第四章 服务器系统安全配置

1、 服务器系统安全配置服务器系统安全配置安全服务器角色 Secure Server Rolesn目的：针对具有不同服务器角色的Windows 系统，简化管理员实施安全系统的繁重任务nSSR包含了一些向导程序,用来检查和实施OS,特定应用程序的安全策略（例如：Exchange，IIS）安全服务器角色 SSRn安全服务器角色框架q设置广泛（例如：服务，端口，注册表键值，审计，用户组等）q“角色”众多（例如：域控制器，文件服务器，打印服务器，Web服务器等）q适用范围广泛(例如:Internet连接,DMZ,企业网络,多网卡主机) q可定制n可以增加新的角色,无需编程q可扩展n可以使用VB来开发特定应

2、用的子向导q通过与MBSA的集成,提供了对一些非可配置的选项的分析,例如:漏装补丁程序,NTFS文件系统,口令太简单q既可在本地运行,又可在远程运行q支持Windows 2000 和 .Net Server安全服务器角色 SSR(2)SSR向导程序q用户可以很容易的实施必要的安全设置q基于知识驱动,针对不同的服务器角色和安装环境,最大化安全设置q安全策略数据库以XML方式保存q使用翻译引擎,配置引擎来解释,应用和回撤安全策略Windows服务器安全操作指南n在运行 Windows 的服务器上创建和保持一个安全环境所需的操作n涉及内容q了解安全风险 q运用 Windows 2000 组策略管理安

3、全 q基于角色保护服务器 q修补程序管理q审计与入侵检测 q响应意外事件 q响应意外事件 Windows安全检查列表所有磁盘分区都是NTFS文件系统管理员帐户有一个强口令禁止所有不必要的服务删除或禁止所有不必要的账号关闭所有不必要的共享目录设置访问控制列表设置严格的安全策略安装最新的服务包和补丁程序安装反病毒软件FTP 基本概念基本概念 FTP（File Transfer Protocol）是文件传输协议，服务器中存有大量的共享软件和免费资源，要想从服务器中把文件传送到客户机上或者把客户机上的资源传送至服务器，就必须在两台机器中进行文件传送，此时双方必须要共同遵守一定的规则。FTP就是用来在客

4、户机和服务器之间实现文件传输的标准协议。它使用客户/服务器模式，客户程序把客户的请求告诉服务器，并将服务器发回的结果显示出来。而服务器端执行真正的工作，比如存储、发送文件等。 FTP基本概念基本概念 如果用户要将一个文件从自己的计算机上发送到另一台计算机上，称为是FTP的上载（Upload），而更多的情况是用户从服务器上把文件或资源传送到客户机上，称之为FTP的下载（Download）。在Internet上有一些计算机称为FTP服务器，它存储了许多允许存取的文件，如：文本文件、图像文件、程序文件、声音文件、电影文件等。 两个连接n控制连接在整个会话期间一直保持打开，FTP 客户发出的传送请求通

5、过控制连接发送给服务器端的控制进程，但控制连接不用来传送文件。n实际用于传输文件的是“数据连接”。服务器端的控制进程在接收到 FTP 客户发送来的文件传输请求后就创建“数据传送进程”和“数据连接”，用来连接客户端和服务器端的数据传送进程。n数据传送进程实际完成文件的传送，在传送完毕后关闭“数据传送连接”并结束运行。 FTP 使用的两个 TCP 连接 控制进程FTP 客户端FTP 服务器端因特网TCP 控制连接TCP 数据连接用户界面控制进程数据传送进程数据传送进程n 当客户进程向服务器进程发出建立连接请求时，要寻找连接服务器进程的熟知端口(21)，同时还要告诉服务器进程自己的另一个端口号码，用

6、于建立数据传送连接。n接着，服务器进程用自己传送数据的熟知端口(20)与客户进程所提供的端口号码建立数据传送连接。n由于 FTP 使用了两个不同的端口号，所以数据连接与控制连接不会发生混乱。 两个不同的端口号 配置管理配置管理FTP服务器服务器 在组建Intranet时，如果打算提供文件传输功能，即网络用户可以从特定的服务器上下载文件，或者向该服务器上传数据，此时需要配置支持文件传输的FTP服务器。Microsoft IIS提供了构架FTP服务器的功能，因此在Windows 2000 Server中配置FTP服务器同样需要安装IIS 5.0。设置设置FTP站点站点(1)(1) FTP服务器安装

