社区应用 最新帖子 精华区 社区服务 会员列表 统计排行 社区论坛任务 迷你宠物
  • 187869阅读
  • 60回复

网络安全专题不断更新~~

级别: 终身会员
发帖
3743
铜板
8
人品值
493
贡献值
9
交易币
0
好评度
3746
信誉值
0
金币
0
所在楼道
隐藏在背后的阴谋 浏览器劫持的攻与防 <PLAAh8  
{ I#>6  
“浏览器劫持”,通俗点说就是故意误导浏览器的行进路线的一种现象,常见的浏览器劫持现象有:访问正常网站时被转向到恶意网页、当输入错误的网址时被转到劫持软件指定的网站、输入字符时浏览器速度严重减慢、IE浏览器主页/搜索页等被修改为劫持软件指定的网站地址、自动添加网站到“受信任站点”、不经意的插件提示安装、收藏夹里自动反复添加恶意网站链接等,不少用户都深受其害。那么,这类现象是如何引起的呢?用户又该如何防范应对呢?这就是本文要介绍的内容。 65EMB%  
0 QTI;3  
  一、“攻”之解说 YT(N][V  
rT2Njy1  
  1、整体认识。 xo>0j#  
"\4W])30  
  浏览器劫持(Browser Hijack)是一种恶意程序软件,通过恶意修改用户个人电脑的浏览器默认设置,以引导用户登录被其修改的或并非用户本意要浏览的网页。大多数浏览器劫持者是在用户访问其网站时,通过修改其浏览器默认首页或搜索结果页,达到劫持网民浏览器的目的。这些载体可以直接寄生于浏览器的模块里,成为浏览器的一部分,进而直接操纵浏览器的行为。“浏览器劫持”的后果非常严重,用户只有在受到劫持后才会发现异常情况;目前,浏览器劫持已经成为Internet用户最大的威胁之一。 =2\2Sp  
+O}Ik.w  
  2、现象分析。 <4}m:  
Exb64n-_=  
  “浏览器劫持”的攻击手段可以通过被系统认可的“合法途径”来进行。所谓“合法途径”,即是说大部分浏览器劫持的发起者,都是通过一种被称为“BHO”(Browser Helper Object,浏览器辅助对象)的技术手段来植入系统。 R%UTYRLUn  
Gwd38  
  而BHO是微软早在1999年推出的作为浏览器对第三方程序员开放交互接口的业界标准,它是一种可以让程序员使用简单代码进入浏览器领域的“交互接口”, 由于BHO的交互特性,程序员还可以使用代码去控制浏览器的行为,比如常见的修改替换浏览器工具栏、在浏览器界面上添加自己的程序按钮等操作,这些操作都被系统视为“合法”,这就是“浏览器劫持”现象赖以存在的根源。 #p}GWS)  
O}M-6!%<,  
  二、“防”之细谈 +,e#uuj$p  
4@9Pd &I  
=j.TDv'^nd  
  这类现象确实难以防范,用户永远处于被动地位。我们只能通过一些设置与软件的应用,让这种影响减至最低。以下办法可供大家参考。 t3<MoDe7`r  
3$?6rMl@y  
  个别劫持现象的手动修正。 cBxGGggB  
O<S.fr,  
  Windows登录窗口被劫持。 #&Hi0..y  
2B_|"J  
  在注册表中打开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon分支,然后将其下的“LegalNoticeCaption”和“LegalNoticeText”主键删除即可解决问题。 !"^Zr]Qt+\  
vJWBr:`L  
  在网页中单击鼠标右键,在弹出的菜单里显示网页广告。 JR!-1tnc  
y:'Ns$+  
  在注册表中打开HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt分支,IE浏览器中显示的附加右键菜单都在这里设置,常见的网际快车单击右键下载的信息也存放在这里,只需找到显示广告的主键条目删除即可。 1wFu3fh@  
"i0>>@NR'  
   CsZ~LQ=DB  
  三、总结 s6H.Q$3L  
y4-kuMYR  
  浏览器一旦被劫持,就意味这你无法决定自己的电脑里将被存放进什么资料,这无疑存在巨大安全隐患。而如今的互联网络环境可谓处处是“浏览器劫持”式的陷阱,单凭普通用户被动的事后修正无异于亡羊补牢;更多的需要全世界互联网使用者把好公众舆论和道德走向一关。
评价一下你浏览此帖子的感受

精彩

感动

搞笑

开心

愤怒

无聊

灌水
级别: 经院小学
发帖
198
铜板
191
人品值
-98
贡献值
0
交易币
0
好评度
198
信誉值
0
金币
0
所在楼道
学一楼
只看该作者 60 发表于: 2012-04-18
的确好帖子,推荐加精华 ?fxM 1<8  
BUXE s0]Lv  
q T6y&  
"OLg2O^  
q`xc h[H  
v>8.TE~2  
^ 4`aONydl  
0 qS/>u*  
Wga2).j6  
零之使魔F http://www.weiguan.cc/detail/55027.html 百度影音
发帖
7
铜板
11
人品值
7
贡献值
0
交易币
0
好评度
7
信誉值
0
金币
0
所在楼道
学一楼
