本文目录一览：
电脑被黑客攻击了怎么办
尽管BO黑客软件的功能很强大，但从技术上来说，BO黑客的本领并不是想像中的那样可怕，它只是每次在 Windows启
动时，悄悄地在你的电脑上启动一个服务端程序。 而其他人就可以通过你登录Internet时的IP地址， 用配套的客户端程
序登录到你的电脑，从而实现远程操纵你电脑的目的。从原理上讲，它是一套简单的远程登录及控制软件工具，很多人都
知道著名的PC Anywhere其实就属这类软件工具。BO黑客软件的关键在于隐藏了一个会在Windows启动时悄悄执行的服务端
程序，可以说这是大多数在Internet上出现的黑客软件的共同之处。
而清除这类黑客软件的最简便、有效的方法，就是将自动执行的黑客程序从Windows的启动配置中删除掉。
下面介绍几种识别与清除BO的方法：
1、查看WINDLL.DLL文件
BO服务器安装后，将在Windows的SYSTEM子目录下生成WINDLL.DLL文件。
如果你的电脑C:\WINDOWS\SYSTEM 子目录下有WINDLL.DLL文件，说明你的电脑已经被安装过黑客软件。你可以直接删
除WINDLL.DLL文件。
2、查看“.EXE"文件
检查你的C:\WINDOWS\SYSTEM 子目录下是否有一个标着“.EXE"(空格.EXE)且没有任何图标的小程序，或者连EXE都没
有(如果不显示文件扩展名)，只是一个空行。注意，因为它是隐含属性，你的资源管理器应该设置为“显示所有文件”上，
否则你看不到它。它的文件长度为124,928个字节，由于Cult Dead Cow还在不断更新，或许文件长度还在不断变化。
如果发现“.EXE"，说明系统已经被安装了BO服务器。由于这时“.EXE"程序在后台运行，所以不能在 Windows系统中
直接删除它。清除的方法是，重新启动电脑系统，让它在DOS方式下运行。然后，进入SYSTEM 子目录，将BO服务器程序
（在DOS下显示为EXE～1）的属性改为非隐含，这样就可以删除它。操作如下：
C CD\WINDOWS\SYSTEM
C ATTRIB －H EXE～1
C DEL EXE～1
注意，如果BO服务器已经被boconfig.exe重新配置，那么安装后的BO服务器文件名很可能不再是“.EXE"， 并且它的
文件长度也可能不再是124,928个字节。
3、查看系统注册表
BO服务器程序能够在Windows启动时自动执行，靠的是在Windows系统中加入自启动程序，BO自启动程序并不是附加在
传统的AUTOEXEC.BAT、CONFIG.SYS、WIN.INI和SYSTEM.INI 里，而是在Windows系统的注册表里。
用Windows 95/98的REGEDIT.EXE程序，直接打开注册表，在纷繁枯燥的目录树中你要费上一些功夫，找到下面目录：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
或者 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
如果发现“.EXE"程序（如图2所示），说明系统已经被安装了BO服务器。这时，可以使用注册表编辑功能删除".EXE"
程序。
4、使用MSCONFIG工具
如果你的电脑系统安装了Windows 98，那么可以使用其配置工具MSCONFIG.EXE。与运行REGEDIT.EXE一样， 可以点击
“开始”，选择“运行”并键入MSCONFIG，然后再选择“启动”，将会出现“启动”程序列表，如图3所示。
如果发现“.EXE"程序，说明系统已经被安装了BO服务器。这时，你只需点击左面的小方框，取消“√”打勾号， 就
可以使其不会自动启动，从而使这个黑客程序失效。
用MSCONFIG来清除隐藏在注册表中的自启动黑客程序，对于防范大多数Internet上的黑客程序确实是一个比较简便、
