RobaYの乱七八糟の日记 » 破解 http://www.a-boss.com 东篱把酒黄昏后，有暗香盈袖！ Tue, 03 Jan 2012 10:07:39 +0000 en hourly 1 http://wordpress.org/?v=3.2.1 CCProxy 6.61 绿色去图标版! http://www.a-boss.com/2008/07/17/ccproxy-661-%e7%bb%bf%e8%89%b2%e5%8e%bb%e5%9b%be%e6%a0%87%e7%89%88.html http://www.a-boss.com/2008/07/17/ccproxy-661-%e7%bb%bf%e8%89%b2%e5%8e%bb%e5%9b%be%e6%a0%87%e7%89%88.html#comments Thu, 17 Jul 2008 10:59:33 +0000 robay http://www.a-boss.com/blog/?p=161 不知道什么原因，一直用着的6.0突然不能用了，想再安装一遍时才发现，硬盘里的安装程序不知道什么时候已经没有了。

没办法只好架网再下载一个了，才发现居然已经升级到6.61版了，而且还是绿色版的，兴致勃勃的下载下来，设置好参数，却怎么找不到隐藏的选项了？

原来取消这个功能了！真是晕人！

我不是黑客，但也不喜欢右下键的图标有它在那放着，碍眼！自己干掉它！

原理其实挺简单的，只占用了我不到一个小时的中午时间就搞定了。整个世界清静了！

可惜我的blog空间不能下载文件，否则就传上来了。有需要的联系我吧！

终于换成功可以下载的空间了，提供本地下载：

http://www.a-boss.com/soft/CCProxy6.61_RobaY去图标绿色版.rar

需要说明一点的是：如果设置了自动隐藏功能，你将不能看到程序界面，需要更新ccproxy.ini中的autohide=0保存后即可！

再转一篇关于这个程序的一些功能介绍，个别功能在新版本下已经失效！

CCProxy高级功能介绍- -

代理服务器CCProxy开发了大量针对网络管理员的高级功能，下面的介绍只是关于高级功能的说明和对应的参数设置。 所有参数在修改保存后，都需要重新启动CCProxy。

怎样修改帐号管理所支持的帐号数

默认值是300。对应CCProxy.ini里的MaxUserCount。

怎样修改时间安排的支持数目

默认值是20。对应CCProxy.ini里的MaxTimeSchedule。

怎样修改网站过滤的支持数目

默认值是20。对应CCProxy.ini里的MaxWebFilter。

怎样修改CCProxy的同时在线支持数目

默认值是300。对应CCProxy.ini里的MaxConnection。

怎样拦截进出代理服务器的所有数据

本功能原来是方便用户反馈程序错误用的。在主界面上，按住Ctrl键，双击”0/0″。所有拦截的数据都保存到C:\log.dat。最多保存256K数据。此功能影响代理服务器速度，需即时关闭。对应CCProxy.ini里的BugTrace。

怎样在线检查CCProxy最新版本

此功能不会将您的电脑的任何信息发送给遥志软件，请放心使用。
双击主界面上的U字母。

怎样修改界面的连接数曲线(绿色)的显示高度和流量带宽曲线(黄色)显示高度?

在界面上单击鼠标右键,在弹出的窗口中修改度默认是300和256，如图。

怎样调出Windows任务管理器?

双击主界面上的0/0。

怎样知道所运行的CCProxy的发布时间

双击主界面上的时间数字。

怎样快速进到CCProxy安装目录

按着Ctrl键，双击主界面上的时间数字。

怎样知道今天的农历日期

按着Shift键，双击主界面上的时间数字。

怎样实现启动CCProxy时自动拨号和关闭CCProxy时自动断线

对应CCProxy.ini里的DialWhenStartup和DisconnectWhenShutdown。将值设成1时，表示打开这个功能。在使用此功能前，要设置好代理服务器的拨号选项。

怎样让服务器拨号闲置时自动断网并关机

此功能由黑龙江天衣有缝提出。首先要设置好拨号闲置自动断开功能，然后将CCProxy.ini里的
ShutDownWhenIdle=1。

怎样实现定时关机

CCProxy.ini
[ShutDown]
Enable=1
Time=20:00
表示20:00关机

CCProxy.ini
[ShutDown]
Enable=1
Time=05:05
表示05:05关机

此功能最好在CCProxy NT服务方式下运行，这样CCProxy可以获得更高的权限来关闭电脑

怎样修改网站过滤服务器返回的字符串

CCProxy.ini里的
WebSiteForbidden对应站点过滤服务器返回的字符串。注意，要保留%s。WebContentForbidden对应内容过滤服务器返回的字符串。
如果WebSiteForbidden里填写的是一个文件绝对路径名，那么服务器会读取该文件来作为过滤网站返回信息。如：WebSiteForbidden=c:\alert.htm。
如果WebContentForbidden里填写的是一个文件绝对路径名，那么服务器会读取该文件来作为内容过滤返回信息。如：WebSiteForbidden=c:\alert.htm。

怎样修改网页身份认证里的字符串

CCProxy.ini里的
WebAuthTitle对应认证对话框里的字符串“CCProxy Authorization”。AuthorityFailed对应认证失败后服务器返回的字符串。

怎样实现验证失败时显示指定的htm文件?

CCProxy.ini里的
AuthorityFailed里输入htm文件的绝对地址。例如:AuthorityFailed=f:\1.htm,表示显示F盘根目录下的1.htm文件。

怎样实现帐号排序?

