拾荒者
高级会员
-
注册时间
-
上次访问
由 拾荒者 发表的全部内容
-
补充的系统安全建议——关于服务 在系统中，服务基本上是一个在启动时运行的程序，它的运行和任何用户都无关，例如文件共享等都是以服务得形式来运行。而且大多数是以系统特权运行的，这样黑客们通过非法的途径利用某个服务获得系统特权，那决对不是个好事.因此，了解每个系统的服务，并禁止一些不必要的，能让你的服务器更加安全。 下面是一些大略的介绍，大部分服务大家相同。右键点击我的电脑—管理—服务和应用程序—服务 Alerter 服务方向：负责向用户通报管理警报，该服务和Mesenger服务一起工作，后者接收并路由前者的信息。 可执行文件：%systemRoot%\system32\services.exe 风险：潜在可能导致社会工程攻击 建议：将Alerter服务发出的警告限定为只由管理员接收 ApplicationManagement 服务方向：提供和activedirectory之间的通信.通过grouppolicy(组策划)来指定，发布并删除在系统中安装的应用程序。 可执行文件：winnt\system32\services.exe 风险：无 建议：非组策略使用应用程序，最好禁用该服务 BootInformationNegotiationLayer 服务方向：与RemoteInstallationService(RIS)一起使用，除有需要通过RIS安装操作系统，否则不要运行。 可执行文件：winnt\system32\services.exe 风险：无 建议：无 Brower 服务方向：负责保存网络上的计算机列表，并将该列表提供给那些请求得到该列表的程序。 可执行文件：winnt\system32\services.exe 风险：暴露有关网络的信息 建议：禁止 Indexing 服务方向：负责索引磁盘上的文档和文档属性，并且在一个目录中保存信息，使得你在以后可以搜索他们。 可执行文件：winnt\system32\services.exe 风险：其为IISweb服务器上诸多安全弱点的根源 建议：除非特别需要，否则禁止. ClipBook 服务方向：ClipBook支持ClipBookViewer程序，该程序可以允许剪贴页被远程计算机上的ClipBook浏览，可以使得用户能够通过网络连接来剪切和粘贴文本和图形。 可执行文件：winnt\system32\Clipsrv.exe 风险：潜在被非法用于远程访问ClipBook剪贴页面 建议：禁止 DistributedFileSystem 服务方向：允许创建单一逻辑盘.文件分布在网络上不同位置。 可执行文件：winnt\system32\Dfssrc.exe 风险：暂无已知风险 建议：禁止 DHCPclient 服务方向：通过注册和更新IP地址和DNS域名来管理网络配置。 可执行文件：winnt\system32\services.exe 风险：无已知风险 建议：静态IP LogicalDiskManagerAdministrative 服务方向：用于管理逻辑盘。 可执行文件：winnt\system32\dmadmin.exe 风险：暂无已知风险 建议：将服务的启动类型设为手动 LogicalDiskManager 服务方向：该服务为LogicalDiskManagerWatchdog服务.负责管理动态磁盘的服务。 可执行文件：winnt\system32\services.exe 风险：无已知风险 建议：系统运行时需要，保持默认得自动启动 DNSServer 服务方向：负责解答DNS域名查询。 可执行文件：winnt\system32\dns.exe 风险：无已知风险 建议：因其通常是导致许多安全性弱点的根源，该服务应谨慎使用 DNSClient 服务方向：用于缓存DNS查询来进行记录.可用于某个入侵检测系统的DNS查询，可加速DNS查询的速度。 可执行文件：winnt\system32\services.exe 风险：无已知风险，但攻击者可以查看你的缓存内容.确定你所访问过的网站.