|
|
|
个人电脑常见的被入侵方式: 6 ~" \' g- f# N# r" r
谈到个人上网时的安全，还是先把大家可能会遇到的问题归个类吧。我们遇到的入侵方式大概包括了以下几种： 3 z/ i6 T* u' P$ S5 |* t
(1) 被他人盗取密码；
$ {4 t9 u: x% t$ K4 j. Z(2) 系统被木马攻击；
% C/ q2 Y! |4 H& [; {! Y9 i9 N- M6 C(3) 浏览网页时被恶意的java scrpit程序攻击； 0 F& A( w. X4 }, V9 R; X2 b' Q
(4) QQ被攻击或泄漏信息；
m0 }* ]* z R9 j2 O" `" p, h! A `(5) 病毒感染；
6 L) Y# _8 @6 _' G; g(6) 系统存在漏洞使他人攻击自己。
C1 H" R% U+ a' v4 G6 W) T& @! [* O(7) 黑客的恶意攻击。 8 e; D4 ~9 Q' l( X _4 W" m
下面我们就来看看通过什么样的手段来更有效的防范攻击。 - a5 R. j) D" ^! ]
1.察看本地共享资源 6 @ Z- q- ~ l' B. u+ y
运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。
' K2 u6 F5 A# w O2.删除共享(每次输入一个） ( I" @ Y5 D! G$ B k
net share admin$ /delete 8 ^& f$ b, T0 }& N
net share c$ /delete
, e. ~: j$ G! \2 N0 }/ `4 knet share d$ /delete（如果有e，f，……可以继续删除） ) l8 A& M% e5 P- M
3.删除ipc$空连接 0 N" h. ^& \1 ^& q' ?6 l! r
在运行内输入regedit，在注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。
- S1 \/ x c1 a9 ^4.关闭自己的139端口，ipc和RPC漏洞存在于此。 $ v3 H) E3 r4 D2 l+ J# {
关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。
# Q5 T. _; u: N1 J" y& }5．防止rpc漏洞
2 g5 j1 W- l" F8 l; j打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。
4 V3 h+ X9 Q4 x; [) u' d; a2 DXP SP2和2000 pro sp4，均不存在该漏洞。0 O4 _/ T3 E3 r! E2 b$ s
6．445端口的关闭 0 @9 U, g2 N# B( P# A- r5 r
修改注册表，添加一个键值
# H8 H8 e) ?9 T6 B$ kHKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了 , M3 F+ Y7 y# T4 u& h: a/ Z
7．3389的关闭
1 Y& s5 I$ t Y3 z& I, A9 jXP：我的电脑上点右键选属性--> 远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。 ! k. Q- f- Z* v5 J; w" v, P% U
Win2000server 开始--> 程序--> 管理工具--> 服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用） " R/ @" u+ W" q( B/ J+ \1 N
使用2000 pro的朋友注意，网络上有很多文章说在Win2000pro 开始--> 设置--> 控制面板--> 管理工具--> 服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。
) x: `2 O+ M1 C+ H$ c8 ^" [) ]8．4899的防范
# p2 R" d+ u/ Q2 {: d网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。 4 R6 k7 X7 U, u u2 \
4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。 / b( [ T* H7 Y; o x
所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。 # |# z8 l4 Q/ k- ~% T
9、禁用服务 1 n' @ H2 b- c( O# g- X6 w/ d1 |
打开控制面板，进入管理工具——服务，关闭以下服务 5 ]: Z1 J8 x! m9 A7 A/ a3 @
1.Alerter[通知选定的用户和计算机管理警报]
2 Q6 G7 `! D3 W* @2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享] 6 n+ Z. d. w2 p$ m4 X# N* W
3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无法访问共享
& h( g& I& X7 A$ c- B3 |4.Distributed Link Tracking Server[适用局域网分布式链接? ?踪客户端服务] , {$ ^2 U! t- `/ P
5.Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问] & |* \, \, b2 r, ^ K3 T
6.IMAPI CD-Burning COM Service[管理 CD 录制]
0 H8 t7 h% y% s% J- b7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息]
