1、解开被禁用的注册表
#RF J_ J0iOSKD!{e0
"j7`S8G |f v,D0执行软盘中的“unlockreg.reg”文件，此文件是用记事本建立一个以REG为后缀名的文件，文件名可自定义，内容如下：
F7 情感空间 V l!Bf l/c
B~
O1O?q(@ W F0REGEDIT4
F7 情感空间)l]jK\3S]7O
;x1P UhQ
i0空一行[HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼System] "DisableRegistryTools"=dword:00000000
F7 情感空间~P-Z+jm SK(Ff#n
F7 情感空间 emU6}#v @/|0M要注意的是，在“REGEDIT4”一定要大写(如果你是Windows 2000或Windows XP用户，请将“REGEDIT4”写为“Windows Registry Editor Version 5.00)”，且后面要空一行，并且“REGEDIT4”中“T”和“4”之间一定不能有空格，否则……
F7 情感空间4RK*M,d{
;^ lX \\0注册表解开了，下面就要对症下药，对注册表进行修改了。
m.K [)S1u'X0
,^)`&m+T"I&p02、解决IE属性主页不能修改
$kH+u,o'v7w0
F7 情感空间7^ S4A p9vB v~ \打开注册表，展开注册表到
t*L6O@1z T)jag9s P0
kfM,[*svH0HKEY_USERS＼.DEFAULT＼Software＼Policies＼Microsoft＼Internet Explorer＼Control Panel下，将“homepage”的键值由原来的“1”修改为“0”即可，或干脆将“Control Panel”删除就可以了!
F7 情感空间m&du%Q"|:B.v j
F7 情感空间8Ss;U(X+j2?4t3、修改IE的标题栏
F7 情感空间 ZJ bj F
F$x&n3` P ?U
F7 情感空间L$QMY9NJ4yHKEY_LOCAL_MACHINE＼Software＼Microsoft＼Internet Explorer＼Main HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼Main
JrE]:L-`magdV0
F7 情感空间&rhq Z\/p&S6yE*Z在注册表中找到以上两处主键，将其下的“Window Title”主键值更改为“Microsoft Internet Explorer”即可。
F7 情感空间1[:?2]c J{
F7 情感空间 lH(j'b0b Wa0N0@4、IE默认连接首页被修改
F7 情感空间j+LI8eRE#V z
F7 情感空间^ @$n
h)a]_被更改的注册表项目为：HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼Main＼Start Page将键值修改为自己喜欢的网址即可。
F7 情感空间(qa7^ A6~2QMw
e
&PYo3r9j | Um|05、删除自运行程序
F7 情感空间4C2T gmGw p l6s[
F7 情感空间-t c {*k{"` CD打开“HKEY_CURRENT_USER＼ Software＼ Microsoft＼ Windows＼ CurrentVesion＼”及“＼HKEY_LOCALMA CHINE＼Software＼Microsoft＼ Windows＼CurrentVersion＼”，在其下的RUN文件夹中，有许多Windows启动时便开始运行的程序，但是在菜单“开始/程序/启动”中却找不到。把自运行程序删除就可以了。
F7 情感空间W4[%\ryR+k
F7 情感空间@1@7~+hx
O6、右键菜单中的网页广告
J8b(F7e:a$l0
F7 情感空间|`)p%Y\5Ks A.\将注册表展开到HKEY_CURRENT_ USER＼Software＼Microsoft＼Internet Explorer＼MenuExt，在IE中显示的附加右键菜单都在这里设置，常见的“
网络蚂蚁”和“网际快车”点击右键下载的信息也存放在这里，只需找到显示广告的主键条目删除即可。
n!\jP qW4T0
F7 情感空间 Q6O9r&` B$T N%LQD7、启动时的提示窗口
F7 情感空间9^o4x/@
v[0BTL
#n(M O;G ZVrA1t0这个设置其实与IE无关，而是Windows的登录提示窗口，不过最近有些网页对它动上了脑筋，在这个窗口里做广告。
F7 情感空间Q;[7n3Z+r K%?s
F7 情感空间#h9@ ?F$q3JS受到更改的注册表项目为：HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Winlogon在其下被建立了字符串“LegalNotice-Caption”和“LegalNoticeText”，其中“LegalNoticeCaption”是提示框的标题，“LegalNoticeText”是提示框的文本内容。这就使得我们每次登录到Windows桌面前都出现一个提示窗口，显示那些网页的广告信息。
F7 情感空间+v#wC W cB)Tli
F7 情感空间%jT:JBO'F:F:dG8、恢复“运行”选项
F7 情感空间0k&zA.KYB#lD
7wg8U:@aO1A
k2d9qO7D0
F7 情感空间"X*uZw+m"X f在注册表中展开至HKEY_USERS/.DEFAULT/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer，在右侧栏中将“NoRun”的键值由“1”修改为“0”即可，或者将“NoRun”删除也可。
F7 情感空间&S `#BYo+PB
F7 情感空间5_^.e&V$Ug8@R0l经过一番辛苦的修改，完全解除了某些网站上的恶意程序对系统的限制，可是如果不小心又访问了该网站，岂不是又重蹈覆辙，其实，你可以在IE中做一些设置以便永远不进入该站点：打开IE，点击“工具→Internet选项→内容→分级审查”，点击[启用]按钮，会调出“分级审查”对话框，然后点击“许可站点”标签，输入不想去的网站网址，按[从不]按钮，再点击[确定]即大功告成！
5EP2O2R,X
s,J h8|*u;u(Wf0
F7 情感空间y]m E Z防患未然
F7 情感空间 r*Yt u K4M o6J7f
F7 情感空间7Sg[D.SE上面的解决方法乃下策，要想不发生类似的情况，上策是加强预防，对于预防的方法笔者提如下几点建议：
f:az:\0TA0
F7 情感空间,`!|5^uP1、要避免中招，关键是不要轻易去一些自己并不了解的站点，特别是那些看上去美丽诱人的网址更不要贸然前往，否则吃亏的往往是你。
%~n:R
A1O0
F7 情感空间oJs+e#P*R S2、由于该类网页是含有有害代码的ActiveX网页文件，因此在IE设置中将ActiveX插件和控件、Java脚本等全部禁止就可以避免中招。具体方法是：在IE窗口中点击“工具→Internet选项”，在弹出的对话框中选择“安全”标签，再点击〔自定义级别〕按钮，就会弹出“安全设置”对话框，把其中所有ActiveX插件和控件以及Java相关全部选择“禁用”即可。不过，这样做在以后的网页浏览过程中可能会造成一些正常使用ActiveX的网站无法浏览。有利就有弊，你还是自己看着办吧。
@$k ZwH H0
Ma8bAtuM03、建议安装Norton AntiVirus 2002 V8.0杀毒软件，此软件已经把通过IE修改注册表的代码定义为Trojan.Offensive ，增加了scrīpt Blocking功能，它将对此类恶作剧进行监控，并予以拦截。
!j/UfH W'O:X0
F7 情感空间H{8bhGBio4、既然这类网页是通过修改注册表来破坏我们的系统，那么我们可以事先把注册表加锁：禁止修改注册表，这样就可以达到预防的目的。不过，自己要使用注册表编辑器Regedit.exe该怎么办呢？因此我们还要在此前事先准备一把“钥匙”，以便打开这把“锁”！
F7 情感空间 oTt LJ7u4w
F7 情感空间u }T2T:o加锁方法如下：
F7 情感空间N3?#G2w L!b*wIb+QY
xTA|.aZnE m0展开注册表到HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼System下，新建一个名为DisableRegistryTools的DWORD值，并将其值改为“1”，即可禁止使用注册表编辑器Regedit.exe。
E H IV:w0
F7 情感空间9YZnf%n#y#x
lX.GJS5、对Windows 2000用户，还可以通过在Windows 2000下把服务里面的远程注册表*作服务“Remote Registry Service”禁用，来对付该类网页。具体方法是：点击“管理工具→服务→Remote Registry Service(允许远程注册表*作)”，将这一项禁用即可。
u {D(c+^-q0
!Z#w ['a b,T/ZG06、升级你的IE为6.0版本，可以有效防范上面这些症状。
F7 情感空间"rW U"F8w'W-mO T
8r&A d N6M07、下载微软最新的Microsoft Windows scrīpt 5.6，可以预防上面所说的现象，更可预防目前流行的、可恶的混客绝情炸弹。
F7 情感空间$psR%o2~$@4g X关于IE被修改
F7 情感空间F ]+@J9Hb近来，有很多网友提问，说自己的主页标题和一些其他信息被更改，甚至于注册表被锁定，其实这些情况都是网页里含有写入注册表得代码做得怪，下面我就说说几种常见得被更改情况和怎样恢复
PZ/~ W3`@!d0ZLo']
bJ1L1k0
l*`*JT'r OI01更改网页标题栏主要是在这里
F7 情感空间5z/Rc0HC x.E-r2O[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Y:F ] \R[A"wC0"Window Title"="Microsoft Internet Explorer"
F7 情感空间.U jUd\3C"l,EF7 情感空间o t1}1a/a[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
L,G,zX4TSN:g0"Window Title"="Microsoft Internet Explorer"
F7 情感空间 m-k9{!P U8l QU-md1P$q,R8A$BZ:E$Y6b0"Start Page"="about:blank" ------启始页
F7 情感空间
u\UW(e|)I H2q$vW z(g0"Search Page"="http://xxxx.my163.com/" ---搜索页
D8b}B[oH3Gi)j0F7 情感空间ql!|
SM Ph^
nY手动修改就是把“*”这里面的网址改为自己喜欢的网站名字就可以了
._7Bf6kA8B7m0F7 情感空间 Qd0@I)r$\ Dw `~LUF7 情感空间;P+SG fT A Sx z/IGV4G0Q?02更改开机提示信息
F7 情感空间2l-il9[W"{&{#oc`y4J0i8~E0[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon]
V
?L)d+v N3tZF0"LegalNoticeCaption"=""
/A
A#_!p5r
TN-}0"LegalNoticeText"=""
~p%cN P$aHS0F7 情感空间G$Rm9Y(kL刚打开计算机就有个对话框说什么欢迎到…………网站，然后点了确定才可以进windows
F7 情感空间cS&b0I\4n.i xs$RBa%b0Zsp,R [ K S03开机自动打开网页
#t8@E9[v3g c0 nBR!g X-e#XPN v0[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
T9It1i Q`U u(I/C0"internat.exe"="internat.exe"
F7 情感空间2~+vopd%^D#p&s7p"ScanRegistry"="C:\WINDOWS\scanregw.exe /autorun"
?!Vm.e&x+OQ0"TaskMonitor"="C:\WINDOWS\taskmon.exe"
*k_
WW,c
n6x\1X0"SystemTray"="systray.exe"
