打造對安全的個人電腦
本文来自：DIY中文论坛★forum.diy.net.my★ 转帖请注明出处！ 作者：imapx2 您是第46个浏览者
由于現在家用電腦所使用的操作系統多數為WinXP 和Win2000 pro（建議還在使用98的朋友換換系統，連微軟都放棄了的系統你還用它干嘛？）所以后面我將主要講一下基于這兩個操作系統的安全防范。
7 D# l; B* b. g! a個人電腦常見的被入侵方式
6 E1 |9 J% H8 K, p6 T9 `. q
3 Q+ X/ s) ^6 Y3 P7 _談到個人上網時的安全，還是先把大家可能會遇到的問題歸個類吧。我們遇到的入侵方式大概包括了以下幾種：, t- [# Y2 o- }& k) K- F
$ }& u# e D6 r2 `8 [（1） 被他人盜取密碼；
+ r) W$ \1 t1 H8 {
( @' k* [/ l8 ]3 x4 V( v1 O& c! g0 P（2） 系統被_blank/>木馬攻擊；( a3 [# G# E" w0 n
8 b% o9 M6 R* o, J2 s（3） 瀏覽網頁時被惡意的java scrpit程序攻擊； c+ d: t' S6 [: e3 ~. [
2 K" p4 u* D9 ?; ^6 `- [8 E（4） QQ被攻擊或泄漏信息；: x) S, C1 G; c5 ?3 V7 I8 A
7 c2 S$ |. V) ~# q" W2 ~- _
（5） 病毒感染；& E/ ?, _, z$ @! t; `
3 U1 `7 ], K* n* G) n
（6） 系統存在漏洞使他人攻擊自己。
5 [5 m8 n8 O5 W" B- W0 d+ r+ w! E9 g' M: y
（7） 黑客的惡意攻擊。# h: A7 Y5 ?, n- e" Q
, e+ b; u& g- b3 `) V下面我們就來看看通過什么樣的手段來更有效的防范攻擊。( J$ e. h- o) @- X# ?8 W5 c
5 n, Y. y# P5 z( ]& l: j
查本地共享資源
9 {+ L* L& P6 u" h刪除共享
+ t4 {1 n( {$ a" D刪除ipc$空連接 / F5 T/ F) t" T7 p' r; H
賬號密碼的安全原則 6 Y, F' H' M$ c. M! L! g2 a, I& V
關閉自己的139端口 9 @; [, B ~/ j) R( W) q
445端口的關閉
. x) }7 d6 r2 `% `3389的關閉
) F8 |- _, R) y' a' O2 ^4899的防范
* g" L, v$ V/ I. u. s/ `( H常見端口的介紹
; f9 x2 B! D% s) A1 a. L如何查看本機打開的端口和過濾
1 ?' S# x3 m( t/ y/ M( c( h禁用服務
0 }3 ]: |: ^ g" y' ?1 {本地策略 . ]" K8 l: k: i$ s3 `& Y. k3 c
本地安全策略
8 L! I8 {2 x, d3 ^用戶權限分配策略 4 B: ^0 L1 C- J6 h+ _" h9 Q9 c
終端服務配置
3 v$ c4 K! r+ p( Q用戶和組策略
! Y, Q0 Q8 B' Y7 X防止rpc漏洞
& Q+ }) W2 |7 r; f0 N4 h自己動手DIY在本地策略的安全選項 " m/ O. j' I3 T1 v+ I
工具介紹
2 N1 n# o. k/ y避免被惡意代碼 木馬等病毒攻擊; {5 i% O/ |1 {6 }$ m! |* H% S) O
. H s2 w* G8 i( K8 T2 U
1.查看本地共享資源
$ f6 l# k7 P# w$ p
- b8 X+ U; G- G' A, _9 u: `" v運行CMD輸入net share，如果看到有異常的共享，那么應該關閉。但是有時你關閉共享下次開機的時候又出現了，那么你應該考慮一下，你的機器是否已經被黑客所控制了，或者中了病毒。
9 }* B+ @7 n0 ?; g: Z$ `# u" r% ` U2 Z5 H- P
2.刪除共享（每次輸入一個）
; X# v" H7 G! G5 l6 P/ Y- `" R b
net share admin$ /delete * P! `7 P6 W/ D* J' O( g, ]4 O
