|
|
马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。
您需要 登录 才可以下载或查看，没有帐号？立即注册
x
但不会命令而成为高手也是不可能的.这就好比学英语,什么语法都不懂,只捧着单词手册背单词是学不会英语的,但是没有单词词汇量英语水平也提不高的。
网下流传的良多关于windowsserver2003体系的平安设置，可是细心剖析下发明良多都不周全，而且良多仍旧设置的不敷公道，而且有很年夜的平安隐患，明天我决意细心做下极度BT的2003服务器的平安设置，让更多的网管伴侣万事大吉。
我们设置的服务器必要供应撑持的组件以下：（ASP、ASPX、CGI、PHP、FSO、JMAIL、MySql、SMTP、POP3、FTP、3389终端服务、远程桌面Web毗连办理服务等），这里条件是已安装好了体系，IIS，包含FTP服务器，邮件服务器等，这些详细设置办法的就不再反复了，如今我们侧重次要论述下关于平安方面的设置。
关于惯例的如平安的安装体系，设置和办理帐户，封闭过剩的服务，考核战略，修正终端办理端口，和设置MS-SQL，删除伤害的存储历程，用最低权限的public帐户毗连等等，都不说了
先说关于体系的NTFS磁盘权限设置，人人大概看得都多了，可是2003服务器有些细节中央必要注重的，我看良多文章都没写完整。
C盘只给administrators和system权限，其他的权限不给，其他的盘也能够如许设置，这里给的system权限也纷歧定必要给，只是因为某些第三方使用程序是以服务情势启动的，必要加上这个用户，不然形成启动不了。
Windows目次要加上给users的默许权限，不然ASP和ASPX等使用程序就没法运转。之前有伴侣独自设置Instsrv和temp等目次权限，实在没有这个需要的。
别的在c:/DocumentsandSettings/这里相称主要，前面的目次里的权限基本不会承继夙昔的设置，假如仅仅只是设置了C盘给administrators权限，而在AllUsers/ApplicationData目次下会呈现everyone用户有完整把持权限，如许进侵这能够跳转到这个目次，写进剧本或只文件，再分离其他毛病来提拔权限；比如使用serv-u的当地溢出提拔权限，或体系漏掉有补钉，数据库的缺点，乃至社会工程学等等N多办法，夙昔不是有牛人发飑说："只需给我一个webshell，我就可以拿到system"，这也切实其实是有大概的。在用做web/ftp服务器的体系里，倡议是将这些目次都设置的锁逝世。其他每一个盘的目次都依照如许设置，没个盘都只给adinistrators权限。
别的，还将：net.exe，cmd.exe，tftp.exe，netstat.exe，regedit.exe，at.exe，attrib.exe，cacls.exe，这些文件都设置只同意administrators会见。
把不用要的服务都克制失落，只管这些纷歧定能被打击者使用得上，可是依照平安划定规矩和尺度下去说，过剩的器材就没需要开启，削减一份隐患。
在"收集毗连"里，把不必要的协定和服务都删失落，这里只安装了基础的Internet协定（TCP/IP），因为要把持带宽流量服务，分外安装了Qos数据包企图程序。在初级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。在初级选项里，利用"Internet毗连防火墙"，这是windows2003自带的防火墙，在2000体系里没有的功效，固然没甚么功效，但能够屏障端口，如许已基础到达了一个IPSec的功效。
这里我们依照所必要的服务开放呼应的端口。在2003体系里，不保举用TCP/IP选择里的端口过滤功效，比如在利用FTP服务器的时分，假如仅仅只开放21端口，因为FTP协定的特别性，在举行FTP传输的时分，因为FTP独有的Port形式和Passive形式，在举行数据传输的时分，必要静态的翻开高端口，以是在利用TCP/IP过滤的情形下，常常会呈现毗连上后没法列出目次和数据传输的成绩。以是在2003体系上增添的windows毗连防火墙能很好的办理这个成绩，以是都不保举利用网卡的TCP/IP过滤功效。
SERV-UFTP服务器的设置：
一样平常来讲，不保举利用srev-u做ftp服务器，次要是毛病呈现的太频仍了，可是也恰是由于其操纵复杂，功效壮大，过于盛行，存眷的人也多，才被开掘出bug来，换做其他的ftp服务器软件也一样不见得平安到哪儿往。
固然，这里也有款功效跟serv-u一样壮大，对照平安的ftp软件：AbilityFTPServer
设置也很复杂，不外我们这里仍是要投合公共胃口，说说关于serv-u的平安设置。
起首，6.0比夙昔5.x版本的多了个修正当地LocalAdministrtaor的暗码功效，实在在5.x版本里能够用ultraedit-32等编纂器修正serv-u程序体举行修正暗码端口，6.0修补了这个隐患，独自拿出来便利了人人。不外修正了办理暗码的serv-u是一样有平安隐患的，两个月前臭要饭的就写了新的接纳当地sniff办法猎取serv-u的办理暗码的exploit，正在网上火卖着，不外这类sniff的办法，一样是在取得webshell的前提后还得有个能在目次里有"实行"的权限，而且必要办理员再次上岸运转serv-uadministrator的时分才干乐成。以是我们的办理员要只管避上以上几点要素，也是能够防护的。
别的serv-u的几点惯例平安必要设置下：
