教学研究
| 课程编写 | ||
| 类别 | 内容 | |
| 实验课题名称 | IIS的安全设置 | |
| 实验目的与要求 | 了解iis基本的设置分有那几块，以及一些基本的设置 | |
| 实验环境 | VPC1(虚拟PC） | 操操作系统类型：windows 2003，网络接口：本地连接 |
| VPC1 连接要求 | PC 网络接口，本地连接与实验网络直连 | |
| 软件描述 |
1、学生机要求安装java环境 2、vpc安装Windows 2003系统 |
|
| 实验环境描述 |
1、 学生机与实验室网络直连; 2、 VPC1与实验室网络直连; 3、 学生机与VPC1物理链路连通； |
|
| 预备知识 |
internet information services（iis），是由微软公司提供的基于运行microsoft windows的因特网基本服务。最初是windows nt版本的可选包，随后捆绑在windows 2000、windows xp professional和windows server 2003一起发行，值得注意的是，在普遍使用的windows xp home版本上并没有iis。 目前最新版本iis6.0（构建于windows server 2003）包括ftp、nntp、和http/https等服务。 服务本身并不能提供直接的服务器端的处理，如它不能将这台pc的用户名提供给互联网；从本质上讲，它是isapi任务的图形界面表现。微软将因特网上的很多服务都集中在iis上，其中包括asp和asp.net。iis的部分服务也可以由其他平台实现，如网页发布，php和jsp也完全胜任。 兼容性 iis是在视窗操作系统平台下开发的，这也限制了它只能在这种操作系统下运行。在windows xp professional中iis的一些功能做出了限制，与windows server 2003 有所区别。 安全性 iis的发展一直伴随着安全漏洞，而随着iis6.0的发布，这种情况有所好转。在低于6.0的版本中，其权限是系统用户，而在iis6.0中，引入了网络服务帐户，这是一个限制用户。这样，即使服务遭到了破坏，也不会造成系统的瘫痪。 对手 apache是其在因特网服务软件中的主要竞争者。solaris operating environment/j2ee也是其在企业级网络服务的重量级对手。 网站(website)是指在因特网上，根据一定的规则，使用html等工具制作的用于展示特定内容的相关网页的集合。简单地说，网站是一种通讯工具，就像布告栏一样，人们可以通过网站来发布自己想要公开的资讯，或者利用网站来提供相关的网络服务。人们可以通过网页浏览器来访问网站，获取自己需要的资讯或者享受网络服务。而在 windows下网站架在iis上的。 internet information server的缩写为（iis）是一个world wide web server。gopher server和ftp server全部包容在里面。 iis意味着你能发布网页，并且有asp（active server pages）、java、vbscript产生页面，有着一些扩展功能。 iis（internet information server，互联网信息服务）是一种web（网页）服务组件，其中包括web服务器、ftp服务器、nntp服务器和smtp服务器，分别用于网页浏览、文件传输、新闻服务和邮件发送等方面，它使得在网络（包括互联网和局域网）上发布信息成了一件很容易的事。本文将向你讲述windows 2003高级服务器版中自带的iis6.0的配置和管理方法。 我们将从入侵者入侵的各个环节来作出对应措施一步步的加固windows系统。 加固windows系统.一共归于几个方面 1.端口限制 2.设置acl权限 3.关闭服务或组件 4.包过滤 5.审计 我们现在开始从入侵者的第一步开始.对应的开始加固已有的windows系统. 1.扫描 这是入侵者在刚开始要做的第一步.比如搜索有漏洞的服务. 对应措施:端口限制 以下所有规则.都需要选择镜像,否则会导致无法连接 我们需要作的就是打开服务所需要的端口.而将其他的端口一律屏蔽 2.下载信息 这里主要是通过url scan.来过滤一些非法请求 对应措施:过滤相应包 我们通过 安全url scan并且设置urlscan.ini中的denyextensions字段 来阻止特定结尾的文件的执行 3.上传文件 入侵者通过这步上传webshell,提权软件,运行cmd指令等等. 对应措施:取消相应服务和功能,设置acl权限 如果有条件可以不使用fso的. 通过 regsvr32 /u c:\windows\system32\scrrun.dll来注销掉相关的dll. 如果需要使用. 那就为每个站点建立一个user用户 对每个站点相应的目录.只给这个用户读,写,执行权限,给administrators全部权限 安装 杀毒软件.实时杀除上传上来的恶意代码. 个人推荐mcafee或者卡巴斯基 如果使用mcafee.对windows目录所有添加与修改文件的行为进行阻止. 4.webshell 入侵者上传文件后.需要利用webshell来执行可执行程序.或者利用webshell进行更加方便的文件操作. 对应措施:取消相应服务和功能 一般webshell用到以下组件 wscript.network wscript.network.1 wscript.shell wscript.shell.1 shell.application shell.application.1 我们在注册表中将以上键值改名或删除 同时需要注意按照这些键值下的clsid键的内容 从/hkey_classes_root/clsid下面对应的键值删除 5.