2000系统安全配制过程
2016-10-16 16:49:35 来源： 浏览： 次
导读：2000系统安全配制过程（硬防设置 阻止这台服务器 tcp 20 ~ 3000端口，等设置好了再取消）把C盘权限重新调整一次administrators syste
2000系统安全配制过程
（硬防设置 阻止这台服务器 tcp 20 ~ 3000端口，等设置好了再取消）
把C盘权限重新调整一次administrators system组完全控制，并往下继承
再给program files 和winnt 加users一般默认权限，不用特别设置往下继承。temp加everyone 非完全控制
E盘也设置administrators system组完全控制，并往下继承
E:
md bak
md soft
md servUlogs
exit
C:/Inetpub目录一般都删除（需要保留mail目录）
guset改名禁止，添加client组（虚拟主机用户组）
帐号安全策略设置一下
系统配制window2000,所安装的软件有serv_u5.2,SQLserver2000.这个服务器主要用来做虚拟主机。
一．系统分区：C区分10Ｇ用作系统分区,余下的空间分为E区用作备份。D盘单独硬盘放客户web站点和sql数据库
二．安装组件：把没有用的组件删除，ＩＩＳ中剩下“internet服务管理器”，“word wide web服务器”，“公用文件”。附件只剩下“记事本”。“索引服务”，“终端服务”。
四．先打上ＳＰ４，冲击波，震振波的补丁。
五．进入本地连接属性中把“些连接使用下列选定组件”中只选中“ＴＣＰ／ＩＰ”。进入“ＴＣＰ／ＩＰ”属性中写入ＩＰ地址，ＤＮＳ等。点选“高级”－“ＷＩＮＳ”去掉“启用ＬＯＨＯＳＴ”前面的勾。选中“禁用ＴＣＰ／ＩＰ上的ＮＥＴＢＩＯＳ”。
六．上网打全ＷＩＮ2000的补丁。停止网络在Ｄ区安装ＳＱＬ２０００并打ＳＰ３接上网络。
七．很系统中的administrator帐号设置一个复杂的密码。Ｇｕｅｓｔ改名，删除TsInternetUser。
八．进入“本地安全策略”，“帐户策略”把“密码长度最小值”改成８。启用“帐户锁定策略”。把“帐户锁定阀值”设成３。进入“本地策略”，“审核策略”安自己的需要启用这些策略。进入“安全选项”把“ＬＡＮ Ｍａｎａｇｅｒ身分验证级别”改为“公发送ＮＴＬＭ响应”。启用“登录屏幕上不要显示上次登录用户名”。把“对匿名连接的额外限制”改为“没有显式匿名权限就无法访问”。启用“在关机时清理虚拟内存页面交换文件”。
九．“Ｉｐ安全策略，在本地机器”下载 http://w1.w1.dvbbs.net/dv.ipsec。
十．关闭你一些不必要的服务。列表如下：Alerter，ClipBook，Computer Browser，DHCP Client，Distributed File System，DNS Client，Fax Service，Intersite Messaging，Kerberos Key Distribution Center，License Logging Service，Messenger，Net Logon，NetMeeting Remote Desktop Sharing，Print Spooler，Remote Registry Service，Server，TCP/IP NetBIOS Helper Service，Telnet，Workstation。
十八．“设置ＩＩＳ”：进入到“Ｉｎｔｅｒｎｅｔ服务管理器”先把默认网站中的内容全删除。再把默认网站删除或停用，如果是停用那你的这个站点的目录指到Ｅ盘一个文件目录中。把Ｃ区中的Ｉｎｔｒｐｕｂ目录也就默认网站原来指向目录的根目录删除。去掉默认网站的ＡＳＰ执行权限。
下面可以电话问我或者对照11.164设置
２．进入“Ｉｎｔｅｒｎｅｔ服务管理器”新建一个站点文件路径指到Ｅ区中相应的目录中。进入站点属性把“日志”取消。修改“连接”，“限制到”一般改成200就可以了。点“高级”给网站加上一个域名。点击“性能”选中“启用带宽限制”一般给200Ｋ／ｓ。选中“启用进程限制”一般给５％，并选中“强制性限制”。点击“主目录”在执行许可中选中“纯脚本”如果你的站点只是一些静态页面。这里就选“无”。其他各项不用改。点击“配置”把“应用程序映射”中除.asp和.asa以外的所有删除掉。点击“应用程序调试”在“脚本错消息”中选“发送文本错误消息给客户”。点击“目录安全性”选中匿名访问和验证控制“编辑”把匿名访问帐号改成和Ｅ区的那个目录中的匿名帐号一样。
了解如下服务
windows2000服务安全与建议
Alerter
服务方向: 负责向用户通报管理警报,该服务和Mesenger服务一起工作,后者接收并路由前者的信息.
