《加固web服务器安全配置,防止Webshell攻击.docx》由会员分享，可在线阅读，更多相关《加固web服务器安全配置,防止Webshell攻击.docx（12页珍藏版）》请在三一办公上搜索。
1、加固web服务器安全配置，防止Webshell攻击用微软的IIS打造一个WEB服务器是件非常简单的事情，但是它的安全性实在不敢恭 维。攻击者通过注入、上传、旁注等技术获得了某个网站的Webshell，然后进一步渗透提 权，直至控制整个Web服务器。至于如何让攻击者无缘Webshell那是代码部分的问题， 我们做为管理员应该如何加固Web服务器，让攻击者在获得了 Webshell之后无功而返呢?一、设置命令权限默认设置下，webshell中可以调用一些对服务器构成危险的系统命令，因此要对这些 命令进行权限限制。需要限制权限的命令主要有：cmd.exe net.exe net1.exe ping.
2、exe netstat.exe ftp.exe tftp.exe telnet.exe 等。对这些命令单独进行设置，设置为只允许administrators组访问，这样既防止攻击者 新建用户对系统进行修改，也可以防范通过Serv-U的本地提升权限漏洞来运行这些关键的 程序了。特别提醒的是要删除cacls.exe这个程序，防止有人通过命令行来修改权限。（图1）个人秘笈：在系统目录下放一个和cmd.exe同名的监控程序，并赋予它eventone运行 权限。这样只要攻击者在websehll中调用cmd.exe就可以触发监控程序，记录并追查攻击 者的踪迹，让他偷鸡不成反蚀一把米。为我们发现入侵，直至找
3、到攻击者做准备。二、设置目录权限设置的原则是让IIS以最小的权限运行，但也不至于把自己捆住。1、选取整个硬盘：system :完全控制administrator： 完全控制（允许将来自父系的可继承性权限传播给对象）（图2）术源li&it曲枳前璋目名称 QD |ni xtra.t or a CLWhAini s trttri)应用到国.i该裳件也子文件迎文件3)调于叔限：嗣础切甦文阡创健文件款届姓完全彳写其虻度峰性翻赋予管理0C盘嵋拒啤0)I鳖刮满腐1度骨果，于贫k g共，子曳件. .有子支:件买买文件 f义件买，子文件. . E血停共茂子交件买 t石子文峥 1屯慎奁件夷寤适些挪只应用兢平:翊中
4、的曜际弛，一惑底费.上.遂j磷定2、c:program filescommon files：everyone：读取及运行列出文件目录读取（允许将来自父系的可继承性权限传播给对象）3、c:inetpubwwwroot：iusr_machinename:读取及运彳亍列出文件目录读取（允许将来自父系的可继承性权限传播给对象）4、c:windowssystem32：选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。5、c:windows：选择除了 downloaded program files、help、iis temporary comp
5、ressed files、offline web pages、system32、tasks、temp、web 以外卜的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。6、c:windows：everyone：读取及运行列出文件目录读取（允许将来自父系的可继承性权限传播给对象）7、c:windows emp：（允许访问数据库并显示在asp页面上）everyone :修改（允许将来自父系的可继承性权限传播给对象）三、与组件相关的设置1、shell.application 组件删除再来去掉一些ASP WEBSHELL需要使用的一些组件，这些组件其实普通的虚拟主机用 户也是用不上的。
6、很多防范ASP木马的文章都提到要删除FileSystemObject组件，但删除了这个组件后， 很多ASP的程序可能会运行不了，其实只要做好了前面的工作，FileSystemObject组件能操 作的，只能是自己目录下的文件，也就构成不了什么威胁了！现在看来，还比较有威胁的组件就是Shell.Application和Wscript.Shell这两个组件了， Shell.Application可以对文件进行一些操作，还可以执行程序，但不能带参数，而 Wscript.Shell可以操作注册表和执行DOS命令。2、防范Wscript.Shell组件的方法：可以通过修改注册表，将此组件改名。HKEY_
