这里小编给大家分享一些拒绝当前“流行”的魔兽 木马进门来WEB安全，本文共9篇，方便大家学习。
篇1：拒绝当前“流行”的魔兽 木马进门来WEB安全
魔兽 木马这坏家伙不知道伤了多少玩家的心，令无数游戏玩家不仅丢失心爱的游戏帐号，还丢失了花钱买的装备，魔兽 种种罪行真是罄竹难书。是时候治治这猖狂的家伙了，在还没进你电脑之前就让它止步。
经笔者多次留意留意发现2个流行的魔兽 木马都是同一类型。
而且关键文件都是gdmsi32.dll，所以很简单的一步就可以让 木马主体文件不起作用了。
好的，说说方法：
确保NTFS文件系统
首先，确保你C盘的文件系统为NTFS，查看方法很简单，到C盘的根目录下，点左边的详细信息，文件系统后面如果是NTFS，那就是NTFS，如果是FAT32，那可能需要转换了，转换方法如下：
点桌面左下角的开始，然后点运行，输入cmd，然后输入：（Convert C：/fs：ntfs）你可以直接复制括号内的或者自己输入。然后回车就可以了，稍等片刻就转换成功了。
注意：如果你C盘有文件正在运行，操作系统会提示需要在重启的时候转化，你开机的时候，会有一个检测磁盘和转化文件系统的过程，请不要关机！完成后Windows会自动重启！
当确认你C盘的文件系统是NTFS后，先说说免疫该病毒的原理吧。目前流行这个方法，就是建立一个不允许任何人访问的gdmsi32.dll文件，这样病毒无法覆盖，写入，读取该文件，缺少这个重要的文件，自然无法 了，
但是之前，请确认你的C：\WINDOWS\system32目录下没有 gdmsi32.dll这个文件。
好的，现在开始说方法了。
制作免疫文件
首先你创建一个文本文档，在里面写入以下内容：
md C：\WINDOWS\system32\gdmsi32.dll
attrib C：\WINDOWS\system32\gdmsi32.dll +s +h +r
echo y|cacls C：\WINDOWS\system32\gdmsi32.dll /d everyone
exit
然后点文档左上角的“文件”，选择“另存为”，文件名那输入1.bat（随便你输入什么，但是后缀必须bat或者cmd），保存类型右边的下拉菜单中选择“所有文件”，然后保存就可以了，但是最好保存到桌面，方便找。然后找到你保存的位置，可以发现一个1.bat（或者其他bat）文件，直接双击运行。
由于给这个文件加了系统，隐藏属性，所以你看不到它，需要显示所有文件和系统文件才可以看到。没问题的话，该文件是一个名为gdmsi32.dll的透明的文件夹，你可以双击他试试？拒绝访问？恭喜，成功了！
在这个木马变种之前，这个方法可以保证该类型木马无效。
篇2：RootKit木马的亲密接触WEB安全
前一段时间Sony的CD反盗版保护RootKit被Sysinternals的Mark揭露后，在网上吵的沸沸扬扬，国外杀毒厂商也说 已利用了Sony的Rookit漏洞，本人前几天在一朋友的机器上发现了一个类似的木马，现把此木马的发现和删除过程与大家分享，木马技术也发展到了驱动级,希望大家提高防范意识，现在的网络真的是太不安全了。
我的安全意识还是比较强的，使用别人机器上网前都会用procexp（www.sysinternals.com/Files/ProcessExplorerNt.zip）查看一下有没有可疑的进程，用Autoruns（www.sysinternals.com/Files/Autoruns.zip）查看有没有可疑的启动项，检查未发现异常，开始上网，上了一会，关闭IE，准备关机。不经意间在防火墙网络访问信息中发现有iexplorer.exe访问网络，并且一会又消失了，因为我已经关闭了所有的IE窗口，所以这引起了我得注意。我马上打开procexp查看，但我并未发现那个iexplorer.exe，难道是防火墙误报，我下载了一个TcpView（www.sysinternals.com/Files/TcpView.zip），果然看到一个在进程列表中不存在的IE进程不停的访问网络。
如图：