“帐号管理”→ 点击”用户名”、”IP地址”、”MAC地址”、”连接数”任一字段名即可按所选字段名排序，连续点击则分别按”降序”、”升序”分别排列。如图。确定后，将按照排序结果保存帐号。

怎样实现远程拨号?

1) 在服务器上手工建立一个拨号连接，并且测试一下这个拨号连接是否有效。
2) “设置”-> 选择”远程拨号”。
3) “设置”->”高级”->”拨号”：在”拨号列表”中选择 1)中建立的拨号连接。在”拨号用户名”、”拨号密码”里填上正确的上网帐号信息。
4) 在帐号管理中编辑或新增用户，并选择允许该用户”远程拨号”。
5) 客户端的浏览器首先要设置好HTTP代理服务。然后在浏览器中输入 http://ccproxy.connect 就可以拨号了，如果客户端使用 http://ccproxy.connect.电话号码.用户名.密码，则用指定的电话号码和用户帐号信息拨号。
6) 断开拨号网络连接则在浏览器中输入 http://ccproxy.disconnect

怎样实现通过客户端使服务器自动拨号?

1)”设置”-> 选择”远程拨号”。
2)”设置”->”高级”->”拨号”-> 选择”允许自动拨号”，然后在相应代理协议前打勾。
3)”帐号”-> 编辑或新建帐号 -> 选择”远程拨号”。
这样，只要被允许的客户端使用被允许的协议（HTTP/FTP/TELNET等）就可以实现服务器自动拨号功能。

怎样实现隐藏任务栏图标 ?
编辑ccproxy.ini，在 [System] 下增加一行Allhide=1。去掉这一行则显示图标。
或：”设置”->”高级”->”其他”：选择”隐藏所有”。
若要重新显示主界面，只需再运行一次CCProxy即可（CCProxy自动判断，不会在同一个目录下启动多个进程）。

怎样使用热键激活界面?

编辑CCProxy目录下的CCProxy.ini，把EnableHotKey=0改为1，然后保存文件并重启CCProxy软件。以后当软件隐藏后，只要按下”CTRL+ALT+C”，界面会重新显示。详细设置>>

怎样实现管理员密码控制?

“设置”->”高级”->”其他”：选择”密码保护”，然后在相应的密码框中输入密码。这样每次修改设置、增加或编辑帐号、退出程序都必须输入正确密码方可。
若需要每次启动时必须输入密码则再选择”启动时需要密码”。建议一般情况下不选择。

怎样让客户端显示广告条?

这是一个相当有趣的功能，最初由上海复旦大学Hyne提出。
默认状态是关闭。对应CCProxy.ini里的AddMessage。AddMessage=1，表示开放广告条功能。同时在CCProxy运行目录下写一个addmessage.htm文件(小于4096字节)，当然这个文件的编写很要技巧。
提供两个非常经典的例子：ads1.zip(Hyne提供) ads2.zip(testa提供) 欢迎提供更多好的例子。
另外,可以在界面中按住shift双击0/0,在弹出的对话框中选择,如图。

怎样往客户端发送信息?

客户端如果是Win98，要求已经运行了windows目录下的WINPOPUP.EXE。如果是Win2000/NT，则系统已经自带了消息接收功能。选中需要发信息的帐号点击右键，在第一个编辑框里输入接收者的机器名，第二个编辑框里输入要发送的文字，点击确定就可以发送信息到客户端了。如果上面的对话框里输入的是”*”号，可以发送到局域网里的任何一台机器。

怎样实时观测客户端访问内容(网站)以及客户端连接数和流量?

双击主界面绿色网格即可，并且双击左上角的”当前连接信息”左边那个图标，可以切换观察状态。

怎样实现流量统计和计费?

1) 在CCProxy的”设置”—”高级”—”日志”—”运行流量统计”前面打勾，并设定”流量统计间隔时间”(默认为10分钟)，这样系统会在log文件夹中生成一个文件(如data20030613.txt)，并每隔10分钟系统在该文件中写入一次流量统计数据;
2) 点击”流量统计”，即可打开流量统计文件，观察到流量记录(前面的为流进数据,后面的为流出数据);
3) 下载CCReport插件，可以根据统计出的流量，计算出每用户的使用费用。

怎样实现端口映射?

在”设置”页面点击”端口映射”后面的E按钮,进行相应的设置即可：

怎样设置二级代理?

“设置”->”高级”->”二级代理”：选择”启用二级代理”，在代理地址中输入上级代理服务器IP或计算机名称，选择代理协议HTTP/HTTPS/SOCKS，再输入对应的端口。若需要验证密码，则选择”需要验证”，在”用户名”、”密码”框中分别输入指定信息。需要注意的是：
1) 若上级提供了SOCKS5服务，则可以为下级提供包括HTTP/FTP/GOPHER/SOCKS/RTSP/MMS/TELNET等协议在内的几乎任何服务，本程序可以全部自动转换；若上级提供了HTTPS服务，则绝大部分服务也可为下级提供，除了QQ/PP等UDP协议；若上级只提供了HTTP服务，则下级只能使用HTTP/FTP/GOPHER/SOCKS/TELNET等一般协议，RTSP/MMS等协议无法转换。 2) 6.0版支持不同的协议可以设置不同的二级代理或者不使用二级代理，即每一个协议都可以使用不同的上级代理和不同的协议或者部分协议使用上级代理，而部分协议可以不使用上级代理，也可以全部使用同一个上级代理和协议。

怎样同时运行多个ccproxy进程?

