寻觅安琪儿&Angel

 不管是病毒木马还是杀软几乎都让我们头疼,那么病毒木马会干些什么呢?废话嘛,当然是拖慢系统,让系统故障,破坏数据,甚至让系统无法启动.那杀软就会阻止病毒和木马的破坏,那么越是检查严格的杀软就越是占用系统的资源,如果你硬件配置不高而以为追求高性能杀软,,反而得不偿失.病毒拖慢系统,杀软也拖慢系统.而且病毒木马出生在前,杀软跟进在后.厉害关系尽人皆知.但是如何建立HIPS赋予系统免疫力让系统即使受到了病毒和木马的席卷,那黑客怎么办?

一,堵住路口,启用系统自带防火墙

打开始菜单-开运行输入secpol.msc开启本地安全策略(XP专业版本才有,XP HOME没有).右击软件限制策略,选择创建新的策略.然后软件限制策略下会自动创建多个子项..别的地方都不用改.其他规则才是我们要任意发挥水平的地方.注意其他规则里有系统默认的四个注册表规则,不能修改,否则系统将崩溃.现在再右击"其他规则".会发现他的菜单里有个新路径规则.好我们就要在路径规则里做文章.这里允许使用通配符",""?""%"比如"%windows%"就表示c:\windows d:\windows等不管你windows文件夹在哪个分区,都给你认出来.

 

实例1_杜绝阴暗角落的袭击:NTFS，则会保存在Recycler这个文件夹里，而不是Recycled文件夹，因此不用担心是病毒文件夹。则会保存在Recycler这个文件夹里.（在这特别感谢发现问题的cml45朋友）那我们应该：

很多病毒木马为了逃过用户的追杀都藏在很隐秘的地方,比如回收站,System Volume Information(系统还原文件夹)等,加上隐藏属性,用户很难发觉.而实际上这些文件夹在正常情况下是不会有任何可执行程序的.所以我们可以建立如下规则(右击其他规则,在菜单中选择新建路径规则):

在路径框中输入 ?:\Recycled\*.* 安全级别设置为"不允许的"

特别注意。如果分区文件系统是NTFS，在Windows的NT架构的系统中，即Windows NT/2000/XP/2003，会为系统中的每位用户创建各自的回收站文件夹，如果分区文件系统是

在路径框中输入 ?:\Recycler\*.* 安全级别设置为"不允许的"

在路径框中输入 ?:\System Volume Information\*.* 安全级别设置为"不允许的"

在路径框中输入 %windir%\system32\Drivers\*.* 安全级别设置为"不允许的"

在路径框中输入 %windir%\system\*.* 安全级别设置为"不允许的"

通过这四条规则就能屏蔽掉该四个文件夹下任意可执行文件的运行.完美防御了这一类病毒木马的进攻.放心这种格式是不会秒杀掉诸如.txt .jpg

这样的文本或者图片文件的.至于这四个文件的功能和重要性,菜鸟自己去百度知道.惰惰猴不想费口水.

实例2_杜绝仿冒危险程序:

进程仿冒是病毒和木马用得最多的手段.比如system32文件夹下的svchost.exe系统文件,病毒就可以同样用svchost.exe命名,然后放到windows其他任意文件夹下.那运行是XP默认的任务管理器就只会显示svchost.exe进程,而XP正常情况下本来就有很多个svchost.exe进程.这就欺骗了一般的用户.而一般的杀软也只有干瞪眼.本地安全策略则可以永久的免疫这种方式的木马和病毒.我们只需两条规则(右击其他规则,在菜单中选择新建路径规则,在路径中写规则):

在路径框中输入 svchost.exe 安全级别设置为"不允许的"

在路径框中输入 %windir%\system32\svchost.exe 安全级别设置为"不受限的"注意是不受限的

学过程序的人知道优先级关系,那么第二条使用绝对路径的优先级高于第一条基于文件名的路径.也就是system32下的svchost.exe是允许运行的,而其他任意文件夹下的svchost.exe都是是不允许运行的.

实例3_杜绝双面病毒木马:

用双扩展名迷惑用户的病毒木马也不少.比如mv.jpg.exe 免费得QQ会员的方法.txt.exe等等,再改个扩展名图标,不少火候不够热爱装逼的系统伪高手们就会误以为是个图片文件和文本文件而掉以轻心.中毒再所难免.

