Web 服務(wù)器位于宿主基礎結構的前端。它直接連接到 Internet，負責接收來(lái)自客戶(hù)端的請求、創(chuàng )建動(dòng)態(tài) Web 頁(yè)并對請求的數據作出響應。
安全的 Web 服務(wù)器可為宿主環(huán)境提供可靠的基礎，其配置在 Web 應用程序的整體安全方面起重要作用。但是，如何確保 Web 服務(wù)器安全呢？確保 Web 服務(wù)器安全的挑戰之一就是要明確自己的目標。只有明白了何謂安全的 Web 服務(wù)器，您就可以了解如何為此應用所需的配置設置。
本模塊提供了一種系統且可重復的方法，您可以使用它成功配置安全的 Web 服務(wù)器。模塊還介紹了一種確保 Web 服務(wù)器安全的方法，該方法將服務(wù)器的配置劃分為十二個(gè)安全區域。每一安全區域都由一系列高級操作步驟組成。這些步驟都是模塊化的，介紹了將方法付諸實(shí)施的途徑。
使用本模塊可以實(shí)現：
| • | 了解何謂安全的 Web 服務(wù)器。 |
| • | 使用已證明正確的方法確保 Web 服務(wù)器安全。 |
| • | 了解在默認情況下 Windows 2000 Server 中 IIS 的完整安裝和 .NET Framework 的安裝內容。 |
| • | 了解安全 Web 服務(wù)器中可禁用的服務(wù)。 |
| • | 安全配置 Web 服務(wù)器，包括操作系統協(xié)議、帳戶(hù)、文件、目錄、共享、端口、注冊表、審核和日志記錄。 |
| • | 安全配置 Web 服務(wù)器應用程序（本例是 IIS）組件，包括 Web 站點(diǎn)、虛擬目錄、腳本映射、ISAPI 篩選器、元數據庫和服務(wù)器證書(shū)。 |
| • | 安全配置 .NET Framework 設置，包括 Machine.config 文件和代碼訪(fǎng)問(wèn)安全性。 |
| • | 針對遠程管理安裝并使用安全的終端服務(wù)。 |
| • | 了解解決常見(jiàn) Web 服務(wù)器威脅（包括配置處理、拒絕服務(wù)、未經(jīng)授權的訪(fǎng)問(wèn)、隨意代碼執行、特權提升、病毒、蠕蟲(chóng)和特洛伊木馬）的常用對策。 |
本模塊適用于下列產(chǎn)品和技術(shù)：
| • | Microsoft Windows Server 2000 和 2003 |
| • | Microsoft .NET Framework 1.1 和 ASP.NET 1.1 |
| • | Microsoft Internet 信息服務(wù) (IIS) 5.0 和 6.0 |
為了充分理解本模塊內容，您應：
| • | 閱讀模塊 2 威脅與對策。這有助于您更廣泛地了解 Web 應用程序的潛在威脅。 | ||||||
| • | 使用快照。安全 Web 服務(wù)器快照部分列出并說(shuō)明了安全 Web 服務(wù)器的屬性。它反映了來(lái)自各種源（包括客戶(hù)、行業(yè)專(zhuān)家和內部 Microsoft 開(kāi)發(fā)與支持小組）的輸入。在配置服務(wù)器時(shí)，請參考快照表。 | ||||||
| • | 使用檢查表。本指南“檢查表”部分的檢查表：保護 Web 服務(wù)器提供了一份可打印的作業(yè)幫助，可將它用作快速參考。使用基于任務(wù)的檢查表可快速評估必需的步驟，然后幫助您逐步完成各個(gè)步驟。 | ||||||
| • | 使用“如何”部分。本指南“如何”部分包括了下列指導性文章：
|
究竟怎樣的 Web 服務(wù)器才算安全？確保 Web 服務(wù)器安全的挑戰之一就是明確您的目標。只有明白了何謂安全的 Web 服務(wù)器，您就可以了解如何為此應用所需的配置設置。本模塊提供了一種系統且可重復的方法，您可以使用它成功配置安全的 Web 服務(wù)器。
本模塊首先回顧了影響 Web 服務(wù)器的最常見(jiàn)威脅。然后，使用上述觀(guān)點(diǎn)創(chuàng )建相應的方法。最后，模塊將這種方法付諸實(shí)施，并逐步說(shuō)明如何提高 Web 服務(wù)器的安全性。盡管基本方法可跨不同技術(shù)復用，但本模塊的重點(diǎn)是如何保證運行 Microsoft Windows 2000 操作系統并駐留 Microsoft .NET Framework 的 Web 服務(wù)器的安全。
