Windows Server 2003 安全配置

社区服务
高级搜索
猴岛论坛电脑百科Windows Server 2003 安全配置
发帖 回复
倒序阅读 最近浏览的帖子最近浏览的版块
« 返回列表
1个回复

[技术小组]Windows Server 2003 安全配置

 楼层直达
　　　三岁

ZxID：44344

等级: 猴岛技术组
糖果

举报 只看楼主 使用道具 楼主   发表于: 2014-12-04 0
windows server2003是目前最为成熟的网络服务器平台，安全性相对于windows 2000有大大的提高,但是2003默认的安全配置不一定适合我们的需要，所以，我们要根据实际情况来对win2003进行全面安全配置。说实话，安全配置是一项比较有难度的网络技术，权限配置的太严格，好多程序又运行不起，权限配置的太松，又很容易被黑客入侵，所以总结出以下一些方法来提高我们服务器的安全性。


第一：
正确划分文件系统格式，选择稳定的操作系统安装盘
为了提高安全性，服务器的文件系统格式一定要划分成NTFS（新技术文件系统）格式，它比FAT16、FAT32的安全性、空间利用率都大大的提高，我们可以通过它来配置文件的安全性，磁盘配额、EPS文件加密等。如果你已经分成FAT32的格式了，可以用CONVERT 盘符 /FS：NTFS /V 来把FAT32转换成NTFS格式。

第二：
正确设置磁盘的安全性,具体如下(虚拟机的安全设置，我们以asp程序为例子)重点：

1、系统盘权限设置

C:分区部分：

c:\

administrators 全部(该文件夹，子文件夹及文件)

CREATOR OWNER 全部(只有子文件来及文件)

system 全部(该文件夹，子文件夹及文件)

IIS_WPG 创建文件/写入数据(只有该文件夹)

IIS_WPG(该文件夹，子文件夹及文件)

遍历文件夹/运行文件

列出文件夹/读取数据

读取属性

创建文件夹/附加数据

读取权限


c:\Documents and Settings

administrators 全部(该文件夹，子文件夹及文件)

Power Users (该文件夹，子文件夹及文件)

读取和运行

列出文件夹目录

读取

SYSTEM全部(该文件夹，子文件夹及文件)


C:\Program Files

administrators 全部(该文件夹，子文件夹及文件)

CREATOR OWNER全部(只有子文件来及文件)

IIS_WPG (该文件夹，子文件夹及文件)

读取和运行

列出文件夹目录

读取

Power Users(该文件夹，子文件夹及文件)

修改权限

SYSTEM全部(该文件夹，子文件夹及文件)

TERMINAL SERVER USER (该文件夹，子文件夹及文件)

修改权限
2、网站及虚拟机权限设置(比如网站在E盘)

说明：我们假设网站全部在E盘wwwsite目录下，并且为每一个虚拟机创建了一个guest用户，用户名为vhost1...vhostn并且创建了一个webuser组，把所有的vhost用户全部加入这个webuser组里面方便管理

E:\

Administrators全部(该文件夹，子文件夹及文件)

E:\wwwsite


Administrators全部(该文件夹，子文件夹及文件)

system全部(该文件夹，子文件夹及文件)

service全部(该文件夹，子文件夹及文件)


E:\wwwsite\vhost1

Administrators全部(该文件夹，子文件夹及文件)

system全部(该文件夹，子文件夹及文件)

vhost1全部(该文件夹，子文件夹及文件)


