服务器安全方案

服务器安全方案

一、操作系统安全配

置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。1 1安装操作系统(NTFS分区)。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2

2.安装系统补丁，扫描漏洞全面杀毒。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2

3.删除Windows Server 2003默认共享。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2

4.禁用IPC连接。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2

5.删除"网络连接"里的协议和服务。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2

6.启用windows连接防火墙。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。2

7.磁盘权限。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。3

8.本地安全策略设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。3

系统检查检测。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。4 二iis配置(包括网站所在目录)。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5

1.新建自己的网站。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5

2.删掉系统盘\inetpub目录。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5

3.删除不用的映射。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5

4.为网站创建系统用户。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5

5.设置应用程及子目录的执行权限。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5

6.应用程序池设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5

Iis检查检测。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。5

1.密码设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。6

2.删除危险的扩展存储过程和相关.dll。。。。。。。。。。。。。。。。。。。。。。。。。。。。6

四、远程访问配置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。7

第一步，远程桌面设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。7 第二步.设客户端。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。8 第三步，远程连接。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。8 远程访问检查检测。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。9

五、其它设置(选用)。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。10

六、可以关闭的系统服务列表。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。10

七、禁止或卸载危险组件。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。11

八、windows自带防火墙设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。12

九、天网防火墙设置。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。15

十、防ASP木马，删除相关组件。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。16 一、操作系统安全配置

1安装操作系统(NTFS分区)

系统选用正版，装杀毒软件，比如免费的瑞星杀毒软件，天网防火墙。

2.安装系统补丁，扫描漏洞全面杀毒。

3.删除Windows Server 2003默认共享。

首先编写如下内容的批处理文件：

@echo off

net share C$ /del

net share D$ /del

net share E$ /del

net share F$ /del

net share admin$ /del

文件名为delshare.bat，放到启动项中，每次开机时会自动删除共享。

4.禁用IPC连接

打开CMD后输入如下命令即可进行连接：net use\\ip\ipc$ "password" /user:"usernqme"。我们可以通过修改注册表(regedit)来禁用IPC连接。打开注册表编辑器。找到如下组建HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa中的restrictanonymous子键，将其值改为1即可禁用IPC连接。

5.删除"网络连接"里的协议和服务

在"网络连接"里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP），同时在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。

6.启用wind ows连接防火墙

只开放web服务(80端口)。注：在2003系统里，不推荐用TCP/IP筛选里的端口过滤功能，譬如在使用FTP服务器的时候，如果仅仅只开放21端口，由于FTP协议的特殊性，在进行FTP传输的时候，由于FTP 特有的Port模式和Passive模式，在进行数据传输的时候，需要动态的打开高端口，所以在

使用TCP/IP过滤的情况下，经常会出现连接上后无法列出目录和数据传输的问题。所以在2003系统上增加的windows连接防火墙能很好的解决这个问题，所以都不推荐使用网卡的TCP/IP过滤功能。

7.磁盘权限

给每个虚拟主机用户设置一个单独的用户帐号，然后再给每个帐号分配一个允许其完全控制的目录。

1打开"计算机管理"→"本地用户和组"→"用户"，在右栏中点击鼠标右键，在弹出的菜单中选择"新用户"

2在弹出的"新用户"对话框中根据实际需要输入"用户名"、"全名"、"描述"、"密码"、"确认密码"，并将"用户下次登录时须更改密码"前的对号去掉，选中"用户不能更改密码"和"密码永不过期"。

3在列表中双击该帐号，以便进一步进行设置，属性对话框中点"隶属于"选项卡，刚建立的帐号默认是属于"Users"组，选中该组，点"删除"此时再点"添加，在弹出的"选择组"对话框中找到"Guests"，点"添加"，然后点"确定。

