我寫這篇文章的時(shí)候心里很不踏實(shí)，總害怕說錯(cuò)了會(huì)誤了別人的事。呵呵 下面開始說下。

本文更側(cè)重于防止ASP漏洞攻擊，所以服務(wù)器防黑等方面的講解可能略嫌少了點(diǎn)。

基本的服務(wù)器安全設(shè)置

安裝補(bǔ)丁

安裝好操作系統(tǒng)之后，最好能在托管之前就完成補(bǔ)丁的安裝，配置好網(wǎng)絡(luò)后，如果是2000則確定安裝上了SP4，如果是2003，則最好安裝上SP1，然后點(diǎn)擊開始→Windows Update，安裝所有的關(guān)鍵更新。

安裝殺毒軟件

雖然殺毒軟件有時(shí)候不能解決問題，但是殺毒軟件避免了很多問題。我一直在用諾頓2004，據(jù)說2005可以殺木馬，不過我沒試過。還有人用瑞星，瑞星是確定可以殺木馬的。更多的人說卡巴司機(jī)好，不過我沒用過。

腳本之家小編補(bǔ)充：殺毒推薦使用mcafee即可。

不要指望殺毒軟件殺掉所有的木馬，因?yàn)锳SP木馬的特征是可以通過一定手段來避開殺毒軟件的查殺。

設(shè)置端口保護(hù)和防火墻、刪除默認(rèn)共享

　　都是服務(wù)器防黑的措施，即使你的服務(wù)器上沒有IIS，這些安全措施都最好做上。這是阿江的盲區(qū)，大概知道屏蔽端口用本地安全策略，不過這方面的東西網(wǎng)上攻略很多，大家可以擻出來看看，晚些時(shí)候我或者會(huì)復(fù)制一些到我的網(wǎng)站上。
　　權(quán)限設(shè)置
　　阿江感覺這是防止ASP漏洞攻擊的關(guān)鍵所在，優(yōu)秀的權(quán)限設(shè)置可以將危害減少在一個(gè)IIS站點(diǎn)甚至一個(gè)虛擬目錄里。我這里講一下原理和設(shè)置思路，聰明的朋友應(yīng)該看完這個(gè)就能解決問題了。

權(quán)限設(shè)置的原理

　　WINDOWS用戶，在WINNT系統(tǒng)中大多數(shù)時(shí)候把權(quán)限按用戶(組)來劃分。在【開始→程序→管理工具→計(jì)算機(jī)管理→本地用戶和組】管理系統(tǒng)用戶和用戶組。
　　NTFS權(quán)限設(shè)置，請(qǐng)記住分區(qū)的時(shí)候把所有的硬盤都分為NTFS分區(qū)，然后我們可以確定每個(gè)分區(qū)對(duì)每個(gè)用戶開放的權(quán)限。【文件(夾)上右鍵→屬性→安全】在這里管理NTFS文件(夾)權(quán)限。
　　IIS匿名用戶，每個(gè)IIS站點(diǎn)或者虛擬目錄，都可以設(shè)置一個(gè)匿名訪問用戶(現(xiàn)在暫且把它叫“IIS匿名用戶”)，當(dāng)用戶訪問你的網(wǎng)站的.ASP文件的時(shí)候，這個(gè).ASP文件所具有的權(quán)限，就是這個(gè)“IIS匿名用戶”所具有的權(quán)限。
　　權(quán)限設(shè)置的思路
　　要為每個(gè)獨(dú)立的要保護(hù)的個(gè)體(比如一個(gè)網(wǎng)站或者一個(gè)虛擬目錄)創(chuàng)建一個(gè)系統(tǒng)用戶，讓這個(gè)站點(diǎn)在系統(tǒng)中具有惟一的可以設(shè)置權(quán)限的身份。
　　在IIS的【站點(diǎn)屬性或者虛擬目錄屬性→目錄安全性→匿名訪問和驗(yàn)證控制→編輯→匿名訪問→編輯】填寫剛剛創(chuàng)建的那個(gè)用戶名。
　　設(shè)置所有的分區(qū)禁止這個(gè)用戶訪問，而剛才這個(gè)站點(diǎn)的主目錄對(duì)應(yīng)的那個(gè)文件夾設(shè)置允許這個(gè)用戶訪問(要去掉繼承父權(quán)限，并且要加上超管組和SYSTEM組)。
　　這樣設(shè)置了之后，這個(gè)站點(diǎn)里的ASP程序就只有當(dāng)前這個(gè)文件夾的權(quán)限了，從探針上看，所有的硬盤都是紅叉叉。
　　我的設(shè)置方法
　　我是先創(chuàng)建一個(gè)用戶組，以后所有的站點(diǎn)的用戶都建在這個(gè)組里，然后設(shè)置這個(gè)組在各個(gè)分區(qū)沒有權(quán)限或者完全拒絕。然后再設(shè)置各個(gè)IIS用戶在各在的文件夾里的權(quán)限。
　　因?yàn)楸容^多，所以我很不想寫，其實(shí)知道了上面的原理，大多數(shù)人都應(yīng)該懂了，除非不知道怎么添加系統(tǒng)用戶和組，不知道怎么設(shè)置文件夾權(quán)限，不知道IIS站點(diǎn)屬性在那里。真的有那樣的人，你也不要著急，要沉住氣慢慢來，具體的方法其實(shí)自己也能摸索出來的，我就是這樣。當(dāng)然，如果我有空，我會(huì)寫我的具體設(shè)置方法，很傲能還會(huì)配上圖片。

