跳至主要内容

windows2003安全设置

作者： 走尽天涯路

windows2003安全设置


服务:[IIS] [SERV-U] [IMAIL] [SQL SERVER 2000] [PHP] [MYSQL]
　　

1、WINDOWS本地安全策略 端口限制


　　A.对于我们的例子来说.需要开通以下端口
　　外->本地 80
　　外->本地 20
　　外->本地 21
　　外->本地 PASV所用到的一些端口
　　外->本地 25
　　外->本地 110
　　外->本地 3389
　　然后按照具体情况.打开SQL SERVER和MYSQL的端口
　　外->本地 1433
　　外->本地 3306
　　B.接着是开放从内部往外需要开放的端口
　　按照实际情况,如果无需邮件服务,则不要打开以下两条规则
　　本地->外 53 TCP,UDP
　　本地->外 25
　　按照具体情况.如果无需在服务器上访问网页.尽量不要开以下端口
　　本地->外 80
　　C.除了明确允许的一律阻止.这个是安全规则的关键.
　　外->本地 所有协议 阻止
　　

2、用户帐号

　　a.将administrator改名,例子中改为root
　　b.取消所有除管理员root外所有用户属性中的
　　远程控制->启用远程控制 以及
　　终端服务配置文件->允许登陆到终端服务器
　　c.将guest改名为administrator并且修改密码
　　d.除了管理员root,IUSER以及IWAM以及ASPNET用户外.禁用其他一切用户.包括SQL DEBUG以及TERMINAL USER等等

3、目录权限

　　将所有盘符的权限,全部改为只有
　　administrators组 全部权限
　　system 全部权限
　　将C盘的所有子目录和子文件继承C盘的administrator(组或用户)和SYSTEM所有权限的两个权限
　　然后做如下修改:
　　C:Program FilesCommon Files 开放Everyone　默认的读取及运行 列出文件目录 读取三个权限
　　C:WINDOWS 开放Everyone　默认的读取及运行 列出文件目录 读取三个权限
　　C:WINDOWSTemp 开放Everyone 修改,读取及运行,列出文件目录,读取,写入权限
出现msdtc日志问题，运行 msdtc -resetlog 重起

　　

4、IIS

　　在IIS 6下.应用程序扩展内的文件类型对应ISAPI的类型已经去掉了IDQ,PRINT等等危险的脚本类型,
　　在IIS 5下我们需要把除了ASP以及ASA以外所有类型删除.
　　安装URLSCAN
　　在[DenyExtensions]中一般加入以下内容
　　.cer
　　.cdx
　　.mdb
　　.bat
　　.cmd
　　.com
　　.htw
　　.ida
　　.idq
　　.htr
　　.idc
　　.shtm
　　.shtml
　　.stm
　　.printer
　　这样入侵者就无法下载.mdb数据库.这种方法比外面一些在文件头加入特殊字符的方法更加彻底.
　　因为即便文件头加入特殊字符.还是可以通过编码构造出来的

IIS的安全:

　　 1、不使用默认的Web站点，如果使用也要将 将IIS目录与系统磁盘分开。
　　 2、删除IIS默认创建的Inetpub目录(在安装系统的盘上)。
　　 3、删除系统盘下的虚拟目录，如:_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。
　　 4、删除不必要的IIS扩展名映射。
　　 右键单击“默认Web站点→属性→主目录→配置”，打开应用程序窗口，去掉不必要的应用程序映射。主要为.shtml, .shtm, .stm
　　 5、更改IIS日志的路径
　　 右键单击“默认Web站点→属性-网站-在启用日志记录下点击属性
　　 6、如果使用的是2000可以使用iislockdown来保护IIS，在2003运行的IE6.0的版本不需要。

IIS (Internet信息服务器管理器) 在"主目录"选项设置以下：
读 允许
写 不允许
脚本源访问 不允许
目录浏览 建议关闭
记录访问 建议关闭
索引资源 建议关闭
执行权限 推荐选择 “纯脚本”
>> 建议使用W3C扩充日志文件格式，每天记录客户IP地址，用户名，服务器端口，方法，URI字根，HTTP状态，用户代理，而且每天均要审查日志。
(最好不要使用缺省的目录，建议更换一个记日志的路径，同时设置日志的访问权限，只允许管理员和system为Full Control)。