可执行文件: %systemRoot%\system32\services.exe
风险: 潜在可能导致社会工程攻击
建议: 将Alerter服务发出的警告限定为只由管理员接收.
Application Management
服务方向: 提供和active directory之间的通信.通过group policy(组策划)来指定,发布并删除在系统中安装的应用程序.
可执行文件: winnt\system32\services.exe
风险: 无
建议: 非组策略使用应用程序,最好禁用该服务.
Boot Information Negotiation Layer
服务方向: 与Remote Installation Service(RIS)一起使用,除有需要通过RIS安装操作系统,否则不要运行.
可执行文件: winnt\system32\services.exe
风险: 无
Brower
服务方向: 负责保存网络上的计算机列表,并将该列表提供给那些请求得到该列表的程序
可执行文件: winnt\system32\services.exe
风险: 暴露有关网络的信息
建议: 禁止
Indexing
服务方向: 负责索引磁盘上的文档和文档属性,并且在一个目录中保存信息,使得你在以后可以搜索他们.
可执行文件: winnt\system32\services.exe
风险: 其为IISweb服务器上诸多安全弱点的根源
建议: 除非特别需要,否则禁止.
ClipBook
服务方向: ClipBook支持ClipBook Viewer程序,该程序可以允许剪贴页被远程计算机上的ClipBook浏览.可以使得用户能够通过网络连接来剪切和粘贴文本和图形.
可执行文件: winnt\system32\Clipsrv.exe
风险: 潜在被非法用于远程访问ClipBook剪贴页面
建议: 禁止
Distributed File System
服务方向: 允许创建单一逻辑盘.文件分布在网络上不同位置.
可执行文件: winnt\system32\Dfssrc.exe
风险: 暂无已知风险
建议: 禁止(会产生disk error,可忽略该错误)
DHCP client
服务方向: 通过注册和更新IP地址和DNS域名来管理网络配置.
可执行文件: winnt\system32\services.exe
风险: 无已知风险
建议:为服务器分配一个静态IP
Logical Disk Manager Administrative
服务方向: 用于管理逻辑盘
可执行文件: winnt\system32\dmadmin.exe
风险: 暂无已知风险
建议:将服务的启动类型设为手动(Manual)
Logical Disk Manager
服务方向: 该服务为 Logical Disk Manager Watchdog 服务.负责管理动态磁盘的服务.
可执行文件: winnt\system32\services.exe
风险: 无已知风险
建议: 系统运行时需要,保持默认得自动启动
DNS Server
服务方向: 负责解答DNS域名查询
可执行文件: winnt\system32\dns.exe
风险: 无已知风险
建议: 因其通常是导致许多安全性弱点的根源,该服务应谨慎使用.
DNS Client
服务方向: 用于缓存DNS查询来进行记录.可用于某个入侵检测系统的DNS查询,可加速DNS查询的速度.
可执行文件: winnt\system32\services.exe
风险: 无已知风险,但攻击者可以查看你的缓存内容.确定你所访问过的网站. 命令行形式为(ipconfig/displaydns)
建议:可停可不停
Event Log
服务方向:Event Log服务负责记录来自系统和运行中程序的管理事件消息.虽然该服务功能有限,并具有一些小问题,但是该服务可以用于入侵检测和系统监视.
可执行文件: winnt\system32\services.exe
风险: 无已知风险
建议: 该服务应该被启动,尤其实在独立服务器上.
COM+Eent System
服务方向: 提供自动事件分布功能来订阅COM组件.
可执行文件: winnt\system32\svchost.exe -k nesvcs
风险: 无已知风险
建议: 如果该服务不需要已安装的任何程序所使用,你可以禁用COM+Event System 和 System Event Notification服务.
Fax
服务方向: 它负责管理传真的发送和接收.
可执行文件: winnt\system32\faxsvc.exe
风险: 无已知风险
建议: 对于服务器而言,不需要也不建议使用该服务,除非该服务器专门被指定为用做一个传真服务器.
Single Instance Storage Groveler
服务方向: 该服务和Remote Installation服务一起使用.扫描单一实例存储卷来寻找重复的文件,并将重复文件指向某个数据存储点以节省磁盘空间.
