|
2004-02-29, 07:31 PM
|
#1 |
|
榮譽會員
 
|
解決Windows XP網路鄰居共享的問題
導致Windows XP網路鄰居不能正確瀏覽或瀏覽列表不全的因素很多，解決問題需要對症下藥，而診斷程序分兩個步驟：測試基本連接、解決文件共享問題。
一、解決基本連接問題。 1、檢查電腦之間的物理連接。 網路卡是網路連接的基本設備，在桌面電腦中，每個網路卡後面的指示燈應該是亮的，這表示連接是正常的。如果不亮，請檢查集線器或交換機是開啟的，而且每個客戶端連接的指示燈都是亮的，這表示連結是正常的。接下來檢查網線的水晶頭是否接觸良好。 2、確保所有電腦上都安裝了TCP/IP，並且工作正常。 在Windows XP中預設安裝了TCP/IP。但是，如果出了網路問題想卸載後重新安裝TCP/IP就不容易了：在「本機連接」內容中顯示的此連接使用下列專案列表中按下Internet傳輸協定(TCP/IP)項，您將發現卸載按鈕不可用(被禁用)。 這是因為傳輸控制傳輸協定/Internet傳輸協定(TCP/IP)堆倉是Microsoft XP/ 2003的核心元件，不能刪除。在這種情況下，如果需要重新安裝TCP/IP以使TCP/IP堆倉恢復為原始狀態。可以使用NetShell實用程序重置TCP/IP堆倉，使其恢復到初次安裝操作系統時的狀態。方法是：在命令提示字元後鍵入以下指令，然後按ENTER鍵：netsh int ip reset c:\resetlog.txt，其中，Resetlog.txt記錄指令結果的日誌文件，一定要指定，這裡指定了Resetlog.txt日誌文件及完整路徑。執行此指令的結果與刪除並重新安裝TCP/IP傳輸協定的效果相同。 另外，不會還有人用95吧，WIN95預設情況下不自動安裝TCP/IP傳輸協定。 3、檢查IP位址 有幾種情況： 檢視不同的電腦的IP是否在同一範圍內，方法是在MSDOS方式下輸入IPCONFIG/ALL。如果一台電腦收到的位址在192.168.0.x範圍內，而另一台收到的位址在169.254.x.y範圍內，需要根據網路拓撲確定哪一個是正確的位址。然後，集中解決位址錯誤的那台電腦的問題。 關於169.254.x.y類IP位址 在不存在Internet連接的情況中，或者，每台電腦都有一個單獨的Internet連接(撥號連接或寬帶連接)。在這種配置中，電腦通常給自己分配169.254.x.y範圍內的IP位址(其中x和y是1到254之間的數字)。而將ISP提供的位址用於Internet連接。 關於192.168.0.X類IP位址 一台電腦通過使用Internet連接共享連線到共享的Internet。該連接可以是撥號連接或寬帶連接(一般是xDSL或電纜調製解調器)。該電腦也被稱為代理伺服器，一般的代理有SYGATE、WINGATE、NAT、ISA、CCPROXY等。通常是由代理伺服器負責為家庭網路中的其他電腦分配IP位址。 共享連接的電腦應該為連線到家庭網路的網路卡配置IP位址192.168.0.1。網路上其他電腦的位址應在192.168.0.x範圍內(其中x是2到254之間的數字)。當然，可以在成功共享後修改IP位址，如10.X.Y.Z等。 電腦連線到集線器，並且集線器通過寬帶連接與Internet連接。這種配置也稱為無邊界網路。在這種配置中，家庭網路中的每台電腦都有一個Internet服務提供商(ISP)提供的IP位址。 使用的位址因ISP而異。無邊界網路是一種特殊情況。在這種情況下應使用ICF，但必須採取其他措施才能在家庭網路啟用連接。 4、使用ping指令測試網路中兩台電腦之間的連接： ping其它電腦IP，在指令提示處，鍵入ping x.x.x.x(其中x.x.x.x是另一台電腦的IP位址)，然後按ENTER鍵。應該可以看到來自另一台電腦的幾個答覆，如： Reply from x.x.x.x:bytes=32 time<1ms TTL=128 如果沒有看到這些答覆，或者看到"Request timed out"，說明本機電腦可能有問題。 如果ping指令成功執行，那麼您就確定了電腦可以正確連接，可以跳過下一步。如果沒有看到這些答覆，或者看到"Request timed out"，說明本機電腦可能有問題。PING本機IP，如果看到"Request timed out"，說明本機電腦可能有問題。 5、使用ping指令測試網路中名稱解析是否正常 ping computername，其中computername是遠端電腦的名稱。通過ping指令用名稱測試電腦連接。 確定電腦的名稱的方法是：在指令提示處，輸入SYSTEMINFO。或者在桌面上右擊我的電腦-內容，然後按下電腦名稱稱選擇項。如果看到該指令的成功答覆，說明您在電腦之間具有基本連接和名稱解析。名稱解析跟NETBIOS密切相關，看下面的步驟。 6、分析日誌 檢查"網路安裝嚮導"日誌文件中沒有成功執行的任何步驟中的錯誤。開啟該日誌的方法是依次按下開始、執行，鍵入%SystemRoot%\nsw.log，然後按ENTER鍵。如果Nsw.log文件沒有提供有關該問題的信息，請檢查系統日誌中的錯誤並查明錯誤原因。 二、解決文件和列印機共享問題 1、正確安裝網路元件 首先右擊網路芳鄰-內容，選項要共享的網路卡。把IP設定在區域網路的同一個網段上。譬如192.168.0.X網段。然後看一下TCP/IP的進階內容中，是否開啟NETBIOS。 在利用WINNT4.0構建的網路系統中，對每一台主機的唯一標識信息是它的NetBIOS名，系統是利用WINS服務、信息廣播方式及Lmhost文件等多種模式將NetBIOS名解析為相應IP位址，從而實現信息通訊。在內部網路系統中(也就是通常我們所說的區域網路中)，利用NetBIOS名實現信息通訊是非常方便、快捷的。 但是在Internet上對一台主機的唯一標識信息是它的FQDN格式的域名(如www.163.com)，在Internet是利用DNS標準來實現將域名解析為相應IP位址，WIN2K支持動態DNS，執行活動目錄服務的機器可動態地更新DNS表。WIN2K網路中可以不再需要WINS服務，但是WIN2K仍然支持WINS，這是由於向後相容的原因。 目前，大多數網路是混合網，既有Win98等系統，又有WINXP/WIN2K等系統，因此需要在TCP/IP傳輸協定上元件服務NETBIOS解析電腦名稱。 檢視是否選定「文件和列印服務」元件，如果已將其取消選，「瀏覽服務」將不綁定到NetBIOS接頭。 成為制作備份瀏覽器並且沒有啟用「文件和列印共享」的關於Windows的電腦無法將瀏覽列表與客戶端機共享。任何將要包括在瀏覽列表中的電腦也都必須啟用「文件和列印共享」。 2、啟動"電腦瀏覽器"服務 電腦瀏覽器"服務在網路上維護一個電腦更新列表，並將此列表提供給指定為瀏覽器的電腦。如果停止了此服務，則既不更新也不維護該列表。 啟動"電腦瀏覽器"服務 按下開始，右擊我的電腦，然後按下管理。 在控制台樹中，展開"服務和應用程式"。 按下服務。 在右邊的詳細資料視窗中，檢查"電腦瀏覽器"服務是否已啟動，右擊電腦瀏覽器，然後按下啟動。 關閉"電腦管理"視窗。 3、檢視共用資料夾 請依次按下開始、執行，鍵入fsmgmt.msc，然後按下確定。在左視窗中，按下共享。右視窗中隨即出現共用資料夾列表。記下每台電腦的相應共享名稱。 4、起用Guest(來賓)帳戶 Windows XP的Guest帳戶允許其他人使用你的電腦，但不允許他們訪問特定的文件，也不允許他們安裝軟體。對Windows XP Home Edition電腦或工作組中的Windows XP Professional電腦的所有網路訪問都使用來賓帳戶。 使用net user guest確保為網路訪問設定了來賓帳戶，如果該帳戶是活動的，指令輸出中會出現一行類似下面這樣的內容：Account active Yes；如果該帳戶不是活動的，請使用下面的指令授予來賓帳戶網路訪問： net user guest /active:yes 5、允許Guest(來賓)帳號從網路上訪問。 在執行裡輸入gpedit.msc，彈出群組原則管理器，在『電腦配置-Windows設定-本機原則-使用者權利指派』中，有「拒絕從網路訪問這台電腦」原則阻止從網路訪問這台電腦，其中居然有GUEST帳號，誰能訪問這台電腦。解決辦法是刪除拒絕訪問中的GUEST帳號。 6、設定防火牆允許瀏覽服務 網路安全重要，所以最好開啟網路防火牆，但是防火牆阻斷正常的網路瀏覽服務通訊，結果是別人在網路芳鄰中看不到你的電腦，有沒有兩全其美的辦法在開啟防火牆的前提下允許瀏覽服務。辦法是，如果開啟了ICF，開啟內容，在服務這欄，選項增加，增加服務的對話視窗共有四個編輯框，最上邊是描述服務名稱，以便於記憶，從上到下第二個是套用服務的IP位址或名稱，輸入127.0.0.1表示本機。下面連個是內外連接埠號，旁邊的tcp/udp標示這個連接埠是udp連接還是tcp連接。 