编辑ccproxy.ini，修改EnableMultiRun=1即可，但须安装在不同目录，使用不同端口。

怎样访问带域验证的网页?

可以只设置socks代理(如图)来实现访问，CCProxy要开放DNS服务和SOCKS4服务，客户端的DNS里要设置服务器的IP地址。

怎样结合杀毒软件检查所有通过代理发送和接收的邮件病毒?

编辑ccproxy.ini，修改AntiVirusGate=1表示启用邮件杀毒。目前我们测试过的软件有瑞星2003版和Norton 2003版，只要服务器上安装了这样的杀毒软件，就可以实现代理服务器邮件杀毒功能。

如何控制流媒体视频带宽?

编辑ccproxy.ini，修改[MMS]项：EnableRecord=1

如何屏蔽端口和屏蔽IP?

编辑ccproxy.ini，修改[DestDisable]项：
PortDisabled=1表示启用端口屏蔽，Port=25;110;80表示屏蔽这些端口;
IPDisabled=1表示启用IP屏蔽，IP=0.0.0.0-202.0.0.0表示屏蔽这个范围内的IP

用户通过web方式发送邮件时如何禁止发送附件?

在”内容过滤”里加入”;; filename=”。(注意: 在分号后面有一空格，如果有其余过滤的内容如chat等必须放在第一位，如图)

怎样在客户端Ping互联网地址?

1）首先确认CCProxy的Telnet代理已经打开。
2）假设代理服务器地址是192.168.0.1，在客户端上输入命令行 telnet 192.168.0.1，然后回车。
3）在提示符CCProxy Telnet>后，输入你要ping的地址，如ping sina.com.cn ，然后回车。

在远程终端服务(Terminal Services)下运行CCProxy需要注意的事项?

如果在远程终端服务(Terminal Services)下运行CCProxy，而且以NT服务方式运行，需要设置CCProxy.ini里的一个参数：TerminalServices=1。显示CCProxy界面只需要再次运行CCProxy就可以了。

怎样在代理服务器CCProxy里巧妙的利用Auto Proxy功能?

在代理服务器CCProxy里巧妙的利用Auto Proxy功能,请看详细设置

C源代码：客户端怎样通过proxy进行连接，支持https, socks5代理?

客户端通过proxy进行连接，支持https, socks5代理的C源代码请看

如何突破屏蔽代理访问的网站?

有些网站屏蔽代理访问,可以通过编辑CCProxy目录下的CCProxy.ini来突破屏蔽,把EnableProxyConnection=0改为1，然后保存文件并重启CCProxy软件。详细设置>>

如何绑定服务器IP地址?

编辑CCProxy目录下CCProxy.ini文件,把ServerBindIP=0.0.0.0改为服务器接入线路的IP地址,然后保存文件并重启CCP roxy软件。当服务器有多条线路接入时,管理员可以通过此功能合理分配带宽资源。详细设置>>

如何让目标网站无法得知你是从哪个网站进入该网站?

编辑CCProxy目录下CCProxy.ini文件,把EnableReferer=0改为1,然后保存文件并重启CCProxy软件。此功能便于保密,让目标网站无法得知你是从哪个网站进入该网站的。详细设置>>

如何关闭gzip,加强广告条功能的应用范围？

编辑CCProxy目录下CCProxy.ini文件,把EnableGzip的值改为0,然后保存文件并重启CCProxy软件,此功能可以大大加强广告条功能的应用范围。详细设置>>

