Web服务器的安全问题及对策

网 络
数字化系统 安 全
数据库 Ｗｉｎｄｏｗｓ Ｏｆｆｉｃｅ 多媒体 ＰＣ 硬件
服务器
Ｌｉｎｕｘ Ｂｕｇ ＆ Ｆｉｘ 疑难解答
的数据都保存在浪潮英信ＮＳ３５００ ＳＣＳＩ磁 盘阵列上，进行集中存储，主要优点如下： 一，当需要进行服务器的应用切换时，不 需要对大量的数据进行转移，只需要将数 据流通的路线加以转换就可以完成，真正 实现数据和应用分离，即使当一个机器出 现故障时，可以将数据的使用权限自动切 换到备用服务器上，这样大大减少了以往 的将自身的数据传递给备用服务器的切换 时间，对数据也有很好的保护功能；二， 便于对数据归类整理，有利于对数据的查 找，更有利于为以后增加的服务应用提供 数据的支援。
该方案体现了八大特点：
１． 软件与硬件的结合，采用共享磁盘阵 列，实现了真正意义上的数据与系统分离。
２． ＮＳ３５００为专用存储设备，高可靠 的硬件和 ＲＡＩＤ 设计减少了故障发生率， 保证数据安全存储及应用，高性能配置极 大地提升了数据传输率（平均数据传输率 达到 １２０ＭＢ／ｓ 以上）。
３． 对服务器硬件配置要求不高，可以 根据应用情况采用不同型号或配置。
１６４ ０２ ２００ ５ ＰＣ ＷＯＲＬＤ ＣＨＩＮＡ
责任编辑；王炳晨 ｗａｎｇ＿ｂｉｎｇｃｈｅｎ＠ｃｃｗ．ｃｏｍ．ｃｎ 责任美编；张楠 ｚｈａｎｇ＿ｎａｎ＠ｃｃｗ．ｃｏｍ．ｃｎ
网 络
数字化系统
服务器 数据库 Ｗｉｎｄｏｗｓ Ｏｆｆｉｃｅ 多媒体 ＰＣ 硬件
安 全
管理Ｗｅｂ站点含有大量有安全
漏洞的文件，极易给黑客造成 攻击机会，要禁止。同时另建 新目录，并在该目录下新建
表１ 常用端口列表
端口
协议
（下转第 １６７ 页）
应用程序
使黑客有可能使用一般用户身份对文件作 ＷＷＷ 服务与 Ｆ Ｔ Ｐ 服务，但新
２１
ＴＣＰ
ＦＴＰ
增加、删除、执行等操作，因此对一般用 建 目 录 不 要 放 在
依靠 ＲＳ２３２ 线路
或专用 １００Ｍ 自适
应网卡线路，既不
占用主机 ＣＰＵ 资
源也不占用基础
业务网络带宽，因
此系统效率高，这
一点在实际的应
用中得到用户的
一致好评。
７． “ＮＳ３５００
＋ Ｌ Ｃ Ｈ Ａ ＋税务 局英信服务器”
图１＞ 双机高可用方案
的组合无论在数
据存储的可靠性，还是在整体性能方面 务、税率等情况进行查询，实现了税务
—〉管理工具—〉计算机管理—〉共享文 ＤｏｎｔＤｉｓｐｌａｙＬａｓｔＵｓｅｒＮａｍｅ值改为１，则完成。 限，网页浏览者可以浏览该网站上的资料，
件夹—〉共享”，停止 ＡＤＭＩＮ￥、Ｃ￥ 等共
系统启动的等待时间设置为０秒“ ，控 甚至下载文件；（２）写入。允许网页使用者
享。也可以通过修改注册表［ ２ ］：运行 制面板—〉系统—〉启动／关闭”，然后将 利用窗体或上传的方法来改变网页的内容；
协议
ＮｅｔＢｏｉｓ协议在Ｗｅｂ服务器上是黑客 扫描工具的首选目标，因此，必须解除 ＮｅｔＢｏｉｓ与ＴＣＰ／ＩＰ协议的绑定。方法：“控 制面板—〉网络和拨号连接—〉本地网络 —〉属性—〉ＴＣＰ／ＩＰ—〉属性—〉高级—〉 ＷＩＮＳ —〉禁用 ＴＣＰ／ＩＰ 上的 ＮｅｔＢｏｉｓ”。另 外，ＮｅｔＢｏｉｓ、ＩＰＸ／ＳＰＸ 协议对 Ｗｅｂ 网站 没有任何用处，只会被某些黑客工具利 用，也必须禁用或删除。
