|
|
个人电脑常见的被入侵方式:
& {; c" ~6 x3 L: U谈到个人上网时的安全，还是先把大家可能会遇到的问题归个类吧。我们遇到的入侵方式大概包括了以下几种： 6 u: ^5 j* j8 G
(1) 被他人盗取密码；
( E6 C) x( |* `4 ^8 w/ x(2) 系统被木马攻击； , }3 T8 i# _, Y; Y' p9 G/ @1 c
(3) 浏览网页时被恶意的java scrpit程序攻击； & \1 F9 y3 n, J9 u
(4) QQ被攻击或泄漏信息；
/ x* C( O4 C0 U(5) 病毒感染； % U: j- R5 n. l5 O4 z0 L3 g- d# c5 ^
(6) 系统存在漏洞使他人攻击自己。
% ]. h5 `" c. r0 L(7) 黑客的恶意攻击。 9 P- h& p# F( h0 r! r
下面我们就来看看通过什么样的手段来更有效的防范攻击。 - c0 ^- s" c5 {- W2 J
1.察看本地共享资源 ( A, L5 w% |7 b1 w- e; N3 ^
运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。 ; H6 f$ A0 G, G, y$ T
2.删除共享(每次输入一个） * I3 C% n- h2 v# R- N3 T
net share admin$ /delete
( B& ^+ i% c0 M3 k& i# Rnet share c$ /delete 5 c1 k0 P+ [, x% Q8 y4 h0 T8 x
net share d$ /delete（如果有e，f，……可以继续删除） 9 h4 v- e2 [& V
3.删除ipc$空连接 # z4 B9 w) ~- g) A A! X# W
在运行内输入regedit，在注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。
( j. e$ |! j! o# p- E! x I! ?4.关闭自己的139端口，ipc和RPC漏洞存在于此。 , F, |; v1 G4 d
关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。 ' E! z, b. Z% L: O& a& H) k' l
5．防止rpc漏洞
3 l2 K: `7 q+ n* l打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。
, B L7 W7 q5 n. {# UXP SP2和2000 pro sp4，均不存在该漏洞。1 G1 D( y- |# D" k6 }
6．445端口的关闭
- q: z: w5 q3 |. b E修改注册表，添加一个键值
: v* ~& D+ o! iHKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了
, h0 a p) {( i7 I. T0 u7．3389的关闭 0 \' U4 S$ O# v: k& b, G
XP：我的电脑上点右键选属性--> 远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。 7 O3 f. e8 Z D/ L" `4 G
Win2000server 开始--> 程序--> 管理工具--> 服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用）
( A2 }" N0 {# T6 \& n; I使用2000 pro的朋友注意，网络上有很多文章说在Win2000pro 开始--> 设置--> 控制面板--> 管理工具--> 服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。 + |- k3 S. U% p V
8．4899的防范 / W8 d/ z) f U' s: O
网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。 / D$ I& ]8 S: L+ v
4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。 ' S) i3 a1 v r6 g' C2 a& I, E1 f
所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。
* ~1 R6 ?' s, e. d) y" r9、禁用服务
( q. r% S* A9 y _0 J5 K1 W打开控制面板，进入管理工具——服务，关闭以下服务
/ l- }! w; R6 X7 A( v1.Alerter[通知选定的用户和计算机管理警报] % o, h8 G- d& D4 Z6 R, m
2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享] 0 {: F! c9 S, m& ]9 }' ^
3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无法访问共享 & l+ X0 o0 \2 u* [ v% z3 A, S
4.Distributed Link Tracking Server[适用局域网分布式链接? ?踪客户端服务] # L+ ^: R& P8 E5 c% M H1 H0 ^
5.Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问]