高效的方法。
5、使用杀毒软件
目前有一些新版的杀毒软件，如瑞星9.0(4)版、KILL98 4.16版、KV300＋(X＋＋)版、VRV 23.b版等， 都能够正确清
除BO黑客程序，包括Windows的SYSTEM子目录下BO的WINDLL.DLL和“.EXE"文件，以及Windows 95/98的注册表中的 BO注册
项。
6、使用黑客清除工具
现在已有专门的对付BO黑客的工具，如ANTIGEN就是一个很好的工具，你可以在我的网页上( )
下载ANTIGEN.EXE，该文件只有374KB。下载后，可以直接运行它，就可以看到ANTIGEN界面，如图4所示，通常按提示一直
按Next按钮，即可清除隐藏在系统内部的BO黑客程序，并关闭BO黑客程序打开的“后门”完全恢复系统状态。
四、防范黑客软件的措施
与反病毒一样，防御黑客软件也是“预防胜于治疗”。要树立“预防为主、消防结合”的观念。
1、不运行来历不明的软件和盗版软件
从BO运行机制中可以知道，黑客的服务器程序必须被安装在目标系统，这就要求电脑用户必须有意或被骗安装之。而
运行来历不明的软件和盗版软件，就有可能带来这个危险。
不要轻易运行从Internet上下载的那些不知其里的软件，不要随便下载软件，尤其是不可靠的那些FTP站点， 非授权
的软件分发点。另外，几乎现在任何程序都不敢相信了，因为它可以被十分容易地捆到任何一个可执行程序上，运行又无
法发觉，那么如果你下载一个程序随便运行，可能那个程序（比如一个游戏软件、一个屏幕保护程序、甚至于一个新年贺
卡程序）确实能够运行，但说不定那个特洛伊木马已经在你的电脑里落户，一旦你上网，你就成了任由别人宰割的羔羊。
同样地，对于来自电子邮件的附件，应先检查是否带有BO或其他病毒，不可轻易运行。
所以，我们提倡使用原版软件，尽可能少用游戏软件、公共软件，要尽可能从第一作者获得共享软件、自由软件、公
共软件。
2、使用反黑客软件
要经常性地、尽可能使用多种最新的、能够查解黑客的杀毒软件来检查系统。应该使用经安全检测的反黑客软件来检
查系统。
必要时应在系统中安装具有实时检测、拦截、查解黑客攻击程序的工具。
应该注意的是，与病毒不同，黑客攻击程序不具有病毒传染的机制，因此，传统的防病毒工具未必能够防御黑客程序。
3、做好数据备份工作
为了确保重要数据不被破坏，最好的办法是“备份、备份、再备份”。
应该定期备份电脑系统的重要数据，如硬盘分区表、WIN.INI和SYSTEM.INI，以及系统注册表等。 应该每天备份应用
系统的重要文件。
经常检查你的系统注册表，发现可疑程序，应及时加以处理。
4、保持警惕性
要时刻保持警惕性，例如，不要把你的流览器的数据传输警告窗关闭。许多上网的用户都设置为“以后不要再问此类
问题”，这样你就失去了警觉，久而久之便习以为常，越来越大胆地访问、下载和在WEB上回答问题。 如果可能，把你的
流览器的“接受Cookie"关闭。不管是在IRC或是访问别人的网站，你都不能保证它给你的Cookie那几十个或几百个字节是
好心。笔者曾经在IRC遇见过美国黑客使用这样的招术。
必须保持忧患意识，并且要为网络系统遭受入侵作出一些应变计划，如学习如何识别异常现象、如何追踪入侵者，训
练经常使用电脑网络的人，要有正确的上网知识，另外留意与一些网络专家保持联系，及时从专业媒体获得安全信息。
5、使用防火墙
有条件的单位，应该使用防火墙。利用防火墙技术，通过仔细的配置，通常能够在内外网之间提供安全的网络保护，
降低网络安全风险。
6、隔离内部网与Internet的联接
为了确保重要信息不被窃取，最好的办法是重要信息应在非网络环境下工作。对于重要系统的内部网络应在物理上与
Internet网隔离。
对局域网内所有电脑应定期进行检查，防止因为个别漏洞而造成对整个局域网被攻击。
对于与Internet相联的网络发布系统，必须加强网络安全管理。可喜的是，国内已有专门针对黑客入侵而设计的、有
