服務(wù)器安全設(shè)置之 系統(tǒng)服務(wù)篇
更新時(shí)間：2012年07月18日 22:21:16 作者：
服務(wù)器安全設(shè)置之 系統(tǒng)服務(wù)篇，關(guān)閉一些沒(méi)必要的服務(wù)
WindowsServer2003 + IIS6.0 + ASP 服務(wù)器安全設(shè)置之--組件安全設(shè)置篇 A、卸載WScript.Shell 和 Shell.application 組件，將下面的代碼保存為一個(gè).BAT文件執(zhí)行（分2000和2003系統(tǒng)）windows2000.bat
regsvr32/u C:/WINNT/System32/wshom.ocx
del C:/WINNT/System32/wshom.ocx
regsvr32/u C:/WINNT/system32/shell32.dll
del C:/WINNT/system32/shell32.dll
windows2003.bat
regsvr32/u C:/WINDOWS/System32/wshom.ocx
del C:/WINDOWS/System32/wshom.ocx
regsvr32/u C:/WINDOWS/system32/shell32.dll
del C:/WINDOWS/system32/shell32.dll
B、改名不安全組件，需要注意的是組件的名稱和Clsid都要改，并且要改徹底了，不要照抄，要自己改
開(kāi)始→運(yùn)行→regedit→回車】打開(kāi)注冊(cè)表編輯器
然后【編輯→查找→填寫(xiě)Shell.application→查找下一個(gè)】
用這個(gè)方法能找到兩個(gè)注冊(cè)表項(xiàng)：
{13709620-C279-11CE-A49E-444553540000} 和 Shell.application 。
第一步：
為了確保萬(wàn)無(wú)一失，把這兩個(gè)注冊(cè)表項(xiàng)導(dǎo)出來(lái)，保存為xxxx.reg 文件。
第二步：比如我們想做這樣的更改
13709620-C279-11CE-A49E-444553540000 改名為 13709620-C279-11CE-A49E-444553540001
Shell.application 改名為 Shell.application_nohack
第三步：那么，就把剛才導(dǎo)出的.reg文件里的內(nèi)容按上面的對(duì)應(yīng)關(guān)系替換掉，然后把修改好的.reg文件導(dǎo)入到注冊(cè)表中（雙擊即可），導(dǎo)入了改名后的注冊(cè)表項(xiàng)之后，別忘記了刪除原有的那兩個(gè)項(xiàng)目。這里需要注意一點(diǎn)，Clsid中只能是十個(gè)數(shù)字和ABCDEF六個(gè)字母。
其實(shí)，只要把對(duì)應(yīng)注冊(cè)表項(xiàng)導(dǎo)出來(lái)備份，然后直接改鍵名就可以了，
改好的例子建議自己改應(yīng)該可一次成功：
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/InProcServer32]
@="C://WINNT//system32//shell32.dll"
"ThreadingModel"="Apartment"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/ProgID]
@="Shell.Application_nohack.1"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/TypeLib]
@="{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/Version]
@="1.1"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/VersionIndependentProgID]
@="Shell.Application_nohack"
[HKEY_CLASSES_ROOT/Shell.Application_nohack]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT/Shell.Application_nohack/CLSID]
@="{13709620-C279-11CE-A49E-444553540001}"
[HKEY_CLASSES_ROOT/Shell.Application_nohack/CurVer]
@="Shell.Application_nohack.1"
評(píng)論：WScript.Shell 和 Shell.application 組件是 腳本入侵過(guò)程中，提升權(quán)限的重要環(huán)節(jié)，這兩個(gè)組件的卸載和修改對(duì)應(yīng)注冊(cè)鍵名，可以很大程度的提高虛擬主機(jī)的腳本安全性能，一般來(lái)說(shuō)，ASP和php類腳本提升權(quán)限的功能是無(wú)法實(shí)現(xiàn)了，再加上一些系統(tǒng)服務(wù)、硬盤(pán)訪問(wèn)權(quán)限、端口過(guò)濾、本地安全策略的設(shè)置，虛擬主機(jī)因該說(shuō)，安全性能有非常大的提高，黑客入侵的可能性是非常低了。注銷了Shell組件之后，侵入者運(yùn)行提升工具的可能性就很小了，但是prel等別的腳本語(yǔ)言也有shell能力，為防萬(wàn)一，還是設(shè)置一下為好。下面是另外一種設(shè)置，大同小異。
一、禁止使用FileSystemObject組件 FileSystemObject可以對(duì)文件進(jìn)行常規(guī)操作,可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
HKEY_CLASSES_ROOT/Scripting.FileSystemObject/
改名為其它的名字，如：改為 FileSystemObject_ChangeName
自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT/Scripting.FileSystemObject/CLSID/項(xiàng)目的值
也可以將其刪除，來(lái)防止此類木馬的危害。
2000注銷此組件命令：RegSrv32 /u C:/WINNT/SYSTEM/scrrun.dll
2003注銷此組件命令：RegSrv32 /u C:/WINDOWS/SYSTEM/scrrun.dll
如何禁止Guest用戶使用scrrun.dll來(lái)防止調(diào)用此組件？
使用這個(gè)命令：cacls C:/WINNT/system32/scrrun.dll /e /d guests
二、禁止使用WScript.Shell組件
WScript.Shell可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令
可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
HKEY_CLASSES_ROOT/WScript.Shell/及HKEY_CLASSES_ROOT/WScript.Shell.1/
改名為其它的名字，如：改為WScript.Shell_ChangeName 或 WScript.Shell.1_ChangeName
自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT/WScript.Shell/CLSID/項(xiàng)目的值
HKEY_CLASSES_ROOT/WScript.Shell.1/CLSID/項(xiàng)目的值
也可以將其刪除，來(lái)防止此類木馬的危害。
三、禁止使用Shell.Application組件
Shell.Application可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令
可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
HKEY_CLASSES_ROOT/Shell.Application/
及
HKEY_CLASSES_ROOT/Shell.Application.1/
改名為其它的名字，如：改為Shell.Application_ChangeName 或 Shell.Application.1_ChangeName
自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT/Shell.Application/CLSID/項(xiàng)目的值
HKEY_CLASSES_ROOT/Shell.Application/CLSID/項(xiàng)目的值
也可以將其刪除，來(lái)防止此類木馬的危害。
禁止Guest用戶使用shell32.dll來(lái)防止調(diào)用此組件。
2000使用命令：cacls C:/WINNT/system32/shell32.dll /e /d guests
2003使用命令：cacls C:/WINDOWS/system32/shell32.dll /e /d guests
注：操作均需要重新啟動(dòng)WEB服務(wù)后才會(huì)生效。
四、調(diào)用Cmd.exe
禁用Guests組用戶調(diào)用cmd.exe
2000使用命令：cacls C:/WINNT/system32/Cmd.exe /e /d guests
2003使用命令：cacls C:/WINDOWS/system32/Cmd.exe /e /d guests
通過(guò)以上四步的設(shè)置基本可以防范目前比較流行的幾種木馬，但最有效的辦法還是通過(guò)綜合安全設(shè)置，將服務(wù)器、程序安全都達(dá)到一定標(biāo)準(zhǔn)，才可能將安全等級(jí)設(shè)置較高，防范更多非法入侵。
C、防止Serv-U權(quán)限提升 (適用于 Serv-U6.0 以前版本，之后可以直接設(shè)置密碼)
先停掉Serv-U服務(wù)
用Ultraedit打開(kāi)ServUDaemon.exe
查找 Ascii：LocalAdministrator 和 #l@$ak#.lk;0@P
修改成等長(zhǎng)度的其它字符就可以了，ServUAdmin.exe也一樣處理。
另外注意設(shè)置Serv-U所在的文件夾的權(quán)限，不要讓IIS匿名用戶有讀取的權(quán)限，否則人家下走你修改過(guò)的文件，照樣可以分析出你的管理員名和密碼?？梢允褂冒⒔瑼SP探針來(lái)檢測(cè)下系統(tǒng)的安全狀態(tài)。