]]> http://www.a-boss.com/2008/07/17/ccproxy-661-%e7%bb%bf%e8%89%b2%e5%8e%bb%e5%9b%be%e6%a0%87%e7%89%88.html/feed 2 主动防御技术(转) http://www.a-boss.com/2008/02/23/%e4%b8%bb%e5%8a%a8%e9%98%b2%e5%be%a1%e6%8a%80%e6%9c%af%e8%bd%ac.html http://www.a-boss.com/2008/02/23/%e4%b8%bb%e5%8a%a8%e9%98%b2%e5%be%a1%e6%8a%80%e6%9c%af%e8%bd%ac.html#comments Sat, 23 Feb 2008 21:16:43 +0000 robay http://www.a-boss.com/blog/?p=75 主动防御技术
对于SSDT Hook，现在的所有Anti-Rootkit工具都能轻易找出并解除它的钩子（脱钩，Unhook），如IceSword、RKU、超级巡警等。
运行IceSword，首先点击“进程”，观察这里是否存在红色标记的进程，如果有，说明你的系统里绝对存在SSDT Hook，那红色的进程正是被底层驱动隐藏起来的文件，将它的具体位置记下来，并将其终止。
现在点击进入SSDT列表，会发现一些被红色标注出来的行列，记住它的“当前服务函数所在模块”，这个就是实施SSDT Hook的底层驱动文件。
然后，使用超级巡警切换至高级模式，将SSDT恢复为初始状态，它的所有防御就被解除了，现在直接查找刚才记录的文件去删除吧。
进一步试探：Shadow SSDT Hook
RK 作者不甘心，无论是出于技术上的抗争还是利益上的损失，反正，ARK既然让我丢了面子或瘪了钱包，那么，“有朝一日龙得水，定叫长江水倒流！”，一些人开始尝试研究破解Anti-Rootkit工具，誓与之抗争到底，另一些人，则开始了新的探索，最终，双方都有了成效：首先，pjf的大作 IceSword被成功反汇编了，虽然得到的并不是最初的C语言代码而是汇编语句，但是对于研究Rootkit的人来说，汇编在他们眼里，就如同看网络小说一样轻而易举，很快，就有人识破了作者的检测逻辑，可以绕过IceSword以及其他采用类似检测方法的工具的Rootkit就此诞生，甚至一部分RK 已经开始反过来监控ARK，一旦相应ARK的驱动被加载，立即开始玉石俱焚——将用户机器弄成经典的蓝屏死机，不明就里的用户在几次与蓝色屏幕对望后，通常都会无奈的放弃；而另一种蓝屏则是更深层次的问题导致的，下面会提到。
//文章出处:网络技术论坛(http://bbs.nettf.net) 作者:小金
而探索另一个方向的研究者们，也传来了捷报：Windows系统里，除了那个大家都在玩的SSDT（KeServiceDescriptorTable）以外，还有一个隐藏得非常深入的类似SSDT结构的数据段在同时工作着，它被称为“Shadow SSDT”（SSDT映射），这个“KeServiceDescriptorTableShadow”功能并未从系统内核中导出，但是通过外联的系统级别调试器，却看到了它的踪影。Shadow SSDT的作用和SSDT本身差不多，只不过它主要是提供一些基于图形用户界面（GUI）下的系统服务函数，并保存了一份与SSDT相同的服务列表，当然，这也是提供给基于GUI下的程序调用的。Shadow SSDT被安排在win32k.sys中，非常少文献提及它，因此这几乎是个被人遗忘的角落，Rootkit作者们很快就发现，控制这里也能达到一定的效果，因为Shadow SSDT同样具备了SSDT的所有功能，只不过是要利用的时候多了一些步骤而已，于是RK又有了新的玩法，这一次，轮到ARK傻眼了，那时候ARK根本没有做到Shadow SSDT这一步，于是，只钩住Shadow SSDT的Rootkit们得以无法无天的生存下去，任由用户怎么发现恶意程序怎么恢复SSDT都好，始终都是影响不到此类Rootkit！
这个情形，一直到具备了Shadow SSDT检测功能的ARK工具出现才结束，例如大名鼎鼎的RootKit Unhooker（RKU），它那强大的SSDT以及其Shadow检测脱钩功能，帮助许多人解决了这些新生的捣蛋鬼，于是，Rootkit作者们又开始寻求新的生存之道。
此类Hook由于出现得比较晚，很多当初流行的ARK都没有涉及这块，所以，我们只能使用RKU、狙剑等工具对其进行操作。
运行RKU（Rootkit Unhooker），它是英文软件，但是操作十分简便。点击“Shadow SSDT”，如果系统中存在Shadow SSDT Hook，你会发现软件底部状态栏里“Services/Hooked”不再是“xxx/0”的状态，同时相应被Hook的函数显示行里， “Hooked”一栏为“Yes”，现在记下这个文件的位置和地址，然后直接点“UnHooked ALL”，接下来，去找文件删除吧。
逼近顶峰：Inline Hook
世界上最荒谬的事情是什么？是顺着被人故意弄乱方向的路牌，往错误的方向走了好远都没察觉到有问题？还是被朋友恶作剧的将男女洗手间的标识换了位置？如果有天去造访寺院，却发现里面居然是清一色的道士在念经，你一定会惊呼，这简直太荒谬了！
在狂热的Rootkit领域里，类似的荒谬正在散布开来，那就是高级的Hook形式——Inline Hook。
在最初的运作流程里，所有被设置了挂钩的函数操作，最终还是要回到原始功能模块内处理的，毕竟第三方程序作者不是Windows系统编写者，为了保证系统的正常运行，最明智的做法当然是让被拦截的相关函数请求在经过自己编写的模块的层层检测并发现无害以后，立即将这个即将进行正常工作的请求原封不动的送到它该干活的地方去，以便系统完成整个工作流程，所以大家都在打SSDT等地方的主意，就是为了在这条必经之路上插上一脚，力求能绊倒那些看着不顺眼的路人。而现在，路上出现会砍脚的保安了，怎么办，难道玩不下去了吗？然而，迎接挑战正是每个研究者的兴趣所在，于是，荒谬的念头带出了可怕的技术，这就是 Inline Hook。
