windows 2003架设WEB服务器最完善的安全权限方案
查看( 3 ) /
评论( 0 )
Windows2003服务系统的安全方案,我应用以下方案，安全运行了二年，无黑客有成功入侵的记录，也有黑客入侵成功的在案，但最终还是没有拿到肉鸡的最高管理员身份,只是可以浏览跳转到服务器上所有客户的网站。我爱贵溪GI/\ g-g
服务器安全设置
-L6gbPDz fU0>> IIS6.0的安装我爱贵溪.Us.A*R m
开始菜单—>控制面板—>添加或删除程序—>添加/删除Windows组件
8M$JvTA,Y!jD0 应用程序 ———ASP.NET（可选）
\.|2m`kV/u J0d0 |——启用网络 COM+ 访问（必选）我爱贵溪 RAh7}!SN*]X @g
|——Internet 信息服务(IIS)———Internet 信息服务管理器（必选）
PD^#b@@6C&Z5Bz0 |——公用文件（必选）我爱贵溪+[ u"xg'nS%mH
|——万维网服务———Active Server pages（必选）我爱贵溪 _P'K&eK)a3Q
|——Internet 数据连接器（可选）
Hw1F)T*O!O,h*}'[0 |——WebDAV 发布（可选） 字串5
ttgV!A|0 |——万维网服务（必选）
n3^,f{H0 |——在服务器端的包含文件（可选）
N].v"qS EeTo3E1yL0>> 在”网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP）和Microsoft网络客户端。在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。
| F&?:L g*W%y0>>在“本地连接”打开Windows 2003 自带的防火墙，可以屏蔽端口，基本达到一个IPSec的功能,只保留有用的端口,比如远程(3389)和 Web(80),Ftp(21),邮件服务器(25,110),https(443),SQL(1433)
0v G/d L,}9a-|(]b0>> IIS (Internet信息服务器管理器) 在"主目录"选项设置以下我爱贵溪Pm*i s*}.Ee*IX
读 允许
,y:P"ku6Gp0写 不允许
K(u3O"{0GG!{R0脚本源访问 不允许我爱贵溪 E x.gW u
目录浏览 建议关闭
_*mf(h{.F5x0记录访问 建议关闭我爱贵溪 L'Y h5rX_6a
索引资源 建议关闭
W\:@Z7Z,j+pi0执行权限 推荐选择 “纯脚本”
F z)\ Q5X Wlr0
&en xq E-o0>> 建议使用W3C扩充日志文件格式，每天记录客户IP地址，用户名，服务器端口，方法，URI字根，HTTP状态，用户代理，而且每天均要审查日志。 字串3 我爱贵溪Vu S Uh7qx8I1}
(最好不要使用缺省的目录，建议更换一个记日志的路径，同时设置日志的访问权限，只允许管理员和system为Full Control)。 我爱贵溪!FM6_]/XU&R
>> 在IIS6.0 -本地计算机 - 属性- 允许直接编辑配置数据库在IIS中 属性->主目录->配置->选项中。
N!Rl&N(l }0
4tS |/Xy,T0>> 在网站把”启用父路径“前面打上勾
$p9` E4i N Ax \_;X0
%? p/LP O`6D0>> 在IIS中的Web服务扩展中选中Active Server Pages，点击“允许”我爱贵溪#B)A.oU [`o P
我爱贵溪pvv'c7_7l8x
>> 优化IIS6应用程序池
6H%[ jl8Fi w1E[0 1、取消“在空闲此段时间后关闭工作进程（分钟）”我爱贵溪dQP I,Z(\(Q'@ s
2、勾选“回收工作进程（请求数目）”我爱贵溪3Hi m,z `.m9l5?
