最全的Windows server 2003服务器安全配置详解.doc

最全的Windows server2003服务器安全配置详解 配置WindowsServer2003 + IIS6.0 + ASP + NET + PHP + PERL + MSSQL + MYSQL 最新服务器安全设置技术实例 最全的Windows服务器安全配置详解一 详解一：：： Web服务器安全配置的内容 1终端服务默认端口号：3389。 更改原因：不想让非法用户连接到服务器进行登录实验。当这台服务器托管在外时更不希望发生这种情况，呵呵，还没忘记2000的输入法漏洞吧？ 更改方法： 　　(1)、第一处[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ Wds \ rdpwd \ Tds \ tcp]，看到右边的PortNumber了吗？在十进制状态下改成你想要的端口号吧，比如7126之类的，只要不与其它冲突即可。 　　(2)、第二处[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ WinStations \ RDP-Tcp，方法同上，记得改的端口号和上面改的一样就行了。 2系统盘\Windows\System32\cacls.exe、cmd.exe、net.exe、net1.exe、telnet.exe、ftp.exe 文件只给 Administrators 组和 SYSTEM 的完全控制权限 注册表删除 WScript.Shell、WScript.Shell.1、Wscript.Network、Wscript.Network.1、Shell.application 注册表改名 adodb.stream、Scripting.Dictionary、Scripting.FileSystemObject 3启用防火墙和tcp/ip过滤,再serv-u开启一组端口映射 80 \ 20 \ 21 \ 2121 \ * 以及serv-u端口组 4关闭默认共享 　　 　　在Windows 2000中，有一个“默认共享”，这是在安装服务器的时候，把系统安装分区自动进行共享，虽然对其访问还需要超级用户的密码，但这是潜在的安全隐患，从服务器的安全考虑，最好关闭这个“默认共享”，以保证系统安全。方法是：单击“开始/运行”，在运行窗口中输入“Regedit”，打开注册表编辑器，展开“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters”项，添加键值AutoShareServer，类型为REG_DWORD，值为0。 这样就可以彻底关闭“默认共享”。 [HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run] deletenetshare=c:\\\\deletenetshare.bat 5防范拒绝服务攻击 禁止响应ICMP重定向报文。此类报文有可能用以攻击，所以系统应该拒绝接受ICMP重定向报文。 EnableICMPRedirects=dword6 iis部分的配置，mdb防止下载，添加数据库名的如MDB的扩展映射 iislog.dll 7 如何解除FSO上传程序小于200k限制？ 　先在服务里关闭IIS admin service服务，找到Windows＼System32＼Inesrv目录下的Metabase．xml并打开，找到ASPMaxRequestEntityAllowed，将其修改为需要的值。默认为204800，即200K，把它修改50M），然后重启IIS admin service服务。 Windows2003下的IIS权限设置 前提：仅针对windows 2003 server SP1 Internet(IIS) 服务器 系统安装在C:\盘 系统用户情况为： administrators 超级管理员(组) system 系统用户(内置安全主体) guests 来宾帐号(组) iusr_服务器名 匿名访问web用户 iwam_服务器名 启动iis进程用户 www_不良信息自动过滤sc_org 自己添加的用户、添加后删除Users(组)、删除后添加到guests来宾帐号(组) 为加强系统安全、(guest)用户及(iusr_服务器名)用户均被禁用 将访问web目录的全部账户设为guests组、去除其他的组 ■盘符 安全访问权限 △C:\盘 administrators(组) 完全控制权限、syst