选中"Block"FTP_bounce"attackandFXP"。甚么是FXP呢？一般，当利用FTP协定举行文件传输时，客户端起首向FTP服务器收回一个"PORT"命令，该命令中包括此用户的IP地点和将被用来举行数据传输的端标语，服务器收到后，使用命令所供应的用户地点信息创建与用户的毗连。年夜多半情形下，上述历程不会呈现任何成绩，但当客户端是一位歹意用户时，大概会经由过程在PORT命令中到场特定的地点信息，使FTP服务器与别的非客户真个呆板创建毗连。固然这名歹意用户大概自己无权间接会见某一特定呆板，可是假如FTP服务器有权会见该呆板的话，那末歹意用户就能够经由过程FTP服务器作为中介，仍旧可以终极完成与方针服务器的毗连。这就是FXP，也称跨服务器打击。选中后就能够避免产生此种情形。
别的在"Blockantitime-outschemes"也能够选中。其次，在"Advanced"选项卡中，反省"Enablesecurity"是不是被选中，假如没有，选择它们。
IIS的平安：
删失落c:/inetpub目次，删除iis不用要的映照
起首是每个web站点利用独自的IIS用户，比如这里，新创建了一个名为www.315safe.com，权限为guest的。
在IIS里的站点属性里"目次平安性"---"身份考证和会见把持"里设置匿名会见利用以下Windows用户帐户"的用户名暗码都利用www.315safe.com这个用户的信息.在这个站点绝对应的web目次文件，默许的只给IIS用户的读取和写进权限（前面有更BT的设置要先容）。
在"使用程序设置"里，我们给需要的几种剧本实行权限：ASP.ASPX,PHP，
ASP，ASPX默许都供应映照撑持了的，关于PHP，必要新增加呼应的映照剧本，然后在web服务扩大将ASP，ASPX都设置为同意，关于php和CGI的撑持，必要新建web服务扩大，在扩大名(X)：下输出php，再在请求的文件(E)：里增加地点C:/php/sapi/php4isapi.dll，并勾选设置形态为同意(S)。然后点击断定，如许IIS就撑持PHP了。撑持CGI一样也是云云。
要撑持ASPX，还必要给web根目次给上users用户的默许权限，才干使ASPX能实行。
别的在使用程序设置里，设置调试为向客户端发送自界说的文本信息，如许能关于有ASP注进毛病的站点，能够不反应程序报错的信息，可以制止必定水平的打击。
在自界说HTTP毛病选项里，有需要界说下比如404,500等毛病，不外有偶然候为了调试程序，好晓得程序堕落在甚么中央，倡议只设置404就能够了。
IIS6.0因为运转机制的分歧，呈现了使用程序池的观点。一样平常倡议10个摆布的站点共用一个使用程序池，使用程序池关于一样平常站点能够接纳默许设置，
能够在天天清晨的时分接纳一下事情历程。
新创建一个站，接纳默许导游，在设置中注重以下在使用程序设置里：实行权限为默许的纯剧本，使用程序池利用自力的名为：315safe的程序池。
名为315safe的使用程序池能够得当设置下"内存接纳"：这里的最年夜假造内存为：1000M，最年夜利用的物理内存为256M，如许的设置几近是没限定这个站点的功能的。
在使用程序池里有个"标识"选项，能够选择使用程序池的平安性帐户，默许才用收集服务这个帐户，人人就不要动它，能只管以最低权限往运转年夜，隐患也就更小些。在一个站点的某些目次里，比如这个"uploadfile"目次，不必要在内里运转asp程序或其他剧本的，就往失落这个目次的实行剧本程序权限，在"使用程序设置"的"实行权限"这里，默许的是"纯剧本"，我们改成"无"，如许就只能利用静态页面了。顺次类推，年夜但凡不必要asp运转的目次，比如数据库目次，图片目次等等里都能够如许做，如许次要是能制止在站点使用程序剧本呈现bug的时分，比如呈现夙昔盛行的upfile毛病，而可以在必定水平上对毛病有扼制的感化。
在默许情形下，我们一样平常给每一个站点的web目次的权限为IIS用户的读取和写进，如图：
可是我们如今为了将SQL注进，上传毛病全体都赶走，我们能够接纳手动的体例举行细节性的战略设置。
1．给web根目次的IIS用户只给读权限。如图：
然后我们对呼应的uploadfiles/或其他必要存在上传文件的目次分外给写的权限，而且在IIS里给这个目次无剧本运转权限，如许即便网站程序呈现毛病，进侵者也没法将asp木马写进目次里往，呵呵，不外没这么复杂就避免住了打击，另有良多事情要完成。假如是MS-SQL数据库的，就如许也就OK了，可是Access的数据库的话，其数据库地点的目次，或数据库文件也得给写权限，然后数据库文件没需要改成.asp的。如许的成果人人也都晓得了把，一旦你的数据库路径被表露了，这个数据库就是一个年夜木马，够可骇的。实在完整仍是礼貌点只用mdb后缀，这个目次在IIS里不给实行剧本权限。然后在IIS里加设置一个映照纪律，如图：
这里用恣意一个dll文件来剖析.mdb后缀名的映照，只需不必asp.dll来剖析就能够了，如许他人即便取得了数据库路径也没法下载。这个办法能够说是避免数据库被下载的最终办理举措了。
买一本命令参考手册是必要的,遇到不知道怎么用的命令可以随时查询,这要比查man文档快.特别适合英语不好。 |
|
|Archiver|手机版|仓酷云
鄂ICP备14007578号-2
发表于 2015-1-16 17:10:43
收藏
转播
分享
淘帖
顶
踩
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
照妖镜
楼主