Windows 2003_IT / Computer_Professional信息下的WEB服务器安全设置指南

1. 安装修补程序在安装Windows 2003操作系统之后，必须在托管之前安装修补程序. 配置网络后，最好安装SP1，然后单击“开始”以选择Windows Update以安装所有关键更新. 2.安装防病毒软件防病毒软件类型很多，其中Rising，Norton，Kaspersky等都是非常好的选择. 但是，不要指望杀毒软件会杀死所有木马，因为ASP木马的特点是通过某些手段来避免杀毒软件的检测和查杀. 3.设置端口保护和防火墙. Windows 2003的端口屏蔽可以通过其自己的防火墙来解决，该防火墙比筛选更好，更灵活. 桌面->网络邻居->属性->本地连接->属性->高级-> Internet连接防火墙->设置，选择服务器上要使用的服务端口，例如: WEB服务器应提供WEB（80 ）“ FTP服务器” WEB服务器，“（HTTP）”和“远程桌面”中的FTP，（21）服务和远程桌面管理（3389）带有复选标记. 如果您要提供服务的端口不在其中，则还可以单击“添加”按钮进行添加. 具体参数可以参考系统中的原始参数. 然后单击确定. 注意: 如果要远程管理该服务器，请确保已选择或添加了远程管理端口.

1. 权限设置的原理1）WINDOWS用户，在WINNT系统中，大多数时候权限被分为用户（组）. 转到开始→程序→管理工具→计算机管理→本地用户和组以管理系统用户和用户组. 2）NTFS权限设置，请记住在分区时将所有硬盘划分为NTFS分区，然后我们可以确定每个分区向每个用户打开的权限. 右键单击文件（文件夹）→“属性”→“安全性”，然后在此处管理NTFS文件（文件夹）权限. 3）匿名用户. IIS中的每个IIS站点或虚拟目录都可以设置一个匿名用户（现在，将其称为“ IIS匿名用户”）. 当用户访问您网站的.ASP文件时，该.ASP文件的权限就是该“ IIS匿名用户”所具有的权限. 2.特权设置-磁盘特权系统磁盘和所有磁盘仅授予Administrators组和SYSTEM完全控制权限. 系统磁盘\ Documents and Settings目录仅向Administrators组和SYSTEM提供完全控制权限. 系统磁盘\ Documents and Settings \ All Users目录系统磁盘\ Inetpub目录以及下面的所有目录和文件仅具有Administrators组和SYSTEM的完全控制权限. 系统磁盘\ Windows \ System32 \ cacls.exe，cmd.exe，net.exe，net1.exe文件仅赋予Administrators组和SYSTEM完全控制权限. 4.禁用不必要的服务“开始”菜单->管理工具->服务Print Spooler远程注册表TCP / IP NetBIOS Helper Server默认情况下，以上服务在Windows Server 2003系统上启动. 如果没有特殊需要，请不要启动以下服务: 默认情况下处于禁用状态.

1. 重命名或卸载不安全的组件. 在Ajiang Probe 1.9中，添加了不安全组件检测功能（实际上是参考7i24的代码编写的，但是界面更改得更加友好. 检测方法与基本上相同）. 该功能使许多网站管理员感到惊讶，因为他发现他的服务器支持许多不安全的组件. 实际上，只要完成了上述权限设置，FSO，XML和strem就不再是不安全的组件，因为它们没有删除自己的文件夹或站点的权限. 最危险的组件是WSH和Shell，因为它可以运行硬盘中的EXE等程序. 例如，它可以运行提升权限的程序来提升SERV-U权限，甚至可以使用SERVU运行更高特权的系统程序. 2.仔细决定是否为应用程序显示组件组件，而不是出于不安全的考虑，所有组件都有其用途，因此，在卸载组件之前，您必须确认该组件是您的网站，程序不需要，甚至被删除，它将不会关闭. 否则，您只能保留此组件并在ASP程序本身上进行操作，以防止其他人进入，而不是防止其他人在SHELL之后进入. 例如，FSO和XML是最常用的组件之一，许多程序都将使用它们. WSH组件将由某些主机管理程序使用，并且还将使用某些打包程序.