>> 在IIS6.0 -本地计算机 - 属性- 允许直接编辑配置数据库在IIS中 属性->主目录->配置->选项中
>> 在网站把”启用父路径“前面打上勾
>> 在IIS中的Web服务扩展中选中Active Server Pages，点击“允许”
>> 优化IIS6应用程序池
　　 1、取消“在空闲此段时间后关闭工作进程（分钟）”
　　 2、勾选“回收工作进程（请求数目）”
　　 3、取消“快速失败保护”
>> 解决SERVER 2003不能上传大附件的问题
　　 在“服务”里关闭 iis admin service 服务。
　　 找到 windowssystem32inetsrv 下的 metabase.xml 文件。
　　 找到 ASPMaxRequestEntityAllowed 把它修改为需要的值（可修改为20M即：20480000）
　　 存盘，然后重启 iis admin service 服务。
>> 解决SERVER 2003无法下载超过4M的附件问题
　　 在“服务”里关闭 iis admin service 服务。
　　 找到 windowssystem32inetsrv 下的 metabase.xml 文件。
　　 找到 AspBufferingLimit 把它修改为需要的值（可修改为20M即：20480000）
　　 存盘，然后重启 iis admin service 服务。
>> 超时问题
　　 解决大附件上传容易超时失败的问题
　　 在IIS中调大一些脚本超时时间，操作方法是： 在IIS的“站点或虚拟目录”的“主目录”下点击“配置”按钮，
　　 设置脚本超时时间为：300秒 (注意：不是Session超时时间)
　　 解决通过WebMail写信时间较长后，按下发信按钮就会回到系统登录界面的问题
　　 适当增加会话时间(Session)为 60分钟。在IIS站点或虚拟目录属性的“主目录”下点击“配置-->选项”，
　　 就可以进行设置了(Windows 2003默认为20分钟)

　　

5、WEB目录权限

　　作为虚拟主机.会有许多独立客户
　　比较保险的做法就是为每个客户,建立一个windows用户
　　然后在IIS的响应的站点项内把IIS执行的匿名用户.绑定成这个用户
　　并且把他指向的目录权限变更为:
　　administrators 全部权限
　　system 全部权限
　　单独建立的用户(或者IUSER) 选择高级->打开除 完全控制,遍历文件夹/运行程序,取得所有权 3个外的其他权限.
　　如果服务器上站点不多.并且有论坛.我们可以把每个论坛的上传目录去掉此用户的执行权限.只有读写权限.这样入侵者即便绕过论坛文件类型检测上传了webshell也是无法运行的.

6、SQL2000 SERV-U FTP安全设置

　　 SQL安全方面
　　 1、System Administrators 角色最好不要超过两个
　　 2、如果是在本机最好将身份验证配置为Win登陆
　　 3、不要使用Sa账户，为其配置一个超级复杂的密码
　　 4、删除以下的扩展存储过程格式为:
　　 use master
　　 sp_dropextendedproc '扩展存储过程名'
　　 xp_cmdshell:是进入操作系统的最佳捷径，删除
　　 访问注册表的存储过程，删除
　　 Xp_regaddmultistring　　Xp_regdeletekey　　Xp_regdeletevalue　　Xp_regenumvalues
　　 Xp_regread　　　　　 Xp_regwrite　　　 Xp_regremovemultistring
　　 OLE自动存储过程，不需要删除
　　 Sp_OACreate　 　Sp_OADestroy　　　　Sp_OAGetErrorInfo　　Sp_OAGetProperty
　　 Sp_OAMethod　　Sp_OASetProperty　　Sp_OAStop
　　 5、隐藏 SQL Server、更改默认的1433端口
　　 右击实例选属性-常规-网络配置中选择TCP/IP协议的属性，选择隐藏 SQL Server 实例，并改原默认的1433端口
　　
serv-u的几点常规安全需要设置下:
　 　 选中"Block "FTP_bounce"attack and FXP"。什么是FXP呢?通常，当使用FTP协议进行文件传输时，客户端首先向FTP服务器发出一个"PORT"命令，该命令中包含此用户的IP地址和 将被用来进行数据传输的端口号，服务器收到后，利用命令所提供的用户地址信息建立与用户的连接。大多数情况下，上述过程不会出现任何问题，但当客户端是一 名恶意用户时，可能会通过在PORT命令中加入特定的地址信息，使FTP服务器与其它非客户端的机器建立连接。虽然这名恶意用户可能本身无权直接访问某一 特定机器，但是如果FTP服务器有权访问该机器的话，那么恶意用户就可以通过FTP服务器作为中介，仍然能够最终实现与目标服务器的连接。这就是FXP， 也称跨服务器攻击。选中后就可以防止发生此种情况。

