网络安全界永恒不变的10大安全法则
[ 2007-03-25 03:37:10 | 作者: sun ]
1.如果攻击者能够说服您在自己的计算机上运行他的程序，那么该计算机便不再属于您了。
2.如果攻击者能够在您的计算机上更改操作系统，那么该计算机便不再属于您了。
3.如果攻击者能够不受限制地实地访问您地计算机，那么该计算机便不再属于您了。
4.如果您允许攻击者上载程序到您地Web站点，那么该计算机便不再属于您了。
5.再强大地安全性也会葬送在脆弱地密码手里。
6.计算机地安全性受制于管理员的可靠性。
7.加密数据的安全性受制于解密密钥的安全性。
8.过时的病毒扫描程序比没有病毒扫描程序好不了多少。
9.绝对的匿名无论在现实中还是在Web中都不切实际。
10.技术不是万能药。
安全基础知识之全方位了解Mac地址
[ 2007-03-25 03:36:50 | 作者: sun ]
什么是Mac地址？
Mac地址就是在媒体接入层上使用的地址，通俗点说就是网卡的物理地址，现在的Mac地址一般都采用6字节48bit（在早期还有2字节16bit的Mac地址）。
前24位由是生产厂家向IEEE申请的厂商地址(这可是要花钱的哦！据说1000美元才能买一个地址块)。后24位就由生产厂家自行定以了(早期的2字节的却不用申请) 。
IP地址和Mac地址有什么联系和区别
大家都知道，现在有很多计算机都是通过先组建局域网，然后通过交换机和Internet连接的（大学里的校园网就是这样）。然后给每个用户分配固定的IP地址，由管理中心统一管理，这样为了管理方便就需要使用Mac地址来标志用户，防止发生混乱，明确责任（比如网络犯罪）。另外IP地址和Mac地址是有区别的，虽然他们在局域网中是一一对应的关系。IP地址是跟据现在的IPv4标准指定的，不受硬件限制比较容易记忆的地址，而Mac地址却是用网卡的物理地址，多少与硬件有关系，比较难于记忆。
如何知道自己的Mac地址
方法比较多，也比较得简单，在这里介绍两种常用的方法，在Win9x 可用：WinIPcfg获得，在2000、XP可用IPconfig -all获得。如果你已经给自己的网卡分配了IP还可以用 nbtstat -A 自己的IP ，后者只能在2000/XP下使用。
如何获得别人的Mac
其实上面已经涉及到了，如果是2000/XP用户可以用 nbtstat -A IP地址（还可以获得别的东东啊，可别学坏啊）。另外同一局域网内的，你可以用ping IP 或者ping 主机名，然后用arp -a 来获得。
如何修改自己的Mac地址
Mac地址是保存在网卡的EPROM里面，通过网卡生产厂家提供的修改程序可以更改存储器里的地址，即使网卡没有这样的设置我们也可以通过间接的方法修改，一般网卡发出的包的源Mac地址并不是网卡本身写上去的，而是应用程序提供的，只是在通常的实现中，应用程序先从网卡上得到Mac地址，每次发送的时候都用这个Mac做为源Mac而已，Windows中，网卡的Mac保存在注册表中，实际使用也是从注册表中提取的，所以只要修改注册表就可以简单的改变Mac
Win9x中修改：
打开注册表编辑器，在HKEY_LOCAL_MacHINE\SYSTEM\CurrentControlSet\Service\Class\Net\下的0000，0001，0002 Win2000/XP中的修改：同样打开注册表编辑器，HKEY_LOCAL_MACHINE\SYSTEM\
CurrentControlSet\Control\Class\4D36E970-E325-11CE-BFC1-08002BE10318 中的0000,0001,0002中的DriverDesc,如果在0000找到，就在0000下面添加字符串变量，命名为“NetworkAddress”，值为要设置的Mac地址，例如：000102030405 完成上述操作后重启就好了。
Linux下的修改：
1.必须关闭网卡设备，否则会报告系统忙，无法更改。
命令是：“ifconfig eth0 down”。
2.修改Mac地址，这一步较Windows中的修改要简单。
命令是：“ifconfig eth0 hw ether 00AABBCCDDEE”
3.重新启用网卡
“ifconfig eth0 up”网卡的Mac地址更改就完成了。
现在还有很多软件提供了修改Mac地址的功能，如：Mac2001
那么既然IP和Mac地址都可以改，那么怎么防御呢？通过简单的交换机端口绑定（端口的Mac表使用静态表项），可以在每个交换机端口只连接一台主机的情况下防止修改Mac地址的盗用，如果是三层设备还可以提供：交换机端口－IP－Mac 三者的绑定，防止修改Mac的IP盗用，这种方法更有效！还有些方法如配置交换机的VLAN，使用用户认证等，都略显复杂，再次不多浪费笔墨。
安全知识之深入了解网络中的蠕虫病毒
[ 2007-03-25 03:36:40 | 作者: sun ]
蠕虫源起
提到蠕虫，大家都不会陌生，这些自然界中的低等生物以农作物为食，给人类带来经济损失。但是，如果说计算机中也有这样一种名为“蠕虫”的东西存在，同样也给人类带来严重经济损失，你也许会觉得这是天方夜谭，虫子怎么会爬进计算机呢？
1988年11月2日，世界上第一个计算机蠕虫正式诞生。美国康乃尔大学一年级研究生莫里斯为了求证计算机程序能否在不同的计算机之间自我复制传播，他写了一段试验程序，为了程序能顺利进入另一台计算机，他写了一段破解用户口令的代码。11月2日早上5点，这段被称为“Worm”（蠕虫）的程序开始了它的旅行，它果然没有辜负莫里斯的期望：它爬进了几千台电脑，让它们死机，造成了经济损失高达9600万美元的记录。从此，“蠕虫”这个名词传开了，莫里斯也许并不知道：他在证明这个结论的同时，也打开了潘多拉魔盒。
自1988年第一个蠕虫显示出它的威力以来，越来越多的人加入了蠕虫制作阵营，他们用这种途径来证明自己的能力，或者实现一些特殊目的，于是多种多样的蠕虫诞生了。可是不管蠕虫的“行为方式”（它们进入计算机后要做的事情）有多少种，其“传播方式”却仅仅有屈指可数的几种：电子邮件、网页代码、社会工程学以及系统漏洞等。
下面，我们就来看看蠕虫进入计算机的几种主要方式。
破邮箱而出：邮件蠕虫
也许是受遗传的影响吧，最初的莫里斯蠕虫是通过邮件系统复制自身的，发展到现在，蠕虫传播的主流依然是邮件系统，不同的是，蠕虫“前辈”利用的邮件系统能够自动完成协助复制工作，而如今的邮件系统只能负责传播，要启动蠕虫必须由用户打开邮件才可以。
为什么选择邮件传播？因为这是最大的传播系统。为什么用户一打开邮件就被蠕虫撬窗入室？这要从微软的两个古老漏洞说起，它们分别是1999年11月11日的IFrame漏洞和2001年3月29日的MIME漏洞。
IFrame是一段用于往网页里放入一个小页面的HTML语言，它用来实现“框架”结构。当年有好事者测试出一个可怕的现象：往一个页面里放入多个IFrame时，框架里请求运行程序的代码就会被执行，如果有人故意做了一个执行破坏程序的页面，那后果可想而知。由于IFrame的尺寸可以自由设置，因此破坏者可以在一个页面里放入多个“看不见”的框架，并附带多个“看不见”的有害程序，浏览了那个网页的人自然就成了受害者！
和IFrame漏洞相比，MIME漏洞更加出名，它其实只是一小段用来描述信息类型的数据。浏览器通过读取它来得知接收到的数据该怎么处理，如果是文本和图片就显示出来，是程序就弹出下载确认，是音乐就直接播放。请留意最后一个类型：音乐，浏览器对它采取的动作是：播放。
要知道：音乐文件和程序文件都是一样的二进制数据，都需要解码还原数据到系统临时目录里，然后浏览器通过一个简单的文件后缀名判断来决定该用哪种方法处理它。例如用户收到一个MP3文件，MIME把它描述成音乐文件，所以浏览器解码保存这个文件到一个临时目录，而后查找调用这个文件后缀MP3对应的执行程序，这就是一次完整的工作过程；但是问题就出在这个似乎完美的步骤上，如果攻击者给用户发送一个带有EXE后缀可执行文件的邮件，并把它的MIME描述为音乐文件，这时候浏览器会把它解到临时目录，然后根据它的后缀名调用一个能打开它的应用程序——EXE后缀告诉系统，直接运行这个文件！于是这个文件就被顺利执行了，用户的机器也开始遭到破坏。正因为这样，邮件蠕虫才成了如今世界“虫害”的主要来源。靠邮件传播的蠕虫主要有SoBig、MyDoom、求职信等。相对于邮件蠕虫，利用网页传播的蠕虫手段无疑更为高明，它分为两个“门派”：传统派和脚本派。传统派使用的技术又包括两种，一种是用一个IFrame插入一个Mail框架，同样利用MIME漏洞执行蠕虫，这是直接沿用邮件蠕虫的方法；另一种是用IFrame漏洞和浏览器下载文件的漏洞来运作的，首先由一个包含特殊代码的页面去下载放在另一个网站的病毒文件，然后运行它，完成蠕虫传播。
“脚本派”蠕虫就更复杂了，它们不是可执行程序，而是一段具有破坏和自动寻找载体能力进行传播的代码。凑巧的是，Windows系统自身文件夹模板也是通过脚本运作的（由此可见脚本的强大！），于是有人把它们的用途放到了入侵方面，通过一段精心编制的脚本，这只“没有身体”（没有独立执行的程序体）的虫子就很轻松地爬进了千家万户。当然，这类蠕虫实现的功能往往比完整的蠕虫要少，因此编写者让它完成的任务一般也很简单：破坏文件。曾经大面积爆发的欢乐时光就是这样做才令人“谈虫色变”的，虽然它只是一段很简单的文件操作代码集合
细心的读者应该会有个疑问：既然网页蠕虫是通过网页传播的，而看网页的人那么多，它应该成为主流才对啊，为什么却是邮件蠕虫？
其实原因很简单：大部分蠕虫作者不可能在公共热门网站里放入自己的蠕虫框架代码。要知道，往页面里加入代码是要取得服务器管理权限的，这并不是所有人都能做得到的，这就增加了传播的局限性，因此网页蠕虫始终成不了主流。
不记得是谁第一个把网页蠕虫和社会学结合在一起了，但是当QQ第一次被迫自动发出“http://sckiss.yeah.net，你快去看看”的消息时，这一领域的大门被撞开了，“爱情森林”蠕虫的实体是躲在网页背后的EXE木马，又利用QQ把自身网址宣布出去，把这两个看似不相关的方面结合得天衣无缝！这种蠕虫的实现原理很简单：当蠕虫爬进你的机器后，它就会查找QQ进程，截获发送消息事件并且在QQ的信息里自动加入一段诱惑你的话，让你去浏览它藏身的网页而被它爬入电脑，同时成为它的又一个宣传者。显然，这种“宣传”方法成功与否，全在于蠕虫编写者的社会学和心理学，否则稍有经验的人都会知道这是大名鼎鼎的“QQ尾巴”了（图4），例如“想看XX明星绯闻去http://www.xxxxx.com”这种弱智的语言功力，如今已经不能拿来骗人了。
2003年1月，很多人特别是从事信息安全的IT人都记住了这个月，因为在这个月里，全世界的网络被大小仅为376个字节的“小虫子”打败了，直接经济损失超过数百亿美元，更重要的是：这个小蠕虫又开创了一个蠕虫里程碑，它就是“SQL蠕虫王Slammer”，世界上第一个打破常规的蠕虫。它不再像前面那些蠕虫一样安静等待别人来触发了，它要自己闯天下，它把运行的关键指向了SQL溢出漏洞，结果，它成功了：它收拾了全球13台根域名服务器中的8台，导致全球主干网络瘫痪！
