windowsserver20xx服務(wù)器安全配置和web權(quán)限管理-預(yù)覽頁(yè)
【正文】 起作用。 刪除系統(tǒng)盤下的虛擬目錄，如： _vti_bin、 IISSamples、 Scripts、 IIShelp、 IISAdmin、IIShelp、 MSADC。 使用 UrlScan UrlScan 是一個(gè) ISAPI篩選器，它對(duì)傳入的 HTTP 數(shù)據(jù)包進(jìn)行分析并可以拒絕任何可疑的通信量。 如果你的網(wǎng)頁(yè)是 .asp 網(wǎng)頁(yè)你需要在 DenyExtensions 刪除 .asp 相關(guān)的內(nèi)容。 xp_cmdshell：是進(jìn)入操作系統(tǒng)的最佳捷徑，刪除 訪問(wèn)注冊(cè)表的存儲(chǔ)過(guò)程，刪除 Xp_regaddmultistring Xp_regdeletekey Xp_regdeletevalue Xp_regenumvalues Xp_regread Xp_regwrite Xp_regremovemultistring OLE 自動(dòng)存儲(chǔ)過(guò)程，不需要?jiǎng)h除 Sp_OACreate Sp_OADestroy Sp_OAGetErrorInfo Sp_OAGetProperty Sp_OAMethod Sp_OASetProperty Sp_OAStop 隱藏 SQL Server、更改默認(rèn)的 1433 端口 右擊實(shí)例選 屬性 常規(guī) 網(wǎng)絡(luò)配置中選擇 TCP/IP 協(xié)議的屬性，選擇隱藏 SQL Server 實(shí)例，并改原默認(rèn)的 1433 端口。而如果更改的項(xiàng)數(shù)多，才發(fā)現(xiàn)出問(wèn)題，那就 很難判斷問(wèn)題是出在哪一步上了 十、權(quán)限部分 要打造一臺(tái)安全的 WEB 服務(wù)器，那么這臺(tái)服務(wù)器就一定要使用 NTFS 和Windows NT/2020/2020。所以，我們只能說(shuō) DOS 不支持權(quán)限的設(shè)置，不能說(shuō)它沒(méi)有權(quán)限。 Administrators,管理員組，默認(rèn)情況下， Administrators 中的用戶對(duì)計(jì)算機(jī) /域有不受限制的完全訪問(wèn)權(quán)。分配給 Power Users 組的默認(rèn)權(quán)限允許 Power Users 組的成員修改整個(gè)計(jì)算機(jī)的設(shè)置。因此，用戶可以運(yùn)行經(jīng)過(guò)驗(yàn)證的應(yīng)用程序，但不可以運(yùn)行大多數(shù)舊版應(yīng)用 程序。用戶不能修改系統(tǒng)注冊(cè)表設(shè)置 、操作系統(tǒng)文件或程序文件。 Everyone:顧名思義，所有的用戶，這個(gè)計(jì)算機(jī)上的所有用戶都屬于這個(gè)組。 權(quán)限 是有高低之分的，有高權(quán)限的用戶可以對(duì)低權(quán)限的用戶進(jìn)行操作，但除了 Administrators之外，其他組的用戶不能訪問(wèn) NTFS 卷上的 其他用戶資料，除非他們獲得了這些用戶的授權(quán)。弊就是以 Administrators 組成員的身份 運(yùn)行計(jì)算機(jī)將使系統(tǒng)容易受到特洛伊木馬、病毒及其他安全風(fēng)險(xiǎn)的威脅。 Administrators 中有一個(gè)在系統(tǒng)安裝時(shí)就創(chuàng)建的默認(rèn)用戶 Administrator，Administrator 帳戶具有對(duì)服務(wù)器的完全控制權(quán)限，并可 以根據(jù)需要向用戶指派用戶權(quán)利和訪問(wèn)控制權(quán)限。對(duì)于一個(gè)好的服務(wù)器管理員來(lái)說(shuō)，他們通常都會(huì)重命名或禁用此帳戶。 