7 ?( [" Z5 c+ `- {, Q2 O% T" E1 v6.IMAPI CD-Burning COM Service[管理 CD 录制]
9 I$ Y3 g1 g5 h% n- t7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息] / t. y& R+ K$ u$ C, x2 a
8.Kerberos Key Distribution Center[授权协议登录网络]
3 M% \* D! Q; t: d; L( r* Y+ Q9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止]
4 h7 }6 M# |) U9 F: R10.Messenger[警报]
, W6 f; q9 ~% D( [: `) e9 D7 T$ \# {11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集]
1 o8 o* y) x) m! F8 h4 C. \9 Q+ R12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换]
$ E' Z1 E# ?8 w. X6 [13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享] + t; d9 q C: f5 b7 _. q
14.Print Spooler[打印机服务，没有打印机就禁止吧]
; D# R: Y m4 X! y15.Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助]
. L0 L) E( Q$ E) I- T16.Remote Registry[使远程计算机用户修改本地注册表]
# H! Q7 E& A n4 `17.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息]
/ h6 ^2 a2 P* ^: ]0 z5 b18.Server[支持此计算机通过网络的文件、打印、和命名管道共享]
1 ], a, h0 \# L$ y2 A2 n1 w1 o19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符]
; J q& u/ V# d7 H; M20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享文件、打印和登录到网络] / B1 u" O. B' t1 R1 D7 o9 I
21.Telnet[允许远程用户登录到此计算机并运行程序]
; g; V- E) L9 _22.Terminal Services[允许用户以交互方式连接到远程计算机]
6 l9 s% I9 }* @1 k" l23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机] - R6 {9 d+ X* N5 z$ ]
如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。 & d* a! p: A, p9 {. S3 C1 o
10、账号密码的安全原则
4 g0 {2 E4 l& B. k- Y% @6 n首先禁用guest帐号，将系统内建的administrator帐号改名～～（改的越复杂越好，最好改成中文的），而且要设置一个密码，最好是8位以上字母数字符号组合。 (让那些该死的黑客慢慢猜去吧～） 2 e- A8 l8 s9 F- I# g8 C
如果你使用的是其他帐号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置adminstrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的帐号，不是正常登陆下的adminitrator帐号，因为即使有了这个帐号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置（关于密码安全设置，我上面已经讲了，这里不再罗嗦了。 f) o5 W/ Y5 \) D
打开管理工具.本地安全设置.密码策略 0 J% e# r9 v* [) U0 `
! B4 N3 o/ Y4 ?- ~" j- m
/ x: y7 o9 |$ d; `& G8 g5 e* n' T- y3 M% s d' P: m
1.密码必须符合复杂要求性.启用 . s, ^ U/ }- J! R
2.密码最小值.我设置的是8
9 J% y, i& R4 }. |' y3.密码最长使用期限.我是默认设置42天 " x( ?$ Q) r: ~7 m# ^
4.密码最短使用期限0天 $ M8 U4 O% `0 e% C3 x2 s
5.强制密码历史 记住0个密码
- H$ N3 j0 Z. J0 D) V8 M" I _$ ?6.用可还原的加密来存储密码 禁用/ y; x; [; C4 C3 V2 X2 U. c( @! f
11、本地策略: + |; T/ {# @& p* |9 q
这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。
& g2 I1 _& E+ L(虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的) * n, }3 G: U; h, {1 B& A
打开管理工具 ; K' S4 ], `7 ]6 A
