虚拟主机的安全--- windows(转贴)

前言:最近刚到网络公司担当系统管理员，下面就依照自己的经验和环境做一下Windows2000服务器的安全配置和优化。

　　以下是虚拟主机的操作系统和服务器软件:
　　OS:Win2k Advancd Server
　　ftp server:Serv-u 6.0.2
　　www server: IIS
　　mail server: WebEasyMail 3.5.3.1 企业版
　　防火墙:天网防火墙个人版
　　杀毒软件:McAfee VirusScan Enterprise 8.0.i版
　　远程管理软件:Terminal Services终端服务

　　下面我来说一下从安装系统、安装服务器应用程序、安全设置和优化的过程。

　　1.硬盘分区和安装系统
　　关于分区我强烈建议大家选择NTFS文件格式，不仅NTFS文件系统可以给我们带来很高的安全性，而且对于做WEB服务的虚拟主机来说磁盘配额很最要.还有文件和文件夹的压缩都给我们这些系统管理员提供了很高便利性。

　　在分区之前和大家说一下，一定要合理的设置分区。合理的分区不仅可以给我们带来工作的方便，还可以提高系统的安全和稳定性。我的硬盘一共分了5个区(120G)。

　　C盘用来装操作系统的文件。D盘用来存储各个WEB站点的文件。E盘用来保存IIS日志文件、Internet临时文件夹和页面文件。F盘用来装应用程序。就是说所有的应用程序都安装在F盘里。G盘用来保存备份文件和一些常用的工具。大家可以根据自己的情况合理的设置分区，而不必一一对应。下面就是安装系统了，在安装系统的时候组件的选择一定要仅仅安装自己需要的组件，而一些用不到的组件我们不要安装。那些用不到的组件会给我们带来一些意想不到的“惊喜”。在安装IIS的时候把FrontPage2000服务器扩展、Ineternet服务管理器(HTML)、NNTP Server、SMTP Server、文件传输协议(FTP)服务器的复选框去掉。以保证这些用不到的服务不会给我们带来安全隐患。

　　把Internet临时文件夹移动到非系统分区中,如我的设置是E盘: Internet Explorer-右击-属性-Ineternet临时文件-设置-移动文件夹，选择相应的分区。把虚拟内存页面文件移动到到非系统分区中,,如我的设置是E盘:我的电脑-右击-属性-高级选项卡-性能选项-更改,设置初始大小和最大值，重启计算机。注意:以上两项操作都必需重启后生效。

　　2.为用户提供正常的服务

　　在D盘里面为各个WEB站点建立相应的文件夹,以保证各个站点的文件存储在相应的文件夹中。在IIS里面建立相应的WEB站点、设置和相应的主机头、主目录、端口、IP地址。对应的在Serv-u里面建立相应的用户，以指向各自的WEB文件夹中，以便日后维护上传、下载的需要。在 WebEasyMail里面设置相应的各个域的邮件用户、和容量等。关于服务器软件的安装问题，请您自己参考相应的文章。

　　3.服务的配置

　　在Windows里面有很多服务，这些服务都是为了不同的需求而提供的。在这里我们要根据自己的环境来配置服务，禁用那些不要的服务.老生常谈的一句话:"最少的服务+最小权限=最大的安全".

　　禁用那些用不到的服务:Alerter、ClipBook、Computer Browser、 Distributed File System、Indexing Service、Internet Connection Sharing、Messenger、NetMeeting Remote Desktop Sharing、Print Spooler、Remote Registry Service、Smart Card、Task Scheduler、TCP/IP NetBIOS Helper Service、Telnet、Windows Time、Workstation.关于为什么禁用Workstation服务我会在下面说到。

　　4.端口的配置

　　下面我来说一下怎样关闭常见的危险端口和一些无用的共享,如:默认共享。

　　在本地连接-属性中，把"Microsoft网络的文件和打印机共享"卸载掉。在选定的组件中之留下TCP/IP协议和Microsoft网络客户端.大家可能会说为什么要留Microsoft网络客户端,根据前几天的调试，如果不装它的话，重新启动IIS的时候会提示“服务不能启动，无法验证的服务”。选中TCP/IP协议-属性-高级-WINS-禁用TCP/IP上的Netbios选项。

　　把hkey_local_machine/system/currentcontrolset/control/graphicsdrivers/dci,
Timeout双字节值改为0 。建议大家设为0.这个键值对玩游戏有用，做虚拟主机我们用不到。

