旻飞的私人网摘 - Minfy's Personal Digest

　　网络安全如今一直是客户最头疼的问题，个人数据泄密的事件屡见不鲜。是什么造成了这一切？

　　安全咨询专家Joel Snyder说，“很多网站站长忽略了这样一个问题，在网站开发小组里，你寻找的首要目标是那些很有创意并且能够构建有创意的网站的人才，可能最后考虑的问题才是安全问题。”

　　我们不难看出，如今在网络应用程序没有一种机制区分或验证系统来保证不同部分的数据移动。网站开发的技术人员都还没有对安全问题引起足够的重视。

　　Forrester公司的高级安全分析家也认为，人们总是在网站出事之后才想到亡羊补牢，而不是事先就做好准备。

　　Kark说：“我敢说大多数的网站都有可能被黑，根本原因就是人们在设计程序的时候完全没有考虑安全问题。”

　　早在2004年就有安全组织提出了的安全需要从网站设计处开始规划，然而网络安全并没有得到提高；反而随着网络的高速普及，网络安全越来越的威胁着用户的安全。诸如AJAX 和 Rich Internet Applications这样的新技术，虽然使得网站看起来更加漂亮，但却增加了安全风险。

　　以下是如今最常被黑客利用发起攻击的10大网络安全威胁，包括每个问题的详细描述，实例以及怎么样修补漏洞。

　　1.跨站脚本攻击(XXS)

　　问题：这是影响最广危险最大的网页安全程序漏洞，XSS漏洞发生在程序直接把用户的数据发送到网络浏览器的时候而没有确认和编译这些内容。这就使得在浏览器中执行恶意的脚本，让黑客劫持用户数据，甚至黑掉网站，在网站中插入恶意内容，还有发动网络钓鱼和恶意软件攻击。

　　这些攻击通常是以Java脚本的形式出现的，可以让黑客控制所有的网页。最坏的情况就是黑客可能会盗取客户资料或是假装成银行客户。

　　实例：PayPal(一种网上支付方式，可以付钱给任何有e-mail的人，主要用于个人之间的网上交易)去年就遭到攻击，黑客欺骗PayPal的用户访问另外一个页面警告客户说他们的帐户受到威胁。实际上受害者访问的是一个网络钓鱼站点然后获取了PayPal客户的注册信息，社会保险号，信用卡的详细信息。PayPal称2006年的时候已经关闭了这一漏洞。

　　如何保护客户：利用黑白名单来确认所有的输入数据，拒绝任何不再清单上的数据。

　　除此之外，需要使用适当的输出数据编码，确认程序允许检测攻击，编码可以有效阻止注入脚本在浏览器中的运行。

　　2.注入漏洞

　　问题：当用户数据作为一种指令或口令发送到注释器的时候，黑客欺骗了注释器（用来转换文本命令的）来执行命令。注入漏洞允许攻击者在网页应用程序中编写，读取，上传和删除任何数据。最坏的情况是，这些漏洞会使攻击者完全威胁到网页应用程序和根本系统，甚至能够躲开嵌套防火墙的监视。

　　实例：2006年一月的时候，黑客侵入了罗德岛州府的网站并且盗取了大量的信用卡数据。黑客们宣称他们利用SQL注入攻击，成功的获取了53，000个信用卡帐号，但是官方的数据声称只有4113个。

　　如何保护客户：尽量少使用注释器。如果必须使用注释器的话，避免注入的关键在于使用安全的API，譬如使用高度参数化的询问以及使用目标关联图。

　　3.恶意文件的执行

　　问题：黑客可以执行远程代码攻击，远程安装rookits，或是完全威胁整个系统。只要它接受用户文件名或是文件，任何形式的网页应用程序都存在漏洞。最普遍的漏洞可能就是与PHP编程语言相关的，很多网页的开发使用这一脚本语言。

　　实例：2004年，一个10几岁的程序员发现Guess.com网站存在的漏洞可能会使黑客从Guess的数据库里获取超过200，000万的客户数据，包括姓名，信用卡号还有其失效期。在联邦商务委员会(Federal Trade Commission)调查这一事件之后，Guess公司同意在来年升级它的信息安全。

　　如何保护客户：不要使用户以任何形式的文件名的输入数据进入以服务器的基础资源。譬如说包含有脚本或图像的资源。设置防火墙阻止新的链接访问站点和内部系统。

　　4.不安全的session

　　问题：攻击者会操控直接session来获得未经授权的对其他对象的访问。当URL地址或是其他形式参数中包含有文件，文件目录或是数据库记录密鈅的时候，这种危险就有可能发生。银行的网站一般使用的密码就是客户的帐号，这很可能在网站的操作界面中暴露客户帐号。攻击者仅仅需通过猜测或是寻找其他的有效的密鈅就可以攻击这些参数。一般来说，这些号码都是连续的。”

