澳门新萄京官方网站-www.8455.com-澳门新萄京赌场网址

澳门新萄京官方网站Server安全布局,Win二〇〇一

2019-11-04 作者:服务器运维   |   浏览(141)

稳定的FTP服务器打造一、操作系统的选择

在企业中,对于一些大文件的共享,通常采用FTP这种形式来完成,并且由于FTP能消除操作系统之间的差异,对于不同的操作系统之间共享文件的作用就显得尤为突出。

WIN2003 Server安全配置完整篇一、先关闭不需要的端口
      我比较小心,先关了端口。只开了3389 21 80 1433有些人一直说什么默认的3389不安全,对此我不否认,但是利用的途径也只能一个一个的穷举爆破,你把帐号改了密码设置为十五六位,我估计他要破上好几年,哈哈!办法:本地连接--属性--Internet协议(TCP/IP)--高级--选项--TCP/IP筛选--属性--把勾打上 然后添加你需要的端口即可。PS一句:设置完端口需要重新启动!
当然大家也可以更改远程连接端口方法:
Windows Registry Editor Version 5.00

本配置仅适合Win2003,部分内容也适合于Win2000。很多人觉得3389不安全,其实只要设置好,密码够长,攻破3389也不是件容易的事情,我觉得别的远程软件都很慢,还是使用了3389连接。
经测试,本配置在Win2003 IIS6.0 Serv-U SQL Server 的单服务器多网站中一切正常。以下配置中打勾的为推荐进行配置,打叉的为可选配置。
一、系统权限的设置
1、磁盘权限 系统盘只给 Administrators 组和 SYSTEM 的完全控制权限
其他磁盘只给 Administrators 组完全控制权限
系统盘Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘Documents and SettingsAll Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘windowssystem32config 禁止guests组
系统盘Documents and SettingsAll Users「开始」菜单程序 禁止guests组
系统盘windownssystem32inetsrvdata 禁止guests组
系统盘WindowsSystem32 at.exe、attrib.exe、cacls.exe、net.exe、net1.exe、netstat.exe、regedit.exe 文件只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘WindowsSystem32 cmd.exe、format.com 仅 Administrators 组完全控制权限
把所有(Windowssystem32和WindowsServicePackFilesi386) format.com 更名为 format_nowayh.com
2、本地安全策略设置
开始菜单->管理工具->本地安全策略
A、本地策略-->审核策略
审核策略更改 成功 失败
审核登录事件 成功 失败
审核对象访问失败
审核过程跟踪 无审核
审核目录服务访问失败
审核特权使用失败
审核系统事件 成功 失败
审核账户登录事件 成功 失败
审核账户管理 成功 失败
B、本地策略-->用户权限分配
关闭系统:只有Administrators组、其它全部删除。
通过终端服务拒绝登陆:加入Guests组
通过终端服务允许登陆:加入Administrators、Remote Desktop Users组,其他全部删除
C、本地策略-->安全选项 交互式登陆:不显示上次的用户名 启用
网络访问:不允许SAM帐户和共享的匿名枚举 启用
网络访问:不允许为网络身份验证储存凭证 启用
网络访问:可匿名访问的共享 全部删除
网络访问:可匿名访问的命全部删除
网络访问:可远程访问的注册表路径全部删除
网络访问:可远程访问的注册表路径和子路径全部删除
帐户:重命名来宾帐户重命名一个帐户
帐户:重命名系统管理员帐户 重命名一个帐户
D、账户策略-->账户锁定策略 将账户设为“5次登陆无效”,“锁定时间为30分钟”,“复位锁定计数设为30分钟”
二、其他配置
√·把Administrator账户更改 管理工具→本地安全策略→本地策略→安全选项
√·新建一无任何权限的假Administrator账户
管理工具→计算机管理→系统工具→本地用户和组→用户
更改描述:管理计算机(域)的内置帐户
×·重命名IIS来宾账户
1、管理工具→计算机管理→系统工具→本地用户和组→用户→重命名IUSR_ComputerName
2、打开 IIS 管理器→本地计算机→属性→允许直接编辑配置数据库
3、进入Windowssystem32inetsrv文件夹→MetaBase.xml→右键编辑→找到"AnonymousUserName"→写入"IUSR_"新名称→保存
4、关闭"允许直接编辑配置数据库"
√·禁止文件共享
本地连接属性→去掉"Microsoft网络的文件和打印共享"和"Microsoft 网络客户端"前面的"√"
√·禁止NetBIOS(关闭139端口)
本地连接属性→TCP/IP属性→高级→WINS→禁用TCP/IP上的NetBIOS
管理工具→计算机管理→设备管理器→查看→显示隐藏的设备→非即插即用驱动程序→禁用 NetBios over tcpip→重启
√·防火墙的设置 本地连接属性→高级→Windows防火墙设置→高级→第一个"设置",勾选FTP、HTTP、远程桌面服务
√·禁止ADMIN$缺省共享、磁盘默认共享、限制IPC$缺省共享(匿名用户无法列举本机用户列表、禁止空连接)
新建REG文件,导入注册表

