راه اندازي سرور وب تحت ويندوز
راه اندازي سرور وب تحت ويندوز و فراهم نمودن شرايط امنيتي لازم در مقابل نفوذگران
در اين مقاله سعي خواهم داشت در مورد راه اندازي يك وب سرور تحت ويندوز 2000 با IIS 5.0 را شرح دهم و هم چنين نكات لازم را جهت برقراري امنيت لازم در مقابل حفره هاي امنيتي شناخته شده و مهم را ارائه كنم ( من فرض را بر اين مي گيرم كه شما از قبل سرور IIS را بر روي سيستم نصب نموده ايد )
- شناخت ابزار هاي مديريتي
همان طور كه در شكل زير مشاهده مي كنيد ابزار هاي مديريتي ويندوز 2000 داراي قسمت هاي مختلفي ايست كه سعي مي كنم در مورد هر قسمت در اين بخش توضيحاتي مختصري ارائه كنم ...
تصوير 1 - ابزاري هاي مديريتي
Component Services
اين قسمت شامل مديريت و تنظيم نمودن برنامه هاي كاربردي " كام پلاس " است
Computer Management
دسترسي به سيستم هاي داخلي و يا سيستم هاي ريموت و ابزار هاي متعدد جهت تنظيم نمودن آن ها
Data Sources
اضافه نمودن و يا حذف نمودن ديتا سورس هاي OBDC
Event Viewer
مانيتورينگ سيستم و نشان دادن پيغام هاي ترابل شوتينگ ويندوز و يا به عبارتي ثبت كننده فعاليت هاي ويندوز و ...
Internet Services Manager
مديريت سرور IIS
Local Security Policy
ويرايش و تظيم " سياست امنيتي داخلي " نظير دسترسي كاربر و ...
Performance
نشان دهي قابليت هاي سيستم و تنظيمات لاگ هاي اطلاعاتي و اخطارها
Server Extensions Administrator
مديريت Server Extensions ( من معادل دقيقي جهت آن پيدا ننمودم و به همين دليل از خود واژه كاربردي آن استفاده نمودم )
Services
اجرا نمودن و يا استاپ سرويس ها ( نظير تل نت )
Telnet Server Administration
مديريت تنظيمات سرور تل نت و ارتباط دهي آن
- آشنايي با ابزار مديريتي Internet Services Manager
تصوير 2 - Internet Information Services
حال چنانچه بر روي نام وب سرور خود كه از قبل تعيين نموده ايد كليك نماييد در پنچره كناري با سه چيز روبرو مي شويد :
* Default FTP Site
* Default Web Server
* Default SMTP Virtual Server
حال جهت تنظيمات سرور اف-تي-پي بر روي آن كليك سمت راست نموده و Properties را انتخاب نماييد :
تصوير 3 - تنظيمات FTP سرور
خوب چيزهايي كه از هر قسمت لازم به ذكر است را در اينجا شرح مي دهم :
نكته : در قسمت Security Accounts جهت بالا بردن امنيت بيشتر تيك Allow Anonymous Connections را برداريد .
اما در قسمت Home Directory , مسير اصلي اف-تي-پي به صورت از قبل تعريف شده " C:\inetpub\ftproot " است كه مي توانيد آن را تغيير دهيد و اجازه هاي Write , Read را به دلخواه نتظيم نماييد .
در تنظيمات Home Directory به صورت معمول از دايركتوري روي سيستم شما به عنوان دايركتوري ريشه استفاده مي نمايد اما چنان چه بر روي گزينه a share located on another computer كليك كنيد مي توانيد از داده هاي اشتراكي سيستم ديگر نيز استفاده كنيد كه بدين صورت تعريف شده است " \\{server}\{Share} " كه چنان چه اشتراك سيستم مورد نظر داراي مشخصات زير باشد :
اي پي : 192.168.1.2
اشتراك : FTP$
\\192.168.1.2\FTP$ : به اين صورت تعريف مي شود
حال جهت تنظيمات سرور وب بر روي Default Web Server كليك نماييد و چنين صفحه اي را مشاهده مي كنيد:
تصوير 4 - تنظيمات وب سرور
نكته : فولدر هاي IISadmin , IISSamples , MSADC را به دليل داشتن حفره هاي امنيتي كه به نفوذگر اجازه دسترسي مي دهد را حذف نماييد .
