不嘟不嘟

      本文从系统管理员的角度讨论安全问题.系统管理员是管理系统的人:启动系统,停止系统运行,安装新软件,增加新用户,删除老用户,以及完成保持系统发展和运行的日常事务工作.  



1.安全管理  



安全管理主要分为四个方面:  



(1)防止未授权存取:这是计算机安全最重要的问题:未被使用系统的人进入系统.用户意识,良好的口令管理(由系统管理员和用户双方配合),登录活动记录和报告,用户和网络活动的周期检查,这些都是防止未授权存取的关键.  



(2)防止泄密:这也是计算机安全的一个重要问题.防止已授权或未授权的用户相互存取相互的重要信息.文件系统查帐,su登录和报告,用户意识,加密都是防止泄密的关键.  



(3)防止用户拒绝系统的管理:这一方面的安全应由操作系统来完成.一个系统不应被一个有意试图使用过多资源的用户损害.不幸的是,UNIX不能很好地限制用户对资源的使用,一个用户能够使用文件系统的整个磁盘空间,而UNIX基本不能阻止用户这样做.系统管理员最好用PS命令,记帐程序df和du周期地检查系统.查出过多占用CUP的进程和大量占用磁盘的文件.  



(4)防止丢失系统的完整性:这一安全方面与一个好系统管理员的实际工作(例如:周期地备份文件系统,系统崩溃后运行fsck检查,修复文件系统,当有新用户时,检测该用户是否可能使系统崩溃的软件)和保持一个可靠的操作系统有关(即用户不能经常性地使系统崩溃).  



本文其余部分主要涉及前两个问题,第三个问题在"安全查帐"一节讨论.  



2.超级用户  



一些系统管理命令只能由超级用户运行.超级用户拥有其他用户所没有的特权,超级用户不管文件存取许可方式如何,都可以读,写任何文件,运行任何程序. 系统管理员通常使用命令: /bin/su 或以 root 进入系统从而成为超级用户.在后面文章中以#表示应敲入必须由超级用户运行的命令,用$表示应敲入由所有其他用户运行的命令.  



3.文件系统安全  



(1)UNIX文件系统概述  



UNIX文件系统是UNIX系统的心脏部分,提供了层次结构的目录和文件.文件系统将磁盘空间划分为每1024个字节一组,称为块(block)(也有用512字节为一块的,如:SCO XENIX).编号从0到整个磁盘的最大块数.  



全部块可划分为四个部分,块0称为引导块,文件系统不用该块;块1称为专用块,专用块含有许多信息,其中有磁盘大小和全部块的其它两部分的大小.从块2开始是i节点表,i节点表中含有i节点,表的块数是可变的,后面将做讨论. i节点表之后是空闲存储块(数据存储块),可用于存放文件内容.  



文件的逻辑结构和物理结构是十分不同的,逻辑结构是用户敲入cat命令后所看到的文件,用户可得到表示文件内容的字符流.物理结构是文件实际上如何存放在磁盘上的存储格式.用户认为自己的文件是边疆的字符流,但实际上文件可能并不是以边疆的方式存放在磁盘上的,长于一块的文件通常将分散地存放在盘上.然而当用户存取文件时,UNIX文件系统将以正确的顺序取各块, 给用户提供文件的逻辑结构.  



当然,在UNIX系统的某处一定会有一个表,告诉文件系统如何将物理结构转换为逻辑结构.这就涉及到i节点了.i节点是一个64字节长的表,含有有关一个文件的信息,其中有文件大小,文件所有者,文件存取许可方式,以及文件为普通文件,目录文件还是特别文件等.在i节点中最重要的一项是磁盘地址表. 该表中有13个块号.前10个块号是文件前10块的存放地址.这10个块号能给出一个至多10块长的文件的逻辑结构,文件将以块号在磁盘地址表中出现的顺序依次取相应的块.  



当文件长于10块时又怎样呢?磁盘地址表中的第十一项给出一个块号,这个块号指出的块中含有256个块号,至此,这种方法满足了至多长于266块的文件(272,384字节).如果文件大于266块,磁盘地址表的第十二项给出一个块号, 这个块号指出的块中含有256个块号,这256个块号的每一个块号又指出一块, 块中含256个块号,这些块号才用于取文件的内容.磁盘地址中和第十三项索引寻址方式与第十二项类似,只是多一级间接索引.  



这样,在UNIX系统中,文件的最大长度是16,842,762块,即17,246,988,288字节,有幸是是UNIX系统对文件的最大长度(一般为1到2M字节)加了更实际的限制,使用户不会无意中建立一个用完整个磁盘窨所有块的文件.  



文件系统将文件名转换为i节点的方法实际上相当简单.一个目录实际上是一个含有目录表的文件:对于目录中的每个文件,在目录表中有一个入口项, 入口项中含有文件名和与文件相应的i节点号.当用户敲入cat xxx时,文件系统就在当前目录表中查找名为xxx的入口项,得到与文件xxx相应的i节点号,然后开始取含有文件xxx的内容的块.  



(2)设备文件  



UNIX系统与边在本系统上的各种设备之间的通讯,通过特别文件来实现,就程序而言,磁盘是文件,MODEM是文件,甚至内存也是文件.所有连接到系统上的设备都在/dev目录中有一个文件与其对应.当在这些文件上执行I/O操作时,由UNIX系统将I/O操作转换成实际设备的动作.例如,文件/dev/mem是系统的内存,如果cat这个文件,实际上是在终端显示  



系统的内存.为了安全起见,这个文件对普通用户是不可读的.因为在任一给定时间,内存区可能含有用户登录口令或运行程序的口令,某部分文件的编辑缓冲区,缓冲区可能含有用ed -x命令解密后的文本,以及用户不愿让其他人存取的种种信息.  



在/dev中的文件通常称为设备文件,用ls /dev命令可以看看系统中的一些设备:  



acuo 呼叫自动拨号器  



console 系统控制台  



dsknn 块方式操作磁盘分区  



kmem 核心内存  



mem 内存  



lp 打印机  



mto 块方式操作磁带  



rdsknn 流方式操作的磁盘分区  



rmto 流方式操作的磁带  



swap 交换区  



syscon 系统终端  



ttynn 终端口 x25 网络端口  



等等  



(3)/etc/mknod命令  



用于建立设备文件.只有root能使用这个命令建立设备文件.其参数是文件名,字母c或b分别代表字符特别文件或块特别文件,主设备号,次设备号.块特别文件是像磁带,磁盘这样一些以块为单位存取数据的设备.字符特别文件是如像终端,打印机,MODEM,或者其它任何与系统通讯时,一次传输一个字符的设备,包括模仿对磁盘进行字符方式存取的磁盘驱动器.主设备号指定了系统子程序(设备驱动程序),当在设备上执行I/O时,系统将调用这个驱动程序.调用设备驱动程序时,次设备号将传递给该驱动程序(次设备规定具体的磁盘驱动器,带驱动器,信号线编号,或磁盘分区).每种类型的设备一般都有自己的设备驱动程序.  



文件系统将主设备号和次设备号存放在i节点中的磁盘地址表内,所以没有磁盘空间分配给设备文件(除i节点本身占用的磁盘区外).当程序试图在设备文件上执行I/O操作时,系统识别出该文件是一个特别文件,并调用由主设备号指定的设备驱动程序,次设备号作为调用设备驱动程序的参数.  



(4)安全考虑  



将设备处理成文件,使得UNIX程序独立于设备,即程序不必一定要了解正使用的设备的任何特性,存取设备也不需要记录长度,块大小,传输速度,网络协议等这样一些信息,所有烦人的细节由设备驱动程序去关心考虑,要存取设备,程序只须打开设备文件,然后作为普通的UNIX文件来使用.  



从安全的观点来看这样处理很好,因为任何设备上进行的I/O操作只经过了少量的渠道(即设备文件).用户不能直接地存取设备.所以如果正确地设置了磁盘分区的存取许可,用户就只能通过UNIX文件系统存取磁盘.文件系统有内部安全机制(文件许可).不幸的是,如果磁盘分区设备得不正确,任何用户都能够写一个程序读磁盘分区中的每个文件,作法很简单:读一i节点,然后以磁盘地址表中块号出现的顺序,依次读这些块号指出的存有文件内容的块.故除了root以外,决不要使盘分区对任何人可写.因为所有者,文件存取许可方式这样一些信息存放于i节点中,任何人只要具有已安装分区的写许可,就能设置任何文件的SUID许可,而不管文件的所有者是谁,也不必用chmod()命令,还可避过系统建立的安全检查.  



以上所述对内存文件mem,kmem和对换文件swap也是一样的.这些文件含有用户信息,一个"耐心"的程序可以将用户信息提取出来.  



要避免磁盘分区(以及其它设备)可读可写,应当在建立设备文件前先用umask命令设置文件建立屏蔽值.  



一般情况下,UNIX系统上的终端口对任何人都是可写的,从而使用户可以用write命令发送信息.虽然write命令易引起安全方面的问题,但大多数用户觉得用write得到其他用户的信息很方便,所以系统将终端设备的存取许可设置成对所有用户可写. /dev目录应当是755存取许可方式,且属root所有.  



不允许除root外的任何用户读或写盘分区的原则有一例外,即一些程序(通常是数据库系统)要求对磁盘分区直接存取,解决这个问题的经验的盘分区应当由这种程序专用(不安装文件系统),而且应当告知使用这种程序的用户,文件安全保护将由程序自己而不是UNIX文件系统完成.  



