3.常见报警之qq聊天 服务器
[19:55:55] 接收到 218.18.95.163 的 UDP 数据包,
本机端口: 1214 ，
对方端口: OICQ Server[8000]
该包被拦截。
[19:55:56] 接收到 202.104.129.254 的 UDP 数据包，
本机端口: 4001 ，
对方端口: OICQ Server[8000]
该包被拦截。
这个 防火墙 日志是昨天在校园网的“谈天说地”上抄下来的,腾讯QQ服务器端开放的就是8000端口.一般是qq服务器的问题，因为接受不到本地的客户响应包，而请求不断连接，还有一种可能就是主机通过qq服务器转发消息，但服务器发给对方的请求没到达，就不断连接响应了(TCP三次握手出错了，我是这么认为的，具体没找到权威资料，可能说的不对，欢迎指正)
4.共享端口之135,139,445（一般在局域网常见）
又要分几种情况：
135端口是用来提供RPC通信服务的，445和139端口一样，是用来提供文件和打印机共享服务的。
[20:01:36] 218.8.124.230试图连接本机的NetBios-SSN[139]端口，
TCP标志：S，
该操作被拒绝。
[16:47:24] 60.31.133.146试图连接本机的135端口，
TCP标志：S，
该操作被拒绝。
[16:47:35] 60.31.135.195试图连接本机的CIFS[445]端口，
TCP标志：S，
该操作被拒绝。
第一种：正常情况,局域网的机器共享和传输文件(139端口)。
第二种：连接你的135和445端口的机器本身应该是被动地发数据包，或者也有可能是正常的、非 病毒 的连接——虽然这个可能性比较小。
第三种：无聊的人扫描ip段，这个也是常见的，初学黑客技术都这样，十足的狂扫迷，但往往什么也没得到，这种人应该好好看看TCP/IP协议原理。
第四种：连接135端口的是冲击波（Worm.Blaster）病毒，“尝试用Ping来探测本机”也是一种冲击波情况（internet），这种135端口的探测一般是局域网传播，现象为同一个ip不断连接本机135端口，此时远程主机没打冲击波补丁，蠕虫不断扫描同一ip段(这个是我自己的观点，冲击波的广域网和局域网传播方式估计不同吧，欢迎指正！)
第五种：某一IP连续多次连接本机的NetBios-SSN[139]端口，表现为时间间隔短，连接频繁。
防火墙日志中所列计算机此时感染了“尼姆达病毒”。感染了“尼姆达病毒”的计算机有一个特点，它们会搜寻局域网内一切可用的共享资源，并会将病毒复制到取得完全控制权限的共享文件夹内，以达到病毒传播之目的。这种人应该同情下，好好杀毒吧！
【编辑推荐】
电子商务安全策略的基本原则
一、网络节点的安全 1．防火墙 防火墙是在连接Internet和Intranet保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。 通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的Intranet系统。 2．防火墙安全策略 应给予特别注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。 安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。 所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。 仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。 3．安全操作系统 防火墙是基于操作系统的。 如果信息通过操作系统的后门绕过防火墙进入内部网，则防火墙失效。 所以，要保证防火墙发挥作用，必须保证操作系统的安全。 只有在安全操作系统的基础上，才能充分发挥防火墙的功能。 在条件许可的情况下，应考虑将防火墙单独安装在硬件设备上。 二、通讯的安全 1．数据通讯 通讯的安全主要依靠对通信数据的加密来保证。 在通讯链路上的数据安全，一定程度上取决于加密的算法和加密的强度。 电子商务系统的数据通信主要存在于： （1）客户浏览器端与电子商务WEB服务器端的通讯； （2）电子商务WEB服务器与电子商务数据库服务器的通讯； （3）银行内部网与业务网之间的数据通讯。 其中（3）不在本系统的安全策略范围内考虑。 2．安全链路 在客户端浏览器和电子商务WEB服务器之间采用ssl协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。 目前采用的是浏览器缺省的4O位加密强度，也可以考虑将加密强度增加到128位。 