Windows 2003 Server安全配置完整篇
WIN2003服务器安全和配置完整教程
WIN2003服务器安全和配置完整教程一、硬盘分区与操作系统的安装∙硬盘分区总的来讲在硬盘分区上面没什么值得深入剖析的地方，无非就是一个在分区前做好规划知道要去放些什么东西，如果实在不知道。
那就只一个硬盘只分一个区，分区要一次性完成，不要先分成FAT32再转成NTFS。
一次性分成NTFS格式，以我个人习惯，系统盘一般给12G。
建议使用光盘启动完成分区过程，不要加载硬盘软件。
∙系统安装以下内容均以2003为例安装过程也没什么多讲的，安装系统是一个以个人性格为参数的活动，我建议在安装路径上保持默认路径，好多文章上写什么安装路径要改成什么呀什么的，这是没必要的。
路径保存在注册表里，怎么改都没用。
在安装过程中就要选定你需要的服务，如一些DN S、DHCP没特别需要也就不要装了。
在安装过程中网卡属性中可以只保留TCP/IP 这一项，同时禁用NETBOIS。
安装完成后如果带宽条件允许可用系统自带在线升级。
二、系统权限与安全配置前面讲的都是屁话，润润笔而已。
（俺也文人一次）话锋一转就到了系统权限设置与安全配置的实际操作阶段系统设置网上有一句话是"最小的权限+最少的服务=最大的安全"。
此句基本上是个人都看过，但我好像没有看到过一篇讲的比较详细稍具全面的文章，下面就以我个人经验作一次教学尝试！2.1 最小的权限如何实现？NTFS系统权限设置在使用之前将每个硬盘根加上Administrators 用户为全部权限(可选加入SYSTEM用户) 删除其它用户，进入系统盘:权限如下∙C:\WINDOWS Administrators SYSTEM用户全部权限Users 用户默认权限不作修改∙其它目录删除Everyone用户，切记C:\Documents and Settings下All Users\Def ault User目录及其子目录如C:\Documents and Settings\All Users\Application Data 目录默认配置保留了Every one用户权限C:\WINDOWS 目录下面的权限也得注意,如C:\WINDOWS\PCHealth、C:\windows\Inst aller也是保留了Everyone权限.∙删除C:\WINDOWS\Web\printers目录，此目录的存在会造成IIS里加入一个.print ers的扩展名，可溢出攻击∙默认IIS错误页面已基本上没多少人使用了。
Win2003网站服务器的安全配置全攻略
Win2003网站服务器的安全配置全攻略安装篇2003默认安装不带IIS的，要安装，请点击开始->管理工具->配置您的服务器向导然后一步步的下一步。
到了列表选择项目的时候。
从列表中选择应用服务器（IIS,）然后确定，下一步frontpage server extension和如果要支持.Net，都打勾，前者vs用到。
然后一路下一步。
成功后最后mmc管理去。
设置篇：1：支持Asp：控制面板 -> 管理工具 ->IIS(Internet 服务器)- Web服务扩展 -> Active Server Pages -> 允许控制面板 -> 管理工具 ->IIS(Internet 服务器)- Web服务扩展 -> 在服务端的包含文件 -> 允许2：上传200K限制：先在服务里关闭iis admin service服务找到windows\system32\inesrv\下的metabase.xml,打开，找到ASPMaxRequestEntityAllowed 把他修改为需要的值，然后iisreset3：启用父路径：IIS-网站－主目录－配置－选项－启用父路关键词：Win2003 服务器配置网站安全阅读提示：息网络对于服务器的安全要求是十分重要的，为防止服务器发生意外或受到意外攻击，而导致大量重要的数据丢失，下面就介绍Win2003服务器安全热点技术。
本配置仅适合Win2003，部分内容也适合于Win2000。
很多人觉得3389不安全，其实只要设置好，密码够长，攻破3389也不是件容易的事情，我觉得别的远程软件都很慢，还是使用了3389连接。
经测试，本配置在Win2003 + IIS6.0 + Serv-U + SQL Server 的单服务器多网站中一切正常。
以下配置中打勾的为推荐进行配置，打叉的为可选配置。
一、系统权限的设置1、磁盘权限系统盘只给 Administrators 组和 SYSTEM 的完全控制权限其他磁盘只给 Administrators 组完全控制权限系统盘\Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限系统盘\Documents and Settings\All Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限系统盘\windows\system32\config\ 禁止guests组系统盘\Documents and Settings\All Users\「开始」菜单\程序\ 