iis的相关设置：
删除默认建立的站点的虚拟目录，停止默认web站点，删除对应的文件目录c:inetpub，配置所有站点的公共设置，设置好相关的连接数限制，带宽设置以及性能设置等其他设置。配置应用程序映射，删除所有不必要的应用程序扩展，只保留asp，php，cgi，pl，aspx应用程序扩展。对于php和cgi，推荐使用isapi方式解析，用exe解析对安全和性能有所影响。用户程序调试设置发送文本错误信息给户。对于数据库，尽量采用mdb后缀，不需要更改为asp，可在iis中设置一个mdb的扩展映射，将这个映射使用一个无关的dll文件如c:winntsystem32inetsrvssinc.dll来防止数据库被下载。设置iis的日志保存目录，调整日志记录信息。设置为发送文本错误信息。修改403错误页面，将其转向到其他页，可防止一些扫描器的探测。另外为隐藏系统信息，防止telnet到80端口所泄露的系统版本信息可修改iis的banner信息，可以使用winhex手工修改或者使用相关软件如banneredit修改。
对于用户站点所在的目录，在此说明一下，用户的ftp根目录下对应三个文件佳，wwwroot，database，logfiles，分别存放站点文件，数据库备份和该站点的日志。如果一旦发生入侵事件可对该用户站点所在目录设置具体的权限，图片所在的目录只给予列目录的权限，程序所在目录如果不需要生成文件（如生成html的程序）不给予写入权限。因为是虚拟主机平常对脚本安全没办法做到细致入微的地步，更多的只能在方法用户从脚本提升权限：
asp的安全设置：
设置过权限和服务之后，防范asp木马还需要做以下工作，在cmd窗口运行以下命令：
regsvr32/u c:\winnt\system32\wshom.ocx
del c:\winnt\system32\wshom.ocx
regsvr32/u c:\winnt\system32\shell32.dll
del c:\winnt\system32\shell32.dll
即可将wscript.shell, shell.application, wscript.network组件卸载，可有效防止asp木马通过wscript或shell.application执行命令以及使用木马查看一些系统敏感信息。另法：可取消以上文件的users用户的权限，重新启动iis即可生效。但不推荐该方法。
另外，对于fso由于用户程序需要使用，服务器上可以不注销掉该组件，这里只提一下fso的防范，但并不需要在自动开通空间的虚拟商服务器上使用，只适合于手工开通的站点。可以针对需要fso和不需要fso的站点设置两个组，对于需要fso的用户组给予c:winntsystem32scrrun.dll文件的执行权限，不需要的不给权限。重新启动服务器即可生效。
对于这样的设置结合上面的权限设置，你会发现海阳木马已经在这里失去了作用！
php的安全设置：
默认安装的php需要有以下几个注意的问题：
c:\winnt\php.ini只给予users读权限即可。在php.ini里需要做如下设置：
safe_mode=on
register_globals = off
allow_url_fopen = off
display_errors = off
magic_quotes_gpc = on [默认是on，但需检查一遍]
open_basedir =web目录
disable_functions =passthru,exec,shell_exec,system,phpinfo,get_cfg_var,popen,chmod
默认设置com.allow_dcom = true修改为false[修改前要取消掉前面的；]
mysql安全设置：
如果服务器上启用mysql数据库，mysql数据库需要注意的安全设置为：
删除mysql中的所有默认用户，只保留本地root帐户，为root用户加上一个复杂的密码。赋予普通用户updatedeletealertcreatedrop权限的时候，并限定到特定的数据库，尤其要避免普通客户拥有对mysql数据库操作的权限。检查mysql.user表，取消不必要用户的shutdown_priv,relod_priv,process_priv和file_priv权限，这些权限可能泄漏更多的服务器信息包括非mysql的其它信息出去。可以为mysql设置一个启动用户，该用户只对mysql目录有权限。设置安装目录的data数据库的权限(此目录存放了mysql数据库的数据信息)。对于mysql安装目录给users加上读取、列目录和执行权限。
serv-u安全问题：
安装程序尽量采用最新版本，避免采用默认安装目录，设置好serv-u目录所在的权限，设置一个复杂的管理员密码。修改serv-u的banner信息，设置被动模式端口范围（4001—4003）在本地服务器中设置中做好相关安全设置：包括检查匿名密码，禁用反超时调度，拦截“ftp bounce”攻击和fxp，对于在30秒内连接超过3次的用户拦截10分钟。域中的设置为：要求复杂密码，目录只使用小写字母，高级中设置取消允许使用mdtm命令更改文件的日期。
更改serv-u的启动用户：在系统中新建一个用户，设置一个复杂点的密码，不属于任何组。将servu的安装目录给予该用户完全控制权限。建立一个ftp根目录，需要给予这个用户该目录完全控制权限，因为所有的ftp用户上传，删除，更改文件都是继承了该用户的权限，否则无法操作文件。另外需要给该目录以上的上级目录给该用户的读取权限，否则会在连接的时候出现530 not logged in, home directory does not exist。比如在测试的时候ftp根目录为d:soft，必须给d盘该用户的读取权限，为了安全取消d盘其他文件夹的继承权限。而一般的使用默认的system启动就没有这些问题，因为system一般都拥有这些权限的。
数据库服务器的安全设置
对于专用的mssql数据库服务器，按照上文所讲的设置tcp/ip筛选和ip策略，对外只开放1433和5631端口。对于mssql首先需要为sa设置一个强壮的密码，使用混合身份验证,加强数据库日志的记录,审核数据库登陆事件的”成功和失败”.删除一些不需要的和危险的ole自动存储过程(会造成企业管理器中部分功能不能使用),这些过程包括如下:
sp_oacreate sp_oadestroy sp_oageterrorinfo sp_oagetproperty
sp_oamethod sp_oasetproperty sp_oastop
去掉不需要的注册表访问过程,包括有:
xp_regaddmultistring xp_regdeletekey xp_regdeletevalue
xp_regenumvalues xp_regread xp_regremovemultistring
xp_regwrite
去掉其他系统存储过程，如果认为还有威胁，当然要小心drop这些过程，可以在测试机器上测试，保证正常的系统能完成工作，这些过程包括：
xp_cmdshell xp_dirtree xp_dropwebtask sp_addsrvrolemember
xp_makewebtask xp_runwebtask xp_subdirs sp_addlogin
sp_addextendedproc
在实例属性中选择tcp/ip协议的属性。选择隐藏 sql server 实例可防止对1434端口的探测,可修改默认使用的1433端口。除去数据库的guest账户把未经认可的使用者据之在外。 例外情况是master和 tempdb 数据库,因为对他们guest帐户是必需的。另外注意设置好各个数据库用户的权限，对于这些用户只给予所在数据库的一些权限。在程序中不要用sa用户去连接任何数据库。网络上有建议大家使用协议加密的，千万不要这么做，否则你只能重装mssql了。
入侵检测和数据备份
入侵检测工作
作为服务器的日常管理，入侵检测是一项非常重要的工作，在平常的检测过程中，主要包含日常的服务器安全例行检查和遭到入侵时的入侵检查，也就是分为在入侵进行时的安全检查和在入侵前后的安全检查。系统的安全性遵循木桶原理，木桶原理指的是：一个木桶由许多块木板组成，如果组成木桶的这些木板长短不一，那么这个木桶的最大容量不取决于长的木板，而取决于最短的那块木板。应用到安全方面也就是说系统的安全性取决于系统中最脆弱的地方，这些地方是日常的安全检测的重点所在。