net share c$ /delete # {! o8 k) Q' _
net share d$ /delete（如果有e，f，……可以繼續刪除）
' A, z* a7 @2 G! i& T( Q A: }$ O8 q1 _+ V4 U
3.刪除ipc$空連接3 ?! m) A% |! t% V% W# \9 q3 y
" a6 V6 g2 P" j/ N% q, S/ R
在運行內輸入regedit，在注冊表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 項里數值名稱RestrictAnonymous的數值數據由0改為1.; v% r! q, n, _8 U, C
: ~* B. Y, B7 f& d, o7 E
4.關閉自己的139端口，ipc和RPC漏洞存在于此。/ @6 t+ p9 i; J! e: Z% E5 B
! Y( x! p8 b F3 R4 H: J2 d
關閉139端口的方法是在“網絡和撥號連接”中“本地連接”中選取“Internet協議（TCP/IP）”屬性，進入“高級TCP/IP設置”“WinS設置”里面有一項“禁用TCP/IP的NETBIOS”，打勾就關閉了139端口。
# B( c* M) d/ U/ @1 e* K( E
" Z) S5 W i) W1 F5.防止rpc漏洞& B% o* b& _1 d9 z/ w8 F3 b; y
" v% q( }2 p6 e w h" G% {" ?+ `! x
打開管理工具——服務——找到RPC（Remote Procedure Call （RPC） Locator）服務——將故障恢復中的第一次失敗，第二次失敗，后續失敗，都設置為不操作。( j; V1 T% o2 ~
0 p; [" M8 r1 a% ~7 W6 N! {6 ]( E! r1 HXP SP2和2000 pro sp4，均不存在該漏洞。0 U& }0 b6 [9 |3 A& J
8 |" T& v, N. Y! k! |2 `" D6.445端口的關閉8 C$ v3 o l. z, L0 p; i3 L
. @; B$ h! J6 O修改注冊表，添加一個鍵值HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一個SMBDeviceEnabled 為REG_DWORD類型鍵值為0這樣就ok了。
8 B, O" J' m6 \2 I
/ K6 z+ i5 ?$ z" i. W3 T+ z! l7.3389的關閉- C+ H3 O& L4 s8 \+ }* d8 z1 p
' ?- ^0 [& j% D" K1 oXP：我的電腦上點右鍵選屬性——/>遠程，將里面的遠程協助和遠程桌面兩個選項框里的勾去掉。
/ a2 `! `! i7 i! c1 M/ H9 Q* p( O7 Z/ q/ e
Win2000server 開始——/>程序——/>管理工具——/>服務里找到Terminal Services服務項，選中屬性選項將啟動類型改成手動，并停止該服務。（該方法在XP同樣適用）" ^6 [% N( I p* ?! H) `
0 n2 A- p! \: \% ~3 w7 x0 w使用2000 pro的朋友注意，網絡上有很多文章說在Win2000pro 開始——/>設置——/>控制面板——/>管理工具——/>服務里找到Terminal Services服務項，選中屬性選項將啟動類型改成手動，并停止該服務，可以關閉3389，其實在2000pro 中根本不存在Terminal Services.' z! l! w% ]: p0 q6 l# ?6 ^
7 w6 o! m& @( k5 m
8.4899的防范$ U+ ?1 C! X1 }* T' {/ J
3 c& D$ n5 V+ L+ t& p網絡上有許多關于3389和4899的入侵方法。4899其實是一個遠程控制軟件所開啟的服務端端口，由于這些控制軟件功能強大，所以經常被黑客用來控制自己的肉雞，而且這類軟件一般不會被殺毒軟件查殺，比后門還要安全。
3 j7 I& j" ^# j0 g- `
