打造對安全的個人電腦(页 1) - 系統疑问與教程 - DIY中文论坛 DIY技术交流,软件下载,电脑硬件,DIY装机,超频,

imapx2 2008-8-6 04:49 PM

打造對安全的個人電腦

[size=2][color=gray]由于現在家用電腦所使用的操作系統多數為WinXP 和Win2000 pro（建議還在使用98的朋友換換系統，連微軟都放棄了的系統你還用它干嘛？）所以后面我將主要講一下基于這兩個操作系統的安全防范。
個人電腦常見的被入侵方式

談到個人上網時的安全，還是先把大家可能會遇到的問題歸個類吧。我們遇到的入侵方式大概包括了以下幾種：
(@)KW5C/S
（1）被他人盜取密碼；
_9Zy1Fh z;w@
（2）系統被_blank/>木馬攻擊；
%vC,v^} V%A
（3）瀏覽網頁時被惡意的java scrpit程序攻擊；$|gk'B F%p$[

（4） QQ被攻擊或泄漏信息；

（5）病毒感染；
K3o)I5|*Tc
（6）系統存在漏洞使他人攻擊自己。3UfDYZp
`9A8l5zA L;EC5\ic
（7）黑客的惡意攻擊。

下面我們就來看看通過什么樣的手段來更有效的防范攻擊。f|:km*c9@B
gs/Yx? _.eT
查本地共享資源 \l3J#G#WD
刪除共享 ;bM-e@s#Jt#ys`
刪除ipc$空連接 $Qp8af[ J_ A
賬號密碼的安全原則
關閉自己的139端口
445端口的關閉
3389的關閉 (\:sQd'Aa
4899的防范 ;p0[;N"q6N9c2|B
常見端口的介紹 pmn]QHm
如何查看本機打開的端口和過濾 `9J"b.H"^V6a
禁用服務
本地策略
本地安全策略 -I }$L%a*p
用戶權限分配策略 @\lKf(T%E
終端服務配置 g |8v~ gyS8A
用戶和組策略
防止rpc漏洞 -tAm1P1V
自己動手DIY在本地策略的安全選項
工具介紹
避免被惡意代碼木馬等病毒攻擊!P5j%T{m bL1jU
@pl_g5k1L8KG
1.查看本地共享資源

運行CMD輸入net share，如果看到有異常的共享，那么應該關閉。但是有時你關閉共享下次開機的時候又出現了，那么你應該考慮一下，你的機器是否已經被黑客所控制了，或者中了病毒。

2.刪除共享（每次輸入一個）$P#QlqW5bJ

　　net share admin$ /delete
　　net share c$ /delete
　　net share d$ /delete（如果有e，f，……可以繼續刪除）\+kc,f'S Ms$C^

3.刪除ipc$空連接
"`5cx\/w.@2{_
在運行內輸入regedit，在注冊表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 項里數值名稱RestrictAnonymous的數值數據由0改為1. jtI8Z C!fK
4m.A hg+|H)F%Eif T
4.關閉自己的139端口，ipc和RPC漏洞存在于此。F(`aL1O0Dne~
{,DOC4f;e9y8z#Y
關閉139端口的方法是在“網絡和撥號連接”中“本地連接”中選取“Internet協議（TCP/IP）”屬性，進入“高級TCP/IP設置”“WinS設置”里面有一項“禁用TCP/IP的NETBIOS”，打勾就關閉了139端口。

5.防止rpc漏洞@n0^E;|f

打開管理工具——服務——找到RPC（Remote Procedure Call （RPC） Locator）服務——將故障恢復中的第一次失敗，第二次失敗，后續失敗，都設置為不操作。._ D1Ulq,u"N.F[

XP SP2和2000 pro sp4，均不存在該漏洞。

6.445端口的關閉"uq*jH|*AeK
2v-q:pN*`
修改注冊表，添加一個鍵值HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一個SMBDeviceEnabled 為REG_DWORD類型鍵值為0這樣就ok了。a:_5t-N-g#?4B}1s.d

7.3389的關閉
(\1M?a+M/[ ]!|
XP：我的電腦上點右鍵選屬性——/>遠程，將里面的遠程協助和遠程桌面兩個選項框里的勾去掉。
c&QY'@uQJ#}-i
Win2000server 開始——/>程序——/>管理工具——/>服務里找到Terminal Services服務項，選中屬性選項將啟動類型改成手動，并停止該服務。（該方法在XP同樣適用）