其实，Inline Hook早就作为一种高级的Hook技术存在了，在用户层上的一些特殊程序如游戏外挂等，为了获得最完整可靠的数据，它们都不再采用错误指路牌的方法来将数据转移了，因为这样很可能会因为触发程序编写者针对此问题而设置的处理程序，最终功亏一篑。那么，怎么样才能让这个处理程序不能达到触发条件呢？那就是千万别去钩这个程序，但是如果不钩住程序，又该如何取得相关数据呢？在这样的思考模式下，一种新的钩子技术诞生了：它虽然也在玩钩子，但是它却不是来钩目标程序的，而是将系统里相应的API函数给虏了去，由于任何普通程序作者对系统API都是绝对信任的，于是，当他们的程序请求调用相关API并将参数一同发送过去时，由于提供这个API的相应模块被钩住了，它的“先知”——布施钩子者就抢先一步得到了数据内容，接下来就得看作者的编程功底来决定程序的生死了，因为作者并不能自己写出相应的系统函数，他就必须得设法将数据送回原函数执行模块里去，这一步稍有差错，就会导致调用这个API的程序崩溃退出。
正因如此，Inline Hook是一种相对一般Hook而言更复杂的技术，除非作者有较深的编程功底和对系统的了解，否则冒冒失失就大量使用这个技术是很容易出问题的，不仅受害者不好过，攻击者也无法取得他所需数据，得不偿失。
既然在用户层（Ring 3）上使用Inline Hook都要如此注意，那么在Rootkit的世界里有没有人吃螃蟹呢？答案是一定的，当钩住SSDT和Shadow SSDT的途径都被堵死以后，Rootkit技术终于向Inline Hook迈出了一步。
设想一下，当所有检测工具都在虎视眈眈SSDT这个关口时，某个Rootkit早已用自己的函数把系统内核里的敏感函数给替换了，当用户层的函数操作请求通过正常的SSDT找到相应内核态函数的执行主体时，却不知道这个执行主体早已被Rootkit冒名顶替了，那么情形会是怎么样的呢？虽然所有检测工具都报告情况正常，但是机器内其实早已被Rootkit安家，如果这个Rootkit预置了在某个时刻进行破坏行为的逻辑，那么用户直到系统出问题的那一刻，都还不知道究竟发生了什么事情！
位于Ring 0的Inline Hook是十分隐蔽的，除非研究者对系统了解较深，否则他想破了头也不能找出原因所在，更别提连杀个辜n›程的概念都很迷茫的普通用户了。但是使用 Inline Hook是必须付出代价的，由于内核的复杂性，尤其因为位于这一层的函数是所有程序都必须频繁调用的，很多时候如果设钩者没考虑周全，导致某个已经 Inline Hook的函数被意外的直接调用，就会导致严重后果。所以，使用Inline Hook的Rootkit能否正常稳定的工作，是与作者的水平连接得十分紧密的，一个不成熟的用户层Inline Hook程序大不了就是跟着它要监控的程序一起引发内存错误导致非法操作异常退出，仅此而已，但是到了系统核心层，这里可没有任何错误检测模块来保证你的程序在做出会导致内核崩溃的事情之前就赶紧将它终止——这已经是最底层了，一个错误的内存读写都会直接引发内核级别的崩溃，即我们俗称的“蓝屏死机” （BSoD，Blue Screen of Dealth）。于是，不成熟的Inline Hook Rootkit的代价就是系统变得及其不稳定，在用户看来，电脑表现出来的症状就是莫名其妙的非常容易蓝屏，这就是技术不成熟的Rootkit导致的后果，只不过，这个代价是由受害的用户来承担的。
不过，目前能流行开来的Inline Hook Rootkit，基本上都是已经在开发者的机器上经历了无数次蓝屏考验后才出场的，所以通常情况下，用户并不会因为这些Rootkit的存在而频频蓝屏，并且，它已经成为当前Rootkit的主流技术。
对付Inline Hook，无论是狙剑、RKU还是Wsyscheck都可以做到，以狙剑为例，点击程序主界面的“扩展功能”，然后点击“SSDT检查”，你会突然有眼花缭乱的感觉，所以请点击右键——“筛选可疑项”，让它仅仅把异常部分显示出来（注意那个SnipeSword.sys，它是狙剑自身的驱动，不要弄错了），如果系统存在异常，“HOOK类型”里会列出相关说明，如HOOK、Inline-Hook等，首先可以尝试右键选择“恢复所有HOOK”，然后刷新一次，如果仍然列出异常项目，就得在相应的项目列上点击右键选择“恢复选定的Inline-HOOK”了。
紧紧缠绕的寄生藤：FSD Hook
//文章出处:网络技术论坛(http://bbs.nettf.net) 作者:小金
随着RK与ARK的斗争进展，SSDT Hook（包括Shadow Hook）的道路被清理了，Inline Hook也被揪出来清理了，但是一些用户惊讶的发现，他们仍然无法删除这些已经暴露在眼皮底下的文件，这是为什么？
在解说这个问题之前，我们先来了解一些概念。为了让用户敲打键盘、点击鼠标、插入U盘等就能直接进入计算机的世界，操作系统在幕后是做了相当多的工作的，这些在底层运作的功能层层汇聚，最终建立出一个可用的操作平台，其中，负责管理磁盘数据和文件读写的部分被称为“文件系统”（File System，FS），其中，Windows系列操作系统是采用IOS（Input/Output Supervisor，输入输出管理程序）技术进行文件系统管理的。它接管所有的存储设备，如硬盘、可移动式磁盘、光驱等。
IOS是一种层次结构的管理方案，展现在用户层上的是各种应用程序的读写操作，其下一层紧接着的是被称为“可安装文件系统”（Installable File System，IFS）的接口层，这一层是以下各层的最终汇聚，通俗点说，也就是我们在屏幕上看到磁盘盘符、光驱盘符、U盘盘符、网络磁盘映射盘符等图标并对它们进行操作的由来。继IFS以后，就是各种文件系统驱动所在的层，即“FSD”（File System Driver，文件系统驱动），这一层直接与IOS连接，用于接受并处理属于自己任务分派内的数据；FSD下一层直达IOS，而到了IOS的下一层，数据就开始往硬件化发展了。
