详解Windows Server 2003 Web服务器安全设置

Win 2003 Server 服务器安全设置（七）服务器安全设置之--本地安全策略设置
安全策略自动更新命令：GPUpdate /force (应用组策略自动生效不需重新启动) 开始菜单—>管理工具—>本地安全策略
A、本地策略——>审核策略
审核策略更改成功失败
审核登录事件成功失败
审核对象访问失败
审核过程跟踪无审核
审核目录服务访问失败
审核特权使用失败
审核系统事件成功失败
审核账户登录事件成功失败
审核账户管理成功失败
B、本地策略——>用户权限分配
关闭系统：只有Administrators组、其它全部删除。

通过终端服务拒绝登陆：加入Guests、User组
通过终端服务允许登陆：只加入Administrators组，其他全部删除
C、本地策略——>安全选项
交互式登陆：不显示上次的用户名启用
网络访问：不允许SAM帐户和共享的匿名枚举启用
网络访问：不允许为网络身份验证储存凭证启用
网络访问：可匿名访问的共享全部删除
网络访问：可匿名访问的命全部删除
网络访问：可远程访问的注册表路径全部删除
网络访问：可远程访问的注册表路径和子路径全部删除
帐户：重命名来宾帐户重命名一个帐户
帐户：重命名系统管理员帐户重命名一个帐户。

Windows2003已经出现很久了，现在对于该服务器操作系统Windows2003的组网技术、安全配置技术还有很多的网友都还不是很熟悉，在这里，我将会给大家介绍一下Windows Server 2003 Enterprise Edition 企业服务器版本的组网技术、安全配置技术及一些在Win2K 系统升级为Win2003系统后的一些新增功能等。

Win2003系统已经比Win2K系统增加了很多的安全性，所以现在选择Win2003系统作为服务器系统，将会是网络管理员的最佳选择。

本文假设你是一个服务器管理员，现在你的服务器使用Win2003服务器系统，你的服务器需要提供支持的组件如下：（ASP、ASPX、CGI、PHP、FSO、JMAIL、MySql、SMTP、POP3、FTP、3389终端服务、远程桌面Web连接管理服务等）。

一、系统安装注意事项：首先，你得先把你的Win2003系统安装好，在安装系统时请选择使用NTFS文件系统分区，因为该分区可以对你的服务器资源进行加密、权限设置等，如果你的文件系统分区是使用FAT32的话，而你这台服务器作为一台虚拟主机，给客户提供空间，如果客户在空间里传了一个WebShell，如ASP木马等，而你使用的FAT32文件系统却不能为你的文件设置访问权限的话，那么黑客就能通过这个ASP木马取得你的服务器管理权了，那将是没有任何的安全性可言了。

为了系统的安全着想，系统安装好后，你还要给你的系统设置一个强壮的管理员口令，千万不要使用简单的口令，如123456等这样的简单登陆口令。

因为网络上大部份被黑客入侵的肉鸡都是因为系统使用空口令或使用简单的口令而被黑的。

一个强壮的口令应该包括数字、英文字母、符号组成，如密码k3d8a^!ka76，设置好一个强壮的系统登陆口令后，我们就可以安装各种上面所述的组件服务支持了。

还是那句老话，最少的服务等于最大的安全，对于一切不须要的服务都不要安装，这样才能保证你服务器的安全性。

图解web服务器安全设置一、系统设置1、先关闭不需要的端口开启防火墙导入IPSEC策略在” 网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP），由于要控制带宽流量服务，额外安装了Qos数据包计划程序。

在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。

在高级选项里，使用"Internet连接防火墙"，这是windows 2003 自带的防火墙，在2000系统里没有的功能，虽然没什么功能，但可以屏蔽端口，这样已经基本达到了一个IPSec 的功能。

然后点击确定—>下一步安装。

（具体见本文附件1）2、系统补丁的更新点击开始菜单—>所有程序—>Windows Update按照提示进行补丁的安装。

3、备份系统用GHOST备份系统。

4、安装常用的软件例如：杀毒软件、解压缩软件等；安装完毕后,配置杀毒软件,扫描系统漏洞,安装之后用GHOST再次备份修改3389远程连接端口修改注册表.开始--运行--regedit依次展开HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/ TERMINAL SERVER/WDS/RDPWD/TDS/TCP右边键值中PortNumber 改为你想用的端口号.注意使用十进制(例10000 )HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINAL SERVER/ WINSTATIONS/RDP-TCP/右边键值中PortNumber 改为你想用的端口号.注意使用十进制(例10000 )注意：别忘了在WINDOWS2003自带的防火墙给+上10000端口修改完毕.重新启动服务器.设置生效.二、用户的安全设置1、禁用Guest账号在计算机管理的用户里面把Guest账号禁用。