命令行形式为ipconfig/displaydns 建议：可停可不停 EventLog 服务方向：EventLog服务负责记录来自系统和运行中程序的管理事件消息.虽然该服务功能有限，并具有一些小问题，但是该服务可以用于入侵检测和系统监视。 可执行文件：winnt\system32\services.exe 风险：无已知风险 建议：该服务应该被启动，尤其实在独立服务器上 COM+EentSystem 服务方向：提供自动事件分布功能来订阅COM组件。 可执行文件：winnt\system32\svchost.exe-knesvcs 风险：无已知风险 建议：如果该服务不需要已安装的任何程序所使用，你可以禁用COM+EventSyste 和SystemEventNotification服务 Fax 服务方向：它负责管理传真的发送和接收。 可执行文件：winnt\system32\faxsvc.exe 风险：无已知风险 建议：对于服务器而言，不需要也不建议使用该服务，除非该服务器专门被指定为用做一个传真服务器 SingleInstanceStorageGroveler 服务方向：该服务和RemoteInstallation服务一起使用.扫描单一实例存储卷来寻找重复的文件，并将重复文件指向某个数据存储点以节省磁盘空间。 风险：无已知风险 建议：除非你需要使用RemoteInstallation服务，否则请停止它 InternetAuthenticationService 服务方向：用于认证拨号和VPN用户。 可执行文件：winnt\system32\svchost.exe-knetsvcs 风险：无已知风险 建议：显然除了在拨号和VPN服务器上，该服务应该禁止 IntersiteMessaging 服务方向：IntersiteMessaging服务和ActiveDirectoryreplication一起使用。 可执行文件：winnt\system32\ismserv.exe 风险：无已知风险 建议：除了ActiveDirectory服务器之外，不需要也不建议使用该服务 KerberosKeyDistributionCenter 服务方向：这是个域服务，提供了Kerberos认证服务(ASAuthenticationService)和票证授予服务(TGT，Ticket-GrantingService)。 可执行文件：winnt\system32\lsass.exe 风险：没有已知风险 建议：KerberosKeyDistributionCenter服务和位于某个域控制器是的ActiveDirectory一起工作的，而且不能被 停止，除了在域控制器上，该服务不应该在其他计算机上运行 Server 服务方向：该服务提供RPC支持以及文件，打印和命名管道共享，Server服务是作为文件系统驱动器来实现 的，可以处理I/O请求。 可执行文件：winnt\system32\services.exe 风险：如果没有提供适当地用户保护，会暴露系统文件和打印机资源 建议：除非你打算在windows网络上共享文件或打印机，否则不需要运行该服务 注：对以2000而言，这个是一个高风险服务，2000的用户多知道默认共享吧，就是该服务的问题，如果不禁止，每次注销或开机，默认共享就会打开，你的所以重要信息都将暴露.例如winnt文件夹.大家都应该知道他对于2000的重要.除非你的密码够安全，否则这个共享将是你机子的死穴 Workstation 服务方向：该服务提供网络连接和通信，该服务以一个文件系统驱动器的形式工作，并且可以允许用户访问位于windows网络上的资源。 可执行文件：winnt\system32\services.exe 风险：一些独立服务器，例如web服务器，不应当参与到某个windows网络中 建议：该服务应当只在位于某个内部网络，并受到某个防火墙保护的工作站和服务器上运行，在任何可以连接到Internet的服务器上都应该禁用这个服务 TCP/IP打印服务器 服务方向：该服务允许远程UNIX用户通过使用TCP/IP协议来访问由某个windows2000服务器所管理的打印机。 