Posts tagged 使用
VNC的使用-汉化的VNC
三 23rd
『VNC简介』
网络遥控技术是指由一部计算机（主控端）去控制另一部计算机（被控端），而且当主控端在控制端时，就如同用户亲自坐在被控端前操作一样，可以执行被控端的应用程序，及使用被控端的系统资源。
VNC（Virtual Network Computing）是一套由AT&T实验室所开发的可操控远程的计算机的软件，其采用了GPL授权条款，任何人都可免费取得该软件。VNC软件 主要由两个部分组成：VNC server及VNC viewer。用户需先将VNC server安装在被控端的计算机上后，才能在主控端执行VNC viewer控制被控端。
（在windows中也由一套著名的网络遥控软件――Symantec公司推出的pcAnywhere。
VNC server与VNC viewer支持多种操作系统，如Unix系列（Unix，Linux，Solaris等），windows及MacOS，因此可将VNC server 及VNC viewer分别安装在不同的操作系统中进行控制。如果目前操作的主控端计算机没有安装VNC viewer，也可以通过一般的网页浏览器来控制被控端。
整个VNC运行的工作流程如下：
（1） VNC客户端通过浏览器或VNC Viewer连接至VNC Server。
（2） VNC Server传送一对话窗口至客户端，要求输入连接密码，以及存取的VNC Server显示装置。
（3） 在客户端输入联机密码后，VNC Server验证客户端是否具有存取权限。
（4） 若是客户端通过VNC Server的验证，客户端即要求VNC Server显示桌面环境。
（5） VNC Server通过X Protocol 要求X Server将画面显示控制权交由VNC Server负责。
（6） VNC Server将来由 X Server的桌面环境利用VNC通信协议送至客户端，并且允许客户端控制VNC Server的桌面环境及输入装置。
『VNC的安装与使用』
本人的操作环境：被控端 Redhat8.0，主控端Windows XP。
1． 载VNC Server与VNC viewer.
VNC Server下载地址：http://www.linuxeden.com/download/softdetail.php?softid=744
VNC viewer下载地址：http://download.pchome.net/php/dl.php?sid=2603
2．安装。
rpm –Uvh vnc-3.3.6-2.i386.rpm (如果是源代码请看包里的说明)
安装winvnc.exe
3.在Linux上启动VNC Server
执行vncserver命令：
[root@linux root]# vncserver
You will require a password to access your desktops.
Password: —-为了不想任何人都可以任意遥控此计算机。因此当第
Verify: —1次启动VNC server时，会要求设置网络遥控的密码。
New ‘X’ desktop is linux:1 —-一定要记住这一行稍后会用到。
Creating default startup script /root/.vnc/xstartup
Starting applications specified in /root/.vnc/xstartup
Log file is /root/.vnc/linux:1.log
（经上述步骤后，便已启动了VNC Server。如果你想要更改VNC Server的密码，只要执行vncpasswd命令即可。）
4．在Microsoft Windows上运行VNC Viewer
直接运行“vncviewer.exe”,系统会出现”Connection details”对话框。
在“Connection details”对话框中的“VNC server”文本框中输入VNC Server的IP地址（或主机名及显示装置编号，（请看3。在Linux上启动VNC server的这一行，New ‘X’ desktop is linux:1 得到此信息），例如：192.168.0.1：1（冒号后面的1是执行VNC Server生成的显示装置编号），单击“OK”按钮后，VNC Server即会开始检查所输入的信息，若是信息错误，系统会出现“Failed to connect to server”的错误信息：若是信息正确，则会接着出现“VNC Authentication”对话框。
