web服務器安全防護技巧 web服務器安全防護技巧是什么
CentOs web服務器安全防范經(jīng)驗總結(jié)
1.禁用ROOT權(quán)限登錄。(重要)
10年積累的成都網(wǎng)站設計、成都網(wǎng)站建設經(jīng)驗，可以快速應對客戶對網(wǎng)站的新想法和需求。提供各種問題對應的解決方案。讓選擇我們的客戶得到更好、更有力的網(wǎng)絡服務。我雖然不認識你，你也不認識我。但先網(wǎng)站設計制作后付款的網(wǎng)站建設流程，更有鷹潭免費網(wǎng)站建設讓你可以放心的選擇與我們合作。
2.安全組收縮不使用的端口，建議除443/80以及ssh登錄等必要端口外全部關閉。
3.防火墻收縮不使用的端口，建議除443/80以及ssh登錄端口外全部關閉。
4.更改ssh默認端口22
5.除登錄USER，禁止其他用戶su到root進程，并且ssh開啟秘鑰及密碼雙層驗證登錄。(重要)
6.限制除登錄USER外的其他用戶登錄。
7.安裝DenyHosts，防止ddos攻擊。
8.禁止系統(tǒng)響應任何從外部/內(nèi)部來的ping請求。
9.保持每天自動檢測更新。
10.禁止除root之外的用戶進程安裝軟件及服務，如有需要則root安裝，chown給到用戶。
11.定時給服務器做快照。
12.更改下列文件權(quán)限：
13.限制普通用戶使用特殊命令，比如wget，curl等命令更改使用權(quán)限，一般的挖礦程序主要使用這幾種命令操作。
1.nginx進程運行在最小權(quán)限的子用戶中，禁止使用root用戶啟動nginx。(重要)
2.配置nginx.conf，防范常見漏洞：
1.禁止root權(quán)限啟動apache服務！禁止root權(quán)限啟動apache服務！禁止root權(quán)限啟動apache服務！重要的事情說三遍！因為這個問題被搞了兩次。
2.改掉默認端口。
3.清空webapps下除自己服務外的其他文件，刪除用戶管理文件，防止給木馬留下后門。
4.限制apache啟動進程su到root進程以及ssh登錄，限制啟動進程訪問除/home/xx自身目錄外的其他文件。
5.限制apache啟動進程操作刪除以及編輯文件，一般a+x即可。
1.關閉外網(wǎng)連接，與java/php服務使用內(nèi)網(wǎng)連接。
2.在滿足java/php服務的基礎上，新建最小權(quán)限USER給到服務使用，禁止USER權(quán)限訪問其他項目的庫。
3.root密碼不要與普通USER相同。
4.建議使用云庫，云庫具備實時備份，動態(tài)擴容，數(shù)據(jù)回退等功能，減少操作風險。
1.關閉外網(wǎng)連接，只允許內(nèi)網(wǎng)交互，基本這個做了之后就已經(jīng)穩(wěn)了。
2.禁止root權(quán)限啟動，運行在普通用戶進程里。
3.更改默認端口。
4.添加登錄密碼。
以上是自己做的防范手段，不成熟見解，有一些方案待驗證，不定時更新，歡迎大佬補充！
如何保障Web服務器安全
不但企業(yè)的門戶網(wǎng)站被篡改、資料被竊取，而且還成為了病毒與木馬的傳播者。有些Web管理員采取了一些措施，雖然可以保證門戶網(wǎng)站的主頁不被篡改，但是卻很難避免自己的網(wǎng)站被當作肉雞，來傳播病毒、惡意插件、木馬等等。筆者認為，這很大一部分原因是管理員在Web安全防護上太被動。他們只是被動的防御。為了徹底提高Web服務器的安全，筆者認為，Web安全要主動出擊。具體的來說，需要做到如下幾點。 一、在代碼編寫時就要進行漏洞測試 現(xiàn)在的企業(yè)網(wǎng)站做的越來越復雜、功能越來越強。