本文目录一览：
我的电脑被黑客攻击了怎么办？
安装第三方防火墙和杀毒软件
黑客是基于TCP/IP协议通过某个端口进入你的个人电脑的。如果你的电脑设置了共享目录，那么黑客就可以通过139端口进入你的电脑，注意！WINDOWS有个缺陷，就算你的共享目录设置了多少长的密码，几秒钟时间就可以进入你的电脑，所以，你最好不要设置共享目录，不允许别人浏览你的电脑上的资料。除了139端口以外，如果没有别的端口是开放的，黑客就不能入侵你的个人电脑。那么黑客是怎么样才会进到你的电脑中来的呢？答案是通过特洛伊木马进入你的电脑。如果你不小心运行了特洛伊木马，你的电脑的某个端口就会开放，黑客就通过这个端口进入你的电脑。举个例子，有一种典型的木马软件，叫做netspy.exe。如果你不小心运行了netspy.exe，那么它就会告诉WINDOWS，以后每次开电脑的时候都要运行它，然后，netspy.exe又在你的电脑上开了一扇“门”，“门”的编号是7306端口，如果黑客知道你的7306端口是开放的话，就可以用软件偷偷进入到你的电脑中来了。特洛伊木马本身就是为了入侵个人电脑而做的，藏在电脑中和工作的时候是很隐蔽的，它的运行和黑客的入侵，不会在电脑的屏幕上显示出任何痕迹。WINDOWS本身没有监视网络的软件，所以不借助软件，是不知道特洛伊木马的存在和黑客的入侵。接下来，就来说利用软件如何发现自己电脑中的木马.
如何发现自己电脑中的木马
再以netspy.exe为例，现在知道netspy.exe打开了电脑的7306端口，要想知道自己的电脑是不是中netspy.exe，只要敲敲7306这扇“门”就可以了。你先打开C:\WINDOWS\WINIPCFG.EXE程序，找到自己的IP地址（比如你的IP地址是10.10.10.10），然后打开浏览器，在浏览器的地址栏中输入 ，如果浏...��查找木马.
进一步查找木马
让我们做一个试验：netspy.exe开放的是7306端口，用工具把它的端口修改了，经过修改的木马开放的是7777端口了，现在再用老办法是找不到netspy.exe木马了。我们可以用扫描自己的电脑的办法看看电脑有多少端口开放着，并且再分析这些开放的端口。
前面讲了电脑的端口是从0到65535为止，其中139端口是正常的，首先找个端口扫描器，推荐“代理猎手”，你上网以后，找到自己的IP地址，现在请关闭正在运行的网络软件，因为可能开放的端口会被误认为是木马的端口，然后让代理猎手对0到65535端口扫描，如果除了139端口以外还有其他的端口开放，那么很可能是木马造成的。
排除了139端口以外的端口，你可以进一步分析了，用浏览器进入这个端口看看，它会做出什么样的反映，你可以根据情况再判断了。
扫描这么多端口是不是很累，需要半个多小时，Tcpview.exe可以看电脑有什么端口是开放的，除了139端口以外，还有别的端口开放，你就可以分析了，如果判定自己的电脑中了木马，那么，你就得在硬盘上删除木马.
