老站长传授网站防黑经验

最新推荐文章于 2025-12-04 15:25:15 发布

转载最新推荐文章于 2025-12-04 15:25:15 发布 · 918 阅读

文章标签：

老站长传授网站防黑经验

一.   设置严密的权限。
上传的目录只给写入、读取权限，绝对不能给执行的权限。
每个网站使用独立的用户名和密码，权限设置为 Guest 。
命令 : net localgroup users myweb /del
设置 MSSQL 、 Apache 、 MySQL 以 Guest 权限运行：在运行中打 :service.msc ，选择相应的服务，以一个 Guest 权限的账户运行。

二 . 防止 SQL 注入
以前用的通用防注入模块，后来在多次与黑客血与泪的较量中。我明白了通用防注入模块是没用的，如果人家 CC 我的网站，通用防注入模块会让自己网站卡死！！

使用专门的 Web 应用防火墙是个比较明智的选择。硬件防火墙动辄就是几十万，我没那么多钱，那不是俺们能用的起的。俺还是喜欢用免费的软件 “ 铱迅网站防火墙 ” ，标准版可以注册后免费获得。

三 . 防止 IIS 6.0 的 0day 攻击
0day 之一：
IIS 的致命伤，很多网站都是这样被黑客入侵的：黑客建立一个叫 aaa.asp 的目录，然后在 aaa.asp 的目录里面放一个图片木马，黑客访问 aaa.asp/xxx.jpg 就能访问木马了。
0day 之二：
黑客上传 aaa.asp;bbb,jpg 这样的文件到服务器中，这可不是 jpg 啊， IIS 6 会在分号的地方截断，把 jpg 当 asp 执行的

解决方案 1: 编码的时候禁止目录中包含 ” . “ 号和文件名中包含 ” ; “ 号
解决方案 2 ：如果网站已经用户过多，不能修改代码了，可以考虑前面提到的铱迅网站防火墙。

四 . 检测黑客攻击痕迹
1. 检测 shift 后门：
远程 3389 连接，连续按 Shift 键 5 次，如果没有跳出粘滞键菜单，说明被安装后门了。在 windows 文件夹中，搜索 sethc.exe 并删除之。
2. 查看 Document and Settings 目录
如果发现有可疑用户的文件夹，说明就被黑客入侵了。

五 . 删除危险组件
1. 删除 Wscript
      regsvr32/u C:/windows/System32/wshom.ocx
del C:/windows/System32/wshom.ocx
regsvr32/u C:/windows/system32/shell32.dll
del C:/windows/system32/shell32.dll
2. 删除 MSSQL 危险存储过程
MS SQL SERVER2000
使用系统帐户登陆查询分析器
运行以下脚本
use master
exec sp_dropextendedproc 'xp_cmdshell'
exec sp_dropextendedproc 'xp_enumgroups'
exec sp_dropextendedproc 'xp_loginconfig'
exec sp_dropextendedproc 'xp_enumerrorlogs'
exec sp_dropextendedproc 'xp_getfiledetails'
exec sp_dropextendedproc 'Sp_OACreate'
exec sp_dropextendedproc 'Sp_OADestroy'
exec sp_dropextendedproc 'Sp_OAGetErrorInfo'
exec sp_dropextendedproc 'Sp_OAGetProperty'
exec sp_dropextendedproc 'Sp_OAMethod'
exec sp_dropextendedproc 'Sp_OASetProperty'
exec sp_dropextendedproc 'Sp_OAStop'
exec sp_dropextendedproc 'xp_regaddmultistring'
exec sp_dropextendedproc 'xp_regdeletekey'
exec sp_dropextendedproc 'xp_regdeletevalue'
exec sp_dropextendedproc 'xp_regenumvalues'
exec sp_dropextendedproc 'xp_regremovemultistring'
exec sp_dropextendedproc 'xp_regwrite'
drop procedure sp_makewebtask
go
删除所有危险的扩展 .
exec sp_dropextendedproc 'xp_cmdshell' [ 删除此项扩展后 , 将无法远程连接数据库 ]
以下 3 个存储过程会在 SQL SERVER 恢复备份时被使用 , 非必要请勿删除
#exec sp_dropextendedproc 'xp_dirtree' [ 删除此项扩展后 , 将无法新建或附加数据库 ]
#exec sp_dropextendedproc 'Xp_regread' [ 删除此项扩展后 , 还原数据库辅助 ]
#exec sp_dropextendedproc 'xp_fixeddrives' [ 删除此项扩展后 , 将无法还原数据库 ]

现在的 shift 后门都是高防的我使用的是直接调用真正粘滞键的 shift 后门外观上和功能上都没有任何问题，那样检测是没有用的。而且采用镜像劫持，即使你删掉 sethc.exe 也没用啊删除的扩展还是可以还原的。所以要想安全，就必须时刻警惕黑客的入侵。不能放过任何一个细节。很可能是你某个细节出错就导致整个服务器的沦陷。安全不能掉以轻心啊

呵呵我的后门是自己写的五次 shift 后调用我的程序，程序是隐藏运行的，不过他会调用原来的真正的粘滞键，这样电脑上显示的是真正的粘滞键，但我的后门已经启用了。快捷键调出来就可以用了。至于映像劫持是我附加的功能。我也不怎么用。杀软到没测试。不过瑞星测试下无任何拦截。其他杀软没测试

使用权限最高的账户

一、结束 explorer 进程
taskkill /f /im explorer.exe

二、用计划任务启动交互式的界面
at 13:30 /interactive explorer.exe

必须开启 Task Scheduler 服务，默认是开启的。这样当到了 13:30 的时候， explorer 进程会以 system 用户启动，桌面会被重新加载，变成 system 用户的桌面。