如何檢測(cè)自己的電腦是否已被遠(yuǎn)程控制或者被監(jiān)視

1、2009-07-3107:12看電腦端口哪些開了如何檢測(cè)自己的電腦是否已被遠(yuǎn)程控制或者被監(jiān)視在連接的說到端口，這確實(shí)是個(gè)老話題，但一切都是從它開始的，不得不說。何謂端口，打個(gè)比方，你住在一座房子里，想讓別人來拜訪你，得在房子上開個(gè)大門，你養(yǎng)了個(gè)可愛的小貓，為了它的進(jìn)出，專門給它修了個(gè)小門，為了到后花園，又開了個(gè)后門，所有這些為了進(jìn)到這所房子里而開的門叫端口，這些為了別人進(jìn)來而開的端口稱它為“服務(wù)端口”。你要拜訪一個(gè)叫張三的人，張三家應(yīng)該開了個(gè)允許你來的門-服務(wù)端口，否則將被拒之門外。去時(shí)，首先你在家開個(gè)“門”，然后通過這個(gè)“門”徑直走進(jìn)張三家的大門。為了訪問別人而在自己的房子開的“門”，稱為“

2、客戶端口”。它是隨機(jī)開的而且是主動(dòng)打開的，訪問完就自行關(guān)閉了。它和服務(wù)端口性質(zhì)是不一樣的，服務(wù)端口是開了個(gè)門等著別人來訪問，而客戶端口是主動(dòng)打開一個(gè)門去打開別人的門，這點(diǎn)一定要清楚。下面從專業(yè)的角度再簡(jiǎn)單解釋一下端口的概念。聯(lián)網(wǎng)的計(jì)算機(jī)要能相互通信必須用同一種協(xié)議，協(xié)議就是計(jì)算機(jī)通信的語言，計(jì)算機(jī)之間必須說一種語言才能彼此通信，internet的通用語言是tcp/tp,它是一組協(xié)議，它規(guī)定在網(wǎng)絡(luò)的第四層運(yùn)輸層有兩種協(xié)議tcp、udp。端口就是這兩個(gè)協(xié)議打開的，端口分為源端口和目的端口，源端口是本機(jī)打開的，目的端口是正在和本機(jī)通信的另一臺(tái)計(jì)算機(jī)的端口，源端口分主動(dòng)打開的客戶端口和被動(dòng)連接的服務(wù)端

3、口兩種。在internet中，你訪問一個(gè)網(wǎng)站時(shí)就是在本機(jī)開個(gè)端口去連網(wǎng)站服務(wù)器的一個(gè)端口，別人訪問你時(shí)也是如此。也就是說計(jì)算機(jī)的通訊就像互相串門一樣，從這個(gè)門走進(jìn)哪個(gè)門。當(dāng)裝好系統(tǒng)后默認(rèn)就開了很多“服務(wù)端口”。如何知道自己的計(jì)算機(jī)系統(tǒng)開了那些端口呢?這就是下面要說的。二）、查看端口的方法1、命令方式下面以windowsxp為例看看新安裝的系統(tǒng)都開了那些端口，也就是說都預(yù)留了那些門，不借助任何工具來查看端口的命令是netstat,方法如下：a、在“開始”的“運(yùn)行”處鍵入cmd,回車b、在dos命令界面，鍵入netstat-na,圖2顯示的就是打開的服務(wù)端口，其中proto代表協(xié)議，該圖中可以看出

4、有tcp和udp兩種協(xié)議。localaddress代表本機(jī)地址，該地址冒號(hào)后的數(shù)字就是開放的端口號(hào)。foreignaddress代表遠(yuǎn)程地址，如果和其它機(jī)器正在通信，顯示的就是對(duì)方的地址，state代表狀態(tài)，顯示的listening表示處于偵聽狀態(tài)，就是說該端口是開放的，等待連接，但還沒有被連接。就像你房子的門已經(jīng)敞開了，但此時(shí)還沒有人進(jìn)來。以第一行為例看看它的意思。tcp:13:0listening這一行的意思是本機(jī)的135端口正在等待連接。注意：只有tcp協(xié)議的服務(wù)端口才能處于listening狀態(tài)。圖1用netstat命令查看端口狀態(tài)2、用tcpview工具

