通过HttpModule实现数据库防注入
[ 2007-03-25 03:19:44 | 作者: sun ]
通过相应的关键字去识别是否有 Sql注入攻击代码
string SqlStr = "and |exec |insert |select |delete |update |count | * |chr |mid |master |truncate |char |declare ";
在下面的代码中你要看以上面的定义, 其实就是定义要识别的关键字.
而我们处理请求一般都是通过 Request.QueryString / Request.Form 这两种
我们可以专门写一个类去处理这些请求, 但如果在每一个处理环节都载入这个类去做处理, 那太麻烦了.
如果写一个ISAPI当然也能完成这个功能的实现, 但在.NET 中 HttpModule帮我们实现了类似于ISAPI Filter的功能, 所以改为通过 HttpModule 去处理这些事情是最好不过的啦.
我们现在要用到的只是里面的BeginRequest这个事件, 所以只需要注册BeginRequest这个事件就可以了.
REM 过滤字符串
Dim strFilter As String = "and|exec|insert|select|delete|update|count|*|chr|mid|master|truncate|char|declare|&"
REM 分割后的过滤字符串数组
Dim strf() As String
Dim strTemp1, strTemp2 As String
strf = strFilter.Split("|")
If Request.RequestType = "GET" Then
For Each strTemp1 In Request.QueryString
For Each strTemp2 In strf
If InStr(LCase(strTemp1), LCase(strTemp2), CompareMethod.Text) Then
Response.Write("想干啥？别注我！有漏洞通知QQ：26242000")
Response.End()
End If
Next
Next
ElseIf Request.RequestType = "POST" Then
For Each strTemp1 In Request.Form
For Each strTemp2 In strf
If InStr(LCase(strTemp1), LCase(strTemp2), CompareMethod.Text) Then
Response.Write("想干啥？别注我！有漏洞通知QQ：26242000")
Response.End()
End If
Next
Next
End If
再来看看我在百度上找的sql防攻击代码
// @copyright S.Sams Lifexperience http://blog.8see.net/
using System;
namespace Theme.Services.Public
{
/// <summary>
/// SqlstrAny 的摘要说明。
/// </summary>
public class ProcessRequest
{
public ProcessRequest()
{
//
// TODO: 在此处添加构造函数逻辑
//
}
#region SQL注入式攻击代码分析
/// <summary>
/// 处理用户提交的请求
/// </summary>
public void StartProcessRequest()
{
try
{
string getkeys = "";
string sqlErrorPage = System.Configuration.ConfigurationSettings.AppSettings["CustomErrorPage"].ToString();
if (System.Web.HttpContext.Current.Request.QueryString != null)
{
for(int i=0;i<System.Web.HttpContext.Current.Request.QueryString.Count;i++)
{
getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys[i];
if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage+"?errmsg=sqlserver&sqlprocess=true");
System.Web.HttpContext.Current.Response.End();
}
}
}
if (System.Web.HttpContext.Current.Request.Form != null)
{
for(int i=0;i<System.Web.HttpContext.Current.Request.Form.Count;i++)
{
getkeys = System.Web.HttpContext.Current.Request.Form.Keys[i];
if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage+"?errmsg=sqlserver&sqlprocess=true");
System.Web.HttpContext.Current.Response.End();
}
}
}
}
catch
{
// 错误处理: 处理用户提交信息!
}
}
/// <summary>
/// 分析用户请求是否正常
/// </summary>
/// <param name="Str">传入用户提交数据</param>
/// <returns>返回是否含有SQL注入式攻击代码</returns>
private bool ProcessSqlStr(string Str)
{
bool ReturnValue = true;
try
{
if (Str != "")
{
string SqlStr = "and |exec |insert |select |delete |update |count | * |chr |mid |master |truncate |char |declare ";
string[] anySqlStr = SqlStr.Split('|');
foreach (string ss in anySqlStr)
{
if (Str.IndexOf(ss)>=0)
{
ReturnValue = false;
}
}
}
}
catch
{
ReturnValue = false;
}
return ReturnValue;
}
#endregion
}
}
// System.Configuration.ConfigurationSettings.AppSettings["CustomErrorPage"].ToString(); 这个为用户自定义错误页面提示地址,
//在Web.Config文件时里面添加一个 CustomErrorPage 即可
//<!-- 防止SQL数据库注入攻击的出错页面自定义地址 -->
// <add key="CustomErrorPage" value="../Error.html" />
string SqlStr = "and |exec |insert |select |delete |update |count | * |chr |mid |master |truncate |char |declare ";
在下面的代码中你要看以上面的定义, 其实就是定义要识别的关键字.
而我们处理请求一般都是通过 Request.QueryString / Request.Form 这两种
我们可以专门写一个类去处理这些请求, 但如果在每一个处理环节都载入这个类去做处理, 那太麻烦了.
如果写一个ISAPI当然也能完成这个功能的实现, 但在.NET 中 HttpModule帮我们实现了类似于ISAPI Filter的功能, 所以改为通过 HttpModule 去处理这些事情是最好不过的啦.
我们现在要用到的只是里面的BeginRequest这个事件, 所以只需要注册BeginRequest这个事件就可以了.
REM 过滤字符串
Dim strFilter As String = "and|exec|insert|select|delete|update|count|*|chr|mid|master|truncate|char|declare|&"
REM 分割后的过滤字符串数组
Dim strf() As String
Dim strTemp1, strTemp2 As String
strf = strFilter.Split("|")
If Request.RequestType = "GET" Then
For Each strTemp1 In Request.QueryString
For Each strTemp2 In strf
If InStr(LCase(strTemp1), LCase(strTemp2), CompareMethod.Text) Then
Response.Write("想干啥？别注我！有漏洞通知QQ：26242000")
Response.End()
End If
Next
Next
ElseIf Request.RequestType = "POST" Then
For Each strTemp1 In Request.Form
For Each strTemp2 In strf
If InStr(LCase(strTemp1), LCase(strTemp2), CompareMethod.Text) Then
Response.Write("想干啥？别注我！有漏洞通知QQ：26242000")
Response.End()
End If
Next
Next
End If
再来看看我在百度上找的sql防攻击代码
// @copyright S.Sams Lifexperience http://blog.8see.net/
using System;
namespace Theme.Services.Public
{
/// <summary>
/// SqlstrAny 的摘要说明。
/// </summary>
public class ProcessRequest
{
public ProcessRequest()
{
//
// TODO: 在此处添加构造函数逻辑
//
}
#region SQL注入式攻击代码分析
/// <summary>
/// 处理用户提交的请求
/// </summary>
public void StartProcessRequest()
{
try
{
string getkeys = "";
string sqlErrorPage = System.Configuration.ConfigurationSettings.AppSettings["CustomErrorPage"].ToString();
if (System.Web.HttpContext.Current.Request.QueryString != null)
{
for(int i=0;i<System.Web.HttpContext.Current.Request.QueryString.Count;i++)
{
getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys[i];
if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage+"?errmsg=sqlserver&sqlprocess=true");