3、取消“快速失败保护”
IG hQVnv |0>> 解决SERVER 2003不能上传大附件的问题我爱贵溪1J G.}8[v#F},_
在“服务”里关闭 iis admin service 服务。我爱贵溪 o*c s @ i3G/o;xu
找到 windows\system32\inetsrv\ 下的 metabase.xml 文件。
q4lGc E l:S0 找到 ASPMaxRequestEntityAllowed 把它修改为需要的值（可修改为20M即：20480000）我爱贵溪y)bZ"V$a$["h h J[
存盘，然后重启 iis admin service 服务。我爱贵溪K9zgHhU*U s6@ yk
/d5cu-^0q@([0>> 解决SERVER 2003无法下载超过4M的附件问题
JRk1[FAW0 在“服务”里关闭 iis admin service 服务。 字串9 我爱贵溪 y.pu NQ3S*}f o(H*R"l H
找到 windows\system32\inetsrv\ 下的 metabase.xml 文件。我爱贵溪 ^ H*DH:}s'w
找到 AspBufferingLimit 把它修改为需要的值（可修改为20M即：20480000）我爱贵溪 e1n/Q+Fv
存盘，然后重启 iis admin service 服务。
*f S$d'].f qb0
#N1K B i2r.L!F*Swy#s0>> 超时问题
5?1m[yy0 解决大附件上传容易超时失败的问题
M8Y!p `XC,QT$Q N0 在IIS中调大一些脚本超时时间，操作方法是： 在IIS的“站点或虚拟目录”的“主目录”下点击“配置”按钮，我爱贵溪u7@^8DpL&_
设置脚本超时时间为：300秒 (注意：不是Session超时时间)
\ eb C-r`+K `Ok]PJ0 解决通过WebMail写信时间较长后，按下发信按钮就会回到系统登录界面的问题我爱贵溪[` WN0D8O e
适当增加会话时间(Session)为 60分钟。在IIS站点或虚拟目录属性的“主目录”下点击“配置-->选项”，
1fz%kJ MGi A0 就可以进行设置了(Windows 2003默认为20分钟)
o3TVcT"D!n"r2N {0>> 修改3389远程连接端口我爱贵溪 Cx4\4}B Vb\A
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]我爱贵溪 x5b _ Hapj
"PortNumber"=dword:0000端口号我爱贵溪 }Kb1P([
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]我爱贵溪M1r"a(n H E v
"PortNumber"=dword:0000端口号 字串4
P0v!s6CF*V6z w0设置这两个注册表的权限, 添加“IUSR”的完全拒绝 禁止显示端口号
/t1i1u"{EzYs Ds M0
ZXH&g+gi j O0>> 本地策略--->用户权限分配我爱贵溪9K c"@k7t;An"H
关闭系统：只有Administrators组、其它全部删除。
N2}yPVvn0 通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除我爱贵溪3Pp N@ R q
s ^m,[ _$KB0>> 在安全设置里 本地策略-用户权利分配，通过终端服务拒绝登陆 加入我爱贵溪#?N1l&X.E_
ASPNET
!p%xL$BL)`;n~0IUSR_
,I&w4|;u/W MT|0{0IWAM_
,\ X f^0S5p0NETWORK SERVICE
*yN q#G v-d6^%|!R0(注意不要添加进user组和administrators组 添加进去以后就没有办法远程登陆了)我爱贵溪1A*s x$z Q O2N$@B
T oWp3}Z `0>> 在安全设置里 本地策略-安全选项
.Z5J~ln"y7_h0网络访问:可匿名访问的共享; 我爱贵溪fy H5a4?
网络访问:可匿名访问的命名管道; 我爱贵溪8k:K?K n(@'Q:@4z-|
网络访问:可远程访问的注册表路径; 我爱贵溪,p+P)bp4LB2k$U
网络访问:可远程访问的注册表路径和子路径; 我爱贵溪1z ~5zZ.{ C!S
将以上四项全部删除
T#Xs;]r0E0>> 不允许 SAM 账户的匿名枚举 更改为"已启用" 我爱贵溪~M R @+{%gK|r/y
>> 不允许 SAM 账户和共享的匿名枚举 更改为"已启用" ;
9Q ^o"v.ad'o I0>> 网络访问: 不允许存储网络身份验证的凭据或 .NET Passports 更改为"已启用" ;
@ Ej$Dj0>> 网络访问.限制匿名访问命名管道和共享,更改为"已启用" ; 字串6
!E5{!_ Y&p SN;n:JL0将以上四项通通设为“已启用”
b"IC:rEgx0我爱贵溪 PpO2~ u-Yv Q
P\,Q W ?Il1d'O.U3w a0>> 计算机管理的本地用户和组我爱贵溪L2V+[s H5r3@8Ew
禁用终端服务(TsInternetUser), SQL服务(SQLDebugger), SUPPORT_388945a0
fp j!Ba^^,a k'?`j0我爱贵溪O*M O(}],s
>> 禁用不必要的服务我爱贵溪E&_7]^4PD(|3N
sc config AeLookupSvc start= AUTO 我爱贵溪 h(i+[bi'X"t4j'd
sc config Alerter start= DISABLED 我爱贵溪f{)qA7w9d%M2W1R0o(\m
sc config ALG start= DISABLED
rZ ]s*I0sc config AppMgmt start= DEMAND
|d-?f8mu {0sc config aspnet_state start= DEMAND
-la K9R_"f u,hi0sc config AudioSrv start= DISABLED 我爱贵溪8[/HZ|T
sc config BITS start= DEMAND 我爱贵溪 }8W `R H ll
sc config Browser start= DEMAND
#LJ%]~&Wn X;~0sc config CiSvc start= DISABLED 我爱贵溪4V,h?(k)I ?Ul/[9QR
