windows2003 IIS6.0的设置的几点经验

一、系统设置

1、启用asp支持

windows Server 2003 默认安装，是不安装 IIS6的，需要另外安装。安装完 IIS6，还需要单独开启对于 asp 的支持。

第一步，启用asp，进入：

控制面板 -> 管理工具 ->IIS(Internet 服务器)- Web服务扩展 -> Active Server Pages -> 允许，在服务端的包含文件 -> 允许

第二步,启用父路径支持。

IIS-网站－主目录－配置－选项－启用父路径

第三步，权限分配

IIS-网站－（具体站点）－（右键）权限－设置相应的权限（匿名访问的帐号要有读、写、列出的权限，一般情况下此帐号隶属于Guests组）

 

2、解决windows2003最大只能上载200K的限制。

先在服务里关闭IIS admin service服务，找到windows/system32/inesrv/下的metabase.xml,打开，找到aspMaxRequestEntityAllowed 把他修改为需要的值，然后重启IIS admin service服务

a、在web服务扩展 允许 active server pages和在服务器端的包含文件

b、修改各站点的属性------主目录－配置－选项－启用父路径

c、使之可以上传大于 200k的文件(修改成您要的大小就可以了，如在后面补两个0，就允许20m了)

c:/WINDOWS/system32/inetsrv/MetaBase.xml（企业版的windows2003在第592行，默认为 AspMaxRequestEntityAllowed="204800" 即200K将其加两个0，即改为，现在最大就可以上载20M了。aspMaxRequestEntityAllowed="20480000"希望对你有用

 

3、配置匿名身份验证

要配置匿名身份验证，请按以下步骤操作：

a. 单击开始，指向管理工具，然后单击Internet 信息服务 (IIS)。

b. 展开“* 服务器名称”（其中服务器名称 为该服务器的名称），右键单击Web 站点，然后单击属性。

c. 在Web 站点属性 对话框中，单击目录安全性 选项卡。

d. 在“身份验证和访问控制”下，单击编辑。

e. 单击“启用匿名访问”复选框，将其选中。

备注：“用户名”框中的用户帐户只用于通过 windows guests 帐户进行匿名访问。

默认情况下，服务器会创建并使用帐户 IUSR_computername。匿名用户帐户密码仅在 windows 中使用；匿名用户不使用用户名和密码登录。

f. 在“已验证身份的访问”下，单击“集成的 windows 身份验证”复选框，将其选中。

g. 单击确定 两次。

 

4、基本 Web 站点配置

a） 单击开始，指向管理工具，然后单击Internet 信息服务 (IIS)。

b） 展开“* 服务器名称”（其中服务器名称 为该服务器的名称），然后展开Web 站点。

c）右键单击默认 Web 站点，然后单击[属性]。

d） 单击[Web 站点]选项卡。如果您已为计算机分配了多个 IP 地址，则请在IP 地址 框中单击您要指定给此 Web 站点的 IP 地址。

e）单击[性能]选项卡。使用[Web 站点属性] – [性能] 对话框可设置影响内存、带宽使用和 Web 连接数量的属性。

通过配置某个特定站点上的网络带宽，您可以更好地控制该站点的通信量。例如，通过在低优先级的 Web 站点上限制带宽，您可以放宽对他站点的访问量的限制。同样，当您指定到某个 Web 站点的连接数量时，您就可以为其他站点释放资源。设置是站点专用的，应根据网络通信量和使用变化情况进行调整。

单击“限制可用于此 Web 站点的带宽”复选框，将其选中，可配置 IIS 将网络带宽调节到选定的最大带宽量，以千字节每秒 (KB/S) 为单位。

单击Web 服务连接复选框，将其选中，可选择特定数目或者不限定数目的 Web 服务连接。限制连接可使计算机资源能够用于其他进程。

备注：每个浏览 Web 站点的客户机通常都使用大约三个连接。

 

二、安全设置

　　需要对你的服务器做出安全设置控制,用win2003系统来说下具体安全设置如下:

　　1、服务器硬盘权限

　　这里着重谈需要的权限，也就是最终文件夹或硬盘需要的权限，可以防御各种木马入侵，提权攻击，跨站攻击等。本实例经过多次试验，安全性能很好，服务器基本没有被木马威胁的担忧了。

　　硬盘或文件夹: C:/ D:/ E:/ F:/ 类推

　　主要权限部分：

　　Administrators 完全控制 无

　　该文件夹，子文件夹及文件

　　<不是继承的>

　　SYSTEM 完全控制

　　该文件夹，子文件夹及文件

<不是继承的>

IUSR_computername

<Webroot目录>读、写、列出的权限

　　其他权限部分：

如果安装了其他运行环境，比如PHP等，则根据PHP的环境功能要求来设置硬盘权限，一般是安装目录加上users读取运行权限就足够了，比如c:/php的话，就在根目录权限继承的情况下加上users读取运行权限，需要写入数据的比如tmp文件夹，则把users的写删权限加上，运行权限不要，然后把虚拟主机用户的读权限拒绝即可。如果是mysql的话，用一个独立用户运行MYSQL会更安全，下面会有介绍。如果是winwebmail，则最好建立独立的应用程序池和独立IIS用户，然后整个安装目录有users用户的读/运行/写/权限，IIS用户则相同，这个IIS用户就只用在winwebmail的WEB访问中，其他IIS站点切勿使用硬盘设置需要根据你的实际需要来设置权限！

 

　　2、系统服务篇(设置完毕需要重新启动)

　　*除非特殊情况非开不可，下列系统服务要停止并禁用：

a、Alerter

b、Application Layer Gateway Service

c、Background Intelligent Transfer Service

d、Computer Browser

e、Distributed File System

f、Help and Support

g、Messenger

h、NetMeeting Remote Desktop Sharing

i、Print Spooler

j、Remote Registry

k、Task Scheduler

l、TCP/IP NetBIOS Helper

m、Telnet

n、Workstation

以上是windows2003server标准服务当中需要停止的服务，作为IIS网络服务器，以上服务务必要停止，如果需要SSL证书服务，则设置方法不同。如果你装有虚拟主机系统，设置当然也不一样！更详细设置可以根据自己的需要找更详细的参考资料。

　　

　　3、组件安全设置篇 (非常重要！！！)

　　a、卸载WScript.Shell 和 Shell.application 组件，将下面的代码保存为一个.BAT文件执行（分2000和2003系统）

　　win2000

　　regsvr32/u C:/WINNT/System32/wshom.ocx

　　del C:/WINNT/System32/wshom.ocx

　　regsvr32/u C:/WINNT/system32/shell32.dll

　　del C:/WINNT/system32/shell32.dll

　　win2003

　　regsvr32/u C:/WINDOWS/System32/wshom.ocx

　　del C:/WINDOWS/System32/wshom.ocx

　　regsvr32/u C:/WINDOWS/system32/shell32.dll

del C:/WINDOWS/system32/shell32.dll

　　b、改名不安全组件，需要注意的是组件的名称和Clsid都要改，并且要改彻底了，不要照抄，要自己改

　　【开始→运行→regedit→回车】打开注册表编辑器

然后【编辑→查找→填写Shell.application→查找下一个】用这个方法能找到两个注册表项：

　{13709620-C279-11CE-A49E-444553540000} 和 Shell.application 。

　第一步：为了确保万无一失，把这两个注册表项导出来，保存为xxxx.reg 文件。

第二步：比如我们想做这样的更改

13709620-C279-11CE-A49E-444553540000

改名为 13709620-C279-11CE-A49E-444553540001

　　Shell.application 改名为 Shell.application_nohack

　　第三步：那么，就把刚才导出的.reg文件里的内容按上面的对应关系替换掉，然后把修改好的.reg文件导入到注册表中（双击即可），导入了改名后的注册表项之后，别忘记了删除原有的那两个项目。这里需要注意一点，Clsid中只能是十个数字和ABCDEF六个字母。

