|
|
|
个人电脑常见的被入侵方式: * m6 G# I# ?8 [0 k/ A
谈到个人上网时的安全，还是先把大家可能会遇到的问题归个类吧。我们遇到的入侵方式大概包括了以下几种：
$ f$ {5 q c% N! ?3 y(1) 被他人盗取密码； " Q i/ V' T9 G% F+ c
(2) 系统被木马攻击；
: o+ q( Q- N' `(3) 浏览网页时被恶意的java scrpit程序攻击； " e0 M$ L& G+ M1 q3 n5 V h8 a
(4) QQ被攻击或泄漏信息； 7 Y# `6 k) \+ y8 j. W
(5) 病毒感染；
" m9 z, w& h E# }(6) 系统存在漏洞使他人攻击自己。
`8 i8 W" k. Y3 X5 Q3 n! P) r(7) 黑客的恶意攻击。 $ S+ b+ h' j' G
下面我们就来看看通过什么样的手段来更有效的防范攻击。
1 g6 P* f! {8 w& D; H0 V# C1.察看本地共享资源 , u2 t4 K$ @$ @
运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。
# ~' h3 q& l* \/ h2.删除共享(每次输入一个） + q4 N) o; H" v) ~2 c+ e9 E
net share admin$ /delete $ Q7 P. p$ c0 Y5 ?
net share c$ /delete 0 e' F+ p. g u3 E
net share d$ /delete（如果有e，f，……可以继续删除）
2 z! ]6 b$ \7 T. B" o4 z: t6 d2 p) t3.删除ipc$空连接 + L5 A; T# y9 d- B4 o& G
在运行内输入regedit，在注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。 . [4 E X4 @0 W0 ~: L! j4 v! A
4.关闭自己的139端口，ipc和RPC漏洞存在于此。 U+ k7 A3 ]; d- \# A
关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。
$ ~- U9 Q- \6 o, r9 x$ G3 M5．防止rpc漏洞 ' x% ~( v p- w* a" e
打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。 1 N8 C9 `% @$ P Z1 h
XP SP2和2000 pro sp4，均不存在该漏洞。
8 R& V9 \( L t& U7 m, n6．445端口的关闭 " h1 \$ x! q- {5 [
修改注册表，添加一个键值
4 L3 H% k* i6 i5 d! XHKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了
) ?1 [$ o/ L( ~7．3389的关闭 % P1 }% U! R1 G+ ~6 z* y
XP：我的电脑上点右键选属性--> 远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。 I8 j1 Q, ^# P6 F$ |$ x
Win2000server 开始--> 程序--> 管理工具--> 服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用） " c; E: X9 ?2 h% r% l
使用2000 pro的朋友注意，网络上有很多文章说在Win2000pro 开始--> 设置--> 控制面板--> 管理工具--> 服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。
7 X! \( I# n7 x2 i6 ~" i# t" d* o8．4899的防范
- C7 e4 n' n! c4 ]3 I& v网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。
e I( i0 x n: H. q" I, r9 T4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。
+ T- T. M, m# Q1 d5 s2 b所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。 3 o! M. k; n L0 Y
9、禁用服务 3 f2 G0 W+ w, X1 S$ V5 U3 Z
打开控制面板，进入管理工具——服务，关闭以下服务
- b8 b9 R6 [: a: _$ l6 E$ x1.Alerter[通知选定的用户和计算机管理警报]
2 S! ]& B: }4 j7 |2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享] , u' e# E4 ~* Q
3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无法访问共享
& X$ ^( K3 v0 w6 o" O# M+ P B4.Distributed Link Tracking Server[适用局域网分布式链接? ?踪客户端服务]
