服务器安全配置指南
第一章 WEB服务器安全设置
在这里我们以2003 Oblog博客服务器为例.
设置步骤分为两部分,系统安全设置和针对Oblog程序的安全设置两部分.在这里我们只谈最最必要和最需要特别注意的部分.一般的设置都可以在网上搜索的到.在这里就不再一一赘述.
1.系统盘和站点放置盘必须设置为NTFS格式,方便设置权限.
2.系统盘和站点放置盘除administrators 和system的用户权限全部去除.
3.启用windows自带防火墙,只保留有用的端口,比如远程和Web,Ftp(3389,80,21)等等,有邮件服务器的还要打开25和130端口.
4.安装好SQL后进入目录搜索 xplog70 然后将找到的三个文件改名或者删除.
5.更改sa密码为你都不知道的超长密码,在任何情况下都不要用sa这个帐户.
6.改名系统默认帐户名并新建一个Administrator帐户作为陷阱帐户,设置超长密码,并去掉所有用户组.(就是在用户组那里设置为空即可.让这个帐号不属于任何用户组)同样改名禁用掉Guest用户.
7.配置帐户锁定策略(在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-Windows设置-安全设置-账户策略-账户锁定策略，将账户设为“三次登陆无效”，“锁定时间30分钟”，“复位锁定计数设为30分钟”。)
8.在安全设置里 本地策略-安全选项 将
网络访问:可匿名访问的共享 ;
网络访问:可匿名访问的命名管道 ;
网络访问:可远程访问的注册表路径 ;
网络访问:可远程访问的注册表路径和子路径 ;
以上四项清空.
9.在安全设置里 本地策略-安全选项通过终端服务拒绝登陆 加入
ASPNET
Guest
IUSR_*****
IWAM_*****
NETWORK SERVICE
SQLDebugger
(****表示你的机器名,具体查找可以点击 添加用户或组 选 高级 选 立即查找 在底下列出的用户列表里选择. 注意不要添加进user组和administrators组添加进去以后就没有办法远程登陆了.)
10.去掉默认共享,将以下文件存为reg后缀,然后执行导入即可.
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]
"AutoShareServer"=dword:00000000
"AutoSharewks"=dword:00000000
11. 禁用不需要的和危险的服务,以下列出服务都需要禁用.
Alerter 发送管理警报和通知
Computer Browser:维护网络计算机更新
Distributed File System: 局域网管理共享文件
Distributed linktracking client 用于局域网更新连接信息
Error reporting service 发送错误报告
Remote Procedure Call (RPC) Locator RpcNs*远程过程调用 (RPC)
Remote Registry 远程修改注册表
Removable storage 管理可移动媒体、驱动程序和库
Remote Desktop Help Session Manager 远程协助
Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务
Messenger 消息文件传输服务
Net Logon 域控制器通道管理
NTLMSecuritysupportprovide telnet服务和Microsoft Serch用的
PrintSpooler 打印服务
telnet telnet服务
Workstation 泄漏系统用户名列表
12.更改本地安全策略的审核策略
账户管理 成功 失败
登录事件 成功 失败
对象访问 失败
策略更改 成功 失败
特权使用 失败
系统事件 成功 失败
目录服务访问 失败
账户登录事件 成功 失败
13.更改有可能会被提权利用的文件运行权限,找到以下文件,将其安全设置里除administrators用户组全部删除,重要的是连system也不要留.
net.exe
net1.exe
cmd.exe
tftp.exe
netstat.exe
regedit.exe
at.exe
attrib.exe
cacls.exe
format.com
c.exe 特殊文件 有可能在你的计算机上找不到此文件.
在搜索框里输入
"net.exe","net1.exe","cmd.exe","tftp.exe","netstat.exe","regedit.exe","at.exe","attrib.exe","cacls.exe","format.com","c.exe" 点击搜索 然后全选 右键 属性 安全
以上这点是最最重要的一点了,也是最最方便减少被提权和被破坏的可能的防御方法了.
14.后备工作,将当前服务器的进程抓图或记录下来，将其保存，方便以后对照查看是否有不明的程序。将当前开放的端口抓图或记录下来，保存，方便以后对照查看是否开放了不明的端口。当然如果你能分辨每一个进程，和端口这一步可以省略。
以上是设置安全服务器必要的步骤.下面我们来说说数据库安装.
1.在企业管理器内建立一个空的数据库名为oblog4,打开查询分析器,将data目录的oblog4.sql导入查询分析器.找到oblog4数据库执行.