　　其实，只要把对应注册表项导出来备份，然后直接改键名就可以了。

WScript.Shell 和 Shell.application 组件是脚本入侵过程中，提升权限的重要环节，这两个组件的卸载和修改对应注册键名，可以很大程度的提高虚拟主机的脚本安全性能，一般来说，ASP和php类脚本提升权限的功能是无法实现了，再加上一些系统服务、硬盘访问权限、端口过滤、本地安全策略的设置，虚拟主机因该说，安全性能有非常大的提高，黑客入侵的可能性是非常低了。注销了Shell组件之后，侵入者运行提升工具的可能性就很小了，但是prel等别的脚本语言也有shell能力，为防万一，还是设置一下为好。下面是另外一种设置，大同小异。

c、禁止Guest用户使用WScript.Shell 和 Shell.application来防止调用此组件

cacls C:/WINNT/system32/wshom.ocx  /e /d Guests

cacls C:/WINNT/system32/shell32.dll /e /d Guests

 

　  d、禁止使用FileSystemObject组件

　　FileSystemObject可以对文件进行常规操作,可以通过修改注册表，将此组件改名，来防止此类木马的危害。

　　HKEY_CLASSES_ROOT/Scripting.FileSystemObject/

　　改名为其它的名字，如：改为 FileSystemObject_ChangeName

　　自己以后调用的时候使用这个就可以正常调用此组件了

　　也要将clsid值也改一下

　　HKEY_CLASSES_ROOT/Scripting.FileSystemObject/CLSID/项目的值

　　也可以将其删除，来防止此类木马的危害。

　　2000注销此组件命令：RegSvr32 /u C:/WINNT/SYSTEM/scrrun.dll

　　2003注销此组件命令：RegSvr32 /u C:/WINDOWS/SYSTEM/scrrun.dll

　  禁止Guest用户使用scrrun.dll来防止调用此组件

使用这个命令：cacls C:/WINNT/system32/scrrun.dll /e /d Guests

　  注：操作均需要重新启动WEB服务后才会生效。

　　

　　d、禁用Guests组用户调用cmd.exe

　　

　　2000使用命令：cacls C:/WINNT/system32/cmd.exe /e /d Guests

　　2003使用命令：cacls C:/WINDOWS/system32/cmd.exe /e /d Guests

　　

通过以上的设置基本可以防范目前比较流行的几种木马，但最有效的办法还是通过综合安全设置，将服务器、程序安全都达到一定标准，才可能将安全等级设置较高，防范更多非法入侵。

 

　

　　4、服务器安全和性能配置

把下面文本保存为: windows2000-2003服务器安全和性能注册表自动配置文件.reg 运行即可。

[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer]

　　"NoRecentDocsMenu"=hex:01,00,00,00

　　"NoRecentDocsHistory"=hex:01,00,00,00

　　

 [HKEY_LOCAL_MACHINE/Software/Microsoft/WindowsNT/CurrentVersion/Winlogon]

"DontDisplayLastUserName"="1"

[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Control/Lsa]

　　"restrictanonymous"=dword:00000001

　　

　　[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/lanmanserver/Parameters]

　　"AutoShareServer"=dword:00000000

　　"AutoShareWks"=dword:00000000

　　

　　[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters]

　　"EnableICMPRedirect"=dword:00000000

　　"KeepAliveTime"=dword:000927c0

　　"SynAttackProtect"=dword:00000002

　　"TcpMaxHalfOpen"=dword:000001f4

　　"TcpMaxHalfOpenRetried"=dword:00000190

　　"TcpMaxConnectResponseRetransmissions"=dword:00000001

　　"TcpMaxDataRetransmissions"=dword:00000003

　　"TCPMaxPortsExhausted"=dword:00000005

　　"DisableIPSourceRouting"=dword:00000002

　　"TcpTimedWaitDelay"=dword:0000001e

　　"TcpNumConnections"=dword:00004e20

　　"EnablePMTUDiscovery"=dword:00000000

　　"NoNameReleaseOnDemand"=dword:00000001

　　"EnableDeadGWDetect"=dword:00000000

　　"PerformRouterDiscovery"=dword:00000000

　　"EnableICMPRedirects"=dword:00000000

　　

