最完善最完美的windows server安全权限方案

1、windows 2003系统目前最完善最完美的安全权限方案我在电信局做网管,原来管理过三十多台服务器,从多年积累的经验,写出以下详细的Windows2003服务系统的安全方案,我应用以下方案,安全运行了二年,无黑客有成功入侵的记录,也有黑客入侵成功的在案,但最终还是没有拿到肉鸡的最高管理员身份,只是可以浏览跳转到服务器上所有客户的网站。服务器安全设置>> IIS6.0的安装开始菜单>控制面板>添加或删除程序>添加/删除Windows组件应用程序ASP.NET(可选|启用网络 COM+ 访问(必选|Internet 信息服务(IISInternet 信息服务管理器(

2、必选|公用文件(必选|万维网服务Active Server pages(必选|Internet 数据连接器(可选|WebDAV 发布(可选|万维网服务(必选|在服务器端的包含文件(可选 >> 在”网络连接”里,把不需要的协议和服务都删掉,这里只安装了基本的Internet协议(TCP/IP和Microsoft网络客户端。在高级tcp/ip设置里-"NetBIOS"设置"禁用tcp/IP上的NetBIOS(S"。>>在“本地连接”打开Windows 2003 自带的防火墙,可以屏蔽端口,基本达到一个IPSec的功能,只保留有用的端口

3、,比如远程(3389和 Web(80,Ftp(21,邮件服务器(25,110,https(443,SQL(1433>> IIS (Internet信息服务器管理器 在"主目录"选项设置以下读允许写不允许脚本源访问不允许目录浏览建议关闭记录访问建议关闭索引资源建议关闭执行权限推荐选择“纯脚本”>> 建议使用W3C扩充日志文件格式,每天记录客户IP地址,用户名,服务器端口,方法,URI字根,HTTP 状态,用户代理,而且每天均要审查日志。(最好不要使用缺省的目录,建议更换一个记日志的路径,同时设置日志的访问权限,只允许管理员和system 为Full C

4、ontrol。>> 在IIS6.0 -本地计算机 - 属性- 允许直接编辑配置数据库在IIS中属性->主目录->配置->选项中。>> 在网站把”启用父路径“前面打上勾>> 在IIS中的Web服务扩展中选中Active Server Pages,点击“允许”>> 优化IIS6应用程序池1、取消“在空闲此段时间后关闭工作进程(分钟”2、勾选“回收工作进程(请求数目”3、取消“快速失败保护”>> 解决SERVER 2003不能上传大附件的问题在“服务”里关闭 iis admin service 服务。找到 windowss

5、ystem32inetsrv 下的 metabase.xml 文件。找到 ASPMaxRequestEntityAllowed 把它修改为需要的值(可修改为20M即:20480000存盘,然后重启 iis admin service 服务。>> 解决SERVER 2003无法下载超过4M的附件问题在“服务”里关闭 iis admin service 服务。找到 windowssystem32inetsrv 下的 metabase.xml 文件。找到 AspBufferingLimit 把它修改为需要的值(可修改为20M即:20480000存盘,然后重启 iis admin serv

6、ice 服务。>> 超时问题解决大附件上传容易超时失败的问题在IIS中调大一些脚本超时时间,操作方法是:在IIS的“站点或虚拟目录”的“主目录”下点击“配置”按钮,设置脚本超时时间为:300秒 (注意:不是Session超时时间解决通过WebMail写信时间较长后,按下发信按钮就会回到系统登录界面的问题适当增加会话时间(Session为 60分钟。在IIS站点或虚拟目录属性的“主目录”下点击“配置->选项”,就可以进行设置了(Windows 2003默认为20分钟>> 修改3389远程连接端口HKEY_LOCAL_MACHINESYSTEMCurrentContr

7、olSetControlTerminal ServerWdsrdpwdTdstcp "PortNumber"=dword:0000端口号HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp "PortNumber"=dword:0000端口号设置这两个注册表的权限, 添加“IUSR”的完全拒绝禁止显示端口号>> 本地策略->用户权限分配关闭系统:只有Administrators组、其它全部删除。通过终端服务允许登陆:只加入Adm

