博客园-NOD32无泪之城(SevenEleven)

本人开始提供NOD32 相关升级及咨询服务

^鬼才^ — Tue, 04 Jan 2005 03:52:00 GMT

本次更新是新年的第一次更新，也在此谢谢大家关注本网站！！！

祝大家在新的一年里工作顺利，学业有成，万事如意，身体健康！！！

http://www.yhinc.net/nod32up/

http://nod32.koleso-auto.ru/updates/

update-update-setup-servers-(new servers)add-ok-ok-ok

更新-更新-设定-位置-服务器-新增-新服务器( http://www.yhinc.net/nod32up/)-确定-确定

服务器以同步升级为

NOD32升级版本：
NOD32 version 2 Operating system：for Windows NT/2000/2003/XP
Product type：administrator
Language ：English 、Chinese

NOD32 (English 、Chinese)安装文件下载

NOD32 version 2 - English for

Operating system: Windows NT/2000/2003/XP
Product type:     administrator
Language:         English
Version:          2.12.3
File size:        7.90 MB

DOWNLOAD1
DOWNLOAD2

NOD32 version 2 - Chinese for

操作系统: Windows NT/2000/2003/XP
产品类型: administrator
语言: Chinese
版本: 2.12.3
文件尺寸: 7.95 MB

DOWNLOAD

PS:

搜索关键字：
nod32升级id nod32注册机 nod32中文企业版 nod32注册码 nod32注册

[新闻]金山:360的免费杀毒只能是短期行为

IIS与SQL服务器安全加固

^鬼才^ — Tue, 23 Nov 2004 17:50:00 GMT

摘要: IIS Web服务器安全加固步骤：步骤注意：安装和配置 WindowsServer2003。 1. 将\System32\cmd.exe转移到其他目录或更名； 2. 系统帐号尽量少，更改默认帐户名（如Administrator）和描述，密码尽量复杂； 3. 拒绝通过网络访问该计算机（匿名登录；内置管理员帐户；Support_388945a0；Guest；所有非操作系统服务帐户） 4. 阅读全文

[新闻]江民科技回应杀毒软件免费说没病不能乱吃药

打造安全的Windows 2003系统

^鬼才^ — Tue, 16 Nov 2004 19:13:00 GMT

　　前言：

　　2003年5月22日，微软的新一代操作系统Windows Server 2003中文版开始在国内发行。从Windows95一路用到现在，笔者觉得微软在安全方面做的还算是说的过去的，虽然说漏洞很多。2003总体感觉上安全做的还不错，交互式登录、网络身份验证、基于对象的访问控制、比较完整的安全策略、数据加密保护……笔者这里要谈的是如何通过安全的配置，使Windows Server 2003安全性大大加强。

　　一、安装过程中的安全问题

　　1．NTFS系统。

　　老生长谈的话题了。NTFS系统为一种高级的文件系统，提供了性能、安全、可靠性以及未在任何FAT格式版本中提供的高级功能，通过它可以实现任意文件及文件夹的加密和权限设置（这是最直观的安全设置了），磁盘配额和压缩等高级功能。通过它，你还可以更好的利用磁盘空间，提高系统运行速度……自WindowsNT系统以来，使用NTFS系统已经逐渐成了一种共识。为了体验NTFS系统带来的这些免费的优惠，笔者特意把硬盘所有分区都转成了NTFS系统。如果你在安装时不选用NTFS系统，那么后面的很多安全配置如用户权限设置等你将都不能实现。

　　2．安装过程中有关安全的提示。

　　在安装过程中需要输入Administrator密码，新的Windows Server 2003提供了一个比较成熟的密码规则，当你输入的密码不符合规则时，就会以图片形式出现如下提示（由于安装未完成，不能抓图，请谅解。内容已经抄下来了）：

　　您已经指定的管理员帐户的密码不符合密码的条件，建议使用的密码应符合下列条件之中的前二个及至少三个：

　　- 至少6个字符
　　- 不包含"Administrator"或"Admin"
　　- 包含大写字母（A、B、C等等）
　　- 包含小写字母（a、b、c等等）
　　- 包含数字（0、1、2等等）
　　- 包含非字母数字字符（#、&、~等等）
　　您确定要继续使用当前密码吗？

　　之所以说是“比较成熟”的密码规则，因为就算你的密码设置不符合此规则也能照样顺利进行下一步安装，这就为以后的系统安全埋下了隐患。但总的来说，有了这一规则就已经很不错了，以前的版本没有，就出现了N多空密码的很快沦为肉鸡的机器。相信有了这一提示后，可以在很大程度上减小这种现象。

　　3．在完全配置完成后不要把机器接到网络中（包括局域网），因为这时候你满的漏洞的机器随时等候别人的“照顾”，只要有人连接上来，就是Admin权限。这一点相信了解安全的朋友都知道。

　　在整个安装过程中需要注意的基本就这么多了。另外，不知道大家有没有注意到，按默认安装后，系统根目录下多出来一个0字节的wmpub文件夹，里面又有一个0字节的wmiislog文件夹。后来发现有一个不明程序在使用这个wmiislog文件夹，但到底是什么程序，有什么用途用还不清楚，不知道是否和安全有关，能否被利用。请知道的朋友告知一声。

　二、初级安全配置

　　1．关闭默认的磁盘共享，修改组或用户对磁盘的控制权限。

　　安装完成后，默认是共享了所有硬盘分区的，还包括提供远程IPC和远程管理的两个共享：IPC$和ADMIN$，这就为以后的系统安全埋下了隐患，图1。解决这个问题有很多办法，这里介绍一种简单可行的解决方案。从“计算机管理”里打开“服务”（或者在运行里键入Services.msc回车），在里面找到Server服务，双击打开其属性，并设置为“禁用”即可，图2。Server服务是系统默认的和共享有关的服务，支持计算机通过网络的文件、打印和命名管道共享，禁用此服务后，一切基于此服务的其他服务也同时被禁止，包括Computer Browser和Distributed File Sysetm两个服务。前一个服务是Windows Server 2003的新服务，利用它可以把分散的共享合并成一个逻辑名称空间并在网络上管理这些逻辑卷，这能大大方便用户使用和管理那些分散的共享。后一个服务用来维护网络上计算机的更新列表，并将列表提供给计算机指定浏览，如果停止此服务，则列表就不会被更新或维护。当禁用Server服务后，这两个服务就不能使用。

图 1

图 2

　　另外，默认Everyone组用户对所有共享拥有完全的控制权，这也是非常危险的，任何人只要访问共享，就可以完全控制此共享，这当然是不符合安全要求的，图3。解决的办法也很简单，修改共享的安全属性，删除Everyone组或修改其访问权限即可。首先在共享上点右键打开其属性，在“安全”标签里可以看到此时可以访问此共享的组或用户情况，图3，下面的框显示的是被选中组或用户所拥有的权限。这里可以看到Everyone组拥有完全控制权。现在我们可以根据自己的实际情况来配置里面的组或用户拥有的权限。如果继续允许Everyone组用户访问，则必须从新设置其访问权限，只需要把“允许”里的权限后面的方框里的钩去掉即可。如果要删除Everyone组，则单击“删除”即可。如果需要新添加用户或组，使其也可以访问此共享，单击“高级”按钮进入高级安全设置，如图4。再单击“添加”进入用户选择，单击“高级”，选择“立即查找”就可以找到此计算机上所有的用户和组，图5。这里以Users组为例介绍。首先找到并选中Users组，单击“确定”进入权限设置，图6，这里就可以为Users组用户选择共享的权限，完了确定即可。这时候，Users组用户也可以访问此共享，并且拥有为其设置好的权限。

图 3

图 4

图 5

图 6

　　2．修改组或用户的访问权限，达到需要的安全要求。

　　由于在安装时使用了NTFS系统，我们可以对任何文件及文件夹进行权限设置，使得各组和用户对某一文件或文件夹的控制权不同。通过这样的配置就能达到一定的安全要求。这里以Tools文件夹为例介绍如何具体配置其安全属性。首先点右键打开其属性，选择“安全”标签，可以看到目前可访问此文件夹的所有用户，图7。作为系统管理员，当然是拥有完全控制的权限了，但其他用户或组就不一定要为其分配这么高的权限，这不符合安全配置的原则，所以就得修改。仍以Users组为例介绍。单击“添加”选择用户和组，图8，单击“高级”，再单击“立即查找”即可找到当前计算机的所有用户和组，图5。选择Users组后确定。可以看到此时能访问该文件夹的用户个组除了原来的Administrator还多了一个Users组用户，图9。这里默认权限为读取和运行、列出文件夹目录和读取。根据不同的安全要求可以为新加的Users组用户配置其权限。当然你也可以直接按“删除”把你想要删除的用户或组从列表中删除，这样他就不在有访问此文件夹的权限。

图 7

图 8

图 9

　　需要注意的几点：

　　* 此权限设置是基于NTFS系统的，FAT格式的磁盘不能进行权限设置。
　　* 对某一文件的安全配置和对文件夹的安全配置完全一样，从文件的属性里配置就行了。
　　* 如果完全删除了某一文件或文件夹的所有用户或组，会出现图10的提示，如果确定，此文件或文件夹就不可访问，无论你的身份有多高，图11。只有以Admin身份登录，从新配置其安全属性，为其添加新的用户或组。

图 10

图 11

　　可以看出，通过对文件或文件夹的安全配置，即可达到对任意文件或文件夹的访问权限控制，从而满足不同的安全需求。
　　3．利用加密文件系统（EFS），加密文件或文件夹。

