本地安全策略怎样设置,才能不用杀毒软件安全上网.

Question

本地安全策略怎样设置,才能不用杀毒软件安全上网.

我是单用户,不需要打印,也不需要再更新,再安装...
我还是相信我的想法是行得通的，想知道一些有指导性的建议。

Answer 1

对于大部分计算机用户来说，管理计算机基本上是借助某些第三方工具，甚至是自己手工修改注册表来实现。其实Windows
XP组策略已经把这些功能集于一体，通过组策略及相关工具完全可以实现我们所需要的功能。
一、组策略基础
1.什么是组策略
注册表是Windows系统中保存系统软件和应用软件配置的数据库，而随着Windows功能越来越丰富，注册表里的配置项目也越来越多，很多配置都可以自定义设置，但这些配置分布在注册表的各个角落，如果是手工配置，可以想像是多么困难和烦杂。而组策略则将系统重要的配置功能汇集成各种配置模块，供用户直接使用，从而达到方便管理计算机的目的。
其实简单地说，组策略设置就是在修改注册表中的配置。当然，组策略使用了更完善的管理组织方法，可以对各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活，功能也更加强大。
2.组策略的版本
对于Windows 9X/NT用户来说，都知道“系统策略”的概念，其实组策略就是系统策略的高级扩展，它是自Windows
9X/NT的“系统策略”发展而来的，具有更多的管理模板、更灵活的设置对象及更多的功能，目前主要应用于Windows
2000/XP/2003操作系统中。
早期系统策略的运行机制是通过策略管理模板，定义特定的POL(通常是Config.pol)文件。当用户登录时，它会重写注册表中的设置值。当然，系统策略编辑器也支持对当前注册表的修改，另外也支持连接网络计算机并对其注册表进行设置。
而组策略及其工具，则是对当前注册表进行直接修改。显然，Windows
2000/XP/2003系统的网络功能是其最大的特色之处，所以其网络功能自然是不可少的，因此组策略工具还可以打开网络上的计算机进行配置，甚至可以打开某个Active
Directory(活动目录)对象(即站点、域或组织单位)并对其进行设置。这是以前“系统策略编辑器”工具无法做到的。
当然，无论是“系统策略”还是“组策略”，它们的基本原理都是修改注册表中相应的配置项目，从而达到配置计算机的目的，只是它们的一些运行机制发生了变化和扩展而已。
3.在Windows
XP中运行组策略
在Windows
2000/XP/2003系统中，系统默认已经安装了组策略程序，在“开始”菜单中，单击“运行”选项，在打开的对话框中输入“gpedit.msc”并确定，即可运行组策略。如图1所示。
使用上面的方法，打开的组策略对象是当前的计算机，而如果需要配置其他的计算机组策略对象，则需要将组策略作为独立的MMC管理单元打开：
(1)打开Microsoft管理控制台(可在“开始”菜单的“运行”对话框中直接输入“MMC”并确定)。
(2)单击“文件→添加/删除管理单元”菜单命令，在打开的对话框中单击“添加”按钮。
(3)在“可用的独立管理单元”对话框中，单击“组策略”选项，然后单击“添加”按钮。
(4)在“选择组策略对象”对话框中，单击“本地计算机”选项编辑本地计算机对象，或通过单击“浏览”查找所需的组策略对象。
(5)单击“完成”按钮，组策略管理单元即打开要编辑的组策略对象。
(6)在左窗格中定位需要更改的选项的位置，在右窗格中右键单击需要更改的具体选项，单击“属性”命令，即可打开其属性对话框，从中选择“已启用”、“未配置”、“已禁用”选项即可对计算机策略进行管理。
4.组策略中的管理模板
在Windows
2000/XP/2003中包含几个ADM文件。这些文件是文本文件，被称为“管理模板”，它们为组策略管理单元的控制树中“管理模板”文件夹下的项目提供策略信息。
在Windows
2000/XP/2003中，默认的Admin.adm管理模板位于系统文件夹的INF文件夹中，包含了默认安装下的4个模板文件，分别为：
(1)System.adm：默认安装在“组策略”中，用于系统设置。
(2)Inetres.adm：默认安装在“组策略”中，用于Internet
Explorer(IE)策略设置。
(3)Wmplayer.adm：用于Windows Media
Player设置。
(4)Conf.adm：用于NetMeeting设置。
在策略管理控制台中，可以多次添加“策略模板”，下面让我们来看看具体操作：
