天網(wǎng)是大家常用的防火墻軟件，有許多人撰文提議安裝天網(wǎng)，一時(shí)間天網(wǎng)防火墻成了菜鳥(niǎo)、高手必備工具。這樣做當(dāng)然好，至少說(shuō)明了大家的網(wǎng)絡(luò)安全意識(shí)提高了許多。但萬(wàn)事都有個(gè)“度”，超過(guò)這個(gè)“度”就不好了。現(xiàn)在有許多人對(duì)天網(wǎng)的迷信達(dá)到了癡迷的程度，認(rèn)為安裝了天網(wǎng)就高枕無(wú)憂(yōu)了，他們?cè)谏暇W(wǎng)時(shí)只是打開(kāi)天網(wǎng)，至于天網(wǎng)運(yùn)行得怎么樣就不管了。其實(shí)，就在此時(shí)你危險(xiǎn)了！
一、堡壘往往是從內(nèi)部被攻破的
堡壘往往是從內(nèi)部被攻破的，這話一點(diǎn)都不假。遠(yuǎn)在古希臘時(shí)代，堅(jiān)固的城墻沒(méi)有保護(hù)住特洛伊人的家園，被一個(gè)小小的木馬所攻破，在今天這個(gè)道理依然應(yīng)驗(yàn)。
1.用黑毒克星或NoSkyNet
目前的天網(wǎng)防火墻可謂樹(shù)大招風(fēng)，天網(wǎng)也逐漸成為了黑客們攻擊的主要對(duì)象！針對(duì)它的黑客工具也層出不窮，黑毒克星和NoSkyNet就是其中之一。這兩個(gè)軟件共同的特點(diǎn)之一就是小巧隱蔽，另一個(gè)特點(diǎn)就是它們將天網(wǎng)破壞殆盡后，居然還能讓天網(wǎng)防火墻在任務(wù)欄正常顯示圖標(biāo)！具有極大的危害性和欺騙性。
雖然黑毒克星和NoSkyNet必須被運(yùn)行它們才有機(jī)會(huì)破壞天網(wǎng)防火墻，但百密難免一疏，對(duì)于僅幾k大小的黑毒克星、NoSkyNet，真的很難保證不會(huì)中招（黑客們當(dāng)然不會(huì)那么傻，他們會(huì)把黑毒克星、NoSkyNet改名，如改為系統(tǒng)優(yōu)化或微軟補(bǔ)丁之類(lèi)的名稱(chēng)，這樣如果你運(yùn)行了這些“優(yōu)化補(bǔ)丁”，你的天網(wǎng)就完了！），對(duì)付它們只能自己小心了。
2.用黑洞2001
黑洞2001是個(gè)木馬程序，具有出色的多進(jìn)程監(jiān)控功能。隨著大家安全意識(shí)的不斷提高，大多數(shù)人都安裝了網(wǎng)絡(luò)防火墻，木馬們的生存空間越來(lái)越小，為生存計(jì)，木馬開(kāi)發(fā)者想出了一個(gè)辦法，他讓木馬服務(wù)端定時(shí)刷新進(jìn)程，如果發(fā)現(xiàn)其中的進(jìn)程名稱(chēng)與其事先定義好的相符合，就將這個(gè)進(jìn)程關(guān)閉，如果這個(gè)被關(guān)閉的進(jìn)程恰巧就是防火墻，那你的網(wǎng)絡(luò)大門(mén)就完全敞開(kāi)了，監(jiān)控端就可為所欲為了。
事實(shí)上這個(gè)功能就是針對(duì)防火墻出現(xiàn)的，一切堡壘都是從內(nèi)部被攻破的在此得到了充分的體現(xiàn)。其實(shí)在黑洞2000中就有了這樣的功能，只不過(guò)黑洞2000只能關(guān)閉天網(wǎng)防火墻，對(duì)其它防火墻沒(méi)有任何作用。黑洞2001則可以定義長(zhǎng)達(dá)99個(gè)英文字符號(hào)，完全可以將您可能會(huì)用到的防火墻都定義到其中，從而可將這些防火墻全部關(guān)閉！
對(duì)于黑洞2001的多進(jìn)程監(jiān)控功能，讓我們作一個(gè)小測(cè)試。首先，在客戶(hù)端作配置。點(diǎn)擊“修改遠(yuǎn)程服務(wù)器端設(shè)置”按鈕，再點(diǎn)擊其中的“智能監(jiān)控”標(biāo)簽。
在“進(jìn)程監(jiān)控”欄中添入“墻，毒，LOCK”，選中“使用進(jìn)程監(jiān)控”，然后點(diǎn)擊“修改配置”保存設(shè)置。在服務(wù)端運(yùn)行天網(wǎng)防火墻、金山毒霸、Lockdown、PC-Cillin等軟件，一分鐘后這些軟件被自動(dòng)關(guān)閉！由上可以看出如果你中了黑洞2001，那么你的防火墻就全成了聾子的耳朵——擺設(shè)！
3.利用“反彈端口”型木馬
國(guó)內(nèi)第一個(gè)“反彈端口”型木馬“網(wǎng)絡(luò)神偷”就可以突破天網(wǎng)防線，使天網(wǎng)失效。“正常”木馬是由客戶(hù)端主動(dòng)連接服務(wù)端的，通俗的說(shuō)就是下木馬方要主動(dòng)連接中木馬的機(jī)子，這樣很容易讓防火墻發(fā)現(xiàn)；而反彈端口型木馬與一般的木馬相反，反彈端口型木馬的服務(wù)端（被控制端）使用主動(dòng)端口，客戶(hù)端（控制端）使用被動(dòng)端口，當(dāng)要建立連接時(shí)，由客戶(hù)端通過(guò) FTP 主頁(yè)空間告訴服務(wù)端：“現(xiàn)在開(kāi)始連接我吧！”，并進(jìn)入監(jiān)聽(tīng)狀態(tài)，服務(wù)端收到通知后，就會(huì)開(kāi)始連接客戶(hù)端。為了隱蔽起見(jiàn)，客戶(hù)端的監(jiān)聽(tīng)端口一般開(kāi)在80，這樣，即使用戶(hù)使用端口掃描軟件檢查自己的端口，發(fā)現(xiàn)的也是類(lèi)似“TCP 服務(wù)端的IP地址:1026 客戶(hù)端的IP地址:80 ESTABLISHED”的情況，稍微疏忽一點(diǎn)你就會(huì)以為是自己在瀏覽網(wǎng)頁(yè)。（防火墻也會(huì)這么認(rèn)為的，我想大概沒(méi)有哪個(gè)防火墻會(huì)不給用戶(hù)向外連接80端口吧）。因此這類(lèi)木馬可以突破幾乎所有的防火墻（包括代理防火墻及過(guò)濾型防火墻）！
在我用“網(wǎng)絡(luò)神偷”試驗(yàn)過(guò)程中，在天網(wǎng)設(shè)置成默認(rèn)規(guī)則的情況下，服務(wù)端連接成功并進(jìn)行文件訪問(wèn)，服務(wù)端主機(jī)上的天網(wǎng)毫無(wú)反應(yīng)！天網(wǎng)就這樣被突破了！“反彈端口”型木馬由于是由服務(wù)端主動(dòng)連接客戶(hù)端的，所以天網(wǎng)規(guī)則里的“禁止所有人連接”對(duì)它是一點(diǎn)用也沒(méi)有，只要“允許FTP的數(shù)據(jù)通道”開(kāi)啟和“TCP數(shù)據(jù)包監(jiān)視”關(guān)閉（默認(rèn)設(shè)置正是這樣），天網(wǎng)就不會(huì)有任何反應(yīng)的，這可比黑洞等木馬一上來(lái)就關(guān)閉天網(wǎng)要危險(xiǎn)多了！
注：由于網(wǎng)絡(luò)神偷使用了VxD技術(shù)，因此該軟件無(wú)法在Windows2000/NT下使用，非Windows2000/NT下的朋友就要小心它了！
二、強(qiáng)攻也可突破天網(wǎng)的保護(hù)
其實(shí)，只要能夠加以注意，或不是那么“菜”的話，那么上面所說(shuō)的從內(nèi)部攻破的方法就會(huì)失效(可惜許多人就是不夠小心)，此時(shí)就只有強(qiáng)攻這一條路了。雖然天網(wǎng)對(duì)各類(lèi)IP炸彈的攻擊保護(hù)等不錯(cuò)，但仍有空子可鉆，有四種方法攻破它，請(qǐng)看：
1.使裝天網(wǎng)的系統(tǒng)死機(jī)的簡(jiǎn)單方法
推薦工具：PortScan和IGMP Nuke
(1)得到對(duì)方的IP
