Windows2003 Server安全配置完整篇

 

1、先关闭不须要的端口

我比较当心，先关了端口。只开了 3389 21 80 1433 有些人一直说什么默认的 3389 不安全，对此我不否定，可是利用的途径也只能一个一个的穷举爆破，你把账号改了密码设置为十五六位，我估计他要破上好几年，哈哈 ! 办法 : 本地链接 -- 属性 --Internet 协议 (TCP/IP)-- 高级 -- 选项 --TCP/IP 筛选 -- 属性 -- 把勾打上 而后添加你须要的端口便可。 PS 一句 : 设置完端口须要从新启动 !

固然你们也能够更改远程链接端口方法 :

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]

"PortNumber"=dword:00002683

保存为 .REG 文件双击便可 ! 更改成 9859 ，固然你们也能够换别的端口， 直接打开以上注册表的地址，把值改成十进制的输入你想要的端口便可 ! 重启生效 !

还有一点，在 2003 系统里，用 TCP/IP 筛选里的端口过滤功能，使用 FTP 服务器的时候，只开放 21 端口，在进行 FTP 传输的时候， FTP 特有的 Port 模式和 Passive 模式，在进行数据传输的时候，须要动态的打开高端口，因此在使用 TCP/IP 过滤的状况下，常常会出现链接上后没法列出目录和数据传输的问题。因此在 2003 系统上增长的 windows 链接防火墙能很好的解决这个问题，因此都不推荐使用网卡的 TCP/IP 过滤功能。所作 FTP 下载的用户看仔细点，表怪俺说俺写文章是垃圾 ... 若是要关闭没必要要的端口，在 [url= file://\\system32\\drivers\\etc\\services]\\system32\\drivers\\etc\\services[/url]中有列表 ，记事本就能够打开的。若是懒惰的话，最简单的方法是启用 WIN2003 的自身带的网络防火墙，并进行端口的改变。功能还能够 !Internet 链接防火墙能够有效地拦截对 Windows 2003 服务器的非法***，防止非法远程主机对服务器的扫描，提升 Windows 2003 服务器的安全性。同时，也能够有效拦截利用操做系统漏洞进行端口***的病毒，如冲击波等蠕虫病毒。若是在用 Windows 2003 构造的虚拟路由器上启用此防火墙功能，可以对整个内部网络起到很好的保护做用。

关于端口的介绍能够访问 : [url]http://bbs.86dm.net/viewthread.php?tid=7&extra=page%3D1[/url]

2、关闭不须要的服务 打开相应的审核策略

我关闭了如下的服务

Computer Browser 维护网络上计算机的最新列表以及提供这个列表

Task scheduler 容许程序在指定时间运行

Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息

Distributed File System: 局域网管理共享文件，不须要禁用

Distributed linktracking client: 用于局域网更新链接信息，不须要禁用

Error reporting service: 禁止发送错误报告

Microsoft Serch: 提供快速的单词搜索，不须要可禁用

NTLMSecuritysupportprovide:telnet 服务和 Microsoft Serch 用的，不须要禁用

PrintSpooler: 若是没有打印机可禁用

Remote Registry: 禁止远程修改注册表

Remote Desktop Help Session Manager: 禁止远程协助

Workstation 关闭的话远程 NET 命令列不出用户组

把没必要要的服务都禁止掉，尽管这些不必定能被***者利用得上，可是按照安全规则和标准上来讲，多余的东西就不必开启，减小一份隐患。

在 " 网络链接 " 里，把不须要的协议和服务都删掉，这里只安装了基本的 Internet 协议 (TCP/IP) ，因为要控制带宽流量服务，额外安装了 Qos 数据包计划程序。在高级 tcp/ip 设置里 --"NetBIOS" 设置 " 禁用 tcp/IP 上的 NetBIOS(S)" 。在高级选项里，使用 "Internet 链接防火墙 " ，这是 windows 2003 自带的防火墙，在 2000 系统里没有的功能，虽然没什么功能，但能够屏蔽端口，这样已经基本达到了一个 IPSec 的功能。

在运行中输入 gpedit.msc 回车，打开组策略编辑器，选择计算机配置 -Windows 设置 - 安全设置 - 审核策略在建立审核项目时须要注意的是若是审核的项目太多，生成的事件也就越多，那么要想发现严重的事件也越难固然若是审核的太少也会影响你发现严重的事件，你须要根据状况在这两者之间作出选择。

推荐的要审核的项目是 :

登陆事件 成功 失败

帐户登陆事件 成功 失败

系统事件 成功 失败

策略更改 成功 失败

对象访问 失败

目录服务访问 失败

特权使用 失败

3、关闭默认共享的空链接

因为比较简单，这里就不详谈了。

4、磁盘权限设置

C 盘只给 administrators 和 system 权限，其余的权限不给，其余的盘也能够这样设置，这里给的 system 权限也不必定须要给，只是因为某些第三方应用程序是以服务形式启动的，须要加上这个用户，不然形成启动不了。

Windows 目录要加上给 users 的默认权限，不然 ASP 和 ASPX 等应用程序就没法运行。之前有朋友单独设置 Instsrv 和 temp 等目录权限，其实没有这个必要的。

另外在 c:/Documents and Settings/ 这里至关重要，后面的目录里的权限根本不会继承从前的设置，若是仅仅只是设置了 C 盘给 administrators 权限，而在 All Users/Application Data 目录下会 出现 everyone 用户有彻底控制权限，这样***这能够跳转到这个目录，写入脚本或只文件，再结合其余漏洞来提高权限 ;