只看该作者 59 发表于: 2012-01-29
LZ辛苦了,支持一下! 5zK,(cF0-  
<$s6?6P  
5]&sXs  
}O\IF}X  
Lm[,^k  
M-@RgWvF  
JwI99I'  
2Qe&FeT  
L3b0e_8>R  
祝大家新年快乐! (OiV IH  
娱乐网x.zsjdc.com
发帖
12
铜板
12
人品值
1
贡献值
0
交易币
0
好评度
12
信誉值
0
金币
0
所在楼道
学一楼
只看该作者 58 发表于: 2011-12-01
不错不错,很好很好,谢谢分享 'vNju1sfk  
LG8h@HY&L  
}U8v ~wcd  
 v@EErF  
wN.S]  
~u&gU1}  
YZ>L_$:q  
x$q}lJv_  
z)M#9oAM  
性吧最新网站地址:3yy8.com \Y!#Y#c  
cF 5|Pf  
性吧最新网站网址:3yy8.com xf&[QG+Ef  
Mp/l*"(  
国内最为掩蔽的一夜站地址:3yy8.com X,G<D}  
NK qI x  
现在开放免费注册, 史上最强的集合!!所有门事放 件大 送!!!! [800M] f-18nF7{  
H=@KlSC ^  
松岛枫.苍井空.av种子全集打包下载.. [AVI/89m] Y#}qXXZ>]  
6J>AU  
“美空门”上海美空模特徐莹自拍艳照347P高清完整版,免费下载 4'z)J1M  
V8/4:Va7 s  
性吧春暖花开,入口地址:3yy8.com SMrfEmdH+  
z% bH?1^o  
发帖
14
铜板
14
人品值
1
贡献值
0
交易币
0
好评度
14
信誉值
0
金币
0
所在楼道
学一楼
只看该作者 57 发表于: 2011-11-14
真的谢谢了! 36Lkcda[  
j{lurb)y  
%M`48TW)  
"}v.>L<P  
5QiQDQT}5  
!'H$08Ql}  
hdDT'+  
'4uu@?!dVk  
i2Wvu3,D3-  
c*rH^Nz  
发帖
50
铜板
50
人品值
1
贡献值
0
交易币
0
好评度
50
信誉值
0
金币
0
所在楼道
学一楼
只看该作者 56 发表于: 2011-11-06
谢谢楼主  。。。。。。 )I&.6l!#  
WnG 2\(U  
qm$(_]R~`  
$A?9U}V#^  
,jRAVt +{N  
nsI+04[F  
Mw0>p5+ cy  
DURWE,W>  
yn mjIQ  
-  ]wT  
发帖
38
铜板
36
人品值
-33
贡献值
0
交易币
0
好评度
38
信誉值
0
金币
0
所在楼道
学一楼
只看该作者 55 发表于: 2011-10-22
好多啊,哈哈,谢谢您 ZjmQ  
I Id4w~|  
FL{?W(M  
5Rl\& G\  
f7a4E+}  
gbuh04#~  
Jx5`0?  
J>  
esJ7#Gxt  
banjiagz.com 广州大众搬家公司
发帖
4
铜板
4
人品值
1
贡献值
0
交易币
0
好评度
4
信誉值
0
金币
0
所在楼道
学一楼
只看该作者 54 发表于: 2011-10-17
今天没事来逛逛 F_*']:p  
V^,gpTyv*  
X8*g#lO?  
-F7F 6!s  
J.yM@wPS>  
w1G(s$;C  
T2Yf7Szp  
4Et(3[P71  
a|FkU%sjzZ  
级别: 禁止发言
发帖
165
铜板
-17104
人品值
-116508
贡献值
0
交易币
0
好评度
168
信誉值
0
金币
0
所在楼道
学一楼
只看该作者 53 发表于: 2011-09-02
用户被禁言,该主题自动屏蔽!
发帖
4
铜板
6
人品值
11
贡献值
0
交易币
0
好评度
5
信誉值
0
金币
0
所在楼道
学一楼
只看该作者 52 发表于: 2011-08-24
电影简介: nG'Yo8I^5  
导演: 姜国民 t+KW=eW  
编剧: 王晶 tKt}]KHV  
主演: 张柏芝 / 郑中基 / 邵兵 / 刘桦 / 林妙可 / 谢振轩 / 郑伊健 ]00s o`  
类型: 喜剧 \$_02:#  
制片国家/地区: 香港 "zcAYg^U  
语言: 汉语普通话 / 粤语 $jMA(e`Ye0  
上映日期: 2011-08-19(中国大陆) ~ =u8H  
片长: 90分钟 4;L|Ua  
评分: 豆瓣 5.9 Z+ k) N  
剧情概要: hA ){>B<;  
美女广告导演江蕙妮(张柏芝饰)看似有着成功的事业,美满的家庭,可爱的儿子(Lucas饰),而实际她急于拓展自己的事业,“女高男低”的家庭生活也让她和老公路志明(郑伊健饰)阴霾重重,隐忧暗暗。为了冲向事业的更高层次,工作狂人江蕙妮再次撇下老公和儿子,同好色风流的武打巨星高大龙(郑中基饰)前往无名荒岛拍摄广告大片。 o:#jvi84F  
无名岛风光旖旎,景色怡人,摄制组的拍摄工作却遭遇种种离奇事件,殊不知,他们从登上小岛的那一刻,也在一步步地逼近险境。 5 &8BO1V.  
