|
|
楼主 |
发表于 2007-1-19 20:19:26
|
显示全部楼层
<font size="2">111 sunrpc <br/>portmap rpcbind Sun RPCPortMapper/RPCBIND。访问portmapper是 扫描系<br/><br/>统查看允许哪些RPC服务的最早的一步。常 <br/>见RPC服务有：pc.mountd, NFS, rpc.statd, rpc.csmd, rpc.ttybd, amd等<br/><br/>。入侵者发现了允许的RPC服务将转向提 <br/>供 服务的特定端口测试漏洞。记住一定要记录线路中的 <br/>daemon, IDS, 或sniffer，你可以发现入侵者正使用什么程序访问以便发现<br/><br/>到底发生 <br/>了什么。 <br/>113 Ident auth .这是一个许多机器上运行的协议，用于鉴别TCP连接的用户<br/><br/>。使用 <br/>标准的这种服务可以获得许多机器的信息（会被Hacker利用）。但是它可作<br/><br/>为许多服 务的记录器，尤其是FTP, POP, IMAP, <br/>SMTP和IRC等服务。通常如果有许多客户通过 防火墙访问这些服务，你将会<br/><br/>看到许多这个端口的连接请求。记住，如果你阻断这个 <br/>端口客户端会感觉到在防火墙另一边与e-mail服务器的缓慢连接。许多防火<br/><br/>墙支持在 TCP连接的阻断过程中发回T，着将回停止这一缓慢的连接。<br/>119 <br/>NNTP news新闻组传输协议，承载USENET通讯。当你链接到诸 如：<br/><br/>news:p.security.firewalls/. <br/>的地址时通常使用这个端口。这个端口的连接 企图通常是人们在寻找USENET<br/><br/>服务器。多数ISP限制只有他们的客户才能访问他们的新 <br/>闻组服务器。打开新闻组服务器将允许发/读任何人的帖子，访问被限制的新<br/><br/>闻组服务 器，匿名发帖或发送spam。<br/>135 oc-serv MS RPC <br/>end-point mapper Microsoft在这个端口运行DCE RPC end- point mapper为<br/><br/>它的DCOM服务。这与UNIX <br/>111端口的功能很相似。使用DCOM和/或 RPC的服务利用 机器上的end-point <br/><br/>mapper注册它们的位置。远 <br/>端客户连接到机器时，它们查询end-point mapper找到服务的位置。同样<br/><br/>Hacker扫描 机器的这个端口是为了找到诸如：这个机器上运 <br/>行Exchange Server吗？是什么版 本？ 这个端口除了被用来查询服务（如使<br/><br/>用epdump）还可以被用于直接攻击。有一些 DoS攻 <br/>击直接针对这个端口。<br/>137 NetBIOS name service nbtstat (UDP)这是防火墙管理员最常见的信息<br/><br/>，请仔 <br/>细阅读文章后面的NetBIOS一节 139 NetBIOS File and Print Sharing <br/>通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于<br/><br/>Windows“文件 <br/>和打印机共享”和SAMBA。在Internet上共享自己的硬盘是可能是最常见的问<br/><br/>题。 大 <br/>量针对这一端口始于1999，后来逐渐变少。2000年又有回升。一些VBS（IE5 <br/>VisualBasicScripting）开始将它们自己拷贝到这个端口，试图在这个端口<br/><br/>繁殖。 <br/>143 <br/>IMAP和上面POP3的安全问题一样，许多IMAP服务器有缓冲区溢出漏洞运行登<br/><br/>陆过 <br/>程中进入。记住：一种Linux蠕虫（admw0rm）会通过这个端口繁殖，因此许<br/><br/>多这个端 <br/>口的扫描来自不知情的已被感染的用户。当RadHat在他们的Linux发布版本中<br/><br/>默认允 <br/>许IMAP后，这些漏洞变得流行起来。Morris蠕虫以后这还是第一次广泛传播<br/><br/>的蠕虫。 这一端口还被用于IMAP2，但并不流行。 <br/>已有一些报道发现有些0到143端口的攻击源 于脚本。 <br/>161 SNMP(UDP)入侵者常探测的端口。SNMP允许远程管理设备。所有配置和运<br/><br/>行信息 <br/>都储存在数据库中，通过SNMP客获得这些信息。许多管理员错误配置将它们<br/><br/>暴露于 <br/>Internet。Crackers将试图使用缺省的密码“public”“private”访问系统<br/><br/>。他们 可能会试验所有可能的组合。 <br/>SNMP包可能会被错误的指向你的网络。