① 區域網共享如何防止被攻擊
ftp可以查看 在線用戶 斷開連接可以在伺服器的防火牆裡面設置 禁用ip地址
② 黑客如何利用ftp許可權,攻擊網站!有什麼有效的防治方法
一般FTP許可權，開的有web，相當於控制了這個網站，那麼資料庫掃描的，也能控制，可以進一步的提權
，圍觀樓下的瘋狗，除了暴力破解，請問你還懂什麼，垃圾
③ 編寫防火牆規則：禁止任何一台計算機訪問本機的ftp服務
控制面板」－－「Windows防火牆」－－「高級」－－將「FTP伺服器」框框不打鉤就行了
④ 如何提高FTP伺服器安全性
一、禁止系統級別用戶來登錄FTP伺服器。
為了提高FTP伺服器的安全，系統管理員最好能夠為員工設置單獨的FTP帳號，而不要把系統級別的用戶給普通用戶來使用，這會帶來很大的安全隱患。在VSFTP伺服器中，可以通過配置文件vsftpd.ftpusers來管理登陸帳戶。不過這個帳戶是一個黑名單，列入這個帳戶的人員將無法利用其帳戶來登錄FTP伺服器。部署好VSFTP伺服器後，我們可以利用vi命令來查看這個配置文件，發現其已經有了許多默認的帳戶。其中，系統的超級用戶root也在其中。可見出於安全的考慮，VSFTP伺服器默認情況下就是禁止root帳戶登陸FTP伺服器的。如果系統管理員想讓root等系統帳戶登陸到FTP伺服器，則知需要在這個配置文件中將root等相關的用戶名刪除即可。不過允許系統帳戶登錄FTP伺服器，會對其安全造成負面的影響，為此我不建議系統管理員這么做。對於這個文件中相關的系統帳戶管理員最好一個都不要改，保留這些帳號的設置。
如果出於其他的原因，需要把另外一些帳戶也禁用掉，則可以把帳戶名字加入到這個文件中即可。如在伺服器上可能同時部署了FTP伺服器與資料庫伺服器。那麼為了安全起見，把資料庫管理員的帳戶列入到這個黑名單，是一個不錯的做法。
二、加強對匿名用戶的控制。
匿名用戶是指那些在FTP伺服器中沒有定義相關的帳戶，而FTP系統管理員為了便於管理，仍然需要他們進行登陸。但是他們畢竟沒有取得伺服器的授權，為了提高伺服器的安全性，必須要對他們的許可權進行限制。在VSFTP伺服器上也有很多參數可以用來控制匿名用戶的許可權。系統管理員需要根據FTP伺服器的安全級別，來做好相關的配置工作。需要說明的是，匿名用戶的許可權控制的越嚴格，FTP伺服器的安全性越高，但是同時用戶訪問的便利性也會降低。故最終系統管理員還是需要在伺服器安全性與便利性上取得一個均衡。
下面是我推薦的幾個針對匿名用戶的配置，大家若不清楚該如何配置的話，可以參考這些配置。這些配置兼顧了伺服器的安全與用戶的使用便利。
一是參數anon_world_readable_only。這個參數主要用來控制匿名用戶是否可以從FTP伺服器上下載可閱讀的文件。如果FTP伺服器部署在企業內部，主要供企業內部員工使用的話，則最好把這個參數設置為YES。然後把一些企業常用表格等等可以公開的文件放置在上面，讓員工在匿名的情況下也可以下載這些文件。這即不會影響到FTP伺服器的安全，而且也有利於其他員工操作的便利性上。
二是參數anon_upload_enable。這個參數表示匿名用戶能否在匿名訪問的情況下向FTP伺服器上傳文件。通常情況下，應該把這個參數設置為No。即在匿名訪問時不允許用戶上傳文件。否則的話，隨便哪個人都可以上傳文件的話，那對方若上傳一個病毒文件，那企業不是要遭殃了。故應該禁止匿名用戶上傳文件。但是這也有例外。如有些企業通過FTP協議來備份文件。此時如果企業網路的安全性有所保障的話，可以把這個參數設置為YES，即允許操作系統調用FTP命令往FTP伺服器上備份文件。