使用2000 pro的朋友注意，網絡上有很多文章說在Win2000pro 開始——/>設置——/>控制面板——/>管理工具——/>服務里找到Terminal Services服務項，選中屬性選項將啟動類型改成手動，并停止該服務，可以關閉3389，其實在2000pro 中根本不存在Terminal Services.!D~j hnHH5Q]r(G
os6t)?iq hk0_
8.4899的防范
Y7[8~"dA8`b@4i
網絡上有許多關于3389和4899的入侵方法。4899其實是一個遠程控制軟件所開啟的服務端端口，由于這些控制軟件功能強大，所以經常被黑客用來控制自己的肉雞，而且這類軟件一般不會被殺毒軟件查殺，比后門還要安全。

4899不象3389那樣，是系統自帶的服務。需要自己安裝，而且需要將服務端上傳到入侵的電腦并運行服務，才能達到控制的目的。`Iz,V_

所以只要你的電腦做了基本的安全配置，黑客是很難通過4899來控制你的。
$qdUvI)jm
0RcN5G)oYRSF4`t
若PC沒有特殊用途，基于安全考慮，打開控制面板，進入管理工具——服務，關閉以下服務：

　　1.Alerter[通知選定的用戶和計算機管理警報]
　　2.ClipBook[啟用“剪貼簿查看器”儲存信息并與遠程計算機共享]
　　3.Distributed File System[將分散的文件共享合并成一個邏輯名稱，共享出去，關閉后遠程計算機無法訪問共享 hlc(N?:md(b%d|;r
　　4.Distributed Link Tracking Server[適用局域網分布式鏈接]
　　6.Indexing Service[提供本地或遠程計算機上文件的索引內容和屬性，泄露信息] ,j D3W$g1W M;@
　　7.Messenger[警報]
　　8.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客戶信息收集] 0O5D&M4e3G.r
　　9.Network DDE[為在同一臺計算機或不同計算機上運行的程序提供動態數據交換]
　 10.Network DDE DSDM[管理動態數據交換 (DDE) 網絡共享]
　 11.Remote Desktop Help Session Manager[管理并控制遠程協助] |\qg"Q`3z
　 12.Remote Registry[使遠程計算機用戶修改本地注冊表] f'xw$^9d2o"ZJIj
　 13.Routing and Remote Access[在局域網和廣域往提供路由服務.黑客理由路由服務刺探注冊信息] !FfWs"z
　 14.Server[支持此計算機通過網絡的文件、打印、和命名管道共享]
　 15.TCP/IPNetBIOS Helper[提供 TCP/IP 服務上的 NetBIOS 和網絡上客戶端的 NetBIOS 名稱解析的支持而使用戶能夠共享文件、打印和登錄到網絡] 7L!VWZ@P
　 16.Telnet[允許遠程用戶登錄到此計算機并運行程序]
　 17.Terminal Services[允許用戶以交互方式連接到遠程計算機]
　 18.Window s Image Acquisition (WIA)[照相服務，應用與數碼攝象機]^S}P${;Y)Y-[

如果發現機器開啟了一些很奇怪的服務，如r_server這樣的服務，必須馬上停止該服務，因為這完全有可能是黑客使用控制程序的服務端。Ki'_t)B)W&X5^FC1}
Pj{-U~$P4r,A U` k
10、賬號密碼的安全原則
({Bs+k'ZA+M
首先禁用guest帳號，將系統內建的administrator帳號改名～～（改的越復雜越好，最好改成中文的），然后設置一個密碼，最好是8位以上字母數字符號組合。（讓那些該死的黑客慢慢猜去吧～）4oj6Cl#{

如果你使用的是其他帳號，最好不要將其加進administrators，如果加入administrators組，一定也要設置一個足夠安全的密碼，同上如果你設置adminstrator的密碼時，最好在安全模式下設置，因為經我研究發現，在系統中擁有最高權限的帳號，不是正常登陸下的adminitrator帳號，因為即使有了這個帳號，同樣可以登陸安全模式，將sam文件刪除，從而更改系統的administrator的密碼！而在安全模式下設置的administrator則不會出現這種情況，因為不知道這個administrator密碼是無法進入安全模式。權限達到最大這個是密碼策略：用戶可以根據自己的習慣設置密碼，下面是我建議的設置（關于密碼安全設置，我上面已經講了，這里不再羅嗦了。
6r&b4O!pX
打開管理工具。本地安全設置。密碼策略
s%tAd*u:^T
　　　　 1.密碼必須符合復雜要求性.啟用
　　　　 2.密碼最小值.我設置的是8 Q,ReYrao
　　　　 3.密碼最長使用期限.我是默認設置42天
　　　　 4.密碼最短使用期限0天 kwb(cK"m
　　　　 5.強制密碼歷史記住0個密碼
　　　　 6.用可還原的_blank/>加密來存儲密碼禁用11、本地策略：

