黑客攻防入门秘笈

恒盛杰资讯　著

ISBN：978-7-111-38667-4

本书纸版由机械工业出版社于2012年出版，电子版由华章分社（北京华章图文信息有限公司）全球范围内制作与发行。

版权所有，侵权必究

客服热线：+ 86-10-68995265

客服信箱：service@bbbvip.com

官方网址：www.hzmedia.com.cn\n

新浪微博 @研发书局

腾讯微博 @yanfabook

前言

在由Internet组成的网络世界中，总有那么一批人喜欢利用自己的高超技术去控制别人的电脑、偷窥别人的信息。称呼这类人为黑客时，总觉得太高估他们了。因为想要成为一名黑客并非是一两天或者一两个月就能成功的，这需要持之以恒的毅力，不仅要掌握计算机的基础知识，而且还要掌握至少两门编程语言。

Internet中关于偷窥隐私信息的制度还不完善，仅仅通过法律来约束他们还不够，只有普及黑客知识，让更多的人知晓这类人能够在Internet中偷些什么、怎样偷等，才能更好地防止黑客入侵。

本书就是为此而编写的。本书围绕“攻”、“防”两个不同的角度，在介绍黑客攻击手段的同时，也讲解了相应的防范措施，通过黑客常用的入侵工具和浅显易懂的操作步骤向用户展现了黑客入侵网络与防御的全过程。

本书主要内容

本书分为三篇，共15章，第一篇为新人入门篇，包括第1～2章；第二篇为攻防实战篇，包括第3～13章；第三篇为安全与预防篇，包括第14～15章。

第1章的内容是黑客的基础知识，主要介绍了黑客的定义、成为黑客必须满足的条件、查看IP地址和端口以及创建安全的Windows 7测试环境等内容。

第2章的内容为黑客必须掌握的基础知识，主要介绍了黑客必须知道的术语、网络应用技术以及DOS命令等内容。

第3章的内容为扫描与嗅探攻防，主要介绍了搜索目标主机信息、扫描主机端口、嗅探数据包以及如何防范端口扫描和嗅探等内容。

第4章的内容为Windows系统漏洞攻防，主要介绍了Windows系统漏洞产生的原因、Windows XP/7系统中存在的安全漏洞以及如何修补系统漏洞等内容。

第5章的内容为木马攻防，主要介绍了木马的概念、自定义配置及捆绑木马以及如何防范木马入侵等内容。

第6章的内容为病毒攻防，主要介绍了病毒的概念、如何制作常见的病毒以及如何防范病毒入侵计算机等内容。

第7章的内容为密码攻防，主要介绍了加密与解密的概念、如何破解常用文件密码以及如何防范密码被轻易破解等内容。

第8章的内容为远程控制攻防，主要介绍了远程控制的概念，利用IPC$、Telnet以及注册表实现远程监控，如何有效防范远程监控等内容。

第9章的内容为局域网攻防，主要介绍了局域网攻击常见方式、攻击局域网和抵制局域网攻击等内容。

第10章的内容为网页攻防，主要介绍了恶意代码的概念、如何利用漏洞攻击网页、防范恶意代码攻击等内容。

第11章的内容为E-mail攻防，主要介绍了如何盗取邮箱密码、常见的邮件攻击方式与防范等内容。

第12章的内容为QQ攻防，主要介绍了如何盗取QQ密码、如何远程攻击QQ，以及如何保护QQ密码和聊天记录等内容。

第13章的内容为隐匿入侵和痕迹清除，主要介绍了隐匿入侵技术、黑客追踪技术以及如何清除自己留下的痕迹等内容。

第14章的内容为提升系统安全性能，主要介绍了设置BIOS密码、设置开机密码、系统安全设置和清除流氓软件等内容。

第15章的内容为做好系统数据的备份措施，主要介绍了系统、数据的备份与还原以及恢复被误删除的数据等内容。

本书特色

本书采用一问一答的形式进行编写，首先利用简短的一句话对提出的问题进行总结和概括，然后再利用简单易懂的操作步骤或示意图来进行详细的阐释，旨在让用户达到“不仅知其然，而且知其所以然”的目的。

本书既不是全部介绍攻击计算机和盗取用户隐私信息的方法和手段，也不是全部介绍防范黑客攻击采取的有效措施，而是将两者结合起来，让读者不仅知晓怎样攻，同时也知道怎样防。

本书为用户附赠了攻防实战演练的教学视频光盘，通过浏览光盘，可以增加对黑客主流攻击手法感性的认识，使读者提高防范技能，确保自己的系统安全。

由于笔者水平有限，在本书的编写过程中难免会存在一些疏漏之处，希望广大读者发现后批评指正，并提出宝贵的意见。

最后需要提醒读者的是：根据国家有关法律规定，任何利用黑客技术攻击他人的行为都属于违法行为，后果自负。

编者

2012年3月

第一篇　新人入门篇

第1章　细说黑客

黑客通常被认为是一类神秘、不可琢磨、难以接近的人群，他们通常会利用自己掌握的技术来促进计算机和网络的发展，但同时也会对计算机和网络造成威胁。通过本章的学习，用户对黑客会有一定的认识。

本章知识点：

认识黑客

认识IP地址和端口

创建Windows 7测试环境

1.1　认识黑客

黑客总是给人一种神秘的色彩，仿佛他们不同于常人且难以接近。黑客与普通人有什么区别呢？他们可能是潜伏在网络中的“恐怖分子”或“小偷”，也可能是在进入他人系统后提醒管理员修复漏洞的“无名英雄”，也许是声名显赫的大人物，也可能是名不见经传的少年，下面就来简单介绍黑客是怎样的一类人以及成为黑客需要满足哪些条件。

001Q　黑客是一类什么样的人？

A　黑客是掌握超高计算机技术的一群人，他们既可推动计算机和网络技术的发展，也可非法破坏或远程控制目标计算机。

黑客是英文单词Hacker的中文音译，原意是指热衷于计算机技术、水平高超的电脑专家或程序设计人员。但在今天，黑客则是泛指利用黑客工具或高超的计算机技术来入侵网络中其他的个人计算机、服务器并对其进行破坏的一类人，对这类人应该称之为Cracker，音译为“骇客”。

Hacker热衷于研究和编写程序，他们精通各种计算机语言和系统，伴随着计算机和网络的发展而产生和成长。Hacker对计算机有着狂热的兴趣和执著的追求，他们不断地学习计算机和网络知识，并运用这些知识来发现计算机和网络中存在的漏洞，然后向管理员提出解决和修补漏洞的方法，从而推动了计算机和网络的发展与完善。Hacker不干涉政治，不受政治利用，所做的不是恶意破坏，他们是一群纵横于网络上的大侠，追求共享和免费。在黑客圈中，Hacker一词带有褒义的色彩，例如熟悉操作系统的设计与维护的System Hacker，精于找出使用者密码的Password Hacker以及通晓计算机并且让计算机“乖乖听话”的Computer Hacker。

Cracker同样包括含有超高计算机水平的一类人，他们的目的并非是推动计算机和网络的发展与完善，而是通过不正当的手段来破坏他人的电脑或盗取账号、密码等重要资料。Cracker利用自己掌握的计算机技术或黑客工具来非法入侵网络中的其他个人计算机或服务器，例如将别人的计算机当做跳板来盗取其他计算机的银行账号、密码等资料，还可以在目标计算机中植入木马和病毒，起到随时监控和破坏目标计算机的作用。

002Q　黑客与红客有什么区别和联系？

A　红客是指维护国家利益，利用自己掌握的网络技术来为自己国家争光的黑客。

红客是英文单词Honker的中文音译，它代表着一种精神，即热爱祖国、坚持正义和开拓进取的精神。因此只要具备这种精神并热衷于计算机技术的人都可以成为Honker。Honker是Hacker中的一部分人，这部分人维护国家利益，不利用掌握的计算机和网络技术入侵自己国家的计算机或服务器。他们维护正义，为自己国家争光。

在中国，由广大红客组成的红客联盟喜欢用《道德经》中的语言表达自己的观点，在红客联盟首页（http://www.cnhonkerarmy.com/）的顶部显示着《道德经》的第一句话——道，可道，非常道。名，可名，非常名。

作为一名Honker，需要具备以下9方面特质。

·Honker必须爱国。

·Honker是不会随意炫耀自己掌握的攻防技术的。

·Honker会将自己掌握的计算机和网络技术与他人一同分享。

·Honker需要不断地学习，并不断地研究新的攻击技术和防护方法。

·Honker需要熟练掌握C语言，同时还要掌握其他任一门面向对象的语言，例如C++、Java等。

·Honker不仅要懂得系统的常用漏洞攻防之道，而且还要懂得如何去发掘系统的漏洞。

·Honker需要懂得如何使用搜索引擎这个非常好的学习工具。

·Honker需要打破常规的思维方式！“没有什么不可能，只要我们想得到，我们就能够做得到！没有我们进不去的‘房间’，只要‘房间’内能够进得去空气，我们就可以变成‘空气’进入房间！”

·Honker必须懂得如何做人，即学技术先学做人。

003Q　成为黑客需要满足哪些条件？

A　熟练掌握一定量的英文+理解与黑客相关的专用术语+熟练使用常用命令和黑客工具+掌握主流编程语言

黑客并非一两天就能练成的，这是一个日积月累的过程，需要丰富的知识为基础。仅仅掌握了一两款黑客工具的使用是远远不够的，需要熟练掌握一定量的英文、理解黑客术语和网络安全术语、熟练使用常用命令和黑客工具以及掌握主流的编程语言和脚本。

熟练掌握一定量的英文

学习英文对黑客来说是非常重要的，仅仅依靠国内的资料和教程无法提高自己的技术，因此需要通过阅读国外的资料和教程来实现。而国外的资料和教程大多数为英文版本，因此需要熟练掌握一定的英文方可正常阅读这些资料。

理解黑客术语和网络安全术语

黑客们在相互交流时通常会使用黑客的相关术语，例如肉鸡、挂马、后门等，如果不理解这些术语，在网络中与其他黑客交流技术或经验时，往往会显得很吃力。由于黑客涉及的知识范围比较广，而最基础的就是网络的相关知识，了解网络的相关知识后，便可以在网络中查找有漏洞的计算机或服务器，并通知管理员及时修补。而网络安全术语则是网络知识的基础部分，包括TCP/IP协议、ARP协议等。

熟练使用常用命令和黑客工具

黑客常用的命令是指日常使用的各种电脑命令，例如ping、net、nbtstat等，通过这些命令可以获取目标计算机的IP地址和NetBIOS等信息。而黑客工具则是在获取这些信息后扫描其端口和存在的漏洞，例如端口、漏洞扫描器以及嗅探器等。由于软件较多，功能各不相同，因此用户需要选择适合自己的工具。

掌握主流的编程语言和脚本

仅仅使用别人提供的黑客工具还不能称为黑客，黑客要有自己独立的思想，通过掌握主流的C、C++或Java等编程语言来创建属于自己的工具，别人提供的工具可以为自己提供一种思路，启发灵感，从而利用掌握的编程语言制作出功能更强大的工具。

1.2　认识IP地址和端口

黑客在入侵Internet中的计算机之前都需要确定其IP地址，然后扫描指定计算机中有哪些开放着的端口，从而猜测出可能存在的漏洞。因此用户需要理解IP地址和端口这两个概念，并掌握查看本地计算机的IP地址以及打开、关闭端口的操作。

004Q　什么是IP地址？

A　IP地址就是指给每台连接在Internet上的计算机所分配的一个32位地址。

如果用户要写信给某位好友，首先要知道对方的地址，这样邮递员才会将信件准确地送到好友手中。计算机发送信息就相当于邮递员送信，它必须知道对方的IP地址才能将信息准确地送到目标计算机中。只不过IP地址并非使用文字表示，而是利用十进制数字表示。

IP是英文Internet Protocol的缩写，中文译为“网络之间互连的协议”，是为计算机网络相互连接进行通信而设计的协议。该协议有一个非常重要的内容，那就是给Internet中的每台计算机和其他设备都规定了一个唯一的地址，该地址就是“IP地址”。

IP地址利用二进制来表示，目前的IP地址的长度为32bit（bit的中文名称是位，音译为比特），如采用二进制形式的IP地址是“11000000101010000000000100000101”，这么长的IP地址处理起来很费劲，因此为了方便人们的使用，IP地址经常被记为十进制形式的数字，分为4段，每段8位，并且中间使用句点符号“.”隔开，所以上面的IP地址可以写成192.168.1.5。这种表示法叫做“点分十进制表示法”，与一长串的1和0相比，利用点分十进制表示法记录的IP地址更容易被记住。

在目前的Internet中，每个IP地址包括两个标识码（ID），即网络标识码（网络ID）和主机标识码（主机ID），网络ID能够告诉用户计算机所处的特定网络，而主机ID则用来区分该网络中的不同计算机。也许有人会问：“我怎么知道IP地址中哪一部分是网络ID，哪一部分是主机ID呢？”这就需要根据IP地址的分类来识别。Internet委员会将IP地址划分成5类以适合不同容量的网络，即A、B、C、D和E类，通过这5类的标准可以判定指定IP地址的网络ID部分和主机ID部分，5类IP地址的信息如表1-1所示。

认识IPv4与IPv6

IPv是英文Internet Protocol version的简称，中文译为“网际协议版本”，目前Internet中采用的网际协议版本为IPv4，IPv6将是下一版本。随着互联网的迅速发展，IPv4定义的有限地址空间将被耗尽，地址空间的耗尽将妨碍互联网的进一步发展。为了扩大地址空间，拟通过IPv6以重新定义地址空间。IPv4采用32位地址长度，只有大约43亿个地址，而IPv6采用128位地址长度，几乎可以不受限制地提供地址。按保守方法估算采用IPv6在每平方米的面积上仍可分配1000多个地址。

005Q　如何查看当前计算机的IP地址？

A　在百度首页中输入“IP地址”关键字即可查看当前计算机的IP地址。

当计算机接入Internet后，它就拥有IP地址，无论是直接拨号上网还是通过连接路由器实现连网的计算机，都可以通过百度搜索引擎查看其对应的IP地址，这里以直接拨号上网的计算机为例介绍查看其IP地址的操作方法。

STEP01：输入“IP地址”关键字

启动IE浏览器，在地址栏中输入www.baidu.com后按【Enter】键，打开百度首页，1　输入“IP地址”，2　单击“百度一下”按钮。

STEP02：查看本机的IP地址

跳转至新的页面，此时可在最顶部看见本机的IP地址，该地址为本地计算机在Internet中的IP地址。

查询局域网中的计算机IP地址

当计算机是直接通过ADSL拨号接入Internet时，利用百度查询的IP地址是该计算机的外网IP地址；当计算机是通过连接路由器而接入Internet时，则利用百度查询的IP地址是所连接路由器的外网IP地址，当路由器成功拨号后，ISP会自动为路由器分配一个随机的外网IP地址，路由器再为接入局域网的计算机分配内网IP地址。若要查询局域网内目标计算机的IP地址，则可以利用ping命令实现，其详细操作可参照本书3.1节001Q的内容。

006Q　什么是端口？

A　端口是指计算机与外界通信交流的出口，按照端口号可分为公认端口、注册端口及动态和/或私有端口三种。

端口是英文port的意译，它是指计算机与外界通信交流的出口。如果把计算机比喻成房间，那么端口就是通向该房间的门。入侵者要占领房间，势必要先了解该房间是否有开着的门，开了什么样的门，黑客就类似于入侵者，要先了解目标计算机中打开着哪些端口，一旦掌握之后便可发动入侵攻击。

在计算机中，不同的端口有着不同的功能，例如80号端口用于浏览网页服务，2　1号端口用于FTP服务等。计算机中可开启的端口数值范围为1～65535。常用的端口有21号端口（FTP：文件传送协议）、23号端口（Telnet：远程登录协议）、53号端口（DNS：域名服务器）、79号端口（finger：查看机器的运行情况）、80号端口（http:超文本传送协议）、110号端口（POP3协议）、139号端口（NetBIOS服务）、3389号端口（远程登录服务）。

端口按照端口号的分布可分为公认端口、注册端口以及动态和/或私有端口三种。

公认端口

公认端口又称常用端口。这类端口包括0～1023号端口，它们紧密地绑定一些特定的服务。通常这些端口的通信明确地表明了某种服务的协议，不能重新定义这类端口的作用对象，例如21号端口分配给FTP服务，用户无法再次对21号端口进行自定义操作。

注册端口

注册端口包括1024～49151号端口，它们松散地绑定于一些服务。也就是说有许多服务绑定于这些端口，这些端口同样用于许多其他的目的。这些端口多数没有明确地定义服务对象，不同程序可以根据实际需要自己定义。这些端口会定义一些远程控制软件和木马程序，因此对这些端口的防护和查杀是非常有必要的。

动态和/或私有端口

动态和/或私有端口包括49152～65535号端口，从理论上讲不应该把常用服务分配在这些端口上。但实际上有些较为特殊的程序，特别是一些木马程序就非常喜欢使用这些端口，因为这些端口常常被忽视，容易隐藏。

按协议类型划分端口

除了按照端口号分布划分计算机端口外，还可以按照协议类型划分端口，即根据端口所提供的服务方式不同，可将端口划分为“TCP端口”和“UDP端口”两大类，使用TCP协议的常见端口有21、23、25（SMTP协议服务）、110号端口；而使用UDP协议的常见端口有80、53和161（SNMP协议服务）号端口。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

007Q　如何查看本地计算机中的开放端口？

A　利用netstat-a-n命令即可查看本地计算机中的所有开放端口。

查看目标主机的端口除了使用专业的端口扫描软件（例如SuperScan）之外，还可以在Windows 7系统中利用netstat命令实现，端口扫描软件不仅能够查看本地计算机的端口，还能查看网络中其他计算机的端口，而netstat命令只能查看本地计算机中已开放的端口，下面介绍利用netstat命令查看本地计算机中开放端口的操作方法。

STEP01：单击“所有程序”命令

1　单击桌面左下角的“开始”按钮，2　在弹出的“开始”菜单中单击“所有程序”命令。

STEP02：选择命令提示符

在左侧的列表中依次单击“附件＞命令提示符”命令。

STEP03：查看本地计算机的开放端口

打开“命令提示符”窗口，在光标闪烁的地方输入netstat-a-n命令，按【Enter】键后可在窗口中看见以数字或字母形式显示的基于TCP和UDP协议的端口号机器状态，例如基于TCP协议的5357号端口正在监听等待连接，说明该计算机的5357号端口已经被打开。

008Q　能否开启或关闭计算机中的端口？

A　能！只需启用或关闭端口对应的服务即可。

默认情况下，计算机中很多不安全或者无用的端口均处于打开状态，例如与远程登录协议服务有关的23号端口、与FTP协议服务有关的21号端口等，在保证系统安全性的前提下，需要将那些有潜在隐患的端口关闭。同时，要打开指定的端口来保证用户的某些操作能够顺利执行。

关闭端口

在Windows 7中，5357号端口对应着Function Discovery Resource Publication服务，它的含义是发布该计算机以及连接到该计算机的资源，以便能够在网络上发现这些资源。该服务可能会造成本地计算机资源的泄密，因此可以通过关闭Function Discovery Resource Publication服务来关闭5357号端口。

STEP01：单击“控制面板”命令

1　单击“开始”按钮，2　在弹出的“开始”菜单中单击“控制面板”命令。

STEP02：选择管理工具

打开“控制面板”窗口，在查看方式为“大图标”模式下单击“管理工具”选项。

STEP03：选择服务

打开“管理工具”窗口，Windows 7系统的服务均位于“服务”程序中，双击“服务”快捷图标。

STEP04：关闭指定的服务

打开“服务”窗口，右击右侧的Function Discovery Resource Publication选项，在弹出的快捷菜单中单击“停止”命令，关闭该项服务。

STEP05：正在停止服务

弹出“服务控制”对话框，此时Windows正在停止Function Discovery Resource Publication服务，请耐心等待。

STEP06：查看5357号端口是否关闭

按照007Q介绍的方法再次查看本地计算机中的开放端口，此时可看见并未显示5357号端口，即成功关闭该端口。

打开端口

由于常用端口对应着不同的服务，因此打开端口也就意味着打开该端口对应的服务，在Windows 7中，Telent服务对应着23号端口，若想要将该端口打开，可以在安装Telnet服务器和客户端后通过启用Telnet服务来打开23号端口。

STEP01：单击“程序和功能”选项

打开“控制面板”窗口，在查看方式为“大图标”模式下单击“程序和功能”选项。

STEP02：单击“打开或关闭Windows功能”链接

打开“程序和功能”窗口，在左侧单击“打开或关闭Windows功能”链接。

STEP03：安装Telnet客户端和服务器

打开“Windows功能”窗口，1　勾选“Telnet服务器”和“Telnet客户端”复选框，2　然后单击“确定”按钮。

STEP04：查看Telnet服务的属性

打开“服务”窗口，1　右击左侧的Telnet选项，2　在弹出的快捷菜单中单击“属性”命令。

STEP05：设置启动类型为手动

默认情况下，Telnet服务处于禁用状态，用户需要将其启动类型设置为手动后方可启动该服务。1　在弹出的对话框中设置启动类型为“手动”，2　然后单击“应用”按钮。

STEP06：启用Telnet服务

此时可看见Telnet服务状态中的“启动”按钮由灰色状态变成了可单击状态，单击该“启动”按钮，启用Telnet服务。

STEP07：查看启用服务对应的端口

打开“命令提示符”窗口，输入netstat-a-n命令后按【Enter】键，即可看见23号端口已经处于打开状态。

1.3　创建Windows 7测试环境

创建Windows 7测试环境是指在虚拟机中安装Windows 7系统，以便于用户掌握黑客工具的使用方法。网络中的很多黑客工具都捆绑了病毒和木马，一旦在物理计算机中运行它们就可能会造成系统崩溃，而在虚拟机中运行这些工具将不会造成物理计算机的系统崩溃，只需做好虚拟机中操作系统的备份工作即可。

009Q　什么是虚拟机？

A　虚拟机是利用软件模拟、具有完整硬件系统的计算机系统，它运行在完全隔离的环境中，目前主流的虚拟机为VMware。

虚拟机是通过软件模拟、具有完整硬件系统功能、运行在完全隔离环境中的完整计算机系统。通过虚拟机软件，用户可以在一台物理计算机上模拟出一台或多台虚拟的计算机，这些虚拟机完全像真正的计算机那样工作，用户可以在虚拟机中进行安装操作系统、应用程序和访问网络资源等操作。

对于用户而言，虚拟机只是运行在物理计算机上的一个应用程序，但是对于在虚拟机中运行的应用程序而言，它就像是在真正的计算机中进行工作。因此，当用户在虚拟机中进行软件评测时，可能会出现系统崩溃的现象，但幸运的是崩溃的只是虚拟机中的操作系统，而不是物理计算机中的操作系统。

目前主流的虚拟机软件为VMware，最新版本的VMware（Vmware 8.0）能够正常运行在Windows 7中，它能够虚拟出多个计算机，用于安装Linux、OS/2、FreeBSD等其他操作系统。

有些用户可能会认为虚拟机只是模拟计算机，最多只能完成和计算机一样的操作，而且虚拟机对计算机配置有一定的要求，普通的计算机上根本无法运行虚拟机，因此用户会认为虚拟机根本没太大的实际意义。其实不然，虚拟机最大的作用就是虚拟，即使虚拟机损坏了也不会对物理计算机上的数据造成影响，其作用可归纳为以下6点。

·用作演示环境，可以安装各种演示环境，便于做各种案例。

·保证主机的快速运行，在虚拟机上运行不必要的垃圾安装程序、偶尔使用的程序或者测试用的程序。

·避免每次都重新安装银行卡插件等常用工具，对于不经常使用而且要求保密性比较好的程序，可单独在一个环境下运行。

·体验不同类型的操作系统，如在虚拟机中安装Linux、Mac OS等操作系统。

·虚拟机之间完全隔离，如果其中一个虚拟机损坏，其他虚拟机将不会受到影响。

·虚拟机与主机之间不会自动互传数据，而且应用程序只能通过配置的网络连接进行通信，从而保证数据和资料的安全。

010Q　如何在VMware中创建虚拟机？

A　安装VMware后在其主界面中单击菜单栏中的"File＞New Virtual Machine"命令，然后按照向导操作即可。

VMware应用程序并非Windows 7自带，需要在网络中下载其安装程序，将其安装到本地计算机中，之后便可创建独立的虚拟机。

STEP01：运行VMware安装程序

利用百度搜索引擎将VMware安装程序下载到本地计算机中后打开放置该安装程序的窗口，双击VMware安装程序图标，运行VMware安装程序。

STEP02：单击Next按钮

弹出VMware Workstation Setup界面，直接单击Next按钮。

STEP03：选择安装方式

切换至选择安装方式界面，例如选择Custom，即自定义安装VMware。

STEP04：设置安装组件

切换至设置安装组件界面，保持默认的安装组件设置，单击Change按钮更换安装位置。

STEP05：重设安装位置

弹出“浏览文件夹”对话框，重设VMware的安装位置，单击“确定”按钮。

STEP06：确认设置的安装位置

返回VMware Workstation Features界面，确认设置的安装位置无误后单击Next按钮。

STEP07：取消软件升级

在软件升级界面中取消勾选"Check for product updates on startup"复选框，单击Next按钮。

STEP08：取消协助提升VMware

1　在升级产品界面中取消勾选"Help improve VMware Workstation"复选框，2　单击Next按钮。

STEP09：创建快捷图标

在快捷图标界面中保持默认设置，即在桌面和“开始”菜单建立快捷图标，然后单击Next按钮。

STEP10：准备安装

切换至准备安装界面，直接单击Continue按钮开始安装VMware程序。

STEP11：正在安装VMware

此时可在界面中看见安装的进度，请耐心等待。

STEP12：完成安装

安装完毕后切换至完成安装向导界面，单击Finish按钮完成安装。

STEP13：运行VMware应用程序

此时可在桌面上看见VMware快捷图标，双击该图标运行VMware应用程序。

STEP14：新建虚拟机

打开VMware主界面，在菜单栏中依次单击"File＞New Virtual Machine"命令。

STEP15：选择配置类型

弹出新建向导对话框，在对话框中选择配置类型，1　例如选择Typical（典型），2　然后单击Next按钮。

STEP16：选择安装操作系统的方式

切换至选择操作系统安装方式界面，1　单击选中"I will install the operating system later"单选按钮，2　然后单击Next按钮。

STEP17：选择操作系统类型

切换至选择操作系统类型界面，1　例如单击选中"Microsoft Windows"单选按钮，2　并在下方选择系统版本为Windows 7，3　然后单击Next按钮。

STEP18：重命名虚拟机名称

切换至重命名虚拟机名称界面，1　在virtual machine name下方的文本框中输入虚拟机名称，例如输入"Windows 7"，2　然后单击Browse按钮，更改虚拟机的安装位置。

STEP19：设置虚拟机的安装位置

弹出“浏览文件夹”对话框，1　在列表框中选择虚拟机的安装位置，2　然后单击“确定”按钮。

STEP20：确认设置的虚拟机安装位置

返回重命名虚拟机名称界面，确认上一步设置的虚拟机安装位置无误后单击Next按钮。

STEP21：设置虚拟机磁盘容量

切换至设置虚拟机硬盘容量界面，1　在Maximum disk size右侧的文本框中输入磁盘空间的大小，例如设置为20GB，2　然后单击Next按钮。

STEP22：完成虚拟机的创建

切换至完成虚拟机创建界面，此时可看见新建虚拟机的属性，确认无误后直接单击Finish按钮。

STEP23：查看新建的虚拟机

返回VMware主界面，此时可看见新建的虚拟机，同时可看见该虚拟机的名称为Windows 7，在左侧可看见该虚拟机的内存、处理器数量以及硬盘容量等信息。

011Q　如何在VMware中安装Windows 7系统？

A　将Windows 7镜像文件导入虚拟机光驱，然后在虚拟机BIOS中设置从光驱启动，最后按照向导一步步操作即可。

在VMware虚拟机中安装操作系统的方法与在物理计算机中安装操作系统的方法基本类似，只不过在VMware虚拟机中安装操作系统需要导入对应的操作系统镜像文件，这些镜像文件可以利用百度搜索引擎查找到，然后借助迅雷将其下载到本地计算机中即可开始安装，这里以Windows 7操作系统为例介绍在VMware中安装操作系统的方法。

STEP01：设置虚拟机光驱

打开VMware主界面，在左侧双击CD/DVD（IDE）选项。

STEP02：选择使用镜像文件

弹出虚拟机设置对话框，1　在Connection选项组中单击选中"Use ISO image file"单选按钮，2　然后单击Browse按钮。

STEP03：选择Windows 7镜像文件

1　在弹出的对话框中选择镜像文件保存路径，2　然后双击Windows 7镜像文件图标。

STEP04：运行虚拟机

返回虚拟机设置对话框后单击OK按钮，在VMware主界面中单击“启动”按钮。

STEP05：进入启动界面

进入虚拟机启动界面，此时需要进入BIOS设置从光驱启动，按【F2】键。

STEP06：切换至Boot选项卡

VMware的BIOS为PhoenixBIOS，利用方向键切换至Boot选项卡。

STEP07：设置从光驱启动

利用方向键选中CD-ROM Drive选项，然后利用小键盘中的【+】按钮将该选项置顶。

STEP08：保存设置

1　按【F10】键后弹出提示框，询问用户是否保存退出，2　选中Yes选项，按【Enter】键。

STEP09：开始安装Windows 7系统

虚拟机自动重启，重启后进入Windows 7安装向导界面，1　设置要安装的语言，2　单击“下一步”按钮，然后根据向导一步步操作即可。

STEP10：完成安装

安装Windows 7需要花费一定的时间，安装完成后便可看见该系统的桌面。

012Q　如何安装VMware Tools？

A　通常有两种方法：第一种是借助菜单栏中的Install VMware Tools命令，第二种是借助Windows镜像文件。

VMware Tools是VMware虚拟机中一款非常实用的工具，它实现了鼠标指针在虚拟机与物理计算机之间的自由切换（未安装VMware Tools时需要借助【Ctrl+Alt】组合键实现切换），并且还可以实现虚拟机与物理计算机之间的数据传递和共享。默认情况下VMware不会自动安装该工具，需要用户手动进行安装。

利用菜单栏安装VMware Tools

利用菜单栏安装VMware Tools是指利用菜单栏中的Install VMware Tools命令来安装该工具，该命令可以激活VMware Tools的安装程序，让用户按照向导进行安装。

STEP01：单击Install VMware Tools命令

打开VMware主界面，依次单击菜单栏中的"VM＞Install VMware Tools"命令。

STEP02：运行安装程序

系统弹出“自动播放”对话框，选择“运行Setup.exe”安装程序。

STEP03：开始安装VMware Tools

弹出“用户账户控制”对话框，直接单击“是”按钮，开始安装VMware Tools。

STEP04：读取安装程序

弹出“VMware产品安装”对话框，可看见系统读取安装程序的进度，请耐心等待。

STEP05：单击“下一步”按钮

弹出VMware Tools对话框，在欢迎界面中直接单击“下一步”按钮。

STEP06：选择安装类型

切换至安装类型界面，选择安装类型，1　例如选择“典型安装”，2　单击“下一步”按钮。

STEP07：准备安装

切换至“准备安装程序”界面，直接单击“安装”按钮开始安装。

STEP08：正在安装VMware Tools

切换至“安装VMware Tools”界面，此时可看见安装的进度，请耐心等待。

STEP09：完成安装

安装完成后切换至“安装向导已完成”界面，直接单击“完成”按钮完成安装。

STEP10：重启虚拟机

弹出提示框，提示用户重新启动方可正常使用，单击“是”按钮重新启动即可。

利用Windows文件安装VMware Tools

有时候利用菜单栏中的Install VMware Tools命令无法成功安装VMware Tools，虽然这种情况并不是经常发生，但是遇到该情况可以选择采用另外一种方法来安装VMware Tools，那就是利用VMware安装文件夹中的Windows镜像文件进行安装，该镜像文件中就包含VMware Tools的安装程序。

STEP01：单击Settings命令

打开VMware主界面，在菜单栏中依次单击"VM＞Settings"命令。

STEP02：使用镜像文件

弹出虚拟机设置对话框，在Connection选项组中单击Browse按钮。

STEP03：选择Windows镜像文件

弹出选择镜像文件对话框，1　选择VMware的安装路径，2　双击windows镜像文件。

STEP04：运行VMware Tools安装程序

打开“计算机”窗口，在“有可移动存储的设备”组中双击VMware Tools图标。

STEP05：开始安装VMware Tools

待到完成安装程序的读取之后，便会弹出VMware Tools的安装对话框，按照界面中的提示信息一步步安装即可，安装完成后同样需要重新启动计算机方可正常使用VMware Tools。

第2章　黑客必须掌握的基础知识

有的人会认为黑客掌握了很高深的计算机技术，其实不然，真正掌握了高深计算机技术的只有很少一部分，有的黑客只需掌握黑客的专业术语、网络应用技术以及常用的DOS命令，即可利用各种不同的黑客工具来入侵目标计算机。

本章知识点：

黑客必须知道的专业术语

黑客必需了解的网络应用技术

黑客必需掌握的DOS命令

2.1　黑客必须知道的专业术语

黑客与黑客打交道可能会使用“暗号”，例如肉鸡、后门等，对于不懂的人来说可能以为是很奥妙的东西，其实这些都是黑客们必须掌握的专业术语，掌握了这些专业术语，才会发现黑客其实跟我们一样平凡，只不过为了少说一些废话而用专业的术语代替。

001Q　什么是肉鸡？

A　肉鸡指的是被黑客已经攻破，并且种植了木马病毒的目标计算机。

这里所谓的“肉鸡”是指计算机肉鸡，它是一种很形象的比喻，比喻那些被黑客已攻破，并且种植了木马病毒的目标计算机。黑客可以随意操纵它并利用它做任何事情，这些计算机就像是傀儡一样任由别人摆布。肉鸡可以是各种系统，例如Windows、Linux、Unix等。

当计算机出现以下状况时，一定要进行系统漏洞修复、查杀病毒木马、关闭服务等方式来避免自己的计算机成为“肉鸡”。

·登录QQ、MSN时出现异常登录提醒，即提示用户当前计算机的IP与上一次登录IP不符。

·网络游戏登录时发现装备丢失或与上次下线时的位置不符，甚至用正确的密码无法登录。

·鼠标不听自己的使唤，即使自己不动鼠标，鼠标也会移动，并且还会单击有关按钮进行操作。

·在使用计算机的过程中突然感觉运行速度很慢，并且硬盘灯在闪烁，就像自己平时在复制文件一样。

·在上网的过程中计算机出现重新启动的现象。

·更新或卸载杀毒软件时，界面一闪而过，并且提示操作完成。

避免成为“肉鸡”的常见措施

用户在使用计算机的过程中一定要避免自己的计算机成为“肉鸡”，可以采取以下一些常见的措施。

·关闭Telnet、Remote Registry等一些危险性较高的服务端口。

·及时安装系统漏洞补丁，并定期升级杀毒软件。

·谨慎使用移动设备并养成安全上网的良好习惯（不随意浏览陌生的网站）。

002Q　什么是挂马？

A　挂马是指黑客在采取各种手段获取网页修改权限后，在网页代码中加入恶意代码或者种植木马病毒。

这里的挂马主要是指网页挂马，它指的是黑客利用各种手段（SQL注入、网站敏感文件扫描、服务器漏洞等）获得网站管理员账号，然后登录网站后台，通过备份/恢复数据库或者上传漏洞获得一个webshell（黑客通过网站端口对网站服务器的某种程度上操作的权限），然后利用获得的webshell修改网页内容，既可以向页面中加入恶意转向代码。也可以直接通过弱口令获得服务器或者网站FTP，然后直接对网站页面进行修改。当用户访问的页面被黑客加入恶意代码时，页面就会自动访问恶意代码中指定的网页或者下载木马病毒。

目前Internet中有很多被挂马的游戏网站，其目的就是盗取浏览该网站玩家的游戏账号。如果不小心进入了已被挂马的网站，计算机就会感染木马病毒，以致丢失大量的宝贵文件资料和账号密码，其危害极大。

003Q　什么是后门？

A　黑客在成功控制了目标计算机后，向其植入特定的程序，该程序就称为后门程序，它能帮助黑客达到随时监控的目的。

与“肉鸡”一样，“后门”也是一种形象的比喻。黑客在利用某些方法成功控制了目标计算机后，可以在目标计算机的系统中植入特定的程序，或者是修改某些设置，从而达到随意监控目标计算机的目的。这些改动表面上是很难被察觉的，但是入侵者却可以使用相应的程序或者方法来轻易地与这台电脑建立连接，重新控制这台电脑，就好像是入侵者偷偷地配了一把主人房间的钥匙，可以随时进出而不被主人发现一样。通常大多数的木马程序都可以被黑客用于制作后门程序。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

2.2　黑客必须了解的网络应用技术

掌握了网络应用技术，黑客就能对网络发起攻击。所谓网络协议，就是指为计算机网络中进行数据交换而建立的规则、标准或约定的集合。常见的网络协议有TCP/IP协议族、ARP协议、ICMP协议和SMTP协议，除此之外，还有UDP协议、IPX/SPX协议等。

004Q　什么是TCP/IP协议？

A　TCP/IP协议又称网络通信协议，它定义了计算机接入Internet的方式以及数据传输的标准。

TCP/IP协议，全称是Transmission Control Protocol/Internet Protocol，中文译为传输控制协议/Internet互联协议，又叫网络通信协议。众所周知，如今计算机接入Internet后都要设置TCP/IP，因此TCP/IP协议是Internet最基本的协议，也是国际Internet的基础。TCP/IP定义了计算机如何连入Internet，以及数据如何在它们之间传输的标准。

TCP/IP包含两层协议，TCP协议和IP协议。其中高层的TCP协议负责收集信息或者把文件拆分成更小的数据包。发送端将这些数据包通过网络传送到接收端的TCP层，接收端的TCP层把数据包还原为原始文件；而低层的IP协议则处理每个数据包的地址部分，使得网络上的网关计算机能够识别数据包的地址并进行路由选择，让这些数据包能够正确地到达目的地。

005Q　什么是ARP协议？

A　ARP协议又称地址解析协议，它能够将已知的IP地址解析成与之对应的物理MAC地址。

在TCP/IP网络环境下，每个主机都分配了一个32bit（比特）的IP地址（如220.248.138.166），它是在网络中标识主机的一种逻辑地址，如果想要成功地将报文（网络中主机之间交换与传输的数据单元）传送给目的主机，则必须知道目的主机的物理地址，此时就可以使用ARP协议将目的主机的IP地址转换为物理地址。简单地说，ARP协议就是主机在发送报文之前将目标主机的IP地址转换成与之对应的MAC地址的过程。

SMTP协议

SMTP，即简单邮件传输协议，它是一组用于由源地址到目的地址传送邮件的规则，由它来控制信件的中转方式。SMTP协议属于TCP/IP协议族，它帮助每台计算机在发送或中转信件时找到下一个目的地，通过SMTP协议所指定的服务器就可以把电子邮件寄到收信人的服务器上了，整个过程只需要几分钟。

006Q　什么是ICMP协议？

A　ICMP协议又称控制报文协议，它用于在IP主机、路由器之间传递控制消息，并能将出错报文返回发送数据的主机。

ICMP，即控制报文协议，它是TCP/IP协议族中的一个子协议，用于在IP主机、路由器之间传递控制消息。控制消息包括网络通不通、主机是否存在、路由是否可用等网络本身的消息，这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着非常重要的作用。

ICMP在网络中提供了一致易懂的出错报告信息，将发送的出错报文返回到发送数据的主机。ICMP唯一的功能是报告问题而不是解决问题，解决问题的任务由发送方完成。

正是由于这一特点使得它非常容易被用于攻击网络上的路由器和主机。例如"Ping Of Death"攻击，在还没有发布限制发送ICMP数据包大小的补丁之前，操作系统规定了ICMP数据包的最大尺寸不超过64KB，因此"Ping Of Death"根据这一规定向主机发起攻击。其工作原理是：如果ICMP数据包的尺寸超过64KB上限时，主机出现内存分配错误，导致TCP/IP堆栈崩溃，致使主机死机。

洪水攻击

洪水攻击是现在黑客比较常用的一种攻击技术，特点是实施简单，威力巨大，大多是无视防御的，常见的洪水攻击包含MAC泛洪，网络泛洪和应用程序泛洪。

MAC泛洪是指攻击者进入局域网内，将假冒的源MAC地址和目的MAC地址数据帧发送到以太网上，使得假冒的源MAC地址和目标MAC地址塞满交换机的MAC地址表，导致交换机无法正确地传送数据。

网络泛洪包括Smurf和DDos，其中Smurf是指攻击者假冒ICMP广播ping，如果路由器没有关闭定向广播，那攻击者就可以在某个网络内对其他网络发送定向广播ping，网络中的主机越多，造成的结果就越严重，因为每个主机默认都会响应这个ping，导致链路流量过大而拒绝服务。而DDos是指攻击者将DDos控制软件安装在连接到Internet的系统中并使其感染其他系统，然后攻击者将攻击指令发送给DDos控制软件，让受DDos控制的系统向某个IP发送大量假冒的网络流量，然后受攻击者的网络将被这些假的流量所占据，从而无法为他们的正常用户提供服务。

应用程序泛洪的目的就是消耗应用程序或者系统资源，常见的就是垃圾邮件。

2.3　黑客必须掌握的DOS命令

DOS命令是黑客必须掌握的基础知识之一，所谓DOS命令，就是DOS操作系统的命令，它是一种面向磁盘的操作命令。它主要包括目录操作类命令、磁盘操作类命令、文件操作类命令和其他命令。黑客在入侵目标主机的过程中经常会使用这些命令进行探测并获取目标主机信息，例如ping、netstat和net等命令。

007Q　如何使用ping命令测试网络连接？

A　利用Ping+空格+IP地址可以测试是否接入局域网，利用Ping+空格+网址可以测试是否接入Internet。

Ping命令是Windows系统自带的一个用于检查网络是否能够连通的命令。该命令可以很好地帮助用户分析判定网络故障。安装了TCP/IP协议的计算机均可使用该命令。Ping命令的主要作用是通过发送数据包并接收应答信息来检测两台计算机之间的网络是否连通。当网络出现故障时，可以用这个命令预测故障和确定故障地点。Ping命令成功只是说明当前主机与目的主机之间存在一条连通的路径。如果不成功，则考虑网线是否连通、网卡设置是否正确、IP地址是否可用等。需要注意的是：成功地与另一台主机进行一次或两次数据报交换并不表示TCP/IP配置就是正确的，本地主机与远程主机必须执行大量的数据报交换，才能确信TCP/IP的正确性。

