WindowsServer2003 + IIS6.0 + ASP 服務(wù)器安全設(shè)置之--組件安全設(shè)置篇 A、卸載WScript.Shell 和 Shell.application 組件，將下面的代碼保存為一個(gè).BAT文件執(zhí)行（分2000和2003系統(tǒng)）windows2000.bat


B、改名不安全組件，需要注意的是組件的名稱和Clsid都要改，并且要改徹底了，不要照抄，要自己改
開(kāi)始→運(yùn)行→regedit→回車】打開(kāi)注冊(cè)表編輯器

然后【編輯→查找→填寫(xiě)Shell.application→查找下一個(gè)】

用這個(gè)方法能找到兩個(gè)注冊(cè)表項(xiàng)：

{13709620-C279-11CE-A49E-444553540000} 和 Shell.application 。

第一步：
為了確保萬(wàn)無(wú)一失，把這兩個(gè)注冊(cè)表項(xiàng)導(dǎo)出來(lái)，保存為xxxx.reg 文件。

第二步：比如我們想做這樣的更改

13709620-C279-11CE-A49E-444553540000 改名為 13709620-C279-11CE-A49E-444553540001

Shell.application 改名為 Shell.application_nohack

第三步：那么，就把剛才導(dǎo)出的.reg文件里的內(nèi)容按上面的對(duì)應(yīng)關(guān)系替換掉，然后把修改好的.reg文件導(dǎo)入到注冊(cè)表中（雙擊即可），導(dǎo)入了改名后的注冊(cè)表項(xiàng)之后，別忘記了刪除原有的那兩個(gè)項(xiàng)目。這里需要注意一點(diǎn)，Clsid中只能是十個(gè)數(shù)字和ABCDEF六個(gè)字母。

其實(shí)，只要把對(duì)應(yīng)注冊(cè)表項(xiàng)導(dǎo)出來(lái)備份，然后直接改鍵名就可以了，
改好的例子建議自己改應(yīng)該可一次成功：
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/InProcServer32]
@="C://WINNT//system32//shell32.dll"
"ThreadingModel"="Apartment"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/ProgID]
@="Shell.Application_nohack.1"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/TypeLib]
@="{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/Version]
@="1.1"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/VersionIndependentProgID]
@="Shell.Application_nohack"
[HKEY_CLASSES_ROOT/Shell.Application_nohack]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT/Shell.Application_nohack/CLSID]
@="{13709620-C279-11CE-A49E-444553540001}"
[HKEY_CLASSES_ROOT/Shell.Application_nohack/CurVer]
@="Shell.Application_nohack.1"
評(píng)論：WScript.Shell 和 Shell.application 組件是 腳本入侵過(guò)程中，提升權(quán)限的重要環(huán)節(jié)，這兩個(gè)組件的卸載和修改對(duì)應(yīng)注冊(cè)鍵名，可以很大程度的提高虛擬主機(jī)的腳本安全性能，一般來(lái)說(shuō)，ASP和php類腳本提升權(quán)限的功能是無(wú)法實(shí)現(xiàn)了，再加上一些系統(tǒng)服務(wù)、硬盤(pán)訪問(wèn)權(quán)限、端口過(guò)濾、本地安全策略的設(shè)置，虛擬主機(jī)因該說(shuō)，安全性能有非常大的提高，黑客入侵的可能性是非常低了。注銷了Shell組件之后，侵入者運(yùn)行提升工具的可能性就很小了，但是prel等別的腳本語(yǔ)言也有shell能力，為防萬(wàn)一，還是設(shè)置一下為好。下面是另外一種設(shè)置，大同小異。
一、禁止使用FileSystemObject組件 　　FileSystemObject可以對(duì)文件進(jìn)行常規(guī)操作,可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。

