（14）对SQL SERVER使用安全的帐号策略。
对sa配置一个健壮的密码，不要把sa的密码写在应用程序或者代码脚本中。如果数据库管理员不希望操作系统管理员通过登录来接触数据库的话，可以在帐号管理中把系统帐号“BUILTIN\\Administrators”删除。如我们的设置不采用sa帐号，而是创建YoursLikeNamesoft标准帐号，对KYCMIS/KYCBBS权限为Public+Dbowner。同时，加强数据库日志记录。审核数据库登录事件的“失败和成功”，在实例属性中选择“安全性”，将其中的审核级别选定为全部，这样在数据库系统和操作系统日志里面，就详细记录了所有帐号的登录事件。并定期查看SQL Server日志检查是否有可疑的登录事件发生，或者使用DOS命令。
findstr /C:"登录" d:\\Microsoft SQL Server\\MSSQL\\LOG\\*.*
管理扩展存储过程：对存储过程进行大手术，并且对帐号调用扩展存储过程的权限要慎重。其实在多数应用中根本用不到多少系统的存储过程，而SQL Server的这么多系统存储过程只是用来适应广大用户需求的，所以请删除不必要的存储过程，因为有些系统的存储过程能很容易地被人利用起来提升权限或进行破坏。如果你不需要扩展存储过程xp_cmdshell请把它去掉。使用这个SQL语句：
USE master
EXEC sp_dropextendedproc \‘xp_cmdshell\‘
xp_cmdshell是进入操作系统的一个捷径，是数据库留给操作系统的一个大后门。
如果你需要这个存储过程，请用这个语句也可以恢复过来。
EXEC sp_addextendedproc \‘xp_cmdshell\‘, \‘xpsql70.dll\‘
在处理存储过程的时候，请确认一下，避免造成对数据库或应用程序的伤害。
强制协议加密（在实例属性->TCP/IP协议中或SQL服务器网络工具中），启用协议加密。加密是通过将数据更改为不可读形式而使敏感数据得以保密的方法。加密通过对每个人都隐藏信息而确保数据安全，即使有人直接查看加密数据。当然要有证书，如果没有，可能启动不了了。不过不必担心，进入企业管理器中修改属性即可。
（15）充分利用和配置好WINDOWS提供的IPSec！“Internet 协议安全性 (IPSec)”是一种开放标准的框架结构，通过使用加密安全服务以确保在 Internet 协议 (IP) 网络上进行保密而安全的通信。详细信息，请参阅WIN帮助。在管理工具->本地系统策略->IP安全策略在本地！使用操作系统自己的IPSec可以实现IP数据包的安全性。请对IP连接进行限制，只保证自己的IP能够访问，也拒绝其他IP进行的端口连接，把来自网络上的安全威胁进行有效的控制。
如：对SQL网络连接进行IP限制、拒绝来自1434、3389端口的探测等等（实现：在IPSec过滤拒绝掉1434端口的UDP通讯即可了）。所有IP通讯->源地址（任何IP），目标地址（我的IP），UDP协议，端口1434筛选，进行安全措施->请求安全->阻止即可等。
关于IPSec的使用请参看：
（15）对于IIS的404等错误提示的一些代码脚本进行跳转。
比如在iishelp\\common\\404b.htm中头部增加
并用系统漏洞检测、网站漏洞检测工具、SQL注入攻击检测工具等对自己的服务器进行检测测试。。。。！这个也非常重要。
(16) 防止Content-Location标头暴露web服务器内部IP地址的方法是执行 cscript c:\\inetpub\\adminscripts\\adsutil.vbs set w3svc/UseHostName True （需重启IIS）
（17） IIS HTTP500内部错误大部分原因 是由于iwam账号的密码不同步造成的。只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题（降低IIS权限为最低也可解决）。执行 cscript c:\\inetpub\\adminscripts\\synciwam.vbs –v
（18）增强IIS防御SYN Flood的能力。
[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Tcpip\\Parameters]
启动SynAttackProtect攻击保护，设成2。
其它，如"TcpMaxConnectResponseRetransmissions"、"TcpMaxDataRetransmissions"、"TCPMax
PortsExhausted"、"DisableIPSourceRouting"、"TcpTimedWaitDelay"等请参考相关资料。微软一般都有推荐的安全值。需手工添加修改。
（19）可以充分利用NFTS的安全性，将不同的虚拟目录设计成不同的权限。尤其bbs等公开源码的，这类往往有漏洞，那么入侵者即使上传了FSO，结果匿名访问的这个帐号权限只能对当前目录操作，一般也破坏不大了（假设FSO等还未禁止和修改的话）。
（20）SERV-U存在着几个安全隐患，如：远程溢出、默认账号LocalAdministrator的默认密码的本地提升权限的漏洞等等。如何防止，请参考相关资料。此略。
（21）禁止“WSH”提高系统安全性能，VBScript病毒，主要是由于Windows 中内嵌的 Windows Scripting Host (WSH)，WSH 为 Visual Basic 脚本语言的自动运行提供了方便。
