埃德蒙顿华人社区-Edmonton China

 找回密码
 注册
查看: 2074|回复: 3

真的是裸奔吗?——谈谈裸奔的条件

[复制链接]
鲜花(0) 鸡蛋(0)
发表于 2007-9-13 14:35 | 显示全部楼层 |阅读模式
老杨团队,追求完美;客户至上,服务到位!
[经常看到有人喊裸奔,其实裸奔是有条件的,只有完善了系统本身的安全机制才能裸奔。没有安全机制就裸奔,只能靠系统恢复拿自己的硬件开玩笑,如果中了autorun类病毒,系统恢复都没有用。感谢深度论坛,在这学了不少东西,整理一下。4 q% d* C# n7 W( N

! V6 ^$ m$ y* ^2 a* [系统本身的安全机制1 K# f+ n/ j9 @; R4 i7 {* @
     系统安全密码——掌握权力5 B6 ~3 c1 h; {
     选择文件系统——安全控制
2 x8 ~& L2 [$ f( @; w$ h$ }) g     禁用FSO 控件——抑制传播
3 k! I+ M* n+ r7 t# H3 B+ ~     IP   安全策略——抵御入侵$ O3 N; M2 W- j; c& l: R
     软件规则策略——限制病毒/ ]5 j8 b9 m0 n5 n
   ) Y9 l( _5 e6 X. g! N0 d
     系统安全密码
0 f& q7 @5 ^) b7 ?; `9 J3 O. o/ u     系统管理员享有系统最高权利。系统被远程软件或其它木马控制,通常是没有正确的设置管理员密码所造成。比如administrator的口令为空,或没有在“安全模式”下设置并改名。因为,普通用户在“安全模式”下可以删除、重建或更改administrator账户。因此管理员密码必须在“安全模式”下设置。如有必要可以设定启动密码,一旦加密就不能解开,其级别高于管理员密码。
, |5 t, B" G" ]+ l) K7 s- U     启动密码:运行Syskey,就可以打开双重密码设置界面,更新即可加密5 t. a1 z6 m, A3 m! q
, I# \7 \; Z7 G" s! p
     选择文件系统
: D# L7 T1 ]0 n- K6 F* m) D     很多用户为了方便,使用克隆盘安装系统(其实所有的装机商,甚至低价位的品牌机也采用克隆)。为了兼容基本都采用FAT32格式。但是,FAT32 格式有一个致命的弱点,就是不能像NTFS5格式那样使用文件及文件夹的安全选项,更无法使用EFS加密,安全性能较低。尤其对多用户共用电脑,根本就没有起码的安全。因此,即使使用克隆盘安装的系统,也应该改为NTFS5格式。) |+ c- |  h( L; t
     在命令提示符键入:convert x: /fs:ntfs (x代表分区) 就可以在不破坏文件的前提下将FAT32格式转换为NTFS5格式。
+ c4 Y( A8 F' y: j     另外,如果使用了EFS加密(Home版不支持EFS加密),打开加密文件需层层确认,非常麻烦。可以在HKLM\Software\ Microsoft\Windows\CurrentVersion\Explorer\Advanced建名为 EncryptionContextMenu的Dword键,并设值为“1”。就给右键增添“加密/解密”选项以方便操作。* {: O4 z" C5 f2 F! z' i. d5 o
  C3 C" Q6 P& G" o( R( f" c
     禁用FSO 控件* J' ^) d  L: U+ j5 A* V$ E
     很多脚本病毒的复制,传播都离不开FSO对象,FSO是ASP编程中非常有用的一个控件。用该控件可以进行读取、新建、修改、删除目录以及文件的操作。但是因为权限控制的问题,反而成为一个公开的后门。不少虚拟主机提供商都关掉了这个控件。所以卸载能有效地控制脚本病毒的传播。$ o, _- w* Q9 z/ q2 `8 N
     卸载方法:运行Regsvr32 /u scrrun.dll,即可禁用FSO对像。; _! c$ K; i" I( M- f
7 V1 B! N0 X/ i9 E' x
     IP 安全策略
  X( |1 B4 U7 K  c! V, O2 o' i     IP 策略和筛选规则可是个大话题,微软在Support Tools中,提供了仅供XP SP2使用的IP策略筛选规则支持工具:IPSeccmd(仅提供给正版用户使用)。由此可见IP策略筛选是多么麻烦。一般用户可以用以下方法制定规则:  Y: k2 `6 v& P2 v3 Z6 z
  第一步:新建策略:运行secpol.msc,在“IP安全策略,在本地计算机”中“创建IP安全策略”。命名如:“family”的安全策略后会弹出向导,去掉“激活默认响应规则”后进入“family属性”;
* ?; x3 v3 E0 X  第二步:进入接口:进入后去掉“使用添加向导”,“添加”进入“新规则属性”,再“添加”进入“IP筛选器列表”,去掉“使用添加向导”后“添加”进入“筛选器属性”,这就是设置接口;
3 f& n3 D1 ?. z# G$ F3 M  第三步:策略设置:在“寻址”中选择入站或出站(入站:源地址“任意IP”目标地址“我的IP”出站:反之);在“协议”中选择端口类型激活“设置 IP协议端口”输端口号:入站“到此端口”,出站“从此端口”。由于每次只能输入一个,要重复操作才能把需要过滤的端口全部输入;
