企業(yè)服務器組件安全流程 企業(yè)服務器部署

如何保證Web服務器安全？

一、在代碼編寫時就要進行漏洞測試。

創(chuàng)新互聯(lián)建站是專業(yè)的東川網(wǎng)站建設公司，東川接單;提供成都網(wǎng)站設計、成都做網(wǎng)站,網(wǎng)頁設計,網(wǎng)站設計,建網(wǎng)站,PHP網(wǎng)站建設等專業(yè)做網(wǎng)站服務;采用PHP框架,可快速的進行東川網(wǎng)站開發(fā)網(wǎng)頁制作和功能擴展;專業(yè)做搜索引擎喜愛的網(wǎng)站,專業(yè)的做網(wǎng)站團隊,希望更多企業(yè)前來合作!

二、對Web服務器進行持續(xù)的監(jiān)控。

三、設置蜜罐，將攻擊者引向錯誤的方向。

四、專人對Web服務器的安全性進行測試。

在Web服務器的攻防戰(zhàn)上，這一個原則也適用。筆者建議，如果企業(yè)對于Web服務的安全比較高，如網(wǎng)站服務器上有電子商務交易平臺，此時最好設置一個專業(yè)的團隊。他們充當攻擊者的角色，對服務器進行安全性的測試。這個專業(yè)團隊主要執(zhí)行如下幾個任務。　

一是測試Web管理團隊對攻擊行為的反應速度。如可以采用一些現(xiàn)在比較流行的攻擊手段，對自己的Web服務器發(fā)動攻擊。當然這個時間是隨機的。預先Web管理團隊并不知道?，F(xiàn)在要評估的是，Web管理團隊在多少時間之內(nèi)能夠發(fā)現(xiàn)這種攻擊的行為。這也是考驗管理團隊全天候跟蹤的能力。一般來說，這個時間越短越好。應該將這個時間控制在可控的范圍之內(nèi)。即使攻擊最后沒有成功，Web管理團隊也應該及早的發(fā)現(xiàn)攻擊的行為。畢竟有沒有發(fā)現(xiàn)、與最終有沒有取得成功，是兩個不同的概念。

二是要測試服務器的漏洞是否有補上。畢竟大部分的攻擊行為，都是針對服務器現(xiàn)有的漏洞所產(chǎn)生的?，F(xiàn)在這個專業(yè)團隊要做的就是，這些已發(fā)現(xiàn)的漏洞是否都已經(jīng)打上了安全補丁或者采取了對應的安全措施。有時候我們都沒有發(fā)現(xiàn)的漏洞是無能為力，但是對于這些已經(jīng)存在的漏洞不能夠放過。否則的話，也太便宜那些攻擊者了。

求教檢測服務器安全的方法和步驟

1.有沒有將sql 2000,mysql運行在普通用戶權限下，這是最重要的一點，大部分的都是利用數(shù)據(jù)庫的權限進行的。

2.關閉所有沒用的端口

3.所有盤的根目錄都不能有everyone,users 的讀與運行權限。

4.加強PHP的安全：

5.不要裝或使用CGI，CGI存在先天上的安全隱患。

6.不要安裝任何的第三方軟件。例如XX優(yōu)化軟件，XX插件之類的，更不要在租用的服務器上注冊未知的組件。

7.不要在服務器上使用IE訪問任何網(wǎng)站。

8.Mysql要用4.1以上的版本，4.0版本存在安全問題。

9.不要裝PCanywhere或Radmin因為它們本身就存在安全問題，可以直接用windows 2003自帶的3389，它比任何遠程控制軟件都安全。

10.不要在服務器上雙擊運行任何程序，不然你中了什么都不知道。

11.不要在服務器上用IE打開用戶的硬盤中的網(wǎng)頁，這是危險的行為。

12.不要在服務器上瀏覽圖片，以前windows就出過GDI+的安全漏洞。

13.確保你自己的電腦安全，如果你自己的電腦不安全，服務器也不可能安全。

14.如果你使用imail，必須要用8.2以上版本，8.1存在安全嚴重的安全漏洞。

一個小心謹慎的服務器管理人員，是服務器安全的最后保障，按以上設置后，就算你的用戶上傳了什么東西在自己的網(wǎng)站中，也絕對影響不了你租用的服務器。 壹基比小喻為你解答。