按照下面的表格輸入3個服務 名稱 傳輸協定 連接埠 NetBIOS Name Service UDP 137 NetBIOS Datagram Service UDP 138 NetBIOS Session Service TCP 139 137/UDP -- NetBIOS名稱伺服器,網路基本輸入/輸出系統(NetBIOS)名稱伺服器(NBNS)傳輸協定是TCP/IP上的NetBIOS (NetBT)傳輸協定族的一部分，它在關於NetBIOS名稱訪問的網路上提供主機名和位址映射方法。 138/UDP -- NetBIOS資料報,NetBIOS資料報是TCP/IP上的NetBIOS (NetBT)傳輸協定族的一部分，它用於網路登入和瀏覽。 139/TCP -- NetBIOS會話服務,NetBIOS會話服務是TCP/IP上的NetBIOS (NetBT)傳輸協定族的一部分，它用於伺服器消息塊(SMB)、文件共享和列印。 Windows XP最新的SP2修正檔對ICF做了很大的改進，功能更強大了，ICF有了自己的設定項，安裝SP2後，預設情況下，啟用ICF防火牆，不允許任何外部主動連接，即使是本機的應用程式要訪問網路也需要在許可列表中做設定。 7、取消簡單文件共享 Windows 2000操作系統中用戶在設定資料夾的共享內容時操作非常簡便，只需用滑鼠右擊該檔案夾並選項內容，就可以看到共享設定標籤。而在Windows XP系統設定資料夾共享時則比較複雜，用戶無法通過上述操作看到共享設定標籤。直接的修改方法如下：開啟"我的電腦"中的"工具"，選項"資料夾內容"，調出"檢視"標籤，在"進階設定"部分滾動至最底部將"Use simple file sharing (Recommended)"前面的選項取消，另外如果選項欄裡還有"Mickey Mouse"項也將其選項取消。這樣修改後用戶就可以像使用Windows 2000一樣對資料夾內容進行方便修改了。 圖10 對於Windows XP Home Edition： 1.開機時按"F8"進入"帶網路連接的安全模式" 2.登入後就可像在Windows其它版本中一樣設定共享權限了。 8、設定帳號和密碼 由於WinNT內核的操作系統，在訪問遠端電腦的時候，好像總是首先嘗試用本機的當前用戶名和密碼來嘗試，可能造成無法訪問，在這裡把用戶密碼增加進去就可以了。 圖11 9、多種方法訪問「網路電腦」 例如要開啟網路中名為「IBMZB」的電腦，其IP位址為10.41.221.5，如果你不清楚其它機器的IP位址，你可以使用「PING電腦名稱」來獲得它的IP位址。 用電腦名稱訪問，NETBIOS提供的服務。點擊「開始」表單，按下「執行」，在執行欄輸入「\IBM-ZB」，按下「確定」。 用IP位址訪問，在執行輸入欄中輸入「\10.41.221.5」，按下「確定」。 用搜尋電腦的方法訪問，電腦更新列表需要時間，搜尋電腦可以加快更新列表。點擊「網路芳鄰」右鍵中的「搜尋電腦」，輸入電腦名稱，點擊「立即搜尋」，就可以看到你要訪問的電腦。直接雙按右邊電腦名稱就可以開啟它了。 用映射驅動器的方法訪問，進入MS-DOS方式，輸入「NET VIEW \IBMZB」，Enter鍵螺o是檢視電腦IBMZB上有哪些共用資料夾，如D。 再輸入NET USE Z:\IBMZB\D螫N電腦IBM-ZB共享的資料夾D映射為H：盤，在命令提示字元下鍵入「Z:」。你會發現你已經連到IBMZB電腦上了。 10、檢查RPC、Plug and Play服務已啟動，檢查相應的系統檔案夾的權限，重新註冊以下的動態連結庫： regsvr32 netshell.dll regsvr32 netcfgx.dll regsvr32 netman.dll |
|
送花文章: 3,
|
|
2005-02-13, 12:00 AM
|
#10 (permalink) |
|
長老會員
 
|
感謝分享......剛想用個區域網路做分享資料
|
__________________ 金錢的數量，決定馬子的漂亮 硬碟的容量，決定男人的力量 製作Mail Logo按這裡 |
|
|
|
送花文章: 257,
|
|
2006-05-19, 02:32 AM
|
#11 (permalink) |
|
榮譽會員
|
Windows XP家庭版：不可不知的兩大軟肋
人們之所以要搭建家庭網路，首要的原因恐怕是共享Internet連接，Windows XP Pro和Home都直接提供了這方面的支持；另一個原因就是為了文件共享。 但是，如果你曾經仔細考慮過這方面的問題，就會發現事情不是那麼簡單。例如，既要能夠方便地從任何一台PC訪問所有資源，又要防止家裡的小孩隨意操作股票軟體——這就要求文件共享只對家庭內的一部分成員開放。對於這個要求，Win9x能夠滿足，允許為共享資源設定密碼；大多數Win NT家族的作業系統也能夠滿足，允許為各個用戶和組設定訪問權限——只有一個例外，那就是Windows XP Home版。如果你打算建立家庭網路，在決定選用Windows XP Home版之前，務必仔細斟酌。 一、缺乏安全保護的共用資料夾 Windows XP Home版為共用資料夾設計了一種微軟稱之為「簡單文件共享」的技術。開啟任意資料夾「內容」對話視窗的「共享」選擇項，如圖一所顯示，可以看到這裡的選項與以前的Windows大不相同。雖然通過圖一的對話視窗可以禁止用戶修改共用資料夾裡面的文件，但缺少其他版本的Windows都提供的使用權選項。  圖一 由於Windows XP Home不允許設定共用資料夾的密碼，所以要麼讓資料夾對所有的人都開放，要麼對所有的人都不開放。顯然，這不能滿足大多數家庭網路用戶的要求，因為一旦設定了資料夾的共享內容，就沒有辦法阻止任何人訪問它。 如果某個資料夾屬於用戶的私有組態文件（例如「我的文件」），「簡單文件共享」功能允許為該檔案夾加鎖，只要選「將這個資料夾設為專用」選項即可。啟用這個選項可以防止其他用戶訪問該檔案夾，但它要求文件系統必須是NTFS。另一方面，在NTFS文件系統中將資料夾設定為專用之後，用戶就不能再從遠端PC訪問它。 在使用NTFS的PC上，Windows XP Home允許分別為用戶使用權，就像在Windows XP Pro或Win 2K中一樣。問題在於，在Windows XP Home的NTFS磁碟區中，驅動器或資料夾的「內容」對話視窗沒有「安全」選擇項。設定權限的唯一辦法是以Administrator身份登入，而這只能在安全模式下進行（以安全模式啟動系統的方法是：啟動系統時按住F8鍵，然後選項帶網路連接的安全模式）。用Administrator身份登入系統之後，開啟共用資料夾「內容」對話視窗的「共享」選擇項，點擊「權限」。如圖二所顯示，在這裡可以為網路中的用戶和組分別設定完全控制、更改、讀取權限。如果要為不包含在列表中的用戶設定權限，點擊「增加」、「進階」、「立即搜尋」，從用戶列表（只包含本機用戶）選項一個用戶，然後設定其權限。  圖二 有人說，即使在FAT32系統上，也可以按照上述步驟設定權限。沒錯，Windows XP確實會讓你順利地完成每一步操作，而且你看到的對話視窗也和前面的完全一樣——但問題在於，對於FAT32，這些設定不會生效。FAT32系統不允許按照這種方式分別使用權，但它也不會在你設定的時候提示錯誤訊息。 對於遠端文件訪問，Windows XP Home的主要困難在於：Windows XP Home的網路是P2P網路（即對等網路），而不是構建在域裡面的網路。由於缺乏域伺服器，文件的使用權面向本機用戶名字，而這些本機用戶名字對於每一台PC來說是唯一的。例如，假設名為GAME的電腦上有一個用戶WuKong，則用戶的完整名字是GAME\WuKong。但是，如果WuKong登入另一台機器WORK訪問GAME，則他是WORK\WuKong，WORK\WuKong和GAME\WuKong被認為是兩個不同的用戶。在P2P網路中，不存在「網路級」的用戶。如果要讓用戶的權限在整個網路內有效，就必須有一個全局的名稱目錄，而這只有在擁有域伺服器的網路中才有可能。 因此，即使在採用NTFS文件系統的Windows XP Home中，訪問權限設定也只在本機有效，因為所有網路用戶都以Guest帳戶遠端登入。作為一種變通辦法，可以通過設定Guest帳戶密碼的辦法保護共用資料夾，操作步驟如下： １ 以管理員身份登入系統。選項表單「開始->設定->控制台」，選項「用戶帳戶」，點擊「Guest來賓帳戶」。確保該帳戶已經啟用。 ２ 選項表單「開始->執行」，輸入cmd，按Enter鍵，進入指令行狀態。在指令行環境中執行Net user guest password指令。 ３ 返回控制台中的「用戶帳戶」設定介面，選項Guest帳戶。現在可以給Guest帳戶設定密碼了。設定好密碼之後，重新啟動機器。 二、過於簡單的防火牆 Windows XP內建了一個簡單的防火牆。用網路嚮導組態網路以及共享Internet連接時，Internet連接防火牆（Internet Connection Firewall，ICF）自動啟用。 