子鱼 ' Blog

新年伊始“熊猫烧香”病毒愈演愈烈

　　-“熊猫烧香”病毒档案

　　追杀目标：Worm.WhBoy.h

　　中 文 名：“熊猫烧香”

　　病毒长度：可变

　　病毒类型：蠕虫

　　危害等级：★★★★

　　影响平台：Win 9X/ME/NT/2000/XP/2003

　　典型表现：

　　“熊猫烧香”是一个由Delphi工具编写的蠕虫，终止大量的反病毒软件和防火墙软件进程。病毒会删除扩展名为gho的文件，使用户无法使用ghost软件恢复操作系统。“熊猫烧香”感染系统的.exe、.com、.pif、.src、.html、.asp文件，添加病毒网址，导致用户一打开这些网页文件，IE就会自动连接到指定的病毒网址中下载病毒。在硬盘各个分区下生成文件autorun.inf和setup.exe，可以通过U盘和移动硬盘等方式进行传播，并且利用Windows系统的自动播放功能来运行，搜索硬盘中的.exe可执行文件并感染，感染后的文件图标变成“熊猫烧香”图案。“熊猫烧香”还可以通过共享文件夹、系统弱口令等多种方式进行传播。

　　日前，电脑用户张先生气愤地告诉记者：“今天早晨一打开电脑，我就快晕了。进入系统后，许多应用程序无法使用，重装软件后，不久又不能使用。更奇怪的是发现电脑中所有的.exe可执行文件全部变成小熊猫举着三根香的模样，而且系统运行异常缓慢，非常郁闷。”据记者从国内几家杀毒公司了解到，近期，一个叫“熊猫烧香”(Worm.WhBoy.h)的病毒把电脑用户折腾得苦不堪言。在人们心目中，“熊猫”这个国宝似乎不再可爱，而成了人人喊打的过街老鼠。据国内的病毒专家介绍，“熊猫烧香”蠕虫不但对用户系统进行破坏，导致大量应用软件无法使用，而且还可删除扩展名为gho的所有文件，造成用户的系统备份文件丢失，从而无法进行系统恢复。此外，该病毒还能终止大量反病毒软件进程，大大降低用户系统的安全性。

　　三大原因导致“熊猫烧香”肆虐

　　近日，“熊猫烧香”病毒泛滥成灾，已经到了天怒人怨的地步。据悉，由于多家著名网站遭到此类病毒攻击而相继被植入病毒。由于这些网站的浏览量非常大，致使此次“熊猫烧香”病毒的感染范围非常广。

　　据瑞星反病毒专家介绍，“熊猫烧香”其实是“尼姆亚”病毒的新变种，最早出现在2006年的11月。由于它一直在不停地进行变种，而且该病毒会在中毒电脑中所有的网页文件尾部添加病毒代码，因此，一旦一些网站编辑人员的电脑被该病毒感染，网站编辑在上传网页到网站后，就会导致所有浏览该网页的计算机用户也被感染上该病毒。

　　同时，据金山毒霸反病毒中心表示，“熊猫烧香”除了通过网站带毒感染用户之外，此病毒还会通过QQ最新漏洞传播自身，通过网络文件共享、默认共享、系统弱口令、U盘及移动硬盘等多种途径传播。而局域网中只要有一台机器感染，就可以瞬间传遍整个网络，甚至在极短时间之内就可以感染几千台计算机，严重时可以导致网络瘫痪。中毒症状表现为电脑中所有可执行的.exe文件都变成了一种怪异的图案，该图案显示为“熊猫烧香”，继而系统蓝屏、频繁重启、硬盘数据被破坏等，严重的整个公司局域网内所有电脑会全部中毒。

　　对此，江民反病毒专家何公道分析认为：导致病毒快速传播目前存在三大原因。一是大量的企业用户使用国外杀毒软件，而国外杀毒软件对于此类国产病毒响应速度特别慢。二是由于被种植“熊猫烧香”病毒网站的点击量的全球排名均在前300名之列，而当一部分网站编辑本身机器感染了病毒之后，当他们把受感染文件上传到服务器后，访问者点击此类受感染网页即中毒，因此，该病毒才会得以迅速传播。三是其病毒具有极强的变种能力，仅从2006年11月至年底短短一个多月的时间，该病毒就变种将近30余次，因此在许多用户疏于防范而没有更新杀毒软件时，该病毒即可借机迅速传播。

　　新年伊始“熊猫烧香”破坏继续加剧

　　据了解，江民科技发布的2006年计算机病毒疫情显示，“熊猫烧香”(“威金”病毒变种)已成为2006年计算机病毒最大威胁。截至去年12月份，已有超过50万台计算机受此病毒感染，而受害企业用户更是达到上千家，多数企业业务因此停顿，直接和间接损失无法估量，病毒疫情十分严重。

　　近日据记者从金山毒霸反病毒中心获取的最新消息：“熊猫烧香”(Worm.WhBoy.h)病毒目前再次进入急速变种期，从元旦至今，仅半个多月，“熊猫烧香”变种数已高达50多个，并且其感染用户的数量也在不断扩大。据金山毒霸客户服务中心初步统计，目前感染“熊猫烧香”病毒的个人用户已经高达几百万，企业用户感染数更是成倍上升。特别是在近一周内，金山毒霸客服中心有关熊猫烧香的日咨询量已高达73%，而感染用户主要以北京、广州、上海等大型城市为主。

　　另据金山毒霸反病毒专家戴光剑指出，当前由于大部分感染了“熊猫烧香”的用户只能被动下载一些相关的专杀工具或杀毒软件进行查杀，而由于熊猫烧香变种多，传播速度快，一旦用户没能及时升级杀毒软件或专杀工具，查杀效果将大打折扣。所以如何彻底将“熊猫烧香”拦截于用户的电脑之外，成为各大杀毒厂商目前急需解决的问题。

　　最全面的“熊猫烧香”整体解决方案

　　近期，“熊猫烧香”病毒无疑成了互联网最热门的关键字了，网上也能找到很多个有关熊猫烧香病毒的解决办法。这些方法都显得不尽完美，再加上熊猫的变种很多，有效性就更加大打折扣了。为此，记者通过对国内几家杀毒软件公司的采访，整理出了一套相对完整的解决方案供大家参考。对于已经感染“熊猫烧香”病毒的用户，可以采用以下几种方式对该病毒进行查杀。

　　★金山

　　金山毒霸2007对“熊猫烧香”已经具备免疫能力，金山毒霸反病毒专家建议及时安装正版金山毒霸并升级到最新版本进行查杀。在服务期内的毒霸用户，将会通过金山毒霸的主动实时升级功能，自动升级到最新版本，实现对“熊猫烧香”的免疫。对于没有安装杀毒软件的电脑用户，可以登录到tool.duba.net/zhuansha/253.shtml免费下载金山的“熊猫烧香”专杀工具。

　　★瑞星

　　安装杀毒软件和瑞星卡卡3.1的用户，可将软件升级，并在上网时打开网页实时监控。同时，瑞星已经发布针对该病毒的专杀工具，并对该工具不断升级。因此，没有安装杀毒软件的用户，还可以登录it.rising.com.cn/Channels/Service/index.shtml免费下载使用“熊猫烧香”专杀工具。

　　★江民

　　江民建议已安装江民杀毒软件的用户将杀毒软件升级到最新病毒库，并对电脑进行全盘查杀。未安装杀毒软件的用户，也可登录到www.jiangmin.com/download/zhuansha04.htm下载安装江民“熊猫烧香”专杀工具，可以有效清除病毒和修复被感染文件。

