网络黑客是怎么操作的

Web服务器将成为下一代黑客施展妖术的对象。在很大程度上，进行这种攻击只需一个Web浏览器和一个创造性的头脑。以前，黑客的攻击对象集中在操作系统和网络协议上，但随着这些攻击目标的弱点和漏洞逐渐得到修补，要进行这类攻击已经变得非常困难。操作系统正在变得更加稳健，对攻击的抵抗能力日益提高。随着身份验证和加密功能渐渐被内置到网络协议中，网络协议也变得更加安全。此外，防火墙也越来越智能，成为网络和系统的外部保护屏障。

另一方面，电子商务技术正在日益普及开来，其复杂性有增无减。基于Web的应用程序正在与基本的操作系统和后端数据库更加紧密地集成在一起。遗憾的是，人们在基于Web的基础设施安全性方面所做的工作还很不够。Web服务器和Web应用程序中的弱点被发现的速度为何这么快呢？

有很多因素促成了这种Web黑客活动的快速增加。其中最主要的原因是防火墙允许所有的Web通信都可以进出网络，而防火墙无法防止对Web服务器程序及其组件或Web应用程序的攻击。第二个原因是，Web服务器和基于Web的应用程序有时是在“功能第一，安全其次”的思想指导下开发出来的。

当您的Web服务器面临巨大威胁时，怎样保障它们的安全呢？这就需要您不断了解新信息，新情况，每天跟踪您所用服务器的有关网站，阅读相关新闻并向它进行咨询。为了让你着手这方面的工作，下面介绍黑客对NT系统的四种常用攻击手段，同时介绍如何防止这类攻击。

Microsoft IIS ism.dll缓冲区溢出

受影响的服务器：运行IIS 4.0并带有“Service Pack 3/4/5”的Windows NT服务器

Microsoft IIS缓冲区溢出这一安全弱点是Web服务器无时不有的重大缺陷之一。该弱点被称为IIS

eEye，这个名称来自发现此问题的一个小组。在实施缓冲区溢出攻击时，黑客向目标程序或服务输入超出程序处理能力的数据，导致程序突然终止。另外，还可以通过设置，在执行中的程序终止运行前，用输入的内容来覆盖此程序的某些部分，这样就可以在服务器的安全权限环境下执行任意黑客命令。

eEye发现，IIS用来解释HTR文件的解释程序是ism.dll，它对缓冲区溢出攻击的抵抗力十分脆弱。如果攻击者将一个以.htr结尾的超长文件名（大约3,000个字符，或更多）传递给IIS，那么输入值将在ism.dll中造成输入缓冲区溢出，并导致IIS崩溃。如果攻击者输入的不是一串字母而是可执行代码（通常称为“鸡蛋”或“外壳代码”），那么在IIS终止之前将执行该代码。由eEye小组发现的这一攻击方法包括三个步骤：

1．创建一个用于侦听任意TCP端口上连接活动的程序。一旦接收到连接信号，该程序将执行一个Windows命令外壳程序(cmd.exe)，并将该外壳与连接绑定在一起。这个程序是经过修改的Netcat。Netcat是一个流行的网络连接实用程序，其源代码可以免费获得。

2．在IIS的ism.dll中制造缓冲区溢出，并使IIS从外部Web站点下载侦听程序（由步骤1产生）。

3．执行刚下载的程序（由步骤2产生），该程序将等待传入的连接并使攻击者进入Windows命令外壳程序中。

由于缓冲区溢出导致IIS在崩溃之前转而运行Windows命令外壳，所以该外壳程序将在IIS的安全权限背景下运行，而该安全权限背景等价于NT

Administrator权限。这样，攻击者要做的只是与被攻击的IIS服务器的侦听端口建立连接，然后等着出现c:提示就万事大吉了。现在，攻击者拥有对整个NT服务器的管理权限，可以做任何事，比如，添加新用户、修改服务器的内容、格式化驱动器，甚至将该服务器用作攻击其它系统的踏脚石。

运行IIS 4.0并带有“Service Pack 3/4/5”的Windows

NT服务器容易受到此类攻击。Microsoft已经发布了对该弱点的修补程序。Windows NT Service Pack

6也已经修补了该问题。

Microsoft IIS MDAC RDS安全弱点

受影响的服务器：运行IIS 4.0并安装了MDAC 2.1或更早版本的Windows NT服务器

在发现IIS eEye安全弱点的大约一个月后，IIS

4.0的另一个弱点又暴露出来。使用Microsoft数据访问组件(MDAC)和远程数据服务(RDS)，攻击者可以建立非法的ODBC连接，并获得对Web服务器上的内部文件的访问权。如果安装了Microsoft

Jet OLE DB提供程序或Datashape提供程序，攻击者可以使用Visual Basic for Applications

shell()函数发出能够在服务器上执行的命令。

在安装了MDAC 2.1或更高版本的IIS 4.0上，从位于其公共目录中的msadcmsadcs.dll，可以找到MDAC

RDS弱点。Rain Forest

Puppy在其站点中对该弱点进行了详细说明。该弱点利用了IIS上MDAC默认安装时的不适当配置和安全机制的缺乏这一漏洞。在等价于NT

Administrator的IIS Web服务器进程的安全权限背景下，进行这种攻击的黑客可以在NT系统上远程执行任意命令。

MDAC的弱点不是由于技术造成的，而是由于用户对它的配置方式所致。很多站点是通过NT Option Pack 4.0安装IIS

4.0的。如果NT Option Pack

4.0是以典型或默认配置安装的，那么MDAC就容易遭到这种攻击。大多数使用默认安装的系统管理员都没有具体调整过这些设置，从而使Web服务器的安全性大大降低。

Foundstone公司的George Kurtz、Purdue大学的Nitesh

Dhanjani和我曾经共同设计了一个只有一行的命令字符串，该命令将利用MDAC

RDS弱点，使远程NT系统启动一个通过FTP或TFTP进行的文件传输过程。这个命令将告诉服务器到从某个外部系统下载并执行Netcat。Netcat将运行Windows命令外壳程序，并建立一个返回攻击者计算机的连接，这样，攻击者就获得了对远程NT系统的完全管理控制权。

Microsoft已经发布了相应的安全公告，并对使IIS 4.0免受该弱点攻击的保护措施进行了说明。

Allaire ColdFusion 4.0弱点

受影响的服务器：运行在Windows NT上的Allaire ColdFusion Server 4.0

作为还算容易使用的、功能强大的脚本语言，ColdFusion已经广泛流行起来。但流行并不意味着安全。ColdFusion的问题不在于该服务器自身，而是在于它附带的脚本。ColdFusion

4.0提供了示范应用程序和范例，它们可以在位于Web服务器根目录中的cfdocsexampleapp和cfdocsexpeval目录中找到。当用户执行典型安装时，将安装这些应用程序和脚本。ColdFusion所附带的部分范例经过修改后，将允许非法访问服务器上所包含的敏感数据。这些弱点表明，基本的应用程序服务器可以被编写得不好的应用程序脚本歪曲利用。

存在这种弱点的一个范例应用程序是cfdocsexampleappdocssourcewindow.cfm。因为ColdFusion是作为具有Administrator权限的系统服务运行的，所以，该程序可以被用来任意访问和查看NT

Web服务器上的任何文件，包括boot.ini。用这种方法可以检索任何文件。Packet Storm对该弱点做了完整解释。

而更严重的弱点存在于cfdocsexpevalopenfile.cfm、cfdocsexpevaldisplayopenedfile.cfm和cfdocsexpevalexprcalc.cfm中。这三个文件可以用来查看服务器上的任何文件，更为严重的是，它们还能将任意文件上载到服务器。对该弱点如何发作的讨论超出了本文的范围，欲了解详细信息请访问L0pht

Heavy

Industries的咨询信息。表达式求值程序exprcalc.cfm用于让开发人员计算被上载文件中的ColdFusion表达式的值。作为预防手段，该脚本在进行表达式计算时便会把被上载的文件删除掉，但要避免删除却是件容易的事。这样，攻击者可以上载恶意文件，并最终控制服务器。

这些就是ColdFusion的示范脚本中最严重的弱点。要防止出现问题，请从任何运行中的服务器中删除ColdFusion示范脚本。Allaire的Security

Zone提供了补丁程序，并提供了如何保护ColdFusion服务器的进一步信息。

Sambar 4.3 hello.bat

受影响的服务器：运行在Windows NT上的Sambar 4.3 beta 7和更早版本

Sambar是提供给开发者的免费Web服务器。它提供了对CGI和WinCGI脚本、ODBC脚本以及ISAPI的支持。它甚至捆绑了Perl

5解释器。

Sambar 4.3 beta

7版和更早版本附带两个名为hello.bat和echo.bat的文件，它们是将Windows批处理文件用作CGI脚本的范例。这两个脚本本身没有问题，hello.bat显示字符串“Hello

World”，而echo.bat显示字符串“Place

Holder”。但当批处理文件被用作CGI脚本时，Web服务器将使用Windows命令外壳程序cmd.exe来运行它们。这样，攻击者可以利用该弱点针对目标服务器运行任意命令。例如，假如攻击者把URL

http://target.site/cgi-bin/hello.bat?dir+c:放在他或她的浏览器中，那么，将在服务器上运行命令“dir

c:”，并在浏览器上显示结果。由于Sambar是在NT

Administrator安全权限下运行的，因此事情会变得更为复杂。这样的权限等级可以让攻击者作为NT Administrator运行任意命令。

Windows命令外壳使用“”在相同命令行上分隔多个命令。如果用户将“”放在hello.bat的后面，并在其后添加一个命令，那么将在执行hello.bat后执行第二个命令。

由于已经删除了文件hello.bat和echo.bat，Sambar 4.3 beta

8版和更高版本没有该弱点。但是，由于Windows命令外壳程序解析命令行的方式无法改变，所以并没有办法能真正修正该问题。如果您安装了4.3

beta 7版或更低版本，请一定要删除hello.bat和echo.bat。

黑客可以利用哪些开放的端口对个人电脑进行入侵

端口：0

服务：Reserved

说明：通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端口，当你试图使用通常的闭合端口连接它时将产生不同的结果。一种典型的扫描，使用IP地址为0.0.0.0，设置ACK位并在以太网层广播。

端口：1

服务：tcpmux

说明：这显示有人在寻找SGI Irix机器。Irix是实现tcpmux的主要提供者，默认情况下tcpmux在这种系统中被打开。Irix机器在发布是含有几个默认的无密码的帐户，如：IP、GUEST UUCP、NUUCP、DEMOS 、TUTOR、DIAG、OUTOFBOX等。许多管理员在安装后忘记删除这些帐户。因此HACKER在INTERNET上搜索tcpmux并利用这些帐户。