    譬如利用 serv-u 的本地溢出提高权限，或系统遗漏有补丁，数据库的弱点，甚至社会工程学等等 N 多方法，从前不是有牛人发飑说 :" 只要给我一个 webshell ，我就能拿到 system" ，这也的确是有可能的。在用作 web/ftp 服务器的系统里，建议是将这些目录都设置的锁死。其余每一个盘的目录都按照这样设置，没个盘都只给 adinistrators 权限。

另外，还将 :

net.exe NET 命令

cmd.exe CMD 懂电脑的都知道咯 ~

tftp.exe

netstat.exe

regedit.exe

at.exe

attrib.exe

cacls.exe ACL 用户组权限设置，此命令能够在 NTFS 下设置任何文件夹的任何权限 ! 偶***的时候没少用这个 ....(:

format.exe

你们都知道 ASP ***吧，有个 CMD 运行这个的，这些若是均可以在 CMD 下运行 ..55 ，，估计别的没啥， format 下估计就哭料 ~~~(: 这些文件都设置只容许 administrators 访问。

5、防火墙、杀毒软件的安装

关于这个东西的安装其实我也说不来，反正安装什么的都有，建议使用卡巴，卖咖啡。

6、 SQL2000 SERV-U FTP 安全设置

SQL 安全方面

1 、 System Administrators 角色最好不要超过两个

2 、若是是在本机最好将身份验证配置为 Win 登录

3 、不要使用 Sa 帐户，为其配置一个超级复杂的密码

4 、删除如下的扩展存储过程格式为 :

use master

sp_dropextendedproc ' 扩展存储过程名 '

xp_cmdshell: 是进入操做系统的最佳捷径，删除

访问注册表的存储过程，删除

Xp_regaddmultistring 　　 Xp_regdeletekey 　　 Xp_regdeletevalue 　　 Xp_regenumvalues

Xp_regread Xp_regwrite 　　　 Xp_regremovemultistring

OLE 自动存储过程，不须要删除

Sp_OACreate Sp_OADestroy 　　　　 Sp_OAGetErrorInfo 　　 Sp_OAGetProperty

Sp_OAMethod 　　 Sp_OASetProperty 　　 Sp_OAStop

5 、隐藏 SQL Server 、更改默认的 1433 端口

右击实例选属性 - 常规 - 网络配置中选择 TCP/IP 协议的属性，选择隐藏 SQL Server 实例，并改原默认的 1433 端口

serv-u 的几点常规安全须要设置下 :

选中 "Block "FTP_bounce"attack and FXP" 。什么是 FXP 呢 ? 一般，当使用 FTP 协议进行文件传输时，客户端首先向 FTP 服务器发出一个 "PORT" 命令，该命令中包含此用户的 IP 地址和将被用来进行数据传输的端口号，服务器收到后，利用命令所提供的用户地址信息创建与用户的链接。大多数状况下，上述过程不会出现任何问题，但当客户端是一名恶意用户时，可能会经过在 PORT 命令中加入特定的地址信息，使 FTP 服务器与其它非客户端的机器创建链接。虽然这名恶意用户可能自己无权直接访问某一特定机器，可是若是 FTP 服务器有权访问该机器的话，那么恶意用户就能够经过 FTP 服务器做为中介，仍然可以最终实现与目标服务器的链接。这就是 FXP ，也称跨服务器***。选中后就能够防止发生此种状况。

7、 IIS 安全设置

IIS 的安全 :

1 、不使用默认的 Web 站点，若是使用也要将 将 IIS 目录与系统磁盘分开。

2 、删除 IIS 默认建立的 Inetpub 目录 ( 在安装系统的盘上 ) 。

3 、删除系统盘下的虚拟目录，如 :_vti_bin 、 IISSamples 、 Scripts 、 IIShelp 、 IISAdmin 、 IIShelp 、 MSADC 。

4 、删除没必要要的 IIS 扩展名映射。

右键单击 “默认Web 站点→属性→主目录→配置 ”，打开应用程序窗口，去掉没必要要的应用程序映射。主要为.shtml, .shtm, .stm

5 、更改 IIS 日志的路径

右键单击 “默认Web 站点→属性 - 网站 - 在启用日志记录下点击属性

6 、若是使用的是 2000 可使用 iislockdown 来保护 IIS ，在 2003 运行的 IE6.0 的版本不须要。

8、其它

1 、 系统升级、打操做系统补丁，尤为是 IIS 6.0 补丁、 SQL SP3a 补丁，甚至 IE 6.0 补丁也要打。同时及时跟踪最新漏洞补丁 ;

2 、停掉 Guest 账号、并给 guest 加一个异常复杂的密码，把 Administrator 更名或假装 !

3 、隐藏重要文件 / 目录

能够修改注册表实现彻底隐藏 :“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL” ，鼠标右击 “CheckedValue” ，选择修改，把数值由 1 改成 0

4 、启动系统自带的 Internet 链接防火墙，在设置服务选项中勾选 Web 服务器。

5 、防止 SYN 洪水***

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建 DWORD 值，名为 SynAttackProtect ，值为 2

6. 禁止响应 ICMP 路由通告报文

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface

新建 DWORD 值，名为 PerformRouterDiscovery 值为 0

7. 防止 ICMP 重定向报文的***

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

将 EnableICMPRedirects 值设为 0

8. 不支持 IGMP 协议

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建 DWORD 值，名为 IGMPLevel 值为 0

9 、禁用 DCOM:

运行中输入 Dcomcnfg.exe 。 回车， 单击 “控制台根节点”下的“组件服务”。 打开 “计算机”子文件夹。

对于本地计算机，请以右键单击 “个人电脑”，而后选择“属性”。选择“默认属性”选项卡。

清除 “在这台计算机上启用分布式 COM” 复选框。