5. 卸载最不安全的组件最简单的方法是直接卸载和删除相应的程序文件. 将以下代码另存为.BAT文件. regsvr32 / u C: \ WINDOWS \ System32 \ wshom.ocx del C: \ WINDOWS \ System32 \ wshom.ocx regsvr32 / u C: \ WINDOWS \ system32 \ shell32.dll del C: \ WINDOWS \ system32 \ shell32.dll并运行一次，将卸载WScript.Shell，Shell.application，WScript.Network. 系统可能会提示您无法删除该文件. 不要管它. 重新启动服务器，您将发现所有三个提示“×Security”. 应该注意的是，组件名称和Clsid必须更改，并且必须完全更改. 让我们以Shell.application为例来介绍该方法. 打开注册表编辑器，开始→运行→regedit，按Enter，编辑→查找→填写Shell.application→查找下一个注册表，此方法可以找到两个注册表项: {13709620-C279-11CE-A49E-444553540000}和Shell .application.

为了确保没有错误，请导出这两个注册表项并将它们另存为.reg文件. 例如，我们要进行这样的更改: 将13709620-C279-11CE-A49E-444553520-C279-11CE-A49E-444553540001更改，并将Shell.application重命名为Shell.application_ajiang. 重命名后，只需根据上述对应关系替换导出的.reg文件中的内容，然后将修改后的.reg文件导入注册表（只需双击），然后导入重命名的注册表项即可. 删除原来的两个项目. 这里要注意的一件事是，Clsid只能包含10个数字，ABCDEF只能包含6个字母. 这是修改后的代码，并且将两个文件组合在一起: Windows注册表编辑器版本5.00 [HKEY_CLASSES_ROOT \ CLSID \ {13709620-C279-11CE-A49E-444553540001}] @ =“外壳自动化服务” [HKEY_CLASSES_ROOT \ CLSID \ {13709620- C279-11CE-A49E-444553540001} \ InProcServer32] @ =“ C: \\ WINNT \\ system32 \\ shell32.dll”“ ThreadingModel” =“公寓” [HKEY_CLASSES_ROOT \ CLSID \ {13709620-C279-11CE-A49E -444553540001 } \ ProgID] @ =“ Shell.Application_ajiang.1” [HKEY_CLASSES_ROOT \ CLSID \ {13709620-C279-11CE-A49E-444553540001} \ TypeLib] @ =“ {50a7e9b0-70ef-11d1-b75a-00a0c90564fe}” [HKEY_CLASSES_ROOT \ CLSID \ {13709620-C279-11CE-A49E-444553540001} \版本] @ =“ 1.1” [HKEY_CLASSES_ROOT \ CLSID \ {13709620-C279-11CE-A49E-444553540001} \ VersionIndependentProgID] @ =“ Shell.Application_ajiang” [HKEY_CLASSES_ROOT \ Shell.Application_ajiang] @ =“ Shell自动化服务” [HKEY_CLASSES_ROOT \ Shell.Application_ajiang \ CLSID] @ =“ {13709620-C279-11CE-A49E-444553540001}” [HKEY_CLASSES_ROOT \ Shell.Application_ajiang \ CurVer] @ =“ Shell .Application_ ajiang.1“ 6.在Ajiang ASP Probe 1.9中阻止列出的用户组和系统进程的组合7i24方法使用getobject（” WINNT“）获取系统用户和系统进程的列表. 该列表可能被黑客使用. 我们应该隐藏它. 方法是: 开始→程序→管理工具→服务，找到工作站，将其停止，然后将其禁用.

