1、windows 系统目前最完善最完美的安全权限方案服务器安全设置 IIS6.0的安装 开始菜单控制面板添加或删除程序添加/删除Windows组件 应用程序 ASP.NET(可选) |启用网络 COM 访问(必选) |Internet 信息服务(IIS)Internet 信息服务管理器(必选) |公用文件(必选) |万维网服务Active Server pages(必选) |Internet 数据连接器(可选) |WebDAV 发布(可选) |万维网服务(必选) |在服务器端的包含文件(可选) 在”网络连接”里,把不需要的协议和服务都删掉,这里只安装了基本的Internet协议(TCP/IP)和
2、Microsoft网络客户端。在高级tcp/ip设置里-NetBIOS设置禁用tcp/IP上的NetBIOS(S)。在“本地连接”打开Windows 2003 自带的防火墙,可以屏蔽端口,基本达到一个IPSec的功能,只保留有用的端口,比如远程(3389)和 Web(80),Ftp(21),邮件服务器(25,110),https(443),SQL(1433) IIS (Internet信息服务器管理器) 在主目录选项设置以下读 允许写 不允许脚本源访问 不允许目录浏览 建议关闭记录访问 建议关闭索引资源 建议关闭执行权限 推荐选择 “纯脚本” 建议使用W3C扩充日志文件格式,每天记录客户IP地
3、址,用户名,服务器端口,方法,URI字根,HTTP状态,用户代理,而且每天均要审查日志。(最好不要使用缺省的目录,建议更换一个记日志的路径,同时设置日志的访问权限,只允许管理员和system为Full Control)。 在IIS6.0 -本地计算机 - 属性- 允许直接编辑配置数据库在IIS中 属性-主目录-配置-选项中。 在网站把”启用父路径“前面打上勾 在IIS中的Web服务扩展中选中Active Server Pages,点击“允许” 优化IIS6应用程序池 1、取消“在空闲此段时间后关闭工作进程(分钟)” 2、勾选“回收工作进程(请求数目)” 3、取消“快速失败保护” 解决SERVE
4、R 2003不能上传大附件的问题 在“服务”里关闭 iis admin service 服务。 找到 windowssystem32inetsrv 下的 metabase.xml 文件。 找到 ASPMaxRequestEntityAllowed 把它修改为需要的值(可修改为20M即:20480000) 存盘,然后重启 iis admin service 服务。 解决SERVER 2003无法下载超过4M的附件问题 在“服务”里关闭 iis admin service 服务。 找到 windowssystem32inetsrv 下的 metabase.xml 文件。 找到 AspBufferi
5、ngLimit 把它修改为需要的值(可修改为20M即:20480000) 存盘,然后重启 iis admin service 服务。 超时问题 解决大附件上传容易超时失败的问题 在IIS中调大一些脚本超时时间,操作方法是: 在IIS的“站点或虚拟目录”的“主目录”下点击“配置”按钮, 设置脚本超时时间为:300秒 (注意:不是Session超时时间)解决通过WebMail写信时间较长后,按下发信按钮就会回到系统登录界面的问题 适当增加会话时间(Session)为 60分钟。在IIS站点或虚拟目录属性的“主目录”下点击“配置-选项”, 就可以进行设置了(Windows 2003默认为20分钟)
6、修改3389远程连接端口HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcpPortNumber=dword:0000端口号HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-TcpPortNumber=dword:0000端口号设置这两个注册表的权限, 添加“IUSR”的完全拒绝 禁止显示端口号 本地策略-用户权限分配 关闭系统:只有Administrators组、其它全部删除。 通过终端
7、服务允许登陆:只加入Administrators,Remote Desktop Users组,其他全部删除 在安全设置里 本地策略-用户权利分配,通过终端服务拒绝登陆 加入ASPNET IUSR_ IWAM_ NETWORK SERVICE (注意不要添加进user组和administrators组 添加进去以后就没有办法远程登陆了) 在安全设置里 本地策略-安全选项网络访问:可匿名访问的共享; 网络访问:可匿名访问的命名管道; 网络访问:可远程访问的注册表路径; 网络访问:可远程访问的注册表路径和子路径; 将以上四项全部删除 不允许 SAM 账户的匿名枚举 更改为已启用 不允许 SAM 账户
8、和共享的匿名枚举 更改为已启用 ; 网络访问: 不允许存储网络身份验证的凭据或 .NET Passports 更改为已启用 ; 网络访问.限制匿名访问命名管道和共享,更改为已启用 ;将以上四项通通设为“已启用” 计算机管理的本地用户和组禁用终端服务(TsInternetUser), SQL服务(SQLDebugger), SUPPORT_388945a0 禁用不必要的服务sc config AeLookupSvc start= AUTO sc config Alerter start= DISABLED sc config ALG start= DISABLED sc config AppMg
9、mt start= DEMAND sc config aspnet_state start= DEMAND sc config AudioSrv start= DISABLED sc config BITS start= DEMAND sc config Browser start= DEMAND sc config CiSvc start= DISABLED sc config ClipSrv start= DISABLED sc config clr_optimization_v2.0.50727_32 start= DEMAND sc config COMSysApp start= DE
10、MAND sc config CryptSvc start= AUTO sc config DcomLaunch start= AUTO sc config Dfs start= DEMAND sc config Dhcp start= AUTO sc config dmadmin start= DEMAND sc config dmserver start= AUTO sc config Dnscache start= AUTO sc config ERSvc start= DISABLED sc config Eventlog start= AUTO sc config EventSyst
