黑客收集信息的方法,黑客数据筛选
本文目录一览：
- 1、黑客可以利用哪些开放的端口对个人电脑进行入侵
- 2、如何预防黑客的攻击?
- 3、网络常见的攻击手段有哪些？以及详细的防御方案
- 4、怎样防黑客及木马软件?
- 5、简述信息包筛选的工作原理
- 6、如何防止黑客进行ICMP和TCP等扫描（不包括端口筛选和防护墙的其他方法）
黑客可以利用哪些开放的端口对个人电脑进行入侵
端口：0
服务：Reserved
说明：通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端口，当你试图使用通常的闭合端口连接它时将产生不同的结果。一种典型的扫描，使用IP地址为0.0.0.0，设置ACK位并在以太网层广播。
端口：1
服务：tcpmux
说明：这显示有人在寻找SGI Irix机器。Irix是实现tcpmux的主要提供者，默认情况下tcpmux在这种系统中被打开。Irix机器在发布是含有几个默认的无密码的帐户，如：IP、GUEST UUCP、NUUCP、DEMOS 、TUTOR、DIAG、OUTOFBOX等。许多管理员在安装后忘记删除这些帐户。因此HACKER在INTERNET上搜索tcpmux并利用这些帐户。
端口：7
服务：Echo
说明：能看到许多人搜索Fraggle放大器时，发送到X.X.X.0和X.X.X.255的信息。
端口：19
服务：Character Generator
说明：这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时会发送含有垃圾字符的数据流直到连接关闭。HACKER利用IP欺骗可以发动DoS攻击。伪造两个chargen服务器之间的UDP包。同样Fraggle DoS攻击向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。
端口：21
服务：FTP
说明：FTP服务器所开放的端口，用于上传、下载。最常见的攻击者用于寻找打开anonymous的FTP服务器的方法。这些服务器带有可读写的目录。木马Doly Trojan、Fore、Invisible FTP、WebEx、WinCrash和Blade Runner所开放的端口。
端口：22
服务：Ssh
说明：PcAnywhere建立的TCP和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点，如果配置成特定的模式，许多使用RSAREF库的版本就会有不少的漏洞存在。
端口：23
服务：Telnet
说明：远程登录，入侵者在搜索远程登录UNIX的服务。大多数情况下扫描这一端口是为了找到机器运行的操作系统。还有使用其他技术，入侵者也会找到密码。木马Tiny Telnet Server就开放这个端口。
端口：25
服务：SMTP
说明：SMTP服务器所开放的端口，用于发送邮件。入侵者寻找SMTP服务器是为了传递他们的SPAM。入侵者的帐户被关闭，他们需要连接到高带宽的E-MAIL服务器上，将简单的信息传递到不同的地址。木马Antigen、Email Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都开放这个端口。
端口：31
服务：MSG Authentication
说明：木马Master Paradise、Hackers Paradise开放此端口。
端口：42
服务：WINS Replication
说明：WINS复制
端口：53
服务：Domain Name Server（DNS）
说明：DNS服务器所开放的端口，入侵者可能是试图进行区域传递（TCP），欺骗DNS（UDP）或隐藏其他的通信。因此防火墙常常过滤或记录此端口。
端口：67
服务：Bootstrap Protocol Server
说明：通过DSL和Cable modem的防火墙常会看见大量发送到广播地址255.255.255.255的数据。这些机器在向DHCP服务器请求一个地址。HACKER常进入它们，分配一个地址把自己作为局部路由器而发起大量中间人（man-in-middle）攻击。客户端向68端口广播请求配置，服务器向67端口广播回应请求。这种回应使用广播是因为客户端还不知道可以发送的IP地址。
端口：69
服务：Trival File Transfer
说明：许多服务器与bootp一起提供这项服务，便于从系统下载启动代码。但是它们常常由于错误配置而使入侵者能从系统中窃取任何 文件。它们也可用于系统写入文件。
端口：79
服务：Finger Server
说明：入侵者用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误，回应从自己机器到其他机器Finger扫描。
端口：80
服务：HTTP
说明：用于网页浏览。木马Executor开放此端口。
端口：99
服务：metagram Relay
说明：后门程序ncx99开放此端口。
端口：102
服务：Message transfer agent(MTA)-X.400 over TCP/IP
说明：消息传输代理。
端口：109
服务：Post Office Protocol -Version3
说明：POP3服务器开放此端口，用于接收邮件，客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。关于用户名和密码交 换缓冲区溢出的弱点至少有20个，这意味着入侵者可以在真正登陆前进入系统。成功登陆后还有其他缓冲区溢出错误。
端口：110
服务：SUN公司的RPC服务所有端口
说明：常见RPC服务有rpc.mountd、NFS、rpc.statd、rpc.csmd、rpc.ttybd、amd等
端口：113
服务：Authentication Service
说明：这是一个许多计算机上运行的协议，用于鉴别TCP连接的用户。使用标准的这种服务可以获得许多计算机的信息。但是它可作为许多服务的记录器，尤其是FTP、POP、IMAP、SMTP和IRC等服务。通常如果有许多客户通过防火墙访问这些服务，将会看到许多这个端口的连接请求。记住，如果阻断这个端口客户端会感觉到在防火墙另一边与E-MAIL服务器的缓慢连接。许多防火墙支持TCP连接的阻断过程中发回RST。这将会停止缓慢的连接。
端口：119
服务：Network News Transfer Protocol
说明：NEWS新闻组传输协议，承载USENET通信。这个端口的连接通常是人们在寻找USENET服务器。多数ISP限制，只有他们的客户才能访问他们的新闻组服务器。打开新闻组服务器将允许发/读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送SPAM。
端口：135
服务：Location Service
说明：Microsoft在这个端口运行DCE RPC end-point mapper为它的DCOM服务。这与UNIX 111端口的功能很相似。使用DCOM和RPC的服务利用计算机上的end-point mapper注册它们的位置。远端客户连接到计算机时，它们查找end-point mapper找到服务的位置。HACKER扫描计算机的这个端口是为了找到这个计算机上运行Exchange Server吗？什么版本？还有些DOS攻击直接针对这个端口。
端口：137、138、139
服务：NETBIOS Name Service
说明：其中137、138是UDP端口，当通过网上邻居传输文件时用这个端口。而139端口：通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于windows文件和打印机共享和SAMBA。还有WINS Regisrtation也用它。
端口：143
服务：Interim Mail Access Protocol v2
说明：和POP3的安全问题一样，许多IMAP服务器存在有缓冲区溢出漏洞。记住：一种LINUX蠕虫（admv0rm）会通过这个端口繁殖，因此许多这个端口的扫描来自不知情的已经被感染的用户。当REDHAT在他们的LINUX发布版本中默认允许IMAP后，这些漏洞变的很流行。这一端口还被用于IMAP2，但并不流行。
端口：161
服务：SNMP
说明：SNMP允许远程管理设备。所有配置和运行信息的储存在数据库中，通过SNMP可获得这些信息。许多管理员的错误配置将被暴露在Internet。Cackers将试图使用默认的密码public、private访问系统。他们可能会试验所有可能的组合。SNMP包可能会被错误的指向用户的网络。
端口：177
服务：X Display Manager Control Protocol
说明：许多入侵者通过它访问X-windows操作台，它同时需要打开6000端口。
端口：389
服务：LDAP、ILS
说明：轻型目录访问协议和NetMeeting Internet Locator Server共用这一端口。
端口：443
服务：Https
说明：网页浏览端口，能提供加密和通过安全端口传输的另一种HTTP。
端口：456
服务：[NULL]
说明：木马HACKERS PARADISE开放此端口。
端口：513
服务：Login,remote login
