使Web服务器远离脚本攻击

2023-04-27 05:09:41
来源：其他
在手机上看

扫一扫立即进入手机端

不少web服务器都是架设在Windows 2003服务器系统环境中的，但是在默认状态下该服务器系统存在不少安全漏洞，许多黑客或者非法攻击者往往会充分利用这些漏洞，来攻击架设在该系统中的Web网站。为了提高Web服务器的运行安全性，我们有必要及时采取措施，防范Web服务器中的各式脚本攻击；下面，本文就为各位贡献几则让Web服务器远离脚本攻击的设置巧招，希望这些内容能帮助各位安全维护好服务器系统！

从访问权限下手，防范脚本攻击

网站访问者在访问Web服务器中的内容时，一般是通过“IUSR_SERVERNAME“用户帐号实现访问操作的，普通访问者对Web服务器所能执行的权限，就是由“IUSR_SERVERNAME“用户帐号的权限来决定的。默认状态下，“IUSR_SERVERNAME“用户帐号是Windows 2003服务器系统在创建iis的过程中自动创建的，该用户帐号常常是为那些不需要进行身份验证就能轻松访问网站数据库内容的匿名用户自动开设的。为了防止这些普通的匿名用户随意执行Web服务器中的脚本程序，导致服务器存在各种安全隐患，我们有必要对“IUSR_SERVERNAME“用户帐号的权限进行一些合适的设置，下面就是具体的访问权限设置步骤：

首先以超级管理员权限帐号登录进Windows 2003服务器系统中，在该系统桌面中依次单击“开始“/“程序“/“附件“/“Windows资源管理器“命令，在弹出的系统资源管理器窗口中，找到Web服务器主目录所在的文件夹，并用鼠标右键单击主目录图标，从弹出的右键菜单中执行“属性“命令，打开网站主目录的属性设置窗口，在该窗口中我们需要将“everyone“帐号对服务器系统中的所有磁盘分区访问权限删除掉，以防止任意一位普通用户可能对服务器带来潜在的安全攻击。

考虑到“everyone“帐号是任意一个用户或组权限设置的父对象，因此在将“everyone“帐号的访问权限删除掉之前，我们必须先将子对象对父对象权限继承关系删除掉；在删除这种权限继承关系时，我们可以单击网站主目录属性设置窗口中的“安全“标签，打开如图1所示的安全标签页面，单击该标签页面中的“高级“按钮，进入到主目录的高级安全设置窗口，检查一下该设置窗口中的“允许父项的继承权限传播到该对象和所有子对象。包括那些在此明确定义的项目“项目是否处于选中状态，要是发现该选项已经选中的话，我们必须及时将它的选中状态取消，随后系统会自动弹出如图2所示的提示窗口，询问我们是否将父对象的访问权限拷贝给子对象，此时我们可以单击“复制“按钮，这样的话我们日后就不需要对管理员用户的权限进行重新设置了。

图1

接下来我们就能对“IUSR_SERVERNAME“用户帐号权限进行有针对性设置了。在设置“IUSR_SERVERNAME“用户帐号权限时，我们先从图1所示的“组或用户名称“列表框中选中“IUSR_SERVERNAME“用户帐号，然后在对应该帐号下面的权限列表框中将“列出文件夹目录“、“写入“、“读取“等权限全部设置为“允许“，而不要将“完全控制“、“读取和运行“等权限设置为允许；此外，对于那些不需要通过Web进行写入操作的文件夹，我们只需要将“列出文件夹目录“、“读取“等权限赋予给“IUSR_SERVERNAME“用户帐号就可以了。到了这里，作为网站普通访问者的“IUSR_SERVERNAME“用户帐号就没有执行脚本的权利，那么这些普通来宾用户自然就无法对Web服务器进行各种形式的脚本攻击了，这样的话Web服务器的安全性就能在一定程度上得到保证了。

图2

从脚本权限下手，防范脚本攻击

从网站存放文件的类型来看，保存在Web服务器中的文件类型主要分为两大类，一类就是各种形式的脚本文件，另外一类就是非脚本文件，这包括普通的网页文件、数据库文件以及各种格式的图象文件等。所以，为了保护Web服务器的安全，我们有必要对不同类型文件的执行权限进行有针对性地设置，确保Web服务器中的各种脚本文件能够被安全、稳定地执行，而避免非脚本文件被随意执行。

在设置脚本文件的执行权限时，我们可以先依次单击“开始“/“程序“/“管理工具“/“Internet信息服务管理器“命令，在弹出的IIS控制台窗口中，找到存放各类脚本文件的指定文件夹，并用鼠标右键该文件夹所对应的图标，从随后弹出的快捷菜单中执行“属性“命令，打开对应文件夹的属性设置窗口。

图3

单击该设置窗口中的“目录“标签，打开如图3所示的标签页面，在该页面的“应用程序设置“处，单击“执行权限:“右侧的下拉按钮，从随后弹出的下拉列表中选中“纯脚本“选项，并单击“确定“按钮，那样的话指定目录中的脚本文件才能被网站服务器执行，而对于那些不属于脚本类型的文件都不会被执行。按照相同的操作方法，我们打开网站中其他目录的属性设置界面，并在该界面中将其他目录的应用程序执行权限设置为“无“，那样一来其他目录中的脚本或者普通文件都不会被网站服务器系统执行的。