در قسمت Default Web Server بر روي آن كليك سمت راست نموده و Properties را انتخاب نماييد :
در Home Directory مي توانيد مسير دايركتوري ريشه سرور به صورت c:\inetpub\wwwroot تعريف شده است را تغيير دهيد و اجازه هايي نظير Read, Write را تعيين نماييد و ...
حال نوبت به تنظيمات اس-ام-تي-پي مي رسد , اولين نكته اي كه در مورد امنيت آن به نظر مي رسد غير فعال كردن حالت Anonymous است , كه با توجه به شكل زير تمامي مراحل قابل رويت است:
تصوير 5 - غير فعال سازي Anonymous در SMTP Server
نكته : تيك Anonymous Access را برداريد
:: حال بهتر است نكات امنيتي لازم را در اينجا ارائه كنم :
- غير فعال سازي WebDav
پروتكول وب داو استانداردي را جهت ويرايش و مديريت فايل ها در محيط وب را فراهم مي كند , اما آسيب پذيري در آن وجود دارد كه به نفوذگر اجازه دسترسي به سيستم و يا حملات DoS را مي دهد . جهت غير فعال سازي آن اين مراحل را دنبال كنيد :
1 . Regedit را در منوي ران وارد کنيد
2 . بعد به
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesW 3SVCParameters
برويد
3 . در منوي اديت يک Value را با چنين مشخصاتي وارد کنيد:
Data Type: DWORD
Value Name: DisableWebDAV
Value Data: 1 ( 0 means WebDAV is enabled )
- غير فعال سازي سرويس DCOM
يكي از آسيب پذيري مشهور ويندوز در سرويس دي كام است و با اينكه هات فيكس جهت رفع مشكل آن عرضه شده است باز هم امكان اسيب رساندن وجود دارد كه بهترين راه غير فعال سازي آن است :
1 . Regedit را در منوي ران وارد کنيد
2 . بعد به
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole] برويد
3 . اين تغيير را ايجاد كنيد :
"EnableDCOM"="N"
- حذف ديگر Sample Application ها
جهت بالا بردن امنيت بيشتر فولدر C:\winnt\help\iishelp را نيز حذف نماييد
- غير فعال سازي NetBIOS Null
اين آسيب پذيري امكان ايجاد حملات DoS و يا كرك پسورد هاي Share را مي دهد . جهت غير فعال سازي آن اين تغييرات را در رجيستري ايجاد نماييد :
Hive: HKEY_LOCAL_MACHINE
Key: System\CurrentControlSet\Control\LSA
Value Name: RestrictAnonymous
Value Type: REG_DWORD
Value Data: 2 (for Windows 2000) or 1 (for Windows NT)
- غير فعال سازي كامپوننت هاي COM
بعضي از كامپوننت هاي كام مورد احتياج نيستند و بايد حذف شوند . جهت اين كار فرمان زير را وارد كنيد :
regsvr32 scrrun.dll /u
- حذف دايركتوري مجازي IISADMPWD
اين دايركتوري در ويندوز 2000 و NT اجازه ريست پسورد ها را مي دهد . هنگامي كه IIS 5 نصب مي شود به صورت پيش فرض اين دايركتوري ايجاد نمي شود اما در بروز رساني IIS 4.0 به 5 اين دايركتوري وجود دارد . اگر شما از سرورتان جهت اينترانت استفاده نمي كنيد بايد آن را حذف نماييد .
- حذف Script Mapping هاي آسيب پذير
جهت حذف اين اسكريپت مپينگ ها كه بيشتر آن ها اجازه دسترسي به سيستم را مي دهند اين كارها را انجام دهيد :
1 . Internet Services Manager را باز كنيد
2 . Properties را انتخاب كنيد
3 . WWW Service را انتخاب نموده و Edit را كليك كنيد
4 . در Configuration , HomeDirectory را انتخاب نماييد
اين اسكريپت مپينگ ها را حذف نماييد:
Web-based password reset: .htr
Internet Database Connector: .idc (all IIS 5 Web sites should use ADO or similar technology)
Server-Side Includes: .stm, .shtm and .shtml
Internet Printing: .printer
Index Server: .htw, .ida and .idq
چندي از نكات امنيتي نيز در اينجا اشاره شد , البته اصول امنيتي فراتر از اين ها هستند ولي خوب اين دستورالعمل ها بيشتر حفره هاي امنيتي موجود را حذف مي كنند.
منبع: Persianhacker خدا بيامرز ! :sad:
