Tag: 服务器安全预览模式: 普通 | 列表

pjblog博客目录安全详细设置

         最近乐山的服务器被封,整体迁移到上海,但是我的原来的服务器的管理员是中文名,美橙说他们无法登陆,没有办法只能重做系统。pjblog目录的所有安全设置又得重新来过,这里把他记录下来,共勉!
      一,首先设置IIS中pjblog的目录安全。建议首先在用户组新建一个独立用户名,归于guest组或者重建一个组。比如,我这里命名为daokers.cn,可以设置一个复杂的密码
点击放大图片
        建立好用户之后我们去设置iis中pjblog站点的安全,首先选择pjblog的站点目录,点击右键,属性,来到属性框中的“目录安全性”,点击“身份验证和访问控制”的“编辑”,弹出“身份验证方法”对话框,启用匿名访问。
点击放大图片

查看更多...

Tags: PJBLOG 服务器安全

分类:原创天空 | 固定链接 | 评论: 0 | 引用: 0 | 查看次数: 673

加强pjblog中wbc防盗链插件目录的安全性

      pjblog是我们国产asp博客程序中的佼佼者,收到广大网友的喜爱,也包括我这个网虫。很多博友为了防止自己辛辛苦苦写出来的程序和图片被别人盗链,没有流量还无所谓倒把服务器到拖得气喘吁吁。于是防盗链插件便应运而生。wbc防盗链插件是pjblog中应用较多的一个插件,比较成功,它建立数据库每天变换它建立的文件夹的目录名,这样即使你获得了地址,过一天也就失效了,它不仅仅是地址的加密。他建立单独的文件夹和数据库结合md5来达到防盗链的目的.这样便造成一个问题,他建立的文件夹的安全性是否可靠??
     我们做这样一个架设,一天某人拿到了你的博客管理员权限,同时他握有FCKeditor的一个oday,那么此时他就有机会上传webshell,搞定我们的博客。一般而言,我们会给予我们的上传目录“无"的执行权限,使之没有运行脚本的权限,但是如果你安装了wbc防盗链插件,那么你可以查看一下,他的目录权限是什么。
     iis有这么一个习性,如果它的上级目录有”纯脚本“权限,那么你在这个目录下建立文件夹的时候他会给予同样的权限。而我们的pjblog根目录是必须给予脚本权限的,一大堆asp需要运行呢,我们的wbc插件处于同一个目录,也就是说我们的这个插件建立的目录具有脚本权限,即使你现在修改为没有脚本权限,但是只要它重命名,马上就具有脚本权限了。
     哈哈,本人琢磨了一下,这个问题可以这样解决,同样利用iis的这个继承的习性。我们在根目录下建立一个固定的目录,去掉脚本权限,然后把防盗链插件建立的目录放到此目录下,那么问题不是就解决了??
     马上着手,很简单。我们在根目录下建立一个目录antilink目录,去掉脚本权限,然后把wbc防盗链插件目录放进来,然后修改插件源代码。需要修改这3个文件。

查看更多...

Tags: PJBLOG 服务器安全

分类:原创天空 | 固定链接 | 评论: 0 | 引用: 0 | 查看次数: 623

金刀客服务器安全设置笔记

整篇文章思路:
     网站安全:服务器的安全首先来自于网站的安全,网站的安全的重点是数据库的安全。数据库防止下载已经有很多文章(参考http://www.daokers.cn/article.asp?id=438),一般方法有把数据库设置为加入没闭合asp代码的asp文件,IIS中取消数据库目录的读取权限。安装urlscan过滤非法字符防止被注入,限制危险文件类型的访问,限制危险方法的使用(参考http://www.daokers.cn/article.asp?id=440),来防止网站被直接植入Shell。如果找不到漏洞那么就从同服务器的网站下手进行旁注,这时需要给我们的网站建立独立用户,把权限限制在那个网站的文件夹内,防止修改别的网站的数据和提升权限。如果还是搞不定,那么就从服务器同网段下手,这时我们需要为服务器架设防火墙,防止arp欺骗http、ftp密码,ftp服务器使用加密协议传输,重点网站ftp启用ip限制登陆。
     如果网站因为漏洞或者注入,已经被植入了shell,可以设置虚拟目录防止数据库被下载导致更多信息的泄露,删除WSH和Shell组件防止被提权,设置独立匿名用户权限,限制重要文件如cmd.exe等权限。开启主防文件监控和应用程序监控,只允许数据库和上传目录的数据写入,其它所有文件限制添加,修改和删除,这样就使得所有从http页面只能上传文件到这2种目录,无法移动文件,而这2种目录不给予运行权限,堵死通道。
      系统安全:如果被添加了用户但是还没有加入administrator组,我们可以设置explorer.exe权限防止远程登陆,对各个分区设置严密的权限,每个盘去掉users组的权限,这样即使登陆了,也无法游览硬盘资料;如果获得了administrators权限,这是就只能靠HIPS来防护了,以管理员登陆了服务器也无法运行程序,给主动防御软件设置密码,禁止无规则程序的运行,登陆上传木马了也不让运行;开启防火墙,设置密码,木马被运行了也不给开启端口,禁止IE和explorer访问网络;开启应用程序监控,注册表监控,文件监控和网络监控,监视记录整个服务器的运行状况。安全在于人,而绝不仅仅在于安全软件。

查看更多...

