风云防火墙使用完美解析

风云防火墙1.2测试版启动画面及功能：

一、独特创新的木马数据包特征码拦截技术，木马程序一旦被列入病毒库,无论如何加壳伪装都能完全实施拦截。

二、强大的密码保护功能，彻底拦截WH_KEYBOARD, WH_JOURNALRECORD, WH_GETMESSAGE, SendMessage等键盘记录软件功能。

三、全新智能的侦测、拦截、询问已知加壳的程序运行功能，可安全确定加壳程序软件的运行安全性。

四、简单、完整、实用的防护规则、IP端口规则,程序规则使用底层驱动，完全有效防护系统安全。

五、便捷的网络连接查看、显示远程IP地址、远程物理地址，所有网络连接一目了然。

六、自动检测隐藏进程，同时可以对进程进行定位、查看属性、终止进程等一系列操作。

七、自动检测隐藏服务，使隐藏服务的木马无处遁形,瞬时显现隐藏服务，删除隐藏的木马服务。

八、防火墙自身保护功能，遇非法终止后自动封锁本地网络，确保本机安全。

九、文件监控防护功能，可以自定义任意文件夹的新建文件一系列操作。

十、ARP保护功能，可以针对ARP欺骗数据包，和局域网终结者进行有效防御。

程序安装：

指定文件安装目录，一般选择上图系统默认路径即可。

安装程序要求要求在此对话框界面中填入当地主机局域网IP地址，但经测试发现，无论对于内外网用户，局域网地址均可不予添加，防火墙软件启动时会自动进行查找确认，对于缺乏网络基本知识不很了解自己局域网地址的用户，极为便利。

风云防火墙的安装仅仅是在注册表里增加了必要的安装，卸载信息，以及程序网络底层驱动服务的注册及自动加载键值，特别简洁清爽。

重新启动电脑，显示画面：

这绝对是一个极令人耳目一新的程序启动界面，WOLF--给人以敏锐，犀利，冷傲，勇猛、高贵--心灵为之激荡的感觉。

下为程序主界面：

直观条理，简洁分明的设计风格，该测试版本目前只提供了5种色彩格调的SKIN可供选择，在后续正式版本中应该会在此基础上有很大程度的丰富和改良，拭目以待......

主界面默认开启的是网络状态窗口，即显示当前系统所有网络进程，包括协议，本机端口，远程地址，远程端口，应用程序路径及名称，一目了然!

点击程序规则，如下图:

此处可对对风云防火墙允许或禁止通信的所有进程(包括应用程序，系统服务等)进行增删编辑修改，确认无误后可以导出程序规则指定路径保存以做备份或应用于其它网络主机。初次启动任何一个应用程序企图进行网络连接时，风云防火墙都会弹出如下应答提示窗口，对于常用信任的网络访问程序，可以选择该程序以后都按照这次的操作运行，点击允许即可!

下为程序规则编辑编辑窗口:

上图以MAXTHON(傲游浏览器)为例进行设置，一般情况下浏览网页HTTP服务只用到80端口，为了加强安全性我做了如上的设置，可能很多朋友对这里的监听端口概念不是很理解，顺便讲一下：监听端口即是一种网络等待服务，监视对应端口是否收到相关服务连接请求，然后迅速做出响应，否则会大大降低网络性能甚至阻断网络连接。在局域网中监听功能(前提是具备支持UPnP自动端口映射的网关)以使获取更多的外网链接，可以大幅提高网络传输速度，例如对于BT类下载软件，显得尤为重要。

然后点击打开IP端口规则窗口，见下图:

IP端口规则设置是任何一款防火墙作为安全防护软件的重要核心部分，它是规定了允许或禁止外来IP和端口与本机连接(包括接收，发送，双向传输)的一组规则的集合。先简述一下几个基本概念：

