海东青's blog

      

                        10月3日外电消息，一家安全厂商警告说，在软件厂商正式修复其软件安全漏洞之前使用第三方的补丁修复漏洞可能会引起更多的问题。也就是说，第三方补丁引起的问题会比它解决的问题还要多。

安全公司Sophos的高级技术顾问Graham Cluley对英国IT新闻网站vnunet.com说，如果人们使用第三方补丁自己修复安全漏洞，由于这种补丁的不可预见性，这个补丁在使用过程中可能会引起更多的冲突。

这位安全专家解释说，有些企业谨慎地使用非盈利组织Zert发布的补丁修复IE浏览器中的安全漏洞是可以理解的，因为他们不知道微软是否能够应付这个事情。他说，当微软发布安全补丁的时候，微软不必处理许多安全补丁，不必迎合这些计算机中的第三方补丁。

Cluley坚持认为，IT管理员在使用第三方补丁的时候应该权衡利弊。他说，这不是我们安全厂商能够为你做出的决策。我们不能说你们应该使用Zert的补丁，应为各个地方和每一个的情况都不同。

Sophos知道微软正在设法尽快发布自己的安全补丁，用户不必等到10月10日的下一个补丁周期。Cluley说，我认为微软可能会提前发布一个安全补丁，因为我们看到利用这个安全漏洞的企图正在增长。因此，这个安全漏洞肯定还没有修复，黑客对于利用这个漏洞非常感兴趣。

Cluley建议说，如果一家公司的风险很大，这家公司宁愿依靠第三方补丁也不愿意冒不理会安全漏洞的风险，使用第三方补丁是一种“可以理解的担心”。

Cluley说，我认识Zert组织的一些人。他们都是杰出的安全专家。Zert的补丁与某些人随意发布的补丁还是有些区别的。

      

                        木马与杀毒软件之间的战斗从来就没有停止过，通过对已知的木马进行加壳可以再次躲避杀毒软件的查杀。加了壳的木马可以防止被杀毒软件跟踪查杀和被跟踪调试，同时也可以防止木马本身的算法程序被别人静态分析。加壳软件通常可以分为压缩保护和加密保护两种。



压缩保护



压缩保护就是利用特定的压缩算法把程序压缩打包，运行的时候在内存中执行解压过程并运行主程序。常见的压缩类加壳软件有：UPX、ASpack、Petite、PE-PACK、WWPack32、Shrinker等。以UPX为例，它的主要功能就是压缩，由于木马要在内存中释放后才能运行，所以对付这类加壳木马，凡是有内存杀毒功能的杀毒软件都能获得很好的查杀效果。



加密保护



这类软件侧重的是加密和保护软件，在反编译和反调试功能方面比较完善，某些加密软件甚至可以做到锁定自身在内存中的进程而不让别的进程插进来。此类加壳软件由于具备反编译和反调试功能，杀毒软件很难查杀到壳里的木马。常见的加密类加壳软件有ASProtect、tElock、Armadillo、SVK Protector、Xtreme-Protector、Obsidium、PElock等。



给木马脱壳



要给木马脱壳，需要先知道加了什么壳。PEid一款专用的查壳工具，可以方便的检测出软件到底是使用什么东西加的壳，给脱壳带来了极大的便利！木马Cmdshell.exe是个只有7KB的小木马，通过开放本机的54088端口，实现远程命令行控制。下面就详细介绍一下给木马Cmdshell.exe脱壳的过程。运行软件后，点击“File（文件）”右边的浏览按钮，打开Cmdshell.exe文件，这时在主界面中就可以看到该文件的加壳情况：Cmdshell.exe使用的是UPX加壳。



通常UPX加壳和脱壳工具是通用的，所以笔者选用了使用起来比较容易的UPX Shell对加壳文件进行脱壳。运行UPX Shell程序，点击“OPen（打开）”按钮，选定被加壳的程序。切换到“Compress（压缩）”标签，选择“Decompress（解压缩）”，再点击“GO（运行）”按钮，即可完成脱壳。脱壳后程序由原来的7K变成了20K，文件脱壳成功。

PE-Scan也是一款专用的查壳脱壳工具，能识别出当今流行的绝大多数壳的类型，而且功能更强。PE-Scan可以检测出一些壳的入口点（OEP），方便手动脱壳。运行Pe-scan，打开加了壳的木马，即可看到木马加壳的类型（如图3）。这里笔者使用了一个用Asprotect加壳的木马来做测试，由于目前的PE-Scan并不支持脱Asprotect壳，所以“脱壳”按钮无法使用。



