论坛: 网站建设 标题: 用WinNT/2K建WEB站点安全指南 复制本贴地址    
作者: a_one [a_one]    论坛用户   登录
  用NT(2000)建立的WE
直比较突出,使得一些每个
决方案,只是推出了一个个
感觉是无所适从。于是,有
有的在安装了防火墙以后就
齐。只有极少数NT网站有较
主要漏洞予以搜集整理,同
来,让用户放心使用NT(20 B站点在所有的网站中占了很大
基于NT的网站都有一种如履薄冰
补丁程序,各种安全文档上对于
的网管干脆什么措施也不采取,
以为万事大吉了。这种现状直接
高的安全性,大部分网站的安全
时,站在整体的高度,力图找出
00)建立WEB站点。 一部分比例,但NT的安全问题也一
的感觉,然而微软并没有明确的坚
NT的安全描述零零碎碎,给人们的
有的忙着下各种各样的补丁程序,
导致了大量网站的NT安全性参差不
性很差。为此,瑞星公司决心对NT
一套用NT建立安全站点的解决方案
  解决方案:(说明:本
内的服务器并不合适。) 方案主要是针对建立Web站点的N T、2000服务器安全,对于局域网
  ��一、 安装:                                                         
  不论是NT还是2000,硬盘分区均为NTFS分区;                     
  说明:                                                                 
  (1) NTFS比FAT分区
全性增强。 多了安全控制功能,可以对不同 的文件夹设置不同的访问权限,安
  (2) 建议最好一次性全部安装成NT
,这样做在安装了SP5和SP6的情况下会导 FS分区,而不要先安装成FAT分区再转化为NTFS分区
致转化不成功,甚至系统崩溃。
  (3) 安装NTFS分区有一个潜在的危
后NTFS分区病毒的查杀,这样一旦系统中
重,因此及建议平时做好防病毒工作。 险,就是目前大多数反病毒软件没有提供对软盘启动
了恶性病毒而导致系统不能正常启动,后果就比较严
  只安装一种操作系统;                                                   
  说明:安装两种以上操
有安全设置的操作系统(或 作系统,会给黑客以可乘之机,
者他熟悉的操作系统),进而进 利用攻击使系统重启到另外一个没
行破坏。
  安装成独立的域控制器(Stand Alon e),选择工作组成员,不选择域;
  说明:主域控制器(PD
包含着安全隐患,使黑客有 C)是局域网中队多台联网机器
可能利用域方式的漏洞攻击站点 管理的一种方式,用于网站服务器
服务器。
  将操作系统文件所在分
不要使用系统默认的目录, 区与WEB数据包括其他应用程序
如将\WINNT改为其他目录; 所在的分区分开,并在安装时最好
  说明:黑客有可能通过
而造成更大的破坏。 WEB站点的漏洞得到操作系统对 操作系统某些程序的执行权限,从
  安装操作系统最新的补丁程序,NT目
程序,以后如果要从NT光盘上安装新的Wi
需要这样做。 前为SP6,2000目前为SP2;在NT下,如果安装了补丁
ndows程序,都要重新安装一次补丁程序, 2000下不
  ����说明:                                                             
  (1) 最新的补丁程序,表示系统以
以不是最新的,但站点必须安装最新补丁
威胁。这是一部分管理员较易忽视的一点 前有重大漏洞,非补不可了,对于局域网内服务器可
,否则黑客可能会利用低版本补丁的漏洞对系统造成

