A. 關於別人用軟體限制我電腦寬頻~!高手進來..
1．桌面漏洞
Internet
Explorer、Firefox和Windows操作系統中包含很多可以被黑客利用的漏洞，特別是在用戶經常不及時安裝補丁的情況下。黑客會利用這些漏洞在不經用戶同意的情況下自動下載惡意軟體代碼――也稱作隱藏式下載。
2．伺服器漏洞
由於存在漏洞和伺服器管理配置錯誤，Internet Information Server（IIS）和Apache網路伺服器經常被黑客用來攻擊。
3．Web伺服器虛擬託管
同時託管幾個甚至數千個網站的伺服器也是惡意攻擊的目標。
4．顯性/開放式代理
被黑客控制的計算機可以被設置為代理伺服器，躲避URL過濾對通信的控制，進行匿名上網或者充當非法網站數據流的中間人。
5．HTML可以從網頁內完全不同的伺服器嵌入對象
用戶可以從特定網站請求瀏覽網頁，只自動地從Google分析伺服器等合法網站下載對象；廣告伺服器；惡意軟體下載網站；或者被重新導向至惡意軟體網站。
6．普通用戶對安全狀況不了解
多數用戶不了解三種SSL瀏覽器檢查的原因；不了解如何驗證所下載程序的合法性；不了解計算機是否不正常；在家庭網路內不使用防火牆；也不知道如何區分釣魚網頁和合法網頁。
7．移動代碼在網站上被廣泛使用
在瀏覽器中禁用JavaScript、Java
applets、.NET應用、Flash或ActiveX似乎是個好主意，因為它們都會在您的計算機上自動執行腳本或代碼，但是如果禁用這些功能，很多網站可能無法瀏覽。這為編碼糟糕的Web應用開啟了大門，它們接受用戶輸入並使用Cookies，就像在跨站點腳本（XSS）中一樣。在這種情況下，某些需要訪問與其他開放頁面的數據（Cookies）Web應用會出現混亂。任何接受用戶輸入的Web應用（博客、Wikis、評論部分）可能會在無意中接受惡意代碼，而這些惡意代碼可以被返回給其他用戶，除非用戶的輸入被檢查確認為惡意代碼。
8．全天候高速寬頻互聯網接入的廣泛採用
多數企業網路都受防火牆的保護，而無網路地址轉換（NAT）防火牆的家庭用戶很容易受到攻擊而丟失個人信息；充當分布式拒絕訪問服務（DDOS）的僵屍計算機；安裝託管惡意代碼的Web伺服器――家庭用戶可能不會對這些狀況有任何懷疑。
9．對HTTP和HTTPS的普遍訪問
訪問互聯網必須使用Web，所有計算機都可以通過防火牆訪問HTTP和HTTPS（TCP埠80和443）。可以假定所有計算機都能夠訪問外部網路。很多程序都通過HTTP訪問互聯網，例如IM和P2P軟體。此外，這些被劫持的軟體打開了發送僵屍網路命令的通道。
10．在郵件中採用嵌入式HTML
由於SMTP電子郵件網關會在一定程度上限制可以郵件的發送，黑客已經不經常在電子郵件中發送惡意代碼。相反，電子郵件中的HTML被用於從Web上獲取惡意軟體代碼，而用戶可能根本不知道已經向可以網站發送了請求。
6.安裝反病毒軟體並保持更新
自引導區病毒出現之日起，安裝反病毒軟體已經成為標準的程序，用來檢查進入的文件、掃描內存和當前文件。任何運行Windows的計算機都應當安裝最新的反病毒軟體。如果「壞東西」已經突破所有其他網路保護，這就是最後的防線。此外，反病毒軟體可以很好地抵禦通過非網路方法傳播的惡意軟體，例如光碟或USB快閃記憶體。
7.只訪問通過所有瀏覽器檢查的HTTPS網站
多數用戶不了解三種SSL瀏覽器檢查的重要性，或者不理解不要訪問未通過所有三項檢查的網站。SSL檢查是過期證書；不值得信任的發布者；以及證書與所請求URL之間的主機名不匹配。
8.只從值得信任的網站下載可執行程序
社會工程在互聯網上非常活躍！一種發布惡意軟體的有效方式是把其捆綁到看似有用的程序中。執行以後，惡意軟體就會為所欲為。這種攻擊類型也稱作特洛伊木馬攻擊。
9.不要訪問把IP地址用作伺服器的網站
最近的攻擊越來越多地利用安裝有簡單Web伺服器的家用計算機。受害者的機器通常通過IP地址而不是DNS主機名被導向新的家庭計算機伺服器。合法網站的URL會使用主機名。
10.仔細地輸入網址避免錯誤
用戶永遠不要試圖訪問惡意軟體網站，但意外總是有可能發生。錯誤地輸入網址通常會登錄某些坐等您上門的網站。如果您的瀏覽器未安裝所有補丁，您很可能在下載過程中下載到惡意軟體。
註： 保護Web網關，阻止惡意軟體
通過Web網關保護，您可以阻擋很多Web攻擊。確保您的安全Web網關提供：