可执行文件：winnt\system32\tcpsvcs.exe 风险：具有一些安全性弱点，并打开一个监听端口。 建议：该服务具有一些安全性弱点，因为打开了一个到internet的端口，因此，除非网络通过防火墙与Internet隔离开，否则不要使用该服务 LicenseLogging 服务方向：该服务负责管理某个站点的许可协议信息。 可执行文件：winnt\system32\llssrv.exe 风险：没有已知风险 建议：除了在域控制器上，其他计算机不应当使用该服务 TCP/IPNETBIOSHelper 服务方向：该服务允许在TCP/IP网络上进行NETBIOS通信。 可执行文件：winnt\system32\services.exe 风险：暴露出系统中的netBIOS安全性弱点，例如NTLM认证 建议：除非你需要和一个旧版本的windows保持兼容，否则应当禁止该服务 Messenger 服务方向：Messenger服务负责发送和接收由管理员或Alerter服务所传递的消息。 可执行文件：winnt\system32\services.exe 风险：没有已知风险 建议：该服务不需要而且应当被禁用 NetMeetingRemoteDesktopSharing 服务方向：该服务允许授权用户通过使用NetMeeting来远程访问你的Windows桌面。 可执行文件：winnt\system32\mnmsrvc.exe 风险：是一个具有潜在不安全性的服务 建议：该服务应当被禁止.因为它是会导致潜在地安全性弱点的.你可以使用Terminal服务来代替该服务用于远程桌面访问 DistributedTransactionCoordinator 服务方向：微软的DistributedTransactionCoordinator服务(MSDTC)可以借助OLETransactions协议来提供一个事务(Transaction)协调工具，可以协调分布于两个和多个数据库，消息队列文件系统和其他事务保护(trasactionprotected)资源管理器的事务。 可执行文件：winnt\system32\msdtc.exe 风险：没有已知风险 建议：无需禁止 FTPPublishing 服务方向：文件传输协议不是一种安全的协议，如果不进行适当地保护，FTPPublishing服务将大来很多的安全性风险。 可执行文件：winnt\system32\inetsrv\inetinfo.exe 风险：微软的FTPServer没有已知风险.但一般而言，FTP是已知不安全的服务。 建议：除非你需要通过FTP来提供文件共享，否则该服务应当被禁止.如果需要，请谨慎地对其进行保护和监视 WindowsInstaller 服务方向：负责管理软件的安装，改服务对于安装和修复软件应用程序时很有用的。 可执行文件：winnt\system32\msiexec.exe/V 风险：无已知风险 建议：保留 NetworkDDE 服务方向：该服务提供动态数据交换(DDE，DynamicDataExhange)数据流传输和安全性。 可执行文件：winnt\system32\netdde.exe 风险：通过网络接受DDE请求 建议：对于大多数应用程序而言，NetworkDDE是不需要的，你应当将它设置为手工启动 NetworkDDEDSDM 服务方向：该服务保存一个共享对话(sharedconversation) 数据库，这样当某个NetworkDDE共享被访问时，共享会话将被应用，并且安全性检测系统将确定请求这是否被允许访问。 可执行文件：winnt\system32\netdde.exe 风险：没有已知风险 建议：该服务应当设置为手工启动 NetLogon 服务方向：支持为域中计算机进行的帐号登录事件的传递认证(pass-throughauthentication)。 可执行文件：winnt\system32\lsass.exe 风险：可以用于对强力密码攻击进行传递 建议：该服务不应当在那些不作为域中一部分的独立服务器上使用 NetworkConnections 服务方向：该服务负责管理NetworkandDial-UpConnections文件夹中的对象，该文件夹中你可以看到局域网和远程连接。 