在一张年代久远的藏宝图的指引下,以眼镜蛇(刘桦饰)为首的“五大禽兽”团伙也进入孤岛,企图寻找和挖掘宝藏并据为己有,然而他们却被小岛上的神秘人(邵兵饰)搅的不得安宁,狼狈不堪。藏宝图的丢失彻底点燃了“五大禽兽”的怒火,他们认为摄制组在从中捣鬼,他们真正的目的不是拍摄广告,而是寻找宝藏!一场针锋相对的较量蓄势待发…… 9Vm aB  
L~5f*LE$1  
3g;Y  
d7kE}{,  
电影截图: / <(|4e  
~3 bV~H#~m  
{Z/iYHv~#c  
Xgx/ubca0  
无价之宝下载:       laiwuying.com/article-147-1.html 1e[?}q]*  
无价之宝在线观看weiguan.cc/detail/48623.html :Hq%y/  
^P9mJ:  
V<9L-7X 8  
p-"C^=l  
Qp<*o r@  
"9xJ},:-  
?>+uO0*S  
={xRNNUj_  
"#E Z  
来无影电影网
级别: 终身会员
发帖
3743
铜板
8
人品值
493
贡献值
9
交易币
0
好评度
3746
信誉值
0
金币
0
所在楼道
只看该作者 51 发表于: 2007-04-05
系统安全防护之UNIX下入侵检测方法
因为unix系统经常承当着关键任务,所以它经常是入侵者攻击的首选目标。于是检测入侵、保护系统安全是管理员的最为重要的任务之一。那么,在没有其它工具帮助的情况下,如何去判断系统当前的安全性?如何去发现入侵呢?下面给大家介绍一些常用到的检查方法 GgE g(AT  
gN}$$vS  
以linux和solaris为例: <zqIq9}r  
)s>|;K{  
1、检查系统密码文件 `mcb0  
Ei:m@}g  
首先从明显的入手,查看一下passwd文件,ls –l /etc/passwd查看文件修改的日期。 _i ztQ78  
p8 S~`fjV  
输入命令 N_ ODr]L  
Dl.< (/  
Vb? wwx7=  
awk –f:’$3==0 {print $1}’ /etc/passwd dXDyY  
q2xAx1R`sV  
iY`[dsT  
#q:j~4)h  
来检查一下passwd文件中有哪些特权用户,系统中uid为0的用户都会被显示出来。顺便再检查一下系统里有没有空口令帐户: eY` z\I  
EJ {vJZO  
awk –f: ‘length($2)==0 {print $1}’ /etc/shadow pImq< Z  
U`) " ;WN  
2、查看一下进程,看看有没有奇怪的进程 s>L-0vG  
d1#lC*.Sg  
重点查看进程:ps –aef | grep inetd。inetd是unix系统的守护进程,正常的inetd的pid都比较靠前,如果你看到输出了一个类似inetd –s /tmp/.xxx之类的进程,着重看inetd –s后面的内容。在正常情况下,linux系统中的inetd服务后面是没有-s参数的,当然也没有用inetd去启动某个文件;而solaris系统中也仅仅是inetd –s,同样没有用inetd去启动某个特定的文件;如果你使用ps命令看到inetd启动了某个文件,而你自己又没有用inetd启动这个文件,那就说明已经有人入侵了你的系统,并且以root权限起了一个简单的后门。 cWnEp';.  
}'vQUG u8z  
输入ps –aef 查看输出信息,尤其注意有没有以./xxx开头的进程。一旦发现异样的进程,经检查为入侵者留下的后门程序,立即运行kill –9 pid 开杀死该进程,然后再运行ps –aef查看该进程是否被杀死;一旦此类进程出现杀死以后又重新启动的现象,则证明系统被人放置了自动启动程序的脚本。这个时候要进行仔细查找:find / -name 程序名 –print,假设系统真的被入侵者放置了后门,根据找到的程序所在的目录,unix下隐藏进程有的时候通过替换ps文件来做,检测这种方法涉及到检查文件完整性,一会我们再讨论这种方法。接下来根据找到入侵者在服务器上的文件目录,一步一步进行追踪。 p*W{*wZ_^  
Jhj ]`$J  
3、检查系统守护进程 n5"i'o{w  
B[mZQ&Gz`a  
检查/etc/inetd.conf文件,输入: 1?)h-aN  
%ly&~&0  
bo/U5p  
cat /etc/inetd.conf | grep –v “^#” R}(Rv3>Xx  
u L v  
.&5 3sJ0{  
R1hmJ  
输出的信息就是你这台机器所开启的远程服务。一般入侵者可以通过直接替换in.xxx程序来创建一个后门,比如用/bin/sh 替换掉in.telnetd,然后重新启动inetd服务,那么telnet到服务器上的所有用户将不用输入用户名和密码而直接获得一个rootshell。 A]iT uu5p  
4、检查网络连接和监听端口 kK6t|Yn&  
elM<S3  
输入netstat -an,列出本机所有的连接和监听的端口,查看有没有非法连接。 UHV"<9tk  
|9i[*]  
输入netstat –rn,查看本机的路由、网关设置是否正确。 iaMl>ua  
t(UBs-t  
输入 ifconfig –a,查看网卡设置。 z*VK{O)o  
M`7lYw\Or!  
