论文部分内容阅读
在你毫不知情间，黑客已经通过你永久在线的ADSL入侵了你系统，不能让他们就这样得逞。
包月ADSL用户一般在线时间比较长，但是都比较缺乏安全防护意识，每天上网十几个小时，甚至通宵开机的人不在少数，而且还有人把自己的机器做成Web或者ftp服务器供其他人访问。这样的系统非常容易被黑客攻陷，甚至用你的ADSL账户付款购物，盗取你的金钱增加你的话费。但是，如果你能按下面的步骤操作，就能保证自己的安全。
第1步 一定要把Guest账号禁用。有很多入侵都是通过这个账号进一步获得管理员密码或者权限的。如果不想把自己的计算机给别人当玩具，那还是禁止的好。打开控制面板，双击“用户和密码”，选择“高级”选项卡。单击“高级”按钮，弹出本地用户和组窗口。在Guest账号上面点击右键，选择属性，在“常规”页中选中“账户已停用”。
第2步 停止共享。Windows 2000安装好之后，系统会创建一些隐藏的共享。点击开始→运行→cmd，然后在命令行方式下键入命令“net share”就可以查看它们。网上有很多关于IPC入侵的文章，都利用了默认共享连接。要禁止这些共享，打开管理工具→计算机管理→共享文件夹→共享，在相应的共享文件夹上按右键，点“停止共享”就行了。
第3步 尽量关闭不必要的服务，如Terminal Services、IIS（如果你没有用自己的机器作Web服务器的话）、RAS（远程访问服务）等。这些服务除了给黑客放行外基本上对个人用户来说是完全无用的。打开“管理工具→计算机管理→服务和应用程序→服务”，找到它们，立刻“停止”并改成“手动”。
第4步 禁止建立空连接。在默认的情况下，任何用户都可以通过空连接连上服务器，枚举账号并猜测密码。我们必须禁止建立空连接，方法有以下两种：
1.修改注册表
HKEY_Local_MachineSystemCurrent-ControlSetControlLSA下，将DWORD值RestrictAnonymous的键值改成1，见图1。
2.修改Windows 2000的本地安全策略
设置“本地安全策略→本地策略→选项”中的RestrictAnonymous（匿名连接的额外限制）为“不容许枚举SAM账号和共享”。
第5步 如果开放了Web服务，还需要对IIS服务进行安全配置
1.更改Web服务主目录。右键单击“默认Web站点→属性→主目录→本地路径”，将“本地路径”指向其他目录，见图2。
2.删除原默认安装的Inetpub目录。
3.删除以下虚拟目录: _vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。
4.删除不必要的IIS扩展名映射。方法是：右键单击“默认Web站点→属性→主目录→配置”，打开应用程序窗口，去掉不必要的应用程序映射。如不用到其他映射，只保留.asp、.asa即可。
5.备份IIS配置。可使用IIS的备份功能，将设定好的IIS配置全部备份下来，这样就可以随时恢复IIS的安全配置。
不要以为这样就万事大吉了，微软的操作系统我们又不是不知道，bug何其多，所以一定要把微软的补丁打全。
最后，建议大家选择一款实用的防火墙。比如Network ICE Corporation公司出品的Black ICE。它的安装和运行十分简单，就算对网络安全不太熟悉也没有关系，使用缺省的配置就能检测绝大多数类型的黑客攻击。对于有经验的用户，还可以选择“Tools”中的“Advanced Firewall Settings”，来针对特定的IP地址或者UDP的特定端口进行接受或拒绝配置，以达到特定的防御效果。
CFan安全信息榜
补丁公告：微软安全公告 MS06-061
补丁相关：微软在10月份发布了6个安全级别为严重的安全公告，其中在被发布公告中被攻击者利用的就是XML核心服务中的漏洞，由于XMLHTTP的ActiveX控件在用户访问WEB服务器的时候不能正确地解释HTTP服务器端重定向，导致允许服务器中密码信息的泄露。已经发现了可以利用特制的网页代码来利用此漏洞的程序，如果用户访问含有该网页代码的网站或单击包含在电子邮件中的超链接，该漏洞将给予利用攻击程序的攻击者远程得到在客户端处浏览网站的用户的密码、用户、邮箱等机密信息。微软10月份发布的补丁程序对XMLHTTP中的ActiveX控件执行出现的问题进行了修补，推荐使用Win2K/WinXP的网络用户及时更新此补丁。
