本文目录一览：
- 1、电脑如果遭遇黑客攻击怎么办？
- 2、服务器被黑客攻击怎么办
- 3、天网防火墙？
- 4、天网怎么总是不停得警告：拦截了...... 。真的有黑客攻击么？
- 5、有黑客攻击我的电脑，我现在应该怎么办．
- 6、网站被黑客挂上木马病毒怎么办?
电脑如果遭遇黑客攻击怎么办？
一旦找到了服务器存在的问题，那么后果将是严重的。这就是说作为网络管理员应该采取不要的手段防止黑客对服务器进行扫描，本节我将谈谈如何才能让自己的服务器免遭黑客扫描。
一、防范黑客心得体会：
1、屏蔽可以IP地址：
这种方式见效最快，一旦网络管理员发现了可疑的IP地址申请，可以通过防火墙屏蔽相对应的IP地址，这样黑客就无法在连接到服务器上了。但是这种方法有很多缺点，例如很多黑客都使用的动态IP，也就是说他们的IP地址会变化，一个地址被屏蔽，只要更换其他IP仍然可以进攻服务器，而且高级黑客有可能会伪造IP地址，屏蔽的也许是正常用户的地址。
2、过滤信息包：
通过编写防火墙规则，可以让系统知道什么样的信息包可以进入、什么样的应该放弃，如此一来，当黑客发送有攻击性信息包的时候，在经过防火墙时，信息就会被丢弃掉，从而防止了黑客的进攻。但是这种做法仍然有它不足的地方，例如黑客可以改变攻击性代码的形态，让防火墙分辨不出信息包的真假；或者黑客干脆无休止的、大量的发送信息包，知道服务器不堪重负而造成系统崩溃。
3、修改系统协议：
对于漏洞扫描，系统管理员可以修改服务器的相应协议，例如漏洞扫描是根据对文件的申请返回值对文件存在进行判断的，这个数值如果是200则表示文件存在于服务器上，如果是404则表明服务器没有找到相应的文件，但是管理员如果修改了返回数值、或者屏蔽404数值，那么漏洞扫描器就毫无用处了。
4、经常升级系统版本：
任何一个版本的系统发布之后，在短时间内都不会受到攻击，一旦其中的问题暴露出来，黑客就会蜂拥而致。因此管理员在维护系统的时候，可以经常浏览著名的安全站点，找到系统的新版本或者补丁程序进行安装，这样就可以保证系统中的漏洞在没有被黑客发现之前，就已经修补上了，从而保证了服务器的安全。
5、及时备份重要数据：
亡羊补牢，如果数据备份及时，即便系统遭到黑客进攻，也可以在短时间内修复，挽回不必要的经济损失。想国外很多商务网站，都会在每天晚上对系统数据进行备份，在第二天清晨，无论系统是否收到攻击，都会重新恢复数据，保证每天系统中的数据库都不会出现损坏。数据的备份最好放在其他电脑或者驱动器上，这样黑客进入服务器之后，破坏的数据只是一部分，因为无法找到数据的备份，对于服务器的损失也不会太严重。
然而一旦受到黑客攻击，管理员不要只设法恢复损坏的数据，还要及时分析黑客的来源和攻击方法，尽快修补被黑客利用的漏洞，然后检查系统中是否被黑客安装了木马、蠕虫或者被黑客开放了某些管理员账号，尽量将黑客留下的各种蛛丝马迹和后门分析清除、清除干净，防止黑客的下一次攻击。
6、使用加密机制传输数据：
对于个人信用卡、密码等重要数据，在客户端与服务器之间的传送，应该仙经过加密处理在进行发送，这样做的目的是防止黑客监听、截获。对于现在网络上流行的各种加密机制，都已经出现了不同的破解方法，因此在加密的选择上应该寻找破解困难的，例如DES加密方法，这是一套没有逆向破解的加密算法，因此黑客的到了这种加密处理后的文件时，只能采取暴力破解法。个人用户只要选择了一个优秀的密码，那么黑客的破解工作将会在无休止的尝试后终止。
二、防火墙使用说明：
1．什么是防火墙？
防火墙的英文叫做firewall，它能够在网络与电脑之间建立一道监控屏障，保护在防火墙内部的系统不受网络黑客的攻击。逻辑上讲，防火墙既是信息分离器、限制器，也是信息分析器，它可以有效地对局域网和Internet之间的任何活动进行监控，从而保证局域网内部的安全。
网络上最著名的软件防火墙是LockDown2000，这套软件需要经过注册才能获得完整版本，它的功能强大，小到保护个人上网用户、大到维护商务网站的运作，它都能出色的做出惊人的表现。但因为软件的注册需要一定费用，所以对个人用户来说还是选择一款免费的防火墙更现实。天网防火墙在这里就更加适合个人用户的需要了，天网防火墙个人版是一套给个人电脑使用的网络安全程序，它能够抵挡网络入侵和攻击，防止信息泄露。
2、天网防火墙的基本功能：
天网防火墙个人版把网络分为本地网和互联网，可以针对来自不同网络的信息，来设置不同的安全方案，以下所述的问题都是针对互联网而言的，故所有的设置都是在互联网安全级别中完成的。 怎样防止信息泄露？ 如果把文件共享向互联网开放，而且又不设定密码，那么别人就可以轻松的通过互联网看到您机器中的文件，如果您还允许共享可写，那别人甚至可以删除文件。 你可以在个人防火墙的互联网安全级别设置中，将NETBIOS 关闭，这样别人就不能通过INTERNET访问你的共享资源了（这种设置不会影响你在局域网中的资源共享）。
当拨号用户上网获得了分配到的IP地址之后，可以通过天网防火墙将ICMP关闭，这样黑客用PING的方法就无法确定使用者的的系统是否处于上网状态，无法直接通过IP地址获得使用者系统的信息了。
需要指出的是：防火墙拦截的信息并不完全是攻击信息，它记录的只是系统在安全设置中所拒绝接收的数据包。在某些情况下，系统可能会收到一些正常但又被拦截的数据包，例如某些路由器会定时发出一些IGMP包等；或有些主机会定时PING出数据到本地系统确认连接仍在维持着，这个时候如果利用防火墙将ICMP和IGMP屏蔽了，就会在安全记录中见到这些被拦截的数据包，因此这些拦截下来的数据包并不一定是黑客对系统进行攻击造成的。