　　五招远离熊猫烧香骚扰

　　据金山毒霸反病毒中心表示，近期“熊猫烧香”的变种异常活跃，因此从目前至春节期间，该病毒还将会一直骚扰着电脑用户。虽然用户及时更新杀毒软件病毒库，并下载各杀毒软件公司提供的专杀工具，即可对“熊猫烧香”病毒进行查杀，但是如果能做到防患于未然岂不更好。为此，记者在采访中，还总结了以下五招预防措施，希望可以帮您远离“熊猫烧香”病毒的骚扰。

　　1.立即检查本机administrator组成员口令，一定要放弃简单口令甚至空口令，安全的口令是字母数字特殊字符的组合，自己记得住，别让病毒猜到就行。

　　修改方法：右键单击我的电脑，选择管理，浏览到本地用户和组，在右边的窗格中，选择具备管理员权限的用户名，单击右键，选择设置密码，输入新密码就行。

　　2.利用组策略，关闭所有驱动器的自动播放功能。

　　步骤：单击开始，运行，输入gpedit.msc，打开组策略编辑器，浏览到计算机配置，管理模板，系统，在右边的窗格中选择关闭自动播放，该配置缺省是未配置，在下拉框中选择所有驱动器，再选取已启用，确定后关闭。最后，在开始，运行中输入gpupdate，确定后，该策略就生效了。

　　3.修改文件夹选项，以查看不明文件的真实属性，避免无意双击骗子程序中毒。

　　步骤：打开资源管理器(按windows徽标键＋E)，点工具菜单下文件夹选项，再点查看，在高级设置中，选择查看所有文件，取消隐藏受保护的操作系统文件，取消隐藏文件扩展名。

　　4.时刻保持操作系统获得最新的安全更新，不要随意访问来源不明的网站，特别是微软的MS06-014漏洞，应立即打好该漏洞补丁。

　　同时，QQ、UC的漏洞也可以被该病毒利用，因此，用户应该去他们的官方网站打好最新补丁。此外，由于该病毒会利用IE浏览器的漏洞进行攻击，因此用户还应该给IE打好所有的补丁。如果必要的话，用户可以暂时换用Firefox、Opera等比较安全的浏览器。

　　5.启用Windows防火墙保护本地计算机。同时，局域网用户尽量避免创建可写的共享目录，已经创建共享目录的应立即停止共享。

　　此外，对于未感染的用户，病毒专家建议，不要登录不良网站，及时下载微软公布的最新补丁，来避免病毒利用漏洞袭击用户的电脑，同时上网时应采用“杀毒软件+防火墙”的立体防御体系。

IceSword，也称为冰刀或者冰刃，有些地址简称IS，是USTC的PJF出品的一款系统诊断、清除利器。

清除流氓软件工具无数，为什么称之为第一利器呢，有如下的理由：

1）你是不是经常有文件删不掉？如CNNIC或者3721的文件？

2）是不是经常有注册表不让你修改？如CNNIC的注册表是它自动保护起来的

3）是不是经常有进程杀不掉，提示“无法完成”？

4）是不是浏览器有N多的插件？

5）是不是有一些程序运行的时候隐藏了进程和端口？

6) 是不是有一些流氓软件的文件在资源管理器下看都看不到？

1、绝大多数所谓的进程工具都是利用Windows的Toolhlp32或psapi再或ZwQuerySystemInformation系统调用（前二者最终也用到此调用）来编写，随便一个ApiHook就可轻轻松松干掉它们，更不用说一些内核级后门了；极少数工具利用内核线程调度结构来查询进程，这种方案需要硬编码，不仅不同版本系统不同，打个补丁也可能需要升级程序，并且现在有人也提出过防止此种查找的方法。而IceSword的进程查找核心态方案是目前独一无二的，并且充分考虑内核后门可能的隐藏手段，目前可以查出所有隐藏进程。

2、绝大多数工具查找进程路径名也是通过Toolhlp32、psapi，前者会调用RtlDebug***函数向目标注入远线程，后者会用调试api读取目标进程内存，本质上都是对PEB的枚举，通过修改PEB就轻易让这些工具找不到北了。而IceSword的核心态方案原原本本地将全路径展示，运行时剪切到其他路径也会随之显示。

3、进程dll模块与2的情况也是一样，利用PEB的其他工具会被轻易欺骗，而IceSword不会弄错（有极少数系统不支持，此时仍采用枚举PEB）。

4、 IceSword的进程杀除强大且方便（当然也会有危险）。可轻易将选中的多个任意进程一并杀除。当然，说任意不确切，除去三个：idle进程、 System进程、csrss进程，原因就不详述了。其余进程可轻易杀死，当然有些进程（如winlogon）杀掉后系统就崩溃了。

5、对于端口工具，网上的确有很多，不过网上隐藏端口的方法也很多，那些方法对IceSword可是完全行不通的。其实本想带个防火墙动态查找，不过不想弄得太臃肿。这里的端口是指windows的IPv4 Tcpip协议栈所属的端口，第三方协议栈或IPv6栈不在此列。

目前一些流氓软件采取的手段无所不用其极：线程注入，进程隐藏，文件隐藏，驱动保护，普通用户想把文件给删了或者找出进程来，是非常困难的。有的是看到了，删不掉，杀不掉，干着急，实在不行，还需要从另外的作系统去删除文件。比如采取驱动保护的流氓软件如CNNIC，雅虎助手之类，.sys驱动加载的时候，它过滤了文件和注册表作，直接返回一个true,Windows提示文件删了，但一看，它还在那里。象一些文件删除工具如unclocker都无效。IceSword是目前所知唯一可以直接删除这类已经加载的驱动和采取注册表保护的工具。象清除CNNIC这类流氓软件，不需要重启也可以完成了。

IS采取了很多新颖的、内核级的方法和手段，关于它的技术细节不在本文讨论之列，下面主要从使用者角度讲一下它的主要功能：

■查看进程

包括运行进程的文件地址、各种隐藏的进程以及优先级。用它也可以轻易杀掉用任务管理器、Procexp等工具杀不掉的进程。还可以查看进程的线程、模块信息，结束线程等。

■查看端口

类似于cport、ActivePort这类工具，显示当前本地打开的端品以及相应的应用程序地址、名字。包括使用了各种手段隐藏端口的工具，在它下面，都一览无余。

■内核模块 加载到系统内和空间的PE模块，一般都是驱动程序*.sys，可以看到各种已经加载的驱动。包括一些隐藏的驱动文件，如IS自身的IsDrv118.sys，这个在资源管理器里是看不见的。

■启动组

Windows启动组里面的相关方式，这个比较容易理解了。不过可惜的是没有提示删除功能，只能查看。

■服务

用于查看系统中的被隐藏的或未隐藏的服务，隐藏的服务以红色显示。提供对服务的作如启动，停止，禁用等。

■SPI和BHO

这两个是目前流氓软件越来越看中的地方。SPI是服务提供接口，即所有Windows的网络作都是通过这个接口发出和接收数据包的。很多流氓软件把这个.dll替换掉，这样就可以监视所有用户访问网络的包，可以针对性投放一些广告。如果不清楚的情况下，把这个.dll删掉，会造成网络无法使用，上不了网。LSPFix等工具就是针对这个功能的。BHO就更不用说了，浏览器的辅助插件，用户启动浏览器的时候，它就可以自动启动，弹出广告窗口什么的。这两项仅提供查看的功能。

■SSDT (System Service Descriptor Table)

系统服务描述表，内核级后门有可能修改这个服务表，以截获你系统的服务函数调用，特别是一些老的rootkit，像上面提到的ntrootkit通过这种hook实现注册表、文件的隐藏。被修改的值以红色显示，当然有些安全程序也会修改，比如regmon。

