Yousri's Blog

    这两天接触微软的windows server 2003搭建web服务器，实在是一个头两个大，对于安全防范及配置方面可谓是从未琢磨过，一次次的尝试一次次的验证修改，感觉其实也不是很复杂吧，如果搞清楚思路后。。。。

    根据“最小的权限+最少的服务=最大的安全”的原则
    最小权限的设置：
    使用NTFS系统文件格式，对每个硬盘根目录只给予administrator用户及system用户完全控制权限，并删除其他用户权限。
    如：C:\Windows  Administrator、System完全控制权限;Users用户默认权限不修改删除其他用户

   
    修改C:\Windows目录下相关可执行文件权限：
    net.exe、cmd.exe、tftp.exe、netstat.exe、regedit.exe、at.exe、attrib.exe、cacls.exe、format.com、regsvr32.exe、xcopy.exe、wscript.exe、cscript.exe、ftp.exe、telnet.exe、arp.exe、edlin.exe、ping.exe、route.exe、finger.exe、posix.exe、rsh.exe、atsvc.exe、qbasic.exe、runonce.exe、syskey.exe
    修改以上权限，删除所有用户只保留Adminstrators和system用户组完全控制权限

    对于各个站点虚拟目录对应权限严格设置：
        添加个站点或虚拟目录对应用户到GUESTS组
        Administraotrs 完全控制
        System 完全控制
        ASP.NET 读取写入
        NETWORK SERVICE 读取
     

禁止建立空链接：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
新建 “DWORD值”值名为 “RestrictAnonymous” 数据值为“1” [2003默认为1]

禁止系统自动启动服务器共享：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
新建 “DWORD值”值名为 “AutoShareServer” 数据值为“0”

禁止系统自动启动管理共享：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
新建 “DWORD值”值名为 “AutoShareWks” 数据值为“0”

通过修改注册表防止小规模DDOS攻击
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建 “DWORD值”值名为 “SynAttackProtect” 数据值为“1”

本地安全策略配置:
开始 > 程序 > 管理工具 > 本地安全策略
账户策略 > 密码策略 > 密码最短使用期限 改成0天
账户策略 > 账户锁定策略 > 账户锁定阈值 5 次 账户锁定时间 10分钟 [个人推荐配置]
本地策略 > 审核策略 >
账户管理 成功 失败
登录事件 成功 失败
对象访问 失败
策略更改 成功 失败
特权使用 失败
系统事件 成功 失败
目录服务访问 失败
账户登录事件 成功 失败
本地策略 > 安全选项 >
清除虚拟内存页面文件 更改为"已启用"
不显示上次的用户名 更改为"已启用"
不需要按CTRL+ALT+DEL 更改为"已启用"
不允许 SAM 账户的匿名枚举 更改为"已启用"
不允许 SAM 账户和共享的匿名枚举 更改为"已启用"
重命名来宾账户 更改成一个复杂的账户名
重命名系统管理员账号 更改一个自己用的账号 [同时可建立一个无用户组的Administrat账户]

删除不安全组件：
WScript.Shell 、Shell.application 两个组件一般一些ASP木马或一些恶意程序入侵渗透点。
方案一、
regsvr32 /u wshom.ocx 卸载WScript.Shell 组件
regsvr32 /u shell32.dll 卸载Shell.application 组件
方案二、
删除注册表 HKEY_CLASSES_ROOT\CLSID\{72C24DD5-D70A-438B-8A42-98424B88AFB8} 对应 WScript.Shell
删除注册表 HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540000} 对应 Shell.application

