windows2003 服务器安全设置大全

莱易电子

参考了网络上很多关于WIN2003的安全设置以及自己动手做了一些实践，综合了这些安全设置文章整理而成，希望对大家有所帮助，另外里面有不足之处还请大家多多指点，然后给补上，谢谢！
一、系统的安装　　
１、按照Windows2003安装光盘的提示安装，默认情况下2003没有把IIS6.0安装在系统里面。
２、IIS6.0的安装
　　开始菜单—>控制面板—>添加或删除程序—>添加/删除Windows组件
　　应用程序 ———ASP.NET（可选）
　　　　　　　|——启用网络 COM+ 访问（必选）
　　　　　　　|——Internet 信息服务(IIS)———Internet 信息服务管理器（必选）　
　　　　　　　　　　　　　　　　　　　　　 |——公用文件（必选）
　　　　　　　　　　　　　　　　　　　　　 |——万维网服务———Active Server pages（必选）
　　　　　　　　　　　　　　　　　　　　　　 　　　　　　　|——Internet 数据连接器（可选）
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 |——WebDAV 发布（可选）
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 |——万维网服务（必选）
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 |——在服务器端的包含文件（可选）
　　然后点击确定—>下一步安装。（具体见本文附件1）
３、系统补丁的更新
　　点击开始菜单—>所有程序—>Windows Update
　　按照提示进行补丁的安装。
４、备份系统
　　用GHOST备份系统。
５、安装常用的软件
　　例如：杀毒软件、解压缩软件等；安装完毕后,配置杀毒软件,扫描系统漏洞,安装之后用GHOST再次备份系统。
6、先关闭不需要的端口 开启防火墙 导入IPSEC策略
在”网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP），由于要控制带宽流量服务，额外安装了Qos数据包计划程序。在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。在高级选项里，使用"Internet连接防火墙"，这是windows 2003 自带的防火墙，在2000系统里没有的功能，虽然没什么功能，但可以屏蔽端口，这样已经基本达到了一个IPSec的功能。
修改3389远程连接端口
修改注册表.
开始--运行--regedit
依次展开 HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/
TERMINAL SERVER/WDS/RDPWD/TDS/TCP
右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000 )
HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINAL SERVER/
WINSTATIONS/RDP-TCP/
右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000 )
注意：别忘了在WINDOWS2003自带的防火墙给+上10000端口
修改完毕.重新启动服务器.设置生效.
二、用户安全设置
1、禁用Guest账号
在计算机管理的用户里面把Guest账号禁用。为了保险起见，最好给Guest加一个复杂的密码。你可以打开记事本，在里面输入一串包含特殊字符、数字、字母的长字符串，然后把它作为Guest用户的密码拷进去。
2、限制不必要的用户
去掉所有的Duplicate User用户、测试用户、共享用户等等。用户组策略设置相应权限，并且经常检查系统的用户，删除已经不再使用的用户。这些用户很多时候都是黑客们入侵系统的突破口。
3、把系统Administrator账号改名
大家都知道，Windows 2003 的Administrator用户是不能被停用的，这意味着别人可以一遍又一遍地尝试这个用户的密码。尽量把它伪装成普通用户，比如改成Guesycludx。
4、创建一个陷阱用户
什么是陷阱用户?即创建一个名为“Administrator”的本地用户，把它的权限设置成最低，什么事也干不了的那种，并且加上一个超过10位的超级复杂密码。这样可以让那些 Hacker们忙上一段时间，借此发现它们的入侵企图。
5、把共享文件的权限从Everyone组改成授权用户
任何时候都不要把共享文件的用户设置成“Everyone”组，包括打印共享，默认的属性就是“Everyone”组的，一定不要忘了改。
6、开启用户策略
使用用户策略，分别设置复位用户锁定计数器时间为20分钟，用户锁定时间为20分钟，用户锁定阈值为3次。 （该项为可选）
7、不让系统显示上次登录的用户名
默认情况下，登录对话框中会显示上次登录的用户名。这使得别人可以很容易地得到系统的一些用户名，进而做密码猜测。修改注册表可以不让对话框里显示上次登录的用户名。方法为：打开注册表编辑器并找到注册表“HKLMSoftwareMicrosoftWindows TCurrentVersionWinlogonDont-DisplayLastUserName”，把REG_SZ的键值改成1。
密码安全设置
1、使用安全密码
一些公司的管理员创建账号的时候往往用公司名、计算机名做用户名，然后又把这些用户的密码设置得太简单，比如“welcome”等等。因此，要注意密码的复杂性，还要记住经常改密码。
2、设置屏幕保护密码