■消息钩子

若在dll中使用SetWindowsHookEx设置一全局钩子，系统会将其加载入使用user32的进程中，因而它也可被利用为无进程木马的进程注入手段。

■线程创建和线程终止监视

“监视进线程创建”将IceSword运行期间的进线程创建调用记录在循环缓冲里，“监视进程终止”记录一个进程被其它进程Terminate的情况。举例说明作用：一个木马或病毒进程运行起来时查看有没有杀毒程序如norton的进程，有则杀之，若IceSword正在运行，这个作就被记录下来，你可以查到是哪个进程做的事，因而可以发现木马或病毒进程并结束之。再如：一个木马或病毒采用多线程保护技术，你发现一个异常进程后结束了，一会儿它又起来了，你可用IceSword发现是什么线程又创建了这个进程，把它们一并杀除。中途可能会用到“设置”菜单项：在设置对话框中选中“禁止进线程创建”，此时系统不能创建进程或者线程，你安稳的杀除可疑进线程后，再取消禁止就可以了。

■注册表Regedit有什么不足？

说起Regedit的不足就太多了，比如它的名称长度限制，建一个全路径名长大于255字节的子项看看（编程或用其他工具，比如 regedt32），此项和位于它后面的子键在regedit中显示不出来；再如有意用程序建立的有特殊字符的子键regedit根本打不开。

IceSword中添加注册表编辑并不是为了解决上面的问题，因为已经有了很多很好的工具可以代替Regedit。IceSword中的“注册表”项是为了查找被木马后门隐藏的注册项而写的，它不受目前任何注册表隐藏手法的蒙蔽，真正可靠的让你看到注册表实际内容。

如CNNIC添加的HKLM\SYSTEM\CurrentControlSet\Services\dnport这个键值，就是通过它来加载cndport.sys这个驱动文件的。通过Regedit你删除会直接出错，根本无法删除。而用IS就可以轻易干掉。

■文件作

IS的文件作有点类似于资源管理器，虽然作起来没有那么方便，但是它的独到功能在于具备反隐藏、反保护的功能。还有对安全的副作用是本来 system32\config\SAM等文件是不能拷贝也不能打开的，但IceSword是可以直接拷贝的。类似于已经加载的驱动，如CNNIC的 cdnport.sys这个文件，目前只有IS可以直接把它删除，其它无论什么方式，都无法破除驱动自身的保护。

即使对大多数有用的unlocker，CopyLock、KillBox都是无效的。利用Windows的系统还没有完全加载的删除机制，通过在 HKLM\SYSTEM\CurrentControlSet\Control\Session Manager下增加PendingFileRenameOperations，这个是所有删除顽固文件工具的最后一招，但它也被驱动保护变得无效了。以前的情况就是需要重启启动到另外一个作系统下删除。

----那帮做流氓软件的可真是手段无所不用其及。

IceSword内部功能是十分强大的。可能您也用过很多类似功能的软件，比如一些进程工具、端口工具，但是现在的系统级后门功能越来越强，一般都可轻而易举地隐藏进程、端口、注册表、文件信息，一般的工具根本无法发现这些“幕后黑手”。IceSword使用大量新颖的内核技术，使得这些后门躲无所躲.

IceSword大量采用新颖技术，有别于其他普通进程工具，比如IceSword就可以结束除Idle进程、System进程、csrss进程这三个进程外的所有进程，就这一点，其他同类软件就是做不到的。当然有些进程也不是随便可以结束的，如系统的winlogon.exe进程，一旦杀掉后系统就崩溃了，这些也需要注意。

瑞星1月14号以后的病毒库都能杀，而且很灵。但瑞星的程序会被熊猫关掉。
　　杀毒具体方法(100%成功)。注意!一定要看完完整的一步再进行，因为一旦断开，整步都要重做!

　　1、右键点击托盘里的瑞星防火墙图标，选择“系统状态”，然后马上用右键点击任务栏中的防火墙窗口按钮，弹出窗口控制菜单，这样就可以锁住窗口，使其不被关闭。找出“熊猫”的进程，记下程序名。现在可以把菜单点掉了，你会发现瑞星的窗口马上被关了。没事，现在不管它。

　　2、打开“任务管理器”(Ctrl+Alt+Del)。在窗口出来时马上点任务栏锁住它，然后打开“进程”标签(如果已经打开就跳过这一步)。然后按住标题栏锁住它。准备一下，迅速松开标题栏，按下刚才找到的“熊猫”的首字母，再按住标题栏。重复数次，直到选中“熊猫”。松开标题栏，马上按键盘上的“右键快捷键(右Ctrl左边的那个画着菜单的键)”、然后按“T”、“Y”，结束“熊猫”的进程树!

　　3、至此，已经成功90%了，你可以稍稍放松一下。打开瑞星杀毒软件和防火墙，升级到最新版本后(可能要重启，重启后只能重复1、2了，但如果你是1月14号以后的病毒库就不用升级了)，打开防火墙主程序的“启动选项”，显示所有启动项(什么应用程序劫持项、驱动程序的)，删掉熊猫的键值。然后开着防火墙、监控中心进行整机杀毒!(包括引导区、内存、邮件。可以不断网，因为病毒已经进不来了)。

　　4、杀完毒，看一看是不是几百个“Worm.Nimaya.W”全在网页里面?怪不得一开网际快车就重新中毒呢。重启电脑，再来一遍开机扫描，确定无毒，电脑也就无毒了。

目前网络中有一种攻击让网络管理员最为头疼，那就是拒绝服务攻击，简称DOS和DDOS。它是一种滥用资源性的攻击，目的就是利用自身的资源通过一种放大或不对等的方式来达到消耗对方资源的目的。同一时刻很多不同的IP对服务器进行访问造成服务器的服务失效甚至死机。

今天就笔者公司管理服务器的经验为各位读者介绍几个简单有效的防范拒绝服务攻击的方法，虽然不能彻底防护，但在与DDOS的战斗中可以最大限度降低损失。

1、如何发现攻击

在服务器上可以通过CPU使用率和内存利用率简单有效的查看服务器当前负载情况，如果发现服务器突然超负载运作，性能突然降低，这就有可能是受攻击的征兆。不过也可能是正常访问网站人数增加的原因。如何区分这两种情况呢？按照下面两个原则即可确定受到了攻击。

（1）网站的数据流量突然超出平常的十几倍甚至上百倍，而且同时到达网站的数据包分别来自大量不同的IP。

（2）大量到达的数据包(包括TCP包和UDP包)并不是网站服务连接的一部分，往往指向你机器任意的端口。比如你的网站是Web服务器，而数据包却发向你的FTP端口或其它任意的端口。

2、BAN IP地址法

确定自己受到攻击后就可以使用简单的屏蔽IP的方法将DOS攻击化解。对于DOS攻击来说这种方法非常有效，因为DOS往往来自少量IP地址，而且这些IP地址都是虚构的伪装的。在服务器或路由器上屏蔽攻击者IP后就可以有效的防范DOS的攻击。不过对于DDOS来说则比较麻烦，需要我们对IP地址分析，将真正攻击的IP地址屏蔽。

不论是对付DOS还是DDOS都需要我们在服务器上安装相应的防火墙，然后根据防火墙的日志分析来访者的IP，发现访问量大的异常IP段就可以添加相应的规则到防火墙中实施过滤了。