3、数据备份盘

数据备份盘最好只指定一个特定的用户对它有完全操作的权限

比如F盘为数据备份盘，我们只指定一个管理员对它有完全操作的权限
4、其它地方的权限设置

请找到c盘的这些文件，把安全性设置只有特定的管理员有完全操作权限

下列这些文件只允许administrators访问

net.exe

net1.exet

cmd.exe

tftp.exe

netstat.exe

regedit.exe

at.exe

attrib.exe

cacls.exe

format.com

5.删除c:\inetpub目录，删除iis不必要的映射，建立陷阱帐号，更改描述

第三：
禁用不必要的服务，提高安全性和系统效率

Computer Browser 维护网络上计算机的最新列表以及提供这个列表

　　Task scheduler 允许程序在指定时间运行

　　Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务

　　Removable storage 管理可移动媒体、驱动程序和库

　　Remote Registry Service 允许远程注册表操作

　　Print Spooler 将文件加载到内存中以便以后打印。要用打印机的朋友不能禁用这项

　　IPSEC Policy Agent 管理IP安全策略以及启动ISAKMP/OakleyIKE)和IP安全驱动程序

　　Distributed Link Tracking Client 当文件在网络域的NTFS卷中移动时发送通知

　　Com+ Event System 提供事件的自动发布到订阅COM组件

Alerter 通知选定的用户和计算机管理警报

Error Reporting Service 收集、存储和向 Microsoft 报告异常应用程序

Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息

Telnet 允许远程用户登录到此计算机并运行程序

第四:

修改注册表，让系统更强壮

1、隐藏重要文件/目录可以修改注册表实现完全隐藏：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL"，鼠标右击 "CheckedValue"，选择修改，把数值由1改为0

　　2、启动系统自带的Internet连接_blank">防火墙，在设置服务选项中勾选Web服务器。

　　3、防止SYN洪水攻击

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建DWORD值，名为SynAttackProtect，值为2

EnablePMTUDiscovery REG_DWORD 0

NoNameReleaseOnDemand REG_DWORD 1

EnableDeadGWDetect REG_DWORD 0

KeepAliveTime REG_DWORD 300,000

PerformRouterDiscovery REG_DWORD 0

EnableICMPRedirects REG_DWORD 0

　　4. 禁止响应ICMP路由通告报文

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface

　　新建DWORD值，名为PerformRouterDiscovery 值为0

　　5. 防止ICMP重定向报文的攻击

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

　　将EnableICMPRedirects 值设为0

　　6. 不支持IGMP协议

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建DWORD值，名为IGMPLevel 值为0

7.修改终端服务端口

运行regedit，找到[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ Wds \ rdpwd \ Tds \ tcp]，看到右边的PortNumber了吗？在十进制状态下改成你想要的端口号吧，比如7126之类的，只要不与其它冲突即可。

　　2、第二处HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ WinStations \ RDP-Tcp，方法同上，记得改的端口号和上面改的一样就行了。

8、禁止IPC空连接：

cracker可以利用net use命令建立空连接，进而入侵，还有net view，nbtstat这些都是基于空连接的，禁止空连接就好了。打开注册表，找到Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 把这个值改成"1"即可。

9、更改TTL值

cracker可以根据ping回的TTL值来大致判断你的操作系统，如：

TTL=107(WINNT);

TTL=108(win2000);

TTL=127或128(win9x);

TTL=240或241(linux);

TTL=252(solaris);

TTL=240(Irix);

实际上你可以自己更改的：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters：DefaultTTL REG_DWORD 0-0xff(0-255 十进制,默认值128)改成一个莫名其妙的数字如258，起码让那些小菜鸟晕上半天，就此放弃入侵你也不一定哦

10. 删除默认共享
有人问过我一开机就共享所有盘，改回来以后，重启又变成了共享是怎么回事，这是2K为管理而设置的默认共享，必须通过修改注册表的方式取消它：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters：AutoShareServer类型是REG_DWORD把值改为0即可