! b d; {: X+ j- T Q& I0 b% J. F4 x4899不象3389那樣，是系統自帶的服務。需要自己安裝，而且需要將服務端上傳到入侵的電腦并運行服務，才能達到控制的目的。9 j1 ?& G6 H* K
$ G! Q. W4 i2 g- a. `8 j3 [所以只要你的電腦做了基本的安全配置，黑客是很難通過4899來控制你的。( E: f% O. v( z% Z6 C
0 g" Y% ~6 \% W% c l
- F7 Y0 |! h2 W; ^7 X+ e' P, v若PC沒有特殊用途，基于安全考慮，打開控制面板，進入管理工具——服務，關閉以下服務：
* W7 O# a- x5 t1 n, H2 m$ j+ L( @+ j3 N6 _; }3 f
1.Alerter[通知選定的用戶和計算機管理警報]
( r% P" [5 H3 [# E) | 2.ClipBook[啟用“剪貼簿查看器”儲存信息并與遠程計算機共享]
* a, q4 i2 j( N0 N- S" s 3.Distributed File System[將分散的文件共享合并成一個邏輯名稱，共享出去，關閉后遠程計算機無法訪問共享 ( }' `! V8 B0 v' U4 T0 ]9 h
4.Distributed Link Tracking Server[適用局域網分布式鏈接]
1 u) r0 a8 c4 P7 Y* n( V1 C 6.Indexing Service[提供本地或遠程計算機上文件的索引內容和屬性，泄露信息]
* T: E% M6 N0 d8 T 7.Messenger[警報] . k% R# G% S. b& J
8.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客戶信息收集]
! V: B9 m& _4 d1 d/ G- c 9.Network DDE[為在同一臺計算機或不同計算機上運行的程序提供動態數據交換]
( \$ t. @+ O' D 10.Network DDE DSDM[管理動態數據交換 (DDE) 網絡共享] - a, x" n- B) B; T. k7 l, {
11.Remote Desktop Help Session Manager[管理并控制遠程協助] $ I% E. Q0 m! z, a3 A: b {0 i
12.Remote Registry[使遠程計算機用戶修改本地注冊表] / A: @1 F. c% A/ y7 \: ?/ m2 |! k' r
13.Routing and Remote Access[在局域網和廣域往提供路由服務.黑客理由路由服務刺探注冊信息]
% G( u; P8 i" W7 Y/ g2 A( I 14.Server[支持此計算機通過網絡的文件、打印、和命名管道共享]
! k6 K% x; s" O( v 15.TCP/IPNetBIOS Helper[提供 TCP/IP 服務上的 NetBIOS 和網絡上客戶端的 NetBIOS 名稱解析的支持而使用戶能夠共享文件、打印和登錄到網絡]
P- }- ]7 D6 B 16.Telnet[允許遠程用戶登錄到此計算機并運行程序]
! g$ V$ j9 w2 H$ x( X7 i 17.Terminal Services[允許用戶以交互方式連接到遠程計算機]
. r5 G; `/ `* Q* R: p 18.Window s Image Acquisition (WIA)[照相服務，應用與數碼攝象機]* u. s$ ~6 y: d, z
! j8 m$ X: H# M3 b如果發現機器開啟了一些很奇怪的服務，如r_server這樣的服務，必須馬上停止該服務，因為這完全有可能是黑客使用控制程序的服務端。( Y# K5 \9 u8 ?% E. X1 e" j
; ~/ e) m- ?, l9 r% S: V
10、賬號密碼的安全原則
5 X9 s9 S2 H# ^- D
) J9 R4 h& x8 c9 R4 l1 Q首先禁用guest帳號，將系統內建的administrator帳號改名～～（改的越復雜越好，最好改成中文的），然后設置一個密碼，最好是8位以上字母數字符號組合。 （讓那些該死的黑客慢慢猜去吧～）
. u% I7 h5 k# ^, ?8 L