System.Web.HttpContext.Current.Response.End();
}
}
}
if (System.Web.HttpContext.Current.Request.Form != null)
{
for(int i=0;i<System.Web.HttpContext.Current.Request.Form.Count;i++)
{
getkeys = System.Web.HttpContext.Current.Request.Form.Keys[i];
if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage+"?errmsg=sqlserver&sqlprocess=true");
System.Web.HttpContext.Current.Response.End();
}
}
}
}
catch
{
// 错误处理: 处理用户提交信息!
}
}
/// <summary>
/// 分析用户请求是否正常
/// </summary>
/// <param name="Str">传入用户提交数据</param>
/// <returns>返回是否含有SQL注入式攻击代码</returns>
private bool ProcessSqlStr(string Str)
{
bool ReturnValue = true;
try
{
if (Str != "")
{
string SqlStr = "and |exec |insert |select |delete |update |count | * |chr |mid |master |truncate |char |declare ";
string[] anySqlStr = SqlStr.Split('|');
foreach (string ss in anySqlStr)
{
if (Str.IndexOf(ss)>=0)
{
ReturnValue = false;
}
}
}
}
catch
{
ReturnValue = false;
}
return ReturnValue;
}
#endregion
}
}
// System.Configuration.ConfigurationSettings.AppSettings["CustomErrorPage"].ToString(); 这个为用户自定义错误页面提示地址,
//在Web.Config文件时里面添加一个 CustomErrorPage 即可
//<!-- 防止SQL数据库注入攻击的出错页面自定义地址 -->
// <add key="CustomErrorPage" value="../Error.html" />
Windows系统中从源头防病毒另类高招
[ 2007-03-25 03:19:32 | 作者: sun ]
由于网络和各种存储设备的飞速发展，使得病毒传播的几率也大大的增加了。虽然可以通过安装防病毒软件和网络防火墙来保护你的系统，但是由于病毒技术的发展势头十分迅猛，甚至许多网页中都包含了很多恶意代码，如果用户的防范意识不强的话，即使安装了防病毒软件也很容易“中招”。
笔者经过查阅微软资料以及个人的使用经验，总结出一套防范病毒的方法，希望能对大家有所帮助。
如果大家使用的是Windows2000/XP或2003操作系统的话，那么你可以尝试一下以下的方法——从源头上让你的系统可以对病毒免疫。
首先全新安装的操作系统（或者你能确认你当前使用的系统是无毒的），立即就打开：
“开始→程序→管理工具→计算机管理→本地用户和组→用户” ，把超级管理员密码更改成十位数以上，并且尽量使用数字和大小写字母相结合的密码。然后再建立一个用户，把它的密码也设置成十位以上并且提升为超级管理员。这样做的目的是为了双保险：如果你忘记了其中一个密码，还有使用另一个超管密码登陆来挽回的余地，免得你被拒绝于系统之外；再者就是网上的黑客无法再通过猜测你系统超管密码的方式远程获得你系统的控制权而进行破坏。接着再添加两个用户，比如用户名分别为：nyh1、nyh2；并且指定他们属于user组，好了，准备工作到这里就全部完成了，以后你除了必要的维护计算机外就不要使用超级管理员和nyh2登陆了。只使用nyh1登陆就可以了。
（建立新用户时，默认为user组。如果要建立管理员用户，在新建完用户后，在“组”里面，点选Administrators组，点击“添加”把这个帐号加入Administrators组中。）
登陆之后上网的时候找到IE，并为它建立一个快捷方式到桌面上，右键单击快捷方式，选择“以其他用户方式运行”点确定！要上网的时候就点这个快捷方式，它会跟你要用户名和密码这时候你就输入nyh2的用户名和密码！！！好了，现在你可以使用这个打开的窗口去上网了，可以随你便去放心的浏览任何恶毒的、恶意的、网站跟网页，而不必再担心中招了！因为你当前的系统活动的用户时nyh1。
而nyh2是不活动的用户，我们使用这个不活动的用户去上网时，无论多聪明的网站，通过IE得到的信息都将让它都将以为这个nyh2就是你当前活动的用户，如果它要在你浏览时用恶意代码对你的系统搞搞破坏的话根本就时行不通的，即使能行通，那么被修改掉的仅仅时nyh2的一个配置文件罢了，而很多恶意代码和病毒试图通过nyh2进行的破坏活动却都将失败，因为nyh2根本就没运行，怎么能取得系统的操作权呢？？既然取不得，也就对你无可奈何了。而他们更不可能跨越用户来操作，因为微软得配置本来就是各用户之间是独立的，就象别人不可能跑到我家占据我睡觉用的床一样，它们无法占据nyh1的位置！所以你只要能保证总是以这个nyh2用户做代理来上网（但却不要使用nyh2来登陆系统，因为如果那样的话，如果nyh2以前中过什么网页病毒，那么在user2登陆的同时，他们极有可能被激活！），那么无论你中多少网页病毒，全部都将是无法运行或被你当前的nyh1用户加载的，所以你当前的系统将永远无毒！ 下面是建立IE快捷方式的步骤。
在桌面上点击右键，选择“新建——快捷方式”，在弹出的窗口中选择IEXPLORE（位置在"C:Program FilesInternet ExplorerIEXPLORE.EXE"），点击“下一步”完成。然后鼠标右键点击该快捷方式，选择“属性”，再点击“高级按钮”，在以“其他用户身份运行”前打上勾。
以后上网点击IE的时候，会出现如下窗口，输入nyh2和密码即可。
不过总有疏忽的时候，万一不小心接收了别人发来的病毒文件，或者从邮件中收到病毒文件，一个不小心中毒了怎么办？？
不用担心，现在我们就可以来尽情的表演金蝉脱壳的技术了！
开始金蝉脱壳：
重新启动计算机，使用超级管理员登陆——进入系统后什么程序都不要运行
你会惊奇的发现在的系统竟然表现的完全无毒！那就再好不过了，现在就立即就打开：
“开始→程序→管理工具→计算机管理→本地用户和组→用户” 吧！
把里面的nyh1和nyh2两个用户全删掉吧，你只需要这么轻轻的一删就可以了，那么以前随着这两个用户而存在的病毒也就跟随着这两个用户的消失而一起去长眠了——（好象是陪葬，呵呵！）。这么做过之后我保证你的Windows就象新装的一个样，任何系统文件和系统进程里都完全是没有病毒的！
好！现在再重复开始的步骤从新建立nyh1和nyh2两个用户，让他们复活吧。他们复活是复活了，但是曾跟随了他们的病毒却是没这机会了，因为WindowsXP重新建立用户的时候会重新分配给他们全新的配置，而这个配置是全新的也是不可能包含病毒的！！！建立完成之后立即注销超级管理员，转如使用nyh1登陆，继续你象做的事吧，你会发现你的系统如同全新了！以上方法可以周而复始的用，再加上经常的去打微软的补丁，几乎可以永远保证你的操作系统是无毒状态！只要你能遵循以下两条规则：
一、任何时间都不以超级管理员的身份登陆系统——除非你要进行系统级更新和维护、需要使用超级管理员身份的时候或是你需要添加和删除用户的时候。
二、必须使用超级管理员登陆的时候，保证不使用和运行任何除了操作系统自带的工具和程序之外的任何东西，而且所有维护都只通过开始菜单里的选项来完成，甚至连使用资源管理器去浏览硬盘都不！ 只做做用户和系统的管理和维护就立即退出，而决不多做逗留！（这也是微软的要求，微软最了解自己的东东，他的建议是正确的。浏览硬盘的事，在其他用户身份下你有大把的机会，在超级管理员的身份下还是不要了！！这应该事能完全作到的）。
总结
通过以上的方法应该能保证你的系统是安全的了，但是计算机技术的发展速度太快，系统和病毒的运行方式可能随时都会革新，所以以上的方法也不能保证100%的绝对防毒。
笔者经过查阅微软资料以及个人的使用经验，总结出一套防范病毒的方法，希望能对大家有所帮助。
如果大家使用的是Windows2000/XP或2003操作系统的话，那么你可以尝试一下以下的方法——从源头上让你的系统可以对病毒免疫。
首先全新安装的操作系统（或者你能确认你当前使用的系统是无毒的），立即就打开：
“开始→程序→管理工具→计算机管理→本地用户和组→用户” ，把超级管理员密码更改成十位数以上，并且尽量使用数字和大小写字母相结合的密码。然后再建立一个用户，把它的密码也设置成十位以上并且提升为超级管理员。这样做的目的是为了双保险：如果你忘记了其中一个密码，还有使用另一个超管密码登陆来挽回的余地，免得你被拒绝于系统之外；再者就是网上的黑客无法再通过猜测你系统超管密码的方式远程获得你系统的控制权而进行破坏。接着再添加两个用户，比如用户名分别为：nyh1、nyh2；并且指定他们属于user组，好了，准备工作到这里就全部完成了，以后你除了必要的维护计算机外就不要使用超级管理员和nyh2登陆了。只使用nyh1登陆就可以了。
（建立新用户时，默认为user组。如果要建立管理员用户，在新建完用户后，在“组”里面，点选Administrators组，点击“添加”把这个帐号加入Administrators组中。）
登陆之后上网的时候找到IE，并为它建立一个快捷方式到桌面上，右键单击快捷方式，选择“以其他用户方式运行”点确定！要上网的时候就点这个快捷方式，它会跟你要用户名和密码这时候你就输入nyh2的用户名和密码！！！好了，现在你可以使用这个打开的窗口去上网了，可以随你便去放心的浏览任何恶毒的、恶意的、网站跟网页，而不必再担心中招了！因为你当前的系统活动的用户时nyh1。
而nyh2是不活动的用户，我们使用这个不活动的用户去上网时，无论多聪明的网站，通过IE得到的信息都将让它都将以为这个nyh2就是你当前活动的用户，如果它要在你浏览时用恶意代码对你的系统搞搞破坏的话根本就时行不通的，即使能行通，那么被修改掉的仅仅时nyh2的一个配置文件罢了，而很多恶意代码和病毒试图通过nyh2进行的破坏活动却都将失败，因为nyh2根本就没运行，怎么能取得系统的操作权呢？？既然取不得，也就对你无可奈何了。而他们更不可能跨越用户来操作，因为微软得配置本来就是各用户之间是独立的，就象别人不可能跑到我家占据我睡觉用的床一样，它们无法占据nyh1的位置！所以你只要能保证总是以这个nyh2用户做代理来上网（但却不要使用nyh2来登陆系统，因为如果那样的话，如果nyh2以前中过什么网页病毒，那么在user2登陆的同时，他们极有可能被激活！），那么无论你中多少网页病毒，全部都将是无法运行或被你当前的nyh1用户加载的，所以你当前的系统将永远无毒！ 下面是建立IE快捷方式的步骤。
在桌面上点击右键，选择“新建——快捷方式”，在弹出的窗口中选择IEXPLORE（位置在"C:Program FilesInternet ExplorerIEXPLORE.EXE"），点击“下一步”完成。然后鼠标右键点击该快捷方式，选择“属性”，再点击“高级按钮”，在以“其他用户身份运行”前打上勾。
以后上网点击IE的时候，会出现如下窗口，输入nyh2和密码即可。
不过总有疏忽的时候，万一不小心接收了别人发来的病毒文件，或者从邮件中收到病毒文件，一个不小心中毒了怎么办？？
不用担心，现在我们就可以来尽情的表演金蝉脱壳的技术了！
开始金蝉脱壳：
重新启动计算机，使用超级管理员登陆——进入系统后什么程序都不要运行