当然直接在服务器上过滤会耗费服务器的一定系统资源，所以目前比较有效的方法是在服务器上通过防火墙日志定位非法IP段，然后将过滤条目添加到路由器上。例如我们发现进行DDOS攻击的非法IP段为211.153.0.0 255.255.0.0，而服务器的地址为61.153.5.1。那么可以登录公司核心路由器添加如下语句的访问控制列表进行过滤。


cess-list 108 deny tcp 211.153.0.0 0.0.255.255 61.135.5.1 0.0.0.0，



这样就实现了将211.153.0.0 255.255.0.0的非法IP过滤的目的。
小提示：在访问控制列表中表示子网掩码需要使用反向掩码，也就是说0.0.255.255表示子网掩码为255.255.0.0 。

3、增加SYN缓存法

上面提到的BAN IP法虽然可以有效的防止DOS与DDOS的攻击但由于使用了屏蔽IP功能，自然会误将某些正常访问的IP也过滤掉。所以在遇到小型攻击时不建议大家使用上面介绍的BAN IP法。我们可以通过修改SYN缓存的方法防御小型DOS与DDOS的攻击。该方法在笔者所在公司收效显著。

修改SY缓存大小是通过注册表的相关键值完成的。我们将为各位读者介绍在WINDOWS2003和2000中的修改方法。

（1）WIN2003下拒绝访问攻击的防范：

第一步：“开始->运行->输入regedit”进入注册表编辑器。

第二步：找到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services，在其下的有个SynAttackProtect键值。默认为0将其修改为1可更有效地防御SYN攻击。

小提示：该参数可使TCP调整SYN-ACKS的重新传输。将SynAttackProtect设置为1时，如果系统检测到存在SYN攻击，连接响应的超时时间将更短。

第三步：将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下EnableDeadGWDetect键值，将其修改为0。该设置将禁止SYN攻击服务器后强迫服务器修改网关从而使服务暂停。

第四步：将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下EnablePMTUDiscovery键值，将其修改为0。这样可以限定攻击者的MTU大小，降低服务器总体负荷。

第五步：将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下KeepAliveTime设置为300,000。将NoNameReleaseOnDemand

设置为1。

（2）WIN2000下拒绝访问攻击的防范：

在WIN2000下拒绝访问攻击的防范方法和2003基本相似，只是在设置数值上有些区别。我们做下简单介绍。

第一步：将SynAttackProtect设置为2。

第二步：将EnableDeadGWDetect设置为0。

第三步：将EnablePMTUDiscovery设置为0。

第四步：将KeepAliveTime设置为300000。

第五步：将NoNameReleaseOnDemand设置为1。

总结：经过上面介绍的察觉攻击法，BAN IP法和最后的修改注册表法可以有效的防范DOS与DDOS的攻击。不过由于DDOS攻击的特点，实际上没有一台服务器能够彻底防范它，即使安装了专业的防范DDOS的硬件防火墙也不能百分之百的避免损失。今天介绍的几个方法只是免费的防范手段，实际中能起到一定的效果。

通过相应的关键字去识别是否有 Sql注入攻击代码

string SqlStr = "and |exec |insert |select |delete |update |count | * |chr |mid |master |truncate |char |declare ";

在下面的代码中你要看以上面的定义, 其实就是定义要识别的关键字.

而我们处理请求一般都是通过 Request.QueryString / Request.Form 这两种

我们可以专门写一个类去处理这些请求, 但如果在每一个处理环节都载入这个类去做处理, 那太麻烦了.

如果写一个ISAPI当然也能完成这个功能的实现, 但在.NET 中 HttpModule帮我们实现了类似于ISAPI Filter的功能, 所以改为通过 HttpModule 去处理这些事情是最好不过的啦.

我们现在要用到的只是里面的BeginRequest这个事件, 所以只需要注册BeginRequest这个事件就可以了.



REM 过滤字符串
Dim strFilter As String = "and|exec|insert|select|delete|update|count|*|chr|mid|master|truncate|char|declare|&"
REM 分割后的过滤字符串数组
Dim strf() As String
Dim strTemp1, strTemp2 As String
strf = strFilter.Split("|")

If Request.RequestType = "GET" Then
For Each strTemp1 In Request.QueryString
For Each strTemp2 In strf
If InStr(LCase(strTemp1), LCase(strTemp2), CompareMethod.Text) Then
Response.Write("想干啥？别注我！有漏洞通知QQ：26242000")
Response.End()
End If
Next
Next
ElseIf Request.RequestType = "POST" Then
For Each strTemp1 In Request.Form
For Each strTemp2 In strf
If InStr(LCase(strTemp1), LCase(strTemp2), CompareMethod.Text) Then
Response.Write("想干啥？别注我！有漏洞通知QQ：26242000")
Response.End()
End If
Next
Next
End If


再来看看我在百度上找的sql防攻击代码



// @copyright S.Sams Lifexperience http://blog.8see.net/
using System;

namespace Theme.Services.Public
{
/// <summary>
/// SqlstrAny 的摘要说明。
/// </summary>
public class ProcessRequest
{
public ProcessRequest()
{
//
// TODO: 在此处添加构造函数逻辑
//
}

#region SQL注入式攻击代码分析
/// <summary>
/// 处理用户提交的请求
/// </summary>
public void StartProcessRequest()
{
try
{
string getkeys = "";
string sqlErrorPage = System.Configuration.ConfigurationSettings.AppSettings["CustomErrorPage"].ToString();
if (System.Web.HttpContext.Current.Request.QueryString != null)
{

for(int i=0;i<System.Web.HttpContext.Current.Request.QueryString.Count;i++)
{
getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys[i];
if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage+"?errmsg=sqlserver&sqlprocess=true");
System.Web.HttpContext.Current.Response.End();
}
}
}
if (System.Web.HttpContext.Current.Request.Form != null)
{
for(int i=0;i<System.Web.HttpContext.Current.Request.Form.Count;i++)
{
getkeys = System.Web.HttpContext.Current.Request.Form.Keys[i];
if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage+"?errmsg=sqlserver&sqlprocess=true");
System.Web.HttpContext.Current.Response.End();
}
}
}
}
catch
{
// 错误处理: 处理用户提交信息!
}
}
/// <summary>
/// 分析用户请求是否正常
/// </summary>
/// <param name="Str">传入用户提交数据</param>
/// <returns>返回是否含有SQL注入式攻击代码</returns>
private bool ProcessSqlStr(string Str)
{
bool ReturnValue = true;
try
{
if (Str != "")
{
string SqlStr = "and |exec |ins&#101;rt |sel&#101;ct |del&#101;te |up&#100;ate |count | * |chr |mid |master |truncate |char |declare ";
string[] anySqlStr = SqlStr.Split(&#39;|&#39;);
foreach (string ss in anySqlStr)
{
if (Str.IndexOf(ss)>=0)
{
ReturnValue = false;
}
}
}
}
catch
{
ReturnValue = false;
}
return ReturnValue;
}
#endregion

}
}

// System.Configuration.ConfigurationSettings.AppSettings["CustomErrorPage"].ToString(); 这个为用户自定义错误页面提示地址,
//在Web.Config文件时里面添加一个 CustomErrorPage 即可
//<!-- 防止SQL数据库注入攻击的出错页面自定义地址 -->
// <add key="CustomErrorPage" value="../Error.html" />

由于网络和各种存储设备的飞速发展，使得病毒传播的几率也大大的增加了。虽然可以通过安装防病毒软件和网络防火墙来保护你的系统，但是由于病毒技术的发展势头十分迅猛，甚至许多网页中都包含了很多恶意代码，如果用户的防范意识不强的话，即使安装了防病毒软件也很容易“中招”。