　　HKEY_CLASSES_ROOT/Scripting.FileSystemObject/

　　改名為其它的名字，如：改為 FileSystemObject_ChangeName

　　自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了

　　也要將clsid值也改一下

　　HKEY_CLASSES_ROOT/Scripting.FileSystemObject/CLSID/項(xiàng)目的值
　　也可以將其刪除，來(lái)防止此類木馬的危害。
　　2000注銷此組件命令：RegSrv32 /u C:/WINNT/SYSTEM/scrrun.dll
　　2003注銷此組件命令：RegSrv32 /u C:/WINDOWS/SYSTEM/scrrun.dll
　　如何禁止Guest用戶使用scrrun.dll來(lái)防止調(diào)用此組件？
　　使用這個(gè)命令：cacls C:/WINNT/system32/scrrun.dll /e /d guests
　　二、禁止使用WScript.Shell組件
　　WScript.Shell可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令
　　可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
　　HKEY_CLASSES_ROOT/WScript.Shell/及HKEY_CLASSES_ROOT/WScript.Shell.1/
　　改名為其它的名字，如：改為WScript.Shell_ChangeName 或 WScript.Shell.1_ChangeName
　　自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
　　也要將clsid值也改一下
　　HKEY_CLASSES_ROOT/WScript.Shell/CLSID/項(xiàng)目的值
　　HKEY_CLASSES_ROOT/WScript.Shell.1/CLSID/項(xiàng)目的值
　　也可以將其刪除，來(lái)防止此類木馬的危害。
　　三、禁止使用Shell.Application組件
　　Shell.Application可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令
　　可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
　　HKEY_CLASSES_ROOT/Shell.Application/

　　及

　　HKEY_CLASSES_ROOT/Shell.Application.1/

　　改名為其它的名字，如：改為Shell.Application_ChangeName 或 Shell.Application.1_ChangeName
　　自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
　　也要將clsid值也改一下
　　HKEY_CLASSES_ROOT/Shell.Application/CLSID/項(xiàng)目的值

　　HKEY_CLASSES_ROOT/Shell.Application/CLSID/項(xiàng)目的值
　　也可以將其刪除，來(lái)防止此類木馬的危害。
　　禁止Guest用戶使用shell32.dll來(lái)防止調(diào)用此組件。
　　2000使用命令：cacls C:/WINNT/system32/shell32.dll /e /d guests
　　2003使用命令：cacls C:/WINDOWS/system32/shell32.dll /e /d guests

　　注：操作均需要重新啟動(dòng)WEB服務(wù)后才會(huì)生效。
　　四、調(diào)用Cmd.exe
　　禁用Guests組用戶調(diào)用cmd.exe

　　2000使用命令：cacls C:/WINNT/system32/Cmd.exe /e /d guests
　　2003使用命令：cacls C:/WINDOWS/system32/Cmd.exe /e /d guests
　　通過(guò)以上四步的設(shè)置基本可以防范目前比較流行的幾種木馬，但最有效的辦法還是通過(guò)綜合安全設(shè)置，將服務(wù)器、程序安全都達(dá)到一定標(biāo)準(zhǔn)，才可能將安全等級(jí)設(shè)置較高，防范更多非法入侵。

C、防止Serv-U權(quán)限提升 (適用于 Serv-U6.0 以前版本，之后可以直接設(shè)置密碼)
先停掉Serv-U服務(wù)

用Ultraedit打開(kāi)ServUDaemon.exe

查找 Ascii：LocalAdministrator 和 #l@$ak#.lk;0@P

修改成等長(zhǎng)度的其它字符就可以了，ServUAdmin.exe也一樣處理。
另外注意設(shè)置Serv-U所在的文件夾的權(quán)限，不要讓IIS匿名用戶有讀取的權(quán)限，否則人家下走你修改過(guò)的文件，照樣可以分析出你的管理員名和密碼。可以使用阿江ASP探針來(lái)檢測(cè)下系統(tǒng)的安全狀態(tài)。
WindowsServer2003 + IIS6.0 + ASP 服務(wù)器安全設(shè)置之--組件安全設(shè)置篇 A、卸載WScript.Shell 和 Shell.application 組件，將下面的代碼保存為一個(gè).BAT文件執(zhí)行（分2000和2003系統(tǒng)）windows2000.bat
regsvr32/u C:/WINNT/System32/wshom.ocx
del C:/WINNT/System32/wshom.ocx
regsvr32/u C:/WINNT/system32/shell32.dll
del C:/WINNT/system32/shell32.dll
windows2003.bat
regsvr32/u C:/WINDOWS/System32/wshom.ocx
del C:/WINDOWS/System32/wshom.ocx
regsvr32/u C:/WINDOWS/system32/shell32.dll
del C:/WINDOWS/system32/shell32.dll
B、改名不安全組件，需要注意的是組件的名稱和Clsid都要改，并且要改徹底了，不要照抄，要自己改
開(kāi)始→運(yùn)行→regedit→回車】打開(kāi)注冊(cè)表編輯器