“SQL蠕虫王Slammer”所做的一切似乎只为了宣布一件事情：蠕虫也可以这样写！于是这一新领域的蠕虫便迅速发展起来了，利用RPC溢出漏洞的冲击波、冲击波杀手，仓促把玩LSASS溢出漏洞的震荡波、震荡波杀手……这些反客为主的蠕虫在每一次新漏洞被公布之时迅速出现，趁火打劫地加入破坏行列，其间又有些号称“杀手”的“除害蠕虫”，帮人家把前一个蠕虫杀了，然后自己也赖着不走了，成为受害者机器里的又一条蠕虫——拔刀相助，尔后强驻？这似乎不是英雄所为。
系统漏洞蠕虫一般具备一个小型的溢出系统，它随机产生IP并尝试溢出，然后将自身复制过去。它们往往造成被感染系统性能速度迅速降低，甚至系统崩溃，属于最不受欢迎的一类虫子。
蠕虫进入电脑后，会做什么事情呢？现在已经很难下定论了，因为蠕虫的类型已经变得非常复杂，但是它们的最终目的不外乎是：偷密码资料（比如QQ尾巴）、影响用户正常使用机器（比如冲击波）、扰乱网络通讯（比如Nimda）、破坏用户机器（比如欢乐时光）、“借机杀人”（比如MyDoom、SQL蠕虫王）、发email（比如Sobig）等。
蠕虫的防治
蠕虫已经成了当前病毒的主流方式，每年由蠕虫造成的经济损失超过数亿美元，不仅如此，它们还在向威胁人类正常使用电脑的方向发展，如果再不严厉打击制造蠕虫的幕后黑手，总有一天世界网络会被这些小虫子摧毁。
由于蠕虫发展越来越壮大，它的进程也由单一文件变成多进程互相防护、DLL挂钩、文件并联等方式。普通用户要想手工清除这些蠕虫已经变得相当困难，最好的方法是预防。其实大部分蠕虫都是利用了系统漏洞进行传播的，如果用户安全意识较高，那么蠕虫就会无门可钻。专家认为：提高用户的安全防范意识，学习一点常备的电脑维护知识，远比一味跟在蠕虫后面升级杀毒软件的方法更加实际和有效！
WEB专用服务器的安全设置的实战技巧
[ 2007-03-25 03:36:25 | 作者: sun ]
IIS的相关设置：
删除默认建立的站点的虚拟目录，停止默认web站点，删除对应的文件目录c:inetpub，配置所有站点的公共设置，设置好相关的连接数限制，带宽设置以及性能设置等其他设置。配置应用程序映射，删除所有不必要的应用程序扩展，只保留asp，php，cgi，pl，aspx应用程序扩展。对于php和cgi，推荐使用isapi方式解析，用exe解析对安全和性能有所影响。用户程序调试设置发送文本错误信息给户。对于数据库，尽量采用mdb后缀，不需要更改为asp，可在IIS中设置一个mdb的扩展映射，将这个映射使用一个无关的dll文件如C:WINNTsystem32inetsrvssinc.dll来防止数据库被下载。设置IIS的日志保存目录，调整日志记录信息。设置为发送文本错误信息。修改403错误页面，将其转向到其他页，可防止一些扫描器的探测。另外为隐藏系统信息，防止telnet到80端口所泄露的系统版本信息可修改IIS的banner信息，可以使用winhex手工修改或者使用相关软件如banneredit修改。
对于用户站点所在的目录，在此说明一下，用户的FTP根目录下对应三个文件佳，wwwroot，database，logfiles，分别存放站点文件，数据库备份和该站点的日志。如果一旦发生入侵事件可对该用户站点所在目录设置具体的权限，图片所在的目录只给予列目录的权限，程序所在目录如果不需要生成文件（如生成html的程序）不给予写入权限。因为是虚拟主机平常对脚本安全没办法做到细致入微的地步，更多的只能在方法用户从脚本提升权限：
ASP的安全设置：
设置过权限和服务之后，防范asp木马还需要做以下工作，在cmd窗口运行以下命令：
regsvr32/u C:\WINNT\System32\wshom.ocx
del C:\WINNT\System32\wshom.ocx
regsvr32/u C:\WINNT\system32\shell32.dll
del C:\WINNT\system32\shell32.dll
即可将WScript.Shell, Shell.application, WScript.Network组件卸载，可有效防止asp木马通过wscript或shell.application执行命令以及使用木马查看一些系统敏感信息。另法：可取消以上文件的users用户的权限，重新启动IIS即可生效。但不推荐该方法。
另外，对于FSO由于用户程序需要使用，服务器上可以不注销掉该组件，这里只提一下FSO的防范，但并不需要在自动开通空间的虚拟商服务器上使用，只适合于手工开通的站点。可以针对需要FSO和不需要FSO的站点设置两个组，对于需要FSO的用户组给予c:winntsystem32scrrun.dll文件的执行权限，不需要的不给权限。重新启动服务器即可生效。
对于这样的设置结合上面的权限设置，你会发现海阳木马已经在这里失去了作用！
PHP的安全设置：
默认安装的php需要有以下几个注意的问题：
C:\winnt\php.ini只给予users读权限即可。在php.ini里需要做如下设置：
Safe_mode=on
register_globals = Off
allow_url_fopen = Off
display_errors = Off
magic_quotes_gpc = On [默认是on，但需检查一遍]
open_basedir =web目录
disable_functions =passthru,exec,shell_exec,system,phpinfo,get_cfg_var,popen,chmod
默认设置com.allow_dcom = true修改为false[修改前要取消掉前面的；]
MySQL安全设置：
如果服务器上启用MySQL数据库，MySQL数据库需要注意的安全设置为：
删除mysql中的所有默认用户，只保留本地root帐户，为root用户加上一个复杂的密码。赋予普通用户updatedeletealertcreatedrop权限的时候，并限定到特定的数据库，尤其要避免普通客户拥有对mysql数据库操作的权限。检查mysql.user表，取消不必要用户的shutdown_priv,relo
ad_priv,process_priv和File_priv权限，这些权限可能泄漏更多的服务器信息包括非mysql的其它信息出去。可以为mysql设置一个启动用户，该用户只对mysql目录有权限。设置安装目录的data数据库的权限(此目录存放了mysql数据库的数据信息)。对于mysql安装目录给users加上读取、列目录和执行权限。
Serv-u安全问题：
安装程序尽量采用最新版本，避免采用默认安装目录，设置好serv-u目录所在的权限，设置一个复杂的管理员密码。修改serv-u的banner信息，设置被动模式端口范围（4001—4003）在本地服务器中设置中做好相关安全设置：包括检查匿名密码，禁用反超时调度，拦截“FTP bounce”攻击和FXP，对于在30秒内连接超过3次的用户拦截10分钟。域中的设置为：要求复杂密码，目录只使用小写字母，高级中设置取消允许使用MDTM命令更改文件的日期。
更改serv-u的启动用户：在系统中新建一个用户，设置一个复杂点的密码，不属于任何组。将servu的安装目录给予该用户完全控制权限。建立一个FTP根目录，需要给予这个用户该目录完全控制权限，因为所有的ftp用户上传，删除，更改文件都是继承了该用户的权限，否则无法操作文件。另外需要给该目录以上的上级目录给该用户的读取权限，否则会在连接的时候出现530 Not logged in, home directory does not exist。比如在测试的时候ftp根目录为d:soft，必须给d盘该用户的读取权限，为了安全取消d盘其他文件夹的继承权限。而一般的使用默认的system启动就没有这些问题，因为system一般都拥有这些权限的。
数据库服务器的安全设置
对于专用的MSSQL数据库服务器，按照上文所讲的设置TCP/IP筛选和IP策略，对外只开放1433和5631端口。对于MSSQL首先需要为sa设置一个强壮的密码，使用混合身份验证,加强数据库日志的记录,审核数据库登陆事件的”成功和失败”.删除一些不需要的和危险的OLE自动存储过程(会造成企业管理器中部分功能不能使用),这些过程包括如下:
Sp_OACreate Sp_OADestroy Sp_OAGetErrorInfo Sp_OAGetProperty
Sp_OAMethod Sp_OASetProperty Sp_OAStop
去掉不需要的注册表访问过程,包括有:
Xp_regaddmultistring Xp_regdeletekey Xp_regdeletevalue
Xp_regenumvalues Xp_regread Xp_regremovemultistring
Xp_regwrite
去掉其他系统存储过程，如果认为还有威胁，当然要小心Drop这些过程，可以在测试机器上测试，保证正常的系统能完成工作，这些过程包括：
xp_cmdshell xp_dirtree xp_dropwebtask sp_addsrvrolemember
xp_makewebtask xp_runwebtask xp_subdirs sp_addlogin
sp_addextendedproc
在实例属性中选择TCP/IP协议的属性。选择隐藏 SQL Server 实例可防止对1434端口的探测,可修改默认使用的1433端口。除去数据库的guest账户把未经认可的使用者据之在外。 例外情况是master和 tempdb 数据库,因为对他们guest帐户是必需的。另外注意设置好各个数据库用户的权限，对于这些用户只给予所在数据库的一些权限。在程序中不要用sa用户去连接任何数据库。网络上有建议大家使用协议加密的，千万不要这么做，否则你只能重装MSSQL了。
入侵检测和数据备份
入侵检测工作
作为服务器的日常管理，入侵检测是一项非常重要的工作，在平常的检测过程中，主要包含日常的服务器安全例行检查和遭到入侵时的入侵检查，也就是分为在入侵进行时的安全检查和在入侵前后的安全检查。系统的安全性遵循木桶原理，木桶原理指的是：一个木桶由许多块木板组成，如果组成木桶的这些木板长短不一，那么这个木桶的最大容量不取决于长的木板，而取决于最短的那块木板。应用到安全方面也就是说系统的安全性取决于系统中最脆弱的地方，这些地方是日常的安全检测的重点所在。
日常的安全检测
日常安全检测主要针对系统的安全性，工作主要按照以下步骤进行：
1．查看服务器状态：
打开进程管理器，查看服务器性能，观察CPU和内存使用状况。查看是否有CPU和内存占用过高等异常情况。
2．检查当前进程情况
切换“任务管理器”到进程，查找有无可疑的应用程序或后台进程在运行。用进程管理器查看进程时里面会有一项taskmgr，这个是进程管理器自身的进程。如果正在运行windows更新会有一项wuauclt.exe进程。对于拿不准的进程或者说不知道是服务器上哪个应用程序开启的进程，可以在网络上搜索一下该进程名加以确定[进程知识库：http://www.dofile.com/]。通常的后门如果有进程的话，一般会取一个与系统进程类似的名称，如svch0st.exe，此时要仔细辨别[通常迷惑手段是变字母o为数字0，变字母l为数字1]