笔者经过查阅微软资料以及个人的使用经验，总结出一套防范病毒的方法，希望能对大家有所帮助。

如果大家使用的是Windows2000/XP或2003操作系统的话，那么你可以尝试一下以下的方法——从源头上让你的系统可以对病毒免疫。

首先全新安装的操作系统（或者你能确认你当前使用的系统是无毒的），立即就打开：

“开始→程序→管理工具→计算机管理→本地用户和组→用户” ，把超级管理员密码更改成十位数以上，并且尽量使用数字和大小写字母相结合的密码。然后再建立一个用户，把它的密码也设置成十位以上并且提升为超级管理员。这样做的目的是为了双保险：如果你忘记了其中一个密码，还有使用另一个超管密码登陆来挽回的余地，免得你被拒绝于系统之外；再者就是网上的黑客无法再通过猜测你系统超管密码的方式远程获得你系统的控制权而进行破坏。接着再添加两个用户，比如用户名分别为：nyh1、nyh2；并且指定他们属于user组，好了，准备工作到这里就全部完成了，以后你除了必要的维护计算机外就不要使用超级管理员和nyh2登陆了。只使用nyh1登陆就可以了。

（建立新用户时，默认为user组。如果要建立管理员用户，在新建完用户后，在“组”里面，点选Administrators组，点击“添加”把这个帐号加入Administrators组中。）

登陆之后上网的时候找到IE，并为它建立一个快捷方式到桌面上，右键单击快捷方式，选择“以其他用户方式运行”点确定！要上网的时候就点这个快捷方式，它会跟你要用户名和密码这时候你就输入nyh2的用户名和密码！！！好了，现在你可以使用这个打开的窗口去上网了，可以随你便去放心的浏览任何恶毒的、恶意的、网站跟网页，而不必再担心中招了！因为你当前的系统活动的用户时nyh1。

而nyh2是不活动的用户，我们使用这个不活动的用户去上网时，无论多聪明的网站，通过IE得到的信息都将让它都将以为这个nyh2就是你当前活动的用户，如果它要在你浏览时用恶意代码对你的系统搞搞破坏的话根本就时行不通的，即使能行通，那么被修改掉的仅仅时nyh2的一个配置文件罢了，而很多恶意代码和病毒试图通过nyh2进行的破坏活动却都将失败，因为nyh2根本就没运行，怎么能取得系统的操作权呢？？既然取不得，也就对你无可奈何了。而他们更不可能跨越用户来操作，因为微软得配置本来就是各用户之间是独立的，就象别人不可能跑到我家占据我睡觉用的床一样，它们无法占据nyh1的位置！所以你只要能保证总是以这个nyh2用户做代理来上网（但却不要使用nyh2来登陆系统，因为如果那样的话，如果nyh2以前中过什么网页病毒，那么在user2登陆的同时，他们极有可能被激活！），那么无论你中多少网页病毒，全部都将是无法运行或被你当前的nyh1用户加载的，所以你当前的系统将永远无毒！ 下面是建立IE快捷方式的步骤。

在桌面上点击右键，选择“新建——快捷方式”，在弹出的窗口中选择IEXPLORE（位置在"C:Program FilesInternet ExplorerIEXPLORE.EXE"），点击“下一步”完成。然后鼠标右键点击该快捷方式，选择“属性”，再点击“高级按钮”，在以“其他用户身份运行”前打上勾。

以后上网点击IE的时候，会出现如下窗口，输入nyh2和密码即可。

不过总有疏忽的时候，万一不小心接收了别人发来的病毒文件，或者从邮件中收到病毒文件，一个不小心中毒了怎么办？？

不用担心，现在我们就可以来尽情的表演金蝉脱壳的技术了！

开始金蝉脱壳：

重新启动计算机，使用超级管理员登陆——进入系统后什么程序都不要运行

你会惊奇的发现在的系统竟然表现的完全无毒！那就再好不过了，现在就立即就打开：

“开始→程序→管理工具→计算机管理→本地用户和组→用户” 吧！

把里面的nyh1和nyh2两个用户全删掉吧，你只需要这么轻轻的一删就可以了，那么以前随着这两个用户而存在的病毒也就跟随着这两个用户的消失而一起去长眠了——（好象是陪葬，呵呵！）。这么做过之后我保证你的Windows就象新装的一个样，任何系统文件和系统进程里都完全是没有病毒的！

好！现在再重复开始的步骤从新建立nyh1和nyh2两个用户，让他们复活吧。他们复活是复活了，但是曾跟随了他们的病毒却是没这机会了，因为WindowsXP重新建立用户的时候会重新分配给他们全新的配置，而这个配置是全新的也是不可能包含病毒的！！！建立完成之后立即注销超级管理员，转如使用nyh1登陆，继续你象做的事吧，你会发现你的系统如同全新了！以上方法可以周而复始的用，再加上经常的去打微软的补丁，几乎可以永远保证你的操作系统是无毒状态！只要你能遵循以下两条规则：

一、任何时间都不以超级管理员的身份登陆系统——除非你要进行系统级更新和维护、需要使用超级管理员身份的时候或是你需要添加和删除用户的时候。

二、必须使用超级管理员登陆的时候，保证不使用和运行任何除了操作系统自带的工具和程序之外的任何东西，而且所有维护都只通过开始菜单里的选项来完成，甚至连使用资源管理器去浏览硬盘都不！ 只做做用户和系统的管理和维护就立即退出，而决不多做逗留！（这也是微软的要求，微软最了解自己的东东，他的建议是正确的。浏览硬盘的事，在其他用户身份下你有大把的机会，在超级管理员的身份下还是不要了！！这应该事能完全作到的）。

总结

通过以上的方法应该能保证你的系统是安全的了，但是计算机技术的发展速度太快，系统和病毒的运行方式可能随时都会革新，所以以上的方法也不能保证100%的绝对防毒。

如今网上黑客横行，稍不留神就可能被黑客光顾，避如前段时间我们空间商的服务器就被入侵了，数据都被删光了，所以要想在网上生存，做好安全措施是必不可少的。一般我们都只重视对机器进行安全设置，而往往忽略了被入侵后的信息收集问题，今天我就介绍三种让黑客留下痕迹的方法，希望能对大家有所帮助。


一、利用“木马”进行记录

1.木马简介

这里要用到的是一个很特殊的dll木马，它可以把通过终端登陆的用户名、密码，以及域信息记录到指定文件中。不要以为这些信息没什么用哦！有时候就得*这些零散的信息来找入侵的人。

在下载的压缩包内，有三个文件：

SysGina32.dll--这个就是可以记录用户名和密码的东东了。

Gina.exe--这是安装DLL木马用的程序，有了它后安装起来就很方便了。

使用方法.txt--这个很熟悉吧！中文帮助文件哦！有什么不懂的可以查查。

2.安装木马

先把SysGina32.dll和Gina.exe放在同一目录下，并将Gina.exe改名为svchost.exe(你也可以改成其它名字，为的是不让黑客注意到)，然后打开CMD，切换到保存这两个文件的文件夹，输入命令：svchost.exe -install，当出现“All Done，Gina setup success”信息时，安装就成功了。

注意：

a.该木马已被杀毒软件查杀，所以安装时请关闭杀毒软件(不是关闭防火墙哦！)，而且以后重启时杀毒软件不能一起启动，以后杀一次毒重新装一次该木马。不过如果你能让该木马不被杀毒软件的话，那就没这么麻烦了。

b.为了不让黑客发现我们设的陷阱，最好将Gina.exe文件改名，而且要改的艺术一点，比如上面我把它改成了“svchost.exe”，这样就很难发现了，如果你改成了其它名字，安装时命令就要换成“文件名.exe -install”。

c.SysGina32.dll和Gina.exe这两个文件不一定要复制到系统安装目录的system32下，不过最好不要太引人注意，如果被黑客发现，那就可能适得其反了(木马也会记下你的密码的)。

d.如果出现的信息是“Found Exist Gina”，这说明你机器已经装过该木马了，此时键入“Y”覆盖即可。

3.查看“踪迹”