sc config ClipSrv start= DISABLED
1I&F`5p Ig;M f W'H0sc config clr_optimization_v2.0.50727_32 start= DEMAND 我爱贵溪 _#v.]zv
sc config COMSysApp start= DEMAND
6V4[ I UnRw0sc config CryptSvc start= AUTO
W:]&c8} |Ad6_.kk0sc config DcomLaunch start= AUTO 我爱贵溪n T&AT#jy(N
sc config Dfs start= DEMAND 我爱贵溪X u*^ rBGk Kw
sc config Dhcp start= AUTO
G P ][!`0sc config dmadmin start= DEMAND
zr7r,DS3HGg0sc config dmserver start= AUTO 我爱贵溪W Id5lQS9d#XA3Xn^
sc config Dnscache start= AUTO
6|kk ER0sc config ERSvc start= DISABLED
]j W5c"k-J4TJ0sc config Eventlog start= AUTO 字串7 我爱贵溪 @0{'i zD8g za"H6s
sc config EventSystem start= AUTO
T _!o W1Lo,}(Ns0sc config helpsvc start= DISABLED
#j5X0u7j/bg0sc config HidServ start= AUTO 我爱贵溪MTSLP2t
sc config HTTPFilter start= DEMAND
m L+a"_{ U/m0sc config IISADMIN start= AUTO 我爱贵溪2M UzD_~6m#h
sc config ImapiService start= DISABLED 我爱贵溪TC.j2R"e4t*Gz
sc config IsmServ start= DISABLED 我爱贵溪6wi6W/Q:b
sc config kdc start= DISABLED
R!so8f*k0pz0sc config lanmanworkstation start= DISABLED 我爱贵溪 t"{4c-bQx.`d%gZ
sc config LicenseService start= DISABLED
HL8iiyx@0sc config LmHosts start= DISABLED 我爱贵溪6F.wn.n/c'C
sc config Messenger start= DISABLED 我爱贵溪;u$uNWx7hR M5G$Ts
sc config mnmsrvc start= DISABLED
-r&A!]A2_QZ8b Z0sc config MSDTC start= AUTO 我爱贵溪(x1i/Ys ^
sc config MSIServer start= DEMAND
服务器安全设置
-L6gbPDz fU0>> IIS6.0的安装我爱贵溪.Us.A*R m
开始菜单—>控制面板—>添加或删除程序—>添加/删除Windows组件
8M$JvTA,Y!jD0 应用程序 ———ASP.NET（可选）
\.|2m`kV/u J0d0 |——启用网络 COM+ 访问（必选）我爱贵溪 RAh7}!SN*]X @g
|——Internet 信息服务(IIS)———Internet 信息服务管理器（必选）
PD^#b@@6C&Z5Bz0 |——公用文件（必选）我爱贵溪+[ u"xg'nS%mH
|——万维网服务———Active Server pages（必选）我爱贵溪 _P'K&eK)a3Q
|——Internet 数据连接器（可选）
Hw1F)T*O!O,h*}'[0 |——WebDAV 发布（可选） 字串5
ttgV!A|0 |——万维网服务（必选）
n3^,f{H0 |——在服务器端的包含文件（可选）
N].v"qS EeTo3E1yL0>> 在”网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP）和Microsoft网络客户端。在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。
| F&?:L g*W%y0>>在“本地连接”打开Windows 2003 自带的防火墙，可以屏蔽端口，基本达到一个IPSec的功能,只保留有用的端口,比如远程(3389)和 Web(80),Ftp(21),邮件服务器(25,110),https(443),SQL(1433)
0v G/d L,}9a-|(]b0>> IIS (Internet信息服务器管理器) 在"主目录"选项设置以下我爱贵溪Pm*i s*}.Ee*IX
读 允许
,y:P"ku6Gp0写 不允许
K(u3O"{0GG!{R0脚本源访问 不允许我爱贵溪 E x.gW u
目录浏览 建议关闭
_*mf(h{.F5x0记录访问 建议关闭我爱贵溪 L'Y h5rX_6a
索引资源 建议关闭
W\:@Z7Z,j+pi0执行权限 推荐选择 “纯脚本”
F z)\ Q5X Wlr0
&en xq E-o0>> 建议使用W3C扩充日志文件格式，每天记录客户IP地址，用户名，服务器端口，方法，URI字根，HTTP状态，用户代理，而且每天均要审查日志。 字串3 我爱贵溪Vu S Uh7qx8I1}
(最好不要使用缺省的目录，建议更换一个记日志的路径，同时设置日志的访问权限，只允许管理员和system为Full Control)。 我爱贵溪!FM6_]/XU&R
>> 在IIS6.0 -本地计算机 - 属性- 允许直接编辑配置数据库在IIS中 属性->主目录->配置->选项中。
N!Rl&N(l }0
4tS |/Xy,T0>> 在网站把”启用父路径“前面打上勾
$p9` E4i N Ax \_;X0
%? p/LP O`6D0>> 在IIS中的Web服务扩展中选中Active Server Pages，点击“允许”我爱贵溪#B)A.oU [`o P
我爱贵溪pvv'c7_7l8x
>> 优化IIS6应用程序池
6H%[ jl8Fi w1E[0 1、取消“在空闲此段时间后关闭工作进程（分钟）”我爱贵溪dQP I,Z(\(Q'@ s
2、勾选“回收工作进程（请求数目）”我爱贵溪3Hi m,z `.m9l5?
