我的博客：http://www.qi21.cn
策略一：關(guān)閉windows2003不必要的服務(wù)
·Computer Browser 維護網(wǎng)絡(luò )上計算機的最新列表以及提供這個(gè)列表
·Task scheduler 允許程序在指定時(shí)間運行
·Routing and Remote Access 在局域網(wǎng)以及廣域網(wǎng)環(huán)境中為企業(yè)提供路由服務(wù)
·Removable storage 管理可移動(dòng)媒體、驅動(dòng)程序和庫
·Remote Registry Service 允許遠程注冊表操作
·Print Spooler 將文件加載到內存中以便以后打印。
·IPSEC Policy Agent 管理IP安全策略及啟動(dòng)ISAKMP/OakleyIKE)和IP安全驅動(dòng)程序
·Distributed Link Tracking Client 當文件在網(wǎng)絡(luò )域的NTFS卷中移動(dòng)時(shí)發(fā)送通知
·Com+ Event System 提供事件的自動(dòng)發(fā)布到訂閱COM組件
·Alerter 通知選定的用戶(hù)和計算機管理警報
·Error Reporting Service 收集、存儲和向 Microsoft 報告異常應用程序
·Messenger 傳輸客戶(hù)端和服務(wù)器之間的 NET SEND 和 警報器服務(wù)消息
·Telnet 允許遠程用戶(hù)登錄到此計算機并運行程序
策略二：磁盤(pán)權限設置
C盤(pán)只給administrators和system權限，其他的權限不給，其他的盤(pán)也可以這樣設置，這里給的system權限也不一定需要給，只是由于某些第三方應用程序是以服務(wù)形式啟動(dòng)的，需要加上這個(gè)用戶(hù)，否則造成啟動(dòng)不了。
Windows目錄要加上給users的默認權限，否則ASP和ASPX等應用程序就無(wú)法運行。
策略三：禁止 Windows 系統進(jìn)行空連接
在注冊表中找到相應的鍵值HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Control/LSA，將DWORD值RestrictAnonymous的鍵值改為1
策略四：關(guān)閉不需要的端口
本地連接--屬性--Internet協(xié)議(TCP/IP)--高級--選項--TCP/IP篩選--屬性--把勾打上，然后添加你需要的端口即可。(如:3389、21、1433、3306、80)
更改遠程連接端口方法
開(kāi)始-->運行-->輸入regedit
查找3389：
請按以下步驟查找:
1、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp下的PortNumber=3389改為自寶義的端口號
2、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp下的PortNumber=3389改為自寶義的端口號
修改3389為你想要的數字(在十進(jìn)制下)----再點(diǎn)16進(jìn)制(系統會(huì )自動(dòng)轉換)----最后確定!這樣就ok了。
這樣3389端口已經(jīng)修改了，但還要重新啟動(dòng)主機，這樣3389端口才算修改成功!如果不重新啟動(dòng)3389還
是修改不了的!重起后下次就可以用新端口進(jìn)入了!
禁用TCP/IP上的NETBIOS
本地連接--屬性--Internet協(xié)議(TCP/IP)--高級—WINS--禁用TCP/IP上的NETBIOS
策略五：關(guān)閉默認共享的空連接
首先編寫(xiě)如下內容的批處理文件：
@echo off
net share C$ /delete
net share D$ /delete
net share E$ /delete
net share F$ /delete
net share admin$ /delete
以上文件的內容用戶(hù)可以根據自己需要進(jìn)行修改。保存為delshare.bat，存放到系統所在文件夾下的system32\GroupPolicy\User\Scripts\Logon目錄下。然后在開(kāi)始菜單→運行中輸入gpedit.msc，
回車(chē)即可打開(kāi)組策略編輯器。點(diǎn)擊用戶(hù)配置→Windows設置→腳本(登錄/注銷(xiāo))→登錄.
