用微软的IIS打造一个WEB服务器是件非常简单的事情，但是它的安全性实在不敢恭维。攻击者通过注入、上传、旁注等技术获得了某个网站的Webshell，然后进一步渗透提权，直至控制整个Web服务器。至于如何让攻击者无缘Webshell那是代码部分的问题，我们做为管理员应该如何加固Web服务器，让攻击者在获得了Webshell之后无功而返呢?
一、设置命令权限
默认设置下，webshell中可以调用一些对服务器构成危险的系统命令，因此要对这些命令进行权限限制。需要限制权限的命令主要有：cmd.exe net.exe net1.exe ping.exe netstat.exe ftp.exe tftp.exe telnet.exe等。
对这些命令单独进行设置，设置为只允许administrators组访问，这样既防止攻击者新建用户对系统进行修改，也可以防范通过Serv-U的本地提升权限漏洞来运行这些关键的程序了。特别提醒的是要删除cacls.exe这个程序，防止有人通过命令行来修改权限。(图1)
图1
个人秘笈：在系统目录下放一个和cmd.exe同名的监控程序，并赋予它eventone运行权限。这样只要攻击者在websehll中调用cmd.exe就可以触发监控程序，记录并追查攻击者的踪迹，让他偷鸡不成反蚀一把米。为我们发现入侵，直至找到攻击者做准备。
二、设置目录权限
设置的原则是让IIS以最小的权限运行，但也不至于把自己捆住。
1、选取整个硬盘：
system：完全控制
administrator：完全控制
(允许将来自父系的可继承性权限传播给对象) (图2)
图2
2、c:program filescommon files：
everyone：读取及运行
列出文件目录
读取
(允许将来自父系的可继承性权限传播给对象)
3、c:inetpubwwwroot：
iusr_machinename：读取及运行
列出文件目录
读取
(允许将来自父系的可继承性权限传播给对象)
4、c:windowssystem32：
选择除inetsrv和centsrv以外的所有目录，
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
5、c:windows：
选择除了downloaded program files、help、iis temporary compressed files、
offline web pages、system32、tasks、temp、web以外的所有目录
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
6、c:windows：
everyone：读取及运行
列出文件目录
读取
(允许将来自父系的可继承性权限传播给对象)
7、c:windows emp：(允许访问数据库并显示在asp页面上)
everyone：修改
(允许将来自父系的可继承性权限传播给对象)
三、与组件相关的设置
1、shell.application组件删除
再来去掉一些ASP WEBSHELL需要使用的一些组件，这些组件其实普通的虚拟主机用户也是用不上的。
很多防范ASP木马的文章都提到要删除FileSystemObject组件，但删除了这个组件后，很多ASP的程序可能会运行不了，其实只要做好了前面的工作，FileSystemObject组件能操作的，只能是自己目录下的文件，也就构成不了什么威胁了!
现在看来，还比较有威胁的组件就是Shell.Application和Wscript.Shell这两个组件了，Shell.Application可以对文件进行一些操作，还可以执行程序，但不能带参数，而Wscript.Shell可以操作注册表和执行DOS命令。
2、防范Wscript.Shell组件的方法：
可以通过修改注册表，将此组件改名。
HKEY_CLASSES_ROOTWScript.Shell及HKEY_CLASSES_ROOTWScript.Shell.1
改名为其它的名字，如：改为WScript.Shell_ChangeName或WScript.Shell.1_ChangeName自己以后调用的时候使用这个就可以正常调用此组件了 (图3)
图3
也要将clsid值也改一下
HKEY_CLASSES_ROOTWScript.ShellCLSID项目的值
HKEY_CLASSES_ROOTWScript.Shell.1CLSID项目的值
也可以将其删除，来防止此类木马的危害。
3、防范Shell.Application组件的方法：
可以通过修改注册表，将此组件改名。
HKEY_CLASSES_ROOTShell.Application 及
HKEY_CLASSES_ROOTShell.Application.1
改名为其它的名字，如：改为Shell.Application_ChangeName或Shell.Application.1_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了。
也要将clsid值也改一下
HKEY_CLASSES_ROOTShell.ApplicationCLSID项目的值 (图4)
图4
也可以将其删除，来防止此类木马的危害。
.分页: [1] [2]
- 上一篇:IIS优化 为Web服务器减负
- 下一篇:cisco路由入侵艺术