这是一个很简单也很有必要的操作。设置屏幕保护密码也是防止内部人员破坏服务器的一个屏障。
3、开启密码策略
注意应用密码策略，如启用密码复杂性要求，设置密码长度最小值为6位 ，设置强制密码历史为5次，时间为42天。
4、考虑使用智能卡来代替密码
对于密码，总是使安全管理员进退两难，密码设置简单容易受到黑客的攻击，密码设置复杂又容易忘记。如果条件允许，用智能卡来代替复杂的密码是一个很好的解决方法。
三、系统权限的设置
１、磁盘权限
　　系统盘及所有磁盘只给 Administrators 组和 SYSTEM 的完全控制权限
　　系统盘Documents and Settings 目录只给 Administrators 组和 SYSTEM 的完全控制权限
　　系统盘Documents and SettingsAll Users 目录只给 Administrators 组和 SYSTEM 的完全控制权限
　　系统盘WindowsSystem32cacls.exe、cmd.exe、net.exe、net1.exe、ftp.exe、tftp.exe、telnet.exe 、     netstat.exe、regedit.exe、at.exe、attrib.exe、format.com、del文件只给 Administrators 组和SYSTEM 的完全  控制权限  
另将<systemroot>System32cmd.exe、format.com、ftp.exe转移到其他目录或更名
　　Documents and Settings下所有些目录都设置只给adinistrators权限。并且要一个一个目录查看，包括下面的所有子目录。
删除c:inetpub目录
２、本地安全策略设置
　　开始菜单—>管理工具—>本地安全策略
　　A、本地策略——>审核策略
　　审核策略更改　　　成功　失败　　
　　审核登录事件　　　成功　失败
　　审核对象访问　　　　　　失败
　　审核过程跟踪　　　无审核
　　审核目录服务访问　　　　失败
　　审核特权使用　　　　　　失败
　　审核系统事件　　　成功　失败
　　审核账户登录事件　成功　失败
　　审核账户管理　　　成功　失败
　　B、本地策略——>用户权限分配
　　关闭系统：只有Administrators组、其它全部删除。
　　通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除
　　C、本地策略——>安全选项
　　交互式登陆：不显示上次的用户名　　　　　　　启用
　　网络访问：不允许SAM帐户和共享的匿名枚举　 启用
　　网络访问：不允许为网络身份验证储存凭证　　　启用
　　网络访问：可匿名访问的共享　　　　　　　　　全部删除
　　网络访问：可匿名访问的命　　　　　　　　　　全部删除
　　网络访问：可远程访问的注册表路径　　　　　　全部删除
　　网络访问：可远程访问的注册表路径和子路径　　全部删除
　　帐户：重命名来宾帐户　　　　　　　　　　　　重命名一个帐户
　　帐户：重命名系统管理员帐户　　　　　　　　　重命名一个帐户
３、禁用不必要的服务  开始-运行-services.msc
    TCP/IPNetBIOS Helper提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享
    文件、打印和登录到网络
    Server支持此计算机通过网络的文件、打印、和命名管道共享
　　Computer Browser 维护网络上计算机的最新列表以及提供这个列表
    Task scheduler 允许程序在指定时间运行
    Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息
　　Distributed File System: 局域网管理共享文件，不需要可禁用
　　Distributed linktracking client：用于局域网更新连接信息，不需要可禁用
　　Error reporting service：禁止发送错误报告
　　Microsoft Serch：提供快速的单词搜索，不需要可禁用
　　NTLMSecuritysupportprovide：telnet服务和Microsoft Serch用的，不需要可禁用
　　PrintSpooler：如果没有打印机可禁用
　　Remote Registry：禁止远程修改注册表
　　Remote Desktop Help Session Manager：禁止远程协助
    Workstation  关闭的话远程NET命令列不出用户组
　　以上是在Windows Server 2003 系统上面默认启动的服务中禁用的，默认禁用的服务如没特别需要的话不要启动。
４、修改注册表
修改注册表，让系统更强壮
1、隐藏重要文件/目录可以修改注册表实现完全隐藏
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows Current-VersionExplorerAdvancedFolderHi-ddenSHOWALL”，鼠标右击 “CheckedValue”，选择修改，把数值由1改为0
2、防止SYN洪水攻击
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters
新建DWORD值，名为SynAttackProtect，值为2
新建EnablePMTUDiscovery REG_DWORD 0
新建NoNameReleaseOnDemand REG_DWORD 1
新建EnableDeadGWDetect REG_DWORD 0
新建KeepAliveTime REG_DWORD 300,000
