天网防火墙是专门为（网络知识， 防火墙）

本文目录

• 网络知识， 防火墙
• 防火墙哪个最好请附下载地址
• 家用电脑用什么防火墙比较好

网络知识， 防火墙

什么是防火墙？
防火墙是使用一段"代码墙"把你的电脑和internet分隔开。它检查到达防火墙两端的所有数据包，无论是进入还是发出，从而决定该拦截这个包还是将其放行。 在将来，防火墙会成为PC上的标准装备，这是毫无疑问的。但在今天，它需要在必要的地方安装――几乎是所有的地方。
▲防火墙是怎样工作的？
所有的internet通信都是通过独立数据包的交换来完成的。每个包由源主机向目标主机传输。包是internet上信息传输的基本单位，虽然我们常说电脑之间的"连接"，但这"连接"实际上是由被"连接"的两台电脑之间传送的独立数据包组成的。实质上，它们"同意"相互之间的"连接"，并各自向发送者发出"应答包"，让发送者知道数据被接收。
为了到达目的地――不论两台电脑是隔着两步远还是在不同的大洲上――每个internet数据包都必须包含一个目标地址和端口号，和源主机的IP地址及端口号，以便接收者知道是谁发出了这个包。也就是说，每一个在internet上传送的包，都必须含有源地址和目标地址。一个IP地址总是指向internet上的一台单独机器，而端口号则和机器上的某种服务或会话相关联。
那么，这意味着什么呢？
既然防火墙检查每个到达你的电脑的数据包，那么，在这个包被你机上运行的任何软件看到之前，防火墙有完全的否决权，可以禁止你的电脑接收internet上的任何东西。
当第一个请求建立连接的包被你的电脑回应后，一个TCP/IP端口被打开。如果到达的包不被受理，这个端口就会迅速地从internet上消失，谁也别想和它连上。
但防火墙的真正力量在于选择哪些包该拦截，哪些包该放行。既然每个到达的包都含有正确的发送者的IP地址（以便接收者发送回应包），那么，基于源主机IP地址及端口号和目标主机IP地址及端口号的一些组合，防火墙可以"过滤"掉一些到达的包。
***隐藏网址***
也许你想在internet上建立一条"安全隧道"，以便你的家庭电脑和办公室电脑可以共享文件而不受外来的侵入。防火墙使这成为可能并相对简单。你可以在办公室电脑的防火墙上设定，只允许来自你家庭电脑的IP地址的连接，使用NetBios文件共享端口137－139；类似的，在家庭电脑的防火墙上可以设定，只允许来自你办公室电脑的IP地址的连接，使用137－139端口。这样，两台机器都可以看到对方的NetBios端口，而internet上的其它人都看不见这两台机器之间建立了一条"安全隧道"。
如果你想把自己的电脑连接到internet上的其它机器上呢？例如，当你在网上冲浪时，你会连接具有任何IP地址的web服务器。你不会因为想拦截某个企图入侵的家伙而把所有包都挡在外面吧？对于防火墙来说，这也是很容易的。既然internet连接的每一端都会回应另一端的数据，在网上传送的包都有一个"应答位"，这一位是用来说明已经收到了前面的数据。这意味着，只有最初建立新连接的包不含应答信息。也就是说，防火墙可以很容易地区分开要求建立新连接的包和已有连接的后续包，使用已有连接的端口的数据包会被放行，而要求建立新连接的包会被拒绝。这样，防火墙可以放行外出请求连接的包，拦截外来的请求连接包。
有些高性能的防火墙还具有"应用程序级"的过滤和反应功能。绝大部分的防火墙都做到了上面所说的要求，而这的确提供了很大的保护。但它们不会尝试去理解它们所放行或拦截的包里面的数据，它们的放行和拦截都是建立在源IP地址和目标IP地址上。但一个"应用程序级"的防火墙会进入到对话实际发生的地方。例如，我们知道Microsoft文件和打印机共享的一个大问题是对密码缺乏保护，骇客可以不断重试，直到破译为止。但一个智能型的"应用程序级"防火墙可以显示139端口（保护密码的地方）正发生什么，并进而完全拦截住那台远程主机。它可以自动将其源地址加入"黑名单"，以制止这位外来者现在和将来的任何访问。
下面，介绍一下天网防火墙个人版是如何保护你的电脑的：