而这次Rootkit的目标，就是到达IOS之前的最后一层：FSD。
FSD在Windows系统中属于开放给编程人员可接触到的最深入的一块区域（再往下就是操作系统自身提供的驱动和硬件厂商的事情了），所以，这一层的权限是很高的，控制了这个层次，开发者就能掌握到最多最全面的文件读写操作控制，于是，当所有的道路都被Anti-Rootkit工具阻挠后， Rootkit作者开始反抗，方法是阻止他们的工具将揪出来的Rootkit直接歼灭。
FSD并非绝对禁地，在这之前，反病毒厂商和磁盘数据加密厂商早就在这一层里专研了，一部分人致力于编写自己的FSD，而更多的人，是通过编写FSD Filter Driver（文件系统驱动过滤器）来达到目的，以便从中析出它们敏感的数据来进行其他工作，而Filter驱动的一个要点就是钩住FSD，即“FSD Hook”。当FSD被你掌握后，你就可以通过操纵它的数据来控制别人的文件读写请求，对于Rootkit来说，它们可以将一些敏感文件如自身驱动程序文件、用户层相关文件等设置为除了它们自己以外的程序都无法对其进行读写的效果，到了用户层，直接反映出来的就是无法对其进行编辑、改名和删除。
用了这个技术，Rootkit作者们又可以偷笑了，因为即使用户用各种手段找到了它并将其进程终止，他也无法操作那些被保护起来的文件。
只是，钩子始终是钩子，总会有人去脱钩的，在克制FSD Hook技术的ARK工具出现后，一部分人面对着十分难以操作的FSD而放弃了，因为到了这一层已经非常容易导致系统不稳定了。
而一些人，仍然走了下去。
如何清理这个类型的Rootkit呢？以最容易操作的Wsyscheck为例，首先运行Wsyscheck（你会发现一个有趣现象：IceSword无法检测到Wsyscheck的Hook，因为它用的技术是Inline Hook和FSD Hook），点击进入“内核检查”，选中“FSD检查”，留意“代码异常”项里是否有标注为“Yes”的项，如果有，请在界面里右键点击，并选择“恢复所有函数”。Wsyscheck的进程列表并非使用IceSword一类的逻辑，所以如果你看到存在红色的列表也不要太过于紧张，它只是表示这个程序是没有系统签名验证、且类型特殊（如服务、加载驱动等）的应用程序而已，并非是IceSword这样的“坏人标识”。
产于极端的终极技术：FSD Inline Hook
Rootkit到了FSD Hook这一层，对系统造成的影响已经相当危险了，然而，由于出现了对抗的工具触动了某些人的利益，终于，一个著名的流氓软件吃了这只大家都会因为良心不安而不去触碰的螃蟹——FSD Inline Hook。
在及其重要敏感的FSD环境下放钩子本身就是一件要求很高的事情，而用自己的函数去替代这个雷区的系统函数，更是被很多人认为是严禁操作的事情，而现在，真的有人带头违反了，以后的局势又将如何呢？
所以，将CNNIC列为当前流氓软件作者的所有研究目标都不过分，因为CNNIC身上，就具备了多种高级技术，只可惜，全都没有用于正道。
Inline Hook的概念我们在前面已经说过了，现在主要说说这个Rootkit的行为以及后果。
也许是CNNIC的开发者对于自家产品频频被删除而恼怒了吧，这次最新发布的程序中，FSD Inline Hook终于出现了，它直接将操作系统厂商编写的相关功能使用自己的函数去取代了，而搞过FSD开发的人都知道，这一层的功能函数对硬件平台、系统版本是具有高度依赖性的，每个操作系统采用的函数都会有些许差异，但是操作系统厂商并不是制作通用的FSD方案，更何况，这个标准就是他们自己提出来的，所以这些变动对他们而言都是无伤大雅的，但是对于第三方厂商来说，他们缺少必要的开发文档（微软并未公布任何涉及FSD Inline Hook技术文档，也不鼓励开发者这样做）和齐全的硬件测试平台，所以，在䷜n齐全的操作系统环境和硬件配置下实现的技术，必然很容易就导致受害用户直接欣赏到赏心悦目的蓝屏。
CNNIC必然清楚这点，但是，他们什么也不顾了。而且，CNNIC的技术水平果然也没达到稳定的水平，在被CNNIC安家的系统里，用户只要运行 IceSword检测，就会直接导致蓝屏，这是因为它们都同时钩住了一个底层函数，但是下钩的位置存在些许偏差，例如，一个钩住了头部，一个钩住了屁股，于是内核受不了这很黄很暴力的行为，而直接崩溃了。
但是，毕竟已经有人起了头。以后的Rootkit世界将会变成什么样子，谁也不知道。
//文章出处:网络技术论坛(http://bbs.nettf.net) 作者:小金
要消灭CNNIC以及采用FSD Inline Hook技术的Rootkit，首选应该是360安全卫士，但是如果出现了360安全卫士也未加入识别的Rootkit，用户就得使用“狙剑”了，解决方法与前面提及的大同小异，只需要对其“脱钩”就可以了，关键在于，用户还得留意Rootkit的用户层程序是否也使用Hook，如线程注入等。
RK 多了，ARK也多了，这是好事还是坏事呢？答案自然是后者，无论是RK还是ARK，它们都必须进行同一个行为，就是进入系统内核层次并达到目的，于是不兼容现象往往会发生在几个ARK之间，例如，在运行了狙剑后，Wsyscheck经常会直接报错退出，而如果用户在开启了Wsyscheck的情况下运行 IceSword，他将会有很大几率看到那蓝底白字的屏幕。
三. 结语
虽然到处都在提倡和谐网络的普及，但是，“健康上网”仅仅是指代那些黄赌毒而已吗？在利益面前，开发者的正义感越发渺小起来，我们的网络世界，是被瘟神紧紧跟随着的。技术的斗争越发激烈，但是用户的电脑知识是不会跟着时代发展而自动填充的，最终，大众上网的人民成了这一切技术较量的受害者。
这个荒谬的发展方向，何时才能休止呢？