首先运行“组策略”程序，然后选择“计算机配置”或者“用户配置”下的“管理模板”，单击鼠标右键，选择“添加/删除模板”命令，然后在打开的对话框中单击“添加”按钮，在打开的对话框中选择相应的ADM文件。单击“打开”按钮，则在系统策略编辑器中打开选定的脚本文件，并等待用户执行。
返回到“组策略”编辑器主界面后，依次打开目录“本地计算机策略→用户配置→管理模板”选项，再单击相应的目录树，就会看到我们新添加的管理模板所产生的配置项目了。
注意：下面的操作均在Windows
XP中进行。
二、个性化我的电脑
1.删除“开始”菜单中的“文档”菜单项
在多人使用的计算机中，有的用户不希望其他用户看到自己曾经编辑过的文档或其他信息。因此，为了删除用于记录历史文档的“文档”菜单项，我们可以通过修改组策略来实现。
位置：\用户配置\管理模板\任务栏和“开始”菜单\
启用此设置，则系统保存“文档”快捷方式，但不在“文档”菜单中显示它们。如果以后禁用此设置或把它设置为未配置，则启用设置之前及其生效之时保存的“文档”快捷方式会出现在“文档”菜单项中。如图2所示。
注意：此设置不会阻止Windows程序在最近打开的文档中显示快捷方式。
另外，你也可以设置在退出系统时自动清除最近打开的文档的历史记录。
位置：\用户配置\管理模板\任务栏和“开始”菜单\
如果禁用该策略设置，系统就会在用户退出时删除快捷方式。因此，用户登录时，“开始”菜单上的文档菜单总是空的。如果禁用或不配置此设置，系统将保留文档快捷方式，并且用户登录时的文档菜单看起来与用户退出系统时完全相同。
注意：系统在\Documents
and
Settings\\Recent文件夹中的用户配置文件中保存文档快捷方式。
2.删除“开始”菜单中的“运行”菜单项
在“开始”菜单中有“运行”菜单项，可以输入程序名称来启动程序。我们可以将“运行”菜单项从“开始”菜单中删除。
位置：\用户配置\管理模板\任务栏和“开始”菜单\
如果启用该设置，发生如下更改：
(1)“运行”命令从“开始”菜单中删除。
(2)新建任务(运行)命令从任务管理器删除。
(3)阻止用户在IE地址栏中输入下列项：
UNC路径：\\＜server＞\＜share＞。
访问本地驱动器：例如，C:。
访问本地文件夹：例如，\temp＞。
同时，使用WIN+R组合键将无法显示“运行”对话框。如果禁用或不配置此设置，用户可以访问“开始”菜单和任务管理器的“运行”命令，以及使用IE地址栏。
注意：这个策略只影响指定的界面。不会防止用户使用其他方法运行程序。
3.给“开始”菜单减肥
如果觉得Windows的“开始”菜单太臃肿，你完全可以通过组策略设置将不需要的菜单项从“开始”菜单中删除。
位置：\用户配置\管理模板\任务栏和“开始”菜单\
在组策略右侧窗格中，提供“从‘开始’菜单删除用户文件夹”、“删除到‘Windows
Update’的访问和链接”、从‘开始’菜单删除公用程序组、从‘开始’菜单中删除“我的文档”图标等配置项目。你只要将不需要的菜单项所对应的策略启用即可。
4.隐藏和禁用桌面上的所有项目
该策略可以从桌面上删除图标、快捷方式和其他默认的和用户定义的项目。
位置：\用户配置\管理模板\桌面\
该策略删除图标和快捷方式不防止用户用另一种方法启动程序或打开图标和快捷方式所代表的项目。
5.退出时不保存用户设置
该策略用于防止用户保存对桌面的某些更改。
位置：\用户配置\管理模板\桌面\
如果你启用这个设置，用户可以对桌面做某些更改，但有些更改，比如图标和打开窗口的位置、任务栏的位置及大小在用户注销后都无法保存。
6.启用/禁用“活动桌面”(Active
Desktop)
活动桌面是Windows 98(及以后版本)或安装了IE
4.0的系统中自带的高级功能，它最大的特点是可以设置各种图片格式的墙纸，甚至可以将网页作为墙纸显示。但出于对安全和性能的考虑，有时候我们需要禁用这一功能(并且防止用户启用它)。
位置：\用户配置\管理模板\桌面\Active
Desktop
提示：如果同时启用“启用Active Desktop”设置和“禁用Active Desktop”设置，“禁用Active
Desktop”设置会被忽略。如果“禁用Active Desktop和Web视图”设置(在“用户配置\管理模板\Windows组件\Windows资源管理器”)被启用，Active
Desktop就会被禁用，并且这两个策略都会被忽略。
7.从“我的电脑”中删除共享文档
当Windows用户在一个工作组中，一个“共享文档”图标会以Windows资源管理器的Web视图出现在“其他位置”和“在这台计算机上存储的其他文件”中。使用此设置，你可选择不显示这些项目。
