windowsserver20xx服務(wù)器安全配置和web權(quán)限管理-資料下載頁(yè)
2024-09-07 18:28本頁(yè)面
【導(dǎo)讀】Inter信息服務(wù)管理器；后臺(tái)智能傳輸服務(wù)服務(wù)器擴(kuò)展；，長(zhǎng)度最好不少于14位。賬戶，但我沒(méi)有試過(guò)。三次登陸無(wú)效”，“鎖定時(shí)間為30分鐘”，“復(fù)位鎖定計(jì)數(shù)設(shè)為30分鐘”。來(lái)賓賬戶、啟動(dòng)IIS進(jìn)程賬戶。還要保留Asp賬戶。在這二者之間做出選擇?；剀嚕瑔螕簟翱刂婆_(tái)根節(jié)點(diǎn)”下的“組件服務(wù)”。算機(jī)”子文件夾。對(duì)于本地計(jì)算機(jī)，請(qǐng)以右鍵單擊“我的電腦”，然后選擇“屬性”。清除“在這臺(tái)計(jì)算機(jī)上啟用分布式COM”復(fù)選框。
【正文】 理員權(quán)限。還可以傳本地溢出 SERVU 的工具直接添加用 戶到 Administrators 等等。大家可以看到，一旦黑客找到了切入點(diǎn)，在沒(méi)有權(quán)限限制的情況下，黑客將一帆風(fēng)順的取得管理員權(quán)限。 那我們現(xiàn)在就來(lái)看看 Windows 2020的默認(rèn)權(quán)限設(shè)置到底是怎樣的。對(duì)于各個(gè)卷的根目錄，默認(rèn)給 了 Everyone 組完全控制權(quán)。這意味著任何 進(jìn)入電腦的用戶將不受限制的在這些根目錄中為所欲為。系統(tǒng)卷下有三個(gè)目錄比較特殊，系統(tǒng)默認(rèn)給了他們有限制的權(quán)限，這三個(gè)目錄是 Documents and settings、 Program files 和 Winnt。對(duì)于 Documents and settings，默認(rèn)的權(quán)限是這樣分配的： Administrators 擁有完全控制 權(quán)； Everyone 擁有讀 amp。運(yùn)，列和讀權(quán)限； Power users擁有讀 amp。運(yùn)，列和讀權(quán)限； SYSTEM 同Administrators。Users 擁有讀 amp。運(yùn)，列和讀權(quán)限。對(duì)于 Program files， Administrators 擁有完全控制權(quán)； Creator owner 擁有特殊權(quán)限 。Power users有完全控制權(quán) 。SYSTEM 同 Administrators。Terminal server users 擁有完全控制權(quán)， Users 有讀 amp。運(yùn)，列和讀權(quán)限。對(duì)于Winnt， Administrators 擁有完全控制權(quán)； Creator owner擁有特殊權(quán)限 。Power users有完全控制權(quán) 。SYSTEM同 Administrators。Users有讀amp。運(yùn)，列和讀權(quán)限。而非系統(tǒng)卷下的所有目錄都將 繼承其父目錄的權(quán)限，也就是 Everyone 組完全控制權(quán)！ 現(xiàn)在大家知道為什么我們剛剛在測(cè)試的時(shí)候能一帆風(fēng)順的取得管理員權(quán)限了吧？權(quán)限設(shè)置的太低了！一個(gè)人在訪問(wèn)網(wǎng)站的時(shí)候，將被自動(dòng)賦 予 IUSR 用戶，它是隸屬于 Guest 組的。本來(lái)權(quán)限不高，但是系統(tǒng)默認(rèn)給的 Everyone 組完全控制權(quán)卻讓它“身價(jià)倍增”，到最后能得到 Administrators 了。那么，怎樣設(shè)置權(quán)限給這臺(tái) WEB 服務(wù)器才算是安全的呢？大家要牢記一句話：“最少的服務(wù) +最小的權(quán)限 =最大的安全”對(duì)于 服務(wù)，不必要的話一定不要裝，要知道服務(wù)的運(yùn)行是 SYSTEM 級(jí)的哦，對(duì)于權(quán)限，本著夠用就好的原則分配就是了。對(duì)于 WEB 服務(wù)器，就拿剛剛那 臺(tái)服務(wù)器來(lái)說(shuō)，我是這樣設(shè)置權(quán)限的，大家可以參考一下：各個(gè)卷的根目錄、Documents and settings 以及 Program files，只給 Administrator 完全控制權(quán)，或者干脆直接把 Program files 給刪除掉；給系統(tǒng)卷的根目錄多加一個(gè) Everyone 的讀、寫權(quán)；給 e:/ 目錄，也就 是網(wǎng)站目錄讀、寫權(quán)。最后，還要把 這個(gè)文件給挖出來(lái)，只給 Administrator 完全控制權(quán)。