三、sql server 2000 配置
1.密码设置
我编的程序用了sa用户，密码设置超复杂(自己记不住，保存在手机里，嘿嘿)。
2.删除危险的扩展存储过程和相关.dll。
3.Xp_cmdshell(这个肯定首当其冲，不用说了)、Xp_regaddmultistring、Xp_regdeletekey、Xp_regdeletevalue、Xp_regenumvalues、Xp_regread、Xp_regwrite、Xp_regremovemultistring
漏洞一直很多前段时间我自己的服务器就出现了一个sql的临时储存过程漏洞漏洞扩展：xp_dirtree储存过程。
事前：最近发现一个漏洞是sql服务器造成的
前几天正好没有什么事情，就用阿d的sql注入工具对自己服务器的网站进行注入，偶然发现了使用mssql的网站浸染可以利用sql注入的形式得到整个服务器上所有目录（我的服务器作了安全设置的）依然可以看见，然后在服务器上安装了一个抓包工具对sql server进行抓包发现，使用工具连接sql漏洞xp_dirtree读取目录，可获得整个服务器目录，如列出c盘目录他会把你c盘下的所有目录列出来，这样是很不安全的，目前是只可以查处目录上穿东西，大家可以设想一下，如果我随意修改一个boot.ini覆盖了c盘的boot.ini是一个什么概念，呵呵首先可以导致服务其瘫痪，无法读取系统
解决方案：删除xp_dirtree，命令是sp_dropextendedproc 'xp_dirtree'
删除了以上的那个组建您在使用阿d或者任何的sql注入工具都是白搭
在这里也给大家提供一些其他sql危险的储存过程
建议删除
[注意：所有删除sql储存过程的操作必须在mssql查询分析器里操作，下面哪些前面的是储存过程的名字后面是删除储存过程的命令]
先来列出危险的内置存储过程：
xp_cmdshell sp_dropextendedproc 'xp_cmdshell'
xp_regaddmultistring sp_dropextendedproc 'xp_regaddmultistring'
xp_regdeletekey sp_dropextendedproc 'xp_regdeletekey'
xp_regdeletevalue sp_dropextendedproc 'xp_regdeletevalue'
xp_regenumkeys sp_dropextendedproc 'xp_regenumkeys'
xp_regenumvalues sp_dropextendedproc 'xp_regenumvalues'
xp_regread sp_dropextendedproc 'xp_regread'
xp_regremovemultistring sp_dropextendedproc 'xp_regremovemultistring'
xp_regwrite sp_dropextendedproc 'xp_regwrite'
ActiveX脚本：
sp_OACreate sp_dropextendedproc 'sp_OACreate'
sp_OADestroy sp_dropextendedproc 'sp_OADestroy'
sp_OAMethod sp_dropextendedproc 'sp_OAMethod'
sp_OAGetProperty sp_dropextendedproc 'sp_OAGetProperty'
sp_OAGetErrorInfo sp_dropextendedproc 'sp_OAGetErrorInfo'
sp_OAStop sp_dropextendedproc 'sp_OAStop'
四、其它设置(可选用，本人可不负责)
1.任何用户密码都要复杂，不需要的用户---删。
2.防止SYN洪水攻击
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名为SynAttackProtect，值为2
3.禁止响应ICMP路由通告报文
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface
新建DWORD值，名为PerformRouterDiscovery 值为0
4.防止ICMP重定向报文的攻击
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
将EnableICMPRedirects 值设为0
5.不支持IGMP协议
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名为IGMPLevel 值为0
6.禁用DCOM：
运行中输入 Dcomcnfg.exe。 回车， 单击“控制台根节点”下的“组件服务”。 打开“计算机”子文件夹。
对于本地计算机，请以右键单击“我的电脑”，然后选择“属性”。选择“默认属性”选项卡。
清除“在这台计算机上启用分布式 COM”复选框。
7.卸载不安全组件。
[code]
regsvr32/u C:\Windows\System32\wshom.ocx
regsvr32/u C:\Windows\System32\shell32.dll 在CMD 下执行以上两个命令。
五.防止Serv-U权限提升
其实，注销了Shell组件之后，侵入者运行提升工具的可能性就很小了，但是prel等别的脚本语言也有shell能力，为防万一，还是设置一下为好。
用Ultraedit打开ServUDaemon.exe查找Ascii：LocalAdministrator，和[email=#l@$ak#.lk;0@P]#l@$ak#.lk;0@P[/email]，修改成等长度的其它字符就可以了，ServUAdmin.exe也一样处理。
另外注意设置Serv-U所在的文件夹的权限，不要让IIS匿名用户有读取的权限，否则人家下走你修改过的文件，照样可以分析出你的管理员名和密码。
利用ASP漏洞攻击的常见方法及防范
一般情况下，黑客总是瞄准论坛等程序，因为这些程序都有上传功能，他们很容易的就可以上传ASP木马，即使设置了权限，木马也可以控制当前站点的所有文件了。另外，有了木马就然后用木马上传提升工具来获得更高的权限，我们关闭shell组件的目的很大程度上就是为了防止攻击者运行提升工具。
如果论坛管理员关闭了上传功能，则黑客会想办法获得超管密码，比如，如果你用动网论坛并且数据库忘记了改名，人家就可以直接下载你的数据库了，然后距离找到论坛管理员密码就不远了。
作为管理员，我们首先要检查我们的ASP程序，做好必要的设置，防止网站被黑客进入。另外就是防止攻击者使用一个被黑的网站来控制整个服务器，因为如果你的服务器上还为朋友开了站点，你可能无法确定你的朋友会把他上传的论坛做好安全设置。这就用到了前面所说的那一大堆东西，做了那些权限设置和防提升之后，黑客就算是进入了一个站点，也无法破坏这个网站以外的东西。
后记
也许有安全高手或者破坏高手看了我的文章会嘲笑或者窃喜，但我想我的经验里毕竟还是存在很多正确的地方，有千千万万的比我知道的更少的人像我刚开始完全不懂的时候那样在渴求着这样一篇文章，所以我必须写，我不管别人怎么说我，我也不怕后世会有千千万万的人对我唾骂，我一个人承担下来，我也没有娘子需要交代的……
因为这其实只是抛砖引玉的做法，从别人的笑声中，我和我的读者们都可以学到更多有用的东西。
(责任编辑：admin) |
