下载文档原格式
WIN2003服务器安全和配置完整教程一、硬盘分区与操作系统的安装∙硬盘分区总的来讲在硬盘分区上面没什么值得深入剖析的地方，无非就是一个在分区前做好规划知道要去放些什么东西，如果实在不知道。
那就只一个硬盘只分一个区，分区要一次性完成，不要先分成FAT32再转成NTFS。
一次性分成NTFS格式，以我个人习惯，系统盘一般给12G。
建议使用光盘启动完成分区过程，不要加载硬盘软件。
∙系统安装以下内容均以2003为例安装过程也没什么多讲的，安装系统是一个以个人性格为参数的活动，我建议在安装路径上保持默认路径，好多文章上写什么安装路径要改成什么呀什么的，这是没必要的。
路径保存在注册表里，怎么改都没用。
在安装过程中就要选定你需要的服务，如一些DN S、DHCP没特别需要也就不要装了。
在安装过程中网卡属性中可以只保留TCP/IP 这一项，同时禁用NETBOIS。
安装完成后如果带宽条件允许可用系统自带在线升级。
二、系统权限与安全配置前面讲的都是屁话，润润笔而已。
（俺也文人一次）话锋一转就到了系统权限设置与安全配置的实际操作阶段系统设置网上有一句话是"最小的权限+最少的服务=最大的安全"。
此句基本上是个人都看过，但我好像没有看到过一篇讲的比较详细稍具全面的文章，下面就以我个人经验作一次教学尝试！2.1 最小的权限如何实现？NTFS系统权限设置在使用之前将每个硬盘根加上Administrators 用户为全部权限(可选加入SYSTEM用户) 删除其它用户，进入系统盘:权限如下∙C:\WINDOWS Administrators SYSTEM用户全部权限Users 用户默认权限不作修改∙其它目录删除Everyone用户，切记C:\Documents and Settings下All Users\Def ault User目录及其子目录如C:\Documents and Settings\All Users\Application Data 目录默认配置保留了Every one用户权限C:\WINDOWS 目录下面的权限也得注意,如C:\WINDOWS\PCHealth、C:\windows\Inst aller也是保留了Everyone权限.∙删除C:\WINDOWS\Web\printers目录，此目录的存在会造成IIS里加入一个.print ers的扩展名，可溢出攻击∙默认IIS错误页面已基本上没多少人使用了。
本安装及设置教程适用于使用Windows2003为操作系统的服务器，目的是让服务器支持常见网络编程语言包括ASP、PHP、.Net1.1、.Net2.0，支持常见数据库包括Access、MySQL、MSSQL，支持FTP，支持常见组件包括Aspjpeg、Jmail、LyfUpload、动易、ISAPI_ReWrite。
本教程共分八篇：系统安装与设置篇、软件安装与设置篇、文件及文件夹权限篇、系统服务篇、安全策略篇、系统组件篇、注册表篇、软件安全篇。
本篇讨论的是第一篇：系统安装与设置一、系统准备需要的软件：Windows2003原版安装文件、Windows2003补丁集、服务器硬件驱动、SQL SERVER 2000安装文件、SQL SERVER 2000 SP4，MySQL安装文件，PHP安装文件，Zend Optimizer安装文件，Serv_U（可选），Aspjpeg，Jmail，LyfUpload，动易组件，ISAPI_ReWrite，GHOST。
Windows2003和SQL SERVER 2000安装文件可以购买正版光盘或其他途径获得。
Windows2003最好是原版，SQL SERVER 2000可以选择企业版或者标准版。
Windows2003补丁集包括Windows2003 SP2和SP2后的补丁。
先从微软网站或其他下载站下载Windows2003 SP2，再从下载站下载Windows2003 SP2补丁集，现在（2008年2月）已经可以找到包含至2008年2月份之前所有补丁的补丁集。
SQL SERVER 2000 SP4可以直接从微软网站下载获得，或者从下载站下载获得。
服务器硬件驱动应该在购买服务器的同时附带了。
MySQL安装文件，PHP安装文件，Zend Optimizer安装文件可以到其官方网站免费下载，或到其他下载网站获得。
