Windows 2003下WEB服务器安全设置攻略
Windows2003系统WEB服务配置说明
Windows 2003系统配置说明
Windows 2003系统运行CM-Desk平台，保证IE功能正常运行，需要进行以下配置工作：
1、进入系统控制面板，进入管理工具，双击打开Internet 信息服务(IIS)管理器，如下
图所示。
打开左侧的树，点击Web服务扩展，在右侧列表中，点击Active Server Pages 这一项，改变其状态为允许。
2、右键点击左侧树中的默认网站项，在右键菜单中选择属性，弹出属性对话框，如下
图所示。
选择HTTP头默认页，点击该页中的MIME类型按钮，弹出MIME类型对话框，在该对话框中，点击新建，在新建对话框中，扩展名为：.*，MIME类型为：application/octet-stream，点击确定，完成配置。
完成以上两步，就可以在Windows 2003系统上正常运行CM-Desk，保证IE功能正常运行。
Win2003 系统服务器防火墙设置教程.doc
Win2003 系统服务器防火墙设置教程Internet连接防火墙的设置在Windows 2003服务器上，对直接连接到Internet 的计算机启用防火墙功能，支持网络适配器、DSL 适配器或者拨号调制解调器连接到Internet。
1. 启动/停止防火墙(1)打开网络连接，右击要保护的连接，单击属性，出现本地连接属性对话框。
(2)单击高级选项卡，出现如图1所示启动/停止防火墙界面。
如果要启用Internet 连接防火墙，请选中通过限制或阻止来自Internet 的对此计算机的访问来保护我的计算机和网络复选框;如果要禁用Internet 连接防火墙，请清除以上选择。
2. 防火墙服务设置Windows 2003 Internet连接防火墙能够管理服务端口，例如HTTP的80端口、FTP的21端口等，只要系统提供了这些服务，Internet连接防火墙就可以监视并管理这些端口。
(1)标准服务的设置我们以Windows 2003服务器提供的标准Web服务为例(默认端口80)，操作步骤如下：在图1所示界面中单击[设置]按钮，出现如图2所示服务设置对话框;在服务设置对话框中，选中Web服务器(HTTP)复选项，单击[确定]按钮。
设置好后，网络用户将无法访问除Web服务外本服务器所提供的的其他网络服务注：您可以根据Windows 2003服务器所提供的服务进行选择，可以多选。
常用标准服务系统已经预置在系统中，你只需选中相应选项就可以了。
如果服务器还提供非标准服务，那就需要管理员手动添加了。
2)非标准服务的设置我们以通过8000端口开放一非标准的Web服务为例。
在图2服务设置对话框中，单击[添加]按钮，出现服务添加对话框，在此对话框中，填入服务描述、IP地址、服务所使用的端口号，并选择所使用的协议(Web服务使用TCP协议，DNS查询使用UDP协议)，最后单击[确定]。
设置完成后，网络用户可以通过8000端口访问相应的服务，而对没有经过授权的TCP、UDP端口的访问均被隔离。
HTTP服务配置
一般大家先安装好win2003系统，图文教程Win2003 服务器系统安装图文教程要通过控制面板来安装。
具体做法为：1. 进入“控制面板”。
2. 双击“添加或删除程序”。
3. 单击“添加/删除Windows 组件”。
4. 在“组件”列表框中，双击“应用程序服务器”。
5. 双击“Internet 信息服务（IIS）”。
6. 从中选择“万维网服务”及“文件传输协议（FTP）服务”。
7. 双击“万维网服务”，从中选择“Active Server Pages”及“万维网服务”等。
安装好IIS后，接着设置Web服务器，具体做法为：1. 在“开始”菜单中选择“管理工具→Internet信息服务（IIS）管理器”。
2. 在“Internet 信息服务（IIS）管理器”中双击“本地计算机”。
3. 右击“网站”，在弹出菜单中选择“新建→网站”，打开“网站创建向导”。
4. 依次填写“网站描述”、“IP 地址”、“端口号”、“路径”和“网站访问权限”等。
最后，为了便于访问还应设置默认文档（Index.asp、Index.htm）。