端口：7

服务：Echo

说明：能看到许多人搜索Fraggle放大器时，发送到X.X.X.0和X.X.X.255的信息。

端口：19

服务：Character Generator

说明：这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时会发送含有垃圾字符的数据流直到连接关闭。HACKER利用IP欺骗可以发动DoS攻击。伪造两个chargen服务器之间的UDP包。同样Fraggle DoS攻击向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。

端口：21

服务：FTP

说明：FTP服务器所开放的端口，用于上传、下载。最常见的攻击者用于寻找打开anonymous的FTP服务器的方法。这些服务器带有可读写的目录。木马Doly Trojan、Fore、Invisible FTP、WebEx、WinCrash和Blade Runner所开放的端口。

端口：22

服务：Ssh

说明：PcAnywhere建立的TCP和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点，如果配置成特定的模式，许多使用RSAREF库的版本就会有不少的漏洞存在。

端口：23

服务：Telnet

说明：远程登录，入侵者在搜索远程登录UNIX的服务。大多数情况下扫描这一端口是为了找到机器运行的操作系统。还有使用其他技术，入侵者也会找到密码。木马Tiny Telnet Server就开放这个端口。

端口：25

服务：SMTP

说明：SMTP服务器所开放的端口，用于发送邮件。入侵者寻找SMTP服务器是为了传递他们的SPAM。入侵者的帐户被关闭，他们需要连接到高带宽的E-MAIL服务器上，将简单的信息传递到不同的地址。木马Antigen、Email Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都开放这个端口。

端口：31

服务：MSG Authentication

说明：木马Master Paradise、Hackers Paradise开放此端口。

端口：42

服务：WINS Replication

说明：WINS复制

端口：53

服务：Domain Name Server（DNS）

说明：DNS服务器所开放的端口，入侵者可能是试图进行区域传递（TCP），欺骗DNS（UDP）或隐藏其他的通信。因此防火墙常常过滤或记录此端口。

端口：67

服务：Bootstrap Protocol Server

说明：通过DSL和Cable modem的防火墙常会看见大量发送到广播地址255.255.255.255的数据。这些机器在向DHCP服务器请求一个地址。HACKER常进入它们，分配一个地址把自己作为局部路由器而发起大量中间人（man-in-middle）攻击。客户端向68端口广播请求配置，服务器向67端口广播回应请求。这种回应使用广播是因为客户端还不知道可以发送的IP地址。

端口：69

服务：Trival File Transfer

说明：许多服务器与bootp一起提供这项服务，便于从系统下载启动代码。但是它们常常由于错误配置而使入侵者能从系统中窃取任何 文件。它们也可用于系统写入文件。

端口：79

服务：Finger Server

说明：入侵者用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误，回应从自己机器到其他机器Finger扫描。

端口：80

服务：HTTP

说明：用于网页浏览。木马Executor开放此端口。

端口：99

服务：metagram Relay

说明：后门程序ncx99开放此端口。

端口：102

服务：Message transfer agent(MTA)-X.400 over TCP/IP

说明：消息传输代理。

端口：109

服务：Post Office Protocol -Version3

说明：POP3服务器开放此端口，用于接收邮件，客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。关于用户名和密码交 换缓冲区溢出的弱点至少有20个，这意味着入侵者可以在真正登陆前进入系统。成功登陆后还有其他缓冲区溢出错误。

端口：110

服务：SUN公司的RPC服务所有端口

说明：常见RPC服务有rpc.mountd、NFS、rpc.statd、rpc.csmd、rpc.ttybd、amd等

端口：113

服务：Authentication Service

说明：这是一个许多计算机上运行的协议，用于鉴别TCP连接的用户。使用标准的这种服务可以获得许多计算机的信息。但是它可作为许多服务的记录器，尤其是FTP、POP、IMAP、SMTP和IRC等服务。通常如果有许多客户通过防火墙访问这些服务，将会看到许多这个端口的连接请求。记住，如果阻断这个端口客户端会感觉到在防火墙另一边与E-MAIL服务器的缓慢连接。许多防火墙支持TCP连接的阻断过程中发回RST。这将会停止缓慢的连接。

端口：119

服务：Network News Transfer Protocol

说明：NEWS新闻组传输协议，承载USENET通信。这个端口的连接通常是人们在寻找USENET服务器。多数ISP限制，只有他们的客户才能访问他们的新闻组服务器。打开新闻组服务器将允许发/读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送SPAM。

端口：135

服务：Location Service

说明：Microsoft在这个端口运行DCE RPC end-point mapper为它的DCOM服务。这与UNIX 111端口的功能很相似。使用DCOM和RPC的服务利用计算机上的end-point mapper注册它们的位置。远端客户连接到计算机时，它们查找end-point mapper找到服务的位置。HACKER扫描计算机的这个端口是为了找到这个计算机上运行Exchange Server吗？什么版本？还有些DOS攻击直接针对这个端口。

端口：137、138、139

服务：NETBIOS Name Service

说明：其中137、138是UDP端口，当通过网上邻居传输文件时用这个端口。而139端口：通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于windows文件和打印机共享和SAMBA。还有WINS Regisrtation也用它。

端口：143

服务：Interim Mail Access Protocol v2

说明：和POP3的安全问题一样，许多IMAP服务器存在有缓冲区溢出漏洞。记住：一种LINUX蠕虫（admv0rm）会通过这个端口繁殖，因此许多这个端口的扫描来自不知情的已经被感染的用户。当REDHAT在他们的LINUX发布版本中默认允许IMAP后，这些漏洞变的很流行。这一端口还被用于IMAP2，但并不流行。

端口：161

服务：SNMP

说明：SNMP允许远程管理设备。所有配置和运行信息的储存在数据库中，通过SNMP可获得这些信息。许多管理员的错误配置将被暴露在Internet。Cackers将试图使用默认的密码public、private访问系统。他们可能会试验所有可能的组合。SNMP包可能会被错误的指向用户的网络。

端口：177

服务：X Display Manager Control Protocol

说明：许多入侵者通过它访问X-windows操作台，它同时需要打开6000端口。

端口：389

服务：LDAP、ILS

说明：轻型目录访问协议和NetMeeting Internet Locator Server共用这一端口。

端口：443

服务：Https

说明：网页浏览端口，能提供加密和通过安全端口传输的另一种HTTP。

端口：456

服务：[NULL]

说明：木马HACKERS PARADISE开放此端口。

端口：513

服务：Login,remote login

说明：是从使用cable modem或DSL登陆到子网中的UNIX计算机发出的广播。这些人为入侵者进入他们的系统提供了信息。

端口：544

服务：[NULL]

说明：kerberos kshell

端口：548

服务：Macintosh,File Services(AFP/IP)

说明：Macintosh,文件服务。

端口：553

服务：CORBA IIOP （UDP）

说明：使用cable modem、DSL或VLAN将会看到这个端口的广播。CORBA是一种面向对象的RPC系统。入侵者可以利用这些信息进入系统。

端口：555

服务：DSF

说明：木马PhAse1.0、Stealth Spy、IniKiller开放此端口。

端口：568

服务：Membership DPA

说明：成员资格 DPA。

端口：569

服务：Membership MSN

说明：成员资格 MSN。

端口：635

服务：mountd

说明：Linux的mountd Bug。这是扫描的一个流行BUG。大多数对这个端口的扫描是基于UDP的，但是基于TCP的mountd有所增加（mountd同时运行于两个端口）。记住mountd可运行于任何端口（到底是哪个端口，需要在端口111做portmap查询），只是Linux默认端口是635，就像NFS通常运行于2049端口。

端口：636

服务：LDAP

说明：SSL（Secure Sockets layer）

端口：666

服务：Doom Id Software

说明：木马Attack FTP、Satanz Backdoor开放此端口

端口：993

服务：IMAP

说明：SSL（Secure Sockets layer）

端口：1001、1011

服务：[NULL]

说明：木马Silencer、WebEx开放1001端口。木马Doly Trojan开放1011端口。

端口：1024

服务：Reserved

说明：它是动态端口的开始，许多程序并不在乎用哪个端口连接网络，它们请求系统为它们分配下一个闲置端口。基于这一点分配从端口1024开始。这就是说第一个向系统发出请求的会分配到1024端口。你可以重启机器，打开Telnet，再打开一个窗口运行natstat -a 将会看到Telnet被分配1024端口。还有SQL session也用此端口和5000端口。

端口：1025、1033

服务：1025：network blackjack 1033：[NULL]

说明：木马netspy开放这2个端口。

端口：1080

服务：SOCKS

说明：这一协议以通道方式穿过防火墙，允许防火墙后面的人通过一个IP地址访问INTERNET。理论上它应该只允许内部的通信向外到达INTERNET。但是由于错误的配置，它会允许位于防火墙外部的攻击穿过防火墙。WinGate常会发生这种错误，在加入IRC聊天室时常会看到这种情况。

端口：1170

服务：[NULL]

说明：木马Streaming Audio Trojan、Psyber Stream Server、Voice开放此端口。

端口：1234、1243、6711、6776

服务：[NULL]

说明：木马SubSeven2.0、Ultors Trojan开放1234、6776端口。木马SubSeven1.0/1.9开放1243、6711、6776端口。

端口：1245

服务：[NULL]

说明：木马Vodoo开放此端口。

端口：1433

服务：SQL

说明：Microsoft的SQL服务开放的端口。

端口：1492

服务：stone-design-1

说明：木马FTP99CMP开放此端口。

端口：1500

服务：RPC client fixed port session queries

说明：RPC客户固定端口会话查询

端口：1503

服务：NetMeeting T.120

说明：NetMeeting T.120

端口：1524

服务：ingress

说明：许多攻击脚本将安装一个后门SHELL于这个端口，尤其是针对SUN系统中Sendmail和RPC服务漏洞的脚本。如果刚安装了防火墙就看到在这个端口上的连接企图，很可能是上述原因。可以试试Telnet到用户的计算机上的这个端口，看看它是否会给你一个SHELL。连接到600/pcserver也存在这个问题。

端口：1600

服务：issd

说明：木马Shivka-Burka开放此端口。

端口：1720

服务：NetMeeting

说明：NetMeeting H.233 call Setup。

端口：1731

服务：NetMeeting Audio Call Control

说明：NetMeeting音频调用控制。

端口：1807

服务：[NULL]

说明：木马SpySender开放此端口。

端口：1981

服务：[NULL]

说明：木马ShockRave开放此端口。

端口：1999

服务：cisco identification port

说明：木马BackDoor开放此端口。

端口：2000

服务：[NULL]

说明：木马GirlFriend 1.3、Millenium 1.0开放此端口。

端口：2001

服务：[NULL]

说明：木马Millenium 1.0、Trojan Cow开放此端口。

端口：2023

服务：xinuexpansion 4

说明：木马Pass Ripper开放此端口。

端口：2049

服务：NFS

说明：NFS程序常运行于这个端口。通常需要访问Portmapper查询这个服务运行于哪个端口。

端口：2115

服务：[NULL]

说明：木马Bugs开放此端口。

端口：2140、3150

服务：[NULL]

