win服务安全设置.docx

win服务安全设置.docx

《win服务安全设置.docx》由会员分享，可在线阅读，更多相关《win服务安全设置.docx（15页珍藏版）》请在冰豆网上搜索。

win服务安全设置

首先是系统的安装，一般来讲我们都是把系统安装在C盘，但作为服务器，特别是对安全性要求很高的服务器，我们必然需要做一些有反逻辑的事情，因此偶建议各位把系统安装到第二个分区（这里是D盘），安装系统的方法和其它系统的安装没多大不同！

因为我们的是Web服务器，所以安装好以后需要加装IIS，IIS的安装方法是：

开始》》设置》》控制面版》》添加或删除程序》》添加或删除Window组件》》应用程序服务器》》按默认的选择也不错了，这里如果你需要添加NET服务，请把第一项打勾；一切选择好以后放进系统光盘进行下一步就OK了！

（这里针对安装驱动和给系统打上最新补丁的过程就省略啦）

接着我们通过管理工具里面的计算机管理进行添加新的管理员，然后把Administrator加上复杂的密码禁止登陆，这时候推荐大家先备份一次（做备份应该是个不错的习惯）！

等上面的工作都处理好，现在就要做比较重要的事情：

服务器的权限安全！

做好权限可以把你的服务器给入侵的几率达到最小！

在系统里，除了系统盘（D盘）外，全部分区的权限只给Administrators，全部设置好以后，我们就来讲我们今天的重点了！

一般情况下，系统盘里面会有DocumentsandSettings、ProgramFiles、WINDOWS、wmpub和inetpub五个文件夹！

这里可以直接删除文件夹inetpub，然后给DocumentsandSettings和wmpub同样的权限：

administrators全部（该文件夹，子文件夹及文件）

SYSTEM全部（该文件夹，子文件夹及文件）

PowerUsers（该文件夹，子文件夹及文件）

读取和运行

列出文件夹目录

读取

给ProgramFiles的权限：

administrators全部（该文件夹，子文件夹及文件）

SYSTEM全部（该文件夹，子文件夹及文件）

CREATOROWNER全部（只有子文件来及文件）

IIS_WPG（该文件夹，子文件夹及文件）

读取和运行

列出文件夹目录

读取

PowerUsers（该文件夹，子文件夹及文件）

修改权限

TERMINALSERVERUSER（该文件夹，子文件夹及文件）

修改权限

给WINDOWS\Temp的权限：

administrators全部（该文件夹，子文件夹及文件）

SYSTEM全部（该文件夹，子文件夹及文件）

CREATOROWNER全部（只有子文件来及文件）

IIS_WPG（该文件夹，子文件夹及文件）

遍历文件夹/运行文件夹

列出文件夹/读取数据

读取属性

创建文件夹/附加数据

读取权限

Users（该文件夹，子文件夹及文件）

读取属性

读取扩展属性

创建文件/写入数据

读取权限

----------------------------------------------------------------

单独对cmd.exenet.exenet1.exeping.exenetstat.exeftp.exetftp.exetelnet.exe设置为只允许administrators组访问

----------------------------------------------------------------

要删除的系统组件：

（直接把下面的文字编辑到一个文本，然后修改文本后缀为.bat文件运行即可！

regsvr32/uC:

\WINDOWS\System32\wshom.ocx

delC:

\WINDOWS\System32\wshom.ocx

regsvr32/uC:

\WINDOWS\system32\shell32.dll

delC:

\WINDOWS\system32\shell32.dll

============================================

5    隐藏重要文件/目录可以修改注册表实现完全隐藏：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL”，鼠标右击“CheckedValue”，选择修改，把数值由1改为0

2、防止SYN洪水攻击

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建DWORD值，名为SynAttackProtect，值为2

EnablePMTUDiscoveryREG_DWORD0

NoNameReleaseOnDemandREG_DWORD1

EnableDeadGWDetectREG_DWORD0

KeepAliveTimeREG_DWORD300,000

PerformRouterDiscoveryREG_DWORD0

EnableICMPRedirectsREG_DWORD0

3.禁止响应ICMP路由通告报文

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface

新建DWORD值，名为PerformRouterDiscovery值为0

4.防止ICMP重定向报文的攻击

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

　将EnableICMPRedirects值设为0

5.不支持IGMP协议

　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建DWORD值，名为IGMPLevel值为0

6.修改终端服务端口

运行regedit，找到[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\Wds\rdpwd\Tds\tcp]，看到右边的PortNumber了吗？