　　Windows Server 2003支持利用EFS技术对任意文件或文件夹进行加密，这是一种核心的文件加密技术，基于NTFS系统，只有NTFS系统的磁盘才能使用此技术。加密后的文件或文件夹就不可被除此用户以外的任何用户访问，而无论你的身份有多高。这样就能更好的保护自己的敏感数据和重要文件。下面以Tools文件夹加密为例介绍。首先右键打开其属性，在“常规”标签里“选择“高级”选项进入高级属性，图12，将“加密内容以便保护数据”框选中并确认，图13。确定后会出现图14所示的选项。如果选择上面一项，则只加密此文件夹，其他用户虽然不能直接访问此文件夹，但可以通过其他途径如直接键入完整路径来访问里面的内容；如果选择下面一项，则此文件夹内所有的文件和文件夹都将被加密。

图 12

图 13

图 14

　　使用加密文件系统需要注意以下几点：

　　* 只有在NTFS系统上才支持数据加密，如果被加密的数据被移动到FAT格式的磁盘上，则会自动解密。
　　* 将非加密的数据移动到已加密的文件夹中，则会被自动加密，而且此过程是不可逆的，即把已加密的文件夹中数据移动到此文件夹外，数据不会自动解密。
　　* 无法加密系统文件、已被压缩过的数据和Systemroot文件夹（即安装目录的Windows文件夹）。
　　* 加密数据不能防止被删除或列出目录，具有访问权限的组或用户即可删除或列出已加密数据的目录。所以应结合组或用户权限设置，进一步保护好数据安全。
　　4．通过“软件限制策略”限制任意程序的使用。

　　在计算机的日常使用中，我们总是需要限制某些用户执行所有或部分程序，通过设置合理的规则可以锁定系统所有或部分程序的运行。另一方面，随着网络、Internet以及电子邮件在日常生活中的使用日益增多，越来越多的病毒和木马会故意进行伪装来欺骗我们运行它们。而要做出安全的选择来确定某个程序是否安全是非常困难的。“软件限制策略”控制未知或不信任的软件的运行需求，从而从一定程度上达到预防病毒和木马的功效，为营造一个安全的环境提供了条件。接下来，笔者就介绍一下如何设置“软件限制策略”。

　　从“管理工具”里打开“本地安全设置”，在左侧的窗口里，可以看见“软件限制策略”，打开后里面包含两个选项：“安全级别”和“其他规则”，图15。

图 15

　　在“安全级别”里，如果选择了“不允许的”作为默认项，会出现一个提示框，图16，确定后，系统会按新的规则将所有的可执行程序设置为禁用，当试图打开程序时会提示错误，图17。这就达到了锁定所有程序的目的。解锁的办法当然就是还原“不受限的”为默认项了。

图 16

图 17

　　在“其他规则”里，可以定义四种规则来满足不同的需求：证书规则、哈希规则、Internet区域规则、路径规则。这里以“路径规则”来介绍，其他的用法和作用都基本一样。首先在“其他规则”上点右键，选择“新建路径规则”，图18。点“浏览”选好具体的文件夹，在安全级别里选择“不允许的”，然后确定。这样就达到了对所选的文件夹内所有程序锁定的目的。此时如果继续运行此文件夹内的任何程序都回提示错误，图19。同样在这里可以选择某个具体的程序来锁定。

图 18

图 19

　　介绍了基本的使用方法，但这并不能满足所有的安全需求。有的时候，我们需要只能运行个别程序，硬盘上其他所有的程序都不能运行。如何达到这个目的呢？首先在“安全级别”里把“不允许的”设置为默认，再到“其他规则”里设置想运行的程序路径，并设置安全级别为“不受限的”。这样，除了新规则规定的程序以外，其他一切程序都不能运行。那么如何利用此规则做好病毒和木马的防御工作呢？我们可以在“其他规则”里设置新规则，路径指向邮件附件保存的路径，然后把安全级别设置为“不允许的”即可。

　　另外，“软件限制策略”和权限没有关系，如果限制了某个程序不能执行，无论你以何身份身份来运行都会提示不能运行。经过处理后的程序对远程登录的用户一样适用。虽然设置适当的安全规则可以从一定程度上防御病毒和木马的袭击，但切不可把“软件限制策略”当成防病毒软件来使用，这只是缓兵之计。

[新闻]WCG2008中国区总决赛打响

让虚拟主机免受FSO威胁(转)

^鬼才^ — Sun, 14 Nov 2004 09:44:00 GMT

现在绝大多数的虚拟主机都禁用了 ASP 的标准组件：FileSystemObject，因为这个组件为 ASP 提供了强大的文件系统访问能力，可以对服务器硬盘上的任何文件进行读、写、复制、删除、改名等操作（当然，这是指在使用默认设置的Windows NT / 2000 下才能做到）。但是禁止此组件后，引起的后果就是所有利用这个组件的 ASP 将无法运行，无法满足客户的需求。

   如何既允许FileSystemObject组件，又不影响服务器的安全性（即：不同虚拟主机用户之间不能使用该组件读写别人的文件）呢？这里介绍本人在实验中获得的一种方法。（下文以 Windows 2000 Server 为例来说明）

   在服务器上打开资源管理器，用鼠标右键点击各个硬盘分区或卷的盘符，在弹出菜单中选择“属性”，选择“安全”选项卡，此时就可以看到有哪些帐号可以访问这个分区（卷）及访问权限。默认安装后，出现的是“Everyone”具有完全控制的权限。点“添加”，将“Administrators”、“Backup Operators”、“Power Users”、“Users”等几个组添加进去，并给予“完全控制”或相应的权限，注意，不要给“Guests”组、“IUSR_机器名”这几个帐号任何权限。然后将“Everyone”组从列表中删除，这样，就只有授权的组和用户才能访问此硬盘分区了，而 ASP 执行时，是以“IUSR_机器名”的身份访问硬盘的，这里没给该用户帐号权限，ASP也就不能读写硬盘上的文件了。

   下面要做的就是给每个虚拟主机用户设置一个单独的用户帐号，然后再给每个帐号分配一个允许其完全控制的目录。

   如下图所示，打开“计算机管理”→“本地用户和组”→“用户”，在右栏中点击鼠标右键，在弹出的菜单中选择“新用户”：

在弹出的“新用户”对话框中根据实际需要输入“用户名”、“全名”、“描述”、“密码”、“确认密码”，并将“用户下次登录时须更改密码”前的对号去掉，选中“用户不能更改密码”和“密码永不过期”。本例是给第一虚拟主机的用户建立一个匿名访问Internet信息服务的内置帐号"IUSR_VHOST1"，即：所有客户端使用http://xxx.xxx.xxxx/ 访问此虚拟主机时，都是以这个身份来访问的。输入完成后点“创建”即可。可以根据实际需要，创建多个用户，创建完毕后点“关闭”。

现在新建立的用户已经出现在帐号列表中了，在列表中双击该帐号，以便进一步进行设置：

在弹出的“IUSR_VHOST1”（即刚才创建的新帐号）属性对话框中点“隶属于”选项卡：

刚建立的帐号默认是属于“Users”组，选中该组，点“删除”。

现在出现的是如下图所示，此时再点“添加”:

在弹出的“选择组”对话框中找到“Guests”，点“添加”，此组就会出现在下方的文本框中，然后点“确定”：

出现的就是如下图所示的内容，点“确定”关闭此对话框：

打开“Internet信息服务”，开始对虚拟主机进行设置，本例中的以对“第一虚拟主机”设置为例进行说明，右击该主机名，在弹出的菜单中选择“属性”：

弹出一个“第一虚拟主机属性”的对话框，从对话框中可以看到该虚拟主机用户的使用的是“F:\VHOST1”这个文件夹：

暂时先不管刚才的“第一虚拟主机属性”对话框，切换到“资源管理器”，找到“F:\VHOST1”这个文件夹，右击，选“属性”→“安全”选项卡，此时可以看到该文件夹的默认安全设置是“Everyone”完全控制（视不同情况显示的内容不完全一样），首先将“允许将来自父系的可继承权限传播给该对象”前面的对号去掉：

此时会弹出如下图所示的“安全”警告，点“删除”：

此时安全选项卡中的所有组和用户都将被清空（如果没有清空，请使用“删除”将其清空），然后点“添加”按钮。

将如图中所示的“Administrator”及在前面所创建的新帐号“IUSR_VHOST1”添加进来，将给予完全控制的权限，还可以根据实际需要添加其他组或用户，但一定不要将“Guests”组、“IUSR_机器名”这些匿名访问的帐号添加上去。

再切换到前面打开的"第一虚拟主机属性"的对话框，打开"目录安全性"选项卡，点匿名访问和验证控制的"编辑"：

在弹出的"验证方法"对方框（如下图所示），点"编辑"：

弹出了"匿名用户帐号"，默认的就是"IUSR_机器名"，点"浏览"：

在"选择用户"对话框中找到前面创建的新帐号"IUSR_VHOST1"，双击：

此时匿名用户名就改过来了，在密码框中输入前面创建时，为该帐号设置的密码：

再确定一遍密码：

   OK，完成了，点确定关闭这些对话框。

   经此设置后，"第一虚拟主机"的用户，使用 ASP 的 FileSystemObject 组件也只能访问自己的目录：F:\VHOST1 下的内容，当试图访问其他内容时，会出现诸如"没有权限"、"硬盘未准备好"、"500 服务器内部错误"等出错提示了。

