服务器A级BT安全配置指南.docx

服务器A级BT安全配置指南.docx

《服务器A级BT安全配置指南.docx》由会员分享，可在线阅读，更多相关《服务器A级BT安全配置指南.docx（29页珍藏版）》请在冰豆网上搜索。

服务器A级BT安全配置指南

    网上流传的很多关于windowsserver2003系统的安全配置，但是仔细分析下发现很多都不全面，并且很多仍然配置的不够合理，并且有很大的安全隐患，今天我决定仔细做下极端BT的2003服务器的安全配置，让更多的网管朋友高枕无忧。

    我们配置的服务器需要提供支持的组件如下：

（ASP、ASPX、CGI、PHP、FSO、JMAIL、MySql、SMTP、POP3、FTP、3389终端服务、远程桌面Web连接管理服务等），这里前提是已经安装好了系统，IIS，包括FTP服务器，邮件服务器等，这些具体配置方法的就不再重复了，现在我们着重主要阐述下关于安全方面的配置。

    关于常规的如安全的安装系统，设置和管理帐户，关闭多余的服务，审核策略，修改终端管理端口，以及配置MS-SQL，删除危险的存储过程，用最低权限的public帐户连接等等，都不说了，大家在网上搜索到处是相关文章，315安全网上也多的很：

     常规安全配置2003的：

     防范ASP木马在服务器上运行的：

     终端服务安全配置的：

     安装防火墙的：

     MS-SQL的安全配置：

      先说关于系统的NTFS磁盘权限设置，大家可能看得都多了，但是2003服务器有些细节地方需要注意的，我看很多文章都没写完全。

     C盘只给administrators和system权限，其他的权限不给，其他的盘也可以这样设置，这里给的system权限也不一定需要给，只是由于某些第三方应用程序是以服务形式启动的，需要加上这个用户，否则造成启动不了。

  Windows目录要加上给users的默认权限，否则ASP和ASPX等应用程序就无法运行。

以前有朋友单独设置Instsrv和temp等目录权限，其实没有这个必要的。

另外在c:

/DocumentsandSettings/这里相当重要，后面的目录里的权限根本不会继承从前的设置，如果仅仅只是设置了C盘给administrators权限，而在AllUsers\ApplicationData目录下会出现everyone用户有完全控制权限，这样入侵这可以跳转到这个目录，写入脚本或只文件，再结合其他漏洞来提升权限；譬如利用serv-u的本地溢出提升权限，或系统遗漏有补丁，数据库的弱点，甚至社会工程学等等N多方法，从前不是有牛人发飑说：

“只要给我一个webshell，我就能拿到system"，这也的确是有可能的。

在用做web\ftp服务器的系统里，建议是将这些目录都设置的锁死。

其他每个盘的目录都按照这样设置，没个盘都只给adinistrators权限。

 另外，还将：

net.exe，cmd.exe，tftp.exe，netstat.exe，regedit.exe，at.exe，attrib.exe，cacls.exe，这些文件都设置只允许administrators访问。

  把不必要的服务都禁止掉，尽管这些不一定能被攻击者利用得上，但是按照安全规则和标准上来说，多余的东西就没必要开启，减少一份隐患。

  在“网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP），由于要控制带宽流量服务，额外安装了Qos数据包计划程序。

在高级tcp/ip设置里--“NetBIOS”设置“禁用tcp/IP上的NetBIOS（S）”。

在高级选项里，使用“Internet连接防火墙”，这是windows2003自带的防火墙，在2000系统里没有的功能，虽然没什么功能，但可以屏蔽端口，这样已经基本达到了一个IPSec的功能。

   这里我们按照所需要的服务开放响应的端口。

在2003系统里，不推荐用TCP/IP筛选里的端口过滤功能，譬如在使用FTP服务器的时候，如果仅仅只开放21端口，由于FTP协议的特殊性，在进行FTP传输的时候，由于FTP特有的Port模式和Passive模式，在进行数据传输的时候，需要动态的打开高端口，所以在使用TCP/IP过滤的情况下，经常会出现连接上后无法列出目录和数据传输的问题。

