我寫這篇文章的時候心里很不踏實(shí)，總害怕說錯了會誤了別人的事。呵呵 下面開始說下。

本文更側(cè)重于防止ASP漏洞攻擊，所以服務(wù)器防黑等方面的講解可能略嫌少了點(diǎn)。

基本的服務(wù)器安全設(shè)置

安裝補(bǔ)丁

安裝好操作系統(tǒng)之后，最好能在托管之前就完成補(bǔ)丁的安裝，配置好網(wǎng)絡(luò)后，如果是2000則確定安裝上了SP4，如果是2003，則最好安裝上SP1，然后點(diǎn)擊開始→Windows Update，安裝所有的關(guān)鍵更新。

安裝殺毒軟件

雖然殺毒軟件有時候不能解決問題，但是殺毒軟件避免了很多問題。我一直在用諾頓2004，據(jù)說2005可以殺木馬，不過我沒試過。還有人用瑞星，瑞星是確定可以殺木馬的。更多的人說卡巴司機(jī)好，不過我沒用過。

腳本之家小編補(bǔ)充：殺毒推薦使用mcafee即可。

不要指望殺毒軟件殺掉所有的木馬，因?yàn)锳SP木馬的特征是可以通過一定手段來避開殺毒軟件的查殺。

設(shè)置端口保護(hù)和防火墻、刪除默認(rèn)共享

　　都是服務(wù)器防黑的措施，即使你的服務(wù)器上沒有IIS，這些安全措施都最好做上。這是阿江的盲區(qū)，大概知道屏蔽端口用本地安全策略，不過這方面的東西網(wǎng)上攻略很多，大家可以擻出來看看，晚些時候我或者會復(fù)制一些到我的網(wǎng)站上。
　　權(quán)限設(shè)置
　　阿江感覺這是防止ASP漏洞攻擊的關(guān)鍵所在，優(yōu)秀的權(quán)限設(shè)置可以將危害減少在一個IIS站點(diǎn)甚至一個虛擬目錄里。我這里講一下原理和設(shè)置思路，聰明的朋友應(yīng)該看完這個就能解決問題了。

權(quán)限設(shè)置的原理

　　WINDOWS用戶，在WINNT系統(tǒng)中大多數(shù)時候把權(quán)限按用戶(組)來劃分。在【開始→程序→管理工具→計(jì)算機(jī)管理→本地用戶和組】管理系統(tǒng)用戶和用戶組。
　　NTFS權(quán)限設(shè)置，請記住分區(qū)的時候把所有的硬盤都分為NTFS分區(qū)，然后我們可以確定每個分區(qū)對每個用戶開放的權(quán)限?！疚募?夾)上右鍵→屬性→安全】在這里管理NTFS文件(夾)權(quán)限。
　　IIS匿名用戶，每個IIS站點(diǎn)或者虛擬目錄，都可以設(shè)置一個匿名訪問用戶(現(xiàn)在暫且把它叫“IIS匿名用戶”)，當(dāng)用戶訪問你的網(wǎng)站的.ASP文件的時候，這個.ASP文件所具有的權(quán)限，就是這個“IIS匿名用戶”所具有的權(quán)限。
　　權(quán)限設(shè)置的思路
　　要為每個獨(dú)立的要保護(hù)的個體(比如一個網(wǎng)站或者一個虛擬目錄)創(chuàng)建一個系統(tǒng)用戶，讓這個站點(diǎn)在系統(tǒng)中具有惟一的可以設(shè)置權(quán)限的身份。
　　在IIS的【站點(diǎn)屬性或者虛擬目錄屬性→目錄安全性→匿名訪問和驗(yàn)證控制→編輯→匿名訪問→編輯】填寫剛剛創(chuàng)建的那個用戶名。
　　設(shè)置所有的分區(qū)禁止這個用戶訪問，而剛才這個站點(diǎn)的主目錄對應(yīng)的那個文件夾設(shè)置允許這個用戶訪問(要去掉繼承父權(quán)限，并且要加上超管組和SYSTEM組)。
　　這樣設(shè)置了之后，這個站點(diǎn)里的ASP程序就只有當(dāng)前這個文件夾的權(quán)限了，從探針上看，所有的硬盤都是紅叉叉。
　　我的設(shè)置方法
　　我是先創(chuàng)建一個用戶組，以后所有的站點(diǎn)的用戶都建在這個組里，然后設(shè)置這個組在各個分區(qū)沒有權(quán)限或者完全拒絕。然后再設(shè)置各個IIS用戶在各在的文件夾里的權(quán)限。
　　因?yàn)楸容^多，所以我很不想寫，其實(shí)知道了上面的原理，大多數(shù)人都應(yīng)該懂了，除非不知道怎么添加系統(tǒng)用戶和組，不知道怎么設(shè)置文件夾權(quán)限，不知道IIS站點(diǎn)屬性在那里。真的有那樣的人，你也不要著急，要沉住氣慢慢來，具體的方法其實(shí)自己也能摸索出來的，我就是這樣。當(dāng)然，如果我有空，我會寫我的具體設(shè)置方法，很傲能還會配上圖片。