为在浏览器和服务器之间建立安全机制，SSL首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一家可信证书授权机构（CA中心）签发。 浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥（PKI）。 建立SSL链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。 三、应用程序的安全性 即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。 程序错误有以下几种形式：程序员忘记检查传送到程序的入口参数；程序员忘记检查边界条件，特别是处理字符串的内存缓冲时；程序员忘记最小特权的基本原则。 整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运 行，其他的部分只有缩小的许可；程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录。 不是显式地设置访问控制（最少许可），程序员认为这个缺省的许可是正确的。 这些缺点都被使用到攻击系统的行为中。 不正确地输入参数被用来骗特权程序做一 些它本来不应该做的事情。 缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。 程序不检查输入字符串长度。 假的输入字符串常常是可执行的命令，特权程序可以执行指令。 程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。 例如，缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。 访问控制系统中没有什么可以检测到这些问题。 只有通过监视系统并寻找违反安全策略的行为，才能发现象这些问题一样的错误。 四、用户的认证管理 1．身份认证 电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现的。 CA证书用来认证服务器的身份，IC卡用来认证企业用户的身份。 个人用户由于没有提供交易功能，所以只采用ID号和密码口令的身份确认机制。 2．CA证书 要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是CA证书，它由认证授权中心（CA中心）发行。 CA中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。 建立SSL安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。 验证个人证书是为了验证来访者的合法身份。 而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书。 五、安全管理 为了确保系统的安全性，除了采用上述技术手段外，还必须建立严格的内部安全机制。 对于所有接触系统的人员，按其职责设定其访问系统的最小权限。 按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。 建立网络安全维护日志，记录与安全性相关的信息及事件，有情况出现时便于跟踪查询。 定期检查日志，以便及时发现潜在的安全威胁
防火墙有什么用途？
防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。 防火墙还可以关闭不使用的端口。 而且它还能禁止特定端口的流出通信，封锁特洛伊木马。 最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。 防火墙是网络安全的屏障：一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。 由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。 如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。 防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。 防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。 防火墙可以强化网络安全策略：通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。 与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。 例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。 