這個很重要，可以幫助我們發現那些心存叵測的人的一舉一動，還可以幫助我們將來追查黑客。
in5z+^4~n h$P8P
（雖然一般黑客都會在走時會清除他在你電腦中留下的痕跡，不過也有一些不小心的）
mQi+mXBq
打開管理工具JcB#s8rU&ZlJ
k1S"rqa;O
找到本地安全設置。本地策略。審核策略
AS2I#J8H H:uq(UL"[
　　　　 1.審核策略更改成功失敗
　　　　 2.審核登陸事件成功失敗
　　　　 3.審核對象訪問失敗
　　　　 4.審核跟蹤過程無審核 c|}@!hM2N
　　　　 5.審核目錄服務訪問失敗 q)si9v6[z?i
　　　　 6.審核特權使用失敗
　　　　 7.審核系統事件成功失敗 :i||C^.Iu"t
　　　　 8.審核帳戶登陸時間成功失敗 #b,pAnAa(IX.{
　　　　 9.審核帳戶管理成功失敗 8m*@:S2`g
　　　　 &nb sp;然后再到管理工具找到 ~#[9Nv0kX;U
　　　　事件查看器 I'f.J#H3S
　　　　應用程序：右鍵/>屬性/>設置日志大小上限，我設置了50mb，選擇不覆蓋事件
　　　　安全性：右鍵/>屬性/>設置日志大小上限，我也是設置了50mb，選擇不覆蓋事件 `S;EW~R[~ ^3~7s
　　　　系統：右鍵/>屬性/>設置日志大小上限，我都是設置了50mb，選擇不覆蓋事件
If7^'uW)N
12、本地安全策略：

打開管理工具

找到本地安全設置。本地策略。安全選項\Ir[4K

　　　　 1.交互式登陸.不需要按 Ctrl+Alt+Del 啟用 [根據個人需要，? 但是我個人是不需要直接輸入密碼登陸的]
　　　　 2.網絡訪問.不允許SAM帳戶的匿名枚舉啟用
　　　　 3.網絡訪問.可匿名的共享將后面的值刪除
　　　　 4.網絡訪問.可匿名的命名管道將后面的值刪除 g5TB9Gu{
　　　　 5.網絡訪問.可遠程訪問的注冊表路徑將后面的值刪除 ;[/G+HQ#Q!kWt4d&kk{
　　　　 6.網絡訪問.可遠程訪問的注冊表的子路徑將后面的值刪除
　　　　 7.網絡訪問.限制匿名訪問命名管道和共享 5?"a8g?Z9hb({
　　　　 8.帳戶.（前面已經詳細講過拉）'wp-O%`,{:J ]$^
+[FsnE6X
13、用戶權限分配策略：
Rm._$Km7pc)z&z
打開管理工具v"rE+y0{

找到本地安全設置。本地策略。用戶權限分配

　　　　 1.從網絡訪問計算機里面一般默認有5個用戶，除Admin外我們刪除4個，當然，等下我們還得建一個屬于自己的ID ?2?2nH"eIEUo F
　　　　 2.從遠程系統強制關機，Admin帳戶也刪除，一個都不留　　　　
　　　　 3.拒絕從網絡訪問這臺計算機將ID刪除 \)N3vx]/vZ
　　　　 4.從網絡訪問此計算機，Admin也可刪除，如果你不使用類似3389服務
　　　　 5.通過遠端強制關機。刪掉
R'W^+b'{
14、終端服務配置
_2n|T&e@&f
打開管理工具'x@-tTulK3w
zE`L9f8quLC
終端服務配置
{qX?qX2ua
　　　　1.打開后，點連接，右鍵，屬性，遠程控制，點不允許遠程控制 7M9@t0DV'CQr u
　　　　2.常規，加密級別，高，在使用標準Windows驗證上點√! !XH.Rpi
　　　　3.網卡，將最多連接數上設置為0
　　　　4.高級，將里面的權限也刪除.[我沒設置] (LQ6M/q%tS;hJq
　　　　再點服務器設置，在Active Desktop上，設置禁用，且限制每個使用一個會話8`B"~1~4_V;H
"O-?z6j&e.D5xK G
15、用戶和組策略

