Windows作为Web服务器的安全设置攻略

//  by  redice 
//  2009.9.17
//转自 http://www.redicecn.cn
//  辛勤劳动成果，转载请保留上述信息
一句废话：服务器安全问题是一个令人头痛的问题，也是一个无法回避的问题...

经过实验总计如下：

NTFS权限设置要先设置父目录，再设置子目录，因为设置继承权限时，父目录的权限会覆盖掉子目录权限，“先父后子”。

1 对于IIS。

1)  为每个Web站点新建一个IIS匿名账户，隶属于Guests组，删除其隶属的Users组，并将新建的IIS匿名账户分配给各个站点。

2)  去掉所有盘的Users组、everyone、network  services的NTFS权限，继承权限到子目录，只保留Administrators,CREATEOR  OWNER,SYSTEM。

3)  为了支持ASP及.Net，要做如下设置：

“windows”目录添加Users组，IIS_WPG组“读取和运行，列出文件夹目录，读取”权限，继承权限到子目录；

“Program  Files”目录添加Users组“读取和运行，列出文件夹目录，读取”权限，继承权限到子目录；
     
“windowstemp”目录添加IIS_WPG组，ASP.NET账户，所有IIS匿名账户“修改，读取和运行，列出文件夹目录，读取，写入”权限，继承权限

到子目录。
     
ASP.Net所需的其它权限，我们通过“aspnet_regiis"  ”命令来设置，具体命令格式如下：

C:WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_regiis  -ga  "NT  AUTHORITYNETWORK  SERVICE"

(4)“windows\system32\config  “  ，禁止guests组所有权限；

        “Documents  and  Settings\All  Users\「开始」菜单\程序”，  禁止guests组所有权限；

        “windows\system32\inetsrv\data  “，禁止guests组所有权限；

      “windows\system32”  at.exe、attrib.exe、cacls.exe、net.exe、net1.exe、netstat.exe、regedit.exe  文件，只给 

      Administrators  组和  SYSTEM  的完全控制权限；

        “windows\system32”  cmd.exe、format.com文件，  只给  Administrators  组完全控制权限。
             
5)  在各个站点目录下设置IIS匿名账户“读取，拒绝写入”权限，继承权限到子目录。
      如果是.Net网站，还要设置IIS_WPG组，ASP.NET账户“读取，拒绝写入”权限，继承权限到子目录。
     
6)  在各个站点下的可写目录设置IIS匿名账户“读取和运行，列出文件夹目录，读取，修改，写入”权限，继承权限到子目录。
    如果是.Net网站，还要设置IIS_WPG组，ASP.NET账户“读取和运行，列出文件夹目录，读取，修改，写入”权限，继承权限到子目录。

7)  设置各个站点下的可写目录的脚本执行权限为“无”。

8)  去掉各站点目录的IIS写权限，目录浏览权限。

9)  配置  IIS  元数据库权限：“windows\system32\Inetsrv\MetaBase.xml  “，确认只有  Administrators  组和  SYSTEM拥有对元数据库的完全

控制访问权，删除所有其他文件权限。

10)  关闭WScript.Shell,  Shell.application,  WScript.Network这三个危险而又不常用的系统组件：

        regsvr32  /u  c:\windows\system32\wshom.ocx
        regsvr32  /u  c:\windows\system32\shell32.dll