天网防火墙个人版是一套给个人电脑使用的网络安全程序，它帮你抵挡网络入侵和攻击，防止信息泄露。
天网防火墙个人版把网络分为本地网和互联网，可以针对来自不同网络的信息，来设置不同的安全方案，以下所述的问题都是针对互联网而言的，故所有的设置都是在互联网安全级别中完成的。 怎样防止信息泄露？ 如果把文件共享向互联网开放，而且又不设定密码，那么别人就可以轻松的通过互联网看到您机器中的文件，如果您还允许共享可写，那别人甚至可以删除文件。 你可以在个人防火墙的互联网安全级别设置中，将NETBIOS 关闭，这样别人就不能通过INTERNET访问你的共享资源了。（这种设置不会影响你在局域网中的资源共享）。
▲怎样防止信息泄露？
当您每次拨号上网之后，网络就会分配一个地址给你，我们简称它为IP。人们用可以用ping命令来确定一个合法的IP是否存在。如果一个不怀好意的人探测出您的IP之后，可能就不是一件好事了。
你可以在互联网的安全级别设置中，将ICMP关闭，这样，别人用PING的方法就无法确定你的IP是否存在了。ICMP关闭后，不会影响你用ping命令去探测别人，除非对方也安装了防火墙，并且也关闭了ICMP。
▲怎样防止蓝屏攻击？
蓝屏攻击的受害者指的是Microsoft的操作系统如WINDOWS95/98，因为WINDOWS系列的操作系统在崩溃的时候，通常是显示一个蓝色的屏幕，上面写着一些复杂的符号和数字。蓝屏攻击实际上是利用WINDOWS操作系统的内核缺陷，或采用大量的非法格式数据包发向被攻击的机器，使WINDOWS操作系统的网络层受到破坏，而引起蓝屏当机。目前比较常见的攻击方式有：
NETBIOS攻击： 向有WINDOWS9x操作系统的机器的139号端口发送一个数据格式非法的数据包。典型的攻击工具有WINNUK。
IGMP攻击： 向有WINDOWS9x操作系统的机器发送长度和数量都较大的IGMP数据包。典型的攻击工具有DOOM。
ICMP攻击： 向有WINDOWS9x操作系统的机器发送数量较大，且类型随机变化的ICMP包。
▲对付上面几种攻击的方法是：
在互联网的安全级别设置中，将NETBIOS，IGMP，ICMP关闭，关闭这些协议不会影响你使用INTERNET。
▲怎样防止别人确定你IP？
如果把文件共享向互联网开放，而且又不设定密码，那么别人就可以轻松的通过互联网看到您机器中的文件，如果您还允许共享可写，那别人甚至可以删除文件。 你可以在个人防火墙的互联网安全级别设置中，将NETBIOS 关闭，这样别人就不能通过INTERNET访问你的共享资源了。（这种设置不会影响你在局域网中的资源共享）。
▲怎样防止别人用冰河等特洛依木马软件来控制你的机器？
冰河是一种特洛依木马程序，如果你不小心运行过冰河的服务器端的程序，而且你的IP又给别人知道，那就麻烦了，别人可以用冰河的客户端软件，通过INTERNET控制你机器上的所有资源。
有两种设置可防止这种情况的出现：
由于冰河的客户端软件在联系主机前，会用ICMP协议探测你的IP是否存在（即类似Ping命令的一种方式），如果探测不到，就会停止下一步的操作。故你只要把ICMP关闭，冰河的客户端软件就会以为服务程序所在的机器不存在而停止连接。
另一种方式是将TCP监听关闭。由于客户端软件会主动尝试与服务端程序连接，将TCP监听关闭后，服务端程序就不会响应客户端软件的控制。
TCP监听关闭后，还可以防止端口扫描程序的扫描。
由于对于普通用户来说，在互联网上只是用于WWW浏览，或使用ICQ等软件，关闭TCP监听不会影响用户的操作。
▲怎样看待安全记录？
需要指出的是：防火墙拦截的信息并不完全是攻击信息，它记录的只是你在安全设置中所拒绝接收的数据包。在某些情况下，你可能会收到一些正常但又被拦截的数据包，如某些路由器会定时发出一些IGMP包，等等；或有些主机会定时PING你的机器，如果你将ICMP和IGMP关闭后，就会在安全记录中见到这些被拦截的数据包。当你见到这些记录时，请不用惊慌，因为就算这些记录中包含了攻击信息，它们已经被拦截了，不会对你的机器造成什么影响。