说明：是从使用cable modem或DSL登陆到子网中的UNIX计算机发出的广播。这些人为入侵者进入他们的系统提供了信息。
端口：544
服务：[NULL]
说明：kerberos kshell
端口：548
服务：Macintosh,File Services(AFP/IP)
说明：Macintosh,文件服务。
端口：553
服务：CORBA IIOP （UDP）
说明：使用cable modem、DSL或VLAN将会看到这个端口的广播。CORBA是一种面向对象的RPC系统。入侵者可以利用这些信息进入系统。
端口：555
服务：DSF
说明：木马PhAse1.0、Stealth Spy、IniKiller开放此端口。
端口：568
服务：Membership DPA
说明：成员资格 DPA。
端口：569
服务：Membership MSN
说明：成员资格 MSN。
端口：635
服务：mountd
说明：Linux的mountd Bug。这是扫描的一个流行BUG。大多数对这个端口的扫描是基于UDP的，但是基于TCP的mountd有所增加（mountd同时运行于两个端口）。记住mountd可运行于任何端口（到底是哪个端口，需要在端口111做portmap查询），只是Linux默认端口是635，就像NFS通常运行于2049端口。
端口：636
服务：LDAP
说明：SSL（Secure Sockets layer）
端口：666
服务：Doom Id Software
说明：木马Attack FTP、Satanz Backdoor开放此端口
端口：993
服务：IMAP
说明：SSL（Secure Sockets layer）
端口：1001、1011
服务：[NULL]
说明：木马Silencer、WebEx开放1001端口。木马Doly Trojan开放1011端口。
端口：1024
服务：Reserved
说明：它是动态端口的开始，许多程序并不在乎用哪个端口连接网络，它们请求系统为它们分配下一个闲置端口。基于这一点分配从端口1024开始。这就是说第一个向系统发出请求的会分配到1024端口。你可以重启机器，打开Telnet，再打开一个窗口运行natstat -a 将会看到Telnet被分配1024端口。还有SQL session也用此端口和5000端口。
端口：1025、1033
服务：1025：network blackjack 1033：[NULL]
说明：木马netspy开放这2个端口。
端口：1080
服务：SOCKS
说明：这一协议以通道方式穿过防火墙，允许防火墙后面的人通过一个IP地址访问INTERNET。理论上它应该只允许内部的通信向外到达INTERNET。但是由于错误的配置，它会允许位于防火墙外部的攻击穿过防火墙。WinGate常会发生这种错误，在加入IRC聊天室时常会看到这种情况。
端口：1170
服务：[NULL]
说明：木马Streaming Audio Trojan、Psyber Stream Server、Voice开放此端口。
端口：1234、1243、6711、6776
服务：[NULL]
说明：木马SubSeven2.0、Ultors Trojan开放1234、6776端口。木马SubSeven1.0/1.9开放1243、6711、6776端口。
端口：1245
服务：[NULL]
说明：木马Vodoo开放此端口。
端口：1433
服务：SQL
说明：Microsoft的SQL服务开放的端口。
端口：1492
服务：stone-design-1
说明：木马FTP99CMP开放此端口。
端口：1500
服务：RPC client fixed port session queries
说明：RPC客户固定端口会话查询
端口：1503
服务：NetMeeting T.120
说明：NetMeeting T.120
端口：1524
服务：ingress
说明：许多攻击脚本将安装一个后门SHELL于这个端口，尤其是针对SUN系统中Sendmail和RPC服务漏洞的脚本。如果刚安装了防火墙就看到在这个端口上的连接企图，很可能是上述原因。可以试试Telnet到用户的计算机上的这个端口，看看它是否会给你一个SHELL。连接到600/pcserver也存在这个问题。
端口：1600
服务：issd
说明：木马Shivka-Burka开放此端口。
端口：1720
服务：NetMeeting
说明：NetMeeting H.233 call Setup。
端口：1731
服务：NetMeeting Audio Call Control
说明：NetMeeting音频调用控制。
端口：1807
服务：[NULL]
说明：木马SpySender开放此端口。
端口：1981
服务：[NULL]
说明：木马ShockRave开放此端口。
端口：1999
服务：cisco identification port
说明：木马BackDoor开放此端口。
端口：2000
服务：[NULL]
说明：木马GirlFriend 1.3、Millenium 1.0开放此端口。
端口：2001
服务：[NULL]
说明：木马Millenium 1.0、Trojan Cow开放此端口。
端口：2023
服务：xinuexpansion 4
说明：木马Pass Ripper开放此端口。
端口：2049
服务：NFS
说明：NFS程序常运行于这个端口。通常需要访问Portmapper查询这个服务运行于哪个端口。
端口：2115
服务：[NULL]
说明：木马Bugs开放此端口。
端口：2140、3150
服务：[NULL]
说明：木马Deep Throat 1.0/3.0开放此端口。
端口：2500
服务：RPC client using a fixed port session replication
说明：应用固定端口会话复制的RPC客户
端口：2583
服务：[NULL]
说明：木马Wincrash 2.0开放此端口。
端口：2801
服务：[NULL]
说明：木马Phineas Phucker开放此端口。
端口：3024、4092
服务：[NULL]
说明：木马WinCrash开放此端口。
端口：3128
服务：squid
说明：这是squid HTTP代理服务器的默认端口。攻击者扫描这个端口是为了搜寻一个代理服务器而匿名访问Internet。也会看到搜索其他代理服务器的端口8000、8001、8080、8888。扫描这个端口的另一个原因是用户正在进入聊天室。其他用户也会检验这个端口以确定用户的机器是否支持代理。
端口：3129
服务：[NULL]
说明：木马Master Paradise开放此端口。
端口：3150
服务：[NULL]
说明：木马The Invasor开放此端口。
端口：3210、4321
服务：[NULL]
说明：木马SchoolBus开放此端口
端口：3333
服务：dec-notes
说明：木马Prosiak开放此端口
端口：3389
服务：超级终端
说明：WINDOWS 2000终端开放此端口。
端口：3700
服务：[NULL]
说明：木马Portal of Doom开放此端口
端口：3996、4060
服务：[NULL]
说明：木马RemoteAnything开放此端口
端口：4000
服务：QQ客户端
说明：腾讯QQ客户端开放此端口。
端口：4092
服务：[NULL]
说明：木马WinCrash开放此端口。
端口：4590
服务：[NULL]
说明：木马ICQTrojan开放此端口。
端口：5000、5001、5321、50505
服务：[NULL]
说明：木马blazer5开放5000端口。木马Sockets de Troie开放5000、5001、5321、50505端口。
端口：5400、5401、5402
服务：[NULL]
说明：木马Blade Runner开放此端口。
端口：5550
服务：[NULL]
说明：木马xtcp开放此端口。
端口：5569
服务：[NULL]
说明：木马Robo-Hack开放此端口。
端口：5632
服务：pcAnywere
说明：有时会看到很多这个端口的扫描，这依赖于用户所在的位置。当用户打开pcAnywere时，它会自动扫描局域网C类网以寻找可能的代理（这里的代理是指agent而不是proxy）。入侵者也会寻找开放这种服务的计算机。，所以应该查看这种扫描的源地址。一些搜寻pcAnywere的扫描包常含端口22的UDP数据包。
端口：5742
服务：[NULL]
说明：木马WinCrash1.03开放此端口。
端口：6267
服务：[NULL]
说明：木马广外女生开放此端口。
端口：6400
服务：[NULL]
说明：木马The tHing开放此端口。
端口：6670、6671
服务：[NULL]
说明：木马Deep Throat开放6670端口。而Deep Throat 3.0开放6671端口。
端口：6883
服务：[NULL]
说明：木马DeltaSource开放此端口。
端口：6969
服务：[NULL]
说明：木马Gatecrasher、Priority开放此端口。
端口：6970
服务：RealAudio
说明：RealAudio客户将从服务器的6970-7170的UDP端口接收音频数据流。这是由TCP-7070端口外向控制连接设置的。
端口：7000
服务：[NULL]
说明：木马Remote Grab开放此端口。
