WEB服务器安全毕业设计.doc

安全计算机机房的构建与评测WEB服务器安全部分摘  要随着计算机普及、互联网INTERNET飞速发展，许多企业都开发了自己的WEB网站。WEB服务器是Intranet（企业内部网）网站的核心，其中的数据资料非常重要，一旦遭到破坏将会给企业造成不可弥补的损失，管理好、使用好、保护好WEB服务器中的资源，是一项至关重要的工作。安全部署WEB服务器是企业面临的一项重要工作，其中系统安装、安全策略和IIS安全策略对企业WEB服务器安全、稳定、高效地运行至关重要，该文是基于Windows 2003平台来介绍。关键词：WEB，服务器安全，协议安全，IIS设置THE SECURITY OF THE COMPUTER ROOM CONSTRUCTION AND EVALUATION-WEB SERVER SECURITY SECTIONABSTRACTwith the popularization of computers, the Internet INTERNET rapid development, many companies have developed their own WEB site. The WEB server is Intranet ( intranet ) sites on the core, wherein the data is very important, when the destruction of the enterprise will cause irreparable damage, manage, use, protect the WEB server resources, is an important task. Deployment of the security WEB server is an enterprise is facing an important task, the system installation, security policy and security strategy of enterprise IIS WEB server security, stable, efficient operation is very important, this article is based on the Windows 2003 platform to introduce.Keywords: WEB, server security, security protocol, IIS set目录第1章 前言1§1.1本文目的及意义1§1.2本文主要内容1第2章 WEB服务器介绍2§2.1 WEB服务器概念2§2.2 WEB服务器存在的安全问题2第3章 WEB服务器安全设置4§3.1 选用NTFS文件系统4§3.2 选用单操作系统4§3.3 关闭Windows2003不必要的服务5§3.4 禁用不必要的协议5§3.5 设置磁盘访问权限5§3.6 关闭不必要的端口及更改远程连接端口6§3.7 限制匿名访问本机用户8§3.8 限制远程用户对光驱或软驱的访问8§3.9 限制NetMeeting及禁用NetMeeting9§3.10 注册表防止小规模DDOS攻击9§3.11防火墙及自动更新设置10第4章 IIS策略应用13§4.1不使用默认的WEB站点将IIS与系统盘分开13§4.2删除不要的IIS扩展名映射13§4.3更改IIS日志的路径13§4.4 只选择网站和 WEB所必需的服务和子组件14§4.5 删除未使用的帐户及设置强密码14§4.6使用应用程序池15§4.7将网站或应用程序分配到应用程序池16第5章 WEB服务器安全评测17结束语20参考文献21致 谢22第1章 前言§1.1本文目的及意义随着计算机技术的突飞猛进，计算机网络的日新月异，网络已经深入到我们生活的各个角落。小到个人的生活、工作，大至国家的发展以致整个文明的进步。计算机网络在扮演着越来越重要的角色，越来越多的企业及个人都开发了自己的WEB网站。然而，在如今技术发达的时代，随着互联网技术的发展黑客越来越猖獗。WEB服务器被攻击，网站首页被篡改，各种各样的不安全因素存在我们周围，如何更好的保证WEB服务器安全更好的防止黑客的入侵、攻击是每一个人都很关心的话题。可是我们如何确定采取的措施能够创建一个安全的WEB服务器，使其不太可能受到外部黑客或内部不良分子的破坏呢？本文以Windows系统为基础进行表述。§1.2本文主要内容WEB服务器存在的安全问题从来就不是独立的，系统漏洞，系统权限，网络环境（如ARP等）、网络端口管理以及来自WEB服务器应用的安全，IIS本身的配置、权限等，这个直接影响访问网站的效率和结果。