整套技巧：系统安全分析与设置.docx

本帖最后由 清华小四 于 2010-4-28 18:11 编辑

●进程分析（任务管理器 taskmgr）
        一个纯净的win7刚启动时进程数应该不会太多，比如我的系统启动时就只有20多个。当然，如果你的配置越高，可能进程会越多，这并不奇怪。只要你掌握常见进程的运行情况，遇到不认识的进程百度一下，一般就能分析出某个进程是否异常了！
●注册表检查（regeidt）
        与注册表有关的安全问题主要在于文件关联、启动项、映像劫持、IE首页、隐藏所有文件
        ·文件关联路径：HKEY_CLASSES_ROOT下面全都是。
        ·注册表可设置启动项的位置比较多，这里提供几个常见位置：
          HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
          HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
          HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon,Shell和Userinit
          HKEY_LOCALMACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
          HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
        ·映像劫持路径为：
          HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
          只要这里设置了劫持某进程，那么该进程休想运行，这是病毒特别喜欢做的事情，用于K掉杀软。
        ·IE首页修改，其主要路径在 HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
          但其他还有好几个地方，如果你的IE首页被修改成了其他网址，而上面又没有问题，就要考虑搜索整个注册表键值了！
        ·隐藏所有文件，也是病毒特别喜欢干的事情。把自己彻底隐藏起来的方法：
          HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
          把CheckedValue值改成0，你任何隐藏属性和系统属性的文件都不会显示了！
●插件扫描
        其实插件也是一系列的文件和注册表键值组成的嵌套在其他软件内运行的程序，只是要寻找他们的所在路径比较麻烦，所以一般都用工具扫描。
        大家用得最多的就是360的插件扫描了。这个不用多说，软件也会提示是否恶意插件，所以，一般用360就可以清理掉不干净的插件了！
●系统配置工具（msconfig）
        这里与安全有关的我们可以设置系统服务和启动项
        ·服务：对于那么对服务，我们可以先勾选“隐藏所有Microsoft服务”，这样所剩的就不多了。再来禁用我们不需要的服务。见图2

下载 (26.2 KB)
2010-4-28 18:11

                对于更多系统服务，请大家参考： Windows7_个人服务详解及优化.rar (18.44 KB)
下载次数: 62
2010-4-28 18:08

        ·启动：除了注册表几个启动位置外，还有两个较明显的地方：
                1.开始—所有程序—启动，该文件夹内的快捷方式也能启动
                2.组策略gpedit.msc，计算机配置—Windows设置—脚本（启动/关机）
                                    用户配置——Windows设置—脚本（登陆/注销）
                由于启动项位置太多了，所以在寻找一些问题根源时得仔细查找！
●UAC设置（UserAccountControlSettings）
        控制面板\所有控制面板项\用户帐户，“更改用户账户控制设置”，把提示通知的级别设置到自己认为合适的界别
        见图3

下载 (37.3 KB)
2010-4-28 18:11

●计算机管理（compmgmtmsc）
        这里可以管理服务，磁盘分区各种操作，Administrator和Guest的启用和禁用，删除系统默认共享
        见图4

下载 (34.5 KB)
2010-4-28 18:11

●系统信息（msinfo32）
        这里可以查看到系统几乎所有的硬软件信息！见图5
        你还可以通过文件，导出这里的所有信息哦！

下载 (30.24 KB)
2010-4-28 18:11

●事件查看器（eventvwr.exe）
        最常用的时候就是查看你的电脑上次什么时候被人用过，一般开机和关机都会被记录在这里面的！
        见图6

下载 (49.92 KB)
2010-4-28 18:11

●IE
        这是一个老生常谈的话题，经常都会有朋友在论坛提问IE这样那样的错误，或者首页又被修改且改不回来了！
        IE的问题非常普遍，相信很多热心于帮助别人的朋友见到这问题也会很郁闷——老是回答同样的问题！
        这里，我也不想多说啦，提供给大家两个电子文档，里面的方法很实用！o(∩_∩)o 哈哈
         防止IE主页被篡改的三种有效方法.rar (835 Bytes)
下载次数: 31
2010-4-28 18:08

还担心主页还被篡改么？怕的话就进来。（教你如何把主页改回来。图文教程）.rar (835 KB)
下载次数: 86
2010-4-28 18:08

●命令提示符（cmd）
        虽然DOS命令很笨重，但需要它的时候能发挥很大的作用！建议每个对电脑感兴趣的朋友都要掌握的命令：
        1.attrib 添加/去掉文件或文件夹的任意属性
        2.dir 显示指定的文件列表
        3.cd 改变当前目录
        4.copy 复制文件
        5.del 删除文件
        6.md 创建空文件夹
        7.rd 删除空文件夹
        8.ren 重命名文件
        9.type 在dos界面下显示文本文件内容
●系统还原服务（Block Level Backup Engine Service）
        首先得确定这个服务没有被禁用，然后在系统属性里点“系统保护”，首先配置要开启还原的分区使用备份大小，然后创建还原点。
        在你创建了还原后，如果觉得系统有什么不对劲了，就可以打开系统还原，回复到创建还原点的状态了！
        注意：如果你还原的那个分区下载了文件，那么建议转移到其他没有还原的分区去，不然会不见的！
●任务管理器（taskmgr）
        除了查看进程外，还可以直接打开进程文件所在位置，利于对异常文件的处理。可以在查看菜单下，选择“选择列...”，然后勾选“命令行”。其他你想看到的参数也可以勾选上！
        见图7

下载 (53.24 KB)
2010-4-28 18:11

        别以为任务管理器就只能查看进程哦，在服务标签下，还能控制所有的服务。你可以在这里任意地启用或停止服务，还可以查看服务所关联的进程
        见图8

下载 (7.18 KB)
2010-4-28 18:11

●资源监视器（resmon.exe）

        这是win7新增加的功能。有了它，其他任何软件的系统监视工具都可以抛弃啦！功能十分强大！
        见图9
        对于系统的CPU、内存、磁盘、网络监控都有十分详细的显示，这对编程人员和安全人员来说是个非常好的工具哦！
        详细的操作，请各位自己尝试吧，真的太丰富了，不是一两句能说得完的哈！

下载 (45.7 KB)
2010-4-28 18:11

●现今计算机病毒特征及防治 现今计算机病毒特征及防治.rar (10.93 KB)
下载次数: 52
2010-4-28 18:08

        最后，请允许我推荐本人原创文章，对于新手来说，学习这个是很有必要的哦！
●其他安全设置文档：
         Win7无懈可击？安全设置步步为营.rar (2.8 KB)
下载次数: 46
2010-4-28 18:08

         Win7系统安全优化设置教程.rar (222.83 KB)
下载次数: 119
2010-4-28 18:08

本人原创系统重要文件及程序修复脚本：
修复EXE关联
        重命名cmd.exe为cmd2.scr或
        执行命令：ftype exefile="%1" %*

注册表解锁、解劫持！
        gpedit.msc，用户配置，管理模版，系统，阻止访问注册表编辑工具，已禁用
        repairReg.vbs
        delRegImage.bat

DOS命令限制、劫持
        repair_cmd.reg
        delCmdImage.bat

删除任务管理器劫持
        delTaskImage.bat

删除所有盘下的autorun.inf
        delAuto.bat

显示所有文件
        repairHidden.reg
        用户配置，管理模板，windows组件，windows资源管理器，从“工具”菜单删除“文件夹选项”
菜单
        恢复“查看”标签  chakan.reg

删除所有盘下的desktop*.ini
        delDesk？.bat
复制代码
原文件见： 解锁.rar (3.63 KB)
下载次数: 30
2010-4-28 18:24