Windows服务器安全设置经验详谈（3）
来源：asp之家 发布时间：2010-03-31 19:03:00
防止列出用户组和系统进程
我在阿江ASP探针1.9中结合7i24的方法利用getobject(`WINNT`)获得了系统用户和系统进程的列表，这个列表可能会被黑客利用，我们应当隐藏起来，方法是:
【开始→程序→管理工具→服务】，找到Workstation，停止它，禁用它。
防止Serv-U权限提升
其实，注销了Shell组件之后，侵入者运行提升工具的可能性就很小了，但是prel等别的脚本语言也有shell能力，为防万一，还是设置一下为好。
用Ultraedit打开ServUDaemon.exe查找Ascii:LocalAdministrator，和#l@$ak#.lk;0@P，修改成等长度的其它字符就可以了，ServUAdmin.exe也一样处理。
另外注意设置Serv-U所在的文件夹的权限，不要让IIS匿名用户有读取的权限，否则人家下走你修改过的文件，照样可以分析出你的管理员名和密码。
利用ASP漏洞攻击的常见方法及防范
一般情况下，黑客总是瞄准论坛等程序，因为这些程序都有上传功能，他们很容易的就可以上传ASP木马，即使设置了权限，木马也可以控制当前站点的所有文件了。另外，有了木马就然后用木马上传提升工具来获得更高的权限，我们关闭shell组件的目的很大程度上就是为了防止攻击者运行提升工具。
如果论坛管理员关闭了上传功能，则黑客会想办法获得超管密码，比如，如果你用动网论坛并且数据库忘记了改名，人家就可以直接下载你的数据库了，然后距离找到论坛管理员密码就不远了。
作为管理员，我们首先要检查我们的ASP程序，做好必要的设置，防止网站被黑客进入。另外就是防止攻击者使用一个被黑的网站来控制整个服务器，因为如果你的服务器上还为朋友开了站点，你可能无法确定你的朋友会把他上传的论坛做好安全设置。这就用到了前面所说的那一大堆东西，做了那些权限设置和防提升之后，黑客就算是进入了一个站点，也无法破坏这个网站以外的东西。
后记
也许有安全高手或者破坏高手看了我的文章会嘲笑或者窃喜，但我想我的经验里毕竟还是存在很多正确的地方，有千千万万的比我知道的更少的人像我刚开始完全不懂的时候那样在渴求着这样一篇文章，所以我必须写，我不管别人怎么说我，我也不怕后世会有千千万万的人对我唾骂，我一个人承担下来，我也没有娘子需要交代的……
因为这其实只是抛砖引玉的做法，从别人的笑声中，我和我的读者们都可以学到更多有用的东西。<\p>
0
投稿猜你喜欢
介绍GitLab CE或Community Edition是一个开源应用程序，主要用于托管Git存储库，以及其他与开发相关的功能，如问题跟踪- 事件背景：近日，中国最大的第三方支付平台支付宝（中国）网络技术有限公司宣布推出信用卡大额支付业务，目前已经支持交行、广发、中行、光大、兴业和
- 我之前概述过加速AWS基础设施启动的方法。本文中谈到的方法可以进一步减少大约50％的时间，即在应用运行前，预先bake（pre-bake）所
- 下面介绍3种类型的软文给大家，希望能够有所帮助：第一篇·论坛篇写软文之前，我们需要先研究媒体和目标用户，正所谓知己知彼百战不殆。论坛是互联网
- 上篇文章在docker容器挂载宿主主机目录 中介绍了运行docker时的一个重要命令 -vsudo docker run -p 8822:8
- 一、配置nginx支持https协议访问，需要在编译安装nginx的时候添加相应的模块--with-http_ssl_module查看ngi
- （一）硬件准备一台HP ProLiant DL160 G5服务器（硬盘拓展到480G）一台个人电脑（windows操作系统）一个Lenovo
- 起因最近我们的一台Ubuntu阿里云服务器一直提示有肉鸡行为，提示了好几天，开始并没有关注，然后连续几天后发现应该是个大问题啊。很可能服务被
- 前言本章将会讲解使用vi文本编辑器一.vi文本编辑器配置文件是Linux操作系统的显著特征之一，其作用有点类似于Windows操
- 总听高人说做站商业模式很重要。原来一直搞不清楚这个商业模式到底是什么东西，以为就是业务模式、就是怎么赚钱，现在觉得不是。会赚还要会花，商业模
- 进入互联网是99年，开始建站是2003年，做过垃圾站，失败了，咱不是什么高手，这些年一直研究地方网站，付出一直大于回报，但我坚信沿着一条正确
- 本报记者 雷中辉 北京报道“我们还没有接到实施细则的通知，具体怎么办还不清楚。”7月22日，北京市工商行政管理局大厅，当记者询问电子商务网店
- PHP5安装图解本文讨论的是Windows2003下安装PHP5，请注意 下载PHP5，下载地址：http://www.php.n
- 引言:网站PR值(Page Rank)在网站优化和搜索引擎排名中起到一个不小的作用,就本人对PR 更新的预测,特地和大家分享一下.googl
- 实际上，没有一个人敢说谁是真正的优化高手，因为做SEO这块没有谁敢说他是高手，只能说是经验。每一个人的经验不同所有方法也不同，其实目的只有一
- 网站终于做好了，接下来要做的就要把网站发布出去。使用尽可能多的方法将网站推广出去，最大限度的让更多的人知道你网站，来获取更多流量才是关键。但
- 在传统SEO时代，关键词的选择意味着在搜索引擎中的排名先后，同时也在一定程度上反映了一个网站的品牌形象——如果一个知名公司的网站在搜索引擎中
- 一个网址导航的站长，从零开始，一年做了365天，ip能从零做到2000. 平时收入一个月100-400不等。一年全年收入约等于3000 投入
- 相信很多用phpcms v9的站长都不是程序员，而我也是一个网页设计师，所以对制作模板还是可以对付的。但是一设计到自己写程序，就一个头两个大
- 绝大多数的网站和商业站点所寻求的一个共同点都是站点流量，每个网管都知道下最好的流量类型是自然的有机的搜索引擎流量，有两个重要的原因： （1）
