当前位置:w88优德官网网文章中心服务器安全维护 → 终结Webshell 加固web服务器

终结Webshell 加固web服务器

减小字体 增大字体 作者:admin  来源:www.cuoxin.com  发布时间:2011-2-17 19:47:04
核心提示:如何让攻击者无缘Webshell那是代码部分的问题,我们做为管理员应该如何加固Web服务器,让攻击者在获得了Webshell之后无功而返呢?
 
用微软的IIS打造一个WEB服务器是件非常简单的事情,但是它的安全性实在不敢恭维。攻击者通过注入、上传、旁注等技术获得了某个网站的Webshell,然后进一步渗透提权,直至控制整个Web服务器。至于如何让攻击者无缘Webshell那是代码部分的问题,我们做为管理员应该如何加固Web服务器,让攻击者在获得了Webshell之后无功而返呢? 一、设置命令权限默认设置下,webshell中可以调用一些对服务器构成危险的系统命令,因此要对这些命令进行权限限制。需要限制权限的命令主要有:cmd.exe net.exe net1.exe ping.exe netstat.exe ftp.exe tftp.exe telnet.exe等。对这些命令单独进行设置,设置为只允许administrators组访问,这样既防止攻击者新建用户对系统进行修改,也可以防范通过Serv-U的本地提升权限漏洞来运行这些关键的程序了。特别提醒的是要删除cacls.exe这个程序,防止有人通过命令行来修改权限。(图1) 图1个人秘笈:在系统目录下放一个和cmd.exe同名的监控程序,并赋予它eventone运行权限。这样只要攻击者在websehll中调用cmd.exe就可以触发监控程序,记录并追查攻击者的踪迹,让他偷鸡不成反蚀一把米。为我们发现入侵,直至找到攻击者做准备。二、设置目录权限设置的原则是让IIS以最小的权限运行,但也不至于把自己捆住。1、选取整个硬盘:system:完全控制administrator:完全控制(允许将来自父系的可继承性权限传播给对象) (图2) 2、c:program filescommon files:everyone:读取及运行列出文件目录读取(允许将来自父系的可继承性权限传播给对象)3、c:inetpubwwwroot:iusr_machinename:读取及运行列出文件目录读取(允许将来自父系的可继承性权限传播给对象)4、c:windowssystem32:选择除inetsrv和centsrv以外的所有目录,去除“允许将来自父系的可继承性权限传播给对象”选框,复制。5、c:windows:选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框,复制。6、c:windows:everyone:读取及运行列出文件目录读取(允许将来自父系的可继承性权限传播给对象)7、c:windows  emp:(允许访问数据库并显示在asp页面上)everyone:修改(允许将来自父系的可继承性权限传播给对象)三、与组件相关的设置1、shell.application组件删除再来去掉一些ASP WEBSHELL需要使用的一些组件,这些组件其实普通的虚拟主机用户也是用不上的。很多防范ASP木马的文章都提到要删除FileSystemObject组件,但删除了这个组件后,很多ASP的程序可能会运行不了,其实只要做好了前面的工作,FileSystemObject组件能操作的,只能是自己目录下的文件,也就构成不了什么威胁了!现在看来,还比较有威胁的组件就是Shell.Application和Wscript.Shell这两个组件了,Shell.Application可以对文件进行一些操作,还可以执行程序,但不能带参数,而Wscript.Shell可以操作注册表和执行DOS命令。2、防范Wscript.Shell组件的方法:可以通过修改注册表,将此组件改名。HKEY_CLASSES_ROOTWScript.Shell及HKEY_CLASSES_ROOTWScript.Shell.1改名为其它的名字,如:改为WScript.Shell_ChangeName或WScript.Shell.1_ChangeName自己以后调用的时候使用这个就可以正常调用此组件了 (图3) 图3也要将clsid值也改一下HKEY_CLASSES_ROOTWScript.ShellCLSID项目的值HKEY_CLASSES_ROOTWScript.Shell.1CLSID项目的值也可以将其删除,来防止此类木马的危害。3、防范Shell.Application组件的方法:可以通过修改注册表,将此组件改名。HKEY_CLASSES_ROOTShell.Application 及HKEY_CLASSES_ROOTShell.Application.1改名为其它的名字,如:改为Shell.Application_ChangeName或Shell.Application.1_ChangeName自己以后调用的时候使用这个就可以正常调用此组件了。也要将clsid值也改一下HKEY_CLASSES_ROOTShell.ApplicationCLSID项目的值 (图4) 图4也可以将其删除,来防止此类木马的危害。

本文引用网址:
在下列搜索引擎中搜索“终结Webshell 加固web服务器”的相关信息:
谷歌搜索 百度搜索 雅虎搜索 搜狗搜索 搜搜搜索 必应搜索 有道搜索
你可能还喜欢以下文章
  • 1中关村“艳照门” 前妻群发老公...
  • 2宫如敏不雅艳照曝光 宫如敏不雅...
  • 31月美网站访问量排名:谷歌居首...
  • 4宫如敏不雅艳照 宫如敏艳照全套...
  • 5苏紫紫形体艺术 苏紫紫全套照片...
  • 1301永久重定向实现方式及302重...
  • 2如何搭建第一个网站?做网站有...
  • 3如何做SEO才能让百度喜欢?
  • 4什么是子优德w88官网?什么是顶级优德w88官网...
  • 5做好整站优化才是真正的网站优...
  • 1她的胸到底有多大
  • 2日本AV六级试卷 (附标准答案)
  • 3妓女怀孕!!怎么办???
  • 4第一次,痛吗?
  • 5女医生给我的四次体检
  • 1Linux进程IO状况的实时监测
  • 2shell经典实例分享
  • 3Linux为什么比Windows稳定
  • 4Linux中的系统服务——Daemon浅...
  • 5linux中如何修改指定用户的密码...
  • 赞助商广告

    图片文章导读