ASP.NET ASPXSpy安全设置的防御方法（终极和一般防御）
<div>终极防御（CmdShell、IIS Spy、Process、Services、UserInfo、SysInfo、RegShell）<br />可能影响个别网站正常运行，请测试网站无问题再正式使用这方法。<br />网站ASP.NET version切换成2.0.50727<br />C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\CONFIG\web.config<br /><location allowOverride="true"> 修改成 <location allowOverride="false"><br /><trust level="Full" originUrl="" /> 修改成 <trust level="High" originUrl="" /><br />C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\CONFIG\web_hightrust.config<br />删除 <SecurityClass Name="RegistryPermission" Description="System.Security.Permissions.RegistryPermission, mscorlib, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089"/><br />----------------------------------------------------------------------------<br />----------------------------------------------------------------------------<br />一般防御（以下方法还没办法禁用Process、RegShell，经了解星外虚拟主机管理系统也没有禁掉）<br />1、禁止跨站、Services(4也可行)<br />为每个网站新建一个系统用户如web_xxx，只属于Guests组、IIS_WPG组。<br />新建网站文件夹xxx，加入web_xxx权限。<br />新建应用程序池xxx，属性-标识-配置，输入web_xxx账户密码。<br />新建网站xxx，属性-主目录-应用程序池，选择xxx。属性-主目录-目录安全性-编辑，输入web_xxx账户密码。<br />2、禁止CmdShell<br />原理:文件夹 给运行权限就不给写入权限、给写入权限就不给运行权限。<br />设置权限时必须应用到所有子目录。<br /><br />网站文件夹配置权限如图</div><div><img style="WIDTH: 518px; CURSOR: pointer" alt="\" border="0" src="https://img.jbzj.com/do/uploads/allimg/120511/1107490.jpg" /></div>
<div>
<div>一般大部分默认系统盘的文件夹，web_xxx没有写入权限，所以只需修改部分文件夹。</div>
<div>同时，自己新建的文件夹或者软件安装生成的文件夹都需要检查、按"原理"修改。</div>
<div>以下为部分可写可执行文件夹</div>
<div>C:\Inetpub</div>
<div>C:\RECYCLER</div>
<div>C:\wmpub</div>
<div>C:\php</div>
<div>C:\Documents and Settings\All Users\Application Data\</div>
<div>C:\Documents and Settings\All Users\Documents\</div>
<div>C:\WINDOWS\Temp\</div>
<div>C:\WINDOWS\IIS Temporary Compressed Files</div>
<div>C:\WINDOWS\system32\MicrosoftPassport</div>
<div>C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\Temporary ASP.NET Files</div>
<div>C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\Temporary ASP.NET Files</div>
<div>C:\WINDOWS\system32\inetsrv\ASP Compiled Templates</div>
<div>C:\Program Files\Zend\ZendOptimizer-3.3.0</div>
<div>至少取消非Administrators组的运行权限，至于让不让写入，自由发挥。</div>
<div>另外再用ScanRegFindWrite.aspx扫描是否还有其他可写文件夹，如果有，再判断这些可写文件夹是否有执行权限，如果有，去掉执行权限。</div>
<div> 3、禁止IIS Spy<br />C:\WINDOWS\system32\activeds.tlb <br />只给予Administrators组、SYSTEM组“完全控制”，其余用户组删掉，重启IIS生效。<br />4、禁止Services(1也可行)、UserInfo、SysInfo<br />C:\WINDOWS\system32\wbem\wmiprvse.exe<br />只给予Administrators组、SYSTEM组“完全控制”，其余用户组删掉，重启IIS生效</div>
</div>
頁:
[1]