Windows 服務器安全設置的方法教程

阿江的Windows 2000服務器安全設置教程

前言

其實，在服務器的安全設置方面，我雖然有一些經(jīng)驗，但是還談不上有研究，所以我寫這篇文章的時候心里很不踏實，總害怕說錯了會誤了別人的事。

本文更側重于防止ASP漏洞攻擊，所以服務器防黑等方面的講解可能略嫌少了點。

基本的服務器安全設置

安裝補丁

安裝好操作系統(tǒng)之后，最好能在托管之前就完成補丁的安裝，配置好網(wǎng)絡后，如果是2000則確定安裝上了SP4，如果是2003，則最好安裝上SP1，然后點擊開始→Windows Update，安裝所有的關鍵更新。

安裝殺毒軟件

雖然殺毒軟件有時候不能解決問題，但是殺毒軟件避免了很多問題。我一直在用諾頓2004，據(jù)說2005可以殺木馬，不過我沒試過。還有人用瑞星，瑞星是確定可以殺木馬的。更多的人說卡巴司機好，不過我沒用過。

不要指望殺毒軟件殺掉所有的木馬，因為ASP木馬的特征是可以通過一定手段來避開殺毒軟件的查殺。

設置端口保護和防火墻、刪除默認共享

都是服務器防黑的措施，即使你的服務器上沒有IIS，這些安全措施都最好做上。這是阿江的盲區(qū)，大概知道屏蔽端口用本地安全策略，不過這方面的東西網(wǎng)上攻略很多，大家可以擻出來看看，晚些時候我或者會復制一些到我的網(wǎng)站上。

權限設置

阿江感覺這是防止ASP漏洞攻擊的關鍵所在，優(yōu)秀的權限設置可以將危害減少在一個IIS站點甚至一個虛擬目錄里。我這里講一下原理和設置思路，聰明的朋友應該看完這個就能解決問題了。

權限設置的原理

WINDOWS用戶，在WINNT系統(tǒng)中大多數(shù)時候把權限按用戶（組）來劃分。在【開始→程序→管理工具→計算機管理→本地用戶和組】管理系統(tǒng)用戶和用戶組。

NTFS權限設置，請記住分區(qū)的時候把所有的硬盤都分為NTFS分區(qū)，然后我們可以確定每個分區(qū)對每個用戶開放的權限?！疚募▕A）上右鍵→屬性→安全】在這里管理NTFS文件（夾）權限。

IIS匿名用戶，每個IIS站點或者虛擬目錄，都可以設置一個匿名訪問用戶（現(xiàn)在暫且把它叫“IIS匿名用戶），當用戶訪問你的網(wǎng)站的.ASP文件的時候，這個.ASP文件所具有的權限，就是這個“IIS匿名用戶所具有的權限。

權限設置的思路

要為每個獨立的要保護的個體（比如一個網(wǎng)站或者一個虛擬目錄）創(chuàng)建一個系統(tǒng)用戶，讓這個站點在系統(tǒng)中具有惟一的可以設置權限的身份。

在IIS的【站點屬性或者虛擬目錄屬性→目錄安全性→匿名訪問和驗證控制→編輯→匿名訪問→編輯】填寫剛剛創(chuàng)建的那個用戶名。

設置所有的分區(qū)禁止這個用戶訪問，而剛才這個站點的主目錄對應的那個文件夾設置允許這個用戶訪問（要去掉繼承父權限，并且要加上超管組和SYSTEM組）。

這樣設置了之后，這個站點里的ASP程序就只有當前這個文件夾的權限了，從探針上看，所有的硬盤都是紅叉叉。

我的設置方法

我是先創(chuàng)建一個用戶組，以后所有的站點的用戶都建在這個組里，然后設置這個組在各個分區(qū)沒病權限。然后再設置各個IIS用戶在各在的文件夾里的權限。

因為比較多，所以我很不想寫，其實知道了上面的原理，大多數(shù)人都應該懂了，除非不知道怎么添加系統(tǒng)用戶和組，不知道怎么設置文件夾權限，不知道IIS站點屬性在那里。真的有那樣的人，你也不要著急，要沉住氣慢慢來，具體的方法其實自己也能摸索出來的，我就是這樣。當然，如果我有空，我會寫我的具體設置方法，很傲能還會配上圖片。

改名或卸載不安全組件

不安全組件不驚人

我的在阿江探針1.9里加入了不安全組件檢測功能（其實這是參考7i24的代碼寫的，只是把界面改的友好了一點，檢測方法和他是基本一樣的），這個功能讓很多站長吃驚不小，因為他發(fā)現(xiàn)他的服務器支持很多不安全組件。