　　实例：2000年的时候，澳大利亚税务局的网站就遭到黑客的劫持，他通过改变URL地址中的身份认证获取了关于17，000家企业的详细资料。黑客通过电子邮件告诉这17，000家公司他们的安全漏洞。

　　如何保护客户：使用索引或是迂回的基准图抑或是其他迂回的方法来避免暴露直接物理session。如果你实在是无法避免暴露，就应该将网站的访问权只授权给一定的目标群体。

　　5.伪造跨站请求

　　问题：这一问题很简单，但是破坏性极大，这一攻击会在受害者浏览网页时控制浏览器，并且对网页应用程序发送恶意请求。网站是相当脆弱的，部分原因是因为授权的请求是基于cookie的。银行就是潜在的目标。安全专家表示网络中99%的应用程序会对伪造的跨站请求做出回应，是不是曾经真的发生过利用这一漏洞盗取客户存款的事情呢?可能银行自身也不知道。对于银行来说，这只不过是合法用户的一次正常转帐而已。”

　　实例：2005年末的时候，一个名叫Samy的黑客利用蠕虫病毒在MySpace.com网站上获取了为数超过1000000的用户信息，其中数以千计的MySpace网页上自动的出现了“Samy是我的英雄”的字样。这次攻击本身的危害性并不大。但是这次事件展示了利用跨站脚本和伪造跨站请求相结合的威力。另外一个例子就是一年之前，Google的一个漏洞允许外部站点随意修改Google用户的语言使用偏好。

　　如何保护用户：不要完全相信浏览器自动接受的信任请求和代号。唯一的解决之道就是不要让浏览器记住你的使用偏好。
　　
　　6.信息泄露和不恰当的危机处理办法
 

　　问题：应用程序产生和演示的错误信息对于黑客来说是很有用的，他们可以借此滥用程序的配置、内部网络所无意识产生的隐私以及信息泄露。网页应用程序经常会通过详细描述或是调试错误信息的时候泄露关于系统内部状态的信息。一般来说，这些信息会引起或是自动发动危害很大的攻击。

　　实例：即使有过失处理方案，信息泄露也在所难免;漏洞事件管理程序也难以避免机密数据的泄露。2005年初，ChoicePoint网站的崩溃就属于这一范畴。大概163,000名顾客的信息受到威胁，因为犯罪分子伪装成ChoicePoint的合法用户，然后再公司的个人信息数据库里搜寻大量注册用户的信息。ChoicePoint后来出台措施限制包含有敏感数据的信息产品的出售。

　　如何保护用户：及时利用工具扫描系统中的漏洞或威胁。

　　7.打破授权和session管理

　　问题：当应用程序自始自终不能保护信任状和session标记的时候，用户和管理员的帐号就有可能遭到劫持。注意隐私安全、授权以及帐号控制的破坏。主要认证机制的漏洞层出不穷，但是漏洞的产生主要是因为附加的认证功能，譬如，注销、密码管理、定时设置、密码问题以及帐户升级等。

　　实例：2002年的时候，微软不得不消除一个存在于Hotmail中的漏洞，这一漏洞会使恶意的Java脚本程序编写者盗取用户密码。这一问题是由一个网络产品的分销商发现的，这一漏洞容易遭受含有能够改变Hotmail操作界面木马的邮件的攻击，强迫用户重输入密码，在毫不知情的情况下密码就泄露给了黑客。

　　如何保护用户：通讯和信任状的存储必须保证绝对的安全。对于应用程序的认证部分来说，传输隐私文件的SSL(Security Socket Layer , 加密套接字协议层)协议是唯一的安全选择。信任状必须以复杂和加密的形式储存起来。

　　8.不安全的密码储存

　　问题：许多网页的开发者在储存数据的时候都忘记加密，即使密码是大多数网页应用程序的关键的组成部分。有时即使有密码，那也只不过是非常简单的密码而已，难以保证安全。这些漏洞会导致敏感信息的泄露和被黑客利用。

　　实例：TJX(全球最大的零售商之一)公司的漏洞导致了4570000客户的信用借记卡号的泄露。加拿大政府的调查显示是因为该公司没有升级它的密码系统以致从从2005年7月开始就受到了电子窃听。

　　如何保护客户：密鈅应该在线下产生，任何时候不使用非安全渠道传输个人密鈅。

　　IT专家网了解到，这些年来储存信用卡号很流行，但是随着Payment Card Industry Data Security Standard(信用卡行业数据安全标准)的即将生效，阻止将信用卡号储存在一起会更加简单。

　　9.不安全的通讯

　　问题：与上一问题类似，也是当敏感信息需要保护的时候，而网络通信加密却不能提供相应的保护。攻击者借此可以访问未受保护的敏感信息。正是因为这个原因，PCI标准要求信用卡信息在网上的传输要加密。