3、使用防火墙的益处：
使用防火墙可以保护脆弱的服务，通过过滤不安全的服务，Firewall可以极大地提高网络安全和减少子网中主机的风险。例如，Firewall可以禁止NIS、NFS服务通过，同时可以拒绝源路由和ICMP重定向封包。
另外防火墙可以控制对系统的访问权限，例如某些企业允许从外部访问企业内部的某些系统，而禁止访问另外的系统，通过防火墙对这些允许共享的系统进行设置，还可以设定内部的系统只访问外部特定的Mail Server和Web Server，保护企业内部信息的安全。
4、防火墙的种类：
防火墙总体上分为包过滤、应用级网关和代理服务器等三种类型：
（1）数据包过滤
数据包过滤(Packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，被称为访问控制表(Access Control Table)。通过检查数据流中每个数据包的源地址、目的地址、所用的端口号、协议状态等因素，或它们的组合来确定是否允许该数据包通过。 数据包过滤防火墙逻辑简单，价格便宜，易于安装和使用，网络性能和透明性好，它通常安装在路由器上。路由器是内部网络与Internet连接必不可少的设备，因此在原有网络上增加这样的防火墙几乎不需要任何额外的费用。
数据包过滤防火墙的缺点有二：一是非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击；二是数据包的源地址、目的地址以及IP的端口号都在数据包的头部，很有可能被窃听或假冒。
（2）应用级网关
应用级网关(Application Level Gateways)是在网络应用层上建立协议过滤和转发功能。它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计，形成报告。实际中的应用网关通常安装在专用工作站系统上。
数据包过滤和应用网关防火墙有一个共同的特点，就是它们仅仅依靠特定的逻辑判定是否允许数据包通过。一旦满足逻辑，则防火墙内外的计算机系统建立直接联系，防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这有利于实施非法访问和攻击。
（3）代理服务
代理服务(Proxy Service)也称链路级网关或TCP通道(Circuit Level Gateways or TCP Tunnels)，也有人将它归于应用级网关一类。它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的" 链接"，由两个终止代理服务器上的" 链接"来实现，外部计算机的网络链路只能到达代理服务器，从而起到了隔离防火墙内外计算机系统的作用。此外，代理服务也对过往的数据包进行分析、注册登记，形成报告，同时当发现被攻击迹象时会向网络管理员发出警报，并保留攻击痕迹。
服务器被黑客攻击怎么办
1、检查系统日志，查看下是什么类型的攻击，看下攻击者都去了哪些地方。内容是否又被修改的痕迹等，如果发现问题及时进行清理。
2、关闭不必要的服务和端口
3、定期整体扫描下服务器，看下存在什么问题， 有漏洞及时打补丁；检查是否有影子账户，不是自己建立的账号等。
4、重新设置账户密码，密码设置的复杂些；以及设置账户权限。
5、对服务器上的安全软件进行升级，或者是对防护参数进行重新设置，使他符合当时的环境。如果没有安装，可以安装个服务器安全狗，同时，还可以将服务器添加到安全狗服云平台上，这样当有攻击发生时，可以快速知道，并进行处理等。
6、检测网站，是否又被挂马、被篡改、挂黑链等，如果有，及时清理。
7、如果是大流量攻击，可以看下DOSS流量清洗，这个很多安全厂商都有这个服务。
8、定期备份数据文件。如果之前有做备份，可以对重要数据进行替换。
天网防火墙？
防火墙提示系统被攻击
常见的个人防火墙程序所谓的“攻击”并不一定是真正的网络攻击，很多防火墙程序会将网络广播等最常见的网络访问当作攻击来提示我们并记录下来（局域网内此类的提示尤其多）。另外的“攻击”则可能是有人在扫描你计算机的端口，或者是其他人中了病毒，病毒在利用染毒的计算机扫描网络上的其他电脑。
一般这种情况，只要你定期更新了系统补丁，这些所谓的“攻击”一般是不会造成任何威胁的。
个人认为防火墙程序的这种提示也是一种变相的“广告”而已－－你看我多么地有用啊，功能多强大！网络上有这么多的攻击，我都替你拦截了，用我是没有错的！－－要真有了攻击，它告诉你没有拦截住，你还会用它吗？
现在天网流行了。一是因为国产，大家有这个热情，二则功用确实不错。三是大家安全意识高了一些。
但有的人天网一开，就觉得百毒不侵了，想法极端。有人开了天网往往黄色的惊叹号闪个不停。一个兄弟电脑重新启动了几次，以为是黑客攻击，就担心的叫我去看，说被攻击了。其实不是什么事，正常的防火墙拦截信息而已。
可能有很多兄弟也都会对这有疑问的。我仅以我所知解释一些疑问。希望对大家有用。
天网的日志一般有三行：
第一行：数据包发送（接受）时间/发送者IP地址/对方通讯端口/数据包类型/本机通讯端口
第二行：为TCP数据包的标志位，共有六位标志位，分别是：URG、ACK、PSH、RST、SYN、FIN，天网在显示标志位时取这六个标志位的第一个字母即A代表ASK、S代表SYN等 ，其中标志位A、S和F较常用。