5、检查系统日志 @ebY_*  
@=g{4(zR ^  
命令last | more查看在正常情况下登录到本机的所有用户的历史记录。但last命令依赖于syslog进程,这已经成为入侵者攻击的重要目标。入侵者通常会停止系统的syslog,查看系统syslog进程的情况,判断syslog上次启动的时间是否正常,因为syslog是以root身份执行的,如果发现syslog被非法动过,那说明有重大的入侵事件。 <b~~X`Z  
VSO(DCr"L  
,V!Wo4M  
在linux下输入ls –al /var/log pbh>RS=ri  
在solaris下输入 ls –al /var/adm DQObHB8L  
= <A0;  
检查wtmp utmp,包括messgae等文件的完整性和修改时间是否正常,这也是手工擦除入侵痕迹的一种方法。 ~Q^.7.-T  
hH$9GL{H  
6、检查系统中的core文件 >8>s K(S]  
Z!q$d/1  
通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法,典型的rpc攻击就是通过这种方式。这种方式有一定的成功率,也就是说它并不能100%保证成功入侵系统,而且通常会在服务器相应目录下产生core文件,全局查找系统中的core文件,输入find / -name core –exec ls –l {} \; 依据core所在的目录、查询core文件来判断是否有入侵行为。 .,VLQ btg  
u=PLjrB~}  
7、检查系统文件完整性 y:zNf?6&  
iqoMQ7%  
检查文件的完整性有多种方法,通常我们通过输入ls –l 文件名来查询和比较文件,这种方法虽然简单,但还是有一定的实用性。但是如果ls文件都已经被替换了就比较麻烦。在linux下可以用rpm –v `rpm –qf 文件名` 来查询,查询的结果是否正常来判断文件是否完整。在linux下使用rpm来检查文件的完整性的方法也很多,这里不一一赘述,可以man rpm来获得更多的格式。 uCt?(E>  
'4GN%xi  
unix系统中,/bin/login是被入侵者经常替换作为后门的文件,接下来谈一下login后门 : uQ ]ZMc  
/V/ )A\g  
unix里,login程序通常用来对telnet来的用户进行口令验证。入侵者获取login的源代码并修改,使它在比较输入口令与存储口令时先检查后门口令。如果用户敲入后门口令,它将忽视管理员设置的口令让你长驱直入:这将允许入侵者进入任何账号,甚至是root目录。由于后门口令是在用户真实登录并被日志记录到utmp和wtmp前产生的一个访问,所以入侵者可以登录获取shell却不会暴露该账号。管理员注意到这种后门后,使用”strings”命令搜索login程序以寻找文本信息。 #3>jgluM'  
"\lO Op^-  
许多情况下后门口令会原形毕露。入侵者又会开始加密或者更改隐藏口令,使strings命令失效。所以许多管理员利用md5校验和检测这种后门。unix系统中有md5sum命令,输入md5sum 文件名检查该文件的md5签名。它的使用格式如下: ,ZYPffu<*  
PXl%"O%d  
md5sum –b 使用二进制方式阅读文件; Ya jAz5N  
$<VH~Q<  
md5sum –c 逆向检查md5签名; \ %xku:  
@G>e Cj  
md5sum –t 使用文本方式阅读文件。 rw 2i_,.*~  
3:w_49~: ~  
在前面提到过守护进程,对于守护进程配置文件inetd.conf中没有被注释掉的行要进行仔细比较,举个简单的例子,如果你开放了telnet服务,守护进程配置文件中就会有一句: )yz)Fw|&  
~md06"AYJ  
Nw ,|4S  
telnet stream tcp nowait root /usr/sbin/in.telnetd in.telnetd 1TzwXX7  
x!7!)]h  
可以看到它所使用的文件是 /usr/sbin/in.telnetd,检查该文件的完整性,入侵者往往通过替换守护进程中允许的服务文件来为自己创建一个后门。 S]}}r)  
-:!Wds  
linux系统中的/etc/crontab也是经常被入侵者利用的一个文件,检查该文件的完整性,可以直接cat /etc/crontab,仔细阅读该文件有没有被入侵者利用来做其他的事情。 .|P :n'  
pL*aU=FjQ  
不替换login等文件而直接使用进程来启动后门的方法有一个缺陷,即系统一旦重新启动,这个进程就被杀死了,所以得让这个后门在系统启动的时候也启动起来。通常通过检查/etc/rc.d下的文件来查看系统启动的时候是不是带有后门程序。说到这里,另外提一下,如果在某一目录下发现有属性为这样的文件:-rwsr-xr-x 1 root root xxx .sh,这个表明任何用户进来以后运行这个文件都可以获得一个rootshell,这就是setuid文件。运行 find –perm 4000 –print对此类文件进行全局查找,然后删除这样的文件。 E&"V~  
y(a>Y! dgU  
8、检查内核级后门 C!1)3w|  
&\ad.O/Q  
如果你的系统被人安装了这种后门,通常都是比较麻烦的,首先,检查系统加载的模块,在linux系统下使用lsmod命令,在solaris系统下使用modinfo命令来查看。这里需要说明的是,一般默认安装的linux加载的模块都比较少,通常就是网卡的驱动;而solaris下就很多,没别的办法,只有一条一条地去分析。对内核进行加固后,应禁止插入或删除模块,从而保护系统的安全,否则入侵者将有可能再次对系统调用进行替换。我们可以通过替换create_module()和delete_module()来达到上述目的。另外,对这个内核进行加固模块时应尽早进行,以防系统调用已经被入侵者替换。如果系统被加载了后门模块,但是在模块列表/proc/module里又看不到它们。出现这种情况,需要仔细查找/proc目录,根据查找到的文件和经验来判断被隐藏和伪装的进程,当然目录也可能不是隐藏的。 O#{`Fj`  