8、inistrators,Remote Desktop Users组,其他全部删除>> 在安全设置里本地策略-用户权利分配,通过终端服务拒绝登陆加入ASPNETIUSR_IWAM_NETWORK SERVICE(注意不要添加进user组和administrators组添加进去以后就没有办法远程登陆了>> 在安全设置里本地策略-安全选项网络访问:可匿名访问的共享;网络访问:可匿名访问的命名管道;网络访问:可远程访问的注册表路径;网络访问:可远程访问的注册表路径和子路径;将以上四项全部删除>> 不允许 SAM 账户的匿名枚举更改为"已启用"&g

9、t;> 不允许 SAM 账户和共享的匿名枚举更改为"已启用" ;>> 网络访问: 不允许存储网络身份验证的凭据或 .NET Passports 更改为"已启用" ; >> 网络访问.限制匿名访问命名管道和共享,更改为"已启用" ;将以上四项通通设为“已启用”>> 计算机管理的本地用户和组禁用终端服务(TsInternetUser, SQL服务(SQLDebugger, SUPPORT_388945a0>> 禁用不必要的服务sc config AeLookupSvc start= A

10、UTOsc config Alerter start= DISABLEDsc config ALG start= DISABLEDsc config AppMgmt start= DEMANDsc config aspnet_state start= DEMANDsc config AudioSrv start= DISABLEDsc config BITS start= DEMANDsc config Browser start= DEMANDsc config CiSvc start= DISABLEDsc config ClipSrv start= DISABLEDsc config c

11、lr_optimization_v2.0.50727_32 start= DEMANDsc config COMSysApp start= DEMANDsc config CryptSvc start= AUTOsc config DcomLaunch start= AUTOsc config Dfs start= DEMANDsc config Dhcp start= AUTOsc config dmadmin start= DEMANDsc config dmserver start= AUTOsc config Dnscache start= AUTOsc config ERSvc st

12、art= DISABLEDsc config Eventlog start= AUTOsc config EventSystem start= AUTOsc config helpsvc start= DISABLEDsc config HidServ start= AUTOsc config HTTPFilter start= DEMANDsc config IISADMIN start= AUTOsc config ImapiService start= DISABLEDsc config IsmServ start= DISABLEDsc config kdc start= DISABL

13、EDsc config lanmanworkstation start= DISABLEDsc config LicenseService start= DISABLEDsc config LmHosts start= DISABLEDsc config Messenger start= DISABLEDsc config mnmsrvc start= DISABLEDsc config MSDTC start= AUTOsc config MSIServer start= DEMANDsc config MSSEARCH start= AUTOsc config MSSQLSERVER st

14、art= AUTOsc config MSSQLServerADHelper start= DEMAND sc config NetDDE start= DISABLEDsc config NetDDEdsdm start= DISABLEDsc config Netlogon start= DEMANDsc config Netman start= DEMANDsc config Nla start= DEMANDsc config NtFrs start= DEMANDsc config NtLmSsp start= DEMANDsc config NtmsSvc start= DEMAN

15、Dsc config PlugPlay start= AUTOsc config PolicyAgent start= AUTOsc config ProtectedStorage start= AUTOsc config RasAuto start= DEMANDsc config RasMan start= DEMANDsc config RDSessMgr start= DEMANDsc config RemoteAccess start= DISABLEDsc config RemoteRegistry start= DISABLEDsc config RpcLocator start

16、= DEMANDsc config RpcSs start= AUTOsc config RSoPProv start= DEMANDsc config sacsvr start= DEMANDsc config SamSs start= AUTOsc config SCardSvr start= DEMANDsc config Schedule start= AUTOsc config seclogon start= AUTOsc config SENS start= AUTOsc config SharedAccess start= DISABLEDsc config ShellHWDet

17、ection start= AUTOsc config SMTPSVC start= AUTOsc config Spooler start= DISABLEDsc config SQLSERVERAGENT start= AUTOsc config stisvc start= DISABLEDsc config swprv start= DEMANDsc config SysmonLog start= AUTOsc config TapiSrv start= DEMANDsc config TermService start= AUTOsc config Themes start= DISA

18、BLEDsc config TlntSvr start= DISABLEDsc config TrkSvr start= DISABLEDsc config TrkWks start= AUTOsc config Tssdis start= DISABLEDsc config UMWdf start= DEMANDsc config UPS start= DEMANDsc config vds start= DEMANDsc config VSS start= DEMANDsc config W32Time start= AUTOsc config W3SVC start= AUTOsc co

