一步一步教你裸奔.docx

一步一步教你裸奔.docx

《一步一步教你裸奔.docx》由会员分享，可在线阅读，更多相关《一步一步教你裸奔.docx（8页珍藏版）》请在冰豆网上搜索。

一步一步教你裸奔

一步一步教你裸奔（图文教程）

首先定义系统"裸奔"的意思,就是指不用杀软的监控.自己定义规则来预防病毒.即使受到了病毒和木马的席卷,系统也不会被感染.

声明这篇文章有可能涉及到杀软厂商攫取利润的直接利益.只以现在主流的windosXP专业版为例介绍如何建立自己的HIPS,给广大深受毒害的朋友一点启发.看贴的人必须要有良好的windows系统基础知识,了解系统文件夹结构.如果连起码的system32文件夹都不知道在哪的菜鸟,那看懂确实有点困难了,不过人总是要成长的.例子给你了,能不能举一反三就看各位看官的能力了.好了言归正传:

不管是病毒木马还是杀软几乎都让我们头疼,那么病毒木马会干些什么呢?

废话嘛,当然是拖慢系统,让系统故障,破坏数据,甚至让系统无法启动.那杀软就会阻止病毒和木马的破坏,那么越是检查严格的杀软就越是占用系统的资源,如果你硬件配置不高而以为追求高性能杀软,,反而得不偿失.病毒拖慢系统,杀软也拖慢系统.而且病毒木马出生在前,杀软跟进在后.厉害关系尽人皆知.但是如何建立HIPS赋予系统免疫力让系统即使受到了病毒和木马的席卷,也不会被感染呢?

恐怕菜鸟只有跪地企求VB.那黑客怎么办?

一,堵住路口,启用系统自带防火墙

打开始菜单-开运行输入secpol.msc开启本地安全策略（XP专业版本才有,XPHOME没有）.右击软件限制策略,选择创建新的策略.然后软件限制策略下会自动创建多个子项..别的地方都不用改.其他规则才是我们要任意发挥水平的地方.注意其他规则里有系统默认的四个注册表规则,不能修改,否则系统将崩溃.现在再右击"其他规则".会发现他的菜单里有个新路径规则.好我们就要在路径规则里做文章.这里允许使用通配符",""?

""%"比如"%windows%"就表示c:

\windowsd:

\windows等不管你windows文件夹在哪个分区,都给你认出来.ABYW1K=b8-^wJH!

实例1_杜绝阴暗角落的袭击:

很多病毒木马为了逃过用户的追杀都藏在很隐秘的地方,比如回收,SystemVolumeInformation（系统还原文件夹）等,加上隐藏属性,用户很难发觉.而实际上这些文件夹在正常情况下是不会有任何可执行程序的.所以我们可以建立如下规则（右击其他规则,在菜单中选择新建路径规则）:

在路径框中输入?

:

\Recycled\*.*安全级别设置为"不允许的

特别注意。

如果分区文件系统是NTFS，在Windows的NT架构的系统中，即WindowsNT/2000/XP/2003，会为系统中的每位用户创建各自的回收站文件夹，如果分区文件系统是NTFS，则会保存在Recycler这个文件夹里，而不是Recycled文件夹，因此不用担心是病毒文件夹。

则会保存在Recycler这个文件夹里.（在这特别感谢发现问题的cml45朋友）那我们应该：

在路径框中输入?

:

\Recycler\*.*安全级别设置为"不允许的"

在路径框中输入?

:

\SystemVolumeInformation\*.*安全级别设置为"不允许的"

在路径框中输入%windir%\system32\Drivers\*.*安全级别设置为"不允许的"

在路径框中输入%windir%\system\*.*安全级别设置为"不允许的"

通过这四条规则就能屏蔽掉该四个文件夹下任意可执行文件的运行.完美防御了这一类病毒木马的进攻.放心这种格式是不会秒杀掉诸如.txt.jpg这样的文本或者图片文件的.至于这四个文件的功能和重要性,菜鸟自己去XX知道.不想费口水.