在十进制状态下改成你想要的端口号吧，比如7126之类的，只要不与其它冲突即可。

第二处HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp，方法同上，记得改的端口号和上面改的一样就行了。

7.禁止IPC空连接：

cracker可以利用netuse命令建立空连接，进而入侵，还有netview，nbtstat这些都是基于空连接的，禁止空连接就好了。

打开注册表，找到Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous把这个值改成”1”即可。

8.更改TTL值

cracker可以根据ping回的TTL值来大致判断你的操作系统，如：

TTL=107（WINNT）;

TTL=108（win2000）;

TTL=127或128（win9x）;

TTL=240或241（linux）;

TTL=252（solaris）;

TTL=240（Irix）;

实际上你可以自己更改的：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters：

DefaultTTLREG_DWORD0-0xff（0-255十进制,默认值128）改成一个莫名其妙的数字如258，起码让那些小菜鸟晕上半天，就此放弃入侵你也不一定哦

9.删除默认共享

有人问过我一开机就共享所有盘，改回来以后，重启又变成了共享是怎么回事，这是2K为管理而设置的默认共享，必须通过修改注册表的方式取消它：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters：

AutoShareServer类型是REG_DWORD把值改为0即可

10.禁止建立空连接

默认情况下，任何用户通过通过空连接连上服务器，进而枚举出帐号，猜测密码。

我们可以通过修改注册表来禁止建立空连接：

Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous的值改成”1”即可。

============================================

1.禁用TCP/IP上的NetBIOS

网上邻居-属性-本地连接-属性-Internet协议（TCP/IP）属性-高级-WINS面板-NetBIOS设置-禁用TCP/IP上的NetBIOS。

这样cracker就无法用nbtstat命令来读取你的NetBIOS信息和网卡MAC地址了。

2.账户安全

首先禁止一切账户，除了你自己，呵呵。

然后把Administrator改名。

我呢就顺手又建了个Administrator账户，不过是什么权限都没有的那种，然后打开记事本，一阵乱敲，复制，粘贴到“密码”里去，呵呵，来破密码吧~！

破完了才发现是个低级账户，看你崩溃不？

创建2个管理员用帐号

虽然这点看上去和上面这点有些矛盾，但事实上是服从上面的规则的。

创建一个一般权限帐号用来收信以及处理一些*常事物，另一个拥有Administrators权限的帐户只在需要的时候使用。

可以让管理员使用“RunAS”命令来执行一些需要特权才能作的一些工作，以方便管理

3.

更改D:

\WINDOWS\Help\iisHelp\common\404b.htm内容改为

这样，出错了自动转到首页

4.运行防毒软件

我见过的Win2000/Nt服务器从来没有见到有安装了防毒软件的，其实这一点非常重要。

一些好的杀毒软件不仅能杀掉一些著名的病毒，还能查杀大量木马和后门程序。

这样的话，“黑客”们使用的那些有名的木马就毫无用武之地了。

不要忘了经常升级病毒库,我们推荐mcafree杀毒软件+blackice防火墙

5.本地安全策略和组策略的设置,如果你在设置本地安全策略时设置错了，可以这样恢复成它的默认值.

打开%SystemRoot%\Security文件夹,创建一个"OldSecurity"子目录,将%SystemRoot%\Security下所有的.log文件移到这个新建的子文件夹中.

在%SystemRoot%\Security\database\下找到"Secedit.sdb"安全数据库并将其改名,如改为"Secedit.old".

启动"安全配置和分析"MMC管理单元:

"开始"->"运行"->"MMC",启动管理控制台,"添加/删除管理单元",将"安全配置和分析"管理单元添加上.

右击"安全配置和分析"->"打开数据库",浏览"D:

\WINNT\security\Database"文件夹,输入文件名"secedit.sdb",单击"打开"当系统提示输入一个模板时,选择"SetupSecurity.inf",单击"打开".

如果系统提示"拒绝访问数据库",不管他.