　　把hkey_local_machine/system/currentcontrolset/control/lsa项下的数值restrictanonymous,由0改为1。

　　在hkey_local_machine/system/currentcontrolset/services/lanmanserver/
parameters项下新建双字节值AutoShareServer值为0。

　　在hkey_local_machine/system/currentcontrolset/services/netbt/parameters项下新建双字节值SMBDeviceEnabled值为0。

　　在防火墙中添加IP规则，允许21、25、80、110。禁止135端口。最后启动禁止所有别的端口的通过。

　　我们也可以通过系统自带的本地安全策略和TCP/IP筛选来设置相应打开和关闭的端口。

5.IIS和权限设置

　　为了使IIS运行的更稳定和安全我们需要修改它，如:删除一些不用的映射、日志的设置等。

　　下面是我的IIS的设置情况:

　　Internet信息服务-计算机名称-属性-WWW服务(编辑)-主目录-配置-应用程序映射，删除下面的应用程序映射:.htr、. idc、.printer、.cer、.shtm、.stm 、.cdx 。只保留.asp和.asa映射。对一般的应用比如运行ASP，已经够用了。多出那些无用的安全映射会给系统带来不必要的麻烦。

　　在进程选项卡的脚本文件高速缓存中把放入高速缓存的最多ASP文件数设成300，以改善ASP文件的执行效率。在应用程序调试选项卡中选中"发送文本错误消息给客户"以防止通过错误消息来取得系统、网络、数据库的信息。

　　在Internet信息服务-计算机名称-属性-WWW服务(编辑)-服务选项卡选中HTTP压缩的压缩静态文件,提高执行效率。在一个非系统分区中建立日志文件夹，来保存各个站点的日志。如我设置的分区是E，在分区中建立IISlog目录,用它来保存各个站点的日志文件，而不用系统默认的路径。把各个站点的日志指向IISlog文件夹中。

　　设置如下:Internet服务管理器-Web站点-属性-Web站点选项卡-活动日志格式-属性-日志文件目录，把日志指向IISlog文件夹中。以便于以后我们查看日志的方便。为了保证系统的安全和各个站点FSO,在本地用户和组中为各个站点用户创建相应的用户，设置相应的密码,并把所属的默认组User删去，加入到guests组中。在各个Web站点的属性-目录安全性-匿名访问和验证控制-编辑-匿名访问使用帐号的对话框中选中自己站点相对应的用户帐户.我们在D盘各个站点文件夹的属性-安全选项卡去掉父系继承来的权限，把这个文件夹的访问权限设成redblood(这个用户是我改名后的管理员，我会在后面提到的)完全控制(FC)、SYSTEM(FC)、和Web站点对应用户的修改、读取及运行、列出文件夹目录、读取、写入权限。这样当其中的一个WEB站点被上传ASP木马，就不会危害其它的站点，因为他只有这个Web站点的权限而没有其它站点权限。

　　把各个分区的权限设成只有redblood和system完全控制.但是要注意一点，如果你的页面文件通过设置而放到其它的分区中，比如我放到了E盘中，你除了给这个分区redblood、system的完全控制权限外还必须给这个分区everyone的读权限,否则重启的时候会报错!

　　在C:/Program Files/Common Files文件夹属性对话框安全选项卡中，取消"允许将来自父系的可继承权限传播给该对象"，访问权限设成redblood、system完全控制， everyone读取及运行、列出文件夹目录、读取。因为ASP连接数据库的时候会用到这个目录。然后把WINNT目录也按照同样的方法来设置成和 Common Files文件夹同样的权限。

　　我们还要特殊设置一个目录那就是C:/WINNT/Temp，这个目录的访问权限是everyone修改、读取及运行、列出文件夹目录、读取、写入。

　　把如下文件设置成只有redblood完全控制权限，取消父系继承来的权限。这些文件有:C:/winnt/sytem32文件夹和C:/winnt/sytem32/dllcache文件夹的net.exe、net1.exe、netstat、netsh、cacls、cmd.exe、ftp.exe、tftp.exe、at.exe、format.com、xcopy.exe.