3、取消“快速失败保护”
IG hQVnv |0>> 解决SERVER 2003不能上传大附件的问题我爱贵溪1J G.}8[v#F},_
在“服务”里关闭 iis admin service 服务。我爱贵溪 o*c s @ i3G/o;xu
找到 windows\system32\inetsrv\ 下的 metabase.xml 文件。
q4lGc E l:S0 找到 ASPMaxRequestEntityAllowed 把它修改为需要的值（可修改为20M即：20480000）我爱贵溪y)bZ"V$a$["h h J[
存盘，然后重启 iis admin service 服务。我爱贵溪K9zgHhU*U s6@ yk
/d5cu-^0q@([0>> 解决SERVER 2003无法下载超过4M的附件问题
JRk1[FAW0 在“服务”里关闭 iis admin service 服务。 字串9 我爱贵溪 y.pu NQ3S*}f o(H*R"l H
找到 windows\system32\inetsrv\ 下的 metabase.xml 文件。我爱贵溪 ^ H*DH:}s'w
找到 AspBufferingLimit 把它修改为需要的值（可修改为20M即：20480000）我爱贵溪 e1n/Q+Fv
存盘，然后重启 iis admin service 服务。
*f S$d'].f qb0
#N1K B i2r.L!F*Swy#s0>> 超时问题
5?1m[yy0 解决大附件上传容易超时失败的问题
M8Y!p `XC,QT$Q N0 在IIS中调大一些脚本超时时间，操作方法是： 在IIS的“站点或虚拟目录”的“主目录”下点击“配置”按钮，我爱贵溪u7@^8DpL&_
设置脚本超时时间为：300秒 (注意：不是Session超时时间)
\ eb C-r`+K `Ok]PJ0 解决通过WebMail写信时间较长后，按下发信按钮就会回到系统登录界面的问题我爱贵溪[` WN0D8O e
适当增加会话时间(Session)为 60分钟。在IIS站点或虚拟目录属性的“主目录”下点击“配置-->选项”，
1fz%kJ MGi A0 就可以进行设置了(Windows 2003默认为20分钟)
o3TVcT"D!n"r2N {0>> 修改3389远程连接端口我爱贵溪 Cx4\4}B Vb\A
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]我爱贵溪 x5b _ Hapj
"PortNumber"=dword:0000端口号我爱贵溪 }Kb1P([
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]我爱贵溪M1r"a(n H E v
"PortNumber"=dword:0000端口号 字串4
P0v!s6CF*V6z w0设置这两个注册表的权限, 添加“IUSR”的完全拒绝 禁止显示端口号
/t1i1u"{EzYs Ds M0
ZXH&g+gi j O0>> 本地策略--->用户权限分配我爱贵溪9K c"@k7t;An"H
关闭系统：只有Administrators组、其它全部删除。
N2}yPVvn0 通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除我爱贵溪3Pp N@ R q
s ^m,[ _$KB0>> 在安全设置里 本地策略-用户权利分配，通过终端服务拒绝登陆 加入我爱贵溪#?N1l&X.E_
ASPNET
!p%xL$BL)`;n~0IUSR_
,I&w4|;u/W MT|0{0IWAM_
,\ X f^0S5p0NETWORK SERVICE
*yN q#G v-d6^%|!R0(注意不要添加进user组和administrators组 添加进去以后就没有办法远程登陆了)我爱贵溪1A*s x$z Q O2N$@B
T oWp3}Z `0>> 在安全设置里 本地策略-安全选项
.Z5J~ln"y7_h0网络访问:可匿名访问的共享; 我爱贵溪fy H5a4?