3 C# d4 k0 t* t如果你使用的是其他帳號，最好不要將其加進administrators，如果加入administrators組，一定也要設置一個足夠安全的密碼，同上如果你設置adminstrator的密碼時，最好在安全模式下設置，因為經我研究發現，在系統中擁有最高權限的帳號，不是正常登陸下的adminitrator帳號，因為即使有了這個帳號，同樣可以登陸安全模式，將sam文件刪除，從而更改系統的administrator的密碼！而在安全模式下設置的administrator則不會出現這種情況，因為不知道這個administrator密碼是無法進入安全模式。權限達到最大這個是密碼策略：用戶可以根據自己的習慣設置密碼，下面是我建議的設置（關于密碼安全設置，我上面已經講了，這里不再羅嗦了。
: R+ p% V# ~& `) ]
1 u; A) B% d: a& a" y打開管理工具。本地安全設置。密碼策略" I" ~ N$ h+ b9 `* P' V
- ^# ~6 R6 F) _. n
1.密碼必須符合復雜要求性.啟用 ) b. D- _$ _3 i5 ^ {8 i$ _
2.密碼最小值.我設置的是8
; z7 _5 K" D \7 S* Y" S( K 3.密碼最長使用期限.我是默認設置42天 3 G# b: X3 r# i- n
4.密碼最短使用期限0天
( V4 z8 }) V- C3 J+ B& G 5.強制密碼歷史 記住0個密碼 , v+ h7 `/ S7 K1 Z6 a# K- N1 H
6.用可還原的_blank/>加密來存儲密碼 禁用11、本地策略：
5 A$ u8 z# I; ?- ^( N# v; |, \/ K: s
這個很重要，可以幫助我們發現那些心存叵測的人的一舉一動，還可以幫助我們將來追查黑客。
9 Z" Q7 H$ L6 ~$ c# P8 }5 _( x) } E
（雖然一般黑客都會在走時會清除他在你電腦中留下的痕跡，不過也有一些不小心的）
( G+ ]& ?! e% i$ t' E# q2 C) E; b/ v/ \# s% C7 [# j/ B
打開管理工具 Z/ i4 r* s8 l2 |% o
, w) e* t8 X. S( L# a: i找到本地安全設置。本地策略。審核策略2 [* p1 V. k+ e* w' [- b
4 u5 a: }7 F8 X7 s+ P& e 1.審核策略更改 成功失敗 ! d n3 v* b! P0 |7 `
2.審核登陸事件 成功失敗 " s( w6 C" Q7 D4 q
3.審核對象訪問 失敗 6 z! H7 e. O2 w' \8 W- h7 \
4.審核跟蹤過程 無審核
( x, m3 E6 V) M* i/ Z2 \7 l5 I 5.審核目錄服務訪問 失敗
5 _. C! C6 O; B# Q+ v% P 6.審核特權使用 失敗
6 n5 w6 I5 {* U) H4 H% e 7.審核系統事件 成功失敗
+ U. d% C$ e3 p. ? 8.審核帳戶登陸時間 成功失敗 * d+ e) ?( s, n; k3 M1 ^0 x
9.審核帳戶管理 成功失敗
( N' y; @. v+ L3 z3 g &nb sp;然后再到管理工具找到 * q7 g/ w$ K2 M! v* N
事件查看器 - A) u) {( U) B7 n
應用程序：右鍵/>屬性/>設置日志大小上限，我設置了50mb，選擇不覆蓋事件
R, h/ C( ^" `( H8 { 安全性：右鍵/>屬性/>設置日志大小上限，我也是設置了50mb，選擇不覆蓋事件
! T5 A0 }0 v; J8 E. @ 系統：右鍵/>屬性/>設置日志大小上限，我都是設置了50mb，選擇不覆蓋事件% A$ a2 Y0 s! {1 G& f* m6 I/ [
' \% Y% E7 T4 S) {( b
12、本地安全策略：; Z. j P% M4 F7 T i6 Y& E- D4 A6 r
; G5 t o* p0 |. y2 f. W打開管理工具
; s9 I' T, ^9 K! D" B( W% B2 G7 Y# R. z* v
找到本地安全設置。本地策略。安全選項
$ @& }. u/ F. x- S! c/ i9 t. s' l1 V( e$ k6 X