  (2) 安装NT的SP5、S
NTFS分区,原因是微软在这
NTFS,这样会造成很多麻烦 P6有一个潜在威胁,就是一旦系
两个补丁中对NTFS做了改进。只
,建议同时做好数据备份工作。 统崩溃重装NT时,系统将不会认
能通过Windows 2000安装过程中认
  (3) 安装Service Pa
,同时做好数据备份。 ck前应先在测试机器上安装一次 ,以防因为例外原因导致机器死机
  尽量不安装与WEB站点服务无关的软件;                                 
  说明:其他应用软件有可能存在黑客熟知的安全漏洞。                       
  二、 NT设置:                                                       
  帐号策略:                                                             
  (1)帐号尽可能少,且尽可能少用来登录;                               
  说明:网站帐号一般只用来做系统维
一份被攻破的危险。 护,多余的帐号一个也不要,因为多一个帐号就会多
  (2)除过Administrat or外,有必要再增加一个属于管 理员组的帐号;
  说明:两个管理员组的帐号,一方面防止管理员一旦忘记一个帐号的口令还     
  有一个备用帐号;另方面,一旦黑客攻破一个帐号并更改口令,我们还有       
  有机会重新在短期内取得控制权。                                         
  (3)所有帐号权限需严格控制,轻易不要给帐号以特殊权限;               
  (4)将Administrator 重命名,改为一个不易猜的名字 。其他一般帐号也应尊
  循着一原则。                                                           
  说明:这样可以为黑客攻击增加一层障碍。                                 
  (5)将Guest帐号禁用,同时重命名 为一个复杂的名字,增加口令,并将它从
  Guest组删掉;                                                     
  说明:有的黑客工具正是利用了guest 的弱点,可以将帐号从一般用户提 
  升到管理员组。                                                         
  (6)给所有用户帐号
同时包含字母、数字、特殊
盘顺序(如qwert)、熟悉 一个复杂的口令(系统帐号出外
字符。同时不要使用大家熟悉的
的数字(如2000)等。 ),长度最少在8位以上, 且必须
单词(如microsoft)、熟悉的键
  说明:口令是黑客攻击的重点,口令
不少网管所忽视的地方,据我们的测试,
所推荐的方案则要安全的多。 一旦被突破也就无任何系统安全可言了,而这往往是
仅字母加数字的5位口令在几分钟内就会被攻破,而
  (7)口令必须定期更
何地方做记录;另外,如果
包括用户名和口令); 改(建议至少两周该一次),且
在日志审核中发现某个帐号被连 最好记在心里,除此以外不要在任
续尝试,则必须立刻更改此帐号(
  (8)在帐号属性中设
样可以防止某些大规模的登 立锁定次数,比如改帐号失败登
录尝试,同时也使管理员对该帐 录次数超过5次即锁定改帐号。这
号提高警惕。
  解除NetBios与TCP/IP协议的绑定                             
  说明:NetBois在局域网内是不可缺
选目标。方法:NT:控制面版――网络―
―网络和拨号连接――本地网络――属性
TCP/IP上的NETBIOS 少的功能,在网站服务器上却成了黑客扫描工具的首
―绑定――NetBios接口――禁用 2000:控制面版―
――TCP/IP――属性――高级――WINS――禁用
  删除所有的网络共享资源                                                 
  说明:NT与2000在默认
用,在网站服务器上同样是
享”。当查看“网络和拨号
除该组件;清除“Microsof 情况下有不少网络共享资源,在
一个特大的安全隐患。(卸载“
连接”中的任何连接属性时,将
t 网络的文件和打印机共享”复 局域网内对网络管理和网络通讯有
Microsoft 网络的文件和打印机共
显示该选项。单击“卸载”按钮删
选框将不起作用。)
  方法:                                                                 
  (1)NT:管理工具――服务器管理器――共享目录――停止共享;         
  2000:控制面版――管理工具――计算及管理――共享文件夹―――停止共享
  但上述两种方法太麻烦,服务器每重启一次,管理员就必须停止一次           
  ����(2)修改注册表:                                                 
  运行Regedit,然后修改注册表在HKE
urrentControlSet\Services\LanmanServ Y_LOCAL_MACHINE\SYSTEM\C
er\Parameters下增加一个键
  ����Name: AutoShareServer                         
  ����Type: REG_DWORD                                     
  ����Value: 0                                                   
  然后重新启动您的服务器,磁盘分区
除。 共享去掉,但IPC共享仍存在,需每次重启后手工删
  ����                                                                   
  ����改NTFS的安全权限;                                             
  说明:NTFS下所有文件
能使用一般用户身份对文件
只给管理员和System以完全
某些需要写的操作不能完成
前先在测试机器上作测试, 默认情况下对所有人(EveryOne
做增加、删除、执行等操作,建
控制权限,但这样做有可能使某
,这时需要对这些文件所在的文
然后慎重更改。 )为完全控制权限,这使黑客有可
议对一般用户只给予读取权限,而
些正常的脚本程序不能执行,或者
件夹权限进行更改,建议在做更改
  系统启动的等待时间设置为0秒,控制面板->系统->启动/关闭,然后将列表显示的默认值“30”改为“0”。(或者在boot.ini里将TimeOut 的值改为0)