若是在“VNC Authentication”对话框中输入的密码正确，就可以成功地打开Linux的桌面窗口。
5. 从浏览器远程遥控。
启动VNC Server 后直接打开浏览器，在地址栏中输入被控端的网址或IP地址，并在网址后加上“：5800＋显示编号”的端口号即可操控该计算机。
例如：http://192.168.01.:5801 (如果显示编号为1，一般第一次设置的显示编号都是1，就用5800＋1＝5801。)
6．FAQ
A．为什么连接后，不能显示桌面，而只有一个Terminal窗口？
试着修改/root/.vnc/xstartup,把最后一行 twm& 改成 gnome-session& or kde&(据说KDE在目前的VNC Viewer上的表现不太稳定)
B． 为什么重新启动VNC Server后，连接不上了？
因为重新启动VNC Server时，系统会指定一个新的显示编号，需使用此新的编号，否则就无法连接
xf4vnc-ix86-linux-4.3.0.999.tar.gz
xf4vnc-ix86-freebsd-4.3.0.104.tar.gz
当无法使用ESP定律时——EBP的妙用
二 6th
1.了解EBP寄存器
堆栈是一种简单的数据结构，是一种只允许在其一端进行插入或删除的线性表。
允许插入或删除操作的一端称为栈顶，另一端称为栈底，对堆栈的插入和删除操作被称入栈和出栈。
有一组CPU指令可以实现对进程的内存实现堆栈访问。其中，POP指令实现出栈操作，PUSH指令实现入栈操作。
CPU的ESP寄存器存放当前线程的栈顶指针，
EBP寄存器中保存当前线程的栈底指针。
CPU的EIP寄存器存放下一个CPU指令存放的内存地址，当CPU执行完当前的指令后，从EIP寄存器中读取下一条指令的内存地址，然后继续执行。
在寄存器里面有很多寄存器虽然他们的功能和使用没有任何的区别，但是在长期的编程和使用中，在程序员习惯中已经默认的给每个寄存器赋上了特殊的含义，比如：EAX一般用来做返回值，ECX用于记数等等。在 win32的环境下EBP寄存器用与存放在进入call以后的ESP的值，便于退出的时候回复ESP的值，达到堆栈平衡的目的。
应用以前说过的一段话：
原程序的OEP，通常是一开始以 Push EBP 和MOV Ebp,Esp这两句开始的，不用我多说大家也知道这两句的意思是以EBP代替ESP，作为访问堆栈的指针。
为什么要这样呢？为什么几乎每个程序都是的开头能？因为如果我们写过C等函数的时候就应该清楚，程序的开始是以一个主函数main（）为开始的，而函数在访问的过程中最重要的事情就是要确保堆栈的平衡，而在win32的环境下保持平衡的办法是这样的：
1.让EBP保存ESP的值；
2.在结束的时候调用
mov esp,ebp
pop ebp
retn
或者是
leave
retn
两个形式是一个意思。
这样做的好处是不用考虑ESP等于多少，PUSH了多少次，要POP多少次了，因为我们知道EBP里面放的是开始时候的ESP值。
2.推广的ESP定律
在寻找OEP的时候，往往下断HW ESP-4不成功，除了壳代码将硬件断点删除了以外，很可能的情况就是因为壳代码在运行到OEP的时候他的ESP已经不再是在EP时候的ESP（12FFC4）了，这样我们下断当然是不成功的。
那么如何找到在壳到达OEP的时候的堆栈的值将是关键。
在这里我们应用的关键是
Push EBP
MOV Ebp,Esp—-》关键是这句
我来解释一下，当程序到达OEP的时候Push EBP这句对于ESP的值来说就是ESP-4，然后是ESP-4赋给了EBP，而做为保存ESP值作用的EBP寄存器在这个“最上层的程序”中的值将始终不会改变。虽然他可能在进入子call里面以后会暂时的改变（用于子程序的堆栈平衡）但是在退出了以后依*pop ebp这一句将还原原来的EBP的值。
以这句做为突破口，就是说只要我们能断在“最上层的程序”中，就能通过观察EBP的值得到壳在JMP到OEP的时候的ESP的值了。
3.实战
来看看pespin1.1的壳，在pespin1.0的壳中，我们使用HW 12FFC0能很容易的找到stolen code的地方，但是到pespin1.1的时候，我们就不行了。用HW 12FFC0根本断不下来。
现在我们就使用这个推广的ESP定律，载入程序后来到最后的一个异常
0040ED85 2BDB sub ebx,ebx //停在这里