`Um-Y'KE  
手工的入侵检测行为对于系统安全来说只是治标而不治本,多半还是依靠管理员的技巧和经验来增强系统的安全性,没有,也不可能形成真正的安全体系,虽然好过没有,可以检测和追踪到某些入侵行为,但如果碰上同样精通系统的入侵者就很难抓住踪迹了。搭建真正的安全体系需要配合使用入侵检测系统,一个优秀的入侵检测系统辅以系统管理员的技巧和经验可以形成真正的安全体系,有效判断和切断入侵行为,真正保护主机、资料。
级别: 终身会员
发帖
3743
铜板
8
人品值
493
贡献值
9
交易币
0
好评度
3746
信誉值
0
金币
0
所在楼道
只看该作者 50 发表于: 2007-02-05
木马防御技巧之Wincfg和Svhost后门清除
最近发现有一种木马:包括的进程名字有:Wincfgs.exe和Svchost.EXE。 L|'B*  
s I0:<6W  
目前发现的现象是:启动时候会自动弹出记事本,且会在进程的启动项中多增加Adobe的进程,不过Adobe是被木马调用的,本身不是木马。(这是很菜的木马,一般按我提供以下方法可以清除) `4Fw,:+e  
m,5?|J=  
个人分析:这种木马很可能是通过WORD文件在磁盘介质进程传播。警告大家在使用U盘,软盘拷贝WORD和其他文本文件时候,最好先杀毒。 lG[j,MDs  
qJ~fEX  
以下是手动清除:在清除前请在文件夹选项里设置“显示所有文件”和显示“隐藏受保护的操作系统文件”。 Da)_OJYE  
puh-\Q/P  
(1)清除Svchost.exe !@arPN$  
)g^O'e=m  
windows\system32里面的svchost.exe一般是正常的系统程序。如果在在WINDOWS目录下的,如果发现svchost.exe,先结束掉系统进程,在把该文件删除(注意:在XP系统中,很多个的进程都是svchost,但一般的系统进程用户都是SYSTEM,如果该进程是与你的用户名字使用,说明是木马程序) pUu<0a^  
jnM}N:v  
(2)清除Wincfgs.exe _0ZBG(  
(7$BF~s:,  
Wincfgs.exe文件一般是在WINDOWS-\SYSTEM32目录下,也同样是先结束进程,再删除该文件。 9@nd>B  
{=,I>w]T|W  
然后进入注册表:regedit S`TQWWQo;  
.jbxA2  
  1. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  2.         HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
  3.         HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
  4.         HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
>oi?aD%  
中,如果出现上面2个进程名字,则删除键属性值。  Oe "%v;-  
同样进入MSCONFIG,把启动项的钩去掉。然后重新启动。
级别: 终身会员
发帖
3743
铜板
8
人品值
493
贡献值
9
交易币
0
好评度
3746
信誉值
0
金币
0
所在楼道
只看该作者 49 发表于: 2007-02-05
木马防御技巧之Exeroute木马清除方法
木马Exeroute用过的都知道 这个后门还是不错的 S a}P |qI  
共产生14个文件和2个文件夹。注册表部分,除了1个Run和System.ini,比较有特点是,非普通地利用了EXE文件关联。先修改了.exe的默认值,改.exe从默认的exefile更改为winfiles,然后再创建winfiles键值,使EXE文件关联与木马挂钩,它的一个可执行体是.com的。当然,清除的方法也很简单,不过需要注意步骤: q)AX*T+  
3Y&4yIx  
一、注册表 f=S2O_Ee  
<num!@2D  
先使用注册表修复工具,或者直接使用regedit修正以下部分1.SYSTEM.INI \F""G,AWq{  
lJT"aXt'M  
NT/XP系统在注册表 ^r mQMjF  
lXzm)  
ovDPnf(  
  1. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion/\Winlogon
j9vK~_?;  
XGjFb4Tw7  
f/iMI)J  
k_Y7<z0G  
shell = Explorer.exe 1 修改为shell = Explorer.exe。 .*.eY?,V  
2.将 J(w FJg\/  
%&q}5Y4!  
}Gy M<!:  
  1. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
)OVa7[-T  
:F@goiuC  
18Ju]U  
y*v|q=  
下的Torjan Program-C:\WINNT\(windows)services.exe删除。 >7S@3,C3ke  
3.HKEY_Classes_root.exe默认值 winfiles 改为exefile。 ]0j_yX  
/H3w7QU  
4.删除以下两个键值:HKEY_Classes_rootwinfiles和HKEY_Local_machinesoft wareclasse swinfiles。 mZjpPlJ  
Ndgx@LTQQ  
二、重启系统 9.il1mAKg  
 _+(@?  