FTP服务器首先是基于操作系统而运作的,因而操作系统本身的安全性就决定了FTP服务器安全性的级别。虽然Windows 98/Me一样可以架设FTP服务器,但由于其本身的安全性就不强,易受攻击,因而最好不要采用。Windows NT就像鸡肋,不用也罢。最好采用Windows 2000及以上版本,并记住及时打上补丁。至于Unix、Linux,则不在讨论之列。

一、FTP服务器的工作方式

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp]
"PortNumber"=dword:00002683
保存为.REG文件双击即可!更改为9859,当然大家也可以换别的端口,  直接打开以上注册表的地址,把值改为十进制的输入你想要的端口即可!重启生效!

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters]
"AutoshareWks"=dword:00000000
"AutoShareServer"=dword:00000000
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa]
"restrictanonymous"=dword:00000001

稳定的FTP服务器打造二、使用防火墙

     FTP协议有两种工作方式:PORT方式和PASV方式,中文意思为主动式和被动式。其中PORT(主动)方式的连接过程是:客户端向服务器的FTP端口(默认是21)发送连接请求,服务器接受连接,建立一条命令链路。当需要传送数据时,服务器从20端口向客户端的空闲端口发送连接请求,建立一条数据链路来传送数据。而PASV(被动)方式的连接过程是:客户端向服务器的FTP端口(默认是21)发送连接请求,服务器接受连接,建立一条命令链路。当需要传送数据时,客户端向服务器的空闲端口发送连接请求,建立一条数据链路来传送数据。

还有一点,在2003系统里,用TCP/IP筛选里的端口过滤功能,使用FTP服务器的时候,只开放21端口,在进行FTP传输的时候,FTP 特有的Port模式和Passive模式,在进行数据传输的时候,需要动态的打开高端口,所以在使用TCP/IP过滤的情况下,经常会出现连接上后无法列出目录和数据传输的问题。所以在2003系统上增加的windows连接防火墙能很好的解决这个问题,所以都不推荐使用网卡的TCP/IP过滤功能。所做FTP下载的用户看仔细点,表怪俺说俺写文章是垃圾...如果要关闭不必要的端口,在\system32\drivers\etc\services中有列表,记事本就可以打开的。如果懒惰的话,最简单的方法是启用WIN2003的自身带的网络防火墙,并进行端口的改变。功能还可以!Internet 连接防火墙可以有效地拦截对Windows 2003服务器的非法入侵,防止非法远程主机对服务器的扫描,提高Windows 2003服务器的安全性。同时,也可以有效拦截利用操作系统漏洞进行端口攻击的病毒,如冲击波等蠕虫病毒。如果在用Windows 2003构造的虚拟路由器上启用此防火墙功能,能够对整个内部网络起到很好的保护作用。

√·删除以下注册表主键

端口是计算机和外部网络相连的逻辑接口,也是计算机的第一道屏障,端口配置正确与否直接影响到主机的安全,一般来说,仅打开你需要使用的端口,将其他不需要使用的端口屏蔽掉会比较安全。限制端口的方法比较多,可以使用第三方的个人防火墙,这里只介绍Windows自带的防火墙设置方法。

     FTP服务器可以以两种方式登录,一种是匿名登录,另一种是使用授权账号与密码登录。其中,一般匿名登录只能下载FTP服务器的文件,且传输速度相对要慢一些,当然,这需要在FTP服务器上进行设置,对这类用户,FTP需要加以限制,不宜开启过高的权限,在带宽方面也尽可有的小。而需要授权账号与密码登录,他需要管理员将账号与密码告诉网友,管理员对这些账号进行设置,比如他们能访问到哪些资源,下载与上载速度等,同样管理员需要对此类账号进行限制,并尽可能的把权限调低,如没十分必要,一定不要赋予账号有管理员的权限。

关于端口的介绍可以访问:
二.关闭不需要的服务 打开相应的审核策略
      我关闭了以下的服务
  Computer Browser 维护网络上计算机的最新列表以及提供这个列表

WScript.Network
WScript.Network.1
{093FF999-1EA0-4079-9525-9614C3504B74}
WScript.Shell
WScript.Shell.1
{72C24DD5-D70A-438B-8A42-98424B88AFB8}
Shell.Application
Shell.Application.1
{13709620-C279-11CE-A49E-444553540000}

1.利用TCP/IP筛选功能

二、利用WINDOWS组件IIS来构件FTP服务器

     Task scheduler 允许程序在指定时间运行

√·更改3389端口为12344 这里只介绍如何更改,既然本端口公布出来了,那大家就别用这个了,端口可用windows自带的计算器将10进制转为16进制,16进制数替换下面两个的dword:后面的值(7位数,不够的在前面补0),登陆的时候用10进制,端口更改在服务器重启后生效。新建REG文件,导入注册表