端口：7300、7301、7306、7307、7308
服务：[NULL]
说明：木马NetMonitor开放此端口。另外NetSpy1.0也开放7306端口。
端口：7323
服务：[NULL]
说明：Sygate服务器端。
端口：7626
服务：[NULL]
说明：木马Giscier开放此端口。
端口：7789
服务：[NULL]
说明：木马ICKiller开放此端口。
端口：8000
服务：OICQ
说明：腾讯QQ服务器端开放此端口。
端口：8010
服务：Wingate
说明：Wingate代理开放此端口。
端口：8080
服务：代理端口
说明：WWW代理开放此端口。
=========常见木马使用端口===================
31338=Back Orifice
8102=网络神偷
31338=DeepBO
2000=黑洞2000
31339=NetSpy DK
2001=黑洞2001
31666=BOWhack
6267=广外女生
34324= BigGluck
7306=网络精灵3.0，netspy3.0
40412 =The Spy
7626=冰河
40421= Masters Paradise
8011=wry，赖小子，火凤凰
40422= Masters Paradise 1.x
23444=网络公牛，netbull
40423= Masters Paradise 2.x
23445=网络公牛，netbull
40426= Masters Paradise 3.x
19191=蓝色火焰
50505 =Sockets de Troie
27374=Sub Seven 2.0+，77，东方魔眼
50766 =Fore
国外常见木马使用端口
53001 =Remote Windows Shutdown
121 =BO jammerkillahV
61466 =Telecommando
666 =Satanz Backdoor
65000 =Devil
1001= Silencer
6400= The tHing
1600 =Shivka-Burka
12346 =NetBus 1.x
1807= SpySender
20034 = NetBus Pro
1981= Shockrave
1243 =SubSeven
1001= WebEx
30100= NetSphere
1011= Doly Trojan
1001= Silencer
1170 =Psyber Stream Server
20000= Millenium
1234= Ultors Trojan
65000= Devil 1.03
1245 =VooDoo Doll
7306= NetMonitor
1492 =FTP99CMP
1170 =Streaming Audio Trojan
1999 =BackDoor
30303 =Socket23
2001= Trojan Cow
6969 =Gatecrasher
2023= Ripper
61466= Telecommando
2115= Bugs
12076 =Gjamer
2140 =Deep Throat
4950= IcqTrojen
2140= The Invasor
16969= Priotrity
2801= Phineas Phucker
1245 = Vodoo
30129 =Masters Paradise
5742 = Wincrash
3700= Portal of Doom
2583 = Wincrash2
4092 =WinCrash
1033 =Netspy
4590 =ICQTrojan
1981 = ShockRave
5000 =Sockets de Troie
555= Stealth Spy
5001 =Sockets de Troie 1.x
2023 =Pass Ripper
5321= Firehotcker
666 =Attack FTP
5400 =Blade Runner
21554 =GirlFriend
5401= Blade Runner 1.x
50766 =Fore= Schwindler
5402 =Blade Runner 2.x
34324= Tiny Telnet Server
5569 =Robo-Hack
30999= Kuang
6670 =DeepThroat
11000 =Senna Spy Trojans
6771= DeepThroat
23456= WhackJob
6969= GateCrasher
555= Phase0
6969 =Priority
5400 = Blade Runner
7000= Remote Grab
4950 = IcqTrojan
7300 =NetMonitor
9989 = InIkiller
7301= NetMonitor 1.x
9872 = Portal Of Doom
7306 =NetMonitor 2.x
11223 = Progenic Trojan
7307= NetMonitor 3.x
22222= Prosiak 0.47
7308 =NetMonitor 4.x
53001 = Remote Windows Shutdown
7789= ICKiller
5569= RoboHack
9872 =Portal of Doom
1001= Silencer
9873 =Portal of Doom 1.x
2565 = Striker
9874 =Portal of Doom 2.x
40412 = TheSpy
9875 =Portal of Doom 3.x
2001 = TrojanCow
10067 =Portal of Doom 4.x
23456 = UglyFtp
10167= Portal of Doom 5.x
1001 =WebEx
9989= iNi-Killer
1999 =Backdoor
11000 =Senna Spy
2801 =Phineas
11223= Progenic trojan
1509 =Psyber Streaming Server
12223= Hack?99 KeyLogger
6939 =Indoctrination
1245= GabanBus
456 =Hackers Paradise
1245= NetBus
1011= Doly Trojan
12361 =Whack-a-mole
1492= FTP99CMP
12362 =Whack-a-mole 1.x
1600= Shiva Burka
16969 =Priority
53001 = Remote Windows Shutdown
20001 =Millennium
34324= BigGluck=
20034= NetBus 2 Pro
31339 =NetSpy DK
21544＝GirlFriend
12223 = Hack?99 KeyLogger
22222=Prosiak
9989 =iNi-Killer
33333＝Prosiak
7789 =ICQKiller
23456＝Evil FTP
9875=Portal of Doom
23456＝ Ugly FTP
5321 = Firehotcker
26274＝ Delta
40423= Master Paradise
31337 ＝Back Orifice
如何预防黑客的攻击?
因为防火墙有拦截数据的功能，所以如果我们利用该功能将通往135端口的接收和发送数据全部拦截下来，就可以阻止他人连接我们的135端口了~
我们以天网防火墙为例子，因为用的人多，操作也简单，一看就明白了~立刻行动吧！
a.打开天网防火墙，可以见到如图所示的界面，单击“自定义规则”，我们要自己来增加一个规则，
所以再单击“增加规则”。
b.现在可以看到一个增加IP规则的对话框。
规则的名称和说明没有限制，喜欢就好~不过为了方便查看，我们就叫“拦截135端口”
数据包方向：接收或发送（同时阻止通过135端口接收和发送数据）
对方IP地址：任何地址
数据包协议类型：TCP （因为135端口是一种TCP协议端口）
本地端口：从135到135（定义了要拦截的端口只为135端口）
对方端口：从0到0 （端口为0时为对方的任何端口）
TCP标志：SYN
当满足上面条件时：拦截
好了，一个IP规则制作完成~确定！
c：把我们刚刚制作好的规则放到同类规则的最顶端
使用向上箭头直到不能再向上，并选上勾，然后保存（这一步忘记就白辛苦了|||）
其它端口的关闭设置方法类似，如要开放端口，把‘拦截’改为‘通行’就可以了。
方法2 自定义安全策略
如果我们手头暂时没有防火墙工具的话，那么可以利用Windows服务器自身的IP安全策略功能，来自定义一个拦截135端口的安全策略。
a.打开控制面板，找到管理工具里面的本地安全设置。
b.看到界面，我们选择左边的IP安全策略，在本地机器。
然后在右边空白处单击右键，选择创建IP安全策略。出现了一个设置向导。点击下一步
名称也是看自己喜欢了，我们还是叫拦截135端口~下一步
去掉激活默认响应规则的勾，下一步
点击完成，我们就创建好了，
接下来设置我们用这个规则来干什么，我们是拦截135端口所以添加一个IP安全规则，单击添加（不需要向导所以去掉添加向导的勾）
在IP筛选器列表中，我们添加一个新的。单击添加...
