1.為了打造一個(gè)安全的虛擬主機,在asp+SQL環(huán)境下,我們要做的是封殺ASP webshell.封殺serv-u提權漏洞和SQL注入的威脅
2.默認安裝的win主機上webshell功能十分強大,我們要封殺webshell的哪些功能 也就是不讓webshell查看系統服務(wù)信息,執行cmd命令和略覽文件目錄,我們要實(shí)現的功能是每個(gè)用戶(hù)只能訪(fǎng)問(wèn)自己的目錄,而且可以用FSO等ASP組件,在這里我以海洋木馬和win200為例給大家演示一下.好多資料都是網(wǎng)上收集而來(lái),在這表示感謝.
3.現在我們先設置好win的目錄訪(fǎng)問(wèn)權限 設置所有分區為administrator SYSTEM這兩個(gè)系統用戶(hù)擁有所有權、刪除ERVERYONE
具體*作方式：選擇系統盤(pán)我們這里為C->按右鍵選擇屬性-安全添加一個(gè)administrator和SYSTEM所有權限，刪除ERVERYONE用戶(hù)
我已經(jīng)都設置過(guò)了,就不重復了,設置權限的時(shí)候很慢,具體的看我下面的說(shuō)明吧
4.選擇重置所有子對象的權限并允許傳播可繼承權限
具體*作方式：接第3步->選擇高級->選擇重置所有子對象的權限并允許傳播可繼承權限打鉤選定按應用->提示是否繼續選擇‘是’繼續
如果發(fā)現有提示問(wèn)題就按繼續按鈕繼續
5.設置everyone用戶(hù)可以讀取的目錄（使得可以執行PERL ASP JMAIL）
[設置ASP可以使用]具體*作：進(jìn)入C:\promgram files目錄 把common files目錄，設置everyone可以讀、運行、列目錄
C:\Program Files\Common Files 都是一些系統文件,如果你裝了一些別的組件,比如maill,php等 也按同樣的設置
就是剛才那個(gè)目錄,系統出了毛病,設置權限的時(shí)候十分慢
6.設置取消繼承，功能：為了使用戶(hù)不能越權刪除而ASP可以正常使用
具體*作方式：進(jìn)入winnt\system32\選中所有目錄，除了inetsrv certsrv 兩個(gè)目錄不要選擇（備注：這兩個(gè)是ASP要用的dll)
選擇屬性->安全->高級->權限->把允許來(lái)自父系的繼承取消打鉤->按復制
進(jìn)入winnt目錄->選中所有目錄 除web, temp, tasks, system32 ,offine web pages ,
iis temporay compressed file ,help,download promgram 同上取消繼承->按復制
選擇winnt->設置安全，添加everyone 讀取運行 列出文件目錄 讀取
進(jìn)入winnt->選擇temp屬性設置安全 ,everyone完全控制,再點(diǎn)高級,編輯,把運行權限去掉
動(dòng)畫(huà)斷了,奇怪了
這樣2000目錄權限基本設置完成,2003的目錄設置可以看最下面,我就是這么設置的,沒(méi)出問(wèn)題,有問(wèn)題找我,看來(lái)還沒(méi)設置好,終于好了,累啊
D盤(pán)看不見(jiàn)了吧.
7.剛才動(dòng)畫(huà)斷了,新建一個(gè)用戶(hù)leilei,設置密碼,要設置密碼永不過(guò)期,把他加到guest用戶(hù)組里去,然后在IIS設置他的虛擬站點(diǎn),我這用的是默認站點(diǎn),設置虛擬目錄E:\網(wǎng)站資源\BBSXP 5.12 正式版 ]\bbsxp,再點(diǎn)屬性-目錄安全性-編輯.匿名訪(fǎng)問(wèn)打上勾,然后設置用戶(hù)名和密碼,然后到E:\網(wǎng)站資源\BBSXP 5.12 正式版 ]\bbsxp里設置權限,給leilei訪(fǎng)問(wèn)權.OK,現在告了一段落,leilei這個(gè)用戶(hù)只能訪(fǎng)問(wèn)自己的目錄了刪掉不用的腳本映射.*.htr這是一個(gè)比較厲害的文件，刪掉好了。否則，任何人都可以通過(guò)你的web來(lái)進(jìn)行非法*作，甚至格式化 掉你的硬盤(pán)。 *.hta 刪掉吧。 *.idc 所以刪掉他。 *.printer這個(gè)是打印機文件。去掉他好了 *.htw , *.ida *.idq這些都是索引文件，可以去掉了。 其實(shí)只要有用的保留,比如asp,asa,php,cgi,給保留著(zhù),其它全部刪除就行啦!!!
我們來(lái)看一下網(wǎng)站
怎么樣,FSO正常使用吧
8. 這里有時(shí)候會(huì )遇見(jiàn)ASP不能訪(fǎng)問(wèn),提示The requested resource is in use和The remote procedure call failed and did not execute.
