新手無毒入門培訓(xùn)第八課文檔

1、新手無毒入門培訓(xùn)第八課文檔縱橫戰(zhàn)場的兵法大全一組策略簡單點說，所謂策略，其實包括Windows所提供的一切安全防護(hù)配置而“組”策略，就是將系統(tǒng)重要的配置功能匯集成各種不同的配置，供管理人員直接使用，從而達(dá)到方便管理計算機的目的。重要的是，組策略不是各個孤立的配置的簡單集合而已組策略的精髓在于權(quán)限，權(quán)限就像是一整套已經(jīng)定制好的規(guī)則，所謂“組”一策略。其實我們對組策略的修改設(shè)置等就是對注冊表中的配置修改。當(dāng)然，組策略使用自己更完善的管理方法，遠(yuǎn)比手工修改注冊表方便、靈活，功能也更加強大。有人曾試驗過，更改了組策略的配置后，注冊表有所變動，而更改注冊表，組策略卻沒有變化仍然在保護(hù)之中，我想這也是組策

2、略自身的安全保護(hù)吧這么好的幫手怎么能錯過呢？快快給大家介紹一下吧！這個“組策略”程序位于“C:WINNTSYSTEM32”中，文件名為“gpedit.msc”1沮織 靠打開新建文件夾臟 a1J / 收藏突名稱.修改日期謂謖下我包 gpapi.dll20Q9/7/14 9:15姆圖聲懸8E字面畫 gpedit.dll2009/7/14 9:15應(yīng)用程序擴(kuò)展| gpedit.msc2009/6/11 5:29Microsoft通用卷. 誨義二叼四口包 gpprefcl.dll2009/7/14 9:15演程序擴(kuò)懸國 gpprnext.dll2009/7/14 9:15應(yīng)用程序擴(kuò)展，門庫B gpre

3、5ult.exe2009/7/14 9:14IB玨邑 gpscript.dll2009/7/14 9:15應(yīng)隹司斌1 iffl迅雷下第Z3 gpscript.exe2009/7/14 9:14至 gpsvc.dll2009/7/14 9:15應(yīng)程序擴(kuò)演1 ,漫計算機包 gptext.dll2009/7/14 9:15神隹鉗晨|& 本il猿S (COE1 gpupdate.exe1E2009/7/14 9114« 本地磁庫(C:) Windows System32 與H度麥%麗區(qū)我們可以點擊開始菜單，選擇運行，在運行框中輸入GPEDIT.MSC,就能打開了,一U7請建入程序、文

4、件夾、文檔或工地會心L_/秫，Windows將為您打開它u打開(Q)：gpedit.mscI贛定I取消I版.本地經(jīng)策晤編輯器文件操作(A)查看(V)幫助(H).本地計算機策略/瞳D軟件設(shè)置P,Windows設(shè)置»管理模板，信用戶囪置>軟件設(shè)置!>口Windows!>一管理模板本地計算機策略選援一個項目來亙看它的描述。名稱4計算機配置廄用戶囪置擴(kuò)毫標(biāo)準(zhǔn)/怎么樣?是不是覺得它的功能很多,很有復(fù)雜的感覺?不過不用擔(dān)心，循序漸進(jìn)可以很快掌握組策略很強大，但我們的主題是防毒殺毒，所以有些內(nèi)容就略過了，大家想學(xué)習(xí)其它功能的話可以去網(wǎng)上搜索下資料也有很多的在打開的組策略窗口中(如

5、圖),可以發(fā)現(xiàn)左側(cè)窗格中是以樹狀結(jié)構(gòu)給出的控制對象，右側(cè)中則是針對左邊所點中的某一配置可以設(shè)置的具體內(nèi)容。另外,您或許已經(jīng)注意到，左側(cè)窗格中的“本地計算機”策略是由“計算機配置”和“用戶配置”兩大機構(gòu)構(gòu)成，并且這兩者中的部分項目是重復(fù)的，如兩者下面都含有“軟件設(shè)置”、“Windows設(shè)置”等。那么在不同子鍵下進(jìn)行相同項目的設(shè)置有何區(qū)別呢？這里的“計算機配置”是對整個計算機中的系統(tǒng)配置進(jìn)行設(shè)置的，它對當(dāng)前計算機中所有用戶的運行都起作用；而“用戶配置”則是對當(dāng)前用戶的配置進(jìn)行設(shè)置的，它僅對當(dāng)前用戶起作用。例如，二者都提供了“停用自動播放”功能的設(shè)置，如果是在“計算機配置”中選擇了該功能，那么所有用