禁止guests组系统盘\windowns\system32\inetsrv\data\ 禁止guests组系统盘\Windows\System32\ at.exe、attrib.exe、cacls.exe、net.exe、net1.exe、netstat.exe、regedit.exe 文件只给 Administrators 组和 SYSTEM 的完全控制权限系统盘\Windows\System32\ cmd.exe、 仅 Administrators 组完全控制权限把所有（Windows\system32和Windows\ServicePackFiles\i386） 更名为format_2、本地安全策略设置开始菜单->管理工具->本地安全策略A、本地策略-->审核策略审核策略更改 成功 失败审核登录事件 成功 失败审核对象访问失败审核过程跟踪 无审核审核目录服务访问失败审核特权使用失败审核系统事件 成功 失败审核账户登录事件 成功 失败审核账户管理 成功 失败B、本地策略-->用户权限分配关闭系统：只有Administrators组、其它全部删除。
windows2003服务器安全配置篇之2003(图)
漏洞发现：老寒组织名称:[[Kingdom China Team-中华帝盟安全小组]厂商名字：microsoft厂商地址：漏洞程序：windows2003服务器版漏洞类型：安全配置影响版本：Standard Edition，Enterprise Edition，Web Edition程序介绍: windos2003服务器安全配置我在写文章的时候查阅了不少资料不经常写文章重点我分不清楚大家就凑合着看吧总的来说还算是好文章（：一、安装篇1.win2003版本区别1）Windows Server 2003, Standard Edition （标准版）针对中小型企业的核心产品，他也是支持双路处理器，4GB的内存。
它除了具备 Windows Server 2003 Web Edition 所有功能外，还支持像证书服务、UDDI服务、传真服务、IAS 因特网验证服务、可移动存储、RIS、智能卡、终端服务、WMS和 Services for Macintosh。
支持文件和打印机共享。
提供安全的网络联接。
2）Windows Server 2003, Enterprise Edition （企业版）这个产品被定义为新一带高端产品，它最多能够支持8路处理器，32 GB内存，和28个节点的集群。
它是 Windows Server 2003 Standard Edition 的扩展版本，增加了Metadirectory Services Support、终端服务会话目录、集群、热添加（ Hot-Add）内存和 NUMA非统一内存访问存取技术。
这个版本还另外增加了一个支持64位计算的版本。
全功能的操作系统支持多达8个处理器。
提供企业级的功能例如8节点的集群，支持32GB 内存。
支持英特尔安腾Itanium 处理器。
将推出支持64位计算机的版本，可以支持8个64位处理器以及64GB的内存。
3）Windows Server 2003, Datacenter Edition （数据中心）像以往一样，这是个一直代表微软产品最高性能的产品，他的市场对象一直定位在最高端应用上，有着极其可靠的稳定性和扩展性能。
第6章WINDOWS,SEVER,2003系统安全配置
域的信任关系
6.2.3 活动目录的设置
• 通过对活动目录的设置可以提高系统的安全性。 信息的安全性与活动目录集成，用户授权管理 和目录访问控制已经整合在活动目录当中了。 通话设置活动目录还可以提供存储和应用程序 作用域的安全策略，提供安全策略的存储和应 用范围。
1.建立域前的准备工作
• 在建立域前，要确定以下几个准备工作 是否已经完成。
6.1.1.用户验证
• Windows Server 2003安全模型包括用户 验证的概念，它授予用户能够登录到网 络并访问网络资源的能力。在用户验证 模型中，安全系统提供了交互式登录和 网络验证两类验证。
1.交互式登录
• 交互式登录在本地计算机或Active Directory账户中验证用户的身份。
1.活动目录对象
• Windows Server 2003域内的资源以对象的形式存在， 如用户、计算机、打印机、应用程序等都是对象，一 个对象是通过“属性”来描述其特征的，即对象本身 是一些“属性”的集合。 • 假设要为用户“张三”建立一个账户，则必须新增一 个对象类为“用户”的对象（也就是用户账户）然后 在这个用户账户内输入“张三”的姓、名、电话号码、 电子邮件、地址等数据，这其中的用户账户就是对象， 而姓、名、电话号码等数据就是该对象的属性，如下 表所示。
• 与网络安全登录过程的安全子系统的集成，以及对目录数据查询和 数据修改的访问控制。
• 提供安全策略的存储和应用范围，支持组策略来实现网络用户和计 算机的集中配置和管理。
2.集中式管理
• 运行Windows Server 2003的服务器可以将系统配置信 息、应用程序信息和用户配置文件的位置信息存储在活 动目录中。当与组策略结合使用时，活动目录使管理员 能够从网络的核心位置使用统一的管理界面对分布于各 处的计算机、网络服务和应用程序进行管理。 • 活动目录还可以集中管理对网络资源的访问，并允许用 户只登录一次就能访问活动目录中的所有资源。
