其實(shí)，在服務(wù)器的安全設(shè)置方面，我雖然有一些經(jīng)驗(yàn)，但是還談不上有研究，所以我寫這篇文章的時(shí)候心里很不踏實(shí)，總害怕說錯(cuò)了會(huì)誤了別人的事。

本文更側(cè)重于防止ASP漏洞攻擊，所以服務(wù)器防黑等方面的講解可能略嫌少了點(diǎn)。
基本的服務(wù)器安全設(shè)置
安裝補(bǔ)丁
安裝好操作系統(tǒng)之后，最好能在托管之前就完成補(bǔ)丁的安裝，配置好網(wǎng)絡(luò)后，如果是2000則確定安裝上了SP4，如果是2003，則最好安裝上SP1，然后點(diǎn)擊開始→Windows Update，安裝所有的關(guān)鍵更新。
安裝殺毒軟件
雖然殺毒軟件有時(shí)候不能解決問題，但是殺毒軟件避免了很多問題。我一直在用諾頓2004，據(jù)說2005可以殺木馬，不過我沒試過。還有人用瑞星，瑞星是確定可以殺木馬的。更多的人說卡巴司機(jī)好，不過我沒用過。
不要指望殺毒軟件殺掉所有的木馬，因?yàn)锳SP木馬的特征是可以通過一定手段來避開殺毒軟件的查殺。
設(shè)置端口保護(hù)和防火墻、刪除默認(rèn)共享
都是服務(wù)器防黑的措施，即使你的服務(wù)器上沒有IIS，這些安全措施都最好做上。這是阿江的盲區(qū)，大概知道屏蔽端口用本地安全策略，不過這方面的東西網(wǎng)上攻略很多，大家可以擻出來看看，晚些時(shí)候我或者會(huì)復(fù)制一些到我的網(wǎng)站上。
權(quán)限設(shè)置
阿江感覺這是防止ASP漏洞攻擊的關(guān)鍵所在，優(yōu)秀的權(quán)限設(shè)置可以將危害減少在一個(gè)IIS站點(diǎn)甚至一個(gè)虛擬目錄里。我這里講一下原理和設(shè)置思路，聰明的朋友應(yīng)該看完這個(gè)就能解決問題了。
權(quán)限設(shè)置的原理
WINDOWS用戶，在WINNT系統(tǒng)中大多數(shù)時(shí)候把權(quán)限按用戶（組）來劃分。在【開始→程序→管理工具→計(jì)算機(jī)管理→本地用戶和組】管理系統(tǒng)用戶和用戶組。
NTFS權(quán)限設(shè)置，請(qǐng)記住分區(qū)的時(shí)候把所有的硬盤都分為NTFS分區(qū)，然后我們可以確定每個(gè)分區(qū)對(duì)每個(gè)用戶開放的權(quán)限。【文件（夾）上右鍵→屬性→安全】在這里管理NTFS文件（夾）權(quán)限。
IIS匿名用戶，每個(gè)IIS站點(diǎn)或者虛擬目錄，都可以設(shè)置一個(gè)匿名訪問用戶（現(xiàn)在暫且把它叫“IIS匿名用戶”），當(dāng)用戶訪問你的網(wǎng)站的.ASP文件的時(shí)候，這個(gè).ASP文件所具有的權(quán)限，就是這個(gè)“IIS匿名用戶”所具有的權(quán)限。
權(quán)限設(shè)置的思路
要為每個(gè)獨(dú)立的要保護(hù)的個(gè)體（比如一個(gè)網(wǎng)站或者一個(gè)虛擬目錄）創(chuàng)建一個(gè)系統(tǒng)用戶，讓這個(gè)站點(diǎn)在系統(tǒng)中具有惟一的可以設(shè)置權(quán)限的身份。
在IIS的【站點(diǎn)屬性或者虛擬目錄屬性→目錄安全性→匿名訪問和驗(yàn)證控制→編輯→匿名訪問→編輯】填寫剛剛創(chuàng)建的那個(gè)用戶名。
