榆林教育網(wǎng)建設(shè)方案

PAGE榆林教育網(wǎng)建設(shè)方案二○XX年五月二十三日目錄總述……………（1頁）初步實施方案…………………（1頁）軟件構(gòu)架………（1頁）整體設(shè)計………（6頁）4.1設(shè)計原則………………（6頁）4.2功能目標………………（7頁）4.3技術(shù)指標………………（7頁）服務(wù)建設(shè)………（8頁）5.1Web服務(wù)………………（8頁）5.2Ftp服務(wù)………………（10頁）5.3SMTP服務(wù)……………（12頁）6．安全性能………（12頁）6.1安裝……………………（13頁）6.2windows2000設(shè)置……（15頁）6.3IIS設(shè)置(IIS5.0)………（21頁）6.4ASP編程安全…………（23頁）6.5SQLSERVER的安全…………………（26頁）6.6PCANYWHERE的安全………………（27頁）7．附錄……………（29頁）榆林教育網(wǎng)建設(shè)方案總述近幾年來的校園網(wǎng)建設(shè)熱潮，尤其是2008年城域教育網(wǎng)的快速發(fā)展，讓我們深刻體會到網(wǎng)絡(luò)的建設(shè)與發(fā)展給教育帶來的巨大沖擊。教學(xué)軟件的應(yīng)用更新，教育管理的電子化，教學(xué)資源的逐步豐富，信息交流的快速便捷等都向我們展示了現(xiàn)代教育技術(shù)及教學(xué)手段的變革給教育教學(xué)帶來的全新面貌。教育信息化離不開網(wǎng)絡(luò)基礎(chǔ)設(shè)施與教育軟件的長期建設(shè)，在政府的行政指導(dǎo)與專家的理論導(dǎo)向下，各個教育企業(yè)針對國家政策法規(guī)和信息化的發(fā)展趨勢陸續(xù)推出了一系列解決方案。無論是純硬件與網(wǎng)絡(luò)的全面解決方案，還是應(yīng)用軟件的整體規(guī)劃，都體現(xiàn)出企業(yè)的特長、優(yōu)勢與實力。就目前城域教育網(wǎng)建設(shè)而言，因資源共享、信息交流和管理等應(yīng)用的焦點集中在城域教育中心網(wǎng)站的建設(shè)，因此，城域教育網(wǎng)中心網(wǎng)站的整體解決方案就成為城域教育網(wǎng)建設(shè)的核心，其重點又表現(xiàn)在中心網(wǎng)站的軟件構(gòu)架、整體設(shè)計、服務(wù)建設(shè)、安全性能上。初步實施方案第一：軟件構(gòu)架本公司在2011年4月份就初步完成了榆林教育網(wǎng)網(wǎng)站源代碼的開發(fā)，源代碼以動網(wǎng)文章V2.0商業(yè)ACCSEE版本為核心，修補了以往出現(xiàn)的漏洞并增加了文件上傳、用戶權(quán)限控制等功能；增加了JS代碼生成器、教育看臺管理；在程序美化方面，本公司專門為榆林教育網(wǎng)開發(fā)了10（5×2）種模版，為以后的改版打下良好的基礎(chǔ)。最重要的一項改要是把原來的asp改為現(xiàn)在最為流行的。其具體功能如下：1.文章錄入和修改模塊提供目前最好最方便的HTML在線編輯器。1)可以完全可視化編輯文章內(nèi)容，所見即所得;也可直接編輯HTML源代碼。2)自動識別各種網(wǎng)址和Email地址。3)支持四種貼圖功能：A.直接復(fù)制網(wǎng)上的圖片，然后粘貼到此編輯器中即可，編輯器會自動獲得圖片的URL地址。（強烈推薦使用此功能插入圖片?。〣.使用“插入圖片URL”按鈕?？梢栽诓迦雸D片時指定圖片的URL地址、圖片大小、對齊方式、邊框粗細等。（推薦使用?。〤.使用“上傳文件”功能，上傳本地圖片，上傳后會直接顯示出來。D.在編輯HTML源代碼狀態(tài)下，手工輸入圖片代碼。支持和[IMG][/IMG]標簽。4)可插入表格。并可在插入表格時指定各項參數(shù)。可即時顯示出效果并進行修改。5)無組件上傳文件。上傳的圖片和FLASH動畫會自動顯示出來，其他文件則以UBB代碼顯示。6)如果要手動書寫源代碼，請選中“查看HTML源代碼”選項。支持所有的HTML標簽。支持動網(wǎng)論壇的大部分UBB代碼。書寫完畢后，請取消選中“查看HTML源代碼”選項，HTML代碼可立即顯示實際效果。2.無組件上傳文件服務(wù)器無需安裝任何上傳組件，無需支持FSO，即可上傳文件?？上拗莆募蟼鞯念愋秃臀募笮　Ｉ蟼鞯膱D片和FLASH動畫會自動顯示出來，其他文件則以UBB代碼顯示。3.強大的文章管理功能1)提供文章審核功能。錄入員添加的文章必須經(jīng)過審核才能發(fā)布。管理員和超級用戶可以直接發(fā)布文章。2)提供文章固頂功能。顯示時固頂文章將顯示在最上面。3)文章可以設(shè)置多種屬性：推薦文章、熱點文章?？呻S時更改這些屬性。文章點擊次數(shù)超過10次后自動設(shè)為熱點文章。4)可以批量刪除文章和審核文章4.強大的文章搜索功能可按文章標題、內(nèi)容或作者搜索文章，搜索時可指定文章大類和文章小類和關(guān)鍵字等條件。