2.将初始数据库oblog4.mdb导入我们刚刚建立好的数据库.
好了数据库装好了,下面我们来说说IIS的安全设置.
1. 在计算机管理中设定一个新的用户组 iis guest 这个用户组来将我们的站点使用的匿名用户归类.方便管理.
2. 新建一个用户已 U_开头 以后站点的匿名用户就都是以U_开头方便识别和管理 当然你可以自己设定,只要方便识别即可.然后去掉其所归属的user用户组添加入 iis guest用户组.比如新建的站点是www.oblog.cn 那么我我们就新建一个
U_oblog.cn用户,然后将它除去user组的隶属关系,然后将其加入iis guest组.
3. 在发布盘上新建一个文件夹作为网站目录.再这里我们新建E:\wwwroot为我们的站点文件夹
4. 将从官方下载的oblog4.rar解压到此文件夹下.
5. 设置iis发布此站点.站点的主机头设为您的域名.如果您购买了二级域名组件的话,请添加一个空的主机头进去.
6. 设置iis匿名用户访问权限为刚刚我们新建的U_oblog.cn用户.
7. 设置发布目录文件夹权限所有为U_oblog.cn用户读取运行权限.
8. 设置 目录U(用户日志生成静态目录),目录 Uploadfiles(上传目录) skin下的skin.mdb 根目录下的 index.html 等目录或文件权限为可以修改.
9. 在iis上设置Uploadfiles文件夹为不可执行脚本.
10. 修改conn.asp和config.asp文件.适应我们的设置.
11. 访问您设定的网址 安装完成.
第二章 服务器组件安全设置
A、卸载WScript.Shell 和 Shell.application 组件，将下面的代码保存为一个.BAT文档执行（分2000和2003系统）
windows2000.bat
regsvr32/u C:\WINNT\System32\wshom.ocx
del C:\WINNT\System32\wshom.ocx
regsvr32/u C:\WINNT\system32\shell32.dll
del C:\WINNT\system32\shell32.dll
windows2003.bat
regsvr32/u C:\WINDOWS\System32\wshom.ocx
del C:\WINDOWS\System32\wshom.ocx
regsvr32/u C:\WINDOWS\system32\shell32.dll
del C:\WINDOWS\system32\shell32.dll
B、改名不安全组件，需要注意的是组件的名称和Clsid都要改，并且要改完全了，不要照抄，要自己改
【开始→运行→regedit→回车】打开注册表编辑器
然后【编辑→查找→填写Shell.application→查找下一个】
用这个方法能找到两个注册表项：
{13709620-C279-11CE-A49E-444553540000} 和 Shell.application 。
第一步：为了确保万无一失，把这两个注册表项导出来，保存为xxxx.reg 文档。
第二步：比如我们想做这样的更改 DL.bitsCN.com网管软件下载
13709620-C279-11CE-A49E-444553540000 改名为 13709620-C279-11CE-A49E-444553540001
Shell.application 改名为 Shell.application_nohack
第三步：那么，就把刚才导出的.reg文档里的内容按上面的对应关系替换掉，然后把修改好的.reg文档导入到注册表中（双击即可），导入了改名后的注册表项之后，别忘记了删除原有的那两个项目。这里需要注意一点，Clsid中只能是十个数字和ABCDEF六个字母。
其实，只要把对应注册表项导出来备份，然后直接改键名就能够了，
改好的例子
建议自己改
应该可一次成功
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\InProcServer32]
@="C:\\WINNT\\system32\\shell32.dll"
"ThreadingModel"="Apartment"
[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\ProgID]
@="Shell.Application_nohack.1"
[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\TypeLib]
@="{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}"
[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\Version]
@="1.1"
[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\VersionIndependentProgID]
@="Shell.Application_nohack"