这时我确定机器肯定中了木马，那个木马又是怎么启动的呢，我打开Autoruns仔细查找启动项，但找不到。此时我确认机器中了一个比较难缠的木马，我下载了RootkitRevealer(www.sysinternals.com/Files/RootkitRevealer.zip) 进行查找，果然不出所料，机器上有几个注册表隐藏项，和文件隐藏项
如图：
到问题所在就好办了，打开IceSword （xfocus.net/tools/09/IceSword_en1.12.rar），马上看到了那个IE进程
如图：
驱动注册表隐藏项，如图：
文件隐藏项，若图：
删除驱动文件，重启计算机，病毒进程立即现身，如图：
RootkitRevealer还报RPCSS服务的注册表一项被隐藏，因为驱动已经删除，再此打开注册表，木马更改的项马上现身了，若图：
将Rpcss服务的注册表项改回初始值，如图，重启问题搞定
总结：此木马为驱动级木马，底层勾了ntoskrnl.exe导出函数，实现进程隐藏，文件隐藏，
zwvmlmtz.dll：替换Rpcss服务的DLL，实现自启动功能（Rpcss服务是系统重要服务），调用驱动。
zwvmlmtz.sys：挂接系统函数，隐藏自己的注册表项，隐藏Rpcss改动的注册表项（通过regedit查询到的值不准确），隐藏文件，把自己伪装为IE进程（防火墙一般默认IE进程访问网络自动放行的）。
zwvmlmtz.d1l：木马作者真正用意所在模块。
补充1：若只删除问题文件，不把rpcss服务的DLL改回初始值会导致Rpcss服务无法启动的。
补充2：木马作者也许没有在XP系统测试，此木马在XP系统驱动无法加载，rpcss替换DLL也有问题。本文中计算机系统为win2K。
篇3：aspx木马安全设置与防御WEB安全
1、aspx 木马文件可以在asp.net空间中实现读取进程、iis信息、跨站、执行cmd命令，
解决方法
1、对于每个网站建立一个用户、并将用户放入guest组，给站点写入、读取的权限。并在iis上允许匿名访问。
2、
将以上代码复制到C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\CONFIG web.config 中
的以下地方：即可实现禁止跨站、禁止读取iis信息、禁止cmd命令执行，
3、asp.net1.1 在machine.config 中搜索 代码作用：模拟匿名帐户来运行网站程序。 此法可以禁止跨目录、读取iis站点信息，禁止执行cmd。
篇4：Windows通用四招对付捆绑木马WEB安全
现在的牧“马”者是越来越狡猾，他们常用文件捆绑的方法，将木马捆绑到图像、纯文本等常见的文件中，然后通过QQ、Email或MSN等将这些文件传送给受害者，而一旦不慎打开这些文件，你就“中招”了(当然是木马了)，那对付这些捆绑木马有哪些通用规则值得我们平时注意的？
现在的牧“马”者是越来越狡猾，他们常用文件捆绑的方法，将木马捆绑到图像、纯文本等常见的文件中，然后通过QQ、Email或MSN等将这些文件传送给受害者，而一旦不慎打开这些文件，你就“中招”了(当然是木马了)。那对付这些捆绑木马有哪些通用规则值得我们平时注意的？
第一招：常用杀毒软件
这是最安全、最经典的防御方法了，特别是对通过QQ、MSN等即时通讯工具传送过来的文件，在打开他们之前一定要用杀毒软件查毒。对于一些常见的木马，只要升级到最新
图1
在MSN Messenger中，选择“工具→选项”，再单击“消息”标签，在“文件传输”下，选中“使用下列程序进行病毒扫描”复选框，然后选择相应的杀毒程序，可以让MSN对传输的文件自动杀毒（如图2）。
第二招：显示文件全名
其实很多牧“马”者是利用Windows默认的“隐藏已知类型文件扩展名”，比如把木马捆绑到一幅JPG图片中，当你双击打开这个文件时，的确实是一幅JPG图片，而木马却在后台偷偷的运行了。解决方法：打开“我的电脑”，单击“工具→文件夹选项”，单击“查看”，去除“隐藏已知类型文件扩展名”前的小钩（如图4），
这样如果碰到类似a.jpg.exe的文件就可以看到它的真面目，并格外小心了。
图3
图4
第三招：善用进程监视
如上所述，被捆绑木马是当我们打开一个文件的时候，它就在后台运行，比如说在打开一个图像文件的时候，除了看图程序外还应该有一个进程在运行。这样我们在打开这类文件时，先用Ctrl+Alt+Del调出系统当前的进程列表并记下，打开文件后迅速切换到任务管理器窗口查看，多出的那个进程就是被释放出来的木马了。