   另：如果该用户需要读取硬盘的分区容量及硬盘的序列号，那这样的设置将使其无法读取。如果要允许其读取这些和整个分区有关的内容，请右键点击该硬盘的分区（卷），选择"属性"→"安全"，将这个用户的帐号添加到列表中，并至少给予"读取"权限。由于该卷下的子目录都已经设置为"禁止将来自父系的可继承权限传播给该对象"，所以不会影响下面的子目录的权限设置。

以前也写过一篇这方面的文章，没有这么详细，还有图片，这些使用于虚拟主机和多用户服务器安全设置

[新闻]新型的编程语言:eC

IIS和用户环境的安全问题

^鬼才^ — Sat, 13 Nov 2004 17:48:00 GMT

记得一位资深的安全人士曾经说过，从Windows 2000 Server开始，本身的系统漏洞和网络漏洞已经不是那么多了，甚至可以说Windows本身安全系数已经超越了LINUX系统本身，（这里我只是引用语句，希望不会引发Windows和LINUX向来的争论）但由于Windows周边产品漏洞和不安全因数太多，尤其是IIS服务。才导致人人说它不安全。

由于系统的安全问题实在是太过于庞大，所分的体系也非常多，不可能面面具到，所以我根据个人经验说几个和虚拟主机密切相关的安全问题，但由于这些问题要想得到彻底的解决说明的话，那需要太多的篇幅，这里我也只能指出这些问题，和解决这些问题的思路。

支持ASP系统的IIS安全问题：

在支持ASP的IIS系统中，主要问题有两个，一个是由于ASP页面的输入框引起的安全攻击。在ASP页面中，我们经常可以看见输入框，如登录帐号、密码、查询、手机等等..这些控件其实是很危险的，因为这些控件的后台往往是连接着数据库，（SQL、Oracle等）有经验的程序员可以通过这些输入框输入数据库命令，在通过系统本身的数据库执行后，得到数据库帐号和密码。那也意味着离得到SYSTEM或Administrator帐号不远了。所以，一般在做ASP页面时，我们在有这些输入框的窗口上都做一些限制，如最多只能输入多少个字符、哪些特殊字符不允许输入等等。但现在很少有网站能做到滴水不漏的，可能也是因为工作量太大的缘故吧：（第二个问题是FileSystemObject这个组件为 ASP 提供了对默认的Windows Server服务器硬盘上的任何文件进行读、写、复制、删除、改名等操作。权限实在是太大。也导致一些恶意虚拟主机租借用户利用这个ASP组件来攻击和控制系统。所以在不是必要的情况下，请不要启用它。太危险了。

基本系统设置安全问题：

一、端口设置。端口是计算机和外部网络相连的逻辑接口，也是计算机的第一道屏障，由于做虚拟主机的系统一般不需要开太多的端口，所以可以在网卡属性、Internet协议（TCP/IP）属性、高级、选项、TCP/IP筛选属性里进行添加。不过Windows Server TCP/IP筛选设置做的有点问题：只允许开哪些端口，不允许关哪些端口，郁闷吧。

二、IIS设置：首先，把C盘中的默认的IIS目录Inetpub彻底删掉，在Internet信息服务（IIS）管理器中将默认WEB网站给停止，从新建立你所需要的WEB发布站点，但注意，请把你要发布站点的目录建立在其他盘符，并不要给其命名一些相对简单或容易猜中的名字，如WEB、IIS、Inetpub等。其次，在Internet信息服务（IIS）管理器中删除在你虚拟主机上不想用到的文件名映射，如，你的系统只需要支持ASP和HTML的话，那只要保留这个两个文件名映射就可以了，其他的都可以删除，步骤为在Internet信息服务（IIS）管理器中右击主机、属性、WWW服务、编辑、主目录配置、应用程序映射，然后就开始一个个删吧。最后在的应用程序调试书签内将脚本错误消息改为发送文本就基本可以了。

三、预防DoS： DOS：即Denial Of Service，拒绝服务的缩写，原理就是生产出大量的数据包让服务器不停的处理，导致服务器不能对其他的数据产生响应。在注册表HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters中更改以下值可以帮助你防御一定强度的DoS攻击 SynAttackProtect REG_DWORD 2 EnablePMTUDiscovery REG_DWORD 0 NoNameReleaseOnDemand REG_DWORD 1 EnableDeadGWDetect REG_DWORD 0 KeepAliveTime REG_DWORD 300,000 PerFORMRouterDiscovery REG_DWORD 0 EnableICMPRedirects REG_DWORD 0

四、工作进程隔离：在虚拟主机上经常会出现由于某个用户WEB站点的应用程序出错，进入无限循环，导致服务器资源大量消耗，最终死机的情况，这个问题在以往的IIS中是很难解决的，有时还得借助第三方软件。

但现在，IIS 6.0 引入了工作进程隔离模式，该模式可以在隔离环境中运行所有的 Web 应用程序。当在工作进程隔离模式下运行 IIS 时，可以将应用程序配置成在单独的应用程序池中运行。每个应用程序池在逻辑上表示一个可配置的工作进程，并且链接到池中的应用程序。工作进程彼此独立运行；它们可能失败，但不会影响其他工作进程。应用程序池保护其中的应用程序免受支持其他应用程序池的工作进程的影响。这样，就可以避免应用程序相互影响。

在工作进程隔离模式下，超文本传输协议 (HTTP) 请求被直接路由到服务于已配置的应用程序的内核应用程序池队列。服务于应用程序池的工作进程会将请求直接从该队列中拉出，避免了进程切换的开销。为进一步保护 WWW 服务，IIS 6.0 会隔离关键的万维网发布服务组件，如 HTTP 协议堆栈和 WWW 服务管理和监控，避免其受到在工作进程中运行的第三方代码的影响。HTTP 协议堆栈接受 WWW 服务请求并将其排入队列。当工作进程处于不正常的状态并因此中断处理请求时，HTTP 协议堆栈会继续处理请求。同时，WWW 服务将检测不正常的工作进程并将其关闭。如果要求新工作进程为请求提供服务，WWW 服务会启动一个新工作进程以便从 HTTP 协议堆栈中获取队列中的请求。即使工作进程失败，WWW 服务仍会继续处理请求并保护用户免于丢失服务。打开 Internet信息服务（IIS）管理器，展开服务器，右键点击应用程序池，选择属性。就可以在弹出的对话框中根据自己的系统环境进行进程隔离设置了。

由于系统环境比较多样化，所以很难有一个设置的标准，所以具体的设置请参考Windows 2003的帮助。

五、查看事件查看器：作为一个网管就应该时时刻刻的观察服务器的安全性，而事件查看器可以反映系统80%的安全情况，这需要我们要养成每天分析事件查看器的习惯。一般情况是每天早晚各查看一次，并保留一个星期的日志。

当然关于安全的问题，这是一个永远也说不完的话题，希望本文能起到抛砖引玉的目的。谢谢！

1 类似 ../ 父路径的问题.IIS6　为提高安全性，默认设置是禁止使用父路径，所以你的程序会出错，解决方法也很简单，在IIS6的站点属性中选择“使用父路径”即可。

IIS6==>站点属性==>主目录==>配置==>选项==>启用父路径

这样就可以了，告诉你个详细的方法，在IIS6里点帮助（F1），然后搜索“父路径”，里面有详细的设置方式，你可以看看！我就是这么弄明白的

[新闻]新型的编程语言:eC

域名基础知识

^鬼才^ — Sat, 13 Nov 2004 17:31:00 GMT

什么是国际顶级域名

　　形如xxxxx.yyy的域名是国际顶级域名，其中xxxxx为英文字母、数字或减号的任意组合；yyy为国际通用域，一般有以下几种情况：

　　　　com：表示商业机构
　　　　net：表示网络服务机构
　　　　org：表示非营利性组织
　　　　gov：表示政府机构
　　　　edu：表示教育机构
　　　　mil：表示军事机构

　　例如：yhinc.net、canyoncn.com即为国际顶级域名。

　　国际顶级域名一般简称顶级域名。

　　科迈网提供顶级域名的动态解析服务。

什么是国内域名

　　形如xxxxx.yyy.zz的域名为国内域名。其中xxxxx和yyy的含义同上。zz为国家域，cn代表中国，uk代表英国......等等。例如：canyoncn.com.cn即为国内域名。

　　科迈网提供国内域名的动态解析服务。

什么是子域名、什么是二级域名

　　例如www.yhinc.net是yhinc.net的子域名，而yhinc.net又是net的子域名。

　　国际顶级域名的子域名叫做二级域名。例如www.yhinc.net和ftp.yhinc.net都是yhinc.net的二级域名。

　　科迈网提供免费的二级动态域名的申请及解析服务。您可以免费在科迈网申请一个形如username.yhinc.net的公网动态域名，长期免费使用。

什么是独立域名

　　独立域名是在科迈网站内部定义的，指除了科迈网域名及其子域名之外的所有其他域名。

　　科迈网提供所有独立域名的动态解析服务。

什么是域名注册、域名解析、什么是DNS

　　与域名相关的服务包含两项：域名注册和域名解析。域名必须先注册后，才能使用。没有注册的域名是无效的。域名注册必须先付费才能开通。在国际惯例上，域名注册不提供免费试用。科迈网提供域名注册服务，如果您想注册属于自己的域名，请点击域名注册。