可执行文件：winnt\system32\svchost.exe-knetsvcs 风险：没有已知风险 建议：由于该服务在需要时将自己启动，因此可以设置为手动启动 NetworkNewsTransportProtocol(NNTP) 服务方向：用于提供一个新闻服务器服务，例如USENET。 可执行文件：winntsystem32\inetsrv\inetinfo.exe 风险：没有已知风险 建议：NNTP服务器应当安装在一个DMZ网络中，而且应当像其他网络服务，例如FTP，Nail和Web服务那样来对待.不建议在私有网络上配置NNTP服务器，任何位于某个内部网络上的服务器应当卸载或禁用NNTP服务 FileReplication 服务方向：filereplication服务(FRS)可以跨域中的服务器来进行文件，系统策略和登录脚本的复制，该服务还可以用于为分布式文件系统(DFS，DistributedFileSystem)复制数据。 可执行文件：winnt\system32\ntfrs.exe 风险：没有已知风险 建议：它在多个服务之间维护文件目录内容的文件同步，保持原状
-
-
如果你的系统运行有什么异常的话，很可能是被某些远程控制程序调用了system32下的winslp.dll文件，如果有这个文件一定要干掉它。如果没有或不能删除的话就去下载winsockxpFix.exe这个修复工具，运行时选fix修复后重启。 那个nvappfilter.dll 是NVIDIA 的文件，是网络数据管理类的动态链接库，从它自身对你的系统来说是无害滴，但是可能会被某些“别有用心”的远程控制程序所利用…… 看来N卡驱动还真没少往你的系统里加东西，建议你还是在注册表RUN项目里把关于Nforce的所有东东都干掉，还有哪些QQ、TT、DUDU之类的加载信息，完全可以随用随开嘛，还有你的系统怎么还是SP1？…… 我也这方面的小学生，只能给你提些基本的建议，望高手们不要见笑 另附一篇收集的小文章，希望对你有所帮助…… 目前，使用宽带的用户越来越多，由于宽带用户在线时间长、速度快，容易成为黑客们的攻击目标。现在网上出现了各种越来越详细的“IP地址库”，要知道一些ADSL用户的IP是非常容易的事情。要怎么保护自己的网络安全呢？不妨看看以下方法。 一、取消文件夹隐藏共享 如果你使用了Windows 2000/XP系统，右键单击C盘或者其他盘，选择“共享”，你会惊奇地发现它已经被设置为“共享该文件夹”，而在“网上邻居”中却看不到这些内容，这是怎么回事呢？ 原来，在默认状态下，Windows 2000/XP会开启所有分区的隐藏共享，从“控制面板/管理工具/计算机管理”窗口下选择“系统工具/共享文件夹/共享”，就可以看到硬盘上的每个分区名后面都加了一个“$”。但是只要键入“\\计算机名或者IP\C$”，系统就会询问用户名和密码，遗憾的是，大多数个人用户系统Administrator的密码都为空，入侵者可以轻易看到C盘的内容，这就给网络安全带来了极大的隐患。 如何来消除默认共享呢？方法很简单，打开注册表编辑器，进入“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Sevices\Lanmanworkstation\parameters”，新建一个名为“AutoShareWKs”的双字节值，并将其值设为“0”，然后重新启动电脑，这样共享就取消了。 二、拒绝恶意代码 恶意网页成了宽带的最大威胁之一。以前使用Modem，因为打开网页的速度慢，在完全打开前关闭恶意网页还有避免中招的可能性。现在宽带的速度这么快，所以很容易就被恶意网页攻击。一般恶意网页都是因为加入了用编写的恶意代码才有破坏力的。这些恶意代码就相当于一些小程序，只要打开该网页就会被运行。所以要避免恶意网页的攻击只要禁止这些恶意代码的运行就可以了。 运行IE浏览器，点击“工具/Internet选项/安全/自定义级别”，将安全级别定义为“安全级-高”，对“ActiveX控件和插件”中第2、3项设置为“禁用”，其它项设置为“提示”，之后点击“确定”。