然后【編輯→查找→填寫(xiě)Shell.application→查找下一個(gè)】

用這個(gè)方法能找到兩個(gè)注冊(cè)表項(xiàng)：

{13709620-C279-11CE-A49E-444553540000} 和 Shell.application 。

第一步：
為了確保萬(wàn)無(wú)一失，把這兩個(gè)注冊(cè)表項(xiàng)導(dǎo)出來(lái)，保存為xxxx.reg 文件。

第二步：比如我們想做這樣的更改

13709620-C279-11CE-A49E-444553540000 改名為 13709620-C279-11CE-A49E-444553540001

Shell.application 改名為 Shell.application_nohack

第三步：那么，就把剛才導(dǎo)出的.reg文件里的內(nèi)容按上面的對(duì)應(yīng)關(guān)系替換掉，然后把修改好的.reg文件導(dǎo)入到注冊(cè)表中（雙擊即可），導(dǎo)入了改名后的注冊(cè)表項(xiàng)之后，別忘記了刪除原有的那兩個(gè)項(xiàng)目。這里需要注意一點(diǎn)，Clsid中只能是十個(gè)數(shù)字和ABCDEF六個(gè)字母。

其實(shí)，只要把對(duì)應(yīng)注冊(cè)表項(xiàng)導(dǎo)出來(lái)備份，然后直接改鍵名就可以了，
改好的例子建議自己改應(yīng)該可一次成功：
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/InProcServer32]
@="C://WINNT//system32//shell32.dll"
"ThreadingModel"="Apartment"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/ProgID]
@="Shell.Application_nohack.1"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/TypeLib]
@="{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/Version]
@="1.1"
[HKEY_CLASSES_ROOT/CLSID/{13709620-C279-11CE-A49E-444553540001}/VersionIndependentProgID]
@="Shell.Application_nohack"
[HKEY_CLASSES_ROOT/Shell.Application_nohack]
@="Shell Automation Service"
[HKEY_CLASSES_ROOT/Shell.Application_nohack/CLSID]
@="{13709620-C279-11CE-A49E-444553540001}"
[HKEY_CLASSES_ROOT/Shell.Application_nohack/CurVer]
@="Shell.Application_nohack.1"
評(píng)論：WScript.Shell 和 Shell.application 組件是 腳本入侵過(guò)程中，提升權(quán)限的重要環(huán)節(jié)，這兩個(gè)組件的卸載和修改對(duì)應(yīng)注冊(cè)鍵名，可以很大程度的提高虛擬主機(jī)的腳本安全性能，一般來(lái)說(shuō)，ASP和php類腳本提升權(quán)限的功能是無(wú)法實(shí)現(xiàn)了，再加上一些系統(tǒng)服務(wù)、硬盤(pán)訪問(wèn)權(quán)限、端口過(guò)濾、本地安全策略的設(shè)置，虛擬主機(jī)因該說(shuō)，安全性能有非常大的提高，黑客入侵的可能性是非常低了。注銷了Shell組件之后，侵入者運(yùn)行提升工具的可能性就很小了，但是prel等別的腳本語(yǔ)言也有shell能力，為防萬(wàn)一，還是設(shè)置一下為好。下面是另外一種設(shè)置，大同小異。

一、禁止使用FileSystemObject組件 　　FileSystemObject可以對(duì)文件進(jìn)行常規(guī)操作,可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。