在硬盘上删除木马
最简单的办法当然是用杀毒软件删除木马了，Netvrv病毒防护墙可以帮你删除netspy.exe和bo.exe木马，但是不能删除netbus木马。
下面就netbus木马为例讲讲删除的经过。
简单介绍一下netbus木马，netbus木马的客户端有两种，开放的都是12345端口，一种以Mring.exe为代表（472,576字节），一种以SysEdit.exe为代表（494,592字节）。
Mring.exe一旦被运行以后，Mring.exe就告诉WINDOWS，每次启动就将它运行，WINDOWS将它放在了注册表中，你可以打开C:\WINDOWS\REGEDIT.EXE进入HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run找到Mring.exe然后删除这个健值，你再到WINDOWS中找到Mring.exe删除。注意了，Mring.exe可能会被黑客改变名字，字节长度也被改变了，但是在注册表 中的位置不会改变，你可以到注册表的这个位置去找。
另外，你可以找包含有“netbus”字符的可执行文件，再看字节的长度，我查过了，WINDOWS和其他的一些应用软件没有包含“netbus”字符的，被你找到的文件多半就是Mring.exe的变种。
SysEdit.exe被运行以后，并不加到WINDOWS的注册表中，也不会自动挂到其他程序中，于是有人认为这是无害的木马，其实这是最可恶、最阴险的木马。别的木马被加到了注册表中，你就有痕迹可查了，就连专家们认为最凶恶的BO木马也可以轻而易举地被我们从注册表中删除。
而SysEdit.exe要是挂在其他的软件中，只要你不碰这个软件，SysEdit.exe也就不发作，一旦运行了被安装SysEdit.exe的程序，SysEdit.exe也同时启动了。我们再来作做这样一个实验，将SysEdit.exe和C:\WINDOWS\SYSTEM\Abcwin.exe捆绑起来，Abcwin.exe是智能ABC输入法，当我开启电脑到上网，只要没有打开智能ABC输入法打字聊天，SysEdit.exe也就没有被运行，你就不能进入我的12345端口，如果我什么时候想打字了，一旦启动智能ABC输入法（Abcwin.exe），那么捆绑在Abcwin.exe上的SysEdit.exe也同时被运行了，我的12345端口被打开，别人就可以黑到我的电脑中来了。同样道理，SysEdit.exe可以被捆绑到网络传呼机、信箱工具等网络工具上，甚至可以捆绑到拨号工具上，电脑中的几百的程序中，你知道会在什么地方发现它吗？所以我说这是最最阴险的木马，让人防不胜防。
有的时候知道自己中了netbus木马，特别是SysEdit.exe，能发现12345端口被开放，并且可以用netbus客户端软件进入自己的电脑，却不知道木马在什么地方。这时候，你可以检视内存，请打开C:\WINDOWS\DRWATSON.EXE，然后对内存拍照，查看“高级视图”中的“任务”标签，“程序”栏中列出的就是正在运行的程序，要是发现可疑的程序，再看“路径”栏，找到这个程序，分析它，你就知道是不是木马了。SysEdit.exe虽然可以隐藏在其他的程序后面，但是在C:\WINDOWS\DRWATSON.EXE中还是暴露了。
好了，来回顾一下，要知道自己的电脑中有没有木马，只要看看有没有可疑端口被开放，用代理猎手、Tcpview.exe都可以知道。要查找木马，一是可以到注册表的指定位置去找，二是可以查找包含相应的可执行程序，比如，被开放的端口是7306，就找包含“netspy”的可执行程序，三是检视内存，看有没有可以的程序在内存中。
你的电脑上的木马，来源有两种，一种是你自己不小心，运行了包含有木马的程序，另一种情况是，“网友”送给你“好玩”的程序。所以，你以后要小心了，要弄清楚了是什么程序再运行，安装容易排除难呀。?nbsp;
排除了木马以后，你就可以监视端口，---- 悄悄等待黑客的来临.
快餐品牌麦当劳遭黑客攻击，给麦当劳造成了哪些损失？
《华尔街日报》率先报道：快餐店品牌麦当劳遭到黑客的攻击，其中美国、南韩、中国台湾地区的数据少量泄露。麦当劳方透露：他们发现系统被黑客入侵，非常迅速关闭了外部访问权限，并配合第三方顾问调查。黑客越来越猖狂了，开始窃取麦当劳的财富密码。
好在本次的黑客事件没有给麦当劳造成严重的损失。美国的客户数据没有被黑客窃取、一部分韩国和中国台湾的客户数据被窃取，包括消费者的手机号码和住址等。加盟店的商业信息，包括门店的位置和占地面积等。以上涉及的文件信息不包括银行卡号、支付密码等有关的付款信息。据了解，麦当劳没有受黑客事件的影响，各门店正常营业，暂时没有被勒索软件攻击和索要高额赎金。
黑客为什么要大费周章攻击麦当劳呢？一方面，黑客贩卖窃取的商业联系方式，导致麦当劳的供应商、加盟客户等流失。另一方面，黑客发送短信、语音信息给泄露者，可能是想骚扰消费者，损害麦当劳的影响，甚至是想实现电信诈骗。更严重的是，黑客利用窃取的机密数据威胁企业支付赎金，严重损害企业的业务。
麦当劳方应当保持高度警惕和加强数据保护墙，千万不要掉以轻心。对于被窃取数据的用户，麦当劳要积极采取措施保护他们，并通知当地监管部门加强监控，避免被诈骗。麦当劳作为中国有影响力的快餐品牌，受到国人的喜欢。在得知麦当劳被黑客攻击后，网友纷纷在网络上调侃，是不是因为没有送番茄酱？
近年来，黑客猖狂入侵企业系统，电信诈骗不断发生，真的希望国家采取更强有力的措施打压违法犯罪，保护百姓的财产安全。
要是被黑客攻击了怎么办啊?
