转载^.^
一、Windows Server2003的安装
1、安装系统最少两需要个分区，分区格式都采用NTFS格式
2、在断开网络的情况安装好2003系统
3、安装IIS，仅安装必要的 IIS 组件（禁用不需要的如FTP 和 SMTP 服务）。默认情况下，IIS服务没有安装，在添加/删除Win组件中选择“应用程序服务器”，然后点击“详细信息”，双击Internet信息服务(iis)，勾选以下选项：
Internet 信息服务管理器；
公用文件；
后台智能传输服务 (BITS) 服务器扩展；
万维网服务。
如果你使用 FrontPage 扩展的 Web 站点再勾选：FrontPage 2002 Server Extensions
4、安装MSSQL及其它所需要的软件然后进行Update。
5、使用Microsoft 提供的 MBSA（Microsoft Baseline Security Analyzer） 工具分析计算机的安全配置，并标识缺少的修补程序和更新。下载地址：见页末的链接
二、设置和管理账户
1、系统管理员账户最好少建，更改默认的管理员帐户名（Administrator）和描述，密码最好采用数字加大小写字母加数字的上档键组合，长度最好不少于14位。
2、新建一个名为Administrator的陷阱账号，为其设置最小的权限，然后随便输入组合的最好不低于20位的密码
3、将Guest账户禁用并更改名称和描述，然后输入一个复杂的密码，当然现在也有一个DelGuest的工具，也许你也可以利用它来删除Guest账户，但我没有试过。
4、在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-Windows设置-安全设置-账户策略-账户锁定策略，将账户设为“三次登陆无效”，“锁定时渖栉?0分钟”，“复位锁定计数设为30分钟”。
5、在安全设置-本地策略-安全选项中将“不显示上次的用户名”设为启用
6、在安全设置-本地策略-用户权利分配中将“从网络访问此计算机”中只保留Internet来宾账户、启动IIS进程账户。如果你使用了Asp.net还要保留Aspnet账户。
7、创建一个User账户，运行系统，如果要运行特权命令使用Runas命令。
三、网络服务安全管理
1、禁止C$、D$、ADMIN$一类的缺省共享
打开注册表，HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/lanmanserver/parameters，在右边的窗口中新建Dword值，名称设为AutoShareServer值设为0
2、 解除NetBios与TCP/IP协议的绑定
右击网上邻居-属性-右击本地连接-属性-双击Internet协议-高级-Wins-禁用TCP/IP上的NETBIOS
3、关闭不需要的服务，以下为建议选项
Computer Browser:维护网络计算机更新，禁用
Distributed File System: 局域网管理共享文件，不需要禁用
Distributed linktracking client：用于局域网更新连接信息，不需要禁用
Error reporting service：禁止发送错误报告
Microsoft Serch：提供快速的单词搜索，不需要可禁用
NTLMSecuritysupportprovide：telnet服务和Microsoft Serch用的，不需要禁用
PrintSpooler：如果没有打印机可禁用
Remote Registry：禁止远程修改注册表
Remote Desktop Help Session Manager：禁止远程协助
四、打开相应的审核策略
在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-Windows设置-安全设置-审核策略在创建审核项目时需要注意的是如果审核的项目太多，生成的事件也就越多，那么要想发现严重的事件也越难当然如果审核的太少也会影响你发现严重的事件，你需要根据情况在这二者之间做出选择。
推荐的要审核的项目是：
登录事件 成功 失败
账户登录事件 成功 失败
系统事件 成功 失败
策略更改 成功 失败
对象访问 失败
目录服务访问 失败
特权使用 失败
