本文目录一览：
我今天在QQ上遇到了黑客怎么办啊,有哪位精通电脑的好心人可以告诉我怎么办啊？
我个人的认为是最好的防御就是攻击! 首先是作到记录对方所有入侵你的步骤
一、利用“木马”进行记录
1.木马简介
这里要用到的是一个很特殊的dll木马，它可以把通过终端登陆的用户名、密码，以及域信息记录到指定文件中。不要以为这些信息没什么用哦！有时候就得靠这些零散的信息来找入侵的人。
下载地址：;down=1
在下载的压缩包内，有三个文件：
SysGina32.dll--这个就是可以记录用户名和密码的东东了。
Gina.exe--这是安装DLL木马用的程序，有了它后安装起来就很方便了。
使用方法.txt--这个很熟悉吧！中文帮助文件哦！有什么不懂的可以查查。
2.安装木马
先把SysGina32.dll和Gina.exe放在同一目录下，并将Gina.exe改名为svchost.exe（你也可以改成其它名字，为的是不让黑客注意到），然后打开CMD，切换到保存这两个文件的文件夹，输入命令：svchost.exe -install，当出现“All Done，Gina setup success”信息时，安装就成功了
注意：
a.该木马已被杀毒软件查杀，所以安装时请关闭杀毒软件（袭袜不是关闭防火墙哦！），而且以后重启时杀毒软件不能一起启动，以后杀一次毒重新装一次该木马。不过如果你能让该木马不被杀毒软件的话，那就没这么麻烦了。
b.为了不让黑客发现我们设的陷阱，最好将Gina.exe文件改名，而且要改的艺术一点，比如上面我把它改成了“svchost.exe”，这样就很难发现了，如果你改成了其它名字，安装时命令就要换成“文件名.exe -install”。
c.SysGina32.dll和Gina.exe这两个文件不一定要复制到系统安装目录的system32下，不过最好不要太引人注意，如果被黑客发现，那就可能适得其反了（木马也会记下你的密码的）。
d.如果出现的信息是“Found Exist Gina”，这说明你机器已经装过该木马了，此时键入“Y”覆盖即可。
3.查看“踪迹”
经过以上设置后，如果有人通过终端服务登录你的机器，那么他的用户名和密码就会被记录到“碧禅唯C:WINNTsystem32GinaPwd.txt”这个文件中，打开这文件就可以看到入侵者的踪迹了..由于该木马也会记录你的密码，所以每次进入机器时，请先打开GinaPwd.txt这文件，把你的用户名和密码删掉，顺便查一下有没有其它人登录过。
4.删除木马
如果你的机器不幸被人中了该木马，那么请按如下方法删除：
先下载该木马，在CMD下输入命令：gina.exe -remove，当出现“ Gina Dll was removed success”时，就表示删除成功了，接着重启机器即可。
注意：如果你把gina.exe改名了，命令也要做相应改变：文件名.exe -remove。
二、写个批处理记录黑客行踪
1.认识批处理
对于批处理文件，你可以把它理解成批量完成你指定命令的文件，它的扩展名为 .bat 或 .cmd，只要在文本文件中写入一些命令，并把它保存为.bat 或 .cmd格式，然后双击该文件，系统就会按文本文件中的命令逐条执行，这样可以节省你许多的时间。
2.编写批处理文件
打开记事本，然后输入如下命令：
@echo off
date /t d:3389.txt
attrib +s +h d:3389.bat
attrib +s +h d:3389.txt
time /t d:3389.txt
netstat -an |find "ESTABLISHED" |find ":3389" d:3389.txt
然后把文件保存为d:3389.bat，这里我解释一下悔培命令的意思，date和time是用于获取系统时间的，这样可以让你知道黑客在某天的某个时刻入侵。“attrib +s +h d:3389.bat”和“attrib +s +h d:3389.txt”这两个命令是用来隐藏3389.bat和3389.txt这两个文件的，因为在登录时，由于会启动d:3389.bat这个文件，所以会有一个CMD窗口一闪而过，有经验的黑客应该能判断出这窗口是记录用的，所以他可能会到处找这个记录文件，用了以上两个命令后，即使他用系统自带的搜索功能以3389为关键字进行搜索，也找不到上面3389.bat和3389.txt这两个文件，哈哈！很棒吧！至于“netstat -an |find "ESTABLISHED" |find ":3389" d:3389.txt”这个命令则是记录通过终端的连结状况的，明白了吧！