在出現的“登錄 屬性”窗口中單擊“添加”，會(huì )出現“添加腳本”對話(huà)框，在該窗口的“腳本名”欄中輸入delshare.bat，然后單擊“確定”按鈕即可。
重新啟動(dòng)計算機系統，就可以自動(dòng)將系統所有的隱藏共享文件夾全部取消了，這樣就能將系統安全隱患降低到最低限度。
策略五：IIS安全設置
1、不使用默認的Web站點(diǎn)，如果使用也要將IIS目錄與系統磁盤(pán)分開(kāi)。
2、刪除IIS默認創(chuàng )建的Inetpub目錄(在安裝系統的盤(pán)上)。
3、刪除系統盤(pán)下的虛擬目錄，如：_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。
4、刪除不必要的IIS擴展名映射。
右鍵單擊“默認Web站點(diǎn)→屬性→主目錄→配置”，打開(kāi)應用程序窗口，去掉不必要的應用程序映射。主要為.shtml、shtm、stm。
5、更改IIS日志的路徑
右鍵單擊“默認Web站點(diǎn)→屬性-網(wǎng)站-在啟用日志記錄下點(diǎn)擊屬性
策略六：注冊表相關(guān)安全設置
1、隱藏重要文件/目錄
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Current-Version\Explorer\Advanced\Folder\Hidden\SHOWALL”
鼠標右擊 “CheckedValue”，選擇修改，把數值由1改為0。
2、防止SYN洪水攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名為SynAttackProtect，值為2
3、禁止響應ICMP路由通告報文
HKEY_LOCAL_MACHINE\SYSTEM \ CurrentControlSet\ Services\Tcpip\Parameters\Interfaces\interface
新建DWORD值，名為PerformRouterDiscovery 值為0。
4、防止ICMP重定向報文的攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
將EnableICMPRedirects 值設為0
5、不支持IGMP協(xié)議
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名為IGMPLevel 值為0。
策略七：組件安全設置篇
A、 卸載WScript.Shell 和 Shell.application 組件，將下面的代碼保存為一個(gè).BAT文件執行(分2000和2003系統)
windows2000.bat
regsvr32/u C:\WINNT\System32\wshom.ocx
del C:\WINNT\System32\wshom.ocx
regsvr32/u C:\WINNT\system32\shell32.dll
del C:\WINNT\system32\shell32.dll
windows2003.bat
regsvr32/u C:\WINDOWS\System32\wshom.ocx
del C:\WINDOWS\System32\wshom.ocx
regsvr32/u C:\WINDOWS\system32\shell32.dll
del C:\WINDOWS\system32\shell32.dll
B、改名不安全組件，需要注意的是組件的名稱(chēng)和Clsid都要改，并且要改徹底了，不要照抄，要自己改
【開(kāi)始→運行→regedit→回車(chē)】打開(kāi)注冊表編輯器
然后【編輯→查找→填寫(xiě)Shell.application→查找下一個(gè)】
用這個(gè)方法能找到兩個(gè)注冊表項：
{13709620-C279-11CE-A49E-444553540000} 和 Shell.application 。
第一步：為了確保萬(wàn)無(wú)一失，把這兩個(gè)注冊表項導出來(lái)，保存為xxxx.reg 文件。
第二步：比如我們想做這樣的更改
13709620-C279-11CE-A49E-444553540000 改名為 13709620-C279-11CE-A49E-444553540001
Shell.application 改名為 Shell.application_nohack
第三步：那么，就把剛才導出的.reg文件里的內容按上面的對應關(guān)系替換掉，然后把修改好的.reg文件導入到注冊表中(雙擊即可)，導入了改名后的注冊表項之后，別忘記了刪除原有的那兩個(gè)項目。這里需要注意一點(diǎn)，Clsid中只能是十個(gè)數字和ABCDEF六個(gè)字母。
其實(shí)，只要把對應注冊表項導出來(lái)備份，然后直接改鍵名就可以了，
改好的例子
建議自己改
應該可一次成功
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\InProcServer32]
@="C:\\WINNT\\system32\\shell32.dll"
"ThreadingModel"="Apartment"
[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\ProgID]
@="Shell.Application_nohack.1"
[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\TypeLib]
@="{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}"
[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\Version]
@="1.1"