由于攻擊者可遠程攻擊，Web 服務(wù)器常常是攻擊對象。如果了解 Web 服務(wù)器的威脅并努力制定相應的對策，您可以預見(jiàn)很多攻擊，進(jìn)而阻止日漸增加的攻擊者。
Web 服務(wù)器的主要威脅是：
| • | 配置處理 |
| • | 拒絕服務(wù) |
| • | 未經(jīng)授權的訪(fǎng)問(wèn) |
| • | 隨意代碼執行 |
| • | 特權提升 |
| • | 病毒、蠕蟲(chóng)和特洛伊木馬 |
圖 16.1 匯總了目前流行的攻擊和常見(jiàn)漏洞。
圖 16.1
Web 服務(wù)器主要威脅和常見(jiàn)漏洞
配置處理或主機枚舉是一種收集 Web 站點(diǎn)相關(guān)信息的探測過(guò)程。攻擊者可利用這些信息攻擊已知的薄弱點(diǎn)。
漏洞
致使服務(wù)器容易受到配置處理攻擊的常見(jiàn)漏洞包括：
| • | 不必要的協(xié)議 |
| • | 打開(kāi)的端口 |
| • | Web 服務(wù)器在橫幅中提供配置信息 |
攻擊
常見(jiàn)的配置處理攻擊包括：
| • | 端口掃描 |
| • | Ping 掃射 (ping sweep) |
| • | NetBIOS 和服務(wù)器消息塊 (SMB) 枚舉 |
對策
有效的對策有，阻止所有不必要的端口、阻止 Internet 控制消息協(xié)議 (ICMP) 通信、禁用不必要的協(xié)議（如 NetBIOS 和 SMB）。
如果服務(wù)器被泛濫的服務(wù)請求所充斥，則出現拒絕服務(wù)攻擊。此時(shí)的威脅是，Web 服務(wù)器因負荷過(guò)重而無(wú)法響應合法的客戶(hù)端請求。
漏洞
導致拒絕服務(wù)攻擊增加的可能漏洞包括：
| • | 薄弱的 TCP/IP 堆棧配置 |
| • | 未修補的服務(wù)器 |
攻擊
常見(jiàn)的拒絕服務(wù)攻擊包括：
| • | 網(wǎng)絡(luò )級 SYN flood（同步攻擊） |
| • | 緩沖區溢出 |
| • | 使用來(lái)自分布式位置的請求淹沒(méi) Web 服務(wù)器 |
對策
有效的對策有，強化 TCP/IP 堆棧，以及始終將最新的軟件修補程序和更新程序應用于系統軟件。
如果權限不合適的用戶(hù)訪(fǎng)問(wèn)了受限的信息或執行了受限的操作，則出現未經(jīng)授權的訪(fǎng)問(wèn)。
漏洞
導致未經(jīng)授權訪(fǎng)問(wèn)的常見(jiàn)漏洞包括：
| • | 薄弱的 IIS Web 訪(fǎng)問(wèn)控制（包括 Web 權限） |
| • | 薄弱的 NTFS 權限 |
對策
有效的對策有，使用安全的 Web 權限、NTFS 權限和 .NET Framework 訪(fǎng)問(wèn)控制機制（包括 URL 授權）。
如果攻擊者在您的服務(wù)器中運行惡意代碼來(lái)?yè)p害服務(wù)器資源或向下游系統發(fā)起其他攻擊，則出現代碼執行攻擊。
漏洞
可導致惡意代碼執行的漏洞包括：
| • | 薄弱的 IIS 配置 |
| • | 未修補的服務(wù)器 |
攻擊
常見(jiàn)的代碼執行攻擊包括：
| • | 路徑遍歷 |
| • | 導致代碼注入的緩沖區溢出 |
對策
有效的對策有，配置 IIS 拒絕帶有“../”的 URL（防止路徑遍歷）、使用限制性訪(fǎng)問(wèn)控制列表 (ACL) 鎖定系統命令和實(shí)用工具、安裝新的修補程序和更新程序。
如果攻擊者使用特權進(jìn)程帳戶(hù)運行代碼，則出現特權提升攻擊。
漏洞
導致 Web 服務(wù)器易受特權提升攻擊的常見(jiàn)漏洞包括：
| • | 過(guò)度授權進(jìn)程帳戶(hù) |
| • | 過(guò)度授權服務(wù)帳戶(hù) |
對策
有效的對策有，使用特權最少的帳戶(hù)運行進(jìn)程、使用特權最少的服務(wù)和用戶(hù)帳戶(hù)運行進(jìn)程。
惡意代碼有幾種變體，具體包括：
| • | 病毒。即執行惡意操作并導致操作系統或應用程序中斷的程序。 |