补丁下载：
针对WinXP SP2的补丁：
http://www.microsoft.com/downloads/details.aspx?displaylang=zh-cn&FamilyID=8a455c3b-213c-4395-87e9-9895f2b9a6ed
病毒信息：CNT蠕虫
该病毒会利用最新的MS06-061漏洞网页木马传播，在用户访问了含有攻击程序的网页后，病毒将自动运行，将自我注入到可执行文件里，感染EXE文件。从被感染计算机上搜索有效邮箱地址，群发带毒邮件。连接指定站点，下载特定文件，并在被感染计算机上运行。它会在不经用户许可的情况下自动在后台安装流氓软件，一般用户很难将其卸载干净。被感染的计算机会在用户浏览网页10分钟左右的循环周期中无限自动弹出广告窗口。病毒会在受感染系统中生成以下病毒文件：%SystemRoot%\system32\UpWin.exe、UpWin.exe、UpWin.dll、delme.bat、update.webstar.exe，等类似名字的可执行文件。由于病毒本身进程被注入到Scvhots.exe进程中一般杀毒软件都无法检测到病毒进程。
小知识：认识Svchost.exe
Svchost.exe进程位于系统目录的System32文件夹，是从动态链接库(DLL)运行服务的一般性宿主进程。在任务管理器中，可能会看到多个Svchost.exe在运行，不要大惊小怪，这可能是多个DLL文件在调用它。不过，正因为如此，它也成为了病毒利用的对象，如果我们怀疑有病毒利用注入到Svchost.exe进程，我们如何查看哪些服务正在使用Svchost.exe？在Windows XP中直接输入“Tasklist /SVC”查看进程信息(“Tasklist /fi "PID eq processID"”则可看到详细信息)，当发现病毒体后将其手工清除就OK。
包月ADSL用户一般在线时间比较长，但是都比较缺乏安全防护意识，每天上网十几个小时，甚至通宵开机的人不在少数，而且还有人把自己的机器做成Web或者ftp服务器供其他人访问。这样的系统非常容易被黑客攻陷，甚至用你的ADSL账户付款购物，盗取你的金钱增加你的话费。但是，如果你能按下面的步骤操作，就能保证自己的安全。
第1步 一定要把Guest账号禁用。有很多入侵都是通过这个账号进一步获得管理员密码或者权限的。如果不想把自己的计算机给别人当玩具，那还是禁止的好。打开控制面板，双击“用户和密码”，选择“高级”选项卡。单击“高级”按钮，弹出本地用户和组窗口。在Guest账号上面点击右键，选择属性，在“常规”页中选中“账户已停用”。
第2步 停止共享。Windows 2000安装好之后，系统会创建一些隐藏的共享。点击开始→运行→cmd，然后在命令行方式下键入命令“net share”就可以查看它们。网上有很多关于IPC入侵的文章，都利用了默认共享连接。要禁止这些共享，打开管理工具→计算机管理→共享文件夹→共享，在相应的共享文件夹上按右键，点“停止共享”就行了。
第3步 尽量关闭不必要的服务，如Terminal Services、IIS（如果你没有用自己的机器作Web服务器的话）、RAS（远程访问服务）等。这些服务除了给黑客放行外基本上对个人用户来说是完全无用的。打开“管理工具→计算机管理→服务和应用程序→服务”，找到它们，立刻“停止”并改成“手动”。
第4步 禁止建立空连接。在默认的情况下，任何用户都可以通过空连接连上服务器，枚举账号并猜测密码。我们必须禁止建立空连接，方法有以下两种：
1.修改注册表
HKEY_Local_MachineSystemCurrent-ControlSetControlLSA下，将DWORD值RestrictAnonymous的键值改成1，见图1。
2.修改Windows 2000的本地安全策略
