服務(wù)器安裝McAfee + 彩影ARP防火墻 很不錯(cuò). (更多資料可以查看s.jb51.net里面的內(nèi)容。)
這是一個(gè)很的害厲黑客告訴我的,說(shuō)只有安裝了這二樣他才沒(méi)著。

服務(wù)器殺毒。
360safe檢查服務(wù)器安全問(wèn)題（用完就刪，千萬(wàn)不要保留）
a) 清理惡意插件。
b) 清理無(wú)用軟件。
c) 修復(fù)系統(tǒng)漏洞。
d) 查殺流行木馬。
e) 關(guān)閉無(wú)用進(jìn)程/關(guān)閉無(wú)用啟動(dòng)項(xiàng)/關(guān)閉無(wú)用服務(wù)。
檢查服務(wù)器安全
a) 查看WEB站點(diǎn)是否正常訪(fǎng)問(wèn)。
l 有沒(méi)有多出新的站點(diǎn)？
l 站點(diǎn)使用的是什么數(shù)據(jù)庫(kù)？
l 站點(diǎn)權(quán)限問(wèn)題。
l 站點(diǎn)下是否有新上傳的文件。
l 站點(diǎn)后臺(tái)是否多個(gè)管理員操作權(quán)限。
l 檢查各站點(diǎn)是否掛馬，是否有注入漏洞，是否有JS漏洞，等等。
l 搜索站點(diǎn)目錄下文件內(nèi)容是否有“cmd/exec/serv-u”字樣
l 查找.asp;.asa;.php;擴(kuò)展名的文件大小大于25K的文件，打開(kāi)查看是否是木馬文件
l IE打開(kāi)站點(diǎn)時(shí)如果出現(xiàn)不明的加載DLL提示，立刻檢查代碼是否掛馬，第三方的廣告是否掛馬，非站內(nèi)URL是否被掛馬。
l 可以安裝“谷歌瀏覽器”和“360安全瀏覽器”會(huì)自動(dòng)提示頁(yè)面是否掛馬，可查看掛馬的文件
l 最主要的是憑感覺(jué)來(lái)發(fā)現(xiàn)病毒。如：服務(wù)器很慢/有隱藏的操作/aspx文件無(wú)cs文件/文件時(shí)間不對(duì)路/
l 掛馬有多種方式：
以JS文件的形式將木馬掛在頁(yè)面上(asp/aspx/html/htm/php)。
以JS代碼的形式將木馬掛在頁(yè)面上(asp/aspx/html/htm/php)。
將JS病毒代碼放到CSS文件里。用” eXpreSsIon”和@import引用
將JS病毒代碼放在JS文件里。用document.write輸出調(diào)用。
用iframe打開(kāi)有JS病毒的頁(yè)面。
將JS病毒代碼放在任意文件里，用“C:\WINDOWS\system32\inetsrv\MetaBase.Xml”用“DefaultDocFooter="FILE:C:\Inetpub\wwwroot\iisstart.htm"”來(lái)調(diào)用。
通過(guò)IIS的ISAPI （ISAPI擴(kuò)展/ISAPI篩選器）掛馬，刪除無(wú)用的ISAPI即可。
如果在服務(wù)器上找不到病毒代碼那么可能是ARP掛馬
b) 查看數(shù)據(jù)庫(kù)是否正常訪(fǎng)問(wèn)
l 不要使用SA操作數(shù)據(jù)庫(kù)。
l 新建一個(gè)通用的操作所有數(shù)據(jù)庫(kù)的用戶(hù)。
l 各個(gè)數(shù)據(jù)庫(kù)權(quán)限問(wèn)題。是否有特殊的權(quán)限？
l 數(shù)據(jù)庫(kù)對(duì)應(yīng)的站點(diǎn)是否明確，是用什么角色操作的。
l 查看執(zhí)行的SQL效率，及時(shí)改進(jìn)SQL的優(yōu)化。
l 定期刪除1個(gè)月前的數(shù)據(jù)庫(kù)備份文件。
l 定期完全備份常用數(shù)據(jù)庫(kù)，每天增量備份常用數(shù)據(jù)庫(kù)。寫(xiě)成SQL維護(hù)計(jì)劃，會(huì)自動(dòng)備份數(shù)據(jù)。
l 如果有離職的程序員就要修改數(shù)據(jù)庫(kù)登錄賬號(hào)密碼
c) 查看系統(tǒng)用戶(hù)和組是否正常。
l 有沒(méi)有不認(rèn)識(shí)的用戶(hù)和組信息。
l 用戶(hù)所屬者。
l 各個(gè)用戶(hù)對(duì)應(yīng)的權(quán)限。
l 用戶(hù)的密碼安全度。
l 正常情況下有4個(gè)賬號(hào)就是安全的。如：Administrator/ASPNET/IUSR_*/IWAM_*