改名或卸載不安全組件

　不安全組件不驚人
　　我的在阿江探針1.9里加入了不安全組件檢測功能(其實(shí)這是參考7i24的代碼寫的，只是把界面改的友好了一點(diǎn)，檢測方法和他是基本一樣的)，這個功能讓很多站長吃驚不小，因?yàn)樗l(fā)現(xiàn)他的服務(wù)器支持很多不安全組件。
　　其實(shí)，只要做好了上面的權(quán)限設(shè)置，那么FSO、XML、strem都不再是不安全組件了，因?yàn)樗麄兌紱]有跨出自己的文件夾或者站點(diǎn)的權(quán)限。那個歡樂時光更不用怕，有殺毒軟件在還怕什么時光啊。
　　最危險的組件是WSH和Shell，因?yàn)樗梢赃\(yùn)行你硬盤里的EXE等程序，比如它可以運(yùn)行提升程序來提升SERV-U權(quán)限甚至用SERVU來運(yùn)行更高權(quán)限的系統(tǒng)程序。
　　謹(jǐn)慎決定是否卸載一個組件
　　組件是為了應(yīng)用而出現(xiàn)的，而不是為了不安全而出現(xiàn)的，所有的組件都有它的用處，所以在卸載一個組件之前，你必須確認(rèn)這個組件是你的網(wǎng)站程序不需要的，或者即使去掉也不關(guān)大體的。否則，你只能留著這個組件并在你的ASP程序本身上下工夫，防止別人進(jìn)來，而不是防止別人進(jìn)來后SHELL。
　　比如，F(xiàn)SO和XML是非常常用的組件之一，很多程序會用到他們。WSH組件會被一部分主機(jī)管理程序用到，也有的打包程序也會用到。

一、操作系統(tǒng)配置

   　1.安裝操作系統(tǒng)(NTFS分區(qū))后，裝殺毒軟件，我選用的是卡巴。
　　2.安裝系統(tǒng)補(bǔ)丁。掃描漏洞全面殺毒
　　3.刪除Windows Server 2003默認(rèn)共享
　　首先編寫如下內(nèi)容的批處理文件：

　 代碼如下:

@echo off
net share C$ /del
net share D$ /del
net share E$ /del
net share F$ /del
net share admin$ /del

