有人能介绍一下关于代理服务器的知识吗？

分类: 电脑/网络 >>互联网

解析:

代理服务器知识大全

一、扫盲篇…………

什么是代理服务器？

代理服务器是介于浏览器和Web服务器之间的一台服务器，当你通过代理服务器上网浏览时，浏览器不是直接到Web服务器去取回网页，而是向代理服务器发出请求，由代理服务器来取回浏览器所需要的信息，并传送给你的浏览器。

什么是免费代理服务器？

在使用代理猎手等软件搜索代理服务器地址时，会在验证状态栏中出现类似“要密码”、“Free”等字样。如果你把“Free”的地址设置为代理服务器，那你就会发现访问网页时不会要求你输入密码了。这就是“免费的代理服务器”。为什么会出现free的呢？有以下几种情况：

1.是系统漏洞，一旦被网管发现就会被堵上；

2.是善良的网管和其他有机会接近主机的人，将机器设成了代理服务器；

3.是真正的好心人，就是将自己的机器作为免费代理，造福广大同仁。这真值得钦佩！但被查封关闭得也最快。

4.是ISP商为了提高影响，在一段时间内免费开放，一般很短。

使用代理服务器的好处

Proxy Server(代理服务器)是Inter链路级网关所提供的一种重要的安全功能，它的工作主要在开放系统互联(OSI)型的对话层，主要的功能有：

突破自身IP访问限制：

1.访问国外站点。教育网、169网等网络用户可以通过代理访问国外网站。 2.访问一些单位或团体内部资源，如某大学FTP(前提是该代理地址在该资源的允许访问范围之内)，使用教育网内地址段免费代理服务器，就可以用于对教育网开放的各类FTP下载上传，以及各类资料查询共享等服务。

3.突破中国电信的IP封锁：中国电信用户有很多网站是被限制访问的，这种限制是人为的，不同Serve对地址的封锁是不同的。所以不能访问时可以换一个国外的代理服务器试试。

4.提高访问速度：通常代理服务器都设置一个较大的硬盘缓冲区，当有外界的信息通过时，同时也将其保存到缓冲区中，当其他用户再访问相同的信息时，

则直接由缓冲区中取出信息，传给用户，以提高访问速度。

5.隐藏真实IP：上网者也可以通过这种方法隐藏自己的IP，免受攻击。

二、上手篇…………

Inter Explorer中代理的设置方法(适用于直接上inter的用户,否则请看二次或多次代理篇)

1.在IE4.0中的代理设置方法：

在主菜单上选择“查看”→“Inter选项”→“连接”→“通过代理服务器访问Inter”，此时将你找到的代理服务器地址和端口填入，然后点击“确定”，就可以通过代理服务器浏览网页了。

2. IE5.0的代理设置方法：

在主菜单上选择“工具”→“Inter选项”→“连接”→“设置”→“使用代理服务器”，这时将你找到的代理服务器地址和端口填入即可。

提示：对于局域网用户，应点击“连接‘标签下面的’局网域设置”来设置代理。

3. NETSCAPE 4.x的代理设置方法：

选择主菜单上的“Edit”→“Preferences”→“advanced”→“proxies”→“Manual proxy configuration”→“View”，将你找到的代理服务器地址和端口填入，按“OK”完成。

4. Opera的代理设置方法：

选择主菜单上的“设置”→“Proxy选项”，将你找到的代理服务器地址和端口填入即可。

5.网络蚂蚁的代理设置方法：

在主菜单上选择“选项设置”→“参数设置”→“代理”→“添加”，然后将可用的代理服务器地址根据类型填入，如该服务器需要输入用户名和密码，选中代理服务器选项下的“认证”，填入即可。大多数下载软件的代理设置与网络蚂蚁相似，如FlashGet。

三、进阶篇…………

从哪里能找到代理 ？（当然是在偶们自己论坛上喽……嘿…………）

最原始的方法就是用软件搜索某个网段(现在网上还有很多搜索代理的工具软件)，不过这种搜索代理服务器可是很费时的活。通常大家是不会把自己经常使用的代理服务器告诉别人的，因为用的人多了速度自然就会慢。不过网上也有很多网站和BBS都提供免费代理服务器的地址，你可以自己用搜索引擎(如搜狐、新浪)查一下Proxy或者免费代理，就能发现很多类似的网站。

说到搜索代理软件那就首推代理猎手，向导式的在线帮助说明，就算你是第一次使用也应不存在太大的问题。具体步骤如下：

1.从网上收录到尽可能多的代理列表(最好都是可用的)，保存为一个以.txt后缀的文本文件，格式如下：

10.19.193.109:1080@SOCKS4

10.19.193.109:1080@SOCKS5

10.19.193.109:21@ftp

10.19.193.109:80@

10.19.193.109:8080@

……

(以上地址皆为举例，不一定可用)

2.运用代理猎手到“搜索结果”页面中,点“导入结果”，将.txt格式的代理列表导入。

3.点击“系统”按钮，选择“参数设置”。

4.在“搜索验证设置”页面中对“验证设置”项中的两个超时时间参数进行设置。

5.最后当然是上网的校验。

什么样的代理是好代理？

代理好用的标准：速度快，稳定，当然前提是免费。

在代理猎手3.0以上版本，验证时间栏为“时间特性”，显示情况类似这样：“0.9│1.3│2.6”、“26.3│0.0│26.3”，这三个时间依次代表：连接时间、首次接收数据时间、总验证时间。当然也是越小越好了。决定一个代理的速度的因素有很多，主要有：