1、隐藏重要文件/目录 可以修改注册表实现完全隐藏：“HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/Current-Version/Explorer/Advanced/Folder/Hi-dden/SHOWALL”，鼠标右击“CheckedValue”，选择修改，把数值由1改为0 2、启动系统自带的Internet连接防火墙，在设置服务选项中勾选Web服务器。 3、防止SYN洪水攻击 HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters 新建DWORD值，名为SynAttackProtect，值为2 4. 禁止响应ICMP路由通告报文 HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters/Interfaces 新建DWORD值，名为PerformRouterDiscovery 值为0 5. 防止ICMP重定向报文的攻击 HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters 将EnableICMPRedirects 值设为0 6. 不支持IGMP协议 HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters 新建DWORD值，名为IGMPLevel 值为0 7、禁用DCOM： 运行中输入 Dcomcnfg.exe。 回车， 单击“控制台根节点”下的“组件服务”。 打开“计算机”子文件夹。 对于本地计算机，请以右键单击“我的电脑”，然后选择“属性”。选择“默认属性”选项卡。 清除“在这台计算机上启用分布式 COM”复选框。 注：3-6项内容我采用的是Server2000设置，没有测试过对2003是否起作用。但有一点可以肯定我用了一段的时间没有发现其它副面的影响。 六、配置 IIS 服务： 1、不使用默认的Web站点，如果使用也要将 将IIS目录与系统磁盘分开。 2、删除IIS默认创建的Inetpub目录（在安装系统的盘上）。 3、删除系统盘下的虚拟目录，如：_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。 4、删除不必要的IIS扩展名映射。 右键单击“默认Web站点→属性→主目录→配置”，打开应用程序窗口，去掉不必要的应用程序映射。主要为.shtml, .shtm, .stm 5、更改IIS日志的路径 右键单击“默认Web站点→属性-网站-在启用日志记录下点击属性 6、如果使用的是2000可以使用iislockdown来保护IIS，在2003运行的IE6.0的版本不需要。 7、使用UrlScan UrlScan是一个ISAPI筛选器，它对传入的HTTP数据包进行分析并可以拒绝任何可疑的通信量。目前最新的版本是2.5，如果是2000Server需要先安装1.0或2.0的版本。下载地址见页未的链接 如果没有特殊的要求采用UrlScan默认配置就可以了。 但如果你在服务器运行ASP.NET程序，并要进行调试你需打开要%WINDIR%/System32/Inetsrv/URLscan 文件夹中的URLScan.ini 文件，然后在UserAllowVerbs节添加DEBUG谓词，注意此节是区分大小写的。 如果你的网页是.asp网页你需要在DenyExtensions删除.asp相关的内容。 如果你的网页使用了非ASCII代码，你需要在Option节中将AllowHighBitCharacters的值设为1 在对URLScan.ini 文件做了更改后，你需要重启IIS服务才能生效，快速方法运行中输入iisreset 如果你在配置后出现什么问题，你可以通过添加/删除程序删除UrlScan。 8、利用WIS (Web Injection Scanner)工具对整个网站进行SQL Injection 脆弱性扫描. 下载地址：VB.NET爱好者 1、System Administrators 角色最好不要超过两个 2、如果是在本机最好将身份验证配置为Win登陆 3、不要使用Sa账户，为其配置一个超级复杂的密码 4、删除以下的扩展存储过程格式为： xp_cmdshell：是进入操作系统的最佳捷径，删除 访问注册表的存储过程，删除 OLE自动存储过程，不需要删除 5、隐藏 SQL Server、更改默认的1433端口 右击实例选属性-常规-网络配置中选择TCP/IP协议的属性，选择隐藏 SQL Server 实例，并改原默认的1433端口。 