来源: 互联网  发布时间: 2013-12-24

1.前言：
　　木马的危害，在于它能够远程控制你的电脑。当你成为“肉鸡”的时候，别人（控制端）就可以进入你的电脑，偷看你的文件、盗窃密码、甚至用你的QQ发一些乱七八糟的东西给你的好友……
　　木马大量出现，在于它有着直接的商业利益。一旦你的网上银行密码被盗，哭都来不及了。
　　正因为如此，现在木马越繁殖越多，大有“野火烧不尽”之势。木马与病毒相互配合、相得益彰，危害越来越大。
　　毫不夸张地说：木马就是从网线上走进你家里的小偷强盗。防杀木马，已成为现代电脑用户的必修课。
　　2.原理：
　　木马危害，虽然手段繁多，但是万变不离其宗，其中必需的步骤是在你的系统里建立管理员用户。本文就是从这一环节入手，阻止木马建立用户。这样，即便你的电脑已经感染了木马病毒，但是由于不能建立用户，木马就不能发挥远程控制的功能。换句话说，就是废了它，让他变成废物。当然，废物明也需要清理，但这已经不在本文的讨论范围之内了。
　　3.方法：
　　运行 regedt32.exe 打开你的注册表，里面有一个目录树：
　　打开其中目录 HKEY_LOCAL_MACHINE
　　再打开其中目录 SAM
　　再打开其中目录 SAM
　　再打开其中目录 Domains
　　再打开其中目录 Account
　　再打开其中目录 Groups
　　好了，就是这个 Groups 就是负责建立用户的。删掉它，系统就不能建立用户了。无论木马怎样折腾，都无法建立用户，更谈不上提升为管理员了。这个目录里的文件如果被删除，是没有办法还原的。所以，在这个操作之前，你必须要进行备份，必要的时候，可以还原。
　　备份方法：右键点击 Groups 选择“导出”，给导出的文件起个名字，保存好，就可以了。
　　4.说明：
　　可能你进入注册表的时候，只能看到第一个 SAM 目录，其他的都看不到。别着急，那是因为你权限不够，右键点击相应目录选择“权限”，把你自己（通常是 Administrators ）设置为“允许完全控制”就可以了。设置完权限后关了，重进regedt32.exe ，以此类推，一直找到 Groups 目录为止。
　　5.还原：
　　很简单，找到你导出的那的文件，直接点击就可以了。
　　由于删除 Groups 目录之后，你将不能使用控制面板中的“用户帐户”和“本地用户和组”的功能，因此，备份文件很重要。需要使用相应功能的时候，先还原一下，就跟以前一样了。当然，如果你是一个个人用户，一直都是你一个人使用这台计算机，那就无所谓了。