-> URL過濾功能，用於防止惡意軟體下載，電話交易和錯誤輸入
-> 惡意軟體掃描功能，掃描病毒、間諜軟體、惡意移動代碼（MMC）、有害的軟體、木馬、僵屍網路、蠕蟲等。
-> 針對HTTPS網路通信的保護，而不僅僅是HTTP和FTP
-> 為真實文件類型檢查有效載荷，而不是信任文件擴展名或其他為了躲避檢查而進行的文件修改
-> SSL瀏覽器檢查的強化
-> 阻止訪問採用IP地址而不是主機名的URL
-> 只允許來自可信網站的可執行和移動代碼
-> 允許有選擇性地訪問用戶（例如IT管理員）的可執行文件灰色列表中的文件
-> 自動定期地一天多次從可信的反惡意軟體提供商那裡下載更新
-> 為網路通信優化的可擴展掃描，因為用戶對延遲非常敏感
• 避免重新掃描重復的流量
• 反常的大型網路下載（>200kb），不要削弱常規網路通信掃描的性能
• 不要浪費資源來維護大量的活躍TCP連接（在流行的網路搜索引擎上進行安全搜索，盡量避免被導向惡意軟體伺服器
-> 提供掃描引擎選擇，更好地補充您的桌面掃描
-> 不要相信通過IP地址訪問網頁
-> 可以識別無限數據流，例如互聯網電台廣播，這些數據流永不停止，從不會被掃描
B. 為什麼內網的人用網路管理軟體可以禁止我上網，這是通過什麼原理進行的，如何阻止
反擊網路執法官
作為管理軟體的「網路執法官」已經流行一段時間了，對於深受其害的小菜們一定對他非常痛恨，今天我們以網管及被管理者的身份說說該軟體的執法過程、突破過程。首先我們先看一下網路上對「網路執法官」的描述：可以在區域網中任意一台機器上運行網路執法官的主程，它可以穿透防火牆、實時監控、記錄整個區域網用戶上線情況，可限制各用戶上線時所用的IP、時段，並可將非法用戶踢下區域網。該軟體適用范圍為區域網內部，不能對網關或路由器外的機器進行監視或管理！
因為在網路上傳聞它可以穿透防火牆，真是嚇了我一大跳，但在軟體方有沒有這種說法，我就不清楚了，可能是一些擁護者把他神聖化了，於是俺開始研究他如何穿透防火牆的。讀完此文您也就知道「穿透防火牆是怎麼實現的」。
其實「絡網執法官」是通過ARP欺騙來達到管理目的，網路關於ARP欺騙的文章很多，不太清楚的可以去搜索一下。其實「絡網執法官」只不過是一個很普通的管理軟體，其功能雖說更全面、更穩定但也和其它軟體沒有什麼本質上的分別。要想知道他是怎麼管理所在網段而不讓所管理的工作站上網，這還要追尋到網路通信原理上面。因為此軟體主要特性是建立在數據鏈路層，所以其它我就將他簡化了，圖表一是IOS七層參考模型主要功能。
網路基礎：物理層、數據鏈路層、網路層
使用者方面：傳輸、會話、表示及應用層
我們知道，我們的通信是和網路的七層協議密切相關的，以下我們虛擬一個區域網，來講解網路通信過程及「網路執法官」的管理過程。當我們在七層協議最上層，主機A想和其它主機通信，比如telnet到主機B，各層都為數據打包後在封裝自己能識別的數據標簽，我們只說四層以下的通信過程，如圖二。
1、當數據包到達傳輸層，由於telnet使用TCP協議，傳輸層將上層傳過來的數據不變在封裝TCP的包頭以便目標主機可以正確解包，繼續向下層（網路層）傳遞。
2、網路層同樣不會改變之前的數據包，當然也包括之前的任何頭文件，首先主機A要對目標主機作判斷，他會用自己的IP地址和自己的子網掩碼進行與運算結果是172.16.12.0，然後在拿自己的掩碼和主機B的IP地址作與運算，結果是172.16.12.0，這個時候他知道他們在同一網段內，這時他會封裝自己的IP及目標的IP地址，同上層傳下來的數據一下向下傳。
3、數據鏈路層其實包括兩個子層，一是LLC子層另一個是MAC子層。我們知道在乙太網中通信是物理定址的，在這層中會封裝自己的MAC地址及對方的MAC地址。當然用戶是沒有通知他MAC地址是多少的，這時主機會查自己的緩存表，看有沒有主機B的MAC地址，如果有就封裝，否則他會發一個ARP的地址解析廣播包，該包只會存活在該網段並且以打了標簽，雖說所有的主機都可以收到該廣播包，但只會傳遞到該主機的數據鏈路層，更確切的說傳遞到了數據鏈路層的高層就給丟棄了。
4、接著該數據會從我們的網線等傳輸介質傳出去，主機B當收到數據的時候進行相同的工作但是作相反的操作，我相信不用解釋太多您能明白，如圖三所示。