9 V9 E4 l1 t9 f8 e5.Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问] 3 u9 v# O2 I8 ^: e
6.IMAPI CD-Burning COM Service[管理 CD 录制]
6 [ t/ W; j$ h9 [) i7 F0 Y. L1 x7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息] 6 U6 G% q+ W" d
8.Kerberos Key Distribution Center[授权协议登录网络]
6 F& `- A! n1 T; E9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止]
, ~7 s9 f* g4 n* m. A5 b10.Messenger[警报] 7 J0 [1 t' V* O2 b, k& ~( G
11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集]
/ |" }' u- [: j; y5 a: C+ e- @9 J12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换] * e1 t: I: T, e% {
13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享]
8 D$ u+ T/ [% x0 }" e14.Print Spooler[打印机服务，没有打印机就禁止吧]
; c3 W" c' D- J% S# A15.Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助]
5 d4 I5 X$ k7 x& l5 e: e- O' C/ E16.Remote Registry[使远程计算机用户修改本地注册表] & j9 j# ~' u- X, i# c# X) J) C. i
17.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息] . g# h8 b$ F& W3 M' _9 W! C
18.Server[支持此计算机通过网络的文件、打印、和命名管道共享]
+ j: f7 ]! J0 \3 |7 ]' N19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符]
( l2 f3 w3 s- A0 r% ?0 Y20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享文件、打印和登录到网络] ! Z) P% r3 j9 V
21.Telnet[允许远程用户登录到此计算机并运行程序]
5 R0 o5 [6 z9 ] u( y22.Terminal Services[允许用户以交互方式连接到远程计算机]
" T( s0 ]) e* m# F0 e( P23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机]
2 k4 \+ m! r2 ?8 a如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。
Y% Q. I& `. I J* _3 H10、账号密码的安全原则
+ A% J3 j) q2 [# E A; C" J' H: L/ c首先禁用guest帐号，将系统内建的administrator帐号改名～～（改的越复杂越好，最好改成中文的），而且要设置一个密码，最好是8位以上字母数字符号组合。 (让那些该死的黑客慢慢猜去吧～）
7 Y' W8 t: m% `如果你使用的是其他帐号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置adminstrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的帐号，不是正常登陆下的adminitrator帐号，因为即使有了这个帐号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置（关于密码安全设置，我上面已经讲了，这里不再罗嗦了。& ^( e* s$ }- e4 s6 ^* A
打开管理工具.本地安全设置.密码策略
6 c+ t% s, Y, U b) W" `8 l6 V9 `6 ~4 g e
$ I7 D4 T2 U/ f8 O$ N7 L6 M
! D# {+ d2 u% M: o0 g; j/ k1.密码必须符合复杂要求性.启用
Z. j1 _+ C/ d; E$ N, \; R% b2.密码最小值.我设置的是8 1 e, c) Q% _ ~3 \& }8 I N
3.密码最长使用期限.我是默认设置42天
- C" d* m. P1 P* o/ K% ~4.密码最短使用期限0天 + ? ? y" G1 r- [+ _) u5 y! t D
5.强制密码历史 记住0个密码
6 W+ Q! r# D p- ` p, m6.用可还原的加密来存储密码 禁用
% N" K( D& b8 {! p/ U11、本地策略:
" u2 ^* ?& W: ~% H3 Z) \这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。
6 \) `7 p) i) Q(虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的)
9 |8 ^# R: J9 c打开管理工具 ( R2 ?$ j& O" z3 E1 W8 y9 x0 |
找到本地安全设置.本地策略.审核策略 # @& N8 l0 X. Z( I" H2 X& E. e
1.审核策略更改 成功失败 % _$ V! o4 h! {2 R. E _, ]/ i
2.审核登入事件 成功失败
+ P9 h0 O6 W4 [5 f+ ?1 g& o3.审核对象访问 失败 " Y, G1 a3 R3 j1 r. d
4.审核跟踪过程 无审核
6 d1 N/ }0 e8 S4 n$ U( ^& `5.审核目录服务访问 失败
- x" t; p f/ S- b, X6.审核特权使用 失败 2 |: O+ w" N9 U: e
7.审核系统事件 成功失败
5 C$ E. h0 o5 w" |8.审核帐户登陆时间 成功失败
% S- L8 j) C3 s% ~9 x1 x! q9.审核帐户管理 成功失败 1 Q* V. V2 r; p( v
然后再到管理工具找到 ; L' W) P) f+ D8 c9 u* k
事件查看器
p$ I3 N4 M7 J, a7 q/ f应用程序：右键> 属性> 设置日志大小上限，我设置了50mb，选择不覆盖事件
2 R% A$ {; ~$ A4 ?安全性：右键> 属性> 设置日志大小上限，我也是设置了50mb，选择不覆盖事件
1 {( |/ C1 [8 q) d系统：右键> 属性> 设置日志大小上限，我都是设置了50mb，选择不覆盖事件 2 I0 @% d2 K. w/ e
12、本地安全策略: 6 ^3 P# {' [/ y g0 R- x
打开管理工具 3 \+ B# ~) U, S/ a L# W3 A
找到本地安全设置.本地策略.安全选项( d: p* |6 R7 i" k2 `. y9 L
1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登陆的] ! Z: B4 Y! C4 W- W3 A
2.网络访问.不允许SAM帐户的匿名枚举 启用 & S" A1 _8 {$ O4 ~6 L
3.网络访问.可匿名的共享 将后面的值删除 6 h2 M7 z4 y( @! S K; V4 E) V: H3 Q4 ~
4.网络访问.可匿名的命名管道 将后面的值删除 9 o; b6 m# b! z( d" l$ \2 }3 m/ Y
5.网络访问.可远程访问的注册表路径 将后面的值删除 , f' K* T& P v2 a4 y Y0 ]
6.网络访问.可远程访问的注册表的子路径 将后面的值删除 3 U* D# Y: V; @8 N# L5 L0 H! k" y
7.网络访问.限制匿名访问命名管道和共享
1 L3 }& {* a' m, ]8.帐户.（前面已经详细讲过）
: n' {4 D; ]; R& M U13、用户权限分配策略: " T- t' }6 H& e4 v8 z8 s/ Z
打开管理工具
( X6 D9 Y% s# w找到本地安全设置.本地策略.用户权限分配 & L. d. b+ V! D2 q
1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属于自己的ID ! @* Q# H+ m; P- w4 N8 w3 R3 K$ L
2.从远程系统强制关机，Admin帐户也删除，一个都不留 , e8 O6 ?5 G: \* g: T" c e/ K
3.拒绝从网络访问这台计算机 将ID删除
+ C B9 n: ?1 ~1 q) x/ |( ~4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务
6 W* D2 U& Z" v7 h! c5.通过远端强制关机。删掉
6 |' X2 a! F; H# z14、终端服务配置 ' ]; u6 B! z+ m3 O5 V, B5 b
打开管理工具 9 _5 Y: {: z7 M; _3 e
终端服务配置 3 ?. a: u- R2 H/ u, p: r4 v* u
1.打开后，点连接，右键，属性，远程控制，点不允许远程控制
8 Z n& S6 F* H1 I* G2.常规，加密级别，高，在使用标准Windows验证上点√!
0 U2 v- h) d m% O; s: {! E6 r( I3.网卡，将最多连接数上设置为0
8 a2 v/ A6 Y6 u$ u N2 Y+ @4.高级，将里面的权限也删除.[我没设置] * u/ m U. A: V7 |
再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话
( ^( h- |/ E' D15、用户和组策略
4 j, o$ z( w9 m% ?/ y* t
$ S/ \* E) x$ h打开管理工具 . k: M- ~9 a' D! z9 M5 A6 Z; N
计算机管理.本地用户和组.用户;