在这个对话框中名称还是自定义，去掉添加向导的勾，然后单击添加...
准备开始设置规则了：）
在寻址标签中，设置：
源地址：任何IP地址
目标地址：我的IP地址
在协议标签中，设置：
选择协议类型：TCP
设置IP协议端口:
从任意端口，到此端口：135
确定后可以看到筛选器中多出了一条。关闭后在IP筛选器列表中选择我们刚刚建立的拦截135端口。
我们建立好了可是电脑还不知道我们要怎么使用这个规则，不要紧，只要在筛选器操作标签中添加一个操作就完成了~
单击添加...只用在安全措施种选择阻止就ok了（可以在描述中设置名称）
同样选上这个操作。确定后我们就完成了99%！
由于windows默认IP安全策略中的项目是没有激活的，所以我们要指派一下，点击指派。完成99.9%
重新启动！100%
其它的端口设置类似，多试试看~
PS:如果没有IP安全策略可以在控制台中新建
在运行中输入：mmc回车
然后在控制台按钮中选择添加删除管理单元
然后单击添加...
在其中选择：IP安全策略，再添加即可，这时的操作就和上面一样了。
方法 3 筛选TCP端口
我们还可以利用Windows系统的筛选TCP端口功能，将来自于135网络端口的数据包，全部过滤掉。
先打开“Internet协议(TCP/IP)”属性设置对话框
可以在控制面板中的网络连接找到本地连接，打开，点击属性。
选择TCP/IP协议，再单击属性
在右下脚找到高级，单击进入后找到选项标签，选择其中的TCP/IP筛选，进入属性
选中启用TCP/IP筛选选项，同时在TCP端口处，选中只允许，并单击添加按钮，填入常用的21，23，80，110端口，最后单击确定按钮，这样的话其余端口就会被自动排除了。
以后如果要添加或者删除都可以同样操作。
何关闭3389的端口要想玩马,首先是不能让电脑中马或即使有马也让它起不了作用--今天浅谈如何关3389端口防止别人浸入你的电脑
第一步：
开始---运行
输入services.msc
找到Terminal Services关掉
这里我已经关掉了~你们自己关吧~
第二步
开始---运行
输入regedit打开注册表
[HKEY_LOCAL_MACHINE\System\control\Terminalserver\wds\rdpwd\tds\tcp分支,选中名为portnumber的键值,将其3389改为其他（如1234）看我操作这里control有2个分别为controlSET001 和controlSET002我一个一个来 先进controlSET001在来controlSET002
下面我们在看currentcontrolset
[HKEY_LOCAL_MACHINE\System\currentcontrolset\control\Terminalserver\winstations\RDP-Tcp\PortNumber分支里应该有一个或者很多类似的子键,一样的改他的值3389为其他（如1234）
好了`~这样就把你电脑上的3389端口完全关闭了~~
如何关闭端口防止病毒与黑客入侵
如何关闭端口防止病毒与黑客入侵
注:关闭的端口有，135，137，138，139，445，1025，2475，3127，6129，3389，593，还有tcp.
第一步，控制面板/管理工具，双击打开“本地安全策略”，选中“IP 安全策略，在本地计算机”，在右边窗格的空白位置右击鼠标，弹出快捷菜单，选择“创建 IP 安全策略”，于是弹出一个向导。在向导中点击“下一步”按钮，为新的安全策略命名;再按“下一步”，则显示“安全通信请求”画面，在画面上把“激活默认相应规则”左边的钩去掉，点击“完成”按钮就创建了一个新的IP 安全策略。
第二步，右击该IP安全策略，在“属性”对话框中，把“使用添加向导”左边的钩去掉，然后单击“添加”按钮添加新的规则，随后弹出“新规则属性”对话框，在画面上点击“添加”按钮，弹出IP筛选器列表窗口;在列表中，首先把“使用添加向导”左边的钩去掉，然后再点击右边的“添加”按钮添加新的筛选器。
第三步，进入“筛选器属性”对话框，首先看到的是寻址，源地址选“任何 IP 地址”，目标地址选“我的 IP 地址”;点击“协议”选项卡，在“选择协议类型”的下拉列表中选择“TCP”，然后在“到此端口”下的文本框中输入“135”，点击“确定”按钮，这样就添加了一个屏蔽 TCP 135(RPC)端口的筛选器，它可以防止外界通过135端口连上你的电脑。
点击“确定”后回到筛选器列表的对话框，可以看到已经添加了一条策略，重复以上步骤继续添加 TCP 137、139、445、593 端口和 UDP 135、139、445 端口，为它们建立相应的筛选器。
重复以上步骤添加TCP 1025、2745、3127、6129、3389 端口的屏蔽策略，建立好上述端口的筛选器，最后点击“确定”按钮。
第四步，在“新规则属性”对话框中，选择“新 IP 筛选器列表”，然后点击其左边的圆圈上加一个点，表示已经激活，最后点击“筛选器操作”选项卡。在“筛选器操作”选项卡中，把“使用添加向导”左边的钩去掉，点击“添加”按钮，添加“阻止”操作:在“新筛选器操作属性”的“安全措施”选项卡中，选择“阻止”，然后点击“确定”按钮。
第五步、进入“新规则属性”对话框，点击“新筛选器操作”，其左边的圆圈会加了一个点，表示已经激活，点击“关闭”按钮，关闭对话框;最后回到“新IP安全策略属性”对话框，在“新的IP筛选器列表”左边打钩，按“确定”按钮关闭对话框。在“本地安全策略”窗口，用鼠标右击新添加的 IP 安全策略，然后选择“指派”。
网络常见的攻击手段有哪些？以及详细的防御方案
1 、窃取口令
就我们所知，被用来窃取口令黑客数据筛选的服务包括 FTP、 TFTP、邮件系统、 Finger和 Telnet等等。换句话说，如果系统管理员在选择主机系统时不小心或不走运的话，攻击者要窃取口令文件就将易如反掌，所以防范的手段包括对软件的使用都要采取十分谨慎地态度，大家一定要记住黑客数据筛选：坏家伙只用成功一次就够了。
2 、 缺陷和后门
事实上没有完美无缺的代码，也许系统的某处正潜伏着重大的缺陷或者后门等待人们的发现，区别只是在于谁先发现它。只有本着怀疑一切的态度，从各个方面检查所输入信息的正确性，还是可以回避这些缺陷的。比如说，如果程序有固定尺寸的缓冲区，无论是什么类型，一定要保证它不溢出黑客数据筛选；如果使用动态内存分配，一定要为内存或文件系统的耗尽做好准备，并且记住恢复策略可能也需要内存和磁盘空间。
3 、 鉴别失败
即使是一个完善的机制在某些特定的情况下也会被攻破。例如：源地址的校验可能正在某种条件下进行（如防火墙筛选伪造的数据包），但是黑客可以用程序 Portmapper重传某一请求。在这一情况下，服务器最终受到欺骗，报文表面上源于本地，实际上却源于其他地方。
4 、 协议失败
寻找协议漏洞的游戏一直在黑客中长盛不衰，在密码学的领域尤其如此。有时是由于密码生成者犯了错误，过于明了和简单。更多的情况是由于不同的假设造成的，而证明密码交换的正确性是很困难的事。
5 、 信息泄漏
大多数的协议都会泄漏某些信息。高明的黑客并不需要知道黑客数据筛选你的局域网中有哪些计算机存在，他们只要通过地址空间和端口扫描，就能寻找到隐藏的主机和感兴趣的服务。最好的防御方法是高性能的防火墙，如果黑客们不能向每一台机器发送数据包，该机器就不容易被入侵拒绝服务
有的人喜欢刺破别人的车胎，有的人喜欢在墙上乱涂乱画，也有人特别喜欢把别人的机器搞瘫痪。很多网络攻击者对这种损人不利己的行为乐此不疲真是令人费解。这种捣乱的行为多种多样，但本质上都差不多，就是想将你的资源耗尽，从而让你的计算机系统瘫痪。尽管主动的过滤可以在一定的程度上保护你，但是由于这种攻击不容易识别，往往让人防不胜防。
怎样防黑客及木马软件?
安全策略:
打开管理工具
找到本地安全设置.本地策略.安全选项
1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要,启用比较好,但是我个人是不需要直接输入密码登陆的]
2.网络访问.不允许SAM帐户的匿名枚举 启用
3.网络访问.可匿名的共享 将后面的值删除
4.网络访问.可匿名的命名管道 将后面的值删除
5.网络访问.可远程访问的注册表路径 将后面的值删除
6.网络访问.可远程访问的注册表的子路径 将后面的值删除
7.网络访问.限制匿名访问命名管道和共享
8.帐户.重命名来宾帐户guest [最好写一个自己能记住中文名]让黑客去猜解guest吧,而且还得删除这个帐户,后面有详细解释]
9.帐户.重命名系统管理员帐户[建议取中文名]
E计划.用户权限分配策略:
打开管理工具
找到本地安全设置.本地策略.用户权限分配
1.从网络访问计算机 里面一般默认有5个用户,除Admin外我们删除4个,当然,等下我们还得建一个属于自己的ID
2.从远程系统强制关机,Admin帐户也删除,一个都不留
3.拒绝从网络访问这台计算机 将ID删除
4.从网络访问此计算机,Admin也可删除,如果你不使用类似3389服务
5.通过终端允许登陆 删除Remote Desktop Users
F计划.终端服务配置
打开管理工具
终端服务配置
1.打开后，点连接,右键,属性,远程控制,点不允许远程控制
2.常规,加密级别,高,在使用标准windows验证上点√!
3.网卡,将最多连接数上设置为0
4.高级,将里面的权限也删除.[我没设置]
再点服务器设置,在Active Desktop上,设置禁用,且限制每个使用一个会话
G计划.用户和组策略
打开管理工具
计算机管理.本地用户和组.用户
删除Support_388945a0用户等等
只留下你更改好名字的adminisrator权限
计算机管理.本地用户和组.组
组.我们就不组了.分经验的(不管他.默认设置)
X计划.DIY策略[根据个人需要]
1.当登陆时间用完时自动注销用户(本地) 防止黑客密码渗透.
2.登陆屏幕上不显示上次登陆名(远程)如果开放3389服务,别人登陆时,就不会残留有你登陆的用户名.让他去猜你的用户名去吧.
3.对匿名连接的额外限制
4.禁止按 alt+crtl+del
5.允许在未登陆前关机[防止远程关机/启动、强制关机/启动]
6.只有本地登陆用户才能访问cd-rom
7.只有本地登陆用户才能访问软驱
8.取消关机原因的提示
1、打开控制面板窗口，双击“电源选项”图标，在随后出现的电源属性窗口中，进入到“高级”标签页面；
2、在该页面的“电源按钮”设置项处，将“在按下计算机电源按钮时”设置为“关机”，单击“确定”按钮，来退出设置框；
3、以后需要关机时，可以直接按下电源按键，就能直接关闭计算机了。当然，我们也能启用休眠功能键，来实现快速关机和开机；
4、要是系统中没有启用休眠模式的话，可以在控制面板窗口中，打开电源选项，进入到休眠标签页面，并在其中将“启用休眠”选项选中就可以了。
9.禁止关机事件跟踪
开始“Start -”运行“ Run -输入”gpedit.msc “，在出现的窗口的左边部分，
选择 ”计算机配置“（Computer Configuration ）- ”管理模板“
（Administrative Templates）- ”系统“（System）,在右边窗口双击
“Shutdown Event Tracker” 在出现的对话框中选择“禁止”（Disabled），
点击然后“确定”（OK）保存后退出这样，你将看到类似于windows 2000的关机窗口
三、修改权限防止病毒或木马等破坏系统
winxp、windows2003以上版本适合本方法.
因为目前的木马抑或是病毒都喜欢驻留在system32目录下,如果我们用命令限制system32的写入和修改权限的话
那么,它们就没有办法写在里面了.看命令
A命令
cacls C:windowssystem32 /G administrator:R 禁止修改、写入C:windowssystem32目录
cacls C:windowssystem32 /G administrator:F 恢复修改、写入C:windowssystem32目录
呵呵，这样病毒等就进不去了，如果你觉得这个还不够安全，
还可以进行修改觉得其他危险目录,比如直接修改C盘的权限，但修改c修改、写入后，安装软件时需先把权限恢复过来才行
B命令
cacls C: /G administrator:R 禁止修改、写入C盘
cacls C: /G administrator:F 恢复修改、写入C盘
这个方法防止病毒，
如果您觉得一些病毒防火墙消耗内存太大的话
此方法稍可解决一点希望大家喜欢这个方法^_^
X命令
以下命令推荐给高级管理员使用[因为win版本不同,请自行修改参数]
cacls %SystemRoot%system32cmd.exe /E /D IUSR_ComSpec 禁止网络用户、本地用户在命令行和gui下使用cmd
cacls %SystemRoot%system32cmd.exe /E /D IUSR_Lsa 恢复网络用户、本地用户在命令行和gui下使用cmd
cacls %SystemRoot%system32t /E /D IUSR_Lsa 禁止网络用户、本地用户在命令行和gui下使用t
cacls %SystemRoot%system32t /E /D IUSR_Lsa 恢复网络用户、本地用户在命令行和gui下使用t
cacls %SystemRoot%system32tftp32.exe /E /D IUSR_Lsa 禁止网络用户、本地用户在命令行和gui下使用tftp32.exe
cacls %SystemRoot%system32tftp32.exe /E /D IUSR_Lsa 恢复网络用户、本地用户在命令行和gui下使用tftp32.exe
四、重要文件名加密[NTFS格式]
此命令的用途可加密windows的密码档,QQ密码档等等^.^
命令行方式
加密：在DOS窗口或“开始” | “运行”的命令行中输入“cipher /e 文件名（或文件夹名）”。
解密：在DOS窗口或“开始” | “运行”的命令行中输入“cipher /d 文件名（或文件夹名）”。
五、修改注册表防御D.D.O.S
在注册表HKLMSYSTEMCurrentControlSetServicesTcpipParameters中更改以下值可以帮助你防御一定强度的DoS攻击
SynAttackProtect REG_DWORD 2
EnablePMTUDiscovery REG_DWORD 0
NoNameReleaseOnDemand REG_DWORD 1
EnableDeadGWDetect REG_DWORD 0
KeepAliveTime REG_DWORD 300,000
PerformRouterDiscovery REG_DWORD 0
EnableICMPRedirects REG_DWORD 0
更多新的防御技巧请搜索其他信息,
由于本人不敢拿自己的硬盘开玩笑,所以没做实验... ...
