海东青's blog

      使用mysql，安全问题不能不注意。以下是mysql提示的23个注意事项：
　　1.如果客户端和服务器端的连接需要跨越并通过不可信任的网络，那么就需要使用ssh隧道来加密该连接的通信。
　　2.用set password语句来修改用户的密码，三个步骤，先“mysql -u root”登陆数据库系统，然后“mysql> update mysql.user set password=password('newpwd')”，最后执行“flush privileges”就可以了。
　　3.需要提防的攻击有，防偷听、篡改、回放、拒绝服务等，不涉及可用性和容错方面。对所有的连接、查询、其他操作使用基于acl即访问控制列表的安全措施来完成。也有一些对ssl连接的支持。
　　4.除了root用户外的其他任何用户不允许访问mysql主数据库中的user表;
　　加密后存放在user表中的加密后的用户密码一旦泄露，其他人可以随意用该用户名/密码相应的数据库;
　　5.用grant和revoke语句来进行用户访问控制的工作;
　　6.不使用明文密码，而是使用md5()和sha1()等单向的哈系函数来设置密码;
　　7.不选用字典中的字来做密码;
　　8.采用防火墙来去掉50%的外部危险，让数据库系统躲在防火墙后面工作，或放置在dmz区域中;
　　9.从因特网上用nmap来扫描3306端口，也可用telnet server_host 3306的方法测试，不能允许从非信任网络中访问数据库服务器的3306号tcp端口，因此需要在防火墙或路由器上做设定;
　　10.为了防止被恶意传入非法参数，例如where id=234，别人却输入where id=234 or 1=1导致全部显示，所以在web的表单中使用''或""来用字符串，在动态url中加入"代表双引号、#代表井号、'代表单引号;传递未检查过的值给mysql数据库是非常危险的;
　　11.在传递数据给mysql时检查一下大小;
　　12.应用程序需要连接到数据库应该使用一般的用户帐号，只开放少数必要的权限给该用户;
　　$page_devide$
　　13.在各编程接口(c c   php perl java jdbc等)中使用特定‘逃脱字符’函数;
　　在因特网上使用mysql数据库时一定少用传输明文的数据，而用ssl和ssh的加密方式数据来传输;
　　14.学会使用tcpdump和strings工具来查看传输数据的安全性，例如tcpdump -l -i eth0 -w -src or dst port 3306 strings。以普通用户来启动mysql数据库服务;
　　15.不使用到表的联结符号，选用的参数 --skip-symbolic-links;
　　16.确信在mysql目录中只有启动数据库服务的用户才可以对文件有读和写的权限;
　　17.不许将process或super权限付给非管理用户，该mysqladmin processlist可以列举出当前执行的查询文本;super权限可用于切断客户端连接、改变服务器运行参数状态、控制拷贝复制数据库的服务器;
　　18.file权限不付给管理员以外的用户，防止出现load data '/etc/passwd'到表中再用select 显示出来的问题;
　　19.如果不相信dns服务公司的服务，可以在主机名称允许表中只设置ip数字地址;
　　20.使用max_user_connections变量来使mysqld服务进程，对一个指定帐户限定连接数;
　　21.grant语句也支持资源控制选项;
　　22.启动mysqld服务进程的安全选项开关，--local-infile=0或1 若是0则客户端程序就无法使用local load data了，赋权的一个例子grant insert(user) on mysql.user to 'user_name'@'host_name';若使用--skip-grant-tables系统将对任何用户的访问不做任何访问控制，但可以用 mysqladmin flush-privileges或mysqladmin reload来开启访问控制;默认情况是show databases语句对所有用户开放，可以用--skip-show-databases来关闭掉。
　　23.碰到error 1045(28000) access denied for user 'root'@'localhost' (using password:no)错误时，你需要重新设置密码，具体方法是:先用--skip-grant-tables参数启动mysqld，然后执行 mysql -u root mysql,mysql>update user set password=password('newpassword') where user='root';mysql>flush privileges;，最后重新启动mysql就可以了。

