1.我的源码电脑感染了病毒,用瑞星查说文件名叫acpidisk.sys,病毒名叫Rootkit.win32.Mie.a，请问怎么杀？
2.tripwire使用方法
3.aide高级入侵检测环境
4.最佳的源码75个网络安全工具
我的电脑感染了病毒,用瑞星查说文件名叫acpidisk.sys,病毒名叫Rootkit.win32.Mie.a，请问怎么杀？
Rootkit是源码一种奇特的程序，它具有隐身功能：无论静止时（作为文件存在），源码还是源码活动时，（作为进程存在），源码游戏源码资源区都不会被察觉。源码换句话说，源码这种程序可能一直存在于我们的源码计算机中，但我们却浑然不知，源码这一功能正是源码许多人梦寐以求的——不论是计算机黑客，还是源码计算机取证人员。黑客可以在入侵后置入 Rootkit，源码秘密地窥探敏感信息，源码或等待时机，源码伺机而动；取证人员也可以利用Rootkit实时监控嫌疑人员的不法行为，它不仅能搜集证据，还有利于及时采取行动。！
一、背景知识
我们通常所说的智能机器，大至超级计算机，中到个人PC，小至智能手机，通常都有两部分组成：硬件和软件。并且，设备的智能是通过软件来实现的。所有软件中，有一种是必不可少的，那就是操作系统。操作系统可以简单理解为一组高度复用的核心程序，一方面，它要管理低层的硬件设备，另一方面，为上层其它程序提供一个良好的运行环境。真是同人不同命，同为软件，操作系统却享有至高无上的特权：它不仅管理硬件，而且其他所有软件也都受制于它。
因为在应用程序和硬件之间隔着操作系统，所以应用程序不能直接访问硬件，而是通过调用操作系统提供的接口来使用硬件。也就是说，对应用程序而言，硬件是不可见的。当然，凡事是没有绝对的，应用程序绕过操作系统来直接访问硬件也不是不可能的，但这样做会付出高昂的代价。设想一个软件开发商在开发一款功能丰富的软件，功能本身就够他头痛得了，现在他还得操心某个数据在某个磁道的某个簇上，某个字符在某品牌显示器上的颜色的二进制代码等等繁琐的事情，不用说财力和物力，单说开发周期就是无法容忍的。所以，现在的应用程序都是使用操作系统提供的简单明了的服务来访问系统的，因为毕竟没有谁愿意自讨苦吃。
二、内核的主要功能
从上文中我们已经了解，内核在系统中处于核心枢纽的校园小程序源码地位，下面我们具体介绍内核中与Rootkit紧密相关的几个主要功能，更重要的是这些功能对Rootkit的意义所在：
进程管理。进程可以简单理解为运行中的程序，它需要占用内存、CPU时间等系统资源。现在的操作系统大多支持多用户多任务，也就是说系统要并行运行多个程序。为此，内核不仅要有专门代码来负责为进程或线程分配CPU时间，另一方面还要开辟一段内存区域存放用来记录这些进程详细情况的数据结构。内核是怎么知道系统中有多少进程、各进程的状态等信息的？就是通过这些数据结构，换句话说它们就是内核感知进程存在的依据。因此，只要修改这些数据结构，就能达到隐藏进程的目的。
文件访问。文件系统是操作系统提供的最为重要的功能之一。内核中的驱动程序把设备的柱面、扇区等原始结构抽象成为更加易用的文件系统，并提供一个一致的接口供上层程序调用。也就是说，这部分代码完全控制着对硬盘的访问，通过修改内核的这部分代码，攻击者能够隐藏文件和目录。
安全控制。对大部分操作系统来说，因为系统中同时存在多个进程，为了避免各进程之间发生冲突，内核必须对各进程实施有效的隔离措施。比如，在MS- Windows系统中，每个进程都被强制规定了具体的权限和单独的内存范围。因此，对攻击者而言，只要对内核中负责安全事务的代码稍事修改，整个安全机制就会全线崩溃。
内存管理。现在的硬件平台（比如英特尔的奔腾系列处理器）的内存管理机制已经复杂到可以将一个内存地址转换成多个物理地址的地步。举例来说，进程A按照地址 0x读取内存，它得到值的是“飞机”；然而，进程B也是按照同样的地址0x来读取内存，但它取得的值却是“大炮”。像上面这样，同一个地址指向截然不同的两个物理内存位置，并且每个位置存放不同的数据这种现象并不足以为怪——只不过是两个进程对虚拟地址到物理地址进行了不同的映射而已。如果这一点利用好了，我们可以让Rootkit躲避调试程序和取证软件的追踪。