我們用鼠標(biāo)右鍵單擊一個(gè) NTFS卷或 NTFS 卷下的一個(gè)目錄，選擇“屬性” “安全”就可以對(duì)一個(gè)卷，或者一個(gè)卷下面的目錄進(jìn)行權(quán)限設(shè)置 ，此時(shí)我們會(huì)看到以下七種權(quán)限：完全控制、修改、讀取和運(yùn)行、列出文件夾目錄、讀取、寫入、和特別的權(quán)限?！? 修改”則像 Power users，選中了“修改”，下面的四項(xiàng)屬性將被自動(dòng)被選中?！白x取”是能夠讀取該卷或目錄下的數(shù)據(jù)。 下面我們對(duì)一臺(tái)剛剛安裝好操作系統(tǒng)和服務(wù)軟件的 WEB服務(wù)器系統(tǒng)和其權(quán)限進(jìn)行全面的刨析。這樣的分類還算是比較符合一臺(tái)安全服務(wù)器的標(biāo)準(zhǔn)了。好了，言歸正傳，該服務(wù)器的數(shù)據(jù)庫(kù)為 MSSQL， MSSQL 的服務(wù)軟件SQL2020 安裝在 d:/mssqlserver2K 目錄下，給 SA 賬戶 設(shè)置好了足夠強(qiáng)度的密碼，安裝好了 SP3 補(bǔ)丁。細(xì)心的讀者可能已經(jīng)注意到了，安裝這些服務(wù)軟件的路徑我都沒(méi)有采用默認(rèn)的路徑或者是僅僅更改盤符的默認(rèn)路徑，這也是 安全上的需要，因?yàn)橐粋€(gè)黑客如果通過(guò)某些途徑進(jìn)入了你的服務(wù)器， 但并沒(méi)有獲得管理員權(quán)限，他首先做的事情將是查看你開(kāi)放了哪些服務(wù)以 及安裝了哪些軟件，因?yàn)樗枰ㄟ^(guò)這些來(lái)提升他的權(quán)限。權(quán)限 將是你的最后一道防線！那我們現(xiàn)在就來(lái)對(duì)這臺(tái)沒(méi)有經(jīng)過(guò)任何 權(quán)限設(shè)置，全部采用 Windows默認(rèn)權(quán)限的服務(wù)器進(jìn)行一次模擬攻擊，看看其是否真 的固若金湯。再掃描， 發(fā)現(xiàn) 1433 端口開(kāi) 放了，到此，便有很多種途徑獲得管理員權(quán)限了，可以查看網(wǎng)站目錄下的 得到 SQL 的用戶名密碼，再登陸進(jìn) SQL 執(zhí)行添 加用戶，提管理員權(quán)限。 那我們現(xiàn)在就來(lái)看看 Windows 2020的默認(rèn)權(quán)限設(shè)置到底是怎樣的。對(duì)于 Documents and settings，默認(rèn)的權(quán)限是這樣分配的： Administrators 擁有完全控制 權(quán)； Everyone 擁有讀 amp。運(yùn)，列和讀權(quán)限。Terminal server users 擁有完全控制權(quán)， Users 有讀 amp。SYSTEM同 Administrators。本來(lái)權(quán)限不高，但是系統(tǒng)默認(rèn)給的 Everyone 組完全控制權(quán)卻讓它“身價(jià)倍增”，到最后能得到 Administrators 了。經(jīng)過(guò)這樣的設(shè)置后，再想通過(guò)我剛剛的方法 入侵這臺(tái)服務(wù)器就是不可能完成的任務(wù)了。 ASP 文件的運(yùn)行方式是在服務(wù)器上執(zhí)行，只把執(zhí)行的結(jié)果傳回最終用戶的瀏覽器，這沒(méi)錯(cuò)，但 ASP 文件不是系統(tǒng)意義上的可執(zhí)行文件 ，它是由 WEB 服務(wù)的提供者 IIS 來(lái)解釋執(zhí)行的，所以它的執(zhí)行并不需要運(yùn)行的權(quán)限。但在分區(qū)內(nèi)移動(dòng)目錄或文件的時(shí)候，移動(dòng)過(guò)去的目錄和文件 將擁有它原先的權(quán)限設(shè)置。另一特性就是“拒絕”權(quán)限優(yōu)先其它權(quán)限，也就是說(shuō)“拒絕”權(quán)限可以越過(guò)其它所有其它權(quán)限，一旦選擇了“拒絕”權(quán)限， 則其它權(quán)限也就不能取任何作用，相當(dāng)于沒(méi) 有設(shè)置。
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1