　　把装应用程序的目录我这里是f:/soft目录的访问权限设成redblood、system完全控制和everyone读取、读取和运行、列出文件夹目录的权限。禁用一些不安全的组件,如:Scripting.FileSystemObject、WScript.Shell、 Shell.Application组件。

　　Scripting.FileSystemObject组件:

　　我们可以修改对应项在注册表里面的名称和值:
　　HKEY_CLASSES_ROOT/Scripting.FileSystemObject/
　　HKEY_CLASSES_ROOT/Scripting.FileSystemObject/CLSID/项目的值

　　WScript.Shell组件:　　
　　HKEY_CLASSES_ROOT/WScript.Shell/
　　HKEY_CLASSES_ROOT/WScript.Shell.1/
　　HKEY_CLASSES_ROOT/WScript.Shell/CLSID/项目的值
　　HKEY_CLASSES_ROOT/WScript.Shell.1/CLSID/项目的值

　　Shell.Application组件:
　　HKEY_CLASSES_ROOT/Shell.Application/
　　HKEY_CLASSES_ROOT/Shell.Application.1/
　　HKEY_CLASSES_ROOT/Shell.Application/CLSID/项目的值
　　HKEY_CLASSES_ROOT/Shell.Application.1/CLSID/项目的值

　　因为在前里我们已经单独的设置相应的Web站点，所以不必修改Scripting.FileSystemObject(fso)组件。

　　在这里我直接注销下面两个组件:
　　regsvr32 /u C:/WINNT/System32/wshom.ocx对应于WScript.Shell组件。
　　regsvr32/u C:/WINNT/System32/shell32.dll对应于Shell.Application组件。

　　禁止guests组的用户调用它:
　　cacls C:/WINNT/system32/scrrun.dll /e /d guests
　　cacls C:/WINNT/system32/shell32.dll /e /d guests

　　前面在服务设置的时候我把Workstation服务禁用了，因为ASP木马运行候可以通过它来列出系统的用户和进程。所以为了安全考虑我们禁用它。

6.修改注册表提高系统安全和性能

　　下面我使用注册表和组策略一起来设置系统。

　　开始-运行-gpeidt.msc打开组策略，计算机配置-Windows配置-安全设置-帐户策略-密码策略.

　　下面是我的策略设置:
　　密码策略
　　密码必须符合复杂性要求:启用
　　密码长度最小值:8个字符
　　密码最长存留期:30天
　　密码最短存留期:3天
　　强制密码历史:5个记住的密码

　　帐户锁定策略设置
　　复位帐户锁定计数器:20分钟之后
　　帐户销定时间:20分钟
　　帐户锁定阀值:5次无效登录

　　计算机配置-Windows配置-安全设置-本地策略，审核策略设置:
　　审核策略更改:成功、失败
　　审核登录事件:成功、失败
　　审核对象访问:失败
　　审核过程追踪:无审核
　　审核目录服务访问:无审核
　　审核特权使用:失败
　　审核系统事件:失败
　　审核帐户登录事件:成功、失败
　　审核帐户管理:成功、失败

　　计算机配置-Windows配置-安全设置-本地策略-用户权限指派
　　更改系统时间:administrators
　　关闭系统:administrators
　　管理审核和安全日志:administrators
　　计算机配置-Windows配置-安全设置-本地策略-安全选项
　　登录屏幕上不要显示上次登录的用户名:已启用
　　对匿名连接的额个限制:不允许枚举 SAM 帐号和共享
　　故障恢复控制台:允许对所以驱动器和文件夹进行软盘复制和访问:已启用
　　在关机时清理虚拟内存页面交换文件:已启用
　　重命名来宾帐户:命名成administrator。
　　重命名系统管理员帐户:redblood

　　在本地用户和组中把来宾用户和系统管理员的描述互换一下，这样可以起一个迷惑的作用。算是一个很无聊的小把戏吧。我们再添加一个系统管理员帐户，这样可以防止如果忘记了口令可以及时的恢复系统，如果骇客进入系统改了密码,我们可以很快的取得系统的控制权。大家一定要给系统管理员设置一个强壮的密码，最少也得8位以上，由大小字母+数字组成。

　　通过修改系统注册表的自启动项目把一些无用的启动项删除掉，以下是常见的各启动项:

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnce
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnceEx
HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Run
HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Runonce

　　以上这几个启动项是木马出现很频繁的地方，大家以后维护的时候多注意一些。

7.FTP服务器配置

　　FTP服务器除了对所在的文件夹设置权限之外，还可以修改一下Banner，这种方法可以迷惑一些骇客，让他在表面上认为我们的FTP的服务器不是Serv-u,下面我说一下设置的方法:

　　右键单击托盘区的Serv-u图标,启动管理员-本地服务器-域-设置-常规-消息选项卡的服务器响应消息下,将服务器ID文本设为: "Welcome Wu-Ftpd V2.6.2 for SCO Unix." 在HELP命令回复下设置成:"Direct comments or bugs to admin@xxx.com. 我们在给FTP服务器启动的时候设上密码。这样启动Serv-u的时候就会让我们输入密码。

　　8.远程控制配置

　　这里我选用Win系统自带的远程控制软件终端服务，选择远程管理模式。为远程登录启动日志记录:

　　开始-程序-管理工具-终端服务配置-连接-rdp/tcp-右键-属性-权限-添加administrators组-高级-审核-添加everyone组，选择审核的项目为登录和注销。

　　9.防火墙、杀毒软件和补丁

　　天网防火墙和McAfee都有设置启动密码的功能，我们都设成相应的密码。这个可以保证别人不会更改我们的密码。最后就是打补丁，我们一定要及时的升级自己的系统，以防那些恶意的骇客利用系统的漏洞攻击我们。接着我们把防火墙和杀毒软件都升级到最新的版本，以减少那些恶意的网络攻击和病毒攻击。

　　总结:网络服务器的维护工作看着简单,但是每一个步骤都关系着整个系统的安危，整个服务器的安装、配置和维护都是一个系统工程，我们必须用心去对待它，及时的查看日志，常给系统打补丁，升级防火墙和杀毒软件的病毒库，每个动作都是一些基本的工作，但是我们必须重视它，因为他直接关系到我们系统的安全和稳定性。我们要做一个勤快的管理员，做一个用心的管理员。



-----------------------------------------------------------------------------------------------------------------------------------

Windows 2000 Server操作系统是目前在PC服务器上广泛应用的操作系统。本文分析了操作系统在安装和运行过程中存在的安全隐患，提出了相应的防范措施，提高了系统安全性和抗病毒攻击能力。

关键词：操作系统安全隐患防范

众所周知，微软公司的Windows 2000 Server操作系统因其操作方便、功能强大而受到广大用户的认可，越来越多的应用系统运行在Windows 2000 Server操作系统上。在日常工作中，有的管理员在安装和配置操作系统时不注意做好安全防范工作，导致系统安装结束了，计算机病毒也入侵到操作系统里了。如何才能搭建一个安全的操作系统是安全管理人员所关心的一个问题。

一、操作系统安全隐患分析

（一）安装隐患

在一台服务器上安装Windows 2000 Server操作系统时，主要存在以下隐患：

1、将服务器接入网络内安装。Windows2000 Server操作系统在安装时存在一个安全漏洞，当输入Administrator密码后，系统就自动建立了ADMIN$的共享，但是并没有用刚刚输入的密码来保护它，这种情况一直持续到再次启动后，在此期间，任何人都可以通过ADMIN$进入这台机器；同时，只要安装一结束，各种服务就会自动运行，而这时的服务器是满身漏洞，计算机病毒非常容易侵入。因此，将服务器接入网络内安装是非常错误的。

2、操作系统与应用系统共用一个磁盘分区。在安装操作系统时，将操作系统与应用系统安装在同一个磁盘分区，会导致一旦操作系统文件泄露时，攻击者可以通过操作系统漏洞获取应用系统的访问权限，从而影响应用系统的安全运行。

3、采用FAT32文件格式安装。FAT32文件格式不能限制用户对文件的访问，这样可以导致系统的不安全。

4、采用缺省安装。缺省安装操作系统时，会自动安装一些有安全隐患的组件，如：IIS、DHCP、DNS等，导致系统在安装后存在安全漏洞。

5、系统补丁安装不及时不全面。在系统安装完成后，不及时安装系统补丁程序，导致病毒侵入。

（二）运行隐患

在系统运行过程中，主要存在以下隐患：

1、默认共享。系统在运行后，会自动创建一些隐藏的共享。一是C$ D$ E$ 每个分区的根共享目录。二是ADMIN$ 远程管理用的共享目录。三是IPC$ 空连接。四是NetLogon共享。五是其它系统默认共享，如：FAX$、PRINT$共享等。这些默认共享给系统的安全运行带来了很大的隐患。

2、默认服务。系统在运行后，自动启动了许多有安全隐患的服务，如：Telnet services、DHCP Client、DNS Client、Print spooler、Remote Registry services（选程修改注册表服务）、SNMPServices 、Terminal Services 等。这些服务在实际工作中如不需要，可以禁用。