图解Win2003 SP1 下使用SCW配置Web服务器Windows Server 2003是大家最常用的服务器操作系统之一。

虽然它提供了强大的网络服务功能，并且简单易用，但它的安全性一直困扰着众多网管，如何在充分利用Windows Server 2003提供的各种服务的同时，保证服务器的安全稳定运行，最大限度地抵御病毒和黑客的入侵。

Windows Server 2003 SP1中文版补丁包的发布，恰好解决这个问题，它不但提供了对系统漏洞的修复，还新增了很多易用的安全功能，如安全配置向导（SCW）功能。

利用SCW功能的“安全策略”可以最大限度增强服务器的安全，并且配置过程非常简单，下面就一起来看吧！1．安装SCW，SCW功能虽然已经内置在SP1中，但是必须通过手动安装才能够正常使用。

安装的方法很简单，打开控制面板的添加Windows组件，选中安全配安装SCW置向导然后点下一步就可以完成安装SCW了。

2．启动SCW。

安装完SCW后，单击开始按钮选择程序中的管理工具选择安全配置向导，就可以启动安全配置向导了。

启动安全配置向导安全配置向导的启动界面启动安全配置向导后，点击下一步，就进入安全配置了。

3．在这里我们选择创建新的安全策略，点击下一步。

4．在这里我们选择输入安装计算机的名字Win2003，并单击下一步。

等待计算机完成初始化安全配置数据库，并点击下一步。

务器在网络中所扮演的角色。

单击下一步。

6．根据需要选择web服务器，把其他前面的勾去掉，单击下一步。

7．由于我们只需要web服务，不需要别的客户端功能，所以把所有的勾都去掉。

是服务器安全中很重要的一项，所以我们选中它。

版等等就选中它。

在这里我们选择禁用此服务。

点击下一步。

下一步。

12.下面进入了下一项，就是网络安全的配置。

点击下一步。

点下一步。

口（比如3389）都关闭了。

然后我们就进入下一个配置项目：注册表配置。

15.进入注册表设置了，点击下一步。

一、安装补丁安装好Windows 2003操作系统之后，在托管之前一定要完成补丁的安装，配置好网络后，最好安装上SP1，然后点击开始选择Windows Update，安装所有的关键更新。

二、安装杀毒软件目前的杀毒软件种类很多，其中瑞星、诺顿、卡巴斯基等都是很不错的选择。

不过，也不要指望杀毒软件能够杀掉所有的木马，因为ASP木马的特征是可以通过一定手段来避开杀毒软件的查杀。

三、设置端口保护和防火墙Windows 2003的端口屏蔽可以通过自身防火墙来解决，这样比较好，比筛选更有灵活性，桌面—>网上邻居—>属性—>本地连接—>属性—>高级—>Internet连接防火墙—>设置，把服务器上面要用到的服务端口选中，例如：一台WEB服务器，要提供WEB（80）、FTP（21）服务及远程桌面管理（3389），在“FTP 服务器”、“WEB服务器（HTTP）”、“远程桌面”前面打上对号，如果你要提供服务的端口不在里面，你也可以点击“添加”铵钮来添加，具体参数可以参照系统里面原有的参数。

然后点击确定。

注意：如果是远程管理这台服务器，请先确定远程管理的端口是否选中或添加。

1、权限设置的原理1）WINDOWS用户，在WINNT系统中大多数时候把权限按用户（組）来划分。

在开始→程序→管理工具→计算机管理→本地用户和组，管理系统用户和用户组。

2）NTFS权限设置，请记住分区的时候把所有的硬盘都分为NTFS分区，然后我们可以确定每个分区对每个用户开放的权限。

文件（夹）上右键→属性→安全，在这里管理NTFS文件（夹）权限。

3）IIS匿名用户，每个IIS站点或者虚拟目录，都可以设置一个匿名访问用户（现在暂且把它叫“IIS匿名用户”），当用户访问你的网站的.ASP文件的时候，这个.ASP文件所具有的权限，就是这个“IIS匿名用户”所具有的权限。