然后重启系统,删除以下文件部分,注意打开各分区时,先打开“我的电脑”后请使用右键单击分区,选“打开”进入。删除以下文件c:\antorun.inf(如果你有多个分区,请检查其他分区是否有这个文件,有也一并删除) (oG.A  
j-DWz>x  
  1. %programfiles%common filesiexplore.pif
  2.         %programfiles%Internat exploreriexplore.com
  3.         %windir%1.com
  4.         %windir%exeroute.exe
  5.         %windir%explorer.com
  6.         %windir%finder.com
  7.         %windir%mswinsck.ocx
  8.         %windir%services.exe
  9.         %windir%system32command.pif
  10.         %windir%system32dxdiag.com
  11.         %windir%system32finder.com
  12.         %windir%system32msconfig.com
  13.         %windir%system32
  14.         egedit.com
  15.         %windir%system32
  16.         undll32.com
=)gdxywoC  
;oDr8a<A  
删除以下文件夹: %qTIT?6'  
1xkrh qq  
  1. %windir%debug
  2.         %windir%system32NtmsData
"Wr[DqFd  
vUOl@UQ5  
*c&|2EsZ  
然后重新启动计算机
级别: 经院高中
发帖
449
铜板
2209
人品值
122
贡献值
0
交易币
0
好评度
449
信誉值
0
金币
0
所在楼道
只看该作者 48 发表于: 2006-11-28
嗯~~好好學學~~ B+Qf? 1f  
SQ4^sk_!  
    ╭~~~★      
              吥晑→ ɑ。 .  
                          长`` ^.^大
级别: 终身会员
发帖
3743
铜板
8
人品值
493
贡献值
9
交易币
0
好评度
3746
信誉值
0
金币
0
所在楼道
只看该作者 47 发表于: 2006-11-28
什么是DDOS攻击| 怎么抵抗DDOS攻击
什么是DDOS攻击| 怎么抵抗DDOS攻击 Gb `)d  
D8L5t<^1R  
一、为何要DDOS?   ' 9f0UtT|[  
>va_,Y}  
随着Internet互联网络带宽的增加和多种DDOS黑客工具的不断发布,DDOS拒绝服务攻击的实施越来越容易 GbQi3%  
#9|&;C5',!  
,DDOS攻击事件正在成上升趋势。出于商业竞争、打击报复和网络敲诈等多种因素,导致很多IDC托管机 p"%D/-%Gu  
qBBCnT  
房、商业站点、游戏服务器、聊天网络等网络服务商长期以来一直被DDOS攻击所困扰,随之而来的是客户 g8MW6Y  
pmB {b  
投诉、同虚拟主机用户受牵连、法律纠纷、商业损失等一系列问题,因此,解决DDOS攻击问题成为网络服  aO<7a 6  
hc q&`Gun  
务商必须考虑的头等大事。 %oa@2qJ^  
WBWW7HK  
二、什么是DDOS? ]?=87w  
" 7^nRJy  
DDOS是英文Distributed Denial of Service的缩写,意即“分布式拒绝服务”,那么什么又是拒绝服务 p\ =T#lb  
*xNc^ &.  
(Denial of Service)呢?@梢哉饷蠢斫猓?彩悄艿贾潞戏ㄓ没Р荒芄环梦收?M?绶?竦男形?妓闶?br> wx3_?8z/O  
拒绝服务攻击。也就是说拒绝服务攻击的目的非常明确,就是要阻止合法用户对正常网络资源的访问,从 <K^a2 D  
3Sfd|0^  
而达成攻击者不可告人的目的。虽然同样是拒绝服务攻击,但是DDOS和DOS还是有所不同,DDOS的攻击策 k^%=\c  
LhLAQ2~  
略侧重于通过很多“僵尸主机”(被攻击者入侵过或可间接利用的主机)向受害主机发送大罖@此坪戏ǖ?br> % vUU Fub  
网络包,从而造成网络阻塞或服务器资源耗尽而导致拒绝服务,分布式拒绝服务攻击一旦被实施,攻击网 I9qZE=i  
3!p`5hJd  
络包就会犹如洪水般涌向受害主机,从而把合法用户的网络包淹没,导致合法用户无法正常访问服务器的 s;TB(M~i[  
(%L /|F_  
网络资源,因此,拒绝服务攻击又被称之为“洪水式攻击”,常见的DDOS攻击手段有SYN Flood、ACK >M2~p& Si  
!} h) |  
Flood、UDP Flood、ICMP Flood、TCP Flood、Connections Flood、Script Flood、Proxy Flood等;而 Vhv'Z\  
Qz|T0\=V  
DOS则侧重于通过对主机特定漏洞的利用攻击导致网络栈失效、系统崩溃、主机死机而无法提供正常的网 ]4H)GWHKg  
_|M8xI  
络服务功能,从而造成拒绝服务,常见的DOS攻击手段有TearDrop、Land、Jolt、IGMP Nuker、Boink、 \o[][R#D  
IzTJ7E*i  
Smurf、Bonk、OOB等。就这两种拒绝服务攻击而言,危害较大的主要是DDOS攻击,原因是很难防范,至于 nDraX_sm=  
(o|bst][S  
DOS攻击,通过给主机服务器打补丁或安装防火墙软件就可以很好地防范,后文会详细介绍怎么对付DDOS BZW03e8|  
phu,&DS!  
