windowsserver20xx服務(wù)器安全配置和web權(quán)限管理(參考版)
2024-09-11 18:28本頁(yè)面
【正文】 權(quán)限設(shè)置的問(wèn)題我就說(shuō)到這了，在最后我還想給各位讀者提醒一下，權(quán)限的設(shè)置必須在 NTFS 分區(qū)中才能實(shí)現(xiàn)的， FAT32是不支持權(quán)限設(shè)置的。 交叉性是指當(dāng)同一文件夾在為某一用戶設(shè)置了共享權(quán)限的同時(shí)又為用戶設(shè)置了該文件夾的訪問(wèn)權(quán)限，且所設(shè)權(quán)限不一致時(shí)，它的取舍原則 是取兩個(gè)權(quán)限的交集，也即最嚴(yán)格、最小的那種權(quán)限。 優(yōu)先性，權(quán)限的這一特性又包含兩種子特性，其一是文件的訪問(wèn)權(quán)限優(yōu)先目錄的權(quán)限，也就是說(shuō)文件權(quán)限可以越過(guò)目錄的權(quán)限，不顧上一 級(jí)文件夾的設(shè)置。 累加是說(shuō)如一個(gè)組 GROUP1 中有兩個(gè)用戶 USER USER2，他們同時(shí)對(duì)某文件或目錄的訪問(wèn)權(quán)限分別為“讀取”和“寫(xiě)入”，那么組 GROUP1 對(duì) 該文件或目錄的訪問(wèn)權(quán)限就為 USER1 和 USER2 的訪問(wèn)權(quán)限之和，實(shí)際上是取其最大的那個(gè)，即“讀取” +“寫(xiě)入” =“寫(xiě)入”。這里還有一種情況要說(shuō)明一下，在分區(qū) 內(nèi)復(fù)制目錄或文 件的時(shí)候，復(fù)制過(guò)去的目錄和文件將擁有它現(xiàn)在所處位置的上一級(jí)目錄權(quán)限設(shè)置。 經(jīng)過(guò)上面的講解以后，你一定對(duì)權(quán)限有了一個(gè)初步了了解了吧？想更深入的了解權(quán)限，那么權(quán)限的一些特性你就不能不知道了，權(quán)限是具 有繼承性、累加性 、優(yōu)先性、交叉性的。當(dāng)然這也有個(gè)前提 虛擬內(nèi)存是分配在系統(tǒng)盤(pán)的，如果把虛擬內(nèi)存分配在其他卷上，那你就要給那個(gè)卷 Everyone 的 讀、寫(xiě)權(quán)?？赡苓@時(shí)候又有讀者會(huì)問(wèn)：“為什么要給系統(tǒng)卷的根目錄一個(gè) Everyone 的讀、寫(xiě)權(quán)？網(wǎng)站中的 ASP 文 件運(yùn)行不需要運(yùn)行權(quán)限嗎？”問(wèn)的好，有深度。最后，還要把 這個(gè)文件給挖出來(lái)，只給 Administrator 完全控制權(quán)。那么，怎樣設(shè)置權(quán)限給這臺(tái) WEB 服務(wù)器才算是安全的呢？大家要牢記一句話：“最少的服務(wù) +最小的權(quán)限 =最大的安全”對(duì)于 服務(wù)，不必要的話一定不要裝，要知道服務(wù)的運(yùn)行是 SYSTEM 級(jí)的哦，對(duì)于權(quán)限，本著夠用就好的原則分配就是了。而非系統(tǒng)卷下的所有目錄都將 繼承其父目錄的權(quán)限，也就是 Everyone 組完全控制權(quán)！ 現(xiàn)在大家知道為什么我們剛剛在測(cè)試的時(shí)候能一帆風(fēng)順的取得管理員權(quán)限了吧？權(quán)限設(shè)置的太低了！一個(gè)人在訪問(wèn)網(wǎng)站的時(shí)候，將被自動(dòng)賦 予 IUSR 用戶，它是隸屬于 Guest 組的。Users有讀amp。Power users有完全控制權(quán) 。運(yùn)，列和讀權(quán)限。SYSTEM 同 Administrators。對(duì)于 Program files， Administrators 擁有完全控制權(quán)； Creator owner 擁有特殊權(quán)限 。Users 擁有讀 amp。運(yùn)，列和讀權(quán)限； Power users擁有讀 amp。系統(tǒng)卷下有三個(gè)目錄比較特殊，系統(tǒng)默認(rèn)給了他們有限制的權(quán)限，這三個(gè)目錄是 Documents and settings、 Program files 和 Winnt。