<![CDATA[woaiwojiacp.bokee.com]]>

<![CDATA[woaiwojiacp.bokee.com]]> zh_cn Tue,21 Feb 2006 12:35:44 CST Sat,06 May 2006 09:32:45 CST http://www.bokee.com http://reg.bokee.com/account/web/img/logo.gif 博客网 http://www.bokee.com 您好，欢迎访问yunle110.bokee.com <![CDATA[加密三剑客SSL、SET和PGP]]> .html
　　■SSL（Secure Socket Layer）

　　SSL协议是由Netscape首先发表的网络资料安全传输协定,其首要目的是在两个通信间提供秘密而可靠的连接。该协议由两层组成，底层是建立在可靠的传输协议（例如：TCP）上的是SSL的记录层，用来封装高层的协议。SSL握手协议准许服务器端与客户端在开始传输数据前，能够通过特定的加密算法相互鉴别。SSL的先进之处在于它是一个独立的应用协议，其它更高层协议能够建立在SSL协议上。

　　目前大部分的Web Server及Browser大多支持SSL的资料加密传输协定。因此，可以利用这个功能，将部分具有机密性质的网页设定在加密的传输模式，如此即可避免资料在网络上传送时被其他人窃听。

　　SSL是利用公开密钥的加密技术（RSA）来作为用户端与主机端在传送机密资料时的加密通讯协定。目前，大部分的Web Server及Browser都广泛使用SSL 技术。

　　对消费者而言，SSL已经解决了大部分的问题。但是，对电子商务而言问题并没有完全解决，因为SSL只做能到资料保密，厂商无法确定是谁填下了这份资料，即使这一点做到了，还有和银行清算的问题。

　　■SET（Secure Electronic Transaction）

　　SET是IBM、信用卡国际组织（VISA/MasterCard）以及相关厂商针对网络电子交易共同制定的安全协议，它运用了RSA安全的公钥加密技术，具有资料保密性、资料完整性、资料来源可辨识性及不可否认性，是用来保护消费者在Internet持卡付款交易安全中的标准。SET 1.0版于1997年6月正式问世。现在，SET已成为国际上所公认的在Internet电子商业交易中的安全标准。

　　SET协议用在安全电子银行卡的支付系统中，使用客户端的浏览器，应用于从商业站点到商业银行中。网上银行使用已经存在的程序和设备通过确认信用卡，清算客户银行户头完成交易。SET协议则通过隐藏信用卡号来保证整个支付过程的安全。所以，SET必须保证信用卡持有者与银行在现存系统和网络上，能够保持持续的联系。SET协议为在不同的系统中使用信用卡创建了一套完整的解决办法。可靠的身份验证使SET成为一个非常好的在线支付系统。它使交易中每个合法参与者能够拥有一个合理的身份，而对持卡者的身份验证是由银行来进行的。当然这其中还包括其它服务，比如：身份认证、客户服务等。这是建立另外一个可靠的用户连接的方法。同时可以方便在发生纠纷时进行仲裁。

　　SET与SSL都是做消费者的认证工作的，也就是说不仅全球数据网购物站需要在认证单位进行认证，消费者也必须从认证机构获取认证。

　　SET是由Electronic Wallet（电子钱包）、Merchant Server（商店端服务机）、Payment Gateway（付款转接站）和Certification Authority（认证中心）组成的，它们构成了Internet 上符合SET标准的信用卡授权交易。

　　一般来说，在开放式网络上进行金融交易以SSL及SET交易协定为主，其中又以 SET被国际公认为最安全的。有鉴于此，VISA/MASTER在1997年6月提出了名为电子交易（SET：Secure Electronic Transaction）的网络交易安全规格，这个规格基本上也是利用与SSL同样的大数值编码技术，来保证资料保密与使用者认证的工作。

　　目前信用卡的安全交易标准SET仍在进行前期建设。在该系统尚未正式运作前，消费者在网络上利用信用卡进行购物时，仍须承担信用卡资料被盗用的风险。

　　敏感性资料在传递过程中被窃听，交易资料在传递过程中被篡改，交易的双方身份被假冒，完全相同的订单重复送出，这些问题即使对于目前SET安全交易标准来说仍旧有一定困难。利用WWW给用户提供机密性的资料时更多的会使用User Profile、SSL或CA，以避免资料在网络上传送时被其他人窃听。

　　■PGP（Pretty Good Privacy）

　　目前，还有一种非常好的连接网络与桌面的安全方法，PGP（Pretty Good Privacy）。

　　PGP是一个公钥加密程序，与以前的加密方法不同的是PGP公钥加密的信息只能用私钥解密。在传统的加密方法中，通常一个密钥既能加密也能解密。那么在开始传输数据前，如何通过一个不安全的信道传输密钥呢？使用PGP公钥加密法，你可以广泛传播公钥，同时安全地保存好私钥。由于只有你可拥有私钥，所以，任何人都可以用你的公钥加密写给你的信息，而不用担心信息被窃听。

　　使用PGP的另一个好处是可以在文档中使用数字签名。一个使用私钥加密的密钥只能用公钥解密。这样，如果人们阅读用你的公钥解密后的文件，他们就会确定只有你才能写出这个文件。

　　目前最新版本的PGP 2.6.3是美国和加拿大使用的版本，PGP 2.6.3i是一般Internet上使用的，它可以从www.pgpi.org下载。

　　PGP是一个软件加密程序，用户可以使用它在不安全的通信链路上创建安全的消息和通信。PGP协议已经成为公钥加密技术和全球范围消息安全性的事实标准。因为所有人都能看到它的源代码，从而查找出故障和安全性漏洞，所有的故障和漏洞都在发现后被改正了。
]]> Sat,06 May 2006 09:32:45 CST 0 <![CDATA[浅谈数据完整性与网络的安全性]]> .html
一、数据完整性

在由PC、工作站、服务器、中型机和主机系统所组成的分布式计算环境上得到数据的完整性已变得越来越难。我想将数据完整性问题的种类作一说明。其所受到的威胁是多方面的，在种类上主要有：人类的威胁、硬件故障、网络故障和逻辑问题。

二、人类的威胁

　　网络中最薄弱的环节就是使用它的人。人类易犯错的天性是许多难以解释的错误得以发生的永不枯竭的源泉。比如误删的一小块数据就会使网络管理员们度过一个忙着恢复数据的不眠之夜。

1) 意外事故比如你把黑听成了白，你想按Cancel但却按成了OK，以及上面所提到的例子那样误删了哪个文件但恢复后的文件少了几簇，你却毫不在意。

2) 缺乏经验（我又能怎么办？）

3) 压力、恐慌这虽然是常事，但你只能（必须）学会该怎样面对它。

4) 蓄意报复有些不怀好意的人为了报复你而从远方的一台PC登录到你的服务器上并开始删除你的数据（你该好好想想你得罪了谁）......

5) 硬件故障人并非是永不犯错的，任何高性能的机器都不可能长久地运行下去，包括计算机部件。

6) 磁盘故障在计算机运行过程中最常见的问题就是磁盘故障。硬盘是一种相当重要的设备，用户都希望它能像钟表那样准确地运行。哦！朋友，千万不要盲目地相信平均无故障时间（MTBF，Mean Time Between Failiure），因为那是制造商由于市场的压力而倾向于对产品的质量夸大其词。相反，你应该在出现问题之前作好更换硬盘的准备；最好的办法还是使用内置冗余度的RAID（Redundant Array of Inexpensive Disks，廉价冗余磁盘阵列）子系统来对付磁盘故障。

7） I/O控制器故障很少有什么东西像偶尔发生一些写错误的磁盘控制器那样，对数据的完整性构成潜在的损坏作用。磁盘坏了可以修复；而控制器故障发生时被写到磁盘上的数据已经被破坏，但你却无可奈何，再无法修复数据。控制器故障虽不常发生，但它的确会发生，最好的解决办法就是使用双联磁盘。

8）电源故障电源故障又分两种：（1）电源输入故障。（2）系统内部电源故障。由于系统停电是不可预料的，因而不论处在哪种情况下数据受到损毁都是有可能的，因此服务器安装电源调节设备以及后备电池系统都是明智之举。

9）存储器故障 RAM芯片会不时地出错，此乃?射线或是RAM晶元受到了腐蚀，甚至是强大的电磁场，所以对你帮助最大的恐怕是具有奇偶校验并带ECC的RAM芯片了。

10）介质、设备和其它备份故障数据存储在可移动介质上用来备份，恢复工作则包括数据的拷贝。如果服务器出错、被毁，则存储设备或其使用的介质的任何错误都会导致数据的丢失。

11）芯片和主板的故障也许你还记得1994年Intel Pentium处理器芯片的除法运算存在着严重缺陷。所以说CPU存在错误，那么主板也有可能出现错误，随你想到的是什么，都会出错。不论你生产什么，越复杂的东东就越会出错。

三、网络故障

　　数据在计算机上飞速传输。电信号便在其中产生，并被送到被称为网络的东东上。用来传送信号的线缆暴露在干扰和物理损伤再内的多种威胁中。

1）网络接口卡和驱动程序问题网络接口卡和控制它的驱动程序实际是密不可分的。把它们看成计算机内部硬件的同时，把它们看成是网络部件也是应该的。网络接口卡会出错，而驱动程序则可能会出更严重的错误。一般情况下，网络接口卡、驱动程序故障并不会损害数据，它们仅仅使用户无法访问数据。

2）网络连接问题

3）辐射问题

四、逻辑问题

软件同样会对数据产生影响。

1）软件错误软件的错误通常与应用程序的逻辑有关，然而却没有任何软件开发机构有能力测试软件使用中的每一种可能性。

2）文件损坏一些网络的或物理的问题会导致文件损坏。文件也可能由于系统控制或应用逻辑中的一些缺陷而招致损坏，而被损坏的文件自己又被其它的过程用来创建数据，因而生成的新数据也是错的。

3）数据交换错误在应用程序之间交换数据是常事。当文件转换过程生成的新文件不具有正确的格式是非常令人讨厌的。每当数据在各种处理器（如字处理器）之间转换时，数据的完整性就要经受考验了。

4）容量错误用户关心与系统容量有关的导致出错的原因，如内存。每当系统变得臃肿时，系统就要进行很多的调整来适应这种情况。最终机器将用尽所有的内存，这时候无论发生什么，都只能任其摆布了。

5）操作系统错误还记得Windows9x中的那可怕的蓝色对话框吗？所有操作系统都有错，要使系统开发者相信这一点，则是对坚强意志的考验。如果你的操作系统频频报错，你还不如把你的计算机砸掉，回到古老的汇编语言时代！

6）不恰当的需求如果软件需求报告没有正确地描述用户所需要做的工作，系统只能呆在那里生成一堆无用的数据。如果出错检查代码未能发现这一问题，程序就会产生错误的数据。

五、灾难

　　这里主要包括天灾，如火灾、水灾、风暴；人灾，如工业事故以及蓄意破坏（或恐怖组织）的破坏等。

六、安全

　　安全的实质是能被利用或用来对数据进行未授权访问的状态或行为。

七、安全威胁

　　网络的安全威胁是富有挑战的。各种各样的操作系统使得一样的安全措施变得不可能。

　　对于网络的安全威胁主要有：物理威胁、线缆连接、身份鉴别、编程和系统漏洞。

八、物理威胁

　　对于物理安全是一个非常简单的概念：不要让别人拿到或看到你的东西。根据定义来看这里主要有偷窃、间谍活动以及身份的错误。显然后者会对数据产生巨大的威胁，其原因是能使系统产生身份错误的人知道他要在系统上做什么、找什么。

九、线缆连接

　　网络的使用对数据造成了新的安全威胁。主要是别人通过远程拨号来访问你的网络，特别是他想对你的网络做些什么手脚。

十、身份鉴别

身份鉴别是指计算机决定你是否有权在服务器上要求或提供一些服务的过程。如果没有身份鉴别，网络就不会有安全。

十一、编程

1）病毒病毒是（我想我不用在说下去了）......比如臭名鼎鼎的Internet蠕虫病毒。

2）代码炸弹具有杀伤力的病毒是代码炸弹。代码炸弹的原理是到了设定的日期或钟点或在计算机上发生了某种操作步骤，代码炸弹就被触发开始爆炸了。

3）特洛伊木马特洛伊木马是包括病毒、代码炸弹、蠕虫和诸如此类的恶意代码的统称。特洛伊木马通常会毁坏数据，有时它会伪装成你的系统上已有的程序，有时它创建新的用户名和口令。

4）更新和下载与特洛伊木马不同，有些人喜欢你的数据，他就会通过你的Modem闯入你的系统......（你要小心点儿）

十二、系统漏洞

系统漏洞通常是操作系统开发者有意设置的，这样他们就能进入用户的系统。而有些心怀不轨的人就通过系统漏洞进行破坏行动。

十三、提高数据完整性的方法

1）备份它是用来恢复出错系统的通用办法。

2）镜像技术它能将数据完全地拷贝到另一台计算机上。

3）奇偶校验它能提供一种监视机制来保证不可预测的内存出错。

4）电源虽然不如上面的重要，但没有电也不行，所以最好还是加UPS。

5）系统安全程序它能使得一些心怀不轨的人远离你的系统。

十四、减少安全威胁的方法

1）修补系统漏洞

2）病毒检查买几个杀毒软件，定期清毒。

3）直接安全当你工作时，不应有闲杂人员在场。

4）空闲机器对于空闲机器应运行屏幕保护程序，并将键盘锁住。

5）废品处理对于废品，其中可能包含重要的东西，所以要撕碎、消磁。

6）口令对于网络管理者应定时更换登录口令。

7）加密加密就是对数据重新编码。

8）执行身份鉴别它能有效地保证会话过程的人或程序有合法的访问权，并且它是重要的。

9） Internet防火墙它能帮你防止网络黑客。

10）捕捉闯入者通过程序查出黑客的位置。

网络是个大千世界，地球上的人也很多，什么样的人都有，但愿你的系统在你的保护下不在受别人的攻击，你的数据永保完整......
]]> Sat,06 May 2006 09:32:17 CST 0 <![CDATA[探究安全的利器攻击检测技术]]> .html
　　■ 一场发生在机器与人之间的战争

　　攻击检测是用来发现外部攻击或合法用户滥用特权的一种方法。它是根据用户的历史行为，基于用户的当前操作，完成对攻击的决策并记录下攻击证据，为数据恢复与事故处理提供依据。攻击检测过程是一个机器（检测工具）与人（黑客）对抗的决策分析过程，其技术基础是基于知识的智能推理，可以采用冗余知识和冗余推理方法的信息融合技术来提高攻击检测率。

　　图1 实时攻击检测的功能原理图

　　图2事后攻击检测的功能原理图

　　攻击检测可分为实时攻击检测和事后攻击检测两种，如图1、2所示。实时攻击检测在网络连接过程中进行，系统根据用户的历史行为模型、存储在计算机中的专家知识以及神经网络模型对用户当前的操作进行判断，一旦发现攻击迹象就立即断开攻击者与主机的连接，并收集证据和实施数据恢复，这个检测过程是不断循环进行的；事后攻击检测由网络管理人员进行，他们根据计算机系统对用户操作所做的历史审计记录判断用户是否具有攻击行为，如果有就断开连接，记录入侵证据并进行数据恢复。事后攻击检测是管理员定期或不定期进行的，不具有实时性，因此防御攻击的能力不如实时攻击检测系统强。

　　■ 攻击检测的四种方法

　　方法一：基于用户行为概率统计模型的攻击检测

　　这种攻击检测方法是基于对用户历史行为以及在早期的证据或模型的基础上进行的，由审计系统实时地检测用户对系统的使用情况，根据系统内部保存的用户行为概率统计模型进行检测。当发现有可疑的行为发生时，保持跟踪并监测、记录该用户的行为。系统要根据每个用户以前的历史行为，生成每个用户的历史行为记录库，当用户改变他们的行为习惯时，这种异常就会被检测出来。这种方法主要有两个缺点：一，对于非常复杂的用户行为很难建立一个准确匹配的统计模型；二，统计模型没有普遍性，因此一个用户的检测措施并不适用于另一用户，使得算法庞大且复杂。