6、戶的光盤自動運行功能都會失效；如果是在“用戶配置”中選擇了此項功能，那么僅僅是當(dāng)前的登陸用戶（比如你是用ADMINISTRATOR帳戶登陸了電腦）的光盤自動運行功能失效，其他用戶（如GUEST帳號）則不受影響。設(shè)置時需注意這一點。我們先來看“計算機配置”里的第一個“軟件設(shè)置”0這里打開通常是沒有東西的這也不是我們要介紹的重點，可以略過第二個“WINDOWS設(shè)置”，這里面的內(nèi)容就有點花樣了，打開它后選擇“安全設(shè)置”本地經(jīng)策略編輯器文件(F)遢作(A)亙著(V)普助(H)目本地計算機策昭-扣計算機函置軟件設(shè)Windows設(shè)置D3域名解析帶略曾腳本能徹關(guān)機)»雪已部雪的打印機全安全設(shè)置&q

7、uot;區(qū)帳戶段咯i>3本地策咯t>lL高圾安全Windows防火墻3網(wǎng)密列表苣理器莫略Da公鑰貴略D.一軟件限制策略CMJ應(yīng)用程序控制策略僅用IP安全第胳,在本地計算機dC3高級畝核策略囹置DJjj基于集略的QoS0笆理模板,胞用戶玩置伊，軟件設(shè)置名稱.3/釜略13本比策略.二高強安全Windows防火墻-網(wǎng)箔列表管理器篌暗二公銅策路一軟件限制策略二應(yīng)用程序控制策略息IP安全黑暗，在本的計算機二高以審核會as苞置描述密用和帳戶鎖定第略本核、用戶權(quán)利和安全;晨或安全Windows防網(wǎng)絡(luò)名稱、圖網(wǎng)位詈應(yīng)用程序控制黛路Internet協(xié)議安全性(I高級寶樓策略互置打開里面的“本地策略”

8、-“用戶權(quán)利指派"，在“用戶權(quán)利指派”節(jié)點下可給用戶添加許多權(quán)限各個權(quán)利的作用都列的比較清楚，我們在這里舉例：以前很流行一種修改時間的病毒，企圖通過修改系統(tǒng)時間達(dá)到殺軟無法正常運行的目的，雖然現(xiàn)在很多殺軟都可以預(yù)防了，但手工知識仍然很重要，我們現(xiàn)在就可以在此實踐免疫系統(tǒng)時間的功能在右邊欄目里選擇“更改系統(tǒng)時間”顯本地組策略編輯器H星雙擊這個”更改系統(tǒng)時間”后可以打開具體的設(shè)置框,里面有個說明欄目是關(guān)于這項設(shè)置的解釋更改系統(tǒng)時間層性本地安全設(shè)置說明更改系統(tǒng)時間R4U2 Mi 計戶記。 改矗，時際 可極時頭 組戶統(tǒng)的 和空垂 戶此工 用.件 n-l>上曰映 時善 曙件(GFO)以及

9、工作站工作站和服務(wù)器上的默認(rèn)值:AdministratorsLocalService域控利器上的默認(rèn)值：AdministratorsServerOperatorsLocalService百去安全策乾耙目關(guān)陋虱由功能的詳細(xì)信息,置線圜確定取消應(yīng)用而另一個欄目里是不是有幾個用戶名呢？方框里的用戶名稱就是有權(quán)利更改系統(tǒng)時間的帳戶名字或用戶組，如我們這是說明我機器內(nèi)只要是ADMINISTRATORS（管理員）和LOCALSERVICE這兩個組里的用戶都有權(quán)修改時間如果我是用管理員帳戶登陸了系統(tǒng)，中了修改時間病毒，那病毒就可以輕松更改我的時間。當(dāng)然我可以用GUEST組的帳號登陸系統(tǒng)就沒事了，不過這樣豈不

10、是很麻煩嗎？反正時間是不需要經(jīng)常改的，我們何不先廢除自己修改時間的權(quán)利？選中帳戶名稱，點擊刪除即可最后這方框里內(nèi)容全部清空了，說明沒有任何用戶有權(quán)更改時間！不過已經(jīng)心急著試驗的人一定很郁悶，為什么清空后仍然可以更改時間呢？這主要是遺漏了一步，重起機器。只有重起機器后再修改時間才會出現(xiàn)如圖提示:那如何恢復(fù)對此設(shè)置的權(quán)利呢？也很簡單:首先點擊“添加用戶和組“更改系統(tǒng)時間屬性本地安全設(shè)置解釋此設(shè)置更改系統(tǒng)時間潴加用戶或組W.刪除®再點擊”高級上再點擊”立即查找“即可列出本機所有帳戶和組選擇用戶或組;?I選擇此對象類型）：用戶或內(nèi)置安全性原則a象類型初二查找位置9：92BC8DC4F0524