小提示
有些木马程序非常的小巧，它的安装过程也是一晃而过，所以切换到任务管理器速度也要快。也可让任务管理器常驻内存，请参考本期系统一句话技巧中的《隐藏运行任务管理器》。
第四招：专业工具协助
Fearless Bound File Detector就是一款专门用于探测是否捆绑文件的软件，运行程序后，将需要检测的文件拖到窗口中，然后单击“扫描文件”按钮即可。如果正常，程序提示“没发现任何东西，文件显然清洁的”，如果是捆绑文件，程序则给出“发现 4E007h 额外的字节，开始补偿于 C600h”的提示，如图5所示。
图5
小提示
如果用它清洁被捆绑文件，剩下的只是捆绑的头文件了，而且大小均为57.5KB，会破坏原来的文件，所以如果觉得被捆绑文件对你有用，切勿采取清洁文件的方法，但可以用程序来检测是否捆绑其他文件。
篇5：如何应对针对网游的 木马WEB安全
今年的网络游戏可谓是一枝独秀，人气旺盛，网络游戏已经成为很多人另外一个生活的世界，网络游戏中的很多装备甚至级别高的账号本身也成为了玩家的财产，在现实世界中用现金来进行交易。于是，在这样的诱惑下， 已经开始瞄上了网络游戏。
近日，某公司截获了首例能感染网络游戏的木马病毒，该病毒专门针对国内第二大 类网络游戏：“边锋”游戏。该病毒通过电子邮件进行传播，如果“边锋”游戏的用户收到了病毒邮件，并打开附件，就感染了该木马病毒。
据介绍：用户感染了这种木马病毒后，不仅会将自己的用户名、密码外泄，而且在游戏中辛辛苦苦赚来的虚拟货币也将被他人窃取；该木马同时还会将中招的电脑共享到互联网上，被 远程控制。目前这种木马还没有进行广泛传播，但是，已经有很多恶意的玩家已经在利用这种木马盗取别人的账号了，请“边锋”游戏的玩家慎重对待别人发送的电子邮件。
业内人士分析，随着网络游戏用户不断增多，针对网络游戏的病毒与 行为也会越来越多，广大游戏玩家一定要提高警惕，并随时升级您的病毒库！
该木马的病毒名称为：Trojan.Benfgame.214310，如果您没有安装杀毒软件，而怀疑自己中了此种木马病毒，可以进行手工清除：
(1)先打开注册表编辑器；
(2)编辑注册表，恢复注册表中被病毒程序修改的文件关联，并记住被修改的默认关联(病毒程序的名字)，
如exe文件的默认关联为“%1”%*，chm文件的默认关联为hh“%1”，txt文件的默认关联为Notepad %1,scr文件的默认关联为“%1” /S；
(3)然后打开进程管理器，用进程管理器关掉正在运行的病毒程序(被修改的默认关联病毒程序和MSCVT2.EXE)；
(4)编辑注册表中的HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun，找到键值MSBenCheck，并将其删除；
(5)删除掉病毒生成的文件，但不要删除系统目录下的那个控件Mswinsck.ocx；
(6)修改Windows目录下的win.ini文件，删除[windows]栏中“run=C:WINDOWSMSCVT2.EXE”。
篇6：让杀毒软件束手无策：DLL木马揭秘WEB安全
相信经常玩木马的朋友们都会知道一些木马的特性，也会有自己最喜爱的木马，不过，很多朋友依然不知道近年兴起的“DLL木马”为何物，什么是“DLL木马”呢？它与一般的木马有什么不同？
一、从DLL技术说起
要了解DLL木马，就必须知道这个“DLL”是什么意思，所以，让我们追溯到几年前，DOS系统大行其道的日子里。在那时候，写程序是一件繁琐的事情，因为每个程序的代码都是独立的，有时候为了实现一个功能，就要为此写很多代码，后来随着编程技术发展，程序员们把很多常用的代码集合（通用代码）放进一个独立的文件里，并把这个文件称为“库”（Library），在写程序的时候，把这个库文件加入编译器，就能使用这个库包含的所有功能而不必自己再去写一大堆代码，这个技术被称为“静态链接”（Static Link）。静态链接技术让劳累的程序员松了口气，一切似乎都很美好。可是事实证明，美好的事物不会存在太久，因为静态链接就像一个粗鲁的推销员，不管你想不想要宣传单，他都全部塞到你的手上来。写一个程序只想用到一个库文件包含的某个图形效果，就因为这个，你不得不把这个库文件携带的所有的图形效果都加入程序，留着它们当花瓶摆设，这倒没什么重要，可是这些花瓶却把道路都阻塞了――静态链接技术让最终的程序成了大块头，因为编译器把整个库文件也算进去了。
