網路最佳化管理實務 - 第六章

第六章網咖系統實作
說了這麼多有關主機和單的設定，到底沒用？真那個能耐嗎？當然如果只是像前面這樣輕描淡寫一下，沒有辦法真正運用在實際環境的。
在實際運用上必須要再作一番調整目前區域網路比較常見的型態為︰學校【含補習班】、公司團體住家網咖，住家就可以不用作太多的說明了使者單純、一人機率也是最大的，通常不會有人無聊到去將自己使用電腦隨意亂搞【當然凡事都例外，筆者就是其中一人但沒有些去危險犯難怎麼可以安居樂業】，如果怕發生意外也只要使用GHOST來備份硬碟資料就可以輕鬆應付了。
公司團體的電腦也都因為專人用，而且各行業對於需求和使用方式也不相同，所以要對使者設限比較無法克盡全力當然公司團體的使用者也因為是吃飯傢伙比較不會拿碗開玩笑。
最有問題就是學校和網咖了，區域路的使用者生；用者是形色的消費，這兩個環境都需要面臨重大考驗尤其網咖因為網咖的消費者以學生大宗，當然面對電腦初奇怪操作、高手的『刻意』操作所以網咖電腦安全性要比其他區域路設定還複雜，所以筆者將真實的網咖環境來融合前面說技術來架構一套『網咖系統』。
開始動作之前請確定你已經具有深厚的Windows基本操作功力、 Poledit系統原則編輯程式和Regedit登錄編輯程式的修改能力，這樣後續的動作才能順利進行。
6-1 開始工作─關掉致命的程式和外觀改變

一開始的 Windows 系統是完全沒有防護能力的，也就說一般Windows系統是沒有保護的，可隨意刪除資料重新分割、格式化硬碟。但是如網咖系統必須暴露在公眾環境之下，面對初學者的錯誤操作；電腦高手的蓄意破壞和入侵，如果直接將系統赤裸公諸於世恐怕一台電腦三天兩頭就得重新安裝系統，所以我們必須將從完全沒有保護變成如城堡般的堅固。
硬碟製作程式
首先從致命的解決，請打開 MS-DOS 命令提示字元，輸入 FDISK （硬碟分割程式）or FORMAT （磁碟格式化程），一定可以執行，這在常人看來是理所當然的事情，但在網咖系統卻致命錯誤以我們第一步就是把它關起來。
怎麼關？最簡單的方法就是把它刪除，FDISK 和 FORMAT 程式預設都在 WINDOWSCOMMAND 資料夾中，請直接刪除不要丟在垃圾筒中。有人會想真懂電腦的人不會在拷貝進去就可以了嗎！？當然，但是我們在硬體設備評估中已經把光碟機和軟取消了，所以除非是有心人從網路上下載。那就對了啊！您自己都說可以從，真的遇到怎麼辦？
一開始定可以執行 FDISK 和 FORMAT 程式。

找到 FDISK 和 FORMAT 程式安身的位置，不要懷疑給它們刪掉吧！但是除了這兩個程式難道沒有其他對系統傷害的嗎？當然還，最醒目就是WindowsCommandEBD內也有Fdisk和 Format程式，就算把 EBD內的刪掉電腦裡也還是有。就EBD內的EBD.CAB壓縮檔內，其實這個EBD就是新增／移除使用在製作開機磁片的資料。
遇到有心人士千里迢跑網路上下載來執行，您又該怎麼辦？
如果真的遇到這種人話，只有祭出登錄大法把 16 位元的 DOS 程式關掉，這樣就算有程式也無法執行！請打開系統原則編輯器選擇檔案 → 開始登錄。

到本機使用者 → 系統 → 限制 → 將關閉MS-DOS模式打勾，儲存離開就可以馬上套用了。
這樣就算有程式也無法執行了，只要是MS-DOS模式的程也都會被限制。
刪除檔案的危機
解決了FDISK 和 FORMAT 程式關掉的問題後，若直接到檔案總管把您的檔案都刪掉，雖然比較慢但是我還可以達到目。
沒錯，在關閉 FDISK 和 FORMAT 兩個致命的程式之後，也必須防範刪除檔案的蠶食危機。防範方法就是讓它無進入到我們磁碟中：一樣打

開系統原則編輯器將「隱藏我的電腦磁碟機」打勾。
如此就真的不見了！
從我的電腦進去也看不到。
乍看之下好像已經阻止了，但是我打開 IE 瀏覽器輸入C:還是可以打開磁碟機。那我就把瀏覽器刪掉！這當然是行不通的，所以必須進一步關閉執行功能（這是一個非常重要的步驟，很多都可從解決）。
其實只要隨便找個有網址的地方就可以直接輸入磁碟機代號，算沒可以輸入，只要找到指令的地方也是。

這個問題就是出在執行上，只要將功能移除可以了。
這樣就不能『執行』了，當然瀏覽器或其他方式也無法進入磁碟機簡單就可以達成無法刪除檔案的功能（正常來講進入磁碟機檔案囉）。
當然執行更不用講已經被移除了。

恐怖的控制台
一台電腦不能 FDISK、FORMAT 也不能刪除檔案那真是非常的安全了嗎？其實不然！您可以想像瀏覽器的首頁被改成色情網站；桌面底圖案也是不雅的圖片，這樣當然行所以我們必須把一些會影響系統運作控制台選項關閉。預設可以進入顯示器內容沒有定底色圖案
找到一張“有看頭的”。
還好只是露背而已，要不然事情就大條了！

好吧！竟然是公眾的場合，還把顯示器關掉好了（可以順便把一些會影響系統的設定一併關閉），通常就是可以律都掉，所將選項都勾選就對了。
這樣就無法進入顯示器更改了。
混亂的桌面
該關閉的程式了；鎖功能也上，那系統就沒問題嗎？其實不然，請看桌面真是亂啊！接下來就整頓了。原的範例（比較起來已經比一般人還要乾淨了）。

一般的捷徑、程式資料夾都可以正常方刪除，了我電腦源回收筒、網路上的芳鄰之外。
網路上的芳鄰一樣是祭出系統原則編輯器即可搞定。
資源回收筒請照路徑將 NameSpace 的機碼刪除，裡面包含兩個圖示︰我的文件夾、資源回收筒。
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionExplorerDesktopNameSpace

我的電腦雖無法清除，但可以讓裡面內容更精簡一樣是按照路徑找到 NameSpace 刪除裡面包含三個圖示︰撥號網路、Web資料夾、安排的工作。
HKEY_ CURRENT_USER SoftwareMicrosoftWindowsCurrentVersionexplorer
MyComputerNameSpace
這樣桌面就很乾淨了，如下所示。
我的電腦裡也很乾淨！

混亂的開始功能表
桌面已經整頓乾淨了，接下還就是開始功能表。正常的表，隱藏著相當多的危機（後面會說明）。
打開系統原則編輯器，不過在限制裡只有執行、尋找和關機指令功能很弱！
經過系統原則編輯器整頓的功能表，已少了一些東但還是很多上面Windows Update使用右鍵直接刪除就可以了。

