exe”键值，则说明中了BO2000，将它删除。
5.预防爱虫的破坏
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
Run下，若在右边窗口中如发现了“MSKernel32”键值，就将它删除。
6.禁止出现IE菜单中“工具”栏里“interner选项”
把c:\windows\system下的名为inetcpl.cpl更名为inetcpl.old或则别的名字后就会出现禁止使用的情况把名字再换回来，就可以恢复使用。
7.预防BackDoor的破坏
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
Run下，若在右边窗口中如发现了“Notepad”键值，就将它删除。
8.预防WinNuke的破坏
在HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\
MSTCP下，若在右边的窗口中新建或修改字符串“BSDUrgent”，设其值为0。
9.预防KeyboardGhost的破坏
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
RunServices下如发现KG.EXE这一键值，就将它删除，并查找KG.exe文件和kg.dat文件，将它们都删除。
10.查找NetSpy黑客程序
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Run下，若在右边的窗口中寻找键“NetSpy”，如果存在，就说明已经装有NetSpy黑客程序，把它删除。
11.清理访问“网络邻居”后留下的字句信息
在HEKY_CURRENT_USER/Network/Recent下，删除下面的主键。
12.取消登陆时自动拨号
在HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/
Network/RealModeNet下修改右边窗口中的“autologon”为“01 00 00 00 00”。
13.取消登录时选择用户
已经删除了所有用户，但登录时还要选择用户，我们要取消登录时选择用户，就要在HKEY_LOCAL_MACHINE\Network\Logon下，在右边的窗口中，修改“UserProfiles”值为“0”。
14.隐藏上机用户登录的名字
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
Winlogon下，若在右边的窗口中新建字符串“DontDisplayLastUserName”，设值为“1”。