要查對(duì)方IP最簡(jiǎn)單的方法是打開(kāi)網(wǎng)絡(luò)防火墻，如天網(wǎng)，然后點(diǎn)擊“安全規(guī)則設(shè)置”，在彈出的對(duì)話框中把“UDP數(shù)據(jù)包監(jiān)視”前面的多選框內(nèi)打上“√”，然后保存設(shè)置。現(xiàn)在，在QQ中給那個(gè)人發(fā)個(gè)消息，再來(lái)點(diǎn)擊天網(wǎng)中的“日志”按鈕，從中你就會(huì)發(fā)現(xiàn)對(duì)方的IP。有了IP，他想跑可就難了，哈哈。
(2)開(kāi)始攻擊
打開(kāi)兩個(gè)或兩個(gè)以上PortScan，在“Scan:”欄中填入對(duì)方的IP，在“Send Port:”欄中填入1，在“Stop Port:”欄中填入65536，這樣就配置完畢，可以攻擊了！現(xiàn)在按“START”按鈕，然后你就可以忙你的別的事吧！掃描的事教給PortScan就可以了。
(3)攻擊原理
天網(wǎng)防火墻有個(gè)習(xí)慣，它對(duì)任何外來(lái)的不明數(shù)據(jù)包都會(huì)攔截，當(dāng)一個(gè)時(shí)間段內(nèi)有大量的 “各種不同類(lèi)型的”數(shù)據(jù)包涌過(guò)來(lái)，天網(wǎng)會(huì)對(duì)之進(jìn)行一一攔截，還要分析和解析這是什么數(shù)據(jù)包，一秒鐘要解析幾十次以上，由于數(shù)據(jù)包太多，會(huì)造成系統(tǒng)的資源逐漸耗掉，對(duì)方機(jī)子上的應(yīng)用程序會(huì)越來(lái)越慢，最終……呵呵！由于PortScan占用系統(tǒng)資源不多，因此本機(jī)的速度不會(huì)變慢多少
4)攻擊深入
如果該用戶(hù)發(fā)現(xiàn)是由于天網(wǎng)的過(guò)多攔截才造成死機(jī)，那他就會(huì)關(guān)閉天網(wǎng)。此時(shí)IGMP Nuke就會(huì)發(fā)揮作用了：你可以每隔一段時(shí)間就對(duì)著目標(biāo)IP運(yùn)行一下IGMP Nuke，用默認(rèn)設(shè)置就可以。結(jié)果，沒(méi)有了天網(wǎng)的對(duì)方當(dāng)然是藍(lán)屏啦！真是有天網(wǎng)也煩，沒(méi)天網(wǎng)也煩呀！
(5)攻擊時(shí)自身防范
本方法有一個(gè)缺點(diǎn)，就是對(duì)方能知道你的IP(天網(wǎng)中會(huì)記錄下來(lái)的)，因此你最好能使用代理服務(wù)器免得暴露自己。
2.利用天網(wǎng)小BUG
天網(wǎng)有個(gè)小BUG（也許不能算作BUG），它只能記錄6萬(wàn)多條攻擊記錄。那如果有多出來(lái)的的記錄會(huì)怎么樣呢？這正是攻擊者經(jīng)常利用的一點(diǎn)。攻擊者使用ICMP或IGMP包進(jìn)行攻擊，當(dāng)攻擊6萬(wàn)多次以后，天網(wǎng)就會(huì)不斷彈出錯(cuò)誤對(duì)話框，直到耗盡內(nèi)存而當(dāng)機(jī)！盡管手段不夠漂亮，但的確使裝有天網(wǎng)的主機(jī)死機(jī)了！簡(jiǎn)單實(shí)用就是這個(gè)方法的最大特點(diǎn)！
3.不斷發(fā)送二進(jìn)制的0字節(jié)流到
不停地發(fā)送二進(jìn)制的0字節(jié)流到裝有天網(wǎng)主機(jī)的特定端口（用TCP或UDP都可以），使裝天網(wǎng)的主機(jī)當(dāng)機(jī)。簡(jiǎn)單的測(cè)試方法如下：在Linux中通過(guò)netcat輸入/dev/zero內(nèi)容，命令如下：
TCP的測(cè)試命令為: nc 目標(biāo)主機(jī) 端口 < /dev/zero
舉例：nc 127.0.0.1 7 < /dev/zero 其中“127.0.0.1”為裝有天網(wǎng)主機(jī)的IP，“7”為目標(biāo)主機(jī)端口。
UDP的測(cè)試命令為：nc -u 目標(biāo)主機(jī) 端口 < /dev/zero
