徹底杜絕IPC$攻擊
Windows 2000系統(tǒng)默認(rèn)允許用戶通過IPC$連接獲得系統(tǒng)內(nèi)所有賬號(hào)和共享資源列表,它雖然為局域網(wǎng)用戶共享資源提供方便,但也可能被任何一個(gè)“心懷叵測”的人所利用,給Windows 2000系統(tǒng)帶來嚴(yán)重安全隱患。即使通過修改“賬戶策略”增強(qiáng)系統(tǒng)安全,也是種“治標(biāo)不治本”方法,還是不能杜絕IPC$入侵。
1. 禁止IPC$空連接
在Windows 2000服務(wù)器端,點(diǎn)擊“開始→運(yùn)行”,在運(yùn)行對(duì)話框中輸入“Regedit”命令,回車后,彈出注冊表編輯器窗口,依次展開“HKEY_LOCAL_MACHINE/SYSTEM
/CurrentControlSet/Control/Lsa”,在右欄中找到“restrictanonymous” 項(xiàng),將其鍵值修改為“1”,重新啟動(dòng)系統(tǒng)后就禁止IPC$空連接了。
2. 禁用默認(rèn)隱藏共享
Windows 2000系統(tǒng)默認(rèn)情況下,磁盤所有盤符的狀態(tài)都為隱藏共享,即使取消共享,下次重啟后所有盤符依然自動(dòng)共享。這種共享給Windows 2000系統(tǒng)帶來安全隱患,因此要禁用默認(rèn)隱藏共享。
在注冊表編輯器左欄中,依次展開“HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/
Services/LanmanServer/Parameters”,在右欄中找到“AutoShareServer(DWORD)”鍵,將其鍵值改為“00000000”。
如果上面AutoShareServer鍵不存在,我們可以進(jìn)行手工創(chuàng)建,在右欄空白處單擊右鍵,選擇“新建→雙字節(jié)值”,然后修改主鍵名稱為“AutoShareServer”,其鍵值為“00000000”。最后重新啟動(dòng)Windows 2000系統(tǒng),就取消了默認(rèn)隱藏共享。
慎用Guest賬號(hào)
在Windows工作組環(huán)境中,一般情況下,用戶要使用Guest賬號(hào)訪問共享資源。雖然Guest賬號(hào)為用戶訪問共享資源提供方便,但卻給服務(wù)器留下嚴(yán)重安全隱患,因此建議禁用Guest賬號(hào)。
在Windows 2000系統(tǒng)中,進(jìn)入“控制面板→管理工具”,運(yùn)行“計(jì)算機(jī)管理”工具,然后依次展開“計(jì)算機(jī)管理(本地)→系統(tǒng)工具→本地用戶和組→用戶”,找到Guest賬戶。右鍵單擊該賬號(hào),在Guest屬性對(duì)話框中,選中“賬戶已停用”選項(xiàng),單擊“確定”后,就禁用了Guest賬戶,這時(shí)該賬號(hào)出現(xiàn)一個(gè)紅色的叉號(hào)。
此外,還可以通過修改組策略不允許Guest賬號(hào)從網(wǎng)絡(luò)訪問本機(jī),達(dá)到禁用的目的。單擊“開始→運(yùn)行”,在運(yùn)行框中輸入“gpedit.msc”,在組策略窗口中依次展開“本地計(jì)算機(jī)策略→計(jì)算機(jī)配置→Windows設(shè)置→安全設(shè)置→本地策略→用戶權(quán)力指派”(如圖),在右欄中找到“拒絕從網(wǎng)絡(luò)訪問這臺(tái)計(jì)算機(jī)”項(xiàng),打開后將Guest賬號(hào)添加到列表中,接著打開“從網(wǎng)絡(luò)訪問此計(jì)算機(jī)”項(xiàng),在屬性窗口中刪除Guest賬號(hào)。

禁用了Guest賬號(hào)后,用戶如何訪問共享資源呢?對(duì)于規(guī)模較大的網(wǎng)絡(luò),使用域用戶賬號(hào)來控制對(duì)共享資源的訪問。小規(guī)模的網(wǎng)絡(luò)中,可以采用如下方法實(shí)現(xiàn):在服務(wù)器端新建一個(gè)用戶賬號(hào),并指定該賬號(hào)的訪問權(quán)限。然后在客戶機(jī)中新建一個(gè)相同用戶名和密碼的賬號(hào),使用此賬號(hào)登錄客戶機(jī)后,就能安全訪問該賬號(hào)所允許的共享資源,但這種方法要為網(wǎng)絡(luò)中的每個(gè)客戶機(jī)都要?jiǎng)?chuàng)建一個(gè)賬號(hào)。如果大家感覺麻煩,也可以使用第三方文件共享軟件。
我的“FSO”你別動(dòng)
為了實(shí)現(xiàn)企業(yè)網(wǎng)絡(luò)化辦公,需要啟用Windows 2000系統(tǒng)的IIS服務(wù),它對(duì)ASP有良好的支持,因此很多企業(yè)網(wǎng)的辦公系統(tǒng)、論壇、留言板都采用ASP編程。但ASP中的FSO(FileSystemObject)對(duì)象卻有很大的安全隱患,一旦被“不懷好意”者利用,會(huì)導(dǎo)致整個(gè)系統(tǒng)的癱瘓,最簡單的方法就是禁用它。單擊“開始→運(yùn)行”,在對(duì)話框中輸入“RegSvr32 /u scrrun.dll”命令,回車后彈出信息對(duì)話框,點(diǎn)擊“確定”按鈕后就禁用了FSO對(duì)象。如果想再次使用FSO對(duì)象也很簡單,在運(yùn)行對(duì)話框中輸入“RegSvr32 scrrun.dll”即可。
新聞熱點(diǎn)
疑難解答
圖片精選