11、em start= AUTO sc config helpsvc start= DISABLED sc config HidServ start= AUTO sc config HTTPFilter start= DEMAND sc config IISADMIN start= AUTO sc config ImapiService start= DISABLED sc config IsmServ start= DISABLED sc config kdc start= DISABLED sc config lanmanworkstation start= DISABLED sc confi
12、g LicenseService start= DISABLED sc config LmHosts start= DISABLED sc config Messenger start= DISABLED sc config mnmsrvc start= DISABLED sc config MSDTC start= AUTO sc config MSIServer start= DEMAND sc config MSSEARCH start= AUTO sc config MSSQLSERVER start= AUTO sc config MSSQLServerADHelper start=
13、 DEMAND sc config NetDDE start= DISABLED sc config NetDDEdsdm start= DISABLED sc config Netlogon start= DEMAND sc config Netman start= DEMAND sc config Nla start= DEMAND sc config NtFrs start= DEMAND sc config NtLmSsp start= DEMAND sc config NtmsSvc start= DEMAND sc config PlugPlay start= AUTO sc co
14、nfig PolicyAgent start= AUTO sc config ProtectedStorage start= AUTO sc config RasAuto start= DEMAND sc config RasMan start= DEMAND sc config RDSessMgr start= DEMAND sc config RemoteAccess start= DISABLED sc config RemoteRegistry start= DISABLED sc config RpcLocator start= DEMAND sc config RpcSs star
15、t= AUTO sc config RSoPProv start= DEMAND sc config sacsvr start= DEMAND sc config SamSs start= AUTO sc config SCardSvr start= DEMAND sc config Schedule start= AUTO sc config seclogon start= AUTO sc config SENS start= AUTO sc config SharedAccess start= DISABLED sc config ShellHWDetection start= AUTO
16、sc config SMTPSVC start= AUTO sc config Spooler start= DISABLED sc config SQLSERVERAGENT start= AUTO sc config stisvc start= DISABLED sc config swprv start= DEMAND sc config SysmonLog start= AUTO sc config TapiSrv start= DEMAND sc config TermService start= AUTO sc config Themes start= DISABLED sc co
17、nfig TlntSvr start= DISABLED sc config TrkSvr start= DISABLED sc config TrkWks start= AUTO sc config Tssdis start= DISABLED sc config UMWdf start= DEMAND sc config UPS start= DEMAND sc config vds start= DEMAND sc config VSS start= DEMAND sc config W32Time start= AUTO sc config W3SVC start= AUTO sc c
18、onfig WebClient start= DISABLED sc config WinHttpAutoProxySvc start= DEMAND sc config winmgmt start= AUTO sc config WmdmPmSN start= DEMAND sc config Wmi start= DEMAND sc config WmiApSrv start= DEMAND sc config wuauserv start= DISABLED sc config WZCSVC start= DISABLED sc config xmlprov start= DEMAND
19、删除默认共享 echo off: 先列举存在的分区,然后再逐个删除以分区名命名的共享;: 通过修改注册表防止admin$共享在下次开机时重新加载; : IPC$共享需要administritor权限才能成功删除:title 默认共享删除器color 1fecho. echo - echo. echo 开始删除每个分区下的默认共享. echo. for %a in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) do (if exist %a:nul (net share %a$ /deletenul 2nul & echo 成功删除名为 %a