4弹出一个"第一虚拟主机属性"的对话框，从对话框中可以看到该虚拟主机用户的使用的是"F:\VHOST1"这个文件夹，切换到"资源管理器"，找到"F:\VHOST1"这个文件夹，右击，选"属性"→"安全"选项卡，此时可以看到该文件夹的默认安全设置是"Everyone"完全控制（视不同情况显示的内容不完全一样），首先将最将下的"允许将来自父系的可继承权限传播给该对象"前面的对号去掉，此时会弹出如下图所示的"安全"警告，点"删除"，此时安全选项卡中的所有组和用户都将被清空（如果没有清空，请使用"删除"将其清空），然后点"添加"按钮。将"Administrator"及在前面所创建的新帐号"IUSR_VHOST1"添加进来，将给予完全控制的权限，还可以根据实际需要添加其他组或用户，但一定不要将"Guests"组、"IUSR_机器名"这些匿名访问的帐号添加上去！

5打开的"第一虚拟主机属性"的对话框，打开"目录安全性"选项卡，点匿名访问和验证控制的"编辑"：在弹出的"验证方法"对方框（如下图所示），点"编辑"：弹出了"匿名用户帐号"，默认的就是"IUSR_机器名"，点"浏览"：在"选择用户"对话框中找到前面创建的新帐号"IUSR_VHOST1"，双击：此时匿名用户名就改过来了，在密码框中输入前面创建时，为该帐号设置的密码：

6如果此网站运行的是https://www.360docs.net/doc/17741070.html,网站程序，则还要在网站安全性中加上“https://www.360docs.net/doc/17741070.html,”和“IIS_WPG”两个用户的权限，权限只须要默认的“读取和运行”、“列出文件夹目录”、“读取”三个权限即可。

8.本地安全策略设置

开始菜单—>管理工具—>本地安全策略

A、本地策略——>审核策略(可选用)

审核策略更改成功失败

审核登录事件成功失败

审核对象访问失败

审核过程跟踪无审核

审核目录服务访问失败

审核特权使用失败

审核系统事件成功失败

审核账户登录事件成功失败

审核账户管理成功失败

B、本地策略——>用户权限分配

关闭系统：只有Administrators组、其它全部删除。

通过终端服务拒绝登陆：加入Guests、组

通过终端服务允许登陆：只加入Administrators组，其他全部删除

C、本地策略——>安全选项

交互式登陆：不显示上次的用户名启用

网络访问：可匿名访问的共享全部删除

COMCFG

DFS$

网络访问：可匿名访问的命名管道全部删除

COMNAP

COMNODE

SQL\QUERY

SPOOLSS

NETLOGON

LSARPC

SAMR

BROWSER

**网络访问：可远程访问的注册表路径全部删除

System\CurrentControlSet\Control\ProductOptions

System\CurrentControlSet\Control\Server Applications

Software\Microsoft\Windows NT\CurrentV ersion

**网络访问：可远程访问的注册表路径和子路径全部删除

System\CurrentControlSet\Control\Print\Printers

System\CurrentControlSet\Services\Eventlog

Software\Microsoft\OLAP Server

Software\Microsoft\Windows NT\CurrentV ersion\Print

Software\Microsoft\Windows NT\CurrentV ersion\Windows

System\CurrentControlSet\Control\ContentIndex

System\CurrentControlSet\Control\Terminal Server

System\CurrentControlSet\Control\Terminal Server\UserConfig

System\CurrentControlSet\Control\Terminal Server\DefaultUserConfiguration

Software\Microsoft\Windows NT\CurrentV ersion\Perflib

System\CurrentControlSet\Services\SysmonLog

帐户：重命名来宾帐户重命名一个帐户

(下面一项更改可能导致sqlserver不能使用)

帐户：重命名系统管理员帐户重命名一个帐户

系统检查检测

1查看系统盘是不是多少ntfs格式2检查杀毒软件和防火墙更新3使用杀毒软件或其他系统软件检查系统漏洞4右键我的电脑，管理，打开计算机管理点共享文件夹，点共享，共享里面应该没有项目5查看防火墙例外中加80tcp端口协议。6尝试用其他账户关机7尝试Guests、Users组用户登录，只有其管理员组可登录。8交互登录是不是不显示用户名9在本地用户和组查看来宾账户和管理员账户名是否修改。