　　文件名為delshare.bat，放到啟動項(xiàng)中，每次開機(jī)時會自動刪除共享。
　　4.禁用IPC連接
　　打開CMD后輸入如下命令即可進(jìn)行連接：net use\\ip\ipc$ "password" /user:"usernqme"。我們可以通過修改注冊表來禁用IPC連接。打開注冊表編輯器。找到如下組建HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa中的restrictanonymous子鍵，將其值改為1即可禁用IPC連接。
　　5.刪除"網(wǎng)絡(luò)連接"里的協(xié)議和服務(wù)
　　在"網(wǎng)絡(luò)連接"里，把不需要的協(xié)議和服務(wù)都刪掉，這里只安裝了基本的Internet協(xié)議(TCP/IP)，同時在高級tcp/ip設(shè)置里--"NetBIOS"設(shè)置"禁用tcp/IP上的NetBIOS(S)"。
　　6.啟用windows連接防火墻，只開放web服務(wù)(80端口)。
　　注：在2003系統(tǒng)里，不推薦用TCP/IP篩選里的端口過濾功能，譬如在使用FTP服務(wù)器的時候，如果僅僅只開放21端口，由于FTP協(xié)議的特殊性，在進(jìn)行FTP傳輸?shù)臅r候，由于FTP 特有的Port模式和Passive模式，在進(jìn)行數(shù)據(jù)傳輸?shù)臅r候，需要動態(tài)的打開高端口，所以在使用TCP/IP過濾的情況下，經(jīng)常會出現(xiàn)連接上后無法列出目錄和數(shù)據(jù)傳輸?shù)膯栴}。所以在2003系統(tǒng)上增加的windows連接防火墻能很好的解決這個問題，所以都不推薦使用網(wǎng)卡的TCP/IP過濾功能。
7.磁盤權(quán)限
　　系統(tǒng)盤只給 Administrators 和 SYSTEM 權(quán)限
　　系統(tǒng)盤\Documents and Settings 目錄只給 Administrators 和 SYSTEM 權(quán)限;
　　系統(tǒng)盤\Documents and Settings\All Users 目錄只給 Administrators 和 SYSTEM 權(quán)限;
　　系統(tǒng)盤\Documents and Settings\All Users\Application Data目錄只給 Administrators 和 SYSTEM 權(quán)限;
　　系統(tǒng)盤\Windows 目錄只給 Administrators 、 SYSTEM 和 users 權(quán)限;
　　系統(tǒng)盤\Windows\System32\net.exe;net1.exe;cmd.exe;command.exeftp.exe;netstat.exe;regedit.exe;at.exe;attrib.exe;cacls.exe 文件只給 Administrators 權(quán)限(如果覺得沒用就刪了它，比如我刪了cmd.exe，command.exe，嘿嘿。);
　　其它盤，有安裝程序運(yùn)行的(我的sql server 2000 在D盤)給 Administrators 和 SYSTEM 權(quán)限，無只給 Administrators 權(quán)限。
8.本地安全策略設(shè)置
　　開始菜單—>管理工具—>本地安全策略
　　A、本地策略——>審核策略 (可選用)
　　審核策略更改 成功 失敗
　　審核登錄事件 成功 失敗
　　審核對象訪問 失敗
　　審核過程跟蹤 無審核
　　審核目錄服務(wù)訪問 失敗
　　審核特權(quán)使用 失敗
　　審核系統(tǒng)事件 成功 失敗
　　審核賬戶登錄事件 成功 失敗
　　審核賬戶管理 成功 失敗
　　B、本地策略——>用戶權(quán)限分配
　　關(guān)閉系統(tǒng)：只有Administrators組、其它全部刪除。
　　通過終端服務(wù)拒絕登陸：加入Guests、Users組
　　通過終端服務(wù)允許登陸：只加入Administrators組，其他全部刪除
　　C、本地策略——>安全選項(xiàng)
　　交互式登陸：不顯示上次的用戶名 啟用
　　網(wǎng)絡(luò)訪問：可匿名訪問的共享 全部刪除
　　網(wǎng)絡(luò)訪問：可匿名訪問的命名管道 全部刪除
　　**網(wǎng)絡(luò)訪問：可遠(yuǎn)程訪問的注冊表路徑 全部刪除
　　**網(wǎng)絡(luò)訪問：可遠(yuǎn)程訪問的注冊表路徑和子路徑 全部刪除
　　帳戶：重命名來賓帳戶 重命名一個帳戶
　　(下面一項(xiàng)更改可能導(dǎo)致sqlserver不能使用)
　　帳戶：重命名系統(tǒng)管理員帳戶 重命名一個帳戶

二、iis配置(包括網(wǎng)站所在目錄)

　　1.新建自己的網(wǎng)站(*注意：在應(yīng)用程序設(shè)置中執(zhí)行權(quán)限設(shè)為無，在需要的目錄里再更改)，目錄不在系統(tǒng)盤
　　注：為支持asp.net,將系統(tǒng)盤\Inetpub\wwwroot中的aspnet_client文件夾復(fù)制到web根目錄下，并給web根目錄加上users權(quán)限。
　　2.刪掉系統(tǒng)盤\inetpub目錄
　　3.刪除不用的映射
　　在"應(yīng)用程序配置"里，只給必要的腳本執(zhí)行權(quán)限：ASP、ASPX。
　　4.為網(wǎng)站創(chuàng)建系統(tǒng)用戶
　　A.例如：網(wǎng)站為sinesafe.cn，新建用戶sinesafe權(quán)限為guests。然后在web站點(diǎn)屬性里"目錄安全性"---"身份驗(yàn)證和訪問控制"里設(shè)置匿名訪問使用下列Windows 用戶帳戶"的用戶名和密碼都使用sinesafe.cn這個用戶的信息。(用戶名：主機(jī)名\sinesafe.cn)
　　B.給網(wǎng)站所在的磁盤目錄添加用戶sinesafe，只給讀取和寫入的權(quán)限。
　　5.設(shè)置應(yīng)用程及子目錄的執(zhí)行權(quán)限
　　A.主應(yīng)用程序目錄中的"屬性--應(yīng)用程序設(shè)置--執(zhí)行權(quán)限"設(shè)為純腳本
　　B.在不需要執(zhí)行asp、asp.net的子目錄中，例如上傳文件目錄，執(zhí)行權(quán)限設(shè)為無
　　6.應(yīng)用程序池設(shè)置
　　我的網(wǎng)站使用的是默認(rèn)應(yīng)用程序池。設(shè)置"內(nèi)存回收"：這里的最大虛擬內(nèi)存為：1000M，最大使用的物理內(nèi)存為256M，這樣的設(shè)置幾乎是沒限制這個站點(diǎn)的性能的。
　　回收工作進(jìn)程(分鐘)：1440
　　在下列時間回收工作進(jìn)程：06:00

