WINDOWS系统CVE的简单介绍

如何修复windows10上出现的服务器支持 TLS Client-initiated 重协商攻击(CVE-2011-1473)漏洞。

使用SSL开启重协商的服务都会受该漏洞影响

该漏洞存在于SSL renegotiation的过程中。对于使用SSL重协商功能的服务都会受其影响。特别的，renegotiation被用于浏览器到服务器之间的验证。

虽然目前可以在不启用renegotiation进程的情况下使用HTTPS，但很多服务器的默认设置均启用了renegotiation功能。

该漏洞只需要一台普通电脑和DSL连接即可轻易攻破SSL服务器。而对于大型服务器集群来说，则需要20台电脑和120Kbps的网络连接即可实现。

SSL是银行、网上电子邮件服务和其他用于服务器和用户之间保护私人数据并安全通信必不可少的功能。所以本次拒绝服务漏洞影响范围非常广危害非常大。

一、Apache解决办法：

升级到Apache 2.2.15以后版本

二、IIS解决办法：

IIS 5.0启用SSL服务时，也会受影响。可以升级IIS 6.0到更高的版本。

三、Lighttpd解决办法：

建议升级到lighttpd 1.4.30或者更高,并设置ssl.disable-client-renegotiation = "enable"。

四、Nginx解决办法：

0.7.x升级到nginx 0.7.64

0.8.x升级到 0.8.23 以及更高版本。

五、Tomcat解决办法：

1、使用NIO connector代替BIO connector，因为NIO不支持重协商，参考如下配置：

Connector protocol="org.apache.coyote.http11.Http11NioProtocol"

（可能会影响Tomcat性能）；

2、配置Nginx反向代理，在Nginx中修复OpenSSL相关问题。

六、Squid解决办法:

升级到3.5.24以及以后版本

扩展资料：

分布式拒绝服务攻击可以使很多的计算机在同一时间遭受到攻击，使攻击的目标无法正常使用，分布式拒绝服务攻击已经出现了很多次，导致很多的大型网站都出现了无法进行操作的情况，这样不仅仅会影响用户的正常使用，同时造成的经济损失也是非常巨大的。

分布式拒绝服务攻击方式在进行攻击的时候，可以对源IP地址进行伪造，这样就使得这种攻击在发生的时候隐蔽性是非常好的，同时要对攻击进行检测也是非常困难的，因此这种攻击方式也成为了非常难以防范的攻击。

参考资料来源：百度百科--分布式拒绝服务攻击

相关问答

Q1: Widows下压缩软件WinRAR 代码执行漏洞（CVE-2018-2025*）

国外安全人员Nadav Grossman 爆知名压缩软件WinRAR 存在安全漏洞，隐藏在软件的一个逻辑判断有问题，通过该漏洞可以实现代码执行。相关代码CVE编码为：CVE-2018-20250, CVE-2018-20251, CVE-2018-20252和CVE-2018-20253，

国家信息安全漏洞共享平台（CNVD）也已经收录该系列漏洞（CNVD-2019-04911、CNVD-2019-04912、CNVD-2019-04913和CNVD-2019-04910，分别对应CVE-2018-20250、CVE-2018-20251、CVE-2018-20252和CVE-2018-20253），并发出安全公告，公告称，攻击者利用上述漏洞，可在未授权的情况下实现任意代码执行。目前，漏洞利用原理已公开，厂商已发布新版本修复此漏洞。

该漏洞不仅影响WinRAR也影响 Bandizip，360压缩，2345好压 等多款压缩软件，请使用这些软件的及时更新。建议使用免费开源软件7zip，7zip不受该漏洞影响。

漏洞原理

WinRAR 是window系统下最常用的压缩包管理器，基于Windows图形界面，可进行备份数据、文件压缩和解压，支持RAR/ZIP等格式的文件，在windows用户中使用广泛，是装机必备软件之一。WinRAR是一个款商用收费软件，大多数用户使用的汉化或者破解版本，存在很大的安全隐患，不建议用户使用。