Serv_U，Aspjpeg，Jmail，LyfUpload，动易组件，ISAPI_ReWrite和GHOST等均可以通过购买或者其他途径来获得。
Windows2003安全配置教程1：安装windows2003时，必须所有的磁盘分区都为NTFS2：安装后，建议不要插入U盘，不要打开其它盘（如D/E/F）这些磁盘3：立即安装杀毒软件（更新到最新病毒库）马上进行查杀（建议安装NOD32版不带防火墙的那个版本）4：使用WINDOWS 2003自动更新，马上到官网下载更新补丁5：安装所有补丁之后，全盘扫描病毒6：IIS那些杀完病毒和打完补丁再进行安装和配置7：没确定所有磁盘被扫描完之前，都不要打开其它的盘（如D/E/F）8：关闭磁盘所有的默认共享9：administrator 密码必须复杂10：建议先开启WINDOWS 自带的防火墙（开启之前，必须开放3389端口）11：修改3389的端口，建议改成数字“越大越好”以上12：马上关闭445端口■．关闭所有不需要的服务* Alerter (disable)* ClipBook Server (disable)* Computer Browser (disable)* DHCP Client (disable)* Directory Replicator (disable)* FTP publishing service (disable)* License Logging Service (disable)* Messenger (disable)* Netlogon (disable)* Network DDE (disable)* Network DDE DSDM (disable)* Network Monitor (disable)* Plug and Play (disable after all hardware configuration)* Remote Access Server (disable)* Remote Procedure Call (RPC) locater (disable)* Schedule (disable)* Server (disable)* Simple Services (disable)* Spooler (disable)* TCP/IP Netbios Helper (disable)* Telephone Service (disable)■. 帐号和密码策略1）保证禁止guest帐号2）将administrator改名为比较难猜的帐号3）密码唯一性：记录上次的6 个密码4）最短密码期限：25）密码最长期限：426）最短密码长度：87）密码复杂化(passfilt.dll)：启用8）用户必须登录方能更改密码：启用9）帐号失败登录锁定的门限：610）锁定后重新启用的时间间隔：720分钟■．保护文件和目录将C:\winnt, C:\winnt\config, C:\winnt\system32, C:\winnt\system等目录的访问权限做限制，限制everyone的写权限，限制users组的读写权限■．注册表一些条目的修改1）去除logon对话框中的shutdown按钮将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\Winlogon\中ShutdownWithoutLogon REG_SZ 值设为02）去除logon信息的cashing功能将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\Winlogon\中CachedLogonsCount REG_SZ 值设为04）限制LSA匿名访问将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA中RestricAnonymous REG_DWORD 值设为15）去除所有网络共享将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\中AutoShareServer REG_DWORD 值设为0IIS主要：假如你的电脑中还装了IIS ，你最好重新设置一下端口过滤。