日常的安全检测
日常安全检测主要针对系统的安全性，工作主要按照以下步骤进行：
1．查看服务器状态：
打开进程管理器，查看服务器性能，观察cpu和内存使用状况。查看是否有cpu和内存占用过高等异常情况。
2．检查当前进程情况
切换“任务管理器”到进程，查找有无可疑的应用程序或后台进程在运行。用进程管理器查看进程时里面会有一项taskmgr，这个是进程管理器自身的进程。如果正在运行windows更新会有一项wuauclt.exe进程。对于拿不准的进程或者说不知道是服务器上哪个应用程序开启的进程，可以在网络上搜索一下该进程名加以确定[进程知识库：http://www.dofile.com/]。通常的后门如果有进程的话，一般会取一个与系统进程类似的名称，如svch0st.exe，此时要仔细辨别[通常迷惑手段是变字母o为数字0，变字母l为数字1]
3．检查系统帐号
打开计算机管理，展开本地用户和组选项，查看组选项，查看administrators组是否添加有新帐号，检查是否有克隆帐号。
4．查看当前端口开放情况
使用activeport，查看当前的端口连接情况，尤其是注意与外部连接着的端口情况，看是否有未经允许的端口与外界在通信。如有，立即关闭该端口并记录下该端口对应的程序并记录，将该程序转移到其他目录下存放以便后来分析。打开计算机管理==》软件环境==》正在运行任务[在此处可以查看进程管理器中看不到的隐藏进程]，查看当前运行的程序，如果有不明程序，记录下该程序的位置，打开任务管理器结束该进程，对于采用了守护进程的后门等程序可尝试结束进程树，如仍然无法结束，在注册表中搜索该程序名，删除掉相关键值，切换到安全模式下删除掉相关的程序文件。
5．检查系统服务
运行services.msc，检查处于已启动状态的服务，查看是否有新加的未知服务并确定服务的用途。对于不清楚的服务打开该服务的属性，查看该服务所对应的可执行文件是什么，如果确定该文件是系统内的正常使用的文件，可粗略放过。查看是否有其他正常开放服务依存在该服务上，如果有，可以粗略的放过。如果无法确定该执行文件是否是系统内正常文件并且没有其他正常开放服务依存在该服务上，可暂时停止掉该服务，然后测试下各种应用是否正常。对于一些后门由于采用了hook系统api技术，添加的服务项目在服务管理器中是无法看到的，这时需要打开注册表中的hkey_local_machinesystemcurrentcontrolsetservices项进行查找，通过查看各服务的名称、对应的执行文件来确定是否是后门、木马程序等。
6．查看相关日志
运行eventvwr.msc，粗略检查系统中的相关日志记录。在查看时在对应的日志记录上点右键选“属性”，在“筛选器”中设置一个日志筛选器，只选择错误、警告，查看日志的来源和具体描述信息。对于出现的错误如能在服务器常见故障排除中找到解决办法则依照该办法处理该问题，如果无解决办法则记录下该问题，详细记录下事件来源、id号和具体描述信息，以便找到问题解决的办法。
7．检查系统文件
主要检查系统盘的exe和dll文件，建议系统安装完毕之后用dir *.exe /s >1.txt将c盘所有的exe文件列表保存下来，然后每次检查的时候再用该命令生成一份当时的列表，用fc比较两个文件，同样如此针对dll文件做相关检查。需要注意的是打补丁或者安装软件后重新生成一次原始列表。检查相关系统文件是否被替换或系统中是否被安装了木马后门等恶意程序。必要时可运行一次杀毒程序对系统盘进行一次扫描处理。
8．检查安全策略是否更改
打开本地连接的属性，查看“常规”中是否只勾选了“tcp/ip协议”，打开“tcp/ip”协议设置，点“高级”==》“选项”，查看“ip安全机制”是否是设定的ip策略，查看“tcp/ip”筛选允许的端口有没有被更改。打开“管理工具”=》“本地安全策略”，查看目前使用的ip安全策略是否发生更改。
9．检查目录权限
重点查看系统目录和重要的应用程序权限是否被更改。需要查看的目录有
c:;c:winnt; c:winntsystem32;c:winntsystem32inetsrv;c:winntsystem32inetsrvdata;
c:documents and settings;
然后再检查serv-u安装目录，查看这些目录的权限是否做过变动。检查system32下的一些重要文件是否更改过权限，包括：cmd，net，ftp，tftp，cacls等文件。
10．检查启动项
主要检查当前的开机自启动程序。可以使用areporter来检查开机自启动的程序。
发现入侵时的应对措施
对于即时发现的入侵事件，以下情况针对系统已遭受到破坏情况下的处理，系统未遭受到破坏或暂时无法察觉到破坏先按照上述的检查步骤检查一遍后再酌情考虑以下措施。系统遭受到破坏后应立即采取以下措施：
视情况严重决定处理的方式，是通过远程处理还是通过实地处理。如情况严重建议采用实地处理。如采用实地处理，在发现入侵的第一时间通知机房关闭服务器，待处理人员赶到机房时断开网线，再进入系统进行检查。如采用远程处理，如情况严重第一时间停止所有应用服务，更改ip策略为只允许远程管理端口进行连接然后重新启动服务器，重新启动之后再远程连接上去进行处理，重启前先用areporter检查开机自启动的程序。然后再进行安全检查。
以下处理措施针对用户站点被入侵但未危及系统的情况，如果用户要求加强自己站点的安全性，可按如下方式加固用户站点的安全：
站点根目录----只给administrator读取权限，权限继承下去。
wwwroot ------给web用户读取、写入权限。高级里面有删除子文件夹和文件权限
logfiles------给system写入权限。
database------给web用户读取、写入权限。高级里面没有删除子文件夹和文件权限
如需要进一步修改，可针对用户站点的特性对于普通文件存放目录如html、js、图片文件夹只给读取权限，对asp等脚本文件给予上表中的权限。另外查看该用户站点对应的安全日志，找出漏洞原因，协助用户修补程序漏洞。
数据备份和数据恢复
数据备份工作大致如下：
1． 每月备份一次系统数据。
2． 备份系统后的两周单独备份一次应用程序数据，主要包括iis、serv-u、数据库等数据。
3． 确保备份数据的安全，并分类放置这些数据备份。因基本上采用的都是全备份方法，对于数据的保留周期可以只保留该次备份和上次备份数据两份即可。
数据恢复工作：
1．系统崩溃或遇到其他不可恢复系统正常状态情况时，先对上次系统备份后发生的一些更改事件如应用程序、安全策略等的设置做好备份，恢复完系统后再恢复这些更改。
2．应用程序等出错采用最近一次的备份数据恢复相关内容。
服务器性能优化
整理系统空间:
删除系统备份文件，删除驱动备份，刪除不用的輸入法，刪除系统的帮助文件，卸载不常用的组件。最小化c盘文件。
性能优化
删除多余的开机自动运行程序；减少预读取，减少进度条等待时间；让系统自动关闭停止响应的程序；禁用错误报告,但在发生严重错误时通知；关闭自动更新,改为手动更新计算机；启用硬件和directx加速；禁用关机事件跟踪；禁用配置服务器向导； 减少开机磁盘扫描等待时间；将处理器计划和内存使用都调到应用程序上；调整虚拟内存；内存优化；修改cpu的二级缓存；修改磁盘缓存。
iis性能优化
1、调整iis高速缓存