[HKEY_CLASSES_ROOT\Shell.Application_nohack]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT\Shell.Application_nohack\CLSID]
@="{13709620-C279-11CE-A49E-444553540001}"
[HKEY_CLASSES_ROOT\Shell.Application_nohack\CurVer]
@="Shell.Application_nohack.1"
老杜评论：
WScript.Shell 和 Shell.application 组件是 脚本入侵过程中，提升权限的重要环节，这两个组件的卸载和修改对应注册键名，能够很大程度的提高虚拟主机的脚本安全性能，一般来说，ASP和php类脚本提升权限的功能是无法实现了，再加上一些系统服务、硬盘访问权限、端口过滤、本地安全策略的配置，虚拟主机因该说，安全性能有很大的提高，黑客入侵的可能性是很低了。注销了Shell组件之后，侵入者运行提升工具的可能性就很小了，但是prel等别的脚本语言也有shell能力，为防万一，还是配置一下为好。下面是另外一种配置，大同小异。
一、禁止使用FileSystemObject组件
FileSystemObject能够对文档进行常规操作,能够通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\
改名为其他的名字，如：改为 FileSystemObject_ChangeName
自己以后调用的时候使用这个就能够正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\CLSID\项目的值
也能够将其删除，来防止此类木马的危害。
2000注销此组件命令：RegSrv32 /u C:\WINNT\SYSTEM\scrrun.dll
2003注销此组件命令：RegSrv32 /u C:\WINDOWS\SYSTEM\scrrun.dll
如何禁止Guest用户使用scrrun.dll来防止调用此组件？
使用这个命令：cacls C:\WINNT\system32\scrrun.dll /e /d guests
二、禁止使用WScript.Shell组件
WScript.Shell能够调用系统内核运行DOS基本命令
能够通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\WScript.Shell\及HKEY_CLASSES_ROOT\WScript.Shell.1\
改名为其他的名字，如：改为WScript.Shell_ChangeName 或 WScript.Shell.1_ChangeName
自己以后调用的时候使用这个就能够正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\WScript.Shell\CLSID\项目的值
HKEY_CLASSES_ROOT\WScript.Shell.1\CLSID\项目的值
也能够将其删除，来防止此类木马的危害。
三、禁止使用Shell.Application组件
Shell.Application能够调用系统内核运行DOS基本命令
能够通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\Shell.Application\
及
HKEY_CLASSES_ROOT\Shell.Application.1\
改名为其他的名字，如：改为Shell.Application_ChangeName 或 Shell.Application.1_ChangeName
自己以后调用的时候使用这个就能够正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值
也能够将其删除，来防止此类木马的危害。
禁止Guest用户使用shell32.dll来防止调用此组件。
2000使用命令：cacls C:\WINNT\system32\shell32.dll /e /d guests
2003使用命令：cacls C:\WINDOWS\system32\shell32.dll /e /d guests
注：操作均需要重新启动WEB服务后才会生效。
四、调用Cmd.exe
禁用Guests组用户调用cmd.exe
2000使用命令：cacls C:\WINNT\system32\Cmd.exe /e /d guests
2003使用命令：cacls C:\WINDOWS\system32\Cmd.exe /e /d guests
通过以上四步的配置基本能够防范现在比较流行的几种木马，但最有效的办法还是通过综合安全配置，将服务器、程式安全都达到一定标准，才可能将安全等级配置较高，防范更多非法入侵。
C、防止Serv-U权限提升 (适用于 Serv-U6.0 以前版本，之后能够直接配置密码)
先停掉Serv-U服务
用Ultraedit打开ServUDaemon.exe