上面介绍了内核的主要功能，以及它们对 Rootkit的重大意义。说到这里，我们就要切入正题了，即：只要我们颠覆（即修改）了操作系统的核心服务（即内核），那么整个系统包括各种应用就完全处于我们的掌控之下了。要想颠覆内核，前提条件是能把我们的代码导入内核。
其中针对SunOS和Linux两种操作系统的rootkit最多(树大招风:P)。所有的rootkit基本上都是由几个独立的程序组成的，一个典型rootkit包括：
1 以太网嗅探器程程序，模版堂整站源码用于获得网络上传输的用户名和密码等信息。
2 特洛伊木马程序，例如：inetd或者login，为攻击者提供后门。
3 隐藏攻击者的目录和进程的程序，例如：ps、netstat、rshd和ls等。
4 可能还包括一些日志清理工具，例如：zap、zap2或者z2，攻击者使用这些清理工具删除wtmp、utmp和lastlog等日志文件中有关自己行踪的条目。
一些复杂的rootkit还可以向攻击者提供telnet、shell和finger等服务。
还包括一些用来清理/var/log和/var/adm目录中其它文件的一些脚本。
攻击者使用rootkit中的相关程序替代系统原来的ps、ls、netstat和df等程序，使系统管理员无法通过这些工具发现自己的踪迹。接着使用日志清理工具清理系统日志，消除自己的踪迹。然后，攻击者会经常地通过安装的后门进入系统查看嗅探器的日志，以发起其它的攻击。如果攻击者能够正确地安装 rootkit并合理地清理了日志文件，系统管理员就会很难察觉系统已经被侵入，直到某一天其它系统的管理员和他联系或者嗅探器的日志把磁盘全部填满，他才会察觉已经大祸临头了。但是，大多数攻击者在清理系统日志时不是非常小心或者干脆把系统日志全部删除了事，警觉的系统管理员可以根据这些异常情况判断出系统被侵入。不过，在系统恢复和清理过程中，大多数常用的命令例如ps、df和ls已经不可信了。许多rootkit中有一个叫做FIX的程序，在安装 rootkit之前，攻击者可以首先使用这个程序做一个系统二进制代码的快照，然后再安装替代程序。FIX能够根据原来的程序伪造替代程序的三个时间戳 (atime、ctime、mtime)、date、permission、所属用户和所属用户组。如果攻击者能够准确地使用这些优秀的应用程序，并且在安装rootkit时行为谨慎，就会让系统管理员很难发现。
LINUX ROOTKIT IV
前面说过，大部分rootkit是针对Linux和SunOS的，下面我们介绍一个非常典型的针对Linux系统的rootkit--Linux Rootkit IV。Linux Rootkit IV是一个开放源码的rootkit，是Lord Somer编写的，于年月发布。不过，它不是第一个Linux Rootkit，在它之前有lrk、lnrk、lrk2和lrk3等Linux Rootkit。强度比源码公式这些rootkit包括常用的rootkit组件，例如嗅探器、日志编辑/删除工具、和后门程序的。
经过这么多年的发展，Linux Rootkit IV功能变的越来越完善，具有的特征也越来越多。不过，虽然它的代码非常庞大，却非常易于安装和使用，只要执行make install就可以成功安装。如果你还要安装一个shadow工具，只要执行make shadow install就可以了。注意：Linux Rootkit IV只能用于Linux 2.x的内核。下面我们简单地介绍一下Linux Rootkit IV包含的各种工具，详细的介绍请参考其发布包的README文件。
隐藏入侵者行踪的程序
为了隐藏入侵者的行踪，Linux Rootkit IV的作者可谓煞费心机，编写了许多系统命令的替代程序，使用这些程序代替原由的系统命令，来隐藏入侵者的行踪。这些程序包括：