7、 修改3389远程连接端口

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcp]
"portNumber"=dword:0000端口号
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp]
"portNumber"=dword:0000端口号
设置这两个注册表的权限, 添加“IUSR”的完全拒绝 禁止显示端口号
修改完3389后记得在防火墙打开修改后的端口

8、本地策略：

>> 本地策略--->用户权限分配
　　 关闭系统：只有Administrators组、其它全部删除。
　　 通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除
>> 在安全设置里 本地策略-用户权利分配，通过终端服务拒绝登陆,加入
ASPNET
IUSR_
IWAM_
NETWORK SERVICE
(注意不要添加进user组和administrators组 添加进去以后就没有办法远程登陆了)

>>本地安全策略->本地策略->审核策略
　　打开以下内容
　　审核策略更改 成功,失败
　　审核系统事件 成功,失败
　　审核帐户登陆事件 成功,失败
　　审核帐户管理 成功,失败
>>开始 > 程序 > 管理工具 > 本地安全策略
账户策略 > 密码策略 > 密码最短使用期限 改成0天[即密码不过期，上面我讲到不会造成IIS密码不同步]
账户策略 > 账户锁定策略 > 账户锁定阈值 5 次 账户锁定时间 10分钟 [个人推荐配置]

>> 在安全设置里 本地策略-安全选项
网络访问:可匿名访问的共享;
网络访问:可匿名访问的命名管道;
网络访问:可远程访问的注册表路径;
网络访问:可远程访问的注册表路径和子路径;
将以上四项全部删除
>> 不允许 SAM 账户的匿名枚举 更改为"已启用"
>> 不允许 SAM 账户和共享的匿名枚举 更改为"已启用" ;
>> 网络访问: 不允许存储网络身份验证的凭据或 .NET Passports 更改为"已启用" ;
>> 网络访问.限制匿名访问命名管道和共享,更改为"已启用" ;
将以上四项通通设为“已启用”
本地策略 > 安全选项
> 清除虚拟内存页面文件 更改为"已启用"
> 不显示上次的用户名 更改为"已启用"
> 不需要按CTRL+ALT+DEL 更改为"已启用"

9、备份

　　使用ntbackup软件.备份系统状态.
　　使用reg.exe 备份系统关键数据
　　如reg export HKLMSOFTWAREODBC e:backupsystemodbc.reg /y
　　来备份系统的ODBC

10、杀毒

　 　这里介绍MCAFEE 8i 中文企业版.因为这个版本对于国内的许多恶意代码和木马都能够及时的更新.比如已经能够检测到海阳顶端2006.而且能够杀除IMAIL等SMTP软件使 用的队列中MIME编码的病毒文件.而很多人喜欢安装诺顿企业版.而诺顿企业版,对于WEBSHELL.基本都是没有反应的.而且无法对于MIME编码的 文件进行杀毒.
　　在MCAFEE中.我们还能够加入规则.阻止在windows目录建立和修改EXE.DLL文件等.我们在软件中加入对WEB目录的杀毒计划.每天执行一次.并且打开实时监控.
　

11、关闭无用的服务

　　我们一般关闭如下服务:

　　Help and Support
　　TCP/IP NetBIOS Helper
　　Computer Browser 维护网络上计算机的最新列表以及提供这个列表
　　Task scheduler 允许程序在指定时间运行
　　Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息
　　Distributed File System: 局域网管理共享文件，不需要禁用
　　Distributed linktracking client:用于局域网更新连接信息，不需要禁用
　　Error reporting service:禁止发送错误报告
　　Microsoft Serch:提供快速的单词搜索，不需要可禁用
　　NT LM Security support provide:telnet服务和Microsoft Serch用的，不需要禁用
　　Print Spooler:如果没有打印机可禁用
　　Remote Registry:禁止远程修改注册表
　　Remote Desktop Help Session Manager:禁止远程协助
　　Workstation 关闭的话远程NET命令列不出用户组
禁用DCOM:
　　 运行中输入 Dcomcnfg.exe。 回车， 单击“控制台根节点”下的“组件服务”。 打开“计算机”子文件夹。
　　 对于本地计算机，请以右键单击“我的电脑”，然后选择“属性”。选择“默认属性”选项卡。
　　 清除“在这台计算机上启用分布式 COM”复选框。
　　 如果服务器不用作域控,我们也可以禁用 Workstation