STEP01：单击“运行”命令

1　单击桌面左下角的“开始”按钮，2　在弹出的“开始”菜单中单击“运行”命令。

STEP02：输入cmd命令

弹出“运行”对话框，1　在“打开”右侧的文本框中输入cmd命令，2　然后单击“确定”按钮或按【Enter】键。

STEP03：查看是否安装TCP/IP协议

打开“命令提示符”窗口，1　输入"cd\"命令后按【Enter】键进入C盘根目录下，2　然后输入"ping 127.0.0.1"后按【Enter】键，如果能ping通则说明本地计算机已经成功安装TCP/IP协议。

Ping命令的含义

用户在执行了Ping命令之后会有一个返回的命令，如果显示“来自……”，则说明Ping通了；如果显示的是“请求超时”，则说明未能Ping通，存在故障，除此之外，还可以根据命令提示符窗口中显示的提示信息查看网络的故障。

STEP04：查看是否接入局域网

若要测试本地计算机是否接入局域网，可在“命令提示符”窗口中输入“ping+空格+IP地址”进行测验，该IP地址必须为所在局域网中其他任意一台计算机的IP地址，如输入"ping 192.168.1.100"，若Ping通则说明已接入局域网，若未Ping通则说明未接入局域网。

STEP05：查看是否接入Internet

若要测试本地计算机是否接入Internet，可在“命令提示符”窗口中输入“ping+空格+网址”进行测验，如输入"ping www.baidu.com"，若能Ping通则说明已接入Internet，若没有Ping通则说明未接入Internet。

Ping命令参数解析

Ping命令常用的参数有-a、-n count、-t，它们的含义分别如下所示：

-a：将输入IP地址解析为计算机NetBIOS名。

-n count：发送count指定的ECHO（应答协议）数据包数。通过这个命令可以自己定义发送的个数，-count对衡量网络速度很有帮助。如果未设定count值，则默认值为4。

-t：一直Ping指定的远程计算机，直到从键盘按下Ctrl+C中断。

008Q　如何使用nbtstat命令获取主机的NetBIOS信息？

A　利用nbtstat-a+IP可查看指定目标计算机NetBIOS名称，利用nbtstat-n可查看本地计算机的NetBIOS名称。

nbtstat命令用于查看基于TCP/IP的NetBIOS协议统计资料、本地计算机和远程计算机的NetBIOS名称表和NetBIOS名称缓存，该命令可以刷新NetBIOS名称缓存和使用Windows Internet Naming Server（WINS）注册的名称。

STEP01：查看目标计算机的NetBIOS名称

打开“命令提示符”窗口，1　输入"cd\"命令后按【Enter】键进入C盘根目录下，2　然后输入"nbtstat-a 192.168.1.105"后按【Enter】键，用于查看IP地址为192.168.1.105的计算机NetBIOS名称表。

STEP02：查看本地计算机的NetBIOS名称

如果在C盘根目录下输入"nbtstat-n"后按【Enter】键，则用于显示本地计算机的NetBIOS名称表。

nbtstat命令参数解析

nbtstat命令的格式为nbtstat[-a RemoteName][-a IPAddress][-c][-n][-r][-R][-RR][-s][-S][interval]，该命令所包含的参数含义如下：

-a RemoteName：显示远程计算机的NetBIOS名称表，其中，RemoteName是远程计算机的NetBIOS计算机名称。NetBIOS名称表是与运行在该计算机上的应用程序相对应的NetBIOS名称列表。

-a IPAddress：显示远程计算机的NetBIOS名称表，其名称由远程计算机的IP地址指定（以小数点分隔）。

-c：显示NetBIOS名称缓存内容、NetBIOS名称表及其解析的各个地址。

-n：显示本地计算机的NetBIOS名称表。Registered的状态表明该名称是通过广播还是WINS服务器注册的。

-r：显示NetBIOS名称解析统计资料。在配置为使用WINS且运行Windows 7或Windows Server 2008操作系统的计算机上，该参数将返回已通过广播和WINS解析和注册的名称号码。

-R：清除NetBIOS名称缓存的内容并从Lmhosts文件中重新加载带有#PRE标记的项目。

-RR：释放并刷新通过WINS服务器注册的本地计算机的NetBIOS名称。

-s：显示NetBIOS客户端和服务器会话，并试图将目标IP地址转化为名称。

-S：显示NetBIOS客户端和服务器会话，只通过IP地址列出远程计算机。

interval：重新显示选择的统计资料，可以在每个显示内容之间中断interval中指定的秒数。按【Ctrl+C】停止重新显示统计信息。如果省略该参数，nbtstat将只显示一次当前的配置信息。

009Q　如何使用netstat命令查看网络状态？

A　利用netstat-a命令可以查看本地计算机的连接和监听端口，利用netstat-e可查看关于以太网的统计数据。

netstat命令显示网络连接、路由表和网络接口信息，可以让用户得知目前都有哪些网络连接正在运行。

STEP01：查看本地计算机的连接和监听端口

打开“命令提示符”窗口，在C盘根目录下后输入"netstat-a"后按【Enter】键，用于查看本地计算机的所有连接和监听端口。

STEP02：查看关于以太网的统计数据

如果要查看关于以太网的统计数据，可以在C盘根目录下输入"nbtstat-n"后按【Enter】键。

netstat命令参数解析

netstat命令的格式为netstat[-a][-b][-e][-n][-o][-p proto][-r][-s][-v][interval]，该命令所包含的参数含义如下：

-a：显示本地计算机所有的连接和端口。

-b：显示包含创建每个连接或监听端口的可执行组件。

-e：显示以太网统计的数据，该参数可以与-s结合使用。

-n：以网络IP代替名称，显示出网络连接情形。

-o：显示与每个连接相关的所属进程ID。

-p proto：显示pro指定的协议的连接，proto可以是TCP或UDP。

-r：显示路由选择表。

-s：在机器的默认情况下显示每个协议的配置统计，包括TCP、UDP、IP、ICMP等。

-v：与-b一起使用时将显示包含为所有可执行组件创建连接或监听端口的组件。

interval：每隔interval秒重复显示所选协议的配置情况，直至按【Ctrl+C】组合键中断为止。

010Q　如何使用net命令管理网络资源、用户信息？

A　利用net view命令查看共享资源列表，利用netstat use查看本地计算机的网络连接，利用netstat user查看本地计算机上的用户账户信息。

net命令包含了管理网络环境、服务、用户、登录等Windows操作系统中大部分重要的管理功能。使用该命令可以轻松地管理本地或者远程计算机的网络环境，以及各种服务程序的运行和配置，或者进行用户管理和登录管理等。

STEP01：查看共享资源列表

打开“命令提示符”窗口，在C盘根目录下后输入"net view"后按【Enter】键，查看计算机列表或制定计算机的共享资源列表。

STEP02：查看本地计算机的网络连接

如果要查看本地计算机的网络连接，可以在C盘根目录下输入"net use"后按【Enter】键。

STEP03：查看本地计算机上的用户账户信息

如果想查看本地计算机上的用户账户信息，可以在C盘根目录下输入"net user"后按【Enter】键。

tracert命令

tracert是路由跟踪实用程序，用于确定IP数据报访问目标所采取的路径。tracert命令用IP生存时间字段和ICMP错误消息来确定从一个主机到网络上其他主机的路由，其格式为：tracert[-d][-h maximum_hops][-j host-list][-w timeout]target_names。

011Q　如何使用ftp命令进入ftp子环境下载文件？

A　利用ftp命令即可进入ftp子环境，若要下载服务器中的文件，则需要输入对应的用户名及口令。

ftp命令是网络用户使用最频繁的命令之一，使用ftp命令可以将文件传送到正在运行ftp服务的远程计算机，或从正在运行ftp服务的远程计算机上传送文件，它们可交互使用。

如果想进入ftp子环境界面进行操作，则可以在C盘根目录下输入ftp命令后按【Enter】键即可。

ftp命令参数解析

ftp的命令格式为：ftp[-v][-d][-I][-n][-g][主机名]，各参数的含义如下。

-v：显示远程服务器的所有响应信息。

-d：使用调试方式，显示在客户端和服务器之间传递的所有ftp命令。

-I：传送多个文件时关闭交换提示。

-n：限制ftp的自动登录，即不使用。

-g：取消全局文件名。

012Q　如何使用ipconfig命令查看当前计算机的TCP/IP设置？

A　利用ipconfig命令可查看当前计算机的IP地址和子网掩码等信息，若要查看完整信息，则可利用ipconfig/all命令。

ipconfig命令用于显示当前计算机的TCP/IP配置的设置值。这些信息一般用来检验人工配置的TCP/IP设置是否正确。

STEP01：输入ipconfig命令

打开“命令提示符”窗口，在C盘根目录下后输入ipconfig后按【Enter】键，用于查看当前计算机的IP地址、子网掩码和每个网卡的默认网关值。

STEP02：输入ipconfig/all命令

若要查看本地计算机的完整TCP/IP设置（IP地址、子网掩码和每个网卡的默认网关值及MAC地址等）时，在C盘根目录下输入"ipconfig/all"后按【Enter】键。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

013Q　常见的黑客入侵方式有哪些？

A　常见的黑客入侵方式有数据驱动攻击、伪造信息攻击、针对信息弱点攻击以及远端操纵等方式。

一旦将计算机接入Internet中，就必须对黑客的入侵方式、攻击原理和攻击过程有深入且详细的了解，以防范黑客入侵自己的计算机。常见的黑客入侵方式有数据驱动攻击、非法利用系统文件、伪造信息攻击等，下面进行详细的介绍。

数据驱动攻击

数据驱动攻击是攻击者通过向某个程序发送数据，以产生非预期结果的攻击，通常为攻击者给出访问目标系统的权限，数据驱动攻击分为缓冲区溢出攻击、格式化字符串攻击、输入验证攻击、同步漏洞攻击、信任漏洞攻击等。

伪造信息攻击

攻击者通过发送伪造的路由信息构造系统源主机和目标主机的虚假路径，从而使流向目标主机的数据包均经过攻击者的系统主机，这样就能给攻击者提供敏感信息和有用的密码。

针对信息弱点攻击

IP地址的源路径选项允许IP数据包自己选择一条通往系统目的主机的路径。设想攻击者试图与防火墙后面的一个不可到达的主机A连接，他只需在送出的请求报文中设置IP源路径选项，使报文有一个目的地址指向防火墙，而最终地址是主机A。当报文到达防火墙时被允许通过，因为它指向防火墙而不是主机A。防火墙的IP层处理该报文的源路径被改变并发送到内部网上，报文就这样到达了不可到达的主机A。

远端操纵

默认的登录界面、配置和客户文件是另一个问题区域，它们提供了一个简单的方法来配置一个程序的执行环境。这有时会引起远程操作攻击：在被攻击主机上启动一个可执行程序，该程序显示一个伪造的登录界面。当用户在这个伪装的界面上输入登录信息后，该程序将用户输入的信息传送到攻击者主机，然后关闭界面给出“系统故障”的提示信息，要求用户重新登录，此后才会出现真正的登录界面。

对ICMP报文攻击

网络安全的重要因素之一就是人。无数的历史事实表明：堡垒最容易从内部攻破，因人为的失误，如WWW服务器系统的配置差错，普通用户使用权限扩大，这样就给黑客造成了可乘之机。黑客常利用系统管理员的失误收集攻击信息，例如使用finger、netstat、arp、mail、grtp等命令和一些黑客工具软件。

针对源路径选项的弱点攻击

对ICMP报文的攻击尽管比较困难，但黑客们有时也使用ICMP报文进行攻击。重定向消息可以改变路由列表，路由器可以根据这些消息建议主机走另一条更好的路径。攻击可以有效地利用重定向消息把连接转向一个不可靠的主机或路径，或者使所有的报文通过一个不可靠主机来转发。对付这种威胁的方法是对所有的ICMP重定向报文进行过滤，有的路由软件可对此进行配置。单纯地抛弃所有的重定向报文是不可取的，因为主机和路由器常常会用到它们，如一个路由器发生故障时。

以太网广播攻击

现在许多Internet上的站点都使用UNIX操作系统，攻击者会设法先登录到一台UNIX主机上，通过操作系统的漏洞来取得系统特权，然后再以此为据点访问其余的主机，这种做法称为跳跃。黑客们在达到目的主机之前往往会这样跳几次。这样攻击的网络即使发现了黑客是从何处向自己发起了攻击，管理人员也很难顺藤摸瓜找回去，更何况黑客在取得某台主机的系统特权后，可以在退出时删除系统日志把“藤”割断。只要能够登录到UNIX系统上，就能相对容易地成为超级用户，这使得它同时成为黑客和安全专家们的关注点。

第二篇　攻防实战篇

第3章　扫描与嗅探攻防

黑客通过对目标计算机的端口扫描，可以知道目标计算机存在的漏洞和开放端口，从而为入侵系统做好准备。而通过嗅探工具则可以探听到网络中的所有数据包，从而轻松盗取网络中计算机用户的隐私信息。

本章知识点：

搜集目标主机的重要信息

扫描目标主机的端口

嗅探网络中流经的数据包

防范端口扫描和嗅探

3.1　搜集目标主机的重要信息

信息的搜集与分析过程在黑客进行攻击的整个过程中往往是耗时最长的，这包括搜集大量的目标信息，例如获取目标主机的IP地址以及物理地址。并且经过详细分析找出漏洞以及确定入侵方案等，而真正入侵可能只需要很短的时间。那么黑客是怎么获取目标主机的IP地址以及物理地址的呢？本节将进行详细的介绍。

001Q　如何获取目标主机的IP地址？

A　利用Ping命令与目标主机交换数据包，在交换的过程中会自动显示目标主机的IP地址。

获取目标主机的IP地址需要建立在一定的条件基础之上，那就是需要知道目标主机的主机名称，如果目标主机是网站服务器，则需要知道网站的网址，如果目标主机是个人计算机，则需要知道该计算机的名称。

获取网站的IP地址

获取网站的IP地址首先需要确保计算机已经接入Internet，然后再利用Ping命令直接连接指定网站的网址，则会在返回的数据包中看见该网站在Internet中的IP地址。

STEP01：执行“运行”命令

1　单击“开始”按钮，2　在弹出的“开始”菜单中单击“运行”命令。

STEP02：输入cmd命令

弹出“运行”对话框，1　输入cmd命令，2　然后单击“确定”按钮。

“开始”菜单中没有“运行”命令，应怎么办？

当“开始”菜单中没有“运行”命令时，则需要用户对“开始”菜单的显示项进行设置，右击任务栏任意空白处，在弹出的快捷菜单中单击“属性”命令，切换至“开始”选项卡下，单击“自定义”按钮，弹出“自定义‘开始’菜单”对话框，切换至“高级”选项卡下，在“‘开始’菜单项目”列表框中勾选“运行”复选框后保存退出即可，若仍然没有“运行”命令，则可按【WIN+R】组合键直接打开“运行”对话框。

STEP03：查看网站的IP地址

打开“命令提示符”窗口，在光标闪烁的位置输入Ping+空格+网站网址，例如输入"ping www.baidu.com"，然后按【Enter】键，即可在下方看见与该网站交换的数据包，同时可看见该网站对应的IP地址为61.135.169.125。

获取个人计算机的IP地址

获取个人计算机的IP地址也可以利用Ping命令来实现，只不过前提是需要知道目标计算机的名称。

STEP01：输入cmd命令

按【Win+R】组合键打开“运行”对话框，1　输入cmd命令，2　然后单击“确定”按钮。

STEP02：查看目标计算机的IP地址

打开“命令提示符”窗口，在光标闪烁的位置输入Ping+空格+目标计算机名称，然后按【Enter】键，即可在下方看见与该网站交换的数据包，同时可看见局域网中命名为YX的计算机所对应的IP地址为192.168.1.117。

002Q　能否根据IP地址查看其地理位置？

A　能！只需登录收藏了IP地址数据库对应的网页，然后输入IP地址即可查看对应的地址位置。

由于IP地址的分配是全球统一管理的，因此黑客可以通过查询网络中某些服务器的IP地址数据库来得到该IP地址对应的地址位置。网络中有不少的网页后台服务器收集了IP地址数据库，用户可利用这些网页来查询指定IP地址对应的地址位置。

STEP01：在ip138中输入IP地址

1　启动IE浏览器，在地址栏中输入http://www.ip138.com/后按【Enter】键，2　打开IP地址查询页面，输入要查询的IP地址，例如输入“112.193.113.80”，3　输入后单击“查询”按钮。

STEP02：查看IP地址对应的物理地址

打开新的页面，此时在页面中显示了该IP地址对应的物理地址。

查看利用路由器实现上网的计算机地理位置

当用户在IP地址查询页面中输入局域网中的IP地址（如192.168.1.117）时，会发现显示的地址为“本地局域网”，这表示该计算机是利用路由器实现上网的，若要查看该计算机的地址位置，则需要查看路由器IP地址对应的地址位置，查看路由器IP地址的方法为：在IE浏览器中输入路由器页面地址（192.168.1.1），即可在首页的“WAN口状态”选项组中看见该路由器所分配的IP地址。而诸如192.168.1.117之类的地址则是路由器为局域网中计算机随意分配的内网IP地址。

3.2　扫描目标主机的端口

从端口的定义可以知道，计算机中的端口就是潜在的通信通道，对于黑客而言就是一个入侵通道。他们通过对目标计算机进行端口扫描，能得到许多有用的信息，包括开放的端口以及系统漏洞等。

003Q　端口扫描的原理是什么？

A　端口扫描的原理是利用数据包来分析目标计算机的响应，以得到目标计算机的端口开放信息以及系统内在的弱点信息。

端口扫描通常是指向目标计算机的所有所需扫描的端口发送同一信息，然后根据返回的端口状态来分析目标计算机的端口是否打开，是否可用。

目前进行端口扫描的工具主要是采用端口扫描软件，又叫做“端口扫描器”。端口扫描器向目标计算机的TCP/IP服务端口发送探测数据包，同时记下目标计算机的响应情况，可以收集到很多关于目标计算机的各种有用信息（比如是否有端口在侦听，是否允许匿名登录，是否有可写的FTP目录，是否能用Telnet等）。

端口扫描虽然可以识别目标计算机的开放端口、操作系统类型以及系统存在的漏洞。但是它并不是一个直接攻击网络漏洞的程序，它仅仅能帮助用户发现目标计算机的内在弱点。不会提供进入目标计算机系统的详细步骤。

004Q　如何使用SuperScan扫描计算机端口？

A　通过输入IP地址范围来扫描该范围内计算机的端口；通过输入特定IP地址来扫描与该地址匹配的目标计算机端口。

SuperScan是由Foundstone开发的一款功能十分强大的免费端口扫描工具，与许多同类工具比较，它既是一款黑客工具，又是一款网络安全工具。使用SuperScan可以随意地选择端口，而且端口后面都带有简单的说明，该工具既可以扫描指定IP地址范围内计算机的所有端口信息，也可以扫描目标计算机的特定端口。

扫描指定IP地址范围内计算机的所有端口

如果扫描端口不带有特定的目的，只是为了了解目标计算机的一些情况，则可以选择扫描指定IP地址范围内计算机的所有端口，该类端口扫描方式会对目标计算机的正常运行造成一定影响，从而引起对方的警觉。

STEP01：启动SuperScan应用程序

SuperScan是一款绿色应用程序，下载后无须安装便可直接使用，双击对应的快捷图标，启动该程序。

STEP02：设置IP地址范围

打开SuperScan主界面，在Scan选项卡下的IPs选项组中设置IP地址范围，1　设置Start IP（起始IP地址）和End IP（结束IP地址），2　单击“转到”按钮，添加该IP地址范围。

STEP03：开始扫描

添加成功后在主界面底部单击“开始”按钮，开始扫描指定IP地址范围内所有计算机的端口信息。

STEP04：选择在网页中查看扫描结果

扫描完毕后该结果信息保存在自动生成的网页中，单击View HTML Results按钮，在自动生成的网页中查看扫描结果。

STEP05：查看各计算机的端口信息

此时可在打开的网页中看见指定IP地址范围内的所有计算机的端口开放信息，例如IP地址为192.168.1.100的目标主机只有137号端口处于打开状态。

扫描目标计算机的特定端口

相信从上面介绍的方法，用户已经能够从一群主机中执行简单的扫描，然而，很多时候用户却需要扫描目标计算机的特定端口信息，SuperScan同样可以做到，与前面操作不同的是，用户需要调整主机和服务器扫描设置，然后添加目标计算机的IP地址。

STEP01：调整主机和服务器扫描设置

1　切换至Host and Service Discovery选项卡下，2　勾选Address Mask Request复选框，即添加“地址屏蔽请求”。

STEP02：输入目标计算机的IP地址

1　切换至Scan选项卡下，2　在Hostname/IP文本框中输入目标计算机的IP地址，3　单击“转到”按钮添加该IP地址。

主机和服务器扫描设置

主机和服务器扫描设置包括三部分，即HOST Discovery（发现主机）、UDP port scan（UDP端口扫描）和TCP port scan（TCP端口扫描），其中HOST Discovery列举了发现主机的方式，包括echo requests（重复请求）、timestamp（时间戳请求），address mask requests（地址屏蔽请求）和information requests（消息请求）。请注意：选择的选项越多，则扫描所花费用的时间就越长。

UDP port scan和TCP port scan则提供了额外添加TCP端口或UDP端口的功能，这是因为计算机拥有超过65000个的TCP和UDP端口。若对每个可能开放端口的IP地址进行超过130000次的端口扫描，将会浪费大量的时间，因此提供了UDP port scan和TCP port scan功能，让用户自己添加要扫描的端口并扫描一些常用的端口。

STEP03：在网页中查看扫描结果

1　单击“开始”按钮开始扫描目标计算机的端口信息，2　扫描完毕后单击View HTML Results按钮，在生成的网页中查看扫描结果。

STEP04：查看扫描结果

此时可在打开的网页中看见扫描的结果，包括目标计算机的NetBIOS名称（CHENXI）以及开放的端口（123、137）。

认识NetBIOS

NetBIOS协议是由IBM公司开发的，主要用于数十台计算机的小型局域网。它能够为局域网提供网络以及其他特殊功能，系统可以利用WIN服务、广播以及Lmhost文件等多种模式将NetBIOS名解析为相应IP地址，实现信息通信，所以有了NetBIOS，局域网内各电脑间便可方便地实现消息通信及资源共享。因为它占用系统资源少、传输效率高，因此几乎所有的局域网都是在NetBIOS协议的基础上工作的。

005Q　如何使用X-Scan扫描计算机端口？

A　首先设置扫描参数，包括指定IP地址范围、扫描时需加载的插件等，扫描后将自动生成含有扫描结果的HTML文件。

X-Scan是国内著名的综合扫描器之一，它完全免费、无须注册，同时也不需要其他驱动程序的支持。X-Scan能够检测指定IP地址范围内的所有活动计算机以及它们的开放端口、漏洞等信息，并且可将检测结果以HTML的形式显示出来。

STEP01：运行X-Scan应用程序

X-Scan为绿色软件，用户从网络中下载该程序的压缩包后将其解压到本地计算机中，然后在解压后的文件夹中双击xscan-gui快捷图标即可运行X-Scan应用程序。

STEP02：准备设置扫描参数

打开X-Scan主界面，单击菜单栏中的“设置”按钮，在弹出的菜单中单击“扫描参数”命令。

STEP03：查看IP地址范围的示例

弹出“扫描参数”对话框，可在“指定IP范围”下方的文本框中输入要扫描的IP地址范围，在输入之前需要单击“示例”按钮，查看有效的格式。

STEP04：掌握IP地址范围的有效格式

弹出“示例”对话框，在界面中显示了X-Scan能够识别的IP地址范围示例和不能识别的IP地址范围，记住后单击“确定”按钮。

STEP05：输入要扫描的IP地址范围

返回“扫描参数”对话框，在“指定IP范围”下方的列表框中输入要扫描的IP地址范围，例如输入“192.168.1.100-192.168.1.200”，也可以输入“192.168.1.100/200”，即扫描IP地址为192.168.1.100至192.168.1.200范围内的所有计算机。

STEP06：设置扫描模块

1　在左侧依次展开“全局设置＞扫描模块”选项。可以勾选本次扫描需要加载的插件，2　如果要全部勾选则单击“全选”按钮。

STEP07：设置并发扫描的主机和线程数量

单击“并发扫描”选项，设置并发扫描的主机和并发线程数量，也可单独为每台主机的各插件设置最大线程数，例如保持默认的并发扫描设置。

STEP08：设置扫描后生成的报告文件

1　单击“扫描报告”选项，在右侧设置扫描完成后生成的报告文件名称和文件类型，扫描报告目前支持HTML、TXT、XML三种格式，例如保持默认的报告文件名称，2　设置报告文件类型为HTML格式。

STEP09：全局的其他设置

1　单击“其他设置”选项，2　在右侧单击选中“跳过没有响应的主机”单选按钮，即目标主机若不响应ICMP ECHO和TCP SYN报文，X-Scan将跳过对该主机的检测。

STEP10：设置待检测端口和检测方式

1　在左侧依次展开“插件设置＞端口相关设置”选项，在右侧设置待扫描的目标计算机端口及对应的扫描方式，用户可以在“待检测端口”下方的文本框中通过增删操作来设置要检测的端口，2　接着在“检测方式”下拉列表中选择端口的检测方式，由于TCP检测方式扫描出的信息详细且全面，因此这里选择TCP。

STEP11：开始扫描

单击“确定”按钮返回X-Scan主界面，在菜单栏中依次单击“文件＞开始扫描”命令，即开始扫描指定IP地址范围内的计算机。

STEP12：加载漏洞检测脚本

弹出一个扫描提示窗口，提示用户X-Scan正在加载漏洞检测脚本，请耐心等待其加载完成。

STEP13：正在扫描

此时可在顶部的窗格中看见当前的扫描情况，包括主机、累计时间、插件时间、活动线程以及当前进度等，同时可在下方看见扫描记录信息，包括漏洞信息及错误信息等。

STEP14：单击“检测报告”命令

扫描完毕后便可查看检测报告，在菜单栏中依次单击“查看＞检测报告”命令。

STEP15：选择扫描报告

弹出“扫描报告”对话框，1　选择要查看的扫描报告，2　单击“确定”按钮。

STEP16：查看检测的扫描结果

在打开的网页中可以看见所有被检测的主机的详细漏洞信息。

3.3　嗅探网络中流经的数据包

A　嗅探是指探听网络中流经的数据包，需要专门的嗅探器方可实现，用户不仅要掌握嗅探的原理，而且还要认识黑客常用的嗅探工具，这样才算得上对网络嗅探有一个详细的了解。

006Q　 Sniffer的原理是什么？

Sniffer的原理是使得安装了Sniffer的计算机能够接收局域网中的所有计算机发出的数据包，并对这些数据包进行分析。

在共享式的局域网中，Sniffer工具其实就是一个抓包工具，并且还可以对抓到的数据包进行分析。由于在局域网中，数据包会广播到网络中所有主机的网络接口，在没有使用Sniffer工具之前，主机的网络设备会判断该数据包是否应该接收，从而保证只接收属于自己的数据包，但安装Sniffer工具后，它能使计算机接收所有到达本地计算机的数据包，从而实现网络监听。

Sniffer工具既适合黑客使用，同样也适合网络管理员和网络程序员，对于黑客来说，利用Sniffer工具可以监听到网络中所有的数据包，通过分析这些数据包来达到盗取隐私信息的目的。而对于网络管理员和网络程序员来说，利用Sniffer工具则是通过它来找出网络阻塞的原因或调试程序。

007Q　常用的嗅探器有哪些？

A　主要有Sniffer Pro及艾菲网页侦探两种。

嗅探器也就是Sniffer工具，它使用户能够“嗅探”到达本地网络的数据，并检查进入计算机的信息包，嗅探器并不会告诉用户“问题究竟是什么”，只会告诉用户“究竟发生了什么”。常用的嗅探器主要有三种：Sniffer Pro、艾菲网页侦探以及CaptureNet。

Sniffer Pro

Sniffer Pro是一款比较优秀的网络协议分析软件，它支持各种平台，使用该工具可以实时监控整个网络的安全运行状况。

Sniffer Pro在业界享有“看不见的网管专家”之美称，用它来监控网络可以保证网络的正常运转，Sniffer Portable Pro具备最优秀的网络和应用性能故障诊断功能以及智能化的专家分析系统，以协助用户在进行数据包捕获、实时解码的同时快速识别各种异常事件；数据包解码模块支持广泛的网络和应用协议，不仅限于Oracle、还包括VoIP类协议，以及金融行业专用协议和移动网络类协议等。Sniffer Pro提供直观易用的仪表板和各种统计数据、逻辑拓扑视图，并且提供能够深入到数据包的点击关联分析能力。

总体来说，Sniffer Pro具有以下四点主要功能。

·捕获网络数据包并进行详细分析。

·利用专家分析系统诊断问题。

·实时监控网络活动。

·收集网络利用率和错误等。

艾菲网页侦探

艾菲网页侦探是属于HTTP协议类的嗅探器，它可以捕获局域网中含有HTTP协议的IP数据包，然后对其进行分析，并从中过滤出符合HTTP协议的数据包。该软件可以用于查看局域网中的其他用户浏览过哪些网页以及网页内容。适用于企业主管实时监控公司员工的上网情况。

008Q　如何使用Sniffer Pro捕获网络数据？

A　首先利用Define Filter命令设置捕获条件，然后开始捕获满足条件的数据包，并查看其统计数据和柱形统计图。

Sniffer Pro的安装过程较为烦琐，需要用户在安装的过程中填写一些姓名、公司、职业等信息，安装完成后需要选择合适的适配器，用户需要正确地选择介入网络的网卡，这样Sniffer Pro才能将网卡设置为“杂乱”模式，以便于接受网络上的所有数据包。

STEP01：启动Sniffer Pro应用程序

1　成功安装Sniffer Pro后单击“开始”按钮，2　在弹出的“开始”菜单中依次单击“所有程序＞Sniffer Pro＞Sniffer”命令，启动Sniffer Pro应用程序。

STEP02：单击Define Filter命令

打开Sniffer Pro主界面，在菜单栏依次单击"Display＞Define Filter"命令。

STEP03：设置捕获条件

弹出Define Filter对话框，1　切换至Address选项卡下，2　在Station1以及Station2的列表中输入捕获地址，如在Station1下方输入00c0bd159684，此时Station2会自动显示any，3　然后在Address下拉列表中选择捕获条件，例如选择Hardware，即基本捕获条件。

STEP04：编辑协议捕获条件

1　切换至Advanced选项卡，2　在列表框中选择协议捕获条件，例如依次勾选"IP＞ICMP"复选框，即ICMP就是要捕获的协议，3　然后单击“确定”按钮。

STEP05：开始捕获

返回Sniffer Pro主界面，在菜单栏中依次单击"Capture＞Start"命令，开始捕获局域网中的数据包。

STEP06：查看并选择捕获的数据包信息

1　在窗口左侧单击Connection选项，此时可在窗口中看见捕获到的信息包以及发送和接收该数据包的计算机地址，2　选中任意一条捕获的数据包信息双击对应的选项。

STEP07：查看报文详细信息

1　切换至Objects选项卡，在该界面中显示了该报文的详细信息，2　单击【Host Table】按钮，查看报文统计。

STEP08：查看报文统计信息

此时可在窗口中看见该报文的统计信息，若想查看报文对应的图形统计，可单击左侧的柱形图标按钮。

STEP09：查看报文柱形统计图

此时窗口中出现了该报文的柱形统计图。纵坐标为数据包，横坐标为捕获地址。

设置Sniffer Pro兼容Windows 7

当用户将Sniffer Pro安装到Windows 7系统中后，可能会出现无法运行的现象，这是由于Sniffer Pro默认情况下并不兼容Windows 7系统，需要用户手动设置，设置方法为：右击Sniffer Pro快捷图标，在弹出的快捷菜单中单击“属性”命令，在弹出的对话框中切换至“兼容性”选项卡，勾选“以兼容模式运行这个程序”复选框，然后在下方选择"Windows XP（Service Pack3）"选项，单击“确定”按钮保存退出。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

009Q　如何使用艾菲网页侦探嗅探局域网中计算机浏览过的网页？

A　启动艾菲网页侦探程序后首先设置捕获的文件属性和IP地址范围，然后开启捕捉功能嗅探计算机浏览过的网页。

艾菲网页侦探可以运行在各个版本的Windows系统中，在安装该软件时还需要安装一个叫做WinPcap的插件。待正常安装艾菲网页侦探软件后便可在计算机中嗅探网络其他计算机所浏览过的网页。

STEP01：启动艾菲网页侦探程序

成功安装艾菲网页侦探软件后会在桌面上出现对应的快捷图标，双击该图标。

STEP02：单击Filter命令

打开“艾菲网页侦探”主界面，在菜单栏中依次单击"Sniffer＞Filter"命令。

STEP03：设置捕获属性

弹出Sniffer Filter对话框，在Content选项组中设置捕获的文件（网页、图片或其他文件）。在Host选项组中设置嗅探的IP地址范围（网络中所有计算机或指定IP地址的计算机）。

STEP04：开始捕获

单击OK按钮返回主界面，在菜单栏中依次单击"Sniffer＞Start"命令，开始捕获指定范围内的计算机所浏览过的网页。

STEP05：单击View detail命令

此时可在主界面中看见捕获的信息，1　右击任意一条信息，2　在弹出的快捷菜单中单击View detail命令。

STEP06：查看详细信息

弹出对话框，切换至Content选项卡，接着可在界面中看见所选计算机浏览过的网页界面。

3.4　防范端口扫描与嗅探

无论是端口扫描还是嗅探，它们都是黑客常用的方式，对于所有计算机用户而言，都需要做好端口扫描与嗅探的防范工作，只有做足了相应的防范措施，才不会让黑客轻易嗅探和盗取自己的隐私信息（例如网上银行账户和密码等）。

010Q　防范端口扫描的常见方式有哪些？

A　防范端口扫描的方式有两种：一种是关闭闲置和有潜在威胁的端口，另一种是利用网络防火墙屏蔽有扫描症状的端口。

防范端口扫描的常见方式有两种：一种是关闭闲置和有潜在危险的端口，另一种则是利用网络防火墙屏蔽带有扫描症状的端口。

关闭闲置和有潜在危险的端口

该方法的本质是将所有用户需要用到的正常计算机端口外的其他端口都关闭掉。因为对于黑客而言，所有的端口都可能成为攻击的目标。即计算机的所有对外通信端口都存在潜在的威胁，但是为了不影响系统的运行和某些应用软件的使用，用户则需要将一些系统必需的通信端口服务开启，例如访问网页需要的HTTP服务（80端口）、QQ服务（4000端口）等。关闭端口也就是关闭端口对应的服务，其具体的操作方法可参照1.2节第8问介绍的操作方法。

利用网络防火墙屏蔽有扫描症状的端口

防火墙的工作原理是：防火墙首先检查每个达到本地计算机的数据包，在该数据包被系统中的任何软件识别之前，防火墙可以拒绝接收该数据包，同时也可以禁止本地计算机接收外网传入的任何数据包。当第一个请求建立连接的数据包被本地计算机回应后，一个“TCP/IP端口”被打开；此时对方就可以开始扫描本地计算机的端口信息，在扫描的过程中，对方计算机不断和本地计算机建立连接，并逐渐打开各个服务对应的“TCP/IP端口”以及闲置的端口，此时防火墙便可以经过自带的拦截规则进行判断，就可以知道对方是否正在进行端口扫描，一旦确认对方正在扫描本地计算机的端口后将直接拦截对方发送过来的所有扫描需要的数据包。

用户在安装网络防火墙之后应检查它们所拦截的端口扫描规则是否被选中，否则防火墙会放行端口扫描，只是在日志中留下信息而已。

011Q　如何利用瑞星防火墙防范计算机被扫描？

A　在瑞星防火墙中开启网络数据保护功能，并设置发现端口扫描时的提示方式即可。

瑞星防火墙是一款功能强大的网络防火墙，它具有出色的网络攻击拦截功能和恶意网址拦截功能，阻止黑客攻击系统的同时保护用户不被病毒及钓鱼网页侵害。除此之外，用户可利用该防火墙来防范本地计算机被他人非法扫描。

STEP01：单击“网络防护”选项

启动瑞星防火墙应用程序，在其主界面中单击“网络防护”选项。

STEP02：开启网络数据保护

1　在界面中单击“网络数据保护”选项，此时该功能处于关闭状态，2　单击“开启”按钮，开启该功能。

STEP03：设置网络数据保护属性

此时用户若想自定义网络数据保护的属性，可单击“设置”按钮。

STEP04：设置发现端口扫描时的提示方式

弹出“瑞星个人防火墙设置”对话框，在“发现端口扫描时如何提示我”下方设置提示方式，例如仅勾选“气泡通知”和“声音报警”复选框，最后单击“确定”按钮保存退出。

012Q　防范嗅探的常见方式有哪些？

A　防范嗅探的常见方式有两种：第一种是对传输的数据进行加密，另一种是采用安全拓扑结构降低嗅探收集的信息。

在网络中发现嗅探是比较困难的，因为它根本就不会留下任何痕迹，但是用户可以采取适当的方法来防范嗅探，常见的方式有两种：一种是对传输的数据进行加密，另一种是采用安全拓扑结构。

对传输的数据进行加密

对传输的数据进行加密是指在传输数据前对数据进行加密，待到对方接收数据后再进行解密。这样一来，即使该数据被他人嗅探，由于不知道解密密码而无法得到可以利用的信息。传统的TCP/IP协议并没有采用加密的方法来对数据进行传输，即都是以明文的方式进行传输。因此若想彻底解决传输的数据被嗅探，则需要通过安装补丁来增强TCP/IP协议。

采用安全拓扑结构

由于嗅探器只能在当前网络段中捕获数据，因此将网络段分得越细，那么嗅探器能够收集到的信息就越少。在网络中，有三种网络连接设备是嗅探器无法跨越的：交换机、路由器和网桥。只需要灵活使用这些设备，就能够有效地防范嗅探。在网络中使用交换机来连接网络，能够避免数据的广播，即避免让网络中的任意一台计算机或服务器接收到任何与之不相关的数据。

对网络进行分段，可以通过在交换机上设置VLAN来实现，分段后网络就能自动隔离不必要的数据传送。从而有效地防范了嗅探。

无论是哪种嗅探方式，Sniffer工具一般是在入侵者成功侵入目标计算机后才会使用该工具来收集有用的数据和信息，因此防范系统被入侵才是解决问题的根本。网络管理员一定要定期对自己负责的网络进行安全测试，以便及时发现和防止安全隐患，做到早发现早解决。

第4章　Windows系统漏洞攻防

Windows操作系统是迄今为止使用最为广泛的个人计算机操作系统，从最早的DOS发展到Windows XP和Windows 7，其安全性逐渐提高，但是却避免不了漏洞的存在。因此，用户需要认识这些漏洞并掌握修复漏洞的常用方法。

本章知识点：

认识Windows系统漏洞

认识Windows系统中存在的漏洞

修复Windows系统漏洞

4.1　认识Windows系统漏洞

Windows系统漏洞是指Windows操作系统本身所存在的技术缺陷。一旦这些漏洞被黑客发现，黑客便可抓住这些漏洞来入侵计算机。因此，用户需要了解Windows系统漏洞产生的原因以及Windows系统中存在的隐患。

001Q　 Windows系统漏洞的产生原因是什么?