ACK：确认标志 提示远端系统已经成功接收所有数据
SYN：同步标志 该标志仅在建立TCP连接时有效，它提示TCP连接的服务端检查序列编号
FIN：结束标志 带有该标志位的数据包用来结束一个TCP会话，但对应端口还处于开放状态，准备接收后续数据。
RST：复位标志，具体作用未知。
第三行：对数据包的处理方法：不符合规则的数据包会拦截或拒绝，显示为：“该操作被拒绝”，即防火墙拦截了！因此对方不能确定你在线否！
【⑴】：最常见的：尝试用ping来探测本机
··在防火墙规则里设置“防止别人用PING命令探测主机”，你的电脑就不会返回给对方ICMP包，这样别人就无法用PING命令探测你的电脑的存在。这种情况只是简单的ping命令探测，如：ping 210.29.14.130就会出现如下日志：
[11:13:35] 接收到 210.29.14.136 的 ICMP 数据包，
类型: 8 ， 代码: 0，
该包被拦截。
这条日志出现的频率很高。IGMP的全称是internet组管理协议，它是IP协议的扩展，主要用于IP主机向它邻近主机通知组成员身份。通常出现这条日志并不表明电脑受到攻击，不过黑客可以通过编写攻击程序，利用windows本身的BUG，采用特殊格式数据包向目标电脑发动攻击，使被攻击电脑的操作系统蓝屏、死机。蓝屏炸弹一般用的就是IGMP协议。
一般形成IGMP攻击时，会在日志中显示为大量来自于同一IP地址的IGMP数据包。不过，有时收到这样的提示信息也并不一定是黑客或病毒在攻击，在局域网中也会常收到来自网关的类似数据包。
另外：你的机子安装了许多自动在线升级的软件，如瑞星、KV、WINDOWS自动更新、木马克星、魔法兔子等等软件，当这些软件的提供商即服务器，他要升级这些软件时，他在检查他的客户端发出升级指令，这个检查客户的过程就是PING客户。这点被多好朋友忽视。这是是善意的PING 。
··也有另一种PING信息日志：
[14:00:24] 210.29.14.130 尝试用Ping来探测本机，
该操作被拒绝。
这种情况一般是扫描器探测主机，主要目的是探测远程主机是否连网！
··如果偶尔一两条没什么，但如果显示有N个来自同一IP地址的记录，很有可能是别人用黑客工具探测你主机信息或者因为病毒了。如：
[14:00:24] 210.29.14.45 尝试用Ping来探测本机，
该操作被拒绝。
[14:01:09] 210.29.14.132 尝试用Ping来探测本机，
该操作被拒绝。
[14:01:20] 210.29.14.85 尝试用Ping 来探测本机，
该操作被拒绝。
[14:01:20] 210.29.14.68 尝试用Ping 来探测本机，
该操作被拒绝。
若不是黑客所为，那这些机器一般是感染了冲击波类病毒。感染了“冲击波杀手”的机器会通过Ping网内其他机器的方式来寻找RPC漏洞，一旦发现，即把病毒传播到这些机器上。感染局域网传染病毒的机器也会自动发送信息，这样的情况就要注意先打冲击波补丁，并且查毒。我中了V-King。但同网的就是不杀毒不理会。我只好每天不和他们同时上网。
【⑵】：一些常见端口信息日志
··[16:47:24] 60.31.133.146试图连接本机的135端口，
TCP标志：S，
该操作被拒绝。
同上，是利用RPC服务漏洞的冲击波类的蠕虫病毒，该病毒主要攻击手段就是扫描计算机的135端口进行攻击。更新微软的补丁还是必要的。
··[20:01:36] 218.8.124.230试图连接本机的NetBios-SSN[139]端口，
TCP标志：S，
该操作被拒绝。
特征：某一IP连续多次连接本机的NetBios-SSN[139]端口，表现为时间间隔短，连接频繁
139端口是NetBIOS协议所使用的端口，在安装了TCP/IP 协议的同时，NetBIOS 也会被作为默认设置安装到系统中。139端口的开放意味着硬盘可能会在网络中共享；网上黑客也可通过NetBIOS知道你的电脑中的一切!NetBIOS 是网络的输入输出系统，尽管现在TCP/IP 协议成为广泛使用的传输协议，但是NetBIOS提供的NetBEUI 协议在局域网中还在被广泛使用。对于连接到互联网上的机器，NetBIOS完全没有用处，可以将它去掉。不会吗？自己查
··[16:47:35] 60.31.135.195试图连接本机的CIFS[445]端口，
TCP标志：S，
该操作被拒绝。
开了445端口，在局域网中轻松访问各种共享文件夹或共享打印机，但正因为有了它，别有用心者才有了可乘之机
SMB： Windows协议族，用于文件和打印共享服务。
NBT： 使用137(UDP), 138(UDP) and 139 (TCP）来实现基于TCP/IP的NETBIOS网际互联。
在NBT上面,有SMB基础报文头部。SMB可以直接运行于TCP之上而无须NBT
在Windows NT中SMB基于NBT实现。 而在WinXP中，SMB除了基于NBT的实现，还有直接通过445端口实现。当WinXP（允许NBT)作为client来连接SMB服务器时，它会同时尝试连接139和445端口，如果445端口有响应，那么就发送RST包给 139端口断开连接，以455端口通讯来继续.当445端口无响应时，才使用139端口。