經過整頓是已好很多了，但有沒可能更精簡呢？當然有可，請看下圖：
那怎樣才能將開始功表精簡到這個程度？請繼續往下看。
使用登錄檔修改拿掉更多的功能表
要達到開始功能表只剩下說明和程式集，如果光靠系統原則編輯器是行不通的，我們需要最基層修改方式︰自行登錄檔當然使用其他程式也是可以，但軟體的取得及重新學習都一個大問題只要了解修改的機碼就可以自己做良，要寫程式或是使用系統原則編輯器搭配範本都是可以的。
當達到最精簡的開始功能表除了前面操作之外還需要關閉︰我愛、文件、設定登出這四個功能表才可以，還好因為都是開始功能表所以修改的地方都在同一個減少了很多麻煩。
機碼位置︰HKEY_ CURRENT_USER SoftwareMicrosoftWindows CurrentVersionPoliciesExplorer
資料為1為開啟（指的是關閉我最愛、文件設定），0為關閉（

就會出現，預設當然是關閉），編輯前請注意先備份後需重新開機或新登入才可看到變化。資料值的類型都是DWORD值，英文不分大小寫只是我們都會將單字首大寫較易區分。
關閉我的最愛
NoFavoritesMenu 關閉文件
NoRecentDocsMenu 關閉登出
Nologoff 關閉設定
1. NoSetTaskbar
2. NoSetFolders
3. NoFolderOptions
4. NoWindowsUpdate
5. NoSetActiveDesktop
五個機碼，目的就是把設定下所以子功能表關閉表都沒了，母體就有用本身會自動消失。其中 NoSetTaskbar和 NoSetFolders在前面的系統原則編輯器已經關閉了不需在新增，當然如果沒有的話還是要。
自行設定程式集
功能表看起來很精簡了，但是程式集裡還一大堆最後步就把程式集重新設計成我們需要的就可以了。
先將需要的程式集設計好，方很簡單做一個資料夾、捷徑放進去。

使用自定資料夾內的訂程式，填寫取得來源路徑儲存離開。
好像成功了已經出現我們自己做的程式集，那為什麼上面還會多一個 Programs的功能表出來，因為預設並不會把原先移除而存在一起。
因此我們必須要把隱藏的設定打開才行如果要自訂程式資料夾正常來講隱藏開始功能表子就啟動。

不過既然又到系統原則編輯器就順便把桌面程式圖示也一下吧。
最終的成品就是如此，這樣系統經過整頓煥然一新了。
6-2 安全了嗎！？
還有漏洞嗎？如果以為這樣您的系統就已經很完美了，那真是好

騙！雖然從外表看起來已經是一個很單純的環境，而且連些會影響觀瞻也移除，難道這樣還有漏洞嗎？當然而且是大請繼續往下看吧！
滑鼠右鍵的危機
當我們以為使用者已經無法進入的磁碟機刪除資料時，這卻還是傳來資料被刪除的意外，那到底是如何進入磁碟機中呢？已經把控制台顯示器限制使用，為什麼桌面還是出現不當的桌？
破解大法
要破解這個從外觀看起來完美的系統很難嗎？不會，大家都可以非常簡單，只要您的滑鼠沒有壞掉就可以了！
按個右鍵 → 新增 → 捷徑，輸入poledit或是regedit，只要有登錄檔的知識要破解目前系統可說是易如反掌，只以進入登錄編輯程式就等於大門的鎖已經打開，就剩下進去了。既然知道系統漏洞要想辦法把它補起來。
1. 把 poledit、regedit等可以修改登錄的程式刪除。評語：這個小朋友可能受到太大的打擊，而導致頭腦出現問題了。把些程式刪除那自己要用時該怎麼辦？我們需要留後門（會討論）但絕不是這樣留法。
2. 讓桌面不能儲存所產生的捷徑。評語：這個想法就比較正常了，但是我們要如何讓使用者無儲存呢？請不要忘記我們是單機作業，而一個區域網路環境只自訂桌面和自訂功能表的時候將路徑指到一個唯讀分享就可以了！
首先在SERVER上製作一個分享（最好是拿SERVER來擔任這個工作，其

實使用一般的單機WIN98系統也可以，只要分享唯讀資源就了）。
以 WIN2000為例，預設的資源分享都是完全控制，所以請到權限設定裡將分享權限改成唯讀。
接下來就是將桌面和功能表的路徑指向SERVER的唯讀分享（桌面和功能表請分開設定，也就是會有兩個享）。

這樣就無法使用新增功能了。
可是這樣真的就安全了嗎？那您未免也太多心吧！難道還以找到漏洞嗎？可是我好像還以進去磁碟機裡耶。
尋找目標
難道還可以進入我們的磁碟系統嗎？當然，如果完全不能進入磁碟機讀取資料，那程式該如何執行！？只是這個漏洞一很少會使用到的功能：尋找目標。當您對一個捷徑的路感到好奇，或是想要進入做些修改這時就可以使用一個尋找目標的功能。

這樣就還是可以進入檔案系統，不過C:Program FilesInternet Explorer又不能幹嗎，我想要到C: 可以嗎？當然，不過必須使用上、下頁和上移來動，不可直接在網址工具列輸入 C:，因為我們已經上鎖了。
由此可知只要單機上出現一個捷徑那這台電腦就以宣佈陣亡了，但是使用捷徑在設定選單系統比較簡單，難道要放棄嗎？
把右鍵關掉吧！

我是捷徑的愛用者難道要放棄嗎！OK，為了支持這些捷徑的愛用者我就傳授給您們一個技術：關滑鼠右鍵。只要閉其實很多事情會變的簡單許多，例如：桌面新增捷徑問題沒有滑鼠右鍵您怎麼按鍵新增捷徑！？（其實還是可以只比較麻煩，而且也沒有辦法治本所還是乖的按照步驟操作吧）。關閉右鍵又需要動到登錄檔了，值為︰
機碼路徑
HKCUSoftwareMicrosoftWindowsCurrentVersion
PoliciesExplorer
名稱
NoTrayContextMenu、NoViewContextMenu
名稱類型
DWORD
資料
0關閉；1開啟
將這兩個名稱的DWORD資料設定為1就可以關閉滑鼠在桌面、一般畫面操作的功能，但是不適用於其他程式因為本身會在重新設定滑鼠按鍵的功能。
快速鍵也很危險
沒有滑鼠右鍵進入內容，您真當我們都是電腦初學者啊！？不會使用 Alt+Enter快速鍵或是Alt+雙按左鍵就可以直接進入，根本不管有沒滑鼠右鍵，所以利用關閉滑鼠只能對付電腦初學者於接觸已有時日的使用者根本沒有作，那該怎麼辦呢！？
使用VBS技術
來個迂迴戰您可以看出這兩個IE捷徑有什麼不同嗎？當然這兩個都是可以正常執行的。