需要说明的是风云防火墙的默认IP端口规则也是基于否定在先原则的，就是首先封闭一切端口连接，在此基础上采取个别信任方式，以使正常网络访问行为能够顺利进行，屏蔽所有非法访问。事实上复杂的端口规则设置需要掌握很多的专业网络知识才能合理操作，也只适用于特定的网络环境。而以牺牲用户很大的心力为代价去编辑设置规则也绝不应当是软件厂商和应用者的初衷。了解网络端口常识的朋友从前面风云防火墙内置的默认IP规则立即可以得出初步结论，它已经具备防御所有通常性网络攻击(这个问题在后文将会重点探讨)的效能，从这个意义来讲，风云防火墙这种设计的易用性和可靠性是无疑是很出色的。

朋友们还应该认识到关于IP端口规则设置的一个误区，即端口规则的设置与规则文件包并非越复杂越优良。据我所知，个别防火墙软件的IP规则设置文件大小甚至达到了M的数量级，为什么呢?因为很多用户感觉多一条规则多一份塌实，坦白的讲，那些规则频繁无度的升级增容本质上只是用来迎合大家这种空洞的心里需求而已，并无任何实际意义!这种现象已经不只是个单纯的网络技术问题，N(关闭)→Y肯定(开放)→N否定(关闭)→Y肯定(开放)这种圆周式反复迂回的逻辑原理在理论上可以把IP端口规则的数目扩展到无穷而依然正确无误，这同时也是个别防火墙软件占用系统资源巨大，降低网络性能的一个主要原因!

防火墙日志记录是用来记录其工作状况(包括触发时间，对方IP地址，使用端口等事件详细描述，防火墙所采取的防护手段)并提供用户查阅备案的，可以随时保存或清除。在IP端口规则的设置中一般按照只需记录非法入侵数据的原则开启日志记录功能即可，对于正常而频繁的网络访问行为没有必要打开这个选项。

下为系统启动项的常规启动项界面：

上图红框中为网络神偷Nethief服务端的隐藏自启动项目

下图为服务启动项界面：

红色图示为检查服务启动项目时，找到的一个隐藏服务--灰鸽子服务端程序。

一般来讲绝大多数的木马病毒都会寻找隐藏的服务和进程自动运行以达到随时发动而不为人察觉的目的。常规启动项和服务启动项检查可以准确了解随系统自动启动的所有应用程序及服务，令这些隐蔽性危害性极强的木马病毒无所遁形，发现可疑项目可以点击选中后后按删除选定将其删除。仅从优化系统性能的角度考虑，即使是安全的应用程序和服务在跟随系统同时启动之际的数量也是少少益善。此界面的安全优化服务功能，即可用来针对性的安全关闭多项不需要的系统服务。

这是文件关联项界面:

多种病毒会在运行时对注册表进行恶意修改，造成默认文联错误，使用户在在打开常规文件项目时系统对其直接调用，达到加载运行的目的，导致系统不能正常运行。发现可疑文件关联，点击自动修复即可恢复正常文件关联，防止该类型文件为病毒利用。请见下图：

这里要提到的是，风云防火墙作为一款安全防护软件，目前这个实用功能只是基于系统安全防护角度考虑的，它只监控修改注册表 [HKEY_CLASSES_ROOTtxtfileshellopencommand]@="NOTEPAD.EXE %1"这个关键键值，对于非安全性方面的系统文件关联错误非关键键值并未加以考虑。

以下是特洛伊检测shell插件界面：

通俗理解，shell插件就是IE浏览器插件，虽然IE的功能越来越强大完备，但并非就是全能，很多时候我们可能还是不得不借助某些第三方软件来完成一些特殊任务。如果你不想为了某一个功能安装其他浏览器的话，可以安装相应的插件，这样就可以为浏览器强身健体，实现功能扩展，从而使其完成一些过去看起来无法完成的任务，例如让IE支持断点续传、快速搜索关键词、多窗口打开新页面、自动填写表单、网页翻译、直接查看EXIF信息等。同时，这也很容易被某些恶意软件或广告程序利用，打开浏览器之后自动加载一些影响用户上网操作和网络性能的Shell，也带来很多安全方面的威胁，称为恶意插件!按照其危险破坏程度的一般分为高中低三类。对于确认的恶意或无用插件，选定后可以立即进行删除。如下图是删除恶意插件后的界面：