六、打造更安全的防火墙
只开放必要的端口，关闭其余端口.因为在系统安装好后缺省情况下,一般都有缺省的端口对外开放，
黑客就会利用扫描工具扫描那些端口可以利用，这对安全是一个严重威胁。 本人现将自己所知道的端口公布如下(如果觉得还有危险需要过滤的,请联系本人：OICQ 13946296
端口 协议 应用程序
21 TCP FTP
25 TCP SMTP
53 TCP DNS
80 TCP HTTP SERVER
1433 TCP SQL SERVER
5631 TCP PCANYWHERE
5632 UDP PCANYWHERE
6（非端口） IP协议
8（非端口） IP协议
那么,我们根据自己的经验,将下面的端口关闭
TCP
21
22
23
25 TCP SMTP
53 TCP DNS
80
135 epmap
138 [冲击波]
139 smb
445
1025 DCE/1ff70682-0a51-30e8-076d-740be8cee98b
1026 DCE/12345778-1234-abcd-ef00-0123456789ac
1433 TCP SQL SERVER
5631 TCP PCANYWHERE
5632 UDP PCANYWHERE
3389
4444[冲击波]
4489
UDP
67[冲击波]
137 netbios-ns
161 An SNMP Agent is running/ Default community names of the SNMP Agent
关于UDP一般只有腾讯OICQ会打开4000或者是8000端口,那么,我们只运行本机使用4000端口就行了
七、保护个人隐私
1、TT浏览器
选择用另外一款浏览器浏览网站.我推荐用TT,使用TT是有道理的.
TT可以识别网页中的脚本,JAVA程序,可以很好的抵御一些恶意的脚本等等,而且TT即使被感染,你删除掉又重新安装一个就是.[TT就是腾讯的浏览器](不过有些人喜欢用MyIE,因为我使用的时间和对他的了解不是很深吧,感觉不出他对安全方面有什么优势一_一~,希望支持MyIE的朋友不要揍我,否则我会哭... ...)
2、移动“我的文档”
进入资源管理器，右击“我的文档”，选择“属性”，在“目标文件夹”选项卡中点“移动”按钮，
选择目标盘后按“确定”即可。在Windows 2003中“我的文档”已难觅芳踪，桌面、开始等处都看不到了，
建议经常使用的朋友做个快捷方式放到桌面上。
3、移动IE临时文件
进入“开始→控制面板→Internet 选项”，在“常规”选项卡的“Internet 文件”栏里点“设置”按钮，
在弹出窗体中点“移动文件夹”按钮，选择目标文件夹后，点“确定”，在弹出对话框中选择“是”，
系统会自动重新登录。点本地连接,高级,安全月志,把月志的目录更改专门分配月志的目录，
不建议是C:再重新分配月志存储值的大小,我是设置了10000KB
八、第三方软件的帮助
防火墙：天网防火墙（建议）[二道贩子注:winxp以上可以考虑用系统自带的防火墙,win2000可以考虑用IPSEC,是个锻炼的机会)
杀毒软件：卡巴斯基
二道贩子后注:
现在黑客的攻击有从传统的系统漏洞转向了你的浏览器,所以要在升级一些传统漏洞补丁的同时要注意你的浏览器.
Windows 2000服务器的安全设置
设置禁用，构建第一道防线c_
在安装完Windows 2000后，首先要装上最新的系统补丁。但即使装上了，在因特网上的任何一台机器上只要输入“＼＼你的IP地址＼c”，然后输入用户名 Guest，密码空，就能进入你的C盘，你还是完全暴露了。解决的方法是禁用•格斯特账号，为管理人设置一个安全的密码，将各驱动器的共享设为不共享。同时你还要关闭不需要的服务。你可以在管理工具的服务中将它们设置为禁用，但要提醒的是一定要慎重，有的服务是不能禁用的。一般可以禁用的服务有Telnet、任务调度程序(允许程序在指定时间运行)、遥远的登记服务(允许远程注册表操作)等。这是你构建的服务器的第一道防线。-设置第二，构建第二道防线*i
© 作为校园网的服务器，很多学校将该服务器同时作为网站服务器，而第二的漏洞也是一个棘手的问题。实际上，你可以通过简单的设置，完全可以将网站的漏洞补上。你可以将第二默认的服务都停止(如图 1，FTP服务你是不需要的，要的话笔者推荐用Serv-U；“管理网站点”和“默认网站点”都会给你带来麻烦；简单邮件传输协议一般也不用)，然后再新建一个网站点h
©设置好常规内容后，在“属性→主目录”的配置中对应用程序映射进行设置，删除不需要的映射(如图 2)，这些映射是第二受到攻击的直接原因。如果你需要CGI和PHP的话，可参阅一些资料进行设置LB
这样，配合常规设置，你的第二就可以安全运行了，你的服务器就有了第二道防线。#_t1)
运用扫描程序，堵住安全漏洞[J=
©要做到全面解决安全问题，你需要扫描程序的帮助。笔者推荐使用X浏览(如图 3)，它可以帮助你检测服务器的安全问题。rmp
扫描完成后，你要看一下，是否存在口令漏洞，若有，则马上要修改口令设置；再看一下是否存在第二漏洞，若有，请检查第二的设置。其他漏洞一般很少存在，我要提醒大家的是注意开放的端口，你可以将扫描到的端口记录下来，以方便进行下一步设置。vY)
© 封锁端口，全面构建防线YD_\1
©《 黑客大多通过端口进行入侵，所以你的服务器只能开放你需要的端口，那么你需要哪些端口呢？以下是常用端口，你可根据需要取舍：7e|
80为网网站服务；21为FTP服务；25为电子邮件简单邮件传输协议服务；110为发邮件给POP3服务。?[U
© 其他还有SQL服务者的端口1433等，你可到网上查找相关资料。那些不用的端口一定要关闭！关闭这些端口，我们可以通过Windows 2000的安全策略进行。B
©《借助它的安全策略，完全可以阻止入侵者的攻击。你可以通过“管理工具→本地安全策略”进入，右击“IP安全策略”，选择“创建IP安全策略”，点[下一步]。输入安全策略的名称，点[下一步]，一直到完成，你就创建了一个安全策略OkQcy
接着你要做的是右击“IP安全策略”，进入管理IP筛选器和筛选器操作，在管理IP筛选器列表中，你可以添加要封锁的端口，这里以关闭ICMP和 139端口为例说明。b]}
关闭了ICMP，黑客软件如果没有强制扫描功能就不能扫描到你的机器，也砰不到你的机器。关闭ICMP的具体操作如下：点[添加]，然后在名称中输入“关闭ICMP”，点右边的[添加]，再点[下一步]。在源地址中选“任何IP地址”，点[下一步]。在目标地址中选择“我的IP地址”，点[下一步]。在协议中选择“ICMP”，点[下一步]。回到关闭ICMP属性窗口，即关闭了ICMP。sf7 FQ
下面我们再设置关闭 139，同样在管理IP筛选器列表中点“添加”，名称设置为“关闭 139”，点右边的“添加”，点[下一步]。在源地址中选择“任何IP地址”，点[下一步]。在目标地址中选择“我的IP地址”，点[下一步]。在协议中选择“TCP”，点[下一步]。在设置IP协议端口中选择从任意端口到此端口，在此端口中输入 139，点下一步。即完成关闭 139端口，其他的端口也同样设置，结果如图 5。f6WL
