教你打造一道超级防御的电脑防火墙

子夜的金

我们遇到的入侵方式大概包括了以下几种：
2 i+ {8 p6 w0 U/ R7 F
, U; c7 n# N6 M7 ](1) 被他人盗取密码；
; d( y8 p# ?! C. d; U) \5 A( v
(2) 系统被木马攻击；
6 q2 y8 j) U  _* z/ i) ?
(3) 浏览网页时被恶意的java scrpit程序攻击；
. {: G+ U# K+ J  V9 ~4 m: j2 w# x+ ]
(4) QQ被攻击或泄漏信息；

7 X3 l6 s* h( L1 B; R" [(5) 病毒感染；
9 i; X2 x( _3 a4 s) V9 f0 j+ c
(6) 系统存在漏洞使他人攻击自己。
9 B: x3 P) ?# L) Z+ i
# J' c; ^4 Z" f8 T) |5 L(7) 黑客的恶意攻击。

, n$ t6 S6 H7 X, s9 @# C下面我们就来看看通过什么样的手段来更有效的防范攻击。

1.察看本地共享资源

) o- \% q2 U5 R- \) g运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。

2.删除共享(每次输入一个）
  `/ u+ I2 x/ t) O4 F3 w7 J& P( X# K* H
/ ~& L  U" Y( p% Mnet share admin$ /delete
net share c$ /delete
2 V  @7 b) i" @* ~+ Inet share d$ /delete（如果有e，f，……可以继续删除）
7 l8 k* \: ]8 G5 g3 X2 z' `7 k* j4 v
3.删除ipc$空连接
* H) o& m: Z7 @2 B* {* U' t
8 F, R' b  \2 F0 Q$ o在运行内输入regedit，在注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。

4.关闭自己的139端口，Ipc和RPC漏洞存在于此
) {# T$ h  b) h6 `: w: v7 j6 Q* N
3 c9 C; X0 X9 n, X' h关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。

5．防止Rpc漏洞

% O$ T9 L. Y; \% h# r打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。

Windwos XP SP2和Windows2000 Pro Sp4，均不存在该漏洞。
  P$ F1 R' P" e! m4 H) ~  L& Y
4 d7 C0 ?, N) _' Z! B3 L- |+ Z6．445端口的关闭
5 S& [, J! E6 C. e
7 D8 b" H+ }8 X修改注册表，添加一个键值HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了。

6 I* S' a. |1 J$ t& m6 K# T7．3389的关闭

WindowsXP：我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。
7 ~( ?; z. l, I
Win2000server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用）

) a1 W9 c' }& e$ b' K" H使用Windows2000 Pro的朋友注意，网络上有很多文章说在Win2000pro 开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。
2 w6 t6 s7 o3 c2 |! K: q
" |. C2 t- o- }! z8．4899的防范
! _' l8 {9 G$ {! {
1 _* @" r& q5 W+ C网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。

, y& q7 B/ ?- I9 P4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。
9 [- M. O; E1 X( V; Z% w- R
所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。

9、禁用服务
0 s2 x, R% e  ^+ ^9 }0 U, v
打开控制面板，进入管理工具——服务，关闭以下服务：
; K3 i  U; z0 m" p: j/ E
* V- H+ P2 A2 F; _' n1.Alerter[通知选定的用户和计算机管理警报]
2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享]
. P/ w9 |  _9 O3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无
5 ?: P' i1 j8 S' I" ^% V) n) D6 K" q, O法访问共享
; f% N  T  t) j4 v$ S4.Distributed Link Tracking Server[适用局域网分布式链接]
5.Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问]
5 [$ h, Q" A; O& d1 T5 e4 z6.IMAPI CD-Burning COM Service[管理 CD 录制]
7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息]
  B2 R. V+ ^9 E; q/ E& q; j8 ^8.Kerberos Key Distribution Center[授权协议登录网络]
9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止]
10.Messenger[警报]
11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集]
12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换]
, b1 x' P$ f* f! q' `. l0 {& @/ A13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享]
$ V& e  v& a( J; W& d- r7 r14.Print Spooler[打印机服务，没有打印机就禁止吧]
15.Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助]
7 h. {( B) g9 A3 z& b: h16.Remote Registry[使远程计算机用户修改本地注册表]
17.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息]
6 s8 }: l* v7 d18.Server[支持此计算机通过网络的文件、打印、和命名管道共享]
6 e8 D% `9 ?+ ?19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符]
6 q7 `4 [) r; h  I8 `% Z+ Y" }20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支
持而使用户能够共享文件 、打印和登录到网络]
# n. O! q7 d! J7 v" e( u! M  M21.Telnet[允许远程用户登录到此计算机并运行程序]
7 c3 T1 E3 l$ d" U! M22.Terminal Services[允许用户以交互方式连接到远程计算机]
23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机]
0 K( E. q9 w. r( s- q
4 Y- a7 ?0 `0 ~& ]$ `- q如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。