信息安全不仅是技术问题，也是管理问题，没有完善的管理，降低安全风险只是空谈。 信息安全所受到的重视程度一直在上升，我国政府主管部门频频出台一系列政策法规，直接牵引、推进信息安全的应用和发展，各类安全产品也层出不穷。然而，多方的重视并没有缓解安全面临的严峻形势。 比如，很多企业习惯于在多处部署不同的安全产品以期达到全面的安全效果，但依赖于安全产品的简单堆积来应对“日新月异”的攻击手段和病毒传播是无法持续有效的。相反，每个安全产品产生海量的安全事件造成严重的信息过载，各类安全产品“各自为政”，不同产品之间的安全信息无法共享，形成一个个“信息孤岛”，管理员缺乏应付混合型安全威胁的能力。海量事件、定位困难、事件间不能关联呈现，导致管理员无法及时准确地发现网络中的安全隐患，进而加以处理。而安全事件不能及时处理往往会带来更大更严重的危害。 实际上，信息安全只有通过实施一整套恰当的控制措施才能实现，这些控制措施包括策略、实践、步骤、组织结构和软件功能。信息安全管理的核心是安全风险管理，它涉及到多个要素:资产、资产价值、威胁、脆弱性、风险、防护需求、防护措施它们之间的关系如附图所示。 分析安全管理的关系图，我们不难发现，安全管理是一个动态管理的过程，会随着时间的推移和业务的发展而变化。许多企业尽管拥有了先进而昂贵的信息安全设备，但“政策”或“人”往往无法配合，产生了很大问题。因为许多安全问题不是因为产品的功能不佳造成的。即使企业设置了层层关卡，仍可能因为被破解的管理者密码、帮助台维修后未关闭的开放权限、轻易被共享的网络文件夹等管理盲点，为黑客及病毒开启后门。因此，企业信息安全是管理问题，而非单纯的技术问题。唯有完善的管理，才能降低安全风险，避免不必要的损失。为了做好安全管理，笔者建议从以下几方面着手: 1. 提升组织的整体安全意识 要高度重视信息安全管理，切实加强领导，以高度的责任感进一步推进信息化建设和信息安全管理。对信息安全管理工作引起足够的重视，在加强信息系统的软硬件建设的同时，对信息安全管理工作也不能松懈和忽视。企业的信息安全政策不应再单单是信息部门的责任，企业对于组织安全的认知，应通过整体安全分析与定期安全检查获得提升。 2. 强化执行作业程序 一方面我们在信息化建设过程中严格执行信息安全标准，减少内部的弱点和威胁，使安全隐患不再有机可乘;另一方面对于安全事件的处置，提倡强制实施应变作业流程，并针对特定目标提供安全训练，协助建立必要的作业程序，以及时发现安全隐患、降低并控制安全事件的损害。 3. 提升应变能力 信息安全技术的日新月异，使得安全管理有着很大的不确定性。再严密的安保措施也不能保证网络安全的万无一失，因此必须增强信息安全管理的危机处理能力，将危机处理程序标准化，在危机来临之际，采取有效措施，积极将损失减少到最小程度。同时针对各种安全事件拟定一套顺畅且有效的应变措施，如为了封堵某一网络蠕虫病毒的传播，自动配置防火墙，阻塞已中病毒主机的IP地址或者该病毒传播所利用的TCP/UDP端口等等。 4. 构建安全环境
网络安全和信息安全是信息资源共享的前提，发展信息化必须高度重视信息网络安全体系的建设。积极争取网络安全认证机构的合作和支持，同时加强信息安全技术平台的建设，加强企业内部的安全技术建设和监察管理工作，联合有关部门严厉打击危害计算机信息系统安全和利用计算机技术进行犯罪活动，保障行业信息安全。
隐藏IP地址 黑客若要对我们实施攻击，首先要找到我们的IP地址，否则无从下手。隐藏IP地址常用如下三法： 1、使用代理服务器(Proxy Server)：若我们浏览网站、聊天、BBS等，这时留下网址是代理服务器的，而非我们的网址。 2、使用工具软件：Norton Internet Security 具有隐藏IP的功能，若您的电脑前端有路由器、IP共享功能的集线器，则此法无效，因NIS只能隐藏你电脑的IP地址。 3、对于局域网中的电脑，浏览器中的Proxy的地址应设为与Internet连接的那台电脑的地址。 以上措施一定程度上防范了入侵，但仍存在疏漏之处，黑客仍可利用端口扫描找到你的IP地址，更进一步的措施就是“端口防范”。 端口防范 黑客或病毒对您入侵时，要不断地扫描您的计算机端口，如果您安装了端口监视程序(比如Netwatch),该监视程序则会有警告提示。入侵者很可能连续频繁扫描端口以寻找时机，监视程序也会不断地提示您，令您不胜其烦，如果您遇到这种入侵，可用工具软件关闭不用的端口，比如，用“Norton Internet Security ”关闭不用的80和443端口，这两个端口提供HTTP服务，如果您不提供网页浏览服务，尽可 关闭；关闭25和110端口，这两个提供SMTP和POP3服务，不用时也应关闭，其他一些不用端口也可关闭。关闭了这些端口，无异于挡入侵者于大门之外。 在TCP/IP协议上，Windows是通过139端口与其他安装Windows系统的电脑进行连接，关闭此端口，可防范绝大多数的攻击。关闭步骤：[网络]→[配置]→[TCP/IP]→[属性]→[绑定]→[Microsoft网络客户端](把此项前面的“√”去掉，若无此项可不作变动)。 关闭共享和设置密码 若您的电脑非局域网中共享硬盘存取的电脑，可关闭全部硬盘和文件夹共享，步骤是：[网络]→[文件和打印机共享]→[允许其他用户访问我的文件]前面的“√”去掉即可；如若不能关闭所有硬盘或文件夹共享，则对共享的部分需设置只读与密码，步骤是：右键单击某[文件夹]→[共享…]，需注意，由于Windows 9x与Windows Me的共享密码极易被破解，而Windows 2K与Windows XP的密码较安全，级您的操作系统是明智之举。 ActiveX控件与Java的防护 网页中ActiveX控件与Java Applets有较强的功能，而对其功能往往是未知的，一旦是恶意所为，破坏是相当大的，不得不防。IE对此也采取了慎重态度，提供了多种选择，具体设置步骤是：[工具]→[Internet选项]→[安全]→[自定义级别]，建议您对不了解的网页的ActiveX控件与Java程序采取严防的态度。
使用MySQL，安全问题不能不注意。以下是MySQL提示的23个注意事项：
1.如果客户端和服务器端的连接需要跨越并通过不可信任的网络，那么就需要使用SSH隧道来加密该连接的通信。
2.用set password语句来修改用户的密码，三个步骤，先“mysql -u root”登陆数据库系统，然后“mysql> update mysql.user set password=password('newpwd')”，最后执行“flush privileges”就可以了。
3.需要提防的攻击有，防偷听、篡改、回放、拒绝服务等，不涉及可用性和容错方面。对所有的连接、查询、其他操作使用基于ACL即访问控制列表的安全措施来完成。也有一些对SSL连接的支持。
4.除了root用户外的其他任何用户不允许访问mysql主数据库中的user表；
加密后存放在user表中的加密后的用户密码一旦泄露，其他人可以随意用该用户名/密码相应的数据库；
5.用grant和revoke语句来进行用户访问控制的工作；
6.不使用明文密码，而是使用md5()和sha1()等单向的哈系函数来设置密码；
7.不选用字典中的字来做密码；
8.采用防火墙来去掉50%的外部危险，让数据库系统躲在防火墙后面工作，或放置在DMZ区域中；
9.从因特网上用nmap来扫描3306端口，也可用telnet server_host 3306的方法测试，不能允许从非信任网络中访问数据库服务器的3306号TCP端口，因此需要在防火墙或路由器上做设定；
10.为了防止被恶意传入非法参数，例如where ID=234，别人却输入where ID=234 OR 1=1导致全部显示，所以在web的表单中使用''或""来用字符串，在动态URL中加入"代表双引号、#代表井号、'代表单引号；传递未检查过的值给mysql数据库是非常危险的；
11.在传递数据给mysql时检查一下大小；
12.应用程序需要连接到数据库应该使用一般的用户帐号，只开放少数必要的权限给该用户；
13.在各编程接口(C C PHP Perl Java JDBC等)中使用特定‘逃脱字符’函数；
在因特网上使用mysql数据库时一定少用传输明文的数据，而用SSL和SSH的加密方式数据来传输；
14.学会使用tcpdump和strings工具来查看传输数据的安全性，例如tcpdump -l -i eth0 -w -src or dst port 3306 | strings。以普通用户来启动mysql数据库服务；
15.不使用到表的联结符号，选用的参数 --skip-symbolic-links；
16.确信在mysql目录中只有启动数据库服务的用户才可以对文件有读和写的权限；
17.不许将process或super权限付给非管理用户，该mysqladmin processlist可以列举出当前执行的查询文本；super权限可用于切断客户端连接、改变服务器运行参数状态、控制拷贝复制数据库的服务器；
18.file权限不付给管理员以外的用户，防止出现load data '/etc/passwd'到表中再用select 显示出来的问题；
19.如果不相信DNS服务公司的服务，可以在主机名称允许表中只设置IP数字地址；
20.使用max_user_connections变量来使mysqld服务进程，对一个指定帐户限定连接数；
21.grant语句也支持资源控制选项；