自主版权的网络安全产品，由福建海峡信息中心推出的“网威”黑客入侵防范软件就是一套高性能的安全产品。这套产品
集网络安全测试、系统安全测试、Web安全测试、漏洞检测、漏洞修补和安全监控于一体。 它能分析指出网络信息系统存
在的各种安全漏洞与隐患，提出专家建议，而且提供了实时监控手段和数百兆的针对UNIX系统的漏洞补丁（Patch）， 帮
助系统管理员跟踪记录黑客行踪，修补系统漏洞，提高系统的整体安全性。
必须指出的是，防止外部黑客入侵仅仅是黑客防范的一个环节。据统计，目前发生的黑客攻击事件有60％以上来自内
部攻击和越权使用。所以，防内已成为当前黑客防范的重要环节。从BO黑客程序来看，它不仅仅针对Internet网络，在局
域网上同样能够施其攻击手段。令人担心的是，一些网络管理员还使用BO来加强网管能力，其负面影响不可轻视。
不要重装系统！
黑客有哪些攻击手段？
一）黑客常用手段
1、网络扫描--在Internet上进行广泛搜索，以找出特定计算机或软件中的弱点。
2、网络嗅探程序--偷偷查看通过Internet的数据包，以捕获口令或全部内容。通过安装侦听器程序来监视网络数据流，从而获取连接网络系统时用户键入的用户名和口令。
3、拒绝服务 -通过反复向某个Web站点的设备发送过多的信息请求，黑客可以有效地堵塞该站点上的系统，导致无法完成应有的网络服务项目(例如电子邮件系统或联机功能)，称为“拒绝服务”问题。
4、欺骗用户--伪造电子邮件地址或Web页地址，从用户处骗得口令、信用卡号码等。欺骗是用来骗取目标系统，使之认为信息是来自或发向其所相信的人的过程。欺骗可在IP层及之上发生（地址解析欺骗、IP源地址欺骗、电子邮件欺骗等）。当一台主机的IP地址假定为有效，并为Tcp和Udp服务所相信。利用IP地址的源路由，一个攻击者的主机可以被伪装成一个被信任的主机或客户。
5、特洛伊木马--一种用户察觉不到的程序，其中含有可利用一些软件中已知弱点的指令。
6、后门--为防原来的进入点被探测到，留几个隐藏的路径以方便再次进入。
7、恶意小程序--微型程序，修改硬盘上的文件，发送虚假电子邮件或窃取口令。
8、竞争拨号程序--能自动拨成千上万个电话号码以寻找进入调制解调器连接的路径。逻辑炸弹计算机程序中的一条指令，能触发恶意操作。
9、缓冲器溢出-- 向计算机内存缓冲器发送过多的数据，以摧毁计算机控制系统或获得计算机控制权。
10、口令破译--用软件猜出口令。通常的做法是通过监视通信信道上的口令数据包，破解口令的加密形式。
11、社交工程--与公司雇员谈话，套出有价值的信息。
12、垃圾桶潜水--仔细检查公司的垃圾，以发现能帮助进入公司计算机的信息。
（二）黑客攻击的方法：
1、隐藏黑客的位置
典型的黑客会使用如下技术隐藏他们真实的IP地址:
利用被侵入的主机作为跳板;
在安装Windows 的计算机内利用Wingate 软件作为跳板;利用配置不当的Proxy作为跳板。
更老练的黑客会使用电话转接技术隐蔽自己。他们常用的手法有:利用800 号电话的私人转接服务联接ISP, 然后再盗用他人的账号上网;通过电话联接一台主机,再经由主机进入Internet。
使用这种在电话网络上的"三级跳"方式进入Internet 特别难于跟踪。理论上,黑客可能来自世界任何一个角落。如果黑客使用800号拨号上网,他更不用担心上网费用。
2、网络探测和资料收集
黑客利用以下的手段得知位于内部网和外部网的主机名。
使用nslookup 程序的ls命令;
通过访问公司主页找到其他主机;
阅读FTP服务器上的文挡;
联接至mailserver 并发送 expn请求;
Finger 外部主机上的用户名。
在寻找漏洞之前,黑客会试图搜集足够的信息以勾勒出整个网络的布局。利用上述操作得到的信息,黑客很容易列出所有的主机,并猜测它们之间的关系。
3、找出被信任的主机