　　[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/NetBT/Parameters]

　　"BacklogIncrement"=dword:00000005

　　"MaxConnBackLog"=dword:000007d0

　　

　　[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/AFD/Parameters]

　　"EnableDynamicBacklog"=dword:00000001

　　"MinimumDynamicBacklog"=dword:00000014

　　"MaximumDynamicBacklog"=dword:00007530

　　"DynamicBacklogGrowthDelta"=dword:0000000a

功能：可抵御DDOS攻击2-3万包，提高服务器TCP-IP整体安全性能（效果等于软件防火墙，节约了系统资源）

 

　 5、本地安全策略设置

　　安全策略自动更新命令：gpupdate /force (应用组策略自动生效不需重新启动)

　　开始菜单—>管理工具—>本地安全策略

　　a、本地策略——>审核策略

　　审核策略更改成功 失败

　　审核登录事件成功 失败

　　审核对象访问失败

　　审核过程跟踪无审核

　　审核目录服务访问失败

　　审核特权使用失败

　　审核系统事件成功 失败

　　审核账户登录事件成功 失败

审核账户管理 成功 失败

 

　　b、本地策略——>用户权限分配

　　关闭系统：只有Administrators组、其它全部删除。

　　通过终端服务拒绝登陆：加入Guests、User组

　　通过终端服务允许登陆：只加入Administrators组，其他全部删除

　　

　　c、本地策略——>安全选项

　　交互式登陆：不显示上次的用户名               启用

　　网络访问：不允许SAM帐户和共享的匿名枚举     启用

　　网络访问：不允许为网络身份验证储存凭证       启用

　　网络访问：可匿名访问的共享                      全部删除

　　网络访问：可匿名访问的命                        全部删除

　　网络访问：可远程访问的注册表路径                全部删除

　　网络访问：可远程访问的注册表路径和子路径        全部删除

　　帐户：重命名来宾帐户                            重命名一个帐户

帐户：重命名系统管理员帐户                      重命名一个帐户

d、管理账户

账户策略-账户锁定策略，将账户设为“三次登陆无效”，“锁定时间为30分钟”，“复位锁定计数设为30分钟”。

在安全设置-本地策略-安全选项中将“不显示上次的用户名”设为启用

在安全设置-本地策略-用户权利分配中将“从网络访问此计算机”中只保留Internet来宾账户、启动IIS进程账户。如果你使用了Asp.net还要保留Aspnet账户。

创建一个User账户，运行系统，如果要运行特权命令使用Runas命令。

 

 6、配置 IIS 服务：

a、不使用默认的Web站点，如果使用也要将将IIS目录与系统磁盘分开。

b、删除IIS默认创建的Inetpub目录(在安装系统的盘上)。

c、删除系统盘下的虚拟目录，如：_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。

d、删除不必要的IIS扩展名映射。

右键单击“默认Web站点→属性→主目录→配置”，打开应用程序窗口，去掉不必要的应用程序映射。主要为.shtml, .shtm, .stm

e、更改IIS日志的路径

右键单击“默认Web站点→属性-网站-在启用日志记录下点击属性

 

7、配置Sql服务器

a、System Administrators 角色最好不要超过两个

b、如果是在本机最好将身份验证配置为Win登陆

c、不要使用Sa账户，为其配置一个超级复杂的密码

d、隐藏 SQL Server、更改默认的1433端口

右击实例选属性-常规-网络配置中选择TCP/IP协议的属性，选择隐藏 SQL Server 实例，并改原默认的1433端口。

 

8、安装杀毒软件

可以安装360杀毒软件和360安全助手