WindowsServer2003 + IIS6.0 + ASP 服務(wù)器安全設(shè)置之--組件安全設(shè)置篇 A、卸載WScript.Shell 和 Shell.application 組件，將下面的代碼保存為一個(gè).BAT文件執(zhí)行（分2000和2003系統(tǒng)）windows2000.bat
regsvr32/u C:/WINNT/System32/wshom.ocx
del C:/WINNT/System32/wshom.ocx
regsvr32/u C:/WINNT/system32/shell32.dll
del C:/WINNT/system32/shell32.dll
windows2003.bat
regsvr32/u C:/WINDOWS/System32/wshom.ocx
del C:/WINDOWS/System32/wshom.ocx
regsvr32/u C:/WINDOWS/system32/shell32.dll
del C:/WINDOWS/system32/shell32.dll
B、改名不安全組件，需要注意的是組件的名稱和Clsid都要改，并且要改徹底了，不要照抄，要自己改
開(kāi)始→運(yùn)行→regedit→回車】打開(kāi)注冊(cè)表編輯器
然后【編輯→查找→填寫(xiě)Shell.application→查找下一個(gè)】
用這個(gè)方法能找到兩個(gè)注冊(cè)表項(xiàng)：
{13709620-C279-11CE-A49E-444553540000} 和 Shell.application 。
第一步：
為了確保萬(wàn)無(wú)一失，把這兩個(gè)注冊(cè)表項(xiàng)導(dǎo)出來(lái)，保存為xxxx.reg 文件。
第二步：比如我們想做這樣的更改
13709620-C279-11CE-A49E-444553540000 改名為 13709620-C279-11CE-A49E-444553540001
Shell.application 改名為 Shell.application_nohack
第三步：那么，就把剛才導(dǎo)出的.reg文件里的內(nèi)容按上面的對(duì)應(yīng)關(guān)系替換掉，然后把修改好的.reg文件導(dǎo)入到注冊(cè)表中（雙擊即可），導(dǎo)入了改名后的注冊(cè)表項(xiàng)之后，別忘記了刪除原有的那兩個(gè)項(xiàng)目。這里需要注意一點(diǎn)，Clsid中只能是十個(gè)數(shù)字和ABCDEF六個(gè)字母。
其實(shí)，只要把對(duì)應(yīng)注冊(cè)表項(xiàng)導(dǎo)出來(lái)備份，然后直接改鍵名就可以了，
改好的例子建議自己改應(yīng)該可一次成功：
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/InProcServer32]
@="C://WINNT//system32//shell32.dll"
"ThreadingModel"="Apartment"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/ProgID]
@="Shell.Application_nohack.1"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/TypeLib]
@="{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/Version]
@="1.1"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/VersionIndependentProgID]
@="Shell.Application_nohack"
[HKEY_CLASSES_ROOT/Shell.Application_nohack]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT/Shell.Application_nohack/CLSID]
@="{13709620-C279-11CE-A49E-444553540001}"
[HKEY_CLASSES_ROOT/Shell.Application_nohack/CurVer]
@="Shell.Application_nohack.1"
評(píng)論：WScript.Shell 和 Shell.application 組件是 腳本入侵過(guò)程中，提升權(quán)限的重要環(huán)節(jié)，這兩個(gè)組件的卸載和修改對(duì)應(yīng)注冊(cè)鍵名，可以很大程度的提高虛擬主機(jī)的腳本安全性能，一般來(lái)說(shuō)，ASP和php類腳本提升權(quán)限的功能是無(wú)法實(shí)現(xiàn)了，再加上一些系統(tǒng)服務(wù)、硬盤(pán)訪問(wèn)權(quán)限、端口過(guò)濾、本地安全策略的設(shè)置，虛擬主機(jī)因該說(shuō)，安全性能有非常大的提高，黑客入侵的可能性是非常低了。注銷了Shell組件之后，侵入者運(yùn)行提升工具的可能性就很小了，但是prel等別的腳本語(yǔ)言也有shell能力，為防萬(wàn)一，還是設(shè)置一下為好。下面是另外一種設(shè)置，大同小異。
一、禁止使用FileSystemObject組件 FileSystemObject可以對(duì)文件進(jìn)行常規(guī)操作,可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
HKEY_CLASSES_ROOT/Scripting.FileSystemObject/
改名為其它的名字，如：改為 FileSystemObject_ChangeName
自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT/Scripting.FileSystemObject/CLSID/項(xiàng)目的值
也可以將其刪除，來(lái)防止此類木馬的危害。
2000注銷此組件命令：RegSrv32 /u C:/WINNT/SYSTEM/scrrun.dll
2003注銷此組件命令：RegSrv32 /u C:/WINDOWS/SYSTEM/scrrun.dll
如何禁止Guest用戶使用scrrun.dll來(lái)防止調(diào)用此組件？
使用這個(gè)命令：cacls C:/WINNT/system32/scrrun.dll /e /d guests
二、禁止使用WScript.Shell組件
WScript.Shell可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令
可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
HKEY_CLASSES_ROOT/WScript.Shell/及HKEY_CLASSES_ROOT/WScript.Shell.1/
改名為其它的名字，如：改為WScript.Shell_ChangeName 或 WScript.Shell.1_ChangeName
自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT/WScript.Shell/CLSID/項(xiàng)目的值
HKEY_CLASSES_ROOT/WScript.Shell.1/CLSID/項(xiàng)目的值
也可以將其刪除，來(lái)防止此類木馬的危害。
三、禁止使用Shell.Application組件
Shell.Application可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令
可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
HKEY_CLASSES_ROOT/Shell.Application/
及
HKEY_CLASSES_ROOT/Shell.Application.1/
改名為其它的名字，如：改為Shell.Application_ChangeName 或 Shell.Application.1_ChangeName
自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT/Shell.Application/CLSID/項(xiàng)目的值
HKEY_CLASSES_ROOT/Shell.Application/CLSID/項(xiàng)目的值
也可以將其刪除，來(lái)防止此類木馬的危害。
禁止Guest用戶使用shell32.dll來(lái)防止調(diào)用此組件。
2000使用命令：cacls C:/WINNT/system32/shell32.dll /e /d guests
2003使用命令：cacls C:/WINDOWS/system32/shell32.dll /e /d guests
注：操作均需要重新啟動(dòng)WEB服務(wù)后才會(huì)生效。
四、調(diào)用Cmd.exe
禁用Guests組用戶調(diào)用cmd.exe
2000使用命令：cacls C:/WINNT/system32/Cmd.exe /e /d guests
2003使用命令：cacls C:/WINDOWS/system32/Cmd.exe /e /d guests
通過(guò)以上四步的設(shè)置基本可以防范目前比較流行的幾種木馬，但最有效的辦法還是通過(guò)綜合安全設(shè)置，將服務(wù)器、程序安全都達(dá)到一定標(biāo)準(zhǔn)，才可能將安全等級(jí)設(shè)置較高，防范更多非法入侵。
C、防止Serv-U權(quán)限提升 (適用于 Serv-U6.0 以前版本，之后可以直接設(shè)置密碼)
先停掉Serv-U服務(wù)
用Ultraedit打開(kāi)ServUDaemon.exe
查找 Ascii：LocalAdministrator 和 #l@$ak#.lk;0@P
修改成等長(zhǎng)度的其它字符就可以了，ServUAdmin.exe也一樣處理。
另外注意設(shè)置Serv-U所在的文件夾的權(quán)限，不要讓IIS匿名用戶有讀取的權(quán)限，否則人家下走你修改過(guò)的文件，照樣可以分析出你的管理員名和密碼。可以使用阿江ASP探針來(lái)檢測(cè)下系統(tǒng)的安全狀態(tài)。
一鍵關(guān)閉服務(wù)批處理
CLS
MODE con: COLS=80 LINES=18
COLOR 70
Echo.
Echo 正在進(jìn)行系統(tǒng)服務(wù)優(yōu)化，請(qǐng)稍等......
