2003伺服器架設

一、Windows Server2003的安裝 

　　1、安裝系統最少兩需要個分區，分區格式都采用NTFS格式 

　　2、在斷開網絡的情況安裝好2003系統 

　　3、安裝IIS，僅安裝必要的 IIS 元件(禁用不需要的如FTP 和 SMTP 服務)。預設情況下，IIS服務沒有安裝，在添加/删除Win元件中選擇“應用程式伺服器”，然後點選“詳細資訊”，輕按兩下Internet資訊服務(iis)，勾選以下選項： 

　　Internet 資訊服務管理器； 

　　公用檔案； 

　　背景智能傳輸服務 (BITS) 伺服器擴充； 

　　網際網路服務。 

　　如果你使用 FrontPage 擴充的 Web 站點再勾選：FrontPage 2002 Server Extensions 

　　4、安裝MSSQL及其它所需要的軟體然後進行Update。 

　　5、使用Microsoft 提供的 MBSA(Microsoft Baseline Security Analyzer) 工具分析計算機的安全配置，并辨別缺少的修補程式和更新。下載下傳位址：見頁末的連結 

    二、設定和管理賬戶 

　　1、系統管理者賬戶最好少建，更改預設的管理者帳戶名(Administrator)和描述，密碼最好采用數字加大小寫字母加數字的上檔鍵組合，長度最好不少于14位。 

　　2、建立一個名為Administrator的陷阱帳号，為其設定最小的權限，然後随便輸入組合的最好不低于20位的密碼 

　　3、将Guest賬戶禁用并更改名稱和描述，然後輸入一個複雜的密碼，當然現在也有一個DelGuest的工具，也許你也可以利用它來删除Guest賬戶，但我沒有試過。 

　　4、在運作中輸入gpedit.msc回車，打開組政策編輯器，選擇計算機配置-Windows設定-安全設定-賬戶政策-賬戶鎖定政策，将賬戶設為“三次登陸無效”，“鎖定時渖栉?0分鐘”，“複位鎖定計數設為30分鐘”。 

　　5、在安全設定-本地政策-安全選項中将“不顯示上次的使用者名”設為啟用 

　　6、在安全設定-本地政策-使用者權利配置設定中将“從網絡通路此計算機”中隻保留Internet來賓賬戶、啟動IIS程序賬戶。如果你使用了Asp.net還要保留Aspnet賬戶。 

　　7、建立一個User賬戶，運作系統，如果要運作特權指令使用Runas指令。 

    三、網絡服務安全管理 

　　1、禁止C$、D$、ADMIN$一類的預設共享 

　　打開系統資料庫，HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters，在右邊的視窗中建立Dword值，名稱設為AutoShareServer值設為0 

　　2、 解除NetBios與TCP/IP協定的綁定 

　　右擊網路上的芳鄰-屬性-右擊本地連接配接-屬性-輕按兩下Internet協定-進階-Wins-禁用TCP/IP上的NETBIOS 

　　3、關閉不需要的服務，以下為建議選項 

　　Computer Browser:維護網絡計算機更新，禁用 

　　Distributed File System: 區域網路管理共享檔案，不需要禁用 

　　Distributed linktracking client：用于區域網路更新連接配接資訊，不需要禁用 

　　Error reporting service：禁止發送錯誤報告 

　　Microsoft Serch：提供快速的單詞搜尋，不需要可禁用 

　　NTLMSecuritysupportprovide：telnet服務和Microsoft Serch用的，不需要禁用 

　　PrintSpooler：如果沒有列印機可禁用 

　　Remote Registry：禁止遠端修改系統資料庫 

　　Remote Desktop Help Session Manager：禁止遠端協助 

　　四、打開相應的稽核政策 

　　在運作中輸入gpedit.msc回車，打開組政策編輯器，選擇計算機配置-Windows設定-安全設定-稽核政策在建立稽核項目時需要注意的是如果稽核的項目太多，生成的事件也就越多，那麼要想發現嚴重的事件也越難當然如果稽核的太少也會影響你發現嚴重的事件，你需要根據情況在這二者之間做出選擇。 

　　推薦的要稽核的項目是： 

　　登入事件 成功 失敗 

　　賬戶登入事件 成功 失敗 

　　系統事件 成功 失敗 

　　政策更改 成功 失敗 

　　對象通路 失敗 

　　目錄服務通路 失敗 

　　特權使用 失敗 

    五、其它安全相關設定 

　　1、隐藏重要檔案/目錄 

　　可以修改系統資料庫實作完全隐藏：“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL”，滑鼠右擊“CheckedValue”，選擇修改，把數值由1改為0 