为了脱去Asprotect壳，还需要使用另外一款脱壳软件stripperX来帮忙，它可以方便快捷地脱掉ASpack和ASProtect加的壳。运行stripperX，点击“open（打开）”按钮，选择要脱壳的文件，再点击“unpack（脱壳）”按钮即可生成目标文件，完成脱壳任务。需要注意的是由于ASProtect在不断升级，低版本的stripperX往往不能脱最新版本的ASProtect壳，目前stripperX 2.07版本支持脱ASpack 2.xx 和 ASProtect 1.2x版本的壳，stripperX 2.11版本支持脱ASProtect 1.3～2.0版本的壳。



总的来说，脱壳要对症下药，先用PEid或PE-Scan查清楚壳的类型，然后找脱这种壳的工具，才能达到脱壳的目的。脱了壳的木马，就失去了保护，几乎所有的杀毒软件或木马查杀工具都能查杀它。当从网络上下载了某些怀疑有木马的程序，可以先用本文介绍的方法来检查一下，看看它是否被加了壳，如果是就要提高警惕了，建议不要使用。

      

                        　　Mysql有一个高级的但不标准的存取权限系统.此部分即描述其如何工作.权限系统做什么

    Mysql的权限系统的主要功能是验证从假定主机来的用户连接.以及检查用户对数据库的select,insert,update和delete操作权限.其附加功能还包括匿名用户验证及赋予权限以使用Mysql特殊的功能,如从文件中装入数据和管理操作.

Mysql的用户名和口令

    Mysql的用户名和口令在Unix和Windows之间有一些差别:·用户名,Mysql用于达到其验证目的.与Unix和Windows的用户名毫无干系(login names).大多数的Mysql客户端缺省的使用Uinx当前用户名作为 Mysql用户名去登录,但那只是为了方便而已.客户端程序允许使用-u或--user参数指定一个不同的名字.这意味着你不可能使Mysql数据库得到安全保护除非每一个Mysql用户名都具有口令.任何人都可以用任何名字来企图连接数据库,如果他们指定的某一个名字恰好没有口令,他们就会取得成功.

·Mysql用户名可以提高到十六位字符长,而典型的Unix用户名都限制在八位.

·Mysql的口令跟Unix口令毫无干系.不必把你登录进Unix机器的口令和你用来在该机器上存取数据库的口令联系起来.

·Mysql使用了与Unix登录进程不同的加密算法.请参见7.3.11节各种函数中对PASSWORD()和ENCRYPT()函数的描述.

连接上Mysql服务器

     Mysql客户端程序通常会让你指定一些连接参数,但你想存取Mysql数据库的时候:你想连接的主机,你的用户名和口令.例如,Mysql客户端可以象这样开始(可选参数被加上了"["和"]"):

shell> mysql [-h 主机名] [-u 用户名] [-p口令]

     也可以用--host=主机名,--user=用户名和--password=口令来代替-h,-u和-p选项.注意,在-p或--password和口令之间没有空格.

    如果在命令行没有指定连接参数,Mysql将使用缺省值:

·缺省的主机名是localhost. ·缺省的用户名是你在Unix中的登录名. ·如果没有-p参数则将不提供口令.

    因而,对于Unix用户Joe如下的命令是等价的

shell> mysql -h localhost -u joe shell> mysql -h localhost shell> mysql -u joe shell> mysql

    其它的客户端的动作与此类似.

    在Unix系统中,你不必在每一次调用客户机程序进行连接的时候都在命令行敲入所有选项,可以为它们指定不同的缺省值.这可以用两种方法来办到:

·你可以在你的home目录中的".my.cnf"配置文件中的[client]一节指定连接参数.该文件的相关节看起来可能象这样:

[client]host=host_name user=user_name password=your_pass

·你也可以使用环境变量来指定连接参数.主机可以被指定使用MYSQL_HOST,Mysql用户名可以被指定使用USER,LOGNAME或是LOGIN(尽管这些变量可能已经被设置成你的Unix登录名,但它们可能被任意改变).口令可以被指定为使用MYSQL_PWD(但这是不安全的;参见下节)

    如果通过多种不同的方法指定连接参数,那么在命令行中指定的值比在配置文件中和环境变量中指定的值具有更高的优先权.而在配置文件中指定的值又比在环境变量中指定的值具有更高的优先权.