该次系列漏洞源于WinRAR依赖的旧动态链接库UNACEV2.dll，该库自从2006年已经有13年未曾更新过。该库主要用来处理ACE格式的压缩文件，在解压ACE文件时，处理代码中，代码逻辑判断出现问题，可以导致任意目录访问的穿越漏洞,可以利用漏洞进行文件写入，甚至增加开机项等高特权操作。涉及漏洞的逻辑代码演示版本如下：

该功能主要做以下检查：

第一个字符为"\"或"/"；文件名不以以下字符串"..\"或"../"开头，的"路径遍历"父目录；屏蔽以一下开头的 "路径遍历"字串： "\..\"、"\../"、"/../"、"/..\"。

unacv2.dll中的提取函数调用WinRAR中的StateCallbackProc，并将ACE格式的文件名字段作为参数传递给它。WinRAR回调的验证器检查相对路径，验证器将ACE_CALLBACK_RETURN_CANCEL返回到dll，（因为文件名字段以反斜杠"\"开头）并且文件创建被中止。将以下字符串传递给WinRAR回调的验证器："\sourbe\RED VERSION_¶"该名字会的下划线会被unacv2.dll替换为*。

由于dll中存在错误（"unacev2.dll"），回调中返回ACE_CALLBACK_RETURN_CANCEL，会由dll创建相对路径（ACE归档中的文件名字段）中指定的文件夹。由于unacev2.dll在创建文件夹之前调用验证器，在创建文件夹之后它会过早地检查回调的返回值。因此，在调用WriteFile API之前，它会在将内容写入提取的文件之前中止提取操作。它实际上创建了提取的文件，但是没有向其写入内容。它调用CreateFile API，然后检查回调函数的返回码。如果返回代码是ACE_CALLBACK_RETURN_CANCEL，它实际上会删除先前通过调用CreateFile API创建的文件。

由于该漏洞允许我们只创建空文件。可以通过在文件的末尾添加":"来绕过文件删除，该文件会被视为备用数据流。作为回调返回ACE_CALLBACK_RETURN_CANCEL，则dll会尝试删除文件的备用数据流而不是文件本身。如果相对路径字符串以"\"（斜杠）开头，则dll代码中还有另一个过滤函数会中止提取操作。但是，通过将"*"或"?"字符（通配符）添加到压缩文件的相对路径（文件名字段），将跳过此检查，并且代码可以继续执行并触发文件遍历漏洞。由于WinRAR代码中的回调验证器，它不会触发WinRAR中的错误。总结：

从WinRAR回调（ACE_CALLBACK_RETURN_CANCEL）获取中止代码后，unacev2.dll并没有中止操作。由于延迟检查WinRAR回调的返回代码，因此会创建漏洞利用文件中指定的目录。

提取的文件会在在exploit文件中指定的完整路径上创建的（空文件）。

从回调中检查返回的代码（在调用WriteFile API之前）之后立即删除它。可以绕过删除文件的方法，但只能创建空文件。

漏洞利用

ACE文件，改名为.rar格式

执行后触发漏洞，会创建文件C:\some_folder\some_file.txt。该路劲可以替换为其他更危险的目录造成其他攻击，比如启动项：

影响版本

WinRAR 5.70 Beta 1以下版本

Bandizip4.0.0.1170及以下版本

360 压缩4.0.0.1170及以下版本

好压(2345 压缩) 5.9.8.10907及以下版本

7zip几年前已经删除了调用该动态链接库的，所以不受该漏洞影响，7zip是开源免费，支持多格式的压缩软件，建议大家使用。

修复建议

尽快升级到最新版本的 WinRAR和上面提及的涉及软件。 WinRAR请升级到 5.70 Beta 1，其他软件等各官方更新后请自行升级。

为了避免攻击可以删除涉及的dll文件 UNACEV2.dll ，可以使用搜索（Everything等软件）。WinRAR中UNACEV2.dll截图如下：

Q2: Windows Server 2008或2012 修复CVE-2016-2183(SSL/TLS)漏洞的办法

转自

一、漏洞说明

Windows server 2008或2012远程桌面服务SSL加密默认是开启的，且有默认的CA证书。由于SSL/ TLS自身存在漏洞缺陷，当开启远程桌面服务，使用漏洞扫描工具扫描，发现存在SSL/TSL漏洞。

例如如下漏洞：

二、修复办法

1、登录服务器，打开windows powershell，运行gpedit.msc，打开“本地组策略编辑器”。

2、打开“本地组策略编辑器”-“计算机配置”-“管理模板”-“网络”-“SSL配置设置”， 在“SSL密码套件顺序”选项上，右键“编辑”。

3、在“SSL密码套件顺序”选在“已启用（E）” ，在“SSL密码套件”下修改SSL密码套件算法，仅保留TLS 1.2 SHA256 和 SHA384 密码套件、TLS 1.2 ECC GCM 密码套件。

（删除原有内容替换为：

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521,TLS_ECDHE_ECDSA,WITH_AES_256_GCM_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P521,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P521,TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_NULL_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA）。

修改后，点击“应用”、“确定”，即可。

4、重启服务器即可。

Q3: 另类方法转化windows系统身份

另类方法转换Windows操作系统身份

我们在使用Windows 2000/XP时，考虑到安全的原因，通常我们不会使用系统管理员(Administrator)的身份去登录自己的系统，而是使用一个级别相对比较低的身份去登录系统。但在使用过程中，有时候我们会遇到必须运行一些必须有系统管理员才能运行的程序。

到了这个时候，相信很多朋友都会选择“切换身份或者“注销的方法，用系统管理员的身份重新登录后再运行这个程序。这样做实在是非常的麻烦。其实，Windows就自带了一个命令来免去我们这么烦琐的操作。在这里，我们只需要运用一个命令:runas。

它的格式是:runas /user:系统管理员名字 要运行的程序。如runas /user: administrator regedt32。

在“开始→运行栏里我们输入这个命令后，单击“确定按钮，系统会要求我们输入系统管理员的密码，输入正确后，系统就会用相应用户的权限去执行我们要运行的程序了。

计算机软件升级实用技巧

随着计算机和网络技术日益普及，越来越多的家庭都拥有了电脑并且已经上网，为我们生活带来了无限便利和快乐。但是只要使用电脑――不管你是电脑的高手还是初学者，就离不开各类软件的应用。用最通俗的话来讲――没有软件的电脑根本无法使用。由于软件产品的特殊性又决定了，没有哪个厂家敢保证自己的软件产品是一步到位的，因此系统以及应用软件的升级就是大家在使用软件的过程中必然要遇到的问题。事实上，我们在使用计算机过程中也的确会遇到各种稀奇古怪的问题，这些问题有时并不都是使用操作不当造成，而是软件本身的缺陷所致。如果想让你的计算机运行的更加稳定、更加安全的话，在日常维护的时候可别忘记――软件升级。软件的升级主要包括两个方面：一个是操作系统得升级，另一个是操作系统下应用软件的升级。

一、 操作系统打补丁

1、升级就是打补丁

作为微软Windows操作系统家族成员中最先进的一个产品，微软Windows XP自出世以来就在中国市场中获得了广泛好评和客户的认同，它出色的兼容性和移动性也被业界所推崇。但是“金无足赤”、

任何一个软件产品都会有或多或少的毛病，何况是超乎寻常复杂的操作系统。Windows XP也是如此，照样存在着数以万计的系统漏洞。我们经常说的～给系统升级，实际上就是给系统打补丁，而补丁也主要是针对操作系统来量身定制的，如今的网络时代，在Internet上冲浪、与好友交流的时候，说不定就有人正在利用系统的漏洞让你无法上网，甚至侵入你的计算机盗取------对一些分区进行格式化操作！所以我们给微软打补丁有以下几个目的：