3．检查系统帐号
打开计算机管理，展开本地用户和组选项，查看组选项，查看administrators组是否添加有新帐号，检查是否有克隆帐号。
4．查看当前端口开放情况
使用activeport，查看当前的端口连接情况，尤其是注意与外部连接着的端口情况，看是否有未经允许的端口与外界在通信。如有，立即关闭该端口并记录下该端口对应的程序并记录，将该程序转移到其他目录下存放以便后来分析。打开计算机管理==》软件环境==》正在运行任务[在此处可以查看进程管理器中看不到的隐藏进程]，查看当前运行的程序，如果有不明程序，记录下该程序的位置，打开任务管理器结束该进程，对于采用了守护进程的后门等程序可尝试结束进程树，如仍然无法结束，在注册表中搜索该程序名，删除掉相关键值，切换到安全模式下删除掉相关的程序文件。
5．检查系统服务
运行services.msc，检查处于已启动状态的服务，查看是否有新加的未知服务并确定服务的用途。对于不清楚的服务打开该服务的属性，查看该服务所对应的可执行文件是什么，如果确定该文件是系统内的正常使用的文件，可粗略放过。查看是否有其他正常开放服务依存在该服务上，如果有，可以粗略的放过。如果无法确定该执行文件是否是系统内正常文件并且没有其他正常开放服务依存在该服务上，可暂时停止掉该服务，然后测试下各种应用是否正常。对于一些后门由于采用了hook系统API技术，添加的服务项目在服务管理器中是无法看到的，这时需要打开注册表中的HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices项进行查找，通过查看各服务的名称、对应的执行文件来确定是否是后门、木马程序等。
6．查看相关日志
运行eventvwr.msc，粗略检查系统中的相关日志记录。在查看时在对应的日志记录上点右键选“属性”，在“筛选器”中设置一个日志筛选器，只选择错误、警告，查看日志的来源和具体描述信息。对于出现的错误如能在服务器常见故障排除中找到解决办法则依照该办法处理该问题，如果无解决办法则记录下该问题，详细记录下事件来源、ID号和具体描述信息，以便找到问题解决的办法。
7．检查系统文件
主要检查系统盘的exe和dll文件，建议系统安装完毕之后用dir *.exe /s >1.txt将C盘所有的exe文件列表保存下来，然后每次检查的时候再用该命令生成一份当时的列表，用fc比较两个文件，同样如此针对dll文件做相关检查。需要注意的是打补丁或者安装软件后重新生成一次原始列表。检查相关系统文件是否被替换或系统中是否被安装了木马后门等恶意程序。必要时可运行一次杀毒程序对系统盘进行一次扫描处理。
8．检查安全策略是否更改
打开本地连接的属性，查看“常规”中是否只勾选了“TCP/IP协议”，打开“TCP/IP”协议设置，点“高级”==》“选项”，查看“IP安全机制”是否是设定的IP策略，查看“TCP/IP”筛选允许的端口有没有被更改。打开“管理工具”=》“本地安全策略”，查看目前使用的IP安全策略是否发生更改。
9．检查目录权限
重点查看系统目录和重要的应用程序权限是否被更改。需要查看的目录有c:;c:winnt;
C:winntsystem32;c:winntsystem32inetsrv;c:winntsystem32inetsrvdata;c:documents and
Settings;然后再检查serv-u安装目录，查看这些目录的权限是否做过变动。检查system32下的一些重要文件是否更改过权限，包括：cmd，net，ftp，tftp，cacls等文件。
10．检查启动项
主要检查当前的开机自启动程序。可以使用AReporter来检查开机自启动的程序。
发现入侵时的应对措施
对于即时发现的入侵事件，以下情况针对系统已遭受到破坏情况下的处理，系统未遭受到破坏或暂时无法察觉到破坏先按照上述的检查步骤检查一遍后再酌情考虑以下措施。系统遭受到破坏后应立即采取以下措施：
视情况严重决定处理的方式，是通过远程处理还是通过实地处理。如情况严重建议采用实地处理。如采用实地处理，在发现入侵的第一时间通知机房关闭服务器，待处理人员赶到机房时断开网线，再进入系统进行检查。如采用远程处理，如情况严重第一时间停止所有应用服务，更改IP策略为只允许远程管理端口进行连接然后重新启动服务器，重新启动之后再远程连接上去进行处理，重启前先用AReporter检查开机自启动的程序。然后再进行安全检查。
以下处理措施针对用户站点被入侵但未危及系统的情况，如果用户要求加强自己站点的安全性，可按如下方式加固用户站点的安全：
站点根目录----只给administrator读取权限，权限继承下去。
wwwroot ------给web用户读取、写入权限。高级里面有删除子文件夹和文件权限
logfiles------给system写入权限。
database------给web用户读取、写入权限。高级里面没有删除子文件夹和文件权限
如需要进一步修改，可针对用户站点的特性对于普通文件存放目录如html、js、图片文件夹只给读取权限，对asp等脚本文件给予上表中的权限。另外查看该用户站点对应的安全日志，找出漏洞原因，协助用户修补程序漏洞。
数据备份和数据恢复
数据备份工作大致如下：
1． 每月备份一次系统数据。
2． 备份系统后的两周单独备份一次应用程序数据，主要包括IIS、serv-u、数据库等数据。
3． 确保备份数据的安全，并分类放置这些数据备份。因基本上采用的都是全备份方法，对于数据的保留周期可以只保留该次备份和上次备份数据两份即可。
数据恢复工作：
1．系统崩溃或遇到其他不可恢复系统正常状态情况时，先对上次系统备份后发生的一些更改事件如应用程序、安全策略等的设置做好备份，恢复完系统后再恢复这些更改。
2．应用程序等出错采用最近一次的备份数据恢复相关内容。
服务器性能优化
1 服务器性能优化
系统性能优化
整理系统空间:
删除系统备份文件，删除驱动备份，刪除不用的輸入法，刪除系统的帮助文件，卸载不常用的组件。最小化C盘文件。
性能优化：
删除多余的开机自动运行程序；减少预读取，减少进度条等待时间；让系统自动关闭停止响应的程序；禁用错误报告,但在发生严重错误时通知；关闭自动更新,改为手动更新计算机；启用硬件和DirectX加速；禁用关机事件跟踪；禁用配置服务器向导； 减少开机磁盘扫描等待时间；将处理器计划和内存使用都调到应用程序上；调整虚拟内存；内存优化；修改cpu的二级缓存；修改磁盘缓存。
IIS性能优化
1、调整IIS高速缓存
HKEY_LOCAL_MACHINE\ System\CurrentControlSet\Services\InetInfoParametersMemoryCacheSize
MemoryCacheSize的范围是从0道4GB，缺省值为3072000（3MB）。一般来说此值最小应设为服务器内存的10%。IIS通过高速缓存系统句柄、目录列表以及其他常用数据的值来提高系统的性能。这个参数指明了分配给高速缓存的内存大小。如果该值为0，那就意味着“不进行任何高速缓存”。在这种情况下系统的性能可能会降低。如果你的服务器网络通讯繁忙，并且有足够的内存空间，可以考虑增大该值。必须注意的是修改注册表后，需要重新启动才能使新值生效。
2．不要关闭系统服务: “Protected Storage”
3．对访问流量进行限制
A.对站点访问人数进行限制
B.站点带宽限制。保持HTTP连接。
C.进程限制, 输入CPU的耗用百分比
4．提高IIS的处理效率
应用程序设置”处的“应用程序保护”下拉按钮，从弹出的下拉列表中，选中“低（IIS进程）”选项,IIS服务器处理程序的效率可以提高20%左右。但此设置会带来严重的安全问题，不值得推荐。
5．将IIS服务器设置为独立的服务器
A.提高硬件配置来优化IIS性能硬盘：硬盘空间被NT和IIS服务以如下两种方式使用：一种是简单地存储数据；另一种是作为虚拟内存使用。如果使用Ultra2的SCSI硬盘，可以显著提高IIS的性能。
B.可以把NT服务器的页交换文件分布到多个物理磁盘上，注意是多个“物理磁盘”，分布在多个分区上是无效的。另外，不要将页交换文件放在与WIndows NT引导区相同的分区中。
C.使用磁盘镜像或磁盘带区集可以提高磁盘的读取性能。
D.最好把所有的数据都储存在一个单独的分区里。然后定期运行磁盘碎片整理程序以保证在存储Web服务器数据的分区中没有碎片。使用NTFS有助于减少碎片。推荐使用Norton的Speeddisk，可以很快的整理NTFS分区。
6．起用HTTP压缩
HTTP压缩是在Web服务器和浏览器间传输压缩文本内容的方法。HTTP压缩采用通用的压缩算法如gzip等压缩HTML、JavaScript或CSS文件。可使用pipeboost进行设置。
7．起用资源回收
使用IIS5Recycle定时回收进程资源。
服务器常见故障排除
1． ASP“请求的资源正在使用中”的解决办法：
该问题一般与杀毒软件有关，在服务器上安装个人版杀毒软件所致。出现这种错误可以通过卸载杀毒软件解决，也可尝试重新注册vbscript.dll和jscript.dll来解决，在命令行下运行：regsvr32 vbscript.dll 和regsvr32 jscript.dll即可。
2．ASP500错误解决办法：
首先确定该问题是否是单一站点存在还是所有站点存在，如果是单一站点存在该问题，则是网站程序的问题，可打开该站点的错误提示，把IE的“显示友好HTTP错误”信息取消，查看具体错误信息，然后对应修改相关程序。如是所有站点存在该问题，并且HTML页面没有出现该问题，相关日志出现“服务器无法加载应用程序‘/LM/W3SVC/1/ROOT‘。错误是 ‘不支持此接口‘”。那十有八九是服务器系统中的ASP相关组件出现了问题，重新启动IIS服务，尝试是否可以解决该问题，无法解决重新启动系统尝试是否可解决该问题，如无法解决可重新修复一下ASP组件：
首先删除com组件中的关于IIS的三个东西，需要先将属性里的高级中“禁止删除”的勾选取消。
命令行中，输入“cd winnt\system32\inetsrv”字符串命令，单击回车键后，再执行“rundll32 wamreg.dll,CreateIISPackage”命令，接着再依次执行“regsvr32 asptxn.dll”命令、“iisreset”命令，最后重新启动一下计算机操作系统，这样IIS服务器就能重新正确响应ASP脚本页面了。
3. IIS出现105错误：
在系统日志中“服务器无法注册管理工具发现信息。管理工具可能无法看到此服务器” 来源：w3svc ID：105解决办法：
在网络连接中重新安装netbios协议即可，安装完成之后取消掉勾选。
4．MySQL服务无法启动【错误代码1067】的解决方法
启动MySQL服务时都会在中途报错！内容为：在 本地计算机 无法启动MySQL服务 错误1067：进程意外中止。
解决方法：查找Windows目录下的my.ini文件，编辑内容（如果没有该文件，则新建一个），至少包含
basedir，datadir这两个基本的配置。
[mysqld]