看看吧，对大家很有用处的，呵呵~~~~某些用户经常会很郁闷，自己明明已经删除了木马文件和相应的启动项，可是不知道什么时候它自己又原封不动的回来了，这还不算，更悲惨的是有时候杀掉某个木马后，系统也出了故障:所有应用程序都打不开了。这时候，如果用户对计算机技术的了解仅限于使用杀毒软件，那可只能哭哭啼啼的重装系统了 　　为什么会这样?难道这种木马还恶意修改了系统核心?其实答案很简单，因为这种木马修改了应用程序(EXE文件)的并联方式。 　　什么是“并联方式”呢?根据我的老师（网上很有名的，北大青鸟西苑的老于）介绍：在Windows系统里，文件的打开操作是通过注册表内相应键值指定的应用程序来执行的，这个部分位于注册表的“HKEY_CLASSES_ROOT”主键内，当系统收到一个文件名请求时，会以它的后缀名为依据在这里识别文件类型，进而调用相应的程序打开。而应用程序自身也被视为一个文件，它也属于一种文件类型，同样可以用其他方式开启，只不过Windows设置它的调用程序为“"%1" %*”，让系统内核理解为“可执行请求”，它就会为使用这种打开方式的文件创建进程，最终文件就被加载执行了，如果有另外的程序更改了这个键值，Windows就会调用那个指定的文件来开启它。一些木马程序把EXE后缀名对应的exefile类型的“打开方式”改成了“木马程序 "%1" %*”，运行程序时系统就会先为“木马程序”创建进程，把紧跟着的文件名作为参数传递给它执行，于是在我们看来程序被正常启动了。因为木马程序被作为所有EXE文件的调用程序，使得它可以长期驻留内存，每次都能恢复自身文件，所以在一般用户看来，这个木马就做到了“永生不死”。然而一旦木马程序被删除，Windows就会找不到相应的调用程序，于是正常程序就无法执行了，这就是所谓的“所有程序都无法运行”的情况来源，并不是木马更改了系统核心，更没必要因此重装整个系统。 　　根除这种木马的最简单方法只需要查看EXE文件的打开方式被指向了什么程序，立即停止这个程序的进程，如果它还产生了其他木马文件的话，也一起停止，然后在保持注册表编辑器开启着的情况下(否则你的所有程序都会打不开了)删除掉所有木马文件，把exefile的“打开方式”项KEY_CLASSES_ROOT\exefile\shell\open\command)改回原来的“”%1” %*”即可。 　　如果删除木马前忘记把并联方式改回来，就会发现程序打不开了，这时候不要着急，如果你是Win9x用户，请使用“外壳替换大法”:重启后按F8进入启动菜单选择MS-DOS模式，把Explorer.exe随便改个名字，再把REGEDIT.EXE改名为Explorer.exe，再次重启后会发现进入Windows只剩下一个注册表编辑器了，赶快把并联方式改回来吧重启后别忘记恢复以前的Explorer.exe。 　　对于Win2000/XP用户而言，这个操作更简单了，只要在开机时按F8进入启动菜单，选“命令提示符的安全模式”，系统就会自动调用命令提示符界面作为外壳，直接在里面输入REGEDIT即可打开注册表编辑器XP用户甚至不需要重启，直接在“打开方式”里浏览到CMD.EXE就能打开“命令提示符”界面运行注册表编辑器REGEDIT.EXE了。。。。

其实服务器安装一个mcafee就可以了，具体的设置可以参考
http://www./hack/40724.html

    

    来源: 互联网  发布时间: 2013-12-24

方便iis中或其他服务器对相应的文件进行解析
有一些格式上传后无法下载或访问，需要设置MIME，
在主机管理》管理》设置MIME，里添加，比如.flv就需要设置后才能访问
文件后缀 MIME 备注 *.avi video/x-msvideo 视频文件 *.aif *.aiff *.aifc audio/x-aiff 声音文件 *.au *.snd audio/basic 声音文件 *.ai *.eps *.ps application/postscript   *.asd *.asn application/astound   *.bin *.exe *.com *.dll *.class application/octet-stream 二进制数据文件 *.bin application/x-macbinary   *.csv text/comma-separated-values   *.css text/css Css(样式表文件) *.dwg application/acad AutoCAD文件 *.dxf application/dxf AutoCAD文件 *.dcr *.dir *.dxr application/x-director   *.doc *.dot application/msword Word类型文件 *.gz application/gzip GNU 压缩格式文件 *.gif image/gif   *.hlp *.chm application/mshelp   *.htm *.html *.shtml text/html   *.js text/javascript   *.jpeg *.jpg *.jpe image/jpeg   *.mpeg *.mpg *.mpe video/mpeg   *.mp3 audio/mpeg   *.qt *.mov video/quicktime   *.mdb application/msaccess   *.ppt *.ppz *.pps *.pot application/mspowerpoint   *.pdf application/pdf   *.rar application/octet-stream   *.rtf application/rtf   *.rtx text/richtext   *.ram *.ra audio/x-pn-realaudio   *.rm *.rmvb application/vnd.rn-realmedia   *.swf *.cab application/x-shockwave-flash   *.txt text/plain   *.xls *.xla application/msexcel   *.z application/x-compress   *.zip application/x-zip-compressed    注：以上列出了较为常用的文件格式与MIME的对照关系

    

