|
|
|
个人电脑常见的被入侵方式:
$ N- M% V' t" z/ U谈到个人上网时的安全，还是先把大家可能会遇到的问题归个类吧。我们遇到的入侵方式大概包括了以下几种： 8 c; ^6 B) m) M1 E7 X; F
(1) 被他人盗取密码；
+ O9 d! s2 M, `(2) 系统被木马攻击；
& {; ?6 \7 D) d1 ~9 c1 {3 g+ N(3) 浏览网页时被恶意的java scrpit程序攻击；
: T* V# n6 O* }* @ U(4) QQ被攻击或泄漏信息；
. O7 Y) f5 y ~) s2 p% `(5) 病毒感染；
+ h: q* F1 e: @+ y(6) 系统存在漏洞使他人攻击自己。 # E9 n% S& l( F' g1 |9 Q, ]
(7) 黑客的恶意攻击。 N4 d6 @3 }$ N
下面我们就来看看通过什么样的手段来更有效的防范攻击。
5 x4 f. L8 F, Y2 y, w8 J$ }1.察看本地共享资源 8 @) V$ E/ }: w0 ], M" y+ l& G
运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。
, F, @/ S) @* z6 I# W2.删除共享(每次输入一个） 0 z! n' q8 ^3 J# i
net share admin$ /delete
8 ~- M6 r# I; N' ?net share c$ /delete . N3 D$ j& _1 d7 V
net share d$ /delete（如果有e，f，……可以继续删除）
6 M8 c0 c2 ?' ^3.删除ipc$空连接
4 O( x# H4 E9 y; g, {) q9 _在运行内输入regedit，在注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。 * z% ^& [ l4 U' v
4.关闭自己的139端口，ipc和RPC漏洞存在于此。
; x9 K/ b+ n- B @! H) e关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。
* A e g# I; _7 _+ n* M; U! `! d5．防止rpc漏洞 3 R+ M/ h; G+ u" j+ _" H! |
打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。 9 Z7 G( S) m, X7 ` r, }
XP SP2和2000 pro sp4，均不存在该漏洞。& V( E, I I2 }+ W* G/ Y: }9 z
6．445端口的关闭
7 l( F1 I, v, J; ]( X G$ k- o7 v修改注册表，添加一个键值
[4 v/ X3 O: Q, F! I/ iHKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了 8 i* a/ p) f6 K6 g
7．3389的关闭
8 O( |' F5 n0 |! U+ j. ~5 XXP：我的电脑上点右键选属性--> 远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。
. A4 E1 }% R9 m) MWin2000server 开始--> 程序--> 管理工具--> 服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用） 7 Y7 R6 v) ~' u8 I' G9 Z; F2 ~+ @
使用2000 pro的朋友注意，网络上有很多文章说在Win2000pro 开始--> 设置--> 控制面板--> 管理工具--> 服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。 ! q9 N9 m# Q3 Y. f/ Z4 h# W* J
8．4899的防范 7 w. P. j# I9 }- N- ?: T4 W9 a
网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。 : c5 l" s1 P" E" Z; Z* T1 O2 F
4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。
( Z% i/ J- j) z1 C所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。
4 V" \& ^ _ \3 C6 u, a* v9、禁用服务
/ r4 J3 C! ?3 f" a6 _( n打开控制面板，进入管理工具——服务，关闭以下服务 . c7 L" ` |' G& F# D3 l
1.Alerter[通知选定的用户和计算机管理警报] 3 T% D' S9 q! D
2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享]
& s4 i+ f- U. I4 H' [9 Z3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无法访问共享
' P. } Q" D( B! e- A% ?4.Distributed Link Tracking Server[适用局域网分布式链接? ?踪客户端服务] % t% h) D# w- |