/ v! u' u! V' D# R$ D) P8.Kerberos Key Distribution Center[授权协议登录网络] & g* S d. s& r8 \' f7 c% J4 [
9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止] 4 J- j* A" f5 \4 Z- f/ c3 ^: T
10.Messenger[警报] - O T9 a! j- S0 @4 Z
11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集]
* y2 m1 @* |+ ]; C% E12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换] 1 w' o! }' J7 J2 w4 W
13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享] # Q% c0 e8 S3 K. I0 L9 `
14.Print Spooler[打印机服务，没有打印机就禁止吧]
K# c x) Z' I! P6 E15.Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助] ( k/ O& e& {) o g
16.Remote Registry[使远程计算机用户修改本地注册表] $ J3 E# ?5 e3 U
17.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息]
9 }0 a3 s9 e; L4 K/ P18.Server[支持此计算机通过网络的文件、打印、和命名管道共享] 0 ~6 ]" V3 ]. e0 d4 o
19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符]
& S. H! \1 G( N. R20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享文件、打印和登录到网络] ' T; ]5 A3 A$ K' Z" K9 F- U7 P: J
21.Telnet[允许远程用户登录到此计算机并运行程序]
- [+ x2 T. |# M g6 I7 Q6 ^& G22.Terminal Services[允许用户以交互方式连接到远程计算机] ' Y S2 T' M/ a
23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机]
% C, R/ d9 M* X. @2 s! F' \如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。
1 C0 S# s! r3 C2 A ?! l: \* S10、账号密码的安全原则 ( M( E D5 X% Y+ C; b* e. ` a
首先禁用guest帐号，将系统内建的administrator帐号改名～～（改的越复杂越好，最好改成中文的），而且要设置一个密码，最好是8位以上字母数字符号组合。 (让那些该死的黑客慢慢猜去吧～） 8 k' p: p0 e- v" `' F% K% {
如果你使用的是其他帐号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置adminstrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的帐号，不是正常登陆下的adminitrator帐号，因为即使有了这个帐号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置（关于密码安全设置，我上面已经讲了，这里不再罗嗦了。& s$ t$ a7 T# u1 [2 A* z0 z
打开管理工具.本地安全设置.密码策略 . M/ E" |' U6 T
2 S- z$ y3 S, O# L3 L* Q
9 D1 P+ y: M0 A% |% {, N6 R% l+ Z
5 X) n" `6 L$ s& F$ y+ F1.密码必须符合复杂要求性.启用
. ]1 ~1 h* F3 e( C0 i4 l% T2.密码最小值.我设置的是8
6 R' u; e/ E: w/ @; o& h H3.密码最长使用期限.我是默认设置42天
5 Q0 A7 S, j9 q. ?& F. ^# k4 ]4.密码最短使用期限0天
4 B: A) E# `9 L% b( G; N% y6 i5.强制密码历史 记住0个密码 3 I! p9 ?! ?$ O( b: w! n5 o
6.用可还原的加密来存储密码 禁用
' i% }/ h2 v$ D' k11、本地策略: 8 A0 s: k- n% C; E# X Q' n4 k
这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。 * p7 r$ \! A/ @; `+ m; B6 h6 V
(虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的) 4 [( b8 n h( q! L
打开管理工具 / s. }$ n" ^3 E9 r
找到本地安全设置.本地策略.审核策略
" [- S! h! K2 s( t. ]2 [1.审核策略更改 成功失败 ! [+ B. v3 P" |3 t" {; y
2.审核登入事件 成功失败
* o0 U( D6 ^7 u5 E- _! ], g1 l4 v3.审核对象访问 失败 + L+ B# H: b& _+ R# r
4.审核跟踪过程 无审核 4 Z6 {# N: C" J& P" q
5.审核目录服务访问 失败 7 k* u3 e/ {" d& D- [
6.审核特权使用 失败
6 V5 F" T3 m, l+ [6 s7.审核系统事件 成功失败 " P2 X3 n0 s7 R: b8 Q8 k: V C! }
8.审核帐户登陆时间 成功失败 - m: g4 G6 n3 q2 R& q! W; I U6 R
9.审核帐户管理 成功失败 8 E7 O3 I# E+ y/ j5 M+ _' y, B, ?