A　Windows系统漏洞的产生原因有两种：一种是技术人员的缺陷，另一种是硬件存在的设计缺陷及不兼容性。

Microsoft公司推出的Windows操作系统是目前世界上个人计算机上使用最广泛的操作系统。从最初的DOS发展到现在的Windows操作系统，Microsoft公司已经在个人操作系统领域中处于垄断地位。

虽然Windows操作系统拥有强大的功能和华丽的界面，但是仍然会出现蓝屏、死机、账号密码被盗的现象，这是为什么呢？其实根本原因就是该系统存在漏洞，死机、蓝屏是由于Windows系统在编写时产生的错误以及逻辑设计上的缺陷所造成的，而账号密码被盗是黑客抓住这些漏洞并通过植入木马而造成的。无论是蓝屏、死机，还是账号密码被盗，它们都是由于Windows系统漏洞而产生的，那么Windows系统为什么会产生漏洞呢？其原因有两个方面：人为因素和硬件因素。

人为因素

人为因素是指Windows操作系统的人员由于技术缺陷或者某种特定的目的而导致操作系统产生漏洞。在编写操作系统的过程中，编程人员为了便于后期的调试，经常会在程序代码的隐蔽处留下后门。

硬件因素

硬件因素是指由于硬件的问题而导致Windows操作系统产生无法弥补的漏洞，硬件的问题通常包括硬件自身的设计缺陷以及不兼容性。当硬件存在设计缺陷时，往往会通过软件表现出来，例如由于硬件驱动程序与Windows操作系统的不兼容而出现的蓝屏、死机等现象，或者由于组装机中各硬件的不兼容而导致的蓝屏和死机等现象。

由于Windows操作系统广泛应用于个人计算机中，因此将会导致大量的入侵者开始研究该系统潜在的漏洞。Windows操作系统与Linux等开放源码的操作系统不一样，它属于暗箱操作，普通用户无法获取操作系统的源代码，因此安全问题均由Microsoft自己解决。

002Q　 Windows系统中存在哪些安全隐患？

A　Windows系统中主要存在核心代码中的潜在BUG、扩展名欺骗、设备文件名问题和庞大而复杂的注册表等安全隐患。

由于Windows操作系统是人为编写出来的，它必然受到当时客观条件和技术的限制。再加上其含有大量的程序段以及人为的各种原因，因此该系统中或多或少会存在安全隐患。

核心代码中的潜在BUG

对于Windows操作系统这种含有大量程序代码的软件而言，它潜在的BUG往往与程序的大小成正比。无论是Windows XP还是Windows 7，甚至即将问世的Windows 8，它们的核心代码都没有太大的变化，从而导致Windows新版本操作系统在继承了Windows老版本操作系统中核心代码的同时，也将其潜藏的BUG继承下来。

扩展名欺骗

Windows操作系统不完全是按照扩展名来处理文件的，而是根据文件头部的信息对文件性质作出初步的判断。如果重命名一个文件"abc.html.exe"，其中用ASC　Ⅱ的255来代替其中的空格，那么在Windows系统中只能看见abc.html。恶意者可能会将该文件连接到一个可执行文件，但是其他人会将该文件视为一个HTML网页。

设备文件名问题

在Windows系统中，用户可以通过字符链接的形式来访问大部分设备，例如可以使用"\.F:"这样的方式来试图访问F盘。

庞大而复杂的注册表

注册表对Windows来说是非常重要的，注册表实际上是一个很庞大的数据库，包含了应用程序和计算机系统的配置，系统和应用程序的初始化信息，应用程序和文档文件的关联关系，硬件设备的说明、状态和属性，以及各种状态信息和数据等。由于注册表过于庞大和复杂，因此很容易出现漏洞而被人所利用。

系统权限分配繁冗

Windows操作系统中几乎每个东西都可以设置权限，包括每一个对象、注册表项目、设备等，这么庞大的访问控制列表实在难以一一审核，而其中有很多可以被黑客用来作为后门。

设计失误

Windows操作系统在设计方面存在着很多失误，例如账号锁定和IIS的安全设计之间就存在冲突（coolwais最早提出）。一旦启用账号锁定策略，即可对IUSER_和IWAN_进行穷举，这两个账号锁定后，任何人都无法访问IIS，这样一来用很小的代价就能实现DoS。类似的问题还有不少。

4.2　认识Windows系统中存在的漏洞

目前个人计算机中最常用的Windows操作系统主要有Windows XP和Windows 7两种，它们均存在着大量的漏洞，虽然Microsoft在发布这两款操作系统后先后给出了漏洞补丁，但是对于用户而言，还是需要认识它们所存在的基本漏洞。

003Q　 Windows XP中存在哪些安全漏洞？

A　Windows XP中存在着UPNP服务漏洞、帮助和支持中心漏洞、压缩文件夹漏洞、服务拒绝漏洞、RDP漏洞和热键漏洞。

Windows XP拥有较高的安全和保密特性，对系统安全性所做的改善大大提高了用户建立安全、保密环境的系数，但是它仍然存在着大量的安全漏洞。

UPNP服务漏洞

UPNP（Universal Plug and Play）体系面向无线设备、PC机和智能设备，提供普遍的对等网络链接，在家用信息设备、办公网络设备之间提供TCP/IP连接和Web访问功能，该服务可用于检测和集成UPNP硬件。Windows XP系统中默认启动的UPNP服务存在着严重的漏洞。该协议可以使攻击者非法获取任何Windows XP的系统级访问并进行攻击，还可以通过控制多台安装有Windows XP的计算机发起分布式的攻击。

防御策略：首先禁用UPNP服务，然后下载并安装对应的补丁程序。

帮助和支持中心漏洞

Windows XP中的帮助和支持中心提供了集成工具，用户通过该工具获取针对各种主题的帮助和支持。该功能存在的漏洞可以让攻击者通过特殊的网页（在打开网页时使用错误的函数，并将存在的文件或文件夹的名字作为参数传递）来使上传的文件或文件夹操作失败，随后该网页可在网站上公布，以攻击访问该网站的用户或作为邮件传播来攻击用户。该漏洞除了使攻击者可以删除文件之外，不会赋予其他的权限。攻击者既无法获取系统管理员的权限，也无法读取或修改文件。

防御策略：安装Windows XP的Service Pack 3。

压缩文件夹漏洞

Windows系统中的“压缩文件夹”功能允许将Zip格式的文件作为普通文件夹处理。该功能存在两个漏洞：一是在解压缩Zip文件时会有未经检查的缓冲存在于程序中以存放被解压的文件，因此很可能导致浏览器崩溃或攻击者的代码被运行；二是解压缩功能在非用户指定的目录中放置文件，可使攻击者在用户系统的已知位置中存放文件。

防御策略：拒绝接受不信任的邮件附件，不下载不信任的文件。

服务拒绝漏洞

PPTP（Point to Point Tunneling Protocol）是Windows系统中作为远程访问服务实现的虚拟专用网技术。由于在用于建立、维护和拆开PPTP连接的代码段中存在未经检查的缓存，导致在Windows系统中实现该功能存在漏洞，通过向一台存在该漏洞的服务器发送不正确的PPTP控制数据，攻击者可损坏核心内存并导致系统失效，中断所有系统中正在运行的进程。该漏洞可攻击任何一台提供PPTP服务的服务器，对于PPTP客户端的工作站，攻击者只需激活PPTP会话即可进行攻击。对任何遭到攻击的系统可以通过重启来恢复正常操作。

防御策略：关闭PPTP服务。

RDP漏洞

RDP（Remote Desktop Protocol）是Windows操作系统为客户端提供远程终端会话的功能。该功能将终端会话的相关硬件信息传送至远程客户端。它存在以下两个漏洞。

·与某些RDP版本的会话加密实现有关的漏洞

Windows系统中的所有RDP实现均允许用户对RDP会话中的数据进行加密，然而在Windows XP系统中，纯文本会话数据的校验在发送之前并未经过加密，窃听并记录RDP会话的攻击者可以对该校验密码分析攻击并覆盖该会话传输。

·与Windows XP中的RDP实现对某些不正确的数据包处理方法有关的漏洞

当Windows系统接收这些不正确的数据包时，远程桌面服务将会失效，并且当攻击者向一个已受影响的系统发送这类数据包时，并不需要经过系统的验证。

防御策略：在Windows系统中关闭远程桌面服务，或者在防火墙中屏蔽3389端口。

热键漏洞

热键功能是Windows系统提供的服务，当用户离开计算机后，该计算机处于未保护状态，此时Windows系统会自动实施“自注销”。虽然无法进入桌面，但由于热键服务还未停止，因此仍然可以使用热键启动应用程序。

防御策略：该漏洞被利用的前提是热键功能一直处于可用状态，因此首先需要检查可能会带来危害程序和服务的热键，然后再启动屏幕保护程序并设置密码，并且养成离开计算机时锁定计算机的习惯。

004Q　Windows 7中存在哪些安全漏洞？

A　Windows 7系统中存在的安全漏洞主要有两个：快捷方式漏洞和SMB协议漏洞。

Windows 7是Microsoft公司在2009年年底发布的一款操作系统，该系统的功能比之前所有的Windows系统都要强大，并且界面也比之前的所有Windows系统都要华丽。但是该系统仍然存在着一些安全漏洞，下面进行简单的介绍。

快捷方式漏洞

快捷方式漏洞是WindowsShell框架中存在的一个危急安全漏洞，当用户运行扩展名为lnk的快捷方式时，该漏洞可通过一个特制的快捷方式自动激活恶意程序。该漏洞可能会通过可移动硬盘进行传播。

防御策略：禁用可移动硬盘的自动播放功能，并且需手动检查可移动硬盘的根文件夹。

SMB协议漏洞

SMB（Server Message Block）协议是一种IBM协议，它用于在计算机间共享文件、打印机、串口等。当用户执行SMB 2.0协议时系统将会受到网络攻击从而导致系统崩溃或重启。因此只要故意发送一个错误的网络协议请求，Windows 7系统就会出现页面错误，从而导致“蓝屏死机”。

防御策略：关闭SMB服务。

4.3　修复Windows系统漏洞

Microsoft公司在发布Windows操作系统后陆续发布了大量的系统漏洞补丁，用户既可以利用Windows系统自带的Windows Update功能修复系统漏洞，也可以利用360安全卫士、超级兔子等第三方软件来修复系统中的漏洞，让系统更加安全和稳定，不给黑客可乘之机。

005Q　如何利用Windows Update修补漏洞？

A　首先利用Windows Update检测所有的漏洞补丁，然后选择安装的补丁，待成功安装后重启计算机即可。

Windows Update是Microsoft提供的一种自动更新工具，通常提供系统漏洞补丁的安装、驱动程序和软件的升级。利用Windows Update可以更新当前的系统，扩展系统的功能，让系统支持更多的软、硬件，解决各种兼容性问题，打造更安全、更稳定的系统。

STEP01：单击“控制面板”命令

1　单击“开始”按钮，2　在弹出的“开始”菜单中单击“控制面板”命令。

STEP02：单击Windows Update链接

打开“控制面板”窗口，1　设置查看方式为“大图标”，2　单击Windows Update链接。

STEP03：单击“检查更新”按钮

切换至Windows Update界面，此时计算机不会自动检查更新，单击“检查更新”按钮，让计算机自动检测要安装的系统漏洞补丁。

STEP04：查看重要更新的漏洞补丁

检测后会显示“重要更新”和“可选更新”的补丁数量，用户可以选择要安装的漏洞补丁，例如单击“96个重要更新可用”链接。

STEP05：选择要安装的重要更新

切换至“选择要安装的更新”界面，此时可看见界面中显示的重要更新漏洞补丁，选择要安装的漏洞补丁。

STEP06：单击“安装更新”按钮

单击“确定”按钮后返回Windows Update界面，直接单击“安装更新”按钮开始安装选择的漏洞补丁。

STEP07：单击“立即重新启动”按钮

安装完毕后界面中显示“成功地安装了更新”提示信息，单击“立即重新启动”按钮重新启动计算机。

STEP08：配置Windows Update

在关机的过程中，计算机会自动配置安装的漏洞补丁，此时请勿突然断电或强制关闭计算机，只需耐心等待，否则将会造成漏洞补丁安装失败。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

006Q　如何利用第三方软件修补系统安全漏洞？

A　利用第三方软件修复系统漏洞只需选择要修复的漏洞，软件会自动下载并安装对应的系统漏洞补丁。

除了利用Windows Update修补系统安全漏洞之外，还可以利用网络中提供的第三方软件来下载并安装系统漏洞补丁。下面以360安全卫士和超级兔子为例介绍修复系统漏洞的操作方法。

利用360安全卫士修复系统漏洞

360安全卫士是一款由奇虎网推出的功能强、效果好、受用户欢迎的上网安全软件，它具有的系统漏洞修复功能可以让用户快速修复系统漏洞，用户只需选择要安装的系统漏洞补丁，360安全卫士会自动完成随后的下载和安装操作。

STEP01：单击“360安全卫士”图标

1　单击桌面右下角的通知区域中的三角按钮，2　在展开的列表中单击“360安全卫士”图标。

STEP02：选择要安装的漏洞补丁

打开360安全卫士主界面，1　切换至“修复漏洞”选项卡，耐心等待一两秒后可看见当前系统中存在的所有漏洞，2　选中需要修复的漏洞，3　单击“立即修复”按钮。

STEP03：下载并安装补丁

此时可在主界面中看见程序自动修复选中的漏洞，下载并安装对应的漏洞补丁，选择的系统漏洞越多，安装时间越长，请耐心等待。

STEP04：重新启动计算机

修复完毕后提示用户重新启动计算机方可使补丁生效，直接单击“立即重启”按钮重新启动计算机。

系统中的漏洞补丁并非安装得越多越好

用户在安装系统漏洞补丁时一定要注意：在系统中安装漏洞补丁并非越多越好，如果每次都安装所有的补丁，会浪费许多系统资源，严重的可能会因为与硬件的不兼容而导致系统崩溃。360安全卫士在扫描系统的过程中会根据计算机所处的环境来智能安装补丁，在节省系统资源的同时保证计算机的安全。

利用超级兔子修复系统漏洞

超级兔子是一款知名度很高的系统维护软件，它能够清理系统中的垃圾文件、注册表中的垃圾信息，同时还有强力的软件卸载功能。更令人惊讶的是，该软件还具有自动修复系统漏洞的功能，并可自动下载并安装系统漏洞补丁。

STEP01：启动超级兔子应用程序

下载并安装超级兔子应用程序后在桌面上双击对应的快捷图标，启动该程序。

STEP02：查看系统中存在的漏洞

打开超级兔子主界面，1　单击“软件管理”按钮，2　接着在左侧单击“系统漏洞”选项，可在右侧看见选中的所有系统漏洞。

STEP03：设置安装补丁后的操作

在主界面底部设置安装系统补丁后的操作，例如单击选中“重启计算机”单选按钮，即在完成所有补丁的安装后重新启动计算机。

STEP04：单击“立即修复”按钮

在主界面的右上角单击“立即修复”按钮，开始修复选中的系统漏洞。

STEP05：正在修复系统漏洞

此时可在主界面底部看见下载漏洞补丁的进度条和速度，待漏洞补丁下载完毕后程序会自动安装这些补丁，修复系统所花费的时间与漏洞补丁的大小有关，补丁越大，花费的时间越多，反之则越少。

007Q　如何开启系统的自动更新功能？

A　只需将Windows Update安装更新的方法设置为除“从不检查更新（不推荐）”之外的其他方式即可。

Windows操作系统除了提供Windows Update功能之外，还提供了自动更新的功能，通过该功能用户无须手动下载系统漏洞补丁，一旦Microsoft发布了系统漏洞补丁，它将根据用户的设置自动在当前系统中下载并安装该漏洞补丁。开启系统自动更新功能的操作方法如下。

STEP01：更改Windows Update设置

按照005Q中介绍的操作方法打开Windows Update窗口，在左侧单击“更改设置”链接。

STEP02：开启自动更新

切换至“选择Windows安装更新的方法”界面，1　在“重要更新”选项组中单击“从不检查更新（不推荐）”右侧的下三角按钮，2　从展开的下拉列表中单击“下载更新，但是让我选择是否安装更新”选项，最后单击“确定”按钮保存退出。

第5章　木马攻防

木马，也称特洛伊木马，它原意是指“木马屠城记”中那只木马的名称，现今计算机术语借用其名，意思是“一经进入，后患无穷”，木马的危害在于它不仅具有破坏性，而且它还能悄无声息地盗取目标计算机上的账户密码等隐私信息。

本章知识点：

认识木马

自定义配置及捆绑木马

个人用户防范木马

5.1　认识木马

木马一词原指“特洛伊木马”，在著名的特洛伊木马战争中，古希腊人依靠藏匿于木马腹中的内应贡献了特洛伊城。在Internet中，这个计策被黑客们使用，计算机木马的设计套用了相同的思路，将木马程序藏于正常的程序中，当其他用户运行了该程序，木马程序就会悄悄潜入系统，为黑客打开进入这台计算机的后门。

001Q　木马由哪几部分组成？

A　一个完整的木马由硬件、软件和具体连接三部分组成。

用户的计算机一旦遭受木马入侵，黑客就可以通过木马来控制该计算机，可以实现的操作包括修改文件、修改注册表、控制鼠标和键盘等。一个完整的木马系统由三部分组成，如下图所示。

硬件部分

硬件部分是指建立木马连接所必需的硬件实体。它包括控制端、服务端和Internet三部分。

·控制端：对服务端进行远程控制的一方。

·服务端：被控制端远程控制的一方。

·Internet：控制端对服务端进行远程控制，是数据传输的网络载体。

软件部分

软件部分是指实现远程控制所必需的软件程序，它包括控制端程序、木马程序和木马配置程序三部分。

·控制端程序：控制端用于远程控制服务器的程序。

·木马程序：潜伏服务端内部，获得其操作权限的程序。

·木马配置程序：设置木马程序的端口号、触发条件、木马名称等，使其在服务端潜藏得更加隐蔽。

具体连接部分

具体连接部分是指通过Internet在服务端和控制端之间建立一条木马通道所必需的元素，它包括控制端/服务端IP和控制端/木马端口两部分。

·控制端/服务端IP：控制端、服务端的网络地址，也是木马进行数据传输的目的地。

·控制端/木马端口：控制端、服务端的数据入口，通过这个入口，数据可以直达控制端程序或木马程序。

002Q　常见的木马包括哪几类？

A　常见木马有远程控制木马、密码发送木马、键盘记录木马、破坏性质的木马、Dos攻击木马、代理木马、FTP木马、程序杀手木马和反弹端口型木马9类。

从木马诞生到现在，Internet中的出现的木马已经数不胜数了，随着科学技术的发展，现在的木马不再具有单一的功能，而且多功能的集合体。根据目前已经知晓的木马，可以将常见的木马分为以下9类。

远程控制木马

远程控制木马是数量最多，危害最大，知名度最高的一种木马，它可以让攻击者完全控制被入侵的计算机，攻击者可以利用它完成一些甚至连计算机主人本身都不能顺利进行的操作，其危害之大实在不容小觑。由于要达到远程控制的目的，所以，该种类的木马往往集成了其他种类木马的功能。使其在目标计算机上为所欲为，可以任意访问文件、获取目标计算机用户的私人信息，包括信用卡、银行账号等至关重要的信息。

大名鼎鼎的“冰河”木马就是一个远程控制木马。这类木马用起来是非常简单的。只需其他用户运行服务端并且攻击者获取目标计算机的IP地址，就能控制目标计算机。攻击者可以在目标计算机上执行任何操作。远程控制木马的普遍特征是：键盘记录、上传和下载功能、注册表操作、限制系统功能等。远程控制木马会在目标计算机上打开端口以保持连接。

密码发送木马

在信息安全日益重要的今天，密码无疑是通向重要信息的一把极其有用的钥匙。只要掌握了对方的密码，从很大程度上说，就可以无所顾忌地得到对方的很多信息。而密码发送木马正是为了专门盗取被感染计算机上的密码而编写的，木马一旦被执行，就会自动搜索内存、Cache、临时文件夹以及各种敏感密码文件，一旦搜索到有用的密码，木马就会利用免费的电子邮件服务将密码发送到指定的邮箱，从而达到获取密码的目的，所以这类木马大多使用25号端口发送E-mail。这类木马大多数不会在每次Windows重启时重启。这类木马的目的是找到所有的隐藏密码并且在目标计算机用户不知情时把它们发送到指定的信箱。

由于需要获得的密码多种多样，存放形式也大不相同，所以，很多时候黑客会自动编写程序，从而得到符合自己要求的木马。

键盘记录木马

这种木马非常简单，它们只做一件事——记录目标计算机的键盘敲击并且在LOG文件里查找密码。这种木马随着Windows系统的启动而启动。它们有在线和离线记录的选项，顾名思义，它们分别记录用户在线和离线状态下敲击键盘时的按键情况。也就是说你按过哪些键，远程控制该木马的攻击者都会知道，从这些按键中攻击者很容易就会得到用户的密码等有用信息，甚至是信用卡账号。当然，对于这种类型的木马，邮件发送功能也是必不可少的。

破坏性质的木马

这种木马唯一的功能就是破坏被感染计算机的文件系统，使其遭受系统崩溃或者重要数据丢失的巨大损失。从这一点来说，它和病毒很相像。不过，一般来说，这种木马的激活是由攻击者控制的，并且传播能力也比病毒逊色很多。

Dos攻击木马

随着DoS攻击的广泛应用，被用做DoS攻击的木马也越来越流行。当攻击者入侵了一台计算机，并植入DoS攻击木马后，那么这台计算机就将成为DoS攻击的最得力助手。黑客控制的计算机数量越多，发动DoS攻击取得成功的几率就越大。所以，这种木马的危害不是体现在被感染计算机上，而是体现在攻击者可以利用它来攻击更多的计算机，进而给网络造成很大的伤害和损失。

还有一种类似DoS的木马叫做邮件炸弹木马，一旦计算机被感染，木马就会随机生成各种各样主题的信件，对特定的邮箱不停地发送邮件，一直到对方计算机瘫痪、不能接收邮件为止。

代理木马

攻击者在入侵的同时掩盖自己的足迹，谨防别人发现自己的身份是非常重要的。代理木马是攻击者发动攻击的跳板，通过代理木马，攻击者可以在匿名的情况下使用Telnet、ICQ、IRC等程序，从而隐蔽自己的踪迹。

FTP木马

这种木马可能是最简单和古老的木马了，它的唯一功能就是打开21端口，等待用户连接。现在新FTP木马还加上了密码功能，这样，只有攻击者本人才知道正确的密码，从而进入对方计算机。

程序杀手木马

上面的木马功能虽然形形色色，不过到了对方计算机上要发挥自己的作用，还要过防木马软件这一关才行。常见的防木马软件有360安全卫士、Norton Anti-Virus等。程序杀手木马的功能就是关闭目标计算机上运行的这类程序，让其他的木马更好地发挥作用。

反弹端口型木马

木马开发者在分析了防火墙的特性后发现：防火墙对于连入的链接往往会进行非常严格的过滤，但是对于连出的链接却疏于防范。于是，与一般的木马相反，反弹端口型木马的服务端使用主动端口，客户端使用被动端口。木马定时监测控制端的存在，发现控制端上线立即弹出端口主动连接控制端打开的主动端口；为了隐蔽起见，控制端的被动端口一般开在80端口，这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似TCP UserIP：1026 ControllerIP：80 ESTABLISHED的情况，稍微疏忽一点，就会以为是自己在浏览网页。

003Q　木马有哪些特征？

A　木马有隐蔽性、自动运行性、欺骗性、自动恢复、自动打开端口和功能特殊性六大特征。

不管是远程控制木马，还是键盘记录木马或者其他木马，它们都具有相同的特点和行为机理。这为防范和清除木马提供了充实可靠的依据。根据对木马的产生、传染和破坏行为的分析，常见的木马有以下6点特征。

隐蔽性

木马必须隐藏在目标计算机中并想尽一切办法不让用户发现。一般的局域网通信软件在运行的时候，客户端与服务器端连接成功之后客户端机上会出现很醒目的提示标志。而木马的服务端在运行时会应用各种手段隐藏自己，绝不可能还出现什么提示，例如，修改注册表和ini文件以便计算机在下一次启动后仍能载入该密码程序，木马并不是自己生成一个启动程序，而是依附在其他的程序之中。

木马的隐蔽性主要体现在两个方面：一是不产生图标；二是木马程序会自动在任务管理器中隐藏，并以“系统服务”的方式欺骗操作系统。

自动运行性

当用户系统启动时，木马也会自动运行，所以木马必须潜入计算机的启动配置文件中，如启动组和系统进程中。

欺骗性

木马程序要达到其隐蔽的目的，就必须借助系统中已有的文件，防止被用户发现。木马一般都是用常见的文件名或扩展名，或者仿制一些不易被人区别的文件名，甚至干脆借用系统文件中已有的文件名，只不过它保存在不同的路径之中。还有的木马程序会将自己设置成一个ZIP文件格式图标，当用户一不小心打开它的时候就会马上运行。

自动恢复

现在很多木马的功能模块已不再是由单一的文件组成，而是具有多重备份，可以相互恢复的文件。

自动打开端口

木马程序潜入他人计算机中的主要目的不是为了破坏用户的系统，而是为了获取用户系统中有用的信息。在用户上网与远端客户进行通信时，木马程序就会用服务器/客户端的通信手段把信息告诉幕后的攻击者，以便攻击者能控制该计算机或者实现更进一步的入侵企图。

功能特殊性

通常木马的功能都有特殊性，除了普通的文件操作以外，还有一些木马具有搜索Cache中的口令、设置口令、扫描目标计算机的IP地址、进行键盘记录、远程注册表的操作以及锁定鼠标等功能，这跟前面所讲的远程控制软件是不同的，毕竟远程控制软件是用来控制远程机器，方便自己的操作和管理，而不是用来攻击对方的机器。

004Q　木马的入侵方式有哪些？

A　木马的入侵方式有5种包括：修改Win.ini文件、修改System.ini文件、加载到启动组、修改文件关联和捆绑文件。

虽然Internet中的木马种类繁多，但是它们入侵目标计算机的手段却不多。大致有以下5种常见的入侵方式。

修改Win.ini文件

在系统文件Win.ini中的[windows]段中有加载项"run="和"load="，正常情况下这两项为空。如果发现这两项加载了任何可疑的程序时应特别当心，这时可根据其提供的源文件路径和功能进一步检查。这两项分别是用来在系统启动时自动运行和加载程序的。往往会在现有加载的程序文件名之后再加一个它自己的文件名或者参数，该文件名一般使用用户常见的command.exe、sys.com等文件来伪装。

修改System.ini文件

在系统信息文件System.ini中也有一个启动加载项，那就是在[BOOT]子项中的shell项。在这里木马最管用的伎俩就是把Explorer变成它自己的程序名，这些改变如果不仔细留意是很难发现的，这就是前面所讲的欺骗性。当然有些木马不是这样做的，而是直接把Explorer改为别的名字，或者在Explorer上加上一个不明显的木马程序。

加载到启动组

木马隐藏在启动组中虽然不是十分隐蔽，但这里都是自动加载运行的好场所，因此还是有木马会驻留在此。启动组对应的文件夹为：C:\Users\＜用户名＞\App Data\Roaming\Microsoft\Windows\[开始]菜单\启动，在注册表中的位置为：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders Startup="C:\Users\John\AppData\Roaming\Microsoft\Windows\Start Menu"。

修改文件关联

修改文件关联是木马常用的手段，正常情况下TXT文件的打开方式为Notepad.exe文件。但中了文件关联木马之后，TXT文件的打开方式就会被修改为用木马程序打开，例如著名的“冰河”木马采用的就是这样的方式。一旦用户双击一个TXT文件，就会启动木马程序。不仅仅是TXT文件，其他的诸如HTM、EXE、ZIP、COM等都是木马的目标。要对付这类木马，只能检查HKEY_CLASSES_ROOT/文件类型/shell/open/command主键，查看其键值是否正常。

捆绑文件

实现这种触发条件首先需要控制端和服务端已通过木马建立连接，然后控制端用户使用工具软件将木马文件和某一应用程序捆绑在一起，随即上传到服务端覆盖原文件。这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被重新安装，绑定到某一应用程序中。如果绑定到系统文件，那么每一次启动Windows时均会同时启动木马。

005Q　木马的伪装手段有哪些？

A　木马的伪装手段有5种包括：修改图标、出错显示、木马更名、扩展名欺骗和自我销毁。

木马入侵目标计算机后，为了防止被用户发现，攻击者往往会采取不同的手段来伪装木马，常见的伪装手段有修改图标、出错显示、木马更名、扩展名欺骗和自我销毁。

修改图标

木马服务端所用的图标有一定的规律可循，木马经常故意伪装成XT.HTML，等待用户因为疏忽而将其认为是没有危害的文件图标双击打开。

出错显示

这种伪装手段是将木马捆绑到一个安装程序中，当安装程序运行时，木马就会在用户毫无察觉的情况下偷偷地进入系统。被捆绑的文件一般是可执行文件，如EXE、COM之类的文件。

木马更名

如果木马的名称不做任何修改，那么用户通常能够很容易地辨认出木马程序。为了增强木马的欺骗性，木马设计者经常给木马取一个具有迷惑性的名称，或者运行控制端用户自由定制安装后的木马文件名，这样就很难判断所感染的木马类型了。木马大多数是改为和系统文件名类似的名称，例如有的木马将名称改为window.exe，或者把.d改为.dl等。

扩展名欺骗

这是许多黑客惯用的一种欺骗手法，就是将木马伪装成图像、文档等文件，这一点跟木马更名的性质类似，但是这一招看上去虽然很不合逻辑，却有许多用户中招。例如图像文件的扩展名根本就不可能是.exe，而木马程序的扩展名基本上又必定是.exe，这样，多数用户在看到扩展名为.exe的文件时就会很小心。于是木马设计者就将文件名进行一些改变，例如将photo.exe更改为photo.jpg.exe，因为Windows文件夹选项的默认设置是不显示扩展名的，于是用户看到的只是photo.jpg文件，此时如果用户的计算机恰好设置为隐藏扩展名，那么就很容易将其当做一个图片打开，这样木马也就启动了。

自我销毁

自我销毁功能是为了弥补木马的一个缺陷而设计的。当服务器用户打开含有木马的文件后，木马会将自己复制到Windows的系统文件夹中。一般来说，源木马文件和系统文件夹中的木马文件的大小是一样的，那么用户只要在近来收到的信件和下载的软件中找到源木马文件，然后根据源木马的大小去系统文件夹找相同大小的文件，判断一下哪个是木马即可。而木马的自我销毁功能是指安装完木马之后，源木马文件会自动销毁，这样服务端用户就很难再找到木马的来源了，此时在没有查杀木马工具的帮助下是很难删除木马的。

006Q　计算机中木马后有哪些症状？

A　计算机中木马后会无限地弹出IE窗口、弹出奇怪的对话框、系统配置被更改、突然出现大量无法结束的进程。

随着计算机技术的发展，木马始终走在防木马软件的前端。因此Internet中没有绝对安全的计算机，再安全的计算机都可能会遭到木马的入侵，因此用户除了尽量做好系统的安全措施之外，还要了解计算机遭受木马入侵后的常见症状。

无限地弹出IE窗口

刚刚打开IE窗口或浏览网页时，突然弹出大量的IE窗口，如下图所示。

弹出奇怪的对话框

在操作计算机时屏幕上突然出现警告框或者提示框，询问一些奇怪的问题，如下图所示。

系统配置被更改

系统配置经常自动莫名其妙地被更改，例如系统显示的日期和时间、声音大小、鼠标灵敏度等，如下图所示。

突然出现大量无法结束的进程

计算机的运行速度突然变得很慢，打开任务管理器后发现突然出现大量同一名称的进程，并且无法结束，如下图所示。

利用netstat-a命令查看系统中的异常信息

当自己的计算机出现了以上任意一种症状，或者突然觉得计算机有反常情况发生时，此时可以使用netstat-a命令查看所有的网络连接，如果此时有攻击者通过木马连接，就可以通过这些信息发现异常，然后按照本章Q12介绍的方法查杀系统中潜在的木马程序。

5.2　自定义配置及捆绑木马

对木马的基本知识有一定了解后，接下来就通过实例的操作来向用户展示木马的配置和捆绑操作，自定义配置木马是指利用木马控制端程序来配置木马服务端，然后让其他用户在自己的计算机运行生成木马服务端，而捆绑木马则是将木马服务端与正常程序捆绑在一起，一旦其他用户运行正常程序，被捆绑的木马程序同样被激活。

007Q　如何配置“冰河”木马服务端？

A　利用“冰河”木马控制端程序即可配置“冰河”木马服务端，包括访问口令、监听端口以及动态IP地址的接收邮箱等信息。

在向目标主机植入“冰河”木马程序之前，攻击者一般都会使用控制端程序对服务端程序进行一些配置，包括是否自动删除安装文件、打开的端口号、访问口令以及邮件通知等。

STEP01：单击“配置本地服务器程序”按钮

启动“冰河”木马的控制端程序，单击工具栏中的“配置本地服务器程序”按钮。

STEP02：设置访问口令监听端口

弹出“服务器配置”对话框，1　设置访问口令为123，2　设置监听端口为7627，3　勾选“自动删除安装文件”复选框。

STEP03：设置自我保护

1　切换至“自我保护”选项卡，2　在“键名”文本框中输入注册表键名KERNEL32.EXE。

STEP04：设置邮件通知

1　切换至“邮件通知”选项卡，2　在“SMTP服务器”和“接收信箱”中输入服务器名和邮箱地址，3　单击“确定”按钮。

设置SMTP服务器与接收信箱的作用

无论是目前部分互联网用户仍采用的拨号上网，还是大多数用户采用的动态IP的ADSL宽带上网，其每次拨号后的IP地址都不同，因此要想让一台远程计算机成为自己的长期“肉鸡”，就要牢牢地掌握其IP的变化通常需要设置SMTP服务器和接收信箱。远程计算机用户每次启动计算机时，服务端程序也随之启动，服务端程序可以使用E-mail将该计算机所产生的动态IP地址自动地发送到控制端用户预先设置的邮箱之中。选中“邮件内容”组合框中的几个复选框后，服务端程序将会把该计算机中的这几项信息一起发送到控制端用户的邮箱中，这样不管远程计算机如何更换IP地址、重新启动、更改系统密码，控制端用户总能通过服务端程序了解到这些信息。

STEP05：确定所有配置正确无误

弹出“冰河”对话框，询问用户是否确定所有的配置均正确无误，单击“是”按钮。

STEP06：服务器程序配置完毕

切换至新的界面，此时显示了“服务器程序配置完毕”的信息，单击“确定”按钮。

STEP07：查看生成的服务器程序

打开解压后的“冰河”木马控制端所在文件夹，此时可看见G-Server文件，该文件便是刚刚配置好的服务器程序，接着攻击者就会采用各种方法让Internet中其他计算机中的用户运行该服务器程序。

“冰河”木马的功能

“冰河”木马不仅具有远程控制的功能，而且还具有记录口令、获取系统信息以及注册表操作等功能。

（1）自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入，即在同步服务端屏幕变化的同时，控制端的一切键盘及鼠标操作将反应在服务端屏幕。

（2）记录各种口令信息，包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现过的口令信息，且在1.2以上的版本中允许用户对该功能自行扩充，2.0以上版本还同时提供了基键记录功能。

（3）获取系统信息，包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等多项系统数据。

（4）注册表操作，包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

008Q　如何控制“冰河”木马服务端？

A　利用“冰河”木马控制端远程控制木马服务端，首先扫描指定端口开放的计算机，再利用访问口令登录并控制目标计算机。

当Internet中有计算机运行了该服务端程序时，攻击者就会利用控制端程序找到目标计算机并进行远程控制，既可以获取目标计算机的相关指令（开机指令、屏保指令等），又可以远程更改其注册表或计算机名等信息。

STEP01：单击“自动搜索”按钮

打开冰河控制端程序主界面，在工具栏中单击“自动搜索”按钮。

STEP02：设置监听端口和IP地址范围

弹出“搜索计算机”对话框，1　设置监听端口、延迟时间、起始域、起始地址和终止地址。2　然后单击“开始搜索”按钮。

STEP03：查看搜索结果

当进度条达到100%后，可在右侧的“搜索结果”对话框中看见被搜索到的计算机所对应的IP地址，以OK开头的IP地址就可能是目标计算机对应的IP地址。

STEP04：单击“添加主机”按钮

记录搜索的IP地址后单击“关闭”按钮返回主界面中，在工具栏中单击“添加主机”按钮。

STEP05：输入访问口令和监听端口

弹出“添加计算机”对话框，确认“显示名称”和“主机地址”右侧文本框中显示的是STEP03中搜索到的IP地址，1　在“访问口令”右侧的文本框中输入主机地址和配置服务器程序时设置的访问口令，在“监听端口”右侧的文本框中输入7627，2　输入完成后单击“确定”按钮。

STEP06：查看磁盘资源信息

返回“冰河”木马控制端程序主界面，在左侧单击目标主机“192.168.248.128”选项，此时可在下方看见该计算机的磁盘资源信息。

STEP07：复制目标计算机中的文件

双击任意一个磁盘，即可在右侧对该远程计算机的文件进行复制等操作，就像在自己的计算机上操作一样。

STEP08：查看目标计算机的系统信息

1　切换至“命令控制台”选项卡，2　依次单击“口令类命令＞系统信息及口令”选项，3　单击“系统信息”按钮，经过短时间的数据接收，即可查看到远程计算机的系统信息。

STEP09：设置捕获选项

1　在左边的目录树中依次单击“控制类命令＞捕获屏幕”选项，2　然后在右下角的区域设置捕获选项。

STEP10：查看目标计算机屏幕

单击右下角的“查看屏幕”按钮即可打开远程计算机当前屏幕进行查看。

STEP11：单击“查看屏幕”按钮

在“冰河”木马控制端程序主界面的工具栏中单击“查看屏幕”按钮。

STEP12：设定图像参数

弹出“图像参数设定”对话框，1　设置图像格式、图像色深和图像品质参数，2　单击“确定”按钮即可查看远程计算机屏幕信息。

STEP13：单击“屏幕控制”按钮

返回“冰河”木马控制端程序主界面，在工具栏中单击“屏幕控制”按钮。

STEP14：控制目标计算机的屏幕

弹出“系统按键”对话框，使用该对话框中的按钮可以直接控制计算机的各个按键。

STEP15：单击“发送信息”选项

关闭“系统按键”对话框返回“冰河”木马控制端程序主界面，在左侧依次单击“控制类命令＞发送信息”选项。

STEP16：设置警告信息

1　在右侧设置窗口标题、信息正文、图标类型和按钮类型选项，2　设置完毕后单击“预览”按钮。

STEP17：预览警告信息

在弹出的对话框中可以看见设置的窗口标题等元素。单击“确定”按钮，再次单击“发送”按钮即可将其发送到目标计算机中。

STEP18：查看目标计算机的进程

1　单击左侧的“进程管理”选项，2　然后单击“查看进程”按钮即可在右边窗格看到远程计算机的进程。

STEP19：管理目标计算机的窗口

单击左侧的“窗口管理”选项，在右下区域有管理窗口的各种按钮（刷新、最大化等），单击即可执行相应操作。

STEP20：远程控制目标计算机

单击左侧的“系统控制”选项，在右下区域中显示了各种系统控制按钮（远程关机、远程重启等），单击即可执行相应操作。

STEP21：创建共享

1　依次单击“网络类命令＞创建共享”选项，2　接着在右下区域输入路径和共享名，3　单击“创建共享”按钮即可创建共享文件。

STEP22：查看共享文件

在目标计算机中打开C盘对应的窗口，在该远程计算机上即可看到共享的文件。

STEP23：删除共享文件

1　单击左侧的“删除共享”选项，2　输入要删除的共享名，3　再单击“删除共享”按钮即可删除共享文件。

STEP24：快速查看文件

1　在左侧依次单击“文件类命令＞文本浏览”选项，2　在右下区域输入文件名，3　然后单击“快速查看”按钮。

STEP25：浏览文本

此时可在目标计算机中看见打开的文件窗口，并看见该文件包含的内容。

STEP26：更换目标计算机的墙纸

1　在左侧依次单击“设置类命令＞更换墙纸”选项，2　输入要更换的墙纸文件名，3　设置显示方式，然后单击“确定”按钮。

STEP27：查看更改墙纸后的效果

此时可在目标计算机中看见更换墙纸后的显示效果。

STEP28：更换目标计算机的名称

在左侧单击“更改计算机名”选项，输入要更改的名字，单击“确定”按钮。

STEP29：查看更改计算机名称后的效果

在目标计算机打开“系统属性”对话框，切换至“计算机名”选项卡，即可查看修改后的计算机名称。

009Q　如何利用捆绑器捆绑木马？

A　首先依次配置木马程序与正常的可执行文件，再进行捆绑，捆绑后的文件在外观上与正常可执行文件没有区别。

ExeBinder是一款木马捆绑器，利用该工具用户可以将木马与正常的软件安装程序捆绑在一起，一旦其他用户运行了该安装程序，与之捆绑在一起的木马程序也将被运行，使得该木马成功入侵目标计算机。

STEP01：双击ExeBinder快捷图标

下载ExeBinder后将其解压到本地计算机中，在解压后的文件夹中双击ExeBinder快捷图标。

STEP02：单击“下一步”按钮

弹出“EXE捆绑机”对话框，在“欢迎使用”界面中单击“下一步”按钮。

STEP03：指定第一个可执行文件

切换至“指定第一个可执行文件”界面，在界面中单击“点击这里指定第一个可执行文件”按钮。

STEP04：选择正常的exe文件

弹出“请指定第一个可执行文件”对话框，1　选择可执行文件（扩展名为exe的文件）的保存位置，2　然后双击对应的可执行文件图标。

STEP05：确认选择的可执行文件

返回“EXE捆绑机”对话框，确认选择的第一个可执行文件的路径，无误后单击“下一步”按钮。

STEP06：指定第二个可执行文件

切换至“指定第二个可执行文件”界面，在界面中单击“点击这里指定第二个可执行文件”按钮。

STEP07：选择木马服务端程序

弹出“请指定第二个可执行文件”对话框，1　选择可执行文件（木马服务端程序）的保存位置，2　然后双击对应的快捷图标。

STEP08：确认选择的木马服务端程序

返回“EXE捆绑机”对话框，确认选择的木马服务端程序路径，无误后单击“下一步”按钮。

STEP09：指定保存路径

切换至“指定保存路径”对话框，单击“点击这里指定保存路径”按钮。

STEP10：设定捆绑文件的保存位置

弹出“保存为”对话框，在左侧区域中选择捆绑文件的保存位置。

STEP11：确认选择的保存路径

返回“EXE捆绑机”对话框，确认选择的保存路径，无误后单击“下一步”按钮。

STEP12：选择版本类型

切换至“选择版本”界面，1　选择版本类型为“普通版”，2　然后单击“下一步”按钮。

STEP13：开始捆绑文件

切换至“捆绑文件”界面，单击“点击这里开始捆绑文件”按钮。

STEP14：捆绑成功

完成后可在弹出的“EXE捆绑机”对话框中看见“捆绑文件成功！”提示信息，单击“确定”按钮。

STEP15：查看捆绑木马后的文件

此时可在STEP10中指定的位置处看见捆绑木马后的文件，瞧！跟正常的文件没有区别吧？但是不要轻易运行它，它可带有秘密武器哦！

5.3　个人用户防范木马

了解完攻击者操作木马的常见方式后，就需要在自己的计算机中做好防范措施，不仅需要掌握防范木马入侵的常见措施，而且还要学会手动清除一些常见的木马，例如“冰河”木马，当然并非所有的木马都能手动清除，因此还需要借助反木马软件来彻底清除系统中的木马，同时保护系统并抵御木马的入侵。

010Q　防范木马入侵的常见措施有哪些？

A　防范木马入侵的常见措施有谨慎运行从网络上下载的软件、不要轻易打开邮件中来历不明的附件和链接、尽量少用共享文件夹、隐藏自己的IP地址以及运行反木马实时监控程序。

在Internet中，没有一款软件能够查杀网络中所有类型的木马，这是因为从木马的诞生到现在，历来都是先有木马，然后再有查杀该木马的策略。反木马软件始终是木马的跟随者。但是对付木马最好的方法就是防止其入侵计算机，防患于未然，拒木马于千里之外。用户可采用下面介绍的一些方法措施。

谨慎运行从网络上下载的软件

从网上下载的软件并不能完全保证其安全性，因此用户在安装或者第一次运行网络上下载的软件之前需要使用电脑上安装的杀毒软件扫描一遍，确定没有木马或者病毒后再进行其他的操作。

