WIN2003服务器安全配置方法
网上流传的很多关于windows server 2003系统的安全配置，但是仔细分析下发现很多都不全面，并且很多仍然配置的不够合理，并且有很大的安全隐患，今天我决定仔细做下极端BT的2003服务器的安全配置，让更多的网管朋友高枕无忧。
我们配置的服务器需要提供支持的组件如下：（ASP、ASPX、CGI、PHP、FSO、JMAIL、MySql、SMTP、POP3、FTP、3389终端服务、远程桌面Web连接管理服务等），这里前提是已经安装好了系统，IIS，包括FTP服务器，邮件服务器等，这些具体配置方法的就不再重复了，现在我们着重主要阐述下关于安全方面的配置。
关于常规的如安全的安装系统，设置和管理帐户，关闭多余的服务，审核策略，修改终端管理端口，以及配置MS-SQL，删除危险的存储过程，用最低权限的public帐户连接等等，都不说了
先说关于系统的NTFS磁盘权限设置，大家可能看得都多了，但是2003服务器有些细节地方需要注意的，我看很多文章都没写完全。
C盘只给administrators 和system权限，其他的权限不给，其他的盘也可以这样设置，这里给的system权限也不一定需要给，只是由于某些第三方应用程序是以服务形式启动的，需要加上这个用户，否则造成启动不了。
Windows目录要加上给users的默认权限，否则ASP和ASPX等
应用程序就无法运行。以前有朋友单独设置Instsrv和temp等
目录权限，其实没有这个必要的。
另外在c:/Documents and Settings/这里相当重要，后面的目录里的权限根本不会继承从前的设置，如果仅仅只是设置了C盘给administrators权限，而在All
Users/Application Data目录下会出现everyone用户有完全控制权限，这样入侵这可以跳转到这个目录，写入脚本或只文件，再结合其他漏洞来提升权限；譬如利用serv-u的本地溢出提升权限，或系统遗漏有补丁，数据库的弱点，甚至社会工程学等等N多方法，从前不是有牛人发飑说："只要给我一个webshell，我就能拿到system"，这也的确是有可能的。在用做web/ftp服务器的系统里，建议是将这些目录都设置的锁死。其他每个盘的目录都按照这样设置，没个盘都只给adinistrators权限。
另外，还将：net.exe，cmd.exe，tftp.exe，netstat.exe，regedit.exe，at.exe，attrib.exe，cacls.exe，这些文件都设置只允许administrators访问。
把不必要的服务都禁止掉，尽管这些不一定能被攻击者利用得上，但是按照安全规则和标准上来说，多余的东西就没必要开启，减少一份隐患。
在"网络连接"里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP），由于要控制带宽流量服务，额外安装了Qos数据包计划程序。在高级tcp/ip
设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。在高级选项里，使用"Internet 连接防火墙"，这是windows 2003 自带的防火墙，在2000系统里没有的功能，虽然没什么功能，但可以屏蔽端口，这样已经基本达到了一个IPSec的功能。
这里我们按照所需要的服务开放响应的端口。在2003系统里，不推荐用TCP/IP筛选里的端口过滤功能，譬如在使用FTP服务器的时候，如果仅仅只开放21端口，由于FTP协议的特殊性，在进行FTP传输的时候，由于FTP 特有的Port模式和Passive模式，在进行数据传输的时候，需要动态的打开高端口，所以在使用TCP/IP过滤的情况下，经常会出现连接上后无法列出目录和数据传输的问题。所以在2003系统上增加的windows连接防火墙能很好的解
决这个问题，所以都不推荐使用网卡的TCP/IP过滤功能。
SERV-U FTP 服务器的设置：
一般来说，不推荐使用srev-u做ftp服务器，主要是漏洞出现的太频繁了，但是也正是因为其操作简单，功能强大，过于流行，关注的人也多，才被发掘出bug来，换做其他的ftp 服务器软件也一样不见得安全到哪儿去。
当然，这里也有款功能跟serv-u同样强大，比较安全的ftp软件：Ability FTP Server
下载地址：https://www.doczj.com/doc/cb853939.html,/showarticle.asp?NewsID=4096
设置也很简单，不过我们这里还是要迎合大众胃口，说说关于serv-u的安全设置。
首先，6.0比从前5.x版本的多了个修改本地LocalAdministrtaor的密码功能，其实在5.x 版本里可以用ultraedit-32等编辑器修改serv-u程序体进行修改密码端口，6.0修补了这个隐患，单独拿出来方便了大家。不过修改了管理密码的serv-u是一样有安全隐患的，两个月前臭要饭的就写了新的采用本地sniff方法获取serv-u的管理密码的exploit，正在网上火卖着，不过这种sniff的方法，同样是在获得webshell的条件后还得有个能在目录里有"执行"的权限，并且需要管理员再次登陆运行serv-u administrator的时候才能成功。所以我们的管理员要尽量避上以上几点因素，也是可以防护的。
另外serv-u的几点常规安全需要设置下：
选中"Block "FTP_bounce"attack and FXP"。什么是FXP呢？通常，当使用FTP协议进行文件传输时，客户端首先向FTP服务器发出一个"PORT"命令，该命令中包含此用户的IP地址和将被用来进行数据传输的端口号，服务器收到后，利用命令所提供的用户地址信息建立与用户的连接。大多数情况下，上述过程不会出现任何问题，但当客户端是一名恶意用户时，可能会通过在PORT命令中加入特定的地址信息，使FTP服务器与其它非客户端的机器建立连接。虽然这名恶意用户可能本身无权直接访问某一特定机器，但是如果FTP服务器有权访问该机器的话，那么恶意用户就可以通过FTP服务器作为中介，仍然能够最终实现与目标服务器的连接。这就是FXP，也称跨服务器攻击。选中后就可以防止发生此种情况。
