<?xml version="1.0" encoding="gb2312"?>
<rss version="2.0">
	<channel>
		<title>金麦网络</title>
		<link>http://www.kingmx.com</link>
		<copyright>Copyright (C) 2006 金麦网络-Kingmx.com All Rights Reserved.</copyright>
		<item>
			<title>AJAX真的不安全？！</title>
			<link>http://www.kingmx.com/article.php?id=15042</link>
			<pubDate>2007-2-9</pubDate>
			<description><![CDATA[
原文永久链接：http://www.matrix.org.cn/resource/article/2007-02-07/a5f2d5c6-b677-11db-82df-078095a5dcde.html
前言
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;日前网络中流行围绕AJAX和安全风险的讨伐声浪让人不绝于耳。这种火热的新技术已经被铺天盖地地应&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;用在各种web应用（构建如Gmail、Google Maps这些基于web的应用），但在其炙手可热的光环背后隐藏着一个黑暗的鬼怪——AJAX正在为心怀恶意的hacker打开着后门。但这并不完全正确。恰好，目前几乎所有的web应用开发老手和安全专家都正在力图冲过冷嘲热讽式的取笑，触及到事情的真相：多数web站点都是不安全，但AJAX并不是罪魁祸首。尽管AJAX不能使web站点变得丝毫安全，但理解它能做些什么是非常重要的。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;AJAX(Asynchronous JavaScript + XML)是web浏览器技术的集合体，它允许web页面内容飞速地更新而无需刷新页面。在使用AJAX的web页面背后，数据（通常格式化为XML，但也 可以是HTML、JavaScript等格式）在web服务器与客户端浏览器之间来回传输。比如在Gmail应用场景中，新的邮件信息被自动接收和显示。 在Google Maps应用场景中，用户可以通过鼠标拖拽的方式在地图中的街区之间穿梭漫游。这种执行异步数据传输的机制是一个嵌入在所有现代web浏览器内部的、被称 为XMLHTTPRequest(XHR)的软件库。XHR是web站点获得“AJAX”商标的关键。另一方面，它也是一些实现了“奇思妙想”的 JavaScript。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;如果你正在思考这究竟和安全有什么关系，那么你是正确的。AJAX技术使站点平滑地与用户交互， 并给用户带来更多的回应。而在web服务器上并没有任何改变，而安全焦点却应该着重在web服务器端。如果这是事实的话，那么我们每个人还考虑什么？在计 算机安全社区中，AJAX意味着大量攻击平面（attack surface）、骤增的复杂性、伪造请求、拒绝服务、跨站脚本（XSS）、依赖于客户端安全等等。而事实上，这些问题在AJAX出现之前就已经存在。并 且推荐给开发者的安全最佳实践也从没有因为AJAX的出现而改变过。如果你像我一样想知道到底哪些才是重要的，那么请让我们进行一次深入的讨论。
名词解释
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Cross-site scripting (XSS):跨站脚本是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞越过访问控制——例如同源策略（same origin policy）。近来，这种类型的漏洞被用来编写危害性更大的phishing攻击和利用浏览器漏洞。详细解释请看这里。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Same Origin Policy:计 算机术语。这里译为“同源策略”。它是对于客户端脚本（尤其是JavaScript）的重要安全 度量标准。它首先出自Netscape Navigator2.0。之后历经Navigator2.01和Navigator2.02的修正完善。其目的在于防止某个文档或者脚本从多个不同 “origin”（源）装载。 这里的单词“origin”指使用域名、协议、端口。详细解释请看这里。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Cross-site request forgery（CSRF）:跨 站请求伪造，也被称成为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相 左。XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其 进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。详细解释请看这里。
AJAX导致大量的“攻击平面”?——不！
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; “攻击平面”一词被应用到通过对系统中开放攻击点的分析来度量安全的概念中。对于软件，这些点便是被第三方（用户）操作数据输入、输出的区域。显而易见， 具有相对越少的安全平面使应用越安全。同样明显的是，对于web应用或者任何应用，编写的功能点与攻击平面同样多。这并不和用户接口是否采用AJAX、 Flash、ASCII艺术字或者其它任何方式有关。AJAX是一种浏览器技术，且不在服务端执行。当AJAX驱使开发者公开地暴露更多的功能时，便可能引入新的“服务器端”漏洞——你并不能责备AJAX。新的代码总意味着增加漏洞的风险。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;更进一步讲，从本人的经验看，使用AJAX技术的web应用在功能上并不具有比传统的标准web应用更多的复杂性。Google Maps就是一个比看似简单的craigslist的 更简练的应用。Gmail也比Outlook Web Access更加轻巧。而且，使用AJAX进行Web应用设计（或者重新设计）将给在使用新式平台上（.NET，J2EE等）进行开发带来更多的机会。这 些平台与生俱来就更加安全、不会出现例如SQL注入、证书会话推算（Credential Session Prediction）、目录遍历等在上一代平台中常见的漏洞。
AJAX使“攻击平面”更加难以发现？——是，但又不是
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 没有测试结果的安全程序是不完整的。度量web站点安全的最常见方式便是通过模拟攻击——成千上万的攻击（也就是漏洞评估）。漏洞评估能被手工执行，也可 以使用自动化扫描工具，或者两者兼而有之。在漏洞评估过程的第一步就是定位web应用的输入点或者“攻击平面”。因此，一个完整的漏洞评估需要发现所有可 能的漏洞。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;自动化抓取整个web站点、映射链接是漏洞评估的标准行为。此方法对于某些站点工作很好，对另一些站点则无能 为力，而对其余站点的效果在前两者之间。对使用大量JavaScript、Flash、ActiveX、Applet和AJAX的新式站点来讲，进行漏洞 评估的挑战是网站中的链接是即时生成或者在复杂的客户端代码中动态生成的。分析出这些链接非常困难，有时几乎不可能。因此自动化扫描成为了检验AJAX站 点安全性的一种不大可靠的方法。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;另一方面依靠人工可以相对轻松地详细审视代码并推断代码之间的关系。有时，JavaScript源代码中记录了web站点所有的输出区域，甚至XML web服务的细节，当然这不但对心怀善意者有用，而且对心存恶意者也同样有用处。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;在一个平常的web站点中，没有这样的资源，而漏洞评估程序必须依赖于链接抓取的方式。因此这里做出的结论便是：AJAX并没有削弱web站点的安全性，但它使评估安全工作面临更多的挑战。
AJAX导致“拒绝服务”？——这并非事实
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 基于AJAX的web站点被要求设计成为使用大量零碎的HTTP请求，而不是少量的、大规模HTTP请求的应用。例如，Google Suggest在每个用户敲击键盘时，可以发出微小的HTTP请求来执行自动单词完成工作。这里假定1000用户同时使用此系统，采用这种AJAX快速触 发HTTP请求的模式将会明显地提高系统处理请求的压力。这便是潜在的拒绝服务场景。假定这是可能的，但这是谁的过错呢？
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;以本人的观点，这个问题不是因AJAX、甚至不良的软件设计策略而引起的、而是缺乏恰当的实现和质量测试而造成的。针对此问题的解决方案便是优化配置或者增加更多的web服务。现实中，如果某人想发动Dos攻击，他将使用巨大的HTTP流量作为洪流冲击网络，而不管web站点是否采用AJAX。
AJAX依赖客户端安全？——不！
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 让我们回到web应用安全上来。Web应用必须从不信任客户端（web浏览器）。这是无论web页面接口使用JavaScript、Flash、 ActiveX、Applet、AJAX或者其它协议、语言都适用的“福音”。每个开发者应该谨慎对待HTTP代理，因为它能改变HTTP请求中的任何东 西、甚至是那些被XHR生成的数据。最谨慎的做法是确保所有安全检查都在server上进行，无一例外。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;这意味着我们不应该使用客户端安全检查吗？不，正相反。我推荐在form中和其它业务处理流中使用客户端安全检查，因为它通过更多的反馈完善了用户体验。把用户在电话号码field中输入的字符传送到服务器进行检查的做法是没有必要的。而且通过将部分处理时间推给客户端可以减轻服务器的负载。
AJAX导致糟糕的安全决策？——有几分可能。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Web2.0 站点经常囊括了来自一个或者多个第三方站点的数据，这称为“mash-up”。AJAX开发者首选的做法是使用直接从第三方站点“拉”数据给用户，这样可 以减少没必要的带宽浪费。但是这对XHR技术来讲是不可能的。XHR具有内建在浏览器中的安全保护机制，它防止位于A站点的用户浏览器向B站点发起连接。 这有助于防止用户受到那些在页面中使用JavaScript代码强迫用户下载银行账户信息的恶意站点的威胁。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;而Web开 发者并不愿抑制革新，他们完成了一套能够使用XHR访问第三方站点的应用：Web开发者在web服务器上建立一个本地HTTP代理。为了使客户端能够从第 三方站点“拉”数据，他们通过本地代理将XHR直接传送给目的服务器。下面便是web浏览器生成的请求示例：
http://websiteA/proxy?url=http://websitesB/ 
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;A站点接收进入的请求，而后“proxy”web应用通过“URL”参数发送请求给B站点。通过使用代理，开发者可以使用XHR作跨域请求。因为A站点不能直接连接到B站点，所以XHR不能发送用户授权cookie到B站点， 因此这里并不存在跨域请求伪造（CSRF）的威胁。这里安全问题时A站点上存在一个没有进行限制的HTTP代理。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;攻击者喜欢寻找开放的代理，因为他们能够从那里发起攻击，而不必暴露自己的行踪。代理的使用应被仔细地控制，对连接代理的站点和此站点的行为进行限制。我认为问题出在开发者忽视了安全控制，而不是AJAX。
AJAX使跨站脚本攻击（XSS）更甚？——我希望不是。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;AJAX使得XSS攻击更甚？记得在2006年BlackHat发表的一篇《Hacking Intranet Websites from the Outside》中演示了JavaScript恶意代码如何获取内网NAT后的IP地址、扫描端口、使web服务器记录系统失明、盗取浏览器历史记录、利用处于内网的web接口。华盛顿邮报称此“使人不安”。所有的演示代码没有使用AJAX编写，都是古老的JavaScript。
XHR能够发起在同一域下的任何HTTP请求，并浏览回应数据。简单的JavaScript能够完成同样的请求，而无需“域”的限制，但它不能浏览回应数据。这意味着如果某个用户位于A网站，XHR不能强迫用户连接到B网站、并读取B网站的数据。但是简单的JavaScript代码能够做到。从这个角度来看，XHR是如等的安全！
对于JavaScript的深入研究已经导致了新生的恶意代码能够发现哪些服务器具有潜在的XSS漏洞安全问题。更为直接的例子就是，Samy蠕虫曾经击倒了MySpace，利用XHR的JS-Yamaner也在Yahoo上肆虐繁殖过。但是这些攻击都采用简单的JavaScript。AJAX与这种场景毫无干系。我们所能做的是寻找和修复在web应用中的XSS漏洞。WhiteHat的安全白皮书《Cross-Site Scripting Worms and Viruses》中提供了更丰富的资源。
AJAX改变了安全最佳实践？——不。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;如果某个web应用存在漏洞，那么无论采用何种技术进行开发，它都是不安全的。如果某个web应用具备良好的设计，“不安全的AJAX”怎么也削弱不了它的安全性。

下面是使web应用安全的5点提示：
1）设计安全。进行从安全出发、时刻关注安全的设计：在软件开发生命周期中每个阶段中将安全性作为一个组件对待。
2）可靠的输入验证。从不信任客户端。
3）使用可靠的软件库。从加密到会话管理，最好尽量使用经过全面的测试的组件。不要重新发明轮子和重复别人的错误。
4）安全配置。web站点的每个组件都应该使用职责相互分离的配置，最小化权限，屏蔽掉不使用的特性，禁用错误信息。
5）寻找和修复漏洞。持续化的漏洞评估是预防攻击者访问公司和客户数据的最佳方式。因为你不能控制那些无法测试到的。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;遵守上面的5点提示是使Web应用走向安全的第一步。第二步则是数据验证。没有哪家公司指望能编写没有任何缺陷的代码，或者具有连续不断定位web应用中所有安全漏洞能力的有效工具。这就是WhiteHat建立WhiteHat Sentinel这个提供持续的漏洞评估和web应用管理服务的原因。
记住基本原则，使用深层防御，你的在线业务将更安全。
针对XSS蠕虫和病毒的最佳防范方法


我们如何吃下这袋中甜点？

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 近十年来，反病毒社区已经建立了依靠快速反应时间来限制蠕虫和病毒所造成的危害的机制。随着新一代恶意软件滋生速度的提高，几百万、甚至上亿美元在病毒突 发事态趋于稳定之前白白损失掉了。这种情况要求我们采取措施在病毒刚发作时对病毒的爆发进行辨别，防止病毒在第一发生地点扩大化。
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;为了缩小新种类病毒和蠕虫的危害，下面列举出了一些防范步骤供web用户、web开发者参考：
web用户
1.在电子邮件或者即时通讯软件中点击链接时需要格外小心：留心可疑的过长链接，尤其是它们看上去包含了HTML代码。如果对其产生怀疑，可以在浏览器地址栏中手工输入域名，而后通过该页面中的链接浏览你所要的信息。
2.对于XSS漏洞，没有哪种web浏览器具有明显的安全优势。也就是Firefox也同样不安全。为了获得更多的安全性，可以安装一些浏览器插件：比如Firefox的NoScript或者Netcraft工具条。
3.然而，世界上没有“100%的有效”。尽量避免访问有问题的站点：比如提供hack信息和工具、破解软件、成人照片的网站。这些类型的网站会利用浏览器漏洞并危害操作系统。
web应用开发者
1.对于开发者，首先应该把精力放到对所有用户提交内容进行可靠的输入验证上。这些提交内容包括URL、查询关键字、http头、post数据等。只接受在你所规定长度范围内、采用适当格式、你所希望的字符。阻塞、过滤或者忽略其它的任何东西。
2.保护所有敏感的功能，以防被bots自动化或者被第三方网站所执行。实现session标记（session tokens）、CAPTCHA系统或者HTTP引用头检查。
3. 如果你的web应用必须支持用户提供的HTML，那么应用的安全性将受到灾难性的下滑。但是你还是可以做一些事来保护web站点：确认你接收的HTML内 容被妥善地格式化，仅包含最小化的、安全的tag（绝对没有JavaScript），去掉任何对远程内容的引用（尤其是样式表和JavaScript）。 为了更多的安全，请使用httpOnly的cookie。
参考资源
什么是跨站脚本（XSS）？
什么是跨站请求伪造（CSRF）？
同源策略的定义
Myth-Busting AJAX (In)security
BlackHat于2006年发表的《Hacking Intranet Websites from the Outside》
WhiteHat的安全白皮书《Cross-Site Scripting Worms and Viruses》
Security Corner: Cross-Site Request Forgeries
CAPTCHA项目官网
httpOnly的cookie
]]></description>
		</item>
		<item>
			<title>黑客编程之绝对调用IE浏览器的弹出窗口</title>
			<link>http://www.kingmx.com/article.php?id=14974</link>
			<pubDate>2007-1-18</pubDate>
			<description><![CDATA[

以下代码适用于需要绝对调用IE浏览器弹出窗口的情况。比如用户使用非IE浏览器，如TT、世界窗、MYIE等，可以经松调用IE浏览器进行弹窗。 






&lt;script&gt;
var str=location.search
window.showModalDialog("javascript：var al=(screen.width-800)/2;var at=(screen.height-
600)/2;window.open('Open_url.Asp" + str 
+ "','keyrun','top='+at+',left='+al+',toolbar=no,width=520,height=370,location=no,status=n
o,scrollbars=no,menubar=no,resizable=yes');window.close
();","keyrun","scroll:1;status:0;help:0;resizable:1;dialogWidth:0px;dialogHeight:0px");set
Timeout('window.close();',200);
&lt;script&gt;