所以在2003系统上增加的windows连接防火墙能很好的解决这个问题，所以都不推荐使用网卡的TCP/IP过滤功能。

SERV-UFTP服务器的设置：

   一般来说，不推荐使用srev-u做ftp服务器，主要是漏洞出现的太频繁了，但是也正是因为其操作简单，功能强大，过于流行，关注的人也多，才被发掘出bug来，换做其他的ftp服务器软件也一样不见得安全到哪儿去。

   当然，这里也有款功能跟serv-u同样强大，比较安全的ftp软件：

AbilityFTPServer

  下载地址：

  设置也很简单，不过我们这里还是要迎合大众胃口，说说关于serv-u的安全设置。

  首先，6.0比从前5.x版本的多了个修改本地LocalAdministrtaor的密码功能，其实在5.x版本里可以用ultraedit-32等编辑器修改serv-u程序体进行修改密码端口，6.0修补了这个隐患，单独拿出来方便了大家。

不过修改了管理密码的serv-u是一样有安全隐患的，两个月前臭要饭的就写了新的采用本地sniff方法获取serv-u的管理密码的exploit，正在网上火卖着，不过这种sniff的方法，同样是在获得webshell的条件后还得有个能在目录里有“执行”的权限，并且需要管理员再次登陆运行serv-uadministrator的时候才能成功。

所以我们的管理员要尽量避上以上几点因素，也是可以防护的。

   另外serv-u的几点常规安全需要设置下：

   选中“Block"FTP_bounce"attackandFXP”。

什么是FXP呢？

通常，当使用FTP协议进行文件传输时，客户端首先向FTP服务器发出一个“PORT”命令，该命令中包含此用户的IP地址和将被用来进行数据传输的端口号，服务器收到后，利用命令所提供的用户地址信息建立与用户的连接。

大多数情况下，上述过程不会出现任何问题，但当客户端是一名恶意用户时，可能会通过在PORT命令中加入特定的地址信息，使FTP服务器与其它非客户端的机器建立连接。

虽然这名恶意用户可能本身无权直接访问某一特定机器，但是如果FTP服务器有权访问该机器的话，那么恶意用户就可以通过FTP服务器作为中介，仍然能够最终实现与目标服务器的连接。

这就是FXP，也称跨服务器攻击。

选中后就可以防止发生此种情况。

   另外在“Blockantitime-outschemes"也可以选中。

其次，在“Advanced”选项卡中，检查“Enablesecurity”是否被选中，如果没有，选择它们。

    IIS的安全：

     删掉c:

/inetpub目录，删除iis不必要的映射

    首先是每一个web站点使用单独的IIS用户，譬如这里，新建立了一个名为，权限为guest的。

在IIS里的站点属性里“目录安全性”---“身份验证和访问控制“里设置匿名访问使用下列Windows用户帐户”的用户名密码都使用这个用户的信息.在这个站点相对应的web目录文件，默认的只给IIS用户的读取和写入权限（后面有更BT的设置要介绍）。

   在“应用程序配置”里，我们给必要的几种脚本执行权限：

ASP.ASPX,PHP，

ASP，ASPX默认都提供映射支持了的，对于PHP，需要新添加响应的映射脚本，然后在web服务扩展将ASP，ASPX都设置为允许，对于php以及CGI的支持，需要新建web服务扩展，在扩展名（X）：

下输入php，再在要求的文件（E）：

里添加地址C:

\php\sapi\php4isapi.dll，并勾选设置状态为允许（S）。

然后点击确定，这样IIS就支持PHP了。

支持CGI同样也是如此。

   要支持ASPX，还需要给web根目录给上users用户的默认权限，才能使ASPX能执行。

    另外在应用程序配置里，设置调试为向客户端发送自定义的文本信息，这样能对于有ASP注入漏洞的站点，可以不反馈程序报错的信息，能够避免一定程度的攻击。

   在自定义HTTP错误选项里，有必要定义下譬如404,500等错误，不过有有时候为了调试程序，好知道程序出错在什么地方，建议只设置404就可以了。

    IIS6.0由于运行机制的不同，出现了应用程序池的概念。

一般建议10个左右的站点共用一个应用程序池，应用程序池对于一般站点可以采用默认设置，

    可以在每天凌晨的时候回收一下工作进程。

      新建立一个站，采用默认向导，在设置中注意以下几个地方：

      在应用程序设置里：

执行权限为默认的纯脚本，应用程序池使用独立的名为：

315safe的程序池。

    名为315safe的应用程序池可以适当设置下“内存回收”：

这里的最大虚拟内存为：

1000M，最大使用的物理内存为256M，这样的设置几乎是没限制这个站点的性能的。

     在应用程序池里有个“标识”选项，可以选择应用程序池的安全性帐户，默认才用网络服务这个帐户，大家就不要动它，能尽量以最低权限去运行大，隐患也就更小些。

在一个站点的某些目录里，譬如这个“uploadfile"目录，不需要在里面运行asp程序或其他脚本的，就去掉这个目录的执行脚本程序权限，在“应用程序设置”的“执行权限”这里，默认的是“纯脚本”，我们改成“无”，这样就只能使用静态页面了。

依次类推，大凡是不需要asp运行的目录，譬如数据库目录，图片目录等等里都可以这样做，这样主要是能避免在站点应用程序脚本出现bug的时候，譬如出现从前流行的upfile漏洞，而能够在一定程度上对漏洞有扼制的作用。

     在默认情况下，我们一般给每个站点的web目录的权限为IIS用户的读取和写入，如图：

     但是我们现在为了将SQL注入，上传漏洞全部都赶走，我们可以采取手动的方式进行细节性的策略设置。

     1． 给web根目录的IIS用户只给读权限。

如图：

    然后我们对响应的uploadfiles/或其他需要存在上传文件的目录额外给写的权限，并且在IIS里给这个目录无脚本运行权限，这样即使网站程序出现漏洞，入侵者也无法将asp木马写进目录里去，呵呵，不过没这么简单就防止住了攻击，还有很多工作要完成。

如果是MS-SQL数据库的，就这样也就OK了，但是Access的数据库的话，其数据库所在的目录，或数据库文件也得给写权限，然后数据库文件没必要改成.asp的。

这样的后果大家也都知道了把，一旦你的数据库路径被暴露了，这个数据库就是一个大木马，够可怕的。

其实完全还是规矩点只用mdb后缀，这个目录在IIS里不给执行脚本权限。

然后在IIS里加设置一个映射规律，如图：

    这里用任意一个dll文件来解析.mdb后缀名的映射，只要不用asp.dll来解析就可以了，这样别人即使获得了数据库路径也无法下载。

这个方法可以说是防止数据库被下载的终极解决办法了。

   改名或卸载不安全组件

   其实，只要做好了上面的权限设置，那么FSO、XML、strem都不再是不安全组件了，因为他们都没有跨出自己的文件夹或者站点的权限。

那个欢乐时光更不用怕，有杀毒软件在还怕什么时光啊。

   最危险的组件是WSH和Shell，因为它可以运行你硬盘里的EXE等程序，比如它可以运行提升程序来提升SERV-U权限甚至用SERVU来运行更高权限的系统程序。

   谨慎决定是否卸载一个组件

   组件是为了应用而出现的，而不是为了不安全而出现的，所有的组件都有它的用处，所以在卸载一个组件之前，你必须确认这个组件是你的网站程序不需要的，或者即使去掉也不关大体的。