7、好后，在服务器上有专门的目录供网络客户机用户访问、存储下载文件、接收上传文件，合理设置站点有利于提供安全、方便的服务。 通过“开始”/“程序”/“管理工具”/“Internet服务管理器”，打开“Internet信息服务” 窗口，如图9-1，显示此计算机上已经安装好的Internet服务，而且都已经自动启动运行，其中有一默认FTP站点。 设置设置FTP站点站点(2)(2) 配置FTP服务器管理窗口 设置设置Ftp站点站点(3)(3)1. 设置IIS默认的FTP站点 建立FTP站点最快的方法，就是直接利用IIS默认建立的FTP站点。把可供下载的相关文件，分门别类地放在该站点默认FTP根目录Int

8、erPubftproot下。当然如果在安装时将FTP的发行目录设置成其他的目录，需要将这些文件放到所设置的目录中。设置设置Ftp站点站点(4)(4) 例如我们直接使用IIS默认建立的FTP站点，将可供下载的文件直接放在默认根目录InterPubftproot下，完成这些操作后，打开本机或客户机浏览器，在地址栏中输入FTP服务器的 IP地址（9）或主机的FQDN名字（前提是DNS服务器中有该主机的记录），就会以匿名的方式登录到FTP服务器，根据权限的设置就可以进行文件的上传和下载了。 设置设置Ftp站点站点(5)(5)2. 添加及删除站点 IIS允许在同一部计算机上同时构架

9、多个FTP站点，但前提是本地计算机具有多个IP地址。添加站点时，先在树状目录选取计算机名称，再执行菜单“操作”/“新建”/“FTP站点”，便会运行FTP安装向导，向导会要求输入新站点的IP地址、TCP端口、存放文件的主目录路径（即站点的根目录），以及设置访问权限。除了主目录路径一定要指定外，其余设置可保持默认设置。 删除FTP站点，先选取要删除的站点，再执行“删除”命令即可。一个站点若被删除，只是该站点的设置被删除，而该站点下的文件还是存放在原先的目录，并不会被删除。 Ftp站点的管理站点的管理(1)(1) Ftp站点建立好之后，可以通过“Microsoft 管理控制台”进一步来管理及设置Ft

10、p站点，站点管理工作既可以在本地进行，也可以远程管理。 1. 本地管理 通过“开始”/“程序”/“管理工具”/“Internet服务管理器”，打开如图9-1的“Internet信息服务” 窗口，在要管理的FTP站点上单击鼠标右键，选择“属性”命令，出现如图9-2所示对话框。 Ftp站点的管理站点的管理(2)(2)图9-2 FTP站点属性设置对话框 Ftp站点的管理站点的管理(3)(3)（1）“FTP站点”属性页 IP地址：设置此站点的IP地址，即本服务器的IP地址。如果服务器设置了两个以上的IP站点，可以任选一个。FTP站点可以与Web站点共用IP地址以及DNS名称，但不能设置使用相同的TCP

11、端口。 TCP端口：FTP服务器默认使用TCP协议的21端口，若更改此端口，则用户在连接到此站点时，必须输入站点所使用端口，例如使用命令ftp :8021，表示连接FTP服务器的TCP端口为8021。连接限制到、连接超时、启动日志等设置参见WWW服务器配置。 Ftp站点的管理站点的管理(4)(4)（2）“安全账号”属性页选择“安全账号”标签，出现如图所示对话框。 图 FTP站点“安全账号”属性设置 Ftp站点的管理站点的管理(5)(5)允许匿名连接：FTP站点一般都设置为允许用户匿名登录，除非想限制只允许NT用户登录使用。在安装时系统自动建立一个默认匿名用户账号：“I

12、USR_COMPUTERNAME”。注意用户在客户机登录FTP服务器的匿名用户名为“anonymous”，并不是上边给出的名字。 只允许匿名连接：选择此项，表示用户不能用私人的账号登录。只能用匿名来登录FTP站点，可以用来防止具有管理权限的账号通过FTP访问或更改文件。FTP站点操作员：设置拥有管理此FTP站点的权限的域用户，默认是只有Administrators组的成员才能管理FTP站点。作为该组的成员，可以利用添加及删除按钮，针对每个站点来设置操作员。Ftp站点的管理站点的管理(6)(6)（3）“信息”属性页 在此选项中，可以设置一些类似站点公告的信息，比如用户登录后显示的欢迎信息。（4）

