中因％等敷育学会敦Ｗ信Ｂ化分会￡，Ｌ拔学￥年会论立察・５００高校计算机开放实验室安全的研究鄙激扬苏和＾连理Ｔ走学计算中心．圮中省大连市．１１６０２３摘耍本文针对高校计算扎开放实验室的设备安全．操作系统的安全和网络安全进行分析，研究％探讨，提山丫应采取的安全措施。兰键词：计算机开放实验室撵作系统的安全．网嬉安全高校计算机开放实验室主要承担全校计算机文化基础课程、各个系的专业课程、毕业设计上机、上机考试和相关的各种培训等教学任务及学生的自由上机实践活动。开放实验室的安全问题日益显现ｒ出来，开放计算机实验室安全主要包括三方面：设备自匀安全、操作系统安全和网络的安全，本文就这三方面的安全进行初步探讨。１设备安全开放计算机实验室采用“模拟摄像机＋报警探头＋数字硬盘录像机＋远程客户端”方式构建一个集本地监控和远程监控为一体的综合监控系统，系统框图如图一。网络客户端是进行网络远程监控的用户终端，它由计算机和客户端软件构成。这样，在学校的同络上的任何一台授权计算机均可以实现监控开放实验室状况。这样保障开放计算机实验室的设备安全．图二是监控实验室的效果图。ｉ一黑圈～“…￡：＿…；一争，，千雌＿，：ｏ…＿，二ｏ…；帚２操作系统的安全开放计算机实验室采用多操作系统，满足教学实验任务。多操作系统采用的ＷｉｎｄｏｗｓＸＰ、ＷｉｎｄｏｗｓＳｅｒｖｅｒ、Ｖｉｓｔａ和Ｌｉｎｕｘ等各种操作系统，为了防止错误操作引起计算机操作系统和应用软件发生故障以及病毒对计算机的危害，实现计算机系统的快建恢复．～般都采用安装硬盘还原卡对操作系统加以保护，使计算机安全、高教地运行。２１硬盘还原卡的基本原理首先．占顿硬盘引导权，将硬盘原来的０头０道Ｉ扇医保存在个其他的扇区，将某段的代码写入。头０道１扇区．从而能在操作系统之前得到执行权，虚拟还原技术在操作系统之前先将中断向量表巾的１Ｎｒｌ３１１的入口地址保存；把某段代码用于代替ＩＮＴＩ３Ｈ的代码写Ａ内存．并记住＾口地址ｉ将中断向量表中ＩＮＴｌ３Ｈ的入口地址改为这段常驻程序的＾口地址。同时，虚拟还原程序＿凸＝修改］ＮＴｌ３Ｈ的人】『后也会修改’些其他中断＾口，这些巾断用来空现对一Ｊ－晰ｉ＿造采中【盯１３１１Ａ口地址监控，～中国高等教育学会教育信息化分会第九次学术年会论义集・５０１・旦发现被修改，就立刻把它修改回来，这样做同样是用来防止被破解。用来替代ＢＩＯＳ提供的ＩＮＴｌ３Ｈ的代码才是虚拟还原技术的关键，先是拦截所有ＩＮＴｌ３Ｈ中对硬盘０头０道ｌ扇区的操作，这些包括读写操作，把所有的对０头０道１扇区的操作改为对虚拟还原程序备份的那个扇区的操作；再拦截所有ＩＮＴｌ３Ｈ中的写硬盘操作，包括对硬盘的磁头、磁道、扇区定位的ＩＮＴｌ３Ｈ中的写操作，和扩展ＩＮＴｌ３Ｈ中基于扇区地址方式的对大硬盘的写操作，还包括扩展ＩＮＴｌ３Ｈ中对一些非ＩＤＥ接口的硬盘的写操作。至于拦截后做什么是虚拟还原技术实现的关键，现在的操作系统都要对硬盘进行一些必要的写操作，例如对虚拟内存的写操作。实际上虚拟内存就是硬盘，大多数虚拟还原卡用的方法是占用一些硬盘空间，把硬盘所进行的写操作做一个记录，等系统重新启动后还原这一记录。２．２病毒防护面向全校开放的计算机实验室经常被病毒干扰破坏，病发生交叉感染，使微机不能正常工作，尤其现在网络病毒和Ｕ盘带病毒，传播的更快、扩散面更广。