改变代码中的Open_url.asp为你自己所需要的URL即可，后面的" + str + "是为了传递当前页面的querystring值到弹出窗口页。一般情况下可以不管它。
]]></description>
		</item>
		<item>
			<title>安全基础之让Windows XP自动维护系统</title>
			<link>http://www.kingmx.com/article.php?id=14973</link>
			<pubDate>2007-1-18</pubDate>
			<description><![CDATA[

Windows XP的日常维护是件既耗时又无聊的事情，如果Windows XP能够聪明一点，进行自动维护就好了。下面，就为大家介绍一种通过.inf文件让Windows XP进行自动维护的技巧，自动维护的具体内容可以任意设定，不过需要命令来实现。比如用Xcopy进行文件备份、Defrag进行磁盘碎片整理、Del删除垃圾文件等等。为了讲清楚原理，下面我们以Defrag为例，你可以根据自己的需要进行修改。 

实现步骤 

1. 建立Main.bat文件 

以管理员身份登录Windows XP，在系统盘的根目录下新建一个名为Main.bat的文件(文件名可以随便取，下同)并输入如下内容： 






cd\
C:
cd Windows\system32
defrag C: /f
chkntfs C:

2. 建立Main.inf文件 

新建一个文件名为Main.inf的文件并输入： 






[version]
Signature= "$CHICAGO$"
AdvancedINF= 2.5,"advpack.dll"
[DefaultInstall]
RunPreSetupCommands=Tst.PreSetup
RunPostSetupCommands=Tst.PostSetup
[Tst.PreSetup]
C:\Main.bat
[Tst.PostSetup]
C:\WINDOWS\SYSTEM32\TSSHUTDN.EXE 0 /DELAY:0 /POWERDOWN

在这个文件中，Signature必须设置为”$CHICAGO$”，否则文件将无法起作用。 
3. 建立Begin.bat文件 

在C盘根目录下建立批处理文件Begin.bat，向这个文件中输入： 






C:\WINDOWS\System32\rundll32.exe advpack.dll,LaunchINFSectionEx
C:\Main.inf,DefaultInstall,,32

这个命令的作用是让Windows XP启动一个硬件安装过程，从而执行.inf文件中的指令。Rundll32.exe在Windows中被用来调用DLL文件(动态链接库)中函数提供的功能。比如这里的rundll32.exe就调用了advpack.dll中的LaunchINFSectionEx函数，这个函数的作用就是启动一个.inf安装过程。不过Main.inf的内容已经和硬件安装无关，而是被我们偷梁换柱改成了系统自动维护的命令。 

4. 计划任务 

计划任务的作用是定期执行Begin.bat文件，实现步骤如下： 

(1)打开Windows XP的开始菜单进入“程序→附件→系统工具→计划任务”，双击“添加计划任务”，单击“浏览”，找到C盘根目录下面的Begin.bat文件，然后单击“下一步”按钮； 

(2)设置任务执行周期为“每周”，然后单击“下一步”按钮;； 

(3)设置执行计划任务的密码，也就是计算机的管理员密码，然后单击“下一步”按钮； 

(4)设置执行任务的具体日期和时间。 

在以上例子中，我们让这个计划任务每周日的23:30执行一次文件C:\Begin.bat，进行自动维护。 

实现原理 

.inf文件通常用于硬件安装，其实是一个文本文件。当用户在文件上单击鼠标右键选择“安装”的时候，Windows将会根据这个文件的内容执行一系列操作，上面介绍的自动维护方法就是借助.inf文件的这个特点实现的。 

我们建立的计划任务启动时，它会调用Begin.bat。Begin.bat将使用Main.inf作为配置文件启动一个安装过程，按照Main.inf中的内容执行一系列操作。 

Main.inf启动时会首先执行[Tst.PreSetup]段中的语句，也就是“C:\Main.bat”，Main.bat被调用时，Windows将对C:进行磁盘碎片整理工作。Main.bat的内容越丰富，自动维护的功能就越强大。 

Main.bat中的命令都执行完毕后，[Trs.PostSetup]中的语句又将被执行，也就是： 






C:\WINDOWS\SYSTEM32\TSSHUTDN.EXE 0 /DELAY:0 /POWERDOWN

这个语句的作用是关闭计算机，其实是“关闭Windows XP+关闭电源”。 

最后要注意的一点，这个方法只能在Windows XP Professionl中实现，Windows XP Home无法使用。
]]></description>
		</item>
		<item>
			<title>抢先了解最易被黑客利用的注册表位置</title>
			<link>http://www.kingmx.com/article.php?id=14972</link>
			<pubDate>2007-1-18</pubDate>
			<description><![CDATA[

现在人们总会遇到这样地情况，某天打开自己mail中的一个附件，因为那个mail的地址和自己一个同事的地址很像，因此没有多考虑就将附件下载打开了。不想这个附件是个病毒，它让自己的机器变的很慢，杀毒之后也没有太大作用。 

其实，病毒、木马、和一些恶意软件，往往都会对Widnows的注册表下毒手，虽然破坏形式不尽相同，但是经过分析它们的破坏手法并非无规律可循。这里列出了一些用户系统中被易被修改的系统设置和注册表项。建议再换用其他木马专杀工具试一下，并再针对以下注册表键值进行检查，看看是否有被改动过的迹象。 

系统设置文件 

对于Widnows 9X系统，常见的是病毒修改可能会更改autoexec.bat，只要在其中加入执行病毒程序文件的语句即可在系统启动时自动激活病毒。*更改drive:\windows\win.ini或者system.ini文件。病毒通常会在win.ini的“run=”后面加入病毒自身的文件名，或者在system.ini文件中将“shell=”更改。 

注册表键值 

目前，只要新出的蠕虫/特洛伊类病毒一般都有修改系统注册表的动作。它们修改的位置一般有以下几个地方： 

在系统启动时自动执行的程序 






HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\

在系统启动时自动执行的系统服务程序 






HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\

在系统启动时自动执行的程序，这是病毒最有可能修改/添加的地方 






HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ 
HKEY_CLASSES_ROOT\exefile\shell\open\command

说明：此键值能使病毒在用户运行任何EXE程序时被运行，以此类推，..\txtfile\.. 或者 ..\comfile\.. 也可被更改，以便实现病毒自动运行的功能。 

另外，有些健值还可能被利用来实现比较特别的功能： 

有些病毒会通过修改下面的键值来阻止用户查看和修改注册表： 






HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools =

为了阻止用户利用.REG文件修改注册表键值，以下键值也会被修改来显示一个内存访问错误窗口。 

例如：Win32.Swen.B 病毒 会将缺省健值修改为： 






HKCR\regfile\shell\open\command\(Default) = "cxsgrhcl.exe showerror"

通过对以上地方的修改，病毒程序主要达到的目的是在系统启动或者程序运行过程中能够自动被执行，已达到自动激活的目的。
]]></description>
		</item>
		<item>
			<title>黑客基础知识系列之认清木马的原理</title>
			<link>http://www.kingmx.com/article.php?id=14895</link>
			<pubDate>2007-1-6</pubDate>
			<description><![CDATA[
一、基础知识 
在介绍木马的原理之前有一些木马构成的基础知识我们要事先加以说明，因为下面有很多地方会提到这些内容。 
一个完整的木马系统由硬件部分、软件部分和具体连接部分组成。 
1.硬件部分 
建立木马连接所必须的硬件实体。 
控制端：对服务端进行远程控制的一方。 
服务端：被控制端远程控制的一方。 
INTERNET：控制端对服务端进行远程控制，数据传输的网络载体。 
2.软件部分 
实现远程控制所必须的软件程序。 
控制端程序：控制端用以远程控制服务端的程序。 
木马程序：潜入服务端内部，获取其操作权限的程序。 
木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。 
3.具体连接部分 
通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。 
控制端IP，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。 
控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马程序。 
二、特洛伊木马的攻击步骤 
用木马这种黑客工具进行网络入侵，从过程上看大致可分为六步，下面我们就按这六步来详细阐述木马的攻击原理。 
1. 配置木马 
一般来说一个设计成熟的木马都有木马配置程序，从具体的配置内容看，主要是为了实现以下两方面功能： 
（1）木马伪装：木马配置程序为了在服务端尽可能好的隐藏木马，会采用多种伪装手段，如修改图标、捆绑文件、定制端口、自我销毁等等。 
（2）信息反馈：木马配置程序将就信息反馈的方式或地址进行设置，如设置信息反馈的邮件地址、IRC号、ICQ号等。 
2. 传播木马 
（1）传播方式 
木马的传播方式主要有两种：一种是通过E-MAIL，控制端将木马程序以附件的形式夹在邮件中发送出去，收信人只要打开附件系统就会感染木马；另一种是软件下载，一些非正规的网站以提供软件下载为名义，将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。 
（2）伪装方式 
鉴于木马的危害性，很多人对木马知识还是有一定了解的，这对木马的传播起了一定的抑制作用，这是木马设计者所不愿见到的。因此他们开发了多种功能来伪装木马，以达到降低用户警觉，欺骗用户的目的。一般来说有以下几种： 
◆修改图标 
也许你会在E-MAIL的附件中看到一个很平常的文本图标，但是我不得不告诉你，这也有可能是个木马程序，现在已经有木马可以将木马服务端程序的图标改成HTML、TXT、ZIP等各种文件的图标，这有相当大的迷惑性，但是目前提供这种功能的木马还不多见，并且这种伪装也不是无懈可击的，所以不必整天提心吊胆、疑神疑鬼的。 
◆捆绑文件 
这种伪装手段是将木马捆绑到一个安装程序上，当安装程序运行时，木马在用户毫无察觉的情况下，偷偷的进入了系统。至于被捆绑的文件一般是可执行文件，即EXE、COM一类的文件。 
◆出错显示 
有一定木马知识的人都知道，如果打开一个文件，没有任何反应，这很可能就是个木马程序，木马的设计者也意识到了这个缺陷，所以已经有木马提供了一个叫做出错显示的功能。当服务端用户打开木马程序时，会弹出一个错误提示框——这当然是假的，错误内容可自由定义，大多会定制成一些诸如“文件已破坏，无法打开的！”之类的信息，当服务端用户信以为真时，木马却悄悄侵入了系统。 
◆定制端口 
很多老式的木马端口都是固定的，这给判断是否感染了木马带来了方便，只要查一下特定的端口就知道感染了什么木马，所以现在很多新式的木马都加入了定制端口的功能，控制端用户可以在1024——65535之间任选一个端口作为木马端口。一般不选1024以下的端口，这样就给判断所感染木马类型带来了麻烦。 
◆自我销毁 
这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马会将自己拷贝到WINDOWS的系统文件的C:\WINDOWS或C:\WINDOWS\SYSTEM目录下，一般来说原木马文件和系统文件夹中的木马文件的大小是一样的，捆绑文件的木马除外。那么中了木马的朋友只要在近来收到的信件和下载的软件中找到原木马文件，然后根据原木马的大小去系统文件夹找相同大小的文件， 判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木马后，原木马文件将自动销毁，这样服务端用户就很难找到木马的来源，在没有查杀木马的工具帮助下，就很难删除木马了。 
◆木马更名 
安装到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章，按图索骥在系统文件夹查找特定的文件，就可以断定中了什么木马。所以现在有很多木马都允许控 制端用户自由定制安装后的木马文件名，这样很难判断所感染的木马类型了。 
3．运行木马 
服务端用户运行木马或捆绑木马的程序后，木马就会自动进行安装。首先将自身拷贝到WINDOWS的系统文件夹中C:\WINDOWS或C:\WINDOWS\SYSTEM目录下。然后在注册表、启动组、非启动组中设置好木马的触发条件，这样木马的安装就完成了。安装后就可以启动木马了。 
由触发条件激活木马 
触发条件是指启动木马的条件，大致出现在下面八个地方： 
◆注册表 
打开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\下的五个以Run和RunServices主键，在其中寻找可能是启动木马的键值。 
◆WIN.INI 
C:\WINDOWS目录下有一个配置文件win.ini，用文本方式打开，在windows字段中有启动命令load=和run=，在一般情况下是空白的，如果有启动程序，可能是木马。 
◆SYSTEM.INI 
C:\WINDOWS目录下有个配置文件system.ini，用文本方式打开，在386Enh、mic、drivers32中有命令行，在其中寻找木马的启动命令。 
◆Autoexec.bat和Config.sys 
在C盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都需要控制端用户与服务端建立连接后，将已添加木马启动命令的同名文件上传到服务端覆盖这两个文件才行。 
◆*.INI 
即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。 
◆注册表 
打开HKEY_CLASSES_ROOT\文件类型\shell\open\command主键，查看其键值。举个例子，国产木马“冰河”就是修改HKEY_CLASSES_ROOT\txtfile\shell\open\command下的键值，将“C:\WINDOWS \NOTEPAD.EXE ％1”改为“C:\WINDOWS\SYSTEM\SYSEXPLR.EXE ％1”，这时你双击一个TXT文件后，原本应用NOTEPAD打开文件的，现在却变成启动木马程序了。还要说明的是不光是TXT文件，通过修改HTML、EXE、ZIP等文件的启动命令的键值都可以启动木马，不同之处只在于“文件类型”这个主键的差别，TXT是txtfile，ZIP是WINZIP，大家可以试着去找一下。 
◆捆绑文件 
实现这种触发条件首先要控制端和服务端通过木马建立连接，然后控制端用户用工具软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。 
◆启动菜单 
在“开始—程序—启动”选项下也可能有木马的触发条件。
]]></description>
		</item>
		<item>
			<title>解决免费空间不能FTP上传木马的问题</title>
			<link>http://www.kingmx.com/article.php?id=14894</link>
			<pubDate>2007-1-6</pubDate>
			<description><![CDATA[
拿到Webshell，如果要挂马，则需有支持Ftp上传的空间。对于我等穷鬼来说，只能用免费空间了。而用过免费空间的人肯定知道，Ftp 是不能上传木马的，除非是免杀的。空间传不了木马，那就做不了网马。况且如果上传了木马，而网马也必须免杀，一系列条件，都很难满足。哎，别人的免费空间就是不爽啊！ 
如果我们在自己电脑上架设服务器（装个IIS）呢？对，这样你就不必担心免杀的问题了。在网站上把马挂好，比如用IE打开hxxp://218.22.111.2/hker.htm，IE就会自动下载木马，如果肉鸡没打补丁的话，你又多了一台肉鸡了。相信大家肯定能发现其中的问题。 
1、你的服务器必须是外网； 
2、我们用的肯定都是动态IP，下次上线后，IP改变了，那么你挂的马也没用了。 
如何当我们每次上线，IP会自动更新到你挂马的网马中呢？灵感来自灰鸽子利用花生壳域名转向客户端上线原理。我们在电脑上装上花生壳客户端，这样每次IP变更，都对应着一个你申请的域名。挂马时，生成网马，马的地址改写为域名。这样，不论IP如何变更，域名都对应着你的电脑。网马都有用。这样就可以解决一些挂马遇到的不利条件。可以简单的理解为，你的电脑开了个固定域名，好比是自己做的空间。 
虽然这个网马只在你在线的情况下有效，但避免了免杀。我觉得还是不错的。
]]></description>
		</item>
		<item>
			<title>重装系统十大措施　帮你防止病毒侵扰</title>
			<link>http://www.kingmx.com/article.php?id=14892</link>
			<pubDate>2007-1-6</pubDate>
			<description><![CDATA[
在操作系统进行重新安装后，由于安全设置以及补丁未及时安装等问题，最容易导致病毒的大肆入侵，因此一些必备的补充措施是非常关键的。 
一、不要急着接入网络 
在安装完成Windows后，不要立即把服务器接入网络，因为这时的服务器还没有打上各种补丁，存在各种漏洞，非常容易感染病毒和被入侵。此时要加上冲击波和震撼波补丁后并重新启动再联入互联网。 
二、给系统打补丁/安装杀毒软件 
不用多说，冲击波和震荡波病毒的补丁是一定要打上的，如果你安装了Windows XP SP2则不用再另行安装。 
安装完系统后，一定要安装反病毒软件，同时将其更新到最新版本。 
三、关闭系统还原 
系统还原是Windows ME和Windows XP、Windows 2003中具有的功能，它允许我们将系统恢复到某一时间状态，从而可以避免我们重新安装操作系统。不过，有的人在执行系统还原后，发现除C盘外，其它的D盘、E盘都恢复到先前的状态了，结果里面保存的文件都没有了，造成了严重的损失! 
这是由于系统还原默认是针对硬盘上所有分区而言的，这样一旦进行了系统还原操作，那么所有分区的数据都会恢复。因此，我们必须按下Win+Break键，然后单击“系统还原”标签，取消“在所有驱动器上关闭系统还原”选项，然后选中D盘，单击“设置”按钮，在打开的窗口中选中“关闭这个驱动器上的系统还原”选项。 
依次将其他的盘上的系统还原关闭即可。这样，一旦系统不稳定，可以利用系统还原工具还原C盘上的系统，但同时其他盘上的文件都不会有事。 
四、给Administrator打上密码 
可能有的人使用的是网上下载的万能Ghost版来安装的系统，也可能是使用的是Windows XP无人值守安装光盘安装的系统，利用这些方法安装时极有可能没有让你指定Administrator密码，或者Administrator的密码是默认的123456或干脆为空。这样的密码是相当危险的，因此，在安装完系统后，请右击“我的电脑”，选择“管理”，再选择左侧的“计算机管理（本地）→系统工具→本地用户和组→用户”，选中右侧窗口中的Administrator，右击，选择“设置密码”。 
在打开窗口中单击“继续”按钮，即可在打开窗口中为Administrator设置密码。 
另外，选择“新用户”，设置好用户名和密码，再双击新建用户，单击“隶属于”标签，将其中所有组（如果有）都选中，单击下方的“删除”按钮。再单击“添加”按钮，然后再在打开窗口中单击“高级”按钮，接着单击“立即查找”按钮，找到PowerUser或User组，单击“确定”两次，将此用户添加PowerUser或User组。注销当前用户，再以新用户登录可以发现系统快很多。 
五、关闭默认共享 
Windows安装后，会创建一些隐藏共享，主要用于管理员远程登录时管理系统时使用，但对于个人用户来说，这个很少用到，也不是很安全。所以，我们有必要要切断这个共享：先在d:\下新建一个disshare.bat文件，在其中写上如下语句： 