ＩＰ协 议 ＴＣＰ ＴＣＰ ＴＣＰ
ＨＴＴＰ ＳＥＶＥＲ ＳＱＬ ＳＥＶＥＲ ＰＣＡＮＹ ＷＨＥＲＥ
用的端口，所以，只开放必需的端口，关 出现，ＩＩＳ的应用程序映射须重
５６３２
ＵＤＰ
ＰＣＡＮＹ ＷＨＥＲＥ
闭其余的端口。常用端口情况见表１。
新设置。
ＰＣ ＷＯＲＬＤ ＣＨＩＮＡ ２００５ ０２ １６５
ＡＤＭＩＮ￥ ：实际上就是 Ｃ：＼ＷＩＮＮＴ ；Ｃ￥： 的 Ｗｉｎ２０００ 系统，必须停掉没有用的服 地址、用户名、服务器端口、方法、ＵＲＩ
登录为Ａｄｍｉｎ和Ｂａｃｋｕｐ－ｏｐｅｒａｔｏｒ的用户 务，比如 ＲＡＳ 服务、Ｓｐｏｏｌｅｒ 服务等。
字根、ＨＴＴＰ 状态、用户代理，而且每天
可以用 ＼＼计算机名＼Ｃ￥ 的方式访问Ｃ盘，
本地连接—〉属性—〉卸载“Ｍｉｃｒｏｓｏｆｔ网 ＨＫＥＲ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＯＦＴＷＡＲＥ＼Ｍｉｃｒｏｓｏｆｔ＼Ｗｉｎｄｏｗｓ 性”进入网站属性画面。在主目录标签下进
络的文件和打印机共享”；通过“控制面板 ＮＴ＼Ｃｕｒｒｅｎｔ Ｖｅｒｓｉｏｎ＼Ｗｉｎｌｏｇｏｎ 中的 行如下设置：（１）读取。是网站最基本的权
口令是黑客攻击的重点，口令一旦被 突破也就无任何系统安全可言了。据资料 介绍，对仅字母加数字的５ 位口令，使用 某些黑客软件在几分钟内就会被攻破，因 此口令不仅要尽可能复杂还要定期更改。 另外，对所有账号权限必须严格控制，轻 易不要给账号以特殊权限；同时，在账号 属性中设立锁定次数，这样可防止某些大 规模的登录尝试，如果在日志审核中发现 某个账号被连续尝试，则必须立刻更改此 账号（包括用户名与口令）。
ＨＯＷ ｔｏ ＵＳＥ 聪明用户 安 全
Ｗｅｂ 服务器的安全问题及对策
针对目前企业内部 Ｗ ｅ ｂ 服务器存在的安全漏洞及危害问题，这里我们通过 Ｗ ｉ ｎ ２ ０ ０ ０ 、 ＩＩＳ 的安装及设置的一些技巧希望能帮助大家找到解决安全隐患的途径及方法。
随着Ｉｎｔｅｒｎｅｔ的广泛应用，许多企业开 发了自己的Ｗｅｂ 网站。然而由于人为的无 意失误，黑客的恶意攻击，以及借助网络 及系统软件的漏洞和“后门”进行捣乱的 各种病毒等，使得开发的网站存在多方面 的安全问题。要保证企业Ｗｅｂ网站的安全， 仅选择一个适合企业特点的防火墙、适合 Ｗｉｎ２０００ 的杀毒软件是不够的。更主要的 要在企业内部Ｗｅｂ 服务器的安装、设置等 方面多做文章，以提高网站自身的免疫力。
Ｌｉｎｕｘ Ｂｕｇ ＆ Ｆｉｘ 疑难解答
共享资源
服务
如果网站是企业内部专用，可以设置
Ｗｉｎ２０００在默认情况下有不少网络共
Ｗｉｎ２０００系统中包括许多服务，而这 只允许本企业的 ＩＰ 访问该服务器的 ＷＷＷ
享资源，虽然在局域网内对网络管理和通 些服务可能包含各种安全漏洞，如：甲服 服务、ＦＴＰ服务，对那些对站点有攻击嫌疑
共享资源。用户可以用ＮＥＴ ＵＳＥ＼＼１０．１１０． 不同的软件在同一系统下运行时，可能会 全性将大为提高。
８０．２９＼ＩＰＣ￥ “（ｐａｓｓｗｏｒｄ） ”／ＵＳＥＲ ： 产生一定的冲突，从而产生新的漏洞，而
为了及时发现受攻击的迹象，可使用