1.免费代理服务器所在的网路。大家用proxy主要还是为了出国，因而，四大网络的出口局的带宽就直接决定着其中的proxy的速度。

2.代理服务器的性能。前面的文章提到，proxy不过是一个大cache而已，因此它的硬盘大小、网路的带宽就会影响速度。这和你自己机器是一样的。

3.代理服务器与你的机器之间的距离。proxy主要是为特定对象服务的，其地理分布通常不会太广泛。而广大网友就不会与你所用的proxy之间的距离有多远了。自然，距离越远，速度也就越慢。

4.你所访问的站点的情况。这也是影响proxy速度的原因。你要访问对方的站点，自然要以对方的标准为主，就如同两架速度不同的Modem一样。可惜很多网友常常忽略这点。

四、高手篇…………

怎样使用代理访问被屏蔽掉的网站？

由于某些原因，中国电信把一些国外网站屏蔽掉了，所有国内用户不能与之访问，比如以前非常红火的赚钱网站(Speida)，还有一些国外的网站禁止中国的IP访问，解决方法就是使用国外的代理服务器。但是教育网用户不能访问国外网站，所有国外的代理也不能为之使用，是否我们便无能为力了呢？不，我们可以参照下面二次代理的使用方法解决。

1.去Download一个Sockscap32，在设置中填好Socks代理服务器地址。

2.将浏览器的快捷方式拖到SocksCap32的空白框中。

联网后，先启动Sockscap32。再在浏览器中填上国外代理服务器的地址，在SocksCap32中运行浏览器即可。

如何通过代理使用FoxMail收信？

可以使用sockscap32解决。前提：有一个好用的Socks代理，通过一个可以访问的Socks代理(Socks5或者Sock4代理)，将FoxMail的快捷方式拖到SocksCap32的空白框中，你的Foxmail即可以畅通无阻了。同样的方法也适用于Cterm、Sterm等Tel软件访问教育网内的各大BBS站点，加快速度，而又能隐藏真实IP地址等等。有时会出现不能解析服务器地址的现象，可以先使用ping pop.mail.yahoo命令，然后把解析到的IP地址填入Foxmal的POP3服务器选项。

另一法：假设你有POP3代理服务器，例如:203.95.7.196，你的账号为Algam@21；则在OutlookExpress或FOXMAIL30中应按如下设置：POP3服务器地址中填写:代理服务器地址，203.95.7.196（端口无须设定）；SMTP服务器地址为：原来的SMTP服务器地址， *** tp.21(实际上因为不需要用他发信,所以SMTP服务器地址可以随便填写)；帐号为:原来账号Algam#21(既用'#'取代原来的'@'符号)；口令为：原来的账号口令。

QQ可以使用代理吗？

有一次笔者的同学在QQ上说：“你怎么跑到深圳去了，你不是在上海吗？”其实笔者知道这家伙爱卖弄，不就是装了个可以看IP的QQ版本吗，现在有几个人用的QQ不是可以看IP的。QQ使用代理可以隐藏真实IP，这样可以避免一些不必要的骚扰。QQ的会员可以能够使用HTTP代理的功能，而非会员就只能使用Socks代理了。有些公司网络只能上网浏览不能使用QQ，主要是封了Socks端口，避免员工上班的时候用QQ聊天。其实这种情况也有办法解决。首先下载一个SocksOnline软件，是将普通HTTP代理转换为“万能”的Socks5代理的工具，SocksOnline代理是利用了CommOnline的在线通讯能力，进行Socks代理转接。SocksOnline代理使用非常简单，只要将客户端应用的Socks5代理设置到SocksOnline的地址，客户端即能正常使用。

ICQ中使用代理：

假设你有Socks5代理服务器，例如:202.96.58.241；则在oicq系统菜单==>喜好设定==>连接下,选择 “我在防火墙下或PROXY下”==>点击“防火墙设置”==>选择“我使用Socks5 proxy服务器”==>下一步==〉在socks5(防火墙)主机地址中填入代理的地址==>端口号中填入sockes5的端口号(一般是1080),如果不确定代理服务器是否可用,可以按“检查我的防火墙/PROXY设置”。 ==>点击“完成”。

ICQ2000中使用代理

icq==>preferences==>connections==>firewall==>proxies/firewall==>选择代理服务器类型 socks4 or socks5 or ==>在proxy server 页里填上host地址和port ==>最后不要忘记选择use proxy to resolve hostnames。注意：本站长没试验过，但是据一些网友们说在安装时候如果不使用代理服务器，后来使用时可能将不能使用代理服务器上icq。

使用代理上oicq

假设你有Socks5代理服务器，例如:202.96.58.241；则在oicq系统菜单==>系统参数==>网络设置下,在使用Proxy Socks5 防火墙前面打勾==>在防火墙地址中填入代理的地址==>端口号中填入socks5的端口号(一般是1080),如果不确定代理服务器是否可用,可以按校验用户密码边上的测试按钮进行测试。

使用FTP代理服务器（上传/下载文档）

一般FTP软件设置；服务器栏：代理服务器地址，账号为：账号@原FTP服务器地址，密码为：原来的账号口令。以CUTE FTP之中使用FTP代理为例子。菜单栏“FPT”==〉“SETTINGS”==〉“OPTIONS”==〉“FIRE WALL==〉HOST：代理服务器地址==〉PORT：21==〉TYPE：USERuser@site==〉选择“Enable firewall...”