l 如果有離職的程序員就要修改登錄賬號(hào)密碼
d) 查看FTP賬號(hào)是否正常。
l 有沒(méi)有不認(rèn)識(shí)的新建用戶(hù)信息。
l 用戶(hù)所屬者。
l 各個(gè)用戶(hù)對(duì)應(yīng)的權(quán)限。
l 用戶(hù)的密碼安全度。
l 如果有離職的程序員就要修改FTP賬號(hào)密碼
e) 查看其它信息。
l 檢查常用服務(wù)是否啟動(dòng)。
如：CMailServer/Serv-U/ServerSQL 2000/
l 系統(tǒng)最容易留后門(mén)的文件是“c:\windows\system32\sethc.exe和c:\windows\system32\dllcache\sethc.exe”，每次在登錄遠(yuǎn)程的時(shí)候，要試下連續(xù)按7下“shift”鍵，如果出現(xiàn)的是
這個(gè)窗口說(shuō)明sethc.exe正常，否則要先刪除“c:\windows\system32\dllcache\sethc.exe”文件在刪除“c:\windows\system32\sethc.exe”文件。然后復(fù)制本地的文件先上傳到dllcache目錄下。先刪除dllcache目錄下的文件是不讓這個(gè)文件自動(dòng)恢復(fù)。
可以禁用“控制面板-輔助功能選項(xiàng)-粘滯鍵設(shè)置-關(guān)掉使用快捷鍵”

l 一定要禁用“servers”服務(wù)。這樣才能關(guān)掉隱藏共享。
如圖不能存在隱藏共享：

l 如果服務(wù)器aspx文件中被加入了JS病毒代碼。運(yùn)行＂無(wú)亂碼清除ＷＥＢ頁(yè)中的病毒代碼＂

可無(wú)亂碼替換病毒代碼。
l 打開(kāi)IIS->Web服務(wù)器擴(kuò)展->在服務(wù)器端的包含文件 禁用
只啟用“Active ServerPages/ASP.NET v1.1/ASP.NET v2.0”就可以了。
如果使用ISAPI_Rewrite工具還要啟用“ISAPI擴(kuò)展服務(wù)”
l 如果服務(wù)器很慢，并且開(kāi)通了IIS的SMTP服務(wù)發(fā)送EMAIL，要定期清空“c:\Inetpub\mailroot\Badmail”目錄內(nèi)容。可以寫(xiě)個(gè)CMD命令完成：del c:\Inetpub\mailroot\Badmail\*.* /f/s /q
注意在群發(fā)EMAIL的時(shí)先關(guān)閉殺毒軟件對(duì)EMAIL的監(jiān)視功能。