不過這些都不是憑空而來的，是通過代碼堆積起來的。如果這個代碼只供企業(yè)內(nèi)部使用，那么不會帶來多大的安全隱患。但是如果放在互聯(lián)網(wǎng)上使用的話，則這些為實現(xiàn)特定功能的代碼就有可能成為攻擊者的目標。筆者舉一個簡單的例子。在網(wǎng)頁中可以嵌入SQL代碼。而攻擊者就可以利用這些SQL代碼來發(fā)動攻擊，來獲取管理員的密碼等等破壞性的動作。有時候訪問某些網(wǎng)站還需要有某些特定的控件。用戶在安裝這些控件時，其實就有可能在安裝一個木馬(這可能訪問者與被訪問者都沒有意識到)。 為此在為網(wǎng)站某個特定功能編寫代碼時，就要主動出擊。從編碼的設計到編寫、到測試，都需要認識到是否存在著安全的漏洞。筆者在日常過程中，在這方面對于員工提出了很高的要求。各個員工必須對自己所開發(fā)的功能負責。至少現(xiàn)在已知的病毒、木馬不能夠在你所開發(fā)的插件中有機可乘。通過這層層把關，就可以提高代碼編寫的安全性。 二、對Web服務器進行持續(xù)的監(jiān)控 冰凍三尺、非一日之寒。這就好像人生病一樣，都有一個過程。病毒、木馬等等在攻擊Web服務器時，也需要一個過程?；蛘哒f，在攻擊取得成功之前，他們會有一些試探性的動作。如對于一個采取了一定安全措施的Web服務器，從攻擊開始到取得成果，至少要有半天的時間。如果Web管理員對服務器進行了全天候的監(jiān)控。在發(fā)現(xiàn)有異常行為時，及早的采取措施，將病毒與木馬阻擋在門戶之外。這種主動出擊的方式，就可以大大的提高Web服務器的安全性。 筆者現(xiàn)在維護的Web服務器有好幾十個?，F(xiàn)在專門有一個小組，來全天候的監(jiān)控服務器的訪問。平均每分鐘都可以監(jiān)測到一些試探性的攻擊行為。其中99%以上的攻擊行為，由于服務器已經(jīng)采取了對應的安全措施，都無功而返。不過每天仍然會遇到一些攻擊行為。這些攻擊行為可能是針對新的漏洞，或者采取了新的攻擊方式。在服務器上原先沒有采取對應的安全措施。如果沒有及時的發(fā)現(xiàn)這種行為，那么他們就很有可能最終實現(xiàn)他們的非法目的。相反，現(xiàn)在及早的發(fā)現(xiàn)了他們的攻擊手段，那么我們就可以在他們采取進一步行動之前，就在服務器上關掉這扇門，補上這個漏洞。 筆者在這里也建議，企業(yè)用戶在選擇互聯(lián)網(wǎng)Web服務器提供商的時候，除了考慮性能等因素之外，還要評估服務提供商能否提供全天候的監(jiān)控機制。在Web安全上主動出擊，及時發(fā)現(xiàn)攻擊者的攻擊行為。在他們采取進一步攻擊措施之前，就他們消除在萌芽狀態(tài)。 三、設置蜜罐，將攻擊者引向錯誤的方向 在軍隊中，有時候會給軍人一些偽裝，讓敵人分不清真?zhèn)巍Ｆ鋵嵲诟《?、木馬打交道時，本身就是一場無硝煙的戰(zhàn)爭。為此對于Web服務器采取一些偽裝，也能夠?qū)⒐粽咭蝈e誤的方向。等到供給者發(fā)現(xiàn)自己的目標錯誤時，管理員已經(jīng)鎖定了攻擊者，從而可以及早的采取相應的措施。筆者有時候?qū)⑦@種主動出擊的行為叫做蜜罐效應。簡單的說，就是設置兩個服務器。其中一個是真正的服務器，另外一個是蜜罐?，F(xiàn)在需要做的是，如何將真正的服務器偽裝起來，而將蜜罐推向公眾。讓攻擊者認為蜜罐服務器才是真正的服務器。要做到這一點的話，可能需要從如下幾個方面出發(fā)。 一是有真有假，難以區(qū)分。如果要瞞過攻擊者的眼睛，那么蜜罐服務器就不能夠做的太假。筆者在做蜜罐服務器的時候，80%以上的內(nèi)容都是跟真的服務器相同的。