0
2007/12/03 
20:19 
625
来自：AmxKing's BLOG
WindowsServer2003 + IIS6.0 + ASP + NET + PHP + PERL + MSSQL + MYSQL 最新服务器安全设置技术实例
1、服务器安全设置之--硬盘权限篇
? 这里着重谈需要的权限，也就是最终文件夹或硬盘需要的权限，可以防御各种木马入侵，提权攻击，跨站攻击等。本实例经过多次试验，安全性能很好，服务器基本没有被木马威胁的担忧了。
硬盘或文件夹: C:\ D:\ E:\ F:\ 类推
主要权限部分： 其他权限部分：
Administrators 完全控制 无
如 果安装了其他运行环境，比如PHP等，则根据PHP的环境功能要求来设置硬盘权限，一般是安装目录加上users读取运行权限就足够了，比如c:\php 的话，就在根目录权限继承的情况下加上users读取运行权限，需要写入数据的比如tmp文件夹，则把users的写删权限加上，运行权限不要，然后把虚 拟主机用户的读权限拒绝即可。如果是mysql的话，用一个独立用户运行MYSQL会更安全，下面会有介绍。如果是winwebmail，则最好建立独立 的应用程序池和独立IIS用户，然后整个安装目录有users用户的读/运行/写/权限，IIS用户则相同，这个IIS用户就只用在winwebmail 的WEB访问中，其他IIS站点切勿使用，安装了winwebmail的服务器硬盘权限设置后面举例
WindowsServer2003 + IIS6.0 + ASP + NET + PHP + PERL + MSSQL + MYSQL 最新服务器安全设置技术实例
1、服务器安全设置之--硬盘权限篇
? 这里着重谈需要的权限，也就是最终文件夹或硬盘需要的权限，可以防御各种木马入侵，提权攻击，跨站攻击等。本实例经过多次试验，安全性能很好，服务器基本没有被木马威胁的担忧了。
硬盘或文件夹: C:\ D:\ E:\ F:\ 类推
主要权限部分： 其他权限部分：
Administrators 完全控制 无
如 果安装了其他运行环境，比如PHP等，则根据PHP的环境功能要求来设置硬盘权限，一般是安装目录加上users读取运行权限就足够了，比如c:\php 的话，就在根目录权限继承的情况下加上users读取运行权限，需要写入数据的比如tmp文件夹，则把users的写删权限加上，运行权限不要，然后把虚 拟主机用户的读权限拒绝即可。如果是mysql的话，用一个独立用户运行MYSQL会更安全，下面会有介绍。如果是winwebmail，则最好建立独立 的应用程序池和独立IIS用户，然后整个安装目录有users用户的读/运行/写/权限，IIS用户则相同，这个IIS用户就只用在winwebmail 的WEB访问中，其他IIS站点切勿使用，安装了winwebmail的服务器硬盘权限设置后面举例
+---------------------------------+
| 译/ayazero www.ph4nt0m.org |
| Contact：zhaoyan@nsfocus.com |
| Date：2004/11/23 |
+---------------------------------+
英文原文:
http://www.securityfocus.com/infocus/1811
本文涉及的技术原理都不是新的,对研究人员没什么特别大的价值,
不过对工程人员应急相应来说不失为一种新的方法.
【理解攻击向量】
前面两段废话直接掠过...实在浪费感情-_-!
内核rookit通常以系统调用为攻击目标,主要出于两个原因:
a.在内核态劫持系统调用能以较小的代价控制整个系统,不必修太多东西;
b.应用层大多数函数是一个或多个系统调用不同形式的封装,更改系统调用意味着其上层所有的
函数都会被欺骗;
| 译/ayazero www.ph4nt0m.org |
| Contact：zhaoyan@nsfocus.com |
| Date：2004/11/23 |
+---------------------------------+
英文原文:
http://www.securityfocus.com/infocus/1811
本文涉及的技术原理都不是新的,对研究人员没什么特别大的价值,
不过对工程人员应急相应来说不失为一种新的方法.
【理解攻击向量】
前面两段废话直接掠过...实在浪费感情-_-!