13、“主目录”属性页 该属性页设置供网络用户下载文件的站点是来自于本地计算机，还是来自于其他计算机共享的文件夹。 选择此计算机上的目录，还需指定FTP站点目录，即站点的根目录所在的路径。选择另一计算机上的共享位置，需指定来自于其他计算机的目录，按“连接为”按钮设置一个有权访问该目录的Windows 域用户账号。 Ftp站点的管理站点的管理(7)(7)对于站点的访问权限可进行几种复选设置。v“读取”：即用户拥有读取或下载此站点下的文件或目录的权限；v“写入”：即允许用户将文件上载至此FTP站点目录中；v“日志访问”：如果此FTP站点已经启用了日志访问功能，选择此项，则用户访问此站点文件的行为就会以记

14、录的形式被记载到日志文件中。 Ftp站点的管理站点的管理(8)(8)（5）“目录安全性” 属性页 设定客户访问FTP站点的范围，其方式为：授权访问和拒绝访问。 授权访问：授权访问：开放访问此站点的权限给所有用户，并可以在“下列地址例外”列表中加入不受欢迎的用户IP地址。 拒绝访问：拒绝访问：不开放访问此站点的权限，默认所有人不能访问该FTP站点，在“下列地址例外”列表中加入允许访问站点的用户IP地址，使它们具有访问权限。 Ftp站点的管理站点的管理(9)(9) 利用“添加”、“删除”或“编辑”按钮来增加、删除或更改“下列计算机例外”列表中的内容，可选择“单机”模式，即直接输入IP地址，或者单击

15、“DNS查找”按钮，输入域名称，让DNS服务器找出对应的IP地址。选择“一组计算机”，在网络标识栏中输入这些计算机的网络标识，在子网掩码中输入这一组计算机所属子网的子网掩码，即确定用户输入某一逻辑网段。 Ftp站点的管理站点的管理(10)(10)2. 远程管理 FTP服务器可利用Internet服务管理器远程管理其他计算机上的FTP站点或通过浏览器启动Internet服务管理器（HTML）来做远程管理。Web站点也可以使用这种方法管理。 测试测试FTPFTP服务器服务器(11)(11) 为了测试FTP服务器是否正常工作，可选择一台客户机登录FTP服务器进行测试，首先保证FTP服务器的FTP发布

16、目录下存放有文件，可供下载，在这里我们选择使用Web浏览器作为FTP客户程序。 测试测试FTPFTP服务器服务器(12)(12) 可以使用Internet Explorer（IE）连接到FTP站点。输入协议以及域名，例如ftp:/zyj/ 双击如图所示的“Book1.xls”文件，就可以打开该文件。鼠标右键单击文件名，然后选“复制到文件夹”彩旦，弹出如图所示对话框，选择文件保存的路径，确定就可以将文件下载到本地指定文件夹内。 测试测试FTPFTP服务器服务器(13) (13) 使用IE浏览器测试FTP站点 测试测试FTPFTP服务器服务器(14)(14)设置保存目录对话框 Web定义n一、超文

17、本（hypertext） 一种全局性的信息结构，它将文档中的不同部分通过关键字建立链接，使信息得以用交互方式搜索。它是超级文本的简称。 n二、超媒体（hypermedia） 超媒体是超文本（hypertext）和多媒体在信息浏览环境下的结合。它是超级媒体的简称。用户不仅能从一个文本跳到另一个文本，而且可以激活一段声音，显示一个图形，甚至可以播放一段动画。nInternet采用超文本和超媒体的信息组织方式，将信息的链接扩展到整个Internet上。Web就是一种超文本信息系统，Web的一个主要的概念就是超文本连接，它使得文本不再象一本书一样是固定的线性的。而是可以从一个位置跳到另外的位置。你可以