135端口是用来提供RPC通信服务的，445和139端口一样，是用来提供文件和打印机共享服务的。正常情况,局域网的机器共享和传输文件 (139端口。连接你的135和445端口的机器本身应该是被动地发数据包，或者也有可能是正常的、非病毒的连接——虽然这个可能性比较小。既然如此，那当然也可能是利用聊的人扫描ip段，这个也是常见的，初学黑客技术都这样，十足的狂扫迷，但往往什么也没得到，这种人应该好好看看
TCP/IP协议原理。
前面说了，局域网传播病毒会PING局域网机器，那有漏洞的主机当然躲不过端口连接，连接135端口的是冲击波（Worm.Blaster）病毒，尝试用Ping来探测本机也属于此，这种135端口的探测一般是局域网传播，现象为同一个ip不断连接本机135端口，此时远程主机没打冲击波补丁，蠕虫不断扫描同一ip段(这个是我自己的观点，冲击波的广域网和局域网传播方式估计不同吧，欢迎指正！)
某一IP连续多次连接本机的NetBios-SSN[139]端口，表现为时间间隔短，连接频繁。此时日志中所列计算机感染了“尼姆达病毒”。感染了“尼姆达病毒”的计算机有一个特点，它们会搜寻局域网内一切可用的共享资源，并会将病毒复制到取得完全控制权限的共享文件夹内，以达到病毒传播之目的。这种人应该同情下，好好杀毒吧！
··[12:37:57] 192.168.177.16试图连接本机的试图连接本机的http[80]端口，
TCP标志：S，
该操作被拒绝。
一般上网的用户都有这种情况，网站服务器的回显等等啊，出现一两个这样的报警没关系的。
如果你安装了IIS来建立自己的个人网站，开放了WEB服务，即会开放80端口。因此黑客扫描判断你是否开放了WEB服务，寻找相应的漏洞来进行入侵。一般我们所遇到的大都是别人的扫描行为，不需要过于担心了。
如果经常收到来自外部IP高端口（大于1024）发起的类似TCP的连接请求，你得小心对方电脑是否中了“红色代码”，并试图攻击你（也有可能是人为使用软件攻击）。由于此病毒只传染装有IIS服务的系统，所以普通用户不需担心。
若发现本机试图访问其他主机的80端口，则应检查自己系统中是否有此病毒了。
··[9:04:18] 218.2.140.13试图连接本机的FTP Open Server【21】端口，
TCP标志：S，
该操作被拒绝。
这个也分两种，一种是有人想探测你的主机是不是开放了21端口，想看看共享资源；另一种是用扫描器扫ip段的ftp服务端口，一般没什么恶意。21端口是 FTP服务所开放的端口，导致这条记录出现的大部分原因是一些网虫在使用ftp搜索软件看哪些电脑开放了FTP，以寻求软件、电影的下载。
··[23:08:34] 221.208.47.102试图连接本机的Wingate[1080]端口，
TCP标志：S，
该操作被拒绝。
这个是有人扫描ip段中的代理服务器，一般代理服务器默认端口常见的如Wingate[1080]，ccproxy[808,1080]等等，也没什么关系。
··[18:58:37] 10.186.210.96试图连接本机的Blazer 5[5000]端口，
TCP标志：S，
该操作被拒绝。
系统因素：Blazer 5[5000]端口是winxp的服务器端口，WindowsXP默认启动的 UPNP服务，没有病毒木马也是打开的，大家看到的报警一般属于这种情况，因为本地或远程主机的5000端口服务异常，导致不断连接5000端口。
木马因素：有些木马也开放此端口，如木马blazer5开放5000端口，木马Sockets de roie开放5000、5001、5321端口等！
··[19:55:55] 接收到 218.18.95.163 的 UDP 数据包,
本机端口: 1214 ，
对方端口: OICQ Server[8000]
该包被拦截。
[19:55:56] 接收到 202.104.129.254 的 UDP 数据包，
本机端口: 4001 ，
对方端口: OICQ Server[8000]
该包被拦截。
腾讯QQ服务器端开放的就是8000端口.一般是qq服务器的问题，因为接受不到本地的客户响应包，而请求不断连接，还有一种可能就是主机通过qq服务器转发消息，但服务器发给对方的请求没到达，就不断连接响应了(TCP连续三次握手出错了，我是这么认为的，我研究不深，具体没找到权威资料，可能说的不对，欢迎指正)
··[7:49:36] 接收到 64.74.133.9 的 UDP 数据包，
本机端口: 33438 ，
对方端口: 10903
该包被拦截。
这种情况一般是游戏开放的服务端口，一般范围在27910~~27961,因此来自这一端口范围的UDP包或发送到这一端口范围的UDP包通常是游戏
。爱好游戏的朋友会收到类似的端口连接。比如启动CS后创建了两个端口44405和55557。奇迹服务器好象是55960和55962端口。
··[18:34:16] 接收到 210.29.14.86 的 UDP 数据包，
本机端口: 6884 ，
对方端口: 6881
该包被拦截。
这个是BT服务端口(6881~~6889)，每个bt线程占用一个端口，据说只能开9个，但有时候防火墙报警，原因是防火墙过滤了这些端口。开放这些端口或关闭防火墙才能用BT。多说几句，何大哥有时候喜欢整几个限制下载的软件，因此楼上的不能用BT，因为他的电脑做主机限制了这些端口，不能使其BT端口全部打开。解决方法：端口映射，换默认端口！