20、$ 的默认共享 | echo 名为 %a$ 的默认共享不存在) )net share admin$ /deletenul 2nul & echo 成功删除名为 admin$ 的默认共享 | echo 名为 admin$ 的默认共享不存在echo.echo - stop Server /ynul 2nul & echo Server服务已停止.net start Servernul 2nul & echo Server服务已启动.echo. echo - echo. echo 修改注册表以更改系统默认设置. echo. echo 正在创建注册表文件. echo Windows Registry
21、 Editor Version 5.00 c:delshare.reg : 通过注册表禁止Admin$共享,以防重启后再次加载echo HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters c:delshare.regecho AutoShareWks=dword:00000000 c:delshare.reg echo AutoShareServer=dword:00000000 c:delshare.reg : 删除IPC$共享,本功能需要administritor权限才能成功删除echo HKEY_
22、LOCAL_MACHINESYSTEMCurrentControlSetControlLsa c:delshare.reg echo restrictanonymous=dword:00000001 c:delshare.regecho 正在导入注册表文件以更改系统默认设置. regedit /s c:delshare.reg del c:delshare.reg & echo 临时文件已经删除. echo. echo - echo. echo 程序已经成功删除所有的默认共享. echo. echo 按任意键退出.pausenul 打开C:Windows目录 搜索以下DOS命令文件NET.EX
23、E,NET1.EXE,CMD.EXE,FTP.EXE,ATTRIB.EXE,CACLS.EXE,AT.EXE,FORMAT.COM,TELNET.EXE,COMMAND.COM,NETSTAT.EXE,REGEDIT.EXE,ARP.EXE,NBTSTAT.EXE把以上命令文件通通只给Administrators 和SYSTEM为完全控制权限 卸载删除具有CMD命令功能的危险组件WSHOM.OCX对应于WScript.Shell组件 HKEY_CLASSES_ROOTWScript.Shell 及 HKEY_CLASSES_ROOTWScript.Shell.1 添加IUSR用户完全拒绝权限S
24、hell32.dll对应于Shell.Application组件HKEY_CLASSES_ROOTShell.Application 及 HKEY_CLASSES_ROOTShell.Application.1 添加IUSR用户完全拒绝权限regsvr32/u C:WindowsSystem32wshom.ocxregsvr32/u C:WindowsSystem32shell32.dllWSHOM.OCXx和Shell32.dl这两个文件只给Administrator完全权限 SQL权限设置1、一个数据库,一个帐号和密码,比如建立了一个数据库,只给PUBLIC和DB_OWNER权限,SA帐号
25、基本是不使用的,因为SA实在是太危险了.2、更改 sa 密码为你都不知道的超长密码,在任何情况下都不要用 sa 这个帐户.3、Web登录时经常出现超时,请重试的问题 如果安装了 SQL Server 时,一定要启用“服务器网络实用工具”中的“多协议”项。4、将有安全问题的SQL扩展存储过程删除. 将以下代码全部复制到SQL查询分析器use master EXEC sp_dropextendedproc xp_cmdshell EXEC sp_dropextendedproc Sp_OACreate EXEC sp_dropextendedproc Sp_OADestroy EXEC sp_dr
26、opextendedproc Sp_OAGetErrorInfo EXEC sp_dropextendedproc Sp_OAGetProperty EXEC sp_dropextendedproc Sp_OAMethod EXEC sp_dropextendedproc Sp_OASetProperty EXEC sp_dropextendedproc Sp_OAStop EXEC sp_dropextendedproc Xp_regaddmultistring EXEC sp_dropextendedproc Xp_regdeletekey EXEC sp_dropextendedproc
27、 Xp_regdeletevalue EXEC sp_dropextendedproc Xp_regenumvalues EXEC sp_dropextendedproc Xp_regread EXEC sp_dropextendedproc Xp_regremovemultistring EXEC sp_dropextendedproc Xp_regwrite drop procedure sp_makewebtask恢复的命令是EXEC sp_addextendedproc 存储过程的名称,dllname =存储过程的dll例如:恢复存储过程xp_cmdshell EXEC sp_adde
28、xtendedproc xp_cmdshell,dllname =xplog70.dll注意,恢复时如果xplog70.dll已删除需要copy一个。 WEB目录权限设置Everyone:顾名思义,所有的用户,这个计算机上的所有用户都属于这个组。最好在C盘以外(如D,E,F.)的根目录建立到三级目录,一级目录只给Administrator权限,二级目录给Administrator完全控制权限和Everyone除了完全控制,更改,取得,其它全部打勾的权限和IUSR只有该文件夹的完全拒绝权限,三级目录是每个客户的虚拟主机网站,给Administrator完全控制权限和Everyone除了完全控制,更改,取得,其它全部打勾的权限即可.C盘的目录权限以表格的方式来说明,简单明了。硬盘或文件夹: C: D: E: F: 类推 主要权限部分:其他权限部分:Administrators完全控制无如果安装了其他运行环境,比如PHP等,则根据PHP的环境功能要求来设置硬盘权限,一般是安装目录加上users读取运行权限就足够了,比如c:php的话,就在根目录权限继承的情况下
copyright@ 2008-2022 冰豆网网站版权所有
经营许可证编号:鄂ICP备2022015515号-1