服务器有效设置防止web入侵图文方法

所以配合服务器来设置防止webshell是有效的方法。
一、防止数据库被非法下载
应当说，有一点网络安全的管理员，都会把从网上下载的网站程序的默认数据库路径进行更改。当然也有一部分管理员非常粗心，拿到程序直接在自己的服务器上进行安装，甚至连说明文件都不进行删除，更不要说更改数据库路径了。这样黑客就可以通过直接从源码站点下载网站源程序，然后在本地测试找到默认的数据库，再通过下载数据库读取里面的用户信息和资料(一般是经过MD5加密的)找到管理入口进行登陆获得webshell。还有一种情况是由于程序出错暴出了网站数据库的路径，那么怎么防止这种情况的发生呢?我们可以添加mdb的扩展映射。如下图所示：

打开IIS添加一个MDB的映射，让mdb解析成其他下载不了的文件：“IIS属性”—“主目录”—“配置”—“映射”—“应用程序扩展”里面添加.mdb文件应用解析，至于用于解析它的文件大家可以自己进行选择，只要访问数据库文件出现无法访问就可以了。
这样做的好处是：1只是要是mdb后缀格式的数据库文件就肯定下载不了；2对服务器上所有的mdb文件都起作用，对于虚拟主机管理员很有用处。
二、防止上传
针对以上的配置如果使用的是MSSQL的数据库，只要存在注入点，依然可以通过使用注入工具进行数据库的猜解。倘若上传文件根本没有身份验证的话，我们可以直接上传一个asp的木马就得到了服务器的webshell。
对付上传，我们可以总结为：可以上传的目录不给执行权限，可以执行的目录不给上传权限。Web程序是通过IIS用户运行的，我们只要给IIS用户一个特定的上传目录有写入权限，然后又把这个目录的脚本执行权限去掉，就可以防止入侵者通过上传获得webshell了。配置方法：首先在IIS的web目录中，打开权限选项卡、只给IIS用户读取和列出目录权限，然后进入上传文件保存和存放数据库的目录，给IIS用户加上写入权限，最后在这两个目录的“属性”—“执行权限”选项把“纯脚本”改为“无”即可。见下图


最后提醒一点，在你设置以上权限的时候，一定要注意到设置好父目录的继承。避免所做的设置白费。
三、MSSQL注入
对于MSSQL数据库的防御，我们说，首先要从数据库连接帐户开始。数据库不要用SA帐户。使用SA帐户连接数据库对服务器来说就是一场灾难。一般来说可以使用DB_OWNER权限帐户连接数据库，如果可以正常运行，使用public用户最安全的。设置成dbo权限连接数据库之后，入侵者基本就只能通过猜解用户名和密码或者是差异备份来获得webshell了，对于前者，我们可以通过加密和修改管理后台的默认登陆地址来防御。对于差异备份，我们知道它的条件是有备份的权限，并且要知道web的目录。寻找web目录我们说通常是通过遍历目录进行寻找或者直接读取注册表来实现。无路这两个方法的哪一种，都用到了xp_regread和xp_dirtree两个扩展存储过程，我们只需要删除这两个扩展存储就可以了，当然也可以把对应的dll文件也一起删除。

但是如果是由于程序出错自己暴出了web目录，就没有办法了。所以我们还要让帐户的权限更低，无法完成备份操作。具体操作如下：在这个帐户的属性—数据库访问选项里只需要对选中对应的数据库并赋予其DBO权限，对于其他数据库不要操作。接着还要到该数据库—属性—权限把该用户的备份和备份日志的权限去掉，这样入侵者就不能通过差异备份获得webshell了。

赞 (0)

相关推荐

  • 服务器有效设置防止web入侵图文方法

    服务器有效设置防止web入侵图文方法

    所以配合服务器来设置防止webshell是有效的方法. 一.防止数据库被非法下载应当说,有一点网络安全的管理员,都会把从网上下载的网站程序的默认数据库路径进行更改.当然也有一部分管理员非常粗心,拿到程序直接在自己的服务器上进行安装,甚至连说明文件都不进行删除,更不要说更改数据库路径了.这样黑客就可以通过直接从源码站点下载网站源程序,然后在本地测试找到默认的数据库,再通过下载数据库读取里面的用户信息和资料(一般是经过MD5加密的)找到管理入口进行登陆获得webshell.还有一种情况是由于程序出错

  • phpmyadmin中为站点设置mysql权限的图文方法

    phpmyadmin中为站点设置mysql权限的图文方法

    为了防止安全隐患,我们一般针对每个数据库都设置了独立的数据库访问帐号,该帐号仅有访问该数据库的权限.下面就让我们来具体演示一下: 1.首先我们要登陆phpMyAdmin,不做演示. 2.创建一个数据库,如下图,在phpMyAdmin右边窗口中,填写数据库名称,点创建即可.      例如我们这里创建一个名字为:cncmstest 的数据库      创建成功会有如下提示: 3.点击左上角的主页按钮,返回phpMyAdmin主界面: 4.在主界面的右边点击"权限"来创建数据库帐号. 5.