ICF禁止所有未經請求而主動提供的傳入通訊，但不會處理傳出的通訊（這就是說，如果這台PC上有病毒在向外傳送消息，ICF不會理會）。由於Windows XP的防火牆不區分來自Internet的傳入通訊和來自LAN其他節點的傳入通訊，所以ICF和家庭區域網路之間存在衝突（嚴格地講，用戶可以組態ICF，為特定的系統服務開啟某些連接阜，不過這部分操作比較複雜，此處不再贅述）。 要解決這個問題，一種簡便易行的方法是在安裝了Internet連接並提供連接共享的PC上安裝兩張網路卡。假設Internet連接使用的是ADSL，則一塊網路卡連線到DSL調製解調器，啟用ICF；另一塊網路卡連接內部網路，禁用ICF。 如果所有區域網路上的PC和ADSL調製解調器都接入同一個Hub，還有另一種行之有效的方法，就是為內部網路安裝一種非TCP/IP的傳輸協定，NetBEUI傳輸協定是一種理想的選項，既小巧又快速。在以前的Windows中，NetBEUI作為預設值支持的傳輸協定，只要稍微點擊幾下就可以完成安裝。Windows XP的網路傳輸協定列表不再列出NetBEUI，但Windows XP的CD仍包含了安裝NetBEUI傳輸協定需要的文件。這些文件在類型add\MSFT\Net\NetBEUI資料夾下，把Nbs.sys文件複製到Windows\System32\Drivers目錄，把Netnbf.inf複製到Windows\Inf目錄。然後在控制台中，開啟「網路連接」，選項接入內部網路的連接並開啟它的「內容」對話視窗。在「一般」選擇項中，依次選項「安裝」、「傳輸協定」、「增加」，然後選項NetBEUI傳輸協定。在這種組態方案中，ICF將繼續禁止本機網路的TCP/IP通訊，但現在本機網路的通訊可以通過NetBEUI完成了。 最後一種方案是禁用ICF，加裝帶內建防火牆的路由器，或安裝一個第三方的防火牆，例如Norton Internet Security或Sygate Personal Firewall等。這些產品均提供比較完善的功能和組態選項，只要條件許可，應當優先選用這些產品，放棄簡單的ICF。 和以前的Windows版本相比，Windows XP的穩定性對家庭用戶有著極大的吸引力，豐富的多媒體功能更使許多人心動。儘管如此，嚴格地講，Windows XP Home版從許多方面來看只能算是一個功能簡化的版本。打算建立家庭網路的用戶應當注意Windows XP Home在區域網路支持方面的不足，如有必要，可以換用Windows XP Pro甚至以前的Windows版本。 Windows XP Home Edition 中缺少特殊的共用資料夾 察看本文套用於的產品 症狀 出於安全考慮，Microsoft Windows XP Home Edition 不會自動新增驅動器磁碟代號$ 或 Admin$ 特殊共用資料夾。 更多訊息 在 Windows 的其他版本中，預設值情況下會新增驅動器磁碟代號$ 和 Admin$ 特殊共用資料夾。管理員使用 驅動器磁碟代號$ 特殊共用資料夾可以連線到驅動器的根目錄。Admin$ 特殊共用資料夾是在電腦遠端管理期間電腦使用的資源。 http://support.microsoft.com/kb/281248/EN-US/ |
__________________
|
|
|
|
送花文章: 3,
|
|
2006-05-19, 02:49 AM
|
#12 (permalink) |
|
榮譽會員
|
Windows XP 基準安全清單
這些清單概述了在 Windows XP Home Edition 和 Windows XP Professional 電腦上要達到安全基準時應該採取的步驟，無論它們是單獨的還是作為 Windows NT 域或 Windows 2000 域的一部分。 要點： 這些清單的作用是指導您如何在 Windows XP 電腦上組態基準等級安全。本指南未提供包含在 Windows XP 中的所有安全功能的完整列表或如何使用它們。有關 Windows XP 中可用的新增安全功能的完整列表可從 Microsoft 網站獲得。 這些清單包含有關編輯註冊表的訊息。在編輯註冊表之前，請確保您知道如何在出現問題時加以恢復。有關如何操作的訊息，請參閱註冊表編輯器的聯機說明 。 Windows XP Home Edition 組態 步驟 驗證所有的磁牒分區都以 NTFS 格式進行了格式化 保護文件共享 針對共享的 Internet 連接使用「Internet 連接共享」 啟用 Internet 連接防火牆 使用帳戶密碼 使用「保密」功能 安裝防病毒軟體及其更新 及時進行最新的安全更新 Windows XP Professional 組態 步驟 驗證所有的磁牒分區都以 NTFS 格式進行了格式化 保護文件共享 針對共享的 Internet 連接使用「Internet 連接共享」 啟用 Internet 連接防火牆 使用軟體限制原則 使用帳戶密碼 禁用不必要的服務 禁用或移除不必要的帳戶 確保禁用了來賓帳戶 設定更加可靠的密碼原則 設定帳戶鎖定原則 安裝防病毒軟體及其更新 及時進行最新的安全更新 Windows XP Home Edition 組態的清單詳細資料 驗證所有的磁牒分區都以 NTFS 格式進行了格式化 NTFS 分區能夠提供 FAT、FAT32 或 FAT32x 文件系統所不能提供的訪問控制與保護。確保電腦中的所有分區使用 NTFS 格式進行了格式化。如果必要，請使用轉換實用程序將 FAT 分區非破壞性的轉換為 NTFS 格式。 保護文件共享 Windows XP Home Edition 使用一種被稱作「簡單文件共享」的網路訪問模式。在此模式下，所有從網路另一端登入電腦的企圖都會被強制要求使用來賓帳戶。這意味著從 Server Message Block（即 SMB，用於文件和列印訪問）或 Remote Procedure Call（即 RPC，大多數遠端系統管理工具和遠端註冊表訪問會使用它）所進行的遠端訪問將只能採用來賓帳戶。 在「簡單文件共享」模式中，可以新增文件共享從而使得網路訪問為唯讀，或者使得網路訪問可以是讀、新增、更改和移除文件。「簡單文件共享」適用於家庭網路並要求位於防火牆後，Windows XP 提供的即為這種網路。如果您連線到了 Internet，但是沒有在防火牆之後操作，請注意，任何 Internet 用戶都將可能訪問您所新增的文件共享。 針對共享的 Internet 連接使用「Internet 連接共享 (ICS)」 Windows XP 通過 ICS 功能提供了在家庭或小型商務網路上多台電腦共享單一 Internet 連接的能力。一台被稱作 ICS 主機的電腦直接連線到 Internet 並與網路上的其餘電腦共享其連接。所有的客戶電腦都依靠該 ICS 主機提供 Internet 訪問。啟用 ICS 可以增強安全性，因為此時只有該 ICS 主機電腦在 Internet 上可見。 要啟用 ICS，請在「網路連接」中右鍵按下某個 Internet 連接，按下「內容」，按下「進階」選擇項，然後選相應的複選框。 您還可以使用「家庭組網嚮導」來組態 ICS。有關 ICS 的詳細資料，請參閱 Windows XP 中的「說明及支援中心」。 啟用 Internet 連接防火牆 (ICF) Internet 連接防火牆 (ICF) 設計用於家庭和小型商務，它為直接連線到 Internet 的 Windows XP 電腦，或那些連線到執行 ICF 的 Internet 連接共享主機的電腦或設備提供保護。Windows XP ICF 使用動態資料包篩選，這意味著防火牆上的連接阜只會在需要的時候動態開啟，以便您訪問感興趣的服務。 要啟用 ICF，請在「網路連接」中右鍵按下某個 Internet 連接，按下「內容」，按下「進階」，然後選相應的複選框。 您還可以使用「家庭組網嚮導」來組態 ICF。有關 ICF 的詳細資料，請參閱 Windows XP 中的「說明及支援中心」。 使用帳戶密碼 如果訪問 Windows XP Home Edition 電腦的有多個用戶，並且他們希望自己的資料不會彼此被看到，則應該為該電腦上的每個帳戶指定密碼。在預設值情況下，Windows XP 的家庭用戶都有獨立的但是可被訪問的文件儲存於區（可以選項密碼保護）。當您為自己新增密碼之後，Windows 會鎖定您的「我的文件」資料夾及其所有的子資料夾。這樣，當您擁有密碼並且希望保密時，電腦上的其他非管理員用戶就無法訪問您的資料。指定帳戶密碼還可以阻止他人上前來使用該電腦。 使用「保密」功能 在簡單文件共享模式中，Windows 並未將管理文件訪問控制列表的複雜性直接呈現在用戶面前。相反，該用戶介面只突出了一個被稱作「保密」的選項。當針對某個資料夾選該選項時，會更改該檔案夾的訪問控制，從而使得其他非管理員用戶無法訪問它。