华南俳烁实业有限公司

　　基本的配置應(yīng)該大家都會(huì)，這里就提幾個(gè)特殊之處或需要注意的地方。

　　1、主目錄權(quán)限設(shè)置：這里可以設(shè)置讀取就行了。寫(xiě)入、目錄瀏覽等都可以不要，最關(guān)鍵的就是目錄瀏覽了。除非特殊情況，否則應(yīng)該關(guān)閉，不然將會(huì)暴露很多重要的信息。這將為黑客入侵帶來(lái)方便。其余保留默認(rèn)就可以了。

　　2、應(yīng)用程序配置：在站點(diǎn)屬性中，主目錄這一項(xiàng)中還有一個(gè)配置選項(xiàng)，點(diǎn)擊進(jìn)入。在應(yīng)用程序映射選項(xiàng)中可以看到，默認(rèn)有許多應(yīng)用程序映射。將需要的保留，不需要的全部都刪除。在入侵過(guò)程中，很多程序可能限制了asp，php 等文件上傳，但并不對(duì)cer，asa等文件進(jìn)行限制，如果未將對(duì)應(yīng)的應(yīng)用程序映射刪除，則可以將asp的后綴名改為cer或者asa后進(jìn)行上傳，木馬將可以正常被解析。這也往往被管理員忽視。另外添加一個(gè)應(yīng)用程序擴(kuò)展名映射，可執(zhí)行文件可以任意選擇，后綴名為.mdb。這是為了防止后綴名為mdb的用戶(hù)數(shù)據(jù)庫(kù)被下載。

　　3、目錄安全性設(shè)置：在站點(diǎn)屬性中選擇目錄安全性，點(diǎn)擊匿名訪問(wèn)和驗(yàn)證控制，選擇允許匿名訪問(wèn)，點(diǎn)擊編輯。如下圖所示。刪除默認(rèn)用戶(hù)，瀏覽選擇對(duì)應(yīng)于前面為cert網(wǎng)站設(shè)定的用戶(hù)，并輸入密碼�？梢赃x中允許IIS控制密碼。這樣設(shè)定的目的是為了防止一些像站長(zhǎng)助手、海洋等木馬的跨目錄跨站點(diǎn)瀏覽，可以有效阻止這類(lèi)的跨目錄跨站入侵。

　　4、可寫(xiě)目錄執(zhí)行權(quán)限設(shè)置：關(guān)閉所有可寫(xiě)目錄的執(zhí)行權(quán)限。由于程序方面的漏洞，目前非常流行上傳一些網(wǎng)頁(yè)木馬，絕大部分都是用web進(jìn)行上傳的。由于不可寫(xiě)的目錄木馬不能進(jìn)行上傳，如果關(guān)閉了可寫(xiě)目錄的執(zhí)行權(quán)限，那么上傳的木馬將不能正常運(yùn)行。可以有效防止這類(lèi)形式web入侵。

　　5、處理運(yùn)行錯(cuò)誤：這里有兩種方法，一是關(guān)閉錯(cuò)誤回顯。IIS屬性――主目錄――配置――應(yīng)用程序調(diào)試――腳本錯(cuò)誤消息，選擇發(fā)送文本錯(cuò)誤信息給客戶(hù)。二是定制錯(cuò)誤頁(yè)面。在IIS屬性――自定義錯(cuò)誤信息，在http錯(cuò)誤信息中雙擊需要定制的錯(cuò)誤頁(yè)面，將彈出錯(cuò)誤映射屬性設(shè)置框。消息類(lèi)型有默認(rèn)值、URL和文件三種，可以根據(jù)情況自行定制。這樣一方面可以隱藏一些錯(cuò)誤信息，另外一方面也可以使錯(cuò)誤顯示更加友好。

　　四、配置FTP

　　Ftp是絕大部分虛擬主機(jī)提供商必備的一項(xiàng)服務(wù)。用戶(hù)的站內(nèi)文件大部分都是使用ftp進(jìn)行上傳的。目前使用的最多的ftp服務(wù)器非Serv-U莫屬了。這里有幾點(diǎn)需要說(shuō)明一下。

　　1、管理員密碼必須更改

　　如果入侵愛(ài)好者們肯定對(duì)Serv-U提權(quán)再熟悉莫過(guò)了。這些提權(quán)工具使用的就是Serv-U默認(rèn)的管理員的帳號(hào)和密碼運(yùn)行的。因?yàn)镾erv-U 管理員是以超級(jí)管理員的身份運(yùn)行的。如果沒(méi)有更改管理員密碼，這些工具使用起來(lái)就再好用不過(guò)了。如果更改了密碼，那這些工具要想正常運(yùn)行，那就沒(méi)那么簡(jiǎn)單嘍。得先破解管理員密碼才行。

　　2、更改安裝目錄權(quán)限

　　Serv-U的默認(rèn)安裝目錄都是everyone可以瀏覽甚至可以修改的。安裝的時(shí)候如果選擇將用戶(hù)信息存儲(chǔ)在ini文件中，則可以在 ServUDaemon.ini得到用戶(hù)的所有信息。如果Guests有修改權(quán)限，那么黑客就可以順利建立具有超級(jí)權(quán)限的用戶(hù)。這可不是一件好事。所以在安裝好Serv-U之后，得修改相應(yīng)的文件夾權(quán)限，可以取消Guests用戶(hù)的相應(yīng)權(quán)限。