• 欢迎访问Ppabc博客网站,专注于Linux、CentOS、Apache、Nginx、MySQL、PHP等开源工具安装优化的技术博客,推荐使用最新版火狐浏览器和Chrome浏览器访问本网站,欢迎加入Ppabc博客
  • 如果您觉得本站非常有看点,那么赶紧使用Ctrl+D 收藏Ppabc博客吧

2003权限及安全设置

baidu空间 admin 11年前 (2008-03-13) 366次浏览

一、系统的安装  
1、按照 Windows2003 安装光盘的提示安装,默认情况下 2003 没有把 IIS6.0 安装在系统里面。
2、IIS6.0 的安装
  开始菜单—>控制面板—>添加或删除程序—>添加/删除 Windows 组件
  应用程序 ——ASP.NET(可选)
      |——启用网络 COM+ 访问(必选)
      |——Internet 信息服务(IIS)——Internet 信息服务管理器(必选) 
                    |——公用文件(必选)
                    |——万维网服务——Active Server pages(必选)
                           |——Internet 数据连接器(可选)
                           |——WebDAV 发布(可选)
                           |——万维网服务(必选)
                           |——在服务器端的包含文件(可选)

3、系统补丁的更新
  点击开始菜单—>所有程序—>Windows Update
  按照提示进行补丁的安装。

4、备份系统
  用 GHOST 备份系统。

5、安装常用的软件
  例如:杀毒软件、解压缩软件等;安装完毕后,配置杀毒软件,扫描系统漏洞,安装之后用 GHOST 再次备份系统。

6、先关闭不需要的端口 开启防火墙 导入 IPSEC 策略
在”网络连接”里,把不需要的协议和服务都删掉,这里只安装了基本的 Internet 协议(TCP/IP),由于要控制带宽流量服务,额外安装了 Qos 数据包计划程序。在高级 tcp/ip 设置里–“NetBIOS”设置”禁用 tcp/IP 上的 NetBIOS(S)”。在高级选项里,使用”Internet 连接防火墙”,这是 windows 2003 自带的防火墙,在 2000 系统里没有的功能,虽然没什么功能,但可以屏蔽端口,这样已经基本达到了一个 IPSec 的功能。

win2003 服务器防止海洋木马的安全设置

1.
删除以下的注册表主键:
WScript.Shell
WScript.Shell.1
Shell.application
Shell.application.1
WSCRIPT.NETWORK
WSCRIPT.NETWORK.1

regsvr32/u wshom.ocx 回车、regsvr32/u wshext.dll 回车

regsvr32/u C:\WINNT\System32\wshom.ocx
del C:\WINNT\System32\wshom.ocx
regsvr32/u C:\WINNT\system32\shell32.dll
del C:\WINNT\system32\shell32.dll

再把以上 2 个文件权限设置为 ADMINISTRATOR 组完全权限所有
这里只提一下 FSO 的防范,但并不需要在自动开通空间的虚拟商服务器上使用,只适合于手工开通的站点。可以针对需要 FSO 和不需要 FSO 的站点设置两个组,对于需要 FSO 的用户组给予 c:winnt\system32\scrrun.dll 文件的执行权限,不需要的不给权限。重新启动服务器即可生效。
对于这样的设置结合上面的权限设置,你会发现海阳木马已经在这里失去了作用!

改名不安全组件
需要注意的是组件的名称和 Clsid 都要改,并且要改彻底了。下面以 Shell.application 为例来介绍方法。

打开注册表编辑器【开始→运行→regedit 回车】,然后【编辑→查找→填写 Shell.application→查找下一个】,用这个方法能找到两个注册表项:“{ 13709620-C279-11CE-A49E-444553540000 }”和“Shell.application”。为了确保万无一失,把这两个注册表项导出来,保存为 .reg 文件。

比如我们想做这样的更改

13709620-C279-11CE-A49E-444553540000 改名为 13709620-C279-11CE-A49E-444553540001
Shell.application 改名为 Shell.application_ajiang