最少的服务的设置：
黑色为自动 绿色为手动 红色为禁用
Alerter
服务描述: 通知选定的用户和计算机管理警报。如果服务停止，使用管理警报的程序将不会收到它们。如果此服务被禁用，任何直接依赖它的服务都将不能启动。
Application Experience Lookup Service
Application Layer Gateway Service
服务描述: 为应用程序级协议插件提供支持并启用网络/协议连接。如果此服务被禁用，任何依赖它的服务将无法启动。
Application Management
Automatic Updates [Windows自动更新,可选项]
Background Intelligent Transfer Service
服务描述: 服务描述:利用空闲的网络带宽在后台传输文件。如果服务被停用，例如 Windows Update 和 MSN Explorer 的功能将无法自动下载程序和其他信息。如果此服务被禁用，任何依赖它的服务如果没有容错技术以直接通过 IE 传输文件，一旦 BITS 被禁用，就可能无法传输文件。
ClipBook
COM+ Event System
COM+ System Application
Computer Browser
服务描述: 服务描述:维护网络上计算机的更新列表，并将列表提供给计算机指定浏览。如果服务停止，列表不会被更新或维护。如果服务被禁用，任何直接依赖于此服务的服务将无法启动。
Cryptographic Services
DCOM Server Process Launcher
DHCP Client
Distributed File System
服务描述: 将分散的文件共享合并成一个逻辑名称空间并在局域网或广域网上管理这些逻辑卷。如果这个服务被停止，用户则无法访问文件共享。如果这个服务被禁用，任何依赖它的服务将无法启动。
Distributed Link Tracking Client
Distributed Link Tracking Server
Distributed Transaction Coordinator
DNS Client
Error Reporting Service
Event Log
File Replication
Help and Support
服务描述: 启用在此计算机上运行帮助和支持中心。如果停止服务，帮助和支持中心将不可用。如果禁用服务，任何直接依赖于此服务的服务将无法启动。
HTTP SSL
Human Interface Device Access
IIS Admin Service
IMAPI CD-Burning COM Service
Indexing Service
Intersite Messaging
IPSEC Services [如果使用了IP安全策略则自动，如无则禁用，可选操作]
Kerberos Key Distribution Center
License Logging
Logical Disk Manager [可选，多硬盘建议自动]
Logical Disk Manager Administrative Service
Messenger
服务描述: 传输客户端和服务器之间的 NET SEND 和 警报器服务消息。此服务与 Windows Messenger 无关。如果服务停止，警报器消息不会被传输。如果服务被禁用，任何直接依赖于此服务的服务将无法启动。
Microsoft Search
Microsoft Software Shadow Copy Provider
MSSQLSERVER
MSSQLServerADHelper
Net Logon
NetMeeting Remote Desktop Sharing
服务描述: 允许经过授权的用户用 NetMeeting 在公司 intranet 上远程访问这台计算机。如果服务被停止，远程桌面共享将不可用。如果服务被禁用，依赖这个服务的任何服务都会无法启动。
Network Connections
Network DDE
Network DDE DSDM
Network Location Awareness (NLA)
Network Provisioning Service
NT LM Security Support Provider
Performance Logs and Alerts
Plug and Play
Portable Media Serial Number Service [微软反盗版工具，目前只针对多媒体类]
Print Spooler
服务描述: 管理所有本地和网络打印队列及控制所有打印工作。如果此服务被停用，本地计算机上的打印将不可用。如果此服务被禁用，任何依赖于它的服务将无法启用。
Protected Storage
Remote Access Auto Connection Manager
Remote Access Connection Manager
Remote Desktop Help Session Manager
Remote Procedure Call (RPC)
Remote Procedure Call (RPC) Locator
Remote Registry
服务描述: 使远程用户能修改此计算机上的注册表设置。如果此服务被终止，只有此计算机上的用户才能修改注册表。如果此服务被禁用，任何依赖它的服务将无法启动。
Removable Storage
Resultant Set of Policy Provider
Routing and Remote Access
Secondary Logon
Security Accounts Manager
Server
Shell Hardware Detection
Smart Card
Special Administration Console Helper
SQLSERVERAGENT
System Event Notification
Task Scheduler
服务描述: 使用户能在此计算机上配置和计划自动任务。如果此服务被终止，这些任务将无法在计划时间里运行。如果此服务被禁用，任何依赖它的服务将无法启动。
TCP/IP NetBIOS Helper
服务描述: 提供 TCP/IP (NetBT) 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持，从而使用户能够共享文件、打印和登录到网络。如果此服务被停用，这些功能可能不可用。如果此服务被禁用，任何依赖它的服务将无法启动。
Telephony
Telnet
服务描述: 允许远程用户登录到此计算机并运行程序，并支持多种 TCP/IP Telnet 客户端，包括基于 UNIX 和 Windows 的计算机。如果此服务停止，远程用户就不能访问程序，任何直接依赖于它的服务将会启动失败。
Terminal Services
Terminal Services Session Directory
Themes
Uninterruptible Power Supply
Upload Manager
Virtual Disk Service
Volume Shadow Copy
WebClient
Windows Audio [服务器没必要使用声音]
Windows Firewall/Internet Connection Sharing (ICS)
Windows Image Acquisition (WIA)
Windows Installer
Windows Management Instrumentation
Windows Management Instrumentation Driver Extensions
Windows Time
Windows User Mode Driver Framework
WinHTTP Web Proxy Auto-Discovery Service
Wireless Configuration
WMI Performance Adapter
Workstation
服务描述: 创建和维护到远程服务的客户端网络连接。如果服务停止，这些连接将不可用。如果服务被禁用，任何直接依赖于此服务的服务将无法启动。
World Wide Web Publishing Service