5.Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问]
: k/ W& W5 L0 Y6 c0 V k: V6.IMAPI CD-Burning COM Service[管理 CD 录制]
# ?! k% p3 e+ Q6 D/ }" Y* \3 p7 V7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息]
0 b/ O" ?0 x1 Y4 ?0 O& ^& ]* x( z$ {8.Kerberos Key Distribution Center[授权协议登录网络]
6 ]3 X8 z5 W6 G" l9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止]
7 K3 u& g, u; W/ [8 A8 F10.Messenger[警报]
6 J4 @( t7 P$ }; ?$ Y11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集]
Y, G5 f+ i. M$ c, n/ e) \12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换] + Q$ O' t* j: S) k
13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享]
: d8 a! s$ v* }: D, ]14.Print Spooler[打印机服务，没有打印机就禁止吧] ! A0 M2 W+ y: ?$ h# D, g
15.Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助] 9 q8 U* _# M* V' N' J
16.Remote Registry[使远程计算机用户修改本地注册表] % K9 P- `, z& y7 e
17.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息] 7 Z7 p1 a _1 N5 l
18.Server[支持此计算机通过网络的文件、打印、和命名管道共享]
! h8 y0 _" J4 Y$ u" {6 b' j; J19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符] $ f3 S/ @& @* l7 T$ w* ~
20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享文件、打印和登录到网络] & N" Z% e/ a; o; N/ ^0 s: z; N a. S
21.Telnet[允许远程用户登录到此计算机并运行程序]
2 e" l' e0 ]2 H22.Terminal Services[允许用户以交互方式连接到远程计算机]
: n2 c3 W6 t1 |7 U/ E% E2 X23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机]
7 x/ ], w- I5 ?( M! S如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。
. V( x3 S0 n/ t$ ]/ n* N# F10、账号密码的安全原则
1 N6 F% l; y2 y1 S+ J3 T) ]首先禁用guest帐号，将系统内建的administrator帐号改名～～（改的越复杂越好，最好改成中文的），而且要设置一个密码，最好是8位以上字母数字符号组合。 (让那些该死的黑客慢慢猜去吧～）
. o# d1 ^; q/ b6 a) i% g& z如果你使用的是其他帐号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置adminstrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的帐号，不是正常登陆下的adminitrator帐号，因为即使有了这个帐号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置（关于密码安全设置，我上面已经讲了，这里不再罗嗦了。
+ }9 h6 [4 s4 ?8 X1 _: |$ I4 m0 ?打开管理工具.本地安全设置.密码策略 5 G! H# @6 i6 C$ d' l
, J5 ]+ c* P" E4 k0 s
: D7 n' {! u+ ]* D6 X- q$ i z/ S) v% M5 ?
1.密码必须符合复杂要求性.启用
. ^5 N; }% L+ V7 `2 p# {4 T0 y2.密码最小值.我设置的是8
% K& D( Q! J& V( T0 h3.密码最长使用期限.我是默认设置42天
# Y) d+ v; u: [- @% A, l. H" ^4.密码最短使用期限0天
+ H5 n5 ?1 W' T" ^" [/ c5.强制密码历史 记住0个密码
7 S# O, r# _" l) a, ~6.用可还原的加密来存储密码 禁用
. ]9 i3 S7 f" e/ b+ \+ a M11、本地策略:
7 @0 T- N/ Z1 Z4 Q' D1 y这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。
& P; x$ Y% \" K9 E& n" z8 V(虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的)
& c/ u$ E: P# N% \. n! X0 { p$ q打开管理工具 - Q2 b: n2 [2 q: A: l
找到本地安全设置.本地策略.审核策略 ! N% T& V' ^4 K# a: F
1.审核策略更改 成功失败
4 q2 V6 [ N6 H2.审核登入事件 成功失败 ' i+ D" C% J- _0 q3 s
3.审核对象访问 失败 / M. I: p" ~: ]& r' n, S
4.审核跟踪过程 无审核 4 S2 T1 ?0 Z' y/ g4 l4 c5 v
5.审核目录服务访问 失败
6 p/ j: e3 M, d% W% W6 u3 I w6.审核特权使用 失败
: n$ m! K+ {9 R3 O( Y# V7.审核系统事件 成功失败 \$ S0 R d! o( @4 l
8.审核帐户登陆时间 成功失败
! ~( ]& A; ^/ {1 H/ Y }: d1 f- Y9.审核帐户管理 成功失败 $ ~6 o; N: t6 G3 {4 Q( _+ n
然后再到管理工具找到
0 L: k# J3 X& n, `+ j0 d2 A; u' I* Y& k事件查看器
* \. \& W! H2 Z, C3 {应用程序：右键> 属性> 设置日志大小上限，我设置了50mb，选择不覆盖事件 # c. _/ L# O3 |' ?1 X& [. I
安全性：右键> 属性> 设置日志大小上限，我也是设置了50mb，选择不覆盖事件
+ {0 b# T( \! k: g- X系统：右键> 属性> 设置日志大小上限，我都是设置了50mb，选择不覆盖事件 . i+ S& r, s& Z" |
12、本地安全策略: ( P% S2 z$ ]( D* g8 F3 d
打开管理工具
) \) z. v2 }+ K! k找到本地安全设置.本地策略.安全选项, i7 s/ a$ q$ d
1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登陆的]
* Q7 N7 t& m& M5 N2.网络访问.不允许SAM帐户的匿名枚举 启用
) u/ Q# k R2 i3.网络访问.可匿名的共享 将后面的值删除 ! G( a* ]' O" E& h- g
4.网络访问.可匿名的命名管道 将后面的值删除 + h% {/ H9 F5 V; t7 _, G9 ^
5.网络访问.可远程访问的注册表路径 将后面的值删除
% N- Z: ], I$ ~% M$ T( G6.网络访问.可远程访问的注册表的子路径 将后面的值删除
' B; ?$ k5 I9 D; ]. ]/ |7.网络访问.限制匿名访问命名管道和共享 8 \0 |) _' G) Q$ q7 n& G
8.帐户.（前面已经详细讲过） 9 r: j3 D7 c5 J, o+ V9 _
13、用户权限分配策略:
0 \* t6 n' K0 V- V打开管理工具
% Q; E6 y6 ?7 ^5 }; n找到本地安全设置.本地策略.用户权限分配 . O5 k. s U0 T8 w. j
1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属于自己的ID
6 ]& [5 j! k0 r3 n4 H e5 r3 [1 B2.从远程系统强制关机，Admin帐户也删除，一个都不留 : s+ ]5 E- v! }0 W' T2 _
3.拒绝从网络访问这台计算机 将ID删除 - g9 m' a% _) \' F
4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务 . Q. ?+ B3 ?1 Q8 P `
5.通过远端强制关机。删掉
* E6 u7 K1 k( c14、终端服务配置
# |( R. K9 k+ a6 d5 x! I打开管理工具 " `1 O: r5 _# Q/ j
终端服务配置
, i, b7 u9 P, Y0 h4 \1.打开后，点连接，右键，属性，远程控制，点不允许远程控制 0 C {0 X8 V' ~9 \4 b
2.常规，加密级别，高，在使用标准Windows验证上点√! . n# c* `( e: h4 a# J0 I( j/ Q+ j
3.网卡，将最多连接数上设置为0
# H% O8 v% ]6 k( d6 Y6 |0 e4.高级，将里面的权限也删除.[我没设置] # P i. c, W$ X) ]
再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话# u. X2 b8 `' w$ M
15、用户和组策略 1 u5 E% A8 @& E2 X7 y r5 ^
* e K# ^; f3 l' L* ~- R( V* I4 n7 c u
打开管理工具
7 S ~* L7 e, c. c6 a r计算机管理.本地用户和组.用户; 9 J6 ^; T6 W& M1 C
删除Support_388945a0用户等等