三、sql server 2000 配置

　　1.密碼設(shè)置
　　我編的程序用了sa用戶，密碼設(shè)置超復(fù)雜(自己記不住，保存在手機(jī)里，嘿嘿)。
　　2.刪除危險的擴(kuò)展存儲過程和相關(guān).dll。
　　3.Xp_cmdshell(這個肯定首當(dāng)其沖，不用說了)、Xp_regaddmultistring、Xp_regdeletekey、Xp_regdeletevalue、Xp_regenumvalues、Xp_regread、Xp_regwrite、Xp_regremovemultistring
　　漏洞一直很多前段時間我自己的服務(wù)器就出現(xiàn)了一個sql的臨時儲存過程漏洞漏洞擴(kuò)展：xp_dirtree儲存過程。
　　事前：最近發(fā)現(xiàn)一個漏洞是sql服務(wù)器造成的
　　前幾天正好沒有什么事情，就用阿d的sql注入工具對自己服務(wù)器的網(wǎng)站進(jìn)行注入，偶然發(fā)現(xiàn)了使用mssql的網(wǎng)站浸染可以利用sql注入的形式得到整個服務(wù)器上所有目錄(我的服務(wù)器作了安全設(shè)置的)依然可以看見，然后在服務(wù)器上安裝了一個抓包工具對sql server進(jìn)行抓包發(fā)現(xiàn)，使用工具連接sql漏洞xp_dirtree讀取目錄，可獲得整個服務(wù)器目錄，如列出c盤目錄他會把你c盤下的所有目錄列出來，這樣是很不安全的，目前是只可以查處目錄上穿東西，大家可以設(shè)想一下，如果我隨意修改一個boot.ini覆蓋了c盤的boot.ini是一個什么概念，呵呵首先可以導(dǎo)致服務(wù)其癱瘓，無法讀取系統(tǒng)
　　解決方案：刪除xp_dirtree，命令是sp_dropextendedproc 'xp_dirtree'
　　刪除了以上的那個組建您在使用阿d或者任何的sql注入工具都是白搭
　　在這里也給大家提供一些其他sql危險的儲存過程
　　建議刪除
　　[注意：所有刪除sql儲存過程的操作必須在mssql查詢分析器里操作，下面哪些前面的是儲存過程的名字后面是刪除儲存過程的命令]
　　先來列出危險的內(nèi)置存儲過程：
　　 代碼如下:

　　xp_cmdshell sp_dropextendedproc 'xp_cmdshell'
　　xp_regaddmultistring sp_dropextendedproc 'xp_regaddmultistring'
　　xp_regdeletekey sp_dropextendedproc 'xp_regdeletekey'
　　xp_regdeletevalue sp_dropextendedproc 'xp_regdeletevalue'
　　xp_regenumkeys sp_dropextendedproc 'xp_regenumkeys'
　　xp_regenumvalues sp_dropextendedproc 'xp_regenumvalues'
　　xp_regread sp_dropextendedproc 'xp_regread'
　　xp_regremovemultistring sp_dropextendedproc 'xp_regremovemultistring'
　　xp_regwrite sp_dropextendedproc 'xp_regwrite'

　　ActiveX腳本：

　　代碼如下:

　　sp_OACreate sp_dropextendedproc 'sp_OACreate'
　　sp_OADestroy sp_dropextendedproc 'sp_OADestroy'
　　sp_OAMethod sp_dropextendedproc 'sp_OAMethod'
　　sp_OAGetProperty sp_dropextendedproc 'sp_OAGetProperty'
　　sp_OAGetErrorInfo sp_dropextendedproc 'sp_OAGetErrorInfo'
　　sp_OAStop sp_dropextendedproc 'sp_OAStop'

四、其它設(shè)置(可選用，本人可不負(fù)責(zé))

