|
|
|
个人电脑常见的被入侵方式:
+ A! |' [6 ]1 J0 P8 H谈到个人上网时的安全，还是先把大家可能会遇到的问题归个类吧。我们遇到的入侵方式大概包括了以下几种： 3 F, D* A0 T# X# W
(1) 被他人盗取密码；
8 d, M* u x/ M- x" j(2) 系统被木马攻击； * x L/ P' X7 n1 q1 r9 W7 [: {
(3) 浏览网页时被恶意的java scrpit程序攻击； 7 O- U: f6 P5 y: c5 m
(4) QQ被攻击或泄漏信息；
% B- d6 B. F% t! j) g; j7 |7 B(5) 病毒感染； $ [' D8 p! r: c x; c1 {/ Q9 e
(6) 系统存在漏洞使他人攻击自己。
^# ?8 l/ S& D4 J4 g(7) 黑客的恶意攻击。 : A2 R2 i3 `4 _: ^
下面我们就来看看通过什么样的手段来更有效的防范攻击。 . Q) j! ]8 ]$ Z5 z/ g& L c# b# t7 V
1.察看本地共享资源 S# ]% N2 E; J$ t4 u
运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。 . I, I1 `8 _3 u! H5 E$ v8 R- ?
2.删除共享(每次输入一个） ) ` ?4 N3 t2 w3 x+ h! k
net share admin$ /delete * }6 o7 j v C& y# @1 p
net share c$ /delete / b4 T' T0 _6 {0 v5 _( }+ Q
net share d$ /delete（如果有e，f，……可以继续删除）
& H5 p! u0 V# @- Q. _; u3.删除ipc$空连接
# ^7 D2 |( D9 g* H' G% ?0 I. ?在运行内输入regedit，在注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。
, q6 `$ g4 P' G4.关闭自己的139端口，ipc和RPC漏洞存在于此。
# o5 L i& k! X8 d# `关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。
" `. l) C/ m- k/ W6 N5 s5．防止rpc漏洞 / ]( h% g& [) K. D& M0 v
打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。
6 n+ i1 Y8 q5 z" M- g- f. j% z* |XP SP2和2000 pro sp4，均不存在该漏洞。
5 r" L+ l B. H6 {) r7 N6．445端口的关闭
. r2 v5 B, s- Z" t4 j I! }& P: [修改注册表，添加一个键值 " ?$ ?- y- C* ?9 `
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了 ! m: T' r1 D4 s& C1 C9 U* K3 E& ^
7．3389的关闭
* r Y1 }% s3 \# }7 L% s% xXP：我的电脑上点右键选属性--> 远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。
3 w0 z: w6 T c4 oWin2000server 开始--> 程序--> 管理工具--> 服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用） / S/ h: \3 w4 U9 r' f8 v4 w0 @
使用2000 pro的朋友注意，网络上有很多文章说在Win2000pro 开始--> 设置--> 控制面板--> 管理工具--> 服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。 0 s# h) \5 K$ L) N) D1 v6 p
8．4899的防范
( j, X: Z/ s& P( p' e; t" G$ d+ @8 z9 N网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。 / ]# X' L6 B& ^" o) g; v
4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。 L) E) f$ g: F) y( E! @0 h& t0 d1 [
所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。
( k/ T, f' y; \9、禁用服务 6 k5 c; G S$ Z# g1 ~
打开控制面板，进入管理工具——服务，关闭以下服务 ! T- F" C: }2 F8 Y# l: ~( f- T
1.Alerter[通知选定的用户和计算机管理警报]
: X6 b. {* B; G0 ?8 `: Z% ^. w2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享]
+ }5 R! v( r4 U$ @& D3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无法访问共享 ( b5 J$ j1 ], n8 {# o+ @! G3 k6 F# k
4.Distributed Link Tracking Server[适用局域网分布式链接? ?踪客户端服务] 9 e: H8 y5 b2 F5 ?/ s2 {) i$ Z: ?