只有一些比較機密的信息沒有防治在蜜罐服務器上。而且蜜罐服務器所采取的安全措施跟真的服務器事完全相同的。這不但可以提高蜜罐服務器的真實性，而且也可以用來評估真實服務器的安全性。一舉兩得。 二是需要有意無意的將攻擊者引向蜜罐服務器。攻擊者在判斷一個Web服務器是否值得攻擊時，會進行評估。如評估這個網(wǎng)站的流量是否比較高。如果網(wǎng)站的流量不高，那么即使被攻破了，也沒有多大的實用價值。攻擊者如果沒有有利可圖的話，不會花這么大的精力在這個網(wǎng)站服務器上面。如果要將攻擊者引向這個蜜罐服務器的話，那么就需要提高這個蜜罐服務器的訪問量。其實要做到這一點也非常的容易。現(xiàn)在有很多用來交互流量的團隊。只要花一點比較小的投資就可以做到這一點。 三是可以故意開一些后門讓攻擊者來鉆。作為Web服務器的管理者，不僅關心自己的服務器是否安全，還要知道自己的服務器有沒有被人家盯上。或者說，有沒有被攻擊的價值。此時管理者就需要知道，自己的服務器一天被攻擊了多少次。如果攻擊的頻率比較高，管理者就高興、又憂慮。高興的是自己的服務器價值還蠻大的，被這么多人惦記著。憂慮的是自己的服務器成為了眾人攻擊的目標。就應該抽取更多的力量來關注服務器的安全。 四、專人對Web服務器的安全性進行測試 俗話說，靠人不如靠自己。在Web服務器的攻防戰(zhàn)上，這一個原則也適用。筆者建議，如果企業(yè)對于Web服務的安全比較高，如網(wǎng)站服務器上有電子商務交易平臺，此時最好設置一個專業(yè)的團隊。他們充當攻擊者的角色，對服務器進行安全性的測試。這個專業(yè)團隊主要執(zhí)行如下幾個任務。 一是測試Web管理團隊對攻擊行為的反應速度。如可以采用一些現(xiàn)在比較流行的攻擊手段，對自己的Web服務器發(fā)動攻擊。當然這個時間是隨機的。預先Web管理團隊并不知道?，F(xiàn)在要評估的是，Web管理團隊在多少時間之內(nèi)能夠發(fā)現(xiàn)這種攻擊的行為。這也是考驗管理團隊全天候跟蹤的能力。一般來說，這個時間越短越好。應該將這個時間控制在可控的范圍之內(nèi)。即使攻擊最后沒有成功，Web管理團隊也應該及早的發(fā)現(xiàn)攻擊的行為。畢竟有沒有發(fā)現(xiàn)、與最終有沒有取得成功，是兩個不同的概念。 二是要測試服務器的漏洞是否有補上。畢竟大部分的攻擊行為，都是針對服務器現(xiàn)有的漏洞所產(chǎn)生的?，F(xiàn)在這個專業(yè)團隊要做的就是，這些已發(fā)現(xiàn)的漏洞是否都已經(jīng)打上了安全補丁或者采取了對應的安全措施。有時候我們都沒有發(fā)現(xiàn)的漏洞是無能為力，但是對于這些已經(jīng)存在的漏洞不能夠放過。否則的話，也太便宜那些攻擊者了。
網(wǎng)站安全防護措施有哪些
1、網(wǎng)站服務器和其他計算機之間設置防火墻，做好安全策略，拒絕外來的惡意程序攻擊，保障網(wǎng)站正常運行。
2、在網(wǎng)站的服務器及工作站上均安裝了相應的防病毒軟件，對計算機病毒、有害電子郵件有整套的防范措施，防止有害信息對網(wǎng)站系統(tǒng)的干擾和破壞。
3、做好訪問日志的留存。網(wǎng)站具有保存三個月以上的系統(tǒng)運行日志和用戶使用日志記錄功能，內(nèi)容包括IP地址及使用情況，主頁維護者、對應的IP地址情況等。
4、交互式欄目具備有IP地址、身份登記和識別確認功能，對非法帖子或留言能做到及時刪除并進行重要信息向相關部門匯報
5、網(wǎng)站信息服務系統(tǒng)建立多機備份機制，一旦主系統(tǒng)遇到故障或受到攻擊導致不能正常運行，可以在最短的時間內(nèi)替換主系統(tǒng)提供服務。