設(shè)置所有的分區(qū)禁止這個(gè)用戶訪問，而剛才這個(gè)站點(diǎn)的主目錄對(duì)應(yīng)的那個(gè)文件夾設(shè)置允許這個(gè)用戶訪問（要去掉繼承父權(quán)限，并且要加上超管組和SYSTEM組）。
這樣設(shè)置了之后，這個(gè)站點(diǎn)里的ASP程序就只有當(dāng)前這個(gè)文件夾的權(quán)限了，從探針上看，所有的硬盤都是紅叉叉。
我的設(shè)置方法
我是先創(chuàng)建一個(gè)用戶組，以后所有的站點(diǎn)的用戶都建在這個(gè)組里，然后設(shè)置這個(gè)組在各個(gè)分區(qū)沒有權(quán)限或者完全拒絕。然后再設(shè)置各個(gè)IIS用戶在各在的文件夾里的權(quán)限。
因?yàn)楸容^多，所以我很不想寫，其實(shí)知道了上面的原理，大多數(shù)人都應(yīng)該懂了，除非不知道怎么添加系統(tǒng)用戶和組，不知道怎么設(shè)置文件夾權(quán)限，不知道IIS站點(diǎn)屬性在那里。真的有那樣的人，你也不要著急，要沉住氣慢慢來，具體的方法其實(shí)自己也能摸索出來的，我就是這樣。當(dāng)然，如果我有空，我會(huì)寫我的具體設(shè)置方法，很傲能還會(huì)配上圖片。
改名或卸載不安全組件
不安全組件不驚人
我的在阿江探針1.9里加入了不安全組件檢測(cè)功能（其實(shí)這是參考7i24的代碼寫的，只是把界面改的友好了一點(diǎn)，檢測(cè)方法和他是基本一樣的），這個(gè)功能讓很多站長(zhǎng)吃驚不小，因?yàn)樗�發(fā)現(xiàn)他的服務(wù)器支持很多不安全組件。
其實(shí)，只要做好了上面的權(quán)限設(shè)置，那么FSO、XML、strem都不再是不安全組件了，因?yàn)樗麄兌紱]有跨出自己的文件夾或者站點(diǎn)的權(quán)限。那個(gè)歡樂時(shí)光更不用怕，有殺毒軟件在還怕什么時(shí)光啊。
最危險(xiǎn)的組件是WSH和Shell，因?yàn)樗�可以運(yùn)行你硬盤里的EXE等程序，比如它可以運(yùn)行提升程序來提升SERV-U權(quán)限甚至用SERVU來運(yùn)行更高權(quán)限的系統(tǒng)程序。
謹(jǐn)慎決定是否卸載一個(gè)組件
組件是為了應(yīng)用而出現(xiàn)的，而不是為了不安全而出現(xiàn)的，所有的組件都有它的用處，所以在卸載一個(gè)組件之前，你必須確認(rèn)這個(gè)組件是你的網(wǎng)站程序不需要的，或者即使去掉也不關(guān)大體的。否則，你只能留著這個(gè)組件并在你的ASP程序本身上下工夫，防止別人進(jìn)來，而不是防止別人進(jìn)來后SHELL。
比如，F(xiàn)SO和XML是非常常用的組件之一，很多程序會(huì)用到他們。WSH組件會(huì)被一部分主機(jī)管理程序用到，也有的打包程序也會(huì)用到。
一、操作系統(tǒng)配置
1.安裝操作系統(tǒng)(NTFS分區(qū))后，裝殺毒軟件，我選用的是卡巴。
2.安裝系統(tǒng)補(bǔ)丁。掃描漏洞全面殺毒
3.刪除Windows Server 2003默認(rèn)共享
首先編寫如下內(nèi)容的批處理文件：