2、权限设置——磁盘权限系统盘及所有磁盘只给Administrators组和SYSTEM的完全控制权限系统盘\Documents and Settings目录只给Administrators组和SYSTEM的完全控制权限系统盘\Documents and Settings\All Users目录只给Administrators组和SYSTEM的完全控制权限系统盘\Inetpub目录及下面所有目录、文件只给Administrators组和SYSTEM的完全控制权限系统盘\Windows\System32\cacls.exe、cmd.exe、net.exe、net1.exe文件只给Administrators组和SYSTEM的完全控制权限四、禁用不必要的服务开始菜单—>管理工具—>服务Print SpoolerRemote RegistryTCP/IP NetBIOS HelperServer以上是在Windows Server 2003系统上面默认启动的服务中禁用的，默认禁用的服务如没特别需要的话不要启动。

web服务器安全配置Web服务器安全配置简介Web服务器是托管和传输网站内容的核心组件。

为了确保网站的安全，正确的服务器安全配置是至关重要的。

本文将介绍一些重要的方法和步骤，以帮助您合理地配置和保护您的Web服务器。

1. 更新服务器软件和操作系统保持服务器软件和操作系统的最新版本非常重要。

这样可以确保您的服务器是基于最新安全补丁和修复程序运行的，以减少黑客和恶意软件的攻击风险。

2. 去除默认配置大多数Web服务器都有默认的配置文件和设置。

黑客经常利用这些默认配置的弱点，因此应该定制和修改这些配置。

将默认的管理员账户名称和密码更改为强密码，并禁用不必要的服务和插件。

3. 使用安全的传输协议为了保护Web服务器和用户之间的数据传输，应该始终使用安全的传输协议，如HTTPS。

HTTPS通过使用SSL/TLS加密协议来确保数据的机密性和完整性，防止数据在传输过程中被黑客窃取或篡改。

4. 创建强大的访问控制使用防火墙和访问控制列表（ACL）来限制对服务器的访问。

只允许必要的IP地址访问您的服务器，并阻止来自已知恶意IP地址的访问。

使用强大的密码策略来保护登录凭证，并定期更改密码。

5. 防御举措采取一些额外的防御措施，例如使用Web应用程序防火墙（WAF）来检测和阻止恶意的HTTP请求。

WAF可以识别和封锁潜在的攻击，如跨站点脚本攻击（XSS）和SQL注入攻击。

6. 安全审计和监控定期进行安全审计和监控是保持服务器安全的关键。

通过监控服务器访问日志和相关指标，可以及时发现潜在的安全问题。

使用入侵检测系统（IDS）和入侵防御系统（IPS）来检测和阻止未经授权的访问和活动。

7. 数据备份和恢复计划及时备份服务器上的所有数据，并设置定期的备份计划。

这样，在服务器遭受攻击或数据丢失时，可以及时恢复数据并最小化损失。

8. 网络分割将Web服务器与其他敏感数据和系统隔离开来，建立网络分割可以减少攻击面，确保一次攻击不会导致整个网络或系统的崩溃。

实验五：web服务器的安全配置实验目的：使同学们掌握windows 2000 sever、windows 2003 sever与IIS共同搭建web服务器的安全设置方案。

一、加强IIS安全的基本设置1.关闭并删除默认站点为了加强安全性我们首先应该关闭并删除IIS默认的各个站点，如默认FTP站点、默认Web站点和管理Web站点。

2.建立自己的站点，与系统不在同一分区例如C:\为系统盘，那么我们建立D:\wwwroot目录，用来存放站点的程序和数据；建立E:\Logfiles 目录，用来存放站点的日志文件，并确保此目录上的访问控制权限是： Administrators（完全控制）System（完全控制）。

3.删除IIS的部分目录为了加强IIS安全,我们需要删除如下目录：IISHelp，C:\winnt\help\iishelp；IISAdmin，C:\system32\inetsrv\iisadmin；MSADC，C:\Program Files\Common Files\System\msadc\；另外还要删除IIS 的默认安装目录C:\ inetpub。

4.删除不必要的IIS映射和扩展IIS 被预先配置为支持常用的文件名扩展如 .asp和 .shtm文件。

IIS 接收到这些类型的文件请求时，该调用由DLL处理。

如果所搭建的网站不使用其中某些扩展或功能，则应删除该映射。

步骤如下：打开 Internet 服务管理器：选择计算机名，点鼠标右键，选择属性，选择编辑然后选择主目录，点击配置，选择扩展名 \".htw\", \".htr\",\".idc\",\".ida\",\".idq\"和，点击删除如果不使用server side include，则删除\".shtm\" \".stm\" 和 \".shtml\"。

