微软WEB和FTP.ppt

1、微軟WEB和FTP 設定,花蓮縣教育網路中心 黃致翔 .tw,前言 Win2000安裝 Hotfix跟service pack 系統安全漏洞 IIS的 Web設定 IIS的 FTP設定 微軟的安全工具,Win2000 安裝,1.用Win2000 的光碟片開機，安裝時不要用內定 值，用不到的東西就不要裝。 2.假如你要做 FTP Server 的話，請在IIS 那一項進去選一下，不然內定是不安裝FTP。 3.先不要接網路線，以免被攻擊。 4.安裝防毒軟體。 5.安裝Hotfix跟Service pack 6.IIS 更新程式 7.IE 更新程式,Servic

2、e Pack,Service Pack Server Pack是windows更新程式的集合 安裝注意，版本由小安裝至大,注意語系(繁體)、加密位元 Service pack目前版本 Windows NT 4.0 SP 7“ (527 個修正檔) ftp:/ Windows 2000 SP 3“ (更多，980 個修正檔)ftp:/ Windows 2000 SP 4“ (98 個修正檔)ftp:/,IIS的Web 設定,去控制台-網路設定-把Tcp/IP 設好。 最好不要安裝Netbuei通訊協定。 到檔案總管去殺掉c:inetpub 裡 AdminScripts iissamples sc

3、ripts 所有的目錄，只留wwwroot (因為沒用到 而且會有漏洞)。如圖1 最好是把wwwroot換到別的硬碟機,IIS的Web 設定,到開始-程式集-系統管理工具-internet 管理員: a.系統管理Web站台-點右鍵-停止(因為沒用到) b.預設的Web站台-點一下-右半邊 將 Scripts iishelp iissample iisadmin MSADC _vti_bin 都點右鍵-刪除(因為會有漏洞) 如圖2 c.剩下一個Printer刪不掉，要問人,圖一,IIS的Web 設定,d.預設的Web站台點右鍵-內容-主目錄-除了原來有打勾的留著,假如你要執行asp的話就勾選指令

4、檔來源存取,假如有留言版計數器的話,就要勾選寫入,也就是除了瀏覽目錄不勾之外,其他全勾 如圖3(其實有更好的作法)註一 e.接上,底下還有一個設定-應用程式對應中,把全部的東西殺光光(移除),只留一個.asp.(因為會有漏洞)-套用-確定 說明:這裡是設定,假如有人連到你的網站,打了xx.ida 則網站會用*.dll 去解讀. 如圖4 f.其他都用內定值即可,-套用-確定離開-關閉Internet管理員,圖三、四,IIS的FTP 設定,FTP的設定 一定要啟用記錄Log檔，預設值都在C:WINNTSystem32LogFiles 辨識方法：第一個的ftp的log檔放在msftpsvc1下 第二

5、個的ftp的log檔放在msftpsvc2下,IIS的FTP 設定,1.考慮是不是要開放anonymous進入 FTP (就是允許所有人進來) 建議權限：讓anonymous可以讀取，不能寫入 如圖五，將主目錄的寫入取消 2.不讓anonymous進入。但要能讓校內同仁使用 建議權限：取消圖五的匿名存取，不能寫入 如圖五，將主目錄的寫入打勾。 將FTP站台操作員加入校內同仁的帳號。,圖五,IIS的FTP 設定,3.可讓anonymous看得到，但不能寫入，只有指定的帳號才能寫入 透過ftp模式需於檔案總管另行對目錄做權限管理,多一些步驟,較為繁瑣 步驟請參考 http:/asp.enc.hlc

6、.edu.tw/network/train/train/kt/IIS4管理.htm,微軟的安全工具,Service Pack 及 Hotfix 檢測工具 HFNetchk URLscan Port scanner,Hotfix,Hotfix 說明 修正作業系統或特定應用程式設計上的弱點 Q#_XXX_YYY_ZZZ_LL.exe - hotfix 組成架構 Q319733_W2K_SP3_X86_TW.exe Q# = Microsoft 知識庫文章號碼 (Q319733) XXX = 作業系統平台 (W2K) YYY = Service Pack 版本 (SP3) ZZZ = 硬體平台 (x

7、86) LL = 語系版本 (TW),HFNetchk,功能 HFNetChk工具為command-line，主要幫助使用者檢查windows NT4.0或Windows2000作業系統Patch檔更新狀況，除此之外也Check hotfixes for IIS 4.0, IIS 5.0, SQL Server 7.0, and SQL Server 2000 (including MSDE), and Internet Explorer 等等 下載網址 ,HFNetchk 注意事項,操作時注意事項如下 執行時必須擁有被掃描主機系統管理員權限 在非英語系(no-English language

8、) Windows 系統下執行時務必加上 v -nosum 參數 HFNetChk FAQ 文件、詳細資訊 KB Q305385 指令 hfnetchk -v nosum 執行後看看是否有未裝的hotfix,URLscan,功能 攔截及過濾所有送給IIS web server的服務請求並依照規則給與適當回應及記錄,可用來降低iis server 受攻擊的機會 下載網址及KB(Knowledge Base) KB: Q307608 使用檔案 URLScan.log:活動紀錄檔,初始化與管機,還有被拒絕要求的資訊 URlScan.ini:設定檔,URLScan安裝,安裝URL Scan步驟 1.點

9、選如右圖UrlScan.exe開始安裝程序 2.接受Microsoft EULA. (END-USER LICENSE AGREEMENT),URLScan安裝,3. 安裝完後會問你要不要restart iis 4. 安裝路徑%windir%system32inetsrvurlscan which is normally c:winntsystem32inetsrvurlscan.,URLScan安裝,檢視安裝結果(1). ISAPI filter安裝在master web site properties ISAPI filters如下圖,URLScan安裝,檢視安裝結果(2). %windi

10、r%system32inetsrvurlscan folder.如,Configuring UrlScan,UrlScan.ini (UrlScan設定檔) IIS啟動使才讀取(效能考量) 修改後，要重啟動IIS才能生效 三種啟動方式: 1.使用IISReset2.NET STOP W3SVC and then NET START W3SVC 3. Internet 服務管理員,Knowledge Base Search網址 ,參考資料,台灣電腦網路處理危機中心.tw/cindex.htm Windows網路管理 作者：李忠憲 mailto:.tw 以Windows 2000架構企業網路 作者：李忠