(5)find命令  



find命令用于搜索目录树,并对目录树上的所有文件执行某种操作,参数是目录名表(指出从哪些起点开始搜索),还可给出一个或多个选项,规定对每个文件执行什么操作.  



find . -print 将列出当前工作目录下的目录树的每一个文件.  



find / -user bob -print 将列出在系统中可找到的属于bob用户的所有文件.  



find /usr/bob -perm 666 -print 将列出/usr/bob目录树下所有存取许可为666的文件.若将666改为-666则将列出所有具有包含了666在内的存取许可方式的文件(如777).  



find /usr/bob -type b -print 将列出/usr/bob目录树下所有块特别文件(c为字符特别文件).  



find / -user root -perm -4000 -exec ls -l {} ; 是一个较复杂一点的命令,-exec COMMAND ;允许对所找到的每个文件运行指定的命令COMMAND.若COMMAND中含有{},则{}将由find所找到的文件名替换.COMMAND必须以;结束.  



以上举例介绍find的用法,各选项可组合使用以达到更强的功能.  



(6)secure程序  



系统管理员应当做一个程序以定期检查系统中的各个系统文件,包括检查设备文件和SUID,SGID程序,尤其要注意检查SUID,SGID程序,检查/etc/passwd和/etc/group文件,寻找久未登录的户头和校验各重要文件是否被修改. (源程序清单将在今后发表)  



(7)n  



check命令  



用于检查文件系统,只用一个磁盘分区名作为参数,将列出i节点号及相应的文件名.i节点相同的文件为建链文件.  



注意:所列出的清单文件名与mount命令的第一个域相同的文件名前部分将不会列出来.因为是做文件系统内部的检查,ncheck并不知道文件系统安装点以上部分的目录.  



也可用此命令来搜索文件系统中所有的SUID和SGID程序和设备文件,使用-s选项来完成此项功能.  



(8)安装和拆卸文件系统  



UNIX文件系统是可安装的,这意味着每个文件系统可以连接到整个目录树的任意节点上(根目录总是被安装上的).安装文件系统的目录称为安装点.  



/etc/mount命令用于安装文件系统,用这条命令可将文件系统安装在现有目录结构的任意处.  



安装文件系统时,安装点的文件和目录都是不可存取的,因此未安装文件系统时,不要将文件存入安装点目录.文件系统安装后,安装点的存取许可方式和所有者将改变为所安装的文件根目录的许可方式和所有者.  



安装文件系统时要小心:安装点的属性会改变!还要注意新建的文件,除非新文件系统是由标准文件建立的,系统标准文件会设置适当的存取许可方式, 否则新文件系统的存取许可将是777! 可用-r选项将文件系统安装成只读文件系统.需要写保护的带驱动器和磁盘应当以这种方式来安装.  



不带任何参数的/etc/mount可获得系统中所安装的文件系统的有关信息.包括:文件系统被安装的安装点目录,对应/dev中的哪个设备,只读或可读写, 安装时间和日期等.  



从安全的观点来讲,可安装系统的危险来自用户可能请求系统管理员为其安装用户自己的文件系统.如果安装了用户的文件系统,则应在允许用户存取文件系统前,先扫描用户的文件系统,搜索SUID/SGID程序和设备文件.在除了root外任何人不能执行的目录中安装文件系统,用find命令或secure列出可疑文件,删除不属用户所有的文件的SUID/SGID许可.  



用户的文件系统用完后,可用umount命令卸下文件系统.并将安装点目录的所有者改回root,存取许可改为755.  



(9)系统目录和文件  



UNIX系统中有许多文件不允许用户写,如:/bin,/usr/bin,/usr/lbin, /etc/passwd, /usr/lib/crontab, /unix, /etc/rc, /etc/inittab这样一些文件和目录(大多数的系统目录),可写的目录允许移动文件,会引起安全问题. 统管理员应经常检查系统文件和目录的许可权限和所有者.可做一个程  



序根据系统提供的规则文件(在/etc/permlist文件中)所描述的文件所有者和许可权规则检查各文件.  



(源程序清单将在今后发表)  



注意:如果系统的安全管理不好,或系统是新安装的,其安全程序不够高, 可以用make方式在安全强的系统上运行上述程序,将许可规则文件拷贝到新系统来,再以设置方式在新系统上运行上述程序,就可提高本系统的安全程序.但要记住,两个系统必须运行相同的UNIX系统版本.  



4.作为root运行的程序  



在UNIX系统中,有些程序由系统作为root进程运行.这些程序并不总是具有SUID许可,因为其不少程序仅由root运行,系统管理员需要清楚这些程序做什么, 以及这些程序还将运行其它什么程序.  



(1)启动系统  



当某些UNIX系统(如SCO UNIX/XENIX)启动时,是以被称为单用户的方式运行,在这种方式中普通用户不能登录,唯有的进程是init,swapper,以及一些由系统管理员从控制台运行的进程.UNIX系统的单用户方式启动,使系统管理员能在允许普通用户登录以前,先检查系统操作,确保系统一切正常,当系统处于单用户方式时,控制台作为超级用户,命令揭示是"#",有些UNIX系统不要确认超级用户口令就认可控制台是root,给出#提示符.这就可能成为一个安全问题.  



(2)init进程  



UNIX系统总是以某种方式或称为某种级运行,系统有若干种运行级,这些运行级由init进程控制.  



UNIX系统启动时以单用户方式运行,也叫1级或S级.  



对于其他用户登录进入系统,UNIX有一种多用户运行方式,也叫2级.  



init进程控制系统运行级,它读入文件/etc/inittab,该文件详细地规定了哪些进程在哪一级运行.当root敲入init n(数字),系统就进入n级.init读该文件以确定终止哪些进程,启动哪些进程.  



有效的运行级的数值是从0到6与s.  



注意:由init建立的进程以UID为0运行(root)从/etc/inittab运行的程序也作为root运行,所以系统管理员要确保自己知道/etc/inittab中的程序做什么工作,确保这些程序以及这些程序所在的目录直到/和/etc/inittab除root外无人可写.  



(3)进入多用户  



当UNIX系统进入多用户方式时,将寝化一系列事件,接着开始执行gettys, 允许其他用户登录进入系统.如果再看看/etc/inittab文件,会看到gettys定义在运行级2,至少三个shell程序/etc/brc, /etc/bcheckrc, /etc/rc*也定义在运行级2.这些程序都在gettys启动前运行.  



这些shell程序作为root运行,也不能仅对root可写还应当检查shell程序运行的命令,因为这些命令也将作为root运行.  



(4)shutdown命令  



用shutdown命令关系统,shutdown shell程序发送警告通知所有用户离开系统,在"给定的期限时间"到了后,就终止进程,拆卸文件系统,进入单用户方式或关机状态.一旦进入单用户方式,所有的gettys停止运行,用户再不能登录. 进入关机状态后可将系统关电. shutdown仅能由作为root登  



    6./etc/group文件  



/etc/group文件含有关于小组的信息,/etc/passwd中的每个GID在本文件中应当有相应的入口项,入口项中列出了小组名和小组中的用户.这样可方便地了解每个小组的用户,否则必须根据GID在/etc/passwd文件中从头至尾地寻找同组用户.  



/etc/group文件对小组的许可权限的控制并不是必要的,因为系统用UID,GID(取自/etc/passwd)决定文件存取权限,即使/etc/group文件不存在于系统中,具有相同

      　　现在虽然有众多的杀毒软件和防火墙作为电脑的保护网，但由于不可预知病毒的不断更新加上系统的未知漏洞和更隐蔽的黑客入侵，电脑中毒在互联网时代还是不可避免的。万一中毒该如何处理呢?下面就谈谈中毒后的一些处理措施。  



　　一、正在上网的用户，发现异常应立刻断开连接  



　　所谓的异常:  



　　1.机器运行速度明显减慢；  



　　2.打开某网页后无数对话框弹出；  



　　3.花屏以及出现奇怪的消息；  



　　4.鼠标键盘不受控制等现象；  



　　典型的上网中毒有两种情况：  



　　1、浏览某些带恶意代码的网页时候被修改了浏览器的默认主页或是标题。还有就是遇到可以格式化硬盘或是令你的Windows 不断打开窗口，直到耗尽资源死机——这种情况恶劣得多，你未保存和已经放在硬盘上的数据都可能会受到部分或全部的损失。  



　　2、潜在的木马发作或是蠕虫类病毒发作，让你的机器不断地向外界发送你的隐私；或是利用你的名义和邮件地址发送垃圾进一步传播病毒；还有就是黑客的手工入侵，窥探你的隐私或是删除破坏你的文件。  



　　自救措施:马上断开连接，这样在自己的损失降低的同时，也避免了病毒向更多的在线电脑传播。请先不要马上重新启动系统或是关机，进一步的处理措施请参看后文。  



　　二、中毒后应马上备份、转移文档和邮件等  



　　中毒后运行杀毒软件杀毒是理所当然的了，但为了防止杀毒软件误杀或是删掉你还未处理完的文档和重要的邮件，你应该首先将它们备份到其他储存媒体上。有些长文件名的文件和未处理的邮件要求在Windows下备份，所以上文笔者建议你先不要退出Windows，因为病毒一旦发作，可能就不能进入 Windows了。  



　　不管这些文件是否带毒，你都应该备份，用标签纸标记为“待查”即可。因为有些病毒是专门针对某个杀毒软件设计的，一运行就会破坏其他文件，所以先备份是防患于未然的措施。等你清除完硬盘内的病毒后，再来慢慢分析处理这些额外备份的文件较为妥善。  



　　三、需要在Windows下先运行一下杀CIH的软件(即使是带毒环境)  



　　如果是发现了CIH病毒，要注意不能完全按平时报刊和手册建议的措施，即先关机、冷启动后用系统盘来引导再杀毒，而应在带毒的环境下也运行一次专杀CIH的软件。这样做，杀毒软件可能会报告某些文件受读写保护无法清理，但带毒运行的实际目的不在于完全清除病毒，而是在于把CIH下次开机时候的破坏减到最低，以防它在再次开机时破坏主板的BIOS硬件导致黑屏，让你下一步的杀毒工作无法进行。  