Windows2003 Server的安全配置
硬盘目录权限设置和删除不需要的目录1．C盘只给administrators 和system权限，其他的权限不给，其他的盘也可以这样设置，这里给的system权限也不一定需要给，只是由于某些第三方应用程序是以服务形式启动的，需要加上这个用户，否则造成启动不了2．Windows目录要加上给users的默认权限，删除everyone即可。
否则ASP和ASPX 等应用程序就无法运行。
c:/Documents and Settings/All Users/Application Data目录不能出现everyone用户有完全控制权限，在用做web/ftp服务器的系统里，建议是将这些目录都设置的锁死。
其他每个盘的目录都按照这样设置，每个盘都只给adinistrators权限。
3．删除C:\WINDOWS\Web\printers目录，此目录的存在会造成IIS里加入一个.printers的扩展名，可溢出攻击4．打开C:\Windows 搜索net.exe;cmd.exe;tftp.exe;netstat.exe;regedit.exe;at.exe;attrib.exe;cacls.exe;; regsvr32.exe;xcopy.exe;wscrīpt.exe;cscrīpt.exe;ftp.exe;telnet.exe;arp.exe;edlin.exe; ping.exe;route.exe;finger.exe;posix.exe;rsh.exe;atsvc.exe;qbasic.exe;runonce.exe;syskey .exe修改权限，删除所有的用户只保存Administrators 和SYSTEM为所有权限禁用不必要的服务Remote Registry服务[禁止远程连接注册表]命令：sc config RemoteRegistry start= disabledtask schedule服务[禁止自动运行程序]命令：sc config Schedule start= disabledserver服务 [禁止默认共享]命令：sc config lanmanserver start= disabledTelnet服务 [禁止telnet远程登陆]命令：sc config TlntSvr start= disabledworkstation服务 [防止一些漏洞和系统敏感信息获取]命令：sc config lanmanworkstation start= disabledError Reporting Service服务[禁止收集、存储和向Microsoft 报告异常应用程序]命令：sc config ERSvc start= disabledMessenger服务[禁止传输客户端和服务器之间的NET SEND 和警报器服务消息]命令：sc config Messenger start= disabledHelp and Support服务[禁止在此计算机上运行帮助和支持中心]命令：sc config helpsvc start= disabledNetwork Location Awareness (NLA)服务[禁止收集并保存网络配置和位置信息]命令：sc config Nla start= disabledSERV-U FTP 服务器的设置1.选中“Block "FTP_bounce"attack and FXP”。
实训：windows Server 2003安全配置
4. 清空远程可访问的注册表路径
（1）打开组策略编辑器， 依次展开“计算机配置 →Windows 设置→安全设 置→本地策略→安全选 项”，在右侧窗口中找到 “网络访问：可远程访问 的注册表路径”，如图622所示。 （2）然后在打开的窗口中， 将可远程访问的注册表路 径和子路径内容全部设置 为空即可，如图6-23所示。
图6-17 组策略编辑器 图6-18 添加脚本
2. 杜绝非法访问应用程序
（1）打开“组策略编辑器”窗
口。然后依次打开“组策略控
制台→用户配置→管理模板→
系统”中的“只运行许可的
Windows应用程序”并启用此 图6-19 只运行许可的Windows应用程序 策略，如图6-19所示。
（2）然后点击下面的“允许的
图6-27 TCP/IP属性
（2）关闭445端口
• 445端口可以让用户在局域网中轻松访问各种共享文件夹或 共享打印机，但它也是冲击波病毒最爱光顾的的端口。
• 1）运行regedit，找到项 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\S ervices\NetBT\Parameters]；
（3）选中“账户锁定策略”目录， 在右边窗口中列出了可设置的各 种账户锁定项目，如图6-31所示。
（4）在右侧的策略窗口中，双击 “账户锁定阈值”策略，显示 “账户锁定阈值属性”对话框， 如图6-32所示。