0040ED87 64:8F03 pop dword ptr fs:[ebx]
0040ED8A 58 pop eax
0040ED8B 5D pop ebp
0040ED8C 2BFF sub edi,edi
0040ED8E EB 01 jmp short pespin1_.0040ED91
0040ED90 C466 81 les esp,fword ptr ds:[esi-7F]
我用使用内存断点办法来到FOEP处
004010D3 0000 add byte ptr ds:[eax],al
004010D5 0000 add byte ptr ds:[eax],al
004010D7 0000 add byte ptr ds:[eax],al
004010D9 0000 add byte ptr ds:[eax],al
004010DB 0000 add byte ptr ds:[eax],al
004010DD 0000 add byte ptr ds:[eax],al
004010DF 75 1B jnz short pespin1_.004010FC //这里是FOEP
004010E1 56 push esi
004010E2 FF15 99F44000 call dword ptr ds:[40F499]
004010E8 8BF0 mov esi,eax
004010EA 8A00 mov al,byte ptr ds:[eax]
好了，这里就是“最上层的程序”的地方了，看看寄存器
EAX 00141E22
ECX 0040C708 pespin1_.0040C708
EDX 0040C708 pespin1_.0040C708
EBX 0040C708 pespin1_.0040C708
ESP 0012F978
EBP 0012F9C0 //注意这里
ESI 00141EE0
EDI 0040E5CD pespin1_.0040E5CD
EIP 004010DF pespin1_.004010DF
看到了吧，EBP=0012F9C0，我们来想象一下这个值是怎么得到的。
首先肯定是通过MOV ESP，EBP这一句，也就是说ESP这时是0012F9C0的，然而上面还有一句PUSH EBP也就是说ESP在到达OEP的时候
卡巴斯基杀毒软件的十九种实用使用方法
一 29th
卡巴斯基使用的用户不少，下面我们给大家总结了卡巴的十九种使用心得。
一：卡巴安装前一定要完全卸载其它杀软。如果已经发生冲突，在正常的Windows环境下不能反安装任何一个杀软，这时需要进入安全模式下，进行反安装操作，卡巴6。0和瑞星有严重冲突[即使关闭瑞星的监控功能][金山也一样]，具体表现在开机进入桌面后就死机!对于很多网友说的，卡巴杀毒后导致系统崩溃无法启动的情况，我也遇到过!个人感觉是病毒或者木马与系统文件产生关联。卡巴提示：无法清除，我都选择的是：删除。删除的过程中与病毒或木马有关联的系统文件也被一起删除，导致系统崩溃!有点宁可错杀1000，不可放过1个的感觉。几次系统崩溃后，我选择了在装完系统后，在系统无毒的情况下马上安装卡巴，再安装各种软件，上网!卡巴的保护功能还是不错的，这样病毒或木马就不是那么容易感染上，也就没有再出现系统崩溃的情况了!
二：一定记得把卡巴"自我保护"小勾选上，防止恶意代码修改卡巴!默认是选上了的，最好不要修改。
三：在第一次装完卡巴后进行全盘扫描[此段时间可能会长点]，在以后的扫描时，可以对我们确认安全的文件[如：电影，游戏]不扫描，这样可以大大节省扫描时间。方法：设置——保护——信任区域——排除标记——添加——就可以选择你认为安全的文件了。卡巴扫描压缩包也是相当耗时的。
四：在还原系统或重装系统时，请务必做好病毒库的备份，再进行安装或还原。一般情况下，卡巴的病毒库放在此文件目录里：C：\DocumentsandSettings\AllUsers\ApplicationData\KasperskyLab只需要把AVP6备份到其他的盘[ApplicationData文件夹的属性是隐藏，要修改才能找到]，然后在还原或重装后，把你备份的AVP6覆盖到这个目录下就可以了。[注意关掉卡巴的自我保护，否则有可能不能复制进去]。然后退出卡巴，再进入卡巴，他会提醒你重新启动电脑以完成更新，这样就可以方便的把以前更新过的病毒库再直接使用[记得开启"自我保护"]!若不按以上内容备份，那你的病毒库将被还原在你以前设还原点的那个地方，你将重新更新病毒库，时间会长些!