　　实例：又是TJX公司。华尔街日报报道说，调查人员认为，黑客利用无线渗透盗取收银机和店面电脑之间的数据交换。令人不解的是，这家年销售额174亿美元的大公司的无线网络中的安全设备居然会比普通家庭用户中使用的还少。华尔街日报写到。TJX过去使用的WEP(WEP--Wired Equivalent Privacy加密技术，WEP安全技术源自于名为RC4的RSA数据加密技术，以满足用户更高层次的网络安全需求)加密系统，而不是更加先进的WPA系统(WPA是一种基于标准的可互操作的WLAN安全性增强解决方案，可大大增强现有以及未来无线局域网系统的安全)。

　　如何保护客户：在任何时候传输敏感数据(信用卡信息，健康记录和其他隐私信息)或是认证链接的时候，都要使用SSL加密协议。与此同时也要要求你的客户，合伙人，员工和管理员访问在线系统的时候使用SSL或是类似的加密协议。利用传输层安全或是协议层加密来保护你的基础组织的安全，譬如网页服务器和数据库系统。

　　10.在控制URL访问上的失败

　　问题：一些网页在设计的时候的对象只是一部分有特权的人，譬如管理员。但是对于这些网页却没有真正的保护，有时黑客只要通过有根据的猜测就可以找到相应的URL地址。如果一个URL地址指向的的ID是123456，黑客可能会想123457中的是什么呢?这个攻击瞄准的漏洞叫做强制浏览(forced browsing)，它会通过猜测链接和暴力技术寻找到未受保护的网页。

　　实例：今年，Macworld Conference & Expo Web网站上的一个漏洞使用户免费得到了价值1700美元的白金会员和Steve Jobs的施政演说。这个漏洞评估客户机上的特权而不是服务器，让人们免费通过浏览器上的Java脚本，而不是通过服务器。

　　如何保护客户：不要以为用户不知道潜在的URL地址。所有的URL地址和商业功能都应该受到一个有效的机制的保护，这一机制要确定用户的角色和权利。

      最后笔者提醒用户，特别是企业用户，随着网络技术的高速发展，获取黑客技术以及利用这些技术，已经不再是难题。对网络的潜在威胁也将随着黑客技术使用人群的扩大而增加，企业必须认真对待网络安全事项，避免看似不经意的漏洞，却给您和您的用户造成巨大的损失。

　　病毒是一种基于远程控制的病毒程序，该程序具有很强的隐蔽性和危害性，它可以在人不知鬼不觉的状态下控制你或者监视你。有人说，既然木马这么厉害，那我离它远一点不就可以了！

　　然而这个木马实在是“淘气”，它可不管你是否欢迎，只要它高兴，它就会想法设法地闯到你“家”中来的！哎呀，那还了得，赶快看看自己的电脑中有没有木马，说不定正在“家”中兴风作浪呢！那我怎么知道木马在哪里呢，相信不熟悉木马的菜鸟们肯定想知道这样的问题。下面就是木马潜伏的诡招，看了以后不要忘记采取绝招来对付这些损招哟！
　　1、集成到程序中

　　其实木马也是一个服务器-客户端程序，它为了不让用户能轻易地把它删除，就常常集成到程序里，一旦用户激活木马程序，那么木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马。

　　2、隐藏在配置文件中

　　木马实在是太狡猾，知道菜鸟们平时使用的是图形化界面的操作系统，对于那些已经不太重要的配置文件大多数是不闻不问了，这正好给木马提供了一个藏身之处。而且利用配置文件的特殊作用，木马很容易就能在大家的计算机中运行、发作，从而偷窥或者监视大家。不过，现在这种方式不是很隐蔽，容易被发现，所以在Autoexec.bat和Config.sys中加载木马程序的并不多见，但也不能因此而掉以轻心哦。

　　3、潜伏在Win.ini中

　　木马要想达到控制或者监视计算机的目的，必须要运行，然而没有人会傻到自己在自己的计算机中运行这个该死的木马。当然，木马也早有心理准备，知道人类是高智商的动物，不会帮助它工作的，因此它必须找一个既安全又能在系统启动时自动运行的地方，于是潜伏在Win.ini中是木马感觉比较惬意的地方。大家不妨打开Win.ini来看看，在它的[windows]字段中有启动命令“load=”和“run=”，在一般情况下“＝”后面是空白的，如果有后跟程序，比方说是这个样子：run=c:windowsfile.exe  load=c:windowsfile.exe

　　这时你就要小心了，这个file.exe很可能是木马哦。

　　4、伪装在普通文件中

　　这个方法出现的比较晚，不过现在很流行，对于不熟练的windows操作者，很容易上当。具体方法是把可执行文件伪装成图片或文本----在程序中把图标改成Windows的默认图片图标,  再把文件名改为*.jpg.exe,  由于Win98默认设置是"不显示已知的文件后缀名",文件将会显示为*.jpg,  不注意的人一点这个图标就中木马了(如果你在程序中嵌一张图片就更完美了)。