不要轻易打开邮件中来历不明的附件和链接

电子邮件是黑客常用的传播木马的方式，将带有木马的附件或者网址链接放在邮件中，然后将该邮件发送给网上的其他人，如果接收到该邮件的人打开了附件或者点击了网址链接，就会使木马入侵电脑，造成严重的后果。

尽量少用共享文件夹

如果需要设置文件共享，最好单独地开一个共享文件夹，把所有需要共享的文件都放在该文件夹中，绝不可将系统目录设置成共享。

隐藏自己的IP地址

用户在上网时最好使用一些工具软件隐藏自己的IP地址，这一点非常重要。

运行反木马实时监控程序

用户一定要确保反木马实时监控程序随着系统的启动而启动，这样就能保证绝大多数的木马无法成功入侵电脑，如Windows木马清道夫。除了反木马实时监控程序之外，还可以运行最新的专业杀毒软件和个人防火墙等。

011Q　能否手动清除“冰河”木马？

A　能！清除“冰河”木马有两种方法：第一种是利用“冰河”木马控制端清除，第二种是使用“‘冰河’陷阱”清除。

清除冰河木马的方法有两种：第一种是使用“冰河”木马控制端手动清除木马服务端程序，第二种是使用“‘冰河’陷阱”清除“冰河”木马服务端程序。

利用“冰河”木马控制端清除

当目标计算机对攻击者而言没有任何价值时，也许攻击者就要考虑撤离该计算机了，也就是利用“冰河”木马控制端手动清除“冰河”木马服务端程序。

STEP01：单击“自动卸载冰河”按钮

1　在“冰河”控制主界面中切换至“命令控制台”选项卡，2　单击“控制类命令＞系统控制”选项，3　单击“自动卸载冰河”按钮。

STEP02：彻底清除“冰河”木马

弹出“冰河”对话框，询问用户是否要将远程计算机上的冰河彻底清除，单击“是”按钮彻底清除。

STEP03：清除成功

返回“冰河”控制程序主界面，此时可在状态栏中看见“服务器端监控程序自动卸载完毕”的提示信息，即彻底清除远程计算机上的“冰河”木马。

使用“‘冰河’陷阱”清除

“冰河”陷阱是一款专门用来对付各类“冰河”木马的软件，也就是常说的木马专杀工具，下面介绍使用“‘冰河’陷阱”清除“冰河”木马的操作步骤。

STEP01：启动“冰河”陷阱应用程序

“冰河”陷阱是一款绿色软件，下载后将其解压到本地计算机，双击“冰河陷阱”快捷图标，启动该应用程序。

STEP02：自动清除“冰河”木马

当系统中含有“冰河”木马时，会弹出“警告”对话框，提示用户系统含有“冰河”木马，单击“是”按钮自动清除“冰河”木马服务端。

STEP03：查看服务端配置信息

弹出“服务端配置信息”对话框，可以看到该服务端的配置信息，单击“确定”按钮清除该木马。

STEP04：单击“设置监听端口”命令

如果系统中没有“冰河”木马，则可设置监听端口，防范“冰河”木马入侵，在菜单栏中依次单击“设置＞设置监听端口”命令。

STEP05：设置监听端口

弹出“设置监听端口”对话框，1　在“监听端口”文本框中输入监听端口，如输入“7626”，2　单击OK按钮。

STEP06：开始监听

返回主界面，在工具栏中单击“打开陷阱”按钮即可开启“冰河”陷阱，此时可在状态栏中看见“正在监听端口：7626”的提示信息。

012Q　如何使用木马清道夫查杀木马？

A　首先使用木马清道夫扫描进程以清除可疑进程，然后利用精确扫描硬盘彻底清除系统中潜在的可疑木马。

木马清道夫是一款专门查杀并可辅助查杀木马的专业级反木马信息安全产品，它具有扫描进程、扫描硬盘等多种方式，彻底清除计算机中潜在的木马。

STEP01：启动Windows木马清道夫

成功安装木马清道夫后在桌面上双击对应的快捷图标，启动该程序。

STEP02：更新木马库

弹出“木马清道夫-升级木马库”对话框，单击“更新”按钮，更新木马库。

STEP03：单击“扫描进程”按钮

升级完毕后进入Windows木马清道夫主界面，单击左上角的“扫描进程”按钮，开始扫描当前系统中的所有进程。

STEP04：开始扫描进程

弹出“扫描进程”对话框，此时木马库加载完毕，单击“扫描”按钮，开始扫描进程。

STEP05：查看扫描结果

扫描完毕后弹出对话框，在界面中显示了扫描的结果，单击“确定”按钮。

STEP06：单击“清除”按钮

返回“扫描进程”对话框，单击“清除”按钮，清除扫描出的木马病毒/广告间谍/恶意软件。

STEP07：单击“确定”按钮

清除完毕后弹出对话框，提示用户清除完毕，需要扫描硬盘便于彻底清除，单击“确定”按钮。

STEP08：精确扫描硬盘

返回木马清道夫主界面，1　单击“扫描硬盘”按钮，2　在右侧展开的列表中选择硬盘扫描方式，例如选择“精确扫描硬盘”。

STEP09：选择要扫描的磁盘分区

弹出“精确扫描硬盘”对话框，在左侧选择要扫描的磁盘分区，例如勾选“本地磁盘（C:）”复选框。

STEP10：单击“扫描”按钮

1　弹出“精确扫描硬盘”对话框，在左侧勾选“扫描压缩文件”复选框，2　单击“扫描”按钮开始扫描硬盘。

STEP11：正在扫描指定分区

在扫描的过程中可在右侧列表框中看见扫描出的可疑程序，并且在底部可以看见扫描的文件路径以及已扫描的文件数量，扫描过程花费的时间较多，请耐心等待。

STEP12：查看扫描结果

扫描完毕后可在列表框中看见扫描出的结果，选择要隔离或清除的项目。

STEP13：清除选中的项目

1　选中后单击“隔离/清除”按钮，2　在右侧展开的列表中单击“清除选中的项目”选项，即可将选中的程序删除。

第6章　病毒攻防

病毒会对计算机造成极大的威胁，它们既可让目标计算机自动重启，也可以恶意格式化磁盘分区，不同的代码决定了病毒的不同功能。用户需要做好防范措施，确保数据和系统的安全。

本章知识点：

认识病毒

制作简单的病毒

做好计算机的病毒防范工作

6.1　认识病毒

计算机病毒不是来源于突发或者偶然因素，一次突然的断电或手动重启计算机，不会导致病毒的产生，只会产生一些乱码和随机指令。病毒是一种经过人工精心设计的程序代码，并按照严格的秩序组织起来。下面就简单介绍一下病毒的分类、特征等知识。

001Q　常见的病毒有哪几类？

A　按照传染方式可划分为引导型、文件型和混合型计算机病毒；按照破坏性可划分为良性与恶性计算机病毒；按照链接方式可划分为源码型、嵌入型、外壳型和操作系统型计算机病毒。

计算机病毒的分类并非绝对，同一种病毒按照不同的分类标准可能属于不同的类型，常见的病毒划分标准有传染方式、破坏性和链接方式。

按照传染方式划分计算机病毒

按照传染方式可将计算机病毒划分为引导型、文件型和混合型计算机病毒。

引导型病毒主要寄生在磁盘引导区或主引导区，这种病毒利用系统引导时不对主引导区的内容正确与否进行判别的缺点，在引导系统的过程中入侵系统，驻留内存，监视系统运行，待机传染和破坏。常见的引导型病毒有大麻病毒、2708病毒、火炬病毒等。

文件型病毒是指能够寄生在文件中的计算机病毒。这类病毒程序能感染可执行文件或数据文件，如1575病毒、1591病毒。

混合型病毒是指具有引导型病毒和文件型病毒寄生方式的计算机病毒。这种病毒扩大了病毒程序的传染途径。它既感染磁盘的引导记录，又感染可执行文件。当染有此种病毒的磁盘用于引导系统或调用执行染毒文件时，病毒都会被激活。

按照破坏性划分计算机病毒

按照破坏性可将计算机病毒划分为良性与恶性计算机病毒。

良性计算机病毒不包含立即对计算机系统产生直接破坏作用的代码。这类病毒为了表现其存在，只是不停地进行扩散，从一台计算机传染到另一台计算机，但是并不破坏计算机内的数据。有些人对这类计算机病毒的传染不以为然，认为这只是恶作剧，没什么大不了的。其实良性、恶性都是相对而言的。良性病毒取得系统控制权后，会导致整个系统运行效率降低，系统可用内存总数减少，使某些应用程序不能运行。

恶性计算机病毒的代码中包含损伤和破坏计算机系统的操作指令，在该类病毒传染或发作时会对系统产生直接的破坏作用。Internet中含有大量的恶性计算机病毒，如米开朗基罗病毒。当该病毒发作时，硬盘的前17个扇区将被彻底破坏，使整个硬盘上的数据无法恢复，造成的损失是无法挽回的。有的病毒还会对硬盘做格式化等破坏。

按照链接方式划分计算机病毒

按照链接方式可将计算机病毒划分为源码型、嵌入型、外壳型和操作系统型计算机病毒。

源码型病毒攻击高级语言编写的程序，该病毒的代码在高级语言所编写的程序编译前被插入到源程序中，经编译成为合法程序的一部分。

嵌入型病毒是将自身嵌入到现有程序中，把计算机病毒的主体程序与其攻击的对象以插入的方式链接。一旦入侵程序体后，将难以消除。如果同时采用多态性病毒技术、超级病毒技术和隐蔽性病毒技术，将给当前的反病毒技术带来严峻的挑战。

外壳型病毒将其自身包围在主程序的四周，对原来的程序不做修改。这种病毒最为常见，易于编写，也易于发现，一般通过测试文件的大小即可发现。

操作系统型病毒具有很强的破坏力，可以导致整个系统瘫痪。圆点病毒和大麻病毒就是典型的操作系统型病毒。这种病毒在运行时，用自己的逻辑部分取代操作系统的合法程序模块，根据病毒自身的特点和被替代的操作系统中合法程序模块在操作系统中运行的地位与作用，以及病毒取代操作系统的取代方式等，对操作系统进行破坏。

002Q　病毒有哪些特征？

A　病毒的特征主要包括刻意编写、人为破坏，破坏性，传染性，夺取系统控制权，隐蔽性，潜伏性和不可预见性。

无论计算机病毒的种类有多少，它们都具有共同的特征，即刻意编写、人为破坏，破坏性，传染性，夺取系统控制权等，下面进行详细的介绍。

刻意编写、人为破坏

计算机病毒绝非偶然发生，它是人为编写的严谨、精巧的程序段，同时它也是严格按照指定顺序组织的程序代码，与所在环境相互适应并紧密配合。

破坏性

计算机遭受病毒入侵后，可能会导致正常的程序无法运行，病毒将会按照内置的指令对计算机内的文件或磁盘进行删除或格式化，甚至造成系统瘫痪。

传染性

计算机病毒不但本身具有破坏性，更可怕的是它具有传染性。传染性是计算机病毒的基本特征，一旦病毒被复制或产生变种，其传播速度快得令人难以预防。

夺取系统控制权

病毒夺取系统的控制权是为了达到感染、破坏系统的目的。反病毒技术也正是抓住计算机病毒的这一特点提前取得系统控制权限，阻止病毒夺取系统控制权限，然后识别出计算机病毒的代码和行为。

隐蔽性

病毒成功入侵系统后，一般计算机仍然能够正常运行，被感染的程序也能执行，用户不会感到明显的异常。这是因为病毒在入侵系统后会自动隐蔽在系统中，直到满足触发条件方可根据指令破坏系统或文件。

潜伏性

计算机病毒潜伏性的第一种表现是指用户不用专业的检测程序是无法检测出系统中有病毒存在的，因此病毒可以在系统中悄悄地待上几天、几个月或者几年，一旦时机成熟，就会继续繁殖、传播。潜伏性的第二种表现是指计算机病毒的内部有一种触发机制，不满足触发条件时，计算机病毒除了传染外将不会做任何的破坏。触发条件一旦满足，则便会对系统造成极大的破坏。

不可预见性

不同种类病毒的代码千差万别，病毒的制作技术也在不断提高，病毒永远走在反病毒软件的前面。新的操作系统和应用软件的出现，将会为计算机病毒提供新的发展空间，使得对未来病毒的预测更加困难，这就要求人们不断提高对病毒的认识，增强防范病毒的意识。

003Q　常见的病毒传播途径有哪些？

A　常见的病毒传播途径有：通过移动存储设备、局域网和Internet传播。

计算机病毒的传播途径并非单一的，常见的计算机病毒传播途径主要有三种，即通过移动存储设备、局域网和Internet传播。

通过移动存储设备传播

通过移动存储设备传播病毒主要是指通过连接到计算机上的U盘、手机和移动硬盘等存储设备来传播病毒。U盘因为携带方便，逐步成为使用最广泛、最频繁的存储介质，同时也为计算机病毒的寄生提供了更宽裕的空间。目前U盘病毒逐步增加，使得U盘成为病毒传播途径之一。

通过局域网传播

局域网由相互连接的一组计算机组成的，这是数据共享和相互协作的需要。

组成局域网的每一台计算机都能连接到局域网中的其他计算机，数据也能从一台计算机发送到其他计算机上。如果发送的数据感染了计算机病毒，那么接收方的计算机将会感染该病毒。因此，病毒可能会在短时间内感染整个网络中的计算机。局域网技术的应用为企业的发展做出了巨大贡献，但同时也为病毒的迅速传播铺平了道路。

通过Internet传播

随着Internet的普及，当用户在发送电子邮件、浏览网页、下载软件时都可能感染病毒，这也使得Internet传播病毒成为当今计算机病毒最主要的传播方式之一。

004Q　计算机中毒后有哪些症状？

A　计算机中毒后的常见症状有：开机和运行速度突然变慢、IE浏览器窗口连续打开、计算机自动关机、杀毒软件被屏蔽等。

计算机是否感染病毒是比较难判断的，有些病毒会潜伏在计算机内，过一段时间才会发作，而有些病毒则会立即发作。下面列举当计算机感染病毒后会出现的各种症状，一旦计算机出现这些症状，一定要及时采取应对措施。

开机和运行速度突然变慢

有些病毒一旦运行，将会导致计算机运行速度变慢，打开“任务管理器”窗口后可以看见进程的数量比正常情况下要多，并且CPU的使用率一直保持接近于100%，如下图所示，另外，主机箱上的硬盘指示灯在没有操作的情况下会长时间地闪动。

IE浏览器窗口连续打开

当某些病毒被激活之后，IE会弹出无限多的窗口。当计算机中了这类病毒以后，一旦运行Internet Explorer程序，将会弹出无限多的IE浏览器窗口，如下图所示。

计算机自动关机

某些病毒会导致计算机使用一段时间后总是出现自动关机的提示对话框。当这种病毒被激活以后，系统中就会经常出现提示用户计算机即将关闭的对话框，并在对话框中显示倒计时。

杀毒软件被屏蔽

杀毒软件往往都是具有针对性的，也就是说，杀毒软件只能查杀自己病毒库中已存在的病毒，而不在该病毒库中的病毒则不会被查杀，因此很多病毒会通过层层伪装来躲避杀毒软件的检测和查杀，一旦它成功运行，杀毒软件将被屏蔽，当系统出现这种情况时，就只能重装操作系统或者全盘格式化。

文件的图标变成统一图案

某些病毒会导致文件打开以后所有的图标都变成了一样的图案，而且无法使用或打开。曾经在国内流行的“熊猫烧香”病毒就是一个典型的例子，当打开某文件以后，所有的图标都变成了“熊猫烧香”的图案，如下图所示。

系统时间被更改

有些病毒会自动修改系统的显示时间，用户每次开机后系统显示的时间都会被更改到特定的日期，即使将其修改为正常的日期，在重启计算机后又会自动更改，如下图所示。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

6.2　了解简单病毒的制作过程

Internet中的病毒数不胜数，攻击者既可以利用高深的编程语言，也可以利用简单的命令和文本文档来制作简单的病毒。本节将介绍两种简单病毒的制作方法，即制作自动重启计算机的病毒和U盘病毒。

005Q　黑客如何制作让计算机自动重启的病毒？

A　利用文本文档制作含有shutdown/r的bat文件，然后创建快捷方式并更改图标，最后将快捷图标设为共享即可。

制作让计算机自动关机的病毒其实是使用shutdown/r命令实现的，首先将该命令输入文本文档中，再通过修改文本文档的扩展名将其变为可执行文件，最后可以创建该可执行文件的快捷图标并更改图标，将该快捷图标共享到局域网中，即可让双击该快捷图标的用户自动关闭计算机。

STEP01：新建文本文档

1　右击桌面上的空白处，2　在弹出的快捷菜单中依次单击“新建＞文本文档”命令。

STEP02：输入重启命令

打开新建的文本文档，在编辑区中输入"shutdown/r"命令，即自动重启本地计算机。

STEP03：保存输入的命令

在文本文档窗口的菜单栏中依次单击“文件＞保存”命令，保存输入的命令。

STEP04：单击“重命名”命令

1　右击新建的文本文档图标，2　在弹出的快捷菜单中单击“重命名”命令。

STEP05：重命名文本文档

此时文本文档的文件名呈可编辑状态，重新输入文本文档的名称，例如输入“单机小游戏.bat”。

STEP06：单击“是”按钮

按【Enter】键后弹出“重命名”对话框，提示用户如果改变文件扩展名，可能会导致文件不可用，单击“是”按钮确定更改。

STEP07：创建快捷方式

1　再次右击重命名后的文本文档图标，2　在弹出的快捷菜单中单击“创建快捷方式”命令。

STEP08：单击“属性”命令

此时可在桌面上看见创建的快捷方式，为了隐藏创建的文件，1　需要右击该文件图标，2　在弹出的快捷菜单中单击“属性”命令。

STEP09：勾选“隐藏”复选框

弹出“单机小游戏.bat属性”对话框，1　在“属性”右侧勾选“隐藏”复选框，2　然后单击“确定”按钮。

STEP10：单击“属性”命令

返回桌面，由于快捷方式图标比较特殊，因此需要更改为常用图标，1　右击快捷方式图标，2　在弹出的快捷菜单中单击“属性”命令。

STEP11：单击“更改图标”按钮

弹出“单机小游戏.bat属性”对话框，在“备注”下方单击“更改图标”按钮。

STEP12：单击“确定”按钮

弹出“更改图标”对话框，提示用户从列表中选择一个图标或指定另一个文件，单击“确定”按钮。

STEP13：选择图标

弹出“更改图标”对话框，在“从以下列表中选择一个图标”列表框中选择合适的图标。

STEP14：查看更换图标后的快捷方式

单击“确定”按钮返回桌面，将该快捷图标在局域网中共享，这样一来局域网中的其他用户一旦双击该图标便会在一分钟内自动重启计算机。

006Q　黑客是怎样制作U盘病毒的？

A　将木马程序复制到U盘中，在创建的autorun.inf文件中输入自动运行木马的命令，最后将这两个文件设为隐藏。

U盘病毒顾名思义就是通过U盘传播的病毒。自从发现U盘的autorun.inf漏洞之后，U盘病毒的数量与日俱增，因此不少攻击者通过手动创建含有自动运行木马命令的autorun.inf文件来制作U盘病毒，下面介绍制作的基本方法。

STEP01：查看快捷菜单

将U盘接入计算机，打开“计算机”窗口，右击“可移动硬盘”图标，在弹出的快捷菜单中可看见第一个命令为“打开”命令。

STEP02：复制木马程序

利用“冰河”木马控制端配置“冰河”木马服务端，打开U盘窗口，将“冰河”木马服务端复制到U盘中。

STEP03：新建并重命名文本文档

在U盘窗口中新建文本文档，按【F2】键，该文本文档的文件名呈可编辑状态，将其重命名为"autorun.inf"。

STEP04：单击“是”按钮

按【Enter】键后弹出“重命名”对话框，提示用户如果改变文件扩展名，可能会导致文件不可用，单击“是”按钮确定更改。

STEP05：输入代码

打开重命名后的autorun.inf文件，在编辑区中输入如上图所示的代码，使得用户在双击U盘后自动运行“冰河”木马服务端程序。

STEP06：单击“属性”命令

选中木马程序和autorun.inf文件，1　右击任意选中的文件，2　在弹出的快捷菜单中单击“属性”命令。

STEP07：勾选“隐藏”复选框

弹出属性对话框，在“属性”选项组中勾选“隐藏”复选框。

STEP08：单击“文件夹选项”命令

返回U盘窗口中，在菜单栏中依次单击“工具＞文件夹选项”命令。

STEP09：不显示隐藏的文件和文件夹

弹出“文件夹选项”对话框，1　切换至“查看”选项卡，2　在“高级设置”列表框中单击选中“不显示隐藏的文件、文件夹或驱动器”单选按钮。

STEP10：查看制作成功的U盘病毒

单击“确定”按钮即可保存创建的U盘病毒。当用户把该U盘插入装有Windows XP系统的计算机后，右击U盘图标，即可在弹出的快捷菜单中看见Auto命令，一旦用户双击该图标，便会自动运行“冰河”木马程序。

6.3　做好计算机病毒的防范工作

计算机病毒不会在Internet中消失，用户需要做好计算机的病毒防范工作，不仅需要掌握防范病毒的常用技巧，而且还要学会使用杀毒软件彻底查杀病毒。

007Q　防范病毒的常用技巧有哪些？

A　防范病毒的常用技巧有打开U盘前先杀毒、切勿轻易打开网页上的广告、注意利用QQ传送的文件、切勿打开陌生人发来的电子邮件。

如何有效防范病毒入侵计算机是当今所有计算机用户十分关心的一个问题。用户应养成良好的使用习惯，不给病毒可趁之机。防范病毒的常用技巧有以下四种。

打开U盘前先杀毒

U盘的便携性使得它成为越来越多人转移计算机资料的工具，但是它也同样是一个传播病毒的强力工具。大部分用户在使用U盘时有一个不好的习惯，即在将U盘接入计算机后直接双击对应的图标将其打开，这个操作本身并没有错，只不过一旦U盘感染病毒，该操作就会导致病毒自动运行，从而让病毒成功入侵计算机。

用户在使用U盘之前最好使用杀毒软件进行扫描，确保U盘中没有病毒，除此之外，还可以更改打开U盘的操作，即右击U盘图标，在弹出的快捷菜单中单击“打开”命令，如下图所示；或者在资源管理器左侧的文件夹列表中执行打开操作也不会触发病毒。

切勿轻易打开网页上的广告

在Internet中存在很多流氓下载站，这些网站本身不提供任何工具软件的下载，只是通过优化搜索引擎得到比较靠前的排名，当用户选择下载某款软件时，其实下载的是木马程序或病毒。另外还有一些正常的软件下载网站会把广告位卖给其他人，而这些人就会在广告位上植入木马，一旦单击这些广告位上的图标，木马或病毒就会入侵到本地计算机中。因此用户若要下载软件最好在其官方网站上下载。

注意利用QQ传送的文件

QQ是国内使用最广泛的即时通信工具，因此许多攻击者会利用这些工具来传播木马病毒。主要表现在两个方面，第一是将木马与正常文件捆绑在一起，然后将捆绑后的文件发送给其他计算机用户；第二是向其他计算机用户发送含有木马病毒的网页链接，一旦单击该链接，就会使得该网页中的病毒或木马入侵本地计算机。

·不要在QQ上轻易接收对方发来的文件

在QQ上一个陌生人突然传来一个文件，名字看上去很诱人，如果一旦接收该文件则很可能导致计算机感染上木马或病毒，即使要接收也需要向对方问清楚发送文件的目的。

·不要轻易单击对方发来的网址链接

某位QQ好友发来一个网站的链接，提示用户回答问题即可获得Q币或大奖，看上去是一件很划算的事情，但是一旦单击这个网址链接，本地计算机就很有可能感染病毒木马。

切勿打开陌生人发来的电子邮件

E-mail是Internet中使用频率较高的通信工具，利用E-mail，用户可以用非常低廉的价格，以非常快速的方式与世界上任何一个角落的网络用户联系。

正因为其广泛、实用性，使得许多不法分子利用电子邮件的发送附件功能来做坏事，例如将含有木马或病毒的文件添加为附件并发送给其他计算机用户，一旦用户下载并运行该附件，就会导致计算机感染病毒，另外，一些广告邮件中同样带有病毒，请不要轻易打开。

008Q　怎样使用杀毒软件彻底查杀病毒？

A　首先将杀毒软件升级到最新版本，确保其病毒库为最新版本，然后依次选择快速查杀和全盘查杀，彻底清除病毒。

杀毒软件，也称反病毒软件或防毒软件，是用于清除病毒、木马和恶意软件的一类软件。它通常集成监控识别、病毒扫描和清除，以及自动升级等功能。瑞星杀毒软件是一款知名度非常高的软件，利用它查杀病毒之前需要升级软件程序，确保病毒库为最新版本后，再依次进行快速查杀和全盘查杀，让计算机中的病毒没有立足之地。

STEP01：单击瑞星杀毒软件伞状小图标

安装瑞星杀毒软件后会自动在通知区域中显示伞状小图标，单击该图标。

STEP02：单击“从未更新”链接

可在主界面右下角看见杀毒软件的程序版本，单击右侧的“从未更新”链接。

STEP03：正在升级杀毒软件

弹出“智能升级正在进行”对话框，此时可看见升级程序下载的当前进度和总体进度，请耐心等待。

STEP04：安装升级程序

当总体进度条被占满后将弹出安装对话框，在“安装过程中”界面中可看见升级程序的安装进度，请耐心等待。

STEP05：单击“完成”按钮

安装完毕后在“结束”界面中单击“完成”按钮。

STEP06：查看升级后的程序版本

返回瑞星杀毒软件主界面，此时可看见升级后的程序版本，当前为最新版本。

STEP07：选择快速查杀

快速查杀会扫描计算机中容易存在病毒的位置，例如内存等关键区域，其查杀速度快、效率高。单击主界面中的“快速查杀”按钮。

STEP08：正在快速查杀

此时可看见快速查杀的扫描对象、所耗时间以及扫描速度等信息，该扫描方式可以查杀掉大多数的病毒，并且防止病毒发作。

STEP09：单击“返回”按钮

扫描完毕后若没有发现病毒，则可以看见“扫描完成：本次扫描未发现病毒”的提示信息，单击“返回”按钮。

STEP10：选择全盘查杀

全盘查杀会扫描您电脑的系统关键区域以及所有磁盘，全面清除特种未知木马、后门、蠕虫等病毒，单击“全盘查杀”按钮。

STEP11：正在全盘查杀

此时可看见全盘查杀的扫描对象、所耗时间等信息，该扫描方式速度较慢，请耐心等待。

STEP12：查看查杀的病毒

若在扫描过程中发现病毒，杀毒软件会自动将其删除，并在界面中显示提示信息。

第7章　密码攻防

在Internet中，密码成为保护重要信息的工具，不知道正确的密码，就无法查看对应的信息和资料。当密码锁住的是银行账户信息、发展计划信息时，攻击者会不惜一切代价来破译密码，因此用户需要采取相应的措施来防范密码被破译。

本章知识点：

加密与解密基础

破解常见的文件密码

防范密码被轻易破解

7.1　加密与解密基础

密码是用于查看重要信息或资料的一把钥匙。虽然使用过计算机的大部分用户都知道密码的用处，但是却不知道怎样进行加密，即使知道黑客会破解密码，可能也不知道黑客怎样破解密码，本节将为用户介绍常见的加密类型以及破解密码的常用方式。

001Q　常见的加密类型有哪些？

A　常见的加密类型主要有两种：对称加密和非对称加密。

加密是指以某种特殊的算法改变原有的信息数据，使得其他用户即使获得了已加密的信息数据，但因不知解密的方法，仍然无法了解信息的内容。加密技术是最常用的安全保密手段，利用技术手段把重要的信息数据转换为乱码（加密），待加密数据传送到指定计算机中后再利用算法和密钥解密。常见的加密类型有对称加密和非对称加密。

对称加密

对称加密又称单密钥加密，是指采用同一个密钥用作信息的加密和解密。所谓对称，就是采用这种加密方法的双方使用同样的密钥进行加密和解密。密钥是控制加密及解密过程的指令。算法则是一组规则，它包含了如何进行加密和解密。

非对称加密

非对称加密与对称加密不同，该加密算法需要公开密钥（Public Key）和私有密钥（Private Key）。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫做非对称加密算法。

002Q　破解密码的常用方式有哪些？

A　破解密码的常用方式有暴力穷举、击键记录、屏幕记录、Internet钓鱼、嗅探以及密码心理学六种方式。

个人密码安全是计算机或资料安全的重要环节，如果个人密码遭到攻击者破解，将会引起非常严重的后果，黑客破解密码的常用方法主要有以下几种。

暴力穷举

暴力穷举是密码破解技术中最基本的招数。当攻击者事先了解了用户的账号，例如QQ账号、网上银行账号等，一旦用户设置的密码比较简单（例如利用简单的数字或字母组合），攻击者利用暴力破解工具在短时间内就可以将密码破解出来，因此用户在设置密码时尽量将密码设置得复杂一些。

击键记录

当用户设置的密码较为复杂时，使用暴力穷举就十分浪费时间了，这时攻击者就会通过给目标计算机安装具有击键记录的木马或病毒程序，用于记录和监听用户的击键操作，然后通过各种方式记录用户的击键内容并发送给攻击者，攻击者最后只需分析用户击键信息即可破解出密码。

屏幕记录

为了防止击键记录工具，随后产生了使用鼠标和屏幕键盘录入密码的方式，面对这种情况，攻击者仍然可以利用植入目标计算机的木马程序将目标计算机的屏幕截取下来然后记录鼠标点击的位置，通过记录鼠标位置对比截屏的图片，从而破解用户密码。

Internet钓鱼

“Internet钓鱼”攻击是指攻击者利用欺骗性的电子邮件和伪造的网站来诱骗用户输入账户密码信息，从而获取这些信息。受骗者往往会泄露自己的敏感信息（如用户名、口令、账号、PIN码或信用卡详细信息），网络钓鱼主要通过发送电子邮件引诱用户登录假冒的网上银行、网上证券网站，骗取用户账号密码实施盗窃。

嗅探

在局域网中，攻击者若想迅速获取大量的账号，最为有效的手段就是利用嗅探器嗅探局域网中的数据包。利用嗅探器可以监视网络的状态、数据流动情况以及网络上传输的信息。当信息以明文的形式在网络上传输时，便可以使用网络监听的方式窃取网上传送的数据包。

密码心理学

很多著名的黑客破解密码并非采用了十分尖端的技术，而只是用到了密码心理学，从用户的心理入手，从细微入手分析用户的信息和心理（将自己的密码设置为出生年月日、手机号码等），从而更快地破解出密码。

7.2　破解常见的文件密码

黑客在破解常用文件的密码时，往往会利用Internet中指定的破解工具进行破解，破解密码时，主要是采用暴力破解为主，无论是Office文档密码或压缩文档密码，只要设置的密码较为简单，利用暴力破解便能轻易得到密码，除此之外，一些黑客还可以利用星号密文查看器查看星号密文背后的密码。

003Q　能否破解Office文档密码？

A　能！可以利用Advanced Office Password Recovery进行暴力破解。首先利用易优超级字典生成器制作字典文件，然后利用Advanced Office Password Recovery破解密码。

在Internet中，破解Office文档密码最常用的工具是Advanced Office Password Recovery（以下简称为AOPR），该软件是一款多功能Office文档密码破解工具，它能够处理Microsoft公司的Word、Excel等各种常见文档，该软件提供了“暴力”和“字典”两种破解方式，如果时间足够加上策略得当，完全可以破解指定文档的密码。

STEP01：启动AOPR应用程序

下载并安装AOPR应用软件后会在桌面上出现对应的快捷图标，双击该图标，启动AOPR应用程序。

STEP02：暴力破解设置

切换至“暴力”选项卡，若要使用字典破解密码，则可以在界面中设置密码长度的最大值、最小值和字符集。

掩码式暴力破解

当用户知道密码中的若干字符，可以利用掩码式暴力破解，使用掩码式暴力破解比使用纯粹的暴力破解更节约时间。使用这种破解方法时，要切换至“暴力”选项卡，在“掩码/掩码字符：”下方的文本框中输入密码包含的字符。另外，为了尽量减少尝试的组合数，仍然需要设置密码的长度和密码中其他字符所在的字符集。

STEP03：破解字典设置

切换至“字典”选项卡，此时可看见程序默认的字典文件，用户可以手动制作字典文件，然后将其导入AOPR程序中。

STEP04：打开易优超级字段生成器

字典文件可以由专业字典工具生成，这里以易优超级字典生成器为例介绍字典文件的制作方式，下载易优超级字典生成器后将其解压到本地计算机中，双击解压后的文件夹。

STEP05：启动易优超级字典生成器程序

在打开的文件夹中双击superdic.exe快捷图标，启动易优超级字典生成器。

STEP06：设置基本字符

1　切换至“基本字符”选项卡，2　在小写字母右侧单击“全选”按钮，选中所有小写字母。

STEP07：单击“浏览”按钮

1　切换至“生成字典”选项卡，2　可看见默认的储存路径，若要更改字典文件的保存路径，则单击“浏览”按钮。

STEP08：设置字典文件的储存路径

弹出“另存为”对话框，1　在“保存在”下拉列表中设置保存路径，2　输入文件名称，3　然后单击“保存”按钮。

STEP09：设置密码位数

返回易优超级字典生成器主界面，1　设置密码的位数，例如设置密码位数为3、4、5，2　然后单击“生成字典”按钮。

STEP10：生成字典文件

弹出“易优软件之超级字典生成器”对话框，提示用户生成密码的总数以及字典大小，单击“确定”按钮，生成字典文件。

STEP11：完成字典的制作

弹出对话框，提示用户字典制作完成，单击“确定”按钮。

STEP12：查看生成的字典文件

返回桌面，此时可看见利用易优超级字典生成器制作的字典文件。

STEP13：单击“选择字典文件”按钮

切换至AOPR程序主界面，可以将制作的字典文件导入该程序中，单击“字典文件”右下方的“选择字典文件”按钮。

STEP14：选择制作的字典文件

弹出“打开字典”对话框，1　在窗口左侧选择字典所在的位置，2　然后在右侧选中制作的字典文件“密码字典”，3　单击“打开”按钮。

STEP15：单击“打开文件”按钮

返回AOPR主界面，单击工具栏中的“打开文件”按钮。

STEP16：选择要破解的Office文档

弹出“打开文件”对话框，1　在窗口左侧选择Office文档所在的位置，2　然后选中Office文档，3　单击“打开”按钮。

STEP17：开始破解

弹出“预备破解”对话框，可看见破解的4步操作，同时可以在AOPR主界面中看见破解的进度。

STEP18：查看破解的密码

弹出“Word密码已被恢复”对话框，此时可看见破解出的密码，单击OK按钮关闭对话框。

004Q　能否破解压缩文档的打开密码？

A　能！可以借助于RAR Password Unlocker进行破解，首先可制作字典文件，然后利用该软件进行暴力破解。

破解WinRAR压缩密码最常用的工具RAR Password Unlocker，它是一个简单、易用、功能强大的WinRAR压缩文件密码的恢复工具。它支持所有版本的WinRAR/RAR压缩文件，不管密码有多长、多复杂，都可以利用该工具破解。它具有暴力破解、带掩码的暴力破解和字典破解三种方式，并且可以根据实际使用的需要对字典进行定制，以达到快速破解的目的。

STEP01：启动RAR Password Unlocker程序

下载RAR Password Unlocker后将其解压到本地计算机，在解压后的文件夹中双击RAR Password Unlocker快捷图标。

STEP02：选择破解类型

打开RAR Password Unlocker主界面，在“恢复模式”选项卡下选择破解类型，例如单击选中“字典破解（推荐）”单选按钮。

STEP03：单击“选择默认字典”按钮

切换至“字典破解”选项卡，单击“默认字典”下方的“选择默认字典”按钮，更换默认的字典文件。

STEP04：选择默认字典

弹出“打开文件”对话框，1　在窗口左侧选择密码字典所在的位置，2　然后选中字典文件，3　单击“打开”按钮。

STEP05：单击“打开”按钮

返回RAR Password Unlocker主界面，单击工具栏中的“打开”按钮。

STEP06：选择加密的WinRAR文件

弹出“打开文件”对话框，1　在窗口左侧选择压缩文件所在的位置，2　然后选中压缩文件，3　单击“打开”按钮。

STEP07：开始破解密码

返回RAR Password Unlocker主界面，此时可在“文件名”选项组中看见选择的压缩文件路径，单击“开始”按钮，开始破解密码。

STEP08：查看破解的密码

破解时间与密码复杂程度有关，破解完毕后弹出“密码已恢复”对话框，此时可看见破解的打开密码。单击“确定”按钮关闭对话框。

破解PDF电子文档的密码

PDF电子文档可以利用Adobe Acrobat进行加密，而破解PDF电子文档密码则可以利用Advanced PDF Password Recovery软件来实现，当计算机中安装Adobe Acrobat版本为8.0以上时，则无法利用Advanced PDF Password Recovery进行破解，这是因为Adobe Acrobat 8.0以上的版本均采用分层次的加密方式。

005Q　能否查看星号密文？

A　在Windows 7中，可以利用“星号密码查看器”工具查看星号密文背后的密码。

星号密文是指用星号显示输入或者设置的密码，使用这种密码可以防止他人偷窥输入的密码信息，看上去星号密文能够有效地保护密码不被他人知晓，但是一旦黑客利用指定的工具，便能查看星号密文背后隐藏的密码信息，这里以星号密码查看器为例介绍如何查看Windows 7系统中设置的用户账户密码信息。

STEP01：单击“用户账户”链接

打开“控制面板”窗口，设置查看方式为“大图标”，然后单击“用户账户”链接。

STEP02：为当前账户创建密码

切换至“更改用户账户”界面，单击“为您的账户创建密码”链接。

STEP03：设置账户密码

切换至“为您的账户创建密码”界面，在文本框中输入设置的账户密码。

STEP04：启动星号密码查看器程序

下载并安装星号密码查看器后会在桌面上显示对应的快捷图标，双击该图标，启动星号密码查看器程序。

STEP05：单击头像图片

打开星号密码查看器主界面，单击界面右上方的头像图片，按住鼠标左键不放，此时指针呈放大镜形状。

STEP06：查看设置的账户密码

将指针移至“为您的账户创建密码”界面中含有星号密码的文本框处，单击任意位置。

STEP07：查看星号密码的含义

此时可在星号密码查看器主界面中的“获得窗口的文本或*号密码”文本框中看见星号密码的含义。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

7.3　防范密码被轻易破解

当密码过于简单时，攻击者轻而易举就能将其破译，因此为了防范密码被轻易破解，用户需要设置安全系数较高的密码。为了确保系统的数据安全，用户可以利用Windows Bitlocker驱动器加密工具为指定的磁盘分区进行加密，防范他人非法窃取。

006Q　什么是安全系数较高的密码？

A　安全系数较高的密码不仅是大/小写字母、符号和数字的组合，而且还要确保位数至少为8位，并且没有任何意义。

安全系数较高的密码即是复杂的密码。一个简单的密码很容易被攻击者破译，从而造成个人隐私信息或财产的损失。因此用户除了要保管好自己所设的密码之外，还需要设置一个安全系数较高的密码，一个安全系数较高的密码包含以下8点。

·使用大/小写字母、符号和数字的组合；

·密码的位数至少为8位。另外，密码包含的字符越多，就越难被猜中；

·设置密码时，一定要确保密码无任何意义；

·对每一个账户使用不同的密码，切勿为所有的账户使用相同的密码；

·养成定期更改密码的习惯。建议在每个月的第一天或者在每个支付日更改密码；

·切勿将密码写在记事本上，也切勿把密码透露给任何人；

·切勿使用自己的姓名或与自己关联的数字作为密码，如出生日期或者昵称；

避免使用容易被获取的个人信息。包括车牌号码、电话号码、社会安全号码、您汽车的品牌或型号，以及您的街道地址等。

007Q　怎样使用Bitlocker强化Windows安全？

A　可以利用Bitlocker为指定的磁盘分区进行加密，以强化Windows的安全。

在Windows 7系统中，可以利用Bitlocker驱动器加密工具来强化系统的安全，通过加密Windows操作系统卷上存储的所有数据更好地保护计算机中的数据。

STEP01：单击“Bitlocker驱动器加密”链接

打开“控制面板”窗口，单击“Bitlocker驱动器加密”链接。

STEP02：启用Bitlocker

打开“Bitlocker驱动器加密”窗口，选择要加密的磁盘分区，单击其右侧的“启用Bitlocker”链接。

STEP03：使用密码解锁驱动器

弹出“Bitlocker驱动器加密（E:）”对话框，勾选“使用密码解锁驱动器”复选框，在下方依次输入驱动器加密密码。

STEP04：将恢复密钥保存到文件

单击“下一步”按钮切换至“您希望如何存储恢复密钥”界面，单击“将恢复密钥保存到文件”选项。

STEP05：设置保存位置和文件名

弹出“将Bitlocker恢复密钥另存为”对话框，1　设置保存恢复密钥文件的位置为U盘，2　在“文件名”文本框中输入恢复密钥文件的文件名，3　然后单击“保存”按钮。

STEP06：单击“下一步”按钮

返回“Bitlocker驱动器加密（E:）”对话框，可看见“已保存恢复密钥”的提示信息，单击“下一步”按钮。

STEP07：启动加密

切换至“是否准备加密该驱动器”界面，单击“启动加密”按钮开始加密指定的磁盘分区。

STEP08：完成加密

耐心等待系统为指定的磁盘分区加密，加密完成后在对话框中直接单击“关闭”按钮。

STEP09：查看加密后的磁盘分区

打开“计算机”窗口，此时可看见本地磁盘（E:）的盘符多出了一个锁的图标，表示成功为其加密。

第8章　远程控制攻防

通过对目标计算机进行远程控制，黑客可以获取目标计算机上的所有信息，包括账户密码和个人隐私信息等，远程入侵和远程监控都是利用系统本身存在的一些漏洞，借助第三方软件来实现的，用户需对此采取相应的防范措施。

