1.先以C盘为例,右击C盘,点击“安全”,将Everyone、Users组删除,设置administrators、system完全控制;iis_wpg只有该文件夹(列出文件夹/读数据/读属性/读扩展属性/读取权限) 2. c:\inetpub\mailroot administrators 完全;system 完全;service 完全 c:\inetpub\ftproot everyone 只读和运行 如果装了软件: c:\Program Files\soft Everyone 读取和运行,列出文件夹目录,读取 administrators 完全 具体要看软件的性质 3.让asp顺利运行 C:\Program Files\Common Files everyone默认权限 C:\WINNT\Temp everyone 读写 C:\WINDOWS\system32 everyone默认权限 其他盘,也只留administrators、system 两个用户即可,如果安装有软件,具体设置见附录硬盘权限设置 4.防止asp木马 首先,设置system32下程序:net.exe,cmd.exe,ftp.exe,tftp.exe,telnet.exe,只允许administrator访问 然后,给每个虚拟站点单独设一个用户,分给每个用户文件夹相应用户名完全控制的权限(防止FSO),具体设置见附录 或参看 http://www.im286.com/viewthread.php?tid=974099&extra=page=1 落伍论坛有相关贴 如果服务器不需要 Wscript.Shell,stream对象 支持的话可以将其卸载 regsvr32 WSHom.Ocx /u regsvr32 /s /u "C:\Program Files\Common Files\System\ado\msado15.dll" 注:此项不能轻易去掉,否则数据库连接是可能出现 错误’ASP 0177 : 800401f3’ server.createobject 上文主要是简单的走一下过程,如有什么不明白的地方可以参考附录 附录(参考文献): 注:全来自网上,版权归原撰写人 Win 2003 硬盘安全设置(针对ASP类网站) C:分区部分: c:\ administrators 全部 iis_wpg 只有该文件夹 列出文件夹/读数据 读属性 读扩展属性 读取权限 c:\inetpub\mailroot administrators 全部 system 全部 service 全部 c:\inetpub\ftproot everyone 只读和运行 c:\windows administrators 全部 Creator owner 不是继承的 只有子文件夹及文件 完全 Power Users 修改,读取和运行,列出文件夹目录,读取,写入 system 全部 Users 读取和运行,列出文件夹目录,读取 c:\Program Files Everyone 只有该文件夹 不是继承的 列出文件夹/读数据 administrators 全部 iis_wpg 只有该文件夹 列出文件/读数据 读属性 读扩展属性 读取权限 c:\Program Files\Common Files administrators 全部 Creator owner 不是继承的 只有子文件夹及文件 完全 Power Users 修改,读取和运行,列出文件夹目录,读取,写入 system 全部 TERMINAL SERVER Users(如果有这个用户) 修改,读取和运行,列出文件夹目录,读取,写入 Users 读取和运行,列出文件夹目录,读取 如果安装了我们的软件: c:\Program Files\LIWEIWENSOFT Everyone 读取和运行,列出文件夹目录,读取 administrators 全部 IIS_WPG 读取和运行,列出文件夹目录,读取 c:\Program Files\Dimac(如果有这个目录) Everyone 读取和运行,列出文件夹目录,读取 administrators 全部 c:\Program Files\ComPlus Applications (如果有) administrators 全部 c:\Program Files\GflSDK (如果有) administrators 全部 Creator owner 不是继承的 只有子文件夹及文件 完全 Power Users 修改,读取和运行,列出文件夹目录,读取,写入 system 全部 TERMINAL SERVER Users 修改,读取和运行,列出文件夹目录,读取,写入 Users 读取和运行,列出文件夹目录,读取 Everyone 读取和运行,列出文件夹目录,读取 c:\Program Files\InstallShield Installation