2003服務(wù)器A級BT安全配置指南(2/3)

2024-09-10 16:49:07

字體：大中小

供稿：網(wǎng)友

另外serv-u的幾點常規(guī)安全需要設(shè)置下：
選中"Block "FTP_bounce"attack and FXP"。什么是FXP呢？通常，當使用FTP協(xié)議進行文件傳輸時，客戶端首先向FTP服務(wù)器發(fā)出一個"PORT"命令，該命令中包含此用戶的IP地址和將被用來進行數(shù)據(jù)傳輸?shù)亩丝谔枺?wù)器收到后，利用命令所提供的用戶地址信息建立與用戶的連接。大多數(shù)情況下，上述過程不會出現(xiàn)任何問題，但當客戶端是一名惡意用戶時，可能會通過在PORT命令中加入特定的地址信息，使FTP服務(wù)器與其它非客戶端的機器建立連接。雖然這名惡意用戶可能本身無權(quán)直接訪問某一特定機器，但是如果FTP服務(wù)器有權(quán)訪問該機器的話，那么惡意用戶就可以通過FTP服務(wù)器作為中介，仍然能夠最終實現(xiàn)與目標服務(wù)器的連接。這就是FXP，也稱跨服務(wù)器攻擊。選中后就可以防止發(fā)生此種情況。

Click to Open in New Window

另外在"Block anti time-out schemes"也可以選中。其次，在"Advanced"選項卡中，檢查 "Enable security"是否被選中，如果沒有，選擇它們。

Click to Open in New Window

IIS的安全：

刪掉c:/inetpub目錄，刪除iis不必要的映射

首先是每一個web站點使用單獨的IIS用戶，譬如這里，新建立了一個名為www.315safe.com ，權(quán)限為guest的。

Click to Open in New Window

在IIS里的站點屬性里"目錄安全性"---"身份驗證和訪問控制"里設(shè)置匿名訪問使用下列Windows 用戶帳戶"的用戶名密碼都使用www.315safe.com 這個用戶的信息.在這個站點相對應(yīng)的web目錄文件，默認的只給IIS用戶的讀取和寫入權(quán)限（后面有更BT的設(shè)置要介紹）。

Click to Open in New Window

在"應(yīng)用程序配置"里，我們給必要的幾種腳本執(zhí)行權(quán)限：ASP.ASPX,PHP，

ASP，ASPX默認都提供映射支持了的，對于PHP，需要新添加響應(yīng)的映射腳本，然后在web服務(wù)擴展將ASP，ASPX都設(shè)置為允許，對于php以及CGI的支持，需要新建web服務(wù)擴展，在擴展名(X)：下輸入 php ，再在要求的文件(E)：里添加地址 C:/php/sapi/php4isapi.dll ，并勾選設(shè)置狀態(tài)為允許(S)。然后點擊確定，這樣IIS就支持PHP了。支持CGI同樣也是如此。

Click to Open in New Window

要支持ASPX，還需要給web根目錄給上users用戶的默認權(quán)限，才能使ASPX能執(zhí)行。

另外在應(yīng)用程序配置里，設(shè)置調(diào)試為向客戶端發(fā)送自定義的文本信息，這樣能對于有ASP注入漏洞的站點，可以不反饋程序報錯的信息，能夠避免一定程度的攻擊。

Click to Open in New Window

在自定義HTTP錯誤選項里，有必要定義下譬如404,500等錯誤，不過有有時候為了調(diào)試程序，好知道程序出錯在什么地方，建議只設(shè)置404就可以了。