注冊(cè)表安全防護(hù)問答

江蘇 孫秀洪

自己的計(jì)算機(jī)系統(tǒng)存儲(chǔ)有一些重要數(shù)據(jù)，不想讓別人發(fā)現(xiàn)，為此不少人想到了隱藏特定磁盤分區(qū)方法。請(qǐng)問怎樣使用注冊(cè)表設(shè)置，來達(dá)到隱藏用戶驅(qū)動(dòng)器的目的？

答：首先展開注冊(cè)表編輯界面中的“HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer”分支，在指定分支下創(chuàng)建一個(gè)名稱為“NoDrive”的雙字節(jié)鍵值，再將該鍵值的數(shù)值設(shè)置成十六進(jìn)制的“4”，并刷新系統(tǒng)注冊(cè)表，這樣一來當(dāng)前用戶的C 盤驅(qū)動(dòng)器就會(huì)被隱藏起來了。當(dāng)然，這種方法只能隱藏當(dāng)前用戶的C 盤驅(qū)動(dòng)器；要是想隱藏所有用戶的C 盤驅(qū)動(dòng)器，可以展開“HKEY_CURRENT_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer”注冊(cè)表子項(xiàng)，在目標(biāo)子項(xiàng)下面創(chuàng)建“NoDrive”雙字節(jié)鍵值，同事將該鍵值的數(shù)值設(shè)置成十六進(jìn)制的“4”就OK 了。

Windows 7 系統(tǒng)缺省會(huì)允許標(biāo)準(zhǔn)用戶進(jìn)入安全模式，可是在安全性要求很高的場(chǎng)合下，這是不能容忍的，怎樣才能阻止標(biāo)準(zhǔn)用戶啟動(dòng)到安全模式狀態(tài)呢？

答：只要從微軟官方網(wǎng)站中下載安裝有關(guān)熱修復(fù)補(bǔ)丁程序，該補(bǔ)丁可以防止標(biāo)準(zhǔn)用戶啟動(dòng)到系統(tǒng)安全模式。當(dāng)成功安裝好熱修復(fù)補(bǔ)丁程序后，標(biāo)準(zhǔn)用戶日后即使選用安全模式選項(xiàng)，也會(huì)遭遇系統(tǒng)自動(dòng)鎖定干擾。

在安裝熱修復(fù)補(bǔ)丁程序時(shí)，一定要按照下面的步驟來進(jìn)行：首先依次單擊“開始”、“運(yùn)行”命令，在系統(tǒng)運(yùn)行框中執(zhí)行“regedit”命令，進(jìn)入系統(tǒng)注冊(cè)表編輯窗口。依次展開該編輯窗口中的注冊(cè)表分支“HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem”，在目標(biāo)分支下通過右鍵菜單中的“新建”、“DWORD(32-bit)值”命令，手工創(chuàng)建一個(gè)名為“SafeMode BlockNonAdmins”的雙字節(jié)鍵值，再將該鍵值的數(shù)值數(shù)據(jù)設(shè)置為“1”，并按“確定”按鈕返回，最后重新啟動(dòng)計(jì)算機(jī)系統(tǒng)即可。

當(dāng)服務(wù)器系統(tǒng)在某個(gè)時(shí)刻接收到太多的上網(wǎng)請(qǐng)求時(shí)，系統(tǒng)CPU 和內(nèi)存資源很容易被過度消耗，從而會(huì)影響到系統(tǒng)的安全穩(wěn)定運(yùn)行，請(qǐng)問有沒有辦法限制CPU、內(nèi)存資源被過度消耗？

答：以系統(tǒng)管理員權(quán)限登錄服務(wù)器系統(tǒng)，依次展開“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserver”注冊(cè)表分支，右擊目標(biāo)分支選項(xiàng)，點(diǎn)選右鍵菜單中的“新建”、“DWord 值”命令，將新創(chuàng)建的雙字節(jié)值名稱取為“maxworkitems”，雙擊“maxworkitems”鍵值，在彈出的編輯DWord 值對(duì)話框中，根據(jù)服務(wù)器主機(jī)的實(shí)際內(nèi)存大小來輸入數(shù)值，比方說實(shí)際內(nèi)存大于512MB 時(shí)，那用戶可以將該數(shù)值設(shè)置成“1024”，要是實(shí)際內(nèi)存小于512MB 時(shí)，那盡量將該數(shù)值設(shè)置為“256”。

