windows架设web服务器的安全立体防护

服务器网络安全交流主要针对windows系统本地宝 邱家海2、黑客入侵路径（知己知彼）寻找网站漏洞SQL注入文件上传寻找后台社会工程没漏洞同服务器的网站上传木马扩展存储过程写入木马备份数据库WEBSHELL备份出木马用户提权控制服务器打包网站下载文件搞破坏留后门3、防范入侵的安全措施黑客WEB应用程序WEB服务数据库服务操作系统每个环节都要防范危害性增加其它服务4、WEB应用程序安全SQL注入nURL注入、输入框注入1、程序中过虑危险字符2、IIS使用REWRITE规则过虑3、SQL语句不采用拼接的方式nCookies注入1、防止Cookies被修改可逆加密 MD5校验WEB程序中最常见的漏洞，程序员一不小心，网站就被黑了5、WEB应用程序安全漏洞与防范n上传漏洞、文件管理、备份导致的漏洞防范对上传程序要把关权限审查要严格文件夹权限要设好n跨站漏洞防范构造JS脚本过虑要严格6、WEB应用程序安全其它nCookies篡改可逆加密 MD5校验n开源应用程序小心使用，及时打补丁ewebeditor动网论坛织梦（DEDE）漏洞一被发现，挂马一大遍7.IIS的安全配置nIIS访问用户与网站文件夹权限每个网站都是不同的GUEST用户ASP.NET网站，应用程序池用不同用户n对用户上传文件夹执行权限设为“无”n应用程序池下配置网站数量要适当n不要向客户端发送错误信息（ASP）ASP.NET禁用调试模式8、数据库安全n帐号管理SA 帐号 只有一两个人知道开发人员帐号不得用于程序中对个别重要的数据库各表权限设定禁止程序中用于连接的用户建表、备份数据库n数据库连接一个数据库一个帐户连接串不出现在应用程序中，网站多的话集中配置9、数据库安全n删除不必要扩展存储过程防止注入漏洞被利用 :xp_cmdshell sp_makewebtaskSA用户sysadmin用户组可以恢复n实例端口不使用默认的端口1433n数据库备份每天自动备份 保留半个月 异地备份每周一次10、操作系统安全n自带防火墙 端口按需开启n杀毒软件 ARP防火墙nIP筛选 端口按需开启n及时打补丁n远程控制端口一定要改n危险DLL注销或彻底删除掉n禁用不必要的服务：workstation之类n文件夹权限配置n安全策略 登陆次数 记录登陆事件11、了解黑客技术与工具nSQL注入扫描器 HDSInSQL注入工具 啊Dn木马上传工具n各种语言写的WEBSHELL12、服务器瓶颈n内存 内存消耗>物理内存缓存适当使用个别差性能的程序影响n磁盘I/O Avg.disk Queue Length<=磁盘数*2应用程序减少频繁的文件读写数据库查询优化（20/80） 数据库服务与WEB服务分开多个磁盘、RAID，提高I/O负载能力13、服务器瓶颈nCPU 很少出现n带宽GZIP压缩（节约70%带宽）降低图片质量（节约30%带宽）防盗链CDN分流（DNS轮询+squid）n性能监视任务管理器、性能监视器、SQL事件探查器14、服务器数据备份nIIS配置 定期加密备份到其它分区n文件备份 使用WINDOWS备份工具自 动 备份n数据库备份 维护计划自动备份保留一周n系统备份 GHOSTn异地备份 每隔一段时间备份一次n备份记录 15、保证服务的稳定性、高可用性n服务器架构探讨1、服务器群集2、服务器虚拟化，虚拟机群集服务器监控 提醒与自动化处理1、监控IIS2、监控网络连接3、监控磁盘4、监控指定的服务谢 谢！邱家海 QQ：103201165网络资源nWINDOWS2003安全设置：http:/www.anqn.com/os/windows2003/2005-12-11/a0976051.shtmln删除危险存储过程：http:/jiahuafu163.blog.163.com/blog/static/32061113200871381630422/nIIS应用程序池权限配置：http:/tieba.baidu.com/f?kz=159096378n自动备份IIS：http:/www.asp.org.cn/server/2008924/server1235.htmlnIIS安全配置：http:/www.asp.org.cn/server/200841/server344.htmlnIIS用户权限配置：http:/www.asp.org.cn/server/2008331/server332.htmlnSQUID FOR WINDOWS安装：http:/blog.csdn.net/lixianlin/archive/2007/03/16/1531777.aspxnASP.NET网站IIS权限配置：http:/hi.baidu.com/jiahai/blog/item/fc57b1fbb2c7c9284e4aeaed.htmlnIIS启用GZIP：http:/hi.baidu.com/jiahai/blog/item/40fc362a55bd3b305243c1f2.htmln修改IIS端口，SQUID与IIS同一机器时要改： http:/hi.baidu.com/jiahai/blog/item/3c66d2c820ca58117f3e6f9b.htmlnREWRITE防URL注入：http:/hi.baidu.com/jiahai/blog/item/29a61ad8fcce7a3832fa1cce.html