　　四、需要干净的DOS启动盘和DOS下面的杀毒软件  



　　到现在，就应该按很多杀毒软件的标准手册去按部就班地做。即关机后冷启动，用一张干净的DOS启动盘引导；另外由于中毒后可能Windows已经被破坏了部分关键文件，会频繁地报告非法操作，所以Windows下的杀毒软件可能会无法运行。所以请你也准备一个DOS下面的杀毒软件如KV300系列、金山毒霸以防万一。  



　　即使能在Windows下运行杀毒软件，也请用两种以上工具交叉清理。在多数情况下Windows可能要重装，因为病毒会破坏掉一部分文件让系统变慢或出现频繁的非法操作。比如即使杀了CIH，微软的Outlook邮件程序也是反应较慢的。建议不要对某种杀毒软件带偏见，由于开发时候侧重点不同、使用的杀毒引擎不同，各种杀毒软件都是有自己的长处和短处的，交叉使用效果较理想。  



　　五、如果有Ghost和分区表、引导区的备份，用之来恢复一次最保险  



　　如果你在平时用Ghost备份做了Windows的，用之来镜像一次，得到的操作系统是最保险的。这样连潜在的未杀光的木马程序也顺便清理了。当然，这要求你的Ghost备份是绝对可靠的。要是作Ghost的时候把木马也“备份”了就后患无穷了。  



　　六、再次恢复系统后，更改你的网络相关密码  



　　包括登录网络的用户名、密码，邮箱的密码和QQ的密码等，防止黑客用上次入侵过程中得到的密码进入你的系统。另外因为很多蠕虫病毒发作会向外随机发送你的信息，所以及时地更改是必要的。

      
随着互联网的兴起，越来越多的人想拥有自己的网站，可是许多人都不太懂做网站或者是没时间做，所以借用别人的源码便成了一种流行的方式。正因为如此，才造就了如此不平静的网络世界，因为程序漏洞无处不在。    许多朋友谈起论坛就首先想到的是动网，因为它确实是国内最优秀的ASP论坛程序，所以许多的网站都用动网论坛架设自己的论坛。也正因为动网的广泛使用，所以读它代码研究漏洞的人是越来越多，当然漏洞是一次又一次的被发现，各网站的管理员是一次又一次的为动网而烦恼，而伤神。
    好了，扯远了，我们这里从动网的安装文件说起，让大家知道你的网站是如何被人攻击的。
    一．从动网key.asp文件谈起
    动网的key.asp文件说明书是这样写的：
    1、请把压缩包中的key.asp文件上传到Dvbbs7.1论坛目录下。
    2、运行key.asp后选择您所需要的选项。
    3、注意：使用完毕后请点击"删除文件"或在FTP中删除key.asp文件以防留有后门。
    写的够明白了，使用后要删除，可是就是有许多的网站管理员不负责，将这个危险的后门放在网站上，直到有一天，有个家伙闯了进来，改了它的首页……..时至今日，仍有些网站有这样的漏洞，不信，我给大家抓个图：
图1 网站的漏洞截图（点击看大图）
    看图上的你就知道key.asp到底是做什么的啦，它可以将一个网站的管理员资料修改或者添加一个管理员。加了一个管理员后我们可以像正常的管理员一样编辑别人的贴子，新添加一些版块什么的，这些都不算是严重的，更严重的是，前台我们发贴就可以上传图片，而后台我们可以备份数据库。试想，如果我们把一个ASP木马保存为图片格式上传到网站服务器，然后在后台通过备份数据库功能把这个图片备份为一个ASP文件，那么我们就拿到一个webshell了。思路很清晰，由于我这里讲的是key.asp文件的危害，就不操作了，以后的章节会有详细的讲述。
    二．由动网key.asp想到的惊云下载系统漏洞
    当然，互联网上并不仅公只有像动网这样的论坛程序，也还有许多其它优秀的文章系统、下载系统、留言本系统、博客程序、甚至有整站系统提供下载，笔者前不久研究惊云下载系统的漏洞的时候无意发现其安装说明谈到用zz.asp安装，安装的时候就是设置站长的账号和密码，当站长忘了自己的密码的时候可以通过它来修改，正如key.asp一样的功能，但是一不小心被我找到了：
图2 zz.asp文件（点击看大图）
    重新设置一个新的账号和密码，那么这个网站就是你的啦，后台随便你进。后台我们可以利用得到webshell的方法，目前网上最为流传的是利用上传漏洞得到webshell，其实笔者通过几天的研究与测试，得到了另外两种得到webshell的方法，思路很灵活。总之，不要轻易留下后门给别人有机可乘。
    三．向BBSXP学习
    安装BBSXP论坛的时候，会调用install.asp来安装，装好了以后我们再把程序上传到网站上去，如果有哪个家伙还想用上面的方法来攻击你，那么他就知道他错了，写BBSXP的程序员看来是从动网的key.asp事件里学来的呵呵。他在代码时首先检测调试者写的IP与以后再调试的IP，如果不是同一个IP他就会报错，主要代码如下：
    youip="192.168.1.123" '您本机的IP地址
    if adminpassword<>"" and remoteaddr<>youip then
    error("

为了安全起见，请编辑 install.asp 内本机的IP地址

请把它设置成 "&remoteaddr&"")
    end if
    当我们访问一个BBSXP论坛的这个页面的时候，会出现一个醒目的红叉：
图3 BBSXP检测IP的功能（点击看大图）
    小结：
    对于别人的程序，在使用前最好先好好读一下程序的说明，毕竟程序是别人写的，写个说明当然是向使用者交待一些相关信息，另外，如果懂点程序，最好改一下比如说后台呀，数据库调用文件呀之类的，当然，如果你有能力发现漏洞，你就为官方补上这些漏洞呀！

      　　一、传统的捆绑器　　这种原理很简单，也是目前用的最多的一种。就是将B.exe附加到A.exe的末尾。这样当A.exe被执行的时候，B.exe也跟着执行了。这种捆绑器的代码是满网都是。我最早是从jingtao的一篇关于流的文章中得知的。就目前来说，已经没什么技术含量了。

　　检测方法:稍微懂一点PE知识的人都应该知道。一个完整有效的PE/EXE文件，他的里面都包含了几个绝对固定的特点[不管是否加壳]。一是文件以MZ开头，跟着DOS头后面的PE头以PE\0\0开头。有了这两个特点，检测就变得很简单了。只需利用UltraEdit一类工具打开目标文件搜索关键字MZ或者PE。如果找到两个或者两个以上。则说明这个文件一定是被捆绑了。不过值得注意的是，一些生成器也是利用了这个原理，将木马附加到生成器末尾，用户选择生成的时候读出来。另外网上流行的多款“捆绑文件检测工具”都是文件读出来，然后检索关键字MZ或者PE。说到这里，相信大家有了一个大概的了解。那就是所谓的“捆绑文件检测工具”是完全靠不住的一样东西。

　　二、资源包裹捆绑器　　就这原理也很简单。大部分检测器是检测不出来的，但灰鸽子木马辅助查找可以检测出捆绑后未经加壳处理的EXE文件。但一般人都会加壳，所以也十分不可靠。这个学过编程或者了解PE结构的人都应该知道。资源是EXE中的一个特殊的区段。可以用来包含EXE需要/不需要用到的任何一切东西。利用这个原理进行100%免杀捆绑已经让人做成了动画。大家可以去下载看看。那捆绑器是如何利用这一点的呢?这只需要用到BeginUpdateResource、UpdateResource和EndUpdateResource这三个API函数就可以搞定。这三个API函数是用来做资源更新/替换用的。作者只需先写一个包裹捆绑文件的头文件Header.exe.头文件中只需一段释放资源的代码。而捆绑器用的时候先将头文件释放出来，然后用上面说的三个API函数将待捆绑的文件更新到这个头文件中即完成了捆绑。类似原理被广泛运用到木马生成器上。

　　检测方法:一般这种很难检测。如果你不怕麻烦，可以先将目标文件进行脱壳。然后用“灰鸽子木马辅助查找”或“ResTorator”一类工具将资源读出来进行分析。但这种方法毕竟不通用。所以还是推荐有条件的朋友使用虚拟机。

　　三、编译器捆绑法

　　暂时不知用什么名字来形容，所以只能用这个来代替。这种方法相当的阴险。是将要捆绑的文件转换成16进制保存到一个数组中。像这样muma:array[0..9128] of Byte=($4D,$5A,$50....$00);

　　然后用时再用API函数CreateFile和WriteFile便可将文件还原到硬盘。这里稍稍学过编程的都知道。代码中的数组经过编译器、连接器这么一搞。连影都没了。哪还能有什么文件是吧?所以就这种方法而言，目前还没有可以查杀的方法。这种方法可以利用编程辅助工具jingtao的DcuAnyWhere或Anskya的AnyWhereFileToPas来实现。

　　四、最最毒辣的一种　　因为暂时用的人较少，且危害性及查杀难度太大。[一个被杀的病毒直接捆绑就能免杀，汗~]所以就不公布了。此法查杀方法通用性极差。如果流行，估计大家连动画都不敢下着看了。HOHO~

　　补充:可以利用一些第三方工具将硬盘和注册表监视起来以后再运行那些你不确定是否被捆绑的程序。这样，一旦硬盘出现变化，或有文件新建，或有文件改变都会被记录在案。就算是查找起来也方便一点。

