Win2003 Server安全配置完整篇 端口關(guān)閉
更新時間:2007年05月29日 00:00:00 作者:
六、SQL2000 SERV-U FTP安全設(shè)置
SQL安全方面
1、System Administrators 角色最好不要超過兩個
2、如果是在本機最好將身份驗證配置為Win登陸
3、不要使用Sa賬戶,為其配置一個超級復(fù)雜的密碼
4、刪除以下的擴展存儲過程格式為:
use master
sp_dropextendedproc '擴展存儲過程名'
xp_cmdshell:是進入操作系統(tǒng)的最佳捷徑,刪除
訪問注冊表的存儲過程,刪除
Xp_regaddmultistring Xp_regdeletekey Xp_regdeletevalue Xp_regenumvalues
Xp_regread Xp_regwrite Xp_regremovemultistring
OLE自動存儲過程,不需要刪除
Sp_OACreate Sp_OADestroy Sp_OAGetErrorInfo Sp_OAGetProperty
Sp_OAMethod Sp_OASetProperty Sp_OAStop
5、隱藏 SQL Server、更改默認的1433端口
右擊實例選屬性-常規(guī)-網(wǎng)絡(luò)配置中選擇TCP/IP協(xié)議的屬性,選擇隱藏 SQL Server 實例,并改原默認的1433端口
serv-u的幾點常規(guī)安全需要設(shè)置下:
選中"Block "FTP_bounce"attack and FXP"。什么是FXP呢?通常,當使用FTP協(xié)議進行文件傳輸時,客戶端首先向FTP服務(wù)器發(fā)出一個"PORT"命令,該命令中包含此用戶的IP地址和將被用來進行數(shù)據(jù)傳輸?shù)亩丝谔?,服?wù)器收到后,利用命令所提供的用戶地址信息建立與用戶的連接。大多數(shù)情況下,上述過程不會出現(xiàn)任何問題,但當客戶端是一名惡意用戶時,可能會通過在PORT命令中加入特定的地址信息,使FTP服務(wù)器與其它非客戶端的機器建立連接。雖然這名惡意用戶可能本身無權(quán)直接訪問某一特定機器,但是如果FTP服務(wù)器有權(quán)訪問該機器的話,那么惡意用戶就可以通過FTP服務(wù)器作為中介,仍然能夠最終實現(xiàn)與目標服務(wù)器的連接。這就是FXP,也稱跨服務(wù)器攻擊。選中后就可以防止發(fā)生此種情況。
七、IIS安全設(shè)置
IIS的安全:
1、不使用默認的Web站點,如果使用也要將 將IIS目錄與系統(tǒng)磁盤分開。
2、刪除IIS默認創(chuàng)建的Inetpub目錄(在安裝系統(tǒng)的盤上)。
3、刪除系統(tǒng)盤下的虛擬目錄,如:_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。
4、刪除不必要的IIS擴展名映射。
右鍵單擊“默認Web站點→屬性→主目錄→配置”,打開應(yīng)用程序窗口,去掉不必要的應(yīng)用程序映射。主要為.shtml, .shtm, .stm
5、更改IIS日志的路徑
右鍵單擊“默認Web站點→屬性-網(wǎng)站-在啟用日志記錄下點擊屬性
6、如果使用的是2000可以使用iislockdown來保護IIS,在2003運行的IE6.0的版本不需要。
八、其它
1、 系統(tǒng)升級、打操作系統(tǒng)補丁,尤其是IIS 6.0補丁、SQL SP3a補丁,甚至IE 6.0補丁也要打。同時及時跟蹤最新漏洞補丁;
2、停掉Guest 帳號、并給guest 加一個異常復(fù)雜的密碼,把Administrator改名或偽裝!
3、隱藏重要文件/目錄
可以修改注冊表實現(xiàn)完全隱藏:“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL”,鼠標右擊 “CheckedValue”,選擇修改,把數(shù)值由1改為0
4、啟動系統(tǒng)自帶的Internet連接防火墻,在設(shè)置服務(wù)選項中勾選Web服務(wù)器。
5、防止SYN洪水攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值,名為SynAttackProtect,值為2
6. 禁止響應(yīng)ICMP路由通告報文
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface
新建DWORD值,名為PerformRouterDiscovery 值為0
7. 防止ICMP重定向報文的攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
將EnableICMPRedirects 值設(shè)為0
8. 不支持IGMP協(xié)議
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值,名為IGMPLevel 值為0
9、禁用DCOM:
運行中輸入 Dcomcnfg.exe。 回車, 單擊“控制臺根節(jié)點”下的“組件服務(wù)”。 打開“計算機”子文件夾。
對于本地計算機,請以右鍵單擊“我的電腦”,然后選擇“屬性”。選擇“默認屬性”選項卡。
清除“在這臺計算機上啟用分布式 COM”復(fù)選框。
相關(guān)文章
Win2003安裝IIS6.0不支持ASP的解決方法圖文教程
Win2003安裝IIS6.0不支持ASP的解決方法圖文教程...2007-03-03虛擬主機封殺webshell提權(quán)!!!!!!!!!!
虛擬主機封殺webshell提權(quán)!!!!!!!!!!...2006-12-12在域環(huán)境中配置ISA Server 2004的圖文教程
在域環(huán)境中配置ISA Server 2004的圖文教程...2006-12-12