图6-31 账户锁定策略 图6-32 账户锁定阈值属性
（5）在“在发生以下情况之后，锁定账户”文本框中， 键入无效登录的次数，例如3，则表示3次无效登录后，锁 定登录所使用的账户。 （6）单击“确定”按钮，显示如图6-33所示的“建议的 数值改动“对话框。本策略的更改将同步更改其他关联策 略。单击“确定”按钮即可完成其他关联策略的设定。
Win 2003 Server 服务器安全设置(四),(五)服务器安全和性能配置
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters]
"BacklogIncrement"=dword:00000005
"MaxConnBackLog"=dword:000007d0
Win 2003 Server服务器安全设置
（五、六）服务器安全和性能配置
5、 服务器安全设置之--服务器安全和性能配置
把下面文本保存为:windows2000-2003服务器安全和性能注册表自动配置文件.reg运行即可。
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"AutoShareServer"=dword:00000000
"AutoShareWks"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
"EnableICMPRedirect"=dword:00000000
任何IP地址-任意端口
灰鸽子-1026
阻止
UDP
1027
我的IP地址-1027
任何IP地址-任意端口
灰鸽子-1027
阻止
UDP
1028
我的IP地址-1028
Windows 2003 Server安全配置完整篇
登录事件
账户登录事件
系统事件
策略更改
对象访问
目录服务访问
特权使用
三、关闭默认共享的空连接
地球人都知道，我就不多说了！
四、磁盘权限设置 C 盘只给 administrators 和 system 权限，其他的权限不给，其他的盘也可以这样设置，这里给的 system
权限也不一定需要给，只是由于某些第三方应用程序是以服务形式启动的，需要加上这个用户，否则造成启动 不了。
保存为.REG 文件双击即可！更改为 9859，当然大家也可以换别的端口，直接打开以上注册表的地址，把 值改为十进制的输入你想要的端口即可！重启生效！
还有一点，在 2003 系统里，用 TCP/IP 筛选里的端口过滤功能，使用 FTP 服务器的时候，只开放 21 端 口，在进行 FTP 传输的时候，FTP 特有的 Port 模式和 Passive 模式，在进行数据传输的时候，需要动态的打 开高端口，所以在使用 TCP/IP 过滤的情况下，经常会出现连接上后无法列出目录和数据传输的问题。所以在 2003 系统上增加的 Windows 连接防火墙能很好的解决这个问题，不推荐使用网卡的 TCP/IP 过滤功能。
4
在运行中输入 gpedit.msc 回车，打开组策略编辑器，选择计算机配置-Windows 设置-安全设置-审核策略 在创建审核项目时需要注意的是如果审核的项目太多，生成的事件也就越多，那么要想发现严重的事件也越难 当然如果审核的太少也会影响你发现严重的事件，你需要根据情况在这二者之间做出选择。
3
Microsoft Serch：提供快速的单词搜索，不需要可禁用 NTLMSecuritysupportprovide：telnet 服务和 Microsoft Serch 用的，不需要禁用 PrintSpooler：如果没有打印机可禁用 Remote Registry：禁止远程修改注册表 Remote Desktop Help Session Manager：禁止远程协助 Workstation 关闭的话远程 NET 命令列不出用户组 把不必要的服务都禁止掉，尽管这些不一定能被攻击者利用得上，但是按照安全规则和标准上来说，多余 的东西就没必要开启，减少一份隐患。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Windows 2003 Server安全配置完整篇一、先关闭不需要的端口我比较小心，先关了端口。
只开了3389、21、80、1433，有些人一直说什么默认的3389不安全，对此我不否认，但是利用的途径也只能一个一个的穷举爆破，你把帐号改了密码设置为十五六位，我估计他要破上好几年，哈哈！办法：本地连接--属性--Internet协议（TCP/IP）--高级--选项--TCP/IP筛选--属性--把勾打上，然后添加你需要的端口即可。
PS一句：设置完端口需要重新启动！当然大家也可以更改远程连接端口方法：Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINE \ SYSTEM\ Current ControlSet \ Control \ Terminal Server\WinStations\RDP-Tcp]"PortNumber"=dword:00002683保存为.REG文件双击即可！更改为9859，当然大家也可以换别的端口，直接打开以上注册表的地址，把值改为十进制的输入你想要的端口即可！重启生效！还有一点，在2003系统里，用TCP/IP筛选里的端口过滤功能，使用FTP服务器的时候，只开放21端口，在进行FTP传输的时候，FTP 特有的Port模式和Passive模式，在进行数据传输的时候，需要动态的打开高端口，所以在使用TCP/IP过滤的情况下，经常会出现连接上后无法列出目录和数据传输的问题。