本文介绍了什么是WEB服务器，WEB服务器安装需要注意的问题以及如何更好的保证WEB服务器的安全。第2章 WEB服务器介绍§2.1 WEB服务器概念WEB服务器是指驻留于因特网上某种类型计算机的程序。当WEB浏览器（客户端）连到服务器上并请求文件时，服务器将处理该请求并将文件发送到该浏览器上，附带的信息会告诉浏览器如何查看该文件（即文件类型）。服务器使用HTTP（超文本传输协议）进行信息交流，这就是人们常把它们称为HTTP的服务器的原因，WEB服务器应用实例如图1-1所示。 图11 WEB服务器的应用WEB服务器不仅能够存储信息，还能在用户通过WEB浏览器提供的信息的基础上运行脚本和程序。§2.2 WEB服务器存在的安全问题Internet的发展给企业和个人带来了革命性的改革和开放。他们正努力通过利用Internet来提高办事效率和市场反应速度，以便更具竞争力。通过Internet，企业可以从异地取回重要数据，同时又要面对Internet开放带来的数据安全的新挑战和新危险：即客户、销售商、移动用户、异地员工和内部员工的安全访问；以及保护企业的机密信息不受黑客和工业间谍的入侵。随着Internet的广泛应用，许多企业开发了自己的WEB网站。然而由于人为的无意失误，黑客的恶意攻击，以及借助网络及系统软件的漏洞和“后门”进行捣乱的各种病毒等，使得开发的网站存在多方面的安全问题。要保证企业的WEB网站的安全，仅选择一个适合企业特点的防火墙、适合Win2003的杀毒软件是不够的。更主要的要在企业内部WEB服务器的安装、设置等方面多做文章，以提高网站自身的免疫力。第3章 WEB服务器安全设置由于本篇文章以Windows为基础进行研究的，所以在此Linux系统不再叙述。Windows系统是企业网站的基础，只有充分利用其自身的功能实现对系统的安全控制才能保证网站及数据的安全。§3.1 选用NTFS文件系统NTFS文件系统比FAT系统多了安全控制功能，可以对不同的文件夹设置不同的访问权限，因此拥有更强大的安全性。需要注意的是，目前大多数反病毒软件没有提供对软盘启动后NTFS分区病毒的查杀，这样一旦系统中了恶性病毒而导致系统不能正常启动时，后果比较严重，因此平时应做好病毒的预防及系统的备份工作。另外将系统盘与网站程序分开放置。§3.2 选用单操作系统作为WEB服务器的计算机不要安装多种操作系统，否则黑客会利用其攻击Windows 2003系统，使系统重启到另一个缺乏安全设置的操作系统进行破坏，将操作系统文件所在分区与WEB数据（包括其他应用程序）所在的分区分开，并在安装时使用其自定义的目录，以免攻击者利用应用程序的漏洞（如微软的IIS漏洞）导致系统文件的泄露，甚至让入侵者远程获取管理员权限，不安装与WEB站点服务无关的软件，安装操作系统最新的补丁程序，否则黑客可能会利用低版本的补丁的漏洞对系统造成威胁，另外也给病毒带来可乘之机。§3.3 关闭Windows2003不必要的服务Windows2003系统中包括许多服务，而这些服务可能包含各种安全漏洞，如：甲服务器能暴漏账号信息，乙服务在已知账号名称的情况下可以取得账号的密码。当这两种服务都开通时，系统也就被攻破。其次，不同的软件在同一系统下运行时，可能会产生一定的冲突，从而产生新的漏洞，而这些漏洞是未知的。因此，作为WEB网站的Win2003系统，必须停掉没有用的服务。 §3.4 禁用不必要的协议NetBIOS协议在WEB服务器上是黑客扫描工具的首选目标，因此，必须解除NetBIOS与TCP/IP协议的绑定。方法“设置控制面板网络连接本地连接属性TCP/IP属性高级WINS禁用TCP/IP上的NetBIOS。另外，NetBIOS、IPX/SPX协议对WEB网站也没有任何用处，只会被某些黑客工具利用，也必须禁用或删除（操作如图3-1）。图 31禁用不必要协议§3.5 设置磁盘访问权限   系统磁盘只赋予administrators和system权限，系统所在目录（默认时为Windows）要加上users的默认权限，以保障ASP和ASPX等应用程序正常运行。其他磁盘可以此为参照，当某些第三方应用程序以服务形式启动时，需加system用户权限，否则启动不成功。§3.6 关闭不必要的端口及更改远程连接端口在Internet上，各主机间通过TCP/IP协议发送和接收数据包，各个数据包根据其目的主机的IP地址来进行互联网络中的路由选择。可见，把数据包顺利的传送到目的主机是没有问题的。问题出在哪里呢?我们知道大多数操作系统都支持多程序（进程）同时运行，那么目的主机应该把接收到的数据包传送给众多同时运行的进程中的哪一个呢？显然这个问题有待解决，端口机制便由此被引入进来。本地操作系统会给那些有需求的进程分配协议端口（protocol port，即我们常说的端口），每个协议端口由一个正整数标识，如：80，139，445，等等。