Windows2003Server安全配置完整篇（3）服务器教程-电脑资料四、磁盘权限设置C盘只给administrators和system权限，其他的权限不给，其他的盘也可以这样设置，这里给的system权限也不一定需要给，只是由于某些第三方应用程序是以服务形式启动的，需要加上这个用户，否则造成启动不了，。
Windows目录要加上给users的默认权限，否则ASP和ASPX等应用程序就无法运行。
以前有朋友单独设置Instsrv和temp等目录权限，其实没有这个必要的。
另外在c:/Documents and Settings/这里相当重要，后面的目录里的权限根本不会继承从前的设置，如果仅仅只是设置了C盘给administrators权限，而在All Users/Application Data目录下会出现everyone用户有完全控制权限，这样入侵这可以跳转到这个目录，写入脚本或只文件，再结合其他漏洞来提升权限；譬如利用serv-u的本地溢出提升权限，或系统遗漏有补丁，数据库的弱点，甚至社会工程学等等N多方法，从前不是有牛人发飑说："只要给我一个webshell，我就能拿到system"，这也的确是有可能的。
在用做web/ftp服务器的系统里，建议是将这些目录都设置的锁死。
其他每个盘的目录都按照这样设置，每个盘都只给adinistrators权限。
另外，还将：net.exe NET命令cmd.exetftp.exenetstat.exeregedit.exeat.exeattrib.execacls.exe ACL用户组权限设置，此命令可以在NTFS下设置任何文件夹的任何权限！format.exe大家都知道ASP木马吧，有个CMD运行这个的，这些如果都可以在CMD下运行..55，，估计别的没啥，format下估计就哭料~~~（：这些文件都设置只允许administrator访问。
win2003_文件服务器配置方法Windows Server 2003 是微软发布的一款经典的服务器操作系统，具备强大的文件服务器功能。
本文将为您介绍如何在 Windows Server 2003 中配置文件服务器。
一、安装 Windows Server 20031. 首先，将 Windows Server 2003 安装光盘插入服务器的光驱中，然后重启服务器。
2. 在开机过程中，按下指定的按键（通常是DEL、F2等）进入 BIOS 设置界面，在“Boot”选项中将光驱排在硬盘之前。
3.保存BIOS设置并退出，系统将从光驱启动，并开始安装程序的加载。
4.选择适当的语言、键盘布局等，然后点击“下一步”继续。
5.阅读并接受许可协议，然后点击“下一步”继续。
6.选择“新安装”选项，并点击“下一步”。
7.分区和格式化服务器的硬盘，可以选择默认分区方案，也可以自定义分区。
8.选择安装文件所在位置，通常默认为C:\WINDOWS，然后点击“下一步”继续。
9.系统将自动进行安装过程。
10.安装完成后，服务器将自动重启。
二、配置文件服务器1. 首先，登录到 Windows Server 2003 操作系统。
2.点击“开始”按钮，选择“管理工具”，然后打开“计算机管理”。
3.在计算机管理窗口中，选择“共享文件夹”。
4.右键点击“共享目录”，选择“新建共享”。
5.在共享向导中，选择要共享的文件夹，并设置共享的名称和描述，然后点击“下一步”继续。
6.在共享权限设置中，可以选择不同的权限级别，如完全控制、读取、写入等，根据需求选择，然后点击“下一步”继续。
7.在共享访问控制设置中，可以进一步设置共享的安全性，包括谁可以访问共享、是否需要密码等，然后点击“下一步”继续。
8.在共享最后确认界面中，点击“完成”完成共享设置。
9.在文件服务器上设置用户和组权限，以控制访问权限。
10.可以设置共享文件服务器的访问控制列表（ACL）和安全策略，以提高文件服务器的安全性。