      本文针对入侵检测系统的漏洞来了解一下黑客的入侵手法。一旦安装了网络入侵检测系统，网络入侵检测系统就会为你分析出网上出现的黑客攻击事件，而且你能用此入侵检测系统的反击功能，即时将这种联机猎杀或阻断。你也可以配合防火墙的设置，由入侵检测系统自动为你动态修改防火墙的存取规则，拒绝来自这个ip 的后续联机动作!”这种美好的“前景”，可能是许多入侵检测系统提供商的惯用销售手法，一般的企业或组织在建立自己的入侵检测系统时也会有这种预期目的。诚然，入侵检测系统可以具有很好的监视及检测入侵的能力，也可以对企业或组织的安全提供很好的协助。但是，正如小偷的手法会随着锁的设计而不断“更新”一样，随着入侵检测系统的出现，许多针对网络入侵检测系统的规避手法也随之不断“升级”。如今，黑客对于入侵检测系统已经有了一套较完整的入侵手法。下面我们将针对入侵检测系统的漏洞来了解一下黑客的入侵手法。
　　一、识别方式的设计漏洞
　　1.对比已知攻击手法与入侵检测系统监视到的在网上出现的字符串，是大部分网络入侵检测系统都会采取的一种方式。例如，在早期apache web服务器版本上的phf cgi程序，就是过去常被黑客用来读取服务器系统上的密码文件(/etc/password)，或让服务器为其执行任意指令的工具之一。当黑客利用这种工具时，在其url request请求中多数就会出现类似“get /cgi-bin/phf?.....”的字符串。因此许多入侵检测系统就会直接对比所有的url request 中是否出现/cgi-bin/phf 的字符串，以此判断是否出现phf 的攻击行为。
　　2.这样的检查方式，虽然适用于各种不同的入侵检测系统，但那些不同的入侵检测系统，因设计思想不同，采用的对比方式也会有所不同。有的入侵检测系统仅能进行单纯的字符串对比，有的则能进行详细的tcp session重建及检查工作。这两种设计方式，一个考虑了效能，一个则考虑了识别能力。攻击者在进行攻击时，为避免被入侵检测系统发现其行为，可能会采取一些规避手法，以隐藏其意图。例如：攻击者会将url中的字符编码成%xx 的警惕6进值，此时“cgi-bin”就会变成“cgi-bin”，单纯的字符串对比就会忽略掉这串编码值内部代表的意义。攻击者也可以通过目录结构的特性，隐藏其真正的意图，例如：在目录结构中，“./”代表本目录，“../”代表上层目录，web服务器 可能会将“/cgi-bin/././phf”、“//cgi-bin//phf”、“/cgi-bin/blah/../phf?”这些url request均解析成“/cgi-bin/phf”，但单纯的入侵检测系统可能只会判断这些request是否包含“/cgi-bin/phf”的字符串，而没有发现其背后所代表的意义。
　　3.将整个request在同一个tcp session中切割成多个仅内含几个字符的小packet，网络入侵检测若没将整个tcp session重建，则入侵检测系统将仅能看到类似“get”、“/cg”、“i”、“-bin”、“/phf”的个别packet，而不能发现重组回来的结果，因为它仅单纯地检查个别packet是否出现类似攻击的字符串。类似的规避方式还有ip fragmentation overlap、tcp overlap 等各种较复杂的欺瞒手法。
　　二、“猎杀”及重调安全政策的漏洞
　　所谓“猎杀”，就是在服务器中设定一个陷阱，如有意打开一个端口，用检测系统对其进行24小时的严密盯防，当黑客尝试通过该端口入侵时，检测系统就会及时地将其封锁。网络入侵检测系统的“猎杀”及重新调整防火墙安全政策设置功能，虽然能即时阻断攻击动作，但这种阻断动作仅能适用tcp session，要完全限制，就必须依赖重新调整防火墙安全政策设置的功能，同时也可能造成另一种反效果：即时阻断的动作会让攻击者发现ids的存在，攻击者通常会寻找规避方式，或转向对ids进行攻击。重新设置防火墙的安全政策，若设置不当，也可能造成被攻击者用来做阻断服务(denial of service)攻击的工具：经过适当的设计，若网络入侵检测的检查不足，攻击者可以伪装成其他的正常ip来源进行攻击动作，入侵检测系统若贸然限制这些来源的ip，将会导致那些合法用户因攻击者的攻击而无法使用。论是识别方式的设计，还是所谓的“猎杀”及重新设置防火墙安全政策的设置功能，都有其利弊。能够实地了解入侵检测系统的识别方式，或进行其识别手法的调整，将有助于提高入侵检测系统运作的正确性。对“猎杀”及重新调整防火墙安全政策设置功能工具的使用，则应仔细评估其效益与相应的损失，这样才能有效地发挥网络入侵检测系统的功能。