防火墙哪个最好请附下载地址

天网防火墙个人版 v2.7.0.1 Final 零售版
天网防火墙（SkyNet-FireWall）个人版（简称为天网防火墙）是一款由天网安全实验室制作的给个人电脑使用的网络安全程序。它根据系统管理者设定的安全规则（Security Rules）把守网络，提供强大的访问控制、应用选通、信息过滤等功能。它可以帮你抵挡网络入侵和攻击，防止信息泄露，并可与天网安全实验室的网站（www.SKY.NET.CN）相配合，根据可疑的攻击信息，来找到攻击者。天网防火墙把网络分为本地网和互联网，可以针对来自天网防火墙个人版是个人电脑使用的网络安全程序，根据管理者设定的安全规则把守网络，提供强大的访问控制、信息过滤等功能，帮你抵挡网络入侵和攻击，防止信息泄露。天网防火墙把网络分为本地网和互联网，可针对来自不同网络的信息，来设置不同的安全方案，适合于任何方式上网的用户。
软件特点:
1、严密的实时监控;
天网防火墙（个人版）对所有来自外部机器的访问请求进行过滤，发现非授权的访问请求后立即拒绝，随时保护用户系统的信息安全。
2、灵活的安全规则:
天网防火墙（个人版）设置了一系列安全规则，允许特定主机的相应服务，拒绝其它主机的访问要求。用户还可以根据自已的实际情况，添加、删除、修改安全规则，保护本机安全。
3、应用程序规则设置:
新版的天网防火墙增加对应用程序数据包进行底层分析拦截功能，它可以控制应用程序发送和接收数据包的类型、通讯端口，并且决定拦截还是通过，这是目前其它很多软件防火墙不具有的功能。
4、详细的访问纪录:
天网防火墙（个人版）可显示所有被拦截的访问纪录，包括访问的时间、来源、类型、代码等都详细地记录下来，你可以清楚地看到是否有入侵者想连接到你的机器，从而制定更有效的防护规则。
5、完善的报警系统:
与以往的版本相比，天网防火墙（个人版）设置了完善的声音报警系统，当出现异常情况的时候，系统会发出预警信号，从而让用户作好防御措施。
v2.7版更新:
1、v3.0版的数据包过滤引擎:
天网防火墙个人版v2.7采用了v3.0的数据包过滤引擎，包处理效率更高，速度更快。新版本的数据包过滤引擎为更加复杂的网络环境和规则设置提供了有力的数据底层支持，继续保持以往资源占用少，数据包处理速度快的特点，做到网络安全的同时对系统资源消耗更小。
2、更强大的安全规则管理:
***隐藏网址***
3、更改了2.51试用版的一些显示方面的错误 不同网络的信息，来设置不同的安全方案，它适合于任何拨号上网的用户。
使用说明:
1.首先运行Setup目录中的原版程序并安装!
2.复制CR目录中的文件到安装目录!
3.运行Patch1.exe去处注册限制!
4.运行Patch3.exe去处升级限制!
***隐藏网址***

