用注册表为操作系统砌九堵安全“墙”

zirunnidebbb

众所周知，操作系统的注册表是一个藏龙卧虎的地方，所有系统设置都可以在注册表中找到踪影，所有的程序启动方式和服务启动类型都可通过注册表中的小小键值来控制。
! l6 ~  _$ S$ v
　　然而，正因为注册表的强大使得它也成为了一个藏污纳垢的地方。病毒和木马常常寄生在此，偷偷摸摸地干着罪恶勾当，威胁着原本健康的操作系统。如何才能有效地防范病毒和木马的侵袭，保证系统的正常运行呢?今天笔者将从服务、默认设置、权限分配等九个方面入手为大家介绍如何通过注册表打造一个安全的系统。

　　特别提示:在进行修改之前，一定要备份原有注册表。

5 y, d5 ^/ R9 G5 g, d( L" J6 Q　　1.拒绝“信”骚扰

　　安全隐患:在Windows 2000/XP系统中，默认Messenger服务处于启动状态，不怀好意者可通过“net send”指令向目标计算机发送信息。目标计算机会不时地收到他人发来的骚扰信息，严重影响正常使用。
2 O8 R* B: b+ B
　　解决方法:首先打开注册表编辑器。对于系统服务来说，我们可以通过注册表中“HKEY_LOCAL_MACHI
6 d8 `( X* W% w6 o3 c
　　NESYSTEMCurrentControlSetService
6 u! }: D5 d3 a7 g
　　s”项下的各个选项来进行管理，其中的每个子键就是系统中对应的“服务”，如“Messenger”服务对应的子键是“Messenger”。我们只要找到Messenger项下的START键值，将该值修改为4即可。这样该服务就会被禁用，用户就再也不会受到“信”骚扰了。

1 m: q* s! A5 Z1 _$ s" s9 t$ _4 U
" A' \6 s6 b4 i% `' c6 F1 T        2.关闭“远程注册表服务”

5 d% h5 u0 Q/ m4 U8 d　　安全隐患:如果黑客连接到了我们的计算机，而且计算机启用了远程注册表服务(Remote Registry)，那么黑客就可远程设置注册表中的服务，因此远程注册表服务需要特别保护。
8 j- L9 d  S" k1 a9 k
　　解决方法:我们可将远程注册表服务(Remote Registry)的启动方式设置为禁用。不过，黑客在入侵我们的计算机后，仍然可以通过简单的操作将该服务从“禁用”转换为“自动启动”。因此我们有必要将该服务删除。

　　找到注册表中“HKEY_LOCAL_

　　MACHINESYSTEMCurrentControlSet

: l( e0 x1 b2 |, W# G5 n- |% [　　Services”下的RemoteRegistry项，右键点击该项选择“删除”(图1)，将该项删除后就无法启动该服务了。


　在删除之前，一定要将该项信息导出并保存。想使用该服务时，只要将已保存的注册表文件导入即可。

         3.请走“默认共享”

　　安全隐患:大家都知道在Windows 2000/XP/2003中，系统默认开启了一些“共享”，它们是IPC$、c$、d$、e$和admin$。很多黑客和病毒都是通过这个默认共享入侵操作系统的。

　　解决方法:要防范IPC$攻击应该将注册表中“HKEY_LOCAL_MACHI

+ v# U. w5 I  _3 A# ]　　NESYSTEMCurrentControlSetControl
7 W* y& [: H+ j: K: Q
4 C. c% m, @8 q　　LSA”的RestrictAnonymous项设置为“1”，这样就可以禁止IPC$的连接。

　　对于c$、d$和admin$等类型的默认共享则需要在注册表中找到“HKEY_LOCAL_MACHINESYSTEM
' f2 p' L6 F6 u: `0 t, o$ c" e$ F
　　CurrentControlSetServicesLanmanServ
* W6 E% S; b( ~2 C0 J0 g
　　erParameters”项。如果系统为Windows 2000 Server或Windows 2003，则要在该项中添加键值“AutoShareServ
8 G" |$ b4 y! a* o. O: ]3 p4 s; l
　　er”(类型为“REG_DWORD”，值为“0”)。如果系统为Windows 2000 PRO，则应在该项中添加键值“AutoSh
) m" ~8 h5 K$ x/ _( J
/ S9 w. Q) C6 O( J( n6 Q　　areWks”(类型为“REG_DWORD”，值为“0”)。
, Y3 r9 x3 B" F! U
　　4.严禁系统隐私泄露
7 R2 S4 t* v# h3 M( S# p) A0 [
: c4 w% }, N3 L. K% ^0 j, T! M( s8 z　　安全隐患:在Windows系统运行出错的时候，系统内部有一个DR.WATSON程序会自动将系统调用的隐私信息保存下来。隐私信息将保存在user.dmp和drwtsn32.log文件中。攻击者可以通过破解这个程序而了解系统的隐私信息。因此我们要阻止该程序将信息泄露出去。
$ {) p' u. a' u
　　解决方法:找到“HKEY_LOACL_
2 A- ~9 Z5 e3 g" t/ q
　　MACHINESOFTWAREMicrosoftWin
0 Q" e! _& a1 i
: r4 [2 k6 n$ N% W, F1 W+ P　　dows NT CurrentVersionAeDebug”，将AUTO键值设置为0，现在DR.WATSON就不会记录系统运行时的出错信息了。同时，依次点击“Docume