说明：木马Deep Throat 1.0/3.0开放此端口。

端口：2500

服务：RPC client using a fixed port session replication

说明：应用固定端口会话复制的RPC客户

端口：2583

服务：[NULL]

说明：木马Wincrash 2.0开放此端口。

端口：2801

服务：[NULL]

说明：木马Phineas Phucker开放此端口。

端口：3024、4092

服务：[NULL]

说明：木马WinCrash开放此端口。

端口：3128

服务：squid

说明：这是squid HTTP代理服务器的默认端口。攻击者扫描这个端口是为了搜寻一个代理服务器而匿名访问Internet。也会看到搜索其他代理服务器的端口8000、8001、8080、8888。扫描这个端口的另一个原因是用户正在进入聊天室。其他用户也会检验这个端口以确定用户的机器是否支持代理。

端口：3129

服务：[NULL]

说明：木马Master Paradise开放此端口。

端口：3150

服务：[NULL]

说明：木马The Invasor开放此端口。

端口：3210、4321

服务：[NULL]

说明：木马SchoolBus开放此端口

端口：3333

服务：dec-notes

说明：木马Prosiak开放此端口

端口：3389

服务：超级终端

说明：WINDOWS 2000终端开放此端口。

端口：3700

服务：[NULL]

说明：木马Portal of Doom开放此端口

端口：3996、4060

服务：[NULL]

说明：木马RemoteAnything开放此端口

端口：4000

服务：QQ客户端

说明：腾讯QQ客户端开放此端口。

端口：4092

服务：[NULL]

说明：木马WinCrash开放此端口。

端口：4590

服务：[NULL]

说明：木马ICQTrojan开放此端口。

端口：5000、5001、5321、50505

服务：[NULL]

说明：木马blazer5开放5000端口。木马Sockets de Troie开放5000、5001、5321、50505端口。

端口：5400、5401、5402

服务：[NULL]

说明：木马Blade Runner开放此端口。

端口：5550

服务：[NULL]

说明：木马xtcp开放此端口。

端口：5569

服务：[NULL]

说明：木马Robo-Hack开放此端口。

端口：5632

服务：pcAnywere

说明：有时会看到很多这个端口的扫描，这依赖于用户所在的位置。当用户打开pcAnywere时，它会自动扫描局域网C类网以寻找可能的代理（这里的代理是指agent而不是proxy）。入侵者也会寻找开放这种服务的计算机。，所以应该查看这种扫描的源地址。一些搜寻pcAnywere的扫描包常含端口22的UDP数据包。

端口：5742

服务：[NULL]

说明：木马WinCrash1.03开放此端口。

端口：6267

服务：[NULL]

说明：木马广外女生开放此端口。

端口：6400

服务：[NULL]

说明：木马The tHing开放此端口。

端口：6670、6671

服务：[NULL]

说明：木马Deep Throat开放6670端口。而Deep Throat 3.0开放6671端口。

端口：6883

服务：[NULL]

说明：木马DeltaSource开放此端口。

端口：6969

服务：[NULL]

说明：木马Gatecrasher、Priority开放此端口。

端口：6970

服务：RealAudio

说明：RealAudio客户将从服务器的6970-7170的UDP端口接收音频数据流。这是由TCP-7070端口外向控制连接设置的。

端口：7000

服务：[NULL]

说明：木马Remote Grab开放此端口。

端口：7300、7301、7306、7307、7308

服务：[NULL]

说明：木马NetMonitor开放此端口。另外NetSpy1.0也开放7306端口。

端口：7323

服务：[NULL]

说明：Sygate服务器端。

端口：7626

服务：[NULL]

说明：木马Giscier开放此端口。

端口：7789

服务：[NULL]

说明：木马ICKiller开放此端口。

端口：8000

服务：OICQ

说明：腾讯QQ服务器端开放此端口。

端口：8010

服务：Wingate

说明：Wingate代理开放此端口。

端口：8080

服务：代理端口

说明：WWW代理开放此端口。

=========常见木马使用端口===================

31338=Back Orifice

8102=网络神偷

31338=DeepBO

2000=黑洞2000

31339=NetSpy DK

2001=黑洞2001

31666=BOWhack

6267=广外女生

34324= BigGluck

7306=网络精灵3.0，netspy3.0

40412 =The Spy

7626=冰河

40421= Masters Paradise

8011=wry，赖小子，火凤凰

40422= Masters Paradise 1.x

23444=网络公牛，netbull

40423= Masters Paradise 2.x

23445=网络公牛，netbull

40426= Masters Paradise 3.x

19191=蓝色火焰

50505 =Sockets de Troie

27374=Sub Seven 2.0+，77，东方魔眼

50766 =Fore

国外常见木马使用端口

53001 =Remote Windows Shutdown

121 =BO jammerkillahV

61466 =Telecommando

666 =Satanz Backdoor

65000 =Devil

1001= Silencer

6400= The tHing

1600 =Shivka-Burka

12346 =NetBus 1.x

1807= SpySender

20034 = NetBus Pro

1981= Shockrave

1243 =SubSeven

1001= WebEx

30100= NetSphere

1011= Doly Trojan

1001= Silencer

1170 =Psyber Stream Server

20000= Millenium

1234= Ultors Trojan

65000= Devil 1.03

1245 =VooDoo Doll

7306= NetMonitor

1492 =FTP99CMP

1170 =Streaming Audio Trojan

1999 =BackDoor

30303 =Socket23

2001= Trojan Cow

6969 =Gatecrasher

2023= Ripper

61466= Telecommando

2115= Bugs

12076 =Gjamer

2140 =Deep Throat

4950= IcqTrojen

2140= The Invasor

16969= Priotrity

2801= Phineas Phucker

1245 = Vodoo

30129 =Masters Paradise

5742 = Wincrash

3700= Portal of Doom

2583 = Wincrash2

4092 =WinCrash

1033 =Netspy

4590 =ICQTrojan

1981 = ShockRave

5000 =Sockets de Troie

555= Stealth Spy

5001 =Sockets de Troie 1.x

2023 =Pass Ripper

5321= Firehotcker

666 =Attack FTP

5400 =Blade Runner

21554 =GirlFriend

5401= Blade Runner 1.x

50766 =Fore= Schwindler

5402 =Blade Runner 2.x

34324= Tiny Telnet Server

5569 =Robo-Hack

30999= Kuang

6670 =DeepThroat

11000 =Senna Spy Trojans

6771= DeepThroat

23456= WhackJob

6969= GateCrasher

555= Phase0

6969 =Priority

5400 = Blade Runner

7000= Remote Grab

4950 = IcqTrojan

7300 =NetMonitor

9989 = InIkiller

7301= NetMonitor 1.x

9872 = Portal Of Doom

7306 =NetMonitor 2.x

11223 = Progenic Trojan

7307= NetMonitor 3.x

22222= Prosiak 0.47

7308 =NetMonitor 4.x

53001 = Remote Windows Shutdown

7789= ICKiller

5569= RoboHack

9872 =Portal of Doom

1001= Silencer

9873 =Portal of Doom 1.x

2565 = Striker

9874 =Portal of Doom 2.x

40412 = TheSpy

9875 =Portal of Doom 3.x

2001 = TrojanCow

10067 =Portal of Doom 4.x

23456 = UglyFtp

10167= Portal of Doom 5.x

1001 =WebEx

9989= iNi-Killer

1999 =Backdoor

11000 =Senna Spy

2801 =Phineas

11223= Progenic trojan

1509 =Psyber Streaming Server

12223= Hack?99 KeyLogger

6939 =Indoctrination

1245= GabanBus

456 =Hackers Paradise

1245= NetBus

1011= Doly Trojan

12361 =Whack-a-mole

1492= FTP99CMP

12362 =Whack-a-mole 1.x

1600= Shiva Burka

16969 =Priority

53001 = Remote Windows Shutdown

20001 =Millennium

34324= BigGluck=

20034= NetBus 2 Pro

31339 =NetSpy DK

21544＝GirlFriend

12223 = Hack?99 KeyLogger

22222=Prosiak

9989 =iNi-Killer

33333＝Prosiak

7789 =ICQKiller

23456＝Evil FTP

9875=Portal of Doom

23456＝ Ugly FTP

5321 = Firehotcker

26274＝ Delta

40423= Master Paradise

31337 ＝Back Orifice

黑客是怎样通过网络入侵电脑的啊？

黑客是入侵别人电脑的方法有9种。

1、获取口令

这又有三种方法：

一是通过网络监听非法得到用户口令，这类方法有一定的局限性，但危害性极大，监听者往往能够获得其所在网段的所有用户账号和口令，对局域网安全威胁巨大；二是在知道用户的账号后（如电子邮件@前面的部分）利用一些专门软件强行破解用户口令，这种方法不受网段限制，但黑客要有足够的耐心和时间；三是在获得一个服务器上的用户口令文件（此文件成为Shadow文件）后，用暴力破解程序破解用户口令，该方法的使用前提是黑客获得口令的Shadow文件。

此方法在所有方法中危害最大，因为它不需要像第二种方法那样一遍又一遍地尝试登录服务器，而是在本地将加密后的口令与Shadow文件中的口令相比较就能非常容易地破获用户密码，尤其对那些弱智用户(指口令安全系数极低的用户，如某用户账号为zys，其口令就是zys666、666666、或干脆就是zys等)更是在短短的一两分钟内，甚至几十秒内就可以将其干掉。

2、放置特洛伊木马程序

特洛伊木马程序可以直接侵入用户的电脑并进行破坏，它常被伪装成工具程序或者游戏等诱使用户打开带有特洛伊木马程序的邮件附件或从网上直接下载，一旦用户打开了这些邮件的附件或者执行了这些程序之后，它们就会象古特洛伊人在敌人城外留下的藏满士兵的木马一样留在自己的电脑中，并在自己的计算机系统中隐藏一个可以在Windows启动时悄悄执行的程序。

当您连接到因特网上时，这个程序就会通知黑客，来报告您的IP地址以及预先设定的端口。黑客在收到这些信息后，再利用这个潜伏在其中的程序，就可以任意地修改您的计算机的参数设定、复制文件、窥视你整个硬盘中的内容等，从而达到控制你的计算机的目的。

3、WWW的欺骗技术

在网上用户可以利用IE等浏览器进行各种各样的WEB站点的访问，如阅读新闻组、咨询产品价格、订阅报纸、电子商务等。然而一般的用户恐怕不会想到有这些问题存在：正在访问的网页已经被黑客篡改过，网页上的信息是虚假的！例如黑客将用户要浏览的网页的URL改写为指向黑客自己的服务器，当用户浏览目标网页的时候，实际上是向黑客服务器发出请求，那么黑客就可以达到欺骗的目的了。