@echo off
net share C$/del
net share d$/del
netshare ipc$/del
net share admin$ /del

接下来将d:\disshare.bat拷贝到C:\Windows\System32\GroupPolicy\UserScripts
\Logon文件夹下。然后按下Win+R，输入gpedit.msc，在打开窗口中依次展开“用户配置→Windows设置→脚本（登录/注销）”文件夹，在右侧窗格中双击“登录”项，在弹出的窗口中，单击“添加”命令，选中C:\Windows\System32\GroupPolicy\User
Scripts\Logon文件夹下的disshare.bat文件。 
完成上述设置后，重新启动系统，就能自动切断Windows XP的默认共享通道了，如果你有更多硬盘，请在net share d$/del下自行添加，如netshare e$/del、net share f$/del等。 
六、启用DMA传输模式 
启用DMA模式之后，计算机周边设备（主要指硬盘）即可直接与内存交换数据，这样能加快硬盘读写速度，提高数据传输速率：打开“设备管理器”，其中“IDE ATA/ATAPI控制器”下有“主要IDE通道”和“次要IDE通道”，双击之，单击“高级设置”，该对话框会列出目前IDE接口所连接设备的传输模式，单击列表按钮将“传输模式”设置为“DMA（若可用）”。重新启动计算机即可生效。 
七、启用高级电源管理 
有时候安装Windows XP之前会发现没有打开BIOS电源中的高级电源控制，安装Windows XP后，关闭Windows时，电源不会自动断开。这时，很多人选择了重新打开BIOS中的高级电源控制，并重新安装Windows XP。事实上，用不着这么麻烦，只要大家确认已经在BIOS中打开高级电源控制选项，同时选择ACPI Pc，一定不要选错，否则重启后可能无法进入Windows，并重新启动电脑，电脑可能会重新搜索并自动重新安装电脑的硬件，之后就可以使其支持高级电源控制了。 
八、取消压缩文件夹支持 
单击开始→运行，输入“regsvr32 /u zipfldr.dll”回车，出现提示窗口“zipfldr.dll中的Dll UnrgisterServer成功”即可取消Windows XP的压缩文件夹支持。另外，输入regsvr32 shdocvw.dll可以取消“图片和传真”与图片文件的关联。 
九、取消“磁盘空间不足”通知 
当磁盘驱动器的容量少于200MB时Windows XP便会发出“磁盘空间不足”的通知，非常烦人。可以打开“注册表编辑器”，定位到HKEY_CURRENT_USER\Software
\Microsoft\Windows\CurrentVersion\Policies\Explorer，在“Explorer”上单击右键，选择右键菜单上的“新建”→“DWORD值”，将这个值命名为“NoLowDiskSpaceChecks”，双击该值将其中的“数值数据”设为“1”。 
十、启用验证码 
安装SP2后，大多数用户发现在访问某些需要填写验证码的地方，都无法显示验证码图片（显示为一个红色小叉），这是一个非常严重的Bug。解决办法为：运行“Regedit”命令打开注册表编辑器，依次定位到“[HKEY_LOCAL_MACHINE\SOFTWARE\
Microsoft\Internet Explorer\Security]”，在窗口右边新建一个名为“BlockXBM”的REG_DWORD值，将其值设置为“0”（十六进制值）。 
]]></description>
		</item>
		<item>
			<title>无敌命令 就没有杀不死的进程！</title>
			<link>http://www.kingmx.com/article.php?id=14853</link>
			<pubDate>2006-12-22</pubDate>
			<description><![CDATA[
怎么才能关掉一个用任务管理器关不了的进程？我前段时间发现我的机子里多了一个进程，只要开机就在，我用任务管理器却怎么关也关不了&nbsp; 
&nbsp; 　　提问:　　 

　　怎么才能关掉一个用任务管理器关不了的进程？我前段时间发现我的机子里多了一个进程，只要开机就在，我用任务管理器却怎么关也关不了 　　 

　　方法一:　　 

　　杀进程很容易，随便找个工具都行。比如IceSword。关键是找到这个进程的启动方式，不然下次重启它又出来了。顺便教大家一招狠的。其实用Windows自带的工具就能杀大部分进程：　　 

　　c:&gt;ntsd -c q -p PID 　　 

　　只有System、SMSS.EXE和CSRSS.EXE不能杀。前两个是纯内核态的，最后那个是Win32子系统，运行ntsd本身需要它。　　 

　　ntsd命令是从2000开始的系统自带的调试工具。被调试器附着(attach)的进程会随调试器一起退出，所以可以用来在命令行下终止进程。　　 

　　使用ntsd自动就获得了debug权限，从而能杀掉大部分的进程。ntsd会新开一个调试窗口，本来在纯命令行下无法控制，但如果只是简单的命令，比如退出(q)，用-c参数从命令行传递就行了。NtsdNtsd 按照惯例也向软件开发人员提供。只有系统开发人员使用此命令。有关详细信息，请参阅 NTSD 中所附的帮助文件。用法:开个cmd.exe窗口，输入：　　 

　　ntsd -c q -p PID 　　 

　　把最后那个PID，改成你要终止的进程的ID。如果你不知道进程的ID，任务管理器－&gt;进程选项卡－&gt;查看－&gt;选择列－&gt;勾上"PID（进程标识符）"，然后就能看见了。　　


　　方法二：

　　xp下还有两个好东东tasklist和tskill。tasklist能列出所有的进程，和相应的信息。tskill能查杀进程，语法很简单：tskill 程序名！！
]]></description>
		</item>
		<item>
			<title>Norton 360 Beta for Windows Vista</title>
			<link>http://www.kingmx.com/article.php?id=14849</link>
			<pubDate>2006-12-22</pubDate>
			<description><![CDATA[

Norton 360 for Vista的测试已经开始,刚刚打开邮箱时发现的.原来的版本在XP下有好多bug,用起来也特别不方便.不知道这个for Vista的版本有没有改进.

下面是邮件原文:

Norton 360 Beta for Windows VistaTM now available

To Our Valued Public Beta Testers:

Thank you again for being a Public Beta Tester for Norton 360, Symantec’s all-in-one PC security, transaction security, backup and restore, and PC tune-up service.

We encourage you to install the latest beta build posted at the following location:

http://www.norton.com/norton360beta/betacenter/

Since the last build, the following items have been addressed or new capabilities provided:

This new Norton 360 beta release supports users running the shipping version of Microsoft Windows Vista operating system (Vista 6000) only.&nbsp;

We appreciate your continued valuable feedback, as it enables us to put out the very best product. Please use the online feedback tool at http://symantecbeta.atgnow.com/ to provide your comments. 
]]></description>
		</item>
		<item>
			<title>安全防范之避免网络IP地址被非法修改</title>
			<link>http://www.kingmx.com/article.php?id=14747</link>
			<pubDate>2006-12-15</pubDate>
			<description><![CDATA[

注册表设置法

首先，需要将桌面上的“网上邻居”图标隐藏起来，让其他人无法通过“网上邻居”属性窗口，进入到TCP/IP参数设置界面。依次展开注册表编辑窗口中的“HKEY_CURRENT_USER”、“Software”、“Microsoft”、“ Windows”、“CurrentVersion”、“Policies”、“Explorer”子键，然后在“Explorer”子键下面，创建一名为“NoNetHood”双字节值，并将它设置为“1”，就可以了。

其次，再将控制面板窗口中的“网络”图标，隐藏起来，那么其他人根本就打不开TCP/IP参数设置界面了。只要你打开“Windows/Sys_tem(去掉"_")/netcpl.cpl”文件，然后在[don"t load]处，输入一行形如“netcpl.cpl=no”的代码，重新保存后，“网络”图标就从控制面板窗口中消失了。 

到了这里，所有可以修改IP的途径都被“切断”了，这样其他人即使想修改IP地址，也无处下手了。当然，这种方法只能蒙蒙菜鸟网民，对于“大虾”级的网民来说，几乎就是聋子的耳朵——摆设。因为网民一旦找到“netcpl.cpl”文件，还是有办法恢复“网络”或“网上邻居”图标的，为此，你还需要进行下面的工作，才能真正意义上“切断”IP的修改通道：

依次展开注册表中的“HKEY_CURRENT_USER”、“Software”、“Microsoft”、“Windows”、“CurrentVersion”、“Policies”、“Network”子键，然后在“Network”子键下面，创建一个名为“NoNetSetup”的双字节值，并将它设置为“1”;之后，你再想打开“网上邻居”或“网络”属性窗口时，将会得到无权访问的提示。

局域网中各工作站的TCP/IP参数被随意修改后，很容易造成IP地址的冲突，这会给管理工作带来不小的麻烦。那么，有没有办法保护好自己的网络，不让别人非法修改IP地址呢?

其实，很简单，你只要参照下面的步骤，就能轻松避免IP地址被非法修改的麻烦!

地址绑定法

除了通过切断修改IP的“通道”，来禁止其他人非法修改IP地址外，你也可以直接对指定IP地址，进行限制，让其他人即使修改了地址，也无法进行网络连接。在限制IP地址时，可以用地址绑定法来实现：

首先将系统切换到DOS命令行状态下，执行“ipconfig /all”命令，在弹出的窗口中，将网卡的MAC地址、IP地址记录下来;

下面在代理服务器端，将指定IP地址与对应的MAC地址，绑定在一起，以后即使有人在你的计算机中，修改了IP地址，他也无法通过代理服务器，进行网络连接。例如，在绑定前面的IP地址时，可以在DOS命令行中，执行“arp -s 10.168.160.10 00-30-6E-36-5A-EF”命令，就能将静态IP地址“10.168.160.10”和网卡的MAC地址“00-30-6E-36-5A-EF”绑定在一起了。

在局域网中，使用代理服务器上网的工作站，都能通过上述方法，来限制修改静态IP地址。要是日后需要为IP地址“松绑”的话，只要执行“arp -d 10.168.160.10 00-30-6E-36-5A-EF”命令就可以了。

要是你的局域网，使用的是三层交换机来连接各个工作站的话，那么你只需要在每一个交换端口处，对IP地址进行一下限定，让其他人即使修改了IP地址，也无法通过交换机上网。
]]></description>
		</item>
		<item>
			<title>黑客系列知识之不要小看了ping命令</title>
			<link>http://www.kingmx.com/article.php?id=14704</link>
			<pubDate>2006-12-12</pubDate>
			<description><![CDATA[

Ping命令，大家都比较熟悉，它常被用来测试局域网的连通状态。“Ping+IP地址”是大家最常用的一种命令格式，但大家是否注意过Ping命令中的IP地址呢?这里面可是有很多学问和讲究的，下面笔者就为大家介绍一下隐藏在Ping命令中的这些秘密。

“.0”可以有条件省略

大家常用“ping 127.0.0.1”命令在本机上做回路测试，用来验证本机的TCP/IP协议簇是否被正确安装。但你发现了吗?使用“ping 127.1”这个命令也能得到同样的测试结果(如图)，其实“ping 127.1”和“ping 127.0.0.1”这两条命令是一样的，都是在进行回路测试。

为什么会这样呢?这就是Ping命令应用中IP地址的使用技巧。大家都知道，IP地址由32位二进制数字组成，为了方便大家记忆，将每8位二进制数字换算成十进制数字，因此就形成了容易记忆的由四部分十进制数字组成的IP地址(如127.0.0.1)。由于，Windows操作系统具有自动填充 “.0”的功能，因此我就可将“127.0.0.1”变为“127.1”。

但是，这个“.0”的省略是有条件限制的，并不能任意省略。在Ping命令的应用中，只能将在IP地址的最后一部分十进制数字前出现的一个或多个“.0”省略，如把“ping 127.0.0.1”命令改写成“ping 127.1”。

如果这一个或多个 “.0”没有紧挨着最后一部分的十进制数字，而是在其他位置，则这个“.0”不能省略，如“ping 202.0.96.1”就不能写成“ping 202.96.1”。这是因为“ping 202.96.1”返回的结果是“202.96.0.1”的应答信息，而不是“202.0.96.1”的应答信息。

数字串代替IP地址

在Ping命令中，还可以使用数字串代替IP地址，你相信吗?运行“ping 3658906394”命令，你会看到“218.22.123.26”这个IP地址的返回信息。

为什么会这样呢?其实，“3658906394”就是IP地址“218.22.123.26”的另一种表示形式。当然，也可按同样的方法Ping其他的IP地址。

字符串是如何转换而来的呢?其实并不复杂，以“218.22.123.26”这个IP地址为例，IP地址转换成数字串方法如下:先将 “218.22.123.26”转换为十六进制“DA.16.7B.1A”，然后去掉小数点后，变为“DA167B1A”，最后将这个十六进制数转换为十进制“3658906394”，那么“218.22.123.26”就变为“3658906394”了。其他IP地址转换为数字串也是使用同样的方法。

提示:在某些局域网环境中，使用“Ping+数字串”命令可能会失败，出现提示信息“Unknown host数字串”，这是因为该数字串被解析成主机名了，而不是IP地址。

因此，掌握了上述技巧后，网管在进行网络测试或维护时，可以熟练运用“省略”方式，减轻Ping命令的字符输入量，提高工作效率。同时，使用数字串代替IP地址也可迷惑好奇心强的普通用户，以免他们胡乱设置。
]]></description>
		</item>
		<item>
			<title>黑客技巧之手把手教你破解网吧</title>
			<link>http://www.kingmx.com/article.php?id=14699</link>
			<pubDate>2006-12-12</pubDate>
			<description><![CDATA[

破解万象秘笈 

一 用Alt+Ctrl+Del组合键（万象） 

开机后，当出现蓝背景时，立即按组合键，弹出“关闭程序”对话框，若里面有“client”后则立即关闭，当发现“未知”程序时也要关闭，因为万象会启动两次。万象被结束了，当然就没有那个讨厌的输入会员卡号的对话框了，那就免费啦！ 

不过聪明的老板会从主机上看到你的机子处于待机状态，而你却在玩，那可就不好啦！ 还是小心为上啊！！ 

二 利用输入法漏洞（万象） 

1 用微软输入法 

首先在会员卡框中点左键，使光标停在框内，用Shift+Ctrl切换到微软输入法，随便打个字母，就会看到输入法状态栏，用鼠标拖住在屏幕上拖动就可解除鼠标锁定，然后在输入法框上点右键，会出现“帮助”；“选软键盘”；“定义词典”；“光标跟随”等，我们选“定义词典”，窗口显示“用户自造词工具”, 在标题栏选择“文件”——“保存为文本文件”，这时会弹出“保存”对话框，随便选个文件点右键，呵呵看见什么啊！————是“资源管理器”，“资源管理器”都出来了,剩下的我就不多说了! 