yk7N'].dL2QP%F0"LoadPowerProfile"="Rundll32.exe powrprof.dll,LoadCurrentPwrScheme"
F7 情感空间Gw9G9QR,U9cR
n"qwe"="http://www.xxx.com/default.asp" -------这里看到了吗
F7 情感空间#Pwz/EH6S
x]"Kingsoft AntiVirus"="D:\KAV\KAV9X.EXE -Logon -Watcher"
F7 情感空间0e$N$@hT"F waE#DF7 情感空间9v#\Bu*Tq F
J这个例子在我得电脑上的启动程序，这就是在系统配置实用程序里加载，让你刚开机就自动打开它得网页
F7 情感空间4`A x |8HxGN ? m$Y{G&| i0F7 情感空间bu:[ Z5x(wF7 情感空间m4v8k0K(s2| sBG$u4IE工具栏的修改
F7 情感空间1o/e q}0fAw)E$R2UF7 情感空间0cU:S.|C[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Extensions{8DE0FCD4-5EB5-11D3-AD25-00002100131c}]
)K9H"B.[9AX:fX0"ButtonText"="■网址QQ宝贝" -----------这里被我改成“C盘”了
F7 情感空间$HHnE C(qq'Cen"CLSID"="{1FBA04EE-3024-11d2-8F1F-0000F87ABD16}"
F7 情感空间mz*GVH J"ClsidExtension"="{8DE0FCD4-5EB5-11D3-AD25-00002100131c}"
F7 情感空间 K$Q nX@(q,n"Default Visible"="Yes"
F7 情感空间d;y%l Z
j'A"Exec"="http://qqc.myrice.com" --------------打掉网址
F7 情感空间rRo@W"HotIcon"=""
:v(?;b7~%L0"Icon"=""
F7 情感空间*a8a%M R
MF7 情感空间'G"T8u2E$K;P呵呵，具体什么意思我也不太明白，因为GGyou也不是高手
m.A"sQH n6{
j#T0F7 情感空间 vR
a%[ Z m
r!`O这段再我的任务栏里多添加了一个带图标的网址，然后在C盘生成一个网页链接
*E&q4F,[g9?l0 HP} Pn O0就这样变废为宝，任务栏里多了个剪刀图标的C盘的快捷方式，呵呵
F7 情感空间[4I'A[7c6qX1bW }zP&qb0算了，我说的很不透彻，转载一篇文章大家自己看吧
xC ]!E(~ T0X0严防死守，保卫IE
7u.q'FV'b0（tugener 2001年10月16日 17:38）
0S6Q9j+P.w+{-J c0最近这段时间网民们上网冲浪时常常会碰到一件令人反感的事，就是在浏览一些网站多为个人主页后IE浏览器的标题栏被篡改成了诸如“欢迎访问……网站”的字样，IE的起始页、主页默认页也被设置成了那些网站的网址，更有甚者在访问者的IE右键菜单中加入了那些网站的名字。这都是那些网站为了宣传自己的网站通过在网页中嵌入Javascrīpt脚本语言来修改浏览者的注册表中相应的键值造成的，让我们这些“网虫”很烦。那我们怎样恢复IE的“本来面目”呢？让我们将其“个个击破”。
8i/c|$q+\`0F7 情感空间,{yQ$B]
Dl)c篡改IE标题栏
'g(Uk/V {'v09w4F n6pE"?.Z+A8O0症状：IE浏览器上方的标题栏被改成“欢迎访问……网站”的样式，这是最常见的篡改手段，受害者众多。
~^AOEx9b9PZ.Q0.IY,s.U2MA$`#Hm[0涉及子键：
[*M6ggld0P)?!H A0HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title
F7 情感空间+AV_ o X0aHKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Window Title
F7 情感空间H^$?/q4] cF7 情感空间 r R.O*o#c%BMhX说明：这两个“Window Title”子键的键值就是IE标题栏中的标题。
F7 情感空间 i4@"y3At nTF7 情感空间_ H?4MZK1u]修复方法：运行注册表编辑器regedit.exe，展开上述两个子键，将这两个子键的键值修改为“Microsoft Internet Explorer”(IE默认值)，或者你也可以将键值改为像“我的专用浏览器”这样体现个性的标题，重新运行IE就可以看到效果了。怎么样？是不是感到很亲切？
'?3I6R v1q BO5} h$x0F7 情感空间 {0d6G$g!G.D$W%I/R#v篡改IE起始页
g
L u,V5d9x!~^/\04k2E C s*a+\$Hx0症状：这里所说的IE起始页就是一运行IE就会自动打开的网页，也就是说起始页被改成了篡改网站的网址。
;F2f O/PA0F7 情感空间Ic Z Xm}涉及子键：
7R%qJ#S$MZ4W x0HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
F7 情感空间U-O H)Xj N6]F7 情感空间i8p"?&T'?说明：这个子键的键值就是IE起始页的网址。
HL"]2E$v:{ y y:t|0F7 情感空间eD0k$pK9X#S
l修复方法：运行注册表编辑器，展开上述子键，将“Start Page”子键的键值修改为某个网址即可。如果你不想一运行IE就自动打开某网页的话，你可以将IE起始页设为空白页，即将“Start Page”子键的键值修改为“aboutblank”，重新运行IE就可以看到效果了。其实也可以通过IE的选项设置来更改IE的起始页，设置方法：点击“工具/Internet选项”，在“主页”中输入起始页。
6x P
f!f2Y0 eC0_ ukQm S`_ }0特殊例子：当IE的起始页变成了某些网址后，就算你通过选项设置修改好了，重启以后又会变成他们的网址啦，十分的难缠。其实他们是在你机器里加了一个自运行程序，它会在系统启动时将你的IE起始页设成他们的网站。
F7 情感空间8R6lil*?Qc s$o0P j'W
T-T%s9^bp0修复方法：运行注册表编辑器regedit．exe，然后依次展开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run主键，然后将其下的registry．exe子键删除，然后删除自运行程序c:\Program Files\registry.exe，最后从IE选项中重新设置起始页就好了。
F7 情感空间'jI f;L%B!Sx%AH KF7 情感空间 X;W[2k}r篡改IE起始页的默认页
%s gc,H]6J0
yTl-\n^ zM0症状：有些IE被改了起始页后，即使设置了“使用默认页”仍然无效，这是因为IE起始页的默认页也被篡改啦。
F7 情感空间{6S
j5U3?H sb H G:B7Z b9Zk
]0Fx0涉及子键：
4a_ b%G.J.dhm+zM0o0HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Page_URL
F7 情感空间$L g'nkF)|)^4{ @F7 情感空间j.cf V8N [/U-K~t说明：该子键的键值即起始页的默认页。
lA'N6J$N9VGZx0F7 情感空间 NW
^M.t修复方法：运行注册表编辑器，然后展开上述子键，将“Default_Page_UR”子键的键值中的那些篡改网站的网址改掉就好了，或者设置为IE的默认值。
F7 情感空间*yk;_!s `)k4QM LNH p4T B&G,uD e0篡改IE默认的搜索引擎
-nT%Y X0[+l0 H D#A,k WP U0症状：在IE浏览器的工具栏中有一个搜索引擎的工具按钮，可以实现网络搜索，被篡改后只要点击那个搜索工具按钮就会链接到那个篡改网站。
}"^kD2Y j7o0F7 情感空间q+gl:O\ \9r涉及子键：
4bkS;QY0HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\CustomizeSearch
F7 情感空间%@%e/U I_U.Sb tHKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\SearchAssistant
F7 情感空间x(o%Se0P x O(S^"]?s^0修复方法：运行注册表编辑器，依次展开上述子键，将“CustomizeSearch”和“SearchAssistant”的键值改为某个搜索引擎的网址即可。
!lsL)h R7`
a r3X W0t~1cj9c+b{8? q0篡改IE右键菜单
F7 情感空间o![
Ly_[
bp-W L[#gM$yy0症状：当你在浏览网页的时候右击鼠标的时候在弹出菜单中有一项“欢迎访问……网站”的话你会怎样？是不是有一种恶魔缠身的感觉？
5S_5e`(~07? i/B QD'{0涉及子键：
1^6u bo)o(d&\h0HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\欢迎访问……网站
F7 情感空间~+Qm5Pn
a2X9n;APs:v;x JY)P0说明：“MenuExt”主键是IE扩展菜单项的控制主键，如果你机器里安装了网际快车或者网络蚂蚁的话，在这个子键下面就能看到“使用网际快车下载”这样的子键啦。
h _9j{{}(wj$q0F7 情感空间*v+maA h1Z,t:kw修复方法：运行注册表编辑器，开上述主键，在“MenuExt”主键下面就会有“欢迎访问……网站”相似内容的主键，将其删除，但是在删除之前你可以展开这个主键看一下，在这里面有一个链接打开一个HTML文件的子键，看看这个文件路径，然后根据路径将这个文件也删除(注意，这个HTML文件被设置了隐藏属性，从菜单选择“查看/文件夹选项/查看页/显示所有文件”即可看见它啦！)。这样才彻底清楚干净，是不是有种如释重负的感觉？呵呵！
F7 情感空间_o/{-S^hF7 情感空间0`/g&U9w!a"M n*Z8Y&|系统启动时弹出对话框
F7 情感空间6I ehBsIUF7 情感空间RH
Yt o\6yM症状：开机时，会弹出推荐网站“欢迎访http://www……”样式的窗口。进入系统后，会自动打开IE浏览器，自动访问默认主http://www…… 并且无法更改。
F7 情感空间&eK,S"i&f,WKF7 情感空间9MG N2ee
J v"@涉及子键：
9s4DT5| ma0HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
F7 情感空间5}y n1DX Z1k*BWinlogon\LegalNoticeCaption
F7 情感空间 ~X
f r:s F~cHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
(p H v4FBZ5h`TR0Winlogon\LegalNoticeText
r
Gn |:H OO*g06^`1T m6GJe C w0说明：其实这个主键与IE并不相关，而是Windows登录提示对话框的控制项。
F7 情感空间M|w$R,h f @F7 情感空间*i7{F hx T4{ p7sA修复方法：运行注册表编辑器，然后依次展开上述主键，将“LegalNoticeCaption”和“LegalNoticeText”主键删除就万事大吉啦。
F7 情感空间+klF ~ @#]F7 情感空间-X }(NJ j
PVN^ p小结
T z-?KBw'I1dj0上面介绍了几种篡改手段所涉及到的子键以及恢复方法，但是有些篡改网站所涉及的子键以及放置自启动程序的路径会不尽相同或者还有新的篡改“技术”出现，那怎么办？不要紧，我们还有一招，可以以不变应万变。当你不清楚它们修改了注册表哪个子键的时候，你可以“透过现象看本质”，进入注册表编辑器，然后按“F3”键打开“查找”，查找内容就是那个篡改网站的网站名或者网址，当找到后你可以对相应键值或删除或修改，然后再按“F3”键“查找下一个”，直到将它们清理干净了才罢休。对于设置了自运行程序或者设置了文件链接的情况，你还要根据文件路径顺藤摸瓜直捣黄龙得而诛之以图后快，呵呵！
7ksiL.L ~7sA?;Y0 c q_Gz0 F;^[X \ J?u#G0电脑总是自己开一些网站?