家用电脑用什么防火墙比较好

楼主可以看看这个，参考一下。
流氓软件和木马在各种防火墙和杀毒软件的“打压”之下已经开始逐步向内核“退缩”，传统的依靠查看本地打开的端口与进程的关系的方法检查非法网络访问已经不再适用，个人防火墙已经成为装机必备的软件。目前主流的个人防火墙软件都是构建在Windows内核之上的，但是Windows的内核驱动是分层的，防火墙工作在哪一层实际上就决定了防火墙的性能，工作在TDI层的防火墙是无论如何也不能知道NDIS层的数据收发情况的，因为TDI驱动层在内核中是高于NDIS驱动层的。过去的木马（上个世纪九十年代以前）都是构建在Windows应用层上的普通程序，工作在TDI层的防火墙可以轻易地觉察并阻断它们非法的网络访问，但是对付缩进内核的木马和流氓软件，单纯的依靠TDI层拦截已经显得力不从心。内核木马的特点是不依赖句柄，不绑定端口（NDIS）
)，可以工作在TDI层，甚至在NDIS层，所以，真正可靠的防火墙应该在NDIS层建立防线。
虽然真正可靠的防火墙应该工作在NDIS层，但是，个人防火墙和用于服务器的防火墙毕竟还是有一些不同之处，工作在服务器端的防火墙只需要根据协议、地址和端口判断是转发还是丢弃就行了，高级一点还可以分析包内容，根据预设的专家系统判断是正常的数据包还是非法攻击数据包，这样的防火墙还可以用硬件实现。但是个人防火墙的特别之处就是需要与用户交互，用户数据多是基于IP协议的，并且用户并不关心协议的细节（掌握这些对大多数用户来说有点难度），所以个人防火墙除了通过IP层的协议进行过滤之外，更主要的手段是根据用户的意愿允许还是阻止某个进程（程序）访问网络，在这个粒度上用户比较容易理解和控制。从这一点上讲，工作在TDI层的防火墙的优势就是能够在网络访问发生的时候追踪到发起访问的进程名称，从而给用户一个提示，而工作在NDIS层的防火墙则不容易做到这一点。因为发送数据时上层驱动将数据包提交到NDIS的发送队列中后就返回了，当数据包被真正投递的时候已经无从确定是哪个程序（进程）发送的了，对于收到的数据包需要根据端口号判断是哪个程序的，但是在NDIS层并不知道端口号和进程的对应关系，所以无论数据发送还是接收都无法有效地确定是属于哪个进程的数据。如果不能确定哪个进程访问网络，只是根据地址、端口和协议进行过滤对（大多数）用户来说是很不友好的，所以最好的个人防火墙（不一定是最安全的）应该是TDI＋NDIS双保险：TDI层根据进程级访问过滤，NDIS层根据地址、端口和协议过滤。
前几天，一个朋友要我给他推荐一款比较好的防火墙软件，说实话，我也不知道哪个好，因为我没有比较过。没有调查就没有发言权，随便应付也不是本人的风格，加上本人最近正在验证一个在内核构建TCP/IP协议绕过防火墙的概念的可行性，需要对当前主流防火墙的能力有所了解，所以就把当前比较流行的防火墙都弄来研究了一下，没想到真是大开眼界，不看不知道，一看吓一跳。先上网搜了一下个人防火墙，没想到有这么多种，没时间全搞一遍，只能对用的最多的几个下手了，它们是“天网防火墙个人版”，“金山网镖”，“瑞星个人防火墙”，“卡巴斯基”，“冰盾”和“风云防火墙”，有几个防火墙软件不仅提供网络防火墙功能，还提供诸如文件访问控制，进程创建保护等功能，不过本文只是比较它们的网络防范功能。
首先是天网防火墙，这可是本人上学的时候最喜欢的防火墙了，简单好用。这次使用的是天网防火墙个人版（Trial_Release_v3.0_Build1213），结果却令人失望，天网是一个单纯的TDI防火墙。下图天网启动后的设备驱动加载情况：
图 1 天网防火墙设备驱动加载情况
工作在TDI层的防火墙有两种方式，一种是做成过滤驱动挂接到支持TCP/IP协议的设备上，简单地讲，就是发送给TCP/IP协议驱动的请求会先发送给它过滤，另一种是使用Hook的方式直接HookTCP/IP协议的驱动分派函数，相比较而言，第一种比较容易bypass，驱动层的木马或流氓软件通过设备直接找到TCP/IP的驱动发送请求，就可以避开Attach在其上的过滤驱动，从上图看，天网的驱动是一个Filter驱动，除了直接向TCP/IP的驱动发送请求可以避开天网之外，还有一种方法可以让它完全失效，就是直接摘除挂接的Filter驱动，看看下面的代码：
void ByPassAttachDevice(PDEVICE_OBJECT DeviceObject)
{
PDEVICE_OBJECT CurDevObj = DeviceObject;

