用Win 2003 server打造安全的个人Web服务器

韩冰

<><FONT color=#f73809>作者：waterswea 来源：天极网</FONT></P>
" P5 o/ b. I: o9 D2 l  ^<>Win2003 Server的安全性较之Win<a href="http://hackbase.com/skill" target="_blank" >2K</A>确实有了很大的提高，但是用Win2003 Server作为<a href="http://vip.hackbase.com/" target="_blank" >服务</A>器是否就真的安全了？如何才能打造一个安全的个人Web<a href="http://vip.hackbase.com/" target="_blank" >服务</A>器？下面我们简单介绍一下……

/ g* Z! [& P. _# @　　一、Windows Server2003的安装

$ i0 Y* j* T# t8 A　　1、安装系统最少两需要个分区，分区格式都采用NTFS格式
6 W. U* b7 R5 }8 v6 f2 r2 g6 ~1 I
0 p0 k# j/ _5 @* g3 y0 Z) R　　2、在断开网络的情况安装好2003系统

　　3、安装IIS，仅安装必要的 IIS 组件（禁用不需要的如FTP 和 SMTP <a href="http://vip.hackbase.com/" target="_blank" >服务</A>）。默认情况下，IIS<a href="http://vip.hackbase.com/" target="_blank" >服务</A>没有安装，在添加/删除Win组件中选择“应用程序<a href="http://vip.hackbase.com/" target="_blank" >服务</A>器”，然后点击“详细信息”，双击Internet信息<a href="http://vip.hackbase.com/" target="_blank" >服务</A>(<a href="http://hackbase.com/network" target="_blank" >iis</A>)，勾选以下选项：
7 S6 r2 d6 Q% l2 C1 A5 u7 w
* i4 m! E6 g" |7 _3 N. r　　Internet 信息<a href="http://vip.hackbase.com/" target="_blank" >服务</A>管理器；
) \# Y( d) a& Z* a& A3 Q0 U  h
$ ~; Y1 `) S6 k5 l- g. I0 h' e　　公用文件；
1 G/ H- e. l/ ?
1 d, X# r  v: L# ^! s, [3 b　　后台智能传输<a href="http://vip.hackbase.com/" target="_blank" >服务</A> (BITS) <a href="http://vip.hackbase.com/" target="_blank" >服务</A>器扩展；
% G( I8 v0 b6 x+ `) ~3 S
　　万维网<a href="http://vip.hackbase.com/" target="_blank" >服务</A>。

3 e# t" b! z* U5 F5 K　　如果你使用 FrontPage 扩展的 Web 站点再勾选：FrontPage 2002 Server Extensions
3 I* E4 ?( {) k1 J  X* }
　　4、安装MSSQL及其它所需要的<a href="http://down.hackbase.com/" target="_blank" >软件</A>然后进行Update。
2 [8 @+ i$ `- ^' @
　　5、使用Microsoft 提供的 MBSA（Microsoft Baseline Security Analyzer） <a href="http://hackbase.com/hacker/tool" target="_blank" >工具</A>分析<a href="http://hackbase.com/skill" target="_blank" >计算机</A>的安全配置，并标识缺少的修补程序和更新。下载地址：见页末的链接
) u, G; Y& B, a6 [; Y

　　二、设置和管理<a href="http://hackbase.com/skill" target="_blank" >账户</A>

　　1、系统管理员<a href="http://hackbase.com/skill" target="_blank" >账户</A>最好少建，更改默认的管理员帐户名（Administrator）和描述，<a href="http://hackbase.com/hacker" target="_blank" >密码</A>最好采用数字加大小写字母加数字的上档键组合，长度最好不少于14位。
. _* h# H+ R  d: O" j
　　2、新建一个名为Administrator的陷阱帐号，为其设置最小的权限，然后随便输入组合的最好不低于20位的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>