該功能只有在文件系統為 NTFS 時才起作用。 安裝防病毒軟體及其更新 保護系統時，最重要的事情之一就是使用防病毒軟體並確保它的及時更新。Internet 上的所有系統、公司的 Intranet 或者家庭網路都應該安裝防病毒軟體。 在 Microsoft TechNet 安全網站上可以獲得更多的防病毒安全訊息。 及時進行最新的安全更新 Windows XP 中的「自動更新」功能可以自動檢測並下載來自 Microsoft 的最新安全修補程式。可以將「自動更新」組態成在後台自動下載修補程式並在下載完成後提醒用戶安裝它們。 要組態「自動更新」，請按下「控制台」中的「系統」，然後選項「自動更新」選擇項。選項第一個通知設定，這樣可以自動下載更新程序並在準備安裝它們時通知您。 另外，Microsoft 還會通過其安全通知服務發怖安全電子公告。這些電子公告是針對任何發現有安全問題的 Microsoft 產品發怖的。當這些電子公告推薦安裝安全修補程式時，您應該立即下載修補程式並將其安裝在電腦上。 Windows XP Professional 組態的清單詳細資料 驗證所有的磁牒分區都以 NTFS 格式進行了格式化 NTFS 分區能夠提供 FAT、FAT32 或 FAT32x 文件系統所不能提供的訪問控制與保護。確保電腦中的所有分區使用 NTFS 格式進行了格式化。如果必要，請使用轉換實用程序將 FAT 分區非破壞性的轉換為 NTFS 格式。 保護文件共享 預設值情況下，未連線到域的 Windows XP Professional 系統使用一種被稱為「簡單文件共享」的網路訪問模式。在此模式下，所有從網路的另一端登入電腦的企圖都會被強制要求使用來賓帳戶。這意味著從 Server Message Block（即 SMB，用於文件和列印訪問）或 Remote Procedure Call（即 RPC，大多數遠端系統管理工具和遠端註冊表訪問會使用它）所進行的遠端訪問將只能採用來賓帳戶。 在「簡單文件共享」模式中，可以新增文件共享從而使得網路訪問為唯讀，或者使得網路訪問可以讀、新增、更改或移除文件。「簡單文件共享」適用於家庭網路並要求位於防火牆後，Windows XP 提供的即為這種網路。如果您連線到了 Internet，但是沒有在防火牆之後操作，請注意，任何 Internet 用戶都將有可能訪問您所新增的文件共享。 如果您的 Windows XP 電腦連接在域中，或者禁用了「簡單文件共享」，則會使用「典型」安全模式。在「典型」安全模式中，試圖從網路的另一端登入本機電腦的用戶必須要經過身份驗證，他們不會被映射到來賓帳戶。為了只將網路訪問權授給有關的組或單個用戶，需要新增文件共享。 針對共享的 Internet 連接使用「Internet 連接共享 (ICS)」 Windows XP 通過 ICS 功能提供了在家庭或小型商務網路上多台電腦共享單一 Internet 連接的能力。一台被稱作 ICS 主機的電腦直接連線到 Internet 並與網路上的其餘電腦共享其連接。所有的客戶電腦都依靠該 ICS 主機提供 Internet 訪問。啟用 ICS 可以增強安全性，因為此時只有該 ICS 主機在 Internet 上可見。 要啟用 ICS，請在「網路連接」中右鍵按下某個 Internet 連接，按下「內容」，按下「進階」選擇項，然後選相應的複選框。 您還可以使用「家庭組網嚮導」來組態 ICS。有關 ICS 的詳細資料，請參閱 Windows XP 中的「說明及支援中心」。 啟用 Internet 連接防火牆 (ICF) Internet 連接防火牆 (ICF) 設計用於家庭和小型商務，它為直接連線到 Internet 的 Windows XP 電腦，或那些連線到執行 ICF 的 Internet 連接共享主機電腦的電腦或設備提供保護。Windows XP ICF 使用動態資料包篩選，這意味著防火牆上的連接阜只會在需要的時候動態開啟，以便您訪問感興趣的服務。 要啟用 ICF，請在「網路連接」中右鍵按下某個 Internet 連接，按下「內容」，按下「進階」，然後選相應的複選框。 您還可以使用「家庭組網嚮導」來組態 ICF。有關 ICF 的詳細資料，請參閱 Windows XP 中的「說明及支援中心」。 使用軟體限制原則 軟體限制原則為管理員提供了一種標幟各自域中執行的軟體以及控制該軟體執行效能的原則驅動機制。管理員使用軟體限制原則可以阻止不希望的程序執行，這些程序包括病毒、特洛伊木馬或其他已知在安裝時會導致衝突的軟體。通過組態本機安全原則，軟體限制原則可用於獨立的電腦上。軟體限制原則還可以和群組原則以及 Active Directory 整合。 有關新增軟體限制原則的詳細資料，請參考 Windows XP Professional 和 Windows XP Home Edition 的新增安全內容白皮書。 使用帳戶密碼 為了保護那些未對其帳戶採用密碼保護的用戶，沒有密碼的 Windows XP Professional 帳戶只能從物理的電腦控制台登入。預設值情況下，除非在主物理控制台登入螢幕，否則空密碼帳戶將不再能用於從網路遠端登入電腦或其他所有登入操作。比如，您將無法作為本機空密碼用戶使用輔助登入服務 (RunAs) 啟動程序。 為本機帳戶指定密碼會解除阻止從網路登入的限制。它還將允許該帳戶訪問所有已使用權它訪問的資源，甚至通過網路連接。因此，與其為帳戶指定一個不可靠、易於猜中的密碼，還不如將保留的空密碼指定給它。在指定帳戶密碼時，請確保密碼至少有九個字元長，並在最前面的七個字元中至少含有一個標點符號或非印字 ASCII 字元。 警告 如果電腦所處的物理位置不安全，建議您為所有的本機用戶帳戶指定密碼。否則，任何可以物理訪問該電腦的人員都能使用不帶密碼的帳戶輕易登入。這對於便攜式電腦而言尤其重要。便攜式電腦的所有本機用戶帳戶始終應該有可靠的密碼。 注意 這種限制不適用於域帳戶， 同樣也不適用於本機來賓帳戶。如果啟用了帶有空密碼的來賓帳戶，則系統允許其登入並訪問該來賓帳戶所使用權訪問的任何資源。 如果您希望禁用沒有密碼則不允許登入網路的限制，可以通過「本機安全原則」來完成。 禁用不必要的服務 安裝 Windows XP 之後，您應該禁用那些對電腦而言不必要的所有網路服務。尤其應該考慮電腦是否需要某些 IIS Web 服務。預設值情況下，IIS 並未作為 Windows XP 的元件安裝。只有在特別需要這種服務時，才安裝它。 禁用或移除不必要的帳戶 您應該在「電腦管理單元」中檢查系統上的啟動帳戶（對用戶和程序而言）列表。禁用所有非啟動帳戶並移除不再需要的帳戶。 確保禁用了來賓帳戶 該設定選項僅適用於屬於域的 Windows XP Professional 電腦或未使用「簡單文件共享」模式的電腦。 在未連線到域的 Windows XP Professional 系統上，試圖從網路的另一端登入的用戶在預設值情況下將被強制要求使用來賓帳戶。這種修改是為了阻止那些企圖從 Internet 訪問系統的黑客使用沒有密碼的本機管理員帳戶登入。要使用該功能（它是「簡單文件共享」模式的一部分），必須在所有未加入到域的 Windows XP 電腦上啟用來賓帳戶。對加入到域的電腦或已禁用了「簡單文件共享」模式並且未加入到域的電腦而言，應該禁用來賓帳戶。這將阻止那些試圖登入電腦的用戶使用來賓帳戶訪問網路。 設定更加可靠的密碼原則 為了保護那些未對其帳戶採用密碼保護的用戶，沒有密碼的 Windows XP Professional 帳戶將只能用於從物理的電腦控制台登入。預設值情況下，除非在主物理控制台登入螢幕，否則空密碼帳戶將不再能用於從網路遠端登入電腦或其他所有登入操作。 注意 該限制不適用於域帳戶。亦不適用於本機來賓帳戶。如果啟用了帶有空密碼的來賓帳戶，它將被允許登入並訪問由該來賓帳戶所授予訪問的任何資源。 使用「本機安全原則」管理單元可加強用於密碼接受的系統原則。Microsoft 建議您進行下列修改： 將最小密碼長度設定為 8 個字元 設定一個適合您網路的最短密碼期限（通常介於 1 至 7 天之間） 設定一個適合您網路的最長密碼期限（通常不超過 42 天） 設定最小為 6 的密碼歷史記錄維護（使用「記住密碼」單選按鈕） 設定帳戶鎖定原則 Windows XP 包含的帳戶鎖定功能可以在登入失敗的次數達到管理員指定的之後禁用該帳戶。比如，可以設定在登入失敗次數達到 5 至 10 次後啟用本機帳戶鎖定，在至少 30 分鍾後重置該帳戶，或者將鎖定期限設定為「永久（直到管理員解鎖）」。如果覺得過於嚴厲，您可以考慮讓帳戶在一定的時間之後自動解鎖。 使用帳戶鎖定的目的通常有兩個：一是使試圖使用無效密碼登入用戶帳戶的多次操作被察覺到，二是防止辭典攻擊時猜測帳戶密碼的企圖，或反覆猜測密碼的企圖。在這裡沒有一個能適用於所有情形的十全十美的設定。您可以根據自己的環境考慮合理的設定。 安裝防病毒軟體及其更新 保護系統時，最重要的事情之一就是使用防病毒軟體並確保它的及時更新。Internet 上的所有系統、公司的 Intranet 或者家庭網路都應該安裝防病毒軟體。 在 Microsoft TechNet 安全網站上可以獲得更多的防病毒安全訊息。 及時進行最新的安全更新 Windows XP 中的「自動更新」功能可以自動檢測並下載來自 Microsoft 的最新安全修補程式。可以將「自動更新」組態成在後台自動下載修補程式並在下載完成後提醒用戶安裝它們。 要組態「自動更新」，請按下「控制台」中的「系統」，然後選項「自動更新」選擇項。選項第一個通知設定，這樣可以自動下載更新程序並在準備安裝它們時通知您。 另外，Microsoft 還會通過其安全通知服務發怖安全電子公告。這些電子公告是針對任何發現有安全問題的 Microsoft 產品發怖的。當這些電子公告推薦安裝安全修補程式時，您應該立即下載修補程式並將其安裝在電腦上。 |