5、為了更好的分析端口，最好用tcpview這個(gè)軟件，該軟件很小只有93kb,而且是個(gè)綠色軟件，不用安裝。圖3是tcpview的運(yùn)行界面。第一次顯示時(shí)字體有些小，在"options"->"font"中將字號(hào)調(diào)大即可。tcpview顯示的數(shù)據(jù)是動(dòng)態(tài)的。圖3中l(wèi)ocaladdress顯示的就是本機(jī)開放的哪個(gè)端口（：號(hào)后面的數(shù)字），tcpview可以看出哪個(gè)端口是由哪個(gè)程序發(fā)起的。從圖3可以看出445、139、1025、135、5000等端口是開放的，445、139等端口都是system發(fā)起的，135等都是svchost發(fā)起的。圖2用tcpview查看端口狀

6、態(tài)三）、研究端口的目的1、知道本機(jī)開了那些端口，也就是可以進(jìn)入到本機(jī)的“門”有幾個(gè)，都是誰開的？2、目前本機(jī)的端口處于什么狀態(tài)，是等待連接還是已經(jīng)連接，如果是已經(jīng)連接那就要特別注意看連接是個(gè)正常連接還是非正常連接（木馬等）？3、目前本機(jī)是不是正在和其它計(jì)算機(jī)交換數(shù)據(jù)，是正常的程序防問到一個(gè)正常網(wǎng)站還是訪問到一個(gè)陷阱？當(dāng)你上網(wǎng)時(shí)就是本機(jī)和其它機(jī)器傳遞數(shù)據(jù)的過程，要傳遞數(shù)據(jù)必須要用到端口，即使是有些非常高明的木馬利用正常的端口傳送數(shù)據(jù)也不是了無痕跡的，數(shù)據(jù)在開始傳輸、正在傳輸和結(jié)束傳輸?shù)牟煌A段都有各自的狀態(tài)，要想搞明白上述3個(gè)問題，就必須清楚端口的狀態(tài)變化。下面結(jié)合實(shí)例先分析服務(wù)端口的狀態(tài)變化。

7、只有tcp協(xié)議才有狀態(tài)，udp協(xié)議是不可靠傳輸，是沒有狀態(tài)的。四）、服務(wù)端口的狀態(tài)變化先在本機(jī)（ip地址為：0）配置ftp服務(wù)，然后在其它計(jì)算機(jī)（ip地址為：）訪問ftp服務(wù)，從tcpview看看端口的狀態(tài)變化。下面黑體字顯示的是從tcpview中截取的部分。1、listening狀態(tài)ftp服務(wù)啟動(dòng)后首先處于偵聽(listening)狀態(tài)。state顯示是listening時(shí)表示處于偵聽狀態(tài)，就是說該端口是開放的，等待連接，但還沒有被連接。就像你房子的門已經(jīng)敞開的，但還沒有人進(jìn)來。從tcpview可以看出本機(jī)開放ftp的情況。它的意思是：程序inet

8、info.exe開放了21端口，即默認(rèn)的端口為21,可見在本機(jī)開放了即服務(wù)。目前正處于偵聽狀態(tài)。inetinfo.exe:1260tcp::0listening2、established狀態(tài)現(xiàn)在從這臺(tái)計(jì)算機(jī)訪問一下0的ftp服務(wù)。在本機(jī)的tcpview可以看出端口狀態(tài)變?yōu)閑stablished。established的意思是建立連接。表示兩臺(tái)機(jī)器正在通信。下面顯示的是本機(jī)的ftp服務(wù)正在被這臺(tái)計(jì)算機(jī)訪問。inetinfo.exe:1260tcp0:21:

9、3009established注意:處于established狀態(tài)的連接一定要格外注意，因?yàn)樗苍S不是個(gè)正常連接。后面要講到這個(gè)問題。3、time_wait狀態(tài)現(xiàn)在從這臺(tái)計(jì)算機(jī)結(jié)束訪問0的ftp服務(wù)。在本機(jī)的tcpview可以看出端口狀態(tài)變?yōu)閠ime_wait。time_wait的意思是結(jié)束了這次連接。說明21端口曾經(jīng)有過訪問，但訪問結(jié)束了。systemprocess:。tcp0:21:3009time_wait4、小技巧a、可以telnet一個(gè)開放的端口，來觀察該端口的變化。比如看1025端口是開放的，在

10、命令狀態(tài)(如圖1運(yùn)行cmd)運(yùn)行：b、從本機(jī)也可以測(cè)試，只不過顯示的是本機(jī)連本機(jī)c、在tcpview中雙擊連接可看出程序的位置，右鍵點(diǎn)擊該連接，選擇endprocess即可結(jié)束該連接五）、客戶端口的狀態(tài)變化客戶端口實(shí)際上就是從本機(jī)訪問其它計(jì)算機(jī)服務(wù)時(shí)打開的源端口，最多的應(yīng)用是上網(wǎng)，下面就以訪問為例來看看端口開放以及狀態(tài)的變化情況。1、syn_sent狀態(tài)syn_sent狀態(tài)表示請(qǐng)求連接，當(dāng)你要訪問其它的計(jì)算機(jī)的服務(wù)時(shí)首先要發(fā)個(gè)同步信號(hào)給該端口，此時(shí)狀態(tài)為syn_sent,如果連接成功了就變?yōu)閑stablished,此時(shí)syn_sent狀態(tài)非常短暫。但如果發(fā)現(xiàn)syn_sent非常多且在向不同的機(jī)

11、器發(fā)出，那你的機(jī)器可能中了沖擊波或震蕩波之類的病毒了。這類病毒為了感染別的計(jì)算機(jī)，它就要掃描別的計(jì)算機(jī)，在掃描的過程中對(duì)每個(gè)要掃描的計(jì)算機(jī)都要發(fā)出了同步請(qǐng)求，這也是出現(xiàn)許多syn_sent的原因。下面顯示的是本機(jī)連接網(wǎng)站時(shí)的開始狀態(tài)，如果你的網(wǎng)絡(luò)正常的，那很快就變?yōu)閑stablished的連接狀態(tài)。iexplore.exe:2928tcp0:103549:80syn_sent2、established狀態(tài)下面顯示的是本機(jī)正在訪問網(wǎng)站。如果你訪問的網(wǎng)站有許多內(nèi)容比如訪問,那會(huì)發(fā)現(xiàn)一個(gè)地址有許多established,這是正常的，網(wǎng)站中的每個(gè)內(nèi)容比如

12、圖片、flash等都要單獨(dú)建立一個(gè)連接?？磂stablished狀態(tài)時(shí)一定要注意是不是iexplore.exe程序（ie）發(fā)起的連接，如果是explore.exe之類的程序發(fā)起的連接，那也許是你的計(jì)算機(jī)中了木馬了。iexplore.exe:3120tcp0:104549:80established3、time_wait狀態(tài)如果瀏覽網(wǎng)頁完畢，那就變?yōu)閠ime_wait狀態(tài)。systemprocess:0tcp0:425949:80time_wait六）、端口詳細(xì)變遷圖以上是最主要的幾個(gè)狀態(tài)，實(shí)際還有一

13、些，圖4是tcp的狀態(tài)詳細(xì)變遷圖（從tcp/ip詳解中剪來），用粗的實(shí)線箭頭表示正常的客戶端狀態(tài)變遷，用粗的虛線箭頭表示正常的服務(wù)器狀態(tài)變遷。這些不在本文的討論范圍。有興趣的朋友可以好好研究一下。圖3tcp的狀態(tài)變遷圖七）、要點(diǎn)一般用戶一定要熟悉（再？嗦幾句）：1、服務(wù)端口重點(diǎn)要看的是listening狀態(tài)和established狀態(tài)，listening是本機(jī)開了哪些端口，established是誰在訪問你的機(jī)器，從哪個(gè)地址訪問的。2、客戶端口的syn_sent狀態(tài)和established狀態(tài)，syn_sent是本機(jī)向其它計(jì)算機(jī)發(fā)出的連接請(qǐng)求，一般這個(gè)狀態(tài)存在的時(shí)間很短，但如果本機(jī)發(fā)出了很多s

