【原创】Windows服务器高安全配置

2010-11-4 王健宇 service

       随着Linux的普及。不论是安全性与PHP执行速度方面都高于Windows

       习惯了Windows的我用不来Linux,难道就不能做安全了吗?答案是否定的,首先我想说:

       我认为目前Linux的家庭用户比较少,在用户量方面Linux是敌不过Windows的,因为大部分游戏,应用软件等都是基于win平台VB,VC,C#等开发的,而且目前电脑初学者学习的教材方面大部分都是关于Windows的,至少这几年,十几年内微软应该还是win霸主。在Linux挖掘出一个漏洞,能通过利用此漏洞广为传播病毒的计算机感染数量很少,所以Linux的漏洞价值不是很高。而且玩Linux的高手我认为大部分是技术型的,不屑于去追求那些蝇头小利以及炫耀什么,乐于开源以及分享自己最新的研究成果,这个原因也造就了如今Linux的安全性。

       Windows只要安全细节做得好,入侵成功的几率是很低的。好了,废话不多说了,下面进入正文,谈谈我对web服务器安全防护的经验和方案。

 

 

       这个安全防护方案正是我博客网站www.9170.org采用的防护方案,还有更高的防护方案以后再说(我提供一种思路,比如:一个外网IP开放VPNNAT端口转发,然后路由器里面的一台计算机连接VPN,把80端口转发到内网,内网又有一个MySQL内网服务器)

 

方案如下:

系统平台:

      Win2003sp2企业版,打上所有微软发布的安全更新。

主要硬件:Intel双核CPU,512M内存

优化设置:

关闭默认共享$admin,$c,代码如下:

net share c$ /delete

net share admin$ /delete

echo  .. delshare.reg .......

echo Windows Registry Editor Version 5.00> c:\delshare.reg

echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]>> c:\delshare.reg

echo "AutoShareWks"=dword:00000000>> c:\delshare.reg

echo "AutoShareServer"=dword:00000000>> c:\delshare.reg

echo  .. delshare.reg .....

regedit /s c:\delshare.reg

echo  .. delshare.reg ....

del c:\delshare.reg

新建文本文档另存为.bat文件运行.

尽量不安装任何应用软件(如:迅雷,QQ等)安装好杀毒软件以及防火墙。

安装winrar,关闭多余系统服务项(如自带的防火墙,计划任务,打印机等。注意:请根据服务器实际情况来关闭,如果不懂系统后台服务不建议去修改。可以参考http://baike.baidu.com/view/685551.htm

开机自启的注册表键值除输入法外一般都可以删除。

 

系统安全设置

磁盘都使用NTFS格式,如果是FAT32,请转换。命令格式如:convert c:/fs:ntfs(命令默认是C盘,如果是别的分区,请修改盘符)

对根目录的权限值保留administratorsystem完全权限,如图所示:点击查看原图

Web根目录只保留administratorsystem、以及用来启动该webIIS用户完全访问权限。如图所示:

点击查看原图

CMD.EXE,NET.EXE,NET1.EXE,以及回收站目录只保留administratorsystem的完全权限,如图所示:

点击查看原图

删除安装IIS后生成的intepub目录。目录安全权限设置完毕

 

PHP安全设置

由于此文说的是安全,跳过PHP安装步骤。编辑PHP配置文件,用文本编辑器打开php.ini。做如下修改:
        safe_mode = On
        disable_functions = passthru, exec, shell_exec, system, fopen, mkdir, rmdir, chmod, unlink, dir, fopen, fread, fclose, fwrite, file_exists, closedir, is_dir, readdir, opendir, fileperms, copy, unlink, delfile, popen, COM

PHP使用network service这个用户组启动的,所以在PHP的安装目录我们需要给他权限,如图所示:

点击查看原图

至此PHP的安全设置已经完毕。

 