另外在"Block anti time-out schemes"也可以选中。其次，在"Advanced"选项卡中，检查"Enable security"是否被选中，如果没有，选择它们。
Windows2003 建立WEB服务器 2007-07-12 19:25 Windows 2003 Standard Edition、Windows 2003 Enterprise Edition、Windows XP Professional 、Windows 2000 Server、Windows 2000 Advanced Server 以及 Windows 2000 Professional 的默认安装都带有 IIS 。在系统的安装过程中IIS是默认不安装的，在系统安装完毕后可以通过添加删除程序加装 IIS。 IIS 是微软推出的架设 WEB、FTP、SMTP 服务器的一套整合系统组建，捆绑在上列NT核心的服务器系统中。本文针对通过Windows2003 IIS组件配合花生壳动态域名解析软件向互联网提供WEB服务。 第一步：安装组件 在控制面板的添加/删除程序——Windows组件向导——应用程序服务器——选中“https://www.doczj.com/doc/cb853939.html,”，然后他就会自动把“Internet 信息服务(IIS”的相关服务也装上。如下图： 在选定需要安装的服务后安装向导会提示需要插入Windows 2003安装光盘，这时您插入安装盘按照提示进行安装，IIS中的WEB很快便自动安装完成。 第二步：建立网络通讯部分，为所建立的WEB服务设置动态域名解析服务配置 1.下载花生壳动态域名解析软件并安装。登录oray网站[产品中心]—[花生壳]—[下载花生壳客户端]
2.运行花生壳软件，点击“注册新护照”，根据弹出注册护照窗口提示进行注册。注册新护照完成后，使用所注册的护照名称和密码填入花生壳软件中进行登陆。
Windows Server 2008 R2 WEB 服务器安全设置指南(四)之禁用不必要的服务和关闭端口 安全是重中之重，以最少的服务换取最大的安全。通过只启用需要用到的服务、关闭暂时用不到的服务或不用的服务，这样最大程度来提高安全性。 作为web服务器，并不是所有默认服务都需要的，所以像打印、共享服务都可以禁用。当然了，你的系统补丁也需要更新到最新，一些端口的漏洞已经随着补丁的更新而被修复了。网上的一些文章都是相互复制且是基于win2003系统较多，而win2008相比win2003本身就要安全很多。 那我们为什么还要谈关闭端口呢，因为我们要防患于未然，万一服务器被黑就不好玩了。 禁用不必要的服务 控制面板―――管理工具―――服务：把下面的服务全部停止并禁用。 TCP/IP NetBIOS Helper Server 这个服务器需要小心。天翼云主机需要用到这个服务，所以在天翼云主机上不能禁用。 Distributed Link Tracking Client Microsoft Search 如果有，则禁用
Print Spooler Remote Registry 因为我们使用的是云主机，跟单机又不一样，所以有些服务并不能一概而论，如上面的Server服务。例如天翼云的主机，上海1和内蒙池的主机就不一样，内蒙池的主机需要依赖Server服务，而上海1的不需要依赖此服务，所以上海1的可以禁用，内蒙池就不能禁用了。 所以在禁用某一项服务时必须要小心再小心。 删除文件打印和共享 本地连接右击属性，删除TCP/IPV6、Microsoft网络客户端、文件和打印共享。
Windows Server系统自身安全防护措施 提示： 为慎重操作，可以先在测试机做关闭测试，最好通过与厂方工程师商定后再设置。 一、关闭服务器不必要端口 利用win2003自带防火墙关闭所有端口，如就留一个端口：80 。（设置有两种方法，一个使用windows自带防火墙设，一个实在TCP/IP属性里设。） 设置方法： 1、在“网络连接”属性里设置windows防火墙。 2、将需要打开的端口添加进去。建议大家尽可能少打开端口。尽量不要开远程桌面。
二、在服务中关闭不必要的服务 以下服务可以关闭： Computer Browser 维护网络上计算机的最新列表以及提供这个列表 Task scheduler 允许程序在指定时间运行 Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务Removable storage 管理可移动媒体、驱动程序和库 Remote Registry Service 允许远程注册表操作 Print Spooler 将文件加载到内存中以便以后打印。要用打印机的朋友不能禁用这项IPSEC Policy Agent 管理IP安全策略以及启动ISAKMP/OakleyIKE）和IP安全驱动程序Distributed Link Tracking Client 当文件在网络域的NTFS卷中移动时发送通知Com+ Event System 提供事件的自动发布到订阅COM组件 Alerter 通知选定的用户和计算机管理警报 Error Reporting Service 收集、存储和向 Microsoft 报告异常应用程序Messenger 传输客户端和服务器之间的 NET SEND 和警报器服务消息 Telnet 允许远程用户登录到此计算机并运行程序
第十三周配置Web服务器 教学时 间第十三周2008-5-13 教学课 时 3 教案序 号 32-34 教学目标1、理解IIS服务器和WEB服务器 2、掌握IIS的安装 3、掌握WEB服务器配置 4、学会建立多个WEB站点 5、学会建立与访问虚拟目录 教学过程： 一、IIS简介 1、什么是IIS？ IIS（Internet Information Server，互联网信息服务）是一种Web（网页）服务组件，提供了可用于Internet或局域网上的构建WEB服务器的能力。 IIS包括Web服务器、FTP服务器、NNTP服务器和SMTP服务器，分别用于网页浏览、文件传输、新闻服务和邮件发送等。 但我们主要使用的是WEB服务功能，FTP、邮件等功能我们一般不用IIS，因为还有更好的软件。2、什么是WEB服务器？ 能提供网站访问的服务器叫Web服务器。 IIS是Windows系统中最常见的Web服务器，它支持HTML静态网页和ASP动态网页。 APACHE是另一种WEB服务器，一般用于LINUX、UNIX系统，但也可以用于WINDOWS系统，它一般用于HTML和PHP网页。 系统中只能同时装一种WEB服务器，一般不用同时安装IIS和APACHE。