Windows机器常 会因为错误配置将HP <br/><br/>JetDirect rmote management软件使用SNMP。HP <br/>OBJECT IDENTIFIER将收到SNMP包。新版的Win98使用SNMP解析域名，你会看<br/><br/>见这种包在子网 内广播（cable modem, <br/>DSL）查询sysName和其它信 <br/>息。<br/>162 SNMP trap 可能是由于错误配置 <br/>177 xdmcp <br/>许多Hacker通过它访问X-Windows控制台，它同时需要打开6000端口。<br/>513 rwho 可能是从使用cable <br/>modem或DSL登陆到的子网中的UNIX机器发出的广播。 这些人为Hacker进入他<br/><br/>们的系统提供了很有趣的信息 <br/>553 CORBA IIOP <br/>(UDP) 如果你使用cable modem或DSL VLAN，你将会看到这个端口 的广播。<br/><br/>CORBA是一种面向对象的RPC（remote procedure <br/>call）系统。Hacker会利 用这些信息进入系统。 600 Pcserver backdoor <br/><br/>请查看1524端口一些玩script的孩 <br/>子认为他们通过修改ingreslock和pcserver文件已经完全攻破了系统-- Alan <br/><br/>J. Rosenthal. <br/>635 mountd <br/>Linux的mountd Bug。这是人们扫描的一个流行的Bug。大多数对这个端 口的<br/><br/>扫描是基于UDP的，但基于TCP <br/>的mountd有所增加（mountd同时运行于两个端 口）。记住，mountd可运行于<br/><br/>任何端口（到底在哪个端口，需要在端口111做portmap <br/>查询），只是Linux默认为635端口，就象NFS通常运行于2049<br/>1024 许多人问这个 <br/>端口是干什么的。它是动态端口的开始。许多程序并不在乎用哪个端口连接<br/><br/>网络，它 们请求*作系统为它们分配“下一个闲置端口”。基于这一点分配<br/><br/>从端口1024开始。 <br/>这意味着第一个向系统请求分配动态端口的程序将被分配端口1024。为了验<br/><br/>证这一 点，你可以重启机器，打开Telnet，再打开一个窗口运行“natstat <br/>-a”，你将会看 到Telnet被分配1024端口。请求的程序越多，动态端口也越<br/><br/>多。*作系统分配的端口 <br/>将逐渐变大。再来一遍，当你浏览Web页时用“netstat”查看，每个Web页需<br/><br/>要一个 新端口。 ?ersion 0.4.1, June 20, 2000 <br/>h++p://www.robertgraham.com/ pubs/firewall-seen.html Copyright <br/><br/>1998-2000 by <br/>Robert Graham <br/>(mailto:firewall-seen1@robertgraham.com. <br/>All rights <br/>reserved. This document may only be reproduced (whole orin part) <br/><br/>for <br/>non-commercial purposes. All reproductions must <br/>contain this copyright <br/>notice and must not be altered, except by <br/>permission of the <br/>author.<br/>#3 <br/>1025 参见1024 <br/>1026参见1024<br/>1080 SOCKS <br/>这一协议以管道方式穿过防火墙，允许防火墙后面的许多人通过一个IP 地址<br/><br/>访问Internet。理论上它应该只 <br/>允许内部的通信向外达到Internet。但是由于错误的配置，它会允许<br/><br/>Hacker/Cracker 的位于防火墙外部的攻 <br/>击穿过防火墙。或者简单地回应位于Internet上的计算机，从而掩饰他们对<br/><br/>你的直接 攻击。 <br/>WinGate是一种常见的Windows个人防火墙，常会发生上述的错误配置。在加<br/><br/>入IRC聊 天室时常会看到这种情况。<br/>1114 SQL <br/>系统本身很少扫描这个端口，但常常是sscan脚本的一部分。<br/>1243 Sub-7木马（TCP）参见Subseven部分。<br/>1524 <br/>ingreslock后门 许多攻击脚本将安装一个后门Sh*ll 于这个端口（尤其是那<br/><br/>些 <br/>针对Sun系统中Sendmail和RPC服务漏洞的脚本，如statd,ttdbserver和cmsd<br/><br/>）。