look: 本文寫給想在win2k平臺上架設(shè)一個安全web站臺的朋友們。
所需要的程序：

apache
http://www.apache.org/dist/httpd/binaries/win32/
我們選用apache_1.3.28-win32-x86-no_src.msi，或者apache_2.0.47-win32-x86-no_ssl.msi
都可以，勿使用低版本的程序，它們有缺陷，很容易遭到internet上的攻擊

php
http://cn2.php.net/get/php-4.3.3-Win32.zip/from/a/mirror
php-4.3.3

mysql
http://www.mysql.com/get/Downloa ... 5-win.zip/from/pick
mysql-4.0.15
注:低于這個版本的mysql,有缺陷,勿使用

ZendOptimizer-2[1].1.0a-Windows-i386.exe
php的優(yōu)化器，支持加密php腳本

MySQL-Front
一個運行于ms平臺的gui的mysql的管理器，非常好用

phpMyAdmin-2.5.0-php.zip
基于php腳本的mysql管理器

phpencode.exe
php加密編譯器


install~
1.安裝apache
由于安裝很簡單，pass~!,只是要注意的是，請勿安裝到系統(tǒng)分區(qū)上
因為這樣，無論從備份,維護(hù)，災(zāi)難性恢復(fù)上，都是有優(yōu)勢的.
假設(shè)安裝到了d:\\
2.安裝php
具體安裝過程請參考php目錄里的install.txt
需要注意的是，請勿使用cgi方式
以下為引用資料
------------------------------------------------------------------
Title 17/2/2002
PHP for Windows Arbitrary Files Execution (GIF, MP3)
Summary
Through PHP.EXE, an attacker can cause PHP to interpret any file as a PHP file,
even if its extensions are not PHP. This would enable the remote attacker to
execute arbitrary commands, leading to a system compromise.
Details
Vulnerable systems:
PHP version 4.1.1 under Windows
PHP version 4.0.4 under Windows
An attacker can upload innocent looking files (with mp3, txt or gif extensions)
through any uploading systems such as WebExplorer (or any other PHP program that
has uploading capabilities), and then request PHP to execute it.
Example:
After uploading a file a \"gif\" extension (in our example huh.gif) that contains
PHP code such as:
#------------
<?
phpinfo();
?>
#------------
An attacker can type the following address to get in to cause the PHP file to be
executed:
http://www.example.com/php/php.exe/UPLOAD_DIRECTORY/huh.gif
Notice: php/php.exe is included in the URL.
Additional information
The information has been provided by CompuMe and RootExtractor.
ps:大部分版本都有這個毛病.包括一些最新版本，所以請不要以cgi安裝!切記...
3.安裝mysql
安裝到d:\\，也很簡單，具體過程pass.
只是mysql安裝后的默認(rèn)設(shè)置實在讓人擔(dān)心
以下引用我原來的文章
-----------------------------------------------------------------------------------
2002/12/21
寫在前面:無事可做，生命被消耗，痛~~~啊，所以就寫了，本文no原創(chuàng)，整理而成！
默認(rèn)安裝的mysql服務(wù)不安全因素涉及的內(nèi)容有：
一.mysql默認(rèn)的授權(quán)表
二.缺乏日志能力
三.my.ini文件泄露口令
四.服務(wù)默認(rèn)被綁定全部的網(wǎng)絡(luò)接口上
五.默認(rèn)安裝路徑下的mysql目錄權(quán)限
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
一.mysql默認(rèn)的授權(quán)表
由于mysql對身份驗證是基于mysql這個數(shù)據(jù)庫的，也叫授權(quán)表。所有的權(quán)限設(shè)置都在這里了。
我們只討論最為重要的一個表 user表。它控制的是接受或拒絕連接。
先看一下
select host,user,password,Delete_priv from user;
+-----------+------+------------------+-------------+
| host | user | password | Delete_priv |
+-----------+------+------------------+-------------+
| localhost | root | 67457e226a1a15bd | Y |
| % | root | | Y |
| localhost | | | Y |
| % | | | N |
+-----------+------+------------------+-------------+
現(xiàn)在新的版本，安裝完畢都會出現(xiàn)一個快速設(shè)置窗口，用于設(shè)置口令。
以上，就是user表里的內(nèi)容（略了點）看看有什么問題？
我們知道m(xù)ysql的驗證方式是比較特殊的，它基于兩個2個信息來進(jìn)行的
1.從那里連接
2.用戶名
第一條沒什么問題，當(dāng)然口令必須是安全的。
第二條從任何主機(jī)，以用戶root，不需要口令都可以連接，權(quán)限為所有的權(quán)限。(注:這里的權(quán)限是全局權(quán)限)
第三條從本地主機(jī)，任何用戶名（注：user為空白，不表示不需要用戶名），不需要口令，都可以連接，所有的權(quán)限