时代在发展，静态链接技术由于天生的弊端，不能满足程序员的愿望，人们开始寻找一种更好的方法来解决代码重复的难题。后来，Windows系统出现了，时代的分水岭终于出现。Windows系统使用一种新的链接技术，这种被称为“动态链接”（Dynamic Link）的新技术同样也是使用库文件，微软称它们为“动态链接库”――Dynamic Link Library，DLL的名字就是这样来的。动态链接本身和静态链接没什么区别，也是把通用代码写进一些独立文件里，但是在编译方面，微软绕了个圈子，并没有采取把库文件加进程序的方法，而是把库文件做成已经编译好的程序文件，给它们开个交换数据的接口，程序员写程序的时候，一旦要使用某个库文件的一个功能函数，系统就把这个库文件调入内存，连接上这个程序占有的任务进程，然后执行程序要用的功能函数，并把结果返回给程序显示出来，在我们看来，就像是程序自己带有的功能一样。完成需要的功能后，这个DLL停止运行，整个调用过程结束。微软让这些库文件能被多个程序调用，实现了比较完美的共享，程序员无论要写什么程序，只要在代码里加入对相关DLL的调用声明就能使用它的全部功能。最重要的是，DLL绝对不会让你多拿一个花瓶，你要什么它就给你什么，你不要的东西它才不会给你。这样，写出来的程序就不能再携带一大堆垃圾了――绝对不会让你把吃剩的东西带回家，否则罚款，这是自助餐。
DLL技术的诞生，使编写程序变成一件简单的事情，Windows为我们提供了几千个函数接口，足以满足大多数程序员的需要。而且，Windows系统自身就是由几千个DLL文件组成，这些DLL相互扶持，组成了强大的Windows系统。如果Windows使用静态链接技术，它的体积会有多大？我不敢想。
二、应用程序接口API
上面我们对DLL技术做了个大概分析，在里面我提到了“接口”，这又是什么呢？因为DLL不能像静态库文件那样塞进程序里，所以，如何让程序知道实现功能的代码和文件成了问题，微软就为DLL技术做了标准规范，让一个DLL文件像奶酪一样开了许多小洞，每个洞口都注明里面存放的功能的名字，程序只要根据标准规范找到相关洞口就可以取得它要的美味了，这个洞口就是“应用程序接口”（Application Programming Interface），每个DLL带的接口都不相同，尽最大可能的减少了代码的重复。用Steven的一句话：API就是一个工具箱，你根据需要取出螺丝刀、扳手，用完后再把它们放回原处。在Windows里，最基本的3个DLL文件是kernel32.dll、user32.dll、gdi32.dll。它们共同构成了基本的系统框架。
三、DLL与木马
DLL是编译好的代码，与一般程序没什么大差别，只是它不能独立运行，需要程序调用。那么，DLL与木马能扯上什么关系呢？如果你学过编程并且写过DLL，就会发现，其实DLL的代码和其他程序几乎没什么两样，仅仅是接口和启动模式不同，只要改动一下代码入口，DLL就变成一个独立的程序了。当然，DLL文件是没有程序逻辑的，这里并不是说DLL=EXE，不过，依然可以把DLL看做缺少了main入口的EXE，DLL带的各个功能函数可以看作一个程序的几个函数模块。DLL木马就是把一个实现了木马功能的代码，加上一些特殊代码写成DLL文件，导出相关的API，在别人看来，这只是一个普通的DLL，但是这个DLL却携带了完整的木马功能，这就是DLL木马的概念。也许有人会问，既然同样的代码就可以实现木马功能，那么直接做程序就可以，为什么还要多此一举写成DLL呢？这是为了隐藏，因为DLL运行时是直接挂在调用它的程序的进程里的，并不会另外产生进程，所以相对于传统EXE木马来说，它很难被查到。
四、DLL的运行
虽然DLL不能自己运行，可是Windows在加载DLL的时候，需要一个入口函数，就如同EXE的main一样，否则系统无法引用DLL，