      本人用使用Procexp已经有很长时间了，自认为对其的使用比较精通，今天看了Mark的BLOG的“神秘的驱动”（http://www.sysinternals.com/blog/2006/03/case-of-mysterious-driver.html）一文，感觉到自己使用Procexp还是不到位。Procexp还有查看当前操作系统加载了那些驱动的功能，此功能对Rookit级木马的检测方面很有帮助。现在部分木马采用了Rookit的技术，我在“RootKit木马的亲密接触”（http://forum.ikaka.com/topic.asp?board=28&artid=7538008）已有所描述，也就说木马采用驱动技术，对付这样的木马发现其驱动程序是关键。对于一般系统驱动启动项，我们可以用Autoruns查看，但它只能查看一些静态加载的驱动，它的实现原理是通过注册表驱动项的键值来检测启动项，对于动态加载的驱动它是看不到的。









screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}" resized="true">另一个重量级工具IceSword有一个查看SSDT（系统服务描述表）的功能，即可以查看那些驱动程序是否替换了系统服务表中的系统内核调用，但对于那些不替换的驱动它是不会显示的。









screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}" resized="true">下面介绍一下用Procexp查看系统加载的驱动的方法。1）启动procexp2）在菜单栏选择View->Show Lower Pane3）在菜单中选择View->Lower Pane View->View DLL或在工具栏中选择“View DLL”，4）用鼠标选择Systeim进程，则当前系统加载的驱动程序在下面的列表中被列举出，如图









screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">查看动态加载的驱动，例如Procexp本身的驱动就是动态加载的，原理是首先EXE释放出PROCEXP100.SYS到%systemRoot%\system32\Drivers目录下，动态加载后删除此文件，PROCEXP100.SYS文件属性如图：









screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">再举个例子，IceSword之所有可以查看一些Rookit木马进程，也是使用了驱动技术，其驱动文件如图：









screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}">总结：Procexp的查看系统当前加载的驱动程序功能，可以让我们找到那些通过动态加载的可疑驱动程序，发现Rookit级木马的行踪，以上只是本人的一些使用心得，不妥之处，欢迎指正。原来IceSword也使用了驱动技术，怪不得我在安全模式下不能运行它。想请教在有异常驱动程序加载时，Procexp是否有显示，比如显示为红色能让新手们也能一眼就看出异常？我的机器浏览网页问题不大,但是在看联通的梅兰在线剧场时,会自动打开一个帮助对话框,接着就是出现瑞星的网页监控病毒＂Exploit.VBS.Phel.l＂对话框．然后在任务栏里出现一个"c:\boot.hta"的小项，关不掉！我用procxp可以关掉,但一重复上面的操作c:\boot.hta又出现了.是中木马了吗

      　　如果你曾经配置过Windows NT Server或是Windows 2000 Server，你也许发现这些微软的产品缺省并不是最安全的。虽然微软提供了很多安全机制，但是依然需要你来实现它们。然而当微软发布Windows Server 2003的时候，改变了以往的哲学体系。新的理念是，服务器缺省就应该是安全的。这的确是一个不错的理念，不过微软贯彻得还不够彻底。虽然缺省的Windows 2003安装绝对比确省的Windows NT或 Windows 2000安装安全许多，但是它还是存在着一些不足。下面让我们来讨论如何让Windows Server 2003更加安全。



　　理解你的角色



　　理解服务器角色绝对是安全进程中不可或缺的一步。Windows Server可以被配置为多种角色，Windows Server 2003 可以作为域控制器、成员服务器、基础设施服务器、文件服务器、打印服务器、IIS服务器、IAS服务器、终端服务器等等。一个服务器甚至可以被配置为上述角色的组合。



　　现在的问题是每种服务器角色都有相应的安全需求。例如，如果你的服务器将作为IIS服务器，那么你将需要开启IIS服务。然而，如果服务器将作为独立的文件或者打印服务器，启用IIS服务则会带来巨大的安全隐患。



　　我之所以在这里谈到这个的原因是我不能给你一套在每种情况下都适用的步骤。服务器的安全应该随着服务器角色和服务器环境的改变而改变。



　　因为有很多强化服务器的方法，所以我将以配置一个简单但安全的文件服务器为例来论述配置服务器安全的可行性步骤。我将努力指出当服务器角色改变时你将要做的。请谅解这并不是一个涵盖每种角色服务器的完全指南。



　　物理安全



　　为了实现真正意义上的安全，你的服务器必须被放置在一个安全的位置。通常地，这意味着将将服务器放置在上了锁的门后。物理安全是相当重要的，因为现有的许多管理和灾难恢复工具同样也可以被黑客利用。任何拥有这样工具的人都能在物理接入到服务器的时候攻击服务器。唯一能够避免这种攻击的方法是将服务器放置在安全的地点。对于任何角色的Windows Server 2003，这都是必要的。



　　创建基线



　　除了建立良好的物理安全以外，我能给你的最佳建议是，在配置一系列Windows Server 2003的时候，应该确定你的安全需求策略，并立即部署和执行这些策略 。



　　实现这一目的最好的方法是创建一个安全基线(security baseline)。安全基线是文档和公认安全设置的清单。在大多数情况下，你的基线会随着服务器角色的不同而产生区别。因此你最好创建几个不同的基线，以便将它们应用到不同类型的服务器上。例如，你可以为文件服务器制定一个基线，为域控制器制定另一个基线，并为IAS服务器制定一个和前两者都不同的基线。



　　Windows 2003包含一个叫"安全配置与分析"的工具。这个工具让你可以将服务器的当前安全策略与模板文件中的基线安全策略相比较。你可以自行创建这些模板或是使用内建的安全模板。



　　安全模板是一系列基于文本的INF文件，被保存在%SYSTEMROOT%\SECURITY|TEMPLATES 文件夹下。检查或更改这些个体模板最简单的方法是使用管理控制台(MMC)。



　　要打开这个控制 台，在RUN提示下输入MMC命令，在控制台加载后，选择添加/删除管理单元属性命令，Windows就会显示添加/删除管理单元列表。点击"添加"按钮，你将会看到所有可用管理单元的列表。选择安全模板管理单元，接着依次点击添加，关闭和确认按钮。  



　　在安全模板管理单元加载后，你就可以察看每一个安全模板了。在遍历控制台树的时候，你会发现每个模板都模仿组策略的结构。模板名反映出每个模板的用途。例如，HISECDC模板就是一个高安全性的域控制器模板。



　　如果你正在安全配置一个文件服务器，我建议你从SECUREWS模板开始。在审查所有的模板设置时，你会发现尽管模板能被用来让服务器更加安全，但是不一定能满足你的需求。某些安全设置可能过于严格或过于松散。我建议你修改现有的设置，或是创建一个全新的策略。通过在控制台中右击C:\WINDOWS\Security\Templates文件夹并在目标菜单中选择新建模板命令，你就可以轻轻松松地创建一个新的模板。



　　在创建了符合需求的模板后，回到添加/删除管理单元属性面板，并添加一个安全配置与分析的管理单元。在这个管理单元加载后，右击"安全配置与分析"容器，接着在结果菜单中选择"打开数据库"命令，点击"打开"按钮，你可以使用你提供的名称来创建必要的数据库。



　　接下来，右击"安全配置与分析"容器并在快捷菜单中选择"导入模板"命令。你将会看到所有可用模板的列表。选择包含你安全策略设置的模板并点击打开。在模板被导入后，再次右击"安全配置与分析"容器并在快捷菜单中选择"现在就分析计算机"命令。Windows将会提示你写入错误日志的位置，键入文件路径并点击"确定"。



　　在这样的情况下，Windows将比较服务器现有安全设置和模板文件里的设置。你可以通过"安全配置与分析控制台"看到比较结果。每一条组策略设置显示现有的设置和模板设置。



　　在你可以检查差异列表的时候，就是执行基于模板安全策略的时候了。右击"安全配置与分析"容器并从快捷菜单中选择"现在就配置计算机"命令。这一工具将会立即修改你计算机的安全策略，从而匹配模板策略。



　　组策略实际上是层次化的。组策略可以被应用到本地计算机级别、站点级别、域级别和OU级别。当你实现基于模板的安全之时，你正在在修改计算机级别的组策略。其他的组策略不会受到直接影响，尽管最终策略可能会反映变化，由于计算机策略设置被更高级别的策略所继承。



Windows 2003安全最佳实践经验  



--------------------------------------------------------------------------------

www.hackbase.com 阅读:19974 时间:2006-5-3 0:00:11 来源:www.hackbase.com  



　　修改内建的用户账号  





　　多年以来，微软一直在强调最好重命名Administrator账号并禁用Guest账号，从而实现更高的安全。在Windows Server 2003中，Guest 账号是缺省禁用的，但是重命名Administrator账号仍然是必要的，因为黑客往往会从Administrator账号入手开始进攻。



　　有很多工具通过检查账号的SID来寻找账号的真实名称。不幸的是，你不能改变用户的SID，也就是说基本上没有防止这种工具来检测Administrator账号真实名称的办法。即便如此，我还是鼓励每个人重命名Administrator 账号并修改账号的描述信息，有两个原因:



　　首先，诳椭械男率挚赡懿恢勒饫喙ぞ叩拇嬖诨蛘卟换崾褂盟恰F浯危孛鸄dministrator账号为一个独特的名称让你能更方便的监控黑客对此账号的进攻。



　　另一个技巧适用于成员服务器。成员服务器有他们自己的内建本地管理员账号，完全独立于域中的管理 员账号。你可以配置每个成员服务器使用不同的用户名和密码。如果某人猜测出你的本地用户名和密码，你肯定不希望他用相同的账号侵犯其他的服务器。当然，如果你拥有良好的物理安全，谁也不能使用本地账号取得你服务器的权限。