　　5、内置到注册表中

　　上面的方法让木马着实舒服了一阵，既没有人能找到它，又能自动运行，真是快哉！然而好景不长，人类很快就把它的马脚揪了出来，并对它进行了严厉的惩罚！但是它还心有不甘，总结了失败教训后，认为上面的藏身之处很容易找，现在必须躲在不容易被人发现的地方，于是它想到了注册表！

　　的确注册表由于比较复杂，木马常常喜欢藏在这里快活，赶快检查一下，有什么程序在其下，睁大眼睛仔细看了，别放过木马哦：HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion下所有以“run”开头的键值；HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion下所有以“run”开头的键值；HKEY-USERS.DefaultSoftwareMicrosoftWindowsCurrentVersion下所有以“run”开头的键值。
　　
　　6、在System.ini中藏身
 

　　木马真是无处不在呀！什么地方有空子，它就往哪里钻！这不，Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。还是小心点，打开这个文件看看，它与正常文件有什么不同，在该文件的[boot]字段中，是不是有这样的内容，那就是shell=Explorer.exe  file.exe，如果确实有这样的内容，那你就不幸了，因为这里的file.exe就是木马服务端程序！另外，在System.ini中的[386Enh]字段，要注意检查在此段内的“driver=路径＼程序名”，这里也有可能被木马所利用。

　　再有，在System.ini中的[mic]、[drivers]、[drivers32]这三个字段，这些段也是起到加载驱动程序的作用，但也是增添木马程序的好场所，现在你该知道也要注意这里喽。

　　7、隐形于启动组中

　　有时木马并不在乎自己的行踪，它更注意的是能否自动加载到系统中，因为一旦木马加载到系统中，任你用什么方法你都无法将它赶跑(哎，这木马脸皮也真是太厚)，因此按照这个逻辑，启动组也是木马可以藏身的好地方，因为这里的确是自动加载运行的好场所。

　　动组对应的文件夹为：C:windowsstart  menuprogramsstartup，在注册表中的位置：HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorer

　　ShellFolders  Startup="C:windowsstart  menuprogramsstartup"。要注意经常检查启动组哦！

　　8、隐蔽在Winstart.bat中

　　按照上面的逻辑理论，凡是利于木马能自动加载的地方，木马都喜欢呆。这不，Winstart.bat也是一个能自动被Windows加载运行的文件，它多数情况下为应用程序及Windows自动生成，在执行了Win.com并加载了多数驱动程序之后开始执行(这一点可通过启动时按F8键再选择逐步跟踪启动过程的启动方式可得知)。由于Autoexec.bat的功能可以由Winstart.bat代替完成，因此木马完全可以像在Autoexec.bat中那样被加载运行，危险由此而来。

　　9、捆绑在启动文件中

　　即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。

　　10、设置在超级连接中

　　木马的主人在网页上放置恶意代码，引诱用户点击，用户点击的结果不言而喻：开门揖盗！奉劝不要随便点击网页上的链接，除非你了解它，信任它，为它死了也愿意等等。

　　SQL Server如何做到安全检查呢?本文介绍了30个步骤检查SQL Server安全检查列表.

　　1. 确认已经安装了NT/2000和SQL Server的最新补丁程序，不用说大家应该已经安装好了，但是我觉得最好还是在这里提醒一下。

　　2. 评估并且选择一个考虑到最大的安全性但是同时又不影响功能的网络协议。 多协议是明智的选择, 但是它有时不能在异种的环境中使用。

　　3. 给 "sa" 和 "probe" 帐户设定强壮的密码来加强其安全性。设定一个强壮的密码并将其保存在一个安全的地方。 注意: probe帐户被用来进行性能分析和分发传输。 当在标准的安全模态中用的时候 , 给这个帐户设定高强度的密码能影响某些功能的使用。

　　4. 使用一个低特权用户作为 SQL 服务器服务的查询操作账户，不要用 LocalSystem 或sa。 这个帐户应该有最小的权利 ( 注意作为一个服务运行的权利是必须的)和应该包含( 但不停止)在妥协的情况下对服务器的攻击。 注意当使用企业管理器做以上设置时 , 文件，注册表和使用者权利上的 ACLs同时被处理。

　　5. 确定所有的 SQL 服务器数据，而且系统文件是装置在 NTFS 分区，且appropraite ACLs 被应用。 如果万一某人得到对系统的存取操作权限,该层权限可以阻止入侵者破坏数据，避免造成一场大灾难。

　　6.如果不使用Xp_cmdshell就关掉。 如果使用 SQL 6.5, 至少使用Server Options中的SQLExecutieCmdExec 账户操作限制,非sa用户使用XP_cmdshell.

　　在任何的 isql/ osql 窗口中( 或查询分析器):

　　use master

　　exec sp_dropextendedproc'xp_cmdshell'

　　对 SQLExecutiveCmdExec 的详细情况请查看下列文章:

　　http://support.microsoft.com/support/kb/article/Q159/2/21.