第四條從任何主機(jī)，任何用戶名，不需要口令，都可以連接，無任何權(quán)限。
可以看出，2\\3\\4都是不安全的，如何攻擊這里就不說了，請參看資料文庫。
如果你mysql只允許本地連接，刪除host的%和user中的nul(表示空)
delete from user where host=‘%‘;
delete from host where user=‘‘;
最后的user表，看起來因該是這個樣子
+-----------+------+------------------+-------------+
| host | user | password | Delete_priv |
+-----------+------+------------------+-------------+
| localhost | root | 67457e226a1a15bd | Y |
+-----------+------+------------------+-------------+
最后需要刷新授權(quán)表，使其立刻生效
flush privileges;
如果你的mysql需要被遠(yuǎn)程使用，需要為%段中的root帳號，加上一個安全的密碼
update user set password=password(‘youpass‘) where host=‘%‘;
其中youpass，就是口令
mysql> select host,user,password,Delete_priv from user;
+-----------+------+------------------+-------------+
| host | user | password | Delete_priv |
+-----------+------+------------------+-------------+
| localhost | root | 67457e226a1a15bd | Y |
| % | root | 77c590fa148bc9fb | Y |
+-----------+------+------------------+-------------+
更好的做法是，對遠(yuǎn)程主機(jī)的連接，指定為特定的
修改host中的%為允許連接的主機(jī)，比如：
192.168.0.% 允許一個特定的子網(wǎng)
www.sandflee.net 允許一個特定的主機(jī)
帳號默認(rèn)的名字也是擔(dān)心的問題。有可能導(dǎo)致被暴力破解
update user set user=‘localadmin‘ where host=‘localhost‘;
update user set user=‘remoteadmin‘ where host=‘%‘;
最后的user表看起來像是這個樣子
mysql> select host,user,password,Delete_priv from user;
+-----------+-------------+------------------+-------------+
| host | user | password | Delete_priv |
+-----------+-------------+------------------+-------------+
| localhost | localadmin | 67457e226a1a15bd | Y |
| % | remoteadmin | 77c590fa148bc9fb | Y |
+-----------+-------------+------------------+-------------+
更為詳細(xì)的資料，請去參考晏子的《MySQL中文參考手冊》。隨便那都有下
二.缺乏日志能力
mysql安裝完成以后，會在%SystemRoot%目錄下產(chǎn)生my.ini的設(shè)置文件
默認(rèn)的內(nèi)容如下：
——————————————————————————————
basedir=C:/mysql
#bind-address=192.168.0.1
datadir=C:/mysql/data
#language=C:/mysql/share/your language directory
#slow query log#=
#tmpdir#=
#port=3306
#set-variable=key_buffer=16M
[WinMySQLadmin]
Server=C:/mysql/bin/mysqld-nt.exe
user=root
password=root
注意log#=這個
它沒有被定義，且被注銷掉了。
更改為一個適合的路徑，比如：
log=c:/mysql/logs/mysql.log
三.my.ini文件泄露口令
我們看到my.ini最后，有這兩句
user=root
password=root
如果，你安裝完成時，使用了mysql所提供的快速設(shè)置功能，(較新的版本)你的帳號和口令將被寫到my.ini文件中。
這也是mysql寫到啟動組里的winmysqladmin.exe工具，運行時需要讀取的。它提供的mysql服務(wù)
的一些監(jiān)視功能。這樣winmysqladmin.exe才能獲得mysql服務(wù)的狀態(tài)信息。
其實，這個也不算漏洞,我們看看my.ini默認(rèn)的權(quán)限，它可以被user組用戶讀取。
從而導(dǎo)致口令被泄露
解決方法：
從新設(shè)定my.ini文件的權(quán)限.
從新設(shè)定帳號及口令
不使用快速設(shè)置
四.服務(wù)默認(rèn)被綁定全部的網(wǎng)絡(luò)接口上
服務(wù)被綁定到了所有的網(wǎng)絡(luò)接口上，比如，你只需要一個運行在內(nèi)網(wǎng)的mysql服務(wù)，但是你的機(jī)器有
外網(wǎng)的接口，mysql也會被綁定上，從而帶來一些不必要的麻煩和威脅。
在my.ini里的這句
#bind-address=192.168.0.1
它默認(rèn)被注銷掉了
應(yīng)該打開它
如果，只是本地使用，更改為
bind-address=127.0.0.1
如果是其它情況，應(yīng)該選者一個合適的網(wǎng)絡(luò)接口
五.默認(rèn)安裝路徑下的mysql目錄權(quán)限
mysql默認(rèn)的安裝路徑為c:\\mysql，基本上都難得改，要改的話也是麻煩，還要去改my.ini。
但，這樣就有個問題
通常c:\\的權(quán)限是everyone組-所有的權(quán)限。這是默認(rèn)的，由于繼承性，導(dǎo)致mysql下的data目錄
也是everyone組-所有的權(quán)限。導(dǎo)致被隨意訪問、讀取、刪除，可能泄露和破壞數(shù)據(jù)。
更改mysql目錄到一個合適，安全的訪問權(quán)限。
over...
-----------------------------------------------------------------------------------------
這里面有個小小的語法錯誤,請自己找出來：）