位置：\用户配置\管理模板\Windows组件\Windows资源管理器\
如果启用此设置，“共享文档”文件夹将不会以Web视图方式显示或在“我的电脑”中出现。如果禁用或不配置此设置，当用户是“工作组”的一部分时，“共享文档”文件夹将会以Web视图方式显示或在“我的电脑”中出现。
8.不要将已删除的文件移到“回收站”
当Windows资源管理器中的一个文件或文件夹被删除时，该文件或文件夹的副本会被放在“回收站”里。使用此策略，你能改变此行为。
位置：\用户配置\管理模板\Windows组件\Windows资源管理器\
如果启用此设置，使用Windows资源管理器删除的文件或文件夹不会被放在“回收站”里，因此被永久删除。如果禁用或不配置此设置，使用Windows资源管理器删除的文件或文件夹会被放在“回收站”里。
三、利用组策略进行系统设置
1.登录时不显示欢迎屏幕
为了加快计算机启动的速度，我们完全可以通过组策略设置在每次用户登录时将Windows
XP欢迎屏幕隐藏。
位置：\用户配置\管理模板\系统\
要显示欢迎屏幕，请依次单击“开始→程序→附件→系统工具”选项，然后单击“开始”选项。要在不指定设置的情况下不显示欢迎屏幕，请在欢迎屏幕上的复选框中清除“在开始显示这个屏幕”选项。
注意：这项设置出现在“计算机配置”和“用户配置”文件夹中。如果配置这项设置，“计算机配置”中的设置比“用户配置”中的设置优先。
2.配置驱动程序查找位置
默认情况下，Windows将从本地安装、软盘驱动器、光盘驱动器、Windows
Update等位置搜索驱动程序。此设置配置查找到新硬件时Windows将要搜索驱动程序的位置。
位置：\用户配置\管理模板\系统\
如果启用此设置，你可以通过检查位置名称的相关复选框，删除这三个位置中的任何位置。如果禁用或不配置此设置，Windows将从本地安装、软盘驱动器、光盘驱动器和Windows
Update等位置中搜索驱动程序。
3.关闭自动播放
一旦你将媒体插入驱动器，自动运行就开始从驱动器中读取。这会造成程序的设置文件和在音频媒体上的音乐立即开始。该策略将关闭自动运行功能。
位置：\用户配置\管理模板\系统\
如果你启动这项设置，你还可以在CD-ROM驱动器禁用自动运行或在所有驱动器上禁用自动运行。
注意：这个设置出现在“计算机配置”和“用户配置”两个文件夹中。如果两个设置都配置，“计算机配置”中的设置比“用户配置”中的设置优先。
另外，此设置不阻止自动播放音乐
CD。
4.只运行许可的Windows应用程序
该策略可以限制用户可以运行的Windows程序。
位置：\用户配置\管理模板\系统\
如果你启用这个设置，用户只能运行你加入“允许运行的应用程序列表”中的程序。
这个设置只能防止用户从Windows资源管理器启动程序。无法防止用户用其他方式启动程序，例如任务管理器。如果用户可以访问命令提示符窗口，这个设置无法防止用户从命令窗口启动不允许在Windows资源管理器中运行的程序。
注意：要创建允许的文件列表，请单击“显示”按钮，在打开的对话框中单击“添加”按钮，然后输入应用程序的执行文件名称(例如，Winword.exe、Poledit.exe、Powerpnt.exe)。如图3所示。
5.删除任务管理器
当我们同时按下Ctrl+Alt+Del组合键将显示“Windows任务管理器”对话框。任务管理器可以让用户启动或终止程序、监视计算机性能、查看及监视计算机上所有运行中的程序(包含系统服务)、搜索程序的执行文件名、更改程序运行的优先顺序。在这里，我们可以通过组策略删除任务管理器。
位置：\用户配置\管理模板\系统\Ctrl+Alt+Del选项\
如果该设置被启用，并且用户试图启动任务管理器，系统会显示消息，解释是一个策略禁止了这个操作。
6.删除改变“密码”选项
该策略可以防止用户通过任务管理器更改系统密码。
位置：\用户配置\管理模板\系统\Ctrl+Alt+Del选项\
这个设置停用Windows安全设置对话框上的“更改密码”按钮。但是，用户在得到系统提示时依旧可以更改密码。管理员要求新密码和密码作废时，系统会提示用户输入新密码。
7.不允许运行Windows
Messenger
Windows XP自带有聊天工具Windows Messenger，但是，我们也有可能在系统中安装MSN
Messenger。该策略允许你禁用Windows Messenger。
位置：\用户配置\管理模板\Windows组件\Windows Messenger
如果启用该策略，Windows
Messenger将不会运行。如果禁止或不配置该策略，Windows
