教你打造一道超级防御的电脑防火墙

子夜的金

. p  T  g+ G) p5 }0 x. E我们遇到的入侵方式大概包括了以下几种：

; B7 x4 r" a0 i% V& u2 v( R& p. h(1) 被他人盗取密码；

(2) 系统被木马攻击；

(3) 浏览网页时被恶意的java scrpit程序攻击；

(4) QQ被攻击或泄漏信息；
" a: }, k" U2 @. I
3 E: R+ C* c" B(5) 病毒感染；

(6) 系统存在漏洞使他人攻击自己。

8 g' m6 u( r2 k# ~* L" [(7) 黑客的恶意攻击。
- V5 `% d2 d/ g. o& G& v- e
下面我们就来看看通过什么样的手段来更有效的防范攻击。

: O4 b" I% o% N1.察看本地共享资源
. c) y% p) b$ o- L& }+ ?, N- C  m
运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。

2.删除共享(每次输入一个）

! O7 _3 B4 l0 }. Enet share admin$ /delete
, o0 a/ h: D% `5 D& j8 Q- Rnet share c$ /delete
% X9 S5 N0 |- H8 c$ a3 A  S) rnet share d$ /delete（如果有e，f，……可以继续删除）
' K& ^3 g" j7 K! I/ S
; T$ |- K" e1 E; g) a1 j: m3.删除ipc$空连接

在运行内输入regedit，在注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。

4.关闭自己的139端口，Ipc和RPC漏洞存在于此
$ z- C" J8 `) G5 _( W) z6 r: `
关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。

5．防止Rpc漏洞

打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。

Windwos XP SP2和Windows2000 Pro Sp4，均不存在该漏洞。

. a% o- D( q( L8 D6．445端口的关闭
# t+ C7 j' f2 D- E8 l, e
修改注册表，添加一个键值HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了。

! v7 ~8 n' C- R% R  T+ M. V, s7．3389的关闭
0 U' e& Y' A4 t
WindowsXP：我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。
' }( d" s+ |5 l2 ]; K  z6 c8 Z: X5 T
$ }- i3 A6 ~; d% v& F% @9 ^Win2000server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用）
1 J* s3 l2 E+ M0 W6 V/ N! t+ D
使用Windows2000 Pro的朋友注意，网络上有很多文章说在Win2000pro 开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。

  L. n2 b& n; a, [" f8．4899的防范
5 k* d% g8 `+ v5 s  \6 G5 I
网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。

" I% ~: y6 G( d( w4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。

& _) N% C% ?& x8 ~2 _所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。
& |3 ~4 u; e9 C
9、禁用服务
  O) E4 n4 {# j% w! q* t
8 E6 Z( n5 k$ @% F4 ^* Y打开控制面板，进入管理工具——服务，关闭以下服务：
8 Q0 ^* \6 i; q
1.Alerter[通知选定的用户和计算机管理警报]
2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享]
$ o" t  F4 b! n3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无
7 D" o$ U  X9 D0 \( q法访问共享
9 y! R. n! P$ V8 B5 J& P6 I* [4.Distributed Link Tracking Server[适用局域网分布式链接]
2 t" G9 T  ~) u" }* M' n6 k+ L5 s5.Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问]
6.IMAPI CD-Burning COM Service[管理 CD 录制]
4 ^$ h- r4 d! F$ l8 l% ?7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息]
8.Kerberos Key Distribution Center[授权协议登录网络]
4 C; S; n7 P8 @0 r9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止]
1 {* S# h* N1 t  a% S10.Messenger[警报]
' e- l! e. v: {  ~11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集]
12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换]
13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享]
# _( `$ {, {# Y: I' L. k4 N# \14.Print Spooler[打印机服务，没有打印机就禁止吧]
9 w, ]- Y  M" o15.Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助]
( N' U$ E4 M! l16.Remote Registry[使远程计算机用户修改本地注册表]
5 ?1 v/ g6 |5 Q2 E( O6 `17.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息]
6 c) E. g. C# ^% j0 g18.Server[支持此计算机通过网络的文件、打印、和命名管道共享]
19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符]
( u( I% h- s, I+ R' Y; v20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支
持而使用户能够共享文件 、打印和登录到网络]
21.Telnet[允许远程用户登录到此计算机并运行程序]
22.Terminal Services[允许用户以交互方式连接到远程计算机]
5 H" P" S5 h5 h8 b& I! G- B2 E) C+ w23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机]
. {2 f& {8 u# c% ~1 G% N
7 Q8 ^8 v0 e* q% ~0 {* C如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。