使你的口令安全

    在其它用户可以发现的情况下将你的口令用一种方法暴露的指定出来是相当失策的.下面列出了当你使用客户端程序时可以用来指定密码的方法,比比较了每一种方法的优劣:

·在命令行使用一个 -p密码 或 --password=密码 参数.这确很方便,但极不安全,你密码能被系统状态检测程序看见(如ps),所以可以被其他用户调用出来显示在命令行上.(MySQL客户端特别在命令行参数初始化时用0覆盖它们,但在该值显得可见时仍有短暂的间隔). ·用一个-p或--password参数(不指定你的密码).这样,客户端程序会要求密码从终端输入:

shell> mysql -u 用户名 -p] Enter password: ********

    客户端把你输入的密码以*"字符显示在终端上,以使旁观者无法看见.如此输入密码比你在命令行上指定密码更安全,因为它对其他用户并不可见.但是,此输入密码的方法只在你使用交互式程序时才有效.如果你想非交互的从一个脚本中调用客户端,则没有机会从终端输入密码了. ·把你的密码保存在一个配置文件中.举例来说,你可以把你的密码列在你home目录下的.my.cnf文件的[client]节:

[client] password=your_pass

    如果你把密码存放在.my.cnf中,那么同组用户和其他用户对该文件必须不能具有读取和写入的权限.确定文件的存取模式必须为400或600.参见4.15.4节选项文件. ·你也可以把你的密码存放在MYSQL_PWD环境变量中,但该方法被认为极不安全而通常不被使用.某些版本的PS包括一个选项可以列出正在运行的进程的环境;你的密码将被清楚的显示出来,如果你设置了MYSQL_PWD环境变量的话.

    总而言之,最安全的方法是在客户端提示输入密码或将密码保存在受到正确保护的.my.cnf文件中.

MySQL提供的权限

    权限信息存放在mysql数据库(即数据库的名字叫mysql)的user, db, host, tables_priv and columns_priv表中.当MySQL服务器在启动时或在6.9节"改变的权限何时生效"指出的情况下读取这些表中的项目.

    此手册所提及的MySQL提供的权限的名字列在其下,各列列出了权限的名字,对应的操作和适用的范围.

权限       列名         范围 select     select_priv   表 insert     Insert_priv   表 update     Update_priv   表 delete     Delete_priv   表 index      Index_priv    表 alter      Alter_priv    表 create  　 Create_priv   数据库,表或索引 drop       Drop_priv     数据库或表 grant      Grant_priv    数据库或表 reload     Reload_priv   服务器管理 shutdown   Shutdown_priv 服务器管理 process    Process_priv  服务器管理 file       File_priv     服务器上文件存取

    select, insert, update 和 delete 权限允许你在一个数据库中存在的表的行上执行操作.

    仅当你真要从表中返回行时SELECT表达式才需要select权限.你可以执行一个SELECT表达式,甚至当你在服务器上没有存取任何数据库的权限时也行.比如,你可以用mysql客户端作一个简单的计数:

mysql> SELECT 1 1; mysql> SELECT PI()*2;

    index权限允许你create或drop(删除)索引.

    alter权限允许你使用ALTER TABLE.

    create和drop权限允许你create新数据库和表,或drop(删除)存在的数据库和表.

    注意,如果你允许一个用户拥有对mysql数据库的drop权限,那么该用户可以drop掉MySQL用来存放存取权限的地方.

    grant权限允许你授予其他用户你所拥有的那些权限.

    file权限允许你用LOAD DATA INFILE 和 SELECT ... INTO OUTFILE语句存取服务器上的文件.任何用户如果具有了这个权限他就可以存取任何MySQL服务器可以存取的文件.剩下的权限用于管理操作,在执行mysqladmin程序时会用到.下表列出了mysqladmin命令允许你执行的每一个管理权限:



权限 权限拥有者可以执行的操作 reload reload, refresh, flush-privileges, flush-hosts, flush-logs, flush-tables shutdown shutdown process processlist, kill

    reload命令告诉服务器重新读取认证表.refresh命令刷新所有的数据库,打开和关闭日志文件.flush-privileges是reload的一个同义词.其它flush-*执行和refresh大致相同的功能,但是在更有限的范围内,也许在某些场合效果更好.例如,如果你仅想刷新日志文件,flush-logs就是比refresh更好的选择.

    shutdown命令关闭服务器.

    processlist命令列出有关服务器中所执行的线程的信息.kill命令杀掉服务器的线程.你通常只能列出和杀掉你自己的线程,但如果你有process权限就可以列出或杀掉由其他用户启动的线程.

通常只授予相关用户一些必须权限是一个好办法,当你得学会小心谨慎的授出下列权限:

·grant权限允许用户把他们自己的权限授予另外一些用户.如果两个用户有不同的权限,而又同时具有grant权限的话,那他们就共同具有了这所有的这些权限. ·alter权限拥有者可以用给表重命名的方式破坏权限系统. ·file权限些许会被滥用,以在数据库表中读取任何的全程文件,该项目可以使用SELECT进行存取. ·shudown权限也可能被滥用.关闭服务器,对其他所有用户拒绝服务. ·process权限可以以纯文本的方式显示出当前正执行的查询,包含设置和修改密码的查询. ·mysql数据库上的权限可以用来改变密码和其它存取权限信息.(密码是加密存储的,所以一个有恶意的用户不能简单的读取它们.但是,如果有足够的权限,他可以把它改成另一个不同的密码.)