五：卡巴斯基dmp文件是由于卡巴斯基程序中断后生成的临时文件，可以放心删除，丝毫不影响使用。
六：卡巴升级时，会影响上网的速度，特别是对网络游戏影响较大。而且，卡巴有时升级失败，会不停的反复连接网络，影响游戏的正常操作。设置为手动升级，可以避免。
七：对文件实时监控方面，卡巴在默认设置上对所有的网盘，所有本地磁盘，所有的移动磁盘都进行监控，如果你的电脑配置并不高，那么可以自定义文件监控，让它只监控系统盘就可以了，别的可以放行，反正一般来说可以做一个定期的全盘扫描。修改方法如下：打开卡巴的主界面，选择：设置-文件保护-自定义-保护范围，把默认的所有本地磁盘，所有网盘前面的钩去掉，再点击右边的"添加"，打开"我的电脑"，选择系统盘[一般是C盘]，再把底下的"包含所有子文件夹"选项前面的钩打上，再点确定-确定-应用-确定，就完全OK了。
八：如果你不用微软邮件，可以把反垃圾邮件功能给去掉。
九：win2000。win2003安装卡巴6。0需要下载orca。msi这一修改msi文件的工具，安装，它的版本号为3。1。4000。1830，是win2003sp1SDK里的工具。2。用orca打开KIS6。0或kav6。0，找到LaunchCondition这个Table，将MsiNTProductType=1orVersion9X这一行删掉，然后保存msi文件，就可以在2003中安装了。
十：安装时反复重启，这可能是计算机中原有的反病毒程序防火墙程序没有完全卸载掉造成的，手动卸载掉这些程序后再重新安装试一试。
十一：adsl用户经常断网且卸载卡巴安全套装后上网正常，一般是由于卡巴安全套装的设置中选取了"网络攻击防御"，卡巴检测受到攻击，保护性断网。点击"入侵探测系统"-"设置"，去掉其默认的"禁止攻击计算机的时间"前面的那个钩就可了。这里要说明一下，去掉封锁时间，只是去掉了封锁的时间限制，封锁功能是一样有效的。
十二：360的激活码是激活KAV[卡巴反病毒软件]的，你如果要用来激活KIS也就是互联网安全套装需要修改注册表，注册表里HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\AVP6\environment里的ProductType项的KIS改成KAV的话可以使用，不过推荐使用key。
十三：经常听卡巴杀猪一样的叫声，是不是感觉很不爽，有时不注意还会吓了自己一跳，可以先关闭卡巴的"自我保护"然后到C：\ProgramFiles\KasperskyLab\KasperskyInternetSecurity6。0\Skin\sounds，用自己喜欢的替换原来的Wav文件就行了。
十四：卡巴6。0的KEY文件被列入黑名单，出现这种情况，是由于卡巴更新服务器封掉了这个KEY，这个时候只要在服务选项删除原来的KEY并重新添加一个能够使用的key就可以了。还有一种可能，同样的一个KEY在卡巴的部分更新服务器上被封掉了，但是在另一部分更新服务器上却没有被封，所以你再换KEY之前可以选择其他的更新服务器试试。
十五：安装卡巴后提示病毒库损坏
1。调整你的系统时间为正常时间。
2。按照提示重新下载病毒库更新。
3。key损坏，更换其他可以使用的key。
4。彻底卸载卡巴软件，并将安装目录及注册表中的有关卡巴的键值彻底清除，重新安装卡巴。
十六：用卡巴杀毒后出现打开所有EXE文件都弹出"选择打开方式"的提示。
解决方法：
1。重新启动电脑按F8进入带命令提示行的安全模式
2。执行这个命令assoc。exe=exefile[注意：assoc与.exe之间有一空格]，屏幕显示“。exe=exefile”
3。现在关闭命令提示符窗口，按[Ctrl+Alt+Del]组合键调出"Windows安全"窗口，按[关机]按钮后选择"重新启动"选项，按正常模式启动后，所有的EXE文件都能正常运行了。此方法适用win2000，winXP
十七：如果你使用的是163之类的邮箱，并且使用FOXMAIL，OutlookExpress等软件，请你按如下设置，否则你可能出现无法看到邮件，或者下载不了邮件的附件的情况。
方法：设置——服务下的网络设置——端口设置——找到端口为80的那个项——把小勾去掉!
十八：刚装上KIS6。0的朋友，在重启之后都会出现一个你的电脑没有进行全盘扫描的提示，而且如果屏蔽了广告什么的也会弹出一个提示框，你完全可以不让它再提示：选择："服务"，把"启用通知"前面的钩去了就可以了。
十九：不能正常卸载卡巴的解决办法
1。请先停止进程
2。在"服务"中停止klblmain服务，并将启动类型改为"已禁用"[这个根据需要，如果卸载后自动出现安装的界面，请按照以上做]
3。手动删除如下的几个文件夹：C：\ProgramFilesKasperskyLab，CrogramFilesCommonFilesKasperskyLa
b，CocumentsandSettingsA
llUsersApplicationDataKasperskyLab[要打开隐藏文件夹]
4。注册表里用kaspersky做关键词搜索，找到相关后删除。当然注册表的删除可以用到专门的卸载工具，这样更快。删注册表和删文件夹没有顺序要求，然后重新启动安装程序，一定要重启!