六、SQL2000 SERV-U FTP安全設(shè)置

　　SQL安全方面

　　1、System Administrators 角色最好不要超過兩個

　　2、如果是在本機最好將身份驗證配置為Win登陸

　　3、不要使用Sa賬戶，為其配置一個超級復(fù)雜的密碼

　　4、刪除以下的擴展存儲過程格式為:

　　use master

　　sp_dropextendedproc '擴展存儲過程名'

　　xp_cmdshell:是進入操作系統(tǒng)的最佳捷徑，刪除

　　訪問注冊表的存儲過程，刪除

　　Xp_regaddmultistring　　Xp_regdeletekey　　Xp_regdeletevalue　　Xp_regenumvalues

　　Xp_regread　　　　　 Xp_regwrite　　　 Xp_regremovemultistring

　　OLE自動存儲過程，不需要刪除

　　Sp_OACreate　 　Sp_OADestroy　　　　Sp_OAGetErrorInfo　　Sp_OAGetProperty

　　Sp_OAMethod　　Sp_OASetProperty　　Sp_OAStop

　　5、隱藏 SQL Server、更改默認的1433端口

　　右擊實例選屬性-常規(guī)-網(wǎng)絡(luò)配置中選擇TCP/IP協(xié)議的屬性，選擇隱藏 SQL Server 實例，并改原默認的1433端口

　　serv-u的幾點常規(guī)安全需要設(shè)置下:

　　選中"Block "FTP_bounce"attack and FXP"。什么是FXP呢?通常，當使用FTP協(xié)議進行文件傳輸時，客戶端首先向FTP服務(wù)器發(fā)出一個"PORT"命令，該命令中包含此用戶的IP地址和將被用來進行數(shù)據(jù)傳輸?shù)亩丝谔?，服?wù)器收到后，利用命令所提供的用戶地址信息建立與用戶的連接。大多數(shù)情況下，上述過程不會出現(xiàn)任何問題，但當客戶端是一名惡意用戶時，可能會通過在PORT命令中加入特定的地址信息，使FTP服務(wù)器與其它非客戶端的機器建立連接。雖然這名惡意用戶可能本身無權(quán)直接訪問某一特定機器，但是如果FTP服務(wù)器有權(quán)訪問該機器的話，那么惡意用戶就可以通過FTP服務(wù)器作為中介，仍然能夠最終實現(xiàn)與目標服務(wù)器的連接。這就是FXP，也稱跨服務(wù)器攻擊。選中后就可以防止發(fā)生此種情況。

　　七、IIS安全設(shè)置

　　IIS的安全:

　　1、不使用默認的Web站點，如果使用也要將 將IIS目錄與系統(tǒng)磁盤分開。

　　2、刪除IIS默認創(chuàng)建的Inetpub目錄(在安裝系統(tǒng)的盤上)。

　　3、刪除系統(tǒng)盤下的虛擬目錄，如:_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。

　　4、刪除不必要的IIS擴展名映射。

　　右鍵單擊“默認Web站點→屬性→主目錄→配置”，打開應(yīng)用程序窗口，去掉不必要的應(yīng)用程序映射。主要為.shtml, .shtm, .stm

　　5、更改IIS日志的路徑

　　右鍵單擊“默認Web站點→屬性-網(wǎng)站-在啟用日志記錄下點擊屬性

　　6、如果使用的是2000可以使用iislockdown來保護IIS，在2003運行的IE6.0的版本不需要。

　　八、其它

　　1、 系統(tǒng)升級、打操作系統(tǒng)補丁，尤其是IIS 6.0補丁、SQL SP3a補丁，甚至IE 6.0補丁也要打。同時及時跟蹤最新漏洞補丁;

　　2、停掉Guest 帳號、并給guest 加一個異常復(fù)雜的密碼，把Administrator改名或偽裝!

　　3、隱藏重要文件/目錄

　　可以修改注冊表實現(xiàn)完全隱藏:“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL”，鼠標右擊 “CheckedValue”，選擇修改，把數(shù)值由1改為0

　　4、啟動系統(tǒng)自帶的Internet連接防火墻，在設(shè)置服務(wù)選項中勾選Web服務(wù)器。

　　5、防止SYN洪水攻擊

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

　　新建DWORD值，名為SynAttackProtect，值為2

　　6. 禁止響應(yīng)ICMP路由通告報文

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface

　　新建DWORD值，名為PerformRouterDiscovery 值為0

　　7. 防止ICMP重定向報文的攻擊

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

　　將EnableICMPRedirects 值設(shè)為0

　　8. 不支持IGMP協(xié)議

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

　　新建DWORD值，名為IGMPLevel 值為0

　　9、禁用DCOM:

　　運行中輸入 Dcomcnfg.exe。 回車， 單擊“控制臺根節(jié)點”下的“組件服務(wù)”。 打開“計算機”子文件夾。

　　對于本地計算機，請以右鍵單擊“我的電腦”，然后選擇“屬性”。選擇“默認屬性”選項卡。

　　清除“在這臺計算機上啟用分布式 COM”復(fù)選框。

最新評論