改名或卸載不安全組件

　不安全組件不驚人
　　我的在阿江探針1.9里加入了不安全組件檢測(cè)功能(其實(shí)這是參考7i24的代碼寫的，只是把界面改的友好了一點(diǎn)，檢測(cè)方法和他是基本一樣的)，這個(gè)功能讓很多站長吃驚不小，因?yàn)樗l(fā)現(xiàn)他的服務(wù)器支持很多不安全組件。
　　其實(shí)，只要做好了上面的權(quán)限設(shè)置，那么FSO、XML、strem都不再是不安全組件了，因?yàn)樗麄兌紱]有跨出自己的文件夾或者站點(diǎn)的權(quán)限。那個(gè)歡樂時(shí)光更不用怕，有殺毒軟件在還怕什么時(shí)光啊。
　　最危險(xiǎn)的組件是WSH和Shell，因?yàn)樗梢赃\(yùn)行你硬盤里的EXE等程序，比如它可以運(yùn)行提升程序來提升SERV-U權(quán)限甚至用SERVU來運(yùn)行更高權(quán)限的系統(tǒng)程序。
　　謹(jǐn)慎決定是否卸載一個(gè)組件
　　組件是為了應(yīng)用而出現(xiàn)的，而不是為了不安全而出現(xiàn)的，所有的組件都有它的用處，所以在卸載一個(gè)組件之前，你必須確認(rèn)這個(gè)組件是你的網(wǎng)站程序不需要的，或者即使去掉也不關(guān)大體的。否則，你只能留著這個(gè)組件并在你的ASP程序本身上下工夫，防止別人進(jìn)來，而不是防止別人進(jìn)來后SHELL。
　　比如，F(xiàn)SO和XML是非常常用的組件之一，很多程序會(huì)用到他們。WSH組件會(huì)被一部分主機(jī)管理程序用到，也有的打包程序也會(huì)用到。

一、操作系統(tǒng)配置

   　1.安裝操作系統(tǒng)(NTFS分區(qū))后，裝殺毒軟件，我選用的是卡巴。
　　2.安裝系統(tǒng)補(bǔ)丁。掃描漏洞全面殺毒
　　3.刪除Windows Server 2003默認(rèn)共享
　　首先編寫如下內(nèi)容的批處理文件：

　 代碼如下:

@echo off
net share C$ /del
net share D$ /del
net share E$ /del
net share F$ /del
net share admin$ /del