采用硬盘还原卡，不依赖于任何其他软件及操作系统实现硬盘分区、数据还原、数据清除等功能保护硬盘。如表ｌ是采用硬盘还原卡对８０Ｇ的硬盘分区规划表。表１８０Ｇ硬盘分区规划表分医名称ＷｉｎｄｏｗｓＸＰＷｉｎｄｏｗｓＳｅｒｖｅｌ‘２００３ＤｅｂｉａｎＤｅｂｉａｎ容量（Ｇ）２０Ｇ２０Ｇ９Ｇ１Ｇ１０Ｇ２０Ｇ文什系统ＮＴＦＳＮＴＦＳＥＸＴＳＷＡＰＮＴＦＳＦＡＴ３２还原方式．矿即还原立即还原备份还原不保护立即还原每周。还原暂存区（ＭＢ）２０４８２０４８４０９６属性Ａ（．ｔ即还原）Ａ（立即还原）Ｂ（备份还原）Ｐ（专属分区）考试环境系统共享分区１０２４Ａ（立即还原）Ｓ（共享分区）硬盘还原卡并不是万能的，现在已经出现病毒穿透还原卡，下面就是穿透还原卡病毒的解析，注入“ｓｐｏｏｌｓｖ．ｅｘｅ”进程的病毒如下：（１）检查ｅｘｐｌｏｒｅｒ．ｅｘｅ、ｓｐｏｏｌｓｖ．ｅｘｅ是否有ｎｔｆｓ．ｄ１１模块，并查找“ｓｓｐｐｏｏｏｏｌｌｓｓｖｖ”字符串（２）首先启动一个进程：ｓｐｏｏｌＳＶ．ｅｘｅ，这是一个打印服务相关的进程。（３）临时文件夹和％ＳｙｓｔｅｍＲｏｏｔ％＼ｓｙｓｔｅｍ３２＼ｄｒｉｖｅｒｓ＼释放Ｎｔｆｓ．ｄｌｌ。（４）根据病毒体内的加密字符串解密：１０００４１８０＝ｕｓｅｒｉｎｉｔ．１０００４１８０（ＡＳＣＩＩ’ＮＢＯｄＤｑＮ５５ｂＣＹｉｌｊ０４ｊｔｕｌｚｐａ２Ｇ３ｉＣ２４４’）（ｅｃｘ）７７Ｃ１７８Ｃ０７７ＣＩ７８Ｃ２７７Ｃ１７８Ｃ７７７Ｃ１７８Ｃ９７７Ｃ１７８ＣＣ７７Ｃ１７８ＣＥ７７Ｃ１７８Ｄ１８ＢＯＩＢｈｍｏｖｍｏｖｅａｘ．ｄｗｏｒｄｐｔｒｄｓ：［ｅｃｘ］ＦＦＦＥＦＥ７Ｅｅｄｘ．７ＥＦＥＦＥＦＦｅｄｘ．ｅａｘｅａｘ．ＦＦＦＦＦＦＦＦｅａｘ，ｅｄｘ０３ＤＯ８３Ｆ０ＦＦ３３Ｃ２８３Ｃ１０４ａｄｄｘｏｒｘｏｒａｄｄｔｅｓｔｅｃｘ，４＼＼循环ｅａｘ，８１０１０１００Ａ９０００１０１８１每次取双字节，与７ＥＦＥＦＥＦＦ相加（Ｅｄｘ），再将双字节内的数据和ＦＦＦＦＦＦＦＦ异或（Ｅａｘ），然后ｘｏｒｅａｘ，ｅｄｘ，最后解密得：ｈＸＸｐ：／／ａ１．ａｖ．ｇｓ／ｔｉｃｋ．ａｓｐ。从这个网站获得ｕｒｌａｂｃｄｏｗｎ．ｔｘｔ。读取里面的内容：ｈｔｔｐ：／／ｄｏｗｎ．ｍａｌａｓｃ．ｃｎ／ｐｌｍｍ．ｔｘｔ最后下载盗号木马，如大话、梦幻、机战、奇迹、传奇、ＱＱ、ＱＱｇａｍｅ等。释放路径是：％ＳｙｓｔｅｍＲｏｏｔ％＼ｓｙｓｔｅｍ３２＼ｄｒｉｖｅｒｓ。（５）加载驱动％ＳｙｓｔｅｍＲｏｏｔ％＼ｓｙｓｔｅｍ３２＼ｄｒｉｖｅｒｓ＼ｐｕｉｄ．ｓｙｓ：ＬＩＩＫＥＹＬＯＣＡＬＭＡＣＨｌＮＥ＼Ｓ、．ＳＴＥＭ＼Ｃｔｌｌ．ｒｅｎｔＣｏｎｔｒｏｌＳｅｔ＼Ｓｅｒｖｉｃｅｓ＼ｐｕｉｄ］中国高等教育学会教育信息化分会第几次学术年会论文集・５０２・”Ｔｙｐｅ”＝ｄｗｏｒｄ：０００００００１”Ｓｔａｒｔ”＝ｄｗｏｒｄ：０００００００３”ＥｒｒｏｒＣｏｎｔｒｏｌ”＝ｄｗｏｒｄ：００００００００”ＩｍａｇｅＰａｔｈ”＝ｈｅｘ（２）：５３，００。