1） 增强系统安全性。这是最重要的，面对众多的黑客、病毒，微软公司接二连三地推出各种系统安全补丁，中心目的还是为了增强系统的安全性。而且无论你用计算机欣赏音乐、上网冲浪、运行游戏，还是编写文档都不可避免地需要涉及到补丁程序。

2） 提高系统可靠性和兼容性。补丁中有很多可以提高你的硬件性能，还可以使你的系统更加稳定。

3） 实现更多的功能。补丁中有很多使用的小软件，这些都是微软所推荐用户添加的，多了它们没有什么坏处。

2、怎样让系统打上补丁

朋友们对Service Pack（简写为SP）一定不会陌生吧！它就是微软每隔一段时间就要推出的补丁包的集合软件。微软的操作系统及软件产品漏洞很多，微软不得不频繁地发布各种Hotfix（通常称为修补程序）来进行修补，但对一般用户来说，要查看自己的电脑是否安装了某个Hotfix是一件麻烦事，下载安装各种Hotfix也很繁琐，微软为了解决问题，就开始发布SP补丁包，SP补丁包中包含有SP发布日期前所发布的所有Hotfix。也就是说，Hotfix是针对某一个问题的单一补丁，SP包含SP发布日期前的所有Hotfix补丁。因此，只要你下载并安装了SP补丁包，就不需要再去下载安装SP发布日期前的Hotfix了。SP补丁包按发布日期的先后顺序排列，这样便有了SP1、SP2、SP3……等等。

针对Windows操作系统的SP补丁包是可叠加补丁包，也就是说SP2中已包含有SP1中的所有补丁，SP3中已包含有SP2、SP1中的所有补丁，以此类推，如Windows 2000现在就有SP1、SP2、SP3、SP4补丁包。不过，Office产品的SP补丁包是不可叠加补丁包，比如SP2只包含有SP1发布日期以后到SP2发布日期前这一段时间内的所有补丁，以此类推。因此，对于Windows产品来说，用户只需下载并安装最新的SP补丁包即可。而对于Office产品则必须下载并安装所有的SP补丁包，这一点务必要注意。

怎样重新安装Windows

1、执行病毒和恶意软件扫描您的计算机上，然后重新安装Windows。虽然重新安装过程将覆盖任何受感染的系统文件，可以感染其他计算机上的文件。运行扫描，再重新安装，以消除感染或删除受感染的文件，使他们无法再次感染你的系统重新安装后，你已经完成了。当扫描完成后，关闭您的杀毒软件，然后再开始重新安装，并把它关闭，直到过程完成后。

2、通过将数据复制到闪存驱动器，外部硬盘驱动器或内部硬盘驱动器是分开的，从你的Windows分区的分区，让您的文档，图片和其他重要数据的备份副本。如果这些选项不可用，使用可移动介质，如可写DVD光盘，备份您的文件。其他软件，你会重新找到你的Windows产品密钥，产品密钥，应包含安装光盘或Windows键，如果它来连接到您的计算机上安装的Windows。写下详细信息，如您的用户名，计算机名和工作组名称，确保它们输入正确完成重新安装后。

3、确定你希望怎样重新安装Windows。给你两个选项可供选择：一个完整??的重新安装，使用“自定义安装选项或“就地升级重新安装使用“升级安装选项。一个完整的重新安装，让您选择驱动器分区格式化，再重新安装，虽然是在不需要格式化。在就地重新安装覆盖系统文件，以同样的方式，升级到另一个版本的Windows将不重新格式化驱动器。如果您决定要格式化的驱动器，你会选择之间的全格式安全地删除所有的分区信息，并快速格式化，覆盖以前的数据。全格式可确保所有以前的数据完??全删除，但它需要更长的时间比一个不太安全的快速格式。

4、卸载任何Service;Pack更新您之前已经安装，如果您不打算格式化Windows分区。这是通过点击“查看已安装的更新链接，在“卸载程序窗口，选择你想删除的Service;Pack更新，点击“卸载按钮。Windows可能无法正确??重新开始安装过程之前，因为软件会看到重新安装过程中，未经授权的降级不会被删除，如果服务包更新。