 

@echo off
net share C$ /del
net share D$ /del
net share E$ /del
net share F$ /del
net share admin$ /del

文件名為delshare.bat，放到啟動(dòng)項(xiàng)中，每次開機(jī)時(shí)會(huì)自動(dòng)刪除共享。
4.禁用IPC連接
打開CMD后輸入如下命令即可進(jìn)行連接：net use\\ip\ipc$ "password" /user:"usernqme"。我們可以通過修改注冊(cè)表來禁用IPC連接。打開注冊(cè)表編輯器。找到如下組建HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa中的restrictanonymous子鍵，將其值改為1即可禁用IPC連接。
5.刪除"網(wǎng)絡(luò)連接"里的協(xié)議和服務(wù)
在"網(wǎng)絡(luò)連接"里，把不需要的協(xié)議和服務(wù)都刪掉，這里只安裝了基本的Internet協(xié)議（TCP/IP），同時(shí)在高級(jí)tcp/ip設(shè)置里--"NetBIOS"設(shè)置"禁用tcp/IP上的NetBIOS（S）"。
6.啟用windows連接防火墻，只開放web服務(wù)(80端口)。
注：在2003系統(tǒng)里，不推薦用TCP/IP篩選里的端口過濾功能，譬如在使用FTP服務(wù)器的時(shí)候，如果僅僅只開放21端口，由于FTP協(xié)議的特殊性，在進(jìn)行FTP傳輸?shù)臅r(shí)候，由于FTP 特有的Port模式和Passive模式，在進(jìn)行數(shù)據(jù)傳輸?shù)臅r(shí)候，需要?jiǎng)討B(tài)的打開高端口，所以在使用TCP/IP過濾的情況下，經(jīng)常會(huì)出現(xiàn)連接上后無法列出目錄和數(shù)據(jù)傳輸?shù)膯栴}。所以在2003系統(tǒng)上增加的windows連接防火墻能很好的解決這個(gè)問題，所以都不推薦使用網(wǎng)卡的TCP/IP過濾功能。
7.磁盤權(quán)限
系統(tǒng)盤只給 Administrators 和 SYSTEM 權(quán)限
系統(tǒng)盤\Documents and Settings 目錄只給 Administrators 和 SYSTEM 權(quán)限；
系統(tǒng)盤\Documents and Settings\All Users 目錄只給 Administrators 和 SYSTEM 權(quán)限；
系統(tǒng)盤\Documents and Settings\All Users\Application Data目錄只給 Administrators 和 SYSTEM 權(quán)限；
系統(tǒng)盤\Windows 目錄只給 Administrators 、 SYSTEM 和 users 權(quán)限；
系統(tǒng)盤\Windows\System32\net.exe;net1.exe;cmd.exe;command.exeftp.exe;netstat.exe;regedit.exe;at.exe;attrib.exe;cacls.exe 文件只給 Administrators 權(quán)限(如果覺得沒用就刪了它，比如我刪了cmd.exe，command.exe，嘿嘿。)；
其它盤，有安裝程序運(yùn)行的(我的sql server 2000 在D盤)給 Administrators 和 SYSTEM 權(quán)限，無只給 Administrators 權(quán)限。
8.本地安全策略設(shè)置
開始菜單—>管理工具—>本地安全策略
A、本地策略——>審核策略 (可選用)
審核策略更改 成功 失敗
審核登錄事件 成功 失敗
審核對(duì)象訪問 失敗
審核過程跟蹤 無審核
審核目錄服務(wù)訪問 失敗
審核特權(quán)使用 失敗
審核系統(tǒng)事件 成功 失敗
審核賬戶登錄事件 成功 失敗
審核賬戶管理 成功 失敗
B、本地策略——>用戶權(quán)限分配
關(guān)閉系統(tǒng)：只有Administrators組、其它全部刪除。
通過終端服務(wù)拒絕登陸：加入Guests、Users組
通過終端服務(wù)允許登陸：只加入Administrators組，其他全部刪除
C、本地策略——>安全選項(xiàng)
交互式登陸：不顯示上次的用戶名 啟用
網(wǎng)絡(luò)訪問：可匿名訪問的共享 全部刪除
網(wǎng)絡(luò)訪問：可匿名訪問的命名管道 全部刪除
**網(wǎng)絡(luò)訪問：可遠(yuǎn)程訪問的注冊(cè)表路徑 全部刪除
**網(wǎng)絡(luò)訪問：可遠(yuǎn)程訪問的注冊(cè)表路徑和子路徑 全部刪除
帳戶：重命名來賓帳戶 重命名一個(gè)帳戶