设置“本地安全策略→本地策略→选项”中的RestrictAnonymous（匿名连接的额外限制）为“不容许枚举SAM账号和共享”。
第5步 如果开放了Web服务，还需要对IIS服务进行安全配置
1.更改Web服务主目录。右键单击“默认Web站点→属性→主目录→本地路径”，将“本地路径”指向其他目录，见图2。
2.删除原默认安装的Inetpub目录。
3.删除以下虚拟目录: _vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。
4.删除不必要的IIS扩展名映射。方法是：右键单击“默认Web站点→属性→主目录→配置”，打开应用程序窗口，去掉不必要的应用程序映射。如不用到其他映射，只保留.asp、.asa即可。
5.备份IIS配置。可使用IIS的备份功能，将设定好的IIS配置全部备份下来，这样就可以随时恢复IIS的安全配置。
不要以为这样就万事大吉了，微软的操作系统我们又不是不知道，bug何其多，所以一定要把微软的补丁打全。
最后，建议大家选择一款实用的防火墙。比如Network ICE Corporation公司出品的Black ICE。它的安装和运行十分简单，就算对网络安全不太熟悉也没有关系，使用缺省的配置就能检测绝大多数类型的黑客攻击。对于有经验的用户，还可以选择“Tools”中的“Advanced Firewall Settings”，来针对特定的IP地址或者UDP的特定端口进行接受或拒绝配置，以达到特定的防御效果。
CFan安全信息榜
补丁公告：微软安全公告 MS06-061
补丁相关：微软在10月份发布了6个安全级别为严重的安全公告，其中在被发布公告中被攻击者利用的就是XML核心服务中的漏洞，由于XMLHTTP的ActiveX控件在用户访问WEB服务器的时候不能正确地解释HTTP服务器端重定向，导致允许服务器中密码信息的泄露。已经发现了可以利用特制的网页代码来利用此漏洞的程序，如果用户访问含有该网页代码的网站或单击包含在电子邮件中的超链接，该漏洞将给予利用攻击程序的攻击者远程得到在客户端处浏览网站的用户的密码、用户、邮箱等机密信息。微软10月份发布的补丁程序对XMLHTTP中的ActiveX控件执行出现的问题进行了修补，推荐使用Win2K/WinXP的网络用户及时更新此补丁。
补丁下载：
针对WinXP SP2的补丁：
http://www.microsoft.com/downloads/details.aspx?displaylang=zh-cn&FamilyID=8a455c3b-213c-4395-87e9-9895f2b9a6ed
病毒信息：CNT蠕虫
该病毒会利用最新的MS06-061漏洞网页木马传播，在用户访问了含有攻击程序的网页后，病毒将自动运行，将自我注入到可执行文件里，感染EXE文件。从被感染计算机上搜索有效邮箱地址，群发带毒邮件。连接指定站点，下载特定文件，并在被感染计算机上运行。它会在不经用户许可的情况下自动在后台安装流氓软件，一般用户很难将其卸载干净。被感染的计算机会在用户浏览网页10分钟左右的循环周期中无限自动弹出广告窗口。病毒会在受感染系统中生成以下病毒文件：%SystemRoot%\system32\UpWin.exe、UpWin.exe、UpWin.dll、delme.bat、update.webstar.exe，等类似名字的可执行文件。由于病毒本身进程被注入到Scvhots.exe进程中一般杀毒软件都无法检测到病毒进程。
小知识：认识Svchost.exe
Svchost.exe进程位于系统目录的System32文件夹，是从动态链接库(DLL)运行服务的一般性宿主进程。在任务管理器中，可能会看到多个Svchost.exe在运行，不要大惊小怪，这可能是多个DLL文件在调用它。不过，正因为如此，它也成为了病毒利用的对象，如果我们怀疑有病毒利用注入到Svchost.exe进程，我们如何查看哪些服务正在使用Svchost.exe？在Windows XP中直接输入“Tasklist /SVC”查看进程信息(“Tasklist /fi "PID eq processID"”则可看到详细信息)，当发现病毒体后将其手工清除就OK。