找到本地安全设置.本地策略.审核策略 / c8 |5 X7 r$ v. M
1.审核策略更改 成功失败
7 Z4 c- ^, [4 t% s5 U" I2.审核登入事件 成功失败
# A9 X$ m7 V: D! Z N1 d! d. ~. K3.审核对象访问 失败
& Q, i2 W. _; o) N# T6 c5 C4.审核跟踪过程 无审核 , Y0 V/ C6 O7 T. R
5.审核目录服务访问 失败
5 u; I) P1 h' u3 _6.审核特权使用 失败
5 h! b0 N5 Q, j5 h7.审核系统事件 成功失败
8 X/ e0 m% U( N" ~- `( p8.审核帐户登陆时间 成功失败
9 s4 P% I6 n! v: e- q7 C/ [9.审核帐户管理 成功失败 1 ]" V+ N- g& X7 r u( r
然后再到管理工具找到
v# Z, T. g' e. q" p事件查看器
8 @" ~/ F* }# v& D应用程序：右键> 属性> 设置日志大小上限，我设置了50mb，选择不覆盖事件
+ u8 r7 Q- n# d: J安全性：右键> 属性> 设置日志大小上限，我也是设置了50mb，选择不覆盖事件 6 X/ S T: b- m' ^: I. T% }
系统：右键> 属性> 设置日志大小上限，我都是设置了50mb，选择不覆盖事件
1 p5 u9 v( c* a12、本地安全策略: , Z) h; g8 S- E% C n: U3 q8 E
打开管理工具 + Q* |" p- l# x5 J4 |
找到本地安全设置.本地策略.安全选项
9 y( u, b- |0 v1 s2 w1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登陆的] . @7 `; Z5 n% K
2.网络访问.不允许SAM帐户的匿名枚举 启用 6 N% a# X5 G9 |* z" {4 W
3.网络访问.可匿名的共享 将后面的值删除 . C3 E" `9 W! _/ |( v6 J
4.网络访问.可匿名的命名管道 将后面的值删除 " Y6 ~" S4 i! P' z7 @! U
5.网络访问.可远程访问的注册表路径 将后面的值删除 4 S7 v+ x# `& X& f/ l: V- @
6.网络访问.可远程访问的注册表的子路径 将后面的值删除
+ m9 k* ^1 w* `& E8 S, U7 R8 D7 L5 N U7.网络访问.限制匿名访问命名管道和共享 & r# q) I8 c! {5 w2 R' h7 X8 R9 j1 Y
8.帐户.（前面已经详细讲过）
% b( b8 x' b1 K. I8 X4 E5 H13、用户权限分配策略: 6 w* n+ l* u7 z, [+ I- f
打开管理工具 ! t5 @& ?: n* F7 w. y+ @( a- i
找到本地安全设置.本地策略.用户权限分配
1 s+ v% j2 ]) G! }1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属于自己的ID
1 W0 n' P# A) G0 u7 g2.从远程系统强制关机，Admin帐户也删除，一个都不留 & Q6 y7 G* ?( L6 ~4 s7 u
3.拒绝从网络访问这台计算机 将ID删除
* k- ?6 F- B, B$ K; D$ Z. v6 i% d4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务
7 N& S/ F- A# y2 Z6 G7 U" Y5.通过远端强制关机。删掉 ( K% U; D6 k) W7 _, j c
14、终端服务配置 8 ]- _3 f) M( v4 R
打开管理工具
2 y/ a! B5 W- R! f终端服务配置 ' _: e; k& S! P0 v- R- {/ i
1.打开后，点连接，右键，属性，远程控制，点不允许远程控制
- W6 r6 j9 W( a$ _1 x$ W0 @2.常规，加密级别，高，在使用标准Windows验证上点√!
5 [! P% z& \; }- J& w+ ?1 F3.网卡，将最多连接数上设置为0
# t" e! C; _5 z4.高级，将里面的权限也删除.[我没设置]
) Z* c/ [/ P+ T1 K# U再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话
0 l: B u& j/ M+ _15、用户和组策略
% ]% R% T i& m8 m( R, U. \# ?
8 e0 ^; Z8 [- g* ]. [打开管理工具 ' L1 K( i$ R- d9 m, M. e+ c' ]
计算机管理.本地用户和组.用户;
, J% n& Z9 X* I* q/ n& o, t删除Support_388945a0用户等等
7 \7 @" t1 b& T- W) Y3 G只留下你更改好名字的adminisrator权限
0 n1 Y- l7 {, j% l, y1 }计算机管理.本地用户和组.组 ( p4 H6 N. U k% L7 I2 S5 f
组.我们就不分组了，每必要把
+ O. X, b: I# u; x0 p6 t: u I16、自己动手DIY在本地策略的安全选项
- R! X. g$ P% f1）当登陆时间用完时自动注销用户(本地) 防止黑客密码渗透. 1 Z. G# N+ W& f8 |8 f; N
2）登陆屏幕上不显示上次登陆名(远程)如果开放3389服务，别人登陆时，就不会残留有你登陆的用户名.让他去猜你的用户名去吧.