你会惊奇的发现在的系统竟然表现的完全无毒！那就再好不过了，现在就立即就打开：
“开始→程序→管理工具→计算机管理→本地用户和组→用户” 吧！
把里面的nyh1和nyh2两个用户全删掉吧，你只需要这么轻轻的一删就可以了，那么以前随着这两个用户而存在的病毒也就跟随着这两个用户的消失而一起去长眠了——（好象是陪葬，呵呵！）。这么做过之后我保证你的Windows就象新装的一个样，任何系统文件和系统进程里都完全是没有病毒的！
好！现在再重复开始的步骤从新建立nyh1和nyh2两个用户，让他们复活吧。他们复活是复活了，但是曾跟随了他们的病毒却是没这机会了，因为WindowsXP重新建立用户的时候会重新分配给他们全新的配置，而这个配置是全新的也是不可能包含病毒的！！！建立完成之后立即注销超级管理员，转如使用nyh1登陆，继续你象做的事吧，你会发现你的系统如同全新了！以上方法可以周而复始的用，再加上经常的去打微软的补丁，几乎可以永远保证你的操作系统是无毒状态！只要你能遵循以下两条规则：
一、任何时间都不以超级管理员的身份登陆系统——除非你要进行系统级更新和维护、需要使用超级管理员身份的时候或是你需要添加和删除用户的时候。
二、必须使用超级管理员登陆的时候，保证不使用和运行任何除了操作系统自带的工具和程序之外的任何东西，而且所有维护都只通过开始菜单里的选项来完成，甚至连使用资源管理器去浏览硬盘都不！ 只做做用户和系统的管理和维护就立即退出，而决不多做逗留！（这也是微软的要求，微软最了解自己的东东，他的建议是正确的。浏览硬盘的事，在其他用户身份下你有大把的机会，在超级管理员的身份下还是不要了！！这应该事能完全作到的）。
总结
通过以上的方法应该能保证你的系统是安全的了，但是计算机技术的发展速度太快，系统和病毒的运行方式可能随时都会革新，所以以上的方法也不能保证100%的绝对防毒。
黒客有什么可怕 设个陷阱来逮住他
[ 2007-03-25 03:19:20 | 作者: sun ]
如今网上黑客横行，稍不留神就可能被黑客光顾，避如前段时间我们空间商的服务器就被入侵了，数据都被删光了，所以要想在网上生存，做好安全措施是必不可少的。一般我们都只重视对机器进行安全设置，而往往忽略了被入侵后的信息收集问题，今天我就介绍三种让黑客留下痕迹的方法，希望能对大家有所帮助。
一、利用“木马”进行记录
1.木马简介
这里要用到的是一个很特殊的dll木马，它可以把通过终端登陆的用户名、密码，以及域信息记录到指定文件中。不要以为这些信息没什么用哦！有时候就得*这些零散的信息来找入侵的人。
在下载的压缩包内，有三个文件：
SysGina32.dll--这个就是可以记录用户名和密码的东东了。
Gina.exe--这是安装DLL木马用的程序，有了它后安装起来就很方便了。
使用方法.txt--这个很熟悉吧！中文帮助文件哦！有什么不懂的可以查查。
2.安装木马
先把SysGina32.dll和Gina.exe放在同一目录下，并将Gina.exe改名为svchost.exe(你也可以改成其它名字，为的是不让黑客注意到)，然后打开CMD，切换到保存这两个文件的文件夹，输入命令：svchost.exe -install，当出现“All Done，Gina setup success”信息时，安装就成功了。
注意：
a.该木马已被杀毒软件查杀，所以安装时请关闭杀毒软件(不是关闭防火墙哦！)，而且以后重启时杀毒软件不能一起启动，以后杀一次毒重新装一次该木马。不过如果你能让该木马不被杀毒软件的话，那就没这么麻烦了。
b.为了不让黑客发现我们设的陷阱，最好将Gina.exe文件改名，而且要改的艺术一点，比如上面我把它改成了“svchost.exe”，这样就很难发现了，如果你改成了其它名字，安装时命令就要换成“文件名.exe -install”。
c.SysGina32.dll和Gina.exe这两个文件不一定要复制到系统安装目录的system32下，不过最好不要太引人注意，如果被黑客发现，那就可能适得其反了(木马也会记下你的密码的)。
d.如果出现的信息是“Found Exist Gina”，这说明你机器已经装过该木马了，此时键入“Y”覆盖即可。
3.查看“踪迹”
经过以上设置后，如果有人通过终端服务登录你的机器，那么他的用户名和密码就会被记录到“C:＼WINNT＼system32＼GinaPwd.txt”这个文件中，打开这文件就可以看到入侵者的踪迹了。由于该木马也会记录你的密码，所以每次进入机器时，请先打开GinaPwd.txt这文件，把你的用户名和密码删掉，顺便查一下有没有其它人登录过。
4.删除木马
如果你的机器不幸被人中了该木马，那么请按如下方法删除：
先下载该木马，在CMD下输入命令：gina.exe -remove，当出现“ Gina Dll was removed success”时，就表示删除成功了，接着重启机器即可。
注意：如果你把gina.exe改名了，命令也要做相应改变：文件名.exe -
二、写个批处理记录黑客行踪
1.认识批处理
对于批处理文件，你可以把它理解成批量完成你指定命令的文件，它的扩展名为 .bat 或 .cmd，只要在文本文件中写入一些命令，并把它保存为.bat 或 .cmd格式，然后双击该文件，系统就会按文本文件中的命令逐条执行，这样可以节省你许多的时间。
2.编写批处理文件
打开记事本，然后输入如下命令：
@echo off
date /t >>d:＼3389.txt
attrib +s +h d:＼3389.bat
attrib +s +h d:＼3389.txt
time /t >>d:＼3389.txt
netstat -an |find "ESTABLISHED" |find ":3389" >>d:＼3389.txt
然后把文件保存为d:＼3389.bat，这里我解释一下命令的意思，date和time是用于获取系统时间的，这样可以让你知道黑客在某天的某个时刻入侵。“attrib +s +h d:＼3389.bat”和“attrib +s +h d:＼3389.txt”这两个命令是用来隐藏3389.bat和3389.txt这两个文件的，因为在登录时，由于会启动d:＼3389.bat这个文件，所以会有一个CMD窗口一闪而过，有经验的黑客应该能判断出这窗口是记录用的，所以他可能会到处找这个记录文件，用了以上两个命令后，即使他用系统自带的搜索功能以3389为关键字进行搜索，也找不到上面3389.bat和3389.txt这两个文件，哈哈！很棒吧！至于“netstat -an |find "ESTABLISHED" |find ":3389" >>d:＼3389.txt”这个命令则是记录通过终端的连结状况的，明白了吧！
接下来我们要让系统启动时自动运行d:＼3389.bat这文件，我用的方法是修改注册表，依次展开：HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼WindowsNT＼CurrentVersion＼Winlogon，找到“Userinit”这个键值，这个键值默认为c:＼WINNT＼system32＼userinit.exe，不知你注意到没有，在最后有一个逗号，我们要利用的就是这逗号，比如我上面写的3389.bat文件路径为d:＼3389.bat，那么我只要在逗号后面加上“d:＼3389.bat”即可，这样启动时3389.bat这文件就会运行，选这个键值的原因是因为它隐蔽，如果是加在Run键值下的话是很容易被发现的。最后提醒一点，键值末尾的逗号别忘了加上去哦！
4.查看记录
前面我们用了attrib命令把3389.bat和3389.txt这两个文件隐藏起来，下面我们来让它们重新显示。
打开CMD，切换到保存这两个文件的路径，这里是切换到“d:＼”目录，输入命令：attrib -s -h d:＼3389.bat和attrib -s -h d:＼3389.txt，这时再到d盘看看，是不是出现了？打开文件即可查看登录情况，从中我们可以看出，10.51.5.36这IP连结到了我的3389端口(我的IP是10.51.5.35)。
三、记录黑客动作
有了以上两道防线，我们就能知道黑客的用户名、密码、以及入侵时的IP了，不过这样好像还不够，要是能知道黑客都干了些什么就更好了，下面我们再设置一个陷阱，这里要用到的工具是“计算机系统日志”。
该软件的特色就是可以在后台记录所有运行过的程序和窗口名称，并且有具体的时期，以及登录的用户名，很恐怖哦！下面咱们来设陷阱吧！
1.记录日志
双击压缩包内的主程序，点击“软件试用”进入主界面，在“日志文件保存路径”处点击“浏览”选择保存路径并进行命名，这里保存在c:＼winnt＼log.txt。然后钩选“日志记录随计算机自动启动”。
注意：
a.为了防止黑客找到记录日志的文件，你可以用上面提到的命令：attrib +s +h c:＼winnt＼log.txt进行隐藏。
b.最好不要将这个记录文件和上面的3389.txt放一个目录下，这样万一被发现其中一个，不至于使另一个也一同被发现。
c.软件在“任务管理器”的进程中显示名称为“syslog”，而且未注册版本会在20分钟后自动停止记录，所以只能用来对付菜鸟黑客啦！而且还得先花点“银子”，哈哈！
接下来在“程序密码保护”处输入一个复杂点的密码，点击“开始日志”。这时软件会提醒你隐藏后的热键为“Ctrl+Q”，请记住这个热键，以后要唤出软件时就得*它了。
2.查看动作
想知道这样设置后记录下来的东西是什么样吗？那就快来看看吧。怎么样？对这种记录结果你还满意吗？
以上就是我比较推荐的三种方法了，都非常的实用，你不妨也试试哦！
一、利用“木马”进行记录
1.木马简介
这里要用到的是一个很特殊的dll木马，它可以把通过终端登陆的用户名、密码，以及域信息记录到指定文件中。不要以为这些信息没什么用哦！有时候就得*这些零散的信息来找入侵的人。
在下载的压缩包内，有三个文件：
SysGina32.dll--这个就是可以记录用户名和密码的东东了。
Gina.exe--这是安装DLL木马用的程序，有了它后安装起来就很方便了。
使用方法.txt--这个很熟悉吧！中文帮助文件哦！有什么不懂的可以查查。
2.安装木马
先把SysGina32.dll和Gina.exe放在同一目录下，并将Gina.exe改名为svchost.exe(你也可以改成其它名字，为的是不让黑客注意到)，然后打开CMD，切换到保存这两个文件的文件夹，输入命令：svchost.exe -install，当出现“All Done，Gina setup success”信息时，安装就成功了。
注意：
a.该木马已被杀毒软件查杀，所以安装时请关闭杀毒软件(不是关闭防火墙哦！)，而且以后重启时杀毒软件不能一起启动，以后杀一次毒重新装一次该木马。不过如果你能让该木马不被杀毒软件的话，那就没这么麻烦了。
b.为了不让黑客发现我们设的陷阱，最好将Gina.exe文件改名，而且要改的艺术一点，比如上面我把它改成了“svchost.exe”，这样就很难发现了，如果你改成了其它名字，安装时命令就要换成“文件名.exe -install”。
c.SysGina32.dll和Gina.exe这两个文件不一定要复制到系统安装目录的system32下，不过最好不要太引人注意，如果被黑客发现，那就可能适得其反了(木马也会记下你的密码的)。
d.如果出现的信息是“Found Exist Gina”，这说明你机器已经装过该木马了，此时键入“Y”覆盖即可。
3.查看“踪迹”
经过以上设置后，如果有人通过终端服务登录你的机器，那么他的用户名和密码就会被记录到“C:＼WINNT＼system32＼GinaPwd.txt”这个文件中，打开这文件就可以看到入侵者的踪迹了。由于该木马也会记录你的密码，所以每次进入机器时，请先打开GinaPwd.txt这文件，把你的用户名和密码删掉，顺便查一下有没有其它人登录过。
4.删除木马
如果你的机器不幸被人中了该木马，那么请按如下方法删除：
先下载该木马，在CMD下输入命令：gina.exe -remove，当出现“ Gina Dll was removed success”时，就表示删除成功了，接着重启机器即可。