下面的就是一般IE捷徑，就是會有尋找目標的漏洞。
這是使用VBS(VisualBasicScript)所產生的捷徑，可以發現目標是指向 SERVER的另一分享MENU2裡的IE.VBS，這到底是什麼呢？
可以看到MENU目錄（也就是我們自訂桌面的）裡有兩個捷徑，Internet Explorer是正常的瀏覽器捷徑，而Internet Explorer-2是使用VBS做出

來的捷徑，而且這個還是由另外一分享MENU2來的。
MENU2的分享目錄，裡面存放了一個IE.VBS。
IE.VBS的內容：
set run=WScript.CreateObject("Shell")
start = run.run("IEXPLORE",3)
程式解說
set run=WScript.CreateObject("Shell")

首先設定一個RUN，RUN將建立一個Wscript.Shell的物件，這個作用是執行外部的指令（以VBS的觀點來看，IEXPLORE又不是VB的指令）。
1
2
start = run.run(
"IEXPLORE"
,3,
1是欲執行的程式名稱，請注意勿MS-DOS的程式，包含.BAT 的批次檔，我們已經把它關掉了。2是執行時視窗較常見的顯示設定：
選擇說明
0
背景作業
1
依預設的定狀態執行
2
以縮到最小的狀態執行
3
以放到最大的狀態執行
前面有看到以VBS做出來的捷徑還是有尋找目標這個功能，按下卻會到主機上，這個捷徑本來就是由機分享的，不過這樣是沒有關係因為我們分享的權限唯讀而且Windows 2000也沒有那麼容易就被破解，所以和單機比較起來是安全多了。
備註︰以上Windows 2000當作主機的操然也可以套用在Linux的

Samba Server上。
6-3 出乎意料的超級大漏洞！
我們在前面兩個小節詳細的討論，如何使用登錄檔幫助將原本露三點的Windows系統，變成包肉粽的封閉安全那我們可以喘口氣休息了嗎？當然不行，您們知道我怎麼了解網咖系統的嗎？這安全封閉想要儲存個資料都很困難了，更不用說想要從裡面偷取資料出來，而且還是網咖設定安全系統，讓您知道路徑和檔案名稱要設法讀取都費半天勁了更何況是完全一無所知的環境。
那到底我是怎麼辦的！？答案很簡單就從MS-DOS進入。可是我們不是已經把MS-DOS模式關閉了嗎？我可不是說視窗裡的MS-DOS模式，我說的是還沒進入WINDOWS的 MS-DOS模式啊！
正常來講在開機出現Start Windows…..的時候，您可以按
1. F5：直接進入安全模式。
2. F8：顯示開機選單。
3. 按住Ctrl鍵，以可進入開機選單。
進入C:可以幹麼？就算您已經把FDISK和 FORMAT刪除，我只要使用內部指令DEL就可以對電腦造成重大傷害了！那我要如何防堵呢？
Windows98
剛開機的設定在哪裡呢？就以前MS-DOS的好夥伴： MSDOS.SYS。這是一個文字檔，我們先來看最原始的設定：

;FORMAT [Paths] WinDir=C:WINDOWS WinBootDir=C:WINDOWS HostWinBootDrv=C [Options] BootMulti=1 BootGUI=1 DoubleBuffer=1 AutoScan=1 WinVer=4.10.2222 ; ;The following lines are required for compatibility with other programs. ;Do not remove them (MSDOS.SYS needs to be >1024 bytes). ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxa ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxb ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxc ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxd ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxe ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxf ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxg ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxh ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxi ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxj ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxk ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxl ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxm

;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxn ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxo ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxp ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxq ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxr ;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxs
這個檔案最引人注意的就是下面有一大串XX，這在XX的上面其實就有說明，要把這個檔案的大小超過1024Byte（也就是1K），為什麼要超過 1024Byte？因為系統檔小於1024Byte有先防毒軟體會判斷成病，或些程式會無法處理，所以還特別強調『MSDOS.SYS needs to be >1024 bytes』，所以請讀者不要手賤把它刪掉（其實經過測試XX刪除系統也是可以運作的快樂，能沒有使用到比較特殊功吧）。
至於上面有兩個大區段：PATHS、OPTIONS。先來說明PATHS的作用吧，預設有三個路徑定，不需知道這的作用因為可以改變因為：WinDir和 WinBootDir兩個路徑是Windows的安裝路徑和開始徑，但不要異想天開的說可以把Windows搬家，例如從C:WINDOWS 搬到D:WINDOWS，這是行不通的！要歸咎WINDOWS很差的路徑設定，從前面的捷徑路久可以看出都是指絕對完全沒有轉圜的餘地。
但是WINDOWS NT系統就有改善，大量的使用環境變數來指定路徑這樣當路徑改變時才不會發生找到檔案的情況，所以是沒有用設定，請千萬不要去改變它，保持原狀就好了！
OPTIONS就是MSDOS.SYS的重頭戲了，所有量級設定都在這個區段中，所有設定皆為1開啟0關閉，特殊例子會再說明建議設定將標以紅色字。

AutoScan=1 上一次沒有正常關機時，是否要執行磁碟掃描程式（0） BootDelay=2 開機時出現Start Windows…的延遲時間，這個間牽扯到BootKey按的時間，單位為秒預設2，不過實際使用上感覺到0.5秒，常有人無法掌握時間點，最好不停的按比較容易成功。過就算設定成0秒，依我的雷電無影手（以前出名的大型射擊機台，不過老闆很奸都沒有裝置連射系統所以只能不停的按，到手抽筋）還是可以輕易成功所以不用裡會這個參數。 BootGUI=1 開機時是否使用GUI圖形操作介面（1） BootMenu=0 是否出現開機選單，如有特殊需求在啟（0） BootMenuDelay=30 當出現開機選單時經過幾秒進入預設項 BootMenuDefault=1 開機預設進入第幾個選項，也可直接命令提示字元 BootMulti=1 開機選單是否出現MS-DOS6.22的選擇項目，如果沒有系統並沒有和MS-DOS並存的話，這個項目不需開啟（0） BootSafe=0 開機時直接進入安全模式（0） BootKeys=1 是否開啟機選單的進入按鈕（0） DoubleBuffer=1 設定雙倍的緩衝空間，在有SCSI卡的電腦裡會自動出現，不過好像沒什麼作用關閉主記憶體可以增加 2K的空間（0） Network=0 開機選單是否出現Safe mode with Network support選項（1） Logo=1 開機時是否出現微軟MARK（0）

