互聯網早已不是純淨樂園，掛馬網頁、木馬程序、釣魚郵件、拒絕服務攻擊、隱私竊取無處不在。作為普通網民，掌握基礎網絡知識、構建安全作業系統、養成安全操作習慣，是自我保護的唯一出路。本手冊上篇涵蓋網絡基礎認知、IP/端口/協議原理、代理與匿名、安全作業系統構建三大模塊。
| 端口 | 協議 | 服務 | 風險提示 |
|---|
| 21 | TCP | FTP | 明文傳輸帳號密碼，建議 SFTP/FTPS |
| 22 | TCP | SSH | 暴力破解高發，禁用密碼登入、啟用金鑰、修改端口、Fail2ban |
| 23 | TCP | Telnet | 極度危險，明文全裸，嚴禁暴露公網 |
| 25/110/143 | TCP | SMTP/POP3/IMAP | 郵件傳輸，需 STARTTLS/SSL 加密 |
| 53 | UDP/TCP | DNS | 開放遞歸查詢易被放大攻擊，需限制遞歸 |
| 80/443 | TCP | HTTP/HTTPS | Web 服務，WAF 防護、HSTS、CSP |
| 135/139/445 | TCP | RPC/NetBIOS/SMB | 內網橫向移動核心端口，嚴禁對公網開放 |
| 1433/3306/5432/6379/27017 | TCP | SQL Server/MySQL/PostgreSQL/Redis/MongoDB | 數據庫端口，僅內網訪問、強認證、審計 |
| 3389 | TCP | RDP | 遠程桌面，修改端口、NLA、IP 白名單、堡壘機 |
| 5900 | TCP | VNC | 弱認證高發，建議 SSH 隧道 + 金鑰認證 |
| 8080/8888/9000 | TCP | 代理/管理界面 | 常見弱口令/未授權訪問，嚴格存取控制 |
原則：非業務必要端口一律關閉，業務端口最小權限開放，管理端口僅限管理網段/VPN/堡壘機訪問
4. 判斷對方是否在線：Ping 與其局限
ping 202.102.224.25
Reply from 202.102.224.25: bytes=32 time=12ms TTL=52 ← 在線
Request timed out. ← 離線/防火牆封禁 ICMP/路由不可達
⚠️ Ping 不通 ≠ 離線：防火牆常封禁 ICMP；Ping 通 ≠ 服務可用：主機在線但目標端口服務可能掛起。
5. 代理服務器：隱藏 IP 的雙刃劍
- 正向代理：客戶端配置代理 → 代理轉發請求 → 目標服務器見代理 IP。分類：透明/匿名/高匿 (Elite)
- 反向代理：服務器前端部署 (Nginx/HAProxy) → 隱藏真實後端、負載均衡、WAF
- 鏈式代理/VPN/Tor：多跳遞隱藏真實源頭，但延遲高、出口節點可見流量明文
- 風險：免費代理多為蜜罐/流量劫持/注入廣告/竊取賬號；代理服務商可見你所有明文流量
6. TCP vs UDP：可靠與高效的權衡
| 特性 | TCP (Transmission Control Protocol) | UDP (User Datagram Protocol) |
|---|
| 連接性 | 面向連接，三次握手建立 | 無連接，即發即走 |
| 可靠性 | 序號、確認、重傳、流控、擁塞控制，保證有序無誤送達 | 不可靠，不保證送達/順序/不重複 |
| 頭部開銷 | 20+ 字節 | 8 字節 |
| 典型應用 | HTTP/HTTPS、SSH、FTP、SMTP、郵件、數據庫 | DNS、DHCP、NTP、視頻會議、直播、遊戲、VoIP、QUIC (HTTP/3) |
| 安全啟示 | SYN Flood、TCP 劫持、RST 攻擊 | UDP Flood、放大攻擊 (DNS/NTP/SSDP)、IP 欺騙易發 |
模塊二：IP 隱藏的真相與誤區
結論：在 TCP 協議下，真正隱藏源 IP 幾乎不可能。
- TCP 需三次握手，偽造源 IP 將導致 SYN+ACK 發往偽造地址，無法完成握手，無法建立雙向通訊
- UDP 可偽造源 IP 發送單向數據 (如 DNS 放大、NTP 放大、掃描)，但無法接收響應
- Windows 9x/Me/NT/2000/XP 用戶態 Winsock 不支持原始 Socket 構造 IP 頭；Linux/Unix/Win2K+ Raw Socket 需 root/管理員權限
- 真正匿名需依賴可信代理鏈/VPN/Tor，並解決 DNS 洩露、WebRTC 洩露、指紋識別等側信道問題