接下来我们要让系统启动时自动运行d:3389.bat这文件，我用的方法是修改注册表，依次展开：HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNTCurrentVersionWinlogon，找到“Userinit”这个键值，这个键值默认为c:WINNTsystem32userinit.exe，不知你注意到没有，在最后有一个逗号，我们要利用的就是这逗号，比如我上面写的3389.bat文件路径为d:3389.bat，那么我只要在逗号后面加上“d:3389.bat”即可，这样启动时3389.bat这文件就会运行，选这个键值的原因是因为它隐蔽，如果是加在Run键值下的话是很容易被发现的。最后提醒一点，键值末尾的逗号别忘了加上去哦！
4.查看记录
前面我们用了attrib命令把3389.bat和3389.txt这两个文件隐藏起来，下面我们来让它们重新显示。
打开CMD，切换到保存这两个文件的路径，这里是切换到“d:”目录，输入命令：attrib -s -h d:3389.bat和attrib -s -h d:3389.txt，这时再到d盘看看，是不是出现了？打开文件即可查看登录情况，从图中我们可以看出，10.51.5.36这IP连结到了我的3389端口（我的IP是10.51.5.35）。
三、记录黑客动作
有了以上两道防线，我们就能知道黑客的用户名、密码、以及入侵时的IP了，不过这样好像还不够，要是能知道黑客都干了些什么就更好了，下面我们再设置一个陷阱，这里要用到的工具是“计算机系统日志”。
下载地址：
该软件的特色就是可以在后台记录所有运行过的程序和窗口名称，并且有具体的时期，以及登录的用户名，很恐怖哦！下面咱们来设陷阱吧！
1.记录日志
双击压缩包内的主程序，点击“软件试用”进入主界面，在“日志文件保存路径”处点击“浏览”选择保存路径并进行命名，这里保存在c:winntlog.txt。然后钩选“日志记录随计算机自动启动”。
注意：
a.为了防止黑客找到记录日志的文件，你可以用上面提到的命令：attrib +s +h c:winntlog.txt进行隐藏。
b.最好不要将这个记录文件和上面的3389.txt放一个目录下，这样万一被发现其中一个，不至于使另一个也一同被发现。
c.软件在“任务管理器”的进程中显示名称为“syslog”，而且未注册版本会在20分钟后自动停止记录，所以只能用来对付菜鸟黑客啦！而且还得先花点“银子”，哈哈！
接下来在“程序密码保护”处输入一个复杂点的密码，点击“开始日志”。这时软件会提醒你隐藏后的热键为“Ctrl+Q”，请记住这个热键，以后要唤出软件时就得靠它了。
2.查看动作
想知道这样设置后记录下来的东西是什么样吗？那就快来看看吧。怎么样？对这种记录结果你还满意吗？
以上就是我比较推荐的三种方法了，都非常的实用，你不妨也试试哦！
黑客为什么总是晚上活动
黑客哪管啥时间啊，白埋迹悉天黑夜都有的。 只不过晚上多些，那是因为人们弯乎都睡觉了，州毁没人实时监控其不法行为，而且晚上网速要快一些，呵呵。还有就是我们是晚上，国外是白天哦。
如何才不会受到黑客攻击?
信息安全不仅仅需要防范病毒
如果您看过第一篇文章（），您大概已经知道我的观点：系统是永远不可能完全安全的—至少是，如果您要实际使用系统，它就不可能完全安全。另外一个我赞同的论点是（;query=lemmact=），除了蠕虫和病毒外，还有许多其他问题在威胁着信息安全性（虽然蠕虫和病毒是有区别的，但是这方面的专家仍在就它们之间存在什么区别而争论不休；在本文中，我们主要讨论一般的恶意代码，因此在文中将蠕虫和病毒作为同一种攻击类型对待，并将它们统称为“蠕虫”）。既然我们将始终关注蠕虫问题，为什么不能将它们统称为蠕虫呢？Sasser/Blaster/Lion/Trino/Ramen/Slapper 和其他蠕虫都有极强的破坏性，消除这些蠕虫需要巨大的花费。虽然有几个蠕虫属于例外（例如 Linux Ramen 蠕虫和 Code Red），但一般来说蠕虫本身是没有破坏性的。这不是说蠕虫不可能有破坏性，而是说在您处理蠕虫时，您基本上知道会有什么结果。许多人都感染了相同的蠕虫，至少一部分人能够消除蠕虫，这就免除了您的麻烦。