二iis配置(包括网站所在目录)

1.新建自己的网站

*注意：在应用程序设置中执行权限设为无，在需要的目录里再更改，目录不在系统盘

注：为支持https://www.360docs.net/doc/17741070.html,,将系统盘\Inetpub\wwwroot中的aspnet_client文件夹复制到web根目录下，并给web 根目录加上users权限。

2.删掉系统盘\inetpub目录

3.删除不用的映射

在主目录"应用程序配置"里，只给必要的脚本执行权限：ASP、ASPX。

4.为网站创建系统用户

A.例如：网站为https://www.360docs.net/doc/17741070.html,，新建用户https://www.360docs.net/doc/17741070.html,权限为guests。然后在web

站点属性里"目录安全性"---"身份验证和访问控制"里设置匿名访问使用下列Windows 用户帐户"的用户名和密码都使用https://www.360docs.net/doc/17741070.html,这个用户的信息。(用户名：主机名\https://www.360docs.net/doc/17741070.html,)

B.给网站所在的磁盘目录添加用户https://www.360docs.net/doc/17741070.html,，只给读取和写入的权限。

5.设置应用程及子目录的执行权限

A.主应用程序目录中的"属性--应用程序设置--执行权限"设为纯脚本

B.在不需要执行asp、https://www.360docs.net/doc/17741070.html,的子目录中，例如上传文件目录，执行权限设为无

6.应用程序池设置

我的网站使用的是默认应用程序池。设置"内存回收"：这里的最大虚拟内存为：1000M，最大使用的物理内存为256M，这样的设置几乎是没限制这个站点的性能的。

回收工作进程(分钟)：1440

在下列时间回收工作进程：06:00

Iis检查检测

1 aspnet_client文件夹有没有复制到web根目录2查看web根目录有没

有的users权限3web根目录不能在系统盘4\inetpub目录和不用的映像是否已经删除5在本地用户和组中查看guests有没有自己添加的匿名用户，其密码永不过期。

三、sql server 2000 配置

1.密码设置

sa用户密码设置要复杂

给sa加上口令：

1，打开企业管理器------SQL Server服务器{一般默认为（LOCAL) (windowsNT)}------安全性-------登录，然后双击sa输入要设置的口令-----点确定------再次输入口令------点确定，这样就完成了sa口令的设置。

2，可这样只能防范黑客以sa用户登录，并没有要求我们在打开企业管理器或查询分析器的时候也要输入sa密码。我们仍然能打开企业管理器和查询分析器对里面的数据库进行所有数据的操作，那怎么才能在连接企业管理器或查询分析器数据库的时候也要输入sa密码呢？

给企业管理器和查询分析器设置连接口令：

1，打开企业管理器------右击服务器节点（LOCAL) (windowsNT）-------编辑SQL Server 注册属性------选择“使用SQL Server 身份验证”------输入登录名：sa------输入sa密码------选择“总是提示输入登录名和密码”------确定即可。有时在点确定后还会有提示“活动连接的连接信息已被更改，要断开连接吗？”------点击“是”------再次输入sa密码点确定-------即完成连接。

2，虽然这样做只有输入sa密码才能完成SQL Server身份验证模式下的企业管理器和查询分析器里数据库的连接，可查询分析器里还有一个使用“windows身份验证”，只要我们使用这个验证方式，仍然可以进入查询分析器里数据库进行数据操作，也可以在企业管理器中通过这个方式进行在现有数据库上“新建SQL Server 注册”的重新注册，来对数据库的数据进行操作。怎么样才能禁用这个方式的连接呢？

禁用SQL Server的“windows身份验证”模式的连接：

1，打开企业管理器------SQL Server服务器{一般默认为（LOCAL) (windowsNT)}------安全性-------登录，双击类型为“windows组”及“windows用户”，将“安全性访问”的选项设置均设为为“拒绝访问”即可。