DBLSpace=1 DRVSpace=1 這兩個項目是設定否載入磁碟壓縮程式，現在的硬碟都相當大了，已經很少人使用這個技術所以把它關掉吧（0）
請注意，這個檔案的屬性為隱藏、唯讀系統所以如要更改先將唯讀屬性取消，那該怎麼呢？當然在Windows裡不是問題，在 MS-DOS模式裡，為什麼要特別強調MSDOS.SYS的設定大部分變化在開機就可以了解，所MS-DOS模式工作的機率相當高。指令如下：
1
2
3
ATTRIB
-S –R –H
MSDOS.SYS
ATTRIB 為設定檔案屬性的外部指令，區塊2為屬性的設定，S為系統 (SYSTEM)；R為唯讀(READ ONLY)；H為隱藏(HIDDEN)，＋為增加、設定；－為取消，最後是的對象也可以使用萬字元。
BootKey
 F5：進入安全模式。
 Ctrl+F5：進入命令提示字元的安全模式。
 F6：有一點(minimal)網路功能的安全模式。
 F8：顯示開機選單。
 Ctrl：顯示開機選單（直接按住即可）。
開機選單說明
1. Normal
2. Logged(BOOTLOG..TXT)
3. Safe mode

4. Safe mode with Network support
5. Step-by-Step confirmation
6. Command prompt only
7. Safe mode command prompt only
8. Previous version of MS-DOS
說明：
我已經所有的項目列出，換句話說最多是八個（看過再多也不知道怎麼變出來），請勿直接看順序，而必須對照訊息說明每台電腦會因為配備、軟體的不同而出現選單畫面。
1. 直接進入正常的Windows。
2. 一樣是正常的進入Windos，只是將進入的過程紀錄在BOOTLOG.TXT 的檔案中，可使用在程序追蹤。
3. 安全模式，相信大家都很熟悉了才對。
4. 安全模式但支援網路，可以在除了方面外的裝置發生問題時還可以上網找答案。
5. 一步的執行，樣可以在當機時候抓出問題點就部看到哪一步執行完當機就知道了。
6. 命令提示字元版本為MS-DOS7.X。
7. 命令提示字元的安全模式，就是開機時不執行CONFIG..SYS、 AUTOEXEC.BAT這些自動執行檔，案可能會因為病毒或不當的寫法而當機。
8. 純正的MS-DOS模式，版本是MS-DOS6.22，有些古老的程式非常挑剔一定要在這個模式下執行，現已經少見。
一般人比較少見的網路安全模式：

不要在CONFIG.SYS和 AUTOEXEC.BAT放任何東西
利用了MS-DOS.SYS將開機的漏洞補起來後，就萬無一失了嗎？當然不是！如果您在CONFIG.SYS和 AUTOEXEC.BAT放東西的話，那辛苦苦編輯設定的MS-DOS.SYS就又沒有作用了。因為我可以在開機的時候，拼命按Ctrl+C來中斷AUTOEXEC.BAT批次檔的執行，然後不要繼續就可以進入C:中了。
那 CONFIG.SYS呢？CONFIG.SYS只要將BOOTKEY關閉就無法中斷執行，但是您在CONFIG.SYS檔案要放什麼東西，現在不是MS-DOS 的時代，所以不要浪費資源在CONFIG.SYS裡面。
Windows ME
Windows ME 就不需如此費心了！因為預設的Windows ME根本就沒有開機前的命令提示字元，所以使用Windows ME可以把這個部分的心力放在其他的事情上。
內部、外指令
什麼叫做內部指令，又外以DIR和 COPY指令來說

明，您絕對看不到這兩個檔案（有一點錯誤下去就知道了），但是 FDISK、FORMAT、XCOPY等指令就需要有執行檔配合，可以使用 DIR指令來顯示，但是DIR和 COPY卻無法看到檔案，是因為內部指令的功能都相當簡單、陽春，所以包裝在COMMAND.COM這個檔案內，部指令是只要開機就可以使用的（COMMAND.COM是開機必備檔）。
執行檔
可以執行的檔案，副名為COM、EXE，例如：PE2.EXE這個檔案就可以直接下達PE2指令來執行，但是看到PE2.HLP的 PE2說明檔，卻無法直接讀取，可能需要PE2的主程式配合才可以正常讀取。
但是有一種副檔名BAT檔也可以執行，那算不呢？其實這種案叫做批次檔，顧名思義就是幫助我們作業的。您可能每天都必須備份一大堆的檔案，這些又沒有在起那就可以把指令集中起寫成批次檔，幫助我們簡化工作。例如：若每天要備份案需輸入以下指令。
1. COPY *.DAT BACKUP
2. COPY *.DBF BACKUP
3. COPY *.PRG BACKUP
在每天工作告一段落時，都要輸入備份次假使覺得麻煩可以下指令，把這個動作製成BACKUP.BAT批次檔，以後只要輸入BACKUP 指令就可以執行備份。
COPY CON BACKUP.BAT
COPY *.DAT BACKUP
COPY *.DBF BACKUP
COPY *.PRG BACKUP

^Z
COPY CON 為內部指令的文字編輯器，依序輸入最後必須儲存離開，可以按^Z（^就是Ctrl）或按F6都可以。
讀者測試可以使用CLS和 DIR兩個檔案就可以了，正常應該會先清除畫面，然後顯示檔案清單請記得在命令提模式裡測試！
檔案的屬性
Windows系統有四個屬性：、隱藏唯讀備份。
系統
系統運作所需檔案，如開機IO.SYS和 MSDOS.SYS都具有此屬性，比較值得說明的是，有先原就系統屬性檔案算把取消它還活的好；但是有就會出問題，例如WINDOWS下的FONTS資料夾，請注意這是目錄不檔案，也可以設定屬性過個在圖形操作之下比較難設定。
字型資料夾本來是好的。

後來因資料損毀，結果新增字型就不見了。
這就是將系統屬性移除的結果，但正常來講我們必沒有辦法在去設定，只能使用DOS指令（ATTRIB指令，前面有說明），所以使用DOS指令請千萬小心。

隱藏
設定隱藏屬性只可以欺騙不懂電腦的初學者，和增加操作上困難沒有什麼作用（並沒辦法真正隱藏而不被發現，都指令或設定可以打開檢視隱藏檔）不用去管它。
唯讀
設定唯讀的檔案可以保護不被修改（請注意是刪除，的定義為編輯後儲存，也是可以取消屬性），只預防粗心大意的操作，無法真正預防檔案的變化（包含修改、搬移刪除）。
備份
這個屬性鮮少人知道真正的作用，因為簡化學習過程使電腦普及關係，一般人通常只懂操作而不為何。請依照測試步驟就可以了解這個屬性的真正作用。

先增加一個純文字檔案，不需有內容空即可。
檔案可能會直接就預設了保存屬性，請先取消。
將這個檔案複製到別的地方，按照操作是從C:1複製到C:2。

複製過去的檔案自動將保存屬性打開，而原先C:1的檔案保存屬性依然是關閉的。
這代表什麼？檔案經過複製子體會自動設定保存屬性，就是備份的檔案，而母體並沒有。這個屬性對我們來講什麼作用但是備份軟體作用就大了，這是一個指標！辨識否已經備份過的當然如果您沒有要撰寫備份軟體，這個部分只了解到此就可以。
開機必備檔
開機必備檔就是一定需要的案缺都不可，信者以自行測試