所以在2003系统上增加的Windows连接防火墙能很好的解决这个问题，不推荐使用网卡的TCP/IP过滤功能。
做FTP下载的用户看仔细，如果要关闭不必要的端口，在\system32\drivers\etc\services中有列表，记事本就可以打开的。
如果懒的话，最简单的方法是启用WIN2003的自身带的网络防火墙，并进行端口的改变。
功能还可以！Internet 连接防火墙可以有效地拦截对Windows 2003服务器的非法入侵，防止非法远程主机对服务器的扫描，提高Windows 2003服务器的安全性。
同时，也可以有效拦截利用操作系统漏洞进行端口攻击的病毒，如冲击波等蠕虫病毒。
如果在用Windows 2003构造的虚拟路由器上启用此防火墙功能，能够对整个内部网络起到很好的保护作用。
二.关闭不需要的服务打开相应的审核策略我关闭了以下的服务Computer Browser 维护网络上计算机的最新列表以及提供这个列表Task scheduler 允许程序在指定时间运行Messenger 传输客户端和服务器之间的 NET SEND 和警报器服务消息Distributed File System: 局域网管理共享文件，不需要禁用Distributed linktracking client：用于局域网更新连接信息，不需要禁用Error reporting service：禁止发送错误报告Microsoft Serch：提供快速的单词搜索，不需要可禁用NTLMSecuritysupportprovide：telnet服务和Microsoft Serch用的，不需要禁用PrintSpooler：如果没有打印机可禁用Remote Registry：禁止远程修改注册表Remote Desktop Help Session Manager：禁止远程协助Workstation关闭的话远程NET命令列不出用户组把不必要的服务都禁止掉，尽管这些不一定能被攻击者利用得上，但是按照安全规则和标准上来说，多余的东西就没必要开启，减少一份隐患。
在"网络连接"里，把不需要的协议和服务都删掉，这里只安装了基本的Internet 协议（TCP/IP），由于要控制带宽流量服务，额外安装了Qos数据包计划程序。
在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。
在高级选项里，使用"Internet连接防火墙"，这是windows 2003 自带的防火墙，在2000系统里没有的功能，虽然没什么功能，但可以屏蔽端口，这样已经基本达到了一个IPSec的功能。
在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-Windows设置-安全设置-审核策略在创建审核项目时需要注意的是如果审核的项目太多，生成的事件也就越多，那么要想发现严重的事件也越难当然如果审核的太少也会影响你发现严重的事件，你需要根据情况在这二者之间做出选择。
推荐的要审核的项目是：登录事件账户登录事件系统事件策略更改对象访问目录服务访问特权使用三、关闭默认共享的空连接地球人都知道，我就不多说了！1、禁止空连接进行枚举(此操作并不能阻止空连接的建立)首先运行regedit，找到如下组建[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Co ntrol\LSA]把RestrictAnonymous = DWORD的键值改为：00000001。
restrictanonymous REG_DWORD0x0 缺省0x1 匿名用户无法列举本机用户列表0x2 匿名用户无法连接本机IPC$共享说明:不建议使用2，否则可能会造成你的一些服务无法启动，如SQL Server 2、禁止默认共享1）察看本地共享资源运行-cmd-输入net share2）删除共享(每次输入一个）net share ipc$ /deletenet share admin$ /deletenet share c$ /deletenet share d$ /delete（如果有e,f,……可以继续删除）3）修改注册表删除共享运行-regedit找到如下主键[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Pa rameters]把AutoShareServer（DWORD）的键值改为:00000000。
如果上面所说的主键不存在，就新建(右击-新建-双字节值）一个主健再改键值。