3、IIS用于什么系统？ IIS专用于Windows系统。 Win2000专用版、WinXP中带来的是IIS的基本版，只能建一个网站，同时访问用户不能超过10个。 Win2000服务器版、Win2003中带来的是IIS的高级版，能同时建多个网站，访问用户没限制。 Win98中的中没有IIS，但有PWS，功能相似。 二、IIS安装 1、“开始”——“管理您的服务器”——“添加或删除服务器角色”，接下去按照向导进行安装。 2、“开始”——“控制面板”——“添加或删除程序”——“添加/删除windows组件”，接下去按照windows组件向导进行安装。 IIS下载 三、WEB服务器配置 基于HTTP协议的WEB服务是互联网上使用得最多的服务，IIS是windows平台上使用最多的WEB服务器。 1、建立站点前做好以下准备： （1）IP地址和DNS域名 （2）建立网站的主目录和所使用的网页，设置首页面的文件名为default.htm、default.asp、index.htm 和default.aspx。 2、建立站点： （1）“开始”——“管理工具”——“IIS服务器” （2）右击“网站”——“新建”——“网站” （3）根据向导进行WEB站点设置 3、设置站点属性 右击“网站”——“属性”，在对话框内可以进行IP地址、主目录、首页文档等重要设置。 （1）配置网站 （2）配置性能 （3）配置主目录 （4）配置文档：设置网站首页文件类型
服务器基本安全配置 1.用户安全 (1)运行lusrmgr.msc,重命名原Administrator用户为自定义一定长度的名字，并新建同名 Administrator普通用户，设置超长密码去除所有隶属用户组。 (2)运行gpedit.msc——计算机配置—安全设置—账户策略—密码策略 启动密码复杂性要求，设置密码最小长度、密码最长使用期限，定期修改密码保证服务器账户的密码安全。 (3)运行gpedit.msc——计算机配置—安全设置—账户策略—账户锁定策略 启动账户锁定，设置单用户多次登录错误锁定策略，具体设置参照要求设置。
(4)运行gpedit.msc——计算机配置—安全设置—本地策略—安全选项 交互式登录:不显示上次的用户名；——启动 交互式登录：回话锁定时显示用户信息；——不显示用户信息 (5)运行gpedit.msc——计算机配置—安全设置—本地策略—安全选项 网络访问：可匿名访问的共享；——清空 网络访问：可匿名访问的命名管道；——清空 网络访问：可远程访问的注册表路径；——清空 网络访问：可远程访问的注册表路径和子路径；——清空 (6)运行gpedit.msc——计算机配置—安全设置—本地策略 通过终端服务拒绝登陆——加入一下用户（****代表计算机名）ASPNET Guest IUSR_***** IWAM_***** NETWORK SERVICE SQLDebugger 注：用户添加查找如下图：
(7)运行gpedit.msc——计算机配置—安全设置—本地策略—策略审核 即系统日志记录的审核消息，方便我们检查服务器的账户安全，推荐设置如下： (8)
Windows Server 2003服务器配置 一、DNS服务器的安装与配置 实训目的 1.掌握DNS服务器的相关配置。 2.完成DNS客户端的域名解析设置。 3.完成DNS服务的验证。 实训设备与环境 一台Windows 2003 Server 域控制器，一台Windows 2000 Professional客户机。 两台机器按如图1所示，完成相关的设置。 图1 DNS服务配置实例图 实训内容 1.DNS服务器的安装 2.DNS客户端设置 3.DNS服务器的配置与管理 实训步骤 1.如果在安装域控制器时，已经选择安装DNS服务器，则不需要再进行二次安装，如果原来没有DNS服务器，则可参考7.1节内容完成DNS服务器的安装。主要包括以下步骤： (1)选择一台已经安装好Windows 2003的服务器（https://www.doczj.com/doc/cb853939.html,），确认其已安装了TCP/IP协议，先设置服务器自己TCP/IP协议的属性。 (2)运行【开始】/【设置】/【网络和拨号连接】，鼠标右键单击【本地连接】，选择【属性】/【Internet协议（TCP/IP）】/【属性】，设置IP地址为192.168.100.1，子网掩码为255.255.255.0，DNS服务器地址为192.168.100.1。
(3)运行【控制面板】中的【添加/删除程序】选项，选择【添加/删除Windows组件】。 (4)选择【网络服务】复选框，并单击【详细信息】按钮。 (5)在【网络服务】对话框中，选择【域名系统（DNS）】，单击【确定】按钮，系统开始自动安装相应服务程序。 2.完成DNS客户端设置。 (1)选择一台装有Windows 2000 Professional的客户机（work），确认其已安装了TCP/IP协议，设置TCP/IP协议的属性。 (2)运行【开始】/【设置】/【网络和拨号连接】，鼠标右键单击【本地连接】，选择【属性】/【Internet协议（TCP/IP）】/【属性】，设置IP地址为192.168.100.2，子网掩码为255.255.255.0，DNS服务器地址为192.168.100.1。 3.新建一个正向搜索区域（标准正向搜索区域），名为“https://www.doczj.com/doc/cb853939.html,”。 (1)选择【开始】/【程序】/【管理工具】/【DNS】，打开DNS管理窗口。 (2)选取要创建区域的DNS服务器，右键单击【正向查找区域】选择【新建区域】，出现【欢迎使用新建区域向导】对话框时，单击【下一步】按钮。 (3)在出现的对话框中选择要建立的区域类型，这里我们选择【主要区域】，单击【下一步】。 (4)在【区域名称】命名对话框时，输入新建主区域的区域名https://www.doczj.com/doc/cb853939.html,，然后单击【下一步】。 (5)在出现的对话框中单击【完成】按钮，结束区域添加。 4.在“https://www.doczj.com/doc/cb853939.html,”中建立work主机记录。IP地址为“192.168.100.2”。 (1)选中要添加主机记录的主区域https://www.doczj.com/doc/cb853939.html,，右键单击选择菜单【新建主机】。 (2)在【名称】下输入计算机的主机名work，在【IP地址】文本框中输入相应的主机IP地址192.168.100.2。 (3)如果要将新添加的主机IP地址与反向查询区域相关联，选中【创建相关的指针（PRT）记录】复选框，将自动生成相关反向查询记录，即由地址解析名称。 (4)可重复上述操作重复添加多个主机，添加完毕后，单击【确定】关闭对话框，会在【DNS管理器】中增添相应的记录。 5.创建一个反向搜索区域，其对应的IP网络地址为192.168.100.0。 (1)选择【开始】/【程序】/【管理工具】/【DNS】，打开DNS管理窗口。 (2)选取要创建区域的DNS服务器，右键单击【反向搜索区域】选择【新建区域】，出现【欢迎使用新建区域向导】对话框时，单击【下一步】按钮。 (3)在出现的对话框中选择要建立的区域类型，这里我们选择【主要区域】，单击【下一步】。 (4)在【网络ID】处输入此区域支持的网络ID，例如：192.168.100，自动在【反向搜索区域名称】处设置区域名【100.168.192.in-addr.arpa】。 (5)单击【下一步】，文本框中会自动显示默认的区域文件名。单击【下一步】完成。 6.创建一个反向指针，其IP地址为“192.168.100.2”，对应的域名为“https://www.doczj.com/doc/cb853939.html,”。 (1)选中要添加主机记录的反向主区域192.168.100.x Subnet，右键单击选择菜单【新建指针】。
一、Windows 2003安全配置 确保所有磁盘分区为NTFS分区、操作系统、Web主目录、日志分别安装在不同的分区不要安装不需要的协议，比如IPX/SPX, NetBIOS? 不要安装其它任何操作系统 安装所有补丁（用瑞星安全漏洞扫描下载） 关闭所有不需要的服务
二、IIS的安全配置
三、删除Windows Server 2003默认共享
以上文件的内容用户可以根据自己需要进行修改。保存为delshare.bat，存放到系统所在文件夹下的 system32GroupPolicyUserScriptsLogon目录下。然后在开始菜单→运行中输入gpe dit.msc…回车即可打开组策略编辑器。点击用户配置→Windows设置→脚本（登录/注销）→登录在出现的“登录属性”窗口中单击“添加”，会出现“添加脚本”对话框，在该窗口的“脚本名”栏中输入delshare.bat，然后单击“确定”按钮即可。重新启动计算机系统，就可以自动将系统所有的隐藏共享文件夹全部取消了，这样就能将系统安全隐患降低到最低限度。 2、禁用IPC连接 IPC$(Internet Process Connection)是共享“命名管道”的资源，它是为了让进程间通信而开放的命名管道，通过提供可信任的用户名和口令，连接双方计算机即可以建立安全的通道并以此通道进行加密数据的交换，从而实现对远程计算机的访问。它是Windows NT/2000/XP/2003特有的功能，但它有一个特点，即在同一时间内，两个IP之间只允许建立一个连接。NT/2000/XP/2003在提供了ipc$功能的同时，在初次安装系统时还打开了默认共享，即所有的逻辑共享 （c$,d$,e$……）和系统目录winnt或windows（admin$）共享。所有的这些，微软的初衷都是为了方便管理员的管理，但也为简称为IPC入侵者有意或无意的提供了方便条件，导致了系统安全性能的降低。在建立IPC的连接中不需要任何黑客工具，在命令行里键入相应的命令就可以了，不过有个前提条件，那就是你需要知道远程主机的用户名和密码。打开CMD后输入如下命令即可进行连接：net use\ipipc$ password /user:usernqme。我们可以通过修改注册表来禁用IPC连接。打开注册表编辑器。找到如下组建HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa中的restrictanonymous子键，将其值改为1即可禁用IPC连接。 四、清空远程可访问的注册表路径 大家都知道，Windows 2003操作系统提供了注册表的远程访问功能，只有将远程可访问的注册表路径设置为空，这样才能有效的防止黑客利用扫描器通过远程注册表读取计算机的系统信息及其它信息。 打开组策略编辑器，依次展开“计算机配置→Windows 设置→安全设置→本地策略→安全选项”，在右侧窗口中找到“网络访问：可远程访问的注册表路径”，然后在打开的窗口中，将可远程访问的注册表路径和子路径内容全部设置为空即可。 五、关闭不必要的端口 对于个人用户来说安装中默认的有些端口确实是没有什么必要的，关掉端口也就是关闭无用的服务。139端口是NetBIOS协议所使用的端口，在安装了TCP/IP 协议的同时，NetBIOS 也会被作为默认设置安装到系统中。139端口的开放意味着硬盘可能会在网络中共享;网上黑客也可通过NetBIOS知道你的电脑中的一切!在以前的Windows版本中，只要不安装Microsoft网络的文件和打印共享协议，就可关闭139端口。但在Windows Server 2003中，只这样做是不行的。 如果想彻底关闭139端口，具体步骤如下：鼠标右键单击“网络邻居”，选择“属性”，进入“网络和拨号连接”，再用鼠标右键单击“本地连接”，选择“属性”，打开“本地连接属性”页，然后去掉“Microsoft网络的文件和打印共享”前面的