新建PerformRouterDiscovery REG_DWORD 0
新建EnableICMPRedirects REG_DWORD 0
3. 禁止响应ICMP路由通告报文
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersInterfacesinterface
新建DWORD值，名为PerformRouterDiscovery 值为0
4. 防止ICMP重定向报文的攻击
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters
将EnableICMPRedirects 值设为0
5. 不支持IGMP协议
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters
新建DWORD值，名为IGMPLevel 值为0
6、禁止IPC空连接：
cracker可以利用net use命令建立空连接，进而入侵，还有net view，nbtstat这些都是基于空连接的，禁止空连接就好了。
Local_MachineSystemCurrentControlSetControlLSA-RestrictAnonymous 把这个值改成”1”即可。
7、更改TTL值
cracker可以根据ping回的TTL值来大致判断你的操作系统，如：
TTL=107(WINNT);
TTL=108(win2000);
TTL=127或128(win9x);
TTL=240或241(linux);
TTL=252(solaris);
TTL=240(Irix);
实际上你可以自己改的：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters：DefaultTTL REG_DWORD 0-0xff(0-255 十进制,默认值128)改成一个莫名其妙的数字如258，起码让那些小菜鸟晕上半天，就此放弃入侵你也不一定哦
8. 删除默认共享
   有人问过我一开机就共享所有盘，改回来以后，重启又变成了共享是怎么回事，这是2K为管理而设置的默认共享，HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters：AutoShareServer类型是REG_DWORD把值改为0即可
9. 禁止建立空连接
默认情况下，任何用户通过通过空连接连上服务器，进而枚举出帐号，猜测密码。我们可以通过修改注册表来禁止建立空连接：
Local_MachineSystemCurrentControlSetControlLSA-RestrictAnonymous 的值改成”1”即可。
10、建立一个记事本，填上以下代码。保存为*.bat并加到启动项目中
net share c$ /del
net share d$ /del
net share e$ /del
net share f$ /del
net share ipc$ /del
net share admin$ /del
5、IIS站点设置：
1、将IIS目录＆数据与系统磁盘分开，保存在专用磁盘空间内。
2、启用父级路径
3、在IIS管理器中删除必须之外的任何没有用到的映射（保留asp等必要映射即可）
4、在IIS中将HTTP404 Object Not Found出错页面通过URL重定向到一个定制HTM文件
5、Web站点权限设定（建议）
读            允许
写            不允许
脚本源访问      不允许
目录浏览      建议关闭
日志访问      建议关闭
索引资源      建议关闭
执行         推荐选择 “仅限于脚本”
6、建议使用W3C扩充日志文件格式，每天记录客户IP地址，用户名，服务器端口，方法，URI字根，HTTP状态，用户代理，而且每天均要审查日志。（最好不要使用缺省的目录，建议更换一个记日志的路径，同时设置日志的访问权限，只允许管理员和system为Full Control）。
7、程序安全:
1) 涉及用户名与口令的程序最好封装在服务器端，尽量少的在ASP文件里出现，涉及到与数据库连接地用户名与口令应给予最小的权限;
2) 需要经过验证的ASP页面，可跟踪上一个页面的文件名，只有从上一页面转进来的会话才能读取这个页面。
3) 防止ASP主页.inc文件泄露问题;
4) 防止UE等编辑器生成some.asp.bak文件泄露问题。
6、IIS权限设置的思路
?要为每个独立的要保护的个体（比如一个网站或者一个虚拟目录）创建一个系统用户，让这个站点在系统中具有惟一的可以设置权限的身份。
?在IIS的【站点属性或者虚拟目录属性→目录安全性→匿名访问和验证控制→编辑→匿名访问→编辑】填写刚刚创建的那个用户名。
?设置所有的分区禁止这个用户访问，而刚才这个站点的主目录对应的那个文件夹设置允许这个用户访问（要去掉继承父权限，并且要加上超管组和SYSTEM组）。
7、卸载最不安全的组件
最简单的办法是直接卸载后删除相应的程序文件。将下面的代码保存为一个.BAT文件，( 以下均以 WIN2000 为例，如果使用2003，则系统文件夹应该是 C:WINDOWS )
regsvr32/u C:WINDOWSSystem32wshom.ocx
del C:WINDOWSSystem32wshom.ocx
regsvr32/u C:WINDOWSsystem32shell32.dll
del C:WINNTWINDOW***ell32.dll
然后运行一下，WScript.Shell, Shell.application, WScript.Network就会被卸载了。可能会提示无法删除文件，不用管它，重启一下服务器，你会发现这三个都提示“×安全”了。