重新安装

5、将Windows安装光盘插入到您的计算机的DVD驱动器。如果你想执行“就地升级重新安装，从光盘运行“setup.exe文件，在Windows运行时。如果您打算进行完全重新安装，重新启动计算机，并出现提示时，按任意键从DVD驱动器中的光盘启动。

Windows TrueType字体处理引擎存在严重漏洞（江民国内率先开发漏洞防御方案）

微软于11月5日发布安全警报称，Windows系统组件TrueType字体处理引擎中存在一个漏洞（CVE-2011-3402），成功利用此漏洞的攻击者可在核心模式下运行任意代码、安装任意程序、查看或删除指定数据，或者创建完全权限的账户。目前微软已经监测到利用此漏洞进行的攻击事件。受影响的系统列表如下：

Windows XP Service Pack 3

Windows XP Professional x64 Edition Service Pack 2

Windows Server 2003 Service Pack 2

Windows Server 2003 x64 Edition Service Pack 2

Windows Server 2003 with SP2 for Itanium-based Systems

Windows Vista Service Pack 2

Windows Vista x64 Edition Service Pack 2

Windows Server 2008 for 32-bit Systems Service Pack 2（服务器核心安装方式不受影响）

Windows Server 2008 for x64-based Systems Service Pack 2（服务器核心安装方式不受影响）

Windows Server 2008 for Itanium-based Systems Service Pack 2

Windows 7 for 32-bit Systems and Windows 7 for 32-bit Systems Service Pack 1

Windows 7 for x64-based Systems and Windows 7 for x64-based Systems Service Pack 1

Windows Server 2008 R2 for x64-based Systems and Windows Server 2008 R2 for x64-based Systems Service Pack 1（服务器核心安装方式不受影响）

Windows Server 2008 R2 for Itanium-based Systems and Windows Server 2008 R2 for Itanium-based Systems Service Pack 1

针对这一漏洞，微软称将以定期或不定期的方式发布安全更新进行修复。在正式补丁发布之前，一同以往微软发布了临时解决方案供用户缓解漏洞所造成的威胁。

1.强力推荐：安装江民杀毒软件KV2011。 江民杀毒软件率先针对此漏洞开发了防御方案，并因此得到微软官方的认可。

点击下载精简版安装包（只适用于32位系统）

点击下载完整版安装包（32位）

点击下载完整版安装包（64位）

2.应用微软官方的临时解决方案

点我下载全自动安全防范工具

点我下载全自动撤销工具（必须下载以备今后使用）

注意 ：根据以往的经验显示，微软的补丁不会在替换文件之前撤销目标文件的禁止访问权限。因此，如果之前对相关文件设置了禁止访问权限，在安装补丁前一定要先撤销其权限设定再安装补丁。否则，补丁将无法应用。因此，上面的撤销工具一定要下载以备补丁推出时使用。

Windows系统常见故障的解决方法

Windows 操作系统使用中可能会遇到一些问题，下面就给大家讲讲几个例子。

在Windows Vista里复制文件速度很慢

问：

新安装了Windows Vista，我发现它删除文件和复制文件都很慢，比以前用的Windows XP慢了很多，复制3G的文件就需要几个小时。不管是局域网和本机复制、移动，都一样慢。我的电脑配置是扣肉、2G内存和SATA2硬盘，硬件性能没有问题。请问董师傅，是不是我的Windows Vista没有设置好?

答：

Windows Vista的确存在复制、移动文件时速度慢甚至死机的问题，对此，微软已经发布了补丁(KB931770)来解决这个问题。你的系统是新安装的，估计你还没有打上补丁，建议你单击“开始菜单上的“Windows Update去安装该补丁。或者使用搜索引擎以“KB931770下载为关键词，找到该补丁的下载地址。

重命名Administrator账户为别的名字

问：

我装的是系统是Windows Server 2003，使用的用户名是Administrator。为了确保账户安全，我想更改Administrator为别的名字。请问我该怎么更改?