　　如果你不需要 xp_cmdshell 那请停用它。请记住一个系统系统管理员如果需要的话总是能把它增加回来。这也好也不好 - 一个侵入者可能发现它不在，只需要把他加回来。考虑也除去在下面的 dll但是移除之前必须测试因为有些dll同时被一些程序所用。 要找到其他的程序是否使用相同的 dll:

　　首先得到该 dll 。

　　select o.name,c.text from dbo.syscomments c , dbo.sysobjects o where c.id=o.id and o.name='xp_cmdshell'

　　其次,使用相同的 dll发现其他的扩展储存操作是否使用该dll。

　　select o.name,c.text from dbo.syscomments c , dbo.sysobjects o where c.id=o.id and c.text='xplog70.dll'

　　用户可以用同样的办法处理下面步骤中其他你想去掉的进程。

　　7. 如不需要就停用对象连接与嵌入自动化储存程序 ( 警告 - 当这些储存程序被停用的时候 , 一些企业管理器功能可能丢失). 如果你决定停用该进程那么请给他们写一个脚本这样在以后你用到他们的时候你能够把他们重新添加回来 。 记住, 我们在这里正在做的是锁定一个应用程序的功能 - 你的开发平台应该放到其他机器上。
　　
　　8. 禁用你不需要的注册表存取程序。(同上面的警告)这些包括:

　　Xp_regaddmultistring

　　Xp_regdeletekey

　　Xp_regdeletevalue

　　Xp_regenumvalues

　　Xp_regremovemultistring

　　注意 :我过去一直在这里列出 xp_regread/ xp_regwrite但是这些程序的移除影响一些主要功能包括日志和SP的安装，所以他们的移除不被推荐。

　　9.移除其他你认为会造成威胁的系统储存进程。 这种进程是相当多的，而且他们也会浪费一些cpu时间。 小心不要首先在一个配置好的服务器上这样做。首先在开发的机器上测试，确认这样不会影响到任何的系统功能。

　　10. 在企业管理器中"安全选项" 之下禁用默认登录。(只有SQL 6.5) 当使用整合的安全时候,这使未经认可的不在 syslogins 表中使用者无权登陆一个有效的数据库服务器。

　　11. 除去数据库的guest账户把未经认可的使用者据之在外。 例外情况是master和 tempdb 数据库,因为对他们guest帐户是必需的。

　　12. 若非必须，请完全地禁用SQL邮件功能。它的存在使潜在的攻击者递送潜在的 trojans ，病毒或是简单实现一个DOS攻击成为可能

　　13. 检查master..Sp_helpstartup看有无可疑的木马进程。 确定没有人已经在这里放置秘密的后门程序。 使用 Sp_unmakestartup 移除任何可疑进程。

　　14. 检查master..Sp_password看有无trojan代码。比较你的产品scripts和一个新安装的系统的默认scripts而且方便的保存。

　　15. 记录所有的用户存取访问情况。 从企业管理器做这些设定或通过以sa登陆进入查询分析器的下列各项:

　　xp_instance_regwrite N'HKEY_LOCAL_MACHINE', N'SOFTWARE MicrosoftMSSQLServerMSSQLServer',N'AuditLevel',REG_DWORD,3

　　16. 重写应用程序使用更多用户定义的储存和察看进程所以一般的对表的访问可以被禁用。 在这里你也应该看到由于不必经常进行查询计划操作而带来的性能提升。

　　17. 除去不需要的网络协议。

　　18. 注意SQL 服务器的物理安全。把它锁在固定的房间里，并且注意钥匙的安全。只要有机会到服务器面前，就总是会找到一个方法进入。

　　19. 建立一个计划的任务运行

　　findstr/C:" Login Failed"mssql7log*.*'

　　然后再重定向输出到一个文本文件或电子邮件，因此你监测失败的登录尝试。这也为系统管理员提供一个好的记录攻击的方法。 也有很多用来分析NT日志事件的第三者工具。 注意: 你可能需要将路径换成你安装SQL的路径。

　　20. 设定非法访问和登陆失败日志警报。到 企业管理器中的"Manager SQL Server Messages "搜寻任何有关无权访问的消息 ( 从查找"login failed"和"denied"开始). 确定你所有感兴趣的信息被记录到事件日志。然后在这些信息上设定警报 , 发送一个电子邮件或信息到一个能够对问题及时响应的操作员。

　　21. 确定在服务器和数据库层次上的角色都只被授给了需要的用户。 当 SQL Server 安全模型 7 有许多增强的时候, 它也增加额外的许可层，我们必须监控该层，确定没有人被授予了超过必需的权限。

　　22. 经常检查组或角色全体会员并且确定用组分配权限，这样你的审计工作能够简化。 确定当你在的时候 , 公众的组不能从系统表执行选择操作。
　　
　　23. 花些时间审计用空密码登陆的请求。 使用下面的代码进行空密码检查:
 

　　使用主体

　　选择名字,

　　password

　　from syslogins

　　where password is null

　　order by name

　　24. 如果可能，在你的组织中利用整合的安全策略。 通过使用整合的安全策略，你能够依赖系统的安全，最大简化管理工作从维护二个分开的安全模型中分离开来。这也不让密码接近连接字串。