6、關閉網(wǎng)站系統(tǒng)中暫不使用的服務功能，及相關端口，并及時用補丁修復系統(tǒng)漏洞，定期查殺病毒。
7、服務器平時處于鎖定狀態(tài)，并保管好登錄密碼；后臺管理界面設置超級用戶名及密碼，并綁定IP，以防他人登入。
8、網(wǎng)站提供集中式權(quán)限管理，針對不同的應用系統(tǒng)、終端、操作人員，由網(wǎng)站系統(tǒng)管理員設置共享數(shù)據(jù)庫信息的訪問權(quán)限，并設置相應的密碼及口令。不同的操作人員設定不同的用戶名，且定期更換，嚴禁操作人員泄漏自己的口令。對操作人員的權(quán)限嚴格按照崗位職責設定，并由網(wǎng)站系統(tǒng)管理員定期檢查操作人員權(quán)限。
9、公司機房按照電信機房標準建設，內(nèi)有必備的獨立UPS不間斷電源，能定期進行電力、防火、防潮、防磁和防鼠檢查。
保護 IIS web 服務器的15個技巧
通常地，大多數(shù)Web站點的設計目標都是:以最易接受的方式，為訪問者提供即時的信息訪問。在過去的幾年中，越來越多的黑客、病毒和蠕蟲帶來的安全問題嚴重影響了網(wǎng)站的可訪問性，盡管Apache服務器也常常是攻擊者的目標，然而微軟的Internet信息服務(IIS)
Web服務器才是真正意義上的眾矢之的。
高級教育機構(gòu)往往無法在構(gòu)建充滿活力、界面友好的網(wǎng)站還是構(gòu)建高安全性的網(wǎng)站之間找到平衡點。另外，它們現(xiàn)在必須致力于提高網(wǎng)站安全性以面對縮減中的技術(shù)預算
(其實許多它們的私有部門也面臨著相似的局面)。
正因為如此，我在這里將為預算而頭疼的大學IT經(jīng)理們提供一些技巧，以幫助他們保護他們的IIS服務器。雖然主要是面對大學里的IT專業(yè)人員的，但是這些技巧也基本上適用于希望通過少量的財政預算來提高安全性的IIS管理人員。實際上，這里面的一些技巧對擁有強大預算的IIS管理人員也是非常有用的。
首先，開發(fā)一套安全策略
保護Web服務器的第一步是確保網(wǎng)絡管理員清楚安全策略中的每一項制度。如果公司高層沒有把服務器的安全看作是必須被保護的資產(chǎn)，那么保護工作是完全沒有意義的。這項工作需要長期的努力。如果預算不支持或者它不是長期IT戰(zhàn)略的一部分，那么花費大量時間保護服務器安全的管理員將得不到管理層方面的重要支持。
網(wǎng)絡管理員為各方面資源建立安全性的直接結(jié)果是什么呢?一些特別喜歡冒險的用戶將會被關在門外。那些用戶隨后會抱怨公司的管理層，管理層人員又會去質(zhì)問網(wǎng)絡管理員究竟發(fā)生了什么。那么，網(wǎng)絡管理員沒辦法建立支持他們安全工作的文檔，因此，沖突發(fā)生了。
通過標注Web服務器安全級別以及可用性的安全策略，網(wǎng)絡管理員將能夠從容地在不同的操作系統(tǒng)上部署各種軟件工具。
IIS安全技巧
微軟的產(chǎn)品一向是眾矢之的，因此IIS服務器特別容易成為攻擊者的靶子。搞清楚了這一點后，網(wǎng)絡管理員必須準備執(zhí)行大量的安全措施。我將要為你們提供的是一個清單，服務器操作員也許會發(fā)現(xiàn)這是非常有用的。
1.
保持Windows升級:
你必須在第一時間及時地更新所有的升級，并為系統(tǒng)打好一切補丁?？紤]將所有的更新下載到你網(wǎng)絡上的一個專用的服務器上，并在該機器上以Web的形式將文件發(fā)布出來。通過這些工作，你可以防止你的Web服務器接受直接的Internet訪問。
2.