　　服务账号



　　Windows Server 2003在某种程度上最小化服务账号的需求。即便如此，一些第三方的应用程序仍然坚持传统的服务账号。如果可能的话，尽量使用本地账号而不是域账号作为服务账号，因为如果某人物理上获得了服务器的访问权限，他可能会转储服务器的LSA机密，并泄露密码。如果你使用域密码，森林中的任何计算机都可以通过此密码获得域访问权限。而如果使用本地账户，密码只能在本地计算机上使用，不会给域带来任何威胁。



　　系统服务



　　一个基本原则告诉我们，在系统上运行的代码越多，包含漏洞的可能性就越大。你需要关注的一个重要安全策略是减少运行在你服务器上的代码。这么做能在减少安全隐患的同时增强服务器的性能。



　　在Windows 2000中，缺省运行的服务有很多，但是有很大一部分服务在大多数环境中并派不上用场。事实上，Windows 2000的缺省安装甚至包含了完全操作的IIS服务器。而在Windows Server 2003中，微软关闭了大多数不是绝对必要的服务。即使如此，还是有一些有争议的服务缺省运行。



　　其中一个服务是分布式文件系统(DFS)服务。DFS服务起初被设计简化用户的工作。DFS允许管理员创建一个逻辑的区域，包含多个服务器或分区的资源。对于用户，所有这些分布式的资源存在于一个单一的文件夹中。



　　我个人很喜欢DFS，尤其因为它的容错和可伸缩特性。然而，如果你不准备使用DFS，你需要让用户了解文件的确切路径。在某些环境下，这可能意味着更强的安全性。在我看来，DFS的利大于弊。



　　另一个这样的服务是文件复制服务(FRS)。FRS被用来在服务器之间复制数据。它在域控制器上是强制的服务，因为它能够保持SYSVOL文件夹的同步。对于成员服务器来说，这个服务不是必须的，除非运行DFS。



　　如果你的文件服务器既不是域控制器，也不使用DFS，我建议你禁用FRS服务。这么做会减少黑客在多个服务器间复制恶意文件的可能性。



　　另一个需要注意的服务是Print Spooler服务(PSS)。该服务管理所有的本地和网络打印请求，并在这些请求下控制所有的打印工作。所有的打印操作都离不开这个服务，它也是缺省被启用的。



　　不是每个服务器都需要打印功能。除非服务器的角色是打印服务器，你应该禁用这个服务。毕竟，专用文件服务器要打印服务有什么用呢?通常地，没有人会在服务器控制台工作，因此应该没有必要开启本地或网络打印。



　　我相信通常在灾难恢复操作过程中，打印错误消息或是事件日志都是十分必要的。然而，我依然建议在非打印服务器上简单的关闭这一服务。



　　信不信由你，PSS是最危险的Windows组件之一。有不计其数的木马更换其可执行文件。这类攻击的动机是因为它是统级的服务，因此拥有很高的特权。因此任何侵入它的木马能够获得这些高级别的特权。为了防止此类攻击，还是关掉这个服务吧

      　　如果你一直利用Telnet控制网络设备，你可以考虑采用其他更安全的方式。本文告诉你如何用SSH替换Telnet。  



　　使用Telnet这个用来访问远程计算机的TCP/IP协议以控制你的网络设备相当于在离开某个建筑时大喊你的用户名和口令。很快地，会有人进行监听，并且他们会利用你安全意识的缺乏。  



　　SSH是替代Telnet和其他远程控制台管理应用程序的行业标准。SSH命令是加密的并以几种方式进行保密。  



　　在使用SSH的时候，一个数字证书将认证客户端（你的工作站）和服务器（你的网络设备）之间的连接，并加密受保护的口令。SSH1使用RSA加密密钥，SSH2使用数字签名算法（DSA）密钥保护连接和认证。  



　　加密算法包括Blowfish，数据加密标准（DES），以及三重DES（3DES）。SSH保护并且有助于防止欺骗，“中间人”攻击，以及数据包监听。  



　　实施SSH的第一步是验证你的设备支持SSH。请登录你的路由器或交换机，并确定你是否加载了一个支持SSH的IPSec IOS镜像。  



　　在我们的例子中，我们将使用Cisco IOS命令。运行下面的命令：  



　　Router> Show flash  



　　该命令显示已加载的IOS镜像名称。你可以用结果对比你的供应商的支持特性列表。  



　　在你验证了你的设备支持SSH之后，请确保设备拥有一个主机名和配置正确的主机域，就像下面的一样：  



　　Router> config terminal  



　　Router (config)# hostname hostname  



　　Router (config)# ip domain-name domainname  



　　在这个时候，你就可以启用路由器上的SSH服务器。要启用SSH服务器，你首先必须利用下面的命令产生一对RSA密钥：  



　　Router (config)# crypto key generate rsa  



　　在路由器上产生一对RSA密钥就会自动启用SSH。如果你删除这对RSA密钥，就会自动禁用该SSH服务器。  



　　实施SSH的最后一步是启用认证，授权和审计（AAA）。在你配置AAA的时候，请指定用户名和口令，会话超时时间，一个连接允许的尝试次数。像下面这样使用命令：  



　　Router (config)# aaa new-model  



　　Router (config)# username password  



　　Router (config)# ip ssh time-out  



　　Router (config)# ip ssh authentication-retries  



　　要验证你已经配置了SSH并且它正运行在你的路由器上，执行下面的命令：  



　　Router# show ip ssh  



　　在验证了配置之后，你就可以强制那些你在AAA配置过程中添加的用户使用SSH，而不是Telnet。你也可以在虚拟终端（vty）连接中应用SSH而实现同样的目的。这里给出一个例子：  



　　Router (config)# line vty 0 4  



　　Router (config-line)# transport input SSH  



　　在你关闭现存的Telnet会话之前，你需要一个SSH终端客户端程序以测试你的配置。我极力推荐PuTTY；它是免费的，而且它是一个优秀的终端软件。  



　　最后的想法  



　　当你在你的路由器和交换机上启用了SSH之后，保证你修改了所有现存的访问控制列表以允许对这些设备的连接。你现在可以向你的上级报告你已经堵上了一个巨大的安全漏洞：现在所有的网络管理会话都被加密并且被保护着。

      　　多年来，企业一直依靠状态检测防火墙、入侵检测系统、基于主机的防病毒系统和反垃圾邮件解决方案来保证企业用户和资源的安全。但是情况在迅速改变，那些传统的单点防御安全设备面临新型攻击已难以胜任。为了检测出最新的攻击，安全设备必须提高检测技术。本文着重介绍针对未知的威胁和有害流量的检测与防护，在防火墙中多个前沿的检测技术组合在一起，提供启发式扫描和异常检测，增强防病毒、反垃圾邮件和其它相关的功能。

　　新一代攻击的特点

　　1、混合型攻击使用多种技术的混合-—如病毒、蠕虫、木马和后门攻击，往往通过Email和被感染的网站发出，并很快的传递到下一代攻击或攻击的变种，使得对于已知或未知的攻击难以被阻挡。这种混合型攻击的例子有Nimda、CodeRed和Bugbear等。

　　2、现在针对新漏洞的攻击产生速度比以前要快得多。防止各种被称之为“零小时”(zero-hour)或“零日”(zero-day)的新的未知的威胁变得尤其重要。

　　3、带有社会工程陷阱元素的攻击，包括间谍软件、网络欺诈、基于邮件的攻击和恶意Web站点等数量明显的增加。攻击者们伪造合法的应用程序和邮件信息来欺骗用户去运行它们。

图1 Gartner发布的漏洞与补丁时间表

　　传统的安全方法正在失效

　　如今最流行的安全产品是状态检测防火墙、入侵检测系统和基于主机的防病毒软件。但是它们面对新一代的安全威胁却作用越来越小。状态检测防火墙是通过跟踪会话的发起和状态来工作的。状态检测防火墙通过检查数据包头，分析和监视网络层(L3)和协议层(L4)，基于一套用户自定义的防火墙策略来允许、拒绝或转发网络流量。传统防火墙的问题在于黑客已经研究出大量的方法来绕过防火墙策略。这些方法包括:

　　(1)利用端口扫描器的探测可以发现防火墙开放的端口。

　　(2)攻击和探测程序可以通过防火墙开放的端口穿越防火墙。

　　(3)PC上感染的木马程序可以从防火墙的可信任网络发起攻击。由于会话的发起方来自于内部，所有来自于不可信任网络的相关流量都会被防火墙放过。当前流行的从可信任网络发起攻击应用程序包括后门、木马、键盘记录工具等，它们产生非授权访问或将私密信息发送给攻击者。

　　较老式的防火墙对每一个数据包进行检查，但不具备检查包负载的能力。病毒、蠕虫、木马和其它恶意应用程序能未经检查而通过。

　　当攻击者将攻击负载拆分到多个分段的数据包里，并将它们打乱顺序发出时，较新的深度包检测防火墙往往也会被愚弄。

　　对深度检测的需求



　　现今为了成功的保护企业网络，安全防御必须部署在网络的各个层面，并采用更新的检测和防护机制。用于增强现有安全防御的一些新型安全策略包括:

　　设计较小的安全区域来保护关键系统。

　　增加基于网络的安全平台，以提供在线(“in-line”)检测和防御。

　　采用统一威胁管理(Unified Threat Management，简称UTM)，提供更好的管理、攻击关联，降低维护成本。

　　研究有效的安全策略，并培训用户。

　　增加基于网络的安全

　　基于网络的安全设备能够部署在现有的安全体系中来提高检测率，并在有害流量进入公司网络之前进行拦截。基于网络的安全设备在线(“in-line”)部署，阻挡攻击的能力要比传统的依靠镜像流量的“旁路式”安全设备强得多。基于网络的安全设备的例子包括入侵防御系统(IPS)、防病毒网关、反垃圾邮件网关和统一威胁管理(UTM)设备。UTM设备是将多种安全特性相结合的统一安全平台。除了实时阻挡攻击之外，基于网络的安全还包括以下优点:

　　减少维护成本。攻击特征、病毒库和探测引擎可以对单台设备而不是上百台主机更新。

　　升级对于用户、系统或者应用来说是透明的，无需停机，更新可以实时进行——不像操作系统和应用程序打补丁那样需要重启系统。

　　保护在基于网络的安全设备后面的所有主机，因此减少了基于主机的病毒特征库、操作系统补丁和应用程序补丁升级的急迫性，使IT专业人员在发生问题之前有较充分的时间来测试补丁。

　　保持以前使用的设备、操作系统和应用，无需将它们都升级到最新的版本。

　　在网络边界或关键节点上阻挡攻击，在恶意流量进入公司网络之前将其拦截。

　　不像基于主机的安全应用那样可能被最终用户或恶意程序关闭。

　　可与已有的安全技术共存并互补。

　　高级安全检测技术

　　作为UTM安全设备的领导厂商， Fortinet(飞塔)公司的FortiGate安全平台通过动态威胁防御技术、高级启发式异常扫描引擎提供了较好的检测能力， 包括:

　　集成关键安全组件的状态检测防火墙。

　　可实时更新病毒和攻击特征的网关防病毒。

　　IDS和IPS预置一千多个攻击特征，并提供用户定制特征的机制。

　　VPN(支持PPTP、L2TP、 IPSec，和SSL VPN)。

　　反垃圾邮件具备多种用户自定义的阻挡机制，包括黑白名单和实时黑名单(RBL)。

　　Web内容过滤具有用户可定义的过滤和全自动过滤服务。

　　带宽管理防止带宽滥用。

　　用户认证，防止非授权的网络访问。

　　动态威胁防御提供先进的威胁关联技术。

　　ASIC加速提供比基于PC工控机的安全方案高出4-6倍的性能。

　　加固的操作系统，不含第三方组件，保证了物理上的安全。

　　完整的系列支持服务，包括日志和报告生成器、客户端安全组件。

　　动态威胁防御系统



　　Fortinet的动态威胁防御系统(DTPS)是超越传统防火墙、针对已知和未知威胁、提升检测能力的技术。它将防病毒、IDS、IPS和防火墙模块中的有关攻击的信息进行关联，并将各种安全模块无缝地集成在一起。DTPS技术使每一个安全功能之间可以互相通信，并关联“威胁索引”信息，以识别可疑的恶意流量，这些流量可能还未被提取攻击特征。通过跟踪每一安全组件的检测活动，DTPS能降低误报率，以提高整个系统的检测精确度。相比之下，由多个不同厂商的安全部件(防病毒、IDS、IPS、防火墙)组合起来的安全方案则缺乏协调检测工作的能力。

图2 动态威胁防御系统的体系结构图

　　为了使性能达到最佳，所有会话流量首先被每一个安全和检测引擎使用已知特征进行分析。特征模式结合由硬件加速的精简模式识别语言是当前识别已知攻击最快的方法。如果发现了特征的匹配，DTPS按照在行为策略中定义的规则来处理有害流量——丢弃、重置客户端、重置服务器、中止会话等。安全防护响应网络可提供病毒库、IDS/IPS特征以及安全引擎最新版本， 以保持实时更新。这就保证了基于最新特征的威胁会被识别出来，并被快速阻挡。

　　如果不能找到特征的匹配，系统就会启动启发式扫描和异常检测引擎，会话流量会得到进一步的仔细检查，以发现异常。通过使用最新的启发式扫描技术、异常检测技术和动态威胁防御系统，安全平台大大提高了对已知和未知威胁的防御能力。

      　　随着动网论坛的广泛应用和动网上传漏洞的被发现以及SQL注入式攻击越来越多的被使用，WEBSHELL让防火墙形同虚设，一台即使打了所有微软补丁、只让80端口对外开放的WEB服务器也逃不过被黑的命运。难道我们真的无能为力了吗？其实，只要你弄明白了NTFS系统下的权限设置问题，我们可以对crackers们说：NO!  



　　要打造一台安全的WEB服务器，那么这台服务器就一定要使用NTFS和Windows NT/2000/2003。众所周知，Windows是一个支持多用户、多任务的操作系统，这是权限设置的基础，一切权限设置都是基于用户和进程而言的，不同的用户在访问这台计算机时，将会有不同的权限。DOS是个单任务、单用户的操作系统。但是我们能说DOS没有权限吗？不能！当我们打开一台装有DOS操作系统的计算机的时候，我们就拥有了这个操作系统的管理员权限，而且，这个权限无处不在。所以，我们只能说DOS不支持权限的设置，不能说它没有权限。随着人们安全意识的提高，权限设置随着NTFS的发布诞生了。  



　　Windows NT里，用户被分成许多组，组和组之间都有不同的权限，当然，一个组的用户和用户之间也可以有不同的权限。下面我们来谈谈NT中常见的用户组。  



　　Administrators,管理员组，默认情况下，Administrators中的用户对计算机/域有不受限制的完全访问权。分配给该组的默认权限允许对整个系统进行完全控制。所以，只有受信任的人员才可成为该组的成员。  



　　Power Users，高级用户组，Power Users 可以执行除了为 Administrators 组保留的任务外的其他任何操作系统任务。分配给 Power Users 组的默认权限允许 Power Users 组的成员修改整个计算机的设置。但Power Users 不具有将自己添加到 Administrators 组的权限。在权限设置中，这个组的权限是仅次于Administrators的。  



　　Users:普通用户组，这个组的用户无法进行有意或无意的改动。因此，用户可以运行经过验证的应用程序，但不可以运行大多数旧版应用程序。Users 组是最安全的组，因为分配给该组的默认权限不允许成员修改操作系统的设置或用户资料。Users 组提供了一个最安全的程序运行环境。在经过 NTFS 格式化的卷上，默认安全设置旨在禁止该组的成员危及操作系统和已安装程序的完整性。用户不能修改系统注册表设置、操作系统文件或程序文件。Users 可以关闭工作站，但不能关闭服务器。Users 可以创建本地组，但只能修改自己创建的本地组。  



　　Guests:来宾组，按默认值，来宾跟普通Users的成员有同等访问权，但来宾帐户的限制更多。  



　　Everyone:顾名思义，所有的用户，这个计算机上的所有用户都属于这个组。  



　　其实还有一个组也很常见，它拥有和Administrators一样、甚至比其还高的权限，但是这个组不允许任何用户的加入，在察看用户组的时候，它也不会被显示出来，它就是SYSTEM组。系统和系统级的服务正常运行所需要的权限都是靠它赋予的。由于该组只有这一个用户SYSTEM，也许把该组归为用户的行列更为贴切。

　　权限是有高低之分的，有高权限的用户可以对低权限的用户进行操作，但除了Administrators之外，其他组的用户不能访问 NTFS 卷上的其他用户资料，除非他们获得了这些用户的授权。而低权限的用户无法对高权限的用户进行任何操作。  



　　我们平常使用计算机的过程当中不会感觉到有权限在阻挠你去做某件事情，这是因为我们在使用计算机的时候都用的是Administrators中的用户登陆的。这样有利也有弊，利当然是你能去做你想做的任何一件事情而不会遇到权限的限制。弊就是以 Administrators 组成员的身份运行计算机将使系统容易受到特洛伊木马、病毒及其他安全风险的威胁。访问 Internet 站点或打开电子邮件附件的简单行动都可能破坏系统。不熟悉的 Internet 站点或电子邮件附件可能有特洛伊木马代码，这些代码可以下载到系统并被执行。如果以本地计算机的管理员身份登录，特洛伊木马可能使用管理访问权重新格式化您的硬盘，造成不可估量的损失，所以在没有必要的情况下，最好不用Administrators中的用户登陆。  



　　Administrators中有一个在系统安装时就创建的默认用户----Administrator，Administrator 帐户具有对服务器的完全控制权限，并可以根据需要向用户指派用户权利和访问控制权限。因此强烈建议将此帐户设置为使用强密码。永远也不可以从 Administrators 组删除 Administrator 帐户，但可以重命名或禁用该帐户。由于大家都知道“管理员”存在于许多版本的 Windows 上，所以重命名或禁用此帐户将使恶意用户尝试并访问该帐户变得更为困难。对于一个好的服务器管理员来说，他们通常都会重命名或禁用此帐户。Guests用户组下，也有一个默认用户----Guest,但是在默认情况下，它是被禁用的。如果没有特别必要，无须启用此账户。我们可以通过“控制面板”--“管理工具”--“计算机管理”--“用户和用户组”来查看用户组及该组下的用户。  



　　我们用鼠标右键单击一个NTFS卷或NTFS卷下的一个目录，选择“属性”--“安全”就可以对一个卷，或者一个卷下面的目录进行权限设置，此时我们会看到以下七种权限：完全控制、修改、读取和运行、列出文件夹目录、读取、写入、和特别的权限。“完全控制”就是对此卷或目录拥有不受限制的完全访问。地位就像Administrators在所有组中的地位一样。选中了“完全控制”，下面的五项属性将被自动被选中。“修改”则像Power users，选中了“修改”，下面的四项属性将被自动被选中。下面的任何一项没有被选中时，“修改”条件将不再成立。“读取和运行”就是允许读取和运行在这个卷或目录下的任何文件，“列出文件夹目录”和“读取”是“读取和运行”的必要条件。“列出文件夹目录”是指只能浏览该卷或目录下的子目录，不能读取，也不能运行。“读取”是能够读取该卷或目录下的数据。“写入”就是能往该卷或目录下写入数据。而“特别”则是对以上的六种权限进行了细分。读者可以自行对“特别”进行更深的研究，鄙人在此就不过多赘述了。  