       防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信均要经过此防火墙。
防火墙的功能
　　防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。
为什么使用防火墙
　　防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。你可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务，如视频流等，但至少这是你自己的保护选择。
防火墙的类型
　　防火墙有不同类型。一个防火墙可以是硬件自身的一部分，你可以将因特网连接和计算机都插入其中。防火墙也可以在一个独立的机器上运行，该机器作为它背后网络中所有计算机的代理和防火墙。最后，直接连在因特网的机器可以使用个人防火墙。
防火墙的概念
　　在网络中，所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。
防火墙的功能
　　防火墙是网络安全的屏障：
　　一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。
　　防火墙可以强化网络安全策略：
　　通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。
　　对网络存取和访问进行监控审计：
　　如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。
　　防止内部信息的外泄：
　　通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger，DNS等服务。Finger显示了主机的所有用户的注册名、真名，最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的DNS信息，这样一台主机的域名和IP地址就不会被外界所了解。
　　除了安全作用，防火墙还支持具有Internet服务特性的企业内部网络技术体系VPN（虚拟专用网）。

      ADSL 作为应用最广泛的宽带上网方式之一，得到了很多用户的喜爱。但病毒也会利用 ADSL 的速度优势进入用户电脑，有研究显示，如果不安装必要的措施进行防护， ADSL 用户上网几十分钟后就会遭病毒感染。
　　因此，ADSL 用户应该采取以下措施保护自己的安全：
　　安装杀毒软件和个人防火墙，并记得及时升级（瑞星杀毒软件每个工作日升级三次，尽量设置好升级频率）。
　　注意打好系统补丁，建议采用安全性较好的操作系统。因为微软已经对某些操作系统例如 Window 98停止了技术支持，使用这些系统可能造成安全风险。
　　玩游戏或者使用网络银行时，一定要开启杀毒软件的实时监控功能和个人防火墙，进行防护。
　　如果不愿意出门购买光盘介质的单机版杀毒软件，可以应用瑞星杀毒软件下载版，但要注意的是，瑞星下载版软件不包括个人防火墙，最好另外安装个人防火墙下载版，才可以构成一个比较完整的防护体系。
　　如果使用IE浏览器上网，最好安装“卡卡安全助手”，它可以阻止弹出式广告窗口和浏览器插件，比较好的保护用户的安全。

      恶意劫持者很喜欢把网络邮件账户作为攻击目标,还有法律执行情况调查者以及搞破坏的内部人员也都会把网络邮箱作为目标。网络邮箱的安全至关重要，它甚至跟你的网络银行账户的重要性差不多。如果你的网络邮箱被劫持了，那么所有跟它相关的网络账户（遗忘密码时发送邮件通知的那些系统）都有可能泄露出去，包括你的银行信息。常见的此类攻击有钓鱼垃圾邮件，密码强行破译，跨站点脚本攻击以及利用认证系统的漏洞进行的攻击。对于绝大部分的攻击，普通用户是无法发现或者处理的。问题是，除非你的密码在你不知情的情况下被修改了，否则你怎么知道账户已经被窃取了呢？值得庆幸的是，我们这里有种很简单的方法。
通常当有人窃取了某一网络邮箱账户时，他们会过滤掉所有你的邮件，只留下他们感兴趣的信息。除非入侵者真的很愚蠢，尽管有的时候他们的确很愚蠢，一般他们会把所有的邮件恢复成未读状态（粗体），因此你不会发现他们的存在的。你可以在账户中实现设置好一种无声的虚拟报警器。方法如下：
1）把一个小图片上传到某个你可以查看访问记录的地方。现在很多网站提供网络空间，比如你的DSL服务提供商，或者有共享空间的朋友等等呢个。上传完成后，不要把图片的URL地址公开。最好把它隐藏起来，这样就不会出现有人偶然发现该链接的那种情况了。
2）往你的网络邮箱里发一封电子邮件，在邮件中附带上那个图片，给它加一个吸引人的主题，比如“新的银行密码”，“回复：雇员个人信息”，或者“成功了，我们通过了！”等等。你可以使用入侵者不会不去看的任何主题。把这封邮件放在收件箱中，保持未读状态。这样，你的无声报警器就设置好了。
3）当然，我们还是希望你的账户永远不会被劫持。但是一旦有入侵者侵入了你的邮箱，并读了你的报警邮件，那么他们就会访问到嵌入在图片中的URL。你可以定期的检查图片的访问日志，如果有被访问过的痕迹，那么你的账户很有可能是被劫持了。网络服务器日志中会包含入侵者的IP地址以及他们侵入你的邮箱并读这封邮件的时间。
这个方法很简单吧。你也可以用同样的方法通过消息系统来保护自己的MySpace账户。有兴趣不妨试试。