经过以上设置后，如果有人通过终端服务登录你的机器，那么他的用户名和密码就会被记录到“C:＼WINNT＼system32＼GinaPwd.txt”这个文件中，打开这文件就可以看到入侵者的踪迹了。由于该木马也会记录你的密码，所以每次进入机器时，请先打开GinaPwd.txt这文件，把你的用户名和密码删掉，顺便查一下有没有其它人登录过。

4.删除木马

如果你的机器不幸被人中了该木马，那么请按如下方法删除：

先下载该木马，在CMD下输入命令：gina.exe -remove，当出现“ Gina Dll was removed success”时，就表示删除成功了，接着重启机器即可。

注意：如果你把gina.exe改名了，命令也要做相应改变：文件名.exe -

二、写个批处理记录黑客行踪

1.认识批处理

对于批处理文件，你可以把它理解成批量完成你指定命令的文件，它的扩展名为 .bat 或 .cmd，只要在文本文件中写入一些命令，并把它保存为.bat 或 .cmd格式，然后双击该文件，系统就会按文本文件中的命令逐条执行，这样可以节省你许多的时间。

2.编写批处理文件

打开记事本，然后输入如下命令：


@echo off
date /t >>d:＼3389.txt
attrib +s +h d:＼3389.bat
attrib +s +h d:＼3389.txt
time /t >>d:＼3389.txt
netstat -an |find "ESTABLISHED" |find ":3389" >>d:＼3389.txt


然后把文件保存为d:＼3389.bat，这里我解释一下命令的意思，date和time是用于获取系统时间的，这样可以让你知道黑客在某天的某个时刻入侵。“attrib +s +h d:＼3389.bat”和“attrib +s +h d:＼3389.txt”这两个命令是用来隐藏3389.bat和3389.txt这两个文件的，因为在登录时，由于会启动d:＼3389.bat这个文件，所以会有一个CMD窗口一闪而过，有经验的黑客应该能判断出这窗口是记录用的，所以他可能会到处找这个记录文件，用了以上两个命令后，即使他用系统自带的搜索功能以3389为关键字进行搜索，也找不到上面3389.bat和3389.txt这两个文件，哈哈！很棒吧！至于“netstat -an |find "ESTABLISHED" |find ":3389" >>d:＼3389.txt”这个命令则是记录通过终端的连结状况的，明白了吧！

接下来我们要让系统启动时自动运行d:＼3389.bat这文件，我用的方法是修改注册表，依次展开：HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼WindowsNT＼CurrentVersion＼Winlogon，找到“Userinit”这个键值，这个键值默认为c:＼WINNT＼system32＼userinit.exe，不知你注意到没有，在最后有一个逗号，我们要利用的就是这逗号，比如我上面写的3389.bat文件路径为d:＼3389.bat，那么我只要在逗号后面加上“d:＼3389.bat”即可，这样启动时3389.bat这文件就会运行，选这个键值的原因是因为它隐蔽，如果是加在Run键值下的话是很容易被发现的。最后提醒一点，键值末尾的逗号别忘了加上去哦！

4.查看记录

前面我们用了attrib命令把3389.bat和3389.txt这两个文件隐藏起来，下面我们来让它们重新显示。

打开CMD，切换到保存这两个文件的路径，这里是切换到“d:＼”目录，输入命令：attrib -s -h d:＼3389.bat和attrib -s -h d:＼3389.txt，这时再到d盘看看，是不是出现了？打开文件即可查看登录情况，从中我们可以看出，10.51.5.36这IP连结到了我的3389端口(我的IP是10.51.5.35)。

三、记录黑客动作

有了以上两道防线，我们就能知道黑客的用户名、密码、以及入侵时的IP了，不过这样好像还不够，要是能知道黑客都干了些什么就更好了，下面我们再设置一个陷阱，这里要用到的工具是“计算机系统日志”。

该软件的特色就是可以在后台记录所有运行过的程序和窗口名称，并且有具体的时期，以及登录的用户名，很恐怖哦！下面咱们来设陷阱吧！

1.记录日志

双击压缩包内的主程序，点击“软件试用”进入主界面，在“日志文件保存路径”处点击“浏览”选择保存路径并进行命名，这里保存在c:＼winnt＼log.txt。然后钩选“日志记录随计算机自动启动”。

注意：

a.为了防止黑客找到记录日志的文件，你可以用上面提到的命令：attrib +s +h c:＼winnt＼log.txt进行隐藏。

b.最好不要将这个记录文件和上面的3389.txt放一个目录下，这样万一被发现其中一个，不至于使另一个也一同被发现。

c.软件在“任务管理器”的进程中显示名称为“syslog”，而且未注册版本会在20分钟后自动停止记录，所以只能用来对付菜鸟黑客啦！而且还得先花点“银子”，哈哈！

接下来在“程序密码保护”处输入一个复杂点的密码，点击“开始日志”。这时软件会提醒你隐藏后的热键为“Ctrl+Q”，请记住这个热键，以后要唤出软件时就得*它了。

2.查看动作

想知道这样设置后记录下来的东西是什么样吗？那就快来看看吧。怎么样？对这种记录结果你还满意吗？

以上就是我比较推荐的三种方法了，都非常的实用，你不妨也试试哦！

当您在 Microsoft Internet Explorer、Microsoft Outlook Express 或 Microsoft Outlook 中指向某个超链接时，相应的 Web 站点的地址通常显示在窗口底部的状态栏中。当您单击的链接在 Internet Explorer 中打开后，相应 Web 站点的地址通常显示在 Internet Explorer 的地址栏中，同时相应 Web 页的标题通常显示在窗口的标题栏中。

将实际 URL 与地址栏中的 URL 进行比较。如果它们不相符，则该 Web 站点有可能是在谎报。在这种情况下，您可能需要关闭 Internet Explorer。

使用 Internet Explorer 中的“历史记录”窗格来识别当前 Web 站点的实际 URL在 Microsoft 已经验证的一些情形中，您还可以使用 Internet Explorer 中的“历史记录”浏览器栏来帮助识别 Web 页的 URL。 在“查看”菜单上，指向“浏览器栏”，然后单击“历史记录”。将地址栏中的 URL 与“历史记录”栏中显示的 URL 进行比较。如果他们不匹配，则该 Web 站点很可能是谎报了自己，您可能需要关闭 Internet Explorer。

将 URL 粘贴到一个新实例的地址栏中

您可以将 URL 粘贴到 Internet Explorer 的一个新实例的地址栏中。这样，您可能能够验证 Internet Explorer 访问目标 Web 站点时将使用的信息。在 Microsoft 已经验证的一些情形中，您可以通过以下方法来验证 Internet Explorer 访问目标 Web 站点时实际使用的信息：复制显示在地址栏中的 URL 并将其粘贴到 Internet Explorer 的一个新会话的地址栏中。这一方法与上文“如何防范冒牌 Web 站点”一节介绍的方法相近。