在Windows 2000和Windows XP中,系统都带有TCP/IP筛选功能,利用它可以简单地进行端口设置。以Windows XP为例,打开“本地连接”的属性,在“常规”选项中找到“Internet协议(TCP/IP)”,双击它打开该协议的属性设置窗口。点击右下方的“高级”按钮,进入“高级TCP/IP设置”。在“选项”中选中“TCP/IP筛选”并双击进入其属性设置。这里我们可以设置系统只允许开放的端口,假如架设的FTP服务器端口为21,先选中“启用TCP/IP筛选(所有适配器)”,再在TCP端口选项中选择“只允许”,点“添加”,输入端口号21,确定即可。这样,系统就只允许打开21端口。要开放其他端口,继续添加即可。这可以有效防止最常见的139端口入侵。缺点是功能过于简单,只能设置允许开放的端口,不能自定义要关闭的端口。如果你有大量端口要开放,就得一个个地去手工添加,比较麻烦。

     在架设FTP网站时,对于仅仅作为共享文件这种服务而没有其他特殊要求的,可通过Windows XP/2000/2003操作系统的IIS组件来完成。下面我们来简单进行说明:

  Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcp]
"PortNumber"=dword:0003038
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp]
"PortNumber"=dword:00003038

2.打开Internet连接防火墙

1. IIS安装,可按照“开始”——>“设置”——>“控制面板”——>“添加/删除程序”,打开“添加/删除程序”对话框,选中“添加/删除Windows组件”出现如下图

  Distributed File System: 局域网管理共享文件,不需要禁用

最后别忘了Windows防火墙允许12344端口,关闭3389端口
√·禁止非管理员使用at命令,新建REG文件,导入注册表

对于Windows XP系统,自带了“Internet连接防火墙”功能,与TCP/IP筛选功能相比,设置更方便,功能更强大。除了自带防火墙端口开放规则外,还可以自行增删。在控制面板中打开“网络连接”,右击拨号连接,进入“高级”选项卡,选中“通过限制或阻止来自Internet的对此计算机的访问来保护我的计算机和网络”,启用它。系统默认状态下是关闭了FTP端口的,因而还要设置防火墙,打开所使用的FTP端口。点击右下角的“设置”按钮进入“高级设置”,选中“FTP服务器”,编辑它。由于FTP服务默认端口是21,因而除了IP地址一栏外,其余均不可更改。在IP地址一栏中填入服务器公网ip,确定后退出即可即时生效。如果架设的FTP服务器端口为其他端口,比如22,则可以在“服务”选项卡下方点“添加”,输入服务器名称和公网IP后,将外部端口号和内部端口号均填入22即可。

  Distributed linktracking client:用于局域网更新连接信息,不需要禁用

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa]
"SubmitControl"=dword:00000001

稳定的FTP服务器打造三、对IIS、Serv-u等服务器软件进行设置

图1

  Error reporting service:禁止发送错误报告

√·卸载最不安全的组件
运行"卸载最不安全的组件.bat",重启后更名或删掉WindowsSystem32里的wshom.ocx和shell32.dll

除了依靠系统提供的安全措施外,就需要利用FTP服务器端软件本身的设置来提高整个服务器的安全了。

  1. 选中“Internet信息服务(IIS)”,查看其详细信息,如图2

  Microsoft Serch:提供快速的单词搜索,不需要可禁用

----------------卸载最不安全的组件.bat-----------------
regsvr32/u %SystemRoot%System32wshom.ocx
regsvr32/u %SystemRoot%System32shell32.dll
regsvr32/u %SystemRoot%System32wshext.dll
-------------------------------------------------------

1.IIS的安全性设置

  NTLMSecuritysupportprovide:telnet服务和Microsoft Serch用的,不需要禁用

√·Windows日志的移动

1)及时安装新补丁

图2

  PrintSpooler:如果没有打印机可禁用

打开"HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesEventlog"

对于IIS的安全性漏洞,可以说是“有口皆碑”了,平均每两三个月就要出一两个漏洞。所幸的是,微软会根据新发现的漏洞提供相应的补丁,这就需要你不断更新,安装最新补丁。

3. 选中图2中的“文件传输协议(FTP)服务器”项后,单击确定,接下来按照向导至安装完成。
4. 打开“开始”——>“程序”——>“管理工具”——>“Internet信息服务”,打开IIS控制台。如图3