所以根据编写规范，Windows必须查找并执行DLL里的一个函数DllMain作为加载DLL的依据，这个函数不作为API导出，而是内部函数。DllMain函数使DLL得以保留在内存里，有的DLL里面没有DllMain函数，可是依然能使用，这是因为Windows在找不到DllMain的时候，会从其它运行库中找一个不做任何操作的缺省DllMain函数启动这个DLL使它能被载入，并不是说DLL可以放弃DllMain函数。
五、DLL木马技术分析
到了这里，您也许会想，既然DLL木马有那么多好处，以后写木马都采用DLL方式不就好了吗？话虽然是这么说没错，但是DLL木马并不是一些人想象的那么容易写的。要写一个能用的DLL木马，你需要了解更多知识。
1.木马的主体
千万别把木马模块写得真的像个API库一样，这不是开发WINAPI。DLL木马可以导出几个辅助函数，但是必须有一个过程负责主要执行代码，否则这个DLL只能是一堆零碎API函数，别提工作了。
如果涉及一些通用代码，可以在DLL里写一些内部函数，供自己的代码使用，而不是把所有代码都开放成接口，这样它自己本身都难调用了，更不可能发挥作用。
DLL木马的标准执行入口为DllMain，所以必须在DllMain里写好DLL木马运行的代码，或者指向DLL木马的执行模块。
2.动态嵌入技术
Windows中，每个进程都有自己的私有内存空间，别的进程是不允许对这个私人领地进行操作的，但是，实际上我们仍然可以利用种种方法进入并操作进程的私有内存，这就是动态嵌入，它是将自己的代码嵌入正在运行的进程中的技术。动态嵌入有很多种，最常见的是钩子、API以及远程线程技术，现在的大多数DLL木马都采用远程线程技术把自己挂在一个正常系统进程中。其实动态嵌入并不少见，罗技的MouseWare驱动就挂着每一个系统进程-_-
远程线程技术就是通过在另一个进程中创建远程线程（RemoteThread）的方法进入那个进程的内存地址空间。在DLL木马的范畴里，这个技术也叫做“注入”，当载体在那个被注入的进程里创建了远程线程并命令它加载DLL时，木马就挂上去执行了，没有新进程产生，要想让木马停止惟有让挂接这个木马DLL的进程退出运行。但是，很多时候我们只能束手无策――它和Explorer.exe挂在一起了，你确定要关闭Windows吗？
3.木马的启动
有人也许会迫不及待的说，直接把这个DLL加入系统启动项目不就可以了。答案是NO，前面说过，DLL不能独立运行，所以无法在启动项目里直接启动它。要想让木马跑起来，就需要一个EXE使用动态嵌入技术让DLL搭上其他正常进程的车，让被嵌入的进程调用这个DLL的DllMain函数，激发木马运行，最后启动木马的EXE结束运行，木马启动完毕。
启动DLL木马的EXE是个重要角色，它被称为Loader，如果没有Loader，DLL木马就是破烂一堆，因此，一个算得上成熟的DLL木马会想办法保护它的Loader不会那么容易被毁灭。记得狼狈为奸的故事吗？DLL木马就是爬在狼Loader上的狈。
Loader可以是多种多样的，Windows的rundll32.exe也被一些DLL木马用来做了Loader，这种木马一般不带动态嵌入技术，它直接挂着rundll32进程运行，用rundll32的方法（rundll32.exe [DLL名],[函数] [参数]）像调用API一样去引用这个DLL的启动函数激发木马模块开始执行，即使你杀了rundll32，木马本体还是在的，一个最常见的例子就是3721中文实名，虽然它不是木马。
注册表的AppInit_DLLs键也被一些木马用来启动自己，如求职信病毒。利用注册表启动，就是让系统执行DllMain来达到启动木马的目的。因为它是kernel调入的，对这个DLL的稳定性有很大要求，稍有错误就会导致系统崩溃，所以很少看到这种木马。
有一些更复杂点的DLL木马通过svchost.exe启动，这种DLL木马必须写成NT-Service，入口函数是ServiceMain，一般很少见，但是这种木马的隐蔽性也不错，而且Loader有保障。
4.其它