答：

单击“开始→运行，输入gpedit.msc回车打开“组策略编辑器，在左边的窗格中依次单击“计算机配置→Windows设置→本地策略→安全选项，接着在右边的窗格中双击“账户：重命名系统管理员账户，在“本地安全设置选项卡中输入你要更改的名字，单击“确定。然后注销或者重新启动电脑，使用新的用户名登录系统。

为什么我的文件夹共享和别人的不一样?

问：

我在局域网内把自己的`Windows XP设置了一个共享文件夹。但是大家发现我的共享文件夹命令很少，无法对文件夹里面的内容进行读写操作。请问应该如何设置?

答：

是因为你在Windows XP中设置简单文件共享的缘故，将简单文件共享去掉即可解决问题。方法很简单，在“我的电脑中选择“工具→文件夹选项→查看，在下面的高级设置中去掉“使用简单文件共享的勾选，然后保存即可。

删除AVG Anti-Spyware guard服务

问：

我卸载了AVG Anti-Spyware 7.5.1.43，但在Windows XP的“服务里还残留有它的自启动服务“AVG Anti-Spyware guard。请问董师傅如何删除该服务?

答：

打开注册表编辑器，在HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices注册表项下找到guard，将它删除即可。如果删不掉，可以使用IceSword打开注册表来删除该服务。

巧妙解决windows系统登录时自动注销的问题

解决WinXP/Win2000 登录后自动注销的问题

症状：登录后立刻自动注销，出现windows2000XP登陆窗口以后，正确输入用户名和密码，出现了“正在加载个人设置……对话框，但马上又回到了登陆窗口，多次重复，问题依旧。就是在安全模式下，也是不能登陆

userinit.exe文件丢失及其相关注册表键值错误导致不能正常登录系统

userinit.exe一般位于系统目录下，比如在 Windows XP 系统中就是在C:WINDOWSSYSTEM32下面，文件属性中的描述是：Userinit Logon Application，同时在注册表中有一个键值指向这个文件：

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogonUserinit

在我用的 Windows XP 系统上此键值为：C:WINDOWSsystem32userinit.exe,

（在 Windows 2000 系统上此键值则为：C:WINNTsystem32userinit.exe,）

在登录系统后首先将读取这个键值并执行其中指向的程序，如果此键值被某些病毒修改或userinit.exe文件被误删除，就会出现登录系统后立即注销的情况，只能借助操作系统的安装光盘及一些网络上流传的系统急救光盘进行修复。

故障排除方法：

userinit.exe文件丢失和注册表键值错误的恢复方法是不同的，故分别表述。

1、userinit.exe文件丢失

方法一、原位升级安装

很多系统问题可以用这个方法解决，比如反复自动重启之类，优点是不影响原有的应用软件，个人设置也不会丢失，缺点是花时间比较多，重装系统至少也要半个小时左右吧。

有关原位升级安装的具体内容请参考微软的KB：

Windows 2000：

Windows XP：

Windows 2003：

方法二、用故障恢复控制台

从 Windows 2000 开始安装光盘附带故障恢复控制台功能，用它能解决很多系统问题，有关故障恢复控制台的使用方法请参考微软的KB：

Windows 2000：

Windows XP：

Windows 2003：

针对本文所述问题的解决方法是，用操作系统的安装光盘启动计算机进故障恢复控制台，键入（假设光驱盘符为F）：

cd system32

expand f:i386userinit.ex_

exit

2、userinit.exe相关注册表键值错误

方法一、原位升级安装

这种方法前文已有说明，不再赘述。

方法二、用网络上流传的系统急救光盘

光盘附带注册表编辑工具的就行，比如深山红叶袖珍PE工具箱、Rock2000做的中文菜单超级启动工具光盘，另外，《计算机应用文摘》每月下旬刊附带的光盘也可以。

在此以使用中文菜单超级工具启动光盘(2005.10.30)为例说一下修复方法。

用这张光盘启动计算机，选[1] Windows NT/2000/XP 工具，再选[2] Windows PE中文版带汉化ERD2003，进入命令行界面后，键入erd2003启动ERD2003系统，开始 - 注册表编辑器，按本文开头所述修改为正确的键值即可。