但是，其中一些蠕虫会在系统中开设后门—这些后门使得真正的恶意攻击者能对系统进行比蠕虫本身的行为恶劣得多的破坏。Nimda 就是这样的蠕虫。另一种 Linux 蠕虫 Slapper 也是如此。蠕虫在您的系统中开设后门之后，恶意攻击者即可通过 Internet 控制您的系统。此外，所有这些蠕虫都不会创建任何种类的日志文件，因此您无法得知别人通过后门进行了哪些操作。系统被核悉其中一种蠕虫感染之后，您就不能再信任该系统上的任何东西。事实上，一旦蠕虫成功地侵入了系统，您就应该将此视为不能再信任系统的征兆。另一种攻击很可能与蠕虫采用了相同的手段（攻击方式），并且可能已经对系统造成了比蠕虫本身更恶劣的哪中影响。关键是，我们不应该把太多的注意力放在蠕虫上，而是应该更加关注蠕虫利用的漏洞。
电子邮件蠕虫问题与此略有不同；它们基本上是第 8 层问题—它们利用的是用户，而不是技术漏洞。这意味着我们必须用不同的方法来处理电子邮件蠕虫—用户只要不双击电子邮件附件，就不会有这些问题。反过来，如果管理措施能够让用户禁止接收任何电子邮件附件，至少对那些不愿意学会不双击可疑附件的用户来说，就也不会出现这类问题了。在比较新的 Microsoft Exchange 和 Outlook 版本上，做到这点非常容易。当然，这些用户中的任何人也可能会双击恶意的特洛依木马，那可是自讨苦吃的问题了。如果系统感染了电子邮件蠕虫，只凭这个事实还不能充分证明该系统已经被一位主动攻击者像网络蠕虫（例如 Sasser）侵入系统时那样破坏了系统的安全性。
到一天快过去的时候，比起蠕虫来，我更加担心主动攻击者—主动攻击者可使用许多不同的手段来进入您的系统和网络。蠕虫问题可以采取一些相对简单的步骤来解决（现列举如下，但不一定要实施）：
• 确保在所有的相关修补程序发布之后都立即进行部署。
• 使用防火墙。
• 使用防病毒程序。如果您没有防病毒程序，请到 免费下载一个。有关如何在更大的环境中部署防病毒解决方案的详细信息，请参阅新的 Microsoft Antivirus Defense-in-Depth Guide（Microsoft 防病毒纵深防御指南），地址是 。
• 教育用户在检查邮件是否合法之前不要李氏山双击其中未经请求的附件；或者，禁止用户双击附件。
阻止蓄意的主动攻击者进入系统并不总是这么简单。此外，有些读者指出，我们并不总是有足够的备份来可靠地恢复系统。因此，检测系统是否已遭受危害就变得非常重要；如果答案是肯定的，则要判断系统受到了什么样的危害。这里有几种检测和判断方法。
返回页首
在没有备份的情况下抢救数据
使我夜不能寐的事情之一（除了小孩子的吵闹声或我乘坐的飞机的引擎噪音外）不是坏人有可能正站在我的门口，而是坏人已经登堂入室而我却不知道。我们都知道世界上坏人不少。在 Microsoft 最近举行的 Tech-Ed 会议上，一些犯罪组织“悬赏”50,000 美元奖励那些能够在会议期间摧毁网络的人。我们怎么知道这些人是不是位于系统内部？如果他们不够高明，他们会留下痕迹，比如新帐户、奇怪的文件和潜在的不稳定系统。目前，大多数攻击者都应该属于这一种；至少我希望他们是。但也有一些攻击者非常高明。他们在攻入系统之后会在操作系统中消失。他们会在根目录下安装一个组件，使得系统不再值得信任。Windows 资源管理器和命令行将不再显示系统中实际存在的文件。注册表编辑器也不反映真实情况。帐户管理器工具并不显示所有用户。在入侵的这个阶段，您不能再信任系统对其自身状况的报告了。此时，您需要采取恢复和重建方案（有些人把它叫做“推倒重建”）。系统现在已被完全损害。您能检测到攻击已经发生了吗？能检测到攻击者进行了哪些操作吗？
检测此类入侵有几个窍门。其中一个窍门是使用基于网络的入侵检测系统 (IDS)，它能跟踪进出您的网络的通信量。基于网络的 IDS 是中立的，如果它未被损害，它可以让您了解进出可疑系统的通信。全面讨论 IDS 系统超出了本文的范围；对我们中的大多数人来说，IDS 系统也超出了我们的直接需要。在许多情况下，实际上保证网络安全要比花时间实施 IDS 更有价值。我们的大多数网络都可能需要进行大量额外的安全工作，如果我们事先没能做到这一点，则肯定会得到许多有趣的 IDS 日志。
