php_windows服务器安全方案

服务器安全策略

泰泰快购平台的根基在于服务器群，如果服务器安全做的不到位，那在平台运营过程中将会出现很多不可预知的问题。下面是关于一些服务器安全的策略。如具体实施的话，需要易网团队的配合。

平台数据库安全

1. 操作系统。在其OS（操作系统）上创建某一用户来专门运行MySQL，这样可以对此用户的权限加以限制来提高安全性。试想，如果在运行类似UNIX的OS，以root用户的身份运行MySQL服务器，这样可能赋予了一个MySQL普通用户读写OS任何地方的文件的权限。防止非管理员用户访问WEB服务器中的mysqladmin程序。另外，把MySQL服务器建立在Firewall（防火墙）后（这样可终止未授权主机的连接）或改变其默认端口，都可进一步提高其安全性。

2. 密码。这是大家都比较熟悉的。务必为所有用户设置复杂的密码。如果需要在脚本文件保存密码（如db_connect.php），必须小心把此文件保存在WEB文档树结构以外，并且只能由特定的用户进行访问。

3. 用户权限。利用MySQL权限系统，为每个用户配置其所配对的权限（即必须的，最少的，例如类型表只授予SELECT权限，订单表中只授予INSERT权限等），如果不是绝对需要，不要将GRANT，

PROCESS，FILE，SHUTDOWN和RELOAD等权限授予任何非管理员的用户。建立用户时，其连接主机的权限也得加以确认，应该避免在主机名中使用通配符，还有在host表中使用IP地址而不是域名（这样可以在DNS位置避免错误问题）。

将mysql运行在普通用户权限下，这是最重要的一点，大部分的入侵都是利用数据库的权限进行的。

MYSQL的降权运行

新建立一个用户比如mysqlstart

net user mysqlstart fuckmicrosoft /add

net localgroup users mysqlstart /del

不属于任何组

如果MYSQL装在d:\mysql ，那么，给 mysqlstart 完全控制的权限

然后在系统服务中设置，MYSQL的服务属性，在登录属性当中，选择此用户 mysqlstart 然后输入密码，确定。

重新启动 MYSQL服务，然后MYSQL就运行在低权限下了。

4. WEB问题。务必过滤来自用户的所有数据。

操作系统安全设置

策略一：关闭windows2003不必要的服务

·Computer Browser 维护网络上计算机的最新列表以及提供这个列表

·Task scheduler 允许程序在指定时间运行

·Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务

·Removable storage 管理可移动媒体、驱动程序和库

·Remote Registry Service 允许远程注册表操作

·Print Spooler 将文件加载到内存中以便以后打印。

·IPSEC Policy Agent 管理IP安全策略及启动ISAKMP/OakleyIKE)和IP安全驱动程序

·Distributed Link Tracking Client 当文件在网络域的NTFS卷中移动时发送通知

·Com+ Event System 提供事件的自动发布到订阅COM组件 ·Alerter 通知选定的用户和计算机管理警报

·Error Reporting Service 收集、存储和向 Microsoft 报告异常应用程序

·Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息

·Telnet 允许远程用户登录到此计算机并运行程序

策略二：磁盘权限设置

C盘只给administrators和system权限，其他的权限不给，其他的盘也可以这样设置，这里给的system权限也不一定需要给，只是由于某些第三方应用程序是以服务形式启动的，需要加上这个用户，

否则造成启动不了。

Windows目录要加上给users的默认权限，否则ASP和ASPX等应用程序就无法运行。

策略三：禁止 Windows 系统进行空连接

在注册表中找到相应的键值HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Control/LSA，将DWORD值RestrictAnonymous的键值改为1

策略四：关闭不需要的端口

本地连接--属性--Internet协议(TCP/IP)--高级--选项--TCP/IP筛选--属性--把勾打上，然后添加你需要的端口即可。(如:3389、21、1433、3306、80)

更改远程连接端口方法：

开始-->运行-->输入regedit

查找3389：

请按以下步骤查找:

1、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp下的PortNumber=3389改为自宝义的端口号

2、

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp下的PortNumber=3389改为自宝义的端口号

修改3389为你想要的数字(在十进制下)----再点16进制(系统会自动转换)----最后确定!这样就ok了。

这样3389端口已经修改了，但还要重新启动主机，这样3389端口才算修改成功!如果不重新启动3389还

是修改不了的!重起后下次就可以用新端口进入了!

禁用TCP/IP上的NETBIOS

本地连接--属性--Internet协议(TCP/IP)--高级—WINS--禁用TCP/IP上的NETBIOS

策略五：关闭默认共享的空连接

首先编写如下内容的批处理文件：

@echo off

net share C$ /delete

net share D$ /delete

net share E$ /delete

net share F$ /delete

net share admin$ /delete

以上文件的内容用户可以根据自己需要进行修改。保存为delshare.bat，存放到系统所在文件夹下的system32\GroupPolicy\User\Scripts\Logon目录下。然后在开始菜单→运行中输入gpedit.msc，

回车即可打开组策略编辑器。点击用户配置→Windows设置→脚本(登录/注销)→登录.

在出现的“登录 属性”窗口中单击“添加”，会出现“添加脚本”对话框，在该窗口的“脚本名”栏中输入delshare.bat，然后单击“确定”按钮即可。

重新启动计算机系统，就可以自动将系统所有的隐藏共享文件夹全部取消了，这样就能将系统安全隐患降低到最低限度。

策略五：IIS安全设置

1、不使用默认的Web站点，如果使用也要将IIS目录与系统磁盘分开。

2、删除IIS默认创建的Inetpub目录(在安装系统的盘上)。

3、删除系统盘下的虚拟目录，如：_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。

4、删除不必要的IIS扩展名映射。

右键单击“默认Web站点→属性→主目录→配置”，打开应用程序窗口，去掉不必要的应用程序映射。主要为.shtml、shtm、stm。

5、更改IIS日志的路径

右键单击“默认Web站点→属性-网站-在启用日志记录下点击属性

策略六：注册表相关安全设置

1、隐藏重要文件/目录

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Current-Version\Explorer\Advanced\Folder\Hidden\SHOWALL”

鼠标右击 “CheckedValue”，选择修改，把数值由1改为0。

2、防止SYN洪水攻击

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

新建DWORD值，名为SynAttackProtect，值为2

3、禁止响应ICMP路由通告报文

HKEY_LOCAL_MACHINE\SYSTEM \ CurrentControlSet\ Services\Tcpip\Parameters\Interfaces\interface

新建DWORD值，名为PerformRouterDiscovery 值为0。

4、防止ICMP重定向报文的攻击

HKEY_LO …… 此处隐藏：5756字，全部文档内容请下载后查看。喜欢就下载吧 ……