　　一般来说，顶级域名（如*.com）、独立域名（如*.com.cn）等等需要付费注册才能使用。如果不想付费注册域名，可以用科迈网的二级域名（如*.canyoncn.net、*.yhinc.net）。科迈网的二级域名不需要注册费，在动态域名管理页面申请后，马上生效。

　　Internet上的计算机是通过IP地址来定位的，给出一个IP地址，就可以找到Internet上的某台主机。而因为IP地址难于记忆，又发明了域名来代替IP地址。但通过域名并不能直接找到要访问的主机，中间要加一个从域名查找IP地址的过程，这个过程就是域名解析。

　　域名注册后，注册商为域名提供免费的静态解析服务。一般的域名注册商不提供动态解析服务，如果需要用动态解析服务，需要向动态域名服务商（如科迈网）支付域名动态解析服务费。

　　负责将域名解析成为IP地址的服务器，叫做域名解析服务器，英文简称是DNS。Internet上所有的DNS通过域的层次关系连接在一起。

　　当Internet用户打开浏览器，输入一个网址的时候，比如http://www.canyoncn.com，用户的计算机并不知道www.canyoncn.com是哪一台主机，因此计算机向Internet的DNS发出查询请求，DNS将查询到的IP地址返回给用户的计算机，用户计算机就可以根据IP地址连接www.canyoncn.com主机，把网页取下来。

什么是动态域名
　　Internet上的域名解析一般是静态的，即一个域名所对应的IP地址是静态的，长期不变的。也就是说，如果要在Internet上搭建一个网站，需要有一个固定的IP地址。

　　动态域名的功能，就是实现固定域名到动态IP地址之间的解析。用户每次上网得到新的IP地址之后，安装在用户计算机里的动态域名软件就会把这个IP地址发送到动态域名解析服务器，更新域名解析数据库。Internet上的其他人要访问这个域名的时候，动态域名解析服务器会返回正确的IP地址给他。

　　因为绝大部分Internet用户上网的时候分配到的IP地址都是动态的，用传统的静态域名解析方法，用户想把自己上网的计算机做成一个有固定域名的网站，是不可能的。而有了动态域名，这个美梦就可以成真。用户可以申请一个域名，利用动态域名解析服务，把域名与自己上网的计算机绑定在一起，这样就可以在家里或公司里搭建自己的网站，非常方便。

什么是A记录
　　A（Address）记录是用来指定域名所对应的IP地址的记录。

什么是MX记录
　　MX（Mail Exchanger）记录是邮件交换记录，它指向一个邮件服务器，用于电子邮件系统发邮件时根据收信人的地址后缀来定位邮件服务器。例如，当Internet上的某用户要发一封信给 webmaster@canyoncn.com 时，该用户的计算机将通过DNS查找canyoncn.com这个域名的MX记录，如果MX记录存在，用户计算机就将邮件发送到MX记录所指定的邮件服务器上。

什么是CNAME记录
　　CNAME（Canonical Name）记录，通常称别名指向。用户可以定义一个主机别名，比如ftp.canyoncn.com，用来指向一个主机，比如www.canyoncn.com，那么访问ftp.canyoncn.com，将转向到www.canyoncn.com。

　　在科迈网解析顶级域名等所有独立域名，可自由设置CNAME记录。

什么是NS记录
　　NS（Name Server）记录是域名服务器记录，用来指定该域名由哪个DNS服务器来进行解析。

　　如果您在科迈网申请了顶级域名或独立域名的动态解析服务，需要到您的域名注册商那里，将您的域名的NS记录设为科迈网的DNS服务器。我们的DNS服务器是：ns1.dns-diy.com和ns2.dns-diy.com，IP地址分别是210.51.187.81和218.107.207.123。NS设置后需要一、两天后才能生效，您可以用下面的办法查询是否已经生效。

什么是泛域名
　　泛域名是指一个域名下的所有子域名都被解析到同一个IP地址上。例如：*.canyoncn.com都解析到canyoncn.com。

[新闻]新型的编程语言:eC

SQL Server 2000的安全配置

^鬼才^ — Fri, 05 Nov 2004 18:03:00 GMT

    数据库是电子商务、金融以及ERP系统的基础，通常都保存着重要的商业伙伴和客户信息。大多数企业、组织以及政府部门的电子数据都保存在各种数据库中，他们用这些数据库保存一些个人资料，比如员工薪水、个人资料等等。数据库服务器还掌握着敏感的金融数据。包括交易记录、商业事务和帐号数据，战略上的或者专业的信息，比如专利和工程数据，甚至市场计划等等应该保护起来防止竞争者和其他非法者获取的资料。数据完整性和合法存取会受到很多方面的安全威胁，包括密码策略、系统后门、数据库操作以及本身的安全方案。但是数据库通常没有象操作系统和网络这样在安全性上受到重视。

    微软的SQL Server是一种广泛使用的数据库，很多电子商务网站、企业内部信息化平台等都是基于SQL Server上的，但是数据库的安全性还没有被人们更系统的安全性等同起来，多数管理员认为只要把网络和操作系统的安全搞好了，那么所有的应用程序也就安全了。大多数系统管理员对数据库不熟悉而数据库管理员有对安全问题关心太少，而且一些安全公司也忽略数据库安全，这就使数据库的安全问题更加严峻了。数据库系统中存在的安全漏洞和不当的配置通常会造成严重的后果，而且都难以发现。数据库应用程序通常同操作系统的最高管理员密切相关。广泛SQL Server数据库又是属于“端口”型的数据库，这就表示任何人都能够用分析工具试图连接到数据库上，从而绕过操作系统的安全机制，进而闯入系统、破坏和窃取数据资料，甚至破坏整个系统。

    这里，我们主要谈论有关SQL Server2000数据库的安全配置以及一些相关的安全和使用上的问题。

    在进行SQL Server 2000数据库的安全配置之前，首先你必须对操作系统进行安全配置，保证你的操作系统处于安全状态。然后对你要使用的操作数据库软件（程序）进行必要的安全审核，比如对ASP、PHP等脚本，这是很多基于数据库的WEB应用常出现的安全隐患，对于脚本主要是一个过滤问题，需要过滤一些类似 , ‘ ; @ / 等字符，防止破坏者构造恶意的SQL语句。接着，安装SQL Server2000后请打上补丁sp1以及最新的sp2。
    下载地址是：http://www.microsoft.com/sql/downloads/2000/sp1.asp　和　http://www.microsoft.com/sql/downloads/2000/sp2.asp

    在做完上面三步基础之后，我们再来讨论SQL Server的安全配置。

1、使用安全的密码策略
    我们把密码策略摆在所有安全配置的第一步，请注意，很多数据库帐号的密码过于简单，这跟系统密码过于简单是一个道理。对于sa更应该注意，同时不要让sa帐号的密码写于应用程序或者脚本中。健壮的密码是安全的第一步！
    SQL Server2000安装的时候，如果是使用混合模式，那么就需要输入sa的密码，除非你确认必须使用空密码。这比以前的版本有所改进。
    同时养成定期修改密码的好习惯。数据库管理员应该定期查看是否有不符合密码要求的帐号。比如使用下面的SQL语句：
Use master
Select name,Password from syslogins where password is null

2、使用安全的帐号策略。
    由于SQL Server不能更改sa用户名称，也不能删除这个超级用户，所以，我们必须对这个帐号进行最强的保护，当然，包括使用一个非常强壮的密码，最好不要在数据库应用中使用sa帐号，只有当没有其它方法登录到 SQL Server 实例（例如，当其它系统管理员不可用或忘记了密码）时才使用 sa。建议数据库管理员新建立一个拥有与sa一样权限的超级用户来管理数据库。安全的帐号策略还包括不要让管理员权限的帐号泛滥。
    SQL Server的认证模式有Windows身份认证和混合身份认证两种。如果数据库管理员不希望操作系统管理员来通过操作系统登陆来接触数据库的话，可以在帐号管理中把系统帐号“BUILTIN\Administrators”删除。不过这样做的结果是一旦sa帐号忘记密码的话，就没有办法来恢复了。
    很多主机使用数据库应用只是用来做查询、修改等简单功能的，请根据实际需要分配帐号，并赋予仅仅能够满足应用要求和需要的权限。比如，只要查询功能的，那么就使用一个简单的public帐号能够select就可以了。

3、加强数据库日志的记录。
    审核数据库登录事件的“失败和成功”，在实例属性中选择“安全性”，将其中的审核级别选定为全部，这样在数据库系统和操作系统日志里面，就详细记录了所有帐号的登录事件。如图：

    请定期查看SQL Server日志检查是否有可疑的登录事件发生，或者使用DOS命令。
findstr /C:"登录" d:\Microsoft SQL Server\MSSQL\LOG\*.*

4、管理扩展存储过程
    对存储过程进行大手术，并且对帐号调用扩展存储过程的权限要慎重。其实在多数应用中根本用不到多少系统的存储过程，而SQL Server的这么多系统存储过程只是用来适应广大用户需求的，所以请删除不必要的存储过程，因为有些系统的存储过程能很容易地被人利用起来提升权限或进行破坏。
    如果你不需要扩展存储过程xp_cmdshell请把它去掉。使用这个SQL语句：
    use master
sp_dropextendedproc 'xp_cmdshell'
xp_cmdshell是进入操作系统的最佳捷径，是数据库留给操作系统的一个大后门。如果你需要这个存储过程，请用这个语句也可以恢复过来。
sp_addextendedproc 'xp_cmdshell', 'xpsql70.dll'