安全策略就能阻止,当然这可以自由发挥惰惰猴只举两个例子右击其他规则,在菜单中选择新建路径规则,在路径中写规则):

在路径框中输入 *jpg.exe 安全级别设置为"不允许的"

在路径框中输入 *txt.exe 安全级别设置为"不允许的"

实例4_不禁用U盘,光驱也能防U盘,光驱,病毒

假设你的U盘或者光驱的盘符是G和I

在路径框中输入 G:\*exe 安全级别设置为"不允许的"

在路径框中输入 G:\*com 安全级别设置为"不允许的"

当然如果你需要用光驱安装软件或者程序的时候就要把G:\*exe和G:\*com 改成不受限的.

防止U盘病毒那么就:

在路径框中输入 I:\*exe 安全级别设置为"不允许的"

在路径框中输入 I:\*com 安全级别设置为"不允许的"

一般的U盘病毒还会自己在U盘根目录下建立隐藏的System Volume Information文件夹和Recycled文件夹(哈哈,Recycled其实就是回收站文件夹)那么我给的第一个策略就挡住了.

还有就是注意不要死板.尽量多设置几个盘符,比如I,J,K,F.因为电脑一般有多个USB接口.

彻底切除病毒伸向U盘的黑手:

打开注册表.展开HKEY_CLASSES_ROOT\scriping.FileSystemObject项.重命名为HKEY_CLASSES_ROOT\scriping.FileSystemObject_NEW重启电脑后木马就无法利用FSO自动复制了.(FSO是ileSystemObject的缩写,不同的程序语言,比如vc,vb,js脚本都能利用FSO的支持用同一方法对文件进行操作,常常被病毒利用来自身复制).

禁止自动播放,加固USB:

打开注册表（开始-运行-regedit）展开分支HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\policies\Explorer在右侧的侧窗格中可以看到NoDriveTypeAutoRun的键值。这个键值就是指那些盘符类型，可以禁止自动播放功能，比如光盘和可移动硬盘等。

默认值中的数字式0x00000091（是十六进制数，其实就是十进制的145）。那么这个数字怎么修改呢？打开windows附件中的计算器，选择菜单“查看-科学计算”，然后在“十进制”状态下输入145，然后切换到二进制，怎样看到数字10010001（注意这个二进制数是从右向左看的）

 

这8位长的二进制数是什么意思呢？其实就是个二进制转换。好废话不说，用计算器照刚才的方法把二进制转化成十进制。惰惰猴为了以免各位看官算错直接给出十进制答案吧149。有兴趣的朋友可以自己按二进制的数位规则转换。注意别错了啊。错了就没什么作用了。好我们把149写入HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\policies\Explorer在右侧的侧窗格中可以看到NoDriveTypeAutoRun的键值中。注意双击NoDriveTypeAutoRun后选择十进制啊，看图

0位就是不能识别驱动器。1位就是没有根目录的驱动器。2位就是可移动驱动器（比如U盘）3位是固定驱动器。4位是网络驱动器。5位是光盘驱动器。6位是RAM磁盘。7位是保留。也就是说此处的10010001（从右向左看）第0位在10010001（从右向左看）的最右侧那位。将指定类型设备的自动播放功能。0表示允许自动播放，1表示禁止自动播放。我们要禁止U盘自动运行，因此我们就可以把从0为起始的第二位（从右向左看）改成1

所以刚才的10010001（从右向左看）就成了10010101（从右向左看）

是不是很复杂啊，

 

实例5_对付文件名伪装的病毒和木马:

文件名伪装最初是那些菜鸟黑客用的老掉牙的技术.可是我们仍不能不防.

比如windows桌面就是explorer.exe那么黑客现在把explorer.exe其中的字母L和O换成数字的0和1.怎样?眼睛疼了吧看得你吐血,你也不见得看清.有些病毒还会老到以.pif为后缀.他和.exe.com同样是可执行文件,但他们的扩展名,即使在你选择了显示隐藏文件夹扩展名后.都不会显示.废话不说,写

在路径框中输入expl0rer.exe注意把字母O换成数字0 安全级别设置为"不允许的"

在路径框中输入exp1orer.exe注意把字母L换成数字1 安全级别设置为"不允许的"

在路径框中输入exp10rer.exe注意把字母L,O换成数字1,0 安全级别设置为"不允许的"

在路径框中输入explorer.com 安全级别设置为"不允许的"

在路径框中输入*.pif 安全级别设置为"不允许的"

以下是设置好后的图片

 

二,扩展系统防火墙,保护IE和临时文件

介绍了本地安全策略-其他规则-路径规则的应用,那大家是否发现路径规的安全级别设置似乎只有"不允许的"和"不受限的两种"那么惰惰猴再来教大家扩展,事实上微软还在XP上隐藏了很多安全级别.有一个叫基本用户.什么意思呢?就是界于管理员和受限帐户之间的用户权限.类似windows Vista中的大部分权限.好,废话不说,我们马上开启.