18、从中获取更多的信息。可以转到别的主题上。想要了解某一个主题的内容只要在这个主题上点一下，就可以跳转到包含这一主题的文档上。正是这种多连接性我们才把它称为Web。 Web特征n一、Web是图形化的和易于导航的（navigate） Web 非常流行的一个很重要的原因就在于它可以在一页上同时显示色彩丰富的图形和文本的性能。在Web之前Internet上的信息只有文本形式。Web可以提供将图形、音频、视频信息集合于一体的特性。同时，Web是非常易于导航的，只需要从一个连接跳到另一个连接，就可以在各页各站点之间进行浏览了。 n二、Web与平台无关 无论系统平台是什么，都可以通过Internet访问WWW

19、。浏览WWW对系统平台没有什么限制。无论从Windows平台、UNIX平台、Macintosh还是别的什么平台我们都可以访问WWW。对WWW的访问是通过一种叫做浏览器（browser）的软件实现的。如Netscape 的Navigator、NCSA的Mosaic、Microsoft的Explorer等。 n三、Web是分布式的 大量的图形、音频和视频信息会占用相当大的磁盘空间，甚至无法预知信息的多少。对于Web没有必要把所有信息都放在一起，信息可以放在不同的站点上。只需要在浏览器中指明这个站点就可以了。使在物理上并不一定在一个站点的信息在逻辑上一体化，从用户来看这些信息是一体的。 n四、Web

20、 是动态的 最后，由于各Web站点的信息包含站点本身的信息，信息的提供者可以经常对站上的信息进行更新。如某个协议的发展状况，公司的广告等等。一般各信息站点都尽量保证信息的时间性。所以Web站点上的信息是动态的。经常更新的。这一点是由信息的提供者保证的。 Web动态的特性还表现在Web是交互的。nWeb的交互性首先表现在它的超连接上，用户的浏览顺序和所到站点完全由他自己决定。另外通过FORM的形式可以从服务器方获得动态的信息。用户通过填写FORM可以向服务器提交请求，服务器可以根据用户的请求返回相应信息。Web安全问题n包含三个方面：n1、网络安全。如防火墙、路由器、网络结构等相关的安全问题；

21、n2、系统与服务安全。如Window/Linux/Unix系统本身的漏洞或运行于其上的服务的安全，象Apache/OpenSSL/Weblogic等本身的安全性漏洞； n3、Web应用程序安全。具体应用程序的安全性漏洞，比如：某网站邮件系统因为存在脚本安全性问题，导致该邮件系统的用户在收到具有恶意代码的邮件时不知不觉的，其密码与帐号信息被人窃取。 n据权威搜索引擎公司统计数据显示，目前70%以上的网站，或多或少的存在安全隐患，这里的安全隐患指的就是Web应用程序的安全。至于网络、系统与服务的安全性问题，它的生存周期基本上是：发现-上报软件开发商-打补丁-下载更新程序。作为普通用户，及时的给系统

22、与服务打上最新的补丁，配合一定的防火墙安全策略，是可以基本保证其安全的。n但是Web应用程序基本上是每个组织各持一套自己的程序，一切问题都必需自己动手去解决，恰恰因为此种特性，才导致目前运行于互联网上的Web应用的安全性普遍存在。 2007十大十大Web安全漏洞安全漏洞n利用网页及利用网页及cookies写作漏洞的跨站脚本攻击写作漏洞的跨站脚本攻击(XSS)n隐码攻击隐码攻击(Injection Flaw，包括，包括SQL Injection及及Command Injection) nWeb应用程序引入外部恶意程序的恶意文件执行攻击应用程序引入外部恶意程序的恶意文件执行攻击(Malicious

23、 File Execution)n应用程序可任意访问文件的应用程序可任意访问文件的Insecure Direct Object Reference、n让合法使用者执行恶意程序指令却可能被允许的让合法使用者执行恶意程序指令却可能被允许的Cross-Site Request Forgery(CSRF)、n错误信息泄露机密数据的错误信息泄露机密数据的Information Leakage and Improper Error Handling、n身份验证功能缺陷的身份验证功能缺陷的Broken Authentication and Session Management、n敏感数据加密不安全或无加密的

24、敏感数据加密不安全或无加密的Insecure Cryptographic Storage、n传输数据未加密传输数据未加密Insecure Communication，n因无权限控制导致可直接存取数据的因无权限控制导致可直接存取数据的Failure to Restrict URL Access 增强Web安全n一般来说，提供数据库应用服务的Web站点主要由操作系统服务器、数据库服务器和Web服务器三项构成，由此，对Web站点的安全设置就可以从这三方面入手。基于不同的环境配置的Web解决方案，其安全考虑各有侧重，但基本的原则是大致相同的。 nWEB软件最常碰到的BUG为：1、SQL INJETIO