你会发现在"C:

\WINNT\security\Database"子文件夹中重新生成了新的安全数据库,在"D:

\WINNT\security"子文件夹下重新生成了log文件.安全数据库重建成功

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

用模块方式安装php,现想加入mysql的支持,修改了php.ini的extension_dir="c:

\php\ext",

去掉extension=php_mysql.dll前的注释.找到session.save_path=/tmp，

将其改为session.save_path=c:

\php\sessions。

（注：

此时你需要在D:

\php目录下建立sessions文件夹，以存放session。

）

1）Errorhandlingandlogging

在Errorhandlingandlogging部分可以做一些设定。

先找到：

display_errors=On

php缺省是打开错误信息显示的，我们把它改为：

display_errors=Off

关闭错误显示后，php函数执行错误的信息将不会再显示给用户，这样能在一定程度上防止攻击者从

错误信息得知脚本的物理位置，以及一些其它有用的信息，起码给攻击者的黑箱检测造成一定的障碍

。

这些错误信息可能对我们自己有用，可以让它写到指定文件中去，那么修改以下：

log_errors=Off

改为：

log_errors=On

以及指定文件，找到下面这行：

;error_log=filename

去掉前面的;注释，把filename改为指定文件，如/usr/local/apache/logs/php_error.log

error_log=/usr/local/apache/logs/php_error.log

这样所有的错误都会写到php_error.log文件里。

2）SafeMode

php的safe_mode功能对很多函数进行了限制或禁用了，能在很大程度解决php的安全问题。

在

SafeMode部分找到：

safe_mode=Off

改为：

safe_mode=On

这样就打开了safe_mode功能。

Win2003Server手动设置全攻略

最近自己正式安装了Windows2003server，感觉很多地方要手动设置后才好用，以下将记录我的DIY的心得，希望对大家有点用处！

　　1、禁用InternetExplorerEnhancedSecurity和禁止安全询问框的出现

　　在IE工具选项中自定义设置IE的安全级别。

在”安全“（Security）选项卡上拉动动条把Internet区域安全设置为”中“（Medium）或“中低”。

自定义设置中将有关的选择“提示”修改为选择“禁止”或“启用“；　　

　　2、禁用关机*跟踪，即禁止关机时出现的关机理由选择项：

　　如果是中文版，则：

开始->运行->gpedit.msc->计算机配置->管理模板->系统->显示关机*跟踪->禁用。

　　如果是英文版，则：

开始->运行->gpedit.msc->Computerconfiguration->AdministrativeTemplates->System->Displayshutdowneventtracker->设置为Disable；

　　3、启用硬件和DirectX加速

　　★硬件加速：

桌面点击右键－－属性（Properties）->设置（Settings）－－高级（Advanced）－－疑难解答（Troubleshoot）。

把该页面的硬件加速动条拉到“完全”（Full），最好点击“确定”（OK）保存退出。

这期间可能出现一瞬的黑屏是完全正常。

　　★DirectX加速：

打开“开始”（Start）->“运行”（Run），键入“dxdiag”并回车打开“DirectX诊断工具”（DirectXTools），在“显示”（Display）页面，点击DirectDraw,Direct3DandAGPTexture加速三个按钮启用加速。

把“声音的硬件加速级别”（HardwareSoundAccelerationLevel）动条拉到“完全加速”（FullAcceleration）；

　　4、启用声卡：

　　系统安装后，声卡是禁止状态，所以要在控制面板->声音->启用，重启之后再设置它在任务栏显示。

　　现在我们还要启用音频加速。

在运行中输入services.msc然后按回车，会出现services窗口，找到windowsaudio服务，双击打开，把启动类型设置为automatic，点击apply，然后点击start启动该服务。

　　最后我们还要使用directx诊断工具，在运行中输入dxdiag并回车，打开sound选项卡，把hardwaresoundaccelerationlevel的滑块拖动到full（见第三条）；

　　　5、如何启用asp支持：

　　windowsserver2003默认安装，是不安装iis6的，需要另外安装。

安装完iis6，还需要单独开启对于asp的支持。

方法是：

　　控制面板->管理工具->web服务扩展->activeserverpages->允许；其他很多服务启动方法类似……　　

　　6、禁用错误报告：

　　右键点击“我的电脑”（MyComputer）－－属性（Properties）－－高级（Advanced）－－点击“错误报告”（ErrorReporting）按钮，在出现的窗口中把“禁用错误报告”（DisableErrorReporting）选上并复选“但在发生严重错误时通知我”（But,notifymewhencriticalerrorsoccur.）；　　

　　7、调整虚拟内存：

　　一些朋友经常会对关机和注销缓慢感到束手无策，解决办法就是禁用虚拟内存，这样你的注销和关机时间可能会加快很多。

右键点击“我的电脑”（MyComputer）－－属性（Properties）－－高级（Advanced）－－性能（Performance）－－设置（Setting）－－高级（Advanced），点击“虚拟内存”（Virtualmemory）部分的“更改”（Change），然后在出现的窗口选择“无分页文件”。

重启系统即可；　　

　　8、禁用系统服务Qos：

　　开始菜单→运行→键入gpedit.msc，出现“组策略”窗口，展开"管理模板”→“网络”，展开"QoS数据包调度程序"，在右边窗右键单击“限制可保留带宽"，在属性中的“设置”中有“限制可保留带宽"，选择“已禁用”，确定即可。