.NET 网站权限设置非常麻烦，建议尽量不要使用.NET Web程序。

2 对于MSSQL。

1)  给SA用户设置高强度密码。

2)  删除以下危险的扩展存储过程。

删除脚步：

use  master

exec  sp_dropextendedproc  xp_cmdshell

exec  sp_dropextendedproc  xp_enumgroups

exec  sp_dropextendedproc  xp_loginconfig

exec  sp_dropextendedproc  xp_enumerrorlogs

exec  sp_dropextendedproc  xp_getfiledetails

exec  sp_dropextendedproc  Sp_OACreate

exec  sp_dropextendedproc  Sp_OADestroy

exec  sp_dropextendedproc  Sp_OAGetErrorInfo

exec  sp_dropextendedproc  Sp_OAGetProperty

exec  sp_dropextendedproc  Sp_OAMethod

exec  sp_dropextendedproc  Sp_OASetProperty

exec  sp_dropextendedproc  Sp_OAStop

exec  sp_dropextendedproc  xp_regaddmultistring

exec  sp_dropextendedproc  xp_regdeletekey

exec  sp_dropextendedproc  xp_regdeletevalue

exec  sp_dropextendedproc  xp_regenumvalues

exec  sp_dropextendedproc  xp_regremovemultistring

exec  sp_dropextendedproc  xp_regwrite

drop  procedure  sp_makewebtask

exec  sp_dropextendedproc  xp_cmdshell  --  删除此项扩展后,将无法远程连接数据库

exec  sp_dropextendedproc  xp_dirtree    --  删除此项扩展后,将无法新建或附加数据库

exec  sp_dropextendedproc  Xp_regread    --  删除此项扩展后,  还原数据库辅助

exec  sp_dropextendedproc  xp_fixeddrives  --  删除此项扩展后,将无法还原数据库

恢复脚本：

use  master

EXEC  sp_addextendedproc  xp_cmdshell  ,@dllname  =xplog70.dll

EXEC  sp_addextendedproc  xp_enumgroups  ,@dllname  =xplog70.dll

EXEC  sp_addextendedproc  xp_loginconfig  ,@dllname  =xplog70.dll

EXEC  sp_addextendedproc  xp_enumerrorlogs  ,@dllname  =xpstar.dll

EXEC  sp_addextendedproc  xp_getfiledetails  ,@dllname  =xpstar.dll

EXEC  sp_addextendedproc  Sp_OACreate  ,@dllname  =odsole70.dll

EXEC  sp_addextendedproc  Sp_OADestroy  ,@dllname  =odsole70.dll

EXEC  sp_addextendedproc  Sp_OAGetErrorInfo  ,@dllname  =odsole70.dll

EXEC  sp_addextendedproc  Sp_OAGetProperty  ,@dllname  =odsole70.dll

EXEC  sp_addextendedproc  Sp_OAMethod  ,@dllname  =odsole70.dll

EXEC  sp_addextendedproc  Sp_OASetProperty  ,@dllname  =odsole70.dll

EXEC  sp_addextendedproc  Sp_OAStop  ,@dllname  =odsole70.dll

EXEC  sp_addextendedproc  xp_regaddmultistring  ,@dllname  =xpstar.dll

EXEC  sp_addextendedproc  xp_regdeletekey  ,@dllname  =xpstar.dll

EXEC  sp_addextendedproc  xp_regdeletevalue  ,@dllname  =xpstar.dll

EXEC  sp_addextendedproc  xp_regenumvalues  ,@dllname  =xpstar.dll

EXEC  sp_addextendedproc  xp_regremovemultistring  ,@dllname  =xpstar.dll

EXEC  sp_addextendedproc  xp_regwrite  ,@dllname  =xpstar.dll

EXEC  sp_addextendedproc  xp_dirtree  ,@dllname  =xpstar.dll

EXEC  sp_addextendedproc  xp_regread  ,@dllname  =xpstar.dll

EXEC  sp_addextendedproc  xp_fixeddrives  ,@dllname  =xpstar.dll


3 对于Windows远程终端（3389）。

去掉以下位置所有IIS匿名账户的读写权限：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal  Server
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TermService

4 对于radmin。

radmin2.0  去掉以下位置所有IIS匿名账户的读写权限：
HKEY_LOCAL_MACHINE\SYSTEM\RAdmin

radmin1.0  和radmin3.0  去掉以下位置所有IIS匿名账户的读写权限：
HKEY_LOCAL_MACHINE\SOFTWARE\RAdmin

5 对于Serv-U。

修改默认管理端口和密码。

PS： php安装目录也要给user组“读取”权限