七彩知识堂[服务器租用|服务器产品知识]
终结Webshell加固web服务器
    用微软的IIS打造一个WEB服务器是件非常简单的事情,但是它的安全性实在不敢恭维。攻击者通过注入、上传、旁注等技术获得了某个网站的Webshell,然后进一步渗透提权,直至控制整个Web服务器。至于如何让攻击者无缘Webshell那是代码部分的问题,我们做为管理员应该如何加固Web服务器,让攻击者在获得了Webshell之后无功而返呢?
   一、设置命令权限
   默认设置下,webshell中可以调用一些对服务器构成危险的系统命令,因此要对这些命令进行权限限制。需要限制权限的命令主要有:cmd.exe net.exe net1.exe ping.exe netstat.exe ftp.exe tftp.exe telnet.exe等。
   对这些命令单独进行设置,设置为只允许administrators组访问,这样既防止攻击者新建用户对系统进行修改,也可以防范通过Serv-U的本地提升权限漏洞来运行这些关键的程序了。特别提醒的是要删除cacls.exe这个程序,防止有人通过命令行来修改权限。(图1)
个人秘笈:在系统目录下放一个和cmd.exe同名的监控程序,并赋予它eventone运行权限。这样只要攻击者在websehll中调用cmd.exe就可以触发监控程序,记录并追查攻击者的踪迹,让他偷鸡不成反蚀一把米。为我们发现入侵,直至找到攻击者做准备。
 二、设置目录权限
   设置的原则是让IIS以最小的权限运行,但也不至于把自己捆住。
   1、选取整个硬盘:
   system:完全控制
   administrator:完全控制
   (允许将来自父系的可继承性权限传播给对象) (图2)
2、c:\program files\common files:
   everyone:读取及运行
   列出文件目录
   读取
   (允许将来自父系的可继承性权限传播给对象)
   3、c:\inetpub\wwwroot:
   iusr_machinename:读取及运行
   列出文件目录
   读取
   (允许将来自父系的可继承性权限传播给对象)
  4、c:\windows\system32:
   选择除inetsrv和centsrv以外的所有目录,
   去除“允许将来自父系的可继承性权限传播给对象”选框,复制。
   5、c:\windows:
   选择除了downloaded program files、help、iis temporary compressed files、
   offline web pages、system32、tasks、temp、web以外的所有目录
   去除“允许将来自父系的可继承性权限传播给对象”选框,复制。
   6、c:\windows:
   everyone:读取及运行
   列出文件目录
   读取
   (允许将来自父系的可继承性权限传播给对象)
   7、c:\windows\temp:(允许访问数据库并显示在asp页面上)
   everyone:修改
   (允许将来自父系的可继承性权限传播给对象)
 
经典短信推荐
资讯中心 | 电子商务 | 搜索营销 | 设计学院 | 中医养生 | 养生保健 | 节日祝福 | 民俗文化 | 奇闻趣事
建站知识 | 人世百态 | 网站导航 | 传统节日 | 搜索热点 | 星座运势 | 趣闻轶事 | 祝福的话 | 短信大全
© 2023 QicaiSpace.Com