# set basedir to installation path, e.g., c:/mysql
# 设置为MYSQL的安装目录
basedir=D:/www/WebServer/MySQL
# set datadir to location of data directory,
# e.g., c:/mysql/data or d:/mydata/data
# 设置为MYSQL的数据目录
datadir=D:/www/WebServer/MySQL/data
注意，我在更改系统的temp目录之后没有对更改后的目录给予system用户的权限也出现过该问题。
5．DllHotst进程消耗cpu 100%的问题
服务器正常CPU消耗应该在75%以下，而且CPU消耗应该是上下起伏的，出现这种问题的服务器，CPU会突然一直处100%的水平，而且不会下降。
查看任务管理器，可以发现是DLLHOST.EXE消耗了所有的CPU空闲时间，管理员在这种情况下，只好重新启动IIS服务，奇怪的是，重新启动IIS服务后一切正常，但可能过了一段时间后，问题又再次出现了。
直接原因：
有一个或多个ACCESS数据库在多次读写过程中损坏， MDAC系统在写入这个损坏的ACCESS文件时，ASP线程处于BLOCK状态，结果其他线程只能等待，IIS被死锁了，全部的CPU时间都消耗在DLLHOST中。
解决办法：
把数据库下载到本地，然后用ACCESS打开，进行修复操作。再上传到网站。如果还不行，只有新建一个ACCESS数据库，再从原来的数据库中导入所有表和记录。然后把新数据库上传到服务器上。
6．Windows installer出错：
在安装软件的时候出现“不能访问windows installer 服务。可能你在安全模式下运行 windows ，或者windows installer 没有正确的安装。请和你的支持人员联系以获得帮助” 如果试图重新安装InstMsiW.exe，提示：“指定的服务已存在”。
解决办法：
关于installer的错误，可能还有其他错误提示，可尝试以下解决办法：
首先确认是否是权限方面的问题，提示信息会提供相关信息，如果是权限问题，给予winnt目录everyone权限即可[安装完把权限改回来即可]。如果提示的是上述信息，可以尝试以下解决方法：运行“msiexec /unregserver”卸载Windows Installer服务，如果无法卸载可使用SRVINSTW进行卸载，然后下载windows installer的安装程序[地址：http://www.newhua.com/cfan/200410/instmsiw.exe]，用winrar解压该文件，在解压缩出来的文件夹里面找到msi.inf文件，右键单击选择“安装”，重新启动系统后运行“msiexec /regserver”重新注册Windows Installer服务。
服务器管理
服务器日常管理安排
服务器管理工作必须规范严谨，尤其在不是只有一位管理员的时候，日常管理工作包括：
1．服务器的定时重启。每台服务器保证每周重新启动一次。重新启动之后要进行复查，确认服务器已经启动了，确认服务器上的各项服务均恢复正常。对于没有启动起来或服务未能及时恢复的情况要采取相应措施。前者可请求托管商的相关工作人员帮忙手工重新启动，必要时可要求让连接上显示器确认是否已启动起来；后者需要远程登陆上服务器进行原因查找并根据原因尝试恢复服务。
2．服务器的安全、性能检查，每服务器至少保证每周登陆两次粗略检查两次。每次检查的结果要求进行登记在册。如需要使用一些工具进行检查，可直接在e:tools中查找到相关工具。对于临时需要从网络上找的工具，首先将IE的安全级别调整到高，然后在网络上进行查找，不要去任何不明站点下载，尽量选择如华军、天空等大型网站进行下载，下载后确保当前杀毒软件已升级到最新版本，升级完毕后对下载的软件进行一次杀毒，确认正常后方能使用。对于下载的新工具对以后维护需要使用的话，将该工具保存到e:tools下，并在该目录中的readme.txt文件中做好相应记录，记录该工具的名称，功能，使用方法。并且在该文件夹中的rar文件夹中保留一份该工具的winrar压缩文件备份，设置解压密码。
3．服务器的数据备份工作，每服务器至少保证每月备份一次系统数据，系统备份采用ghost方式，对于ghost文件固定存放在e:ghost文件目录下，文件名以备份的日期命名，如0824.gho，每服务器至少保证每两周备份一次应用程序数据，每服务器至少保证每月备份一次用户数据，备份的数据固定存放在e:databak文件夹，针对各种数据再建立对应的子文件夹，如serv-u用户数据放在该文件夹下的servu文件夹下，iis站点数据存放在该文件夹下的iis文件夹下。
4．服务器的监控工作，每天正常工作期间必须保证监视所有服务器状态，一旦发现服务停止要及时采取相应措施。对于发现服务停止，首先检查该服务器上同类型的服务是否中断，如所有同类型的服务都已中断及时登陆服务器查看相关原因并针对该原因尝试重新开启对应服务。
5．服务器的相关日志操作，每服务器保证每月对相关日志进行一次清理，清理前对应的各项日志如应用程序日志、安全日志、系统日志等都应选择“保存日志”。所有的日志文件统一保存在e:logs下，应用程序日志保存在e:logsapp中，系统程序日志保存在e:logssys中，安全日志保存在e:logssec中。对于另外其他一些应用程序的日志，也按照这个方式进行处理，如ftp的日志保存在e:logsftp中。所有的备份日志文件都以备份的日期命名，如20050824.evt。对于不是单文件形式的日志，在对应的记录位置下建立一个以日期命名的文件夹，将这些文件存放在该文件夹中。
6．服务器的补丁修补、应用程序更新工作，对于新出的漏洞补丁，应用程序方面的安全更新一定要在发现的第一时间给每服务器打上应用程序的补丁。
7．服务器的隐患检查工作，主要包括安全隐患、性能等方面。每服务器必须保证每月重点的单独检查一次。每次的检查结果必须做好记录。
8．不定时的相关工作，每服务器由于应用软件更改或其他某原因需要安装新的应用程序或卸载应用程序等操作必须知会所有管理员。
9．定期的管理密码更改工作，每服务器保证至少每两个月更改一次密码，对于SQL服务器由于如果SQL采用混合验证更改系统管理员密码会影响数据库的使用则不予修改。
相关建议：对每服务器设立一个服务器管理记载，管理员每次登陆系统都应该在此中进行详细的记录，共需要记录以下几项：登入时间，退出时间，登入时服务器状态[包含不明进程记录，端口连接状态，系统帐号状态，内存/CPU状态]，详细操作情况记录[详细记录下管理员登陆系统后的每一步操作]。无论是远程登陆操作还是物理接触操作都要进行记录，然后将这些记录按照各服务器归档，按时间顺序整理好文档。
对于数据备份、服务器定时重启等操作建议将服务器分组，例如分成四组，每月的周六晚备份一组服务器的数据，每周的某一天定时去重启一组的服务器，这样对于工作的开展比较方便，这些属于固定性的工作。另外有些工作可以同步进行，如每月一次的数据备份、安全检查和管理员密码修改工作，先进行数据备份，然后进行安全检查，再修改密码。对于需要的即时操作如服务器补丁程序的安装、服务器不定时的故障维护等工作，这些属于即时性的工作，但是原则上即时性的工作不能影响固定工作的安排。
管理员日常注意事项
在服务器管理过程中，管理员需要注意以下事项：
1．对自己的每一次操作应做好详细记录，具体见上述建议，以便于后来检查。
2．努力提高自身水平，加强学习。
禁用Scripting Host 防范网页的黑手
[ 2007-03-25 03:36:09 | 作者: sun ]
来自网络的攻击手段越来越多了，一些恶意网页会利用软件或系统操作平台等的安全漏洞，通过执行嵌入在网页HTML超文本标记语言内的Java Applet小应用程序、javaScript脚本语言程序、ActiveX软件部件交互技术支持可自动执行的代码程序，
强行修改用户操作系统的注册表及系统实用配置程序，从而达到非法控制系统资源、破坏数据、格式化硬盘、感染木马程序的目的。
目前来自网页黑手的攻击分为两种：一种是通过编辑的脚本程序修改IE浏览器；另外一种是直接破坏Windows系统。前者一般会修改IE浏览器的标题栏、默认主页等，关于此方面的文章比较多。下面就来介绍一些针对破坏Windows系统的网页黑手的防范方法。
黑手之一 格式化硬盘
这是一种非常危险的网页黑手，它会通过IE执行ActiveX部件并调用Format.com或Deltree.exe将硬盘格式化或者删除文件夹。在感染此类破坏程序后，会出现一个信息提示框，提示：“当前的页面含有不完全的ActiveX，可能会对你造成危害，是否执行？yes，no”，如果单击“是”，那么硬盘就会被迅速格式化，而这一切都是在后台运行的，不易被察觉。
防范的方法是：将本机的Format.com或Deltree.exe命令改名字。另外，对于莫名出现的提示问题，不要轻易回答“是”。可以按下［Ctrl+Alt+Del］组合键在弹出的“关闭程序”窗口中，将不能确认的进程中止执行。
黑手之二 耗尽系统资源
这种网页黑手会执行一段Java Script代码并产生一个死循环，以至不断消耗本机系统资源，最后导致系统死机。它们会出现在一些恶意网站或者邮件的附件中，只要打开附件程序后，屏幕上就会出现无数个IE窗口，最后只有重新启动计算机。
防范的方法是：不要轻易进入不了解的网站，也不要随便打开陌生人发来的E-mail中的附件，比如扩展名是VBS、HTML、HTM、DOC、EXE的文件。
黑手之三 非法读取文件
此类黑手会通过对ActiveX、JavaScript和WebBrowser control的调用来达到对本地文件进行读取。它还可以利用浏览器漏洞实现对本地文件的读取，避免此类攻击可以关闭禁用浏览器的JavaScript功能。
黑手之四 获取控制权限
此类黑手会利用IE执行Actives时候发生，虽然说IE提供对于“下载已签名的ActiveX控件”进行提示的功能，但是恶意攻击代码会绕过IE，在无需提示的情况下下载和执行ActiveX控件程序，而这时恶意攻击者就会取得对系统的控制权限。如果要屏蔽此类黑手，可以打开注册表编辑器，然后展开如下分支：
解决方法是在注册表分支HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerActiveX Compatibility 下为Active Setup controls创建一个基于CLSID的新键值 {6E449683_C509_11CF_AAFA_00AA00 B6015C}，然后在新键值下创建一个REG_DWORD 类型的键Compatibility，并设定键值为0x00000400即可。
对于来自网上的种种攻击，在提高防范意识的同时，还需做好预防工作。
1.设定安全级别
鉴于很多攻击是通过包含有恶意脚本实现攻击，可以提高IE的级别。在IE中执行“工具/Internet选项”命令，然后选择“安全”选项卡，选择“Internet”后单击［自定义级别］按钮，在“安全设置”对话框中，将“ActiveX控件和插件”、“脚本”中的相关选项全部选择“禁用”，另外设定安全级别为“高”。需要注意的是，如果选择了“禁用”，一些需要使用ActiveX和脚本的网站可能无法正常显示。