⑤ FTP的防範與攻擊如何實現
------------------------FTP安全考慮—RFC2577----------------------------------
1．簡介
文件傳輸協議規范（FTP）[PR85]提供了一種允許客戶端建立FTP控制連接並在兩台
FTP伺服器間傳輸文件的機制。這種「代理FTP」機制可以用來減少網路的流量，客戶端命
令一台伺服器傳輸文件給另一台伺服器，而不是從第一台伺服器傳輸文件給客戶端，然後從
客戶端再傳輸給第二台伺服器。當客戶端連接到網路的速度特別慢時，這是非常有用的。但
同時，代理FTP還帶來了一個安全問題——「跳轉攻擊（bounce attack）」[CERT97:27]。除
了「跳轉攻擊」，FTP伺服器還可以被攻擊者通過強力來猜測密碼。
本文檔並不考慮當FTP和一些強壯的安全協議（比如IP安全）聯合使用的情況。雖然
這些安全關注並不在本文檔的考慮范圍內，但是它們也應該被寫成文檔。
本文給FTP伺服器的實現者和系統管理員提供了一些信息，如下所示。第二章描述了
FTP「跳轉攻擊」。第三章提供了減少「跳轉攻擊」的建議。第四章給基於網路地址限制訪
問的伺服器提供了建議。第五章提供了限制客戶端強力「猜測密碼」的建議。接著，第六章
簡單的討論了改善保密性的機制。第七章給出了阻止猜測用戶身份的機制。第八章討論了端
口盜用。最後，第九章討論了其它跟軟體漏洞有關而跟協議本身無關的FTP安全問題。
2．跳轉攻擊（Bounce Attack）
RFC959[PR85]中規定的FTP規范提供了一種攻擊知名網路伺服器的一種方法，並且使
攻擊者很難被跟蹤。攻擊者發送一個FTP"PORT"命令給目標FTP伺服器，其中包含該主機
的網路地址和被攻擊的服務的埠號。這樣，客戶端就能命令FTP伺服器發一個文件給被
攻擊的服務。這個文件可能包括根被攻擊的服務有關的命令（如SMTP,NNTP等）。由於是
命令第三方去連接到一種服務，而不是直接連接，就使得跟蹤攻擊者變得困難，並且還避開
了基於網路地址的訪問限制。
例如，客戶端上載包含SMTP命令的報文到FTP伺服器。然後，使用正確的PORT命
令，客戶端命令伺服器打開一個連接給第三方機器的SMTP埠。最後，客戶端命令服務
器傳輸剛才上載的包含SMTP命令的報文給第三方機器。這就使得客戶端不建立任何直接
的連接而在第三方機器上偽造郵件，並且很難跟蹤到這個攻擊者。
3．避免跳轉攻擊
原來的FTP規范[PR85]假定使用TCP進行數據鏈接，TCP埠號從0到1023時報留給
一些眾所周知的服務的，比如郵件，網路新聞和FTP控制鏈接。FTP規范對數據鏈接沒有
限制TCP埠號。因此，使用代理FTP，客戶端就可以命令伺服器去攻擊任何機器上眾所
周知的服務。
為了避免跳轉攻擊，伺服器最好不要打開數據鏈接到小於1024的TCP埠號。如果服
務器收到一個TCP埠號小於1024的PORT命令，那麼可以返回消息504（對這種參數命
令不能實現）。但要注意這樣遺留下那些不知名服務（埠號大於1023）易受攻擊。
一些建議（例如[AOM98]和[Pis94]）提供了允許使用除了TCP以外的其他傳輸協議來
建立數據連接的機制。當使用這些協議時，同樣要注意採用類似的防範措施來保護眾所周知
的服務。
另外，我們注意到跳轉攻擊一般需要攻擊者首先上載一個報文到FTP伺服器然後再下
載到准備攻擊的服務埠上。使用適當的文件保護措施就可以阻止這種情況發生。然而攻擊
者也可能通過從遠程FTP伺服器發送一些能破壞某些服務的數據來攻擊它。