然后再到管理工具找到 3 }2 D$ ?9 s# _7 w0 }) Z# x
事件查看器 0 u9 s3 ]4 O( q" t
应用程序：右键> 属性> 设置日志大小上限，我设置了50mb，选择不覆盖事件 : o% B0 H* Q1 U0 g' a2 A
安全性：右键> 属性> 设置日志大小上限，我也是设置了50mb，选择不覆盖事件 $ \/ _/ e7 ^- d
系统：右键> 属性> 设置日志大小上限，我都是设置了50mb，选择不覆盖事件 ) g8 o/ {$ @. U& ]! y
12、本地安全策略:
1 z* {0 p8 d0 r0 C打开管理工具
t; e ^, S1 P8 |" y5 z7 a) n找到本地安全设置.本地策略.安全选项/ O9 t" W: K, W$ A
1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登陆的] 9 Z* z8 c. v- g. K5 q6 } |: d
2.网络访问.不允许SAM帐户的匿名枚举 启用 ) @8 s" j3 O: }. b+ r5 Y
3.网络访问.可匿名的共享 将后面的值删除 * V# i! p3 x8 p9 X! e
4.网络访问.可匿名的命名管道 将后面的值删除
3 {9 ~( c0 k/ b5 O/ ?7 w. Z5.网络访问.可远程访问的注册表路径 将后面的值删除
1 o* X( f. `$ ~$ b0 u7 f6.网络访问.可远程访问的注册表的子路径 将后面的值删除
% ^+ B' P( \, ^' U- c# H7.网络访问.限制匿名访问命名管道和共享 6 a# t0 ?" d* |' H6 F
8.帐户.（前面已经详细讲过） " f: y0 c! V* }8 ~3 Z. c
13、用户权限分配策略:
7 T5 d' y3 b5 f0 E$ J1 i. j5 s5 U" R! Q打开管理工具 1 z4 T: h9 W! T3 o c* a" U4 V
找到本地安全设置.本地策略.用户权限分配
6 h' e& g2 X% C+ e1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属于自己的ID , M5 Q& E- L3 A% Z" e* g4 B
2.从远程系统强制关机，Admin帐户也删除，一个都不留 & `" K' k4 l; P" @. I
3.拒绝从网络访问这台计算机 将ID删除
% l, P/ g7 v8 K5 o4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务 ; e( W! }, p8 [0 P3 r. S- t
5.通过远端强制关机。删掉 : z: U" ?0 l; }8 ?$ k3 j
14、终端服务配置 , O6 T% g1 ?/ Y. V
打开管理工具 & S! D; n0 W. i! V" a
终端服务配置
# q& Q* w6 `+ P5 d e1.打开后，点连接，右键，属性，远程控制，点不允许远程控制 * v. e# b. l3 W e+ h( ?
2.常规，加密级别，高，在使用标准Windows验证上点√!
" s; h# U! L5 {. n# j' W+ I7 A3.网卡，将最多连接数上设置为0
9 S; v/ V' n+ E) |4.高级，将里面的权限也删除.[我没设置] & Z$ Q, D& g! N! |( I" M" Y k: V. K
再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话
* w+ P/ O( k7 x. _1 C15、用户和组策略
5 s: i5 A+ r2 {6 a, D9 |; R7 D. @/ I: a* z3 O
打开管理工具 7 |% A: s2 Y% C0 G1 x* I7 Y# j
计算机管理.本地用户和组.用户;
# }" @. l K8 T删除Support_388945a0用户等等 - l8 y8 I$ U" Z8 ^
只留下你更改好名字的adminisrator权限 8 j; I8 ~* f+ J+ l
计算机管理.本地用户和组.组 ) t5 K, n! J# j
组.我们就不分组了，每必要把
2 C8 Q6 l6 j' x) F16、自己动手DIY在本地策略的安全选项 ) t$ w# [* M6 B4 I9 l6 X
1）当登陆时间用完时自动注销用户(本地) 防止黑客密码渗透. ! V s) ~8 I5 z) L$ ^* ^! b
2）登陆屏幕上不显示上次登陆名(远程)如果开放3389服务，别人登陆时，就不会残留有你登陆的用户名.让他去猜你的用户名去吧. & P; f/ G" `3 e3 y7 a6 r- J