黑客总是寻找那些被信任的主机。这些主机可能是管理员使用的机器,或是一台被认为是很安全的服务器。
一步,他会检查所有运行nfsd或mountd的主机的NFS输出。往往这些主机的一些关键目录(如/usr/bin、/etc和/home)可以被那台被信任的主机mount。
Finger daemon 也可以被用来寻找被信任的主机和用户,因为用户经常从某台特定的主机上登录。
黑客还会检查其他方式的信任关系。比如,他可以利用CGI 的漏洞,读取/etc/hosts.allow 文件等等。
分析完上述的各种检查结果,就可以大致了解主机间的信任关系。下一步, 就是探测这些被信任的主机哪些存在漏洞,可以被远程侵入。
4、找出有漏洞的网络成员
当黑客得到公司内外部主机的清单后,他就可以用一些Linux 扫描器程序寻找这些主机的漏洞。黑客一般寻找网络速度很快的Linux 主机运行这些扫描程序。
所有这些扫描程序都会进行下列检查:
TCP 端口扫描;
RPC 服务列表;
NFS 输出列表;
共享(如samba、netbiox)列表;
缺省账号检查;
Sendmail、IMAP、POP3、RPC status 和RPC mountd 有缺陷版本检测。
进行完这些扫描,黑客对哪些主机有机可乘已胸有成竹了。
如果路由器兼容SNMP协议,有经验的黑客还会采用攻击性的SNMP 扫描程序进行尝试, 或者使用"蛮力式"程序去猜测这些设备的公共和私有community strings。
5、利用漏洞
现在,黑客找到了所有被信任的外部主机,也已经找到了外部主机所有可能存在的漏洞。下一步就该开始动手入侵主机了。
黑客会选择一台被信任的外部主机进行尝试。一旦成功侵入,黑客将从这里出发,设法进入公司内部的网络。但这种方法是否成功要看公司内部主机和外部主机间的过滤策略了。攻击外部主机时,黑客一般是运行某个程序,利用外部主机上运行的有漏洞的daemon窃取控制权。有漏洞的daemon包括Sendmail、IMAP、POP3各个漏洞的版本,以及RPC服务中诸如statd、mountd、pcnfsd等。有时,那些攻击程序必须在与被攻击主机相同的平台上进行编译。
6、获得控制权
黑客利用daemon的漏洞进入系统后会做两件事:清除记录和留下后门。
他会安装一些后门程序,以便以后可以不被察觉地再次进入系统。大多数后门程序是预先编译好的,只需要想办法修改时间和权限就可以使用,甚至于新文件的大小都和原有文件一样。黑客一般会使用rcp 传递这些文件,以便不留下FTP记录。
一旦确认自己是安全的,黑客就开始侵袭公司的整个内部网
7．窃取网络资源和特权
黑客找到攻击目标后,会继续下一步的攻击,步骤如下:
（1）下载敏感信息
如果黑客的目的是从某机构内部的FTP或WWW服务器上下载敏感信息,他可以利用已经被侵入的某台外部主机轻而易举地得到这些资料。
（2）攻击其他被信任的主机和网络
大多数的黑客仅仅为了探测内部网上的主机并取得控制权,只有那些"雄心勃勃"的黑客,为了控制整个网络才会安装特洛伊木马和后门程序,并清除记录。 那些希望从关键服务器上下载数据的黑客,常常不会满足于以一种方式进入关键服务器。他们会费尽心机找出被关键服务器信任的主机,安排好几条备用通道。
（3）安装sniffers
在内部网上,黑客要想迅速获得大量的账号(包括用户名和密码),最为有效的手段是使用"sniffer" 程序。
黑客会使用上面各节提到的方法,获得系统的控制权并留下再次侵入的后门,以保证sniffer能够执行。
（4）瘫痪网络
如果黑客已经侵入了运行数据库、网络操作系统等关键应用程序的服务器,使网络瘫痪一段时间是轻而易举的事。
如果黑客已经进入了公司的内部网,他可以利用许多路由器的弱点重新启动、甚至关闭路由器。如果他们能够找到最关键的几个路由器的漏洞,则可以使公司的网络彻底瘫痪一段时间
所谓的黑客攻防是通过什么实现的呢?