(下面一項(xiàng)更改可能導(dǎo)致sqlserver不能使用)
帳戶：重命名系統(tǒng)管理員帳戶 重命名一個(gè)帳戶
二、iis配置(包括網(wǎng)站所在目錄)
1.新建自己的網(wǎng)站(*注意：在應(yīng)用程序設(shè)置中執(zhí)行權(quán)限設(shè)為無，在需要的目錄里再更改)，目錄不在系統(tǒng)盤
注：為支持asp.net,將系統(tǒng)盤\Inetpub\wwwroot中的aspnet_client文件夾復(fù)制到web根目錄下，并給web根目錄加上users權(quán)限。
2.刪掉系統(tǒng)盤\inetpub目錄
3.刪除不用的映射
在"應(yīng)用程序配置"里，只給必要的腳本執(zhí)行權(quán)限：ASP、ASPX。
4.為網(wǎng)站創(chuàng)建系統(tǒng)用戶
A.例如：網(wǎng)站為yushan43436.net，新建用戶yushan43436.net權(quán)限為guests。然后在web站點(diǎn)屬性里"目錄安全性"---"身份驗(yàn)證和訪問控制"里設(shè)置匿名訪問使用下列Windows 用戶帳戶"的用戶名和密碼都使用yushan43436.net這個(gè)用戶的信息。(用戶名：主機(jī)名\yushan43436.net)
B.給網(wǎng)站所在的磁盤目錄添加用戶yushan43436.net，只給讀取和寫入的權(quán)限。
5.設(shè)置應(yīng)用程及子目錄的執(zhí)行權(quán)限
A.主應(yīng)用程序目錄中的"屬性--應(yīng)用程序設(shè)置--執(zhí)行權(quán)限"設(shè)為純腳本
B.在不需要執(zhí)行asp、asp.net的子目錄中，例如上傳文件目錄，執(zhí)行權(quán)限設(shè)為無
6.應(yīng)用程序池設(shè)置
我的網(wǎng)站使用的是默認(rèn)應(yīng)用程序池。設(shè)置"內(nèi)存回收"：這里的最大虛擬內(nèi)存為：1000M，最大使用的物理內(nèi)存為256M，這樣的設(shè)置幾乎是沒限制這個(gè)站點(diǎn)的性能的。
回收工作進(jìn)程(分鐘)：1440
在下列時(shí)間回收工作進(jìn)程：06:00
三、sql server 2000 配置
1.密碼設(shè)置
我編的程序用了sa用戶，密碼設(shè)置超復(fù)雜(自己記不住，保存在手機(jī)里，嘿嘿)。
2.刪除危險(xiǎn)的擴(kuò)展存儲(chǔ)過程和相關(guān).dll。
3.Xp_cmdshell(這個(gè)肯定首當(dāng)其沖，不用說了)、Xp_regaddmultistring、Xp_regdeletekey、Xp_regdeletevalue、Xp_regenumvalues、Xp_regread、Xp_regwrite、Xp_regremovemultistring
漏洞一直很多前段時(shí)間我自己的服務(wù)器就出現(xiàn)了一個(gè)sql的臨時(shí)儲(chǔ)存過程漏洞漏洞擴(kuò)展：xp_dirtree儲(chǔ)存過程。
　　事前：最近發(fā)現(xiàn)一個(gè)漏洞是sql服務(wù)器造成的
前幾天正好沒有什么事情，就用阿d的sql注入工具對(duì)自己服務(wù)器的網(wǎng)站進(jìn)行注入，偶然發(fā)現(xiàn)了使用mssql的網(wǎng)站浸染可以利用sql注入的形式得到整個(gè)服務(wù)器上所有目錄（我的服務(wù)器作了安全設(shè)置的）依然可以看見，然后在服務(wù)器上安裝了一個(gè)抓包工具對(duì)sql server進(jìn)行抓包發(fā)現(xiàn)，使用工具連接sql漏洞xp_dirtree讀取目錄，可獲得整個(gè)服務(wù)器目錄，如列出c盤目錄他會(huì)把你c盤下的所有目錄列出來，這樣是很不安全的，目前是只可以查處目錄上穿東西，大家可以設(shè)想一下，如果我隨意修改一個(gè)boot.ini覆蓋了c盤的boot.ini是一個(gè)什么概念，呵呵首先可以導(dǎo)致服務(wù)其癱瘓，無法讀取系統(tǒng)
解決方案：刪除xp_dirtree，命令是sp_dropextendedproc 'xp_dirtree'
刪除了以上的那個(gè)組建您在使用阿d或者任何的sql注入工具都是白搭
　　在這里也給大家提供一些其他sql危險(xiǎn)的儲(chǔ)存過程
　　建議刪除
　　[注意：所有刪除sql儲(chǔ)存過程的操作必須在mssql查詢分析器里操作，下面哪些前面的是儲(chǔ)存過程的名字后面是刪除儲(chǔ)存過程的命令]
先來列出危險(xiǎn)的內(nèi)置存儲(chǔ)過程：