那么,就把刚才导出的.reg 文件里的内容按上面的对应关系替换掉,然后把修改好的.reg 文件导入到注册表中(双击即可),导入了改名后的注册表项之后,别忘记了删除原有的那两个项目。这里需要注意一点,Clsid 中只能是十个数字和 ABCDEF 六个字母。

下面是我修改后的代码(两个文件我合到一起了):

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\CLSID\{ 13709620-C279-11CE-A49E-444553540001 }]
@=”Shell Automation Service”

[HKEY_CLASSES_ROOT\CLSID\{ 13709620-C279-11CE-A49E-444553540001 }\InProcServer32]
@=”C:\\WINNT\\system32\\shell32.dll”
“ThreadingModel”=”Apartment”

[HKEY_CLASSES_ROOT\CLSID\{ 13709620-C279-11CE-A49E-444553540001 }\ProgID]
@=”Shell.Application_ajiang.1″

[HKEY_CLASSES_ROOT\CLSID\{ 13709620-C279-11CE-A49E-444553540001 }\TypeLib]
@=”{ 50a7e9b0-70ef-11d1-b75a-00a0c90564fe }”

[HKEY_CLASSES_ROOT\CLSID\{ 13709620-C279-11CE-A49E-444553540001 }\Version]
@=”1.1″

[HKEY_CLASSES_ROOT\CLSID\{ 13709620-C279-11CE-A49E-444553540001 }\VersionIndependentProgID]
@=”Shell.Application_ajiang”

[HKEY_CLASSES_ROOT\Shell.Application_ajiang]
@=”Shell Automation Service”

[HKEY_CLASSES_ROOT\Shell.Application_ajiang\CLSID]
@=”{ 13709620-C279-11CE-A49E-444553540001 }”

[HKEY_CLASSES_ROOT\Shell.Application_ajiang\CurVer]
@=”Shell.Application_ajiang.1″

你可以把这个保存为一个.reg 文件运行试一下,但是可别就此了事,因为万一黑客也看了我的这篇文章,他会试验我改出来的这个名字的。

c:\windows
administrators 全部
system 全部
Users 读取和运行(此权限最后调整完成后可以取消)

c:\Program Files
Everyone 只有该文件夹
不是继承的
列出文件夹/读数据
administrators 全部
iis_wpg 只有该文件夹
列出文件/读数据
读属性
读扩展属性
读取权限

c:\windows\temp
Administrator 全部权限
System 全部权限
users 全部权限

c:\Program Files\Common Files
administrators 全部
Creator owner
不是继承的
只有子文件夹及文件
完全
Power Users
修改,读取和运行,列出文件夹目录,读取,写入
system 全部
TERMINAL SERVER Users(如果有这个用户)
修改,读取和运行,列出文件夹目录,读取,写入
Users 读取和运行,列出文件夹目录,读取

c:\windows\php.ini
administrators 全部
system 全部权限
SERVICE 全部
Users 只读和运行

CMD.EXE NET.EXE ATTRIB.EXE At.EXE NET1.EXE http://FTP.EXE TELNET.EXE COMMAND.COM CAcls.EXE netstat.exe