3、安全策略。系统运行后，默认情况下，系统的安全策略是不启作用的，这降低了系统的运行安全性。

4、管理员帐号。系统在运行后，Administrator用户的帐号是不能被停用的，这意味着攻击者可以一遍又一遍的尝试猜测这个账号的口令。此外，设置简单的用户帐号口令也给系统的运行带来了隐患。

5、页面文件。页面文件是用来存储没有装入内存的程序和数据文件部分的隐藏文件。页面文件中可能含有一些敏感的资料，有可能造成系统信息的泄露。

6、共享文件。默认状态下，每个人对新创建的文件共享都拥有完全控制权限，这是非常危险的，应严格限制用户对共享文件的访问。

7、Dump文件。Dump文件在系统崩溃和蓝屏的时候是一份很有用的查找问题的资料。然而，它也能够给攻击者提供一些敏感信息，比如一些应用程序的口令等，造成信息泄露。

8、WEB服务。系统本身自带的IIS服务、FTP服务存在安全隐患，容易导致系统被攻击。
|二、安全防范对策

 

（一）安装对策

在进行系统安装时，采取以下对策：

1、在完全安装、配置好操作系统，给系统全部安装系统补丁之前，一定不要把机器接入网络。

2、在安装操作系统时，建议至少分三个磁盘分区。第一个分区用来安装操作系统，第二分区存放IIS、FTP和各种应用程序，第三个分区存放重要的数据和日志文件。

3、采用NTFS文件格式安装操作系统，可以保证文件的安全，控制用户对文件的访问权限。

4、在安装系统组件时，不要采用缺省安装，删除系统缺省选中的IIS、DHCP、DNS等服务。

5、在安装完操作系统后，应先安装在其上面的应用系统，后安装系统补丁。安装系统补丁一定要全面。

（二）运行对策

在系统运行时，采取以下对策：

1、关闭系统默认共享

方法一：采用批处理文件在系统启动后自动删除共享。首选在Cmd提示符下输入“Net Share”命令，查看系统自动运行的所有共享目录。然后建立一个批处理文件SHAREDEL.BAT，将该批处理文件放入计划任务中，设为每次开机时运行。文件内容如下：

NET SHARE C$ /DELETE

NET SHARE D$ /DELETE

NET SHARE E$ /DELETE

……

NET SHARE IPC$ /DELETE

NET SHARE ADMIN$ /DELETE

方法二：修改系统注册表，禁止默认共享功能。在Local_Machine/ System/ CurrentControlSet/Services/Lanmanserver/parameters下新建一个双字节项“auto shareserver”，其值为“0”。

2、删除多余的不需要的网络协议

删除网络协议中的NWLink NetBIOS协议，NWLink IPX/SPX/NetBIOS 协议，NeBEUI PROtocol协议和服务等，只保留TCP/IP网络通讯协议。

3、关闭不必要的有安全隐患的服务

用户可以根据实际情况，关闭表1中所示的系统自动运行的有安全隐患的服务。

 

表1需要关闭的服务表4、启用安全策略

 

安全策略包括以下五个方面：

（1）帐号锁定策略。设置帐号锁定阀值，5次无效登录后，即锁定帐号。

（2）密码策略。一是密码必须符合复杂性要求，即密码中必须包括字母、数字以及特殊字符，如：上档键上的+_（）*&^%$#@!?><”:{}等特殊字符。二是服务器密码长度最少设置为8位字符以上。三是密码最长保留期。一般设置为1至3个月，即30－90天。四是密码最短存留期：3天。四是强制密码历史：0个记住的密码。五是“为域中所有用户使用可还原的加密来储存密码”，停用。

（3）审核策略。默认安装时是关闭的。激活此功能有利于管理员很好的掌握机器的状态，有利于系统的入侵检测。可以从日志中了解到机器是否在被人蛮力攻击、非法的文件访问等等。开启安全审核是系统最基本的入侵检测方法。当攻击者尝试对用户的系统进行某些方式（如尝试用户口令,改变账号策略，未经许可的文件访问等等）入侵的时候，都会被安全审核记录下来。避免不能及时察觉系统遭受入侵以致系统遭到破坏。建议至少审核登录事件、帐户登录事件、帐户管理三个事件。