到这里大家也应该对DLL木马有个了解了，是不是很想写一个？别急，不知道大家想过没有，既然DLL木马这么好，为什么到现在能找到的DLL木马寥寥无几？现在让我来泼冷水，最重要的原因只有一个：由于DLL木马挂着系统进程运行，如果它本身写得不好，例如没有防止运行错误的代码或者没有严格规范用户的输入，DLL就会出错崩溃。别紧张，一般的EXE也是这样完蛋的，但是DLL崩溃会导致它挂着的程序跟着遭殃，别忘记它挂接的是系统进程哦，结局就是……惨不忍睹。所以写一个能公布的DLL木马，在排错检查方面做的工作要比一般的EXE木马多，写得多了自己都烦躁……
六、DLL木马的发现和查杀
经常看看启动项有没有多出莫名其妙的项目，这是Loader的所在，只要杀了狼，狈就不能再狂了。而DLL木马本体比较难发现，需要你有一定编程知识和分析能力，在Loader里查找DLL名称，或者从进程里看多挂接了什么陌生的DLL，可是对新手来说……总之就是比较难啊比较难，所以，最简单的方法：杀毒软件和防火墙（不是万能药，切忌长期服用）。
篇7：知已知彼 教你木马防身术WEB安全
木马程序是由服务器端和客户端器程序共同组成，当目标电脑运行服务器端程序后就会定时将目标用户信息发送到指定的地址，并偷偷开设后门为客户端程序放行，使 能够随意控制目标电脑。了解木马的主要传播手段，做好预防工作，做到知已知彼才能将木马程序最大程度地拒之门外。
文件捆绑
文件捆绑是指将木马程序与其它程序或文件捆绑在一起，比较低级的方式是采用压缩包的形式，而高级一点的方式则会使用专门的捆绑软件将两个文件合二为一。当用户运行了寄生程序或文件时在表面上看来一切正常，但木马程序已经神不知鬼不觉地悄悄运行并入驻到系统中了。
预防措施：不要从非正规网站下载文件，不要轻易接受从QQ等程序中传输的文件，尤其是EXE格式的可执行文件，一定要养成先使用最新的杀毒软件对文件进行扫描后再运行的好习惯。
文件伪装
为了掩人耳目，木马程序通常会将自己的程序图标、文件名等信息更改成其它程序的样子，
比如将图标更换成文件夹图标，在文件名中添加后缀名等来欺骗用户运行。
预防措施：无论木马如何伪装自己的图标和文件名，它的后缀名必须是一个可执行扩展名才能运行，比如EXE、COM、BAT等。在“我的电脑/工具/文件夹选项/查看”对话框中，去掉“隐藏已知文件类型的扩展名”选项前的钩，点击“确定”按钮，任何伪装文件都会露出“马脚”。
网页木马
将木马程序嵌入到网页中，当用户在浏览网页时，网页木马就会利用系统以及一些程序的漏洞将服务端程序悄悄安装到系统中。例如以前很知名的网页图片木马，就是利用IE浏览器自身的漏洞进行传播的。
预防措施：不要随意浏览非正规网站，不要随意点击网页中的弹出窗口链接。及时更新系统补丁以及安装最新的杀毒软件进行网页监控等，都可以有效地避免网页木马的侵袭。
木马程序林林总总，要达到最好的防范效果，还是应该从自身入手，养成良好的使用电脑和上网的习惯，才能以不变应万变，拒木马于千里之外。
篇8：拒绝网络 如何防御Sniffer攻击WEB安全
1、怎样发现 Sniffer
Sniffer最大的危险性就是它很难被发现，在单机情况下发现一个Sniffer还是比较容易的，可以通过查看计算机上当前正在运行的所有程序来实现，当然这不一定可靠，
在UNIX系统下可以使用下面的命令:ps-aux。这个命令列出当前的所有进程、启动这些进程的用户、它们占用CPU的时间以及占用多少内存等等。在Windoos系统下，可以按下Ctrl+Alt+Del键，查看任务列表。不过，编程技巧高的Sniffer即使正在运行，也不会出现在这里。
另一个方法就是在系统中搜索，查找可怀疑的文件。但人侵者用的可能是他们自己写的程序，所以这给发现Sniffer造成相当大的困难。还有许多工具能用来查看你的系统会不会处于混杂模式，从而发现是否有一个Sniffer正在运行。 但在网络情况下要检测出哪一台主机正在运行Sniffer是非常困难的，因为Sniffer是一种被动攻击软件，它并不对任何主机发出数据包，而只是静静地运行着，等待着要捕获的数据包经过。2、抵御 Sniffer
虽然发现一个Sniffer是非常困难的，但是我们仍然有办法抵御Sniffer的嗅探攻击。既然Sniffer要捕获我们的机密信息，那我们干脆就让它捕获，但事先要对这些信息进行加密， 即使捕捉到了我们的机密信息，也无法解密，这样，Sniffer就失去了作用。
主要用Sniffer来捕获Telnet、FTP、POP3等数据包，因为这些协议以明文在网上传输，我们可以使用一种叫做SSH的安全协议来替代Telnet等容易被Sniffer攻击的协议。