=============================================
【参考文章】Jeremiah Grossman 《How to check if your WebMail account has been hacked》

      

                        目前，使用ADSL的用户越来越多，由于ADSL用户在线时间长、速度快，因此成为黑客们的攻击目标。现在网上出现了各种越来越详细的“IP地址库”，要知道一些ADSL用户的IP是非常容易的事情。要怎么保卫自己的网络安全呢？不妨看看以下方法。

　　一、取消文件夹隐藏共享

　　如果你使用了Windows 2000/XP系统，右键单击C盘或者其他盘，选择"共享"，你会惊奇地发现它已经被设置为“共享该文件夹”，而在“网上邻居”中却看不到这些内容，这是怎么回事呢？

　　原来，在默认状态下，Windows 2000/XP会开启所有分区的隐藏共享，从“控制面板/管理工具/计算机管理”窗口下选择“系统工具/共享文件夹/共享”，就可以看到硬盘上的每个分区名后面都加了一个“$”。但是只要键入“\\计算机名或者IP\C$”，系统就会询问用户名和密码，遗憾的是，大多数个人用户系统Administrator的密码都为空，入侵者可以轻易看到C盘的内容，这就给网络安全带来了极大的隐患。

　　怎么来消除默认共享呢？方法很简单，打开注册表编辑器，进入“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Sevices\Lanmanworkstation\parameters”，新建一个名为“AutoShareWKs”的双字节值，并将其值设为“0”，然后重新启动电脑，这样共享就取消了。

　　二、拒绝恶意代码

　　恶意网页成了宽带的最大威胁之一。以前使用Modem，因为打开网页的速度慢，在完全打开前关闭恶意网页还有避免中招的可能性。现在宽带的速度这么快，所以很容易就被恶意网页攻击。

　　一般恶意网页都是因为加入了用编写的恶意代码才有破坏力的。这些恶意代码就相当于一些小程序，只要打开该网页就会被运行。所以要避免恶意网页的攻击只要禁止这些恶意代码的运行就可以了。

　　运行IE浏览器，点击“工具/Internet选项/安全/自定义级别”，将安全级别定义为“安全级-高”，对“ActiveX控件和插件”中第2、3项设置为“禁用”，其它项设置为“提示”，之后点击“确定”。这样设置后，当你使用IE浏览网页时，就能有效避免恶意网页中恶意代码的攻击。

　　三、封死黑客的“后门”

　　俗话说“无风不起浪”，既然黑客能进入，那说明系统一定存在为他们打开的“后门”，只要堵死这个后门，让黑客无处下手，便无后顾之忧！

　　1.删掉不必要的协议

　　对于服务器和主机来说，一般只安装TCP/IP协议就够了。鼠标右击“网络邻居”，选择“属性”，再鼠标右击“本地连接”，选择“属性”，卸载不必要的协议。其中NETBIOS是很多安全缺陷的根源，对于不需要提供文件和打印共享的主机，还可以将绑定在TCP/IP协议的NETBIOS关闭，避免针对NETBIOS的攻击。选择“TCP/IP协议/属性/高级”，进入“高级TCP/IP设置”对话框，选择“WINS”标签，勾选“禁用TCP/IP上的NETBIOS”一项，关闭NETBIOS。

　　2.关闭“文件和打印共享”

　　文件和打印共享应该是一个非常有用的功能，但在不需要它的时候，也是黑客入侵的很好的安全漏洞。所以在没有必要“文件和打印共享”的情况下，我们可以将它关闭。用鼠标右击“网络邻居”，选择“属性”，然后单击“文件和打印共享”按钮，将弹出的“文件和打印共享”对话框中的两个复选框中的钩去掉即可。

