راه اندازي سرور وب تحت ويندوز و فراهم نمودن شرايط امنيتي لازم در مقابل نفوذگران


راه اندازي سرور وب تحت ويندوز و فراهم نمودن شرايط امنيتي لازم در مقابل نفوذگران



در اين مقاله سعي خواهم داشت در مورد راه اندازي يك وب سرور تحت ويندوز 2000 با IIS 5.0 را شرح دهم و هم چنين نكات لازم را جهت برقراري امنيت لازم در مقابل حفره هاي امنيتي شناخته شده و مهم را ارائه كنم ( من فرض را بر اين مي گيرم كه شما از قبل سرور IIS را بر روي سيستم نصب نموده ايد )


- شناخت ابزار هاي مديريتي

همان طور كه در شكل زير مشاهده مي كنيد ابزار هاي مديريتي ويندوز 2000 داراي قسمت هاي مختلفي ايست كه سعي مي كنم در مورد هر قسمت در اين بخش توضيحاتي مختصري ارائه كنم ...



تصوير 1 - ابزاري هاي مديريتي


Component Services

اين قسمت شامل مديريت و تنظيم نمودن برنامه هاي كاربردي " كام پلاس " است

Computer Management

دسترسي به سيستم هاي داخلي و يا سيستم هاي ريموت و ابزار هاي متعدد جهت تنظيم نمودن آن ها

Data Sources

اضافه نمودن و يا حذف نمودن ديتا سورس هاي OBDC

Event Viewer

مانيتورينگ سيستم و نشان دادن پيغام هاي ترابل شوتينگ ويندوز و يا به عبارتي ثبت كننده فعاليت هاي ويندوز و ...

Internet Services Manager

مديريت سرور IIS

Local Security Policy

ويرايش و تظيم " سياست امنيتي داخلي " نظير دسترسي كاربر و ...

Performance

نشان دهي قابليت هاي سيستم و تنظيمات لاگ هاي اطلاعاتي و اخطارها

Server Extensions Administrator

مديريت Server Extensions ( من معادل دقيقي جهت آن پيدا ننمودم و به همين دليل از خود واژه كاربردي آن استفاده نمودم ‌)

Services

اجرا نمودن و يا استاپ سرويس ها ( نظير تل نت )

Telnet Server Administration

مديريت تنظيمات سرور تل نت و ارتباط دهي آن



- آشنايي با ابزار مديريتي Internet Services Manager

تصوير 2 - Internet Information Services


حال چنانچه بر روي نام وب سرور خود كه از قبل تعيين نموده ايد كليك نماييد در پنچره كناري با سه چيز روبرو مي شويد :

* Default FTP Site
* Default Web Server
* Default SMTP Virtual Server

حال جهت تنظيمات سرور اف-تي-پي بر روي آن كليك سمت راست نموده و Properties را انتخاب نماييد :

تصوير 3 - تنظيمات FTP سرور


خوب چيزهايي كه از هر قسمت لازم به ذكر است را در اينجا شرح مي دهم :

نكته : در قسمت Security Accounts جهت بالا بردن امنيت بيشتر تيك Allow Anonymous Connections را برداريد .

اما در قسمت Home Directory , مسير اصلي اف-تي-پي به صورت از قبل تعريف شده " C:\inetpub\ftproot " است كه مي توانيد آن را تغيير دهيد و اجازه هاي Write , Read را به دلخواه نتظيم نماييد .

در تنظيمات Home Directory به صورت معمول از دايركتوري روي سيستم شما به عنوان دايركتوري ريشه استفاده مي نمايد اما چنان چه بر روي گزينه a share located on another computer كليك كنيد مي توانيد از داده هاي اشتراكي سيستم ديگر نيز استفاده كنيد كه بدين صورت تعريف شده است " \\{server}\{Share} " كه چنان چه اشتراك سيستم مورد نظر داراي مشخصات زير باشد :

اي پي : 192.168.1.2

اشتراك : FTP$

\\192.168.1.2\FTP$ : به اين صورت تعريف مي شود

حال جهت تنظيمات سرور وب بر روي Default Web Server كليك نماييد و چنين صفحه اي را مشاهده مي كنيد:

تصوير 4 - تنظيمات وب سرور


نكته : فولدر هاي IISadmin , IISSamples , MSADC را به دليل داشتن حفره هاي امنيتي كه به نفوذگر اجازه دسترسي مي دهد را حذف نماييد .

در قسمت Default Web Server بر روي آن كليك سمت راست نموده و Properties را انتخاب نماييد :

در Home Directory مي توانيد مسير دايركتوري ريشه سرور به صورت c:\inetpub\wwwroot تعريف شده است را تغيير دهيد و اجازه هايي نظير Read, Write را تعيين نماييد و ...