14、yn_sent,那可能就是中毒了。看established狀態(tài)是要發(fā)現(xiàn)本機(jī)正在和哪個(gè)機(jī)器傳送數(shù)據(jù)，主要看是不是一個(gè)正常程序發(fā)起的。二、木馬什么是木馬，簡(jiǎn)單的說就是在未經(jīng)你許可偷偷在你的計(jì)算機(jī)中開個(gè)后門，木馬開后門主要有兩種方式。1、有服務(wù)端口的木馬這類木馬都要開個(gè)服務(wù)端口的后門，成功后該后門處于listening狀態(tài)，它的端口號(hào)可能固定一個(gè)數(shù)，也可能變化，還有的木馬可以與正常的端口合用，例如你開著正常的80端口（web服務(wù)），木馬也用80端口。這種木馬最大的特點(diǎn)就是有端口處于listening狀態(tài)，需要遠(yuǎn)程計(jì)算機(jī)連接它。這種木馬對(duì)一般用戶比較好防范，將防火墻設(shè)為拒絕從外到內(nèi)的連接即可。比較難防

15、范的是反彈型木馬。2、反彈型木馬反彈型木馬是從內(nèi)向外的連接，它可以有效的穿透防火墻，而且即使你使用的是內(nèi)網(wǎng)ip,他一樣也能訪問你的計(jì)算機(jī)。這種木馬的原理是服務(wù)端主動(dòng)連接客戶端（黑客）地址。木馬的服務(wù)端軟件就像你的internetexplorer一樣，使用動(dòng)態(tài)分配端口去連接客戶端的某一端口，通常是常用端口，像端口80。而且會(huì)使用隱避性較強(qiáng)的文件名，像iexpiore.exe、explorer（ie的程序是iexplore.exe）。如果你不仔細(xì)看，你可能會(huì)以為是你的internetexplorer。這樣你的防火墻也會(huì)被騙過。如果你在tcpview中看到下面這樣的連接一定要注意，很有可能是種木馬了

16、。iexpiore.exe0（本機(jī)ip）:1035（你的端口）y.y.y.y（遠(yuǎn)程ip）:80（遠(yuǎn)程端口）或rundll32.exe0（本機(jī)ip）:1035（你的端口）y.y.y.y（遠(yuǎn)程ip）:80（遠(yuǎn)程端口）或explorer.exe0（本機(jī)ip）:1035（你的端口）y.y.y.y（遠(yuǎn)程ip）:80（遠(yuǎn)程端口）三、安全分析端口的目的就是要保證上網(wǎng)安全，根據(jù)以上的思路可以從以下幾個(gè)方面來防范。一）、關(guān)閉不需要的端口對(duì)一般上網(wǎng)用戶來說只要能訪問internet就行了，并不需要?jiǎng)e人來訪問你，也就是說沒有必要開放服務(wù)端口，在win

17、98可以做到不開放任何服務(wù)端口上網(wǎng)，但在winxp、win2000、win2003下不行，但可以關(guān)閉不必要的端口。圖3是安裝完winxp系統(tǒng)默認(rèn)開的端口，以此為例關(guān)閉不必要的端口。1、關(guān)閉137、138、139、445端口這幾個(gè)端口都是為共享而開的，是netbios協(xié)議的應(yīng)用，一般上網(wǎng)用戶是不需要?jiǎng)e人來共享你的內(nèi)容的，而且也是漏洞最多的端口。關(guān)閉的方法很多，最近從網(wǎng)上學(xué)了一招非常好用，一次全部關(guān)閉上述端口。開始->控制面板->系統(tǒng)->硬件->設(shè)備管理器->查看->顯示隱藏的設(shè)備->非即插即用馬區(qū)動(dòng)程序->netbiosovertcpip。找到圖5