　　HKEY_CLASSES_ROOT/Scripting.FileSystemObject/

　　改名為其它的名字，如：改為 FileSystemObject_ChangeName

　　自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了

　　也要將clsid值也改一下

　　HKEY_CLASSES_ROOT/Scripting.FileSystemObject/CLSID/項(xiàng)目的值
　　也可以將其刪除，來(lái)防止此類木馬的危害。
　　2000注銷此組件命令：RegSrv32 /u C:/WINNT/SYSTEM/scrrun.dll
　　2003注銷此組件命令：RegSrv32 /u C:/WINDOWS/SYSTEM/scrrun.dll
　　如何禁止Guest用戶使用scrrun.dll來(lái)防止調(diào)用此組件？
　　使用這個(gè)命令：cacls C:/WINNT/system32/scrrun.dll /e /d guests
　　二、禁止使用WScript.Shell組件
　　WScript.Shell可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令
　　可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
　　HKEY_CLASSES_ROOT/WScript.Shell/及HKEY_CLASSES_ROOT/WScript.Shell.1/
　　改名為其它的名字，如：改為WScript.Shell_ChangeName 或 WScript.Shell.1_ChangeName
　　自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
　　也要將clsid值也改一下
　　HKEY_CLASSES_ROOT/WScript.Shell/CLSID/項(xiàng)目的值
　　HKEY_CLASSES_ROOT/WScript.Shell.1/CLSID/項(xiàng)目的值
　　也可以將其刪除，來(lái)防止此類木馬的危害。
　　三、禁止使用Shell.Application組件
　　Shell.Application可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令
　　可以通過(guò)修改注冊(cè)表，將此組件改名，來(lái)防止此類木馬的危害。
　　HKEY_CLASSES_ROOT/Shell.Application/

　　及

　　HKEY_CLASSES_ROOT/Shell.Application.1/

　　改名為其它的名字，如：改為Shell.Application_ChangeName 或 Shell.Application.1_ChangeName
　　自己以后調(diào)用的時(shí)候使用這個(gè)就可以正常調(diào)用此組件了
　　也要將clsid值也改一下
　　HKEY_CLASSES_ROOT/Shell.Application/CLSID/項(xiàng)目的值

　　HKEY_CLASSES_ROOT/Shell.Application/CLSID/項(xiàng)目的值
　　也可以將其刪除，來(lái)防止此類木馬的危害。
　　禁止Guest用戶使用shell32.dll來(lái)防止調(diào)用此組件。
　　2000使用命令：cacls C:/WINNT/system32/shell32.dll /e /d guests
　　2003使用命令：cacls C:/WINDOWS/system32/shell32.dll /e /d guests

　　注：操作均需要重新啟動(dòng)WEB服務(wù)后才會(huì)生效。
　　四、調(diào)用Cmd.exe
　　禁用Guests組用戶調(diào)用cmd.exe

　　2000使用命令：cacls C:/WINNT/system32/Cmd.exe /e /d guests
　　2003使用命令：cacls C:/WINDOWS/system32/Cmd.exe /e /d guests
　　通過(guò)以上四步的設(shè)置基本可以防范目前比較流行的幾種木馬，但最有效的辦法還是通過(guò)綜合安全設(shè)置，將服務(wù)器、程序安全都達(dá)到一定標(biāo)準(zhǔn)，才可能將安全等級(jí)設(shè)置較高，防范更多非法入侵。

C、防止Serv-U權(quán)限提升 (適用于 Serv-U6.0 以前版本，之后可以直接設(shè)置密碼)
先停掉Serv-U服務(wù)

用Ultraedit打開(kāi)ServUDaemon.exe

查找 Ascii：LocalAdministrator 和 #l@$ak#.lk;0@P

修改成等長(zhǎng)度的其它字符就可以了，ServUAdmin.exe也一樣處理。
另外注意設(shè)置Serv-U所在的文件夾的權(quán)限，不要讓IIS匿名用戶有讀取的權(quán)限，否則人家下走你修改過(guò)的文件，照樣可以分析出你的管理員名和密碼?？梢允褂冒⒔瑼SP探針來(lái)檢測(cè)下系統(tǒng)的安全狀態(tài)。

最新評(píng)論