执行shell 入侵者获得shell来执行更多指令 对应措施:设置acl权限 windows的命令行控制台位于\windows\system32\cmd.exe 我们将此文件的acl修改为 某个特定管理员帐户(比如administrator)拥有全部权限. 其他用户.包括system用户,administrators组等等.一律无权限访问此文件. 6.利用已有用户或添加用户 入侵者通过利用修改已有用户或者添加windows正式用户.向获取管理员权限迈进 对应措施:设置acl权限.修改用户 将除管理员外所有用户的终端访问权限去掉. 限制cmd.exe的访问权限. 限制sql server内的xp_cmdshell 7.登陆图形终端 入侵者登陆terminal server或者radmin等等图形终端,获取许多图形程序的运行权限.由于windows系统下绝大部分应用程序都是gui的.所以这步是每个入侵windows的入侵者都希望获得的 对应措施:端口限制入侵者可能利用3389或者其他的木马之类的获取对于图形界面的访问.我们在第一步的端口限制中.对所有从内到外的访问一律屏蔽也就是为了防止反弹木马.所以在端口限制中.由本地访问外部 网络的端口越少越好.如果不是作为mail server.可以不用加任何由内向外的端口. 阻断所有的反弹木马. 8.擦除脚印 入侵者在获得了一台机器的完全管理员权限后就是擦除脚印来隐藏自身. 对应措施:审计 首先我们要确定在windows日志中打开足够的审计项目. 如果审计项目不足.入侵者甚至都无需去删除windows事件. 其次我们可以用自己的cmd.exe以及net.exe来替换系统自带的. 将运行的指令保存下来.了解入侵者的行动. 对于windows日志 我们可以通过将日志发送到远程日志 服务器的方式来保证记录的完整性.evtsys工具(https://engineering.purdue.edu/ecn/resources/documents) 提供将windows日志转换成syslog格式并且发送到远程服务器上的功能. 使用此用具.并且在远程服务器上开放syslogd,如果远程服务器是windows系统. 推荐使用kiwi syslog deamon. 我们要达到的目的就是不让入侵者扫描到主机弱点即使扫描到了也不能上传文件 即使上传文件了不能操作其他目录的文件 即使操作了其他目录的文件也不能执行shell 即使执行了shell也不能添加用户 即使添加用户了也不能登陆图形终端 即使登陆了图形终端.拥有系统控制权.他的所作所为还是会被记录下来. 额外措施: 我们可以通过增加一些设备和措施来进一步加强系统安全性. 1.代理型防火墙.如isa2004 代理型防火墙可以对进出的包进行内容过滤. 设置对http request内的request string或者form内容进行过滤将select.drop.delete.insert等都过滤掉. 因为这些关键词在客户提交的表单或者内容中是不可能出现的. 过滤了以后可以说从根本杜绝了sql 注入 2.用snort建立ids 用另一台服务器建立个snort. 对于所有进出服务器的包都进行分析和记录 特别是ftp上传的指令以及http对asp文件的请求 可以特别关注一下. |
|
| 实验内容 | 学习如何手工修改服务端口。 | |
| 实验步骤 |
学生登录实验场景的操作 1、 学生单击 “网络拓扑”进入实验场景，单击windows2003中的“打开控制台”按钮，进入目标主机。 2、学生输入账号administrator ,密码123456，登录到实验场景中的目标主机。 3.在对iis设置前要对服务器做以下设置 一.确保我们系统分区为 ntfs分区，鼠标双击我的电脑 - 鼠标右击“本地磁盘（C:）” - 点击属性，查看C盘是否是NTFS分区。 确定磁盘格式 二.操作系统 web主目录 日志分别安装在不同的分区,不要安装不必要的协议 ，比如ipx/spx/netbios ，找到网络连接中有一个“本地连接”，再对着“本地连接”，鼠标右击打开。 不安装协议ipx/spx/netbios 不要安装其它的操作系统, 在服务器建议，不要装过多的系统，软件等 关闭所有不需要的服务 由于每开一服务，服务所对应的端口就会开，所以在服务器上关掉没有用的服务，为服务器的安全加固。 删除iis上所不用服务，如ftp等，停掉默认的服务，点击开始 - 设置 - 控制面板 - 管理工具 - 找到Internet信息服务（I鼠标双击并打开，点击网站，对着网站项目下的默认网站，鼠标右击“停止” 如图3所示 4.iis上网站的搭建 对着“网站”- “新建” - “网站” 进入网站创建的向导 鼠标点击“下一步”，在描述里可以写上对网站的一个内容或类型的描述如图6所示 在ip这里填入本机的ip,端口不用改。 鼠标单击“下一步”，然后单击浏览可以选中网站的主目录，下面是允许匿名，访问一定要选上. 鼠标单击“下一步”,对于访问用户的权限设置，下面这两项务必要选下 鼠标单击“下一步”,选中完成，网站己基本建成 5.IIS上安全设置 对网站的主目录只设administrtor和system为完全控制，选中步骤4中所创建的站点，鼠标右键找到“权限”打开它, 选中网站，属性---主目录---配置----映射---删了不必要的映射 启用日志记录，网站—属性—网站选项卡—勾选启用日志记录 可以单击浏览来选择，日志文件的存放目录， 在日志文件属性里，选中高级，可以设所要记录的项 这样一个安全的网站运行环境就搭建完成了。 6、 实验完毕，关闭虚拟机和所有窗口。 |
|