@:: Alerter
@:: 通知選定的用戶和計(jì)算機(jī)管理警報(bào)。如果服務(wù)停止，使用管理警報(bào)的程序?qū)⒉粫?huì)收到它們。如果此服務(wù)被禁用，任何直接依賴它的服務(wù)都將不能啟動(dòng)。
sc config Alerter start= DISABLED
sc stop Alerter
@:: Application Experience Lookup Service
@:: 在應(yīng)用程序啟動(dòng)時(shí)為應(yīng)用程序處理應(yīng)用程序兼容性查找請(qǐng)求。
@:: 建議： 禁用
sc config AeLookupSvc start= DISABLED
sc stop AeLookupSvc
@:: Background Intelligent Transfer Service
@:: 在后臺(tái)傳輸客戶端和服務(wù)器之間的數(shù)據(jù)。如果禁用了 BITS，一些功能，如 Windows Update，就無(wú)法正常運(yùn)行。
@:: 建議： 禁用
@:: sc config BITS start= DEMAND
@:: sc stop BITS
@:: DHCP Client
@:: 為此計(jì)算機(jī)注冊(cè)并更新 IP 地址。如果此服務(wù)停止，計(jì)算機(jī)將不能接收動(dòng)態(tài) IP 地址和 DNS 更新。如果此服務(wù)被禁用，所有明確依賴它的服務(wù)都將不能啟動(dòng)。
@:: 建議： 禁用
@:: sc config Dhcp start= DISABLED
@:: sc stop Dhcp
@:: Network Location Awareness (NLA)
@:: 收集并保存網(wǎng)絡(luò)配置和位置信息，并在信息改動(dòng)時(shí)通知應(yīng)用程序。
@:: 建議： 禁用
sc config Nla start= DISABLED
sc stop Nla
@:: Secondary Logon
@:: 啟用替換憑據(jù)下的啟用進(jìn)程。如果此服務(wù)被終止，此類型登錄訪問(wèn)將不可用。如果此服務(wù)被禁用，任何依賴它的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
sc config seclogon start= DISABLED
sc stop seclogon
@:: TCP/IP NetBIOS Helper
@:: 提供 TCP/IP (NetBT) 服務(wù)上的 NetBIOS 和網(wǎng)絡(luò)上客戶端的 NetBIOS 名稱解析的支持，從而使用戶能夠共享文件、打印和登錄到網(wǎng)絡(luò)。如果此服務(wù)被停用，這些功能可能不可用。如果此服務(wù)被禁
用，任何依賴它的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
sc config LmHosts start= DISABLED
sc stop LmHosts
@:: Wireless Configuration
@:: 啟用 IEEE 802.11 適配器的自動(dòng)配置。如果此服務(wù)停止，自動(dòng)配置將不可用。如果此服務(wù)被禁用，所有明確依賴它的服務(wù)都將不能啟動(dòng)。
@:: 建議： 禁用
sc config WZCSVC start= DISABLED
sc stop WZCSVC
@:: Smart Card (智慧卡)
@:: 微軟：管理這個(gè)計(jì)算機(jī)所讀取智能卡的存取。如果這個(gè)服務(wù)被停止，這個(gè)計(jì)算機(jī)將無(wú)法讀取智能卡。如果這個(gè)服務(wù)被停用，任何明確依存于它的服務(wù)將無(wú)法啟動(dòng)。
@:: 補(bǔ)充： 如果你不使用 Smart Card ，那就可以關(guān)了
@:: 依存： Plug and Play
@:: 建議： 禁用
sc config SCardSvr start= DISABLED
sc stop SCardSvr
@:: Windows Firewall/Internet Connection Sharing (ICS)
@:: 微軟：為家庭或小型辦公網(wǎng)絡(luò)提供網(wǎng)絡(luò)地址轉(zhuǎn)換，定址以及名稱解析和/或防止入侵服務(wù)。
@:: 補(bǔ)充： 如果你不使用因特網(wǎng)聯(lián)機(jī)共享(ICS)或是 XP 內(nèi)含的因特網(wǎng)聯(lián)機(jī)防火墻(ICF)你可以關(guān)掉
@:: 依存： Application Layer Gateway Service、Network Connections、Network Location Awareness(NLA)、remote Access Connection Manager
@:: 建議： 手動(dòng),某些用戶在本地測(cè)試時(shí)內(nèi)網(wǎng)掉線就是因?yàn)檫@個(gè)服務(wù)停了，只需要啟動(dòng)此服務(wù)即可！
@:: sc config SharedAccess start= DEMAND
@:: sc stop SharedAccess
@:: Windows Image Acquisition (WIA) (Windows影像取得程序)
@:: 微軟： 為掃描儀和數(shù)字相機(jī)提供影像擷取服務(wù)。
@:: 補(bǔ)充：如果掃描儀和數(shù)字相機(jī)內(nèi)部具有支持WIA功能的話，那就可以直接看到圖檔，不需要其它的驅(qū)動(dòng)程序，所以沒(méi)有掃描儀和數(shù)字相機(jī)的使用者大可關(guān)了
@:: 依存：remote Procedure Call (RPC)
@:: 建議： 禁用
sc config stisvc start= DISABLED
sc stop stisvc
@:: MS Software Shadow Copy Provider[For XP]
@:: 微軟：管理磁盤(pán)區(qū)陰影復(fù)制服務(wù)所取得的以軟件為主的磁盤(pán)區(qū)陰影復(fù)制。如果停止這個(gè)服務(wù)，就無(wú)法管理以軟件為主的磁盤(pán)區(qū)陰影復(fù)制。
@:: 補(bǔ)充： 如上所說(shuō)的，用來(lái)備份的東西，如 MS Backup 程序就需要這個(gè)服務(wù)
@:: 依存：remote Procedure Call (RPC)
@:: 建議： 禁用
sc config swprv start= DISABLED
sc stop swprv
@:: Performance Logs and Alerts (效能記錄文件及警示)
@:: 微軟：收集本地或遠(yuǎn)程計(jì)算機(jī)基于預(yù)先配置的計(jì)劃參數(shù)的性能數(shù)據(jù)，然后將此數(shù)據(jù)寫(xiě)入日志或觸發(fā)警報(bào)。如果此服務(wù)被終止，將不會(huì)收集性能信息。如果此服務(wù)被禁用，任何依賴它的服務(wù)將無(wú)法啟
動(dòng)。
@:: 補(bǔ)充： 沒(méi)什么價(jià)值的服務(wù)
@:: 建議： 禁用
sc config SysmonLog start= DISABLED
sc stop SysmonLog
@:: Telephony (電話語(yǔ)音)
@:: 微軟：為本機(jī)計(jì)算機(jī)上及經(jīng)由局域網(wǎng)絡(luò)連接到正在執(zhí)行此服務(wù)的服務(wù)器上，控制電話語(yǔ)音裝置和 IP 為主語(yǔ)音聯(lián)機(jī)的程序，提供電話語(yǔ)音 API (TAPI) 支持。
@:: 補(bǔ)充： 一般的撥號(hào)調(diào)制解調(diào)器或是一些 DSL/Cable 可能用到
@:: 依存： Plug and Play、remote Procedure Call (RPC)、remote Access Connection Manager、remote Access Auto Connection Manager
@:: 建議： 手動(dòng)
@:: sc config TapiSrv start= DISABLED
@:: sc stop TapiSrv
@:: Distributed Link Tracking Client (分布式連結(jié)追蹤客戶端)
@:: 微軟： 維護(hù)計(jì)算機(jī)中或網(wǎng)絡(luò)網(wǎng)域不同計(jì)算機(jī)中 NTFS 檔案間的連結(jié)。
@:: 補(bǔ)充： 維護(hù)區(qū)網(wǎng)內(nèi)不同計(jì)算機(jī)之間的檔案連結(jié)
@:: 依存：remote Procedure Call (RPC)
@:: 建議： 禁用
sc config TrkWks start= DISABLED
sc stop TrkWks
@:: Portable Media Serial Number
@:: 微軟： Retrieves the serial number of any portable music player connected to your computer
@:: 補(bǔ)充：透過(guò)聯(lián)機(jī)計(jì)算機(jī)重新取得任何音樂(lè)撥放序號(hào)？沒(méi)什么價(jià)值的服務(wù)
@:: 建議： 禁用
sc config WmdmPmSN start= DISABLED