对网络存取和访问进行监控审计：如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。 当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。 另外，收集一个网络的使用和误用情况也是非常重要的。 首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。 而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。 防止内部信息的外泄：通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。 再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。 使用防火墙就可以隐蔽那些透漏内部细节如Finger，DNS等服务。 Finger显示了主机的所有用户的注册名、真名，最后登录时间和使用shell类型等。 但是Finger显示的信息非常容易被攻击者所获悉。 攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。 防火墙可以同样阻塞有关内部网络中的DNS信息，这样一台主机的域名和IP地址就不会被外界所了解。
是不蠕虫病毒
虫病毒是计算机病毒的一种。 它的传染机理是利用网络进行复制和传播，传染途径是通过网络和电子邮件。 比如近几年危害很大的“尼姆达”病毒就是蠕虫病毒的一种。 这一病毒利用了微软视窗操作系统的漏洞，计算机感染这一病毒后，会不断自动拨号上网，并利用文件中的地址信息或者网络共享进行传播，最终破坏用户的大部分重要数据。 蠕虫病毒的一般防治方法是：使用具有实时监控功能的杀毒软件，并且注意不要轻易打开不熟悉的邮件附件。 一、蠕虫的基本结构和传播过程蠕虫的基本程序结构为：1、传播模块：负责蠕虫的传播，这是本文要讨论的部分。 2、隐藏模块：侵入主机后，隐藏蠕虫程序，防止被用户发现。 3、目的功能模块：实现对计算机的控制、监视或破坏等功能。 传播模块由可以分为三个基本模块：扫描模块、攻击模块和复制模块。 蠕虫程序的一般传播过程为：1.扫描：由蠕虫的扫描功能模块负责探测存在漏洞的主机。 当程序向某个主机发送探测漏洞的信息并收到成功的反馈信息后，就得到一个可传播的对象。 2.攻击：攻击模块按漏洞攻击步骤自动攻击步骤1中找到的对象，取得该主机的权限(一般为管理员权限)，获得一个shell。 3.复制：复制模块通过原主机和新主机的交互将蠕虫程序复制到新主机并启动。 我们可以看到，传播模块实现的实际上是自动入侵的功能。 所以蠕虫的传播技术是蠕虫技术的首要技术，没有蠕虫的传播技术，也就谈不上什么蠕虫技术了。 二、入侵过程的分析想必大家对入侵的一般步骤都是比较熟悉的。 我们简单回忆一下。 第一步：用各种方法收集目标主机的信息，找到可利用的漏洞或弱点。 第二步：针对目标主机的漏洞或缺陷，采取相应的技术攻击主机，直到获得主机的管理员权限。 第三步：利用获得的权限在主机上安装后门、跳板、控制端、监视器等等，清除日志。 我们一步一步分析。 先看第一步，搜集信息，有很多种方法，包括技术的和非技术的。 采用技术的方法包括用扫描器扫描主机，探测主机的操作系统类型、版本，主机名，用户名，开放的端口，开放的服务，开放的服务器软件版本等。 非技术的方法包括和主机的管理员拉关系套口风，骗取信任，威逼利诱等各种少儿不宜的手段。 当然是信息搜集的越全越好。 搜集完信息后进入第二步。 第二步，对搜集来的信息进行分析，找到可以有效利用的信息。 如果有现成的漏洞可以利用，上网找到该漏洞的攻击方法，如果有攻击代码就直接COPY下来，然后用该代码取得权限,OK了；如果没有现成的漏洞可以利用，就用根据搜集的信息试探猜测用户密码，另一方面试探研究分析其使用的系统，争取分析出一个可利用的漏洞。 如果最后能找到一个办法获得该系统权限，那么就进入第三步，否则，放弃。 第三步，有了主机的权限，你想干什么就干什么吧。 如果你不知道想干什么，那你就退出来去玩你喜欢玩的游戏吧。 上面说的是手动入侵的一般过程，对于自动入侵来说，在应用上有些特殊之处。 蠕虫采用的自动入侵技术，由于程序大小的限制，自动入侵程序不可能有太强的智能性，所以自动入侵一般都采用某种特定的模式。 我们称这种模式为入侵模式，它是由普通入侵技术中提取出来的。 目前蠕虫使用的入侵模式只有一种，这种模式是就是我们前面提到的蠕虫传播过程采用的模式：扫描漏洞-攻击并获得shell-利用shell。 这种入侵模式也就是现在蠕虫常用的传播模式。 这里有一个问题，就是对蠕虫概念的定义问题，目前对蠕虫的定义把这种传播模式作为蠕虫的定义的一部分，实际上广义的蠕虫应该包括那些使用其他自动传播模式的程序。 