如何检测服务器上有没有人开代理?

说到代理服务器，概念太大了，HTTP Proxy/FTP Proxy/SMTP Proxy/Telnet Proxy/Socks Proxy等等都是代理服务器。

我们常用的代理服务器，其实也就是HTTP Proxy，下面将会针对如何发现内部网络的非法HTTP Proxy来进行分析。

1) 流量监控

若是有条件的话，进行流量监控是个不错的选择，代理别人的机器，其流量会比一般机器的平均流量大几倍，从流量，可以发现可疑的用户，不过，仅仅根据流量，你是没有证据说他用了代理软件的，碰上一些有资历的或者刁蛮的用户，你反而会吃不了兜着走。

2) 端口扫描

开一个SuperScan或者你所喜欢的扫描器，对某些网段进行端口扫描，然后再在扫描的结果中人工寻找可疑目标，比如那些开放了8080/3128什么的端口，多半是HTTP Proxy，最后再用代理猎手来确认，或者自己利用HTTP协议来手工确认。

不过，端口扫描仅仅是对菜鸟有用，高手会把自己的端口改成一个很怪异很高数值的端口(谁会愿意每隔一段时间去扫描几个网段的IP的1-64K的端口？)甚至，他还可以把代理服务器的端口仅仅开在他的内部IP上(就是那个接其它需要非法上网机器的非法IP)，这样你从你的内部网络，是不可能用通常手段扫描到他的内部IP到底开了哪些端口的。

3) SNIFFER

以上的两个方法对侦测HTTP Proxy都不是太有效，不得已，我们可能需要从HTTP协议本身来下手分析某个HTTP请求是否用了非法的代理服务器。为了分析HTTP协议，首先要做的就是SNIFFER，若你真的是网络管理员，我想你是有办法来搞到某个IP对外的HTTP请求甚至是整个内部网络所有的对外的HTTP请求。（特别提醒：交换环境下做Sinferr监控必须在交换机上配置镜像端口或者在相应出口上接一HUB）

首先来看看标准的HTTP协议，HTTP协议分HTTP请求和HTTP应答两部分，在通常的情况下，HTTP请求由浏览器发出，而HTTP应答是由HTTP Server来发出。HTTP Proxy在这里会做一个中间人的位置，以自己的身份向HTTP服务器发起请求，这个HTTP请求的主要内容来自HTTP Client发给HTTP Proxy的请求，但是某些细节可能会有改变，HTTP Proxy甚至会加一些信息进去。这时我们就要对这些数据包进行Sinferr,只要我们发现某个HTTP请求中有HTTP Proxy加进去的信息，那么我们就可以判断某个IP是HTTP Proxy了，甚至可以判断出真正提交这个HTTP请求的非法用户的真实IP。

具体进行数据包分析的理论就不贴了，我们大家关心的是怎么去实现它。

值得高兴的是，这里已经有人写了一个页面，可以直接检测本机用户是否用了代理，大家可以检查你用的是否是http代理上网：

http://wwwnetbuddyorg/tools/proxy-detectphp

然后我们就可以改改这个脚本（下载那个proxy-detectphp)，让它把log信息记录到一文本文件中，然后伪装成(以前版上经常有人搞那玩意儿)或者用其它的形式包含到一个内部网用户都要访问的一个网页上面去。（说白了就是一个陷阱）。我们只需要定期去检查日志文件里有没有人中标就行了。

智能监控是嵌入式视频服务器中

智能监控集成了智能行为识别算法，能够对画面场景中的行人或车辆的行为进行识别、判断，并在适当的条件下，产生报警提示用户。

智能是智慧和能力的合称。其涵义包括既往获得的知识和经验的广度以及运用这些知识和经验来解决新的问题形成新概念、调节和适应新环境的能力；

是先天素质、后天社会，教育的影响以及个人努力三方面因素相互作用的产物，一般可分抽象智能、机械智能、社会智能三大类。

服务器内存和普通内存不能通用。服务器内存也是内存(RAM)，具有一些特有的技术从而有着极高的稳定性和纠错性能。最直观的分辨服务器内存与普通内存的方法就是看条子上的字有没有带ECC模块。

在普通的内存上，常常使用一种技术，同位检查码被广泛地使用在侦错码上，它们增加一个检查位给每个资料的字元（或字节），并且能够侦测到一个字符中所有奇（偶）同位的错误，但Parity有一个缺点，当计算机查到某个Byte有错误时，并不能确定错误在哪一个位，也就无法修正错误。

基于上述情况，产生了一种新的内存纠错技术，那就是ECC，ECC本身并不是一种内存型号，也不是一种内存专用技术，它是一种广泛应用于各种领域的计算机指令中，是一种指令纠错技术，从这个名称我们就可以看出它的主要功能就是“发现并纠正错误”，它比奇偶校正技术更先进的方面主要在于它不仅能发现错误，而且能纠正这些错误，这些错误纠正之后计算机才能正确执行下面的任务，确保服务器的正常运行。

由于服务器内存在各种技术上相对兼容机来说要严格得多，它强调的不仅是内存的速度，而是它的内在纠错技术能力和稳定性。所以在外频上来说只能是紧跟兼容机或普通台式内存之后。台式机的外频一般来说已到了150MHz以上的时代，但133外频仍是主流。