  Remote Registry:禁止远程修改注册表

Application 子项:应用程序日志
Security 子项:安全日志
System 子项:系统日志
分别更改子项的File键值,再把System32config目录下的AppEvent.Evt、SecEvent.Evt、SysEvent.Evt复制到目标文件夹,重启。
√·Windows日志的保护 1、移动日志后的文件夹→属性→安全→高级→去掉"允许父系的继承权限……"→复制→确定
2、保留System账户和User组,System账户保留除完全控制和修改之外的权限,User组仅保留只读权限
3、AppEvent.Evt、SysEvent.Evt保留Administrator、System账户和User组,Administrator、System账户保留除完全控制和修改之外的权 限,User组仅保留只读权限;
DnsEvent.Evt、SecEvent.Evt保留System账户和User组,System账户保留除完全控制和修改之外的权限,User组仅保留只读权限
√·要手动停止/禁用的服务:Computer Browser、Error reporting service、Microsoft Serch、Print Spooler、Remote Registry、Server 、TCP/IP NetBIOS Helper、Workstation
√·解决在 IIS 6.0 中,无法下载超过4M的附件(现改为10M)
停止IIS服务→打开WINDOWSsystem32inetsrv→记事本打开MetaBase.xml→找到 AspBufferingLimit 项→值改为 10485760
√·设置Web上传单个文件最大值为10 MB 停止IIS服务→打开WINDOWSsystem32inetsrv→记事本打开MetaBase.xml→找到 AspMaxRequestEntityAllowed 项→值改为 10485760
×·重新定位和设置 IIS 日志文件的权限
1、将 IIS 日志文件的位置移动到非系统分区:在非系统的NTFS分区新建一文件夹→打开 IIS 管理器→右键网站→属性→单击"启用日志 记录"框架中的"属性"→更改到刚才创建的文件夹
2、设置 IIS 日志文件的权限:浏览至日志文件所在的文件夹→属性→安全→确保Administrators和System的权限设置为"完全控制"
×·配置 IIS 元数据库权限 打开 WindowsSystem32InetsrvMetaBase.xml 文件→属性→安全→确认只有 Administrators 组的成员和 LocalSystem 帐户拥有对元 数据库的完全控制访问权,删除所有其他文件权限→确定
解释 Web 内容的权限
打开IIS管理器→右键想要配置的网站的文件夹、网站、目录、虚拟目录或文件
澳门新萄京官方网站Server安全布局,Win二〇〇一网址服务器的安全布局全计谋。脚本源文件访问,用户可以访问源文件。如果选择"读",则可以读源文件;如果选择"写",则可以写源文件。脚本源访问包括脚本的源代码 。如果"读"或"写"均未选择,则此选项不可用。
读(默认情况下选择):用户可以查看目录或文件的内容和属性。
写:用户可以更改目录或文件的内容和属性。
目录浏览:用户可以查看文件列表和集合。
日志访问:对网站的每次访问创建日志项。
检索资源:允许检索服务检索此资源。这允许用户搜索资源。
√·关闭自动播放
运行组策略编辑器(gpedit.msc)→计算机配置→管理模板→系统→关闭自动播放→属性→已启用→所有驱动器
√·禁用DCOM
运行Dcomcnfg.exe。控制台根节点→组件服务→计算机→右键单击“我的电脑”→属性”→默认属性”选项卡→清除“在这台计算机上启用分布式 COM”复选框。
√·启用父路径 IIS管理器→右键网站→属性→主目录→配置→选项→启用父路径
√·IIS 6.0 系统无任何动作超时时间和脚本超时时间
IIS管理器→右键网站→属性→主目录→配置→选项→分别改为40分钟和180秒
√·删除不必要的IIS扩展名映射 IIS管理器→右击Web站点→属性→主目录→配置→映射,去掉不必要的应用程序映射,主要为.shtml, .shtm, .stm
√·增加IIS对MIME文件类型的支持 IIS管理器→选择服务器→右键→属性→MIME类型(或者右键web站点→属性→HTTP头→MIME类型→新建)添加如下表内容,然后重启IIS,扩展名MIME类型

2)将安装目录设置到非系统盘,关闭不需要的服务

  Remote Desktop Help Session Manager:禁止远程协助

.iso application/octet-stream
.rmvb application/vnd.rn-realmedia

一些恶意用户可以通过IIS的溢出漏洞获得对系统的访问权。把IIS安放在系统分区上,会使系统文件与IIS同样面临非法访问,容易使非法用户侵入系统分区。另外,由于IIS是一个综合性服务组件,每开设一个服务都将会降低整个服务的安全性,因而,对不需要的服务尽量不要安装或启动。

图3

       Workstation   关闭的话远程NET命令列不出用户组

√·禁止dump file的产生
我的电脑→右键→属性→高级→启动和故障恢复→写入调试信息→无。
dump文件在系统崩溃和蓝屏的时候是一份很有用的查找问题的资料(不然我就照字面意思翻译成垃圾文件了)。然而,它也能够给黑客提供 一些敏感信息比如一些应用程序的密码等。
三、Serv-U FTP服务的设置 √·本地服务器→设置→拦截"FTP_bounce"攻击和FXP
对于60秒内连接超过10次的用户拦截5分钟
√·本地服务器→域→用户→选中需要设置的账号→右边的"同一IP只允许2个登录"
√·本地服务器→域→设置→高级→取消"允许MDTM命令来更改文件的日期/时间"
设置Serv-U程序所在的文件夹的权限,Administrator组完全控制,禁止Guests组和IIS匿名用户有读取权限
服务器消息,自上而下分别改为:

3)只允许匿名连接

5. 单击“默认FTP站点”,在右键快捷菜单中选中“属性”,打开“默认FTP站点属性”对话框,如图4

 把不必要的服务都禁止掉,尽管这些不一定能被攻击者利用得上,但是按照安全规则和标准上来说,多余的东西就没必要开启,减少一份隐患。
  
  在"网络连接"里,把不需要的协议和服务都删掉,这里只安装了基本的Internet协议(TCP/IP),由于要控制带宽流量服务,额外安装了Qos数据包计划程序。在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS(S)"。在高级选项里,使用"Internet连接防火墙",这是windows 2003 自带的防火墙,在2000系统里没有的功能,虽然没什么功能,但可以屏蔽端口,这样已经基本达到了一个IPSec的功能。

服务器工作正常,现已准备就绪...
错误!请与管理员联系!
FTP服务器正在离线维护中,请稍后再试!
FTP服务器故障,请稍后再试!
当前账户达到最大用户访问数,请稍后再试!
很抱歉,服务器不允许匿名访问!
您上传的东西太少,请上传更多东西后再尝试下载!

FTP最大的安全漏洞在于其默认传输密码的过程是明文传送,很容易被人嗅探到。而IIS又是基于Windows用户账户进行管理的,因而很容易泄漏系统账户名及密码,如果该账户拥有一定管理权限,则更会影响到整个系统的安全。设置为“只允许匿名连接”,可以免却传输过程中泄密的危险。进入“默认FTP站点”,在属性的“安全账户”选项卡中,将此选项选中。

在运行中输入gpedit.msc回车,打开组策略编辑器,选择计算机配置-Windows设置-安全设置-审核策略在创建审核项目时需要注意的是如果审核的项目太多,生成的事件也就越多,那么要想发现严重的事件也越难当然如果审核的太少也会影响你发现严重的事件,你需要根据情况在这二者之间做出选择。

四、SQL安全设置
审核指向SQL Server的连接 企业管理器→展开服务器组→右键→属性→安全性→失败
修改sa账户密码 企业管理器→展开服务器组→安全性→登录→双击sa账户
SQL查询分析器

4)谨慎设置主目录及其权限

图4

  推荐的要审核的项目是:

use master 
exec sp_dropextendedproc xp_cmdshell 
exec sp_dropextendedproc xp_dirtree
exec sp_dropextendedproc xp_enumgroups
exec sp_dropextendedproc xp_fixeddrives
exec sp_dropextendedproc xp_loginconfig
exec sp_dropextendedproc xp_enumerrorlogs
exec sp_dropextendedproc xp_getfiledetails
exec sp_dropextendedproc Sp_OACreate 
exec sp_dropextendedproc Sp_OADestroy 
exec sp_dropextendedproc Sp_OAGetErrorInfo 
exec sp_dropextendedproc Sp_OAGetProperty 
exec sp_dropextendedproc Sp_OAMethod 
exec sp_dropextendedproc Sp_OASetProperty 
exec sp_dropextendedproc Sp_OAStop 
exec sp_dropextendedproc Xp_regaddmultistring 
exec sp_dropextendedproc Xp_regdeletekey 
exec sp_dropextendedproc Xp_regdeletevalue 
exec sp_dropextendedproc Xp_regenumvalues 
exec sp_dropextendedproc Xp_regread 
exec sp_dropextendedproc Xp_regremovemultistring 
exec sp_dropextendedproc Xp_regwrite 
drop procedure sp_makewebtask 

IIS可以将FTP站点主目录设为局域网中另一台计算机的共享目录,但在局域网中,共享目录很容易招致其他计算机感染的病毒攻击,严重时甚至会造成整个局域网瘫痪,不到万不得已,最好使用本地目录并将主目录设为NTFS格式的非系统分区中。这样,在对目录的权限设置时,可以对每个目录按不同组或用户来设置相应的权限。右击要设置的目录,进入“共享和安全→安全”中设置,如非必要,不要授予“写入”权限。

6. 在“FTP站点”选项卡中,需要修改“说明”为容易识别的标识,如阿九的FTP站,IP地址修改为当前主机的某个IP地址(在主机具备多IP地址的情况下)。如本机修改为私有地址“192.168.112.128”,“TCP端口”为默认的FTP端口“21”。如图5