2.过滤指定网页
对于一些包含有恶意代码的网页，可以将其屏蔽，执行“工具/Internet选项”命令，选择内容选项卡，在“分级审查”中单击［启用］按钮，打开“分级审查”对话框，选择“许可站点”选项卡，输入需要屏蔽网址，然后单击［从不］按钮，再单击［确定］按钮。 3.卸载或升级WSH
有些利用VBScript编制的病毒、蠕虫病毒，比如 “I LOVE YOU”和“Newlove”，它们都包含了一个以 VBS为后缀名的附件，打开附件后，用户就会被感染。这些病毒会利用Windows内嵌的 Windows Scripting Host 即WSH进行启动和运行。也就是说，如果将WSH禁用，隐藏在VB脚本中的病毒就无法被激活了。
在Windows 98中禁用WSH，打开“添加/删除”程序，选择“Windows 设置/附件”，并单击“详细资料”，取消“Windows Scripting Host”选项，完成后单击［确定］按钮即可。
在Windows 2000中禁用WSH的方法是，双击“我的电脑”图标，然后执行“工具/文件夹选项”命令，选择“文件类型”选项卡，找到“VBS VBScript Script File”选项，并单击［删除］按钮，最后单击［确定］即可。
另外，还可以升级WSH 5.6，IE浏览器可以被恶意脚本修改，就是因为IE 5.5以前版本中的WSH允许攻击者利用JavaScript中的Getobject函数以及htmlfilr ActiveX对象读取浏览者的注册表，可以在http://www.microsoft.com/下载最新版本的WSH。
4.禁用远程注册表服务
在Windows 2000/XP中，可以点击“控制面板/管理工具/服务”，用鼠标右键单击“Remote Registry”，然后在弹出的快捷方式中选择“属性”命令，在“常规”选项卡中单击［停止］按钮，这样可以拦截部分恶意脚本代码。
5.安装防火墙和杀毒软件
安装防火墙和杀毒软件可以拦截部分恶意代码程序，比如可以安装瑞星杀毒软件。
种植木马的方法及防范策略
[ 2007-03-25 03:35:57 | 作者: sun ]
相信很多朋友都听说过木马程序，总觉得它很神秘、很高难，但事实上随着木马软件的智能化，很多骇客都能轻松达到攻击的目的。今天，笔者就以最新的一款木马程序——黑洞2004，从种植、使用、隐藏、防范四个方面来为网络爱好者介绍一下木马的特性。需要提醒大家的是，在使用木马程序的时候，请先关闭系统中的病毒防火墙，因为杀毒软件会把木马作为病毒的一种进行查杀。
操作步骤:
一、种植木马
现在网络上流行的木马基本上都采用的是C/S 结构（客户端/服务端）。你要使用木马控制对方的电脑，首先需要在对方的的电脑中种植并运行服务端程序，然后运行本地电脑中的客户端程序对对方电脑进行连接进而控制对方电脑。
为了避免不熟悉木马的用户误运行服务端，现在流行的木马都没有提供单独的服务端程序，而是通过用户自己设置来生成服务端，黑洞2004也是这样。首先运行黑洞2004，点击“功能/生成服务端”命令，弹出“服务端配置”界面。由于黑洞2004采用了反弹技术（请参加小知识），首先单击旁边的“查看”按钮，在弹出的窗口中设置新的域名，输入你事先申请空间的域名和密码，单击“域名注册”，在下面的窗口中会反映出注册的情况。域名注册成功以后，返回“服务端配置”界面，填入刚刚申请的域名，以及“上线显示名称”、“注册表启动名称”等项目。为了迷惑他人，可以点“更改服务端图标”按钮为服务端选择一个图标。所有的设置都完成后，点击“生成EXE型服务端”就生成了一个服务端。在生成服务端的同时，软件会自动使用UPX为服务端进行压缩，对服务端起到隐藏保护的作用。
服务端生成以后，下一步要做的是将服务端植入别人的电脑？常见的方法有，通过系统或者软件的漏洞入侵别人的电脑把木马的服务端植入其的电脑；或者通过Email夹带，把服务端作为附件寄给对方；以及把服务端进行伪装后放到自己的共享文件夹，通过P2P软件（比如PP点点通、百宝等），让网友在毫无防范中下载并运行服务端程序。
由于本文主要面对普通的网络爱好者，所以就使用较为简单的Email夹带，为大家进行讲解。我们使用大家经常会看到的Flash动画为例，建立一个文件夹命名为“好看的动画”，在该文件夹里边再建立文件夹“动画.files”，将木马服务端软件放到该文件夹中假设名称为“abc.exe”，再在该文件夹内建立flash文件，在flash文件的第1帧输入文字“您的播放插件不全，单击下边的按钮，再单击打开按钮安装插件”，新建一个按钮组件，将其拖到舞台中，打开动作面板，在里边输入“on (press) { getURL("动画.files/abc.exe"); }”，表示当单击该按钮时执行abc这个文件。在文件夹“好看的动画”中新建一个网页文件命名为“动画.htm”，将刚才制作的动画放到该网页中。看出门道了吗？平常你下载的网站通常就是一个.html文件和一个结尾为.files的文件夹，我们这么构造的原因也是用来迷惑打开者，毕竟没有几个人会去翻.files文件夹。现在我们就可以撰写一封新邮件了，将文件夹“好看的动画”压缩成一个文件，放到邮件的附件中，再编写一个诱人的主题。只要对方深信不疑的运行它，并重新启动系统，服务端就种植成功了。
二、使用木马
成功的给别人植入木马服务端后，就需要耐心等待服务端上线。由于黑洞2004采用了反连接技术，所以服务端上线后会自动和客户端进行连接，这时，我们就可以操控客户端对服务端进行远程控制。在黑洞2004下面的列表中，随便选择一台已经上线的电脑，然后通过上面的命令按钮就可以对这台电脑进行控制。下面就简单的介绍一下这些命令的意义。
文件管理：服务端上线以后，你可以通过“文件管理”命令对服务端电脑中的文件进行下载、新建、重命名、删除等操作。可以通过鼠标直接把文件或文件夹拖放到目标文件夹，并且支持断点传输。简单吧？
进程管理：查看、刷新、关闭对方的进程，如果发现有杀毒软件或者防火墙，就可以关闭相应的进程，达到保护服务器端程序的目的。
窗口管理：管理服务端电脑的程序窗口，你可以使对方窗口中的程序最大化、最小化、正常关闭等操作，这样就比进程管理更灵活。你可以搞很多恶作剧，比如让对方的某个窗口不停的最大化和最小化。
视频监控和语音监听：如果远程服务端电脑安装有USB摄像头，那么可以通过它来获取图像，并可直接保存为Media Play可以直接播放的Mpeg文件；需要对方有麦克风的话，还可以听到他们的谈话，恐怖吧？
除了上面介绍的这些功能以外，还包括键盘记录、重启关机、远程卸载、抓屏查看密码等功能，操作都非常简单，明白了吧？做骇客其实很容易。
三、隐藏
随着杀毒软件病毒库的升级，木马会很快被杀毒软件查杀，所以为了使木马服务端辟开杀毒软件的查杀，长时间的隐藏在别人的电脑中，在木马为黑客提供几种可行的办法。
1.木马的自身保护
就像前面提到的，黑洞2004在生成服务端的时候，用户可以更换图标，并使用软件UPX对服务端自动进行压缩隐藏。
2.捆绑服务端
用户通过使用文件捆绑器把木马服务端和正常的文件捆绑在一起，达到欺骗对方的目的。文件捆绑器有广外文件捆绑器2002、万能文件捆绑器、exeBinder、Exe Bundle等。
3.制做自己的服务端
上面提到的这些方法虽然能一时瞒过杀毒软件，但最终还是不能逃脱杀毒软件的查杀，所以若能对现有的木马进行伪装，让杀毒软件无法辨别，则是个治本的方法。可以通过使用压缩EXE和DLL文件的压缩软件对服务端进行加壳保护。例如Step1中的UPX就是这样一款压缩软件，但默认该软件是按照自身的设置对服务端压缩的，因此得出的结果都相同，很难长时间躲过杀毒软件；而自己对服务端进行压缩，就可以选择不同的选项，压缩出与众不同的服务端来，使杀毒软件很难判断。下面我就以冰河为例，为大家简单的讲解一下脱壳（解压）、加壳（压缩）的过程。
如果我们用杀毒软件对冰河进行查杀，一定会发现2个病毒，一个是冰河的客户端，另一个是服务端。使用软件“PEiD”查看软件的服务端是否已经被作者加壳。
现在，我们就需要对软件进行脱壳，也就是一种解压的过程。这里我使用了“UPXUnpack”，选择需要的文件后，点击“解压缩”就开始执行脱壳。
脱壳完成后，我们需要为服务端加一个新壳，加壳的软件很多，比如：ASPack、ASProtect、UPXShell、Petite等。这里以“ASPack”为例，点击“打开”按钮，选择刚刚脱壳的服务端程序，选择完成后ASPack会自动为服务端进行加壳。再次用杀毒软件对这个服务端进行查杀，发现其已经不能识别判断了。如果你的杀毒软件依旧可以查杀，你还可以使用多个软件对服务端进行多次加壳。笔者在使用Petite和ASPack对服务端进行2次加壳后，试用了多种杀毒软件都没有扫描出来。现在网络中流行的很多XX版冰河，就是网友通过对服务端进行修改并重新加壳后制做出来的。
四、防范
防范重于治疗，在我们的电脑还没有中木马前，我们需要做很多必要的工作，比如：安装杀毒软件和网络防火墙；及时更新病毒库以及系统的安全补丁；定时备份硬盘上的文件；不要运行来路不明的软件和打开来路不明的邮件。
最后笔者要特别提醒大家，木马除了拥有强大的远程控制功能外，还包括极强的破坏性。我们学习它，只是为了了解它的技术与方法，而不是用于盗窃密码等破坏行为，希望大家好自为之。
小知识：反弹技术，该技术解决了传统的远程控制软件不能访问装有防火墙和控制局域网内部的远程计算机的难题。反弹端口型软件的原理是，客户端首先登录到FTP服务器，编辑在木马软件中预先设置的主页空间上面的一个文件，并打开端口监听，等待服务端的连接，服务端定期用HTTP协议读取这个文件的内容，当发现是客户端让自己开始连接时，就主动连接，如此就可完成连接工作。因此在互联网上可以访问到局域网里通过 NAT （透明代理）代理上网的电脑，并且可以穿过防火墙。与传统的远程控制软件相反，反弹端口型软件的服务端会主动连接客户端，客户端的监听端口一般开为80（即用于网页浏览的端口），这样，即使用户在命令提示符下使用“netstat -a”命令检查自己的端口，发现的也是类似“TCPUserIP:3015ControllerIP：httpESTABLISHED”的情况，稍微疏忽一点你就会以为是自己在浏览网页，而防火墙也会同样这么认为的。于是，与一般的软件相反，反弹端口型软件的服务端主动连接客户端，这样就可以轻易的突破防火墙的限制
操作步骤:
一、种植木马
现在网络上流行的木马基本上都采用的是C/S 结构（客户端/服务端）。你要使用木马控制对方的电脑，首先需要在对方的的电脑中种植并运行服务端程序，然后运行本地电脑中的客户端程序对对方电脑进行连接进而控制对方电脑。
为了避免不熟悉木马的用户误运行服务端，现在流行的木马都没有提供单独的服务端程序，而是通过用户自己设置来生成服务端，黑洞2004也是这样。首先运行黑洞2004，点击“功能/生成服务端”命令，弹出“服务端配置”界面。由于黑洞2004采用了反弹技术（请参加小知识），首先单击旁边的“查看”按钮，在弹出的窗口中设置新的域名，输入你事先申请空间的域名和密码，单击“域名注册”，在下面的窗口中会反映出注册的情况。域名注册成功以后，返回“服务端配置”界面，填入刚刚申请的域名，以及“上线显示名称”、“注册表启动名称”等项目。为了迷惑他人，可以点“更改服务端图标”按钮为服务端选择一个图标。所有的设置都完成后，点击“生成EXE型服务端”就生成了一个服务端。在生成服务端的同时，软件会自动使用UPX为服务端进行压缩，对服务端起到隐藏保护的作用。