　　2、啟動系統自帶的Internet連接配接防火牆，在設定服務選項中勾選Web伺服器。 

　　3、防止SYN洪水攻擊 

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters 

　　建立DWORD值，名為SynAttackProtect，值為2 

　　4. 禁止響應ICMP路由通告封包 

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters \Interfaces\interface 

　　建立DWORD值，名為PerformRouterDiscovery 值為0 

　　5. 防止ICMP重定向封包的攻擊 

　　将EnableICMPRedirects 值設為0 

　　6. 不支援IGMP協定 

　　建立DWORD值，名為IGMPLevel 值為0 

　　7、禁用DCOM： 

　　運作中輸入 Dcomcnfg.exe。 回車， 單擊“控制台根節點”下的“元件服務”。 打開“計算機”子檔案夾。 

　　對于本地計算機，請以右鍵單擊“我的電腦”，然後選擇“屬性”。選擇“預設屬性”頁籤。 

　　清除“在這台計算機上啟用分布式 COM”複選框。 

　　注：3-6項内容我采用的是Server2000設定，沒有測試過對2003是否起作用。但有一點可以肯定我用了一段的時間沒有發現其它副面的影響。

六、配置 IIS 服務： 

　　1、不使用預設的Web站點，如果使用也要将 将IIS目錄與系統磁盤分開。 

　　2、删除IIS預設建立的Inetpub目錄（在安裝系統的盤上）。 

　　3、删除系統盤下的虛拟目錄，如：_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。 

　　4、删除不必要的IIS擴充名映射。 

　　右鍵單擊“預設Web站點→屬性→主目錄→配置”，打開應用程式視窗，去掉不必要的應用程式映射。主要為.shtml, .shtm, .stm 

　　5、更改IIS日志的路徑 

　　右鍵單擊“預設Web站點→屬性-網站-在啟用日志記錄下點選屬性 

　　6、如果使用的是2000可以使用iislockdown來保護IIS，在2003運作的IE6.0的版本不需要。 

　　7、使用UrlScan 

　　UrlScan是一個ISAPI篩選器，它對傳入的HTTP資料包進行分析并可以拒絕任何可疑的通信量。目前最新的版本是2.5，如果是2000Server需要先安裝1.0或2.0的版本。下載下傳位址見頁未的連結 

　　如果沒有特殊的要求采用UrlScan預設配置就可以了。 

　　但如果你在伺服器運作ASP.NET程式，并要進行調試你需打開要%WINDIR%\System32\Inetsrv\URLscan 

　　檔案夾中的URLScan.ini 檔案，然後在UserAllowVerbs節添加debug謂詞，注意此節是區分大小寫的。 

　　如果你的網頁是.asp網頁你需要在DenyExtensions删除.asp相關的内容。 

　　如果你的網頁使用了非ASCII代碼，你需要在Option節中将AllowHighBitCharacters的值設為1 

　　在對URLScan.ini 檔案做了更改後，你需要重新開機IIS服務才能生效，快速方法運作中輸入iisreset 

　　如果你在配置後出現什麼問題，你可以通過添加/删除程式删除UrlScan。 

　　8、利用WIS (Web Injection Scanner)工具對整個網站進行SQL Injection 脆弱性掃描. 

　　下載下傳位址：VB.NET愛好者 

    七、配置Sql伺服器 

　　1、System Administrators 角色最好不要超過兩個 

　　2、如果是在本機最好将身份驗證配置為Win登陸 

　　3、不要使用Sa賬戶，為其配置一個超級複雜的密碼 

　　4、删除以下的擴充存儲過程格式為： 

　　use master 

　　sp_dropextendedproc ’擴充存儲過程名’ 

　　xp_cmdshell：是進入作業系統的最佳捷徑，删除 

　　通路系統資料庫的存儲過程，删除 

　　 

Xp_regaddmultistring　　Xp_regdeletekey　　Xp_regdeletevalue　　Xp_regenumvalues 

　　Xp_regread　　　　　 Xp_regwrite　　　 Xp_regremovemultistring 

　　OLE自動存儲過程，不需要删除 

　　Sp_OACreate　 　Sp_OADestroy　　　　Sp_OAGetErrorInfo　　Sp_OAGetProperty 

　　Sp_OAMethod　　Sp_OASetProperty　　Sp_OAStop 

　　5、隐藏 SQL Server、更改預設的1433端口 

　　右擊執行個體選屬性-正常-網絡配置中選擇TCP/IP協定的屬性，選擇隐藏 SQL Server 執行個體，并改原預設的1433端口。 

    八、如果隻做伺服器，不進行其它操作，使用IPSec 

　　1、管理工具—本地安全政策—右擊IP安全政策—管理IP篩選器表和篩選器操作—在管理IP篩選器表選項下點選 

　　添加—名稱設為Web篩選器—點選添加—在描述中輸入Web伺服器—将源位址設為任何IP位址——将目标位址設為我的IP位址——協定類型設為Tcp——IP協定端口第一項設為從任意端口，第二項到此端口80——點選完成——點選确定。 

　　2、再在管理IP篩選器表選項下點選 

　　添加—名稱設為所有入站篩選器—點選添加—在描述中輸入所有入站篩選—将源位址設為任何IP位址——将目标位址設為我的IP位址——協定類型設為任意——點選下一步——完成——點選确定。 

　　3、在管理篩選器操作選項下點選添加——下一步——名稱中輸入阻止——下一步——選擇阻止——下一步——完成——關閉管理IP篩選器表和篩選器操作視窗 

　　4、右擊IP安全政策——建立IP安全政策——下一步——名稱輸入資料包篩選器——下一步——取消預設激活響應原則——下一步——完成 

　　5、在打開的新IP安全政策屬性視窗選擇添加——下一步——不指定隧道——下一步——所有網絡連接配接——下一步——在IP篩選器清單中選擇建立的Web篩選器——下一步——在篩選器操作中選擇許可——下一步——完成——在IP篩選器清單中選擇建立的阻止篩選器——下一步——在篩選器操作中選擇阻止——下一步——完成——确定 

　　6、在IP安全政策的右邊視窗中右擊建立的資料包篩選器，點選指派，不需要重新開機，IPSec就可生效. 

    九、建議 

　　如果你按本文去操作，建議每做一項更改就測試一下伺服器，如果有問題可以馬上撤消更改。而如果更改的項數多，才發現出問題，那就很難判斷問題是出在哪一步上了。 

　　十、運作伺服器記錄目前的程式和開放的端口 

　　1、将目前伺服器的程序抓圖或記錄下來，将其儲存，友善以後對照檢視是否有不明的程式。 

　　2、将目前開放的端口抓圖或記錄下來，儲存，友善以後對照檢視是否開放了不明的端口。當然如果你能分辨每一個程序，和端口這一步可以省略。