攻击。 aU(.LC  
oC|oh  
三、被DDOS了吗? g J |#xZ  
%.=}v7&<z  
  DDOS的表现形式主要有两种,一种为流量攻击,主要是针对网络带宽的攻击,即大量攻击包导致网络 3*</vo#`  
C+**!uYIB  
带宽被阻塞,合法网络包被虚假的攻击包淹没而无法到达主机;另一种为资源耗尽攻击,主要是针对服务 _" 9 q(1  
Ps@']]4>W  
器主机的攻击,即通过大量攻击包导致主机的内存被耗尽或CPU被内核及应用程序占完而造成无法提供网 c0Ih$z  
9 o,` peH  
络服务。 jaEe$2F2  
bI ;I<Qa  
  如何判断网站是否遭受了流量攻击呢?@赏ü齈ing命令来测试,若发现Ping超时或丢包严重(假定平 MBt\"b#t  
 ?P +Uv  
时是正常的),则可能遭受了流量攻击,此时若发现和你的主机接在同一交换机上的服务器也访问不了了 ( /I6Wa  
L/jaUt[,  
,基本可以确定是遭受了流量攻击。当然,这样测试的前提是你到服务器主机之间的ICMP协议没有被路由 nvndgeSy  
%mmV#vwp  
器和防火墙等设备屏蔽,否则可采取Telnet主机服务器的网络服务端口来测试,效果是一样的。不过有一 GrG'G(NQ  
gV.?Myy  
点可以肯定,假如平时Ping你的主机服务器和接在同一交换机上的主机服务器都是正常的,突然都Ping不 ^o5;><S]  
:L@ ;.s  
通了或者是严重丢包,那么假如可以排除网络故障因素的话则肯定是遭受了流量攻击,再一个流量攻击的 ~o_JZ:  
*S*49Hq7c  
典型现象是,一旦遭受流量攻击,会发现用远程终端连接网站服务器会失败。 zk{d*gN  
1@OpvO5  
相对于流量攻击而言,资源耗尽攻击要容易判断一些,假如平时Ping网站主机和访问网站都是正常的,发 bss2<mqlH  
d?X,od6  
现突然网站访问非常缓慢或无法访问了,而Ping还可以Ping通,则很可能遭受了资源耗尽攻击,此时若在 fr(Ja;  
BmV `<Q,  
服务器上用Netstat -na命令观察到有大量的SYN_RECEIVED、TIME_WAIT、FIN_WAIT_1等状态存在,而 8  *f 9  
5.VPK 338A  
ESTABLISHED很少,则可判定肯定是遭受了资源耗尽攻击。还有一种属于资源耗尽攻击的现象是,Ping自 >ZkL`!:s  
fhN\AjB6Td  
己的网站主机Ping不通或者是丢包严重,而Ping与自己的主机在同一交换机上的服务器则正常,造成这种 }MOXJb @  
op`9(=DJ]  
原因是网站主机遭受攻击后导致系统内核或某些应用程序CPU利用率达到100%无法回应Ping命令,其实带 %}TJr]'F  
"B: FSWM_-  
宽还是有的,否则就Ping不通接在同一交换机上的主机了。 NC~?4F[  
9jImuSZ  
当前主要有三种流行的DDOS攻击: ;&=jSgr8  
I^A>YJW  
1、SYN/ACK Flood攻击:这种攻击方法是经典最有效的DDOS方法,可通杀各种系统的网络服务,主要是通 !+3&%vQ)  
U3&GRY|##  
过向受害主机发送大量伪造源IP和源端口的SYN或ACK包,导致主机的缓存资源被耗尽或忙于发送回应包而 3;L$&X2  
d\>XfS  
造成拒绝服务,由于源都是伪造的故追踪起来比较困难,缺点是实施起来有一定难度,需要高带宽的僵尸 z"mVE T  
\ 86 g y/  
主机支持。少量的这种攻击会导致主机服务器无法访问,但却可以Ping的通,在服务器上用Netstat -na OD~Q|I(j  
t4UK~ {gh  
命令会观察到存在大量的SYN_RECEIVED状态,大量的这种攻击会导致Ping失败、TCP/IP栈失效,并会出现 H Y5R  
}o:LwxNO  
系统凝固现象,即不响应键盘和鼠标。普通防火墙大多无法抵御此种攻击。 "mBM<rEn*  
"T=j\/Q  
2、TCP全连接攻击:这种攻击是为了绕过常规防火墙的检查而设计的,一般情况下,常规防火墙大多具备 FUL3@Gb$UV  
|1_$\k9Y&  
过滤TearDrop、Land等DOS攻击的能力,但对于正常的TCP连接是放过的,殊不知很多网络服务程序(如: q<3La(^/  
DRm`y>.  
IIS、Apache等Web服务器)能接受的TCP连接数是有限的,一旦有大量的TCP连接,即便是正常的,也会导 CjPdN#*l  
!Np7mv\7  
致网站访问非常缓慢甚至无法访问,TCP全连接攻击就是通过许多僵尸主机不断地与受害服务器建立大量 WS[Z[O  
RI8*'~ix]  
的TCP连接,直到服务器的内存等资源被耗尽而被拖跨,从而造成拒绝服务,这种攻击的特点是可绕过一 z` 6$p1U  
q`p0ul,n  
般防火墙的防护而达到攻击目的,缺点是需要找很多僵尸主机,并且由于僵尸主机的IP是暴露的,因此容 !T<,fR+8X  
`WH$rx!  