F7 情感空间K6q5Mf`
p Mf1、解开被禁用的注册表
r\|y dj2o n0
F7 情感空间9R!sAD8lk5_执行软盘中的“unlockreg.reg”文件，此文件是用记事本建立一个以REG为后缀名的文件，文件名可自定义，内容如下：
MMMY2`3M0
K` w
h$eM"O0REGEDIT4
c4~AH:`b)H|(]*a0
$Y#?;@$o!C5vKW0空一行[HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼System] "DisableRegistryTools"=dword:00000000
F%X!qwaEr M0
F7 情感空间 lH(x q"`;H要注意的是，在“REGEDIT4”一定要大写(如果你是Windows 2000或Windows XP用户，请将“REGEDIT4”写为“Windows Registry Editor Version 5.00)”，且后面要空一行，并且“REGEDIT4”中“T”和“4”之间一定不能有空格，否则……
+cp2g$Zbg ^0
7KY:k!y2b0注册表解开了，下面就要对症下药，对注册表进行修改了。
F7 情感空间-g k(ECk;c2z c
F7 情感空间:Zs pacM{:ba2、解决IE属性主页不能修改
.H I:TI Q f ?a+G0
_'~ M-Eswr n yG6E0打开注册表，展开注册表到
/V$p[v)i0
F7 情感空间9M
G+okTY)bHKEY_USERS＼.DEFAULT＼Software＼Policies＼Microsoft＼Internet Explorer＼Control Panel下，将“homepage”的键值由原来的“1”修改为“0”即可，或干脆将“Control Panel”删除就可以了!
F7 情感空间 `]&u2R,F-K }
i"F7y"N}8lj J l9p03、修改IE的标题栏
7Z6q*Sv z"U oZXj e
p0
F7 情感空间 k |D.}(FvF)jHKEY_LOCAL_MACHINE＼Software＼Microsoft＼Internet Explorer＼Main HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼Main
F7 情感空间KNwWO
F7 情感空间b(W+jy{L;vHs在注册表中找到以上两处主键，将其下的“Window Title”主键值更改为“Microsoft Internet Explorer”即可。
m#eclT6?#Eh@6f0
1p
p ~4c(L8Un8j04、IE默认连接首页被修改
*]2soO$rb D+EV }0
D-S
| M1I\8fN0被更改的注册表项目为：HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼Main＼Start Page将键值修改为自己喜欢的网址即可。
F7 情感空间 t6f_$fO.H t,zGb6M O
)Y6kq*huo05、删除自运行程序
F7 情感空间}B ?
u a fYT
P
F7 情感空间#@7^J0|+c([r_打开“HKEY_CURRENT_USER＼ Software＼ Microsoft＼ Windows＼ CurrentVesion＼”及“＼HKEY_LOCALMA CHINE＼Software＼Microsoft＼ Windows＼CurrentVersion＼”，在其下的RUN文件夹中，有许多Windows启动时便开始运行的程序，但是在菜单“开始/程序/启动”中却找不到。把自运行程序删除就可以了。
F7 情感空间.Z TFI#w mN O
F7 情感空间zGTb!I(?S? r.PY6、右键菜单中的网页广告
F7 情感空间;j}2U
^&e)kL
F7 情感空间X*g!o?.^u"M将注册表展开到HKEY_CURRENT_ USER＼Software＼Microsoft＼Internet Explorer＼MenuExt，在IE中显示的附加右键菜单都在这里设置，常见的“网络蚂蚁”和“网际快车”点击右键下载的信息也存放在这里，只需找到显示广告的主键条目删除即可。
#W e@[+V*V8BNK0
T5E5^O1O%w
@ Z x V07、启动时的提示窗口
F7 情感空间P5u$E,]
Ac!F
w J7`x5qAJ0这个设置其实与IE无关，而是Windows的登录提示窗口，不过最近有些网页对它动上了脑筋，在这个窗口里做广告。
k"L$W _V;QjnX0
F7 情感空间o R["pxU5pZ&Xq受到更改的注册表项目为：HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Winlogon在其下被建立了字符串“LegalNotice-Caption”和“LegalNoticeText”，其中“LegalNoticeCaption”是提示框的标题，“LegalNoticeText”是提示框的文本内容。这就使得我们每次登录到Windows桌面前都出现一个提示窗口，显示那些网页的广告信息。
6j9b8{LH0
v8A M\ k @08、恢复“运行”选项
F7 情感空间Zp#agWH cv
F7 情感空间 z\c6D b;b
F7 情感空间9cZ,U7b7vRJ;Cm?在注册表中展开至HKEY_USERS/.DEFAULT/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer，在右侧栏中将“NoRun”的键值由“1”修改为“0”即可，或者将“NoRun”删除也可。
F7 情感空间A_2a!T5u"e,j
F7 情感空间+yP*mz5HmZ经过一番辛苦的修改，完全解除了某些网站上的恶意程序对系统的限制，可是如果不小心又访问了该网站，岂不是又重蹈覆辙，其实，你可以在IE中做一些设置以便永远不进入该站点：打开IE，点击“工具→Internet选项→内容→分级审查”，点击[启用]按钮，会调出“分级审查”对话框，然后点击“许可站点”标签，输入不想去的网站网址，按[从不]按钮，再点击[确定]即大功告成！
!uwfAW4s0
F7 情感空间4]JC r M G:wI防患未然
'P9G;M"Pj0
F7 情感空间!\'C(T%s f;B E上面的解决方法乃下策，要想不发生类似的情况，上策是加强预防，对于预防的方法笔者提如下几点建议：
%h*E ZT
X G!Ef0
F7 情感空间6R n-QHg-y,U5X#N1、要避免中招，关键是不要轻易去一些自己并不了解的站点，特别是那些看上去美丽诱人的网址更不要贸然前往，否则吃亏的往往是你。
F7 情感空间3Sl*s |"M+\
F7 情感空间~-~k(sQom|7q z2、由于该类网页是含有有害代码的ActiveX网页文件，因此在IE设置中将ActiveX插件和控件、Java脚本等全部禁止就可以避免中招。具体方法是：在IE窗口中点击“工具→Internet选项”，在弹出的对话框中选择“安全”标签，再点击〔自定义级别〕按钮，就会弹出“安全设置”对话框，把其中所有ActiveX插件和控件以及Java相关全部选择“禁用”即可。不过，这样做在以后的网页浏览过程中可能会造成一些正常使用ActiveX的网站无法浏览。有利就有弊，你还是自己看着办吧。
f,^ K Z^1Vy+MA0
F7 情感空间'o$Wl
J({]+w uJ]!I3、建议安装Norton AntiVirus 2002 V8.0杀毒软件，此软件已经把通过IE修改注册表的代码定义为Trojan.Offensive ，增加了scrīpt Blocking功能，它将对此类恶作剧进行监控，并予以拦截。
F7 情感空间.aU3hG zg
e
F7 情感空间 ^Pz-`(@.\4、既然这类网页是通过修改注册表来破坏我们的系统，那么我们可以事先把注册表加锁：禁止修改注册表，这样就可以达到预防的目的。不过，自己要使用注册表编辑器Regedit.exe该怎么办呢？因此我们还要在此前事先准备一把“钥匙”，以便打开这把“锁”！
wXU$kr0
F7 情感空间
T#l
}
Uq加锁方法如下：
F7 情感空间 D.t+y.Su
O
F7 情感空间*k GT tN展开注册表到HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼System下，新建一个名为DisableRegistryTools的DWORD值，并将其值改为“1”，即可禁止使用注册表编辑器Regedit.exe。
F7 情感空间Sq,Hkc ~#~
/y"g9u)Wp+qw] z05、对Windows 2000用户，还可以通过在Windows 2000下把服务里面的远程注册表*作服务“Remote Registry Service”禁用，来对付该类网页。具体方法是：点击“管理工具→服务→Remote Registry Service(允许远程注册表*作)”，将这一项禁用即可。
F7 情感空间"pX M$X:N
w!b*D0v
!^1\)}5]`G06、升级你的IE为6.0版本，可以有效防范上面这些症状。
qe_5v*M.p j0
F7 情感空间oJ"TaE8SXB o7、下载微软最新的Microsoft Windows scrīpt 5.6，可以预防上面所说的现象，更可预防目前流行的、可恶的混客绝情炸弹。
F7 情感空间"oj9{ kI关于IE被修改
F7 情感空间}2k3zf7Ht3^S近来，有很多网友提问，说自己的主页标题和一些其他信息被更改，甚至于注册表被锁定，其实这些情况都是网页里含有写入注册表得代码做得怪，下面我就说说几种常见得被更改情况和怎样恢复
qJ y WT
qX gZ0 A C&z/rQ0'yq)U&Y4a(P]
E;G01更改网页标题栏主要是在这里
F7 情感空间%M|/qX9NG { a%\v[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
}:T'Ya5H3?f'e5O0"Window Title"="Microsoft Internet Explorer"
F7 情感空间4D7C d*G d|p*]fF+lQ1C[9H ~0[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
y;E T)zkr0"Window Title"="Microsoft Internet Explorer"
F7 情感空间8^ Qs ` C%fF7 情感空间5TKc@e1G+\x t"Start Page"="about:blank" ------启始页
F7 情感空间0jt~%i.a.NZ8^`"wB
_{'Et"_0"Search Page"="http://xxxx.my163.com/" ---搜索页
F7 情感空间.L+T p,Scq6O6F-QdM+N bY?X0手动修改就是把“*”这里面的网址改为自己喜欢的网站名字就可以了
^.H0`;EXe0lSK'E!b%g p0F7 情感空间R)]+X#t1q8_q q,N+[t r)p U
R'I02更改开机提示信息
\3j
p Xo+E\R-FE0T*CJ&n|"e4[dv0[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon]
:[)K { ~,M Bh0"LegalNoticeCaption"=""
|'EpY,Y'X0"LegalNoticeText"=""
F7 情感空间fJ \4b od)K f!_J2F"W/e!F&t0刚打开计算机就有个对话框说什么欢迎到…………网站，然后点了确定才可以进windows
[2WX3s$l-]&K6a0Pp+_)n$jJ6XW0 o _/f Xj8Q}G D03开机自动打开网页
'Wm ` K/vw0 u$Y q!v W }8j0[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
8q
B _JL#Km$A w-[0"internat.exe"="internat.exe"
7r/z(}9x-y\.zz+q0"ScanRegistry"="C:\WINDOWS\scanregw.exe /autorun"
F7 情感空间 ok,HAgkY$q6k%L"TaskMonitor"="C:\WINDOWS\taskmon.exe"
b p;H2p-SfQ5P0"SystemTray"="systray.exe"
F7 情感空间'o\P^2l6O ibyg"LoadPowerProfile"="Rundll32.exe powrprof.dll,LoadCurrentPwrScheme"