|
|
送花文章: 3,
|
|
2006-05-20, 05:49 PM
|
#13 (permalink) |
|
榮譽會員
|
揭開Windows網路鄰居的內幕秘密
有關網路芳鄰的問題，問的人一直比較多，在理解上存在的誤區也普遍較為嚴重。鑒於Microsoft的NETBIOS我的文件不是很細緻，我四處收集了一些相關資料加上自己的實踐經驗寫了這個系列，希望能對大家有所說明 。 本來想為了增加可讀性，把這個系列寫成問答的形式，不過一時之間腦袋裡也編不出這麼多的問題，還是按部就班先感性的對微軟的瀏覽服務作一大致介紹，然後再深入分析NETBIOS的具體工作機理,大家要是有什麼問題,可以提出來我們一起討論。 （一）微軟網路瀏覽程序簡介 在「Windows NT系統管理技術內幕」一書中，講到了一個非常具有代表性的問題，我把它摘抄了下來： 問：什麼情況下會導致在網路鄰居中電腦能看見卻無法訪問或可以訪問卻看不見？請選項最佳答案： A.你的網路存在物理問題,比如網線 B.作為域主瀏覽器的Windows NTserver的瀏覽服務壞了 C.Windows NTserver網路卡有問題 D.你的網路沒有問題,用戶描述的是正常的微軟瀏覽現象 正確答案，書上的解釋  。微軟的網路瀏覽可能在使用中出現"中斷",而實際上它們並沒有中斷, 這種誤解是由於用戶對微軟網路瀏覽的處理程序不熟悉造成的。 就像同學們經常在抱怨的「為什麼別人的網路芳鄰可以用，我的卻不行？」「為什麼有時候可以瀏覽，有時候卻無法瀏覽網路？」解鈴還須繫鈴人，讓我們一起去看看微軟的網路瀏覽到底是如何實現的。鑒於大家可能對NT的「域」概念還不甚瞭解，出現瀏覽故障的也多為98的電腦，我將以98的「工作組模式」為大家講解 （二）網路瀏覽 1.什麼是瀏覽列表（Browsing List） 在微軟網路中，用戶可以在瀏覽列表裡看到整個網路（何指？子網還是廣播域？大家可以考慮考慮）上所有的電腦。當你通過網路芳鄰視窗開啟整個網路時，你將看到一個工作組列表，再開啟某個工作組，你將看到裡面的電腦列表（也可在 DOS方式下用net view /domain:workgroupname指令得到），這就是我們所說的 Browsing List。工作組從本質上說就是共享一個瀏覽列表的一組電腦，所有的工作組之間都是對等的，沒有規定不可以讓所有的電腦同處於一個工作組中。 2.瀏覽列表在哪裡 有人說：網路芳鄰裡的電腦列表是廣播查詢得來的。可有人舉反例說：我的同學都關機了，可我還是能在網路芳鄰裡看到它，應該是從HUB或交換機之類較為固定的設備的快取中取得的。其實他們都只說對了一個方面，把他們二人的說法結合起來就是正確答案了--- 瀏覽列表是通過廣播查詢瀏覽主控伺服器，由瀏覽主控伺服器提供的。 3.瀏覽主控伺服器又是什麼 瀏覽主控伺服器是工作組中的一台最為重要的電腦，它負責維護本工作組中的瀏覽列表及指定其他工作組的主控伺服器列表，為本工作組的其他電腦和其他來訪本工作組的電腦提供瀏覽服務，每個工作組都為會每個傳輸傳輸協定選項一個瀏覽主控伺服器，而我們經常遇到的無法瀏覽網路的錯誤大多是因為你所處的工作組沒有瀏覽主控伺服器而造成的。你可以在一個工作組中用NBTSTAT -a computername 指令找出使用NBT傳輸協定的瀏覽主控伺服器，它的標幟是含有\\_MSBROWSE_ 名字段。 4.瀏覽主控伺服器是如何指定的 預設情況下，win98工作組中的瀏覽主控伺服器是該工作組中第一台啟用文件及列印機共享功能的電腦，也允許手動式將一台win電腦設定為瀏覽主控伺服器（方法會在後面講述網路組態時具體介紹，但由於瀏覽主控伺服器需要維護動態瀏覽列表，效能會受影響），如果一個工作組中有多台電腦設定了這個選項，或是現用的瀏覽主控伺服器關閉了系統，又沒有其他電腦啟用主控設定時，就要進行主控瀏覽器的選舉。 5.如何通過瀏覽器選舉產生瀏覽主控伺服器 關於瀏覽器的選舉報文,不太好抓包,我就只好按書上的東西來講述了.其實程序很簡單,首先由一台電腦傳送一個選舉臨界報文,該報文包含了來自傳送電腦的訊息(作業系統,版本及NET名等),選舉報文向網路中廣播,工作組中的每一台電腦都會用自身訊息與選舉報文進行優先等級比較,主要是作業系統起主要作用,記得好像是NT Server>NT Workstation>Win98>WFWG,反正到最後是那個自身條件最好的成為新的瀏覽主控伺服器. 當一台win98進入網路時，如果它帶有伺服器服務（啟用了文件及列印機共享）會向網路廣播宣告自己的存在，而瀏覽主控伺服器會取得這個宣告並將它放入自己維護的瀏覽列表中；而沒有在相應傳輸協定上綁定文件及列印機共享的電腦則不會宣告，因而也就不會出現在網路鄰居裡了。當客戶電腦想獲得需要的網路資源列表時，首先會廣播發出瀏覽請求，瀏覽主控伺服器收到請求後，如果請求的是本組的瀏覽列表，則直接將客戶所需的資源列表發回；如果請求的是其它工作組的瀏覽列表，瀏覽主控伺服器會根據本身Browsing List中的記錄找到相應工作組的主控瀏覽器返回給用戶，用戶可從那裡得到它想要的瀏覽列表。至於如何去和另一台電腦共享交換資源，就不是我們這裡要討論的問題了。 明白了網路瀏覽的原理，下面我給大家講一個有用的套用，現在很多同學出於安全的考慮都不太歡迎陌生人通過網路芳鄰訪問自己的電腦，可有時下部電影又需要給認識的同學共享出來，因而還不能移除文件及列印機共享服務。怎麼辦？有些人給共享名加個$，以達到隱藏的效果，可這用DOS下的net share是可被看到的；有些人給共享加上密碼，可聽說這也是有辦法破解的，而且很容易激起「黑客同志」的好奇心。有沒有辦法將自己的機器在網路鄰居裡隱藏起來呢？而對於認識的同學可以讓他用\\IP 來訪問。想對了，關鍵就是要阻止自己的機器向網路中去宣告自己，而且我知道我們其中的一些 人已經將此變成了現實，至於方法嘛，就不要來問我了。 註：因為有關win98瀏覽服務的資料很少，涉及的書籍也多為以NT的「域」模型進行介紹，因而我只能根據自己的理解結合netxray的實踐來測試，細節部分難 免有錯，歡迎大家指正。 7.在我的網路芳鄰裡為什麼有些電腦訪問不了 如果微軟的網路芳鄰真能做到所見即所得，相信抱怨它的人不會像現在這麼多，可通過前面對瀏覽服務的介紹，大家已經知道這是不可能的，因為瀏覽列表的獲得不是通過訪問其中每一台電腦得到的，很多時候網路中的電腦並不能正確更新瀏覽列表。當一台電腦正常關機時，它會向網路發出廣播宣告，使瀏覽主控伺服器及時將它從瀏覽列表中移除；而非正常關機後，瀏覽列表裡仍會把該 列項保持很長一段時間(NT下是45分鍾),這就是我們仍能在網路鄰居裡看到它的原因.而98的穩定性是眾所周知的 ----在還沒來得及關機前就已經崩潰了^-^ SMB（Server Message Block）傳輸協定在NT/2000中用來作文件共享，在NT中，SMB執行於NBT（NetBIOS over TCP/IP）上，使用137，139（UDP），139（TCP）連接阜。在2000中，SMB可以直接執行在tcp/ip上，而沒有額外的NBT層，使用TCP 445連接阜。因此在2000上應該比NT稍微變化多一些。 可以在「網路連接/內容/TCPIP傳輸協定/內容/進階/WINS中設定啟用或者禁用NBT（NetBIOS over TCP/IP）。 當2000使用網路共享的時候，就面臨著選項139或者445連接阜了。下面的情況確定會話使用的連接阜： 1、如果客戶端啟用了NBT，那麼連接的時候將同時訪問139和445連接阜，如果從445連接阜得到回應，那麼客戶端將傳送RST到139連接阜，終止這個連接阜的連接，接著就從445連接阜進行SMB的會話了；如果沒有從445連接阜而是從139得到回應，那麼就從139連接阜進行會話；如果沒有得到任何回應，那麼SMB會話失敗。 2、如果客戶端禁用了NBT，他就將只從445連接阜進行連接。當然如果伺服器（開共享端）沒有445連接阜進行SMB會話的話，那麼就會訪問失敗了，所以禁用445連接阜後，對訪問NT機器的共享會失敗。 3、如果伺服器端啟用NBT，那麼就同時監聽UDP 137、138連接阜和TCP139，445。如果禁用NBT，那麼就只監聽445連接阜了。 所以對於2000來說，共享問題就不僅僅是139連接阜，445連接阜同樣能夠完成。 |