禁止使用PORT命令也是避免跳轉攻擊的一種方法。大多數文件傳輸可以僅通過PASV
命令來實現。但這樣做的缺點就是喪失了使用代理FTP的能力，當然代理FTP並不是在所
有場合都需要的。
4．受限制的訪問
一些FTP伺服器希望有基於網路地址的訪問控制。例如，伺服器可能希望限制來自某
些地點的對某些文件的訪問（例如為了某些文件不被傳送到組織以外）。在這種情況下，服
務器在發送受限制的文件之前應該首先確保遠程主機的網路地址在本組織的范圍內，不管是
控制連接還是數據連接。通過檢查這兩個連接，伺服器就被保護避免了這種情況：控制連接
用一台可信任的主機連接而數據連接不是。同樣的，客戶也應該在接受監聽模式下的開放端
口連接後檢察遠程主機的IP地址，以確保連接是由所期望的伺服器建立的。
注意，基於網路地址的受限訪問留下了FTP伺服器易受「地址盜用(spoof)」攻擊。在
spoof攻擊中，攻擊機器可以冒用在組織內的機器的網路地址，從而將文件下載到在組織之
外的未授權的機器上。只要可能，就應該使用安全鑒別機制，比如在[HL97]中列出的安全鑒
別機制。
5．保護密碼
為了減少通過FTP伺服器進行強力密碼猜測攻擊的風險，建議伺服器限制嘗試發送正
確的密碼的次數。在幾次嘗試（3~5次）後，伺服器應該結束和該客戶的控制連接。在結束
控制連接以前，伺服器必須給客戶端發送一個返回碼421（「服務不可用，關閉控制連接」
[PR85]）。另外，伺服器在相應無效的「PASS」命令之前應暫停幾秒來消減強力攻擊的有效
性。若可能的話，目標操作系統提供的機制可以用來完成上述建議。
攻擊者可能通過與伺服器建立多個、並行的控制連接破壞上述的機制。為了搏擊多個並
行控制連接的使用，伺服器可以限制控制連接的最大數目，或探查會話中的可疑行為並在以
後拒絕該站點的連接請求。然而上述兩種措施又引入了「服務否決」攻擊，攻擊者可以故意
的禁止有效用戶的訪問。
標准FTP[PR85]在明文文本中使用「PASS」命令發送密碼。建議FTP客戶端和伺服器
端使用備用的鑒別機制，這種鑒別機制不會遭受竊聽。比如，IETF公共鑒別技術工作組開
發的機制[HL97]。
6．私密性
在FTP標准中[PR85]中，所有在網路上被傳送的數據和控制信息（包括密碼）都未被
加密。為了保障FTP傳輸數據的私密性，應盡可能使用強壯的加密系統。在[HL97]中定義
了一個這樣的機制。
7．保護用戶名
當「USER」命令中的用戶名被拒絕時，在FTP標准中[PR85]中定義了相應的返回碼530。
而當用戶名是有效的但卻需要密碼，FTP將使用返回碼331。為了避免惡意的客戶利用USER
操作返回的碼確定一個用戶名是否有效，建議伺服器對USER命令始終返回331，然後拒絕
對無效用戶名合並用戶名和密碼。
8．埠盜用
許多操作系統以遞增的順序動態的分配埠號。通過合法的傳輸，攻擊者能夠觀察當前
由伺服器端分配的埠號，並「猜」出下一個即將使用的埠號。攻擊者可以與這個埠建
立連接，然後就剝奪了下一個合法用戶進行傳輸的能力。或者，攻擊者可以盜取給合法用戶
的文件。另外，攻擊者還可能在從授權用戶發出的數據流中插入偽造的文件。通過使FTP
客戶和伺服器隨機的給數據連接分配埠號，或者要求操作系統隨機分配埠號，或者使用
與系統無關的機制都可以減少埠盜用的發生。
9．基於軟體的安全問題
本文檔的重點是和協議相關的安全問題。另外還有一些成文的FTP安全問題是由於不
完善的FTP實現造成的。雖然這種類型的問題的細節超出本文檔的范圍，還是有必要指出
以下那些過去曾被誤用，今後的實現應該慎重考慮的FTP特性。