警告：如果您在某些站点（例如电子商务站点）上执行此操作，则此操作可能会导致您的当前会话丢失。例如，在线购物车的内容可能会丢失，这样，您就必须重新填充该购物车。

要将 URL 粘贴到 Internet Explorer 的一个新实例的地址栏中，请按照下列步骤操作：

1. 选中地址栏中的文本，右键单击该文本，然后单击“复制”。

2. 关闭 Internet Explorer。

3. 启动 Internet Explorer。

4. 在地址栏中单击，单击右键，然后单击“粘贴”。

5. 按 Enter 键。

用于识别恶意超链接的方法

用来验证 Internet Explorer 在访问目标 Web 站点时需要使用的信息的唯一方法是在地址栏中手动键入 URL。但是，在某些情况下，您可以采用一些方法来帮助您识别恶意超链接。

警告：下面的信息针对已知的攻击提供了一些一般性的准则。因为攻击经常会发生变化，恶意用户可能会使用此处未介绍的方法来创建冒牌 Web 站点。为了帮助您保护自己，您只应在验证了数字证书上的名称后，才可键入个人信息或敏感信息。此外，如果您基于任何理由怀疑一个站点的真实性，请立即通过关闭浏览器窗口来离开此站点。通常情况下，最快捷的关闭浏览器窗口的方法是按 ALT+F4。

尝试识别一个超链接将要使用的 URL

要尝试识别一个超链接要使用的 URL，请按照下列步骤操作：

1. 右键单击该链接，然后单击“复制快捷方式”。

2. 单击“开始”，然后单击“运行”。

3. 键入 notepad，然后单击“确定”。

4. 在“记事本”中的“编辑”菜单上，单击“粘贴”。

这样，您就能够查看任何超链接的完整 URL，并且可以检查 Internet Explorer 将使用的地址。以下列出了 URL 中可能会出现的一些有可能将您引到冒牌 Web 站点的字符：


• %00
• %01
• @


例如，以下形式的 URL 将打开 http://example.com，但是该 URL 可能在 Internet Explorer 的地址栏或状态栏中显示为：


http://www.wingtiptoys.com：
01@example.com&#39; target=_blank>http://www.wingtiptoys.com%01@example.com


其他可以采用的方法

虽然这些操作不能帮助您识别一个欺骗性（冒牌）Web 站点或 URL，但它们有助于限制从冒牌 Web 站点或恶意超链接成功发起的攻击所造成的损害。不过，它们会限制电子邮件和 Internet 区域中的 Web 站点运行脚本、ActiveX 控件和其他可能具有破坏作用的内容。 • 使用您的 Web 内容区域来帮助阻止 Internet 区域中的 Web 站点在计算机中运行脚本、ActiveX 控件或其他具有破坏作用的内容。首先，在 Internet Explorer 中将 Internet 区域安全级别设置为“高”。为此，请按照下列步骤操作：

1. 在“工具”菜单上，单击“Internet 选项”。

2. 单击“安全”选项卡，单击“Internet”，然后单击“默认级别”。

3. 将滑块移动到“高”，然后单击“确定”。

然后，将您信任的 Web 站点的 URL 添加到“可信站点”区域。为此，请按照下列步骤操作：

1. 在“工具”菜单上，单击“Internet 选项”。

2. 单击“安全”选项卡。

3. 单击“可信站点”。

4. 单击“站点”。

5. 如果您要添加的站点不需要服务器验证，请单击以清除“该区域中所有站点都需要服务器验证(https:)”复选框。

6. 键入您要添加到“可信站点”列表中的 Web 站点的地址。

7. 单击“添加”。

8. 对您要添加的每个 Web 站点重复步骤 6 和 7。

9. 单击“确定”两次。

以纯文本格式阅读电子邮件

通过以纯文本格式阅读电子邮件，您可以查看任何超链接的完整 URL，并可检查 Internet Explorer 将使用的地址。以下列出了 URL 中可能会出现的一些有可能将您引到冒牌 Web 站点的字符：


• %00
• %01
• @


例如，以下形式的 URL 将打开http://example.com，但是在 Internet Explorer 的地址栏中显示的 URL 可能为:


http://www.wingtiptoys.com：
01@example.com&#39; target=_blank>http://www.wingtiptoys.com%01@example.com

你已经决心下大力气搞好应用安全吗？毕竟，例如金融交易、信用卡号码、机密资料、用户档案等信息，对于企业来说太重要了。不过这些应用实在太庞大、太复杂了，最困难的就是，这些应用在通过网络防火墙上的端口80（主要用于HTTP）和端口443（用于SSL）长驱直入的攻击面前暴露无遗。这时防火墙可以派上用场，应用防火墙发现及封阻应用攻击所采用的八项技术如下：深度数据包处理


　　深度数据包处理有时被称为深度数据包检测或者语义检测，它就是把多个数据包关联到一个数据流当中，在寻找攻击异常行为的同时，保持整个数据流的状态。深度数据包处理要求以极高的速度分析、检测及重新组装应用流量，以避免给应用带来时延。下面每一种技术代表深度数据包处理的不同级别。

　　TCP/IP终止

　　应用层攻击涉及多种数据包，并且常常涉及多种请求，即不同的数据流。流量分析系统要发挥功效，就必须在用户与应用保持互动的整个会话期间，能够检测数据包和请求，以寻找攻击行为。至少，这需要能够终止传输层协议，并且在整个数据流而不是仅仅在单个数据包中寻找恶意模式。

　　SSL终止

　　如今，几乎所有的安全应用都使用HTTPS确保通信的保密性。然而，SSL数据流采用了端到端加密，因而对被动探测器如入侵检测系统（IDS）产品来说是不透明的。为了阻止恶意流量，应用防火墙必须终止SSL，对数据流进行解码，以便检查明文格式的流量。这是保护应用流量的最起码要求。如果你的安全策略不允许敏感信息在未加密的前提下通过网络传输，你就需要在流量发送到Web服务器之前重新进行加密的解决方案。

　　URL过滤

　　一旦应用流量呈明文格式，就必须检测HTTP请求的URL部分，寻找恶意攻击的迹象，譬如可疑的统一代码编码（unicode encoding）。对URL过滤采用基于特征的方案，仅仅寻找匹配定期更新的特征、过滤掉与已知攻击如红色代码和尼姆达有关的URL，这是远远不够的。这就需要一种方案不仅能检查RUL，还能检查请求的其余部分。其实，如果把应用响应考虑进来，可以大大提高检测攻击的准确性。虽然URL过滤是一项重要的操作，可以阻止通常的脚本少年类型的攻击，但无力抵御大部分的应用层漏洞。

　　请求分析

　　全面的请求分析技术比单单采用URL过滤来得有效，可以防止Web服务器层的跨站脚本执行（cross-site scripting）漏洞和其它漏洞。全面的请求分析使URL过滤更进了一步：可以确保请求符合要求、遵守标准的HTTP规范，同时确保单个的请求部分在合理的大小限制范围之内。这项技术对防止缓冲器溢出攻击非常有效。然而，请求分析仍是一项无状态技术。它只能检测当前请求。正如我们所知道的那样，记住以前的行为能够获得极有意义的分析，同时获得更深层的保护。

　　用户会话跟踪

　　更先进的下一个技术就是用户会话跟踪。这是应用流量状态检测技术的最基本部分：跟踪用户会话，把单个用户的行为关联起来。这项功能通常借助于通过URL重写（URL rewriting）来使用会话信息块加以实现。只要跟踪单个用户的请求，就能够对信息块实行极其严格的检查。这样就能有效防御会话劫持（session-hijacking）及信息块中毒（cookie-poisoning）类型的漏洞。有效的会话跟踪不仅能够跟踪应用防火墙创建的信息块，还能对应用生成的信息块进行数字签名，以保护这些信息块不被人篡改。这需要能够跟踪每个请求的响应，并从中提取信息块信息。