3 r( v- e9 o9 P, `10、账号密码的安全原则

" n9 X7 U8 a8 R( x, K首先禁用guest帐号，将系统内建的administrator帐号改名（改的越复杂越好，最好改成中文的），而且要设置一个密码，最好是8位以上字母数字符号组合。

如果你使用的是其他帐号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置adminstrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的帐号，不是正常登陆下的adminitrator帐号，因为即使有了这个帐号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置。
( P' Y/ H" I( b$ B
打开管理工具—本地安全设置—密码策略：

1.密码必须符合复杂要求性.启用
% a3 s9 x- D; K* O: W5 Q! ]" o2.密码最小值.我设置的是8
6 w# \; L3 ]  m' u9 e) q' {) v5 o. c3.密码最长使用期限.我是默认设置42天
* J$ X  B& i0 _5 ^! g6 T6 ~' N4.密码最短使用期限0天
; w9 u7 d- y. {4 K1 z5.强制密码历史 记住0个密码
6.用可还原的加密来存储密码 禁用

　　
& `+ p  k- `+ ?% Z, n  I+ b11、本地策略
1 u& g. U  d' [) m0 M! A" H
这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。
; I( G( w2 k4 p, |: l  n3 }& |
8 e, U3 D% x! ]+ l9 D- G! z(虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的)
' ~1 w8 {1 v; P8 o. ^
打开管理工具，找到本地安全设置—本地策略—审核策略：

5 Z0 {' u& D- [' E1.审核策略更改 成功失败
2.审核登陆事件 成功失败
. W/ J$ L  m7 M1 z7 d# m) m3.审核对象访问 失败
4.审核跟踪过程 无审核
, q. M" k. T9 g5.审核目录服务访问 失败
6.审核特权使用 失败
7.审核系统事件 成功失败
8.审核帐户登陆时间 成功失败
9.审核帐户管理 成功失败
$ Y  q1 r) v2 J! G: @
  q6 j1 z, A$ V/ j. m9 Q&nb sp;然后再到管理工具找到事件查看器：

! w2 h' z2 V8 m; N$ _* O# f. Q应用程序：右键>属性>设置日志大小上限，我设置了50mb，选择不覆盖事件。

1 |1 |+ m& n$ T% _; e# Z0 H# Y0 [安全性：右键>属性>设置日志大小上限，我也是设置了50mb，选择不覆盖事件。
6 N6 u* ?1 b/ m7 V$ J! g% l: u
, G. ~; \6 ^9 Z" u" i( g系统：右键>属性>设置日志大小上限，我都是设置了50mb，选择不覆盖事件。

12、本地安全策略

打开管理工具，找到本地安全设置—本地策略—安全选项：
* x4 ^! ?4 v8 f) B# W6 Y: b8 p
　　　　
1.交互式登陆.不需要按 Ctrl+Alt+Del 启用 [根据个人需要，? 但是我个人是不需要直接输入密码登
3 F: Q  ?: A+ a" T5 K+ s9 t陆的]。
2.网络访问.不允许SAM帐户的匿名枚举 启用。
+ X7 ?( B5 ?. Z* U0 f/ X+ K, W3.网络访问.可匿名的共享 将后面的值删除。
- q7 V$ f" V" `2 w  N4.网络访问.可匿名的命名管道 将后面的值删除。
5.网络访问.可远程访问的注册表路径 将后面的值删除。
6.网络访问.可远程访问的注册表的子路径 将后面的值删除。
7.网络访问.限制匿名访问命名管道和共享。
8.帐户.（前面已经详细讲过拉 ）。