　　文件名為delshare.bat，放到啟動(dòng)項(xiàng)中，每次開機(jī)時(shí)會(huì)自動(dòng)刪除共享。
　　4.禁用IPC連接
　　打開CMD后輸入如下命令即可進(jìn)行連接：net use\\ip\ipc$ "password" /user:"usernqme"。我們可以通過修改注冊(cè)表來禁用IPC連接。打開注冊(cè)表編輯器。找到如下組建HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa中的restrictanonymous子鍵，將其值改為1即可禁用IPC連接。
　　5.刪除"網(wǎng)絡(luò)連接"里的協(xié)議和服務(wù)
　　在"網(wǎng)絡(luò)連接"里，把不需要的協(xié)議和服務(wù)都刪掉，這里只安裝了基本的Internet協(xié)議(TCP/IP)，同時(shí)在高級(jí)tcp/ip設(shè)置里--"NetBIOS"設(shè)置"禁用tcp/IP上的NetBIOS(S)"。
　　6.啟用windows連接防火墻，只開放web服務(wù)(80端口)。
　　注：在2003系統(tǒng)里，不推薦用TCP/IP篩選里的端口過濾功能，譬如在使用FTP服務(wù)器的時(shí)候，如果僅僅只開放21端口，由于FTP協(xié)議的特殊性，在進(jìn)行FTP傳輸?shù)臅r(shí)候，由于FTP 特有的Port模式和Passive模式，在進(jìn)行數(shù)據(jù)傳輸?shù)臅r(shí)候，需要?jiǎng)討B(tài)的打開高端口，所以在使用TCP/IP過濾的情況下，經(jīng)常會(huì)出現(xiàn)連接上后無法列出目錄和數(shù)據(jù)傳輸?shù)膯栴}。所以在2003系統(tǒng)上增加的windows連接防火墻能很好的解決這個(gè)問題，所以都不推薦使用網(wǎng)卡的TCP/IP過濾功能。
7.磁盤權(quán)限
　　系統(tǒng)盤只給 Administrators 和 SYSTEM 權(quán)限
　　系統(tǒng)盤\Documents and Settings 目錄只給 Administrators 和 SYSTEM 權(quán)限;
　　系統(tǒng)盤\Documents and Settings\All Users 目錄只給 Administrators 和 SYSTEM 權(quán)限;
　　系統(tǒng)盤\Documents and Settings\All Users\Application Data目錄只給 Administrators 和 SYSTEM 權(quán)限;
　　系統(tǒng)盤\Windows 目錄只給 Administrators 、 SYSTEM 和 users 權(quán)限;
　　系統(tǒng)盤\Windows\System32\net.exe;net1.exe;cmd.exe;command.exeftp.exe;netstat.exe;regedit.exe;at.exe;attrib.exe;cacls.exe 文件只給 Administrators 權(quán)限(如果覺得沒用就刪了它，比如我刪了cmd.exe，command.exe，嘿嘿。);
　　其它盤，有安裝程序運(yùn)行的(我的sql server 2000 在D盤)給 Administrators 和 SYSTEM 權(quán)限，無只給 Administrators 權(quán)限。
8.本地安全策略設(shè)置
　　開始菜單—>管理工具—>本地安全策略
　　A、本地策略——>審核策略 (可選用)
　　審核策略更改 成功 失敗
　　審核登錄事件 成功 失敗
　　審核對(duì)象訪問 失敗
　　審核過程跟蹤 無審核
　　審核目錄服務(wù)訪問 失敗
　　審核特權(quán)使用 失敗
　　審核系統(tǒng)事件 成功 失敗
　　審核賬戶登錄事件 成功 失敗
　　審核賬戶管理 成功 失敗
　　B、本地策略——>用戶權(quán)限分配
　　關(guān)閉系統(tǒng)：只有Administrators組、其它全部刪除。
　　通過終端服務(wù)拒絕登陸：加入Guests、Users組
　　通過終端服務(wù)允許登陸：只加入Administrators組，其他全部刪除
　　C、本地策略——>安全選項(xiàng)
　　交互式登陸：不顯示上次的用戶名 啟用
　　網(wǎng)絡(luò)訪問：可匿名訪問的共享 全部刪除
　　網(wǎng)絡(luò)訪問：可匿名訪問的命名管道 全部刪除
　　**網(wǎng)絡(luò)訪問：可遠(yuǎn)程訪問的注冊(cè)表路徑 全部刪除
　　**網(wǎng)絡(luò)訪問：可遠(yuǎn)程訪問的注冊(cè)表路徑和子路徑 全部刪除
　　帳戶：重命名來賓帳戶 重命名一個(gè)帳戶
　　(下面一項(xiàng)更改可能導(dǎo)致sqlserver不能使用)
　　帳戶：重命名系統(tǒng)管理員帳戶 重命名一個(gè)帳戶