8 O: u: r0 w) E, Q* \5 O# q- v只留下你更改好名字的adminisrator权限 6 Q% Y: n; Z0 `; q5 i6 z
计算机管理.本地用户和组.组
& V% a) y: {5 i; v3 ^, h, Y6 D组.我们就不分组了，每必要把 . Q2 R+ R' |/ ^; B" {' ~5 \: j% i
16、自己动手DIY在本地策略的安全选项 ; C& i9 ?) b, G
1）当登陆时间用完时自动注销用户(本地) 防止黑客密码渗透. ) F, R+ n- E: X0 b |1 v" G
2）登陆屏幕上不显示上次登陆名(远程)如果开放3389服务，别人登陆时，就不会残留有你登陆的用户名.让他去猜你的用户名去吧. 0 {7 G* B1 F9 l$ Y
3）对匿名连接的额外限制
9 _! ]) o2 N/ }# C+ \7 L4）禁止按 alt+CRTl +del(没必要） 7 Y3 c5 m( h6 E$ x3 {3 A
5）允许在未登陆前关机[防止远程关机/启动、强制关机/启动]
" h1 F2 @& U- V9 A" [$ f% ]2 T+ ~6）只有本地登陆用户才能访问CD-ROM
# J E7 t. y3 @7）只有本地登陆用户才能访问软驱 1 J! z# Z* y5 u% j* i4 {7 c
8）取消关机原因的提示
0 I- o. Y b3 s3 tA、打开控制面板窗口，双击“电源选项”图标，在随后出现的电源属性窗口中，进入到“高级”标签页面； + C5 z$ G2 W" P: g5 t
B、在该页面的“电源按钮”设置项处，将“在按下计算机电源按钮时”设置为“关机”，单击“确定”按钮，来退出设置框；
6 U j2 `6 A! }% n) h* x+ ?* FC、以后需要关机时，可以直接按下电源按键，就能直接关闭计算机了。当然，我们也能启用休眠功能键，来实现快速关机和开机； 6 R% Q9 f; k! G# f1 n" H7 r
D4、要是系统中没有启用休眠模式的话，可以在控制面板窗口中，打开电源选项，进入到休眠标签页面，并在其中将“启用休眠”选项选中就可以了。
& e8 r0 Z2 J3 ?, E) c& l# L, r9）禁止关机事件跟踪 " T3 I) [2 e. }1 O
开始“Start -> ”运行“ Run -> 输入”gpedit.msc “，在出现的窗口的左边部分，选择 ”计算机配置“（Computer Configuration ）-> ”管理模板“（Administrative Templates）-> ”系统“（System），在右边窗口双击“Shutdown Event Tracker” 在出现的对话框中选择“禁止”（Disabled），点击然后“确定”（OK）保存后退出这样，你将看到类似于Windows 2000的关机窗口 ( Z9 Q, ~4 J1 y4 }: x6 }- ]1 M
17、常见端口的介绍 J* q$ X0 ?. G b
TCP
. t, D, U0 ]; r( n2 u! m1 n0 ?21 FTP 9 E1 c0 X( Z/ x
22 SSH . W$ l* ?9 `' T/ \" f' }0 i% Y
23 TELNET
k% u& \- _+ _5 S- I25 TCP SMTP $ Y8 l9 _: r1 Q
53 TCP DNS
6 f1 I. q8 k( Z+ `2 n- i- P80 HTTP
- s7 m! W( l0 h: t, g, w8 ?135epmap 9 X, X; c% C" c$ Y' ?1 q% E# q
138[冲击波]
) J f, r9 n) N) J139smb 7 V/ z# p7 V+ ^
445 , X& H" I/ ]/ I' ~
1025 DCE/1ff70682-0a51-30e8-076d-740be8cee98b . F- H" q- R: n- m
1026 DCE/12345778-1234-abcd-ef00-0123456789ac + z+ M, Q& y1 _, G
1433 TCP SQL SERVER 3 E; [# U) }) n- m, D4 ~1 \! j
5631 TCP PCANYWHERE
$ J6 k# k5 q2 d5632 UDP PCANYWHERE
- F3 u) v, c( g5 d7 d3389 Terminal Services 2 g6 Q- J! M2 L1 C+ ]
4444[冲击波] # O! m* ^* i8 {' [3 L8 ^
UDP
% R; W4 g. l6 u `; U$ S0 c" o2 _0 H67[冲击波]
( A( t: R3 N. ?; l* l; t137 netbios-ns
1 V( X8 @: r% T- J( ]/ g {1 I6 p161 An SNMP Agent is running/ Default community names of the SNMP Agent " a6 W2 J, a S# L' K* o
关于UDP一般只有腾讯QQ会打开4000或者是8000端口或者8080，那么，我们只运 行本机使用4000这几个端口就行了 |
|
狗仔卡
发表于 2009-1-16 13:28:17
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
显身卡
发表于 2009-1-21 02:03:48