19、nfig WebClient start= DISABLEDsc config WinHttpAutoProxySvc start= DEMANDsc config winmgmt start= AUTOsc config WmdmPmSN start= DEMANDsc config Wmi start= DEMANDsc config WmiApSrv start= DEMANDsc config wuauserv start= DISABLEDsc config WZCSVC start= DISABLEDsc config xmlprov start= DEMAND>> 删

20、除默认共享echo off : 先列举存在的分区,然后再逐个删除以分区名命名的共享;: 通过修改注册表防止admin$共享在下次开机时重新加载;: IPC$共享需要administritor权限才能成功删除: :title 默认共享删除器color 1fecho.echo -echo.echo 开始删除每个分区下的默认共享.echo.for %a in (C D E F G H I J K L M N O P Q R S T U V W X Y Z do (if exist %a:nul (net share %a$ /delete>nul 2>nul && ech

21、o 成功删除名为 %a$ 的默认共享 | echo 名为 %a$ 的默认共享不存在net share admin$ /delete>nul 2>nul && echo 成功删除名为 admin$ 的默认共享 | echo 名为admin$ 的默认共享不存在echo.echo - stop Server /y>nul 2>nul && echo Server服务已停止.net start Server>nul 2>nul && echo Server服务已启动.echo.echo -echo.ec

22、ho 修改注册表以更改系统默认设置.echo.echo 正在创建注册表文件.echo Windows Registry Editor Version 5.00> c:delshare.reg: 通过注册表禁止Admin$共享,以防重启后再次加载echo HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters>>c:delshare.regecho "AutoShareWks"=dword:00000000>> c:delshare.regecho "

23、;AutoShareServer"=dword:00000000>> c:delshare.reg: 删除IPC$共享,本功能需要administritor权限才能成功删除echo HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa>> c:delshare.regecho "restrictanonymous"=dword:00000001>> c:delshare.regecho 正在导入注册表文件以更改系统默认设置.regedit /s c:delshare.regdel

24、 c:delshare.reg && echo 临时文件已经删除.echo.echo -echo.echo 程序已经成功删除所有的默认共享.echo.echo 按任意键退出.pause>nul>> 打开C:Windows目录搜索以下DOS命令文件NET.EXE,NET1.EXE,CMD.EXE,FTP.EXE,ATTRIB.EXE,CACLS.EXE,AT.EXE,FORMAT.COM,TELNET.EXE,COMMAND.C OM,NETSTAT.EXE,REGEDIT.EXE,ARP.EXE,NBTSTAT.EXE把以上命令文件通通只给Administra

25、tors 和SYSTEM为完全控制权限>> 卸载删除具有CMD命令功能的危险组件WSHOM.OCX对应于WScript.Shell组件HKEY_CLASSES_ROOTWScript.Shell及HKEY_CLASSES_ROOTWScript.Shell.1添加IUSR用户完全拒绝权限Shell32.dll对应于Shell.Application组件HKEY_CLASSES_ROOTShell.Application及HKEY_CLASSES_ROOTShell.Application.1添加IUSR用户完全拒绝权限regsvr32/u C:WindowsSystem32wsho

26、m.ocxregsvr32/u C:WindowsSystem32shell32.dllWSHOM.OCXx和Shell32.dl这两个文件只给Administrator完全权限>>> SQL权限设置1、一个数据库,一个帐号和密码,比如建立了一个数据库,只给PUBLIC和DB_OWNER权限,SA帐号基本是不使用的,因为SA实在是太危险了.2、更改 sa 密码为你都不知道的超长密码,在任何情况下都不要用 sa 这个帐户.3、Web登录时经常出现"超时,请重试"的问题如果安装了 SQL Server 时,一定要启用“服务器网络实用工具”中的“多协议”项。4、

27、将有安全问题的SQL扩展存储过程删除. 将以下代码全部复制到"SQL查询分析器"use masterEXEC sp_dropextendedproc 'xp_cmdshell'EXEC sp_dropextendedproc 'Sp_OACreate'EXEC sp_dropextendedproc 'Sp_OADestroy'EXEC sp_dropextendedproc 'Sp_OAGetErrorInfo'EXEC sp_dropextendedproc 'Sp_OAGetProperty