22.启动mysqld服务进程的安全选项开关，--local-infile=0或1 若是0则客户端程序就无法使用local load data了，赋权的一个例子grant insert(user) on mysql.user to 'user_name'@'host_name';若使用--skip-grant-tables系统将对任何用户的访问不做任何访问控制，但可以用mysqladmin flush-privileges或mysqladmin reload来开启访问控制；默认情况是show databases语句对所有用户开放，可以用--skip-show-databases来关闭掉。
23.碰到Error 1045(28000) Access Denied for user 'root'@'localhost' (Using password:NO)错误时，你需要重新设置密码，具体方法是：先用--skip-grant-tables参数启动mysqld，然后执行mysql -u root mysql,mysql>update user set password=password('newpassword') where user='root';mysql>Flush privileges;，最后重新启动mysql就可以了。
在你离开宿舍、办公室之后，你可能会担心你的电脑是否被其他人动过;你可能一直找不出电脑关机速度慢的原因所在。
如果没有专门安装控制、监测软件，这些问题就真的无从解决吗？并非如此，在Windows 2000中已经有了很详细的监听器，它可以帮你检查谁登录了你的电脑，谁在开机、关机，还能找出像关机速度慢这类问题的解决方法。
第一步：打开注册表编辑器，找到[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]，在里面建立一个名为“verbosestatus”的DWORD值，然后将它值设为1。
第二步：还是在这个位置，检查一下有没有“DisableStatusMessages”这个键值，如果有，将它的值修改为0，或者干脆删除它。
第三步：关闭注册表编辑器，重启电脑。进入“开始→控制面板→管理工具→事件查看器”，然后点击“系统”，你就会看到更多内容了。用户登录、开机、关机等信息，都会有在这里得到体现。
实例：给你“功力”增强的事件查看器
在进行上述修改前，事件查看器具有较低的查看级别，一些事件不会被记录下来。修改后，可以更详细地了解系统状况。当Windows 2000关机速度缓慢时，只要进入“开始→控制面板→管理工具→事件查看器”，点一下“应用程序日志”，这时就会看到详细的故障信息。
经过分析，我们得出结论：这是由于配置文件卸载出错造成的关机速度缓慢，我们曾经2004年第11期介绍过它的解决方法：只要安装一个微软出的小软件即可解决问题。（下载地址：http://download.microsoft.com/download/a/8/7/a87b3d05-cd04-4743-a23b-b16645e075ac/UPHClean-Setup.msi）。
小提示：
你也可以把这个软件植入注册表，方法是打开注册表编辑器，找到[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\UPHClean\Parameters]，在右侧窗格中找到REPORT_ONLY并将其值设定为1即可。
WLAN安全解决方案
我们基本上可以从下面几个方面考虑解决WLAN存在的安全问题。
1.首先确定安全策略，定位WLAN在整个工作中的主要用途，涉及传输数据和人员、设备。然后具体规划AP的物理位置、客户端的访问权限和控制模式等。
2.从网络结构着手。限制WLAN信号的范围，并将WLAN和重要的内部网络之间明确区分开来，在AP和内部网络之间采用防火墙进行安全隔离，必要时采用物理隔离手段。这样即使WLAN出现了安全问题也不会立即导致内部网络的严重危机。
3.避免Ad Hoc网络的产生。这需要管理员对员工的培训，以及对网络的不断监控。
4.禁用用户计算机的某些操作系统和应用程序对WLAN的自动连接功能，避免这些用户无意识地连接到未知WLAN中。
5.充分利用WLAN本身提供的安全特性进行安全保障。比如对于AP可以做以下工作：
a)更改缺省的口令。一般设备出厂时的口令都非常简单，必须要更改；
b)采用加密手段。尽管WEP已经被证明是比较脆弱的，但是采用加密方式比明文传播还是要安全一些；
c)设置采用MAC地址的方式对客户端验证。在没有实施更加强壮的身份验证措施之前，这种防范措施还是必要的；
d)更改SSID，并且配置AP不广播SSID。
e)更改SNMP设置。这种防范措施是和有线网络设备相同的。
6.在WLAN本身传输的数据重要性较高，或者连接到一个密级较高的网络的情况下，可以考虑采用进一步的安全防范措施：
a)采用802.1x进行高级别的网络访问控制。尽管802.1x标准最初是为有线以太网设计制定的，但它可以用于WLAN。802.1x导入了认证服务器，可以对WLAN中的主客体进行高级别的认证，认证方式可以选择采用传统的RADIUS服务器进行。
b)采用TKIP技术替代现有的简单WEP加密技术。这种方式的优势在于不需要全部更换硬件设备，仅仅通过更新驱动程序和软件就可以实现。另外，目前正在制订中的802.11i提供了进行了加密强化的WEP2（基于AES），以及强化的认证协议EAP。但是802.11i的成熟和推广尚且需要一段时间。
c)在WLAN之上采用VPN技术，进一步增强关键数据的安全性。VPN技术同样不是专门为WLAN设计的，但是可以作为关键性WLAN的增强保护。
7.采用WLAN 专用入侵检测系统对网络进行监控，及时发现非法接入的AP以及假冒的客户端，并且对WLAN的安全状况进行实时的分析和监控。
8.在WLAN的客户端采用个人防火墙、防病毒软件等措施保障不受到针对客户端攻击行为的损害。
正如上文所述，WLAN的安全既可以依靠WLAN本身具有的安全保障措施提供，也需要借助一些专用的安全产品来实现，同时需要有一套合理的WLAN专用安全管理规范和制度。下面介绍一些可以用于WLAN的安全产品。
冠群金辰公司的WLAN安全产品
冠群金辰公司是一家专业的信息安全方案和服务提供商，提供防火墙、入侵检测、主机核心防护、防病毒、VPN、漏洞扫描、内容过滤网关等一系列安全产品，并具有强大的安全服务能力和研发能力。下面主要介绍三种产品：WLAN入侵检测系统、VPN和掌上设备的防病毒系统。
WLAN入侵检测系统
WLAN入侵检测系统是冠群金辰研发中的一种基于网络的入侵检测系统，除了能够对普通有线网络的入侵模式进行识别和响应，主要是针对采用802.11b协议的WLAN进行网络安全状态的判断和分析，WLAN入侵检测系统采用了分布式的结构，将进行数据采集的Sensor分布在WLAN的边缘和关键地点，并且通过有线的方式将收集到的信息统一传输到一个集中的信息处理平台。信息处理平台通过对802.11b协议的解码和分析，判断有无异常现象，比如非法接入的AP和终端设备、中间人攻击、有无违反规定传输数据的情况，以及通过对无线网络进行的性能和状态分析，识别拒绝服务攻击现象。它能够自动发现网络中存在的Ad Hoc网络，并且通过通知管理员来及时阻止可能造成的进一步损害。基于Web界面的安全管理界面让管理员可以进行策略的集中配置和分发，以及观察网络状况、产生报表。
WLAN入侵检测系统通过结合协议分析、特征比对以及异常状况检测三种技术，对WLAN网络流量进行深入分析，并且能够实时阻断非法连接。
纯均VPN
纯均VPN系统是冠群金辰公司的软件VPN解决方案，具有部署灵活，成本低廉的特点。通过将VPN技术结合到WLAN中，可以大大弥补WEP加密方式的不足，提高数据的安全性。纯均VPN采用已经获得国家认可的加密算法，没有安全隐患。而且纯均VPN的认证使用插件方式，您可使用任何认证方式，可支持智能卡，生物设备，X.509 证书等。安装了纯均VPN后，最终用户（客户端）不必担心需了解复杂的加密算法和指定安全网络路径名。实际上，他们可与原来一样获取应用服务器上的数据，甚至不知道纯均VPN在进行加密和解密数据。安装在客户端和服务器上的纯均VPN做了所有工作。所有安全策略由纯均VPN Administrator来维护和分发。
KILL for Pocket PC