11. 禁止建立空连接

默认情况下，任何用户通过通过空连接连上服务器，进而枚举出帐号，猜测密码。我们可以通过修改注册表来禁止建立空连接：

Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 的值改成"1"即可。
复制代码
  1. 一般禁用以下端口
  3. 135 138 139 443 445 4000 4899 7626
  5. 8.本地安全策略和组策略的设置,如果你在设置本地安全策略时设置错了，可以这样恢复成它的默认值.
  7. 打开 %SystemRoot%\Security文件夹,创建一个 "OldSecurity"子目录,将%SystemRoot%\Security下所有的.log文件移到这个新建的子文件夹中.
  10. 在%SystemRoot%\Security\database\下找到"Secedit.sdb"安全数据库并将其改名,如改为"Secedit.old".
  13. 启动"安全配置和分析"MMC管理单元:"开始"->"运行"->"MMC",启动管理控制台,"添加/删除管理单元",将"安全配置和分析"管理单元添加上.
  16. 右击"安全配置和分析"->"打开数据库",浏览"C:\WINNT\security\Database"文件夹,输入文件名"secedit.sdb",单击"打开".
  19. 当系统提示输入一个模板时,选择"Setup Security.inf",单击"打开".
  22. 如果系统提示"拒绝访问数据库",不管他.
  25. 你会发现在"C:\WINNT\security\Database"子文件夹中重新生成了新的安全数据库,在"C:\WINNT\security"子文件夹下重新生成了log文件.安全数据库重建成功.
  28. 1.
  29. 删除以下的注册表主键:
  30. WScript.Shell
  31. WScript.Shell.1
  32. Shell.application
  33. Shell.application.1
  34. WSCRIPT.NETWORK
  35. WSCRIPT.NETWORK.1
  37. regsvr32/u wshom.ocx回车、regsvr32/u wshext.dll回车
  39. Windows 2003 硬盘安全设置
  41. c:\
  42. administrators 全部
  43. system 全部
  44. iis_wpg 只有该文件夹
  45. 列出文件夹/读数据
  46. 读属性
  47. 读扩展属性
  48. 读取权限
  51. c:\inetpub\mailroot
  52. administrators 全部
  53. system 全部
  54. service 全部
  56. c:\inetpub\ftproot
  57. everyone 只读和运行
  59. c:\windows
  60. administrators 全部
  61. Creator owner
  62. 不是继承的
  63. 只有子文件夹及文件
  64. 完全
  65. Power Users
  66. 修改，读取和运行，列出文件夹目录，读取，写入
  67. system 全部
  68. IIS_WPG 读取和运行，列出文件夹目录，读取
  69. Users 读取和运行(此权限最后调整完成后可以取消)
  71. C:\WINDOWS\Microsoft.Net
  72. administrators 全部
  73. Creator owner
  74. 不是继承的
  75. 只有子文件夹及文件
  76. 完全
  77. Power Users
  78. 修改，读取和运行，列出文件夹目录，读取，写入
  79. system 全部
  80. Users 读取和运行，列出文件夹目录，读取
  81. 'www.knowsky.com
  82. C:\WINDOWS\Microsoft.Net
  83. administrators 全部
  84. Creator owner
  85. 不是继承的
  86. 只有子文件夹及文件
  87. 完全
  88. Power Users
  89. 修改，读取和运行，列出文件夹目录，读取，写入
  90. system 全部
  91. Users 读取和运行，列出文件夹目录，读取
  95. C:\WINDOWS\Microsoft.Net\temporary ASP.NET Files
  96. administrators 全部
  97. Creator owner
  98. 不是继承的
  99. 只有子文件夹及文件
  100. 完全
  101. Power Users
  102. 修改，读取和运行，列出文件夹目录，读取，写入
  103. system 全部
  104. Users 全部
  108. c:\Program Files
  109. Everyone 只有该文件夹
  110. 不是继承的
  111. 列出文件夹/读数据
  112. administrators 全部
  113. iis_wpg 只有该文件夹
  114. 列出文件/读数据
  115. 读属性
  116. 读扩展属性
  117. 读取权限
  120. c:\windows\temp
  121. Administrator 全部权限
  122. System全部权限
  123. users 全部权限
  125. c:\Program Files\Common Files