3、停止server服务1）暂时停止server服务net stop server /y （重新启动后server服务会重新开启）2）永久关闭ipc$和默认共享依赖的服务:lanmanserver即server服务控制面板-管理工具-服务-找到server服务（右击）-属性-常规-启动类型-已禁用4、安装防火墙(选中相关设置)，或者端口过滤(滤掉139,445等)1).解开文件和打印机共享绑定鼠标右击桌面上[网络邻居]→[属性]→[本地连接]→[属性]，去掉“Microsoft 网络的文件和打印机共享”前面的勾，解开文件和打印机共享绑定。
这样就会禁止所有从139和445端口来的请求，别人也就看不到本机的共享了。
2).利用TCP/IP筛选鼠标右击桌面上[网络邻居]→[属性]→[本地连接]→[属性]，打开“本地连接属性”对话框。
选择[Internet协议(TCP/IP)]→[属性]→[高级]→[选项]，在列表中单击选中“TCP/IP筛选”选项。
单击[属性]按钮，选择“只允许”，再单击[添加]按钮(如图2)，填入除了139和445之外要用到的端口。
这样别人使用扫描器对139和445两个端口进行扫描时，将不会有任何回应。
3).使用IPSec安全策略阻止对端口139和445的访问选择[我的电脑]→[控制面板]→[管理工具]→[本地安全策略]→[IP安全策略，在本地机器]，在这里定义一条阻止任何IP地址从TCP139和TCP445端口访问IP地址的IPSec安全策略规则，这样别人使用扫描器扫描时，本机的139和445两个端口也不会给予任何回应。
4).使用防火墙防范攻击在防火墙中也可以设置阻止其他机器使用本机共享。
如在“天网个人防火墙”中，选择一条空规则，设置数据包方向为“接收”，对方IP地址选“任何地址”，协议设定为“TCP”，本地端口设置为“139到139”，对方端口设置为“0到0”，设置标志位为“ SYN”，动作设置为“拦截”，最后单击[确定]按钮，并在“自定义IP规则”列表中勾选此规则即可启动拦截139端口攻击了(如图3)。
5、给所有账户设置复杂密码，防止通过ipc$穷举密码四、磁盘权限设置C盘只给administrators和system权限，其他的权限不给，其他的盘也可以这样设置，这里给的system权限也不一定需要给，只是由于某些第三方应用程序是以服务形式启动的，需要加上这个用户，否则造成启动不了。
Windows目录要加上给users的默认权限，否则ASP和ASPX等应用程序就无法运行。
以前有朋友单独设置Instsrv和temp等目录权限，其实没有这个必要的。
另外在c:/Documents and Settings/这里相当重要，后面的目录里的权限根本不会继承从前的设置，如果仅仅只是设置了C盘给administrators权限，而在All Users/Application Data目录下会出现everyone用户有完全控制权限，这样入侵这可以跳转到这个目录，写入脚本或只文件，再结合其他漏洞来提升权限；譬如利用serv-u的本地溢出提升权限，或系统遗漏有补丁，数据库的弱点，甚至社会工程学等等N多方法，从前不是有牛人发飑说："只要给我一个webshell，我就能拿到system"，这也的确是有可能的。
在用做web/ftp服务器的系统里，建议是将这些目录都设置的锁死。
其他每个盘的目录都按照这样设置，每个盘都只给adinistrators权限。
另外，还将：net.exe NET命令cmd.exe CMD 懂电脑的都知道咯~tftp.exenetstat.exeregedit.exe 注册表啦大家都知道at.exeattrib.execacls.exe ACL用户组权限设置，此命令可以在NTFS下设置任何文件夹的任何权限！偶入侵的时候没少用这个....（：format.exe 不说了，大家都知道是做嘛的大家都知道ASP木马吧，有个CMD运行这个的，这些如果都可以在CMD下运行..55，，估计别的没啥，format下估计就哭料~~~（：这些文件都设置只允许administrator访问。
五、防火墙、杀毒软件的安装关于这个东西的安装其实我也说不来，反正安装什么的都有，建议使用卡巴，卖咖啡。
用系统自带的防火墙，这个我不专业，不说了！大家凑合！六、SQL2000 SERV-U FTP安全设置SQL安全方面1、System Administrators 角色最好不要超过两个2、如果是在本机最好将身份验证配置为Win登陆3、不要使用Sa账户，为其配置一个超级复杂的密码4、删除以下的扩展存储过程格式为：use mastersp_dropextendedproc '扩展存储过程名'xp_cmdshell：是进入操作系统的最佳捷径，删除访问注册表的存储过程，删除Xp_regaddmultistringXp_regdeletekeyXp_regdeletevalueXp_regenumvalues Xp_regread Xp_regwrite Xp_regremovemultistringOLE自动存储过程，不需要，删除Sp_OACreate Sp_OADestroySp_OAGetErrorInfoSp_OAGetPropertySp_OAMethodSp_OASetPropertySp_OAStop5、隐藏 SQL Server、更改默认的1433端口。