2.删除危险的扩展存储过程和相关.dll。

Xp_cmdshell(这个肯定首当其冲，不用说了)、Xp_regaddmultistring、Xp_regdeletekey、Xp_regdeletevalue、Xp_regenumvalues、Xp_regread、Xp_regwrite、Xp_regremovemultistring Sql检查检测

1登录企业管理器检查口令和复杂程度2使用查询分析是不是提示要sa密码3用windows身份验证方式进入查询分析器操作是否成功。

四、远程访问配置

第一步，远程桌面设置。

点桌面的“我的电脑”按右键

点属性—-出现如下画面

点远程桌面，并勾上“允许用户远程连接到这台计算机”按确定–并点选择远程用户。出现如下对话框

怎么样，我们会发现软体动物这个用户已经有访问权了，当然还可以增加其他的用户，但我还是劝你少一点用户比较好，不然东西被人拿完了自己还不知道怎么回事。

按确定，确定，回到桌面。———–至此远程桌面的服务器端全部搞定，接着就是搞客户端了。

第二步.设客户端

在客户端的程序—附件—有个远程桌面连接，打开即可

第三步，远程连接

输入服务器ip地址登陆，如果非3389端口已被改成4411则登陆方式为ip：4411，加上端口号就行。

远程访问本身就是服务器的一大安全隐患，如必须开放可如下设置。

加强2003远程访问，安全性之端口更改，默认状态下远程桌面使用的端口是3389，这个端口是黑客

所窥视的端口，因此我们可以稍微在注册表中改端口值，加强远程桌面的安全性，具体做法如下：

开始菜单—运行—输入regedit—确定，跳出注册表对话框：

对此可打开注册表编辑器，依次展开

―HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\Wds\rdpwd\Tds\tcp‖分支，其下的―PortNumber‖键值所对应的就是端口号，将其修改即可。

上面设置完成后，需要再依次展开―HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control

\Terminal Server\WinStations\RDP-Tcp‖分支，同样将其下的―PortNumber‖键值进行更改。

注意：注册表端口值默认是16进制，我们可以点击10进制后再修改。

当更改了服务器的远程登录端口后，可在本地的―远程桌面连接程序‖中设置连接的服务器地址，然后单击―连接设置→另存为‖，导出并保存连接文件。然后用记事本打开导出的―*.rdp‖文件，在其中添加语句―server port:i:端口号‖，保存后导入连接即可。要注意，在Windows 2000中导出的是―.cns‖文件，可打开后在其中找到―Server Port =3389‖语句，将其默认的―3389‖端口修改为与服务器相同的登录端口。

远程访问检查检测

1计算机管理——―系统工具‖―本地用户和组‖——―组‖，检查账户是否在远程桌面的组中。

―2控制面板‖——―管理工具‖——本地安全设置，本地策略——用户权利指派，―通过终端服务允许登录‖中，确保上面设置的远程桌面的组―Remote Desktop Users‖在列表中。

3看telnet端口是否真的启动：执行：netstat -ano发现23端口已经开启，说明telnet服务正常。

五、其它设置(选用)

1.任何用户密码都要复杂，不需要的用户---删。

2.防止SYN洪水攻击

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建DWORD值，名为SynAttackProtect，值为2

3.禁止响应ICMP路由通告报文

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interfac

e 新建DWORD值，名为PerformRouterDiscovery 值为0

4.防止ICMP重定向报文的攻击

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

将EnableICMPRedirects 值设为0

5.不支持IGMP协议

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters 新建DWORD值，名为IGMPLevel 值为0