禁用 WSH 的步骤：对于Windows 2000 和2003，第一步：打开“我的电脑（My Computer）”；第二步：选择“工具（Tools）”菜单中的“文件夹选项（Folder Options）”；第三步：点击“文件类型（File Types）”项；第四步：找到“VBScript 脚本文件（VBScript Script File）”；第五步：选择“删除（Delete）”；第六步：点击“OK”确定。
（22）Inetpub默认目录要修改或者删除。时常关注微软网站关于DDOS/DOS等分布式拒绝服务攻击的新补丁。
如：
选择中文或其他语言，当然，建议采用英文操作系统。英文的sp补丁快一些
微软在线更新
（23）删除或禁止guests使用shell.application。
防范基于shell.application组件的asp木马
cacls为显示或者修改文件的访问控制列表(ACL)的命令。
cacls %systemroot%\\system32\\shell32.dll /e /d guests //禁止guests使用
regsvr32 shell32.dll /u /s //删除（推荐，毕竟一般编程用这个的很少）
cacls %systemroot%\\system32\\scrrun.dll /e /d guests //禁止guests使用
regsvr32 scrrun.dll /u /s //删除（不推荐，删除后，自己也没得用了，建议修改）
（24）修改FSO等的FSOSTREAMDICTION安全注册表.reg
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\Scripting.YoursLikeNameFileSystemObject]
@="FileSystem Object"
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\Scripting.YoursLikeNameFSO\\CLSID]
@="{0D43FE01-F093-11CF-8940-00A0C9054228}"
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\ADODB.YoursLikeNameStream]
@="ADODB.YoursLikeNameStream"
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\ADODB.YoursLikeNameStream\\CLSID]
@="{00000566-0000-0010-8000-00AA006D2EA4}"
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\ADODB.YoursLikeNameStream\\CurVer]
@="ADODB.YoursLikeNameStream.2.80"
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\ADODB.YoursLikeNameStream.2.5]
@="ADODB.YoursLikeNameStream"
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\ADODB.YoursLikeNameStream.2.5\\CLSID]
@="{00000566-0000-0010-8000-00AA006D2EA4}"
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\ADODB.YoursLikeNameStream.2.80]
@="ADODB.YoursLikeNameStream"
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\ADODB.YoursLikeNameStream.2.80\\CLSID]
@="{00000566-0000-0010-8000-00AA006D2EA4}"
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\Scripting.YoursLikeNameDictionary]
@="Scripting.YoursLikeNameDictionary"
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\Scripting.YoursLikeNameDictionary\\CLSID]
@="{EE09B103-97E0-11CF-978F-00A02463E06F}"
ASP代码中调用示例：Set TempFSO = CreateObject("Scripting.YoursLikeNameFSO")
（25）修改3389远程控制PortNumber
[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server\\WinStations\\RDP-Tcp]
"PortNumber"=dword:00001f90
[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server\\Wds\\rdpwd\\Tds\\tcp]
………………….略。查找PortNumber把值改为10进制的相关值即可。
.
分页: [1] [2]
TAG: windows 2003 安全配置