28、9;EXEC sp_dropextendedproc 'Sp_OAMethod'EXEC sp_dropextendedproc 'Sp_OASetProperty'EXEC sp_dropextendedproc 'Sp_OAStop'EXEC sp_dropextendedproc 'Xp_regaddmultistring'EXEC sp_dropextendedproc 'Xp_regdeletekey'EXEC sp_dropextendedproc 'Xp_regdeletevalue'

29、EXEC sp_dropextendedproc 'Xp_regenumvalues'EXEC sp_dropextendedproc 'Xp_regread'EXEC sp_dropextendedproc 'Xp_regremovemultistring'EXEC sp_dropextendedproc 'Xp_regwrite'drop procedure sp_makewebtask恢复的命令是EXEC sp_addextendedproc 存储过程的名称,dllname ='存储过程的dll'例如:恢复存

30、储过程xp_cmdshellEXEC sp_addextendedproc xp_cmdshell,dllname ='xplog70.dll'注意,恢复时如果xplog70.dll已删除需要copy一个。>> WEB目录权限设置Everyone:顾名思义,所有的用户,这个计算机上的所有用户都属于这个组。最好在C盘以外(如D,E,F.的根目录建立到三级目录,一级目录只给Administrator权限,二级目录给Administrator完全控制权限和Everyone除了完全控制,更改,取得,其它全部打勾的权限和IUSR只有该文件夹的完全拒绝权限,三级目录是每个客户的

31、虚拟主机网站,给Administrator完全控制权限和Everyone除了完全控制,更改,取得,其它全部打勾的权限即可.C盘的目录权限以表格的方式来说明,简单明了。硬盘或文件夹: C:D:E:F:类推主要权限部分:其他权限部分:Administrators 完全控制无如果安装了其他运行环境,比如PHP等,则根据PHP的环境功能要求来设置硬盘权限,一般是安装目录加上users读取运行权限就足够了,比如c:php的话,就在根目录权限继承的情况下加上users读取运行权限,需要写入数据的比如tmp文件夹,则把users的写删权限加上,运行权限不要,然后把虚拟主机用户的读权限拒绝即可。如果是mysq

32、l的话,用一个独立用户运行MYSQL会更安全,下面会有介绍。如果是winwebmail,则最好建立独立的应用程序池和独立IIS用户,然后整个安装目录有winwebmail进程用户的读/运行/写/权限,IIS用户则相同,这个IIS用户就只用在winwebmail的WEB访问中,其他IIS站点切勿使用,安装了winwebmail的服务器硬盘权限设置后面举例该文件夹,子文件夹及文件<不是继承的>CREATOR OWNER 完全控制只有子文件夹及文件<不是继承的>SYSTEM 完全控制该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:InetpubAdmin

33、Scripts主要权限部分:其他权限部分:Administrators 完全控制无该文件夹,子文件夹及文件<不是继承的>SYSTEM 完全控制该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:Inetpubwwwrootaspnet_client主要权限部分:其他权限部分:Administrators 完全控制Users 读取该文件夹,子文件夹及文件该文件夹,子文件夹及文件<不是继承的> <不是继承的>SYSTEM 完全控制该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:Documents and SettingsA

34、ll Users主要权限部分:其他权限部分:Administrators 完全控制Users 读取和运行该文件夹,子文件夹及文件该文件夹,子文件夹及文件<不是继承的> <不是继承的>SYSTEM 完全控制USERS组的权限仅仅限制于读取和运行,绝对不能加上写入权限该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:Documents and SettingsAll UsersApplication Data主要权限部分:其他权限部分:Administrators 完全控制Users 读取和运行该文件夹,子文件夹及文件该文件夹,子文件夹及文件<不是

35、继承的> <不是继承的>CREATOR OWNER 完全控制Users 写入只有子文件夹及文件该文件夹,子文件夹<不是继承的> <不是继承的>SYSTEM 完全控制两个并列权限同用户组需要分开列权限该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:Documents and SettingsAll UsersApplicationDataMicrosoftCryptoRSAMachineKeys主要权限部分:其他权限部分:Administrators 完全控制Everyone 列出文件夹、读取属性、读取扩展属性、创建文件、创建文件夹