11、E4位置©二I名稱CRDN)荏文件夾中&Administr.92BC8DC4F05.OOilYNOUS.Authentic.®BATCH選擇要賦予更改時間權(quán)利的用戶名字，按“確定“即可顯示你選中的用戶或組的名稱選擇用戶或組；211選擇對象類型：用戶或內(nèi)置安全性原則對象類型).查找位置9:92BC8DC4F0524E4位置輸入對象名稱來選擇缶圓)(1)：92EC8DC4F0524E4adlninistrata檢查名稱)高級I確定|取消再點“確定“即可更改系統(tǒng)時間屬性?本地安全設(shè)置解釋此設(shè)置92BC8DC4F0524E4A«3ministrator海加用戶或組

12、8).I刪除®I既然需要關(guān)機重啟才能生效，那我們再看看下一條吧：“關(guān)閉系統(tǒng)”本雌經(jīng)策略桀輯器口打開后看到的內(nèi)容和“更改時間”是一樣的吧。只要刪除它們那你的系統(tǒng)就沒發(fā)法關(guān)閉哦，可以預(yù)防些故意讓你關(guān)機的惡意病毒，不過我們的電腦不是服務(wù)器，所以經(jīng)常要用到關(guān)機功能，這招并不實用，大家知道下就可以了還有的如“從遠(yuǎn)程系統(tǒng)強制關(guān)機”，它可以確定允許哪些用戶從網(wǎng)絡(luò)上的遠(yuǎn)程位置關(guān)閉計算機，一般為了安全起見最好也把所有帳戶刪除_3,f本地紀(jì)策略編演患文件(日操作(A)查看(V)幫助(H)之® l興回國I El鬲國本地計算機案昭，胎計算機配置口軟件設(shè)置",二)Windows 設(shè)置0 口

13、域名解析第略償1腳本后徹關(guān)機)r>函已部署的打印機,星安全設(shè)置t> 3帳戶策略/ 3本地第略3隼核兼咯3用戶權(quán)限分配 一2安全選項> 23高級安全Windows防火地網(wǎng)絡(luò)列表管瑁器等暗b Z5公鑰策略> 一軟件限制篌照»，應(yīng)用程序控制策略0 ® IP妾全卷昭,在本地計算機»二高坂京核集昭囹置卜加基于第胳的QoS策略展備份文件和目錄 嗡創(chuàng)建符號必 股創(chuàng)建全局汨敬，創(chuàng)建一個令睥花裊臉創(chuàng)建一個真畫文件 創(chuàng)建永久共享方盤 從擴(kuò)展姆上取F計箕 從網(wǎng)箔訪問此計算機從遠(yuǎn)程W統(tǒng)強制關(guān)稅啜更改時區(qū),更改系統(tǒng)時間I嗡關(guān)閉軍統(tǒng)管理宙核和安全日后 法還度文件和目錄

14、卸載設(shè)官怒前:將工作站添加到域拒地本地登錄拒地從網(wǎng)絡(luò)訪問這臺從遠(yuǎn)程系統(tǒng)景制關(guān)機雇性本地安全設(shè)置說明從遠(yuǎn)程系統(tǒng)強制關(guān)機Administrators添加用戶或組00. .蒯馀防確定還有“還原文件和目錄”，其作用是確定在還原備份的文件和目錄時哪些用戶可以繞過文件、目錄、注冊表的設(shè)置等等，建議也把帳戶全部刪除，否則如果你計算機里有多個帳戶，而有個帳戶的配置管理不安全，且名稱又在“還原文件和目錄“的方框里。一旦因為其個人配置漏洞引來病毒，那還原后仍然會保留其配置。這樣仍然會引來病毒或攻擊！“用戶權(quán)利指派”里雖然都是和安全相關(guān)的，內(nèi)容不算多，防護(hù)力量也很有限,大家大致的了解幾個就知道其它的設(shè)置了，只要記住

15、方框內(nèi)的用戶名就是有權(quán)利的用戶，只要根據(jù)自己需要通過添加或刪除用戶名即可為用戶賦予不同權(quán)利,至于其它設(shè)置的意思因為對防毒意義不大，就不全部解釋了，想了解的朋友可以打開后查看旁邊的“說明”，如圖了解了“權(quán)利指派”我們再來看看更和安全相關(guān)的項目：“安全選項”本地經(jīng)策給簿輯器文件遢作(A)亙看(V)幫助(H國本地計算機策暗二4蹈計算機囪置D 軟件設(shè)置/ 口 Windows 設(shè)置D 域名解析轉(zhuǎn)昭 倒腳本信動/關(guān)松 D 0-S已部署的打印機,志安全設(shè)置Lt> ES悵戶策略一，胃本地策略d d車核策照電白權(quán)限分配 ""'* 二安呈 Window l3網(wǎng)箔列表管理器集心&#