    如果你不需要请丢弃OLE自动存储过程（会造成管理器中的某些特征不能使用），这些过程包括如下：
Sp_OACreate        Sp_OADestroy    Sp_OAGetErrorInfo    Sp_OAGetProperty
Sp_OAMethod    Sp_OASetProperty        Sp_OAStop
    去掉不需要的注册表访问的存储过程，注册表存储过程甚至能够读出操作系统管理员的密码来，如下：
    Xp_regaddmultistring    Xp_regdeletekey     Xp_regdeletevalue     Xp_regenumvalues
Xp_regread         Xp_regremovemultistring         Xp_regwrite
    还有一些其他的扩展存储过程，你也最好检查检查。
    在处理存储过程的时候，请确认一下，避免造成对数据库或应用程序的伤害。

5、使用协议加密
    SQL Server 2000使用的Tabular Data Stream协议来进行网络数据交换，如果不加密的话，所有的网络传输都是明文的，包括密码、数据库内容等等，这是一个很大的安全威胁。能被人在网络中截获到他们需要的东西，包括数据库帐号和密码。所以，在条件容许情况下，最好使用SSL来加密协议，当然，你需要一个证书来支持。

6、不要让人随便探测到你的TCP/IP端口
    默认情况下，SQL Server使用1433端口监听，很多人都说SQL Server配置的时候要把这个端口改变，这样别人就不能很容易地知道使用的什么端口了。可惜，通过微软未公开的1434端口的UDP探测可以很容易知道SQL Server使用的什么TCP/IP端口了（请参考《深入探索SQL Server网络连接的安全问题》）。
    不过微软还是考虑到了这个问题，毕竟公开而且开放的端口会引起不必要的麻烦。在实例属性中选择TCP/IP协议的属性。选择隐藏 SQL Server 实例。如果隐藏了 SQL Server 实例，则将禁止对试图枚举网络上现有的 SQL Server 实例的客户端所发出的广播作出响应。这样，别人就不能用1434来探测你的TCP/IP端口了（除非用Port Scan）。

7、修改TCP/IP使用的端口
    请在上一步配置的基础上，更改原默认的1433端口。在实例属性中选择网络配置中的TCP/IP协议的属性，将TCP/IP使用的默认端口变为其他端口。如图：

9、拒绝来自1434端口的探测
    由于1434端口探测没有限制，能够被别人探测到一些数据库信息，而且还可能遭到DOS攻击让数据库服务器的CPU负荷增大，所以对Windows 2000操作系统来说，在IPSec过滤拒绝掉1434端口的UDP通讯，可以尽可能地隐藏你的SQL Server。

10、对网络连接进行IP限制
    SQL Server 2000数据库系统本身没有提供网络连接的安全解决办法，但是Windows 2000提供了这样的安全机制。使用操作系统自己的IPSec可以实现IP数据包的安全性。请对IP连接进行限制，只保证自己的IP能够访问，也拒绝其他IP进行的端口连接，把来自网络上的安全威胁进行有效的控制。
关于IPSec的使用请参看：http://www.microsoft.com/china/technet/security/ipsecloc.asp

    上面主要介绍的一些SQL Server的安全配置，经过以上的配置，可以让SQL Server本身具备足够的安全防范能力。当然，更主要的还是要加强内部的安全控制和管理员的安全培训，而且安全性问题是一个长期的解决过程，还需要以后进行更多的安全维护。

[新闻]免费的BitDefender能复制卡巴斯基的成功吗?

一个IP建多个Web站点--TCP端口法

^鬼才^ — Fri, 05 Nov 2004 17:41:00 GMT

　　由于各种原因,我们有时候需要在一个IP地址上建立多个web站点,在IIS5中,我们可能通过简单的设置达到这个目标.

在IIS中,每个 Web 站点都具有唯一的、由三个部分组成的标识，用来接收和响应请求:
(1) IP地址
(2)端口号
(3)主机头名。

　　在IIS中,在一个IP地址上建立多个独立的web站点,通常有两种方法,本文以以例子的形式介绍TCP端口法.

环境:假设沧海公司(呵呵...)的内部网由一台win2000服务器和几十台工作站组成,这个内部网的网段是192.168.1.0/24,服务器的地址是192.168.1.10,名称是myserver.在这台服务器已经安装了Internet服务即IIS5.
沧海公司有A,B,C三个部门,分别在8086,8087,8088三个房间办公.现在公司要求网络管理员在服务器上使用一个IP为公司和三个部分别建立一个网站,即要建立四个网站.

　　通过使用附加端口号，站点只需一个 IP 地址即可维护多个站点。客户要访问站点时，需在静态 IP 地址后面附加端口号（默认 Web 站点除外，它使用端口 80）。

具体操作如下:
1.在win2000服务器上为公司和三个部门在硬盘上建立文件夹,做为WEB站点主目录.如下:

WEB站点主目录	WEB站点
d:\web\com	公司网站
d:\web\a	A部门网站
d:\web\b	B部门网站
d:\web\c	C部门网站

2.使用WEB站点管理向导,分别为公司和三个部门建立四个WEB站点,四者最大的不同是使用了不同的TCP端口:

	公司站点	A部门站点	B部门站点	C部门站点
IP地址	192.168.1.10
TCP端口	80	8086	8087	8088
权限	读取和运行脚本
站点主目录	d:\web\com	d:\web\a	d:\web\b	d:\web\c

这样,客户端就可以通过:

http://192.168.1.10访问公司站点.
http://192.168.1.10:8086访问A部门站点
http://192.168.1.10:8087访问B部门站点
http://192.168.1.10:8088访问C部门站点

　　这种方法建立的WEB站点使用非默认端口的网站具有相对的隐蔽性,但此方法维护多个站点要求客户在端口号前键入实际的数字 IP 地址。不能使用主机名和“友好名称”。

[新闻]免费的BitDefender能复制卡巴斯基的成功吗?

netghost8.0 网络克隆介绍

^鬼才^ — Fri, 05 Nov 2004 16:41:00 GMT

我在论谈上看到大家对 ghost多播拷盘都很感兴趣，但前一个网友没有提供下载的地址，我现在给大家提供一个下载点，并且附上一点说明，这个版本支持的网卡很多：3C90X 、DCN530TX 、DFE530TX 、DLE530TX 、IP100 、PRO100 、RTL8029 、RTL8139 、SIS 、VIA 大家不必为找自己网卡的驱动而发愁了。只要动运行文件包里的 go 批处理就可以了。
服务器的配置

会话名称可以输入你当前的机器名，映象文件就是你做好的备份文件，然后点一下接受客户机就可以了。下一步就是客户里上的设置了。

客户机的配置
先打开 Wattcp.cfg 文件
IP = 192.168.0.53                    你指定你当前客户机的IP地址
NETMASK = 255.255.255.0           本网络的子网掩码
GATEWAY = 192.168.0.51             你ghost服务器的IP地址
以上只是我网吧的配置，请自行修改为你的当前设置。
然后运行 go.bat
然后会打开

然后进入ghost 的主界面，选择 GhostCast 再选择 Multicast 进入

请在最上面一栏输入你刚才在服务器填写的会话名称，然后就OK。接下来就像本地拷盘一样的界面了。我也不多说了。客户机一切OK以后，再到服务器上就可以看到有一台电脑连入你ghost服务器，选择它，点击发送就可以了。

要下载的快点吧，我是借用我管里的东方实战网的空间给大家提供的下载服务。

立刻下载

以下内容是我转另一个网友(alaxue)的发言，他介绍的跟我提供给大家的稍有区别，但总体是一样的，所以大家可以参考看一下：

网络刻隆真的很好用不用拆机箱一个人2个小时左右就可以搞定很多50多台的机子也许还

能多点不过我没试我怕失败那就完蛋了

一晚上300台机子一个人就能OK了就是刻好了装还原精灵和改IP有点麻烦罢了

下面有详细说明想要的和我联系我有软件真的挺不错的哦真心希望给位网管朋友们能轻

松点

网络克隆使用说明：

一、将一台客户机装好系统及所有应用程序及游戏后，用GHOST.EXE制作一个全盘影像，例：win98.gho

二、制作全盘影像时要注意2点：

1、因制作全盘影像时，不能将影像文件保存在本盘上，所以要记得挂多一个硬盘用来存放影像文件；

2、因一般40G的硬盘，在装了系统及游戏后，大都已使用30多G的空间，制作出来的全盘影像会达14-17G左右，并在制作过程中，影像文件达到2-4G时（时间太紧，没研究为什么会有时2G有时4G）会弹出一个提示窗，并有OK、取消、文件名三个按钮，选OK的话，GHOST自动生成一下个后继文件，文件名后缀好象是gls；选“文件名”的话，GHOST会让你自己输入后继文件名及存放位置。（后继文件的意思就象制作WINRAR分卷压缩时的*.r00、*.r01这种文件。呵，我不太会表达，大家明白就好。）

三、以我用40G硬盘36G数据制作全盘影像为例，生成了四个4G左右的影像文件，文件名是：win98.gho、win98.gls、win982.gls、win983.gls（注：那天做盘时太忙，只记得后缀文件好象是gls这个后缀名，又好象是gsl，反正大家制作时以眼见为实吧。呵，不然我就误人子弟了。）