A W S服务器配置部署手 册 Company Document number：WTUT-WT88Y-W8BBGB-BWYTT-19998
aws服务器配置部署手册 一、实例的启动（创建） 1.什么是实例 在所有工作之前，我们来看一看什么是AmazonEC2.根据其官方文档的解释如下： 在知道什么是AmazonEC2,之后我们就可以开始我们的工作了。 AmazonEC2提供不同的实例类型，以便可以选择需要的CPU、内存、存储和网络容量来运行应用程序。登录帐号，进入EC2的控制面板，启动实例。 2.实例的相关配置 根据我们的需求选择MicrosoftWindowsServer2012R2Base，。 其他过程直接选择默认配置，点击配置安全组。 默认的安全组只有一个规则，这条规则对应的是远程桌面连接的端口。但是只有这条规则是不够的，为了方便我们之后服务器的配置以及网站的部署，我们得添加其他的规则，下图是我配置帕累托后台所用的安全组。（有关安全组端口作用在附件中有部分说明，详见附件1） 完成相关工作之后，点击审核和启动，会跳出如下页面，这一步很重要！因为在这创建的密钥对，以后都会用到。 在保存好密钥对之后就可以启动实例了。 3.绑定弹性IP 在导航栏中找到弹性IP，点击分配新地址。创建好之后右击，选择关联地址，将其关联到我们的实例上。
二、服务器的配置 1.远程桌面连接 实例在创建完成之后，就要配置服务器了。在配置服务器时，需要通过远程桌面连接进入实例进行配置。 首先查看我们实例的安全组有没有配置远程连接的端口，如果没有进行添加配置（导航栏中找到安全组，点击进入）。 若实例需要添加安全组，在安全组创建之后可以右击实例更改安全组进行安全组的绑定。 在完成端口的开放之后，就可以进行远程桌面连接了。右击我们的实例，点击连接，跳出如下画面。 首先通过之前保存的密钥对获取密码，然后通过下载的远程桌面文件和解密得到的密码进行连接。 2.服务器配置之添加角色和功能 进入后点击开始按钮，选择服务器管理器（实例中默认的服务器只有一个，我们的工作只需要一个，所以暂不做添加修改。） 点击第二项添加角色和功能，一路下一步，直到服务器和角色页面，勾选Web 服务器（IIS）选项（根据个人需求进行相关筛选）， 在功能页面同样勾选需要的功能，最后确认并安装。 3.服务器配置之防火墙配置 在服务器配置中还有一个非常重要的步骤——防火墙的配置。之前因为没有对防火墙进行相关配置，导致本人焦头烂额，始终无法从外部网络连接至服务器。
6、先关闭不需要的端口开启防火墙导入IPSEC策略 在” 网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP），由于要控制带宽流量服务，额外安装了Qos数据包计划程序。在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。在高级选项里，使用"Internet连接防火墙"，这是windows 2003 自带的防火墙，在2000系统里没有的功能，虽然没什么功能，但可以屏蔽端口，这样已经基本达到了一个IPSec 的功能。 然后点击确定—>下一步安装。（具体见本文附件1） ３、系统补丁的更新 点击开始菜单—>所有程序—>Windows Update 按照提示进行补丁的安装。 ４、备份系统 用GHOST备份系统。 ５、安装常用的软件 例如：杀毒软件、解压缩软件等；安装完毕后,配置杀毒软件,扫描系统漏洞,安装之后用GHOST再次备份
修改3389远程连接端口 修改注册表. 开始--运行--regedit 依次展开HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/ TERMINAL SERVER/WDS/RDPWD/TDS/TCP 右边键值中PortNumber 改为你想用的端口号.注意使用十进制(例10000 ) HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINAL SERVER/ WINSTATIONS/RDP-TCP/ 右边键值中PortNumber 改为你想用的端口号.注意使用十进制(例10000 )
服务器主机安全规范 启用防火墙 阿里云windows Server 2008 R2默认居然没有启用防火墙。2012可能也是这样的，不过这个一定要检查！ 补丁更新 启用windows更新服务，设置为自动更新状态，以便及时打补丁。 阿里云windows Server 2008 R2默认为自动更新状态，2012可能也是这样的，不过这个一定要检查！ 账号口令 优化账号 口令策略
网络服务 优化服务（1） 操作目的关闭不需要的服务，减小风险 加固方法“Win+R”键调出“运行”->services.msc，以下服务改为禁用： Application Layer Gateway Service（为应用程序级协议插件提供支持并启用网 络/协议连接） Background Intelligent Transfer Service（利用空闲的网络带宽在后台传输文 件。如果服务被停用，例如Windows Update 和 MSN Explorer的功能将无法自动 下载程序和其他信息） Computer Browser（维护网络上计算机的更新列表，并将列表提供给计算机指定浏 览） DHCP Client Diagnostic Policy Service Distributed Transaction Coordinator DNS Client Distributed Link Tracking Client Remote Registry（使远程用户能修改此计算机上的注册表设置） Print Spooler（管理所有本地和网络打印队列及控制所有打印工作） Server（不使用文件共享可以关闭，关闭后再右键点某个磁盘选属性，“共享”这个 页面就不存在了） Shell Hardware Detection TCP/IP NetBIOS Helper（提供 TCP/IP (NetBT) 服务上的NetBIOS 和网络 上客户端的NetBIOS 名称解析的支持，从而使用户能够共享文件、打印和登录到网 络）