注意：如果你把gina.exe改名了，命令也要做相应改变：文件名.exe -
二、写个批处理记录黑客行踪
1.认识批处理
对于批处理文件，你可以把它理解成批量完成你指定命令的文件，它的扩展名为 .bat 或 .cmd，只要在文本文件中写入一些命令，并把它保存为.bat 或 .cmd格式，然后双击该文件，系统就会按文本文件中的命令逐条执行，这样可以节省你许多的时间。
2.编写批处理文件
打开记事本，然后输入如下命令：
@echo off
date /t >>d:＼3389.txt
attrib +s +h d:＼3389.bat
attrib +s +h d:＼3389.txt
time /t >>d:＼3389.txt
netstat -an |find "ESTABLISHED" |find ":3389" >>d:＼3389.txt
然后把文件保存为d:＼3389.bat，这里我解释一下命令的意思，date和time是用于获取系统时间的，这样可以让你知道黑客在某天的某个时刻入侵。“attrib +s +h d:＼3389.bat”和“attrib +s +h d:＼3389.txt”这两个命令是用来隐藏3389.bat和3389.txt这两个文件的，因为在登录时，由于会启动d:＼3389.bat这个文件，所以会有一个CMD窗口一闪而过，有经验的黑客应该能判断出这窗口是记录用的，所以他可能会到处找这个记录文件，用了以上两个命令后，即使他用系统自带的搜索功能以3389为关键字进行搜索，也找不到上面3389.bat和3389.txt这两个文件，哈哈！很棒吧！至于“netstat -an |find "ESTABLISHED" |find ":3389" >>d:＼3389.txt”这个命令则是记录通过终端的连结状况的，明白了吧！
接下来我们要让系统启动时自动运行d:＼3389.bat这文件，我用的方法是修改注册表，依次展开：HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼WindowsNT＼CurrentVersion＼Winlogon，找到“Userinit”这个键值，这个键值默认为c:＼WINNT＼system32＼userinit.exe，不知你注意到没有，在最后有一个逗号，我们要利用的就是这逗号，比如我上面写的3389.bat文件路径为d:＼3389.bat，那么我只要在逗号后面加上“d:＼3389.bat”即可，这样启动时3389.bat这文件就会运行，选这个键值的原因是因为它隐蔽，如果是加在Run键值下的话是很容易被发现的。最后提醒一点，键值末尾的逗号别忘了加上去哦！
4.查看记录
前面我们用了attrib命令把3389.bat和3389.txt这两个文件隐藏起来，下面我们来让它们重新显示。
打开CMD，切换到保存这两个文件的路径，这里是切换到“d:＼”目录，输入命令：attrib -s -h d:＼3389.bat和attrib -s -h d:＼3389.txt，这时再到d盘看看，是不是出现了？打开文件即可查看登录情况，从中我们可以看出，10.51.5.36这IP连结到了我的3389端口(我的IP是10.51.5.35)。
三、记录黑客动作
有了以上两道防线，我们就能知道黑客的用户名、密码、以及入侵时的IP了，不过这样好像还不够，要是能知道黑客都干了些什么就更好了，下面我们再设置一个陷阱，这里要用到的工具是“计算机系统日志”。
该软件的特色就是可以在后台记录所有运行过的程序和窗口名称，并且有具体的时期，以及登录的用户名，很恐怖哦！下面咱们来设陷阱吧！
1.记录日志
双击压缩包内的主程序，点击“软件试用”进入主界面，在“日志文件保存路径”处点击“浏览”选择保存路径并进行命名，这里保存在c:＼winnt＼log.txt。然后钩选“日志记录随计算机自动启动”。
注意：
a.为了防止黑客找到记录日志的文件，你可以用上面提到的命令：attrib +s +h c:＼winnt＼log.txt进行隐藏。
b.最好不要将这个记录文件和上面的3389.txt放一个目录下，这样万一被发现其中一个，不至于使另一个也一同被发现。
c.软件在“任务管理器”的进程中显示名称为“syslog”，而且未注册版本会在20分钟后自动停止记录，所以只能用来对付菜鸟黑客啦！而且还得先花点“银子”，哈哈！
接下来在“程序密码保护”处输入一个复杂点的密码，点击“开始日志”。这时软件会提醒你隐藏后的热键为“Ctrl+Q”，请记住这个热键，以后要唤出软件时就得*它了。
2.查看动作
想知道这样设置后记录下来的东西是什么样吗？那就快来看看吧。怎么样？对这种记录结果你还满意吗？
以上就是我比较推荐的三种方法了，都非常的实用，你不妨也试试哦！
自我防护Web站点和恶意链接的方法
[ 2007-03-25 03:19:03 | 作者: sun ]
当您在 Microsoft Internet Explorer、Microsoft Outlook Express 或 Microsoft Outlook 中指向某个超链接时，相应的 Web 站点的地址通常显示在窗口底部的状态栏中。当您单击的链接在 Internet Explorer 中打开后，相应 Web 站点的地址通常显示在 Internet Explorer 的地址栏中，同时相应 Web 页的标题通常显示在窗口的标题栏中。
将实际 URL 与地址栏中的 URL 进行比较。如果它们不相符，则该 Web 站点有可能是在谎报。在这种情况下，您可能需要关闭 Internet Explorer。
使用 Internet Explorer 中的“历史记录”窗格来识别当前 Web 站点的实际 URL在 Microsoft 已经验证的一些情形中，您还可以使用 Internet Explorer 中的“历史记录”浏览器栏来帮助识别 Web 页的 URL。 在“查看”菜单上，指向“浏览器栏”，然后单击“历史记录”。将地址栏中的 URL 与“历史记录”栏中显示的 URL 进行比较。如果他们不匹配，则该 Web 站点很可能是谎报了自己，您可能需要关闭 Internet Explorer。
将 URL 粘贴到一个新实例的地址栏中
您可以将 URL 粘贴到 Internet Explorer 的一个新实例的地址栏中。这样，您可能能够验证 Internet Explorer 访问目标 Web 站点时将使用的信息。在 Microsoft 已经验证的一些情形中，您可以通过以下方法来验证 Internet Explorer 访问目标 Web 站点时实际使用的信息：复制显示在地址栏中的 URL 并将其粘贴到 Internet Explorer 的一个新会话的地址栏中。这一方法与上文“如何防范冒牌 Web 站点”一节介绍的方法相近。
警告：如果您在某些站点（例如电子商务站点）上执行此操作，则此操作可能会导致您的当前会话丢失。例如，在线购物车的内容可能会丢失，这样，您就必须重新填充该购物车。
要将 URL 粘贴到 Internet Explorer 的一个新实例的地址栏中，请按照下列步骤操作：
1. 选中地址栏中的文本，右键单击该文本，然后单击“复制”。
2. 关闭 Internet Explorer。
3. 启动 Internet Explorer。
4. 在地址栏中单击，单击右键，然后单击“粘贴”。
5. 按 Enter 键。
用于识别恶意超链接的方法
用来验证 Internet Explorer 在访问目标 Web 站点时需要使用的信息的唯一方法是在地址栏中手动键入 URL。但是，在某些情况下，您可以采用一些方法来帮助您识别恶意超链接。
警告：下面的信息针对已知的攻击提供了一些一般性的准则。因为攻击经常会发生变化，恶意用户可能会使用此处未介绍的方法来创建冒牌 Web 站点。为了帮助您保护自己，您只应在验证了数字证书上的名称后，才可键入个人信息或敏感信息。此外，如果您基于任何理由怀疑一个站点的真实性，请立即通过关闭浏览器窗口来离开此站点。通常情况下，最快捷的关闭浏览器窗口的方法是按 ALT+F4。
尝试识别一个超链接将要使用的 URL
要尝试识别一个超链接要使用的 URL，请按照下列步骤操作：
1. 右键单击该链接，然后单击“复制快捷方式”。
2. 单击“开始”，然后单击“运行”。
3. 键入 notepad，然后单击“确定”。
4. 在“记事本”中的“编辑”菜单上，单击“粘贴”。
这样，您就能够查看任何超链接的完整 URL，并且可以检查 Internet Explorer 将使用的地址。以下列出了 URL 中可能会出现的一些有可能将您引到冒牌 Web 站点的字符：
• %00
• %01
• @
例如，以下形式的 URL 将打开 http://example.com，但是该 URL 可能在 Internet Explorer 的地址栏或状态栏中显示为：
http://www.wingtiptoys.com：
01@example.com' target=_blank>http://www.wingtiptoys.com%01@example.com
其他可以采用的方法
虽然这些操作不能帮助您识别一个欺骗性（冒牌）Web 站点或 URL，但它们有助于限制从冒牌 Web 站点或恶意超链接成功发起的攻击所造成的损害。不过，它们会限制电子邮件和 Internet 区域中的 Web 站点运行脚本、ActiveX 控件和其他可能具有破坏作用的内容。 • 使用您的 Web 内容区域来帮助阻止 Internet 区域中的 Web 站点在计算机中运行脚本、ActiveX 控件或其他具有破坏作用的内容。首先，在 Internet Explorer 中将 Internet 区域安全级别设置为“高”。为此，请按照下列步骤操作：
1. 在“工具”菜单上，单击“Internet 选项”。
2. 单击“安全”选项卡，单击“Internet”，然后单击“默认级别”。
3. 将滑块移动到“高”，然后单击“确定”。
然后，将您信任的 Web 站点的 URL 添加到“可信站点”区域。为此，请按照下列步骤操作：
1. 在“工具”菜单上，单击“Internet 选项”。
2. 单击“安全”选项卡。
3. 单击“可信站点”。
4. 单击“站点”。
5. 如果您要添加的站点不需要服务器验证，请单击以清除“该区域中所有站点都需要服务器验证(https:)”复选框。
6. 键入您要添加到“可信站点”列表中的 Web 站点的地址。
7. 单击“添加”。
8. 对您要添加的每个 Web 站点重复步骤 6 和 7。
9. 单击“确定”两次。
以纯文本格式阅读电子邮件
通过以纯文本格式阅读电子邮件，您可以查看任何超链接的完整 URL，并可检查 Internet Explorer 将使用的地址。以下列出了 URL 中可能会出现的一些有可能将您引到冒牌 Web 站点的字符：
• %00
• %01
• @
例如，以下形式的 URL 将打开http://example.com，但是在 Internet Explorer 的地址栏中显示的 URL 可能为:
http://www.wingtiptoys.com：
01@example.com' target=_blank>http://www.wingtiptoys.com%01@example.com
将实际 URL 与地址栏中的 URL 进行比较。如果它们不相符，则该 Web 站点有可能是在谎报。在这种情况下，您可能需要关闭 Internet Explorer。
使用 Internet Explorer 中的“历史记录”窗格来识别当前 Web 站点的实际 URL在 Microsoft 已经验证的一些情形中，您还可以使用 Internet Explorer 中的“历史记录”浏览器栏来帮助识别 Web 页的 URL。 在“查看”菜单上，指向“浏览器栏”，然后单击“历史记录”。将地址栏中的 URL 与“历史记录”栏中显示的 URL 进行比较。如果他们不匹配，则该 Web 站点很可能是谎报了自己，您可能需要关闭 Internet Explorer。