16、187; 公鑰策哈一t> 0軟件限制第昭» 應(yīng)用程序控制策略 t>息安全黃昭，在譯 r> . J高汲宦核簧咯玩置.安全設(shè)置 沒有定義 已信用 已禁用 9用沒有定義 15加 已啟用 已禁用 已禁用 游用 已君用 已禁用 已禁用用策箔,DCQM;想用妄全描述符定義語言(SDDL)語法的計算機啟前,“Microsoft網(wǎng)絡(luò)版務(wù)器:登錄時間過期言斷開與客戶建的.遑接Microsoft網(wǎng)絡(luò)限務(wù)器:對通信進(jìn)行數(shù)字卷名仰果客戶逕允Microsoft網(wǎng)絡(luò)服務(wù)器;對通信迸行數(shù)字簽名循線)Microsoft網(wǎng)洛銀芳器:隈符籌SPN目后名稱驗證溺！IMicrosoft網(wǎng)絡(luò)服務(wù)器:暫停會話

17、前所需的生閑時間數(shù)量:，Microsoft網(wǎng)絡(luò)客戶造;對通信進(jìn)行數(shù)字簽名州果眼多器允,“aMicrosoft網(wǎng)逐客戶蚪:對逋信進(jìn)行數(shù)字簽名娓冬)Microsoft網(wǎng)絡(luò)客戶運:將未加容的容碼發(fā)送到第三方SMB.3關(guān)機;清除虛擬內(nèi)存頁面文件關(guān)機:允許至統(tǒng)在未登錄的情況下關(guān)閉恢復(fù)控制臺:允許軟程復(fù)制并訪問所有怒前器和所有文件美S,恢肆制臺:允許目前管理登錄.交互式登錄:不顯示聶言的用戶名鼠交互式登錄:試圖登錄的用戶的消息標(biāo)霞交互式登錄:武圖登錄的用戶的消息文本,交互式登錄:鎖定會話時顯示用戶信息交互式登錄;提示用戶在過期之前吏改變四nr交互式登錄:無須按CtrkAlt+Del沒有遷義這里基本都和安全

18、息息相關(guān)的設(shè)置：每個設(shè)置也有相關(guān)說明解釋，這里我們也選擇幾個有代表性的看看“交互式登錄：試圖登錄的用戶的消息標(biāo)題“，從名字不難看出，這里設(shè)置的是一個標(biāo)題，什么標(biāo)題呢？交互式登錄:試圖登錄的用戶的消息標(biāo)題屬性本地安全設(shè)置說明交互式登錄：試圖登錄的用戶的消息標(biāo)題警告:確定取消試圖登錄的用戶消息，詳細(xì)的說就是當(dāng)我開機時，如果你的電腦有幾個帳戶，那你選擇某個帳戶后或輸入開機密碼后就會彈出一個提示框，按確定才會看到桌面，這里設(shè)置的標(biāo)題就是該提示框的標(biāo)題,當(dāng)然如果你沒有對該項目作設(shè)置就不會有這個框存在那有了標(biāo)題在哪輸入消息內(nèi)容呢？它的下一個就是：交互式登錄：試圖登錄的用戶的消息文本，這里可以輸入你要顯示的

19、消息內(nèi)容這個技巧很早前就被發(fā)現(xiàn)了，一開始人們喜歡用它來嚇菜鳥黑客，比如設(shè)置標(biāo)題為“警告”，文本內(nèi)容就是“你的IP已經(jīng)被系統(tǒng)記錄，你將為自己的入侵行為負(fù)法律責(zé)任！”之類的話本世空策略編輯器U文件(F)謾作(A)亙看(V)幫助(H)Jf本地計算機等，總計算機配苣»2軟件設(shè)置，_Windows設(shè)置DJ域名解析策哈直脖本啟動/關(guān)機)DJ-5已造的打印機,總安全設(shè)置o13帳戶短咯,一4本地策略o4串核等昭3用戶權(quán)F艮分配3安全選項，.蓋格卜一_高級安全Window網(wǎng)絡(luò)列表管理器第e公鑰策略0，軟件限利策晤»一應(yīng)用程序控制策略用IP安全餞晤，在充»高級畝核蓋略圖置"