上述设置和Windows 2000 Server网站设置基本相同，但此时Web服务还仅适用于静态内容，即静态页面能正常浏览，常用Active Server Pages（ASP）功能没有被启用。
所以还应在“Internet 信息服务（IIS）管理器”的“Web 服务扩展”中选择允许“Active Server Pages”。
a.安装IIS若操作系统中还未安装IIS服务器，可打开“控制面板”，然后单击启动“添加/删除程序”，在弹出的对话框中选择“添加/删除Windows组件”，在Windows组件向导对话框中选中“Internet信息服务（IIS）”，然后单击“下一步”，按向导指示，完成对IIS的安装。
（图例如下图1、图2 由于白茶123使用的是Windows Server 2003操作系统所以和大家的安装界面有所出入，但大体相同）此主题相关图片如下：图1—windows组件向导1 此主题相关图片如下：图2—windows组件向导2b.启动Internet信息服务（IIS）Internet信息服务简称为IIS，单击Windows开始菜单---所有程序---管理工具---Internet信息服务（IIS）管理器，即可启动“Internet信息服务”管理工具（如图3）此主题相关图片如下：图3—Internet信息服务（IIS）管理器c.配置IISIIS安装后，系统自动创建了一个默认的Web站点，该站点的主目录默认为C:\\Inetpub\\www.root。
Windows2003服务器设置
Windows2003已经出现很久了，现在对于该服务器操作系统Windows2003的组网技术、安全配置技术还有很多的网友都还不是很熟悉，在这里，我将会给大家介绍一下Windows Server 2003 Enterprise Edition 企业服务器版本的组网技术、安全配置技术及一些在Win2K 系统升级为Win2003系统后的一些新增功能等。
Win2003系统已经比Win2K系统增加了很多的安全性，所以现在选择Win2003系统作为服务器系统，将会是网络管理员的最佳选择。
本文假设你是一个服务器管理员，现在你的服务器使用Win2003服务器系统，你的服务器需要提供支持的组件如下：（ASP、ASPX、CGI、PHP、FSO、JMAIL、MySql、SMTP、POP3、FTP、3389终端服务、远程桌面Web连接管理服务等）。
一、系统安装注意事项：首先，你得先把你的Win2003系统安装好，在安装系统时请选择使用NTFS文件系统分区，因为该分区可以对你的服务器资源进行加密、权限设置等，如果你的文件系统分区是使用FAT32的话，而你这台服务器作为一台虚拟主机，给客户提供空间，如果客户在空间里传了一个WebShell，如ASP木马等，而你使用的FAT32文件系统却不能为你的文件设置访问权限的话，那么黑客就能通过这个ASP木马取得你的服务器管理权了，那将是没有任何的安全性可言了。
为了系统的安全着想，系统安装好后，你还要给你的系统设置一个强壮的管理员口令，千万不要使用简单的口令，如123456等这样的简单登陆口令。
因为网络上大部份被黑客入侵的肉鸡都是因为系统使用空口令或使用简单的口令而被黑的。
一个强壮的口令应该包括数字、英文字母、符号组成，如密码k3d8a^!ka76，设置好一个强壮的系统登陆口令后，我们就可以安装各种上面所述的组件服务支持了。
还是那句老话，最少的服务等于最大的安全，对于一切不须要的服务都不要安装，这样才能保证你服务器的安全性。
windows2003iis架设web服务器图解教程
windows2003 iis架设web服务器图解教程Windows 2003 Standard Edition、Windows 2003 Enterprise Edition、Windows XP Professional 、Windows 2000 Server、Windows 2000 Advanced Server 以及 Windows 2000 Professional 的默认安装都带有IIS 。
在系统的安装过程中IIS是默认不安装的，在系统安装完毕后可以通过添加删除程序加装 IIS。
IIS是微软推出的架设 WEB、FTP、SMTP 服务器的一套整合系统组建，捆绑在上列NT核心的服务器系统中。
本文针对通过Windows2003 IIS组件配合花生壳动态域名解析软件向互联网提供WEB服务。