一般高端端口没有什么好担心的，这是有人在用扫IP的软件在扫IP地址而正好扫到你的IP地址段,此类软件对被攻击主机的不同端口发送TCP或UDP连接请求，探测被攻击对象运行的服务类型。特别是对21、23、25、53、80、8000、8080等以外的非常用端口的连接请求。所以天网防火会报警,而且会拦截对方的IP，如果实在太烦，你可以把你的那个端口关掉。
【⑶】：日志记录的攻击性记录
常见的有洪水攻击SYN Flood、UDP Flood、ICMP Flood和Stream Flood等大流量DDoS的攻击。
··SYN Flood洪水攻击：
[11:13:55] 接收到210.29.14.130的SYN Flood攻击，
该操作被拒绝。
··IGMP数据包攻击：
[23:11:48] 接收到210.29.14.130的IGMP数据包
该包被拦截
[23:11:48] 接收到210.29.14.130的IGMP数据包
该包被拦截
这是日志中最常见最普遍的攻击形式。IGMP（Internet Group Management Protocol）是用于组播的一种协议，实际上是对Windows的用户是没什么用途的，但由于Windows中存在IGMP漏洞，当向安装有 Windows 9X操作系统的机子发送长度和数量较大的IGMP数据包时，会导致系统TCP/IP栈崩溃，系统直接蓝屏或死机，这就是所谓的IGMP攻击。在标志中表现为大量来自同一IP的IGMP数据包。一般在自定义IP规则里已经设定了该规则，只要选中就可以了。
碰到这种情况可以分两种：一种是你得罪他了，和你有仇；另一种就是攻击者吃饱了撑的或是一个破坏狂，这种人一般就一个人住，做点坏事也没别人知道的。品格有点小恙，遇到了，多注意点吧。
【⑷】真正想入侵的日志这样的，应该注意：
··[11:13:55] 219.130.135.151试图连接本机的3389端口，
TCP标志：S，
该操作被拒绝。
这种应该引起重视，3389这么恐怖的事情都来，菜鸟的最爱。
··[11:13:55] 210.29.14.130试图连接本机的1433端口，
TCP标志：S，
该操作被拒绝。
远程溢出，溢出的SYSTEM32就可以做CMD在你电脑上起作用，你整个电脑就在对方控制中了。
··[11:13:55] 210.29.14.130试图连接本机的23端口，
TCP标志：S，
该操作被拒绝。
··[11:13:55] 210.29.14.130试图连接本机的4899端口，
TCP标志：S，
该操作被拒绝。
以上两个不知道自己去网上查。
··[5:49:55] 61.114.78.110 试图连接本机的7626端口
TCP标志：S
该操作被拒绝
冰河木马的端口，黑客迷们的最爱
··[11:13:55] 210.29.14.130试图连接本机6267端口，
TCP标志：S，
该操作被拒绝。
广外女生木马的默认端口，很经典的一个国产木马
··[11:13:55] 210.29.14.130试图连接本机5328端口，
TCP标志：S，
该操作被拒绝。
风雪木马的默认端口
这几条记录就要注意一下，假如你没有中木马，也就没有打7626这几个端口，当然没什么事。而木马如果已植入你的机子，你已中了木马，木马程序自动打开这几个端口，迎接远方黑客的到来并控制你的机子。但你装了防火墙以后，一般即使你中了木马，该操作也会被禁止，黑客拿你也没办法。但这是常见的木马，防火墙会给出相应的木马名称，而对于不常见的木马，天网只会给出连接端口号，这时就得靠你的经验和资料来分析该端口的是和哪种木马相关联，从而判断对方的企图，并采取相应措施，封了那个端口。
另外还有一些：
··[6:14:20] 192.168.0.110 的【1294】端口停止对本机发送数据包
TCP标志：F A
继续下一规则
[6:14:20] 本机应答192.168.0.110的【1294】端口
TCP标志：A
继续下一规则
从上面两条规则看就知道发送数据包的机子是局域网里的机子，而且本机也做出了应答，因此说明此条数据的传输是符合规则的。为何有此记录，那是你在天网防火墙规则中选了“TCP数据包监视”，这样通过TCP传输的数据包都会被记录下来，所以大家没必要以为有新的记录就是人家在攻击你，上面的日志是正常的，别怕！UDP监视查找IP可以利用这个道理。
··补充一个非天网相关的问题，也是楼上田大哥提出来的：关机时出现提示“有1用户已登入到你的计算机，\\***,是否切断与他的联系”
一、你中了木马，当木马的服务器（黑客）发出指令PING所有客户端，如果你的防火墙好就被拦截了，出现“[16:39:29] 218.74.？.？ 尝试用Ping 来探测本机，该操作被拒绝”的情况，没有防火墙，只有杀毒软件，就被入侵了，关机时出现“有1用户已登入到你的计算机\\***,是否切断与他的联系”的情况。
关于如何防范，不想长篇大论了！网上资料也很多的。写这些东西也不是为菜鸟解颐，因为想学习的人是不会等着别人的总结的。个人能力有限啊，遗漏之处以后再整理添加。QQ：191395024 E-MAIL：hundan5ji@163.com
天网使用教程：，愿意且有空可以看看，其实自己多摸索就足够了。动手比看教程好。
天网怎么总是不停得警告：拦截了...... 。真的有黑客攻击么？
是在扫描网上所有电脑的漏洞.不一定会攻击你.因为他们只攻击那些有价值的大网站.你要是遭受攻击也是水平很烂的脚本小子的攻击,他们没有技术用黑客和前辈写出的程序来攻击个人,搞恶作剧.所以不用担心!