服务端生成以后，下一步要做的是将服务端植入别人的电脑？常见的方法有，通过系统或者软件的漏洞入侵别人的电脑把木马的服务端植入其的电脑；或者通过Email夹带，把服务端作为附件寄给对方；以及把服务端进行伪装后放到自己的共享文件夹，通过P2P软件（比如PP点点通、百宝等），让网友在毫无防范中下载并运行服务端程序。
由于本文主要面对普通的网络爱好者，所以就使用较为简单的Email夹带，为大家进行讲解。我们使用大家经常会看到的Flash动画为例，建立一个文件夹命名为“好看的动画”，在该文件夹里边再建立文件夹“动画.files”，将木马服务端软件放到该文件夹中假设名称为“abc.exe”，再在该文件夹内建立flash文件，在flash文件的第1帧输入文字“您的播放插件不全，单击下边的按钮，再单击打开按钮安装插件”，新建一个按钮组件，将其拖到舞台中，打开动作面板，在里边输入“on (press) { getURL("动画.files/abc.exe"); }”，表示当单击该按钮时执行abc这个文件。在文件夹“好看的动画”中新建一个网页文件命名为“动画.htm”，将刚才制作的动画放到该网页中。看出门道了吗？平常你下载的网站通常就是一个.html文件和一个结尾为.files的文件夹，我们这么构造的原因也是用来迷惑打开者，毕竟没有几个人会去翻.files文件夹。现在我们就可以撰写一封新邮件了，将文件夹“好看的动画”压缩成一个文件，放到邮件的附件中，再编写一个诱人的主题。只要对方深信不疑的运行它，并重新启动系统，服务端就种植成功了。
二、使用木马
成功的给别人植入木马服务端后，就需要耐心等待服务端上线。由于黑洞2004采用了反连接技术，所以服务端上线后会自动和客户端进行连接，这时，我们就可以操控客户端对服务端进行远程控制。在黑洞2004下面的列表中，随便选择一台已经上线的电脑，然后通过上面的命令按钮就可以对这台电脑进行控制。下面就简单的介绍一下这些命令的意义。
文件管理：服务端上线以后，你可以通过“文件管理”命令对服务端电脑中的文件进行下载、新建、重命名、删除等操作。可以通过鼠标直接把文件或文件夹拖放到目标文件夹，并且支持断点传输。简单吧？
进程管理：查看、刷新、关闭对方的进程，如果发现有杀毒软件或者防火墙，就可以关闭相应的进程，达到保护服务器端程序的目的。
窗口管理：管理服务端电脑的程序窗口，你可以使对方窗口中的程序最大化、最小化、正常关闭等操作，这样就比进程管理更灵活。你可以搞很多恶作剧，比如让对方的某个窗口不停的最大化和最小化。
视频监控和语音监听：如果远程服务端电脑安装有USB摄像头，那么可以通过它来获取图像，并可直接保存为Media Play可以直接播放的Mpeg文件；需要对方有麦克风的话，还可以听到他们的谈话，恐怖吧？
除了上面介绍的这些功能以外，还包括键盘记录、重启关机、远程卸载、抓屏查看密码等功能，操作都非常简单，明白了吧？做骇客其实很容易。
三、隐藏
随着杀毒软件病毒库的升级，木马会很快被杀毒软件查杀，所以为了使木马服务端辟开杀毒软件的查杀，长时间的隐藏在别人的电脑中，在木马为黑客提供几种可行的办法。
1.木马的自身保护
就像前面提到的，黑洞2004在生成服务端的时候，用户可以更换图标，并使用软件UPX对服务端自动进行压缩隐藏。
2.捆绑服务端
用户通过使用文件捆绑器把木马服务端和正常的文件捆绑在一起，达到欺骗对方的目的。文件捆绑器有广外文件捆绑器2002、万能文件捆绑器、exeBinder、Exe Bundle等。
3.制做自己的服务端
上面提到的这些方法虽然能一时瞒过杀毒软件，但最终还是不能逃脱杀毒软件的查杀，所以若能对现有的木马进行伪装，让杀毒软件无法辨别，则是个治本的方法。可以通过使用压缩EXE和DLL文件的压缩软件对服务端进行加壳保护。例如Step1中的UPX就是这样一款压缩软件，但默认该软件是按照自身的设置对服务端压缩的，因此得出的结果都相同，很难长时间躲过杀毒软件；而自己对服务端进行压缩，就可以选择不同的选项，压缩出与众不同的服务端来，使杀毒软件很难判断。下面我就以冰河为例，为大家简单的讲解一下脱壳（解压）、加壳（压缩）的过程。
如果我们用杀毒软件对冰河进行查杀，一定会发现2个病毒，一个是冰河的客户端，另一个是服务端。使用软件“PEiD”查看软件的服务端是否已经被作者加壳。
现在，我们就需要对软件进行脱壳，也就是一种解压的过程。这里我使用了“UPXUnpack”，选择需要的文件后，点击“解压缩”就开始执行脱壳。
脱壳完成后，我们需要为服务端加一个新壳，加壳的软件很多，比如：ASPack、ASProtect、UPXShell、Petite等。这里以“ASPack”为例，点击“打开”按钮，选择刚刚脱壳的服务端程序，选择完成后ASPack会自动为服务端进行加壳。再次用杀毒软件对这个服务端进行查杀，发现其已经不能识别判断了。如果你的杀毒软件依旧可以查杀，你还可以使用多个软件对服务端进行多次加壳。笔者在使用Petite和ASPack对服务端进行2次加壳后，试用了多种杀毒软件都没有扫描出来。现在网络中流行的很多XX版冰河，就是网友通过对服务端进行修改并重新加壳后制做出来的。
四、防范
防范重于治疗，在我们的电脑还没有中木马前，我们需要做很多必要的工作，比如：安装杀毒软件和网络防火墙；及时更新病毒库以及系统的安全补丁；定时备份硬盘上的文件；不要运行来路不明的软件和打开来路不明的邮件。
最后笔者要特别提醒大家，木马除了拥有强大的远程控制功能外，还包括极强的破坏性。我们学习它，只是为了了解它的技术与方法，而不是用于盗窃密码等破坏行为，希望大家好自为之。
小知识：反弹技术，该技术解决了传统的远程控制软件不能访问装有防火墙和控制局域网内部的远程计算机的难题。反弹端口型软件的原理是，客户端首先登录到FTP服务器，编辑在木马软件中预先设置的主页空间上面的一个文件，并打开端口监听，等待服务端的连接，服务端定期用HTTP协议读取这个文件的内容，当发现是客户端让自己开始连接时，就主动连接，如此就可完成连接工作。因此在互联网上可以访问到局域网里通过 NAT （透明代理）代理上网的电脑，并且可以穿过防火墙。与传统的远程控制软件相反，反弹端口型软件的服务端会主动连接客户端，客户端的监听端口一般开为80（即用于网页浏览的端口），这样，即使用户在命令提示符下使用“netstat -a”命令检查自己的端口，发现的也是类似“TCPUserIP:3015ControllerIP：httpESTABLISHED”的情况，稍微疏忽一点你就会以为是自己在浏览网页，而防火墙也会同样这么认为的。于是，与一般的软件相反，反弹端口型软件的服务端主动连接客户端，这样就可以轻易的突破防火墙的限制
社会工程学：一个行骗游戏的新玩法
[ 2007-03-25 03:35:43 | 作者: sun ]
在今天的计算机犯罪领域中，罪犯不需要借助英特网进入，他们只要通过简单的询问就能获得信息。当心友好的内部人员或是职务上看起来是外部的人员，他们可能会利用你的好心或天真来获得他们要的东西。举几个例子来说明吧…
一位部门秘书接到一个电话,"我是Josie Bass,有什么能帮您的吗?"
“你好，我是计算机中心的Martin White,我们认为可能有人入侵了文件服务器，我能和你们技术主管谈谈吗?”
“现在是周五下午，这里只有我一个人 。”Josie说。
“你的工作怎么样，Josie？”
“还好，你呢？”
深呼一口气，“不算太坏,除了现在是周五的下午而且我们要处理堆积如山的文件。总之，如我所说的，我们认为你的文件服务器受到了威胁。”
“你为什么这么认为呢？”
“你的帐号是jbass,是吗？”
“是。”
“我们在你的文件服务器上检测到了异常的通信。”
“好，你能不能具体点告诉我这是怎么回事？”
“当然,我正在搜索,但有太多文件了。”翻页的声音。“我真正担心的是,当我这样搜索时,坏人可以从你们的服务器下载并修改资料，也许你应该把你的服务器与网络断开或者修改你的系统密码。”
“Jeez,我不知道该怎么做。”
Martin叹息，“这真糟糕，入侵者可能没有完全地破坏你的系统。”手指翻动书，发出翻页的声音。“我刚才想到一件事，我正好在线，如果我有你的密码的话，只要几分钟就可查出来了。”沉重的叹息，“为什么我之前没有想到呢？持续一个星期了—看了很多小时的数字。”一番停顿后，“Ok,你的密码多少？”
“我…er….”Josie犹豫了。
“哦，好的，你不会把它拿出来，我明白了。”翻页的声音。“这也是个好办法。”停顿了一下，“这些家伙会尝试不同的方法入侵…”翻页。
“嘿，”Josie说，“我们会整晚都在这里，忘了告诉你：我的密码是jb2cats。”
“谢谢，好的，稍等。”密码输入的声音。“好了，让我仔细检查一下。”更多的输入。“找到了，好消息，他们没能进入你的系统。”停顿，“非常感谢，Josie，我们一起为这件无效的事上折腾了半夜，顺便说一声，一旦他们跳过了你的服务器，再回来就是很罕见的事了，你的系统现在状况良好。”
“谢谢，祝你有一个愉快的周末。”Josie放心地回答。
“你也是。”
“Martin White”和他的同伙将会有一个愉快的周末，从这个部门修改他们选修课程的学生等级——为了学费，当然。（译者注：这里的意思应该是Martin的课程没及格，需要重修，把成绩修改了，自然就不需要交纳学费了。）
这是一个被称为“社会工程学”的例子，一个信息技术犯罪的非技术表象描述。用其它方法表达就是“欺骗艺术家”Martin玩的一个“行骗游戏”。意思很简单：欺骗受害人，获得有用的机密信息，或采取不正当行动为攻击者获得利益。
大部分人对我们都是有益并且值得信赖的—许多人这样认为。我们想要做好邻居并有许多好邻居，社会工程师利用了人类这一合作倾向。他们经常使用胁迫和扮演角色手段，也使用老式但清晰的摄像头进行偷窥和偷听。
当被偷窃的信息增加时，我们需要知道更多信息盗窃使用的迂回方法。
例如：
一个糊涂的醉鬼会打电话给办事员请求更改他的密码。
一个似乎很重要的人扮成主管人员打电话给新来的网络管理员要求马上开通他的账户！
在机场当你输入你的电讯信用卡或ATM号码时有人会往你肩膀上看（肩窥），他们甚至使用双筒望远镜和摄象机。
一个访客会偷看你在键盘上输入的注册ID和密码。
一个自信的人打电话给电脑工作人员并要他或她在控制台输入几行指令。
一个攻击者搜集你的废纸（垃圾数据探究），寻找线索解开你的保密信息。
不同于技术的目标，社会工程学是一个古老行当的新名字，它常常成功，因为我们的文化没有赶上我们拥有的技术。一个社会工程师从一个保险箱里获得东西比获得密码要更困难，即使这个东西就在健康俱乐部的带锁储物柜里。最好的防御很简单：教育，训练和意识。
记住：密码就像一把牙刷一样，每三个月更换一次，并不让其他人使用它。（即使有人声称自己来自处理Internet上各项安全问题的专责机构）。
一位部门秘书接到一个电话,"我是Josie Bass,有什么能帮您的吗?"