4、电子邮件攻击

电子邮件攻击主要表现为两种方式：

一是电子邮件轰炸和电子邮件“滚雪球”，也就是通常所说的邮件炸弹，指的是用伪造的IP地址和电子邮件地址向同一信箱发送数以千计、万计甚至无穷多次的内容相同的垃圾邮件，致使受害人邮箱被“炸”，严重者可能会给电子邮件服务器操作系统带来危险，甚至瘫痪；

二是电子邮件欺骗，攻击者佯称自己为系统管理员（邮件地址和系统管理员完全相同），给用户发送邮件要求用户修改口令（口令可能为指定字符串）或在貌似正常的附件中加载病毒或其他木马程序（据笔者所知，某些单位的网络管理员有定期给用户免费发送防火墙升级程序的义务，这为黑客成功地利用该方法提供了可乘之机)，这类欺骗只要用户提高警惕，一般危害性不是太大。

5、通过一个节点来攻击其他节点

黑客在突破一台主机后，往往以此主机作为根据地，攻击其他主机(以隐蔽其入侵路径，避免留下蛛丝马迹)。他们可以使用网络监听方法，尝试攻破同一网络内的其他主机；也可以通过IP欺骗和主机信任关系，攻击其他主机。这类攻击很狡猾，但由于某些技术很难掌握，如IP欺骗，因此较少被黑客使用。

6、网络监听

网络监听是主机的一种工作模式，在这种模式下，主机可以接受到本网段在同一条物理通道上传输的所有信息，而不管这些信息的发送方和接受方是谁。此时，如果两台主机进行通信的信息没有加密，只要使用某些网络监听工具，例如NetXray for windows 95/98/nt，sniffit for linux 、solaries等就可以轻而易举地截取包括口令和帐号在内的信息资料。虽然网络监听获得的用户帐号和口令具有一定的局限性，但监听者往往能够获得其所在网段的所有用户帐号及口令。

7、寻找系统漏洞

许多系统都有这样那样的安全漏洞（Bugs），其中某些是操作系统或应用软件本身具有的，如Sendmail漏洞，win98中的共享目录密码验证漏洞和IE5漏洞等，这些漏洞在补丁未被开发出来之前一般很难防御黑客的破坏，除非你将网线拔掉；还有一些漏洞是由于系统管理员配置错误引起的，如在网络文件系统中，将目录和文件以可写的方式调出，将未加Shadow的用户密码文件以明码方式存放在某一目录下，这都会给黑客带来可乘之机，应及时加以修正。

8、利用帐号进行攻击

有的黑客会利用操作系统提供的缺省账户和密码进行攻击，例如许多UNIX主机都有FTP和Guest等缺省账户（其密码和账户名同名），有的甚至没有口令。黑客用Unix操作系统提供的命令如Finger和Ruser等收集信息，不断提高自己的攻击能力。这类攻击只要系统管理员提高警惕，将系统提供的缺省账户关掉或提醒无口令用户增加口令一般都能克服。

9、偷取特权

利用各种特洛伊木马程序、后门程序和黑客自己编写的导致缓冲区溢出的程序进行攻击，前者可使黑客非法获得对用户机器的完全控制权，后者可使黑客获得超级用户的权限，从而拥有对整个网络的绝对控制权。这种攻击手段，一旦奏效，危害性极大。

黑客长攻击的端口

黑客常用攻击手段

黑客攻击手段可分为非破坏性攻击和破坏性攻击两类。非破坏性攻击一般是为了扰乱系统的运行，并不盗窃系统资料，通常采用拒绝服务攻击或信息炸弹；破坏性攻击是以侵入他人电脑系统、盗窃系统保密信息、破坏目标系统的数据为目的。下面为大家介绍4种黑客常用的攻击手段（小编注：密码破解当然也是黑客常用的攻击手段之一）。

后门程序

由于程序员设计一些功能复杂的程序时，一般采用模块化的程序设计思想，将整个项目分割为多个功能模块，分别进行设计、调试，这时的后门就是一个模块的秘密入口。在程序开发阶段，后门便于测试、更改和增强模块功能。正常情况下，完成设计之后需要去掉各个模块的后门，不过有时由于疏忽或者其他原因（如将其留在程序中，便于日后访问、测试或维护）后门没有去掉，一些别有用心的人会利用穷举搜索法发现并利用这些后门，然后进入系统并发动攻击。

信息炸弹

信息炸弹是指使用一些特殊工具软件，短时间内向目标服务器发送大量超出系统负荷的信息，造成目标服务器超负荷、网络堵塞、系统崩溃的攻击手段。比如向未打补丁的 Windows 95系统发送特定组合的 UDP 数据包，会导致目标系统死机或重启；向某型号的路由器发送特定数据包致使路由器死机；向某人的电子邮件发送大量的垃圾邮件将此邮箱“撑爆”等。目前常见的信息炸弹有邮件炸弹、逻辑炸弹等。

拒绝服务

又叫分布式D.O.S攻击，它是使用超出被攻击目标处理能力的大量数据包消耗系统可用系统、带宽资源，最后致使网络服务瘫痪的一种攻击手段。作为攻击者，首先需要通过常规的黑客手段侵入并控制某个网站，然后在服务器上安装并启动一个可由攻击者发出的特殊指令来控制进程，攻击者把攻击对象的IP地址作为指令下达给进程的时候，这些进程就开始对目标主机发起攻击。这种方式可以集中大量的网络服务器带宽，对某个特定目标实施攻击，因而威力巨大，顷刻之间就可以使被攻击目标带宽资源耗尽，导致服务器瘫痪。比如1999年美国明尼苏达大学遭到的黑客攻击就属于这种方式。

网络监听

网络监听是一种监视网络状态、数据流以及网络上传输信息的管理工具，它可以将网络接口设置在监听模式，并且可以截获网上传输的信息，也就是说，当黑客登录网络主机并取得超级用户权限后，若要登录其他主机，使用网络监听可以有效地截获网上的数据，这是黑客使用最多的方法，但是，网络监听只能应用于物理上连接于同一网段的主机，通常被用做获取用户口令。

黑客攻击的目的

一、进程的执行

或许攻击者在登上了目标主机后，只是运行了一些简单的程序，也可能这些程序是无伤大雅的，仅仅只是消耗了一些系统的CPU时间。但是事情并不如此简单，我们都知道，有些程序只能在一种系统中运行，到了另一个系统将无法运行。一个特殊的例子就是一些扫描只能在UNIX系统中运行，在这种情况下，攻击者为了攻击的需要，往往就会找一个中间站点来运行所需要的程序，并且这样也可以避免暴露自己的真实目的所在。即使被发现了，也只能找到中间的站点地址。在另外一些情况下，假使有一个站点能够访问另一个严格受控的站点或网络，为了攻击这个站点或网络，入侵者可能就会先攻击这个中间的站点。这种情况对被攻击的站点或网络本身可能不会造成破坏，但是潜在的危险已经存在。首先，它占有了大量的处理器的时间，尤其在运行一个网络监听软件时，使得一个主机的响应时间变得非常的长。另外，从另一个角度来说，将严重影响目标主机的信任度。因为入侵者借助于目标主机对目标主机能够访问，而且严格受控的站点或进行攻击。当造成损失时，责任会转嫁到目标主机的管理员身上，后果是难以估计的。可能导致目标主机损失一些受信任的站点或网络。再就是，可能人民者将一笔账单转嫁到目标主机上，这在网上获取收费信息是很有可能的。

二、获取文件和传输中的数据

攻击者的目标就是系统中的重要数据，因此攻击者通过登上目标主机，或是使用网络监听进行攻击事实上，即使连入侵者都没有确定要于什么时，在一般情况下，他会将当前用户目录下的文件系统中的/etc/hosts或/etc/passwd复制回去。

三、获取超级用户的权限

具有超级用户的权限，意味着可以做任何事情，这对入侵者无疑是一个莫大的诱惑。在UNIX系统中支持网络监听程序必需有这种权限，因此在一个局域网中，掌握了一台主机的超级用户权限，才可以说掌握了整个子网。

四、对系统的非法访问

有许多的系统是不允许其他的用户访问的，比如一个公司、组织的网络。因此，必须以一种非常的行为来得到访问的权力。这种攻击的目的并不一定要做什么，或许只是为访问面攻击。在一个有许多windows95

的用户网络中，常常有许多的用户把自已的目录共享出未，于是别人就可以从容地在这些计算机上浏览、寻找自己感兴趣的东西，或者删除更换文件。或许通过攻击来证明自己技术的行为才是我们想像中的黑客行径，毕竟，谁都不喜欢些专门搞破坏，或者给别人带来麻烦的入侵者。但是，这种非法访问的的黑客行为，人们也不喜欢的。

五、进行不许可的操作

有时候，用户被允许访问某些资源，但通常受到许多的限制。在一个UNIX系统中没有超级用户的权限，许多事情将无法做，于是有了一个普通的户头，．总想得到一个更大权限。在windowsNT系统中一样，系统中隐藏的秘密太多了，人们总经不起诱惑。例如网关对一些站点的访问进行严格控制等。许多的用户都有意无意地去尝试尽量获取超出允许的一些权限，于是便寻找管理员在置中的漏洞，或者去找一些工具来突破系统的安全防线，例如，特洛伊木马就是一种使用多的手段。

六、拒绝服务

同上面的目的进行比较，拒绝服务便是一种有目的的破坏行为了。拒绝服务的方式很多，如将连接局域网的电缆接地；向域名服务器发送大量的无意义的请求，使得它无法完成从其他的主机来的名字解析请求；制造网络风暴，让网络中充斥大量的封包，占据网络的带宽，延缓网络的传输。

七、涂改信息

涂改信息包括对重要文件的修改、更换，删除，是一种很恶劣的攻击行为。不真实的或者错误的信息都将对用户造成很大的损失。

八、暴露信息

入侵的站点有许多重要的信息和数据可以用。攻击者若使用一些系统工具往往会被系统记录下来如果直接发给自己的站点也会暴露自己的身份和地址，于是窃取信息时，攻击者往往将这些信息和数据送到一个公开的FTP站点，或者利用电子邮件寄往一个可以拿到的地方，等以后再从这些地方取走。这样做可以很好隐藏自己。将这些重要的信息发往公开的站点造成了信息的扩散，由于那些公开的站点常常会有许多人访问，其他的用户完全有可能得到这些情息，并再次扩散出去。

工具

应该说，黑客很聪明，但是他们并不都是天才，他们经常利用别人在安全领域广泛使用的工具和技术。一般来说。他们如果不自己设计工具，就必须利用现成的工具。在网上，这种工具很多，从SATAN、ISS到非常短小实用的各种网络监听工具。