Win2003操作系统服务器安全配置步骤如是老系统重做系统，做好以下工作：1、IIS资料备份如安装有RmHost被控端，运行备份/恢复工具，备份IIS数据；如没有，打开Internet信息服务管理器，在“网站”或“应用程序池”上点右键，将配置保存到一个文件；2、Serv-U资料备份将Serv-U所在目录下ServUDaemon.ini文件复制到备份文件夹；3、IMail资料备份如服务器安装了IMail，运行regedit.exe，在注册表中找到IMail所在路径，右键导出备份到备份文件夹；如Imail 安装在C盘，则需同时转移Imail下所有文件；4、MySQL资料备份以root用户进入PHPMyAdmin或MySQL命令行，备份mysql数据库内的user和db表，导出为sql脚本；5、MsSQL资料备份在安全性-登录中导出帐号列表；如MsSQL数据在C盘下，需要将SQLData下所有文件备份到其他盘6、PHP备份可根据情况备份C:\Windows\PHP.ini文件如是新服务器初次安装，做好以下工作：1、组建磁盘阵列如果磁盘支持Raid5，并决定配置磁盘阵列，则应该首先在CMOS中设置好阵列模式，并在启动后进入Raid配置界面配置Raid5模式；安装Win2003时，按F6加载Raid驱动程序；2、配置NCQ支持如果不打算配置Raid5或不支持磁盘阵列，但支持NCQ，同样需要首先在CMOS中设置好AHCI模式，并在安装Win2003时，按F6加载AHCI驱动程序；3、划分磁盘分区●双硬盘通常按照下列模式划分：第一硬盘：C:\ System 10G 安装系统文件D:\ Webroot 视磁盘大小存放站点文件、数据库等在D:\建立Webroot、PHP、PHP\Tmp、MySQL、FTPRoot、Temp等文件夹；F:\ Log 10G 存放站点日志、FTP日志、临时文件和系统缓存在E:\建立IISLog、FTPLog、Temp等文件夹；第二硬盘：E:\ Data 总容量15%以上存放MsSQL数据库在E:\建立SQLData文件夹G:\ BAK 视磁盘大小存放各种备份文件在F:\建立MySQLBAK、MsSQLBAK、WebBAK、SysBAK等目录H:\ Soft 6G 存放各类常用软件及系统备份、驱动在G:\建立I386、Drivers、Soft、常用组件、常用工具等目录●单硬盘通常按照下列模式划分：C:\ System 10G 安装系统文件D:\ Webroot 总容量50%以上存放站点文件、数据库等在D:\建立Webroot、PHP、PHP\Tmp、MySQL、FTPRoot、SQLData、Temp等文件夹；E:\ Log 10G 存放站点日志、FTP日志、临时文件和系统缓存在E:\建立IISLog、FTPLog、Temp等文件夹；F:\ BAK 视磁盘大小存放各种备份文件在F:\建立MySQLBAK、MsSQLBAK、WebBAK、SysBAK等目录G:\ Soft 6G 存放各类常用软件及系统备份、驱动在G:\建立I386、Drivers、Soft、常用组件、常用工具等目录一、系统安装工作1、格式化C盘用CD启动，格式化C盘。
应用环境配置：1．戴尔服务器两台（A为主服务器，B为备服务器）：操作系统为Windows Server 2003 Enterprise Edition或Windows Server 2003 Datacenter Edition2．共享阵列柜一个（DELL POWERV ANLT 220S，5块73G SCSI 硬盘）：置于cluster模式3．心跳线一根（交叉线）：服务器相同型号网卡互连4．与阵列柜相连阵列卡两块：分别插于戴尔服务器5．数据线两根：分别连接服务器与阵列柜6．每台服务器网卡至少两块：一块用于连接公共网络（Public），一块用于服务器直连（Private）安装步骤第一步、配置服务器1、将两台服务器A和B连起来。
两块网卡（连接公网）连到交换机上；两块网卡（服务器直连通讯用）用心跳线连接起来。
磁盘柜用DELL的数据线接到两台服务器上。
2、两台服务器都开机，在两台服务器A和B上分别安装Windows Server 2003 Enterprise Edition。
注意：如果您试图将一个节点加入一个具有空白的本地管理员帐户密码的群集，安装将会失败。
基于安全原因，Windows Server 2003禁止使用空白的管理员密码。
3、配置两块连接公网网卡的IP地址，服务器A的IP地址为：172.116.2.3，服务器B的IP地址为：172.116.2.4。
配置两块私有网卡的IP 地址，服务器A的IP地址为：10.1.1.3，服务器B的IP地址为：10.1.1.4。
在两台服务器上的C:\WINDOWS\system32\drivers\etc\hosts中增加相应的主机和IP地址记录。