5.Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问]
7 v& v4 {) y" [* ~. J+ X6.IMAPI CD-Burning COM Service[管理 CD 录制]
$ B3 v) M2 o& q7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息]
1 n1 k6 @9 C; Y1 c8.Kerberos Key Distribution Center[授权协议登录网络]
4 Z, {% Z* p+ q9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止]
: S+ J1 K4 w* b6 Q& m! B: U1 `10.Messenger[警报] 3 T S, N1 C, ^1 s0 z7 D v
11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集]
; o: o( a6 g" Q12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换] 5 U: ^9 u. J+ o. _% C
13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享] - t) g7 d. _) o
14.Print Spooler[打印机服务，没有打印机就禁止吧]
; |2 T: A0 l/ E7 H7 P15.Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助] 8 M# I% H+ d* [
16.Remote Registry[使远程计算机用户修改本地注册表] 0 ^( o# P6 q$ Z" f
17.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息] 5 f5 y A4 x, f
18.Server[支持此计算机通过网络的文件、打印、和命名管道共享] : ]4 J$ j X8 c t; f
19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符] # ]( K4 w/ S5 x/ G0 p4 o. M/ b
20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享文件、打印和登录到网络] / f" ]$ U; E. u5 S. N6 }" s
21.Telnet[允许远程用户登录到此计算机并运行程序]
: H7 w. O5 y$ V; I; ?22.Terminal Services[允许用户以交互方式连接到远程计算机]
, x: Y' a9 H( s8 j) e& l! R5 V" n23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机] : t5 w6 d. y3 R6 l
如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。 6 v! x( H% O2 [8 c8 z; u/ C
10、账号密码的安全原则 0 I5 D$ |. h- ^8 N% c
首先禁用guest帐号，将系统内建的administrator帐号改名～～（改的越复杂越好，最好改成中文的），而且要设置一个密码，最好是8位以上字母数字符号组合。 (让那些该死的黑客慢慢猜去吧～）
& D$ [/ G, l5 K! p+ c8 k如果你使用的是其他帐号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置adminstrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的帐号，不是正常登陆下的adminitrator帐号，因为即使有了这个帐号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置（关于密码安全设置，我上面已经讲了，这里不再罗嗦了。
X; ~: Z1 F6 |& U' w; W0 K, n/ b打开管理工具.本地安全设置.密码策略
7 k% B/ g0 ?: O2 f8 z+ v- ]
1 g2 Z- C: }, G' P$ B
. L6 @( e$ ?1 G% j
6 P4 O& ]& U: y5 |! I) L! i1.密码必须符合复杂要求性.启用
& e: l: Z' u) k1 W% Y4 y2 C, ^* `2.密码最小值.我设置的是8
0 J8 q7 f, J5 H/ m3.密码最长使用期限.我是默认设置42天 ; k3 S) f& g' z: M i
4.密码最短使用期限0天 " o# v" }% n( c, D g
5.强制密码历史 记住0个密码 8 x B. v, A3 m# p
6.用可还原的加密来存储密码 禁用* ` d1 @# }9 S! j2 @- j
11、本地策略:
6 H; G* J! o2 L! Q8 R这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。
/ A+ r$ R: L Q(虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的)
9 f. @* }. y' q打开管理工具 % P0 V+ o) @ e8 U4 P
找到本地安全设置.本地策略.审核策略