36、、写入属性、写入扩展属性、读取权限只有该文件夹Everyone这里只有读写权限,不能加运行和删除权限,仅限该文件夹只有该文件夹<不是继承的> <不是继承的>硬盘或文件夹: C:Documents and SettingsAll UsersApplication DataMicrosoftHTML Help主要权限部分:其他权限部分:Administrators 完全控制Users 读取和运行该文件夹,子文件夹及文件该文件夹,子文件夹及文件<不是继承的> <不是继承的>SYSTEM 完全控制该文件夹,子文件夹及文件<不是继承的>硬盘或文

37、件夹: C:Documents and SettingsAll UsersApplicationDataMicrosoftNetworkDownloader主要权限部分:其他权限部分:Administrators 完全控制无该文件夹,子文件夹及文件<不是继承的>SYSTEM 完全控制该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:Documents and SettingsAll UsersDRM主要权限部分:其他权限部分:这里需要把GUEST用户组和IIS访问用户组全部禁止Everyone的权限比较特殊,默认安装后已经带了主要是要把IIS访问的用户组加上所有

38、权限都禁止Users 读取和运行该文件夹,子文件夹及文件<不是继承的>Guests 拒绝所有该文件夹,子文件夹及文件<不是继承的>Guest 拒绝所有该文件夹,子文件夹及文件<不是继承的>IUSR_XXX或某个虚拟主机用户组拒绝所有该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:Program Files主要权限部分:其他权限部分:Administrators 完全控制IIS_WPG 读取和运行该文件夹,子文件夹及文件该文件夹,子文件夹及文件<不是继承的> <不是继承的>CREATOR OWNER 完全控制IUS

39、R_XXX或某个虚拟主机用户组列出文件夹/读取数据:拒绝只有子文件夹及文件该文件夹,子文件夹及文件<不是继承的> <不是继承的>SYSTEM 完全控制IIS虚拟主机用户组禁止列目录,可有效防止FSO类木马如果安装了aspjepg和aspupload该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:Program FilesCommon FilesMicrosoft Sharedweb server extensions主要权限部分:其他权限部分:Administrators 完全控制无该文件夹,子文件夹及文件<不是继承的>CREATOR

40、OWNER 完全控制只有子文件夹及文件<不是继承的>SYSTEM 完全控制该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: E:Program FilesMicrosoft SQL ServerMSSQL (数据库部分装在E:盘的情况主要权限部分:其他权限部分:Administrators 完全控制无该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:Program FilesOutlook Express主要权限部分:其他权限部分:Administrators 完全控制无该文件夹,子文件夹及文件<不是继承的>CREATOR OWNER

41、 完全控制只有子文件夹及文件<不是继承的>SYSTEM 完全控制该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:Program FilesRadmin (如果装了Radmin远程控制的话主要权限部分:其他权限部分:Administrators 完全控制无对应的c:windowssystem32里面有两个文件r_server.exe和AdmDll.dll要把Users读取运行权限去掉默认权限只要administrators和system全部权限该文件夹,子文件夹及文件<不是继承的>CREATOR OWNER 完全控制只有子文件夹及文件<不是继承

42、的>SYSTEM 完全控制该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:Program FilesWindows Media Player主要权限部分:其他权限部分:Administrators 完全控制无该文件夹,子文件夹及文件<不是继承的>CREATOR OWNER 完全控制只有子文件夹及文件<不是继承的>SYSTEM 完全控制该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:Program FilesWindowsUpdate主要权限部分:其他权限部分:Administrators 完全控制无该文件夹,子文件夹及文

43、件<不是继承的>CREATOR OWNER 完全控制只有子文件夹及文件<不是继承的>SYSTEM 完全控制该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:WINDOWSrepair主要权限部分:其他权限部分:Administrators 完全控制IUSR_XXX或某个虚拟主机用户组列出文件夹/读取数据:拒绝该文件夹,子文件夹及文件该文件夹,子文件夹及文件<不是继承的> <不是继承的>CREATOR OWNER 完全控制虚拟主机用户访问组拒绝读取,有助于保护系统数据这里保护的是系统级数据SAM只有子文件夹及文件<不是继承的>SYSTEM 完全控制该文件夹,子文件夹及文件<不是继承的>硬盘或文件夹: C:WINDOWSMicrosoft.NETFramework版本Temporary ASP.NET Files主要权限部分:其他权限部分:Administrators 完全控制ASP.NET 计算机帐户读取和运行该文件夹,子文件夹及文件该文件夹,子文件夹及文件<继承于C:windows> &l