CUTE FTP中使用socks代理服务器（上传/下载文档）

以CUTE FTP4.0为例：Edit==>Settings...==>Connection==>Socks==>选择“socks4”或“socks5”==>在Host旁边填写上socks4或socks5代理服务器的地址（鉴于socks5十分紧俏，又不稳定，请使用socks4为好）==>选择“Firewall”把“Enable fire ac..”旁边的复选框中的钩去掉。==>点击确定。现在就可以大大方方的使用socks4代理服务器上传主页了。（虽然多数socks代理都能上传主页，但有部分socks代理由于不允许同一ip重复联接，可能不能上传，出现这种情况时，请换一个socks代理）

使用代理服务器上联众打游戏

无聊的时候笔者喜欢到联众或者中国游戏中心下几局四国军旗，笔者的寝室有两台电脑(相同IP)，由于联众有禁止于相同IP玩家同桌的选项，所以玩的时候一个不用代理，一个用Socks代理，或者使用Sockscap32，这种玩法基本是百战百胜，呵呵。另外一种办法就是一台电脑用来玩，用另外一台电脑通过代理去偷看对手的棋。这两种方法也适合在网吧的朋友。如果你在联众看到一个叫笔者的人千万不要和他玩，不然你会死的很惨，同样的方法也可以在中国游戏中心之类的游戏网站使用。

运行“联众网络游戏世界” ==>点击“设置代理服务器”==〉选择要使用的socks4还是socks5代理（因为socks5代理奇缺，建议打游戏时候使用socks4代理）==>在“代理服务器地址”中填写socks代理服务器地址==>端口默认1080==>不要忘记选择“通过代理服务器联接inter”的复选框。==>“确定”==>在“地址”中填写游戏服务器的ip地址（如果不知道它的ip地址，以上海分站为例,可以把地址sh.ourgame抄下来。然后打开"开始菜单" 下的msdos方式键入"ping sh.ourgame",他会把ip地址返回来）==>最后点击“连接”

在网络蚂蚁中设置代理服务器

点击“网络蚂蚁”的菜单“选项”==〉 参数设置==〉 “代理”==〉点击“添加”==〉在“类型”下拉式列表中选择（get）==>在“地址”中填写代理服务器的地址；端口填写代理服务器的端口（例如80）；在“名称”中随便起个名字==〉一路选择“确定”当下载东西时，选择好了文件存放的本地文件夹之后，不要忙于点“确定”。应该点“代理”选择希望使用的代理服务器的名称，然后再点击“确定”，就可以使用这个代理服务器下载了。顺便说一句，本站长用“蚂蚁+自己专用的代理”下载1M以上东西通常也都是能稳定在6k/s左右。

使用socks代理上IRC聊天

在mirc的菜单“文件”==〉“选项”==〉“连接”==>“防火墙”==>选择“使用代理服务器”==>选择“socks4”或者“socks5”==>在“主机”里填写上socks4或者socks5代理服务器的ip地址==〉端口用1080==>确定

V2语音聊天软件中使用socks5代理

系统设置==>“网络”==>“连接方式”中选择“我使用的是支持socks协议的代理服务器”==>“代理服务器（proxy）”==>选择socks5==>填写socks5代理服务器的ip地址和端口1080==>“确定”==>现在你可以使用语音聊天和朋友打电话了。

CTERM2000中使用tel代理访问BBS

文件==>地址簿==>选择自己要去的bbs或者自己增加新的bbs站==>将原来放置在“地址”栏中的bbs的地址（例如：网易的bbs.nease）剪贴到“自动登陆”栏中，原来的地方填写tel代理服务器的ip地址（例如：203.93.37.248）==>然后最好在“自动登陆”栏中bbs.nease后面加上“\n”表示回车，如果知道进入时需要键入什么用户名之类的还可以加上其他的转意符和字符。（具体可以看他的Help）==>为了方便，建议点击“输出到文档”按钮，将设置存入文档，方便以后使用==>然后就可以按“连接站点”了。顺便说一句：我对cterm2000的印象很好，使用也很简单，建议要上bbs的用户使用

--------------------------------------------------------------------------------

代理服务器分类

一、HTTP代理按匿名功能分类。

是否具有隐藏IP的功能。

非匿名代理：不具有匿名功能。

匿名代理。使用此种代理时，虽然被访问的网站不能知道你的IP地址，但仍然可以知道你在使用代理，有些侦测ip的网页也仍然可以查到你的ip。

高度匿名代理：使用此种代理时，被访问的网站不知道你的IP地址，也不知道你在使用代理进行访问。此种代理的隐藏IP地址的功能最强。

二、按请求信息的安全性分类

全匿名代理：不改变你的request fields（报文），使服务器端看来就像有个真正的客户浏览器在访问它。当然，你的真实IP是隐藏起来的。服务器的网管不会认为你使用了代理。