打开注册表(XP系统的打开方法是,开始-运行-regedit)找到

HKEY_LOCAL_MACHINE\software\Policies\Microsoft\Windows\Safer\Codeldentifiers新建一个名为Levels的DWORD值.数值设置为一个十进制数131072.关闭注册表.重新注销系统.然后再登陆.打开本地安全策略(运行secpol.msc)本地安全策略-其他规则-路径规则的安全级别设置里就多了个基本用户.好下面我们利用基本用户来写出策略.防止病毒,木马通过捆绑IE浏览器感染临时文件夹.

实例_1给IE加盾.挡住网页挂马

我们可以用基本用户权限来加载IE防止木马病毒和恶意网站通过IE强行修改系统设置.方法同上,右击其他规则,打开新建路径规则,在打开的路径规则栏里输入%ProgramFiles%InternetExplorer\ieplorer.exe(浏览器路径位置也可以用浏览定位,%是通配符表示无论该文件夹在硬盘哪个分区都有效).然后在的安全级别设置中选基本用户.点击确定后退出,在运行中输入gpupdate /force(/号前有空格)回车执行刷新组策略设置.这样IE在上网时就安全多了.最好在把历史记录保存天数设置成0.

再次我们要封堵住IE浏览器的后门，由于微软在编辑IE的时候不是很严谨，没有检测ANI文件，所以一个恶意的ANI就可以嵌入，还记得鼠标在网页上指针变动画吗？这就是正常的ANI 效果。但如果是恶意的呢IE浏览器还会像傻逼一样执行。头痛啊。好，改：

首先去下载微软最新的IE创可贴补丁http://www.newhua.com/soft/26509.htm建议安装到自定义位置比如：D:\dropmyrights\

再在桌面上空白地方点鼠标右键选择“新建-快捷方式”，然后再目标中输入D:\dropmyrights\dropmyrights.exe“C:\Program File\Internet Explorer\iexpolorer.exe”(注意要加上C盘路径的引号)。根据向导完成创建。

 

在上网的时候再用这个快捷方式打开IE。就安全多了。

另外就是提高IE的安全级别。这方面的文章很多，各位自己找。惰惰猴不想费时间了。还有就是XP HOME也创建受限帐户。最好是在自己创建的受限帐户下应用创可贴的快捷。

实例_2不让临时文件夹成为病毒木马的温床

经常中毒但有心的朋友可能会留意,目前大部分网络木马病毒都会感染临时文件夹temp.那么惰惰猴就交大家保护TEMP文件夹.方法同上:

在路径框中输入 %USERPROFILE%\Local Settings\Temp\*.* 安全级别设置为"基本用户"

在路径框中输入 %USERPROFILE%\Local Settings\Temp\**\** 安全级别设置为"基本用户"

修改完后,在运行中输入gpupdate /force(/号前有空格)回车执行刷新组策略设置.

这样一个免费的HIPS防火墙就做好了.

接下来利用系统权限给系统文件夹加固（特别声明菜鸟误用，否则将造成系统启动瘫痪的后果，使用的前提是必须要有良好的系统权限和系统文件目录知识。在应用前清先用GHOST或一键还原备份好系统,以防改错）

把好权限关,木马蠕虫全滚蛋(在应用前清先用GHOST或一键还原备份好系统,以防改错)

使用下面的权限设置至少满足三个条件:1,系统必须是windows2000/XP/2003(Pro)版,XP HOME不行;2,系统分区必须是NTFS

 

;如是FAT32那种给菜鸟预备的老分区格式请转换成NTFS.转换方法运行里输入cmd打开命令提示字符,然后写convert c:/fs:ntfs (注意convert命令后和c之间的空格,如果c盘符有名字系统会提示你输入名字转换,比如惰惰猴的c盘符号是系统,那么只需在命令提示字符里输入系统两字就按下Y键,重启系统就可以转换了) 这样就可以转换过来了,至于FAT32的缺点和NTFS的优点,惰惰猴不想废话,菜鸟如有疑问自己百度知道;3,必须在文件夹选项中取消简单文件共享前的勾并确定

设置方法:我的电脑-工具-文件夹选项-查看.

大家确认自己在满足条件后方可继续阅读.