Tags: 原创文章 服务器安全

分类:原创天空 | 固定链接 | 评论: 3 | 引用: 0 | 查看次数: 2024

过滤非法url的利器URLScan Tools的使用

     URLScan Tool是一款IIS的安全辅助工具,它可以帮助管理员来加强服务器的安全,它先于iis对用户的请求进行处理,从而使得各项请求符合管理员的规则设置,极大的预防和封堵住各项漏洞的利用和入侵。

    这里先引用一篇文章,它大概介绍了这款软件。
引用内容 引用内容

仔细观察IIS的漏洞,我们几乎可以得出这样一个结论,所有利用这些漏洞实现对网站攻击的手段均是构造特殊的URL来访问网站,一般有以下几种类型的URL可以利用漏洞:

查看更多...

Tags: 原创文章 服务器安全

分类:原创天空 | 固定链接 | 评论: 0 | 引用: 0 | 查看次数: 3256
       前几天在上传附件的时候发现老是提示说我文件格式非法,无法上传,一看我的文件大小204K。我马上想到是忘记修改windows 2003的上传限制了。由于pjblog默认使用的是无组件上传,所以收到服务器的限制,如果你没有修改服务器的权限,那么你只有寻找其他的上传组件来上传你的大文件了。
     首先一定要关闭IIS,可以在cmd中使用命令iisreset /stop。
     解决无组件上传大小的限制,然后在系统目录找到文件%SYSTEMDRIVE%\system32\inetsrv\metabase.xml ,用记事本打开找到ASPMaxRequestEntityAllowed,其默认值是204800,就是200K,一般修改为1024*1024*100=104857600,就是100M了,
     解决下载的限制问题,同样的文件找到AspBufferingLimit,默认是4194304,4M,修改的和上面差不多就行。
     对于存盘我有一个很切身的体会就是修改前一定一定要备份,最开始我修改按保存后去查找这2个关键字,就是找不到,莫名其妙就消失了,原来的位置已经被下一个节点代替,幸好我有备份,我做了2个备份,打开其中一个修改后我用另存为metabase.xml,最终才修改成功,哈哈。

查看更多...

Tags: 原创文章 服务器安全

分类:原创天空 | 固定链接 | 评论: 0 | 引用: 0 | 查看次数: 2511

浅谈防治access数据库被下载

      一个网站的安全成功与否很大程序上取决于你的数据库是否安全,如果你的数据库被下载的话,哪么基本上你的这个网站就是别人的了。网上有很多关于这方面信息,我游览了一些网页结合我自己的一些体会,简单说说我的看法。
    谈数据库的安全首先要看你是虚拟主机的用户还是自己拥有独立的服务器,如果是虚拟主机用户哪么在程序上来防治下载要多想点办法,如果你的服务器呢,可能在权限设置上设置更有效方便。
    首先推荐几篇相关的文章。
防止ACCESS数据库被下载的9种方法
实例讲解Web数据库安全防护

查看更多...

Tags: 原创文章 服务器安全

分类:原创天空 | 固定链接 | 评论: 1 | 引用: 0 | 查看次数: 2315

浅谈服务器中IIS的安全设置

      最近忙着服务器的安全设置的研究,从百度和G上学了不少关于IIS安全方面的知识,今天在网上看到一篇比较好的总结性的文章,写的相当好,可以说完完全全的把我的思路全连接了起来,以前在脑海中可能都是一些零碎的方法,这篇文章基本上总结了全部内容,把思路连贯了起来,加深了我对IIS设置的理解,我摘抄下来发挥一下。

引用内容 引用内容
虽然 Apache 的名声可能比 IIS 好,但我相信用 IIS 来做 Web 服务器的人一定也不少。说实话,我觉得 IIS 还是不错的,尤其是 Windows 2003 的 IIS 6(马上 Longhorn Server 的 IIS 7 也就要来了,相信会更好),性能和稳定性都相当不错。但是我发现许多用 IIS 的人不太会设置 Web 服务器的权限,因此,出现漏洞被人黑掉也就不足为奇了。但我们不应该把这归咎于 IIS 的不安全。如果对站点的每个目录都配以正确的权限,出现漏洞被人黑掉的机会还是很小的(Web 应用程序本身有问题和通过其它方式入侵黑掉服务器的除外)。下面是我在配置过程中总结的一些经验,希望对大家有所帮助。

IIS Web 服务器的权限设置有两个地方,一个是 NTFS 文件系统本身的权限设置,另一个是 IIS 下网站->站点->属性->主目录(或站点下目录->属性->目录)面板上。这两个地方是密切相关的。下面我会以实例的方式来讲解如何设置权限。

查看更多...

Tags: 原创文章 服务器安全

分类:原创天空 | 固定链接 | 评论: 2 | 引用: 0 | 查看次数: 1926