　　25. 检查所有非sa用户的存取进程和扩充存储进程的权限。 使用下面的查询定期的查询哪一个进程有公众存储权限。(在SQL Server中 使用 "type" 而不是 "xtype"):

　　Use master

　　select sysobjects.name

　　from sysobjects,sysprotects

　　where sysprotects.uid=0

　　AND xtype 在 ('X','P')

　　AND sysobjects.id=sysprotects.id

　　Order by name

　　26. 当时用企业管理器的时候，使用整合的安全策略。 过去，企业管理器被发现在标准的安全模态中储存 "sa" 密码在注册表的 plaintext 中。 注意: 即使你改变模态,密码也会留在注册表中。 使用 regedit 而且检查键:

　　HKEY_CURRENT_USERSOFTWAREMicrosoft

　　MSSQLServerSQLEW Regedi

　　SQL 6.5

　　现在数据被隐藏在

　　HKEY_USERS\softwareMicrosoftMicrosoft SQL servertoolSQLEWregistered server XSQL server group

　　("SQL server组" 是默认值但是你可能已建立用户组因此相应地改变其位置)

　　27. 发展一个审核计划而且订定每月的安全报告，对IT主管可用的报表包括任何的新exploit，成功的攻击 , 备份保护 , 和对象存取失败统计。

　　28. 不要允许使用者交互式登陆到 SQL Server之上。这个规则适用任何的服务器。一旦一个使用者能够交互式进入一个服务器之内,就有能用来获得管理员的存取特权得到管理员权限。

　　30. 尽力限制对SQL Server的查询与存取操作。用户可以用最小权限查询sql server中的很多东西。若非必须不要给他们机会。

悄无声息中，一张能够将电脑从Windowsvista降级至WindowsXP的微软授权光盘，上周出现在某上海联想Think售后服务店里。Think工程师透露，其实早在这张光盘推出以前，就已经有不少消费者要求将预装Vista的笔记本电脑降级到XP系统。

» 阅读全文

腾讯发布QQ2007II Beta1版本。

下载地址：http://dl_dir.qq.com/qqfile/qq/2007standard/qq2007ii_beta1.exe

新功能：窗口抖动

会话窗口抖动，等您来回应

QQ2007II Beta1新增会话窗口抖动这个有趣的新功能，解决和好友说话不被人关注的遭遇，和好友说话，如果没有被回复，现在就抖他一下吧。特别的问候方式，让您和好友的会话窗口一起摇摆。

与在线企业轻松沟通，一切资讯尽在掌握

我们为QQ用户搭建了与企业沟通的桥梁，用户能便捷的找到企业，满足用户和企业实时沟通、了解企业资讯的需要；同时，也使企业实现高效的客户服务和管理成为可能。

群屏蔽时设置关注内容，免除骚扰更高效

群消息太多骚扰不断，想屏蔽又怕错过关键信息？QQ2007II Beta1新增群屏蔽时设置关注成员和关注关键字功能，即使您的群被屏蔽，关注内容一旦出现，也将及时为您提醒消息。

QQ靓号标识全新登场，我的靓号我来秀

全新的QQ靓号标识，带给QQ靓号用户尊贵体验。所有的QQ靓号用户个人信息以及个人资料页上将显示标识，用户可以查看到好友列表中哪些是QQ靓号用户。同时QQ靓号用户也可以进入靓号站点手动设置是否显示该标识。

卖家专用头像资料页，让您成为更专业的卖家

QQ2007II Beta1为卖家提供了专业的头像资料页，并提供和原来的头像资料的自由切换。好友会话和群会话增加商品链接带图片,与买卖沟通从此更加方便。

拉我进群先给提示，进不进群我做主

QQ2007II Beta1新增加了自己被邀请进入某群时，会收到来自邀请方的邀请提示，自己来决定要不要进入这个群。这样再也不会莫名奇妙的被拉进一个群了。

QQ会员魔法表情主题专区带来更多精彩

在QQ2007II Beta1版本里QQ会员魔法表情有专门的主题推出了,会定期给QQ会员们推出人物、节日、搞笑主题内容，请大家期待每一期特有的精彩魔法表情吧。

　　你是个善于倾听的人吗？

　　有文章指出，如果你的行为中出现以下七种情况的一种或一种以上，你就应该注意改善自己的倾听技能了。

　　一、和别人沟通时，打断对方讲话，以便讲自己的故事或者提出意见。

　　二、和别人沟通时，没有和对方进行眼睛接触。

　　三、和别人沟通时，任意终止对方的思路，或者问了太多的细节问题。

　　四、和别人沟通时，催促对方。

　　五、和别人沟通时，接打电话、写字、发电子邮件，或把注意力转移到其他事情上。

　　六、和别人沟通时，忘记对方所讲的内容。

　　七、和别人沟通时，特意等到对方讲完，只为方便你对他所讲的内容“盖棺论定”。

　　10月15日上午消息，国内域名授权商今日证实，国际域名.com、.net及.org的批发价今日开始上调7%至10%不等，国内域名授权商的渠道批发价格已经相应上涨，但一些注册商自己消化了涨价，并未提价。

