Internet服务器安全配置原理篇(2)

　　5. 执行SHELL

　　入侵者获得shell来执行更多指令

　　对应措施:设置ACL权限

　　Windows的命令行控制台位于\WINDOWS\SYSTEM32\CMD.EXE

　　我们将此文件的ACL修改为某个特定管理员帐户(比如administrator)拥有全部权限。

　　其他用户，包括system用户、administrators组等等，一律无权限访问此文件。

　　6. 利用已有用户或添加用户

　　入侵者通过利用修改已有用户或者添加Windows正式用户，向获取管理员权限迈进

　　对应措施:设置ACL权限、修改用户

　　将除管理员外所有用户的终端访问权限去掉，限制CMD.EXE的访问权限，限制SQL SERVER内的XP_CMDSHELL

　　7. 登陆图形终端

　　入侵者登陆TERMINAL SERVER或者RADMIN等等图形终端，获取许多图形程序的运行权限。由于WINDOWS系统下绝大部分应用程序都是GUI的，所以这步是每个入侵WINDOWS的入侵者都希望获得的

　　对应措施:端口限制

　　入侵者可能利用3389或者其他的木马之类的获取对于图形界面的访问。我们在第一步的端口限制中，对所有从内到外的访问一律屏蔽也就是为了防止反弹木马，所以在端口限制中，由本地访问外部网络的端口越少越好。如果不是作为MAIL SERVER，可以不用加任何由内向外的端口，阻断所有的反弹木马。

　　8. 擦除脚印

　　入侵者在获得了一台机器的完全管理员权限后，就是擦除脚印来隐藏自身

　　对应措施:审计

　　首先我们要确定在windows日志中打开足够的审计项目，如果审计项目不足，入侵者甚至都无需去删除windows事件。其次我们可以用自己的cmd.exe以及net.exe来替换系统自带的将运行的指令保存下来，了解入侵者的行动。对于windows日志，我们可以通过将日志发送到远程日志服务器的方式来保证记录的完整性。evtsys工具(https://engineering.purdue.edu/ECN/Resources/Documents)提供将windows日志转换成syslog格式并且发送到远程服务器上的功能，使用此用具，并且在远程服务器上开放syslogd，如果远程服务器是windows系统，推荐使用kiwi syslog deamon。我们要达到的目的就是不让入侵者扫描到主机弱点，即使扫描到了也不能上传文件，即使上传文件了不能操作其他目录的文件，即使操作了其他目录的文件也不能执行shell，即使执行了shell也不能添加用户，即使添加用户了也不能登陆图形终端，即使登陆了图形终端、拥有系统控制权，他的所作所为还是会被记录下来。

　　额外措施:我们可以通过增加一些设备和措施来进一步加强系统安全性。

　　1. 代理型防火墙，如ISA2004

　　代理型防火墙可以对进出的包进行内容过滤，设置对HTTP REQUEST内的request string或者form内容进行过滤，将SELECT、DROP、DELETE、INSERT等都过滤掉，因为这些关键词在客户提交的表单或者内容中是不可能出现的。过滤了以后可以说从根本杜绝了SQL 注入。

　　2. 用SNORT建立IDS

　　用另一台服务器建立个SNORT，对于所有进出服务器的包都进行分析和记录，特别是FTP上传的指令以及HTTP对ASP文件的请求，可以特别关注一下。本文提到的部分软件在提供下载的RAR中包含:

　　包括COM命令行执行记录

　　URLSCAN 2.5以及配置好的配置文件

　　IPSEC导出的端口规则

　　evtsys

　　一些注册表加固的注册表项