Messenger可以被使用。
注意：如果启用这个策略，远程协助无法使用Windows
Messenger。另外，这个策略也会出现在“计算机配置”中。如果两个设置都配置，“计算机配置”中的设置比“用户配置”中的设置优先。
8.关闭系统还原功能
系统还原是Windows
XP/2003中集成的强大功能，它在系统运行的同时，备份被更改的文件和数据，如果出现问题，系统还原使用户能够在不丢失个人数据文件的情况下，将计算机还原到以前的状态。默认情况下，系统还原处于打开状态。
但这一功能付出的代价也是相当大的，系统性能会明显下降，磁盘空间也会被占用很多。对于配置不高的计算机来说，强烈建议关闭此功能。
位置：\计算机配置\管理模板\系统\系统还原\关闭系统还原
启用此设置后即可关闭系统还原功能，并且不能访问“系统还原向导”和“配置界面”。
四、利用组策略调整上网设置
1.禁用导入和导出收藏夹
禁止用户使用“导入/导出向导”菜单项导入或导出收藏夹链接。
位置：\用户配置\管理模板\Windows组件\Internet
Explorer
如果启用该策略，“导入/导出向导”菜单项将无法导入/导出收藏夹链接和Cookie。如果禁用该功能或不对其进行配置，则用户可以通过单击“文件”菜单上的“导入和导出”菜单项，然后运行“导入/导出向导”，导入/导出IE中的收藏夹。
注意：如果启用该策略，用户仍然可以查看“导入/导出向导”，但当用户单击“完成”按钮时，将出现说明该功能已被禁用的提示信息。
2.禁用更改“高级”选项卡的设置
禁止用户更改“Internet
选项”对话框中“高级”选项卡上的设置。
位置：\用户配置\管理模板\Windows组件\Internet
Explorer
如果启用该策略，则用户无法更改高级Internet设置，如安全、多媒体和打印。用户无法选中“高级”选项卡上的复选框，也不能清除这些复选框的复选标记。如果禁用该策略或不对其进行配置，则用户可以选择或清除“高级”选项卡上的设置。
如果设置了位于\用户配置\管理模板\Windows组件\Internet
Explorer\Internet控制面板中的“禁用高级页”策略，则无需设置该策略，因为“禁用高级页”策略将删除界面上的“高级”选项卡。
3.对拨号连接使用“自动检测”属性
自动检测在浏览器第一次启动时使用
DHCP(动态主机配置协议)或DNS服务器来自定义浏览器。该策略指定自动检测用于用户的拨号设置的配置。
位置：\用户配置\管理模板\Windows组件\Internet
Explorer
如果启用该设置，自动检测将配置用户的拨号设置。如果禁用该配置或不配置，自动检测不会配置用户的拨号设置，除非用户指定。
4.禁用Internet连接向导
禁止用户运行Internet连接向导。
位置：\用户配置\管理模板\Windows组件\Internet
Explorer
如果启用该策略，“Internet选项”对话框中“连接”选项卡上的“建立连接”按钮将变灰。用户也无法通过单击桌面上的“连接到 Internet”图标或单击“开始→程序→附件→通讯”，然后单击“Internet连接向导”运行Internet连接向导。如果禁用该策略或不对其进行配置，则用户可以通过运行Internet连接向导，更改连接设置。
注意：该策略与位于＼用户配置＼管理模板＼Windows
组件＼Internet
Explorer＼Internet控制面板中的“禁用连接页”策略有相似之处，后者将删除界面上的“连接”选项卡。从界面上删除“连接”选项卡并不会妨碍用户从桌面或“开始”菜单中运行Internet连接向导。
5.禁用表单的自动完成功能
禁止IE自动完成表单，如填写用户以前在网页中输入过的姓名或密码。
位置：\用户配置\管理模板\Windows组件\Internet
Explorer
如果启用该策略，“表单”复选框将变灰。单击“Internet选项”对话框中“内容”选项卡上的“自动完成”按钮，即可出现“表单”复选框。如果禁用该策略或不对其进行配置，则用户可以启用表单的自动完成功能。
位于\用户配置\管理模板\Windows组件\Internet
Explorer\Internet控制面板中的“禁用内容页”策略的优先级高于该策略。如果启用了“禁用内容页”策略，该策略将被忽略，因为“禁用内容页”策略将删除“控制面板”中“Internet
Explorer属性”对话框中的“内容”选项卡。
注意：如果用户已开始使用启用了表单自动完成功能的浏览器后，再启用该策略，则不会清除用户已经使用表单自动完成功能在表单中所填写的内容。
