windows主机安全设置.docVIP

windows主机安全设置 [原创]windows主机安全设置 文章标题:[原创]windows主机安全设置顶部 代码罐头 发布于:2005-08-0221:07 [楼主][原创]windows主机安全设置 文章作者：代码罐头[E.S.T] 信息来源：邪恶八进制信息安全团队（） 原理篇 我们将从入侵者入侵的各个环节来作出对应措施 一步步的加固windows系统. 加固windows系统.一共归于几个方面 1.端口限制 2.设置ACL权限 3.关闭服务或组件 4.包过滤 5.审计 我们现在开始从入侵者的第一步开始.对应的开始加固已有的windows系统. 1.扫描 这是入侵者在刚开始要做的第一步.比如搜索有漏洞的服务. 对应措施:端口限制 以下所有规则.都需要选择镜像,否则会导致无法连接 我们需要作的就是打开服务所需要的端口.而将其他的端口一律屏蔽 2.下载信息 这里主要是通过URLSCAN.来过滤一些非法请求 对应措施:过滤相应包 我们通过安全URLSCAN并且设置urlscan.ini中的DenyExtensions字段 来阻止特定结尾的文件的执行 3.上传文件 入侵者通过这步上传WEBSHELL,提权软件,运行cmd指令等等. 对应措施:取消相应服务和功能,设置ACL权限 如果有条件可以不使用FSO的. 通过regsvr32/uc:/windows/system32/scrrun.dll来注销掉相关的DLL. 如果需要使用. 那就为每个站点建立一个user用户 对每个站点相应的目录.只给这个用户读,写,执行权限,给administrators全部权限 安装杀毒软件.实时杀除上传上来的恶意代码. 个人推荐MCAFEE或者卡巴斯基 如果使用MCAFEE.对WINDOWS目录所有添加与修改文件的行为进行阻止. 4.WebShell 入侵者上传文件后.需要利用WebShell来执行可执行程序.或者利用WebShell进行更加方便的文件操作. 对应措施:取消相应服务和功能 一般WebShell用到以下组件 WScript.Network WScript.Network.1 WScript.Shell WScript.Shell.1 Shell.Application Shell.Application.1 我们在注册表中将以上键值改名或删除 同时需要注意按照这些键值下的CLSID键的内容 从/HKEY_CLASSES_ROOT/CLSID下面对应的键值删除 5.执行SHELL 入侵者获得shell来执行更多指令 对应措施:设置ACL权限 windows的命令行控制台位于/WINDOWS/SYSTEM32/CMD.EXE 我们将此文件的ACL修改为 某个特定管理员帐户(比如administrator)拥有全部权限. 其他用户.包括system用户,administrators组等等.一律无权限访问此文件. 6.利用已有用户或添加用户 入侵者通过利用修改已有用户或者添加windows正式用户.向获取管理员权限迈进 对应措施:设置ACL权限.修改用户 将除管理员外所有用户的终端访问权限去掉. 限制CMD.EXE的访问权限. 限制SQLSERVER内的XP_CMDSHELL 7.登陆图形终端 入侵者登陆TERMINALSERVER或者RADMIN等等图形终端, 获取许多图形程序的运行权限.由于WINDOWS系统下绝大部分应用程序都是GUI的. 所以这步是每个入侵WINDOWS的入侵者都希望获得的 对应措施:端口限制 入侵者可能利用3389或者其他的木马之类的获取对于图形界面的访问. 我们在第一步的端口限制中.对所有从内到外的访问一律屏蔽也就是为了防止反弹木马. 所以在端口限制中.由本地访问外部网络的端口越少越好. 如果不是作为MAILSERVER.可以不用加任何由内向外的端口. 阻断所有的反弹木马. 8.擦除脚印 入侵者在获得了一台机器的完全管理员权限后 就是擦除脚印来隐藏自身. 对应措施:审计 首先我们要确定在windowsRi志中打开足够的审计项目. 如果审计项目不足.入侵者甚至都无需去删除windows事件. 其次我们可以用自己的cmd.exe以及net.exe来替换系统自带的. 将运行的指令保存下来.了解入侵者的行动. 对于windowsRi志 我们可以通过将Ri志发送到远程Ri志服务器的方式来保证记录的完整性. evtsys工具(/ECN/Resources/Documents) 提供将windowsRi志转换成syslog格式并且发送到远程服务器上的功能. 使用此用具.并且在远程服务器上开放syslogd,如果远程服务器是windows系统. 推荐使用kiwisyslogdeamon. 我们要达到的目的就是 不让入侵者扫描到