服務(wù)器安裝McAfee + 彩影ARP防火墻 很不錯(cuò). 

這是一個(gè)很的害厲黑客告訴我的,說只有安裝了這二樣他才沒著。

服務(wù)器殺毒。

360safe檢查服務(wù)器安全問題(用完就刪，千萬不要保留)

a) 清理惡意插件。

b) 清理無用軟件。

c) 修復(fù)系統(tǒng)漏洞。

d) 查殺流行木馬。

e) 關(guān)閉無用進(jìn)程/關(guān)閉無用啟動項(xiàng)/關(guān)閉無用服務(wù)。

檢查服務(wù)器安全

a) 查看WEB站點(diǎn)是否正常訪問。

l 有沒有多出新的站點(diǎn)?

l 站點(diǎn)使用的是什么數(shù)據(jù)庫?

l 站點(diǎn)權(quán)限問題。

l 站點(diǎn)下是否有新上傳的文件。

l 站點(diǎn)后臺是否多個(gè)管理員操作權(quán)限。

l 檢查各站點(diǎn)是否掛馬，是否有注入漏洞，是否有JS漏洞，等等。

l 搜索站點(diǎn)目錄下文件內(nèi)容是否有“cmd/exec/serv-u”字樣

l 查找.asp;.asa;.php;擴(kuò)展名的文件大小大于25K的文件，打開查看是否是木馬文件

l IE打開站點(diǎn)時(shí)如果出現(xiàn)不明的加載DLL提示，立刻檢查代碼是否掛馬，第三方的廣告是否掛馬，非站內(nèi)URL是否被掛馬。

l 可以安裝“谷歌瀏覽器”和“360安全瀏覽器”會自動提示頁面是否掛馬，可查看掛馬的文件

l 最主要的是憑感覺來發(fā)現(xiàn)病毒。如：服務(wù)器很慢/有隱藏的操作/aspx文件無cs文件/文件時(shí)間不對路/

l 掛馬有多種方式：

以JS文件的形式將木馬掛在頁面上(asp/aspx/html/htm/php)。

以JS代碼的形式將木馬掛在頁面上(asp/aspx/html/htm/php)。

將JS病毒代碼放到CSS文件里。用” eXpreSsIon”和@import引用

將JS病毒代碼放在JS文件里。用document.write輸出調(diào)用。

用iframe打開有JS病毒的頁面。

將JS病毒代碼放在任意文件里，用“C:\WINDOWS\system32\inetsrv\MetaBase.Xml”用“DefaultDocFooter="FILE:C:\Inetpub\wwwroot\iisstart.htm"”來調(diào)用。

通過IIS的ISAPI (ISAPI擴(kuò)展/ISAPI篩選器)掛馬，刪除無用的ISAPI即可。

如果在服務(wù)器上找不到病毒代碼那么可能是ARP掛馬

b) 查看數(shù)據(jù)庫是否正常訪問

l 不要使用SA操作數(shù)據(jù)庫。

l 新建一個(gè)通用的操作所有數(shù)據(jù)庫的用戶。

l 各個(gè)數(shù)據(jù)庫權(quán)限問題。是否有特殊的權(quán)限?

l 數(shù)據(jù)庫對應(yīng)的站點(diǎn)是否明確，是用什么角色操作的。

l 查看執(zhí)行的SQL效率，及時(shí)改進(jìn)SQL的優(yōu)化。

l 定期刪除1個(gè)月前的數(shù)據(jù)庫備份文件。

l 定期完全備份常用數(shù)據(jù)庫，每天增量備份常用數(shù)據(jù)庫。寫成SQL維護(hù)計(jì)劃，會自動備份數(shù)據(jù)。

l 如果有離職的程序員就要修改數(shù)據(jù)庫登錄賬號密碼

c) 查看系統(tǒng)用戶和組是否正常。

l 有沒有不認(rèn)識的用戶和組信息。

l 用戶所屬者。

l 各個(gè)用戶對應(yīng)的權(quán)限。

l 用戶的密碼安全度。

l 正常情況下有4個(gè)賬號就是安全的。如：Administrator/ASPNET/IUSR_*/IWAM_*

l 如果有離職的程序員就要修改登錄賬號密碼

d) 查看FTP賬號是否正常。

l 有沒有不認(rèn)識的新建用戶信息。

l 用戶所屬者。

l 各個(gè)用戶對應(yīng)的權(quán)限。

l 用戶的密碼安全度。

l 如果有離職的程序員就要修改FTP賬號密碼

e) 查看其它信息。

l 檢查常用服務(wù)是否啟動。

如：CMailServer/Serv-U/ServerSQL 2000/

l 系統(tǒng)最容易留后門的文件是“c:\windows\system32\sethc.exe和c:\windows\system32\dllcache\sethc.exe”，每次在登錄遠(yuǎn)程的時(shí)候，要試下連續(xù)按7下“shift”鍵，如果出現(xiàn)的是

這個(gè)窗口說明sethc.exe正常，否則要先刪除“c:\windows\system32\dllcache\sethc.exe”文件在刪除“c:\windows\system32\sethc.exe”文件。然后復(fù)制本地的文件先上傳到dllcache目錄下。先刪除dllcache目錄下的文件是不讓這個(gè)文件自動恢復(fù)。