setup~
3個配置文檔
httpd.conf---apache
php.ini-----php
my.ini------mysql
1.http.conf
由于ms版本的apache不像*nix下有
user,group這兩條指令，所以你別指望它能像iis一樣，把服務(wù)器應(yīng)答影射到了iusr_name賬號上
*nix下為nobody，所以你的apache是以system權(quán)限來運作的,它不太適合用于架設(shè)提供個人主頁服務(wù)器
httpd.conf很多參數(shù)，基本不用修改就可以工作了
以下是要修改的地方
刪除htdocs目錄下的所有文件.刪除cgi-bin下的所有文件，它們是用于測試用的，不應(yīng)該被保留.
BindAddress * --需要綁定的地址 *只所有地址
DirectoryIndex index.html index.htm --默認(rèn)首頁的名字
AccessFileName .htaccess --控制文件名字,建議關(guān)掉或改名字,而且以\".\"開始的文件名在windows下是不允許的
ServerSignature on --出錯信息,建議off.這樣就不會顯示你apache的版本號了
-----------------------------------------------
Alias /manual/ \"D:/Apache/htdocs/manual/\"
<Directory \"D:/Apache/htdocs/manual\">
Options Indexes FollowSymlinks MultiViews
AllowOverride None 清除
Order allow,deny
Allow from all
</Directory>
-----------------------------------------------
AddHandler cgi-script .cgi .pl --如果需要支持cgi，就需要打開，否者注釋掉

LoadModule php4_module d:/php/sapi/php4apache.dll
AddModule mod_php4.c
AddType application/x-httpd-php .php --加入對php腳本的支持
2.php.inf

engine = On --打開php支持，如果不讓php工作可以engine = Off
safe_mode = Off --安全模式,應(yīng)該打開它safe_mode = On
safe_mode_exec_dir = --設(shè)定安全模式下可以執(zhí)行程序的目錄
disable_functions = 要關(guān)閉的函數(shù),用\",\"分隔建議關(guān)閉phpinfo,get_cfg_var
expose_php = On 建議expose_php = Off,這樣在header里就不會有php的版本號
display_errors =On 建議 display_errors =Off,這樣所有錯誤信息，都將關(guān)閉
register_globals = Off 自動全局變量,一般都要打開register_globals = On,但會引發(fā)很多
安全問題，特別是一些寫編寫的不是很好的php腳本，有可能危及到你的web server
file_uploads = On 是否允許上傳文件，如果你不需要就off
allow_url_fopen = Off 是否遠(yuǎn)程打開功能，建議關(guān)閉

;extension=php_gd.dll
;extension=php_gettext.dll
;extension=php_hyperwave.dll
;extension=php_iconv.dll
;extension=php_ifx.dll 打開一些需要支持的庫，比如使用要使用圖形函數(shù)
需要copy php/extensions/php_gd.dll到你的系統(tǒng)目錄，然后去掉;
重新啟動apache，就可以使用了
3.my.ini
上面有了,pass
安全建議，以上3個設(shè)置文件，把他們的權(quán)限設(shè)定為system所有權(quán)限，administrators所有權(quán)限

4.強(qiáng)化虛擬目錄的安全性
一些重要的指令
具體的列子：
<Directory \"d:/Apache/htdocs/tools\">
Options Indexes
AllowOverride None
Order allow,deny
Allow from all
</Directory>
php_flag engine off ;關(guān)閉php解釋執(zhí)行功能
php_admin_value safe_mode 1 ;安全模式 1-打開 0-關(guān)閉
php_admin_value open_basedir d:/Apache/htdocs/tools ;限制在一個制定的目錄
這樣就限制了php腳本只能打開d:/Apache/htdocs/tools下的文件.
以下代碼就沒什么用了
-----------------------------------------------------------
$fd = fopen( $filename, \"r\" );
$view = fread($fd, filesize($filename));
echo \"<pre>\";
echo htmlspecialchars(\"$view\";);
echo \"</pre>\";
fclose( $fd );
-----------------------------------------------------------
啟用apache-http驗證功能
清除
<Directory \"d:/Apache/htdocs/home\">
...
...
allowoverride authconfig
</Directory>
中的