看。
在 MS-DOS時代有三個程式檔。
1. IO.SYS
2. MSDOS.SYS
3. COMMAND.COM
但是到了Windows 95時代，就剩下兩個IO.SYS和 COMMAND.COM， MSDOS.SYS還是會出現，但卻變成了一個文字檔（請參考前面說明）。

6-4 使用開機片達到自動化
就算是小型的區域網路動不也要二、三十台電腦，現代人怎麼可能一台一電腦慢從安裝Windows 98開始、驅動所有的硬體裝置然後做完所有設定，當然是全心力安裝一台之後使用Ghost軟體一鼓作氣將所有的電腦複製完成。
但是您有沒想到，這些電腦複製完是沒有錯，但東西不能相同的，在這裡我們要解決是電腦名稱問題。
電腦名稱
網路的設定在對象上都具有唯一性，像TCP／IP的位址就不能相同，過 IP的問題好解決，在前面我們介紹DHCP技術就是在解決這個IP分配的問題，我們只要將所有電腦設定成自動取IP就可以解決了，但是電腦名稱呢，無論需不要作雙方面的溝通只有網路裝置電腦就一樣設定，既然要使用就遵守規電腦名稱的是在同一網域群組裡稱不得重複，但是我們使用Ghost不是所有的名稱都相同嗎？
您可以開機一台重新設定就好了，但是電腦數量少還大這也是一件累人的工程，所以我們要把它半自動化至少省略開機進入 Windows的時間，還有自己東改西這我們就要靠古老技術了CONFIG.SYS搭配AUTOEXEC.BAT。
MS-DOS的自動執行
在以前的MS-DOS時代也是有所謂的自動執行，那以兩個檔案負責這檔子的事，就是CONFIG.SYS（環境設定檔）和AUTOEXEC.BAT（自動執行檔）。

CONFIG.SYS介紹
我是把它依功能翻譯成環境設定檔，顧名思義這個案就是在設定 MS-DOS的工作環境，例如：光碟機驅動、音效卡記憶體管理都是這個檔案在負責的。要注意只有開機才會讀取，所以測試時必須反覆的重新開機（很煩！）。
在末代的MS-DOS版本有一個重大的改革，當時記憶體管理相棘手，幾乎沒有一個是可以適用所軟體的設定每次就在玩遊戲和使中文系統之中改來去的，後就有了選單這樣可以在開機時候擇自己要的工作環境，真是一項大改革。
CONFIG.SYS內容
[menu] submenu = tcpip menuitem = nothing [tcpip] submenu = 1 submenu = 11 [1] menuitem = 1 menuitem = 2 menuitem = 3 ：： [11]

menuitem = 11 menuitem = 12 menuitem = 13 ：： [1] [2] [3] ：： [11] [12] [13] ：： [nothing] [common] device=himem.sys
說明
[menu]
使用menu功能。
submenu = tcpip
submenu為下層選單 = 號後面是功能表顯示名稱。
menuitem = nothing
menuitem是該層選單的項，= 號後一樣是選單名稱，submenu和

menuitem都可以依功能自行擴充。
[tcpip]
submenu = 1
submenu = 11
只要是在[menu]、[submenu]、[menuitem]都需要有一個同名稱的區段 [????]，以[tcpip]的區段舉例，裡面我們有設定了兩個submenu，我的想法是以十個為單位分開，1-10、11-20、21-30以此類推，這樣在設定和操作上比較方便。
[1]
menuitem = 1
menuitem = 2
menuitem = 3
[1]的區段負責是1-10的電腦，要此已經是最底層了所以使用menuitem的參數。
[1]
[2]
[3]
這些區段底下都沒有作其他的設定，因為我們目標只在電腦名稱所以這些區段都是空的。
[nothing]
我們做了一個nothing的區段，功能就是如果只想開機選擇nothing，那就不會做其他變動。
[common]
device=himem.sys
[common]是一個比較有趣的區段，它功能不管您選擇什麼項但段，這個區的內容全部都要執行底下device=himem.sys是做一個基本的記憶體管理。這裡應用也是滿多，不過在網咖系統可能英雄無用武之地了！

AUTOEXEC.BAT介紹
在以前的MS-DOS時代裡，每次開機都需要事先執行一大堆的指令設定，例如︰呼叫ET3倚天中文進入、執行HE來進入漢書文編輯器等，如果每次開機都要自己輸入一那真是會煩死的！所以系統就設定個檔案，這在每次開機的時候都會自動執行就是『AUTOEXEC.BAT自動執行檔』。
AUTOEXEC.BAT內容
@echo off goto %config% :1 regedit autoreg1.reg goto end :2 regedit autoreg2.reg goto end :3 regedit autoreg3.reg goto end ：： :11 regedit autoreg11.reg goto end

:12 regedit autoreg12.reg goto end :13 regedit autoreg13.reg goto end ：： :nothing goto end :end cls
說明
@echo off
關閉指令的訊息，有些執行完畢可能會出現一個ok，這對批次作業而言會造成閱讀的困難，所以我們可藉由echo off將回應關閉，不過有些訊息還是會出現。
goto %config%
這是一個特殊用法，goto會跳到某個子程序開始執行，問題是要哪裡行，就要看開機時config.sys是選擇哪一個了，%config%是一個環境變數會傳遞開機選擇給goto，例如我們開機選擇了nothing最後的組合就是goto nothing，那它就會跳到:nothing的子程序開始執行。
:1
底下就是每個區段要執行的步驟。

regedit 1.reg
將 1.reg的登錄檔匯入到系統裡。
goto end
這個子程序也經處理完畢，跳到最後end的結束子程序。
:end
比較特殊的是我們一定會設計個end區段，批次檔的執行會從頭一直到最後，所以如果沒有設定一個end的區段，那程式就會從頭執行到尾沒有用了，所以這個end區段一定要有。
沒有end區段：就會循序的執行下去，那最後結果都會是3，這樣就無法區分不同的工作設定了。
goto 1
:1
:2
:3
有 end區段：設計一個END區段當該程序結束時就跳到最後END區段，這樣就可以結束整個程式而達到區分設定的目。
goto 1
:1
goto end
:2
goto end
:3
goto end
:end

REG檔的內容
REGEDIT4 [HKEY_LOCAL_MACHINESystemCurrentControlSetControl ComputerNameComputerName] "ComputerName"="01"
我們所看的是1.reg，這是最簡單的只有設定電腦名稱範例，當然也可能遇到比較奇怪的環境需要使用指定IP的，或是其他設定那也很簡單就在補進去就可以了。
1
2
3
REGEDIT4 [HKEY_LOCAL_MACHINESystemCurrentControlSetServices ClassNetTrans0000] "IPAddress"="192.168.0.10" "IPMask"="255.255.255.0" "DefaultGateway"="192.168.0.1" [HKEY_LOCAL_MACHINESystemCurrentControlSetControl ComputerNameComputerName] "ComputerName"="01" [HKEY_LOCAL_MACHINESystemCurrentControlSetServices VxDVNETSUP] "Workgroup"=" net"
這是第二版的1.reg，設定的項目比較多，這部分的變化完全看自己需求而加以變化。