　　方法二：基于神经网络的攻击检测

　　这种方法是利用神经网络技术来进行攻击检测的，它对于用户行为具有学习和自适应性，能够根据实际检测到的信息有效地加以处理并做出判断，这样就有效地避免了基于统计模型的检测方法的缺点。到现在为止，这种攻击检测方法还不太成熟。

　　方法三：基于专家系统的攻击检测

　　它是根据安全专家对可疑行为的分析经验来形成的一套推理规则，然后在此基础上建立相应的专家系统。专家系统自动进行对所涉及的攻击行为的分析工作。由于这类系统的推理规则一般都是根据已知的安全漏洞进行安排和策划的，因此对于来自于未知漏洞的攻击威胁通常就难以应付了。专家系统对历史数据的依赖性总的来说比基于统计模型的检测方法要少，因此系统的适应性比较强，可以较灵活地适应广谱形的安全策略和检测需求。

　　方法四：基于模型推理的攻击检测

　　它是根据攻击者在进行攻击时所执行的某些行为程序的特征，建立一种攻击行为模型，根据这种行为模型所代表的攻击意图的行为特征来判断是否属于攻击行为。如果某种攻击模型建立了，系统还要提供证据来证实攻击行为确实发生了，以此来减少错报和漏报的可能。

　　以上几种方法每一种都不能保证准确地检测出变化无穷的攻击行为，甚至有些攻击行为就是根据某种检测方法本身的漏洞而实施的。因此，在网络安全防护中需要充分衡量各种方法的利弊，综合运用，才能有效地检测出攻击者的非法行为。

　　■ 攻击检测的六大功能

　　攻击检测系统是通过收集网络中的有关信息和数据，对其进行分析发现隐藏在其中的攻击者的足迹，并获取攻击证据和制止攻击者的行为，最后进行数据恢复。总地来讲，攻击检测系统的功能有以下六种：

　　1．监视用户和系统的运行状况，查找非法用户和合法用户的越权操作；

　　2．检测系统配置的正确性和安全漏洞，并提示管理员修补漏洞；

　　3．对用户非正常活动的统计分析，发现攻击行为的规律；

　　4．检查系统程序和数据的一致性和正确性，如计算和比较文件系统的校验和；

　　5．能够实时对检测到的攻击行为并进行反应；

　　6．操作系统的审计跟踪管理。

　　图3 攻击检测系统的功能

　　根据以上攻击检测系统的功能，可以把它的功能结构分为两大部分：中心检测平台和代理服务器。代理服务器是负责从各个操作系统中采集审计数据，并把审计数据转换成与平台无关的格式后传送到中心检测平台，或者把中心平台的审计数据需求传送到各个操作系统中；中心检测平台由专家系统、知识库和管理员组成，其功能是根据代理服务器采集来的审计数据进行专家系统分析，产生系统安全报告。管理员可以向各个主机提供安全管理功能，根据专家系统的分析向各个代理服务器发出审计数据的需求。另外，在中心检测平台和代理服务器之间通过安全的RPC进行通信。

--------------------------------------------------------------------------------
　　小资料：攻击检测发展简史

　　攻击检测技术自80年代提出以来得到了极大的发展，国外一些研究机构已经开发出了应用于不同操作系统的几种典型的攻击检测系统（IDS）。典型的IDS通常采用静态异常模型和规则的误用模型来检测入侵，这些IDS的检测基本是基于服务器或网络的。基于服务器的IDS采用服务器操作系统的检测序列作为主要输入源来检测入侵行为，而大多数基于网络的IDS则以监控网络故障作为检测机制，但有些则用基于服务器的检测模式和典型的IDS静态异常算法。

　　早期的IDS模型设计用来监控单一服务器，是基于主机的攻击检测系统，然而近期的更多模型则集中用于监控通过网络互连的多服务器，是基于网络的侵入检测系统。

　　早期的基于主机的攻击检测系统一般利用OS的审计轨迹作为输入的主要来源来检测侵入。典型的系统有：ComputerWatch，Discovery，HAYSTACK，IDES（入侵检测专家系统），ISOA（信息安全管理员助手），MIDAS（多种侵入检测及警报系统）和Los Alamos国家实验室开发的异常检测系统W&S。

　　现在的攻击检测系统更多的是对许多互联在网络上的主机的监视。典型的系统有为Los Alamos国家实验室的集成计算机网络设计的网络异常检测和侵入报告系统NADIR，这是一个自动专家系统；加利福尼亚大学的NSM系统，它是通过广播LAN上的信息流量来检测入侵行为；分布式入侵检测系统DIDS等。
]]> Sat,06 May 2006 09:30:28 CST 0 <![CDATA[给网络信息加个密]]> .html
　　加密和认证

　　加密是把称为“明文”的可读信息转换成“密文”，即不可读信息的过程；解密则是把已加密的信息恢复成“明文”的过程。加密和解密使用密码算法来完成这些工作。密码算法是用于隐藏和显露信息的可计算过程，算法越复杂，结果密文就越安全。在加密技术中，密钥是不可缺少的。密钥是使密码算法按照一种特定方式运行并产生特定密文的值。密钥越大，结果密文越安全。

　　加密是为了保护数据的安全，但也可用作几乎相反的用途——认证。认证是信息安全的一个重要方面。它主要包括用户认证和信息认证两个方面。前者用于鉴别用户身份，后者用于保证通信双方的不可抵赖性和信息的完整性。

　　加密算法

　　加密通信的一般模型如图1所示。密码技术按其密钥（Ke，Kd）管理的方式分为公钥密码体制（Ke≠Kd）和私钥密码体制（Ke=Kd）（也称为非对称密码体制和对称密码体制）。

　　图1 加密通信的一般模型

　　最著名的私钥密码体制是DES（Data Encryption Standard）。DES是由IBM公司开发的数据加密算法，它的核心是乘积变换。美国于1997年1月将其定为非机密数据的正式数据加密标准。它可有效地防止穷尽搜索攻击。还有一些其他常用的私钥加密算法，如3DES、IDEA等。

　　采用私钥密码体制加密的信息，其安全性有赖于密钥的保密性，因而密钥的秘密分配和安全管理成了私钥密码体制最重要的问题。针对这一问题，美国的M.E.Hallman、W.Diffie和 R.Merkle于1976年提出了“公开密钥体系”（Public Key System）。此后人们相继提出了一些具体实现方案，其中最著名的是由美国MIT的Rivset、Shemir、Adleman 于1977年实现的RSA算法。RSA算法的优点是大大简化了密钥管理，但也存在一些缺点。例如，公开密钥很有可能被攻击者私自改为自己的公钥，从而轻易获得被攻击对象的一切信息。

　　公钥密码体制和私钥密码体制各有其优缺点，因此在使用中大都采用这两种密码体制相结合的方法。一般是在对密钥的传输中使用公钥加密体制，而在文件的加密过程中使用私钥加密体制。这种结合不仅有效地保护了密钥，同时也保护了密文，效率得到了很大的提高。

　　加密和认证的作用

　　在网络中使用加密算法主要可保护下面几个方面的安全：

　　* 私有通信

　　计算机中加密技术最常用于保护计算机用户之间和通信设备之间的通信。如在网络上传输电子邮件时，在发送邮件之前将电子邮件信息加密而接收到这封邮件时通过软件包或一个外部程序来解密这个信息，从而保证邮件内容不被窃取。

　　* 保护存储文件

　　加密不只是仅仅在通信中使用，它也可以来保护存储文件，如硬盘中的文件、数据等。

　　* 用户和计算机的身份认证

　　计算机使用加密来对用户的身份及信息进行认证，如用户的登录身份认证、数字签名和数字凭证等。

　　* 安全口令交换

　　当你登录到你的网络文件服务器或连接到你的因特网服务供应商时，你要提供你的用户名和口令。这两部分信息控制着你对网络的访问，并代表你在网络上的身份，必须保证不被偷听。大部分操作系统都通过将用户名和口令进行加密的方法来保证安全。
]]> Sat,06 May 2006 09:29:45 CST 0 <![CDATA[与黑客过招如何给自己的网络设防]]> .html
　　企业要建立自己的计算机安全系统，也应根据自己单位的实际情况来选择安全级别，选择相应的软硬件设施和资金投入。对于已经建立了企业内部网络的用户，根据其在Internet上开展业务量的多少，分三种情况详细说明。

　　一、未连接Internet
　　这类单位只需要建立初级的计算机网络安全系统，主要包括以下几点：

　　1．选好系统管理员。这是最后的防线，如果系统管理员也成了黑客，那损失就不可避免了。

　　2．对系统管理员应有制度上的制约，以消除安全隐患。比如限制管理员的操作权限，对管理员的行动进行监控等。

　　3．对计算机操作人员必须明确具体的权限，每个人的密码应进行定期或不定期的修改，口令最好由数字和字母混合组成，并尽量用足规定的字符长度。

　　4．防止病毒入侵系统。严格限制外来盘片的使用，应该备有经国家计算机安全产品检测中心检测合格的杀病毒软件，发现可疑情况及时查杀病毒。

　　5．加强机房管理，严格限制外来人员进入机房使用计算机。

　　二、偶尔使用Internet
　　这类单位的特点是：每天需要查阅几个固定站点的信息，如报刊杂志，股票行情以及本行业的相关站点。这些单位除了应该做到上述五点要求以外，还应采取下列措施：

　　1．建立代理服务器，每天由专人负责定时接收这些固定站点的信息，接收完毕就立即与国际互联网断开。进行接收时，代理服务器最好脱离开企业内部网。

　　2．在企业内部网中，尤其是服务器上，应尽量使用高版本的操作系统软件如UNIX Open Server 5．0．4，Windows NT 4．0等。对操作系统的安全级别应使用系统软件所能提供的最高级。

　　三、大量使用Internet
　　这类企业的特点是：要在国际互联网上实时地处理业务，所以会遇到各种复杂情况。这类企业除了练好上述两类企业的基本功以外，还应该做到以下几点（说明：以下的条目中，有些漏洞在高版本的操作系统中已经消除。）：

　　1．必须认真设置操作系统：值得注意的是，操作系统的许多缺省值都已被黑客利用来作为入侵系统的突破口，所以，尽量不要使用系统缺省值。具体地说，主要注意以下几点：

　　（1）改变Administrator账户的名字，为系统管理员和备份操作员创建特殊账户。使黑客猜不到系统管理员和备份操作员的账户名。禁止所有具有Administrator和备份特权的账户浏览Web，以防黑客网上即时侦听。不要设置缺省的Guest账户。

　　（2）确保％system％\reparir\sam．—在每次ERD更新后，对所有人不可读。因为，Windows NT把用户信息和加密口令保存于NT Registry中的SAM文件中，即安全账户管理（Security Accounts Management）数据库。

　　（3）限制远程管理员访问NT平台。因为任何一个用户都可以在命令行下，键入\\IPaddress\C＄（或者\\IPaddress\D＄，\\IPaddress\WINNT＄）试图连接任意一个NT平台上管理系统的共享资源。

　　（4）在域控制器上，修改Registry中Winlogon的设置为“OFF”。以免Windows NT在注册对话框中显示最近一次注册的用户名，给潜在的黑客提供信息。

　　（5）严格限制NT域中Windows NT工作站上的管理员特权，决不用缺省值。因为任何人可能通过访问内存来获取加密的口令，以获得缺省管理员的访问权。

　　（6）对于注册表Registry，严格限制为只可进行本地注册，不可远程访问。因为，Registry的缺省权限设置是对“所有人”“安全控制”（Full Control）和“创建”（Create）。这种设置可能引起Registry文件的删除或者替换。

　　（7）对关键目录，应改变其缺省权限为“读”。缺省权限设置允许“所有人”对关键目录具有“变更”级的访问权。其中，“关键目录”包括：每个NTFS卷的根目录，System32目录，以及Win32App目录。

　　（8）在赋予打印操作员权限时，要限制人数。因为打印操作员组中的任何一个成员对打印驱动程序具有系统级的访问权，这会被黑客利用来在打印驱动程序中插入恶意病毒。

　　（9）合理配置FTP，确保服务器必须验证所有FTP申请。因为FTP有一个设置选项，允许客户直接进入一个账户，使无需授权而访问用户的文件和文件夹成为可能。

　　2．加强计算机系统的保安工作：

　　（1）关闭系统管理员的远程能力，只允许他直接访问控制台。

　　（2）未经许可，不得重新安装WindowsNT软件。因为重新安装整个的操作系统，覆盖原来的系统，就可以获得Administrator特权。

　　3．对金融等安全性特别重要的系统应建立信息系统防火墙：

　　在防火墙上，应截止从端口135到142的所有TCP和UDP连接，这样有利于控制。最安全的方法是利用代理（Proxy）来限制或者完全拒绝网络上基于SMB的连接。SMB是指服务消息块（ServerMessageBlock）。SMB有很多尚未公开的“后门”，能不用授权就可以存取SAM和NT服务器上的其他文件。SMB协议允许远程访问共享目录，Registry数据库，以及其他一些系统服务。 ]]> Sat,06 May 2006 09:27:17 CST 0 <![CDATA[如何防范D.o.S 攻击]]> .html
　　从某种程度上可以说，D.o.S攻击永远不会消失而且从技术上目前没有非常根本的解决办法。

　　D.o.S技术严格的说只是一种破坏网络服务的技术方式，具体的实现多种多样，但都有一个共同点，就是其根本目的是使受害主机或网络失去及时接受处理外界请求，或无法及时回应外界请求。

　　D.o.S 攻击的具体表现方式主要有以下几种：

　　1、制造高流量无用数据，造成网络拥塞，使受害主机无法正常和外界通讯。

　　2、利用受害主机提供的服务或传输协议上的缺陷，反复高速的发出特定的服务请求，使受害主机无法及时处理所有正常请求。

　　3、利用受害主机所提供服务中处理数据上的缺陷，反复发送畸形数据引发服务程序错误大量占用系统资源，使主机处于假死状态甚至死机。

　　其中第一种攻击非常常见，它的攻击基础必须有几个条件：

　　1、高速包的产生。

　　2、被攻击主机的带宽无法承受高速包的攻击。

　　针对第一种方式，我们来看：在现在的互联网上的网站大多是高带宽的主机，从原理上来讲，单纯的通过直接发包攻击，几乎不可能引起任何阻塞。因为发起攻击的机器带宽可能远远低于这些主机，发出的攻击包只能是象小河的水流向大河一样，自然是波澜不惊了。但sumrf技术和D.o.S技术的出现使得非常容易的从低带宽主机上发起对高带宽主机的攻击了。在Yahoo受到攻击时，它最高时的数据流量大的惊人:1GB/秒。

　　如何来防止sumrf攻击呢？

　　一些高带宽网络的管理员应该关闭广播包的转发设置，以免被作为sumrf D.o.S攻击的反射板。具体做法以Cisco路由器为例：

　　1 、在每个端口应用no ip directed-broadcast

　　2 、在可能的情况下，使用访问控制列表，过滤掉所有目标地址为本网络广播地址的包；对于不提供穿透服务的网络，可以在出口路由器上过滤掉所有源地址不是本网地址的数据包。

　　对于重要网站主机，为了防御sumf D.o.S攻击可以合理的配置访问控制列表，过滤掉所有可能被利用的广播地址下子网的包。可定期去www.netscan.org去更新广播地址列表。

下面我们讲一讲另一种D.o.S攻击方式 D.o.S(Distributed Denial Of Service)分布式拒绝服务攻击。

　　分布式拒绝服务攻击是一种崭露头角的攻击方法，最早出现于1999年7月。当时还只是在黑客站点上进行的一种理论上的探讨。从2000年2月开始，这种攻击方法开始大行其道。在2月7日到11日的短短几天内，黑客连续攻击了包括Yahoo、Buy.com、eBay、Amazon、CNN等许多知名网站，致使有的站点停止服务达几个小时甚至几十个小时之久。它利用攻击者已经侵入并控制的主机（可能是数百，千台），对某一单机发起攻击。在悬殊的带宽力量对比下，被攻击的主机会很快失去反应。这种攻击方式被证实是非常有效的，而且非常难以抵挡。