第一步：安装组件在控制面板的添加/删除程序——Windows组件向导——应用程序服务器——选中“”，然后他就会自动把“Internet 信息服务(IIS)”的相关服务也装上。
如下图：在选定需要安装的服务后安装向导会提示需要插入Windows 2003安装光盘，这时您插入安装盘按照提示进行安装，IIS中的WEB很快便自动安装完成。
第二步：建立网络通讯部分，为所建立的WEB服务设置动态域名解析服务配置1.下载花生壳动态域名解析软件并安装。
2.运行花生壳软件，点击“注册Oray护照”，根据弹出注册护照窗口提示进行注册。
注册Oray护照完成后，使用所注册的护照名称和密码填入花生壳软件中进行登陆。
3.申请一个免费域名作为互联网访问WEB服务的“网址”。
4.根据提示激活上一步所申请的免费域名花生壳动态DNS服务这时候，花生壳软件已经在线了，我们所申请的免费域名已经绑定到当前的公网IP地址，互联网可通过所申请的域名直接访问到当前主机的服务了，如果你的主机接在路由器或代理服务器后，请参考内网建站的文档。
下面我们继续WEB服务搭建。
web服务器安全设置
图解web服务器安全设置一、系统设置1、先关闭不需要的端口开启防火墙导入IPSEC策略在” 网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP），由于要控制带宽流量服务，额外安装了Qos数据包计划程序。
在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。
在高级选项里，使用"Internet连接防火墙"，这是windows 2003 自带的防火墙，在2000系统里没有的功能，虽然没什么功能，但可以屏蔽端口，这样已经基本达到了一个IPSec 的功能。
然后点击确定—>下一步安装。
（具体见本文附件1）2、系统补丁的更新点击开始菜单—>所有程序—>Windows Update按照提示进行补丁的安装。
3、备份系统用GHOST备份系统。
4、安装常用的软件例如：杀毒软件、解压缩软件等；安装完毕后,配置杀毒软件,扫描系统漏洞,安装之后用GHOST再次备份修改3389远程连接端口修改注册表.开始--运行--regedit依次展开HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/ TERMINAL SERVER/WDS/RDPWD/TDS/TCP右边键值中PortNumber 改为你想用的端口号.注意使用十进制(例10000 )HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINAL SERVER/ WINSTATIONS/RDP-TCP/右边键值中PortNumber 改为你想用的端口号.注意使用十进制(例10000 )注意：别忘了在WINDOWS2003自带的防火墙给+上10000端口修改完毕.重新启动服务器.设置生效.二、用户的安全设置1、禁用Guest账号在计算机管理的用户里面把Guest账号禁用。
图解Win2003 SP1 下使用SCW配置Web服务器
图解Win2003 SP1 下使用SCW配置Web服务器Windows Server 2003是大家最常用的服务器操作系统之一。
虽然它提供了强大的网络服务功能，并且简单易用，但它的安全性一直困扰着众多网管，如何在充分利用Windows Server 2003提供的各种服务的同时，保证服务器的安全稳定运行，最大限度地抵御病毒和黑客的入侵。
Windows Server 2003 SP1中文版补丁包的发布，恰好解决这个问题，它不但提供了对系统漏洞的修复，还新增了很多易用的安全功能，如安全配置向导（SCW）功能。
利用SCW功能的“安全策略”可以最大限度增强服务器的安全，并且配置过程非常简单，下面就一起来看吧！1．安装SCW，SCW功能虽然已经内置在SP1中，但是必须通过手动安装才能够正常使用。
安装的方法很简单，打开控制面板的添加Windows组件，选中安全配安装SCW置向导然后点下一步就可以完成安装SCW了。
2．启动SCW。
安装完SCW后，单击开始按钮选择程序中的管理工具选择安全配置向导，就可以启动安全配置向导了。
启动安全配置向导安全配置向导的启动界面启动安全配置向导后，点击下一步，就进入安全配置了。