“（ ｕ ｓ ｅ ｒ ｎ ａ ｍ ｅ ） ”方式连接该服务器； 这些漏洞是未知的。因此，作为Ｗｅｂ网站 Ｗ３Ｃ扩充日志文件格式，每天记录客户ＩＰ
Ｗｉｎ２０００ 安装
Ｗｉｎ２０００系统是企业网站的基础，只有 充分利用其自身的功能实现对系统的安全控 制才能保证网站及数据的安全。
采用 ＮＴＦＳ 分区
ＮＴＦＳ 文件系统比 ＦＡＴ 系统多了安全 控制功能，可以对不同的文件夹设置不同 的访问权限，因此拥有更强大的安全性。 需要注意的事，目前大多数反病毒软件没 有提供对软盘启动后ＮＴＦＳ分区病毒的查
杀，这样一旦系统中了恶性病毒而导致系 统不能正常启动时，后果比较严重，因此 平时应做好病毒预防及系统备份工作。
安装
作为 Ｗｅｂ 服务器的计算机不要安装 多种操作系统，否则黑客会利用其攻击 Ｗｉｎ２０００系统，使系统重启到另外一个缺 乏安全设置的操作系统进行破坏；将操作 系统文件所在分区与Ｗｅｂ数据（包括其他 应用程序）所在的分区分开，并在安装时 使用其自定义的目录，以免攻击者利用应 用程序的漏洞（如微软的ＩＩＳ 漏洞）导致 系统文件的泄漏，甚至让入侵者远程获取 管理员权限；不安装与Ｗｅｂ站点服务无关 的软件；安装操作系统最新的补丁程序， 否则黑客可能会利用低版本补丁的漏洞对 系统造成威胁，另外也给病毒带来可乘之 机（如尼姆达病毒）。
信有用，但在Ｗｅｂ服务器上却是一个特大 务能暴露账号信息，乙服务在已知账号名 的地址，可设置ＩＰ拒绝访问列表；另外，禁
的安全隐患。
称的情况下可以取得账号的密码。当这两 止对ＦＴＰ 服务的匿名访问，该匿名账户就
ＩＰＣ￥：适用于远程管理计算机和查看 种服务都开通时，系统也就被攻破。其次， 有可能被利用来获取更多的信息，这样，安
Ｗｉｎ２０００ 设置
账号
作为 Ｗｅｂ 服务器，一般只保留系统维 护必需的网站账号，不要保留多余的账号， 因为多一个账号就会多一份被攻破的危险。 像Ｇｕｅｓｔ账号，它对服务器上的文件具有访 问的权力，网络入侵者通过它就可获得普 通用户的密码，从而进一步获得系统管理 员权限。有的黑客工具也可利用的弱点，将 Ｇｕｅｓｔ账号从一般用户提升到管理员组。因 此必须将Ｇｕｅｓｔ 账号禁用。Ｗｉｎ２０００ 中，系 统管理员名称预设为“Ａｄｍｉｎｉｓｔｒａｔｏｒ”，可 把用户名重命名为一串无意义的字符串。 其他账号也应遵循这一原则，这样就可以 为黑客攻击增加一层障碍。另外，再增加 一个属于管理员组的账号，一方面可以使 管理员有一个备用账号，另一方面，一旦 黑客攻破一个账号并更改口令，我们还有 机会在短期内重新获得控制权。
端口
在缺省情况下，所有的端口将对外开 放，而有些黑客工具可以扫描那些可以利
ＩＤＡ、．ＨＴＷ 应用程序映射对网 站没大用处，可通过“Ｗｅｂ 站 点—〉属性—〉主目录—〉配 置—〉应用程序映射”予以删 除。如果重新安装新的Ｓｅｒｖｉｃｅ Ｐａｃｋ，某些应用程序映射又会
８（非端口） ８０ １４３３ ５６３１
Ｐ ａ ｒ ａ ｍ ｅ ｔ ｅ ｒ ｓ 下增加一个名为 “ＡｕｔｏＳｈａｒｅＳｅｖｅｒ”的双字节值，并将其值
ＩＩＳ设置
配合 ＡＳＰ 等程序，对网站执行读取或写入 的功能。但是，不能同时选取“读取”或
设为 ０ 。然后重新启动您的服务器，