当目的主机接收到数据包后，将根据报文首部的目的端口号，把数据发送到相应端口，而与此端口相对应的那个进程将会领取数据并等待下一组数据的到来。如果攻击者使用软件扫描目标计算机，得到目标计算机打开的端口，也就了解了目标计算机提供了哪些服务。我们都知道，提供服务就一定有服务软件的漏洞，根据这些，攻击者可以达到对目标计算机的初步了解。如果计算机的端口打开太多，而管理者不知道，那么，有两种情况：一种是提供了服务而管理者没有注意，比如安装IIS的时候，软件就会自动增加很多服务，而管理者可能没有注意到；一种是服务器被攻击者安装木马，通过特殊的端口进行通信。这两种情况都是很危险的，说到底，就是管理员不了解服务器提供的服务，减小了系统安全系数。图3-2常用端口常用端口图 32在缺省情况下，所有的端口将对外开放，而有些黑客工具可以扫描那些可以利用的端口，所以为了系统安全关闭不用的端口为最佳。常用端口(见图3-2).关闭端口具体操作如下。 本地连接属性Internet协议(TCP/IP) 属性高级选项TCP/IP筛选属性把勾打上，操作如图3-3，添加需要的端口(如: 21、80)。图33 关闭不必要端口 更改远程连接端口：开始>运行>输入regedit查找3389：将HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminalServerWdsrdpwdTdstcp和HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp下的PortNumber=3389改为自宝义的端口号并重新启动服务器（如图3-4所示）。图3-4 更改远程端口§3.7 限制匿名访问本机用户 “开始”“程序”“管理工具”“本地安全策略”“本地策略”“安全选项”双击“对匿名连接的额外限制”在下拉菜单中选择“不允许SAM账户的匿名枚举”“确定”（如图3-5所示）。图3-5 限制匿名用户§3.8 限制远程用户对光驱或软驱的访问 “开始”“程序”“管理工具”“本地安全策略”“本地策略”“安全选项”双击“只有本地登录用户才能访问软盘”在单选按钮中选择“已启用(E)” “确定” （操作如图3-6所示）。 图3-6 限制远程用户对光驱软驱访问§3.9 限制NetMeeting及禁用NetMeeting 运行“gpedit.msc” “计算机配置”“管理模板”“Windows组件” “NetMeeting” “禁用远程桌面共享”右键在单选按钮中选择“启用(E)”“确定”（操作如图3-7所示）。 图3-7 限制共享§3.10 注册表防止小规模DDOS攻击HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters新建 "DWORD值"名为 "SynAttackProtect" 数值为"1"（操作如图3-8所示）。图3-8更改DWORD值§3.11防火墙及自动更新设置 一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。 如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。 1安装企业级360软件如图3-9所示。经常对服务器进行定期的扫描杀毒等。图39 360安装2开启自动更新，网上邻居-属性-本地连接-属性-高级-设置，如图3-10所示。3-10 开启自动更新3防火墙的安全设置。添加防火墙规则有两种方法，一种是通过Windows安全警报对话框，Windows 防火墙中的通知机制允许本地管理员在得到相应提示后自动将新程序添加到例外程序列表。另一种是我们在例外选项卡中手动添加，自动添加这里不再多说。手动添加也有两种方式，一种是添加程序的文件名，一种是添加端口。添加端口的方式非常简单，点击添加端口，然后给这个要开放端口起个名字，比如这个端口是被QQ使用的，我们就可以起个名字叫QQ，然后填上对应的端口号如8000，接着选择通讯协议，默认只有TCP和UDP，选择好后单击确定，一条防火墙规则就创建完成了。如图3-11所示。图3-11 添加端口事实上这就是我们的防火墙规则，每创建一条允许或禁止的防火墙规则都会被放入列表中，每条规则前面的复选框的状态，打勾表明这是条允许规则，清空表明这是条禁止规则。默认情况下系统有四条配置好的访问规则，如图3-12所示，其中远程协助是默认允许的。点击添加程序按钮，然后选择一个合适的程序。当然，可能列表中没有您想要的程序，这时您可以单击浏览并定位到程序的具体位置把它添加进来。以后，当程序运行时，Windows 防火墙会监视程序侦听的端口，并把它们自动添加到例外通信的列表中。