　　下面我们对一台刚刚安装好操作系统和服务软件的WEB服务器系统和其权限进行全面的刨析。服务器采用Windows 2000 Server版，安装好了SP4及各种补丁。WEB服务软件则是用了Windows 2000自带的IIS 5.0，删除了一切不必要的映射。整个硬盘分为四个NTFS卷，C盘为系统卷，只安装了系统和驱动程序；D盘为软件卷，该服务器上所有安装的软件都在D盘中；E盘是WEB程序卷，网站程序都在该卷下的WWW目录中；F盘是网站数据卷，网站系统调用的所有数据都存放在该卷的WWWDATABASE目录下。这样的分类还算是比较符合一台安全服务器的标准了。  



　　希望各个新手管理员能合理给你的服务器数据进行分类，这样不光是查找起来方便，更重要的是这样大大的增强了服务器的安全性，因为我们可以根据需要给每个卷或者每个目录都设置不同的权限，一旦发生了网络安全事故，也可以把损失降到最低。当然，也可以把网站的数据分布在不同的服务器上，使之成为一个服务器群，每个服务器都拥有不同的用户名和密码并提供不同的服务，这样做的安全性更高。不过愿意这样做的人都有一个特点----有钱:)。好了，言归正传，该服务器的数据库为MS-SQL，MS-SQL的服务软件SQL2000安装在d:\ms-sqlserver2K目录下，给SA账户设置好了足够强度的密码，安装好了SP3补丁。  



　　为了方便网页制作员对网页进行管理，该网站还开通了FTP服务，FTP服务软件使用的是SERV-U 5.1.0.0，安装在d:\ftpservice\serv-u目录下。杀毒软件和防火墙用的分别是Norton Antivirus和BlackICE,路径分别为d:\nortonAV和d:\firewall\blackice,病毒库已经升级到最新，防火墙规则库定义只有80端口和21端口对外开放。网站的内容是采用动网7.0的论坛,网站程序在e:\www\bbs下。细心的读者可能已经注意到了，安装这些服务软件的路径我都没有采用默认的路径或者是仅仅更改盘符的默认路径，这也是安全上的需要，因为一个黑客如果通过某些途径进入了你的服务器，但并没有获得管理员权限，他首先做的事情将是查看你开放了哪些服务以及安装了哪些软件，因为他需要通过这些来提升他的权限。

　　一个难以猜解的路径加上好的权限设置将把他阻挡在外。相信经过这样配置的WEB服务器已经足够抵挡大部分学艺不精的黑客了。读者可能又会问了：“这根本没用到权限设置嘛！我把其他都安全工作都做好了，权限设置还有必要吗？”当然有！智者千虑还必有一失呢，就算你现在已经把系统安全做的完美无缺，你也要知道新的安全漏洞总是在被不断的发现。权限将是你的最后一道防线！那我们现在就来对这台没有经过任何权限设置，全部采用Windows默认权限的服务器进行一次模拟攻击，看看其是否真的固若金汤。  



　　假设服务器外网域名为http://www.webserver.com，用扫描软件对其进行扫描后发现开放WWW和FTP服务，并发现其服务软件使用的是IIS 5.0和Serv-u 5.1，用一些针对他们的溢出工具后发现无效，遂放弃直接远程溢出的想法。打开网站页面，发现使用的是动网的论坛系统，于是在其域名后面加个/upfile.asp，发现有文件上传漏洞，便抓包，把修改过的ASP木马用NC提交，提示上传成功，成功得到WEBSHELL，打开刚刚上传的ASP木马，发现有MS-SQL、Norton Antivirus和BlackICE在运行，判断是防火墙上做了限制，把SQL服务端口屏蔽了。通过ASP木马查看到了Norton Antivirus和BlackICE的PID，又通过ASP木马上传了一个能杀掉进程的文件，运行后杀掉了Norton Antivirus和BlackICE。再扫描，发现1433端口开放了，到此，便有很多种途径获得管理员权限了，可以查看网站目录下的conn.asp得到SQL的用户名密码，再登陆进SQL执行添加用户，提管理员权限。也可以抓SERV-U下的ServUDaemon.ini修改后上传，得到系统管理员权限。还可以传本地溢出SERV-U的工具直接添加用户到Administrators等等。大家可以看到，一旦黑客找到了切入点，在没有权限限制的情况下，黑客将一帆风顺的取得管理员权限。  



　　那我们现在就来看看Windows 2000的默认权限设置到底是怎样的。对于各个卷的根目录，默认给了Everyone组完全控制权。这意味着任何进入电脑的用户将不受限制的在这些根目录中为所欲为。系统卷下有三个目录比较特殊，系统默认给了他们有限制的权限，这三个目录是Documents and settings、Program files和Winnt。对于Documents and settings，默认的权限是这样分配的：Administrators拥有完全控制权；Everyone拥有读&运，列和读权限；Power users拥有读&运，列和读权限；SYSTEM同Administrators;Users拥有读&运，列和读权限。对于Program files，Administrators拥有完全控制权；Creator owner拥有特殊权限;Power users有完全控制权;SYSTEM同Administrators;Terminal server users拥有完全控制权，Users有读&运，列和读权限。对于Winnt，Administrators拥有完全控制权；Creator owner拥有特殊权限;Power users有完全控制权;SYSTEM同Administrators;Users有读&运，列和读权限。而非系统卷下的所有目录都将继承其父目录的权限，也就是Everyone组完全控制权！  



　　现在大家知道为什么我们刚刚在测试的时候能一帆风顺的取得管理员权限了吧？权限设置的太低了！一个人在访问网站的时候，将被自动赋予IUSR用户，它是隶属于Guest组的。本来权限不高，但是系统默认给的Everyone组完全控制权却让它“身价倍增”，到最后能得到Administrators了。那么，怎样设置权限给这台WEB服务器才算是安全的呢？大家要牢记一句话：“最少的服务 最小的权限=最大的安全”对于服务，不必要的话一定不要装，要知道服务的运行是SYSTEM级的哦，对于权限，本着够用就好的原则分配就是了。对于WEB服务器，就拿刚刚那台服务器来说，我是这样设置权限的，大家可以参考一下：各个卷的根目录、Documents and settings以及Program files，只给Administrator完全控制权，或者干脆直接把Program files给删除掉；给系统卷的根目录多加一个Everyone的读、写权；给e:\www目录，也就是网站目录读、写权。  



　　最后，还要把cmd.exe这个文件给挖出来，只给Administrator完全控制权。经过这样的设置后，再想通过我刚刚的方法入侵这台服务器就是不可能完成的任务了。可能这时候又有读者会问：“为什么要给系统卷的根目录一个Everyone的读、写权？网站中的ASP文件运行不需要运行权限吗？”问的好，有深度。是这样的，系统卷如果不给Everyone的读、写权的话，启动计算机的时候，计算机会报错，而且会提示虚拟内存不足。当然这也有个前提----虚拟内存是分配在系统盘的，如果把虚拟内存分配在其他卷上，那你就要给那个卷Everyone的读、写权。ASP文件的运行方式是在服务器上执行，只把执行的结果传回最终用户的浏览器，这没错，但ASP文件不是系统意义上的可执行文件，它是由WEB服务的提供者----IIS来解释执行的，所以它的执行并不需要运行的权限。