sc stop WmdmPmSN
@:: WMI Performance Adapter
@:: 微軟： 提供來(lái)自 WMIHiPerf 提供者的效能鏈接庫(kù)信息。
@:: 補(bǔ)充： 如上所提
@:: 依存：remote Procedure Call (RPC)
@:: 建議： 禁用
sc config WmiApSrv start= DISABLED
sc stop WmiApSrv
@:: Automatic Updates
@:: 微軟： 啟用重要 Windows 更新的下載及安裝。如果停用此服務(wù)，可以手動(dòng)的從 Windows Update 網(wǎng)站上更新操作系統(tǒng)。
@:: 補(bǔ)充： 允許 Windows 于背景自動(dòng)聯(lián)機(jī)之下，到 Microsoft Servers 自動(dòng)檢查和下載更新修補(bǔ)程序
@:: 建議： 禁用
@:: sc config wuauserv start= DISABLED
@:: sc stop wuauserv
@:: Fast User Switching Compatibility[For XP]
@:: 為在多用戶下需要協(xié)助的應(yīng)用程序提供管理。依賴RPC。
sc config FastUserSwitchingCompatibility start= DEMAND
sc stop FastUserSwitchingCompatibility
@:: System Restore Service[For XP]
@:: 執(zhí)行系統(tǒng)還原功能。要停止服務(wù)，請(qǐng)從“我的電腦”的屬性中的系統(tǒng)還原選項(xiàng)卡關(guān)閉系統(tǒng)還原。
sc config srservice start= DISABLED
sc stop srservice
@:: SSDP Discovery Service[For XP]
@:: 啟動(dòng)您家庭網(wǎng)絡(luò)上的 UPnP 設(shè)備的發(fā)現(xiàn)。
sc config SSDPSRV start= DISABLED
sc stop SSDPSRV
@:: telnet
@:: 允許遠(yuǎn)程用戶登錄到此計(jì)算機(jī)并運(yùn)行程序，并支持多種 TCP/IP Telnet 客戶，包括基于 UNIX 和 Windows 的計(jì)算機(jī)。如果此服務(wù)停止，遠(yuǎn)程用戶就不能訪問(wèn)程序，任何直接依靠它的服務(wù)將會(huì)啟動(dòng)
失敗。
sc config TlntSvr start= DISABLED
sc stop TlntSvr
@:: Universal Plug and Play Device Host[For XP]
@:: 為主持通用即插即用設(shè)備提供支持。
sc config upnphost start= DEMAND
sc stop upnphost
@:: Security Center[For XP]
@:: 監(jiān)視系統(tǒng)安全設(shè)置和配置。
sc config wscsvc start= DISABLED
sc stop wscsvc
@:: System Event Notification
@:: 監(jiān)視系統(tǒng)事件并通知 COM+ 事件系統(tǒng)“訂閱者(subscriber)”。如果此服務(wù)被停用，COM+ 事件系統(tǒng)“訂閱者”將接收不到系統(tǒng)事件通知。如果此服務(wù)被禁用，任何依賴于它的服務(wù)將無(wú)法啟用。
@:: 建議： 禁用
@:: sc config SENS start= DISABLED
@:: sc stop SENS
@:: COM+ Event System
@:: 支持系統(tǒng)事件通知服務(wù) (SENS)，此服務(wù)為訂閱的組件對(duì)象模型 (COM) 組件提供自動(dòng)分布事件功能。如果停止此服務(wù)，SENS 將關(guān)閉，而且不能提供登錄和注銷通知。如果禁用此服務(wù)，顯式依賴此
服務(wù)的其他服務(wù)都將無(wú)法啟動(dòng)。
@:: 建議： 禁用
@:: sc config EventSystem start= DISABLED
@:: sc stop EventSystem
@:: Windows Audio
@:: 管理基于 Windows 的程序的音頻設(shè)備。如果此服務(wù)被終止，音頻設(shè)備及其音效將不能正常工作。如果此服務(wù)被禁用，任何依賴它的服務(wù)將無(wú)法啟動(dòng)。
@:: 補(bǔ)充：服務(wù)器上用什么聲卡呀，去掉了!
@:: 建議： 禁用
@:: sc config AudioSrv start= DISABLED
@:: sc stop AudioSrv
@:: Computer Browser
@:: 維護(hù)網(wǎng)絡(luò)上計(jì)算機(jī)的更新列表，并將列表提供給計(jì)算機(jī)指定瀏覽。如果服務(wù)停止，列表不會(huì)被更新或維護(hù)。如果服務(wù)被禁用，任何直接依賴于此服務(wù)的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
sc config Browser start= DISABLED
sc stop Browser
@:: Task Scheduler
@:: 使用戶能在此計(jì)算機(jī)上配置和計(jì)劃自動(dòng)任務(wù)。如果此服務(wù)被終止，這些任務(wù)將無(wú)法在計(jì)劃時(shí)間里運(yùn)行。如果此服務(wù)被禁用，任何依賴它的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
@:: sc config Schedule start= DISABLED
@:: sc stop Schedule
@:: Routing and Remote Access
@:: 在局域網(wǎng)以及廣域網(wǎng)環(huán)境中為企業(yè)提供路由服務(wù)。
@:: 建議： 禁用
sc config RemoteAccess start= DISABLED
sc stop RemoteAccess
@:: Removable Storage
@:: 管理和編錄可移動(dòng)媒體并操作自動(dòng)化可移動(dòng)媒體設(shè)備。如果這個(gè)服務(wù)被停止，依賴可移動(dòng)存儲(chǔ)的程序，如備份和遠(yuǎn)程存儲(chǔ)將放慢速度。如果禁用這個(gè)服務(wù)，所有專依賴這個(gè)服務(wù)的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
sc config NtmsSvc start= DISABLED
sc stop NtmsSvc
@:: Remote Registry
@:: 使遠(yuǎn)程用戶能修改此計(jì)算機(jī)上的注冊(cè)表設(shè)置。如果此服務(wù)被終止，只有此計(jì)算機(jī)上的用戶才能修改注冊(cè)表。如果此服務(wù)被禁用，任何依賴它的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
sc config RemoteRegistry start= DISABLED
sc stop RemoteRegistry
@:: Print Spooler
@:: 管理所有本地和網(wǎng)絡(luò)打印隊(duì)列及控制所有打印工作。如果此服務(wù)被停用，本地計(jì)算機(jī)上的打印將不可用。如果此服務(wù)被禁用，任何依賴于它的服務(wù)將無(wú)法啟用。
@:: 建議： 禁用
sc config Spooler start= DISABLED
sc stop Spooler
@:: Error Reporting Service
@:: 收集、存儲(chǔ)和向 Microsoft 報(bào)告異常應(yīng)用程序崩潰。如果此服務(wù)被停用，那么錯(cuò)誤報(bào)告僅在內(nèi)核錯(cuò)誤和某些類型用戶模式錯(cuò)誤時(shí)發(fā)生。如果此服務(wù)被禁用，任何依賴于它的服務(wù)將無(wú)法啟用。
@:: 建議： 禁用
sc config ERSvc start= DISABLED
sc stop ERSvc
@:: Workstation
@:: 創(chuàng)建和維護(hù)到遠(yuǎn)程服務(wù)的客戶端網(wǎng)絡(luò)連接。如果服務(wù)停止，這些連接將不可用。如果服務(wù)被禁用，任何直接依賴于此服務(wù)的服務(wù)將無(wú)法啟動(dòng)。黑客可以用此服務(wù)看到所有計(jì)算機(jī)用戶。
@:: 建議： 禁用
sc config lanmanworkstation start= DISABLED
sc stop lanmanworkstation
@:: Help and Support
@:: 啟用在此計(jì)算機(jī)上運(yùn)行幫助和支持中心。如果停止服務(wù)，幫助和支持中心將不可用。如果禁用服務(wù)，任何直接依賴于此服務(wù)的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
sc config helpsvc start= DISABLED
sc stop helpsvc
Echo 系統(tǒng)服務(wù)優(yōu)化設(shè)定完畢! 請(qǐng)按任意鍵返回并選4繼續(xù)...