25、N2、对文件操作相关的模块的漏洞3、COOKIES的欺骗4、本地提交的漏洞SQL INJETION的测试方法 n如有一新闻管理系统用文件news.asp，再用参数读取数据库里的新闻如http:/ 这一类网站程序如果直接用rs.open “select * from news where id=” &cstr(request(“id”),conn,1,1 数据库进行查询的话即上面的URL所读取的文章是这样读取的select * from news where id=1这条语言的意思是在news读取id为1的文章内容。但是在SQL SERVER里select是支持子查询和多句执行的。如果这

26、样URL http:/ and 1=(select count(*) from admin where left(name,1)=a)SQL语句就变成了select * news where id=1 and 1=(select count(*)from admin where left(name,1)=a)意思是admin表里如果存在字段字为name里左边第一个字符是a的就查询news表里id为1的内容，news表里id为1是有内容的,从逻辑上的角度来说就是1&P。只要P为真，表达式就为真，页面会返回一个正确的页面。如果为假页面就会报错或者会提示该id的文章不存在。n黑客利用这点就可

27、以慢慢的试用后台管理员的用户和密码。 n检测：检测存不存在SQL INJETION很简单。n如果参数为整数型的就在URL上分别提交http:/ and I=1和http:/ and I=2如果第一次返回正确内容，第二次返回不同页面或者不同内容的话表明news.asp文件存在SQL INJETION 对文件操作相关的模块的漏洞n原理：如一上传文件功能的程序upload.asp。如果程序员只注重其功能上的需求没有考虑到用户不按常规操作的问题。如上传一个网页木马程序上去，整个网站甚至整个服务器的架构和源码都暴露而且还有一定的权限 COOKIES的欺骗n原理：COOKIES是WEB程序的重要部分，CO

28、OKIES有利有弊。利在于不太占用服务器的资源，弊在于放在客户端非常容易被人修改加以利用。所以一般论坛前台登陆用COOKIES后台是用SESSION，因为前台登陆比较频繁，用SESSION效率很低。但如果论坛程序管理员用户在前台也有一定的权限，如果对COOKIES验证不严的话，严重影响了WEB程序的正常工作。n如某LEADBBS，只有后台对COOKIES验证严格，前台的位置只是从COOKIES读取用户的ID，对用户是否合法根本没有验证。 WEB安全措施n在防治网络病毒方面，在http传输中HTML文件是一般不会存在感染病毒的危险。危险在于下载可执行软件如：.zip .exe .arj .Z 等

29、文件过程中应特别加以注意，都有潜伏病毒的可能性。 nWEB 服务器上的漏洞可以从以下几方面考虑：（1）在web服务器上你不让人访问的秘密文件、目录或重要数据。（2）从远程用户向服务器发送信息时，特别是信用卡之类东西时，中途遭不法分子非法拦截。（3） web服务器本身存在的一些漏洞，使得一些人能侵入到主机系统破坏一些重要的数据，甚至造成 系统瘫痪。（4）CGI安全方面的漏洞有：1有意或无意在主机系统中遗漏(bugs)给非法黑客创造条件。2用 CGI脚本编写的程序当涉及到远程用户从浏览器中输入表格(form) 并进行象检索(Search index)或form-mail之类在主机上直接操作命令时，

30、或许会给web主机系统造成危险。因此，从CGI角度考虑WEB的安全性，主要是在编制程序时，应详细考虑到安全因素。尽量避免CGI程序中存在漏洞。 n管理WEB服务器1)禁止乱用从其他网中下载的一些工具软件，并在没有详细了解之前尽量不要用root身份注册执行。以防止某些程序员在程序中设下的陷井，如：程序中加上一两行 rm -rf /或mail username /etc/passwd 之类情况发生。2)在选用 web服务器时，应考虑到不同服务器对安全的要求不一样。一些简单的 web服务器就没有考虑到一些安全的因素，不能把他用作商业应用。只作一些个人的网点。3)在利用WEB中的.htpass来管理和