７９，００，７３，００，７４，００，６５，００，６ｄ，００，３３，００，３２，００，５ｃ，００，４４，００，＼５２，００，４９，ｏｏ，５６，ｏｏ，４５，ｏｏ，５２，００，５３，００，５ｃ，ｏｏ，７０，００，７５，ｏｏ，６９，００，６４，００，２ｅ，ｏｏ，７３，＼００，７９，００，７３，００，００，ｏｏ”ＤｉｓｐｌａｙＮａｍｅ”＝”ｐｕｉｄ”［ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＹＳＴＥＭ＼ＣｕｒｒｅｎｔＣｏｎｔｒ０１Ｓｅｔ＼Ｓｅｒｖｉｃｅｓ＼ｐｕｉｄ＼Ｓｅｃｕｒｉｔｙ］”Ｓｅｃｕｒｉｔｙ”＝ｈｅｘ：０１，００，１４，８０，９０，００，００，００，９ｃ，００，００，００，１４，００，００，００，３０，００，００，００，０２，＼００，ｌｃ，００，Ｏｌ。ｏｏ，ｏｏ，００，０２，８０，１４，ｏｏ，ｆｆ，Ｏｌ，０ｆ，００，Ｏｌ，０ｌ，００，ｏｏ，ｏｏ，００，００，０ｌ，ｏｏ，００。＼００，ｏｏ，０２，００，印，ｏｏ，０４，００，００，ｏｏ，００，００，１４，００，ｆｄ，０ｌ，０２，ｏｏ，Ｏｌ，０１，ｏｏ，ｏｏ，００，００，００，＼０５，１２，００，ＯＯ，００，００，ＯＯ，１８，００，ｆｆ，Ｏｌ，０ｆ，００，０ｌ，０２，ＯＯ，ＯＯ，００，００，００，０５，２０，ＯＯ，ＯＯ，ｏｏ，＼２０，０２，ｏｏ，００，００，ｏｏ，１４，ＯＯ，８ｄ，Ｏｌ，０２，ｏｏ，０１．Ｏｌ，ｏｏ，ｏｏ，００，００，ｏｏ，０５，０ｂ，ｏｏ，ｏｏ，００，００，＼００，１８。００，ｆｄ，０１，０２，００，０ｌ，０２，ｏｏ，００，ｏｏ，００，００，０５，２０，００，ｏｏ，００，２３，０２，００，００，０１，０１，＼００，００，００，ＯＯ，００，０５，１２，００，００，００，Ｏｌ，０ｌ，ｏｏ，ＯＯ，００，００，ｏｏ，０５，１２，００，００，００［ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＹＳＴＥＭ＼ＣｕｒｒｅｎｔＣｏｎｔｒｏｌＳｅｔ＼Ｓｅｒｖｉｃｅｓ＼ｐｕｉｄ＼Ｅｎｕｍ］”０－＝９Ｒｏｏｔ＼＼ＬＥＧＡＣＹ—ＰＵＩＤ＼＼００００””Ｃｏｕｎｔ”＝ｄｗｏｒｄ：０００００００１’ＮｅｘｔＩｎｓｔａｎｃｅ”＝ｄⅣｏｒｄ：０００００００１并释放ｉｅｆｊｓｄｆａｓ．ｔｘｔ，里面记录一些ｐｕｉｄ．ｓｙｓ信息。如果ｉｅｆｊｓｄｆａｓ．ｔｘｔ里面的内容和实际的不符合，可能判断为ｐｕｉｄ．ｓｙｓ是免疫文件夹或无效文件。这时候它可能会删除这个文件，再重新加载。（６）记录一个进程快照，每隔３０秒执行一次。如果发现ａｎｔｉａｒｐ．ｅｘｅ、３６０ｔｒａｙ．ｅｘｅ、３６０Ｓａｆｅ．ｅｘｅ字符串则结束：（７）另外那个ｐｕｉｄ．ｓｙｓ可能会修改ｕｓｅｒｉｎｉｔ．ｅｘｅ达到穿透还原的目的。通过这段病毒的解析，仅仅依靠硬盘还原卡防范计算机病毒，是不可行的，还需要安装杀毒软件，经常为系统打补丁，修补系统漏洞，经常升级杀毒软件的病毒库，确保系统的安全，安装具有穿透还原卡病毒免疫功能的软件，防止再次感染。同时，给计算机增加“免疫力”，例如恶意代码免疫、注册表被改免疫、恶意软件免疫、恶意网站免疫。利用硬盘还原卡功能，与应用软件相结合，这样就能保障操作系统的安全性。３网络的安全开放计算机实验室都有自己的独立代理服务器，每个代理服务器上有三块网卡，其中一块网卡连接到内网的交换机上，另外两个网卡，分别连接到教育网和网通的线路上，在代理服务器上做基于策略的路由转发，将ＣＥＲＮＥＴ地址段的流量通过教育网出口转发，其余的流量指向网通出口。