pause >nul
Goto start
復(fù)制代碼 代碼如下:
regsvr32/u C:/WINNT/System32/wshom.ocx
del C:/WINNT/System32/wshom.ocx
regsvr32/u C:/WINNT/system32/shell32.dll
del C:/WINNT/system32/shell32.dll
windows2003.bat
regsvr32/u C:/WINDOWS/System32/wshom.ocx
del C:/WINDOWS/System32/wshom.ocx
regsvr32/u C:/WINDOWS/system32/shell32.dll
del C:/WINDOWS/system32/shell32.dll
B、改名不安全組件，需要注意的是組件的名稱和Clsid都要改，并且要改徹底了，不要照抄，要自己改
開(kāi)始→運(yùn)行→regedit→回車】打開(kāi)注冊(cè)表編輯器
然后【編輯→查找→填寫(xiě)Shell.application→查找下一個(gè)】
用這個(gè)方法能找到兩個(gè)注冊(cè)表項(xiàng)：
{13709620-C279-11CE-A49E-444553540000} 和 Shell.application 。
第一步：
為了確保萬(wàn)無(wú)一失，把這兩個(gè)注冊(cè)表項(xiàng)導(dǎo)出來(lái)，保存為xxxx.reg 文件。
第二步：比如我們想做這樣的更改
13709620-C279-11CE-A49E-444553540000 改名為 13709620-C279-11CE-A49E-444553540001
Shell.application 改名為 Shell.application_nohack
第三步：那么，就把剛才導(dǎo)出的.reg文件里的內(nèi)容按上面的對(duì)應(yīng)關(guān)系替換掉，然后把修改好的.reg文件導(dǎo)入到注冊(cè)表中（雙擊即可），導(dǎo)入了改名后的注冊(cè)表項(xiàng)之后，別忘記了刪除原有的那兩個(gè)項(xiàng)目。這里需要注意一點(diǎn)，Clsid中只能是十個(gè)數(shù)字和ABCDEF六個(gè)字母。
其實(shí)，只要把對(duì)應(yīng)注冊(cè)表項(xiàng)導(dǎo)出來(lái)備份，然后直接改鍵名就可以了，
改好的例子建議自己改應(yīng)該可一次成功：
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/InProcServer32]
@="C://WINNT//system32//shell32.dll"
"ThreadingModel"="Apartment"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/ProgID]
@="Shell.Application_nohack.1"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/TypeLib]
@="{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/Version]
@="1.1"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/VersionIndependentProgID]
@="Shell.Application_nohack"
[HKEY_CLASSES_ROOT/Shell.Application_nohack]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT/Shell.Application_nohack/CLSID]
@="{13709620-C279-11CE-A49E-444553540001}"
[HKEY_CLASSES_ROOT/Shell.Application_nohack/CurVer]
@="Shell.Application_nohack.1"
評(píng)論：WScript.Shell 和 Shell.application 組件是 腳本入侵過(guò)程中，提升權(quán)限的重要環(huán)節(jié)，這兩個(gè)組件的卸載和修改對(duì)應(yīng)注冊(cè)鍵名，可以很大程度的提高虛擬主機(jī)的腳本安全性能，一般來(lái)說(shuō)，ASP和php類腳本提升權(quán)限的功能是無(wú)法實(shí)現(xiàn)了，再加上一些系統(tǒng)服務(wù)、硬盤(pán)訪問(wèn)權(quán)限、端口過(guò)濾、本地安全策略的設(shè)置，虛擬主機(jī)因該說(shuō)，安全性能有非常大的提高，黑客入侵的可能性是非常低了。注銷了Shell組件之后，侵入者運(yùn)行提升工具的可能性就很小了，但是prel等別的腳本語(yǔ)言也有shell能力，為防萬(wàn)一，還是設(shè)置一下為好。下面是另外一種設(shè)置，大同小異。
一、禁止使用FileSystemObject組件 FileSystemObject可以對(duì)文件進(jìn)行常規(guī)操作,可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
HKEY_CLASSES_ROOT/Scripting.FileSystemObject/
改名為其它的名字，如：改為 FileSystemObject_ChangeName
自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT/Scripting.FileSystemObject/CLSID/項(xiàng)目的值
也可以將其刪除，來(lái)防止此類木馬的危害。
2000注銷此組件命令：RegSrv32 /u C:/WINNT/SYSTEM/scrrun.dll
2003注銷此組件命令：RegSrv32 /u C:/WINDOWS/SYSTEM/scrrun.dll
如何禁止Guest用戶使用scrrun.dll來(lái)防止調(diào)用此組件？
使用這個(gè)命令：cacls C:/WINNT/system32/scrrun.dll /e /d guests
二、禁止使用WScript.Shell組件
WScript.Shell可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令
可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
HKEY_CLASSES_ROOT/WScript.Shell/及HKEY_CLASSES_ROOT/WScript.Shell.1/
改名為其它的名字，如：改為WScript.Shell_ChangeName 或 WScript.Shell.1_ChangeName
自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT/WScript.Shell/CLSID/項(xiàng)目的值
HKEY_CLASSES_ROOT/WScript.Shell.1/CLSID/項(xiàng)目的值
也可以將其刪除，來(lái)防止此類木馬的危害。
三、禁止使用Shell.Application組件
Shell.Application可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令
可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
HKEY_CLASSES_ROOT/Shell.Application/
及
HKEY_CLASSES_ROOT/Shell.Application.1/
改名為其它的名字，如：改為Shell.Application_ChangeName 或 Shell.Application.1_ChangeName
自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT/Shell.Application/CLSID/項(xiàng)目的值
HKEY_CLASSES_ROOT/Shell.Application/CLSID/項(xiàng)目的值
也可以將其刪除，來(lái)防止此類木馬的危害。
禁止Guest用戶使用shell32.dll來(lái)防止調(diào)用此組件。
2000使用命令：cacls C:/WINNT/system32/shell32.dll /e /d guests
2003使用命令：cacls C:/WINDOWS/system32/shell32.dll /e /d guests
注：操作均需要重新啟動(dòng)WEB服務(wù)后才會(huì)生效。
四、調(diào)用Cmd.exe
禁用Guests組用戶調(diào)用cmd.exe
2000使用命令：cacls C:/WINNT/system32/Cmd.exe /e /d guests
2003使用命令：cacls C:/WINDOWS/system32/Cmd.exe /e /d guests
通過(guò)以上四步的設(shè)置基本可以防范目前比較流行的幾種木馬，但最有效的辦法還是通過(guò)綜合安全設(shè)置，將服務(wù)器、程序安全都達(dá)到一定標(biāo)準(zhǔn)，才可能將安全等級(jí)設(shè)置較高，防范更多非法入侵。
C、防止Serv-U權(quán)限提升 (適用于 Serv-U6.0 以前版本，之后可以直接設(shè)置密碼)
先停掉Serv-U服務(wù)
用Ultraedit打開(kāi)ServUDaemon.exe
查找 Ascii：LocalAdministrator 和 #l@$ak#.lk;0@P
修改成等長(zhǎng)度的其它字符就可以了，ServUAdmin.exe也一樣處理。
另外注意設(shè)置Serv-U所在的文件夾的權(quán)限，不要讓IIS匿名用戶有讀取的權(quán)限，否則人家下走你修改過(guò)的文件，照樣可以分析出你的管理員名和密碼?？梢允褂冒⒔瑼SP探針來(lái)檢測(cè)下系統(tǒng)的安全狀態(tài)。
WindowsServer2003 + IIS6.0 + ASP 服務(wù)器安全設(shè)置之--組件安全設(shè)置篇 A、卸載WScript.Shell 和 Shell.application 組件，將下面的代碼保存為一個(gè).BAT文件執(zhí)行（分2000和2003系統(tǒng)）windows2000.bat
regsvr32/u C:/WINNT/System32/wshom.ocx
del C:/WINNT/System32/wshom.ocx
regsvr32/u C:/WINNT/system32/shell32.dll
del C:/WINNT/system32/shell32.dll
windows2003.bat
regsvr32/u C:/WINDOWS/System32/wshom.ocx
del C:/WINDOWS/System32/wshom.ocx
regsvr32/u C:/WINDOWS/system32/shell32.dll
del C:/WINDOWS/system32/shell32.dll
B、改名不安全組件，需要注意的是組件的名稱和Clsid都要改，并且要改徹底了，不要照抄，要自己改
開(kāi)始→運(yùn)行→regedit→回車】打開(kāi)注冊(cè)表編輯器
然后【編輯→查找→填寫(xiě)Shell.application→查找下一個(gè)】
用這個(gè)方法能找到兩個(gè)注冊(cè)表項(xiàng)：
{13709620-C279-11CE-A49E-444553540000} 和 Shell.application 。