内核rookit通常以系统调用为攻击目标,主要出于两个原因:
a.在内核态劫持系统调用能以较小的代价控制整个系统,不必修太多东西;
b.应用层大多数函数是一个或多个系统调用不同形式的封装,更改系统调用意味着其上层所有的
函数都会被欺骗;
by axis
2007-11-23
http://www.ph4nt0m.org
QQ网站登录处没有使用https进行加密，而是采用了RSA非对称加密来保护传输过程中的
密码以及敏感信息的安全性。 QQ是在javascript中实现整个过程的。这个想法非常新
颖，详细可以参考云舒写过的 《RSA非对称加密的一些非常规应用》，地址为
http://www.icylife.net/yunshu/show.php?id=471
这个原理简单描述为下：
1. 在server端生成一对RSA密钥，包括public key 和 private key
2. public key传输给客户端浏览器， 客户端浏览器用public key加密敏感数据，比如
密码；加密后的密文传回给server，然后server用 private key解密。
3. 注意private key只保存在server端，而public key则分发给所有人。 由于
private key只有server知道，所以密文即使被截获了，也无法解开。
这个解决方案其实还是非常好的，至少他防住了大部分的攻击，但是为什么说它是无法
替代https，是有缺陷的呢？
2007-11-23
http://www.ph4nt0m.org
QQ网站登录处没有使用https进行加密，而是采用了RSA非对称加密来保护传输过程中的
密码以及敏感信息的安全性。 QQ是在javascript中实现整个过程的。这个想法非常新
颖，详细可以参考云舒写过的 《RSA非对称加密的一些非常规应用》，地址为
http://www.icylife.net/yunshu/show.php?id=471
这个原理简单描述为下：
1. 在server端生成一对RSA密钥，包括public key 和 private key
2. public key传输给客户端浏览器， 客户端浏览器用public key加密敏感数据，比如
密码；加密后的密文传回给server，然后server用 private key解密。
3. 注意private key只保存在server端，而public key则分发给所有人。 由于
private key只有server知道，所以密文即使被截获了，也无法解开。
这个解决方案其实还是非常好的，至少他防住了大部分的攻击，但是为什么说它是无法
替代https，是有缺陷的呢？
来源：安全焦点
作者：backspray (nimaozhi_at_163.com)
近来与Arp相关恶意软件越来越猖獗，受害者的也不少，国内的各大杀毒厂商也纷纷推出Arp防火墙。但大部分防火墙虚有其表，原因下面会具体介绍。这篇文章不是科普，主要是思路，更想起到抛砖引玉的作用。让世界清静一点。此外，末学接触并熟悉Arp协议到写出Arp欺骗和反欺骗的test code，前前后后也不过一个星期多一点的时间。经验有限，疏漏之处，再所难免，各位见谅。
Arp协议和Arp欺骗这里就不做介绍了。网络这方面的文章比比皆是。
为了便于理解，下面构造一些名词：
假如局域网内，有网关，发起欺骗的主机（以下简称欺骗主机），受骗主机
双向欺骗：欺骗主机使得网关认为欺骗主机是受骗主机同时让受骗主机认为欺骗主机是网关；
单向欺骗网关：欺骗主机只使网关认为欺骗主机是受骗主机；
单向欺骗目标主机：欺骗主机只使受骗主机认为它是网关；
Arp除了能sniffer之外，现在比较流行的做法就是利用Arp进行HTTP挂马的情况了。所以下面考虑的影响基本以这个角度的方面来衡量。
由于环境不同，继续往下分，一个机房被Arp欺骗的情，机房一般以服务器为主，对外发的数据多以http应答包为主，此时单向欺骗目标主机的危害比较大。另外一个普通的公司，家庭，及网吧之类的局域网环境，对外发的数据多以http请求为主，接收的数据多以http应答包为主，此时单向欺骗网关危害比较大。
还有的就是和网关有关了，网关简单的先分两种：
1、支持IP和mac绑定的；
2、不支持IP和mac绑定。
支持IP和mac绑定的网关都好办，所以这里就不讨论这种情况了，主要讨论不支持IP和mac绑定的情况：
作者：backspray (nimaozhi_at_163.com)
近来与Arp相关恶意软件越来越猖獗，受害者的也不少，国内的各大杀毒厂商也纷纷推出Arp防火墙。但大部分防火墙虚有其表，原因下面会具体介绍。这篇文章不是科普，主要是思路，更想起到抛砖引玉的作用。让世界清静一点。此外，末学接触并熟悉Arp协议到写出Arp欺骗和反欺骗的test code，前前后后也不过一个星期多一点的时间。经验有限，疏漏之处，再所难免，各位见谅。
Arp协议和Arp欺骗这里就不做介绍了。网络这方面的文章比比皆是。
为了便于理解，下面构造一些名词：
假如局域网内，有网关，发起欺骗的主机（以下简称欺骗主机），受骗主机
双向欺骗：欺骗主机使得网关认为欺骗主机是受骗主机同时让受骗主机认为欺骗主机是网关；
单向欺骗网关：欺骗主机只使网关认为欺骗主机是受骗主机；
单向欺骗目标主机：欺骗主机只使受骗主机认为它是网关；
Arp除了能sniffer之外，现在比较流行的做法就是利用Arp进行HTTP挂马的情况了。所以下面考虑的影响基本以这个角度的方面来衡量。
由于环境不同，继续往下分，一个机房被Arp欺骗的情，机房一般以服务器为主，对外发的数据多以http应答包为主，此时单向欺骗目标主机的危害比较大。另外一个普通的公司，家庭，及网吧之类的局域网环境，对外发的数据多以http请求为主，接收的数据多以http应答包为主，此时单向欺骗网关危害比较大。
还有的就是和网关有关了，网关简单的先分两种：
1、支持IP和mac绑定的；
2、不支持IP和mac绑定。
支持IP和mac绑定的网关都好办，所以这里就不讨论这种情况了，主要讨论不支持IP和mac绑定的情况：
Linux联盟收集整理
１．Accounts检查
# less /etc/passwd
＃ grep :0: /etc/passwd
注意新的用户，和UID,GID是0的用户．
２．Log检查
注意“entered promiscuous mode”
注意错误信息
注意Remote Procedure Call (rpc) programs with a log entry that includes a large number (> 20) strange characters(-^PM-^PM-^PM-^PM-^PM-^PM-^PM-^PM)
最后一条目前还没理解，也没碰到过，请指点．
１．Accounts检查
# less /etc/passwd
＃ grep :0: /etc/passwd
注意新的用户，和UID,GID是0的用户．
２．Log检查
注意“entered promiscuous mode”
注意错误信息
注意Remote Procedure Call (rpc) programs with a log entry that includes a large number (> 20) strange characters(-^PM-^PM-^PM-^PM-^PM-^PM-^PM-^PM)
最后一条目前还没理解，也没碰到过，请指点．