]]> http://www.a-boss.com/2008/02/23/%e4%b8%bb%e5%8a%a8%e9%98%b2%e5%be%a1%e6%8a%80%e6%9c%af%e8%bd%ac.html/feed 0 ADsl制作自己的ftp http://www.a-boss.com/2007/10/14/adsl%e5%88%b6%e4%bd%9c%e8%87%aa%e5%b7%b1%e7%9a%84ftp.html http://www.a-boss.com/2007/10/14/adsl%e5%88%b6%e4%bd%9c%e8%87%aa%e5%b7%b1%e7%9a%84ftp.html#comments Sun, 14 Oct 2007 23:16:33 +0000 robay http://www.a-boss.com/blog/?p=56 原来一直懒得做个自己的FTP,因为不想自己的电脑被拖垮,但前几天想给朋友传部电影时,却发现找不到好的办法,而且原来也有朋友找我要过我制作的光盘,也没有能解决,于是借这个机会做自己做了一个,不会天天开,但用到的时候再开吧,目前自己测试速度还不错!

步骤如下:可能有些简单,但相信基本上做这东西的人,都应该看得明白.

1、从 http://www.oray.cn/ 网站下载花生壳软件（免费的，这东西早在我上大学时就已经有了，只是一直未有机会试验，现在终于可以体验一下了。），然后再其网站上注册一个帐号，如果喜欢还可以申请一个免费的域名，我不想使用自己花钱的域名，而且如果域名过户也会是很贵的呀，所以就申请了一个robay.vicp.net免费的域名，反正也不常用。
2、下载FTP服务器软件，这里我用的是Serv-U，网上一搜一大堆的，包括注册破解版的，最好用中文版式的，否则配置起来很累人的。
3、安装花生壳软件，它的作用是把动态的ADSL生成的IP解析成你设定的域名，做一个对应工作。安装好后，把你在网上注册好的帐号填进去，登录，OK，现在就应该已经可以ping 你的域名了。
4、配置Serv-U,设置你要共享的目录、权限、帐号等。

其实很简单，现在输入 ftp://robay.vcip.net 就可以访问设置好的ftp了。

]]> http://www.a-boss.com/2007/10/14/adsl%e5%88%b6%e4%bd%9c%e8%87%aa%e5%b7%b1%e7%9a%84ftp.html/feed 0 启用新的解压缩软件7-zip http://www.a-boss.com/2007/09/27/%e5%90%af%e7%94%a8%e6%96%b0%e7%9a%84%e8%a7%a3%e5%8e%8b%e7%bc%a9%e8%bd%af%e4%bb%b67-zip.html http://www.a-boss.com/2007/09/27/%e5%90%af%e7%94%a8%e6%96%b0%e7%9a%84%e8%a7%a3%e5%8e%8b%e7%bc%a9%e8%bd%af%e4%bb%b67-zip.html#comments Thu, 27 Sep 2007 14:32:09 +0000 robay http://www.a-boss.com/blog/?p=48 若大的一个单位舍不得花钱买套正版的winrar,还发紧急通知要求把电脑里的winrar全部删除,却没有提供代用品，有气没地儿撒去，真不想答理这规定！
今天无事在整理自己的工具盘时，恰好发现了这个叫7-zip的软件。架网google了下相关的介绍和对比说明，评价还不错，装上试用看效果如何吧，反正自己正用着影子系统呢，不怕生成垃圾。没想到网友的推荐真是错，除了界面不如rar外，功能和速度上不相上下（我自己的初步试用感觉，没有针对性的测试），最让我相中的是它是自由的、开放的软件（网上都称其为免费，其实不准确，应该是自由才对，这两个词在软件业是不同的），不存在版权的问题，而且体积也比较小。看来终于可以让rar下岗了。