第一步：
為了確保萬(wàn)無(wú)一失，把這兩個(gè)注冊(cè)表項(xiàng)導(dǎo)出來(lái)，保存為xxxx.reg 文件。
第二步：比如我們想做這樣的更改
13709620-C279-11CE-A49E-444553540000 改名為 13709620-C279-11CE-A49E-444553540001
Shell.application 改名為 Shell.application_nohack
第三步：那么，就把剛才導(dǎo)出的.reg文件里的內(nèi)容按上面的對(duì)應(yīng)關(guān)系替換掉，然后把修改好的.reg文件導(dǎo)入到注冊(cè)表中（雙擊即可），導(dǎo)入了改名后的注冊(cè)表項(xiàng)之后，別忘記了刪除原有的那兩個(gè)項(xiàng)目。這里需要注意一點(diǎn)，Clsid中只能是十個(gè)數(shù)字和ABCDEF六個(gè)字母。
其實(shí)，只要把對(duì)應(yīng)注冊(cè)表項(xiàng)導(dǎo)出來(lái)備份，然后直接改鍵名就可以了，
改好的例子建議自己改應(yīng)該可一次成功：
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/InProcServer32]
@="C://WINNT//system32//shell32.dll"
"ThreadingModel"="Apartment"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/ProgID]
@="Shell.Application_nohack.1"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/TypeLib]
@="{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/Version]
@="1.1"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/VersionIndependentProgID]
@="Shell.Application_nohack"
[HKEY_CLASSES_ROOT/Shell.Application_nohack]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT/Shell.Application_nohack/CLSID]
@="{13709620-C279-11CE-A49E-444553540001}"
[HKEY_CLASSES_ROOT/Shell.Application_nohack/CurVer]
@="Shell.Application_nohack.1"
評(píng)論：WScript.Shell 和 Shell.application 組件是 腳本入侵過(guò)程中，提升權(quán)限的重要環(huán)節(jié)，這兩個(gè)組件的卸載和修改對(duì)應(yīng)注冊(cè)鍵名，可以很大程度的提高虛擬主機(jī)的腳本安全性能，一般來(lái)說(shuō)，ASP和php類腳本提升權(quán)限的功能是無(wú)法實(shí)現(xiàn)了，再加上一些系統(tǒng)服務(wù)、硬盤(pán)訪問(wèn)權(quán)限、端口過(guò)濾、本地安全策略的設(shè)置，虛擬主機(jī)因該說(shuō)，安全性能有非常大的提高，黑客入侵的可能性是非常低了。注銷了Shell組件之后，侵入者運(yùn)行提升工具的可能性就很小了，但是prel等別的腳本語(yǔ)言也有shell能力，為防萬(wàn)一，還是設(shè)置一下為好。下面是另外一種設(shè)置，大同小異。
一、禁止使用FileSystemObject組件 FileSystemObject可以對(duì)文件進(jìn)行常規(guī)操作,可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
HKEY_CLASSES_ROOT/Scripting.FileSystemObject/
改名為其它的名字，如：改為 FileSystemObject_ChangeName
自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT/Scripting.FileSystemObject/CLSID/項(xiàng)目的值
也可以將其刪除，來(lái)防止此類木馬的危害。
2000注銷此組件命令：RegSrv32 /u C:/WINNT/SYSTEM/scrrun.dll
2003注銷此組件命令：RegSrv32 /u C:/WINDOWS/SYSTEM/scrrun.dll
如何禁止Guest用戶使用scrrun.dll來(lái)防止調(diào)用此組件？
使用這個(gè)命令：cacls C:/WINNT/system32/scrrun.dll /e /d guests
二、禁止使用WScript.Shell組件
WScript.Shell可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令
可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
HKEY_CLASSES_ROOT/WScript.Shell/及HKEY_CLASSES_ROOT/WScript.Shell.1/
改名為其它的名字，如：改為WScript.Shell_ChangeName 或 WScript.Shell.1_ChangeName
自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT/WScript.Shell/CLSID/項(xiàng)目的值
HKEY_CLASSES_ROOT/WScript.Shell.1/CLSID/項(xiàng)目的值
也可以將其刪除，來(lái)防止此類木馬的危害。
三、禁止使用Shell.Application組件
Shell.Application可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令
可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
HKEY_CLASSES_ROOT/Shell.Application/
及
HKEY_CLASSES_ROOT/Shell.Application.1/
改名為其它的名字，如：改為Shell.Application_ChangeName 或 Shell.Application.1_ChangeName
自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT/Shell.Application/CLSID/項(xiàng)目的值
HKEY_CLASSES_ROOT/Shell.Application/CLSID/項(xiàng)目的值
也可以將其刪除，來(lái)防止此類木馬的危害。
禁止Guest用戶使用shell32.dll來(lái)防止調(diào)用此組件。
2000使用命令：cacls C:/WINNT/system32/shell32.dll /e /d guests
2003使用命令：cacls C:/WINDOWS/system32/shell32.dll /e /d guests
注：操作均需要重新啟動(dòng)WEB服務(wù)后才會(huì)生效。
四、調(diào)用Cmd.exe
禁用Guests組用戶調(diào)用cmd.exe
2000使用命令：cacls C:/WINNT/system32/Cmd.exe /e /d guests
2003使用命令：cacls C:/WINDOWS/system32/Cmd.exe /e /d guests
通過(guò)以上四步的設(shè)置基本可以防范目前比較流行的幾種木馬，但最有效的辦法還是通過(guò)綜合安全設(shè)置，將服務(wù)器、程序安全都達(dá)到一定標(biāo)準(zhǔn)，才可能將安全等級(jí)設(shè)置較高，防范更多非法入侵。
C、防止Serv-U權(quán)限提升 (適用于 Serv-U6.0 以前版本，之后可以直接設(shè)置密碼)
先停掉Serv-U服務(wù)
用Ultraedit打開(kāi)ServUDaemon.exe
查找 Ascii：LocalAdministrator 和 #l@$ak#.lk;0@P
修改成等長(zhǎng)度的其它字符就可以了，ServUAdmin.exe也一樣處理。
另外注意設(shè)置Serv-U所在的文件夾的權(quán)限，不要讓IIS匿名用戶有讀取的權(quán)限，否則人家下走你修改過(guò)的文件，照樣可以分析出你的管理員名和密碼。可以使用阿江ASP探針來(lái)檢測(cè)下系統(tǒng)的安全狀態(tài)。
一鍵關(guān)閉服務(wù)批處理
復(fù)制代碼 代碼如下:
CLS
MODE con: COLS=80 LINES=18
COLOR 70
Echo.
Echo 正在進(jìn)行系統(tǒng)服務(wù)優(yōu)化，請(qǐng)稍等......
@:: Alerter
@:: 通知選定的用戶和計(jì)算機(jī)管理警報(bào)。如果服務(wù)停止，使用管理警報(bào)的程序?qū)⒉粫?huì)收到它們。如果此服務(wù)被禁用，任何直接依賴它的服務(wù)都將不能啟動(dòng)。
sc config Alerter start= DISABLED
sc stop Alerter
@:: Application Experience Lookup Service
@:: 在應(yīng)用程序啟動(dòng)時(shí)為應(yīng)用程序處理應(yīng)用程序兼容性查找請(qǐng)求。
@:: 建議： 禁用
sc config AeLookupSvc start= DISABLED
sc stop AeLookupSvc
@:: Background Intelligent Transfer Service
@:: 在后臺(tái)傳輸客戶端和服務(wù)器之間的數(shù)據(jù)。如果禁用了 BITS，一些功能，如 Windows Update，就無(wú)法正常運(yùn)行。
@:: 建議： 禁用
@:: sc config BITS start= DEMAND
@:: sc stop BITS
@:: DHCP Client
@:: 為此計(jì)算機(jī)注冊(cè)并更新 IP 地址。如果此服務(wù)停止，計(jì)算機(jī)將不能接收動(dòng)態(tài) IP 地址和 DNS 更新。如果此服務(wù)被禁用，所有明確依賴它的服務(wù)都將不能啟動(dòng)。
@:: 建議： 禁用
@:: sc config Dhcp start= DISABLED
@:: sc stop Dhcp
@:: Network Location Awareness (NLA)
@:: 收集并保存網(wǎng)絡(luò)配置和位置信息，并在信息改動(dòng)時(shí)通知應(yīng)用程序。
@:: 建議： 禁用
sc config Nla start= DISABLED
sc stop Nla
@:: Secondary Logon
@:: 啟用替換憑據(jù)下的啟用進(jìn)程。如果此服務(wù)被終止，此類型登錄訪問(wèn)將不可用。如果此服務(wù)被禁用，任何依賴它的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
sc config seclogon start= DISABLED
sc stop seclogon
@:: TCP/IP NetBIOS Helper