这个方式创建的规则将更具灵活性和简易性。并且只有在应用程序与外部通信时端口才是开放的，一旦连接断开，端口也会随之关闭。这比通过直接添加端口的方式安全性要高很多。图3-12 添加程序规则经过这些设置WEB服务器安全就有了基本的安全保障，另外需要更多的技术设备上的发展才能满足更多企业及个人用的对安全的需求。第4章 IIS策略应用§4.1不使用默认的WEB站点将IIS与系统盘分开将网站内容移动到非系统驱动器，不使用默认的 Inetpubwwwroot 目录，以减轻目录遍历攻击（这种攻击试图浏览 WEB 服务器的目录结构）带来的危险（一定要验证所有的虚拟目录是否均指向目标驱动器）。§4.2删除不要的IIS扩展名映射右键单击“默认WEB站点属性主目录配置”，打开应用程序窗口，去掉不必要的应用程序映射，主要为shtml、shtm、stm（如图4-1所示）。图4-1 删除IIS映射§4.3更改IIS日志的路径 右键单击“默认WEB站点属性网站在启用日志记录下点击属性更改设置（操作如图4-2所示）。图4-2 更改IIS路径§4.4 只选择网站和 WEB所必需的服务和子组件开始控制面板 添加或删除程序添加/删除 Windows 组件应用程序服务器详细信息 Internet 信息服务 (IIS) 详细信息然后通过选择或清除相应组件或服务的复选框，来选择或取消相应的 IIS 组件和服务。 IIS 子组件和服务的推荐设置；禁用后台智能传输服务 (BITS) 服务器扩展、FTP 服务、FrontPage 2002 Server Extensions、Internet 打印、NNTP 服务。启用公用文件、Internet 信息服务管理器、万维网服务（操作如图4-3所示）。图4-3 选择组件 §4.5 删除未使用的帐户及设置强密码避免攻击者通过使用以高级特权运行的帐户来获取未经授权的资源访问权。 限制对服务器的匿名连接，确保禁用来宾帐户；重命名管理员帐户并分配一个强密码以增强安全性，重命名 IUSR 帐户。 在 IIS 元数据库中更改 IUSR账户的值： “管理工具”“Internet 信息服务 (IIS) 管理器” 右键单击“本地计算机”“属性”选中“允许直接编辑配置数据库”复选框“确定” 浏览至 MetaBase.xml 文件的位置，默认情况下为 C:Windowssystem32inetsrv 右键单击 MetaBase.xml 文件“编辑” 搜索“AnonymousUserName”属性，键入 IUSER账户的新名称在“文件”菜单上单击“退出”单击“是”（操作如图4-4、4-5所示）。图44 更改IUSER帐户值图4-5 更改IUSER帐户值§4.6使用应用程序池 应用程序池用来隔离应用程序，提高 WEB 服务器的可靠性和安全性。创建应用程序池： “管理工具”“Internet 信息服务 (IIS) 管理器” 本地计算机右键单击“应用程序池”“新建”“应用程序池”在“应用程序池 ID”框中，为应用程序池键入一个新 ID“应用程序池设置” “Use default settings for the new application pool”（使用新应用程序池的默认设置）“确定” （操作如图4-6所示）。图4-6 应用程序池的设置§4.7将网站或应用程序分配到应用程序池因为应用程序池中的应用程序与其他应用程序被工作进程边界分隔，所以某个应用程序池中的应用程序不会受到其他应用程序池中应用程序所产生的问题的影响。步骤：“管理工具”“Internet 信息服务 (IIS) 管理器” 右键单击您想要分配到应用程序池的网站或应用程序“属性”“主目录”、“虚拟目录”或“目录”选项卡，如果将目录或虚拟目录分配到应用程序池，则验证“应用程序名”是否包含正确的网站或应用程序名称，（如果在“应用程序名”框中没有名称，则单击“创建”，然后键入网站或应用程序的名称）“应用程序池”列表框单击您想要分配网站或应用程序的应用程序池的名称“确定”。 经过以上设置， WEB服务器安全性有了很大的提升，但一些不法攻击者会不断寻找新漏洞来攻击WEB服务系统，所以我们一定要养成及时修补系统漏洞的习惯，并不断提高管理人员的网络技术水平，确保WEB服务器有一个安全、稳定、高效的运行环境。第5章 WEB服务器安全评测经过以上设置服务器的所有分区均采用了NTFS格式进行设置并且系统盘与网站程序分开放置这样可以确保系统盘的纯净，避免感染病毒的机会。开启防火墙能确保基本的防毒，安装自动更新能及时的检查系统及时更新微软发布的安全补丁，及时给系统填补漏洞。仅安装必要的IIS组件，开启必要的端口及协议防止黑客利用扫描工具进行扫描。设置用户权限，可以防止非法用户的进入。设置相应的策略审核，可以及时的记录系统的状态，事件的发生。