　　从目前现有的技术角度来讲，还没有一项解决办法针对D.o.S非常有效。所以，防止D.o.S攻击的最佳手段就是防患于未然。也就是说，首先要保证一般的外围主机和服务器的安全，使攻击者无法获得大量的无关主机，从而无法发动有效攻击。一旦单位内部的主机或临近网络的主机被黑客侵入，那么其他的主机被侵入的危险会变得很大。同时，如果网络内部或邻近的主机被用来对本机进行D.o.S攻击，攻击的效果会更明显。所以，必须保证这些外围主机和网络的安全。尤其是那些拥有高带宽和高性能服务器的网络，往往是黑客的首选目标。保护这些主机最好的办法就是及时了解有关本操作系统的安全漏洞以及相应的安全措施。及时安装补丁程序并注意定期升级系统软件，以免给黑客以可乘之机。

　　当攻击发生后，如何检验出来哪些是攻击数据呢？虽然攻击者在传达攻击命令时或发送攻击数据时，都加入了伪装甚至加密，但是其数据包还是有一定特征可循的。最常见的办法是在数据流中搜寻特征字符串。例如在攻击服务器向攻击器发布的攻击命令中，会有特定的命令字符串。搜寻到这些字符串，则可以确定攻击服务器和攻击者的位置。

　　管理员还可以通过监视端口使用情况的办法来进行入侵监测。常见的D.o.S工具一般都会有自己特定的通讯方式。例如trin00程序通讯时，经常会用到一些特定端口，例如UDP 31335、UDP 27444、TCP 27665等。本地机中这些端口处于监听状态，则系统很可能已经受到了侵袭。即使黑客已经对端口的位置进行了一定的修改，但如果外部的主机主动向网络内部的高标号端口发起连接请求，则系统很有可能已经受到侵入。这种过程可以通过对防火墙进行设置来加以监测和过滤。另外，攻击时使用的数据包一般会有一些特征。例如，超长或畸形的ICMP或UDP包等。一般来说，这种包往往是用来进行拒绝服务攻击时才会产生。另外，如果发现数据包本身比较正常，但其中的数据比较特异，例如存在某种加密特性时，很可能是攻击控制器向攻击器所发布的攻击命令。

　　最后，可通过一些统计的方法来得到攻击来源。例如，在攻击之前，目标网络的域名服务器往往会接到远远超出正常数量的反向和正向的地址查询。这些查询往往意味着攻击的到来。还可以通过数据流量来判断。比如，在攻击时，攻击数据的来源地址会发出超出正常极限的数据量。这样，对通讯数据量进行统计也可以得到有关攻击系统的位置和数量的信息。
]]> Sat,06 May 2006 09:25:39 CST 0 <![CDATA[网站ASP漏洞小总结]]> .html 　　Win95+pws上运行ASP程序，只需在浏览器地址栏内多加一个小数点ASP程序就会被下载下来。

　　2. iis4的漏洞
　　iis4一个广为人知的漏洞是:$DATA，就是ASP的URL后多加这几个字符后，代码也可以被看到，使用IE的view source就能看到ASP代码。Win98+PWS4没有这个问题。

　　解决这个问题的办法有几种：一是将目录设置为不可读（ASP仍能执行），这样html文件就不能放在这个目录下，否则html不能浏览；二是安装微软提供的补丁程序；三是在服务器上安装ie4.01sp1。

　　3. 支持ASP的免费主页面临的问题
　　ASP1.0的例子里有一个文件用来查看ASP源代码，/ASPSamp/Samples/code.asp。如果有人把这个程序上传到网站上去了，他就可以查看别人的程序了。

　　既然ASP程序可以被人得到，别人就能轻而易举地知道你的数据库放在何处，网站的ACCESS数据库可能被人下载。

　　4.来自filesystemobject的威胁
　　iis4的ASP的文件操作可以通过file system object实现，包括文本文件的读写、目录操作、文件的拷贝改名删除等。利用filesystemobjet可以篡改下载FAT分区上的任何文件，即使是ntfs，如果权限没有设定好的话，同样也能破坏。网络管理员应该将web目录建在ntfs分区上，非web目录不要使用完全控制，而应该是网络管理员才可以完全控制。
]]> Sat,06 May 2006 09:24:27 CST 0 <![CDATA[网络端口安全防护技巧放送]]> .html
一、常用端口及其分类

　　电脑在Internet上相互通信需要使用TCP/IP协议，根据TCP/IP协议规定，电脑有256×256（65536）个端口，这些端口可分为TCP端口和UDP端口两种。如果按照端口号划分，它们又可以分为以下两大类：

1.系统保留端口（从0到1023）

　　这些端口不允许你使用，它们都有确切的定义，对应着因特网上常见的一些服务，每一个打开的此类端口，都代表一个系统服务，例如80端口就代表Web服务。21对应着FTP，25对应着SMTP、110对应着POP3等（如图1）。

2.动态端口（从1024到65535）

　　当你需要与别人通信时，Windows会从1024起，在本机上分配一个动态端口，如果1024端口未关闭，再需要端口时就会分配1025端口供你使用，依此类推。

　　但是有个别的系统服务会绑定在1024到49151的端口上，例如3389端口（远程终端服务）。从49152到65535这一段端口，通常没有捆绑系统服务，允许Windows动态分配给你使用。

二、如何查看本机开放了哪些端口

　　在默认状态下，Windows会打开很多“服务端口”，如果你想查看本机打开了哪些端口、有哪些电脑正在与本机连接，可以使用以下两种方法。

1.利用netstat命令

　　Windows提供了netstat命令，能够显示当前的 TCP/IP 网络连接情况，注意：只有安装了TCP/IP协议，才能使用netstat命令。

　　操作方法：单击“开始→程序→附件→命令提示符”，进入DOS窗口，输入命令 netstat -na 回车，于是就会显示本机连接情况及打开的端口，如图2。其中Local Address代表本机IP地址和打开的端口号（图中本机打开了135端口），Foreign Address是远程计算机IP地址和端口号，State表明当前TCP的连接状态，图中LISTENING是监听状态，表明本机正在打开135端口监听，等待远程电脑的连接。

　　如果你在DOS窗口中输入了netstat -nab命令，还将显示每个连接都是由哪些程序创建的。上图2中本机在135端口监听，就是由svchost.exe程序创建的，该程序一共调用了5个组件（WS2_32.dll、RPCRT4.dll、rpcss.dll、svchost.exe、ADVAPI32.dll）来完成创建工作。如果你发现本机打开了可疑的端口，就可以用该命令察看它调用了哪些组件，然后再检查各组件的创建时间和修改时间，如果发现异常，就可能是中了木马。

2.使用端口监视类软件

　　与netstat命令类似，端口监视类软件也能查看本机打开了哪些端口，这类软件非常多，著名的有Tcpview、Port Reporter、绿鹰PC万能精灵、网络端口查看器等，推荐你上网时启动Tcpview，密切监视本机端口连接情况，这样就能严防非法连接，确保自己的网络安全。

三、关闭本机不用的端口

　　默认情况下Windows有很多端口是开放的，一旦你上网，黑客可以通过这些端口连上你的电脑，因此你应该封闭这些端口。主要有：TCP139、445、593、1025 端口和 UDP123、137、138、445、1900端口、一些流行病毒的后门端口（如 TCP 2513、2745、3127、6129 端口），以及远程服务访问端口3389。关闭的方法是：

　　①137、138、139、445端口：它们都是为共享而开放的，你应该禁止别人共享你的机器，所以要把这些端口全部关闭，方法是：单击“开始→控制面板→系统→硬件→设备管理器”，单击“查看”菜单下的“显示隐藏的设备”，双击“非即插即用驱动程序”，找到并双击NetBios over Tcpip，在打开的“NetBios over Tcpip属性”窗口中，单击选中“常规”标签下的“不要使用这个设备（停用）”，如图3，单击“确定”按钮后重新启动后即可。

　　②关闭UDP123端口：单击“开始→设置→控制面板”，双击“管理工具→服务”，停止Windows Time服务即可。关闭UDP 123端口，可以防范某些蠕虫病毒。

　　③关闭UDP1900端口：在控制面板中双击“管理工具→服务”，停止SSDP Discovery Service 服务即可。关闭这个端口，可以防范DDoS攻击。

　　④其他端口：你可以用网络防火墙来关闭，或者在“控制面板”中，双击“管理工具→本地安全策略”，选中“IP 安全策略，在本地计算机”，创建 IP 安全策略来关闭。

四、重定向本机默认端口，保护系统安全

　　如果本机的默认端口不能关闭，你应该将它“重定向”。把该端口重定向到另一个地址，这样即可隐藏公认的默认端口，降低受破坏机率，保护系统安全。

　　例如你的电脑上开放了远程终端服务（Terminal Server）端口（默认是3389），可以将它重定向到另一个端口（例如1234），方法是：

1.在本机上（服务器端）修改

　　定位到下列两个注册表项，将其中的 PortNumber，全部改成自定义的端口（例如1234）即可：
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcp]
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp]

2.在客户端上修改

　　依次单击“开始→程序→附件→通讯→远程桌面连接”，打开“远程桌面连接”窗口，单击“选项”按钮扩展窗口，填写完相关参数后，单击“常规”下的“另存为”按钮，将该连接参数导出为.rdp文件。用记事本打开该文件，在文件最后添加一行：server port:i:1234 （这里填写你服务器自定义的端口）。以后，直接双击这个.rdp 文件即可连接到服务器的这个自定义端口了。

]]> Sat,06 May 2006 09:19:21 CST 0 <![CDATA[查找速度最快的QQ服务器登陆]]> .html 点击QQ面板上的“菜单”按钮，选择“系统参数”，在弹出的“QQ参数设置”窗口中单击“网络设置”标签卡，点击“服务器地址”下拉列表按钮，就会看到一系列QQ服务器地址名称。这些都是腾讯的登录服务器，但可惜的是QQ没有提供测试这些服务器连接速度的选项，所以我们就不知道这些服务器的连接速度哪个更快。其实，我们只要先记下每一个服务器的名字，如sz.tencent.com、sz2.tencent.com、sz3.tencent.com等，把它放到一个文本文件中，再用记事本打开，录入如下命令：

　　ping sz.tencent.com>sd.txt
　　ping sz2.tencent.com>>sd.txt
　　ping sz3.tencent.com>>sd.txt
　　ping sz4.tencent.com>>sd.txt
　　ping sz5.tencent.com>>sd.txt
　　ping sz6.tencent.com>>sd.txt
　　ping sz7.tencent.com>>sd.txt

　　完成后，再将此文件以“sd.bat”存盘。

　　联上因特网，在计算机中找到刚才建立的“sd.bat”文件，双击运行，过一会儿，你的计算机中就会生成一名为“sd.txt”的文件。

　　文件内容很多，但是我们只需要对比其中的“Average ＝”数值（平均连接速度）的大小，就可以找到与你的主机连接最快的QQ服务器。如本例测试中最慢的服务器（sz3.tencent.com）要比最快的服务器（sz.tencent.com）速度慢41%，可见选择一个好的服务器对提高网络连接速度还是相当重要的。另外，在此文件中Ping程序已经将这些QQ服务器的域名转换成了IP地址，如“sz.tencent.com”的IP地址就是“61.144.238.145”，如果你在QQ中直接使用这些服务器的IP地址，还可减少系统进行域名解释的时间，使连接速度更快。

　　找到了最快的服务器后，我们就要让QQ使用这个最快的服务器了，点击QQ面板上的“QQ2000”按钮，选择“系统参数”，在弹出的“QQ参数设置”窗口中单击“网络设置”标签卡，点击“服务器地址”输入框，输入“sz.tencent.com”服务器的IP地址“61.144.238.145”，然后点击“添加到列表”按钮，点击“确定”退出。退出QQ程序，重新进入，这时你就能快速登录上QQ服务器聊天了。
]]> Fri,03 Mar 2006 18:30:15 CST 0 <![CDATA[为Win2003服务器打造铜墙铁壁]]> .html
　　厉兵秣马先装“SCW”

　　大家都很清楚，Windows Server 2003系统为增强其安全性，默认情况下，很多服务组件是不被安装的，要想使用，必须手工安装。“SCW”功能也是一样，虽然你已经成功安装了补丁包SP1，但也需要手工安装“安全配置向导（SCW）”组件。

　　进入“控制面板”后，运行“添加或删除程序”，然后切换到“添加/删除Windows组件”页。下面在“Windows组件向导”对话框中选中“安全配置向导”选项，最后点击“下一步”按钮后，就能轻松完成“SCW”组件的安装。

　　安装过程就这么简单，接下来就能根据自身需要，利用“SCW”配置安全策略，增强Windows Server 2003服务器安全。

　　配置“安全策略” 原来如此“简单”

　　在Windows Server 2003服务器中，点击“开始→运行”后，在运行对话框中执行“SCW.exe”命令，就会弹出“安全配置向导”对话框，开始你的安全策略配置过程。当然你也可以进入“控制面板→管理工具”窗口后，执行“安全配置向导”快捷方式来启用“SCW”。

　　1．新建第一个“安全策略”

　　如果你是第一次使用“SCW”功能，首先要为Windows Server 2003服务器新建一个安全策略，安全策略信息是被保存在格式为XML 的文件中的，并且它的默认存储位置是“C:\WINDOWS\security\msscw\Policies”。因此一个Windows Server 2003系统可以根据不同需要，创建多个“安全策略”文件，并且还可以对安全策略文件进行修改，但一次只能应用其中一个安全策略。

　　在“欢迎使用安全配置向导”对话框中点击“下一步”按钮，进入到“配置操作”对话框，因为是第一次使用“SCW”，这里要选择“创建新的安全策略”单选项，点击“下一步”按钮，就开始配置安全策略。

　　2．轻松配置“角色”

　　首先进入“选择服务器”对话框，在“服务器”栏中输入要进行安全配置的Windows Server 2003服务器的机器名或IP地址，点击“下一步”按钮后，“安全配置向导”会处理安全配置数据库。

　　接着就进入到“基于角色的服务配置”对话框。在基于角色的服务配置中，可以对Windows Server 2003服务器角色、客户端角色、系统服务、应用程序，以及管理选项等内容进行配置。

　　所谓服务器“角色”，其实就是提供各种服务的Windows Server 2003服务器，如文件服务器、打印服务器、DNS服务器和DHCP服务器等，一个Windows Server 2003服务器可以只提供一种服务器“角色”，也可以扮演多种服务器角色。点击“下一步”按钮后，就进入到“选择服务器角色”配置对话框，这时需要在“服务器角色列表框”中勾选你的Windows Server 2003服务器所扮演的角色。

　　注意：为了保证服务器的安全，只勾选你所需要的服务器角色即可，选择多余的服务器角色选项，会增加Windows Server 2003系统的安全隐患。如笔者的Windows Server 2003服务器只是作为文件服务器使用，这时只要选择“文件服务器”选项即可。

　　进入“选择客户端功能”标签页，来配置Windows Server 2003服务器支持的“客户端功能”，其实Windows Server 2003服务器的客户端功能也很好理解，服务器在提供各种网络服务的同时，也需要一些客户端功能的支持才行，如Microsoft网络客户端、DHCP客户端和FTP客户端等。根据需要，在列表框中勾选你所需的客户端功能即可，同样，对于不需要的客户端功能选项，建议你一定要取消对它的选择。

　　接下来进入到“选择管理和其它选项”对话框，在这里选择你需要的一些Windows Server 2003系统提供的管理和服务功能，操作方法是一样的，只要在列表框中勾选你需要的管理选项即可。点击“下一步”后，还要配置一些Windows Server 2003系统的额外服务，这些额外服务一般都是第三方软件提供的服务。

　　然后进入到“处理未指定的服务”对话框，这里“未指定服务”是指，如果此安全策略文件被应用到其它Windows Server 2003服务器中，而这个服务器中提供的一些服务没有在安全配置数据库中列出，那么这些没被列出的服务该在什么状态下运行呢？在这里就可以指定它们的运行状态，建议大家选中“不更改此服务的启用模式”单选项。最后进入到“确认服务更改”对话框，对你的配置进行最终确认后，就完成了基于角色的服务配置。