3．在这里我们选择创建新的安全策略，点击下一步。
4．在这里我们选择输入安装计算机的名字Win2003，并单击下一步。
等待计算机完成初始化安全配置数据库，并点击下一步。
务器在网络中所扮演的角色。
单击下一步。
6．根据需要选择web服务器，把其他前面的勾去掉，单击下一步。
7．由于我们只需要web服务，不需要别的客户端功能，所以把所有的勾都去掉。
是服务器安全中很重要的一项，所以我们选中它。
版等等就选中它。
在这里我们选择禁用此服务。
点击下一步。
下一步。
12.下面进入了下一项，就是网络安全的配置。
点击下一步。
点下一步。
口（比如3389）都关闭了。
然后我们就进入下一个配置项目：注册表配置。
15.进入注册表设置了，点击下一步。
Windows2003服务器配置教程
Windows Server 2003下如何安装及配置FTP服务器一、安装FTP服务器组件：写在这里的一点:安装及配置FTP服务器之前,必须先手工配置服务器本身的IP地址(因为服务器本身的IP地址一定要是静态的).本文分步介绍了如何在独立服务器上配置一台基于Windows Server 2003 的文件传输协议(FTP) 服务器，以便为网络上的客户端计算机提供资源的传输和访问。
FTP服务组件是2003系统中的IIS 6.0集成的网络服务组件之一，默认情况下没有被安装。
在2003系统中安装FTP服务组件的步骤如下：开始→控制面版→添加删除程序→添加删除windows组件→双击‘应用程序服务器’(或单击‘应用程序服务器’并选择详细信息)。
里边就有一个”Internet信息服务（IIS）”打上勾点，再双击打开“Internet信息服务（IIS）”对话框，在子组件列表中选中“文件传输协议（FTP）服务”复选框，连续单击“确定”按钮，并单击“下一步”按钮，Windows组件向导”开始安装FTP服务组件。
当然你必须在光驱里放张2003的光盘，如果不放直接进行安装，当装到一定程度的时候就会跳出一个窗口说寻找I386源文件，你点浏览，找到你的源文件确定就可以了。
最后单击“完成”按钮关闭“Windows组件向导”对话框。
二、配置FTP服务器：1. 在Windows Server 2003系统中配置FTP服务器在Windows Server 2003系统中安装FTP服务器组件以后，用户只需进行简单的设置即可配置一台常规的FTP服务器，操作如下：第1步，在开始菜单中依次单击“管理工具”→“Internet信息服务（IIS）管理器”菜单项，打开“Internet信息服务（IIS）管理器”窗口。
在左窗格中展开“FTP站点”目录，右键单击“默认FTP站点”选项，并选择“属性”命令，如图所示:第2步，打开“默认FTP站点属性”对话框，在“FTP站点”选项卡中可以设置关于FTP站点的参数。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
一、安装补丁安装好Windows 2003操作系统之后，在托管之前一定要完成补丁的安装，配置好网络后，最好安装上SP1，然后点击开始选择Windows Update，安装所有的关键更新。
二、安装杀毒软件目前的杀毒软件种类很多，其中瑞星、诺顿、卡巴斯基等都是很不错的选择。
不过，也不要指望杀毒软件能够杀掉所有的木马，因为ASP木马的特征是可以通过一定手段来避开杀毒软件的查杀。
三、设置端口保护和防火墙Windows 2003的端口屏蔽可以通过自身防火墙来解决，这样比较好，比筛选更有灵活性，桌面—>网上邻居—>属性—>本地连接—>属性—>高级—>Internet连接防火墙—>设置，把服务器上面要用到的服务端口选中，例如：一台WEB服务器，要提供WEB（80）、FTP（21）服务及远程桌面管理（3389），在“FTP 服务器”、“WEB服务器（HTTP）”、“远程桌面”前面打上对号，如果你要提供服务的端口不在里面，你也可以点击“添加”铵钮来添加，具体参数可以参照系统里面原有的参数。
然后点击确定。
注意：如果是远程管理这台服务器，请先确定远程管理的端口是否选中或添加。
1、权限设置的原理1）WINDOWS用户，在WINNT系统中大多数时候把权限按用户（組）来划分。
在开始→程序→管理工具→计算机管理→本地用户和组，管理系统用户和用户组。