18、界面后禁用該設(shè)備重新啟動(dòng)后即可。圖4關(guān)閉137、138、139、445端口2、關(guān)閉123端口有些蠕蟲病毒可利用udp123端口，關(guān)閉的方法：如圖6停止windowstime服務(wù)。圖5關(guān)閉123端口3、關(guān)閉1900端口攻擊者只要向某個(gè)擁有多臺(tái)winxp系統(tǒng)的網(wǎng)絡(luò)發(fā)送一個(gè)虛假的udp包，就可能會(huì)造成這些winxp主機(jī)對(duì)指定的主機(jī)進(jìn)行攻擊（ddos）。另外如果向該系統(tǒng)1900端口發(fā)送一個(gè)udp包,令"location"域的地址指向另一系統(tǒng)的chargen端口，就有可能使系統(tǒng)陷入一個(gè)死循環(huán)，消耗掉系統(tǒng)的所有資源（需要安裝硬件時(shí)需手動(dòng)開啟）。關(guān)閉1900端口的方法如圖7所示停止ssd

19、pdiscoveryservice服務(wù)。圖6關(guān)閉1900端口通過上面的辦法關(guān)閉了一些有漏洞的或不用的端口后是不是就沒問題了呢？不是。因?yàn)橛行┒丝谑遣荒荜P(guān)掉的。像135端口，它是rpc服務(wù)打開的端口如果把這個(gè)服務(wù)停掉，那計(jì)算機(jī)就關(guān)機(jī)了，同樣像lsass打開的端口500和4500也不能關(guān)閉。沖擊波病毒利用的就是135端口，對(duì)于不能關(guān)閉的端口最好的辦法一是常打補(bǔ)丁，端口都是相應(yīng)的服務(wù)打開的，但是對(duì)于一般用戶很難判斷這些服務(wù)到底有什么用途，也很難找到停止哪些服務(wù)就能關(guān)閉相應(yīng)的端口。最好的辦法就是下面要講的安裝防火墻。安裝防火墻的作用通俗的說就像你不管住在一所結(jié)實(shí)的好房子里還是住在一所千瘡百孔的破房子里

20、，只要你在房子的四周建了一堵密不透風(fēng)的墻，那對(duì)于墻里的房子就是安全的。二）、安裝防火墻對(duì)于一般用戶來講有下面三類防火墻1、自帶的防火墻關(guān)于winxp與win2003自帶防火墻的設(shè)置請(qǐng)參閱天極網(wǎng)中拙作，不再贅述。2、adsl貓防火墻通過adsl上網(wǎng)的，如果有條件最好將adsl貓?jiān)O(shè)置為地址轉(zhuǎn)換方式（nat）,也就是大家常說的路由模式，其實(shí)路由與nat是不一樣的，權(quán)且這么叫吧。用nat方式最大的好處是設(shè)置完畢后，adsl貓就是一個(gè)放火墻，它一般只開放80、21、161等為了對(duì)adsl貓進(jìn)行設(shè)置開放的端口。如果不做端口映射的話，一般從遠(yuǎn)程是攻擊不到adsl貓后面的計(jì)算機(jī)的。adsl貓最大的安全隱患就是

21、很多用戶都不改變默認(rèn)密碼。這樣黑客如果進(jìn)到你的貓做個(gè)端口映射就有可能進(jìn)入到你的計(jì)算機(jī)，一定把默認(rèn)密碼改掉。用自帶的放火墻和adsl貓的nat方式基本可以抵御從外到內(nèi)的攻擊，也就是說即使服務(wù)端口開放（包括系統(tǒng)開放的端口和中了開個(gè)服務(wù)端口的木馬），黑客和類似震蕩波一類的病毒也奈何不了你的計(jì)算機(jī)。上述防火墻只能防止從外到內(nèi)的連接，不能防止從內(nèi)到外的連接，當(dāng)你打開網(wǎng)頁和用qq聊天時(shí)就是從內(nèi)到外的連接，反彈型木馬就是利用放火墻的這一特性來盜取你機(jī)器的數(shù)據(jù)的。反彈型木馬雖然十分隱蔽，但也不是沒有馬腳，防范這類木馬最好的辦法就是用第三方防火墻。3、第三方防火墻前面說過，反彈型木馬而且會(huì)使用隱避性較強(qiáng)的文件名

