作者: Syzygiter 浏览量: 1,938
VPS——服务器安全-上海赛基特信息科技有限公司

VPS——服务器安全

服务器安全是非常重要的，如果用户对服务器的网站和FTP都进行了配置，并且正常运行后，如果不注意服务器的安全，很容易被黑客侵袭，导致不可挽回的后果。所以这节站长会给大家介绍一下VPS的安全设置。当然，我们这里说的服务器安全还是值在Win2003系统上的。

一、防止木马

1、删除以下注册表主键

WScript.Shell
WScript.Shell.1
Shell.application
Shell.application.1
WSCRIPT.NETWORK
WSCRIPT.NETWORK.1

regsvr32/u wshom.ocx
regsvr32/u wshext.dll
regsvr32/u C:WINNTSystem32wshom.ocx
del C:WINNTSystem32wshom.ocx
regsvr32/u C:WINNTsystem32shell32.dll
del C:WINNTsystem32shell32.dll

再wshom.ocx和 wshext.dll两个文件权限设置为ADMINISTRATOR组完全权限所有

2、改名不安全组件

需要注意的是组件的名称和CLSID都要改，并且要改彻底了。下面以Shell.application为例来介绍方法。

打开注册表编辑器【开始→运行→regedit】，然后【编辑→查找→填写Shell.application→查找下一个】，用这个方法能找到两个注册表项：“{13709620-C279-11CE-A49E-444553540000}”和“Shell.application”。为了确保万无一失，把这两个注册表项导出来，保存为 .reg 文件。

比如我们想把13709620-C279-11CE-A49E-444553540000 改名为 13709620-C279-11CE-A49E-444553540001
Shell.application 改名为 Shell.application_jiangshouying

那么，就把刚才导出的.reg文件里的内容按上面的对应关系替换掉，然后把修改好的.reg文件导入到注册表中（双击即可），导入了改名后的注册表项之后，别忘记了删除原有的那两个项目。这里需要注意一点，CLSID中只能是十个数字和ABCDEF六个字母。

下面是站长已经做好的注册表文件，网友可以复制下面的代码进记事本，然后保存为.reg的文件导入注册表即可。

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}]
@=”Shell Automation Service”

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}InProcServer32]
@=”C:\WINNT\system32\shell32.dll”
“ThreadingModel”=”Apartment”

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}ProgID]
@=”Shell.Application_jiangshouying.1″

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}TypeLib]
@=”{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}”

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}Version]
@=”1.1″

[HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540001}VersionIndependentProgID]
@=”Shell.Application_jiangshouying”

[HKEY_CLASSES_ROOTShell.Application_jiangshouying]
@=”Shell Automation Service”

[HKEY_CLASSES_ROOTShell.Application_jiangshouyingCLSID]
@=”{13709620-C279-11CE-A49E-444553540001}”

[HKEY_CLASSES_ROOTShell.Application_jiangshouyingCurVer]
@=”Shell.Application_jiangshouying.1″

二、设置目录的权限

c:windows
administrators 全部
system 全部
Users 读取和运行(此权限最后调整完成后可以取消)

c:Program Files
Everyone 只有该文件夹
不是继承的
列出文件夹/读数据
administrators 全部
iis_wpg 只有该文件夹
列出文件/读数据
读属性
读扩展属性
读取权限

c:windowstemp
Administrator 全部权限
System 全部权限
users 全部权限
c:Program FilesCommon Files
administrators 全部
Creator owner
不是继承的
只有子文件夹及文件
完全
Power Users
修改，读取和运行，列出文件夹目录，读取，写入
system 全部
TERMINAL SERVER Users(如果有这个用户)
修改，读取和运行，列出文件夹目录，读取，写入
Users 读取和运行，列出文件夹目录，读取

c:windowsphp.ini
administrators 全部
system 全部权限
SERVICE 全部
Users 只读和运行

三、设置系统安全策略

账户策略 密码策略：
密码设定最小值不能少于10位
密码设定需要保证复杂性
登陆计数器需要开启
本地策略 审核策略：
审核策略更改：成功
审核登陆事件：成功、失败
审核目录服务访问：成功
审核特权使用：成功
审核系统事件：成功、失败
审核账户登陆事件：成功、失败
审核账户管理：成功
本地策略 本地策略：
不显示上次的登陆名：启用
只有本地用户才能访问cd-rom：启用
只有本地用户才能访问软驱：启用