查找 Ascii：LocalAdministrator 和 #l@$ak#.lk;0@P
修改成等长度的其他字符就能够了，ServUAdmin.exe也相同处理。
另外注意配置Serv-U所在的文档夹的权限，不要让IIS匿名用户有读取的权限，否则人家下走您修改过的文档，照样能够分析出您的管理员名和密码。
http://www.ajiang.net/products/aspcheck/ (能够测试组件安全性)
第三章 SERV-U版安全设置
作为一款精典的FTP服务器软件，SERV－U一直被大部分管理员所使用，它简单的安装和配置以及强大的管理功能的人性化也一直被管理员们称颂。但是随着使用者越来越多，该软件的安全问题也逐渐显露出来。
首先是SERV-U的SITE CHMOD漏洞和Serv-U MDTM漏洞，即利用一个账号可以轻易的得到SYSTEM权限。其次是Serv-u的本地溢出漏洞，即Serv-U有一个默认的管理用户（用户名：localadministrator，密码：#|@$ak#.|k;0@p），任何人只要通过一个能访问本地端口43958的账号就可以随意增删账号和执行任意内部和外部命令。
此时，人们才开始重视起SERV－U的安全来，并采取了一些相关措施，如修改SERV－U的管理端口、账号和密码等。但是，修改后的内容还是保留在ServUDaemon.exe文件里，因此下载后用如UltraEdit之类的16进制编辑软件就可以很轻易的获取到修改后的端口、账号和密码。
从SERV－U6.0.0.2开始，该软件有了登录密码功能，这样如果加了管理密码，并且设置比较妥善的话，SERV－U将会比原来安全的多。现在我们就开始SERV－U的设置之旅，采用版本是SERV－U 6.0.0.2。
古语有云，千尺之台始于垒土，设置SERV－U的安全就从安装开始。这篇文章主要是写SERV－U的安全设置，所以不会花费太多的功夫来介绍安装，只说一下要点。
SERV－U默认是安装在C:\Program Files\Serv-U目录下的，我们最好做一下变动。例如改为：D:\u89327850mx8utu432X$UY32x211936890co7v23x1t3（图1）这样的路径，如果安装盘符WEB用户不能浏览的话，他便很难猜到安装的路径。当然，安装后会在桌面和开始菜单上生成快捷方式，建议删除，因为一般不会使用到它。可能你要问了，那应该怎样进入SERV－U的设置界面呢？其实很简单，双击下右角任务栏里的Tray Monitor小图标来启动SERV－U的管理界面。
图1：修改安装的目录
安装的时候只选前2项就可以了，后面的2个是说明和在线帮助文件。(见图2)
下图是生成的开始菜单组里的文件夹的名字，建议更改成比较不像SERV－U的名字，或者是删除该文件夹。(见图3)
图3：更改安装后生成开始菜单组里文件夹的名字
安装完成后会出现一个向导让你建立一个域和账号。在这里点Cancel取消向导。用向导生成的账号会带来一些问题，所以下面采用手工方式建立域和账号。(见图4)
图4：点Cancel取消向导
然后点选Start automatically(system service)前面的选项，接着点下边的Start Server按钮把SERV－U加入系统服务，这样就可以随系统启动了，不用每次都手工启动。(见图5)
图5：把SERV－U加入服务
接下来就会出现如图6的界面。通过点击Set/Change Password设置一个密码。
图6：点击Set/Change Password设置密码
然后会出现如图7的界面。因为是第一次使用，所以是没有密码的，也就是说原来的密码为空。不用在old password里输入字符，直接在下面的New password和Repeat new password里输入同样的密码再点OK就可以了。这里建议设置一个足够复杂的密码，以防止别人暴力破解。自己记不得也没有关系，只要把ServUDaemon.ini里的LocalSetupPassword=这一行清除并保存，再次运行ServUAdmin.exe就不会提示你输入密码登录了。
图7：设置和更改密码界面
图2：安装时候只需要选择前2项
下面就到了该对SERV－U进行安全设置的时候了。首先建立一个WINDOWS账号SSERVU，密码也需要足够的复杂。密码要记住，如果记不住就暂时保存在一个文件里，一会儿还要用到。(见图8)
图8：建立一个WINDOWS账号
建好账号以后，双击建好的用户编辑用户属性，从“隶属于”里删除USERS组。
图9：从隶属于里删除USERS组
从“终端服务配置文件”选项里取消“允许登录到终端服务器（W）”的选择，然后点击确定继续我们的设置。（见图10）
图10：取消“允许登录到终端服务器”
这里我们已经建好了账号，该设置服务里的账号了。现在就要用到刚才建立的这个账号，密码还没有忘记吧，马上就要用到了。
在开始菜单的管理工具里找到“服务”点击打开。在“Serv-U FTP Server服务”上点右键，选择属性继续。
然后点击“登录”进入登录账号选择界面。选择刚才建立的系统账号名，并在下面重复输入2次该账号的密码（就是刚才让你记住的那个），然后点“应用”，再次点确定，完成服务的设置。（见图11）