四、运行GhostCast网络克隆服务端文件GhostSrv.exe，如下图：

注：1、“影像文件”处只要选中后缀为gho的文件就行了，后继文件不用管。

2、要进行全盘网络克隆时选中“硬盘”，要进行分区网络克隆时（如：只是网络克隆C盘）选中“分区”，再点右边的下拉菜单，并选中要网络克隆的分区就行了。

3、如果在自动开始模式里输入了条件，点击了“接受客户端连接”按钮后，实际上不能达到条件时（如：客户端数量处输了60，但实际上只有55台机接入），可以点击“发送”按钮开始网络克隆。

4、如果未在自动开始模式里输入条件，点击“接受客户端连接”按钮后，确认所有客户端连接成功后，点击“发送”按钮开始网络克隆。

五、服务器端点击“接受客户端连接”按钮后，就可以到客户机上运行客户端了。

六、客户端上的准备工作：

GhostCast网络克隆客户端设置（以原客户机已装系统，8139网卡，无软驱为例）：

1、先COPY GhostCast网络克隆客户端文件：

netghost.bat //加载网卡驱动及运行GHOST.exe的批处理

8139.com //8139网卡驱动 FOR DOS

Wattcp.cfg //GhostCast网络克隆客户端配置文件

ghost.exe //不用说明了吧

到客户机上，并用记事本或DOS下的edit修改wattcp.cfg，内容如下：

IP=192.168.0.108            //客户机IP，按实际修改
NETMASK=255.255.255.0       //子网掩码
GATEWAY=192.168.0.101       //GhostCast网络克隆服务端IP，按实际修改

2、重启计算机，启动时按F8，并选第6项进入纯DOS。

七、开始客户端的接入：

运行netghost.bat，出现GHOST程序界面，选菜单上GhostCast - Multicast项，如下图：

按了OK了，如接入成功，就马上可以看到象单机克隆那样的界面了，这文章是在家里的单机上写的，没法抓图给大家看了，反正如果是进行全盘克隆，接入成功后，选OK，OK，YES。这样客户端就进入等待接收状态了。

所有的客户端都接入成功并进入接收状态后，如果服务端那里设了自动开始模式条件，条件符合后就自动发送了，如果没有设置自动开始条件，我们就走回服务端机器那里，点击“发送”按钮，就开始网络克隆了。
我们就可以坐下来，喝喝茶，抽抽烟，等待网络克隆完成了。

给些数据大家参考：

8G硬盘7.2G数据，制成的全盘影像文件为3.5G左右

客户端25台：C433 128M 5400转HD 8139的10-100M自适应网卡

服务器端：P3 800 256M 7200转HD 3COM的10-100M自适应网卡 XP系统

1对25同时网络克隆耗时25分18秒

40G硬盘36G数据，制成的全盘影像文件为16G多些

客户端15台：CII800 128M 5400转HD 8139的10-100M自适应网卡

服务端器：同上

1对15同时网络克隆粍时1小时26分

补充：
全部过程及说明如下：
1.文件镜像准备：将作好的机器用GHOST8.0制作全盘镜像文件，此文件存放在NTFS格式的单独盘上，并采取高压缩比例，并给文件取名为*.GHO，具体*是什么由你自己命名。（经验证，高压缩比不压缩速度提高30%-40%左右）建议使用7200转或以上的硬盘制作，这样速度会提高很多。
2.服务器准备：建议使用2000SERVER系统，CPU为P41.6以上，内存为DDR256M以上，网卡为3COM100级别。
将存放*.GHO镜像文件的挂在服务器上，运行GhostSrv，点浏览选择*.GHO，会话名称自定，假设定为MP，这就算完成了，其他不需要任何设置。然后点接受客户机。
3.客户机准备：首先看你的现在客户机系统是什么，2000、XP麻烦点。下面我只以98举例，2000、XP我以后再说明。
将Ghost.EXE，RTSPKT.COM（8139网卡的DOS驱动，使用其他网卡的朋友自己找吧）、Wattcp.cfg复制在客户机上。
A.用记事本打开Wattcp.cfg，进行编辑：
IP = 192.168.0.12 （这是本机IP，不得重复）
NETMASK = 255.255.255.0（子网掩码）
GATEWAY = 192.168.0.198（NETGHOST服务器IP或网关，无所谓）
然后保存。
这个过程可以自己制作个BAT文件实施。（我做了一个简单的，可以省掉下面B过程）
B.编辑C盘根目录下的AUTOEXEC.BAT：
@echo off （这个不用解释吧）
rtspkt 0x60 -m 100full （加载网卡驱动并强制网卡全双工，大多朋友在55左右的速度根本原因就在这里！！！）
ghost
我没有加载DOS鼠标驱动，我觉得没有必要，DOS下的鼠标太难用了。
然后保存。
C.重起机器，按F8，选择5，机器自动加载网卡驱动并运行GHOST。
D.如果你的网卡驱动正确会出现GhostCast - Multicast项否则为灰色。
填写NETGHOST服务器上你自定的名称MP。按回车，下面的过程和硬盘对拷贝是一样的，在此不必多说了。
4.当你把需要GHOST的机器全部按第3步做完后，到服务器上就会连接客户机的数量应该和你准备的机器数一样。这时点发送。

于是一切OK，你就等机器自己GHOST吧。

下面是对有些朋友反映速度慢的原因：
1.加载网卡驱动时，后面写上了-m auto,这表示网卡是自动选择其模式的，也是速度在55左右的原因，强烈建议将其改为-m 100full，强制网卡全双工，你会发现速度最少提高了4倍以上。
2.整个过程只要有1台计算机的硬盘或网卡有问题就会造成整体的速度降低。
3.服务器的网卡及配制一定要好点，但没有必要用P42.8G，我试了，没有可见的提高。
4.交换机的跨越不超过2层，太多的话，数据转发速度明显降低，建议将服务器放在第1层。
5.交换机的是100M的，不要用10M的，否则速度最多100。
6.交换机的背板带宽是关键，我用的是实达的1824。

[新闻]免费的BitDefender能复制卡巴斯基的成功吗?

网络协议初入门

^鬼才^ — Fri, 05 Nov 2004 16:38:00 GMT

要讲网络协议，首先就地提到是开放系统互联参考模型（OSI Referenec Model），即我们通常所说的网络互联的七层框架，它是国际标准组织（International Organization for Standization）于1977年提出的标准，又称为ISO/IEC 7498或X.200建议。值得注意的是，OSI并没有提供一个可以实现的方法，它不是一个标准而只是一个制定标准时使用的概念性的框架，更不是一个网络协议。
　　OSI分为七层，其名字和功能分别如下：

1、物理层（Physical Layer）：主要功能为定义了网络的物理结构，传输的电磁标准，Bit流的编码及网络的时间原则，如分时复用及分频复用。决定了网络连接类型（端到端或多端连接）及物理拓扑结构。说的通俗一些，这一层主要负责实际的信号传输。

2、据链路层（Data Link Review）：在两个主机上建立数据链路连接，向物理层传输数据信号，并对信号进行处理使之无差错并合理的传输。

3、网络层（Network Layer）：主要负责路由，选择合适的路径，进行阻塞控制等功能。

4、传输层（Transfer Layer）：最关键的一层，向拥护提供可靠的端到端（End-to-End）服务，它屏蔽了下层的数据通信细节，让用户及应用程序不需要考虑实际的通信方法。

5、会话层（Session Layer）：主要负责两个会话进程之间的通信，即两个会话层实体之间的信息交换，管理数据的交换。

6、表示层（Presentation Layer）：处理通信信号的表示方法，进行不同的格式之间的翻译，并负责数据的加密解密，数据的压缩与恢复。

7、应用层（Application Layer）：保持应用程序之间建立连接所需要的数据记录，为用户服务。
在工作中，每一层会给上一层传输来的数据加上一个信息头（header），然后向下层发出，然后通过物理介质传输到对方主机，对方主机每一层再对数据进行处理，把信息头取掉，最后还原成实际的数据。本质上，主机的通信是层与层之间的通信，而在物理上是从上向下最后通过物理信道到对方主机再从下向上传输。

　　在实际应用中，最重要的是TCP/IP（Transport Control Protocol/Internet Protocol）协议，它是目前最流行的商业化的协议，相对于OSI，它是当前的工业标准或“事实的标准”，在1974年由Kahn提出的。它分为四个层次：应用层（与OSI的应用层对应），传输层（与OSI的传输层对应），互联层（与OSI的网络层对应），主机-网络层（与OSI的数据链路层和物理层对应）。TCP/IP协议主要用于广域网，在一些局域网中也有应用，比如在windows 9x和netware网中可以使用，但是在功能和速度方面还有差距，本来TCP/IP的设计目标就和IPX/SPX不一样。在设置TCP/IP协议的时候，主要有ip地址和子网掩码，网关（Gateway：在通信中提供网络协议之间的转换，适用于不同协议主机之间的信息交换），域名解析服务器（NDS: Domain Name System,即把你输入的网址转换为数字型的ip地址）和NetBIOS等等。