2 用陈桥五笔输入法 

和微软输入法差不多，不过这个更简单一点，切换到陈桥五笔输入法，随便输入一个字，出现输入法框，用鼠标拖住移动，便可破解鼠标锁定，在输入法框上点右键选“陈桥主页”便可打开网页！ 

3 用智能ABC输入法（万象；美萍） 

切换到智能ABC输入法，在会员卡框中输入 "v"按一下键盘上那四个方向键中的向上键，接着按"delete"键，最后按几下回车就好了 ！ 

三 利用本机自启动漏洞（万象） 

这是最简单的方法，但要看你的运气哦，在网吧上网你可能时常会看到有的电脑启动后，会在“输入会员卡”框上面自动启动一个QQ或其他程序，呵呵，此时千万不要关闭QQ，也不要直接上QQ，因为此时你的鼠标还未解锁（如果你不幸上去了，运气不好的话，你的鼠标够不着QQ了，那你就到一边哭去吧！）此时，先用鼠标拖住QQ在屏幕上移动，便可破解鼠标锁定了，然后上QQ呵呵，怎么样啊上去了吧！然后在QQ上点第二个像“手提包”图样，随便点里面的一个内容，就可打开腾讯网站了，剩下的我就不多说了！ 

四 利用Dos命令（万象；美萍） 

这是其中最危险的办法，建议不到万不得已不要使用，开机后，不断按F8键进入Dos开机菜单，选择第五个“Command prompt only" 回车后，进入Dos界面输入命令：C:del c:\smenu\smenu.jst 回车即可删除美萍退出系统的密码,然后输入 C:win 即可进入windous界面，然后点“开始”按钮，退出系统即可! 或者直接删除美萍的文件夹 C:deltree smenu 回车即可. 若是万象则可输入 C:deltree client 回车即可.这样就删除了美萍或万象的文件夹，使用时就像用自己家里机子一样，没有限制了。 

破解美萍秘笈 

网吧管理软件中最常用的是美萍电脑安全卫士（以下简称“美萍”），其工作原理是用虚拟的桌面及开始菜单取代原Windows的桌面及开始菜单，通过设置禁止各种windows系统的基本操作，迫使用户只能软件的限制下使用电脑。在“美萍”的限制下，能用的工具只有IE及QQ了，而且还禁止下载，广大网虫那里还有乐趣？那里还有自由？老板银子照收，我等网虫的自由却被限制，这公平吗？下面小生将献上几招，破解美萍限制，自由上网、自由使用电脑！ 

1.使用密码破解软件 

这个方法比较简单，有两种常用软件--美萍安全卫士密码探测器和美萍安全卫士密码破解器,用搜索引擎可以查到。现在可以在美萍安全卫士8.1以下的版本中使用。运行之后，可以得到美萍的系统密码，从而退出美萍。这种方法主要难在找到相应的工具，新浪网的搜索引擎不错，以“美萍”“密码破解”、“”等关键字查找，仔细找一下就能找到，第一次可能困难点，以后就轻车熟路了。有时不能下载或下载困难，直接打开运行就可以。这些文件一般是压缩文件，在这之前还要安装解压软件，也可以用搜索查到，如winzip, winrar等。 

2.运行msconfig 

这个方法主要难在运行上。因为美萍不让运行程序，我们可以采用下面的办法：随便打开一个网址,例如新浪的主页，页面的最下端有一个"联系方式"超级链接。点一下，会出来一些他们的Email地址，点这些地址，会跳出邮件编辑器OUTLOOK或是FOXMAIL。有什么用呢?选取加入附件,浏览选定 msconfig（在windows的system目录下）,然后点一下它,就可以运行。 

我们运行其他windows的程序，也可以通过这种方式。运行msconfig后，把“启动”一栏的东西可以全部去掉，重启机器，就可以不运行美萍了。 

3.利用安全模式 

如果msconfig不能运行。重新启动计算机在"STARTINGWINDOWS......"后按住F8键会出现启动菜单。进入安全模式，再运行msconfig。 

还可以将美萍删掉或改变它的目录名称(SMENU目录) 

4.利用DOS实模式 

如果连安全模式里都有美萍?重新启动进入DOS实模式，DELTREE C:SMENU或者是FORMAT C:/Q/U。 

5.选择收藏下拉菜单中的“整理收藏夹”命令 

在弹出的对话框右侧选取其中不常用的项目，再把左侧“允许脱机使用”复选框选上，即会出现“属性”按钮，单击此按钮，弹出属性对话框，在属性对话框的URL栏中将网址删除，改为“c:”（没有引号）,单击[确定]保存退出，再单击浏览器左侧刚才修改的项目，即可进入资源管理器的界面。 

6.在IE地址栏随便输入一个不存在的网址 

IE窗口出现“该页没法显示”的提示，选取“查看/源文件”命令，打开记事本，查找“href”，将 

7.单击IE浏览器“文件” 

在下拉菜单中单击“打开”，在打开对话框中输入：c:或d:等盘符,单击[确定]，如果打不开请把“以WEB文件夹方式打开”的复选框选上再试一次，在弹出的对话框单击[是]，有什么新发现？ 

8.打开MP3音乐播放器Winamp 

右击winamp顶端的标题栏，在弹出的菜单中选上迷你浏览器，在迷你浏览器窗口下方单击“三角形符号”，选中有"Ctrl+O"字符的选项，在输入栏处输入：c: 然后回车，是不是进入了c:盘。 

9.打开记事本 

（选取IE浏览器查看菜单下的“源文件”即可打开记事本），打开c:\windowswin.ini文件，在[windows]小节下的“load=”、“run=”修改为 “load=c:”、“run=d:”保存退出，重启电脑后，在任务栏处你看到什么了？ 

10.在IE窗口选取“查看/浏览栏/文件夹”命令 

单击“我的文档”或“我的电脑”这时IE窗口即变为资源管理器窗口，选取“帮助/帮助主题”命令， 弹出“windows 帮助”窗口，“windows 帮助”里有许多启动程序的超链接“单击此处启动”，你慢慢去发现吧. 

11、用记事本打开c:Smenu目录 

（C:smenu为美萍软件安装的默认目录）下的plugIns.cfg文件，输入如下内容： 






AAA=c:\windows\explorer.exe
BBB=c:\windows\control.exe
ccc=C:\windows\winfile.exe

然后保存。（注：上述内容要分三行输入，重启后，右击桌面空白处，在弹出菜单中单击插件，选取“AAA”即可进入C盘，如果有目录打不开，则单击“CCC”进入文件管理器，即可解除限制。） 

12、在c:Smenu目录中的.dat文件为“美萍”的虚拟桌面文件 

一般有：menu.dat、办公软件.dat、我的电脑. dat、系统工具.dat、游戏世界.dat这五个文件，美萍虚拟桌面右上角的工具条便对应于这五个桌面文件，我们可用记事本进行修改，具体方法如下；修改(1)：打开记事本，选取“打开”命令，在打开对话框的文件名栏处输入：C:\smenumenu.dat，回车即可打开“美萍主菜单的桌面文件”，记事本窗口第一行包含了桌面第一个图标的完整路径和文件名：如“C:\WINDOWS\Notepad.exe”，可将Notepad.exe改为 winfile.exe、control.exe、command.com、regedit.exe等，（修改时注意：Notepad.exe为11个字符，修改后字符个数一定要等于11，即不能在.dat文件中插入任何一个字符，我们只能在原有字符的基础上修改。）保存时应注意的问题：若当前桌面是主菜单且打开的是Menu.dat文件，保存之前应单击工具条上的“办公软件”或“我的电脑”等改变当前桌面，否则修改无效。保存后再选主菜单，点击相应的桌面图标即见效。修改(2)：将“c:\windows\notepad.exe"改为“C:\windows\notepad-exe”，选取文件菜单 “保存”命令将文件保存，再选取“打开”命令，将打开目录定位到C:\windows，单击打开对话框中的“新建文件夹图标”，将新建目录重命名为： “notepad-exe”，保存后点击桌面第一个图标，即可进入硬盘。 

（说明：如果没有工具条，则用记事本打开c:\smenu目录下的class.cfg文件，分四行输入如下内容： 






游戏世界=
我的电脑=
办公软件=
系统工具=

然后保存，重启后即出现工具条）。 

13、修改注册表，解除限制 

用记事本创建一个文本文件unmp.txt，内容如下： 






REGEDIT4
[HKEY_LOCAL_MACHINE\Software\Mpsoft\Smenu]
;解除快速启动工具栏、禁止运行、禁用F3键，F8键、禁止改名、删除、禁止用ALT+Tab切换任务、屏闭
键盘等的限制
"mask98tool"="0"
"vxdattrib"="0"
"alttab"="0"
"maskie"="0"
"maskf3"="0"
"maskf8"="0"
"masktray"="0"
"maskkeyborad"="0"
[HKEY_LOCAL_MACHINE\Software\Mpsoft\Smenulimit]
；解除禁止访问目录及文件下载的限制
"browselimit"="0"
"downlimit"="0"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
;解除禁止显示桌面，隐藏的硬盘分区，控制面板等的限制
"NoRun"=dword:00000000
"NoDesktop"=dword:00000000
"NoViewContextMenu"=dword:00000000
"NoDrives"=dword:00000000
"NoSetFolders"=dword:00000000

说明：分号“;”后面的内容为注释可不输入，假设保存目录为“c:”，在IE窗口选取“查看/浏览栏/文件夹”命令，至少可以进入“我的文档”，如果未隐藏驱动器则可以进入硬盘，新建一个快捷方式，在命令行输入：“rededit.exe /s c:\unmp.txt”双击此快捷方式，然后重启电脑；或者用记事本编辑c:\autoexec.bat文件，在此批处理文件中加入一行： “rededit.exe c:\unmp.txt”,即可每次启动电脑自动解除美萍限制 

14、将“美萍”一脚踢出门外 

用记事本创建一个VBS脚本文件unmpsoft.vbs，内容如下: 






Dim WSHShell
Set WSHShell = WScript.CreateObject("WScript.Shell")
WSHShell.RegDelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Run\SMENU"
WSHShell.Popup "NoMpsoft修改成功?quot;

然后选取“文件/另存为”命令，在文件名栏输入：c:\windows\favorites\Nompsoft.vbs，保存后在IE收藏夹目录区单击Nompsoft.vbs文件。然后重启电脑。 

15、打开记事本，输入如下内容 






@echo off
IF not exist c:\smenu\smenu.exe goto end
copy c:\smenu\smenu.exe c:\smenu\smenus.exe &gt;&gt;NULL
del c:\smenu\smenu.exe &gt;&gt;NULL
:end

选取“文件/另存为”命令，在文件名栏输入：c:\windows\winstart.bat，然后重启电脑。（说明：美萍默认安装目录为“c:smenu”,如果不是则作相应的修改，用打开对话框可浏览硬盘任何目录，通过浏览确定美萍安装目录） 

16、在ＩＥ浏览器工具栏创建一个“启动资源管理器”按钮 

用记事本创建一文本文件，内容如下： 






REGEDIT4
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions{C18CB140-0AAA-11D4-
8FE8-0088CC102438}]
"ButtonText"="帮助"
"CLSID"="{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}"
"Default Visible"="Yes"
"Exec"="c:\windows\explorer.exe"
"HotIcon"="C:\WINDOWS\system\shell32.dll,24"
"Icon"="C:\WINDOWS\system\shell32.dll,24"
"MenuStatusBar"="帮助"
"MenuText"="帮助"

17、CTRL+ALT+DEL简单破坏美萍 

大家都知道只要开机出现桌面底色的时候，按下CTRL+ALT+DEL关闭smenu两次后就能关闭它了，可是美萍现在已经修正了这一个漏洞，无奈只能乖乖的交钱上机了，小弟今天就交大家一手吧。 

首先下载一个“冰河”最新版本，因为网吧里大多都有防火墙，冰河的大多数版本成了防火墙通缉的对象，但是老板又不对防火墙升级，所以防火墙对最新版本的冰河就像瞎了眼睛一样。现在开始破美萍，首先双击一下服务端（G-Server)，使自己用的这一台电脑中可爱的马马，接下来打开客户端（G- Client)看见左边有两个用户，单击“LocalHostt”，在下面会提示你连接成功，这时单击“命令控制台”后选“控制类命令”下的“进程管理”，点右面的“查看进程”,看到右面有“C:\SMENU在\SMENU.EXE”吗？OK选定后点“终止进程”。现在最小化所有窗口，你看到了什么，注意不要让BOSS看见，否则……（不用我说了吧）。现在美萍破解成功。 

你不想每次都像这样破解一遍的话那就让我们来扩大一下战果吧，打开"c:\smenu",看到有一个“smenu.jst”文件了吗？把它删了，然后双击“smenu.exe”，现在你的电脑又被美萍锁了（大家不要用石头扔我），单击开始中的“设定系统”，这时会要你输入密码，点确认后看到了你想看的东东了吧。自己研究吧。什么，你用的那一台电脑C盘被隐藏了，你没看见那么高大的冰河木马在你的面前站着吗？单击 “LocalHostt”前面的加号，现在可以看见C盘了吧。
]]></description>
		</item>
		<item>
			<title>你的网络安全吗？需要澄清的五个误解</title>
			<link>http://www.kingmx.com/article.php?id=14698</link>
			<pubDate>2006-12-12</pubDate>
			<description><![CDATA[

目前，黑客攻击已成为一个很严重的网络问题。许多黑客甚至可以突破SSL加密和各种防火墙，攻入Web网站的内部，窃取信息。黑客可以仅凭借浏览器和几个技巧，即套取Web网站的客户信用卡资料和其它保密信息。 


随着防火墙和补丁管理已逐渐走向规范化，各类网络设施应该是比以往更完全。但不幸的是，道高一尺，魔高一丈，黑客们已开始直接在应用层面 

对Web网站下手。市场研究公司Gartner的分析师指出，目前有70%的黑客袭击事件都发生在应用程序方面。要增强Web网站的安全性，首先要澄清五个误解。 


一、“Web网站使用了SSL加密，所以很安全” 


单靠SSL加密无法保障网站的安全。网站启用SSL加密后，表明该网站发送和接收的信息都经过了加密处理，但是SSL无法保障存储在网站里的信息的安全。许多网站采用了128位SSL加密，但还是被黑客攻破。此外，SSL也无法保护网站访问者的隐私信息。这些隐私信息直接存在网站服务器里面，这是SSL所无法保护的。 


二、“Web网站使用了防火墙，所以很安全” 


防火墙有访问过滤机制，但还是无法应对许多恶意行为。许多网上商店、拍卖网站和BBS都安装了防火墙，但依然脆弱。防火墙通过设置“访客名单”，可以把恶意访问排除在外，只允许善意的访问者进来。但是，如何鉴别善意访问和恶意访问是一个问题。访问一旦被允许，后续的安全问题就不是防火墙能应对了。 


三、“漏洞扫描工具没发现任何问题，所以很安全” 


自1990年代初以来，漏洞扫描工具已经被广泛使用，以查找一些明显的网络安全漏洞。但是，这种工具无法对网站应用程序进行检测，无法查找程序中的漏洞。 


漏洞扫描工具生成一些特殊的访问请求，发送给Web网站，在获取网站的响应信息后进行分析。该工具将响应信息与一些漏洞进行对比，一旦发现可疑之处即报出安全漏洞。目前，新版本的漏洞扫描工具一般能发现网站90%以上的常见安全问题，但这种工具对网站应用程序也有很多无能为力的地方。 


四、“网站应用程序的安全问题是程序员造成的” 


程序员确实造成了一些问题，但有些问题程序员无法掌控。 


比如说，应用程序的源代码可能最初从其它地方获得，这是公司内部程序开发人员所不能控制的。或者，公司可能会请一些离岸的开发商作一些定制开发，与原有程序整合，这其中也可能会出现问题。或者，一些程序员会拿来一些免费代码做修改，这也隐藏着安全问题。再举一个极端的例子，可能有两个程序员来共同开发一个程序项目，他们分别开发的代码都没有问题，安全性很好，但整合在一起则可能出现安全漏洞。 


很现实地讲，软件总是有漏洞的，这种事每天都在发生。安全漏洞只是众多漏洞中的一种。加强员工的培训，确实可以在一定程度上改进代码的质量。但需要注意，任何人都会犯错误，漏洞无可避免。有些漏洞可能要经过许多年后才会被发现。 


五、“我们每年会对Web网站进行安全评估，所以很安全” 


一般而言，网站应用程序的代码变动很快。对Web网站进行一年一度的安全评估非常必要，但评估时的情况可能与当前情况有很大不同。网站应用程序只要有任何改动，都会出现安全问题的隐患。 


网站喜欢选在节假日对应用程序进行升级，圣诞节就是很典型的一个旺季。网站往往会增加许多新功能，但却忽略了安全上的考虑。如果网站不增加新功能，这又会对经营业绩产生影响。网站应该在程序开发的各个阶段都安排专业的安全人员。
]]></description>
		</item>
		<item>
			<title>为什么电脑盘符双击打不开?</title>
			<link>http://www.kingmx.com/article.php?id=14601</link>
			<pubDate>2006-11-30</pubDate>
			<description><![CDATA[

问：电脑盘符，双击打不开，需要右键选择打开，请问这是怎么回事?