. o/ M# h4 a# u# K/ l. s8 r　　nts and Settings→ALL Users→Docum
+ }% P% h* y0 U# g% V
2 S/ u# T: a( B% y　　ents→drwatson”，找到user.dmp和drwtsn32.log文件并删除。删除这两个文件的目的是将DR.WATSON以前保存的隐私信息删除。
5 R2 I  m! i! ~. B
　　提示:如果已经禁止了DR.WATSON程序的运行，则不会找到“drwatson”文件夹以及user.dmp和drwtsn32.log这两个文件。
$ V6 B# P+ Q, n3 u( M2 `& q9 c5 z
* `0 U5 _+ I# i$ E0 }0 z0 ~, f9 a
　　5.拒绝ActiveX控件的恶意骚扰

: ~3 y: H. E% e; s　　安全隐患:不少木马和病毒都是通过在网页中隐藏恶意ActiveX控件的方法来私自运行系统中的程序，从而达到破坏本地系统的目的。为了保证系统安全，我们应该阻止ActiveX控件私自运行程序。
) I  A, [6 f+ F7 L5 A7 q) @& E
; N4 G' j. |6 O( R　　解决方法:ActiveX控件是通过调用Windows scripting host组件的方式运行程序的，所以我们可以先删除“system32”目录下的wshom.ocx文件，这样ActiveX控件就不能调用Windows scripting host了。然后，在注册表中找到“HKEY_LOCAL_MACHINES

/ ~- G4 y0 b8 o, q7 ~0 T% J3 D7 q; R/ c　　OFTWARE ClassesCLSID{F935DC2

　　2-1CF0-11D0-ADB9-00C04FD58A0B

　　}”，将该项删除。通过以上操作，ActiveX控件就再也无法私自调用脚本程序了。
! v. v$ d) W* x6 F
9 v# R' K9 ]1 j; v1 f* p+ B! z, ?　　6.防止页面文件泄密

" y. \) U! D9 u' Y　　安全隐患:Windows 2000的页面交换文件也和上文提到的DR.WATSON程序一样经常成为黑客攻击的对象，因为页面文件有可能泄露一些原本在内存中后来却转到硬盘中的信息。毕竟黑客不太容易查看内存中的信息，而硬盘中的信息则极易被获取。
# u9 [' E/ h9 L7 C2 s4 e. t
　　解决方法:找到“HKEY_LOCAL_
' r( |5 m; ^; m7 ~+ q. ]* a
　　MACHINESYSTEMCurrentControlSet

　　ControlSession ManagerMemory Man
6 \# G' M" P# D) C& i: |/ [8 x
+ [8 @; x2 ]1 ^- k  M3 a　　agement”，将其下的ClearPageFileAtSh
$ e2 k, D9 H9 x' }1 D4 U' I. c0 U
　　utdown项目的值设置为1(图2)。这样，每当重新启动后，系统都会将页面文件删除，从而有效防止信息外泄。
8 b0 O5 v! B  R0 o; _6 w1 V
  7.密码填写不能自动化
# L9 X  l1 N/ Z7 x
1 R, W/ x1 y, R　　安全隐患:使用Windows系统冲浪时，常会遇到密码信息被系统自动记录的情况，以后重新访问时系统会自动填写密码。这样很容易造成自己的隐私信息外泄。

　　解决方法:在“HKEY_LOCAL_MACHINESOFTWA

2 E( j( s! g  _) Q% e- {　　REMicrosoftWindowsCurrentVersionpolicies”分支中找到network子项(如果没有可自行添加)，在该子项下建立一个新的双字节值，名称为disablepasswordcaching，并将该值设置为1。重新启动计算机后，操作系统就不会自作聪明地记录密码了。

& H, |# S1 a( o# _5 x2 h  Y　　8.禁止病毒启动服务
6 O# F* u# b" @! w: X
　　安全隐患:现在的病毒很聪明，不像以前只会通过注册表的RUN值或MSCONFIG中的项目进行加载。一些高级病毒会通过系统服务进行加载。那么，我们能不能使病毒或木马没有启动服务的相应权限呢?

　　解决方法:运行“regedt32”指令启用带权限分配功能的注册表编辑器。在注册表中找到“HKEY_LOCAL_
  Z. r, c$ k6 N) i
9 b# A2 _3 V3 `! Y- ^　　MACHINESYSTEMCurrentControlSetServices”分支，接着点击菜单栏中的“安全→权限”，在弹出的Services权限设置窗口中单击“添加”按钮，将Everyone账号导入进来，然后选中“Everyone”账号，将该账号的“读取”权限设置为“允许”，将它的“完全控制”权限取消(图3)。现在任何木马或病毒都无法自行启动系统服务了。当然，该方法只对没有获得管理员权限的病毒和木马有效。
7 v2 J. k- Q; s  M4 p
8 V& R# W( {2 N0 o
　9.不准病毒自行启动

/ K+ A! U! u$ H: x　　安全隐患:很多病毒都是通过注册表中的RUN值进行加载而实现随操作系统的启动而启动的，我们可以按照“禁止病毒启动服务”中介绍的方法将病毒和木马对该键值的修改权限去掉。
( C  {5 ~" {# D9 p/ M- I
　　解决方法:运行“regedt32”指令启动注册表编辑器。找到注册表中的“HKEY_CURRENT_MACHINESO

, R, V$ W, z+ a' [, F* h! p　　FTWAREMicrosoftWindowsCurrentVersionRUN”分支，将Everyone对该分支的“读取”权限设置为“允许”，取消对“完全控制”权限的选择。这样病毒和木马就无法通过该键值启动自身了。
4 `, f4 _9 g: s$ R! }
' F8 v" y+ g4 w! Q8 v: L+ ]　　病毒和木马是不断“发展”的，我们也要不断学习新的防护知识，才能抵御病毒和木马的入侵。与其在感染病毒或木马后再进行查杀，不如提前做好防御工作，修筑好牢固的城墙进行抵御。毕竟亡羊补牢不是我们所希望发生的事情，“防患于未然”才是我们应该追求的。

2 d/ X5 B0 X8 y8 Y& h, @