　　3．配置网络安全

　　以上完成了基于角色的服务配置。但Windows Server 2003服务器包含的各种服务，都是通过某个或某些端口来提供服务内容的，为了保证服务器的安全，Windows防火墙默认是不会开放这些服务端口的。下面就可以通过“网络安全”配置向导开放各项服务所需的端口，这种向导化配置过程与手工配置Windows防火墙相比，更加简单、方便和安全。

　　在“网络安全”对话框中，要开放选中的服务器角色，Windows Server 2003系统提供的管理功能以及第三方软件提供的服务所使用的端口。点击“下一步”按钮后，在“打开端口并允许应用程序”对话框中开放所需的端口，如FTP服务器所需的“20和21”端口，IIS服务所需的“80”端口等，这里要切记“最小化”原则，只要在列表框中选择要必须开放的端口选项即可，最后确认端口配置，这里要注意：其它不需要使用的端口，建议大家不要开放，以免给Windows Server 2003服务器造成安全隐患。

　　4．注册表设置

　　Windows Server 2003服务器在网络中为用户提供各种服务，但用户与服务器的通信中很有可能包含“不怀好意”的访问，如黑客和病毒攻击。如何保证服务器的安全，最大限度地限制非法用户访问，通过“注册表设置”向导就能轻松实现。

　　利用注册表设置向导，修改Windows Server 2003服务器注册表中某些特殊的键值，来严格限制用户的访问权限。用户只要根据设置向导提示，以及服务器的服务需要，分别对“要求SMB安全签名”、“出站身份验证方法”、“入站身份验证方法”进行严格设置，就能最大限度保证Windows Server 2003服务器的安全运行，并且免去手工修改注册表的麻烦。

　　5．启用“审核策略”

　　聪明的网管会利用日志功能来分析服务器的运行状况，因此适当的启用审核策略是非常重要的。SCW功能也充分的考虑到这些，利用向导化的操作就能轻松启用审核策略。

　　在“系统审核策略”配置对话框中要合理选择审核目标，毕竟日志记录过多的事件会影响服务器的性能，因此建议用户选择“审核成功的操作”选项。当然如果有特殊需要，也可以选择其它选项。如“不审核”或“审核成功或不成功的操作”选项。

　　6．增强IIS安全

　　IIS服务器是网络中最为广泛应用的一种服务，也是Windows系统中最易受攻击的服务。如何来保证IIS服务器的安全运行，最大限度免受黑客和病毒的攻击，这也是SCW功能要解决的一个问题。利用“安全配置向导”可以轻松的增强IIS服务器的安全，保证其稳定、安全运行。

　　在“Internet信息服务”配置对话框中，通过配置向导，来选择你要启用的Web服务扩展、要保持的虚拟目录，以及设置匿名用户对内容文件的写权限。这样IIS服务器的安全性就大大增强。

　　小提示：如果你的Windows Server 2003服务器没有安装、运行IIS服务，则在SCW配置过程中不会出现IIS安全配置部分。

　　完成以上几步配置后，进入到保存安全策略对话框，首先在“安全策略文件名”对话框中为你配置的安全策略起个名字，最后在“应用安全策略”对话框中选择“现在应用”选项，使配置的安全策略立即生效。

　　利用SCW增强Windows Server 2003服务器的安全性能就这么简单，所有的参数配置都是通过向导化对话框完成的，免去了手工繁琐的配置过程，SCW功能的确是安全性和易用性有效的结合点。如果你的Windows Server 2003系统已经安装了SP1补丁包，不妨试试SCW吧！
]]> Fri,03 Mar 2006 18:27:04 CST 0 <![CDATA[新手保护IP地址五法]]> .html
　　停用网络连接服务法　　

　　大家知道，如果限制用户修改TCP/IP参数的话，那么这些用户即使修改IP地址，也无法使用新的IP地址，这样就失去了盗用IP的意义。而要成功限制用户随意修改TCP/IP参数，最直接的方法就是让用户无法打开TCP/IP参数设置窗口。要做到这一点，你可以采取停用系统“Network Connections”服务的方法，将TCP/IP参数设置窗口隐藏起来，这么一来用户就无法进入设置窗口，使用新的IP地址了。

　　首先单击“开始”菜单中的“运行”命令，在打开的系统运行对话框中，输入“services.msc”命令，单击“确定”按钮后，打开系统的服务列表界面，选中其中的“Network Connections”服务项目，并用鼠标右键单击之；　　

　　从弹出的快捷菜单中单击“属性”命令，打开如图1所示的服务属性设置界面，单击该界面中的“停用”按钮，同时将“启动类型”选为“已禁用”，再单击一下“确定”按钮；

500)this.width=500" border=0 dypop="按此在新窗口浏览图片">
此时你可以依次单击“开始”　“设置”　“网络和拨号连接”命令，在接着出现的窗口中，你就找不到“Internet连接”或“本地连接”图标，那么你自然也就无法进入到TCP/IP参数设置窗口，来修改IP地址和其他参数了，这样一来就实现了限制非法更改IP地址的目的了。

　　当然，使用“停用网络连接服务法”来保护IP地址，给正常的上网访问带来了麻烦，毕竟网络连接服务已经被禁止了，那么任何与网络有关的访问都会随之终止。如果你希望在保护IP地址的同时，不影响正常的上网操作的话，那你不妨尝试着按照相同的步骤，将系统的“Plug and play”服务停用掉，这样一来可将TCP/IP参数设置窗口隐藏起来，但又不影响正常的网络访问。

　　限制修改网络参数法

　　如果直接对普通用户的管理权限进行限制，让其无权打开TCP/IP参数设置窗口的话，那么普通用户也就不能随意修改IP地址了。对于Windows 98来说，要想限制用户修改网络参数，你只要修改注册表中的相关网络键值就能达到目的了。

　　依次单击“开始”　“运行”命令，在其后出现的运行对话框中，输入“regedit”命令，单击“确定”按钮后，打开系统的注册表编辑窗口，将鼠标定位在HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Network分支上。

　　接着在图2界面的右侧区域中，依次单击菜单栏中的“编辑”、“新建”、“Dword值”选项，并将新建的Dword值命名为“NoNetSetup”，再将其数值输入为“1”，最后将计算机重新启动一下；此时你尝试一下右击网上邻居图标，并执行快捷菜单中的“属性”命令，发现系统提示你无法进入网络属性设置窗口，如此一来限制修改IP地址的目的也就达到了。不过，该方法仅对Windows 98操作系统有效。　　

500)this.width=500" border=0 dypop="按此在新窗口浏览图片">
限制访问网络属性法

　　这种方法与前一种思路是一样的，不同的是该方法专门用于Windows 2000以上版本的操作系统中。下面就是该方法实现的具体操作步骤。

首先打开系统运行框，并在其中输入“gpedit.msc”字符串命令，单击“确定”按钮后，打开系统的组策略编辑窗口。接着在该编辑窗口中，依次双击“用户配置”　“管理模板”　“网络”　“网络及拨号连接”图标，在弹出的如图3所示的界面中，选中右侧的“禁止访问LAN连接组件的属性”选项，并用鼠标双击之；在其后出现的设置框中，选中“已启用”选项，并单击“确定”按钮；此时你再进入网络连接属性界面，选中其中的“Internet协议（TCP/IP）”项目时，就会看到对应的“属性”按钮已经变为灰色了，这样一来普通用户就无法打开TCP/IP参数设置窗口，从而随便修改IP地址了。

　隐藏本地连接图标法

　　一般情况下，修改计算机IP地址时，都需要先找到系统的本地连接图标，并右击该图标，再从弹出的右件菜单中执行“属性”命令，才能进入到TCP/IP参数设置窗口。要是你事先想办法将本地连接图标隐藏起来的话，那么普通用户同样也没有办法打开TCP/IP参数设置窗口来随意修改IP地址。要隐藏系统的本地连接图标，可以按照如下步骤来实现。

　　由于本地连接图标与系统的Netcfgx.dll、Netshell.dll、Netman.dll这三个动态链接文件有关，一旦将这三个动态链接文件反注册的话，那么本地连接图标就会被自动隐藏起来了。在反注册上面三个动态链接文件时，可以先打开系统运行框，并在其中输入字符串命令“regsvr32 Netcfgx.dll/u”命令（其中regsvr32命令、动态链接文件之间要保留一个空格），单击一下“确定”按钮后，就能把Netcfgx.dll文件反注册了；

按此在新窗口浏览图片

500)this.width=500" border=0>
再用同样的办法反注册另外两个文件；之后，把计算机系统重新启动一下，然后尝试打开网络和拨号连接窗口时，本地连接图标真得从眼前消失了。　　

　　隐藏网上邻居法

　　如果将网上邻居图标隐藏起来的话，那么也就无法进入TCP/IP参数设置窗口，这样本地计算机的IP地址也就不能被随意修改了。尽管隐藏网上邻居的方法有很多，但本文这里要向各位介绍的是一种平时很少被使用的方法——系统策略法，该方法可以在Windows 98和Windows 2000系统中使用：

　　依次单击“开始”　“运行”命令，在其后出现的运行对话框中，输入“poledit”字符串命令，单击“确定”按钮后，打开系统策略编辑界面，单击该界面“文件”菜单项中的“打开注册表”命令；

　　在其后弹出的界面中，双击“本地用户”图标，再依次展开“本地用户”、“外壳界面”、“限制”分支，再将图4界面中的“隐藏网上邻居”选中，并单击“确定”返回；　　

按此在新窗口浏览图片

500)this.width=500" border=0>
下面，在系统策略编辑界面中，单击一下工具栏中的“保存”按钮，然后重新启动一下计算机系统，如此一来系统桌面上的网上邻居图 ]]> Fri,03 Mar 2006 18:12:37 CST 0 <![CDATA[邮件病毒入侵后的五个清除步骤]]> .html 　　当你不幸遭遇病毒入侵之后，当机立断的一件事就是断开你的网络连接，以避免病毒的进一步扩散。

　　二、文件备份

　　然后就是删除带毒的邮件，再运行杀毒软件进行清除，但为了防止杀毒软件误杀或是删除你还没有处理完的文档和重要的邮件，你应该首先将它们转移备份到其他储存媒体上。

　　有些长文件名的文件和未处理的邮件要求在Windows下备份，所以建议你先不要退出Windows，因为病毒一旦发作，也许就不能进入Windows了。不管这些文件是否带毒了，你都应该备份，因为有些病毒是专门针对某个杀毒软件设计的，一运行就会破坏其他的文件，所以先备份是以防万一的措施。等你清除完硬盘内的病毒后，再来慢慢分析处理这些额外备份的文件较为妥善。另外对你的重要文件也要做备份，最好是备份到其他移动存储设备上，如USB盘、移动硬盘、刻录盘等，尽量不要使用本地硬盘，以确保数据的安全。

　　如果在平时作了GHOST备份，利用映像文件来恢复系统，这样连潜在的木马程序也清除了，当然，这要求你的GHOST备份是没有病毒。

　　三、借助杀毒软件

　　做好前面的准备工作后，这时就应该关闭计算机后再启动机器，然后用一张干净的DOS启动盘来引导系统。另外，由于中毒后，Windows已经被破坏了部分关键文件，会频繁地非法操作，所以Windows下的杀毒软件可能会无法运行，所以应该准备一个DOS下的杀毒软件以防万一。

　　即使能在Windows下运行杀毒软件的，也尽量用两种以上的工具软件来交叉清理。在多数情况下Windows可能要重装，因为病毒会破坏掉一部分文件让系统变慢或出现频繁的非法操作。由于杀毒软件在开发时侧重点不同、使用的杀毒引擎不同，各种杀毒软件都有自己的长处和短处，交叉使用效果较理想。

　　现在流行的杀毒软件在技术上都有所提高，并能及时更新病毒库，因此一般情况下你所碰到的病毒是应该在杀毒软件的围剿范围内的.

　　四、安全处理

　　包括登录网络的用户名、密码、邮箱和QQ密码等，防止黑客已经在上次入侵过程中知道了你的密码。另外因为很多蠕虫病毒发作后会向外随机发送你的信息，所以适当地更改是必要的。

　　五、预防邮件病毒

　　邮件病毒其实和普通的电脑病毒一样，只不过由于它们的传播途径主要是通过电子邮件，所以才被称为邮件病毒。它们一般是通过在邮件中附件夹带的方法进行扩散的，你运行了该附件中的病毒程序，才能够使你的电脑染毒。知道了这一点，我们就不难采取相应的措施进行防范了。

　　病毒是夹带在邮件中的，邮件是“死”的，其中的病毒也不会主动变活的。一般可能是一个带病毒的附件，你不去运行它，它当然不会侵染你的系统。不要轻易打开陌生人来信中的附件文件。当你收到陌生人寄来的一些自称是不可不看的有趣邮件时，千万不要不加思索地打开它。尤其对于一些“.exe”之类的可执行文件，就更要谨慎。

　　对于比较熟悉的朋友寄来的信件，如果其邮件中夹带了附件，但是他却没有在邮件中提及或是说明，也不要轻易运行。因为有些病毒是偷偷地附着上去的---也许他的电脑已经染毒，可他自己却不知道。比如“Happy 99”就是这样的病毒。

　　给别人发送程序文件甚至包括电子贺卡时，一定要先确认没有问题后再发，以免成为病毒的传播者。另外，应该切忌盲目转发：有的朋友当收到某些自认为有趣的邮件时，还来不及细看就打开通讯簿给自己的每一位朋友都转发一份，这极有可能使病毒的制造者恶行得逞，而你的朋友对你发来的信无疑是不会产生怀疑的，结果你无意中成为病毒的传播者。

　　一般邮件病毒的传播是通过附件进行的。如Happy 99、Mellissa（美丽杀手）等。你用FoxMail收到的邮件中会看到带病毒的附件，如名为“Happy 99.exe”的文件，不用担心，不要运行它，直接删掉就可以了。有些是潜伏在Word文件中的宏病毒，因此对Word文件形式的附件，也要小心。

　　另一种病毒是利用ActiveX来传播的。由于一些E-mail软件如Outlook等可以发送HTML格式的邮件，而HTML文件可包含ActiveX控件，而ActiveX在某些情况下又可以拥有对你的硬盘的读写权，因此带有病毒的HTML格式的邮件，可以在你浏览邮件内容时被激活，但这种情况仅限于HTML格式的邮件。

]]> Tue,28 Feb 2006 13:17:59 CST 0 <![CDATA[ADSL防御黑客进攻的方法]]> .html 成为黑客们的攻击目标。现在网上出现了各种越来越详细的“IP地址库”，要知道一些ADSL用户的IP是非常容易的事情。要怎么保卫自己的网络安全呢？不妨看看以下方法。

　　一、取消文件夹隐藏共享

　　如果你使用了Windows 2000/XP系统，右键单击C盘或者其他盘，选择"共享"，你会惊奇地发现它已经被设置为“共享该文件夹”，而在“网上邻居”中却看不到这些内容，这是怎么回事呢？

　　原来，在默认状态下，Windows 2000/XP会开启所有分区的隐藏共享，从“控制面板/管理工具/计算机管理”窗口下选择“系统工具/共享文件夹/共享”，就可以看到硬盘上的每个分区名后面都加了一个“$”。但是只要键入“\\计算机名或者IP\C$”，系统就会询问用户名和密码，遗憾的是，大多数个人用户系统Administrator的密码都为空，入侵者可以轻易看到C盘的内容，这就给网络安全带来了极大的隐患。

　　怎么来消除默认共享呢？方法很简单，打开注册表编辑器，进入“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Sevices\Lanmanworkstation\parameters”，新建一个名为“AutoShareWKs”的双字节值，并将其值设为“0”，然后重新启动电脑，这样共享就取消了。

　　二、拒绝恶意代码

　　恶意网页成了宽带的最大威胁之一。以前使用Modem，因为打开网页的速度慢，在完全打开前关闭恶意网页还有避免中招的可能性。现在宽带的速度这么快，所以很容易就被恶意网页攻击。