ls、find、du
这些程序会阻止显示入侵者的文件以及计算入侵者文件占用的空间。在编译之前，入侵者可以通过ROOTKIT_FILES_FILE设置自己的文件所处的位置，默认是/dev/ptyr。注意如果在编译时使用了SHOWFLAG选项，就可以使用ls -/命令列出所有的文件。这几个程序还能够自动隐藏所有名字为：ptyr、hack.dir和W4r3z的文件。
ps、top、pidof
这几个程序用来隐藏所有和入侵者相关的进程。
netstat
隐藏出/入指定IP地址或者端口的网络数据流量。
killall
不会杀死被入侵者隐藏的进程。
ifconfig
如果入侵者启动了嗅探器，这个程序就阻止PROMISC标记的显示，使系统管理员难以发现网络接口已经处于混杂模式下。
crontab
隐藏有关攻击者的crontab条目。
tcpd
阻止向日志中记录某些连接
syslogd
过滤掉日志中的某些连接信息
木马程序
为本地用户提供后门，包括：
chfn
提升本地普通用户权限的程序。运行chfn，在它提示输入新的用户名时，如果用户输入rookit密码，他的权限就被提升为root。默认的rootkit密码是satori。
chsh
也是一个提升本地用户权限的程序。运行chsh，在它提示输入新的shell时，如果用户输入rootkit密码，他的权限就被提升为root。
passwd
和上面两个程序的作用相同。在提示你输入新密码时，如果输入rookit密码，权限就可以变成root。
login
允许使用任何帐户通过rootkit密码登录。如果使用root帐户登录被拒绝，可以尝试一下rewt。当使用后门时，小程序源码 拍照这个程序还能够禁止记录命令的历史记录。
木马网络监控程序
这些程序为远程用户提供后门，可以向远程用户提供inetd、rsh、ssh等服务，具体因版本而异。随着版本的升级，Linux Rootkit IV的功能也越来越强大，特征也越来越丰富。一般包括如下网络服务程序：
inetd
特洛伊inetd程序，为攻击者提供远程访问服务。
rshd
为攻击者提供远程shell服务。攻击者使用rsh -l rootkitpassword host command命令就可以启动一个远程root shell。
sshd
为攻击者提供ssh服务的后门程序。
工具程序
所有不属于以上类型的程序都可以归如这个类型，它们实现一些诸如：日志清理、报文嗅探以及远程shell的端口绑定等功能，包括：
fix
文件属性伪造程序
linsniffer
报文嗅探器程序。
sniffchk
一个简单的bash shell脚本，检查系统中是否正有一个嗅探器在运行。
wted
wtmp/utmp日志编辑程序。你可以使用这个工具编辑所有wtmp或者utmp类型的文件。
z2
utmp/wtmp/lastlog日志清理工具。可以删除utmp/wtmp/lastlog日志文件中有关某个用户名的所有条目。不过，如果用于Linux系统需要手工修改其源代码，设置日志文件的位置。
bindshell rootkit
在某个端口上绑定shell服务，默认端口是。为远程攻击者提供shell服务。
如何发现rootkit
很显然，只有使你的网络非常安装让攻击者无隙可乘，才能是自己的网络免受rootkit的影响。不过，恐怕没有人能够提供这个保证，但是在日常的网络管理维护中保持一些良好的习惯，能够在一定程度上减小由rootkit造成的损失，并及时发现rootkit的存在。
首先，不要在网络上使用明文传输密码，或者使用一次性密码。这样，即使你的系统已经被安装了rootkit，攻击者也无法通过网络监听，获得更多用户名和密码，从而避免入侵的蔓延。