使用IIS防范工具:
這個工具有許多實用的優(yōu)點，然而，請慎重的使用這個工具。如果你的Web服務器和其他服務器相互作用，請首先測試一下防范工具，以確定它已經(jīng)被正確的配置，保證其不會影響Web服務器與其他服務器之間的通訊。
3.
移除缺省的Web站點:
很多攻擊者瞄準inetpub這個文件夾，并在里面放置一些偷襲工具，從而造成服務器的癱瘓。防止這種攻擊最簡單的方法就是在IIS里將缺省的站點禁用。然后，因為網(wǎng)蟲們都是通過IP地址訪問你的網(wǎng)站的
(他們一天可能要訪問成千上萬個IP地址)，他們的請求可能遇到麻煩。將你真實的Web站點指向一個背部分區(qū)的文件夾，且必須包含安全的NTFS權(quán)限。
4.
如果你并不需要FTP和SMTP服務，請卸載它們:
進入計算機的最簡單途徑就是通過FTP訪問。FTP本身就是被設計滿足簡單讀/寫訪問的，如果你執(zhí)行身份認證，你會發(fā)現(xiàn)你的用戶名和密碼都是通過明文的形式在網(wǎng)絡上傳播的。SMTP是另一種允許到文件夾的寫權(quán)限的服務。通過禁用這兩項服務，你能避免更多的黑客攻擊。
5.
有規(guī)則地檢查你的管理員組和服務:
有一天我進入我們的教室，發(fā)現(xiàn)在管理員組里多了一個用戶。這意味著這時某個人已經(jīng)成功地進入了你的系統(tǒng)，他或她可能冷不丁地將炸彈扔到你的系統(tǒng)里，這將會突然摧毀你的整個系統(tǒng)，或者占用大量的帶寬以便黑客使用。黑客同樣趨向于留下一個幫助服務，一旦這發(fā)生了，采取任何措施可能都太晚了，你只能重新格式化你的磁盤，從備份服務器恢復你每天備份的文件。因此，檢查IIS服務器上的服務列表并保持盡量少的服務必須成為你每天的任務。你應該記住哪個服務應該存在，哪個服務不應該存在。Windows
2000
Resource
Kit帶給我們一個有用的程序，叫作tlist.exe，它能列出每種情況運行在svchost
之下的服務。運行這個程序可以尋找到一些你想要知道的隱藏服務。給你一個提示:任何含有daemon幾個字的服務可能不是Windows本身包含的服務，都不應該存在于IIS服務器上。
6.
嚴格控制服務器的寫訪問權(quán)限:
這聽起來很容易，然而，在大學校園里，一個Web服務器實際上是有很多"作者"的。教職人員都希望讓他們的課堂信息能被遠程學生訪問。職員們則希望與其他的職員共享他們的工作信息。服務器上的文件夾可能出現(xiàn)極其危險的訪問權(quán)限。將這些信息共享或是傳播出去的一個途徑是安裝第2個服務器以提供專門的共享和存儲目的，然后配置你的Web服務器來指向共享服務器。這個步驟能讓網(wǎng)絡管理員將Web服務器本身的寫權(quán)限僅僅限制給管理員組。
7.
設置復雜的密碼:
我最近進入到教室，從事件察看器里發(fā)現(xiàn)了很多可能的黑客。他或她進入了實驗室的域結(jié)構(gòu)足夠深，以至于能夠?qū)θ魏斡脩暨\行密碼破解工具。如果有用戶使用弱密碼
(例如"password"或是
changeme"或者任何字典單詞)，那么黑客能快速并簡單的入侵這些用戶的賬號。
8.
減少/排除Web服務器上的共享:
如果網(wǎng)絡管理員是唯一擁有Web服務器寫權(quán)限的人，就沒有理由讓任何共享存在。共享是對黑客最大的誘惑。此外，通過運行一個簡單的循環(huán)批處理文件，黑客能夠察看一個IP地址列表，利用\\命令尋找Everyone/完全控制權(quán)限的共享。
9.
禁用TCP/IP協(xié)議中的NetBIOS:
這是殘忍的。很多用戶希望通過UNC路徑名訪問Web服務器。隨著NETBIOS被禁用，他們便不能這么做了。另一方面，隨著NETBIOS被禁用，黑客就不能看到你局域網(wǎng)上的資源了。這是一把雙刃劍，如果網(wǎng)絡管理員部署了這個工具，下一步便是如何教育Web用戶如何在NETBIOS失效的情況下發(fā)布信息。
10.