二、iis配置(包括網(wǎng)站所在目錄)

　　1.新建自己的網(wǎng)站(*注意：在應(yīng)用程序設(shè)置中執(zhí)行權(quán)限設(shè)為無，在需要的目錄里再更改)，目錄不在系統(tǒng)盤
　　注：為支持asp.net,將系統(tǒng)盤\Inetpub\wwwroot中的aspnet_client文件夾復(fù)制到web根目錄下，并給web根目錄加上users權(quán)限。
　　2.刪掉系統(tǒng)盤\inetpub目錄
　　3.刪除不用的映射
　　在"應(yīng)用程序配置"里，只給必要的腳本執(zhí)行權(quán)限：ASP、ASPX。
　　4.為網(wǎng)站創(chuàng)建系統(tǒng)用戶
　　A.例如：網(wǎng)站為sinesafe.cn，新建用戶sinesafe權(quán)限為guests。然后在web站點(diǎn)屬性里"目錄安全性"---"身份驗(yàn)證和訪問控制"里設(shè)置匿名訪問使用下列Windows 用戶帳戶"的用戶名和密碼都使用sinesafe.cn這個(gè)用戶的信息。(用戶名：主機(jī)名\sinesafe.cn)
　　B.給網(wǎng)站所在的磁盤目錄添加用戶sinesafe，只給讀取和寫入的權(quán)限。
　　5.設(shè)置應(yīng)用程及子目錄的執(zhí)行權(quán)限
　　A.主應(yīng)用程序目錄中的"屬性--應(yīng)用程序設(shè)置--執(zhí)行權(quán)限"設(shè)為純腳本
　　B.在不需要執(zhí)行asp、asp.net的子目錄中，例如上傳文件目錄，執(zhí)行權(quán)限設(shè)為無
　　6.應(yīng)用程序池設(shè)置
　　我的網(wǎng)站使用的是默認(rèn)應(yīng)用程序池。設(shè)置"內(nèi)存回收"：這里的最大虛擬內(nèi)存為：1000M，最大使用的物理內(nèi)存為256M，這樣的設(shè)置幾乎是沒限制這個(gè)站點(diǎn)的性能的。
　　回收工作進(jìn)程(分鐘)：1440
　　在下列時(shí)間回收工作進(jìn)程：06:00