舉例：nc -u 127.0.0.1 53 < /dev/zero 其中“127.0.0.1”為裝有天網(wǎng)主機(jī)的IP，“53”為目標(biāo)主機(jī)端口。
TCP ports：7 9 21 23 7778等都是TCP端口。
UDP ports：53 67 68 135 137 500 1812 1813 2535 3456等都是UDP端口。
在本文即將撰稿完畢之際，天網(wǎng)又推出了新的測(cè)試版本，新增了一個(gè)非常好的功能：天網(wǎng)防火墻增加了對(duì)應(yīng)用程序數(shù)據(jù)包進(jìn)行底層分析攔截功能
它可以控制應(yīng)用程序發(fā)送和接收數(shù)據(jù)包的類(lèi)型、通訊端口，并且決定攔截還是通過(guò)，這是目前其以前版本所不具有的功能。如果能很好的利用該功能，可以有效防止利用“反彈端口”型木馬如“網(wǎng)絡(luò)神偷”等程序悄悄連接客戶(hù)端，但遺憾的是許多人嫌該功能太煩人（不管哪個(gè)程序啟動(dòng)運(yùn)行，天網(wǎng)都會(huì)向您詢(xún)問(wèn)是否運(yùn)行），因此將某些程序設(shè)置為“始終允許”，此時(shí)就給木馬程序提供了機(jī)會(huì)——木馬也可能被您設(shè)置為“始終允許”！就這樣天網(wǎng)精心構(gòu)筑的防線被您輕易的打開(kāi)了！從這個(gè)角度上來(lái)說(shuō)，世上只有愚蠢的人，而沒(méi)有愚蠢的防火墻！
解決辦法
1.不要到小站點(diǎn)下載軟件，更不要運(yùn)行“好心”的大蝦提供的補(bǔ)丁之類(lèi)的軟件，當(dāng)心被別有用心的人利用！如此一來(lái)，可以防止木馬及黑毒克星、NoSkyNet之類(lèi)的軟件被運(yùn)行。
2.保持警惕性，對(duì)不熟悉的人發(fā)來(lái)的E-Mail不要輕易打開(kāi)，帶有附件就更要小心了。另外算就是熟人發(fā)來(lái)的E-Mail，對(duì)其中的附件也要小心，您的朋友也許會(huì)無(wú)意中害了您（他的電腦被感染了木馬，但他有可能自己并不知道）。
3.安裝殺毒反黑軟件，下載軟件運(yùn)行前用殺毒反黑軟件檢查，如金山毒霸就可以識(shí)別出黑毒克星、NoSkyNet和上面說(shuō)的黑洞2001，而反黑軟件如“木馬克星”可以查出網(wǎng)絡(luò)神偷。
4.注意注冊(cè)表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curren Version和HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion下，所有以“Run”開(kāi)頭的鍵值名，其下有沒(méi)有可疑的文件名。如果有，就需要?jiǎng)h除相應(yīng)的鍵值，再刪除相應(yīng)的應(yīng)用程序。
5.啟動(dòng)組和Win.ini以及System.ini也是木馬們喜歡的隱蔽場(chǎng)所，要注意檢查這些地方。
6.最好通過(guò)代理服務(wù)器上網(wǎng)，只有這樣才能真正隱藏自己的IP，那些通過(guò)得知你的IP來(lái)攻擊你的人就會(huì)失去目標(biāo)了。
7.千萬(wàn)不要嫌天網(wǎng)“煩”，天網(wǎng)是有些像大話西游中的唐僧，但你既然選擇了它，就要忍受它的“羅嗦”，其實(shí)所謂的“羅嗦”正是天網(wǎng)在不厭其煩的提醒你、保護(hù)你，所以要看仔細(xì)了，到底是什么程序要連線運(yùn)行。
8.注意自己在網(wǎng)上的言語(yǔ)，盡量不得罪人，真正的黑客是不會(huì)無(wú)緣無(wú)故的攻擊你的。只有那些“灰”客才亂攻擊，對(duì)付他們請(qǐng)用方法6。
本文的目的是希望大家不要太迷信防火墻，注意提高自身素質(zhì)，加強(qiáng)自己的網(wǎng)絡(luò)安全意識(shí)。如果能達(dá)到這個(gè)目的，吾愿足矣