有黑客攻击我的电脑，我现在应该怎么办．
那是俩小病毒我以前刚装的机子里面就有！删了不用担心。
至于被攻击可以关掉一下端口：如果你不放心的话，你可以关掉不必要的端口来防止黑客入侵。
具体步骤是：
第一步，点击“开始”菜单/设置/控制面板/管理工具，双击打开“本地安全策略”，选中“IP 安全策略，在本地计算机”，在右边窗格的空白位置右击鼠标，弹出快捷菜单，选择“创建 IP 安全策略”（如右图），于是弹出一个向导。在向导中点击“下一步”按钮，为新的安全策略命名；再按“下一步”，则显示“安全通信请求”画面，在画面上把 “激活默认相应规则”左边的钩去掉，点击“完成”按钮就创建了一个新的IP 安全策略。
第二步，右击该IP安全策略，在“属性” 对话框中，把“使用添加向导”左边的钩去掉，然后单击“添加”按钮添加新的规则，随后弹出“新规则属性”对话框，在画面上点击“添加”按钮，弹出IP筛选器列表窗口；在列表中，首先把“使用添加向导”左边的钩去掉，然后再点击右边的“添加”按钮添加新的筛选器。
第三步，进入“筛选器属性”对话框，首先看到的是寻址，源地址选“任何 IP 地址”，目标地址选“我的 IP 地址”；点击“协议”选项卡，在“选择协议类型”的下拉列表中选择“TCP”，然后在“到此端口”下的文本框中输入“135”，点击“确定”按钮（如左图），这样就添加了一个屏蔽 TCP 135（RPC）端口的筛选器，它可以防止外界通过135端口连上你的电脑。
点击“确定”后回到筛选器列表的对话框，可以看到已经添加了一条策略，重复以上步骤继续添加 TCP 137、139、445、593 端口和 UDP 135、139、445 端口，为它们建立相应的筛选器。
重复以上步骤添加TCP 1025、2745、3127、6129、3389 端口的屏蔽策略，建立好上述端口的筛选器，最后点击“确定”按钮。
第四步，在“新规则属性”对话框中，选择“新 IP 筛选器列表”，然后点击其左边的圆圈上加一个点，表示已经激活，最后点击“筛选器操作”选项卡。在“筛选器操作”选项卡中，把“使用添加向导”左边的钩去掉，点击“添加”按钮，添加“阻止”操作（右图）：在“新筛选器操作属性”的“安全措施”选项卡中，选择“阻止”，然后点击“确定”按钮。
第五步、进入“新规则属性”对话框，点击“新筛选器操作”，其左边的圆圈会加了一个点，表示已经激活，点击“关闭”按钮，关闭对话框；最后回到“新IP 安全策略属性”对话框，在“新的IP筛选器列表”左边打钩，按“确定”按钮关闭对话框。在“本地安全策略”窗口，用鼠标右击新添加的 IP 安全策略，然后选择“指派”。
于是重新启动后，电脑中上述网络端口就被关闭了，病毒和黑客再也不能连上这些端口，从而保护了你的电脑
其次你可以弄个【IP安全策略】。
网站被黑客挂上木马病毒怎么办?