/ q+ X& K9 L6 @/ `3 ~6 j　　3、将Guest<a href="http://hackbase.com/skill" target="_blank" >账户</A>禁用并更改名称和描述，然后输入一个复杂的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>，当然现在也有一个DelGuest的<a href="http://hackbase.com/hacker/tool" target="_blank" >工具</A>，也许你也可以利用它来删除Guest<a href="http://hackbase.com/skill" target="_blank" >账户</A>，但我没有试过。
2 @% D  H2 p/ Z0 y& j' f  S" T
" h) Y1 N; t% \: \* Q　　4、在运行中输入gpedit.msc回车，打开组策略编辑器，选择<a href="http://hackbase.com/skill" target="_blank" >计算机</A>配置-Windows设置-安全设置-<a href="http://hackbase.com/skill" target="_blank" >账户</A>策略-<a href="http://hackbase.com/skill" target="_blank" >账户</A>锁定策略，将<a href="http://hackbase.com/skill" target="_blank" >账户</A>设为“三次登陆无效”，“锁定时间为30分钟”，“复位锁定计数设为30分钟”。
. j& d- G! B) w, C7 W3 u
　　5、在安全设置-本地策略-安全选项中将“不显示上次的用户名”设为启用
- k' e5 m: j- i# ^. F% r, I. D7 a3 @" v
3 g- D4 V: ^9 {5 v/ o# v# g　　6、在安全设置-本地策略-用户权利分配中将“从网络访问此<a href="http://hackbase.com/skill" target="_blank" >计算机</A>”中只保留Internet来宾<a href="http://hackbase.com/skill" target="_blank" >账户</A>、启动IIS进程<a href="http://hackbase.com/skill" target="_blank" >账户</A>。如果你使用了Asp.net还要保留Aspnet<a href="http://hackbase.com/skill" target="_blank" >账户</A>。

3 c" o- K4 q' D6 c　　7、创建一个User<a href="http://hackbase.com/skill" target="_blank" >账户</A>，运行系统，如果要运行特权命令使用Runas命令。

" O1 M( `: \" C# G1 T) ^+ }
6 H' ^5 T" J, O( v　　三、网络<a href="http://vip.hackbase.com/" target="_blank" >服务</A>安全管理
$ a1 C, U! E* l" E
  d0 {: t7 J6 e# b* ?" \- t　　1、禁止C$、D$、ADMIN$一类的缺省共享

　　打开<a href="http://hackbase.com/skill/regedit" target="_blank" >注册表</A>，HKEY<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>LOCAL<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters，在右边的窗口中新建Dword值，名称设为AutoShareServer值设为0
" y) N1 @5 x( Z
　　2、 解除NetBios与<a href="http://hackbase.com/hacker" target="_blank" >TCP/IP</A><a href="http://hackbase.com/network/protocol" target="_blank" >协议</A>的绑定
' k$ R2 F  U# [" q( O7 k, c1 T1 Y
1 s* k0 B! s( R5 |) g# g　　右击网上邻居-属性-右击本地连接-属性-双击Internet<a href="http://hackbase.com/network/protocol" target="_blank" >协议</A>-高级-Wins-禁用<a href="http://hackbase.com/hacker" target="_blank" >TCP/IP</A>上的NETBIOS
8 A, T+ S: A+ d& @# k
　　3、关闭不需要的<a href="http://vip.hackbase.com/" target="_blank" >服务</A>，以下为建议选项

6 V6 k, w/ Z% w4 k　　Computer Browser:维护网络<a href="http://hackbase.com/skill" target="_blank" >计算机</A>更新，禁用
# h( \( P, ]8 y  F$ M6 Q3 q
　　Distributed File System: 局域网管理共享文件，不需要禁用
" x$ O2 E& m# b( C/ S. u
) j" K8 I+ f3 O: g4 _- _　　Distributed linktracking client：用于局域网更新连接信息，不需要禁用
' ^* u/ K4 l$ p( V9 O3 k
( A1 X( X: m; ?1 {) [" p　　Error reporting service：禁止发送错误报告
. C7 y" \  g+ v+ t6 w
　　Microsoft Serch：提供快速的单词搜索，不需要可禁用

8 w" S8 E( Z( O9 |　　NTLMSecuritysupportprovide：telnet<a href="http://vip.hackbase.com/" target="_blank" >服务</A>和Microsoft Serch用的，不需要禁用

　　PrintSpooler：如果没有打印机可禁用
5 M5 C  S7 k) m& m4 x, D& Q! @
1 a9 V' X& D& H  X7 C4 N6 R　　Remote Registry：禁止远程修改<a href="http://hackbase.com/skill/regedit" target="_blank" >注册表</A>