| • | 蠕蟲(chóng)?？勺晕覐椭撇⒆晕揖S持的程序。 |
| • | 特洛伊木馬。表面上有用但實(shí)際帶來(lái)破壞的程序。 |
在很多情況下，惡意代碼直至耗盡了系統資源，并因此減慢或終止了其他程序的運行后才被發(fā)現。例如，“紅色代碼”就是危害 IIS 的臭名昭著(zhù)的蠕蟲(chóng)之一，它依賴(lài) ISAPI 篩選器中的緩沖區溢出漏洞。
漏洞
導致易受病毒、蠕蟲(chóng)和特洛伊木馬攻擊的常見(jiàn)漏洞包括：
| • | 未修補的服務(wù)器 |
| • | 運行不必要的服務(wù) |
| • | 使用不必要的 ISAPI 篩選器和擴展 |
對策
有效的對策有，提示應用程序安裝最新的軟件修補程序、禁用無(wú)用的功能（如無(wú)用的 ISAPI 篩選器和擴展）、使用特權最少的帳戶(hù)運行進(jìn)程來(lái)減小危害發(fā)生時(shí)的破壞范圍。
為了確保 Web 服務(wù)器的安全，必須應用很多配置設置來(lái)減少服務(wù)器受攻擊的漏洞。但究竟在何處開(kāi)始、何時(shí)才算完成呢？最佳的方法是，對必須采取的預防措施和必要配置的設置進(jìn)行分類(lèi)。通過(guò)分類(lèi)，您可以從上到下系統安排保護過(guò)程，或選擇特定的類(lèi)別完成特定的步驟。
本模塊的安全方法都歸入圖 16.2 所示的類(lèi)別。
圖 16.2
Web 服務(wù)器配置類(lèi)別
分類(lèi)基本原理如下：
| • | 修補程序和更新程序 |
| • | 服務(wù) |
| • | 協(xié)議 |
| • | 帳戶(hù) |
| • | 文件和目錄 |
| • | 共享 |
| • | 端口 |
| • | 注冊表 |
| • | 審核和日志記錄 |
| • | 站點(diǎn)和虛擬目錄 |
| • | 腳本映射 |
| • | ISAPI 篩選器 |
| • | IIS 元數據庫 |
| • | Machine.config |
| • | 代碼訪(fǎng)問(wèn)安全性 |
在確保 Web 服務(wù)器安全以前，必須先知道安裝 IIS 和 .NET Framework 后在 Windows 2000 服務(wù)器中出現的組件。本節說(shuō)明了安裝哪些組件。
IIS 安裝了很多服務(wù)、帳戶(hù)、文件夾和 Web 站點(diǎn)。有些組件是 Web 應用程序所不用的，如果不在服務(wù)器中刪除，可能導致服務(wù)器易受攻擊。表 16.1 列出了在 Windows 2000 Server 系統中完整安裝 IIS（選定所有組件）后創(chuàng )建的服務(wù)、帳戶(hù)和文件夾。
表 16.1：IIS 安裝默認值
| 項目 | 詳細信息 | 默認值 |
服務(wù) | IIS Admin Service（管理 Web 和 FTP 服務(wù)） | 安裝 |
帳戶(hù)和組 | IUSR_MACHINE（匿名 Internet 用戶(hù)） | 添至 Guest 組 |
文件夾 | %windir%\system32\inetsrv（IIS 程序文件） |
|
Web 站點(diǎn) | 默認 Web 站點(diǎn) – 端口 80：%SystemDrive%\inetpub\wwwroot | 允許匿名訪(fǎng)問(wèn) |
如果在駐留 IIS 的服務(wù)器中安裝 .NET Framework，.NET Framework 將注冊 ASP.NET。作為該過(guò)程的一部分，系統將創(chuàng )建一個(gè)名為 ASPNET 的特權最少的本地帳戶(hù)。這將運行 ASP.NET 工作進(jìn)程 (aspnet_wp.exe) 和會(huì )話(huà)狀態(tài)服務(wù) (aspnet_state.exe)，后者可用于管理用戶(hù)會(huì )話(huà)狀態(tài)。
注意：在運行 Windows 2000 和 IIS 5.0 的服務(wù)器計算機中，所有 ASP.NET Web 應用程序都運行在 ASP.NET 工作進(jìn)程的單個(gè)實(shí)例中，由應用程序域提供隔離。在 Windows Server 2003 中，IIS 6.0 借助應用程序池提供進(jìn)程級隔離。