图三是开放计算机实验室网络拓扑图。图三中国高等教育学会教育信息化分会第九次学术年会论文集・５０３・开放的计算机实验室管理中引入ＶＬＡＮ（ＶｉｒｔｕａｌＡｒｅａＮｅｔ－ｗｏｒｋ）管理，即虚拟局域网。ＶＬＡＮ就是指处于不通物理位置的节点可以根据需要组成一个逻辑网。建立ＶＬＡＮ后，该ＶＬＡＮ内任何一台计算机的ＩＰ地址均必须在分配给该ＶＬＡＮ的ＩＰ范围内：否则无法通过路由器的审核，不能进行通信Ｉｌｌ。ＶＬＡＮ的优点主要体现在以下几方面１２Ｊ：（１）控制广播风暴。ＶＬＡＮ作为一种网络分段技术，可将广播风暴限制在一个ＶＬＡＮ内部，避免影响其他网段，而广播风暴的很大一部分是由病毒引起的。（２）增强网络的安全性。采用ＶＬＡＮ提供的安全机制，可以限制特定用户的访问，控制广播组的大小和位置，锁定网络成员的ＭＡＣ地址。这样，就限制了未经安全许可的用户和网络成员对网络的使用。（３）增强网络管理。采用ＶＬＡＮ技术，使用ＶＬＡＮ管理程序可对整个网络进行集中管理。开放计算机实验室的代理服务器使用Ｌｉｎｕｘ，防火墙采用的是Ｌｉｎｕｘ下的开源的Ｉｐｔａｂｌｅｓ。每个局域网有两个外部合法ＩＰ地址分别是教育网２０２．１１８．ＸＸ．ＸＸＸ和网通２１０．７６．ＸＸＸ．ＸＸＸ，局域网内部使用１９２．１６８．０／２５６网段，为了实现局域网能够访问Ｉｎｔｅｍｅｔ，需要将２０２．１１８．ＸＸ．ＸＸＸ和２１０．７６．ＸＸＸ．ＸＸＸ这台主机设置为代理服务器，通过ＮＡＴ访问Ｉｎｔｅｒｎｅｔ。局域网中的计算机将这台计算机作为网关。为了局域网内部网络的安全，防止外部计算机访问内部网络，需要将２０２．１１８．ＸＸ．ＸＸＸ和２１０．７６．ＸＸＸ．ＸＸＸ这台主机配置成为一台防火墙。这台计算机安装有三网卡，ｅｔｈ０（ＩＰ：１９２．１６８．０／２５６）连接内部局域网，ｅｔｈｌ（ＩＰ：２０２．１１８．ｘｘ．ｘｘｘ）和ｅｔｈ２（２１０．７６．ＸＸＸ．ｘｘｘ）连接外部网络，内网中的所有计算机通过交换机与防火墙的内部网卡ｅｔｈＯ相连接。在这台主机上建立防火墙时，采用基于“禁止一切”的默认策略。按照默认的情况，所有的网络数据流都被禁止，服务作为策略的例外来单独启用。防火墙的设计主要考虑：用户可以方便的设定网络地址和所用的网络服务；实施基于“禁止一切”的默认策略：拒绝黑客常用的非法ＩＰ地址访问：针对黑客常用的几种攻击方式进行有效的防范；根据用户的需要开放一些必要的服务端口（如ＷＶｃ＇ｗ、ｄｎｓ、ａｐ、ｓｍｔｐ等）；采用一定的优化策略；使用安全日志文件，以备用户分析［３１。４结论本文通过对设备安全、操作系统安全和网络安全的三方面研究，对我校的开放计算机实验室的安全进行立体式防护，经过实践证明，能够较好的保障了开放计算机实验室的安全，更好的为教学实验服务。参考文献７［１］李振美。高等院校中公共机房的管理与维护［Ｊ］。电脑知谚ｌ与技术，２００５，（１２）：８７—８８。［２］符兴华，何厶强。公共机房ＩＩＩ病毒的整体防护技术【Ｊ］。重庆科技学院学报。２００７，９（３）：７２－７５。￡３］蒯珂，商仲合。Ｌｉｎｕｘ＿ＦＮｅｔｆｉ１ｔｅｒ／Ｉｐｔａｂｌｅｓ防火墙的研究与实现［Ｊ］。网络安拿技术与应用，２００７，１２：２８—３０。