F7 情感空间Bh
uYJ A+S"qwe"="http://www.xxx.com/default.asp" -------这里看到了吗
%W@ ?!iO a+A Q0"Kingsoft AntiVirus"="D:\KAV\KAV9X.EXE -Logon -Watcher"
F7 情感空间!]!pf#q5u3SR+F8s'gF7 情感空间-? cE(`b这个例子在我得电脑上的启动程序，这就是在系统配置实用程序里加载，让你刚开机就自动打开它得网页
PxtEt aA YM0@
]0F7 情感空间L'V*? P G\eS]x KBx `0(~T
W di Q'u*h o04IE工具栏的修改
F7 情感空间 Dor0\'Cz.I8{1P1} HX0[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Extensions{8DE0FCD4-5EB5-11D3-AD25-00002100131c}]
-QW8mOA E4c0"ButtonText"="■网址QQ宝贝" -----------这里被我改成“C盘”了
F7 情感空间#Gg
B Z-?j
v e
p&J"CLSID"="{1FBA04EE-3024-11d2-8F1F-0000F87ABD16}"
F7 情感空间3x`{%C&K8tP2|Ns"ClsidExtension"="{8DE0FCD4-5EB5-11D3-AD25-00002100131c}"
F7 情感空间7xY
LZ0z kn7Wz(z["Default Visible"="Yes"
F7 情感空间7Ao AyL Xu"Exec"="http://qqc.myrice.com" --------------打掉网址
F7 情感空间M
ga1d,N1k"HotIcon"=""
F7 情感空间AT m x fIx$g;_"Icon"=""
F7 情感空间C9|$u7{#^/hr5A xF7 情感空间c"Y's E}
`呵呵，具体什么意思我也不太明白，因为GGyou也不是高手
e |!?nT"b9[ W `jL-a@0F7 情感空间 R
Y4o5A Y(^这段再我的任务栏里多添加了一个带图标的网址，然后在C盘生成一个网页链接
F7 情感空间 U-Ne.K$K Y l-l'm.^
{s|8U ji0就这样变废为宝，任务栏里多了个剪刀图标的C盘的快捷方式，呵呵
+Q K? f \+?0 ? v6I&]7a5YH0算了，我说的很不透彻，转载一篇文章大家自己看吧
p aR9dba0F7 情感空间-y,XvU6r2K A_7G&[ P*FE$_:z#P7^3agrj0$\#Uj R%k.F5rI-vf&j0q
f&MA%i,x+]0
xH:ei6Y1H*U7is Kj0严防死守，保卫IE
F7 情感空间u6h5wT q0E:nJ T y（tugener 2001年10月16日 17:38）
M,R6U&BR FWMu\0最近这段时间网民们上网冲浪时常常会碰到一件令人反感的事，就是在浏览一些网站多为个人主页后IE浏览器的标题栏被篡改成了诸如“欢迎访问……网站”的字样，IE的起始页、主页默认页也被设置成了那些网站的网址，更有甚者在访问者的IE右键菜单中加入了那些网站的名字。这都是那些网站为了宣传自己的网站通过在网页中嵌入Javascrīpt脚本语言来修改浏览者的注册表中相应的键值造成的，让我们这些“网虫”很烦。那我们怎样恢复IE的“本来面目”呢？让我们将其“个个击破”。
F7 情感空间 S:VH*JP wF7 情感空间 xG#k1b%xp篡改IE标题栏
2I:l8O8~0Rm0"hnSrl0p@"WLh0症状：IE浏览器上方的标题栏被改成“欢迎访问……网站”的样式，这是最常见的篡改手段，受害者众多。
Q%t~ Y$K3vu G0F7 情感空间"ug[!Gug涉及子键：
U `/B/t,}~0HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title
x1h`b8~(`i0HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Window Title
aw(D3T.e^8X0F7 情感空间;y[ wC9q]6X#g6{说明：这两个“Window Title”子键的键值就是IE标题栏中的标题。
5Z
Wh&U%V%k0F7 情感空间^y P1sU0q修复方法：运行注册表编辑器regedit.exe，展开上述两个子键，将这两个子键的键值修改为“Microsoft Internet Explorer”(IE默认值)，或者你也可以将键值改为像“我的专用浏览器”这样体现个性的标题，重新运行IE就可以看到效果了。怎么样？是不是感到很亲切？
S/aq C6E S0F7 情感空间MF yw9E篡改IE起始页
F7 情感空间
osT2fh KqH"I#j6j1o0P:L:T0症状：这里所说的IE起始页就是一运行IE就会自动打开的网页，也就是说起始页被改成了篡改网站的网址。
F7 情感空间"e!szf4}E%Nl{1{VH8l
VnO Qe0涉及子键：
v q.b'Z#Z td.Eg0HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
v3}*Z
_J5vQ0#h NyqMf
^0说明：这个子键的键值就是IE起始页的网址。
Ta"GmG07vp P tY+[ v0修复方法：运行注册表编辑器，展开上述子键，将“Start Page”子键的键值修改为某个网址即可。如果你不想一运行IE就自动打开某网页的话，你可以将IE起始页设为空白页，即将“Start Page”子键的键值修改为“aboutblank”，重新运行IE就可以看到效果了。其实也可以通过IE的选项设置来更改IE的起始页，设置方法：点击“工具/Internet选项”，在“主页”中输入起始页。
F7 情感空间)~#e1X"pq'D'|'K:M6oxte0M'|3^-va0特殊例子：当IE的起始页变成了某些网址后，就算你通过选项设置修改好了，重启以后又会变成他们的网址啦，十分的难缠。其实他们是在你机器里加了一个自运行程序，它会在系统启动时将你的IE起始页设成他们的网站。
)`}!b]U9qa [4` lE0F7 情感空间 v x'?/t
]W kf4@修复方法：运行注册表编辑器regedit．exe，然后依次展开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run主键，然后将其下的registry．exe子键删除，然后删除自运行程序c:\Program Files\registry.exe，最后从IE选项中重新设置起始页就好了。
$a`
\](ha M!D0F7 情感空间;A*P5W&Ft!{%A7v篡改IE起始页的默认页
/zj,Rqq(n0F7 情感空间4\ rv DL.yK症状：有些IE被改了起始页后，即使设置了“使用默认页”仍然无效，这是因为IE起始页的默认页也被篡改啦。
F7 情感空间$o9V8Nmq q.S2K ?Bg J;w#a!?~ LY f,}0涉及子键：
F7 情感空间
h v T yBOHKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Page_URL
(XC#r6T ts0l0F7 情感空间U*E S ^_ KO2t说明：该子键的键值即起始页的默认页。
F7 情感空间6JJ!KTs)v A/n'LF7 情感空间]/Q'WYQ/M修复方法：运行注册表编辑器，然后展开上述子键，将“Default_Page_UR”子键的键值中的那些篡改网站的网址改掉就好了，或者设置为IE的默认值。
L? E l;w6_.s ^5_0F7 情感空间:I8T3qr2U&~ P9@5J9]al篡改IE默认的搜索引擎
'ih3bk"s5A:s0M%_(ry
S ^0症状：在IE浏览器的工具栏中有一个搜索引擎的工具按钮，可以实现网络搜索，被篡改后只要点击那个搜索工具按钮就会链接到那个篡改网站。
O9a4i9DP8k4u0F7 情感空间W ]u
g b.Sz;Mi涉及子键：
5h'l P xl&j
@ t'Vc6J"w0HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\CustomizeSearch
"nx9B6L'Y&I r0HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\SearchAssistant
F7 情感空间#W H(rH3M+Sc4s#w JF7 情感空间hDw)N.V`y p0j修复方法：运行注册表编辑器，依次展开上述子键，将“CustomizeSearch”和“SearchAssistant”的键值改为某个搜索引擎的网址即可。
F7 情感空间b x Sj n(?{[3ls1o zi~_4z0篡改IE右键菜单
F7 情感空间2? [ ]|E6{PeA7R7sk0症状：当你在浏览网页的时候右击鼠标的时候在弹出菜单中有一项“欢迎访问……网站”的话你会怎样？是不是有一种恶魔缠身的感觉？
}C+G.[4r0SG#L(w5]f5c0涉及子键：
F7 情感空间 qc\,U;\)t
zHKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\欢迎访问……网站
AOAw,t4b U;^:Q0J0 j(^K!k7K0说明：“MenuExt”主键是IE扩展菜单项的控制主键，如果你机器里安装了网际快车或者网络蚂蚁的话，在这个子键下面就能看到“使用网际快车下载”这样的子键啦。
+l H V+u _cU0F7 情感空间dq/[~0zx修复方法：运行注册表编辑器，开上述主键，在“MenuExt”主键下面就会有“欢迎访问……网站”相似内容的主键，将其删除，但是在删除之前你可以展开这个主键看一下，在这里面有一个链接打开一个HTML文件的子键，看看这个文件路径，然后根据路径将这个文件也删除(注意，这个HTML文件被设置了隐藏属性，从菜单选择“查看/文件夹选项/查看页/显示所有文件”即可看见它啦！)。这样才彻底清楚干净，是不是有种如释重负的感觉？呵呵！
P q!] b{BH'x.u(Y0F7 情感空间f6FNHCGi系统启动时弹出对话框
%N3w l5{ sj t0\/r3H%k C6{0症状：开机时，会弹出推荐网站“欢迎访http://www……”样式的窗口。进入系统后，会自动打开IE浏览器，自动访问默认主http://www…… 并且无法更改。
F7 情感空间*{^5P@7Qm1\Z r1WBh P r.P$fi8Q0涉及子键：
.ZERM3yg/HxX3X1}0HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
F7 情感空间,e(HJ@q&r6Z4HxvWinlogon\LegalNoticeCaption
F7 情感空间"K yk*T'|2?u#E"H^,_HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
F7 情感空间:} y k nl
[ aWinlogon\LegalNoticeText
8Pav Wm Z0a*c/G5]1M0[Kq%Ls+~0说明：其实这个主键与IE并不相关，而是Windows登录提示对话框的控制项。
F7 情感空间 qt
X}!l/X5y U$g H#NF7 情感空间6q%ZR e8g,_$EE修复方法：运行注册表编辑器，然后依次展开上述主键，将“LegalNoticeCaption”和“LegalNoticeText”主键删除就万事大吉啦。
Y {{i4Y06KJ%Y5t9gZ8[0小结
F7 情感空间:M q'?;y m F!IU5^(mr上面介绍了几种篡改手段所涉及到的子键以及恢复方法，但是有些篡改网站所涉及的子键以及放置自启动程序的路径会不尽相同或者还有新的篡改“技术”出现，那怎么办？不要紧，我们还有一招，可以以不变应万变。当你不清楚它们修改了注册表哪个子键的时候，你可以“透过现象看本质”，进入注册表编辑器，然后按“F3”键打开“查找”，查找内容就是那个篡改网站的网站名或者网址，当找到后你可以对相应键值或删除或修改，然后再按“F3”键“查找下一个”，直到将它们清理干净了才罢休。对于设置了自运行程序或者设置了文件链接的情况，你还要根据文件路径顺藤摸瓜直捣黄龙得而诛之以图后快，呵呵！
F7 情感空间\,Mb ~#KF7 情感空间$Zb*~ z7]Ftx2x)TT谁帮我解决下恶意网站修复问题?
(~ l"k ]bC0下载超级兔子
F7 情感空间6hU7j+r+V
ahttp://www.onlinedown.net/soft/2636.htm
F7 情感空间jvQ PB安装之后点击超级兔子上网精灵
*_
H |_%x5OF0`0左边栏里有网址过滤
J BjeZ0选择第三个
Na$Ab k {0禁止浏览指定网址--点击详细设置--添加你所禁止的网址即可
y7et
H&TG;k,u0[ wU'E;m3a0有2 种方法
*d Mp1~ {FJ01.编辑hosts文件
F7 情感空间_}w6J.I](THOSTS文件存在于Windows目录下的System32\Drivers\Etc目录中。如果恶意网页将正常的域名映射到恶意网页的IP地址，则输入正常网址便会连接到恶意程序指定的网页上。
!Y!R7Is,U!c0当输入正常的网址却被打开一个不知名的网站，则很有可能是因为HOSTS文件被修改了。用记事本打开这个文件，手工删除被恶意程序添加的项目并保存文件，就可以正常访问你要浏览的网站了（如果你从未使用过该文件，则直接删除所有内容后保存也可）。
#fF*l5n:_-iK1[ Y0具体方法到这个上去看看
"DQ
A5g,x"Sw0http://tech.163.com/05/0516/13/1JSKHGTB00091589.html
m g&D h8T+n(\9@ o(a0'J~;X*T@ R#K;`0对于单一的弹出网站（网页），你可以试试下面的方法：
g/fm$D_"m0找到（复制）它的地址。
%HB,rR(s-Q6o!E0然后在IE里通过：工具－－Internet选项－－安全，点击“请为不同区域的Web内容指定安全设置”下的“受限站点”，然后点击下面的“站点”按钮，然后在“将该网站添加到区域”中将这个网站复制进去，点击“确定”即可。
F7 情感空间%l n x j'{8U T6d J/}:f5al0(y"GNk*C0k$S0 U4Z3z n8wY\v0C盘中一些数字命名的文件夹？打开看看文件夹里是什么，如果是：
F7 情感空间 G a;` r1MH*.cab , *.zip,*.tmp的文件就可以安全删除了
F7 情感空间m%}8BX2J
j]` z)[;g h$D+T6o0一、代理服务器常识
t+r Z"o K4L/l0F7 情感空间n nFl$oG`1、 代理服务器的定义：
0[Z]Nz's0F7 情感空间5u0F sI%e*Q#w u代理服务器是介于浏览器和Web服务器之间的一台服务器，当你通过代理服务器上网浏览时，浏览器不是直接到Web服务器去取回网页而是向代理服务器发出请求，由代理服务器来取回浏览器所需要的信息并传送给你的浏览器。
F7 情感空间2fn7g6@7?W0y ZC|"Wc sE:l
C3}-z02、代理服务器的工作机制：
Y l7` I!| |*p H0&n)Z v8d m E-W:h0代理服务器的工作机制很象我们生活中常常提及的代理商，假设你自己的机器为A机，你想获得的数据由服务器B提供，代理服务器为C，那么具体的连接过程是这样的。
R vm"] ?h0F7 情感空间U.{+oIwd首先，A机需要B机的数据，A直接与C机建立连接，C机接收到A机的数据请求后，与B机建立连接，下载A机所请求的B机上的数据到本地，再将此数据发送至A机，完成代理任务。
F7 情感空间3ErE G r)DT(T4K.M siFh03、代理服务器的作用：
a Q4JSi y
u2v0d G:l R~0X V4d0由于中国的IP地址比较紧张，通过代理服务器，我们可以节约一些IP地址，同时也提高了系统的安全性。另外，使用代理服务器，可以提高网络速度。我们在下面代理服务器的应用中，会详细介绍代理服务器的作用。
[~9G,?I4X'C0{i!i,qTE0二、代理服务器典型应用范例
F7 情感空间5qg3f W(~#dF7 情感空间rKe#@Y1、解决电信运营商之间的互联互通的质量问题
"a
g su1FYp0F7 情感空间 m qr `&Z0g自从电信与网通分家以后，互联互通成为了一个大难题。对于我们网吧用户来说，使用电信线路接入的网吧，访问网通的站点时，速度都会变得特别慢。怎么解决呢？代理服务器可以轻松解决运营商之间互联互通质量差的问题。解决这个问题，具体的*作步骤是：
F7 情感空间9xl7i8O j W#MF7 情感空间9^
[k p [ia第一、寻找速度快的代理服务器地址：
F7 情感空间"b0~fa Gb x1f'A!Z"m bJ+y0如果我们是电信的用户，我们在访问网通的站点时，速度会非常慢。要想提高访问网通站点的速度，我们必须找一个网通的代理服务器，而且这个代理服务器的运行速度要快，才能解决电信访问网通速度反应慢的问题。我们在查找代理服务器是，必须选择可以匿名访问的，也就是我们在登录代理服务器时，不需要用户名和密码的。
(?I K
P v'B yX0!k
@
[d3\&s0查找代理服务器地址，可以使用www.google.com搜索，在关键字中输入“代理服务器地址列表”就可以了。下面我提供一个比较好用网站，专业提供代理服务器地址的列表，而且每天都有更新，代理服务器地址可使用率为90％以上。http://www.romanfr.com/proxy在选择代理服务器时，请选择中国国内的代理服务器，以提高访问速度。如果我们是网通用户，可以选择一个电信的代理服务器。
R+J
~,Q8d S |M0W ILM V,w#r {0说明：由于代理服务器可以提高网络访问速度，因此我们可以利用一些速度快的代理服务器，解决电信运营商之间互联互通反应慢的问题。经过测试，此法有明显效果！
F7 情感空间D } yB*m q)Z c#hF7 情感空间"q7@Qm1`n {第二、测试代理服务器的工作是否正常：
ho T ab$FZD z0F7 情感空间7Ug)Yg8]D+SD我们可以使用QQ 2004 Beta2版（以下简称QQ），测试我们获得的代理服务器，是否可以正常工作，速度是否快。找到QQ菜单的系统设置，在QQ系统设置中，找到代理设置选项，如图一
h j#y9m6oMt$GtQR0F7 情感空间Y`e B"aU*q7g#O#DK!k'v;B0选择“使用自定义的网络设置”项，然后在“类型”中选择“HTTP代理服务器”，在“服务器”中输入代理服务器的地址和端口等信息，点击“测试”按钮就行了。这样，代理服务器的测试工作完成。
6Q(oq {4f0F/llR.Gu0当系统返回“代理服务器工作正常”的提示后，则证明该代理服务器可以使用。我们可以根据系统测试的时间，来判断代理服务器的速度快慢。
c2dA7P*p V00[*D'I Deb'B0第二步：在IE浏览器中设置代理服务器地址：
F7 情感空间;x d9DQ%\J2Ho3UTx ml8i.P0打开“控制面板”，找到“Internet 属性”对话框，找到“连接”设置项，找到“设置”键并打开，如图二。由于我的电脑使用的是ADSL拨号，因此会出现这个设置。在图二的对话框中，我们选择“对此连接使用代理服务器（这些设置不会应用到其他连接）选项，然后将通过测试的代理服务器地址和端口。点击确定后，重新启动IE浏览器。重新体验一下，使用了代理服务器后，速度如何？
STk.K.llTX*^0F7 情感空间 x/P)T%BWy5S3v说明：这一步，需要反复的测试，一直找到速度最快的代理服务器地址。这样，我们就可以成功解决电信运营商之间的互联互通的问题了。
F7 情感空间-_ C#n(@3YrF~I.a#I#L W,gD |"q(M07o"|0G:e1Hb02、解决QQ视频连接困难
Z C R hFx0 D ? et xg ~%\0不知何时，QQ在视频连接时，经常出现越时的提示，这使得我们做网管的头疼，由于顾客经常埋怨说，我在其他网吧可以连上，为什么走到你的网吧，无法视频呢？哈哈，找一个代理服务器，就可以搞定了。下面，我们简单介绍一下方法。
F7 情感空间 D v;q0H4Z3CX&P2uSb"U8A6d?0第一步、查找合适的代理服务器地址：QQ所使用的代理，与IE浏览器使用的代理服务器地址不同。据说腾讯在对QQ视频做手脚时，只是限制国内的IP地址，那么我们找个国外或者TAIWAN、香港的IP地址吧。
B^pN;_%Lx0R`twI9rDl0第二步、测试代理服务器性能：用上文的方法，测试一下代理服务器的性能，重点是速度。由于QQ视频时，需要稳定的带宽，因此代理服务器的速度不要太慢就可以了。
F7 情感空间i t u/f-CF-cl~F7 情感空间 M
}~)kfm8?第三步、设置QQ代理服务器：打开QQ菜单，找到“系统设置”选项如图一。然后，我们将代理服务器地址填写进去。
U(Yjx+eV8G+@0!mnm${RL0第四步：重新启动QQ后，就会以当前的设置登录QQ了。试一下，视频一次能够成功不？
F7 情感空间 y O!~T EzVF7 情感空间1Q B|%R#cZK!t2W*T z代理服务器技术，虽然是我们在日常的维护中，很少去研究的一项技术。但代理服务器的扩展应用，还是有广阔的前景的。我们在网吧的日常维护中，对于一个难题，必须坚持，然后我们最终就会找到一个令人满意的答案！
B6d8ic9N sb0 s0ba#F,ieoE0如果每个人都用卡巴＋za＋ewido，，给系统打齐补丁，，再下个qq专杀，我敢保证，不出半年，在反病毒区问问题的朋友减少50％，到那时个个没中毒，早把这忘了！！！ 下载这几个软件时，记得用迅雷才能下载！！！ “（正常模式下无法清楚的病毒，进入安全模式试一下！！！）” XP升级认证补丁：http://www.51ct.cn/downinfo/268.html （下载后，打开直接点击确定就可以，接着你就可以点击开始菜单的“Windows Update”直接上微软网站打补丁！） QQ专杀：1.QQkav： www.onlinedown.net/soft/20919.htm 2. 瑞星专杀 ：www.onlinedown.net/soft/20603.htm 3腾讯专杀： www.skycn.com/soft/13990.html / http://www.onlinedown.net/soft/19832.htm 杀毒就用卡巴：http://www.51ct.cn/downinfo/88.html
F7 情感空间0^)v{ x$j~;x ]进去后，方法先下载：“卡巴斯基(Kaspersky)Pro v5.0.388 官方简体+5.0.390 Pro 完美升级” 这是5.388版的安装程序！ 接着下载：“Patch ppro 5.0.388 to 5.0.390”安装3.88版后双击这个，就能升到5.390版本！ 最后下载：“卡巴斯基(Kaspersky) v5.0.390 key 2007-07-14”这是到2007年的KEY木马就用Ewido：http://www.51ct.cn/downinfo/585.html 注意要严格按照步骤操作！ 第一步：安装Ewido主程序 第二步：选择用“English”安装！！ 第三步：安完后点击输入注册码： 6617-EBE8-D1FD-FEA2
P YQ$dm!B+f ~2M\0接着关掉自动更新，每次升级后得再次输入注册码 (木马克星在他面前小儿科罢了，你再去下载一个木马杀客，有木马需要时，两个合起来一起杀，木马杀客开机就不要自动运行了！) 防火墙就用ZoneAlarm：
F7 情感空间S4V+TP8yl0ahttp://www.51ct.cn/downinfo/374.html
KF ceb b._ lN}0ZoneAlarmPro v5.5.114 Oem豪华中文零售版:序列号：LMLTK-XT5RC-XHVML-ROE4W
9ZfSZ f^*{0ZoneAlarm Pro v6.1.737 汉化版 ；序列号：hh11s-pv5cu-batbk-1mvdqe-md0gc0
7nF%@(W pk0对于个别顽固病毒，推见一个小工具，安装后，点击要删除的文件右键，有个“unlocker”，进去解锁，就能删除！
F7 情感空间 P/t#Y
[og下载地址：http://www.51ct.cn/downinfo/41.html
.H-g&f1C8xJ&a I!u A0这三个合起来用，可以使得系统坚若磐石
(t C9[KRCES$v0它们每个都是当今世界最强的，不用是你的损失！！
F7 情感空间 d/|@Kk卡巴和ZoneAlarm同时安装后会出现一连网就重新启动的情况！ 5.388以前的版本在“实时保护设置”里，把“禁用网络攻击保护”打上勾,,,,,5.388版本卡巴在设置实时保护打开后，在网络的选项下，把“启用网络攻击实时防御”前面的钩去掉！！！这样就不会和za冲突！！！！！！
2w
^ dG)Z#T&ig A0对一个耍毒高手来说，如果他的作品只能躲过瑞星金山这些货色的眼睛，却无法逃脱卡巴的追杀！那他的作品只能算是失败！
~ggV3i%`m0躲过卡巴，是高手与平庸的分水岭！！！
7G \
\W!O0c v0下面是引自“柳晛”大哥的发言！
,|.T\'q*y ^"{3c
y0看一个杀毒软件的好坏，要看它真正能够识别病毒的能力； 中国脱壳能力最强的杀毒软件KV，只能脱两种壳，UPX和ASPack； 中国公安部卖的瑞星，只能脱一种壳,UPX壳； 金山和诺顿根本没有脱壳能力。也就是说一个原本能被他们查杀的病毒，随便加一个冷门的壳，就无法查出来了。 而卡巴斯基支持4000种以上的脱壳技术（现在还在增加），虽然扫描速度下降了，但是识别病毒的能力相当强，无论怎样加壳，都会被识别。 前几天出了一个能够躲过卡巴斯基查杀的加壳工具"Nspack"，震惊了中国木马界。 但是不到一个星期，卡巴斯基就可以识别这种壳了。 我曾经在病毒特征码附近用反汇编添加花指令，都无法躲过卡巴斯基的法眼，更何况是加壳。
F7 情感空间?#{-d;s ky4p;@要想躲过卡巴斯基的追杀，至今只能通过修改特征码的方法。 卡巴斯基的病毒库虽然不是世界最多（诺顿最多），但是它的识别病毒的能力却是世界上任何一种其他杀毒软件无法比拟的！！ 我坚信卡巴斯
F7 情感空间;H7E^3d
kK&m4CI
u,f Ow$o+?A0我是这样杀死狡猾的病毒的……
e X FO[ j0BDv&a0前段时间，我因为用了一个比较新的黑客工具，结果中了病毒。本文就是我杀毒的全过程，虽然走了些弯路，不过，也是为了让大家看看中毒后，要如何思路分析，免得大家认为装个杀毒的或者木马克星什么的就一些没问题了。
:_6g,PM8U6bLu01.杀毒软件先清理
F7 情感空间N~'K#P?Al平常我为了保留一些黑客软件，经常是关闭杀毒软件的文件监控功能，这次中了招，自然要先杀毒，结果杀到一个比较“郁闷”的文件
wM
f g0r E0T%l0C:\Windows\system32\lasse.exe，如不仔细观察，还以为它是系统进程中的lsass.exe，将其清除。
F7 情感空间9\$Cn E F-`H)`N#y我又习惯性地看了看天网，在应用程序网络状态栏中发现，iexplore.exe(IE进程)每隔几秒就自动访问北京电信的一个IP，显示为QQ的8000端口，看来还没清理完，继续！
fgd+]\02.隐藏服务也清除
*~ C D A A6?:nB y0现在应该看看是否有隐藏的服务在系统中，我们用的工具是命令行工具knlsc(下载地址:http://www.newhua.com/cfan/200601/knlsc13.zip)。它是个查找隐藏服务的小程序。可以显示多种隐藏的服务。而发现隐藏的服务后，可以使用本程序禁用它。
F7 情感空间T P0? t E打开“命令提示符”窗口，进入knlsc解压缩目录，输入knlisc -f，出现在了下面的信息。
F7 情感空间4LUjp S,zLzWL{h,VC:\knlsc.exe -f
Bdh{9C(Ub'V#Y
w n[0>Yelfbaav
F7 情感空间1c'CS"CH,z^/KRYelfbaav
F7 情感空间p.P\y#k5?z:l)y[Driver] [Disabled][2005-09-04 03:27:23]
F7 情感空间0t&i8Zt/t$kb[E a,C\??\C:\Windows\system32\drivers\Yelfbaav.sys
%nF\U:D0名为Yelfbaav就是隐藏的服务，以驱动形式加载，极有隐蔽性。再用knlsc13.exe -cd Yelfbaav来禁用此服务，重新启动电脑后，用knlsc -f再查看，果然没有再发现隐藏服务。
F7 情感空间H!|
rE9FL本以为问题已经解决，可谁承想打开天网一看，怎么iexplore.exe进程还在不停的外连，而且直接用天网防火墙结束端口的时候就自动启动。看来问题还是没有解决。
F7 情感空间l.C|#}q1|7D6`-o3.DLL和DL1大不同
HM V S9b VEB:|0拿出我们的骨灰装备IceSword好好分析一下，启动组是一定没有陌生进程的，果然在IceSword的SSDT(系统服务描述列表)项下发现了几个可疑之处。包括C:\DOCUME~1\swap\LOCALS~1\Temp\Yelfbaav.DL1(注意显示小写，但为了有所区别这里改为大写，下同)和312bus.sys。
F7 情感空间!g i W N4tIH9b一般来说，Temp目录下的文件都可以随意删除的，可是Yelfbaav.dl1是与进程关联在一起的，禁止删除，于是，我就一边关IE，一边在“命令提示符”窗口中删除的这个文件。
'U9a Dj5Pu#m&Xl0而312bus.sys，则是通过全盘搜索后，终于在D:\WINDOWS\system32\drivers\打开了它，也将其删除。重启电脑后，天网防火墙上那可恶的TCP连接依然存在，看来问题还没解决！
F7 情感空间c:z nl ?"EBv7n0y4.认真分析解决问题
b~:a vD Pa0想了半天，利用天网的进程拦截功能，把iexplore.exe进程彻底停止外连，这样可以专心的分析下去。不过进程依然存在，刚启动的机器，IE都没打开呢，它就开了。关闭后，这个进程就立刻恢复。
_ V-m8m}
SY3o*K0我又试了Windows优化大师自带工具WinProcess(下载地址:http://www.newhua.com/cfan/200601/winprocess.exe)继续分析，这个小东西功能很强大，可以详细显示进程列表和当前进程的详细信息，如模块信息、内存信息、设备驱动程序等。果然，在眼花了半个小时左右，终于在模块信息中发现一些眉目，找到了C:\Windows\system32\下有Yelfbaav.DL1及Yelfbaav.D1L两个文件。
O8Br*Rc F T*D
n1Y@A0现在一共有三个文件要删除，C:\DOCUME~1\swap\LOCALS~1\Temp\Yelfbaav.DL1(又恢复了)、C:\Windows\system32\Yelfbaav.D1L及Yelfbaav.DL1，其中最难搞定的是Yelfbaav.D1L，总提示“拒绝访问”，于是找来了CopyLock(下载地址:http://www.newhua.com/cfan/200601/copylock.rar)，这款可以让你替换，关闭系统正在使用的文件。把Yelfbaav.D1L往CopyLock软件窗口中一拽，这个世界清静了……
Z:yb"kX8sC h@(JU05.问题往往很简单
F7 情感空间CQ'V
W` L$^/Jy9e$u顺利干掉三个文件后，重启，一切正常，天网也不报警了，不过iexplore.exe却还依然开着，再次用knlsc查看了一次系统服务，这次是命令换为knlsc -law，仔细查找，终于看到了服务名为dmserver的服务调用了%SystemRoot%\System32\Yelfbaav.d1l，于是用knlsc -cd dmserver停止此服务，重启后问题解决。其实要是能早点发现这个服务，停掉它，不就一切太平了吗？
F7 情感空间9Gu rUM,^ J端口、木马、安全和扫描应用知识
w
L;m w5b02006-06-30 18:53 作者：华夏黑客同盟
F7 情感空间
cx"f
B
t)kpb\AH F#M0 看到这个题目你也许有些奇怪，怎么把这几个词放在了一起，其实谈起端口和木马都是老生常谈了，但即使是常谈还有很多人的计算机被“冲击波”冲过之后又被“震荡波”狠狠地震了一下，看来很有必要再谈谈老话题，免得再被什么波温柔地扫过。其实说这些最终的目的就是为了保证计算机的上网安全。
Q Qa6e:GU'R0一、 端口
F7 情感空间qU,QO1G9c)P&S4|:n'`*j 一）、端口的一般含义
&EOU;y^*si]P:n8b0 说到端口，这确实是个老话题，但一切都是从它开始的，不得不说。何谓端口，打个比方，你住在一座房子里，想让别人来拜访你，得在房子上开个大门，你养了个可爱的小猫，为了它的进出，专门给它修了个小门，为了到后花园，又开了个后门……所有这些为了进到这所房子里而开的门叫端口，这些为了别人进来而开的端口称它为“服务端口”。
F7 情感空间F
r#Z e Z hps 你要拜访一个叫张三的人，张三家应该开了个允许你来的门--服务端口，否则将被拒之门外。去时，首先你在家开个“门”，然后通过这个“门”径直走进张三家的大门。为了访问别人而在自己的房子开的“门”，称为“客户端口”。它是随机开的而且是主动打开的，访问完就自行关闭了。它和服务端口性质是不一样的，服务端口是开了个门等着别人来访问，而客户端口是主动打开一个门去打开别人的门，这点一定要清楚。
F7 情感空间1~ N:^a
jc C 下面从专业的角度再简单解释一下端口的概念。联网的计算机要能相互通信必须用同一种协议，协议就是计算机通信的语言，计算机之间必须说一种语言才能彼此通信，Internet的通用语言是TCP/TP，它是一组协议，它规定在网络的第四层运输层有两种协议TCP、UDP。端口就是这两个协议打开的，端口分为源端口和目的端口，源端口是本机打开的，目的端口是正在和本机通信的另一台计算机的端口，源端口分主动打开的客户端口和被动连接的服务端口两种。在Internet中，你访问一个网站时就是在本机开个端口去连网站服务器的一个端口，别人访问你时也是如此。也就是说计算机的通讯就像互相串门一样，从这个门走进哪个门。
A2O&b5g1X6O0 当装好系统后默认就开了很多“服务端口”。如何知道自己的计算机系统开了那些端口呢？这就是下面要说的。
&A8|$u7kRcW SO \0 二）、查看端口的方法
F7 情感空间Yiq4x0W.p(t*c6m 1、命令方式
F3~ zT.Ng0K0 下面以Windows XP为例看看新安装的系统都开了那些端口，也就是说都预留了那些门，不借助任何工具来查看端口的命令是netstat，方法如下：
$fwh
d1L7w;_ |!ro0 a、在“开始”的“运行”处键入cmd，回车
M7I&C$^mIe;X#h
w0 b、在dos命令界面，键入netstat -na，图2显示的就是打开的服务端口，其中Proto
'v djR9xL$CX0 代表协议，该图中可以看出有TCP和UDP两种协议。Local Address代表本机地址，该地址冒号后的数字就是开放的端口号。Foreign Address代表远程地址，如果和其它机器正在通信，显示的就是对方的地址，State代表状态，显示的LISTENING表示处于侦听状态，就是说该端口是开放的，等待连接，但还没有被连接。就像你房子的门已经敞开了，但此时还没有人进来。以第一行为例看看它的意思。
F7 情感空间gX FJ;V M j TCP 0.0.0.0:135 0.0.0.0:0 LISTENING
*a.]7i5n }l,@0 这一行的意思是本机的135端口正在等待连接。注意:只有TCP协议的服务端口才能处于LISTENING状态。
x7^6^ ~!GN4P4O0 F7 情感空间EY|/_i gxj&H图1 用netstat命令查看端口状态
F7 情感空间
X ^ I7b
Y~ 2、用TCPView工具
&F)?%EM6e%uu0 为了更好的分析端口，最好用TCPView这个软件，该软件很小只有93KB，而且是个绿色软件，不用安装。
qMz0je;m0 图3是TCPView的运行界面。第一次显示时字体有些小，在“Options”->“Font”中将字号调大即可。TCPView显示的数据是动态的。图3中Local Address显示的就是本机开放的哪个端口（:号后面的数字），TCPView可以看出哪个端口是由哪个程序发起的。从图3可以看出445、139、1025、135、5000等端口是开放的，445、139等端口都是system发起的，135等都是SVCHOST发起的。
F7 情感空间&[8Ffx x}
o7q"nb%c W&d U0图2 用TCPView查看端口状态
Vkm^^5J}"kT0 三）、研究端口的目的
F7 情感空间? xN!kV+pT#?0gk 1、知道本机开了那些端口，也就是可以进入到本机的“门”有几个，都是谁开的？
F7 情感空间P uN#n B-| 2、目前本机的端口处于什么状态，是等待连接还是已经连接，如果是已经连接那就要特别注意看连接是个正常连接还是非正常连接（木马等）？
F7 情感空间E'a3T[+ee+D 3、目前本机是不是正在和其它计算机交换数据，是正常的程序防问到一个正常网站还是访问到一个陷阱？
F7 情感空间7sX;t t%zi 当你上网时就是本机和其它机器传递数据的过程，要传递数据必须要用到端口，即使是有些非常高明的木马利用正常的端口传送数据也不是了无痕迹的，数据在开始传输、正在传输和结束传输的不同阶段都有各自的状态，要想搞明白上述3个问题，就必须清楚端口的状态变化。下面结合实例先分析服务端口的状态变化。只有TCP协议才有状态，UDP协议是不可靠传输，是没有状态的。
F7 情感空间 ku
vMx 四）、服务端口的状态变化
F7 情感空间$@;y\"KE)V 先在本机（IP地址为:192.168.1.10）配置FTP服务，然后在其它计算机（IP地址为:192.168.1.1）访问FTP服务，从TCPView看看端口的状态变化。
F7 情感空间+l$h[,d5v!{ 下面黑体字显示的是从TCPView中截取的部分。
;{nO'?$k(r.x6m E yA0 1、LISTENING状态
\;x z*Q.D ~0 FTP服务启动后首先处于侦听（LISTENING）状态。
F7 情感空间L|Q2U'r8s State显示是LISTENING时表示处于侦听状态，就是说该端口是开放的，等待连接，但还没有被连接。就像你房子的门已经敞开的，但还没有人进来。
G C3@H;|9gs)@E0 从TCPView可以看出本机开放FTP的情况。它的意思是:程序inetinfo.exe开放了21端口，FTP默认的端口为21，可见在本机开放了FTP服务。目前正处于侦听状态。
7O9E(k/VM:EN0 inetinfo.exe:1260 TCP 0.0.0.0:21 0.0.0.0:0 LISTENING
D y&\+qmiu0 2、ESTABLISHED状态
9\%Hm vzU gp F0 现在从192.168.1.1这台计算机访问一下192.168.1.10的FTP服务。在本机的TCPView可以看出端口状态变为ESTABLISHED。
F7 情感空间 a fz{ k_)n+mKx ESTABLISHED的意思是建立连接。表示两台机器正在通信。
F7 情感空间VfJ:C u2f.Vm s[:W 下面显示的是本机的FTP服务正在被192.168.1.1这台计算机访问。
d&Q|
G L
EoS.h rR0 inetinfo.exe:1260 TCP 192.168.1.10:21 192.168.1.1:3009 ESTABLISHED
F7 情感空间;w:h4U4h1~#T 注意:处于ESTABLISHED状态的连接一定要格外注意，因为它也许不是个正常连接。后面要讲到这个问题。
x-bO:mJ4^;o nh0 3、 TIME_WAIT状态
N#K-f@2ZxX0 现在从192.168.1.1这台计算机结束访问192.168.1.10的FTP服务。在本机的TCPView可以看出端口状态变为TIME_WAIT。
h E:{ `r]0 TIME_WAIT的意思是结束了这次连接。说明21端口曾经有过访问，但访问结束了。
(PdkX+jp%Y8j ]A Od0 [System Process]:0 TCP 192.168.1.10:21 192.168.1.1:3009 TIME_WAIT
F7 情感空间Pp,[:i,t 4、小技巧
F7 情感空间 S)t(oI%UTm\u"~(Hbw a、可以telnet一个开放的端口，来观察该端口的变化。比如看1025端口是开放的，在命令状态（如图1运行cmd）运行:
V9_` r9Pq@0 telnet 192.168.1.10 1025
F7 情感空间WG+l'q&}|HW+~EN b、从本机也可以测试，只不过显示的是本机连本机
A s-| u n J v0 c、在Tcpview中双击连接可看出程序的位置，右键点击该连接，选择End Process即可结束该连接
F7 情感空间#?Z z e%C 五）、客户端口的状态变化
F7 情感空间|g l*?"i0P;R | 客户端口实际上就是从本机访问其它计算机服务时打开的源端口，最多的应用是上网，下面就以访问baidu.com为例来看看端口开放以及状态的变化情况。
F7 情感空间.X!r lon8WyD~ 1、SYN_SENT状态
F7 情感空间*[ o.ObW K%I'p v qc SYN_SENT状态表示请求连接，当你要访问其它的计算机的服务时首先要发个同步信号给该端口，此时状态为SYN_SENT，如果连接成功了就变为ESTABLISHED，此时SYN_SENT状态非常短暂。但如果发现SYN_SENT非常多且在向不同的机器发出，那你的机器可能中了冲击波或震荡波之类的病毒了。这类病毒为了感染别的计算机，它就要扫描别的计算机，在扫描的过程中对每个要扫描的计算机都要发出了同步请求，这也是出现许多SYN_SENT的原因。
l,[&o4t1j0 下面显示的是本机连接baidu.com网站时的开始状态，如果你的网络正常的，那很快就变为ESTABLISHED的连接状态。
A(x4K-M]0 IEXPLORE.EXE:2928 TCP 192.168.1.10:1035 202.108.250.249:80 SYN_SENT
8N2O;o&H S5H0 2、ESTABLISHED状态
n d8h4?;c ?,`0 下面显示的是本机正在访问baidu.com网站。如果你访问的网站有许多内容比如访问www.yesky.com，那会发现一个地址有许多ESTABLISHED，这是正常的，网站中的每个内容比如图片、flash等都要单独建立一个连接。看ESTABLISHED状态时一定要注意是不是IEXPLORE.EXE程序（IE）发起的连接，如果是EXPLORE.EXE之类的程序发起的连接，那也许是你的计算机中了木马了。
Vmj2G O/U m0 IEXPLORE.EXE:3120 TCP 192.168.1.10:1045 202.108.250.249:80 ESTABLISHED
F7 情感空间 A:u7Y7OFj1DZ(V 3、TIME_WAIT状态
MK-jBh c/D G0 如果浏览网页完毕，那就变为TIME_WAIT状态。
F7 情感空间 R4Q3Zv!y I1XTuSUP:Nc [System Process]:0 TCP 192.168.1.10:4259 202.108.250.249:80 TIME_WAIT
F7 情感空间
W1~x:cy/~T~%`h 六）、端口详细变迁图
F7 情感空间9BW \'l1Th 以上是最主要的几个状态，实际还有一些，图4是TCP的状态详细变迁图（从TCP/IP详解中剪来），用粗的实线箭头表示正常的客户端状态变迁，用粗的虚线箭头表示正常的服务器状态变迁。这些不在本文的讨论范围。有兴趣的朋友可以好好研究一下。
F7 情感空间-C+T2wD?6n z F7 情感空间
p Dwt#k"M图3 TCP的状态变迁图
.V(~ lPph @ f0 七）、要点
8}X P p#MO)}0 一般用户一定要熟悉（再啰嗦几句）:
F7 情感空间
f+wl2J
kzN0ehJ 1、服务端口重点要看的是LISTENING状态和ESTABLISHED状态，LISTENING是本机开了哪些端口，ESTABLISHED是谁在访问你的机器，从哪个地址访问的。
3mo]2w6o t&D/P+@0 2、客户端口的SYN_SENT状态和ESTABLISHED状态，SYN_SENT是本机向其它计算机发出的连接请求，一般这个状态存在的时间很短，但如果本机发出了很多SYN_SENT，那可能就是中毒了。看ESTABLISHED状态是要发现本机正在和哪个机器传送数据，主要看是不是一个正常程序发起的。
F7 情感空间5K$M
e q@7G$s 二、木马
F7 情感空间 be Z j
W i0ug/z$d 什么是木马，简单的说就是在未经你许可偷偷在你的计算机中开个后门，木马开后门主要有两种方式。
F7 情感空间X yN;s p!v }0g&CG 1、有服务端口的木马
%t!eDI,Z4}I k0 这类木马都要开个服务端口的后门，成功后该后门处于LISTENING状态，它的端口号可能固定一个数，也可能变化，还有的木马可以与正常的端口合用，例如你开着正常的80端口（WEB服务），木马也用80端口。这种木马最大的特点就是有端口处于LISTENING状态，需要远程计算机连接它。这种木马对一般用户比较好防范，将防火墙设为拒绝从外到内的连接即可。比较难防范的是反弹型木马。
[-vK6n'[`1Sy`0\0 2、反弹型木马
F7 情感空间n'r4q5|X'F|
^ e!J[ 反弹型木马是从内向外的连接，它可以有效的穿透防火墙，而且即使你使用的是内网IP，他一样也能访问你的计算机。这种木马的原理是服务端主动连接客户端（黑客）地址。木马的服务端软件就像你的Internet Explorer一样，使用动态分配端口去连接客户端的某一端口，通常是常用端口，像端口80。而且会使用隐避性较强的文件名，像iexpiore.exe、explorer（IE的程序是IEXPLORE.EXE）。如果你不仔细看，你可能会以为是你的Internet Explorer。这样你的防火墙也会被骗过。如果你在TcpView中看到下面这样的连接一定要注意，很有可能是种木马了。 iexpiore.exe 192.168.1.10（本机IP）:1035（你的端口） Y.Y.Y.Y（远程IP）:80（远程端口）
F7 情感空间9qz p B%Y'C5\ 或 Rundll32.exe 192.168.1.10（本机IP）:1035（你的端口） Y.Y.Y.Y（远程IP）:80（远程端口）
F7 情感空间@$aa)x Va^d6|Y 或 explorer.exe 192.168.1.10（本机IP）:1035（你的端口） Y.Y.Y.Y（远程IP）:80（远程端口）
)Y2gDS h+J8E0 三、安全
F7 情感空间7`!`.i3\b%G Wa'T 分析端口的目的就是要保证上网安全，根据以上的思路可以从以下几个方面来防范。
W Ty;g?0 一）、关闭不需要的端口
1C&@xD:R xBV0 对一般上网用户来说只要能访问Internet就行了，并不需要别人来访问你，也就是说没有必要开放服务端口，在WIN 98可以做到不开放任何服务端口上网，但在Win XP、Win 2000、Win 2003下不行，但可以关闭不必要的端口。图3是安装完WIN XP系统默认开的端口，以此为例关闭不必要的端口。
F7 情感空间9b7G s%t7I2G 1、关闭137、138、139、445端口
v9X6U ~2v0 这几个端口都是为共享而开的，是NetBios协议的应用，一般上网用户是不需要别人来共享你的内容的，而且也是漏洞最多的端口。关闭的方法很多，最近从网上学了一招非常好用，一次全部关闭上述端口。
}8Keg c0 开始-> 控制面板-> 系统-> 硬件-> 设备管理器-> 查看-> 显示隐藏的设备-> 非即插即用驱动程序-> Netbios over Tcpip。
F7 情感空间&l6S8\#s#oS 找到图5界面后禁用该设备重新启动后即可。
F7 情感空间t { CVez ${0V+]@\&J0图4 关闭137、138、139、445端口
F7 情感空间 |n0r!SM-[.} t8u 2、关闭123端口
F7 情感空间(P/]6u$Ro#Y8T:O;}'V 有些蠕虫病毒可利用UDP 123端口，关闭的方法:如图6停止windows time服务。
F7 情感空间%YB]}A8Z9A(z F7 情感空间?"a2je
m图5 关闭123端口
U1K%DWL
V0 3、关闭1900端口
F7 情感空间UnDA l(W 攻击者只要向某个拥有多台Win XP系统的网络发送一个虚假的UDP包，就可能会造成这些Win XP主机对指定的主机进行攻击（DDoS）。另外如果向该系统1900端口发送一个UDP包，令"Location"域的地址指向另一系统的chargen端口，就有可能使系统陷入一个死循环，消耗掉系统的所有资源（需要安装硬件时需手动开启）。
F7 情感空间-q0o b
\N
jE'r v&f 关闭1900端口的方法如图7所示——停止SSDP Discovery Service 服务。
F7 情感空间'K(vY e)A1S 8or(Gc t;^0图6 关闭1900端口
F7 情感空间GjQfFth 通过上面的办法关闭了一些有漏洞的或不用的端口后是不是就没问题了呢？不是。因为有些端口是不能关掉的。像135端口，它是RPC服务打开的端口如果把这个服务停掉，那计算机就关机了，同样像Lsass打开的端口500和4500也不能关闭。冲击波病毒利用的就是135端口，对于不能关闭的端口最好的办法一是常打补丁，端口都是相应的服务打开的，但是对于一般用户很难判断这些服务到底有什么用途，也很难找到停止哪些服务就能关闭相应的端口。最好的办法就是下面要讲的安装防火墙。安装防火墙的作用通俗的说就像你不管住在一所结实的好房子里还是住在一所千疮百孔的破房子里，只要你在房子的四周建了一堵密不透风的墙，那对于墙里的房子就是安全的。
F7 情感空间 [+R3tF'} {D 二）、安装防火墙
7b#S mC xI%W9aLVmX8r0 对于一般用户来讲有下面三类防火墙
F7 情感空间 [2k8f\ T1G$q 1、 自带的防火墙
'?4^-x3R_fK
U0 关于Win XP 与Win 2003自带防火墙的设置请参阅天极网中拙作，不再赘述。
2AxM&] k `#_ R r0 2、ADSL猫防火墙
F7 情感空间 g {4^ MH7S"T7WW7L 通过ADSL上网的，如果有条件最好将ADSL猫设置为地址转换方式（NAT），也就是大家常说的路由模式，其实路由与NAT是不一样的，权且这么叫吧。用NAT方式最大的好处是设置完毕后，ADSL猫就是一个放火墙，它一般只开放80、21、161等为了对ADSL猫进行设置开放的端口。如果不做端口映射的话，一般从远程是攻击不到ADSL猫后面的计算机的。ADSL猫最大的安全隐患就是很多用户都不改变默认密码。这样黑客如果进到你的猫做个端口映射就有可能进入到你的计算机，一定把默认密码改掉。
F7 情感空间Ld)C&U u
Do 用自带的放火墙和ADSL猫的NAT方式基本可以抵御从外到内的攻击，也就是说即使服务端口开放（包括系统开放的端口和中了开个服务端口的木马），黑客和类似震荡波一类的病毒也奈何不了你的计算机。上述防火墙只能防止从外到内的连接，不能防止从内到外的连接，当你打开网页和用QQ聊天时就是从内到外的连接，反弹型木马就是利用放火墙的这一特性来盗取你机器的数据的。反弹型木马虽然十分隐蔽，但也不是没有马脚，防范这类木马最好的办法就是用第三方防火墙。
pU w
xe"o8G0 3、第三方防火墙
3zx&m!nN_0 前面说过，反弹型木马而且会使用隐避性较强的文件名，像iexpiore.exe、explorer等与IE的程序IEXPLORE.EXE很想的名字或用一些rundll32之类的好像是系统文件的名字，但木马的本质就是要与远程的计算机通讯，只要通讯就会有连接。如下所示:正常连接是IEXPLORE.EXE发起的，而非正常连接是木马程序explorer发起的。
V*O/jl?K(P0 M:b*e1US L DVl
Y0图7 正常连接
F7 情感空间7{(sG6E-qWY/e KR&n#n t_%g K0图8 木马连接
F7 情感空间8g/j ?c1H 一般的防火墙都有应用程序访问网络的权限设置，如图8所示，在防火墙的这类选项中将不允许访问网络的应用程序选择X，即不允许访问网络。
F7 情感空间O
@%_(kdo7Wx Z 在写这篇文章之前笔者中了一个反弹型木马，就是explorer程序向外连接，用了好几个查毒软件也没有杀掉，当时就先用天网放火墙阻止它访问网络，然后手工费了很大的劲才清除掉。可惜没有做截图。没有勇气为了写这篇文章再牺牲一把了。
dw_E`q
X rj7W0 4、用Tcpview结束一个连接
}3u&k6{6{OK!l0 当你用Tcpview观察哪个连接有可能是不正常的连接，可在Tcpview中直接鼠标右键点击该连接，选择End Process即可结束该连接。
F7 情感空间 NBROO w B'r 四、扫描
F7 情感空间+a,~.E2Q$]t 谈起扫描又是个大话题了，有端口扫描（Superscan）、漏洞扫描（X-scan）等，关于扫描的话题以后再论，本文只对一般用户简单说一下在线安全检测。如果你按上面的说得作了相应的安全措施，就可以在网上找个在线测试安全的网站测试一下你目前系统的安全情况，如到下面网站:
a(o4w-F3m3U|B!L^-RU0 1、千禧在线--在线检测
F7 情感空间m"B4~V[Y Q(l 2、蓝盾在线检测
l p w [6T5F0 3、天网安全在线
A_;e_;f8wOQ{Q
X
r0 4、诺顿在线安全检测
+o,I(CWD&m
y(Rr0 说明一点，测试机器时开了21、23、80端口，但这都是ADSL的服务端口，MODEM没有提供修改和关闭的地方，不过没关系，只要把密码设的复杂点就行了。
D%P&Y$p0i0 五、震荡波
&\?0^,qA%Vll0 如果你按上述关闭了445端口或者开启了放火墙那就不会受到震荡波及类似的病毒骚扰了，关于震荡波病毒的文章太多了，此处就不多谈。只要做好了安全防护，不管是震荡大波还是冲击小波只能在你的计算机门前掠过而奈何不了你。