　　按照国际域名管理机构ICANN之前的通知，从今天开始，.com域名的批发价格将由6美元提高到6.42 美元，上涨7%；.net的批发价格将由3.50美元提高到3.85美元，上涨达到10%；.org的价格也有所上涨。

　　国内一家域名授权商的人士表示，几家大的授权商都已经向代理商提前发出了批发价今日将上涨的通知，涨价幅度也在7%至10%之间，几家大的域名注册商都已经调高了注册价，还有一些注册商或为了促销，自己消化了涨价的代价，并未提价。

　　国际域名的小幅涨价对于一般企业的影响并不大，但对于注册量很大的域名投资者而言可能会考虑转向部分转向.cn域名的投资。

引用：
　　Windows提供了很多非常有价值的服务，但很多服务都是双刃剑，用不好就会带来诸多安全隐患。以下十项服务是对安全威胁较大的服务，建议普通用户一定要禁用它。

　　Win XP必须禁止的服务

　　1.NetMeeting Remote Desktop Sharing：允许受权的用户通过NetMeeting在网络上互相访问对方。这项服务对大多数个人用户并没有多大用处，况且服务的开启还会带来安全问题，因为上网时该服务会把用户名以明文形式发送到连接它的客户端，黑客的嗅探程序很容易就能探测到这些账户信息。

　　2.Universal Plug and Play Device Host：此服务是为通用的即插即用设备提供支持。这项服务存在一个安全漏洞，运行此服务的计算机很容易受到攻击。攻击者只要向某个拥有多台Win XP系统的网络发送一个虚假的UDP包，就可能会造成这些Win XP主机对指定的主机进行攻击（DDoS）。另外如果向该系统1900端口发送一个UDP包，令“Location”域的地址指向另一系统的chargen端口，就有可能使系统陷入一个死循环，消耗掉系统的所有资源（需要安装硬件时需手动开启）。

　　3.Messenger：俗称信使服务，电脑用户在局域网内可以利用它进行资料交换（传输客户端和服务器之间的Net Send和Alerter服务消息，此服务与Windows Messenger无关。如果服务停止，Alerter消息不会被传输）。这是一个危险而讨厌的服务，Messenger服务基本上是用在企业的网络管理上，但是垃圾邮件和垃圾广告厂商，也经常利用该服务发布弹出式广告，标题为“信使服务”。而且这项服务有漏洞，MSBlast和Slammer病毒就是用它来进行快速传播的。

　　4.Terminal Services：允许多位用户连接并控制一台机器，并且在远程计算机上显示桌面和应用程序。如果你不使用Win XP的远程控制功能，可以禁止它。

　　5.Remote Registry：使远程用户能修改此计算机上的注册表设置。注册表可以说是系统的核心内容，一般用户都不建议自行更改，更何况要让别人远程修改，所以这项服务是极其危险的。

　　6.Fast User Switching Compatibility：在多用户下为需要协助的应用程序提供管理。Windows XP允许在一台电脑上进行多用户之间的快速切换，但是这项功能有个漏洞，当你点击“开始→注销→快速切换”，在传统登录方式下重复输入一个用户名进行登录时，系统会认为是暴力破解，而锁定所有非管理员账户。如果不经常使用，可以禁止该服务。或者在“控制面板→用户账户→更改用户登录或注销方式”中取消“使用快速用户切换”。

　　7.Telnet：允许远程用户登录到此计算机并运行程序，并支持多种 TCP/IP Telnet客户，包括基于 UNIX 和 Windows 的计算机。又一个危险的服务，如果启动，远程用户就可以登录、访问本地的程序，甚至可以用它来修改你的ADSL Modem等的网络设置。除非你是网络专业人员或电脑不作为服务器使用，否则一定要禁止它。

　　8.Performance Logs And Alerts：收集本地或远程计算机基于预先配置的日程参数的性能数据，然后将此数据写入日志或触发警报。为了防止被远程计算机搜索数据，坚决禁止它。

　　9.Remote Desktop Help Session Manager：如果此服务被终止，远程协助将不可用。

　　10.TCP/IP NetBIOS Helper：NetBIOS在Win 9X下就经常有人用它来进行攻击，对于不需要文件和打印共享的用户，此项也可以禁用

进阶：可以禁止的服务

　　另外还有一些普通用户可以按需求禁止的服务： 　

　　1.Alerter：通知所选用户和计算机有关系统管理级警报。如果你未连上局域网且不需要管理警报，则可将其禁止。 　

　　2.Indexing Service：本地和远程计算机上文件的索引内容和属性，提供文件快速访问。这项服务对个人用户没有多大用处。 　

　　3.Application Layer Gateway Service：为Internet连接共享和Internet连接防火墙提供第三方协议插件的支持。如果你没有启用Internet连接共享或Windows XP的内置防火墙，可以禁止该服务。 　