风险: 无已知风险
建议: 除非你需要使用 Remote Installation 服务,否则请停止它.
Internet Authentication Service
服务方向: 用于认证拨号和VPN用户.
可执行文件: winnt\system32\svchost.exe -k netsvcs
风险: 无已知风险
建议: 显然除了在拨号和VPN服务器上,该服务不应该使用.禁止.
IIS Admin
服务方向: IIS Admin服务允许通过Internet Services Manager MMC程序面板来对IIS服务进行管理.
可执行文件: winnt\system32\inetsrv\inetinfo.exe
风险: 无已知风险
建议: 如果服务器正在运行Inetrnet服务,则该服务是需要的.如果没有运行任何Inetrnet服务,则应当从Control Panel,Add and Remove Programs中卸载Internet Information Server,这样IIS Admin服务也将被卸载.
Intersite Messaging
服务方向: Intersite Messaging服务和Active Directory replication一起使用.
可执行文件: winnt\system32\ismserv.exe
风险: 无已知风险
建议: 除了Active Directory服务器之外,不需要也不建议使用该服务.
Kerberos Key Distribution Center
服务方向: 这是个域服务,提供了Kerberos认证服务(AS Authentication Service)和票证授予服务(TGT,Ticket-Granting Service)
可执行文件: winnt\system32\lsass.exe
风险: 没有已知风险
建议: Kerberos Key Distribution Center服务和位于某个域控制器是的Active Directory一起工作的,而且不能被停止,除了在域控制器上,该服务不应该在其他计算机上运行.
Server
服务方向: 该服务提供RPC支持以及文件,打印和命名管道共享,Server服务是作为文件系统驱动器来实现的,可以处理I/O请求.
可执行文件: winnt\system32\services.exe
风险: 如果没有提供适当地用户保护,会暴露系统文件和打印机资源
建议: 除非你打算在windows网络上共享文件或打印机,否则不需要运行该服务. (附言: 对以2000而言,这个是一个高风险服务,2000的用户多知道默认共享吧,就是该服务的问题,如果不禁止,每次注销或开机,默认共享就会打开,你的所以重要信息都将暴露.例如winnt文件夹.大家都应该知道他对于2000的重要.除非你的密码够安全,否则这个共享将是你机子的死穴!!!!)
服务方向: 该服务保存一个共享对话(shared conversation)
数据库,这样当某个Network DDE共享被访问时,共享会话将被应用,并且安全性检测系统将确定请求这是否被允许访问.
可执行文件: winnt\system32\netdde.exe
风险: 没有已知风险
建议: 该服务应当设置为手工启动
Net Logon
服务方向: 支持为域中计算机进行的帐号登录事件的传递认证(pass-through authentication).
可执行文件: winnt\system32\lsass.exe
风险: 可以用于对强力密码攻击进行传递
建议: 该服务不应当在那些不作为域中一部分的独立服务器上使用.禁止.
Network Connections
服务方向: 该服务负责管理Network and Dial-Up Connections文件夹中的对象,该文件夹中你可以看到局域网和远程连接.
可执行文件: winnt\system32\svchost.exe -k netsvcs
风险: 没有已知风险
建议: 由于该服务在需要时将自己启动,因此可以设置为手动启动.
Network News Transport Protocol(NNTP)
服务方向: 用于提供一个新闻服务器服务,例如USENET.
可执行文件: winntsystem32\inetsrv\inetinfo.exe
风险: 没有已知风险
建议: NNTP服务器应当安装在一个DMZ网络中,而且应当像其他网络服务,例如FTP,Nail和Web服务那样来对待.不建议在私有网络上配置NNTP服务器,任何位于某个内部网络上的服务器应当卸载或禁用NNTP服务.
File Replication
服务方向: file replication服务(FRS)可以跨域中的服务器来进行文件,系统策略和登录脚本的复制,该服务还可以用于为分布式文件系统(DFS, Distributed File System)复制数据.
可执行文件: winnt\system32\ntfrs.exe
风险:没有已知风险
建议:它在多个服务之间维护文件目录内容的文件同步,保持原状.
NTLM Security Support Provider
服务方向: 该服务委远程过程调用(RPC.Remote Procedure Call)程序提供安全性,这些程序使用除命名管道之外的传输方式.该服务仅当client for microsoft安装后才在服务列表中出现.
可执行文件: winnt\system32\lsass.exe
风险: 无已知风险
建议: 既然是安装后才有.当然无需去管,只有你没有安装client for microsoft.