1. 是修改IP的登錄，比較要注意是0000這個子機碼，您的電腦不見得會使用0000，在雙網路卡或是更換過的電腦可能0001，或是更以後的數字，而且這個沒有順序優先權會根據目前設定不讀取較前面的機碼。 IPADDRESS︰IP位址 IPMASK︰子網路遮罩 DEFAULTGATEWAY︰預設閘道器或路由
2. 剛才介紹過了，這是修改電腦名稱的登錄值得注意個無法直接在Windows裡套用，必須重新開機才會動作。 COMPUTERNAME︰電腦名稱
3. 為修改網域群組的登錄值，應該比較少需要不過還是列出來讓大家了解。 WORKGROUP︰工作群組
6-5 簡化設定的過程
在設定每一台單機大致上的動作有︰網路環境通常針對TCP/IP設定以及登錄檔的安全設瀏覽器，要將使用環境到完美幾乎是不可能的，身為管理完也只盡力而但最重要就一定簡單好管理。
6-5-1 網路TCP/IP設定
如果主機為Linux或是Windows 2000 Server的話，那都有提供 DHCP Server但重點是目前的DHCP Server都有依據網路卡硬體位址指定固的IP位址功能，這個有什麼作用呢？雖然DHCP可以動態的提供 IP但隨意亂跑的IP位址真正在使用上還是相當的不方便，所以如果可

讓 DHCP根據不同的使用者來指定固IP那就很美好了，目前的情況是如何呢？真正的情況是當要達到這個功能時就必須先將所有網路卡號記起來，然後把這個像是亂碼的東在設定DHCP裡指定IP。
本來動作就是如此前面的章節也都有介紹那還什麼搞頭？當然！難道你不會覺得那像是亂碼一樣的網路卡位址很難搞嗎！？如果可以將這個號根據部門或是類型來區分號碼，在管理上一樣可以方便快速許多當然設定DHCP上也快多了，畢竟有意義的號碼比亂要好很！
不過，請注意『修改網路卡號有一定的危險性，而且可能喪失保固！』所以這個動作最好是在購買的時候就和廠商協調簽約，當然可讓做最好的，因為當數量龐大時這個動作做起來也是相耗。
開始動作
擔任這次實驗的對象是RTL8139B目前相當知名的螃蟹卡，首先使用 WINIPCFG指令來查看目前的網路卡號得到了︰ 00-E0-4C-39-00-08，說真的前面亂碼就是像這樣，無論使用或記憶上都相當的不易
首先取的修改網路卡號程式，這裡使用是到『COOS網虹科技』下載的，時候請認清楚自己網路卡主要晶片回來必須先執行程式將檔案解壓縮，出來會有三個第一件事情就是8139.CFG改名稱為『8139B.CFG』，要不然會抓到設定檔

以記事本或其他的文書編輯器開啟8139B.CFG，第一行就是網路卡號，請根據自己的區域網路管理模式修改卡號，筆者只是簡單設定成『00 00 01』將這塊網路卡設定成1號
修改CFG檔完畢儲存之後執行PG8139程式，首先選擇網路卡類型︰PCI 網路卡選擇1；PCMCIA筆記型網路卡選擇2，請根據類型選擇
接下來就會看到程式將新的卡號寫入EEPROM中，請關機後重新開讓設定啟動

再進入WINIPCFG查看網路卡後就可以發現已經改變了
修改後的網路卡無論有沒採用DHCP技術在管理上一定會有所幫助，當然最好有採用DHCP來幫助TCP/IP的管理。
6-5-2 一勞永逸的登錄檔
其實TCP/IP的管理就算沒有使用修改網路卡號也不難到哪裡去，但是想如果沒一台電腦都要經過前面的登錄設定洗禮那真的設下來會相當無力，然也有比較快速的方式︰將所登錄值寫成REG的登錄檔或是寫成登錄原則編輯器的範本，這裡比較提倡撰原因很簡單一樣都要自行撰寫程式碼，但是範本的後續使用上較具彈性而且使用REG登錄檔無法刪除機碼，REG登錄檔祇能將機碼附加進入系統而已，不過最主要的重點就是現在講功能『登入NT網域套用系統原則』。
Windows客戶端如果有設定登入NT網域那在登入的時候就會讀取 NETLOGON的設定，NETLOGON從簡單的登入批次檔到制定錄都可

以輕易達成。
特別注意︰不同的作業系統所產生範本檔只能給該使用，要在Windows NT上撰寫範本檔然後要給Windows 98使用，這樣是不行的。
撰寫NETLOGON專用範本
其實這個NETLOGON用範本和之前使的在上都是相同，只是一開始的前置動作有所差異。
之前的操作都是使用開啟登錄，但在這裡卻『新檔案』
開啟之後在外觀上和登錄有一些不同，比較明顯的特徵是工具列『人頭』圖示可以使用了
由左至右分別是︰新增使用者、群組電腦，這裡代表的就NT 網域的使用者清單資料

測試的動作只是簡單將控制台 → 顯示器關閉
設定完原則之後需要儲存，如果是給NT網域NETLOGON使用的原則，檔名必須命為『CONFIG.POL』副檔名可省略系統自己會補
預設的使用者針對象是所有人，當然可以特定或群組、電腦來設定不同的系統原則，
選擇要指定的對象在輸入名稱就可以個別設原則了

針對特定象所設的系統原則當然只有以這些使用者帳號或是電腦名稱登入才會受到原則影響
CONFIG.POL是針對Windows 98系統的檔案名稱，如果是Windows NT系統檔名為NTCONFIG.POL。
Linux
Linux要使用NT網域的功能首先就是要架設起Samba Server（請依前面章節介紹架設完畢），然後再開啟Samba擔任NT網域的功能，接下來就是將NETLOGON區段的註解刪除掉，同時也看到預設NETLOGON的路徑在/usr/local/samba/lib/netlogon，這個路徑其實上是不存在的必須自行建立

儲存離開之後在重新啟動Samba Server之前別忘了建立NETLOGON 目錄
mkdir –p /usr/local/samba/lib/netlogon
原先路徑只有到/usr/local而已所以必須建立三層目錄，最快的方式就是使用-p參數一次建立完畢，就可以重新啟動Samba Server了。
啟動正常從Windows 98客戶端就可以看到Linux Samba Server出現了 NETLOGON的分享資源，接下來只要將寫好範本放進去就可以了。
通常這個NETLOGON的使用權限都是唯讀，要不然隨便一個者可以自己撰寫批次檔或是系統原則放進去，那整個區域網路就大亂了這裡的方式為將檔案先儲存到另一個資源分享TMP之中
然後在到Linux上將這個檔案搬移到NETLOGON的目錄之中，假設TMP 資源分享在/tmp那指令就是如此︰
mv /tmp/config.pol usr/local/samba/lib/netlogon/