基于IIS6.0安装配置PHP程序支持：
先安装php使用最新版本php-5.2.8-win32-installer.msi
安装过程中选择所设置的the web server 为IIS ISAPI module如图所示：

       
    紧接着简单配置IIS完成站点c.com支持PHP程序
    站点属性–>主目录–>配置–>应用程序扩展–>添加 可执行文件：C:\PHP\php5isapi.dll   格式为：.php
如下图所示：

    
    添加相应支持php程序“web服务扩展”，即打开“ Internet 信息服务(IIS)管理器”，在“ Web 服务扩展”里，选择“添加一个新的 Web 服务扩展”，扩展名可填写“PHP”，要求的文件选择: C:\PHP\php5isapi.dll，并设置扩展状态为允许。结果如下图所示：

   
    打开“网站”->“属性”->“文档”->“启用默认内容文档”->“添加”，可以将 index.php 添加为默认内容文档。最后并重新启动IIS服务项。
    最后使用phpinfo();函数测试结果

written by Yousri \\ tags: IIS6, PHP5, windows server 2003, 安全, 配置

    一大早上班就收到公司邮件：关于IE7浏览器安全漏洞问题 其内容大致： 微软IE7浏览器出现“0day”漏洞，可被利用来进行挂马攻击，目前攻击代码正在网上扩散，已有大量用户受到感染。昨天，瑞星和江民等国内多家知名反病毒机构同时向网民发出警报，黑客很可能利用这一最新漏洞，制作各种恶意网页，疯狂传播木马病毒。

    其实在三天前12月9号的时候就有新闻消息出来，比较没那么影响力而已。。。 然后今天公司开始觉得其危害性严重性，所以很重视说要想方设法搞定出暂时的防御措施，其实个人觉得和几个同事都觉得也这东西也没必要搞得那么大动作，不过想想提前防御还是比较保障妥当的吧，何况也许跟公司性质不同也比较必要措施吧。这下问题就麻烦咯。。。主要是微软至今迟迟未见到有安全补丁发布。。。只好借助第三方工具。。。。十点多的时候收到老大的邮件并借助360安全卫士最新发布的补丁先预防下吧。。。。在此记录并分享下吧。。。有需要的可以参考下，个人是用不着就是  因为基本都是用firefox浏览器。 顺便鄙视下微软，越来越垃圾。。。还是支持开源，支持Linux 哈哈