表 16.2 顯示了 .NET Framework 版本 1.1 默認安裝的服務(wù)、帳戶(hù)和文件夾。
表 16.2：.NET Framework 安裝默認值
| 項目 | 詳細信息 | 默認值 |
服務(wù) | ASP.NET State Service：為 ASP.NET 提供進(jìn)程外會(huì )話(huà)狀態(tài)支持。 | 手動(dòng)啟動(dòng) |
帳戶(hù)和組 | ASPNET：運行 ASP.NET 工作進(jìn)程 (Aspnet_wp.exe) 和會(huì )話(huà)狀態(tài)服務(wù) (Aspnet_state.exe) 的帳戶(hù)。 | 添至 Users 組 |
文件夾 | %windir%\Microsoft.NET\Framework\{版本} |
|
ISAPI 擴展 | Aspnet_isapi.dll：處理 ASP.NET 文件類(lèi)型的請求。將請求轉發(fā)給 ASP.NET 工作進(jìn)程 (Aspnet_wp.exe)。 |
|
ISAPI 篩選器 | Aspnet_filter.dll：僅用于支持無(wú) cookie 的會(huì )話(huà)狀態(tài)。在 Inetinfo.exe (IIS) 進(jìn)程內部運行。 |
|
應用程序映射 | ASAX、ASCX、ASHX、ASPX、AXD、VDISCO、REM、SOAP、CONFIG、CS、CSPROJ、VB、VBPROJ、WEBINFO、LICX、RESX、RESOURCES | \WINNT\Microsoft.NET\Framework\{版本} Aspnet_isapi.dll |
在默認情況下，Windows 2000 Server 安裝程序將安裝 IIS。但建議不要將 IIS 作為操作系統安裝的一部分來(lái)安裝，最好是日后更新并修補了基本操作系統之后再安裝。安裝了 IIS 之后，必須重新應用 IIS 修補程序并強化 IIS 配置，確保 IIS 接受完整的保護。只有這樣，將服務(wù)器連接到網(wǎng)絡(luò )中才安全。
如果要安裝并配置新的 Web 服務(wù)器，請執行如下操作步驟概述。
| • | 構建新的 Web 服務(wù)器
|
不要在生產(chǎn)服務(wù)器中安裝 .NET Framework 軟件開(kāi)發(fā)工具包 (SDK)。SDK 包含了很多服務(wù)器不需要的實(shí)用工具。一旦攻擊者獲取了服務(wù)器的訪(fǎng)問(wèn)權限，便可利用其中的部分工具幫助發(fā)起其他攻擊。
正確的做法是，安裝可重新分發(fā)的軟件包。要獲取該軟件包，可訪(fǎng)問(wèn) Microsoft.com 的 .NET Framework 站點(diǎn)，其網(wǎng)址為 http://www.microsoft.com/china/net/，單擊“Downloads”鏈接。
如果要構建多個(gè)服務(wù)器，可將 Service Pack 直接并入您的 Windows 安裝。Service Pack 包括一個(gè)名為 Update.exe 的程序，作用是將 Service Pack 與您的 Windows 安裝文件組合在一起。
| • | 要將 Service Pack 與 Windows 安裝組合在一起，請執行下列操作：
|
有關(guān)詳細信息，請參閱 MSDN 文章“Customizing Unattended Win2K Installations”，網(wǎng)址是 http://msdn.microsoft.com/library/default.asp?url=/library/en-us/dnw2kmag01/html/custominstall.asp（英文）。
下面幾節將指導您完成保護 Web 服務(wù)器的過(guò)程。這些內容使用了本模塊確保 Web 服務(wù)器安全的方法一節中介紹的配置類(lèi)別。每個(gè)高級步驟都包含了一項或多項確保特定區域或功能安全的操作。
步驟 1 | 步驟 10 | ||
步驟 2 | 步驟 11 | ||
步驟 3 | 步驟 12 | ||
步驟 4 | 步驟 13 | ||
步驟 5 |
聯(lián)系客服