參數(shù) allowoverride authconfig
注意的，這里的d:/Apache/htdocs/home，表示為我安裝的apache服務(wù)的web根目錄，你的和我的不一定一樣
默認(rèn)的，好象就沒這個 allowoverride authconfig參數(shù)。
allowoverride authconfig參數(shù)的含義。
它的含義是，根目錄下所有目錄的訪問控制由它目錄下的.htaccess文件來設(shè)定。
這里，我要多說點廢話了。
為什么是.htaccess，這個文件名，而不是其它的。
這個是在AccessFileName參數(shù)中定義的。默認(rèn)的是這樣。
AccessFileName .htaccess
你要做的清除allowoverride authconfig參數(shù)（加#或者刪掉）
這樣做的理由
1.我覺得麻煩（每個目錄都需要放上.htaccess文件，且以\".\"開頭的文件名在windows系統(tǒng)下，是不允許的。）
2.不太安全 （它有可能被人看到。）
如何對你所想要指定的目錄進(jìn)行驗證？
一個列子
<Directory \"d:/Apache/htdocs/home\"> //定義要驗證目錄路徑
AuthType Basic //方式，windows不支持md5，所以請使用basic方式
AuthName TEST //定義顯示在對話框領(lǐng)域名字
AuthUserFile d:/Apache/user //定義密碼文件
ErrorDocument 401 \"Error Password //定義驗證失敗后顯示的內(nèi)容，當(dāng)然可以是文件了
require valid-user 注意，我這里讓它直接顯示Error Password，用\"開頭就是了，只有一個哦
</Directory>
直接加到httpd.conf后面就是了。
然后在apache的安裝目錄里的bin目錄里有個htpasswd.exe文件
請到cmd下運行它
d:\\Apache\\bin>htpasswd.exe
Usage:
htpasswd [-cmdps] passwordfile username
htpasswd -b[cmdps] passwordfile username password

htpasswd -n[mdps] username
htpasswd -nb[mdps] username password
-c Create a new file. //創(chuàng)建一個新的密碼文件（你第一次使用，因該使用這個參數(shù)）
-n Don\'t update file; display results on stdout. //顯示到屏幕
-m Force MD5 encryption of the password (default). //加密口令（md5方式）默認(rèn)的
-d Force CRYPT encryption of the password. //使用CRYPT方式加密口令
-p Do not encrypt the password (plaintext). //不加密口令
-s Force SHA encryption of the password. //使用sha算法加密
-b Use the password from the command line rather than prompting for it. //互交方式
On Windows, TPF and NetWare systems the \'-m\' flag is used by default.
On all other systems, the \'-p\' flag will probably not work.
——————————————————————————————————————
列子：
d:\\Apache\\bin>htpasswd.exe -c d:\\apache\\user taotao
Automatically using MD5 format on Windows.
New password: ***
Re-type new password: ***
Adding password for user taotao
就創(chuàng)建完成了
其中，要注意的
passwordfile，不應(yīng)該放到web目錄，因為會被人下載，很蠢，雖然密碼已經(jīng)被md5過
-c 參數(shù)是用于創(chuàng)建一個新的密碼文件。
d:\\apache\\user路徑，要和你在
AuthUserFile d:/Apache/user 設(shè)置的一致。
然后從新啟動你的apache服務(wù)

記得備份你的httpd.conf,php.ini和my.ini

安裝ZendOptimizer-2[1].1.0a-Windows-i386.exe
很簡單，它回自動修改你的php.ini(c:\\winnt\\php.ini)文件
添加了如下內(nèi)容：
[Zend]
zend_optimizer.optimization_level=15
zend_extension_ts=\"C:\\Program Files\\Zend\\lib\\ZendOptimizer.dll\"

安裝php優(yōu)化器有很多的好處
加速了php的運行速度，最為重要的是它可以加密php腳本
這樣你寫在php腳本里的user ,pass就可以很好的被保護(hù)了
此外，你還可以修改apache的header，用utraedit32打開ApacheCore.dll
查找你所對應(yīng)的apache版本號，改成別的就可以了