这里需要提到的是该功能现今对于某些顽固流氓恶意插件，例如百度搜霸，网络实名等尚不能做到彻底成功清除，可以适当考虑进一步改进，增强广谱查杀能力。为用户省却需再另外安装其他恶意流氓软件查杀工具的麻烦岂不功德圆满，皆大欢喜。

下是进程查看界面：

此界面可查看系统目前运行的所有进程及其进程路径，进程ID，软件厂商，行为描述，子模块调用等详细信息，可找出隐藏进程，并可对危险进程进行选定后，点击终止选中进程窗口按钮进行强制性终止。

下为防范规则界面：

这里所指的防范规则就是对加壳程序，线程注入程序运行所指定的特殊规则。与前面讲到的程序规则设置基本相同，可以在程序初次运行时出现如下应答提示窗口时选择允许禁止，也可在这个界面中进行规则的增删修改，同样支持导入导出规则。这里还要提到几个常识性概念。

下面是体现风云防火墙侦壳与防止危险线程注入功能的一组实测图片(限于篇幅只能部分提供)，经过多种类型的测试足以表明它的这个特色功能是很强大完善的。

最下是文件监控窗口：

这个功能是实时监控指定文件路径，文件格式(扩展名)所有相关文件的属性变更，它的主要作用在于防止病毒，恶意软件隐形进行非法的后台安装，扫描用户文件被未经授权的更改。这是风云防火墙新增的另一个很实用的特色功能。在上面的界面中用户可以点击文件监控自定义参数进行自主修改，各类型的扩展名以".*"格式依次填入，例如要增加对.txt文件的监控在文件监控类型框里.EXE.DLL紧跟输入.TXT按确定即可。这个设置的变更需要重新程序方可生效。不宜随意增加监控文件目录或类型否则会触发频繁气泡提示或声音报警以及文件监控日志记录。

下为监控事件记录：

再返回程序主界面，打开文字标题栏设置--详细设置或图标工具栏系统设置，首先出现如下监控设置界面，建议普通用户全部选择开启以达到全方位的保护目的。

向右依次是注入线程排除程序：

系统默认设置里排除了XDICT.EXE(金山词霸)，GAMECLIENT.EXE(浩方对战平台客户端)。在这里你可以手动增加确认安全的注入线程程序名称或进行删除。

ARP保护：

点击选择启用ARP保护功能， 将本地及网关IP地址分别填入，按读取MAC按钮得到如上图二者MAC值，确认退出即可。(MAC是媒体存取控制的简称，MAC地址是数据链路层的 MAC子层的地址，用于在局域网上通讯时确定发送方和接收方。MAC地址即是网卡的硬件地址。也就是IP实际地址，)

其他设置：

对启用声音提示，日志记录，图标闪烁，任务栏气泡提示开启关闭的选项设置。顺便提一下任务管理器增强插件。在打开此选项后，风云防火墙会直接插入系统TASKMGR(任务管理器进程)对系统当前运行进程实时监控。图中蓝色标识的是系统关键进程(系统正常运行的高优先级必要进程)，不可被外部强行终止。

密码保护功能：

对用户输入的密码提供保护，防止密码泄露。彻底拦截WH_KEYBOARD,WH_JOURNALRECORD,WH_GETMESSAGE, SendMessage等键盘记录软件.这里需要注意的是不可与其他类似功能安全防护软件同时开启。防止内存溢出，造成系统错误。

密保功能和密码记忆2006同时开启的情况下，QQ登录对话框密码栏的红色异常警示：

断开网络功能：

关闭所有端口，切断一切网络连接。在风云防火墙遇到其他不明程序进程非法终止后会自动断开网络，保护主机安全，这种情况比较罕见，不做赘述。

修复IE故障与Hosts文件编辑:

上网冲浪，IE是最首当其冲的必要软件，也正因为如此，使它成为众多木马病毒恶意软件集中攻击下手的目标，稍有不慎即会少腿断脚面目全非，无法正常运行，所以这个修复功能就显的很有必要了。