跳至主要内容

IIS安全配置原理

作者： 走尽天涯路

IIS安全配置原理


从入侵者入侵的各个环节来作出对应措施加固windows系统



1. 端口限制

2. 设置ACL权限

3. 关闭服务或组件

4. 包过滤

5. 审计





1. 扫描


这是入侵者在刚开始要做的第一步，比如搜索有漏洞的服务

对应措施：端口限制

打开服务所需要的端口.而将其他的端口一律屏蔽。

2. 下载信息


这里主要是通过URL SCAN.来过滤一些非法请求

对应措施：过滤相应包

我们通过安全URL SCAN并且设置urlscan.ini中的DenyExtensions字段来阻止特定结尾的文件的执行

3. 上传文件


入侵者通过这步上传WEBSHELL、提权软件、运行cmd指令等等

对应措施：取消相应服务和功能，设置ACL权限

如果有条件可以不使用FSO的

通过 regsvr32 /u c:windowssystem32scrrun.dll来注销掉相关的DLL，如果需要使用，那就为每个站点建立一个user(guests)用户对每个站点相应的目录，只给这个用户读、写、执行(根据需要设置权限，基本的权限读就够了，除非特别需要给予执行权限)权限，给administrators全部权限。安装杀毒软件，实时杀除上传上来的恶意代码，个人推荐MCAFEE或者卡巴斯基。如果使用MCAFEE.对WINDOWS目录所有添加与修改文件的行为进行阻止。

4. WebShell


入侵者上传文件后，需要利用WebShell来执行可执行程序，或者利用WebShell进行更加方便的文件操作。

对应措施：取消相应服务和功能

一般WebShell用到以下组件

WScript.Network

WScript.Network.1

WScript.Shell

WScript.Shell.1

Shell.Application

Shell.Application.1

我们在注册表中将以上键值改名或删除，同时需要注意按照这些键值下的CLSID键的内容，从/HKEY_CLASSES_ROOT/CLSID下面对应的键值删除

5. 执行SHELL


入侵者获得shell来执行更多指令

对应措施：设置ACL权限

Windows的命令行控制台位于WINDOWSSYSTEM32CMD.EXE(众多执行程序，比如net.exe)

我们将此文件的ACL修改为某个特定管理员帐户(比如administrator)拥有全部权限。

其他用户，包括system用户、administrators组等等，一律无权限访问此文件。

6. 利用已有用户或添加用户


入侵者通过利用修改已有用户或者添加Windows正式用户，向获取管理员权限迈进

对应措施：设置ACL权限、修改用户

将除管理员外所有用户的终端访问权限去掉，限制CMD.EXE的访问权限，限制(最好删除这些不安全的存储过程)SQL SERVER内的XP_CMDSHELL

7. 登陆图形终端


入侵者登陆TERMINAL SERVER或者RADMIN等等图形终端，获取许多图形程序的运行权限。由于WINDOWS系统下绝大部分应用程序都是GUI的，所以这步是每个入侵WINDOWS的入侵者都希望获得的

对应措施：端口限制

入侵者可能利用3389或者其他的木马之类的获取对于图形界面的访问。我们在第一步的端口限制中，对所有从内到外的访问一律屏蔽也就是为了防止 反弹木马，所以在端口限制中，由本地访问外部网络的端口越少越好。如果不是作为MAIL SERVER，可以不用加任何由内向外的端口，阻断所有的反弹木马。

8. 擦除脚印


入侵者在获得了一台机器的完全管理员权限后，就是擦除脚印来隐藏自身

对应措施：审计

首先我们要确定在windows日志中打开足够的审计项目，如果审计项目不足，入侵者甚至都无需去删除windows事件。其次我们可以用自己 的cmd.exe以及net.exe来替换系统自带的将运行的指令保存下来，了解入侵者的行动。对于windows日志，我们可以通过将日志发送到远程日志服务器的方式来保证记录的完整性。evtsys工具(https://engineering.purdue.edu/ECN/Resources /Documents)提供将windows日志转换成syslog格式并且发送到远程服务器上的功能，使用此用具，并且在远程服务器上开放 syslogd，如果远程服务器是windows系统，推荐使用kiwi syslog deamon。我们要达到的目的就是不让入侵者扫描到主机弱点，即使扫描到了也不能上传文件，即使上传文件了不能操作其他目录的文件，即使操作了其他目录 的文件也不能执行shell，即使执行了shell也不能添加用户，即使添加用户了也不能登陆图形终端，即使登陆了图形终端、拥有系统控制权，他的所作所 为还是会被记录下来。

额外措施：我们可以通过增加一些设备和措施来进一步加强系统安全性。


1. 代理型防火墙，如ISA2004


代理型防火墙可以对进出的包进行内容过滤，设置对HTTP REQUEST内的request string或者form内容进行过滤，将SELECT、DROP、DELETE、INSERT等都过滤掉，因为这些关键词在客户提交的表单或者内容中是 不可能出现的。过滤了以后可以说从根本杜绝了SQL 注入。

2. 用SNORT建立IDS


用另一台服务器建立个SNORT，对于所有进出服务器的包都进行分析和记录，特别是FTP上传的指令以及HTTP对ASP文件的请求，可以特别关注一下。

IIS安全配置原理 ( http://log-by-me.blogspot.com/2008/08/iis.html )

IIS安全配置原理 ( http://knol.google.com/k/hi-clin003/-/jtjj0so2jjck/37#view )




评论

发表评论

此博客中的热门博文

简单评测4个最好的PDF搜索引擎

作者： 走尽天涯路
借此机会将专业PDF 搜索引擎单独列出，并作简单的评测分析！ 简单评测4个专业PDF搜索引擎 http://mygogou.com/mm-713/ 1、Search pdf 今天刚刚发现的专业级PDF 搜索引擎，也是基于Google，与PDFGeni十分相似，收录有225,000,000 本Ebook，支持中文关键词。界面清爽，没有广告，搜索结果可选择浏览或直接下载，支持iPaper阅读器（不推荐，速度慢！） hx9opyze 4个最好的PDF搜索引擎（简单评测） 网址：http://search-pdf-books.com/ 2、PdfGeni PdfGeni是一个专业的PDF文件搜索引擎，搜索的PDF文件可以直接下载。与Search pdf基于同一数据库，支持中文搜索，搜索结果几乎完全一样。搜索结果一页显示量大，减少分页浏览的繁琐。不过上面都是英文的PDF文档，没有中文PDF 资料。去淘一下吧，应该能找到一些不错的资源：） xcwcfmnt 4个最好的PDF搜索引擎（简单评测） 网址：http://www.pdfgeni.com/ 3、pdf-search 开 始一直和Search pdf 混淆，两者是完全独立的搜索引擎，但功能有的一拼。就功能而言，我倾向于pdf-search，提供专业的PDF文件搜索，支持中文，结果有三种分享方式：下载、浏览、代码，并且提供同一关键词doc文件、ppt文件专业搜索的入口，也就是说输入一次关键词，你可以得到三种文件的专业搜索！但是，最为遗憾的是速度较慢，甚至有打不开的现象。速度可是一个好的搜索引擎不可缺少的基本素质！ v0fyk8ye 4个最好的PDF搜索引擎（简单评测） 网址：http://www.pdf-search-engine.com/ 4、Pdfdatabase Pdfdatabase 是一个不错的专项华搜索引擎，提供免费的PDF及doc文件的搜索服务，尤其是PDF搜索服务更是以大亮点。就数据库而言，与以上两者势均力敌，只是在用户操作性上更为灵活方便！不过，最大的缺陷是不支持中文搜索。 fvmhtxp4 4个最好的PDF搜索引擎（简单评测） 网址：http://pdfdatabase.com/ ------------------ 洛阳生活信息点评网:http://luoyanglife.com/ 洛阳生活信息...
发表评论
阅读全文

新年的12个健康礼物

作者： 走尽天涯路
如果你对自己的健康不够满意的话，那么，在又一个365天即将到来的时刻，不妨送给自己的身体12个健康承诺，作为珍爱自己的特别礼物：新年的12个健康礼物  http://luoyanglife.com/blog/luoyang-faq-3146/ 1 每天半斤粮——五谷为养，粮食能滋养大脑，也能养护肠胃，适量吃主食并不会使人发胖。 2 每天一餐粗——粗粮富含维生素B族、矿物质和膳食纤维，让我们有顺畅的肠道和持久的精力。 3 每天一把豆——豆子和豆制品能帮助补充蛋白质，更是多种保健成分的来源，让我们不容易发胖，而且不容易衰老。 4 每天一斤菜——蔬菜是健康生活的永恒话题，它供应的保健成分、维生素和膳食纤维帮助人们远离多种癌症。 5 每天半斤绿——在蔬菜当中，深绿色叶菜是营养之精华，无论是强健骨骼，还是预防大脑衰老，绿叶菜都有意想不到的效用！ 6 每天半斤果——水果不仅味道甘甜，还能提供多种抗氧化成分和大量的钾，对于稳定血压、控制血胆固醇和预防癌症都有益处。 7 每天一两肉——肉类和水产中的血红素铁、锌和蛋白质能帮助女性拥有红润容颜和温暖的身体，只要适量摄入，就能美味与健康兼得。 8 每天一个蛋——最新研究确信蛋黄是营养素的宝库，其中含有12种维生素和多种保健成分。它不仅无害于心脏，而且有利于延缓衰老。 9 每天一杯奶——奶类中大量的钙和多种维生素对女性不可或缺。如果不喜欢喝牛奶，没关系，酸奶毫不逊色，而且其中的益生菌好处多多。 10 每天一勺仁——坚果和种子是营养密集的食品，每天早上吃一勺，令人食欲满足，能补充多种微量元素，同时润肤美颜。 11 每天六千步——运动是保持强健心脏和苗条身材的不二法门。走路时脚步尽量快一些，加上每周两次有氧运动，能够有效延缓衰老。 12 每天8小时——睡眠是身体自我修复和充电的时间。高质量睡眠是美容的最佳方法，也是减少癌症危险的最简单方法。 2009年，一定是你人生中一个充实的年份，2010年，将是收获更加丰富的一年。但是，无论多么繁忙，对于重要的事情，人们总是有时间去做的。维护健康是每个人最重要的事业，也是期待未来成功的前提条件，因此，要把健康生活排在日程的最重要位置上，就像奥巴马和普京那样。 如果能改变自己的不健康行为，哪怕只有一项，只要切实坚持一年，那么在明年的今日，一定会感觉更加健康和自信！ 最后，在新年来临之际，祝各位朋友健...
发表评论
阅读全文

维生素C有什么作用？哪些人需要补充维生素C？怎样合理补充维生素C？

作者： 走尽天涯路
哪些水果富含维生素C？维生素C有什么作用？哪些人需要补充维生素C？怎样合理补充维生素C？ 加入消费者保障计划的 保健品店铺 ： 维生素C宝贝 。 已加入消费者保障计划的淘宝3钻店铺： 进口蛋白粉 维生素C 。 维生素C有什么作用？ 1、合成Collagen（胶原蛋白）-以形成软骨、骨质、牙釉质及血管上皮的重要基质。 2、促进脯胺酸转变为氢脯胺酸之反应，而氢脯胺酸为构成胶原重要成分之一，因此维生素C可促进胶原之生成。 3、维持结缔组织之正常-因为胶原是构成结缔组织之细胞间质。 4、参加体内氧化还原反应-维生素C可参加酪胺酸及某些物质的氧化反应。 5、制造肾上腺类固醇激素。 6、增进伤口愈合及增加对受伤及感染等压力的感受力。 7、在受感染、发热时，此维生素之损失亦随之增加，故其对刺激之反应扮演重要角色。 8、解毒作用； 9、改善心肌功能，减低毛细血管脆性，增加机体抵抗力； 10、对抗游离基，有助于防癌，降低胆固醇，防止坏血病。 维生素C的作用以及怎样合理补充维生素C？ http://luoyanglife.com/blog/luoyang-faq-3305/ 哪些水果富含维生素C？ 第一层： 鲜枣、沙棘、猕猴桃、柚子 每100克中的维生素C含量超过100毫克 第二层： 青椒、桂圆、番茄、草莓、甘蓝、柑橘、 每100克中维生素C含量超过50毫克 第三层： 萝卜 每100克中维生素C含量超过30——50毫克。 富含维生素C的蔬果。维生素C可以预防雀斑的产生，从而抑制黑色素的形成，保持肌肤美白。相反，缺乏维生素C则容易皮肤粗糙枯干，并且引发皮炎、脱皮等敏感症状。尤其在夏季，多吃富含维生素C的水果蔬菜，有助于恢复皮肤弹性，防止过敏反应的发生。水果如柠檬、橙子、橘子、猕猴桃、草莓等维生素C含量高。蔬菜中绝大多数绿叶菜、甘蓝、青椒等都含有丰富的维生素C。 哪些人需要补充维生素C？ 维生素C又称抗坏血酸，属于水溶性维生素，容易从体内流失，必须每天从富含维生素C的物品中摄取来满足身体的需要。在所有的维生素中，维生素C是人体每天需要最多的维生素，主要因为维生素C比其他维生素和矿物质更多的参与人体各种机能。其主要作用有生成胶原蛋白、促进微血管健康、帮助铁的吸收、防治坏血病、增加免疫力、预防心血管疾病。 维生素C在生物氧化及还原过程和细胞呼吸中起重要作用。维生素C参与氨基酸代谢、神经递质的合...
发表评论
阅读全文