普通匿名代理：能隐藏你的真实IP，但会更改你的request fields，有可能会被认为使用了代理，但仅仅是可能，一般说来是没问题的。不过不要受它的名字的误导，其安全性可能比全匿名代理更高，有的代理会剥离你的部分信息（就好比防火墙的stealth mode），使服务器端探测不到你的操作系统版本和浏览器版本。

elite代理，匿名隐藏性更高，可隐藏系统及浏览器资料信息等。此种代理安全性特强。

透明代理（简单代理）：透明代理的意思是客户端根本不需要知道有代理服务器的存在，它改编你的request fields（报文），并会传送真实IP。注意，加密的透明代理则是属于匿名代理，意思是不用设置使用代理了，例如Garden 2程序。

三、按代理服务器的用途分类

Http代理：代理客户机的访问，主要代理浏览器访问网页，它的端口一般为80、8080、3128等。

SSL代理:支持最高128位加密强度的代理，可以作为访问加密网站的代理。加密网站是指以开始的网站。ssl的标准端口为443。

HTTP CONNECT代理：允许用户建立TCP连接到任何端口的代理服务器，这种代理不仅可用于HTTP，还包括FTP、IRC、RM流服务等。

FTP代理：代理客户机上的ftp软件访问ftp服务器，其端口一般为21、2121。

POP3代理：代理客户机上的邮件软件用pop3方式收邮件，其端口一般为110。

Tel代理：能够代理通信机的tel，用于远程控制，入侵时经常使用。其端口一般为23。

Socks代理：是全能代理，就像有很多跳线的转接板，它只是简单地将一端的系统连接到另外一端。支持多种协议，包括、ftp请求及其它类型的请求。它分socks 4 和socks 5两种类型，socks 4只支持TCP协议而socks 5支持TCP/UDP协议，还支持各种身份验证机制等协议。其标准端口为1080。

TUNNEL代理：经HTTPTun程序转换的数据包封装成请求（Request）来穿透防火墙，允许利用HTTP服务器做任何TCP可以做的事情，功能相当于Socks5。

文献代理：可以用来查询数据库的代理，通过这些代理，可以获得互联网的相关科研学术的数据库资源，例如查询Sciencedirect网站（简称SD）、Academic Press、IEEE，SPRINGER等数据库。

教育网代理：指学术教育机构局域网通过特定的代理服务器可使无出国权限或无访问某IP段权限的计算机访问相关资源。

跳板代理：应用于跳板程序，可以看作一种具有动态加密的特殊socks5代理，，也可直接用于PSD软件。其端口一般为1813。

Ssso代理：代理客户机上的ssso程序访问远程网站，具有SSL加密强度的超级代理，支持socks。

Flat代理：代理客户机上的flatsurfer程序访问远程网站，具有高强度加密数据流的特殊代理，支持socks，最大可设置三次级联，可以设置穿越代理。其端口一般为6700。