信息安全不仅仅需要防范病毒
如果您看过第一篇文章（），您大概已经知道我的观点：系统是永远不可能完全安全的—至少是，如果您要实际使用系统，它就不可能完全安全。另外一个我赞同的论点是（;query=lemmact=），除了蠕虫和病毒外，还有许多其他问题在威胁着信息安全性（虽然蠕虫和病毒是有区别的，但是这方面的专家仍在就它们之间存在什么区别而争论不休；在本文中，我们主要讨论一般的恶意代码，因此在文中将蠕虫和病毒作为同一种攻击类型对待，并将它们统称为“蠕虫”）。既然我们将始终关注蠕虫问题，为什么不能将它们统称为蠕虫呢？Sasser/Blaster/Lion/Trino/Ramen/Slapper 和其他蠕虫都有极强的破坏性，消除这些蠕虫需要巨大的花费。虽然有几个蠕虫属于例外（例如 Linux Ramen 蠕虫和 Code Red），但一般来说蠕虫本身是没有破坏性的。这不是说蠕虫不可能有破坏性，而是说在您处理蠕虫时，您基本上知道会有什么结果。许多人都感染了相同的蠕虫，至少一部分人能够消除蠕虫，这就免除了您的麻烦。
但是，其中一些蠕虫会在系统中开设后门—这些后门使得真正的恶意攻击者能对系统进行比蠕虫本身的行为恶劣得多的破坏。Nimda 就是这样的蠕虫。另一种 Linux 蠕虫 Slapper 也是如此。蠕虫在您的系统中开设后门之后，恶意攻击者即可通过 Internet 控制您的系统。此外，所有这些蠕虫都不会创建任何种类的日志文件，因此您无法得知别人通过后门进行了哪些操作。系统被其中一种蠕虫感染之后，您就不能再信任该系统上的任何东西。事实上，一旦蠕虫成功地侵入了系统，您就应该将此视为不能再信任系统的征兆。另一种攻击很可能与蠕虫采用了相同的手段（攻击方式），并且可能已经对系统造成了比蠕虫本身更恶劣的影响。关键是，我们不应该把太多的注意力放在蠕虫上，而是应该更加关注蠕虫利用的漏洞。
电子邮件蠕虫问题与此略有不同；它们基本上是第 8 层问题—它们利用的是用户，而不是技术漏洞。这意味着我们必须用不同的方法来处理电子邮件蠕虫—用户只要不双击电子邮件附件，就不会有这些问题。反过来，如果管理措施能够让用户禁止接收任何电子邮件附件，至少对那些不愿意学会不双击可疑附件的用户来说，就也不会出现这类问题了。在比较新的 Microsoft Exchange 和 Outlook 版本上，做到这点非常容易。当然，这些用户中的任何人也可能会双击恶意的特洛依木马，那可是自讨苦吃的问题了。如果系统感染了电子邮件蠕虫，只凭这个事实还不能充分证明该系统已经被一位主动攻击者像网络蠕虫（例如 Sasser）侵入系统时那样破坏了系统的安全性。
到一天快过去的时候，比起蠕虫来，我更加担心主动攻击者—主动攻击者可使用许多不同的手段来进入您的系统和网络。蠕虫问题可以采取一些相对简单的步骤来解决（现列举如下，但不一定要实施）：
• 确保在所有的相关修补程序发布之后都立即进行部署。
• 使用防火墙。
• 使用防病毒程序。如果您没有防病毒程序，请到 免费下载一个。有关如何在更大的环境中部署防病毒解决方案的详细信息，请参阅新的 Microsoft Antivirus Defense-in-Depth Guide（Microsoft 防病毒纵深防御指南），地址是 。
• 教育用户在检查邮件是否合法之前不要双击其中未经请求的附件；或者，禁止用户双击附件。