6.禁用DCOM：

运行中输入Dcomcnfg.exe。回车，单击“控制台根节点”下的“组件服务”。打开“计算机”子

文件夹。

对于本地计算机，请以右键单击“我的电脑”，然后选择“属性”。选择“默认属性”选项卡。

清除“在这台计算机上启用分布式COM”复选框。删了它，比如我删了cmd.exe，command.exe，嘿嘿。)；

其它盘，有安装程序运行的(我的sql server 2000 在D盘)给Administrators 和SYSTEM 权限，无只给Administrators 权限。

系统盘只给Administrators 和SYSTEM 权限

系统盘\Documents and Settings 目录只给Administrators 和SYSTEM 权限；

系统盘\Documents and Settings\All Users 目录只给Administrators 和SYSTEM 权限；

系统盘\Documents and Settings\All Users\Application Data目录只给Administrators 和SYSTEM 权限；

系统盘\Windows 目录只给Administrators 、SYSTEM 和users 权限；

系统盘\Windows\System32\net.exe，net1.exe，cmd.exe，command.exe，ftp.exe，netstat.exe，regedit.exe，at.exe，attrib.exe，cacls.exe 文件只给 Administrators 权限。

六、可以关闭的系统服务列表

Computer Browser 维护网络上计算机的最新列表以及提供这个列表

Task scheduler 允许程序在指定时间运行

Routing and Remote access 在局域网以及广域网环境中为企业提供路由服务

Removable storage 管理可移动媒体、驱动程序和库

Remote Registry Service 允许远程注册表操作

PRint Spooler 将文件加载到内存中以便以后打印。要用打印机的朋友不能禁用这项

IPSEC Policy Agent 管理IP安全策略以及启动ISAKMP/OakleyIKE）和IP安全驱动程序

Distributed Link Tracking Client 当文件在网络域的NTFS卷中移动时发送通知

Com+ Event System 提供事件的自动发布到订阅COM组件

Alerter 通知选定的用户和计算机管理警报

Error Reporting Service 收集、存储和向Microsoft 报告异常应用程序

Messenger 传输客户端和服务器之间的NET SEND 和警报器服务消息

Telnet 允许远程用户登录到此计算机并运行程序

七、禁止或卸载危险组件

Web木马常用系统组件有：https://www.360docs.net/doc/17741070.html,ers、Wscript.shell、Shell.application、https://www.360docs.net/doc/17741070.html,work、Shell.LocalMachine。如海洋顶端所用到的

①WScript.Shell (classid:72C24DD5-D70A-438B-8A42-98424B88AFB8)

②WScript.Shell.1 (classid:F935DC22-1CF0-11D0-ADB9-00C04FD58A0B)

③https://www.360docs.net/doc/17741070.html,work (classid:093FF999-1EA0-4079-9525-9614C3504B74)

④https://www.360docs.net/doc/17741070.html,work.1 (classid:093FF999-1EA0-4079-9525-9614C3504B74)

⑤FileSystem Object (classid:0D43FE01-F093-11CF-8940-00A0C9054228)

⑥Adodb.stream (classid:{00000566-0000-0010-8000-00AA006D2EA4})

卸载Wscript.Shell、https://www.360docs.net/doc/17741070.html,work

regsvr32 /u %windir%/system32/WSHom.Ocx

del %windir%/system32/WSHom.Ocx

regsvr32 /u %windir%/system32/shell32.dll

del %windir%/system32/shell32.dll

HKEY_CLASSES_ROOT\WScript.Shell\

HKEY_CLASSES_ROOT\WScript.Shell.1\

卸载Shell.application（注册表中删除下面键值，或者修改CLSID的值当然改Shell.application为其它名称也可以的）

regsvr32 /u Shell.Application.1 /s

regsvr32 /u Shell.Application /s

HKEY_CLASSES_ROOT\Shell.Application\

HKEY_CLASSES_ROOT\Shell.Application.1\

HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值

HKEY_CLASSES_ROOT\Shell.Application.1\CLSID\项目的值

卸载FSO

regsvr32.exe /u %windir%/system32/scrrun.dll

HKEY_CLASSES_ROOT\Scripting.FileSystemObject\

卸载Stream

regsvr32 /s /u "C:/Program Files/Common Files/System/ado/msado15.dll"