# N- d( m  C1 U7 w9 w+ \  _  第四步:激活策略:完成后会回到“新规则属性”,激活“新 IP 筛选器列表”后进入“筛选器操作”去掉“使用添加向导”后“添加”在“安全措施”选项中,选“阻止”;激活“新筛选器操作”,关闭后回到“family属性”,选“新的IP筛选器列表”。右击新建的“family”选择“指派”,重启。
# i2 e3 p  Q( V" M# P     定制的策略规则注册表路径:HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local\。用户所有设置都会传递到这个位置,可以查看。  
& \. r; y) J* N! d& a7 y     目前已知危险端口很多,设置麻烦,但IP策略可以导入、导出又极为方便。因此,网上有提供.ipsec文件,是高手为自己制定的规则,不一定适合,使用后可能会出现诸多网络问题,建议慎用。另外网上提供的关闭端口类批处理文件,可按需修改。不过如果没安装微软支持工具IPSeccmd,执行也没用。解决办法是:下载IPSeccmd.exe单文件,再把system32文件夹下的gpupdate、polstore.dll、 winipsec.dll一起复制到批处理文件所在的文件夹内,就可以执行批处理文件了。( S3 S+ f* p- m+ a% q) g8 m
     IPSeccmd简单命令
! a1 i! a3 U7 v5 I     要看懂和修改网上提供的关闭端口类批处理文件,必须了解几个简单的IPSeccmd命令。7 x# i8 `) T: \1 u$ A6 u# G
     例1、入站实例:阻止对TCP端口80的入站访问,但仍然允许出站TCP80访问。此策略可以有效地保护运行IIS5.0 的计算机免遭“Code Red”蠕虫和“Nimda”蠕虫的攻击。0 f( t8 Y* O+ j' m+ V% B! ^
     IPSeccmd -w REG -p "Block TCP 80 Filter" -r "Block Inbound TCP 80 Rule" -f *+0:80:TCP -n BLOCK -x
( o: T) m# u1 R2 f$ C4 b; X     例2、出站实例:阻止从本地计算机UDP端口1026发往其它计算机上的任何网络通信。此策略可以有效地阻止灰鸽子将本机资料传送给其它计算机,以保证安全。
" G) g- g$ A+ E+ ~" m! Z+ ~% O* y: `IPSeccmd -w REG -p "Block UDP 1026 Filter" -r "Block Outbound UDP 1026 Rule" -f 0=*:1026:UDP -n BLOCK-x
4 H+ a' l4 g7 i! ^8 R, e: V  K     注释:-w reg 是写入本地注册表;; f( Z# @6 d) N) m
           -p   "Block TCP 80 Filter" -r 指定要操作的策略,策略名称可随意设定,如"family";* C! {) F$ p! h4 I- F! J% v0 _
           *+0 指源地址为“任何IP地址”,目标地址为“我的IP地址”;端口输入“到此端口”;
) }/ q: A0 |1 }+ g6 M6 `; l1 @: }           0+* 指源地址为“我的IP地址”,目标地址为“任何IP地址”;端口输入“从此端口”;. {8 g9 |+ j( |$ _# R6 v: o
           -x   指派策略(-y 取消指派)。
+ S3 K% k2 W/ b9 ?6 |* Q9 v
# k* u) L5 P4 o( L. a6 [  W     软件规则策略8 U. d7 e+ ~& I- b: K
     软件规则策略常用的是“新路径规则”和“新散列规则”。这两个规则的灵活运用,可以阻止大部分病毒的运行。尤其对使用克隆技术安装系统的用户十分重要。运行secpol.msc或打开本地安全策略,在"安全设置"下可以看到"软件限制策略"项。! Q# V% T7 Q5 }, h# c4 V/ C; l
     路径规则:路径规则有优先级问题。按微软的规定,绝对路径>使用通配符的路径>文件名。另外,由于标识是由路径来完成的,当文件移动或重命名时,路径规则会失去作用。# |$ \( z+ \; B( N) h
     散列规则:也称哈希规则。识别原理是提取文件的特征信息,如版本、Hash等,关键在于,判断后即使文件移动或重命名,只要是同一个文件都能正确识别。一般用于限制能自动复制的已知名称病毒。
& r8 f$ a; w0 @5 d- S/ U" V  Y" K     限制策略实例# H0 Q7 N1 e) y9 n
     1、仿冒进程:最常见的是svchost.exe,在任意文件夹下运行假的svchost.exe文件(真正的文件在system32文件夹下)。利用路径规则的优先级可以永久免疫这种方式的病毒,建立路径规则:2 `) a' j+ ~; A: G. o