　　答：可能中毒了，察看进程管理器，看看有没有可疑之处。

　　以下几种方法可以参考一下:

　　1、 如果各分区下带autorun.inf一类的隐藏文件，删除之，重新启动电脑。

　　2、 在文件类型中重新设置打开方式(以XP为例)

　　打开我的电脑 工具文件夹选项文件类型 找到“驱动器”或“文件夹”(具体选哪个根据你所遇问题 若属于双击打不开驱动器则选择“驱动器” 打不开文件夹则选择“文件夹”)

　　点下方的“高级”点选“编辑文件类型”里的“新建”*作里填写“open”(这个可随意填写)用于执行*作的应用程序里填写explorer.exe，确定

　　随后返回到“编辑文件类型”窗口，选中open,设为默认值,确定

　　现在再打开分区或文件夹看下，是不是已恢复正常?

　　3、 注册表法:

　　a 对于分区不能双击打开者

　　开始运行 输入regedit 找到[HKEY_CLASSES_ROOTDriveshell]将shell下的全部删除 然后关闭注册表 按键盘F5刷新 双击分区再看

　　b 对于文件夹不能双击打开者

　　开始运行 输入regedit 找到[HKEY_CLASSES_ROOTDirectoryshell]将shell下的全部删除 然后关闭注册表 按键盘F5刷新 双击分区再看


4 、小程序解决 
　　把下面代码复制到记事本中，保存为open.vbs，双击运行即可，若杀毒软件弹出警告，姑且放行之。

　　'folder_open.vbs - Fixes problem where Search opens on a double click

　　'?Doug Knox - 03/13/2002

　　'Downloaded from www.dougknox.com

　　Set WshShell = WScript.CreateObject("WScript.Shell")

　　p1 = "HKEY_CLASSES_ROOTDirectoryshell"

　　p2 = "none"

　　WshShell.RegWrite p1, p2

　　p1 = "HKEY_CLASSES_ROOTDriveshell"

　　WshShell.RegWrite p1, p2

　　X = WshShell.Run("REGSVR32 /I /S SHELL32.DLL",4,True)

　　Set WshShell = Nothing

　　MyBox = MsgBox("Folders will now Open when double clicked", 4096, "Finished!")


]]></description>
		</item>
		<item>
			<title>网络攻击中四类攻击与防御手法</title>
			<link>http://www.kingmx.com/article.php?id=14598</link>
			<pubDate>2006-11-30</pubDate>
			<description><![CDATA[

1、服务拒绝攻击 

服务拒绝攻击企图通过使你的服务计算机崩溃或把它压跨来阻止你提供服务，服务拒绝攻击是最容易实施的攻击行为，主要包括： 

死亡之ping （ping of death） 

概览：由于在早期的阶段，路由器对包的最大尺寸都有限制，许多操作系统对TCP/IP栈的实现在ICMP包上都是规定64KB，并且在对包的标题头进行读取之后，要根据该标题头里包含的信息来为有效载荷生成缓冲区，当产生畸形的，声称自己的尺寸超过ICMP上限的包也就是加载的尺寸超过64K上限时，就会出现内存分配错误，导致TCP/IP堆栈崩溃，致使接受方当机。 

防御：现在所有的标准TCP/IP实现都已实现对付超大尺寸的包，并且大多数防火墙能够自动过滤这些攻击，包括：从windows98之后的windows,NT(service pack 3之后)，linux、Solaris、和Mac OS都具有抵抗一般ping ofdeath攻击的能力。此外，对防火墙进行配置，阻断ICMP以及任何未知协议，都讲防止此类攻击。 

泪滴（teardrop） 

概览：泪滴攻击利用那些在TCP/IP堆栈实现中信任IP碎片中的包的标题头所包含的信息来实现自己的攻击。IP分段含有指示该分段所包含的是原包的哪一段的信息，某些TCP/IP（包括servicepack 4以前的NT）在收到含有重叠偏移的伪造分段时将崩溃。 

防御：服务器应用最新的服务包，或者在设置防火墙时对分段进行重组，而不是转发它们。 

UDP洪水（UDP flood） 

概览：各种各样的假冒攻击利用简单的TCP/IP服务，如Chargen和Echo来传送毫无用处的占满带宽的数据。通过伪造与某一主机的Chargen服务之间的一次的UDP连接，回复地址指向开着Echo服务的一台主机，这样就生成在两台主机之间的足够多的无用数据流，如果足够多的数据流就会导致带宽的服务攻击。 

防御：关掉不必要的TCP/IP服务，或者对防火墙进行配置阻断来自Internet的请求这些服务的UDP请求。 

SYN洪水（SYN flood） 

概览：一些TCP/IP栈的实现只能等待从有限数量的计算机发来的ACK消息，因为他们只有有限的内存缓冲区用于创建连接，如果这一缓冲区充满了虚假连接的初始信息，该服务器就会对接下来的连接停止响应，直到缓冲区里的连接企图超时。在一些创建连接不受限制的实现里，SYN洪水具有类似的影响。 

防御：在防火墙上过滤来自同一主机的后续连接。 

未来的SYN洪水令人担忧，由于释放洪水的并不寻求响应，所以无法从一个简单高容量的传输中鉴别出来。 

Land攻击 

概览：在Land攻击中，一个特别打造的SYN包它的原地址和目标地址都被设置成某一个服务器地址，此举将导致接受服务器向它自己的地址发送SYN-ACK消息，结果这个地址又发回ACK消息并创建一个空连接，每一个这样的连接都将保留直到超时掉，对Land攻击反应不同，许多UNIX实现将崩溃，NT变的极其缓慢（大约持续五分钟）。 

防御：打最新的补丁，或者在防火墙进行配置，将那些在外部接口上入站的含有内部源地址滤掉。（包括10域、127域、192.168域、172.16到172.31域）。 

Smurf攻击 

概览：一个简单的smurf攻击通过使用将回复地址设置成受害网络的广播地址的ICMP应答请求（ping）数据包来淹没受害主机的方式进行，最终导致该网络的所有主机都对此ICMP应答请求作出答复，导致网络阻塞，比pingof death洪水的流量高出一或两个数量级。更加复杂的Smurf将源地址改为第三方的受害者，最终导致第三方雪崩。 

防御：为了防止黑客利用你的网络攻击他人，关闭外部路由器或防火墙的广播地址特性。为防止被攻击，在防火墙上设置规则，丢弃掉ICMP包。 

Fraggle攻击 

概览：Fraggle攻击对Smurf攻击作了简单的修改，使用的是UDP应答消息而非ICMP。 

防御：在防火墙上过滤掉UDP应答消息。 

电子邮件炸弹 

概览：电子邮件炸弹是最古老的匿名攻击之一，通过设置一台机器不断的大量的向同一地址发送电子邮件，攻击者能够耗尽接受者网络的带宽。 

防御：对邮件地址进行配置，自动删除来自同一主机的过量或重复的消息。

畸形消息攻击 

概览：各类操作系统上的许多服务都存在此类问题，由于这些服务在处理信息之前没有进行适当正确的错误校验，在收到畸形的信息可能会崩溃。 

防御：打最新的服务补丁。 

2、利用型攻击 

利用型攻击是一类试图直接对你的机器进行控制的攻击，最常见的有三种： 

口令猜测 

概览：一旦黑客识别了一台主机而且发现了基于NetBIOS、Telnet或NFS这样的服务的可利用的用户帐号，成功的口令猜测能提供对机器控制。 

防御：要选用难以猜测的口令，比如词和标点符号的组合。确保像NFS、NetBIOS和Telnet这样可利用的服务不暴露在公共范围。如果该服务支持锁定策略，就进行锁定。 

特洛伊木马 

概览：特洛伊木马是一种或是直接由一个黑客，或是通过一个不令人起疑的用户秘密安装到目标系统的程序。一旦安装成功并取得管理员权限，安装此程序的人就可以直接远程控制目标系统。 

最有效的一种叫做后门程序，恶意程序包括：NetBus、BackOrifice和BO2k,用于控制系统的良性程序如：netcat、VNC、pcAnywhere。理想的后门程序透明运行。 

防御：避免下载可疑程序并拒绝执行，运用网络扫描软件定期监视内部主机上的监听TCP服务。 

缓冲区溢出 

概览：由于在很多的服务程序中大意的程序员使用象strcpy(),strcat()类似的不进行有效位检查的函数，最终可能导致恶意用户编写一小段利用程序来进一步打开安全豁口然后将该代码缀在缓冲区有效载荷末尾，这样当发生缓冲区溢出时，返回指针指向恶意代码，这样系统的控制权就会被夺取。 

防御：利用SafeLib、tripwire这样的程序保护系统，或者浏览最新的安全公告不断更新操作系统。 

3、信息收集型攻击 

信息收集型攻击并不对目标本身造成危害，如名所示这类攻击被用来为进一步入侵提供有用的信息。主要包括：扫描技术、体系结构刺探、利用信息服务。 

扫描技术 

地址扫描 

概览：运用ping这样的程序探测目标地址，对此作出响应的表示其存在。 

防御：在防火墙上过滤掉ICMP应答消息。 

端口扫描 

概览：通常使用一些软件，向大范围的主机连接一系列的TCP端口，扫描软件报告它成功的建立了连接的主机所开的端口。 

防御：许多防火墙能检测到是否被扫描，并自动阻断扫描企图。 

反响映射 

概览：黑客向主机发送虚假消息，然后根据返回“hostunreachable”这一消息特征判断出哪些主机是存在的。目前由于正常的扫描活动容易被防火墙侦测到，黑客转而使用不会触发防火墙规则的常见消息类型，这些类型包括：RESET消息、SYN-ACK消息、DNS响应包。 

防御：NAT和非路由代理服务器能够自动抵御此类攻击，也可以在防火墙上过滤“hostunreachable”ICMP应答。 

慢速扫描 

概览：由于一般扫描侦测器的实现是通过监视某个时间桢里一台特定主机发起的连接的数目（例如每秒10次）来决定是否在被扫描，这样黑客可以通过使用扫描速度慢一些的扫描软件进行扫描。 

防御：通过引诱服务来对慢速扫描进行侦测。 

体系结构探测 

概览：黑客使用具有已知响应类型的数据库的自动工具，对来自目标主机的、对坏数据包传送所作出的响应进行检查。由于每种操作系统都有其独特的响应方法（例NT和Solaris的TCP/IP堆栈具体实现有所不同），通过将此独特的响应与数据库中的已知响应进行对比，黑客经常能够确定出目标主机所运行的操作系统。 

防御：去掉或修改各种BANNer，包括操作系统和各种应用服务的，阻断用于识别的端口扰乱对方的攻击计划。 

利用信息服务 

DNS域转换 

概览：DNS协议不对转换或信息性的更新进行身份认证，这使得该协议被人以一些不同的方式加以利用。如果你维护着一台公共的DNS服务器，黑客只需实施一次域转换操作就能得到你所有主机的名称以及内部IP地址。 

防御：在防火墙处过滤掉域转换请求。 

Finger服务 

概览：黑客使用finger命令来刺探一台finger服务器以获取关于该系统的用户的信息。 

防御：关闭finger服务并记录尝试连接该服务的对方IP地址，或者在防火墙上进行过滤。 

LDAP服务 

概览：黑客使用LDAP协议窥探网络内部的系统和它们的用户的信息。 

防御：对于刺探内部网络的LDAP进行阻断并记录，如果在公共机器上提供LDAP服务，那么应把LDAP服务器放入DMZ。 

4、假消息攻击 

用于攻击目标配置不正确的消息，主要包括：DNS高速缓存污染、伪造电子邮件。 

DNS高速缓存污染 

概览：由于DNS服务器与其他名称服务器交换信息的时候并不进行身份验证，这就使得黑客可以将不正确的信息掺进来并把用户引向黑客自己的主机。 

防御：在防火墙上过滤入站的DNS更新，外部DNS服务器不应能更改你的内部服务器对内部机器的认识。 

伪造电子邮件 

概览：由于SMTP并不对邮件的发送者的身份进行鉴定，因此黑客可以对你的内部客户伪造电子邮件，声称是来自某个客户认识并相信的人，并附带上可安装的特洛伊木马程序，或者是一个引向恶意网站的连接。 

防御：使用PGP等安全工具并安装电子邮件证书。 
]]></description>
		</item>
		<item>
			<title>与世界同步！让你的病毒库备份自动升级</title>
			<link>http://www.kingmx.com/article.php?id=14597</link>
			<pubDate>2006-11-30</pubDate>
			<description><![CDATA[

杀毒软件都具备病毒库自动升级功能，但却没提供自动备份病毒库的功能，而病毒库的重要性对杀毒软件来说是不言而喻的。如果能够自动备份病毒库，不仅可免去重装系统后的升级之累。还可在Windows XP系统无法进行正常引导，需要进入在DOS模式下杀毒时，通过提取备份文件在DOS系统下升级病毒库，及时将病毒赶出系统。

　　一、卡巴斯基篇

　　卡巴斯基的病毒库和基本设置，均存放在“C:Documents and SettingsAll UsersApplication DataKaspersky Anti-Virus Personal Pro5.0”文件夹下。由于它的病毒库每天都会进行升级，因此只要设置一个每天执行的脚本，实现增量备份所有新建或更新过的文件(夹)即可。

　　步骤1:首先将上述文件夹中的内容全部复制到“g:5.0”文件夹中，接着使用记事本程序新建一个名为kaba.bat的批处理文件，并保存在g:下，批处理的代码如下:

　　echo off

　　xxcopy "C:Documents and SettingsAll UsersApplication Data Kaspersky Anti-Virus Personal Pro5.0" g:5.0 /s /k /h /bi /yy