  登录事件   成功 失败

【相关文章】

5)尽量不要使用默认端口号21

  账户登录事件 成功 失败

  • 专题:打造安全服务器

启用日志记录,以备出现异常情况时查询原因。

图5

  系统事件   成功 失败

2.Serv-u的安全性设置

7. 在“安全帐号”中选中“允许匿名连接”,如果对于客户端登陆时需要进行身份验证,则可通过“浏览”来选中服务器的Windows用户。如图6、图7

  策略更改   成功 失败

  • Windows 2003服务器安全配置终极技巧

与IIS的FTP服务相比,Serv-u在安全性方面做得比较好。

  对象访问   失败

【责任编辑:赵毅 TEL:(010)68476636-8001】

1)对“本地服务器”进行设置

图6

  目录服务访问 失败

原文:Win2003网站服务器的安全配置全攻略 返回网络安全首页

首先,选中“拦截FTP_bounce攻击和XP”。通常,当使用FTP协议进行文件传输时,客户端首先向FTP服务器发出一个“PORT”命令,该命令中包含此用户的IP地址和将被用来进行数据传输的端口号,服务器收到后,利用命令所提供的用户地址信息建立与用户的连接。大多数情况下,上述过程不会出现任何问题,但当客户端是一名恶意用户时,可能会通过在PORT命令中加入特定的地址信息,使FTP服务器与其它非客户端的机器建立连接。虽然这名恶意用户可能本身无权直接访问某一特定机器,但是如果FTP服务器有权访问该机器的话,那么恶意用户就可以通过FTP服务器作为中介,仍然能够最终实现与目标服务器的连接。这就是FXP,也称跨服务器攻击。选中后就可以防止发生此种情况。

  特权使用   失败

其次,在“高级”选项卡中,检查“加密密码”和“启用安全”是否被选中,如果没有,选择它们。“加密密码”使用单向Hash函数(MD5)加密用户口令,加密后的口令保存在ServUDaemon.ini或是注册表中。如果不选择此项,用户口令将以明文形式保存在文件中:“启用安全”将启动Serv-u服务器的安全成功。

图7

 

2)对域中的服务器进行设置

  1. 在“消息”选项卡中添加FTP服务器的登陆欢迎信息和退出信息,如图8

澳门新萄京官方网站Server安全布局,Win二〇〇一网址服务器的安全布局全计谋。关于WIN2003的服务说明:

前面说过,FTP默认为明文传送密码,容易被人嗅探,对于只拥有一般权限的账户,危险并不大,但如果该账户拥有远程管理尤其是系统管理员权限,则整个服务器都会被别人远程控制。Serv-u对每个账户的密码都提供了以下三种安全类型:规则密码、OTP S/KEY MD4和OTP S/KEY MD5.不同的类型对传输的加密方式也不同,以规则密码安全性最低。进入拥有一定管理权限的账户的设置中,在“常规”选项卡的下方找到“密码类型”下拉列表框,选中第二或第三种类型,保存即可。注意,当用户凭此账户登录服务器时,需要FTP客户端软件支持此密码类型,如CuteFTP Pro等,输入密码时选择相应的密码类型方可通过服务器验证。

三、关闭默认共享的空连接

与IIS一样,还要谨慎设置主目录及其权限,凡是没必要赋予写入等能修改服务器文件或目录权限的,尽量不要赋予。最后,进入“设置”,在“日志”选项卡中将“启用记录到文件”选中,并设置好日志文件名及保存路径、记录参数等,以方便随时查询服务器异常原因。

图8

地球人都知道,我就不打了!

  1. 一站式服务之:Linux FTP服务器安全完全攻略
  2. 在RHEL4配置ftp服务详细的五个步骤
  3. linux中ftp命令参数大全

9. 在“主目录”选项卡中选择FTP服务器向外提供服务的主目录,此处可选择“此计算机上的目录”,通过浏览进行选择,或者选择“另一计算机上的共享位置”,这是FTP服务器向外提供服务的主目录就在其他主机上,格式为“\{服务器}{共享名}”,在FTP站点目录下的“读取”、“写入”、“日志访问”对FTP站点的权限进行配置,如在此处,我们出于安全考虑为匿名anonymous用户通过分配“读取”而不分配“写入”如图9所示

四、磁盘权限设置

FTP服务器首先是基于操作系统而运作的,因而操作系统本身的安全性就决定了FTP服务器安全性的级...