　　Remote Desktop Help Session Manager：禁止远程协助


　　四、打开相应的审核策略
: V9 V9 ~, q5 i% d1 Q& z: f+ e: x
2 _% s! N5 |/ Z; [9 L0 Y　　在运行中输入gpedit.msc回车，打开组策略编辑器，选择<a href="http://hackbase.com/skill" target="_blank" >计算机</A>配置-Windows设置-安全设置-审核策略在创建审核项目时需要注意的是如果审核的项目太多，生成的事件也就越多，那么要想发现严重的事件也越难当然如果审核的太少也会影响你发现严重的事件，你需要根据情况在这二者之间做出选择。
8 ]0 n1 g+ [% N
　　推荐的要审核的项目是：
1 T% s+ F' h8 K5 D2 f
1 G6 V: L  K; D' K  }  X　　登录事件   成功 失败
5 d4 F! A  X& x
　　<a href="http://hackbase.com/skill" target="_blank" >账户</A>登录事件 成功 失败
' q5 x* B: B: C( y0 Q* W, `. @- F
　　系统事件   成功 失败

　　策略更改   成功 失败
+ O2 ^+ V1 [9 U" C
5 x9 W7 q1 I* v0 i5 I: A　　对象访问   失败

( V& p* R- b; s# g　　目录<a href="http://vip.hackbase.com/" target="_blank" >服务</A>访问 失败
# z' t2 U' o: b- G/ \
　　特权使用   失败
' z. p6 R8 B1 ^9 a9 U
8 K. \$ j  s% T! f. T
　　五、其它安全相关设置
7 r: P9 S3 q; k1 S% G, J: S; r2 T, C0 S
　　1、隐藏重要文件/目录

　　可以修改<a href="http://hackbase.com/skill/regedit" target="_blank" >注册表</A>实现完全隐藏：“HKEY<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>LOCAL<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>MACHINE\SOFTWARE\Microsoft\Windows\ Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL”，鼠标右击 “CheckedValue”，选择修改，把数值由1改为0
* C& n7 K& a) Y3 r9 ]1 ^! w# J
　　2、启动系统自带的Internet连接<a href="http://hackbase.com/hacker" target="_blank" >防火墙</A>，在设置<a href="http://vip.hackbase.com/" target="_blank" >服务</A>选项中勾选Web<a href="http://vip.hackbase.com/" target="_blank" >服务</A>器。

7 \1 e) b8 P! N$ m( |　　3、防止SYN洪水<a href="http://hackbase.com/hacker" target="_blank" >攻击</A>

/ H6 m# u% Q" K3 n" a* H' w　　HKEY<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>LOCAL<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
! h- j+ k! W/ Y, p
　　新建DWORD值，名为SynAttackProtect，值为2
/ z0 X5 B( _- u4 X( E9 _
7 D* e$ X: e0 W　　4. 禁止响应ICMP路由通告报文
  \5 C: ^& r* W& y2 X* E9 x% |- _( S
　　HKEY<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>LOCAL<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface
8 K4 S7 h; K- W" A8 q
　　新建DWORD值，名为PerformRouterDiscovery 值为0

　　5. 防止ICMP重定向报文的<a href="http://hackbase.com/hacker" target="_blank" >攻击</A>

1 ]- @6 m* b" {; Q　　HKEY<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>LOCAL<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
/ m3 y" s5 A5 U- X
　　将EnableICMPRedirects 值设为0

　　6. 不支持IGMP<a href="http://hackbase.com/network/protocol" target="_blank" >协议</A>
, b9 R' g+ z* ^0 Q
　　HKEY<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>LOCAL<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

6 v& Q+ P! v) |& j　　新建DWORD值，名为IGMPLevel 值为0
0 f% K# o0 q0 m2 ]1 a2 s* x- w- K" W
/ Z0 h3 X) q" i2 O* m) A. G$ N　　7、禁用DCOM：

　　运行中输入 Dcomcnfg.exe。 回车， 单击“控制台根节点”下的“组件<a href="http://vip.hackbase.com/" target="_blank" >服务</A>”。 打开“<a href="http://hackbase.com/skill" target="_blank" >计算机</A>”子文件夹。

　　对于本地<a href="http://hackbase.com/skill" target="_blank" >计算机</A>，请以右键单击“我的<a href="http://hackbase.com/network/zs" target="_blank" >电脑</A>”，然后选择“属性”。选择“默认属性”选项卡。

　　清除“在这台<a href="http://hackbase.com/skill" target="_blank" >计算机</A>上启用分布式 COM”复选框。

- ]2 W# U8 _5 n7 q4 h$ e) T　　注：3-6项内容我采用的是Server2000设置，没有测试过对2003是否起作用。但有一点可以肯定我用了一段的时间没有发现其它副面的影响。