      
　　在如今黑客猖獗的时代，高校所选用的路由器防火墙功能已经不能很好的防御网络黑客攻击，选择更好的专用硬件防火墙将成为各大高校防御网络黑客攻击的重要手段。目前市场上的硬件防火墙可谓种类繁多，功能各异，而适合于校园网络的硬件防火墙必须要具备下面几个特征。
　　用户连接数多是校园硬件防火墙必需具备的特点。目前各大高校的人数急剧增加，在这些高校中，虽然不是每人一台计算机，但计算机数量也相当可观，再加上学校的各类机房，高校的网络非常庞大。所以，硬件防火墙需要带动数量众多的计算机上网。现在市场上已经有很多无人数限制的硬件防火墙，从根本上解决了这一问题。
　　适合于校园的硬件防火墙要具有连接百兆网络，千兆网络能力。由于硬件防火墙位于路由器的下一层，现在的校园网络一般都采用了百兆或则千兆以上的网络，所以我们需要连接高带宽的硬件防火墙。
　　适合于校园的硬件防火墙必需具备很强的防黑能力和入侵监控能力，这也是硬件防火墙的基本特征。目前网络黑客攻击的主要手段有DOS(DDOS)攻击，IP地址欺骗，特洛伊木马，口令字攻击，邮件诈骗等。这些攻击方式不光来自外部网络，也来自内部网络。适合于校园的硬件防火墙必须要具有防止这些外网和内网攻击的能力。硬件防火墙是由软件和硬件组成，其中的软件提供了升级功能，这样就能帮助我们修补不断发现的漏洞。
　　由于校园网络内部有访问一些非法网站的事情发生，为了禁止访问非法网站，硬件防火墙不光需要有能够防止内网访问非法的功能，还必需具有监控网络的功能，因为现在一些不良网站每天都有新的出现，只有通过监控，才能根据相关信息屏蔽这些非法网站。
　　适合于校园网络的硬件防火墙要让管理员易于管理，毕竟学校并不会聘请专业管理员来管理硬件防火墙。这种易于管理表现在硬件防火墙所搭配的软件上，目前市场上主要有搭配专业软件的硬件防火墙和搭配Linux或Unix操作系统的硬件防火墙，用户可根据自己实际情况来选择。
　　对于购买任何产品，我们都会要求性价比高，所以校园的硬件防火墙同样也需要一个高性能并且比较合适的价格才能吸引用户购买。
　　上面就是适合校园网络硬件防火墙的基本特征。针对现在市场上硬件防火墙质量的参差不齐，校园用户购买难的情况，我们IT世界网络频道向校园用户介绍几款硬件防火墙，以供参考。
　　思科PIX-515E-R-BUN (小型校园网络的选择)
　　定位于低端市场的思科PIX-515E-R-BUN 防火墙，具有较高的性价比。这款硬件防火墙采用了Intel赛扬处理器，主频为433MHZ，拥有32MB内存和16MB闪存，最大并发连接数为13万，170Mpps的数据吞吐量，100MB的安全过滤带宽和无用户数限制充分说明了这款硬件防火墙适合于小型校园网络。
　　这款硬件防火墙系统的核心是一种基于自适应安全算法(ASA)的保护机制，可以防止常见的拒绝服务(DOS)攻击。思科PIX-515E-R-BUN对VPN提供了支持，可以让校园网络内部的数据安全的传输。思科PIX-515E-R-BUN 提供了入侵监控功能，可以在黑客入侵时，提供相应的策略来防范网络黑客的攻击。这款硬件防火墙具有故障切换捆绑功能，如果网络中还有一个备份防火墙，这项功能将让出现故障的思科PIX-515E-R-BUN 迅速转换到另外一个备份防火墙上面去，防止网络黑客的攻击。
　　思科PIX-515E-R-BUN 防火墙使用了Cisco PIX操作系统，让这款硬件防火墙的安全性能得到了极大的提高，并且可通过在线升级，修补将来出现的漏洞。
　　点评:思科PIX-515E-R-BUN 的整体性能如果应用在小型的校园网络中，还是让人满意，加上具有ASA保护机制和故障切换捆绑功能，还是让这款硬件防火墙增色不少。
　　网新易尚 ES903 (中小型校园网络应用)
　　网新易尚 ES903是一款采用ASIC硬件设计的防火墙，它拥有200Mpps的数据吞吐量和70MB的安全过滤带宽，并发连接数达到了50万，整体性能比较让人满意，适合于中小型校园网络。
　　这款硬件防火墙具有WEB内容过滤功能，校园网管理员可以在免屏蔽列表中添加需要屏蔽的网站地址，通过在WEB管理器里面另外设置一个合法的网址，达到校园内部用户访问非法网站时，自动连接到WEB管理器里所设置的合法地址上去。网新易尚 ES903提供了入侵检测功能，当黑客攻击校园网络时，防火墙将把攻击信息记录在系统日志里面，并对黑客提出警告。用户认证功能则让校园网络的安全性得到一定的提高。这款硬件防火墙提供了比较全面的防御功能，能够防止包括DoS、端口扫描、缓冲区溢出、暴力攻击、特洛伊木马等攻击。网新易尚 ES903同其他硬件防火墙一样，提供了流量控制，VPN，IP地址与MAC地址绑定等功能，让校园网用户拥有更加安全的网络环境。
　　网新易尚 ES903搭配了其专用的ESOS操作系统，无论是在性能上和功能上，都让这款硬件防火墙得到了极大的发挥。
　　点评:这款硬件防火墙的功能非常强大，加上采用了ASIC硬件设计，在性能上有了很大的提升。但70MB的安全过滤带宽低于标准水平。
　　思科PIX-525-UR-GE-BUN (中小型校园网络选择)

　　思科PIX-525-UR-GE-BUN 是一款面向企业的防火墙，同时也满足一些中小型的校园网络。这款硬件防火墙采用了Intel Pentium III处理器，主频达到600MHZ，并且配备了256MB随机内存和16MB闪存，最大支持28万个并发连接数，具有370Mpps的网络数据吞吐量和100MB的安全过滤带宽，无用户限制数，整体性能比较强劲，非常适合于中小型校园网络。
　　这款硬件防火墙提供面向静态连接防火墙功能的自适应安全算法(ASA)，可以实现包过滤，并且可以跟踪数据传输中的源地址和目的地址，TCP序列号，端口号和每个数据包附加的TCP标志，从而保证校园内部网络不会受到非法用户的攻击。思科PIX-525-UR-GE-BUN支持VPN功能，并且可以将校园网络中传输的数据进行加密，防止其他用户窃取。思科PIX-525-UR-GE-BUN提供了网络地址转换(NAT)功能，可以节省IP地址资源，并且可将IP地址隐藏，防止外部网络获取，为校园内部网络安全提供了有力的保障。思科PIX-525-UR-GE-BUN具有防止拒绝服务器攻击功能，防止校园网络内部计算机不受黑客的攻击。Java Applet过滤功能则可终止校园网内部用户使用Java所带的潜在危险。邮件保护功能和URL过滤功能让校园网用户基本上不会受到邮件攻击和不能访问非法站点。
　　思科PIX-525-UR-GE-BUN的操作也十分简单，只需要6条命令就能完成基本的安全设置，对于校园网来说，就十分的方便了。
　　点评:这款硬件防火墙的性能比较让人满意，思科公司的ASA算法，则让思科PIX-525-UR-GE-BUN为校园用户提供了更高的安全性。370Mpps和100MB的安全过滤带宽使得这款硬件防火墙只适合于一些中小型的校园网络使用。 　　定位于低端市场的思科PIX-515E-R-BUN防火墙，具有较高的性价比。这款硬件防火墙采用了Intel赛扬处理器，主频为433MHZ，拥有32MB内存和16MB闪存，最大并发连接数为13万，170Mpps的数据吞吐量，100MB的安全过滤带宽和无用户数限制充分说明了这款硬件防火墙适合于小型校园网络。
　　这款硬件防火墙系统的核心是一种基于自适应安全算法(ASA)的保护机制，可以防止常见的拒绝服务(DOS)攻击。思科PIX-515E-R-BUN对VPN提供了支持，可以让校园网络内部的数据安全的传输。思科PIX-515E-R-BUN提供了入侵监控功能，可以在黑客入侵时，提供相应的策略来防范网络黑客的攻击。这款硬件防火墙具有故障切换捆绑功能，如果网络中还有一个备份防火墙，这项功能将让出现故障的思科PIX-515E-R-BUN迅速转换到另外一个备份防火墙上面去，防止网络黑客的攻击。
　　思科PIX-515E-R-BUN防火墙使用了Cisco PIX操作系统，让这款硬件防火墙的安全性能得到了极大的提高，并且可通过在线升级，修补将来出现的漏洞。
　　点评:思科PIX-515E-R-BUN的整体性能如果应用在小型的校园网络中，还是让人满意，加上具有ASA保护机制和故障切换捆绑功能，还是让这款硬件防火墙增色不少。
　　中网LX-320 (大中型校园网应用)
　　中网LX-320防火墙是一款高性能的产品，它具有1056Mbps的数据吞吐量和最大100万并发连接数，整体性能非常强劲，能够满足大型校园网应用。
　　LX-320具有的AAA身份认证访问控制功能可以制定上网规则，防止非法用户登陆校园内部网络。它所具有的URL过滤功能可以防止校园内部网络用户访问非法的网站，恶意代码检测功能可以阻止ActiveX，Java等恶意代码的攻击。LX-320具有的IP地址和MAC地址绑定功能可以防止内部IP地址被盗用，入侵防御与报警功能则减少了黑客攻击的危险性。LX-320可通过数字签名方式保护内部资料，防止黑客篡改资料，这对校园的主页保护非常重要。LX-320除了具有这些功能外，还具有VPN功能，流量管理，双机备份，VLAN，NAT网络地址转换等功能，这些功能都能对校园的一些应用提供非常好的帮助。
　　LX-320采用了中网公司专用的NOS操作系统，这种操作系统具有友好的WEB GUI界面，使用起来比较容易。
　　点评:这款硬件防火墙的性能非常强劲，加上强大的功能和易操作界面，为校园用户提供了一个非常好的防御平台。
　　锐捷 RG-WALL 1000千兆防火墙 (大型校园网络应用)
　　作为锐捷公司的新一代防火墙产品，RG-WALL 1000拥有极其优良的性能。它具有1.8Gbps的数据吞吐量和200万最大并发连接数，VPN吞吐量达到了400Mbps，最大策略数也达到了65535个，平均无故障时间达到了50000个小时以上，并且无限制用户数，整体性能非常强劲，适合于大型校园网络。
　　这款硬件防火墙最大的特色就是采用了锐捷网络公司独有的分类算法，这种分类算法让RG-WALL 1000不受策略数和会话数多少影响，并且安装后不会影响校园网络速度。RG-WALL 1000在核心层处理数据包的接收，分类，转发工作，不会造成网络流量瓶紧现象发生。这款硬件防火墙具有入侵监控功能，并且可判断黑客攻击的方式，提供解决措施，防止黑客攻击，RG-WALL 1000在进行入侵监控的时候，并不会影响防火墙的性能。RG-WALL 1000提供了URL过滤功能，可以控制校园用户对非法站点的访问。它可以实现IP地址和MAC地址的绑定，防止校园内部网络用户更换IP地址，进行恶意攻击。这款硬件防火墙具有流量控制功能，可以分配合理的带宽给校园用户。RG-WALL 1000还具有HTTP透明代理，NAT功能和VPN等功能，能够充分满足校园网络的需要。
　　RG-WALL 1000拥有2个10/100MB端口和2个1000MB端口，并且具有4个扩展插槽，可连接锐捷公司提供的其他模块，达到扩展作用。这款硬件防火墙支持锐捷公司专用的图形界面软件，使用十分方便，便于校园用户管理。
　　点评:RG-WALL 1000的整体性能强劲，其独有的分类算法技术，大大提高了这款硬件防火墙的性能。这款硬件防火墙的功能也十分丰富，能阻挡很多攻击方式，并且可通过在线升级软件，修补各种漏洞，对大中型高校来说，无疑是一个绝佳的选择。