　　上面说到了IPX/SPX（Internetwork Packet Exchange/Sequenced Packet exchange）协议，现在解释一下这种应用很广的网络协议。您一定在局域网里享受过快速的网络游戏吧，您可知道，这都是IPX/SPX的功劳。IPX/SPX是基于施乐的XEROX’S Network System（XNS）协议，而SPX是基于施乐的XEROX’S SPP（Sequenced Packet Protocol：顺序包协议）协议，它们都是由novell公司开发出来应用于局域网的一种高速协议。它和TCP/IP的一个显著不同就是它不使用ip地址，而是使用网卡的物理地址即（MAC）地址。它也和TCP/IP协议一样不能和OSI完全对应。只包含了OSI中传输层和网络层的部分。在实际使用中，它基本不需要什么设置，装上就可以使用了。由于其在网络普及初期发挥了巨大的作用，所以得到了很多厂商的支持，包括microsoft（但是后来它开发出来了自己的兼容Novell’IPX/SPX的IPX/SPX协议）等，到现在很多软件和硬件也均支持这种协议。

　　相对于前面两种路由协议（路由，可以理解为在网络上两点间路径的选择）在日常应用中，还有两种非路由协议需要我们了解，它们是：NetBIOS（Network Basic Input/OutputSystem）和NetBEUI（NetBIOS Extended User Interface）。NetBIOS由microsoft和IBM开发，是会话层的协议，它建立允许不同计算机上的应用程序通过网络传输的连接会话。它是为只需要与别的在同一个网络上的计算机会话这一目的话设计的。在win9x&me中，当你在IPX/SPX中选定“希望在IPX/SPX启用NetBIOS”后，在TCP/IP的设置中可以选定“通过TCP/IP启用NetBIOS”。而NetBEUI则是IBM为自己作为网络传输站的网络产品设计的。它是NetBIOS的一个扩充版本，定义了没有被NetBIOS定义的祯类型，它能在中小规模的单网上传输数据。它可以在win9x&me中直接安装。在一些网络游戏中有可能需要这两种协议，如果你遇到不能玩的情况，可以试试装上它两，说不定能解你的燃眉之急。

　　以上介绍了目前应用最广的网络协议，其余的当然还有很多别的协议，比如DNA，SNA，APPLETALK等等，它们也很复杂。但是对于入门的网友来说，掌握了以上几种协议可以让您初步了解什么是网络协议和其工作原理，让您的工作更加高效，为以后深入学习打好了基础。希望我的文章能起到抛砖引玉的作用，对大家有所帮助。，对大家有所帮助。

[新闻]免费的BitDefender能复制卡巴斯基的成功吗?

服务器完美设置,支持asp php cgi jsp asp.net mysql！

^鬼才^ — Fri, 05 Nov 2004 16:32:00 GMT

服务器完美设置,支持asp php cgi jsp asp.net mysql！

首先下载我们要用到的程序：

php-4.3.0-installer下载地址： http://www.php.net/get/php-4.3.0-installer.exe/from/cn.php.net

mysql下载地址： http://www.onlinedown.net/mysql.htm

myodbc下载地址： http://www.onlinedown.net/myodbc.htm

perl解析软件下载地址： http://www.onlinedown.net/activeperl.htm

phpmyadmin下www.baidu.com搜索！很多的！我没有搜索！抱歉！

CLR runtime下载地址：
http://download.microsoft.com/download/.netframesdk/Redist/1.0/W98NT42KMeXP/EN-US/dotnetredist.exe

NET framework SDK131M下载地址：
http://download.microsoft.com/download/.netframesdk/SDK/1.0/W98NT42KMeXP/EN-US/setup.exe

MDAC2.7下载地址：http://download.microsoft.com/download/dasdk/install/2.70/W98NT42KMe/en-us/mdac_typ.exe

jdk到java.sun.com下载。

tomcatwww.chinaz.com去下载

第一步：支持asp
win98要安装pws！但我们谈论的是如何使win2000支持！只要你在安装win2000的时候使用的是完全安装！那么iis就安装好了，有了iis就支持asp了！如果没有安装iis！那么请在控制面板里面点击“添加/删除程序”里面的”添加/删除组件“安装iis！

第二步：支持php
首先下载一个php解析软件！安装PHP。执行下载到硬盘里面的php-4.3.0-installer.exe 安
装提示，我们回车就可以。选择PHP路径，没有太大的影响的话，一般不要更改（默认c:\），填写邮件服务器，一般是LOCALHOST，还有发送的电子邮件信箱。要让你选择安装什么类型的服务器了，我们一般是iis，所以就选iis！安装完成之后会弹出2个提示，提示你看看说明，一般可以看看。（还可以安装php加速器，zend！安装ZendOptimizer，可以在ZEND官方站点上免费得到，下载完毕之后执行ZendOptimizer-2.0.0-Windows-i386.exe 安装目录，一般不改动。PHP类型，我们知道我们安装的是4.2.3版本，所以我们自己选择，然后提示输入php.ini目录，win2000存放在c:\winnt\里面。按照需要输入。找到了php.ini，确认安装就成功了）然后打开：开始-》程序-》管理工具-》internet服务管理器-》默认网站-右键-》属性-》主目录-》把执行许可改成脚本和可执行程序-》配置-》添加，在可执行程序里面输入“c:\php\php.exe %s %s”在扩展名里面写入.php，应用！确定！
在isapi里面添加：筛选器名称：php 筛选器c:\perl\php4ts.dll 应用！确定！
现在支持php了！！！！！！！！！！！！！！！！！

第三步：支持cgi：
下载完成后运行！选择安装路径：我们一般安装在c:\perl！注意安装雷傲论坛时perl一定要
安装在c:\！！！！！！以后一直点击下一步！直到安装完成！然后打开：开始-》程序-》管理工具-》internet服务管理器-》默认网站-右键-》属性-》主目录-》把执行许可改成脚本和可执行程序-》配置-》添加，在可执行程序里面输入“c:\perl\bin\perl.exe %s %s”在扩展名里面写入.cgi
再次添加：“c:\perl\bin\perl.exe %s %s”在扩展名里面写入.pl
再次添加“c:\perl\bin\perl.exe %s %s”在扩展名里面写入.plx
应用！确定！
在isapi里面添加：筛选器名称：cgi筛选器c:\perl\bin\perlis.dll 应用！确定！
现在支持cgi了！！！！！！哈哈！，可以装雷傲论坛了啊！！！！！！

第四步：支持asp.net（aspx）：
ASP.NET 是ASP3.0的下一代版本(先前稱之為ASP+)
但是與前幾代差別相當大
首先您必須下載安裝.NET framework 的執行環境.目前正式版1.0已經發行
下载地址：
CLR runtime (英文版) 20.4M
http://download.microsoft.com/download/.netframesdk/Redist/1.0/W98NT42KMeXP/EN-US/dotnetredist.exe
或 .NET framework SDK (英文版) 131M
http://download.microsoft.com/download/.netframesdk/SDK/1.0/W98NT42KMeXP/EN-US/setup.exe （最好下载这个）
除此之外您还必须下载MDAC2.7(如果要连接资料库)(中文版)
http://download.microsoft.com/download/dasdk/install/2.70/W98NT42KMe/en-us/mdac_typ.exe （先安装这个才安装.net framework sdk)
操作系统最好为win2000及以上
详情请参阅：
http://www.microsoft.com/data/
http://msdn.microsoft.com/netframework/
http://msdn.microsoft.com/downloads/default.asp
直接安装完成就可以了！！！now！你的服务器支持aspx了哦！

第五步：支持mysql：
运行mysql安装程序！完成！在开始运行里面输入：cmd 出现dos系统：依次输入
cd..，
cd..，
cd mysql，
cd bin，
mysqld-nt.exe --install，
winmysqladmin.exe
提示输入管理员用户和密码，输入后确定！输入的用户名和密码是以后管理mysql的账号！还可以安装mysql驱动程序myodbc，下载后直接安装！不要改变路径！安装完全！
可以用phpmyadmin管理！（在网页上管理！）phpmyadmin放在你的网站目录下，访问的时候用http://*.*.*.*/phpmyadmin访问，可以建立账号和数据库！到此支持mysql数据库了。

第六步：jsp环境的安装：
1.下载jdk1.3和tomcat;
2.安装jdk1.3和解压tomcat到c:盘根目录下；
3.进入tomcat的目录里，找到startup.bat文件，打开编辑。
在行call tomcat start的前面加上两行：
SET TOMCAT_HOME=c:\tomcat 和 SET JAVA_HOME=c:\jdk1.3
注：c:\jdk1.3是jdk1.3安装的位置。
4.然后鼠标右键点击“我的电脑”，选择属性。在系统属性中打开高级选项，点击"环境变量
"，在“用户变量”和“系统变量”中都加入两个变量classpath和path，它们的值是：class
path的值c:\jdk1.3\bin\tools.jar;C:\jdk1.3\lib\dt.jar
path的值为 c:\jdk1.3\bin;c:\jdk1.3
5.运行tomcat服务器（即startup.bat文件），假如有个dos窗口停留着没关闭，并有一些运行成功tomcat和初始化信息，证明tomcat运行成功。
6.ie地址栏中输入127.0.0.1:8080，假如成功的话，就会出现tomcat的欢迎画面，上面有一些jsp和servlet的例子，至此jsp环境搭建完成！

一般情况下任何一台主机支持的服务器语言越多，使用出现的问题也就越多。

[新闻]免费的BitDefender能复制卡巴斯基的成功吗?