Information (如果有) c:\Program Files\Internet Explorer (如果有) c:\Program Files\NetMeeting (如果有) administrators 全部 c:\Program Files\WindowsUpdate Creator owner 不是继承的 只有子文件夹及文件 完全 administrators 全部 Power Users 修改,读取和运行,列出文件夹目录,读取,写入 system 全部 D:分区部分: d:\ (如果用户网站内容放置在这个分区中) administrators 全部权限 d:\FreeHost (如果此目录用来放置用户网站内容) administrators 全部权限 SERVICE 全部权限 E:分区部分: 从安全角度,我们建议WebEasyMail(WinWebMail)安装在独立的盘中,例如E: E:\(如果webeasymail安装在这个盘中) administrators 全部权限 system 全部权限 IUSR_*,默认的Internet来宾帐户(如果这个网站用这个用户来运行) 不是继承的 只有子文件夹 读取权限 E:\WebEasyMail (如果webeasymail安装在这个目录中) administrators 全部 system 全部权限 SERVICE 全部 IUSR_*,默认的Internet来宾帐户 全部权限(如果这个网站用这个用户来运行) 关于IUSR_*,我们不建议用这个用户来运行Webeasymail,应该用平台开一个虚拟主机来运行Webeasymail。 ----------------不知道2000是不是一样设置. Win 2003中提高FSO的安全性 ASP提供了强大的文件系统访问能力,可以对服务器硬盘上的任何文件进行读、写、复制、删除、改名等操作,这给学校网站的安全带来巨大的威胁。现在很多校园主机都遭受过FSO木马的侵扰。但是禁用FSO组件后,引起的后果就是所有利用这个组件的ASP程序将无法运行,无法满足客户的需求。如何既允许FileSystemObject组件,又不影响服务器的安全性呢(即:不同虚拟主机用户之间不能使用该组件读写别人的文件)?以下是笔者多年来摸索出来的经验: 第一步是有别于Windows 2000设置的关键:右击C盘,点击“共享与安全”,在出现在对话框中选择“安全”选项卡,将Everyone、Users组删除,删除后如果你的网站连ASP程序都不能运行,请添加IIS_WPG组(图1),并重启计算机。 经过这样设计后,FSO木马就已经不能运行了。如果你要进行更安全级别的设置,请分别对各个磁盘分区进行如上设置,并为各个站点设置不同匿名访问用户。下面以实例来介绍(假设你的主机上E盘Abc文件夹下设Abc.com站点): 1. 打开“计算机管理→本地用户和组→用户”,创建Abc用户,并设置密码,并将“用户下次登录时须更改密码”前的对号去掉,选中“用户不能更改密码”和“密码永不过期”,并把用户设置为隶属于Guests组。 2. 右击E:\Abc,选择“属性→安全”选项卡,此时可以看到该文件夹的默认安全设置是“Everyone”完全控制(视不同情况显示的内容不完全一样),删除Everyone的完全控制(如果不能删除,请点击[高级]按钮,将“允许父项的继承权限传播”前面的对号去掉,并删除所有),添加Administrators及Abc用户对本网站目录的所有安全权限。 3. 打开IIS管理器,右击Abc.com主机名,在弹出的菜单中选择“属性→目录安全性”选项卡,点击身份验证和访问控制的[编辑],弹出图2所示对话框,匿名访问用户默认的就是“IUSR_机器名”,点击[浏览],在“选择用户”对话框中找到前面创建的Abc账户,确定后重复输入密码。 经过这样设置,访问网站的用户就以Abc账户匿名身份访问E:\Abc文件夹的站点,因为Abc账户只对此文件夹有安全权限,所以他只能在本文件夹下使用FSO。 常见问题: 如何解除FSO上传程序小于200k限制? 先在服务里关闭IIS admin service服务,找到Windows\System32\Inesrv目录下的Metabase.xml并打开,找到ASPMaxRequestEntityAllowed,将其修改为需要的值。默认为204800,即200K,把它修改为51200000(50M),然后重启IIS admin service服务。 |
|小黑屋|最新主题|手机版|微赢网络技术论坛 ( 苏ICP备08020429号 )
GMT+8, 2024-9-30 11:41 , Processed in 0.165039 second(s), 12 queries , Gzip On, MemCache On.
Powered by Discuz! X3.5
© 2001-2023 Discuz! Team.