6.配置媒体浏览栏属性
媒体浏览器栏播放来自Internet的音乐和视频内容，该策略允许管理员启用和禁用媒体浏览器栏和设置默认自动播放。
位置：\用户配置\管理模板\Windows组件\Internet
Explorer
如果禁用媒体浏览器栏，用户无法显示媒体浏览器栏。自动播放功能也被禁用。当用户在IE中单击一个链接，系统中的默认媒体客户端将播放内容。如果启用媒体浏览器栏或不配置，用户可以显示和隐藏媒体浏览器栏。
管理员也可以打开和关闭自动播放功能。该设置只在媒体浏览器栏启用时应用。如果选择，媒体浏览器栏将在用户单击媒体链接时自动显示和播放媒体内容。如果不选择，系统上的默认媒体客户端将播放内容。
7.禁用右键快捷菜单
禁止在用户使用IE过程中单击鼠标右键时出现快捷菜单。
位置：\用户配置\管理模板\Windows组件\Internet
Explorer\浏览器菜单
如果启用该策略，在用户指向网页，然后单击鼠标右键时将不出现快捷菜单。如果禁用该策略或不对其进行配置，则用户可以使用快捷菜单。
8.自定义IE标题栏
我们可以利用组策略自定义出现在IE和OE标题栏中的文本。无论软件包中是否有OE或者用户计算机上已经安装了OE，都将更新OE标题栏。
位置：\用户配置\管理模板\Windows设置\Internet
Explorer维护\浏览器用户界面\浏览器标题
请在打开的对话框中选中“自定义标题栏”选项，然后在“标题栏文本”框中键入希望的文本。
注意：在选择某个位图时，要确保颜色与文本的对比度。这为用户确保了更高程度的可读性。
9.自定义IE工具按钮
我们可以利用该策略个性化出现在IE中的工具栏，给你一定的灵活性和设计机会。可以使用的元素包括用于标准工具栏按钮(例如“搜索”和“历史”)的工具栏背景和图标外观。
位置：＼用户配置＼管理模板＼Windows设置＼Internet
Explorer维护＼浏览器用户界面＼浏览器工具栏自定义
在打开的对话框中单击“添加”按钮，然后在打开的对话框中在“工具栏标题(必需)”框中，键入用户鼠标悬停在工具栏按钮上时出现的文本。必须指定该按钮的标题或标签。建议的最大长度是10个字符。
在“工具栏操作(作为脚本文件或可执行文件，必需)”框中，键入脚本文件或可执行文件的名称，或者单击“浏览”按钮查找文件。必须指定用户单击工具栏按钮时运行的脚本文件或可执行文件。
在“工具栏颜色图标(必需)”框中，键入表示按钮为活动状态的文件的名称，或者单击“浏览”按钮查找该文件。必须指定出现在工具栏上的按钮的彩色图标。图标由活动和非活动状态的20×20像素的图像组成。
在“工具栏灰度图标(必需)”框中，键入出现在黑白监视器上的工具栏的灰度图标文件名和位置，或者单击“浏览”按钮查找文件。必须指定显示在工具栏上按钮的灰度图标。
选中“默认情况下，该按钮应显示在工具栏上”复选框来显示默认情况下用户浏览器中的工具栏按钮。
五、利用组策略设置优化网络环境
1.禁止访问网络连接组件的属性
“本地连接属性”对话框包括连接时使用的网络组件列表。要查看或更改组件属性，请单击组件名称，然后单击组件列表下面的“属性”按钮，如图4所示。该策略确定用户是否可以更改由网络连接使用的组件属性，它确定是否启用用于网络连接组件的“属性”按钮。
位置：\用户配置\管理模板\网络\网络连接\
如果启用此设置(并启用“为管理员启用网络连接设置”设置)，就会为管理员禁用“属性”按钮。无论“为管理员启用网络连接设置”设置启用与否，用户都不可以访问连接组件。如果禁用或不配置“为管理员启用网络连接设置”。
如果禁用或不配置此设置，将为用户启用“属性”按钮。
2.禁用TCP/IP高级配置
确定用户是否可以配置TCP/IP
设置。
位置：\用户配置\管理模板\网络\网络连接\
如果启用此设置(并启用“为管理员启用网络连接设置”设置)，就对所有用户(包括管理员)禁用“Internet协议(TCP/IP)
属性”对话框上的“高级”按钮。因此，用户不能打开“高级TCP/IP设置”对话框并修改IP设置(例如，DNS和WINS服务器信息)。如果禁用此设置，则启用“高级”按钮，并且所有用户均可打开“高级TCP/IP设置”对话框。
注意：此设置会由禁止访问连接属性或连接组件属性的设置取代。如果将这些策略设置为拒绝访问连接属性对话框或用于连接组件的“属性”按钮，用户就无法访问用于TCP/IP配置的“高级”按钮。不管此设置如何，非管理员用户均不具有访问用于网络连接的TCP/IP高级配置的权限。在用户退出系统之前，将此设置从“启用”更改为“未配置”不会启用“高级”按钮。
3.禁止添加或删除用于网络连接
……