　　一般恶意网页都是因为加入了用编写的恶意代码才有破坏力的。这些恶意代码就相当于一些小程序，只要打开该网页就会被运行。所以要避免恶意网页的攻击只要禁止这些恶意代码的运行就可以了。

　　运行IE浏览器，点击“工具/Internet选项/安全/自定义级别”，将安全级别定义为“安全级-高”，对“ActiveX控件和插件”中第2、3项设置为“禁用”，其它项设置为“提示”，之后点击“确定”。这样设置后，当你使用IE浏览网页时，就能有效避免恶意网页中恶意代码的攻击。

　　三、封死黑客的“后门”

　　俗话说“无风不起浪”，既然黑客能进入，那说明系统一定存在为他们打开的“后门”，只要堵死这个后门，让黑客无处下手，便无后顾之忧！

1.删掉不必要的协议

　　对于服务器和主机来说，一般只安装TCP/IP协议就够了。鼠标右击“网络邻居”，选择“属性”，再鼠标右击“本地连接”，选择“属性”，卸载不必要的协议。其中NETBIOS是很多安全缺陷的根源，对于不需要提供文件和打印共享的主机，还可以将绑定在TCP/IP协议的NETBIOS关闭，避免针对NETBIOS的攻击。选择“TCP/IP协议/属性/高级”，进入“高级TCP/IP设置”对话框，选择“WINS”标签，勾选“禁用TCP/IP上的NETBIOS”一项，关闭NETBIOS。

　　2.关闭“文件和打印共享”

　　文件和打印共享应该是一个非常有用的功能，但在不需要它的时候，也是黑客入侵的很好的安全漏洞。所以在没有必要“文件和打印共享”的情况下，我们可以将它关闭。用鼠标右击“网络邻居”，选择“属性”，然后单击“文件和打印共享”按钮，将弹出的“文件和打印共享”对话框中的两个复选框中的钩去掉即可。

　　虽然“文件和打印共享”关闭了，但是还不能确保安全，还要修改注册表，禁止它人更改“文件和打印共享”。打开注册表编辑器，选择“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\NetWork”主键，在该主键下新建DWORD类型的键值，键值名为“NoFileSharingControl”，键值设为“1”表示禁止这项功能，从而达到禁止更改“文件和打印共享”的目的；键值为“0”表示允许这项功能。这样在“网络邻居”的“属性”对话框中“文件和打印共享”就不复存在了。

　　3.把Guest账号禁用

　　有很多入侵都是通过这个账号进一步获得管理员密码或者权限的。如果不想把自己的计算机给别人当玩具，那还是禁止的好。打开控制面板，双击“用户和密码”，单击“高级”选项卡，再单击“高级”按钮，弹出本地用户和组窗口。在Guest账号上面点击右键，选择属性，在“常规”页中选中“账户已停用”。另外，将Administrator账号改名可以防止黑客知道自己的管理员账号，这会在很大程度上保证计算机安全。

　　4.禁止建立空连接

　　在默认的情况下，任何用户都可以通过空连接连上服务器，枚举账号并猜测密码。因此，我们必须禁止建立空连接。方法有以下两种：
方法一是修改注册表：打开注册表“HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA”，将DWORD值“RestrictAnonymous”的键值改为“1”即可。

　　最后建议大家给自己的系统打上补丁，微软那些没完没了的补丁还是很有用的！

四、隐藏IP地址

　　黑客经常利用一些网络探测技术来查看我们的主机信息，主要目的就是得到网络中主机的IP地址。IP地址在网络安全上是一个很重要的概念，如果攻击者知道了你的IP地址，等于为他的攻击准备好了目标，他可以向这个IP发动各种进攻，如DoS(拒绝服务)攻击、Floop溢出攻击等。隐藏IP地址的主要方法是使用代理服务器。

　　与直接连接到Internet相比，使用代理服务器能保护上网用户的IP地址，从而保障上网安全。代理服务器的原理是在客户机（用户上网的计算机）和远程服务器（如用户想访问远端WWW服务器）之间架设一个“中转站”，当客户机向远程服务器提出服务要求后，代理服务器首先截取用户的请求，然后代理服务器将服务请求转交远程服务器，从而实现客户机和远程服务器之间的联系。很显然，使用代理服务器后，其它用户只能探测到代理服务器的IP地址而不是用户的IP地址，这就实现了隐藏用户IP地址的目的，保障了用户上网安全。提供免费代理服务器的网站有很多，你也可以自己用代理猎手等工具来查找。

　　五、关闭不必要的端口

　　黑客在入侵时常常会扫描你的计算机端口，如果安装了端口监视程序（比如Netwatch），该监视程序则会有警告提示。如果遇到这种入侵，可用工具软件关闭用不到的端口，比如，用“Norton Internet Security”关闭用来提供网页服务的80和443端口，其他一些不常用的端口也可关闭。

　　六、更换管理员帐户

　　Administrator帐户拥有最高的系统权限，一旦该帐户被人利用，后果不堪设想。黑客入侵的常用手段之一就是试图获得Administrator帐户的密码，所以我们要重新配置Administrator帐号。

　　首先是为Administrator帐户设置一个强大复杂的密码，然后我们重命名Administrator帐户，再创建一个没有管理员权限的Administrator帐户欺骗入侵者。这样一来，入侵者就很难搞清哪个帐户真正拥有管理员权限，也就在一定程度上减少了危险性。

　　七、杜绝Guest帐户的入侵

　　Guest帐户即所谓的来宾帐户，它可以访问计算机，但受到限制。不幸的是，Guest也为黑客入侵打开了方便之门！网上有很多文章中都介绍过如何利用Guest用户得到管理员权限的方法，所以要杜绝基于Guest帐户的系统入侵。

　　禁用或彻底删除Guest帐户是最好的办法，但在某些必须使用到Guest帐户的情况下，就需要通过其它途径来做好防御工作了。首先要给Guest设一个强壮的密码，然后详细设置Guest帐户对物理路径的访问权限。举例来说，如果你要防止Guest用户可以访问tool文件夹，可以右击该文件夹，在弹出菜单中选择“安全”标签，从中可看到可以访问此文件夹的所有用户。删除管理员之外的所有用户即可。或者在权限中为相应的用户设定权限，比方说只能“列出文件夹目录”和“读取”等，这样就安全多了。

　　八、安装必要的安全软件　　

　　我们还应在电脑中安装并使用必要的防黑软件，杀毒软件和防火墙都是必备的。在上网时打开它们，这样即便有黑客进攻我们的安全也是有保证的。　

九、防范木马程序　　

　　木马程序会窃取所植入电脑中的有用信息，因此我们也要防止被黑客植入木马程序，常用的办法有：　　

　　● 在下载文件时先放到自己新建的文件夹里，再用杀毒软件来检测，起到提前预防的作用。

　　● 在“开始”→“程序”→“启动”或“开始”→“程序”→“Startup”选项里看是否有不明的运行项目，如果有，删除即可。　　

　　● 将注册表里 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下的所有以“Run”为前缀的可疑程序全部删除即可。　　

　　十、不要回陌生人的邮件 　　

　　有些黑客可能会冒充某些正规网站的名义，然后编个冠冕堂皇的理由寄一封信给你要求你输入上网的用户名称与密码，如果按下“确定”，你的帐号和密码就进了黑客的邮箱。所以不要随便回陌生人的邮件，即使他说得再动听再诱人也不上当。　　

　　十一、做好IE的安全设置　　

　　ActiveX控件和 Applets有较强的功能，但也存在被人利用的隐患，网页中的恶意代码往往就是利用这些控件编写的小程序，只要打开网页就会被运行。所以要避免恶意网页的攻击只有禁止这些恶意代码的运行。IE对此提供了多种选择，具体设置步骤是：“工具”→“Internet选项”→“安全”→“自定义级别”，建议您将ActiveX控件与相关选项禁用。谨慎些总没有错！　　

　　另外，在IE的安全性设定中我们只能设定Internet、本地Intranet、受信任的站点、受限制的站点。不过，微软在这里隐藏了“我的电脑”的安全性设定，通过修改注册表把该选项打开，可以使我们在对待ActiveX控件和 Applets时有更多的选择，并对本地电脑安全产生更大的影响。　　

　　下面是具体的方法：打开“开始”菜单中的“运行”，在弹出的“运行”对话框中输入Regedit.exe，打开注册表编辑器，点击前面的“ ”号顺次展开到：HKEY_CURRE-NT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\0，在右边窗口中找到DWORD值“Flags”，默认键值为十六进制的21(十进制33)，双击“Flags”，在弹出的对话框中将它的键值改为“1”即可，关闭注册表编辑器。无需重新启动电脑，重新打开IE，再次点击“工具→Internet选项→安全”标签，你就会看到多了一个“我的电脑”图标，在这里你可以设定它的安全等级。将它的安全等级设定高些，这样的防范更严密。

]]> Tue,28 Feb 2006 13:12:31 CST 0 <![CDATA[全面了解Windows系统鲜为人知的宝藏]]> .html 　一、文件夹篇

　　All Users 这里记录的是Window的用户以及这些用户个人设定的开始菜单及桌面等信息。

　　Command 在这个目录下有着许多的DOS的常用命令，例如debug，format 等。可别小看这些老廉颇呀，在许多关键时刻还得靠他们哟。
　　
　　Config 用于存放Windows中硬件配制文件。

　　Cursors 这是存放Windows光标的目录。
　　
　　Desktop 除了"我的电脑"、"我的文档"这几个系统图标外其它由程序和文档建立的桌面快捷方式都会在这里面找到。如果在这里删除某个图标，相应的就会删除桌面上的图标。如果你在桌面上存放文件得话，实际也就是存放在这个文件夹。
　　
　　Downloaded Program Files 该目录存放上网下载东东时的临时文件。
　　
　　Favorites 存放收藏夹的内容。
　　
　　Fonts 这是存放 Windows的字体文件的目录。要安装某种字体只需将字体文件直接复制到该目录下即可。
　　
　　Help 存放Windows帮助文件。
　　
　　History 默认状态时可以保留你近二十天来的IE操作记录。

　　Media 这里存放着Windows系统的声音文件，像Windows启动结束时发出的微软招牌音乐Microsoft Sound等都存放于此。
　　
　　Offline Web Pages 这里存放着用于离线浏览的文件。
　　
　　Recent 这是对应开始菜单中文档菜单下的文档调用历史记录。它会把你最近打开的文档和图片的路径记录下来，方便用户快速打开最近使用的文档。
　　
　　SendTo 这个目录对应的是对文件使用"发送到"命令时的"目的地"。你可以在里面为常用的文件夹添加快捷方式，以后再复制文件时就不必抓着鼠标到处找了。
　　
　　Start Menu 对应Windows的开始菜单，可以直接在改目录对开始菜单进行管理。
　　
　　Start Menu/Programs　开始菜单的程序。
　　
　　Start Menu/Programs/启动自动运行。
　　
　　INF INF驱动程序脚本文件夹。
　　
　　OTHER INF其它驱动程序脚本文件夹。
　　
　　Wallpaper 网页背景文件夹。
　　
　　SYSBCKUP 系统文件备份文件夹。
　　
　　System和System32 这是两个很重要的系统文件夹，存放Windows的系统文件和硬件驱动程序等重要信息。
　　
　　Tasks 这里对应的 Windows的计划任务，添加的任务都会在这里面找得到。
　　
　　Temp主要用于存放执行解压缩、安装程序等操作时产生的临时文件的目录。要注意清理，避免临时文件长期占用硬盘空间。
　　
　　Temporary Internet Files 也是存放临文件的目录，不同的是它存放的是浏览网页时产生的临时文件。它可以加快网页的浏览速度，但太多很占空间的，要定期清理。
　　
　　Web 这是存放一些与Web相关的东西。在资源管理器中按Web查看时浏览栏中的蓝天白云的图片，屏幕保护程序中的频道屏幕保护程序，以及IE浏览中找不到服务器时的Web页等都存放在这里。

　　Application Data应用程序数据目录。

　　二、文件篇

　　Arp.exe TCP/IP地址解析工具。
　　
　　Asd.exe 自动跳过驱动程序。利用该程序可以检查系统在启动过程中的错误并能提供相应的解决方案。在系统出现严重问题时，可检测引发故障的原因，并能选择是否跳过其认为是"罪魁祸首"的驱动程序。
　　
　　Calc.exe 计算器。
　　
　　Cdplayer.exe Windows自带的CD播放器。
　　
　　Charmap.exe 字符映射表。如果想在"记事本"中输入类似"①"的符号，利用字符映射表就可以方便解决。
　　
　　Cleanmgr.exe 磁盘清理程序。当你的磁盘空间不够时，用该程序可以帮助你快速地清除磁盘上的垃圾文件。
　　
　　Clipbrd.exe 剪贴板查看程序。如果剪贴板上的内容过大过多，则会占用大量的内存。利用该程序可以查看和删除剪贴板中的内容。

Clspack.exe Windows的打包软件。用此工具可以将文件进行压缩。
　　
　　Control.exe 调用［控制面板］程序。使用时不带参数可起动［控制面板］，若利用命令行在其后跟上某个控制项目文件名（.cpl类型，在System目录中能找到），将打开具体的控制项，如果再空一格并加上以逗号开头的数字代码，则可直接进入具体控制项的某一栏（控制项首栏数字代码是0)。

　　例：在［运行］命令行输入Control desk.cpl ,3后，将调出［显示］属性/设置］窗口。有了它，在编写自己的程序时，哪怕是最简单的批处理程序，都能轻松地打开［控制面板］完成系统设置的调整。这比起晦涩难懂的RunDll32.exe来，要容易得多。
　
　　Cvtaplog.exe 磁盘碎片整理助手。

　　Defrag.exe碎片整理程序。运行该程序可以消除选定分区中的磁盘碎片。

　　Dialer.exe电话拨号程序。运行该程序可打开"电话拨号程序"窗口。

　　Directcc.exe直接电缆连接程序。使用直接电缆连接，可以方便快捷地在两台计算机之间直接利用串口和并口连接。

　　Drvspace.exe磁盘空间管理程序。运行该程序可对磁盘进行压缩和解压缩操作。

　　Drwatson.exe 华生医生(Dr.Watson)，每当发生系统错误时能对系统拍取快照进行诊断，并可截获软件错误和提供详细的错误原因说明，还可就诊断的问题提出操作建议。这是 Win98自带的系统诊断程序，设计该程序的初衷，主要是为了帮助微软技术人员，远程为你维护系统。运行它后，任务栏右下角出现了"医生"的图标（就是那个头带听诊器，装腔作势的"老外"），"狠击"它两下，立刻会跳出个忙碌的窗口，为你的"爱姬"检查身体。很快一张报告出来了，这便是当前时刻你的系统快照。其中包含有正在运行的任务、驱动程序、已加载的16位模块三类软件环境信息，实际上是［系统信息］（Msinfo32.exe）所提供资料的简化版。它的优势在于方便迅速，并能存为日志文件（.wlg扩展名），有利于前后对比查验系统存在的问题。

　　DVDPLAY.EXE DVD播放程序

　　DXDIAG.EXE DirectX 诊断工具程序。

　　Emm386.exe 扩展内存管理程序。

　　Explorer.exe 资源管理器。运行该程序将启动"资源管理器"。

　　Extrac32.exe CAB文件包释放程序。用此文件，可以将CAB文件包中的文件释放出来。

　　Fontview.exe 字体查看程序。利用该程序，可以查看指定的Windows中安装的字体文件。命令行中跟上字体文件名（FON或TTF类型），可查看各种字体的样式范例。系统中所有字体文件的打开都是默认与它关联的。

　　Freecell.exe 空当接龙游戏。

　　Ftp.exe文件传输程序。

　　Grpconv.exe 组文件转换工具。可把Win3X下的组文件（GRP扩展名），转换成Win98［开始］菜单中［程序］项下的文件夹，各个组项目也改头换面，成了文件夹中的快捷方式。
　　
　　Hh.exe 帮助查看程序。

