新书推介:《语义网技术体系》
作者:瞿裕忠,胡伟,程龚
   XML论坛     W3CHINA.ORG讨论区     计算机科学论坛     SOAChina论坛     Blog     开放翻译计划     新浪微博  
 
  • 首页
  • 登录
  • 注册
  • 软件下载
  • 资料下载
  • 核心成员
  • 帮助
  •   Add to Google

    >> 请在这里申请版主或申请开新的版面
    [返回] 中文XML论坛 - 专业的XML技术讨论区版务区『 申请版主或申请开版 』 → 如何攻防:网站后门防范及安全配置 查看新帖用户列表

      发表一个新主题  发表一个新投票  回复主题  (订阅本版) 您是本帖的第 19276 个阅读者浏览上一篇主题  刷新本主题   树形显示贴子 浏览下一篇主题
     * 贴子主题: 如何攻防:网站后门防范及安全配置 举报  打印  推荐  IE收藏夹 
       本主题类别: Web Services    
     venus.han 美女呀,离线,快来找我吧!
      
      
      等级:大一(高数修炼中)
      文章:30
      积分:125
      门派:XML.ORG.CN
      注册:2010/10/15

    姓名:(无权查看)
    城市:(无权查看)
    院校:(无权查看)
    给venus.han发送一个短消息 把venus.han加入好友 查看venus.han的个人资料 搜索venus.han在『 申请版主或申请开版 』的所有贴子 引用回复这个贴子 回复这个贴子 查看venus.han的博客楼主
    发贴心情 如何攻防:网站后门防范及安全配置

    虽然说亡羊补牢可以将木马后门造成的损失降至最低,但最好的方法显然是防患于未然。
    1、后门防范基本功
    首先要关闭本机不用的端口或只允许指定的端口访问;其次要使用专杀木马的软件,为了有效地防范木马后门;第三是要学会对进程操作,时时注意系统运行状况,看看是否有一些不明进程正运行并及时地将不明进程终止掉。
    2、安全配置Web服务器
    如果公司或企业建立了主页,该如何保证自己的Web服务器的安全性呢?
    首先要关闭不必要的服务;其次是建立安全账号策略和安全日志;第三是设置安全的IIS,删除不必要的IIS组件和进行IIS安全配置。
    在IIS安全配置时候,要注意修改默认的“Inetpub”目录路径。可以删除C盘的“Inetpub”目录,然后在D盘重建一个“Inetpub”,而后在IIS管理器中将主目录指向新建立的“Inetpub”路径。此外,还需要删除默认的“scripts”、“print”等虚拟目录,然后在IIS管理器中删除不必要的映射,一般情况下保留ASP、ASA就可以了。
    具体方法是在“IIS信息服务”管理器中右击主机名,选择“属性”→“主目录”标签,点击“高级”按钮,在“映射”标签中就可以删除不必要的映射了。另外,在属性窗口中选择“网站”标签,然后勾选“启用日志”,并选择“使用W3C扩充日志文件格式”项,每天记录客户IP地址、用户名、服务器端口、方法、URI字根、HTTP状态、用户代理等,而且每天都应审查日志。
    在上面的基础工作之后,还需要设置Web站点目录的访问权限。
    一般情况下,不要给予目录以写入和允许目录浏览权限,只给予。ASP文件目录以脚本的权限,而不要给予执行权限。在“IIS信息服务”管理器中展开网站的虚拟目录,然后右键点击某个虚拟目录,选择“属性”→“虚拟目录”标签,在“本地路径”下可设置对该目录权限为“读取”或“目录浏览”等。另外也可以通过NTFS分区格式,严格地设置用户目录权限。
    而针对企业中最为核心的数据,更要加强对于Access数据库下载的防护。
    当使用Access作为后台数据库时,如果有人通过各种方法知道或者猜到了服务器的Access数据库的路径和数据库名称,就可以下载这个Access数据库文件,这是非常危险的。因此,一般情况下要更改默认的数据库文件名,为你的数据库文件名称起个复杂的非常规的名字,并把它放在比较深的文件目录下。另外,还可以为Access数据库文件加上打开密码。
    打开IIS网站属性设置对话窗口,选择“主目录”选项卡,点击“配置”按钮,打开“应用程序配置”对话窗口。而后,点击“添加”按钮,在“可执行文件”中输入“asp.dll”,在“扩展名”中输入“。mdb”,勾选“限制为”项,并输入“禁止”,确定应用后完成设置即可。以后,当入侵者企图下载数据时,将会提示禁止访问。
    3.配置安全的SQL服务器
    SQL Server是各种网站系统中使用得最多的数据库系统,一旦遭受攻击,后果是非常严重的。虽然默认的SA用户具有对SQL Server数据库操作的全部权限,但是SA账号的黩认设置为空口令,所以一定要为SA账号设置一个复杂的口令。而且,要严格控制数据库用户的权限,轻易不要给用户直接的查询、更改、插入、删除权限,可以只给用户以访问视图和执行存储过程的权限。
    4.采用合理的软硬件防护
    在基本工作做好后,瓦解了来自内部的威胁和危机,还需要注意外层的防护。如服务器需架设网络层的防火墙,来阻断网络层的入侵,杀毒软件需要安装,实时防护。
    在选择建立网站的Web程序时一定要注意安全性。许多网站系统虽然功能强大,但由于编程人员的安全意识所至,存在着一些很严重的安全漏洞,比如常见的SQL注入漏洞、暴库等,都有可能被黑客利用而产生威胁,因此应用层的防护依然很重要,合理的配置WAF等应用层软硬件来阻断此类困扰,由于应用层的硬件价格较为高昂,可只选用软件或者寻求IT服务商酌情处理。
    5. 及时备份
    我们平时还应该做好网站服务器的数据备份,以便在出现意外时及时地进行数据恢复。这是最后的屏障,其实形成了完整的防御体系一般是不会出现意外的,但是有些网站管理员在管理中会出现疏忽,求捷径,图省事,就会出现各种各样的漏洞,给黑客以可乘之机。因此一定要慎重,千万不要到了收到损失才想起补救。

       收藏   分享  
    顶(0)
      




    点击查看用户来源及管理<br>发贴IP:*.*.*.* 2010/10/22 11:01:00
     
     GoogleAdSense
      
      
      等级:大一新生
      文章:1
      积分:50
      门派:无门无派
      院校:未填写
      注册:2007-01-01
    给Google AdSense发送一个短消息 把Google AdSense加入好友 查看Google AdSense的个人资料 搜索Google AdSense在『 申请版主或申请开版 』的所有贴子 访问Google AdSense的主页 引用回复这个贴子 回复这个贴子 查看Google AdSense的博客广告
    2024/3/28 17:41:27

    本主题贴数1,分页: [1]

    管理选项修改tag | 锁定 | 解锁 | 提升 | 删除 | 移动 | 固顶 | 总固顶 | 奖励 | 惩罚 | 发布公告
    W3C Contributing Supporter! W 3 C h i n a ( since 2003 ) 旗 下 站 点
    苏ICP备05006046号《全国人大常委会关于维护互联网安全的决定》《计算机信息网络国际联网安全保护管理办法》
    58.594ms