八、如果只做服务器，不进行其它操作，使用IPSec 1、管理工具—本地安全策略—右击IP安全策略—管理IP筛选器表和筛选器操作—在管理IP筛选器表选项下点击 添加—名称设为Web筛选器—点击添加—在描述中输入Web服务器—将源地址设为任何IP地址——将目标地址设为我的IP地址——协议类型设为Tcp——IP协议端口第一项设为从任意端口，第二项到此端口80——点击完成——点击确定。 2、再在管理IP筛选器表选项下点击 添加—名称设为所有入站筛选器—点击添加—在描述中输入所有入站筛选—将源地址设为任何IP地址——将目标地址设为我的IP地址——协议类型设为任意——点击下一步——完成——点击确定。 3、在管理筛选器操作选项下点击添加——下一步——名称中输入阻止——下一步——选择阻止——下一步——完成——关闭管理IP筛选器表和筛选器操作窗口 4、右击IP安全策略——创建IP安全策略——下一步——名称输入数据包筛选器——下一步——取消默认激活响应原则——下一步——完成 5、在打开的新IP安全策略属性窗口选择添加——下一步——不指定隧道——下一步——所有网络连接——下一步——在IP筛选器列表中选择新建的Web筛选器——下一步——在筛选器操作中选择许可——下一步——完成——在IP筛选器列表中选择新建的阻止筛选器——下一步——在筛选器操作中选择阻止——下一步——完成——确定 6、在IP安全策略的右边窗口中右击新建的数据包筛选器，点击指派，不需要重启，IPSec就可生效. 九、建议 如果你按本文去操作，建议每做一项更改就测试一下服务器，如果有问题可以马上撤消更改。而如果更改的项数多，才发现出问题，那就很难判断问题是出在哪一步上了。 十、运行服务器记录当前的程序和开放的端口 1、将当前服务器的进程抓图或记录下来，将其保存，方便以后对照查看是否有不明的程序。 2、将当前开放的端口抓图或记录下来，保存，方便以后对照查看是否开放了不明的端口。当然如果你能分辨每一个进程，和端口这一步可以省略。 防范ASP木马 防止ASP木马,主要通过修改三个组件来达到防asp木马攻击. 1.可以通过修改注册表，将此组件改名，来防止此类木马的危害. HKEY_CLASSES_ROOT/Scripting.FileSystemObject/ 2.也要将clsid值也改一下 3.注销此组件命令:RegSrv32 /u C:/WINNT/SYSTEM/scrrun.dll 4.禁止Guest用户使用scrrun.dll来防止调用此组件命令: cacls C:/WINNT/system32/scrrun.dll /e /d guests 1.可以通过修改注册表，将此组件改名，来防止此类木马的危害. 自己以后调用的时候使用这个就可以正常调用此组件了 也可以将其删除，来防止此类木马的危害。 1.可以通过修改注册表，将此组件改名，来防止此类木马的危害。 HKEY_CLASSES_ROOT/Shell.Application/ 自己以后调用的时候使用这个就可以正常调用此组件了 2.也要将clsid值也改一下 也可以将其删除，来防止此类木马的危害。 cacls C:/WINNT/system32/shell32.dll /e /d guests 禁用Guests组用户调用cmd.exe命令: cacls C:/WINNT/system32/Cmd.exe /e /d guests Adodb.stream (classid:{00000566-0000-0010-8000-00AA006D2EA4}) WScript.Network(classid:093FF999-1EA0-4079-9525-9614C3504B74) WScript.Network.1 (classid:093FF999-1EA0-4079-9525-9614C3504B74) 快速删除方法: 开始------->运行--------->Regedit，打开注册表编辑器，按Ctrl+F查找，依次输入以上Wscript.Shell等组件名称以及相应的ClassID，然后进行删除或者更改名称. 防范数据库下载 方法一:修改数据库文件名和路径. 缺点: 如果有列网站目录权限,还可以找到数据库路径,然后下载下来研究的. 注意:也要在conn.asp中修改相应的数据库名. 注意:需要把数据库文件前名加上#、然后修改数据库连接文件（如conn.asp）中的数据库地. 缺点:如果知道了数据库的绝对地址,可以把# 改成%23 还是可以下载下来研究的. 操作:假如你的web目录是D:/web ,可以把数据库放到D:/data这个文 件夹里,然后在D:/web 里的数据库连接页面中修改数据库连接地址为："../data/数据库名" 的形式.这样数据库可以正常调用,但数据库无法下载.