while(CurDevObj != NULL )
{
CurDevObj-》AttachedDevice = NULL;
CurDevObj = CurDevObj-》NextDevice;
}
}
运行在驱动层的木马只要对设备驱动运行一下ByPassAttachDevice()函数就可以让天网和所有使用这种技术的防火墙形同虚设。口说无评，本人专门写了一个驱动来验证，首先在天网的设置中禁止IE访问网络，此时IE的网络访问会被禁止：
图 2 天网防火墙组织IE访问网络
然后用驱动加载测试工具加载本人编写的驱动程序（文后附有加载工具和驱动程序，以及使用说明，可以用来测试一下你用的防火墙是否安全），假设这是一个运行在内核的木马或流氓软件：
图 3 加载Bypass驱动程序
运行后天网就失效了，看看IE可以访问网络了，不仅IE，所有被禁止的程序都可以访问网络了：
图 4 天网防火墙失效了
结论，就不说了，真的很失望。
下面看看金山网镖，这个是我的朋友很喜欢用的，一直说它好用，本次比较用的是金山安全套件2008中附带的金山网镖，先看看它的驱动加载情况：
图 5 金山网镖驱动加载情况
这也是一个TDI Filter，没有在NDIS层做工作，使用前面的工具可以轻松bypass，不说了，下一个。
接下来是瑞星个人防火墙，使用的版本是瑞星个人防火墙2008。瑞星的驱动在TDI层使用了不容易bypass的TDI hook，除此之外，在NDIS层也使用了Hook，先看看TDI层的情况：
图 6 瑞星驱动的TDI Hook情况
再看看在NDIS层的Hook情况：
图 7 瑞星驱动的NDIS Hook情况
从驱动上看瑞星防火墙要比前两个强很多，本人曾试着手工恢复被hook的函数，虽然恢复后不再弹出“某某程序要访问网络”的提示，但是实际上还是不能访问网络，不知为何，有兴趣的朋友可以研究一下。
再来看看卡巴斯基，这次使用的是卡巴斯基的互联网安全套装6.0个人版，从驱动上看卡巴斯基采用的是用TDI Filter驱动＋NDIS Hook：
图 8 卡达斯基的驱动加载情况
但是可能卡巴斯基的NDIS Hook只是用来分析可以的数据才使用的，也或者是为实现其它功能设置的Hook，总之，使用本文的程序可以bypass卡巴斯基的防火墙功能。
再看看冰盾防火墙，冰盾是一个服务器防火墙，这次使用的是冰盾8.1 Build60214，从驱动加载情况看，冰盾使用了一个NDIS中间层驱动，没有Hook，也没有处理TDI层的事务，毕竟它不是个人防火墙，没必要处理TDI层的事情（这只是本人的看法的）。工作在NDIS层的好处是可以探测工作在TDI层的rootkit木马，但是对于个人计算机用户来说，冰盾的设计不太好用（或者说比较难理解，相对于其它几种防火墙软件），另外，中间层驱动还容易被Hook，rootkit木马可以Hook它的处理函数，比如指向一个空函数，就可以瘫痪中间层驱动。
最后一个是风云防火墙，这个是从网上搜到的，以前没听说过，使用的版本是V1.26 正式版。这个软件除了防火墙功能之外，还有很多附加功能，比如文件访问监控，注册表访问监控等等，不过其网络防火墙这块使用的策略和卡巴斯基一样，可以被本文的工具bypass
从分析的结果来看，这几款防火墙软件对于应用程序的访问控制都是没有问题的，但是对于同样工作在内核级别上的木马和流氓软件则问题很多，只有瑞星防火墙结果好一点，其它的几款防火墙软件都挺令人失望，特别是天网防火墙。最后需要强调一点的是即使是瑞星这样使用TDI Hook + NDISHook的方式也不一定就是安全的，因为在应用程序级别上进行网络访问控制还是粒度太粗，如果使用rootkit工具将木马注入到防火墙允许访问网络的程序的进程中，就可以在防火墙眼皮底下堂而皇之地访问网络了，比如IE的一些BHO插件就是这么干得。
驱动加载测试工具以及bypass驱动下载
附录： 驱动加载测试工具以及bypass驱动的使用方法
首先将hook_test.sys复制到windows的系统驱动程序目录中（如果是windowsxp的系统，这个目录可能是c:\windows\system32\drivers），然后运行drv_test.exe，在驱动文件位置中填入驱动文件hook_test.sys的完整路径名，在驱动名称中填入驱动名称，这个比较重要，因为后面的启动、停止和卸载驱动都需要这个驱动名称，不过不一定是“hook_test”，显示名称随便填写就行了。输入完成后首先点击“安装驱动”按钮安装驱动，如果没有错误再点击“启动驱动”按钮启动这个驱动程序，然后就可以测试你的防火墙软件了。测试的方法很简单，就是运行一个访问网络的程序，如果防火墙有效，会提示是否阻止程序访问网络，如果防火墙失效，则没有任何提示，卸载驱动先点击“停止驱动”按钮，然后点击“卸载驱动”按钮就可以了。
orbit 发表于CSDN 2008-04-02 20:46:10