本章知识点：

远程控制概述

远程入侵和远程监控

有效防范远程入侵和远程监控

8.1　远程控制概述

远程控制是指在网络中由一台计算机（主控端）远距离地去控制另一台计算机（被控端）的技术，这里的远程不是字面意思的远距离，一般指的是通过网络控制远端计算机。当攻击者使用主控端计算机控制被控端计算机时，就如同坐在被控端计算机面前一样，可以启动被控端计算机的应用程序，查阅被控端的文件资料等。

001Q　远程控制的原理是什么？

A　远程控制原理是客户端程序向远程主机发送身份验证信息和连接请求，通过验证后建立远程连接，从而实现远程控制。

远程控制的原理是：用户连网后，通过远程访问的客户端程序发送客户身份验证信息和要与远程主机连接的要求，远程主机的服务器端程序验证客户身份，如果验证通过，那么就与客户建立连接，并向用户发送验证通过和已建立连接的信息。那么此时，用户便可以通过客户端程序监控或向远程主机发送要执行的指令，而服务器端程序则执行这些指令，并把键盘、鼠标和屏幕刷新数据传给客户端程序，客户端程序通过运算把主机的屏幕等信息显示给用户，就像用户亲自在远程主机上进行操作一样。如果没有通过身份验证，就不能与用户建立连接，用户也不能实现远程控制。

002Q　常见的远程控制类别有哪些？

A　常见的远程控制类别有点对点的远程控制和点对多的远程控制两种。

Internet中常见的远程控制类别有两种：第一种是点对点的远程控制，第二种是点对多的远程控制。

点对点的远程控制

点对点的远程控制指的是一个客户端程序在同一时间内只能控制一台远程计算机。点对点的远程控制的程序设计主要是客户端控制服务器端方式，即客户/服务器模式。这也是远程访问控制中应用最广泛的，点对点的访问控制主要应用于对远程主机进行具体的控制和监控。

点对多的远程控制

点对多的远程控制是指可以在同一时间内控制多台远程计算机，点对多的远程控制并不会比点对点的访问控制功能强大。点对多的远程控制方式与点对点的远程控制方式相反，首先由每个客户端程序向服务器端程序发出连接请求，建立连接后，服务端就可以对多台远程计算机的客户端程序发出指令并由客户端程序执行指令。点对多的访问控制主要应用于对大面积的计算机进行操作，如简单控制、定时、收费、监督等。

8.2　远程入侵和远程监控

远程控制是一把双刃剑，它既为用户带来了方便，又为黑客入侵目标计算机提供了条件。在Windows系统中，黑客既可以利用IPC$和Telnet实现远程入侵，又可以利用远程控制任我行及网络执法官来实现远程监控。

003Q　能否利用IPC$实现远程入侵？

A　能！首先设法获取目标计算机的管理员账户名和密码，然后利用net use命令实现入侵。

IPC$是共享“命名管道”的资源，它在远程管理计算机和查看计算机的共享资源时使用，利用IPC$用户可以与目标主机建立一个空的连接，而利用这个空的连接还可以得到目标主机上的用户列表。对于入侵者来说，利用IPC$可以查找其他用户的列表，并使用一些字典工具对其主机进行攻击。

STEP01：单击“运行”命令

1　单击桌面左下角的“开始”按钮，2　在弹出的“开始”菜单中单击“运行”命令。

STEP02：输入cmd命令

弹出“运行”对话框，1　在“打开”文本框中输入cmd命令，2　然后单击“确定”按钮。

STEP03：输入"cd\"命令

打开命令提示符窗口，在光标闪烁的位置处输入"cd\"命令，然后按【Enter】键。

STEP04：建立IPC$连接

建立IPC$连接的命令格式为：net use\\IP\ipc$"Passwd"/user："Admin"，其中IP表示目标主机的IP地址，Passwd为获得的密码，Admin为获得的管理员账号。

STEP05：建立映射

建立映射的命令格式为：net use z:\\IP\c$"Passwd"/user:"Admin"。其中\\IP\d$表示目标主机上的D盘，符号“$”表示隐藏的共享，"z:"表示将远程主机的D盘映射为本地磁盘的盘符。

STEP06：查看映射的目标主机盘符

映射成功后打开“计算机”窗口，可在该窗口中看到“ssmissnn（192.168.1.100）上的D$”盘符，该磁盘就是目标主机上的D盘。

STEP07：查看所有的远程连接

在“命令提示符”窗口中输入net use*/del命令，然后按【Enter】键。

STEP08：取消远程连接

在光标闪烁的位置输入y，然后按【Enter】键即可断开这些远程连接。

IPC$空连接漏洞

IPC$连接本来要求客户端计算机需要有足够的权限才能连接到主机，然而IPC$连接漏洞允许客户端计算机只使用空用户名和空密码就可以与目标主机成功地建立连接。比如输入net use\\192.168.1.66\ipc$""/user:""命令。在这种情况下，入侵者利用这个漏洞可以与目标主机进行连接，但是无法执行管理类操作，即不能进行映射网络驱动器，上传文件、执行脚本等命令，但是却可以用来探测目标主机中的一些信息。

004Q　能否使用Telnet实现远程入侵？

A　能！首先在建立IPC$的基础上开启目标计算机的Telnet服务，然后利用Telnet命令即可实现远程入侵。

IPC$入侵只是与远程主机建立了连接，还未达到夺取远程主机控制权的目的。实际上黑客的最终目的是夺取远程主机的控制权，然后进行登录操作。Windows操作系统中的Telnet功能为黑客的入侵提供了可能，黑客可以通过这种方式夺取目标计算机的控制权，然后登录目标计算机。

Telnet是传输控制协议/因特网协议（TCP/IP）网络（如Internet）的登录和仿真程序。它最初是由ARPANET开发的，但是现在主要用于Internet会话。它的基本功能是允许用户登录远程主机系统。

STEP01：建立IPC$连接

使用Telnet入侵首先需要建立IPC$连接，打开“命令提示符”窗口，1　在光标处输入cd\并按【Enter】键，2　然后再输入net use\\IP\ipc$"Passwd"/user:"Admin"命令建立连接。

STEP02：单击“管理”命令

1　在桌面上右击“计算机”图标，2　然后在弹出的快捷菜单中单击“管理”命令。

STEP03：单击“连接到另一台计算机”命令

在“计算机管理”窗口的菜单栏中依次单击“操作＞连接到另一台计算机”命令。

STEP04：输入目标计算机的IP地址

弹出“选择计算机”对话框，1　单击选中“另一台计算机”单选按钮，2　然后在其后的文本框中输入目标计算机的IP地址，如输入192.168.1.100，3　单击“确定”按钮。

STEP05：成功登录到目标计算机

返回“计算机管理”窗口，在其左侧窗格中的“计算机管理”目录的后面就会出现目标计算机的IP地址，表明已登录到目标计算机。

STEP06：双击Telnet选项

1　在“计算机管理”窗口的左边窗格中依次单击“服务和应用程序＞服务”选项，2　然后在右侧双击Telnet选项。

STEP07：启动Telnet服务

1　在弹出对话框中将“启动类型”设置为“自动”后单击“应用”按钮，2　然后单击“启动”按钮即可启动Telnet服务。

STEP08：删除IPC$连接

在“命令提示符”窗口的光标处输入net use\\IP\ipc$/del命令来断开IPC$连接，例如输入net use\\192.168.1.100\ipc$/del。

STEP09：去掉NTLM验证

在“命令提示符”窗口中输入tlntadmn config sec=-ntlm命令并按【Enter】键。

STEP10：建立账号和密码

在“命令提示符”窗口中，输入net user john 123/add命令并按【Enter】键。

STEP11：加入工作组

在“命令提示符”窗口中，输入net localgroup administrators john/add命令，然后按【Enter】键。

STEP12：进行Telnet登录

1　在“命令提示符”窗口中输入cd\并按【Enter】键，2　然后再输入telnet 192.168.1.100命令后按【Enter】键，进行Telnet登录。

STEP13：发送密码并登录

跳转至新的界面，在界面中键入y，表示发送密码并登录，然后按【Enter】键。

STEP14：成功登录远程计算机

进入新的界面，此时看到的界面就是远程主机为Telnet终端用户打开的命令提示符窗口，在该窗口中输入的命令将会直接在远程计算机上执行。

005Q　如何利用注册表实现远程监控？

A　利用注册表的“连接网络注册表”功能连接目标计算机，然后开启Remote Registry服务即可实现远程监控。

利用注册表实现远程入侵目标计算机是指利用注册表编辑器中设置了“连接网络注册表”功能对他人的注册表进行远程操作，原本该功能是微软公司出于方便网络管理员对网络中计算机进行管理的目的而推出的，但是该功能却能够被黑客所利用，实现远程入侵目标计算机。

STEP01：输入regedit命令

打开“运行”对话框，1　在“打开”右侧的文本框中输入regedit命令，2　单击“确定”按钮。

STEP02：单击“连接网络注册表”命令

打开“注册表编辑器”窗口，在菜单栏依次单击“文件＞连接网络注册表”命令。

STEP03：单击“高级”按钮

弹出“选择计算机”对话框，单击“高级”按钮。

STEP04：单击“立即查找”按钮

在“选择计算机”对话框中单击“立即查找”按钮。

STEP05：选择目标计算机

1　在搜索结果中选择目标计算机，2　并单击“确定”按钮。

STEP06：单击“确定”按钮

将远程计算机名称添加进“输入要选择的对象名称”文本框后，再单击“确定”按钮即可连接目标计算机。

STEP07：查看连接成功后的效果

连接成功后返回“注册表编辑器”窗口，在左边窗格的下方就会出现一个并列的目录树，这就是远程计算机的注册表中相关的选项。

STEP08：建立IPC$连接

打开“命令提示符”窗口中，输入net use\\192.168.1.100\ipc$123/user:john命令，然后按【Enter】键。

STEP09：单击“连接到另一台计算机”命令

打开“计算机管理”窗口，在菜单栏中依次单击“操作＞连接到另一台计算机”命令。

STEP10：输入目标计算机的IP地址

弹出“选择计算机”对话框，1　单击选中“另一台计算机”单选按钮，2　在其后的文本框中输入目标计算机的IP地址，例如输入192.168.1.100，3　然后单击“确定”按钮。

STEP11：双击Remote Registry选项

此时“计算机管理”目录后面就会出现目标主机的IP地址，1　在左边窗格中依次单击“服务和应用程序＞服务”选项，2　然后在右侧窗格中双击Remote Registry选项。

STEP12：启用Remote Registry服务

1　在弹出的对话框中将“启动类型”设置为“手动”，2　单击“应用”按钮后再单击“启动”按钮，启用Remote Registry服务。

STEP13：断开IPC$连接

开启了远程注册表服务后就可以断开IPC$连接。在“命令提示符”窗口的光标处输入net use\\IP\ipc$/del命令来断开IPC$连接，例如，这里输入了net use\\192.168.1.100\ipc$/del。

006Q　怎样利用“远程控制任我行”监控目标计算机？

A　首先配置“远程控制任我行”服务端程序，待目标计算机运行该服务端程序后便可实现远程监控。

“远程控制任我行”是一款非常优秀的远程控制软件，它功能非常强大，能够让用户得心应手地监控远程计算机，就像控制自己的计算机一样方便，它包括两步操作，第一步是配置服务端程序，第二步是监视并远程控制目标计算机。

配置服务端程序

“远程控制任我行”既不是一款纯粹的木马软件，也不是一款传统意义上的远程控制软件，而是介于这两者之间。因为它既具有普通远程控制软件的特点，又有木马程序的特点，下面介绍配置服务端程序的操作方法。

STEP01：启动“远程控制任我行”程序

安装“远程控制任我行”软件后会在桌面上出现对应的快捷图标，双击该图标，启动“远程控制任我行”程序。

STEP02：单击“生成服务器”命令

打开“远程控制任我行”主界面，依次单击菜单栏中的“配置服务端＞生成服务器”命令。

STEP03：单击“正向连接型”按钮

在弹出的“选择配置类型”对话框中选择配置类型，用户可在对话框中查看如何选择，例如单击“正向连接型”按钮。

STEP04：单击“更换图标”按钮

弹出“正向连接”对话框，在“基本设置”选项卡单击“更换图标”按钮。

不知道所处网络类型时的解决方法

在选择配置类型时，如果不知道双方所处的网络类型，则可以将生成后的“正向连接”和“反向连接”的服务端程序都在远程计算机上运行一下，进行“正向连接”和“反向连接”的尝试控制。

STEP05：选择服务端程序图标

弹出“打开”对话框，1　在列表框中选择一个图标，2　然后单击“打开”按钮。

STEP06：设置邮件服务

1　切换至“邮件设置”选项卡，2　勾选“开启此服务”复选框，3　然后分别输入发送IP信箱、登录密码和接收IP信箱及邮件主题。

STEP07：设置安装信息

1　切换至“安装信息”选项卡，2　勾选“自动隐藏安装文件”复选框，其他保持默认不变。

STEP08：设置启动选项

1　切换至“启动选项”选项卡，2　勾选“远程主机是2000/XP注册为服务启动”复选框。

STEP09：设置提示信息

1　切换至“提示信息”选项卡，2　勾选“安装完成后显示的提示信息”复选框，然后设置提示内容，3　设置后单击“预览”按钮。

STEP10：预览提示信息

弹出“任我行工作室”对话框，此时可看见安装完成后显示的提示信息，单击“确定”按钮。

STEP11：单击“生成服务端”按钮

最后设置好生成服务端的保存路径，设置完毕后单击“生成服务端”按钮。

STEP12：单击“确定”按钮

弹出“任我行提示”对话框，提示用户生成服务端完成，单击“确定”按钮。

STEP13：查看生成的服务端程序

打开服务端程序的保存路径所在窗口，此时可看见生成的服务端程序。

监视并远程控制目标计算机

一旦服务端在远程计算机上成功运行，那么连接远程计算机并进行监控和控制的条件就成熟了，下面来看看如何使用“远程监控任我行”来连接、监控并控制远程计算机。

STEP01：单击“打开IP列表”按钮

打开“远程控制任我行”主界面窗口，单击“连接主机”文本框后面的“打开IP列表”按钮。

STEP02：单击“增加IP”按钮

弹出对话框，在对话框中单击“增加IP”按钮。

STEP03：输入目标计算机的IP地址

1　在“输入远程主机IP”对话框的“IP地址”文本框中输入目标计算机的IP地址，2　然后单击OK按钮。

STEP04：单击“搜索IP”按钮

如果用户不清楚远程主机的IP地址，可以单击“搜索IP”按钮进行搜索。

STEP05：查看扫描时间

弹出“扫描完毕”对话框，显示了扫描的开始和结束时间，单击“确定”按钮。

STEP06：输入扫描的IP地址范围

弹在“扫描远程主机”对话框，1　输入扫描的范围，2　然后单击“扫描”按钮，搜索后再将其添加到前面的IP列表中即可。

STEP07：成功连接目标计算机

1　输入“连接密码”和“连接端口”，然后2　单击“连接”按钮，连接成功后在状态栏中显示“远程主机192.168.1.100连接成功”。

STEP08：查看目标计算机的盘符

在“远程文件管理”选项卡的“远程电脑”目录中就可以看到该计算机所有盘符，在这里完全可以像操作自己的计算机一样操作目标计算机。

STEP09：下载目标计算机中的资料

这里可以下载目标计算机中的一些重要资料，1　右击要下载的文件或文件夹，2　在弹出的快捷菜单中单击“文件下载”命令。

STEP10：选择保存位置

弹出“浏览文件夹”对话框，1　在列表框中选择保存的位置，2　然后单击“确定”按钮。

STEP11：选择断点续传模式

弹出“下载文件”对话框，1　单击选中“断点续传”2　单选按钮，单击“开始下载”按钮。

STEP12：查看目标计算机的进程

切换至“远程进程查看”选项卡，可看到目标计算机的运行进程，如果切换后未显示进程，1　则在空白处右击，2　然后在弹出的快捷菜单中单击“刷新进程”命令。

STEP13：设置发送信息属性

1　切换至“远程语音视频”选项卡，2　在右侧设置发送信息属性，3　单击“预览”按钮。

STEP14：预览到编辑的信息

弹出Windows对话框，此时可以预览编辑的信息，单击“确定”按钮。

STEP15：利用远程命令控制目标计算机

切换至“远程命令控制”选项卡，在这里可对远程计算机进行桌面图标控制、开关机、死机黑屏以及改变声音等操作。

STEP16：查看目标计算机的系统信息

切换至“远程系统信息”选项卡，可看到“远程系统配置信息”、“远程剪贴板信息”、“远程运行窗体信息”3个窗口。

007Q　怎样利用“网络执法官”监控其他活动计算机？

A　首先配置软件扫描的IP地址范围，待扫描出网络中的其他活动计算机便可实施远程监控。

“网络执法官”是一款局域网管理软件，采用网络底层协议，只需在局域网的一台普通机器上运行即可穿透各个用户防火墙，对网络中的每一台主机进行监控。同时，它采用网卡地址识别用户，可靠性比同类软件大大地提高了。另外软件本身占用的网络资源少，对网络的运行没有不良的影响。

STEP01：双击Netrobocop快捷图标

双击桌面上的Netrobocop快捷图标，启动“网络执法官”应用程序。

STEP02：设置扫描的IP地址范围

弹出“设置扫描范围”对话框，1　设置扫描的IP地址范围，2　单击“添加/修改”按钮，3　然后单击“确定”按钮。

STEP03：单击“报警设置”命令

打开“网络执法官”主界面，在菜单栏中依次单击“设置＞报警设置”命令。

STEP04：设置发现异常用户时的报警方式

弹出"alarm setting"对话框，1　用户可在对话框中设置发现异常用户时的报警方式，2　设置后单击“确定”按钮。

STEP05：单击“口令”命令

返回“网络执法官”主界面，在菜单栏中依次单击“设置＞口令”命令。

STEP06：设置口令

1　勾选“软件启动或从最小状态恢复窗口显示时输入口令”复选框，2　然后输入设置的口令，3　单击“确定”按钮。

STEP07：单击“默认权限”命令

返回“网络执法官”主界面，在菜单栏中依次单击“设置＞默认权限”命令。

STEP08：设置用户权限

在弹出的对话框中有3个选项，一个比一个权限低，可根据实际情况设置。

STEP09：单击“关键主机组”命令

返回“网络执法官”主界面，在菜单栏中依次单击“设置＞关键主机组”命令。

STEP10：设置关键主机组

弹出“关键主机组设置”对话框，1　首先选择主机组，然后设置组名称，最后设置组内IP，2　单击“全部保存”按钮。

STEP11：单击“IP保护”命令

返回“网络执法官”主界面，在菜单栏中依次单击“设置＞IP保护”命令。

STEP12：设置保护的指定IP段

弹出“IP保护”对话框，1　设置保护的指定IP段（目的是保护一定范围内的IP不被普通权限的用户所使用），2　单击“确定”按钮。

STEP13：单击“远程控制”命令

返回“网络执法官”主界面，在菜单栏中依次单击“设置＞远程控制”命令。

STEP14：远程受控设置

弹出“远程控制”对话框，在“受控设置”选项组中设置本地端口、对方IP地址及口令。

STEP15：单击“其他设定”命令

返回“网络执法官”主界面，在菜单栏中依次单击“设置＞其他设定”命令。

STEP16：设置检测的灵敏度和断开方式

1　在该对话框中可以设置检测的灵敏度、断开方式以及其他一些参数，2　设置后单击“确定”按钮。

STEP17：单击“主机保护”命令

返回“网络执法官”主界面，在菜单栏中依次单击“设置＞主机保护”命令。

STEP18：设置要保护的主机

弹出“主机保护”对话框，1　输入要保护主机的IP地址，2　单击Mac按钮生成网卡地址，3　单击“加入”按钮，4　单击“确定”按钮。

STEP19：单击“绑定MAC与IP/机器名称”命令

1　右击要绑定MAC-IP的计算机，2　在弹出的快捷菜单中单击“绑定MAC与IP/机器名称”命令。

STEP20：设置MAC-IP绑定

在弹出的对话框设置MAC-IP绑定属性，其目的是防止多台主机共享一个地址。

STEP21：单击“添加用户”命令

返回“网络执法官”主界面，在菜单栏中依次单击“用户＞添加用户”命令。

STEP22：输入新用户的MAC地址

弹出New user对话框，1　输入新用户的MAC地址，2　然后单击“保存”按钮。

STEP23：删除用户

如果想删除某个用户，1　那么在菜单栏中依次单击“用户＞删除用户”命令，2　然后在后面弹出的子菜单中选择需要删除的用户即可。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

8.3　有效防范远程入侵和远程监控

了解了黑客的常用远程入侵和监控手段后，就应当做好有效的防范措施，既可以采取有效的措施来防范Windows系统中潜存的IPC$漏洞，也可以通过关闭某些危险的服务来确保计算机的安全。

008Q　如何防范IPC$远程入侵？

A　防范IPC$远程入侵可以采用禁用共享和NetBIOS、设置本地安全策略以及修改注册表禁止共享三种方法。

防范IPC$远程入侵的常见方法有三种：禁用共享和NetBIOS；设置本地安全策略；修改注册表禁止共享。

禁用共享和NetBIOS

用户可通过net share命令查看本机上是否存在共享，如果存在则可能遭受IPC$漏洞的攻击，如果存在这样的情况则可以通过禁用共享和NetBIOS防范IPC$入侵。

STEP01：单击“属性”命令

1　右击桌面上的“网络”快捷图标，2　在弹出的快捷菜单中单击“属性”命令。

STEP02：单击“更改适配器设置”链接

打开“网络和共享中心”窗口，在左侧单击“更改适配器设置”链接。

STEP03：单击“属性”命令

打开“网络连接”窗口，1　右击“本地连接”图标，2　在弹出的快捷菜单中单击“属性”命令。

STEP04：不共享网络文件和打印机

弹出“本地连接属性”对话框，在“常规”选项卡中的列表框中取消勾选“Microsoft网络的文件和打印机共享”复选框。

STEP05：单击“属性”按钮

1　在“本地连接属性”对话框的“常规”选项卡中的列表框中选中“Internet协议版本4（TCP/IPv4）”选项，2　然后单击“属性”按钮。

STEP06：单击“高级”按钮

在弹出的“Internet协议版本4（TCP/IPv4）属性”对话框中单击“高级”按钮。

STEP07：禁用NetBIOS

弹出“高级TCP/IP设置”对话框，1　切换至WINS选项卡，2　单击选中“禁用TCP/IP上的NetBIOS”单选按钮即可。

设置本地安全策略

通过设置本地安全策略也可以达到防范IPC$的目的，只需启用“网络访问：不允许SAM账户和共享的匿名枚举”功能即可。

STEP01：单击“控制面板”命令

1　单击桌面左下角的“开始”按钮，2　在弹出的“开始”菜单中单击“控制面板”命令。

STEP02：单击“管理工具”链接

打开“控制面板”窗口，设置查看方式为“大图标”，单击“管理工具”链接。

STEP03：双击“本地安全策略”选项

打开“本地安全策略”窗口，双击“本地安全策略”选项。

STEP04：设置安全选项

1　在“本地安全设置”窗口的左侧依次单击展开“安全设置＞本地策略＞安全选项”分支，2　然后在右边窗格中双击“网络访问：不允许SAM账户和共享的匿名枚举”选项。

STEP05：单击选中“已启用”单选按钮

在弹出的“网络访问：不允许SAM账户和共享的匿名枚举属性”对话框的“本地安全设置”选项卡中，单击选中“已启用”单选按钮。

STEP06：单击“是”按钮

单击“确定”按钮弹出一个确认设置更改的对话框，单击“是”按钮确认即可。

修改注册表禁止共享

注册表中与IPC$共享有关的键值项有restrictanonymous和AutoShareServer（AutoShareWks），用户可以通过调整这些键值项的值来防范IPC$远程入侵。

STEP01：输入regedit命令

打开“运行”对话框，1　在“打开”文本框中输入regedit命令，2　然后单击“确定”按钮。

STEP02：双击restrictanonymous键值

1　在“注册表编辑器”左窗格中依次单击HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa分支，2　然后在右边窗格中双击restrictanontymous键值项。

STEP03：设置restrictanonymous键值

弹出“编辑DWORD（32位）值”对话框，1　在“数值数据”文本框中输入“1”，2　单击“确定”按钮。

STEP04：双击AutoShareServer选项

1　在“注册表编辑器”左边窗格中单击HKEY_LOCAL_MACHINE\SYSTEM\CurrentCo ntrolSet\Services\LanmanServer\Parameters分支，2　若是服务器则双击AutoShareServer键值项。

STEP05：设置数值数据

弹出“编辑DWORD（32位）值”对话框，1　在“数值数据”文本框中输入“0”，2　单击“确定”按钮。

STEP06：设置AutoShareWks键值项

如果是客户机则双击打开AutoShareWks键值项，1　将“编辑DWORD（32位）值”对话框的“数值数据”的文本框中的数值修改为0，2　单击“确定”按钮保存退出。

009Q　怎样关闭与远程控制相关的服务？

A　首先在“服务”窗口中关闭Remote Registry服务，然后利用“卸载程序”功能关闭Telnet服务端和客户端。

在Windows系统中，与远程控制相关的服务主要有Remote Registry服务和Telnet服务，关闭Remote Registry服务可以在“服务”窗口中设置其启动类型为“禁用”，而关闭Telnet服务则可以通过关闭Telnet服务端和客户端来实现。

关闭远程注册表编辑服务

利用注册表实现远程监控是通过开启目标计算机的Remote Registry服务而实现的，因此用户不仅要确保本地计算机的安全，而且还要手动关闭远程注册表编辑服务。

STEP01：双击“服务”快捷图标

打开“管理工具”窗口，双击“服务”快捷图标。

STEP02：双击Remote Registry选项

打开“服务”窗口，向下拖动右侧窗格中的滚动条，在窗格中双击Remote Registry选项。

STEP03：设置启动类型为禁用

弹出“Remote Registry的属性（本地计算机）”对话框，在“启动类型”下拉列表中单击“禁用”选项，即禁用Remote Registry服务。

STEP04：查看禁用后的Remote Registry服务

单击“确定”按钮返回“服务”窗口，此时可看见Remote Registry的启动类型为禁用。

关闭Telnet服务

在Windows 7中除了通过禁用“服务”窗口中的Telnet服务来关闭Telnet服务之外，还可以通过关闭Windows 7提供的Telnet服务端和客户端来关闭Telnet服务，下面介绍具体的操作步骤。

STEP01：单击“卸载程序”链接

打开“控制面板”窗口，1　设置查看类型为“类别”，2　然后单击“程序”下方的“卸载程序”链接。

STEP02：单击“打开或关闭Windows功能”链接

打开“程序和功能”窗口，在左侧单击“打开或关闭Windows功能”链接。

STEP03：关闭Telnet服务端和客户端

弹出“Windows功能”对话框，1　在列表框中取消勾选“Telnet服务端”和“Telnet客户端”复选框，2　然后单击“确定”按钮。

STEP04：正在关闭

弹出对话框，提示Windows正在更改功能，请稍候，耐心等待即可。

第9章　局域网攻防

局域网是指在某一区域内由多台计算机互联成的计算机组，它可以实现文件管理和共享等功能，一些攻击者常常会采用各种不同的手段来攻击局域网，可能是炫耀技术，也可能是盗取信息，无论出于什么目的，用户都要阻止他们的攻击，确保网络安全。

本章知识点：

局域网攻击常见方式

攻击局域网

抵制局域网攻击

9.1　局域网攻击常见方式

局域网攻击是指攻击者采用各种不同的手段攻击局域网内的计算机或其他网络设备，常见的局域网攻击方式有ARP欺骗攻击、广播风暴、DNS欺骗攻击以及DDoS攻击，这些攻击都会造成局域网内的网络设备无法正常工作，因此用户有必要了解这些常见的局域网攻击方式。

001Q　什么是ARP欺骗？

A　ARP欺骗是指在局域网中伪造不存在的MAC地址，达到截获数据包的目的，它将导致局域网出现网络不通的现象。

由于局域网的网络流通是按照MAC地址进行传输。所以，当局域网中有伪造的MAC地址时，则该MAC地址就变成一个不存在的MAC地址，这样就会造成网络不通，导致其他计算机不能与该MAC地址Ping通！这就是一个简单的ARP欺骗。

ARP的工作原理为：当主机A向主机B发送报文时，主机A会查询本地的ARP缓存表，找到主机B的IP地址对应的MAC地址后进行数据传输；如果未找到，则广播A的一个ARP请求报文（携带主机A的IP地址Ia——物理地址Pa），请求IP地址为Ib的主机B回答物理地址Pb，网上所有主机（包括主机B）都收到ARP请求，但只有主机B识别自己的IP地址，于是向主机A发回一个ARP响应报文。其中包含有主机B的MAC地址，主机A接收到主机B的应答后更新本地的ARP缓存表。然后使用这个MAC地址向主机B发送数据，其流程图如下。

ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包时，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。因此，当局域网中的某台机器C向A发送一个自己伪造的ARP应答，而如果这个应答是C冒充B伪造来的，即IP地址为B的IP，而MAC地址是伪造的，则当A接收到C伪造的ARP应答后，就会更新本地的ARP缓存，这样在A看来B的IP地址没有变，而它的MAC地址已经不是原来那个了。由于局域网的网络流通不是根据IP地址进行，而是按照MAC地址进行传输。所以，那个伪造出来的MAC地址在A上被改变成一个不存在的MAC地址，这样就会造成网络不通，导致A不能Ping通B！这就是一个简单的ARP欺骗，其流程图如下所示。

ARP欺骗是黑客常用的攻击手段之一，常见的ARP欺骗分为两种，一种是对路由器ARP表的欺骗；另一种是对内网PC的网关欺骗。第一种ARP欺骗的原理是——截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常主机无法收到信息。第二种ARP欺骗的原理是——伪造网关。它的原理是建立假网关，让被它欺骗的主机向假网关发送数据，而不是通过正常的路由器途径上网。从而使局域网中的主机无法上网。

002Q　什么是广播风暴？

A　广播风暴是指在局域网中塞满了大量的广播帧或广播数据包，从而导致局域网设备无法正常运行，甚至瘫痪。

广播风暴是指当广播数据塞满局域网且无法处理时，由于这些数据占用大量的网络带宽，导致局域网设备无法正常运行，甚至瘫痪。产生广播风暴最根本的原因就是局域网中存在了大量的广播数据。

广播数据在网络中是必不可少的，如局域网中的计算机通过DHCP自动获得IP地址的过程就是通过广播帧来实现的。而且，由于各计算机之间也需要相互通信，因此在网络中即使没有用户人为地发送广播帧，网络上也会出现一定数量的广播帧，由于广播几乎占据了局域网内的所有带宽，因此当局域网中出现大量的广播帧时，就会产生广播风暴，产生广播风暴的原因主要有以下几种。

网线短路引发广播风暴

当连接局域网的网线表面有磨损时，很容易导致短路，从而会引起交换机的端口阻塞，由于目前的交换机大多都使用存储转发技术，它的工作原理是对某一段数据包进行分析判断寻址，并进行转发，在发出前均存储在交换机的缓冲区内，当网线发生短路时，该交换机将接收到大量的不符合分装原则的包，造成交换机处理器工作繁忙，数据包来不及转发，从而导致缓冲区溢出产生丢包现象，导致广播风暴。

解决策略：使用流量查看软件（例如MRGT）查看出现短路的端口，如果交换机是可网管的，就可以通过逐个封闭端口来查找，进而找到有问题的网线后将其更换。

可网管与不可网管的交换机

交换机分为可网管交换机和不可网管交换机。这两种交换机的区别在于：不可网管的交换机是不能被管理的，即通过管理端口执行监控交换机端口、划分VLAN、设置Trunk端口等管理功能。而可网管交换机则可以执行这些功能。一台交换机是否可网管，可以从外观上分辨，可网管交换机的正面或背面一般有一个串口或并口，通过串口电缆或并口电缆可以把交换机和计算机连接起来，以便于设置。

蠕虫病毒引发广播风暴

当局域网中某台计算机感染蠕虫病毒（如Funlove、震荡波、RPC等）后，如果查看该网卡的发送包和接收包数量时发现发送包的数量在快速增加，则说明该计算机感染了蠕虫病毒，通过网络传播，损耗大量的网络带宽，引起网络堵塞，导致广播风暴。

解决策略：为局域网中每台计算机安装杀毒软件，并查杀各计算机中的蠕虫病毒。

网络视频引发广播风暴

Internet中部分视频网络传输设备为了便于网络视频点播，常常采用UDP的方式以广播数据包的形式对外进行发送，如果在专用网络中使用这种方式将很容易引发广播风暴，导致网络阻塞，因此必须通过相关设置来杜绝这类故障。

解决策略：设置与视频网络传输设备所连接的交换机端口，并更改设备本身的网络传输模式以及传送协议类型。

局域网中数据帧的传输方式

在局域网中，数据帧的传输方式有三种：单播帧（Unicast Frame）、多播帧（Multicast Frame）和广播帧（Broadcast Frame）。

单播：单播帧也称“点对点”通信。此时帧的接收和传递只在两台计算机之间进行，帧的目的MAC地址就是对方的MAC地址，交换机根据帧中的目的MAC地址，将帧转发出去。

多播：多播帧可以理解为一个人向多个人（但不是在场的所有人）说话，这样能够提高通话的效率。多播帧在局域网中所占的比重并不大，主要应用于网络设备内部通信、网上视频会议、网上视频点播等。

广播：广播帧可以理解为一个人对在场的所有人说话，信息在一瞬间就可传递到全场各个位置。在广播帧中，帧的目的MAC地址是"FF-FF-FF-FF-FF-FF"，即代表网络上所有主机网卡的MAC地址。

恶劣环境引发广播风暴

当局域网处于不合适的温度、湿度、震动和电磁干扰环境下时（尤其是电磁干扰比较严重的环境下），同样也有可能会使网络变得不稳定，造成数据传输错误，引发广播风暴。

解决策略：严格执行接地要求，特别是涉及远程线路的网络转接设备，否则达不到规定的连接速度，导致在联网过程中产生莫名其妙的故障；另外在建网之前必须考虑尽量避免计算机或者网络介质直接暴露强磁场中，如电磁炉、高压电缆、电源插头处等；定期对计算机进行清洁。

003Q　什么是DNS欺骗攻击？

A　DNS欺骗攻击是指黑客将自己的计算机伪装成域名服务器，当用户访问指定网页时，打开的是目标主页，并非真正的网页。

DNS欺骗是指黑客利用各种手段将自己的主机伪装成域名服务器的一种欺骗行为。黑客冒充域名服务器后，他就会把查询的IP地址设为自己的IP地址，这样一来，用户使用被攻击的电脑上网就只能看到黑客的主页，而不是目标网站主页，这就是DNS欺骗的基本原理。DNS欺骗其实并不是真的“黑掉”了对方的网站，而是冒名顶替、招摇撞骗罢了。

举例来说明。如果用户想用浏览器去查看搜狐网上的相关信息，就会在浏览器地址栏中输入www.sohu.com后按【Enter】键。那么在这背后又有什么事情正在进行着呢？一般而言，用户的浏览器将会向DNS服务器发送一个请求，要求得到与www.sohu.com相匹配的IP地址，DNS服务器则会告诉浏览器搜狐的IP地址，接着用户的浏览器便会连接并显示搜狐主页的内容。但是如果用户打开的网页并非搜狐网首页，此时用户就要怀疑自己是否遭受了DNS欺骗攻击。检测方法为：用户在浏览器地址栏中输入搜狐首页对应的IP地址，例如输入"http://61.132.135.59"，然后按【Enter】键，若成功打开搜狐首页，则遭受了DNS欺骗。

IP地址冲突

IP地址冲突常常出现在局域网中，它是指局域网中的两台或多台计算机同时使用了同一个IP地址。当用户的计算机IP地址为192.168.2.10，而局域网中另外一台计算机的IP地址也设置成192.168.2.10时，就会导致IP与其他系统冲突。避免IP地址冲突的方法不少，其中最常见的就是合理设置DHCP参数，即合理设置DHCP服务器中的“地址池”参数，首先要清楚地知道，采用静态IP地址方式的计算机占用了哪些地址段，为了避免IP地址冲突，在配置DHCP服务器中的“地址池”参数时，一定要排除被静态IP地址占用的这些地址段。

004Q　什么是DDoS攻击？

A　DDoS攻击能够利用合理的服务请求占用过多的服务资源，使服务器无法处理合法用户的指令。

DDoS（Distributed Denial of Service，分布式拒绝服务）攻击是多个DoS攻击源的集合。其中DoS攻击的方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使服务器无法处理合法用户的指令。

DDoS攻击手段是在传统的DoS攻击基础上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的，当目标主服务器CPU速度低、内存小或者网络带宽小等各项性能指标不高时，DoS攻击产生的效果是明显的。但是随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DoS攻击的难度加大了。

此时DDoS应运而生。如果说计算机与网络的处理能力加大了10倍，用一台攻击机来攻击不再能起作用的话，攻击者就会使用10台、100台甚至更多的攻击机同时攻击目标服务器。这就是DDoS攻击，它就是利用更多的傀儡机来发起进攻，使用比以前更大的规模来进攻目标服务器。

9.2　攻击局域网

在攻击局域网之前，攻击者首先会利用相关的局域网查看软件查看当前局域网中的计算机数量、共享资源等信息，一旦确定目标后，便可发起攻势，即可以随意阻止局域网内任何一台计算机上网，也可以破解当前无线局域网的登录密码。

005Q　如何利用LanSee查看局域网信息？

A　利用LanSee不仅可以查看局域网中已打开的计算机，而且实现远程关机、添加共享文件等操作。

LanSee是一款查看局域网中各计算机信息的工具，该软件集成了局域网搜索功能，它可以快速搜索出计算机（包括计算机名、IP地址、MAC地址、所在工作组、用户）。共享资源、共享文件；并且集成了网络嗅探功能，可以捕获各种数据包（TCP、UDP、ICMP、ARP），嗅探局域网上的QQ号，查看局域网中各计算机的流量并从流过网卡的数据中嗅探出音乐、视频、图片等。

STEP01：启动LanSee应用程序

下载LanSee压缩文件后将其解压到本地计算机中，然后在解压后的文件夹中双击对应的快捷图标。

STEP02：单击“工具选项”按钮

打开LanSee主界面，1　在左侧单击“搜索计算机”选项，2　然后在工具栏中单击“工具选项”按钮，设置扫描的IP地址范围。

STEP03：设置起始和结束IP地址

弹出“选项”对话框，1　在“起始IP段”和“结束IP段”中输入与自己计算机IP地址相同的前3段，2　然后单击“添加”按钮。

STEP04：保存设置的IP地址范围

此时可在列表框中看见添加的IP地址范围，单击“保存”按钮，保存设置的IP地址范围。

STEP05：搜索指定IP地址范围的计算机

返回LanSee主界面，单击“开始”按钮，开始搜索指定IP地址范围的计算机，耐心等待一段时间后可看见搜索出的计算机。

STEP06：开始主机巡测

1　在“搜索工具”选项下方单击“主机巡测”选项，2　然后单击右侧的“开始”按钮，开始巡测局域网中的计算机。

STEP07：巡测已打开的计算机

巡测一段时间后可看见局域网中所有打开的计算机，当有计算机开机、关机或者共享文件夹时，将会实时通知。

STEP08：扫描端口

1　在左侧依次单击“网络信息＞扫描端口”选项，2　在右侧单击“开始”按钮，不久将看见扫描的计算机IP地址及开放的端口。

STEP09：导入远程计算机

1　在左侧依次单击“管理工具＞远程关机”选项，2　然后在右侧单击“导入计算机”按钮。

STEP10：远程关闭指定IP地址的计算机

当出现导入的计算机IP地址时，1　勾选要远程关闭的计算机，2　然后单击“远程关机”按钮，即可远程关闭该计算机。

STEP11：单击“添加共享”按钮

1　在左侧依次单击“聊天工具＞文件共享”选项，2　在右侧单击“添加共享”按钮，准备添加共享文件。

STEP12：选择共享的文件

弹出“打开”对话框，1　在“查找范围”下拉列表中选择共享文件所在的位置，2　然后选中要共享的文件，3　单击“打开”按钮。

STEP13：搜索已共享的文件

此时所选文件已被共享，1　用户可在左上方输入共享文件的关键字，2　然后单击“搜索用户共享”按钮，即可看见已共享的文件。

006Q　如何利用NetCut控制目标计算机？

A　利用NetCut可以切断或恢复局域网内任何一台计算机与网关的连接，进而使其无法正常上网。

使用NetCut（网络剪刀手）可以切断或恢复局域网里任何主机和网关之间的连接，同时可在其主界面中看见局域网内所有计算机的IP地址和MAC地址。

STEP01：启动NetCut应用程序

下载并安装NetCut软件后会在桌面上出现对应的快捷图标，双击该图标，启动NetCut应用程序。

STEP02：选择网卡

弹出“选择网卡”对话框，1　在列表框中选择网卡，2　然后单击“确定”按钮。

STEP03：切断指定计算机与网关的连接

此时可看见局域网中已打开的计算机，最左侧的“开/关”表示当前计算机接入了Internet，若要切断指定计算机与网关的连接，1　选择目标计算机，2　单击“切断”按钮。

STEP04：恢复指定计算机与网关的连接

切换后指定计算机的“开/关”状态变为“关”，若要恢复指定计算机与网关的连接，1　再次选中该计算机，2　单击“恢复”按钮即可。

007Q　入侵无线局域网的常用手段有哪些？

A　入侵无线局域网的常用手段有接入开放的无线局域网、侦测入侵无线存取设备和破解无线局域网密码。

无线局域网在走向成熟的同时也暴露出许多安全性的问题，许多无线网络并没有采取安全防护措施，极易遭受黑客入侵，而且事后追查攻击者都很困难。这里向大家介绍黑客入侵无线局域网的常用手段，让用户能够了解黑客入侵无线局域网的常用伎俩，从而采取针对性的防护措施。

接入开放的无线局域网

开放的无线局域网是指没有设置无线网络登录密码的局域网，入侵这类无线局域网十分容易，只需扫描这些开放型的无线局域网存取点（Access Point），直接连上就可以达到免费上网、通过该网络攻击其他计算机，以及探索其他网络的目的。

侦测入侵无线存取设备

黑客先在某一企业网络或公共地点设置一个伪装的无线存取设备，好让其他用户误以为该处有无线网络可使用。若伪装的无线存取设备信号强过真正的无线存取设备信号，其他用户的计算机便会误以为信号较强的伪装设备就是以前连接的无线局域网，从而利用该局域网连接Internet。此时，黑客便可等待获取受害者输入的无线局域网登录密码，或将病毒植入用户计算机中，达到盗取用户隐私信息的目的。