Windows 2000 Server
不知讀者有沒發現原本在寫Windows 2000都不會刻意去註明版本，那為什麼現在要特別強調Windows 2000 Server呢？因為只有 Windows 2000 Server家族才有NETLOGON功能，所以使用Windows 2000 Professional的 OS就抱歉了，當然比較念舊的使用Windows NT Server 4.0也是可以達到相同功能。
先進入網路上的芳鄰查看，果然沒錯有NETLOGON的資源分享
沒有NETLOGON那這個功能在哪裡？原來必須將Windows 2000 Server 升級成為Active Directory成為主控台才有掌網域的能力，打開始 → 執行輸入︰『DCPROMO』就可以進入升級AD畫面了，跳過歡迎之後一開始是指定角色，請選擇『新網域的域控制台』因為我們就是一個新網域，在還沒安裝AD之前這個網域是沒有大人的，所以選擇第一『新的網域控制台』

既然是新網域當就選擇『建立樹狀目錄的系』
如果有到TWNIC或是其他的ISP申請網域名稱就可以在此輸入，如果沒有的話可以輸入『LOCAL』，因為筆者有申請所以在此輸入名稱 HOYO.IDV.TW
輸入網域的NETBIOS名稱，這個就是網路上的芳鄰使用請保持之前的設定不要變更，這裡會使用申請DNS名稱來定義為新的網域稱，有極大的可能和原本設定名不同所以不要變更

原本的電腦、網域名稱可以從我→ 右鍵 → 內容 → 網路識別來查看目前的設定，由此查出原本為DOMAIN所以將NETBIOS網域名稱由 HOYO改回到DOMAIN
設定資料庫、紀錄檔的儲存位址
設定共用的系統磁碟區，需要注意是所在位置一NTFS5.0的檔案系統才可以，這裡也是NETLOGON目錄的棲身地

有 DNS網域名稱正常來講就需要DNS Server來解析
但是這裡的Windows 2000並不是要架設網站所以選擇『否』，立即定 DNS Server
使用權限要選擇只和Windows 2000 Server相容，因為選擇Windows NT 4.0相容匿名使用者也可以讀取網域資訊
設定AD密碼，這個主要作為移除之用如果沒有安全性的考慮就不需

要設定密碼，這裡筆者是空白
完成之後的設定安裝會需要一點時間，可能10分鐘或甚至30分鐘，這要看設定的項目以及電腦等級來判斷，安裝完成重新開機再進入網路上芳鄰就可以看到NETLOGON的資源分享了
分享是出現了但路徑在哪裡？蠻長的︰
WINNTSYSVOLsysvol『DNS設定名稱』scripts目錄，這個的權限設定一樣和Linux一樣預設域無法寫入的，所以當Windows 98客戶端要將範本檔存入的時候一樣繞個圈，而且請注意帳號權限要足夠才可以修改NETLOGON目錄，當然使用Administrator帳號是一定沒有問題的啦

Windows 98客戶端的設定
在伺服器端的設定其實都很簡單，問題出Windows 98客戶端應該如何設定，根據目前市面上的書籍這個功能絕對會失敗就是理論和實作派的最大差異，以訛傳抄書沒有經過驗證後出來還是錯誤的。
設定的第一件是就登入NT網域，控制台 → 網路 → Client for Microsoft Networks內容進入
將登入Windows NT網域勾選，並且輸入Windows NT網域的名稱，當然這裡不輸入也可以只要在開機登時即

以上的步驟幾乎有講到這個技術都，重點是接下來設定因為沒有設定以上的步驟都是空談，請將控制台 → 密碼 → 使用者設定檔定成『使用者自訂喜好設及桌面值』
設定成登入NT網域在Windows開機時就會出現登入畫面，但是這個畫面在區域網路使用者看來是不堪入目的，而且這個登也祇會增添管理員困擾而已，因為使用者會將這個畫面取消然後跟你反應網路無法所以必須要在設定一番才可以正式使用
以下的機碼對於NETLOGON都相當的有幫助，包含了指定使用者帳號、密碼自動登入NT網域，以及強制登入不的取消畫面
機碼路徑
HKLMSoftwareMicrosoftWindowsCurrentVersion

Winlogon
名稱
AutoAdminLogon
名稱類型
字串
資料
0/1
機碼路徑
Winlogon
名稱
DefaultUserName
名稱類型
字串
資料
登入網域使用者名稱
機碼路徑
Winlogon
名稱
DefaultPassword
名稱類型
字串
資料
登入使用者密碼
機碼路徑
HKLMNetworklogon
名稱
MustBeValidated
名稱類型
DWORD
資料
0/1
功能說明
強制登入網域，無法以取消進Windows
6-5-3 簡化Internet Expoloer瀏覽器
系統安全了設定的方式也改良但是還有一個地很大漏洞，就網際路的設定，你一不希望使用者在上班或是小學生到些奇怪網站，至於什麼才是奇怪的當然每個人都有一把尺但要如何制止呢？最簡單的方式就是設限，難道還要依照第五章登錄檔來個大改造嗎！？當然不是，而且這樣改造起來費時力又討好就算去設定內容分級還是無法完全防堵世界的網站，所以我們採取策略要更積極一點，請先在開始 → 執行輸入︰IEXPLORE -K

結果就如你所見，這是一個沒有任何工具列、功能表的瀏覽器當然絕對不是所謂的全螢幕瀏覽以F11是沒有作用的，了網址列使者無法自行輸入網址這樣限制是最直接的
是這樣問題又來了應該如何使用在實際的環境上呢？個其簡單無論是任何的環境只要公開場合適網站不多，所以我們可將有在使用的網站或是頁做成然後加上程式自動載入。
這個就是使用FrontPage來編輯的網頁
然後使用自動載入將這個網頁，不過在者之前還必須先將瀏覽器的捷徑

修改一番才可以使用
在目標後面加上『-K "E:HOYO.HTM』就可以使用自行設定的網頁動載入了
IEXPLORE參數說明參數說明
-K
使用KIOSK模式
-E
使用EXPLORER模式
-NOHOME
不載入首頁
iexplore “e:hoyo.htm”
載入E槽的hoyo.htm網頁
iexplore www.hoyo.idv.tw
載入www.hoyo.idv.tw網站
iexplore redhattmphoyo.htm
使用UNC格式載入RedHat主機分

享出的hoyo.htm網頁
Explorer模式，看起來很像檔案總管但仔細工具列是不同的
沒有所以的工具列那要如何執行一些常用操作，就需使快速鍵了快速鍵說明
CTRL + A
全選
CTRL + B
組織我的最愛
CTRL + C
複製
CTRL + F
在網頁中尋找字串
CTRL + H
紀錄
CTRL + I
我的最愛
CTRL + L，CTRL + O
開啟舊檔
CTRL + N
開新視窗
CTRL + P
列印
CTRL + R，F5
重新整理
CTRL + S
儲存檔案
CTRL + W，Alt+F4
關閉視窗
ALT + ←，Backapace
上一頁
ALT + →
下一頁
ESC
停止