当上述修改完成并应用后，用户在网络连接的属性对话框内的一般属性标签栏中如果能够看到"QoSPacketScheduler（QoS数据包调度程序）"。

说明修改成功，否则说明修改失败；

　　9、更改“我的电脑”默认查看方式：

　　WIN2003默认查看方式为“详细信息”，本人很不喜欢！

　　可以进行更改的：

首先点“查看”—“自己喜欢的方式（我喜欢平铺）；再“工具”—“文件夹选项”—“查看”，单击“应用到所有文件夹。

　　10、浏览器支持GIF：

　　我的系统刚刚装上的时候默认不支持GIF，浏览网站遇到GIF都不能动。

解决方法：

“工具”—“Internet选项”—“高级”—“多媒体”，勾选“播放网页中的动画”，还有下面的关于图片的选项都选上，这里好象都要勾选，比如“播放网页中的声音、视频”，当然要选啦.

[NextPage]

　　11、安装FTP服务：

　　默认情况下未安装FTP服务。

要创建FTP站点，首先必须通过控制面板安装FTP服务。

安装FTP服务时，会创建一个默认FTP站点，您可以使用IIS管理器根据自己的需要来自定义该站点。

　　安装FTP服务

　　>>>从“开始”菜单，单击“控制面板”。

　　>>>双击“添加或删除程序”。

　　>>>在左侧窗格中，单击“添加/删除Windows组件”。

　　>>>从“组件”列表中，单击“应用程序服务器”，然后单击“详细信息”。

　　>>>从“应用程序服务器的子组件”列表中，单击“Internet信息服务（IIS）”，然后单击“详细信息”。

　　>>>从“Internet信息服务（IIS）的子组件”列表中，选中“文件传输协议（FTP）服务”复选框。

　　>>>单击“确定”。

　　>>>单击“下一步”。

您可能被提示插入WindowsServer2003家族光盘或输入网络安装路径。

　　>>>单击“完成”。

　　9、更改“我的电脑”默认查看方式：

　　WIN2003默认查看方式为“详细信息”，本人很不喜欢！

　　可以进行更改的：

首先点“查看”—“自己喜欢的方式（我喜欢平铺）；再“工具”—“文件夹选项”—“查看”，单击“应用到所有文件夹。

　　10、浏览器支持GIF：

　　我的系统刚刚装上的时候默认不支持GIF，浏览网站遇到GIF都不能动。

解决方法：

“工具”—“Internet选项”—“高级”—“多媒体”，勾选“播放网页中的动画”，还有下面的关于图片的选项都选上，这里好象都要勾选，比如“播放网页中的声音、视频”，当然要选啦.　　

　　11、安装FTP服务：

　　默认情况下未安装FTP服务。

要创建FTP站点，首先必须通过控制面板安装FTP服务。

安装FTP服务时，会创建一个默认FTP站点，您可以使用IIS管理器根据自己的需要来自定义该站点。

　　安装FTP服务

　　>>>从“开始”菜单，单击“控制面板”。

　　>>>双击“添加或删除程序”。

　　>>>在左侧窗格中，单击“添加/删除Windows组件”。

　　>>>从“组件”列表中，单击“应用程序服务器”，然后单击“详细信息”。

　　>>>从“应用程序服务器的子组件”列表中，单击“Internet信息服务（IIS）”，然后单击“详细信息”。

　　>>>从“Internet信息服务（IIS）的子组件”列表中，选中“文件传输协议（FTP）服务”复选框。

　　>>>单击“确定”。

　　>>>单击“下一步”。

您可能被提示插入WindowsServer2003家族光盘或输入网络安装路径。

　　>>>单击“完成”。

[NextPage]

　　16、降低出错等待时间

　　要是不小心，应用程序操作出现错误时，可能需要等待很长时间，系统才能做出应答；为了提高操作效率，你可以按下面方法，来降低应用程序在出错时，需要等待的时间：

打开系统的运行对话框，输入注册表编辑命令“regedit”，打开注册表编辑器；用鼠标依次展开HKEY_CURRENT_USER\ControlPanel\Desktop子键，在对应的右边子窗口中，用鼠标双击“HungAppTimeout”选项，在随后出现的数值框中，你会发现系统缺省的等待时间为5000豪秒，你可以根据需要将其设置为500，或更低；设置完毕后，关闭注册表就可以使设置生效了。

　　17、不输密码来