IIS站點(diǎn)問(wèn)題匯總
a) 如果站點(diǎn)打不開(kāi)，請(qǐng)用FF瀏覽器查看出錯(cuò)原因，IE是無(wú)法查看到具體的出錯(cuò)原因的。
b) 如果出現(xiàn)錯(cuò)誤第一時(shí)間將出錯(cuò)信息復(fù)制到baidu上查找原因。
c) NET環(huán)配置可能出現(xiàn)的問(wèn)題是：
1.1和2.0之間的對(duì)應(yīng)問(wèn)題，如果你站點(diǎn)是1.1的在站點(diǎn)設(shè)置里面也要版本選擇1.1的
未知的錯(cuò)誤可能是IIS對(duì)應(yīng)目錄的文件權(quán)限問(wèn)題。如寫(xiě)Access文件/寫(xiě)日志文件或配置文件都需要權(quán)限。權(quán)限設(shè)置也要注意一些事項(xiàng)，機(jī)子不同權(quán)限也不同，操作系統(tǒng)不同權(quán)限也不同。
大部分機(jī)子都是需要加入“Everyone”有修改權(quán)限即可。
如果還是出錯(cuò)。NET就要加入“ASPNET” 有修改權(quán)限。如果是ASP的要加入“IUSR_xxxxxxx” 有修改權(quán)限。
如果還是出錯(cuò)需要加入“C:\WINDOWS\temp目錄Everyone” 修改權(quán)限。
如果還是出錯(cuò)需要加入“C:\Documents and Settings\當(dāng)前用戶(hù)目錄\Local Settings\Temp目錄Everyone” 修改權(quán)限。
如果還是出錯(cuò)需要加入“C:\Documents and Settings\xxxxxx\ASPNET目錄ASPNET” 修改權(quán)限。
出錯(cuò)“CS0016:未能寫(xiě)入輸出文件: '*:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\TemporaryASP.NET Files\*\*.dll'--拒絕訪(fǎng)問(wèn)”
l 右鍵C:\Windows\Temp文件夾--屬性--安全,添加一個(gè)用戶(hù)"NETWORK SERVICE",(如果是.NET Framework 1.0或Win2000 則添加用戶(hù)"aspnet user"),"賦予權(quán)限--完全控制
l 重新啟動(dòng)IIS
4. 出錯(cuò)“(服務(wù)器應(yīng)用程序不可用)您試圖在此 Web 服務(wù)器上訪(fǎng)問(wèn)的 Web 應(yīng)用程序當(dāng)前不可用。請(qǐng)點(diǎn)擊 Web 瀏覽器中的”
l 站點(diǎn)指向新的應(yīng)用程序池
l 運(yùn)行“C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_regiis-r”
l 先重安裝IIS，在安裝NET Framework
5. “ServiceUnavailable”應(yīng)該程序池用戶(hù)無(wú)權(quán)限，不是IIS_WPG組。
6. HTTP 錯(cuò)誤401.1 - 未經(jīng)授權(quán)：訪(fǎng)問(wèn)由于憑據(jù)無(wú)效被拒絕
開(kāi)始－程序－本地安全策略，在本地策略－用戶(hù)權(quán)限分配中，找到從網(wǎng)絡(luò)訪(fǎng)問(wèn)計(jì)算機(jī)這一項(xiàng)，添加剛才新建的IIS站點(diǎn)用戶(hù)
d) 如果出現(xiàn)的問(wèn)題實(shí)在是找不到原因，可以重啟IIS，如果還不行就重啟電腦。有很多意外的錯(cuò)誤只能重啟電腦才能解決。
e) 網(wǎng)站開(kāi)發(fā)過(guò)重中，要時(shí)修改修改代碼，NET站點(diǎn)如果有改動(dòng)App_Code目錄下的文件/Web.config文件/bin目錄下的文件/.master文件都需要重新編譯。如果改動(dòng)的次數(shù)過(guò)多網(wǎng)站會(huì)打開(kāi)很慢很慢。這次需要重啟IIS。
f) 站點(diǎn)不要建太多的虛擬目錄，如果虛擬目錄和一般目錄同名時(shí)虛擬目錄優(yōu)先級(jí)高，所以一般目錄下的內(nèi)容是訪(fǎng)問(wèn)不了的。
g) 刪除windows\system32\dllcache\目錄中的cacls.exe/cmd.exe/net.exe/net1.exe/ftp.exe/tftp.exe/telnet.exe/netstat.exe/regedit.exe/at.exe/attrib.exe/format.com文件．然后設(shè)置windows\system32目錄中的cacls.exe/cmd.exe/net.exe/net1.exe/ftp.exe/tftp.exe/telnet.exe/netstat.exe/regedit.exe/at.exe/attrib.exe/format.com只有administrators組和system有執(zhí)行和讀取權(quán)限．

最新評(píng)論