打開管理工具
_,Q}3H,v#^C ^2E!W
計算機管理。本地用戶和組。用戶；
_F S@;^
刪除Support_388945a0用戶等等只留下你更改好名字的adminisrator權限l)|ksi
i'm {;]{U)x
計算機管理。本地用戶和組。組 kt1|&MTG
.qJ0^P CF ~(y"B
組。我們就不分組了，每必要把^T(ld#S
2eA},Lh-Zq
16、自己動手DIY在本地策略的安全選項$sYv]8Y;b{[
8W L*n%pmI p0P2l5K
　　　　1）當登陸時間用完時自動注銷用戶(本地) 防止黑客密碼滲透. 9m RaOSw
　　　　2）登陸屏幕上不顯示上次登陸名(遠程)如果開放3389服務，別人登陸時，就不會殘留有你登陸的用戶名.讓他去猜你的用戶名去吧.
　　　　3）對匿名連接的額外限制
　　　　4）禁止按 alt+crtl +del(沒必要） y kW,\5l
　　　　5）允許在未登陸前關機[防止遠程關機/啟動、強制關機/啟動] 2x sP5HH-de?
　　　　6）只有本地登陸用戶才能訪問cd-rom
　　　　7）只有本地登陸用戶才能訪問軟驅 | \:t uvZw;aX
　　　　8）取消關機原因的提示 e7uQ1Am/c(K`*n-asII
　　　　 A、打開控制面板窗口，雙擊“電源選項”圖標，在隨后出現的電源屬性窗口中，進入到“高級”標簽頁面； KLw\n4q
　　　　 B、在該頁面的“電源按鈕”設置項處，將“在按下計算機電源按鈕時”設置為“關機”，單擊“確定”按鈕，來退出設置框； .A5Tx7a)^+t
　　　　 C、以后需要關機時，可以直接按下電源按鍵，就能直接關閉計算機了。當然，我們也能啟用休眠功能鍵，來實現快速關機和開機； ~ OE8@,Vj zJ~z
　　　　 D、要是系統中沒有啟用休眠模式的話，可以在控制面板窗口中，打開電源選項，進入到休眠標簽頁面，并在其中將“啟用休眠”選項選中就可以了。 GL.rXz,WJ I:W
　　　　9）禁止關機事件跟蹤
　　開始“Start -/>”運行“ Run -/>輸入”gpedit.msc “，在出現的窗口的左邊部分，選擇 ”計算機配置“（Computer Configuration ）-/> ”管理模板“（Administrative Templates）-/> ”系統“（System），在右邊窗口雙擊“Shutdown Event Tracker” 在出現的對話框中選擇“禁止”（Disabled），點擊然后“確定”（OK）保存后退出這樣，你將看到類似于Windows 2000的關機窗口 'ON&P V H

17、常見端口的介紹
%s#z.Wp#H;oW
　　TCP
　　21　　 FTP
　　22　　 SSH u+eI?#Am:D+|,X
　　23　　 TELNET #NF8mY"Eo#b1F"}-F
　　25　　 TCP SMTP
　　53　　 TCP DNS 4WaUN2PN)lt
　　80　　 HTTP
　　135　　epmap 8wV3i3WJ1Ic+j
　　138　　[沖擊波]
　　139　　smb Y p3aC&XY8k
　　445 ~+Go0F5r}I:u
　　1025 DCE/1ff70682-0a51-30e8-076d-740be8cee98b x&r'y)l\t
　　1026 DCE/12345778-1234-abcd-ef00-0123456789ac GDj K3kIySB+XT5B
　　1433 TCP SQL SERVER :^a'kf[_.v8S
　　5631 TCP PCANYWHERE $L!y_`z-u
　　5632 UDP PCANYWHERE
　　3389　　 Terminal Services %B^p1|R;J Irxc
　　4444[沖擊波]
　 [_*KwRiL G
　　UDP PVUv"~_'d
　　67[沖擊波]
　　137 netbios-ns +KY7J Mk&b
　　161 An SNMP Agent is running/ Default community names of the SNMP Agent EV/yNt?6b_
[/color][/size]

猪八戒 2008-8-11 04:01 PM

@,@..是什么意思呀？

kiang 2008-10-15 10:48 AM

哇，好像很复杂，有一些看不明白，但看起来却很有用。:L

查看完整版本: 打造對安全的個人電腦

打造對安全的個人電腦