使用TCP端口阻塞:
這是另一個殘忍的工具。如果你熟悉每個通過合法原因訪問你服務器的TCP端口，那么你可以進入你網(wǎng)絡接口卡的屬性選項卡，選擇綁定的TCP/IP協(xié)議，阻塞所有你不需要的端口。你必須小心的使用這一工具，因為你并不希望將自己鎖在Web服務器之外，特別是在當你需要遠程登陸服務器的情況下。
11.
仔細檢查*.bat和*.exe
文件:
每周搜索一次*.bat
和*.exe文件，檢查服務器上是否存在黑客最喜歡，而對你來說將是一場惡夢的可執(zhí)行文件。在這些破壞性的文件中，也許有一些是*.reg文件。如果你右擊并選擇編輯，你可以發(fā)現(xiàn)黑客已經(jīng)制造并能讓他們能進入你系統(tǒng)的注冊表文件。你可以刪除這些沒任何意義但卻會給入侵者帶來便利的主鍵。
12.
管理IIS目錄安全:
IIS目錄安全允許你拒絕特定的IP地址、子網(wǎng)甚至是域名。作為選擇，我選擇了一個被稱作WhosOn的軟件，它讓我能夠了解哪些IP地址正在試圖訪問服務器上的特定文件。WhosOn列出了一系列的異常。如果你發(fā)現(xiàn)一個家伙正在試圖訪問你的cmd.exe，你可以選擇拒絕這個用戶訪問Web服務器。當然，在一個繁忙的Web站點，這可能需要一個全職的員工!然而，在內(nèi)部網(wǎng)，這真的是一個非常有用的工具。你可以對所有局域網(wǎng)內(nèi)部用戶提供資源，也可以對特定的用戶提供。
13.
使用NTFS安全:
缺省地，你的NTFS驅(qū)動器使用的是EVERYONE/完全控制權(quán)限，除非你手工關掉它們。關鍵是不要把自己鎖定在外，不同的人需要不同的權(quán)限，管理員需要完全控制，后臺管理賬戶也需要完全控制，系統(tǒng)和服務各自需要一種級別的訪問權(quán)限，取決于不同的文件。最重要的文件夾是System32，這個文件夾的訪問權(quán)限越小越好。在Web服務器上使用NTFS權(quán)限能幫助你保護重要的文件和應用程序。
14.管理用戶賬戶:
如果你已經(jīng)安裝IIS，你可能產(chǎn)生了一個TSInternetUser賬戶。除非你真正需要這個賬戶，否則你應該禁用它。這個用戶很容易被滲透，是黑客們的顯著目標。為了幫助管理用戶賬戶，確定你的本地安全策略沒有問題。IUSR用戶的權(quán)限也應該盡可能的小。
15.
審計你的Web服務器:
審計對你計算機的性能有著較大的影響，因此如果你不經(jīng)常察看的話，還是不要做審計了。如果你真的能用到它，請審計系統(tǒng)事件并在你需要的時候加入審計工具。如果你正在使用前面提到的WhosOn工具，審計就不那么重要了。缺省地，IIS總是紀錄訪問，
WhosOn
會將這些紀錄放置在一個非常容易易讀的數(shù)據(jù)庫中，你可以通過Access或是
Excel打開它。如果你經(jīng)常察看異常數(shù)據(jù)庫，你能在任何時候找到服務器的脆弱點。
總結(jié)
上述所有IIS技巧和工具(除了WhosOn以外)都是Windows自帶的。不要忘記在測試你網(wǎng)站可達性之前一個一個的使用這些技巧和工具。如果它們一起被部署，結(jié)果可能讓你損失慘重，你可能需要重啟，從而遺失訪問。
最后的技巧:
登陸你的Web服務器并在命令行下運行netstat
-an。觀察有多少IP地址正嘗試和你的端口建立連接，然后你將有一大堆的調(diào)查和研究要做了。
當前題目：web服務器安全防護技巧 web服務器安全防護技巧是什么
文章源于：http://m.jiaotiyi.com/article/dddhcgs.html