因为它不在WEB目录里 缺点:适合有服务器控制权的用户,不适合购买虚拟空间的用户. 方法五:添加数据库名的如MDB的扩展映射防下载(推荐) 实现方法: 我们在IIS属性---主目录---配置---映射---应用程序扩展那里添加.mdb文件的应用解析。注意这里的选择的DLL(或EXE等)也不是任意的，选择不当，MDB文件还是可以被下载的,注意不要选择asp.dll等。你可以自己多测试下,然后下载一下试试,一直不能下载mdb为止. 注:至于选择的解析文件大家可以自已测试，只要访问数据库时出现无法找到该页就可以了. 优点: 缺点:这个方法就是通过修改IIS设置来实现，所以要有IIS控制权的朋友才行，不适合购买虚拟主机用户. 服务器防黑安全设置 爱国者安全网 动画名称：服务器防黑安全设置 主题：服务器防黑安全设置 测试环境：Windows 2003 系统 为了给大家成功演示这个服务器防黑安全设置教程，是由顶邦互联公司提供的一台刚装好系统的新服务器； 把硬盘的所有分区都改成NTFS格式。NTFS文件系统要比FAT,FAT32的文件系统安全得多。这点不必多说，想必大家得服务器都已经是NTFS的了。 然后重命名为*.bat即可，运行批处理，重启电脑后生效，重启后电脑就会变成NTFS格式。 关于系统安全，我这里先给大家讲解计算机端口的安全 教程不做语音了，大家认真看我的操作吧 开始菜单，运行，输入cmd，然后再输入netstat -an 1、netstat 的一些常用选项 ·netstat –s ·netstat –e ·netstat –r ·netstat –a ·netstat –n 139端口的打开方法：网上邻居--属性--本地连接--属性--Internet协议（TCP/IP）--高级--WINS； 445端口的打开方法：开始-运行输入regedit.确定后定位到 下面说一下常见的漏洞的端口如何关闭： 1.关闭139端口:右击网上邻居--属性--右击本地连接--属性--internet协议/(TCP/IP)--属性--高级--WINS--禁用TCP/IP上的NETBIOS--确定。 2.右击-网上邻居-属性/本地连接-属性，在microsoft网络客户端前的小勾去掉。接着也把microsoft网络的文件和打印机共享的小勾也去掉。 3.关闭445端口:打开注册表编辑器,在[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/NetBT/Parameters]下增加一个dword键项,命名为"SmbDeviceEnabled"(不包含引号),将值设为0。 4。关闭3389端口:右击我的电脑，点属性--远程，把允许从这台计算机发送远程协助邀请前的勾去掉。 5。关闭135端口: 以上选项有对应的注册表键值，因此也可通过注册表来修改： 重启之后， 135端口就没有了。 大多数的系统重装后，都会开放135、445、139等 第二：杀毒软件要装好 第三：注意你所使用的程序要注意升级 打上网上一些服务器安全补丁，关闭一些有害端口，修改一些有用端口，还要装上一些辅助防毒软件。这里我推荐使用几个工具： 1、关闭一些经常被黑客利用入侵的端口; 2、3389默认端口修改，把远程桌面改一个不常用的靠后的端口，别人就是扫描也要一段时间; 3、在局域网中隐藏计算机，还有一些东西你自己看着用; 控制面板——网络和拨号连接——本地连接——INTERNET协议（tcp/ip)--属性－－高级－－－选项－tcp/ip筛选－－属性!! 然后添加需要的tcp 和UDP端口就可以了～如果对端口不是很了解的话，不要轻易进行过滤，不然可能会导致一些程序无法使用。 只添加80，21，3389 修改之后，重启生效。 权限设置 磁盘权限 系统盘及所有磁盘只给 Administrators 组和 SYSTEM 的完全控制权限 系统盘/Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限 系统盘/Documents and Settings/All Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限 系统盘/Inetpub 目录及下面所有目录、文件只给 Administrators 组和 SYSTEM 的完全控制权限 系统盘/Windows/System32/cacls.exe、cmd.exe、net.exe、net1.exe 文件只给 Administrators 组和 SYSTEM 的完全控制权限 禁用不必要的服务 开始菜单—>管理工具—>服务 Print Spooler Remote Registry TCP/IP NetBIOS Helper Server 以上是在Windows Server 2003 系统上面默认启动的服务中禁用的，默认禁用的服务如没特别需要的话不要启动。 