6 g- V+ G. A% [% l. B1.审核策略更改 成功失败
8 h2 X% t$ x% W2.审核登入事件 成功失败 * R+ c$ m! s: C) P
3.审核对象访问 失败
6 Y! T3 c3 K. P- `: C5 V: V1 u7 v4.审核跟踪过程 无审核
$ [, B( Y, _& A* L0 A$ J5.审核目录服务访问 失败
* n, R) f& f; L! e, |- B; ?% ?6.审核特权使用 失败 ; P! c% W9 q4 [' {$ F5 \" n
7.审核系统事件 成功失败
1 \( u; S' L; A7 }8.审核帐户登陆时间 成功失败
( Z. E8 }$ z0 s4 m9.审核帐户管理 成功失败 ' r C2 G" }1 y# j# v' s
然后再到管理工具找到 ( K0 v: q x0 I/ s# J* S
事件查看器
8 W$ I6 \- [2 Y- w应用程序：右键> 属性> 设置日志大小上限，我设置了50mb，选择不覆盖事件
( w3 G+ Z* C8 |, X T5 G; d" _安全性：右键> 属性> 设置日志大小上限，我也是设置了50mb，选择不覆盖事件 - G2 h# U3 K6 M
系统：右键> 属性> 设置日志大小上限，我都是设置了50mb，选择不覆盖事件 " X' Y2 [+ \+ \( V8 F" E
12、本地安全策略: T1 F; P! e# \% E2 R" E5 f
打开管理工具 ' b% \; I; K6 |
找到本地安全设置.本地策略.安全选项
8 d8 ?, [& r [0 V1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登陆的] ( b! O: ^) _% J$ f: b: P5 w8 g
2.网络访问.不允许SAM帐户的匿名枚举 启用 4 B' \6 t' ~0 O0 S4 i
3.网络访问.可匿名的共享 将后面的值删除 5 j7 f! ]+ a9 x( b- V
4.网络访问.可匿名的命名管道 将后面的值删除 + ~& H- P! q, `. u/ k7 r
5.网络访问.可远程访问的注册表路径 将后面的值删除 , q% D$ K3 ^9 T) {
6.网络访问.可远程访问的注册表的子路径 将后面的值删除 $ I- M4 ^4 h1 Z8 f( ?5 I$ ~+ Z
7.网络访问.限制匿名访问命名管道和共享
: b3 f# c6 {, W. p( v8.帐户.（前面已经详细讲过） 3 ^8 e* c" @( U# F2 z8 I9 E0 ^
13、用户权限分配策略:
0 u7 X5 u3 c$ o1 R5 x# [打开管理工具 % b. e% R$ g" y {( C; d5 q
找到本地安全设置.本地策略.用户权限分配
! \$ w* r# S& X' F3 |$ J, Y1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属于自己的ID 1 a6 o2 f% J1 X. s# i: ^! Y
2.从远程系统强制关机，Admin帐户也删除，一个都不留 / |* |% X3 d- Y# F& s$ l8 J3 T
3.拒绝从网络访问这台计算机 将ID删除
4 h: [/ f; o# P- w4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务 : f$ h- W1 o9 t3 x! c& u! e u4 Z
5.通过远端强制关机。删掉
2 b& \; h" T1 P14、终端服务配置
: H) I! h1 v* h4 ~) V' ^打开管理工具
, d- }& y# a5 f, o" ~4 \( f! U/ v5 }终端服务配置 2 h" I2 X, M z5 M8 \6 e
1.打开后，点连接，右键，属性，远程控制，点不允许远程控制
K6 F- A( b+ c, B2.常规，加密级别，高，在使用标准Windows验证上点√! 0 I0 @) X% Z6 K$ u, V
3.网卡，将最多连接数上设置为0
% T* F+ @8 ^2 N4.高级，将里面的权限也删除.[我没设置]
, X, u V" n9 V. n% ?/ t( b; [% u再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话% q$ _" a V( u/ p0 b; ?7 t+ q
15、用户和组策略
5 |! O% ~/ B/ G3 n; g0 T( W6 f
+ C1 x5 H6 u) X2 b0 g2 F) e打开管理工具 . p% D8 s- y2 F8 m% Q: g* o0 V
计算机管理.本地用户和组.用户;
: `8 J# R- s% z% N" R9 b删除Support_388945a0用户等等
& A; P; G/ ]# L1 L8 S: P0 a只留下你更改好名字的adminisrator权限 ) m5 Z- V1 o" }- [' Q- f
计算机管理.本地用户和组.组 3 L/ `) I4 G0 O
组.我们就不分组了，每必要把 # E2 Q$ X2 u1 B7 l0 d
16、自己动手DIY在本地策略的安全选项
3 ]: d8 P. c. d; N; x# v! f1）当登陆时间用完时自动注销用户(本地) 防止黑客密码渗透. P2 y b7 v1 b3 z' Y
2）登陆屏幕上不显示上次登陆名(远程)如果开放3389服务，别人登陆时，就不会残留有你登陆的用户名.让他去猜你的用户名去吧.