SSH又叫Secure Shell，它是一个在应用程序中提供安全通信的协议，建立在客户/服务器模型上。SSH服务器分配的端口是22，连接是通过使用一种来自RSA的算法建立的。在授权完成后，接下来的通信数据用IDEA技术来加密。这种加密方法通常是比较强的，适合于任何非秘密和非经典的通信。
SSH后来发展成为F-SSH，提供了高层次的、军方级别的对通信过程的加密。它为通过TCP/IP的网络通信提供了通用的最强的加密。如果某个站点使用F―SSH，用户名和口令就不再重要了。目前，还没有人突破过这种加密方法。即使是Sniffer，收集到的信息将不再有价值。有兴趣的读者可以参看与SSH相关的书籍。
另一种抵御Sniffer攻击的方法是使用安全的拓扑结构。因为Sniffer只对以太网、令牌环网等网络起作用，所以尽量使用交换设备的网络可以从最大程度上防止被Sniffer 到不属于自己的数据包。还有一个原则用于防止Snther的被动攻击 一个网络段必须有足够的理由才能信任另一网络段。网络段应该从考虑具体的数据之间的信任关系上来设计，而不是从硬件需要上设计。一个网络段仅由能互相信任的计算机组成。通常它们在同一个房间里，或在同一个办公室里，应该固定在建筑的某一部分。注意每台机器是通过硬连接线接到集线器(Hub)的，集线器再接到交换机上。由于网络分段了，数据包只能在这个网段上被捕获，其余的网段将不可能被监听，
所有的问题都归结到信任上面。计算机为了和其他计算机进行通信，它就必须信任那台计算机。系统管理员的工作就是决定一个方法，使得计算机之间的信任关系很小。这样，就建立了一种框架，告诉你什么时候放置了一个Sniffer，它放在哪里，是谁放的等等。
如果局域网要和Internet相连，仅仅使用防火墙是不够的。人侵者已经能从一个防火墙后面扫描，并探测正在运行的服务。应该关心的是一旦人侵者进人系统，他能得到些什么。你必须考虑一条这样的路径，即信任关系有多长。举个例子，假设你的Web服务器对计算机A是信任的，那么有多少计算机是A信任的呢?又有多少计算机是受这些计算机信任的呢?一句话，就是确定最小信任关系的那台计算机。在信任关系中，这台计算机之前的任何一台计算机都可能对你的计算机进行攻击并成功。你的任务就是保证一旦出现Sniffer，它只对最小范围有效。
Sniffr往往是在攻击者侵人系统后使用的，用来收集有用的信息。因此，防止系统被突破很关键。系统安全管理员要定期的对所管理的网络进行安全测试，防止安全隐患。同时要控制拥有相当权限的用户的数量，因为许多攻击往往来自网络内部。
3、防止 Sniffer的工具 Antisnff
Antisniff是由著名 组织(现在是安全公司了)L0pht开发的工具，用于检测本地网络是否有机器处于混杂模式(即监听模式)。
一台处于混杂模式的机器意味着它很可能已被入侵并被安装了Sniffer。对于网络管理员来说，了解哪台机器正处于混杂模式以作进一步的调查研究是非常重要的。
Antisniff 1.X版运行在以太网的WindOWS NT系统中，并提供了简单易用的用户图形界面。该工具以多种方式测试远程系统是否正在捕捉和分析那些并不是发送给它的数据包。这些测试方法与其操作系统本身无关。
Antisniff运行在本地以太网的一个网段上。如果在非交换式的C类网络中运行，Antisniff能监听整个网络;如果网络交换机按照工作组来隔离，则每个工作组中都需要运行一个Antisniff。原因是某些特殊的测试使用了无效的以太网地址，另外某些测试需要进行混杂模式下的统计(如响应时间、包丢失率等)。
Antisniff的用法非常简便，在工具的图形界面中选择需要进行检查的机器，并且指定检查频率。对于除网络响应时间检查外的测试，每一台机器会返回一个确定的正值或负值。返回的正值表示该机器正处于混杂模式，这就有可能已经被安装了Sniffer。
对于网络响应时间测试的返回值，建议根据第一次返回的数值计算标准值，然后再对在flood和非flood两次测试时返回的结果有较大变化的机器进行检查。一旦这些机器退出混杂模式返回到正常操作模式下，Antisniff的下一次测试将会记录到混杂模式和非混杂模式的差值(正值)。