　　命令解释:利用xxcopy(一个增强性复制命令，已收入到本期光盘中。将xxcopy.zip文件解压到任意文件夹下，再双击install.bat文件，当询问时，按下y键安装即可)实现增量备份文件。其中各参数含义是:/s表示连同子文件夹处理，/k源文件仍保留其原有属性，/h连同系统、隐藏文件一同拷贝，/bi只拷贝新建或更新过的文件(根据文件时间和长度判断)，/yy覆盖文件时自动回答是，并不出现提问信息。

　　步骤2:打开卡巴斯基的配置窗口，单击“设置”，选择“更新设置”，将卡巴斯基更新设置为每天19:00开始(如图1)。



　　步骤3:打开“控制面板”→“任务计划”，按提示建立一个每天20:00执行的计划任务，执行的命令为“g:kaba.bat”(不含双引号)。

　　经过以上操作后，当卡巴斯基在每天升级完毕后，系统就会自动将更改过的文件备份到g:5.0文件夹中。重装系统时，只要将这个文件夹覆盖到“C:Documents and SettingsAll UsersApplication DataKaspersky Anti-Virus Personal Pro5.0”下即可获得最新的病毒库。

　　通过xxcopy还可备份系统补丁文件，实现每次升级后自动备份新添加补丁文件的功能。

　　二、金山毒霸篇

　　金山毒霸的病毒库相对简单，它位于C:kav2006目录下，包含有“KAV00367.DAT(安装金山毒霸时自带病毒库，不同时间推出的毒霸安装程序，其病毒库名称中的数字也不同，需要加以区别)、KAEDaily.DAT(在线更新下载的病毒库)、KAEPlat.DLL、KAExtend.DAT、KAECore.DAT”这几个文件，只要建立一个脚本duba.bat复制上述文件即可。

　　步骤1:同上，先将病毒库所需全部文件复制到g:kavdos文件夹中。

　　步骤2:启动记事本程序建立一个名为duba.bat的批处理文件，代码如下:

　　copy /y c:kav2006 KAEDaily.DAT g:kavdos

　　命令解释:通过copy命令复制指定的文件到g:kavdos，而其它文件均可按此命令格式自行添加。

　　步骤3:同上，先设置好金山毒霸升级时间，之后新建一个“计划任务”，来执行duba.bat批处理文件，达到自动复制最新病毒库文件目的。


三、江民杀毒篇 

　　江民病毒库文件与其它文件混杂在了一起，不过程序本身却提供了自动提取病毒库功能。

　　步骤1:在Windows XP系统中将病毒库升级到最新版本，然后在G:下新建一个名为“kvdos”的文件夹。

　　步骤2:打开KV2006主界面后，单击“工具”→“制作DOS杀毒伴侣”，在弹出的窗口中的“写入目标”框内填入“g:kvdos”，单击“继续”开始制作DOS杀毒工具(如图2)。



　　步骤3:制作完成后，打开“G:kvdos”文件夹即可看到病毒库文件。其中的KVa.VLb、KVb.VLB、KVc.VLB，直到KVn.VLB等就是病毒库文件，每次更新病毒库即是更新这些文件。

　　其实上述工具所提取的病毒库文件，都是通过“C:Program FilesKV2006dataKVDos.ini”(江民配置文件)文件指定的。

　　步骤4:找到病毒库文件后，同上操作，建立一个名为jianming.bat的批处理文件，代码如下:

　　echo off

　　"C:Program FilesKV2006kvolself.exe"

　　copy /y "C:Program Files KV2006KV?.vlb" g:kvdos

　　命令解释:启动“kvolself.exe”自动升级，然后通过通配符“?”复制指定的病毒库文件到g:kvdos文件夹。其中kvolself.exe是KV自动升级程序，运行升级时要在升级窗口勾选“完成后自动关闭”，达到无人干预自动升级的效果。

　　步骤5:建立一个每天9:00执行的“计划任务”，执行程序是jianming.bat。这样每天升级以后，批处理会自动将更新的病毒库文件复制到g:kvdos文件夹中。

　　瑞星2006也有类似功能，不过需要准备U盘，运行瑞星安装程序下的Ravusb.exe后，启动杀毒U盘制作工具，然后按向导操作，将全部病毒库文件复制到U盘(如图3)。接着打开U盘判断出病毒库文件类型(可以多制作几次，然后比较)，最后通过copy命令复制病毒库文件即可。




四、通用程序篇 

　　大家常用的杀毒软件还有很多，并非每种杀毒软件都有上述独立解决方法。不过很多时候，杀毒软件升级的也并非仅是病毒库(杀毒引擎也会升级)，而计划任务执行也有局限性。如果计划时段内没有开机就无法实现自动备份操作。这时可利用系统自带的备份组件打造一个通用的备份方法。以备份瑞星2006的病毒库为例，其它杀毒软件均可参照于此来操作。

　　步骤1:单击“开始”→“所有程序”→“附件”→“系统工具”→

　　“备份”，打开备份还原向导窗口，依次选择备份，备份项目选择“让我选择要备份的内容”，并定位到“C:Program FilesRisingRav”，选择整个瑞星2006的安装文件夹。

　　步骤2:继续执行备份向导操作，将备份文件保存为“g:rav.bak”，接着单击“高级”按钮，将备份类型设置为“增量备份”，即如果所选文件是上次备份后创建或修改的，才对其进行备份(如图4)。



　　步骤3:继续执行备份向导操作，备份选项中勾选“使用卷阴影复制”，接着选择“将这个备份附加到现有备份”。在什么时候执行备份窗口中，选择“以后，计划项”，单击“设定备份计划”按提示建立一个名为“备份瑞星”的计划任务。

　　步骤4:在“运行”栏中输入“tasks”命令，打开“任务计划”窗口，找到上述建立的“备份瑞星”计划，右击选择“属性”，在打开窗口中将“运行”框中的命令进行“复制”(如图5)。打开记事本，将上述复制的命令粘贴到记事本中，并将文件保存为批处理文件g:rav.bat。



　　步骤5:现在回到“计划任务”窗口，右击“备份瑞星”，选择“运行”，执行一下这个备份任务，备份完成后将该计划删除。在“运行”栏中输入“gpedit.msc”，打开组策略编辑器，依次展开“计算机配置”→“Windows设置”→“脚本(启动/关机)”，将rav.bat设置到关机脚本中。

　　这样每天关机后，系统都会复制更改过的文件，由于是增量备份，速度很快并不影响关机速度，而且可以彻底实现完整、自动备份操作(备份中包含了杀毒软件的所有参数)。

　　步骤6:在需要恢复病毒库备份时操作同上，运行“备份还原向导”后(建议在安全模式下实施)，执行还原操作即可快速恢复杀毒软件到上一次关机前的状态，注意还原参数应选择“如果现有文件比备份旧，将其替换”(如图6)。






]]></description>
		</item>
		<item>
			<title>阻止攻击者对Windows注册表的远程访问</title>
			<link>http://www.kingmx.com/article.php?id=14563</link>
			<pubDate>2006-11-29</pubDate>
			<description><![CDATA[
按照本文中所提及的方式保护Windows注册表，能够防止攻击者远程攻击它。 
　　问题

　　注册表是Windows操作系统的核心。但是在缺省情况下，所有基于Windows的计算机的注册表在网络上都是可以被访问到。了解这一点的黑客完全可以利用这个安全漏洞来对你的公司的计算机系统进行攻击，并修改文件关系，并允许插入恶意代码。为了保护你的网络，你需要禁止对注册表的远程访问。

　　解决方案

　　你轻而易举地可以通过修改网络访问清单来达到这一目标。根据你网络的复杂程度，你可能需要考虑禁止对注册表的远程访问。

　　注意

　　编辑注册表可能会有风险，所以必须要在开始之前确保你已经对注册表进行了备份。

　　修改注册表

　　对于使用Windows 2000、Windows XP、和Windows Server 2003系统的计算机，采取如下步骤:

　　1、点击“开始”菜单，选择“运行”。

　　2、输入“Regedt32.exe”，然后点击“OK”。

　　3、选择“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurePipeServers”。

　　4、如果winreg键已经存在，跳到步骤8。如果该键不存在，点击“编辑”菜单，选择“添加”。

　　5、把该键命名为“winreg”，类别设定为REG_SZ。

　　6、选择这个新创建的键，然后点击“编辑”菜单，选择“增加值“。

　　7、进行如下输入:

　　名称: Description

　　类型: REG_SZ

　　值　: Registry Server

　　8、选择winreg键，进入安全 | 许可 。

　　9、确保本地系统管理员组(System Administrators Group)拥有全部的访问权，把只读权限开放给系统帐户(System account)和所有人组(Everyone group)。

　　10、关闭注册表编辑器，重新启动计算机。

　　如果你为工作站或者服务器支持设定了特殊的组，而这些组的成员又不是管理员，你就应该也为他们设定合适的权限。

　　而且，如果你面对的机器是一台服务器或者是一台为特殊用户提供远程服务的计算机，你就必须允许有权使用服务的帐户对相关内容有只读的权限。

　　调整网络

　　注册表修改能够保护你内部网络需要经过授权才能访问，但是你还需要保护注册表不受外部的来自互联网的访问。利用注册表的安全漏洞对Windows系统进行攻击仍然非常普遍，所以你需要保证你的安全策略已经很好地解决了这些安全漏洞。

　　在前端的路由器或者防火墙上禁用TCP/UDP端口135、137、138、139和455是一个不错的解决方法。禁用这些端口不仅仅是能够阻止远程访问注册表，这样做还能够阻止大部分针对Windows系统的远程攻击。

　　关闭这些端口迅速提高你的Windows网络的安全性，在没有禁用这些端口之前，你需要确认是否有商业的原因需要保持这些端口的开放。

　　这些是你所能够关闭的、运行Windows 2000、Windows XP和Windows Server 2003系统上的远程注册表服务(Remote Registry)，这对于企业来说，永远是一个非常有帮助的、实用的方法。
]]></description>
		</item>
		<item>
			<title>随心所欲 用Windows组策略管理网络共享</title>
			<link>http://www.kingmx.com/article.php?id=14561</link>
			<pubDate>2006-11-29</pubDate>
			<description><![CDATA[
在局域网环境中，为了方便与他人交流信息，我们常常会将自己计算机中的一些重要信息共享出来，以便于局域网其他用户调用。不过在共享访问过程中，我们常常会受到一些安全攻击或者遇到一些共享访问故障;为了提高共享访问效率，减少共享安全隐患，我们往往需要学会一些共享资源控制、管理技巧。这不，本文下面就从系统组策略出发，为各位推荐几则管理、控制共享资源的技巧，相信各位在下面技巧的“指挥”下一定能精彩进行共享访问操作!
　　1、剥夺匿名用户共享访问权限

　　在安装有Windows XP系统的工作站中，匿名用户在默认状态下往往会拥有与Everyone帐号一样的访问权限，要是我们不小心给Everyone帐号赋予比较高的共享访问权限时，那么匿名用户随之也会拥有比较高的共享访问权限，这显然会给共享访问带来很大的安全隐患。为了确保文件夹共享访问的绝对安全性，我们有必要通过修改系统组策略的方法，最大限度剥夺匿名用户的共享访问权限，下面就是具体的设置方法:

　　首先单击系统桌面中的“开始”按钮，在弹出的系统“开始”菜单中选择“运行”项目，打开系统的运行对话框，然后在其中输入系统组策略编辑字符串命令“gpedit.msc”，单击该对话框中的“确定”按钮后，进入到本地计算机的系统组策略编辑窗口;

　　在该编辑窗口的左侧列表窗格中，用鼠标展开“计算机配置”策略分支，在对应该分支选项下面依次用鼠标双击“Windows设置/安全设置/本地策略/安全选项”项目，在“安全选项”项目所对应的右侧显示窗格中，找到“网络访问:让每个人权限应用于匿名用户”选项并用鼠标右键单击之，从弹出的快捷菜单中执行“属性”命令，打开如图1所示的目标策略属性设置界面;


图1

　　在该设置界面中，检查一下“网络访问:让每个人权限应用于匿名用户”此时的策略是否已经处于“已启用”状态，一旦发现该目标策略已经被启动的话，我们必须及时将它设置为“已停用”，最后单击“确定”按钮，那么匿名用户日后在尝试共享访问操作时由于无法获得足够权限，从而无法对共享访问带来潜在安全威胁。当然，为安全、稳妥起见，我们也不应该为本地计算机的Everyone帐号授予太高的共享访问权限。

　　2、限定匿名用户共享访问内容

　　在默认状态下，Windows XP工作站系统会允许匿名用户访问本地系统的不少共享资源，这显然会给本地计算机的安全带来一定的威胁。为了降低系统的安全威胁，我们完全可以限定匿名用户只能访问本地系统指定的共享文件夹，而且在允许匿名用户访问该目标共享文件夹之前，我们还需要对其NTFS权限进行合适设置，确保匿名用户只能对目标共享文件夹有最小的操作权限。例如，假设我们希望匿名用户只能访问本地系统F盘中的“aaa”共享文件夹时，而无权访问其他共享资源时，就可以按照如下操作步骤来设置系统组策略:

　　首先单击系统桌面中的“开始”按钮，在弹出的系统“开始”菜单中选择“运行”项目，打开系统的运行对话框，然后在其中输入系统组策略编辑字符串命令“gpedit.msc”，单击该对话框中的“确定”按钮后，进入到本地计算机的系统组策略编辑窗口;

　　在该编辑窗口的左侧列表窗格中，用鼠标展开“计算机配置”策略分支，在对应该分支选项下面依次用鼠标双击“Windows设置/安全设置/本地策略/安全选项”项目，在“安全选项”项目所对应的右侧显示窗格中，找到“网络访问:可匿名访问的共享”选项并用鼠标右键单击之，从弹出的快捷菜单中执行“属性”命令，打开如图2所示的目标策略属性设置界面;


图2

　　在该设置界面中，先将系统默认允许访问的共享资源全部选中，并按一下键盘上的DEL键将它全部删除干净;之后，根据实际情况，将那些的确需要向匿名用户长期开放的目标共享文件夹“F:aaa”添加进来，再单击“确定”按钮，那么日后匿名用户只能访问“F:aaa”共享文件夹中的资源了。当然，在将“F:aaa”文件夹向匿名用户开放之前，我们必须先将该目标文件夹的NTFS权限设置成“读取”，确保匿名用户对目标共享文件夹拥有最小的访问权限。

　　完成上面的操作后，我们还需要打开“网络访问:可匿名访问的命名管道”策略的属性设置窗口和“网络访问:可远程访问的注册表路径”策略的属性设置窗口，然后依次将这两个窗口中多余的共享资源项目全部删除掉，这么一来匿名用户就只能访问指定的共享文件夹了。

　　3、阻止非法获取超级帐号名称 


　　我们知道，不少非法攻击者常常通过超级管理员帐号的SID标识，来获取超级帐号的管理员名称信息，然后以管理员真实名称信息尝试登录

　　共享资源所在的计算机系统，从而获取对共享资源的最高控制权限，很明显这种做法会对本地共享资源的安全造成极大的威胁。有鉴于此，我们可以通过修改系统的组策略，禁止非法用户通过SID来窃取超级管理员的真实名称信息，下面就是具体的设置方法:

　　依次单击“开始”/“运行”命令，打开系统的运行对话框，然后在其中输入系统组策略编辑字符串命令“gpedit.msc”，单击该对话框中的“确定”按钮后，进入到本地计算机的系统组策略编辑窗口;

　用鼠标展开该编辑窗口左侧显示区域的“计算机配置”策略分支，在对应该分支选项下面依次用鼠标双击“Windows设置/安全设置/本地策略/安全选项”项目，在“安全选项”项目所对应的右侧显示窗格中，找到“网络访问:允许匿名SID/名称转换”选项并用鼠标右键单击之，从弹出的快捷菜单中执行“属性”命令，打开如图3所示的目标策略属性设置界面;


图3

　　在该设置界面中，检查一下“网络访问:允许匿名SID/名称转换”此时的策略是否已经处于“已启用”状态，一旦发现该目标策略已经被启动的话，我们必须及时将它设置为“已禁用”，最后单击“确定”按钮，那么非法用户日后就无法通过管理员的SID标识信息获取管理员的真实名称信息了，这么一来本地共享资源受到非法控制的危险就会大大下降了。当然，要是局域网环境有多个不同版本的工作站系统时，禁用“网络访问:允许匿名SID/名称转换”这个策略时，就容易导致共享访问出现一些莫名其妙的问题，这一点大家需要注意。

　　4、限定特定用户进行共享访问

　　有时候，我们希望只有指定的用户才能通过网络访问本地系统的共享资源，而严格禁止包括系统管理员在内的其他用户随意通过网络访问本地资源时，我们就可以按照如下方法设置系统组策略，来限定特定用户进行共享访问:

　　依次单击“开始”/“运行”命令，打开系统的运行对话框，然后在其中输入系统组策略编辑字符串命令“gpedit.msc”，单击该对话框中的“确定”按钮后，进入到本地计算机的系统组策略编辑窗口;

　　用鼠标展开该编辑窗口左侧显示区域的“计算机配置”策略分支，在对应该分支选项下面依次用鼠标双击“Windows设置/安全设置/本地策略/用户权利指派”项目，在“用户权利指派”项目所对应的右侧显示窗格中，找到“从网络访问此计算机”选项并用鼠标右键单击之，从弹出的快捷菜单中执行“属性”命令，打开如图4所示的目标策略属性设置界面;


图4

　　在该设置界面中，先将默认存在的Guest帐号、Everyone帐号选中并删除，然后单击“添加用户或组”按钮，打开一个标题为“选择用户或组”的设置窗口，在其中将指定的用户帐号添加进来，最后单击“确定”按钮，这么一来特定用户日后就能通过网络访问到本地系统中的共享资源了，而其他用户是无法通过网络进行共享访问操作的。

　　5、让共享访问时正常输入用户名 


　　在局域网环境中，当我们尝试从其中的一台工作站去访问另外一台工作站中的共享资源时，屏幕上有时会弹出密码登录对话框，可是在其中我们却无法正确输入用户名，而只能输入访问密码，这么一来我们就无法使用自己的帐号访问对方的共享资源。遇到这种共享访问故障现象时，我们究竟该怎样进行应对呢?