حال نوبت به تنظيمات اس-ام-تي-پي مي رسد , اولين نكته اي كه در مورد امنيت آن به نظر مي رسد غير فعال كردن حالت Anonymous است , كه با توجه به شكل زير تمامي مراحل قابل رويت است:

تصوير 5 - غير فعال سازي Anonymous در SMTP Server

نكته : تيك Anonymous Access را برداريد



:: حال بهتر است نكات امنيتي لازم را در اينجا ارائه كنم :

- غير فعال سازي WebDav

پروتكول وب داو استانداردي را جهت ويرايش و مديريت فايل ها در محيط وب را فراهم مي كند , اما آسيب پذيري در آن وجود دارد كه به نفوذگر اجازه دسترسي به سيستم و يا حملات DoS را مي دهد . جهت غير فعال سازي آن اين مراحل را دنبال كنيد :

1 . Regedit را در منوي ران وارد کنيد

2 . بعد به

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW 3SVCParameters

برويد

3 . در منوي اديت يک Value را با چنين مشخصاتي وارد کنيد:


Data Type: DWORD
Value Name: DisableWebDAV
Value Data: 1 ( 0 means WebDAV is enabled )



- غير فعال سازي سرويس DCOM

يكي از ‌آسيب پذيري مشهور ويندوز در سرويس دي كام است و با اينكه هات فيكس جهت رفع مشكل آن عرضه شده است باز هم امكان اسيب رساندن وجود دارد كه بهترين راه غير فعال سازي آن است :

1 . Regedit را در منوي ران وارد کنيد

2 . بعد به

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole] برويد

3 . اين تغيير را ايجاد كنيد :

"EnableDCOM"="N"

- حذف ديگر Sample Application ها

جهت بالا بردن امنيت بيشتر فولدر C:\winnt\help\iishelp را نيز حذف نماييد

- غير فعال سازي NetBIOS Null

اين آسيب پذيري امكان ايجاد حملات DoS و يا كرك پسورد هاي Share را مي دهد . جهت غير فعال سازي آن اين تغييرات را در رجيستري ايجاد نماييد :


Hive: HKEY_LOCAL_MACHINE
Key: System\CurrentControlSet\Control\LSA
Value Name: RestrictAnonymous
Value Type: REG_DWORD
Value Data: 2 (for Windows 2000) or 1 (for Windows NT)



- غير فعال سازي كامپوننت هاي COM

بعضي از كامپوننت هاي كام مورد احتياج نيستند و بايد حذف شوند . جهت اين كار فرمان زير را وارد كنيد :

regsvr32 scrrun.dll /u

- حذف دايركتوري مجازي IISADMPWD

اين دايركتوري در ويندوز 2000 و NT اجازه ريست پسورد ها را مي دهد . هنگامي كه IIS 5 نصب مي شود به صورت پيش فرض اين دايركتوري ايجاد نمي شود اما در بروز رساني IIS 4.0 به 5 اين دايركتوري وجود دارد . اگر شما از سرورتان جهت اينترانت استفاده نمي كنيد بايد آن را حذف نماييد .

- حذف Script Mapping هاي آسيب پذير

جهت حذف اين اسكريپت مپينگ ها كه بيشتر آن ها اجازه دسترسي به سيستم را مي دهند اين كارها را انجام دهيد :

1 . Internet Services Manager را باز كنيد

2 . Properties را انتخاب كنيد

3 . WWW Service را انتخاب نموده و Edit را كليك كنيد

4 . در Configuration , HomeDirectory را انتخاب نماييد

اين اسكريپت مپينگ ها را حذف نماييد:


Web-based password reset: .htr

Internet Database Connector: .idc (all IIS 5 Web sites should use ADO or similar technology)

Server-Side Includes: .stm, .shtm and .shtml

Internet Printing: .printer

Index Server: .htw, .ida and .idq



روش طراحي و مديريت سايت

1:

مطلب جالبیه منتقل میشه به بخش آموزش و مقالات


چگونه برای یک سایت نظر سنجی و فرمی بسازیم که اطلاعات کاربران در آن ذخیره شود؟

2:

ممنون از مقالت حسام جان
اینم لینکش :

کد:
برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید
توجه : این سایتی که برا آپلود انتخاب شده محدودیت پهنای
باند و ...


قرار دادن عکس ها به صورت تفاقی
نداره
حالا اگه کسی به هر دلیلی نتونست این مقاله رو دانلود کنه تو تاپیکی که " تمام مقالات انجمن آموزش رو بصورت PDF دریافت کنید بالای انجمن هست یه پست بده و اسم مقاله رو بگه تا من براش مقاله رو ایمیل بزنم انتخاب با شما بصورت word یا pdf


پايگاه SAM و روشهاي بدست آوردن پسورد در حالت Local به زبان ساده

3:

[QUOTE=hesam]در اين مقاله سعي خواهم داشت در مورد راه اندازي يك وب سرور تحت ايشانندوز 2000 با IIS 5.0 را شرح دهم و هم چنين نكات لازم را جهت برقراري امنيت لازم در مقابل حفره هاي امنيتي شناخته شده و مهم را ارائه كنم ( من فرض را بر اين مي گيرم كه شما از قبل سرور IIS را بر رايشان سيستم نصب نموده ايد )


ميشه يه سرور ftp رايگان براي آپلود كردن به من معرفي كنين؟
اصلا هست؟


85 out of 100 based on 45 user ratings 295 reviews