　　4.Uninterruptible Power Supply：管理连接到计算机的不间断电源，没有安装UPS的用户可以禁用。 　

　　5.Print Spooler：将文件加载到内存中以便稍后打印。如果没装打印机，可以禁用。 　

　　6.Smart Card：管理计算机对智能卡的读取访问。基本上用不上，可以禁用。 　

　　7.Ssdp Discovery Service：启动家庭网络上的upnp设备自动发现。具有upnp的设备还不多，对于我们来说这个服务是没有用的。 　

　　8.Automatic Updates：自动从Windows Update网络更新补丁。利用Windows Update功能进行升级，速度太慢，建议大家通过多线程下载工具下载补丁到本地硬盘后，再进行升级。 　

　　9.Clipbook：启用“剪贴板查看器”储存信息并与远程计算机共享。如果不想与远程计算机进行信息共享，就可以禁止。 　

　　10.Imapi Cd-burning Com Service：用Imapi管理CD录制，虽然Win XP中内置了此功能，但是我们大多会选择专业刻录软件，另外如果没有安装刻录机的话，也可以禁止该服务。 　　

　　11.Workstation：创建和维护到远程服务的客户端网络连接。如果服务停止，这些连接都将不可用。 　

　　12.Error Reporting Service：服务和应用程序在非标准环境下运行时，允许错误报告。如果你不是专业人员，这个错误报告对你来说根本没用。 　

　　再就是如下几种服务对普通用户而言也没有什么作用，大家可以自己决定取舍，如：Routing and Remote Access、Net Logon、Network DDE和Network DDE DSDM。

» 阅读全文

　　自《纽约时报》报道这一消息后，业内人士纷纷猜测，目前长城科技股份有限公司（下称“长城科技”，0074.HK）进入了他们的视线。但赛迪顾问计算机产业研究中心咨询师马婧昨天对《第一财经日报》表示：“这太让人感觉震惊了，但更多的是不解。”

　　她的理由是，在去年收购全球第二大硬盘企业迈拓后，希捷的全球硬盘老大地位已经牢牢树立，市场份额在40%左右，超过第二名西部数据至少10个百分点，没有任何理由出售自己。

　　但并购消息源头足够权威。它来自于希捷公司首席执行官William Watkins。据《纽约时报》的报道称，William Watkins说，希捷或西部数据公司已成为中国公司并购的考虑对象，并给了一个矛盾的说法，即公司不会出售，但由于中方开出的价格可能足够高，交易仍然可能成功。

　　对此，希捷（中国）发言人张桂琛昨天十分谨慎。她说，自己没到公司，没看到这类消息。该公司中国区总经理杨建初则未接本报记者的电话。此前，西部数据公司已拒绝发表任何评论。

　　就现有硬盘产业布局及财务能力来看，长城科技前去并购的可能性最大。这家长城集团旗下最核心的子公司，业务涵盖计算机核心零部件、整机制造、软件和系统集成、宽带网和增值服务等领域，自身又是长城电脑(行情论坛)、长城开发(行情论坛)、深圳开发磁记录、易拓科技等公司的绝对控股方。之前，其旗下公司曾代工日立硬盘，目前则在硬盘磁头与硬盘电路板上与希捷合作紧密。它在全球硬盘磁头市场的份额高达10%。

　　“双方强化合作，比如希捷进一步扩大外包，倒是很有可能。”马婧说，目前，希捷（中国）有两座工厂，分别位于无锡、苏州，而且与长城电脑部分业务重叠，双方确实有整合的需要，“尤其是，现在希捷正向闪存领域渗透，也需要资源投入”。但她认为，由于闪存硬盘业务的布局才刚刚开始，且未来两者也有融合空间，希捷不可能冒险出售自己最为优势的核心业务。

　　长城科技似乎也在“迎合”上述并购传闻。在其刚发布的中期财报中称，与希捷的战略合作关系正进一步深化，公司已增资2500万美元加码苏州厂，尤其投资“净化间、购置磁头制造设备”。它还强调，打算筹建“硬盘零部件公共技术服务平台”。

　　分析

　　长城科技并购希捷的生产环节完全有可能，这也符合该公司之前一直强调的EMS/ODM商业战略，它由此可以重塑一条更为完整的硬盘制造产业链。而这同样符合希捷的利益，因为，自收购迈拓后，尤其是向闪存领域转型过程中，它需要代工伙伴带来更好的成本控制效应。

　　但是，这种潜在的合作恐怕不会顺利。在联想成功并购IBM PC业务背景下，《纽约时报》的上述报道已引发美国某些机构的“警惕”之心，它们担心美国高新技术的流失。不过，目前传统硬盘倒并不在禁止之列。