Answer 2

如果大家使用的是windows 2K 或Windows XP那么教大家一招金蝉脱窍 —— 而且只需要这一招克就能死所有病毒!!
如果你是新装的系统(或者是你能确认你的系统当前是无毒的)，那就再好不过了，现在就立即就打开:

“开始→程序→管理工具→计算机管理→本地用户和组→用户” 吧!

首先就是把超级管理员密码更改成十位数以上，然后再建立一个用户，把它的密码也设置成十位以上并且提升为超级管理员。这样做的目的是为了双保险:如果你忘记了其中一个密码，还有使用另一个超管密码登陆来挽回的余地，免得你被拒绝于系统之外;再者就是网上的黑客无法再通过猜测你系统超管密码的方式远程获得你系统的控制权而进行破坏。接着再添加两个用户，比如用户名分别为:user1、user2;并且指定他们属于user组，好了，准备工作到这里就全部完成了，以后你除了必要的维护计算机外就不要使用超级管理员和user2登陆了。只使用user1登陆就可以了。

登陆之后上网的时候找到ie，并为它建立一个快捷方式到桌面上，右键单击快捷方式，选择“以其他用户方式运行”点确定!要上网的时候就点这个快捷方式，它会跟你要用户名和密码这时候你就输入user2的用户名和密码!!!好了，现在你可以使用这个打开的窗口去上网了，可以随你便去放心的浏览任何恶毒的、恶意的、网站跟网页，而不必再担心中招了!因为你当前的系统活动的用户时user1。而user2是不活动的用户，我们使用这个不活动的用户去上网时，无论多聪明的网站，通过ie得到的信息都将让它都将以为这个user2就是你当前活动的用户，如果它要在你浏览时用恶意代码对你的系统搞搞破坏的话根本就时行不通的，即使能行通，那么被修改掉的仅仅时use2的一个配置文件罢了，而很多恶意代码和病毒试图通过user2进行的破坏活动却都将失败，因为user2根本就没运行，怎么能取得系统的操作权呢??既然取不得，也就对你无可奈何了。而他们更不可能跨越用户来操作，因为微软得配置本来就是各各用户之间是独立的，就象别人不可能跑到我家占据我睡觉用的床一样，它们无法占据user1的位置!所以你只要能保证总是以这个user2用户做代理来上网(但却不要使用user2来登陆系统，因为如果那样的话，如果user2以前中过什么网页病毒，那么在user2登陆的同时，他们极有可能被激活!)，那么无论你中多少网页病毒，全部都将是无法运行或被你当前的user1用户加载的，所以你当前的系统将永远无毒!

不过总有疏忽的时候，一个不小心中毒了怎么办??

不用担心，现在我们就可以来尽情的表演脱壳的技术了!

开始金蝉脱壳:

重新启动计算机，使用超级管理员登陆——进入系统后什么程序都不要运行

你会惊奇的发现在的系统竟然表现的完全无毒!!，那就再好不过了，现在就立即就打开:

“开始→程序→管理工具→计算机管理→本地用户和组→用户” 吧!

把里面的user1和user2两个用户权删掉吧，你只需要这么轻轻的一删就可以了，那么以前随着这两个用户而存在的病毒也就跟随着这两个用户的消失而一起去长眠了——(好象是陪葬，呵呵!)。这么做过之后我保证你的win2k就象新装的一个样，任何系统文件和系统进程里都完全是没有病毒的!

好!现在再重复开始的步骤从新建立user1和user2两个用户，让他们复活吧。他们复活是复活了，但是曾跟随了他们的病毒却是没这机会了，因为win2k重新建立用户的时候会重新分配给他们全新的配置，而这个配置是全新的也是不可能包含病毒的!!!建立完成之后立即注销超级管理员，转如使用user1登陆，继续你象做的事吧，你会发现你的系统如同全新了!以上方法可以周而复始的用，再加上经常的去打微软的补丁，几乎可以永远保证你的操作系统是无毒状态!只要你能遵循以下几条规辙:

一、任何时间都不以超级管理员的身份登陆系统——除非你要进行系统级更新和维护、需要使用超级管理员身份的时候或是你需要添加和删除用户的时候。

二、必须使用超级管理员登陆的时候，保证不使用和运行任何除了操作系统自带的工具和程序之外的任何东西，而且所有维护都只通过开始菜单里的选项来完成，甚至连使用资源管理器去浏览硬盘都不! 只做做用户和系统的管理和维护就立即退出，而决不多做逗留!(这也是微软的要求，微软最了解自己的东东，他的建议是正确的。浏览硬盘的事，在其他用户身份下你有大把的机会，在超级管理员的身份下还是不要了!!这应该事能完全作到的)。

上面的都作到了，那么排除了硬件和误操作原因、病毒跟系统瘫痪都将与你无缘了。

Answer 3

一、现在广泛使用的操作系统?

操作系统是最需要得到重视的，我估计至少有90%以上的病毒是通过各类操作系统漏洞而感染机器的，因此要想从根源上断掉病毒的根，务必从操作系统入手。我更情愿将机器抵抗病毒的能力比喻为人的免疫系统，而操作系统正像人类免疫系统的第一级——皮肤，因此选择一款安全的操作系统是非常重要的，下面是我对MS各操作系统的看法。98和ME已被我列入黑名单，MS实际上已经放弃了对它们的支持，不会再对其安全性做大的升级了，我想它们对于大家来说也没有什么值得留恋的，正如盖茨曾说的“一晃二十年，形式变了!”但如果你必须要使用，最好的防毒办法就是“物理断开”。网线是一定要拨掉的，光盘、软盘、MP3、移动硬盘……还是少插为妙。有人要问了，什么都不能用，我还用98/ME干嘛呀?是啊，我也不知道您非要用98/ME干嘛!我推荐使用2K和XP，尤其是XP。对于目前来讲，XP的安全性还是最高的，微软出任何补丁也是先给XP出。对于新出的vista，我抱有一定的期望。希望在未来的几年，我们会过上高枕无忧，藐视病毒的日子。

三、上网=中毒?