我就遇見(jiàn)了,找了找網(wǎng)上的帖子,有的說(shuō)御載瑞星2005,再同步iwam賬號,同步同步iwam賬號請看
http://www.gamepa.com/Announce/A ... ID=8000&ID=361.有的說(shuō)是asp.net沒(méi)有權限執行,還有的說(shuō)在2003下,添加IIS_WPG 組，并重啟計算機。方正我是同步了一下iwam賬號,然后還是沒(méi)搞定,又瞎鼓搗了半天,準備從裝機器前從起了一下,然后發(fā)現,好了~,如果你 遇見(jiàn)了這個(gè)問(wèn)題,而且沒(méi)搞定的話(huà),可以到我論壇里發(fā)個(gè)帖說(shuō)一下,我和你一起研究,反正我是無(wú)業(yè)游民,電腦前面做了半年了.隨時(shí)都在,急就 端消息我,有聲音提示的.
9.現在我們上個(gè)webshell看看,先看我們剛才設置的目錄權限的效果,效果不錯,現在我們堵上webshell的cmd ,有兩種cmdshell WScript.Shell和Shell.Application,關(guān)于這兩個(gè)組件的基礎知識可以看看這篇文章
http://www.gamepa.com/Announce/A ... dID=8000&ID=395
這里有兩種方法 一種是設置權限把c:\winnt\system32\cmd.exe 的權限設置好,(sorry 我把mdshell WScript.Shell和Shell.Application已經(jīng)刪了,現在注冊上),只能administrator和系統用戶(hù)訪(fǎng)問(wèn)的權限,這個(gè)時(shí)候cmd是不能用了,不過(guò)我們平時(shí)都是上傳一個(gè)cmd在用,看演示看,現在又能用了吧,我在別人的主機上也經(jīng)常遇見(jiàn)這個(gè)現象,不過(guò)我們還是有辦法.再把E:\網(wǎng)站資源\BBSXP 5.12 正式版 ]\bbsxp的運行權限去掉,拒絕訪(fǎng)問(wèn)。 缺少對象,不影響網(wǎng)站使用fso吧,還有一一種就是徹底刪掉WScript.Shell和Shell.application ,命令是regsvr32/u wshom.ocx和regsvr32/u wshext.dll,我們先恢復權限.還是缺少對象吧,兩個(gè)都行,都是實(shí)驗通過(guò)的,我比較喜歡第二種,反正不影響我使用.再去試下網(wǎng)站,沒(méi)有問(wèn)題
10.封殺webshell 查看系統進(jìn)程的功能,對我的電腦點(diǎn)右鍵-管理-服務(wù)應用程序-服務(wù)-workstation,雙擊點(diǎn)停止,禁用.這個(gè)服務(wù)在倒數第二個(gè)
Workstation”——svchost.exe——是用來(lái)管理網(wǎng)絡(luò )，支持聯(lián)網(wǎng)和打印/文件共享的,禁用了也沒(méi)事,參考文章
http://www.gamepa.com/Announce/A ... dID=8000&ID=400
http://www.gamepa.com/Announce/A ... dID=8000&ID=402
http://www.gamepa.com/Announce/A ... dID=8000&ID=403
錯誤: 錯誤源: 這好象是因為刪除wshom.ocx和wshext.dll的原因,不管他,我們繼續,現在是可以看系統進(jìn)程的還有登陸用戶(hù),現在我們禁用服務(wù)去,要從起,進(jìn)程才會(huì )沒(méi)的,算了,我不從起了,反正不會(huì )有問(wèn)題的了,已經(jīng)什么也看不見(jiàn)了
11.封殺serv-u和SQL,這也是抄來(lái)的,因為serv-u和sql都是系統權限,也就是system用戶(hù),我們的目的就是把他倆變成user用戶(hù),讓他倆沒(méi)權限添加administrator的賬號,這里我用serv-u演示,ftp "net user leilei3 leilei3 /add" 成功添加了leilei2賬號,輸入法出問(wèn)題了，估計大家也都知道，serv-u本地提權漏洞，解決方法,先添加一個(gè)user權限的用戶(hù),我這就用leilei３這個(gè)用戶(hù)了,然后對對我的電腦點(diǎn)右鍵-管理-服務(wù)應用程序-服務(wù)-Serv-U FTP 服務(wù)器-登陸-此帳戶(hù),把默認的改掉,現在就可以了,來(lái)我們再試一下serv-u能不能用.無(wú)法啟動(dòng)，暈到,還是權限的問(wèn)題,有人做過(guò)這個(gè)動(dòng)畫(huà),沒(méi)問(wèn)題的.
動(dòng)畫(huà)下載
http://www.gamepa.com/Announce/A ... dID=7890&ID=355
權限設一下就OK了,SQL也是這樣的設置,不過(guò)權限要設置好,因為sql要訪(fǎng)問(wèn)的目錄很多,沒(méi)*作權限就不能用了,建議要改user權限運行SQL的時(shí)候別用我上面講的目錄權限分配方法,而是根據最下面的win2003目錄權限設置做參考,一點(diǎn)一點(diǎn)的改win的目錄權限,或者給user用戶(hù)多點(diǎn)權限,這個(gè)我用不上,也沒(méi)研究,還那句話(huà),如果有哪位朋友需要,我們一起研究
12.經(jīng)過(guò)這樣的設置基本安全了吧,如果高手能提供點(diǎn)意見(jiàn),指出不安全的地方,不勝感激
相關(guān)關(guān)鍵字: 主機