这个方法也是推荐使用的方法，速度快且操作比较简单。

方法三、用故障恢复控制台

因为在故障恢复控制台下无法编辑注册表，所以只能先恢复系统刚安装好时的设置正常登录后，修改预先备份的当前注册表内容为正确的键值，再恢复修改后的注册表，正常登录系统。这个方法比较复杂，只有在你不想用方法一重装系统手头又找不到别的急救光盘时使用。

用操作系统的安装光盘启动计算机进故障恢复控制台，键入（以 Windows XP 为例，如果你用的是 Windows 2000 请将以下命令行中的windows改成winnt）：

md regtemp

cd system32

cd config

copy default windowsregtemp

copy sam windowsregtemp

copy security windowsregtemp

copy software windowsregtemp

copy system windowsregtemp

del default

del sam

del security

del software

del system

copy windowsrepairdefault

copy windowsrepairsam

copy windowsrepairsecurity

copy windowsrepairsoftware

copy windowsrepairsystem

exit

重启后将恢复系统刚安装好时的配置文件，登录系统后，开始 - 运行 - regedit（如果使用的是 Windows 2000 的操作系统，此处应该键入：regedt32），找到HKEY_LOCAL_MACHINE注册表分支，文件 - 加载配置单元（Windows 2000 系统为：注册表 - 加载配置单元），加载刚在故障恢复控制台中保存的c:windowsregtempsoftware文件，取一个项名称（比如为： regtemp），然后在这个项下找到本文开头所述键值，修改为正确的值，修改完成后选取刚才加载的regtemp项，文件 - 卸载配置单元（Windows 2000 系统为：注册表 - 卸载配置单元）。

重启计算机进故障控制控制台，键入（以 Windows XP 为例，如果你用的是 Windows 2000 请将以下命令行中的windows改成winnt）：

cd system32

cd config

deldefault

delsam

delsecurity

delsoftware

delsystem

copy windowsregtempdefault

copy windowsregtempsam

copy windowsregtempsecurity

copy windowsregtempsoftware

copy windowsregtempsystem

exit

Q4: Windows Hello 可绕过漏洞进行身份认证

Windows 安全漏洞将允许攻击者欺骗用于系统生物特征面部识别方面的 USB 摄像头。

微软 Windows 10 无密码身份验证系统中的一个漏洞已被发现，攻击者可以利用该漏洞欺骗人脸图像以欺骗面部识别系统并控制设备。 【 网安资料 】

Windows Hello是Windows 10提供的一个新的安全功能，该功能通过生物识别技术为小伙伴们带来指纹、人脸和虹膜等多种身份验证方式，具有极高的安全性。只有具备特定的硬件设备才能使用Windows Hello功能。例如，指纹识别技术需要指纹收集器，人脸和虹膜识别技术需要Intel 3D RealSense摄像头或采用该技术并得到微软认证的同类设备。使用Windows Hello功能之前需要先启用PIN码，如果没有为当前登录系统的用户账户设置密码，那么需要在启用PIN码之前先为该账户创建密码。设置好PIN码后，如果已经为计算机安装好了Windows Hello所需的硬件设备，接下来可以通过设置向导来启用Windows Hello功能。成功启用Windows Hello后，小伙伴们将获得企业级别的安全性。以后只需通过快速轻扫手指或对着RealSense摄像头刷脸来登录Windows 10操作系统，而不再需要手动输入任何密码。据微软称，大约 85% 的 Windows 10 用户使用该系统。

CyberArk Labs 的研究人员早在 3 月份发现了该漏洞，并该漏洞命名为  CVE-2021-34466  ，并被评为重要严重性的Windows Hello漏洞。