随着WLAN技术的发展和市场的成熟，掌上设备也逐渐迈入了支持WLAN的行列。Intersil等公司专门为微软公司的Windows CE系列平台（包括Pocket PC）推出了软件驱动程序。微软公司的掌上电脑操作系统Windows Pocket PC成为新型智能终端中具有强大竞争力的操作系统。冠群金辰公司推出的KILL for Pocket PC是为了迎合这一新兴市场的需要而推出的一个掌上电脑防病毒产品。这样能够保证采用掌上设备通过WLAN传播到服务器和其他计算机的文件是无毒的，保证了整体网络的安全性。
骇客在进行攻击时会借用其他系统来达到自己的目的，如对下一目标的攻击和被侵占计算机本身的利用等等。本文介绍了常见的骇客对被侵占计算机的使用方式和安全管理员相应的应对方法。 骇客进行网络攻击时，除了自己手中直接操作的计算机外，往往在攻击进行时和完成之后利用、控制其他的计算机。他们或者是借此达到攻击的目的，或者是把这些计算机派做其他的用途。本文汇总描述了骇客各种利用其他计算机的手段，希望网络与系统管理员能通过了解 这些攻击办法来达到更好地进行安全防范的目的。一、对“肉鸡”的利用 “肉鸡”这个词被骇客专门用来描述Internet上那些防护性差，易于被攻破而且控制的计算机。1.1、本身数据被获取原理介绍 这是一台计算机被攻破并完全控制之后，骇客要做的第一件事。很多骇客宣称自己是非恶意的，只是对计算机安全感兴趣，在进入别人的计算机时，不会进行破坏、删除、篡改等操作。甚至还有更"好心"一些的骇客会为这些计算机打补丁，做一些安全加强。 但是他们都回避了一个问题，那就是对这些计算机上本身保存的数据如何处理。确实，对别人的计算机进行破坏这种损人不利已的事情对这大多数骇客来讲没有太大意思，不过他们都不会反对把“肉鸡”上的数据弄回来保存。这时骇客再说"没有进行破坏"是说不过去的，根据计算机安全的基本原则，当数据的"完整性、可用性和机密性"中任意三者之一在受到破坏的时候，都应视为安全受到了破坏。在被占领的计算机上可能会保存着用户信息、网络拓扑图、商业秘密、财务报表、军事情报和其他各类需要保密的数据，骇客获得这些数据（即使只是查看数据的内容而不下载）时正是破坏了保密性。在实际情 况中，很多商业间谍和政治间谍都是这一类，他们只是默默地拿走你的数据而绝不做任何的破坏，而且尽最大可能地掩盖自己行动的痕迹。这些骇客希望长时间大量地得到珍贵的数据而不被发觉，这其实是最可怕的一种攻击行为。 很多骇客会在“肉鸡”上安装FTP软件或者开放FTP服务，再下载其数据，但安装软件和开放服务这样的动作很容易在系统中的各类日志留下记录，有可能被发现。而不希望被人发觉的骇客会自己建立一台FTP服务器，让“肉鸡”做为客户端把自己的数据上传过来。 防御方法 防止本身数据资料不被窃取，当然首先要考虑的是计算机本身不被攻破。如果自己是铁桶一个，水泼不进，骇客无法在你的网络中的计算机取得任何访问的权限，当然就杜绝了绝大多数的泄密可能（请注意，这时候还是有可能会泄密的！比如被骇客欺骗而将数据发送出去） 。我们先来看一下如何加强自己的计算机的操作系统，对于所有需要事先控制的攻击方式，这些手段都是有效的，在以后的章节中就不重复说明了。 简单地说，对于操作系统的加强，无论是Windows、Unix或是Linux，都可以从物理安全、文件系统、帐号管理、网络设置和应用服务几个方面来考虑，在这里我们不详细讨论全面的安全防护方案，只是提供一些简单实用的系统安全检查项目。这是安全的必 要条件，而不是充分条件。物理安全 简单地说，物理安全就是你的计算机所在的物理环境是否可靠，会不会受到自然灾害（如火灾、水灾、雷电等）和人为的破坏（失窃、破坏）等。物理安全并不完全是系统或者网络管理员的责任，还需要公司的其他部门如行政、保安等一起协作，不过因为这是其他安全手段 的基础，所以我们网管员还是应该密切注意的。要特别保证所有的重要设备与服务器要集中在机房里，并制订机房相关制度，无关人员不得进入机房等。网管员无特殊情况也不要进入机房，需要可以从外面的指定终端进行管理。 如果重要的服务器暴露在人人都可以接近的外部，那么无论你的口令设得多么强大都没用了，各种操作系统都可以用软盘、光盘启动来破解密码。 文件系统安全 文件和目录的权限设置得是否正确，对系统中那些重要的文件，权限要重新设置； 在Unix与Linux系统中，还要注意文件的setuid和setgid权限，是否有不适合的文件被赋予了这些权限； 帐号系统安全 帐号信息，用户名和密码是否合乎规则，具有足够的复杂程度。不要把权限给予任何没有必要的人； 在Unix/Linux中可以合理地使用su与sudo； 关闭无用账号； 网络系统安全 关闭一切不必要的服务。这一点不必多说了吧，每个开放的服务就象一扇开启的门，都有可能会被骇客悄悄地进入； 网络接口特性。注意网卡不要处在监听的混杂模式； 防止DoS的网络设置。禁止IP转发、不转发定向广播、限定多宿主机、忽略和不发送重定向包、关闭时间戳响应、不响应Echo广播、地址掩码广播、不转发设置了源路由的包、加快ARP表过期时间、提高未连接队列的大小、提高已连接队列的大小； 禁用r*命令和telnet命令，用加密的SSH来远程管理； 对NIS/NIS 进行安全设置； 对NFS进行安全设置； 应用服务安全 应用服务是服务器存在的原因，又是经常会产生问题的地方。因为应用服务的种类太多，这里无法一一叙述，就请大家注意一下这方面的资料吧。如果有可能，我会在今后继续提供一些相关知识。可以肯定地说，没有一种应用程序是完全安全的，必须依靠我们去重新设置。 对于防止数据被窃取，也有手段可以采用，使骇客侵入计算机之后不能盗窃数据和资料。这就是访问控制和加密。系统访问控制需要软件来实现，可以限制root的权限，把那些重要的数据设置为除了特殊用户外，连root都无法访问，这样即使骇客成为root也没 有用。加密的手段有很多，这里也不详细介绍了，文件通过加密会以密文的形式存放在硬盘中，如果不能正确解密，就是一堆没有任何意义的字符，骇客就算拿到了也没有用。1.2、非法proxy原理介绍 Proxy代理技术在提高Internet访问速度与效率上有很大作用，在这种技术的基础之上又出现了Cache Server等Internet访问优化技术，但Proxy也被骇客利用来进行非法活动。骇客把“肉鸡”设置为Proxy一般有两个目的，首先与正常Proxy的目的一样，是利用它更好地访问Internet，进行WWW浏览；其次就是利用这台Proxy “肉鸡”的特殊位置绕过一些访问的限制。 普通的WWW Proxy其实在Internet上是很常见的，一些计算机免费而且开放地为所有计算机提供WWW Proxy服务，如果骇客想得到一台合适的Proxy时，并不需要自己亲自去攻击计算机并安装Proxy软件，只需利用这些现成的Proxy计算机就可以了。在骇软站点上，有很多Proxy Hunter之类的软件，输入某个网段就可以运行去自动搜索已经存在的Proxy计算机了。虽然Proxy本身并不会被攻击，但是运行Proxy服务，在客户端连接数目多的时候会造成很大的负担。而且一些攻击如Unicode、Lotus Notes、ASP攻击也正是通过HTTP协议进行的，最终被攻击者会把Proxy服务器当做攻击的来源，换句话说，Proxy服务器会成为这些攻击者的替罪羊。所以最好不要向外提供开放的Proxy服务，即使因为需要而开放了，也应加以严格的限制。 利用Proxy绕过一些访问限制，在“肉鸡”的利用中也是很常见的。举个实例来说，某个公司为了提高工作效率，不允许员工使用QQ聊天，指示在公司的防火墙上限制了所有由内向外对UDP 8000这个端口的访问，这样内部就无法向外连接Internet上的QQ服务器进行聊天了。但骇客利用自己设置的QQ Proxy就可以绕过这个限制正常访问QQ服务器。图一 骇客利用QQ Proxy绕过访问限制 如图一，QQ Proxy同WWW Proxy的设置和使用方法是一样的。在有了Internet上的QQ Proxy时，骇客在公司内部向外访问QQ Proxy的UDP 18000端口，这是不被禁止的。而QQ Proxy会以客户端的身份向真正的访问目标-QQ服务器进行访问，然后把信息从UDP 18000端口向骇客计算机转回去。这样，骇客就利用Proxy实现了对访问限制的突破。 还可以利用这个原理进行其他协议限制的绕过，如WWW、ICQ、MSN、Yahoo Messager、AOL等，只要Proxy软件支持。防御方法 我们设立任何类型的Proxy服务器时，应当对客户端有所限制，不向无关的人员提供使用权限。这样提高了服务器的效率，又杜绝了骇客借我们的Proxy进行攻击的可能。 