通过MySQL权限系统无法实现下面一些事情:

·你不能明确的指定一个用户将被拒绝存取.也就是说,你不能明确指定匹配一个用户,拒绝它的连接. ·你不能指定一个用户能在一个数据库中创建和删除表,而不能创建和删除该数据库自身.

      

                        数据库命名规范

1、数据库表

根据表所属的子系统/模块，命名方式为：

数据库表名 = 子系统/模块 缩写   表含义

其中子系统/模块的缩写首字母大写，表含义中每个单词的首字母为大写。

子系统/模块及其缩写应在《数据库设计说明书》的约定部分加以描述。

例如：代码表可统一采用”code”为表的前缀，则：code_area表示地区代码表

2、表字段：

概念模型中，每个数据库中为每个表定义唯一的缩写，长度为4~8个字符，

字段名 = 表缩写   “_”   字段含义。

如地区代码表字段前缀为area，其相关字段名：

area_id ：地区代码ID主键

area_name ：地区代码名称

数据库表名及表缩写应在《数据库设计说明书》中加以描述。

3、索引

索引名 = idx   “_”   表缩写   相关字段/索引含义

4、关联

关联指数据库表之间的外键关系

关联名 = rl   “_”   主表缩写   从表缩写

5、存储过程：

存储过程名 = proc   “_”   存储过程含义

      

                        　　在数据库表丢失或损坏的情况下，备份你的数据库是很重要的。如果发生系统崩溃，你肯定想能够将你的表尽可能丢失最少的数据恢复到崩溃发生时的状态。有时，正是MySQL管理员造成破坏。管理员已经知道表以破坏，用诸如vi或Emacs等编辑器试图直接编辑它们，这对表绝对不是件好事！

    备份数据库两个主要方法是用mysqldump程序或直接拷贝数据库文件（如用cp、cpio或tar等）。每种方法都有其优缺点：

    mysqldump与MySQL服务器协同操作。直接拷贝方法在服务器外部进行，并且你必须采取措施保证没有客户正在修改你将拷贝的表。如果你想用文件系统备份来备份数据库，也会发生同样的问题：如果数据库表在文件系统备份过程中被修改，进入备份的表文件主语不一致的状态，而对以后的恢复表将失去意义。文件系统备份与直接拷贝文件的区别是对后者你完全控制了备份过程，这样你能采取措施确保服务器让表不受干扰。     mysqldump比直接拷贝要慢些。     mysqldump生成能够移植到其它机器的文本文件，甚至那些有不同硬件结构的机器上。直接拷贝文件不能移植到其它机器上，除非你正在拷贝的表使用MyISAM存储格式。ISAM表只能在相似的硬件结构的机器上拷贝。在MySQL 3.23中引入的MyISAM表存储格式解决了该问题，因为该格式是机器无关的，所以直接拷贝文件可以移植到具有不同硬件结构的机器上。只要满足两个条件：另一台机器必须也运行MySQL 3.23或以后版本，而且文件必须以MyISAM格式表示，而不是ISAM格式。     不管你使用哪种备份方法，如果你需要恢复数据库，有几个原则应该遵守，以确保最好的结果：

    定期实施备份。建立一个计划并严格遵守。     让服务器执行更新日志。当你在崩溃后需要恢复数据时，更新日志将帮助你。在你用备份文件恢复数据到备份时的状态后，你可以通过运行更新日志中的查询再次运用备份后面的修改，这将数据库中的表恢复到崩溃发生时的状态。     以文件系统备份的术语讲，数据库备份文件代表完全倾倒（full dump），而更新日志代表渐进倾倒（incremental dump）。

    使用一种统一的和易理解的备份文件命名机制。象backup1、buckup2等不是特别有意义。当实施你的恢复时，你将浪费时间找出文件里是什么东西。你可能发觉用数据库名和日期构成备份文件名会很有用。例如： %mysqldump samp_db >/usr/archives/mysql/samp_db.1999-10-02