- u6 L% W7 r. W删除Support_388945a0用户等等 # I1 N5 ]" c8 t& o; d9 `
只留下你更改好名字的adminisrator权限
/ Y, B1 L& _0 Q$ R: \4 `计算机管理.本地用户和组.组
: f0 [9 @/ C1 H! E' f组.我们就不分组了，每必要把 . |/ ~* I8 D; P$ b% M) J, l F( M. L. z
16、自己动手DIY在本地策略的安全选项 ]% n7 u% g3 Y4 g, B& m1 ]
1）当登陆时间用完时自动注销用户(本地) 防止黑客密码渗透. ) C/ Z( [7 \$ y1 e2 H7 s$ e
2）登陆屏幕上不显示上次登陆名(远程)如果开放3389服务，别人登陆时，就不会残留有你登陆的用户名.让他去猜你的用户名去吧. 1 G. d; A1 D" a& e W0 R
3）对匿名连接的额外限制 1 | {+ M; j, d9 y$ b5 P
4）禁止按 alt+CRTl +del(没必要） ( I4 u& p& M0 q# v& t! O& `
5）允许在未登陆前关机[防止远程关机/启动、强制关机/启动] 1 y" J$ V% k9 W' D
6）只有本地登陆用户才能访问CD-ROM # ]: P0 R1 |1 N/ G: l
7）只有本地登陆用户才能访问软驱 5 Z2 ?3 o/ W3 ^, E
8）取消关机原因的提示
/ B* q; v% y3 s1 W0 X/ bA、打开控制面板窗口，双击“电源选项”图标，在随后出现的电源属性窗口中，进入到“高级”标签页面；
8 t) ], e3 h: b8 lB、在该页面的“电源按钮”设置项处，将“在按下计算机电源按钮时”设置为“关机”，单击“确定”按钮，来退出设置框；
% n2 M$ J. h& R c( N- j7 m% IC、以后需要关机时，可以直接按下电源按键，就能直接关闭计算机了。当然，我们也能启用休眠功能键，来实现快速关机和开机； 3 |# C* L2 e, a1 [) A$ k" t
D4、要是系统中没有启用休眠模式的话，可以在控制面板窗口中，打开电源选项，进入到休眠标签页面，并在其中将“启用休眠”选项选中就可以了。 % C6 V4 v( [7 L0 V
9）禁止关机事件跟踪 % A; n9 w9 [" z, u
开始“Start -> ”运行“ Run -> 输入”gpedit.msc “，在出现的窗口的左边部分，选择 ”计算机配置“（Computer Configuration ）-> ”管理模板“（Administrative Templates）-> ”系统“（System），在右边窗口双击“Shutdown Event Tracker” 在出现的对话框中选择“禁止”（Disabled），点击然后“确定”（OK）保存后退出这样，你将看到类似于Windows 2000的关机窗口
4 B! k8 Y* G4 A% }& m17、常见端口的介绍 , D4 W% X; O& u$ `
TCP
4 `, m5 p- S( t: ?) e21 FTP ( E4 @8 W6 b' T- y" c: r! X: C
22 SSH 5 ~! s" r8 S/ t0 T% V
23 TELNET
+ g4 H8 [! ^( ]! V, L4 G' f25 TCP SMTP 0 E* L/ _9 A; d4 G
53 TCP DNS 1 O Z. V) ` |( V
80 HTTP
' b S: i6 @; O- h135epmap
! E7 P E2 i; j# Y3 }0 t9 @0 s138[冲击波]
& W, w+ l" C9 L4 c) Z139smb
* ^) u- o0 i+ i. a* s! G445
+ d/ G2 `1 K# j) R1025 DCE/1ff70682-0a51-30e8-076d-740be8cee98b
' A- p* j9 q/ L+ C1026 DCE/12345778-1234-abcd-ef00-0123456789ac
7 _1 c$ A2 \. F7 T6 C2 L1433 TCP SQL SERVER ! A. o7 Z0 s6 R! V' N8 {
5631 TCP PCANYWHERE
( l2 ?' N1 R& o6 k& B5632 UDP PCANYWHERE
5 l, S1 [( Y5 n3389 Terminal Services
, I8 Q! r5 t; q* ~0 }8 i4444[冲击波]
; y! n% n1 a5 J* d9 V" y2 hUDP # b2 X+ Y4 p0 }6 ?) G: P: C
67[冲击波]
. ^" H! s( s5 V137 netbios-ns
) r1 H: ^+ p! g1 a H161 An SNMP Agent is running/ Default community names of the SNMP Agent
- l5 G8 s* v% r. V# D e关于UDP一般只有腾讯QQ会打开4000或者是8000端口或者8080，那么，我们只运 行本机使用4000这几个端口就行了 |
|
狗仔卡
发表于 2009-1-16 13:28:17
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
显身卡
发表于 2009-1-21 02:03:48