破解无线局域网密码

当黑客探测到安全类型为WEP的无线网络登录密码时，就可以侦测WEP安全协议漏洞，破解无线存取设备与客户之间的通信，或者利用指定的软件破解该无线网络的登录密码，从而达到免费上网、通过该网络攻击其他计算机，以及探索其他网络的目的。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

9.3　抵制局域网攻击

局域网攻击最常见的为ARP欺骗攻击、DNS攻击和破解无线网络登录密码，为了抵制这些攻击，用户可以采用不同的方法，可以利用ARP防火墙来防御ARP欺骗攻击，利用网络守护神来防御DNS攻击，而对于无线网络登录密码的易破解性，只需设置更为安全的WPA2-PSK加密即可。

008Q　如何使用ARP防火墙防御ARP欺骗？

A　ARP防火墙在安装后将自动运行，实时保护计算机，用户只需设置其基本参数和高级参数。

ARP防火墙通过在系统内核层拦截虚假ARP数据包以及主动通告网关本机正确的MAC地址，可以保障数据流向正确，不经过第三方，从而保证通信数据安全、保证网络畅通、保证通信数据不受第三方控制。下面介绍如何利用ARP防火墙防御ARP欺骗。

STEP01：启动ARP防火墙应用程序

下载并安装ARP防火墙软件后会在桌面上出现对应的快捷图标，双击该图标，启动ARP防火墙应用程序。

STEP02：单击“基本参数配置”命令

打开ARP防火墙主界面，首先设置其基本参数，在菜单栏中依次单击“工具＞基本参数配置”命令。

STEP03：基本配置与热键配置

弹出“基本参数配置”对话框，在“基本配置”选项组中确保勾选所有的复选框，然后可在“热键配置”选项组中选择性设置。

STEP04：单击“高级参数配置”命令

单击“确定”按钮返回ARP防火墙主界面，在菜单栏中依次单击“工具＞高级参数配置”命令。

STEP05：常规配置

弹出“高级参数设置”对话框，1　在“常规配置”选项组中勾选“自动检测新版本”复选框，2　然后在“网关IP/MAC”选项组中单击选中“自动获取”单选按钮。

STEP06：防御配置

切换至“防御”选项卡，在“攻击行为检测”选项组中确保前三项已勾选即检测MAC地址扫描行为、检测局域网内的网管软件以及检测交换机攻击软件。

STEP07：安全配置

1　切换至“安全”选项卡，2　在“安全防护”选项组中勾选所有的复选框。

STEP08：报警配置

1　切换至“报警”选项卡，2　在“报警功能设置”选项组中选择发现ARP攻击后的报警方式，3　最后单击“确定”按钮保存退出，ARP防火墙会自动根据设置来防御ARP欺骗攻击。

009Q　如何使用网络守护神防御DNS攻击？

A　利用网络守护神新建网段名称，然后实时监控该网段即可防御DNS的攻击。

网络守护神（WebInsight）是一款网络管理软件。用户使用它不仅可以更好地管理局域网，同时也可以通过监控创建的VLAN更好地防范DNS欺骗攻击。

STEP01：启动网络守护神应用程序

在桌面上双击“网络守护神”快捷图标，启动网络守护神应用程序。

STEP02：输入新网段名称

弹出“网段名称”对话框，在文本框中输入新网段的名称，例如输入"VLAN1"。

STEP03：选择公网接入类型

单击“下一步”按钮切换至新的界面，选择公网接入类型，若是利用路由器实现共享上网，则此单击选中“路由器”单选按钮。

STEP04：选择网卡

单击“下一步”按钮切换至新的界面，在界面中选择对应的网卡，选中后可看见本地计算机的IP地址、MAC地址、子网掩码等信息。

STEP05：设置IP地址范围

单击“下一步”按钮切换至新的界面，设置VLAN1网段的起始IP地址和结束IP地址。

STEP06：开始监控创建的网段

单击“完成”按钮返回“监控网段配置”对话框，1　选中创建的VLAN1网段，2　单击“开始监控”按钮。

STEP07：单击“攻击检测”按钮

返回网络守护神主界面，此时可看见指定IP地址范围内的计算机，若要查看是否存在DNS攻击则单击“攻击检测”按钮。

STEP08：检测是否存在DNS攻击

弹出“网络攻击检测”对话框，单击“开始”按钮，开始检测局域网中是否存在DNS攻击。

STEP09：查看检测的结果

检测完毕后弹出提示框，如果不存在DNS攻击则会提示“未发现运行攻击程序主机！”，单击“确定”按钮关闭对话框即可。

010Q　怎样使用WPA2-PSK加密来保障无线网络的安全性？

A　只需打开路由器首页，设置无线网络的安全类型为WPA2-PSK，然后设置加密方式为AES后重启路由器即可。

在目前的无线网络安全技术中，无线网络的加密方式有三种，即64/128位WEP加密、WPA-PSK加密和WPA2-PSK加密。其中64/128位WEP加密方式采用的是RC4演算法，这种演算法存在弱点和漏洞，很容易被攻破，从而导致密码泄露；而WPA-PSK加密采用的TKIP算法也保留了RC4演算法和基本架构，因此，TKIP算法也存在着RC4本身所隐含的弱点。但WPA2-PSK与WPA-PSK不同，WPA2-PSK加密不仅采用了TKIP算法，而且采用了加密性能更强的AES算法，让黑客无法破解该无线网络的登录密码。

STEP01：输入路由器主页地址

启动IE浏览器，在地址栏中输入路由器主页的地址，例如输入“192.168.1.1”，然后按【Enter】键。

STEP02：输入路由器登录账户和密码

弹出“Windows安全”对话框，1　提示用户需输入登录账户和密码，若没有修改，则账户密码默认为admin，2　单击“确定”按钮。

STEP03：单击“基本设置”选项

进入路由器主界面，在左侧依次单击“无线参数＞基本设置”选项。

STEP04：选择无线网络的安全类型

1　单击“安全类型”右侧的下三角按钮，2　从展开的下拉列表中选择无线网络安全类型，如单击"WPA-PSK/WPA2-PSK"选项。

STEP05：设置安全选项和加密方法

1　接着设置安全选项和加密方法分别为"WPA2-PSK"和"AES"，2　然后输入PSK密码，3　输完后单击“保存”按钮。

STEP06：重启路由器

弹出提示框，提示用户需要重启路由器方能应用设置，单击“确定”按钮重启路由器即可。

第10章　网页攻防

网页虽然能让网络用户更方便、快捷地了解外面的世界，但是它也导致了恶意代码的出现，可能用户在打开或浏览某一网页时就会导致计算机遭受恶意代码的入侵，因此了解如何防范恶意代码攻击本地计算机就显得尤为重要。

本章知识点：

认识恶意代码

利用漏洞攻击网页

防范恶意代码的攻击

10.1　认识恶意代码

恶意代码又称为网页病毒、恶意软件，它的编写大多是出于商业或者探测资料的目的。例如宣传某个产品、提供网络收费服务或者对他人电脑直接进行有意破坏等。这类代码比较特殊。因此用户首先需要了解恶意代码的特征、传播方式以及遭受恶意代码攻击后的常见症状。

001Q　恶意代码有哪些特征？

A　恶意代码主要有3大特征：恶意的目的、本身是程序以及通过执行发生作用。

当用户稍不留神打开一个含有恶意代码的网页时就可能被感染，轻者被篡改浏览器地址栏文字，定时弹出IE浏览器窗口，重者将自动运行木马程序，甚至自动格式化磁盘分区。总的来说，恶意代码主要有3个特征：恶意的目的、本身是程序以及通过执行发生作用。

恶意的目的

恶意的目的是指黑客在编写恶意代码时是带着恶意的目的进行编写的，例如出于破坏对方系统的成就感、出于经济利益等。目前Internet中出现恶意代码的目的更多是为了经济利益。某些广告类代码可以通过用户的上网习惯以提高广告点击率来获取经济利益。更直接的是通过窃取网上信用卡、银行卡密码等直接对用户进行经济侵犯。Internet中出现了一类潜伏性的恶意代码，这类代码能够在攻击目标计算机时不被用户发现，进而可以通过窃取目标计算机上的账号密码来达到获取经济利益的目的。

本身是程序

恶意代码是一种程序，它可以在不被察觉的情况下嵌入到另一个程序中。通过运行别的程序而使恶意代码运行，从而达到破坏被感染计算机数据、程序以及窃取用户隐私信息的目的。

通过执行发生作用

恶意代码就像地雷一样，只要有人触碰了它，它就会自动运行，破坏目标计算机中的数据，或者收集目标计算机中的隐私信息，然后将其发送给攻击者。

非过滤性病毒

在恶意代码中，有一类代码叫做非滤过性病毒，这类代码破坏性很大，它包括谍件、口令性破解软件、键盘输入记录软件、Zombies和逻辑时间炸弹等，攻击者经常利用这些软件来获取密码、侦察网络通信等。

002Q　恶意代码的传播方式有哪些？

A　恶意代码的传播方式主要有两种：利用软件漏洞传播和利用电子邮件传播。

在Internet中，有些恶意代码是自启动的蠕虫和嵌入脚本，它们本身是软件，这类恶意代码对用户的活动没有要求。而有些恶意代码则像特洛伊木马、电子邮件蠕虫等，攻击者利用用户的心理操纵他们执行不安全的代码；还有一些是哄骗用户关闭保护措施来安装恶意代码。总的来说，恶意代码的传播方式主要有两种：利用软件漏洞传播和利用电子邮件传播。

利用软件漏洞传播

利用软件漏洞传播恶意代码最常见的是利用商业软件的漏洞进行传播。它们完全依赖商业软件产品的缺陷和弱点，例如溢出漏洞和可以在不适当的环境中执行任意代码。像没有打补丁的IIS软件就有输入缓冲区溢出方面的缺陷。利用Web服务缺陷的攻击代码有Code Red、Nimda, Linux和Solaris上的蠕虫也利用了远程计算机的缺陷。

利用电子邮件传播

利用电子邮件传播恶意代码最常见的手法是把含有恶意代码的邮件伪装成其他恶意代码受害者的感染报警邮件，恶意代码受害者往往是Outlook地址簿中的用户或者是缓冲区中Web页的用户，这样做可以尽可能地吸引用户的注意力。一些攻击者还表现了高度的心理操纵能力，LoveLetter就是一个突出的例子。一般用户对来自陌生人的邮件附件越来越警惕，而攻击者也设计一些诱饵引起用户的兴趣。附件的使用正在和必将受到网关过滤程序的限制和阻断，攻击者也会设法绕过网关过滤程序的检查。使用的手法可能包括采用模糊的文件类型，将公共的执行文件类型压缩成zip文件等。

恶意代码的传播趋势

虽然恶意代码的特征和传播手段多种多样，但是其传播趋势却越来越明确，主要表现在以下几个方面。

·种类更模糊：恶意代码的传播不单纯依赖软件漏洞或者社会工程中的某一种，而可能是它们的混合。比如蠕虫产生寄生的文件病毒、特洛伊程序、口令窃取程序、后门程序，进一步模糊了蠕虫、病毒和特洛伊的区别。

·多平台攻击：有些恶意代码对不兼容的平台都能够起作用。来自Windows的蠕虫可以利用Apache的漏洞，而Linux蠕虫会派生exe格式的特洛伊。

·同时攻击服务器和客户机：对于恶意代码来说，服务器和客户机的区别越来越模糊，客户机和服务器如果运行同样的应用程序，也将受到恶意代码的攻击。像IIS服务是一个操作系统默认的服务，因此该服务程序的缺陷是各台计算机共有的，Code Red的影响也只不限于服务器，还会影响到众多的客户机。

003Q　遭受恶意代码攻击后的症状有哪些？

A　遭受恶意代码攻击后的症状有IE默认主页被篡改、IE浏览器标题栏被篡改以及格式化磁盘。

黑客将恶意代码放置在网页中或者邮件中，一旦目标计算机用户打开含有恶意代码的网页或者运行含有恶意代码的邮件，计算机就会遭受恶意代码的攻击，遭受恶意代码攻击后的症状主要有IE默认主页和标题栏被篡改、IE浏览器部分设置被禁止以及格式化磁盘。

IE默认主页被篡改

IE默认主页被篡改的主要原因是恶意代码修改了注册表中HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page和HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page两项中的"Start Page"键值。

IE浏览器标题栏被篡改

在正常情况下，IE浏览器的标题栏后面都会有"Microsoft Internet Explorer"的字样，如果用户发现IE浏览器的标题栏后面跟着其他信息时，很可能是恶意代码利用注册表将其修改成网址或一些广告信息。

格式化磁盘

当浏览带有此类恶意代码的网页时，浏览器可能会自动弹出警告“当前的页面含有不安全的ActiveX，可能会对用户造成危害”之类的提示对话框，让用户选择是否继续。如果选择了“是”，则很可能导致硬盘被格式化，而格式化时的操作都是最小化进行的，等发现时后悔也来不及了。

10.2　利用漏洞攻击网页

提到漏洞，用户可能会想到操作系统和应用软件，其实网页中也存在漏洞，这些漏洞同样可以被黑客抓住并实施入侵，黑客一旦掌握了网页中存在的漏洞，就会采取各种手段发起攻击，例如在网页中植入木马或者获取网页管理员账户密码等，因此用户不仅要掌握常见的网站漏洞，还需要了解黑客是如何获取网站管理员账户密码的。

004Q　常见的网站漏洞有哪些？

A　常见的网站漏洞有上传漏洞、暴库、注入、旁注和COOKIE诈骗五种。

漏洞不仅仅是操作系统和应用软件才有的，Internet中的不少网站同样存在漏洞，黑客可以利用这些漏洞在网页中植入木马、病毒或恶意代码，一旦用户打开或浏览这些网页，计算机就会遭到入侵，常见的网站漏洞有上传漏洞、暴库、注入、旁注和Cookies诈骗。

上传漏洞

该漏洞以前被黑客们广泛利用以获取Webshell，危害等级超高。如果在浏览器地址栏中的网址后加上/upfile.asp，若显示“上传格式不正确”或“重新上传”这样的字样，则很有可能就是有上传漏洞了，找个可以上传的工具直接可以得到Webshell。

WebShell

WebShell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称做是一种网页后门。黑客在入侵了一个网站后，通常会将这些asp或php后门文件与网站服务器Web目录下正常的网页文件混在一起，完成后就可以使用浏览器来访问这些asp或者php后门，得到一个命令执行环境，以达到控制网站服务器的目的，可以上传下载文件，查看数据库，执行任意程序命令等。

暴库

暴库是指攻击者通过向网站提交字符得到数据库文件后，直接获取该网站站点的前/后台权限。

注入

该漏洞是现在应用最广泛，杀伤力也很大的漏洞。注入漏洞是由于字符过滤不严禁所造成的，可以利用注入漏洞得到管理员的账号密码等相关资料。

旁注

攻击者无法直接入侵比较坚固的网站时，可能就会找出和这个网站同一服务器的站点，然后通过该站点用提权、嗅探等方法来入侵前面较坚固的网站。例如A和B是住在一个楼的，A家很安全，而B家却漏洞百出，现在有个贼想进入A家，他对A家做了监视（扫描），发现没有什么可以利用的东西，但是这个贼发现B家和A家一个楼，而B家很容易就能进去，因此贼会先进入B家，然后通过B家得到整个楼的钥匙（系统权限），这样就自然得到A家的钥匙了，就可以进入A家（网站）了。

Cookies诈骗

Cookies就是指将自己电脑的ID和MD5密码（MD5是加密后的一个16位的密码）更换成某个网站管理员的ID和MD5密码，让系统误以为自己是管理员，从而获取管理权限。

Cookies

Cookies一词用在程序设计中是指一种能够让网站服务器把少量数据储存到客户端的硬盘或内存，或是从客户端的硬盘读取数据的一种技术。当用户浏览某网站时，由Web服务器置于电脑硬盘上的一个非常小的文本文件，它可以记录用户的用户ID、密码、浏览过的网页、停留的时间等信息。当用户再次来到该网站时，网站通过读取Cookies，得知用户的相关信息，就可以做出相应的动作，如在页面显示欢迎你的标语，或者让用户不用输入ID、密码就直接登录等。

005Q　如何利用啊D注入来获取管理员密码？

A　首先检测指定网页是否存在注入点，然后利用该注入点来检测可用表段和字段，进一步探测出管理员的账户密码。

啊D是常用的注入工具之一，黑客利用该工具可扫描出目标网站的注入点，然后通过检测注入点、表段和字段来获取网站的管理员账户和密码，从而以管理员的身份对网站进行其他的操作，一旦成功修改网站管理员的账号和密码，攻击者就有可能获得网站的控制权。

STEP01：运行啊D注入工具

下载啊D注入工具后将其解压到本地计算机中，在解压后的文件夹窗口中双击对应的快捷图标。

STEP02：打开要检测的网页

打开啊D主界面窗口，1　在检测网址右侧文本框中输入要扫描的网址，2　单击右侧的“打开网页”按钮。

STEP03：选择要检测的注入点

网页打开的同时，程序开始扫描网页中的可用注入点，在“可用注入点”列表框中显示了可用的注入点，1　右击任意注入点，2　在弹出的快捷菜单中单击“注入检测”命令。

STEP04：单击“检测”按钮

切换至新的界面，在顶部“注入连接”右侧单击“检测”按钮。

STEP05：检测选中的字段

1　单击“检测表段”按钮开始检测可用字段。在“检测表段”列表框中可看见检测结果，2　选中ADMIN，3　单击“检测字段”按钮。

STEP06：检测选中字段的内容

检测后可在列表框中看见检测的结果，1　选中要检测的字段，例如选择ID、密码、姓名、账号。2　然后单击“检测内容”按钮。

STEP07：查看检测出的管理员信息

耐心等待一段时间后可在“检测内容”列表框中看见检测出的管理员编号、ID、密码、姓名等信息。

STEP08：单击“用IE打开连接”命令

切换至“管理入口检测”选项卡，1　输入可用注入点网址，2　单击“检测管理入口”按钮，3　右击管理入口网页对应的网址，4　在弹出的快捷菜单中单击“用IE打开连接”命令。

STEP09：输入管理员账户和密码

在打开的浏览器窗口中可看见系统管理后台的登录页面，1　输入账户和密码，2　然后单击“进入”按钮。

STEP10：登录成功

执行上一步操作后跳转至新的页面，此时可看见“欢迎超级管理员进入后台管理系统”的信息，此时便可在后台对该系统进行操作。

10.3　防范恶意代码的攻击

恶意代码一旦被攻击者植入网页中，该网页就是危险性网页，用户一旦打开或浏览该网页，就会使得计算机遭受恶意代码的攻击，目前的杀毒软件并不能查杀所有的恶意代码，因此用户需要提高IE浏览器的安全系数来防范恶意代码攻击，另外还需要学会利用注册表来清理已成功入侵的恶意代码，确保个人信息的安全。

006Q　如何提高IE浏览器的安全系数？

A　可以采取两种有效措施来提高IE浏览器的安全系数：定期清理Internet临时文件和取消自动记忆网页密码。

浏览器是访问网页的重要窗口，在Windows系统中，IE是默认的浏览器，随着Internet中病毒、恶意代码以及木马的泛滥，用户需要提高IE浏览器的安全系数确保自己的计算机不被恶意代码攻击。

定期清理Internet临时文件

用户在浏览网页后，浏览器会自动在特定的目录中保留所浏览的网页内容，这些内容就是Internet临时文件，这些临时文件可以提高网页的打开时间，但是由于这些临时文件中含有用户的隐私信息，因此很可能会造成这些隐私信息的泄露，所以用户需要养成定期清理Internet临时文件的习惯。

STEP01：单击“Internet选项”选项

打开IE浏览器窗口，1　单击右侧的“工具”按钮，2　在展开的列表中单击“Internet选项”选项。

STEP02：单击“删除”按钮

弹出“Internet选项”对话框，在“浏览历史记录”选项组中单击“删除”按钮，若想在关闭浏览器后自动删除历史记录，则可勾选“退出时删除浏览历史记录”复选框。

STEP03：选择要删除的历史记录

弹出“删除浏览的历史记录”对话框，1　取消勾选“保留收藏夹和网站数据”复选框，2　然后在下方选择要删除的数据，建议全部勾选，选中后单击“确定”按钮即可删除所选的历史记录。

利用第三方软件清理IE历史痕迹

如果用户觉得手动清理IE浏览器的历史痕迹很麻烦，还可以采用其他软件来清理历史痕迹，在Internet中，常用的第三方软件有Windows 7优化大师、超级兔子和360安全卫士等软件。

取消自动记忆网页密码

IE浏览器具有自动记录网页密码的功能，如果用户使用的电脑安装了防火墙和杀毒软件，则可以考虑不取消该功能，若是公用的计算机，最好将该功能取消，以免造成不必要的损失。

STEP01：单击“设置”按钮

打开“Internet选项”对话框，1　切换至“内容”选项卡，2　在“自动完成”选项组中单击“设置”按钮。

STEP02：取消自动记录网页密码功能

弹出“自动完成设置”对话框，1　在“自动完成功能应用于”列表框中取消勾选所有的复选框，2　然后单击“确定”按钮保存退出。

添加可信站点和受限站点

IE浏览器提供了添加可信站点和受限站点的功能，用户可以将自己信任的网站添加到可信站点中，可以将非法的、不安全的网页添加到“受限站点”中，即直接利用IE将其屏蔽。

STEP01：单击“站点”按钮

打开“Internet选项”对话框，1　切换至“安全”选项卡，2　在列表框中单击“可信站点”选项，3　然后单击“站点”按钮。

STEP02：添加可信站点

弹出“可信站点”对话框，1　在“将该网站添加到区域”文本框中输入可信的网站网址，2　单击“添加”按钮。

STEP03：查看添加的可信站点

此时可看见网址已添加到“网站”列表框中，即成功添加可信站点，单击“关闭”按钮。

STEP04：选择受限站点

返回“Internet选项”对话框，1　单击“受限站点”选项，2　然后单击“站点”按钮。

STEP05：添加受限站点

弹出“受限站点”对话框，1　在“将该网站添加到区域”文本框中输入受限的网站网址，2　单击“添加”按钮。

STEP06：查看添加的受限站点

此时可看见网址已添加到“网站”列表框中，即成功添加受限站点，单击“关闭”按钮，最后单击“确定”按钮保存退出。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

007Q　如何利用注册表清理恶意代码？

A　利用注册表清理恶意代码就是修改注册表中对应键值项的值，该操作可以清除自动弹出的网页和对话框，还可以修复IE浏览器的默认首页和标题栏显示信息。

注册表在整个Windows系统中起着核心的作用，它是恶意代码攻击的主要对象，一旦恶意代码修改了注册表信息，轻则导致Windows系统的启动过程出现异常，重则导致整个系统无法正常启动，当计算机中出现了本章问题3中出现的症状时，可以手动清理或者修改注册信息。

清除自动弹出的网页和对话框

用户在上网的过程中经常会遇到自动弹出的网页和对话框，这些网页和对话框不但会影响用户上网的心情，而且还可能会让计算机感染病毒，因此用户最好手动清除对应的注册表信息。

STEP01：输入regedit命令

按【WIN+R】组合键，打开“运行”对话框，1　输入regedit命令，2　单击“确定”按钮。

STEP02：找到Run子键

在打开的“注册表编辑器”窗口左侧单击HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run子键。

STEP03：删除目标键值项

在右边窗格中选中url、htm、html、asp和php等网址属性的键值项，1　右击任意选中的键值项，2　在弹出的快捷菜单中单击“删除”命令。

STEP04：确定永久删除

弹出“确认数值删除”对话框，提示用户删除某些注册表值将会引起系统的不稳定，直接单击“是”按钮，确定永久删除这些数值，使得用户在浏览网页时不再弹出其他网页。

STEP05：找到Winlogon子键

在“注册表编辑器”窗口的左侧找到并单击HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon子键。

STEP06：删除目标键值项

在该子键的右边窗格中选中Legal NoticeCaption和LegalNoticeText两个键值项，1　右击任意选中的键值项，2　在弹出的快捷菜单中单击“删除”命令。

STEP07：确定永久删除

弹出“确认数值删除”对话框，单击“是”按钮，确定永久删除这些数值，使得用户在浏览网页时不再自动弹出对话框。

修改Legal NoticeCaption和LegalNoticeText键值

在设置不自动弹出对话框时，用户除了直接删除Winlogon子键下的Legal NoticeCaption和LegalNoticeText两个键值项之外，还可以通过删除它们的键值（但保留键值项）来实现，同样可以达到不自动弹出对话框的目的。

还原IE浏览器的默认首页和标题栏显示信息

恶意代码会通过修改注册表信息来达到修改IE浏览器默认主页和标题栏内容的目的，一旦发现IE浏览器的默认主页和标题栏被篡改，用户可以通过修改注册表信息来还原IE浏览器的默认主页和标题栏。

STEP01：找到MAIN子键

打开“注册表编辑器”窗口，在左侧找到HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\MAIN子键。

STEP02：双击Start Page键值项

若要修改IE浏览器的默认首页，则在右侧双击Start Page键值项。

STEP03：修改IE默认首页网址

弹出“编辑字符串”对话框，1　在“数值数据”文本框中输入首页网址，如输入about:blank，2　单击“确定”按钮。

STEP04：双击Window Title键值项

返回“注册表编辑器”窗口，双击Window Title键值项，查看IE浏览器标题栏的显示信息。

STEP05：修改IE标题栏的显示信息

弹出“编辑字符串”对话框，1　在“数值数据”文本框中输入Microsoft Internet Explorer，2　单击“确定”按钮。

STEP06：找到Main子键

在“注册表编辑器”窗口的左侧找到并单击HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main子键。

STEP07：双击Start Page键值项

仅仅修改HKEY_LOCAL_MACHINE根键下的Main子键是不够的，还需要修改HKEY_CURRENT_USER根键下的Main子健，在右侧双击Start Page键值项。

STEP08：修改IE默认首页网址

弹出“编辑字符串”对话框，1　在“数值数据”文本框中输入about:blank，2　然后单击“确定”按钮。

STEP09：双击Window Title键值项

返回“注册表编辑器”窗口，双击Window Title键值项。

STEP10：修改IE标题栏的显示信息

弹出“编辑字符串”对话框，1　在“数值数据”文本框中输入Microsoft Internet Explorer，2　单击“确定”按钮保存退出。

第11章　E-mail攻防

电子邮箱是一种用于联系沟通和保存资料的重要工具，它的广泛性也使得它成为大量黑客的攻击目标。黑客不仅可以轻松盗取邮箱密码，而且还可以利用邮箱炸弹来发起攻击。面对这些攻击手段，用户需要做好电子邮箱的安全防御措施。

本章知识点：

盗取邮箱密码

常见的邮件攻击方式与防范

做好电子邮箱的防御措施

11.1　盗取邮箱密码

邮箱密码是登录邮箱的钥匙，一旦邮箱密码泄露，则邮箱内的个人信息也会泄露，从而来带重大的损失。由于电子邮箱本身存在着一些漏洞，因此黑客可通过这些漏洞来获取账号及密码。本节将会向读者介绍黑客获取账号密码的方法，用户也可利用这个方法来检测自己邮箱的安全状况。

001Q　黑客怎样利用“流光”软件探测邮箱密码？

A　在“流光”软件中添加邮箱用户名字典和密码字典，然后对字典中包含的邮箱用户名进行确定范围内的密码探测。

“流光”（Fluxay）是一款比较不错的国产软件，它具有非常丰富的功能，包括扫描各种类型的主机、探测用户信息、破解密码、探测主机漏洞等，这里主要介绍使用流光来探测邮箱密码。

STEP01：双击Fluxay快捷图标

下载流光软件后将其安装到本地计算机后，在桌面上双击Fluxay快捷图标，启动流光应用程序。

STEP02：添加POP3主机

打开流光应用程序主界面，1　在左侧列表框中右击“POP3主机”选项，2　接着在弹出的快捷菜单中依次单击“编辑＞添加”命令。

STEP03：设置POP3服务器

弹出“添加主机（POP3）”对话框，1　在文本框中输入POP3服务器名称，例如输入"pop.163.com"，2　输入完毕后单击“确定”按钮。

STEP04：单击“从列表添加”命令

返回主界面中，1　右击刚刚添加的"pop.163.com"选项，2　在弹出的快捷菜单中依次单击“编辑＞从列表添加”命令。

STEP05：选择邮箱用户名所在的文件

弹出“打开”对话框，1　在“查找范围”下拉列表中选择流光的安装文件夹，2　选中软件所带的dic文件，3　单击“打开”按钮。

STEP06：添加解码字典或方案

返回主界面中，1　右击“解码字典或方案”选项，2　在弹出的快捷菜单中依次单击“编辑＞添加”命令。

STEP07：选择解码字典或方案文件

弹出“打开”对话框，1　在“查找范围”下拉列表中选择流光安装位置，2　选中软件所带的解码字典方案文件，3　单击“打开”按钮。

自定义密码字典

在添加解码字典或方案时，如果用户对软件自带的字典内容不满意，则可以按照自己的方式去设置密码字典，具体操作为：在“流光”程序主界面的菜单栏中依次单击“工具＞字典工具＞黑客字典Ⅲ-流光版”命令，然后利用字典生成器进行有目的的密码字典编写。

STEP08：选择用户名字典和密码字典

返回主界面，在左上角的列表框中勾选添加的用户名字典和密码字典。

STEP09：单击“简单模式探测”命令

接着在菜单栏中依次单击“探测＞简单模式探测”命令。

STEP10：正在探测邮箱密码

此时流光正在根据添加的解码字典探测用户的密码，请耐心等待，探测出正确的账号密码后会自动弹出“探测结果”对话框，显示对应的邮箱地址和密码。

002Q　黑客怎样利用“黑雨”软件破解邮箱密码？

A　首先在“黑雨”主界面中配置邮箱信息和密码破译信息，然后选择破译算法。

“黑雨POP3邮箱密码暴力破解器”也是一款功能非常强大的POP3邮箱密码破解软件，它可以根据用户的不同情况采取不同的算法以加快邮箱密码的破解速度。

STEP01：启动黑雨应用程序

“黑雨”是一款绿色软件，下载后将其解压到本地计算机后，双击bkrain快捷图标，启动黑雨应用程序。

STEP02：输入POP3地址和用户名

在“黑雨”主界面的左侧分别输入POP3地址和POP3用户名（欲破解的邮箱用户名）。

STEP03：设置字符集与密码位数

1　在顶部单击选中“选取字符集”单选按钮，2　勾选下面所有的复选框，3　然后在“密码位数”下方文本框中设置猜测的密码位数。

STEP04：选择破解算法

设置完毕后在下方选择破解的算法，例如选择“深度算法”，单击“深度算法”按钮。

黑雨提供的四种密码破解算法

在黑雨主界面窗口中，用户可看见深度算法、广度算法、多线程深度算法、多线程广度算法四种算法。不同的情况下可选择不同的算法。

·深度算法：深度算法是一种十分特殊的算法，如果密码的位数猜得准确，就可将时间缩短30%～70%。

·广度算法：广度算法CPU占用比深度算法多2%，但速度要快一些，它是一种很常见的算法，现在大多数类似功能的密码破解工具都采用它，广度算法对短小密码（3位以下）的破解能力非常强。

·多线程深度算法：如果CPU频率十分高，采用多线程深度算法可以极大地提高破解速度。

·多线程广度算法：多线程广度算法是广度算法的多线程方式。

STEP05：查看破解的结果

耐心等待一段时间之后，即可在主界面的右侧列表框中看见破解出的邮箱密码。

003Q　黑客怎样利用WebCracker探测邮箱密码？

A　首先在WebCracker中导入含有用户名和密码的文件，然后坐等WebCracker暴力破解。

WebCracker拥有很实用的功能，同时它也支持代理服务器，其Web邮箱密码的破解与POP邮箱类似。利用WebCracker破解邮箱密码甚至比“流光”、“黑雨”软件更简单，只要输入准备好的账号、密码字典以及目标计算机的地址就可开始破解。另外，WebCracker还具有声音提示功能，能够提醒用户破译是否成功。

STEP01：启动WebCracker应用程序

WebCracker是一款绿色软件，下载后将其解压到本地计算机后，双击WebCrack快捷图标，启动WebCracker应用程序。

STEP02：查看警告信息

弹出“警告”对话框，1　勾选“不再显示此页”复选框，2　然后单击“我同意！”按钮。

STEP03：单击“我同意！”按钮

弹出Apology对话框，1　勾选“不再显示此页”复选框，2　然后单击“我同意！”按钮。

STEP04：单击“浏览”按钮

进入WebCracker主界面，在“用户名文件”右侧单击“浏览”按钮。

STEP05：选择用户名文件

弹出Browse对话框，1　在“查找范围”下拉列表中选择用户名文件所在的文件夹，2　选中包含邮箱用户名的文件，3　单击“打开”按钮。

STEP06：单击“浏览”按钮

返回WebCracker主界面，在“使用密码文件”右侧单击“浏览”按钮。

STEP07：选择密码文件

弹出Browse对话框，1　在“查找范围”下拉列表中选择密码文件所在的文件夹，2　选中包含密码的文件，3　单击“打开”按钮。

STEP08：输入需要破解的网址或IP地址

返回WebCracker主界面，在URL右侧的文本框中输入需要破解的网址或IP地址，然后单击“开始”按钮。

STEP09：不保存更改设置

WebCracker正在探测Web邮箱的用户名和密码，该过程所花费的时间取决于用户名和密码字段，该方法属于暴力破解，需耐心等待。

STEP10：双击log000文件图标

打开WebCracker快捷图标所在的文件夹，双击log000文件图标。

STEP11：查看破解的密码

此时可在打开的记事本中看见破解的账户名和密码。

11.2　常见的邮件攻击方式与防范

电子邮箱是Internet中应用最广的信息交流工具之一，因此黑客们也盯上了这块“肥肉”，使用各种邮件攻击的方式来达到自己的目的，可能是想炫耀一下自己的黑客技术，也可能是想非法盗取他人的隐私信息。因此用户需要了解常见的邮件攻击方式并采取防范措施。

004Q　常见的邮件攻击方式有哪些？

A　常见的邮件攻击方式包括发送垃圾邮件、发送携带病毒木马的邮件以及邮件炸弹攻击三种。

Internet中大多数邮件服务器都使用UNIX系统，包括Solaris、HPUX、AIX、IRIX等，其中最通用的配置是运行sendmail和popper服务软件。其中sendmail是SMTP服务器，专门负责接收和发送邮件；而popper是通过POP3协议来专门负责用户读取和处理邮件的请求。黑客常使用的邮件攻击方式主要有下面三种。

发送垃圾邮件

垃圾邮件（spam）现在还没有一个非常严格的定义。一般来说，凡是未经用户许可就强行发送到用户邮箱中的任何电子邮件都可称为垃圾邮件。黑客一旦使用多台计算机向邮件服务器发送巨量的垃圾邮件，将会造成邮件服务器大量带宽损失，并严重干扰邮件服务器进行正常的邮件递送工作。

发送携带病毒木马的邮件

有时候用户会在电子邮箱中收到陌生人的邮件，有的邮件携带附件，而有的邮件携带网页链接，一旦用户下载并运行了附件或者打开了网页链接，木马病毒就会入侵到电脑中，这也是黑客们常使用的邮件攻击方式。

邮件炸弹攻击

邮件炸弹是最古老的匿名攻击方式之一，通过设置一台计算机不断地向同一个电子邮箱地址发送大量的电子邮件，攻击者能够耗尽接收者网络的宽带。由于这种攻击方式简单易用，也有不少发匿名邮件的工具，并且只要攻击者获悉用户的电子邮箱地址就可以进行攻击，所以这是用户最值得防范的一个攻击手段。

005Q　黑客如何发动邮箱炸弹攻击？

A　首先导入含有邮箱地址的文件，然后编辑要发送的邮件内容和主题，配置发送邮箱信息后即可发起邮箱炸弹攻击。

黑客发起邮箱炸弹攻击需要利用专门的邮件群发软件，例如亿虎Email群发大师，该软件是基于Internet上的标准邮件服务器的专业高速E-mail群发程序，普通用户可使用它给多个好友发送邮件，而黑客却可使用它来实现邮件炸弹攻击。

STEP01：双击“亿虎Email群发大师”图标

下载并安装亿虎Email群发大师后，在桌面上双击“亿虎Email群发大师”图标，启动该应用程序。

STEP02：单击“增加”按钮

打开“亿虎Email群发大师”程序主界面，单击工具栏中的“增加”按钮。

STEP03：选择含有邮箱地址的文件

弹出“选择地址文件”对话框，1　在“查找范围”下拉列表中选择文件所在位置，2　选中含有邮箱地址的文件，3　单击“打开”按钮。

STEP04：输入邮件主题和内容

返回主界面窗口，1　单击工具栏下方的“邮件内容”按钮，2　接着在下方输入邮件的主题和内容。

导入多个相同地址实现炸弹攻击

在STEP03导入的邮箱地址文本文档中，如果该文档中包含的邮箱地址全部相同，并且向目标邮箱发送的邮件多且容量过大，就会造成邮件炸弹攻击。

STEP05：单击“服务器”按钮

在工具栏的右下方单击“服务器”按钮。

STEP06：单击“服务器增加”按钮

接着在主界面的左侧单击“服务器增加”按钮。

STEP07：设置发送服务器详细信息

弹出“增加”对话框，1　填写发件人地址、名称和回信地址，2　在“SMTP内置服务器”选项组中输入有效的DNS服务器，3　输入完毕后单击“测试”按钮。

STEP08：提示DNS服务器的有效性

弹出“提示”对话框，提示用户输入的DNS服务器有效，单击“确定”按钮，若结果显示DNS服务器无效，则需重新填写DNS服务器，直到测试出有效的DNS服务器位置。

STEP09：开始发送邮件

单击“确定”按钮，返回主界面，在工具栏中单击“开始”按钮，开始向指定的邮箱地址发送邮件。

STEP10：查看邮件发送的结果

发送完毕后单击“失败成功”按钮，在主界面中看见发送的结果，左侧为发送失败的邮箱地址，右侧为发送成功的邮箱地址。

006Q　如何防范邮箱炸弹的攻击？

A　常见的邮箱炸弹攻击防范措施有求援ISP、使用邮箱的转信功能、巧用邮箱的来信分类功能以及谨慎使用自动回复功能四种。

对于邮箱炸弹，大部分用户无法做到“以其人之道还治其人之身”，因此就只有想办法来预防这些攻击者的攻击，让他们无机可乘。由于破坏分子的炸弹随时随地都能发射，这就要求防御体系必须随时随地都能拦截。为保证真正彻底地完成拦截任务，用户可以参考以下几种防范措施。

求援ISP

如果电子邮箱被轰炸，但自己又没有好的办法来对付它，这时应该做的就是拿起电话向你上网的ISP服务商求援，他们就会采取办法帮你清除邮箱炸弹。在日常上网的过程中，不要“惹是生非”。在聊天室同人聊天，在论坛上与人争鸣，都要注意言辞不可过激，更不能进行人身攻击。

使用邮箱的转信功能

有些邮件服务器为了提高服务质量往往设有“自动转信”功能，利用该功能可以在一定程度上解决超大邮件的攻击。假设你申请了一个转信信箱，利用该信箱的转信功能和过滤功能，可以将那些不愿意看到的邮件全部过滤掉，删除在邮件服务器中，或者将垃圾邮件转移到自己其他免费的信箱中，或者干脆放弃使用被轰炸的邮箱，另外重新申请一个新的信箱。

巧用邮箱的来信分类功能

目前有许多邮箱自带来信分类的功能，用户在接收任何电子邮件之前可以先检查发件人的资料，如果觉得有可疑之处，可以将之删除，不让它进入你的邮件系统。但这种做法有时会误删一些有用的邮件。如果担心有人恶意破坏你的信箱，给你发来一个“重磅炸弹”，可以在邮件软件中启用过滤功能，自动删除超过信箱容量的大邮件。

STEP01：单击“设置”链接

登录网易邮箱，在邮箱首页的右上角单击“设置”链接。

STEP02：单击“来信分类”连接

打开“设置首页”界面，在“邮件收发”右侧单击“来信分类”链接。

STEP03：新建来信分类

打开“来信分类”页面，单击“新建来信分类”按钮。

STEP04：设置分类规则

1　输入名称，设置分类条件及满足条件时执行的操作，2　单击“确定”按钮保存退出。

谨慎使用自动回复功能

所谓“自动回信”，就是指对方给你的这个信箱发来一封信而你没有及时收取的话，邮件系统会按照事先的设置自动给发信人回复一封确认收到的信件。这个功能本来给大家带来了方便，但也有可能造成邮件炸弹。试想一下，如果给你发信的人使用的邮件账号系统也开启了自动回信功能，那么当你收到他发来的信而没有及时收取时，你的系统就会给他自动发送一封确认信。恰巧他在这段时间也没有及时收取信件，那么他的系统又会自动给你发送一封确认收到的信。如此一来，这种自动发送的确认信便会在你们双方的系统中不断重复发送，直到把你们双方的信箱都撑爆为止。

11.3　做好电子邮箱的防御措施

Internet中没有绝对安全的电子邮箱，即使是VIP邮箱也只是相对安全。为了避免自己的邮箱遭到攻击或密码泄露，用户需要做好防范措施，例如借助360安全浏览器实现电子邮箱的安全登录，并且牢牢记住申请邮箱时填写的密码保护问题答案或手机号码，这样一来，即使邮箱密码泄露，也能够轻松找回被盗的邮箱。

007Q　如何安全登录电子邮箱？

A　在计算机中安装360安全卫士，利用其独有的“无痕模式”实现电子邮箱的安全登录。

由于木马病毒在Internet中日益猖獗，因此用户在登录电子邮箱时需要注意安全。360安全浏览器独有的“无痕模式”使得用户能够安全登录电子邮箱。360浏览器还会在关闭邮箱所在的页面后自动清除其所有信息。

