加固基于Windows 2003平台的WEB服务器（7）
作者：gOxiA 来源：hackhome.com 发布时间：2009-01-06 17:14:00
在确定我们所要开放的服务之后就要去配置端口，是使用TCP/IP筛选 还是 IPSec?其实我很少用到IPSec，因为它是IP安全设置，除了我要禁止一个用户来访问我或配置一个特定的连接访问我几乎不去用IPSec。也去是因为我太懒了，只会记得要开放什么端口。
在我看来，TCP/IP端口筛选和IPSec是相辅相成的，普通的应用我认为还是用端口来的方便，毕竟它可以做到只开放哪些端口，之后针对其 * 定的端口用IPSec作安全加固，这样我倒是认为更好。一些朋友喜欢在事先做好一个IPSec模板，之后将其应用在其他服务器上，这样做我认为真的不对，毕竟每台服务器的应用都不会完全相同，这样做只会造成更多的故障，我就经常遇到这样的问题，一些客户总是抱怨他们的服务器出现莫名其妙的问题，最后通过我的排查分析发现很多问题都是因为同时使用TCP/IP端口筛选和IPSec造成的，而罪魁祸首则是那些好心人发布的IPSec模板，我没有恶意诋毁他们这些好心人的意思，而最终是要痛斥那些不作自身评估，技术意识贫乏的服务器管理员们，我曾经就让这些朋友们搞得哭笑不得，并开始厌恶我当前的工作。在当前案例中，我开放的端口是：TCP80、TCP25、TCP20、TCP21、TCP3389、TCP4000~4020。开放4000~4020是为了支持Serv-U的PASV模式(同时需要在Serv-U中设置这段被动端口范围)，当然你也可以用其他端口，没有特殊要求，记得我之前部署的一台服务器开放的就是这个端口范围，一个自称黑客的朋友联系了我所在的公司经理，并在其QQ上友情提示了服务器的这个所谓的端口漏洞，记得好像是这么说的：“你们的服务器不堪一击，在服务器上还开放了QQ和它的端口。”后来好像还提到如果公司愿意付费可以帮助解决安全问题，现在想起来心里都在暗笑，不过我接到警告信息都会非常重视，因为我明白一个道理：没有绝对的安全!!!不过后来服务器确实受到了攻击，不是被入侵而是被那个黑客小小的DDos了一下。这种一种非常有效的攻击方式，提高TCP/IP协议栈，甚至使用软件、硬件防火墙也只是在相对情况下可以抵御它，所以请各位遵守网络公德，不要使用DDos!!!
·目录权限的分配
1. 除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限，如果WEB站点目录，你要为其目录权限分配一个与之对应的匿名访问帐号并赋予它有修改权限，如果你想使网站坚固，可以分配只读权限并对特殊的目录作可写权限，作为一个开放式的服务器，这样的工作量是非常巨大的，所以我认为将威胁控制缩小到在这个网站中就已经够了。
2. 系统所在分区下的根目录都要设置为不继承父权限，之后为该分区只赋予Administrators和SYSTEM有完全控制权。
0
投稿猜你喜欢
- 10月16日消息，据国外媒体报道，知名科技博客TechCrunch今天发表一篇文章，放出了Chrome OS系统的下载链接。有人下载了该文件
- 微软搜索很少给SEO和站长提建议。当然也许是人家提了，咱们都不太关注Live搜索，没看到而已。前几天微软搜索官方博客发了一篇关于交换链接的帖
如何选择正确的方式上网，直白地说，就是以下几点：要使虚拟机能连接互联网，并且外部网络或局域网能访问到虚拟机（独立公网 IP 或局域网 IP）- 本文为初学者介绍wine的使用。 下载wine 最新的wine(推荐下载) http://www.linux-easy.com/daily/
- 情人节将至，有网络广告界分析人士预计，情人节期间网络广告整体额度将较去年同期上升两成，因众多商家在节后纷纷开张，选择情人节期间进行网络营销势
- 有用户咨询GoDaddy的Linux主机如何设置高级目录权限，在此整理了份详细的教程更您参考。1、登陆你的Account Manager.2
- Cookie会话跟踪除了上面提到的安全缺陷外，还存在如下缺点：(1)并不是每个浏览器都支持cookie，有些用户为了防止泄露隐私以及从安全性
- DEDECMS程序首页的SEO优化,看来用DEDECMS程序的站长确实非常多，之前因为没有细分去讲解，所以虽然可能不够完善，但对于一般的个人
- 1、选择主题。主题选好也就成功了一半，所以这个步骤必须慎重考虑。主要有以下几方面因素：热门指数、该类主题的网站数量及其发展情况、该主题可能的
- Google AdSense是Google推出的一种网络会员联盟，可以让具有一定访问量规模的网站发布商为展示Google广告并将网站流量转化
- 软件列表：checkpassword-0.90（pop3验证用户程序）cmd5checkpw-0.22.tar.gzucspi-tcp-0.
- 旷土年前写过一篇标题为《旷土：中国商业网址的成功经验分享 初期发展篇》的文章，写得比较粗糙，今天就来详细谈谈运作中的一些经验。旷土在运作中国
- 第一次写文章,有点紧张,如果有什么说不对,请大家原谅,这是我建站2年的一点心得. [处女篇也请大家支持]先自我介绍一下,我叫t-seleve
- 巨人们在长满杂草的肥沃土地上开始布阵，小虾米们无所适从。各有个的打算各有个的企图，防守、进攻、利益扩张… 1、从全球范围来看，移动互联网的世
- 阅读上一篇：一个完美网站的101项指标.第二部分.内容为王完美的内容是用来使用的，不管您的内容多么精彩，如果它们很难访问，用户照样会离开，易
- 1.新建用户wwweee000[root@localhost ~]# useradd wwweee000[root@localhost ~]
- 日本著名3D GALGAME游戏厂商Illusion公司官方网站近日放出了一段其将在明年2月19日发售的最新作《真实的女朋友》（リアル彼女，
- CesarFTP是一款非常优秀的免费FTP服务器端软件，虽然它的体积很小，但功能却非常完善。它的安装非常简单，不需要像其它FTP服务器软件那
- 美图秀秀的“场景功能”一直是备受大家喜爱的，只需要直接套用，就可以变身成为街头广告明星，杂志封面&a
- 快速提升网站排名、流量献给站长们。一些旧的技巧仍然适用(比如，每天写出新内容)，但一些已经不再适用(向搜索引擎提交已经不是必要步骤)，我们这