31、校验用户口令时，存在校验的口令和用户名不受次数限制。web服务器安全预防措施n1限制在web服务器开帐户，定期删除一些断进程的用户。2对在web服务器上开的帐户，在口令长度及定期更改方面作出要求，防止被盗用。3尽量使ftp, mail等服务器与之分开，去掉ftp,sendmail,tftp,NIS, NFS，finger,netstat等一些无关的应用。4在web服务器上去掉一些绝对不用的shell等之类解释器，即当在你的 cgi的程序中没用到perl时，就尽量把perl在系统解释器中删除掉。5定期查看服务器中的日志logs文件，分析一切可疑事件。在errorlog 中出现rm, login,

32、 /bin/perl, /bin/sh 等之类记录时，你的服务器可能有受到一些非法用户的入侵的尝试。6设置好web服务器上系统文件的权限和属性，对可让人访问的文档分配一个公用的组如：www，并只分配它只读的权利。把所有的HTML文件归属WWW组，由WEB管理员管理WWW组。对于WEB的配置文件仅对WEB管理员有写的权利。7有些WEB服务器把WEB的文档目录与FTP目录指在同一目录时，应该注意不要把FTP的目录与CGI-BIN指定在一个目录之下。这样是为了防止一些用户通过 FTP上在一些尤如PERL或SH之类程序并用WEB的CGI-BIN去执行造成不良后果。n当一个网络接上Internet之后，

33、系统的安全除了考虑计算机病毒、系统的健壮性之外，更主要的是防止非法用户的入侵。而目前防止的措施主要是靠防火墙的技术完成。防火墙(firewall)是指一个由软件或和硬件设备组合而成，处于企业或网络群体计算机与外界通道(Internet)之间，限制外界用户对内部网络访问及管理内部用户访问外界网络的权限WEB2.0nWeb1.0的主要特点在于用户通过浏览器获取信息，Web2.0则更注重用户的交互作用，用户既是网站内容的消费者（浏览者），也是网站内容的制造者nWeb2.0是以 Flickr、Craigslist、Linkedin、Tribes、Ryze、Friendster、Del.icio.us、

34、43T等网站为代表，以Blog、TAG、SNS、RSS、wiki等社会软件的应用为核心，依据六度分隔、xml、ajax等新理论和技术实现的互联网新一代模式。”n国内典型的Web2.0网站主要包括一些以博客和社会网络应用为主的网站，尤其以博客网站发展最为迅速，影响力也更大，例如博客网（）、DoNews IT社区（）、百度贴吧 （）、新浪博客 （）等浏览器的结构与远地服务器通信输出至显示器从鼠标和键盘输入网 络 接 口可选客户程序HTML解释程序可选解释程序控 制 程 序驱动程序HTTP 客户程序缓 存浏览器的主要组成部分 n浏览器有一组客户、一组解释程序，以及管理这些客户和解释程序的控制程序。n

35、控制程序是其中的核心部件，它解释鼠标的点击和键盘的输入，并调用有关的组件来执行用户指定的操作。n例如，当用户用鼠标点击一个超链的起点时，控制程序就调用一个客户从所需文档所在的远地服务器上取回该文档，并调用解释程序向用户显示该文档。 浏览器中的缓存 n浏览器将它取回的每一个页面副本都放入本地磁盘的缓存中。n当用户用鼠标点击某个选项时，浏览器首先检查磁盘的缓存。若缓存中保存了该项，浏览器就直接从缓存中得到该项副本而不必从网络获取，这样就明显地改善浏览器的运行特性。 。n但缓存要占用磁盘大量的空间，而浏览器性能的改善只有在用户再次查看缓存中的页面时才有帮助。n许多浏览器允许用户调整缓存策略。 响应程序HTTP 响应报文程序活动文档在客户端创建 万维网服务器浏览器 程序万维网客户服务器 程序HTTPHTTP 请求报文 请求文档程序事先被编译成二进制代码，存放为文件程序 此程序在客户端创建出活动文档文档浏览器的安全性nCookies 及安全设置n万维网站点使用 Cookie 来跟踪用户。nCookie 表示在 HTTP 服务器和客户之间传递的状态信息。n使用 Cookie 的网站服务器为用户产生一个唯一的识别码。利用此识别码，网站就能够跟踪该用户在该网站的活