其實，只要做好了上面的權限設置，那么FSO、XML、strem都不再是不安全組件了，因為他們都沒有跨出自己的文件夾或者站點的權限。那個歡樂時光更不用怕，有殺毒軟件在還怕什么時光啊。

最危險的組件是WSH和Shell，因為它可以運行你硬盤里的EXE等程序，比如它可以運行提升程序來提升SERV-U權限甚至用SERVU來運行更高權限的系統(tǒng)程序。

卸載最不安全的組件

最簡單的辦法是直接卸載后刪除相應的程序文件。將下面的代碼保存為一個.BAT文件，

regsvr32/u C:WINNTSystem32wshom.ocx

del C:WINNTSystem32wshom.ocx

regsvr32/u C:WINNTsystem32shell32.dll

del C:WINNTsystem32shell32.dll

然后運行一下，WScript.Shell, Shell.application, WScript.Network就會被卸載了?？赡軙崾緹o法刪除文件，不用管它，重啟一下服務器，你會發(fā)現(xiàn)這三個都提示“×安全了。

改名不安全組件

需要注意的是組件的名稱和Clsid都要改，并且要改徹底了。下面以Shell.application為例來介紹方法。

打開注冊表編輯器【開始→運行→regedit回車】，然后【編輯→查找→填寫Shell.application→查找下一個】，用這個方法能找到兩個注冊表項：“{13709620-C279-11CE-A49E-444553540000}和“Shell.application。為了確保萬無一失，把這兩個注冊表項導出來，保存為 .reg 文件。

比如我們想做這樣的更改

13709620-C279-11CE-A49E-444553540000 改名為 13709620-C279-11CE-A49E-444553540001

Shell.application 改名為 Shell.application_ajiang

那么，就把剛才導出的.reg文件里的內(nèi)容按上面的對應關系替換掉，然后把修改好的.reg文件導入到注冊表中（雙擊即可），導入了改名后的注冊表項之后，別忘記了刪除原有的`那兩個項目。這里需要注意一點，Clsid中只能是十個數(shù)字和ABCDEF六個字母。

下面是我修改后的代碼（兩個文件我合到一起了）：

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}]

@="Shell Automation Service"

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}InProcServer32]

@="C:WINNTsystem32shell32.dll"

"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}ProgID]

@="Shell.Application_ajiang.1"

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}TypeLib]

@="{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}"

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}Version]

@="1.1"

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}VersionIndependentProgID]

@="Shell.Application_ajiang"

[HKEY_CLASSES_ROOTShell.Application_ajiang]

@="Shell Automation Service"

[HKEY_CLASSES_ROOTShell.Application_ajiangCLSID]

@="{13709620-C279-11CE-A49E-444553540001}"

[HKEY_CLASSES_ROOTShell.Application_ajiangCurVer]

@="Shell.Application_ajiang.1"

你可以把這個保存為一個.reg文件運行試一下，但是可別就此了事，因為萬一黑客也看了我的這篇文章，他會試驗我改出來的這個名字的。

防止列出用戶組和系統(tǒng)進程

我在阿江ASP探針1.9中結合7i24的方法利用getobject("WINNT")獲得了系統(tǒng)用戶和系統(tǒng)進程的列表，這個列表可能會被黑客利用，我們應當隱藏起來，方法是：

【開始→程序→管理工具→服務】，找到Workstation，停止它，禁用它。

防止Serv-U權限提升

其實，注銷了Shell組件之后，侵入者運行提升工具的可能性就很小了，但是prel等別的腳本語言也有shell能力，為防萬一，還是設置一下為好。

用Ultraedit打開ServUDaemon.exe查找Ascii：LocalAdministrator，和#l@$ak#.lk;0@P，修改成等長度的其它字符就可以了，ServUAdmin.exe也一樣處理。

另外注意設置Serv-U所在的文件夾的權限，不要讓IIS匿名用戶有讀取的權限，否則人家下走你修改過的文件，照樣可以分析出你的管理員名和密碼。

利用ASP漏洞攻擊的常見方法及防范

一般情況下，黑客總是瞄準論壇等程序，因為這些程序都有上傳功能，他們很容易的就可以上傳ASP木馬，即使設置了權限，木馬也可以控制當前站點的所有文件了。另外，有了木馬就然后用木馬上傳提升工具來獲得更高的權限，我們關閉shell組件的目的很大程度上就是為了防止攻擊者運行提升工具。