Removable Storage
服务方向: 该服务负责管理可移动媒质,磁盘和库.
可执行文件 : winnt\system32\svchost.exe -k netsvcs
风险: 没有已知风险
建议: 你可以在需要时启动该服务.
Plug-and-Play
服务方向: 该服务负责管理设备安装和配置,并向程序通告设备所出现的变化.
可执行文件: winnt\system32\services.exe
风险: 无已知风险
建议: 在没有这个服务的情况下启动系统是可能的,但时间较长,而且一些服务也无法运行了(如RAS),所以服务可能最好是设置为自动启动.
IPSEC Policy Agent
服务方向: 该服务负责管理IP安全并启动ISAKMP/Oakley(IKE)和IP安全性驱动程序.
可执行文件: winnt\system32\lsass.exe
风险: 无已知风险
建议: 这个服务请保留吧.
Protected Storage
服务方向: 该服务可以为敏感数据(例如私钥)提供受保护的储存来防止它们被未授权的服务,进程或用户访问.
可执行文件: winnt\system32\services.exe
风险: 没有已知风险
建议: 这个就不必问了,它对系统来说是必须的.
Remote Access Auto Connection Manager
服务方向: 当用户请求访问某个远程网络地址时,该服务将自动拨号网络连接.
可执行文件: winnt\system32\svchost.exe -k netsvcs
风险: 没有已知风险
建议: 该服务仅在你使用拨号网络连接时才需要,如果你不是通过拨号上网的,当然也就不需要了.
运行
regsvr32 /u C:\WINNT\System32\wshom.ocx
del C:\WINNT\System32\wshom.ocx
regsvr32 /u C:\WINNT\system32\shell32.dll
del C:\WINNT\system32\shell32.dll
madc vbscript 这些有必要的话就重新一下
如下注册表保存在服务器上1.reg 运行一下后删除
REGEDIT4
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"restrictanonymous"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]
"autoshareserver"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]
"autosharewks"=dword:00000000
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"DontDisplayLastUserName"="0"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem]
"NtfsDisable8dot3NameCreation"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"allocatecdroms"="1"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"allocatefloppies"="1"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management]
"ClearPageFileAtShutdown"=dword:00000001
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveTypeAutoRun"=dword:00000149
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters]
"DisableWebDAV"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]
"RestrictNullSessAccess"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]
"hidden"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPSEC]
"NoDefaultExempt"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"WebView"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
"NoNameReleaseOnDemand"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
"EnableDeadGWDetect"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager]
"SafeDllSearchMode"=dword:00000001
[-HKEY_CLASSES_ROOT\Shell.Application.1]
[-HKEY_CLASSES_ROOT\Shell.Application]
[-HKEY_CLASSES_ROOT\WScript.Shell.1]
[-HKEY_CLASSES_ROOT\WScript.Shell]
[-HKEY_CLASSES_ROOT\WScript.Network]
[-HKEY_CLASSES_ROOT\WScript.Network.1]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteRegistry]
如下权限需要设置
可在ftp://dx.sinwe.com/服务器软件/dv虚拟主机/abc.exe下载到 winnt/system32目录下abc.exe
然后在DOS窗口复制粘贴下面的命令
abc c:\winnt\system32\cacls.exe /t /p administrator:F /y
abc c:\winnt\system32\at.exe /t /p administrator:F system:F /y
abc c:\winnt\system32\ftp.exe /t /p administrator:F /y
abc c:\winnt\system32\ping.exe /t /p administrator:F /y
abc c:\winnt\system32\xcopy.exe /t /p administrator:F /y
abc c:\winnt\system32\netstat.exe /t /p administrator:F /y
abc c:\winnt\system32\attrib.exe /t /p administrator:F /y
abc c:\winnt\system32\tftp.exe /t /p administrator:F /y
abc c:\winnt\system32\ftpsapi2.dll /t /p administrator:F system:F /y
abc c:\winnt\system32\user.exe /t /p administrator:F /y
abc c:\winnt\system32\net.exe /t /p administrator:F /y
abc c:\winnt\system32\cmd.exe /t /p administrator:F /y
abc c:\winnt\system32\net1.exe /t /p administrator:F /y