根据 Microsoft 对安全漏洞的评估，未经身份验证的攻击者需要物理访问目标设备才能在高复杂性攻击中利用它。

攻击者利用这个漏洞可以继续操纵身份验证过程，方法是捕捉或重现目标的面部照片，然后插入定制的USB设备，将伪造的图像注入身份验证主机。

此外，该绕过漏洞的利用可以扩展到Windows Hello系统之外的任何认证系统，允许可插接的第三方USB摄像头作为生物识别传感器。

研究人员没有证据表明有人曾在野外尝试或使用过这种攻击，但有攻击动机的人可能会将其用于目标间谍受害者，比如研究人员、科学家、记者、活动家或设备上有敏感IP的特权用户。

微软在其 July Patch Tuesday update 中修复了该漏洞，该漏洞会影响该功能的消费者和商业版本。此外，Windows Hello 增强登录安全性（Windows 中的一项新安全功能需要专门的预装硬件、驱动程序和固件）的 Windows 用户可以免受任何“篡改生物识别管道”的攻击。然而，Tsarfati 表示，该解决方案可能无法完全缓解这个漏洞。

根据我们对缓解措施的初步测试，使用具有兼容硬件的增强登录安全性限制了攻击面，但依赖于拥有特定摄像头的用户，对于系统设计而言，对来自外围设备的输入的隐式信任仍然存在。为了更全面地缓解这种固有的信任问题，主机应该在信任生物特征认证设备之前验证它的完整性。

【 网安资料 】

CyberArk的研究人员发布了一段关于如何利用该漏洞的概念验证(PoC)的视频，该视频可用于消费者版本 Windows Hello 和名为 Windows Hello 企业版 (WHfB) 的企业版功能企业使用 ActiveDirectory。

绕过漏洞本身利用了 Windows Hello 生物识别传感器的一个漏洞，它“传输信息，操作系统……根据这些信息做出身份验证决定”。 因此，操纵这些信息可能导致绕过整个身份验证系统。

对于面部识别，生物识别传感器可以是嵌入在设备（如笔记本电脑）中的摄像头，也可以是通过 USB 连接到计算机的摄像头。因此，整个过程依赖于这个摄像头来证明身份，这就是漏洞所在，特别是当使用 USB 摄像头进行身份验证时。

问题就出在输入本身，在将信息输入系统之前，只有打字的人才知道键盘输入，而摄像头输入则不然。

因此，使用摄像头访问“公共”信息（即人脸）进行身份验证很容易被劫持。这类似于窃取密码，但由于数据（人脸）在那里，因此更容易访问。这个漏洞的核心在于，Windows Hello允许外部数据源作为信任的根源，而外部数据源可以被操纵。

【 网安资料 】

研究人员详细介绍了攻击者捕获某人图像、保存捕获的帧、冒充 USB 摄像头设备并最终将这些帧发送到 Windows hello 系统进行验证的稍微复杂的方法。

为了证明这一概念，他们使用 NXP 制造的评估板创建了一个自定义 USB 设备，该设备用作带有红外 (IR) 和红绿蓝 (RGB) 传感器的 USB 摄像头。他们使用这个自定义摄像头来传输目标人物的有效红外帧，同时发送卡通人物海绵宝宝的RGB帧图像。令研究人员惊讶的是，它奏效了。

基于这种原理，攻击者只需要实现一个支持 RGB 和 红外相机的 USB 摄像头，然后只发送受害者的一个真正的 IR 帧来绕过设备的登录阶段，而 RGB 帧可以包含任何随机图像。

整个过程依赖于攻击者拥有一个潜在受害者的红外帧，这可以通过捕获一个或将一个人的常规RBG帧转换为红外帧来实现

研究人员的研究结果表明，任何USB设备都可以被复制，而且任何USB设备都可以模仿其他USB设备。我们使用人的 IR 帧来绕过人脸识别机制。研究人员相信这些 IR 帧可以用常规的彩色图像创建出来。

【 再也不用担心我的网络安全学习-很想给她来一巴掌 】

【 网安资料 】