10、账号密码的安全原则

) K8 \/ ^/ ]+ N首先禁用guest帐号，将系统内建的administrator帐号改名（改的越复杂越好，最好改成中文的），而且要设置一个密码，最好是8位以上字母数字符号组合。
  k: T+ L! R, P
4 p, B4 x) T1 n如果你使用的是其他帐号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置adminstrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的帐号，不是正常登陆下的adminitrator帐号，因为即使有了这个帐号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置。
! N. ?4 X! i2 k' g4 N
; X: s( d: \. E: `8 |打开管理工具—本地安全设置—密码策略：

1.密码必须符合复杂要求性.启用
2.密码最小值.我设置的是8
3.密码最长使用期限.我是默认设置42天
4 D# k% J  @" k% A% _4.密码最短使用期限0天
9 J/ P+ i8 T5 u, Q5.强制密码历史 记住0个密码
' {7 T; G* Q- Y+ z6.用可还原的加密来存储密码 禁用
3 _$ `" L7 c6 ]4 l! f. H2 C8 I. o* B
　　
! }6 i# @) z/ H3 V11、本地策略
0 R, H/ s( m% \; |5 B8 ^
' X; {8 ^) H1 I6 h4 r' J1 y这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。
# s" Q, K! o5 C0 D! s/ {- B
3 _& x( P' Z$ Q' [; p. ^0 Q(虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的)

% _+ n, x% n# f1 F; R' R$ a, z$ F打开管理工具，找到本地安全设置—本地策略—审核策略：

1.审核策略更改 成功失败
4 [1 ?1 |: e5 s6 ^5 h, a4 ]; D2.审核登陆事件 成功失败
7 |% R1 L" v4 w# I  d3.审核对象访问 失败
4.审核跟踪过程 无审核
5.审核目录服务访问 失败
6.审核特权使用 失败
7.审核系统事件 成功失败
, Z4 T7 r5 [( [2 Y2 {8.审核帐户登陆时间 成功失败
/ a+ G# W1 t; n  B  _1 V' Z9.审核帐户管理 成功失败
' f$ p. t4 |* P" }
( T% I1 E& @' |  ~&nb sp;然后再到管理工具找到事件查看器：

% `* d# B$ a6 x5 k7 E7 J: M7 f应用程序：右键>属性>设置日志大小上限，我设置了50mb，选择不覆盖事件。
$ {0 G# `. Z) D: e" z( J, p( ^
安全性：右键>属性>设置日志大小上限，我也是设置了50mb，选择不覆盖事件。
: N3 y9 H, z0 a3 x  S
, h; W8 C4 D. y4 g, C% _系统：右键>属性>设置日志大小上限，我都是设置了50mb，选择不覆盖事件。
8 f8 Q; b# W# E& E
/ _9 u" m& r. L0 s% l  r8 Q12、本地安全策略
* I  S9 D0 W/ |
6 A- t* {" L. |/ D$ s1 x) D打开管理工具，找到本地安全设置—本地策略—安全选项：

" w% O: W4 [6 v) _7 F6 y; w# m　　　　
5 e: k% h+ u, ]7 M' ~6 f4 p1 g* W1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登
& I. f% I2 ~" x# S5 r& T- N. {6 O陆的]。
2.网络访问.不允许SAM帐户的匿名枚举 启用。
: G$ h7 e7 a: |. h6 o3.网络访问.可匿名的共享 将后面的值删除。
; Q# t, t! r5 _% ]0 N4.网络访问.可匿名的命名管道 将后面的值删除。
6 e! j$ `% _" S4 S8 v$ o5.网络访问.可远程访问的注册表路径 将后面的值删除。
+ g* \* R( h/ T1 B5 J7 y+ g5 h6.网络访问.可远程访问的注册表的子路径 将后面的值删除。
7.网络访问.限制匿名访问命名管道和共享。
. P* `  D. f9 U$ R) j" E. o) f& X8.帐户.（前面已经详细讲过拉 ）。