将 URL 粘贴到一个新实例的地址栏中
您可以将 URL 粘贴到 Internet Explorer 的一个新实例的地址栏中。这样，您可能能够验证 Internet Explorer 访问目标 Web 站点时将使用的信息。在 Microsoft 已经验证的一些情形中，您可以通过以下方法来验证 Internet Explorer 访问目标 Web 站点时实际使用的信息：复制显示在地址栏中的 URL 并将其粘贴到 Internet Explorer 的一个新会话的地址栏中。这一方法与上文“如何防范冒牌 Web 站点”一节介绍的方法相近。
警告：如果您在某些站点（例如电子商务站点）上执行此操作，则此操作可能会导致您的当前会话丢失。例如，在线购物车的内容可能会丢失，这样，您就必须重新填充该购物车。
要将 URL 粘贴到 Internet Explorer 的一个新实例的地址栏中，请按照下列步骤操作：
1. 选中地址栏中的文本，右键单击该文本，然后单击“复制”。
2. 关闭 Internet Explorer。
3. 启动 Internet Explorer。
4. 在地址栏中单击，单击右键，然后单击“粘贴”。
5. 按 Enter 键。
用于识别恶意超链接的方法
用来验证 Internet Explorer 在访问目标 Web 站点时需要使用的信息的唯一方法是在地址栏中手动键入 URL。但是，在某些情况下，您可以采用一些方法来帮助您识别恶意超链接。
警告：下面的信息针对已知的攻击提供了一些一般性的准则。因为攻击经常会发生变化，恶意用户可能会使用此处未介绍的方法来创建冒牌 Web 站点。为了帮助您保护自己，您只应在验证了数字证书上的名称后，才可键入个人信息或敏感信息。此外，如果您基于任何理由怀疑一个站点的真实性，请立即通过关闭浏览器窗口来离开此站点。通常情况下，最快捷的关闭浏览器窗口的方法是按 ALT+F4。
尝试识别一个超链接将要使用的 URL
要尝试识别一个超链接要使用的 URL，请按照下列步骤操作：
1. 右键单击该链接，然后单击“复制快捷方式”。
2. 单击“开始”，然后单击“运行”。
3. 键入 notepad，然后单击“确定”。
4. 在“记事本”中的“编辑”菜单上，单击“粘贴”。
这样，您就能够查看任何超链接的完整 URL，并且可以检查 Internet Explorer 将使用的地址。以下列出了 URL 中可能会出现的一些有可能将您引到冒牌 Web 站点的字符：
• %00
• %01
• @
例如，以下形式的 URL 将打开 http://example.com，但是该 URL 可能在 Internet Explorer 的地址栏或状态栏中显示为：
http://www.wingtiptoys.com：
01@example.com' target=_blank>http://www.wingtiptoys.com%01@example.com
其他可以采用的方法
虽然这些操作不能帮助您识别一个欺骗性（冒牌）Web 站点或 URL，但它们有助于限制从冒牌 Web 站点或恶意超链接成功发起的攻击所造成的损害。不过，它们会限制电子邮件和 Internet 区域中的 Web 站点运行脚本、ActiveX 控件和其他可能具有破坏作用的内容。 • 使用您的 Web 内容区域来帮助阻止 Internet 区域中的 Web 站点在计算机中运行脚本、ActiveX 控件或其他具有破坏作用的内容。首先，在 Internet Explorer 中将 Internet 区域安全级别设置为“高”。为此，请按照下列步骤操作：
1. 在“工具”菜单上，单击“Internet 选项”。
2. 单击“安全”选项卡，单击“Internet”，然后单击“默认级别”。
3. 将滑块移动到“高”，然后单击“确定”。
然后，将您信任的 Web 站点的 URL 添加到“可信站点”区域。为此，请按照下列步骤操作：
1. 在“工具”菜单上，单击“Internet 选项”。
2. 单击“安全”选项卡。
3. 单击“可信站点”。
4. 单击“站点”。
5. 如果您要添加的站点不需要服务器验证，请单击以清除“该区域中所有站点都需要服务器验证(https:)”复选框。
6. 键入您要添加到“可信站点”列表中的 Web 站点的地址。
7. 单击“添加”。
8. 对您要添加的每个 Web 站点重复步骤 6 和 7。
9. 单击“确定”两次。
以纯文本格式阅读电子邮件
通过以纯文本格式阅读电子邮件，您可以查看任何超链接的完整 URL，并可检查 Internet Explorer 将使用的地址。以下列出了 URL 中可能会出现的一些有可能将您引到冒牌 Web 站点的字符：
• %00
• %01
• @
例如，以下形式的 URL 将打开http://example.com，但是在 Internet Explorer 的地址栏中显示的 URL 可能为:
http://www.wingtiptoys.com：
01@example.com' target=_blank>http://www.wingtiptoys.com%01@example.com
使用防火墙封阻应用攻击的八项技术
[ 2007-03-25 03:18:51 | 作者: sun ]
你已经决心下大力气搞好应用安全吗？毕竟，例如金融交易、信用卡号码、机密资料、用户档案等信息，对于企业来说太重要了。不过这些应用实在太庞大、太复杂了，最困难的就是，这些应用在通过网络防火墙上的端口80（主要用于HTTP）和端口443（用于SSL）长驱直入的攻击面前暴露无遗。这时防火墙可以派上用场，应用防火墙发现及封阻应用攻击所采用的八项技术如下：深度数据包处理
深度数据包处理有时被称为深度数据包检测或者语义检测，它就是把多个数据包关联到一个数据流当中，在寻找攻击异常行为的同时，保持整个数据流的状态。深度数据包处理要求以极高的速度分析、检测及重新组装应用流量，以避免给应用带来时延。下面每一种技术代表深度数据包处理的不同级别。
TCP/IP终止
应用层攻击涉及多种数据包，并且常常涉及多种请求，即不同的数据流。流量分析系统要发挥功效，就必须在用户与应用保持互动的整个会话期间，能够检测数据包和请求，以寻找攻击行为。至少，这需要能够终止传输层协议，并且在整个数据流而不是仅仅在单个数据包中寻找恶意模式。
SSL终止
如今，几乎所有的安全应用都使用HTTPS确保通信的保密性。然而，SSL数据流采用了端到端加密，因而对被动探测器如入侵检测系统（IDS）产品来说是不透明的。为了阻止恶意流量，应用防火墙必须终止SSL，对数据流进行解码，以便检查明文格式的流量。这是保护应用流量的最起码要求。如果你的安全策略不允许敏感信息在未加密的前提下通过网络传输，你就需要在流量发送到Web服务器之前重新进行加密的解决方案。
URL过滤
一旦应用流量呈明文格式，就必须检测HTTP请求的URL部分，寻找恶意攻击的迹象，譬如可疑的统一代码编码（unicode encoding）。对URL过滤采用基于特征的方案，仅仅寻找匹配定期更新的特征、过滤掉与已知攻击如红色代码和尼姆达有关的URL，这是远远不够的。这就需要一种方案不仅能检查RUL，还能检查请求的其余部分。其实，如果把应用响应考虑进来，可以大大提高检测攻击的准确性。虽然URL过滤是一项重要的操作，可以阻止通常的脚本少年类型的攻击，但无力抵御大部分的应用层漏洞。
请求分析
全面的请求分析技术比单单采用URL过滤来得有效，可以防止Web服务器层的跨站脚本执行（cross-site scripting）漏洞和其它漏洞。全面的请求分析使URL过滤更进了一步：可以确保请求符合要求、遵守标准的HTTP规范，同时确保单个的请求部分在合理的大小限制范围之内。这项技术对防止缓冲器溢出攻击非常有效。然而，请求分析仍是一项无状态技术。它只能检测当前请求。正如我们所知道的那样，记住以前的行为能够获得极有意义的分析，同时获得更深层的保护。
用户会话跟踪
更先进的下一个技术就是用户会话跟踪。这是应用流量状态检测技术的最基本部分：跟踪用户会话，把单个用户的行为关联起来。这项功能通常借助于通过URL重写（URL rewriting）来使用会话信息块加以实现。只要跟踪单个用户的请求，就能够对信息块实行极其严格的检查。这样就能有效防御会话劫持（session-hijacking）及信息块中毒（cookie-poisoning）类型的漏洞。有效的会话跟踪不仅能够跟踪应用防火墙创建的信息块，还能对应用生成的信息块进行数字签名，以保护这些信息块不被人篡改。这需要能够跟踪每个请求的响应，并从中提取信息块信息。
响应模式匹配
响应模式匹配为应用提供了更全面的保护：它不仅检查提交至Web服务器的请求，还检查Web服务器生成的响应。它能极其有效地防止网站受毁损，或者更确切地说，防止已毁损网站被浏览。对响应里面的模式进行匹配相当于在请求端对URL进行过滤。响应模式匹配分三个级别。防毁损工作由应用防火墙来进行，它对站点上的静态内容进行数字签名。如果发现内容离开Web服务器后出现了改动，防火墙就会用原始内容取代已毁损页面。至于对付敏感信息泄露方面，应用防火墙会监控响应，寻找可能表明服务器有问题的模式，譬如一长串Java异常符。如果发现这类模式，防火墙就会把它们从响应当中剔除，或者干脆封阻响应。
采用“停走”字（‘stop and go’word）的方案会寻找必须出现或不得出现在应用生成的响应里面的预定义通用模式。譬如说，可以要求应用提供的每个页面都要有版权声明。
行为建模
行为建模有时称为积极的安全模型或“白名单”（white list）安全，它是唯一能够防御最棘手的应用漏洞——零时间漏洞的保护机制。零时间漏洞是指未写入文档或“还不知道”的攻击。对付这类攻击的唯一机制就是只允许已知是良好行为的行为，其它行为一律禁止。这项技术要求对应用行为进行建模，这反过来就要求全面分析提交至应用的每个请求的每次响应，目的在于识别页面上的行为元素，譬如表单域、按钮和超文本链接。这种级别的分析可以发现恶意表单域及隐藏表单域操纵类型的漏洞，同时对允许用户访问的URL实行极其严格的监控。行为建模是唯一能够有效对付全部16种应用漏洞的技术。行为建模是一种很好的概念，但其功效往往受到自身严格性的限制。
某些情况譬如大量使用JavaScript或者应用故意偏离行为模型都会导致行为建模犯错，从而引发误报，拒绝合理用户访问应用。行为建模要发挥作用，就需要一定程度的人为干预，以提高安全模型的准确性。行为自动预测又叫规则自动生成或应用学习，严格说来不是流量检测技术，而是一种元检测（meta-inspection）技术，它能够分析流量、建立行为模型，并且借助于各种关联技术生成应用于行为模型的一套规则，以提高精确度。行为建模的优点在于短时间学习应用之后能够自动配置。保护端口80是安全人员面临的最重大也是最重要的挑战之一。所幸的是，如今已出现了解决这一问题的创新方案，而且在不断完善。如果在分层安全基础设施里面集成了能够封阻16类应用漏洞的应用防火墙，你就可以解决应用安全这一难题。
深度数据包处理有时被称为深度数据包检测或者语义检测，它就是把多个数据包关联到一个数据流当中，在寻找攻击异常行为的同时，保持整个数据流的状态。深度数据包处理要求以极高的速度分析、检测及重新组装应用流量，以避免给应用带来时延。下面每一种技术代表深度数据包处理的不同级别。
TCP/IP终止
应用层攻击涉及多种数据包，并且常常涉及多种请求，即不同的数据流。流量分析系统要发挥功效，就必须在用户与应用保持互动的整个会话期间，能够检测数据包和请求，以寻找攻击行为。至少，这需要能够终止传输层协议，并且在整个数据流而不是仅仅在单个数据包中寻找恶意模式。
SSL终止
如今，几乎所有的安全应用都使用HTTPS确保通信的保密性。然而，SSL数据流采用了端到端加密，因而对被动探测器如入侵检测系统（IDS）产品来说是不透明的。为了阻止恶意流量，应用防火墙必须终止SSL，对数据流进行解码，以便检查明文格式的流量。这是保护应用流量的最起码要求。如果你的安全策略不允许敏感信息在未加密的前提下通过网络传输，你就需要在流量发送到Web服务器之前重新进行加密的解决方案。