　　六、配置 IIS <a href="http://vip.hackbase.com/" target="_blank" >服务</A>：

9 O1 ?. K- L) ]+ m  R2 M" l- t( v　　1、不使用默认的Web站点，如果使用也要将 将IIS目录与系统磁盘分开。
& B7 c  s, v: _% }8 v" r+ s  \
　　2、删除IIS默认创建的Inetpub目录（在安装系统的盘上）。
, J* m$ X8 v9 `& N: U4 M3 ~+ b7 t' B
　　3、删除系统盘下的虚拟目录，如：<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>vti<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。
' N' N) L6 H$ R8 C& @
　　4、删除不必要的IIS扩展名映射。
: I1 F( M! J0 Y9 e  b
　　右键单击“默认Web站点→属性→主目录→配置”，打开应用程序窗口，去掉不必要的应用程序映射。主要为.shtml, .shtm, .stm
; S1 d2 H' e' K& R
. Y  d# v: ~" \4 X, X　　5、更改IIS日志的路径

　　右键单击“默认Web站点→属性-网站-在启用日志记录下点击属性

) F, \+ ?. Y7 C/ z1 x0 p5 e# h　　6、如果使用的是2000可以使用<a href="http://hackbase.com/network" target="_blank" >iis</A>lockdown来保护IIS，在2003运行的IE6.0的版本不需要。
% f9 L7 E, t  d4 p  Y4 H4 f
　　7、使用UrlScan

  w" e' _5 Y( v' @1 ~　　UrlScan是一个ISAPI筛选器，它对传入的HTTP数据包进行分析并可以拒绝任何可疑的通信量。目前最新的版本是2.5，如果是2000Server需要先安装1.0或2.0的版本。下载地址见页未的链接
) d/ ^: N! v' {+ a- N& J2 m4 J
　　如果没有特殊的要求采用UrlScan默认配置就可以了。

　　但如果你在<a href="http://vip.hackbase.com/" target="_blank" >服务</A>器运行ASP.NET程序，并要进行调试你需打开要%WINDIR%\System32\Inetsrv\URLscan

　　文件夹中的URLScan.ini 文件，然后在UserAllowVerbs节添加debug谓词，注意此节是区分大小写的。

　　如果你的网页是.asp网页你需要在DenyExtensions删除.asp相关的内容。

- i, [! D/ U* A　　如果你的网页使用了非ASCII<a href="http://hackbase.com/hacker" target="_blank" >代码</A>，你需要在Option节中将AllowHighBitCharacters的值设为1

　　在对URLScan.ini 文件做了更改后，你需要重启IIS<a href="http://vip.hackbase.com/" target="_blank" >服务</A>才能生效，快速方法运行中输入<a href="http://hackbase.com/network" target="_blank" >iis</A>reset

　　如果你在配置后出现什么问题，你可以通过添加/删除程序删除UrlScan。

　　8、利用WIS (Web Injection Scanner)<a href="http://hackbase.com/hacker/tool" target="_blank" >工具</A>对整个网站进行SQL Injection 脆弱性扫描.

! P1 n/ R8 f/ T$ C" V　　下载地址：[http://www.fanvb.net/websample/othersample.aspx]VB.NET爱好者[/url]
) h; k4 W, o: J( t1 w  e
$ ~. f& K: m" V4 i6 t6 w4 Q
　　七、配置Sql<a href="http://vip.hackbase.com/" target="_blank" >服务</A>器
% ?, l! v( n' l' b
) a" G5 a8 F% `7 e　　1、System Administrators 角色最好不要超过两个

　　2、如果是在本机最好将身份验证配置为Win登陆
% H0 z# l  _0 q+ U& T
　　3、不要使用Sa<a href="http://hackbase.com/skill" target="_blank" >账户</A>，为其配置一个超级复杂的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>
; k+ y8 @6 a. ?% F
　　4、删除以下的扩展存储过程格式为：
' }5 e  c  c: O7 A' q. [' I　　use master
　　sp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>dropextendedproc '扩展存储过程名'