防止内部人员利用外部的Proxy时，可以在防火墙上严格限制，只能对外部规定站点的规定服务进行访问。当然这样有可能造成业务上的不便，所以在具体环境下要具体考虑，综合地权衡。 1.3、骇客交流平台原理介绍 这又是“肉鸡”的一大功能，骇客很喜欢把一些被托管在IDC中的“肉鸡”设置为自己的BBS/E-mail服务器，这些计算机一般都是CPU快、内存大、硬盘空间足和网速快的，对骇客需要的功能可以很好地支持。骇客分布在世界范围内的各个角落，除了一些固定的骇客组织外，很多骇客都是只通过网络交流，如通过电子邮件、在线聊天等方式"互送秋波"，交流攻击和其他技术，倾诉仰慕之情。很多交往多年的骇客好友从未在现实生活中见过面，这是毫不为奇的。 大家会问那么骇客直接发电子邮件、上ICQ不就行了吗？何必去冒险攻击其他的计算机做为交流平台呢。请注意骇客之间传播的都是一些不能被别人知道的信息，如"我已经控制了XXX省网的骨干路由器，你想要一份它的路由表吗？"，这样的内容如果在任何一个邮件服务器和聊天服务器上被截获，从道义上讲这个网管都是有义务提醒被攻击的网络负责人的，所以利用公共的网络交流手段对骇客来说并不可靠，骇客也要保密啊:-) 。那怎么办？骇客既然控制了“肉鸡”，成为了“肉鸡”的第二个"家长"，就有资格和权限去把它设置为交流用的服务器。在这样的交流平台上，骇客被发现的可能性小得多，最高的控制权限可以使骇客对这些活动进行各种各样的掩饰。还有另一种利用形式就是FTP服务器，供骇客兄弟们上传下载骇客软件，互通有无。 骇客在“肉鸡”上做信息交换的时候，会产生大量的网络通信，尤其是利用FTP上传下载时。如果发现你的内外部通信突然反常地加大，检查一下自己的计算机吧。 防卫性差的“肉鸡”其管理员一般水平也不会很高，再加上缺乏责任心，往往在自己的计算机被占领了很长时间都不知道，直到有一天收到了高额的数据通信收费单，才大吃一惊："怎么搞的？!"。- 难道他们自己就没有责任吗？防御方法 管理员要有实时监视的手段，并制定合理的检查制度，定期地对所负责的网络和服务器进行检查。对于网络流量突然增大、可疑访问出现、服务器情况异常、不正常的日志项等，都要立即进行检查。要记得把这些记录、日志归类备份，以便在出现情况时前后比较。 安全不安全很大程度上取决于管理员是否尽职尽责，好的管理员必须有好的习惯。1.4、学习/开发平台原理介绍 这种情况是比较少见的，却很有意思。我们平时使用的是个人计算机，一般可以安装Windows、FreeBSD、Linux和其他Unix系统的x86版本，如果要实习其他平台上的操作系统几乎是不可能的。象AIX、HP-UX、Solaris（sparc）、IRIX等，都需要相应的硬件平台来配套，普通的个人计算机是装不上的，这些知名厂商的Unix计算机又非常昂贵，成了一般计算机爱好者可望不可及的宝物。骇客兄弟们在这里又有了大显身手的时候了，到网上找到一些可以 侵入的AIX什么的机器，占领之后，想学习这种平台的操作使用还不是很简单的事吗？我曾在一个骇客站点上看到有人转让一台Sun E250“肉鸡”的控制权，开价300块，可怜那个管理员，自己的机器已经被公开出售了还不知道。 骇客在“肉鸡”上做开发就更少见了，因为这样做会有很大的风险。许骇客都没有全职的工作，他们中的很多人都是编程高手，会通过朋友和其他渠道揽一些程序开发的活计，挣些零花钱。很多定制的程序是要跑在特定平台上的，如果一个程序需要在HP-UX平台上开发调试怎么办？HP-UX计算机是很少能找到的。但骇客又可以利用自己的"特长"去攻下一台，做为开发平台。不过我们都知道开发调试程序的时候会有各种种样的bug，轻则导致程序不正常，重则让系统崩溃，还会在日志里留下记录。这就是为什么说这么做很危险，因为它太容易被发现了。要是一台计算机被当做开发平台用了很久而管理员却一无所 知的话，这个管理员实在应该好好反省。防御方法 方法同前一部分，就不必多说了。关心你的服务器吧。二、利用“肉鸡”进行攻击 前面说的都是骇客如何利用“肉鸡”做一些其他的事情，在第二大部分里就要谈一下骇客是如何利用“肉鸡”进行攻击其他计算机和网络行为的。骇客利用“肉鸡”攻击的原因主要有两个：首先是万一攻击行为被下一个目标发现了，对方管理员在追查的时候只能找到这台“ 肉鸡”，而不能直接抓出骇客自己，这为对方管理员追究责任造成了更大的困难；其次，对于某些类型的攻击手段，“肉鸡”所在的位置也许比骇客计算机所在的位置更有利。 下面介绍一下骇客利用“肉鸡”来攻击时的几种方式。2.1非法扫描/监听平台原理介绍 扫描和监听是骇客对“肉鸡”最常使用的借用手段，目标是本网络和其他网络中的计算机。被攻击网络中总有一台计算机会被首先攻破，一旦打开了这个缺口，整个网络就都危险了。这是由于在大多数的网络进行安全设置时，主要的防卫方向是向外的，也就是说他们主要是 防备外来的攻击。骇客可以利用其对内部计算机防备较少的弱点，在控制一台计算机后，从这里直接扫描。如图二图二 “肉鸡”在防火墙内部进行扫描 请看一下前后两种情况的对比。防火墙是很常见的网络安全设备，在网络入口处起到了一个安全屏障的作用，尤其在骇客进行扫描的时候防火墙将堵住对绝大多数端口的探测。这时“肉鸡”就有了用武之地，从这里扫描本地网络中的其他计算机是不需要经过防火墙的，可以 随便地查看它们的漏洞。而且这时候防火墙上也不会留下相应的日志，不易被发觉。骇客可以在扫描结束时返回“肉鸡”取一下结果，或者命令“肉鸡”把扫描结果直接用电子邮件发送到指定信箱。 对于在某个网络中进行非法监听来说，本地有一台“肉鸡”是必须的条件。由于以太网的设计特点，监听只能在本地进行。虽然随着交换式以太网的普及，网络非法监听能收集到的信息大大减少，但对于那些与非法监听软件所在的“肉鸡”通讯的计算机来说，威胁还是很大 的。如果这个“肉鸡”本身还是一台重要的服务器，那么危害就更大了，骇客在这上面会得到很多诸如用户帐号、密码、服务器之间不合理的信任关系的信息等，对下一步攻击起到很大的辅助作用。防御方法 防止扫描一般主要设置在防火墙上，除了内部那些开放了的服务以外，不允许其他的访问进入，可以最大限度地防止信息泄露。至于同一网段上某个服务器成了“肉鸡”，一般情况下是没法防止它扫描其他服务器了，这就需要我们的防御方向不但要向外，也要向内。关闭每 一台计算机上不需要的服务，进行安全加强，让内部的非法扫描器找不到可以利用的漏洞。 防御监听一般使用网络传输加密和交换式网络设备。管理员远程登录系统时候，还是有很多人喜欢使用默认的telnet，这种明文传输的协议是骇客的最爱。使用SSH代替telnet和那些r命令，可以使网络上传输的数据成为不可读的密文，保护你的帐号、口令 和其他重要的信息。交换式网络设备可以使单个计算机接收到的无用信息大大减少，从而降低非法监听器的危害性。不过相对来说，它的成本还是比较高的。2.2 攻击的实际出发点原理介绍 这里所说的攻击是指那些取得其他计算机控制权的动作，如溢出和漏洞攻击等。与扫描监听相同，从内部的“肉鸡”发起的攻击同样不必经过防火墙，被阻挡和发现的可能减少了。从这里攻击时被发现了之后，追查时会找到骇客吗？同样也不行，只能先找到“肉鸡”，再从 这里找骇客就困难了。 如果说“肉鸡”做为扫描工具的时候象骇客的一只眼睛，做监听工具的时候象骇客的一只耳朵，那么“肉鸡”实际进攻时就是骇客的一只手。骇客借助“肉鸡”这个内应来听来看，来攻击，而“肉鸡”成为了提线木偶，举手投足都被人从选程看不到的地方控制着。防御方法 也是需要对计算机进行严密的监视。请参考前面的内容。2.3 DDoS攻击傀儡 关于骇客利用“肉鸡”进行DDoS攻击的手段就不再赘述了，详见IBM DeveloperWorks曾经刊登的文章《分布式拒绝服务攻击(DDoS)原理及防范》2.4端口跳转攻击平台原理介绍 这种攻击方式一般是用来对付防火墙的访问限制的。在很多网络中都使用了防火墙对外封闭一些危险的端口（这种防御又是向外的），这里骇客就可以在内部已经有“肉鸡”的提前下，让“肉鸡”去访问这些端口，注意这时不经过防火墙是不会被阻挡的，而骇客从一个不被 防火墙限制的端口去访问“肉鸡”。在进行这种攻击之前，骇客会在“肉鸡”上进行设置，利用特殊的软件把骇客对“肉鸡”的访问发送到目标计算机上，端口也会变成那个危险端口，这样骇客就绕过防火墙直接对目标计算机的危险端口进行攻击了。 只用文字描述比较抽象，我们来看一个例子。 这是一个我们在实际的安全响应中的处理过程，这里骇客使用了组合式的攻击手段，其中包括对Windows服务器常见的139端口攻击，对Solaris系统的溢出攻击，攻击前的信息收集，还有2.4要里着重介绍的端口跳转攻击的方式。