莱易电子

　一、关闭电脑大门，禁止新建用户
在入侵了一台电脑后，黑客一般先会使用“net user用户名 密码/add”命令新建一个用户，并用“net localgroup administrators 用户名/add”命令，将新用户添加到Administrator管理员组中。这样黑客就可以用添加的用户名登录，并拥有管理员权限了。如何才能防止用户添加新用户呢？
可以看到在黑客添加新用户的过程中，net命令是必不可少的，如果让黑客无法运行net命令的话，也就间接的阻止了黑客新建用户。net命令的执行文件位于系统目录“c:\windows\system32”下，文件名为“net.exe”，我们只要将此文件重命名，改为如“netno.exe”等。当黑客入侵后添加新用户时，就会显示命令错误，从而无法新建用户了。

   这个说明很坑爹，net.exe无论是删除还是重命名，系统都会自动重新生成一个，像幽灵一样挥之不去。肿么办？设置权限，禁止所有的用户的权限，反正我是不怎么用net命令，然后就不能使用了。

　二、陌生人不得入内，禁止新建用户登录
如果碰上比较厉害的黑客，他们可能会使出“杀手锏”，自己上传一个“net.exe”文件，从而恢复新建用户名的功能。魔高一尺，道高一丈，我们依然有办法对付这招——直接禁止新建的用户登录，对黑客下一道逐客令，黑客即使拥有管理员帐号，也无法登录。
打开资源管理器，定位到文件夹“C:\Documents and Settings”，可以看到在此文件夹下有以系统中用户名命名的目录，这些目录中就包含了每个用户登录信息。其中“Default User”目录管理着所有用户默认配置，每个新建的用户在首次登录时，都必须从这个目录中调用一些信息。首先将此文件夹改名，例如可改为“No Users”。
当黑客新建了一个普通权限的用户，在第一次登录时将出现错误无法登录成功，会提示“……无法加载您的配置文件……”，这就禁止了黑客以新帐号登录。但是如果黑客新建立的是一个管理员权限用户时，虽然也会弹出无法加载配置文件的提示，但是系统还会允许新建的管理员登录。这是因为存放管理员的默认配置文件存放在另一个目录中，路径为“C:\WINDOWS\system32 \config\systemprofile”，将“systemprofile”文件夹改名后，即可防止任意新建的管理员用户登录了。

3 y( j8 C$ t1 g$ g/ W" m# J

   systemprofile这个文件是不能重命名的，也是权限问题，可以做如下修改，方法一：赋予账户所有权限然后重命名，方法二：禁止所有用户访问，然后就OK了。坏处是万一你当前用户出问题了，那只有重做系统了，或者进PE把权限改回来。

三、揪出克隆的帐号
经过上面的两个步骤，黑客已经无法在我们的系统中添加任何帐户了，但是这还不能保证帐号足够安全，因为高明的黑客一般是不会主动添加帐号的，而是采用最隐藏厉害的“帐号克隆”。顾名思义，帐号克隆就是对某个帐号所具有的权限进行完整的复制，黑客一般是对系统中已有的帐号Guest进行复制，克隆提升成具有管理员权限的用户帐号，而被克隆的帐号往往看不出丝毫破绽，依然显示为原来的普通权限。
1.克隆帐号现身
具体如何克隆帐号这里就不多说了，我们主要来看看如何让克隆帐号现身。一般克隆的Guest帐号，在“用户帐户”管理器中会显示为Guest组，而且是未启用激活状态，但是却具有管理员权限，登录后可进行各种管理员权限的操作，危害十分的大。如何才能检测出这类克隆帐号呢？
这里使用一款名为LP_Check的帐号克隆检测工具，程序运行后检测系统中的所有用户帐号信息，如果发现某一个帐号有问题的话，会在列表中以红色三角符号重点标记出来，并在“Important”中提示发现隐藏或克隆的管理员帐号。