7、CLASSES_ROOTWScript.Shell 及 HKEY_CLASSES_ROOTWScript.Shell.1改名为其它的名字，如：改为WScript.Shell_ChangeName或WScript.Shell.1_ChangeName自己以后调用的时候使用这个就可以正常调用此组件了（图3）况怦叨蜀聪叩 Si（V）站夫如新前叩-_J仆i网谜炯吠小时“.一 ，_| DU叫融虹 -I rtCDKHi中心 n*r ， f 招 MVFi -2j IBZFilt -肓 s Q TPD.irasE； z_J ftrDGp.tlllStrvkCk?!， iiFLTili s wifil* ，J
8、hKTE So-ciiBflit-t. * _ ISai ijl. Vat4rJc3vJ EurWj IScrijt.SJwll. 1 CjrLElDl 泌VA-rr-di I liv li du i- niJr.s稀修改IT专家网Mcirip-GCiTiiS | _螂电mm T.CUfiS E5JBOT 皤E pt.北节 L5LD也要将clsid值也改一下HKEY_CLASSES_ROOTWScript.ShellCLSID 项目的值HKEY_CLASSES_ROOTWScript.Shell.1CLSID 项目的值也可以将其删除，来防止此类木马的危害。3、防范Shell.Applicati
9、on组件的方法：可以通过修改注册表，将此组件改名。HKEY_CLASSES_ROOTShell.Application 及HKEY_CLASSES_ROOTShell.Application.1改名为其它的名字，如：改为Shell.Application_ChangeName或Shell.Application.1_ChangeName自己以后调用的时候使用这个就可以正常调用此组件了。也要将clsid值也改一下HKEY_CLASSES_ROOTShell.ApplicationCLSID 项目的值（图 4）KJ也可以将其删除，来防止此类木马的危害。四、综合设置（针对虚拟主机）说明：FileSy
10、stemObject（FS0）这个组件为ASP提供了强大的文件系统访问能力，可以 对服务器硬盘上的任何文件进行读、写、复制、删除、改名等操作，但是禁止此组件后，弓I 起的后果就是所有利用这个组件的ASP将无法运行，无法满足我们的需求。如何既允许 FileSystemObject组件，又不影响服务器的安全性呢？1、目录权限设置。在服务器上打开资源管理器，用鼠标右键点击各个硬盘分区或卷的盘符，在弹出菜单 中选择“属性”，选择“安全”选项卡，此时就可以看到有哪些帐号可以访问这个分区（卷）及访 问权限。默认安装后，出现的是“Everyone”具有完全控制的权限。点“添加”，将 Administrato
11、rs”、Backup Operators”、“Power Users”、“Users”等几个组添加进去，并给 予完全控制”或相应的权限，注意，不要给“Guests”组、IUSR_机器名”这几个帐号任何权限。 然后将“Everyone”组从列表中删除，这样，就只有授权的组和用户才能访问此硬盘分区了， 而ASP执行时，是以“IUSR机器名”的身份访问硬盘的，这里没给该用户帐号权限，ASP也 就不能读写硬盘上的文件了。（图5）Pickup Opor5Backup Cprat ors:EEkTOE i1TNKEveryoneI1J5K_MAILL阡HJ对项AIL)4取消权眼控制完全控制修改读股和运行列
12、出文件夹目录写就特别的权限添加0L. |册除或.|允许拒施特别枳限或高设置请单击*高缴-确定AdjiiiniEtratorE 的祝限()： 口_PI回由回明回口本地置盘（口）属性常规!工其硬件）共享安全卷影副本远程存俺| 配额蛆或用户名称您）;A liii 1 n 1 s tr at :r s I.LW i m 5 trit er 5 J2、创建客户账号给每个虚拟主机用户设置一个单独的用户帐号，然后再给每个帐号分配一个允许其完 全控制的目录。第一步：打开“计算机管理”一“本地用户和组”一用户”，在右栏中点击鼠标右键，在弹 出的菜单中选择“新用户”：在弹出的“新用户”对话框中根据实际需要输入用户