3）对匿名连接的额外限制 , F& y; u5 p: @: J% A% i# ^
4）禁止按 alt+CRTl +del(没必要） ! g1 ~0 l6 h W# f
5）允许在未登陆前关机[防止远程关机/启动、强制关机/启动] 7 h- Q6 U3 b; ~
6）只有本地登陆用户才能访问CD-ROM 2 Z6 M) w- [8 U! c7 V- [- V3 P
7）只有本地登陆用户才能访问软驱
2 j" R4 }4 z2 v: ?# m* a2 X+ w8）取消关机原因的提示 + x" T5 l8 J# x0 T+ f+ G, V
A、打开控制面板窗口，双击“电源选项”图标，在随后出现的电源属性窗口中，进入到“高级”标签页面；
+ u) _8 L: I I& oB、在该页面的“电源按钮”设置项处，将“在按下计算机电源按钮时”设置为“关机”，单击“确定”按钮，来退出设置框；
, o# Y. ]3 H0 ^# m- ZC、以后需要关机时，可以直接按下电源按键，就能直接关闭计算机了。当然，我们也能启用休眠功能键，来实现快速关机和开机；
+ w- x0 q/ S9 b* @/ x5 ?# d& pD4、要是系统中没有启用休眠模式的话，可以在控制面板窗口中，打开电源选项，进入到休眠标签页面，并在其中将“启用休眠”选项选中就可以了。 : A5 W; ]; W' o( f9 E% O
9）禁止关机事件跟踪 * Y7 ]5 G& S* M2 {! |/ n
开始“Start -> ”运行“ Run -> 输入”gpedit.msc “，在出现的窗口的左边部分，选择 ”计算机配置“（Computer Configuration ）-> ”管理模板“（Administrative Templates）-> ”系统“（System），在右边窗口双击“Shutdown Event Tracker” 在出现的对话框中选择“禁止”（Disabled），点击然后“确定”（OK）保存后退出这样，你将看到类似于Windows 2000的关机窗口 ! S( E' J0 Z1 ]$ ], n
17、常见端口的介绍
% Y! p* r; P, U* L9 O& lTCP 9 \8 Z @/ {+ A" e# k
21 FTP : p! y8 Z7 {/ t* @' z' {
22 SSH
: T9 |% m7 I1 U; B23 TELNET & Q& E6 E6 L5 t
25 TCP SMTP
, N) c) s9 z) ]$ Q53 TCP DNS
0 G: M1 \, ^) [$ G3 U2 S1 w/ M80 HTTP 3 `, j1 J5 C7 V# @% j
135epmap 7 @9 p- S" I, Z+ }, H. p
138[冲击波]
$ k$ B! c6 j: S1 I+ W. B7 C5 | N139smb 7 k& _# B+ j$ M* [* n6 V
445 * h2 E( h9 n! S" {, Q: l1 n
1025 DCE/1ff70682-0a51-30e8-076d-740be8cee98b 5 ^6 G8 G5 z R$ e
1026 DCE/12345778-1234-abcd-ef00-0123456789ac & D) j- U; X- D/ G4 i' k; V
1433 TCP SQL SERVER 3 ^; J: V L2 q8 F6 c
5631 TCP PCANYWHERE * {# N1 O2 i6 Y* e* r3 S, D) V
5632 UDP PCANYWHERE
) N4 H3 {! k* G2 A5 p3389 Terminal Services 6 b* [) {1 Y& {; z* s7 W6 J& T# N
4444[冲击波] * n9 T' T! [. s" E6 V
UDP
$ u f( e& Z ~2 i* w! L0 ~" E67[冲击波]
5 T) y( }& A+ w8 u# f% m0 y! ~& D8 {137 netbios-ns
8 ]* \! D# r; x. u! ^' [161 An SNMP Agent is running/ Default community names of the SNMP Agent 0 D. {9 i' l2 |" |- x
关于UDP一般只有腾讯QQ会打开4000或者是8000端口或者8080，那么，我们只运 行本机使用4000这几个端口就行了 |
|
狗仔卡
发表于 2009-1-16 13:28:17
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
显身卡
发表于 2009-1-21 02:03:48