   　2.清除克隆帐号
检测出了系统中的克隆管理员帐号后，需要清除已克隆的帐号。但是由于Guest帐号是内置帐号，因此无法直接通过帐号管理器将其删除。虽然可以更改该帐号的密码，让黑客无法用该帐号登录，不过该帐号依然还是具有管理员权限，非常的危险，因此需要清除克隆帐号所具有的权限。
在命令提示符下进入MT所在的文件夹，执行命令“mt-killuser guest”，提示“Kill User: guest Success!”删除Guest帐号成功。执行命令“net user”，显示系统中的所有用户列表，可以看到Guest帐号已经不存在了。最后再执行命令“net user guest”，重新添加一个Guest帐号，新添加的帐号权限就恢复正常了。

& \0 c0 U7 c/ \2 Y1 Y) i

=================================================

/ w; N# t. G! z! \

 

最后在此奉劝所有的所谓的“黑客”们，你可以入侵别人的服务器，但是最好不要私自更改人家系统的默认设置或者运行特别耗资源的软件，你要是挂个小网站或者运行个小程序倒无所谓，大都可以容忍，你搞得人家服务器都快瘫痪了，网站都打不开，铁定会重做系统，反正现在重做系统也简单。而且会找到相应的漏洞堵上。

莱易电子

win2003服务器安全设置教程

) N$ ]! o$ V# w

服务器安全设置

. | J3 J9 e' f, K+ Y5 ^

1、系统盘和站点放置盘必须设置为NTFS格式，方便设置权限。

: ^5 b) o1 P: p+ e$ j

2、系统盘和站点放置盘除administrators 和system的用户权限全部去除。

3、启用windows自带防火墙，只保留有用的端口，比如远程和Web、Ftp(3389、80、21)等等，有邮件服务器的还要打开25和130端口。

/ J8 m: ]5 R+ M9 G: C- z/ T

4、安装好SQL后进入目录搜索 xplog70 然后将找到的三个文件改名或者删除。

% s0 O* e4 \0 A( b. N7 Y5 C* ~) a

5、更改sa密码为你都不知道的超长密码，在任何情况下都不要用sa这个帐户。

6 y5 _ |$ c# X: _

6、改名系统默认帐户名并新建一个Administrator帐户作为陷阱帐户，设置超长密码，并去掉所有用户组。（就是在用户组那里设置为空即可。让这个帐号不属于任何用户组—样）同样改名禁用掉Guest用户。

6 A9 C: ^8 k" ?! I8 j t

4 N/ H) f6 W! S6 C Y

7、配置帐户锁定策略（在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-Windows设置-安全设置-账户策略-账户锁定策略，将账户设为“三次登陆无效”，“锁定时间30分钟”，“复位锁定计数设为30分钟”。）

" b0 Y$ E$ U: ?

/ b2 W( L* x1 Q0 i

8、在安全设置里本地策略-安全选项将

4 n) w! }4 |& `2 g J! Q; g* R

网络访问：可匿名访问的共享；

网络访问：可匿名访问的命名管道；

网络访问：可远程访问的注册表路径；

网络访问：可远程访问的注册表路径和子路径；

以上四项清空。

. t! H& |2 V) q/ R. V

1 v- S! H( e7 H* R) Q" h. V y

9、在安全设置里 本地策略-安全选项 通过终端服务拒绝登陆 加入

9 ~, W/ X7 R# l$ g7 K3 j8 }# o9 M7 j$ i3 U- C$ p! p4 y3 Z- y. H# T- a: ^ t; \9 L1 @0 A5 Q