MySQL安全设置

安装好MySQLphpmyadmin后使用root账户登录,修改root为强密码,最好是数字+大写+小写,如果记得住特殊符号也行。然后点权限,添加新用户新建一个用户,创建与用户同名的数据库并授予所有权限,不给予特殊权限。网站连接MySQL的用户就使用这个新建的,千万不要用root!如图所示:

点击查看原图

IIS安全设置

对每个挂在IIS里面的网站设置一下权限,如MDB数据库路径在IIS里设置不能读取,写入等,无执行权限

点击查看原图

上传目录无执行可读取。

点击查看原图

关闭未知的扩展等,最好在每个网站都用一个独立用户启动,可以命名为IIS_***,对应每一个网站根目录的权限,IIS允许匿名访问,这样可以防止别的网站跨目录访问

 

防护CCDDOS攻击

攻击的原理就不说了,搜索引擎搜索一下就知道了,一般的CC攻击都是WEB动态页面发起的,而且会在短时间新建很多TCP端口连接,根据这个特征,我们可以安装一个DDOS防火墙,设置规则,我使用的是冰盾,如图所示是我设置的防护CC攻击规则

点击查看原图

在端口过滤里面可以设置流量

点击查看原图

这样设置完以后就能防止DDOS以及CC攻击。

而且能防止扫描软件扫描WEB页面和暴力破解后台登陆(因为做了连接数过多屏蔽,一般的扫描和破解都是多线程开放很多端口同时进行,工具扫描的连接数过多就自动屏蔽了,增大安全性能)

 

欢迎安全检测我的博客:www.9170.org

对本文有任何建议以及错误指出的欢迎来信至admin@9170.org

DOC文档RAR压缩包下载见附件

标签: 目录安全权限 Windows服务器高安全配置 PHP安全设置 MySQL安全设置 IIS安全设置 防护CC和DDOS攻击

评论:

流水账
2010-11-27 17:37
不错,推荐给我朋友
王健宇
2010-11-27 18:39
@流水账:呵呵
winson
2010-11-11 13:24
嗯,不错,之前我用win2003时就被人攻击过,感觉很郁闷,不过现在服务器改为win2008,安全性方面好像是比较好了些
王健宇
2010-11-11 14:25
@winson:恩,昨天测试了防火墙,又总结了一些新方法对抗DDOS。
神仙
2010-11-09 16:54
顶顶小宇、
王健宇
2010-11-09 17:55
@神仙:谢谢。
Bee²
2010-11-06 21:34
win下rewrite 模块怎么安装呢?
王健宇
2010-11-06 22:36
@Bee²:请看http://www.9170.org/post-265.html,还有不懂的联系我email:admin@9170.org
学夫子
2010-11-06 20:38
这个,我不懂,真是不懂,纯纯地支持键宇,嘿嘿
王健宇
2010-11-06 21:40
@学夫子:呵呵,谢谢夫子
tcksy
2010-11-06 18:12
(⊙o⊙)…,很久以前就想问了,你是不是用自己电脑搭建的主机呀,难道说电脑24小时接入网络状态下开着?
王健宇
2010-11-06 19:14
@tcksy:呵呵,我用服务器搭建的IIS+FTP+VPN+PHP+MYSQL环境。服务器是24小时开着的
seo是什么
2010-11-06 09:47
健宇是技术型人才呀,赞一个!
王健宇
2010-11-06 10:49
@seo是什么:呵呵,谢谢
恒安重工
2010-11-05 08:08
博主的分析很好,学习了很多东西,
服务器安全配置确实是很值得学习的东西,基本上大多数公司都会用到。
王健宇
2010-11-05 09:10
@恒安重工:是的。
jiwanqiang
2010-11-04 22:37
感觉从中学到了不少东西,至少这些东西自己没有进行实战过!加油,网络安全至少目前来说是很火爆的!
王健宇
2010-11-04 23:38
@jiwanqiang:恩,谢谢支持

发表评论:

Powered by emlog sitemap