“你好，我是计算机中心的Martin White,我们认为可能有人入侵了文件服务器，我能和你们技术主管谈谈吗?”
“现在是周五下午，这里只有我一个人 。”Josie说。
“你的工作怎么样，Josie？”
“还好，你呢？”
深呼一口气，“不算太坏,除了现在是周五的下午而且我们要处理堆积如山的文件。总之，如我所说的，我们认为你的文件服务器受到了威胁。”
“你为什么这么认为呢？”
“你的帐号是jbass,是吗？”
“是。”
“我们在你的文件服务器上检测到了异常的通信。”
“好，你能不能具体点告诉我这是怎么回事？”
“当然,我正在搜索,但有太多文件了。”翻页的声音。“我真正担心的是,当我这样搜索时,坏人可以从你们的服务器下载并修改资料，也许你应该把你的服务器与网络断开或者修改你的系统密码。”
“Jeez,我不知道该怎么做。”
Martin叹息，“这真糟糕，入侵者可能没有完全地破坏你的系统。”手指翻动书，发出翻页的声音。“我刚才想到一件事，我正好在线，如果我有你的密码的话，只要几分钟就可查出来了。”沉重的叹息，“为什么我之前没有想到呢？持续一个星期了—看了很多小时的数字。”一番停顿后，“Ok,你的密码多少？”
“我…er….”Josie犹豫了。
“哦，好的，你不会把它拿出来，我明白了。”翻页的声音。“这也是个好办法。”停顿了一下，“这些家伙会尝试不同的方法入侵…”翻页。
“嘿，”Josie说，“我们会整晚都在这里，忘了告诉你：我的密码是jb2cats。”
“谢谢，好的，稍等。”密码输入的声音。“好了，让我仔细检查一下。”更多的输入。“找到了，好消息，他们没能进入你的系统。”停顿，“非常感谢，Josie，我们一起为这件无效的事上折腾了半夜，顺便说一声，一旦他们跳过了你的服务器，再回来就是很罕见的事了，你的系统现在状况良好。”
“谢谢，祝你有一个愉快的周末。”Josie放心地回答。
“你也是。”
“Martin White”和他的同伙将会有一个愉快的周末，从这个部门修改他们选修课程的学生等级——为了学费，当然。（译者注：这里的意思应该是Martin的课程没及格，需要重修，把成绩修改了，自然就不需要交纳学费了。）
这是一个被称为“社会工程学”的例子，一个信息技术犯罪的非技术表象描述。用其它方法表达就是“欺骗艺术家”Martin玩的一个“行骗游戏”。意思很简单：欺骗受害人，获得有用的机密信息，或采取不正当行动为攻击者获得利益。
大部分人对我们都是有益并且值得信赖的—许多人这样认为。我们想要做好邻居并有许多好邻居，社会工程师利用了人类这一合作倾向。他们经常使用胁迫和扮演角色手段，也使用老式但清晰的摄像头进行偷窥和偷听。
当被偷窃的信息增加时，我们需要知道更多信息盗窃使用的迂回方法。
例如：
一个糊涂的醉鬼会打电话给办事员请求更改他的密码。
一个似乎很重要的人扮成主管人员打电话给新来的网络管理员要求马上开通他的账户！
在机场当你输入你的电讯信用卡或ATM号码时有人会往你肩膀上看（肩窥），他们甚至使用双筒望远镜和摄象机。
一个访客会偷看你在键盘上输入的注册ID和密码。
一个自信的人打电话给电脑工作人员并要他或她在控制台输入几行指令。
一个攻击者搜集你的废纸（垃圾数据探究），寻找线索解开你的保密信息。
不同于技术的目标，社会工程学是一个古老行当的新名字，它常常成功，因为我们的文化没有赶上我们拥有的技术。一个社会工程师从一个保险箱里获得东西比获得密码要更困难，即使这个东西就在健康俱乐部的带锁储物柜里。最好的防御很简单：教育，训练和意识。
记住：密码就像一把牙刷一样，每三个月更换一次，并不让其他人使用它。（即使有人声称自己来自处理Internet上各项安全问题的专责机构）。
入侵检测（IDS）应该与操作系统绑定
[ 2007-03-25 03:35:20 | 作者: sun ]
黑客攻击的目标主要是用户终端，如果入侵检测系统不能和操作系统内核很好地配合，那么产品再多，做得再好，也是治标不治本。
主流的入侵检测方法有三种
通常，入侵检测系统按照其工作原理主要分为三种类型：基于网络的入侵检测系统、基于主机的入侵检测系统和分布式入侵检测系统。其中前两种应用得最广泛，国内大多数的产品都是基于这样的工作原理。基于网络的入侵检测系统检测的数据来源于网络中的数据包，与受保护网段内的主机无关，适用范围比较广，并且一般不影响网络流量和受保护主机的性能；基于主机的入侵检测系统检测的数据来源于系统日志、审计记录，与受保护主机的操作系统等有关，因此一般只适用保护特定的计算机。
分布式入侵检测系统这种工作方式比较新，目前这种技术在例如ISS的RealSecure等产品中已经有了应用。它检测的数据也是来源于网络中的数据包，不同的是，它采用分布式检测、集中管理的方法。即在每个网段安装一个黑匣子，该黑匣子相当于基于网络的入侵检测系统，只是没有用户操作界面。黑匣子用来监测其所在网段上的数据流，它根据集中安全管理中心制定的安全策略、响应规则等来分析检测网络数据，同时向集中安全管理中心发回安全事件信息。集中安全管理中心是整个分布式入侵检测系统面向用户的界面。它的特点是对数据保护的范围比较大，但对网络流量有一定的影响。
在漏报率方面国内产品有待提高
现在国际上比较有名的入侵检测系统有ISS公司的RealSecure、Enterasys公司的 Dragon等。他们将基于主机和基于网络的入侵检测技术基础集成在一起，扩大了检测的数据源，降低了漏报率，并且对于检测针对主机的攻击效果比较好。但是这种方法的实施难度特别大，还要考虑到网络中不同计算机操作系统的差异，需要将数据格式进行转换，以达到统一。这些产品系统性能相对比较稳定，特征知识库更新速度比较快。
国内公司生产的入侵检测系统也比较多，如上海复旦光华信息股份有限公司的光华S-Audit网络入侵检测与安全审计系统V3.0、常州远东科技有限公司的“黑客煞星”、长沙天一银河信息产业有限公司的“天一猎鹰入侵检测系统（V1.0）、上海三零卫士信息安全有限公司的鹰眼网络安全监测仪、上海金诺网安的KIDS Ver3.0等。它们的体系结构大同小异，性能相差不大，都能检测到以下一些攻击事件,如多数的扫描、嗅探、后门、病毒、拒绝服务、分布式拒绝服务、非授权访问、欺骗等。由于它们大多是以误用检测的分析方法为主，因此有的漏报率相对高一些，特征知识库更新速度相对也要慢一些。
入侵检测应该与操作系统绑定
目前的入侵检测产品的固有缺陷是，与操作系统结合程度不紧，这样对于新出现的、比较隐秘的攻击手法和技术，一般很难检测出来，即使对于同一种攻击手法和技术，如果变化复杂些，也很难发现。它们也不能确定黑客攻击系统到了什么程度，如黑客现在的攻击对系统是否造成了威胁，黑客现在拥有了系统哪个级别的权限，黑客是否控制了一个系统等。由于一般情况下，只要有攻击，入侵检测系统就会发出警报，这样就可能被黑客利用，不停地发送具有攻击特征的数据包，虽然这对被攻击对象没有什么危险，但能使入侵检测系统淹没在一片报警声中，从而使入侵检测系统失效。此外，它们还会对数据包的内容进行检查，因此对于加密了的数据包，这部分功能就失效了。
由于计算机网络出现的初衷是为了方便通信和交流，充分利用资源，在其发展之初没考虑到安全方面的问题，因此在到了出现网络安全事故时候，才开始采取补救措施，而这种补救是外加的，如现在流行的防火墙、入侵检测系统等，很少涉及到通信协议的修改。操作系统出现之初，也很少考虑到安全，如操作系统的核心是内存管理、进程管理、文件管理，只是考虑如何有效地去管理资源，没有加入被黑客攻击时如何去应对这一部分功能。这就造成了在传输部分、终端部分存在很多安全隐患，由于整个系统庞大，不可避免地存在大量漏洞。由于黑客攻击的目标主要是终端部分，因此入侵检测系统最好能与操作系统内核结合起来，现在的lids在这方面进行了比较深入的研究，否则无论做得怎样好，也是治标不治本。
数据分析的两类常用方法
入侵检测系统进行数据分析有两种常用方法：误用检测、异常检测。误用检测是将收集到的数据与预先确定的特征知识库里的各种攻击模式进行比较，如果发现有攻击特征，则判断有攻击。特征知识库是将已知的攻击方法和技术的特征提取出来，来建立的一个知识库。
异常检测则是对收集到的数据进行统计分析。它首先假定所有的攻击行为与正常行为不同，这样发现与正常行为有不同时，则判断存在攻击。这需要建立正常行为的标准，如登录时错误次数为多少时视为正常。
相比而言，误用检测的原理简单，很容易配置，特征知识库也容易扩充，但它存在一个致命的弱点——只能检测到已知的攻击方法和技术。异常检测可以检测出已知的和未知的攻击方法和技术，问题是正常行为标准只能采用人工智能、机器学习算法等来生成，并且需要大量的数据和时间，同时，现在人工智能和机器学习算法仍处于研究阶段。所以现在的入侵检测系统大多采用误用检测的分析方法。
主流的入侵检测方法有三种
通常，入侵检测系统按照其工作原理主要分为三种类型：基于网络的入侵检测系统、基于主机的入侵检测系统和分布式入侵检测系统。其中前两种应用得最广泛，国内大多数的产品都是基于这样的工作原理。基于网络的入侵检测系统检测的数据来源于网络中的数据包，与受保护网段内的主机无关，适用范围比较广，并且一般不影响网络流量和受保护主机的性能；基于主机的入侵检测系统检测的数据来源于系统日志、审计记录，与受保护主机的操作系统等有关，因此一般只适用保护特定的计算机。
分布式入侵检测系统这种工作方式比较新，目前这种技术在例如ISS的RealSecure等产品中已经有了应用。它检测的数据也是来源于网络中的数据包，不同的是，它采用分布式检测、集中管理的方法。即在每个网段安装一个黑匣子，该黑匣子相当于基于网络的入侵检测系统，只是没有用户操作界面。黑匣子用来监测其所在网段上的数据流，它根据集中安全管理中心制定的安全策略、响应规则等来分析检测网络数据，同时向集中安全管理中心发回安全事件信息。集中安全管理中心是整个分布式入侵检测系统面向用户的界面。它的特点是对数据保护的范围比较大，但对网络流量有一定的影响。
在漏报率方面国内产品有待提高
现在国际上比较有名的入侵检测系统有ISS公司的RealSecure、Enterasys公司的 Dragon等。他们将基于主机和基于网络的入侵检测技术基础集成在一起，扩大了检测的数据源，降低了漏报率，并且对于检测针对主机的攻击效果比较好。但是这种方法的实施难度特别大，还要考虑到网络中不同计算机操作系统的差异，需要将数据格式进行转换，以达到统一。这些产品系统性能相对比较稳定，特征知识库更新速度比较快。