以下为引用的内容： ASPNET Guest IUSR_***** IWAM_***** NETWORK SERVICE SQLDebugger

4 B9 O" P" Y$ ^2 W

（****表示你的机器名,具体查找可以点击 添加用户或组  选  高级  选 立即查找 在底下列出的用户列表里选择. 注意不要添加进user组和administrators组 添加进去以后就没有办法远程登陆了。）

' \, | D+ v7 P: Y

1 h4 F2 F0 N$ C. s. w! w, a# i

10、去掉默认共享，将以下文件存为reg后缀，然后执行导入即可。

Windows Registry Editor Version 5.00

9 c+ T2 F2 _& l( t% Q+ s5 K$ ~

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]

"AutoShareServer"=dword:00000000

"AutoSharewks"=dword:00000000

; ^/ F. }. e! h. d

11、 禁用不需要的和危险的服务，以下列出服务都需要禁用。

3 L2 W! C, z2 m I

Alerter  发送管理警报和通知

5 u* P" o) }, m& v2 e& A6 [

Computer Browser:维护网络计算机更新

Distributed File System: 局域网管理共享文件

; z/ j! ^$ i4 B- E' O" u6 L# ]0 A1 U

Distributed linktracking client   用于局域网更新连接信息

Q' H8 ^3 U8 z& P( f& ~

Error reporting service   发送错误报告

Remote Procedure Call (RPC) Locator   RpcNs*远程过程调用 (RPC)

- S1 u& I3 ?- q5 `: \4 j, Z0 ]

Remote Registry  远程修改注册表

Removable storage  管理可移动媒体、驱动程序和库

& B: F1 K; b8 s: B

Remote Desktop Help Session Manager  远程协助

Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务

Messenger  消息文件传输服务

Net Logon   域控制器通道管理

' U: e1 M& c1 \( c3 i& P+ F# l

NTLMSecuritysupportprovide  telnet服务和Microsoft Serch用的

PrintSpooler  打印服务

3 _4 T% b6 G2 z( ^+ z6 z. ^/ W. j# g

telnet   telnet服务

, R& p8 E! |* X4 ~% d+ m

Workstation   泄漏系统用户名列表

$ f2 a% _: }; {) B8 c$ t! f5 W2 I% E

12、更改本地安全策略的审核策略

2 Z% X/ k$ U+ J

账户管理      成功 失败

登录事件      成功 失败

' {3 d# a: s$ u1 Q( L. g, P7 V

对象访问      失败

策略更改      成功 失败

2 x5 c$ ~+ [& [! T! p

特权使用      失败

^" q7 r1 l; m, F C2 T3 P

系统事件      成功 失败

* y8 @( H' P7 e' w; u5 G

目录服务访问  失败

9 Q1 k; \+ L( g5 P

账户登录事件  成功 失败

3 I3 ^8 p) W: G' m3 l9 m

13、更改有可能会被提权利用的文件运行权限，找到以下文件，将其安全设置里除administrators用户组全部删除，重要的是连system也不要留。

8 J" E3 R" V5 o3 Z( ~' l

net.exe

1 i5 I& ?) D+ ^' P) I8 n

net1.exe

5 S6 P. `9 U2 y

cmd.exe

, d9 K/ S& U' a+ k4 G T: R2 x

tftp.exe

3 }- G& s4 F7 h* m5 Q; d: O

netstat.exe

regedit.exe

at.exe

: v7 D/ I" [: m& z% U

attrib.exe

cacls.exe

2 v9 E* j& w7 F' T, ^

format.com

c.exe 特殊文件 有可能在你的计算机上找不到此文件。

在搜索框里输入

; b0 i. \& o( [

"net.exe","net1.exe","cmd.exe","tftp.exe","netstat.exe","regedit.exe","at.exe","attrib.exe","cacls.exe","format.com","c.exe"

点击搜索 然后全选 右键 属性 安全

1 N/ L$ U: _( e) O7 B9 t

以上这点是最最重要的一点了，也是最最方便减少被提权和被破坏的可能的防御方法了。

1 f, a! F) O2 K4 j+ E4 ~( l

14、后备工作，将当前服务器的进程抓图或记录下来，将其保存，方便以后对照查看是否有不明的程序。将当前开放的端口抓图或记录下来，保存，方便以后对照查看是否开放了不明的端口。当然如果你能分辨每一个进程，和端口这一步可以省略。