Windows 系統(tǒng)默認(rèn)會(huì)使用3389 端口，與其他系統(tǒng)建立遠(yuǎn)程桌面連接，不過要是開啟了3389 端口，惡意用戶可能也會(huì)利用遠(yuǎn)程桌面連接對(duì)本地系統(tǒng)進(jìn)行攻擊，請(qǐng)問如何限制非法用戶使用遠(yuǎn)程桌面連接？

答：很簡(jiǎn)單，只要將默認(rèn)的3389 端口修改成其他陌生的端口號(hào)碼就OK 了。在修改這個(gè)端口號(hào)碼時(shí)，首先打開注冊(cè)表編輯窗口，依次展開其中的注冊(cè)表分支“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWds dpwdTds cp”，將該分支下面的鍵值“PortNumber”修改為不容易記憶的數(shù)字，例如“8124”。

接著定位到“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp”分支上，將這里的“PortNumber”數(shù)值也設(shè)置為“8124”，這樣一來用戶必須知道這個(gè)新的端口號(hào)碼，才能使用遠(yuǎn)程桌面連接。

大家知道，從Windows 2000 系統(tǒng)開始，所有Windows 系統(tǒng)缺省都自帶了administrator 賬號(hào)。不過，在用戶設(shè)置好自己的系統(tǒng)登錄賬號(hào)之后，Windows 系統(tǒng)往往會(huì)自動(dòng)以用戶設(shè)置的賬號(hào)登錄系統(tǒng)，而不是以系統(tǒng)管理員賬號(hào)登錄，要使用后者登錄，就一定要在啟動(dòng)時(shí)及時(shí)按下F8 鍵，選擇進(jìn)入安全模式才行，顯然這樣操作十分煩瑣，那如何在不進(jìn)入安全模式的情況下，也能進(jìn)入administrator 賬號(hào)呢？

答：以Windows XP 系統(tǒng)為例，只要依次單擊“開始”、“運(yùn)行”命令，在彈出的系統(tǒng)運(yùn)行對(duì)話框中，輸入“regedit”命令，切換到系統(tǒng)注冊(cè)表編輯界面中，將鼠標(biāo)定位到HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogonSpecialAccountsUserList節(jié)點(diǎn)上，如果該節(jié)點(diǎn)不存在的話，可以手工創(chuàng)建一個(gè)，之后在目標(biāo)節(jié)點(diǎn)下創(chuàng)建好“administrator”雙字節(jié)鍵值，并將該鍵值的數(shù)值設(shè)置為“00000001”，再重新啟動(dòng)計(jì)算機(jī)系統(tǒng)，就能實(shí)現(xiàn)上述控制目的。

此外，要提醒大家的是，要是將“administrator”鍵值的數(shù)值修改為“0”，那么Windows 系統(tǒng)在安全模式狀態(tài)下，將不會(huì)顯示administrator 帳戶，設(shè)為2將會(huì)在安全模式狀態(tài)下顯示administrator 帳戶。

在Windows 服務(wù)器系統(tǒng)中，大家有時(shí)會(huì)發(fā)現(xiàn)使用該系統(tǒng)自帶的IE 瀏覽器，進(jìn)行FTP下載操作時(shí)，IE 瀏覽器會(huì)彈出無法登錄FTP 服務(wù)器的故障現(xiàn)象，請(qǐng)問該系統(tǒng)是否在缺省狀態(tài)下，限制了用戶通過IE瀏覽器下載信息嗎？

答：由于安全方面的原因，Windows 服務(wù)器系統(tǒng)的確在缺省狀態(tài)下，限制了上網(wǎng)用戶通過IE 瀏覽器下載信息。如果希望讓該系統(tǒng)重新能夠正常下載信息，可以依次點(diǎn)擊“開始”、“運(yùn)行”命令，打開系統(tǒng)運(yùn)行對(duì)話框，輸入“regedit”命令并回車，展開系統(tǒng)注冊(cè)表編輯界面左側(cè)區(qū)域中的HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerMAINFeatureControlFEATURE_INTERNET_SHELL_FOLDERS 分支，用鼠標(biāo)雙擊該分支下的“iexplore.exe”注冊(cè)表鍵值，打開編輯數(shù)值對(duì)話框，輸入數(shù)值數(shù)據(jù)“1”，確認(rèn)后刷新一下系統(tǒng)注冊(cè)表即可。