22、，像iexpiore.exe、explorer等與ie的程序iexplore.exe很想的名字或用一些rundll32之類的好像是系統(tǒng)文件的名字，但木馬的本質(zhì)就是要與遠(yuǎn)程的計(jì)算機(jī)通訊，只要通訊就會(huì)有連接。如下所示：正常連接是iexplore.exe發(fā)起的，而非正常連接是木馬程序explorer發(fā)起的。圖7正常連接圖8木馬連接一般的防火墻都有應(yīng)用程序訪問網(wǎng)絡(luò)的權(quán)限設(shè)置，如圖8所示，在防火墻的這類選項(xiàng)中將不允許訪問網(wǎng)絡(luò)的應(yīng)用程序選擇x,即不允許訪問網(wǎng)絡(luò)。在寫這篇文章之前筆者中了一個(gè)反彈型木馬，就是explorer程序向外連接，用了好幾個(gè)查毒軟件也沒有殺掉，當(dāng)時(shí)就先用天網(wǎng)放火墻阻止它訪問網(wǎng)絡(luò)，然后手

23、工費(fèi)了很大的勁才清除掉?？上]有做截圖。沒有勇氣為了寫這篇文章再犧牲一把了。4、用tcpview結(jié)束一個(gè)連接當(dāng)你用tcpview觀察哪個(gè)連接有可能是不正常的連接，可在tcpview中直接鼠標(biāo)右鍵點(diǎn)擊該連接，選擇endprocess即可結(jié)束該連接。四、掃描談起掃描又是個(gè)大話題了，有端口掃描(superscan)、漏洞掃描(x-scan)等，關(guān)于掃描的話題以后再論，本文只對(duì)一般用戶簡(jiǎn)單說一下在線安全檢測(cè)。如果你按上面的說得作了相應(yīng)的安全措施，就可以在網(wǎng)上找個(gè)在線測(cè)試安全的網(wǎng)站測(cè)試一下你目前系統(tǒng)的安全情況，如到下面網(wǎng)站：1、千禧在線-在線檢測(cè)2、藍(lán)盾在線檢測(cè)3、天網(wǎng)安全在線4、諾頓在線安全檢測(cè)說明一

24、點(diǎn)，測(cè)試機(jī)器時(shí)開了21、23、80端口，但這都是adsl的服務(wù)端口，modem沒有提供修改和關(guān)閉的地方，不過沒關(guān)系，只要把密碼設(shè)的復(fù)雜點(diǎn)就行了。五、震蕩波如果你按上述關(guān)閉了445端口或者開啟了放火墻那就不會(huì)受到震蕩波及類似的病毒騷擾了，關(guān)于震蕩波病毒的文章太多了，此處就不多談。只要做好了安全防護(hù)，不管是震蕩大波還是沖擊小波只能在你的計(jì)算機(jī)門前掠過而奈何不了你。六、后記關(guān)于計(jì)算機(jī)的安全還有很多要設(shè)置，但對(duì)于一般用戶來說，太多的安全設(shè)置就等于沒有了安全，因?yàn)榧词箤?duì)于專業(yè)從事計(jì)算機(jī)安全的人員對(duì)于安全的設(shè)置也不是件容易的事，何況對(duì)于對(duì)計(jì)算機(jī)的知識(shí)還不夠的一般用戶。如果要作很多設(shè)置才能保證安全，那肯定就有很多人不做了。對(duì)一般用戶個(gè)人的建議是力所能及的事一定