? 匿名FTP
匿名FTP服務使客戶端用最少的證明連接到FTP伺服器分享公共文件。如果這樣的用
戶能夠讀系統上所有的文件或者能建立文件，那麼問題就產生了。[CERT92:09] [CERT93:06]
? 執行遠程命令
FTP擴展命令"SITE EXEC"允許客戶端執行伺服器上任意的命令。這種特性顯然需要非
常小心的實現。已經有幾個成文的例子說明攻擊者利用FTP「SITE EXEC」命令可以破壞服
務器的安全性。[CERT94:08] [CERT95:16]
? 調試代碼
前面的一些跟FTP有關危及安全的問題是由於置入了調試特性的軟體造成的。
[CERT88:01]
本文建議有這些功能的FTP伺服器的實現者在發布軟體之前參閱所有的CERT有關這
些問題的攻擊以及類似機制的忠告。
10．結論
使用以上建議可以減少和FTP伺服器有關的安全問題的發生，而不用刪除其功能。
⑥ 怎麼設置停止SSH / FTP攻擊ROS路由器
你好！你可以復位後重新設置一下。設置路由器的方法步驟如下：
1、進入路由器地址，連接好無線路由器後，在瀏覽器輸入在路由器看到的地址，一般是192.168.1.1。
2、輸入相應的賬號密碼，進入後會看到輸入相應的帳號跟密碼，一般新買來的都是admin。
3、選擇設置向導，確實後進入操作界面，你會在左邊看到一個設置向導，進擊進入(一般的都是自動彈出來的)。
4、進入上網方式設置，設置向導的界面。
5、點擊下一步，進入上網方式設置，我們可以看到有三種上網方式的選擇，如果你家是撥號的話那麼就用PPPoE。動態IP一般電腦直接插上網路就可以用的，上層有DHCP伺服器的。靜態IP一般是專線什麼的，也可能是小區帶寬等，上層沒有DHCP伺服器的，或想要固定IP的。因為我撥號所以選擇pppoe。
6、輸入賬號密碼，選擇PPPOE撥號上網就要填上網帳號跟密碼，這個應該大家都明白，開通寬頻都會有帳號跟，填進去就OK啦。
7、設置路由器的密碼，然後下一步後進入到的是無線設置，我們可以看到信道、模式、安全選項、SSID等等，一般SSID就是一個名字，你可以隨便填，然後模式大多用11bgn.無線安全選項我們要選擇wpa-psk/wpa2-psk,這樣安全，免得輕意讓人家破解而蹭網。
8、下一步就設置成功啦。
9、點擊完成，路由器會自動重啟，這時候你耐心等待吧。成功後出現的界面。
10、手機怎麼連接wifi就更簡單了，當你路由器設置完成之後，點擊手機的菜單鍵，然後進入手機設置，第一項就是wifi，然後你將它設置為開啟，點擊進入wifi列表中，選擇你之前路由器中設置的無線網路名字。輸入你之前設置的密碼進行連接。
總結：無線路由器怎麼用，是一個比較普遍的問題，也是一個比較簡單的問題，相信只要有過一次經 驗之後，也可以成為大神了，當然路由器的設置還遠不只有這些簡單的內容，登錄路由器設置頁面之後還有更多的設置選項，設置其他選項，例如綁定mac地址、過來IP、防火牆設置等等，可以讓你的無線網路更加安全，防止被蹭網。
⑦ 假如我們的伺服器提供了Ftp服務，為了降低被黑客攻擊的風險，我們可以實施以下措施
想知道網站是否被黑客攻擊，有一個比較簡單的方法，直接檢查每個腳本文件最下方是否被加入了iframe或者script的代碼，然後這段代碼是否是程序員設計的時候添加的，程序員一看就能夠知道。
防範的方式也簡單：
1、程序代碼漏洞，這需要有安全意識的程序員才能修復得了，通常是在出現被掛馬以後才知道要針對哪方面入手修復；
2、也可以通過安全公司來解決，國內也就Sinesafe和綠盟等安全公司 比較專業.