　　响应模式匹配

　　响应模式匹配为应用提供了更全面的保护：它不仅检查提交至Web服务器的请求，还检查Web服务器生成的响应。它能极其有效地防止网站受毁损，或者更确切地说，防止已毁损网站被浏览。对响应里面的模式进行匹配相当于在请求端对URL进行过滤。响应模式匹配分三个级别。防毁损工作由应用防火墙来进行，它对站点上的静态内容进行数字签名。如果发现内容离开Web服务器后出现了改动，防火墙就会用原始内容取代已毁损页面。至于对付敏感信息泄露方面，应用防火墙会监控响应，寻找可能表明服务器有问题的模式，譬如一长串Java异常符。如果发现这类模式，防火墙就会把它们从响应当中剔除，或者干脆封阻响应。

采用“停走”字（‘stop and go’word）的方案会寻找必须出现或不得出现在应用生成的响应里面的预定义通用模式。譬如说，可以要求应用提供的每个页面都要有版权声明。

　　行为建模

　　行为建模有时称为积极的安全模型或“白名单”（white list）安全，它是唯一能够防御最棘手的应用漏洞——零时间漏洞的保护机制。零时间漏洞是指未写入文档或“还不知道”的攻击。对付这类攻击的唯一机制就是只允许已知是良好行为的行为，其它行为一律禁止。这项技术要求对应用行为进行建模，这反过来就要求全面分析提交至应用的每个请求的每次响应，目的在于识别页面上的行为元素，譬如表单域、按钮和超文本链接。这种级别的分析可以发现恶意表单域及隐藏表单域操纵类型的漏洞，同时对允许用户访问的URL实行极其严格的监控。行为建模是唯一能够有效对付全部16种应用漏洞的技术。行为建模是一种很好的概念，但其功效往往受到自身严格性的限制。

　　某些情况譬如大量使用JavaScript或者应用故意偏离行为模型都会导致行为建模犯错，从而引发误报，拒绝合理用户访问应用。行为建模要发挥作用，就需要一定程度的人为干预，以提高安全模型的准确性。行为自动预测又叫规则自动生成或应用学习，严格说来不是流量检测技术，而是一种元检测（meta-inspection）技术，它能够分析流量、建立行为模型，并且借助于各种关联技术生成应用于行为模型的一套规则，以提高精确度。行为建模的优点在于短时间学习应用之后能够自动配置。保护端口80是安全人员面临的最重大也是最重要的挑战之一。所幸的是，如今已出现了解决这一问题的创新方案，而且在不断完善。如果在分层安全基础设施里面集成了能够封阻16类应用漏洞的应用防火墙，你就可以解决应用安全这一难题。

随着核心应用业务逐渐网络化，网络安全成为企业网络管理人员最急需解决的问题，“系统入侵”目前是威胁企业网络信息安全的首要元凶，系统漏洞屡被攻击，病毒在网络泛滥，主动防御和应用安全的压力日益增大，我们需要一个能够实时有效的安全防护系统。

安全防护系统是一个多层次的保护机制，它既包括企业的安全策略，又包括防火墙、防病毒、入侵防护等多种产品的解决方案。传统的，我们会仅用防火墙或防毒墙来反击，但因为他们主要是防御直接的可疑流量，面对黑客攻击水平的不断提高，及内部因计算机操作而存在的安全隐患等混合威胁的不断发展，这种单一的防护措施已经显得力不从心。

IDS入侵检测系统一直以来充当了安全防护系统的重要角色，IDS技术是通过从网络上得到数据包进行分析，从而检测和识别出系统中的未授权或异常现象。IDS注重的是网络监控、审核跟踪，告知网络是否安全，发现异常行为时，自身不作为，而是通过与防火墙等安全设备联动的方式进行防护。IDS目前是一种受到企业欢迎的解决方案，但其目前存在以下几个显著缺陷：一是网络缺陷（用交换机代替可共享监听的HUB使IDS的网络监听带来麻烦，并且在复杂的网络下精心的发包也可以绕过IDS的监听）；二是误报量大（只要一开机，报警不停）；三是自身防攻击能力差等缺陷，所以，IDS还是不足完成网络安全防护的重任。

IDS的缺陷，成就了IPS的发展，IPS技术能够对网络进行多层、深层、主动的防护以有效保证企业网络安全，IPS的出现可谓是企业网络安全的革命性创新。简单地理解，IPS等于防火墙加上入侵检测系统，但并不代表IPS可以替代防火墙或IDS。防火墙在基于TCP/IP协议的过滤方面表现非常出色，IDS提供的全面审计资料对于攻击还原、入侵取证、异常事件识别、网络故障排除等等都有很重要的作用。

下面，我们来分析一下市场上主流的IPS生产厂商，看看他们在设计IPS产品时，是如何有效实现IPS的主动入侵防护功能的。

从安全厂商来看，国外品牌McAfee、ISS、Juniper、Symantec、华为3Com，国内品牌如冰峰网络、绿盟科技等众多厂商都有多款百兆和千兆的IPS产品，国产品牌（如冰峰网络）的千兆IPS产品的性能相对过去，更是有了长足的发展，对大流量网络的适应能力明显增强。从对这些主流IPS 产品的评测来看，一个稳定高效的IPS产品，需要具备以下几个方面的能力：

检测机制：由于需要具备主动阻断能力，检测准确程度的高低对于IPS来说十分关键。IPS厂商综合使用多种检测机制来提高IPS的检测准确性。据Juniper 的工程师介绍，Juniper产品中使用包括状态签名、协议异常、后门检测、流量异常、混合式攻击检测在内的“多重检测技术”，以提高检测和阻断的准确程度。McAfee 公司则在自己的实验室里加强了对溢出型漏洞的研究和跟踪，把针对溢出型攻击的相应防范手段推送到IPS 设备的策略库中。国内品牌冰峰网络在IPS设备中采用了漏洞阻截技术，通过研究漏洞特征，将其加入到过滤规则中，IPS就可以发现符合漏洞特征的所有攻击流量，在冲击波及其变种大规模爆发时，直接将其阻断，从而赢得打补丁的关键时间。

弱点分析：IPS产品的发展前景取决于攻击阻截功能的完善。引入弱点分析技术是IPS完善攻击阻截能力的更要依据，IPS厂商通过分析系统漏洞、收集和分析攻击代码或蠕虫代码、描述攻击特征或缺陷特征，使IPS 能够主动保护脆弱系统。由于软件漏洞是不法分子的主要攻击目标，所以几乎所有IPS厂商都在加强系统脆弱性的研究。ISS、赛门铁克分别设立了漏洞分析机构。McAfee也于日前收购了从事漏洞研究的 Foundstone公司，致力于把漏洞分析技术与入侵防护技术结合起来，Juniper设有一个专门的安全小组，密切关注新的系统弱点和蠕虫，国内的IPS厂商，如绿盟科技、冰峰网络等，虽然没有自己独立的弱点分析机构，但也在严密关注相关权威机构发布的弱点分析报告，及时更新过滤机制。


应用环境：IPS 的检测准确率还依赖于应用环境。一些流量对于某些用户来说可能是恶意的，而对于另外的用户来说就是正常流量，这就需要IPS能够针对用户的特定需求提供灵活而容易使用的策略调优手段，以提高检测准确率。McAfee、Juniper、ISS、冰峰网络等公司同时都在IPS中提供了调优机制，使IPS通过自学习提高检测的准确性。

全面兼容：所有的用户都希望用相对少的投入，建设一个最安全、最易管理的网络环境。IPS如若需达到全面防护工作，则还要把其它网络管理功能集成起来，如网络管理、负载均衡、日志管理等，各自分工，但紧密协作。