[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\VersionIndependentProgID]
@="Shell.Application_nohack"
[HKEY_CLASSES_ROOT\Shell.Application_nohack]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT\Shell.Application_nohack\CLSID]
@="{13709620-C279-11CE-A49E-444553540001}"
[HKEY_CLASSES_ROOT\Shell.Application_nohack\CurVer]
@="Shell.Application_nohack.1"
評論：
WScript.Shell 和 Shell.application 組件是腳本入侵過(guò)程中，提升權限的重要環(huán)節，這兩個(gè)組件的卸載和修改對應注冊鍵名，可以很大程度的提高虛擬主機的腳本安全性能，一般來(lái)說(shuō)，ASP和php類(lèi)腳本提升權限的功能是無(wú)法實(shí)現了，再加上一些系統服務(wù)、硬盤(pán)訪(fǎng)問(wèn)權限、端口過(guò)濾、本地安全策略的設置，虛擬主機因該說(shuō)，安全性能有非常大的提高，黑客入侵的可能性是非常低了。注銷(xiāo)了Shell組件之后，侵入者運行提升工具的可能性就很小了，但是prel等別的腳本語(yǔ)言也有shell能力，為防萬(wàn)一，還是設置一下為好。下面是另外一種設置，大同小異。
C、禁止使用FileSystemObject組件
FileSystemObject可以對文件進(jìn)行常規操作,可以通過(guò)修改注冊表，將此組件改名，來(lái)防止此類(lèi)木馬的危害。
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\
改名為其它的名字，如：改為 FileSystemObject_ChangeName
自己以后調用的時(shí)候使用這個(gè)就可以正常調用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\CLSID\項目的值
也可以將其刪除，來(lái)防止此類(lèi)木馬的危害。
2000注銷(xiāo)此組件命令：RegSrv32 /u C:\WINNT\SYSTEM\scrrun.dll
2003注銷(xiāo)此組件命令：RegSrv32 /u C:\WINDOWS\SYSTEM\scrrun.dll
如何禁止Guest用戶(hù)使用scrrun.dll來(lái)防止調用此組件?
使用這個(gè)命令：cacls C:\WINNT\system32\scrrun.dll /e /d guests
D、禁止使用WScript.Shell組件
WScript.Shell可以調用系統內核運行DOS基本命令
可以通過(guò)修改注冊表，將此組件改名，來(lái)防止此類(lèi)木馬的危害。
HKEY_CLASSES_ROOT\WScript.Shell\及HKEY_CLASSES_ROOT\WScript.Shell.1\
改名為其它的名字，如：改為WScript.Shell_ChangeName 或 WScript.Shell.1_ChangeName
自己以后調用的時(shí)候使用這個(gè)就可以正常調用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT\WScript.Shell\CLSID\項目的值
HKEY_CLASSES_ROOT\WScript.Shell.1\CLSID\項目的值
也可以將其刪除，來(lái)防止此類(lèi)木馬的危害。
E、禁止使用Shell.Application組件
Shell.Application可以調用系統內核運行DOS基本命令
可以通過(guò)修改注冊表，將此組件改名，來(lái)防止此類(lèi)木馬的危害。
HKEY_CLASSES_ROOT\Shell.Application\及
HKEY_CLASSES_ROOT\Shell.Application.1\
改名為其它的名字，如：改為Shell.Application_ChangeName 或 Shell.Application.1_ChangeName
自己以后調用的時(shí)候使用這個(gè)就可以正常調用此組件了
也要將clsid值也改一下
HKEY_CLASSES_ROOT\Shell.Application\CLSID\項目的值
HKEY_CLASSES_ROOT\Shell.Application\CLSID\項目的值
也可以將其刪除，來(lái)防止此類(lèi)木馬的危害。
禁止Guest用戶(hù)使用shell32.dll來(lái)防止調用此組件。
2000使用命令：cacls C:\WINNT\system32\shell32.dll /e /d guests
2003使用命令：cacls C:\WINDOWS\system32\shell32.dll /e /d guests
注：操作均需要重新啟動(dòng)WEB服務(wù)后才會(huì )生效。
F、調用Cmd.exe
禁用Guests組用戶(hù)調用cmd.exe
2000使用命令：cacls C:\WINNT\system32\Cmd.exe /e /d guests
2003使用命令：cacls C:\WINDOWS\system32\Cmd.exe /e /d guests
通過(guò)以上四步的設置基本可以防范目前比較流行的幾種木馬，但最有效的辦法還是通過(guò)綜合安全設置，將服務(wù)器、程序安全都達到一定標準，才可能將安全等級設置較高，防范更多非法入侵。
希望對大家有幫助!
聯(lián)系客服