關(guān)鍵字會在搜索結(jié)果中以紅色標記。5.功能非常強大的JS代碼生成器可根據(jù)需要靈活生成任意條件的JS代碼，然后將生成的JS代碼復(fù)制到網(wǎng)頁代碼的相應(yīng)位置處即可。可參看js.htm文件中范例。這樣實現(xiàn)首頁調(diào)用變得異常簡單。6.人性化的欄目管理1)支持2級分類：文章大類和文章小類2)欄目管理非常人性化7.支持專題管理如文章“《在ASP中使用SQL語句之1:SELECT語句》”屬于“ASP技術(shù)〉A(chǔ)SP基礎(chǔ)”欄目，同時也可以屬于“SQL查詢語句詳解”專題。8.完善的用戶管理：支持三級管理員：超級用戶、普通管理員、文章錄入員超級用戶：可以進行所有功能的操作，可以修改添加、修改、刪除用戶，但不能修改或刪除其他超級用戶的權(quán)限及密碼。文章管理員：只具有文章錄入及管理、審核權(quán)限。文章錄入員：只有添加文章的權(quán)限，添加的文章必須經(jīng)過審核才能發(fā)布。9.模塊化設(shè)計，頁面設(shè)計與程序分離度非常高這樣，若要修改系統(tǒng)或?qū)ο到y(tǒng)進行美化，也是比較簡單的事。只需對頁面進行修改就行了。程序只需做很少改動就可應(yīng)用于新的頁面中。10.提供文章評論功能。訪問者可對文章進行評論?？稍诤笈_對評論進行修改或刪除等管理操作。11.提供發(fā)送郵件功能（需要服務(wù)器安裝JMail組件）訪問者可將看到的好文章發(fā)送給好友。12.提供文章打印功能。13.提供網(wǎng)站調(diào)查及管理功能?？稍诤笈_添加、修改、刪除網(wǎng)站調(diào)查。前臺即時更新。14.提供網(wǎng)站公告及管理功能?？稍诤笈_添加、修改、刪除網(wǎng)站公告。前臺即時更新。15.提供網(wǎng)站廣告管理功能?？稍诤笈_添加、修改、刪除廣告。前臺即時更新。16.提供網(wǎng)站配置功能（需要服務(wù)器支持FSO）可直接在后臺對網(wǎng)站名稱、網(wǎng)站標題、網(wǎng)站地址、LOGO地址、Banner地址、站長姓名、站長信箱等進行設(shè)置。前臺即時更新。17.提供上傳文件管理功能（需要服務(wù)器支持FSO）可在后臺刪除上傳的無用文件。18.提供數(shù)據(jù)庫在線壓縮功能（需要服務(wù)器支持FSO）可以在后臺在線壓縮數(shù)據(jù)庫。壓縮前，建議先備份數(shù)據(jù)庫，以免發(fā)生意外錯誤。+19.提供數(shù)據(jù)庫備份功能（需要服務(wù)器支持FSO）可以在后臺在線將數(shù)據(jù)庫備份到指定的位置。（請注意數(shù)據(jù)庫的安全?。?0.數(shù)據(jù)庫恢復(fù)功能（需要服務(wù)器支持FSO）可以從指定位置將備份的數(shù)據(jù)庫恢復(fù)回來。21.提供系統(tǒng)初始化功能用于不同網(wǎng)站時，可使用此功能清除指定數(shù)據(jù)庫的所有數(shù)據(jù)。請慎用此功能，因為一旦清除將無法恢復(fù)！22.提供查看服務(wù)器信息功能（感謝阿江提供此探針程序）可以查看服務(wù)器的各種信息。如組件支持情況。23.提供“本站統(tǒng)計”功能可以統(tǒng)計網(wǎng)站的文章數(shù)目、評論數(shù)據(jù)，注冊用戶等信息。24.網(wǎng)站風(fēng)格統(tǒng)一由CSS定義。如要修改網(wǎng)站風(fēng)格，請修改style.css文件。如果你對CSS不熟，請勿隨意修改。25.提供多種子欄目顯示方式子欄目顯示方式可設(shè)置成“菜單顯示”（默認）、頂端顯示、左邊顯示、樹形顯示?？梢院笈_管理網(wǎng)站配置中進行設(shè)置。26.更多功能請你自己在使用過程中慢慢體會。上述功能完全可以滿足各縣教育局及所有通訊員編輯文件上傳文件審批文件發(fā)表文件等一系列過程。第二：整體設(shè)計1．設(shè)計原則榆林教育網(wǎng)的建設(shè)，要為教育教學(xué)服務(wù)，為促進學(xué)校教育現(xiàn)代化服務(wù)。要緊密結(jié)合教育教學(xué)的需要和經(jīng)濟承受能力的實際，本著高效、適用的原則，有計劃、有重點，分地區(qū)、分層次，積極穩(wěn)妥地推進校園網(wǎng)建設(shè)。要嚴格規(guī)范校園網(wǎng)建設(shè)及相應(yīng)的軟件開發(fā)標準，確保信息化校園的整體建設(shè)規(guī)劃和管理要求的落實。榆林教育網(wǎng)建設(shè)應(yīng)做到培訓(xùn)在先、建網(wǎng)建庫同行、重在應(yīng)用。切實做好學(xué)校教師、技術(shù)與管理及行政人員的不同層次的培訓(xùn)，形成一支能使教育網(wǎng)充分發(fā)揮使用效益的應(yīng)用隊伍、教學(xué)軟件開發(fā)隊伍和能保證教育網(wǎng)正常持續(xù)運行的軟、硬件管理隊伍。積極開發(fā)和推廣使用教育教學(xué)軟件，建設(shè)信息資源庫，充分發(fā)揮教育網(wǎng)的使用效益。