子夜的金

13、用户权限分配策略

9 m% c$ M2 f- U# G5 Z打开管理工具，找到本地安全设置—本地策略—用户权限分配：

　　　　
" V7 n, _8 e$ j2 f1.从网络访问计算机 里面一般默认有5个用户，除Admin外我们删除4个，当然，等下我们还得建一个属
于自己的ID。
3 F, M, z; Z( R5 T2.从远程系统强制关机，Admin帐户也删除，一个都不留　。　　　
/ N9 Y: ]1 K$ u3 E$ D, a% i3.拒绝从网络访问这台计算机 将ID删除。
4.从网络访问此计算机，Admin也可删除，如果你不使用类似3389服务。
2 x/ u- j+ t) e3 _* A6 m* X3 b5.通过远端强制关机。删掉。

& d8 T6 }6 i  E. Q/ E2 \' S0 Y# A14、终端服务配置

打开管理工具，终端服务配置：

1.打开后，点连接，右键，属性，远程控制，点不允许远程控制。
2.常规，加密级别，高，在使用标准Windows验证上点√!
3.网卡，将最多连接数上设置为0。
4.高级，将里面的权限也删除。

再点服务器设置，在Active Desktop上，设置禁用，且限制每个使用一个会话。

/ U! ]' Z1 m6 ]! f1 S& p15、用户和组策略
( A# y$ w7 {2 ^: g
% }1 j, a% T; A9 x9 S+ Z' K0 P' F8 @打开管理工具，计算机管理—本地用户和组—用户：
; H& E; e- x% @7 k  O
删除Support_388945a0用户等等只留下你更改好名字的adminisrator权限。

: P% `9 V& \, M计算机管理—本地用户和组—组，组.我们就不分组了。
* J/ u; L+ d: u) E8 F
16、自己动手DIY在本地策略的安全选项

& h- M7 D+ Q1 Z% ^, v　　　　
8 ]# _( M' X  \! ?2 I9 }1）当登陆时间用完时自动注销用户(本地) 防止黑客密码渗透。
2）登陆屏幕上不显示上次登陆名(远程)如果开放3389服务，别人登陆时，就不会残留有你登陆的用户
名.让他去猜你的用户名去吧。
3）对匿名连接的额外限制。
4）禁止按 alt+crtl +del(没必要）。
% j6 c$ Q( d# b" ^5）允许在未登陆前关机[防止远程关机/启动、强制关机/启动]。
8 x% t/ I! z2 v/ {) R  B4 O6）只有本地登陆用户才能访问cd-rom。
7）只有本地登陆用户才能访问软驱。
" e. M/ q- s! {+ A: M8）取消关机原因的提示。
A、打开控制面板窗口，双击“电源选项”图标，在随后出现的电源属性窗口中，进入到“高级”标签
页面；
B、在该页面的“电源按钮”设置项处，将“在按下计算机电源按钮时”设置为“关机”，单击“确
8 X6 e% o% f" i& a5 B' {5 V3 c& e定”按钮，来退出设置框；
& o1 D* y* d6 u2 [C、以后需要关机时，可以直接按下电源按键，就能直接关闭计算机了。当然，我们也能启用休眠功能
- [4 k& [" O5 [/ L5 J键，来实现快速关机和开机；
D、要是系统中没有启用休眠模式的话，可以在控制面板窗口中，打开电源选项，进入到休眠标签页
面，并在其中将“启用休眠”选项选中就可以了。
" G% K$ W" W0 a2 D; |2 M2 q7 h2 B9）禁止关机事件跟踪

开始“Start ->”运行“ Run ->输入”gpedit.msc “，在出现的窗口的左边部分，选择 ”计算机配置“（Computer Configuration ）-> ”管理模板“（Administrative Templates）-> ”系统“（System），在右边窗口双击“Shutdown Event Tracker” 在出现的对话框中选择“禁止（Disabled），点击然后“确定”（OK）保存后退出这样，你将看到类似于Windows 2000的关机窗口。