八、windows自带防火墙设置

1，首先是启用系统防火墙

右键点击“网上邻居”选择属性，然后再右键点击“本地链接”依然选择属性，之后选择“高级”

选项卡，点击“windows防火墙”后面的“设置”按钮，如果有提示要启动什么服务请同意。

开启之后再次使用superscan扫描结果如下图：

2，拒绝外部计算机访问本机制定服务或端口

如果需要外部计算机访问本地计算机，如开放远程桌面、网站、FTP等服务，则需要在“例外”

里面添加相应的程序或者开放端口。如图：

还可以限制外部访问计算机的IP地址，如：

如果有多快网卡，你还可以分别为每一个网卡站定不同的规则。那就是在高级里面选择不同的网站进行设置。如图：

限制本机端口开放还可以在“TCP/IP 筛选”里面严格的设置，如只允许哪些类型的端口与外界通讯。详细设置如下图所示

3，设置本地计算机访问外部资源

默认状态本地计算机是可以访问外部任何资源（当前外部资源要是公开或者允许的），如果要拒绝本地计算机访问外部某个资源或者拒绝从本地某个端口向外部发送数据则需要使用专业的软、硬件防火墙。

九、天网防火墙设置

1、应用程序访问网络权限设置

除与iis网络访问的全部拒绝，在选项里可自定义端口80.

2、自定义Ip规则

允许自己用ping命令探测其他主机不勾

允许路由返回超时的icmp回应包勾

允许路由返回无法到达的icmp回应包勾

允许局域网机器用ping命令探测不勾

防止别人用ping命令探测勾

防御icmp攻击勾

防御igmp攻击勾

Tcp数据包监控不勾

允许局域网内的机器进行连接和传输勾

允许局域网的机器使用我的共享资源不勾

禁止互联网上的机器使用我的共享资源勾

允许已授权程序打开的端口不勾

禁止所有人连接低端端口勾

禁止所有人连接勾

Udp数据包监视不勾

允许dns域名解释勾

允许局域网内的机器取得你的机器名称不勾

防止互联网上的机器探测机器名称勾

禁止所有人连接udp端口勾

十、防ASP木马，删除相关组件

如何卸载Wscript.Shell等对象

1、卸载wscript.shell对象

在cmd下运行：regsvr32 WSHom.Ocx /u

2、卸载FSO对象

在cmd下运行：regsvr32.exe scrrun.dll /u

3、卸载stream对象

在cmd下运行：regsvr32 /s /u "C:\Program Files\Common Files\System\ado\msado15.dll"

如果要重新启用：请把/u参数对掉就行了！

禁止WScript.Shell

防范此类病毒的方法就是将Windows scripting host卸载掉，

具体方法是：我的电脑→控制面板→添加/删除程序→安装WINDOWS→

附件→详细资料→Windows scripting host→确定。其实还有一种方法更简单，

依次键入下面两段命令：regsvr32/u wshom.ocx回车、regsvr32/u wshext.dll回车，

就可以把注册表中.wsh对象的注册值删掉。这样那些必须依靠对象运行的病毒就因为找不着对象而无法运行下去。

防范Wscript.Shell组件的方法：

可以通过修改注册表，将此组件改名。

HKEY_CLASSES_ROOT\WScript.Shell\及HKEY_CLASSES_ROOT\WScript.Shell.1\

改名为其它的名字，如：改为WScript.Shell_ChangeName或WScript.Shell.1_ChangeName自己以后调用的时候使用这个就可以正常调用此组件了

也要将clsid值也改一下

HKEY_CLASSES_ROOT\WScript.Shell\CLSID\项目的值

HKEY_CLASSES_ROOT\WScript.Shell.1\CLSID\项目的值

也可以将其删除，来防止此类木马的危害。

防范Shell.Application组件的方法：

可以通过修改注册表，将此组件改名。

HKEY_CLASSES_ROOT\Shell.Application\

HKEY_CLASSES_ROOT\Shell.Application.1\

改名为其它的名字，如：改为Shell.Application_ChangeName或Shell.Application.1_ChangeName 自己以后调用的时候使用这个就可以正常调用此组件了。