在建設(shè)教育網(wǎng)的同時，要充分利用原有設(shè)施設(shè)備，繼續(xù)實施實驗教學(xué)和電化教學(xué)。并努力將TCP/IP網(wǎng)絡(luò)與原有閉路電視網(wǎng)和廣播網(wǎng)緊密結(jié)合，保證資源優(yōu)化配置和合理應(yīng)用。2．功能目標一個完備的教育網(wǎng)，應(yīng)在教師備課教學(xué)、學(xué)生學(xué)習(xí)、教務(wù)管理、行政管理、圖書資料管理、資源信息、對外交流等方面發(fā)揮輔助、支持功能，并通過與廣域網(wǎng)的互聯(lián)，實現(xiàn)校際間的信息共享及與因特網(wǎng)(INTERNET)的連接，通過與寬帶數(shù)字衛(wèi)星相聯(lián)，實現(xiàn)遠程教育，為學(xué)校的教學(xué)、管理、日常辦公、內(nèi)外交流等各方面提供全面、切實的支持。3．技術(shù)指標榆林教育網(wǎng)的設(shè)計應(yīng)采用國際通行的TCP／IP協(xié)議，并達到以下目標：·先進性：先進的設(shè)計思想、網(wǎng)絡(luò)結(jié)構(gòu)、開發(fā)工具，采用市場覆蓋率高、標準化和技術(shù)成熟的軟硬件產(chǎn)品?！嵱眯裕航ňW(wǎng)時應(yīng)充分考慮利用和保護現(xiàn)有資源，充分發(fā)揮設(shè)備效益，要保證系統(tǒng)和應(yīng)用軟件全中文界面，且功能完善，界面友好，兼容性強，使用戶最方便地實現(xiàn)各種功能?！ら_放性：系統(tǒng)設(shè)計應(yīng)采用開放技術(shù)、開放結(jié)構(gòu)、開放系統(tǒng)組件和開放用戶接口，以利于網(wǎng)絡(luò)的維護、擴展升級及與外界信息的溝通?！みm應(yīng)性：采用積木式模塊組合和結(jié)構(gòu)化設(shè)計，使系統(tǒng)配置靈活，使網(wǎng)絡(luò)具有強大的可增長性和強壯性，方便管理和維護。·可擴展性：網(wǎng)絡(luò)規(guī)劃設(shè)計要滿足校園不斷發(fā)展的要求，還要滿足因技術(shù)發(fā)展需要而實現(xiàn)低成本擴展和升級的需求?！た煽啃裕壕哂腥蒎e功能，能滿足學(xué)校所在地環(huán)境、氣候條件，抗干擾能力強，對網(wǎng)絡(luò)的設(shè)計、選型、安裝、調(diào)試等各環(huán)節(jié)進行統(tǒng)一規(guī)劃和分析，確保系統(tǒng)運行可靠?！ぐ踩裕禾峁┒鄬哟伟踩刂剖侄?，建立完善的安全管理體系，防止數(shù)據(jù)受侵擊和破壞，有可靠的防病毒措施和阻擋不良信息進入的措施?！そ?jīng)濟性：著眼于近期目標和長期的發(fā)展，選用先進的設(shè)備進行最佳性能組合，利用有限的投資構(gòu)造一個性能最佳的網(wǎng)絡(luò)系統(tǒng)。第三：服務(wù)建設(shè)Web服務(wù)（1）WebService概念什么是WebService呢？從表面上看，WebService就是一個應(yīng)用程序，它向外界暴露出一個能夠通過Web進行調(diào)用的API。這就是說，你能夠用編程的方法通過Web調(diào)用來實現(xiàn)某個功能的應(yīng)用程序。例如，筆者創(chuàng)建一個WebService，它的作用是查詢某公司某員工的基本信息。它接受該員工的編號作為查詢字符串，返回該員工的具體信息。你可以在瀏覽器的地址欄中直接輸入HTTPGET請求來調(diào)用羅列該員工基本信息的ASP頁面，這就可以算作是體驗WebService了。從深層次上看，WebService是一種新的Web應(yīng)用程序分支，它們是自包含、自描述、模塊化的應(yīng)用，可以在網(wǎng)絡(luò)(通常為Web)中被描述、發(fā)布、查找以及通過Web來調(diào)用。WebService便是基于網(wǎng)絡(luò)的、分布式的模塊化組件，它執(zhí)行特定的任務(wù)，遵守具體的技術(shù)規(guī)范，這些規(guī)范使得WebService能與其他兼容的組件進行互操作。它可以使用標準的互聯(lián)網(wǎng)協(xié)議，像超文本傳輸協(xié)議HTTP和XML，將功能體現(xiàn)在互聯(lián)網(wǎng)和企業(yè)內(nèi)部網(wǎng)上。WebService平臺是一套標準，它定義了應(yīng)用程序如何在Web上實現(xiàn)互操作性。你可以用你喜歡的任何語言(筆者用的是C#)，在你喜歡的任何平臺上寫WebService。（2）WebService軟件的支持操作系統(tǒng)離不開豐富的應(yīng)用軟件的支持。同樣，WebService這項技術(shù)只有通過日益廣泛的應(yīng)用才能體現(xiàn)出其價值，目前比較流行的實現(xiàn)方法是使用.NET和Java兩種技術(shù)，并且兩種實現(xiàn)方法可以互相操作；如今我們已經(jīng)可以看到使用微軟、IBM、SUN、Borland等不同廠商的WebService構(gòu)建工具建立的WebService應(yīng)用。