使用Tripwire和aide等检测工具能够及时地帮助你发现攻击者的入侵，它们能够很好地提供系统完整性的检查。这类工具不同于其它的入侵检测工具，它们不是通过所谓的攻击特征码来检测入侵行为，而是监视和检查系统发生的变化。Tripwire首先使用特定的特征码函数为需要监视的系统文件和目录建立一个特征数据库，所谓特征码函数就是使用任意的文件作为输入，产生一个固定大小的数据(特征码)的函数。入侵者如果对文件进行了修改，即使文件大小不变，也会破坏文件的特征码。利用这个数据库，Tripwire可以很容易地发现系统的变化。而且文件的特征码几乎是不可能伪造的，系统的任何变化都逃不过 Tripwire的监视(当然，前提是你已经针对自己的系统做了准确的配置:P，关于Tripwire和aide的使用请参考本站的相关文章)。最后，需要能够把这个特征码数据库放到安全的地方。
rootkit类病毒是极难处理的，采用rootkit技术的病毒可以很好的隐藏自身，资源管理器甚至查不到这个路径，就算你打开查看所有文件也是这样。
按杀毒软件提供的路径，记下来 （这种类型的病毒，杀软查杀时一般会报Windows/system/drivers文件夹下的一个****.sys文件是病毒文件的）
1.下载一个软件：冰刃(/website///.html)
这是一个绿色软件，下载解压缩后即可使用。
2.在冰刃左侧的栏里通过“文件”直接定位到这个文件所在的文件夹下，找到这个文件。
3.通过按钮“创建时间”对这个文件夹下的文件进行排序，仔细查看与这个文件在创建时间是同一天的所有文件（但是不是都是与它一样是病毒文件，需要你判断）。右击它们一一删除。用同样的方法排查下system文件夹，看看有没有同名的.dll文件存在，有的话，一并删除。
4.搜索注册表里这个文件的键值，删除搜索到的－－如果有的话。
5.重启电脑，这个东西应该清除干净了。
另外，你如果嫌上面的方法比较麻烦的话，你可以下载一个超级巡警来扫描查杀这一类的病毒，安装好这个软件后，点击：设置，选择扫描选设置下的特殊模块，勾选这个选项里的2个选项。然后重启这个软件，一般就可以将这一类的病毒清除了。
6、直接下载个AVG Anti-spyware7.5在安全模式下查杀就ok了！！
7.下载一个解锁软件,在找到sys病毒文件后将他解锁再将他删除就可以了,这个苦头兄弟我也是吃过呢,郁闷啊,祝好运呢
unlocker下载地址:/soft/.htm
tripwire使用方法
Tripwire是一款最为常用的开放源码的完整性检查工具，它生成目标文件的校验和并周期性的检查文件是否被更改。下面我们简单介绍一下 Tripwire的运行机理。与大多数完整性检查程序相同，对于需要监视的文件，Tripwire会使用校验和来为文件的某个状态生成唯一的标识（又称为 "快照"），并将其存放起来以备后用。当Tripwire程序运行时，它先计算新的标识，并于存放的原标识加以比较，如果发现不匹配的话，它就报告系统管理人员文件已经被修改。接下来，系统管理员就可以利用这个不匹配来判断系统是否遭到了入侵。例如，如果Tripwire已经为/bin/login和 /bin/ls存放了快照，那么对它们的尺寸、inode号、权限以及其他属性的任何修改，都逃不过Tripwire的火眼金睛。尤其是对于文件内容的修改，即使只改变了一个字节，Tripwire也能察觉得到，因为校验和是针对文件整体的。
aide高级入侵检测环境
AIDE(Advanced Intrusion Detection Environment) 是一个高级入侵检测环境工具，主要用于检测文档的完整性。AIDE能够构建一个指定文档的数据库，通过使用aide.conf配置文件进行配置。AIDE数据库能够保存文档的各种属性，包括权限、索引节点序号、所属用户、所属用户组、文档大小、最后修改时间、创建时间、最后访问时间、增加的大小以及连接数。此外，AIDE还能够使用多种算法（如sha1、md5、rmd、tiger）以密文形式建立每个文档的校验码或散列号。 在系统安装完毕，连接到网络之前，系统管理员应建立新系统的AIDE数据库。这一数据库是系统的一个快照，用于作为系统升级的基准。