　　1.任何用戶密碼都要復(fù)雜，不需要的用戶---刪。
　　2.防止SYN洪水攻擊
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
　　新建DWORD值，名為SynAttackProtect，值為2
　　3.禁止響應(yīng)ICMP路由通告報文
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface
　　新建DWORD值，名為PerformRouterDiscovery 值為0
　　4.防止ICMP重定向報文的攻擊
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
　　將EnableICMPRedirects 值設(shè)為0
　　5.不支持IGMP協(xié)議
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
　　新建DWORD值，名為IGMPLevel 值為0
　　6.禁用DCOM：
　　運(yùn)行中輸入 Dcomcnfg.exe。 回車， 單擊“控制臺根節(jié)點(diǎn)”下的“組件服務(wù)”。 打開“計(jì)算機(jī)”子文件夾。
　　對于本地計(jì)算機(jī)，請以右鍵單擊“我的電腦”，然后選擇“屬性”。選擇“默認(rèn)屬性”選項(xiàng)卡。
　　清除“在這臺計(jì)算機(jī)上啟用分布式 COM”復(fù)選框。
　　7.卸載不安全組件。
　　regsvr32/u C:\Windows\System32\wshom.ocx
　　regsvr32/u C:\Windows\System32\shell32.dll 在CMD 下執(zhí)行以上兩個命令。

　　五.防止Serv-U權(quán)限提升

　　其實(shí)，注銷了Shell組件之后，侵入者運(yùn)行提升工具的可能性就很小了，但是prel等別的腳本語言也有shell能力，為防萬一，還是設(shè)置一下為好。
　　用Ultraedit打開ServUDaemon.exe查找Ascii：LocalAdministrator，和[email=#l@$ak#.lk;0@P]#l@$ak#.lk;0@P[/email]，修改成等長度的其它字符就可以了，ServUAdmin.exe也一樣處理。
　　另外注意設(shè)置Serv-U所在的文件夾的權(quán)限，不要讓IIS匿名用戶有讀取的權(quán)限，否則人家下走你修改過的文件，照樣可以分析出你的管理員名和密碼。

現(xiàn)在不推薦使用serv_u,推薦使用免費(fèi)又安全的 FTP服務(wù)器 FileZilla Server

利用ASP漏洞攻擊的常見方法及防范

　　一般情況下，黑客總是瞄準(zhǔn)論壇等程序，因?yàn)檫@些程序都有上傳功能，他們很容易的就可以上傳ASP木馬，即使設(shè)置了權(quán)限，木馬也可以控制當(dāng)前站點(diǎn)的所有文件了。另外，有了木馬就然后用木馬上傳提升工具來獲得更高的權(quán)限，我們關(guān)閉shell組件的目的很大程度上就是為了防止攻擊者運(yùn)行提升工具。
　　如果論壇管理員關(guān)閉了上傳功能，則黑客會想辦法獲得超管密碼，比如，如果你用動網(wǎng)論壇并且數(shù)據(jù)庫忘記了改名，人家就可以直接下載你的數(shù)據(jù)庫了，然后距離找到論壇管理員密碼就不遠(yuǎn)了。
　　作為管理員，我們首先要檢查我們的ASP程序，做好必要的設(shè)置，防止網(wǎng)站被黑客進(jìn)入。另外就是防止攻擊者使用一個被黑的網(wǎng)站來控制整個服務(wù)器，因?yàn)槿绻愕姆?wù)器上還為朋友開了站點(diǎn)，你可能無法確定你的朋友會把他上傳的論壇做好安全設(shè)置。這就用到了前面所說的那一大堆東西，做了那些權(quán)限設(shè)置和防提升之后，黑客就算是進(jìn)入了一個站點(diǎn)，也無法破壞這個網(wǎng)站以外的東西。
　　后記
　　也許有安全高手或者破壞高手看了我的文章會嘲笑或者竊喜，但我想我的經(jīng)驗(yàn)里畢竟還是存在很多正確的地方，有千千萬萬的比我知道的更少的人像我剛開始完全不懂的時候那樣在渴求著這樣一篇文章，所以我必須寫，我不管別人怎么說我，我也不怕后世會有千千萬萬的人對我唾罵，我一個人承擔(dān)下來，我也沒有娘子需要交代的……
　　好了今天的就先到這里，最后送各位站長一句話：最小的權(quán)限，最大的安全! 不要嫌麻煩不要疏忽大意，設(shè)置的越細(xì)心安全指數(shù)越高，我們設(shè)置密碼的時候多設(shè)置一位數(shù)也許就需要黑客多話N天來破解，都是一樣的道理。如果有不明白的或需要我?guī)椭?請聯(lián)系我 我將很熱心的為大家服務(wù)，謝謝大家。

最新評論