也要将clsid值也改一下

HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值

HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值

也可以将其删除，来防止此类木马的危害。

以上是海洋中的相关代码，从上面的代码我们不难看出一般ASP木马、Webshell主要利用了以下几类ASP组件：

①WScript.Shell (classid:72C24DD5-D70A-438B-8A42-98424B88AFB8)

②WScript.Shell.1 (classid:F935DC22-1CF0-11D0-ADB9-00C04FD58A0B)

③https://www.360docs.net/doc/17741070.html,work (classid:093FF999-1EA0-4079-9525-9614C3504B74)

④https://www.360docs.net/doc/17741070.html,work.1 (classid:093FF999-1EA0-4079-9525-9614C3504B74)

⑤FileSystem Object (classid:0D43FE01-F093-11CF-8940-00A0C9054228)

⑥Adodb.stream (classid:{00000566-0000-0010-8000-00AA006D2EA4})

⑦Shell.applicaiton....

2解决办法：

①删除或更名以下危险的ASP组件：

WScript.Shell、WScript.Shell.1、https://www.360docs.net/doc/17741070.html,work、https://www.360docs.net/doc/17741070.html,work.1、adodb.stream、Shell.application

开始-------＞运行---------＞Regedit，打开注册表编辑器，按Ctrl+F查找，依次输入以上Wscript.Shell等组件名称以及相应的ClassID，然后进行删除或者更改名称(这里建议大家更名，如果有部分网页ASP程序利用了上面的组件的话呢，只需在将写ASP代码的时候用我们更改后的组件名

称即可正常使用。当然如果你确信你的ASP程序中没有用到以上组件，还是直

接删除心中踏实一些^_^,按常规一般来说是不会做到以上这些组件的。删除或更名后，iisreset 重启IIS后即可升效。)

[注意：由于Adodb.Stream这个组件有很多网页中将用到，所以如果你的服务器是开虚拟主机的话，

建议酢情处理。]

②关于File System Object (classid:0D43FE01-F093-11CF-8940-00A0C9054228)即常说的FSO 的

安全问题，如果您的服务器必需要用到FSO的话，(部分虚拟主机服务器一般需开FSO功能)可以参照本人的另一篇关于FSO安全解决办法的文章:Microsoft Windows 2000 Server FSO 安全隐患解决办法。如果您确信不要用到的话，可以直接反注册此组件即可。

③直接反注册、卸载这些危险组件的方法：(实用于不想用①及②类此类烦琐的方法)

卸载wscript.shell对象，在cmd下或直接运行：regsvr32 /u %windir%/system32/WSHom.Ocx 卸载FSO对象,在cmd下或直接运行：regsvr32.exe /u %windir%/system32/scrrun.dll

卸载stream对象,在cmd下或直接运行：regsvr32 /s /u "C:/Program Files/Common Files/System/ado/msado15.dll"

如果想恢复的话只需要去掉/U 即可重新再注册以上相关ASP组件例如：regsvr32.exe %windir%/system32/scrrun.dll

④关于Webshell中利用set domainObject = GetObject("WinNT://.")来获取服务器的进程、服务以及

用户等信息的防范，大家可以将服务中的Workstation[提供网络链结和通讯]即Lanmanworkstation 服务停止

并禁用即可。此处理后，Webshell显示进程处将为空白。

3 按照上1、2方法对ASP类危险组件进行处理后，用阿江的asp探针测试了一下,"服务器CPU 详情"和"服务

器操作系统"根本查不到,内容为空白的。再用海洋测试Wsript.Shell来运行cmd命令也是提示Active 无法创建

对像。大家就都可以再也不要为ASP木马危害到服务器系统的安全而担扰了。