数据库应包含关键系统二进制可执行程序、动态链接库、头文档以及其它始终不变的文档。不应保存经常变动的文档信息，如日志文档、邮件、/proc文档系统、用户起始目录及临时目录。 一旦系统被入侵，系统管理员可能会使用诸如ls、ps、netstat及who等系统工具进行检查，但这些工具可能已被特洛伊木马程序替换。修改后的ls程序将不会显示任何与入侵相关的文档信息，ps也不会显示任何入侵进程的信息。即使系统管理员已将关键系统文档的日期、大小等信息打印在纸上，也可能无法通过比较确定它们是否被修改，因为这些信息很容易改变，而一些高级rootkit能够轻松伪造这些信息。 尽管文档的日期、大小等信息可能被伪造，但伪造文档的加密校验码（如sha1）则非常困难，更不用说伪造AIDE支持的任何校验码了。在系统被入侵后，只需重新运行AIDE，就能快速识别出哪些关键文档被攻击者修改过。 然而，应注意的是，AIDE可执行程序的二进制文档本身也可能被修改或数据库被修改，因此，应将AIDE的数据库存储在安全位置，并在检查时使用确保未被修改的程序。AIDE的快速安装步骤包括解压源代码包、配置编译选项、编译及安装。 配置AIDE涉及建立配置文档aide.conf，其语法与Tripwire的配置文档类似。配置文档中的内容大小写敏感，开头和结尾的空格被忽略。文档包含三种类型的语句：配置选项、选择选项及宏。配置选项用于定义数据库的参数，选择选项用于选择加入数据库的文档，而宏用于定义变量。 配置选项的一般格式为参数=值，包含数据库、数据库输出、输出信息级别、报告URL、数据库压缩等参数。选择选项有三种类型：常规选择、否定选择及等于选择，它们用于匹配文档名。宏用于定义、取消定义变量、进行逻辑判断及使用变量值。 AIDE支持多种完整性检验算法，包括md5、sha1、rmd、tiger等，并允许将数据库输出到标准输出设备或文档。使用AIDE时，首先要建立数据库，以便将来进行检查。可以通过指定参数如--init、--check、--update等进行操作。此外，AIDE还支持命令参数和选项参数，如配置文件、报告输出URL、版本号查询、帮助信息等。 总的来说，AIDE是一个功能全面的入侵检测工具，通过多种算法保护文档完整性，帮助系统管理员检测和预防潜在的入侵行为。通过正确的配置和使用，AIDE能够在系统安全维护中发挥重要作用。扩展资料
AIDE(Adevanced Intrusion Detection Environment,高级入侵检测环境)是个入侵检测工具，主要用途是检查文档的完整性。最佳的个网络安全工具
在这个纷繁复杂的网络世界中，为了保护你的系统和数据安全，拥有一套强大而可靠的网络安全工具显得尤为重要。以下是一些最佳的个网络安全工具，它们涵盖了风险评估、协议检测、入侵防护，以及网络审计等多个方面，确保你的网络防线坚固如铁。
**1. Nessus** - 作为开源的风险评估工具，Nessus在Linux/BSD/Unix平台上支持远程安全扫描，能够生成详尽的报告并提供改进建议，是安全检查的得力助手。
**2. Tenable** - 这家公司专注于网络安全暴露管理，提供全面的解决方案，帮助企业实时监控网络安全状况。
**3. Ethereal** - 这款网络协议检测工具，开源且跨Unix/Windows平台，交互式数据包分析能力强大，对网络通信有深入洞察。
**4. Snort** - 作为入侵检测系统，Snort以开源著称，能对IP网络进行深入分析和协议/内容检测，防止潜在威胁。
**5. Netcat** - 作为基础的网络工具，Netcat支持TCP/UDP连接，是网络调试和探测的必备工具。
**6. TCPDump/WinDump** - 作为网络监测和数据收集工具，它们在命令行中表现出色，跨平台适应力强。
**7. Hping2** - 这个网络探测工具支持多种协议包发送，还具备traceroute功能，让你轻松测试网络连接。
