善后工作：清理痕迹与植入后门-《黑客与网络安全》

如同入门盗窃一样，系统入侵也是会留下痕迹的，因为所有的网络操作系统都具有日志功能，这一功能会记录下系统中的所有操作。如果黑客离开系统时不能很好地清理自己留下的“蛛丝马迹”，那么他的行踪很快就会被系统管理员发现。为了保持自身隐秘的行踪，黑客会采取各种方法清理掉自己的操作痕迹。

在Windows操作系统中，日志管理系统NR可以从探索者（explorer）和用户管理者（user manager）中查看，系统管理员可以根据需要使用有效跟踪和无效的文件访问。系统管理员还可以根据访问需求的成败选择审查的策略，如登录与退出，权限非法与关闭系统，等等。

一般来说，获得最高权限的黑客可以随意修改包括系统日志在内的各类文件，最简单的清理痕迹的方式当然是删除日志文件，但这种做法也是“此地无银三百两”，无异于直接告诉管理员系统已经被入侵。手法精细的黑客会选择修改记录自己操作行为的那部分系统日志，在记录着大量的操作的系统日志中，一小部分记录被修改往往会被管理员忽视，因而这是一种常见的隐匿踪迹的方法。

“魔高一尺，道高一丈”，面对黑客的挑衅，系统管理员自不会等闲视之，他们也有自己的应对之策，比如用打印机将系统日志实时打印下来，这样就能避免黑客获得最高权限后系统日志功能失灵。所以，仅仅修改日志是不够的。为了绕过系统日志的监测，黑客高手会通过替换系统程序的方式来进一步隐藏踪迹，这种用来替换的程序叫作Rootkit，它是黑客隐藏踪迹的得力助手。用Rootkit替换之后，管理员就无法通过系统日志侦测到黑客的动作，这是一种比较高级的清理痕迹的方式。(www.xing528.com)

入侵行动的最后，黑客一般会在目标电脑的系统中留下一个后门程序。所谓后门，就是预留在计算机系统中，供某位特殊使用者通过某种特殊方式控制计算机系统的途径。如果黑客还需要再次进入计算机系统的话，后门程序会为他带来极大的方便：当计算机系统的“大门”紧闭时，入侵者可以通过预留的后门悄悄地溜进系统之中。

黑客能通过后门程序轻易地再次入侵电脑

到此为止，黑客攻击的流程和步骤已经展示在我们面前：首先要确定攻击目标和搜集相关资料，之后从远程漏洞着手获取用户权限，然后使用本地漏洞或木马来获得最高权限，完成入侵之后还要清理痕迹和预留后门程序。由此可见，黑客攻击并不像我们想象的那样简单粗暴，而防范攻击则更依赖于我们平时的谨慎和细心。