子夜的金

13、用户权限分配策略

打开管理工具，找到本地安全设置—本地策略—用户权限分配：
. X8 Y" {2 f0 m& z1 B
　　　　
1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属
9 R2 U: Y$ y- l3 V8 L% @; m+ B于自己的ID。
. L4 f+ J% q% j8 M; @2.从远程系统强制关机，Admin帐户也删除，一个都不留　。　　　
3.拒绝从网络访问这台计算机 将ID删除。
4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务。
" U" h0 `1 l8 ?) E# k: M3 e5.通过远端强制关机。删掉。

# U7 @8 P' Z1 l0 F; X14、终端服务配置
: D& U6 {6 |5 L: I
打开管理工具，终端服务配置：
6 m/ I5 A& J7 R% K' w. n
1.打开后，点连接，右键，属性，远程控制，点不允许远程控制。
0 }- ]2 s" @+ R. d  S2.常规，加密级别，高，在使用标准Windows验证上点√!
3.网卡，将最多连接数上设置为0。
* J" I! b; O! f0 C4.高级，将里面的权限也删除。
# j5 a3 K9 ]( r" L" Z8 [5 `9 p; _5 W
再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话。

* w) o. z! ~" M. h4 |& a) h& o15、用户和组策略
1 G, B2 X0 e% S" _8 ^# o2 }* J
打开管理工具，计算机管理—本地用户和组—用户：

删除Support_388945a0用户等等只留下你更改好名字的adminisrator权限。
& x; u6 A" x/ v7 F! F: W
计算机管理—本地用户和组—组，组.我们就不分组了。
& }% U9 J  s* G9 Y4 C1 J
0 H7 w2 E6 n+ i& j16、自己动手DIY在本地策略的安全选项
& r4 Z$ j: D: S
　　　　
1）当登陆时间用完时自动注销用户(本地) 防止黑客密码渗透。
2）登陆屏幕上不显示上次登陆名(远程)如果开放3389服务，别人登陆时，就不会残留有你登陆的用户
$ y( o. K/ f$ i0 D/ P名.让他去猜你的用户名去吧。
% y6 T+ U  C& A' X3）对匿名连接的额外限制。
4）禁止按 alt+crtl +del(没必要）。
5）允许在未登陆前关机[防止远程关机/启动、强制关机/启动]。
6）只有本地登陆用户才能访问cd-rom。
! U$ ?) n0 c. w6 w  o4 C; }6 n7）只有本地登陆用户才能访问软驱。
8）取消关机原因的提示。
' i( J) `9 U: bA、打开控制面板窗口，双击“电源选项”图标，在随后出现的电源属性窗口中，进入到“高级”标签
& z! l. ^. k: E页面；
B、在该页面的“电源按钮”设置项处，将“在按下计算机电源按钮时”设置为“关机”，单击“确
定”按钮，来退出设置框；
  I2 \: r4 b2 }9 A2 L& |+ r. OC、以后需要关机时，可以直接按下电源按键，就能直接关闭计算机了。当然，我们也能启用休眠功能
键，来实现快速关机和开机；
D、要是系统中没有启用休眠模式的话，可以在控制面板窗口中，打开电源选项，进入到休眠标签页
面，并在其中将“启用休眠”选项选中就可以了。
/ J8 Q" t. Z( Y2 B, a& r' F- U9）禁止关机事件跟踪
$ b2 x' T, h- t- G; o4 P
/ p4 u1 [/ b: r9 h开始“Start ->”运行“ Run ->输入”gpedit.msc “，在出现的窗口的左边部分，选择 ”计算机配置“（Computer Configuration ）-> ”管理模板“（Administrative Templates）-> ”系统“（System），在右边窗口双击“Shutdown Event Tracker” 在出现的对话框中选择“禁止（Disabled），点击然后“确定”（OK）保存后退出这样，你将看到类似于Windows 2000的关机窗口。