13、名”、“全名”、 描述”、“密码”、“确认密码”，并将“用户下次登录时须更改密码”前的对号去掉，选中“用户 不能更改密码”和“密码永不过期”。本例是给第一虚拟主机的用户建立一个匿名访问 Internet信息服务的内置帐号lw1”，即：所有客户端使用访问此虚拟 主机时，都是以这个身份来访问的。输入完成后点创建唧可。可以根据实际需要，创建多 个用户，创建完毕后点“关闭”。（图6）图6第二步：在列表中双击该帐号，以便进一步进行设置：在弹出的lw1” （即刚才创建的新 帐号）属性对话框中点“隶属于”选项卡：刚建立的帐号默认是属于“Users”组，选中该组，点“删 除”：现在出现的是如下图所示，此时再点
14、“添加”：在弹出的“选择组”对话框中找到“Guests”， 点添加”，此组就会出现在下方的文本框中，然后点“确定”：出现的就是如下图所示的内容， 点“确定”关闭此对话框。（图7）也直着呵:lj悉忒地用户和曲市前 .jar.D： MJjJ图73、IIS设置第一步：打开“Internet信息服务”,开始对虚拟主机进行设置，本例中的以对“第一虚 拟主机”设置为例进行说明，右击该主机名，在弹出的菜单中选择属性”，弹出一个“第一虚 拟主机属性”的对话框，从对话框中可以看到该虚拟主机用户的使用的是E:LW1”这个文件 夹。（图8）第一虚撞主机届牲目录安全性HTTP头目定义错误彝r*r Eytensions
15、 2002、网站I性能I邛站工谎也器 主目录i文档 此资源的内容来自：瘴独迁复SEE煎目舅?0r昌-搭m+箕机上的共享）r重定向到皿瑚）本地路径旧）：| |e；w|询览职）一一 |r脚本贫源访问1）p记录访问#读取催）蛤索引资源厂日录洌览 第一虚!以主机应用程序设置妁用户目录应用程序名叫阳应用晶硼除叩I开始位置：潍一虚祖主机配置一 .：执行权限:回脚本；I专家网确定 取消I匚矗（AF*薄诫1应用程序池（X）：DefaultAppF71亍啪混流 |图8第二步：切换到资源管理器”，找到“E:LW1”这个文件夹，右击，选属性”一安全”选项 卡，此时可以看到该文件夹的默认安全设置是“Everyone”
16、完全控制（视不同情况显示的内容 不完全一样），首先将最将下的“允许将来自父系的可继承权限传播给该对象”前面的对号去 掉：此时会弹出如下图所示的“安全”警告，点“删除”。（图9）常规H共享二j可工篇匾）ILW1-击-W.I却，您正阻止任何可跳承投限传擂给最对懿是舌这样撇勺单请前维”谖犀除止密g.一 r允许帽来昌箕础司建款枳隅桧卷始该对控麒一， 5 L 专家 Ril唾 I取澹I .崩二ij三应：上：陛照if河JKj可秘的电A3图9第三步：切换到前面打开的“第一虚拟主机属性”的对话框，打开“目录安全性”选项卡， 点匿名访问和验证控制的“编辑”在弹出的“验证方法”对方框，点“编辑”弹出了“匿名用户帐
17、号，默认的就是“IUSR机器名”，点“浏览”在“选择用户”对话框中找到前面创建的新帐号 版1”，双击此时匿名用户名就改过来了，在密码框中输入前面创建时，为该帐号设置的密 码，再确定一遍密码。OK，完成了，点确定关闭这些对话框。（图10）图10提示：如果该用户需要读取硬盘的分区容量及硬盘的序列号，那这样的设置将使其无 法读取。如果要允许其读取这些和整个分区有关的内容，请右键点击该硬盘的分国卷），选 择“属性”一“安全”，将这个用户的帐号添加到列表中，并至少给予读取”权限。由于该卷下 的子目录都已经设置为“禁止将来自父系的可继承权限传播给该对象”，所以不会影响下面的 子目录的权限设置。小结：经此设置后，“第一虚拟主机”的用户，使用ASP的FileSystemObject组件也只 能访问自己的目录：E:LW1下的内容，当试图访问其他内容时，会出现诸如“没有权限”、“硬 盘未准备好”、“500服务器内部错误”等出错提示了。（图11）图11总结：经过了这样的设置，就算攻击者拿到了 Webshell,至多对当前的网站进行操作， 不会或者不太容易通过提权渗透而对整个Web服务器造成危害。当然，在功与防的斗争中 只会此消彼涨，永远没有最后的胜利者。作为服务器的管理者增强安全意识，提高自身的安 全技能才是关键。
