五、公布最佳特征“得主” 从以上4个候选对象中，我们可以单独选出一项作为基于报头的特征数据，也可以选出多项组合作为特征数据。 选择一项数据作为特征有很大的局限性。例如一个简单的特征可以是只具有SYN和FIN标志的数据包，虽然这可以很好地提示我们可能有一个可疑的行为发生，但却不能给出为什么会发

五．密封内核我们需要在系统启动的时候做一些必要的操作，但是我们也需要在系统运行的时候保护它们。例如，我们需要象内核里插入一些需要的模块，但是我们不希望在系统运行的时候插入任何模块，因为那样会十分危险。如何解决这个问题呢？这里就有一些密封的方法。我们可以在系统启动的时候做我们任何想做的

SendMail PROC pushadpush NULLpush SOCK_STREAMpush AF_INETmov eax , 12345678h_socket = dword ptr $4call eaxmov VSocket[ebx],eaxpush sizeof(sockaddr) ; Size of connect strucure=16call @SMTP1 ; Connect structuredw AF_INET ; Familydb 0,25 ; Port number,avoid htons :)ServIP dd 0

主引导区病毒的分析 步骤5：传染过程分析方法：U对软盘传染过程： PUSH AX ;工PUSH BX ;作PUSH CX ;寄PUSH DX ;存PUSH DS ;器PUSH ES ;入PUSH SI ;栈PUSH DI ;保存PUSH CS ;以压/弹栈方式POP DS ;使数据段DS和PUSH CS ;附加段ES均指向POP ES ;代码段CSMOV SI,0004 ;试4次MOV AX,0201 ;设置各MOV BX,0200 ;积存器MOV CX,0001

特殊的考虑 每种IDS厂商对他们的产品都有特殊的考虑。通常这些考虑是针对操作系统的特殊设置的。例如，许多厂商要求你将代理安装在使用静态IP地址的主机上。因此，你也许需要配置DHCP和WINS服务器来配合管理者。这种特殊的考虑在一定程度上解释了为什么大多数IDS程序用一个管理者来管理数台主机。另外，安装管理者

R5:interface VirtualTemplate1//C、进入模板就和配置PPP一样了，配置IP，和封装。ip address 25.0.0.5 255.255.255.0ppp authentication chap!interface Serial0//A、在接口封装FR,并且打开接口（no sh）no ip addressencapsulation framerelayno framerelay i

1.2 检测方法局限 NIDS常用的检测方法有特征检测、异常检测、状态检测、协议分析等。实际中的商用入侵检测系统大都同时采用几种检测方法。 NIDS不能处理加密后的数据，如果数据传输中被加密，即使只是简单的替换，NIDS也难以处理，例如采用SSH、HTTPS、带密码的压缩文件等手段，都可以有效的防止NIDS的检测

特殊的考虑 每种IDS厂商对他们的产品都有特殊的考虑。通常这些考虑是针对操作系统的特殊设置的。例如，许多厂商要求你将代理安装在使用静态IP地址的主机上。因此，你也许需要配置DHCP和WINS服务器来配合管理者。这种特殊的考虑在一定程度上解释了为什么大多数IDS程序用一个管理者来管理数台主机。另外，安装管理者