20、tnI卜DCOM;便安全描述符定義港言(SDDL)語法的計算機專動”.,Microsoft網(wǎng)絡(luò)謠絡(luò)器:登錄時間過期高期開與客戶誤的連接Microsoft網(wǎng)絡(luò)服務(wù)署:定通信迸行數(shù)字筆名如票客戶五允嗡Microsoft網(wǎng)絡(luò)服務(wù)器;對通信進(jìn)行數(shù)字簽名始終)2Microsoft網(wǎng)絡(luò)隈絡(luò)前:震將器SPN目標(biāo)芻稱險證級Microsoft網(wǎng)絡(luò)服芳器:暫停會話前所靠的空閑時間數(shù)量Microsoft網(wǎng)絡(luò)客戶笠;變通信迸行數(shù)字簽名團(tuán)亮眼務(wù)器允,“國Microsoft網(wǎng)絡(luò)客戶運:對通信迸行數(shù)字筌名紿終)Microsoft網(wǎng)絡(luò)客戶道:將未加分的堂碼發(fā)送到第三方SMB.啜關(guān)機:清除虛擬內(nèi)存頁面文件嗡關(guān)機:允許至統(tǒng)在未登

21、錄的情況不關(guān)閉囁)恢復(fù)控制臺:允許蚊宜復(fù)制并訪問所建動器和所有文件夾啜恢會制臺;允許目前管理登錄閡交互式登急不顯示最三的用戶包交亙式登錄:試圉登錄為用戶的消息后餐二;文互式登錄:鎖定會話時顯示用戶信息交互式登錄:提示用戶在過期之前更改春色:文互式登錄；無須按Ctrl+Alt十Del安全設(shè)置沒有定義已啟用已已禁用沒有定義15分神已啟用已禁用已禁用已麓已汨用用用已禁用沒有定義5天沒有定義這樣菜鳥級別的黑客往往不知情，很多時候會被嚇跑。雖然現(xiàn)在知道的人多了,但你也可以用來對付想亂玩你電腦的新手如果說這招的威力對入侵者比較小了，那最后的兩個選項還有一定抵御力量：帳戶：重命名來賓帳戶帳戶：重命名管理員帳

22、戶文件舊操作g）查看（V）幫助（H）生吟I?j0IXE1國本地計算機策略二/r計箕機配置b 軟件設(shè)>/ . Windows 設(shè)置> 域名解析黃照因腳本（啟動/關(guān)機）> O已部署的打印機,良安至iS置> C1帳戶策略=> 本地篌略0奇事核第B&4用戶權(quán)限分配3安全選項> 2高運安全Window O網(wǎng)箔列表管理器集E伊J公鑰策略, 軟件限制黑路» 一應(yīng)用程序控制等踣> 曼IP安全舞暗，在牽一> J高皴畝核黃暗配置策咯均用戶帳戶控制：以管理員批準(zhǔn)模式運行所有管理具用戶帳戶控制：用于內(nèi)置爸理員帳戶的雷理受批準(zhǔn)模式用戶帳戶控制:允許UIA

23、ccess應(yīng)用程序在不使用安全空面 項用戶悵戶控制;只提升簽名并臉證的可執(zhí)行文件域成員也安全通道數(shù)據(jù)進(jìn)行數(shù)字加密克昊可能）域成箕對安全道靚據(jù)進(jìn)行數(shù)字加生或數(shù)字簽名邂終）技成員對安全通道數(shù)據(jù)迸行數(shù)字簽名比果可能） 國域成員:計算機帳戶密碼最長使用期限 勵域成員:禁用計算優(yōu)悵戶分碼更改域成曷需要甥（Windows 2000或更高版本）會話宅鑰 躺城控制器:LDAP峻芳器簽名要求域控制器:拒絕計算機帳戶套碼更改域控制器;允許服務(wù)器喔作者計劃任務(wù)豳悵戶:管理員帳戶狀本嗡悵戶:來賓帳戶狀態(tài)帳戶：使用全彎碼的本坳帳戶具允許進(jìn)行控制臺登錄豳悵戶;重命名來賓帳戶帳戶：重命名系統(tǒng)管理員帳戶安全設(shè)置 摟用 已禁用 已禁用 已禁用 已套用 已信用 已啟用30天 已禁用 已啟用 沒有定義 沒有定義 沒有定義 已肩用 已禁用 已啟用GuestAdministrator顧名思義，重命名來賓帳戶就是給來賓帳號重新起個名字，重命名管理員帳戶 就是給管理員帳戶重新命名。我們都知道，系統(tǒng)管理員帳戶