  只开放必要的端口,关闭其余端口。                                       
  说明:缺省情况下,所
,这对安全是一个严重威胁 有的端口对外开放,黑客就会利
。 用扫描工具扫描那些端口可以利用
  现将一些常用端口列表如下:                                             
  ����                                                                   
  ����端口 协议 应用程序                                               
  ����21 TCP FTP                                               
  ����25 TCP SMTP                                             
  ����53 TCP DNS                                               
  ����80 TCP HTTP SERVER                               
  ����1433 TCP SQL SERVER                             
  ����5631 TCP PCANYWHERE                             
  ����5632 UDP PCANYWHERE                             
  ����6(非端口) IP协议                                             
  ����8(非端口) IP协议                                             
  ����加强日志审核;                                                     
  说明:日志任何包括事件查看器中的
志、SQL SERVER日志等,从中可以看出某
不可少的环节。安全日志缺省是不记录,
择指标;NTFS中对文件的审核从资源管理
指标就可以了,如果全选,则记录数目太
浪费。 应用、系统、安全日志,IIS中的WWW、SMTP、FTP日
些攻击迹象,因此每天查看日志是保证系统安全的必
帐号审核可以从域用户管理器――规则――审核中选
器中选取。要注意的一点是,只需选取你真正关心的
大,反而不利于分析;另外太多对系统资源也是一种
  加强数据备份;                                                         
  说明:这一点非常重要,站点的核心
是黑客们真正关心的东西;遗憾的是,不
是备份不及时。数据备份需要仔细计划,
站的更新,备份计划也需要不断地调整。 是数据,数据一旦遭到破坏后果不堪设想,而这往往
少网管在这一点上作的并不好,不是备份不完全,就
制定出一个策略并作了测试以后才实施,而且随着网
  只保留TCP/IP协议,删除NETBEUI、IPX/SPX协议;       
  说明:网站需要的通讯
IPX/SPX是面临淘汰的协议 协议只有TCP/IP,而NETBEUI是
,放在网站上没有任何用处,反 一个只能用于局域网的协议,
而会被某些黑客工具利用。
  停掉没有用的服务,只保留与网站有关的服务和服务器某些必须的服务。       
  说明:有些服务比如RA
建议禁止掉,同时也能节约
停掉前查阅帮助文档并首先 S服务、Spooler服务等会给黑客
一些系统资源。但要注意有些服
在测试服务器上作一下测试。 带来可乘之机,如果确实没有用处
务是操作系统必须的服务,建议在
  隐藏上次登录用户名,修改注册表Winnt4.0:                       
  HKEY_LOCAL_MACHINE\S
加DontDisplayLastUserNam
1。 OFTWARE\Microsoft\Windows NT
e,将其值设为1。Windows2000 \Current Version\Winlogon 中增
中该项已经存在,只需将其值改为
  说明:缺省情况下,上
索,最好的方式就是隐藏上 次登录的用户名会出现在登录框
次登录用户名。 中,这就为黑客猜测口令提供了线
  不要起用IP转发功能,控制面板->网络->协议->TCP/IP协议->属性,使这个选框为空。(NT)

  说明:缺省情况下,NT
,被黑客利用来对其他服务 的IP转发功能是禁止的,但注意
器进行攻击。 不要启用,否则它会具有路由作用
  安装最新的MDAC(http://www.micro soft.com/data/download.htm)
  说明:MDAC为数据访问
标,为防止以前版本的漏洞
在安装最新版本前最好先做
种情况下可以通过修改注册 部件,通常程序对数据库的访问
可能会被带入升级后的版本,建
一下测试,因为有的数据访问方
表来档漏洞,祥见漏洞测试文档 都通过它,但它也是黑客攻击的目
议卸载后安装最新的版本。注意:
式或许在新版本中不再被支持,这

  三、 IIS设置(包括IIS 4.0和IIS5.0)                   
  只安装Optoin Pack中
Extensions、示例WWW站点 必须的服务,建议不要安装Inde
等功能(NT)。Windows 2000中 x Server、FrontPage Server
作类似设置。
  说明:IIS中的众多安全隐患是由一
要安装必须的服务,如WWW服务、FTP服务 些其他的功能引起的,如果仅做一个WWW站点,就需
,这样减少黑客利用这些漏洞攻击的机会。
  停止默认的FTP站点、
务。 默认的Web站点、管理Web站点, 在新的目录下新建WWW服务与FTP服
  说明:默认的站点与管理Web站点含
。具体漏洞见所附安全文档。因此,必须
千万不要放在InetPub\wwwroot下,最好 有大量有安全漏洞的文件,极易给黑客造成攻击机会
禁止。同时,应该在新的目录下建立服务,这个目录
放在与它不同的分区下。
  删除不必要的IIS扩展
,.shtml、.shtm等如果无 名映射。最好去掉 .IDC、.HTR
用,也应去掉。 、.STM、.IDA、.HTW应用程序映射
  说明:上述应用程序映
―主目录――配置――应用 射,具有大量安全隐患。方法:
程序映射 NT(2000同):Web站点――属性―
  安装新的Service Pack后,IIS的应用程序映射应重新设置。   
  说明:安装新的Service Pack后,某
管理员较易忽视的一点。 些应用程序映射又会出现,导致出现安全漏洞。这是
  设置IP拒绝访问列表                                                   
  说明:对于WWW服务,
只是自己公司上传文件,就 可以拒绝一些对站点有攻击嫌疑
可以只允许本公司的IP访问改FT 的地址;尤其对于FTP服务,如果
P服务,这样,安全性大为提高。
  禁止对FTP服务的匿名访问                                             
  说明:如果允许对FTP服务做匿名访
以致对系统造成危害。 问,该匿名帐户就有可能被利用来获取更多的信息,
  建议使用W3C扩充日志文件格式,每
URI字根,HTTP状态,用户代理,而且每
更换一个记日志的路径,同时设置日志的 天记录客户IP地址,用户名,服务器端口,方法,
天均要审查日志。(最好不要使用缺省的目录,建议
访问权限,只允许管理员和system为Full Control)
  说明:作为一个重要措
一个证据。 施,既可以发现攻击的迹象,采 取预防措施,也可以作为受攻击的
  慎重设置WEB站点目录的访问权限,
限。只给予.ASP文件目录以脚本的权限, 一般情况下,不要给予目录以写入和允许目录浏览权
而不要给与执行权限。
  说明:目录访问权限必须慎重设置,否则会被黑客利用。                     
  四、 ASP编程安全:                                                 
  安全不仅是网管的事,编程人员也必
则,会给黑客造成可乘之机。目前,大多
写程序的时候注意的话,还是可以避免的 须在某些安全细节上注意,养成良好的安全习惯,否
数网站上的ASP程序有这样那样的安全漏洞,但如果

  涉及用户名与口令的程序最好封装在
据库连接地用户名与口令应给予最小的权 服务器端,尽量少的在ASP文件里出现,涉及到与数
限。
  说明:用户名与口令,往往是黑客们
后果是严重的。因此要尽量减少它们在AS
以写在一个位置比较隐蔽的包含文件中。
存储过程的权限,千万不要直接给予该用 最感兴趣的东西,如果被通过某种方式看到源代码,
P文件中的出现次数。出现次数多得用户名与口令可
如果涉及到与数据库连接,理想状态下只给它以执行
户以修改、插入、删除记录的权限。
  需要经过验证的ASP页面,可跟踪上
能读取这个页面。 一个页面的文件名,只有从上一页面转进来的会话才
  说明:现在的需要经过
可能被黑客绕过验证直接进 验证的ASP程序多是在页面头部
入,因此有必要跟踪上一个页面 加一个判断语句,但这还不够,有
。具体漏洞见所附漏洞文档。
  止ASP主页.inc文件泄露问题                                       
  当存在asp 的主页正在
为搜索对象,如果这时候有
能在浏览器中察看到数据库 制作并没有进行最后调试完成以
人利用搜索引擎对这些网页进行
地点和结构的细节揭示完整的源 前,可以被某些搜索引擎机动追加
查找,会得到有关文件的定位,并
代码。
  解决方案:程序员应该在网页发布前
件以便外部的用户不能看他们。 首先对
件代替 .inc 文件使用户无法从浏览器直
系统默认的或者有特殊含义容易被用户猜 对其进行彻底的调试;安全专家需要固定asp 包含文
.inc 文件内容进行加密,其次也可以使用 .asp 文
接观看文件的源代码。.inc 文件的文件名不用使用
测到的,尽量使用无规则的英文字母。
  注意某些ASP编辑器会自动备份asp文件,会被下载的漏洞               
  在有些编辑asp程序的工具,当创建
文件,比如:UltraEdit就会备份一个..b
生成一个叫some.asp.bak文件,如果你没
some.asp.bak文件,这样some.asp的源程 或者修改一个asp文件时,编辑器自动创建一个备份
ak文件,如你创建或者修改了some.asp,编辑器自动
有删除这个 bak文件,攻击有可以直接下载
序就会给下载。
  在处理类似留言板、BBS等输入框的A
语句,如无特殊要求,可以限定只允许输
长度进行限制。而且不但在客户端进行输
查。 SP程序中,最好屏蔽掉HTML、JavaScript、VBScript
入字母与数字,屏蔽掉特殊字符。同时对输入字符的
入合法性检查,同时要在服务器端程序中进行类似检
  说明:输入框是黑客利用的一个目标
坏; 如果该输入框涉及到数据查询,他
是表的全部。因此必须对输入框进行过滤
查,仍有可能被绕过,因此必须在服务器 ,他们可以通过输入脚本语言等对用户客户端造成损
们会利用特殊查询输入得到更多的数据库数据,甚至
。但如果为了提高效率仅在客户端进行输入合法性检
端再做一次检查。
  防止ACCESS mdb 数据库有可能被下载的漏洞                     
  在用ACCESS做后台数据
库的路径和数据库名称,那 库时,如果有人通过各种方法知
么他能够下载这个ACCESS数据库 道或者猜到了服务器的ACCESS数据
文件,这是非常危险的。
  解决方法:                                                             
  (1) 为你的数据库文件名称起个复杂
规", 打个比方: 比如有个数据库要保
"book.mdb"的名字,起个怪怪的名称,比
./kdslf/i44/studi/ 的几层目录下,这
就难上加难了。 的非常规的名字,并把他放在几目录下。所谓 "非常
存的是有关书籍的信息, 可不要把他起个
如d34ksfslf.mdb, 再把他放在如
样黑客要想通过猜的方式得到你的ACCESS数据库文件
  (2)不要把数据库名写在程序中。有些人喜欢把DSN写在程序中,比如:   
  ����DBPath = Server.MapPath("cmd db.mdb")
  ����conn.Open "drive r={Microsoft Access Driver ( *.mdb)};dbq=" & DBPath
  假如万一给人拿到了源程序,你的AC
设置数据源,再在程序中这样写: CESS数据库的名字就一览无余。因此建议你在ODBC里
  conn.open "shujiyuan"                             
  (3)使用ACCESS来为数据库文件编码及加密。首先在选取 "工具->安全->加密/解密数据库,选取数据库(如:employer.mdb),然后接确定,接着会出现 "数据库加密后另存为"的窗口,存为:employer1.mdb。 接着employer.mdb就会被编码,然后存为employer1.mdb..

  要注意的是,以上的动
是为了防止他人使用别的工 作并不是对数据库设置密码,而
具来查看数据库文件的内容。 只是对数据库文件加以编码,目的
  接下来我们为数据库加密,首先以打开经过编码了的 employer1.mdb, 在打开时,选择"独占"方式。然后选取功能表的"工具->安全->设置数据库密码", 接着 输入密码即可。这样即使他人得到了employer1.mdb文件,没有密码他是无法看到 employer1.mdb的。

  五、 SQL SERVER的安全                                       
  SQL SERVER是NT平台上用的最多的数
库中往往存在着最有价值的信息,一旦数 据库系统,但是它的安全问题也必须引起重视。数据
据被窃后果不堪设想。
  及时更新补丁程序。                                                     
  说明:与NT一样,SQL SERVER的许多
先在测试机器上做测试,同时提前做好目 漏洞会由补丁程序来弥补。建议在安装补丁程序之前
标服务器的数据备份。
  给SA一个复杂的口令。                                                 
  说明:SA具有对SQL SE
熟悉,建立数据库的工作由
SQL SERVER数据库的管理不
威胁。目前具有这种隐患的 RVER数据库操作的全部权限。遗
编程人员完成,而这部分人员往
熟悉,这样很有可能造成SA口令
站点不在少数。 憾的是,一部分网管对数据库并不
往只注重编写SQL 语句本身,对
为空。这对数据库安全是一个严重
  严格控制数据库用户的权限,轻易不
限,可以通过给用户以访问视图的权限, 要给让用户对表有直接的查询、更改、插入、删除权
以及只具有执行存储过程的权限。
  说明:用户如果对表有直接的操作权限,就会存在数据被破坏的危险。         
  制订完整的数据库备份与恢复策略。                                       
  六、 PCANYWHERE的安全:                                     
  目前,PCANYWHERE是最流行的基于NT 与2000的远程控制工具,同样也需要注意安全问题。
  建议采用单独的用户名
名与口令,也不要使用与NT 与口令,最好采用加密手段。千
集成的口令。 万不要采用与NT管理员一样的用户
  说明:PCANYWHERE 口令是远程控制
障。被攻破后就毫无安全可言。而如果采
口令屏障。 的第一个关口,如果与NT的一样, 就失去了安全屏
用单独的口令,即使攻破了PCANYWHERE,NT还有一个
  及时安装较新的版本。                                                     


地主 发表时间: 04-06-09 12:04

论坛: 网站建设

20CN网络安全小组版权所有
Copyright © 2000-2010 20CN Security Group. All Rights Reserved.
论坛程序编写:NetDemon

粤ICP备05087286号