三、sql server 2000 配置

　　1.密碼設(shè)置
　　我編的程序用了sa用戶，密碼設(shè)置超復(fù)雜(自己記不住，保存在手機(jī)里，嘿嘿)。
　　2.刪除危險(xiǎn)的擴(kuò)展存儲(chǔ)過程和相關(guān).dll。
　　3.Xp_cmdshell(這個(gè)肯定首當(dāng)其沖，不用說了)、Xp_regaddmultistring、Xp_regdeletekey、Xp_regdeletevalue、Xp_regenumvalues、Xp_regread、Xp_regwrite、Xp_regremovemultistring
　　漏洞一直很多前段時(shí)間我自己的服務(wù)器就出現(xiàn)了一個(gè)sql的臨時(shí)儲(chǔ)存過程漏洞漏洞擴(kuò)展：xp_dirtree儲(chǔ)存過程。
　　事前：最近發(fā)現(xiàn)一個(gè)漏洞是sql服務(wù)器造成的
　　前幾天正好沒有什么事情，就用阿d的sql注入工具對(duì)自己服務(wù)器的網(wǎng)站進(jìn)行注入，偶然發(fā)現(xiàn)了使用mssql的網(wǎng)站浸染可以利用sql注入的形式得到整個(gè)服務(wù)器上所有目錄(我的服務(wù)器作了安全設(shè)置的)依然可以看見，然后在服務(wù)器上安裝了一個(gè)抓包工具對(duì)sql server進(jìn)行抓包發(fā)現(xiàn)，使用工具連接sql漏洞xp_dirtree讀取目錄，可獲得整個(gè)服務(wù)器目錄，如列出c盤目錄他會(huì)把你c盤下的所有目錄列出來，這樣是很不安全的，目前是只可以查處目錄上穿東西，大家可以設(shè)想一下，如果我隨意修改一個(gè)boot.ini覆蓋了c盤的boot.ini是一個(gè)什么概念，呵呵首先可以導(dǎo)致服務(wù)其癱瘓，無法讀取系統(tǒng)
　　解決方案：刪除xp_dirtree，命令是sp_dropextendedproc 'xp_dirtree'
　　刪除了以上的那個(gè)組建您在使用阿d或者任何的sql注入工具都是白搭
　　在這里也給大家提供一些其他sql危險(xiǎn)的儲(chǔ)存過程
　　建議刪除
　　[注意：所有刪除sql儲(chǔ)存過程的操作必須在mssql查詢分析器里操作，下面哪些前面的是儲(chǔ)存過程的名字后面是刪除儲(chǔ)存過程的命令]
　　先來列出危險(xiǎn)的內(nèi)置存儲(chǔ)過程：
　　 代碼如下:

　　xp_cmdshell sp_dropextendedproc 'xp_cmdshell'
　　xp_regaddmultistring sp_dropextendedproc 'xp_regaddmultistring'
　　xp_regdeletekey sp_dropextendedproc 'xp_regdeletekey'
　　xp_regdeletevalue sp_dropextendedproc 'xp_regdeletevalue'
　　xp_regenumkeys sp_dropextendedproc 'xp_regenumkeys'
　　xp_regenumvalues sp_dropextendedproc 'xp_regenumvalues'
　　xp_regread sp_dropextendedproc 'xp_regread'
　　xp_regremovemultistring sp_dropextendedproc 'xp_regremovemultistring'
　　xp_regwrite sp_dropextendedproc 'xp_regwrite'

　　ActiveX腳本：

　　代碼如下:

　　sp_OACreate sp_dropextendedproc 'sp_OACreate'
　　sp_OADestroy sp_dropextendedproc 'sp_OADestroy'
　　sp_OAMethod sp_dropextendedproc 'sp_OAMethod'
　　sp_OAGetProperty sp_dropextendedproc 'sp_OAGetProperty'
　　sp_OAGetErrorInfo sp_dropextendedproc 'sp_OAGetErrorInfo'
　　sp_OAStop sp_dropextendedproc 'sp_OAStop'

四、其它設(shè)置(可選用，本人可不負(fù)責(zé))

　　1.任何用戶密碼都要復(fù)雜，不需要的用戶---刪。
　　2.防止SYN洪水攻擊
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
　　新建DWORD值，名為SynAttackProtect，值為2
　　3.禁止響應(yīng)ICMP路由通告報(bào)文
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface
　　新建DWORD值，名為PerformRouterDiscovery 值為0
　　4.防止ICMP重定向報(bào)文的攻擊
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
　　將EnableICMPRedirects 值設(shè)為0
　　5.不支持IGMP協(xié)議
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
　　新建DWORD值，名為IGMPLevel 值為0
　　6.禁用DCOM：
　　運(yùn)行中輸入 Dcomcnfg.exe。 回車， 單擊“控制臺(tái)根節(jié)點(diǎn)”下的“組件服務(wù)”。 打開“計(jì)算機(jī)”子文件夾。
　　對(duì)于本地計(jì)算機(jī)，請(qǐng)以右鍵單擊“我的電腦”，然后選擇“屬性”。選擇“默認(rèn)屬性”選項(xiàng)卡。
　　清除“在這臺(tái)計(jì)算機(jī)上啟用分布式 COM”復(fù)選框。
　　7.卸載不安全組件。
　　regsvr32/u C:\Windows\System32\wshom.ocx
　　regsvr32/u C:\Windows\System32\shell32.dll 在CMD 下執(zhí)行以上兩個(gè)命令。