以上是簡單的描述了一下兩台主機的數據傳輸過程，說了半天也沒說到「絡網執法官」是怎麼可以不讓我們上網的，其實我們區域網的工作站想通過代理伺服器上公網的數據包和以上就有點不同了，其實明白了上面的我們就很容易了解工作站去公網的數據包是怎麼走的了。
話說主機A想去黑X官方網站，數據在傳輸到網路層的時候在這個時候呢他會用自己的IP和自己的子網掩碼進行與結果是172.16.12.0，然後在拿自己的掩碼和黑X官方網站的IP與運算（黑X的IP地址由DNS得到），結果為61.152.251.0發現不在同一個網段，注意：這時也是用自己IP和目標IP進行封裝，然後向下層傳遞。在數據鏈路層這時就不會封裝黑X的MAC地址，他也不知道MAC地址是什麼，這時他會封裝網關的MAC地址，而讓網關將數據轉發出去。同時在網關收到數據時候，他會查看目標IP地址，當然不是他自己的IP地址了，所以他知道這個數據發是要由他路由出去的，然後把數據包發給了他的鄰居或網路運營商的路由器上去，重復以上動作，在TTL值為0之前將數據傳遞給黑X官方網站，數據傳遞成功！
至於「網路執法官」為什麼可以根據網卡的MAC剝奪我們上網的權力呢！由於「網路執法官」利用ARP欺騙的原理，他會持續不斷的發低速的ARP廣播包，他主要是欺騙該PC機的第二層設備，使得該主機迷失正確的MAC地址，使第二層功能失效。該軟體管理有如下症狀:
1、主機無法訪問internet，而區域網功能沒問題，是由於ARP歪曲的通告一個偽網關MAC地址，使用戶機器無法找到真正網關的MAC地址，當然在數據鏈路層就封裝錯誤了。
2、無法訪問internet、無法使用區域網功能（一般網管不會這么做，只會對付受限制用戶的手法），這種情況是運行「網路執法官」的主機欺騙了所有區域網中同網段主機，使所有主機歪曲的記錄了被管理的主機的MAC地址，同樣被管理的主機也會錯誤的記錄到其它主機的MAC地址，導致如上結果。
3、無法訪問internet、無法使用區域網功能、桌面上常常彈出「IP地址沖突」的字樣（一般受限制用戶也不會有此待遇），這種是一個典型的「IP地址爭奪游戲」。
在針對這種以MAC地址+IP地址來管理我們的網路管理軟體，在對付第一種限制時，區域網無限制。網上有種方法就是用http、sock代理，就是給同網段一台機器上安裝相應的軟體，起到可以上網的辦法！但是您說這種方法可行嗎？圖四給你結論，當網管發現後會繼續封殺！一般網管不用發現該方法也是不可行的，比如：你看到一件事物是假的，你用看到的事物在去思考當然也是假的。
還有一種方法，就是改MAC地址，當然，這種方法是從原理上把這種軟體控制功能給搞定了，但是您別忘了這個公司除了網路管理軟體還有網管本人呢！他會根據您的IP地址及計算機名繼續封殺。小菜問了：「我改了計算機名、IP地址、MAC地址那不就OK了嗎？」常理說這種方法是一定行的，但是一個合理規劃的網路是不會讓你隨意更改以上各種設置的。比如公司30台主機，網關的設置是192.168.1.1/27，看你怎麼改，當網管工作不認真的時候告訴您，你暫時勝了，要是遇到我哈哈……。如果網管也是個小菜完全可以用這個方法以達到上網的目的，但是這個時候在「網路絡執法官」的主界面中會多出一個用戶來。
在網路上呼聲最高的一種，暴力解決，拿個比管理軟體頻率更高的ARP軟體和網管（頻率達到幾千個Frame/秒）對攻，更有甚者提倡用網路執法官VS網路執法官，這種方法是最可笑的，因為軟體設計中為了保護網管不被攻擊而設置了「友鄰用戶」他們可以相互發現但不能相互管理，這是我說為什麼這種方法可笑的原因。另外在「日誌」中可以查到友鄰用戶的記錄，如果被網管查到是你在搞鬼，我相信你的這個月的獎金沒了！
靜態MAC地址突破管理，arp –d、arp –s等命令把ARP高速緩存改成ARP靜態緩存,這種對於只限制了internet的功能，並且網路執法官是安裝在網關上是行之有效的，如果軟體沒有安裝在網關上嘿嘿……還是不行。（小菜：那麼我們就沒辦法上網了嗎？）當然不是，一種方法只能保證TCP連接可以通信，就是自己用靜態ARP緩存，並且不斷的向網關及其它主機發送正確自己的MAC地址信息，可以保證上internet的TCP正常連接，註：TCP有錯誤檢測機制，可以重傳！當然，如果網管是一個非常狡猾而且卑鄙的話，還會在一分鍾內把你踢出局！
看網路執法官很厲害吧！大家一定以為我在為這款軟體作廣告，其實是想告訴大家不同的管理方法我們要用不同的對策，攻防中才有進步嘛！我在來看看他的管理范圍如圖四，他的管理%