在一个UNIX系统中，当入侵完成后；系统可以设置了大大小小的漏洞，完全清理这些漏洞是很困难的，这时候只能重装系统了。当攻击者在网络中进行监听，得到一些用户的口令以后，只要有一个口令没有改变，那么系统仍然是不安全的，攻击者在任何时候都可以重新访问这个网络。对一个网络，困难在于登上目标主机。当登上去以后有许多的办法可以用。即使攻击者不做任何事，他仍然可以得到系统的重要信息，并扩散出去，例如：将系统中的hosts文件发散出去。严重的情况是攻击者将得到的以下口令文件放在网络上进行交流。每个工具由于其特定的设计都有各自独特的限制，因此从使用者的角度来看，所有使用的这种工具进行的攻击基本相同。例如目标主机是一台运行SunOS4.1.3的SAPRC工作站，那么所有用Strobe工具进行的攻击，管理员听见到的现象可能完全是一样的。了解这些标志是管理员教育的一个重要方面。对一个新的入侵者来说，他可能会按这些指导生硬地进行攻击，但结果经常令他失望。因为一些攻击方法已经过时了(系统升级或打补丁进行入侵只会浪费时间），而且这些攻击会留下攻击者的痕迹。事实上，管理员可以使用一些工具，或者一些脚本程序，让它们从系统日志中抽取有关入侵者的信息。这些程序只需具备很强的搜索功能即可（如Perl语言就很适合做这件事了）。

当然这种情况下，要求系统日志没有遭到入侵。随着攻击者经验的增长、他们开始研究一整套攻击的特殊方法，其中一些方法与攻击者的习惯有关。由于攻击者意识到了一个工具除了它的直接用途之外，还有其他的用途，在这些攻击中使用一种或多种技术来达到目的，这种类型的攻击称为混合攻击。攻击工具不局限于专用工具，系统常用的网络工具也可以成为攻击的工具，例如：要登上目标主机，便要用到telnet与rlogin等命令，对目标主机进行侦察，系统中有许多的可以作为侦察的工具，如finger和showmount。甚至自己可以编写一些工具，这并不是一件很难的事。其发回,如当服务器询问用户名时，黑客输入分号。这是一个UNIX命令，意思是发送一个命令、一些HTTP服务器就会将用户使用的分号过滤掉。入侵者将监听程序安装在UNIX服务器上，对登录进行监听，例如监听23、21等端口。

用户登录，它把所监听到的用户名和口令保存起来，于是黑客就得到了账号和口令，在有大量的监听程序可以用，甚至自己可以编写一个监听程序。监听程序可以在windows95和windowsNT中运行。除了这些工具以外，入侵者还可以利用特洛伊木马程序。例如：攻击者运行了一个监听程序，但有时不想让别人从ps命令中看到这个程序在执行（即使给这个程序改名，它的特殊的运行参数也能使系统管理员一眼看出来这是一个网络监听程序）。攻击者可以将ps 命令移到一个目录或换名，例如换成pss，再写一个shell程序，给这个shell程序起名为ps，放到ps所在的目录中：

#! /bin/ksh

pss-ef|grep-vsniffit|grep-vgrep

以后，当有人使用ps命令时，就不会发现有人在使用网络监听程序。这是一个简单的特洛伊木马程序。

另外，蠕虫病毒也可以成为网络攻击的工具，它虽然不修改系统信息，但它极大地延缓了网络的速度，给人们带来了麻烦。

怎样防止网络黑客攻击呢 ?

一、取消文件夹隐藏共享

如果你使用了Windows 2000/XP系统，右键单击C盘或者其他盘，选择共享，你会惊奇地发现它已经被设置为“共享该文件夹”，而在“网上邻居”中却看不到这些内容，这是怎么回事呢？

原来，在默认状态下，Windows 2000/XP会开启所有分区的隐藏共享，从“控制面板/管理工具/计算机管理”窗口下选择“系统工具/共享文件夹/共享”，就可以看到硬盘上的每个分区名后面都加了一个“$”。但是只要键入“计算机名或者IPC$”，系统就会询问用户名和密码，遗憾的是，大多数个人用户系统Administrator的密码都为空，入侵者可以轻易看到C盘的内容，这就给网络安全带来了极大的隐患。

怎么来消除默认共享呢？方法很简单，打开注册表编辑器，进入“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetSevicesLanmanworkstationparameters”，新建一个名为“AutoShareWKs”的双字节值，并将其值设为“0”，然后重新启动电脑，这样共享就取消了。

二、拒绝恶意代码

恶意网页成了宽带的最大威胁之一。以前使用Modem，因为打开网页的速度慢，在完全打开前关闭恶意网页还有避免中招的可能性。现在宽带的速度这么快，所以很容易就被恶意网页攻击。

一般恶意网页都是因为加入了用编写的恶意代码才有破坏力的。这些恶意代码就相当于一些小程序，只要打开该网页就会被运行。所以要避免恶意网页的攻击只要禁止这些恶意代码的运行就可以了。

运行IE浏览器，点击“工具/Internet选项/安全/自定义级别”，将安全级别定义为“安全级-高”，对“ActiveX控件和插件”中第2、3项设置为“禁用”，其它项设置为“提示”，之后点击“确定”。这样设置后，当你使用IE浏览网页时，就能有效避免恶意网页中恶意代码的攻击。

三、封死黑客的“后门”

俗话说“无风不起浪”，既然黑客能进入，那说明系统一定存在为他们打开的“后门”，只要堵死这个后门，让黑客无处下手，便无后顾之忧！

1.删掉不必要的协议

对于服务器和主机来说，一般只安装TCP/IP协议就够了。鼠标右击“网络邻居”，选择“属性”，再鼠标右击“本地连接”，选择“属性”，卸载不必要的协议。其中NETBIOS是很多安全缺陷的根源，对于不需要提供文件和打印共享的主机，还可以将绑定在TCP/IP协议的NETBIOS关闭，避免针对NETBIOS的攻击。选择“TCP/IP协议/属性/高级”，进入“高级TCP/IP设置”对话框，选择“WINS”标签，勾选“禁用TCP/IP上的NETBIOS”一项，关闭NETBIOS.

2.关闭“文件和打印共享”

文件和打印共享应该是一个非常有用的功能，但在不需要它的时候，也是黑客入侵的很好的安全漏洞。所以在没有必要“文件和打印共享”的情况下，我们可以将它关闭。用鼠标右击“网络邻居”，选择“属性”，然后单击“文件和打印共享”按钮，将弹出的“文件和打印共享”对话框中的两个复选框中的钩去掉即可。

虽然“文件和打印共享”关闭了，但是还不能确保安全，还要修改注册表，禁止它人更改“文件和打印共享”。打开注册表编辑器，选择“HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesNetWork”主键，在该主键下新建DWORD类型的键值，键值名为“NoFileSharingControl”，键值设为“1”表示禁止这项功能，从而达到禁止更改“文件和打印共享”的目的；键值为“0”表示允许这项功能。这样在“网络邻居”的“属性”对话框中“文件和打印共享”就不复存在了。

3.把Guest账号禁用

有很多入侵都是通过这个账号进一步获得管理员密码或者权限的。如果不想把自己的计算机给别人当玩具，那还是禁止的好。打开控制面板，双击“用户和密码”，单击“高级”选项卡，再单击“高级”按钮，弹出本地用户和组窗口。在Guest账号上面点击右键，选择属性，在“常规”页中选中“账户已停用”。另外，将Administrator账号改名可以防止黑客知道自己的管理员账号，这会在很大程度上保证计算机安全。

4.禁止建立空连接

在默认的情况下，任何用户都可以通过空连接连上服务器，枚举账号并猜测密码。因此，我们必须禁止建立空连接。方法有以下两种：

方法一是修改注册表：打开注册表“HKEY_LOCAL_MACHINESystemCurrentControlSetControlLSA”，将DWORD值“RestrictAnonymous”的键值改为“1”即可。

最后建议大家给自己的系统打上补丁，微软那些没完没了的补丁还是很有用的！

四、隐藏IP地址

黑客经常利用一些网络探测技术来查看我们的主机信息，主要目的就是得到网络中主机的IP地址。IP地址在网络安全上是一个很重要的概念，如果攻击者知道了你的IP地址，等于为他的攻击准备好了目标，他可以向这个IP发动各种进攻，如DoS（拒绝服务）攻击、Floop溢出攻击等。隐藏IP地址的主要方法是使用代理服务器。

与直接连接到Internet相比，使用代理服务器能保护上网用户的IP地址，从而保障上网安全。代理服务器的原理是在客户机（用户上网的计算机）和远程服务器（如用户想访问远端WWW服务器）之间架设一个“中转站”，当客户机向远程服务器提出服务要求后，代理服务器首先截取用户的请求，然后代理服务器将服务请求转交远程服务器，从而实现客户机和远程服务器之间的联系。很显然，使用代理服务器后，其它用户只能探测到代理服务器的IP地址而不是用户的IP地址，这就实现了隐藏用户IP地址的目的，保障了用户上网安全。提供免费代理服务器的网站有很多，你也可以自己用代理猎手等工具来查找。

五、关闭不必要的端口

黑客在入侵时常常会扫描你的计算机端口，如果安装了端口监视程序（比如Netwatch），该监视程序则会有警告提示。如果遇到这种入侵，可用工具软件关闭用不到的端口，比如，用“Norton Internet Security”关闭用来提供网页服务的80和443端口，其他一些不常用的端口也可关闭。

六、更换管理员帐户

Administrator帐户拥有最高的系统权限，一旦该帐户被人利用，后果不堪设想。黑客入侵的常用手段之一就是试图获得Administrator帐户的密码，所以我们要重新配置Administrator帐号。

首先是为Administrator帐户设置一个强大复杂的密码，然后我们重命名Administrator帐户，再创建一个没有管理员权限的Administrator帐户欺骗入侵者。这样一来，入侵者就很难搞清哪个帐户真正拥有管理员权限，也就在一定程度上减少了危险性。

七、杜绝Guest帐户的入侵

Guest帐户即所谓的来宾帐户，它可以访问计算机，但受到限制。不幸的是，Guest也为黑客入侵打开了方便之门！网上有很多文章中都介绍过如何利用Guest用户得到管理员权限的方法，所以要杜绝基于Guest帐户的系统入侵。

禁用或彻底删除Guest帐户是最好的办法，但在某些必须使用到Guest帐户的情况下，就需要通过其它途径来做好防御工作了。首先要给Guest设一个强壮的密码，然后详细设置Guest帐户对物理路径的访问权限。举例来说，如果你要防止Guest用户可以访问tool文件夹，可以右击该文件夹，在弹出菜单中选择“安全”标签，从中可看到可以访问此文件夹的所有用户。删除管理员之外的所有用户即可。或者在权限中为相应的用户设定权限，比方说只能“列出文件夹目录”和“读取”等，这样就安全多了。