实例2_杜绝仿冒危险程序:

进程仿冒是病毒和木马用得最多的手段.比如system32文件夹下的vchost.exe系统文件,病毒就可以同样用svchost.exe命名,然后放到windows其他任意文件夹下.那运行是XP默认的任务管理器就只会显示svchost.exe进程,而XP正常情况下本来就有很多个svchost.exe进程.这就欺骗了一般的用户.而一般的杀软也只有干瞪眼.本地安全策略则可以永久的免疫这种方式的木马和病毒.我们只需两条规则（右击其他规则,在菜单中选择新建路径规则,在路径中写规则）:

在路径框中输入svchost.exe安全级别设置为"不允许的"

在路径框中输入%windir%\system32\svchost.exe安全级别设置为"不受限的"注意是不受限的

学过程序的人知道优先级关系,那么第二条使用绝对路径的优先级高于第一条基于文件名的路径.也就是system32下的svchost.exe是允许运行的,而其他任意文件夹下的svchost.exe都是是不允许运行的.

实例3_杜绝双面病毒木马:

用双扩展名迷惑用户的病毒木马也不少.比如mv.jpg.exe免费得QQ会员的方法.txt.exe等等,再改个扩展名图标,不少火候不够热爱装逼的系统伪高手们就会误以为是个图片文件和文本文件而掉以轻心.中毒再所难免.

安全策略就能阻止,当然这可以自由发挥只举两个例子右击其他规则,在菜单中选择新建路径规则,在路径中写规则）:

在路径框中输入*jpg.exe安全级别设置为"不允许的"

在路径框中输入*txt.exe安全级别设置为"不允许的"

实例4_不禁用U盘,光驱也能防U盘,光驱,病毒

假设你的U盘或者光驱的盘符是I和J

在路径框中输入G:

\*exe安全级别设置为"不允许的"

在路径框中输入G:

\*com安全级别设置为"不允许的"

当然如果你需要用光驱安装软件或者程序的时候就要把G:

\*exe和G:

\*com改成不受限的.

防止U盘病毒那么就:

在路径框中输入I:

\*exe安全级别设置为"不允许的"

在路径框中输入I:

\*com安全级别设置为"不允许的"

一般的U盘病毒还会自己在U盘根目录下建立隐藏的SystemVolumeInformation文件夹和Recycled文件夹（哈哈,Recycled其实就是回收站文件夹）那么我给的第一个策略就挡住了.

还有就是注意不要死板.尽量多设置几个盘符,比如I,J,K,F.因为电脑一般有多个USB接口,好了费话不说接着来.

实例5_对付文件名伪装的病毒和木马:

文件名伪装最初是那些菜鸟黑客用的老掉牙的技术.可是我们仍不能不防.

比如windows桌面就是explorer.exe那么黑客现在把explorer.exe其中的字母L和O换成数字的0和1.怎样?

眼睛疼了吧看得你吐血,你也不见得看清.有些病毒还会老到以.pif为后缀.他和同样是可执行文件,但他们的扩展名,即使在你选择了显示隐藏文件夹扩展名后.都不会显示.废话不说,写在路径框中输入expl0rer.exe注意把字母O换成数字0安全级别设置为"不允许的"

在路径框中输入exp1orer.exe注意把字母L换成数字1安全级别设置为"不允许的"

在路径框中输入exp10rer.exe注意把字母L,O换成数字1,0安全级别设置为"不允许的"

在路径框中输入安全级别设置为"不允许的"

在路径框中输入*.pif安全级别设置为"不允许的"

以下是设置好后的图片

二,扩展系统防火墙,保护IE和临时文件

介绍了本地安全策略-其他规则-路径规则的应用,那大家是否发现路径规的安全级别设置似乎只有"不允许的"和"不受限的两种"那么再来教大家扩展,事实上微软还在XP上隐藏了很多安全级别.有一个叫基本用户.什么意思呢?

就是界于管理员和受限帐户之间的用户权限.类似windowsVista中的大部分权限.好,废话不说,我们马上开启.

打开注册表（XP系统的打开方法是,开始-运行-regedit）找到HKEY_LOCAL_MACHINE\software\Policies\Microsoft\Windows\Safer\Codeldentifiers新建一个名为Levels的DWORD值.数值设置为一个十进制数131072.关闭注册表.重新注销系统.然后再登陆.打开本地安全策略（运行secpol.msc）本地安全策略-其他规则-路径规则的安全级别设置里就多了个基本用户.好下面我们利用基本用户来写出策略.防止病毒,木马通过捆绑IE浏览器感染临时文件夹.