您也可以通过分析系统本身来检测到系统已被入侵，但是这涉及到一些深入的法庭辩论。例如，因为您不能信任系统本身，所以必须用中立介质引导系统，最好是只读的介质。选择之一是引导到 Windows PE，它是一个只有命令行的 CD 启动版本的 Windows XP 或 Windows Server 2003。但是通常很难获得 Windows PE。另一个选择是获得一个 Winternals ERD Commander 或 System Restore 副本 ()。这两个工具都基于 WinPE。ERD Commander 本质上是 WinPE 之上的一个 GUI，它为您提供了许多恢复崩溃系统的好工具。因为它是一个中立的安装，您可以信任该磁盘上的命令，由它告诉您可疑计算机上实际发生了什么情况。System Restore 是 ERD Commander 的扩展集，它也有对照基准检查系统的能力。例如，比如说您构建了一个 Web 服务器。一旦构建完成，您也就为系统状况创建了一个基准。将系统投入使用一段时间之后，您怀疑系统被黑了。例如，您可能检测到系统中发出了奇怪的网络通信量，于是决定对此展开分析。您可以让系统脱机，用恢复磁盘引导系统，然后比对最新的快照进行比较。这可以反映出已经发生的实际变化。但是，我们不能确定这些变化实际上是否代表入侵。您必须打电话请求技术帮助。
关于法庭辩论，最后要提醒的是：如果您真的相信已经受到入侵并想提起法律诉讼，您不应该自己独立进行辩论。请将系统断开，防止受损失范围扩大，然后邀请一位辩论专家。您有可能会毁灭证据并导致不被法庭采纳，这个风险会很大。如果您需要保留证据，请让专业人员来收集证据。
返回页首
在受到攻击之后恢复系统 – 有哪些有用的工具？
最后也是最重要的一个步骤：如果系统已经被黑了，怎样才能恢复服务并重新运行？这取决于系统的类型。首先，我不认为客户端备份有什么作用。网络中的客户端应该将它们的数据保存在服务器上；然后对服务器进行备份。如果客户端受到损害，可以重建客户端。服务器备份非常复杂。如果备份计划中包括客户端，则会使情况更为复杂，所以我们无须这样做。
但是很显然，在家庭环境或者非常小的网络中，这种观点是不适用的。在这样的环境中，我只使用少数几个内置的工具来生成最少数量的数据备份（不包括程序）。Windows XP 和 Windows 2000 自带了一个很好的备份工具。您可以用它将系统备份到任何媒介。在我看来，更简单的一个选择是使用“文件和设置转移向导”。每隔几个星期，我都会运行 Windows XP 中的“文件和设置转移向导”，为我的所有数据和配置文件创建备份副本。然后将这些备份烧制到 CD 上或者复制到另一个硬盘上。万一系统出现故障，只需几个小时即可重建系统，重新安装所有修补程序，然后用“文件和设置转移向导”恢复数据和配置文件。作为一种补充的安全措施，我还会用漫游配置文件来配置我家里的系统。该配置文件只漫游到同系统中的另一个硬盘，但是这种做法至少在发生硬盘故障的时候能够提供保护。但是，如果您感染的只是一般的病毒，用备份来恢复系统会有点小题大作。如果您只想清除病毒，请参见 Microsoft Antivirus Defense-in-Depth Guide（Microsoft 防病毒纵深防御指南）()，了解具体操作步骤。
在规模更大的网络上，我们需要服务器备份。完整的备份计划和过程超出了本文的讨论范围。但是，许多读者在对上一篇文章的评论中提到，不论我们怎么计划备份，我们仍经常没有足够的备份，因此不得不设法从被损害的系统中恢复数据。这有几个窍门。首先，找出最后一次值得信任的备份，并将该备份中的数据恢复到一个隔离的替代系统中。然后将数据从被损害的系统中复制到隔离的替代系统中。接下来，使用 Windiff 这样的差别比对工具运行备份差别比对，比较它与被损害的系统在数据上有什么不同。记住，必须先用前面介绍过的方法用中立介质引导被损害的系统，然后才能进行这个比较；否则备份也有可能被损害。对于已经被变更的每一项，请查明数据所有者。接下来的任务就是让数据所有者证明这种差异是否正常。如果他们接受了这些差异，则将数据逆向集成到受信任的备份中。这是一个复杂而费时的过程，但只有这样才能保证新系统获得所需的数据，而不是简单地将受到损害的信息恢复到新系统。如果您只是从被损害的备份中恢复数据，那么最好的情况也只是获得不可信任的数据。在最坏的情况下，您只能创建另一个被损害的系统。
返回页首
结论
我在上面简要介绍的过程的确是一个痛苦的过程。这一点毫无疑问。我唯一能说的是“别激活即时信使程序。”这正是我们花费大量精力查明如何预防系统被黑的原因。让服务恢复正常的过程是痛苦的。相比较而言，从长期效果看，防止被黑的痛苦要少得多，而且这使您不得不恢复系统的可能性要小得多。在以后的专栏里，我们将重新更多地提供指导说明，帮助您尽量减少对恢复的依赖。
我们一如既往地为您撰写这个专栏。如果您想讨论某个内容，或者您认为有什么方式能让我们更好地帮助您保护系统安全，请告诉我们。您只需单击下面的“评论”链接，并给我们发来您的评论。
参考资料：
去下个防火墙吧