1.交互式登陸.不需要按 Ctrl+Alt+Del 啟用 [根據個人需要，? 但是我個人是不需要直接輸入密碼登陸的]
+ N- W, \/ c" C, A- a 2.網絡訪問.不允許SAM帳戶的匿名枚舉 啟用
& w0 {" Z5 n2 `8 \- B" v. G 3.網絡訪問.可匿名的共享 將后面的值刪除 8 _! Z$ D$ m* s; X6 b
4.網絡訪問.可匿名的命名管道 將后面的值刪除
) b" Q& d8 ]) n) F 5.網絡訪問.可遠程訪問的注冊表路徑 將后面的值刪除
2 q' y/ _' ?, n2 T 6.網絡訪問.可遠程訪問的注冊表的子路徑 將后面的值刪除
' b; D) C; G7 G1 B! K 7.網絡訪問.限制匿名訪問命名管道和共享 , @$ P+ Z) g/ H, G6 ^
8.帳戶.（前面已經詳細講過拉 ）
6 D0 d' ^& o8 }1 j8 O; l- H
8 j) k9 Q' U( ~& W3 ~13、用戶權限分配策略：+ l7 o/ M/ m+ |: j5 E5 v+ y3 i9 E
+ t) ]9 z2 h$ {% Q打開管理工具
3 P1 _! ^! E, R( S7 z
. j$ d2 E4 ^# q4 r- t找到本地安全設置。本地策略。用戶權限分配7 T+ H' j0 H2 ^5 L
0 z/ D: S; B0 E
1.從網絡訪問計算機 里面一般默認有5個用戶，除Admin外我們刪除4個，當然，等下我們還得建一個屬于自己的ID
3 o$ Y |: i- \/ n/ I+ d 2.從遠程系統強制關機，Admin帳戶也刪除，一個都不留 # j! N2 Z! y$ P; z5 ~
3.拒絕從網絡訪問這臺計算機 將ID刪除 5 S9 r7 q( j. z" Z% t
4.從網絡訪問此計算機，Admin也可刪除，如果你不使用類似3389服務
' ]4 i2 `3 ~/ C( k+ U9 P7 I 5.通過遠端強制關機。刪掉# ^' b" W5 F% J' O4 i! w
5 A) L9 ?0 \& X' M+ H/ i9 ]1 r
14、終端服務配置! n' n1 B2 ~* U8 x
. Z Z: u- U2 {* Z6 T
打開管理工具
' K- c! B) f' L6 x
$ K2 ~7 ]6 ~" U終端服務配置
2 ^0 ~9 a( K- x" U( V) ]
% _8 U* {! o" P/ h* l 1.打開后，點連接，右鍵，屬性，遠程控制，點不允許遠程控制
& K: e; P- O8 l- J, q& T 2.常規，加密級別，高，在使用標準Windows驗證上點√! 8 E( l) o" m l: [2 d9 R+ b
3.網卡，將最多連接數上設置為0 & S; } o' ^! V
4.高級，將里面的權限也刪除.[我沒設置]
' S" ^/ W& F7 p0 p& i4 a; {0 P 再點服務器設置，在Active Desktop上，設置禁用，且限制每個使用一個會話
' G. L# e$ ?2 j7 h# c {+ P+ G2 O& w3 k2 N0 l5 g6 W
15、用戶和組策略
. T' {/ j* D( M8 \8 Y2 w
0 A" G; g+ J7 J打開管理工具+ ]* m9 L" z. s& X
9 g4 g3 }- m& ^4 g* v9 V
計算機管理。本地用戶和組。用戶；: S+ Z1 J8 F+ [
. w! B/ c; G0 D' f6 m' \
刪除Support_388945a0用戶等等只留下你更改好名字的adminisrator權限$ l; a5 s% s: ]6 n
. c9 b Q0 z8 G+ ~$ }
計算機管理。本地用戶和組。組$ g) ]& q8 O4 U$ P. ~5 n5 U2 R) s
/ i0 Q, Z0 Y; g8 f$ [2 z組。我們就不分組了，每必要把0 p e, Q1 J2 s! O X* c6 v/ q
+ ]* d2 w% W1 ]- A+ }1 j* \
16、自己動手DIY在本地策略的安全選項
* v0 B7 x! L( h) y$ W1 q! r$ P" I' z4 h
1）當登陸時間用完時自動注銷用戶(本地) 防止黑客密碼滲透.