阻止蓄意的主动攻击者进入系统并不总是这么简单。此外，有些读者指出，我们并不总是有足够的备份来可靠地恢复系统。因此，检测系统是否已遭受危害就变得非常重要；如果答案是肯定的，则要判断系统受到了什么样的危害。这里有几种检测和判断方法。
返回页首
在没有备份的情况下抢救数据
使我夜不能寐的事情之一（除了小孩子的吵闹声或我乘坐的飞机的引擎噪音外）不是坏人有可能正站在我的门口，而是坏人已经登堂入室而我却不知道。我们都知道世界上坏人不少。在 Microsoft 最近举行的 Tech-Ed 会议上，一些犯罪组织“悬赏”50,000 美元奖励那些能够在会议期间摧毁网络的人。我们怎么知道这些人是不是位于系统内部？如果他们不够高明，他们会留下痕迹，比如新帐户、奇怪的文件和潜在的不稳定系统。目前，大多数攻击者都应该属于这一种；至少我希望他们是。但也有一些攻击者非常高明。他们在攻入系统之后会在操作系统中消失。他们会在根目录下安装一个组件，使得系统不再值得信任。Windows 资源管理器和命令行将不再显示系统中实际存在的文件。注册表编辑器也不反映真实情况。帐户管理器工具并不显示所有用户。在入侵的这个阶段，您不能再信任系统对其自身状况的报告了。此时，您需要采取恢复和重建方案（有些人把它叫做“推倒重建”）。系统现在已被完全损害。您能检测到攻击已经发生了吗？能检测到攻击者进行了哪些操作吗？
检测此类入侵有几个窍门。其中一个窍门是使用基于网络的入侵检测系统 (IDS)，它能跟踪进出您的网络的通信量。基于网络的 IDS 是中立的，如果它未被损害，它可以让您了解进出可疑系统的通信。全面讨论 IDS 系统超出了本文的范围；对我们中的大多数人来说，IDS 系统也超出了我们的直接需要。在许多情况下，实际上保证网络安全要比花时间实施 IDS 更有价值。我们的大多数网络都可能需要进行大量额外的安全工作，如果我们事先没能做到这一点，则肯定会得到许多有趣的 IDS 日志。
您也可以通过分析系统本身来检测到系统已被入侵，但是这涉及到一些深入的法庭辩论。例如，因为您不能信任系统本身，所以必须用中立介质引导系统，最好是只读的介质。选择之一是引导到 Windows PE，它是一个只有命令行的 CD 启动版本的 Windows XP 或 Windows Server 2003。但是通常很难获得 Windows PE。另一个选择是获得一个 Winternals ERD Commander 或 System Restore 副本 ()。这两个工具都基于 WinPE。ERD Commander 本质上是 WinPE 之上的一个 GUI，它为您提供了许多恢复崩溃系统的好工具。因为它是一个中立的安装，您可以信任该磁盘上的命令，由它告诉您可疑计算机上实际发生了什么情况。System Restore 是 ERD Commander 的扩展集，它也有对照基准检查系统的能力。例如，比如说您构建了一个 Web 服务器。一旦构建完成，您也就为系统状况创建了一个基准。将系统投入使用一段时间之后，您怀疑系统被黑了。例如，您可能检测到系统中发出了奇怪的网络通信量，于是决定对此展开分析。您可以让系统脱机，用恢复磁盘引导系统，然后比对最新的快照进行比较。这可以反映出已经发生的实际变化。但是，我们不能确定这些变化实际上是否代表入侵。您必须打电话请求技术帮助。
关于法庭辩论，最后要提醒的是：如果您真的相信已经受到入侵并想提起法律诉讼，您不应该自己独立进行辩论。请将系统断开，防止受损失范围扩大，然后邀请一位辩论专家。您有可能会毁灭证据并导致不被法庭采纳，这个风险会很大。如果您需要保留证据，请让专业人员来收集证据。