WEB+FTP+Email服务器安全配置手册 作者：阿里西西 2006-8-11
目录第一章：硬件环境 第二章：软件环境 第三章：系统端口安全配置 第四章：系统帐户及安全策略配置 第五章：IIS和WEB站点文件夹权限配置第六章：FTP服务器安全权限配置 第七章：Email服务器安全权限配置 第八章：远程管理软件配置 第九章：其它安全配置建议 第十章：篇后语
一、硬件环境 服务器采用1U规格的机架式托管主机，大概配置为Nocona2.8G/1G DDR2/160G*2SATA 硬盘/双网卡/光驱软驱/3*USB2.0。 二、软件环境 操作系统：Windows Server 2003 Enterprise Edition sp1 WEB系统：Win操作系统自带IIS6，支持.NET 邮件系统：MDaemon 8.02英文版 FTP服务器系统：Serv-U 6.0.2汉化版 防火墙: BlackICE Server Protection，中文名：黑冰 杀毒软件：NOD32 2.5 远程管理控件：Symantec pcAnywhere11.5+Win系统自带的MSTSC 数据库：MSSQL2000企业版 相关支持组件：JMail 4.4专业版，带POP3接口；ASPJPEG图片组件 相关软件：X-SCAN安全检测扫描软件；ACCESS；EditPlus [相关说明] *考虑服务器数据安全，把160G*2硬盘做成了阵列，实际可用容易也就只有一百多G了。 *硬盘分区均为NTFS分区；NTFS比FAT分区多了安全控制功能，可以对不同的文件夹设置不同的访问权限，安全性增强。操作系统安装完后，第一时间安装NOD32杀毒软件，装完后在线更新病毒库，接着在线Update操作系统安全补丁。 *安装完系统更新后，运行X-SCAN进行安全扫描，扫描完后查看安全报告，根据安全报告做出相应的安全策略调整即可。 *出于安全考虑把MSTSC远程桌面的默认端口进行更改。
WebSphere Web服务器 安全配置基线 中国移动通信有限公司管理信息系统部 2012年 04月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (4) 1.1目的 (4) 1.2适用范围 (4) 1.3适用版本 (4) 1.4实施 (4) 1.5例外条款 (4) 第2章帐号管理、认证授权 (5) 2.1帐号 (5) 2.1.1应用程序角色 (5) 2.1.2控制台帐号安全 (5) 2.1.3口令管理 (6) 2.1.4密码复杂度 (6) 2.2认证授权 (7) 2.2.1控制台安全 (7) 2.2.2全局安全性与Java2安全 (7) 第3章日志配置操作 (9) 3.1日志配置 (9) 3.1.1日志与记录 (9) 第4章备份容错 (10) 4.1备份容错 (10) 第5章设备其他配置操作 (11) 5.1安全管理 (11) 5.1.1控制台超时设置 (11) 5.1.2示例程序删除 (11) 5.1.3错误页面处理 (12) 5.1.4文件访问限制 (12) 5.1.5目录列出访问限制 (13) 5.1.6控制目录权限 (13) 5.1.7补丁管理* (13) 第6章评审与修订 (15)
第1章概述 1.1目的 本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的WebSphere Web 服务器应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行WebSphere Web服务器的安全配置。 1.2适用范围 本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。 本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的WebSphere Web服务器系统。 1.3适用版本 6.x版本的WebSphere Web服务器。 1.4实施 本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。 本标准发布之日起生效。 1.5例外条款 欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。
Windows的Web服务器配置方法 近日，笔者将学校服务器的操作系统升级为Windows Server 2003，在Web服务器的配置过程中发现了许多与Windows 2000 Server的不同之处。为了同行少走弯路，现将配置中应注意的问题简单总结如下： Windows Server 2003 中Internet 信息服务(IIS) 升级为IIS 6.0，其安全性更高。默认情况下，Windows Server 2003没有安装IIS 6.0，要通过控制面板来安装。具体做法为： 1. 进入“控制面板”。 2. 双击“添加或删除程序”。 3. 单击“添加/删除 Windows 组件”。 4. 在“组件”列表框中，双击“应用程序服务器”。 5. 双击“Internet信息服务(IIS)”。 6. 从中选择“万维网服务”及“文件传输协议(FTP)服务”。 7. 双击“万维网服务”，从中选择“Active Server Pages”及“万维网服务”等。 安装好IIS后，接着设置Web服务器，具体做法为： 1. 在“开始”菜单中选择“管理工具→Internet信息服务(IIS)管理器”。 2. 在“Internet信息服务(IIS)管理器”中双击“本地计算机”。 3. 右击“网站”，在弹出菜单中选择“新建→网站”，打开“网站创建向导”。 4. 依次填写“网站描述”、“IP地址”、“端口号”、“路径”和“网站访问权限”等。最后，为了便于访问还应设置默认文档(Index.asp、Index.htm)。 上述设置和Windows 2000 Server网站设置基本相同，但此时Web服务还仅适用于静态内容，即静态页面能正常浏览，常用Active Server Pages(ASP)功能没有被启用。所以还应在“Internet信息服务(IIS)管理器”的“ Web 服务扩展”中选择允许“Active Server Pages”。 另外，还应注意如果Web服务主目录所在分区是NTFS格式，而ASP网页有写入操作时(如用到新闻后台管理功能的)，要注意设置写入及修改权限。