微軟的.NET技術(shù)應(yīng)該算是時下最為流行的WebService開發(fā)技術(shù)。首先因為其公司在以前相應(yīng)的產(chǎn)品就占有相當(dāng)大的市場份額，以至使新推出的.NET得以有比較穩(wěn)定的用戶群；其次也是更重要的是.NET平臺不僅延續(xù)了微軟一貫的編程風(fēng)格，而且還增加了許多支持Web服務(wù)的關(guān)鍵性技術(shù)，使得.NET在操作的簡單性和執(zhí)行的穩(wěn)定性，高效性上達到了一個非常好的結(jié)合。微軟的VisualStudio.NET便是一個便于Web服務(wù)的開發(fā)工具。微軟的目標是，將其新編程語言——C#作為WebService的首選語言。雖然C#看起來與Java類似，但是還有一些Java中沒有的獨特的功能。.NET技術(shù)中用于WebService開發(fā)的主要工具是ASP.NET（目前，榆林教育網(wǎng)源碼就是用此編寫）從技術(shù)上說，ASP提供了一些超出ASP以前版本的優(yōu)點(例如：代碼和HTML的分離，與腳本語言相比較，對“真正”的編程語言如C#的支持)。榆林教育網(wǎng)所用服務(wù)器的Web服務(wù)現(xiàn)以搭建完成，此后的工作重點將是開通各縣教育局和各學(xué)校用戶的web服務(wù)及web的安全問題。Ftp服務(wù)（1）為什么要開FTP服務(wù)：FTP（FileTransferProtocol）是Internet上用來傳送文件的協(xié)議（文件傳輸協(xié)議）。它是為了我們能夠在Internet上互相傳送文件而制定的的文件傳送標準，規(guī)定了Internet上文件如何傳送。也就是說，通過FTP協(xié)議，我們就可以跟Internet上的FTP服務(wù)器進行文件的上傳（Upload）或下載（Download）等動作。和其他Internet應(yīng)用一樣，F(xiàn)TP也是依賴于客戶程序/服務(wù)器關(guān)系的概念。在Internet上有一些網(wǎng)站，它們依照FTP協(xié)議提供服務(wù)，讓網(wǎng)友們進行文件的存取，這些網(wǎng)站就是FTP服務(wù)器。網(wǎng)上的用戶要連上FTP服務(wù)器，就要用到FPT的客戶端軟件，通常Windows都有“ftp”命令，這實際就是一個命令行的FTP客戶程序，另外常用的FTP客戶程序還有CuteFTP、Ws_FTP、FTPExplorer等。要連上FTP服務(wù)器（即“登陸”），必須要有該FTP服務(wù)器的帳號。如果是該服務(wù)器主機的注冊客戶，你將會有一個FTP登陸帳號和密碼，就憑這個帳號密碼連上該服務(wù)器。但Internet上有很大一部分FTP服務(wù)器被稱為“匿名”（Anonymous）FTP服務(wù)器。這類服務(wù)器的目的是向公眾提供文件拷貝服務(wù)，因此，不要求用戶事先在該服務(wù)器進行登記注冊。Anonymous（匿名文件傳輸）能夠使用戶與遠程主機建立連接并以匿名身份從遠程主機上拷貝文件，而不必是該遠程主機的注冊用戶。用戶使用特殊的用戶名“anonymous”和“guest”就可有限制地訪問遠程主機上公開的文件?，F(xiàn)在許多系統(tǒng)要求用戶將Emai1地址作為口令，以便更好地對訪問進行跟綜。出于安全的目的，大部分匿名FTP主機一般只允許遠程用戶下載（download）文件，而不允許上載（upload）文件。也就是說，用戶只能從匿名FTP主機拷貝需要的文件而不能把文件拷貝到匿名FTP主機。另外，匿名FTP主機還采用了其他一些保護措施以保護自己的文件不至于被用戶修改和刪除，并防止計算機病毒的侵入。在具有圖形用戶界面的WorldWildWeb環(huán)境于1995年開始普及以前，匿名FTP一直是Internet上獲取信息資源的最主要方式，在Internet成千上萬的匿名PTP主機中存儲著無以計數(shù)的文件，這些文件包含了各種各樣的信息，數(shù)據(jù)和軟件。人們只要知道特定信息資源的主機地址，就可以用匿名FTP登錄獲取所需的信息資料。雖然目前使用WWW環(huán)境已取代匿名FTP成為最主要的信息查詢方式，但是匿名FTP仍是Internet上傳輸分發(fā)軟件的一種基本方法。（2）FTP使用軟件：Serv-U是一種被廣泛運用的FTP服務(wù)器端軟件，支持3x/9x/ME/NT/2K等全Windows系列?？梢栽O(shè)定多個FTP服務(wù)器、限定登錄用戶的權(quán)限、登錄主目錄及空間大小等，功能非常完備。SMTP服務(wù)榆林教育網(wǎng)開通SMTP服務(wù)是必要的，SMTP(SimpleMailTransferProtocol)即簡單郵件傳輸協(xié)議,它是一組用于由源地址到目的地址傳送郵件的規(guī)則,由它來控制信件的中轉(zhuǎn)方式。