从站点配置下手，防范脚本攻击

一旦按照上面的方法将数据库文件下面的ASP脚本拒绝执行的话，许多人会认为他们将无法继续使用ASP脚本执行错误的方法来避免网站数据库文件被恶意下载了；事实上，我们只要对目标网站的应用程序配置参数进行合适修改，同样能够有效地保护网站数据库文件被恶意下载。下面，本文就以保护access类型的数据库为操作蓝本，向各位朋友介绍一下如何从站点配置下手，来保护网站数据库文件被恶意下载的具体设置操作：

首先以超级管理员权限登录到IIS服务器所在的计算机系统，然后在该系统桌面中依次执行“开始“/“程序“/“管理工具“/“Internet信息服务管理器“命令，打开服务器系统的IIS控制台窗口，并从该窗口的左侧列表区域找到目标网站选项，再用鼠标右键单击该网站选项，从弹出的右键菜单中执行“属性“命令，进入到该目标网站的属性配置窗口.

单击该配置窗口中的“主目录“标签，并在对应的标签页面中单击“配置“按钮，打开如图4所示的应用程序配置界面；在该配置界面中单击“添加“按钮，进入到如图5所示的添加对话框；在其中的“扩展名“文本框中输入&

游戏推荐

Web服务器脚本攻击使Web服务器远离脚本攻击 jump大乱斗攻击方式(jump大乱斗战斗技巧) 《漫威复仇者联盟》威力攻击解析图(漫威复仇者联盟招架攻击) 宝可梦不听指挥攻击自己(宝可梦不听指挥攻击自己怎么办) fifa19怎么联网(fifa19怎么连接服务器) ps4使命召唤战争地带连接不上服务器(使命召唤战争地带ps5) 《重生细胞》自动攻击怎么设置不了(《重生细胞》自动攻击怎么设置不了了) dayz服务器low是多少人(dayz官方服务器哪个好哪个人多?) lol云顶之弈攻击特效怎么获得(lol云顶之弈攻击特效怎么获得的) valheim英灵神殿怎么创建服务器(valheim英灵神殿房屋搭建) apex哪个服务器(apex哪个服务器菜鸟多) dnf公平竞技场在哪(dnf公平竞技场怎么还有带属性攻击得) s11海妖杀手(lol海妖杀手有攻击特效) csgo怎么调整服务器(csgo怎么调整服务器人数) csgo社区服怎么进网页(csgo社区服务器怎么进去) 《原神》70级攻击力多少才正常啊(原神主c70级900攻击) steam泰拉瑞亚怎么联机加不进去(steam泰拉瑞亚连接不进好友的服务器) s11鬼索的狂暴之刃(鬼索的狂暴之刃的攻击特效是什么) 宝可梦攻击增强剂(宝可梦攻击增强剂怎么用) dnf决斗场怎么带属性攻击(dnf决斗场怎么带属性攻击技能) apex英雄怎么换服(apex英雄换服务器) steam星球大战战机中队进不去(星球大战战机中队无法连接服务器) apex哪个节点人多(apex现在哪个服务器人多) f1无法连接服务器(f12020无法连接服务器) gmod僵尸感染mod(gmod僵尸感染服务器) jump大乱斗流星合击完美攻击(jumpforce大乱斗出招) ns暗黑三赛季连不上服务器(switch暗黑3连不上赛季) 八方旅人增加物攻的坚果是永久的吗(八方旅人物理攻击坚果) 《崩坏3》童谣落花武器介绍图(崩坏三童谣攻击力) 《幽灵教义》武器攻击模式一览攻略(幽灵教义人物培养) ps4全境封锁2连不上服务器mike-01(ps4全境封锁2连接不上服务器) 《剑士》惹了打不过的人解决方法分享(游戏剑士怎么攻击) 《江苏政务服务》个人档案怎么查到(江苏政务服务可以查询自己社保吗) 八方旅人剑士技能加点顺序(八方旅人剑士技能是属性攻击吗) lol手游登陆提示谷歌服务(lol手游谷歌登录出现) 八方旅人物理攻击力(八方旅人攻击力计算) 《进击的巨人2》奇袭攻击使用技巧指南(进击的巨人奇异种) 《我的世界》流浪者怎么打怪(我的世界流浪者会攻击什么) kenshi练战斗力(kenshi怎么练到100攻击力) csgo服务器指令大全(csgo服务器指令大全手机版) kenshi怎么扛起敌人(kenshi怎么攻击敌人) f1连不上服务器(f1mobile连接不上服务器) 《雷霆一击》长戟属性介绍是什么(雷霆一击骑马长矛怎么攻击) 《巫师3》无法存档问题解决方法怎么办(巫师3存不了档也没法攻击) 矮人要塞怎么抵挡狼人攻击(矮人要塞好玩吗) rise修炼场怎么进(rise修炼场怎么攻击) csgo修改服务器为128tick(csgo怎么把服务器改成128tick) 