* D2 S0 k0 z; x0 i7 [- A3）对匿名连接的额外限制 2 ?: L! q, m) f: N; w
4）禁止按 alt+CRTl +del(没必要） 2 f( d- w( k4 H, ~' l: \
5）允许在未登陆前关机[防止远程关机/启动、强制关机/启动] ) r6 ^7 s6 J% i/ G
6）只有本地登陆用户才能访问CD-ROM * X0 b A! K, q u% U5 _* F2 w7 R3 q
7）只有本地登陆用户才能访问软驱
! t6 \4 k" ]- X; ?7 X) p7 U8）取消关机原因的提示 ( L- k" \+ R# b* s6 R/ M' L
A、打开控制面板窗口，双击“电源选项”图标，在随后出现的电源属性窗口中，进入到“高级”标签页面； ' e- _) |# v. o; w/ D1 u( e
B、在该页面的“电源按钮”设置项处，将“在按下计算机电源按钮时”设置为“关机”，单击“确定”按钮，来退出设置框；
4 u" B& C' I0 G. AC、以后需要关机时，可以直接按下电源按键，就能直接关闭计算机了。当然，我们也能启用休眠功能键，来实现快速关机和开机； 5 }/ l- T# t& c! `: l1 W/ Q3 M
D4、要是系统中没有启用休眠模式的话，可以在控制面板窗口中，打开电源选项，进入到休眠标签页面，并在其中将“启用休眠”选项选中就可以了。 + r8 ]4 t/ G! x
9）禁止关机事件跟踪 % W+ T/ c; s {. C
开始“Start -> ”运行“ Run -> 输入”gpedit.msc “，在出现的窗口的左边部分，选择 ”计算机配置“（Computer Configuration ）-> ”管理模板“（Administrative Templates）-> ”系统“（System），在右边窗口双击“Shutdown Event Tracker” 在出现的对话框中选择“禁止”（Disabled），点击然后“确定”（OK）保存后退出这样，你将看到类似于Windows 2000的关机窗口 8 u% F2 @- \7 G8 q5 T
17、常见端口的介绍
, _, F" r; R3 _0 vTCP . ]' E# F$ `* L8 j% B8 I: L6 v
21 FTP 2 P/ X+ _3 p( R# H3 W5 T7 x; j
22 SSH 9 ]- Q/ K2 W) \+ R) U# q3 A* ~0 C
23 TELNET ( w7 X1 u+ N. s9 Z5 I
25 TCP SMTP ( |% ^0 ?( o9 `* T, v$ Y
53 TCP DNS
$ k1 M0 H5 ], K( ]+ j# `80 HTTP 4 x* n; S0 D6 ~: E0 j* n! c* p! i
135epmap
, E8 g: H+ E2 p, d& B138[冲击波] 6 {; p* T# ?4 E9 V. I! R
139smb , h* ]5 A6 @# N
445
/ T/ M' }! O Z* W1025 DCE/1ff70682-0a51-30e8-076d-740be8cee98b
* d9 P3 z6 t# Y1026 DCE/12345778-1234-abcd-ef00-0123456789ac
* y5 |" b( T3 P3 U1 t1433 TCP SQL SERVER
. R: C/ c' Y6 U# L4 J5 r# o5631 TCP PCANYWHERE
. |* g. d' r0 Y% I m2 B. b5632 UDP PCANYWHERE
( e. d, O7 S7 w: l$ c3389 Terminal Services
" ? T% n8 r( V' z% v4444[冲击波]
( N- F" T2 s- M0 g2 c+ P7 iUDP
S+ Y% h/ j( U! V$ z67[冲击波]
9 [, H( T% i* o8 z, `137 netbios-ns
* @7 [# C% ^! ~6 x, {% M o) b161 An SNMP Agent is running/ Default community names of the SNMP Agent
" n' b% H- Y4 c1 b0 k" C关于UDP一般只有腾讯QQ会打开4000或者是8000端口或者8080，那么，我们只运 行本机使用4000这几个端口就行了 |
|
狗仔卡
发表于 2009-1-16 13:28:17
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
显身卡
发表于 2009-1-21 02:03:48