针对Win2000优化Web服务器性能

^鬼才^ — Fri, 05 Nov 2004 16:05:00 GMT

一、概要:

　　为了能够好好的让IIS运行稳定，俺主要介绍用于优化专用的 Windows 2000 Web 服务器性能的一点方法。PS:开始吧。

二、禁用不必要的服务:

　　禁用专用 Web 服务器不需要的 Windows 2000 服务。方法是：单击开始，依次指向程序、管理工具，然后单击计算机管理。在“计算机管理（本地）”下，展开“服务和应用程序”，然后单击服务。当前所运行服务的状态列中显示已启动。以下服务是专用 Web 服务器上不需要的：

　　警报器
　　剪贴簿
　　计算机浏览器
　　DHCP 客户端
　　DHCP 服务器
　　传真服务
　　文件复制
　　红外线监视器
　　Internet 连接共享
　　信使
　　NetMeeting 远程桌面共享
　　网络 DDE
　　网络 DDE DSDM
　　NWLink NetBIOS
　　NWLink IPX/SPX
　　后台打印程序
　　TCP/IP NetBIOS 支持服务
　　电话
　　Telnet
　　不间断电源

　　记下与要停止的服务有依存关系的那些服务。方法是：
　　双击所需的服务。例如，双击信使。
　　单击依存关系选项卡。
　　在“服务名依赖这些服务”列表中（其中服务名是所选服务的名称），记下该服务依赖的那些服务。
　　在“这些服务依赖服务名”列表中，记下没有该服务就无法启动的那些服务。
　　单击确定。
　　禁用所需的服务。方法是：
　　右键单击要禁用的服务，然后在出现的快捷菜单上单击属性。
　　在“启动类型”列表中，单击禁用。
　　如果要立即停止服务，请单击停止。如果显示停止其他服务对话框，依赖于该服务的其他服务也将被停止。请记下受影响的服务，然后单击是。
　　单击确定。该服务的启动类型列中会显示禁用。
　　重复执行第 4 步，禁用其他不必要的服务。
　　备注：禁用每个服务之后，应测试 Web 服务器计算机是否运行正常。这样就最大程度地减少了禁用可能需要的服务而带来的影响。

　　备注：如果 IIS 服务器是 Windows 2000 域成员，则必需 TCP/IP 支持服务，以便将组策略正确地应用到计算机中。

三、最大化网络应用程序数据吞吐量

　　在工作内存中运行 Internet Internet 信息服务 (IIS) 5.0 进程可分页代码。方法是：
　　在桌面上右键单击网上邻居，然后在出现的快捷菜单中单击属性。
　　右键单击所需的本地连接图标，然后在出现的快捷菜单中单击属性。
　　在“此连接使用下列选定的组件”列表中，单击“Microsoft 网络的文件和打印机共享”（但不要清除其复选框），然后单击属性。
　　单击“最大化网络应用程序数据吞吐量”，然后单击确定两次。

四、优化后台服务的性能

　　IIS 5.0 进程 (Inetinfo.exe) 作为后台服务运行。要提高后台服务的性能，请按以下步骤操作：
　　单击开始，指向设置，然后单击控制面板。
　　在“控制面板”中，双击系统。
　　单击高级选项卡，然后单击性能选项。
　　在“应用程序响应”下，单击“后台服务”，然后单击确定两次。
　　退出“控制面板”。

五、最小化 IIS 5.0 日志记录

　　禁止对不需要的 Web 站点、虚拟目录或文件及文件夹进行日志记录。方法是：
　　单击开始，依次指向程序、管理工具，然后单击Internet 服务管理器。
　　展开“*服务器名”，其中服务器名是 Web 服务器的名称。
　　找到所需的项，然后用右键单击该项。在出现的快捷菜单上，单击属性。例如，右键单击默认 Web 站点，然后在出现的快捷菜单上单击属性。
　　执行下列操作之一：
　　如果选择 Web 站点，则单击主目录选项卡。

　　- 或 -
　　如果选择虚拟目录，则单击虚拟目录选项卡。

　　- 或 -
　　如果选择实际目录，则单击目录选项卡。
　　单击“日志访问”复选框，将其清除，然后单击确定。

　　要禁止整个 Web 站点的日志记录，请单击Web 站点选项卡，单击启用日志记录复选框，将其清除，然后单击确定。
　　退出“Internet 信息服务”管理单元。

六、启用带宽限制

　　限制各 Web 站点可用的网络带宽。方法是：
　　启动“Internet 服务管理器”。
　　展开“*服务器名”，其中服务器名是 Web 服务器的名称。
　　右键单击所需的 Web 站点（例如，默认 Web 站点），然后在出现的快捷菜单上单击属性。
　　单击性能选项卡，然后单击“启用带宽限制”复选框，将其选中。
　　在“最大网络使用”框中，键入所需的值，然后单击确定。
　　退出“Internet 信息服务”管理单元。

七、限制处理器使用

　　限制 Web 站点对处理器的占用量。方法是：
　　启动“Internet 服务管理器”。
　　展开“*服务器名”，其中服务器名是 Web 服务器的名称。
　　右键单击所需的 Web 站点（例如，默认 Web 站点），然后在出现的快捷菜单上单击属性。
　　单击性能选项卡，然后单击“启用进程限制”复选框，将其选中。
　　在“最大程度使用 CPU”框中，键入所需的值。
　　单击“强制性限制”复选框，将其选中，然后单击确定。

　　备注：如果不启用强制性限制选项，则不会强制执行“最大程度使用 CPU”的限制。在 Web 站点超过其允许的 CPU 使用限制时，即会在“事件日志”中写入事件。
　　退出“Internet 信息服务”管理单元。

八、限制 Web 站点连接

　　限制各 Web 站点可用的连接数量。方法是：
　　启动“Internet 服务管理器”。
　　展开“*服务器名”，其中服务器名是 Web 服务器的名称。
　　右键单击所需的 Web 站点（例如，默认 Web 站点），然后在出现的快捷菜单上单击属性。
　　在连接下，单击限于。
　　在“连接”框中，键入要允许的连接数量。

　　备注：连接的每个客户端大约同时使用四个连接。例如，将连接数限制在 200 大约允许 50 名用户访问 Web 站点。
　　单击确定，然后退出“Internet 信息服务”管理单元。

九、使用“保持 HTTP 连接”

　　默认情况下，能够使用“保持 HTTP 连接”。要验证是否启用了“保持 HTTP 连接”，请按以下步骤操作：
　　启动“Internet 服务管理器”。
　　展开“*服务器名”，其中服务器名是 Web 服务器的名称。
　　右键单击所需的 Web 站点（例如，默认 Web 站点），然后在出现的快捷菜单上单击属性。
　　在连接下，确认“已启用保持 HTTP 连接”复选框已被选中，然后单击确定。
　　退出“Internet 信息服务”管理单元。

[新闻]免费的BitDefender能复制卡巴斯基的成功吗?

一个IP建多个Web站点--主机头名法

^鬼才^ — Fri, 05 Nov 2004 15:09:00 GMT

　　由于各种原因,我们有时候需要在一个IP地址上建立多个web站点,在IIS5中,我们可能通过简单的设置达到这个目标.
在IIS中,每个 Web 站点都具有唯一的、由三个部分组成的标识，用来接收和响应请求:
(1) IP地址
(2)端口号
(3)主机头名。

　　在IIS中,在一个IP地址上建立多个独立的web站点,通常有两种方法,本文以以例子的形式介绍主机头法,使用这种方法可以建立起专业的虚拟主机.

环境:假设公司(呵呵...)用一台win2000服务器提供虚拟主机服务,地址是192.168.1.1.在这台服务器已经安装了Internet服务即IIS5.
现在公司要求网络管理员在服务器上使用一个IP为ABCD四个公司建立独立的网站,每个网站拥有自己独立的域名.四家网站域名分别为:www.a.com,www.b.com,www.c.com和www.d.com.

通过使用主机头，站点只需一个 IP 地址即可维护多个站点。客户可以使用不同的域名访问各自的站点,根本感觉不到这些站点在同一主机上.

具体操作如下:
1.在win2000服务器为四家公司建立文件夹,做为WEB站点主目录.如下:

WEB站点主目录	WEB站点
d:\web\a	A公司网站
d:\web\b	B公司网站
d:\web\c	C公司网站
d:\web\d	D公司网站

2.使用WEB站点管理向导,分别四家公司建立独立的WEB站点,四者最大的不同是使用了不同的主机头名:

	A公司站点	B公司站点	C公司站点	D公司站点
IP地址	192.168.1.10
TCP端口	80
权限	读取和运行脚本
主机头名	www.a.com	www.b.com	www.c.com	www.d.com
站点主目录	d:\web\a	d:\web\b	d:\web\c	d:\web\d

在DNS中将这四个域名注册上,均指向同一地址:192.168.1.10.这样,客户端就可以通过:

http://www.a.com访问A公司站点.
http://www.b.com访问B公司站点.
http://www.c.com访问C公司站点.
http://www.d.com访问D公司站点.

3.每个站点的主机头名可以在WEB站点建立向导中设置,它与站点的IP地址,TCP端口在同一屏上.也可能通过该站点->"属性"->"WEB站点"标签->选IP地址右边的"高级"按钮,跳出"高级多WEB站点配置"进行配置.

　　这种方法建立可以建立专业的虚拟主机,几乎所有使用IIS提供虚拟主机的公司都这样做的.

[新闻]DNS漏洞攻击代码已经公布危险迫在眉睫

WEB标准学习网站

^鬼才^ — Thu, 28 Oct 2004 05:54:00 GMT

http://www.w3cn.org 网页设计师

http://www.onestab.net WEB开发技术荟萃

http://www.w3china.com 中国W3C研究组织

http://jjgod.3322.org WEB4C博客

[新闻]十几万元天价笔记本电脑