STEP01：启动360安全浏览器程序

安装360安全浏览器后在桌面上双击对应的快捷图标，启动360安全浏览器程序。

STEP02：启用无痕模式

在打开的窗口顶部单击“无痕”右侧的下三角按钮，从展开的下拉列表中单击“无痕浏览”选项。

STEP03：单击“免费邮箱”链接

在打开的新窗口顶部地址栏中输入网易首页的地址http://www.163.com，然后在页面的顶部单击“免费邮箱”链接。

STEP04：输入账户和密码

跳转至邮箱登录页面，1　输入邮箱账号和密码，选择邮箱类型，2　然后确保“SSL安全登录”复选框被勾选，3　最后单击“登录”按钮即可安全登录电子邮箱。

SSL安全登录

SSL是Secure Socket Layer的英文缩写，译为安全套接层协议层。使用该协议后，用户提交的所有数据会首先加密，再提交到网易邮箱，从而可以有效防止黑客盗取用户名、密码和通信内容，保证了个人隐私的安全。

008Q　如何找回失窃的电子邮箱？

A　利用申请邮箱时所填写的密码保护或者手机号码即可修改邮箱密码，从而找回失窃的电子邮箱。

邮箱密码被他人窃取后可采用多种方式找回，例如通过密码提示问题、保密邮箱、QQ号码、手机以及安全码等方式。其中密码提示问题是在用户注册邮箱时自己设置的，应当牢牢记住密码提示问题的正确答案，这样就可以重新修改密码，无论其他人盗取多少次，你都可以使用密码提示问题答案来重新设置邮箱密码。这里以网易邮箱为例介绍如何使用密码提示问题答案来找回失窃的邮箱密码。

STEP01：单击“忘记密码”链接

打开网易邮箱登录页面，在页面右侧单击“忘记密码”链接。

STEP02：输入邮箱地址和验证码

打开“输入通行证账号”页面，1　输入电子邮箱地址和验证码，2　单击“下一步”按钮。

STEP03：通过密码提示问题找回密码

跳转至新的页面，在页面中选择找回密码的方式，既可以选择通过密码提示问题，也可以选择通过手机号找回密码，这里选择“通过密码提示问题”找回密码。

STEP04：输入密保问题和新密码

1　跳转至新的页面，在页面中输入密码提示问题的答案、新密码和验证码，输入完毕后，2　单击“完成”按钮。

STEP05：密码修改成功

执行上一步操作后跳转至新的页面，此时可在页面中看见提示信息，提示用户“通过密码提示问题找回密码操作成功”。如果想要验证密码是否修改成功，可单击“马上登录”按钮进行查看。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

第12章　QQ攻防

QQ是目前国内使用最为广泛的即时聊天工具之一，它不仅功能强大，而且还推出了6位号QQ以及情侣QQ等号码，这样也使得QQ成为被攻击的对象，各种破解、盗取QQ密码的软件也应运而生，因此用户需要采取相应的QQ防盗措施。

本章知识点：

盗取QQ密码

远程攻击QQ

保护QQ密码和聊天记录

12.1　盗取QQ密码

使用过QQ的用户都知道，登录QQ时只有输入正确的QQ账号和密码才能登录成功。腾讯公司在推出QQ时，也同时推出了6位QQ号、QQ情侣号等吸引网民的号码，而这些号码也成为众多黑客攻击的主要目标。

001Q　黑客怎样利用QQ简单盗盗取QQ密码？

A　首先配置能自动记录账号和密码的木马，一旦目标计算机运行该木马，它就会将记录的账号密码发送到指定的邮箱中。

QQ简单盗是一款不错的盗号工具，它采用了比较领先的进程插入技术，使得QQ简单盗本身无进程，无注册表启动项，增加了文件自保护功能，使得某些程序无法查杀和删除。下面就介绍QQ简单盗的使用方法。

STEP01：启动QQ简单盗程序

下载QQ简单盗后将其解压到本地计算机中，然后双击对应的快捷图标，启动QQ简单盗应用程序。

STEP02：设置收/发邮箱信息

打开QQ简单盗主界面，1　输入收信邮箱地址、发信邮箱地址、发信箱密码，设置SMTP服务器，2　输入完毕后单击“测试发信”按钮，测试设置的邮箱是否正确。

STEP03：单击OK按钮

弹出“QQ简单盗”对话框，提示用户查看邮箱是否收到测试信件，单击OK按钮，打开收信邮箱，查看是否已收到测试邮件。

STEP04：单击“选择木马图标”按钮

返回QQ简单盗主界面中，保持ASP收信的默认设置，然后单击底部的“选择木马图标”按钮。

STEP05：选择木马图标

弹出“打开”对话框，1　在“查找范围”下拉列表中选择图标所在的文件夹，2　然后在列表框中双击选中的图标。

STEP06：单击“生成木马”按钮

返回QQ简单盗主界面，此时可在底部看见所选的木马图标，单击右侧的“生成木马”按钮。

STEP07：设置木马的保存位置和文件名

弹出“另存为”对话框，1　在“保存在”下拉列表中选择保存木马的位置，2　接着在下方的“文件名”文本框中输入生成的木马文件名，例如输入"Excel"，3　输入完毕后单击右侧的“保存”按钮。

STEP08：单击“确定”按钮

弹出“提示”对话框，提示用户木马文件已生成到指定的位置，单击“确定”按钮，打开木马文件保存位置对应的窗口，可看见生成的木马程序，让其在目标计算机运行即可随时监控目标计算机以获取QQ账号和密码。

002Q　黑客怎样利用QQ眼睛盗取QQ密码？

A　首先将QQ眼睛安装在QQ正常程序的安装文件夹中，然后配置QQ眼睛服务端程序即可坐等QQ眼睛盗取账号密码。

QQ眼睛是一种安装在本地计算机上的盗号软件，当其他人在该计算机上使用QQ聊天软件时，该软件就会记录其号码和密码并把结果发送到指定的邮箱，同时也可以将该号码和密码记录在本地计算机中指定的文本文档中。

STEP01：启动QQ眼睛应用程序

下载QQ眼睛后将其解压到本地计算机中，将其安装到正常QQ安装文件夹中，安装后会在桌面上出现快捷图标，双击该图标。

STEP02：单击“确定”按钮

弹出“提示”对话框，提示用户界面中的"XX"字母代表"QQ"文字，单击“确定”按钮。

STEP03：关闭打开着的QQ程序

弹出“警告”对话框，提示用户请先关闭打开着的QQ程序，单击“确定”按钮，然后关闭打开着的QQ程序。

STEP04：单击“浏览”按钮

打开QQ眼睛主界面，在“第一步”选项组中“请选定真正的QQ主程序”文本框右侧单击“浏览”按钮。

STEP05：选择QQ可执行程序

弹出“打开”对话框，1　在“查找范围”下拉列表中选择QQ可执行程序图标所在的文件夹，2　在列表框中选中对应的图标，3　然后单击“打开”按钮。

STEP06：设置邮箱地址和服务器

返回主界面窗口，1　在“邮箱设置”选项组中设置接收密码的信箱地址、信箱密码和发送邮件服务器。2　设置完毕后单击“发送测试信到设置的邮箱”按钮。

STEP07：单击“确定”按钮

弹出“警告”对话框，提示用户测试信已发送成功，单击“确定”按钮。

STEP08：查看测试邮件

打开接收密码的电子邮箱，此时可看见一封名为“我”的邮件。

STEP09：将密码保存在本地计算机中

返回主界面，1　勾选“我想将密码保存本机文件”复选框，2　单击“保存配置”按钮。

STEP10：配置成功

弹出“提示”对话框，提示用户配置成功，单击“确定”按钮即可。

003Q　黑客怎样利用阿拉QQ密码潜伏者盗取QQ密码？

A　利用阿拉QQ密码潜伏者配置服务端，一旦目标计算机运行该程序，它就会自动将记录的账号密码发送到指定邮箱。

阿拉QQ密码潜伏者是一款QQ盗密码软件，攻击者利用它生成设置好的木马程序，目标主机用户一旦运行该程序，被运行的木马程序就会实时监控该系统，用户在登录QQ聊天之后，该木马程序便会将该QQ密码以邮件的形式发送到攻击者指定的邮箱，实现QQ的盗取。

STEP01：启动阿拉QQ密码潜伏者

下载阿拉QQ密码潜伏者后将其解压到本地计算机中，双击“阿拉QQ密码潜伏者6.1”快捷图标，启动该程序。

STEP02：设置收信邮箱地址

打开阿拉QQ密码潜伏者主界面，1　在“收信邮箱地址”文本框中输入邮箱地址，2　输入完毕后单击“测试邮箱”按钮。

STEP03：单击“确定”按钮

弹出QQmu-ma对话框，提示用户已发送主题为测试成功的邮件，单击“确定”按钮后登录邮箱查收测试邮件。

STEP04：设置运行后自动结束指定程序

返回主界面，1　在“运行后自动结束指定进程”选项组中设置运行的时间以及结束的进程，2　单击“设置完毕，生成木马”按钮。

STEP05：生成服务端程序

弹出PANZER对话框，提示用户服务端在当前目录下生成完毕，单击“确定”按钮。

STEP06：查看生成的服务端程序

打开阿拉QQ密码潜伏者启动程序所在文件夹，可看见生成的服务端程序，将其运行于目标主机即可监控并盗取QQ账号和密码。

12.2　远程攻击QQ

除了盗取QQ账号和密码之外，一些攻击者经常会使用某些软件来远程攻击QQ，例如利用风云QQ尾巴生成器来发送带有木马病毒的网页，利用QQ细胞发生器发送QQ炸弹等。

004Q　黑客怎样利用风云QQ尾巴生成器攻击目标QQ？

A　利用风云QQ尾巴生成器制作尾巴文件，然后将制作的尾巴文件发送给目标QQ。

风云QQ尾巴生成器能够识别对方的QQ昵称来发送QQ尾巴，并且一个QQ只发送一次，这样既不会打扰到对方聊天，同时又使对方信以为真，打开带有木马病毒的网页。同时该软件的进度无法利用关联启动技术杀死，即便结束了，它也能自动启动并恢复。

STEP01：启动风云QQ尾巴生成器

风云QQ尾巴生成器为绿色软件，无须安装即可直接启动，下载风云QQ尾巴生成器后将其解压到本地计算机中，然后双击"QQwbMake"快捷图标，启动风云QQ尾巴生成器。

STEP02：接受许可协议约束

打开风云QQ尾巴生成器主界面，界面中的大部分按钮和复选框均为灰色，需要接受许可协议方可进行后面的操作，勾选“我接受协议约束”复选框。

STEP03：设置尾巴内容

1　在“设置”选项组中的文本框中输QQ尾巴的内容，2　然后单击“生成尾巴”按钮。

STEP04：成功生成尾巴

弹出“提示”对话框，提示用户尾巴生成成功，并显示了其保存路径，直接单击“确定”按钮。

STEP05：修改生成的尾巴文件名

打开QQ尾巴所在的文件夹窗口，此时可看见生成的QQ尾巴，默认文件名为qqwb，可将其修改为其他名称，例如修改为“暗黑3”。

005Q　黑客怎样利用QQ细胞发送器攻击目标QQ？

A　在与目标QQ聊天时，可以利用QQ细胞发送器向对方发送大量相同的信息。

QQ细胞发送器是一款能够向对方发送大量相同信息的软件，它能够让对方应接不暇，但是前提是攻击者正在与目标QQ聊天。QQ细胞发送器的操作方法如下所示。

STEP01：启动QQ细胞发送器程序

下载QQ细胞发送器后将其解压到本地计算机中，在解压后的文件夹中双击QQcell快捷图标，启动QQ细胞发送器程序。

STEP02：输入发送内容

1　在主界面中输入发送的信息内容，2　然后设置信息的发送次数，例如输入“50”，3　设置完毕后单击“开始发送”按钮。

STEP03：发送空信息

攻击者若想跟对方开玩笑，则可切换至“发送空信息”选项卡，单击“发送空信息”按钮。

STEP04：发送炸弹

攻击者若想给对方发炸弹，则可在“炸弹发送器”选项卡下单击“发送炸弹”按钮。

12.3　保护QQ密码和聊天记录

黑客在攻击QQ时，经常会对密码和聊天记录发起攻击，因此用户在采取防范措施时也要针对这两方面进行处理，例如可以为聊天记录加密，或者申请QQ密码保护等，从各个方面来确保QQ密码和聊天记录的安全。

006Q　能否为聊天记录加密？

A　在QQ的“系统设置”对话框中启用消息加密并设置加密密码，即可为聊天记录加密。

使用QQ与好友聊天时，可能会涉及一些隐私的信息，一旦这些信息被他人知晓，可能会造成不必要的损失，此时可以利用消息记录加密功能为聊天记录加密，保障个人隐私信息的安全。

STEP01：单击“安全设置”命令

登录QQ，1　单击主界面中的“主菜单”按钮，2　在弹出的菜单中依次单击“系统设置＞安全设置”命令。

STEP02：设置消息记录密码

弹出“系统设置”对话框，1　单击“消息记录安全”选项，2　勾选“启用消息记录加密”复选框，3　然后在下方输入设置的密码。

STEP03：设置加密口令提示

1　勾选“启用加密口令提示”复选框，2　然后在下方设置提示问题和问题答案，3　输入完毕后单击“确定”按钮。

STEP04：查看加密后的效果

设置后，QQ会自动加密消息记录，并且在以后登录QQ时会要求用户输入消息密码，1　输入正确的密码，2　单击“确定”按钮方可成功登录QQ。

007Q　能否防范QQ密码被破译？

A　能，常见的防范措施包括掌握设置QQ密码的技巧、设置QQ资料的注意事项和良好的上网习惯。

QQ密码是进入QQ的钥匙，保护好自己的QQ密码是重中之重，因此要做好QQ密码被破译的防范措施，主要表现在以下几方面。

掌握设置QQ密码的技巧

QQ密码被破译最常见的方式就是暴力破解。所谓暴力破解就是对于某项登录密码可以通过对字母、数字的排列组合的方式尝试所有可能的密码。理论上可以破解所有的密码，但是由于数量过大往往需要花费较多的时间。

暴力破解密码通常都会使用到密码字典，这些密码字典有数字、英文、符号等，根据密码字典涉及的内容，介绍如下几种设置QQ密码的小技巧。

·长度：QQ密码至少要在6位以上，而且越长越好；

·排列组合：安全的密码最好是英文、数字以及特殊字符的组合，最好再加上大小写的区分；

·不同账号的密码：用户最好不要把所有的账号密码都设置为一样，虽然这样方便记忆，但是一旦某一项密码被破解，则造成的损失将会是不可估量的。

·密码内容：密码最好是无规律的数字、字母组合，如果把密码设置成自己的电话、生日、名字的汉语拼音则很容易被破解。

·保存记忆密码：有些用户喜欢将密码记录在记事本中并存放在计算机中，这是相当不安全的，一旦计算机被黑客入侵，那么这些密码都会失窃。如果用户确实对密码记忆比较困难，那么可以把密码记录在手机上或者实体记事本中。

设置QQ资料的注意事项

许多用户喜欢把其他一些账号密码记录在QQ资料中，这是非常不安全的，一旦某个账号密码被破解后很可能会造成连锁密码失窃，因此用户最好不要将这些信息记录在QQ资料里。

良好的上网习惯

有些用户可能从来都未遇到QQ密码失窃的事情，有的用户却可能会经常遇到这些事情，这一切都取决于用户上网的习惯。比如当陌生人给你发送一个很有诱惑性的网站链接时，有的人会很兴奋地打开这个链接，有的用户在浏览网页时看到旁边的广告会情不自禁地点击，并且有的用户在使用U盘时会直接打开，这些都属于危险操作，很容易感染木马和病毒。

008Q　能否防范IP地址被探测？

A　能，只需在登录QQ之前为其配置代理IP地址即可防范真实的计算机IP地址被探测。

为了防范QQ所在的计算机IP地址被探测，用户可以为QQ配置代理服务器，这样一来即使有人探测也只能探测到代理IP地址，而无法探测到当前计算机的真实IP地址。

STEP01：单击“设置”按钮

打开QQ登录界面，单击“设置”按钮。

STEP02：设置代理IP地址

1　在弹出的对话框中设置“类型”为“HTTP代理”，2　输入代理IP地址和端口，单击“测试”按钮测试当前代理服务器能否正常使用，3　若正常工作则单击“确定”按钮。

009Q　如何提升QQ的安全性？

A　提升QQ安全性可以通过申请QQ密码保护来实现，该密码保护可以通过修改QQ登录密码找回被盗的QQ账号。

Internet中盗取QQ号的方法多种多样，为了防范自己的QQ账号被他人盗取，则需要提高其安全性。腾讯公司为QQ推出了密码保护功能，当QQ被他人盗取时，用户可以利用密码保护修改登录密码，从而找回被盗的QQ账号。下面介绍申请密码保护的操作方法。

STEP01：单击“申请密码保护”命令

登录QQ，1　单击主界面中的“主菜单”按钮，2　在弹出的菜单中依次单击“安全中心＞申请密码保护”命令。

STEP02：立即设置密保问题

打开页面，提示用户未设置密保，账号存在风险，选择任意一种密保进行设置，例如选择密保问题，单击“立即设置”按钮。

STEP03：设置密保问题

跳转至新的页面，1　在页面中设置三个密保问题以及对应的答案，2　设置完毕后单击“下一步”按钮。

STEP04：输入密保问题答案

跳转至新的页面，1　在页面中针对刚刚设置的密保问题依次输入问题答案，2　输完后单击“下一步”按钮。

STEP05：输入手机号码

1　在新的页面中输入手机号码，2　输完后单击“下一步”按钮。

STEP06：密保设置成功

此时可在页面中看见“密保问题、密保手机设置成功”的提示信息。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

010Q　如何提升QQ所在计算机的安全？

A　利用腾讯公司推出的“顽固木马克星”可以查杀系统最底层的顽固盗号木马，从而确保QQ所在计算机的安全。

除了提高QQ的安全性之外，用户还需要提高QQ所在计算机的安全性。可以使用腾讯公司推出的“顽固木马克星”来确保计算机的安全性，该软件可以查杀系统最底层的顽固木马，并且还可以防止反复感染。下面介绍利用“顽固木马克星”扫描系统的操作方法。

STEP01：启动顽固木马克星程序

安装顽固木马克星后在其安装文件夹中双击“顽固木马克星”图标，启动该程序。

STEP02：选择深度扫描

打开顽固木马克星主界面，1　勾选“深度扫描”复选框，2　单击“开始扫描”按钮。

STEP03：立即处理扫描出的威胁项

扫描所花的时间较长，请耐心等待，扫描完毕后可看见扫描的结果，单击“立即处理”按钮开始处理扫描出的威胁项。

STEP04：重新启动计算机

处理完毕后弹出对话框，提示用户需要重启计算机完成顽固木马和系统恢复，单击“立即重启”按钮即可。

第13章　隐匿入侵和痕迹清除

黑客在入侵目标计算机时，为了不让用户发现自己，会利用代理服务器作为跳板进行隐匿入侵攻击。无论采用哪种方式，攻击者还是会在目标计算机中留下“痕迹”，为了防止用户顺藤摸瓜找到自己，攻击者会在入侵成功后清除这些“痕迹”。

本章知识点：

隐匿入侵技术

黑客追踪技术

清除自己留下的痕迹

13.1　隐匿入侵技术

隐匿入侵是黑客在入侵时经常会使用的技术，该技术能够确保在目标计算机用户或网络安全管理人员发现非法入侵后无法准确地定位到攻击者，该技术需要使用代理服务器，而寻找代理服务器可以利用代理猎手进行查找，查找到可用的代理服务器后攻击者就可借助这些服务器来实现隐匿入侵，代理服务器除了被攻击者使用之外，正常用户可使用它来实现代理上网，达到隐藏自己IP地址的目的。

001Q　什么是跳板技术？

A　跳板技术是指通过建立一条通往目标计算机的主机链来入侵目标计算机，这样一来，即使目标计算机用户反向追踪，也很难发现真正的攻击者。

一个狡猾、高明的黑客攻击者，在入侵前都会做好充分的准备，入侵时会通过各种技术手段保护自己，以防被对方发现，引火烧身。其中，跳板技术是攻击者通常采用的技术。跳板技术包括四个阶段，即确定目标、设计跳板、跳板入侵以及清除日志。

确定目标

确定目标是指确定存在漏洞的目标计算机。攻击者首先会利用扫描工具进行定点（IP）扫描或者对某IP地址段进行扫描，在扫描的过程中一旦发现了指定IP地址的计算机中存在系统漏洞时，就会准备实施攻击。

设计跳板

跳板通俗讲就是一条通往目标计算机的主机链，从理论上讲，主机链越长就越安全，但是链太长会造成连接速度过慢（因为其中的中转服务器太多）。因此攻击者往往会评估入侵风险，从而制定或者设计跳板。

在选择跳板主机时，攻击者往往会选择安全性一般、速度快，并且很少有人光顾的主机。攻击者经常会在跳板中加入路由器或者交换机，虽然路由器的日志文件会记录登录IP，但是却可以利用相关的命令手动彻底清除该日志，因为路由器的日志保存在Flash中，一旦删除将无法恢复。如果跳板全部用主机，虽然也可以清除日志，但是现在的恢复软件往往可以恢复这些日志，就会留下痕迹，网络安全人员可以通过这些蛛丝马迹找到攻击者。

跳板入侵

攻击者一般不会用自己平时使用的计算机进行远程入侵，他们往往通过一些人员流动比较大的公共电脑进行入侵。即使找不到这类公共计算机，他们也不会用物理计算机，而是采用虚拟机系统进行入侵。因为物理主机的入侵会留下痕迹，就算删除或者格式化也会被恢复。而在虚拟机中却不一样，入侵完成后可以直接删除。

清除日志

攻击者在入侵完成并获得目标计算机的管理权限后，会擦除入侵时留下的痕迹，准备全身而退，而这些痕迹就被记录在系统日志和防火墙日志中，攻击者需要上传相应的攻击来清除这些日志。

002Q　什么是代理服务器？

A　代理服务器是介于计算机和Web服务器之间的服务器，利用代理服务器可以提高上网速度和访问国外的一些网站。

代理服务器（Proxy Server）的主要作用就是代理网络用户去取得网络信息。简单地说，它就是网络信息的中转站。

一般情况下，用户使用网络浏览器直接连接其他Internet站点取得网络信息时，是直接联系到目的站点服务器，然后由目的站点服务器把信息传送回来。代理服务器是介于计算机和Web服务器之间的服务器，有了它之后，浏览器不是直接到Web服务器去取回网页而是向代理服务器发出请求，信号会先送到代理服务器，再由代理服务器来取回浏览器所需要的信息并传送到用户的浏览器。使用代理服务器有以下四点优势。

·利用代理服务器可以访问国外的一些网站。

·访问一些单位或团体的内部资源，如某大学FTP（前提是该代理地址在该资源的允许访问范围之内），使用教育网内地址段免费代理服务器，就可以在对教育网开放的各类FTP服务器中下载或上传资源。

·通常代理服务器都设置一个较大的硬盘缓冲区，当有外界的信息通过时，同时也将其保存到缓冲区中，当其他用户再访问相同的信息时，则直接从缓冲区中取出信息，传给用户，以提高访问速度。

·上网者通过使用代理服务器可以隐藏自己的真实IP地址，使得本地计算机免受非法攻击。

003Q　如何使用代理猎手寻找代理服务器？

A　首先设置运行参数，然后添加含有指定IP地址段的搜索任务并搜索，最后筛选出验证状态为Free的代理服务器即可。

攻击者在采用跳板技术入侵时，首先都要寻找跳板，所谓的跳板就是代理服务器，利用百度搜索引擎或者登录论坛固然可以发现很多代理服务器，但是要找到能够使用的代理服务器却需要逐个测试，这里将介绍一款专门寻找代理服务器的软件——代理猎手。

代理猎手将代理的搜索和验证功能集于一体，并提供了管理、调度代理等新功能，用户既可以利用它来寻找代理服务器，又可以用它来验证所找到的代理服务器是否可用。

STEP01：启动代理猎手应用程序

安装代理猎手后会在桌面上出现对应的图标，双击该图标，启动代理猎手应用程序。

STEP02：单击“参数设置”命令

打开代理猎手主界面，在菜单栏中依次单击“系统＞参数设置”命令。

STEP03：搜索验证设置

弹出“运行参数设置”对话框，在“搜索验证设置”选项卡的“搜索设置”和“验证设置”选项组中分别设置连接超时时间、验证超时时间和并发连接数目。

STEP04：验证数据设置

1　切换至“验证数据设置”选项卡，2　在“验证数据设置”选项组中单击“添加”按钮。

STEP05：输入验证名和验证地址

弹出“添加验证数据”对话框，1　输入验证名和验证地址，2　然后单击“获取”按钮。

STEP06：输入资源地址

弹出“获取网络资源”对话框，1　在“资源地址”文本框中输入网址，2　然后单击“获取”按钮。

STEP07：复制特征字串

数据接收完毕后选中特征字串，1　按【Ctrl+C】组合键，2　然后单击“确定”按钮。

STEP08：单击“确定”按钮

返回“添加验证数据”对话框，直接单击“确定”按钮。

STEP09：单击“确定”按钮

返回“运行参数设置”对话框，此时可看见添加的验证资源地址和验证资源参数，用户也可以使用相同的方法添加其他验证资源地址和参数，添加后单击“确定”按钮。

STEP10：添加搜索任务

返回代理猎手主界面，在“搜索任务”选项卡下单击“添加任务”按钮。

STEP11：设置任务类型

弹出“添加搜索任务”对话框，1　设置“任务类型”为“搜索网址范围”，2　然后单击“下一步”按钮。

STEP12：添加地址范围

切换至新的界面，在界面中添加地址范围，此时需要利用其他软件获取IP地址范围，这里介绍利用纯真IP数据库获取IP地址范围。

STEP13：启动纯真IP数据库应用程序

从网络中下载纯真IP数据库后将其解压到本地计算机中，在解压后的文件夹中双击IP快捷图标，启动纯真IP数据库应用程序。

STEP14：根据字段查询IP地址段

打开纯真IP地址数据库主界面，1　单击选中“地址=＞IP段”单选按钮，2　在“查询字段”文本框中输入地址，3　单击“查询”按钮。

STEP15：查看扫描出的IP地址

搜索完毕后可在界面中看见大量的IP地址，选择其中一段IP地址范围。

STEP16：单击“添加”按钮

切换至“添加搜索任务”对话框，在“地址范围”选项组中单击“添加”按钮。

STEP17：设置搜索IP范围

弹出“添加搜索IP范围”对话框，1　设置地址范围类型为“起止地址范围”，然后输入起始地址和结束地址，2　单击“确定”按钮。

STEP18：单击“下一步”按钮

返回“添加搜索任务”对话框，可看见添加的IP地址范围，单击“下一步”按钮。

STEP19：单击“添加”按钮

切换至新的界面，单击“添加”按钮，添加代理服务器常用的端口。

STEP20：添加端口和协议

1　在弹出的对话框中添加单一端口80，2　勾选“必搜”复选框，3　单击“确定”按钮。

STEP21：添加其他的端口和协议

1　使用相同的方法添加常用的3128和8080端口和协议，2　然后单击“完成”按钮。

STEP22：开始搜索

返回代理猎手主界面，此时可看见添加的搜索任务，单击工具栏中的“开始搜索”按钮，开始搜索添加的任务。

STEP23：单击“精简结果”按钮

搜索所花费的时间与所设置的IP地址段有关，1　搜索完毕后切换至“搜索结果”选项卡可看见搜索结果，2　单击“精简结果”按钮。

STEP24：精简搜索结果

在搜索出的代理服务器中，可用代理服务器的验证状态为free，1　因此只取消勾选Free复选框，2　然后单击“确定”按钮。

STEP25：查看精简的结果

返回代理猎手主界面，此时可看见验证状态为Free的所有代理服务器。

利用代理猎手验证代理服务器IP

除了利用代理猎手寻找代理服务器之外，用户还可以将从搜索引擎中或各大论坛中搜索到的代理服务器IP地址导入代理猎手中进行验证，查看是否有可用的代理服务器，其具体操作为：首先将搜索到的代理服务器IP地址及端口信息粘贴到文本文档中，打开代理猎手主界面，切换至“搜索结果”选项卡，然后单击“添加结果”按钮，在弹出的“导入结果”对话框中选择粘贴了代理服务器IP地址及端口信息的文本文档，在代理猎手主界面单击“验证”按钮即可开始验证导入的代理服务器信息。验证状态为Free的为可用代理服务器。

004Q　如何使用SocketCap设置代理上网？

A　首先设置SOCKS代理服务器信息和SOCKS版本，然后新建应用程序标识项，最后在SocketCap运行应用程序即可。

SocksCap软件是由美国公司免费出品的代理服务器第三方支持软件。其拥有功能强大的SOCKS调度功能，通过它几乎可以让所有基于TCP/IP协议以及UDP协议（需要Socks5代理）的软件（MSN、QQ等）都能通过SOCKS代理服务器连接到Internet。

STEP01：启动SocksCap应用程序

1　单击桌面左下角的“开始”按钮，2　在弹出的“开始”菜单中依次单击“所有程序＞SocksCap V2＞SocksCap V2”命令。

STEP02：单击“设置”命令

打开SocksCap控制台界面，在菜单栏中依次单击“文件＞设置”命令。

STEP03：设置SOCKS服务器和端口

弹出“SocksCap设置”对话框，在“服务器”组中输入可用的SOCKS服务器IP地址和端口，例如输入SOCKS服务器IP地址为“60.30.137.1”，输入端口为“80”。

STEP04：选择SOCKS版本

1　接着在“协议”选项组中单击选中“SOCKS版本5（5）”单选按钮，2　然后单击“确定”按钮。

STEP05：单击“新建”命令

返回SocksCap控制台界面，在菜单栏中依次单击“文件＞新建”命令。

STEP06：输入标识项名称

弹出“新建应用程序标识项”对话框，1　输入标识项名称，2　然后单击“命令行”右侧的“浏览”按钮。

STEP07：选择应用程序

弹出“浏览应用程序”对话框，1　在“查找范围”下拉列表中选择应用程序的安装文件夹，2　然后在列表框中选择应用程序快捷图标，3　单击“打开”按钮。

STEP08：单击“确定”按钮

返回“新建应用程序标识项”对话框，确认命令行和工作目录无误后单击“确定”按钮。

STEP09：运行添加的应用程序

使用相同的方法可添加其他应用程序，添加后若想运行某应用程序，1　只需选中对应的应用程序图标，2　单击“运行”按钮即可。

005Q　如何防范黑客的跳板攻击？

A　利用Fluxay（流光）软件远程扫描网络中的计算机，然后探测目标计算机的IPC$用户列表，最后远程登录目标计算机随时监控。

为了防范黑客的远程跳板攻击，用户可以选择Fluxay软件，其原因主要是因为它所特有的一种扫描模式——远程扫描模式，将该软件安装在远程“肉鸡”上，就可以轻易实现远程的跳板式扫描。

STEP01：启动Fluxay应用程序

在桌面上双击Fluxay快捷图标，启动Fluxay应用程序。

STEP02：扫描POP3/FTP/NT/SQL主机

打开Fluxay主界面，在菜单栏中依次单击“探测＞扫描POP3/FTP/NT/SQL主机（S）”命令。

STEP03：主机扫描设置

弹出“主机扫描设置”对话框，1　在“扫描范围”选项组中设置开始地址和结束地址，然后选择扫描主机类型为"NT/98"，2　设置后单击“确定”按钮。

STEP04：查看扫描结果

扫描完毕后弹出“扫描结果”对话框，此时可看见扫描的结果，单击“确定”按钮。

STEP05：探测IPC$用户列表

1　右击任一目标主机，2　在弹出的快捷菜单中依次单击“探测＞探测IPC$用户列表”命令。

STEP06：仅探测Administrator组的用户

1　在弹出的对话框中勾选“仅探测Administrator组的用户”复选框，2　单击“是”按钮开始探测。

STEP07：远程连接目标计算机

探测完毕后可在弹出的对话框中看见探测出的目标计算机登录密码、用户名和IP地址等信息。接着远程登录目标计算机，打开命令提示符窗口，输入远程登录命令后按【Enter】键，稍等片刻即可显示“命令成功完成”的信息。

13.2　黑客追踪技术

在Internet中，攻击者经常会采用追踪技术来查找目标计算机，既可以采用NeoTrace Pro之类的工具追踪目标计算机，也可以利用后门生成器将生成的后门程序植入目标计算机，通过植入的后门达到追踪目标计算机的目的。

006Q　黑客可以利用哪些工具实现追踪？

A　黑客可以利用NeoTrace Pro来追踪目标计算机，该工具可以通过输入的IP地址、网址等信息来进行实时追踪。

NeoTrace Pro是一款相当受欢迎的网络路由追踪软件，攻击者可以只输入E-mail、目标计算机的IP地址，或者超链接URL位置，该工具会自动显示介于本地计算机与远端机器之间的所有节点信息。

STEP01：启动NeoTrace Pro应用程序

安装NeoTrace Pro后会在桌面上出现对应的图标，双击该图标，启动应用程序。

STEP02：单击“高级”按钮

弹出“NeoTrace Pro-所在位置”对话框，可单击“下一步”按钮后填写位置信息，也可单击“高级”按钮，设置更具体的位置信息。

STEP03：转至高级查看配置

弹出“高级查看配制”对话框，询问用户是否关闭向导转换到高级查看，单击“是”按钮。

STEP04：设置本地计算机所在的位置

返回“NeoTrace Pro-所在位置”对话框，1　设置本地计算机所在的纬度和经度信息，2　然后单击“确定”按钮。

STEP05：开始追踪输入的信息所在位置

进入NeoTrace Pro主界面，1　在“目标”文本框中输入要追踪的网址，2　然后单击“开始”按钮。

STEP06：查看显示的追踪路径

追踪完毕后可在界面中看见追踪的路径，界面中含有黄色圆圈的位置为本地计算机所在的位置。

STEP07：查看节点信息

在右侧的窗格中可看见本地计算机的名称、IP地址和位置等信息。

STEP08：查看其他节点

用户可以查看该路径中的其他节点，1　在右侧的窗格中单击“节点1 of 12”旁边的下三角按钮，2　在展开的下拉列表中选择其他节点，例如单击“节点3：175.152.36.1”选项。

STEP09：查看中间节点信息

此时可在左侧看见路径中的另一个节点被黄色圆圈包围，该节点就是当前选中节点，同时可在右侧看见该节点的IP地址和位置信息。

STEP10：查看最终节点信息

使用相同的方法选择最终节点（节点12），然后可在界面中看见选中的节点和该节点的IP地址和位置信息。

007Q　黑客怎样在目标计算机中安装后门？

A　首先利用Shift后门生成器生成后门程序，然后将该程序植入目标计算机中运行即可成功安装后门。

Shift后门生成器是一款比较出名的后门生成器，它可以不添加用户账户直接进入目标计算机的系统桌面，从而提高攻击的隐蔽性。

STEP01：启动Shift后门生成器应用程序

下载Shift后门生成器后将其解压到本地计算机中，双击“Shift生成器”快捷图标。

STEP02：设置密码明文和暗文

打开Shift后门生成器主界面，1　为后门设置密码明文和暗文，2　单击“安装后门”按钮。

STEP03：配置文件成功

弹出“提示”对话框，提示用户配置文件成功，单击“确定”按钮。

STEP04：查看生成的后门程序文件

将生成的后门程序文件运行于目标主机，然后就可通过后门远程控制目标主机。

后门的分类

后门可以按照很多方式来分类，标准不同自然分类就不同，为了便于理解，从技术方面可将后门程序分为网页后门、线程插入后门、扩展后门以及C/S后门。

·网页后门：网页后门其实就是一段以ASP和PHP代码为主的网页代码，由于这些代码都运行在服务器端，攻击者通过这段精心设计的代码，在服务器端进行某些危险的操作，获得某些敏感的技术信息。

·线程插入后门：利用系统自身的某个服务或者线程，将后门程序插入其中。

·扩展后门：所谓的扩展后门，在普通意义上理解，可以看成是将非常多的功能集成到了后门里，让后门自身能实现很多功能，方便直接控制“肉鸡”或者服务器。

·C/S后门：采用“客户端/服务端”的控制方式，通过某种特定的访问方式来启动后门进而控制服务器。

13.3　清除自己留下的痕迹

攻击者在入侵目标计算机后，目标计算机会自动留下攻击者的痕迹，而这些痕迹就记录在Windows事件日志和IIS日志中，狡猾、高明的攻击者一般都会在入侵后清除自己留下的痕迹，以防被管理员发现。

008Q　什么是Windows事件日志？

A　Windows事件日志记录了在系统或程序中发生的、要求通知用户的重要事情，它可以帮助用户预测潜在的系统问题。

在Windows系统中，事件是指在系统或程序中发生的、要求通知用户的任何重要事情，或者是添加到日志中的项。事件日志服务在事件查看器中记录应用程序、安全和系统事件。Windows日志可以帮助用户确定和诊断当前系统问题的根源，还可以帮助用户预测潜在的系统问题。在Windows 7中，Windows事件日志包括应用程序、安全和系统日志，以及安装程序和ForwardedEvents日志。

·应用程序日志：包含由应用程序或程序记录的事件。例如，数据库程序可在应用程序日志中记录文件错误。程序开发人员决定记录哪些事件。

·安全日志：包含诸如有效和无效的登录尝试等事件，以及与资源使用相关的事件，如创建、打开或删除文件或其他对象。管理员可以指定在安全日志中记录什么事件。例如，如果已启用登录审核，则对系统的登录尝试将记录在安全日志中。

·系统日志：包含Windows系统组件记录的事件。例如，在启动过程中加载驱动程序或其他系统组件失败将记录在系统日志中。系统日志所记录的事件类型由Windows预先确定。

·安装程序日志：包含与应用程序安装有关的事件。

·ForwardedEvents日志：用于存储从远程计算机收集的事件。若要从远程计算机收集事件，必须创建事件订阅。若要了解有关事件订阅的信息，请参阅事件订阅。

应用程序和服务日志

Windows 7系统中除了前面介绍的Windows事件日志之外，还包括应用程序和服务日志，应用程序和服务日志是一种新类别的事件日志。这些日志存储来自单个应用程序或服务的事件，而非可能影响整个系统的事件。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

009Q　黑客怎样清除Windows默认日志？

A　首先远程打开目标计算机的“事件查看器”窗口，然后手动清除所有的Windows默认日志。

攻击者在入侵目标计算机后，目标计算机的事件查看器会记录入侵者的登录、注销、连接，甚至复制文件等操作，并把这些记录保存到日志文件中。因此为了以防万一，黑客都会手动清除这些默认的日志。

STEP01：单击“控制面板”命令

1　单击桌面左下角的“开始”按钮，2　在弹出的“开始”菜单中单击“控制面板”命令。

STEP02：单击“管理工具”链接

打开“控制面板”窗口，设置查看方式为“大图标”，单击“管理工具”链接。

STEP03：双击“事件查看器”快捷图标

打开“管理工具”窗口，双击“事件查看器”快捷图标。

STEP04：单击“属性”命令

打开“事件查看器”窗口，在左侧窗格中依次展开“Windows事件日志＞系统”选项，1　右击“系统”选项，2　在弹出的快捷菜单中单击“属性”命令。

STEP05：单击“清除日志”按钮

弹出“日志属性-系统”对话框，1　输入日志的最大容量，2　单击选中“按需要覆盖事件”单选按钮，3　单击“清除日志”按钮。

STEP06：确定清除日志

弹出“事件查看器”对话框，提示用户清除日志前可以保存其内容，若保存日志则单击“保存并清除”按钮，若不保存日志则单击“清除”按钮。

010Q　黑客怎样清除目标计算机的IIS日志？

A　首先利用文本文档创建能自动清除IIS日志的可执行文件，然后远程连接目标计算机并利用创建的文件清除IIS日志。

一般情况下，IIS的日志会忠实地记录它接收到的任何请求，一旦系统管理员定期查看IIS日志，便会很快发现有攻击者入侵，从而采取有效的措施保护自己的系统。因此黑客在入侵后便会立即清除IIS日志，让系统管理员不会发现自己的痕迹。

STEP01：输入删除日志文件的命令

新建并打开一个文本文档，在编辑区中输入删除C盘中日志文件的命令。

STEP02：单击“保存”命令

输入后在菜单栏中依次单击“文件＞保存”命令。

STEP03：重命名文本文档

选中新建的文本文档，按【F2】键，将其重命名为del.bat，然后按【Enter】键。

STEP04：确认更改文件扩展名

弹出“重命名”对话框，询问用户是否要确认更改，单击“是”按钮。

STEP05：输入触发运行del.bat文件的命令

继续新建一个文本文档，打开该文本文档，在编辑区中输入触发运行del.bat文件的命令，然后保存该文本文档。

STEP06：重命名文本文档

选中新建的文本文档，按【F2】键，将其重命名为clean.bat，然后按【Enter】键。

STEP07：清除IIS日志

利用net use命令与目标计算机建立IPC$链接，然后在命令提示符窗口中输入“clean.bat+空格+目标计算机IP地址”，例如输入"clean.bat 192.168.1.100"即可自动运行创建的clean.bat和del.bat文件，清除目标计算机中的IIS日志。

第三篇　安全与预防篇

第14章　提升系统安全性能

Windows 7系统的安全性一直都是用户极为关注的话题。最新的Windows 7系统，能否保证用户信息的安全，让我们逐一细数Microsoft都做了什么。

本章知识点：

设置密码

系统安全设置

清除流氓软件

14.1　设置密码

设置密码是计算机安全最基础的内容之一，常见的密码设置包括BIOS密码、开机密码和用户账户密码。

001Q　能否为BIOS设置访问密码？

A　能！在BIOS里面能够设置的密码有两种：用户密码和超级用户密码。

适当设置BIOS密码可以为计算机带来一定程度的保护。设置BIOS密码的目的不外乎防止别人擅自更改设置；针对这种情况，用户可以设置进入BIOS的密码以增强安全性。

设置管理员密码

在BIOS中，Supervisor Password叫做BIOS的管理员密码，它有最高操作权限，利用这个密码能够访问并修改BIOS中的任何设置。

STEP01：启动计算机

启动计算机，根据界面英文提示按【F2】键进入BIOS主界面。

STEP02：进入BIOS系统

1　按【→】键，切换至Security选项卡。可以看见BIOS默认选中Set Supervisor Password选项，2　直接按【Enter】键。

进入BIOS的其他热键

除了使用【F2】键进入BIOS外，不同型号BIOS的进入方法也不同，下面列出了一些常用热键。

AMI BIOS：【DEL】键或【ESC】键；

COMPAQ BIOS：屏幕右上角出现光标时按【F10】键；

Phoenix BIOS：【F2】键或【Ctrl+Alt+S】组合键。

STEP03：设置管理员密码

1　在弹出的Set Supervisor Password对话框的Enter New Password后面的文本框中输入密码，2　按【Enter】键后在Confirm New Password中重复输入前面的密码，最后按【Enter】键，完成BIOS管理员密码设置。