URL过滤
一旦应用流量呈明文格式，就必须检测HTTP请求的URL部分，寻找恶意攻击的迹象，譬如可疑的统一代码编码（unicode encoding）。对URL过滤采用基于特征的方案，仅仅寻找匹配定期更新的特征、过滤掉与已知攻击如红色代码和尼姆达有关的URL，这是远远不够的。这就需要一种方案不仅能检查RUL，还能检查请求的其余部分。其实，如果把应用响应考虑进来，可以大大提高检测攻击的准确性。虽然URL过滤是一项重要的操作，可以阻止通常的脚本少年类型的攻击，但无力抵御大部分的应用层漏洞。
请求分析
全面的请求分析技术比单单采用URL过滤来得有效，可以防止Web服务器层的跨站脚本执行（cross-site scripting）漏洞和其它漏洞。全面的请求分析使URL过滤更进了一步：可以确保请求符合要求、遵守标准的HTTP规范，同时确保单个的请求部分在合理的大小限制范围之内。这项技术对防止缓冲器溢出攻击非常有效。然而，请求分析仍是一项无状态技术。它只能检测当前请求。正如我们所知道的那样，记住以前的行为能够获得极有意义的分析，同时获得更深层的保护。
用户会话跟踪
更先进的下一个技术就是用户会话跟踪。这是应用流量状态检测技术的最基本部分：跟踪用户会话，把单个用户的行为关联起来。这项功能通常借助于通过URL重写（URL rewriting）来使用会话信息块加以实现。只要跟踪单个用户的请求，就能够对信息块实行极其严格的检查。这样就能有效防御会话劫持（session-hijacking）及信息块中毒（cookie-poisoning）类型的漏洞。有效的会话跟踪不仅能够跟踪应用防火墙创建的信息块，还能对应用生成的信息块进行数字签名，以保护这些信息块不被人篡改。这需要能够跟踪每个请求的响应，并从中提取信息块信息。
响应模式匹配
响应模式匹配为应用提供了更全面的保护：它不仅检查提交至Web服务器的请求，还检查Web服务器生成的响应。它能极其有效地防止网站受毁损，或者更确切地说，防止已毁损网站被浏览。对响应里面的模式进行匹配相当于在请求端对URL进行过滤。响应模式匹配分三个级别。防毁损工作由应用防火墙来进行，它对站点上的静态内容进行数字签名。如果发现内容离开Web服务器后出现了改动，防火墙就会用原始内容取代已毁损页面。至于对付敏感信息泄露方面，应用防火墙会监控响应，寻找可能表明服务器有问题的模式，譬如一长串Java异常符。如果发现这类模式，防火墙就会把它们从响应当中剔除，或者干脆封阻响应。
采用“停走”字（‘stop and go’word）的方案会寻找必须出现或不得出现在应用生成的响应里面的预定义通用模式。譬如说，可以要求应用提供的每个页面都要有版权声明。
行为建模
行为建模有时称为积极的安全模型或“白名单”（white list）安全，它是唯一能够防御最棘手的应用漏洞——零时间漏洞的保护机制。零时间漏洞是指未写入文档或“还不知道”的攻击。对付这类攻击的唯一机制就是只允许已知是良好行为的行为，其它行为一律禁止。这项技术要求对应用行为进行建模，这反过来就要求全面分析提交至应用的每个请求的每次响应，目的在于识别页面上的行为元素，譬如表单域、按钮和超文本链接。这种级别的分析可以发现恶意表单域及隐藏表单域操纵类型的漏洞，同时对允许用户访问的URL实行极其严格的监控。行为建模是唯一能够有效对付全部16种应用漏洞的技术。行为建模是一种很好的概念，但其功效往往受到自身严格性的限制。
某些情况譬如大量使用JavaScript或者应用故意偏离行为模型都会导致行为建模犯错，从而引发误报，拒绝合理用户访问应用。行为建模要发挥作用，就需要一定程度的人为干预，以提高安全模型的准确性。行为自动预测又叫规则自动生成或应用学习，严格说来不是流量检测技术，而是一种元检测（meta-inspection）技术，它能够分析流量、建立行为模型，并且借助于各种关联技术生成应用于行为模型的一套规则，以提高精确度。行为建模的优点在于短时间学习应用之后能够自动配置。保护端口80是安全人员面临的最重大也是最重要的挑战之一。所幸的是，如今已出现了解决这一问题的创新方案，而且在不断完善。如果在分层安全基础设施里面集成了能够封阻16类应用漏洞的应用防火墙，你就可以解决应用安全这一难题。
IPS主动式防护多层深层保护企业网络
[ 2007-03-25 03:18:38 | 作者: sun ]
随着核心应用业务逐渐网络化，网络安全成为企业网络管理人员最急需解决的问题，“系统入侵”目前是威胁企业网络信息安全的首要元凶，系统漏洞屡被攻击，病毒在网络泛滥，主动防御和应用安全的压力日益增大，我们需要一个能够实时有效的安全防护系统。
安全防护系统是一个多层次的保护机制，它既包括企业的安全策略，又包括防火墙、防病毒、入侵防护等多种产品的解决方案。传统的，我们会仅用防火墙或防毒墙来反击，但因为他们主要是防御直接的可疑流量，面对黑客攻击水平的不断提高，及内部因计算机操作而存在的安全隐患等混合威胁的不断发展，这种单一的防护措施已经显得力不从心。
IDS入侵检测系统一直以来充当了安全防护系统的重要角色，IDS技术是通过从网络上得到数据包进行分析，从而检测和识别出系统中的未授权或异常现象。IDS注重的是网络监控、审核跟踪，告知网络是否安全，发现异常行为时，自身不作为，而是通过与防火墙等安全设备联动的方式进行防护。IDS目前是一种受到企业欢迎的解决方案，但其目前存在以下几个显著缺陷：一是网络缺陷（用交换机代替可共享监听的HUB使IDS的网络监听带来麻烦，并且在复杂的网络下精心的发包也可以绕过IDS的监听）；二是误报量大（只要一开机，报警不停）；三是自身防攻击能力差等缺陷，所以，IDS还是不足完成网络安全防护的重任。
IDS的缺陷，成就了IPS的发展，IPS技术能够对网络进行多层、深层、主动的防护以有效保证企业网络安全，IPS的出现可谓是企业网络安全的革命性创新。简单地理解，IPS等于防火墙加上入侵检测系统，但并不代表IPS可以替代防火墙或IDS。防火墙在基于TCP/IP协议的过滤方面表现非常出色，IDS提供的全面审计资料对于攻击还原、入侵取证、异常事件识别、网络故障排除等等都有很重要的作用。
下面，我们来分析一下市场上主流的IPS生产厂商，看看他们在设计IPS产品时，是如何有效实现IPS的主动入侵防护功能的。
从安全厂商来看，国外品牌McAfee、ISS、Juniper、Symantec、华为3Com，国内品牌如冰峰网络、绿盟科技等众多厂商都有多款百兆和千兆的IPS产品，国产品牌（如冰峰网络）的千兆IPS产品的性能相对过去，更是有了长足的发展，对大流量网络的适应能力明显增强。从对这些主流IPS 产品的评测来看，一个稳定高效的IPS产品，需要具备以下几个方面的能力：
检测机制：由于需要具备主动阻断能力，检测准确程度的高低对于IPS来说十分关键。IPS厂商综合使用多种检测机制来提高IPS的检测准确性。据Juniper 的工程师介绍，Juniper产品中使用包括状态签名、协议异常、后门检测、流量异常、混合式攻击检测在内的“多重检测技术”，以提高检测和阻断的准确程度。McAfee 公司则在自己的实验室里加强了对溢出型漏洞的研究和跟踪，把针对溢出型攻击的相应防范手段推送到IPS 设备的策略库中。国内品牌冰峰网络在IPS设备中采用了漏洞阻截技术，通过研究漏洞特征，将其加入到过滤规则中，IPS就可以发现符合漏洞特征的所有攻击流量，在冲击波及其变种大规模爆发时，直接将其阻断，从而赢得打补丁的关键时间。
弱点分析：IPS产品的发展前景取决于攻击阻截功能的完善。引入弱点分析技术是IPS完善攻击阻截能力的更要依据，IPS厂商通过分析系统漏洞、收集和分析攻击代码或蠕虫代码、描述攻击特征或缺陷特征，使IPS 能够主动保护脆弱系统。由于软件漏洞是不法分子的主要攻击目标，所以几乎所有IPS厂商都在加强系统脆弱性的研究。ISS、赛门铁克分别设立了漏洞分析机构。McAfee也于日前收购了从事漏洞研究的 Foundstone公司，致力于把漏洞分析技术与入侵防护技术结合起来，Juniper设有一个专门的安全小组，密切关注新的系统弱点和蠕虫，国内的IPS厂商，如绿盟科技、冰峰网络等，虽然没有自己独立的弱点分析机构，但也在严密关注相关权威机构发布的弱点分析报告，及时更新过滤机制。
应用环境：IPS 的检测准确率还依赖于应用环境。一些流量对于某些用户来说可能是恶意的，而对于另外的用户来说就是正常流量，这就需要IPS能够针对用户的特定需求提供灵活而容易使用的策略调优手段，以提高检测准确率。McAfee、Juniper、ISS、冰峰网络等公司同时都在IPS中提供了调优机制，使IPS通过自学习提高检测的准确性。
全面兼容：所有的用户都希望用相对少的投入，建设一个最安全、最易管理的网络环境。IPS如若需达到全面防护工作，则还要把其它网络管理功能集成起来，如网络管理、负载均衡、日志管理等，各自分工，但紧密协作。
“熊猫烧香”泛滥 杀毒厂商积极应对
[ 2007-03-25 03:18:28 | 作者: sun ]
通过网络在线杀毒；重启系统到带网络连接的安全模式，升级杀毒软件后杀毒；通过手动修改注册表杀毒……一时间，杀毒厂商的专家们针对“熊猫烧香”病毒，提供了众多的查杀办法。
很难想象一只可爱的小熊猫点燃着三根香竟然是一种病毒的图标，可是互联网就是这样让人意想不到，什么事情都可能发生。受前段时间台湾地区地震引发断网事件的影响，一些国外杀毒产品的病毒库无法更新，导致使用国外杀毒产品的用户无法对新出病毒做到有效防范，“熊猫烧香”病毒乘虚进入，国内网民苦不堪言。
“熊猫烧香”病毒传播迅速
小张是个忠实的网民，每天他都会借助网络浏览新闻。前几天，小张照常打开他熟悉的一个网站链接，顺着路径进入了一个页面，网站自动给他下载了一个程序，页面上一个熊猫点燃三根香的图标引起了小张的注意，好奇心驱使小张双击了鼠标，接下来小张的机器上所有的网页文件尾部都添加了熊猫烧香图标（.exe）代码，大量的应用软件无法使用，机器不断重启。后来，小张才知道自己的机器染上了“熊猫烧香”病毒，由于没有专门的查杀工具，小张的机器彻底瘫痪了。
“熊猫烧香”的病毒不止在小张的电脑上发作，他的许多同事都遭遇了相同情况。据悉，目前多家网站均遭到“熊猫烧香”的攻击，相继被植入病毒。同时，由于这些网站的浏览量非常大，致使“熊猫烧香”病毒传播迅速。据了解，目前该病毒已经把矛头对准了企业和政府网站，相关资料显示，中毒的企业和政府网站已经超过千家，其中不乏金融、税务、能源等关系到国计民生的重要部门。
瑞星公司杀毒专家王占涛表示，“熊猫烧香”其实是“尼姆亚”病毒的新变种，最早出现在2006年11月，到目前为止已经有数十个不同变种。该病毒的问题原本在2006年12月通过众多杀毒公司提供的杀毒软件升级已经解决，但由于“熊猫烧香”是一系列病毒的统称，其生命力惊人，经过一段时间仍然没有死绝，很多用户“中病毒”以后用杀毒软件根本杀不死它，只能忍痛删除硬盘里所有的程序文件。
“除了通过网站带毒感染用户之外，此病毒还会在局域网中传播，在极短时间之内就可以感染几千台计算机，严重时可以导致网络瘫痪。中毒电脑会出现蓝屏、频繁重启以及系统硬盘中数据文件被破坏等现象。”王占涛介绍说。
众厂商提供解决方案
针对“熊猫烧香”病毒危害网络安全的现象，国内众多杀毒厂商纷纷推出最新的解决方案查杀该病毒。
“要杀掉病毒，专杀工具是最好的办法。”金山公司信息安全事业部技术工程师李铁军表示，他们已经研制出最新的专杀工具，能处理已知变种，并具备免疫功能，只要用户使用了该公司的杀毒软件，就能对“熊猫烧香”病毒起到免疫功能。王占涛表示，专杀工具针对性强，效果最明显，杀毒率在99%以上。
“江民公司也在第一时间推出了专杀工具，该病毒数据已被我们掌握了，推出专杀工具能起到很好的作用。”江民公司一位姓张的专家表示。
“通过网络在线杀毒可以收到奇效；重启系统到带网络连接的安全模式下，升级杀毒软件后可以杀毒；通过手动修改注册表也可以杀毒。”一时间，杀毒厂商的专家们给记者介绍了许多查杀该病毒的办法。
王占涛说，“熊猫烧香”病毒与其他病毒的差别就在于传播方式不同，杀毒公司有信心面对这样的考验。
“最重要的还是要安装杀毒软件，并在上网时打开网页实时监控病毒，同时不要进入一些陌生的网站，不要下载一些不明文件，这样就能离病毒远点。”李铁军认为。