3.系统安全策略
A.账户策略 密码策略:
B.密码设定最小值不能少于 10 位
C.密码设定需要保证复杂性
D.登陆计数器需要开启
E.本地策略 审核策略:
F.审核策略更改:成功
G.审核登陆事件:成功、失败
H.审核目录服务访问:成功
I.审核特权使用:成功
J.审核系统事件:成功、失败
K.审核账户登陆事件:成功、失败
M.审核账户管理:成功
N.本地策略 本地策略:
O.不显示上次的登陆名:启用
P.只有本地用户才能访问 cd-rom:启用
Q.只有本地用户才能访问软驱:启用
4.网络设置[这里针对网卡参数进行设置]
PCI 网络适配器。分别为 Public,Private
实际使用中会改为相关 IP
A.网卡顺序调整为外网卡优先,顺序为:
a) 公用网络
b) 专用网络
c) 远程访问连接
B.公网网卡设置:
General
1.配置:Link Speed/Duplex Mode:auto mode
2.TCP/IP
高级 WINS:禁用 TCP/IP NetBios
高级 选项 TCP/IP 筛选:启用 TCP/IP 筛选,只开放所需 TCP 端口
删除文件和打印机共享协议[File and Printer Sharing for Microsoft Networks]
Advanced
1.启用 Internet Connection Firewall—settings—Remote Desktop
2.Security Logging,ICMP 协议的设置
5.本地安全性配置
本地安全设置.本地策略.安全选项
1.网络访问.不允许 SAM 帐户的匿名枚举 启用
2.网络访问.可匿名的共享 将后面的值删除
3.网络访问.可匿名的命名管道 将后面的值删除
4.网络访问.可远程访问的注册表路径 将后面的值删除
5.网络访问.可远程访问的注册表的子路径 将后面的值删除
6.网络访问.限制匿名访问命名管道和共享
7.帐户.重命名来宾帐户 guest
8.帐户.重命名系统管理员帐户
6.Terminal Service Configration
A.RDP 设置中删除系统管理员组(administrators group)的用户登陆权限,只允许系统管理员单一账户登陆[Permissions]
B.权限-高级中配置安全审核,记录登录、注销等所有事件

将有安全问题的 SQL 过程删除.比较全面.一切为了安全!

删除了调用 shell,注册表,COM 组件的破坏权限

use master
EXEC sp_dropextendedproc ’xp_cmdshell’
EXEC sp_dropextendedproc ’Sp_OACreate’
EXEC sp_dropextendedproc ’Sp_OADestroy’
EXEC sp_dropextendedproc ’Sp_OAGetErrorInfo’
EXEC sp_dropextendedproc ’Sp_OAGetProperty’
EXEC sp_dropextendedproc ’Sp_OAMethod’
EXEC sp_dropextendedproc ’Sp_OASetProperty’
EXEC sp_dropextendedproc ’Sp_OAStop’
EXEC sp_dropextendedproc ’Xp_regaddmultistring’
EXEC sp_dropextendedproc ’Xp_regdeletekey’
EXEC sp_dropextendedproc ’Xp_regdeletevalue’
EXEC sp_dropextendedproc ’Xp_regenumvalues’
EXEC sp_dropextendedproc ’Xp_regread’
EXEC sp_dropextendedproc ’Xp_regremovemultistring’
EXEC sp_dropextendedproc ’Xp_regwrite’
drop procedure sp_makewebtask

全部复制到”SQL 查询分析器”
点击菜单上的–“查询”–“执行”,就会将有安全问题的 SQL 过程删除
关键 DLL 改名

PHP 安全

修改 3389 远程连接端口
修改注册表.
开始–运行–regedit
依次展开 HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/
TERMINAL SERVER/WDS/RDPWD/TDS/TCP
右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000 )

HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINAL SERVER/
WINSTATIONS/RDP-TCP/
右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000 )
注意:别忘了在 WINDOWS2003 自带的防火墙给+上 10000 端口
修改完毕.重新启动服务器.设置生效.