　　虽然“文件和打印共享”关闭了，但是还不能确保安全，还要修改注册表，禁止它人更改“文件和打印共享”。打开注册表编辑器，选择“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\NetWork”主键，在该主键下新建DWORD类型的键值，键值名为“NoFileSharingControl”，键值设为“1”表示禁止这项功能，从而达到禁止更改“文件和打印共享”的目的；键值为“0”表示允许这项功能。这样在“网络邻居”的“属性”对话框中“文件和打印共享”就不复存在了。

　　3.把Guest账号禁用

　　有很多入侵都是通过这个账号进一步获得管理员密码或者权限的。如果不想把自己的计算机给别人当玩具，那还是禁止的好。打开控制面板，双击“用户和密码”，单击“高级”选项卡，再单击“高级”按钮，弹出本地用户和组窗口。在Guest账号上面点击右键，选择属性，在“常规”页中选中“账户已停用”。另外，将Administrator账号改名可以防止黑客知道自己的管理员账号，这会在很大程度上保证计算机安全。

　　4.禁止建立空连接

　　在默认的情况下，任何用户都可以通过空连接连上服务器，枚举账号并猜测密码。因此，我们必须禁止建立空连接。方法有以下两种：

　　方法一是修改注册表：打开注册表“HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA”，将DWORD值“RestrictAnonymous”的键值改为“1”即可。

　　最后建议大家给自己的系统打上补丁，微软那些没完没了的补丁还是很有用的！四、隐藏IP地址

　　黑客经常利用一些网络探测技术来查看我们的主机信息，主要目的就是得到网络中主机的IP地址。IP地址在网络安全上是一个很重要的概念，如果攻击者知道了你的IP地址，等于为他的攻击准备好了目标，他可以向这个IP发动各种进攻，如DoS(拒绝服务)攻击、Floop溢出攻击等。隐藏IP地址的主要方法是使用代理服务器。

　　与直接连接到Internet相比，使用代理服务器能保护上网用户的IP地址，从而保障上网安全。代理服务器的原理是在客户机（用户上网的计算机）和远程服务器（如用户想访问远端WWW服务器）之间架设一个“中转站”，当客户机向远程服务器提出服务要求后，代理服务器首先截取用户的请求，然后代理服务器将服务请求转交远程服务器，从而实现客户机和远程服务器之间的联系。很显然，使用代理服务器后，其它用户只能探测到代理服务器的IP地址而不是用户的IP地址，这就实现了隐藏用户IP地址的目的，保障了用户上网安全。提供免费代理服务器的网站有很多，你也可以自己用代理猎手等工具来查找。　

　　五、关闭不必要的端口

　　黑客在入侵时常常会扫描你的计算机端口，如果安装了端口监视程序（比如Netwatch），该监视程序则会有警告提示。如果遇到这种入侵，可用工具软件关闭用不到的端口，比如，用“Norton Internet Security”关闭用来提供网页服务的80和443端口，其他一些不常用的端口也可关闭。

　　六、更换管理员帐户

　　Administrator帐户拥有最高的系统权限，一旦该帐户被人利用，后果不堪设想。黑客入侵的常用手段之一就是试图获得Administrator帐户的密码，所以我们要重新配置Administrator帐号。

　　首先是为Administrator帐户设置一个强大复杂的密码，然后我们重命名Administrator帐户，再创建一个没有管理员权限的Administrator帐户欺骗入侵者。这样一来，入侵者就很难搞清哪个帐户真正拥有管理员权限，也就在一定程度上减少了危险性。

　　七、杜绝Guest帐户的入侵

　　Guest帐户即所谓的来宾帐户，它可以访问计算机，但受到限制。不幸的是，Guest也为黑客入侵打开了方便之门！网上有很多文章中都介绍过如何利用Guest用户得到管理员权限的方法，所以要杜绝基于Guest帐户的系统入侵。

　　禁用或彻底删除Guest帐户是最好的办法，但在某些必须使用到Guest帐户的情况下，就需要通过其它途径来做好防御工作了。首先要给Guest设一个强壮的密码，然后详细设置Guest帐户对物理路径的访问权限。举例来说，如果你要防止Guest用户可以访问tool文件夹，可以右击该文件夹，在弹出菜单中选择“安全”标签，从中可看到可以访问此文件夹的所有用户。删除管理员之外的所有用户即可。或者在权限中为相应的用户设定权限，比方说只能“列出文件夹目录”和“读取”等，这样就安全多了。