" m2 y) t2 u% d1 }+ Z d( N1 _3）对匿名连接的额外限制
2 T* m" C U; q8 T8 l- i/ R4）禁止按 alt+CRTl +del(没必要） ' l5 h% q$ {4 C9 a5 Q
5）允许在未登陆前关机[防止远程关机/启动、强制关机/启动]
8 \$ T+ A) [- U5 z7 r, w6）只有本地登陆用户才能访问CD-ROM % G% ` ]8 G& W. x. Z m5 K8 }/ }
7）只有本地登陆用户才能访问软驱
1 U7 U3 c! ~% ^: _9 x8）取消关机原因的提示
" q% H" I5 t* W& p( TA、打开控制面板窗口，双击“电源选项”图标，在随后出现的电源属性窗口中，进入到“高级”标签页面； ' c3 T& K0 J8 G
B、在该页面的“电源按钮”设置项处，将“在按下计算机电源按钮时”设置为“关机”，单击“确定”按钮，来退出设置框； 2 C# y" X" E) T/ ^, ~, r1 g
C、以后需要关机时，可以直接按下电源按键，就能直接关闭计算机了。当然，我们也能启用休眠功能键，来实现快速关机和开机； ) n; d0 Z/ d7 l) Z9 I$ J2 i, [
D4、要是系统中没有启用休眠模式的话，可以在控制面板窗口中，打开电源选项，进入到休眠标签页面，并在其中将“启用休眠”选项选中就可以了。
( t5 c% D3 L8 k/ T9）禁止关机事件跟踪 8 Y; ^" a% W% G4 g& n0 P
开始“Start -> ”运行“ Run -> 输入”gpedit.msc “，在出现的窗口的左边部分，选择 ”计算机配置“（Computer Configuration ）-> ”管理模板“（Administrative Templates）-> ”系统“（System），在右边窗口双击“Shutdown Event Tracker” 在出现的对话框中选择“禁止”（Disabled），点击然后“确定”（OK）保存后退出这样，你将看到类似于Windows 2000的关机窗口 1 Q3 p9 B: h$ x+ S7 I/ a3 ]
17、常见端口的介绍
2 R# R3 q8 Y7 t" DTCP
* p, T5 Q( m4 w8 k3 a21 FTP 2 o$ ]6 e0 ?) p7 r5 X" k4 x
22 SSH D" u/ u9 [ ^' k1 k1 O
23 TELNET ' g/ H& Z. d+ D* j
25 TCP SMTP
- T- \# F1 C; {/ M5 y6 g' L. L53 TCP DNS " [$ F; \( E5 e
80 HTTP
/ l; q; I! b: A8 }! p, a" S, }135epmap ' y5 |2 }6 N8 \3 G) e: O
138[冲击波] \: Y! b) d+ R4 ^- K3 Q
139smb ' s7 [+ h9 ~) K4 M6 F6 q- m" K% y
445 : }5 _9 o) d4 Z# n& c- q; L
1025 DCE/1ff70682-0a51-30e8-076d-740be8cee98b & n+ e( d! s+ r, ~- V
1026 DCE/12345778-1234-abcd-ef00-0123456789ac % @( A9 K) r, N% B* \
1433 TCP SQL SERVER " D/ c$ z1 T" w# ^; ^. _! [
5631 TCP PCANYWHERE * @6 a; C$ S P
5632 UDP PCANYWHERE
% W/ q% y% W. T- t8 T, M3389 Terminal Services
8 o) G7 t# J R2 W3 H% N4444[冲击波] 8 ~! B7 S5 h9 e0 l) Q
UDP 9 w1 j1 z. X* }: I
67[冲击波]
4 z% U! s- }: w) J6 @137 netbios-ns : _8 R& r, L. {! r6 N" t0 n0 a+ C8 E
161 An SNMP Agent is running/ Default community names of the SNMP Agent & r* E, h( w* `0 |
关于UDP一般只有腾讯QQ会打开4000或者是8000端口或者8080，那么，我们只运 行本机使用4000这几个端口就行了 |
|
狗仔卡
发表于 2009-1-16 13:28:17
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
显身卡
发表于 2009-1-21 02:03:48