国内公司生产的入侵检测系统也比较多，如上海复旦光华信息股份有限公司的光华S-Audit网络入侵检测与安全审计系统V3.0、常州远东科技有限公司的“黑客煞星”、长沙天一银河信息产业有限公司的“天一猎鹰入侵检测系统（V1.0）、上海三零卫士信息安全有限公司的鹰眼网络安全监测仪、上海金诺网安的KIDS Ver3.0等。它们的体系结构大同小异，性能相差不大，都能检测到以下一些攻击事件,如多数的扫描、嗅探、后门、病毒、拒绝服务、分布式拒绝服务、非授权访问、欺骗等。由于它们大多是以误用检测的分析方法为主，因此有的漏报率相对高一些，特征知识库更新速度相对也要慢一些。
入侵检测应该与操作系统绑定
目前的入侵检测产品的固有缺陷是，与操作系统结合程度不紧，这样对于新出现的、比较隐秘的攻击手法和技术，一般很难检测出来，即使对于同一种攻击手法和技术，如果变化复杂些，也很难发现。它们也不能确定黑客攻击系统到了什么程度，如黑客现在的攻击对系统是否造成了威胁，黑客现在拥有了系统哪个级别的权限，黑客是否控制了一个系统等。由于一般情况下，只要有攻击，入侵检测系统就会发出警报，这样就可能被黑客利用，不停地发送具有攻击特征的数据包，虽然这对被攻击对象没有什么危险，但能使入侵检测系统淹没在一片报警声中，从而使入侵检测系统失效。此外，它们还会对数据包的内容进行检查，因此对于加密了的数据包，这部分功能就失效了。
由于计算机网络出现的初衷是为了方便通信和交流，充分利用资源，在其发展之初没考虑到安全方面的问题，因此在到了出现网络安全事故时候，才开始采取补救措施，而这种补救是外加的，如现在流行的防火墙、入侵检测系统等，很少涉及到通信协议的修改。操作系统出现之初，也很少考虑到安全，如操作系统的核心是内存管理、进程管理、文件管理，只是考虑如何有效地去管理资源，没有加入被黑客攻击时如何去应对这一部分功能。这就造成了在传输部分、终端部分存在很多安全隐患，由于整个系统庞大，不可避免地存在大量漏洞。由于黑客攻击的目标主要是终端部分，因此入侵检测系统最好能与操作系统内核结合起来，现在的lids在这方面进行了比较深入的研究，否则无论做得怎样好，也是治标不治本。
数据分析的两类常用方法
入侵检测系统进行数据分析有两种常用方法：误用检测、异常检测。误用检测是将收集到的数据与预先确定的特征知识库里的各种攻击模式进行比较，如果发现有攻击特征，则判断有攻击。特征知识库是将已知的攻击方法和技术的特征提取出来，来建立的一个知识库。
异常检测则是对收集到的数据进行统计分析。它首先假定所有的攻击行为与正常行为不同，这样发现与正常行为有不同时，则判断存在攻击。这需要建立正常行为的标准，如登录时错误次数为多少时视为正常。
相比而言，误用检测的原理简单，很容易配置，特征知识库也容易扩充，但它存在一个致命的弱点——只能检测到已知的攻击方法和技术。异常检测可以检测出已知的和未知的攻击方法和技术，问题是正常行为标准只能采用人工智能、机器学习算法等来生成，并且需要大量的数据和时间，同时，现在人工智能和机器学习算法仍处于研究阶段。所以现在的入侵检测系统大多采用误用检测的分析方法。
休闲聊天轻轻松松避开网络木马的攻击
[ 2007-03-25 03:34:56 | 作者: sun ]
QQ的密码、个人资料和聊天记录能否安全成为至关重要的问题，为了有效地防止聊天记录等本地信息的丢失和被窃，可以采取以下措施：
1.设置本地消息口令
首先按下鼠标右键，从QQ图标上选择“系统参数”，在“系统参数”中选择“安全设置”标签。接着选择“启用本地消息加密”，再依次输入口令并确认口令即可。
同时为了保险一定要勾选“启用本地消息加密口令提示”，设定提示问题和问题答案，按下“确定”使设定生效。在启动QQ输入账号和密码后，软件还会要求输入本地消息口令，否则不能进入。
2.避开木马软件的攻击
当前网络上可以找到很多盗取QQ密码的木马软件，但这些木马软件一般只记录号码位数不超过9位数的QQ登录密码，可以针对这个特点，在登录QQ的时候选择“注册向导”，在“使用已有的QQ号码”中输入的QQ号码前加入一长串0，其位数与原有的QQ号位数相加超过9位数就可以，这样的结果是既不影响正常的QQ登录，又可以避开木马软件对QQ密码的秘密监视了。
3.隐身登录
首先找到以前成功登录过的QQ，在“QQ用户登录”框中找到自己的号码，选中下面“隐身登录”前面的方框，你就可以隐身登录了。
假如你是第一次在这台电脑上登录QQ，登录成功后别人很容易获取你的地址，最好马上选择“离线”，过一会儿你再选择“隐身登录”，这样别人就找不到你的地址了。
4.设置“拒绝陌生人消息”
在“系统设置”的“基本设置”标签里选择“拒绝陌生人消息”。
5.使用“选择代理服务器”
找一个代理服务器，然后在QQ中设置好，别人就只能看到这个代理服务器的IP地址了。
6.知己知彼，减少风险
黑客入侵要经过一套入侵的流程，包括查找IP、扫描通讯录、作业系统分析、弱点分析、密码破解等，总要花费一些时间。所以，滞留在网上的时间越长，黑客完成入侵程序植入的几率就越大。所以没有事情的时候不要挂网，以减少被黑的风险。
1.设置本地消息口令
首先按下鼠标右键，从QQ图标上选择“系统参数”，在“系统参数”中选择“安全设置”标签。接着选择“启用本地消息加密”，再依次输入口令并确认口令即可。
同时为了保险一定要勾选“启用本地消息加密口令提示”，设定提示问题和问题答案，按下“确定”使设定生效。在启动QQ输入账号和密码后，软件还会要求输入本地消息口令，否则不能进入。
2.避开木马软件的攻击
当前网络上可以找到很多盗取QQ密码的木马软件，但这些木马软件一般只记录号码位数不超过9位数的QQ登录密码，可以针对这个特点，在登录QQ的时候选择“注册向导”，在“使用已有的QQ号码”中输入的QQ号码前加入一长串0，其位数与原有的QQ号位数相加超过9位数就可以，这样的结果是既不影响正常的QQ登录，又可以避开木马软件对QQ密码的秘密监视了。
3.隐身登录
首先找到以前成功登录过的QQ，在“QQ用户登录”框中找到自己的号码，选中下面“隐身登录”前面的方框，你就可以隐身登录了。
假如你是第一次在这台电脑上登录QQ，登录成功后别人很容易获取你的地址，最好马上选择“离线”，过一会儿你再选择“隐身登录”，这样别人就找不到你的地址了。
4.设置“拒绝陌生人消息”
在“系统设置”的“基本设置”标签里选择“拒绝陌生人消息”。
5.使用“选择代理服务器”
找一个代理服务器，然后在QQ中设置好，别人就只能看到这个代理服务器的IP地址了。
6.知己知彼，减少风险
黑客入侵要经过一套入侵的流程，包括查找IP、扫描通讯录、作业系统分析、弱点分析、密码破解等，总要花费一些时间。所以，滞留在网上的时间越长，黑客完成入侵程序植入的几率就越大。所以没有事情的时候不要挂网，以减少被黑的风险。
跨站点脚本XSS漏洞危害性
[ 2007-03-25 03:34:43 | 作者: sun ]
安全专家，开发人员或者商业从业人员都明白像SQL注入这样高风险的漏洞的危害。例如，需要注入到存在SQL注入漏洞的应用程序中的xp_cmdshell，它就可以被用来示范攻击者如何用SQL注入的方法，从运行微软SQL Server的主机上获得command prompt。此类范例的影响是看得见的，并且这些漏洞的危害也很明显。
而跨站点脚本（XSS）就会麻烦的多，安全分析师很难给出看得见的范例来清楚说明该漏洞可能造成的后果。通常安全分析师通过注入像alert('xss')的JAVAScript代码来说明XSS的危害，该代码能够导致应用程序显示带有“xss”字样的弹出窗口。从技术角度来说，这种范例确实证明XSS漏洞的存在性，但是它没有真实地反映XSS漏洞的危害性。为了找到自动给出XSS范例的工具或方法，我访问了BeEF。它的站点声称：BeEF是浏览器发掘平台。它的目的就是提供简单的可集成的结构来实时示范浏览器以及XSS的危害。 这种模块结构主要是用BeEF中现存的智能使模块开发成为一个很简单的过程。一些基本的功能有Keylogging以及Clipboard Theft。
BeEF是个基于PHP的网络应用，它捕捉那些有XSS应用漏洞的用户浏览器的请求。在你的机器上运行BeEF，然后用它发现受XSS影响，而通过XSS请求你的主机（有BeEF）上的资源的应用程序。一旦受害者的浏览器请求BeEF资源，BeEF将发出警告并允许你注入JavaScript代码，执行JavaScript端口扫描（例如受害浏览器将发起扫描：在受害浏览器可能访问的内网环境中进行的端口扫描酒有可能被攻击者利用）等等。这个Flash指南很好地示范了BeEF。
同时，我的一个好朋友也在从事跟BeEF类似的工程。如果他决定对外公开一个可用的版本，我将在此发布。
=============================================
而跨站点脚本（XSS）就会麻烦的多，安全分析师很难给出看得见的范例来清楚说明该漏洞可能造成的后果。通常安全分析师通过注入像alert('xss')的JAVAScript代码来说明XSS的危害，该代码能够导致应用程序显示带有“xss”字样的弹出窗口。从技术角度来说，这种范例确实证明XSS漏洞的存在性，但是它没有真实地反映XSS漏洞的危害性。为了找到自动给出XSS范例的工具或方法，我访问了BeEF。它的站点声称：BeEF是浏览器发掘平台。它的目的就是提供简单的可集成的结构来实时示范浏览器以及XSS的危害。 这种模块结构主要是用BeEF中现存的智能使模块开发成为一个很简单的过程。一些基本的功能有Keylogging以及Clipboard Theft。
BeEF是个基于PHP的网络应用，它捕捉那些有XSS应用漏洞的用户浏览器的请求。在你的机器上运行BeEF，然后用它发现受XSS影响，而通过XSS请求你的主机（有BeEF）上的资源的应用程序。一旦受害者的浏览器请求BeEF资源，BeEF将发出警告并允许你注入JavaScript代码，执行JavaScript端口扫描（例如受害浏览器将发起扫描：在受害浏览器可能访问的内网环境中进行的端口扫描酒有可能被攻击者利用）等等。这个Flash指南很好地示范了BeEF。
同时，我的一个好朋友也在从事跟BeEF类似的工程。如果他决定对外公开一个可用的版本，我将在此发布。
=============================================