改名或卸载不安全组件 卸载最不安全的组件 del C:/WINDOWS/System32/wshom.ocx regsvr32/u C:/WINDOWS/system32/shell32.dll del C:/WINDOWS/system32/shell32.dll 在一些ASP大马中利用getobject("WINNT")获得了系统用户和系统进程的列表，这个列表可能会被黑客利用，我们应当隐藏起来，方法是： 【开始→程序→管理工具→服务】，找到Workstation，停止它，禁用它。 防止Serv-U权限提升 其实，注销了Shell组件之后，侵入者运行提升工具的可能性就很小了，但是prel等别的脚本语言也有shell能力，为防万一，还是设置一下为好。 用Ultraedit打开ServUDaemon.exe查找Ascii：LocalAdministrator，和#l@$ak#.lk;0@P，修改成等长度的其它字符就可以了，ServUAdmin.exe也一样处理。 另外注意设置Serv-U所在的文件夹的权限，不要让IIS匿名用户有读取的权限，否则人家下走你修改过的文件，照样可以分析出你的管理员名和密码。 最后讲备份，网站的数据库要经常备份，不能放在服务器上，放到另一个安全的地方。系统可以装一个一键备份的软件，你远程一样备份还原，备份还原之后服务器可以自动重启，不需要你人工干预。 注意：把用户组里面默认的管理员用户名修改名称，可以防止别人入侵提升管理员权限等 网站的备份也要有计划，但做好这个你要有条件。数据库出了问题，你马上转移一下，基本不会影响网站运行;网站出了问题也马上可以指到另一台服务器或空间，其实这个并花不了多少钱，现在空间便宜，效率是低一点，但不会影响搜索的收录。 利用ASP漏洞攻击的常见方法及防范 一般情况下，黑客总是瞄准论坛等程序，因为这些程序都有上传功能，他们很容易的就可以上传ASP木马，即使设置了权限，木马也可以控制当前站点的所有文件了。另外，有了木马就然后用木马上传提升工具来获得更高的权限，我们关闭shell组件的目的很大程度上就是为了防止攻击者运行提升工具。 如果论坛管理员关闭了上传功能，则黑客会想办法获得超管密码，比如，如果你用动网论坛并且数据库忘记了改名，人家就可以直接下载你的数据库了，然后距离找到论坛管理员密码就不远了。 作为管理员，我们首先要检查我们的ASP程序，做好必要的设置，防止网站被黑客进入。另外就是防止攻击者使用一个被黑的网站来控制整个服务器，因为如果你的服务器上还为朋友开了站点，你可能无法确定你的朋友会把他上传的论坛做好安全设置。这就用到了前面所说的那一大堆东西，做了那些权限设置和防提升之后，黑客就算是进入了一个站点，也无法破坏这个网站以外的东西。 最好讲一下如何通过禁用注册表和命令提示符来保护服务器安全 其实关于系统安全方面的知识有很多，我会打包几个这方面的知识给大家做参考 如何更改3389端口保护系统安全
五、其它安全相关设置
七、配置Sql服务器
use master
sp_dropextendedproc '扩展存储过程名'
Xp_regaddmultistring Xp_regdeletekey Xp_regdeletevalue Xp_regenumvalues
Xp_regread Xp_regwrite Xp_regremovemultistring
Sp_OACreate Sp_OADestroy Sp_OAGetErrorInfo Sp_OAGetProperty
Sp_OAMethod Sp_OASetProperty Sp_OAStop
FileSystemObject组件---对文件进行常规操作.
WScript.Shell组件---可以调用系统内核运行DOS基本命令.
Shell.Application组件--可以调用系统内核运行DOS基本命令.
一.使用FileSystemObject组件
改名为其它的名字，如：改为FileSystemObject_good
自己以后调用的时候使用这个就可以正常调用此组件了.
HKEY_CLASSES_ROOT/Scripting.FileSystemObject/CLSID/项目的值
可以将其删除，来防止此类木马的危害.