3.伺服器目錄許可權的「讀」、「寫」、「執行」，「是否允許腳本」，等等，使用經營已久的虛擬空間提供商的空間，可以有效降低被掛馬的幾率。
⑧ ftp 伺服器如何防止暴力破解
1.用戶名、密碼不能用常用的用戶名、密碼。2.每天更換用戶名、密碼3.用戶名、密碼文件不放在常用位置。4.配置具有SSL保護的FTP伺服器
⑨ 如何對FTP、IIS伺服器安全防護
1、系統盤許可權設置
C:分區部分：
c:\
administrators 全部(該文件夾，子文件夾及文件)
CREATOR OWNER 全部(只有子文件來及文件)
system 全部(該文件夾，子文件夾及文件)
IIS_WPG 創建文件/寫入數據(只有該文件夾)
IIS_WPG(該文件夾，子文件夾及文件)
遍歷文件夾/運行文件
列出文件夾/讀取數據
讀取屬性
創建文件夾/附加數據
讀取許可權
c:\Documents and Settings
administrators 全部(該文件夾，子文件夾及文件)
Power Users (該文件夾，子文件夾及文件)
讀取和運行
列出文件夾目錄
讀取
SYSTEM全部(該文件夾，子文件夾及文件)
C:\Program Files
administrators 全部(該文件夾，子文件夾及文件)
CREATOR OWNER全部(只有子文件來及文件)
IIS_WPG (該文件夾，子文件夾及文件)
讀取和運行
列出文件夾目錄
讀取
Power Users(該文件夾，子文件夾及文件)
修改許可權
SYSTEM全部(該文件夾，子文件夾及文件)
TERMINAL SERVER USER (該文件夾，子文件夾及文件)
修改許可權
2、網站及虛擬機許可權設置(比如網站在E盤)
說明：我們假設網站全部在E盤wwwsite目錄下，並且為每一個虛擬機創建了一個guest用戶，用戶名為vhost1...vhostn並且創建了一個webuser組，把所有的vhost用戶全部加入這個webuser組裡面方便管理
E:\
Administrators全部(該文件夾，子文件夾及文件)
E:\wwwsite
Administrators全部(該文件夾，子文件夾及文件)
system全部(該文件夾，子文件夾及文件)
service全部(該文件夾，子文件夾及文件)
E:\wwwsite\vhost1
Administrators全部(該文件夾，子文件夾及文件)
system全部(該文件夾，子文件夾及文件)
vhost1全部(該文件夾，子文件夾及文件)
3、數據備份盤
數據備份盤最好只指定一個特定的用戶對它有完全操作的許可權
比如F盤為數據備份盤，我們只指定一個管理員對它有完全操作的許可權
4、其它地方的許可權設置
請找到c盤的這些文件，把安全性設置只有特定的管理員有完全操作許可權
下列這些文件只允許administrators訪問
net.exe
net1.exet
cmd.exe
tftp.exe
netstat.exe
regedit.exe
at.exe
attrib.exe
cacls.exe
format.com
5.刪除c:\inetpub目錄，刪除iis不必要的映射，建立陷阱帳號，更改描述
第三招：禁用不必要的服務，提高安全性和系統效率
Computer Browser 維護網路上計算機的最新列表以及提供這個列表
Task scheler 允許程序在指定時間運行
Routing and Remote Access 在區域網以及廣域網環境中為企業提供路由服務
Removable storage 管理可移動媒體、驅動程序和庫
Remote Registry Service 允許遠程注冊表操作
Print Spooler 將文件載入到內存中以便以後列印。要用列印機的朋友不能禁用這項
IPSEC Policy Agent 管理IP安全策略以及啟動ISAKMP/OakleyIKE)和IP安全驅動程序
Distributed Link Tracking Client 當文件在網路域的NTFS卷中移動時發送通知
Com+ Event System 提供事件的自動發布到訂閱COM組件
Alerter 通知選定的用戶和計算機管理警報
Error Reporting Service 收集、存儲和向 Microsoft 報告異常應用程序
Messenger 傳輸客戶端和伺服器之間的 NET SEND 和 警報器服務消息
Telnet 允許遠程用戶登錄到此計算機並運行程序
第四招:修改注冊表，讓系統更強壯
1、隱藏重要文件/目錄可以修改注冊表實現完全隱藏：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ Current-Version\Explorer\Advanced\Folder\Hi-dden\SHOWALL」，滑鼠右擊 「CheckedValue」，選擇修改，把數值由1改為0
2、啟動系統自帶的Internet連接_blank">防火牆，在設置服務選項中勾選Web伺服器。
3、防止SYN洪水攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名為SynAttackProtect，值為2
EnablePMTUDiscovery REG_DWORD 0
NoNameReleaseOnDemand REG_DWORD 1
EnableDeadGWDetect REG_DWORD 0
KeepAliveTime REG_DWORD 300,000
PerformRouterDiscovery REG_DWORD 0
EnableICMPRedirects REG_DWORD 0
4. 禁止響應ICMP路由通告報文
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\interface
