look:本文寫給想在win2k平臺上架設一個安全web站臺的朋友們。 所需要的程序： apache http://www.apache.org/dist/httpd/binaries/win32/ 我們選用apache_1.3.28-win32-x86-no_src.msi，或者apache_2.0.47-win32-x86-no_ssl.msi 都可以，勿使用低版本的程序，它們有缺陷，很容易遭到internet上的攻擊 php http://cn2.php.net/get/php-4.3.3-Win32.zip/from/a/mirror php-4.3.3 mysql http://www.mysql.com/get/Downloa ... 5-win.zip/from/pick mysql-4.0.15 注:低于這個版本的mysql,有缺陷,勿使用 ZendOptimizer-2[1].1.0a-Windows-i386.exe php的優化器，支持加密php腳本 MySQL-Front 一個運行于ms平臺的gui的mysql的管理器，非常好用 phpMyAdmin-2.5.0-php.zip 基于php腳本的mysql管理器 phpencode.exe php加密編譯器 install~ 1.安裝apache 由于安裝很簡單，pass~!,只是要注意的是，請勿安裝到系統分區上 因為這樣，無論從備份,維護，災難性恢復上，都是有優勢的. 假設安裝到了d:// 2.安裝php 具體安裝過程請參考php目錄里的install.txt 需要注意的是，請勿使用cgi方式 以下為引用資料 ------------------------------------------------------------------ Title 17/2/2002 PHP for Windows Arbitrary Files Execution (GIF, MP3) Summary Through PHP.EXE, an attacker can cause PHP to interpret any file as a PHP file, even if its extensions are not PHP. This would enable the remote attacker to execute arbitrary commands, leading to a system compromise. Details Vulnerable systems: PHP version 4.1.1 under Windows PHP version 4.0.4 under Windows An attacker can upload innocent looking files (with mp3, txt or gif extensions) through any uploading systems such as WebExplorer (or any other PHP program that has uploading capabilities), and then request PHP to execute it. Example: After uploading a file a /"gif/" extension (in our example huh.gif) that contains PHP code such as: #------------ <? phpinfo(); ?> #------------ An attacker can type the following address to get in to cause the PHP file to be executed: http://www.example.com/php/php.exe/UPLOAD_DIRECTORY/huh.gif Notice: php/php.exe is included in the URL. Additional information The information has been provided by CompuMe and RootExtractor. ps:大部分版本都有這個毛病.包括一些最新版本，所以請不要以cgi安裝!切記... 3.安裝mysql 安裝到d://，也很簡單，具體過程pass. 只是mysql安裝后的默認設置實在讓人擔心 以下引用我原來的文章 ----------------------------------------------------------------------------------- 2002/12/21 寫在前面:無事可做，生命被消耗，痛~~~啊，所以就寫了，本文no原創，整理而成！ 默認安裝的mysql服務不安全因素涉及的內容有： 一.mysql默認的授權表 二.缺乏日志能力 三.my.ini文件泄露口令 四.服務默認被綁定全部的網絡接口上 五.默認安裝路徑下的mysql目錄權限 ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 一.mysql默認的授權表 由于mysql對身份驗證是基于mysql這個數據庫的，也叫授權表。所有的權限設置都在這里了。 我們只討論最為重要的一個表 user表。它控制的是接受或拒絕連接。