而服务器由于受到整个配件外频和高稳定性的要求制约，内存、其它配件也一样，要尽量同步进行，否则就会影响整个服务器的性能。主要的服务器内存品牌主要有Kingmax、kinghorse、三星、kingston、IBM、VIKING、NEC等，但主要以前面几种在市面上较为常见，而且质量也能得到较好的保障。

1、禁止IPC空连接：

cracker可以利用net use命令建立空连接，进而入侵，还有net view，nbtstat这些都是基于空连接的，禁止空连接就好了。打开注册表，找到 Local_MachineSystemCurrentControlSetControlLSA-RestrictAnonymous 把这个值改成”1”即可。

2、禁止at命令：

cracker往往给你个木马然后让它运行，这时他就需要at命令了。打开管理工具-服务，禁用task scheduler服务即可。

3、关闭超级终端服务

如果你开了的话。这个漏洞都烂了，我不说了。

4、关闭SSDP Discover Service服务

这个服务主要用于启动家庭网络设备上的UPnP设备，服务同时会启动5000端口。可能造成DDOS攻击，让CPU使用达到100%，从而使计算机崩溃。照理说没人会对个人机器费力去做DDOS，但这个使用过程中也非常的占用带宽，它会不断的向外界发送数据包，影响网络传输速率，所以还是关了好。

5、关闭Remote Regisry服务

看看就知道了，允许远程修改注册表？除非你真的脑子进水了。

6、禁用TCP/IP上的NetBIOS

网上邻居-属性-本地连接-属性-Internet协议（TCP/IP）属性-高级-WINS面板-NetBIOS设置-禁用TCP/IP上的NetBIOS。这样cracker就无法用nbtstat命令来读取你的NetBIOS信息和网卡MAC地址了。

7、关闭DCOM服务

这就是135端口了，除了被用做查询服务外，它还可能引起直接的攻击，关闭方法是：在运行里输入dcomcnfg，在弹出的组件服务窗口里选择默认属性标签，取消“在此计算机上启用分布式COM”即可。

8、把共享文件的权限从”everyone”组改成“授权用户”

“everyone” 在win2000中意味着任何有权进入你的网络的用户都能够获得这些共享资料。任何时候都不要把共享文件的用户设置成”everyone”组。包括打印共享，默认的属性就是”everyone”组的，一定不要忘了改。

9、取消其他不必要的服务

请根据自己需要自行决定，下面给出HTTP/FTP服务器需要最少的服务作为参考：

l Event Log

l License Logging Service

l Windows NTLM Security Support Provider

l Remote Procedure Call (RPC) Service

l Windows NT Server or Windows NT Workstation

l IIS Admin Service

l MSDTC

l World Wide Web Publishing Service

l Protected Storage

10、更改TTL值

cracker可以根据ping回的TTL值来大致判断你的操作系统，如：

TTL=107(WINNT);

TTL=108(win2000);

TTL=127或128(win9x);

TTL=240或241(linux);

TTL=252(solaris);

TTL=240(Irix);

实际上你可以自己更改的：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters：DefaultTTL REG_DWORD 0-0xff(0-255 十进制,默认值128)改成一个莫名其妙的数字如258，起码让那些小菜鸟晕上半天，就此放弃入侵你也不一定哦。

11、账户安全

首先禁止一切账户，除了你自己，呵呵。然后把Administrator改名。我呢就顺手又建了个Administrator账户，不过是什么权限都没有的那种，然后打开记事本，一阵乱敲，复制，粘贴到“密码”里去，呵呵，来破密码吧~！破完了才发现是个低级账户，看你崩溃不？

12、取消显示最后登录用户

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNTCurrent VersionWinlogon：DontDisplayLastUserName把值改为1。

13、删除默认共享

有人问过我一开机就共享所有盘，改回来以后，重启又变成了共享是怎么回事，这是2K为管理而设置的默认共享，必须通过修改注册表的方式取消它： HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters： AutoShareServer类型是REG_DWORD把值改为0即可。

14、禁用LanManager 身份验证

Windows NT Servers Service Pack 4 和后续的版本都支持三种不同的身份验证方法： LanManager (LM) 身份验证；Windows NT(也叫NTLM)身份验证；Windows NT Version 20 (也叫NTLM2) 身份验证；

默认的情况下，当一个客户尝试连接一台同时支持LM 和 NTLM 身份验证方法的服务器时，LM 身份验证会优先被使用。所以建议禁止LM 身份验证方法。

1 打开注册表编辑器；

2 定位到 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa；

3 选择菜单“编辑”，“添加数值”；

4 数值名称中输入：LMCompatibilityLevel ，数值类型为：DWORD，单击 确定；

5 双击新建的数据，并根据具体情况设置以下值：

0 - 发送 LM 和 NTLM响应；

1 - 发送 LM 和 NTLM响应；

2 - 仅发送 NTLM响应；

3 - 仅发送 NTLMv2响应；(Windows 2000有效)

4 - 仅发送 NTLMv2响应，拒绝 LM；(Windows 2000有效)

5 - 仅发送 NTLMv2响应，拒绝 LM 和 NTLM；(Windows 2000有效)

6 关闭注册表编辑器；

7 重新启动机器；

好了，就说到这里，按我说的设置完毕，再加上一个网络防火墙，一个病毒防火墙，基本上一般的安全是能保证的