計(jì)算機(jī)網(wǎng)絡(luò)安全導(dǎo)論5(5-7章)(編輯修改稿)
2025-02-06 00:51 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 程將自己偽裝成和系統(tǒng) 、 正常文件盡量相似或相近 ， 甚至完全相同 。 偽裝方法： – 將正常進(jìn)程文件中的一個(gè)字符修改為相似的字母或數(shù)字，如?(假 )， ? (假 ) 。 – 在正常進(jìn)程文件名中增加 /減少一個(gè)字符如字母或數(shù)字。 如 ? (假 ) ， ? (假 ) 。 – 假進(jìn)程和真進(jìn)程文件名完全相同，但在磁盤(pán)中的位置不同。如C:\WINDOWS\ C:\WINDOWS\system32\，而其它位置出現(xiàn)的同名文件是假冒的。 – 隱藏進(jìn)程。 ? 進(jìn)程文件檢查方法： – 查文件名 – 查文件路徑 – 查文件圖標(biāo)（注意文件圖標(biāo)可能更換） – 查文件的版本信息、日期（注意可能更改偽裝） – 查 MD5值 – 用冰刃顯示、查看隱藏的進(jìn)程 查看和結(jié)束進(jìn)程工具： ?任務(wù)管理器 ?安全輔助工具，如 360安全衛(wèi)士 ?專門的進(jìn)程管理工具軟件，如ProcessExplorer，冰刃 IceSword等。 后者結(jié)束進(jìn)程的能力更強(qiáng) 電腦剛啟動(dòng)以后和正常運(yùn)行時(shí) 進(jìn)程數(shù)越多，運(yùn)行速度越慢 CPU使用率越高，電腦運(yùn)行速度越慢 可按 CPU使用率降序排列，查看哪個(gè)進(jìn)程占用大量 CPU資源，使電腦變慢，檢查其是否正常 左邊數(shù)值代表當(dāng)前內(nèi)存使用量 ,剛啟動(dòng)后或正常運(yùn)行時(shí)其值越大，運(yùn)行速度越慢。如果大于物理內(nèi)存則需升級(jí)內(nèi)存。 右邊數(shù)值代表電腦可用總內(nèi)存（物理內(nèi)存和硬盤(pán)上的虛擬內(nèi)存之和） 可按內(nèi)存使用率降序排列，查看哪個(gè)進(jìn)程占用大量?jī)?nèi)存資源，使電腦變慢，檢查其是否正常 Remote Administrator的服務(wù)端進(jìn)程， R2PC的服務(wù)端進(jìn)程 ，取決于開(kāi)啟的系統(tǒng)服務(wù)多少。 要么全大寫(xiě)，要么全小寫(xiě)。 ProcessEXP 可顯示進(jìn)程文件的圖標(biāo)、描述、出品公司、版本號(hào)、日期時(shí)間 顯示進(jìn)程文件在磁盤(pán)中的位置或路徑 結(jié)束進(jìn)程的能力比 任務(wù)管理器強(qiáng) 可對(duì)文件進(jìn)行數(shù)字簽名校驗(yàn)， 檢查、判斷其真?zhèn)? 360和搜狗的文件也可通過(guò)校驗(yàn) ATI顯卡和 WINRAR的文件無(wú)法校驗(yàn)。不能校驗(yàn)并不意味著文件一定就是假的 灰色按鈕 該進(jìn)程文件對(duì)應(yīng)的服務(wù)有哪些，加載的是哪個(gè)DLL文件 可以查看該進(jìn)程打開(kāi) 的端口和連接情況 向右縮進(jìn)的進(jìn)程為左邊左邊上級(jí)的子進(jìn)程，可以查看病毒木馬進(jìn)程的父進(jìn)程，即是哪個(gè)進(jìn)程創(chuàng)建的病毒木馬進(jìn)程 2. 查端口 ? 查看當(dāng)前打開(kāi)端口哪些是正常的，哪些是可疑的，哪些是非法進(jìn)打開(kāi)的端口。 ? 了解、熟悉自己電腦中的端口，逐步積累、熟悉各種端口。 ? 假端口偽裝方法： – 病毒木馬程序?qū)⒆约捍蜷_(kāi)的端口偽裝成系統(tǒng)正常打開(kāi)的端口，如445端口、 3389端口。 – 隱藏端口，如灰鴿子。 ? 端口檢查方法： – 查看端口號(hào)。 – 查看打開(kāi)該端口的進(jìn)程。 – 用冰刃顯示、查看隱藏的端口。 ? 查看端口工具 – DOS下： NETSTAT –AN命令 – 圖形界面下： aports等軟件 遠(yuǎn)控軟件 Remote Administrator的服務(wù)端打開(kāi)的端口 遠(yuǎn)控軟件 Z2 R2PC的服務(wù)端作為反彈連接主動(dòng)連接控制端（ 上一行 ），也打開(kāi)端口等待控制端連接（下一行） 3. 查連接 ? 查看當(dāng)前已建立的連接哪些是正常的，哪些是可疑的，哪些是非法連接。 ? 了解、熟悉自己電腦中的連接，逐步積累、熟悉各種連接。 ? 假連接偽裝方法： – DLL木馬由系統(tǒng)或正常進(jìn)程如 、 ，這時(shí)看到的連接是這些系統(tǒng)或正常進(jìn)程的連接。 – 隱藏連接，如灰鴿子。 ? 連接檢查方法： – 查看當(dāng)前連接。 – 查看當(dāng)前連接對(duì)應(yīng)的進(jìn)程是否自己打開(kāi)的。 – 檢查進(jìn)程加載的 DLL文件。 – 使用能監(jiān)控 DLL文件訪問(wèn)網(wǎng)絡(luò)，當(dāng)試圖訪問(wèn)網(wǎng)絡(luò)時(shí)能給出提示的防火墻。 – 用冰刃等顯示、查看隱藏的連接。 ? 查看連接工具 – DOS下： NETSTAT –AN命令 – 圖形界面下： aports等軟件 – 用冰刃顯示、查看隱藏的連接 ? 對(duì)于利用 UDP端口進(jìn)行數(shù)據(jù)傳輸?shù)哪抉R程序，不能用上述方法查看連接情況，則可用防火墻、監(jiān)聽(tīng)嗅探軟件查看數(shù)據(jù)傳輸情況。 ? 通過(guò)查看連接有可能查出入侵者的 IP。 當(dāng)控制端利用遠(yuǎn)控軟件客戶端程序連接上被控電腦時(shí)，被控服務(wù)端電腦上可查得已經(jīng)建立連接，還可能查得控制端 IP 360進(jìn)程查看工具可查到一個(gè)進(jìn)程加載的所有 DLL文件。 DLL文件數(shù)量多，手工檢查較為困難，可依靠殺毒軟件 防火墻程序規(guī)則 已經(jīng)放行并允許其訪問(wèn)網(wǎng)絡(luò)的應(yīng)用程序列表 防火墻模塊規(guī)則 已經(jīng)放行并允許其訪問(wèn)網(wǎng)絡(luò)的模塊列表 瑞星防火墻也能檢查試圖訪問(wèn)網(wǎng)絡(luò)的 DLL文件 瑞星防火墻可對(duì) DLL文件試圖訪問(wèn)網(wǎng)絡(luò)時(shí)進(jìn)行檢查并給出警告提示，但默認(rèn)未啟用此功能 瑞星防火墻檢測(cè)到可信任的應(yīng)用程序試圖訪問(wèn)網(wǎng)絡(luò)時(shí)自動(dòng)放行，并將其添加至允許訪問(wèn)網(wǎng)絡(luò)的程序列表中 自動(dòng)放行的網(wǎng)絡(luò)應(yīng)用程序被添加至允許訪問(wèn)網(wǎng)絡(luò)的程序列表中，下次該應(yīng)用程序試圖訪問(wèn)網(wǎng)絡(luò)時(shí)不再提示 當(dāng)瑞星防火墻檢測(cè)到無(wú)法自動(dòng)驗(yàn)證的的應(yīng)用程序試圖訪問(wèn)網(wǎng)絡(luò)時(shí)給出警告提示，由用戶自己決定是否放行并加入允許訪問(wèn)網(wǎng)絡(luò)的程序列表中 當(dāng)瑞星防火墻檢測(cè)到 DLL文件試圖訪問(wèn)網(wǎng)絡(luò)時(shí)也給出警告提示，由用戶自己決定是否放行并將其加入到允許訪問(wèn)網(wǎng)絡(luò)的模塊列表中 4. 查服務(wù) ? 所謂服務(wù)，指的是在系統(tǒng)啟動(dòng)過(guò)程中隨著系統(tǒng)啟動(dòng)而自動(dòng)加載到內(nèi)存并運(yùn)行的程序，而且在登錄系統(tǒng)、出現(xiàn)桌面前即已加載運(yùn)行。 ? 查看系統(tǒng)當(dāng)前已安裝尤其是已啟動(dòng)的服務(wù)哪些是正常的，哪些是可疑的，哪些是非法服務(wù)。 ? 了解、熟悉自己電腦中的服務(wù)，逐步積累、熟悉各種服務(wù)。 ? 假服務(wù)偽裝方法： – 冒充系統(tǒng)或者正常服務(wù)。 – 隱藏服務(wù)，如灰鴿子。 ? 服務(wù)檢查方法： – 查看系統(tǒng)系統(tǒng)當(dāng)前安裝的服務(wù)。 – 重點(diǎn)查看系統(tǒng)當(dāng)前已經(jīng)啟動(dòng)的服務(wù)。 – 查看服務(wù)名稱、描述、狀態(tài)、啟動(dòng)類型。 – 更要通過(guò)查看服務(wù)對(duì)應(yīng)的 EXE文件及其路徑查看服務(wù)是否有偽裝。 – 用冰刃等顯示、查看隱藏的服務(wù)。 ? 查看服務(wù)工具 – 系統(tǒng)自帶的工具 ? DOS命令： MSCONFIG ? 我的電腦 右鍵管理 服務(wù)和應(yīng)用程序 服務(wù) – 進(jìn)程瀏覽器 ProcessExplorer。 – 360安全衛(wèi)士等輔助安全工具。 ? 減少、禁用無(wú)關(guān)服務(wù)將加快系統(tǒng)啟動(dòng)速度，提高安全性。 開(kāi)始 /運(yùn)行 /MSCONFIG，切換到服務(wù)標(biāo)簽 顯示的非微軟的其它服務(wù)數(shù)量大大減少，可減少服務(wù)檢查的工作量 隱藏所有微軟的系統(tǒng)服務(wù)，只顯示非微軟的其它服務(wù) 開(kāi)始 /運(yùn)行 /,可查看服務(wù)相關(guān)情況，如名稱、描述、狀態(tài)和啟動(dòng)類型等 360等殺毒軟件以服務(wù)方式啟動(dòng)，啟動(dòng)時(shí)機(jī)較早，使其較早具有實(shí)時(shí)監(jiān)控能力 遠(yuǎn)控軟件 Remote Admnistrator服務(wù)端程序?qū)?yīng)的服務(wù) 雖然可以修改、偽裝服務(wù)名稱、顯示名稱和描述等，但可以通過(guò)其對(duì)應(yīng)的可執(zhí)行文件名
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1