如果想恢复的话只需要去掉 /U 即可重新再注册以上相关ASP组件
二.使用WScript.Shell组件
HKEY_CLASSES_ROOT/WScript.Shell/
及
HKEY_CLASSES_ROOT/WScript.Shell.1/
改名为其它的名字，如：改为WScript.Shell_ChangeName或WScript.Shell.1_ChangeName
2.也要将clsid值也改一下
HKEY_CLASSES_ROOT/WScript.Shell/CLSID/项目的值
HKEY_CLASSES_ROOT/WScript.Shell.1/CLSID/项目的值
三.使用Shell.Application组件
及
HKEY_CLASSES_ROOT/Shell.Application.1/
改名为其它的名字，如：改为Shell.Application_ChangeName或Shell.Application.1_ChangeName
HKEY_CLASSES_ROOT/Shell.Application/CLSID/项目的值
HKEY_CLASSES_ROOT/Shell.Application/CLSID/项目的值
3.禁止Guest用户使用shell32.dll来防止调用此组件命令:
四.调用cmd.exe
五.其它危险组件处理:
按常规一般来说是不会做到以上这些组件的。直接删除掉.如果有部分网页ASP程序利用了上面的组件的话呢，只需在将写ASP代码的时候用我们更改后的组件名称即可正常使用。当然如果你确信你的ASP程序中没有用到以上组件，还是直接删除心中踏实一些.
注意:同时要修改conn.asp的相应路径.
方法二:数据库名后缀改为ASA、ASP等
方法三:数据库名前加“#”
当然以上三种方法综合起来安全性相对更高一些.
方法四:数据库放在WEB目录外
只要修改一处,整个站点的数据库都可以防止被下载。不用修改代码就算暴露目标数据库地址也可以防止下载。
www.3800hk.com
专业的黑客安全技术培训基地
多抽出一分钟时间学习.让你的生命更加精彩.
动画教程只是起到技术交流作用.请大家不用利用此方法对国内的网络做破坏.
国人应该团结起来一致对外才是我们的责任.由此动画造成的任何后果和本站无关.
-------------------------------------------------------------------------
今天是2008年01月16日，在这里华夏黑客联盟提前祝愿大家2008年新年快乐！
前言：
使用NTFS格式分区
C盘转换为NTFS格式
@ ECHO OFF
@ ECHO.
@ ECHO. 说 明
@ ECHO ---------------------------------------------------------------
@ ECHO NTFS格式是WinXP推荐使用的格式。转换为NTFS格式能提高硬盘存储的
@ ECHO 效率，并可设置访问权限以保护文件。但NTFS格式的分区在DOS/WIN9X
@ ECHO 下均不能被识别，可能会给初级用户造成不便。如无必要请不要转换。
@ ECHO ---------------------------------------------------------------
@ ECHO.
pause
convert c:/fs:ntfs
新建一个记事本
然后复制上面的命令并粘贴到记事本里去
通过以上的批处理，就可以把你的系统转换成NTFS格式。
这里我就不多说了
NTFS权限设置，请记住分区的时候把所有的硬盘都分为NTFS分区，然后我们可以确定每个分区对每个用户开放的权限。【文件（夹）上右键→属性→安全】在这里管理NTFS文件（夹）权限。
为了让你的系统变为铜墙铁壁，应该封闭这些端口，主要有：TCP 135、139、445、593、1025 端口和 UDP 135、137、138、445 端口，一些流行病毒的后门端口（如 TCP 2745、3127、6129 端口），以及远程服务访问端口3389。
首先要看看你的电脑打开135，139，445的端口没有，运行--CMD--输入netstat -an就可以看到。
这样可以查看本机所有开放的端口以后监听的Ip等信息。
本选项能够按照各个协议分别显示其统计数据。如果我们的应用程序（如Web浏览器）运行速度比较慢，或者不能显示Web页之类的数据，那么我们就可以用本选项来查看一下所显示的信息。我们需要仔细查看统计数据的各行，找到出错的关键字，进而确定问题所在。