經(jīng)過(guò)這樣的設(shè)置后，再想通過(guò)我剛剛的方法 入侵這臺(tái)服務(wù)器就是不可能完成的任務(wù)了?？赡苓@時(shí)候又有讀者會(huì)問(wèn)：“為什么要給系統(tǒng)卷的根目錄一個(gè) Everyone 的讀、寫權(quán)？網(wǎng)站中的 ASP 文 件運(yùn)行不需要運(yùn)行權(quán)限嗎？”問(wèn)的好，有深度。是這樣的，系統(tǒng)卷如果不給 Everyone 的讀、寫權(quán)的話，啟動(dòng)計(jì)算機(jī)的時(shí)候，計(jì)算機(jī)會(huì)報(bào)錯(cuò)，而 且會(huì)提示虛擬內(nèi)存不足。當(dāng)然這也有個(gè)前提 虛擬內(nèi)存是分配在系統(tǒng)盤的，如果把虛擬內(nèi)存分配在其他卷上，那你就要給那個(gè)卷 Everyone 的 讀、寫權(quán)。 ASP 文件的運(yùn)行方式是在服務(wù)器上執(zhí)行，只把執(zhí)行的結(jié)果傳回最終用戶的瀏覽器，這沒(méi)錯(cuò)，但 ASP 文件不是系統(tǒng)意義上的可執(zhí)行文件 ，它是由 WEB 服務(wù)的提供者 IIS 來(lái)解釋執(zhí)行的，所以它的執(zhí)行并不需要運(yùn)行的權(quán)限。 經(jīng)過(guò)上面的講解以后，你一定對(duì)權(quán)限有了一個(gè)初步了了解了吧？想更深入的了解權(quán)限，那么權(quán)限的一些特性你就不能不知道了，權(quán)限是具 有繼承性、累加性 、優(yōu)先性、交叉性的。 繼承性是說(shuō)下級(jí)的目錄在沒(méi)有經(jīng)過(guò)重新設(shè)置之前，是擁有上一級(jí)目錄權(quán)限設(shè)置的。這里還有一種情況要說(shuō)明一下，在分區(qū) 內(nèi)復(fù)制目錄或文 件的時(shí)候，復(fù)制過(guò)去的目錄和文件將擁有它現(xiàn)在所處位置的上一級(jí)目錄權(quán)限設(shè)置。但在分區(qū)內(nèi)移動(dòng)目錄或文件的時(shí)候，移動(dòng)過(guò)去的目錄和文件 將擁有它原先的權(quán)限設(shè)置。 累加是說(shuō)如一個(gè)組 GROUP1 中有兩個(gè)用戶 USER USER2，他們同時(shí)對(duì)某文件或目錄的訪問(wèn)權(quán)限分別為“讀取”和“寫入”，那么組 GROUP1 對(duì) 該文件或目錄的訪問(wèn)權(quán)限就為 USER1 和 USER2 的訪問(wèn)權(quán)限之和，實(shí)際上是取其最大的那個(gè)，即“讀取” +“寫入” =“寫入”。 又如一個(gè)用戶 USER1 同屬于組 GROUP1 和 GROUP2，而 GROUP1對(duì)某一文件或目錄的訪問(wèn)權(quán)限為“只讀”型的，而 GROUP2 對(duì)這一文件或文件夾的訪問(wèn)權(quán)限為“完全控 制”型的，則用戶 USER1 對(duì)該文件或文件夾的訪問(wèn)權(quán)限為兩個(gè)組權(quán)限累加所得，即：“只讀” +“完全控制” =“完全控制”。 優(yōu)先性，權(quán)限的這一特性又包含兩種子特性，其一是文件的訪問(wèn)權(quán)限優(yōu)先目錄的權(quán)限，也就是說(shuō)文件權(quán)限可以越過(guò)目錄的權(quán)限，不顧上一 級(jí)文件夾的設(shè)置。另一特性就是“拒絕”權(quán)限優(yōu)先其它權(quán)限，也就是說(shuō)“拒絕”權(quán)限可以越過(guò)其它所有其它權(quán)限，一旦選擇了“拒絕”權(quán)限， 則其它權(quán)限也就不能取任何作用，相當(dāng)于沒(méi) 有設(shè)置。 交叉性是指當(dāng)同一文件夾在為某一用戶設(shè)置了共享權(quán)限的同時(shí)又為用戶設(shè)置了該文件夾的訪問(wèn)權(quán)限，且所設(shè)權(quán)限不一致時(shí)，它的取舍原則 是取兩個(gè)權(quán)限的交集，也即最嚴(yán)格、最小的那種權(quán)限。如目錄 A為用戶 USER1 設(shè)置的共享權(quán)限為“只讀”，同時(shí)目錄 A為用戶 USER1 設(shè)置的訪問(wèn)權(quán) 限為“完全控制”，那用戶 USER1 的最終訪問(wèn)權(quán)限為“只讀”。權(quán)限設(shè)置的問(wèn)題我就說(shuō)到這了，在最后我還想給各位讀者提醒一下，權(quán)限的設(shè)置必須在 NTFS 分區(qū)中才能實(shí)現(xiàn)的， FAT32是不支持權(quán)限設(shè)置的。
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1