模塊三：構建安全作業系統基線 (Win9x/NT/2000/XP 通用原則)
1. 修補已知漏洞：時間賽跑
- 訂閱廠商安全公告 (Microsoft Security Bulletin、CVE、CERT/CC)
- 啟用自動更新，關鍵補丁 48h 內部署 (測試驗證後)
- 重點關注：IE/Edge、Office、SMB/RPC、內核驅動、字體解析、打印後台處理程序
2. 禁用危險服務與組件
| 服務/組件 | 風險 | 操作 |
|---|
| IIS / Personal Web Server | WebDAV、ASP、ISAPI 濾波器漏洞頻出 | 非 Web 服務器嚴禁安裝，已安裝→停用/刪除 |
| 文件和打印機共享 (Server/Workstation) | IPC$、ADMIN$、C$ 共享暴露 SMB 攻擊面 | 非局域網環境禁用；必須啟用→強密碼、限制訪問 IP、啟用 SMB 簽名 |
| 遠程註冊表 (Remote Registry) | 遠程讀寫註冊表，極高風險 | 禁用服務，註冊表 HKLM\SYSTEM\CurrentControlSet\Services\RemoteRegistry\Start=4 |
| 通用即插即用 (UPnP) | 自動端口映射，惡意軟體常利用穿透 NAT | 路由器/系統雙重禁用 |
| 簡單文件共享 (XP) | 無密碼訪問共享 | 「工具」→「資料夾選項」→「檢視」→ 取消勾選「使用簡單文件共享」 |
3. 硬化 TCP/IP 協議棧 (註冊表/網絡適配器屬性)
; 防止 TCP 連接耗盡 (SynAttackProtect)
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
"SynAttackProtect"=dword:00000002
"TcpMaxHalfOpen"=dword:000001f4
"TcpMaxHalfOpenRetried"=dword:000000f0
; 禁用 ICMP 重定向接受/發送
"EnableICMPRedirect"=dword:00000000
"SendICMPRedirect"=dword:00000000
; 禁用源路由
"DisableIPSourceRouting"=dword:00000002
; 強化 IGMP/多播
"IGMPLevel"=dword:00000000
4. 個人防火牆：單機邊界守門人
- 推薦：Windows Defender 防火牆 (內建、免費、整合佳)、Comodo、ZoneAlarm、TinyWall (輕量規則管理)
- 策略：出站預設拒絕，僅放行瀏覽器、郵件客戶端、更新程序、VPN 等受信程序
- 規則命名規範：
[方向]_[程序/端口]_[用途]_[允許/拒絕]，如 OUT_chrome_HTTPS_ALLOW
- 啟用日志記錄被拒絕/允許連接，定期審計
5. 瀏覽器安全配置 (以 IE 為例，現代瀏覽器同理)
- 安全級別：「Internet」區域 → 「自定義級別」→ 禁用 ActiveX、腳本運行提示、二進制行為
- 隱私：「高級」→ 覆蓋自動 Cookie 處理 → 提示/阻擋第三方 Cookie
- 內容：禁用自動完成、清除表單/密鉆、配置憑證撤銷檢查
- 現代瀏覽器：uBlock Origin + HTTPS Everywhere + Cookie AutoDelete + Canvas Blocker
常見 DoS 攻擊工具識別與應對 (歷史回顧，理解原理)
- WinNuke：發送 OOB (Out-of-band) 數據觸發藍屏 (Win95 未修補)
- Bonk/Boink：偽造 UDP 碎片包導致重組錯誤崩潰 (Win95/NT4)
- Teardrop：IP 碎片偏移重疊導致重組緩衝區溢出
- Land：源/目 IP/端口相同的 SYN 包導致系統死循環
- Smurf/Fraggle：廣播放大 ICMP/UDP 洪水
- 現代防禦：內核協議棧修補、防火牆/路由器過濾異常標志位/碎片、啟用 SynCookie、限速、Anycast 清洗
安全作業系統不是安裝幾個軟體就能得來的，而是精簡服務、修補漏洞、硬化配置、部署防火牆、審計日志、持續監控的系統工程。下篇將深入講解「網絡攻擊識別與應對」、「數據備份與加密」、「隱私保護進階」等實戰主題。
copyright ©
萬盛學電腦網 all rights reserved