C盘只给administrators 和system权限,其他的权限不给,其他的盘也可以这样设置,这里给的system权限也不一定需要给,只是由于某些第三方应用程序是以服务形式启动的,需要加上这个用户,否则造成启动不了。   

图9

 

10. 在“目录安全性”选项卡中对FTP服务器的访问控制权限进行分配,可通过此处将FTP服务器的访问权限授权给某部分IP用户或者拒绝来自某些IP用户的访问。注意当选择了“授权访问”后,在下表中的IP地址将被拒绝,如选择“拒绝访问”,下表中的IP地址用户将被授权。如图10

  Windows目录要加上给users的默认权限,否则ASP和ASPX等应用程序就无法运行。以前有朋友单独设置Instsrv和temp等目录权限,其实没有这个必要的。   

 

图10

  另外在c:/Documents and Settings/这里相当重要,后面的目录里的权限根本不会继承从前的设置,如果仅仅只是设置了C盘给administrators权限,而在All Users/Application Data目录下会 出现everyone用户有完全控制权限,这样入侵这可以跳转到这个目录,写入脚本或只文件,再结合其他漏洞来提升权限;譬如利用serv-u的本地溢出提升权限,或系统遗漏有补丁,数据库的弱点,甚至社会工程学等等N多方法,从前不是有牛人发飑说:"只要给我一个webshell,我就能拿到system",这也的确是有可能的。在用做web/ftp服务器的系统里,建议是将这些目录都设置的锁死。其他每个盘的目录都按照这样设置,没个盘都只给adinistrators权限。
另外,还将:
net.exe NET命令
cmd.exe  CMD 懂电脑的都知道咯~
tftp.exe
netstat.exe
regedit.exe  注册表啦 大家都知道
at.exe
attrib.exe
cacls.exe  ACL用户组权限设置,此命令可以在NTFS下设置任何文件夹的任何权限!偶入侵的时候没少用这个....(:
format.exe  不说了,大家都知道是做嘛的
大家都知道ASP木马吧,有个CMD运行这个的,这些如果都可以在CMD下运行..55,,估计别的没啥,format下估计就哭料~~~(:这些文件都设置只允许administrators访问。
五、防火墙、杀毒软件的安装
关于这个东西的安装其实我也说不来,反正安装什么的都有,建议使用卡巴,卖咖啡。用系统自带的防火墙,,这个我不专业,不说了!大家凑合!

  1. 至此,FTP服务器架设成功。

六、SQL2000 SERV-U FTP安全设置

三、测试FTP服务器

SQL安全方面
      1、System Administrators 角色最好不要超过两个

  1. 打开“开始”——>“程序”——>“附件”——>“ 命令提示符”,在光标处输入“FTP   192.168.112.128”,如图11

  2、如果是在本机最好将身份验证配置为Win登陆

  3、不要使用Sa账户,为其配置一个超级复杂的密码

图11

  4、删除以下的扩展存储过程格式为:
  use master
  sp_dropextendedproc '扩展存储过程名'

  1. 输入匿名帐户anonymous,密码为自己的邮件地址,如图12

  xp_cmdshell:是进入操作系统的最佳捷径,删除

  访问注册表的存储过程,删除
  Xp_regaddmultistring  Xp_regdeletekey  Xp_regdeletevalue  Xp_regenumvalues  
  Xp_regread      Xp_regwrite    Xp_regremovemultistring  

图12

  OLE自动存储过程,不需要删除
  Sp_OACreate   Sp_OADestroy    Sp_OAGetErrorInfo  Sp_OAGetProperty
  Sp_OAMethod  Sp_OASetProperty  Sp_OAStop

  1. 这时可通过FTP的命令对FTP服务器进行操作,如图13

  5、隐藏 SQL Server、更改默认的1433端口

  右击实例选属性-常规-网络配置中选择TCP/IP协议的属性,选择隐藏 SQL Server 实例,并改原默认的1433端口

图13

serv-u的几点常规安全需要设置下:
  
  选中"Block "FTP_bounce"attack and FXP"。什么是FXP呢?通常,当使用FTP协议进行文件传输时,客户端首先向FTP服务器发出一个"PORT"命令,该命令中包含此用户的IP地址和将被用来进行数据传输的端口号,服务器收到后,利用命令所提供的用户地址信息建立与用户的连接。大多数情况下,上述过程不会出现任何问题,但当客户端是一名恶意用户时,可能会通过在PORT命令中加入特定的地址信息,使FTP服务器与其它非客户端的机器建立连接。虽然这名恶意用户可能本身无权直接访问某一特定机器,但是如果FTP服务器有权访问该机器的话,那么恶意用户就可以通过FTP服务器作为中介,仍然能够最终实现与目标服务器的连接。这就是FXP,也称跨服务器攻击。选中后就可以防止发生此种情况。

4. 通过IE来验证或者获取FTP服务,在IE的地址栏中输入“ftp://192.168.112.128/”如图14

七、IIS安全设置

IIS的安全:

图15

  1、不使用默认的Web站点,如果使用也要将 将IIS目录与系统磁盘分开。

  1. 此外还可以通过一些FTP客户端软件来访问,如FLASHFTP、CUTEFTP等。

  2、删除IIS默认创建的Inetpub目录(在安装系统的盘上)。

四、虚拟目录及多站点的配置

  3、删除系统盘下的虚拟目录,如:_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。

1. 在FTP的配置过程中,我们经常需要对一个主机提供多个FTP站点来进行FTP共享,此时建立多站点的形式来完成,完成时可通过新建站点的形式,根据新建站点向导一步步完成。如图16