官方英文站点：http://www.7-zip.org/
官方中文站点：http://www.7-zip.org/zh-cn/

以下内容为转贴：

选用7-Zip，不用WinRAR和Winzip的原因
① 7-Zip免费；使用winrar/winzip要付费（winrar ￥290）或盗版（法律风险和道德损失），参见《WinRAR vs WinZip vs 7-Zip》。
② 7-Zip更小巧。能小不大。
③ 不向别人发压缩包时，存为7z格式，压缩率更高。
④ 开源，我喜欢。
其中，1是决定性因素，2-4是加分因素。
来自网络、网友补充
MSI和chm：7-Zip还暗地里支持微软发明的MSI（微软安装程序文件）和CHM（微软帮助电子书）文件格式，尽管对MSI的支持并不好，但支持CHM可帮了笔者的大忙：省了一个CHM还原破解器！
密码更安全：网上有zip格式解密器，但还没有7z格式解密器。
文件管理：后来经过一番研究发现他独有双窗口功能（F9），结合上图中的自定义收藏夹（此功能WinRAR有），能爽快的实现以下功能：替代资源管理器成为文件拷贝、显示的管理器；支持排序、大小图标及列表方式等方式显示；显示文件图标、鼠标右键与资源管理器的显示无二，完美过渡（需要设置）；复制文件时有详细的进度、速度提示，远胜Expleror！关闭窗口后下次打开记忆当前路径功能；配合快捷键实现快速切换文件夹功能，可定义10个。
默认固实压缩：7-Zip压缩的时候默认采用“固实压缩包”：被压缩的文件之间的相似性也被考虑，即所有文件的内容作为一个整体来压缩。所以总体压缩率高，而压缩速度慢。压缩文件间的关联性也带来了缺点：即使解压一个很大的压缩包中的某一个文件，也需要首先对依赖的关联文件进行解压计算;此外,一旦7z文件中间某个字节发生意外改变，可能会造成大部分文件解压失败的。7-Zip也可以不用“固实压缩包”，不过这时压缩率就比不上RAR了。
如果是因为7zip速度慢而不用的话，可以考虑一下默认不用固态的，速度就上来了。
“7-Zip还不支持删除压缩包内文件”，无论WINRAR还是7-Zip，当使用固态时，都不支持。当使用非固态时，都支持。因为7-Zip右键压缩默认固态，winrar默认非固态，所以有你这样的结论。
有网友说，7-Zip在固实最好压缩大量文件如jpg格式时候会到60％前后停下很慢。
文件格式支持Unicode：7z(还有rar)相对于zip格式有一个一般人不太注意得到的优点：支持Unicode文件名。

后记：不知道是自己跟不上时代的急流了，还是别的什么原因，现在总觉得自己对新事物的接受能力不敏感了，反应总是很迟钝。换句话说，不爱当小白了，呵呵。
刚刚又看篇 压缩大战真相的文章，文章很老、很长，但对技术员来说却很感人，Free万岁！

]]> http://www.a-boss.com/2007/09/27/%e5%90%af%e7%94%a8%e6%96%b0%e7%9a%84%e8%a7%a3%e5%8e%8b%e7%bc%a9%e8%bd%af%e4%bb%b67-zip.html/feed 0 引用163相册相片的使用方法 http://www.a-boss.com/2007/09/14/%e5%bc%95%e7%94%a8163%e7%9b%b8%e5%86%8c%e7%9b%b8%e7%89%87%e7%9a%84%e4%bd%bf%e7%94%a8%e6%96%b9%e6%b3%95.html http://www.a-boss.com/2007/09/14/%e5%bc%95%e7%94%a8163%e7%9b%b8%e5%86%8c%e7%9b%b8%e7%89%87%e7%9a%84%e4%bd%bf%e7%94%a8%e6%96%b9%e6%b3%95.html#comments Fri, 14 Sep 2007 14:10:49 +0000 robay http://www.a-boss.com/blog/?p=29 众所周知,如果在163.com以外的地方引用163相册的图片是行不通的,好在我们这里有高手解决了这个难题,写了个asp的文件,通过它的引用便可实现了163图片的引用,
使用举例:在编辑框里输入下面的代码:
[code][align=center][img]163pic.asp?url=http://img.blog.163.com/photo/NKenPYrODw9SaTKS4OTn8Q==/3946560648460328243.jpg[/img][/align]
[/code]
显示结果如下:
[align=center][img]163pic.asp?url=http://img.blog.163.com/photo/NKenPYrODw9SaTKS4OTn8Q==/3946560648460328243.jpg[/img][/align]
因为我使用的是已经集成好的版本，所以想使用本功能的朋友请下载下面的文件，自己安装使用。如果你没有这个功能则下面的东西可以不用看了。[url=http://lifeboke.cn/blog/uploads/200604/28_124300_163.rar]破解文件[/url] 附件是破解的ASP源代码，如果你的空间支持ASP，那么直接传到你空间去就可以了.
我在这里想要调整的是后续的修改工作，在添加图片（点击img功能钮）的时候会自动的添加引用文件（asp）的链接,免去输入或忘记文件名的麻烦,如果不是引用的163图片,则直接删除前面的引用文件就可以了.呵呵,懒人呀!

打开messageform.js文件找到下面的代码?

[code]function image() {
if (advmode) {
AddTxt="[img] [/img]";
AddText(AddTxt);
} else {
txt=prompt(image_normal,"http://");
if(txt!=null) {
AddTxt="\n[img]"+txt;
AddText(AddTxt);
AddText("[/img]");
}
}
}

[/code]
用下面的代码替换,
[code]
function image() {
if (advmode) {
AddTxt="[img]163pic.asp?url= [/img]";
AddText(AddTxt);
} else {
txt=prompt(image_normal,"163pic.asp?url=http://");
if(txt!=null) {
AddTxt="\n[img]"+txt;
AddText(AddTxt);
AddText("[/img]");
}
}
}
[/code]

]]> http://www.a-boss.com/2007/09/14/%e5%bc%95%e7%94%a8163%e7%9b%b8%e5%86%8c%e7%9b%b8%e7%89%87%e7%9a%84%e4%bd%bf%e7%94%a8%e6%96%b9%e6%b3%95.html/feed 0