**8. DSniff** - 用于网络审计和渗透测试，能够监视和分析网络数据，提供深入的网络安全洞察。
**9. SSHmitm, webmitm** - 以及商业工具如GFI LANguard、Ettercap和Whisker/Libwhisker，它们在数据交换和MITM攻击防范中扮演重要角色。
**. SSH, OpenSSH** - 开源和商业的SSH/SSH协议保证了远程登录的安全，而Sam Spade和ISS Internet Scanner则在应用层风险评估中提供支持。
**. Tripwire** - 这个开源工具提供数据完整性监控，商业版本则在Linux上更胜一筹，是Nessus的替代品。
**. Linux/BSD/Unix/Windows平台** - 你的选择范围广泛，适应不同操作系统。
**. Nikto** - 开源的web安全扫描工具，有助于检测潜在的漏洞。
**. Kismet** - 无线嗅探工具，针对Wi-Fi和蓝牙设备，商业版本功能更全面。
**. SuperScan** - 作为Windows上的免费端口扫描器，McAfee提供强大的防护。
**. L0phtCrack** - 这款口令审计工具在破解口令方面独具优势。
**. Retina** - 商业风险评估工具BeyondTrust，提供深度的安全评估。
**. Netfilter** - Linux内核防火墙iptables，状态检测和NAT功能强大。
**. traceroute/ping/telnet/whois** - 基础命令，跨平台且实用。
**. Fport** - Windows上的增强netstat，专为Windows设计。
**. SAINT** - 商业风险评估工具，曾开源，适用于UNIX类平台。
**. Network Stumbler** - 无线接入点搜索工具，Windows版本，Kismet在UNIX上更受欢迎。
**. SARA** - SATAN的衍生工具，开源，支持Linux/BSD/Unix。
**. N-Stealth** - 商业Web扫描工具，Windows专属，源代码不公开。
**. AirSnort** - 无线WEP密码破解工具，多平台可用。
**. NBTScan** - 收集Windows网络信息的工具，开源，跨平台。
**. GnuPG/PGP** - 加密库，开源/商业，适用于所有主要平台。
**. OpenSSL** - 用于SSL/TLS加密的开源库，广泛支持。
**. NTop** - 显示网络流量的开源工具，适合监控网络使用情况。
**. Nemesis** - 命令行工具，用于测试网络设备，Linux专用。
**. LSOF** - Unix的诊断工具，列出系统打开的文件，开源。
**. Hunt** - Linux上的高级包嗅探工具，用于会话劫持。
**. Honeyd** - 个人 honeynet 实验平台，提供虚拟主机模拟，开源。
**. Achilles** - 代理服务器测试工具，开源，Windows可用。
**. Brutus** - 网络认证破解工具，字典攻击支持，免费下载（Windows）。
**. Stunnel** - 多用途SSL加密外壳，开源，跨平台。
**. Paketto Keiretsu** - TCP/IP工具集合，开源，功能丰富。
**. Fragroute** - 损坏IDS工具，开源，支持多种平台。
**. SPIKE Proxy** - 用于web安全检测的开源HTTP代理。
**. THC-Hydra** - 网络认证破解工具，开源，适合多种平台。
**. Nessus功能的补充** - 包括OpenBSD、TCP Wrappers、pwdump3等工具，涵盖了更多安全细节。
通过这些工具，你可以全面地保护你的网络环境，确保安全无虞。每个工具都有其独特的优势，可根据你的具体需求来选择和部署。记住，安全永远是网络世界中的首要任务。