专家们认为，病毒其实并不可怕，只要多加防范就能免受其害。
清除病毒
需要全社会一起努力
既然预防病毒的侵害比杀毒更为重要，杀毒厂商杀毒多年了，推出了那么多种杀毒工具，为什么在网络上还会不定期的冒出这么多病毒，难道杀毒公司只能这样被动杀毒吗？
“这就跟警察抓贼一样，只有贼实施了犯罪行为，偷了东西，警察才能去抓他。”王占涛表示，其实杀毒厂商也很无奈，他们不可能抢先去制止毒源，只能等到“毒发”时才能去“医治”。
“但这并不是说我们就没办法，每种病毒爆发都有它的潜伏期，在潜伏期我们就能提前研究对策，等病毒爆发时我们就能使它的危害性减到最小。”李铁军认为。
“我们已经存储了一个巨大的毒库，这些毒源总是万变不离其宗，我们一定会有办法对付它们。”江民公司的张姓专家显得信心十足。
一些业内人士认为，找出毒源抓住制造病毒的人才是消灭网络病毒的根本所在。这需要法律制度的完善，不给那些犯罪分子有机可乘。同时，还需规范网络制度，全社会一起营造一个安全、稳定的网络环境。
“网络犯罪取证难，国家在这方面的监管打击力度不够，也是病毒如此嚣张的主要原因之一。”李铁军认为，杀毒厂商只能做好查杀病毒的事情，给互联网提供一个安全、清洁的环境，更重要的是有关部门须采取措施保护网络安全。
很难想象一只可爱的小熊猫点燃着三根香竟然是一种病毒的图标，可是互联网就是这样让人意想不到，什么事情都可能发生。受前段时间台湾地区地震引发断网事件的影响，一些国外杀毒产品的病毒库无法更新，导致使用国外杀毒产品的用户无法对新出病毒做到有效防范，“熊猫烧香”病毒乘虚进入，国内网民苦不堪言。
“熊猫烧香”病毒传播迅速
小张是个忠实的网民，每天他都会借助网络浏览新闻。前几天，小张照常打开他熟悉的一个网站链接，顺着路径进入了一个页面，网站自动给他下载了一个程序，页面上一个熊猫点燃三根香的图标引起了小张的注意，好奇心驱使小张双击了鼠标，接下来小张的机器上所有的网页文件尾部都添加了熊猫烧香图标（.exe）代码，大量的应用软件无法使用，机器不断重启。后来，小张才知道自己的机器染上了“熊猫烧香”病毒，由于没有专门的查杀工具，小张的机器彻底瘫痪了。
“熊猫烧香”的病毒不止在小张的电脑上发作，他的许多同事都遭遇了相同情况。据悉，目前多家网站均遭到“熊猫烧香”的攻击，相继被植入病毒。同时，由于这些网站的浏览量非常大，致使“熊猫烧香”病毒传播迅速。据了解，目前该病毒已经把矛头对准了企业和政府网站，相关资料显示，中毒的企业和政府网站已经超过千家，其中不乏金融、税务、能源等关系到国计民生的重要部门。
瑞星公司杀毒专家王占涛表示，“熊猫烧香”其实是“尼姆亚”病毒的新变种，最早出现在2006年11月，到目前为止已经有数十个不同变种。该病毒的问题原本在2006年12月通过众多杀毒公司提供的杀毒软件升级已经解决，但由于“熊猫烧香”是一系列病毒的统称，其生命力惊人，经过一段时间仍然没有死绝，很多用户“中病毒”以后用杀毒软件根本杀不死它，只能忍痛删除硬盘里所有的程序文件。
“除了通过网站带毒感染用户之外，此病毒还会在局域网中传播，在极短时间之内就可以感染几千台计算机，严重时可以导致网络瘫痪。中毒电脑会出现蓝屏、频繁重启以及系统硬盘中数据文件被破坏等现象。”王占涛介绍说。
众厂商提供解决方案
针对“熊猫烧香”病毒危害网络安全的现象，国内众多杀毒厂商纷纷推出最新的解决方案查杀该病毒。
“要杀掉病毒，专杀工具是最好的办法。”金山公司信息安全事业部技术工程师李铁军表示，他们已经研制出最新的专杀工具，能处理已知变种，并具备免疫功能，只要用户使用了该公司的杀毒软件，就能对“熊猫烧香”病毒起到免疫功能。王占涛表示，专杀工具针对性强，效果最明显，杀毒率在99%以上。
“江民公司也在第一时间推出了专杀工具，该病毒数据已被我们掌握了，推出专杀工具能起到很好的作用。”江民公司一位姓张的专家表示。
“通过网络在线杀毒可以收到奇效；重启系统到带网络连接的安全模式下，升级杀毒软件后可以杀毒；通过手动修改注册表也可以杀毒。”一时间，杀毒厂商的专家们给记者介绍了许多查杀该病毒的办法。
王占涛说，“熊猫烧香”病毒与其他病毒的差别就在于传播方式不同，杀毒公司有信心面对这样的考验。
“最重要的还是要安装杀毒软件，并在上网时打开网页实时监控病毒，同时不要进入一些陌生的网站，不要下载一些不明文件，这样就能离病毒远点。”李铁军认为。
专家们认为，病毒其实并不可怕，只要多加防范就能免受其害。
清除病毒
需要全社会一起努力
既然预防病毒的侵害比杀毒更为重要，杀毒厂商杀毒多年了，推出了那么多种杀毒工具，为什么在网络上还会不定期的冒出这么多病毒，难道杀毒公司只能这样被动杀毒吗？
“这就跟警察抓贼一样，只有贼实施了犯罪行为，偷了东西，警察才能去抓他。”王占涛表示，其实杀毒厂商也很无奈，他们不可能抢先去制止毒源，只能等到“毒发”时才能去“医治”。
“但这并不是说我们就没办法，每种病毒爆发都有它的潜伏期，在潜伏期我们就能提前研究对策，等病毒爆发时我们就能使它的危害性减到最小。”李铁军认为。
“我们已经存储了一个巨大的毒库，这些毒源总是万变不离其宗，我们一定会有办法对付它们。”江民公司的张姓专家显得信心十足。
一些业内人士认为，找出毒源抓住制造病毒的人才是消灭网络病毒的根本所在。这需要法律制度的完善，不给那些犯罪分子有机可乘。同时，还需规范网络制度，全社会一起营造一个安全、稳定的网络环境。
“网络犯罪取证难，国家在这方面的监管打击力度不够，也是病毒如此嚣张的主要原因之一。”李铁军认为，杀毒厂商只能做好查杀病毒的事情，给互联网提供一个安全、清洁的环境，更重要的是有关部门须采取措施保护网络安全。
十大绝招制服顽劣的间谍软件
[ 2007-03-25 03:17:58 | 作者: sun ]
最新的调查报告显示了反间谍软件软件工具的不足，“间谍”仍在网络上肆无忌惮地活动。但也不必垂头丧气，学习并遵循以下的十招办法，间谍软件将对你束手无策。
有的时候，真理和善良总是受到伤害，我们刚刚在反垃圾资讯中心"邮件上取得了一些进展，然而，间谍软件却又将填补这项空白。未来几年里，你将不得不耗费宝贵的时间，在工作中、在家里与间谍软件作斗争。
虽然市面上有数十种新的反间谍软件工具供我们使用，而且这些资讯中心"程序确实很有帮助，但是，运行反间谍软件实用程序只是解决方案的一部分，还有很多其他事情需要你做，请按照我们提供的10个步骤指南开始行动吧。
1.了解你的敌人
如果天真地把间谍软件定义为Web网站留下来的小cookie文件的话，那么你的挫折将永无止境。所有类型的变脸软件(Scumware)都将为你带来不幸，主要的四大类型是：
间谍软件（Spyware）是一种可以秘密地收集有关你计算机信息的软件，并可能向未知网站发送数据，包括“键盘记录软件”或“按键捕获寄生虫”(不要与“恶意软件(malware)”混淆，恶意软件包括病毒、蠕虫和特洛伊木马程序)。
广告软件（Adware）：一种可以随机或者根据当前浏览器内容弹出广告和条幅的软件。
劫持软件(Hijackers)：可以改变浏览器主页、缺省搜索引擎，甚至改变你的方向，使你无法到达你想到达的网站。
小甜饼文件(Cookies)：可以跟踪Web网站参数选择和口令的小型文件。软件可以在用户不知道的情况下收集和扩散该信息。
以上四种类型中，广告软件最讨厌，而劫持软件和间谍软件却是危害最大的。
2.退出InternetExplorer
我们无法指控资讯中心微软公司犯下了生成间谍软件的罪行。但是，Windows的设计，而且尤其是InternetExplorer却肯定使微软公司成了“间谍”的“同谋”。我们鼓励用户转向其他产品，例如Firefox或者Opera，两者均缺省设置封锁弹出文字。Firefox是免费的且已很普及，Opera则需要花几美元。
需要证据来证明InternetExplorer存在着问题？在笔者运行WindowsXPHome的主要测试PC上，使用InternetExplorer和OutlookExpress，结果发现了739个间谍软件。
而在笔者的个人PC上，运行Firefox和Mozilla公司的Thunderbird电子邮件应用，结果才发现了11个间谍软件范例。而且，这11个间谍软件均是在笔者不得不使用InternetExplorer进入某些Web网站的时候，偷偷溜进这台PC的。
然而，不幸的是，有些网站却需要InternetExplorer，而那些与微软公司的Outlook电子邮件客户端有密切联系的用户也必须使用它。不过，还是有办法可以把感染InternetExplorer间谍软件的速度降下来。首先，禁止微软ActiveX支持。在InternetExplorer里，点击Tools→InternetOptions→Security→CustomLevel，然后，点击迫使ActiveX控制在运行之前请求允许的检查框。
有的时候，真理和善良总是受到伤害，我们刚刚在反垃圾资讯中心"邮件上取得了一些进展，然而，间谍软件却又将填补这项空白。未来几年里，你将不得不耗费宝贵的时间，在工作中、在家里与间谍软件作斗争。
虽然市面上有数十种新的反间谍软件工具供我们使用，而且这些资讯中心"程序确实很有帮助，但是，运行反间谍软件实用程序只是解决方案的一部分，还有很多其他事情需要你做，请按照我们提供的10个步骤指南开始行动吧。
1.了解你的敌人
如果天真地把间谍软件定义为Web网站留下来的小cookie文件的话，那么你的挫折将永无止境。所有类型的变脸软件(Scumware)都将为你带来不幸，主要的四大类型是：
间谍软件（Spyware）是一种可以秘密地收集有关你计算机信息的软件，并可能向未知网站发送数据，包括“键盘记录软件”或“按键捕获寄生虫”(不要与“恶意软件(malware)”混淆，恶意软件包括病毒、蠕虫和特洛伊木马程序)。
广告软件（Adware）：一种可以随机或者根据当前浏览器内容弹出广告和条幅的软件。
劫持软件(Hijackers)：可以改变浏览器主页、缺省搜索引擎，甚至改变你的方向，使你无法到达你想到达的网站。
小甜饼文件(Cookies)：可以跟踪Web网站参数选择和口令的小型文件。软件可以在用户不知道的情况下收集和扩散该信息。
以上四种类型中，广告软件最讨厌，而劫持软件和间谍软件却是危害最大的。
2.退出InternetExplorer
我们无法指控资讯中心微软公司犯下了生成间谍软件的罪行。但是，Windows的设计，而且尤其是InternetExplorer却肯定使微软公司成了“间谍”的“同谋”。我们鼓励用户转向其他产品，例如Firefox或者Opera，两者均缺省设置封锁弹出文字。Firefox是免费的且已很普及，Opera则需要花几美元。
需要证据来证明InternetExplorer存在着问题？在笔者运行WindowsXPHome的主要测试PC上，使用InternetExplorer和OutlookExpress，结果发现了739个间谍软件。
而在笔者的个人PC上，运行Firefox和Mozilla公司的Thunderbird电子邮件应用，结果才发现了11个间谍软件范例。而且，这11个间谍软件均是在笔者不得不使用InternetExplorer进入某些Web网站的时候，偷偷溜进这台PC的。
然而，不幸的是，有些网站却需要InternetExplorer，而那些与微软公司的Outlook电子邮件客户端有密切联系的用户也必须使用它。不过，还是有办法可以把感染InternetExplorer间谍软件的速度降下来。首先，禁止微软ActiveX支持。在InternetExplorer里，点击Tools→InternetOptions→Security→CustomLevel，然后，点击迫使ActiveX控制在运行之前请求允许的检查框。
MM的QQ密码又被盗了，朋友一百万两银子又被窃了……面对防不胜防的木马，作为普通用户而言，如何防范、如何应对、如何将损失降在最低呢?当然，首先最要紧的是扎紧篱笆——及时为操作系统打上补丁；拒木马于千里之外——不随便下载和运行不明来源的程序，这些在前几期的文章中已有详述。我们今天谈一下，如果第一道防线被攻破，木马已经进驻电脑，那么应该如何识别，并且不让它得逞呢?