12、取消危险组件

　　如果服务器不需要FSO
　　regsvr32 /u c:windowssystem32scrrun.dll
　　注销组件
　　使用regedit
　　将/HKEY_CLASSES_ROOT下的
　　WScript.Network
　　WScript.Network.1
　　WScript.Shell
　　WScript.Shell.1
　　Shell.Application
　　Shell.Application.1
　　键值改名或删除
　　将这些键值下CLSID中包含的字串
　　如{72C24DD5-D70A-438B-8A42-98424B88AFB8}
　　到/HKEY_CLASSES_ROOT/CLSID下找到以这些字串命名的键值
　　全部删除
>> 卸载删除具有CMD命令功能的危险组件
WSHOM.OCX对应于WScript.Shell组件
HKEY_CLASSES_ROOTWScript.Shell
及
HKEY_CLASSES_ROOTWScript.Shell.1
添加IUSR用户完全拒绝权限
Shell32.dll对应于Shell.Application组件
HKEY_CLASSES_ROOTShell.Application
及
HKEY_CLASSES_ROOTShell.Application.1
添加IUSR用户完全拒绝权限
regsvr32/u C:WindowsSystem32wshom.ocx
regsvr32/u C:WindowsSystem32shell32.dll
WSHOM.ocx和Shell32.dll这两个文件只给Administrators组完全权限

13、 删除默认共享

@echo off
::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
::
:: 先列举存在的分区，然后再逐个删除以分区名命名的共享；
:: 通过修改注册表防止admin$共享在下次开机时重新加载；
:: IPC$共享需要administritor权限才能成功删除
::
::
::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
title 默认共享删除器
color 1f
echo.
echo ------------------------------------------------------
echo.
echo 开始删除每个分区下的默认共享.
echo.
for %%a in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) do @(
if exist %%a:nul (
net share %%a$ /delete>nul 2>nul && echo 成功删除名为 %%a$ 的默认共享 || echo 名为 %%a$ 的默认共享不存在
)
)
net share admin$ /delete>nul 2>nul && echo 成功删除名为 admin$ 的默认共享 || echo 名为 admin$ 的默认共享不存在
echo.
echo ------------------------------------------------------
echo.
net stop Server /y>nul 2>nul && echo Server服务已停止.
net start Server>nul 2>nul && echo Server服务已启动.
echo.
echo ------------------------------------------------------
echo.
echo 修改注册表以更改系统默认设置.
echo.
echo 正在创建注册表文件.
echo Windows Registry Editor Version 5.00> c:delshare.reg
:: 通过注册表禁止Admin$共享，以防重启后再次加载
echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters]>> c:delshare.reg
echo "AutoShareWks"=dword:00000000>> c:delshare.reg
echo "AutoShareServer"=dword:00000000>> c:delshare.reg
:: 删除IPC$共享，本功能需要administritor权限才能成功删除
echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa]>> c:delshare.reg
echo "restrictanonymous"=dword:00000001>> c:delshare.reg
echo 正在导入注册表文件以更改系统默认设置.
regedit /s c:delshare.reg
del c:delshare.reg && echo 临时文件已经删除.
echo.
echo ------------------------------------------------------
echo.
echo 程序已经成功删除所有的默认共享.
echo.
echo 按任意键退出...
pause>nul

14、命令权限

>> 打开C:Windows目录 搜索以下DOS命令文件
NET.EXE,NET1.EXE,CMD.EXE,FTP.EXE,ATTRIB.EXE,CACLS.EXE,AT.EXE,FORMAT.COM,
TELNET.EXE,COMMAND.COM,NETSTAT.EXE,REGEDIT.EXE,ARP.EXE,NBTSTAT.EXE tftp.exe
把以上命令文件通通只给Administrators 和SYSTEM为完全控制权限