新建DWORD值，名為PerformRouterDiscovery 值為0
5. 防止ICMP重定向報文的攻擊
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
將EnableICMPRedirects 值設為0
6. 不支持IGMP協議
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
新建DWORD值，名為IGMPLevel 值為0
7.修改終端服務埠
運行regedit，找到[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ Wds \ rdpwd \ Tds \ tcp]，看到右邊的PortNumber了嗎？在十進制狀態下改成你想要的埠號吧，比如7126之類的，只要不與其它沖突即可。
2、第二處HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ WinStations \ RDP-Tcp，方法同上，記得改的埠號和上面改的一樣就行了。
8、禁止IPC空連接：
cracker可以利用net use命令建立空連接，進而入侵，還有net view，nbtstat這些都是基於空連接的，禁止空連接就好了。打開注冊表，找到Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 把這個值改成」1」即可。
9、更改TTL值
cracker可以根據ping回的TTL值來大致判斷你的操作系統，如：
TTL=107(WINNT);
TTL=108(win2000);
TTL=127或128(win9x);
TTL=240或241(linux);
TTL=252(solaris);
TTL=240(Irix);
實際上你可以自己更改的：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters：DefaultTTL REG_DWORD 0-0xff(0-255 十進制,默認值128)改成一個莫名其妙的數字如258，起碼讓那些小菜鳥暈上半天，就此放棄入侵你也不一定哦
10. 刪除默認共享
有人問過我一開機就共享所有盤，改回來以後，重啟又變成了共享是怎麼回事，這是2K為管理而設置的默認共享，必須通過修改注冊表的方式取消它：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters：AutoShareServer類型是REG_DWORD把值改為0即可
11. 禁止建立空連接
默認情況下，任何用戶通過通過空連接連上伺服器，進而枚舉出帳號，猜測密碼。我們可以通過修改注冊表來禁止建立空連接：
Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous 的值改成」1」即可。
第五招:其它安全手段
1.禁用TCP/IP上的NetBIOS
網上鄰居-屬性-本地連接-屬性-Internet協議（TCP/IP）屬性-高級-WINS面板-NetBIOS設置-禁用TCP/IP上的NetBIOS。這樣cracker就無法用nbtstat命令來讀取你的NetBIOS信息和網卡MAC地址了。
2. 賬戶安全
首先禁止一切賬戶，除了你自己，呵呵。然後把Administrator改名。我呢就順手又建了個Administrator賬戶，不過是什麼許可權都沒有的那種，然後打開記事本，一陣亂敲，復制，粘貼到「密碼」里去，呵呵，來破密碼吧~！破完了才發現是個低級賬戶，看你崩潰不？
創建2個管理員用帳號
雖然這點看上去和上面這點有些矛盾，但事實上是服從上面的規則的。 創建一個一般許可權帳號用來收信以及處理一些*常事物，另一個擁有Administrators 許可權的帳戶只在需要的時候使用。可以讓管理員使用 「 RunAS」 命令來執行一些需要特權才能作的一些工作，以方便管理
3.更改C:\WINDOWS\Help\iisHelp\common\404b.htm內容改為<META HTTP-EQUIV=REFRESH CONTENT="0;URL=/;">這樣，出錯了自動轉到首頁
4. 安全日誌
我遇到過這樣的情況，一台主機被別人入侵了，系統管理員請我去追查兇手，我登錄進去一看：安全日誌是空的，倒，請記住：Win2000的默認安裝是不開任何安全審核的！那麼請你到本地安全策略->審核策略中打開相應的審核，推薦的審核是：
賬戶管理 成功 失敗
登錄事件 成功 失敗
對象訪問 失敗
策略更改 成功 失敗
特權使用 失敗
系統事件 成功 失敗
目錄服務訪問 失敗
賬戶登錄事件 成功 失敗
審核項目少的缺點是萬一你想看發現沒有記錄那就一點都沒轍；審核項目太多不僅會佔用系統資源而且會導致你根本沒空去看，這樣就失去了審核的意義
5. 運行防毒軟體
我見過的Win2000/Nt伺服器從來沒有見到有安裝了防毒軟體的，其實這一點非常重要。一些好的殺毒軟體不僅能殺掉一些著名的病毒，還能查殺大量木馬和後門程序。這樣的話，「黑客」們使用的那些有名的木馬就毫無用武之地了。不要忘了經常升級病毒庫,我們推薦mcafree殺毒軟體+blackice_blank">防火牆
6.sqlserver資料庫伺服器安全和serv-u ftp伺服器安全配置，更改默認埠，和管理密碼
7.設置ip篩選、用blackice禁止木馬常用埠
一般禁用以下埠
135 138 139 443 445 4000 4899 7626
8.本地安全策略和組策略的設置,如果你在設置本地安全策略時設置錯了，可以這樣恢復成它的默認值.
打開 %SystemRoot%\Security文件夾,創建一個 "OldSecurity"子目錄,將%SystemRoot%\Security下所有的.log文件移到這個新建的子文件夾中.