    几种临时解决办法：

    1、机器上如果已经有360安全卫士，可以下载安装这个：http://dl.360safe.com/360fixmsxml.exe

    2、放弃使用IE，改用 Firefox 或者chrome 或者safari 或者 opera

    3、在IE安全设置中禁用JavaScript

    4、我的电脑 -> 属性  -> 高级 -> 性能  -> 设置 -> 数据执行保护

    5、下载
http://www.xfocus.net/tk/tkBHO.zip，解压缩。运行目录下的install.cmd完成安装。

    6、下载安装畅游巡警 http://cy.sucop.com/SecPlugin_Setup.exe

     7、江民IE70DAY漏洞补丁程序下载地址：http://filedown.jiangmin.com/KVIEXMLPatch.exe     

    也许在你看到此篇记录的时候微软补丁已经发布出来了就是，就当多了解学习下其实在微软发布漏洞补丁之前其实是已经有其他措施可以预防的吧。。。也许不能治本吧。。。

written by Yousri \\ tags: IE, microsoft, 漏洞

      此文主要记录的是亲身经历到的一个关于将Google Friends Connect显示在个人博客上而导致使用IE浏览器访问博客出现在已经加载完博客页面后却还是跳出无法打开访问的错误提示对话框的根本原因所在及简单处理措施。

      关于Google Friends Connect是啥东西，想必流浪于互联网的都比我还清楚了。。。这里就不多浪费时间浪费流量介绍了。这里主要想分享下为啥Google Friends Connect沟通方式会带来整个博客网站无法访问那么严重的根本所在（其实也就只有使用IE浏览器无法访问而已吧），确切的说，其实也不是所有使用Google Friends Connect显示在博客上的人都有出现这样的问题就是，也许只是很少很少的一部分人（比如像我）有幸遇到而已，所以可见问题所在可以断定与Google Friends Connect无关。所以个人开始觉得会不会是因为Google Friends Connect的HTML Code与Wordpress博客的某个或某些插件出现不兼容问题呢？经过一段时间的折磨，后来事实证明确实是其他原因导致的—–其实wordpress博客的lightbox plus插件（一款图片浏览插件）才是其中的罪魁祸首所在。只要在插件里将lightbox plus此插件禁用掉，原先的问题就飘飘然而飞了。。。

      到此为止， 由于个人使用的插件中就遇到这个插件有所不兼容，对于其他的wordpress插件还有没有会引起和Google Friends Connect共存而致IE无法打开访问你的博客页面鄙人就不敢确定。但是至少有个方向应该还是没错的：那就是可能是因为Google Friends Connect的HTML Code与Wordpress博客的某个或某些插件出现不兼容问题的。所以如果你有遇到装完Google Friends Connect后在IE浏览器下无法打开访问你的博客的话，那建议你可以考虑将你博客中使用的插件一个个禁用启用监测看看吧，也许问题所在就在此咯。这也是个解决问题的方向

       其实此问题现象的出现与发现要追溯到三天前收到一封来自名叫肥狐狸网友的Google邮件，在此也非常的感谢这位朋友的友情告知，不然自己一直都是使用firefox浏览器都不知道原来有那么大的问题所在，以下是邮件内容： 

                颜小诗：

                       你好，刚才在浏览你的博客的时间出现一点点问题。

                       浏览器显示无法打开你的博客（参见附件截图）点击确定之后，你的网站就连接不上了

                       我的操作系统是windows xp，浏览器是ie6 和 ie7  希望这个反馈能对你有帮助

               万事如意

               —-

       那时只知道应该是因为安装了Google Friends Connect 后才出现这种现象的，因为那两天对博客动了手脚只有挂了个Google Friends Connect上边栏上，其实却不知道本质原因所在，所以当时只是平凡行为的将Google Friends Connect边栏撤掉。。。自然访问就正常了。

written by Yousri \\ tags: google friends connect, lightbox plus, 插件, 无法访问