　　Ieshwiz.exe 自定义文件夹向导。Win98中你可对每个文件夹都设置其特有的外观式样，编辑文件夹的背景图案、文字颜色等内容，丰富自己系统的个性特征。它与资源管理器［查看］菜单中的［自定义文件夹...］项是对应的。

　　IMEGEN.EXE 具输入法生成器

　　Internat.exe 输入法切换程序。该程序常驻内存，运行后会在任务栏右下角出现熟悉的输入法字样。

　　Ipconfig.exe DOS环境下的TCP/IP配置程序。可以在DOS环境下查看和修改TCP/IP的配置情况。

　　IsUninst.exe 卸载程序。执行该程序，可以安全卸载Windows中的程序和与其相关的组件。

　　Kodakimg.exe Windows中的图像查看程序，运行该程序可以浏览多种格式的图形文件。

　　Mem.exe DOS内存状况查看程序。运行此程序可以在MS－DOS窗口中查看当前运行的程序占用物理内存的情况。

　　Mplayer.exe 媒体播放机。运行该程序可以打开媒体播放器对话框，播放VCD或AVI等程序。

　　Mkcompat.exe 强制兼容程序。微软设计Win9X时，考虑最多的问题恐怕就是兼容性了，以至于宁可牺牲部分32位程序性能，也要保证对传统软件最大限度的兼容。现在想想，这个程序之所以没有被放在明处，也许是微软非常自信系统的兼容性，觉得此东西用不着了吧！该工具的用法是：当某个以前版本的Windows程序（主要是Win3X下的16位程序）无法运行或运行不稳定时，能提供众多可选项，用来调整其运行方式和运行环境，使之可正常使用，当然这是以放弃不少先进特性为代价的。

　　MSCONFIG.EXE 系统启动配置程序。这是个非常有用的"好东东"，建议有基础的朋友为它在开始菜单中设个快捷方式。通过它，在Autoexec. bat、Config.sys、System.ini、Win.ini四个重要文件中，你可直接修改乃至创建新内容，而且对这些文件中的每一行，以及在注册表里注册为启动时运行的每一项，都能逐个选择是否禁止；该程序还为更高级用户准备了12个选项，可用于解决一些软、硬件兼容性问题。这个工具的另一大优点是，能方便地备份和还原启动配置，对被用户禁止的内容也不删除，只是加上特定标记暂且停用，以利于日后恢复，安全性很高。

　　Mshearts.exe 网上红心大战游戏。

　　msimn.exe　Outlook Express 程序。

　　Net.exe 利用此工具可以查看本机的有关网络配置。

　　NETCONN.EXE 家庭网络向导

　　Notepad.exe 记事本。运行该程序进入"记事本"编辑窗口。

　　Pbrush.exe 画图程序。利用该程序可进入"画图"编辑窗口进行绘画操作。

　　Progman.exe 程序管理器。运行该程序可编辑已存在的程序组或创建新的程序组。

　　Ping.exe DOS工作方式的IP地址查寻工具。除能检测指定IP地址是否可连接外，还有一个用处是：当登录服务器后，长时间无数据传输，为防止因超时而被对方断线，可不停地"Ping"它，达到强制连接某个主机的目的。此程序用法能在DOS窗口中查看到。

　Regedit.exe 注册表编辑器。使用该程序可对Windows注册表进行查看和修改。

　　Rsrcmtr.exe 资源状况工具。利用此工具可以监视程序目前使用的系统资源。

　　Scandskw.exe 磁盘扫描程序，可以发现并修复磁盘表面和磁盘上的数据错误。

　　Scanregw.exe 注册表检查与备份程序。执行该程序，可以检查注册表中的错误，如检查正确，将提示用户对注册表进行备份。是Windows/Command目录下Scanreg.exe的32位版本，可用于检查和备份注册表。修改Scanreg.ini文件中关键字Backup与Optimize的值，可决定是否备份与优化注册表（1为是；0为否）；修改MaxBackupCopies的值，可选择保留备份的个数，备份的CAB压缩包同时还保存System.ini和Win.ini两文件）；修改BackupDirectory的值，可指定备份压缩包存放的路径；用"Files= ［目录代码，］文件名1，文件名2，..."的形式能添加需备份的文件，其中"目录代码"有10、11、30等，分别对应Windows目录、System目录及启动盘根目录。请最好加上"目录代码"，否则可能会因找不到目标，只有放几个空文件进压缩包。这个程序可用"/autorun"参数使其在后台最小化运行，可用"/backup"参数使其在后台自动备份。

　　Setver.exe MS－DOS版本设置程序，用于查看程序的 DOS版本号并能删除指定的DOS版本。

　　Smartdrv.exe 虚拟缓存设置程序，可以把内存设置为虚拟缓存，从而提高数据的读写速度。

　　Sndrec32.exe 录音机。在连接了音频设备的前提下，使用该程序可以进行录音操作，录下的文件(.wav)可以在录音机和媒体播放器中播放。

　　Sndvol32.exe 音量调节程序。执行该程序，可以调节声音的大小和均衡。

　　Sol.exe 纸牌游戏。

　　Sysmon.exe 系统监视器。运行该程序，可以监测系统当前的资源使用状况，如CPU的占用率、内存的使用情况等系统数据。

　　SYSEDIT.EXE 系统配置编辑程序。专门用来编辑Autoexec.bat、Config .sys、System.ini、Win.ini及Protocol.ini五个系统文件。

　　Systray.exe 音频控制常驻内存程序。运行它就会出现大家熟悉的任务栏小喇叭图标，能用来调整音量和打开音频属性对话框。

　　Taskman.exe 任务工具，可用于查看当前正在运行的程序，也可运行需要执行的程序。

　　Taskmon.exe 任务监视器，它的功能是监视程序的执行情况并随时报告。能够监测所有在任务栏中以窗口方式运行的程序，可打开和结束程序，还可直接调出关闭系统对话框。

　　Telnet.exe 该程序主要用于连接远程计算机。

　　TLOCMGR.EXE 电话语音位置管理员。常驻内存程序，运行后有任务栏小图标，可方便的启动电话拨号程序和调整拨号属性。

　　Tour98.exe 漫游Windows me程序。这是一个 Windows me的学习程序，初学者不妨用用。

　　Tuneup.exe 维护向导程序。维护向导调整你的计算机进入最佳状态，通过它可以设置定期执行"磁盘扫描程序"、"磁盘整理程序"和"磁盘清理程序" 等来维护计算机。

　　wab.exe 通讯簿管理程序。

　　wabmig.exe 通讯簿导入程序。

　　Welcome.exe 欢迎进入Windows的程序，能完成注册、连接Internet、维护计算机等功能，并可以设置为每次开机后显示。

　　Winfile.exe 文件管理器。运行该程序可以查找、查看文件和文件夹，显示文件信息，并对文件和文件夹的操作等。

　　Winhelp.exe Windows的帮助信息。

　　Wininit.exe 软件安装处理程序。它只能在实模式下运行，系统每次启动时都会运行它，用于检查Windows目录中是否有 Wininit.ini文件(该文件是新装软件为了删除或替换一些在保护模式下无法修改的内存驻留程序，而建立的信息文件)。若有，则通过其中记录的内容，系统能自动完成软件的最后安装。Wininit.ini处理完后会被更名为Wininit.bak，用记事本打开，你可很容易了解到新装软件更动了哪些系统驻留文件（如：DLL、EXE、DRV等）。

　　Winipcfg.exe与Ipconfig.exe 网络IP配置查询器的32位与16位版本。可检测本机当前的如IP地址、子网掩码等网络配置方面的详细信息。

　　Winmine.exe 扫雷游戏。

　　Winrep.exe Windows报告工具。主要用于向Microsoft公司报告Windows 故障等情况。它能自动收集系统中一些相关信息，引导你写出规范的"情况汇报"，交给微软技术人员，使他们远程为你解决实际问题，当然这也是为完善和改进Windows系统收集资料。

　　Winver.exe Windows版本信息。

　　Write.exe 写字板。

　　EUDCEDIT.EXE 造字程序

　　RSTRUI.EXE　系统还原

　　MSINFO32.EXE　系统信息

　　PINBALL.EXE 桌上弹球游戏

　　SPIDER.EXE 蜘蛛纸牌

　　HRTZZM.EXE Internet 红心后

　　RVSEZM.EXE Internet 翻转棋

　　SHVLZM.EXE Internet 黑桃王

　　BCKGZM.EXE Internet 双陆棋

　　CHKRZM.EXE Internet 跳棋

　　(注：以上这些文件分布在c:/windows,c:/windows/command,c:/winwows/systemc:/,C:/Program Files/等不同的目录下，如不清楚其位置，可用搜索命令查找。)

三启动篇

　　别忘了，在安装系统时系统提示过制作一张启动盘．这里都有些啥呢？平常用不着，在关键时可特管用。安装时没制作也不要紧，可按以下步骤制作：a) 在桌面上点击"开始"
，选择"设置"，并打开"控制面板"；b) 双击"添加/删除程序"；c) 你会看到上方有3个标签，最右面的一个写着"启动盘"。点击这个标签，然后你会看到一个建立启动盘的按钮。你需要一张软盘储存在建立启动盘过程中的一切重要文件；d) 把一张空白的软盘放进软驱，然后单击该按钮。现在已经完成了，你可以看到1.44MB的磁盘空间已经使用了1.15 MB。

　　ASPICD.SYS SCSI光驱的的ASPI驱动程序。（必须先运行aspi_dos驱动程序，这个文件只对于那些使用SCSI的用户有用）

　　Autoexec.bat 系统启动时自动运行的批处理文件。

　　CDSETUP.exe DOS声卡驱动程序带的旧文件。

　　COMMAND.COM 系统启动所必须的文件。（不要删除）

　　CONFIG.SYS 用于载入设备驱动程序的配置文件。

　　DEFRAG.EXE 用于DOS下清楚碎片的文件。

　　DELTREE.EXE 删除目录的命令。

　　DISCOPY.COM 磁盘复制的命令。

　　DRVSPACE.BIN 当你制作启动盘的时候，Windows自动生成的文件。

　　EDIT.COM 用于在DOS下进行编辑的命令文件。

　　FDISK.EXE 用于硬盘分区的命令文件。

　　FIND.EXE 在文件、路径或者是驱动器中查找字符的命令。

　　formAT.COM 用于格式化的文件。（例如：format c:，该命令有很多参数。）

　　IO.SYS 启动时必须的系统文件。（不要删除）

　　MORE.COM 列出更多的参数。(例如：dir | more，"|"在这里叫管道。)

　　MOUSE.COM 鼠标驱动程序文件。（我并不使用该文件，但保留着以防万一要用上）

　　MSCDEX.EXE 光驱的DOS文件。

　　MSDOS.SYS 当你制作启动盘的时候，Windows自动生成的文件。

　　SBCD.SYS 通用的DOS光驱驱动程序。（我是从我的Creative光驱得到的，它适用于大部分光驱。）

　　SBIDE.SYS 旧款声卡的DOS CD驱动程序。（不会有用）

　　SCANDISK.EXE 用于硬盘扫描的命令。

　　SCANDISK.INI 执行SCANDISK.EXE所需要的文件。　　SGIDECE.SYSDOS的CD文件。（你不会用上）

　　XCOPY32.EXE 把文件从一个位置复制到另一个位置的命令。

　　其中文件ERD.cab，在启动时自动解压到虚拟盘中，它们是DOS最经典
最常用的外部命令，这里就不用解释了。
　　ATTRIB.EXE
　　CHKDSK.EXE
　　DEBUG.EXE
　　EDIT.COM
　　EXT.EXE
　　formAT.COM
　　HELP.BAT
　　MSCDEX.EXE
　　SCANDISK.EXE
　　SCANDISK.INI
　　SYS.COM

　　上面文件笔者认为有一定实用价值的可执行程序，它们大多数是不请不出山的"隐士"，虽然也有一些被集成在其它工具中，但对号的具体程序名却鲜为人知。找到了它们，就会减少一份对Win me 系统的神秘感；就能在自己的软件里方便自如地调用有些系统功能。对广大初学编程的朋友来说，这绝对是种十分惬意的感觉。

　四、开始→运行→命令集锦

gpedit.msc-----组策略                  sndrec32-------录音机
Nslookup-------IP地址侦测器            explorer-------打开资源管理器
logoff---------注销命令                tsshutdn-------60秒倒计时关机命令
lusrmgr.msc----本机用户和组            services.msc---本地服务设置
oobe/msoobe /a----检查XP是否激活       notepad--------打开记事本
cleanmgr-------垃圾整理                net start messenger----开始信使服务
compmgmt.msc---计算机管理              net stop messenger-----停止信使服务
conf-----------启动                    netmeeting dvdplay--------DVD播放器
charmap--------启动字符映射表          diskmgmt.msc---磁盘管理实用程序
calc-----------启动计算器              dfrg.msc-------磁盘碎片整理程序
chkdsk.exe-----Chkdsk磁盘检查          devmgmt.msc--- 设备管理器
regsvr32 /u *.dll----停止dll文件运行   drwtsn32------ 系统医生
rononce -p ----15秒关机                dxdiag---------检查DirectX信息
regedt32-------注册表编辑器            Msconfig.exe---系统配置实用程序
rsop.msc-------组策略结果集            mem.exe--------显示内存使用情况
regedit.exe----注册表                  winchat--------XP自带局域网聊天
progman--------程序管理器              winmsd---------系统信息
perfmon.msc----计算机性能监测程序      winver---------检查Windows版本
sfc /scannow-----扫描错误并复原        taskmgr-----任务管理器（2000／xp／2003）

　　五、系统进程篇

注意:系统的进程列表新手的重点~
进程名描述最基本的系统进程（也就是说，这些进程是系统运行的基本条件，有了这些进程，系统就能正常运行）

smss.exe Session Manager
csrss.exe 子系统服务器进程
winlogon.exe 管理用户登录
services.exe 包含很多系统服务
lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。(系统服务) 产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。(系统服务)
svchost.exe 包含很多系统服务
svchost.exe
SPOOLSV.EXE 将文件加载到内存中以便迟后打印。(系统服务)

explorer.exe 资源管理器
internat.exe 托盘区的拼音图标
附加的系统进程（这些进程不是必要的，你可以根据需要通过服务管理器来增加或减少）
mstask.exe 允许程序在指定时间运行。(系统服务)
regsvc.exe 允许远程注册表操作。(系统服务)
winmgmt.exe 提供系统管理信息(系统服务)。
inetinfo.exe 通过 Internet 信息服务的管理单元提供 FTP 连接和管理。(系统服务)
tlntsvr.exe 允许远程用户登录到系统并且使用命令行运行控制台程序。(系统服务)
允许通过 Internet 信息服务的管理单元管理 Web 和 FTP 服务。(系统服务)
tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。远程安装服务的一部分。(系统服务)
termsrv.exe 提供多会话环境允许客户端设备访问虚拟的 Windows 2000
Professional 桌面会话以及运行在服务器上的基于 Windows 的程序。(系统服务)
dns.exe 应答对域名系统(DNS)名称的查询和更新请求。(系统服务)