  • 联想服务器X3850 X6 配置RAID5阵列图文方法

    实验环境: 1. 服务器型号 联想 System X3850 X6 2. 四块300G SAS硬盘 实验目的: 配置RAID 5 ,搭建公司重要文件共享服务器使用. 标注:本教程四块硬盘全做RAID 5,如果有一块硬盘损坏及时更换数据恢复是没问题,如果有两块或两块以上硬盘损坏就会发生灾难性数据损坏,建议有可靠的外置备份服务器可以全做RAID 5. 1.开机 --- 按F1键进入BIOS --- 选择System Settings 2.选择Storage 3.选择阵列卡 4.选择Main Menu

  • win2003 服务器安全设置图文教程

    win2003 服务器安全设置图文教程

    Windows 2003 服务器安全设置 一.先关闭不需要的端口 我比较小心,先关了端口.只开了3389.21.80.1433,有些人一直说什么默认的3389不安全,对此我不否认,但是利用的途径也只能一个一个的穷举爆破,你把帐号改了密码设置为十五六位,我估计他要破上好几年,哈哈!办法:本地连接--属性--Internet协议(TCP/IP)--高级--选项--TCP/IP筛选--属性--把勾打上,然后添加你需要的端口即可.PS一句:设置完端口需要重新启动! 当然大家也可以更改远程连接端口方法:

  • win2003 服务器 安全设置 技术实例(比较安全的方法)

    1.服务器安全设置之--硬盘权限篇 这里着重谈需要的权限,也就是最终文件夹或硬盘需要的权限,可以防御各种木马入侵,提权攻击,跨站攻击等.本实例经过多次试验,安全性能很好,服务器基本没有被木马威胁的担忧了. 硬盘或文件夹: C:\ D:\ E:\ F:\ 类推 主要权限部分: 其他权限部分: Administrators 完全控制 无如果安装了其他运行环境,比如PHP等,则根据PHP的环境功能要求来设置硬盘权限,一般是安装目录加上users读取运行权限就足够了,比如c:\php的话,就在根目录权限

  • win2008 r2 服务器安全设置之安全狗设置图文教程

    win2008 r2 服务器安全设置之安全狗设置图文教程

    服务器安全狗,作为国内首款支持Windows全系列操作系统(Windows2003/Windows2008(32 位.64 位)/Windows2012)的基于内核级的服务器安全防护软件,采用 NDIS 中间层驱动模式,实现从驱动层直接屏蔽攻击,将针对服务器的攻击带来的损失降低到最小,最大程度地保护用户服务器的安全. 功能涵盖了服务器系统优化(包括服务器漏洞补丁修复等).服务器程序守护.远程桌面监控.文件目录守护.系统帐号监控.DDOS 防火墙.ARP 防火墙.Web 防火墙.安全策略设置以及邮

  • win2003服务器安全设置教程图文(系统+数据库)

    win2003服务器安全设置教程图文(系统+数据库)

    服务器安全设置 1.系统盘和站点放置盘必须设置为NTFS格式,方便设置权限. 2.系统盘和站点放置盘除administrators 和system的用户权限全部去除. 3.启用windows自带防火墙,只保留有用的端口,比如远程和Web.Ftp(3389.80.21)等等,有邮件服务器的还要打开25和130端口. 4.安装好SQL后进入目录搜索 xplog70 然后将找到的三个文件改名或者删除. 5.更改sa密码为你都不知道的超长密码,在任何情况下都不要用sa这个帐户. 6.改名系统默认帐户名并

  • 又一篇不错的win2003服务器安全设置图文教程

    又一篇不错的win2003服务器安全设置图文教程

    服务器安全设置 1.系统盘和站点放置盘必须设置为NTFS格式,方便设置权限. 2.系统盘和站点放置盘除administrators 和system的用户权限全部去除. 3.启用windows自带防火墙,只保留有用的端口,比如远程和Web,Ftp(3389,80,21)等等,有邮件服务器的还要打开25和130端口. 4.安装好SQL后进入目录搜索 xplog70  然后将找到的三个文件改名或者删除. 5.更改sa密码为你都不知道的超长密码,在任何情况下都不要用sa这个帐户. 6.改名系统默认帐户名

  • ibmx335/ibmx336服务器做RAID阵列的图文方法(包括删除RAID阵列)

    ibmx335/ibmx336服务器做RAID阵列的图文方法(包括删除RAID阵列)

    文字说明:如何使用LSI配置RAID1 X服务器中有一些集成LSI SCSI控制器的机型,在开机自检时按CTRL C可以配置两个硬盘的镜像.但是当升级BIOS之后,CTRL C中的一些设置发生了变化,配置方法也较以前的版本有些差异. 新版本的配置步骤: 1．启动服务器,在自检过程中按CTRL C键,进入到菜单(双通道LSI控制器) 2．选择硬盘所在SCSI通道回车 3．选择<RAID Properties>,回车. 4．发现两个硬盘,选择一个为主盘,在<Array Disk?>按减

  • 如何在一台服务器上实现多个web站点的方法

    摘要:Windows2000Server安装成功后,一般会启动一个默认的Web站点,为整个网络提供Internet服务.在中小型局域网中,服务器往往只有一台,但是一个Web站点显然又无法满足工作需要.那么,能否在一台服务器上设置多个Web站点(以下我们简称为"一机多站")呢?答案是肯定的,并有多种途径可以达到这一目的.我们知道,网络上的每一个Web站点都有一个惟一的身份标识,从而使客户机能够准确地访问.这一标识由三部分组成,即TCP端口号.IP地址和主机头名,要实现"一机多站

随机推荐