如 <br/>果你刚刚安装了你的防火墙就看到在这个端口上的连接企图，很可能是上述<br/><br/>原因。你 可以试试Telnet到你的机器上的这个端口，看看它是否会给你一个<br/><br/>Sh*ll 。连接到 <br/>600/pcserver也存在这个问题。<br/>2049 NFS NFS程序常运行于这个端口。通常需要访问portmapper查询这个服<br/><br/>务运行于 <br/>哪个端口，但是大部分情况是安装后NFS杏谡飧龆丝冢?acker/Cracker因而可<br/><br/>以闭开 portmapper直接测试这个端口。 <br/>3128 squid <br/>这是Squid h++p代理服务器的默认端口。攻击者扫描这个端口是为了搜 寻一<br/><br/>个代理服务器而匿名访问Internet。你也会看到搜索其它代理服务器的端口<br/><br/>： <br/>000/8001/8080/8888。扫描这一端口的另一原因是：用户正在进入聊天室。<br/><br/>其它用户 <br/>（或服务器本身）也会检验这个端口以确定用户的机器是否支持代理。请查<br/><br/>看5.3节。 <br/>5632 <br/>pcAnywere你会看到很多这个端口的扫描，这依赖于你所在的位置。当用户打<br/><br/>开 <br/>pcAnywere时，它会自动扫描局域网C类网以寻找可能得代理（译者：指agent<br/><br/>而不是 <br/>proxy）。Hacker/cracker也会寻找开放这种服务的机器，所以应该查看这种<br/><br/>扫描的 <br/>源地址。一些搜寻pcAnywere的扫描常包含端口22的UDP数据包。参见拨号扫<br/><br/>描。<br/>6776 Sub-7 artifact <br/>这个端口是从Sub-7主端口分离出来的用于传送数据的端口。 例如当控制者<br/><br/>通过电话线控制另一台机器，而被控机器挂断时你将会看到这种情况。 <br/>因此当另一人以此IP拨入时，他们将会看到持续的，在这个端口的连接企图<br/><br/>。（译 <br/>者：即看到防火墙报告这一端口的连接企图时，并不表示你已被Sub-7控制。<br/><br/>）<br/>6970 <br/>RealAudio客户将从服务器的6970-7170的UDP端口接收音频数据流。这是由<br/><br/>TCP7070 端口外向控制连接设置13223 PowWow PowWow <br/>是Tribal Voice的聊天程序。它允许 用户在此端口打开私人聊天的接。这一<br/><br/>程序对于建立连接非常具有“进攻性”。它 <br/>会“驻扎”在这一TCP端口等待回应。这造成类似心跳间隔的连接企图。如果<br/><br/>你是一个 拨号用户，从另一个聊天者手中“继承”了IP地址这种情况就会发<br/><br/>生：好象很多不同 <br/>的人在测试这一端口。这一协议使用“OPNG”作为其连接企图的前四个字节<br/><br/>。<br/>17027 <br/>Conducent这是一个外向连接。这是由于公司内部有人安装了带有Conducent <br/><br/>"adbot" 的共享软件。 <br/>Conducent <br/>"adbot"是为共享软件显示广告服务的。使用这种服务的一种流行的软件 是<br/><br/> kware。有人试验：阻断这一外向连接不会有任何问题，但是封掉IP地址本<br/><br/>身将会 <br/>导致adbots持续在每秒内试图连接多次而导致连接过载： <br/>机器会不断试图解析DNS名─ads.conducent.com，即IP地址216.33.210.40 <br/><br/>； <br/>216.33.199.77 <br/>；216.33.199.80 ；216.33.199.81；216.33.210.41。（译者：不 <br/>知NetAnts使用的Radiate是否也有这种现象）<br/>27374 Sub-7木马(TCP) 参见Subseven部分。<br/>30100 <br/>NetSphere木马(TCP) 通常这一端口的扫描是为了寻找中了NetSphere木马。<br/>31337 Back Orifice <br/>“eliteHacker中31337读做“elite”/ei’li:t/（译者：* 语，译为中坚力<br/><br/>量，精华。即 3=E, 1=L, <br/>7=T）。因此许多后门程序运行于这一端 口。其中最有名的是Back Orifice<br/><br/>。曾经一段时间内这是Internet上最常见的扫描。 <br/>现在它的流行越来越少，其它的 木马程序越来越流行。<br/>31789 Hack-a-tack <br/>这一端口的UDP通讯通常是由于"Hack-a-tack"远程访问木马 （RAT,Remote <br/><br/>Access <br/>Trojan）。