图三(A) 网络初始结构 如图三A，客户方的系统管理员发现一台Windows2000服务器的行为异常后，马上切断了这台服务器的网络连接并向我们报告，这是当时的网络拓扑结构。经过仔细的诊断，我们推断出骇客是利用了这台服务器的139端口漏洞，从远程利用nbtdump、口 令猜测工具、Windows net命令等取得了这台服务器的控制权，并安装了BO 2000木马。但客户的系统管理员立刻否定我们的判断："虽然这台服务器的139端口没有关闭，但我已经在防火墙上设置了规则，使外部计算机不能访问这台服务器的139端口。"又是一个只防范外部攻击的手段！难道大家都对内部攻击占70%以上的比率视而不见吗？不过这里的路由器日志显示，骇客确实是从外部向这台服务器的木马端口进行连接的。 我们于是继续汇总分析各方面的数据，客户管理员也配合我们进行检查。在检查网络上的其他主机时，我们发现内部网中有一台SUN工作站的网卡上绑定了3个IP地址，其中一个IP地址与被攻击Windows服务器是一个网段的！这立刻引起了我们的注意。客户管 理员解释说这是一台Solaris Sparc机器，经常用来做一些测试，有时也会接入服务器网段，所以配了一个该网段的地址。而且就在一个多星期前，这台SUN工作站还放在服务器网段。这就很可疑了，我们立刻对它进行了检查，果然这台SUN工作站已经被占领了，因为主要用途是测试，客户管 理员并没有对它进行安全加强，攻破它是易如反掌的事情。在它上面发现了大量的扫描、监听和日志清除工具，另外还有我们意料之中的端口跳转工具 - netcat，简称nc。 图三B “肉鸡”跳板主板被临时放置在目标服务器的同一网段 至此问题就比较清楚了：骇客首先占领了这台毫不设防的SUN机，然后上载nc，设置端口跳转，攻击Windows 2000服务器的139端口，并且成功地拿下了它。还原当时的网络拓扑图应该是这样的，如图三B。图三C 利用“肉鸡”跳板进行端口跳转 图三C解释了端口跳板是如何起作用的。nc安装后，骇客就会通过定制一些运行参数，在“肉鸡”的后台建立起由“肉鸡”的2139端口到目标计算机的139端口的跳转。这就象是一条虚拟的通道，由“肉鸡”的2139端口通向目标的139端口，任何向“肉鸡” 的2139进行的访问都会自动地转发到目标计算机的139端口上去。就是说，访问“肉鸡”的2139端口，就是在访问目标的139端口。反过来，目标计算机的回馈信息也会通过“肉鸡”的通道向骇客计算机返回。图三D 骇客通过两次跳转绕过防火墙对139端口的阻止 图三D是我们分析后还原的nc端口跳转攻击拓扑图，骇客在这里需要两次端口跳转，第一次是利用自己的linux计算机把对139端口的访问向SUN的2139端口发送，这样就绕过了防火墙对139端口的访问限制。然后SUN会把对自己2139端口的访问发 送到攻击最终目标的139端口上。为什么图中的"骇客"计算机不直接访问SUN的2139端口，而需要linux多跳转一次呢？这是由于象net、nbtdump、远程口令猜测等手段都是默认针对139端口而且骇客无法改变的。
单凭防火墙再也不足以保护网上资产。如今，黑客及其攻击策略是越来越精明、越来越危险。当前的一大威胁就是应用层攻击，这类攻击可以偷偷潜入防火墙、直至潜入Web应用。没错，这类攻击有不少喜欢把宝贵的客户数据作为下手目标。
那么，为什么普通防火墙阻止不了这类攻击呢？因为这类攻击伪装成正常流量，没有特别大的数据包，地址和内容也没有可疑的不相配，所以不会触发警报。最让人害怕的一个例子就是SQL指令植入式攻击（SQL injection）。在这种攻击中，黑客利用你自己的其中一张HTML表单，未经授权就查询数据库。另一种威胁就是命令执行。只要Web应用把命令发送到外壳程序，狡猾的黑客就可以在服务器上随意执行命令。
另一些攻击比较简单。譬如说，HTML注释里面往往含有敏感信息，包括不谨慎的编程人员留下的登录信息。于是，针对应用层的攻击手段，从篡改cookies到更改HTML表单里面的隐藏字段，完全取决于黑客的想象力。不过好消息是，大多数这类攻击是完全可以阻止的。
如果结合使用，两种互为补充的方案可以提供稳固防线。首先，使用应用扫描器彻底扫描你的Web应用，查找漏洞。然后，使用Web应用防火墙阻止不法分子闯入。
应用扫描器基本上可以对你的服务器发动一系列模拟攻击，然后汇报结果。KaVaDo ScanDo、Sanctum AppScan Audit和SPI Dynamics在详细列出缺陷、建议补救方法方面的功能都相当全面。AppScan Audit尤其值得关注，因为这款产品具有事后检查功能，可以帮助编程人员在编制代码时就查出漏洞。不过，这些工具包没有一款比得上安全专业人士的全面审查。
一旦你设法堵住了漏洞，接下来就是部署Web应用防火墙。这类防火墙的工作方式很有意思：弄清楚进出应用的正常流量的样子，然后查出不正常流量。为此，Web应用防火墙必须比普通防火墙更深层地检查数据包。Check Point在这方面最出名，不过KaVaDo、NetContinuum、Sanctum和Teros等其它厂商的名气相对要小。这类防火墙有的采用软件，有的采用硬件，还有一些则兼而有之。不过别误以为这类防火墙是即插即用的，即便采用硬件的也不能。与入侵检测系统一样，你也要认真调整Web应用防火墙，以减少误报，又不让攻击潜入进来。
由于垃圾邮件以及越来越狡猾的攻击，如果您以为安装防火墙就万事大吉，高枕无忧的话，您就应该好好想想上面所说您该如何应对。
对于小型用户群体或家庭用户接入Internet，采用拨号上网不失为一种廉价实用的方式。在局域网上通过代理服务器软件便可以解决多用户共享访问Internet问题，代理服务器实质上是一个介于用户群体和Internet之间的桥梁，用以实现其网络用户对Internet的访问。
利用局域网 目前局域网的组网产品很多，以太网交换机或集线器（HUB）价格低廉，非常容易实现局域网客户的互联。本文以现有园区网为例，阐述如何利用PROXY代理服务器实现Internet连接，并进行代理服务器的内部路由分析。本局域网的拓扑结构如图1所示，局域网组成为：客户机若干台，服务器一台，拨号网络服务器一台，连接Internet的调制解调器一台。具体配置如下： 1、客户机：安装WINDOWS 95/98，IE浏览器（Internet Explorer4.0或5.0）。在Internet Explorer的“选项，连接”一栏中选择“使用代理服务器访问Internet”，并将代理服务器的IP地址和端口号（80）填入“地址”和“端口”项，如此便完成了客户端的简单配置。 2、服务器：安装WINDOWS NT和PROXY软件。配置服务器的RAS、拨号网络、TCP/IP等，建立WINDOWS用户帐户，启动PROXY软件，启动WEB、FTP等代理任务并进行权限设置，给予客户访问Internet的权限等。
3、调制解调器：在服务器端配置一台调制解调器（MODEM），一条电话线。拨通本地的Internet电话，如169、163等。
4、拨号网络服务器：在局域网中为远程用户提供服务，使远程用户可以通过专用通讯线路与局域网连接。
代理服务器的路由问题
配置服务器的RAS服务和拨号网络后，进行拨号连接。此时的代理服务器中相当于存在两块接口卡，即一个网卡和一个调制解调器，可以把它看作是一个 路由器 ，为客户和外界提供路由转发功能，因此必须查看并调整服务器的路由设置，以保证服务器与客户的正常通讯。
在服务器上进行拨号，在DOS模式下通过ROUTE命令查看服务器的路由表。下面仅以缺省路由为例简单分析NT服务器在拨号过程中的路由表，假设10.119.40.254为服务器所在网段的网关，10.119.40.49为NT服务器网卡的IP地址。
拨号前服务器路由表（表1）：
NETWORK ADDRESS NETMASK GATEWAY ADDRESS INTERFACE METRIC
0.0.0.0 0.0.0.0 10.119.40.254 10.119.40.49 1
拨号后服务器路由表（表2）：
NETWORK ADDRESS NETMASK GATEWAY ADDRESS INTERFACE METRIC
0.0.0.0 0.0.0.0 10.119.40.254 10.119.40.49 2
0.0.0.0 0.0.0.0 10.18.168.168 10.18.168.168 1
