2 系统漏洞
问:如果我的程序和组件相关的安全都做好了。那么是不是我的服务器就安全了?
答:微软提供的WindowsServer家族服务器版本虽然方便快捷，但是仍然存在着安全隐患。这个跟程序无关。是系统本身的漏洞。一般攻击者都是通过缓冲区溢出漏洞直接获得CMDSHELL或者系统权限。比如说IIS写权限漏洞，可以匿名访问IIS，并且写入ASP木马，获得WEBSHELL。比如说WEBDAV溢出，先用NC监听本地端口。再去溢出对方端口。获得一个CMDSHELL。然后通过管理命令获得远程控制权限。这些漏洞在官方没有提供解决方案之前，是没有办法修复的。如果是Linux系统的话，开放过源码了。大家可以自己修改。但是微软没公布源码。所以要随时关注微软官方发布的公告。有条件和需要的企业可以联系微软公司，申请一套Datacenter服务器系统。这款系统没有在市场发行，是微软专门为客户需要定做的一套系统。价格昂贵。赠送liense。但是安全性非常高。不过申请有点难度。因为datacenter各大企业都没有采用。就是因为它的价格。相关信息可以去看看Microsoft的系列广播和资料。在这里感谢Cloudx的帮助。在我学MCSE的时候，他帮了我很多。还是他要我去MS看广播的。网管们可以随时关注MS公布的补丁。如果对系统漏洞想研究的朋友们。可以去安全焦点或教主的0DAY公布站点随时关注漏洞利用程序的发布。然后再关注下MS的公告。对学习很有帮助。
3 密码
关于密码设置问题。这个是也很容易获得权限的。这都是人为漏洞。比如说某公司员工，为了更容易的记住密码。就随意把密码设置成生日，手机号码，姓名的拼音等。建议大家把密码设置的复杂点。特别是服务器的密码。比如说数据库和系统密码。WEB密码也要好好设置。大小写+符号。长度在10-15位左右。定期换一次密码。这样攻击者在破解你密码的时候。还没破解出来，你又改密码了。关于密码这个问题。千万不要设置成纯数字。如果是纯小写。可以在密码结尾设置2个或者3个好记点的数字。长度最好是12-17位。这个东西我就不说了。一定要把系统Administrator给改名或者停用。Guest停用。然后改名。帐户策略也要设置好。
4 组件和权限
攻击者现在拥有一个系统的帐号。你完全不用害怕他会改动你的IIS组件内设置。你可以把INTER信息服务设置一个密码。然后把系统*。msc复制到你指定的一个文件夹。再设置加密。然后只允许你的帐号使用。接着隐藏起来。那么攻击者改不了你任何组件。也不能查看和增加删除。Wscript。shell删除。 Net。exe删除。 Cmd。exe设置好权限。所有目录全部要设置好权限。如不需要。除WEB目录外。其他所有目录。禁止IIS组用户访问。只允许Administrators组进行访问和修改。还一个变态权限的设置。前面我已经说了MSC文件的访问权限。你可以设置Admin，Admin1，Admin2……，admin只赋予修改权限，admin1只赋予读取和运行权限，admin2只赋予列出文件夹和目录权限，admin3只赋予写入权限，admin4只赋予读取权限。然后每个帐户根据需要分配配额。这样的话。就算有VBS脚本。删除了NET。EXE，对方也提不起权。如果是没运行权限的用户不小心启动了攻击者的木马。那么也没权限运行和修改。Windows提供了屏幕保护功能。建议大家还可以安装一个第三方提供的屏幕保护锁。那样你的系统又可以多一重安全保障。建议大家千万不要使用Pcanywhere等软件。除非你权限设置通过自己的测试了。Pcanywhere有一个文件系统，如果权限没分配好，用户可以通过PCANYWHERE的文件系统，在启动项写木马。然后等待你登陆。大家没这需要。建议就用默认的3389就好了。端口就算改了别人也可以扫出来。还不如就用默认的。攻击者在获得你系统权限并登陆到3389以后。你的第二道安全锁(第三方系统锁)把他死死的锁在外面了。这样别人就进不了你系统了。记住。千万不能乱开权限。不然后果不堪设想。如果是独立服务器。没必要使用WEB时，请把多余的IIS等服务关闭。以免引起不必要的损失。用优化大师禁止远程注册表的访问那些。还有IPC空连接。