应该周期性地运行Antisniff，具体周期值根据不同的站点、不同的网络负荷、测试的机器数量和网站策略等而有所不同。
篇9：网站被黑中毒WebShell木马的解决方案WEB安全
收到客户的反馈，说运行了一年的网站突然遭到 的攻击，系统cpu一直保持在100%，有进程也干不掉，然后客户就进行杀毒了，然后就把所有的exe文件都杀了，然后系统也就很多功能不正常了，数据库的服务也干掉了，然后我去看了下，发现网站目录下面被上传了大量的asp、php，htm的页面，里面的目录也有 上传了自己的目录，浏览哪些defalut.asp等方面的页面，就是 植入的页面，那要是被用户看见了，那真是一炮走红啊， 还很牛B的留下了脚印，果断写了自己的大名，在这种情况下，意识到这是中了WebShell木马，我立刻关闭了网站，然后来找解决方案，
一、什么是WebShell木马？
WebShell通常是以asp、php、jsp、asa或者cgi等网页文件形式存在的—种命令执行环境，也可以称为—种网页后门。 在入侵网站后，通常会将WebShell后门文件与网站服务器WEB目录下正常的网页文件混在—起，然后就可以使用浏览器来访问这些后门，得到命令执行环境，以达到控制网站或者WEB系统服务器的目的。这样就可以上传下载文件、查看数据库、执行任意程序命令等。
二、WebShell是如何入侵系统的？
1）利用系统前台的上传业务，上传WebShell脚本，上传的目录往往具有可执行的权限。在web中有上传图像、上传资料文件的地方，上传完后通常会向客户端返回上传的文件的完整URL信息，有时候不反馈，我们也可以猜到常见的image、upload等目录下面，如果Web对网站存取权限或者文件夹目录权限控制不严，就可能被利用进行webshell攻击，攻击者可以利用上传功能上传一个脚本文件，然后在通过url访问这个脚本，脚本就被执行。然后就会导致 可以上传webshell到网站的任意目录中，从而拿到网站的管理员控制权限。
2）客户获取管理员的后台密码，登陆到后台系统，利用后台的管理工具向配置文件写入WebShell木马，或者 私自添加上传类型，允许脚本程序类似asp、php的格式的文件上传，
3）利用数据库备份与恢复功能获取webshell。如备份时候把备份文件的后缀改成asp。或者后台有mysql数据查询功能， 可以通过执行select..in To outfile 查询输出php文件，然后通过把代码插入到mysql，从而导致生成了webshell的木马。
4）系统其他站点被攻击，或者服务器上还搭载了ftp服务器，ftp服务器被攻击了，然后被注入了webshell的木马，然后网站系统也被感染了。
5） 直接攻击Web服务器系统，Web服务器在系统层面也可能存在漏洞，如果 利用其漏洞攻击了服务器系统，那么 获取了其权限，则可以在web服务器目录里上传webshell文件。
三、WebShell能够肆虐的重要原因是什么？
1）WebShell能够被注入很大程度是由于win2003 IIS6.0的环境下造成的。在IIS6.0环境下，我们上传一个test.asp;.jpg的shell文件，发现在上传的时候，能够成功上传，因为监测为jpg的图片文件，但是在iis6.0解析的时候却当成了asp的动态网页文件被执行。因此我们知道webshell木马常见的特征：x.asp;.png,x.php;.txt...
2）WebShell的恶意脚本是和正常的网页文件混在一起的，同时被 控制的服务器和远处主机都是通过80端口来传递数据的，不会被防火墙拦截，一般也不会在系统日志中留下记录，，具有极强的隐蔽性，一般不容易被查杀。
四、如何防止系统被植入WebShell?
1）web服务器方面，开启防火墙，杀毒软件等，关闭远程桌面这些功能，定期更新服务器补丁和杀毒软件。
2）加强管理员的安全意识，在服务器上不浏览不安全网站，定期修改密码，同时对服务器上的ftp类似的也要加强安全管理，防止被系统的木马感染。
3）加强权限管理，对敏感目录进行权限设置，限制上传目录的脚本执行权限，不允许执行脚本。建议用IIS6.0以上版本，同时不要用默认80端口。
4）程序修补漏洞，程序要优化上传x.asp;.png这样类似的文件。
文档为doc格式