    来源: 互联网  发布时间: 2013-12-24

通过G.CN和B.CN搜索后得出了几种不同的方案，例如网站程序的URL伪装法、服务器端的收费插件法和ISAPI-REWRITE的规则过滤法等，考虑自身网站结构和钱包的困难问题，最终选择了后者，即现在流行用来做伪静态的ISAPI Rewrite书写规则来实现我的防盗链“梦想”。

为什么说是梦想呢？首先表示惋惜，懒人我搜来了一大票经过无数次转载而来的文章，把现呈的代码应用后发现要么根本不起作用，要么就是效果达不到我想要的，几经周折后终于把这原本认为可以轻易借鉴照搬的防盗链给完成了，恨那些只会转载和伪原创的站长们，自己也不试试就拿来填充，害了多少人浪费了大把的时间。

经过恶补正则表达式相关教程并对前辈们留下的规则进行修改后，以下ISAPI Rewrite已经在我的服务器上正常运作。

经测试四种情况正常，即站内链接正常，白名单里的链接正常，盗链者链接屏蔽，搜索引擎链接正常。
详细如下；
一、完全屏蔽所有盗链来源的写法（如已有其它规则，则置于已有规则的上面）
代码：


老板，来个小解：
第一行通过RewriteCond的HOST定义其下的规则所适用的请求主机范围。
第二行通过RewriteCond的Referer定义规则适用的请求来源地址，我们都知道任何通过互联网方式访问网站都会留下Referer的痕迹，就好像我们在IIS日志里看到的一样。这里的(?!http://\1.*).*意思就是判断所有通过http协义发来的请求，都要应用规则。
第三行通过RewriteRule定义防盗链文件的后缀，这里仅是图片后缀，需要的可以添加mp3,rar等其它所有后缀。后面的/block.gif表示如果遇上这些后缀的文件被盗链后的转向，这里转向/根目录的block.gif，可以是HTML等任何文件。如果只想某个文件夹下面的文件不被盗链，只需要加上路径就可以。例如不想images和pic目录下的文件被盗，但其它可以。就要改写成：
RewriteRule (/images/|/pic/).*\.(?:gif|jpg|jpeg|png|bmp) /block.gif [I,O,N]
这种情况主要是有些站长在别人友情链接里的图片地址是在自己这的。
最后面的[I,O,N]，I表示不区分大小写，O表示对URL进行标准化，可能是用来处理Unicode编码的地址（例如包含中文的URL）以及QueryString的内容，N表示重新从站点请求文件而不是从本地缓存读取文件，目的是防止当用户访问了盗你链的网站后，再回到你的网站也出现盗链提示。
提示，由于此规则是通过Referer来获取带有http://字样的地址进行过滤，因此它无法防范其它协议的盗链，比如迅雷下载。但通过任何浏览器直接访问，只要是HTTP协义的，通杀。
以上关于RewriteCond和RewriteRule的作用仅是本人的土法理解，欢迎在这方面有专业研究的朋友在评论中指正，以免误导，另外如果遇到isapi-rewrite版本问题，只要保证后面的正则式写法正确就行。
二、排除性防盗链写法
代码：

老板，来个小解：
第一行同上
第二行同上
第三行通过正则表达式对第二行中的请求协义地址进行过滤，这里按上面的写法，过滤了所有流行的搜索引擎，当然也包括你自己的站，或是你同台服务器其它的站。每个不同的域名写法是\.baidu\.com，多个有|号相隔。如果是IP则这样写100\.100\.100\.100
第四行同上
这样说明应该不难理解吧，直接拿去用，按着原有格式改。
规则中出现的正则表达式符号小解：
.　表示匹配除换行符以外的任意字符
+　表示前面的字符可以出现一到任意多次
*　表示前面的字符可以出现零到任意多次
() 表示一个表达组，可以拿它和加减乘除法一起理解
?! 表示断言这个符号后面的字符如果出现则不再进行接下去的匹配
\　表示转义符号，比如网址中的.是规则内置的运算符号，要把它通过\转义成字符。
|　表示或者，用于连接多种可能
通过以上这“乱七八糟”的符号，竟然组成了如此强大的规则，感叹！