这种木马包含内置的31790端口扫描器，因此任何 31789端口到<br/><br/>317890端口的连 接意味着已经有这种入侵。（31789端口是控制连 <br/>接，317890端口是文件传输连接）<br/>32770~32900 RPC服务 Sun Solaris的RPC服务在这一范围内。详细的说：早<br/><br/>期版本 <br/>的Solaris（2.5.1之前）将 portmapper置于这一范围内，即使低端口被防火<br/><br/>墙封闭 仍然允许Hacker/cracker访问这一端口。 <br/>扫描这一范围内的端口不是为了寻找 portmapper，就是为了寻找可被攻击的<br/><br/>已知的RPC服务。 <br/>33434~33600 traceroute <br/>如果你看到这一端口范围内的UDP数据包（且只在此范围 之内）则可能是由<br/><br/>于traceroute。参见traceroute分。<br/>41508 <br/>Inoculan早期版本的Inoculan会在子网内产生大量的UDP通讯用于识别彼此。 <br/><br/>参见 <br/>h++p://www.circlemud.org/~jelson/software/udpsend.html <br/>h++p://www.ccd.bnl.gov/nss/tips/inoculan/index.html端口1~1024是保留<br/><br/>端 <br/>口，所以它们几乎不会是源端口。但有一些例外，例如来自NAT机器的连接。 <br/><br/>常看见 紧接着1024的端口，它们是系统分配给那些并不在乎使用哪个端口连<br/><br/>接的应用程序 <br/>的“动态端口”。 Server Client 服务描述 <br/>1-5/tcp 动态 FTP 1-5端口意味着sscan脚本 <br/>20/tcp 动态 FTP <br/>FTP服务器传送文件的端口 <br/>53 动态 FTP DNS从这个端口发送UDP回应。你也可能看见源/目标端口的TCP<br/><br/>连 接。 <br/>123 动态 <br/>S/NTP 简单网络时间协议（S/NTP）服务器运行的端口。它们也会发送 到这<br/><br/>个端口的广播。<br/>27910~27961/udp 动态 Quake <br/>Quake或Quake引擎驱动的游戏在这一端口运行其 服务器。因此来自这一端口<br/><br/>范围的UDP包或发送至这一端口范围的UDP包通常是游戏。 <br/>61000以上 <br/>动态 FTP 61000以上的端口可能来自Linux NAT服务器<br/>#4 </font><br/> |
|
IP卡
狗仔卡
发表于 2007-1-19 20:06:27
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
千斤顶
显身卡
cond.red)然后再在MS-DOS方式(纯DOS方式也行)下执<br/><br/>行下列命令:<br/><br/> c:>fc first,reg second.reg>fc.txt (回车)<br/><br/> 再打开fc,txt文件，即可查看该软件对注册表添加了哪些子项了。<br/><br/> 注:重定向输入的文件类型一般为.txt形式也可以，如.wps 、.doc等，<br/><br/>前提是必须安装相应的文件打开程序<br/><br/> 15、轻松破解foxmail账户口令<br/><br/> 在foxmail中为了账户的安全，我们一般会为账户设置一个口令,如果忘<br/><br/>了也不要紧。打开mail目录下以你的帐户命令的文件夹，删除accounf.stg。<br/><br/>口令解除了。<br/><br/> 不用删除，改个后缀名即可。系统会自动创建一个新的accounf.stg文件<br/><br/>，出来后删除此文件，再改回原accounf.stg文件后缀，就能神不知鬼不觉看<br/><br/>别人的邮件了。不过最好不要用于非法用途。<br/><br/> 16、局域网隐身法:<br/><br/> 在局域网中常通过网上邻居查看局域网中其他用户的在线情况，如果你<br/><br/>不希望别的用户知道你是否在线，这时可以在win2000/xp下运行cmd然后再运<br/><br/>行net config server /hidden:yes 回车后就隐身啦。<br/><br/> 如果要取消只要把yes 改成no<br/><br/> 17、用winrar合并mp3:<br/><br/> 把几首要合并的mp3文件选中，右键单击——添加到档案文件，压缩方式<br/><br/>选择存储。然后把压缩好的文件后缀改成mp3。再放一下听听是不是两首歌已<br/><br/>经合成一首啦。<br/><br/> 18、禁用设备驱动更新向导<br/><br/> 这个设置可以允许你在设备管理器中禁用通过windows Update升级设备<br/><br/>的驱动程序。