WEB 服务器硬件配置方案 一、入门级常规服务器硬配置方案： 备注：作为WEB服务器，首先要保证不间断电源，机房要控制好相对温度和湿度。这里有额外配置的UPS不间断电源和稳压器，此服务器配置能胜基本的WEB请求服务，如大量的数据交换，文件读写，可能会存在带宽瓶颈。 二、顶级服务器配置方案
备注： 1，系统支持Windows Server 2003 R2 Enterprise Edition、Windows Server 2003 R2 Web Edition、Windows Server 2003 R2 x64 Enterprise Edition、Windows Server 2003 R2 x64 Standard Edition、Windows Storage Server 2003 R2 Workgroup Edition 2，工作环境：相对工作温度10℃-35℃，相对工作湿度20%-80% 无冷凝，相对存储温度-40℃-65℃，相对湿度5%-95% 无冷凝 3，以上配置为统一硬件配置，为DELL系列服务器标准配置，参考价位￥13000 WEB 服务器软件配置和安全配置方案 一、系统的安装 １、按照Windows2003安装光盘的提示安装，默认情况下2003没有把IIS6.0安装在系统里面。 ２、IIS6.0的安装 开始菜单—>控制面板—>添加或删除程序—>添加/删除Windows组件 应用程序———https://www.doczj.com/doc/cb853939.html,（可选） |——启用网络COM+ 访问（必选）
|——Internet 信息服务(IIS)———Internet 信息服务管理器（必选） |——公用文件（必选） |——万维网服务———Active Server pages（必选） |——Internet 数据连接器（可选） |——WebDAV 发布（可选） |——万维网服务（必选） |——在服务器端的包含文件（可选） 然后点击确定—>下一步安装。 ３、系统补丁的更新 点击开始菜单—>所有程序—>Windows Update 按照提示进行补丁的安装。 ４、备份系统 用GHOST备份系统。 ５、安装常用的软件 例如：杀毒软件、解压缩软件等；安装之后用GHOST再次备份系统。 二、系统权限的设置 １、磁盘权限 系统盘及所有磁盘只给Administrators 组和SYSTEM 的完全控制权限 系统盘\Documents and Settings 目录只给Administrators 组和SYSTEM 的完全控制权限 系统盘\Documents and Settings\All Users 目录只给Administrators 组和SYSTEM 的完全控制权限 系统盘\Inetpub 目录及下面所有目录、文件只给Administrators 组和SYSTEM 的完全控制权限 系统盘\Windows\System32\cacls.exe、cmd.exe、net.exe、net1.exe 文件只给Administrators 组和SYSTEM 的完全控制权限 ２、本地安全策略设置 开始菜单—>管理工具—>本地安全策略 A、本地策略——>审核策略 审核策略更改成功失败 审核登录事件成功失败 审核对象访问失败 审核过程跟踪无审核 审核目录服务访问失败 审核特权使用失败 审核系统事件成功失败 审核账户登录事件成功失败 审核账户管理成功失败 B、本地策略——>用户权限分配 关闭系统：只有Administrators组、其它全部删除。 通过终端服务拒绝登陆：加入Guests、User组 通过终端服务允许登陆：只加入Administrators组，其他全部删除 C、本地策略——>安全选项 交互式登陆：不显示上次的用户名启用 网络访问：不允许SAM帐户和共享的匿名枚举启用 网络访问：不允许为网络身份验证储存凭证启用 网络访问：可匿名访问的共享全部删除
2003服务器系统安全配置-中级安全配置 08-06-16 05:27 发表于：《玉色主流空间》分类：未分类 [作者：墨鱼来源：互联网时间：2008-6-14QQ书签搜藏]【大中小】 2003服务器系统安全配置-中级安全配置！做好此教程的设置可防御一般 入侵，需要高级服务器安全维护，请联系我。我们一起交流一下！做为一 个网管，应该在处理WEB服务器或者其他服务器的时候配合程序本身或者 代码本身去防止其他入侵，例如跨站等等！前提，系统包括软件服务等的 密码一定要强壮！ 服务器安全设置 1.系统盘和站点放置盘必须设置为NTFS格式,方便设置权限. 2.系统盘和站点放置盘除administrators 和system的用户权限全部去 除. 3.启用windows自带防火墙,只保留有用的端口,比如远程和 Web,Ftp(3389,80,21)等等,有邮件服务器的还要打开25和130端口.
4.安装好SQL后进入目录搜索 xplog70 然后将找到的三个文件改名或者删除.
5.更改sa密码为你都不知道的超长密码,在任何情况下都不要用sa这个帐户. 6.改名系统默认帐户名并新建一个Administrator帐户作为陷阱帐户,设置超长密码,并去掉所有用户组.(就是在用户组那里设置为空即可.让这个帐号不属于任何用户组)同样改名禁用掉Guest用户.
7.配置帐户锁定策略(在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-Windows设置-安全设置-账户策略-账户锁定策略，将账户设为“三次登陆无效”，“锁定时间30分钟”，“复位锁定计数设为30分钟”。) 8.在安全设置里本地策略-安全选项将 网络访问:可匿名访问的共享 ; 网络访问:可匿名访问的命名管道 ; 网络访问:可远程访问的注册表路径 ; 网络访问:可远程访问的注册表路径和子路径 ; 以上四项清空.