　　事实上，这种现象多半是系统的组策略设置不当造成的，此时我们不妨按照下面步骤来修改一下系统组策略:

　　依次单击“开始”/“运行”命令，打开系统的运行对话框，然后在其中输入系统组策略编辑字符串命令“gpedit.msc”，单击该对话框中的“确定”按钮后，进入到本地计算机的系统组策略编辑窗口;

　　用鼠标展开该编辑窗口左侧显示区域的“计算机配置”策略分支，在对应该分支选项下面依次用鼠标双击“Windows设置/安全设置/本地策略/安全选项”项目，在“安全选项”项目所对应的右侧显示窗格中，找到“网络访问:本地帐户的共享和安全模式”选项并用鼠标右键单击之，从弹出的快捷菜单中执行“属性”命令，打开如图5所示的目标策略属性设置界面;在该设置界面中，看看“网络访问:本地帐户的共享和安全模式”策略此时是否已被设置成“经典—本地用户以自己的身份验证”，如果不是的话，必须及时将它修改过来，最后单击“确定”按钮，这样一来我们日后再次进行共享访问操作时，就能正常输入共享访问帐号名称进行共享资源的访问操作了。


图5

　　6、及时记录用户共享访问痕迹

　　为了防止一些心术不正的局域网用户在对共享文件夹的访问过程中，做出对目标共享资源不利的事情出来，我们应该想个办法跟踪任何一位访问目标共享资源的局域网用户，并对他们的共享访问痕迹进行自动记录;以后一旦遇到共享资源中的隐私信息被破坏或转移时，我们可以查看相应的日志记录，就能将“罪槐祸首”轻松找到。事实上，通过下面的步骤我们就可以及时记录用户共享访问痕迹了:

　　首先进入系统资源管理器界面，找到目标共享文件夹并用鼠标右击之，执行快捷菜单中的“属性”菜单命令，打开目标共享文件夹的属性设置窗口;单击其中的“安全”选项卡，并在对应的选项设置页面中单击一下“高级”按钮，进入共享文件夹的高级安全设置页面，单击该页面中的“审核”标签，再在对应标签页面中单击“添加”按钮。随后，计算机将自动显示出本地系统中所有用户帐号，此时我们可以将有权访问该共享文件夹的用户帐号选中，再单击“确定”按钮;在其后弹出的审核选项设置界面中，我们可以按需选择一些失败和成功的审核项目，最后单击“确定”按钮退出共享文件夹属性设置界面。

　　接下来依次单击“开始”/“运行”命令，打开系统的运行对话框，然后在其中输入系统组策略编辑字符串命令“gpedit.msc”，单击该对话框中的“确定”按钮后，进入到本地计算机的系统组策略编辑窗口。

　　用鼠标展开该编辑窗口左侧显示区域的“计算机配置”策略分支，在对应该分支选项下面依次用鼠标双击“Windows设置/安全设置/本地策略/审核策略”项目，在“审核策略”项目所对应的右侧显示窗格中，找到“审核对象访问”选项并用鼠标右键单击之，从弹出的快捷菜单中执行“属性”命令，打开如图6所示的目标策略属性设置界面;


图6

　　在该设置界面中，选中其中的“成功”项目或“失败”项目，再单击“确定”按钮;以后我们要是发现目标共享文件夹遇到安全威胁现象时，就可以打开系统的日志记录，来查看事件ID标号为“564”、“562”、“560”的相关日志记录了，从中就能发现破坏共享文件夹安全的“罪槐祸首”了。
]]></description>
		</item>
		<item>
			<title>富贵险中求:揭开BIOS中的\&amp;quot;绝对宝藏\&amp;quot;</title>
			<link>http://www.kingmx.com/article.php?id=14558</link>
			<pubDate>2006-11-29</pubDate>
			<description><![CDATA[
安全第一 提前备份你的BIOS芯片 

在此次挖掘BIOS中的“宝藏”前，首先要保证绝对的安全性。否则搞坏了小小的BIOS，修理时就要遇到大麻烦了。

 

一、识别你的主板BIOS 

要修改主板BIOS，首先就要确定主板的BIOS类型，目前常见的BIOS多为Award、AMI、Phoenix和Intel几家提供。要想识别自己主板的BIOS类型，可使用专门软件进行自动检测。

运行BIOS识别软件“eSupport BIOS Agent”，点击“Get BIOS Info”按钮，软件将自动检测到主板BIOS信息，在“BIOS Type”中即可看到BIOS的类型（如图1）。由于Phoenix BIOS已被Award BIOS收购，所以如果你的主板显示的BIOS类型是“Phoenix - AwardBIOS v6.00PG”，则表示它使用的是Award的BIOS。

&nbsp;



二、克隆一块BIOS芯片 

很多朋友都知道，利用软盘可自动刷新损坏的BIOS，只是要找到软驱这么古董的东西，实在是强人所难。而在下面的“宝藏”挖掘过程中，又要涉及到BIOS的刷新，难免会有一些风险。所以，推荐在进行BIOS刷新操作前，最好能为BIOS做个“备份”。

很多电脑城的修理店中，都可看到专门的BIOS写入设备——BIOS编程器（如图2）。在刷新主板BIOS前，可先将主板上的BIOS芯片取下，利用BIOS编程器来备份一颗同样的BIOS芯片，它其中会带有相同的控制程序。这样即便刷新BIOS的操作失败，也可利用备份芯片替换，真正做到“安全第一”。

 

由于一些主板的BIOS芯片规格不同，所以备份时需先看清芯片的类型、规格，及存储容量，而备份一块BIOS芯片的价格大约为20元左右。另外，在插拔BIOS芯片时，切记要先将身上的静电放掉，如果自己搞不好，可将整个主板拿到电脑城，使用专业的拔插设备进行更换。


深挖细掘 拿走BIOS中的“大礼包” 

有了备份的BIOS芯片作“后盾”，现在就可对BIOS中的“宝藏”下手了，这里面可是隐藏着好多资源，价值上千块的免费宝贝等着你拿呢！

一、摇身一变“品牌机”

我的联想品牌机在购买时，带有一套OEM版本的Windows XP系统光盘，它可使用在所有联想品牌机上。这张OEM系统盘安装后即可自动激活，启动运行速度更是飞快。不过在主板损坏后，更换一块新主板便不能使用它了。这时只好修改主板BIOS的识别代码，让这套OEM系统识别更换后的主板。

随联想、方正、HP等品牌机赠送的OEM版Windows XP系统，在安装时会检测主板品牌，如果符合即可在安装结束后自动激活系统。因此，只要修改主板BIOS中相应的识别代码，即可通过安装程序的检测。这里要修改的是BIOS中的DMI信息，由于修改DMI信息无需刷新BIOS，因此还是非常安全的。

1．激活联想OEM版Windows XP

更换的杂牌主板，其BIOS的DMI信息中自然不会包含联想的识别代码。没有这个标识，即使安装了OEM版的联想Windows XP系统也不能激活。现在，就为BIOS添加上这段识别代码。

步骤1：安装联想OEM版Windows XP，提示激活时先取消操作。接着双击本期光盘上“zhuce.reg”文件，将其信息导入到注册表中。再启动“DMIScope”程序，即可无限制使用它的修改功能了。

步骤2：由于部分主板不支持Windows系统下的DMI修改操作，所以先要测试一下当前主板是否能进行修改操作。点击菜单“Tools”→“DMIBIOS Write Test”命令，在弹出的对话框中点击“是”，软件将会开始进行写测试，在测试过程中可能会出现长时间系统无反应的情况，多等一会儿即可获得结果。在程序界面右侧的“Write Test”栏中，如显示“BIOS of your computer is able to modify DMI structures.”信息，则表明可进行写入修改操作（如图3）。

 

步骤3：现在，点击展开左侧的“SMBIOS 2.2”→“BIOS Information”项，在右侧窗口中选择“Data fields”选项卡。双击窗口列表中的“BIOS Version”项，弹出询问对话框，点击“是”（如图4）。

 

在出现的数据对话框中，输入“LEGEND Dragon”信息（不包括双引号，下同），再点击“Write”按钮，写入数据（如图5）。

 

也可以展开左侧的“System Information”项，在右侧选择“Data fields”选项卡，双击窗口列表中的“Manufacturer”项，在弹出对话框中输入数据“LEGEND Dragon”，再点击“Write”按钮写入。

其实只要DMI中包含有“LEGEND Dragon”信息，即可激活联想OEM系统，因此修改的位置并不需要固定，只要有可写入的地方即可。但要注意的是，不能写入到CPU信息之类的位置，否则会出错。一些主板在写入时，会提示无法修改数据，这时可考虑修改之前“DMIBIOS Write Test”检测出的地址段。另外，在写入信息数据时，一定要注意字母的大小写。

修改DMI信息完毕后，重启联想OEM版Windows XP系统，之后便会发现系统已自动激活并可正常使用了。



2．让多个OEM系统“为我所用”

修改DMI标记，加入BIOS识别代码的操作很简单。一些细心的朋友可能看出来了，前面只添加了联想品牌机主板的识别代码，未免有些“大材小用”，DMI信息地址中还可输入好多字符。既然如此，何不在BIOS中同时加入多个OEM系统的识别代码呢。

方法同上，只需将“BIOS Information”项中的“BIOS Version”信息，修改为“LEGEND DragonIBM CORPORATIONHewlett-PackardFounder PCAcerSystem”，再将“System Information”项中的“Manufacturer”信息修改为“CompaqTSINGHUA TONGFANG COMPUTERHEDYCOMPUTERFUJITSU-PCTCL123”即可。

要想让更多OEM版系统认出BIOS识别代码，就要将以上两处同时进行修改，以容纳最多的BIOS识别代码。

修改完成后，不可能逐个去安装以上品牌机自带的OEM版Windows XP系统，要想知道修改是否成功，可运行“OEM版XP验证工具 V4.6”工具，它能准确的验证出当前主板BIOS修改后，所允许安装的OEM版系统。只要运行工具后，在“BIOS检验”选项卡中点击“BIOS”检测按钮，即可看到结果（如图6）。

 

3．DOS下也能轻松修改DMI信息

华硕等少部分主板型号，不支持在Windows环境下，使用“DMIScope”修改DMI信息。这时不妨换到DOS环境下，使用“DMICFG 2.43”来达到目的。

在“DMICF”窗口中，选择“Edit DMI”，回车后进入编辑模式。在左侧选择“BIOS”项，回车后进入，接着选择右侧的“BIOS Version”，再次回车后输入“LEGEND DragonIBM CORPORATIONHewlett-PackardFounder PCAcerSystem”（如图7），回车后按ESC键返回左侧边栏。

 

在程序窗口中，选择到“System”项按回车键，进入编辑DMI状态，将右侧的“Manufacturer Name”修改为“CompaqTSINGHUA TONGFANG COMPUTERHEDYCOMPUTERFUJITSU-PCTCL123”，回车后按“F10”键保存修改。最后重启系统，即可无限制的安装多个OEM版Windows XP系统了。


二、免费使用“网易通”

为增加卖点，一些主板在BIOS中设计了系统备份与还原功能，比如梅捷最新的“网易通”。有了这个功能，就等于有了一块还原卡，系统便不怕遭到病毒破坏了。如此实用功能，想不想用在你的主板上呢？

1．揪出梅捷BIOS中的“网易通”

梅捷的“网易通”是以功能模块的形式保存在BIOS中的。这样，即可对比BIOS刷新前后的文件模块变化，来找出要使用的“网易通”模块。这里以梅捷的“SY-I5P4LE-L”主板为例，取出它送来的这份“大礼包”。

步骤1：首先使用Windows下的BIOS刷新工具“WinFlash”，备份当前梅捷主板的BIOS。运行WinFlash，点击工具栏上的“保存”按纽，在出现的“另存为”对话框中，选择保存路径为U盘，文件名为“1.bin”，点击“BACKUP”按钮即可导出（如图8）。

 

从梅捷官方网下载“SY-I5P4LE-L”主板的“网易通”升级BIOS文件“SY-I5P4LE-L.BIN”,再下载一个名为“CBROM.EXE”的工具，它可用来显示与编辑BIOS文件中的各种模块。

步骤2：引导进入DOS模式，执行“CBROM 1.bin /d”命令，再执行“CBROM SY-I5P4LE-L.bin /d”命令，接着对比两个文件显示信息，可看到包括了“网易通”的BIOS文件中，多出了一行“10. ISA ROM[1]……”，这就是“网易通”的BIOS模块了（如图9）。在信息中还可看到“Compressed－Size”栏中，显示该模块的大小为“53.50KB”。

 

步骤3：现在，在DOS下执行“CBROM 2.BIN /ISA extract”命令。完成后，程序提示将要提取保存“h60720a.bat”，确认后输入要保存的文件名，这里就使用默认的“h60720a.bat”。回车后，即可将文件提取保存在当前目录下（如图10）。

 

为方便大家使用，已将提取出的“h60720a.bat”文件放入本期光盘中。利用同样方法，大家可将其它主板中的特色功能模块提取出来“占为己有”。

2．“网易通”进驻非梅捷品牌主板

剥离出“网易通”模块后，就可将它导入到任意主板的BIOS文件中，这样便能获得并使用“网易通”功能。

步骤1：这里以技嘉“GA-K8NS”主板为例，首先使用“WinFlash”，在Windows XP下备份这块技嘉主板的BIOS，备份文件名为“back.bin”。

对于普通BIOS模块来说，只要将提取的功能模块合并入BIOS文件即可。但“网易通”在安装时，还要检测BIOS中的主板信息是否为梅捷主板，因此就必须修改这块技嘉主板的BIOS信息，这里使用BIOS信息修改工具“Award BIOS Editor”。