9 Z1 E6 X9 P/ i, ^2 S$ T/ |' [17、常见端口的介绍　　　　　　　　　　　　

TCP
21　　 FTP
22　　 SSH
23　　 TELNET
25　　 TCP SMTP
53　　 TCP DNS
" }- D* y9 {2 D+ c8 G1 o2 a6 N! B. m80　　 HTTP
135　　epmap
) `7 @1 M1 u8 O- ~. q; y138　　[冲击波]
2 j5 Q+ T% I& y8 z+ r+ t139　　smb
445
1025 DCE/1ff70682-0a51-30e8-076d-740be8cee98b
/ I6 ~/ I' o7 I9 ]4 m1026 DCE/12345778-1234-abcd-ef00-0123456789ac
# r9 ^) Y, Q: [" o; A6 V1433 TCP SQL SERVER
/ w8 i3 V: [- ]5631 TCP PCANYWHERE
  W3 @* k4 l) v  ^! A2 D& Z) h$ Q5632 UDP PCANYWHERE
4 Y! _( l% R7 c; R7 K) t3389　　 Terminal Services
4 H1 |* Q# V+ |- \$ M7 d4444[冲击波]
　
UDP
67[冲击波]
$ Y2 J7 Q5 |5 g6 ?- r; \( C137 netbios-ns
161 An SNMP Agent is running/ Default community names of the SNMP Agent
" U/ K: B# X/ w0 h( T) A
关于UDP一般只有腾讯QQ会打开4000或者是8000端口或者8080，那么，我们只运 行本机使用4000这几个端口就行了。
$ a( C5 [( u8 u
18、另外介绍一下如何查看本机打开的端口和tcp\ip端口的过滤
* T, Q! ?. B! r* @
开始－－运行－－cmd，输入命令netstat -a ，会看到例如（这是我的机器开放的端口）：
3 t( ~0 E6 [" h$ |* G$ z, [, d
Proto Local Address　　　　Foreign Address　　　　State
8 p4 d) }- _" g7 {4 u& ]9 E1 STCP　　yf001:epmap　　　　 yf001:0　　　　　　 LISTE
9 j* w$ B: E) z( ]( V4 u0 }& y( ITCP　　yf001:1025（端口号）　　　　　　yf001:0　　　　　　
/ z; I! J3 g: U3 y% G9 U) B- R  b
LISTE
1 b0 j& Q7 B" H" X0 jTCP　　(用户名）yf001:1035　　　　　　yf001:0　　　　　　

LISTE
TCP　　yf001:netbios-ssn　　 yf001:0　　　　　　 LISTE
$ d7 U* m( K. Q! b/ LUDP　　yf001:1129　　　　　　*:*
UDP　　yf001:1183　　　　　　*:*
UDP　　yf001:1396　　　　　　*:*
UDP　　yf001:1464　　　　　　*:*
4 U% }2 D' [( I5 \" \6 bUDP　　yf001:1466　　　　　　*:*
8 A' Y$ T: H- H5 c  GUDP　　yf001:4000　　　　　　*:*
% [2 k7 [' H, YUDP　　yf001:4002　　　　　　*:*
, H, X6 h1 _& M0 H6 M7 C4 m3 S/ pUDP　　yf001:6000　　　　　　*:*
) E0 D5 {- [. n0 ?1 tUDP　　yf001:6001　　　　　　*:*
6 |/ _& g8 F0 M0 e8 XUDP　　yf001:6002　　　　　　*:*
9 _0 W; h+ Y+ N& A& z6 X1 D% JUDP　　yf001:6003　　　　　　*:*
( M" Z* D" q/ @9 a& Q- A% AUDP　　yf001:6004　　　　　　*:*
UDP　　yf001:6005　　　　　　*:*
$ i  R- N% `3 V$ D( U% L2 iUDP　　yf001:6006　　　　　　*:*
6 h' @" i7 u; D) e  CUDP　　yf001:6007　　　　　　*:*
- o% l) A! T- @9 iUDP　　yf001:1030　　　　　　*:*
UDP　　yf001:1048　　　　　　*:*
2 ~7 g7 j& P  f$ N# O. L& pUDP　　yf001:1144　　　　　　*:*
UDP　　yf001:1226　　　　　　*:*
2 [/ I8 n/ H( o# ]UDP　　yf001:1390　　　　　　*:*
UDP　　yf001:netbios-ns　　 *:*
! X: S+ ^7 [+ a+ O' H; @+ XUDP　　yf001:netbios-dgm　　 *:*
UDP　　yf001:isakmp　　　　 *:*
+ ?7 u: X. z! F  [7 y: `- A' l
现在讲讲基于Windows的tcp/ip的过滤。