|
|
送花文章: 3,
|
|
2006-05-20, 05:50 PM
|
#14 (permalink) |
|
榮譽會員
|
三）關於空會話
The NULL session,關於空會話 NULL會話（空會話）使用連接阜也同樣遵循上面的規則。NULL會話是同伺服器建立的無信任支持的會話。一個會話包含用戶的認證訊息，而NULL會話是沒有用戶的認證訊息，也就好比是一個匿名的一樣。 沒有認證就不可能為系統建立安全通道，而建立安全通道也是雙重的，第一，就是建立身份標誌，第二就是建立一個臨時會話密匙，雙方才能用這個會話進行加密資料交換（比如RPC和COM的認證等級是PKT_PRIVACY）。不管是經過NTLM還是經過Kerberos認證的票據，終究是為會話新增一個包含用戶訊息的令牌。（這段來自Joe Finamore） 根據WIN2000的訪問控制模型，對於空會話同樣需要提供一個令牌。但是空會話由於是沒有經過認證的會話，所以令牌中不包含用戶訊息，因此，建立會話雙方沒有密匙的交換，這也不能讓系統間傳送加密訊息。這並不表示空會話的令牌中不包含SID，對於一個空會話，LSA提供的令牌的SID是S-1-5-7，這就是空會話建立的SID，用戶名是ANONYMOUS LOGON。這個用戶名是可以在用戶列表中看到的。但是是不能在SAM資料庫中找到，屬於系統內裝的帳號。 （關於這部分對NULL SESSION的分析，可以參照：《NULL Sessions InNT/2000》http://rr.sans.org/win/null.php） NULL會話幾乎成為了微軟自己安置的後門，但是微軟為什麼要來設定這樣一個「後門」呢？我也一直在想這個問題，如果NULL會話沒有什麼重要的用途，那麼微軟也應該不會來設定這樣一個東西。好不容易才在微軟上找到這個： 當在多域環境中，要在多域中建立信任關係，首先需要找到域中的PDC來通過安全通道的密碼驗證,使用空會話能夠非常容易地找到PDC，還有就是關於一些系統服務的問題。而且LMHOSTS的#Include就需要空會話的支持，可以參考文章： http://support.microsoft.com/default...;EN-US;q121281 http://support.microsoft.com/default...;EN-US;q124184 其實建立一個空會話的條件也非常嚴格。首先要能夠滿足上面的，也就是開啟TCP 139和TCP 445連接阜。我們可以從一次關閉這兩個連接阜的情況中看得出來。伺服器關閉445和139連接阜，然後我們來進行空會話的連接。首先，客戶端打算連接的是445連接阜，然後再試圖連接139連接阜。當然最後還是失敗了。 僅僅開放這兩個連接阜還不行，伺服器還必須得開啟IPC$共享。如果沒有IPC共享，即使共享一個文件，有權限為Anonymous Logon，也不能建立會話，即使權限設定為完全控制，出現的連接錯誤依然是權限不夠。這和其他帳號是不一樣的。如果要允許一個資料夾共享能夠類似IPC$（命名管道而非共享）能夠使用空會話，那麼需要修改註冊表： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters\中的：NullSessionShares，增加新的共享名，這樣才能建立一個共享的空會話。這時，將不依賴IPC的存在了。 （即使這樣的空會話對於後面的突破也是一點沒可取之處的，因為沒有了IPC$命名管道，RPC不可取了，這下知道IPC這個命名管道的具體實現了。哈哈） 雖然空會話建立的要求很嚴格，但是那都是預設值建立的。既然是預設值的，對於使用WIN2K系統的伺服器來說，就還是有利用的價值。最明顯的就是空會話可以很方便地連線到其他的域,枚舉用戶、機器等。這也就是掃瞄軟體進行探測的原理。 （四）共享技巧 1. > 有些人給共享名加個$，以達到隱藏的效果，可這用DOS下的net share是可被看到的； 這種隱藏只是微軟Windows標準客戶端net view的限制，不是服務端的限制，網路傳輸程序中是一視同仁的，所以直接修改客戶端解除這種限制或者使用第三方客戶端軟體均可看到所謂的隱藏共享，比如smbclient就是典型代表。 2. > 有些人給共享加上密碼，可聽說這也是有辦法破解的 這個破解要看是什麼層面上的，純暴力破解的就不必說了，那當然總是可以的。而9598另有漏洞，就是他那個著名的vredir.vxd，服務端驗證密碼時所用長度居然是客戶端提供的，這就意味著至多猜測256次(事實上沒這麼多，考慮可列印字元範圍)即可進入。當初N多人用這種辦法非法瀏覽別人的機器。2000年報告微軟，現在已修補。 http://security.nsfocus.net/index.ph...=view&adv_id=6 順便說一句，利用該漏洞可以快速窮舉出原始密碼，雖然在攻擊中這是不必要的。 3. > 因而我只能根據自己的理解結合netxray的實踐來測試，細節部分難免有錯，推薦http://www.ethereal.com提供的Ethe...供源碼。 ４. > 在2000中，SMB可以直接執行在tcp/ip上，而沒有額外的NBT層，使用TCP 445連接阜。因此在2000上應該比NT稍微變化多一些。 事實上正相反，在ssaxh_capabilities字段中指明不使用"增強安全驗證"，此時使用原有身份驗證機制，只需去掉NBT層的Session Request，將139/TCP改成445/TCP，一樣可以成功建立空會話，並且成功開啟\\IPC$。 至於更高層的RPC Over SMB，更是不必作任何變動。換句話說，從139/TCP換到445/TCP，整個通信程序中減少了一對NBT Session Request/Response，後面的報文對於兩者來說是完全一致的。 而所謂的NBT層，即使在445通信中也未去掉，一直存在著，區別只是上面這段話。 ５. > 如果客戶端啟用了NBT，那麼連接的時候將同時訪問139和445連接阜，微軟並沒有讓139/TCP與445/TCP公平競爭。發起連接的SYN包在巨集觀上是同時發出的，具體起來，有時是先向139/TCP發起連接請求，有時是先向445/TCP發起連接請求，有點隨機性。 在向139/TCP傳送三次握手的最後一個ACK報文時，Windows順手攜帶了資料，這裡以一個刻意弄錯的NetBIOS名(*SMBSERV<00...(8)>做了一次NBT Session Request。而445/TCP不需要NBT層的會話。 由於刻意弄錯的NetBIOS名，139/TCP很難競爭過445/TCP。服務端返回Negative NBTSession Response，並且執行了close()操作。這使得必須重新增立到139/TCP的連接(傳輸層的TCP連接)。 可以看出，那個刻意弄錯的NetBIOS名僅僅是為了給445/TCP製造搶先的機會。遺憾的是，445/TCP不爭氣，這個連接阜上的工作繁重、負載較高，即使在這種不公平競爭的情況下，139/TCP仍有可能重新搶在445/TCP之前建立NBT會話(注意，不是TCP連接)。於是445口會回送RST，後續SMB會話建立在139/TCP連接之上。 微軟自己的作業系統不認"*SMBSERV<00...(8)>"，但是Samba Server 2.2.5認，居然返回Positive Session Response。這成為精確識別Samba Server的方法之一。 微軟在<>中不會提這些的，只是說139/TCP、445/TCP公平競爭，優先使用最早返回的回應報文。不要相信它的鬼話。 話說回來，如非需求所致，完全不必關心這種差別。有需求的時候，這種差別是致命的。 ６. > 最明顯的就是空會話可以很方便地連線到其他的域,枚舉用戶、機器等。這也就是掃瞄軟體進行探測的原理。 XP、2003預設禁止在空會話上進行PolicyAccountDomainInformation查詢，可以看到LsarOpenPolicy2(44)失敗，權限否定。如果事先指定有效帳號、密碼建立SMB會話，而非空會話，LsarOpenPolicy2(44)將成功返回。 |
|
|
送花文章: 3,
|
|
2006-05-20, 05:53 PM
|
#15 (permalink) |
|
榮譽會員
|
「網路芳鄰為什麼看不到（訪問不了）機器的原因！！！！
對微軟的瀏覽服務作一大致介紹，然後再深入分析NETBIOS的具體工作機理計劃分三部分來講,微軟網路瀏覽程序,深入NETBIOS分析,以及網路設定詳述 ***微軟網路瀏覽程序簡介*** 問：什麼情況下會導致在網路鄰居中電腦能看見卻無法訪問或可以訪問卻看不見？ 請選項最佳答案： A.你的網路存在物理問題,比如網線 B.作為域主瀏覽器的Windows NTserver的瀏覽服務壞了 C.Windows NTserver網路卡有問題 D.你的網路沒有問題,用戶描述的是正常的微軟瀏覽現象 正確答案 書上的解釋:微軟的網路瀏覽可能在使用中出現"中斷",而實際上它們並沒有中斷, 這種誤解是由於用戶對微軟網路瀏覽的處理程序不熟悉造成的。 就像同學們經常在抱怨的「為什麼別人的網路芳鄰可以用，我的卻不行？」「為 什麼有時候可以瀏覽，有時候卻無法瀏覽網路？」解鈴還須繫鈴人，讓我們一起去 看看微軟的網路瀏覽到底是如何實現的。鑒於大家可能對NT的「域」概念還不甚了 解，出現瀏覽故障的也多為98的電腦，我將以98的「工作組模式」為大家講解。 1.什麼是瀏覽列表（Browsing List） 在微軟網路中，用戶可以在瀏覽列表裡看到整個網路（何指？子網還是廣播域？ 大家可以考慮考慮）上所有的電腦。當你通過網路芳鄰視窗開啟整個網路時，你 將看到一個工作組列表，再開啟某個工作組，你將看到裡面的電腦列表（也可在 DOS方式下用net view /domain:workgroupname指令得到），這就是我們所說的 Browsing List。工作組從本質上說就是共享一個瀏覽列表的一組電腦，所有的 工作組之間都是對等的，沒有規定不可以讓所有的電腦同處於一個工作組中。 2.瀏覽列表在哪裡 曾在木棉上看到過一場爭論，有人說：網路芳鄰裡的電腦列表是廣播查詢得來 的。可有人舉反例說：我的同學都關機了，可我還是能在網路芳鄰裡看到它，應該 是從HUB或交換機之類較為固定的設備的快取中取得的。 其實他們都只說對了一個方面，把他們二人的說法結合起來就是正確答案了--- 瀏覽列表是通過廣播查詢瀏覽主控伺服器，由瀏覽主控伺服器提供的。 3.瀏覽主控伺服器又是什麼 瀏覽主控伺服器是工作組中的一台最為重要的電腦，它負責維護本工作組中的 瀏覽列表及指定其他工作組的主控伺服器列表，為本工作組的其他電腦和其他來 訪本工作組的電腦提供瀏覽服務，每個工作組都為會每個傳輸傳輸協定選項一個瀏覽 主控伺服器，而我們經常遇到的無法瀏覽網路的錯誤大多是因為你所處的工作組沒 有瀏覽主控伺服器而造成的。你可以在一個工作組中用NBTSTAT -a computername 指令找出使用NBT傳輸協定的瀏覽主控伺服器，它的標幟是含有\\_MSBROWSE_名字段。 4.瀏覽主控伺服器是如何指定的 預設情況下，win98工作組中的瀏覽主控伺服器是該工作組中第一台啟用文件及 列印機共享功能的電腦，也允許手動式將一台win98電腦設定為瀏覽主控伺服器 （方法會在後面講述網路組態時具體介紹，但由於瀏覽主控伺服器需要維護動態瀏 覽列表，效能會受影響），如果一個工作組中有多台電腦設定了這個選項，或是 現用的瀏覽主控伺服器關閉了系統，又沒有其他電腦啟用主控設定時，就要進行 主控瀏覽器的選舉。 5.如何通過瀏覽器選舉產生瀏覽主控伺服器 關於瀏覽器的選舉報文,不太好抓包,我就只好按書上的東西來講述了.其實程序 很簡單,首先由一台電腦傳送一個選舉臨界報文,該報文包含了來自傳送電腦的 訊息(作業系統,版本及NETBIOS名等),選舉報文向網路中廣播,工作組中的每一台計 算機都會用自身訊息與選舉報文進行優先等級比較,主要是作業系統起主要作用,記得 好像是NT Server》NT Workstation》Win98》WFWG,反正到最後是那個自身條件最好的 成為新的瀏覽主控伺服器. 6.整個網路瀏覽的程序是怎樣的 當一台win98進入網路時，如果它帶有伺服器服務（啟用了文件及列印機共享）會 向網路廣播宣告自己的存在，而瀏覽主控伺服器會取得這個宣告並將它放入自己維護 的瀏覽列表中；而沒有在相應傳輸協定上綁定文件及列印機共享的電腦則不會宣告，因 而也就不會出現在網路鄰居裡了。當客戶電腦想獲得需要的網路資源列表時，首先 會廣播發出瀏覽請求，瀏覽主控伺服器收到請求後，如果請求的是本組的瀏覽列表， 則直接將客戶所需的資源列表發回；如果請求的是其它工作組的瀏覽列表，瀏覽主控 伺服器會根據本身Browsing List中的記錄找到相應工作組的主控瀏覽器返回給用戶， 用戶可從那裡得到它想要的瀏覽列表。至於如何去和另一台電腦共享交換資源，就 不是我們這裡要討論的問題了。 明白了網路瀏覽的原理，下面我給大家講一個有用的套用，現在很多同學出於安全 的考慮都不太歡迎陌生人通過網路芳鄰訪問自己的電腦，可有時下部電影又需要給認 識的同學共享出來，因而還不能移除文件及列印機共享服務。怎麼辦？有些人給共享 名加個$，以達到隱藏的效果，可這用DOS下的net share是可被看到的；有些人給共享 加上密碼，可聽說這也是有辦法破解的，而且很容易激起「黑客同志」的好奇心。有 沒有辦法將自己的機器在網路鄰居裡隱藏起來呢？而對於認識的同學可以讓他用\\IP 來訪問。想對了，關鍵就是要阻止自己的機器向網路中去宣告自己，而且我知道我們 其中的一些人已經將此變成了現實，至於方法嘛，就不要來問我了。 cjt註：因為有關win98瀏覽服務的資料很少，涉及的書籍也多為以NT的「域」模型進 行介紹，因而我只能根據自己的理解結合netxray的實踐來測試，細節部分難 免有錯，歡迎大家指正。 7.在我的網路芳鄰裡為什麼有些電腦訪問不了 如果微軟的網路芳鄰真能做到所見即所得，相信抱怨它的人不會像現在這麼多，可 通過前面對瀏覽服務的介紹，大家已經知道這是不可能的，因為瀏覽列表的獲得不是 通過訪問其中每一台電腦得到的，很多時候網路中的電腦並不能正確更新瀏覽列表。 當一台電腦正常關機時，它會向網路發出廣播宣告，使瀏覽主控伺服器及時將它從 瀏覽列表中移除；而非正常關機後，瀏覽列表裡仍會把該 列項保持很長一段時間(NT下 是45分鍾),這就是我們仍能在網路鄰居裡看到它的原因.而98的穩定性是眾所周知的 ----在還沒來得及關機前就已經崩潰了^-^ 這第一部分就先寫到這裡，不知大家的感覺如何，想來都覺得是看得挺過癮，卻 解決不了什麼問題，比如瀏覽網路的必要條件是什麼，NetBEUI？TCP/IP？文件及列印 機共享還是NETBIOS API？用\\IP瀏覽遠端主機的原理是什麼？搜尋電腦可以跨路由 器搜尋嗎？喜歡動手的同學完全可以自己用Netxray去搞清楚，懶惰一點的嘛就做好準 備等著看下一部分--深入NETBIOS分析了。 *******深入NETBIOS分析******** 在這部分裡，我首先將對NETBIOS作一些基礎性的介紹，然後主要針對LANA編號， NETBIOS名字表，NBT這三方面對NETBIOS的特性進行講解，使大家對NETBIOS接頭 通訊的原理有所瞭解，並掌握使用NETBIOS名字表來識別網路芳鄰瀏覽故障及其 排除的方法。其中可能要借助一些網路指令，如net,nbtstat等，若有不會使用的 同學請自行查閱windows說明 我的文件（最好看NT下的，98的有點渣渣），這裡就不作 解釋了。 熟悉網路編程的同學都知道，在Windows下有兩套重要的網路API，WINSOCK和 NETBIOS。平時我們用IE瀏覽網頁，用FOXMAIL收發郵件以及用OICQ聊天用的都是 WINSOCK API，但還有一部分網路套用需要用到傳統網路接頭NETBIOS，瀏覽網上 鄰居和共享文件就是其中的典型。雖然微軟已經在其最新的WINSOCK API裡加入了 對AF_NETBIOS位址族的訪問，並打算從它的win2000中使對NETBIOS API的支持變 成可選項，但NETBIOS的真正消亡還有待時日。這裡我不想翻開NETBIOS厚重的歷 史去評判它的優劣來浪費大家的時間。存在即是真理，我們切入正題好了。 NETBIOS API的最大優點就是使得編程接頭「與傳輸協定無關」---應用程式可通過 TCP/IP，NetBEUI以及IPX/SPX來執行。舉個例子來說，如果你在網路內容裡同時 增加了這三種傳輸協定，那當你通過網路芳鄰瀏覽某台電腦的資源時能確定用的是哪 種傳輸協定在和它進行通信嗎？不過由於這種「與傳輸協定無關」性是通過對傳輸傳輸協定本 身進行改造，在相應傳輸協定上增加NETBIOS接頭實現的，所以也就產生了一些局限 性：一是並非所有的傳輸協定都支持NETBIOS，我們知道的就只有上面提到的那三種 傳輸協定實施了NETBIOS接頭（也許在它們前面加個Microsoft標幟更恰當些）；二就 是我在前面提過的LANA編號的問題了，LANA號的提法在多宿主機環境下可能更准 確些，對於我們一般只安裝有一塊網路卡的電腦來說大家就把它簡單理解成一種通 訊傳輸協定的對稱性就可以了。舉個例子，A只安裝了TCP/IP，B只安裝了NetBEUI，雖 然他們都在傳輸協定上綁定了NETBIOS接頭，但彼此在網路鄰居裡是看不到的。這也提 醒我們要想在網路鄰居裡看到最多的電腦，就要把三個傳輸協定全部安裝。為了後文 敘述的方便，我們把啟用了NETBIOS的三種傳輸協定分別用一個名字來表示： NetBT/NBT（TCP/IP）、Nbf（NetBEUI）、NwlnkNb（IPX/SPX），它們各對應一個 LANA號，只有相同的LANA號之間才能建立通信連接。 接下來要說的就是最為關鍵的NETBIOS名字的問題了。對於BSD系統，每台機器 都有一個主機名，從而也引出了DNS的概念，這也可以說是UNIX和TCP/IP緊密結合 的產物。而Windows可沒有跟某種傳輸協定有近親關係，在它眼裡只有機器名（即 NETBIOS名）才是最關鍵的。在win32環境中，針對每個可用的LANA編號，每個進 程都會為其維持一張NETBIOS名字表。我們可以用nbtstat -n指令獲得本地機與NBT 相關的名字表（你要是連TCP/IP都沒安，可別來問我為什麼不能用）。NETBIOS 名字分兩種檔案類型：唯一名（UNIQUE）和組名（GROUP）。唯一名很好理解，就是說 在同一子網上要獨一為二（注意我這裡沒有用廣播域，這在我的第三部分裡我會 結合以前的一些討論詳作說明）；而組名的作用是可以實現多點播資料通訊。結構 上也由兩部分組成：字元串和Scope ID。這裡的字元串就是我們給自己的電腦、 工作組起的名字，而且對所能使用的字元及其長度都有限制，大家自己去查書， 我就不在這裡浪費時間了，需要說明的是一些同學為了「隱藏」自己，把自己的 機器名起的像個IP一樣，如0.0.0.0(真不知是那位高人教大家的，哈哈）其實字 符「."是不允許做機器名的，從這個角度講win98真是太渣渣了（誤導群眾，怪 不得老當機，該！）而NT在這方面做的就好多了。我主要講解的是Scope ID域， 它佔用NETBIOS名的最後一個字元，最大的作用莫過於可以標幟不同的Microsoft 網路服務了，因為它是NETBIOS名的一部分，因此UNIQUE name允許兩台computername 相同，但scope ID不同的電腦在同一子網上存在。我不打算摘抄大段的NETBIOS 標幟符給大家，這裡就以我電腦上的一個NETBIOS名字表為例給大家講解一下常用 的NETBIOS標幟符檔案類型： C:\》nbtstat -n NetBIOS Remote Machine Name Table Name Type Status --------------------------------------------- CJT 《00》 UNIQUE Registered CJT《00》代表工作站服務，每一台上網的電腦必須首先註冊的唯一標幟符，這也是進行 網路鄰居瀏覽的唯一必要條件。在同一子網上的其它電腦可以用ping CJT得到我的IP， 注 意這可跟DNS沒有關係，是通過廣播查詢CJT《00》得到的，因為TCP/IP和NETBIOS有綁定。 MINEGROUP 《00》 GROUP Registered 這條沒什麼可說的，但凡把工作組名設成MINEGROUP的電腦都會註冊這一項，從而同一子 網上的某些電腦間建立一種特定的邏輯關聯，使對於MINEGROUP《00》進行的通訊只被這些 電腦接收，這裡大家可以考慮不在MINEGROUP的電腦對這些報文的處理程序。雖說這一項 是名字表裡最不重要的一項，但大多數同學無法瀏覽網路芳鄰的故障卻都和它有關哦！ 等會兒我會說明。還有大家可以想想，要是你的工作組名和別人的機器名起的一樣會出 現 什麼事情呢？ CJT 《03》 UNIQUE Registered CJT《03》代表消息服務，就是那個在win2000下突然彈出個視窗來說「某某某侵犯版權」 的東東。其實這是個挺好的服務，可以讓我們用win9X下的WINPOPUP和winNT下的NET SEND 進行簡單的消息傳送。不過在NT下,CJT《03》只代表消息的接收端，要傳送消息，還需注 冊一個CJT《01》，這也是NT第一次用net send發消息要等很久的原因，因為CJT《01》只在 你 用到net send時才會去註冊；而9X下只用一個CJT《03》就把收發全搞定了。不過那個 WINPOPUP好像不能給自己發消息耶，真不知微軟在搞啥子。 CJT 《20》 UNIQUE Registered 與CJT《00》相對照，CJT《20》代表伺服器服務，我前面已經說過，凡是提供文件及列印機 共享服務的電腦就叫做SERVER，它會在入網時進行瀏覽器宣告，這也是一台電腦可通過 網路芳鄰「被」訪問的唯一必要條件。 MINEGROUP 《1E》 GROUP Registered 還記得我前面說過的那個瀏覽器選舉嗎？我把《1E》標誌稱為候選者，這樣當MINEGROUP組 裡的當前瀏覽主控伺服器當機後，所有擁有《1E》標誌的電腦都有資格參加競選。至於這 個標誌是怎麼來的，記住一句話：SERVER完全同意作為預設值的候選瀏覽主控伺服器。關 於這句話的理解，我後面將有一道題說明 大家認識它。 XIXI 《03》 UNIQUE Registered 咦？又一個《03》,這個XIXI是啥子東西？其實XIXI就是CJT的用戶名了，就是那個登入提 示框 裡的東西。使我們除了通過對方的機器名以外還可以通過他的用戶名給對方發消息。不 過要是和別人的名字發生了重複怎麼辦？會報衝突嗎？不會。因為這個XIXI《03》是我們 在按了Enter鍵車鍵以後才進行註冊的。寫到這裡，不禁對以前那個ESC鍵的問題有所領悟， 原來所謂的登入網路就是幹了這麼一件事，那如果...如果...，企不是...哈哈，搞個測 試先。 MINEGROUP 《1D》 UNIQUE Registered 這個《1D》想來大家都已經猜到了，就是表明CJT是MINEGROUP裡的瀏覽主控伺服器了，當 「上司」的感覺總是這麼爽。嘻嘻 ..__MSBROWSE__.《01》 GROUP Registered 見過這個怪東西的人肯定不少，但真正知道它用途的恐怕不多。這是一個組名，由整個 子網上的所有瀏覽主控伺服器構成，這樣當MINEGROUP裡的電腦想要瀏覽其他組的資源 時，CJT就憑借這個標幟為大家搜尋那個組的瀏覽主控伺服器，從而使我們能獲得該群組的 瀏覽列表。 基本的一些標幟符檔案類型就介紹完了，只要掌握了這些，解決一般的瀏覽器故障已是綽 綽有餘了，通過後面的一道習題大家可以實踐掌握這種方法。對於還想進一步瞭解更多 標幟符檔案類型的同學可以使用net start指令獲知其它的微軟服務，大多數服務都有一種標 識符與其相對應。 MAC Address = 00-88-CC-23-15-54 前面POPO曾說過，使用nbtstat -A IP可以獲知遠端主機的MAC，至於原理，就是我們 在這裡最後要說的NBT了。現在大家已經知道，NBT就是建立在TCP/IP傳送傳輸協定之 上的NETBIOS接頭，我們先將它與Nbf進行一番對比。Nbf指的是NETBIOS畫格傳輸協定， 以NetBEUI為基礎，這可是真正的架構在鏈路層之上的傳輸協定哦，不過也因為它是 在LLC上面，所以無法路由。只有借助一些可路由傳輸協定（如IP或IPX）才能實現跨廣播域 瀏覽因為TCP/IP發展最為迅速，最為普及，NBT也才受到大家如此的關注。NBT提供的服務可 以分成三類：名稱服務（UDP137）、資料報服務（UDP138）和會話服務（TCP139）。 1）名稱服務主要用於廣播解決本子網的NETBIOS名和IP位址轉換的關係，比如我前面那 個ping CJT的例子。因為NBT是建立在TCP/IP之上，而建立TCP/IP通訊是必須知曉雙方 IP位址的，這跟Nbf直接用MAC位址通訊很不一樣。但也因為使用的是UDP廣播，所以名 稱服務無法跨越路由器。（這裡我們只針對b-節點，不對WINS加以介紹） 2）資料報服務提供了無連接和面向廣播的通信方式。它主要用於瀏覽列表通知，我前面 也說過我們桌面上的那個網路芳鄰就是它構建的，此外我們用NET SEND *指令給計算 機組發消息時也是靠它的UDP廣播（多點播）能力。但也正因為它使用了UDP傳輸層傳輸協定， 因而在跨越路由器時也會遇到與名稱服務相同的問題。 3）使用面向連接TCP傳輸協定的會話服務才是我們的救星，因為它可以跨越路由器。網路中 產生的NETBIOS通信主要也是因為會話服務的使用，而文件和列印機共享服務則構成了 會話服務通信的主體。說到這裡就不得不提SMB（Server Message Block），不過要講清 楚SMB，可能要從NCB的由來說起，那可就又是一個長篇了。這裡我就教給那些還不太明 白它們之間關係的同學一個簡單的辦法，雖不太準確，但挺實用，希望清楚的同學別給 我戴上誤導群眾的高帽哦：-）首先SMB是一種傳輸協定，一種「套用層」的傳輸協定，一種關於 SERVER/CLIENT架構的套用層傳輸協定，大家完全可以把它看成是一種HTTP，FTP或是TEL NET而增加了文件及列印機共享服務的電腦就是SERVER端，可以被其它工作站和伺服器訪 問如果沒有增加文件及列印機共享服務，則不能被其他電腦訪問。當然，SMB除了提供 文件及列印機服務以外，還可以進行會話控制和交換消息，如用net send指令可直接把使 用消息檔案類型的SMB包發給特定電腦。而且因為會話服務是建立在TCP上的，只要你能獲 知遠端主機IP，就可以跨越路由器。 |
|
|
送花文章: 3,
|
平板模式