17、常见端口的介绍　　　　　　　　　　　　
- u; K: P! W8 Y
TCP
21　　 FTP
22　　 SSH
9 N3 S: x% N" W( O. R3 t7 L! o23　　 TELNET
8 l3 t0 c/ p- p2 N* K3 O9 M25　　 TCP SMTP
53　　 TCP DNS
80　　 HTTP
135　　epmap
138　　[冲击波]
139　　smb
" v9 I/ S! L1 }( S8 m6 }& P! z445
1025 DCE/1ff70682-0a51-30e8-076d-740be8cee98b
1026 DCE/12345778-1234-abcd-ef00-0123456789ac
5 P! f' x. H7 K  Q" V  e1433 TCP SQL SERVER
& O! j% R# |1 ]5 ~: E. r5631 TCP PCANYWHERE
* G' a* E! U% N5 C3 _/ B, e5632 UDP PCANYWHERE
6 m9 t& t4 N5 Q3389　　 Terminal Services
. l, O2 S; \5 Y& f# q3 O4444[冲击波]
3 W) i+ |7 ~" J9 \* B　
UDP
' t7 j7 ^5 B% h9 d. b67[冲击波]
" {# i4 L. J* m  J137 netbios-ns
161 An SNMP Agent is running/ Default community names of the SNMP Agent

6 o: \7 J8 S0 c/ z! [关于UDP一般只有腾讯QQ会打开4000或者是8000端口或者8080，那么，我们只运 行本机使用4000这几个端口就行了。
( o4 \. M2 w& Q# Z( P
' B0 Z5 ]* [  [18、另外介绍一下如何查看本机打开的端口和tcp\ip端口的过滤

开始－－运行－－cmd，输入命令netstat -a ，会看到例如（这是我的机器开放的端口）：
2 l4 |5 E  q- c$ e. `1 {4 w6 k
Proto Local Address　　　　Foreign Address　　　　State
TCP　　yf001:epmap　　　　 yf001:0　　　　　　 LISTE
$ |  U6 Z( j4 U! j# U! @7 j+ ATCP　　yf001:1025（端口号）　　　　　　yf001:0　　　　　　

6 @- S* T' w6 O- g5 }' V3 @/ F2 u* T: xLISTE
TCP　　(用户名）yf001:1035　　　　　　yf001:0　　　　　　

9 Q) w) L* D7 m3 K  qLISTE
& D" u  j% p! W4 ]TCP　　yf001:netbios-ssn　　 yf001:0　　　　　　 LISTE
, w9 m6 d# o& r/ s' ?UDP　　yf001:1129　　　　　　*:*
UDP　　yf001:1183　　　　　　*:*
UDP　　yf001:1396　　　　　　*:*
! w+ j, q3 B9 v! f% QUDP　　yf001:1464　　　　　　*:*
( w2 p, T/ y$ W. N( vUDP　　yf001:1466　　　　　　*:*
. l7 a# c: w  R' E, k  f& o' P8 qUDP　　yf001:4000　　　　　　*:*
UDP　　yf001:4002　　　　　　*:*
UDP　　yf001:6000　　　　　　*:*
UDP　　yf001:6001　　　　　　*:*
! W9 J3 F0 C1 N( V9 G; AUDP　　yf001:6002　　　　　　*:*
3 ^7 E7 L* W, x2 S3 b, vUDP　　yf001:6003　　　　　　*:*
, U9 N3 v0 ^: YUDP　　yf001:6004　　　　　　*:*
/ F) @2 r# e9 y' K1 w6 a* e8 UUDP　　yf001:6005　　　　　　*:*
UDP　　yf001:6006　　　　　　*:*
UDP　　yf001:6007　　　　　　*:*
1 D6 [/ }# m1 S: L  J) u$ AUDP　　yf001:1030　　　　　　*:*
1 T  m8 N0 }1 a5 D1 Q# `UDP　　yf001:1048　　　　　　*:*
UDP　　yf001:1144　　　　　　*:*
UDP　　yf001:1226　　　　　　*:*
0 \6 P5 \+ U: L- }7 O0 vUDP　　yf001:1390　　　　　　*:*
" R0 A  r1 y- U% {UDP　　yf001:netbios-ns　　 *:*
UDP　　yf001:netbios-dgm　　 *:*
& }5 ~0 g1 N& b8 xUDP　　yf001:isakmp　　　　 *:*
3 r6 S. H9 P$ }' _3 o6 T
- s2 e4 E* h5 ^8 [现在讲讲基于Windows的tcp/ip的过滤。
/ L9 I+ |( K" B5 K8 n
  z' K6 D# b7 Q( S2 P" k控制面板——网络和拨号连接——本地连接——INTERNET协议（tcp/ip)--属性－－高级－－－选项－tcp/ip筛选－－属性!!