Windows 2003 网站安全权限设置指南随着互联网的普及和IT信息技术的快速发展，各高校所运维的网站数量和规模与日俱增。

与此同时，Windows 2003已成为比较流行的WEB服务器操作系统,安全和性能也得到了广泛的认可，基于IIS WEB服务器软件的网站数量也越来越多。

通常情况，高校的大多数服务器，会由技术力量相对雄厚的网络中心等IT资源部门运维管理。

而网站程序的制作则一般由各单位、各部门自主负责：少数用户单位将会自主开发，或者请专业的IT公司代为开发。

而更多的用户单位则会将网站的制作当作一种福利，交由勤工俭学的学生开发。

因此各网站程序的安全性参差不齐。

在这种情况下，如果不对服务器的默认安全权限进行调整，便将这些网站运行于同一台服务器上，必将引发不少令人头痛的安全问题。

最常遇到的情况是：一台Windows 2003服务器上运行着多个网站，其中某个网站存在着安全漏洞（例如没有采用参数化的SQL查询或没有对用户提交的SQL语句进行过滤），黑客便可通过攻击该网站，取得权限，上传网页木马，得到了一个WEB SHELL执行权限，或者直接利用网页木马，篡改该服务器上所有WEB站点的源文件，往源文件里加入js和iframe恶意代码。

此时那些没有安装反病毒软件的访客，浏览这些页面时便将感染上病毒，结果引来用户的严重不满和投诉，同时也严重损害了学校的形象。

为了避免类似事件的发生，我们有必要将网站和数据库分开部署，通常的作法是将网站存放于一台分配了公网IP的Windows 2003服务器，而数据库则运行于一台与互联网相隔离的私网IP数据库服务器上。

但是，仅启用以上的安全措施还是远远不够的，我们还必须调整这一台Windows2003 WEB服务器的安全权限，对权限做严格的控制，实现各网站之间权限的隔离，做法如下：在WEB服务器上，1.创建若干个系统用户，分别用作IIS6的应用程序池安全性用户和网站匿名访问帐户。

Windows 2003 Server安全配置技术技巧(1)一、先关闭不需要的端口我比较小心，先关了端口。

只开了3389、21、80、1433，有些人一直说什么默认的3389不安全，对此我不否认，但是利用的途径也只能一个一个的穷举爆破，你把帐号改了密码设置为十五六位，我估计他要破上好几年，哈哈！办法：本地连接--属性--Internet协议（TCP/IP）--高级--选项--TCP/IP筛选--属性--把勾打上，然后添加你需要的端口即可。

PS一句：设置完端口需要重新启动！当然大家也可以更改远程连接端口方法：WindowsRegistryEditorVersion5.00[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Co ntrol\TerminalServer\WinStations\RDP-Tcp]"PortNumber"=dword:00002683保存为.REG文件双击即可！更改为9859，当然大家也可以换别的端口，直接打开以上注册表的地址，把值改为十进制的输入你想要的端口即可！重启生效！还有一点，在2003系统里，用TCP/IP筛选里的端口过滤功能，使用FTP服务器的时候，只开放21端口，在进行FTP传输的时候，FTP特有的Port模式和Passive模式，在进行数据传输的时候，需要动态的打开高端口，所以在使用TCP/IP过滤的情况下，经常会出现连接上后无法列出目录和数据传输的问题。

所以在2003系统上增加的Windows连接防火墙能很好的解决这个问题，不推荐使用网卡的TCP/IP过滤功能。

做FTP下载的用户看仔细，如果要关闭不必要的端口，在\system32\drivers\etc\services中有列表，记事本就可以打开的。

如果懒的话，最简单的方法是启用WIN2003的自身带的网络防火墙，并进行端口的改变。

功能还可以！Internet连接防火墙可以有效地拦截对Windows2003服务器的非法入侵，防止非法远程主机对服务器的扫描，提高Windows2003服务器的安全性。

Windows 2003安全设置及分析
曾振河
【期刊名称】《漳州职业技术学院学报》
【年(卷),期】2005(007)002
【摘要】本文是本人使用Windows 2003的过程中有关安全设置的经验总结,内容包括共享设置、服务策略设置、帐号策略设置、本地策略设置、终端服务设置、用户组策略设置、DIY策略设置,以及权限、加密、端口、个人隐私等方面的对策.【总页数】5页(P44-48)
【作者】曾振河
【作者单位】漳州职业技术学院,电子工程系,福建,漳州,363000
【正文语种】中文
【中图分类】TP311.53
【相关文献】
1.Windows Server2003Web服务器安全设置初探 [J], 张振东;鲜坤林
2.windows2003服务器安全设置问题研究 [J],
3.Windows 2003安全设置 [J], 郭振勇
4.加强终端服务的安全——如何在Windows Server 2003中配置终端服务的安全设置 [J], JeffFellinge;肖欣
5.新系统的老问题——全面了解Windows Server 2003系统安全——文件系统的安全设置 [J], 奇奇
因版权原因，仅展示原文概要，查看原文内容请购买。