用微软的IIS打造一个WEB服务器是件非常简单的事情，但是它的安全性实在不敢恭维。攻击者通过注入、上传、旁注等技术获得了某个网站的Webshell，然后进一步渗透提权，直至控制整个Web服务器。
至于如何让攻击者无缘Webshell那是代码部分的问题，我们做为管理员应该如何加固Web服务器，让攻击者在获得了Webshell之后无功而返呢?一、设置命令权限
默认设置下，webshell中可以调用一些对服务器构成危险的系统命令，因此要对这些命令进行权限限制。需要限制权限的命令主要有：cmd.exe net.exe net1.exe ping.exe netstat.exe ftp.exe tftp.exe telnet.exe等。
对这些命令单独进行设置，设置为只允许administrators组访问，这样既防止攻击者新建用户对系统进行修改，也可以防范通过Serv-U的本地提升权限漏洞来运行这些关键的程序了。特别提醒的是要删除cacls.exe这个程序，防止有人通过命令行来修改权限。(图1)
图1
个人秘笈：在系统目录下放一个和cmd.exe同名的监控程序，并赋予它eventone运行权限。这样只要攻击者在websehll中调用cmd.exe就可以触发监控程序，记录并追查攻击者的踪迹，让他偷鸡不成反蚀一把米。为我们发现入侵，直至找到攻击者做准备。
更多内容请看FTP服务器、双核服务器技术、网站服务器的选型专题，或进入讨论组讨论。
相关图文阅读
频道图文推荐
健 康 咨 询
时 尚 咨 询
相关专题
- 用Gene6让FTP服务搭建平民化 (120次浏览)
- 如何轻松实现服务器远程备份 (111次浏览)
- Windows 2008之服务器管理控制台解析 (62次浏览)
- 用AD组策略------控制客户端本地组 (58次浏览)
- 保护DNS服务器十大技巧 (48次浏览)
- 从权限入手排障GENE FTP远程管理 (41次浏览)
- 将网站从IIS7中批量迁移另外一台IIS7 (40次浏览)
- 服务器管理 向远程维护要效率 (36次浏览)
- 只读域控制器在Server Core中的部署 (30次浏览)
- 在Debian环境下架设PPPoE服务器方法 (28次浏览)
