windows20xx服務(wù)器安全配置手冊-資料下載頁
2024-11-05 08:10本頁面
【導(dǎo)讀】分冊名稱：第1冊/共1冊。技術(shù)運營中心技術(shù)手冊。修改記錄編號修改狀態(tài)修改頁碼及條款修改人審核人批準(zhǔn)人修改日期?？傢摂?shù)24頁正文22頁附錄無生效日期：2020年9月12日。內(nèi)部受控資料長期保存Total:24Page:3中國數(shù)碼信息有限公司。給WEB根目錄的IIS用戶只給讀權(quán)限。
【正文】 : 18 中 國數(shù)碼信息 有限公司 如圖 其他配置 在應(yīng)用程序池 中的 標(biāo)識 選項，可以選擇應(yīng)用程序池的安全性帳戶，默認(rèn)網(wǎng)絡(luò)服務(wù)這個帳戶，盡量以最低權(quán)限去運行，隱患也就更小些。在一個站點的某些目錄里，譬如這個【 uploadfile】 目錄，不需要在里面運行 asp 程序或其他腳本的，就去掉這個目錄的執(zhí)行腳本程序權(quán)限，在 應(yīng)用程序設(shè)置 的 執(zhí)行權(quán)限 這里，默認(rèn)的是 純腳本 ， 應(yīng) 改成 無 ，這樣就只能使用靜態(tài)頁面了。依次類推，大凡是不需要 asp 運行的目錄，譬如數(shù)據(jù)庫目錄，圖片目錄等等里都可以這樣做，這樣主要是能避 免在站點應(yīng)用程序腳本出現(xiàn) bug 的時候，譬如出現(xiàn)從前流行的 upfile 漏洞，而能夠在一定程度上對漏洞有扼制的作用。 如圖 WJ1905 內(nèi)部 受控 資料 長期保存 Total: 24 Page: 19 中 國數(shù)碼信息 有限公司 圖 在默認(rèn)情況下，我們一般給每個站點的 web 目錄的權(quán)限為 IIS 用戶的讀取和寫入， 如圖 WJ1905 內(nèi)部 受控 資料 長期保存 Total: 24 Page: 20 中 國數(shù)碼信息 有限公司 圖 6. 細(xì)節(jié)策略設(shè)置 但是我們現(xiàn)在為了將 SQL 注入，上傳漏洞全部都趕走，我們可以采取手動的方式進行細(xì)節(jié)性的策略設(shè)置。 給 web根目錄的 IIS 用戶只給讀權(quán)限。 如圖 WJ1905 內(nèi)部 受控 資料 長期保存 Total: 24 Page: 21 中 國數(shù)碼信息 有限公司 圖 對響應(yīng)的 uploadfiles/或其他需要存在上傳文件的目錄額外給寫的權(quán)限，并且在 IIS 里給這個目錄無腳本運行權(quán)限，這樣即使網(wǎng)站程序出現(xiàn)漏洞，入侵者也無法將 asp 木馬寫進目錄里去， 當(dāng)數(shù)據(jù)庫 是 MSSQL 數(shù)據(jù)庫的，就這樣就 可以 了，但 若 是 Access 的數(shù)據(jù)庫的話，其數(shù)據(jù)庫所在的目錄，或數(shù)據(jù)庫文件也得給寫權(quán)限，然后數(shù)據(jù)庫文件沒必要改成 .asp 的。這個目錄在 IIS 里不給執(zhí)行腳本權(quán)限。然后在 IIS 里加設(shè)置一個映射規(guī)律， 如圖 WJ1905 內(nèi)部 受控 資料 長期保存 Total: 24 Page: 22 中 國數(shù)碼信息 有限公司 圖 圖 WJ1905 內(nèi)部 受控 資料 長期保存 Total: 24 Page: 23 中 國數(shù)碼信息 有限公司 用任意一個 dll 文件來解析 .mdb 后綴名的映射，這樣別人即使獲得了數(shù)據(jù)庫路徑也無法下載。 如圖 圖 圖 WJ1905 內(nèi)部 受控 資料 長期保存 Total: 24 Page: 24 中 國數(shù)碼信息 有限公司 圖 7. 端口設(shè)置 這里我們按照所需要的服務(wù) 開放響應(yīng)的端口。在 2020 系統(tǒng)里，不推薦用 TCP/IP 篩選里的端口過濾功能，譬如在使用 FTP 服務(wù)器的時候，如果僅僅只開放 21 端口，由于 FTP 協(xié)議的特殊性，在進行 FTP 傳輸?shù)臅r候，由于 FTP 特有的 Port 模式和 Passive 模式，在進行數(shù)據(jù)傳輸?shù)臅r候，需要動態(tài)的打開高端口，所以在使用 TCP/IP 過濾的情況下，經(jīng)常會出現(xiàn)連接上后無法列出目錄和數(shù)據(jù)傳輸?shù)膯栴}。所以在 2020 系統(tǒng)上增加的 windows 連接防火墻能很好的解決這個問題，所以都不推薦使用網(wǎng)卡的 TCP/IP 過濾功能。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1