iis安全,中小企业如何提高网站安全

感谢您的邀请备案网站iis安全,本人有多年服务器运维经验,iis安全,中小企业如何提高网站安全以下从6个角度讲解下如何进行网站安全防护:  1.域名解析的安全策略  一般性企业或者个人都会忽略域名解析的安全性,随便将域名托管到一些免费域名解析平台上进行解析,但是经过测试大部分域名解析存在问题,域名解析生效时间长,解析出现错误,甚至被别人非法劫持。这里小编推荐一些知名的域名服务商,如万网、新网、西部数码等,经过小编测试,这些域名服务商解析安全稳定,出现稳定的概率较小。  2.网站加速防护策略  有网站被攻击的现象的可以使用云加速,如加速乐、百度云加速、360DNS等,但是目前免费的加速防护基本上被人破解了,而且加速后网站部分地区打不开,所以如果有需要的企业或者网站请选择付费型加速产品,如果没有网站被攻击现象产生的不要随意选择加速类产品,选择后反而产生不利影响。  3.服务器安全防护策略  服务器安全性相当重要,很多企业或者个人购买了独立服务器、云主机等之后,配置一下就开始挂网站,但是发现网站打开很慢,服务器流量很大,这样的服务器一定要注意,你的服务器可能正在被别人攻击。这时候你需要在服务器上安装安全狗、360网站卫士和云锁等相关软件,这样可以防御一定的攻击。如果你对服务器有专业的研究,你也可以制定一套自己的服务器安全策略。  4.网站安全防护策略  服务器安全防护可以保护整个服务器的安全,但是针对每个网站,安全策略肯定不一样,所以这时候如果还有攻击的话,请针对网站再进行如iis防护的网站安全防护。这时候可以安装一些网站安全软件或者通过防火墙等进行安全防护。  5.网站代码安全防护  在进行网站代码的编写的时候,一定要注意代码安全,如php或asp一定要查找漏洞,只有弥补好漏洞才能减少攻击。特别是对一些网上流行的网站系统,在编写或者开发的时候,一定要注意修复网站系统存在漏洞。  6.网站后台安全防护  一些新站长在进行网站系统安装的时候,都是默认后台或者默认密码,注意更改后台登录用户名和密码,一定要注意网站后台的安全防护。  总之,网站安全防护对于网站来说,相当重要。特别是一些企业对于企业网站安全认识不足,造成网站打不开或者挂马,这给客户访问带来了不必要的麻烦。希望广大企业或者站长通过以上六点可以防护好自己的网站,带给客户更好的用户体验。主要请注意以下事情:   1、要尽量避免把IIS安装在网络中的主域控制器上。因为在安装完IIS后,会在所安装的计算机上生成IUSR_Computername的匿名账户。这个账户会被添加到域用户组中,从而把应用于域用户组的访问权限提供给访问Web服务器的每个匿名用户,这样不仅不能保证IIS的安全性,而且会威胁到主域控制器。   2、限制网站的目录权限。目前有很多的脚本都有可能导致安全隐患,因此在设定IIS中网站的目录权限时,要严格限制执行、写入等权限。   3、经常到微软的站点下载IIS的补丁程序,保证IIS最新版本。   从codered到nimda等,一大堆蠕虫把原来需要人工利用的漏洞都变成了程序自动利用了,大家还想去手工操作这些IIS漏洞么?让我们调整重心,去看看服务器常用的数据库吧。一般网站都是基于数据库的,特别是ASP、PHP、JSP这样的用数据库来动态显示的网站。  很多网站可能多注意的是操作系统的漏洞,但是对数据库和这些脚本的安全总是忽略,也没有太多注意。从最普遍的脚本问题开始,这些都是老话题了,大家可以参考Hectic写的《关于数据库的简单入侵和无赖破坏,以天融信做例子》,该文章对从SQL脚本问题说得非常详细。  对于脚本安全的解决,也可以通过过滤来实现,可以参考我以前写的。对于ASP来说,可以使用下面这个过滤函数:Function Filter_SQL(strData)Dim strFilterDim blnFlagDim istrFilter=”’,;,//,–,@,_,exec,declare”blnFlag=FlaseDim arrayFilterarrayFilter=Split(strFilter,”,”)For i=0 To UBound(arrayFilter)If Instr(strData,arrayFilter(i))>0 ThenblnFlag=TrueExit ForEnd IfNextIf blnFlag ThenResponse。  Redirect “wrong。asp”ElseFilter_SQL=strDataEnd IfEnd Function对于MS SQL Server数据库来说,安全问题不仅仅局限在脚本上了。“天杀的微软”的系统性很强,整个基于WINDOWS系统的应用都有很强的关联性,对SQL Server来说,基本可以把数据库管理和系统管理等同起来了。  SQL Server默认的管理员帐号“sa”的密码是空的,这给多数NT服务器产生一个安全漏洞。小榕的“SQLRCMD”,就能够利用获得的数据库管理员帐号执行系统命令。在SQL Server中有很多系统存储过程,有些是数据库内部使用的,还有一些就是通过执行存储过程来调用系统命令。  系统存储过程:xp_cmdshell就是以操作系统命令行解释器的方式执行给定的命令字符串。它就具体语法是:xp_cmdshell {’command_string’} [, no_output]xp_cmdshell在默认情况下,只有 sysadmin 的成员才能执行。  但是,sysadmin也可以授予其他用户这个执行权限。在早期版本中,获得 xp_cmdshell 执行权限的用户在 SQL Server 服务的用户帐户中运行命令。可以通过配置选项配置 SQL Server,以便对 SQL Server 无 sa 访问权限的用户能够在SQLExecutiveCmdExec Windows NT 帐户中运行 xp_cmdshell。  在 SQL Server 7。0 中,该帐户称为 SQLAgentCmdExec。现在对于SQL Server2000,只要有一个能执行该存储过程的帐号就可以直接运行命令了。

本文出自快速备案,转载时请注明出处及相应链接。

本文永久链接: https://www.175ku.com/23294.html