2）NTFS权限设置，请记住分区的时候把所有的硬盘都分为NTFS分区，然后我们可以确定每个分区对每个用户开放的权限。
文件（夹）上右键→属性→安全，在这里管理NTFS文件（夹）权限。
3）IIS匿名用户，每个IIS站点或者虚拟目录，都可以设置一个匿名访问用户（现在暂且把它叫“IIS匿名用户”），当用户访问你的网站的.ASP文件的时候，这个.ASP文件所具有的权限，就是这个“IIS匿名用户”所具有的权限。
2、权限设置——磁盘权限系统盘及所有磁盘只给Administrators组和SYSTEM的完全控制权限系统盘\Documents and Settings目录只给Administrators组和SYSTEM的完全控制权限系统盘\Documents and Settings\All Users目录只给Administrators组和SYSTEM的完全控制权限系统盘\Inetpub目录及下面所有目录、文件只给Administrators组和SYSTEM的完全控制权限系统盘\Windows\System32\cacls.exe、cmd.exe、net.exe、net1.exe文件只给Administrators组和SYSTEM的完全控制权限四、禁用不必要的服务开始菜单—>管理工具—>服务Print SpoolerRemote RegistryTCP/IP NetBIOS HelperServer以上是在Windows Server 2003系统上面默认启动的服务中禁用的，默认禁用的服务如没特别需要的话不要启动。
1、改名或卸载不安全组件在阿江探针1.9里加入了不安全组件检测功能（其实这是参考7i24的代码写的，只是把界面改的友好了一点，检测方法和他是基本一样的），这个功能让很多站长吃惊不小，因为他发现他的服务器支持很多不安全组件。
其实，只要做好了上面的权限设置，那么FSO、XML、strem都不再是不安全组件了，因为他们都没有跨出自己的文件夹或者站点的权限。
最危险的组件是WSH和Shell，因为它可以运行你硬盘里的EXE等程序，比如它可以运行提升程序来提升SERV-U权限甚至用SERVU来运行更高权限的系统程序。
2、谨慎决定是否卸载一个组件组件是为了应用而出现的，而不是为了不安全而出现的，所有的组件都有它的用处，所以在卸载一个组件之前，你必须确认这个组件是你的网站程序不需要的，或者即使去掉也不关大体的。
否则，你只能留着这个组件并在你的ASP程序本身上下工夫，防止别人进来，而不是防止别人进来后SHELL。
比如，FSO和XML是非常常用的组件之一，很多程序会用到他们。
WSH组件会被一部分主机管理程序用到，也有的打包程序也会用到。
五、卸载最不安全的组件最简单的办法是直接卸载后删除相应的程序文件。
将下面的代码保存为一个.BA T文件。
regsvr32/u C:\WINDOWS\System32\wshom.ocxdel C:\WINDOWS\System32\wshom.ocxregsvr32/u C:\WINDOWS\system32\shell32.dlldel C:\WINDOWS\system32\shell32.dll然后运行一下，WScript.Shell, Shell.application, work就会被卸载了。
可能会提示无法删除文件，不用管它，重启一下服务器，你会发现这三个都提示“×安全”了。
需要注意的是组件的名称和Clsid都要改，并且要改彻底了。
下面以Shell.application为例来介绍方法。
打开注册表编辑器，开始→运行→regedit回车，编辑→查找→填写Shell.application→查找下一个，用这个方法能找到两个注册表项：{13709620-C279-11CE-A49E-444553540000}和Shell.application。
为了确保万无一失，把这两个注册表项导出来，保存为.reg 文件。
比如我们想做这样的更改：把13709620-C279-11CE-A49E-444553540000改名为13709620-C279-11CE-A49E-444553540001，把Shell.application改名为Shell.application_ajiang。
那么，就把刚才导出的.reg文件里的内容按上面的对应关系替换掉，然后把修改好的.reg文件导入到注册表中（双击即可），导入了改名后的注册表项之后，别忘记了删除原有的那两个项目。
