怎样的WEB服务器才安全，我急啊

Question

刚来一家公司几天，公司的WEB服务器就被黑掉了，上面还给装了一个灰鸽子，去电信机房整了我一天才弄好，我做了如下设置：（系统是2003SERVER）1.修改3389端口和SQLserver默认端口
2.禁止了不必要的服务
3.删除了SQLSERVER的很多扩展存储过程
4.给每个客户的文件夹分配了单独的权限但是小弟经验不足，还是不放心，各位有没有什么高招，给我指点一下，谢谢先！

Answer 1

系统补丁
sa的密码要强健
程序要防止sql注入

Answer 2

在很多方面要注意:
服务器的权限要做好.特别是系统盘.
应用软件少装,数据库和WEB最好分开.MS SQL数据库的权限要仔细设
FTP如果是用Serv-u最好把默认用户名和密码改掉,否则6.0以下可以轻易提权
网站方面防注入,防止上传WEB木马

Answer 3

我将每个盘的默认权限都设置到只留下adminstrator
然后给客户文件夹权限只加了一个独立的用户和power user权限
再装了啊一个正版的瑞星和防火墙
请问大家还有没有好的WEB服务器防御工具和漏洞扫描工具，有的话帖出来让大家学习一下，谢谢·

Answer 4

找到了一款扫描工具，应该不错的呵呵：
X-Scan 漏洞扫描工具V3.1
http://download.chinaitlab.com/testdoc/files/7021.html

Answer 5

抱歉，这个地址才能下
http://www.xfocus.net/tools/200407/756.html

Answer 6

微软自己提供了一个软件，名字叫
Microsoft Baseline Security Analyzer 
可以到微软的网上下载

Answer 7

ASP安全配置不完全手册 也不错呵呵
http://www.esoutong.com/bbs/dispbbs.asp?boardid=7&ID=117&replyID=201&skin=1

Answer 8

删除sqlserver中的sa帐户
http://publish.it168.com/2006/0223/20060223299401.shtml?positioncode=1547

Answer 9

发现只要在2003下
删除组建
1.regsvr32 /u wshom.ocx
2.del wshom.ocx
并禁止
3.Workstation服务禁用作为防范措施
就算上传最狠的2006海洋顶端木马也运行不料呵呵

Answer 10

我觉得现在已经基本安全了呵呵
那么如何控制黑客利用灰鸽子之类的工具和DDOC攻击？？谢谢高人再指点一下，谢谢！

Answer 11

上面的都总结得很好！！我都不用说什么了！！别的漏洞都好防范，，例系统打补丁，密码强健性等等。。最怕的是SQL注入，，必竟这是跟程序员写代码的经验有关系的。这种漏洞也最不好防范。。

Answer 12

灰鸽子 你再服务器上设置不能从服务器上连接别的 端口 这个反响也没办法了 灰鸽子就是方向连接的ddos 是没办法的 正常的连接 装硬件防火墙

Answer 13

这里假设你windows安装了IIS服务,mail、ftp、MS SQL、PcAnyWhere
依次为本地连接-属性
选中InterNet协议(TCP-IP)
单击属性-高级-选项
选中TCP/IP筛选，单击属性
选中启用TCP/IP筛选（所有适配器）
然后在TCP端口中选中只允许
单击添加依次添加各个服务所需的TCP端口
我这里给出常用服务的各个端口
IIS 80
FTP 21 启用后需要FTP客户端关闭PSAV才能连接
SMTP 25
POP3 110
MS SQL 1433
Mysql 3306
PcAnywhere 5631
Windows远程客户端 3389

Answer 14

其他的都好了哈哈，
但是我在FTP客户端了关闭了PSAV为什么能连接上但看不到文件列表呢？？？？？？？？

Answer 15

http://www.microsoft.com/china/technet/security/guidance/secmod89.mspx#EKAA

Answer 16

继续学习
其他的都好了，但是我在FTP客户端了关闭了PSAV为什么能连接上但看不到文件列表呢？？？？？？？？

Answer 17

要是哪个security老大来份实践总结就好了,我也在网上找过资料照着设置，通常都不够完全，最后还得被黑，后来用了ip安全策略后好点了,我觉得ip安全策略比启用TCP/IP筛选好用，不知道对否
我的安全策略
---------------------------------------------------
源地址     目标地址     源端口       目标端口   操作
---------------------------------------------------
任何ip       我的ip       任意        tcp 80    许可
任何ip       我的ip       任意        tcp 21    许可
任何ip       我的ip       任意        tcp 1433  许可
任何ip       我的ip       任意        tcp 3389  许可
任何ip       我的ip       tcp 20      任意      许可  （的的ftp使用port模式）
任何ip       我的ip       任意 tcp    任意 tcp  拒绝
  

Answer 18

maip(net)，ip安全策略在那里设置啊 ，等讨论完了我好好整理一下

Answer 19

Programs > Administrative Tools > Local Security Policy > IP Security Policies on Local Machine 到这里自己创建策略，建议你找台机子做测试，不然设置错了，就得跑机房了，我当初就是-_-

Answer 20

终于搜到了呵呵
+++++++++++++++++++++++IP安全策略 VS 特洛伊木马 ++++++++++++++++++++++++++当木马悄悄打开某扇“方便之门”（端口）时，不速之客就会神不知鬼不觉地侵入你的电脑。如果被种下木马其实也不必担心，首先我们要切断它们与外界的联系（就是 堵住可疑端口）。 
　　在Win 2000/XP/2003系统中，Microsoft管理控制台（MMC）已将系统的配置功能汇集成配置模块，大大方便我们进行特殊的设置（以Telnet利用的23端口为例，笔者的操作系统为Win XP）。 
　　操作步骤　　首先单击“运行”在框中输入“mmc”后回车，会弹出“控制台1”的窗口。我们依次选择“文件→添加/删除管理单元→在独立标签栏中点击‘添加’→IP安全策略管理”，最后按提示完成操作。这时，我们已把“IP安全策略，在本地计算机”（以下简称“IP安全策略”）添加到“控制台根节点”下。　　现在双击“IP安全策略”就可以新建一个管理规则了。右击“IP安全策略”，在弹出的快捷菜单中选择“创建IP安全策略”，打开IP安全策略向导，点击“下一步→名称默认为‘新IP安全策略’→下一步→不必选择‘激活默认响应规则’”（注意：在点击“下一步的同时，需要确认此时“编辑属性”被选中），然后选择“完成→在“新IP安全策略属性→添加→不必选择‘使用添加向导’”。　　在寻址栏的源地址应选择“任何IP地址”，目标地址选择“我的IP地址”（不必选择镜像）。在协议标签栏中，注意类型应为TCP，并设置IP协议端口从任意端口到此端口23，最后点击“确定”即可。这时在“IP筛选器列表”中会出现一个“新IP筛选器”，选中它，切换到“筛选器操作”标签栏，依次点击“添加→名称默认为‘新筛选器操作’→添加→阻止→完成”。　　新策略需要被激活才能起作用，具体方法是：在“新IP安全策略”上点右键，“指派”刚才制定的策略。　　效果　　现在，当我们从另一台电脑Telnet到设防的这一台时，系统会报告登录失败；用扫描工具扫描这台机子，会发现23端口仍然在提供服务。以同样的方法，大家可以把其它任何可疑的端口都封杀掉，让不速之客们大叫“不妙”去吧!