如果論壇管理員關閉了上傳功能，則黑客會想辦法獲得超管密碼，比如，如果你用動網(wǎng)論壇并且數(shù)據(jù)庫忘記了改名，人家就可以直接下載你的數(shù)據(jù)庫了，然后距離找到論壇管理員密碼就不遠了。

作為管理員，我們首先要檢查我們的ASP程序，做好必要的設置，防止網(wǎng)站被黑客進入。另外就是防止攻擊者使用一個被黑的網(wǎng)站來控制整個服務器，因為如果你的服務器上還為朋友開了站點，你可能無法確定你的朋友會把他上傳的論壇做好安全設置。這就用到了前面所說的那一大堆東西，做了那些權限設置和防提升之后，黑客就算是進入了一個站點，也無法破壞這個網(wǎng)站以外的東西。

如何配置網(wǎng)絡服務器安全

請嚴格按照下面幾個步驟進行操作，這樣就能夠大大提高服務器的安全性能！

1、安裝補丁程序

任何操作系統(tǒng)都有漏洞，作為網(wǎng)絡系統(tǒng)管理員就有責任及時地將“補丁”打上。大部分中小企業(yè)服務器使用的是微軟的 Windows2000/2003操作系統(tǒng)，因為使用的人特別多，所以發(fā)現(xiàn)的Bug也比較多，同時，蓄意攻擊它們的人也很多。微軟公司為了彌補操作系統(tǒng)的 安全漏洞，在其網(wǎng)站上提供了許多補丁，可以到網(wǎng)上下載并安裝相關升級包。對于Windows2003，至少要升級到SP1，對于Windows2000， 至少要升級至ServicePack2。

2、安裝和設置防火墻

現(xiàn)在有許多基于硬件或軟件的防火墻，如華為、神州數(shù)碼、聯(lián)想、瑞星等廠商的 產(chǎn)品。對于企業(yè)內(nèi)部網(wǎng)來說，安裝防火墻是非常必要的。防火墻對于非法訪問具有很好的預防作用，但是并不是安裝了防火墻之后就萬事大吉了，而是需要進行適當 的設置才能起作用。如果對防火墻的設置不了解，需要請技術支持人員協(xié)助設置。

3、安裝網(wǎng)絡殺毒軟件

現(xiàn)在網(wǎng)絡上的病毒非常猖獗，這就需要在網(wǎng)絡服務器上安裝網(wǎng)絡版的殺毒軟件來控制病毒的傳播，目前，大多數(shù)反病毒廠商(如瑞星、冠群金辰、趨勢、賽門鐵克、熊貓等)都已經(jīng)推出了網(wǎng)絡版的殺毒軟件。同時，在網(wǎng)絡版的殺毒軟件使用中，必須要定期或及時升級殺毒軟件。

4、賬號和密碼保護

賬號和密碼保護可以說是系統(tǒng)的第一道防線，目前網(wǎng)上的大部分對系統(tǒng)的攻擊都是從截獲或猜測密碼開始的。一旦黑客進入了系統(tǒng)，那么前面的防衛(wèi)措施幾乎就沒有作用，所以對服務器系統(tǒng)管理員的賬號和密碼進行管理是保證系統(tǒng)安全非常重要的措施。

5、監(jiān)測系統(tǒng)日志

通過運行系統(tǒng)日志程序，系統(tǒng)會記錄下所有用戶使用系統(tǒng)的情形，包括最近登錄時間、使用的賬號、進行的活動等。日志程序會定期生成報表，通過對報表進行分析，你可以知道是否有異?，F(xiàn)象。

6、關閉不需要的服務和端口

服務器操作系統(tǒng)在安裝的時候，會啟動一些不需要的服務，這樣會占用系統(tǒng)的資源，而且也增加了系統(tǒng)的安全隱患。對于假期期間完全不用的服務器，可以完全關閉;對于假期期間要使用的服務器，應關閉不需要的服務，如Telnet等。另外，還要關掉沒有必要開的TCP端口。

7、定期對服務器進行備份

為防止不能預料的系統(tǒng)故障或用戶不小心的非法操作，必須對系統(tǒng)進行安全備份。除了對全系統(tǒng)進行每月一次的備份外，還應對修改過的數(shù)據(jù)進行每周一次的備份。

新聞名稱：企業(yè)服務器組件安全流程 企業(yè)服務器部署
本文路徑：http://m.jiaotiyi.com/article/ddgejei.html