SMTP協(xié)議屬于TCP／IP協(xié)議族,它幫助每臺計算機在發(fā)送或中轉(zhuǎn)信件時找到下一個目的地。通過SMTP協(xié)議所指定的服務(wù)器,我們就可以把E－mail寄到收信人的服務(wù)器上了,整個過程只要幾分鐘。SMTP服務(wù)器則是遵循SMTP協(xié)議的發(fā)送郵件服務(wù)器，用來發(fā)送或中轉(zhuǎn)你發(fā)出的電子郵件。通過SMTP服務(wù)我們可以更好更快的和各學(xué)校及所有個人用戶聯(lián)系，并可以相互傳送文件等。第四：安全性能用windows2000建立的Web站點在所有的網(wǎng)站中占了很大一部分比例，但windows2000的安全問題也一直比較突出，使得一些每個基于windows2000的網(wǎng)站都有一種如履薄冰的感覺，然而微軟并沒有明確的解決方案，只是推出了一個個補丁程序，各種安全文檔上對于windows2000的安全描述零零碎碎，給人們的感覺是無所適從。于是，有的網(wǎng)管干脆什么措施也不采取，有的忙著下各種各樣的補丁程序，有的在安裝了防火墻以后就以為萬事大吉了。這種現(xiàn)狀直接導(dǎo)致了大量網(wǎng)站的windows2000安全性參差不齊。只有極少數(shù)windows2000網(wǎng)站有較高的安全性，大部分網(wǎng)站的安全性很差。為此，我公司決心對windows2000主要漏洞予以搜集整理，同時，站在整體的高度，力圖找出一套用windows2000建立安全站點的解決方案來，讓榆林教育網(wǎng)安全的使用windows2000服務(wù)器。對windows2000來說web站點主要解決的安全問題如下：Web應(yīng)用程序;Internet信息服務(wù)(IIS)5.0;Windows2000AdvancedServer操作系統(tǒng);IP安全標準(IPSec)策略;遠程管理與監(jiān)視;SQLServer2000;密碼。解決方案：（說明：本方案主要是針對建立Web站點的windows2000服務(wù)器安全，對于局域網(wǎng)內(nèi)的服務(wù)器并不合適。）一、安裝：1.硬盤分區(qū)為NTFS分區(qū)；說明：（1）NTFS比FAT分區(qū)多了安全控制功能，可以對不同的文件夾設(shè)置不同的訪問權(quán)限，安全性增強。（2）建議最好一次性全部安裝成NTFS分區(qū)，而不要先安裝成FAT分區(qū)再轉(zhuǎn)化為NTFS分區(qū)，這樣做在安裝了SP4的情況下會導(dǎo)致轉(zhuǎn)化不成功，甚至系統(tǒng)崩潰。（3）安裝NTFS分區(qū)有一個潛在的危險，就是目前大多數(shù)反病毒軟件沒有提供對軟盤啟動后NTFS分區(qū)病毒的查殺，這樣一旦系統(tǒng)中了惡性病毒而導(dǎo)致系統(tǒng)不能正常啟動，后果就比較嚴重，因此平時做好防病毒工作是必要的。2.只安裝一種操作系統(tǒng)；說明：安裝兩種以上操作系統(tǒng)，會給黑客以可乘之機，利用攻擊使系統(tǒng)重啟到另外一個沒有安全設(shè)置的操作系統(tǒng)（或者他熟悉的操作系統(tǒng)），進而進行破壞。3.安裝成獨立的域控制器（StandAlone）,選擇工作組成員，不選擇域；說明：主域控制器（PDC）是局域網(wǎng)中隊多臺聯(lián)網(wǎng)機器管理的一種方式，用于網(wǎng)站服務(wù)器包含著安全隱患，使黑客有可能利用域方式的漏洞攻擊站點服務(wù)器。4.將操作系統(tǒng)文件所在分區(qū)與Web數(shù)據(jù)包括其他應(yīng)用程序所在的分區(qū)分開，并在安裝時最好不要使用系統(tǒng)默認的目錄，如將\WINNT改為其他目錄；說明：黑客有可能通過Web站點的漏洞得到操作系統(tǒng)對操作系統(tǒng)某些程序的執(zhí)行權(quán)限，從而造成更大的破壞。5.Windows程序，都要重新安裝一次補丁程序，windows2000下更需要這樣做。說明：（1）最新的補丁程序，表示系統(tǒng)以前有重大漏洞，非補不可了，對于局域網(wǎng)內(nèi)服務(wù)器可以不是最新的，但站點必須安裝最新補丁，否則黑客可能會利用低版本補丁的漏洞對系統(tǒng)造成威脅。這是一部分管理員較易忽視的一點；（2）安裝windows2000的SP4有一個潛在威脅，就是一旦系統(tǒng)崩潰重裝windows2000時，系統(tǒng)將不會認NTFS分區(qū)，原因是微軟在這個補丁中對NTFS做了改進。只能通過Windows2000安裝過程中認NTFS，這樣會造成很多麻煩，建議同時做好數(shù)據(jù)備份工作。（3）安裝ServicePack前應(yīng)先在測試機器上安裝一次，以防因為例外原因?qū)е聶C器死機，同時做好數(shù)據(jù)備份。6.盡量不安裝與Web站點服務(wù)無關(guān)的軟件；說明：其他應(yīng)用軟件有可能存在黑客熟知的安全漏洞。二、windows2000設(shè)置：1.