, C% B# T/ o( Y- l- s+ d8 {0 D( x2 ^　　xp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>cmdshell：是进入操作系统的最佳捷径，删除
7 l3 Z5 {1 n* x4 T7 b
, Y2 u! J, m( k2 |' L# l  F3 v　　访问<a href="http://hackbase.com/skill/regedit" target="_blank" >注册表</A>的存储过程，删除
　　Xp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>regaddmultistring　　Xp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>regdeletekey　　Xp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>regdeletevalue　　Xp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>regenumvalues   
　　Xp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>regread　　　　　 Xp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>regwrite　　　  Xp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>regremovemultistring     
7 T- H2 a4 X. b2 I
  q% f+ {1 x2 ?$ |9 g- y1 c/ C1 r　　OLE自动存储过程，不需要删除
　　Sp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>OACreate　 　Sp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>OADestroy　　　　Sp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>OAGetErrorInfo　　Sp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>OAGetProperty
! `4 |% R) v6 @　　Sp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>OAMethod　　Sp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>OASetProperty　　Sp<a href="http://hackbase.com/skill/3/200502019772.htm#" target="_blank" >_</A>OAStop
% z' y  t( L+ b" p8 `$ f. a
　　5、隐藏 SQL Server、更改默认的1433端口
4 ?  J! e. s6 T2 {3 b) z* b6 }* M' g
. e+ p, [+ b% T' J, W2 Y/ v　　右击实例选属性-常规-网络配置中选择<a href="http://hackbase.com/hacker" target="_blank" >TCP/IP</A><a href="http://hackbase.com/network/protocol" target="_blank" >协议</A>的属性，选择隐藏 SQL Server 实例，并改原默认的1433端口。

5 R% c3 i' |* c  O7 M0 Z2 S8 V2 P
　　八、如果只做<a href="http://vip.hackbase.com/" target="_blank" >服务</A>器，不进行其它操作，使用IPSec
0 K, w/ u0 X9 H  l1 L2 Q/ z9 W
  C6 T' k& ^& l6 j: e　　1、管理<a href="http://hackbase.com/hacker/tool" target="_blank" >工具</A>—本地安全策略—右击IP安全策略—管理IP筛选器表和筛选器操作—在管理IP筛选器表选项下点击
, b+ ]! u, U& L
　　添加—名称设为Web筛选器—点击添加—在描述中输入Web<a href="http://vip.hackbase.com/" target="_blank" >服务</A>器—将源地址设为任何IP地址——将目标地址设为我的IP地址——<a href="http://hackbase.com/network/protocol" target="_blank" >协议</A>类型设为Tcp——IP<a href="http://hackbase.com/network/protocol" target="_blank" >协议</A>端口第一项设为从任意端口，第二项到此端口80——点击完成——点击确定。
) k, L* S$ f7 t- W; _! ^! b. R' x8 H5 L
/ u" ?% G+ e) T1 v! q　　2、再在管理IP筛选器表选项下点击
% |8 s& V6 o, ?
* o% e1 z3 P, W* C　　添加—名称设为所有入站筛选器—点击添加—在描述中输入所有入站筛选—将源地址设为任何IP地址——将目标地址设为我的IP地址——<a href="http://hackbase.com/network/protocol" target="_blank" >协议</A>类型设为任意——点击下一步——完成——点击确定。

5 S+ X7 @2 Q! [) m  [; {　　3、在管理筛选器操作选项下点击添加——下一步——名称中输入阻止——下一步——选择阻止——下一步——完成——关闭管理IP筛选器表和筛选器操作窗口

　　4、右击IP安全策略——创建IP安全策略——下一步——名称输入数据包筛选器——下一步——取消默认激活响应原则——下一步——完成
9 I  l( Z, |! M1 V8 k0 J9 a* R; A
　　5、在打开的新IP安全策略属性窗口选择添加——下一步——不指定隧道——下一步——所有网络连接——下一步——在IP筛选器列表中选择新建的 Web筛选器——下一步——在筛选器操作中选择许可——下一步——完成——在IP筛选器列表中选择新建的阻止筛选器——下一步——在筛选器操作中选择阻止 ——下一步——完成——确定

* ]+ E% P, |/ r) r6 o　　6、在IP安全策略的右边窗口中右击新建的数据包筛选器，点击指派，不需要重启，IPSec就可生效.


2 _# ~( Z$ V5 t7 ?1 M4 G　　九、建议

* X9 J6 O$ l) `/ N　　如果你按本文去操作，建议每做一项更改就测试一下<a href="http://vip.hackbase.com/" target="_blank" >服务</A>器，如果有问题可以马上撤消更改。而如果更改的项数多，才发现出问题，那就很难判断问题是出在哪一步上了。</P>
<>
. B$ Q( V% V1 E1 s* v, ?$ k5 `<CENTER></CENTER>