在%SystemRoot%\Security\database\下找到"Secedit.sdb"安全資料庫並將其改名,如改為"Secedit.old".
啟動"安全配置和分析"MMC管理單元:"開始"->"運行"->"MMC",啟動管理控制台,"添加/刪除管理單元",將"安全配置和分析"管理單元添加上.
右擊"安全配置和分析"->"打開資料庫",瀏覽"C:\WINNT\security\Database"文件夾,輸入文件名"secedit.sdb",單擊"打開".
當系統提示輸入一個模板時,選擇"Setup Security.inf",單擊"打開".
如果系統提示"拒絕訪問資料庫",不管他.
你會發現在"C:\WINNT\security\Database"子文件夾中重新生成了新的安全資料庫,在"C:\WINNT\security"子文件夾下重新生成了log文件.安全資料庫重建成功.
⑩ Linux系統中如何提高VSFTP伺服器安全性
但是，安全問題也一直伴隨在FTP左右。如何防止攻擊者通過非法手段竊取FTP伺服器中的重要信息;如何防止攻擊者利用FTP伺服器來傳播木馬與病毒等等。這些都是系統管理員所需要關注的問題。這次我就已Linux操作系統平台上使用的最廣泛的VSFTP為例，談談如何來提高FTP伺服器的安全性。 一、禁止系統級別用戶來登錄FTP伺服器 為了提高FTP伺服器的安全，系統管理員最好能夠為員工設置單獨的FTP帳號，而不要把系統級別的用戶給普通用戶來使用，這會帶來很大的安全隱患。在VSFTP伺服器中，可以通過配置文件vsftpd.ftpusers來管理登陸帳戶。不過這個帳戶是一個黑名單，列入這個帳戶的人員將無法利用其帳戶來登錄FTP伺服器。部署好VSFTP伺服器後，我們可以利用vi命令來查看這個配置文件，發現其已經有了許多默認的帳戶。其中，系統的超級用戶root也在其中。可見出於安全的考慮，VSFTP伺服器默認情況下就是禁止root帳戶登陸FTP伺服器的。如果系統管理員想讓root等系統帳戶登陸到FTP伺服器，則知需要在這個配置文件中將root等相關的用戶名刪除即可。不過允許系統帳戶登錄FTP伺服器，會對其安全造成負面的影響，為此我不建議系統管理員這么做。對於這個文件中相關的系統帳戶管理員最好一個都不要改，保留這些帳號的設置。 如果出於其他的原因，需要把另外一些帳戶也禁用掉，則可以把帳戶名字加入到這個文件中即可。如在伺服器上可能同時部署了FTP伺服器與資料庫伺服器。那麼為了安全起見，把資料庫管理員的帳戶列入到這個黑名單，是一個不錯的做法。 匿名用戶是指那些在FTP伺服器中沒有定義相關的帳戶，而FTP系統管理員為了便於管理，仍然需要他們進行登陸。但是他們畢竟沒有取得伺服器的授權，為了提高伺服器的安全性，必須要對他們的許可權進行限制。在VSFTP伺服器上也有很多參數可以用來控制匿名用戶的許可權。系統管理員需要根據FTP伺服器的安全級別，來做好相關的配置工作。需要說明的是，匿名用戶的許可權控制的越嚴格，FTP伺服器的安全性越高，但是同時用戶訪問的便利性也會降低。故最終系統管理員還是需要在伺服器安全性與便利性上取得一個均衡。 一是參數anon_world_readable_only。這個參數主要用來控制匿名用戶是否可以從FTP伺服器上下載可閱讀的文件。如果FTP伺服器部署在企業內部，主要供企業內部員工使用的話，則最好把這個參數設置為YES。然後把一些企業常用表格等等可以公開的文件放置在上面，讓員工在匿名的情況下也可以下載這些文件。這即不會影響到FTP伺服器的安全，而且也有利於其他員工操作的便利性上。 二是參數anon_upload_enable。這個參數表示匿名用戶能否在匿名訪問的情況下向FTP伺服器上傳文件。通常情況下，應該把這個參數設置為No。即在匿名訪問時不允許用戶上傳文件。否則的話，隨便哪個人都可以上傳文件的話，那對方若上傳一個病毒文件，那企業不是要遭殃了。故應該禁止匿名用戶上傳文件。但是這也有例外。