《漫威复仇者联盟》匹配系统解析错误(steam漫威复仇者联盟无法连接服务器) apex连接ea服务器失败(apex连接不了ea服务器) 《机器人角斗场》空降攻击使用技巧是什么(机器人角斗场操作指南) csgo服务器列表指令(csgo服务器指令代码大全) lol手游显示服务器尚未开启是什么意思(英雄联盟手游服务区未开启) 奥日和萤火意志水下冲刺怎么用(奥日和萤火意志水中攻击) apex英雄无法连接到ea服务器(apex英雄显示无法连接ea服务器) 暗黑地牢攻击顺序(暗黑地牢组合buff) 宝可梦剑盾攻击最高的宝可梦(宝可梦剑盾威力最大的技能) kenshi怎么打架厉害(kenshi怎么攻击敌人) 暗黑地牢强盗近战还是远程(暗黑地牢强盗近战还是远程攻击) 《修真江湖2》防御功法推演设置怎么选不了(修真江湖攻击计算公式) 《我的世界》红石如何自动连续触发攻击(我的世界红石怎么间断工作) 《人类黎明》怎么防守入侵者的(《人类黎明》怎么防守入侵者的攻击) csgo服务器设置参数(csgo服务器设置参数大全) 《lol手游》服务器瘫痪是怎么回事(英雄联盟手游服务器暂时不可用) 《原神》祭礼弓适用角色推荐吗(原神祭礼弓基础攻击力) dayz服务器是什么意思(dayz服务器列表) 《魔兽世界》谎言主宰者任务怎么做的(谎言主宰者攻击主宰者的展览园) 暗黑破坏神不朽自动攻击方法(暗黑破坏神不朽入门小白须知) apex服务器gce(Apex服务器连接超时wheel) syn洪泛攻击的方式(syn泛洪攻击是如何工作的) 宝可梦尖石攻击在哪获得(尖石攻击招式) epic无主之地3连不上网(epic无主之地3连不上服务器) dayz服务器指令(dayz服务器参数设置) ubisoft服务目前不可用怎么办(ubi服务目前无法使用) 2k19为什么连接不上服务器(2k19突然连不上服务器) 《原神》四星攻击弓适用角色推荐图(原神四星弓基础攻击力排行) dayz服务器名称含义(dayz服务端) csgo怎么调整服务器(csgo服务器选择界面) 班尼特的元素战技热情过载二段(班尼特元素爆发攻击力加成) 《骑马与砍杀2》特殊攻击方式介绍(骑马与砍杀2全技能效果介绍) apex澳洲服务器(apex欧洲服务器) 暗黑2武器上的元素伤害怎么触发(暗黑2武器元素攻击有什么用) rise攻击珠怎么解锁(rise攻击技能) switch暗黑破坏神3匹配不到人(switch暗黑破坏神3连不上服务器) 暗黑破坏神2重制版服务器互通(暗黑破坏神2重制版与游戏服务器交换数据) 《全面战争:战锤2》冲击伤害详解(战锤2全面战争攻击速度) 《永劫无间》攻击方式与武器推荐(永劫无间三种攻击方式) 暗黑破坏神不朽自动攻击方法有哪些(暗黑破坏神:不朽角色技能) steam泰拉瑞亚发现服务器不动了(steam泰拉瑞亚开服卡在发现服务器怎么办) 宝可梦攻击特攻(宝可梦攻击特攻有什么用) f1无法连接服务器(f12019连不上服务器) kenshi攻击自己人(kenshi怎么攻击别人) 《江苏政务服务》个人档案怎么查到(江苏政务服务个人中心在哪里找?) 《消逝的光芒2》如何使用强力攻击技能(消逝的光芒2技能加点) apex英雄怎么改服务器(apex换号设置) apex英雄如何切换服务器(apex怎么切服务器) steam无法更新游戏(steam无法更新游戏无法连接到内容服务器) 《杀戮尖塔》随机攻击解析攻略(杀戮尖塔快速sl) 奥日与萤火意志水下冲刺在哪(奥日与萤火意志水中攻击) 八方旅人猎人最强宠物10(八方旅人猎人宠物攻击力和什么有关) 《小魔女诺贝塔》怪物黑蛇攻击方式是什么(小魔女诺贝塔steam) valheim怎么加入游戏(valheim怎么开服务器) 《怪物猎人:世界》双刀优先选属性还是选攻击力(怪物猎人世界双刀带什么技能) 《机器人角斗场》斜向攻击使用方法介绍(机器人角斗场攻略秘籍) 汽车服务app csgo连接任意官方服务器失败怎么办_csgo连接官方服务器失败解决方法 Linux服务优化 Linux服务优化详解 Tomcat服务器重启Tomcat服务器攻击 ADSL防御黑客攻击的十大办法 Linux服务器的参数配置优化技巧服务器 windows服务器详细安全设置如何配置一台Linux系统时间服务器 Linux服务器生活服务平台 DHCP服务的安装和停止舒华服务(售后服务管理)下载查博士二手车服务下载