其中10.18.168.168为INTERNET服务器分配给本拨号网络（调制解调器）的IP地址。经对比表1和表2，在拨号前后的缺省路由有了变化。分析这一现象，主要是由于在服务器中“拨号网络”，“TCP/IP设置”的选项中，选择了“使用拨号网络的默认网关”的缘故，这样服务器每次向10.119.40.0网段的客户发送信息都首先经过10.18.168.168的地址。当网络上的客户要求访问INTERNET站点时，每次都要通过局域网到NT服务器，然后至MODEM。所以必须保障客户机与服务器的正常连通，使路由过程通过10.119.40.49局域网网卡进行。应用PING命令进行检测，服务器可以PING通客户机，而客户机PING服务器时出现超时（TIME OUT）。这一现象表明由于代理服务器的默认路由发生了变化，从而使客户与服务器的连通首先要经过10.18.168.168来转发。解决这一问题须做以下设置，假设某客户所在网段为122.103.1.0，SUBMASK:255.255.255.0，需向路由表中填加指定项目，即执行命令ROUTE ADD 122.103.1.0 255.255.255.0 10.119.40.49。其中10.119.40.49为NT服务器的网卡IP地址，再查看服务器路由表如下：
NETWORK ADDRESS NETMASK GATEWAY ADDRESS INTERFACE METRIC
0.0.0.0 0.0.0.0 10.119.40.254 10.119.40.49 2
0.0.0.0 0.0.0.0 10.18.168.168 10.18.168.168 1
122.103.1.0 255.255.255.0 10.199.40.254 10.119.40.49 1
进一步分析，我们还可以通过修改默认路由的方法来达到我们的目的，即使用ROUTE ADD 0.0.0.0 0.0.0.0 10.119.40.49 1 IF METRIC=2
使路由表设置为：
NETWORK ADDRESS NETMASK GATEWAY ADDRESS INTERFACE METRIC
0.0.0.0 0.0.0.0 10.119.40.254 10.119.40.49 1
作为特殊情况，我们分析一下局域网远程用户的路由问题。在局域网中存在远程用户，它们通常经过专用的通讯线路与局域网连接，如果它们试图通过代理服务器访问INTERNET，必须在NT服务器上配置路由表。由于这类远程用户访问INTERNET需要经过2次拨号服务，在PROXY代理服务器上直接的路由设置尤其必要。如上所述，局域网的客户还可以通过修改默认路由的方法使服务器和客户连通。对于远程客户则不然，必须直接设置代理服务器的路由。假设远程用户（拨号网络服务器）所在的网段为122.100.1.0，SUBMASK:255.255.255.0，须加入路由：ROUTE ADD 122.100.1.0 255.255.255.0 10.119.40.49，才能保证远程用户的直通性。否则，在 客户拨通局域网时，远程客户机能PING通网上其它所有的设备，惟独PING NT服务器时超时错误。这说明代理服务器的默认路由此时并没有起作用。
用户的管理
通过WINDOWS NT可以对每个代理用户进行管理。在客户访问INTERNET时，首先要在代理服务器上进行用户验证，在用户输入正常的用户名和密码时，才能为其提供INTERNET服务，然后通过代理服务器访问INTERNET。代理服务器软件可使用MS PROXY 2.0，它提供了大量的代理权限的控制，使用它可以对授权用户、访问站点等进行方便地管理、监视、记录等。
凡是网络存在之处，都不可避免地会受到诸多不安全因素的威胁，在系统中安装防火墙无疑是最明智、有效的选择。我们既然寄希望于防火墙成为个人计算机与网络之间的一道安全屏障，就一定要对防火墙的方方面面有通透的了解，才能事半功倍，达到预期效果。
问：Windows 2003 自带的防火墙应该如何打开和关闭？
答：可以直接在网卡属性里面设置，也可以在服务里面自己开启服务。
*******************************************************
问：除了Norton 8．1版能装在Windows 2003，还有哪个杀毒软件能支持Windows 2003的？
答：McAfee VirusScan Enterprise、Kaspersky Anti-Virus for NT Server 都可以，但惟一通过Windows 2003认证的目前是趋势SPNT 5.57中文版。
******************************************************
问：Windows 2000 Server装了ZoneAlarm Pro防火墙，还装了Terminal Service终端服务用来远程控制。可怎么配置都无法从远程连接终端服务，大概是ZoneAlarm Pro禁止了链接请求。应该怎样配置才能让ZoneAlarm Pro允许终端服务连接呢？
答：开放3389端口。
***************************************************
问：我在使用 Norton Internet Security 时遇到了以下问题：一是由于硬性屏蔽了来路信息，导致 Discuz 提交安全检查无法通过，在发帖等情况下提示为未定义操作；二是由于误判断，将发帖时的 Discuz 代码辅助提示判断为广告信息而不被执行。有何解决方法？
答：修改 Norton 的默认配置可以避免以上问题，方法如下（以 Norton Internet Security 2003 中文版为例）。
1. 调出“选项”窗口，选择“Norton Internet Security→Web内容→浏览站点的信息”，选择“允许”。
2. 选择“禁止广告→配置”，取消“启用禁止广告”复选框。
经过上述修改后，在安装有 Norton Internet Security 的机器上仍然可以顺畅地访问 Discuz! 及其他网站。
************************************************************
问：单位有人使用BT大量下载东西。以前我在防火墙上封掉对外的6969端口好像很有效果，但是最近好像没啥效果了。请问有什么好的建议吗？
答：那就使用防火墙把6999-9999端口都封了，不过，他们还会开别的，用监视看他们用哪个就封哪个。
***********************************************************
问：朋友的一台笔记本电脑，主要就是写写文章，上网查点东西，不玩游戏，其他东西做的也不多。3月份重装系统安装了ZoneAlarm防火墙后，就开始出现：如果ADSL网络没有流量（就是不访问点什么，停在那里不动）大概过10分钟就会断线，然后机器重新拨号连接！我检查半天，就是找不到有什么问题，请问可能会是什么原因？
答：通常来说，这类防火墙都有当网络闲置时自动断线的功能，而且，一般来说，这个功能默认情况下是启用的，解决这位朋友遇到的问题办法其实很简单，只需去掉这个功能即可。
************************************************************
问：装Kerio Personal Firewall 2．1．5防火墙的这台机器是直接拨号上网ADSL，两台机器是Hub相连的，通过Windows XP的那个共享来一起上网。现在装了防火墙之后，另一台就不能上网了，不论做什么都不行。请问大家，要创建些怎样的规则才行呢？
答：选择“管理→防火墙→高级→Microsoft网络”，选中“允许其他用户访问我的共享文件夹和打印机”即可。
********************************************************
问：我现在QQ每发送一个消息，Norton都会进行病毒扫描。在内存驻留Savscan．exe这个程序，在后台强行关闭不了这个文件，一关闭就会出现提示，但是仍然继续扫描，好像是扫描msg．db的一个文件。扫描过程使我用QQ速度很慢，而且CPU占用率很高，请问我如何关闭Norton对QQ的病毒扫描？
答：在Norton的程序选项中，选择“系统→自动防护→排除”，在右侧列表中将QQ程序添加至要“排除的项目”。再选择“其它→威胁类别→排除”，同样添加QQ程序至右侧列表中。