跳至主要内容

IIS安全配置原理

作者： 走尽天涯路

IIS安全配置原理


从入侵者入侵的各个环节来作出对应措施加固windows系统



1. 端口限制

2. 设置ACL权限

3. 关闭服务或组件

4. 包过滤

5. 审计





1. 扫描


这是入侵者在刚开始要做的第一步，比如搜索有漏洞的服务

对应措施：端口限制

打开服务所需要的端口.而将其他的端口一律屏蔽。

2. 下载信息


这里主要是通过URL SCAN.来过滤一些非法请求

对应措施：过滤相应包

我们通过安全URL SCAN并且设置urlscan.ini中的DenyExtensions字段来阻止特定结尾的文件的执行

3. 上传文件


入侵者通过这步上传WEBSHELL、提权软件、运行cmd指令等等

对应措施：取消相应服务和功能，设置ACL权限

如果有条件可以不使用FSO的

通过 regsvr32 /u c:windowssystem32scrrun.dll来注销掉相关的DLL，如果需要使用，那就为每个站点建立一个user(guests)用户对每个站点相应的目录，只给这个用户读、写、执行(根据需要设置权限，基本的权限读就够了，除非特别需要给予执行权限)权限，给administrators全部权限。安装杀毒软件，实时杀除上传上来的恶意代码，个人推荐MCAFEE或者卡巴斯基。如果使用MCAFEE.对WINDOWS目录所有添加与修改文件的行为进行阻止。

4. WebShell


入侵者上传文件后，需要利用WebShell来执行可执行程序，或者利用WebShell进行更加方便的文件操作。

对应措施：取消相应服务和功能

一般WebShell用到以下组件

WScript.Network

WScript.Network.1

WScript.Shell

WScript.Shell.1

Shell.Application

Shell.Application.1

我们在注册表中将以上键值改名或删除，同时需要注意按照这些键值下的CLSID键的内容，从/HKEY_CLASSES_ROOT/CLSID下面对应的键值删除

5. 执行SHELL


入侵者获得shell来执行更多指令

对应措施：设置ACL权限

Windows的命令行控制台位于WINDOWSSYSTEM32CMD.EXE(众多执行程序，比如net.exe)

我们将此文件的ACL修改为某个特定管理员帐户(比如administrator)拥有全部权限。

其他用户，包括system用户、administrators组等等，一律无权限访问此文件。

6. 利用已有用户或添加用户


入侵者通过利用修改已有用户或者添加Windows正式用户，向获取管理员权限迈进

对应措施：设置ACL权限、修改用户

将除管理员外所有用户的终端访问权限去掉，限制CMD.EXE的访问权限，限制(最好删除这些不安全的存储过程)SQL SERVER内的XP_CMDSHELL

7. 登陆图形终端


入侵者登陆TERMINAL SERVER或者RADMIN等等图形终端，获取许多图形程序的运行权限。由于WINDOWS系统下绝大部分应用程序都是GUI的，所以这步是每个入侵WINDOWS的入侵者都希望获得的

对应措施：端口限制

入侵者可能利用3389或者其他的木马之类的获取对于图形界面的访问。我们在第一步的端口限制中，对所有从内到外的访问一律屏蔽也就是为了防止 反弹木马，所以在端口限制中，由本地访问外部网络的端口越少越好。如果不是作为MAIL SERVER，可以不用加任何由内向外的端口，阻断所有的反弹木马。

8. 擦除脚印


入侵者在获得了一台机器的完全管理员权限后，就是擦除脚印来隐藏自身

对应措施：审计

首先我们要确定在windows日志中打开足够的审计项目，如果审计项目不足，入侵者甚至都无需去删除windows事件。其次我们可以用自己 的cmd.exe以及net.exe来替换系统自带的将运行的指令保存下来，了解入侵者的行动。对于windows日志，我们可以通过将日志发送到远程日志服务器的方式来保证记录的完整性。evtsys工具(https://engineering.purdue.edu/ECN/Resources /Documents)提供将windows日志转换成syslog格式并且发送到远程服务器上的功能，使用此用具，并且在远程服务器上开放 syslogd，如果远程服务器是windows系统，推荐使用kiwi syslog deamon。我们要达到的目的就是不让入侵者扫描到主机弱点，即使扫描到了也不能上传文件，即使上传文件了不能操作其他目录的文件，即使操作了其他目录 的文件也不能执行shell，即使执行了shell也不能添加用户，即使添加用户了也不能登陆图形终端，即使登陆了图形终端、拥有系统控制权，他的所作所 为还是会被记录下来。

额外措施：我们可以通过增加一些设备和措施来进一步加强系统安全性。


1. 代理型防火墙，如ISA2004


代理型防火墙可以对进出的包进行内容过滤，设置对HTTP REQUEST内的request string或者form内容进行过滤，将SELECT、DROP、DELETE、INSERT等都过滤掉，因为这些关键词在客户提交的表单或者内容中是 不可能出现的。过滤了以后可以说从根本杜绝了SQL 注入。

2. 用SNORT建立IDS


用另一台服务器建立个SNORT，对于所有进出服务器的包都进行分析和记录，特别是FTP上传的指令以及HTTP对ASP文件的请求，可以特别关注一下。

IIS安全配置原理 ( http://log-by-me.blogspot.com/2008/08/iis.html )

IIS安全配置原理 ( http://knol.google.com/k/hi-clin003/-/jtjj0so2jjck/37#view )




评论

发表评论

此博客中的热门博文

6岁小朋友在PSP上看到不该看的东西

作者： 走尽天涯路
美国佛州的一位母亲Thamtha Tovar为自己六岁的儿子在Manatee的沃尔玛购买了一个礼物，一台全新的PSP， 然而当这位六岁的小朋友打开此PSP的时候，映入眼帘的却是一位"一丝不挂"的美女，惊恐之下，小朋友向自己的母亲哭诉了自己的遭遇。 伟 大的母亲听说此事勃然大怒，愤然找到沃尔玛的负责人要求对此事件作出合理解释，为何刚购买的PSP里的记忆卡会有"美女"在里面。沃尔玛的工作人员如此说 道："呃，你把机器带来过，我们把卡帮你取出来，然后我们会给您儿子免费提供一个新的游戏。"这位母亲说："我很乐意，但是恐怕你们没有明白我说的话。" 沃尔玛的一位发言人称他们正在调查为何发生此事，寻求解决此问题，而Tovar女士则要求更换一台全新的PSP并要求沃尔玛为此事道歉。 ------------------ 洛阳生活信息点评网:http://luoyanglife.com/ 洛阳生活信息，我爱打折论坛:http://bbs.luoyanglife.com/ 河南招生考试网:http://www.edu-ha.com/  
发表评论
阅读全文

照着做，你的人生一定很顺利！

作者： 走尽天涯路
　　01．犯了错误就该诚实地认错——狡辩、诿过只会害了自己。 　　02． 朋友 之间要保持距离——这样的 友谊 才能长久。　　 　　03．钱追人，人追健康——有了健康，还怕挣不到钱么？　　 　　04．别轻易转行——转行的风险很高，最好不要轻率为之。　　 　　05．适度地抬高身价——在就业市场中，人也是一种商品。　　 　　06．把敬业变成 习惯 ——从长期看是为了自己。　　 　　07．运用累积法壮大资产——不求快，不求多，不中断。　　 　　08．忍一时，争千秋形势比人强时，必须忍。　　 　　09．与其你死我活，不如你活我也活——这就是双赢，是良性竞争。　　 　　10．以"播种"的 心态 经营人际关系——种子播得越早越坚韧。　　 　　11．做事切勿率性而为——率性而为只会害了自己。　　 　　12．遇到魔鬼型的主管时——接受他的磨练可让你的 性格 越来越坚韧。　　 　　13．不要当众和主管吵架——那会让你无路可走，只有走人。　　 　　14．向不同行业的人学习新知识——记住，要用请教的 态度 。　　 　　15．所有的困难都是好事——这是老天爷在磨练你，目的是把重任交给你。　　 　　16．用吃亏就是占便宜的心态 做人 做事——那样你就可以迅速长大。　　 　　17．不要在失意者面前谈论你的得意——那样 伤害 你的人际关系。　　 　　18．不要小看守时这件事——守时是对别人的尊重。　　 　　19．用 时间 来看人——时间是检验大师。　　 　　20．用打听来看人——把获得的信息汇总，就可以了解那个人。　　 　　21．建立一个朋友档案——以免人到用时方恨少。　　 　　22．扩大交友圈——主动出击，不要等别人上门找你。　　 　　23．保持交友的弹性——敌人也可以变成朋友。　　 　　24．要交 喜欢 "修理"你的朋友——这种朋友是你的 人生 导师。 　　25．毛遂自荐，好处多多——让别人看到你，知道你的存在，知道你的能力。　　 　　26．小心突然升温的 友情 ——对待这种友情的正确态度是：不推不迎，礼尚往来。　　 　　27．做老二，不做老大——老大没当好，容易变成老三老四。　　 　　28．做人要中规中矩——目的是赢得他人的尊重和信赖。　　 ...
发表评论
阅读全文

FTP服务器关于断点续传权限的防范问题

作者： 走尽天涯路
FTP服务器关于断点续传权限的防范问题 　　 假设ftp服务器中存在一个文件Readme.txt，文件大小为1000 bytes，连接上这个ftp服务器（假设我有写权限，ftp服务器是支持断点再传的），我本地中也有一个叫Readme.txt的文件，文件大小为 500 bytes。好了，我开始做坏事。 　　 1、连接上这个ftp服务器（用系统自带的 ftp：//ftp.exe/，在内网的可能无法使用，因为 ftp：//ftp.exe/用的是port模式） 　　 2、dir（查看Readme.txt大小，确定了是1000 bytes） 　　 3、quote rest 1000（告诉ftp服务器我将要传送的文件是从文件位置1000开始） 　　 4、send Readme.txt 　　 5、dir（再次查看Readme.txt大小，现在Readme。txt变成1500 bytes了） 　　 为什么Readme.txt会变大了?很简单，因为我本地的那个Readme.txt的500字节上传成功，并写入到ftp服务器中存在的那个 1000 bytes的Readme.txt文件中了。问题是出在第二条命令，如果没有第二条命令，我的第4个命令（Send Readme.txt），就会得到一个Permission Deny的错误，第二条命令是让ftp服务器信任我们将要进行一个断点再传的操作，如果没有第二条命令，ftp服务器将以为我们进行的是一个复盖原文件的操作（复盖原文件操作需要另外的权限才可以进行）。 　　 这个问题只是在允许断点再传的FTP服务中存在，但现在90%的FTP服务程序都是允许断点再传的，所以这问题在普遍的FTP服务器都会存在。 　　 防范方法： 　　 如果一定需要给用户上传权限的话，最好的防范方法是每个用户都给他建立一个目录，将那个用户的权限完全锁在这个目录内，那么用户就没有权限可以查看其它用户的目录，也就是说无法造成以上所说的破坏。
发表评论
阅读全文