@:: 提供 TCP/IP (NetBT) 服務(wù)上的 NetBIOS 和網(wǎng)絡(luò)上客戶端的 NetBIOS 名稱解析的支持，從而使用戶能夠共享文件、打印和登錄到網(wǎng)絡(luò)。如果此服務(wù)被停用，這些功能可能不可用。如果此服務(wù)被禁
用，任何依賴它的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
sc config LmHosts start= DISABLED
sc stop LmHosts
@:: Wireless Configuration
@:: 啟用 IEEE 802.11 適配器的自動(dòng)配置。如果此服務(wù)停止，自動(dòng)配置將不可用。如果此服務(wù)被禁用，所有明確依賴它的服務(wù)都將不能啟動(dòng)。
@:: 建議： 禁用
sc config WZCSVC start= DISABLED
sc stop WZCSVC
@:: Smart Card (智慧卡)
@:: 微軟：管理這個(gè)計(jì)算機(jī)所讀取智能卡的存取。如果這個(gè)服務(wù)被停止，這個(gè)計(jì)算機(jī)將無(wú)法讀取智能卡。如果這個(gè)服務(wù)被停用，任何明確依存于它的服務(wù)將無(wú)法啟動(dòng)。
@:: 補(bǔ)充： 如果你不使用 Smart Card ，那就可以關(guān)了
@:: 依存： Plug and Play
@:: 建議： 禁用
sc config SCardSvr start= DISABLED
sc stop SCardSvr
@:: Windows Firewall/Internet Connection Sharing (ICS)
@:: 微軟：為家庭或小型辦公網(wǎng)絡(luò)提供網(wǎng)絡(luò)地址轉(zhuǎn)換，定址以及名稱解析和/或防止入侵服務(wù)。
@:: 補(bǔ)充： 如果你不使用因特網(wǎng)聯(lián)機(jī)共享(ICS)或是 XP 內(nèi)含的因特網(wǎng)聯(lián)機(jī)防火墻(ICF)你可以關(guān)掉
@:: 依存： Application Layer Gateway Service、Network Connections、Network Location Awareness(NLA)、remote Access Connection Manager
@:: 建議： 手動(dòng),某些用戶在本地測(cè)試時(shí)內(nèi)網(wǎng)掉線就是因?yàn)檫@個(gè)服務(wù)停了，只需要啟動(dòng)此服務(wù)即可！
@:: sc config SharedAccess start= DEMAND
@:: sc stop SharedAccess
@:: Windows Image Acquisition (WIA) (Windows影像取得程序)
@:: 微軟： 為掃描儀和數(shù)字相機(jī)提供影像擷取服務(wù)。
@:: 補(bǔ)充：如果掃描儀和數(shù)字相機(jī)內(nèi)部具有支持WIA功能的話，那就可以直接看到圖檔，不需要其它的驅(qū)動(dòng)程序，所以沒(méi)有掃描儀和數(shù)字相機(jī)的使用者大可關(guān)了
@:: 依存：remote Procedure Call (RPC)
@:: 建議： 禁用
sc config stisvc start= DISABLED
sc stop stisvc
@:: MS Software Shadow Copy Provider[For XP]
@:: 微軟：管理磁盤(pán)區(qū)陰影復(fù)制服務(wù)所取得的以軟件為主的磁盤(pán)區(qū)陰影復(fù)制。如果停止這個(gè)服務(wù)，就無(wú)法管理以軟件為主的磁盤(pán)區(qū)陰影復(fù)制。
@:: 補(bǔ)充： 如上所說(shuō)的，用來(lái)備份的東西，如 MS Backup 程序就需要這個(gè)服務(wù)
@:: 依存：remote Procedure Call (RPC)
@:: 建議： 禁用
sc config swprv start= DISABLED
sc stop swprv
@:: Performance Logs and Alerts (效能記錄文件及警示)
@:: 微軟：收集本地或遠(yuǎn)程計(jì)算機(jī)基于預(yù)先配置的計(jì)劃參數(shù)的性能數(shù)據(jù)，然后將此數(shù)據(jù)寫(xiě)入日志或觸發(fā)警報(bào)。如果此服務(wù)被終止，將不會(huì)收集性能信息。如果此服務(wù)被禁用，任何依賴它的服務(wù)將無(wú)法啟
動(dòng)。
@:: 補(bǔ)充： 沒(méi)什么價(jià)值的服務(wù)
@:: 建議： 禁用
sc config SysmonLog start= DISABLED
sc stop SysmonLog
@:: Telephony (電話語(yǔ)音)
@:: 微軟：為本機(jī)計(jì)算機(jī)上及經(jīng)由局域網(wǎng)絡(luò)連接到正在執(zhí)行此服務(wù)的服務(wù)器上，控制電話語(yǔ)音裝置和 IP 為主語(yǔ)音聯(lián)機(jī)的程序，提供電話語(yǔ)音 API (TAPI) 支持。
@:: 補(bǔ)充： 一般的撥號(hào)調(diào)制解調(diào)器或是一些 DSL/Cable 可能用到
@:: 依存： Plug and Play、remote Procedure Call (RPC)、remote Access Connection Manager、remote Access Auto Connection Manager
@:: 建議： 手動(dòng)
@:: sc config TapiSrv start= DISABLED
@:: sc stop TapiSrv
@:: Distributed Link Tracking Client (分布式連結(jié)追蹤客戶端)
@:: 微軟： 維護(hù)計(jì)算機(jī)中或網(wǎng)絡(luò)網(wǎng)域不同計(jì)算機(jī)中 NTFS 檔案間的連結(jié)。
@:: 補(bǔ)充： 維護(hù)區(qū)網(wǎng)內(nèi)不同計(jì)算機(jī)之間的檔案連結(jié)
@:: 依存：remote Procedure Call (RPC)
@:: 建議： 禁用
sc config TrkWks start= DISABLED
sc stop TrkWks
@:: Portable Media Serial Number
@:: 微軟： Retrieves the serial number of any portable music player connected to your computer
@:: 補(bǔ)充：透過(guò)聯(lián)機(jī)計(jì)算機(jī)重新取得任何音樂(lè)撥放序號(hào)？沒(méi)什么價(jià)值的服務(wù)
@:: 建議： 禁用
sc config WmdmPmSN start= DISABLED
sc stop WmdmPmSN
@:: WMI Performance Adapter
@:: 微軟： 提供來(lái)自 WMIHiPerf 提供者的效能鏈接庫(kù)信息。
@:: 補(bǔ)充： 如上所提
@:: 依存：remote Procedure Call (RPC)
@:: 建議： 禁用
sc config WmiApSrv start= DISABLED
sc stop WmiApSrv
@:: Automatic Updates
@:: 微軟： 啟用重要 Windows 更新的下載及安裝。如果停用此服務(wù)，可以手動(dòng)的從 Windows Update 網(wǎng)站上更新操作系統(tǒng)。
@:: 補(bǔ)充： 允許 Windows 于背景自動(dòng)聯(lián)機(jī)之下，到 Microsoft Servers 自動(dòng)檢查和下載更新修補(bǔ)程序
@:: 建議： 禁用
@:: sc config wuauserv start= DISABLED
@:: sc stop wuauserv
@:: Fast User Switching Compatibility[For XP]
@:: 為在多用戶下需要協(xié)助的應(yīng)用程序提供管理。依賴RPC。
sc config FastUserSwitchingCompatibility start= DEMAND
sc stop FastUserSwitchingCompatibility
@:: System Restore Service[For XP]
@:: 執(zhí)行系統(tǒng)還原功能。要停止服務(wù)，請(qǐng)從“我的電腦”的屬性中的系統(tǒng)還原選項(xiàng)卡關(guān)閉系統(tǒng)還原。
sc config srservice start= DISABLED
sc stop srservice
@:: SSDP Discovery Service[For XP]
@:: 啟動(dòng)您家庭網(wǎng)絡(luò)上的 UPnP 設(shè)備的發(fā)現(xiàn)。
sc config SSDPSRV start= DISABLED
sc stop SSDPSRV
@:: telnet
@:: 允許遠(yuǎn)程用戶登錄到此計(jì)算機(jī)并運(yùn)行程序，并支持多種 TCP/IP Telnet 客戶，包括基于 UNIX 和 Windows 的計(jì)算機(jī)。如果此服務(wù)停止，遠(yuǎn)程用戶就不能訪問(wèn)程序，任何直接依靠它的服務(wù)將會(huì)啟動(dòng)
失敗。
sc config TlntSvr start= DISABLED
sc stop TlntSvr
@:: Universal Plug and Play Device Host[For XP]
@:: 為主持通用即插即用設(shè)備提供支持。
sc config upnphost start= DEMAND
sc stop upnphost
@:: Security Center[For XP]
@:: 監(jiān)視系統(tǒng)安全設(shè)置和配置。
sc config wscsvc start= DISABLED
sc stop wscsvc
@:: System Event Notification
@:: 監(jiān)視系統(tǒng)事件并通知 COM+ 事件系統(tǒng)“訂閱者(subscriber)”。如果此服務(wù)被停用，COM+ 事件系統(tǒng)“訂閱者”將接收不到系統(tǒng)事件通知。如果此服務(wù)被禁用，任何依賴于它的服務(wù)將無(wú)法啟用。
@:: 建議： 禁用
@:: sc config SENS start= DISABLED
@:: sc stop SENS
@:: COM+ Event System
@:: 支持系統(tǒng)事件通知服務(wù) (SENS)，此服務(wù)為訂閱的組件對(duì)象模型 (COM) 組件提供自動(dòng)分布事件功能。如果停止此服務(wù)，SENS 將關(guān)閉，而且不能提供登錄和注銷通知。如果禁用此服務(wù)，顯式依賴此
服務(wù)的其他服務(wù)都將無(wú)法啟動(dòng)。
@:: 建議： 禁用
@:: sc config EventSystem start= DISABLED
@:: sc stop EventSystem
@:: Windows Audio
@:: 管理基于 Windows 的程序的音頻設(shè)備。如果此服務(wù)被終止，音頻設(shè)備及其音效將不能正常工作。如果此服務(wù)被禁用，任何依賴它的服務(wù)將無(wú)法啟動(dòng)。
@:: 補(bǔ)充：服務(wù)器上用什么聲卡呀，去掉了!