这样设置后，当你使用IE浏览网页时，就能有效避免恶意网页中恶意代码的攻击。 三、封堵黑客的“后门” 俗话说“无风不起浪”，既然黑客能进入，那说明系统一定存在为他们打开的“后门”，只要堵死这个后门，让黑客无处下手，便无后顾之忧！ 1.删掉不必要的协议 对于服务器和主机来说，一般只安装TCP/IP协议就够了。鼠标右击“网络邻居”，选择“属性”，再鼠标右击“本地连接”，选择“属性”，卸载不必要的协议。其中NETBIOS是很多安全缺陷的根源，对于不需要提供文件和打印共享的主机，还可以将绑定在TCP/IP协议的NETBIOS关闭，避免针对NETBIOS的攻击。选择“TCP/IP协议/属性/高级”，进入“高级TCP/IP设置”对话框，选择“WINS”标签，勾选“禁用TCP/IP上的NETBIOS”一项，关闭NETBIOS。 2.关闭“文件和打印共享” 文件和打印共享应该是一个非常有用的功能，但在不需要它的时候，也是黑客入侵的很好的安全漏洞。所以在没有必要“文件和打印共享”的情况下，我们可以将它关闭。用鼠标右击“网络邻居”，选择“属性”，然后单击“文件和打印共享”按钮，将弹出的“文件和打印共享”对话框中的两个复选框中的钩去掉即可。 虽然“文件和打印共享”关闭了，但是还不能确保安全，还要修改注册表，禁止它人更改“文件和打印共享”。打开注册表编辑器“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ NetWork”主键，在该主键下新建DWORD类型的键值，键值名为“NoFileSharingControl”，键值设为“1”表示禁止这项功能，从而达到禁止更改“文件和打印共享”的目的；键值为“0”表示允许这项功能。这样在“网络邻居”的“属性”对话框中“文件和打印共享”就不复存在了。 3.把Guest账号禁用 有很多入侵都是通过这个账号进一步获得管理员密码或者权限的。如果不想把自己的计算机给别人当玩具，那还是禁止的好。打开控制面板，双击“用户和密码”，单击“高级”选项卡，再单击“高级”按钮，弹出本地用户和组窗口。在Guest账号上面点击右键，选择属性，在“常规”页中选中“账户已停用”。另外，将Administrator账号改名可以防止黑客知道自己的管理员账号，这会在很大程度上保证计算机安全。 4.禁止建立空连接 在默认的情况下，任何用户都可以通过空连接连上服务器，枚举账号并猜测密码。因此，我们必须禁止建立空连接。方法有以下两种： 方法一是修改注册表：打开“HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA”，将DWORD值“RestrictAnonymous”的键值改为“1”即可。 最后建议大家给自己的系统打上补丁，微软那些没完没了的补丁还是很有用滴！ 四、隐藏IP地址 黑客经常利用一些网络探测技术来查看我们的主机信息，主要目的就是得到网络中主机的IP地址。IP地址在网络安全上是一个很重要的概念，如果攻击者知道了你的IP地址，等于为他的攻击准备好了目标，他可以向这个IP发动各种进攻，如DoS(拒绝服务)攻击、Floop溢出攻击等。隐藏IP地址的主要方法是使用代理服务器。 与直接连接到Internet相比，使用代理服务器能保护上网用户的IP地址，从而保障上网安全。代理服务器的原理是在客户机（用户上网的计算机）和远程服务器（如用户想访问远端WWW服务器）之间架设一个“中转站”，当客户机向远程服务器提出服务要求后，代理服务器首先截取用户的请求，然后代理服务器将服务请求转交远程服务器，从而实现客户机和远程服务器之间的联系。很显然，使用代理服务器后，其它用户只能探测到代理服务器的IP地址而不是用户的IP地址，这就实现了隐藏用户IP地址的目的，保障了用户上网安全。提供免费代理服务器的网站有很多，你也可以自己用代理猎手等工具来查找。 五、更换管理员帐户 Administrator帐户拥有最高的系统权限，一旦该帐户被人利用，后果不堪设想。黑客入侵的常用手段之一就是试图获得Administrator帐户的密码，所以我们要重新配置Administrator帐号。 