八、安装必要的安全软件

我们还应在电脑中安装并使用必要的防黑软件，杀毒软件和防火墙都是必备的。在上网时打开它们，这样即便有黑客进攻我们的安全也是有保证的。

九、防范木马程序

木马程序会窃取所植入电脑中的有用信息，因此我们也要防止被黑客植入木马程序，常用的办法有：

● 在下载文件时先放到自己新建的文件夹里，再用杀毒软件来检测，起到提前预防的作用。

● 在“开始”→“程序”→“启动”或“开始”→“程序”→“Startup”选项里看是否有不明的运行项目，如果有，删除即可。

● 将注册表里 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下的所有以“Run”为前缀的可疑程序全部删除

如何防范计算机网络攻击

一、计算机网络攻击的常见手法

互联网发展至今，除了它表面的繁荣外，也出现了一些不良现象，其中黑客攻击是最令广大网民头痛的事情，它是计算机网络安全的主要威胁。下面着重分析黑客进行网络攻击的几种常见手法及其防范措施。

（一）利用网络系统漏洞进行攻击

许多网络系统都存在着这样那样的漏洞，这些漏洞有可能是系统本身所有的，如WindowsNT、UNIX等都有数量不等的漏洞，也有可能是由于网管的疏忽而造成的。黑客利用这些漏洞就能完成密码探测、系统入侵等攻击。

对于系统本身的漏洞，可以安装软件补丁；另外网管也需要仔细工作，尽量避免因疏忽而使他人有机可乘。

（二）通过电子邮件进行攻击

电子邮件是互联网上运用得十分广泛的一种通讯方式。黑客可以使用一些邮件炸弹软件或CGI程序向目的邮箱发送大量内容重复、无用的垃圾邮件，从而使目的邮箱被撑爆而无法使用。当垃圾邮件的发送流量特别大时，还有可能造成邮件系统对于正常的工作反映缓慢，甚至瘫痪，这一点和后面要讲到的“拒绝服务攻击（DDoS）比较相似。

对于遭受此类攻击的邮箱，可以使用一些垃圾邮件清除软件来解决，其中常见的有SpamEater、Spamkiller等，Outlook等收信软件同样也能达到此目的。

（三）解密攻击

在互联网上，使用密码是最常见并且最重要的安全保护方法，用户时时刻刻都需要输入密码进行身份校验。而现在的密码保护手段大都认密码不认人，只要有密码，系统就会认为你是经过授权的正常用户，因此，取得密码也是黑客进行攻击的一重要手法。

取得密码也还有好几种方法，一种是对网络上的数据进行监听。因为系统在进行密码校验时，用户输入的密码需要从用户端传送到服务器端，而黑客就能在两端之间进行数据监听。

但一般系统在传送密码时都进行了加密处理，即黑客所得到的数据中不会存在明文的密码，这给黑客进行破解又提了一道难题。这种手法一般运用于局域网，一旦成功攻击者将会得到很大的操作权益。

另一种解密方法就是使用穷举法对已知用户名的密码进行暴力解密。这种解密软件对尝试所有可能字符所组成的密码，但这项工作十分地费时，不过如果用户的密码设置得比较简单，如“12345”、“ABC”等那有可能只需一眨眼的功夫就可搞定。

为了防止受到这种攻击的危害，用户在进行密码设置时一定要将其设置得复杂，也可使用多层密码，或者变换思路使用中文密码，并且不要以自己的生日和电话甚至用户名作为密码，因为一些密码破解软件可以让破解者输入与被破解用户相关的信息，如生日等，然后对这些数据构成的密码进行优先尝试。另外应该经常更换密码，这样使其被破解的可能性又下降了不少。

（四）后门软件攻击

后门软件攻击是互联网上比较多的一种攻击手法。Back Orifice2000、冰河等都是比较著名的特洛伊木马，它们可以非法地取得用户电脑的超级用户级权利，可以对其进行完全的控制，除了可以进行文件操作外，同时也可以进行对方桌面抓图、取得密码等操作。

这些后门软件分为服务器端和用户端，当黑客进行攻击时，会使用用户端程序登陆上已安装好服务器端程序的电脑，这些服务器端程序都比较小，一般会随附带于某些软件上。有可能当用户下载了一个小游戏并运行时，后门软件的服务器端就安装完成了，而且大部分后门软件的重生能力比较强，给用户进行清除造成一定的麻烦。

当在网上下载数据时，一定要在其运行之前进行病毒扫描，并使用一定的反编译软件，查看来源数据是否有其他可疑的应用程序，从而杜绝这些后门软件。

（五）拒绝服务攻击

互联网上许多大网站都遭受过此类攻击。实施拒绝服务攻击（DDoS）的难度比较小，但它的破坏性却很大。它的具体手法就是向目的服务器发送大量的数据包，几乎占取该服务器所有的网络宽带，从而使其无法对正常的服务请求进行处理，而导致网站无法进入、网站响应速度大大降低或服务器瘫痪。

现在常见的蠕虫病毒或与其同类的病毒都可以对服务器进行拒绝服务攻击的进攻。它们的繁殖能力极强，一般通过Microsoft的Outlook软件向众多邮箱发出带有病毒的邮件，而使邮件服务器无法承担如此庞大的数据处理量而瘫痪。

对于个人上网用户而言，也有可能遭到大量数据包的攻击使其无法进行正常的网络操作，所以大家在上网时一定要安装好防火墙软件，同时也可以安装一些可以隐藏IP地址的程序，怎样能大大降低受到攻击的可能性。

-----------------------------------------------------------------------------

二、计算机网络安全的防火墙技术

计算机网络安全是指利用网络管理控制和技术措施，保证在一个网络环境里，信息数据的保密性、完整性和可使用性受到保护。网络安全防护的根本目的，就是防止计算机网络存储、传输的信息被非法使用、破坏和篡改。防火墙技术正是实现上述目的一种常用的计算机网络安全技术。

（一）防火墙的含义

所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、拷贝、毁坏你的重要信息。

（二）防火墙的安全性分析

防火墙对网络的安全起到了一定的保护作用，但并非万无一失。通过对防火墙的基本原理和实现方式进行分析和研究，作者对防火墙的安全性有如下几点认识：

1．只有正确选用、合理配置防火墙，才能有效发挥其安全防护作用

防火墙作为网络安全的一种防护手段，有多种实现方式。建立合理的防护系统，配置有效的防火墙应遵循这样四个基本步骤：

a.风险分析；

b.需求分析；

c.确立安全政策；

d.选择准确的防护手段，并使之与安全政策保持一致。

然而，多数防火墙的设立没有或很少进行充分的风险分析和需求分析，而只是根据不很完备的安全政策选择了一种似乎能“满足”需要的防火墙，这样的防火墙能否“防火”还是个问题。

2．应正确评估防火墙的失效状态

评价防火墙性能如何，及能否起到安全防护作用，不仅要看它工作是否正常，能否阻挡或捕捉到恶意攻击和非法访问的蛛丝马迹，而且要看到一旦防火墙被攻破，它的状态如何? 按级别来分，它应有这样四种状态：

a.未受伤害能够继续正常工作；

b.关闭并重新启动，同时恢复到正常工作状态；

c.关闭并禁止所有的数据通行；

d. 关闭并允许所有的数据通行。

前两种状态比较理想，而第四种最不安全。但是许多防火墙由于没有条件进行失效状态测试和验证，无法确定其失效状态等级，因此网络必然存在安全隐患。

3.防火墙必须进行动态维护

防火墙安装和投入使用后，并非万事大吉。要想充分发挥它的安全防护作用，必须对它进行跟踪和维护，要与商家保持密切的联系，时刻注视商家的动态。因为商家一旦发现其产品存在安全漏洞，就会尽快发布补救(Patch) 产品，此时应尽快确认真伪(防止特洛伊木马等病毒)，并对防火墙软件进行更新。

4.目前很难对防火墙进行测试验证

防火墙能否起到防护作用，最根本、最有效的证明方法是对其进行测试，甚至站在“黑客”的角度采用各种手段对防火墙进行攻击。然而具体执行时难度较大，主要原因是：

a.防火墙性能测试目前还是一种很新的技术，尚无正式出版刊物，可用的工具和软件更是寥寥无几。据了解目前只有美国ISS公司提供有防火墙性能测试的工具软件。

b.防火墙测试技术尚不先进，与防火墙设计并非完全吻合，使得测试工作难以达到既定的效果。

c.选择“谁”进行公正的测试也是一个问题。

可见，防火墙的性能测试决不是一件简单的事情，但这种测试又相当必要，进而提出这样一个问题：不进行测试，何以证明防火墙安全？

5.非法攻击防火墙的基本“招数”

a. IP地址欺骗攻击。许多防火墙软件无法识别数据包到底来自哪个网络接口，因此攻击者无需表明进攻数据包的真正来源，只需伪装IP地址，取得目标的信任，使其认为来自网络内部即可。IP地址欺骗攻击正是基于这类防火墙对IP地址缺乏识别和验证的机制而得成的。

b.破坏防火墙的另一种方式是攻击与干扰相结合。也就是在攻击期间使防火墙始终处于繁忙的状态。防火墙过分的繁忙有时会导致它忘记履行安全防护的职能，处于失效状态。

c.防火墙也可能被内部攻击。因为安装了防火墙后，随意访问被严格禁止了， 这样内部人员无法在闲暇的时间通过Telnet浏览邮件或使用FTP向外发送信息，个别人会对防火墙不满进而可能攻击它、破坏它，期望回到从前的状态。这里，攻击的目标常常是防火墙或防火墙运行的操作系统，因此不仅涉及网络安全，还涉及主机安全问题。

----------------------------------------------------------------------------

（三）防火墙的基本类型

实现防火墙的技术包括四大类：网络级防火墙（也叫包过滤型防火墙）、应用级网关、电路级网关和规则检查防火墙。

1.网络级防火墙

一般是基于源地址和目的地址、应用或协议以及每个IP包的端口来作出通过与否的判断。一个路由器便是一个“传统”的网络级防火墙，大多数的路由器都能通过检查这些信息来决定是否将所收到的包转发，但它不能判断出一个IP包来自何方，去向何处。

先进的网络级防火墙可以判断这一点，它可以提供内部信息以说明所通过的连接状态和一些数据流的内容，把判断的信息同规则表进行比较，在规则表中定义了各种规则来表明是否同意或拒绝包的通过。包过滤防火墙检查每一条规则直至发现包中的信息与某规则相符。

如果没有一条规则能符合，防火墙就会使用默认规则，一般情况下，默认规则就是要求防火墙丢弃该包。其次，通过定义基于TCP或UDP数据包的端口号，防火墙能够判断是否允许建立特定的连接，如Telnet、FTP连接。

下面是某一网络级防火墙的访问控制规则：

(1)允许网络123.1.0使用FTP(21口)访问主机 ；

(2)允许IP地址为 和 的用户Telnet (23口)到主机 上；

(3)允许任何地址的E-mail(25口)进入主机 ；

(4)允许任何WWW数据（80口）通过；

(5)不允许其他数据包进入。

网络级防火墙简洁、速度快、费用低，并且对用户透明，但是对网络的保护很有限，因为它只检查地址和端口，对网络更高协议层的信息无理解能力。

2.规则检查防火墙

该防火墙结合了包过滤防火墙、电路级网关和应用级网关的特点。它同包过滤防火墙一样， 规则检查防火墙能够在OSI网络层上通过IP地址和端口号，过滤进出的数据包。它也象电路级网关一样，能够检查SYN和ACK标记和序列数字是否逻辑有序。

