您的位置：首页 > 运维架构 > 网站架构

老站长传授网站防黑经验

2010-06-24 12:36 148 查看

老站长传授网站防黑经验

一.

设置严密的权限。

上传的目录只给写入、读取权限，绝对不能给执行的权限。

每个网站使用独立的用户名和密码，权限设置为
Guest
。

命令
: net
localgroup users myweb /del

设置
MSSQL
、
Apache
、
MySQL
以
Guest
权限运行：在运行中打
:service.msc
，选择相应的服务，以一个
Guest
权限的账户运行。

二
.
防止
SQL
注入

以前用的通用防注入模块，后来在多次与黑客血与泪的较量中。我明白了通用防注入模块是没用的，如果人家
CC
我的网站，通用防注入模块会让自己网站卡死！！

使用专门的
Web
应用防火墙是个比较明智的选择。硬件防火墙动辄就是几十万，我没那么多钱，那不是俺们能用的起的。俺还是喜欢用免费的软件
“
铱迅网站防火墙
”
，标准版可以注册后免费获得。

三
.
防止
IIS 6.0
的
0day
攻击

0day
之一：

IIS
的致命伤，很多网站都是这样被黑客入侵的：黑客建立一个叫
aaa.asp
的目录，然后在
aaa.asp
的目录里面放一个图片木马，黑客访问
aaa.asp/xxx.jpg
就能访问木马了。

0day
之二：

黑客上传
aaa.asp;bbb,jpg
这样的文件到服务器中，这可不是
jpg
啊，
IIS 6
会在分号的地方截断，把
jpg
当
asp
执行的

解决方案
1:
编码的时候禁止目录中包含
” . “
号和文件名中包含
” ; “
号

解决方案
2
：如果网站已经用户过多，不能修改代码了，可以考虑前面提到的铱迅网站防火墙。

四
.
检测黑客攻击痕迹

1.
检测
shift
后门：

远程
3389
连接，连续按
Shift
键
5
次，如果没有跳出粘滞键菜单，说明被安装后门了。在
windows
文件夹中，搜索
sethc.exe
并删除之。

2.
查看
Document and
Settings
目录

如果发现有可疑用户的文件夹，说明就被黑客入侵了。

五
.
删除危险组件

1.
删除
Wscript

regsvr32/u C:/windows/System32/wshom.ocx

del C:/windows/System32/wshom.ocx

regsvr32/u C:/windows/system32/shell32.dll

del C:/windows/system32/shell32.dll

2.
删除
MSSQL
危险存储过程

MS SQL SERVER2000

使用系统帐户登陆查询分析器

运行以下脚本

use master

exec sp_dropextendedproc 'xp_cmdshell'

exec sp_dropextendedproc 'xp_enumgroups'

exec sp_dropextendedproc 'xp_loginconfig'

exec sp_dropextendedproc 'xp_enumerrorlogs'

exec sp_dropextendedproc 'xp_getfiledetails'

exec sp_dropextendedproc 'Sp_OACreate'

exec sp_dropextendedproc 'Sp_OADestroy'

exec sp_dropextendedproc 'Sp_OAGetErrorInfo'

exec sp_dropextendedproc 'Sp_OAGetProperty'

exec sp_dropextendedproc 'Sp_OAMethod'

exec sp_dropextendedproc 'Sp_OASetProperty'

exec sp_dropextendedproc 'Sp_OAStop'

exec sp_dropextendedproc 'xp_regaddmultistring'

exec sp_dropextendedproc 'xp_regdeletekey'

exec sp_dropextendedproc 'xp_regdeletevalue'

exec sp_dropextendedproc 'xp_regenumvalues'

exec sp_dropextendedproc 'xp_regremovemultistring'

exec sp_dropextendedproc 'xp_regwrite'

drop procedure sp_makewebtask

go

删除所有危险的扩展
.

exec sp_dropextendedproc 'xp_cmdshell' [
删除此项扩展后
,
将无法远程连接数据库
]

以下
3
个存储过程会在
SQL SERVER
恢复备份时被使用
,
非必要请勿删除

#exec sp_dropextendedproc 'xp_dirtree' [
删除此项扩展后
,
将无法新建或附加数据库
]

#exec sp_dropextendedproc 'Xp_regread' [
删除此项扩展后
,
还原数据库辅助
]

#exec sp_dropextendedproc 'xp_fixeddrives' [
删除此项扩展后
,
将无法还原数据库
]

现在的
shift
后门都是高防的
我使用的是直接调用真正粘滞键的
shift
后门外观上和功能上都没有任何问题，那样检测是没有用的。而且采用镜像劫持，即使你删掉
sethc.exe
也没
用啊
删除的扩展还是可以还原的。所以要想安全，就必须时刻警惕黑客的入侵。不能放过任何一个细节。很可能是你某个细节出错就导致整个服务器的沦陷。安全不能掉
以轻心啊

呵呵
我的后门是自己写的
五次
shift
后调用我的程序，程序是隐藏运行的，不过他会调用原来的真正的粘滞键，这样电脑上显示的是真正的粘滞键，但我的后门已经启用了。快捷键调出
来就可以用了。至于映像劫持是我附加的功能。我也不怎么用。杀软到没测试。不过瑞星测试下无任何拦截。其他杀软没测试

使用权限最高的账户

一、结束
explorer
进程

taskkill /f /im explorer.exe

二、用计划任务启动交互式的界面

at 13:30 /interactive explorer.exe

必须开启
Task
Scheduler
服务，默认是开启的。这样当到了
13:30
的时候，
explorer
进程会以
system
用户启动，桌面会被重新加载，变成
system
用户的桌面。

内容来自用户分享和网络整理，不保证内容的准确性，如有侵权内容，可联系管理员处理

标签：

相关文章推荐

新的分享

章节导航