  4、删除不必要的IIS扩展名映射。

  右键单击“默认Web站点→属性→主目录→配置”,打开应用程序窗口,去掉不必要的应用程序映射。主要为.shtml, .shtm, .stm

图16

  5、更改IIS日志的路径

2. 这时,可通过一个主机上的不同IP地址来架设,或者通过同一个IP地址,不同的端口号来进行识别。如图17,我们使用端口2121来构建第二个FTP站点。

  右键单击“默认Web站点→属性-网站-在启用日志记录下点击属性

  6、如果使用的是2000可以使用iislockdown来保护IIS,在2003运行的IE6.0的版本不需要。
  
八、其它

图17

1、  系统升级、打操作系统补丁,尤其是IIS 6.0补丁、SQL SP3a补丁,甚至IE 6.0补丁也要打。同时及时跟踪最新漏洞补丁;
2、停掉Guest 帐号、并给guest 加一个异常复杂的密码,把Administrator改名或伪装!
3、隐藏重要文件/目录

3. 在FTP的配置过程中,我们经常需要对多个不同路径的目录进行FTP共享,此时可通过虚拟目录来完成,如图16中的新建虚拟目录。通过新建虚拟目录向导完成。虚拟目录是在主目录下通过某一个文件夹链接到其他目录的形式,在主目录中实际不存在此文件夹中的内容,该内容在其他目录下实际存在。如图18 ,图19所示

  可以修改注册表实现完全隐藏:“HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows Current-VersionExplorerAdvancedFolderHi-ddenSHOWALL”,鼠标右击 “CheckedValue”,选择修改,把数值由1改为0

4、启动系统自带的Internet连接防火墙,在设置服务选项中勾选Web服务器。

图18

5、防止SYN洪水攻击

  HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters

图19

  新建DWORD值,名为SynAttackProtect,值为2

  1. 这时,注意需要在提供FTP站点服务的主目录即F: 01虚拟仿真下建立一个名为virtual directory的文件夹,否则虚拟目录无法提供FTP共享服务。如图20
  1. 禁止响应ICMP路由通告报文

  HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersInterfacesinterface

图20

  新建DWORD值,名为PerformRouterDiscovery 值为0

  1. 防止ICMP重定向报文的攻击

图21

  HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters

五、IIS构建FTP服务器安全性探讨

  将EnableICMPRedirects 值设为0

     对于通过IIS构建的FTP服务器,无论是匿名帐户或者是通过授权帐户及密码来访问FTP服务器,由于FTP服务的帐户和密码身份验证的方式均采用明文形式在网络上传播的,任何主机只要采用数据包截取软件均可截获FTP服务器登陆的帐户及密码。所以其安全性还需要通过其他方式来增强。

  1. 不支持IGMP协议

六、小结

  HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters

     对于通过IIS来构建FTP服务器,需要注意其硬盘的格式,如该盘为NTFS格式,还需要将其目录设置为共享或者使FTP客户的帐户具备此文件夹的访问权限,如果是FAT32格式,则可通过上述方法来构建。对于其FTP服务器的帐户的安全性,还需要通过SSL加密等形式来加强安全性的验证,以防止帐号被他人截获。

  新建DWORD值,名为IGMPLevel 值为0

您可能感兴趣的文章:

  • windows 2003服务器安装 IIS6.0和IIS自带FTP服务器图文教程
  • IIS下FTP服务器的PASV端口范围修改方法
  • 在服务器中用IIS建立FTP服务器的图文方法
  • 微软的IIS中的FTP服务器FTP7 提供下载
  • Windows中IIS内FTP服务器高级配置
  • Windows中IIS内FTP服务器高级配置图文教程
  • 在云服务器上使用iis搭建一个ftp站点的方法图解

9、禁用DCOM:

  运行中输入 Dcomcnfg.exe。 回车, 单击“控制台根节点”下的“组件服务”。 打开“计算机”子文件夹。

  对于本地计算机,请以右键单击“我的电脑”,然后选择“属性”。选择“默认属性”选项卡。

  清除“在这台计算机上启用分布式 COM”复选框。
八、  建议安全以上步骤做的朋友们,每做一步先进行一下测试,省的无可挽回,毕竟microsoft会出一些非常规性的问题的咯!出问题也表怪我,本文章仅供参考...如有雷同,那是我抄你的。哈哈!对了,前段时间写了一个服务器安全的设置工具,还没完工,站长站的一堆兄弟们有褒有贬,对我来说没所谓了~一是兴趣,二是给大家一个方便。希望大家能支持我帮这个东西写完,具体请访  

 

 

本文由澳门新萄京官方网站发布于服务器运维,转载请注明出处:澳门新萄京官方网站Server安全布局,Win二〇〇一

关键词: