跳至主要内容

IIS安全配置原理

作者： 走尽天涯路

IIS安全配置原理


从入侵者入侵的各个环节来作出对应措施加固windows系统



1. 端口限制

2. 设置ACL权限

3. 关闭服务或组件

4. 包过滤

5. 审计





1. 扫描


这是入侵者在刚开始要做的第一步，比如搜索有漏洞的服务

对应措施：端口限制

打开服务所需要的端口.而将其他的端口一律屏蔽。

2. 下载信息


这里主要是通过URL SCAN.来过滤一些非法请求

对应措施：过滤相应包

我们通过安全URL SCAN并且设置urlscan.ini中的DenyExtensions字段来阻止特定结尾的文件的执行

3. 上传文件


入侵者通过这步上传WEBSHELL、提权软件、运行cmd指令等等

对应措施：取消相应服务和功能，设置ACL权限

如果有条件可以不使用FSO的

通过 regsvr32 /u c:windowssystem32scrrun.dll来注销掉相关的DLL，如果需要使用，那就为每个站点建立一个user(guests)用户对每个站点相应的目录，只给这个用户读、写、执行(根据需要设置权限，基本的权限读就够了，除非特别需要给予执行权限)权限，给administrators全部权限。安装杀毒软件，实时杀除上传上来的恶意代码，个人推荐MCAFEE或者卡巴斯基。如果使用MCAFEE.对WINDOWS目录所有添加与修改文件的行为进行阻止。

4. WebShell


入侵者上传文件后，需要利用WebShell来执行可执行程序，或者利用WebShell进行更加方便的文件操作。

对应措施：取消相应服务和功能

一般WebShell用到以下组件

WScript.Network

WScript.Network.1

WScript.Shell

WScript.Shell.1

Shell.Application

Shell.Application.1

我们在注册表中将以上键值改名或删除，同时需要注意按照这些键值下的CLSID键的内容，从/HKEY_CLASSES_ROOT/CLSID下面对应的键值删除

5. 执行SHELL


入侵者获得shell来执行更多指令

对应措施：设置ACL权限

Windows的命令行控制台位于WINDOWSSYSTEM32CMD.EXE(众多执行程序，比如net.exe)

我们将此文件的ACL修改为某个特定管理员帐户(比如administrator)拥有全部权限。

其他用户，包括system用户、administrators组等等，一律无权限访问此文件。

6. 利用已有用户或添加用户


入侵者通过利用修改已有用户或者添加Windows正式用户，向获取管理员权限迈进

对应措施：设置ACL权限、修改用户

将除管理员外所有用户的终端访问权限去掉，限制CMD.EXE的访问权限，限制(最好删除这些不安全的存储过程)SQL SERVER内的XP_CMDSHELL

7. 登陆图形终端


入侵者登陆TERMINAL SERVER或者RADMIN等等图形终端，获取许多图形程序的运行权限。由于WINDOWS系统下绝大部分应用程序都是GUI的，所以这步是每个入侵WINDOWS的入侵者都希望获得的

对应措施：端口限制

入侵者可能利用3389或者其他的木马之类的获取对于图形界面的访问。我们在第一步的端口限制中，对所有从内到外的访问一律屏蔽也就是为了防止 反弹木马，所以在端口限制中，由本地访问外部网络的端口越少越好。如果不是作为MAIL SERVER，可以不用加任何由内向外的端口，阻断所有的反弹木马。

8. 擦除脚印


入侵者在获得了一台机器的完全管理员权限后，就是擦除脚印来隐藏自身

对应措施：审计

首先我们要确定在windows日志中打开足够的审计项目，如果审计项目不足，入侵者甚至都无需去删除windows事件。其次我们可以用自己 的cmd.exe以及net.exe来替换系统自带的将运行的指令保存下来，了解入侵者的行动。对于windows日志，我们可以通过将日志发送到远程日志服务器的方式来保证记录的完整性。evtsys工具(https://engineering.purdue.edu/ECN/Resources /Documents)提供将windows日志转换成syslog格式并且发送到远程服务器上的功能，使用此用具，并且在远程服务器上开放 syslogd，如果远程服务器是windows系统，推荐使用kiwi syslog deamon。我们要达到的目的就是不让入侵者扫描到主机弱点，即使扫描到了也不能上传文件，即使上传文件了不能操作其他目录的文件，即使操作了其他目录 的文件也不能执行shell，即使执行了shell也不能添加用户，即使添加用户了也不能登陆图形终端，即使登陆了图形终端、拥有系统控制权，他的所作所 为还是会被记录下来。

额外措施：我们可以通过增加一些设备和措施来进一步加强系统安全性。


1. 代理型防火墙，如ISA2004


代理型防火墙可以对进出的包进行内容过滤，设置对HTTP REQUEST内的request string或者form内容进行过滤，将SELECT、DROP、DELETE、INSERT等都过滤掉，因为这些关键词在客户提交的表单或者内容中是 不可能出现的。过滤了以后可以说从根本杜绝了SQL 注入。

2. 用SNORT建立IDS


用另一台服务器建立个SNORT，对于所有进出服务器的包都进行分析和记录，特别是FTP上传的指令以及HTTP对ASP文件的请求，可以特别关注一下。

IIS安全配置原理 ( http://log-by-me.blogspot.com/2008/08/iis.html )

IIS安全配置原理 ( http://knol.google.com/k/hi-clin003/-/jtjj0so2jjck/37#view )




评论

发表评论

此博客中的热门博文

简单评测4个最好的PDF搜索引擎

作者： 走尽天涯路
借此机会将专业PDF 搜索引擎单独列出，并作简单的评测分析！ 简单评测4个专业PDF搜索引擎 http://mygogou.com/mm-713/ 1、Search pdf 今天刚刚发现的专业级PDF 搜索引擎，也是基于Google，与PDFGeni十分相似，收录有225,000,000 本Ebook，支持中文关键词。界面清爽，没有广告，搜索结果可选择浏览或直接下载，支持iPaper阅读器（不推荐，速度慢！） hx9opyze 4个最好的PDF搜索引擎（简单评测） 网址：http://search-pdf-books.com/ 2、PdfGeni PdfGeni是一个专业的PDF文件搜索引擎，搜索的PDF文件可以直接下载。与Search pdf基于同一数据库，支持中文搜索，搜索结果几乎完全一样。搜索结果一页显示量大，减少分页浏览的繁琐。不过上面都是英文的PDF文档，没有中文PDF 资料。去淘一下吧，应该能找到一些不错的资源：） xcwcfmnt 4个最好的PDF搜索引擎（简单评测） 网址：http://www.pdfgeni.com/ 3、pdf-search 开 始一直和Search pdf 混淆，两者是完全独立的搜索引擎，但功能有的一拼。就功能而言，我倾向于pdf-search，提供专业的PDF文件搜索，支持中文，结果有三种分享方式：下载、浏览、代码，并且提供同一关键词doc文件、ppt文件专业搜索的入口，也就是说输入一次关键词，你可以得到三种文件的专业搜索！但是，最为遗憾的是速度较慢，甚至有打不开的现象。速度可是一个好的搜索引擎不可缺少的基本素质！ v0fyk8ye 4个最好的PDF搜索引擎（简单评测） 网址：http://www.pdf-search-engine.com/ 4、Pdfdatabase Pdfdatabase 是一个不错的专项华搜索引擎，提供免费的PDF及doc文件的搜索服务，尤其是PDF搜索服务更是以大亮点。就数据库而言，与以上两者势均力敌，只是在用户操作性上更为灵活方便！不过，最大的缺陷是不支持中文搜索。 fvmhtxp4 4个最好的PDF搜索引擎（简单评测） 网址：http://pdfdatabase.com/ ------------------ 洛阳生活信息点评网:http://luoyanglife.com/ 洛阳生活信息...
发表评论
阅读全文

网吧何时才走出尴尬局面

作者： 走尽天涯路
2009年9月14号13点34分，正式收到市文化局的通知，限期月底之前所有网吧全部安装上北京通罗时代科技有限公司出的轻松游2009平台软件，逾期没安装的网吧将停业安装。望着通知上面的白纸黑字红章，我怒了，不是因为要我们安装的软件不好，我承认左轮软件出的三层更新速度很快很稳定，他们的安全中心也是没的说，我只是怒我们网吧再次被强迫、被命令了。从有网吧的那天起，我一直没有离开过这个行业，再没有哪一个行业像网吧这样深刻体会到相关部门在管理网吧方面的不合理。但网吧是打不倒的巨人！  　　　　1.网吧的管理  　　　管理网吧的部门有公安，消防，文化，工商，税务，教育，电信。几乎现在所有的执法部门都参与了网吧的管理，但他们只有一个目的，那就是钱，从网吧经营者那里榨取最大的价值，公安卖软件，文化来罚款，消防卖设备，工商让你订他们的书刊，税务要按娱乐的营业税税率20%来纳税，电信收你高额上网费等等，罚款，培训，订书刊，买软件，连灯箱都买，几乎没有他们不卖的，公安卖的软件，网吧没有收到软件就要付钱，报上登过一个专家的说法，要网吧全部用品牌机，不能再使用兼容机，他的理由是：兼容机游戏性太强，真不懂，电脑的游戏在于里面安装什么游戏软件，机器是品牌还是兼容有多少关系，现在在中国想找到一家没有被罚过的网吧太难太难了。　我认识的一个文化部门管理网吧的一般工作人员，他一年当中没有去银行取过他的工资，工资卡交给老婆，一分不要，只回家吃过几次晚饭，每年从网吧经营户那里就有30多万的灰色收入，这些部门管理网吧的工作人员，有几个懂网络懂电脑的，有些人连电脑开机关机都不会，（我亲眼看到一个到网吧检查的工作人员不知从哪里开机），中国太多的外行管内行，他们不懂网络拿什么管网吧？就一句话：罚你没商量　　  　　　　 2.未成年人上网问题  　　第一.未成年人的监护人是谁？是他的家长！不是网吧的经营者，有些家人工作忙，没时间管自己的孩子，有些学校现在教学比过去松，节假日放六七天长假，下午早早就把学生放走。社会在发展，也有很多不良的或是不适合孩子的地方，管不好孩子，不能责怪网吧，孩子在网吧一玩就是一个通宵，家长哪里去了？家庭才是孩子成长的主要场所，家长才是他最好的老师，社会有网吧，很多孩子一样考上清华，北大。总不能因为孩子，把社会上所有不适合未成年人的场所都关掉。让全社会都孩童化...
发表评论
阅读全文

八个出人意料的接吻高招

作者： 走尽天涯路
   你和他，面面相对，心旌摇曳，鼻子慢慢贴近，嘴唇轻轻相触，舔舐、吸吮，享受巧克力般的甜蜜滋味，电流迅速传遍全身上下每个细胞……     雕像吻     让他静静站立一分钟，仿佛一尊你顶礼膜拜的英雄雕像，任由你吻他个死去活来，耳际、双颊、嘴唇、脖子、胸脯……他不动弹，也绝不还"口"。你的热吻将令钢铁硬汉感觉到酥了、软了，最后High了，刹那间幻化为无形。然后转换角色，你当女神，让他狂吻你。     镜吻     精心构造诗意背景，在大镜子前做接吻游戏。别忘了涂上珠光唇彩，使美唇光鲜照人。睁大双眼，从镜子中欣赏每个醉人的细节。先将耳朵贴在他宽阔的胸前，悉心 倾听他的心跳声，然后让他如法做，心跳加剧之时最能感知对方的兴奋度。温柔四射的目光交接，足尖快乐地蜷曲，手指沿着他的唇部外侧自上而下轻轻抚摸，触及 他的下唇时轻拧一下，然后一把拉近他，吸那片性感热唇入你的口。轻拧的微痛感会刺激他更加亢奋。     数数吻     让他在1—20之间选择一个数字，比如6，然后吻他6遍，逗弄任何性感地带。每个吻变换压力、长度和湿度，或轻柔如羽，或湿气蒸腾，或若有若无，或低吟浅 尝，或密密咬合。其间，伴以热情的喘息，深深吸一口气，轻送入他嘴中，同步呼吸，分享你们的生命气息，合二为一，激情如春风荡漾。     猜谜吻     你尖挺的唇尖在他嘴里顽皮游走，轻触每个甜蜜部位，顺着口腔顶伸向喉咙，再向侧面移动，沿着齿龈滑行，潜入舌头底部，然后，让他猜猜你拼写出什么字母，并 约法三章。如果猜错，罚他吻你，想要多长就多长。用这种由你主动出击的吻，探索不曾涉猎的性感角落，恣意的驰骋带来无限的满足，飘飘然入仙境。最后结束 时，你的舌头环绕住他的唇，彻底覆盖，强有力的收势更能让他心神荡漾。     灵魂吻     四目相锁，深情凝视，能坚持多久就多久。火辣辣的目光仿佛一束高能激光，穿透对方灵府最深处，脑中幻想翩翩，想尝试...
发表评论
阅读全文