实例_1给IE加盾.挡住网页挂马

我们可以用基本用户权限来加载IE防止木马病毒和恶意网站通过IE强行修改系统设置.方法同上,右击其他规则,打开新建路径规则,在打开的路径规则栏里输入%ProgramFiles%InternetExplorer\ieplorer.exe（浏览器路径位置也可以用浏览定位,%是通配符表示无论该文件夹在硬盘哪个分区都有效）.然后在的安全级别设置中选基本用户.点击确定后退出,在运行中输入gpupdate/force（/号前有空格）回车执行刷新组策略设置.这样IE在上网时就安全多了.最好在把历史记录保存天数设置成0.

实例_2不让临时文件夹成为病毒木马的温床

经常中毒但有心的朋友可能会留意,目前大部分网络木马病毒都会感染临时文件夹temp.那么就交大家保护TEMP文件夹.方法同上:

在路径框中输入%USERPROFILE%\LocalSettings\Temp\*.*安全级别设置为"基本用户"

在路径框中输入%USERPROFILE%\LocalSettings\Temp\**\**安全级别设置为"基本用户"

修改完后,在运行中输入gpupdate/force（/号前有空格）回车执行刷新组策略设置.

三,把好权限关,木马蠕虫全滚蛋（在应用前清先用GHOST或一键还原备份好系统,以防改错）

使用下面的权限设置至少满足三个条件:

1,系统必须是windows2000/XP/2003（Pro）版,XPHOME不行;2,系统分区必须是

如是FAT32那种给菜鸟预备的老分区格式请转换成NTFS.转换方法运行里输入cmd打开命令提示字符,然后写convertc:

/fs:

ntfs（注意convert命令后和c之间的空格,如果c盘符有名字系统会提示你输入名字转换,比如的c盘符号是系统,那么只需在命令提示字符里输入系统两字就按下Y键,重启系统就可以转换了）这样就可以转换过来了,至于FAT32的缺点和NTFS的优点,不想废话,菜鸟如有疑问自己XX知道;3,必须在文件夹选项中取消简单文件共享前的勾并确定

设置方法:

我的电脑-工具-文件夹选项-查看.

大家确认自己在满足条件后方可继续阅读.

实例_1彻底堵住注册表被挖穿的墙角

比如我们有时双击.doc文档时word会打开,而没装word的系统就会由windows的写字板打开呢?

因为word在注册表里关联了DOC文件类型,就像我们安上千千静听后所有的.MP3文件都是千千静听的图标,而再安上realplayer后则.mp3却变成了realplayer的图标呢?

这就是一般菜鸟不知道的文件关联,什么类型的文件被什么样的程序所关联了,那什么样的程序就可以控制住被它所关联的所有文件类型.（打开文件类型的方法是在,我的电脑-工具-文件夹选项-查看中去掉隐藏以知文件扩展名前的勾再点确定,比如文本文件是.txt网页文件是.html视频文件是.rmvb等）如果病毒木马利用了这类关联自启动,那么我们在双击后就会受感染.比如某人喜欢用realplayer11看电影,那么默认情况下他的电影就会被realplayer11自动关联.那么他今天下载了一个电影（假设是有毒的rmvb视频文件）,那么他在双击电影文件的图标后,就会启动病毒木马替换realplayer11的关联.所以这就是一般好色的人下****容易中毒的通病.好了闲话少扯.

如何来防止关联被病毒木马替换呢?

打开注册表（xp系统直接在运行里输入regedit）分别右击

HKEY_CLASS_ROOT\exefile和HKEY_CLASS_ROOT\txtfile这两个分支,选择权限.只保留Administrators和SYSTEM用户组,并把权限设置成"只读"（必须去掉完全控制）如果权限设置是灰色不选的话,可以选高级,然后去除"从父项继承那些可以到子对象的权限项目,包含在此明确定义的项目"前的勾并点击确定,然后在弹出框中选择删除.即可

裸奔还没到那个程度，

在练练吧。

现在用的是一个垃圾的杀软。