黑客攻防：攻击基本原理与防范技术据统计，在所有黑客攻击事件中，SYN攻击是最常见又最容易被利用的一种攻击手法。相信很多人还记得2000年YAHOO网站遭受的攻击事例，当时黑客利用的就是简单而有效的SYN攻击，有些网络蠕虫病毒配合SYN攻击造成更大的破坏。本文介绍SYN攻击的基本原理、工具及检测方法，并全面探讨SYN攻击防范技术。
中文名
黑客攻防
外文名
Hacker attack and defense
介绍
SYN攻击基本原理工具及检测方法
tcp握手协议
采用三次握手建立一个连接
在TCP/IP协议中，TCP协议提供可靠的连接服务，采用三次握手建立一个连接。
第一次握手：建立连接时，客户端发送syn包(syn=j)到服务器，并进入SYN_SEND状态，等待服务器确认;
第二次握手：服务器收到syn包，必须确认客户的SYN(ack=j+1)，同时自己也发送一个SYN包(syn=k)，即SYN+ACK包，此时服务器进入SYN_RECV状态;
第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ack=k+1)，此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手。
完成三次握手，客户端与服务器开始传送数据，在上述过程中，还有一些重要的概念：
未连接队列：在三次握手协议中，服务器维护一个未连接队列，该队列为每个客户端的SYN包(syn=j)开设一个条目，该条目表明服务器已收到SYN包，并向客户发出确认，正在等待客户的确认包。这些条目所标识的连接在服务器处于Syn_RECV状态，当服务器收到客户的确认包时，删除该条目，服务器进入ESTABLISHED状态。
Backlog参数：表示未连接队列的最大容纳数目。
SYN-ACK 重传次数 服务器发送完SYN-ACK包，如果未收到客户确认包，服务器进行首次重传，等待一段时间仍未收到客户确认包，进行第二次重传，如果重传次数超过系统规定的最大重传次数，系统将该连接信息从半连接队列中删除。注意，每次重传等待的时间不一定相同。
半连接存活时间：是指半连接队列的条目存活的最长时间，也即服务从收到SYN包到确认这个报文无效的最长时间，该时间值是所有重传请求包的最长等待时间总和。有时我们也称半连接存活时间为Timeout时间、SYN_RECV存活时间。
SYN攻击原理
SYN攻击属于DOS攻击的一种，它利用TCP协议缺陷，通过发送大量的半连接请求，耗费CPU和内存资源。SYN攻击除了能影响主机外，还可以危害路由器、防火墙等网络系统，事实上SYN攻击并不管目标是什么系统，只要这些系统打开TCP服务就可以实施。从上图可看到，服务器接收到连接请求(syn=j)，将此信息加入未连接队列，并发送请求包给客户(syn=k,ack=j+1)，此时进入SYN_RECV状态。当服务器未收到客户端的确认包时，重发请求包，一直到超时，才将此条目从未连接队列删除。配合IP欺骗，SYN攻击能达到很好的效果，通常，客户端在短时间内伪造大量不存在的IP地址，向服务器不断地发送syn包，服务器回复确认包，并等待客户的确认，由于源地址是不存在的，服务器需要不断的重发直至超时，这些伪造的SYN包将长时间占用未连接队列
电脑被黑客攻击了。怎么处理
黑客入侵电脑的方式主要有如下: 1、隐藏黑客的位置 : 典型的黑客会使用如下技术隐藏他们真实的IP地址:
利用被侵入的主机作为跳板;
在安装Windows 的计算机内利用Wingate 软件作为跳板;利用配置不当的Proxy作为跳板。 更老练的黑客会使用电话转接技术隐蔽自己。他们常用的手法有:利用800 号电话的私人转接服务联接ISP, 然后再盗用他人的账号上网;通过电话联接一台主机,再经由主机进入Internet。 使用这种在电话网络上的"三级跳"方式进入Internet 特别难于跟踪。理论上,黑客可能来自世界任何一个角落。如果黑客使用800号拨号上网,他更不用担心上网费用。 2、网络探测和资料收集: 黑客利用以下的手段得知位于内部网和外部网的主机名。 使用nslookup 程序的ls命令;
