危险漫步博客
新鲜的“黑客思维”就是从全新的角度看待黑客技术,从更高的层面去思考;专注于黑客精神及技术交流分享的独立博客。
文章2306 浏览20612626

妙招提高系统安全

在Windows的运行过程中,会产生各种系统事件,这些事件都记录在系统日志文件中。打开事件查看器,在其中提供了“应用程序”、“安全性”、“系统”等三类日志文件。有经验的系统管理员,往往通过分析这些系统日志,就可以掌控解系统中发生的重要事件。例如,当黑客侵入系统后,其行踪往往被Windows记录在各种监控日志中,管理员据此可以判断黑客对系统的渗透情况。

但是,通常情况下,用户必须主动查阅系统日志信息,才能发现之前发生的各种事件,这很有些事后诸葛亮的味道。如果在系统发生重要事件时,能让Windows主动通知我们,那就极大的提高系统管理的效率。危险漫步举例子:当黑客侵入系统后,系统通过事件触发器自动向您发送相关警报信息,这样您就可以从容不迫的拦截黑客的不法行为,更好的保护系统安全。

一、事件触发器语法简介

在Windows 2003/XP中提供了一个实用工具Eventtriggers.exe,利用该工具我们就可以自由的创建自己需要的系统事件触发器。在Windows 2000中没有该工具,可以将Windows 2003/XP中的Eventtriggers.exe程序复制到Windows 2000的系统文件夹中即可正常便用。创建事件触发器的语法如下:

Eventtriggers.exe /Create【/S systemUdomain\] username/P [passwordlll] /TRtriggername /TK taskname [/D description] [/Llog]{LEID idl[/T type][/SO sourcel}[/RU username/RP passwordl其中“[/S system [[U usemame UP[passwordl]”参数主要为远程计算机建立事件触发器,如果在本地操作则可以省略。“/S system”参数中的“System”指远程计算机的lP地址。“[fU[domain\]username”参数中的“Username”指远程计算机上的用户名,如果远程机是域服务器的话,还需要指明域名“domain”参数。“/P[password]”参数指登录远程计算机的密码,如果省略密码项的话,在命令执行后系统会提示用户输入相应的登录密码。参数“TR triggername”中的“triggername”指的是触发器的名称。参数“TKtaskname”中的“taskname”指的是当设定的事件触发后,所要执行的命令行。在参数“D description”中指定事件触发器的描述信息。“/L log”参数指定要监视的NT事件习志。有效类型包括应用程序、系统、安全性、DNS服务器日志和目隶日志。可以使用通配符“,”。参数中的“id”指需要监视的系统事件的ID号(例如ID为529指使用未知用户名登录系统事件,ID为627指更改帐号密码事件等)。参数“/T type”指触发器要监视的事件类型。有效值包括“ERROR”,“INFORMATION”,  “WARNJNG”,“SUCCESSAUDIT”,  “FAILUREAUDIT”等。参数“/SOsource”指事件触发器要监视的事件源。参数“/RU username”指定当触发辜件后,执行指定的命令行时使用的用户帐户。对于“SYSTEM”帐户,值必须是“”。参数“/RP[password]”则提供对应的用户密码,  “SYSTEM”帐户的密码可以设为空。事件触发器一旦创建完成,则无法对其进行修改。

二、事件触发器监控实战

在CMD窗口执行命令:  “eventtriggers /create/s 192.168.0.1/u lysofter /eid 624/tr“建立用户”/tk”net send  192.168.0.9”在服务器上新的用户已经建立!其中的ID号为624指创建用户帐号事件,当命令运行后,系统会出现密码输入提示,首先应该输入用户lysofter的密码,然后就建立了一个名称为“建立用户”的触发器,当在lP地址为“192.168.0.1”的计算机上建立新的用户后,系统马上给IP地址为“192.198.0.9”的计算机发送一条消息,说明已经有新的用户在远程计算机上建立了。这里使用了Net send命令,当然,用户在“TK”参数中也可以使用其它任何命令。