Oa1 172.116.2.3Oa2 172.116.2.4Oacluster 172.116.2.5Oa1.oaserver.local 172.116.2.3Oa2.oaserver.local 172.116.2.4Oacluster.oaserver.local 172.116.2.54、将服务器A配置为域控制器，取域名为（OASERVER.LOCAL）。
一、准备工作:1.准备好Windows Server 2003 Standard Edition简体中文标准版版安装光盘。
2.用纸张记录安装文件的产品密匙(安装序列号)。
二、用光盘启动系统:重新启动系统并把光驱设为第一启动盘,保存设置并重启。
将2003安装光盘放入光驱,重新启动电脑。
当出现下图所示快速按下回车键，否则不能启动2003系统安装。
三、安装Windows Server 2003光盘自启动后,如无意外即可见到安装界面。
从光盘读取启动信息，很快出现如下图所示。
全中文提示,“要现在安装Windows,请按ENTER”，按回车键。
许可协议,这里没有选择的余地，按“F8”。
用“向下或向上”方向键选择安装系统所用的分区，选择C：分区后按“Enter”键回车，安装程序将检查C盘的空间和C盘现有的操作系统。
提供5个对所选分区进行操作的选项。
选择“用NTFS文件系统格式化磁盘分区”。
回车后出现格式化C盘的警告。
确定要格式化C盘后，按“F”键，安装程序将开始格式化C盘，格式化过程如下图所示。
格式化C分区完成后,创建要复制的文件列表，跟接着开始复制系统文件。
文件复制完后，安装程序开始初始化Windows配置。
初始化Windows配置完成后，系统将在15秒后重新启动。
这部分安装程序已经完成，系统将会自动在15秒后重新启动,将控制权从安装程序转移给系统。
这时要注意了,建议在系统重启时将硬盘设为第一启动盘（不改变也可以）。
重新启动后,首次出现Windows Server 2003启动画面。
启动后,出现下图所示。
过5分钟后，当提示还需33分钟。
区域和语言设置选用默认值就可以了，直接点“下一步”按钮。
这里输入你想好的姓名(用户名)和单位，点“下一步”按钮。
如果你没有预先记下产品密钥（安装序列号）就麻烦了！这里输入安装序列号，点“下一步”按钮。
将系统做成服务器就选“每服务器。
同时连接数”并更改数值(254)。
点“下一步”按钮。
Windows Server 2003下如何安装及配置FTP服务器
一、安装FTP服务器组件：
写在这里的一点:安装及配置FTP服务器之前,必须先手工配置服务器本身的IP地址(因为服务器本身的IP地址一定要是静态的).
本文分步介绍了如何在独立服务器上配置一台基于Windows Server 2003 的文件传输协议
(FTP) 服务器，以便为网络上的客户端计算机提供资源的传输和访问。
FTP服务组件是2003系统中的IIS 6.0集成的网络服务组件之一，默认情况下没有被安装。
在2003系统中安装FTP服务组件的步骤如下：
开始→控制面版→添加删除程序→添加删除windows组件→双击‘应用程序服务器’(或单击‘应用程序服务器’并选择详细信息)。
里边就有一个”Internet信息服务（IIS）”打上勾点，再双击打开“Internet信息服务（IIS）”对话框，在子组件列表中选中“文件传输协议（FTP）服务”复选框，连续单击“确定”按钮，并单击“下一步”按钮，Windows组件向导”开始安装FTP服务组件。
当然你必须在光驱里放张2003的光盘，如果不放直接进行安装，当
装到一定程度的时候就会跳出一个窗口说寻找I386源文件，你点浏览，找到你的源文件确定就可以了。
最后单击“完成”按钮关闭“Windows组件向导”对话框。
二、配置FTP服务器：
1. 在Windows Server 2003系统中配置FTP服务器
在Windows Server 2003系统中安装FTP服务器组件以后，用户只需进行简单的设置即可配置一台常规的FTP服务器，操作如下：
第1步，在开始菜单中依次单击“管理工具”→“Internet信息服务（IIS）管理器”菜单项，打开“Internet信息服务（IIS）管理器”窗口。
在左窗格中展开“FTP站点”目录，右键单击“默认FTP站点”选项，并选择“属性”命令，如图所示:
第2步，打开“默认FTP站点属性”对话框，在“FTP站点”选项卡中可以设置关于FTP站点的参数。
其中在“FTP站点标识”区
域中可以更改FTP站点名称、监听IP地址以及TCP端口号，单击“IP地址”编辑框右侧的下拉三角按钮，并选中该站点要绑定的IP 地址。
如果想在同一台物理服务器中搭建多个FTP站点，那么需要为每一个站点指定一个IP地址，或者使用相同的IP地址且使用不同的端口号。
在“FTP站点连接”区域可以限制连接到FTP站点的计算机数量，一般在局域网内部设置为“不受限制”较为合适。
用户还可以单击“当前会话”按钮来查看当前连接到FTP站点的IP地址，并且可以断开恶意用户的连接，如图所示:
第3步，切换到“安全账户”选项卡，此选项卡用于设置FTP服务器允许的登录方式。
默认情况下允许匿名登录，如果取消选中“允许匿名连接”复选框，则用户在登录FTP站点时需要输入合法的用户名和密码。
本例选中“不允许匿名连接”复选框，如图所示:
备注：登录FTP服务器的方式可以分为两种类型：匿名登录和用户登录。
如果采用匿名登录方式，则用户可以通过用户名“anonymous”连接到FTP服务器，以电子邮件地址作为密码。
对于这种密码FTP服务器并不进行检查，只是为了显示方便才进行这样的设置。
允许匿名登录的FTP服务器使得任何用户都能获得访问能力，并获得必要的资料。
如果不允许匿名连接，则必须提供合法的
用户名和密码才能连接到FTP站点。
这种登录方式可以让管理员有效控制连接到FTP服务器的用户身份，是较为安全的登录方式。
第4步，切换到“消息”选项卡，在“标题”编辑框中输入能够反映FTP站点属性的文字（如“随风听雨博客FTP主站点”），该标题会在用户登录之前显示。
接着在“欢迎”编辑框中输入一段介绍FTP 站点详细信息的文字，这些信息会在用户成功登录之后显示。
同理，在“退出”编辑框中输入用户在退出FTP站点时显示的信息。
另外，如果该FTP服务器限制了最大连接数，则可以在“最大连接数”编辑框中输入具体数值。
当用户连接FTP站点时，如果FTP服务器已经达到了所允许的最大连接数，则用户会收到“最大连接数”消息，且用户的连接会被断开，如图所示:
第5步，切换到“主目录”选项卡。
主目录是FTP站点的根目录，当用户连接到FTP站点时只能访问主目录及其子目录的内容，而主目录以外的内容是不能被用户访问的。
详细讲解请登录主目录既可以是本地计算机磁盘上的目录，也可以是网络中的共享目录。
单击“浏览”按钮在本地计算机磁盘中选择要作为FTP站点主目录的文件夹，并依次单击“确定”按钮。
根据实际需要选中或取消选中“写入”复选框，以确定用户是否能够在FTP站点中写入数据，如图所示:
备注：如果选中“另一台计算机上的目录”单选框，则“本地路径”编辑框将更改成“网络共享”编辑框。
用户需要输入共享目录的UNC路径，以定位FTP主目录的位置。
第6步，切换到“目录安全性”选项卡，在该选项卡中主要用于授权或拒绝特定的IP地址连接到FTP站点。
例如只允许某一段IP地址范围内的计算机连接到FTP站点，则应该选中“拒绝访问”单选框。
然后单击“添加”按钮，在打开的“授权访问”对话框中选中“一组计算机”单选框。
然后在“网络标识”编辑框中输入特定的网段（如11.11.11.0），并在“子网掩码”编辑框中输入子网掩码（如255.0.0.0）。
最后单击“确定”按钮.
这里选择的是所有计算机都将被授权允许访问,如图所示:
第7步，返回“默认FTP站点属性”对话框，单击“确定”按钮使设置生效。
现在用户已经可以在网络中任意客户计算机的Web浏览器中输入FTP站点地址（如ftp://11.11.11.45）来访问FTP站点下的内容了。
备注：如果FTP站点所在的服务器上启用了本地连接的防火墙，则需要在“本地连接属性”的“高级设置”对话框中添加“例外”选
项，否则客户端计算机不能连接到FTP站点。
2.这里建议一点:
如果是专业的FTP服务器最好用Sever-U软件做，因为用Server 2003单独做的FTP服务器的功能比较少。
Serv-U是Rob Beckers开发的一个功能强大的、简单易用的、成熟的FTP服务器,FTP服务器用户通过Internet的FTP协议共享文件.Serv-U不仅仅能100%适用于标准的FTP,同样也包括了很多功能,是一个完美的文件共享解决方案.。