當你了解快速鍵之後就會發現其實算是KIOSK模式還是有可以使用開新視窗或是其他的功能來脫逃，所以登錄檔原則限制還不可少的，只是可以減少設定數量和複雜程度。
6-5後門
經過前面的奮鬥之後系統安全性果然提高了，而且似乎已頭了，一套好的管理系統除必須夠安全之外在新增或移軟體設定的時候也一要方便，當然這個還是兼顧到安全性的那底該如何才能安全又方便呢？
安全性必須要考慮到很多的層面，為什麼不使用再生裝置來一勞永逸當然如果真的是一勞永逸很好但現實卻不此，要浪費半空間要不然就是相容性有問題，也會穩定差的最好去使用外加的軟體才可以有最佳系統穩定性和相容度。
所以就使用登錄檔搭配伺服器來達到這個功能，但是在設定的時候一有遇到設定錯誤或是在安裝過程中需要另外其他的式，這時就會發現沒有MS-DOS或是執行等一件多不方便的事情，所以我們必須要留一個『後門』來讓管理員進行維護的動作。
6-5-1 後門一︰有安裝軟碟機
或光如果在你的區域網路客戶端有安裝硬碟除外開機磁，那使用片開機然後將登錄限制移除也是一個方法。
移除限制登錄檔內容
REGEDIT4

[HKEY_CURRENT_USERSoftwareMicrosoftWindows
CurrentVersionPoliciesExplorer]
"NoChangeStartMenu"=dword:00000000
"NoDrives"=dword:00000000
"NoLogoff"=dword:00000000
"NoFileMenu"=dword:00000000
"NoFind"=dword:00000000
"NoFolderOptions"=dword:00000000
"NoNetHood"=dword:00000000
"NoRun"=dword:00000000
"NoSetFolders"=dword:00000000
"NoSetTaskbar"=dword:00000000
"NoTrayContextMenu"=dword:00000000
"NoViewContextMenu"=dword:00000000
CurrentVersionPoliciesNetwork]
"NoEntireNetwork"=dword:00000000
"NoNetSetup"=dword:00000000
"NoNetSetupIdPage"=dword:00000000
"NoNetSetupSecurityPage"=dword:00000000
"NoWorkGroupContents"=dword:00000000
"NoFileSharingControl"=dword:00000000
"NoPrintSharingControl"=dword:00000000
CurrentVersionPoliciesSystem]
"DisableRegistryTools"=dword:00000000

"NoConfigPage"=dword:00000000
"NoDevMgrPage"=dword:00000000
"NoDispCPL"=dword:00000000
"NoDispAppearancePage"=dword:00000000
"NoDispSettingsPage"=dword:00000000
"NoFileSysPage"=dword:00000000
"NoProfilePage"=dword:00000000
"NoSecCPL"=dword:00000000
"NoVirtMemPage"=dword:00000000
CurrentVersionPoliciesWinOldApp]
"NoRealMode"=dword:00000000
將以上程式碼儲存成REG檔，上面只有列出一般比較致命的系統原則大概只要這些系統原則打開之後就可以為所欲了，當移除登錄限制只要開機後進入命令提示字元，假設儲存成OPEN.REG檔則指令為
REGEDIT /L:c:windowssystem.dat /R:c:windowsuser.dat OPEN.REG
當然如果要更安全在單機上regedit、poledit等程式一定都不會存在【刪掉了】，所以開機片上一定要有相關的程式。
如果有專用的登錄編輯方式或是值回復那就可以不顧一切將登錄碼刪除，這個也可以使用在電腦被惡毒網站或是病入侵時
regedit /D HKEY_CURRENT_USERSoftwareMicrosoftWindows
CurrentVersionPoliciesExplorer
CurrentVersionPoliciesNetwork
CurrentVersionPoliciesSystem

CurrentVersionPoliciesWinOldApp
6-5-2 後門二︰具有密碼的壓縮檔
當客戶端沒有其他的開機方式那該怎麼解嚴格系統原則，之前筆者所採用的方式是使WinRAR的壓縮程式，將放在主機上或是其他的網路主機上，架設Web Server利用下載的方式將程打開，然後所有需要的程式都放在此壓縮檔內，當然這個下載位置如果能夠加上身分驗證整個過程就會更安全。
將所要壓縮的檔案選取完成之後就可以按右鍵擇Add to Archive來壓縮檔案，需要注意的是請勿選擇SFX的自解壓縮格式，因為必須先開程式但是我們的單機系統不一定有地方可以儲存資料
切換到Advanced進階標籤頁

選擇Set password來設定這個壓縮檔的密碼，當然是越複雜好可是關係到整個區域網路的安全性
製作完成的壓縮檔從網路上下載回來可以選擇直接開啟不需要儲存起，雖然看的到裡面包含檔案要使用時候卻需輸入密碼，現在雖有壓縮破解密碼的程式但只要夠複雜長，就算是最快電腦也需運作個3 天 3夜的，所以安全性是足夠應付一般狀況

足夠應付一般的狀況對很多身經百戰管理者定覺得心會存在著疙瘩，有沒更安全的方式呢？當然只要在下載的時候設定一道關口就可以了。
網站的帳號驗證方式
資料庫的驗證方式
當然如果沒有這些功能或不會設定那也可以一個比較奇怪的網頁名稱，利用此方法也可以不過這個主機最好是直接連在網際路上因為現在的搜尋引擎相當厲害，會利用各種管道進入主機內網頁沒有安全保護的網頁就算沒有超連結也可能會被找出來，所以這種方法最終不是一個好方法。
6-5-3 後門三︰使用範本
最好的方式就是使用NT網域方式登入，然後使用系統原則範本來定義

客戶端的系統原則和設定，這樣修改時候只要暫時移除NETLOGON 的批次檔以及CONFIG.POL範本就可以了。
因為一般主機都會有專門的房存放所以安全性較高，加上強制登入NT 網域一般的單機使用者只可以無力感來表達，如果整個環境許定要用此方法來產生後門，加上可以個別設定系統原則這功能更是如虎添翼就算沒有預購買Windows 2000的版權使用免費Linux也是可以達到此功能更是無法挑剔的選擇。
後記︰其實開門的方式是千奇百怪，在打時候不妨想看他人是否可以輕易的打開，這扇門學問最深要將系統鎖滴水不漏在現來看是很容易的，但如何打開這扇門卻需要時間加上經驗才可以好的。

網路最佳化管理實務 - 第六章

Recommended

Recommended

More Related Content

Similar to 網路最佳化管理實務 - 第六章

Similar to 網路最佳化管理實務 - 第六章 (20)

More from 志賢黃

More from 志賢黃 (7)