7 G! D. [- ]/ Q控制面板——网络和拨号连接——本地连接——INTERNET协议（tcp/ip)--属性－－高级－－－选项－tcp/ip筛选－－属性!!

/ u5 k! b- b4 |0 I  G- H然后添加需要的tcp 和UDP端口就可以了～如果对端口不是很了解的话，不要轻易进行过滤，不然可能会导致一些程序无法使用。

19、胡言乱语
, P9 W0 H% n% W! S$ K! s( p* @
! N6 ^. X* s" w- c1 \(1)、TT浏览器
$ z7 A1 ^# x, \2 \
" z, L- A+ @! `3 z8 M% H8 T! s选择用另外一款浏览器浏览网站.我推荐用TT，使用TT是有道理的。
+ o) z( x& N& R3 v
8 d6 c3 i, d% {; QTT可以识别网页中的脚本，JAVA程序，可以很好的抵御一些恶意的脚本等等，而且TT即使被感染，你删除掉又重新安装一个就是。
  z# M3 P- {0 A6 c. y. a) D$ g
MYIE浏览器
5 }; }/ q; S* G) W
是一款非常出色的浏览器，篇幅有险，不做具体介绍了。（建议使用）

(2)、移动“我的文档”

进入资源管理器，右击“我的文档”，选择“属性”，在“目标文件夹”选项卡中点“移动”按钮，选择目标盘后按“确定”即可。在Windows 2003 中“我的文档”已难觅芳踪，桌面、开始等处都看不到了，建议经常使用的朋友做个快捷方式放到桌面上。
9 ~, f& V0 ~) [6 ?6 K# r  j
(3)、移动IE临时文件
% d. z% P# f7 w/ i0 A, y2 l. g
7 J% k, F  P2 H& w$ c进入“开始→控制面板→Internet 选项”，在“常规”选项“Internet 文件”栏中点“设置”按钮，在弹出窗体中点“移动文件夹”按钮，选择目标文件夹后，点“确定”，在弹出对话框中选择“是”，系统会自动重新登录。点本地连接>高级>安全日志，把日志的目录更改专门分配日志的目录，不建议是C:再重新分配日志存储值的大小，我是设置了10000KB。
" c" G  Z. h+ _5 D7 Q3 v
+ \& I& p' f9 Q5 H* y3 O20、避免被恶意代码 木马等病毒攻击

以上主要讲怎样防止黑客的恶意攻击，下面讲避免机器被恶意代码，木马之类的病毒攻击。

/ b' N- Y2 s& K& s/ d; A其实方法很简单，所以放在最后讲。

我们只需要在系统中安装杀毒软件 如 卡巴基斯，瑞星，金山独霸等。
6 n' p- t/ T2 R6 @' }
' _' P- i1 l8 y/ ?" a还有防止木马的木马克星和金山的反木马软件（可选）。
, r8 {2 e) y" d& S( s* G0 E6 o2 P
并且能够及时更新你的病毒定义库，定期给你的系统进行全面杀毒。杀毒务必在安全模式下进行，这样才能有效清除电脑内的病毒以及驻留在系统的非法文件。
- H1 X9 Z- F! r4 O6 H
8 Q! J. P3 W8 u: N& i  t还有就是一定要给自己的系统及时的打上补丁，安装最新的升级包。微软的补丁一般会在漏洞发现半个月后发布，而且如果你使用的是中文版的操作系统，那么至少要等一个月的时间才能下到补丁，也就是说这一个月的时间内你的系统因为这个漏洞是很危险的。

! R/ t+ }  l- a9 i本人强烈建议个人用户安装使用防火墙（目前最有效的方式）。

* |6 z8 q, ?' j8 J4 N例如：天网个人防火墙、诺顿防火墙、瑞星防火墙等等。

2 F# i) D- O3 x因为防火墙具有数据过滤功能，可以有效的过滤掉恶意代码，和阻止DDOS攻击等等。总之如今的防火墙功能强大，连漏洞扫描都有，所以你只要安装防火墙就可以杜绝大多数网络攻击，但是就算是装防火墙也不要以为就万事无忧。因为安全只是相对的，如果哪个邪派高手看上你的机器，防火墙也无济于事。我们只能尽量提高我们的安全系数，尽量把损失减少到最小。