在多人共用一臺(tái)計(jì)算機(jī)的情況下，可能需要對(duì)每位用戶的優(yōu)盤讀寫權(quán)限進(jìn)行控制，以防止系統(tǒng)感染優(yōu)盤病毒，那么如何對(duì)每位用戶的優(yōu)盤讀寫權(quán)限進(jìn)行控制呢？

答：在控制某個(gè)用戶的優(yōu)盤讀寫權(quán)限時(shí)，只要先以該用戶的賬號(hào)登錄系統(tǒng)，打開系統(tǒng)注冊(cè)表編輯窗口，依次展開該窗口左側(cè)區(qū)域的注冊(cè)表分支“HKEY_LOCAL_USERSYSTEMCurrentControlSetControlStorageDevice Policies”，用鼠標(biāo)雙擊該分支下的“WriteProtect”鍵值，將其數(shù)值設(shè)置為“1”，就表示當(dāng)前用戶會(huì)獲得優(yōu)盤的讀寫權(quán)限，如果該數(shù)值被設(shè)置成“0”，那么當(dāng)前用戶就沒有讀寫優(yōu)盤的操作權(quán)限。

有的用戶為了方便管理網(wǎng)絡(luò)打印機(jī)，往往會(huì)開通Web 打印與管理功能，不過該功能容易被非法用戶利用，從而威脅到本地系統(tǒng)安全，請(qǐng)問如何禁止普通用戶啟用這項(xiàng)功能？

答：在網(wǎng)絡(luò)打印機(jī)所在計(jì)算機(jī)中，依次單擊“開始”、“運(yùn)行”命令，在系統(tǒng)運(yùn)行框中執(zhí)行“regedit”命令，打開注冊(cè)表編輯窗口；依次展開“HKEY_LOCAL_MACHINESoftwarePoliciesMicrosoft”分支，右擊“Microsoft”選項(xiàng)，逐一單擊右鍵菜單中的“新建”、“項(xiàng)”命令，創(chuàng)建一個(gè)名為“Windows NT”的子項(xiàng)；再按同樣方法在“Windows NT”子項(xiàng)下面創(chuàng)建好“Printers”項(xiàng)，同時(shí)在該子項(xiàng)的右側(cè)區(qū)域創(chuàng)建一個(gè)“DisableWebPrinting”的 雙字節(jié)值，并將它的數(shù)值修改為“1”，最后刷新系統(tǒng)注冊(cè)表，就能禁止普通用戶啟用網(wǎng)絡(luò)打印機(jī)的Web 打印與管理功能了。

近日，系統(tǒng)任務(wù)管理器窗口無法打開，用注冊(cè)表或組策略相關(guān)相關(guān)設(shè)置，不能解決問題，拷貝新的“taskmgr.exe”文件到故障計(jì)算機(jī)系統(tǒng)中，同樣沒有效果，切換到系統(tǒng)安全模式也是老樣子。使用殺毒軟件清除干凈病毒、木馬程序后，任務(wù)管理器窗口可以正常彈出，不過剛彈出后就立即消失，不知道是什么原因？

答：該現(xiàn)象多半是被病毒木馬做了映像劫持，把若干個(gè)可執(zhí)行程序自動(dòng)映像到了系統(tǒng)“ntsd.exe”文件上了，所以即使拷貝新的任務(wù)管理器執(zhí)行文件，同樣打不開任務(wù)管理器窗口。大家知道，“ntsd.exe”文件是Windows 系統(tǒng)內(nèi)置的調(diào)試命令，上述現(xiàn)象很可能是計(jì)算機(jī)系統(tǒng)感染了病毒程序后，被病毒程序調(diào)用“ntsd.exe”命令終止了進(jìn)程。

要想成功解決上述故障，可以逐一點(diǎn)擊“開始”、“運(yùn)行”命令，展開系統(tǒng)運(yùn)行對(duì)話框，輸入“regedit”命令并確認(rèn)，進(jìn)入系統(tǒng)注冊(cè)表編輯器窗口。在該窗口的左側(cè)顯示區(qū)域中，將鼠標(biāo)定位到“hkey_local_machineSOftwareMicrosoftWindows NTCurrentVersionImage File Execution Options”注冊(cè)表分支上，接著將指定分支下面的所有鍵值選項(xiàng)全部選中，并對(duì)它們執(zhí)行刪除操作。

最后，下載使用最新版本的殺毒軟件，進(jìn)行查殺病毒木馬操作，查殺干凈后重新啟動(dòng)計(jì)算機(jī)系統(tǒng)，就能解決上述問題了。