　　五.防止Serv-U權(quán)限提升

　　其實(shí)，注銷了Shell組件之后，侵入者運(yùn)行提升工具的可能性就很小了，但是prel等別的腳本語言也有shell能力，為防萬一，還是設(shè)置一下為好。
　　用Ultraedit打開ServUDaemon.exe查找Ascii：LocalAdministrator，和[email=#l@$ak#.lk;0@P]#l@$ak#.lk;0@P[/email]，修改成等長度的其它字符就可以了，ServUAdmin.exe也一樣處理。
　　另外注意設(shè)置Serv-U所在的文件夾的權(quán)限，不要讓IIS匿名用戶有讀取的權(quán)限，否則人家下走你修改過的文件，照樣可以分析出你的管理員名和密碼。

現(xiàn)在不推薦使用serv_u,推薦使用免費(fèi)又安全的 FTP服務(wù)器 FileZilla Server

利用ASP漏洞攻擊的常見方法及防范

　　一般情況下，黑客總是瞄準(zhǔn)論壇等程序，因?yàn)檫@些程序都有上傳功能，他們很容易的就可以上傳ASP木馬，即使設(shè)置了權(quán)限，木馬也可以控制當(dāng)前站點(diǎn)的所有文件了。另外，有了木馬就然后用木馬上傳提升工具來獲得更高的權(quán)限，我們關(guān)閉shell組件的目的很大程度上就是為了防止攻擊者運(yùn)行提升工具。
　　如果論壇管理員關(guān)閉了上傳功能，則黑客會(huì)想辦法獲得超管密碼，比如，如果你用動(dòng)網(wǎng)論壇并且數(shù)據(jù)庫忘記了改名，人家就可以直接下載你的數(shù)據(jù)庫了，然后距離找到論壇管理員密碼就不遠(yuǎn)了。
　　作為管理員，我們首先要檢查我們的ASP程序，做好必要的設(shè)置，防止網(wǎng)站被黑客進(jìn)入。另外就是防止攻擊者使用一個(gè)被黑的網(wǎng)站來控制整個(gè)服務(wù)器，因?yàn)槿绻愕姆?wù)器上還為朋友開了站點(diǎn)，你可能無法確定你的朋友會(huì)把他上傳的論壇做好安全設(shè)置。這就用到了前面所說的那一大堆東西，做了那些權(quán)限設(shè)置和防提升之后，黑客就算是進(jìn)入了一個(gè)站點(diǎn)，也無法破壞這個(gè)網(wǎng)站以外的東西。
　　后記
　　也許有安全高手或者破壞高手看了我的文章會(huì)嘲笑或者竊喜，但我想我的經(jīng)驗(yàn)里畢竟還是存在很多正確的地方，有千千萬萬的比我知道的更少的人像我剛開始完全不懂的時(shí)候那樣在渴求著這樣一篇文章，所以我必須寫，我不管別人怎么說我，我也不怕后世會(huì)有千千萬萬的人對(duì)我唾罵，我一個(gè)人承擔(dān)下來，我也沒有娘子需要交代的……
　　好了今天的就先到這里，最后送各位站長一句話：最小的權(quán)限，最大的安全! 不要嫌麻煩不要疏忽大意，設(shè)置的越細(xì)心安全指數(shù)越高，我們?cè)O(shè)置密碼的時(shí)候多設(shè)置一位數(shù)也許就需要黑客多話N天來破解，都是一樣的道理。如果有不明白的或需要我?guī)椭?請(qǐng)聯(lián)系我 我將很熱心的為大家服務(wù)，謝謝大家。