网页里经常暗藏杀机，对于机器来说，网页恶意程序是计算机的第二大杀手。我将它比喻为人类的呼吸系统，因为现在计算机不能停止上网就像人类不能停止呼吸一样，而人类的每一次呼吸都意味着可能染上可怕的疾病，比如时髦的SARS和禽流感。但不知您注意到了没有，我并没有在这里提到病毒二字，因为我这里所说的只是普通的网站网页，不包括网页上链接的程序，程序的问题下面会讲到。一般来讲网页能做的还没有那么多，顶多是各种脚本写成的恶意程序。但千万别小瞧它们，让你的IE病到生不如死还是比较轻松的，他可能会修改你的注册表，让你不能够访问IE的属性;也可能不时弹出/关上你的光驱，让你惊恐万分;也可能将你在网上的信息散之天下;当然，最可怕的事就是只要你一开机就弹出无数的广告窗口让你无法使用。看到这里的朋友相信有很多都在咬牙切齿，谁又不是从这一步走过来的呢?
四、软件是可怕的寄主

如果您按照我上面所讲的内容将最基本的“皮肤”和呼吸这两关打好了预防针，其它的就比较好办了，因为我们致少可以保证在下面进行的查杀毒过程中不会二次中毒。俗话说“病从口入”，计算机也是这样的，第三道免疫的重点关卡“口”就是我们常用的各类软件。机器装的软件越多越杂，中毒的可能性就越大，因为现在各类软件就是病毒的最好寄主，尤其是从网页上下载的各种小软件。对于这类病毒攻击其实我也没有太好的办法，我想最好的办法还是自己谨慎。有几个原则要说明的，邮件里来的附件一律不要打开;你并没想下载什么而自动跳出来让你下载的一律不要下载;网页上弹出的诱人的信息问你是否查看的一律要点“否”;凡是弹出来ActiveX要安装如果你不是非常的清楚并有安装的经验一律不要安装(Microsoft除外，那是自动更新);没有被其它网友推荐过的软件一律不要下载。能做到上面这几个一律的话，我想你已经将机器的第三道免疫关把的很死了。还有一点是不得不提的，那就是现在流行的一个新词汇——流氓软件。它们并非病毒，也非恶意程序，堂尔皇之的挂上官方的旗号，名正言顺的进驻您的机器，但它们从不干好事。无法干净的卸载事小，上网经时经常受到骚扰就很讨厌了，它们唯一的目的就是令所谓的“官方”获益。对于大多数网友来说，计算机只不过一是台“游戏机”或“家庭影院”，其它能用到的功能用的并不多，因此一份各类软件的推荐列表是很重要的。

五、光盘、软盘、MP3、移动硬盘……

这是病毒攻击你的最后机会了，因为这些都是硬性插入你的机器而使你的机器得病的，所以我实在不想用人的免疫系统来比喻了。如果你的机器有最新的补丁，我想还是可以放心的打开它们的，只要不随意运行来历不明的程序。不过将所有的自动拨放都关掉还是很必要的!对于2K，自动拨放在设备管理器中，查看光驱的属性就可以取消。对于XP，在盘符上点右键，进入属性就可以设置。另外，如果你真的对机器的安全性要求很高，那么在你打开这些盘之前，最好还是先用命令提示符进入，看看根目录下有没有可疑的文件。这一步仅限有经验的朋友。

六、系统设置，无懈可击的境界

虽然免疫系统已经万无一失，但人的操作总会出现一些问题，导致病毒有可乘之机。那么从病毒攻击的手段上来讲，我们可以采取一些补救性的措施。将服务列表中没用的服务全部禁用是非常好的做法，尤其是像Task、Message这类服务是一定要禁用的，因为它们常被病毒所利用!偶尔会用到的服务尽量采用手动启动，这样会为将来的查毒提供方便。有关各服务的详细说明，网上很多。请朋友们根据自己的需要设定吧!另外可能被病毒攻击的地方就是各种即时通讯软件。任何人发来的信息中包括的链接不要随便点，。其它可能会自动上网更新的软件，尽量设置为不自动更新，有时他们的行为会令你摸不着头脑，甚至会被误判为病毒，为查毒操作带来相当大的干扰。定期去官网更新是最安全的方式。