否则，你只能留着这个组件并在你的ASP程序本身上下工夫，防止别人进来，而不是防止别人进来后SHELL。

   比如，FSO和XML是非常常用的组件之一，很多程序会用到他们。

WSH组件会被一部分主机管理程序用到，也有的打包程序也会用到。

   卸载最不安全的组件

   最简单的办法是直接卸载后删除相应的程序文件。

将下面的代码保存为一个.BAT文件，

regsvr32/uC:

\Windows\System32\wshom.ocx

delC:

\Windows\System32\wshom.ocx

regsvr32/uC:

\Windows\system32\shell32.dll

delC:

\Windows\system32\shell32.dll

   然后运行一下，WScript.Shell,Shell.application,WScript.Network就会被卸载了。

可能会提示无法删除文件，不用管它，重启一下服务器，你会发现这三个都提示“×安全”了。

   改名不安全组件

   需要注意的是组件的名称和Clsid都要改，并且要改彻底了。

下面以Shell.application为例来介绍方法。

   打开注册表编辑器【开始→运行→regedit回车】，然后【编辑→查找→填写Shell.application→查找下一个】，用这个方法能找到两个注册表项：

“{13709620-C279-11CE-A49E-444553540000}”和“Shell.application”。

为了确保万无一失，把这两个注册表项导出来，保存为.reg文件。

   比如我们想做这样的更改

13709620-C279-11CE-A49E-444553540000改名为13709620-C279-11CE-A49E-444553540001

Shell.application改名为Shell.application_315safe

   那么，就把刚才导出的.reg文件里的内容按上面的对应关系替换掉，然后把修改好的.reg文件导入到注册表中（双击即可），导入了改名后的注册表项之后，别忘记了删除原有的那两个项目。

这里需要注意一点，Clsid中只能是十个数字和ABCDEF六个字母。

   下面是我修改后的代码（两个文件我合到一起了）：

WindowsRegistryEditorVersion5.00

[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}]

@="ShellAutomationService"

[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\InProcServer32]

@="C:

\\Windows\\system32\\shell32.dll"

"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\ProgID]

@="Shell.Application_315safe.1"

[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\TypeLib]

@="{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}"

[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\Version]

@="1.1"

[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\VersionIndependentProgID]

@="Shell.Application_315safe"

[HKEY_CLASSES_ROOT\Shell.Application_315safe]

@="ShellAutomationService"

[HKEY_CLASSES_ROOT\Shell.Application_315safe\CLSID]

@="{13709620-C279-11CE-A49E-444553540001}"

[HKEY_CLASSES_ROOT\Shell.Application_315safe\CurVer]

@="Shell.Application_315safe.1"

   你可以把这个保存为一个.reg文件运行试一下，但是可别就此了事，因为万一黑客也看了我的这篇文章，他会试验我改出来的这个名字的。

   防止列出用户组和系统进程的方法是：

【开始→程序→管理工具→服务】，找到Workstation，停止它，禁用它。

   以上设置好了后，再按照站上的其他教程装一个软件防火墙，虽然windows自带的防火墙比较稳定，但是功能上欠佳，可以再安装一个visnetic防火墙或kerio等非常不错的。

   下载地址：

    杀毒软件用一个SymantecAntiVirus中小型企业版，这是一个不需太多干预并且易于管理的解决方案，可以提供超强病毒防护。

有了赛门铁克保护您的服务器，您就可以依赖于最新的防护来抵御新近爆发的病毒、蠕虫和特洛伊木马，并从赛门铁克安全响应中心获得世界级的支持。

集中控制和策略管理工具使得管理成为一件轻松的工作，先进的自动化功能可以在不中断您的工作的情况下，对病毒爆发提供及时的更新和迅捷的响应。

SymantecAntiVirus中小型企业版能够与您的企业一起扩展。

它是一种可完全伸缩的解决方案，可以简化您在将台式机和服务器添加到网络中时的整合工作，并能将安全性扩展到多平台配置。

    下载地址：

   这样你的服务器就相当安全稳定了。