對(duì)于各個(gè)卷的根目錄，默認(rèn)給 了 Everyone 組完全控制權(quán)。大家可以看到，一旦黑客找到了切入點(diǎn)，在沒(méi)有權(quán)限限制的情況下，黑客將一帆風(fēng)順的取得管理員權(quán)限。也可以抓 SERVU 下的 ，得到系統(tǒng)管理員權(quán)限。通過(guò) ASP 木馬查看到 了 Norton Antivirus 和 BlackICE 的 PID，又通過(guò) ASP 木馬上傳了一個(gè)能殺掉進(jìn)程的文件，運(yùn)行后殺掉了 Norton Antivirus 和 BlackICE。 假設(shè)服務(wù)器外網(wǎng)域名為 后發(fā)現(xiàn)開(kāi)放 WWW 和 FTP 服務(wù)，并發(fā)現(xiàn)其服務(wù)軟件使用的是 IIS 和 Servu ，用一些針對(duì)他們的溢出工具后發(fā)現(xiàn)無(wú)效，遂放棄直接遠(yuǎn)程溢出的想法。讀者可能又會(huì)問(wèn)了：“這根本沒(méi)用到權(quán)限設(shè)置嘛！我把其他都安全工作都做好了，權(quán)限設(shè)置還有 必要嗎？”當(dāng)然有！智者千慮還必有一失呢，就算你現(xiàn)在已經(jīng)把系統(tǒng)安全做的完美無(wú)缺，你也要知道新的安全漏洞總是在被不斷的發(fā)現(xiàn)。一個(gè)難以猜解的路徑加上好的權(quán)限設(shè)置將把他阻擋在外。網(wǎng)站的內(nèi)容是采用動(dòng)網(wǎng) 的論壇 ,網(wǎng)站程序 在 e://bbs 下。為了方便 網(wǎng)頁(yè)制作 員對(duì)網(wǎng)頁(yè)進(jìn)行管理，該網(wǎng)站還開(kāi)通了 FTP 服務(wù)， FTP 服務(wù)軟件使用的是 SERVU ，安裝在 d:/ftpservice/servu 目錄下。不過(guò)愿意這樣做的人都有 一個(gè)特點(diǎn) 有錢(qián) :)。希望各個(gè)新 手管理員能合理給你的服務(wù)器數(shù)據(jù)進(jìn)行分類，這樣不光是查找起來(lái)方便，更重要的是這樣大大的增強(qiáng)了服務(wù)器的安全性，因?yàn)槲覀兛梢愿鶕?jù)需 要給每個(gè)卷或者每個(gè)目錄都設(shè)置不同的權(quán)限，一旦發(fā)生了網(wǎng)絡(luò)安全事故，也可以把損失降到最低。整個(gè)硬盤(pán)分為四個(gè) NTFS 卷， C 盤(pán)為系統(tǒng)卷， 只安裝了系統(tǒng)和驅(qū)動(dòng)程序； D 盤(pán)為軟件卷，該服務(wù)器上所有安裝的軟件都在 D 盤(pán)中； E 盤(pán)是 WEB 程序卷，網(wǎng)站程序 都在該卷下的 WWW 目錄中； F 盤(pán)是 網(wǎng)站數(shù)據(jù)卷，網(wǎng)站系統(tǒng)調(diào)用的所有數(shù)據(jù)都存放在該卷的 WWWDATABASE 目錄下。服務(wù)器采用 Windows 2020 Server 版，安裝好 了 SP4 及各種補(bǔ)丁。讀者可以自行對(duì)“特別”進(jìn)行更深的研究，鄙人在此就不過(guò)多贅述了?！皩?xiě)入”就是能往該卷或目 錄下寫(xiě)入數(shù)據(jù)?！傲谐鑫募A 目錄”是指只能瀏覽該卷或目錄下的子目錄，不能讀取，也不能運(yùn)行。下面的任何一項(xiàng)沒(méi)有被選中時(shí)，“修改”條件將不再成立。選中了“完全控制”，下面的五項(xiàng)屬性將被自動(dòng)被選中。“完全控制”就是對(duì)此卷或 目錄擁有不受限制的完全訪問(wèn)。我們可以通過(guò)“控制面板” “管理工具” “計(jì)算機(jī)管理” “用戶和用戶組”來(lái)查看用戶組及該組下的用戶。 Guests 用戶組下，也有一個(gè) 默 認(rèn)用戶 Guest,但是在默認(rèn)情況下，它是被禁用的。由于大家都知道“管理員”存在于許多版本的 Windows 上，所以重命名或禁用此帳戶將使 惡意用戶嘗試并訪問(wèn)該帳戶變得更為困難。因此強(qiáng)烈建議將此帳戶設(shè)置為使用強(qiáng)密碼。如果以本地計(jì)算機(jī)的管理員身份登錄 ，特洛伊木馬可能使用管理訪問(wèn)權(quán)重新格式化您的硬盤(pán)，造成不可估量的損失，所以在沒(méi)有必要的情況下，最好
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1