　　以下服务很少会用到，上面的服务都对安全有害，如果不是必要的应该关掉：

tcpsvcs.exe 提供在 PXE 可远程启动客户计算机上远程安装 Windows2000 Professional 的能力。(系统服务)
支持以下 TCP/IP 服务：Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。(系统服务)
ismserv.exe 允许在 Windows Advanced Server 站点间发送和接收消息。(系统服务)
ups.exe 管理连接到计算机的不间断电源(UPS)。(系统服务)
wins.exe 为注册和解析 NetBIOS 型名称的 TCP/IP 客户提供 NetBIOS名称服务。(系统服务)
llssrv.exe License Logging Service(system service)
ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。(系统服务)
RsSub.exe 控制用来远程储存数据的媒体。(系统服务)
locator.exe 管理 RPC 名称服务数据库。(系统服务)
lserver.exe 注册客户端许可证。(系统服务)
dfssvc.exe 管理分布于局域网或广域网的逻辑卷。(系统服务)
clipsrv.exe 支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。(系统服务)
msdtc.exe 并列事务，是分布于两个以上的数据库，消息队列，文件系统，或其它事务保护资源管理器。(系统服务)
faxsvc.exe 帮助您发送和接收传真。(系统服务)
cisvc.exe Indexing Service(system service)
dmadmin.exe 磁盘管理请求的系统管理服务。(系统服务)
mnmsrvc.exe 允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。(系统服务)
netdde.exe 提供动态数据交换 (DDE) 的网络传输和安全特性。(系统服务)
smlogsvc.exe 配置性能日志和警报。(系统服务)
rsvp.exe 为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地通信控制安装功能。(系统服务)
RsEng.exe 协调用来储存不常用数据的服务和管理工具。(系统服务)
RsFsa.exe 管理远程储存的文件的操作。(系统服务)
grovel.exe 扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间。(系统服务)
SCardSvr.exe 对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。(系统服务)
snmp.exe 包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。(系统服务)
snmptrap.exe 接收由本地或远程 SNMP 代理程序产生的陷阱消息，然后将消息传递到运行在这台计算机上 SNMP 管理程序。(系统服务)
UtilMan.exe 从一个窗口中启动和配置辅助工具。(系统服务)
msiexec.exe 依据 .MSI 文件中包含的命令来安装、修复以及删除软件。(系统服务）

]]> Tue,28 Feb 2006 13:10:47 CST 0 <![CDATA[劫持数据库实现跨站攻击实例图解]]> .html 　　本文源于一位网友对其实施跨站攻击过程的详细描述，从中我们可以清楚了解到完成一次攻击所涉及的完整步骤及相关思路。需要特别注明的是，作者在被劫持网站植入了一个并不存在的链接，只是为了演示相应过程，编者也对文章进行了适当的编辑，目的是提醒网站管理人员对此作出必要的技术防范，而非指导某些不怀好意者采用此技术去攻击网站。

　　攻击概述

　　跨站攻击是指入侵者在远程Web页面的HTML代码中插入具有恶意目的的数据，使得用户认为该页面是可信赖的，但是当浏览器下载该页面，嵌入其中的脚本将被解释执行。正是这种被称为“鸡尾酒钓鱼术”的手段使商务网站的可信度大大降低，因为用户访问的是真正的商务站点，即使再细心也很难想到真实网站也会暗藏杀机。

　　跨站攻击可能在真实网站上插入一段文字，也可能是偷取浏览者cookie信息的java脚本，更有甚者是植入一段利用IE漏洞的网页木马代码。这种方法与得到webshell后插入木马代码相比，实现起来要简单容易的多。

　　实现跨站攻击的前提条件，是网页中要存在输入信息过滤不严的地方。在大型非互交型网站中，这种输入点一般不好找，所以直接从表面入手相当棘手。所以我们换个角度考虑，如果网站存在sql注入点的话，那结果就完全不同了。这里说的数据库是针对MSSQL数据库的（当然对mysql等数据库同时有效，不过处理相对更困难些），利用的还是让人厌烦却很有效的SQL注入漏洞，不过不需要admin权限，只要有Update权限就够了，一般Db_owner就有这个权限。我们直接修改数据库中的的信息，使得asp程序在调用数据库时，将修改后的网页木马代码显示在真实网站的网页中。下面就用实例来展示一下攻击全过程。
攻击过程

　　在浏览台湾游戏橘子站点(http://www.gamania.com)的时候，偶然发现了这个地方可以注入：http://fateasia.gamania.com/turtle/index.asp?sid=E00001。

　　这样的大站也能注入？于是抱着侥幸的心理拿出看家工具NBSI走一走，猜解出如下信息：

　　权限是Db_Woner，不言而喻，要想获得webshell首当其冲的方法便是通过Db_Woner的备份权限得到，不过这种方法对大型网站不是很适用，因为过于庞大的数据库使其成功率相对较低。不过，现在我们可以先试试再说，首先用读注册表的方法得到web物理路径：

　　拿到路径后自然就是backupwebshell了：

　　我没有研究过cyf的这个工具是如何判断int型和字符型数据的，所以就随手在Url中参数中加了个“'”，自认为是对整型数据的注入。下面我们看看结果如何：

　　失败，看来常规的攻击不会有什么新的突破，还是应该另谋他法。接下来我仔细的研究了一下网站中“占卜”栏目的网页，看到如下信息：

　　原来这是和www.fatesia.com合作建的，于是马上ping了一下这两个站点：

　　很明显，它们是在一个服务器上的。打开这个站点：

　　网站也挺大的，但同样存在注入点，而且使用的数据库和http://fateasia.gamania.com/是同一个数据库：

　　现在清楚了，原来这才是主站。那我backup的木马在这个站上吗？访问http://www.fateasia.com/asp.asp，返回“404”错误代码，看来也不在。

网络钓鱼（Phishing），并不是一种新的入侵方法，但是它的危害范围却在逐渐扩大，并成为近期威胁网络安全的最大危害之一。随着媒体的揭露以及用户警惕性的提高，在邮件中附带恶意链接的方法正在逐步丧失它的垂钓成功率，于是“跨站攻击”的技术被更多人采用，本栏目近期就报道了多起此类事件。这种方法迫害的不仅仅是用户，更是无辜的商务站点，因为他们根本不知道发生了什么事情，直到用户找上门来，才发现自己的信誉已经被毁了。

　　本文源于一位网友对其实施跨站攻击过程的详细描述，从中我们可以清楚了解到完成一次攻击所涉及的完整步骤及相关思路。需要特别注明的是，作者在被劫持网站植入了一个并不存在的链接，只是为了演示相应过程，编者也对文章进行了适当的编辑，目的是提醒网站管理人员对此作出必要的技术防范，而非指导某些不怀好意者采用此技术去攻击网站。

　　攻击概述

　　在浏览台湾游戏橘子站点(http://www.gamania.com)的时候，偶然发现了这个地方可以注入：http://fateasia.gamania.com/turtle/index.asp?sid=E00001。

　　这样的大站也能注入？于是抱着侥幸的心理拿出看家工具NBSI走一走，猜解出如下信息：

　　拿到路径后自然就是backupwebshell了：

　　失败，看来常规的攻击不会有什么新的突破，还是应该另谋他法。接下来我仔细的研究了一下网站中“占卜”栏目的网页，看到如下信息：

　　原来这是和www.fatesia.com合作建的，于是马上ping了一下这两个站点：

　　很明显，它们是在一个服务器上的。打开这个站点：

　　网站也挺大的，但同样存在注入点，而且使用的数据库和http://fateasia.gamania.com/是同一个数据库：

　　现在清楚了，原来这才是主站。那我backup的木马在这个站上吗？访问http://www.fateasia.com/asp.asp，返回“404”错误代码，看来也不在。

]]> Tue,28 Feb 2006 13:06:11 CST 0 <![CDATA[让网络设备远离非法共享]]> .html

　　将共享光驱藏起来

　　非法用户之所以能够趁机“偷用”到网络中的共享光驱，主要是因为一旦将光驱设置成共享后，那么共享光驱的图标就会自动出现在“网上邻居”窗口中了，这样非法用户就能很轻易地打开网上邻居窗口，来“偷偷”访问共享光驱了。为此，你可以按下面的几种方法，让非法用户找不到共享光驱的“身影”：

　　1、隐藏工作站法

　　这种方法就是将共享光驱所在工作站的名称，从网上邻居窗口中隐藏起来，这样非法用户自然就无法看到该隐藏工作站中的共享光驱了。要隐藏工作站的名称时，可以按如下操作来进行：

　　依次单击“开始”/“运行”命令，在弹出的运行对话框中，输入“Regedit”命令，单击“确定”按钮后，打开注册表编辑界面，用鼠标>依次展开HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters注册表分支，检查对应分支下面是否存在“Hidden”这个双字节值；

　　要是没有的话，可以右击“Parameters”这个分支，单击快捷菜单中的“新建”选项，从弹出的下级菜单中再执行“双字节值”命令（如图1所示），并将它的名称设置为“Hidden”，并将它的数值设置为“1”，再单击一下“确定”按钮就OK了。当然，你可以直接在系统运行框中，输入“net config workstation /hidden:yes”字符串命令（其中“Workstation”就是安装有共享光驱的工作站名称），单击“确定”按钮后，“网上邻居”窗口就无法找到共享光驱及其所在工作站的“影子”了，这样非法用户自然也就无法使用共享光驱了。

图1

2、隐藏网上邻居法

　　这种方法就是将系统的网上邻居功能隐藏起来，让非法用户无法通过网上邻居窗口，找到网络中共享的光驱。尽管目前隐藏网上邻居的方法有很多，不过许多方法在实现了隐藏目的后，也将网络共享访问功能也一并取消了，如此一来就会影响授权用户来访问共享光驱了。为此，本文特意提供如下方法，让你在隐藏好网上邻居功能的同时，也不影响合法用户通过网络访问共享光驱：

　　依次单击“开始”/“运行”命令，在弹出的系统运行框中，输入系统策略编辑命令“poledit”，单击“确定”按钮，打开系统策略编辑器界面；

　　依次单击该界面菜单栏中的“文件”/“打开注册表”命令，在其后出现的界面中，双击“本地用户”图标，在打开的图2所示窗口中，依次展开“外壳界面”/“限制”选项，接着将“隐藏网上邻居”选项选中，单击“确定”按钮，返回到系统策略编辑界面；

图2

　　为了使上述设置生效，你还需要在系统策略编辑界面中，依次单击菜单栏中的“文件”/“保存”命令，最后重新启动一下计算机系统，那么系统中的网上邻居功能就被自动隐藏起来了，这样的话非法用户就无法打开网上邻居窗口，找到共享光驱了。

　　3、隐藏共享光驱

　　尽管前面两种方法，可以有效地将共享光驱隐藏起来，但这些方法同时也会影响用户访问其他共享资源；其实，你只要想办法将共享光驱的图标隐藏起来，就能阻止非法用户随意使用共享光驱了。为此，本文建议你使用一款名为CDDVDLock的工具软件来帮忙，它能轻松帮助你隐藏共享光驱的图标，避免非法用户随意访问共享光驱!

　　首先你可以到这儿下载获得最新版本的CDDVDLock软件，对它进行常规性安装后，重新启动一下计算机系统，该工具软件就能发挥作用了；

接着双击桌面上的CDDVDLock程序快捷图标，在其后打开的程序界面中，单击“Driver”标签，并在图3所示的标签页面中，用鼠标右键单击一下共享光驱的图标，这样共享光驱的图标就被自动隐藏起来了；以后其他用户打开网上邻居窗口时，就无法找到共享光驱的图标，这样他们自然就无法对共享光驱进行非法破坏了。

图3

　　倘若你不希望任何用户访问共享光驱的话，可以在图3所示的标签页面中，用鼠标左键单击共享光驱的图标，随后共享光驱的访问状态就被自动设置为“lock”，此时你再尝试双击共享光驱图标时，系统将弹出提示窗口，通知你无权访问该设备。以后需要为共享光驱解锁时，只要再用鼠标左键单击一下共享光驱图标就可以了。

　　小提示：要是你手头没有找到合适的专用工具时，你还可以通过更改光驱盘符的方法，来将光驱“模仿”成一个普通的NTFS文件夹，然后选中这个文件夹的隐藏属性，这样就能达到隐藏共享光驱的目的了。下面就是该方法的具体实现步骤：

　　依次单击“开始”/“程序”/“管理工具”/“计算机管理”命令，在弹出的计算机管理窗口中，依次展开“存储”/“磁盘管理”选项，然后在对应“磁盘管理”选项右边的子窗口中，右击共享光驱图标，从弹出的右键菜单中执行“更改驱动器名和路径”命令，在随后打开的窗口中，将共享光驱盘符强行删除掉，然后再单击一下“添加”按钮，并将“装入以下空白NTFS文件夹”选项选中，同时设置好该空白NTFS文件夹的具体路径，如此一来该共享光驱就会被自动挂载到某个文件夹上了；

　　下面打开资源管理器窗口，找到那个空白的NTFS文件夹，并用鼠标右键单击之，从弹出的快捷菜单中执行“属性”命令，接着选中属性设置框中的“常规”标签，再将对应标签页面中的“隐藏”项目选中，最后单击“确定”按钮就可以了。

]]> Tue,28 Feb 2006 13:01:50 CST 0 <![CDATA[查找与清除插入式特络伊木马]]> .html 　　一、通过自动运行机制查木马

　　一说到查找木马，许多人马上就会想到通过木马的启动项来寻找“蛛丝马迹”，具体的地方一般有以下几处:

　　1)注册表启动项

　　在“开始/运行”中输入“regedit.exe”打开注册表编辑器，依次展开[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\]和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\]，查看下面所有以Run开头的项，其下是否有新增的和可疑的键值，也可以通过键值所指向的文件路径来判断，是新安装的软件还是木马程序。

　　另外[HKEY_LOCAL_MACHINE\Software\classes\exefile\shell\open\command\]键值也可能用来加载木马，比如把键值修改为“X:\windows\system\ABC.exe %1%”。

　　2)系统服务

　　有些木马是通过添加服务项来实现自启动的，大家可以打开注册表编辑器，在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices]下查找可疑键值，并在[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\]下查看的可疑主键。

　　然后禁用或删除木马添加的服务项:在“运行”中输入“Services.msc”打开服务设置窗口，里面显示了系统中所有的服务项及其状态、启动类型和登录性质等信息。找到木马所启动的服务，双击打开它，把启动类型改为“已禁用”，确定后退出。也可以通过注册表进行修改，依次展开“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\服务显示名称”键，在右边窗格中找到二进制值“Start”，修改它的数值数，“2”表示自动，“3”表示手动，而“4”表示已禁用。当然最好直接删除整个主键，平时可以通过注册表导出功能，备份这些键值以便随时对照。

　　3)开始菜单启动组

　　现在的木马大多不再通过启动菜单进行随机启动，但是也不可掉以轻心。如果发现在“开始/程序/启动”中有新增的项，可以右击它选择“查找目标”到文件的目录下查看一下，如果文件路径为系统目录就要多加小心了。也可以在注册表中直接查看，它的位置为[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders]，键名为Startup。

　　4)系统INI文件Win.ini和System.ini

　　系统INI文件Win.ini和System.ini里也是木马喜欢隐蔽的场所。选择“开始/运行”，输入“msconfig”调出系统配置实用程序，检查Win.ini的[Windows]小节下的load和run字段后面有没有什么可疑程序，一般情况下“=”后面是空白的;还有在System.ini的[boot]小节中的Shell=Explorer.exe后面也要进行检查。

　　5)批处理文件

　　如果你使用的是Win9X系统，C盘根目录下“AUTOEXEC.BAT”和WINDOWS目录下的“WinStart.bat”两个批处理文件也要看一下，里面的命令一般由安装的软件自动生成，在系统默认会将它们自动加载。在批处理文件语句前加上“echo off”，启动时就只显示命令的执行结果，而不显示命令的本身;如果再在前面加一个“@”字符就不会出现任何提示，以前的很多木马都通过此方法运行。

目前网络上最猖獗的病毒估计非木马程序莫数了，2005年木马程序的攻击性也有了很大的加强，在进程隐藏方面，做了较大的改动，不再采用独立的EXE可执行文件形式，而是改为内核嵌入方式、远程线程插入技术、挂接PSAPI等，这些木马也是目前最难对付的。本期就教你查找和清除线程插入式木马。

　　二、通过文件对比查木马

　　最近新出现的一种木马。它的主程序成功加载后，会将自身做为线程插入到系统进程SPOOLSV.EXE中，然后删除系统目录中的病毒文件和病毒在注册表中的启动项，以使反病毒软件和用户难以查觉，然后它会监视用户是否在进行关机和重启等操作，如果有，它就在系统关闭之前重新创建病毒文件和注册表启动项。下面的几招可以让它现出原形(下面均以Win XP系统为例):