当然它也象应用级网关一样， 可以在OSI应用层上检查数据包的内容，查看这些内容是否能符合公司网络的安全规则。规则检查防火墙虽然集成前三者的特点，但是不同于一个应用级网关的是，它并不打破客户机/服务机模式来分析应用层的数据， 它允许受信任的客户机和不受信任的主机建立直接连接。

规则检查防火墙不依靠与应用层有关的代理，而是依靠某种算法来识别进出的应用层数据，这些算法通过已知合法数据包的模式来比较进出数据包，这样从理论上就能比应用级代理在过滤数据包上更有效。

目前在市场上流行的防火墙大多属于规则检查防火墙，因为该防火墙对于用户透明，在OSI最高层上加密数据，不需要你去修改客户端的程序，也不需对每个需要在防火墙上运行的服务额外增加一个代理。

如现在最流行的防火墙之一OnTechnology软件公司生产的OnGuard和CheckPoint软件公司生产的FireWall-1防火墙都是一种规则检查防火墙。

从趋势上看，未来的防火墙将位于网络级防火墙和应用级防火墙之间，也就是说，网络级防火墙将变得更加能够识别通过的信息，而应用级防火墙在目前的功能上则向“透明”、“低级”方面发展。最终防火墙将成为一个快速注册稽查系统，可保护数据以加密方式通过，使所有组织可以放心地在节点间传送数据。

（四）防火墙的配置

防火墙配置有三种：Dual-homed方式、Screened-host方式和Screened-subnet方式。Dual-homed方式最简单。 Dual-homedGateway放置在两个网络之间，这个Dual-omedGateway又称为bastionhost。

这种结构成本低，但是它有单点失败的问题。这种结构没有增加网络安全的自我防卫能力，而它往往是受“黑客”攻击的首选目标，它自己一旦被攻破，整个网络也就暴露了。

Screened-host方式中的Screeningrouter为保护Bastionhost的安全建立了一道屏障。它将所有进入的信息先送往Bastionhost，并且只接受来自Bastionhost的数据作为出去的数据。

这种结构依赖Screeningrouter和Bastionhost，只要有一个失败，整个网络就暴露了。Screened-subnet包含两个Screeningrouter和两个Bastionhost。 在公共网络和私有网络之间构成了一个隔离网，称之为”停火区”（DMZ，即DemilitarizedZone）,Bastionhost放置在”停火区”内。这种结构安全性好，只有当两个安全单元被破坏后，网络才被暴露，但是成本也很昂贵。

----------------------------------------------------------------------------

（四）防火墙的安全措施

各种防火墙的安全性能不尽相同。这里仅介绍一些一般防火墙的常用安全措施：

1.防电子欺骗术

防电子欺骗术功能是保证数据包的IP地址与网关接口相符，防止通过修改IP地址的方法进行非授权访问。还应对可疑信息进行鉴别，并向网络管理员报警。

2.网络地址转移

地址转移是对Internet隐藏内部地址，防止内部地址公开。这一功能可以克服IP寻址方式的诸多限制，完善内部寻址模式。把未注册IP地址映射成合法地址，就可以对Internet进行访问。

3.开放式结构设计

开放式结构设计使得防火墙与相关应用程序和外部用户数据库的连接相当容易，典型的应用程序连接如财务软件包、病毒扫描、登录分析等。

4.路由器安全管理程序

它为Bay和Cisco的路由器提供集中管理和访问列表控制。

（六）传统防火墙的五大不足

1．无法检测加密的Web流量

如果你正在部署一个光键的门户网站，希望所有的网络层和应用层的漏洞都被屏蔽在应用程序之外。这个需求，对于传统的网络防火墙而言，是个大问题。

由于网络防火墙对于加密的SSL流中的数据是不可见的，防火墙无法迅速截获SSL数据流并对其解密，因此无法阻止应用程序的攻击，甚至有些网络防火墙，根本就不提供数据解密的功能。

2、普通应用程序加密后，也能轻易躲过防火墙的检测

网络防火墙无法看到的，不仅仅是SSL加密的数据。对于应用程序加密的数据，同样也不可见。在如今大多数网络防火墙中，依赖的是静态的特征库，与入侵监测系统（IDS，Intrusion Detect System）的原理类似。只有当应用层攻击行为的特征与防火墙中的数据库中已有的特征完全匹配时，防火墙才能识别和截获攻击数据。

但如今，采用常见的编码技术，就能够地将恶意代码和其他攻击命令隐藏起来，转换成某种形式，既能欺骗前端的网络安全系统，又能够在后台服务器中执行。这种加密后的攻击代码，只要与防火墙规则库中的规则不一样，就能够躲过网络防火墙，成功避开特征匹配。

3、对于Web应用程序，防范能力不足

网络防火墙于1990年发明，而商用的Web服务器，则在一年以后才面世。基于状态检测的防火墙，其设计原理，是基于网络层TCP和IP地址，来设置与加强状态访问控制列表（ACLs，Access Control Lists）。在这一方面，网络防火墙表现确实十分出色。

近年来，实际应用过程中，HTTP是主要的传输协议。主流的平台供应商和大的应用程序供应商，均已转移到基于Web的体系结构，安全防护的目标，不再只是重要的业务数据。网络防火墙的防护范围，发生了变化。

对于常规的企业局域网的防范，通用的网络防火墙仍占有很高的市场份额，继续发挥重要作用，但对于新近出现的上层协议，如XML和SOAP等应用的防范，网络防火墙就显得有些力不从心。

由于体系结构的原因，即使是最先进的网络防火墙，在防范Web应用程序时，由于无法全面控制网络、应用程序和数据流，也无法截获应用层的攻击。由于对于整体的应用数据流，缺乏完整的、基于会话（Session）级别的监控能力，因此很难预防新的未知的攻击。

4、应用防护特性，只适用于简单情况

目前的数据中心服务器，时常会发生变动，比如：

★ 定期需要部署新的应用程序；

★ 经常需要增加或更新软件模块；

★ QA们经常会发现代码中的bug，已部署的系统需要定期打补丁。

在这样动态复杂的环境中，安全专家们需要采用灵活的、粗粒度的方法，实施有效的防护策略。

虽然一些先进的网络防火墙供应商，提出了应用防护的特性，但只适用于简单的环境中。细看就会发现，对于实际的企业应用来说，这些特征存在着局限性。在多数情况下，弹性概念（proof-of-concept）的特征无法应用于现实生活中的数据中心上。

比如，有些防火墙供应商，曾经声称能够阻止缓存溢出：当黑客在浏览器的URL中输入太长数据，试图使后台服务崩溃或使试图非法访问的时候，网络防火墙能够检测并制止这种情况。

细看就会发现，这些供应商采用对80端口数据流中，针对URL长度进行控制的方法，来实现这个功能的。

如果使用这个规则，将对所有的应用程序生效。如果一个程序或者是一个简单的Web网页，确实需要涉及到很长的URL时，就要屏蔽该规则。

网络防火墙的体系结构，决定了网络防火墙是针对网络端口和网络层进行操作的，因此很难对应用层进行防护，除非是一些很简单的应用程序。

5、无法扩展带深度检测功能

基于状态检测的网络防火墙，如果希望只扩展深度检测（deep inspection）功能，而没有相应增加网络性能，这是不行的。

真正的针对所有网络和应用程序流量的深度检测功能，需要空前的处理能力，来完成大量的计算任务，包括以下几个方面：

★ SSL加密/解密功能；

★ 完全的双向有效负载检测；

★ 确保所有合法流量的正常化；

★ 广泛的协议性能；

这些任务，在基于标准PC硬件上，是无法高效运行的，虽然一些网络防火墙供应商采用的是基于ASIC的平台，但进一步研究，就能发现：旧的基于网络的ASIC平台对于新的深度检测功能是无法支持的。

三、结束语

由于互联网络的开放性和通信协议的安全缺陷，以及在网络环境中数据信息存储和对其访问与处理的分布性特点，网上传输的数据信息很容易泄露和被破坏，网络受到的安全攻击非常严重，因此建立有效的网。

通常说的“网络黑客”具体是什么概念？

黑客就是在网络上，能为所欲为，俱有破坏力，神秘的网络高手

利用，网络安全的脆弱性及网上漏洞，有网上进行诸如修改网页、非法进入主机破坏程序，串入银行网络转移金额、进行电子邮件骚扰以及阻塞用户和窃取密码等行为。

什么是网络黑客?

以现在人们对黑客一词定义，就是在网络上，能为所欲为，俱有破坏力，神秘的网络高手。如果以大小来分的话，则“大黑客”能入侵美国五角大楼，任意修改大网站主页......次之“小黑客”，也许是跟网友利益关系得比较密切的一群，这些小黑客们“可以把你从QQ上轰下线来，盗取你的QQ，E－MAIL，BBS的ID等等的密码，甚至进入你的电脑，盗取上网帐号，盗取你硬盘上的任何文件，偷偷地格式化你的硬盘，监视你的屏幕，静静地看着你一举一动，像幽灵般窥视着你......要以年龄来分大多数小黑客们都在12,3岁到17,8岁之间，“大黑客”以10几岁到20多岁的在校大学生和年青的与电脑网络有关的工作者为多。

黑客常用手段

1、网络扫描--在Internet上进行广泛搜索，以找出特定计算机或软件中的弱点。

2、网络嗅探程序--偷偷查看通过I网络的数据包，以捕获口令或全部内容。通过安装侦听器程序来监视网络数据流，从而获取连接网络系统时用户键入的用户名和口令。

3、拒绝服务攻击 -通过反复向某个Web站点的设备发送过多的信息请求，黑客可以有效地堵塞该站点上的系统，导致无法完成应有的网络服务项目(例如电子邮件系统或联机功能)，称为“拒绝服务”问题。

4、欺骗用户--伪造电子邮件地址或Web页地址，从用户处骗得口令、信用卡号码等。欺骗是用来骗取目标系统，使之认为信息是来自或发向其所相信的人的过程。欺骗可在IP层及之上发生（地址解析欺骗、IP源地址欺骗、电子邮件欺骗等）。当一台主机的IP地址假定为有效，并为Tcp和Udp服务所相信。利用IP地址的源路由，一个攻击者的主机可以被伪装成一个被信任的主机或客户。

5、特洛伊木马--一种用户察觉不到的程序，其中含有可利用一些软件中已知弱点的指令。

6、后门--为防原来的进入点被探测到，留几个隐藏的路径以方便再次进入。

7、恶意小程序--微型程序，修改硬盘上的文件，发送虚假电子邮件或窃取口令。

8、竞争拨号程序--能自动拨成千上万个电话号码以寻找进入调制解调器连接的路径。逻辑炸弹计算机程序中的一条指令，能触发恶意操作。

9、缓冲器溢出-- 向计算机内存缓冲器发送过多的数据，以摧毁计算机控制系统或获得计算机控制权。

10、口令破译--用软件猜出口令。通常的做法是通过监视通信信道上的口令数据包，破解口令的加密形式。

11、社交工程--与公司雇员谈话，套出有价值的信息。

12、垃圾桶潜水--仔细检查公司的垃圾，以发现能帮助进入公司计算机的信息。

金山网镖为什么要反黑客网站?