  126. administrators 全部
  127. Creator owner
  128. 不是继承的
  129. 只有子文件夹及文件
  130. 完全
  131. Power Users
  132. 修改，读取和运行，列出文件夹目录，读取，写入
  133. system 全部
  134. TERMINAL SERVER Users(如果有这个用户)
  135. 修改，读取和运行，列出文件夹目录，读取，写入
  136. Users 读取和运行，列出文件夹目录，读取
  138. c:\Program Files\Dimac(如果有这个目录)
  139. Everyone 读取和运行，列出文件夹目录，读取
  140. administrators 全部
  142. c:\Program Files\ComPlus Applications (如果有)
  143. administrators 全部
  145. c:\Program Files\GflSDK (如果有)
  146. administrators 全部
  147. Creator owner
  148. 不是继承的
  149. 只有子文件夹及文件
  150. 完全
  151. Power Users
  152. 修改，读取和运行，列出文件夹目录，读取，写入
  153. system 全部
  154. TERMINAL SERVER Users
  155. 修改，读取和运行，列出文件夹目录，读取，写入
  156. Users 读取和运行，列出文件夹目录，读取
  157. Everyone 读取和运行，列出文件夹目录，读取
  159. c:\Program Files\InstallShield Installation Information (如果有)
  160. c:\Program Files\Internet Explorer (如果有)
  161. c:\Program Files\NetMeeting (如果有)
  162. administrators 全部
  164. c:\Program Files\WindowsUpdate
  165. Creator owner
  166. 不是继承的
  167. 只有子文件夹及文件
  168. 完全
  169. administrators 全部
  170. Power Users
  171. 修改，读取和运行，列出文件夹目录，读取，写入
  172. system 全部
  174. c:\Program Files\Microsoft SQL(如果SQL安装在这个目录)
  175. administrators 全部
  176. Service 全部
  177. system 全部
  179. d:\ (如果用户网站内容放置在这个分区中)
  180. administrators 全部权限
  182. d:\FreeHost (如果此目录用来放置用户网站内容)
  183. administrators 全部权限
  184. SERVICE 读取与运行
  187. 从安全角度，我们建议WebEasyMail(WinWebMail)安装在独立的盘中，例如E:
  188. E:\(如果webeasymail安装在这个盘中)
  189. administrators 全部权限
  190. system 全部权限
  191. IUSR_*，默认的Internet来宾帐户(或专用的运行用户)
  192. 读取与运行
  193. E:\WebEasyMail (如果webeasymail安装在这个目录中)
  194. administrators 全部
  195. system 全部权限
  196. SERVICE全部
  197. IUSR_*，默认的Internet来宾帐户 (或专用的运行用户)
  198. 全部权限
  201. C:\php\uploadtemp
  202. C:\php\sessiondata
  203. everyone
  204. 全部
  206. C:\php\
  207. administrators 全部
  208. system 全部权限
  209. SERVICE全部
  210. Users 只读和运行
  213. c:\windows\php.ini
  214. administrators 全部
  215. system 全部权限
  216. SERVICE全部
  217. Users 只读和运行
  219. 防止海洋木马列出WIN服务器的用户和进程
  221. 禁用服务里面倒数第二个 workstation 服务，可以防止列出用户和服务


复制代码
  1. 差不多了,如有需要,请慢慢看,寻找需要的解决方法
  3.                                                                           猴岛技术组
本帖de评分： 共 1 条评分 ＤＢ +200
ＤＢ+200 2014-12-30

单机区感谢你的付出
隐藏
打赏 收藏 新鲜事

相关主题

[/url]
猴岛论坛技术组-神一般的头衔 各个领域 天才云集 福利多多 你还在等什么 赶快加入我们吧！

小野博客
回复 引用
　 鲜花[0]　 鸡蛋[0]
-　不懂浪漫゛

ZxID：16584776

等级: 元老
配偶: 匆匆昕晴
举报 只看该作者 沙发   发表于: 2014-12-04 0
现在想换linux的了
引用
回复 引用 新鲜事
　 鲜花[0]　 鸡蛋[0]
« 返回列表
发帖 回复