　　1)对照备份的常用进程

　　大家平时可以先备份一份进程列表，以便随时进行对比查找可疑进程。方法如下:开机后在进行其他操作之前即开始备份，这样可以防止其他程序加载进程。在运行中输入“cmd”，然后输入“tasklist /svc >X:\processlist.txt”(提示:不包括引号，参数前要留空格，后面为文件保存路径)回车。这个命令可以显示应用程序和本地或远程系统上运行的相关任务/进程的列表。输入“tasklist /?”可以显示该命令的其它参数。

　　2)对照备份的系统DLL文件列表

　　对于没有独立进程的DLL木马怎么办吗?既然木马打的是DLL文件的主意，我们可以从这些文件下手，一般系统DLL文件都保存在system32文件夹下，我们可以对该目录下的DLL文件名等信息作一个列表，打开命令行窗口，利用CD命令进入system32目录，然后输入“dir *.dll>X:\listdll.txt”敲回车，这样所有的DLL文件名都被记录到listdll.txt文件中。日后如果怀疑有木马侵入，可以再利用上面的方法备份一份文件列表“listdll2.txt”，然后利用“UltraEdit”等文本编辑工具进行对比;或者在命令行窗口进入文件保存目录，输入“fc listdll.txt listdll2.txt”，这样就可以轻松发现那些发生更改和新增的DLL文件，进而判断是否为木马文件。

　　3)对照已加载模块

　　频繁安装软件会使system32目录中的文件发生较大变化，这时可以利用对照已加载模块的方法来缩小查找范围。在“开始/运行”中输入“msinfo32.exe”打开 “系统信息”，展开“软件环境/加载的模块”，然后选择“文件/导出”把它备份成文本文件，需要时再备份一个进行对比即可。

　　4)查看可疑端口

　　所有的木马只要进行连接，接收/发送数据则必然会打开端口，DLL木马也不例外，这里我们使用netstat命令查看开启的端口。我们在命令行窗口中输入“netstat -an”显示出显示所有的连接和侦听端口。Proto是指连接使用的协议名称，Local Address是本地计算机的IP地址和连接正在使用的端口号，Foreign Address是连接该端口的远程计算机的IP地址和端口号，State则是表明TCP连接的状态。Windows XP所带的netstat命令比以前的版本多了一个-O参数，使用这个参数就可以把端口与进程对应起来。输入“netstat /?”可以显示该命令的其它参数。

　　接着我们可以通过分析所打开的端口，将范围缩小到具体的进程上，然后使用进程分析软件，例如“Windows优化大师”目录下的WinProcess.exe程序，来查找嵌入其中的木马程序。有些木马会通过端口劫持或者端口重用的方法来进行通信的，一般它们会选择139、80等常用端口，所以大家分析时要多加注意。也可以利用网络嗅探软件(如:Commview)来了解打开的端口到底在传输些什么数据。

]]> Tue,28 Feb 2006 12:58:00 CST 0 <![CDATA[Windows系统中常用密码的破解方法]]> .html 　　一、遗忘了SYSTEM密码

　　如果你遗忘了CMOS设置中的SYSTEM密码，就无法启动机器了，解决的办法只能是:打开机箱，把电池取下、正负极短接，给CMOS放电，清除CMOS中的所有内容(当然也就包括密码)，然后重新开机进行设置。

　　注意:有些主板设置了CMOS密码清除跳线，请参照主板说明书将该跳线短接，这样也可以清除CMOS密码。

　　二、遗忘了SETUP密码

　　遗忘了该密码，就不能进行CMOS设置了。如果你能使用计算机，但不能进入CMOS设置，可以这样解决:在DOS状态下启动DEBUG，然后输入如下命令手工清除SETUP密码:

　　_ o 70 16

　　_ o 71 16

　　_ q

　　你也可以用CMOS密码破解软件来显示CMOS密码，这样的软件有很多，例如Cmospwd(下载地址http://www.newhua.com/soft/9231.htm，它支持Acer、AMI、AWARD、COMPAQ、DELL、IBM、PACKARD BELL、PHOENIX、ZENITH AMI等多种BIOS)，在DOS下启动该程序，CMOS密码就会显示出来。建议你到华军软件园去下载此类软件，网址http://www.onlinedown.net/sort/16_1.htm。

　　三、遗忘了Windows登录密码

　　WinMe/98下对策:开机后按F8键选择DOS启动，然后删除Windows安装目录下的*.PWL密码文件、以及Profiles子目录下的所有个人信息文件，重新启动Windows后，系统会弹出一个不包含任何用户名的密码设置框，此时无需输入任何内容，直接单击“确定”，登录密码即被删除。另外，将注册表数据库HKEY_LOCAL_MACHINE、Network、Logon分支下的UserProfiles修改为“0”，然后重新启动Windows也可达到同样目的。

　　WinXP/2000下对策:删除系统安装目录\system32\config下的SAM文件，重新启动，此时管理员Administrator账号已经没有密码了，用Administrator帐户登陆系统，不用输入任何密码，进入系统后再重新设置登陆帐户密码即可。

　　四、遗忘了Windows屏保密码

　　解决方法:在开机后按F8键，选择安全模式启动，进入Windows后，右击桌面空白处，从弹出的快捷菜单中选择“属性”/屏幕保护，取消“密码保护”即可。

　　五、遗忘了Windows电源管理密码

　　Windows的电源管理功能也可以设置密码，启用此功能后，当系统从节能状态返回时就会要求输入密码。

　　如果你遗忘了该密码，可以使用前面破解Windows登录密码的那种方法去破解。

六、遗忘了微软Office密码

　　解决方法:使用破解Office系列文档密码的软件，这样的软件有很多，例如AOPR(下载网址http://www.elcomsoft.com/)，该软件可以同时对微软Office系列Word、Excel及Access等软件所生成的密码进行破解，还可以对Word的*.DOT模板文件的密码进行搜索。

　　七、遗忘了WinZip压缩包密码

　　解决方法:用软件UZPC(Ultra Zip Password Cracker，下载地址http://download.pchome.net/utility/encrpt/5029.html)找回丢失的密码。使用该软件时要先设置适当的解密方式，例如“后门方式”、“穷举方式”、“字典方式”和“模式匹配方式”等，一般采用“Brute Force穷举方式”，然后软件就会对所有可能的密码进行测试，直至找出最后的结果。

　　八、遗忘了RAR压缩包密码

　　遗忘了RAR压缩包密码后，你可到http://www.ssl.stu.neva.ru/下载一个CRARK软件来对其进行破解，它主要通过命令行来实现对RAR压缩包的密码进行破解。使用时一般只需直接使用“CRARK RAR压缩包文件名”命令，利用缺省参数即可进行破解。

　　九、遗忘了QQ/ICQ密码

　　为保护QQ密码，你应该赶快到http://service.qq.com/psw/mo.shtml?psw.htm申请密码保护。假如你忘记了QQ密码、或者密码被盗时，只需填写正确的信息即可取回。

　　如果你要找回ICQ密码，可以使用软件ICQ Password Revealer(http://www.encrsoft.com/)，这是一个DOS下的命令行实用软件，你只需在ICQ安装文件夹的NEWDB子文件夹下执行该文件，然后按照屏幕提示输入自己的UIN，系统即会找回“久违”的ICQ密码。

　　十、遗忘了OE密码

　　如果你忘了密码，无法进入OutLook Express阅读收到的邮件、使用通讯簿等，可以这样破解:重启计算机并按F8，选择“安全模式”，再启动OE就不需要密码了，然后你可以重建一个用户(不能修改密码)，把信息导入新用户信箱即可。

　　十一、遗忘了Foxmail帐户密码

　　解决方法:消除忘记的Foxmail帐户密码。首先打开Foxmail，新建一个帐户(帐户名任意，例如如lacl1)，然后退出Foxmail;运行Windows资源管理器，找到Foxmail\MAIL\lacl1文件夹，里边有个“account.stg”，把它复制到忘记密码的帐户(例如“lacl”)目录中，直接覆盖原来的“account.stg”文件;再重新运行Foxmail，打开忘记密码的帐户，呵呵，怎么连“口令提示框”也没有?现在你就可以直接打开忘记密码的帐户，而且帐户中原来的邮件一封都不会少!

　　十二、查看“*”密码

　　许多密码在屏幕上都是以“*”显示的，因此我们无法直接看到密码的原始字符，如果你使用专门破解“*”密码的软件，即可查出这些密码的原始字符。

　　这样的软件有很多，例如Win2000/Win98下你可用iOpus Password Recovery(http://www.top183.cn/down.asp?id=8008&no=2) ，WinXP下可用Password Spectator Pro(http://dl.163.com/user/dl.php?action=dl&id=21005) 。使用时，只需先打开显示“*”的窗口，启动这类软件，然后按住Ctrl键、在密码栏中按下鼠标左键，这些“*”密码的原始字符就会显示出来了

]]> Tue,28 Feb 2006 12:56:36 CST 0 <![CDATA[修改Outlook以显示发件人的ID信息]]> .html Exchange Server 2003 Service Pack2中提供的内容，它允许用户将一个特殊的SPF（发件人策略框架或解释为“可允许的发件人地址”）记录添加到DNS服务器中，以此达到对整个邮件域中通过SMTP协议发送的信件的验证。微软推出这项功能的本意是希望越来越多的企业采用这一方式对邮件进行验证，这样就能够很大程度上拒绝一些欺骗地址的垃圾邮件。

　　一旦为系统装上了Service Pack 2的补丁包，Exchange就开始对收到的邮件的发件人ID进行审核，并将结果附加到邮件的属性中，用户可以通过Outlook来查看这些邮件的属性。就算你对如何让Outlook显示收件人ID并不感兴趣，你也可以关注一下本文的内容，因为这些内容还可以帮助你制定垃圾邮件过滤规则，以此阻挡那些欺骗地址的邮件。

　　Exchange对发件人ID检查的结果

　　如果Exchange对一封邮件的发件人ID进行了检查，那么通常会出现下面七种可能的结果：

Pass	该邮件来自一个经过认证的域的邮件服务器
Neutral	该域并没有提供发件人的任何信息
Fail	这封邮件的地址是伪造的。其原因可能是：发件人的域并不存在、发件人被禁止了、域名被修改过或在这封邮件的头部没有找到任何PRA信息
Soft Fail	这封邮件的发件人有可能是伪造的，但是不能完全确定。
None	该域并没有显示任何SPF记录
TempError	在检查的过程中出现了一些未知错误
PermError	发件人域的SPF记录有问题

利用脚本抽取发件人ID信息

　　现在你应该知道了各种结果代表的含义，那么你就可以通过使用一些脚本语言，从邮件中抽取发件人的ID信息。还好，我们不必从头开始创建这些脚本，微软已经提供了一些范例给我们。

　　下面这个脚本是从微软的网站上找到的。它运行在Outlook2003的环境下，用户只须将其存为文本文件并命名为SenderID.CFG然后放\Program Files\Microsoft Office\Office11\forms\language ID文件夹中即可。

;**********The CFG file**********

[Description]

MessageClass=IPM.Note.SenderID

CLSID={00020D0C-0000-0000-C000-000000000046}

DisplayName=SenderID Extension Form

Category=Standard

Subcategory=Form

Comment=This forms allows the SenderID to be viewed in a column in Outlook

LargeIcon=IPML.ico

SmallIcon=IPMS.ico

Version=1.0

Locale=enu

Hidden=1

Owner=Microsoft Corporation

[Platforms]

Platform1=Win16

Platform2=NTx86

Platform9=Win95

[Platform.Win16]

CPU=ix86

OSVersion=Win3.1

[Platform.NTx86]

CPU=ix86

OSVersion=WinNT3.5

[Platform.Win95]

CPU=ix86

OSVersion=Win95

[Properties]

Property01=SenderID

[Property.SenderID]

Type=3

;NmidString=PR_SENDER_ID_STATUS

NmidInteger=0x4079

DisplayName=SenderID

[Verbs]

Verb1=1

[Verb.1]

DisplayName=&Open

Code=0

Flags=0

Attribs=2

[Extensions]

Extensions1=1

[Extension.1]

Type=30

NmidPropset={00020D0C-0000-0000-C000-000000000046}

NmidInteger=1

Value=1000000000000000

;**********END CFG

配置Outlook让其运行这个脚本

打开Outlook并选择“工具”|“选项”。
选择“其他”标签并单击“高级选项”按钮。
点击“自定义窗体”按钮然后再点击“管理窗体”按钮。
点击“安装”按钮，把刚才的SenderID.CFG安装到你的格式列表中。
点击“OK”然后退出对话框。
切换到Outlook的主界面，选择收件箱，在邮件显示列名上点击鼠标右键，然后选择“字段选择器”。
在列名选择对话框的顶部，有一个下拉菜单，可以供你选择想要显示的列，请选择“窗体…”。
Outlook会把你的窗体列表显示出来，而发件人ID扩展格式会出现在相应列表中。将它们拖放到邮件显示列名顶部，这样一来就可以查看收件箱中每封邮件的发件人ID状态了。

　　你会注意到，发件人ID状态是以数字来表示的，下面是数字和对应的状态列表：

　　1 = Neutral

　　2 = Pass

　　3 = Fail

　　4 = Soft Fail

　　5 = None

　　6 = Temp

　　7 = Temp Error

　　8 = Perm Error

　　更改发件人ID状态的显示选项

　　要想让Outlook直接显示发件人ID的状态而不是数字，可以参考下面的方法：

　　1、在Outlook的收件箱中右键单击邮件显示列名，然后选择“字段选择器”。

　　2、在弹出对话框中点击“新建”按钮。

　　3、你会见到一个对话框，上面让你输入名字、类型和格式等。你可以为这个列名取名叫SID，然后把类型选择为“公式”。

　　4、将下面这些内容粘贴到“公式”的列表中IIf([SenderID]=1,"NEUTRAL",IIf([SenderID]=2,"PASS",IIf([SenderID]=3,"FAIL",IIf([SenderID]=4,"SFAIL",IIf([SenderID]=5,"NONE",IIf([SenderID]=-2147483641,"PERM_ERR",IIf([SenderID]=-2147483642,"TEMP_ERR",[SenderID])))))))

　　5、单击OK，创建了一个新的SID列。

　　6、现在，Outlook在显示收件箱的邮件时就会多显示一列SID，这样就可以直接查看发件人的ID检查状态了。

]]> Tue,28 Feb 2006 12:51:40 CST 0 <![CDATA[重现Windows自动保存密码功能]]> .html 　　Windows下几乎每一款须要输入密码的软件都提供了自动保存密码的功能，对于个人家庭用户来说，这确实是个方便快捷的形式，但也容易让我们养成经常遗忘密码的坏习惯。因此，我们在注意备份的同时还应该掌握一些显示这类系统自动保存的密码的方法。

　　自动保存密码的狡兔之窟

　　现在我们来看看一组非常常见的密码—Outlook Express、MSN Explorer账户密码和Internet Explorer的自动保存密码，它们看起来似乎是风马牛不相及，但是他们的存储原理却近乎一致（OE、MSN浏览器和IE，它们都是微软旗下的同门师兄弟嘛）。而微软为它们量身打造的狡兔之窟，就是Protected Storage。

　　在哪里能够找到它的踪影？“开始”→“设置”→“控制面板”→“管理工具”→“服务”，可以看到其中的Protected Storage服务，这就是我们要找的家伙。　　

　　Protected Storage服务是Windows XP系统密码自动保存的运作基础

　　1.微软工具自动保存密码的秘密

　　Protected Storage其实就是为应用程序的安全保存提供一个接口（OE、IE和MSN浏览器都继承了这个接口，所以它们的密码都是一条绳子上的蚂蚱），用通用的方法保存了以下这些非常重要的隐密信息。

　　Outlook Express账户密码
　　IE自动保存的密码
　　MSN Explorer浏览器登录账户密码
　　IE自动完成的资料（例如填表时的个人资料、Google的搜索历史）

　　这些隐私信息都分门别类地保存在PStore（Protected Storage）中，每一个数据个体被称为“项”，每一个“项”由标识键、型别、子型别和名称组成。标识键指定该“项”是对整个计算机有效还是仅对当前用户有效，型别和子型别都是GUID，由应用程序指定，其附加信息存储于注册表中，而名称是一个字符串，通常由用户来选择。