特别指出的是关闭UDP4000可以禁止校园网中的机器使用QQ。Q
©然后进入设置管理筛选器操作，点“添加”，点下一步，在名称中输入“拒绝”，点下一步。选择“阻止”，点[下一步]。u然后关闭该属性页，右击新建的IP安全策略“安全”，打开属性页。在规则中选择“添加”，点[下一步]。选择“此规则不指定隧道”，点下一步。在选择网络类型中选择“所有网络连接”，点下一步。在IP筛选器列表中选择“关闭ICMP”，点[下一步]。在筛选器操作中选择“拒绝”，点下一步。这样你就将“关闭ICMP”的筛选器加入到名为“安全”的IP安全策略中。同样的方法，你可以将“关闭 139”等其他筛选器加入进来。添加后的结果如图 7。(8
©《我 最后要做的是指派该策略，只有指派后，它才起作用。方法是右击“安全”，在菜单中选择“所有任务”，选择“指派”。IP安全设置到此结束，你可根据自己的情况，设置相应的策略。2
©《设置完成后，你可再用X浏览进行检查，发现问题再补上。9g
通过以上的设置，你的Windows 2000服务器可以说是非常安全了。希望你早日筑起服务器的安全防护林。
Windows下权限设置详解
随着动网论坛的广泛应用和动网上传漏洞的被发现以及SQL注入式攻击越来越多的被使用，WEBSHELL让防火墙形同虚设，一台即使打了所有微软补丁、只让80端口对外开放的WEB服务器也逃不过被黑的命运。难道我们真的无能为力了吗？其实，只要你弄明白了NTFS系统下的权限设置问题，我们可以对crackers们说：NO! 要打造一台安全的WEB服务器，那么这台服务器就一定要使用NTFS和Windows NT/2000/2003。众所周知，Windows是一个支持多用户、多任务的操作系统，这是权限设置的基础，一切权限设置都是基于用户和进程而言的，不同的用户在访问这台计算机时，将会有不同的权限。DOS是个单任务、单用户的操作系统。但是我们能说DOS没有权限吗？不能！当我们打开一台装有DOS操作系统的计算机的时候，我们就拥有了这个操作系统的管理员权限，而且，这个权限无处不在。所以，我们只能说DOS不支持权限的设置，不能说它没有权限。随着人们安全意识的提高，权限设置随着NTFS的发布诞生了。
Windows NT里，用户被分成许多组，组和组之间都有不同的权限，当然，一个组的用户和用户之间也可以有不同的权限。下面我们来谈谈NT中常见的用户组。 Administrators,管理员组，默认情况下，Administrators中的用户对计算机/域有不受限制的完全访问权。分配给该组的默认权限允许对整个系统进行完全控制。所以，只有受信任的人员才可成为该组的成员。
Power Users，高级用户组，Power Users 可以执行除了为 Administrators 组保留的任务外的其他任何操作系统任务。分配给 Power Users 组的默认权限允许 Power Users 组的成员修改整个计算机的设置。但Power Users 不具有将自己添加到 Administrators 组的权限。在权限设置中，这个组的权限是仅次于Administrators的。
Users:普通用户组，这个组的用户无法进行有意或无意的改动。因此，用户可以运行经过验证的应用程序，但不可以运行大多数旧版应用程序。Users 组是最安全的组，因为分配给该组的默认权限不允许成员修改操作系统的设置或用户资料。Users 组提供了一个最安全的程序运行环境。在经过 NTFS 格式化的卷上，默认安全设置旨在禁止该组的成员危及操作系统和已安装程序的完整性。用户不能修改系统注册表设置、操作系统文件或程序文件。Users 可以关闭工作站，但不能关闭服务器。Users 可以创建本地组，但只能修改自己创建的本地组。
Guests:来宾组，按默认值，来宾跟普通Users的成员有同等访问权，但来宾帐户的限制更多。
Everyone:顾名思义，所有的用户，这个计算机上的所有用户都属于这个组。
其实还有一个组也很常见，它拥有和Administrators一样、甚至比其还高的权限，但是这个组不允许任何用户的加入，在察看用户组的时候，它也不会被显示出来，它就是SYSTEM组。系统和系统级的服务正常运行所需要的权限都是靠它赋予的。由于该组只有这一个用户SYSTEM，也许把该组归为用户的行列更为贴切。
权限是有高低之分的，有高权限的用户可以对低权限的用户进行操作，但除了Administrators之外，其他组的用户不能访问 NTFS 卷上的其他用户资料，除非他们获得了这些用户的授权。而低权限的用户无法对高权限的用户进行任何操作。
我们平常使用计算机的过程当中不会感觉到有权限在阻挠你去做某件事情，这是因为我们在使用计算机的时候都用的是Administrators中的用户登陆的。这样有利也有弊，利当然是你能去做你想做的任何一件事情而不会遇到权限的限制。弊就是以 Administrators 组成员的身份运行计算机将使系统容易受到特洛伊木马、病毒及其他安全风险的威胁。访问 Internet 站点或打开电子邮件附件的简单行动都可能破坏系统。不熟悉的 Internet 站点或电子邮件附件可能有特洛伊木马代码，这些代码可以下载到系统并被执行。如果以本地计算机的管理员身份登录，特洛伊木马可能使用管理访问权重新格式化您的硬盘，造成不可估量的损失，所以在没有必要的情况下，最好不用Administrators中的用户登陆。Administrators中有一个在系统安装时就创建的默认用户----Administrator，Administrator 帐户具有对服务器的完全控制权限，并可以根据需要向用户指派用户权利和访问控制权限。因此强烈建议将此帐户设置为使用强密码。永远也不可以从 Administrators 组删除 Administrator 帐户，但可以重命名或禁用该帐户。由于大家都知道“管理员”存在于许多版本的 Windows 上，所以重命名或禁用此帐户将使恶意用户尝试并访问该帐户变得更为困难。对于一个好的服务器管理员来说，他们通常都会重命名或禁用此帐户。Guests用户组下，也有一个默认用户----Guest,但是在默认情况下，它是被禁用的。如果没有特别必要，无须启用此账户。我们可以通过“控制面板”--“管理工具”--“计算机管理”--“用户和用户组”来查看用户组及该组下的用户。
我们用鼠标右键单击一个NTFS卷或NTFS卷下的一个目录，选择“属性”--“安全”就可以对一个卷，或者一个卷下面的目录进行权限设置，此时我们会看到以下七种权限：完全控制、修改、读取和运行、列出文件夹目录、读取、写入、和特别的权限。“完全控制”就是对此卷或目录拥有不受限制的完全访问。地位就像Administrators在所有组中的地位一样。选中了“完全控制”，下面的五项属性将被自动被选中。“修改”则像Power users，选中了“修改”，下面的四项属性将被自动被选中。下面的任何一项没有被选中时，“修改”条件将不再成立。“读取和运行”就是允许读取和运行在这个卷或目录下的任何文件，“列出文件夹目录”和“读取”是“读取和运行”的必要条件。“列出文件夹目录”是指只能浏览该卷或目录下的子目录，不能读取，也不能运行。“读取”是能够读取该卷或目录下的数据。“写入”就是能往该卷或目录下写入数据。而“特别”则是对以上的六种权限进行了细分。读者可以自行对“特别”进行更深的研究，鄙人在此就不过多赘述了。
下面我们对一台刚刚安装好操作系统和服务软件的WEB服务器系统和其权限进行全面的刨析。服务器采用Windows 2000 Server版，安装好了SP4及各种补丁。WEB服务软件则是用了Windows 2000自带的IIS 5.0，删除了一切不必要的映射。整个硬盘分为四个NTFS卷，C盘为系统卷，只安装了系统和驱动程序；D盘为软件卷，该服务器上所有安装的软件都在D盘中；E盘是WEB程序卷，网站程序都在该卷下的WWW目录中；F盘是网站数据卷，网站系统调用的所有数据都存放在该卷的WWWDATABASE目录下。这样的分类还算是比较符合一台安全服务器的标准了。希望各个新手管理员能合理给你的服务器数据进行分类，这样不光是查找起来方便，更重要的是这样大大的增强了服务器的安全性，因为我们可以根据需要给每个卷或者每个目录都设置不同的权限，一旦发生了网络安全事故，也可以把损失降到最低。当然，也可以把网站的数据分布在不同的服务器上，使之成为一个服务器群，每个服务器都拥有不同的用户名和密码并提供不同的服务，这样做的安全性更高。不过愿意这样做的人都有一个特点----有钱:)。好了，言归正传，该服务器的数据库为MS-SQL，MS-SQL的服务软件SQL2000安装在d:\ms-sqlserver2K目录下，给SA账户设置好了足够强度的密码，安装好了SP3补丁。为了方便网页制作员对网页进行管理，该网站还开通了FTP服务，FTP服务软件使用的是SERV-U 5.1.0.0，安装在d:\ftpservice\serv-u目录下。杀毒软件和防火墙用的分别是Norton Antivirus和BlackICE,路径分别为d:\nortonAV和d:\firewall\blackice,病毒库已经升级到最新，防火墙规则库定义只有80端口和21端口对外开放。网站的内容是采用动网7.0的论坛,网站程序在e:\www\bbs下。细心的读者可能已经注意到了，安装这些服务软件的路径我都没有采用默认的路径或者是仅仅更改盘符的默认路径，这也是安全上的需要，因为一个黑客如果通过某些途径进入了你的服务器，但并没有获得管理员权限，他首先做的事情将是查看你开放了哪些服务以及安装了哪些软件，因为他需要通过这些来提升他的权限。一个难以猜解的路径加上好的权限设置将把他阻挡在外。相信经过这样配置的WEB服务器已经足够抵挡大部分学艺不精的黑客了。读者可能又会问了：“这根本没用到权限设置嘛！我把其他都安全工作都做好了，权限设置还有必要吗？”当然有！智者千虑还必有一失呢，就算你现在已经把系统安全做的完美无缺，你也要知道新的安全漏洞总是在被不断的发现。权限将是你的最后一道防线！那我们现在就来对这台没有经过任何权限设置，全部采用Windows默认权限的服务器进行一次模拟攻击，看看其是否真的固若金汤。
假设服务器外网域名为，用扫描软件对其进行扫描后发现开放WWW和FTP服务，并发现其服务软件使用的是IIS 5.0和Serv-u 5.1，用一些针对他们的溢出工具后发现无效，遂放弃直接远程溢出的想法。打开网站页面，发现使用的是动网的论坛系统，于是在其域名后面加个/upfile.asp，发现有文件上传漏洞，便抓包，把修改过的ASP木马用NC提交，提示上传成功，成功得到WEBSHELL，打开刚刚上传的ASP木马，发现有MS-SQL、Norton Antivirus和BlackICE在运行，判断是防火墙上做了限制，把SQL服务端口屏蔽了。通过ASP木马查看到了Norton Antivirus和BlackICE的PID，又通过ASP木马上传了一个能杀掉进程的文件，运行后杀掉了Norton Antivirus和BlackICE。再扫描，发现1433端口开放了，到此，便有很多种途径获得管理员权限了，可以查看网站目录下的conn.asp得到SQL的用户名密码，再登陆进SQL执行添加用户，提管理员权限。也可以抓SERV-U下的ServUDaemon.ini修改后上传，得到系统管理员权限。还可以传本地溢出SERV-U的工具直接添加用户到Administrators等等。大家可以看到，一旦黑客找到了切入点，在没有权限限制的情况下，黑客将一帆风顺的取得管理员权限。
那我们现在就来看看Windows 2000的默认权限设置到底是怎样的。对于各个卷的根目录，默认给了Everyone组完全控制权。这意味着任何进入电脑的用户将不受限制的在这些根目录中为所欲为。系统卷下有三个目录比较特殊，系统默认给了他们有限制的权限，这三个目录是Documents and settings、Program files和Winnt。对于Documents and settings，默认的权限是这样分配的：Administrators拥有完全控制权；Everyone拥有读运，列和读权限；Power users拥有读运，列和读权限；SYSTEM同Administrators;Users拥有读运，列和读权限。对于Program files，Administrators拥有完全控制权；Creator owner拥有特殊权限;Power users有完全控制权;SYSTEM同Admin
简述信息包筛选的工作原理
包过滤是在IP层实现的，因此，它可以只用路由器完成。包过滤根据包的源IP地址、目的IP地址、源端口、目的端口及包传递方向等报头信息来判断是否允许包通过。过滤用户定义的内容，如IP地址。其工作原理是系统在网络层检查数据包，与应用层无关，包过滤器的应用非常广泛，因为CPU用来处理包过滤的时间可以忽略不计。而且这种防护措施对用户透明，合法用户在进出网络时，根本感觉不到它的存在，使用起来很方便。这样系统就具有很好的传输性能，易扩展。但是这种防火墙不太安全，因为系统对应用层信息无感知——也就是说，它们不理解通信的内容，不能在用户级别上进行过滤，即不能识别不同的用户和防止IP地址的盗用。如果攻击者把自己主机的IP地址设成一个合法主机的IP地址，就可以很轻易地通过包过滤器，这样更容易被黑客攻破。 基于这种工作机制，包过滤防火墙有以下缺陷：
通信信息：包过滤防火墙只能访问部分数据包的头信息；
通信和应用状态信息：包过滤防火墙是无状态的，所以它不可能保存来自于通信和应用的状态信息；
信息处理：包过滤防火墙处理信息的能力是有限的。
比如针对微软IIS漏洞的Unicode攻击，因为这种攻击是走的防火墙所允许的80端口，而包过滤的防火墙无法对数据包内容进行核查，因此此时防火墙等同于虚设，未打相应patch的提供web服务的系统，即使在防火墙的屏障之后，也会被攻击者轻松拿下超级用户的权限。
如何防止黑客进行ICMP和TCP等扫描（不包括端口筛选和防护墙的其他方法）
想不被扫描除非你不上网
漏洞补全，系统管理帐户设置密码 不用的端口 关闭 关闭没用的系统服务 基本上就安全了！
就是扫描你，也无法下手