@:: 建議： 禁用
@:: sc config AudioSrv start= DISABLED
@:: sc stop AudioSrv
@:: Computer Browser
@:: 維護(hù)網(wǎng)絡(luò)上計(jì)算機(jī)的更新列表，并將列表提供給計(jì)算機(jī)指定瀏覽。如果服務(wù)停止，列表不會(huì)被更新或維護(hù)。如果服務(wù)被禁用，任何直接依賴于此服務(wù)的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
sc config Browser start= DISABLED
sc stop Browser
@:: Task Scheduler
@:: 使用戶能在此計(jì)算機(jī)上配置和計(jì)劃自動(dòng)任務(wù)。如果此服務(wù)被終止，這些任務(wù)將無(wú)法在計(jì)劃時(shí)間里運(yùn)行。如果此服務(wù)被禁用，任何依賴它的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
@:: sc config Schedule start= DISABLED
@:: sc stop Schedule
@:: Routing and Remote Access
@:: 在局域網(wǎng)以及廣域網(wǎng)環(huán)境中為企業(yè)提供路由服務(wù)。
@:: 建議： 禁用
sc config RemoteAccess start= DISABLED
sc stop RemoteAccess
@:: Removable Storage
@:: 管理和編錄可移動(dòng)媒體并操作自動(dòng)化可移動(dòng)媒體設(shè)備。如果這個(gè)服務(wù)被停止，依賴可移動(dòng)存儲(chǔ)的程序，如備份和遠(yuǎn)程存儲(chǔ)將放慢速度。如果禁用這個(gè)服務(wù)，所有專依賴這個(gè)服務(wù)的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
sc config NtmsSvc start= DISABLED
sc stop NtmsSvc
@:: Remote Registry
@:: 使遠(yuǎn)程用戶能修改此計(jì)算機(jī)上的注冊(cè)表設(shè)置。如果此服務(wù)被終止，只有此計(jì)算機(jī)上的用戶才能修改注冊(cè)表。如果此服務(wù)被禁用，任何依賴它的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
sc config RemoteRegistry start= DISABLED
sc stop RemoteRegistry
@:: Print Spooler
@:: 管理所有本地和網(wǎng)絡(luò)打印隊(duì)列及控制所有打印工作。如果此服務(wù)被停用，本地計(jì)算機(jī)上的打印將不可用。如果此服務(wù)被禁用，任何依賴于它的服務(wù)將無(wú)法啟用。
@:: 建議： 禁用
sc config Spooler start= DISABLED
sc stop Spooler
@:: Error Reporting Service
@:: 收集、存儲(chǔ)和向 Microsoft 報(bào)告異常應(yīng)用程序崩潰。如果此服務(wù)被停用，那么錯(cuò)誤報(bào)告僅在內(nèi)核錯(cuò)誤和某些類型用戶模式錯(cuò)誤時(shí)發(fā)生。如果此服務(wù)被禁用，任何依賴于它的服務(wù)將無(wú)法啟用。
@:: 建議： 禁用
sc config ERSvc start= DISABLED
sc stop ERSvc
@:: Workstation
@:: 創(chuàng)建和維護(hù)到遠(yuǎn)程服務(wù)的客戶端網(wǎng)絡(luò)連接。如果服務(wù)停止，這些連接將不可用。如果服務(wù)被禁用，任何直接依賴于此服務(wù)的服務(wù)將無(wú)法啟動(dòng)。黑客可以用此服務(wù)看到所有計(jì)算機(jī)用戶。
@:: 建議： 禁用
sc config lanmanworkstation start= DISABLED
sc stop lanmanworkstation
@:: Help and Support
@:: 啟用在此計(jì)算機(jī)上運(yùn)行幫助和支持中心。如果停止服務(wù)，幫助和支持中心將不可用。如果禁用服務(wù)，任何直接依賴于此服務(wù)的服務(wù)將無(wú)法啟動(dòng)。
@:: 建議： 禁用
sc config helpsvc start= DISABLED
sc stop helpsvc
Echo 系統(tǒng)服務(wù)優(yōu)化設(shè)定完畢! 請(qǐng)按任意鍵返回并選4繼續(xù)...
pause >nul
Goto start
相關(guān)文章
win10 64位系統(tǒng)中安裝多個(gè)jdk版本的切換問(wèn)題及解決方法小結(jié)
這篇文章主要介紹了win10 64位系統(tǒng)中安裝多個(gè)jdk版本的切換問(wèn)題及解決方法，本文圖文并茂給大家介紹的非常詳細(xì)，具有一定的參考借鑒價(jià)值，需要的朋友可以參考下2018-11-11
因?yàn)閕ni 是放在每個(gè)站點(diǎn)根下的。他自己會(huì)找，所以我們需要用isapi_rewrite的組件，加載到網(wǎng)站中去 ，然后重新啟動(dòng)下站點(diǎn)即可以解決問(wèn)題。2008-06-06
window系統(tǒng)的Rsync同步實(shí)戰(zhàn)分析
Rsync是一個(gè)遠(yuǎn)程數(shù)據(jù)同步工具，可通過(guò)LAN/WAN快速同步多臺(tái)主機(jī)間的文件。Rsync本來(lái)是用以取代rcp的一個(gè)工具，它當(dāng)前由 rsync.samba.org維護(hù)。2008-09-09
win2003 服務(wù)器安全設(shè)置教程(權(quán)限與本地策略)
腳本之家的這篇文章主要是補(bǔ)充下以前我們發(fā)的文章，對(duì)于服務(wù)器安全設(shè)置需要掌握很多的東西與技巧2012-07-07
IIS6 安裝與配置.net 2.0過(guò)程的詳細(xì)圖解
本次試用的是IIS6.0版本在Windows Service 2003上的安裝過(guò)程2010-03-03
win2003 64位系統(tǒng)下ODBC連接使用方法
一般系統(tǒng)部署的服務(wù)器若是windows系統(tǒng)，就會(huì)采用64位win2003的結(jié)構(gòu)。可是我們編寫(xiě)的程序絕大多數(shù)都是在x86下32位cpu架構(gòu)中編譯的，要正常移植到64位機(jī)器還真的是很麻煩，不僅要求應(yīng)用程序是64位模式編譯，還需要數(shù)據(jù)庫(kù)也得是64位，iis64位2017-03-03
windows 2008 裝iis很簡(jiǎn)單 asp的
首先服務(wù)器里面要開(kāi)啟Windows Modules Installer和Software Licensing哦~~ 這個(gè)是Windows 更新和可選組件的安裝……如果關(guān)閉的話 那就沒(méi)辦法安裝組件了~2008-07-07
阿里云windows?server2019配置FTP服務(wù)的完整步驟
本文主要介紹了阿里云windows?server2019配置FTP服務(wù)的完整步驟，文中通過(guò)圖文介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2022-04-04
發(fā)現(xiàn)不少客戶都會(huì)遇到服務(wù)器IIS出現(xiàn)假死的情況。為了能更好的為客戶服務(wù)，我查找了一些解決IIS假死的辦法僅供大家參考2012-12-12
怎樣通過(guò)iisapp命令查找pid來(lái)解決IIS的cpu占用率過(guò)高問(wèn)題
有些時(shí)候發(fā)現(xiàn)服務(wù)器的一些iis進(jìn)程占用資源比較大，用下面的方法可以盡快的解決。2009-03-03