SoftE代理：代理客户机上的SoftEther程序访问远程网站，应用虚拟集线器HUB和虚拟网卡技术，具备VPN功能及多种认证方式的代理，符合协议。

目前服务器常用的操作系统有三类: -Unix -Linux -Windows NT/2000/2003 Server. 这些操作系统都是符合C2级安全级别的操作系 统.但是都存在不少漏洞,如果对这些漏洞不了 解,不采取相应的措施,就会使操作系统完全暴 露给入侵者. BJFU Info Department, QiJd第七章操作系统安全配置方案 UNIX系统 UNIX操作系统是由美国贝尔实验室开发的 一种多用户,多任务的通用操作系统. 诞生于1969年,在GE645计算机上实现一 种分时操作系统的雏形 1970年给系统正式取名为Unix操作系统. 到1973年,Unix系统的绝大部分源代码都 用C语言重新编写过,大大提高了Unix系统 的可移植性,也为提高系统软件的开发效率 创造了条件. BJFU Info Department, QiJd第七章操作系统安全配置方案 主要特色 UNIX操作系统经过20多年的发展后,已经成为一种成 熟的主流操作系统,并在发展过程中逐步形成了一些 新的特色,其中主要特色包括5个方面. -(1)可靠性高 -(2)极强的伸缩性 -(3)网络功能强 -(4)强大的数据库支持功能 -(5)开放性好 BJFU Info Department, QiJd第七章操作系统安全配置方案 Linux系统 Linux是一套可以免费使用和自由传播的 类Unix操作系统,主要用于基于Intel x86 系列CPU的计算机上. Linux是在GPL(General Public License)保护下的自由软件,版本有: Redhatlinux,Suse,Slackware, Debian等国内有:XteamLinux,红旗 Linux.Linux流行的原因是免费并且功能 强大. BJFU Info Department, QiJd第七章操作系统安全配置方案 Linux典型的优点 (1)完全免费 (2)完全兼容POSIX 1.0标准 (3)多用户,多任务 (4)良好的界面 (5)丰富的网络功能 (6)可靠的安全,稳定性能 (7)支持多种平台 BJFU Info Department, QiJd第七章操作系统安全配置方案 Windows系统 Windows NT(New Technology)是微软 公司第一个真正意义上的网络操作系统, 发展经过NT3.0,NT40,NT5.0 (Windows 2000)和NT6.0(Windows 2003)等众多版本,并逐步占据了广大的 中小网络操作系统的市场. Windows NT众多版本的操作系统使用了 与Windows 9X完全一致的用户界面和完全 相同的操作方法,使用户使用起来比较方 便.与Windows 9X相比,Windows NT的 网络功能更加强大并且安全. BJFU Info Department, QiJd第七章操作系统安全配置方案 Windows NT系列操作系统 Windows NT系列操作系统具有以下三方面的优点. (1)支持多种网络协议 -由于在网络中可能存在多种客户机,如Windows 95/98,Apple Macintosh,Unix,OS/2等等,而这些客户机可能使用了不同的 网络协议,如TCP/IP协议,IPX/SPX等.Windows NT系列操作支 持几乎所有常见的网络协议. (2)内置Internet功能 -内置IIS(Internet Information Server),可以使网络管理员轻松 的配置WWW和FTP等服务. (3)支持NTFS文件系统 -NT同时支持FAT和NTFS的磁盘分区格式.使用NTFS的好处主要 是可以提高文件管理的安全性,用户可以对NTFS系统中的任何文 件,目录设置权限,这样当多用户同时访问系统的时候,可以增加 文件的安全性. BJFU Info Department, QiJd第七章操作系统安全配置方案 安全配置方案初级篇 安全配置方案初级篇主要介绍常规的操作 系统安全配置,包括十二条基本配置原 则: (1)物理安全,(2)停止Guest帐号, (3)限制用户数量 (4)创建多个管理员帐号,(5)管理员帐号改名 (6)陷阱帐号,(7)更改默认权限,(8)设置 安全密码 (9)屏幕保护密码,(10)使用NTFS分区 (11)运行防毒软件,(12)确保备份盘安全. BJFU Info Department, QiJd第七章操作系统安全配置方案 1,物理安全 服务器应该安放在安装了监视器的隔离房 间内,并且监视器要保留15天以上的摄像 记录. 另外,机箱,键盘,电脑桌抽屉要上锁, 以确保旁人即使进入房间也无法使用电 脑,钥匙要放在安全的地方. 2,停止Guest帐号 在计算机管理的用户里面把Guest帐号停用,任何时候都不允许 Guest帐号登陆系统. 为了保险起见,最好给Guest 加一个复杂的密码,包含特殊字符,数 字,字母的长字符串. 用它作为Guest帐号的密码.并且修改Guest帐号的属性,设置拒绝 远程访问,如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 3 限制用户数量 去掉所有的测试帐户,共享帐号和普通部门帐号 等等.用户组策略设置相应权限,并且经常检查 系统的帐户,删除已经不使用的帐户. 帐户很多是黑客们入侵系统的突破口,系统的帐 户越多,黑客们得到合法用户的权限可能性一般 也就越大. 对于Windows NT/2000主机,如果系统帐户超过 10个,一般能找出一两个弱口令帐户,所以帐户 数量不要大于10个. BJFU Info Department, QiJd第七章操作系统安全配置方案 4 多个管理员帐号 虽然这点看上去和上面有些矛盾,但事实上是服 从上面规则的.创建一个一般用户权限帐号用来 处理电子邮件以及处理一些日常事物,另一个拥 有Administrator权限的帐户只在需要的时候使 用. 因为只要登录系统以后,密码就存储再 WinLogon进程中,当有其他用户入侵计算机的 时候就可以得到登录用户的密码,尽量减少 Administrator登录的次数和时间. 5 管理员帐号改名 Windows 2000中的Administrator帐号是不能被停用的,这意味着 别人可以一遍又一边的尝试这个帐户的密码.把Administrator帐户 改名可以有效的防止这一点. 不要使用Admin之类的名字,改了等于没改,尽量把它伪装成普通用 户,比如改成:guestone.具体操作的时候只要选中帐户名改名就 可以了,如图所示. 6 陷阱帐号 所谓的陷阱帐号是创建一个名为"Administrator"的本地帐 户,把它的权限设置成最低,什么事也干不了的那种,并 且加上一个超过10位的超级复杂密码. 这样可以让那些企图入侵者忙上一段时间了,并且可以借 此发现它们的入侵企图.可以将该用户隶属的组修改成 Guests组,如图所示. 7 更改默认权限 共享文件的权限从"Everyone"组改成"授权用户"."Everyone"在 Windows 2000中意味着任何有权进入你的网络的用户都能够获得这 些共享资料. 任何时候不要把共享文件的用户设置成"Everyone"组.包括打印共 享,默认的属性就是"Everyone"组的,一定不要忘了改.设置某文 件夹共享默认设置如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 8安全密码 一些网络管理员创建帐号的时候往往用公司名, 计算机名,或者一些别的一猜就到的字符做用户 名,然后又把这些帐户的密码设置得比较简单, 这样的帐户应该要求用户首此登陆的时候更改成 复杂的密码,还要注意经常更改密码. 这里给好密码下了个定义:安全期内无法破解出 来的密码就是好密码,也就是说,如果得到了密 码文档,必须花43天或者更长的时间才能破解出 来,密码策略是42天必须改密码. 9屏幕保护密码 设置屏幕保护密码是防止内部人员破坏服务器的一个屏 障. 还有一点,所有系统用户所使用的机器也最好加上屏幕保 护密码. 将屏幕保护的选项"密码保护"选中就可以了,并将等待时 间设置为最短时间"1秒",如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 10 NTFS分区 把服务器的所有分区都改成NTFS格式.NTFS文 件系统要比FAT,FAT32的文件系统安全得多. 11防毒软件 Windows 2000/NT服务器一般都没有安装防毒软 件的,一些好的杀毒软件不仅能杀掉一些著名的 病毒,还能查杀大量木马和后门程序. 要经常升级病毒库. BJFU Info Department, QiJd第七章操作系统安全配置方案 12备份盘的安全 一旦系统资料被黑客破坏,备份盘将是恢 复资料的唯一途径.备份完资料后,把备 份盘防在安全的地方. 把资料备份放在多台服务器上. BJFU Info Department, QiJd第七章操作系统安全配置方案 安全配置方案中级篇 安全配置方案中级篇主要介绍操作系统的安全策 略配置,包括十条基本配置原则: (1)操作系统安全策略, (2)关闭不必要的服务 (3)关闭不必要的端口, (4)开启审核策略 (5)开启密码策略, (6)开启帐户策略,(7)备份敏感文件 (8)不显示上次登陆名,(9)禁止建立空连接 (10)下载最新的补丁 1 操作系统安全策略 利用Windows 2000的安全配置工具来配置安全策略,微 软提供了一套的基于管理控制台的安全配置和分析工具, 可以配置服务器的安全策略. 在管理工具中可以找到"本地安全策略". 可以配置四类安全策略:帐户策略,本地策略,公钥策略 和IP安全策略.在默认的情况下,这些策略都是没有开启 的. BJFU Info Department, QiJd第七章操作系统安全配置方案 2 关闭不必要的服务 Windows 2000的Terminal Services(终 端服务)和IIS(Internet 信息服务)等都 可能给系统带来安全漏洞. 为了能够在远程方便的管理服务器,很多 机器的终端服务都是开着的,如果开了, 要确认已经正确的配置了终端服务. 有些恶意的程序也能以服务方式悄悄的运 行服务器上的终端服务.要留意服务器上 开启的所有服务并每天检查. Windows2000可禁用的服务 服务名说明 Computer Browser维护网络上计算机的最新列表以及提供这个 列表 Task scheduler允许程序在指定时间运行 Routing and Remote Access 在局域网以及广域网环境中为企业提供路由 服务 Removable storage管理可移动媒体,驱动程序和库 Remote Registry Service允许远程注册表操作 Print Spooler将文件加载到内存中以便以后打印.要用打 印机的用户不能禁用这项服务 IPSEC Policy Agent管理IP安全策略以及启动 ISAKMP/Oakley(IKE)和IP安全驱动程序 Distributed Link Tracking Client 当文件在网络域的NTFS卷中移动时发送通 知 Com+ Event System提供事件的自动发布到订阅COM组件 3 关闭不必要的端口 关闭端口意味着减少功能,如果服务器安装在防火墙的后面,被入侵 的机会就会少一些,但是不可以认为高枕无忧了. 用端口扫描器扫描系统所开放的端口,在 Winnt\system32\drivers\etc\services文件中有知名端口和服务的对 照表可供参考.该文件用记事本打开如图所示. 设置本机开放的端口 设置本机开放的端口和服务,在IP地址设置窗口 中点击按钮"高级",如图所示. 设置本机开放的端口 在出现的对话框中选择选项卡"选项",选中 "TCP/IP筛选",点击按钮"属性",如图所示. 设置本机开放的端口 设置端口界面如图所示. 一台Web服务器只允许TCP的80端口通过就可以了. TCP/IP筛选器是Windows自带的防火墙,功能比较强 大,可以替代防火墙的部分功能. 4 开启审核策略 安全审核是Windows 2000最基本的入侵检测方法.当有人尝试对系 统进行某种方式(如尝试用户密码,改变帐户策略和未经许可的文件 访问等等)入侵的时候,都会被安全审核记录下来. 必须开启的审核如下表: 策略设置 审核系统登陆事件成功,失败 审核帐户管理成功,失败 审核登陆事件成功,失败 审核对象访问成功 审核策略更改成功,失败 审核特权使用成功,失败 审核系统事件成功,失败 审核策略默认设置 审核策略在默认的情况下都是没有开启的,如图所 示. 设置审核策略 双击审核列表的某一项,出现设置对话框,将复 选框"成功"和"失败"都选中,如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 5 开启密码策略 密码对系统安全非常重要.本地安全设置 中的密码策略在默认的情况下都没有开 启.需要开启的密码策略如表所示 策略设置 密码复杂性要求启用 密码长度最小值6位 密码最长存留期15天 强制密码历史5个 设置密码策略 设置选项如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 6 开启帐户策略 开启帐户策略可以有效的防止字典式攻击, 设置如表所示. 策略设置 复位帐户锁定计数器30分钟 帐户锁定时间30分钟 帐户锁定阈值5次 BJFU Info Department, QiJd第七章操作系统安全配置方案 设置帐户策略 设置的结果如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 7 备份敏感文件 把敏感文件存放在另外的文件服务器中把一些重要的用户数据(文件,数据表和 项目文件等)存放在另外一个安全的服务 器中,并且经常备份它们 8 不显示上次登录名 默认情况下,终端服务接入服务器时,登陆对话框中会显示上次登陆 的帐户名,本地的登陆对话框也是一样.黑客们可以得到系统的一些 用户名,进而做密码猜测. 修改注册表禁止显示上次登录名,在HKEY_LOCAL_MACHINE主键 下修改子键: Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\Dont DisplayLastUserName,将键值改成1,如图所示. 9 禁止建立空连接 默认情况下,任何用户通过空连接连上服务器,进而可以 枚举出帐号,猜测密码. 可以通过修改注册表来禁止建立空连接.在 HKEY_LOCAL_MACHINE主键下修改子键: System\CurrentControlSet\Control\LSA\RestrictAnon ymous,将键值改成"1"即可.如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 10 下载最新的补丁 很多网络管理员没有访问安全站点的习 惯,以至于一些漏洞都出了很久了,还放 着服务器的漏洞不补给人家当靶子用. 经常访问微软和一些安全站点,下载最新 的Service Pack和漏洞补丁,是保障服务 器长久安全的唯一方法. BJFU Info Department, QiJd第七章操作系统安全配置方案 安全配置方案高级篇 高级篇介绍操作系统安全信息通信配置,包 括十四条配置原则: (1)关闭DirectDraw,(2)关闭默认共享 (3)禁用Dump File,(4)文件加密系统 (5)加密Temp文件夹(6)锁住注册表, (7)关机时清除文件 (8)禁止软盘光盘启动(9)使用智能卡, (10)使用IPSec (11)禁止判断主机类型,(12)抵抗DDOS (13)禁止Guest访问日志 (14)数据恢复软件 1 关闭DirectDraw C2级安全标准对视频卡和内存有要求.关闭DirectDraw可能对一些 需要用到DirectX的程序有影响(比如游戏),但是对于绝大多数的 商业站点都是没有影响的. 在HKEY_LOCAL_MACHINE主键下修改子键: SYSTEM\CurrentControlSet\Control\GraphicsDrivers\DCI\Timeo ut,将键值改为"0"即可,如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 2 关闭默认共享 Windows 2000安装以后,系统会创建一些隐藏的 共享,可以在DOS提示符下输入命令Net Share 查 看,如图所示. 停止默认共享 禁止这些共享,打开管理工具>计算机管理>共享文件夹>共享,在相应的共享文件夹上按右键,点"停止共享"即 可,如图所示. 3 禁用Dump文件 在系统崩溃和蓝屏的时候,Dump文件是一份很有用资 料,可以帮助查找问题.然而,也能够给黑客提供一些敏 感信息,比如一些应用程序的密码等 需要禁止它,打开控制面板>系统属性>高级>启动和故障 恢复,把写入调试信息改成无,如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 4 文件加密系统 Windows2000强大的加密系统能够给磁盘,文 件夹,文件加上一层安全保护.这样可以防止别 人把你的硬盘挂到别的机器上以读出里面的数 据. 微软公司为了弥补Windows NT 4.0的不足,在 Windows 2000中,提供了一种基于新一代 NTFS:NTFS V5(第5版本)的加密文件系统 (Encrypted File System,简称EFS). EFS实现的是一种基于公共密钥的数据加密方 式,利用了Windows 2000中的CryptoAPI结 构. BJFU Info Department, QiJd第七章操作系统安全配置方案 5 加密Temp文件夹 一些应用程序在安装和升级的时候,会把 一些数据拷贝到Temp文件夹,但是当程序 升级完毕或关闭的时候,并不会自己清除 Temp文件夹的内容. 所以,给Temp文件夹加密可以多一层保 护. 6 锁住注册表 在Windows2000中,只有Administrators和Backup Operators才有从 网络上访问注册表的权限.当帐号的密码泄漏以后,黑客也可以在远程 访问注册表,当服务器放到网络上的时候,一般需要锁定注册表.修改 Hkey_current_user下的子键 Software\microsoft\windows\currentversion\Policies\system 把DisableRegistryTools的值该为0,类型为DWORD,如图所示. 7 关机时清除文件 页面文件也就是调度文件,是Windows 2000用来存储没有装入内存 的程序和数据文件部分的隐藏文件. 一些第三方的程序可以把一些没有的加密的密码存在内存中,页面文 件中可能含有另外一些敏感的资料.要在关机的时候清除页面文件, 可以编辑注册表修改主键HKEY_LOCAL_MACHINE下的子键: -SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management -把ClearPageFileAtShutdown的值设置成1,如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 8 禁止软盘光盘启动 一些第三方的工具能通过引导系统来绕过原有的 安全机制.比如一些管理员工具,从软盘上或者 光盘上引导系统以后,就可以修改硬盘上操作系 统的管理员密码. 如果服务器对安全要求非常高,可以考虑使用可 移动软盘和光驱,把机箱锁起来仍然不失为一个 好方法. BJFU Info Department, QiJd第七章操作系统安全配置方案 9 使用智能卡 对于密码,总是使安全管理员进退两难, 容易受到一些工具的攻击,如果密码太复 杂,用户把为了记住密码,会把密码到处 乱写. 如果条件允许,用智能卡来代替复杂的密 码是一个很好的解决方法. BJFU Info Department, QiJd第七章操作系统安全配置方案 10 使用IPSec 正如其名字的含义,IPSec提供IP数据包的 安全性. IPSec提供身份验证,完整性和可选择的机 密性.发送方计算机在传输之前加密数 据,而接收方计算机在收到数据之后解密 数据. 利用IPSec可以使得系统的安全性能大大增 强. 11 禁止判断主机类型 黑客利用TTL(Time-To-Live,生存时间)值可以鉴别操作系统的类 型,通过Ping指令能判断目标主机类型.Ping的用处是检测目标主 机是否连通. 许多入侵者首先会Ping一下主机,因为攻击某一台计算机需要根据 对方的操作系统,是Windows还是Unix.如过TTL值为128就可以认 为你的系统为Windows 2000,如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 TTL值-判断主机类型 从表中可以看出,TTL值为128,说明改主机的操作系统 是Windows 2000操作系统.下表给出了一些常见操作系 统的对照值. 操作系统类型TTL返回值 Windows 2000128 Windows NT107 win9x128 or 127 solaris252 IRIX240 AIX247 Linux241 or 240 BJFU Info Department, QiJd第七章操作系统安全配置方案 修改TTL的值 修改TTL的值,入侵者就无法入侵电脑了.比如将操作系统的TTL值 改为111,修改主键HKEY_LOCAL_MACHINE的子键: SYSTEM\CURRENT_CONTROLSET\SERVICES\TCPIP\PARAME TERS 新建一个双字节项,如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 修改TTL的值 在键的名称中输入"defaultTTL",然后双击改键名,选择 单选框"十进制",在文本框中输入111,如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 修改TTL的值 设置完毕重新启动计算机,再用Ping指令,发现 TTL的值已经被改成111了,如图所示. 12 抵抗DDOS 添加注册表的一些键值,可以有效的抵抗DDOS的攻击.在键值 [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcp ip\Parameters]下增加响应的键及其说明如表所示. 增加的键值键值说明 "EnablePMTUDiscovery"=dword:00000000 "NoNameReleaseOnDemand"=dword:00000000 "KeepAliveTime"=dword:00000000 "PerformRouterDiscovery"=dword:00000000 基本设置 "EnableICMPRedirects"=dword:00000000防止ICMP重定向报文的攻击 "SynAttackProtect"=dword:00000002防止SYN洪水攻击 "TcpMaxHalfOpenRetried"=dword:00000080 "TcpMaxHalfOpen"=dword:00000100 仅在TcpMaxHalfOpen和 TcpMaxHalfOpenRetried设置 超出范围时,保护机制才会采取 措施 "IGMPLevel"=dword:00000000不支持IGMP协议 "EnableDeadGWDetect"=dword:00000000禁止死网关监测技术 "IPEnableRouter"=dword:00000001支持路由功能 BJFU Info Department, QiJd第七章操作系统安全配置方案 13 禁止Guest访问日志 在默认安装的Windows NT和Windows 2000中,Guest 帐号和匿名用户可以查看系统的事件日志,可能导致许多 重要信息的泄漏,修改注册表来禁止Guest访问事件日 志. 禁止Guest访问应用日志 -HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Eventlog\Application下添加键值名称为: RestrictGuestAccess,类型为:DWORD,将值设置为1. 系统日志: -HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Eventlog\System下添加键值名称为: RestrictGuestAccess,类型为:DWORD,将值设置为1. 安全日志 -HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Eventlog\Security下添加键值名称为: RestrictGuestAccess,类型为:DWORD,将值设置为1. 14 数据恢复软件 当数据被病毒或者入侵者破坏后,可以利用数据恢复软件 可以找回部分被删除的数据,在恢复软件中一个著名的软 件是Easy Recovery.软件功能强大,可以恢复被误删除 的文件,丢失的硬盘分区等等.软件的主界面如图所示. Easy Recovery 比如原来在E盘上有一些数据文件,被删除了,选择左边 栏目"Data Recovery",然后选择左边的按钮 "Advanced Recovery",如图所示. Easy Recovery 进入Advanced Recovery对话框后,软件自动扫描出目 前硬盘分区的情况,分区信息是直接从分区表中读取出来 的,如图所示. Easy Recovery 现在要恢复E盘上的文件,所以选择E盘,点击按 钮"Next",如图所示. Easy Recovery 软件开始自动扫描该盘上曾经有哪些被删除了文件,根据 硬盘的大小,需要一段比较长的时间,如图所示. Easy Recovery 扫描完成以后,将该盘上所有的文件以及文件夹显示出 来,包括曾经被删除文件和文件夹,如图所示. Easy Recoery 选中某个文件夹或者文件前面的复选框,然后点 击按钮"Next",就可以恢复了.如图所示. Easy Recovery 在恢复的对话框中选择一个本地的文件夹,将文件保存到 该文件夹中,如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 Easy Recovery 选择一个文件夹后,点击按钮"Next",就出现了恢复的 进度对话框,如图所示. BJFU Info Department, QiJd第七章操作系统安全配置方案 本章总结 本章分成三部分介绍Windows 2000的安 全配置. 三部分共介绍安全配置三十六项,如果每 一条都能得到很好的实施的话,该服务器 无论是在局域网还是广域网,即使没有网 络防火墙,已经比较安全了. 需要重点理解三大部分中的每一项设置, 并掌握如何设置.

---