一、不给权限，饿死木马
在Windows 2000/XP/2003等系统中，用户可以加入Administrators、Power Users、Users等不同权限的组，分别具有不同级别的操作权限。如果你平时也就上上网看看新闻，打打游戏聊聊天，编写文字处理几张图片，而不需要频繁地装卸软件，那么不妨藏起管理员，使用一个低权限的用户账户。
通过“控制面板→用户账户”，创建一个新的用户，然后安装常用的软件之后，将其加入到受限用户(Users)组。受限用户能够正常运行大部分的程序，但是无法对系统的心脏——系统目录和注册表进行写操作。该操作需要一个前提条件，即C盘应采用NTFS格式。
木马以及其他恶意软件有个特殊的爱好：往往喜欢藏身于系统目录，并且修改注册表以达到自动加载的目的。而采用这个办法，很大程度上限制了木马的渗透。即使木马已进入硬盘，也不会有权限进行相应的操作，有效地降低了木马的破坏力，事后在灭杀木马过程中也不至于破坏系统。
但是有的软件需要管理员权限账户才可以正常运行，或者有时候我们需要安装一些软件，目前账户权限不够，怎么办?切换用户太麻烦，而且也容易因此给木马可乘之机。那么，用下面的办法实现吧!
右键点击程序，选择“运行方式”，然后选择合适的账户并输入相应密码即可。这样软件就可以其他账户的方式运行，而与当前账户无关。虽然比起直接管理员账户登录操作麻烦了点，但是安全上得到了保障，还是值得的。
二、勤查户口，除不速客
账户信息安全之重要性，自然不言而喻。黑客入侵，往往会偷偷在你的系统中建立一个账户，或者把普通账户提升权限，以达到幕后操纵之目的，而这个往往是普通用户容易忽略的问题，所以大家要养成一个勤查户口的习惯。
打开“管理工具→计算机管理→本地用户和组”，这里枚举了当前的所有账户信息。要看看是不是多了不认识的名字，或者谁偷偷地升级了，这些都需要引起重视。比如臭名昭著的lovgate病毒就会在感染电脑上建立一个名为“lee”的账户。
但是，有时候突然多出一个不速之客也未必就是“中标”了，比如在安装Microsoft .Net Framework后，系统会自动建立一个ASP.NET账户，这是正常的，大可不必为之担心。
另外，还要对现有账户做好安全工作。如果没有必要，可以不启用Guest账户；同时应对内置的管理员账户Administrator加上密码，并且“改头换面”，防止入侵者恶意穷举：通过“管理工具→本地安全策略→本地策略→安全选项→账户”对系统管理员账户进行重命名操作，将Administrator修改为一个别人不容易猜测到的名字。
三、关紧城门，出入查证
木马也好，其他恶意程序也好，如果不能和释放者保持联系，也就失去了威力。所以城门就是我们的最后一道防线。
首先是关闭一些危险的端口。打开“管理工具→本地安全策略→IP 安全策略，在本地计算机”，在右侧窗格中右击鼠标并选择“创建 IP
安全策略”命令，然后根据向导一步一步设置，分别添加TCP135、 137、139、445、593 、1025、2745、3127、6129、3389端口和UDP 135、139、445等端口。关闭了这些端口，可以避免入侵者通过这些通道秘密潜入。
其次，安装一款合适的防火墙。ZoneAlarm、BlackICE、Kaspersky Anti-Hacker、XELIOS Personal Firewall等功能都比较强大。如果嫌这些设置比较复杂，也可以选择天网、金山毒霸网络个人防火墙、瑞星个人防火墙等。它们就像把门者，每一个进出者都会被检查是否有“良民证”：如果确认可靠的就直接放行，如果陌生人想偷偷挟带情报出逃，对不起，拦下。
四、明察秋毫，逮住“马迹”
感染木马或其他恶意程序后，系统不可避免地会出现一些特殊征兆，如果及早发现并及时处理，可以将损失降到最低点。下面的这些“马迹”千万不要放过。
1、密码被改，金币被偷。虽然损失已经造成，但是亡羊补牢，至少避免更多损失。
2、杀软被关闭。很多木马会自动关闭杀毒软件，如果发现杀软防火墙被退出，而且无法启动，绝对不能忽视，排除系统或者杀软本身的问题，很有可能就是被木马或病毒先下手为强了。
3、一闪而过的窗口。打开记事本，或其他软件的时候，会有隐约的窗口一闪而过，这很有可能就是木马或病毒已经寄生在正常程序上了。
4、奇怪的进程。经常用Ctrl+Alt+Del键调出任务管理器进行查看。首先你要熟悉系统的正常进程，如果有陌生进程出现，那就将它一查到底。
5、鱼目混珠的文件名或错位的程序。有些木马会伪造和正常程序相似的名字，比如“svch0st”等；有些则索性冒名，不过路径不同，比如出现在Windows目录下的“rundll32.exe”(正常应该在windows\system32和windows\system32\dllcache下)。
6、自作多情的启动项目。经常使用“msconfig”查看启动项目，如果有不经允许就擅自加载的，不妨查查其身份。
7、绑架浏览器。使用hijackthis辅助，把这些绑匪统统请出系统去。
8、运行“netstat”，查看当前网络的连接情况，是否有偷偷向外报信者。
一、不给权限，饿死木马
在Windows 2000/XP/2003等系统中，用户可以加入Administrators、Power Users、Users等不同权限的组，分别具有不同级别的操作权限。如果你平时也就上上网看看新闻，打打游戏聊聊天，编写文字处理几张图片，而不需要频繁地装卸软件，那么不妨藏起管理员，使用一个低权限的用户账户。
通过“控制面板→用户账户”，创建一个新的用户，然后安装常用的软件之后，将其加入到受限用户(Users)组。受限用户能够正常运行大部分的程序，但是无法对系统的心脏——系统目录和注册表进行写操作。该操作需要一个前提条件，即C盘应采用NTFS格式。
木马以及其他恶意软件有个特殊的爱好：往往喜欢藏身于系统目录，并且修改注册表以达到自动加载的目的。而采用这个办法，很大程度上限制了木马的渗透。即使木马已进入硬盘，也不会有权限进行相应的操作，有效地降低了木马的破坏力，事后在灭杀木马过程中也不至于破坏系统。
但是有的软件需要管理员权限账户才可以正常运行，或者有时候我们需要安装一些软件，目前账户权限不够，怎么办?切换用户太麻烦，而且也容易因此给木马可乘之机。那么，用下面的办法实现吧!
右键点击程序，选择“运行方式”，然后选择合适的账户并输入相应密码即可。这样软件就可以其他账户的方式运行，而与当前账户无关。虽然比起直接管理员账户登录操作麻烦了点，但是安全上得到了保障，还是值得的。
二、勤查户口，除不速客
账户信息安全之重要性，自然不言而喻。黑客入侵，往往会偷偷在你的系统中建立一个账户，或者把普通账户提升权限，以达到幕后操纵之目的，而这个往往是普通用户容易忽略的问题，所以大家要养成一个勤查户口的习惯。
打开“管理工具→计算机管理→本地用户和组”，这里枚举了当前的所有账户信息。要看看是不是多了不认识的名字，或者谁偷偷地升级了，这些都需要引起重视。比如臭名昭著的lovgate病毒就会在感染电脑上建立一个名为“lee”的账户。
但是，有时候突然多出一个不速之客也未必就是“中标”了，比如在安装Microsoft .Net Framework后，系统会自动建立一个ASP.NET账户，这是正常的，大可不必为之担心。
另外，还要对现有账户做好安全工作。如果没有必要，可以不启用Guest账户；同时应对内置的管理员账户Administrator加上密码，并且“改头换面”，防止入侵者恶意穷举：通过“管理工具→本地安全策略→本地策略→安全选项→账户”对系统管理员账户进行重命名操作，将Administrator修改为一个别人不容易猜测到的名字。
三、关紧城门，出入查证
木马也好，其他恶意程序也好，如果不能和释放者保持联系，也就失去了威力。所以城门就是我们的最后一道防线。
首先是关闭一些危险的端口。打开“管理工具→本地安全策略→IP 安全策略，在本地计算机”，在右侧窗格中右击鼠标并选择“创建 IP
安全策略”命令，然后根据向导一步一步设置，分别添加TCP135、 137、139、445、593 、1025、2745、3127、6129、3389端口和UDP 135、139、445等端口。关闭了这些端口，可以避免入侵者通过这些通道秘密潜入。
其次，安装一款合适的防火墙。ZoneAlarm、BlackICE、Kaspersky Anti-Hacker、XELIOS Personal Firewall等功能都比较强大。如果嫌这些设置比较复杂，也可以选择天网、金山毒霸网络个人防火墙、瑞星个人防火墙等。它们就像把门者，每一个进出者都会被检查是否有“良民证”：如果确认可靠的就直接放行，如果陌生人想偷偷挟带情报出逃，对不起，拦下。
四、明察秋毫，逮住“马迹”
感染木马或其他恶意程序后，系统不可避免地会出现一些特殊征兆，如果及早发现并及时处理，可以将损失降到最低点。下面的这些“马迹”千万不要放过。
1、密码被改，金币被偷。虽然损失已经造成，但是亡羊补牢，至少避免更多损失。
2、杀软被关闭。很多木马会自动关闭杀毒软件，如果发现杀软防火墙被退出，而且无法启动，绝对不能忽视，排除系统或者杀软本身的问题，很有可能就是被木马或病毒先下手为强了。
3、一闪而过的窗口。打开记事本，或其他软件的时候，会有隐约的窗口一闪而过，这很有可能就是木马或病毒已经寄生在正常程序上了。
4、奇怪的进程。经常用Ctrl+Alt+Del键调出任务管理器进行查看。首先你要熟悉系统的正常进程，如果有陌生进程出现，那就将它一查到底。
5、鱼目混珠的文件名或错位的程序。有些木马会伪造和正常程序相似的名字，比如“svch0st”等；有些则索性冒名，不过路径不同，比如出现在Windows目录下的“rundll32.exe”(正常应该在windows\system32和windows\system32\dllcache下)。
6、自作多情的启动项目。经常使用“msconfig”查看启动项目，如果有不经允许就擅自加载的，不妨查查其身份。
7、绑架浏览器。使用hijackthis辅助，把这些绑匪统统请出系统去。
8、运行“netstat”，查看当前网络的连接情况，是否有偷偷向外报信者。
“熊猫烧香”为何杀之不绝？
[ 2007-03-25 03:17:29 | 作者: sun ]
电话号码为07588****25的读者询问:我的电脑最近中了“熊猫烧香”病毒，我从网上下载了专杀工具进行查杀，但是重复杀了几次后，软件还是显示有十几个病毒存在，重启后再杀也没能解决问题，我该怎么办？
答:目前，“熊猫烧香”病毒肆虐互联网，而且变种非常快，其变种病毒已经超过了400种。
也就是说，单独依靠一家杀毒软件公司的软件可能还不足以进行完全的查杀，建议你多下载几种不同的专杀工具进行一下处理。
另外，如果你的电脑一直是连接上网的状态，而你的防火墙又没有打开或是没有升级到最新的版本，也可能重复染上病毒。综合这几种可能性，这里建议你先将自己原有的杀毒软件的防火墙升级到最新的版本，然后下载Windows的最新系统补丁，最后在断网的情况下利用多种专杀工具进行反复的查杀，应该能够解决问题。
答:目前，“熊猫烧香”病毒肆虐互联网，而且变种非常快，其变种病毒已经超过了400种。
也就是说，单独依靠一家杀毒软件公司的软件可能还不足以进行完全的查杀，建议你多下载几种不同的专杀工具进行一下处理。
另外，如果你的电脑一直是连接上网的状态，而你的防火墙又没有打开或是没有升级到最新的版本，也可能重复染上病毒。综合这几种可能性，这里建议你先将自己原有的杀毒软件的防火墙升级到最新的版本，然后下载Windows的最新系统补丁，最后在断网的情况下利用多种专杀工具进行反复的查杀，应该能够解决问题。
