通透Windows 2008系統(tǒng)狀態(tài)變化

互聯(lián)網(wǎng) 發(fā)布時間：2009-07-02 01:51:10 作者：

　　俗話說“知己知彼，百戰(zhàn)不殆”，只有充分了解系統(tǒng)自身的各種狀態(tài)變化，我們才能為系統(tǒng)量身定制好安全防御方案，從而保證自己的系統(tǒng)始終安全、穩(wěn)定地運行。在對系統(tǒng)自身各方面的狀態(tài)進行檢查時，我們有時需要通過專業(yè)工具來幫忙才能完成這項任務(wù)，但是對于Windows Serv

　　有的時候，Windows Server 2008系統(tǒng)一旦遭遇了木馬或病毒程序攻擊后，系統(tǒng)中會莫名其妙地多出許多隱藏共享文件夾，木馬或病毒往往就是利用這些隱藏的共享文件夾來實現(xiàn)偷偷監(jiān)控本地重要資源目的的。如果我們采用手工方法來查詢本地服務(wù)器系統(tǒng)中重要資源的共享狀態(tài)變化時，不但工作量很大，而且也很容易出現(xiàn)遺漏;事實上，巧妙地利用Windows Server 2008系統(tǒng)自帶的“net share”命令，我們可以將對應(yīng)系統(tǒng)中的所有隱藏共享資源記錄下來;日后我們懷疑系統(tǒng)中重要資源的共享狀態(tài)發(fā)生變化時，再使用“net share”命令記錄一次系統(tǒng)的共享狀態(tài)信息，之后利用fc命令來比較前后兩次的狀態(tài)變化，如此一來我們就能快速地知道哪些共享文件夾是新創(chuàng)建的，哪些文件夾的共享狀態(tài)已經(jīng)被取消了。在使用“net share”命令記錄本地服務(wù)器系統(tǒng)的共享資源狀態(tài)變化時，我們可以按照下面的操作來進行：

　　首先在Windows Server 2008系統(tǒng)桌面中用鼠標(biāo)逐一點選“開始”/“程序”/“附件”選項，從其后出現(xiàn)的“附件”子菜單中選中“命令提示符”項目，并用鼠標(biāo)右鍵單擊該項目，從彈出的快捷菜單中執(zhí)行“以管理員身份運行”命令，將系統(tǒng)狀態(tài)切換到DOS命令行工作狀態(tài);

　　其次在DOS命令行工作狀態(tài)中，輸入字符串命令“net share > d:\111.txt”，單擊回車鍵后，Windows Server 2008系統(tǒng)中所有重要資源的共享狀態(tài)信息全部被保存到“d:\111.txt”文件中了，此時我們在系統(tǒng)資源管理器窗口中，打開“d:\111.txt”文件時，就會看到本地服務(wù)器系統(tǒng)中的所有共享文件夾記錄了。

　　以后每過一段時間，我們再在Windows Server 2008系統(tǒng)中執(zhí)行一次“net share > d:\222.txt”字符串命令，之后在MS-DOS窗口中繼續(xù)執(zhí)行字符串命令“fc d:\111.txt d:\222.txt”，就能快速知道本地服務(wù)器系統(tǒng)中的共享狀態(tài)信息是否發(fā)生變化了，并且還能準(zhǔn)確地知道究竟是哪些共享文件夾是剛剛新創(chuàng)建的，哪些共享文件夾的共享狀態(tài)已經(jīng)被取消了。

　　一般來說，要是我們在Windows Server 2008系統(tǒng)中安裝了太多的未驗證硬件驅(qū)動程序時，本地服務(wù)器系統(tǒng)的工作狀態(tài)穩(wěn)定性就會受到明顯影響，以后服務(wù)器系統(tǒng)如果發(fā)生莫名其妙故障現(xiàn)象時，我們排除起來就比較困難。為此，及時了解Windows Server 2008系統(tǒng)中未驗證設(shè)備的驅(qū)動程序狀態(tài)，對維護系統(tǒng)的穩(wěn)定運行就顯得非常有必要了;在Windows Server 2008系統(tǒng)環(huán)境下，我們可以巧妙地通過系統(tǒng)自帶的Sigverif命令，來快速查看本地服務(wù)器系統(tǒng)中所有的未驗證驅(qū)動程序狀態(tài)，下面就是具體的查看步驟：

　　首先在Windows Server 2008系統(tǒng)桌面中依次點選“開始”、“運行”命令，在其后出現(xiàn)的系統(tǒng)運行框中輸入字符串命令“Sigverif”，單擊“確定”按鈕，屏幕上將會出現(xiàn)設(shè)置窗口;

　　其次從該設(shè)置窗口中單擊“開始”按鈕，Windows Server 2008系統(tǒng)就會對本地計算機硬盤進行自動掃描，當(dāng)掃描任務(wù)完成以后，我們就可以直觀地了解到本地服務(wù)器系統(tǒng)中究竟有哪些驅(qū)動程序還沒有經(jīng)過數(shù)字簽名認證;對于這些沒有經(jīng)過數(shù)字簽名認證的設(shè)備驅(qū)動程序，我們應(yīng)該定期地到網(wǎng)上搜索一下，看看是否有最新的經(jīng)過認證的驅(qū)動程序可以使用。

　　不少木馬或病毒程序在對Windows Server 2008服務(wù)器系統(tǒng)嘗試進行惡意攻擊時，常常會暗中利用克隆帳號的方法來遠程監(jiān)控本地服務(wù)器系統(tǒng)的一切舉動，很顯然這種暗中克隆帳號的手段會嚴(yán)重威脅本地服務(wù)器系統(tǒng)的運行安全性。為了保護本地服務(wù)器系統(tǒng)的運行安全性，我們應(yīng)該及時對系統(tǒng)的帳號狀態(tài)變化情況進行跟蹤監(jiān)視，以便將一些陌生的用戶帳號從本地服務(wù)器系統(tǒng)中及時“揪”出來;下面，我們可以巧妙地通過Windows Server 2008系統(tǒng)內(nèi)置的net user命令，來快速通透系統(tǒng)帳號狀態(tài)變化：

　　首先按照前面的操作步驟，以系統(tǒng)管理員身份打開Windows Server 2008系統(tǒng)的MS-DOS窗口，在該窗口的命令行提示符下，輸入字符串命令“net user > d:\333.txt”，單擊回車鍵后，服務(wù)器系統(tǒng)就會自動將本地系統(tǒng)的所有帳號信息全部保存到“d:\333.txt”文件中了;

　　以后懷疑Windows Server 2008系統(tǒng)被他人非法監(jiān)控時，可以再執(zhí)行一次“net user > d:\444.txt”命令，然后利用fc命令比較“d:\333.txt”文件與“d:\444.txt”文件的異同，就能快速地找到本地服務(wù)器系統(tǒng)中用戶帳號的狀態(tài)變化了。

　　要是我們從比較結(jié)果中發(fā)現(xiàn)陌生的用戶帳號屬于administrator組成員時，那么這個陌生的帳號很可能是被木馬程序非法克隆了，此時我們必須及時將它從系統(tǒng)中刪除掉，如此一來非法攻擊者就無法利用那個克隆帳號對Windows Server 2008服務(wù)器系統(tǒng)進行惡意監(jiān)視或控制了。