本选项用于显示关于以太网的统计数据。它列出的项目包括传送的数据报的总字节数、错误数、删除数、数据报的数量和广播的数量。这些统计数据既有发送的数据报数量，也有接收的数据报数量。这个选项可以用来统计一些基本的网络流量）。
本选项可以显示关于路由表的信息，类似于后面所讲使用route print命令时看到的 信息。除了显示有效路由外，还显示当前有效的连接。
本选项显示一个所有的有效连接信息列表，包括已建立的连接（ESTABLISHED），也包括监听连接请求（LISTENING）的那些连接。
显示所有已建立的有效连接。
135端口的打开方法：启动“Distributed Transaction Coordinator”服务，运行dcomcnfg，
展开“组件服务”→“计算机”，在“我的电脑”上点右键选“属性”，切换到“默认属性”，
打勾“启用分布式COM”；然后切换到“默认协议”，添加“面向连接的TCP/IP”。
如果你填写了本地连接的IP，你就启动TCP/IP上的NetBIOS。
如果你没有填写本地连接的IP，在NETBIOS设置里面选默认。
HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/NetBT/Parameters
删除“SMBDeviceEnabled”的DWORD值。
重启电脑之后，445就关闭了。
如何关闭135端口
Windows XP系统
运行dcomcnfg，展开“组件服务”→“计算机”，在“我的电脑”上点右键选“属性”，切换到“默认属性”，取消“启用分布式COM”；然后切换到“默认协议”，删除“面向连接的TCP/IP”。
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Ole/EnableDCOM的值改为“N”
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Rpc/DCOM Protocols 中删除“ncacn_ip_tcp”
此外，还需要停用“Distributed Transaction Coordinator”服务。
第一：安装补丁
服务器安装好操作系统之后，最好能在托管之前就完成补丁的安装，系统补丁打好，虽然不升级漏洞不一定会被别人利用，但升级一下总有好处。
不要指望杀毒软件杀掉所有的木马，因为ASP木马的特征是可以通过一定手段来避开杀毒软件的查杀。
免杀的马当然可以过杀毒软件，所以说杀毒软件也不是万能的。
4、360安全卫士，保护全部打开，还要注意设好arp防火墙，要手动设置网关mac和ip,如果真的有不懂的人，cmd下arp -a，你就可以查到网关。这个东西对arp挂马有很好好的效果;
现在讲讲基于Windows的tcp/ip的过滤。
＝＝服务器正在重启。。。
虽然在命令下查看到有些端口仍然开放着，但是刚才的设置已经生效了，你不相信的话，可以用扫描工具扫描一下
如果怀疑安全性，不防可以先手动关掉这些危险的端口，前面已经有文字说明了，大家可以按照前面说的做
这里节约时间就不多说了
接着刚才做，刚才我的网络有问题，不好意思。
最简单的办法是直接卸载后删除相应的程序文件。将下面的代码保存为一个.BAT文件
regsvr32/u C:/WINDOWS/System32/wshom.ocx
然后运行一下，WScript.Shell, Shell.application, WScript.Network就会被卸载了。可能会提示无法删除文件，不用管它，重启一下服务器，你会发现这三个都提示“×安全”了。
防止列出用户组和系统进程
服务器上不要装SERV-U之类的FTP软件，就是装了，你上传下载完马上停掉，我总觉得有的人的服务器被攻击与这个有关。我没用这个SERV-U，用的是在网上下的一个很小的软件FTP-SERVER，要用要开随便，很方便的。
还要养成一个好习惯，远程连接上服务器之后先要查看一下有哪些用户与你的服务器连接上了，计算机里是不是添加了一些黑客用户。
关掉这些，即使别人拿到了你网站的webshell，也无法获得权限。
如果你要用到的时候再打开也行，不需要用的时候最好关掉，或者把这些重要的东西重命名
如果大家用我这里的文件设置服务器，这样您的服务器基本上是安全的了。
众所周知，远程终端服务基于端口3389。入侵者一般先扫描主机开放端口，一旦发现其开放了3389端口，就会进行下一步的入侵，所以我们只需要修改该务默认端口就可以避开大多数入侵者的耳目。
步骤：打开“开始→运行”，输入“regedit”，打开注册表，进入以下路径：[HKEY_LOCAL_MACHINE/SYSTEM/