首先是为Administrator帐户设置一个强大复杂的密码，然后我们重命名Administrator帐户，再创建一个没有管理员权限的Administrator帐户欺骗入侵者。这样一来，入侵者就很难搞清哪个帐户真正拥有管理员权限，也就在一定程度上减少了危险性。 六、杜绝Guest帐户的入侵 Guest帐户即所谓的来宾帐户，它可以访问计算机，但受到限制。不幸的是，Guest也为黑客入侵打开了方便之门！网上有很多文章中都介绍过如何利用Guest用户得到管理员权限的方法，所以要杜绝基于Guest帐户的系统入侵。 禁用或彻底删除Guest帐户是最好的办法，但在某些必须使用到Guest帐户的情况下，就需要通过其它途径来做好防御工作了。首先要给Guest设一个强壮的密码，然后详细设置Guest帐户对物理路径的访问权限。举例来说，如果你要防止Guest用户可以访问tool文件夹，可以右击该文件夹，在弹出菜单中选择“安全”标签，从中可看到可以访问此文件夹的所有用户。删除管理员之外的所有用户即可。或者在权限中为相应的用户设定权限，比方说只能“列出文件夹目录”和“读取”等，这样就安全多了。 七、安装必要的安全软件 我们还应在电脑中安装并使用必要的防黑软件，杀毒软件和防火墙都是必备的。在上网时打开它们，这样即便有黑客进攻我们的安全也是有保证的。 八、防范木马程序 木马程序会窃取所植入电脑中的有用信息，因此我们也要防止被黑客植入木马程序，常用的办法有： 在下载文件时先放到自己新建的文件夹里，再用杀毒软件来检测，起到提前预防的作用。 在“开始”→“程序”→“启动”或“开始”→“程序”→“启动”选项里看是否有不明的运行项目，如果有，删除即可。 将注册表里 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下的所有以“Run”为前缀的可疑程序全部删除即可。 九、不要回陌生人的邮件 有些黑客可能会冒充某些正规网站的名义，然后编个冠冕堂皇的理由寄一封信给你要求你输入上网的用户名称与密码，如果按下“确定”，你的帐号和密码就进了黑客的邮箱。所以不要随便回陌生人的邮件，即使他说得再动听再诱人也不上当。 十、做好IE的安全设置 ActiveX控件和 Applets有较强的功能，但也存在被人利用的隐患，网页中的恶意代码往往就是利用这些控件编写的小程序，只要打开网页就会被运行。所以要避免恶意网页的攻击只有禁止这些恶意代码的运行。IE对此提供了多种选择，具体设置步骤是：“工具”→“Internet选项”→“安全”→“自定义级别”，建议您将ActiveX控件与相关选项禁用。谨慎些总没有错！ 另外，在IE的安全性设定中我们只能设定Internet、本地Intranet、受信任的站点、受限制的站点。不过，微软在这里隐藏了“我的电脑”的安全性设定，通过修改注册表把该选项打开，可以使我们在对待ActiveX控件和 Applets时有更多的选择，并对本地电脑安全产生更大的影响。 下面是具体的方法：打开“开始”菜单中的“运行”，在弹出的“运行”对话框中输入Regedit.exe，打开注册表编辑器，点击前面的“+”号顺次展开到：HKEY_CURRE-NT_USER\Software\Microsoft\Windows\ CurrentVersion\InternetSettings\Zones\0，在右边窗口中找到DWORD值“Flags”，默认键值为十六进制的21(十进制33)，双击“Flags”，在弹出的对话框中将它的键值改为“1”即可，关闭注册表编辑器。无需重新启动电脑，重新打开IE，再次点击“工具→Internet选项→安全”标签，你就会看到多了一个“我的电脑”图标，在这里你可以设定它的安全等级。将它的安全等级设定高些，这样的防范更严密。
-
当然应该先查具体的调用对象……不过nvappfilter.dll这个问题扯了不是一两天了，对于它的生成以及会产生哪些具体的动态链接对象，至今也没说出个所以然…… 不过除了占用资源外，倒还没听说它造成了什么不良后果…… 所以如果对它放心不下，建议不妨“恶制”一下，看看它到底会“要了谁的命”…………
-
-
