Windows服务器安全设置经验详谈(3)
来源:asp之家 发布时间:2010-03-31 19:03:00
防止列出用户组和系统进程
我在阿江ASP探针1.9中结合7i24的方法利用getobject(`WINNT`)获得了系统用户和系统进程的列表,这个列表可能会被黑客利用,我们应当隐藏起来,方法是:
【开始→程序→管理工具→服务】,找到Workstation,停止它,禁用它。
防止Serv-U权限提升
其实,注销了Shell组件之后,侵入者运行提升工具的可能性就很小了,但是prel等别的脚本语言也有shell能力,为防万一,还是设置一下为好。
用Ultraedit打开ServUDaemon.exe查找Ascii:LocalAdministrator,和#l@$ak#.lk;0@P,修改成等长度的其它字符就可以了,ServUAdmin.exe也一样处理。
另外注意设置Serv-U所在的文件夹的权限,不要让IIS匿名用户有读取的权限,否则人家下走你修改过的文件,照样可以分析出你的管理员名和密码。
利用ASP漏洞攻击的常见方法及防范
一般情况下,黑客总是瞄准论坛等程序,因为这些程序都有上传功能,他们很容易的就可以上传ASP木马,即使设置了权限,木马也可以控制当前站点的所有文件了。另外,有了木马就然后用木马上传提升工具来获得更高的权限,我们关闭shell组件的目的很大程度上就是为了防止攻击者运行提升工具。
如果论坛管理员关闭了上传功能,则黑客会想办法获得超管密码,比如,如果你用动网论坛并且数据库忘记了改名,人家就可以直接下载你的数据库了,然后距离找到论坛管理员密码就不远了。
作为管理员,我们首先要检查我们的ASP程序,做好必要的设置,防止网站被黑客进入。另外就是防止攻击者使用一个被黑的网站来控制整个服务器,因为如果你的服务器上还为朋友开了站点,你可能无法确定你的朋友会把他上传的论坛做好安全设置。这就用到了前面所说的那一大堆东西,做了那些权限设置和防提升之后,黑客就算是进入了一个站点,也无法破坏这个网站以外的东西。
后记
也许有安全高手或者破坏高手看了我的文章会嘲笑或者窃喜,但我想我的经验里毕竟还是存在很多正确的地方,有千千万万的比我知道的更少的人像我刚开始完全不懂的时候那样在渴求着这样一篇文章,所以我必须写,我不管别人怎么说我,我也不怕后世会有千千万万的人对我唾骂,我一个人承担下来,我也没有娘子需要交代的……
因为这其实只是抛砖引玉的做法,从别人的笑声中,我和我的读者们都可以学到更多有用的东西。<\p>
猜你喜欢
- SQL注入漏洞曾经是Web应用程序的噩梦,CMS、BBS、Blog无一不曾受其害。SQL注入的原理以往在Web应用程序访问数据库时一般是采取
- 作为WEB2.0的产物,博客在网上的发展非常迅猛,接触网络的人几乎没有不“博”的,从名人明星到草根百
- 本次测试包含以下10款ARP防火墙:360安全卫士ARP防火墙金山ARP防火墙风云防火墙antiarp-dnsARP防护大师Bitcomet
- 在WP2.7的时候就推出了快捷键功能。(若按键无效,则可以在后台快捷键那个设置的地方打上勾就可以了),相信很少会有人注意到,我也是刚不小心看
- Discuz 的“Title标题附加字”可以做为论坛的副标题使用,但在Discuz论坛后台设置(全局,优化设置,标题附加字),这个副标题则应
- 网站的PR值并不见得是决定一个网站(及其被收录的网页)在搜索结果中排名的惟一因素,甚至不一定是主要因素,因此对于网站PR值的真正价值有不同的
- 广告的位置完全决定了广告的点击率,以文章网站为例,文章正文放336*280是公认点击率最高的。有的人总是抱怨某项广告收益太低,也许就是因为广
- 很庆幸,12年前一不留神进入了IT行业,具体说,是进入了IT媒体领域。在最合适的时机,进入了最合适的领域,得以全程经历中国互联网的萌生和成长
- asp之家注:也许很多站长都有这样的疑问,我的站流量挺大,可是Google Adsense广告的点击确很不让人满意,而有的站虽然流量不多可能
- foreach($kws as $k) { $k = trim($k); if($k!=”") { if($i > $max
- 随着Web数据库的应用越来越广泛,Web数据库的安全问题日益突出,如何才能保证和加强数据库的安全性已成为目前必须要解决的问题。数据库系统安全
- 早在9月份Google刚刚为XP、Vista系统IE用户发布Chrome Frame插件的时候,微软就建议用户不要安装这个插件,认为它会IE
- 国内浏览器研发商傲游日前宣布,将与全球最大的俄文搜索引擎Yandex建立战略合作关系,傲游将在未来的俄文官方版本中采用Yandex的主页做为
- 作为Internet上的FTP服务器,系统的安全性是非常重要的,这是建立FTP服务器者所考虑的第一个问题。其安全性主要包括以下几个方面:一、
- 博客广告的策略基本有两种形式:定向传播策略与交互传播策略。根据商业博客的不同特点,文案的写作要求也有所不同。一、定向传播的广告策略和文案写作
- 很多朋友都用虚拟主机来做网站,将网页文件存放在虚拟空间上,但是页面内容一多,网站打开的速度就显得特别慢,如果您碰到这种情况,与其寻求更好的空
- 据spreadfirefox的消息,Mozilla Firefox 3发布时间暨下载日终于到来了,Mozilla Firefox3于美国西部
- 据 Inside AdWords 消息:AdWords 新界面从2008年11月开始在美国进行小范围测试,现在开始开放给更多的 AdWord
- 1、准备,下载需要的文件。这里假定你已经正确安装配置好了JDK。到Apache官方网站下载所需要的文件:httpd-2.2.0.tar.gz
- 现在论坛到处可见,有的论坛很强大,几万几十万甚至几百万IP都有,地域性的(如:某个县的论坛)、实用性的(如炒股论坛)、行业性的(如化工行业)