源码中查找可疑代码,删除
如何识别木马
识别木马有新招，希望这篇文章对你有所帮助。
一、经常看到有玩家说，在输入自己的帐号的时候通故意输错帐号和码。其实这种木马是最早期的木马程序。现在已经很少有编木马程序的程序员，还按照这种监听键盘记录的思路去编写木马程序。现在的木马程序已经发展到通过内存提取数据来获得用户的帐号和密码。大家都知道，不管是传奇还是任何一款程序。它都是有他所特有的数据的（包括玩家的帐号、密码，等级装备资料等等）。这些数据都是会通过本机与游戏服务器取得了验证以后，玩家的角色资料才会出现在玩家的面前。而这些数据在运行的时候都是存放在计算机的内存里面的。木马作者只需要在自己的程序里面加入条件语句就可以取得玩家真实的游戏帐号、密码、角色等级~~~~~，以我自己的计算机知识，这种语句的大概意思应该是：当游戏进程进入到让玩家选择角色的时候再从内存中提取最后一次的帐号、密码、角色等级等资料。也就是说，其实玩家之前所做的故意输错帐号或密码完全是浪费自己的表情、浪费自己的时间。
下边先来说一下木马是如何通过网页进入你的电脑的，相信大家都知道，现在有很多图片木马，EML和EXE木马，其中的图片木马其实很简单，就是把木马exe文件的文件头换成bmp文件的文件头，然后欺骗IE浏览器自动打开该文件，然后利用网页里的一段JAVASCRIPT小程序调用DEBUG把临时文件里的bmp文件还原成木马exe文件并拷贝到启动项里，接下来的事情很简单，你下次启动电脑的时候就是你噩梦的开始了，EML木马更是传播方便，把木马文件伪装成audio/x-wav声音文件，这样你接收到这封邮件的时候只要浏览一下，不需要你点任何连接，windows就会为你代劳自动播放这个他认为是wav的音乐文件，木马就这样轻松的进入你的电脑，这种木马还可以frame到网页里，只要打开网页，木马就会自动运行，另外还有一种方法，就是把木马exe编译到.JS文件里，然后在网页里调用，同样也可以无声无息的入侵你的电脑，这只是些简单的办法，还有远程控制和共享等等漏洞可以钻，知道这些，相信你已经对网页木马已经有了大概了解，
简单防治的方法：
开始-设置-控制面版-添加删除程序-windows安装程序-把附件里的windows scripting host去掉，然后打开Internet Explorer浏览器，点工具-Internet选项-安全-自定义级别，把里面的脚本的3个选项全部禁用，然后把“在中加载程序和文件”禁用，当然这只是简单的防治方法，不过可能影响一些网页的动态java效果，不过为了安全就牺牲一点啦，这样还可以预防一些恶意的网页炸弹和病毒，如果条件允许的话可以加装防火墙，再到微软的网站打些补丁，反正我所知道的网吧用的都是原始安装的windows，很不安全哦，还有尽量少在一些小网站下载一些程序，尤其是一些号称黑客工具的软件，小心盗不着别人自己先被盗了，当然，如果你执意要用的话，号被盗了也应该付出这个代价吧。还有，不要以为装了还原精灵就很安全，据我所知，一般网吧的还原精灵都只还原c:盘即系统区，所以只要木马直接感染你安装在别的盘里的游戏执行文件，你照样逃不掉的。
下边介绍一下木马和如何简单的检查一下是否中了木马。
木马程序一般分为服务器端程序和客户端程序两个部分，当服务器端程序安装在某台连接到网络的电脑后，就能使用客户端程序对其进行登陆。这和PcAnywhere以及NetMeeting的远程控制功能相似。但不同的是，木马是非法取得对对方电脑的控制权，一旦登陆成功，就可以取得管理员级的权利，对方电脑上的资料、密码等是一览无余。不过这种木马一般的“伪黑客”很少使用，因为一不小心就会引火上身，被对方反查过来就会偷鸡不成蚀把米了，一般他们都会采用只有服务器端的小木马，这类木马通常会把截取的密码发到一个免费邮箱里，不需要人为操作，有空去收趟邮件就可以了，这种木马遍布互连网的各个角落，的确防不胜防，由于木马程序众多，加之不断有新版本、新品种产生，使得软件无法完全应付，所以手动检查清除是十分必要的。
木马会想尽一切办法隐藏自己，别指望在任务管理器里看到他们的踪影，有些木马更是会和一些系统进程寄生在一起的，如著名的广外幽灵就是寄生在MsgSrv32.exe里；当然它也会悄无声息地启动，木马会在每次用户启动windows时自动装载服务端，Windows系统启动时自动加载应用程序的方法木马都会用上，如启动组、win.ini、system.ini、注册表等等都是木马藏身之地；下边简单说一下如何检查，点开始-运行，输入：
msconfig回车 就会打开系统配置实用程序，先点system.ini，看看shell=文件名，正确的文件名应该是“explorer.exe”，如果explorer.exe后边还跟有别的程序的话，就要好好检查这个程序了，然后点win.ini，“run=”和“load=”是可能加载“木马”程序的途径，一般情况下，它们的等号后面什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中上“木马”了，当然你也得看清楚，因为如“AOL木马”，它把自身伪装成command.exe文件，如果不注意可能不会发现它不是真正的系统启动文件；最后点“启动”，检查里面的启动项是不是有不熟悉的，如果你实在不清楚的话可以把他们全部取消，然后重新运行msconfig，看一下有没有取消的启动项重新被选中的，一般木马都会存在于内存中，（就是线程插入，然后隐藏进程的木马，DLL无进程木马就不会驻留在内存里面，我们在下一次中会讲到）所以发现你取消他的启动项就会自动添加上的，然后你就可以逐步添上你的输入法，音量控制，防火墙等软件的启动项了；还有一类木马，他是关联注册表的文件打开方式的，一般木马经常关联.exe，点开始-运行，输入：regedit回车，打开注册表编辑器，点第一条，也就是HKEY_CLASSES_ROOT，找到exefile，看一下\\exefile\\shell\\open\\command里面的默认键值是不是"%1" %* ，如果是一个程序路径的话就一定是中木马了，另外配合两种以上的杀毒软件也是必要的，另外在windows下木马一般很难清除，最后重新启动到dos环境下再进行查杀。
防木马程序、防火墙、及杀毒软件介绍：
1、木马克星： 专业的个人版木马查杀工具;近100%查杀各种类型木马!玩家推荐反木马品牌~!
2、绿鹰PC万能精灵2.91 ：专业的个人版木马查杀工具;近100%查杀各种类型木马!玩家推荐反木马品牌~!