图11：更改启动和登录SRV－U的账号密码
接下来要先使用FTP管理工具建立一个域，再建立一个账号，建好后选择保存在注册表。（见图12）
图12：FTP用户密码保存到注册表里
打开注册表来测试相应的权限，否则SERV－U是没办法启动的。在开始－＞运行里输入regedt32点“确定”继续。
找到[HKEY_LOCAL_MACHINE\SOFTWARE\Cat Soft]分支。在上面点右键，选择权限，然后点高级，取消允许父项的继承权限传播到该对象和所有子对象，包括那些在此明确定义的项目，点击“应用”继续，接着删除所有的账号。再次点击“确定”按钮继续。这时会弹出对话框显示“您拒绝了所有用户访问Cat Soft。没有人能访问 Cat Soft，而且只有所有者才能更改权限。您要继续吗？”，点击“是”继续。接着点击添加按钮增加我们建立的SSERVU账号到该子键的权限列表里，并给予完全控制权限。到这里注册表已经设置完了。但还不能重新启动SERV－U，因为安装目录还没设置。
现在就来设置一下，只保留你的管理账号和SSERVU账号，并给予除了完全控制外的所有权限。（见图13）
图13：SERV－U安装目录权限设置
现在，在服务里重启Serv-U FTP Server服务就可以正常启动了。当然，到这里还没有完全设置完，你的FTP用户因为没有权限还是登录不了的，所以还要设置一下目录的权限。
假设你有一个WEB目录，路径是d:\web。那么在这个目录的“安全设定”里除了管理员和IIS用户都删除掉，再加入SSERVU账号，切记SYSTEM账号也删除掉。为什么要这样设置呢？因为现在已经是用SSERVU账号启动的SERV－U，而不是用SYSTEM权限启动的了，所以访问目录不再是用SYSTEM而是用SSERVU，此时SYSTEM已经没有用了，这样就算真的溢出也不可能得到SYSTEM权限。另外，WEB目录所在盘的根目录还要设置允许SSERV－U账号的浏览和读取权限，并确认在高级里设置只有该文件夹。（见图14）
图14：WEB目录所在盘的权限设置
至此，设置全部结束。现在的SERV－U设置是配合IIS设置的，因为和IIS使用不同的账号，WEB用户就不可能访问SERV－U的目录，并且WEB目录没有给予SYSTEM权限，所以SYSTEM账号也同样访问不了WEB目录，也就是说，即使使用MSSQL得到备份的权限也不能备份SHELL到你的WEB目录。你可以安全的使用SERV－U了。(T114)
第四章 Winwebmail安全设置
以前安装WINWEBMAIL，通常大家都是参照官方的说明，给Winwebmail目录users组甚至是Everyone可写权限。好一点的就将Winwebmail的安装目录改的很复杂来躲避黑客的跨站攻击。就这一点来讲，我觉得WINWEBMAIL官方对于目录权限的设置其实说的太过简单，有点不负责任的感觉。
下午我仔细分析了WINWEBMAIL的目录安全设置。即使按照一些特殊处理过能够防止ASP跨站攻击的设置，其实依然很容易被人ASP.NET跨站攻击 。
下面讲下具体操作流程:
1、安装完WINWEBMAIL
2、新建立一个USER，属于GUESTS组，如：mail_vistor。（*注：如果使用iis自带的IUSR_XXX来宾用户。那么这一步可以省略）。
3、新建立一个USER，属于IIS_WPG组，如：mail_worker。
4、打开IIS，新建立一个进程池，命名， 如：mail_process。启动权限用户设置为：mail_worker
5、打开IIS，新建立一个站点，指定主文档目录为WINWEBMAIL目录下WEB目录。并指定进程池为mail_process. 在目录安全性，里编辑匿名访问用户为：mail_vistor（或者默认为IUSR_XXX，二个用户选一即可）。
6、给安装WINWEBMAIL的盘符根目录比如：E盘，管理员和mail_vistor(或IUSR_XXX)只读权限。
7、给WINWEBMAIL目录IIS_WPG组、mail_vistor以及管理员三者可读写权限。添加network service和aspnet 两个用户，权限设置为拒绝访问。 添加运行ASP用户组，比如hzhost用户，可能为hostgroup用户组，权限为：拒绝访问。（具体ASP的防止跨站的权限设计网站上大把，我就简单带过。）
8、重新启动IIS及WINWEBMAIL服务，即可。这样操作后已经大体封锁了来自除了邮件WEB程序以外的其他asp,asp.net的程序攻击了。目前我测试各方面正常。具体防止WEB目录程序攻击WINWEBMAIL的详细设置，就各人喜欢再继续深入设置，我就不具体讲了。
结束：如果你不是很了解权限的设置，你还可以简单的这样操作，将WINWEBMAIL安装到一个不容易猜解的目录里,比如：E:\XX73C3DA 这种名字的目录。然后备份c:\windows目录下WEMINSTALL.LOG这个文件并删除。（备份的作用，我是怕以后升级winwebmail需要使用这个log文件。具体是否需要没有测试过。我就是通过这个文件找出了测试服务器的具体安装位置的。），但为了避免其他地方可能还暴露出安装位置，建议你还是按照我的教程进行设置一下吧。