用户安全设置
1、禁用 Guest 账号
在计算机管理的用户里面把 Guest 账号禁用。为了保险起见,最好给 Guest 加一个复杂的密码。你可以打开记事本,在里面输入一串包含特殊字符、数字、字母的长字符串,然后把它作为 Guest 用户的密码拷进去。
2、限制不必要的用户
去掉所有的 Duplicate User 用户、测试用户、共享用户等等。用户组策略设置相应权限,并且经常检查系统的用户,删除已经不再使用的用户。这些用户很多时候都是黑客们入侵系统的突破口。
3、把系统 Administrator 账号改名
大家都知道,Windows 2003 的 Administrator 用户是不能被停用的,这意味着别人可以一遍又一遍地尝试这个用户的密码。尽量把它伪装成普通用户,比如改成 Guesycludx。
4、创建一个陷阱用户
什么是陷阱用户?即创建一个名为“Administrator”的本地用户,把它的权限设置成最低,什么事也干不了的那种,并且加上一个超过 10 位的超级复杂密码。这样可以让那些 Hacker 们忙上一段时间,借此发现它们的入侵企图。
5、把共享文件的权限从 Everyone 组改成授权用户
任何时候都不要把共享文件的用户设置成“Everyone”组,包括打印共享,默认的属性就是“Everyone”组的,一定不要忘了改。
6、开启用户策略
使用用户策略,分别设置复位用户锁定计数器时间为 20 分钟,用户锁定时间为 20 分钟,用户锁定阈值为 3 次。 (该项为可选)
7、不让系统显示上次登录的用户名
默认情况下,登录对话框中会显示上次登录的用户名。这使得别人可以很容易地得到系统的一些用户名,进而做密码猜测。修改注册表可以不让对话框里显示上次登录的用户名。方法为:打开注册表编辑器并找到注册表“HKLM\Software\Microsoft\Windows T\CurrentVersion\Winlogon\Dont-DisplayLastUserName”,把 REG_SZ 的键值改成 1。
密码安全设置
1、使用安全密码
一些公司的管理员创建账号的时候往往用公司名、计算机名做用户名,然后又把这些用户的密码设置得太简单,比如“welcome”等等。因此,要注意密码的复杂性,还要记住经常改密码。
2、设置屏幕保护密码
这是一个很简单也很有必要的操作。设置屏幕保护密码也是防止内部人员破坏服务器的一个屏障。
3、开启密码策略
注意应用密码策略,如启用密码复杂性要求,设置密码长度最小值为 6 位 ,设置强制密码历史为 5 次,时间为 42 天。
4、考虑使用智能卡来代替密码
对于密码,总是使安全管理员进退两难,密码设置简单容易受到黑客的攻击,密码设置复杂又容易忘记。如果条件允许,用智能卡来代替复杂的密码是一个很好的解决方法。

三、系统权限的设置
1、磁盘权限
  系统盘及所有磁盘只给 Administrators 组和 SYSTEM 的完全控制权限
  系统盘\Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限
  系统盘\Documents and Settings\All Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限
  系统盘\Windows\System32\cacls.exe、cmd.exe、net.exe、net1.exe、http://ftp.exe、tftp.exe、telnet.exe 、 netstat.exe、regedit.exe、at.exe、attrib.exe、format.com、del 文件只给 Administrators 组和 SYSTEM 的完全 控制权限
另将\System32\cmd.exe、format.com、http://ftp.exe转移到其他目录或更名
  Documents and Settings 下所有些目录都设置只给 adinistrators 权限。并且要一个一个目录查看,包括下面的所有子目录。
删除 c:\inetpub 目录

2、本地安全策略设置
  开始菜单—>管理工具—>本地安全策略
  A、本地策略——>审核策略
  审核策略更改   成功 失败  
  审核登录事件   成功 失败
  审核对象访问      失败
  审核过程跟踪   无审核
  审核目录服务访问    失败
  审核特权使用      失败
  审核系统事件   成功 失败
  审核账户登录事件 成功 失败
  审核账户管理   成功 失败
B、本地策略——>用户权限分配
  关闭系统:只有 Administrators 组、其它全部删除。
  通过终端服务允许登陆:只加入 Administrators,Remote Desktop Users 组,其他全部删除

  C、本地策略——>安全选项
  交互式登陆:不显示上次的用户名       启用
  网络访问:不允许 SAM 帐户和共享的匿名枚举  启用
  网络访问:不允许为网络身份验证储存凭证   启用
  网络访问:可匿名访问的共享         全部删除
  网络访问:可匿名访问的命          全部删除
  网络访问:可远程访问的注册表路径      全部删除
  网络访问:可远程访问的注册表路径和子路径  全部删除
  帐户:重命名来宾帐户            重命名一个帐户
  帐户:重命名系统管理员帐户         重命名一个帐户