对应的还可以建立删除用户帐号的触发器,在CMD窗口中执行命令“eventtriggers /create/s 192.168.0.1/u lysofter /eid 630 /tr“删除用户”/tk”net send 192.168.0.9”在服务器上新的用户已经建立!””,其中ID号为630表示删除用户帐号事件,这样当在IP地址为192.168.0.1的计算机上执行删除用户操作后,系统马上给IP地址为192.198.0.9的计算机发送一条消息,说明在远程计算机上的有关用户被删除了。一般来说,黑客侵入电脑后,为了达到更好的控制目的,往往会在电脑上执行建立或者删除用户的操作,这样我们就可以及时的发现其行踪了。

在事件查看器中选中某一事件,打开其属性窗口,在“事件详细信息”面板的“事件ID”栏中可以方便的查看事件的ID号。依照上述方法,只要知道了具体的事件ID号,就可以随心所欲的创建事件触发器了。

三、查看触发器信息

在创建了事件触发器后,还可以随时查看本地或远程计算机上的触发器信息。具体的语法格式为:

EVENTTRIGGERS tQuery/S s,ystem [/Uusername【/P【passwordU]J UFO formatJ【/NHI【1】[/ID id]其中参数"[/S system [/U username[/P[password]】]]”的含义与上述相同。“/V”参数用来显示触发器的详细情况。例如执行命令“eventtriggers /query/s 192.168.0.1/u lysofter/v”,就可以将地址为“192.168.0.1”的事件触发器的全部信息都显示出来。参数“FO format”指定输出显示的格式。有效值包括“TABLE”,“LIST",“CSV”等。参数“,NH”指定“列标题”在输出中不应该被显示,只对TABLE和CSV格式有效。参数“/IDid”指定要查询的事件触发器的ID号。例如执行命令““eventtriggers /query,s 192.168.0.1/u    /lysofter /ID 529”,则只显示指定计算机上的ID号为529的事件触爰器的信息。如果不带任何参数的话,只是显示指定计算机上的基本信息。例如执行命令“eventtriggers /query/s 192.168.0.1/u lysofier".    

四、删除触发器事件

如果希望删除指定计算机上的某个事件触发器的话,具体的语法格式为:

EVENTTRIGGERS /Delete/S system [/Uusemame [/P [passwordl] /TID id/TID id2 fI.TID idnl]]删除事件触发器的方法比较简单,其中参数“/TID id”指明需要删除的事件触发器的ID。如果其中的“id”?参数用“+”来代替的话,则删除指定计算机上的所有事件触发器。例如执行命令“eventtriggers /delete,s 192.168.0.1/u lysofter/tid 100”,则删除指定计算机上的事件ID为100的事件触发器。如果执行命令“eventtriggers /query/s192.168.0.1/u lysofter /tid”,则删除指定计算机上的所有事件触发器。

五、开启审核策略

在默议状态下,Windows没有开启审核策略,这个查看安全性事件带来不便。在“开始”-“运行”中输入“gpedit.msc”回车后打开组策略编辑器,在其左侧窗口中依次展开“计算机配置”-“Windows设置”-“安全设置”-“本地策略”-“审核策略”分支,在右侧窗口中双击“审核对象访问”项,在本地安全策略设置对话框中勾选“成功”和“失败”项。这样,就激活了安全性审核了。当执行Eventtriggers.exe命令创建事件触发器,以及触发了指定的事件触发器后,都会在系统目录中的“Syatem32\wbem\logs”文件夹中生成一个名为“CmdTriggerConsumer.log”的曰志文件,其中记录了一些和事件触发器有关的一些简单的信息。值得说明的是,Eventtriggers.exe命令的运行需要依靠Task Scheduler服务的支持,该服务必须处于开启状态。否则无法正常创建事件触发器。