实例_1彻底堵住注册表被挖穿的墙角

比如我们有时双击.doc文档时word会打开,而没装word的系统就会由windows的写字板打开呢?因为word在注册表里关联了DOC文件类型,就像我们安上千千静听后所有的.MP3文件都是千千静听的图标,而再安上realplayer后则.mp3却变成了realplayer的图标呢?这就是一般菜鸟不知道的文件关联,什么类型的文件被什么样的程序所关联了,那什么样的程序就可以控制住被它所关联的所有文件类型.(打开文件类型的方法是在,我的电脑-工具-文件夹选项-查看中去掉隐藏以知文件扩展名前的勾再点确定,比如文本文件是.txt网页文件是.html视频文件是.rmvb等)如果病毒木马利用了这类关联自启动,那么我们在双击后就会受感染.比如某人喜欢用realplayer11看电影,那么默认情况下他的电影就会被realplayer11自动关联.那么他今天下载了一个电影(假设是有毒的rmvb视频文件),那么他在双击电影文件的图标后,就会启动病毒木马替换realplayer11的关联.所以这就是一般好色的人下黄片容易中毒的通病.好了闲话少扯.

如何来防止关联被病毒木马替换呢?

打开注册表(xp系统直接在运行里输入regedit)分别右击

HKEY_CLASS_ROOT\exefile和HKEY_CLASS_ROOT\txtfile这两个分支,选择权限.只保留Administrators和SYSTEM用户组,并把权限设置成"只读"(必须去掉完全控制)如果权限设置是灰色不选的话,可以选高级,然后去除"从父项继承那些可以到子对象的权限项目,包含在此明确定义的项目"前的勾并点击确定,然后在弹出框中选择删除.即可

 

实例_2给危险的系统目录(system32)修围墙

经常中木马的朋友可能会留意木马老会去感染SYSTEM32文件夹里的文件,比如输入法劫持.在中招后木马会劫持我们的ctfmon.exe(输入法可执行程序),那么我们变无法打字.菜鸟往往第一时间就吓的赶紧重装,其实一个好的防御就能避免.在满足惰惰猴给的三个前提的情况下,打开资源管理器,

win(crtl和alt中间的微软徽标键)+e,在系统盘下(一般是c盘)找到windows文件夹右击选择属性打开安全选项把除了Administrators和SYSTEM的用户组都删除,然后左键选择Administrators在下面的权限选项中取消"完全控制","写入","修改"权限前的勾.点应用,最后再左键选择SYSTEM在下面的权限选项中取消"完全控制,"写入","修改"权限前的勾,点应用(注意不要把读取的勾选掉了,否则后果是下次无法启动系统.并且无法恢复.一般我们吊销修改,根据优先级写入也吊销)

 

再照此法对windows文件夹进行用户权限设置.我们就能加固系统,不论正常程序还是病毒都要我们同意后方可进入电脑.

那么这样做了后我们模仿病毒在system32和windows文件夹下随便新建个东西,看看后果.是不是被系统以权限不够拦截了呢.

好.说到这要千万注意:因为系统是死的,这样设置了后我们在安装其他软件时系统也会以权限不够为理由阻挡.所以当我们要安装补丁或者是系统正常程序的时候，就要分别对增加windows文件夹和system32文件夹属性里安全项Administrators和SYSTEM用户组的","写入"和"修改"权限.分别应用(注意不要增加完全控制)我们安好补丁或者软件后,有时需要重启，才能安装完。那我们就要等重启后再吊销windows文件夹和system32文件夹的“写入”和“修改”权限.这样做连系统最高权限都被我们控制了.所以强权之下病毒木马都滚蛋.

实例_3利用安全策略对付黑客权限提升

权限的办法对付一般病毒木马算够用了,但是黑客可不是傻瓜.他们可以利用系统的Shell权限来提升自己木马或破解程序在系统里的运行权限.那么我们都知道windows的权限提升是靠net命令实现的.我们只需要对net命令实施一个加密,那么黑客就需要破解了,一般的黑客是不会花大力气来破解我们个人用户的.学过系统加密的人都了解一种叫哈希值的散列函数,用哈希加密后的密文只能用暴力破解.好,如果不知道什么叫哈希值,暴力破解还是去百度知道,惰惰猴不想为常识浪费篇幅.

打开本地安全策略(运行secpol.msc)-软件限制策略-其他规则.右击其他规则选则新建散列规则.在文件新建散列下位置里输入c:\windows\system32\net.exe或者用浏览查找.写完规则后点击应用.

 

看到了吧里面就是随机的哈希值密文.这样就把黑客提升曲线想法逼到了绝境,这样花大力气的破解我们个人电脑值得吗?

好了这样我们的系统加固就基本完成了,但是别忘了,还有CMD命令.依照禁用NET命令禁用cmd命令.这样就决断了任何除我们之外的权限提升.前提是你的帐户必须要有一个大于六位数的密码,别问惰惰猴我什么叫帐户密码.我会疯的.

