文字比较多 大家耐心看 有好处如今网上黑客横行，稍不留神就可能被黑客光顾，避如前段时间我们空间商的服务器就被入侵了，数据都被删光了，所以要想在网上生存，做好安全措施是必不可少的。一般我们都只重视对机器进行安全设置，而往往忽略了被入侵后的信息收集问题，今天我就介绍三种让 黑客 留下痕迹的方法，希望能对大家有所帮助。 一、利用“ 木马 ”进行记录 1. 木马简介 这里要用到的是一个很特殊的dll木马 ，它可以把通过终端登陆的用户名、密码，以及域信息记录到指定 文件中。不要以为这些信息没什么用哦!有时候就得*这些零散的信息来找入侵的人。 在下载的压缩包内，有三个 文件 ： sysgina32.dll--这个就是可以记录用户名和密码的东东了。 gina.exe--这是安装dll 木马 用的程序，有了它后安装起来就很方便了。 使用方法.txt--这个很熟悉吧!中文帮助 文件 哦!有什么不懂的可以查查。 2.安装 木马 先把sysgina32.dll和gina.exe放在同一目录下，并将gina.exe改名为svchost.exe(你也可以改成其它名字，为的是不让 黑客 注意到)，然后打开cmd，切换到保存这两个文件的 文件 夹，输入命令：svchost.exe-install，当出现“alldone，gina setupsuccess”信息时，安装就成功了。 注意： a.该木马已被杀毒软件查杀，所以安装时请关闭杀毒软件(不是关闭 防火墙 哦!)，而且以后重启时杀毒软件不能一起启动，以后杀一次毒重新装一次该木马。不过如果你能让该 木马 不被杀毒软件的话，那就没这么麻烦了。 b.为了不让 黑客 发现我们设的陷阱，最好将gina.exe文件改名，而且要改的艺术一点，比如上面我把它改成了“svchost.exe”，这样就很难发现了，如果你改成了其它名字，安装时命令就要换成“ 文件 名.exe-install”。 c.sysgina32.dll和gina.exe这两个 文件 不一定要复制到系统安装目录的system32下，不过最好不要太引人注意，如果被 黑客 发现，那就可能适得其反了( 木马 也会记下你的密码的)。 d.如果出现的信息是“found existgina”，这说明你机器已经装过该 木马了，此时键入“y”覆盖即可。
3.查看“踪迹” 经过以上设置后，如果有人通过终端服务登录你的机器，那么他的用户名和密码就会被记录到“c:\winnt\system32\ginapwd.txt”这个文件中，打开这 文件 就可以看到入侵者的踪迹了。由于该 木马 也会记录你的密码，所以每次进入机器时，请先打开ginapwd.txt这 文件 ，把你的用户名和密码删掉，顺便查一下有没有其它人登录过。 4.删除 木马 如果你的机器不幸被人中了该 木马 ，那么请按如下方法删除： 先下载该 木马 ，在cmd下输入命令：gina.exe -remove，当出现“ gina dllwasremovedsuccess”时，就表示删除成功了，接着重启机器即可。 注意：如果你把gina.exe改名了，命令也要做相应改变： 文件 名.exe - 二、写个 批处理记录 黑客 行踪 1.认识 批处理 对于 批处理 文件，你可以把它理解成批量完成你指定命令的文件，它的扩展名为.bat或.cmd，只要在文本文件中写入一些命令，并把它保存为.bat或.cmd格式，然后双击该文件，系统就会按文本 文件 中的命令逐条执行，这样可以节省
你许多的时间。 2.编写 批处理 文件 打开记事本，然后输入如下命令： @echo off date /t>>d:\3389.txt attrib +s +h d:\3389.bat attrib +s +hd:\3389.txt time /t>>d:\3389.txt netstat -an find “established“find“:3389“>>d:\3389.txt 然后把文件保存为d:\3389.bat，这里我解释一下命令的意思，date和time是用于获取系统时间的，这样可以让你知道黑客在某天的某个时刻入侵。“attrib+s+h d:\3389.bat”和“attrib+s+hd:\3389.txt”这两个命令是用来隐藏3389.bat和3389.txt这两个文件的，因为在登录时，由于会启动d:\3389.bat这个 文件 ，所以会有一个cmd窗口一闪而过，有经验的 黑客 应该能判断出这窗口是记录用的，所以他可能会到处找这个记录文件，用了以上两个命令后，即使他用系统自带的搜索功能以3389为关键字进行搜索，也找不到上面3389.bat和3389.txt这两个 文件 ，哈哈!很棒吧!至于“netstat-anfind“established“find“:3389“>>d:\3389.txt”这个命令则是记录通过终端的连结状况的，明白了吧! 接下来我们要让系统启动时自动运行d:\3389.bat这文件，我用的方法是修改注册表，依次展开：hkey_local_machine\software\microsoft\ windowsnt\currentversion\winlogon，找到“userinit”这个键值，这个键值默认为c:\winnt\system32\userinit.exe，不知你注意到没有，在最后有一个逗号，我们要利用的就是这逗号，比如我上面写的3389.bat文件路径为d:\3389.bat，那么我只要在逗号后面加上“d:\3389.bat”即可，这样启动时3389.bat这 文件 就会运行，选这个键值的原因是因为它隐蔽，如果是加在run键值下的话是很容易被发现的。最后提醒一点，键值末尾的逗号别忘了加上去哦! 4.查看记录 前面我们用了attrib命令把3389.bat和3389.txt这两个 文件 隐藏起来，下面我们来让它们重新显示。
打开cmd，切换到保存这两个文件的路径，这里是切换到“d:\”目录，输入命令：attrib -s-hd:\3389.bat和attrib -s-hd:\3389.txt，这时再到d盘看看，是不是出现了?打开 文件 即可查看登录情况，从中我们可以看出，10.51.5.36这ip连结到了我的3389端口(我的ip是10.51.5.35)。 三、记录 黑客 动作 有了以上两道防线，我们就能知道黑客的用户名、密码、以及入侵时的ip了，不过这样好像还不够，要是能知道 黑客 都干了些什么就更好了，下面我们再设置一个陷阱，这里要用到的工具 是“计算机系统日志”。 该软件的特色就是可以在后台记录所有运行过的程序和窗口名称，并且有具体的时期，以及登录的用户名，很恐怖哦!下面咱们来设陷阱吧! 1.记录日志 双击压缩包内的主程序，点击“软件试用”进入主界面，在“日志 文件 保存路径”处点击“浏览”选择保存路径并进行命名，这里保存在c:\winnt\log.txt。然后钩选“日志记录随计算机自动启动”。 注意： a.为了防止 黑客 找到记录日志的 文件 ，你可以用上面提到的命令：attrib +s+hc:\winnt\log.txt进行隐藏。 b.最好不要将这个记录 文件 和上面的3389.txt放一个目录下，这样万一被发现其中一个，不至于使另一个也一同被发现。 c.软件在“任务管理器”的进程中显示名称为“syslog”，而且未注册版本会在20分钟后自动停止记录，所以只能用来对付菜鸟 黑客 啦!而且还得先花点“银子”，哈哈! 接下来在“程序密码保护”处输入一个复杂点的密码，点击“开始日志”。这时软件会提醒你隐藏后的热键为“ctrl+q”，请记住这个热键，以后要唤出软件时就得*它了。 2.查看动作 想知道这样设置后记录下来的东西是什么样吗?那就快来看看吧。怎么样?对这种记录结果你还满意吗? 以上就是我比较推荐的三种方法了，都非常的实用，你不妨也试试哦!