如有些企業通過FTP協議來備份文件。此時如果企業網路的安全性有所保障的話，可以把這個參數設置為YES，即允許操作系統調用FTP命令往FTP伺服器上備份文件。在這種情況下，為了簡化備份程序的部署，往往採用匿名訪問。故需要在FTP伺服器上允許匿名用戶上傳文件。 三是參數anon_other_write_enable與參數anon_mkdir_write_enable。這兩個參數主要涉及到匿名用戶的一些比較高級的許可權。如第一個參數表示匿名用戶具有上傳和建立子目錄之外的許可權，如可以更改FTP伺服器上文件的名字等等。而第二個參數則表示匿名用戶可以在特定的情況下建立子目錄。這些功能都會影響到FTP伺服器的安全與文件的安全。為此除非有特別需要的原因，否則的話都應該把這些許可權禁用掉。即把這些參數的值設置為NO。我認為，除非FTP伺服器是系統管理員拿來玩玩的，可以開啟這些參數。否則的話，還是把這些參數設置為NO為好，以提高FTP伺服器的安全。 三、做好目錄的控制 通常情況下，系統管理員需要為每個不同的用戶設置不同的根目錄。而為安全起見，不讓不同用戶之間進行相互的干擾，則系統管理員需要設置不讓用戶可以訪問其他用戶的根目錄。如有些企業為每個部門設置了一個FTP帳戶，以利於他們交流文件。那麼銷售部門Sales有一個根目錄sales;倉庫部門有一個根目錄Ware。作為銷售員工來說，他們可以訪問自己根目錄下的任何子目錄，但是無法訪問倉庫用戶的根目錄Ware。如此的話，銷售部門員工也就無法訪問倉庫用戶的文件了。可見，通過限制用戶訪問根目錄以外的目錄，可以防止不同用戶之間相互干擾，以提高FTP伺服器上文件的安全。為了實現這個目的，可以把參數chroot_local_user設置為NO。如此設置後，所有在本地登陸的用戶都不可以進入根目錄之外的其他目錄。不過在進行這個控制的時候，最好能夠設置一個大家都可以訪問的目錄，以存放一些公共的文件。我們既要保障伺服器的安全，也不能夠因此影響到文件的正常共享交流。 四、進行傳輸速率的限制 有時候為了保障FTP伺服器的穩定運行，需要對其文件上傳下載的速率進行限制。如在同一台伺服器上，分別部署了FTP伺服器、郵件伺服器等等。為了這些應用服務能夠和平共處，就需要對其的最大傳輸速率進行控制。因為同一台伺服器的帶寬是有最大限制的。若某個應用服務佔用比較大的帶寬時，就會對其他應用服務產生不利的影響，甚至為導致其他應用服務無法正常相應用戶的需求。再如有時候FTP用途的不同，也需要設置最大速率的限制。如FTP同時作為文件備份與文件上傳下載等用途，那麼為了提高文件備份的效率，縮短備份時間就需要對文件上傳下載的速率進行最大值的限制。 為了實現傳輸速率的限制，系統管理員可以設置local_max_rate參數。默認情況下，這個參數是不啟用的，即沒有最大速率的限制。不過基於以上這些原因，我還是建議各位系統管理員在把FTP伺服器投入生產運營之前能夠先對這個參數進行設置。防止因為上傳下載耗用了過多的帶寬而對其他應用服務產生負面的影響。系統管理員需要在各個應用服務之間取得一個均衡，合理的分配帶寬。至少要保證各個應用服務能夠正常響應客戶的請求。另外在有可能的情況下，需要執行錯峰運行。如在一台主機上同時部署有郵件伺服器與FTP伺服器。而FTP伺服器主要用來進行文件備份。那麼為了防止文件備份對郵件收發產生不利影響(因為文件備份需要比較大的帶寬會在很大程度上降低郵件收發的速度)，最好能夠把文件備份與郵件收發的高峰時期分開來。如一般情況下早上上班時是郵件收發的高峰時期，那就不要利用FTP服務來進行文件備份。而中午休息的時候一般收發郵件就比較少了。此時就可以利用FTP來進行文件備份。所以把FTP伺服器與其他應用服務錯峰運行，那麼就可以把這個速率設置的大一點，以提高FTP服務的運行效率。當然，這對系統管理員提出了比較高的要求。因為系統管理員需要分析各種應用，然後再結合伺服器的部署，來進行綜合的規劃。除非有更高的措施與更好的條件，否則的話對FTP伺服器進行最大速率傳輸是必須的。