返回页首
在受到攻击之后恢复系统 – 有哪些有用的工具？
最后也是最重要的一个步骤：如果系统已经被黑了，怎样才能恢复服务并重新运行？这取决于系统的类型。首先，我不认为客户端备份有什么作用。网络中的客户端应该将它们的数据保存在服务器上；然后对服务器进行备份。如果客户端受到损害，可以重建客户端。服务器备份非常复杂。如果备份计划中包括客户端，则会使情况更为复杂，所以我们无须这样做。
但是很显然，在家庭环境或者非常小的网络中，这种观点是不适用的。在这样的环境中，我只使用少数几个内置的工具来生成最少数量的数据备份（不包括程序）。Windows XP 和 Windows 2000 自带了一个很好的备份工具。您可以用它将系统备份到任何媒介。在我看来，更简单的一个选择是使用“文件和设置转移向导”。每隔几个星期，我都会运行 Windows XP 中的“文件和设置转移向导”，为我的所有数据和配置文件创建备份副本。然后将这些备份烧制到 CD 上或者复制到另一个硬盘上。万一系统出现故障，只需几个小时即可重建系统，重新安装所有修补程序，然后用“文件和设置转移向导”恢复数据和配置文件。作为一种补充的安全措施，我还会用漫游配置文件来配置我家里的系统。该配置文件只漫游到同系统中的另一个硬盘，但是这种做法至少在发生硬盘故障的时候能够提供保护。但是，如果您感染的只是一般的病毒，用备份来恢复系统会有点小题大作。如果您只想清除病毒，请参见 Microsoft Antivirus Defense-in-Depth Guide（Microsoft 防病毒纵深防御指南）()，了解具体操作步骤。
在规模更大的网络上，我们需要服务器备份。完整的备份计划和过程超出了本文的讨论范围。但是，许多读者在对上一篇文章的评论中提到，不论我们怎么计划备份，我们仍经常没有足够的备份，因此不得不设法从被损害的系统中恢复数据。这有几个窍门。首先，找出最后一次值得信任的备份，并将该备份中的数据恢复到一个隔离的替代系统中。然后将数据从被损害的系统中复制到隔离的替代系统中。接下来，使用 Windiff 这样的差别比对工具运行备份差别比对，比较它与被损害的系统在数据上有什么不同。记住，必须先用前面介绍过的方法用中立介质引导被损害的系统，然后才能进行这个比较；否则备份也有可能被损害。对于已经被变更的每一项，请查明数据所有者。接下来的任务就是让数据所有者证明这种差异是否正常。如果他们接受了这些差异，则将数据逆向集成到受信任的备份中。这是一个复杂而费时的过程，但只有这样才能保证新系统获得所需的数据，而不是简单地将受到损害的信息恢复到新系统。如果您只是从被损害的备份中恢复数据，那么最好的情况也只是获得不可信任的数据。在最坏的情况下，您只能创建另一个被损害的系统。
返回页首
结论
我在上面简要介绍的过程的确是一个痛苦的过程。这一点毫无疑问。我唯一能说的是“别激活即时信使程序。”这正是我们花费大量精力查明如何预防系统被黑的原因。让服务恢复正常的过程是痛苦的。相比较而言，从长期效果看，防止被黑的痛苦要少得多，而且这使您不得不恢复系统的可能性要小得多。在以后的专栏里，我们将重新更多地提供指导说明，帮助您尽量减少对恢复的依赖。
我们一如既往地为您撰写这个专栏。如果您想讨论某个内容，或者您认为有什么方式能让我们更好地帮助您保护系统安全，请告诉我们。您只需单击下面的“评论”链接，并给我们发来您的评论。