帳號策略：（1）帳號盡可能少，且盡可能少用來登錄；說明：網(wǎng)站帳號一般只用來做系統(tǒng)維護，多余的帳號一個也不要，因為多一個帳號就會多一份被攻破的危險。（2）除過Administrator外，有必要再增加一個屬于管理員組的帳號；說明：兩個管理員組的帳號，一方面防止管理員一旦忘記一個帳號的口令還有一個備用帳號；另方面，一旦黑客攻破一個帳號并更改口令，我們還有機會重新在短期內(nèi)取得控制權(quán)。（3）所有帳號權(quán)限需嚴格控制，輕易不要給帳號以特殊權(quán)限；（4）將Administrator重命名，改為一個不易猜的名字。其他一般帳號也應(yīng)遵循這一原則。說明：這樣可以為黑客攻擊增加一層障礙。（5）將Guest帳號禁用，同時重命名為一個復(fù)雜的名字，增加口令，并將它從Guest組刪掉；說明：有的黑客工具正是利用了guest的弱點，可以將帳號從一般用戶提升到管理員組。（6）給所有用戶帳號一個復(fù)雜的口令（系統(tǒng)帳號出外），長度最少在8位以上，且必須同時包含字母、數(shù)字、特殊字符。同時不要使用大家熟悉的單詞（如microsoft）、熟悉的鍵盤順序（如qwert）、熟悉的數(shù)字（如2000）等。說明：口令是黑客攻擊的重點，口令一旦被突破也就無任何系統(tǒng)安全可言了，而這往往是不少網(wǎng)管所忽視的地方，據(jù)我們的測試，僅字母加數(shù)字的5位口令在幾分鐘內(nèi)就會被攻破，而所推薦的方案則要安全的多。（7）口令必須定期更改（建議至少兩周改一次），且最好記在心里，除此以外不要在任何地方做記錄；另外，如果在日志審核中發(fā)現(xiàn)某個帳號被連續(xù)嘗試，則必須立刻更改此帳號（包括用戶名和口令）；（8）在帳號屬性中設(shè)立鎖定次數(shù)，比如改帳號失敗登錄次數(shù)超過5次即鎖定改帳號。這樣可以防止某些大規(guī)模的登錄嘗試，同時也使管理員對該帳號提高警惕。2.解除NetBios與TCP/IP協(xié)議的綁定說明：NetBois在局域網(wǎng)內(nèi)是不可缺少的功能，在網(wǎng)站服務(wù)器上卻成了黑客掃描工具的首選目標。方法：控制面版——網(wǎng)絡(luò)和撥號連接——本地網(wǎng)絡(luò)——屬性——TCP/IP——屬性——高級——WINS——禁用TCP/IP上的NETBIOS。3.刪除所有的網(wǎng)絡(luò)共享資源說明：windows2000在默認情況下有不少網(wǎng)絡(luò)共享資源，在局域網(wǎng)內(nèi)對網(wǎng)絡(luò)管理和網(wǎng)絡(luò)通訊有用，在網(wǎng)站服務(wù)器上同樣是一個特大的安全隱患。（卸載“Microsoft網(wǎng)絡(luò)的文件和打印機共享”。當(dāng)查看“網(wǎng)絡(luò)和撥號連接”中的任何連接屬性時，將顯示該選項。單擊“卸載”按鈕刪除該組件；清除“Microsoft網(wǎng)絡(luò)的文件和打印機共享”復(fù)選框?qū)⒉黄鹱饔谩＃┓椒ǎ?1)控制面版——管理工具——計算及管理——共享文件夾———停止共享。但上述兩種方法太麻煩，服務(wù)器每重啟一次，管理員就必須停止一次（2）修改注冊表：運行Regedit，然后修改注冊表在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters下增加一個鍵Name:AutoShareServerType:REG_DWORDValue:0然后重新啟動您的服務(wù)器，磁盤分區(qū)共享去掉，但IPC共享仍存在，需每次重啟后手工刪除。4.改NTFS的安全權(quán)限；說明：NTFS下所有文件默認情況下對所有人（EveryOne）為完全控制權(quán)限，這使黑客有可能使用一般用戶身份對文件做增加、刪除、執(zhí)行等操作，建議對一般用戶只給予讀取權(quán)限，而只給管理員和System以完全控制權(quán)限，但這樣做有可能使某些正常的腳本程序不能執(zhí)行，或者某些需要寫的操作不能完成，這時需要對這些文件所在的文件夾權(quán)限進行更改，建議在做更改前先在測試機器上作測試，然后慎重更改。5.系統(tǒng)啟動的等待時間設(shè)置為0秒，控制面板->系統(tǒng)->啟動/關(guān)閉，然后將列表顯示的默認值“30”改為“0”。（或者在boot.ini里將