可以禁用“控制面板-輔助功能選項(xiàng)-粘滯鍵設(shè)置-關(guān)掉使用快捷鍵”

l 一定要禁用“servers”服務(wù)。這樣才能關(guān)掉隱藏共享。

如圖不能存在隱藏共享：

l 如果服務(wù)器aspx文件中被加入了JS病毒代碼。運(yùn)行"無亂碼清除WEB頁中的病毒代碼"

可無亂碼替換病毒代碼。

l 打開IIS->Web服務(wù)器擴(kuò)展->在服務(wù)器端的包含文件 禁用

只啟用“Active ServerPages/ASP.NET v1.1/ASP.NET v2.0”就可以了。

如果使用ISAPI_Rewrite工具還要啟用“ISAPI擴(kuò)展服務(wù)”

l 如果服務(wù)器很慢，并且開通了IIS的SMTP服務(wù)發(fā)送EMAIL，要定期清空“c:\Inetpub\mailroot\Badmail”目錄內(nèi)容?？梢詫憘€(gè)CMD命令完成：del c:\Inetpub\mailroot\Badmail\*.* /f/s /q

注意在群發(fā)EMAIL的時(shí)先關(guān)閉殺毒軟件對EMAIL的監(jiān)視功能。

IIS站點(diǎn)問題匯總

a) 如果站點(diǎn)打不開，請用FF瀏覽器查看出錯(cuò)原因，IE是無法查看到具體的出錯(cuò)原因的。

b) 如果出現(xiàn)錯(cuò)誤第一時(shí)間將出錯(cuò)信息復(fù)制到baidu上查找原因。

c) NET環(huán)配置可能出現(xiàn)的問題是：

1.1和2.0之間的對應(yīng)問題，如果你站點(diǎn)是1.1的在站點(diǎn)設(shè)置里面也要版本選擇1.1的

未知的錯(cuò)誤可能是IIS對應(yīng)目錄的文件權(quán)限問題。如寫Access文件/寫日志文件或配置文件都需要權(quán)限。權(quán)限設(shè)置也要注意一些事項(xiàng)，機(jī)子不同權(quán)限也不同，操作系統(tǒng)不同權(quán)限也不同。

大部分機(jī)子都是需要加入“Everyone”有修改權(quán)限即可。

如果還是出錯(cuò)。NET就要加入“ASPNET” 有修改權(quán)限。如果是ASP的要加入“IUSR_xxxxxxx” 有修改權(quán)限。

如果還是出錯(cuò)需要加入“C:\WINDOWS\temp目錄Everyone” 修改權(quán)限。

如果還是出錯(cuò)需要加入“C:\Documents and Settings\當(dāng)前用戶目錄\Local Settings\Temp目錄Everyone” 修改權(quán)限。

如果還是出錯(cuò)需要加入“C:\Documents and Settings\xxxxxx\ASPNET目錄ASPNET” 修改權(quán)限。

出錯(cuò)“CS0016:未能寫入輸出文件: '*:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\TemporaryASP.NET Files\*\*.dll'--拒絕訪問”

l 右鍵C:\Windows\Temp文件夾--屬性--安全,添加一個(gè)用戶"NETWORK SERVICE",(如果是.NET Framework 1.0或Win2000 則添加用戶"aspnet user"),"賦予權(quán)限--完全控制

l 重新啟動IIS

4. 出錯(cuò)“(服務(wù)器應(yīng)用程序不可用)您試圖在此 Web 服務(wù)器上訪問的 Web 應(yīng)用程序當(dāng)前不可用。請點(diǎn)擊 Web 瀏覽器中的”

l 站點(diǎn)指向新的應(yīng)用程序池

l 運(yùn)行“C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_regiis-r”

l 先重安裝IIS，在安裝NET Framework

5. “ServiceUnavailable”應(yīng)該程序池用戶無權(quán)限，不是IIS_WPG組。

6. HTTP 錯(cuò)誤401.1 - 未經(jīng)授權(quán)：訪問由于憑據(jù)無效被拒絕

開始-程序-本地安全策略，在本地策略-用戶權(quán)限分配中，找到從網(wǎng)絡(luò)訪問計(jì)算機(jī)這一項(xiàng)，添加剛才新建的IIS站點(diǎn)用戶

d) 如果出現(xiàn)的問題實(shí)在是找不到原因，可以重啟IIS，如果還不行就重啟電腦。有很多意外的錯(cuò)誤只能重啟電腦才能解決。

e) 網(wǎng)站開發(fā)過重中，要時(shí)修改修改代碼，NET站點(diǎn)如果有改動App_Code目錄下的文件/Web.config文件/bin目錄下的文件/.master文件都需要重新編譯。如果改動的次數(shù)過多網(wǎng)站會打開很慢很慢。這次需要重啟IIS。

f) 站點(diǎn)不要建太多的虛擬目錄，如果虛擬目錄和一般目錄同名時(shí)虛擬目錄優(yōu)先級高，所以一般目錄下的內(nèi)容是訪問不了的。

g) 刪除windows\system32\dllcache\目錄中的cacls.exe/cmd.exe/net.exe/net1.exe/ftp.exe/tftp.exe/telnet.exe/netstat.exe/regedit.exe/at.exe/attrib.exe/format.com文件.然后設(shè)置windows\system32目錄中的cacls.exe/cmd.exe/net.exe/net1.exe/ftp.exe/tftp.exe/telnet.exe/netstat.exe/regedit.exe/at.exe/attrib.exe/format.com只有administrators組和system有執(zhí)行和讀取權(quán)限.