%mysqldump menagerie >/usr/archives/mysql/menagerie.1999-10-02

    你可能想在生成备份后压缩它们。备份一般都很大！你也需要让你的备份文件有过期期限以避免它们填满你的磁盘，就象你让你的日志文件过期那样。

    用文件系统备份备份你的备份文件。如果遇上了一个彻底崩溃，不仅清除了你的数据目录，也清除了包含你的数据库备份的磁盘驱动器，你将真正遇上了麻烦。也要备份你的更新日志。     将你的备份文件放在不同于用于你的数据库的文件系统上。这将降低由于生成备份而填满包含数据目录的文件系统的可能性。     用于创建备份的技术同样对拷贝数据库到另一台机器有用。最常见地，一个数据库被转移到了运行在另一台主机上的服务器，但是你也可以将数据转移到同一台主机上的另一个服务器。

1 使用mysqldump备份和拷贝数据库 当你使用mysqldumo程序产生数据库备份文件时，缺省地，文件内容包含创建正在倾倒的表的CREATE语句和包含表中行数据的INSERT语句。换句话说，mysqldump产生的输出可在以后用作mysql的输入来重建数据库。

你可以将整个数据库倾倒进一个单独的文本文件中，如下：

%mysqldump samp_db >/usr/archives/mysql/samp_db.1999-10-02

输出文件的开头看起来象这样：

# MySQL Dump 6.0 # # Host: localhost Database: samp_db #--------------------------------------- # Server version 3.23.2-alpha-log # # Table structure for table absence # CREATE TABLE absence( student_id int(10) unsigned DEFAULT NOT NULL, date date DEFAULT 000-00-00 NOT NULL, PRIMARY KEY (student_id,date) ); # # Dumping data for table absence # INSERT INTO absence VALUES (3,1999-09-03); INSERT INTO absence VALUES (5,1999-09-03); INSERT INTO absence VALUES (10,1999-09-08); ......　 文件剩下的部分有更多的INSERT和CREATE TABLE语句组成。

如果你想压缩备份，使用类似如下的命令：

%mysqldump samp_db | gzip >/usr/archives/mysql/samp_db.1999-10-02.gz

如果你要一个庞大的数据库，输出文件也将很庞大，可能难于管理。如果你愿意，你可以在mysqldump命令行的数据库名后列出单独的表名来倾到它们的内容，这将倾倒文件分成较小、更易于管理的文件。下例显示如何将samp_db数据库的一些表倾到进分开的文件中：

%mysqldump samp_db student score event absence >grapbook.sql %mysqldump samp_db member president >hist-league.sql

如果你生成准备用于定期刷新另一个数据库内容的备份文件，你可能想用--add-drop-table选项。这告诉服务器将DROP TABLE IF EXISTS语句写入备份文件，然后，当你取出备份文件并把它装载进第二个数据库时，如果表已经存在，你不会得到一个错误。

如果你倒出一个数据库以便能把数据库转移到另一个服务器，你甚至不必创建备份文件。要保证数据库存在于另一台主机，然后用管道倾倒数据库，这样mysql能直接读取mysqldump的输出。例如：你想从主机pit-viper.snake.net拷贝数据库samp_db到boa.snake.net，可以这样很容易做到：

%mysqladmin -h boa.snake.net create samp_db %mysqldump samp_db | mysql -h boa.snake.net samp_db

以后，如果你想再次刷新boa.snake.net上的数据库，跳过mysqladmin命令，但要对mysqldump加上--add-drop-table以避免的得到表已存在的错误：

%mysqldump --add-drop-table samp_db | mysql -h boa.snake.net samp_db

mysqldump其它有用的选项包括：

--flush-logs和--lock-tables组合将对你的数据库检查点有帮助。--lock-tables锁定你正在倾倒的所有表，而--flush-logs关闭并重新打开更新日志文件，新的更新日志将只包括从备份点起的修改数据库的查询。这将设置你的更新日志检查点位备份时间。（然而如果你有需要执行个更新的客户，锁定所有表对备份期间的客户访问不是件好事。） 如果你使用--flush-logs设置检查点到备份时，有可能最好是倾倒整个数据库。如果你倾倒单独的文件，较难将更新日志检查点与备份文件同步。在恢复期间，你通常按数据库为基础提取更新日志内容，对单个表没有提取更新的选择，所以你必须自己提取它们。

缺省地，mysqldump在写入前将一个表的整个内容读进内存。这通常确实不必要，并且实际上如果你有一个大表，几乎是失败的。你可用--quick选项告诉mysqldump只要它检索出一行就写出每一行。为了进一步优化倾倒过程，使用--opt而不是--quick。--opt选项打开其它选项，加速数据的倾倒和把它们读回。 用--opt实施备份可能是最常用的方法，因为备份速度上的优势。然而，要警告你，--opt选项确实有代价，--opt优化的是你的备份过程，不是其他客户对数据库的访问。--opt选项通过一次锁定所有表阻止任何人更新你正在倾倒的任何表。你可在一般数据库访问上很容易看到其效果。当你的数据库一般非常频繁地使用，只是一天一次地调节备份。