不良黑客利用网络安全的脆弱性,把网上任何漏洞和缺陷作为“靶子”,在网上进行诸如修改网页、非法进入主机破坏程序、串入银行网络转移金额、窃取网上信息兴风作浪、进行电子邮件骚扰以及阻塞用户和窃取密码等行为。政府、军事和金融网络更是他们攻击的主要目标。美国司法部主页被纳粹标志所取代,美国空军站点由于黑客攻击不得不暂时关闭,美国金融界由于计算机犯罪造成的金额损失每年计近百亿美元。

目前国内这种形式的犯罪正呈现增长趋势，如果没有有效的防护方法，后果将不堪设想。为保障广大网民的利益免受侵犯，金山网镖增加反黑客网站功能。

黑客攻击的方法

1、隐藏黑客的位置

典型的黑客会使用如下技术隐藏他们真实的IP地址:

利用被侵入的主机作为跳板;

在安装Windows 的计算机内利用Wingate 软件作为跳板;利用配置不当的Proxy作为跳板。

更老练的黑客会使用电话转接技术隐蔽自己。他们常用的手法有:利用800 号电话的私人转接服务联接ISP, 然后再盗用他人的账号上网;通过电话联接一台主机,再经由主机进入Internet。

使用这种在电话网络上的"三级跳"方式进入Internet 特别难于跟踪。理论上,黑客可能来自世界任何一个角落。如果黑客使用800号拨号上网,他更不用担心上网费用。

2、网络探测和资料收集

黑客利用以下的手段得知位于内部网和外部网的主机名。

使用nslookup 程序的ls命令;

通过访问公司主页找到其他主机;

阅读FTP服务器上的文挡;

联接至mailserver 并发送 expn请求;

Finger 外部主机上的用户名。

在寻找漏洞之前,黑客会试图搜集足够的信息以勾勒出整个网络的布局。利用上述操作得到的信息,黑客很容易列出所有的主机,并猜测它们之间的关系。

3、找出被信任的主机

黑客总是寻找那些被信任的主机。这些主机可能是管理员使用的机器,或是一台被认为是很安全的服务器。

第一步,他会检查所有运行nfsd或mountd的主机的NFS输出。往往这些主机的一些关键目录(如/usr/bin、/etc和/home)可以被那台被信任的主机mount。

Finger daemon 也可以被用来寻找被信任的主机和用户,因为用户经常从某台特定的主机上登录。

黑客还会检查其他方式的信任关系。比如,他可以利用CGI 的漏洞,读取/etc/hosts.allow 文件等等。

分析完上述的各种检查结果,就可以大致了解主机间的信任关系。下一步, 就是探测这些被信任的主机哪些存在漏洞,可以被远程侵入。

4、找出有漏洞的网络成员

当黑客得到公司内外部主机的清单后,他就可以用一些Linux 扫描器程序寻找这些主机的漏洞。黑客一般寻找网络速度很快的Linux 主机运行这些扫描程序。

所有这些扫描程序都会进行下列检查:

TCP 端口扫描;

RPC 服务列表;

NFS 输出列表;

共享(如samba、netbiox)列表;

缺省账号检查;

Sendmail、IMAP、POP3、RPC status 和RPC mountd 有缺陷版本检测。

进行完这些扫描,黑客对哪些主机有机可乘已胸有成竹了。

如果路由器兼容SNMP协议,有经验的黑客还会采用攻击性的SNMP 扫描程序进行尝试, 或者使用"蛮力式"程序去猜测这些设备的公共和私有community strings。

5、利用漏洞

现在,黑客找到了所有被信任的外部主机,也已经找到了外部主机所有可能存在的漏洞。下一步就该开始动手入侵主机了。

黑客会选择一台被信任的外部主机进行尝试。一旦成功侵入,黑客将从这里出发,设法进入公司内部的网络。但这种方法是否成功要看公司内部主机和外部主机间的过滤策略了。攻击外部主机时,黑客一般是运行某个程序,利用外部主机上运行的有漏洞的daemon窃取控制权。有漏洞的daemon包括Sendmail、IMAP、POP3各个漏洞的版本,以及RPC服务中诸如statd、mountd、pcnfsd等。有时,那些攻击程序必须在与被攻击主机相同的平台上进行编译。

6、获得控制权

黑客利用daemon的漏洞进入系统后会做两件事:清除记录和留下后门。

他会安装一些后门程序,以便以后可以不被察觉地再次进入系统。大多数后门程序是预先编译好的,只需要想办法修改时间和权限就可以使用,甚至于新文件的大小都和原有文件一样。黑客一般会使用rcp 传递这些文件,以便不留下FTP记录。

一旦确认自己是安全的,黑客就开始侵袭公司的整个内部网

7．窃取网络资源和特权

黑客找到攻击目标后,会继续下一步的攻击,步骤如下:

（1）下载敏感信息

如果黑客的目的是从某机构内部的FTP或WWW服务器上下载敏感信息,他可以利用已经被侵入的某台外部主机轻而易举地得到这些资料。

（2）攻击其他被信任的主机和网络

大多数的黑客仅仅为了探测内部网上的主机并取得控制权,只有那些"雄心勃勃"的黑客,为了控制整个网络才会安装特洛伊木马和后门程序,并清除记录。 那些希望从关键服务器上下载数据的黑客,常常不会满足于以一种方式进入关键服务器。他们会费尽心机找出被关键服务器信任的主机,安排好几条备用通道。

（3）安装sniffers

在内部网上,黑客要想迅速获得大量的账号(包括用户名和密码),最为有效的手段是使用"sniffer" 程序。 黑客会使用上面各节提到的方法,获得系统的控制权并留下再次侵入的后门,以保证sniffer能够执行。

（4）瘫痪网络

如果黑客已经侵入了运行数据库、网络操作系统等关键应用程序的服务器,使网络瘫痪一段时间是轻而易举的事。 如果黑客已经进入了公司的内部网,他可以利用许多路由器的弱点重新启动、甚至关闭路由器。如果他们能够找到最关键的几个路由器的漏洞,则可以使公司的网络彻底瘫痪一段时间

大家谈黑客,畅所欲言~

黑客与骇客

－－－－－－－－－

在电影中看到这样的镜头：一个电脑高手坐在电脑前，敲上几下键盘，然后大叫一声，一切网站重地或是被侵入，或是被篡改。看上去真是“风光无限”，特别是在近来“被黑”事件频频发生，一时间“黑客”一词被大家传得神而又神。

到底什么是“黑客”

一般我们管那些非法侵入他人网站，通过网络偷看他人电脑信息，篡改他人网站或硬盘内容的捣乱者叫“Cracker”，简单地说，就是专门闯入电脑系统搞破坏的人。那么他们是不是我们所说的“黑客”呢？其实不然。

“黑客”的英文应是“Hacker”，原意是“开辟、开创”之意，也就是说“黑客”应该是开辟道路的人。而我们所说的“Cracker”（中文：骇客）的意思则是“解密、破译”之意。但由于目前这两个词语已经被普遍混用为“黑客”，所以我们再强调什么“黑客和骇客”早已无任何实际意义了。但为了给大家一个全面的认识，我们来简单看看历史背景。

黑客的叫法起源于20世纪70年代麻省理工学院的实验室，源于一种共享的网络精神。当时这里聚集了大批的高科技人才，他们精通计算机科学及相关的科学，以工作为生活的乐趣，以科学成就来评定自身的价值，随着时光推进，他们逐渐形成了一种独特的文化，就是黑客文化。主要表现是天才们将自己的技术运用到了商业生产中，但企业家或普通用户使用与推广都是免费的，无需向研究者付钱（企业可以向实验提供一些赞助）。黑客通过网络，将自己开发的软件免费提供给大家使用，像我们熟知的许多免费软件都是由这个新时代的黑客（当然，现在黑客一词已被歪曲）开发的，如Linux、 Winamp。

我们今天常说的“黑客”应被叫做骇客。骇客是些什么人呢？答案很简单：他们是我们常说的“信息大盗”，这些人专门从事破译密码的活动。骇客是一个很神秘的群体，他们行动诡秘，不轻易向人说明自己的身份。由于这种神秘性，使得很多人想去了解他们，可是，正如世界上很多事物一样，不了解可能反而安全。这些骇客组织很多都抱着一些非法的目的，他们秘密联络，经常破坏一些合法网站，给网络带来非常多的问题，甚至有的骇客组织居然敢公然利用本身的技术来和政府对抗。总的说来，骇客行为不是什么好的行为，虽然有些人对此感到冤枉，就目前看来，骇客除了进行系统破坏以外，似乎没有做出什么对计算机发展有利的事情来。这恐怕是黑客和骇客最大、最根本的区别。

“骇客”都是些什么人

可能有许多人都会有这样的疑问——骇客是些什么人？他们破坏别人的网站有什么好处呢？

骇客并不固定是些什么人，我们每个人都有可能成为骇客，只要你知道一些相关网络与计算机知识就可以(当然要是高手)。我有位朋友对我说过：“别以为骇客都是轻纱蒙面昼伏夜出的强人，没准儿胡同口送酸奶的小张下了班回家顺便就能将某个ISP的主页黑一把；也别以为骇客都是五大三粗横眉立目的爷们儿，说不定昨天炸毁××总统电子信箱的就是在隔壁大妈家租房的白领小姐。”

骇客的行为不能以我们正常的眼光去评价，至于像那些抱着笔记本钻进股票交易所去玩地道战的人实在与骇客半点边都沾不上，而那些侵入别人的电脑盗窃信息的也只是骇客中极少的一部分。千万别小看了骇客，不知朋友们看过电影《独立日》了吗？其中，大炮、导弹、核武器纷纷失灵，最后还是靠骇客上载的计算机病毒要了全体外星人的小命。

死抱传统的黑客逐渐减少，越来越多的黑客开始学会与商业社会融合，他们的技术展示更像是作“秀”，攻击服务器的行为是为了获得一种“技术认证”，将来自己开办网络安全公司的时候才多几分招揽客户的筹码。有的干脆就直接与一些公司合作，接受“招安”，将自己的技术变成财富。

－－－－－

http://www.baidu.com/s?wd=%BA%DA%BF%CD%D3%EB%BA%A7%BF%CDcl=3