这里需要注意一点，Clsid中只能是十个数字和ABCDEF六个字母。
下面是修改后的代码，两个文件合到一起了：Windows Registry Editor Version 5.00[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}]@="Shell Automation Service"[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\InProcServer32]@="C:\\WINNT\\system32\\shell32.dll""ThreadingModel"="Apartment"[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\ProgID]@="Shell.Application_ajiang.1"[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\TypeLib]@="{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}"[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\Version]@="1.1"[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\VersionIndependentProgID]@="Shell.Application_ajiang"[HKEY_CLASSES_ROOT\Shell.Application_ajiang]@="Shell Automation Service"[HKEY_CLASSES_ROOT\Shell.Application_ajiang\CLSID]@="{13709620-C279-11CE-A49E-444553540001}"[HKEY_CLASSES_ROOT\Shell.Application_ajiang\CurVer]@="Shell.Application_ajiang.1"六、防止列出用户组和系统进程在阿江ASP探针1.9中结合7i24的方法利用getobject("WINNT")获得了系统用户和系统进程的列表，这个列表可能会被黑客利用，我们应当隐藏起来，方法是：开始→程序→管理工具→服务，找到Workstation，停止它，禁用它。
1、防止Serv-U权限提升其实，注销了Shell组件之后，侵入者运行提升工具的可能性就很小了，但是prel等别的脚本语言也有shell能力，为防万一，还是设置一下为好。
用Ultraedit打开ServUDaemon.exe查找Ascii：LocalAdministrator，和#l@$ak#.lk;0@P，修改成等长度的其它字符就可以了，ServUAdmin.exe也一样处理。
另外注意设置Serv-U所在的文件夹的权限，不要让IIS匿名用户有读取的权限，否则人家下走你修改过的文件，照样可以分析出你的管理员名和密码。
2、利用ASP漏洞攻击的常见方法及防范一般情况下，黑客总是瞄准论坛等程序，因为这些程序都有上传功能，他们很容易的就可以上传ASP木马，即使设置了权限，木马也可以控制当前站点的所有文件了。
另外，有了木马就然后用木马上传提升工具来获得更高的权限，我们关闭shell组件的目的很大程度上就是为了防止攻击者运行提升工具。
如果论坛管理员关闭了上传功能，则黑客会想办法获得超管密码，比如，如果你用动网论坛并且数据库忘记了改名，人家就可以直接下载你的数据库了，然后距离找到论坛管理员密码就不远了。
作为管理员，我们首先要检查我们的ASP程序，做好必要的设置，防止网站被黑客进入。
另外就是防止攻击者使用一个被黑的网站来控制整个服务器，因为如果你的服务器上还为朋友开了站点，你可能无法确定你的朋友会把他上传的论坛做好安全设置。
这就用到了前面所说的那一大堆东西，做了那些权限设置和防提升之后，黑客就算是进入了一个站点，也无法破坏这个网站以外的东西。
WScript.Shell可以调用体系内核运行DOS基础命令可以通过改动注册表，将此组件改名，来防止此类木马的迫害。