一个具有--opt的相反效果的选项是--dedayed。该选项使得mysqldump写出INSERT DELAYED语句而不是INSERT语句。如果你将数据文件装入另一个数据库并且你想是这个操作对可能出现在该数据库中的查询的影响最小，--delayed对此很有帮助。 --compress选项在你拷贝数据库到另一台机器上时很有帮助，因为它减少网络传输字节的数量。下面有一个例子，注意到--compress对与远端主机上的服务器通信的程序才给出，而不是对与本地主机连接的程序： %mysqldump --opt samp_db | mysql --compress -h boa.snake.net samp_db mysqldump有很多选项，详见《MySQL参考手册》。

2 使用直接拷贝数据库的备份和拷贝方法 另一种不涉及mysqldump备份数据库和表的方式是直接拷贝数据库表文件。典型地，这用诸如cp、tar或cpio实用程序。本文的例子使用cp。

当你使用一种直接备份方法时，你必须保证表不在被使用。如果服务器在你则正在拷贝一个表时改变它，拷贝就失去意义。

保证你的拷贝完整性的最好方法是关闭服务器，拷贝文件，然后重启服务器。如果你不想关闭服务器，要在执行表检查的同时锁定服务器。如果服务器在运行，相同的制约也适用于拷贝文件，而且你应该使用相同的锁定协议让服务器“安静下来”。

假设服务器关闭或你已经锁定了你想拷贝的表，下列显示如何将整个samp_db数据库备份到一个备份目录（DATADIR表示服务器的数据目录）：

      

                        　　很多网络初级用户认为，只要装了杀毒软件，系统就绝对安全了，这种想法是万万要不得的！在现今的网络安全环境下，木马、病毒肆虐，黑客攻击频繁，而各种流氓软软件、间谍软件也行风作浪。怎样才能让我们的系统立于如此险恶的网络环境呢？光靠杀毒软件足以保证我们的系统安全吗？下面我就从影响系统安全的几个方面来剖析防火墙的重要性。

　　现在的网络安全威胁主要来自病毒攻击、木马攻击、黑客攻击以及间谍软件攻击。杀毒软件发展了十几年，依然是停留在被动杀毒的层面（别看那些自我标榜主动防御，无非是一些骗人的幌子，看看这个文章就知道了http://column.chinabyte.com/388/2014388.shtml），而国外的调查表明，当今全球杀毒软件对80%的病毒无法起到识别作用，也就是说，杀毒软件之所以能杀毒，纯粹是根据病毒样本的代码特征来识别他是否是病毒，就如警察抓住一个小偷，这个小偷留着大胡子，于是警察就天天在街上盯着大胡子的人。这样的杀毒效果可想而知。同样的道理，杀毒软件对于木马、间谍软件的防范也是基于这种方式。

　　现在病毒、木马的更新很快，从全球范围内来看，能造成较大损失的病毒木马，大部分都是新出现的，或者是各类变种，由于这些病毒木马的特征并没有被杀毒软件掌握，因此杀毒软件对它们是既不能报警，也无法剿杀。难道我们就任病毒木马宰割了吗？当然不！高手岂能向几个病毒木马低头！虽然杀毒软件只能干瞪眼，可是我们还有严守大门的防火墙呢！

　　防火墙为什么就能挡住病毒木马甚至是最新的病毒木马变种呢？这就要从防火墙的防御机制说起了。防火墙是根据连接网络的数据包来进行监控的，也就是说，防火墙就相当于一个严格的门卫，掌管系统的各扇门（端口），它负责对进出的人进行身份核实，每个人都需要得到最高长官的许可才可以出入，而这个最高长官，就是你自己了。每当有不明的程序想要进入系统，或者连出网络，防火墙都会在第一时间拦截，并检查身份，如果是经过你许可放行的（比如在应用规则设置中你允许了某一个程序连接网络），则防火墙会放行该程序所发出的所有数据包，如果检测到这个程序并没有被许可放行，则自动报警，并发出提示是否允许这个程序放行，这时候就需要你这个“最高统帅”做出判断了。一般来说，自己没有运行或者不太了解的程序，我们一律阻拦，并通过搜索引擎或者防火墙的提示确认该软件的性质。