实验13 Web服务器的配置 一、实验目的 1、了解Web工作原理。 2、掌握基于IIS的Web服务器的创建和配置。 二、实验要求 1、设备要求：计算机1台（装有Windows Server 2003操作系统及活动目录、装有网卡）， 集线器、交换机，UTP线（直通、交叉）；Windows Server 2003安装源。 2、每组1人，独立完成。 三、实验基础 Web服务的实现采用B/W（Browser/Web Server）模式，Server信息的提供者称为Web 服务器，Browser信息的获取者称为Web客户端。Web服务器中装有Web服务器程序，如：Netscape iPlanet Web Server、Microsoft Internet Information Server、Apache等；Web 客户端装有Web客户端程序，即：Web浏览器，如：NetscapeNavigator、Microsoft Internet Explorer、Opea等。 Web服务器是如何响应Web客户端的请求呢？Web页面处理大致分3个步骤： 第一步：Web浏览器向一个特定服务器发出Web页面请求； 第二步：收到Web页面请求的Web服务器寻找所请求的页面并传送给Web浏览器； 第三步：Web浏览器接收所请求的Web页面并将其显示出来。 Web应用的基础还包括HTTP和HTML两个协议。 HTTP协议是用于从Web服务器传输超文本到本地浏览器的传输协议。它使浏览器的工作更高效，从而减轻网络负担；它不仅使计算机传输超文本正确、快速，而且可以确定传输文档的哪一部分以及哪一部分的内容首先显示等。HTTP使用一个TCP/IP连接，默认TCP80端口。 HTML 是用于创建Web文档或页面的标准语言，由一系列的标记符号或嵌入希望显示的文件代码组成，这些标记告诉浏览器应该如何显示文章和图形等内容。 四、内容与步骤 1、IIS6.0的安装、配置和测试； （1）从控制面板安装IIS； 第1步单击“开始” →“添加或删除程序” →“添加/删除Windows组件”，显示“Windows 组件向导”窗口，在“组件”列表框中依次选择“应用程序服务器” →“详细信息”，显示“应用程序服务器”窗口，选中“https://www.doczj.com/doc/cb853939.html,”复选框以启用https://www.doczj.com/doc/cb853939.html,功能，如图所示。
Apache服务器配置安全规范以及其缺陷！正如我们前言所说尽管Apache服务器应用最为广泛，设计上非常安全的程序。但是同其它应用程序一样，Apache也存在安全缺陷。毕竟它是完全源代码，Apache服务器的安全缺陷主要是使用HTTP 协议进行的拒绝服务攻击(denial of service)、缓冲区溢出攻击以及被攻击者获得root权限三缺陷和最新的恶意的攻击者进行拒绝服务(DoS)攻击。合理的网络配置能够保护Apache服务器免遭多种攻击。我们来介绍一下主要的安全缺陷。主要安全缺陷（1）使用HTTP协议进行的拒绝服务攻击(denial of service)的安全缺陷这种方法攻击者会通过某些手段使服务器拒绝对HTTP应答。这样会使Apache对系统资源(CPU时间和内存)需求的剧增，最终造成Apache系统变慢甚至完全瘫痪。（2）缓冲区溢出的安全缺陷该方法攻击者利用程序编写的一些缺陷，使程序偏离正常的流程。程序使用静态分配的内存保存请求数据，攻击者就可以发送一个超长请求使缓冲区溢出。（3）被攻击者获得root权限的安全缺陷该安全缺陷主要是因为Apache服务器一般以root权限运行(父进程)，攻击者会通过它获得root权限，进而控制整个Apache系统。（4）恶意的攻击者进行拒绝服务(DoS)攻击的安全缺陷这个最新在6月17日发现的漏洞，它主要是存在于Apache的chunk encoding中，这是一个HTTP协议定义的用于接受web用户所提交数据的功能。所有说使用最高和最新安全版本对于加强Apache Web服务器的安全是至关重要的。正确维护和配置Apache服务器虽然Apache服务器的开发者非常注重安全性，由于Apache服务器其庞大的项目，难免会存在安全隐患。正确维护和配置Apache WEB服务器就很重要了。我们应注意的一些问题：（1）Apache服务器配置文件Apache Web服务器主要有三个配置文件，位于 /usr/local/apache/conf目录下。这三个文件是：httpd.conf-----主配置文件srm.conf------填加资源文件access.conf---设置文件的访问权限（2）Apache服务器的目录安全认证在Apache Server中是允许使用 .htaccess做目录安全保护的，欲读取这保护的目录需要先键入正确用户帐号与密码。这样可做为专门管理网页存放的目录或做为会员区等。在保护的目录放置一个档案，档名为.htaccss。AuthName 会员专区 AuthType BasicAuthUserFile /var/tmp/xxx.pw -----把password放在网站外 require valid-user 到apache/bin目录，建password档 % ./htpasswd -c /var/tmp/xxx.pw username1 -----第一次建档要用参数-c % /htpasswd /var/tmp/xxx.pw username2 这样就可以保护目录内的内容，进入要用合法的用户。注：采用了Apache内附的模组。也可以采用在httpd.conf中加入：options indexes followsymlinks allowoverride authconfig order allow,deny allow from all （3）Apache服务器访问控制我们就要看三个配置文件中的第三个文件了，即access.conf文件，它包含一些指令控制允许什么用户访问Apache目录。应该把deny from all设为初始化指令，再使用allow from指令打开访问权限。order deny,allowdeny from allallow from https://www.doczj.com/doc/cb853939.html, 设置允许来自某个域、IP地址或者IP段的访问。（4）Apache服务器的密码保护问题我们再使 用.htaccess文件把某个目录的访问权限赋予某个用户。系统管理员需要在httpd.conf或者rm.conf文件中使用 AccessFileName指令打开目录的访问控制。如：AuthName PrivateFilesAuthType BasicAuthUserFile /path/to/httpd/usersrequire Phoenix# htpasswd -c /path/to/httpd/users Phoenix设置Apache服务器的WEB和文件服务器我们在Apache服务器上存放WEB 服务器的文件，供用户访问，并设置/home/ftp/pub目录为文件存放区域，用