易被追踪。 n`Z}tQ%)o  
i ed 1+H  
3、刷Script脚本攻击:这种攻击主要是针对存在ASP、JSP、PHP、CGI等脚本程序,并调用MSSQLServer、 >g !Z|ju  
b/[X8w'VP  
MySQLServer、Oracle等数据库的网站系统而设计的,特征是和服务器建立正常的TCP连接,并不断的向脚 ?S& yF  
z&H.fsL  
本程序提交查询、列表等大量耗费数据库资源的调用,典型的以小博大的攻击方法。一般来说,提交一个 By6O@ .\V  
.iR<5.  
GET或POST指令对客户端的耗费和带宽的占用是几乎可以忽略的,而服务器为处理此请求却可能要从上万 j>8ubA  
*e [*  
条记录中去查出某个记录,这种处理过程对资源的耗费是很大的,常见的数据库服务器很少能支持数百个 (km $qX  
XdA]);,  
查询指令同时执行,而这对于客户端来说却是轻而易举的,因此攻击者只需通过Proxy代理向主机服务器 I<RARB-j  
NB<8M!X/  
大量递交查询指令,只需数分钟就会把服务器资源消耗掉而导致拒绝服务,常见的现象就是网站慢如蜗牛 ?<4pYEP  
~"%'(j_4  
、ASP程序失效、PHP连接数据库失败、数据库主程序占用CPU偏高。这种攻击的特点是可以完全绕过普通 Ry}4MEq]  
ggPGKY-b=  
的防火墙防护,轻松找一些Proxy代理就可实施攻击,缺点是对付只有静态页面的网站效果会大打折扣, &*/= `=:C8  
=b*GV6b  
并且有些Proxy会暴露攻击者的IP地址。 h'S0XU ;  
&v0]{)PO  
四、怎么抵御DDOS? < xeB9  
)T9Cv8  
对付DDOS是一个系统工程,想仅仅依@@某种系统或产品防住DDOS是不现实的,可以肯定的是,完全杜绝 ~/A2 :}Cp=  
wowf 1j-  
DDOS目前是不可能的,但通过适当的措施抵御90%的DDOS攻击是可以做到的,基于攻击和防御都有成本开 >QYx9`x&  
Vfzy BjQ  
销的缘故,若通过适当的办法增强了抵御DDOS的能力,也就意味着加大了攻击者的攻击成本,那么绝大多 cr-5t4<jK  
KJJ:fG8'  
数攻击者将无法继续下去而放弃,也就相当于成功的抵御了DDOS攻击 j_,/U^Ws|f  
E8av/O VUd  
以下几点是防御DDOS攻击几点: =_=%1rI~  
!EKt$8W  
1、采用高性能的网络设备 axmq/8X  
l4T[x|')M  
首先要保证网络设备不能成为瓶颈,因此选择路由器、交换机、硬件防火墙等设备的时候要尽量选用知名 `#iL'ND[  
4I&(>9 @z<  
度高、口碑好的产品。再就是假如和网络提供商有特殊关系或协议的话就更好了,当大量攻击发生的时候 YSxr(\~j   
j.6!T'$|  
请他们在网络接点处做一下流量限制来对抗某些种类的DDOS攻击是非常有效的。 c[2ikI,n[  
G HQ~{  
3、充足的网络带宽保证 %?n=I n(F  
%|+aI?  
网络带宽直接决定了能抗受攻击的能力,假若仅仅有10M带宽的话,无论采取什么措施都很难对抗现在的 C+t3a@&|  
K?,? .!ev  
SYNFlood攻击,当前至少要选择100M的共享带宽,最好的当然是挂在1000M的主干上了。具体的可以去: 4r_*: $g  
'2Zs15)V  
http://www.bingdun.com/news_view.asp?id=29 看看 nW]CA~  
8Ys)qx>7'  
但需要注意的是,主机上的网卡是1000M的并不意味着它的网络带宽就是千兆的,若把它接在100M的 AVLY|79#  
>|RoLV  
交换机上,它的实际带宽不会超过100M,再就是接在100M的带宽上也不等于就有了百兆的带宽,因为网络 <LH6my  
Y>3zpeQ!&  
服务商很可能会在交换机上限制实际带宽为10M,这点一定要搞清楚。 ;Egl8Vhr  
]0<K^OIY  
4、安装专业抗DDOS防火墙 Q[3hOFCX  
>!Y#2]@}o  
就目前来看 在防御DDOS攻击的防火墙,国内比较有名的要数冰盾防火墙了, 详 ^7>~y(  
5q@s6_"{  
情:http://wwwbingdun.com 这里我就不做具体的介绍了 eb}XooX  
q'7.lrKwa>  
fcp_<2KH  
以上的几条对抗DDOS建议,适合绝大多数拥有自己主机的用户
描述
快速回复

您目前还是游客,请 登录注册
如果您提交过一次失败了,可以用”恢复数据”来恢复帖子内容
认证码:
验证问题:
10+5=?,请输入中文答案:十五