　　写到这里，大家估计对杀毒软件和防火墙的区别有一定了解了，举个直观的例子：你的系统就好比一座城堡，你是这个城堡的最高统帅，杀毒软件和防火墙是负责安全的警卫，各有分工。杀毒软件负责对进入城堡的人进行鉴别，如果发现可疑的人物就抓起来（当然，抓错的几率很大，不然就没有这么多误杀误报事件了）；而防火墙则是门卫，对每一个进出城堡的人都进行检查，一旦发现没有出入证的人就向最高统帅确认。因此，任何木马或者间谍软件，或许可能在杀毒软件的眼皮底下偷偷记录你的帐号密码，可是由于防火墙把城门看得死死的，再多的信息也传不出去，从而保护了你的系统安全。

　　另外，对于黑客攻击，杀毒软件是没有任何办法的，因为黑客的操作不具有任何特征码，杀毒软件自然无法识别，而防火墙则可以把你系统的每个端口都隐藏起来，让黑客找不到入口，自然也就保证了系统的安全。

　　目前全球范围内防火墙种类繁多，不过从个人经验来说，推荐天网防火墙给大家。天网防火墙可以有效的防止黑客、木马或者其他恶意程序盗取您的隐私包括：网上银行、网络游戏、QQ等的帐号和密码。

      

                        　　1.禁止使用电脑

　　现象描述:尽管网络流氓们用这一招的不多，但是一旦你中招了，后果真是不堪设想!浏览了含有这种恶意代码的网页其后果是:"关闭系统"、"运行"、"注销"、注册表编辑器、DOS程序、运行任何程序被禁止，系统无法进入"实模式"、驱动器被隐藏。

　　解决办法:一般来说上述八大现象你都遇上了的话，基本上系统就给"废"了，建议重装。

　　2.格式化硬盘

　　现象描述:这类恶意代码的特征就是利用IE执行ActiveX的功能，让你无意中格式化自己的硬盘。只要你浏览了含有它的网页，浏览器就会弹出一个警告说"当前的页面含有不安全的ctiveX，可能会对你造成危害"，问你是否执行。如果你选择"是"的话，硬盘就会被快速格式化，因为格式化时窗口是最小化的，你可能根本就没注意，等发现时已悔之晚矣。

　　解决办法:除非你知道自己是在做什么，否则不要随便回答"是"。该提示信息还可以被修改，如改成"Windows正在删除本机的临时文件，是否继续"，所以千万要注意!此外，将计算机上Format.com、Fdisk.exe、Del.exe、Deltree.exe等命令改名也是一个办法。

　　3.下载运行木马程序

　　现象描述:在网页上浏览也会中木马?当然，由于IE5.0本身的漏洞，使这样的新式入侵手法成为可能，方法就是利用了微软的可以嵌入exe文件的eml文件的漏洞，将木马放在eml文件里，然后用一段恶意代码指向它。上网者浏览到该恶意网页，就会在不知不觉中下载了木马并执行，其间居然没有任何提示和警告!

　　解决办法:第一个办法是升级您的IE5.0，IE5.0以上版本没这毛病;此外，安装瑞星2006、Norton等

　　病毒防火墙，它会把网页木马当作病毒迅速查截杀。

　　4. 注册表的锁定

　　现象描述:有时浏览了恶意网页后系统被修改，想要用Regedit更改时，却发现系统提示你没有权限运行该程序，然后让你联系管理员。晕了!动了我的东西还不让改，这是哪门子的道理!

　　解决办法:能够修改注册表的又不止Regedit一个，找一个注册表编辑器，例如:Reghance。将注册表中的HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System下的DWORD值"DisableRegistryTools"键值恢复为"0"，即可恢复注册表。

　　5.默认主页修改

　　现象描述:一些网站为了提高自己的访问量和做广告宣传，利用IE的漏洞，将访问者的IE不由分说地进行修改。一般改掉你的起始页和默认主页，为了不让你改回去，甚至将IE选项中的默认主页按钮变为失效的灰色。不愧是网络流氓的一惯做风。

　　解决办法:

　　（1）.起始页的修改。展开注册表到HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main，在右半部分窗口中将"Start Page"的键值改为"about:blank"即可。同理，展开注册表到HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main，在右半部分窗口中将"Start Page"的键值改为"about:blank"即可。

　　注意:有时进行了以上步骤后仍然没有生效，估计是有程序加载到了启动项的缘故，就算修改了，下次启动时也会自动运行程序，将上述设置改回来，解决方法如下: 　　　　运行注册表编辑器Regedit.exe，然后依次展开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run主键，然后将下面的"registry.exe"子键(名字不固定)删除，最后删除硬盘里的同名可执行程序。退出注册编辑器，重新启动计算机，问题就解决了。

　　（2）.默认主页的修改。运行注册表编辑器，展开HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\，将Default-Page-URL子键的键值中的那些恶意网站的网址改正，或者设置为IE的默认值。