TimeOut的值改為0）6.只開放必要的端口，關(guān)閉其余端口。說明：缺省情況下，所有的端口對外開放，黑客就會利用掃描工具掃描那些端口可以利用，這對安全是一個嚴重威脅。端口掃描在網(wǎng)絡(luò)掃描中大約占了96%，UDP（UserDatagramProtocol）服務(wù)次之，占3.7%。除了這兩種之外，剩余的0.3%是用戶名和密碼掃描、NetBIOS域登錄信息和SNMP管理數(shù)據(jù)等。TelAviv大學(xué)已經(jīng)開始努力防止蠕蟲攻擊和對NetBIOS弱點的網(wǎng)絡(luò)攻擊，因為這些攻擊可能會感染所有的Windows系統(tǒng)。同時，在發(fā)送流量之前，要求ISP對所有的NetBIOS流量進行過濾?，F(xiàn)將一些常用端口列表如下：端口協(xié)議應(yīng)用程序21TCPFTP25TCPSMTP53TCPDNS80TCPHTTPSERVER1433TCPSQLSERVER5631TCPPCANYWHERE5632UDPPCANYWHERE（附）10種最易受攻擊的端口7.加強日志審核；說明：日志任何包括事件查看器中的應(yīng)用、系統(tǒng)、安全日志，IIS中的WWW、SMTP、FTP日志、SQLSERVER日志等，從中可以看出某些攻擊跡象，因此每天查看日志是保證系統(tǒng)安全的必不可少的環(huán)節(jié)。安全日志缺省是不記錄，帳號審核可以從域用戶管理器——規(guī)則——審核中選擇指標；NTFS中對文件的審核從資源管理器中選取。要注意的一點是，只需選取你真正關(guān)心的指標就可以了，如果全選，則記錄數(shù)目太大，反而不利于分析；另外太多對系統(tǒng)資源也是一種浪費。8.加強數(shù)據(jù)備份；說明：這一點非常重要，站點的核心是數(shù)據(jù)，數(shù)據(jù)一旦遭到破壞后果不堪設(shè)想，而這往往是黑客們真正關(guān)心的東西；遺憾的是，不少網(wǎng)管在這一點上做的并不好，不是備份不完全，就是備份不及時。數(shù)據(jù)備份需要仔細計劃，制定出一個策略并作了測試以后才實施，而且隨著網(wǎng)站的更新，備份計劃也需要不斷地調(diào)整。9.只保留TCP/IP協(xié)議，刪除NETBEUI、IPX/SPX協(xié)議；說明：網(wǎng)站需要的通訊協(xié)議只有TCP/IP，而NETBEUI是一個只能用于局域網(wǎng)的協(xié)議，IPX/SPX是面臨淘汰的協(xié)議，放在網(wǎng)站上沒有任何用處，反而會被某些黑客工具利用。10.停掉沒有用的服務(wù)，只保留與網(wǎng)站有關(guān)的服務(wù)和服務(wù)器某些必須的服務(wù)。說明：有些服務(wù)比如RAS服務(wù)、Spooler服務(wù)等會給黑客帶來可乘之機，如果確實沒有用處建議禁止掉，同時也能節(jié)約一些系統(tǒng)資源。但要注意有些服務(wù)是操作系統(tǒng)必須的服務(wù)，建議在停掉前查閱幫助文檔并首先在測試服務(wù)器上做一下測試。11.隱藏上次登錄用戶名,修改注冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon中找到DontDisplayLastUserName，將其值設(shè)為1。說明：缺省情況下，上次登錄的用戶名會出現(xiàn)在登錄框中，這就為黑客猜測口令提供了線索，最好的方式就是隱藏上次登錄用戶名。12.不要起用IP轉(zhuǎn)發(fā)功能。說明：缺省情況下，windows2000的IP轉(zhuǎn)發(fā)功能是禁止的，但注意不要啟用，否則它會具有路由作用，被黑客利用來對其他服務(wù)器進行攻擊。13.安裝最新的MDAC說明：MDAC為數(shù)據(jù)訪問部件，通常程序?qū)?shù)據(jù)庫的訪問都通過它，但它也是黑客攻擊的目標，為防止以前版本的漏洞可能會被帶入升級后的版本，建議卸載后安裝最新的版本。注意：在安裝最新版本前最好先做一下測試，因為有的數(shù)據(jù)訪問方式或許在新版本中不再被支持，這種情況下可以通過修改注冊表來檔漏洞，祥見漏洞測試文檔。三、IIS設(shè)置(IIS5.0)1.只安裝OptoinPack中必須的服務(wù)，建議不要安裝IndexServer、FrontPageServerExtensions、示例WWW站點等功能。說明：IIS中的眾多安全隱患是由一些其他的功能引起的，如果僅做一個WWW站點，就需要安裝必須的服務(wù)，如WWW服務(wù)、FTP服務(wù)，這樣減少黑客利用這些漏洞攻擊的機會。2.停止默認的FTP站點、默認的Web站點、管理Web站點，在新的目錄下新建WWW服務(wù)與FTP服務(wù)。說明：默認的站點與管理Web站點含有大量有安全漏洞的文件，極易給黑客造成攻擊機會。具體漏洞見所附安全文檔。因此，必須禁止。同時，應(yīng)該在新的目錄下建立服務(wù)，這個目錄千萬不要放在InetPub\wwwroot下，最好放在與它不同的分區(qū)下。3.刪除不必要的IIS擴展名映射。最好去掉.IDC、.HTR、.STM、.IDA、.HTW應(yīng)用程序映射，.shtml、.shtm等如果無用，也應(yīng)去掉。說明：上述應(yīng)用程序映射，具有大量安全隱患。方法：Web站點——屬性——主目錄——配置——應(yīng)用程序映射4.安裝新的ServicePack后，IIS的應(yīng)用程序映射應(yīng)重新設(shè)置。說明：安裝新的ServicePack后，某些應(yīng)用程序映射又會出現(xiàn)，導(dǎo)致出現(xiàn)安全漏洞。