abc c:\winnt\system32\iisreset.exe /t /p administrator:F system:F /y
abc c:\winnt\system32\chgusr.exe /t /p administrator:F /y
abc c:\winnt\system32\telnet.exe /t /p administrator:F /y
abc c:\winnt\system32\wscript.exe /t /p administrator:F system:F /y
abc c:\winnt\system32\cscript.exe /t /p administrator:F system:F /y
abc c:\winnt\system32\regedt32.exe /t /p administrator:F system:F /y
abc c:\winnt\system32\regsvr32.exe /t /p administrator:F system:F /y
abc c:\winnt\system32\services.exe /t /p administrator:F system:F /y
abc c:\winnt\system32\shell.dll /t /p administrator:F /y system:F /y
abc c:\winnt\system32\shell32.dll /t /p administrator:F /y system:F /y
abc c:\winnt\system32\wshom.ocx /t /p administrator:F /y system:F /y
abc c:\winnt\system32\diskcopy.exe /t /p administrator:F /y
abc c:\winnt\system32\format.exe /t /p administrator:F /y
abc c:\winnt\regedit.exe /t /p administrator:F system:F /y
abc c:\winnt\my.ini /t /p administrator:F system:F /y
abc c:\winnt\system32\activeds.dll /t /p administrator:F system:F /y
abc c:\winnt\system32\activeds.tlb /t /p administrator:F system:F /y
abc c:\winnt\system32\adsiis.dll /t /p administrator:F system:F /y
abc c:\winnt\system32\adsiisex.dll /t /p administrator:F system:F /y
abc c:\winnt\system32\abc.exe /t /p administrator:F /y
最后５个应该是改不了的。需手工去操作。然后奖abc.exe 删除。空清一下历史记录
(shell.dll、shell32.dll、wshom.ocx、regedit.exe）
===== regbak.bat ================================================
Regedit /e e:\bak\dvw***-pcvhost-%date:~4,11%.reg HKEY_LOCAL_MACHINE\SOFTWARE\pcsoft
Regedit /e e:\bak\dvw***-su-%date:~4,11%.reg "HKEY_LOCAL_MACHINE\SOFTWARE\Cat Soft"
ftp -s:ftpbak.txt
exit
===== ftpbak.txt ===================================================
open 222.186.11.168
0dv.backup
0dv###backup
bin
lcd e:\bak
prompt
mput *.txt *.reg
bye
===== mysqlbak.bat =================================================
xcopy d:\mysql\data e:\mysqlbak\dvwp81-%date:~4%\ /s
最后运行regedt32
找到servU的分权。设置权限。只保留administrator和system权限即可
找到终端的2个分权。设置权限。只保留administrator和system权限即可
和远程终端的改掉
=================================================
sql的安装和还原
老的D:\Program Files 改名为 D:\Program Files_old
下载ftp://dx.sinwe.com/服务器软件/SQL2k+SP4[sql服务器].rar.rar解压到E:\soft下
1安装sql，程序放在C盘默认路径，数据库选择D盘默认路径，完成后重启服务器
SQL2000就序列号无法验证的问题：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager找到名为“SafeDLLSearchMode”的DWORD值，切换修改他的值 0 或 1，如果没有则创建这个DWORD值。
2重启完成安装sql补丁，完成后重启
3重启后关闭sql服务（不要禁止），退出右下角sql服务
4把新安装的 sql路径D:\Program Files改名为 D:\Program Files_newbak
5把以前的 D:\Program Files_old 改名为 D:\Program Files 运行下sql测试是否可以运行
注意：sql属性-安全性 身份验证 选择 sql和windows
=================================================
服务器重装：
D盘数据，先获取所有权，右键D盘属性-安全-高级-所有者，选中administrators复选替换子容器及对象的所有者后应用
等全部获取完了再
1分别建立用户
2把用户组添加到client组、user组只保留原来的2个用户其他刚建立的用户删除
3附加D盘用户的权限
批处理格式如下，可以先cmd，在d:\wwwroot下 dir/o来复制出用户列表
net user user123456 pass123456 /add
net LOCALGROUP client user123456 /add
abc d:\wwwroot\user123456 /t /p administrators:F system:F user123456:F /y
换成后，还原iis备份、servu备份、pcvhost备份
E:\servUlogs\servUlogo%Y%N%D.txt
关闭你一些不必要的服务。列表如下：Alerter，ClipBook，Computer Browser，DHCP Client，Distributed File System，DNS Client，Fax Service，Intersite Messaging，Kerberos Key Distribution Center，License Logging Service，Messenger，Net Logon，NetMeeting Remote Desktop Sharing，Print Spooler，Remote Registry Service，Server，TCP/IP NetBIOS Helper Service，Telnet，Workstation。
winwebmail 所在目录根目录权限设置（不往下继承）abc d:\ /g users:E /E