STEP04：保存所有设置

返回BIOS主界面，此时可在Supervisor Password Is右侧看到Set，表示成功设置BIOS管理员密码，按【F10】键，就能看见弹出的提示对话框，询问用户是否保存退出，保持默认设置，然后按【Enter】键。

设置普通用户密码

在BIOS中还可设置普通用户密码，普通用户化管理员权限低，只允许访问BIOS设置，禁止其他任何修改操作。

STEP01：进入密码设置界面

在Security选项卡下选中Set User Password选项后按【Enter】键。

STEP02：设置普通用户密码

参照001Q中STEP03介绍的方法设置普通用户密码。

STEP03：保存所有设置

返回BIOS主界面，此时可在User Password Is右侧看到Set，表示成功设置BIOS普通用户密码，按【F10】键后在弹出的对话框中直接按【Enter】键保存退出。

002Q　如何设置开机密码？

A　启用BIOS中的Password on boot功能，计算机自动将BIOS密码作为开机密码。

设置开机密码能够保护计算机的安全，但不能对密码的有效程度过分信赖，因为密码对于专业人员来说都是极易破解的。但对于一般办公环境来说，设置开机密码还是很有用的。

STEP01：启动计算机

启动计算机，根据界面英文提示按【F2】键进入BIOS主界面。

STEP02：进入BIOS系统

1　按【→】键，切换至Security选项卡。可以看见BIOS默认选中Set Supervisor Password选项，2　按【↓】键选中Password on boot，按【Enter】键。

STEP03：进入密码设置界面

在弹出的对话框按【↓】键选中Enabled并按【Enter】键，此时将启用BIOS密码作为开机密码。

STEP04：保存所有设置

按【F10】键，就能看见弹出的提示对话框，询问用户是否保存退出，保持默认设置，然后按【Enter】键，完成开机密码设置。

STEP05：实现开机密码功能

重启计算机，BIOS弹出Enter Password对话框提示输入BIOS密码，输入正确的密码即可进入操作系统。

003Q　怎样为指定的用户账户设置密码？

A　利用“控制面板”窗口进入用户账户设置，选中指定的用户账户为其设置密码。

为用户账户设置用户名和密码可以防止他人随意访问自己的专属账户。

STEP01：单击“控制面板”命令

1　单击桌面左下角的“开始”按钮，2　在弹出的“开始”菜单中单击“控制面板”命令。

STEP02：单击“用户账户和家庭安全”链接

打开“控制面板”窗口，在界面中单击“用户账户和家庭安全”链接。

STEP03：单击“用户账户”链接

切换至“用户账户和家庭安全”界面，单击“用户账户”链接。

STEP04：为账户添加密码

切换至“更改用户账户”界面，单击“为您的账户创建密码”链接。

打开控制面板的其他方法

除了利用开始菜单打开“控制面板”窗口外，还可以利用IE浏览器打开，具体操作如下：在IE浏览器地址栏中输入“控制面板”，按【Enter】键即可进入控制面板。

STEP05：创建密码

切换至“为您的账户创建密码”界面，1　依次在“新密码”和“确认新密码”文本框中输入将要设定的密码，2　单击界面右下角“创建密码”按钮，完成密码设置。

STEP06：成功设置用户密码

切换至“更改用户账户”界面，可在账户图标右侧看见“密码保护”提示信息，表明密码设置成功。

004Q　能否在注册表中设置登录密码的格式？

A　能！在注册表中可以通过设置MinPwdLen键值项来限定密码的长度，通过设置AlphanumPwds来限定密码的组成。

为保证计算机安全，一定要设置登录密码。而对密码做一些限制，也是十分必要的。如何限制密码的长度，密码的组成以及如何限制让密码只能由数字和字母组成，这都能通过修改注册表完成。

STEP01：找到regedit（注册表）并打开

在桌面上双击“计算机”图标，在打开的“计算机”窗口中依次双击“系统保留（C:）＞Windows”选项，双击regedit.exe选项。

STEP02：确认更改操作

弹出“用户账户控制”对话框，单击“是”按钮。

STEP03：新建子项

在“注册表编辑器”窗口左侧展开HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies子项，1　右击Polices子项，2　在弹出的快捷菜单中依次单击“新建＞项”命令。

STEP04：新建二进制值

将新建的子项重命名为Network，单击该子项，1　在其右侧窗口右击任意空白区，2　在弹出的快捷菜单中依次单击“新建＞二进制值”命令。

STEP05：设置二进制值的名称和数据

在新建二进制值后会自动提示重命名，1　输入MinPwdLen，按【Enter】键完成重命名。双击右侧栏中新建的项，在弹出的对话框中找到数值数据文本框，2　在默认数值数据“0000”后输入“06”，3　单击“确定”按钮。

STEP06：新建DWORD（32-位）值

1　右击右侧窗口任意空白区，2　在弹出的快捷菜单中依次单击“新建＞DWORD（32-位）值”命令。

STEP07：设置DWORD（32-位）值

1　新建DWORD（32-位）值会自动重命名，输入AlphanumPwds，按【Enter】键完成。双击右侧栏中新建的项，2　在弹出的对话框中将数值设置为“1”，3　单击“确定”按钮。

STEP08：完成设置

执行上一步操作后，此时在右侧窗口可以看到完成设置后的效果。

14.2　系统安全设置

Windows系统的安全由于自身的庞大和功能繁多而显得非常复杂，尽管Windows 7在安全方面的技术和性能都有了很大的改进和完善，但是无孔不入的入侵问题仍然使任何一种系统都做不到绝对的安全，因此用户需要手动进行系统安全设置。

005Q　如何防范黑客利用来宾账户入侵？

A　关闭来宾账户可以有效防止黑客入侵计算机。

基于安全性的考虑，Windows 7系统专门留下了一个来宾账户供非计算管理员使用。使用该账户登录电脑，可以使用电脑上的部分资源，但不能对系统做修改，为了防范黑客利用该账户入侵计算机，建议用户关闭来宾账户。

STEP01：单击“管理其他账户”链接

按照本章003Q的方法打开“用户账户”窗口，单击“管理其他账户”链接。

STEP02：选择希望更改的账户

切换至“选择希望更改的账户”界面，单击“来宾账户”按钮。

STEP03：单击“关闭来宾账户”链接

切换至“更改来宾选项”界面，可以看到“关闭来宾账户”链接，单击该链接。

STEP04：成功关闭来宾账户

切换至“选择希望更改的账户”界面，可见来宾账户没有启用，即成功关闭来宾账户。

006Q　能否让计算机只认可安全系数较高的密码？

A　能！通过本地安全策略中的密码策略可实现计算机只认可安全系数较高的密码。

密码是用于访问信息或计算机的字符串。为了加强安全性，密码含有数字、字母和符号，提高密码复杂性可以有效防止黑客破解盗取密码，从而提高计算机的安全系数。

STEP01：打开“本地安全策略”窗口

按【WIN+R】组合键打开“运行”对话框，1　在“打开”右侧的文本框中输入secpol.msc，2　单击“确定”按钮。

STEP02：打开“密码策略”命令

打开“本地安全策略”，1　在左侧窗口双击“账户策略”选项，2　然后单击“密码策略”选项。

STEP03：设置密码复杂性

在“密码策略”右侧窗口中双击“密码必须符合复杂性要求”选项。

STEP04：保存设置

弹出“密码必须符合复杂性要求属性”对话框，在“本地安全设置”选项卡下单击选中“已启用”选项，然后单击“确定”按钮保存设置。

007Q　如何防止黑客入侵系统默认管理员账户？

A　防止黑客入侵系统默认管理员账户最有效的办法就是更改系统默认管理员账户的用户名。

在Windows7系统中，默认的管理员账户为Administrator，它就是具有全部管理权限的管理员账户，攻击者经常会利用暴力穷举来破解该管理员账户的密码，从而获取目标计算机的最高管理权限，而为了防止攻击者的破译，用户可以将Administrator进行重命名，让攻击者无法识别当前系统的最高管理员账户。

STEP01：输入gpedit.msc命令

打开“运行”对话框，1　在“打开”文本框中输入gpedit.msc命令，2　然后单击“确定”按钮。

STEP02：单击“安全选项”选项

在“本地组策略编辑器”窗口左侧依次单击“本地计算机策略＞计算机配置＞Windows设置＞安全设置＞本地策略＞安全选项”选项。

STEP03：重命名系统管理员账户

在右侧双击“账户：重命名系统管理员账户”选项。

STEP04：更改账户名称

弹出“账户：重命名系统管理员账户属性”对话框，1　输入名称，2　单击“确定”按钮。

STEP05：双击“账户锁定阈值”选项

1　依次单击“本地计算机策略＞计算机配置＞Windows设置＞安全设置＞账户策略＞账户锁定策略”选项，2　然后在右侧双击“账户锁定阈值”选项。

STEP06：设置账户锁定阈值

弹出“账户锁定阈值属性”对话框，设置自动锁定账户的条件，1　如输入3，即登录失败3次后自动锁定账户，2　单击“应用”按钮。

STEP07：确定相关数值的改动

弹出“建议的数值改动”对话框，由于账户锁定阈值为3，因此账户锁定事件和重置账户锁定计数器设置为指定值，单击“确定”按钮。

STEP08：查看设置后的效果

返回“本地组策略编辑器”窗口，此时可看到设置后的显示效果。

STEP09：单击“管理”命令

1　右击桌面上的“计算机”图标，2　在弹出的快捷菜单中单击“管理”命令。

STEP10：查看重命名后的管理员账户

打开“计算机管理”窗口，在左侧依次单击“系统工具＞本地用户和组＞用户”选项，然后可在右侧看到重命名后的管理员账户。

008Q　能否通过限制用户权限来防止黑客篡改重要文件？

A　能！可以为不同的用户账户提供不同的编辑权限，这样一来，即使黑客入侵计算机，也会因为没有权限而无法得逞。

多人使用同一台计算机时，可能会在系统中创建多个用户账户，从而给黑客入侵本地计算机提供更多的选择，为了防范黑客篡改重要的文件，用户可以限制这些账户的不同编辑权限，例如为指定的用户只提供读取权限等。

STEP01：单击“属性”命令

打开需要设置权限的文件夹所在窗口，1　右击文件夹图标，2　在弹出的快捷菜单中单击“属性”命令。

STEP02：单击“编辑”按钮

弹出“资料属性”对话框，1　单击切换至“安全”选项卡，2　单击“编辑”按钮，更改用户权限。

STEP03：删除指定的组

弹出“资料的权限”对话框，可在“组或用户名”列表框中看见被赋予权限的组或用户，如果要删除指定的组，1　则选中指定的组，2　单击“删除”按钮。

STEP04：添加组或用户名

若要为系统中指定的用户账户赋予操作该文件夹的权限，则首先单击“添加”按钮。

STEP05：单击“高级”按钮

弹出“选择用户或组”对话框，单击“高级”按钮。

STEP06：单击“立即查找”按钮

切换至新的界面，在界面右侧单击“立即查找”按钮。

STEP07：选择要赋予权限的账户

在对话框的底部可看见搜索出的账户名称，1　选择要赋予权限的账户，2　然后单击“确定”按钮。

STEP08：单击“确定”按钮

返回“选择用户或组”对话框，在“输入对象名来选择”列表框中可看见选中的账户，单击“确定”按钮。

STEP09：继续添加账户

返回权限对话框，此时可看见添加的指定账户，若要继续添加账户则单击“添加”按钮。

STEP10：手动输入账户名称

弹出“选择用户或组”对话框，1　在“输入对象名来选择”列表框中输入账户名称，2　然后单击“检查名称”按钮。

STEP11：单击“确定”按钮

若输入的账户名称确实存在于系统中，则将会自动变成系统能够识别的名称所属关系，直接单击“确定”按钮。

STEP12：选择要设置编辑权限的账户

返回“资料的权限”对话框，此时可看见添加的指定账户，接着又可为指定的账户设置编辑权限，选择要设置编辑权限的账户。

STEP13：设置编辑权限

接着在底部的列表框中设置编辑权限，例如设置当前用户只允许读取文件夹中的内容。

STEP14：设置其他账户的编辑权限

选中另一个要设置编辑权限的账户，在列表框中设置编辑权限，1　例如当前用户具有读取和写入的权限，2　然后单击“确定”按钮保存退出。

14.3　清除流氓软件

流氓软件是Internet中一类介于病毒和正常应用软件之间的软件，它的危险性说大不大，说小也不小，任何用户都需要时刻提防它们，一旦它们成功植入计算机，将会导致系统运行效率降低或账户密码的丢失，因此用户需要使用专业的软件来清除和防范计算机中的流氓软件。

009Q　什么是流氓软件？

A　流氓软件是指在未经用户许可的情况下，自动安装在计算机或其他终端上的一类软件，危害性较大。

流氓软件又称恶意软件。计算机植入流氓软件后会出现如下情况，例如，在用户使用计算机上网时，不断地跳出窗口让鼠标失灵；有时浏览器被莫名其妙地增加了许多工具按钮；当用户打开指定的网页时，网页变成不相干的奇怪画面或广告页面等。

Internet中的大部分流氓软件只是为了达到某种目的（如广告宣传等），它们不会影响用户计算机的正常使用，流氓软件通常具有以下四种特征。

·强行或秘密侵入用户计算机，使其无法正常卸载；

·强行弹出广告，以此获取点击率或商业利益；

·偷偷监视用户的上网行为，记录用户上网习惯，或窃取用户账号密码；

·强行劫持浏览器或搜索引擎，妨碍用户浏览正常的网页。

010Q　如何清除系统中的流氓软件？

A　先利用360安全卫士清除计算机中潜在的差评插件，然后修复IE浏览器。

当计算机中存在流氓软件时，用户可以在网上查找专门的流氓软件查杀工具，以清除计算机中的流氓软件。360安全卫士是一款强大的计算机安全辅助工具，它不仅能够查杀木马、修复系统漏洞，而且还可以清除系统中潜在的流氓软件，并且将IE浏览器恢复到正常运行状态。

STEP01：单击“开始扫描”按钮

启动360安全卫士，1　在其主界面中切换至“清理插件”选项卡，2　单击“开始扫描”按钮，扫描系统中存在的流氓软件和其他插件。

STEP02：选择扫描出的差评插件

扫描结束后将显示扫描出的差评插件及浏览器其他插件，其中差评插件大部分是由于流氓软件的安装而引起的，1　因此选中所有的差评插件，2　单击“立即清理”按钮。

STEP03：正在清理差评插件

可在界面中看见“正在清理”字样，即程序开始清理选中的差评插件，当清理差评插件的进度条被全部填充时，即完成所选差评插件的清理。

STEP04：重启电脑

弹出“清理插件”对话框，提示用户部分插件需要重启电脑才能彻底清除，单击“确定”按钮重启电脑。

STEP05：查看可选修复项目

启动后再次打开360安全卫士主界面，切换至“系统修复”选项卡，此时程序自动扫描可以修复的项目，在界面中勾选要修复的项目。

STEP06：选择锁定的IE主页

单击“立即修复”按钮后弹出“IE主页锁定”对话框，1　提示用户选择锁定的IE主页，例如单击选中“空白页”单选按钮，2　然后单击“确定”按钮。

STEP07：修复完成

此时可在360安全卫士主界面中看见“修复已完成”的提示信息。

STEP08：立刻重新启动计算机

同时弹出“系统修复”对话框，询问用户是否立即重启计算机，单击“立即重启”按钮立刻重新启动计算机。

第15章　做好系统数据的备份措施

系统的安全工作做得再好，也难免会遇到突然袭击。用户虽然无法完全抵挡这些高手，但是可以从自身做起，为系统和数据做好备份并学会使用数据恢复工具，这样一来，即使系统或数据遭到破坏，也能通过还原将损失降到最低。

本章知识点：

系统的备份与还原

数据的备份与还原

恢复被误删除的数据

15.1　系统的备份与还原

系统的备份与还原包括两个操作，即备份系统和还原系统，当用户在计算机中安装了操作系统后，就可以对系统进行备份操作。一旦系统无法正常运行或崩溃，则可以将备份系统时生成的文件还原到计算机中，让计算机恢复至备份时的状态。

001Q　备份系统的常用工具有哪些？

A　系统自带的还原点和GHOST软件。

备份系统是指备份操作系统所在的分区，在Windows 7系统中，常用的系统备份工具为Windows 7系统自带的还原点和GHOST软件。

还原点

还原点表示计算机系统文件的存储状态。它记录了某一时刻计算机系统中所包含的文件，Windows 7系统中可以拥有一个或多个还原点。还原点既可以由系统以固定的周期或在检测到计算机系统状态发生改变时自动创建，也可以由用户手动创建。

GHOST软件

GHOST（General Hardware Oriented Software Transfer）译为面向通用型硬件系统传送器。它其实是一款硬盘备份还原工具，由美国Symantec（赛门铁克）公司推出。可以实现FAT32、NTFS等多种硬盘分区格式的备份还原，又称为Clone软件。

由于GHOST的操作界面是全英文显示，若要熟练掌握GHOST的使用方法，就需要对操作界面的英文有一定的了解。下面就详细介绍GHOST主界面中常用英文选项的含义，具体信息见表15-1。

002Q　怎样利用还原点备份与还原系统？

A　利用还原点备份系统是指在系统中创建还原点，还原系统则是指通过选择还原点将系统还原至创建还原点时的状态。

利用还原点备份与还原操作系统包括创建还原点和将系统恢复至指定的还原点状态两种操作。其中创建还原点是备份系统的操作，而将系统恢复至指定的还原点状态择是还原系统的操作。

创建还原点

创建还原点首先要确保操作系统所在分区的系统还原处于打开状态，否则将无法创建还原点，创建还原点的操作比较简单，这是因为创建的过程都是由操作系统自动完成的，用户只需执行对应的命令即可。

STEP01：单击“控制面板”命令

1　单击桌面左下角的“开始”按钮，2　在弹出的“开始”菜单中单击“控制面板”命令。

STEP02：单击“系统和安全”链接

打开“控制面板”窗口，在查看方式为类别的基础上，单击“系统和安全”链接。

STEP03：单击“系统”链接

打开“系统和安全”窗口，单击“系统”链接。

STEP04：单击“高级系统设置”链接

打开“系统”窗口，在左侧单击“高级系统设置”链接。

STEP05：准备创建还原点

弹出“系统属性”对话框，1　切换至“系统保护”选项卡，2　在“保护设置”列表框中选择系统所在分区，3　然后单击“创建”按钮。

STEP06：输入还原点描述

弹出“系统保护”对话框，1　输入还原点名称，2　然后单击“创建”按钮开始创建。

STEP07：完成还原点的创建

完成后在对话框中将显示“已成功创建还原点”，单击“关闭”按钮关闭该对话框。

开启系统还原

当系统所在分区的系统保护处于关闭状态时将无法创建还原点。开启系统还原后方可创建，具体操作为：在STEP05的对话框中选中系统分区，单击“配置”按钮，然后在弹出的“系统保护资料”对话框中单击“还原系统设置和以前版本的文件”单选按钮，最后单击“确定”按钮保存退出。

将系统恢复至指定的还原点状态

当系统无法正常运行且能进入系统桌面时，则可在进入操作系统后将当前系统还原到指定还原点所包含的系统状态。

STEP01：单击“属性”命令

1　右击桌面上的“计算机”图标，2　在弹出的快捷菜单中单击“属性”命令。

STEP02：单击“高级系统设置”链接

打开“系统”窗口，在左侧单击“高级系统设置”链接。

STEP03：单击“系统还原”按钮

弹出“系统属性”对话框，1　切换至“系统保护”选项卡，2　单击“系统还原”按钮。

STEP04：选择另一还原点

弹出“系统还原”对话框，1　单击选中“选择另一还原点”单选按钮，2　然后单击“下一步”按钮。

STEP05：选择手动创建的还原点

切换至“将计算机还原到所选事件之前的状态”界面，显示当前系统中的所有还原点，1　例如选择手动创建的还原点，2　然后单击“下一步”按钮。

STEP06：确认选择的还原点

切换至“确定还原点”界面，核对选择的还原点信息，确认无误后单击“完成”按钮，开始还原系统。

STEP07：继续进行还原操作

弹出警告对话框，提示用户启动系统还原后将不能中断，直接单击“是”按钮，继续进行系统还原操作。

STEP08：关闭对话框

系统还原成功后会自动重启计算机，并弹出提示框提示系统还原成功，单击“关闭”按钮关闭提示对话框。

撤销系统还原

将系统还原到指定还原点所对应的状态固然能够解决部分问题，但这并不能解决所有的系统问题，在某些情况下，将系统还原到指定还原点所对应的状态可能会让问题变得更加严重，此时就需要撤销上一次还原，重新寻找解决办法。撤销上一次还原的具体操作为：打开“系统还原”对话框，单击选中“撤销系统还原”单选按钮，然后按照向导一步步操作，完成操作后系统需要自动重启方可完成撤销操作。

003Q　怎样利用GHOST备份与还原系统？

A　在GHOST主界面中利用Local＞Partition＞To Image命令备份系统，利用Local＞Partition＞From Image命令还原系统。

GHOST属于第三方软件，需要用户将其安装到计算机中方可正常使用，与Windows 7自带的还原工具相比，GHOST的优势在于即使无法进入系统桌面同样可以对计算机进行系统还原操作。

使用GHOST备份系统

使用GHOST备份系统是指将操作系统所在的分区制作成一个后缀名为GHO的镜像文件，该镜像文件需要用户自定义其保存位置，最好不要将其保存在系统分区中。下面介绍使用GHOST备份系统的操作方法。

STEP01：选择一键GHOST

重启计算机，在Windows启动管理器界面中选择“一键GHOST”选项后按【Enter】键。

STEP02：运行GHOST

在新的界面中选择含有GHOST的选项，运行GHOST，然后按【Enter】键。

STEP03：选择较新版本的GHOST

切换至DOS启动菜单界面，利用方向键选择"GHOST 11.2"选项后按【Enter】键。

STEP04：查看GHOST的相关信息

弹出一个提示框，显示了GHOST的相关信息，直接单击OK按钮。

STEP05：创建镜像文件

切换至GHOST主界面，单击Local＞Partition＞To Image命令，创建镜像文件。

STEP06：选择系统分区所在硬盘

在界面选择将要备份的系统分区所在硬盘。若只有一个硬盘，可直接单击OK按钮。

STEP07：选择要备份的系统分区

切换至磁盘分区选择界面，1　选择系统所在的分区，2　然后单击OK按钮。

STEP08：设置镜像文件保存路径

弹出对话框，1　在Look in下拉列表中选择镜像文件的保存路径，2　然后输入文件名称，3　最后单击Save按钮。

STEP09：选择压缩方式

切换至压缩备份文件确认界面，选择压缩方式，单击Fast按钮选择快速压缩方式。

STEP10：确认创建镜像文件

弹出提示框，询问用户是否确定创建镜像文件，单击Yes按钮，确认创建镜像文件。

STEP11：创建镜像文件

此时GHOST开始创建镜像文件，界面中显示了创建的进度，请耐心等待。

STEP12：完成系统备份

当进度条中的进度达到100%时，镜像文件创建成功，即完成系统的备份，单击Continue按钮。

STEP13：查看创建的GHO镜像文件

重新启动计算机，然后打开镜像文件保存路径对应的窗口可看见GHOST文件夹，打开GHOST文件夹即可看见创建的系统备份镜像文件。

使用GHOST还原系统

使用GHOST还原系统是指利用GHOST将创建的系统镜像文件安装到当前系统所在的分区中，该镜像文件包括注册表信息、驱动程序等资料，将其安装到当前系统所在的分区将会导致该镜像文件中注册表信息、驱动程序等资料覆盖当前系统的注册表信息和驱动程序，从而达到将系统还原的目的。

STEP01：单击OK按钮

打开GHOST主界面，在弹出的提示框中直接单击OK按钮。

STEP02：选择读取镜像文件

在界面中依次单击Local＞Partition＞From Image命令，选择读取镜像文件。

STEP03：选择要读取的镜像文件

切换至镜像文件选择界面，1　在Look in下拉列表中选择镜像文件的保存位置，2　然后单击镜像文件图标。

STEP04：选择待还原的系统分区所在硬盘

切换至硬盘选择界面，选择要还原的系统分区所在硬盘，如果只有一个硬盘，直接单击OK按钮。

STEP05：选择系统所在分区

切换至磁盘分区选择界面，1　选择要被还原的系统分区，例如选择第1分区，2　选中后单击OK按钮。

STEP06：确认还原系统

弹出提示框，询问用户是否确定还原所选的系统分区，单击Yes按钮，确定还原系统。

STEP07：开始还原系统

此时GHOST开始还原系统，界面中显示了还原进度，请耐心等待。

STEP08：重新启动计算机

当进度条中的进度达到100%时，系统还原成功，将弹出对话框，提示用户还原成功，单击Reset Computer按钮重启计算机即可。

利用键盘操作GHOST

在GHOST主界面中执行还原或备份操作系统时，可能会突然出现鼠标失灵的情况，此时用户可以利用键盘继续进行操作，利用键盘操作GHOST经常会使用【Tab】键和方向键，其中【Tab】键用于切换界面中的各个选项，而方向键则是用于在界面中选择不同的选项。

15.2　数据的备份与还原

为了防止黑客入侵本地计算机后对磁盘中的数据进行破坏，用户需要对重要的数据和资料进行备份操作，当然有杀毒软件和防火墙的保护，一般的黑客是无法成功入侵的，但是为了以防万一，最好还是对系统中的驱动程序、注册表信息以及IE收藏夹等信息进行备份，一旦遭受破坏，待恢复系统后便可利用备份文件将其还原。

004Q　能否备份驱动程序？

A　能！利用驱动精灵中的驱动备份功能便能备份当前系统中的所有或部分驱动程序。

驱动程序对于系统来说是非常重要的，只有安装正常的驱动程序才能让对应的硬件正常工作并发挥它应有的效果。因此用户需要对当前系统中的驱动程序进行备份，一旦部分硬件因为驱动程序出现故障，则可以将备份的驱动程序还原到系统中解决相应问题。

利用驱动精灵备份驱动程序

驱动精灵不仅具有安装和更新驱动程序的功能，它还具有备份和还原驱动程序的功能，有了驱动精灵，用户不用再依靠驱动光盘，只需在安装驱动精灵后做好驱动程序的备份操作即可。

STEP01：运行驱动精灵应用程序

下载并安装驱动精灵应用程序后双击桌面上的快捷图标，运行驱动精灵应用程序。

STEP02：选择备份网卡驱动

打开驱动精灵主界面，1　单击“驱动管理”按钮，2　切换至“驱动备份”选项卡，3　选中要备份的驱动程序，例如选择网卡驱动程序。

STEP03：更改驱动程序备份文件的保存路径

此时可在右侧的“备份设置”选项组中看见驱动程序的备份方式和存放路径，若要重新设置网卡驱动程序备份文件的保存位置则单击“我要改变备份设置”链接。

STEP04：更换驱动程序备份路径

弹出“系统设置”对话框，1　单击“驱动程序”选项，2　在“驱动备份路径”右侧单击“选择目录”按钮，更换驱动程序备份路径。

STEP05：重新选择驱动程序备份路径

弹出“浏览文件夹”对话框，1　在列表框中选择驱动程序备份文件的存放位置，2　选中后单击“确定”按钮。

STEP06：确认重设的驱动备份路径

返回“系统设置”对话框，1　设置备份驱动到文件夹中，2　然后单击“确定”按钮。

STEP07：开始备份驱动程序

返回驱动精灵主界面窗口，直接单击“开始备份”按钮，开始备份驱动程序。

STEP08：完成驱动程序备份

备份完成后将显示“备份完成”，单击“打开备份文件夹”按钮查看备份的驱动程序。

STEP09：查看备份的驱动程序

系统自动打开驱动程序备份文件所在的窗口，此时可看见备份的驱动程序。

利用驱动精灵还原驱动程序

一旦系统中的驱动程序遭到破坏，用户可以再次利用驱动精灵从备份的驱动程序文件夹中读取驱动程序，并将其覆盖到当前系统中，即完成驱动程序的还原。

STEP01：选择要还原的驱动程序

打开“驱动精灵”主界面，1　单击“驱动管理”按钮，2　切换至“驱动还原”选项卡，3　选择要还原的驱动程序，例如选择网卡驱动程序。

STEP02：开始还原驱动程序

接着在右侧的“还原文件选择”选项组中单击“开始还原”按钮，开始还原选中的驱动程序。

STEP03：读取选中的驱动程序备份文件

弹出“安装驱动”对话框，驱动精灵开始读取选中的驱动程序备份文件，请耐心等待。

STEP04：安装驱动程序

在还原的过程中会弹出“设备驱动程序安装向导”对话框，此时驱动精灵正在将备份的驱动程序安装到计算机中。

STEP05：重启计算机

还原完成后弹出“驱动精灵”对话框，提示用户需要重新启动计算机后才能使还原的驱动程序生效，单击“是”按钮重启计算机。

005Q　能否备份注册表信息？

A　能！只需利用注册表编辑器中的“导出”功能即可备份注册表信息，同时可利用“导入”功能还原备份的注册表信息。

注册表是Windows操作系统的核心，它存储和管理着整个操作系统和安装的所有应用程序的关键数据。一旦注册表遭到破坏，将会导致系统无法正常运行甚至崩溃，因此用户需要对注册表做好备份操作。

利用注册表编辑器备份注册表信息

Windows 7系统中的注册表信息全都位于注册表编辑器窗口中，该编辑器自带有备份注册表功能，只需利用该窗口菜单栏中的“文件＞导出”命令即可。

STEP01：单击“运行”命令

1　单击桌面左下角的“开始”按钮，2　在弹出的“开始”菜单中单击“运行”命令。

STEP02：输入regedit命令

弹出“运行”对话框，1　输入regedit命令，2　然后单击“确定”按钮。

STEP03：选择要备份的注册表信息

打开“注册表编辑器”窗口，依次单击"HKEY_CURRENT_USER＞Software"选项。

STEP04：单击“导出”命令

选中后在菜单栏中依次单击“文件＞导出”命令，对选中的注册表信息进行备份操作。

STEP05：设置备份文件保存路径和名称

弹出“导出注册表文件”对话框，1　在“保存在”下拉列表中选择备份文件的保存路径，2　在下方输入文件名，3　单击“保存”按钮。

STEP06：查看备份的注册表信息

根据STEP05中设置的保存路径打开对应的窗口，此时可看见含有注册表信息的备份文件。

利用注册表编辑器还原注册表信息

相信用户在尝试着备份注册表的过程中会发现：如果利用注册表编辑器菜单栏中的“导出”命令对应着备份注册表的操作，那么“导入”命令对应着什么操作呢？它对应的操作是还原注册表信息。

STEP01：单击“导入”命令

打开“注册表编辑器”窗口，在菜单栏中依次执行“文件＞导入”命令。

STEP02：选择备份的注册表文件

弹出“导入注册表文件”对话框，1　选择备份文件的存储路径，2　在列表框中双击注册表备份文件。

STEP03：正在导入注册表文件

弹出“导入注册表文件”对话框，此时可看见导入注册表信息的进度，请耐心等待。

使用第三方软件备份与还原注册表信息

注册表信息的备份与还原操作除了利用注册表编辑器实现之外，还可以利用超级兔子、Windows7优化大师等第三方软件来实现，有兴趣的用户可以自行尝试。

006Q　能否备份IE收藏夹信息？

A　能！利用IE浏览器的“导入和导出”功能即可将收藏夹备份到磁盘分区中，同时还可将备份的收藏夹还原到IE浏览器中。

IE收藏夹为用户在上网的时候保存自己喜欢、常用的网站提供了方便，将喜欢的网页收入IE收藏夹后，只需在IE收藏夹中单击对应的选项即可打开该网页。既然IE收藏夹收入了自己喜欢和常用的网站，那么就一定要做好备份工作，当其遭到破坏后便可将备份文件还原到IE浏览器。

利用IE浏览器备份IE收藏夹

利用IE浏览器备份IE收藏夹是将IE收藏夹中收藏的网页导出到本地计算机中，可以选择导出收藏夹中的所有网页，也可以选择导出部分网页。

STEP01：单击“导入和导出”命令

打开IE浏览器窗口，在菜单栏中依次单击“文件＞导入和导出”命令。

STEP02：选择导出收藏夹中的网页

弹出“导入/导出设置”对话框，1　单击选中“导出到文件”　2　单选按钮，单击“下一步”按钮。

STEP03：选择导出收藏夹

切换至“您希望导出哪些内容？”界面，选择导出的内容，1　例如选择只导出收藏夹，即勾选“收藏夹”复选框，2　然后单击“下一步”按钮。

STEP04：选择备份的内容

切换至“选择您希望从哪个文件夹导出收藏夹”界面，1　选择要备份的内容，例如选择“收藏夹栏”，2　然后单击“下一步”按钮。

STEP05：设置备份文件的保存路径

切换至“您希望将收藏夹导出至何处？”界面，如果不同意默认的保存路径则单击“浏览”按钮。

STEP06：设置保存路径和文件名

弹出“请选择书签文件”对话框，1　在顶部选择收藏夹备份文件的保存路径，2　在“文件名”右侧的文本框中输入备份文件的名称，3　然后单击“保存”按钮。

STEP07：确认设置的保存路径

返回“导出/导出设置”对话框，在“您希望将收藏夹导出至何处？”界面中确认设置的保存路径，最后单击“导出”按钮。

STEP08：成功导出收藏夹

切换至“您已成功导出了这些设置”界面，此时可看见收藏夹前面显示了绿色的勾号，即表示已经成功备份了选中的收藏夹内容，单击“完成”按钮。

利用IE浏览器还原IE收藏夹

当IE浏览器遭受破坏而导致收藏夹中的网页丢失时，用户可以利用IE浏览器将备份的收藏夹文件再次导入IE浏览器，那么那些丢失的网页就会再度回到IE浏览器中。

STEP01：单击“导入和导出”命令

打开IE浏览器窗口，在菜单栏中依次单击“文件＞导入和导出”命令。

STEP02：选择从文件中导入

1　在弹出的对话框中单击选中“从文件中导入”单选按钮，2　单击“下一步”按钮。

STEP03：导入收藏夹

切换至“您希望导入哪些内容”界面，1　勾选“收藏夹”复选框，2　单击“下一步”按钮。

STEP04：单击“浏览”按钮

切换至“您希望从何处导入收藏夹”界面，单击“浏览”按钮，选择备份文件所在的位置。

STEP05：选择备份的收藏夹文件

弹出“请选择书签文件”对话框，1　在顶部选择收藏夹备份文件的保存路径，2　在列表框中选择备份的收藏夹文件，3　然后单击“保存”按钮。

STEP06：确认选择的备份文件保存路径

返回“您希望从何处导入收藏夹？”界面，确认保存路径无误后单击“下一步”按钮。

STEP07：选择导入收藏夹栏

切换至“选择导入收藏夹的目标文件夹”界面，1　选中“收藏夹栏”，2　单击“导入”按钮。

STEP08：导入成功

切换至“您已成功导入了这些设置”界面，此时可看见收藏夹前面显示了绿色的勾号，即表示已经成功还原了选中的收藏夹内容，单击“完成”按钮。

007Q　能否备份QQ聊天记录？

A　能！只需在登录QQ后利用“消息管理器”窗口即可完成聊天记录的备份与还原操作。

使用计算机的过程中，经常会因为重装操作系统、人为误删文件以及格式化分区等原因造成QQ聊天记录的丢失，因此用户需要对重要的QQ聊天记录做好备份工作，防止因重要聊天记录的丢失而造成的损失。

备份QQ聊天记录

备份聊天记录是指通过“消息管理器”来导出指定的聊天记录，导出的聊天记录将以bak文件的形式保存在本地计算机中，下面就介绍利用“消息管理器”来备份QQ聊天记录的操作方法。

STEP01：单击“消息管理器”按钮

输入正确的账号和密码后登录QQ，在主界面中单击“消息管理器”按钮。

STEP02：选择导出消息记录

1　在“消息管理器”窗口中选择要备份的聊天记录所对应的好友，2　单击“导入和导出”右侧的下三角按钮，3　在展开的列表中单击“导出消息记录”选项。

STEP03：设置保存路径和文件名

弹出“另存为”对话框，1　在“保存在”下拉列表中选择聊天记录的保存位置，2　输入备份文件的名称，3　单击“保存”按钮。

STEP04：查看备份的QQ聊天记录

打开STEP03中设置的保存路径，此时可看见备份的QQ聊天记录。

还原QQ聊天记录

如果重要的聊天记录被误删且无法恢复时，则可以再次利用“消息管理器”将备份的聊天记录还原到消息管理器。

STEP01：选择导入消息记录

打开“消息管理器”窗口，1　单击“导入和导出”右侧的下三角按钮，2　在展开的下拉列表中单击“导入消息记录”选项。

STEP02：导入消息记录

弹出“数据导入工具”对话框，选择要导入的内容　1　例如勾选“消息记录”复选框，2　单击“下一步”按钮。

STEP03：选择从指定文件导入

切换至新的界面，要求用户选择导入消息记录的方式，1　例如选择从指定文件导入，即单击选中“从指定文件导入”单选按钮，2　然后在下方单击“浏览”按钮。

STEP04：导入聊天记录

弹出“打开”对话框，1　在“查找范围”下拉列表中选择备份文件的保存路径，2　然后选中备份文件，3　选中后单击“打开”按钮。

STEP05：确认选择的备份文件

返回“数据导入工具”对话框，此时可看见备份文件的保存路径，确认无误后单击“导入”按钮。

STEP06：导入成功

切换至新的界面，此时可看见已成功导入2条消息记录，单击“完成”按钮关闭“数据导入工具”对话框。

15.3　恢复被误删除的数据

在计算机中，删除文件的目的主要是为了增大磁盘分区的可用空间。从而放置其他有用的文件，在删除的过程中，可能会由于某些原因导致重要的文件数据被误删除，此时不要着急，只需利用数据恢复软件即可让这些误删除的数据再次重现在“磁盘”中。

008Q　文件被删除后是否在计算机中彻底消失？

A　删除文件只是释放文件在硬盘中所占的空间，并未在计算机中彻底消失，并且文件内容仍然保存在磁盘中。

文件被删除后并未彻底消失在计算机中，这是因为磁盘中存储的每个文件都包括两部分：文件头和数据区，其中文件头用来记录文件名、文件属性、占用簇号等信息，它保存在一个簇中，并且映射在文件分配表（FAT表）中；而文件包含的真实数据则保存在数据区中。

删除操作其实是修改文件头的前两个代码，这种修改映射在FAT表中，就为文件做了删除标记，并将文件所占簇号在FAT表中的登记项清零，表示释放该文件所在空间，这也就是平常删除文件后，磁盘空间增大的原因。而文件的真正数据内容仍保存在数据区中，并未得以删除。只有等到以后的数据写入，并将此数据区覆盖掉才算是彻底把原来的数据删除。如果不被后来保存的数据覆盖，它就不会从磁盘上抹掉。我们可以利用FinalData等数据恢复工具将其恢复并显示在磁盘中。

009Q　怎样恢复被删除的数据？

A　利用兼容Windows 7的数据恢复软件就能恢复磁盘中被删除的数据，例如FinalData软件。

虽然用户能够对系统和重要数据进行备份，但是没有任何一位用户会每时每刻备份数据。那么，当数据未进行备份时，如果因为某种原因而导致数据丢失，那么用户的劳动成果就泡汤了。发生这种情况时，用户可以利用数据恢复工具将这些数据恢复到磁盘中，但是要注意的是：不能在数据丢失后反复向该分区中读写数据，这样会导致恢复失败。

STEP01：启动FinalData应用程序

下载并安装FinalData后在桌面上双击对应的快捷图标，启动FinalData应用程序。

STEP02：单击“打开”命令

打开FinalData主界面，在菜单栏中依次单击“文件＞打开”命令。

STEP03：选择要扫描的驱动器

弹出“选择驱动器”对话框，1　在“逻辑驱动器”2选项卡下选择要扫描的磁盘分区，选中后单击“确定”按钮。

STEP04：开始扫描选中的驱动器

弹出“正在扫描根目录”对话框，FinalData开始扫描所选磁盘分区的根目录，请耐心等待。

STEP05：设置扫描的簇范围

弹出“选择要搜索的簇范围”对话框，1　设置扫描的簇范围，2　然后单击“确定”按钮。

文件在簇中的存放规则

簇又称分配单元，它是操作系统为每一个单元地址划分的空间，一个簇只能存放一个文件，如果某磁盘分区的簇大小为1024KB，而文件大小为1025KB，则该文件将会占用两个簇的空间。

STEP06：扫描指定范围的簇

此时FinalData开始对所选区域的指定簇范围进行扫描，并在“簇扫描”对话框中显示扫描进度，请耐心等待。

STEP07：查看已删除目录的信息

扫描结束后，FinalData列举了扫描出的所有已删文件，用户可在左侧选择要恢复的数据类型，例如单击“已删除目录”选项。

STEP08：恢复选中的文件夹

在右侧查看并选择要恢复的文件夹，1　右击对应的文件夹图标，2　在弹出的快捷菜单中单击“恢复”命令。

STEP09：选择恢复数据的保存位置

弹出“选择要保存的文件夹”对话框，在列表框中选择恢复数据的保存位置，1　例如设置将其保存在E盘中，2　单击“保存”按钮。

STEP10：查看恢复的数据

打开E盘对应的窗口，此时可看见恢复的文件夹“音乐”。

读累了记得休息一会哦~

公众号：古德猫宁李

电子书搜索下载

书单分享

书友学习交流

网站：沉金书屋 https://www.chenjin5.com

电子书搜索下载

电子书打包资源分享

学习资源分享

光盘内容

光盘下载地址：http://pan.baidu.com/s/1nt5CVtn