1 @6 K$ X2 I* }然后添加需要的tcp 和UDP端口就可以了～如果对端口不是很了解的话，不要轻易进行过滤，不然可能会导致一些程序无法使用。

19、胡言乱语

(1)、TT浏览器

选择用另外一款浏览器浏览网站.我推荐用TT，使用TT是有道理的。

7 H2 ~# d3 Q" [* e* d3 @TT可以识别网页中的脚本，JAVA程序，可以很好的抵御一些恶意的脚本等等，而且TT即使被感染，你删除掉又重新安装一个就是。

" E3 V+ l2 L& @/ AMYIE浏览器
* M9 A' j4 H' t# h7 e' L/ H# N
& C$ ^- X5 O6 y1 H3 V; x, `0 u是一款非常出色的浏览器，篇幅有险，不做具体介绍了。（建议使用）
! j1 P; W1 \+ a4 `, h
(2)、移动“我的文档”

5 H% c( J8 {% D8 r进入资源管理器，右击“我的文档”，选择“属性”，在“目标文件夹”选项卡中点“移动”按钮，选择目标盘后按“确定”即可。在Windows 2003 中“我的文档”已难觅芳踪，桌面、开始等处都看不到了，建议经常使用的朋友做个快捷方式放到桌面上。
$ `/ j; `7 }! ?/ w
(3)、移动IE临时文件

进入“开始→控制面板→Internet 选项”，在“常规”选项“Internet 文件”栏中点“设置”按钮，在弹出窗体中点“移动文件夹”按钮，选择目标文件夹后，点“确定”，在弹出对话框中选择“是”，系统会自动重新登录。点本地连接>高级>安全日志，把日志的目录更改专门分配日志的目录，不建议是C:再重新分配日志存储值的大小，我是设置了10000KB。

20、避免被恶意代码 木马等病毒攻击
/ s  g& p+ j7 B4 i- V
2 B: H' ]$ D7 ~* ?以上主要讲怎样防止黑客的恶意攻击，下面讲避免机器被恶意代码，木马之类的病毒攻击。
1 F9 J0 [+ j; a! x2 Y0 I( Z8 n
9 @/ t) t$ |6 a* W* j& b/ ]其实方法很简单，所以放在最后讲。

2 o4 {5 E! W  X2 ^我们只需要在系统中安装杀毒软件 如 卡巴基斯，瑞星，金山独霸等。
6 C" s" Y- V: v
还有防止木马的木马克星和金山的反木马软件（可选）。

* ~3 E6 Z. \5 z' V4 N! K并且能够及时更新你的病毒定义库，定期给你的系统进行全面杀毒。杀毒务必在安全模式下进行，这样才能有效清除电脑内的病毒以及驻留在系统的非法文件。
; [5 t& Z3 I# O; k6 a& [
还有就是一定要给自己的系统及时的打上补丁，安装最新的升级包。微软的补丁一般会在漏洞发现半个月后发布，而且如果你使用的是中文版的操作系统，那么至少要等一个月的时间才能下到补丁，也就是说这一个月的时间内你的系统因为这个漏洞是很危险的。

0 s. z9 G! i# v# P9 M0 L; s' }4 P; f5 Q! Y本人强烈建议个人用户安装使用防火墙（目前最有效的方式）。
$ j6 g, f0 N5 h' Y0 u. |! b: C) {
例如：天网个人防火墙、诺顿防火墙、瑞星防火墙等等。

因为防火墙具有数据过滤功能，可以有效的过滤掉恶意代码，和阻止DDOS攻击等等。总之如今的防火墙功能强大，连漏洞扫描都有，所以你只要安装防火墙就可以杜绝大多数网络攻击，但是就算是装防火墙也不要以为就万事无忧。因为安全只是相对的，如果哪个邪派高手看上你的机器，防火墙也无济于事。我们只能尽量提高我们的安全系数，尽量把损失减少到最小。