|
为防止非法用户的入侵、保护用户数据安全，有关电脑报刊介绍了不少加强Windows 98安全控制措施的技巧，其中有些方法还非常严密，基本上达到了“铜墙铁壁”的程度！不过这些方法都存在着一个非常严重的安全漏洞，那就是它们几乎都没有考虑*.PWL文件的安全！大家都知道，现有的Windows 98安全控制措施都是以其自身的密码功能为基础的，系统首先根据密码来判断正在登录的用户是不是合法用户，若是，则不对其功能作任何限制，我们可以直接进行操作；若不是，系统则会按用户的设置对非法用户的权限进行必要的限制，从而达到保护系统安全的目的。由此可见，密码对Windows 98来说绝对是异常重要的，不过系统却并没有对它们进行特殊“照顾”，而是直接将其采用*.PWL密码文件的形式保存到Windows 98的安装文件夹中（如张三的密码文件就是“张三.PWL”、李四的密码文件就是“李四.PWL”……），从而给用户的安全带来了极大的隐患――在早期的Windows 95中，系统采用的加密方式非常糟糕，非法用户甚至可以采用某些特殊软件直接通过*.PWL文件分析出用户的密锁；在Windows 98中，系统虽然对加密方式进行了改进，再也无法直接通过PWL文件分析用户的密锁了，但这些密码文件本身却是公开的，非法用户只需将其删除，系统就会“遗忘”密码！此时再启动Windows 98，系统就会弹出一个密码设置对话框，要求用户重新设置密码，其结果吗？就是密码被破坏、非法用户得以入侵！由此可见，*.PWL文件本身是极为脆弱的，但它又是防止非常用户入侵的关键之所在，这就是一个矛盾！对此，普通用户是无能为力的，不过我们却可以采用“移花接木”的办法转移*.PWL密码文件的位置，从而蒙蔽非法入侵者，尽可能的保护系统安全。
在许多人（包括绝大多数非法入侵者）的眼里，*.PWL文件都只能保存在Windows 98的安装文件夹下，他们入侵、分析、处理的对象也都局限在Windows 98安装文件夹下，事实上这个理解是非常错误的！Windows 98密码文件的位置并不是绝对的，它可以保存在磁盘的任意位置！ 我们只需打开Windows 98安装文件夹下的SYSTEM.INI文件（在Windows 98中，这个文件并不十分引人注目），我们就能看到一个“[Password Lists]”小节，其内容大致为“张三=C:\WINDOWS\张三.PWL”，这就是指定Windows 98密码文件的关键！其中等号前面的内容就是相应用户的用户名，而等号后面的内容则用于指定该用户的密码文件！这个密码文件并不是固定的，只要文件格式符合要求，我们可以将任何文件夹下的任何文件设置为Windows 98的密码文件！利用这一功能，我们只需将真正的密码文件移到其它文件夹中，并在Windows 98安装文件夹下放置一个“替身”，将非法入侵者的注意力转移到“替身”的身上，这样就可以达到防止他人破坏密码文件，组织非法入侵的目的。
为方便广大用户的使用，现以修改、移动上述“张三.PWL”文件为例，将增强PWL密码文件的隐蔽性的步骤简要介绍如下：
1.将Windows 98安装文件夹下的“张三.PWL”文件复制到其它比较隐蔽的文件夹下（如Office的安装文件夹C:\Program Files\Microsoft Office），原始文件保持不动。
2.对新文件夹下的“张三.PWL”文件的文件名进行修改，进一步增强系统的隐蔽性（我们可将其修改为一个非常不引人注目的文件名，或改成一个非常普遍的文件名也行，如README.TXT）。
3.打开Windows 98安装文件夹下的SYSTEM.INI文件。
4.找到其中的“[Password Lists]”小节，然后对密码文件的位置进行修改，将其改为新文件夹下的新文件名（如对于上例，我们只需将“张三=C:\WINDOWS\张三.PWL”改为“张三=C:\Program Files\Microsoft Office\README.TXT”），然后存盘退出。
5.重新启动Windows 98，以便修改后的SYSTEM.INI文件生效。
6.双击Windows 98的控制面板中的“密码”图标，打开“密码”设置对话框。
7.利用“更改Windows密码”按钮对Windows 98的密码进行适当修改。
8.重新启动计算机。
这样我们就达到了隐蔽Windows 98密码文件的目的，“张三”的密码文件就由原来Windows 98安装文件夹下的“张三.PWL”文件变成了C:\Program Files\Microsoft Office文件夹下的“README.TXT”文件，这就是绝大多数非法入侵用户所想象不到的！并且Windows 98安装文件夹下常规的“张三.PWL”密码文件依然存在，只不过该文件已经没有任何作用了（我们在前面重新修改了密码），它就成为一个“替身”摆在那里，任人摆布、修改、分析、删除……。当然，不管非法用户对那个“替身”文件“张三.PWL”作些什么手脚，系统的密码都会纹丝不动，用户数据的安全也就得到了保证（当然，前提是你已经事先设置好了必要的安全保护措施）。（李红波）
| 