CurrentControlSet/Control/Terminal Server/
Wds/rdpwd/Tds/tcp]，看见PortNamber值了吗？其默认值是3389，修改成所希望的端口即可，例如6111。
再打开[HKEY_LOCAL_MACHINE/
SYSTEM/CurrentContro1Set/Control/Tenninal Server/WinStations/RDP/Tcp]，将PortNumber的值（默认是3389）修改成端口6111。
一次web挂马所作出服务器的对策
webshell
安全使用FSO主机：
一个简单的虚拟主机存在各种WEBSHELL的威胁的，假如你给朋友开了个虚拟主机空间，那么这个虚拟主机存在的最大安全隐患将会是FSO权限问题，其实FSO的安全隐患在Win2K系统里已经是令网管头疼的事了，但在Win2003中这个FSO的安全隐患却依然没有解决，在没有经过安全配置的虚拟主机下，只要黑客给虚拟主机空间上传一个木马，黑客就能利用FSO权限浏览服务器里的所有文件，并能复制、删除服务器里的所有文件，甚至能利用木马取得服务器的管理权，可见FSO安全配置的重要性。
如果黑客通过某些手段在你的虚拟主机空间上传了一个木马，那么就等于黑客已经拥有了一个WEBSHELL，黑客可以通过这个WEBSHELL控制整台服务器里的数据，
Regsvr32 /u c:/windows/system32/scrrun.dll 注意：在实际操作的时候要更改成为你本地系统安装目录的实际路径，但是使用这种方法删除也太绝了一点，如果以后我们想使用FSO权限，那就用不了啦。所以建议不要使用这种方法删除FSO权限， 显而易见，如果这样做，那么包括站点系统管理员在内的任何人都将不可以使用FileSystemObject对象了，这其实并不是站点管理人员想要得到的结果，毕竟我们使用这个对象可以实现方便的在线站台管理，如果连系统管理员都没法使用了，那可就得不偿失了，但是不禁止这个危险的对象又会给自己的站点带来安全漏洞。那么有没有两全其美的方法呢？有！具体方法如下： 我们可以做到禁止其他人非法使用FileSystemObject对象,但是我们自己仍然可以使用这个对象。 方法如下： 查找注册表中 HKEY_CLASSES_ROOT/Scripting.FileSystemObject 键值 将其更改成为你想要的字符串(右键-->"重命名"),比如更改成为 HKEY_CLASSES_ROOT/Scripting.FileSystemObjectadmin123 如果你使用通常的方法来调用FileSystemObject对象就会无法使用了。 呵呵，只要你不告诉别人这个更改过的对象名称，其他人是无法使用FileSystemObject对象的。这样，作为站点管理者我们就杜绝了他人非法使用FileSystemObject对象，而我们自己仍然可以使用这个对象来方便的实现网站在线管理等等功能了！ 不使用FSO对像就能使用的ASP木马防范方法： 对于这种免FSO对像就能使用的ASP木马，由于少了FSO对像的支持，功能上当然不会很强大的了，只有浏览服务器上的文件目录，复制、移动文件、执行指定路径的程序文件等功能。这个木马程的功能随然简单，但是用它来黑一个网站就是已经足够的了。 防范免FSO支持的ASP木马方法如下： 我们只要在注册表里查找键值shell.application和 wscript.shell 键值，然后把这些键值删除，就能防止这一类的ASP木马攻击了，删除这些键值对你的服务器及ASP支持等不会造成影响的，所以请放心删除 有一些WEBSHELL是调用系统下的CMD.EXE命令运行的。 对于这种webshell我们可以将system32下的cmd.exe进行改名，设个好一点的名字，这样只有你自己知道就ok呢。可是你在操作过程中会发现当你改了cmd.exe的名字以后在运行里打cmd还是能正常运行，再加在到文件平刷新一下发现又来了一个cmd.exe，郁闷了吧。告诉你这是windows系统文件保护的功能了，在系统里面有个系统文件的备份目录dllcache,看不见吧，因为这是受系统保护的。怎么看到他我想不用我说了，在这里我提下它的目录c:/windows/system32/dllcache.把里面的cmd.exe改下名字，再出来把 c:/windows/system32下cmd.exe改成同样的名字，看下是不是ok了。
其实你如果要防范这种攻击，你只要把asp中的FSO（Scripting.FileSystemObject）功能删除就行了，删除FSO权限方法就是在CMD的命令提示符下输入以下命令：
联系客服