　　八、安装必要的安全软件

　　我们还应在电脑中安装并使用必要的防黑软件，杀毒软件和防火墙都是必备的。在上网时打开它们，这样即便有黑客进攻我们的安全也是有保证的。

　　九、防范木马程序

　　木马程序会窃取所植入电脑中的有用信息，因此我们也要防止被黑客植入木马程序，常用的办法有：

　　● 在下载文件时先放到自己新建的文件夹里，再用杀毒软件来检测，起到提前预防的作用。

　　● 在“开始”→“程序”→“启动”或“开始”→“程序”→“Startup”选项里看是否有不明的运行项目，如果有，删除即可。　

　● 将注册表里 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下的所有以“Run”为前缀的可疑程序全部删除即可。

　　十、不要回陌生人的邮件

　　有些黑客可能会冒充某些正规网站的名义，然后编个冠冕堂皇的理由寄一封信给你要求你输入上网的用户名称与密码，如果按下“确定”，你的帐号和密码就进了黑客的邮箱。所以不要随便回陌生人的邮件，即使他说得再动听再诱人也不上当。

　　做好IE的安全设置

　　ActiveX控件和 Applets有较强的功能，但也存在被人利用的隐患，网页中的恶意代码往往就是利用这些控件编写的小程序，只要打开网页就会被运行。所以要避免恶意网页的攻击只有禁止这些恶意代码的运行。IE对此提供了多种选择，具体设置步骤是：“工具”→“Internet选项”→“安全”→“自定义级别”，建议您将ActiveX控件与相关选项禁用。谨慎些总没有错！

　　另外，在IE的安全性设定中我们只能设定Internet、本地Intranet、受信任的站点、受限制的站点。不过，微软在这里隐藏了“我的电脑”的安全性设定，通过修改注册表把该选项打开，可以使我们在对待ActiveX控件和 Applets时有更多的选择，并对本地电脑安全产生更大的影响。

　　下面是具体的方法：打开“开始”菜单中的“运行”，在弹出的“运行”对话框中输入Regedit.exe，打开注册表编辑器，点击前面的“ ”号顺次展开到：HKEY_CURRE-NT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\0，在右边窗口中找到DWORD值“Flags”，默认键值为十六进制的21(十进制33)，双击“Flags”，在弹出的对话框中将它的键值改为“1”即可，关闭注册表编辑器。无需重新启动电脑，重新打开IE，再次点击“工具→Internet选项→安全”标签，你就会看到多了一个“我的电脑”图标，在这里你可以设定它的安全等级。将它的安全等级设定高些，这样的防范更严密。

      

                        1、吞吐量测试

这项测试用来确定防火墙在接收和发送数据包而没有丢失情况下的最大数据传输速率，是测试防火墙在正常工作时的数据传输处理能力，是其它指标的基础。它反映的是防火墙的数据包转发能力。因为数据流中一帧的丢失会导致由于高层协议等待超时而产生重大延迟，所以知道防火墙实际的最大数据传输速率是非常有用的。同时该项指标还能用于判断防火墙设备在超过自身负载的情况下稳定性问题。

更高的吞吐量使得防火墙更能适用于网络核心层对流量要求很高的网络环境，使防火墙不会成为网络的性能瓶颈，不会影响正常的业务通讯。

2、延迟测试

延时是指从测试数据帧的最后一个比特进入被测设备端口开始至测试数据包的第一个比特从被测设备另一端口离开的时间间隔。

延迟指标对于一些对实时敏感的应用，如网络电话、视频会议、数据库复制等应用影响很大，因此好的延时指标对于评价防火墙的性能表现非常重要。

所有帧长的延迟测试在50%和100%吞吐率下进行，横向比较的是存储转发的延迟结果。单机转发延迟（一条规则，2个GE口，双向2Gbps流量，分别在50%和100%吞吐率下测试）。

3、丢包率测试

丢包率测试用来确定防火墙在不同传输速率下丢失数据包的百分数，目的在于测试防火墙在超负载情况下的性能。

对于金融、证券、电子商务等涉及在线交易的行业，对数据传输的丢包率要求非常苛刻，即便系统结构内部存在纠错、校对机制，但大量的丢包率会导致频繁的roll-back动作，耽误重要交易的及时进行， 影响交易人对系统的信心以至于导致客户的流失。因此丢包率指标对于银行系统网络至关重要。