我们先看一般的传播模式。 三、蠕虫传播的一般模式分析1.模式：扫描-攻击-复制。 从新闻中看到关于蠕虫的报道，报道中总是强调蠕虫如何发送大量的数据包，造成网络拥塞，影响网络通信速度。 实际上这不是蠕虫程序的本意，造成网络拥塞对蠕虫程序的发布者没有什么好处。 如果可能的话，蠕虫程序的发布者更希望蠕虫隐蔽的传播出去，因为蠕虫传播出去后，蠕虫的发布者就可以获得大量的可以利用的计算资源，这样他获得的利益比起造成网络拥塞的后果来说显然强上万倍。 但是，现有的蠕虫采用的扫描方法不可避免的会引起大量的网络拥塞，这是蠕虫技术发展的一个瓶颈，如果能突破这个难关，蠕虫技术的发展就会进入一个新的阶段。 现在流行的蠕虫采用的传播技术目标一般是尽快地传播到尽量多的电脑中，于是扫描模块采用的扫描策略是这样的：随机选取某一段IP地址，然后对这一地址段上的主机扫描。 笨点的扫描程序可能会不断重复上面这一过程。 这样，随着蠕虫的传播，新感染的主机也开始进行这种扫描，这些扫描程序不知道那些地址已经被扫描过，它只是简单的随机扫描互联网。 于是蠕虫传播的越广，网络上的扫描包就越多。 即使扫描程序发出的探测包很小，积少成多，大量蠕虫程序的扫描引起的网络拥塞就非常严重了。 聪明点的作者会对扫描策略进行一些改进，比如在IP地址段的选择上，可以主要针对当前主机所在的网段扫描，对外网段则随机选择几个小的IP地址段进行扫描。 对扫描次数进行限制，只进行几次扫描。 把扫描分散在不同的时间段进行。 扫描策略设计的原则有三点：尽量减少重复的扫描，使扫描发送的数据包总量减少到最小2保证扫描覆盖到尽量大的范围3处理好扫描的时间分布，使得扫描不要集中在某一时间内发生。 怎样找到一个合适的策略需要在考虑以上原则的前提下进行分析，甚至需要试验验证。 扫描发送的探测包是根据不同的漏洞进行设计的。 比如，针对远程缓冲区溢出漏洞可以发送溢出代码来探测，针对web的cgi漏洞就需要发送一个特殊的http请求来探测。 当然发送探测代码之前首先要确定相应端口是否开放，这样可以提高扫描效率。 一旦确认漏洞存在后就可以进行相应的攻击步骤，不同的漏洞有不同的攻击手法，只要明白了漏洞的利用方法，在程序中实现这一过程就可以了。 这一部关键的问题是对漏洞的理解和利用。 关于如何分析漏洞不是本文要讨论的内容。 攻击成功后，一般是获得一个远程主机的shell，对win2k系统来说就是，得到这个shell后我们就拥有了对整个系统的控制权。 复制过程也有很多种方法，可以利用系统本身的程序实现，也可以用蠕虫自代的程序实现。 复制过程实际上就是一个文件传输的过程，实现网络文件传输很简单，这里不再讨论。 2.模式的使用既然称之为模式，那么它就是可以复用的。 也就是说，我们只要简单地改变这个模式中各个具体环节的代码，就可以实现一个自己的蠕虫了。 比如扫描部分和复制部分的代码完成后，一旦有一个新的漏洞出现，我们只要把攻击部分的代码补充上就可以了。 利用模式我们甚至可以编写一个蠕虫制造机。 当然利用模式也可以编写一个自动入侵系统，模式化的操作用程序实现起来并不复杂。 四、蠕虫传播的其他可能模式除了上面介绍的传播模式外，还可能会有别的模式出现。 比如，我们可以把利用邮件进行自动传播也作为一种模式。 这种模式的描述为：由邮件地址薄获得邮件地址-群发带有蠕虫程序的邮件-邮件被动打开，蠕虫程序启动。 这里面每一步都可以有不同的实现方法，而且这个模式也实现了自动传播所以我们可以把它作为一种蠕虫的传播模式。 随着蠕虫技术的发展，今后还会有其他的传播模式出现。 五、从安全防御的角度看蠕虫的传播模式我们针对蠕虫的传播模式来分析如何防止蠕虫的传播思路会清晰很多。 对蠕虫传播的一般模式来说，我们目前做的安全防护工作主要是针对其第二环即攻击部分，为了防止攻击，要采取的措施就是及早发现漏洞并打上补丁。 其实更重要的是第一环节的防护，对扫描的防护现在人们常用的方法是使用防护墙来过滤扫描。 使用防火墙的方法有局限性，因为很多用户并不知道如何使用防火墙，所以当蠕虫仍然能传播开来，有防火墙保护的主机只能保证自己的安全，但是网络已经被破坏了。 另外一种方案是从网络整体来考虑如何防止蠕虫的传播。 从网络整体来防止蠕虫传播是一个安全专题，需要进一步研究。 这里简单提一下。 从一般模式的过程来看，大规模扫描是蠕虫传播的重要步骤，如果能防止或限制扫描的进行，那么就可以防止蠕虫的传播了。 可能的方法是在网关或者路由器上加一个过滤器，当检测到某个地址发送扫描包就过滤掉该包。 具体实现时可能要考虑到如何识别扫描包与正常包的问题，这有待进一步研究。 了解了蠕虫的传播模式，可以很容易实现针对蠕虫的入侵检测系统。 蠕虫的扫描会有一定的模式，扫描包有一定的特征串，这些都可以作为入侵检测的入侵特征。 了解了这些特征就可以针对其制定入侵检测规则。
发表评论