1. 防止Serv-U权限升级. 实际上，注销Shell组件后，入侵者运行升级工具的可能性很小，但是其他脚本语言（例如prel）也具有shell功能. 以防万一，最好设置为“单击”更好. 使用Ultraedit打开ServUDaemon.exe，找到Ascii: LocalAdministrator和#l@$ak#.lk; 0 @ P，然后将它们修改为等长的其他字符，ServUAdmin.exe将执行相同的操作. 还请注意设置Serv-U所在文件夹的权限. 不要让IIS匿名用户具有读取权限，否则将下载您已修改的文件，并且仍然可以分析您的管理员名称和密码. 2.利用ASP漏洞和预防的常见方法. 通常情况下，黑客始终将目标锁定为论坛之类的程序，因为这些程序具有上载功能，因此他们可以轻松上载ASP Trojan马，即使设置了权限，也可以控制Trojan马当前站点的所有文件. 另外，如果存在木马，请使用木马上载升级工具以获得更高的权限. 关闭外壳程序组件的目的主要是为了防止攻击者运行升级工具. 如果论坛管理员关闭了上传功能，黑客将找到一种获取超级密码的方法. 例如，如果您使用Internet论坛，而忘记更改名称，则人们可以直接下载您的，然后找到论坛管理员密码. 不远处.

作为管理员，我们必须首先检查ASP程序并进行必要的设置，以防止黑客访问该网站. 另一个是防止攻击者使用被黑的网站来控制整个服务器，因为如果您在服务器上为朋友打开了一个网站，则可能无法确定朋友会为他上传的论坛设置安全设置. 这使用了上面提到的很多东西. 完成权限设置和反升级后，即使黑客进入网站，他们也无法破坏该网站以外的任何内容. WScript.Shell可以调用系统内核来运行DOS基本命令. 您可以更改注册表并重命名此组件，以免遭受此类木马的迫害. HKEY_CLASSES_ROOT \ WScript.Shell \和HKEY_CLASSES_ROOT \ WScript.Shell.1 \重命名为其他名称，例如: 更改为WScript.Shell_ChangeName或WScript.Shell.1_ChangeName. 当将来自己调用此组件时，可以正常调用它. 将clsid值更改为HKEY_CLASSES_ROOT \ WScript.Shell \ CLSID \项目值HKEY_CLASSES_ROOT \ WScript.Shell.1 \ CLSID \项目标记值也可以删除它，以免逼迫此类木马.

3. 停止使用Shell.Application组件Shell.Application可以调用系统内核来运行DOS基本命令. 您可以更改注册表并重命名此组件，以防止这种木马受到伤害. HKEY_CLASSES_ROOT \ Shell.Application \和HKEY_CLASSES_ROOT \ Shell.Application.1 \重命名为其他名称，例如: Shell.Application_ChangeName或Shell.Application.1_ChangeName. 稍后调用自身时，可以使用它来正常调用此组件. 将clsid的值更改为HKEY_CLASSES_ROOT \ Shell.Application \ CLSID \项目标记值HKEY_CLASSES_ROOT \ Shell.Application \ CLSID \项目标记值也可以将其删除，以免逼迫此类木马. 阻止来宾用户使用shell32.dll阻止调用此组件. 2000使用命令: cacls C: \ WINNT \ system32 \ shell32.dll / e / d guest 2003使用命令: cacls C: \ WINDOWS \ system32 \ shell32.dll / e / d guest注意: 所有操作都需要重新启动WEB服务. 生效.

第四，调用Cmd.exe以禁止来宾组用户调用cmd.exe 2000使用命令: cacls C: \ WINNT \ system32 \ Cmd.exe / e / d guest 2003使用命令: cacls C: \ WINDOWS \ system32 \ Cmd .exe / e / d guest虚拟机通过以上四步设置，可以防止几种流行的木马，但最有效的措施是使用全面的安全设置来确保服务器和程序的安全性达到一定水平. 设置更高以防止更多非法入侵.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-290868-1.html