经过这些设置，一个基本安全的服务器就正常运行了。经过自动更新的设置，一旦微软有新的漏洞补丁发布如图5-1所示，服务器立即就会自动更新，防止部分不法分子利用漏洞就行服务器扫描攻击等。图5-1自动修补漏洞利用X-Scan 进行漏洞扫描，X-Scan是国内最著名的综合扫描器之一。它完全免费，是不需要安装的绿色软件、界面支持中文和英文两种语言、包括图形界面和命令行方式。主要由国内著名的民间黑客组织“安全焦点”完成，最值得一提的是，X-Scan把扫描报告和安全焦点网站相连接，对扫描到的每个漏洞进行“风险等级”评估，并提供漏洞描述、漏洞溢出程序，方便网管测试、修补漏洞，X-Scan运行于Windows 操作系统。采用多线程方式对指定IP地址段（或单机）进行安全漏洞检测，具有插件功能。安装X-Scan后，对刚才设置过的服务器进行评测安全系数。首先获取服务器的IP地址，该服务器对应的网站为，首先在ping一些下这个域名以获得该网站服务器的IP地址222.85.64.169（如图5-2所示）。.图5-2 获取服务器的IP地址参数设置，双击xscan_gui，会打开X-Scan v3.2 GUI的界面，点击设置->扫描参数，设置要扫描网络的IP地址，也可以是地址段，把得到的信息工程学院的IP地址202.207.20.10填到指定IP地址范围处。再对“全局设置”和“插件设置”进行相关的设置，界面如图5-3所示。点击“确定”，返回到X-Scan v3.2 GUI的界面。图5-3 X-Scan界面扫描，点击工具栏上的开始按钮，就进行扫描了，这时，在进程里会出现10个checkhost.exe进程，扫描是会出现如图5-4画面。图52 扫描界面这是加载攻击测试脚本的界面，只有把所有的脚本文件都加载进去，才能进行全面而准确的扫描。以下图5-5所示是正式扫描的界面，对相应的端口和服务等进行扫描。图53正式扫描当扫描完成后，会自动生成被检测主机的详细漏洞信息的报表，报表的上部给出了扫描时间，检测结果，主机列表，分析主机：222.85.64.169，四项信息，如图给出了安全设置前后扫描信息对比如图5-6及5-7所示。图54 服务器没有安全设置前扫描信息图57安全设置后的扫描信息结果分析从报表可以看到，报表给出了10个提示数量，3个警告数量，0个漏洞数量，下面就没个提示做相应的分析与解决方案。比服务器置前漏洞已经没有，虽然依然存在警告但相信只要我们及时观察设置及时更新安全系数定会大大提升的。结束语在本论文写作过程中由于本人在知识、经验方面都存在着不足，另外论文写作时间也比较紧张，因此论文必然会存在一些缺陷和不足。可能步骤不够详尽，考虑有不周之处，因为对WEB服务器还不是太熟悉，所以有未涉及未提到的地方望谅解！本次论文的完成大概完成以下几个问题：1对WEB服务器进行了基本的介绍，以及进行了基本安全分析。2针对WEB服务器存在的安全威胁进行了磁盘权限设置、账户设置、协议安全设置、端口设置、IIS设置等。3 针对这些安全设置后WEB服务器是否安全进行了测试，由于条件有局限只针对该服务器所对应的网站在服务器进行安全设置前后进行了漏洞扫描与评测。经过前后对比发现经过安全设置后的网站确定安全了很多但还有一些不足的地方，由于条件、本人知识等有限制，在此可能不能更完善的展示出来。不过我以后会更加努力，谢谢大家支持。本论文虽然存在一些不足但确让我学到了很多，让我巩固了服务器的一些基本设置及注意的安全技巧，及统筹设计思路。还让我真切体会到同学间的互帮互助团结精神，及浓浓的师生情谊！不仅是一种知识的学习与表达更是一种精神的传递。参考文献1 刘晓辉,张奎亭. WindowsServer2003系统安全管理M.北京:电子工业出版社, 20092 吕林涛.网络信息安全技术概论(第二版)科学出版社，20103 李新,李成友.基于Windows系统的Web服务器安全研究与实践J.教育信息化，20104 马琰.如何提高个人Web服务器的安全性J.职业圈，20115 远哲.细说高校WEB服务器安全J.电脑知识与技术，20106 周军.Web服务器性能改进的相关技术.中国科技博览，2010 致 谢在论文即将完成之际，回顾紧张但又充实的论文完成过程，本人在此向所有关心我的及帮助我的老师和同学们致以最真诚的感谢。在本次毕业设计中，我从指导老师身上学到了很多东西。他认真负责的工作态度，严谨的治学精神和深厚的理论水平都使我受益匪浅。这对于我以后的工作和学习都有一种巨大的帮助，在此感谢他耐心的辅导。在撰写论文阶段，老师几次审阅我们的论文，提出了许多宝贵意见，没有他的指导，我们就不能较好的完成课题设计的任务。另外，我还要感谢在这几年来对我有所教导的老师，他们孜孜不倦的教诲不但让我学到了很多知识，而且让我掌握了学习的方法，更教会了我做人处事的道理，在此表示感谢。