 

xp_cmdshell sp_dropextendedproc 'xp_cmdshell'
xp_regaddmultistring sp_dropextendedproc 'xp_regaddmultistring'
xp_regdeletekey sp_dropextendedproc 'xp_regdeletekey'
xp_regdeletevalue sp_dropextendedproc 'xp_regdeletevalue'
xp_regenumkeys sp_dropextendedproc 'xp_regenumkeys'
xp_regenumvalues sp_dropextendedproc 'xp_regenumvalues'
xp_regread sp_dropextendedproc 'xp_regread'
xp_regremovemultistring sp_dropextendedproc 'xp_regremovemultistring'
xp_regwrite sp_dropextendedproc 'xp_regwrite'

ActiveX腳本：

 

sp_OACreate sp_dropextendedproc 'sp_OACreate'
sp_OADestroy sp_dropextendedproc 'sp_OADestroy'
sp_OAMethod sp_dropextendedproc 'sp_OAMethod'
sp_OAGetProperty sp_dropextendedproc 'sp_OAGetProperty'
sp_OAGetErrorInfo sp_dropextendedproc 'sp_OAGetErrorInfo'
sp_OAStop sp_dropextendedproc 'sp_OAStop'

四、其它設(shè)置(可選用，本人可不負(fù)責(zé))
1.任何用戶密碼都要復(fù)雜，不需要的用戶---刪。
2.防止SYN洪水攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名為SynAttackProtect，值為2
3.禁止響應(yīng)ICMP路由通告報(bào)文
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface
新建DWORD值，名為PerformRouterDiscovery 值為0
4.防止ICMP重定向報(bào)文的攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
將EnableICMPRedirects 值設(shè)為0
5.不支持IGMP協(xié)議
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名為IGMPLevel 值為0
6.禁用DCOM：
運(yùn)行中輸入 Dcomcnfg.exe。 回車， 單擊“控制臺(tái)根節(jié)點(diǎn)”下的“組件服務(wù)”。 打開“計(jì)算機(jī)”子文件夾。
對(duì)于本地計(jì)算機(jī)，請(qǐng)以右鍵單擊“我的電腦”，然后選擇“屬性”。選擇“默認(rèn)屬性”選項(xiàng)卡。
清除“在這臺(tái)計(jì)算機(jī)上啟用分布式 COM”復(fù)選框。
7.卸載不安全組件。
[code]
regsvr32/u C:\Windows\System32\wshom.ocx
regsvr32/u C:\Windows\System32\shell32.dll 在CMD 下執(zhí)行以上兩個(gè)命令。
五.防止Serv-U權(quán)限提升
其實(shí)，注銷了Shell組件之后，侵入者運(yùn)行提升工具的可能性就很小了，但是prel等別的腳本語言也有shell能力，為防萬一，還是設(shè)置一下為好。
用Ultraedit打開ServUDaemon.exe查找Ascii：LocalAdministrator，和[email=#l@$ak#.lk;0@P]#l@$ak#.lk;0@P[/email]，修改成等長(zhǎng)度的其它字符就可以了，ServUAdmin.exe也一樣處理。
另外注意設(shè)置Serv-U所在的文件夾的權(quán)限，不要讓IIS匿名用戶有讀取的權(quán)限，否則人家下走你修改過的文件，照樣可以分析出你的管理員名和密碼。
利用ASP漏洞攻擊的常見方法及防范
一般情況下，黑客總是瞄準(zhǔn)論壇等程序，因?yàn)檫@些程序都有上傳功能，他們很容易的就可以上傳ASP木馬，即使設(shè)置了權(quán)限，木馬也可以控制當(dāng)前站點(diǎn)的所有文件了。另外，有了木馬就然后用木馬上傳提升工具來獲得更高的權(quán)限，我們關(guān)閉shell組件的目的很大程度上就是為了防止攻擊者運(yùn)行提升工具。
如果論壇管理員關(guān)閉了上傳功能，則黑客會(huì)想辦法獲得超管密碼，比如，如果你用動(dòng)網(wǎng)論壇并且數(shù)據(jù)庫(kù)忘記了改名，人家就可以直接下載你的數(shù)據(jù)庫(kù)了，然后距離找到論壇管理員密碼就不遠(yuǎn)了。
作為管理員，我們首先要檢查我們的ASP程序，做好必要的設(shè)置，防止網(wǎng)站被黑客進(jìn)入。另外就是防止攻擊者使用一個(gè)被黑的網(wǎng)站來控制整個(gè)服務(wù)器，因?yàn)槿绻�你的服�?wù)器上還為朋友開了站點(diǎn)，你可能無法確定你的朋友會(huì)把他上傳的論壇做好安全設(shè)置。這就用到了前面所說的那一大堆東西，做了那些權(quán)限設(shè)置和防提升之后，黑客就算是進(jìn)入了一個(gè)站點(diǎn)，也無法破壞這個(gè)網(wǎng)站以外的東西。
后記
也許有安全高手或者破壞高手看了我的文章會(huì)嘲笑或者竊喜，但我想我的經(jīng)驗(yàn)里畢竟還是存在很多正確的地方，有千千萬萬的比我知道的更少的人像我剛開始完全不懂的時(shí)候那樣在渴求著這樣一篇文章，所以我必須寫，我不管別人怎么說我，我也不怕后世會(huì)有千千萬萬的人對(duì)我唾罵，我一個(gè)人承擔(dān)下來，我也沒有娘子需要交代的……
因?yàn)檫@其實(shí)只是拋磚引玉的做法，從別人的笑聲中，我和我的讀者們都可以學(xué)到更多有用的東西。