四、网络设置

PCI网络适配器。分别为 Public,Private
实际使用中会改为相关IP
A.网卡顺序调整为外网卡优先，顺序为：
a) 公用网络
b) 专用网络
c) 远程访问连接
B.公网网卡设置：
General
1.配置：Link Speed/Duplex Mode：auto mode
2.TCP/IP
高级 WINS：禁用TCP/IP NetBios
高级 选项 TCP/IP筛选：启用TCP/IP筛选，只开放所需TCP端口
删除文件和打印机共享协议[File and Printer Sharing for Microsoft Networks]
Advanced
1.启用Internet Connection Firewall—settings—Remote Desktop
2.Security Logging,ICMP协议的设置

五、本地安全性设置

本地安全设置>本地策略>安全选项
网络访问>不允许SAM帐户的匿名枚举 启用
网络访问>可匿名的共享 将后面的值删除
网络访问>可匿名的命名管道 将后面的值删除
网络访问>可远程访问的注册表路径 将后面的值删除
网络访问>可远程访问的注册表的子路径 将后面的值删除
网络访问>限制匿名访问命名管道和共享
帐户>重命名来宾帐户guest
帐户>重命名系统管理员帐户

六、用户安全设置

1、禁用Guest账号
在计算机管理的用户里面把Guest账号禁用。为了保险起见，最好给Guest加一个复杂的密码。你可以打开记事本，在里面输入一串包含特殊字符、数字、字母的长字符串，然后把它作为Guest用户的密码拷进去。
2、限制不必要的用户
去掉所有的Duplicate User用户、测试用户、共享用户等等。用户组策略设置相应权限，并且经常检查系统的用户，删除已经不再使用的用户。这些用户很多时候都是黑客们入侵系统的突破口。
3、把系统Administrator账号改名
大家都知道，Windows 2003 的Administrator用户是不能被停用的，这意味着别人可以一遍又一遍地尝试这个用户的密码。尽量把它伪装成普通用户，比如改成Guesycludx。
4、创建一个陷阱用户
什么是陷阱用户?即创建一个名为“Administrator”的本地用户，把它的权限设置成最低，什么事也干不了的那种，并且加上一个超过10位的超级复杂密码。这样可以让那些 Hacker们忙上一段时间，借此发现它们的入侵企图。
5、把共享文件的权限从Everyone组改成授权用户
任何时候都不要把共享文件的用户设置成“Everyone”组，包括打印共享，默认的属性就是“Everyone”组的，一定不要忘了改。
6、开启用户策略
使用用户策略，分别设置复位用户锁定计数器时间为20分钟，用户锁定时间为20分钟，用户锁定阈值为3次。 （该项为可选）
7、不让系统显示上次登录的用户名
默认情况下，登录对话框中会显示上次登录的用户名。这使得别人可以很容易地得到系统的一些用户名，进而做密码猜测。修改注册表可以不让对话框里显示上次登录的用户名。方法为：打开注册表编辑器并找到注册表“HKLMSoftwareMicrosoftWindows TCurrentVersionWinlogonDont-DisplayLastUserName”，把REG_SZ的键值改成1。

七、系统权限设置

1、磁盘权限
系统盘及所有磁盘只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘Documents and SettingsAll Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限
系统盘WindowsSystem32cacls.exe、cmd.exe、net.exe、net1.exe、ftp.exe、tftp.exe、telnet.exe 、 netstat.exe、regedit.exe、at.exe、attrib.exe、format.com、del文件只给 Administrators 组和SYSTEM 的完全 控制权限
另将<systemroot>System32cmd.exe、format.com、ftp.exe转移到其他目录或更名
Documents and Settings下所有些目录都设置只给adinistrators权限。并且要一个一个目录查看，包括下面的所有子目录。
删除c:inetpub目录

2、本地安全策略设置
开始菜单—>管理工具—>本地安全策略
A、本地策略——>审核策略
审核策略更改——成功、失败
审核登录事件——成功、失败
审核对象访问——失败
审核过程跟踪——无审核
审核目录服务访问——失败
审核特权使用——失败
审核系统事件——成功、失败
审核账户登录事件——成功、失败
审核账户管理——成功、失败
B、本地策略——>用户权限分配
关闭系统：只有Administrators组、其它全部删除。
通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除
C、本地策略——>安全选项
交互式登陆：不显示上次的用户名——启用
网络访问：不允许SAM帐户和共享的匿名枚举——启用
网络访问：不允许为网络身份验证储存凭证——启用
网络访问：可匿名访问的共享——全部删除
网络访问：可匿名访问的命——全部删除
网络访问：可远程访问的注册表路径——全部删除
网络访问：可远程访问的注册表路径和子路径——全部删除
帐户：重命名来宾帐户——重命名一个帐户
帐户：重命名系统管理员帐户——重命名一个帐户