: ], t; E2 z1 D; n 2）登陸屏幕上不顯示上次登陸名(遠程)如果開放3389服務，別人登陸時，就不會殘留有你登陸的用戶名.讓他去猜你的用戶名去吧. % d# F x' s1 H8 h. n$ U. g+ b
3）對匿名連接的額外限制 1 ?, D9 p+ s- G2 ~
4）禁止按 alt+crtl +del(沒必要） 0 R* G* b* @* r+ Z+ C1 N$ |
5）允許在未登陸前關機[防止遠程關機/啟動、強制關機/啟動]
: h0 r: e. ~" g' r5 n* B 6）只有本地登陸用戶才能訪問cd-rom
$ n Y) _( C$ F7 P" e 7）只有本地登陸用戶才能訪問軟驅 9 J4 u& W3 S8 r& d* c* U
8）取消關機原因的提示 , y# P6 R& v& w6 O+ U
A、打開控制面板窗口，雙擊“電源選項”圖標，在隨后出現的電源屬性窗口中，進入到“高級”標簽頁面；
& F; E) p, r* u5 @ B、在該頁面的“電源按鈕”設置項處，將“在按下計算機電源按鈕時”設置為“關機”，單擊“確定”按鈕，來退出設置框；
* z6 ]: N: G8 \- U) n C、以后需要關機時，可以直接按下電源按鍵，就能直接關閉計算機了。當然，我們也能啟用休眠功能鍵，來實現快速關機和開機；
5 L4 }6 c3 i7 M! t D、要是系統中沒有啟用休眠模式的話，可以在控制面板窗口中，打開電源選項，進入到休眠標簽頁面，并在其中將“啟用休眠”選項選中就可以了。
: j# f8 a- w+ V3 J& a 9）禁止關機事件跟蹤
! i, x/ N5 D; v7 D3 H 開始“Start -/>”運行“ Run -/>輸入”gpedit.msc “，在出現的窗口的左邊部分，選擇 ”計算機配置“（Computer Configuration ）-/> ”管理模板“（Administrative Templates）-/> ”系統“（System），在右邊窗口雙擊“Shutdown Event Tracker” 在出現的對話框中選擇“禁止”（Disabled），點擊然后“確定”（OK）保存后退出這樣，你將看到類似于Windows 2000的關機窗口 : l; d* c; m) p0 H4 Y
% h. t9 L8 R. z7 F* `17、常見端口的介紹$ ^$ g ]0 T/ B, B6 L- B5 J2 @
' ?2 T7 [2 i2 e: E; }7 X- [' e
TCP
- e( y2 E( l+ D2 M$ j 21 FTP 1 F6 d7 t S/ B4 L! i5 _! x
22 SSH 9 `) K+ c$ ~( M0 z8 c. S
23 TELNET 9 |' G4 h8 @ H( |' R# `8 k$ b
25 TCP SMTP 6 }; M' ^$ Z$ m: u- M6 E) \
53 TCP DNS 2 {7 I8 [2 F4 Z
80 HTTP 3 W6 z" m; d2 I
135 epmap , P* ^; Z1 k0 e, l: z6 `$ ^& l5 T
138 [沖擊波]
4 K2 P) o* H; [$ ]$ }; y# j5 E& c( \ 139 smb
/ ]- B3 D) U5 k8 i, Z) l+ x 445 - U+ m [! L( m) u9 T+ d# n
1025 DCE/1ff70682-0a51-30e8-076d-740be8cee98b # o. c: i$ p5 Q! v; l! Y$ T
1026 DCE/12345778-1234-abcd-ef00-0123456789ac
: U- Q2 b; H4 S$ Q+ w 1433 TCP SQL SERVER ) G1 ^% G7 n6 A9 V, T2 W B
5631 TCP PCANYWHERE
2 G) @8 t j& E 5632 UDP PCANYWHERE 8 ]3 G, R7 q$ D* M0 ]( [" }
3389 Terminal Services 5 M A! Q3 |& Z
4444[沖擊波]
. Y* Y1 A; I* Q! v4 o: S% _ ! N9 K2 L/ Q! {, F, n' {1 A
UDP & R# C4 V0 `2 D- ~& A
67[沖擊波] ( ]. d) {0 S; b; L/ l
137 netbios-ns " f0 s+ Y; c' U9 l7 S; Z
161 An SNMP Agent is running/ Default community names of the SNMP Agent {6 B* D5 ~% |$ y' P. ]9 {5 m9 Y, U