参考资料：http://pfw.sky.net.cn/article/4782_2.html

Answer 4

方法：
打开本地安全策略，在“ip安全策略，在本地计算机”处击右键，选中“管理ip筛选器表和筛选器操作”，在弹出的“管理ip筛选器列表”窗口上点击“编辑”，把弹出的窗口上的“添加向导”前面的小勾去掉，2，点“添加”，把“寻址”选项卡上面的“原地址”改为任何ip地址，把“目标地址”改为我的ip地址，再选“协议”选项卡，把“协议类形”改为“tcp”，点击最下面的“到此端口”，写上135，再按“确定”完成操作，这样就禁用了tcp135端口，然后以此类推，再按步骤2依次禁用tcp137，139，445，593，1025，2745，3127，3389，4444，6129，以及udp协议类形的135，137，138，139，445。因为很多后门木马程序都是从这些端口进来的，自从禁用了这些端口，本人的计算机好久没中过毒了，呵呵

参考资料：回答者：我0爱0 - 秀才 二级

Answer 5

下面我来说下,现在病毒都包含在.EXE文件里.除非你不下载东西.不上网否则没有绝对的安全! 我来说下现在病毒的由来!现在病毒不光光是病毒,往往寄生在安装程序里!请看下面介绍!

工具介绍：
名称：IExpress
功能:专用于制作各种 CAB 压缩与自解压缩包的工具。
实际操作

在这一部分，笔者将以实例的形式为大家详细讲解捆绑木马的整个过程。

第一步

在“运行”对话框中输入IExpress就可启动程序(图1)。

在开始的时候会有两个选项供你选择，一个是创建新的自解压文件(Create new Self Extraction Directive file)，另一个是打开已经保存的自解压模板“.sed”文件(Open existing Self Extraction Directive file)。我们应该选择第一项，然后点击“下一步”按钮。[!--empirenews.page--]
第二步

接下来选择制作木马自解压包的三种打包方式(图2)，它们分别是建立自解压并自动安装压缩包(Extract files and run an installation command)、建立自解压压缩包(Extract files only)和建立CAB压缩包(Create compressed files only)。

因为我们要制作的是木马解压包，所以应该选择第一项。在输入压缩包标题后点击“下一步”按钮。

第三步

在“确认提示”(Confirmation prompt)这一环节，软件会询问在木马程序解包前是否提示用户进行确认，由于我们是在制作木马程序的解压包，当然越隐蔽越好，选择第一项“不提示”(No prompt)，这么做的目的是让中招人毫无防备。点击“下一步”按钮，在接下来的添加“用户允许协议”(License agreement)中添加一个伪装的用户协议迷惑中招者，选择“显示用户允许协议”(Display a license)，点击“Browse”选择一份编辑好的TXT文档，此文档可以用微软公司的名义来编辑，设置完毕后点击“下一步”。这一步的目的是迷惑对手并隐藏木马安装的过程。

第四步

现在，我们就进入了文件列表窗口(Packaged files)。点击该窗口中的“Add”按钮添加木马和将要与木马程序捆绑在一起的合法程序。根据刚才编辑的协议文件的内容添加合法程序。例如，你制作的协议和IE补丁包相关，那么你就可将木马和一个正常的IE补丁包添加进来。

随后进入安装程序选择窗口，指定解压缩包开始运行的文件(Install Program)和安装结束后运行的程序(post install command)。例如，在Install Program内设置正常的IE补丁包先运行，此时木马并未运行，在中招者看来的确是一个IE补丁包。在post install command内设置木马程序，这样在IE补丁包安装完毕时，木马程序将会在后台执行，我们的目的也就达到了。

第五步

接下来选择软件在安装过程中的显示模式(Show window)。由于我们的木马是和合法程序捆绑在一起的，所以选择“默认”(Default)即可。接下来进行提示语句(Finished message)的显示设置，由于我们做的是木马捆绑安装程序，当然应该选择“No message”。

第六步

上述设置完成后，接着设置自解压程序的保存位置和名称。在这里要选择“Hide File Extracting Progress Animation from User”，以便隐藏解压缩过程，有助于隐藏某些木马程序启动时弹出的命令提示框。最后，设置在软件安装完成后是否重新启动(Configure reboot)，可以根据实际需要来选择。如果你所用的木马是“即插即用”的，那么就选择“No reboot”;如果所采用的木马用于开启终端服务，那么可选择“Always reboot”，同时选择“重新启动前不提示用户”(Do not prompt user before reboot)。[!--empirenews.page--]

在保存刚才所做的设置后点击“下一步”按钮，即可开始制作木马自解压程序。

整个制作过程是在DOS下进行的，在完成度达到100%后会弹出提示窗口，点击“完成”，木马程序与合法程序的捆绑工作就完成了(格式为EXE)，直接双击即可运行。你再用杀毒软件查一查。怎么样?已经完全不会被查出来了吧。

现在还等什么?赶快利用“木马屠城”介绍过的网页木马传播技术或木马电子书技术发布你的木马去吧。当然，你也可以把它作为IE的重要补丁发送给别人。

不用第三方工具，无需过多的加壳伪装，让“Windows”来为我们服务，为我们捆绑木马，岂不快哉