　　（3）.IE选项按钮失效。运行注册表编辑器，将HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel中的DWORD值"Settings"=dword:1、"Links"=dword:1、"SecAddSites"=dword:1全部改为"0"，将HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Control Panel下的DWORD值"homepage"的键值改为"0"。

　　6.篡改IE标题栏

　　现象描述:在系统默认状态下，由应用程序本身来提供标题栏的信息。但是，有些网络流氓为了达到广告宣传的目的，将串值"Windows Title"下的键值改为其网站名或更多的广告信息，从而达到改变IE标题栏的目的。非要别人看他的东西，而且是通过非法的修改手段，除了"无耻"两个字，再没有其它形容词了。

　　解决办法:展开注册表到HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\下，在右半部分窗口找到串值"Windows Title"，将该串值删除。重新启动计算机。

　　7.篡改默认搜索引擎

　　现象描述:在IE浏览器的工具栏中有一个搜索引擎的工具按钮，可以实现网络搜索，被篡改后只要点击那个搜索工具按钮就会链接到网络注氓想要你去的网站。

　　解决办法:运行注册表编辑器，依次展开HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\CustomizeSearch和HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\SearchAssistant,将CustomizeSearch及SearchAssistant的键值改为某个搜索引擎的网址即可。

　　8.IE右键修改

　　现象描述:有的网络流氓为了宣传的目的，将你的右键弹出的功能菜单进行了修改，并且加入了一些乱七八糟的东西，甚至为了禁止你下载，将IE窗口中单击右键的功能都屏蔽掉。

　　解决办法:

　　（1）.右键菜单被修改。打开注册表编辑器，找到HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt，删除相关的广告条文。

　　（2）.右键功能失效。打开注册表编辑器，展开到HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Restrictions，将其DWORD值"NoBrowserContextMenu"的值改为0。 　　　　9.篡改地址栏文字

　　现象描述:中招者的IE地址栏下方出现一些莫名其妙的文字和图标，地址栏里的下拉框里也有大量的地址，并不是你以前访问过的。

　　解决办法:

　　（1）.地址栏下的文字。在HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\ToolBar下找到键值LinksFolderName，将其中的内容删去即可。

　　（2）.地址栏中无用的地址。在HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypeURLs中删除无用的键值即可。

　　10.启动时弹出对话框

　　现象描述:1.系统启动时弹出对话框，通常是一些广告信息，例如欢迎访问某某网站等等。2.开机弹出网页，通常会弹出很多窗口，让你措手不及，恶毒一点的，可以重复弹出窗口直到死机。

　　解决办法:

　　（1）.弹出对话框。打开注册表编辑器，找到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon主键，然后在右边窗口中找到"LegalNoticeCaption"和"LegalNoticeText"这两个字符串，删除这两个字符串就可以解决在启动时出现提示框的现象了。

　　（2）.弹出网页。点击"开始-运行-输入msconfig",选择"启动"，把里面后缀为url、html、htm的网址文件都勾掉。

　　11.IE窗口定时弹出

　　现象描述:中招者的机器每隔一段时间就弹出IE窗口，地址指向网络注氓的个人主页。不晓得是不是网络流氓以为这样你就会经常光顾?

　　解决办法:点击"开始-运行-输入msconfig",选择"启动"，把里面后缀为hta的都勾掉，重启。

      

                        最近盗号很猖獗，大家一定要小心看管自己的账号！这里有一些小技巧希望大家能注意一下。 　　1、公共场所上网、下机前，务必重起电脑

　　相信现在网吧电脑都100%安装了还原系统，重起电脑基本可以杜绝菜鸟级别的盗号手段。

　　2、上网过程中，坚决不打开别人发你的不明链接

　　记得有一次，正跟玩魔力的朋 友QQ聊天。他莫名其妙的让我去某网址看照片。我正犹豫的时候，他紧接着发过来一句“千万别开那网页，有病毒!我电脑已经感染了……”

　　上网，不要浏览乱七八糟的网站，尤其是现在的一些卖虚拟财产的网站，广告价格特别便宜，其实就是引人上当。如果你上网感觉不明原因的电脑运行慢了，立刻重起电脑。

　　3、不要随便陷入“网恋”

　　“网恋”骗号，损失的不只是物质财富，还有感情。网络，只是一个虚拟的世界，不要过于想入非非。账号尽量不要告诉别人，特别是异性，除非你绝对相信他!

　　4、账号、密码错位输入

　　比如你的账号是ABcdEFG，你输入的时候先输入cd，再用鼠标把光标移动盗最前面输入AB，再用鼠标把光标移动盗 最后输入 EFG。这种方法可以让大多数木马失效。