     svchost.exe   不允许的(在任意文件夹的svchost.exe的程序都不允许运行). E7 f$ z5 \8 \8 S8 M2 r3 D
     %windir%\system32\svchost.exe 不受限的(优先级关系,在system32下的svchost.exe允许运行)* f+ y' a3 x; m$ C9 V' W  F
     2、隐藏病毒:如在System Volume Information、system32\Drivers、%windir%\system等隐蔽文件夹隐藏病毒。由于,这些文件夹正常情况下没有任何可执行程序,建立路径规则:
8 }2 f4 C+ p3 G1 ~     ?:\Recycled\*.*   不允许的' K: o$ M% ^% R
     ?:\System Volume Information\*.*   不允许的2 L! r( K" X9 N& j& b$ W
     %windir%\system32\Drivers\*.*   不允许的) h/ r0 e4 s# e  ^0 g' H( S
     %windir%\system\*.*   不允许的  
  B0 d  Z# h3 l% X% E: d1 l     3、伪装病毒:如改explorer.exe文件病毒,将o改0、或l改1等;或后缀.exe改为.com,由于com优先级高于exe,且默认不显示后缀,所以explorer.exe运行前必然先执行explorer.com。建立路径规则:% f& P- n% [/ P; c+ r+ s1 V
     expl0rer.exe   不允许的+ g7 ?/ v  W7 F3 q
     exp1orer.exe   不允许的% S/ B( X3 Q8 K3 s. I4 @
     exp10rer.exe   不允许的: B) ^7 _& b, y# g8 o0 \) q5 W
     explorer.com   不允许的  
  `8 _. z7 A3 g# D6 B! F     4、特殊后缀:后缀名为.pif的可执行文件病毒。主要特点是不显示后缀名,即便选择显示文件后缀都不会显示出扩展名,极具隐蔽性。由于,普通用户一般用不到.pif文件。建立路径规则:7 i4 o+ b8 j0 X) {
     *.pif   不允许的" z8 Z% d) D9 q9 `+ [
     这里只是列举几个典型病毒,其他可自治性灵活设置。软件安全策略制定完成后,不可以导入和导出,但是在%windir%\System32\ GroupPolice\Machine下的Registry.pol文件有了变化,可以将其拷贝,新装系统后复制进去就行了。
: _8 \5 l' @. ~8 ~1 Q" [0 X! e+ m+ S* A3 u1 P+ r! I
     小常识:建立路径规则策略,必须了解常见文件夹环境变量:(以下以XP装在C盘例举)  B! s, \) J, V5 A' a
     %ALLUSERSPROFILE% 表示 C:\Documents and Settings\All Users  u2 A6 ~, J! g9 @5 T, c
     %APPDATA% 表示 C:\Documents and Settings\当前用户名\Application Data% u. z# o4 h+ b  V! V
     %SYSTEMDRIVE% 表示 C:* \. O& J5 s& \: X* d6 ?
     %SYSTEMROOT% 和 %WINDIR% 表示 C:\WINDOWS) c! E! F) Y  T/ }
     %TEMP% 和 %TMP% 表示 C:\Documents and Settings\当前用户名\Local Settings\Temp
! R/ S+ o( H- l     %USERPROFILE% 表示 C:\Documents and Settings\当前用户名1 y+ Z! Y( W1 D* ?7 \; o. K
     %ProgramFiles% 表示 C:\Program Files) p% }3 o7 A! V) w, e/ t5 ^* j
     使用*.*通配符不会屏蔽txt或者jpg之类的其他非可执行程序.
鲜花(0) 鸡蛋(0)
发表于 2007-9-15 18:24 | 显示全部楼层
要彻底恢复系统并保证无毒, 只能用镜像备份来恢复, 比如GHOST
鲜花(0) 鸡蛋(0)
发表于 2007-9-15 21:15 | 显示全部楼层
严重崇拜
鲜花(0) 鸡蛋(0)
发表于 2007-9-17 19:12 | 显示全部楼层
老杨团队 追求完美
还是建议为了系统的安全和快捷恢复,用GHOST备份
您需要登录后才可以回帖 登录 | 注册

本版积分规则

联系我们|小黑屋|手机版|Archiver|埃德蒙顿中文网

GMT-7, 2025-6-3 06:13 , Processed in 0.231808 second(s), 13 queries , Gzip On, APC On.

Powered by Discuz! X3.4

Copyright © 2001-2021, Tencent Cloud.

快速回复 返回顶部 返回列表