步骤2：在Windows XP中，运行“Award BIOS Editor”，点击工具栏上的“打开”按钮，浏览指定刚才导出的“GA-K8NS”主板BIOS文件。调入文件后，在左侧选择“System BIOS”项，将“BIOS ID/Vresion Information”中的内容，修改为如图11中的信息。这其中最重要的内容是“BIOS Message”和“BIOS ID”项。修改完成后，即可将刷新后的主板伪装成梅捷的“SY-I5P4LE-L”主板。

 

如果修改过后在安装梅捷“网易通”时，提示主板不能通过认证，可尝试将“BIOS Message”修改为“SOYO”。

步骤3：确认BIOS剩余空间，重启后进入DOS模式，再次运行CBROM查看BIOS空间占用情况，执行命令“CBROM back.bin /d”，显示当前备份的BIOS文件信息。在显示信息中可看到如下数据：

Tool compress code space 360.00K

Tool compress code size 318.47K

Remain compress code space 41.53K

这里显示BIOS芯片空间大小为360KB，已用空间为318.47KB，可用空间只有41.53KB。而“网易通”模块需要53.50KB的空间，这块技嘉主板的BIOS可用空间不够保存“网易通”模块。看来，只能删除原有BIOS文件中的某些无用的模块，为“网易通”腾出些空间了。

如果主板BIOS中的剩余空间足够，那么就不必进行下一步释放模块的操作了，可直接将“网易通”模块集成到BIOS文件。



步骤4：观察CBROM显示的BIOS文件信息，其中的“LOGO BitMap”是主板引导过程中的LOGO图片，有没有都无所谓，因此可将其删除。只需执行“CBROM back.bin /logo release”命令，完成后，提示“[LOGO]ROM is release”，即表示LOGO图片模块已删除（如图12）。

 

再次执行“CBROM back.bin /d”命令，可看到现在的剩余空间有120.83KB，足够写入“网易通”模块了。

步骤5：现在可将“网易通”模块，写入技嘉GA-K8NS主板的BIOS文件中了。执行“CBROM back.bin /ISA h60720a.dat”命令，程序会显示“Adding h60720a.dat”，并显示执行进度（如图13）。

 

完成后，“网易通”模块便成功写入，现在再次执行“CBROM back.bin /d”命令，可看到BIOS文件中多出了一项“ISA ROM[1]……”（如图14），也就是“网易通”模块。

 

步骤6：集成了“网易通”的技嘉GA-K8NS主板BIOS文件已经制作成功了，只要将它写入到主板BIOS中即可。对此，可在DOS下刷新写入BIOS，不过由于DOS操作比较繁琐，还是推荐使用“WinFlash”在Windows XP下进行刷新操作。

在刷新BIOS前，最好进入BIOS设置中，选择“Load BIOS Default”项，使BIOS恢复为默认设置。另外，如果BIOS设置了写保护，要先将其禁用，以便进行正常的刷新操作。

进入Windows XP，运行 “WinFlash”，点击菜单“File”→“Open”，调入刚才修改过的“back.bin”文件。再点击菜单的“File”→“Update BIOS”命令，即可刷新主板BIOS文件了（如图15）。

 

当刷新BIOS完成后，重启系统，安装梅捷“网易通”的“SOYO Enet 驱动”，再安装“SOYO Enet 网管软件”。要注意，安装时不要选择“安装防破解补丁”项，安装成功后，便能享受梅捷送来的这道“免费午餐”了。




狂占便宜 华硕“靓彩”给你颜色

主板有BIOS，显卡同样也有BIOS，对显卡BIOS升级更新，不仅可进行超频优化，还可让显卡具备一些大品牌产品才有的特色功能。

一、显卡刷新有“保障”

1. 不同显卡类型使用不同刷新工具

与主板BIOS一样，不同显卡类型要使用不同的BIOS刷新工具。使用ATI系列的显卡，在DOS下的刷新工具为“FlashROM v2.40”，Windows环境下可使用“ATIWinFlash v1.10”。而使用NVIDIA系列的显卡，在DOS下要使用的刷新工具为“NVFlash V5.36”，Windows下则可使用“NiBiTor v3.0”。

2．可自动恢复显卡BIOS的U盘

刷新显卡BIOS失败后，显示器将黑屏。不过与主板不同，只要事先备份好显卡BIOS，便可利用U盘自动恢复显卡BIOS。

步骤1：如果使用的ATI系列显卡，可进入Windows XP，运行“ATIWinFlash”，程序将自动检测显卡信息。出现程序界面后，点击“保存”按钮，指定备份文件名“XKback.rom”和路径，即可将当前显卡BIOS备份。

有些ATI显卡不能被“ATIWinFlash”正确识别，提示为未知显卡类型。这时，可在纯DOS下，使用FlashROM进行备份，只需执行“flashrom -s 0 XKbackup.rom”命令即可。

如果使用NVIDIA显卡，可运行“NiBiTor”，点击菜单“File”→“Save BIOS”命令，指定备份文件名“XKback.rom”和路径，来完成显卡BIOS的备份（如图16）。

 

步骤2：现在要制作一个能够自动引导到DOS下，并且不加载任何驱动的自启动U盘。利用上期专题中介绍过的“USBoot”工具进行制作。完成时，用该U盘测试一下是否能引导到DOS系统。成功后，将显卡在DOS下的BIOS刷新工具，FlashROM及NVFlash复制到U盘中。

步骤3：进入Windows XP，用记事本打开U盘根目录下的“Autoexec.bat”文件，清除所有内容并添加如下语句：

ATI显卡为：“Flashrom -p 0 XKback.rom r”

NVDIA显卡为：“nvflash -4 -5 -6 XKback.rom”。

添加完毕后保存文件，一张自动恢复显卡BIOS的U盘就制作好了。将U盘拔下，然后重启电脑，进入BIOS设置中，确定U盘为第一启动盘，保存设置后退出。

在进行显卡BIOS刷新前，一定要将BIOS设置为U盘启动。否则升级时出现问题，屏幕全黑就无法再进入BIOS设置，更改为U盘启动，自然也无法使用上面制作的U盘来自动恢复显卡BIOS了。

3．轻松恢复刷新失败的显卡BIOS

但愿大家都用不到这个操作过程，不过即使在后面刷新显卡BIOS的过程中出错，造成屏幕黑幕时也不要担心。只要将制作好的U盘插入USB接口，然后重启系统，虽然此时屏幕仍然是漆黑一片，但此时已在自动执行U盘上的“AUTOEXEC.BAT”文件，恢复显卡原有的BIOS了。



二、华硕“靓彩”拿来用

华硕的显卡有很多特色功能，尤其是“靓彩”系列的“Splendid、OSD、GameLiveShow、GameFace、GameReplay”等功能，在观看视频或游戏时可起到很大作用。这些功能实际是通过软件来实现的，但其它品牌的显卡不能安装华硕的相应软件。这时，显卡的BIOS就又要发挥作用了。

步骤1：将之前备份在U盘上的显卡BIOS复制一份，改名为“1.ROM”，作为编辑用，注意不要直接修改U盘上备份的BIOS文件。

这里要做的并非是将华硕的显卡BIOS刷到自己的显卡中，而是要将原显卡BIOS中的“SubVendor ID”信息，修改为华硕的代码，以达到欺骗“靓彩”程序的目的。“SubVendor ID”是BIOS中的十六进制代码，不会对显卡功能造成影响，因此操作的危险性也几乎等于零。

步骤2：ATI系列显卡的BIOS，可用“Radeon BIOS Tuner V20”进行编辑，运行程序后，点击“Open”→“BIOS File”，浏览并指定载入刚才复制的显卡BIOS文件。将“SubVendor ID”修改为“1043”，即华硕显卡的代码，点击“Edit End”结束编辑。最后，点击“Save As”→“ROM BIOS Fiel”，将修改后的BIOS另存为文件“2.ROM”（如图17）。

 

NVIDIA系列显卡的GameFace功能实现方法有所不同，首先要从华硕的显卡中找到一款芯片相同，功能接近的产品，可到华硕官方网站查看下载驱动( http://www.asus.com.cn/products/vga/ )。例如GeForce FX 5600显卡与华硕V9560/TD使用了相同的显示芯片，规格也大同小异。这样可从华硕网站下载对应显卡的最新驱动。打开驱动文件夹中的“ASUSNV2K.INF”文件，在“[NVidia.Mfg]”字段部分找到V9560对应的那一行，记录下它的“SubSystem ID”。比如华硕的GeForce FX 5600显卡，其“SubSystem ID”为“80CF1043”。

在华硕官方网站上，每款显卡均提供了“公用程序”和“显示驱动程序”下载，“ASUSNV2K.INF”是包含在“显示驱动程序”中的。

现在运行“X-BIOS Editor v1.0 RC3 Build520”，点击工具栏上的“Open”按钮，打开刚才复制的BIOS文件。根据记录下的“SubSystem ID”（80CF1043），将BIOS中的“Sub Vendor ID”修改为“1043”，再将“Sub Device ID”修改为“80CF”。修改完毕后，点击“SAVE”按钮，保存为“2.ROM”（如图18）。 

&nbsp;




步骤3：由于所使用的显卡BIOS编辑软件均非官方出品，这样有可能在修改数据时，造成其它数据值产生变化。为安全起见，在刷新显卡BIOS前，最好对修改后的显卡BIOS进行一下验证，保证BIOS的完整性。

打开“命令提示符”窗口。进入显卡BIOS文件所在目录，执行“FC 1.rom 2.rom”命令，即可比较两个文件的差异。从返回信息中可看到，前面4行数据是“SubVendor ID”或“SubSystem ID”发生改变，最后一行是BIOS文件末尾的校验码。校验码改变是正常现象，但如果发现除了这几处更改外，其它数据也发生了变化（如图19），那么就不要将更改后的BIOS写入显卡了。

 

如果BIOS中的其它数据被更改，可更换其它显卡BIOS修改软件，如ATI BiosEditV2.7，或直接利用如WinHex、Utral Edit之类的二进制修改软件，重新进行修改操作。

步骤4：如果BIOS通过验证，即可将修改后的BIOS写入显卡了。

ATI系列显卡，可直接运行“ATIWinFlash”，点击“载入图像”按钮，打开之前修改好的显卡BIOS文件“2.rom”，再点击“程序”按钮，即可完成刷新（如图20）。

 

NVIDIA系列显卡可启动到DOS下，使用“NVFlash”进行刷新，执行“nvflash -4 -5 -6 2.rom”命令后，程序会提示是否强制刷新“SubSystem ID”，确认刷新操作，会显示“Update successful”的信息，重启系统即可完成。

 

刷新操作结束后，只要选择并安装与华硕显卡芯片型号、显存相同的驱动。即可享受到丰富的华硕“靓彩”功能了。

最后，小编还要再次提醒大家，但凡是刷新BIOS操作，就会带有一定风险。不过只要胆大心细，做好预防工作，相信这些BIOS中的“宝藏”非你莫属。

]]></description>
		</item>
		<item>
			<title>妙除QQ病毒，让隐藏文件现身</title>
			<link>http://www.kingmx.com/article.php?id=14557</link>
			<pubDate>2006-11-29</pubDate>
			<description><![CDATA[

地球人都知道隐藏文件在默认状态下是不显示在文件夹窗口中的，可是有朝一日我们需要使用隐藏文件时，常常会打开系统的“文件夹选项”设置窗口，来选中“显示所有文件和文件夹”，将隐藏文件重新显示在眼前。可事实上，我们有时即使选中了“显示所有文件和文件夹”，隐藏文件还是不肯“现身”，这是怎么回事呢，我们又该如何才能让隐藏文件“现身”呢？

其实隐藏文件不肯“现身”，多半是系统受到了一种名为“sxs.exe”病毒的攻击，该病毒的全称叫Trojan.PSW.QQPass.pqb病毒，它一般通过常用的闪盘或移动硬盘进行非法传播，该病毒的主要危害就是强行终止安装在本地系统中的防病毒软件的应用进程，降低本地计算机系统的安全等级，同时还会偷窃本地的QQ密码与帐号；一旦计算机系统不小心感染了“sxs.exe”病毒后，系统的每个分区根目录窗口中都会出现“sxs.exe”文件和“autorun.inf”文件，而且用鼠标双击系统分区盘符，系统没有任何反应，更为重要的是无法将系统的隐藏文件正常显示出来。

因此，当我们选中了本地系统中的“显示所有文件和文件夹”功能选项后，仍然无法让隐藏文件“现身”时，我们只要进入系统任务管理器的进程标签页面，看看系统中是否运行了“svohost.exe”或“sxs.exe”这样的服务进程，一旦看到的话，那就表明隐藏文件的确受到了“sxs.exe”病毒的控制。要想强行让隐藏文件“现身”，我们必须按照如下方法将“sxs.exe”病毒巧妙从系统中清除干净。

首先同时按下键盘上的Ctrl+Alt+Del复合键，打开系统的任务管理器窗口，单击该窗口中的“进程”标签，并在对应标签页面中选中“svohost.exe”或“sxs.exe”这样的进程，再单击“结束进程”按钮，这样就能将“sxs.exe”病毒的进程强行禁止了。

接着依次单击“开始”/“运行”命令，打开系统的运行对话框，在其中输入“regedit”字符串命令，单击“确定”按钮后，进入到本地计算机的系统注册表编辑窗口；在该编辑窗口的左侧显示窗格中，用鼠标展开“HKEY_LOCAL_MACHINE”分支项目，并在该分支项目下面再依次选择“SOFTWAREMicrosoft

WindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL”子项，在对应“SHOWALL”子项的右侧列表区域中（如图1所示），检查一下是否存在一个名为“CheckedValue”的双字节值。在这里大家需要留心的是，一旦计算机系统遭受到“sxs.exe”病毒的攻击之后，“CheckedValue”键值的类型很有可能被修改成字符串值类型的，这种类型的键值是根本没用的；



图1
因此当我们看到“SHOWALL”子项下面不存在“CheckedValue”键值，或者发现该键值类型不对时，先将无用的字符串值“CheckedValue”删除掉，然后用鼠标右键单击“SHOWALL”子项右侧列表区域的空白位置处，从随后弹出的快捷菜单中依次选择“新建”/“Dword值”命令，并将刚刚创建的双字节值名称设置为“CheckedValue”；紧接着用鼠标双击刚刚创建好的“CheckedValue”双字节值，在弹出的编辑Dword值设置窗口中，将数字“1”直接填写在“数值数据”文本框中（如图2所示），再单击“确定”按钮结束设置操作，最后再将计算机系统重新启动一下；




图2
下面为了防止“sxs.exe”病毒“卷土重来”，再次对系统做出不利的事情出来，我们还需要用鼠标右键单击系统分区盘符，从弹出的快捷菜单中执行“打开”命令（呵呵，尽量不要使用双击鼠标的方法打开系统分区根目录哟，这可能会帮助“sxs.exe”病毒又执行一次破坏操作哟），进入到系统分区根目录窗口，将其中的“sxs.exe”文件和“svohost.exe”文件直接删除掉。然后再次进入到系统的注册表编辑窗口，用鼠标展开其中的“HKEY_LOCAL_MACHINE”分支项目，并在该分支项目下面依次选择“SOFTWAREMicrosoftWindowsCurrentVersionRun”子项，在对应“Run”子项的右侧列表区域中，检查一下是否存在一个名为“SoundMam”的字符串值，要是发现该字符串值存在的话，再用鼠标双击该键值，从弹出的数值设置窗口中，确认一下该字符串键值的内容是否为“C:Windowssystem32svohost.exe”，之后选中“SoundMam”字符串值并将它删除掉，并退出注册表编辑窗口； 

现在打开系统的资源管理器窗口，进入到系统分区目录下面的“system32”子文件夹窗口，再将该窗口中的“sxs.exe”文件和“svohost.exe”文件直接删除掉，最后再进行一次系统启动操作，相信这么一来我们再次打开“文件夹选项”设置窗口，并选中“显示所有文件和文件夹”时，多半能够将隐藏的系统文件重新显现出来了。
]]></description>
		</item>
	</channel>
 </rss>