>>> SQL权限设置
1、一个数据库,一个帐号和密码,比如建立了一个数据库，只给PUBLIC和DB_OWNER权限，SA帐号基本是不使用的，因为SA实在是太危险了.
2、更改 sa 密码为你都不知道的超长密码,在任何情况下都不要用 sa 这个帐户.
3、Web登录时经常出现"[超时，请重试]"的问题
　 如果安装了 SQL Server 时，一定要启用“服务器网络实用工具”中的“多协议”项。
4、将有安全问题的SQL扩展存储过程删除. 将以下代码全部复制到"SQL查询分析器"
use master
EXEC sp_dropextendedproc 'xp_cmdshell'
EXEC sp_dropextendedproc 'Sp_OACreate'
EXEC sp_dropextendedproc 'Sp_OADestroy'
EXEC sp_dropextendedproc 'Sp_OAGetErrorInfo'
EXEC sp_dropextendedproc 'Sp_OAGetProperty'
EXEC sp_dropextendedproc 'Sp_OAMethod'
EXEC sp_dropextendedproc 'Sp_OASetProperty'
EXEC sp_dropextendedproc 'Sp_OAStop'
EXEC sp_dropextendedproc 'Xp_regaddmultistring'
EXEC sp_dropextendedproc 'Xp_regdeletekey'
EXEC sp_dropextendedproc 'Xp_regdeletevalue'
EXEC sp_dropextendedproc 'Xp_regenumvalues'
EXEC sp_dropextendedproc 'Xp_regread'
EXEC sp_dropextendedproc 'Xp_regremovemultistring'
EXEC sp_dropextendedproc 'Xp_regwrite'
drop procedure sp_makewebtask
恢复的命令是
EXEC sp_addextendedproc 存储过程的名称,@dllname ='存储过程的dll'
例如：恢复存储过程xp_cmdshell
EXEC sp_addextendedproc xp_cmdshell,@dllname ='xplog70.dll'
注意，恢复时如果xplog70.dll已删除需要copy一个。

windows2003安全设置 http://knol.google.com/k/hi-clin003/windows2003/jtjj0so2jjck/35#view


评论

发表评论

此博客中的热门博文

简单评测4个最好的PDF搜索引擎

作者： 走尽天涯路
借此机会将专业PDF 搜索引擎单独列出，并作简单的评测分析！ 简单评测4个专业PDF搜索引擎 http://mygogou.com/mm-713/ 1、Search pdf 今天刚刚发现的专业级PDF 搜索引擎，也是基于Google，与PDFGeni十分相似，收录有225,000,000 本Ebook，支持中文关键词。界面清爽，没有广告，搜索结果可选择浏览或直接下载，支持iPaper阅读器（不推荐，速度慢！） hx9opyze 4个最好的PDF搜索引擎（简单评测） 网址：http://search-pdf-books.com/ 2、PdfGeni PdfGeni是一个专业的PDF文件搜索引擎，搜索的PDF文件可以直接下载。与Search pdf基于同一数据库，支持中文搜索，搜索结果几乎完全一样。搜索结果一页显示量大，减少分页浏览的繁琐。不过上面都是英文的PDF文档，没有中文PDF 资料。去淘一下吧，应该能找到一些不错的资源：） xcwcfmnt 4个最好的PDF搜索引擎（简单评测） 网址：http://www.pdfgeni.com/ 3、pdf-search 开 始一直和Search pdf 混淆，两者是完全独立的搜索引擎，但功能有的一拼。就功能而言，我倾向于pdf-search，提供专业的PDF文件搜索，支持中文，结果有三种分享方式：下载、浏览、代码，并且提供同一关键词doc文件、ppt文件专业搜索的入口，也就是说输入一次关键词，你可以得到三种文件的专业搜索！但是，最为遗憾的是速度较慢，甚至有打不开的现象。速度可是一个好的搜索引擎不可缺少的基本素质！ v0fyk8ye 4个最好的PDF搜索引擎（简单评测） 网址：http://www.pdf-search-engine.com/ 4、Pdfdatabase Pdfdatabase 是一个不错的专项华搜索引擎，提供免费的PDF及doc文件的搜索服务，尤其是PDF搜索服务更是以大亮点。就数据库而言，与以上两者势均力敌，只是在用户操作性上更为灵活方便！不过，最大的缺陷是不支持中文搜索。 fvmhtxp4 4个最好的PDF搜索引擎（简单评测） 网址：http://pdfdatabase.com/ ------------------ 洛阳生活信息点评网:http://luoyanglife.com/ 洛阳生活信息...
发表评论
阅读全文