网络访问:可匿名访问的命名管道; 我爱贵溪8k:K?K n(@'Q:@4z-|
网络访问:可远程访问的注册表路径; 我爱贵溪,p+P)bp4LB2k$U
网络访问:可远程访问的注册表路径和子路径; 我爱贵溪1z ~5zZ.{ C!S
将以上四项全部删除
T#Xs;]r0E0>> 不允许 SAM 账户的匿名枚举 更改为"已启用" 我爱贵溪~M R @+{%gK|r/y
>> 不允许 SAM 账户和共享的匿名枚举 更改为"已启用" ;
9Q ^o"v.ad'o I0>> 网络访问: 不允许存储网络身份验证的凭据或 .NET Passports 更改为"已启用" ;
@ Ej$Dj0>> 网络访问.限制匿名访问命名管道和共享,更改为"已启用" ; 字串6
!E5{!_ Y&p SN;n:JL0将以上四项通通设为“已启用”
b"IC:rEgx0我爱贵溪 PpO2~ u-Yv Q
P\,Q W ?Il1d'O.U3w a0>> 计算机管理的本地用户和组我爱贵溪L2V+[s H5r3@8Ew
禁用终端服务(TsInternetUser), SQL服务(SQLDebugger), SUPPORT_388945a0
fp j!Ba^^,a k'?`j0我爱贵溪O*M O(}],s
>> 禁用不必要的服务我爱贵溪E&_7]^4PD(|3N
sc config AeLookupSvc start= AUTO 我爱贵溪 h(i+[bi'X"t4j'd
sc config Alerter start= DISABLED 我爱贵溪f{)qA7w9d%M2W1R0o(\m
sc config ALG start= DISABLED
rZ ]s*I0sc config AppMgmt start= DEMAND
|d-?f8mu {0sc config aspnet_state start= DEMAND
-la K9R_"f u,hi0sc config AudioSrv start= DISABLED 我爱贵溪8[/HZ|T
sc config BITS start= DEMAND 我爱贵溪 }8W `R H ll
sc config Browser start= DEMAND
#LJ%]~&Wn X;~0sc config CiSvc start= DISABLED 我爱贵溪4V,h?(k)I ?Ul/[9QR
sc config ClipSrv start= DISABLED
1I&F`5p Ig;M f W'H0sc config clr_optimization_v2.0.50727_32 start= DEMAND 我爱贵溪 _#v.]zv
sc config COMSysApp start= DEMAND
6V4[ I UnRw0sc config CryptSvc start= AUTO
W:]&c8} |Ad6_.kk0sc config DcomLaunch start= AUTO 我爱贵溪n T&AT#jy(N
sc config Dfs start= DEMAND 我爱贵溪X u*^ rBGk Kw
sc config Dhcp start= AUTO
G P ][!`0sc config dmadmin start= DEMAND
zr7r,DS3HGg0sc config dmserver start= AUTO 我爱贵溪W Id5lQS9d#XA3Xn^
sc config Dnscache start= AUTO
6|kk ER0sc config ERSvc start= DISABLED
]j W5c"k-J4TJ0sc config Eventlog start= AUTO 字串7 我爱贵溪 @0{'i zD8g za"H6s
sc config EventSystem start= AUTO
T _!o W1Lo,}(Ns0sc config helpsvc start= DISABLED
#j5X0u7j/bg0sc config HidServ start= AUTO 我爱贵溪MTSLP2t
sc config HTTPFilter start= DEMAND
m L+a"_{ U/m0sc config IISADMIN start= AUTO 我爱贵溪2M UzD_~6m#h
sc config ImapiService start= DISABLED 我爱贵溪TC.j2R"e4t*Gz
sc config IsmServ start= DISABLED 我爱贵溪6wi6W/Q:b
sc config kdc start= DISABLED
R!so8f*k0pz0sc config lanmanworkstation start= DISABLED 我爱贵溪 t"{4c-bQx.`d%gZ
sc config LicenseService start= DISABLED
HL8iiyx@0sc config LmHosts start= DISABLED 我爱贵溪6F.wn.n/c'C
sc config Messenger start= DISABLED 我爱贵溪;u$uNWx7hR M5G$Ts
sc config mnmsrvc start= DISABLED
-r&A!]A2_QZ8b Z0sc config MSDTC start= AUTO 我爱贵溪(x1i/Ys ^
sc config MSIServer start= DEMAND
相关阅读:
- windows 2003架设WEB服务器最完善的安全权限方案 (传说, 2008-7-08)
TAG: 权限 完善 web Web WEB windows Windows 安全 方案 服务器 架设