通过访问公司主页找到其他主机;
阅读FTP服务器上的文挡;
联接至mailserver 并发送 expn请求;
Finger 外部主机上的用户名。 在寻找漏洞之前,黑客会试图搜集足够的信息以勾勒出整个网络的布局。利用上述操作得到的信息,黑客很容易列出所有的主机,并猜测它们之间的关系。 3、找出被信任的主机: 黑客总是寻找那些被信任的主机。这些主机可能是管理员使用的机器,或是一台被认为是很安全的服务器。 下一步,他会检查所有运行nfsd或mountd的主机的NFS输出。往往这些主机的一些关键目录(如/usr/bin、/etc和/home)可以被那台被信任的主机mount。
Finger daemon 也可以被用来寻找被信任的主机和用户,因为用户经常从某台特定的主机上登录。 黑客还会检查其他方式的信任关系。比如,他可以利用CGI 的漏洞,读取/etc/hosts.allow 文件等等。 分析完上述的各种检查结果,就可以大致了解主机间的信任关系。下一步, 就是探测这些被信任的主机哪些存在漏洞,可以被远程侵入。 4、找出有漏洞的网络成员: 当黑客得到公司内外部主机的清单后,他就可以用一些Linux 扫描器程序寻找这些主机的漏洞。黑客一般寻找网络速度很快的Linux 主机运行这些扫描程序。 所有这些扫描程序都会进行下列检查:
TCP 端口扫描;
RPC 服务列表;
NFS 输出列表;
共享(如samba、netbiox)列表;
缺省账号检查;
Sendmail、IMAP、POP3、RPC status 和RPC mountd 有缺陷版本检测。 进行完这些扫描,黑客对哪些主机有机可乘已胸有成竹了。
如果路由器兼容SNMP协议,有经验的黑客还会采用攻击性的SNMP 扫描程序进行尝试, 或者使用"蛮力式"程序去猜测这些设备的公共和私有community strings。
5、利用漏洞: 现在,黑客找到了所有被信任的外部主机,也已经找到了外部主机所有可能存在的漏洞。下一步就该开始动手入侵主机了。 黑客会选择一台被信任的外部主机进行尝试。一旦成功侵入,黑客将从这里出发,设法进入公司内部的网络。但这种方法是否成功要看公司内部主机和外部主机间的过滤策略了。攻击外部主机时,黑客一般是运行某个程序,利用外部主机上运行的有漏洞的daemon窃取控制权。有漏洞的daemon包括Sendmail、IMAP、POP3各个漏洞的版本,以及RPC服务中诸如statd、mountd、pcnfsd等。有时,那些攻击程序必须在与被攻击主机相同的平台上进行编译。 6、获得控制权: 黑客利用daemon的漏洞进入系统后会做两件事:清除记录和留下后门。 他会安装一些后门程序,以便以后可以不被察觉地再次进入系统。大多数后门程序是预先编译好的,只需要想办法修改时间和权限就可以使用,甚至于新文件的大小都和原有文件一样。黑客一般会使用rcp 传递这些文件,以便不留下FTP记录。一旦确认自己是安全的,黑客就开始侵袭公司的整个内部网。 7.窃取网络资源和特权: 黑客找到攻击目标后,会继续下一步的攻击,步骤如下:
(1)下载敏感信息 (2)攻击其他被信任的主机和网络 (3)安装sniffers (4)瘫痪网络
黑客攻击和数据泄露怎么办
如果是企业用户的话，建议还是提早部署安全防护软件，例如红线防泄密系统，不仅可以对文件目录进行保护，阻止网络攻击，非法篡改数据或盗取文件，也可以防止内部的人员进行内部泄密，不管是网络攻击还是内部“内鬼”都不能造成数据泄露，因为数据离开授权环境，即是密文显示，获取不到真实内容。
而且拥有拥有高度的集中管理、集中策略控制、灵活的分组（部门）管理机制。企业可以根据实际的需求对不同的部门设置不同的加密策略及相应的控制策略。