3、Symantec AntiVirus：这个我就不用再介绍了吧，全球最大的杀毒软件！强力推荐8.1企业版。
4、天网防火墙2.51个人版:天网防火墙个人版在网络效率与系统安全上完全采用天网防火墙的设计思想，采用最底层的网络驱动隔绝，其作用层在网络硬件与Windows网络驱动之间，在黑客攻击数据接触Windows网络驱动之前将所有的攻击数据拦截，保护脆弱的Windows网络驱动不会崩溃
看看这个，是用VB编的木马程序
1.“特洛伊木马”有被称为BO， 是在美国一次黑客技术讨论会上由一个黑客组织推出的。它其实是一种客户机/服务器程序，其利用的原理就是：在本机直接启动运行的程序拥有与使用者相同的权限。因此如果能够启动服务器端（即被攻击的计算机）的服务器程序，就可以使用相应的客户端工具客户程序直接控制它了。下面来谈谈如何用VB来实现它。
使用VB建立两个程序，一个为客户端程序Client，一个为服务器端程序systry。
在Client工程中建立一个窗体，加载WinSock控件，称为tcpClient，协议选择TCP，再加入两个文本框，用以输入服务器的IP地址或服务器名，然后建立一个按钮，按下之后就可以对连接进行初始化了，代码如下：
Private Sub cmdConnect_Click()
If Len(Text1.Text) = 0 And Len(Text2.Text) = 0 Then
MsgBox ("请输入主机名或主机IP地址。")
Exit Sub
Else
If Len(Text1.Text) 0 Then
tcpClient.RemoteHost = Text1.Text
Else
tcpClient.RemoteHost = Text2.Text
End If
End If
tcpClient.Connect
Timer1.Enabled = True
End Sub
连接建立之后就可以使用DataArrival事件处理所收到的数据了。
连接建立之后就可以使用DataArrival事件处理所收到的数据了。
在服务器端systry工程也建立一个窗体，加载WinSock控件，称为tcpServer，协议选择TCP，在Form_Load事件中加入如下代码：
Private Sub Form_Load()
tcpServer.LocalPort = 1999
tcpServer.Listen
End Sub
准备应答客户端程序的请求连接，使用ConnectionRequest事件来应答户端程序的请求，代码如下：
Private Sub tcpServer_ConnectionRequest
(ByVal requestID As Long)
If tcpServer.State sckClosed Then
tcpServer.Close‘检查控件的 State 属性是否为关闭的。
End If ’如果不是，在接受新的连接之前先关闭此连接。
tcpServer.Accept requestID
End Sub
这样在客户端程序按下了连接按钮后，服务器端程序的ConnectionRequest事件被触发，执行了以上的代码。如果不出意外，连接就被建立起来了。
2. 建立连接后服务器端的程序通过DataArrival事件接收客户机端程序所发的指令运行既定的程序。如：把服务器端的驱动器名、目录名、文件名等传到客户机端，客户机端接收后用TreeView控件以树状的形式显示出来，浏览服务器端文件目录；强制关闭或重启服务器端的计算机；屏蔽任务栏窗口；屏蔽开始菜单；按照客户机端传过来的文件名或目录名，而删除它；屏蔽热启动键；运行服务器端的任何程序；还包括获取目标计算机屏幕图象、窗口及进程列表；激活、终止远端进程；打开、关闭、移动远端窗口；控制目标计算机鼠标的移动与动作；交换远端鼠标的左右键；在目标计算机模拟键盘输入，下载、上装文件；提取、创建、修改目标计算机系统注册表关键字；在远端屏幕上显示消息。DataArrival事件程序如下：
Private Sub tcpServer_DataArrival
(ByVal bytesTotal As Long)
Dim strData As String
Dim i As Long
Dim mKey As String
tcpServer.GetData strData
‘接收数据并存入strData
For i = 1 To Len(strData)
‘分离strData中的命令
If Mid(strData, i, 1) = "@" Then
mKey = Left(strData, i - 1)
‘把命令ID号存入mKey
‘把命令参数存入strData
strData = Right(strData, Len(strData) - i)
Exit For
End If
Next i
Select Case Val(mKey)
Case 1
‘驱动器名、目录名、文件名
Case 2
强制关闭服务器端的计算机
Case 3
强制重启服务器端的计算机
Case 4
屏蔽任务栏窗口；
Case 5
屏蔽开始菜单；
Case 6
按照客户机端传过来的文件名或目录名，而删除它；
Case 7
屏蔽热启动键；
Case 8
运行服务器端的任何程序
End Select
End Sub
详细程序略。
客户机端用tcpClient.SendData发命令。命令包括命令ID和命令参数，它们用符号“@”隔开。
另外，当客户机端断开与服务器端的来接后，服务器端应用tcpServer_Close事件，来继续准备接收客户机端的请求，其代码如下：
Private Sub tcpServer_Close()
tcpServer.Close
tcpServer.Listen
End Sub
这就是一个最基本的特洛伊木马程序，只要你的机器运行了服务器端程序，那别人就可以在千里之外控制你的计算机。至于如何让服务器端程序运行就要发挥你的聪明才智了，在我的源程序中有一中方法，是修改系统注册表的方法。
这就是一个最基本的特洛伊木马程序，只要你的机器运行了服务器端程序，那别人就可以在千里之外控制你的计算机。至于如何让服务器端程序运行就要发挥你的聪明才智了，在我的源程序中有一中方法，是修改系统注册表的方法。
成功的特洛伊木马程序要比这个复杂一些，还有程序的隐藏、自动复制、传播等问题要解决。警告：千万不要用BO程序破坏别人的系统。