這是管理員較易忽視的一點。5.設(shè)置IP拒絕訪問列表說明：對于WWW服務(wù)，可以拒絕一些對站點有攻擊嫌疑的地址；尤其對于FTP服務(wù)，如果只是自己公司上傳文件，就可以只允許本公司的IP訪問改FTP服務(wù)，這樣，安全性大為提高。6.禁止對FTP服務(wù)的匿名訪問說明：如果允許對FTP服務(wù)做匿名訪問，該匿名帳戶就有可能被利用來獲取更多的信息，以致對系統(tǒng)造成危害。7.建議使用W3C擴充日志文件格式，每天記錄客戶IP地址，用戶名，服務(wù)器端口，方法，URI字根，HTTP狀態(tài)，用戶代理，而且每天均要審查日志。（最好不要使用缺省的目錄，建議更換一個記日志的路徑，同時設(shè)置日志的訪問權(quán)限，只允許管理員和system為FullControl）說明：作為一個重要措施，既可以發(fā)現(xiàn)攻擊的跡象，采取預(yù)防措施，也可以作為受攻擊的一個證據(jù)。8.慎重設(shè)置Web站點目錄的訪問權(quán)限，一般情況下，不要給予目錄以寫入和允許目錄瀏覽權(quán)限。只給予.ASP文件目錄以腳本的權(quán)限，而不要給與執(zhí)行權(quán)限。說明：目錄訪問權(quán)限必須慎重設(shè)置，否則會被黑客利用。四、ASP編程安全：安全不僅是網(wǎng)管的事，編程人員也必須在某些安全細節(jié)上注意，養(yǎng)成良好的安全習(xí)慣，否則，會給黑客造成可乘之機。目前，大多數(shù)網(wǎng)站上的ASP程序有這樣那樣的安全漏洞，但如果寫程序的時候注意的話，還是可以避免的。1.涉及用戶名與口令的程序最好封裝在服務(wù)器端，盡量少的在ASP文件里出現(xiàn)，涉及到與數(shù)據(jù)庫連接地用戶名與口令應(yīng)給予最小的權(quán)限。說明：用戶名與口令，往往是黑客們最感興趣的東西，如果被通過某種方式看到源代碼，后果是嚴重的。因此要盡量減少它們在ASP文件中的出現(xiàn)次數(shù)。出現(xiàn)次數(shù)多得用戶名與口令可以寫在一個位置比較隱蔽的包含文件中。如果涉及到與數(shù)據(jù)庫連接，理想狀態(tài)下只給它以執(zhí)行存儲過程的權(quán)限，千萬不要直接給予該用戶以修改、插入、刪除記錄的權(quán)限。2.需要經(jīng)過驗證的ASP頁面，可跟蹤上一個頁面的文件名，只有從上一頁面轉(zhuǎn)進來的會話才能讀取這個頁面。說明：現(xiàn)在的需要經(jīng)過驗證的ASP程序多是在頁面頭部加一個判斷語句，但這還不夠，有可能被黑客繞過驗證直接進入，因此有必要跟蹤上一個頁面。具體漏洞見所附漏洞文檔。3.ASP主頁.inc文件泄露問題當(dāng)存在asp的主頁正在制作并沒有進行最后調(diào)試完成以前，可以被某些搜索引擎機動追加為搜索對象，如果這時候有人利用搜索引擎對這些網(wǎng)頁進行查找，會得到有關(guān)文件的定位，并能在瀏覽器中察看到數(shù)據(jù)庫地點和結(jié)構(gòu)的細節(jié)揭示完整的源代碼。解決方案：程序員應(yīng)該在網(wǎng)頁發(fā)布前對其進行徹底的調(diào)試；安全專家需要固定asp包含文件以便外部的用戶不能看他們。首先對.inc文件內(nèi)容進行加密，其次也可以使用.asp文件代替.inc文件使用戶無法從瀏覽器直接觀看文件的源代碼。.inc文件的文件名不用使用系統(tǒng)默認的或者有特殊含義容易被用戶猜測到的，盡量使用無規(guī)則的英文字母。4.注意某些ASP編輯器會自動備份asp文件，會被下載的漏洞在有些編輯asp程序的工具，當(dāng)創(chuàng)建或者修改一個asp文件時，編輯器自動創(chuàng)建一個備份文件，比如：UltraEdit就會備份一個..bak文件，如你創(chuàng)建或者修改了some.asp，編輯器自動生成一個叫some.asp.bak文件，如果你沒有刪除這個bak文件，攻擊有可以直接下載some.asp.bak文件，這樣some.asp的源程序就會給下載。5.在處理類似留言板、BBS等輸入框的ASP程序中，最好屏蔽掉HTML、JavaScript、VBScript語句，如無特殊要求，可以限定只允許輸入字母與數(shù)字，屏蔽掉特殊字符。同時對輸入字符的長度進行限制。而且不但在客戶端進行輸入合法性檢查，同時要在服務(wù)器端程序中進行類似檢查。說明：輸入框是黑客利用的一個目標，他們可以通過輸入腳本語言等對用戶客戶端造成損壞；如果該輸入框涉及到數(shù)據(jù)查詢，他們會利用特殊查詢輸入得到更多的數(shù)據(jù)庫數(shù)據(jù)，甚至是表的全部。因此必須對輸入框進行過濾。但如果為了提高效率僅在客戶端進行輸入合法性檢查，仍有可能被繞過，因此必須在服務(wù)器端再做一次檢查。6.防止ACCESSmdb數(shù)據(jù)庫有可能被下載的漏洞在用ACCESS做后臺數(shù)據(jù)庫時，如果有人通過各種方法知道或者猜到了服務(wù)器的ACCESS數(shù)據(jù)庫的路徑和