<br/><br/> 要进行这个设置，可以按以下步骤进行操作:在任务栏上点击开始按钮，<br/><br/>然后在开始菜单中点击运行，输入regedit并点击确定，打开注册表编辑器。<br/><br/> 展开HKEY_CURRENT_USERSoftwarePoliciesMicrosoftWindows NTDriver <br/><br/>Signing<br/><br/> 创建一个名为“NoDevMgrUpdate”的DWORD 键，然后设置键值为“1”。<br/><br/> 你修改的设置会在你重启动电脑后生效<br/><br/> 19、改变驱动签名验证选项<br/><br/> 这个设置可以让你决定在安装未经过签名或者测试的驱动程序时系统采<br/><br/>取怎样的操作。要进行这个设置，可以按照以下步骤进行操作:在任务栏上点<br/><br/>击开始按钮，然后在开始菜单中点击运行，输入regedit并点击确定，打开注<br/><br/>册表编辑器。展开 HKEY_CURRENT_USERSoftwarePoliciesMicrosoftWindows <br/><br/>NTDriver Signing 创建一个名为“BehaviorOnFailedVerify”的DWORD 键，<br/><br/>设置键值为“0”。你修改的设置会在你重启动电脑后生效。<br/><br/></font></span>
rd软件中，单击“插入”/“符号”在弹出的“符号”对话框<br/><br/>的“子集”框中选择“拉丁语扩展-A”然后在中间的大框中选择想要的符号<br/><br/>，单击对话框下面的“插入”，再单击“关闭”。<br/><br/> 方法二:在“智能ABC输入法”中文输入状态，输入“V8”，然后在列表<br/><br/>中选择即可。(顺便说一下，当在“智能ABC输入法”中文输入状态，输入“V<br/><br/>”+“一个0-9的数字”，如“V1”、“V2”…，你会发现许多令人吃惊的玩<br/><br/>意。<br/><br/> 41、 删除“运行”中的历史记录<br/><br/> 选择“开始”菜单中的“关闭系统”命令，然后在弹出的对话框中选择<br/><br/>“否”返回Windows，再看看“运行”中的历史记录是不是都消除了呢?<br/><br/> 42、 让“我的电脑”高高在上<br/><br/> 默认情况下，在资源管理器中，Windows XP会把“我的文档”图标放在<br/><br/>“我的电脑”图标上面。<br/><br/> 这种排列顺序让很多人在使用中感到很不适应。通过修改注册表，我们<br/><br/>可以让“我的电脑”图标“跑”到“我的文档”图标之上，其操作方法是:<br/><br/> 单击“开始→运行”，键入“Regedit”后回车，打开注册表编辑器，依<br/><br/>次展开[HKEY_CLASSES_ROOTCLSID]分支，双击右侧窗口中名为<br/><br/>“SortOrderIndex”的DWORD值，将它的值由“48”改为“54”即可。<br/><br/> 43、彻底删除“我的文档”<br/><br/> 在Windows XP中，当我们删除“我的文档”中的“我的音乐”、“图片<br/><br/>收藏”等文件夹后，重新启动计算机后又会产生这几个文件夹。其实，要想<br/><br/>彻底删除“我的音乐”、 “图片收藏”等文件夹，我们只要先在Windows“<br/><br/>运行”对话框中输入“Regsvr32 /u mydocs.dll”这个命令，然后就可以彻<br/><br/>底删除它们。<br/><br/> 44、禁止任务栏保存修改<br/><br/> 在日常的教学过程中，经常发现学生有意无意地修改任务栏的属性。造<br/><br/>成下次上机时任务栏、时间图标等信息不能正常显示。通过对注册表的修改<br/><br/>可以让系统对所作修改不进行保存，当重新启动后，系统自动恢复到原来的<br/><br/>设置。<br/><br/> 单击“开始→运行”，键入“Regedit”后回车，打开注册表编辑器，依<br/><br/>次展开[HKEY_CURRENT_USERsoftwareMicrosoftWindowscurrentversion<br/><br/> oliciesExplorer]分支，在右侧窗口中单击鼠标右键，选择“新建→<br/><br/>DWORD值”命令，新建一个名为“nosavesettings”的DWORD值，并将其值设<br/><br/>置为“1”即可。<br/><br/> 45、巧借Windows XP文件加速启动Windows 2000<br/><br/> 大家一定感觉Windows XP的启动速明显比2000的快很多，这是因为它对<br/><br/>主要启动文件NTDETECT.COM和NFLDR(此文件没扩展名，两个文件都在系统分<br/><br/>区根目录下)作了优化，我们只要在相应语言版本的Windows XP系统下复制这<br/><br/>两个文件至Windows 2000系统分区根目录下覆盖原文件即可。</font>