（4）“用户权利指派”。在“用户权利指派”中，将“从远端系统强制关机”权限设置为禁止任何人有此权限，防止黑客从远程关闭系统。

（5）“安全选项”。在“安全选项”中，将“对匿名连接的额外限制”权限改为“不允许枚举SAM帐号和共享”。也可以通过修改注册表中的值来禁止建立空连接，将Local_Machine /System/CurrentControlSet/Control /LSA-RestrictAnonymous 的值改为“1”。如在LSA目录下如无该键值，可以新建一个双字节值，名为“restrictanonymous”，值为“1”，十六进制。此举可以有效地防止利用IPC$空连接枚举SAM帐号和共享资源，造成系统信息的泄露。

5、加强对Administrator帐号和Guest帐号的管理监控

将Administrator帐号重新命名，创建一个陷阱账号，名为“Administrator”，口令为10位以上的复杂口令，其权限设置成最低，即：将其设为不隶属于任何一个组，并通过安全审核，借此发现攻击者的入侵企图。设置2个管理员用账号，一个具有一般权限，用来处理一些日常事物；另一个具有Administrators 权限，只在需要的时候使用。修改Guest用户口令为复杂口令，并禁用GUEST用户帐号。

6、禁止使用共享

严格限制用户对共享目录和文件的访问，无特殊情况，严禁通过共享功能访问服务器。

7、清除页面文件

修改注册表HKLM/SYSTEM/CurrentControlSet/Control/ Session Manager/Memory Management中“ClearPageFileAtShutdown”的值为“1”，可以禁止系统产生页面文件，防止信息泄露。

8、清除Dump文件

打开控制面板→系统属性→高级→启动和故障恢复，将“写入调试信息”改成“无”，可以清除Dump文件，防止信息泄露。

9、WEB服务安全设置

确需提供WEB服务和FTP服务的，建议采取以下措施：

（1）IIS-WEB网站服务。在安装时不要选择IIS服务，安装完毕后，手动添加该服务，将其安装目录设为如D:/INTE等任意字符，以加大安全性。删除INTERNET服务管理器，删除样本页面和脚本，卸载INTERNET打印服务，删除除ASP外的应用程序映射。针对不同类型文件建立不同文件夹并设置不同权限。对脚本程序设为纯脚本执行许可权限，二进制执行文件设为脚本和可执行程序权限，静态文件设为读权限。对安全扫描出的CGI漏洞文件要及时删除。

（2）FTP文件传输服务。不要使用系统自带的FTP服务，该服务与系统账户集成认证，一旦密码泄漏后果十分严重。建议利用第三方软件SERV-U提供FTP服务，该软件用户管理独立进行，并采用单向hash函数（MD5）加密用户口令，加密后的口令保存在ServUDaemon.ini或是注册表中。用户采用多权限和模拟域进行权限管理。虚拟路径和物理路径可以随时变换。利用IP规则，用户权限，用户域，用户口令多重保护防止非法入侵。利用攻击规则可以自动封闭拒绝攻击，密码猜解发起计算机的IP并计入黑名单。

三、结束语

以上是笔者根据多年的工作经验总结的一点心得，有些地方研究的还不够深入，希望本文能给操作系统安全防范工作提供帮助。日常管理工作中，系统管理员还必须及时安装微软发布的最新系统安全漏洞补丁程序，安装防病毒软件并及时升级病毒定义库，来防止计算机病毒的入侵，保障操作系统的安全运行。

＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿

删除共享

1，直接修改注册表。
在运行里输入regedit,进入注册表。在注册表如下主键下
hkey-local-machine/system/currentcontrloset/services/lanmanserver/parameters
的右边窗口！！
注意：不是展开parameters的下面，而是单击选中parameters！
然后建立两个双字节值（也就是DWORD）的键名，分别是：
autoshareserver和autosharewks（大小写无异）
然后键值设置成0！
重新启动就永远不会有了！
注意：autoshareserver的键是针对服务器，AOTOSHAREWKS是针对专业版而言。
2打开记事本，将下面的内容拷贝到记事本中：

Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/lanmanserver/parameters]
"autosharewks"=dword:00000000

保存成txt文件，然后把后缀名改为reg。

同样的，建立autoshareserver
打开记事本，将下面的内容拷贝到记事本中：

Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/lanmanserver/parameters]
"AutoShareServer"=dword:00000000

保存成txt文件，把后缀名改为reg。执行这两个reg文件。
重启动。