实例_4文件型病毒.不得不看特征.

既然裸奔,那怎么还要特征呢,因为系统即使做了非常严密的HIPS方案,但HIPS的策略方案主要集中在木马和恶意程序上.而老的文件型病毒还是得靠特征码来识别.尽管文件型病毒越来越老土而不流行了，但我们还是要严加防范.所以惰惰猴推荐爱"裸奔"的人定期去免费的在线杀毒去扫扫毒,当然也可以用免费的杀软或者是收钱的杀软,不过这样了就不叫"裸奔"了.不过着凉还会感冒何况"裸奔"呢,定期检查身体很重要.上面的HIPS策略和权限已经设置的很好了,所以不用担心你用杀软扫描时杀软会被秒杀.因为文件型病毒无法剥离杀软挂钩的.了解权限和挂钩就可以,一眼看出那些技术又差,又装成高手的装逼者们丑态.杀软无好坏前提是是指你要会权限和安全策略的设置来保护杀软挂钩.别拿什么自我保护好坏说事.你是菜鸟就别装逼.好了多说了点感慨.

大家还要重视IE的安全级别,最好调高安全接别.在自定义下安全选项.适合自己就好,这里不再废话.还有就是运行任何网游时也要注意多个心眼.

最后再把我给大家的HIPS方案看一遍,还少了注册表监控.恩这好办了,装个360安全卫士,把系统关键位置保护打开就可以了.

说了那么多相信各位看官也烦了,但是不得不提醒的就是病从口入这个原理,不要理解错了,不是端口而是惰惰猴要特别提醒的USB接口.autorun.inf引导,呵呵不用我罗嗦了,菜鸟都知道的感染方式.请朋友们最好关闭系统的自动运行功能.

打开组策略(运行gpedit.msc)点开左分支.计算机配置-管理摸板-系统.找到右侧的关闭自动播放项目.双击打开.在弹出的属性窗口中进入"设置"选项卡,选择"已启用"在下拉菜单中选择所有驱动器.点确定.最后在运行中输入cmd打开命令提示字符,再输入gpupdate /force

什么是HIPS呢?卖点关子.其实HIPS是黑客们才用的防御软件体系,虽然也是监控.却完全不使用VB100那种老土的特征码.相对于那种老土的特征码,HIPS占用的系统资源也可以忽略不计(因为很多就是利用系统本身的功能而不必借助外来软件),HIPS的中文全称是\"主机入侵防御系统".还有一个通俗的理解"系统防火墙",通过实现系统中三项功能就可以防御几乎所有病毒的感染:

1,application defend应用程序防御体系.

2,regstry defend注册表防御体系.

3,file defend文件防御体系.

最后那么就是上面惰惰猴为大家介绍的外力HIPS软件了（前提是各位看官必须确定你有良好的系统知识，要对系统构成和运行有了解），首先申明，惰惰猴不是在这打广告。如果了解黑客防御软件的朋友可能都知道ssm。什么是ssm呢？就是System Safety Monitor

 

一款评价非常之高的HIPS软件。除了收费的商业版外还有免费的个人用户版。至于ssm的详细介绍大家可以去百度知道。个人下版本的下载地址是http://dl1.syssafety.com/download/ssm-2.0.8.583-free.exe下载完后注意ssm和卡巴斯基可能存在冲突，如果想安装SSM的话必须完全卸载卡巴。安装的时候用中文，按照中文安装后。ssm会加载系统底层监控。所以需要重新启动。

重启好后我们双击ssm的图标选择preferences然后在languaga那选择简体中文，再应用。别给惰惰猴我说你不认识这些单词。

好接下来我们说说规则，但凡防火墙都有自己的规则。右击系统托盘里的ssm图标，把模块里的注册表和服务监控起来。

ssm里有新手模式。比如我们随便开一个程序，ssm都会为我们显示调用关系。这时你选择允许就醒了。在点选新手模式。这个软件麻烦是麻烦不过监控特别有效。

比如我们插u盘时ssm提示调用者的父进程是rundll32.exe时我们就要注意了，那就绝对是U盘病毒了，立刻禁止。下面是以酷我音乐盒为例介绍

 

介绍的很清楚吧，调用关系和进程位置。

SSM的监控规则和进程显示几乎可以挡住一切网络木马的进攻，但前提是你要会判断，给你显示了，判断就在你了。最后还是要提醒朋友们定期扫描文件型病毒。再配上一到两款杀软（两个杀软安装后只能同时开启一个杀软的监控，要不会冲突）因为那老掉牙的东西还是要特征码才能认识。最后嘛还是不可骄傲，做好系统备份才是王道。