对于64~1518 byte的帧长，分别采用40%、70%、100%线速进行测试。单机丢包率（一条规则，2个GE口，双向2Gbps流量，分别在40%，70%和100%线速下的丢包率）。

4、并发连接测试

本项测试用于测试防火墙能建立的TCP并发连接数的最大值。

      

                        这里的所谓“Web源代码”，指的是客户端的诸如HTML、Javascript之类的东西，当你辛辛苦苦写出来一个web应用程序时，可能希望自己的劳动成果不被别人任意剽窃修改，但是这些东西如果不加处理，很容易被人拷贝。

其实说实话，我个人认为，作为描述性的语言，web源代码没有经过编译，也就是说，无论怎么加密，它在客户端都会最终以源代码形式出现，要绝对的防止被察看是不可能的。但是，我们还是要讨论这个问题，因为虽然没有绝对，但是相对比较安全就好了，正如系统的安全没有绝对，只有相对一样。只要能让绝大多数人束手无策，我们的目的也就达到了。

首先，禁止右键是一个比较常见的方法，这无论如何是不能彻底阻止用户察看源代码，但是既然无法防止用户察看代码，就只能把代码加工，让人看了也无法理解其意义。

一个比较经典而有效的方法是利用的js的escape方法，将源代码经过escape编码后，大部分文字被转换成了型如%xx的编码，unicode字符被转换成%uxxxx格式，于是看起来一片混乱。使用的时候先将这段编码作为数据，利用unescape转换回原貌，再用js写进需要的位置，于是便可正常使用了。

这个方法原理简单，而且可以反复调用，将源代码经过数层加密(将解密的程序本身也作为源代码进行加密)，已经足以让大部分的人摸不着头脑了。他的缺点是编码效率不高，经过编码后数据量增加很多。而且这种编码要解也很容易。

仿照这个原理，其实你可以自己写出自己的算法来代替escape，不过因为这个部分源代码也是明文，所以其实意义不大，只能唬唬那些利用现成工具解码的人，稍微会编程的人都可以利用你的源代码部分，修改一下输出，得到你的代码明文。

作为全球最大的软件商，微软公司也意识到了脚本的知识产权保护问题，因此在IE5以上的版本里加入了对编码脚本的支持，这里的“编码”和上面所述的略有不同，这是通过微软专门的wse(windows script encoder)进行脚本编码，其范围也不仅仅局限于客户端脚本，它也可以对wsh，甚至服务器端的ASP脚本进行编码，经过编码的脚本看起来是一堆乱七八糟毫无疑义的字符(好像unicode会不经编码原封不动的保留下来)，在运行的时候在脚本引擎内部进行解码，由于解码算法是脚本引擎内置的，所以一般人难以解出源代码。另外，由于解码中要进行完整性效验，即使unicode以原码显示出来了也不能被修改，修改哪怕是一个字节，就会使整段代码失效。

这个方法目前看来很安全，还没有现成的工具对其进行破解。但是要知道，这些算法是可逆的，也就是说迟早会有人找出其算法，我甚至猜测script engine本身提供了编码解码的接口，可以直接调用的。解密工具迟早要出来。而且这个加密方法有个很大的缺陷，就是必须要求IE5以上才能用，要知道，IE4的用户不在少数，因此在很大程度上限制了推广使用。

真的没有两全的办法了吗？

写到这里，我自己产生了一个想法：利用随机密匙 固定或随机算法进行加密，只是一时想法，还不成熟，而且也只是可以骗过一般人而已，不妨写下来供参考：

先想一种需要密匙的算法，比如xor，在服务器端写好加密算法，当用户访问此页的时候生成一个随机密匙，将解密算法以及加密后的数据发到客户端页面上，而在之前将此次会话生成的密匙通过某种特别途径发给客户端(比如服务器发来的cookie)，然后在客户端读出cookie里的密匙进行实时解密。由于不带过期参数的cookie是存在内存里的，在硬盘里找不到，因此除非用户知道写cookie的那个页面并且察看其http头(同时还要向服务器发去维持本次会话的sessionID以防止密匙改变)，否则是无法解密的。由于向客户端发送cookie的页面可以随机(可以在加密页面出现之前的任意页面)，而且密匙甚至算法均可随机，找到密匙，算法，数据三者相对应的过程相当之繁琐，可以吓倒不少的人。

这种加密法是否可行还有待探讨，只是我一时想法而已，有空的时候我会试验一下，看看到底能不能用。