3、禁用不必要的服务 开始-运行-services.msc
TCP/IPNetBIOS Helper 提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享
文件、打印和登录到网络
Server 支持此计算机通过网络的文件、打印、和命名管道共享
  Computer Browser 维护网络上计算机的最新列表以及提供这个列表
Task scheduler 允许程序在指定时间运行
Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息
  Distributed File System: 局域网管理共享文件,不需要可禁用
  Distributed linktracking client:用于局域网更新连接信息,不需要可禁用
  Error reporting service:禁止发送错误报告
  Microsoft Serch:提供快速的单词搜索,不需要可禁用
  NTLMSecuritysupportprovide:telnet 服务和 Microsoft Serch 用的,不需要可禁用
  PrintSpooler:如果没有打印机可禁用
  Remote Registry:禁止远程修改注册表
  Remote Desktop Help Session Manager:禁止远程协助
Workstation 关闭的话远程 NET 命令列不出用户组
  以上是在 Windows Server 2003 系统上面默认启动的服务中禁用的,默认禁用的服务如没特别需要的话不要启动。

4、修改注册表
修改注册表,让系统更强壮
1、隐藏重要文件/目录可以修改注册表实现完全隐藏
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL”,鼠标右击 “CheckedValue”,选择修改,把数值由 1 改为 0

2、防止 SYN 洪水攻击
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建 DWORD 值,名为 SynAttackProtect,值为 2
新建 EnablePMTUDiscovery REG_DWORD 0
新建 NoNameReleaseOnDemand REG_DWORD 1
新建 EnableDeadGWDetect REG_DWORD 0
新建 KeepAliveTime REG_DWORD 300,000
新建 PerformRouterDiscovery REG_DWORD 0
新建 EnableICMPRedirects REG_DWORD 0

3. 禁止响应 ICMP 路由通告报文
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface
新建 DWORD 值,名为 PerformRouterDiscovery 值为 0

4. 防止 ICMP 重定向报文的攻击
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
将 EnableICMPRedirects 值设为 0

5. 不支持 IGMP 协议
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建 DWORD 值,名为 IGMPLevel 值为 0
6、禁止 IPC 空连接:
cracker 可以利用 net use 命令建立空连接,进而入侵,还有 net view,nbtstat 这些都是基于空连接的,禁止空连接就好了。
Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 把这个值改成”1”即可。

7、更改 TTL 值
cracker 可以根据 ping 回的 TTL 值来大致判断你的操作系统,如:
TTL=107(WINNT);
TTL=108(win2000);
TTL=127 或 128(win9x);
TTL=240 或 241(linux);
TTL=252(solaris);
TTL=240(Irix);
实际上你可以自己改的:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters:DefaultTTL REG_DWORD 0-0xff(0-255 十进制,默认值 128)改成一个莫名其妙的数字如 258,起码让那些小菜鸟晕上半天,就此放弃入侵你也不一定哦

8. 删除默认共享
有人问过我一开机就共享所有盘,改回来以后,重启又变成了共享是怎么回事,这是 2K 为管理而设置的默认共享,HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters:AutoShareServer 类型是 REG_DWORD 把值改为 0 即可

9. 禁止建立空连接
默认情况下,任何用户通过通过空连接连上服务器,进而枚举出帐号,猜测密码。我们可以通过修改注册表来禁止建立空连接:
Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 的值改成”1”即可。

10、建立一个记事本,填上以下代码。保存为*.bat 并加到启动项目中
net share c$Content$nbsp;/del
net share d$Content$nbsp;/del
net share e$Content$nbsp;/del
net share f$Content$nbsp;/del
net share ipc$Content$nbsp;/del
net share admin$Content$nbsp;/del

系统命令转移
将 WIN2003 系统盘下的 C:\WINDOWS\system32 下的 DOS 命令转移:
CMD/CMDKEY.exe、FTP/TFTP.exe、NET/NET1.exe、FORMAT.COM、AT.exe、ARP.exe、ATTRIB.exe、CACLS.exe、SYSKEY.exe、SHUTDOWN/RESTART/LOGOFF.exe 等至备份文件夹内
必须使用时[such as runas .bat files]可以重新 copy 到原目录下,使用完毕后需删除

转载http://hi.baidu.com/superman9527/blog/item/5b3c567b24d41ff00bd187ee.html

]]>


Selinux 中国 , 版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权
转载请注明原文链接:2003 权限及安全设置
喜欢 (0)