网吧何时才走出尴尬局面

作者： 走尽天涯路
2009年9月14号13点34分，正式收到市文化局的通知，限期月底之前所有网吧全部安装上北京通罗时代科技有限公司出的轻松游2009平台软件，逾期没安装的网吧将停业安装。望着通知上面的白纸黑字红章，我怒了，不是因为要我们安装的软件不好，我承认左轮软件出的三层更新速度很快很稳定，他们的安全中心也是没的说，我只是怒我们网吧再次被强迫、被命令了。从有网吧的那天起，我一直没有离开过这个行业，再没有哪一个行业像网吧这样深刻体会到相关部门在管理网吧方面的不合理。但网吧是打不倒的巨人！  　　　　1.网吧的管理  　　　管理网吧的部门有公安，消防，文化，工商，税务，教育，电信。几乎现在所有的执法部门都参与了网吧的管理，但他们只有一个目的，那就是钱，从网吧经营者那里榨取最大的价值，公安卖软件，文化来罚款，消防卖设备，工商让你订他们的书刊，税务要按娱乐的营业税税率20%来纳税，电信收你高额上网费等等，罚款，培训，订书刊，买软件，连灯箱都买，几乎没有他们不卖的，公安卖的软件，网吧没有收到软件就要付钱，报上登过一个专家的说法，要网吧全部用品牌机，不能再使用兼容机，他的理由是：兼容机游戏性太强，真不懂，电脑的游戏在于里面安装什么游戏软件，机器是品牌还是兼容有多少关系，现在在中国想找到一家没有被罚过的网吧太难太难了。　我认识的一个文化部门管理网吧的一般工作人员，他一年当中没有去银行取过他的工资，工资卡交给老婆，一分不要，只回家吃过几次晚饭，每年从网吧经营户那里就有30多万的灰色收入，这些部门管理网吧的工作人员，有几个懂网络懂电脑的，有些人连电脑开机关机都不会，（我亲眼看到一个到网吧检查的工作人员不知从哪里开机），中国太多的外行管内行，他们不懂网络拿什么管网吧？就一句话：罚你没商量　　  　　　　 2.未成年人上网问题  　　第一.未成年人的监护人是谁？是他的家长！不是网吧的经营者，有些家人工作忙，没时间管自己的孩子，有些学校现在教学比过去松，节假日放六七天长假，下午早早就把学生放走。社会在发展，也有很多不良的或是不适合孩子的地方，管不好孩子，不能责怪网吧，孩子在网吧一玩就是一个通宵，家长哪里去了？家庭才是孩子成长的主要场所，家长才是他最好的老师，社会有网吧，很多孩子一样考上清华，北大。总不能因为孩子，把社会上所有不适合未成年人的场所都关掉。让全社会都孩童化...
发表评论
阅读全文

八个出人意料的接吻高招

作者： 走尽天涯路
   你和他，面面相对，心旌摇曳，鼻子慢慢贴近，嘴唇轻轻相触，舔舐、吸吮，享受巧克力般的甜蜜滋味，电流迅速传遍全身上下每个细胞……     雕像吻     让他静静站立一分钟，仿佛一尊你顶礼膜拜的英雄雕像，任由你吻他个死去活来，耳际、双颊、嘴唇、脖子、胸脯……他不动弹，也绝不还"口"。你的热吻将令钢铁硬汉感觉到酥了、软了，最后High了，刹那间幻化为无形。然后转换角色，你当女神，让他狂吻你。     镜吻     精心构造诗意背景，在大镜子前做接吻游戏。别忘了涂上珠光唇彩，使美唇光鲜照人。睁大双眼，从镜子中欣赏每个醉人的细节。先将耳朵贴在他宽阔的胸前，悉心 倾听他的心跳声，然后让他如法做，心跳加剧之时最能感知对方的兴奋度。温柔四射的目光交接，足尖快乐地蜷曲，手指沿着他的唇部外侧自上而下轻轻抚摸，触及 他的下唇时轻拧一下，然后一把拉近他，吸那片性感热唇入你的口。轻拧的微痛感会刺激他更加亢奋。     数数吻     让他在1—20之间选择一个数字，比如6，然后吻他6遍，逗弄任何性感地带。每个吻变换压力、长度和湿度，或轻柔如羽，或湿气蒸腾，或若有若无，或低吟浅 尝，或密密咬合。其间，伴以热情的喘息，深深吸一口气，轻送入他嘴中，同步呼吸，分享你们的生命气息，合二为一，激情如春风荡漾。     猜谜吻     你尖挺的唇尖在他嘴里顽皮游走，轻触每个甜蜜部位，顺着口腔顶伸向喉咙，再向侧面移动，沿着齿龈滑行，潜入舌头底部，然后，让他猜猜你拼写出什么字母，并 约法三章。如果猜错，罚他吻你，想要多长就多长。用这种由你主动出击的吻，探索不曾涉猎的性感角落，恣意的驰骋带来无限的满足，飘飘然入仙境。最后结束 时，你的舌头环绕住他的唇，彻底覆盖，强有力的收势更能让他心神荡漾。     灵魂吻     四目相锁，深情凝视，能坚持多久就多久。火辣辣的目光仿佛一束高能激光，穿透对方灵府最深处，脑中幻想翩翩，想尝试...
发表评论
阅读全文