3、禁用不必要的服务 开始-运行-services.msc
TCP/IPNetBIOS Helper提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享
文件、打印和登录到网络
Server支持此计算机通过网络的文件、打印、和命名管道共享
Computer Browser 维护网络上计算机的最新列表以及提供这个列表
Task scheduler 允许程序在指定时间运行
Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息
Distributed File System: 局域网管理共享文件，不需要可禁用
Distributed linktracking client：用于局域网更新连接信息，不需要可禁用
Error reporting service：禁止发送错误报告
Microsoft Serch：提供快速的单词搜索，不需要可禁用
NTLMSecuritysupportprovide：telnet服务和Microsoft Serch用的，不需要可禁用
PrintSpooler：如果没有打印机可禁用
Remote Registry：禁止远程修改注册表
Remote Desktop Help Session Manager：禁止远程协助
Workstation 关闭的话远程NET命令列不出用户组
以上是在Windows Server 2003 系统上面默认启动的服务中禁用的，默认禁用的服务如没特别需要的话不要启动。

4、修改注册表

a)隐藏重要文件/目录可以修改注册表实现完全隐藏
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows Current-VersionExplorerAdvancedFolderHi-ddenSHOWALL”，鼠标右击 “CheckedValue”，选择修改，把数值由1改为0

b)防止SYN洪水攻击
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters
新建DWORD值，名为SynAttackProtect，值为2
新建EnablePMTUDiscovery REG_DWORD 0
新建NoNameReleaseOnDemand REG_DWORD 1
新建EnableDeadGWDetect REG_DWORD 0
新建KeepAliveTime REG_DWORD 300,000
新建PerformRouterDiscovery REG_DWORD 0
新建EnableICMPRedirects REG_DWORD 0

c)禁止响应ICMP路由通告报文
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersInterfacesinterface
新建DWORD值，名为PerformRouterDiscovery 值为0

d)防止ICMP重定向报文的攻击
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters
将EnableICMPRedirects 值设为0

e)不支持IGMP协议
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters
新建DWORD值，名为IGMPLevel 值为0

f)禁止IPC空连接：
黑客可以利用net use命令建立空连接，进而入侵，还有net view，nbtstat这些都是基于空连接的，禁止空连接就好了。
Local_MachineSystemCurrentControlSetControlLSA-RestrictAnonymous 把这个值改成”1”即可。

g)更改TTL值
黑客可以根据ping回的TTL值来大致判断你的操作系统，如：
TTL=107(WINNT);
TTL=108(win2000);
TTL=127或128(win9x);
TTL=240或241(linux);
TTL=252(solaris);
TTL=240(Irix);
实际上你可以自己改的：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters：DefaultTTL REG_DWORD 0-0xff(0-255 十进制,默认值128)改成一个莫名其妙的数字如258，起码让那些小菜鸟晕上半天，就此放弃入侵你也不一定哦

h)删除默认共享
有人问过我一开机就共享所有盘，改回来以后，重启又变成了共享是怎么回事，这是2K为管理而设置的默认共享，HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters：AutoShareServer类型是REG_DWORD把值改为0即可

i)禁止建立空连接
默认情况下，任何用户通过通过空连接连上服务器，进而枚举出帐号，猜测密码。我们可以通过修改注册表来禁止建立空连接：
Local_MachineSystemCurrentControlSetControlLSA-RestrictAnonymous 的值改成”1”即可。

j)建立一个记事本，填上以下代码。保存为*.bat并加到启动项目中
net share c$Content$nbsp;/del
net share d$Content$nbsp;/del
net share e$Content$nbsp;/del
net share f$Content$nbsp;/del
net share ipc$Content$nbsp;/del
net share admin$Content$nbsp;/del

至此，VPS的安全设置到此结束，还有其他很多静止Serv-U提权等不在本文讨论范围。

联系电话
QQ客服
  • Syzygiter 点击这里给我发消息
销售邮箱
  • 销售邮箱
Skype
  • Syzygiter
关注微信
  • 官方微信公众号