Windows Server 2003系统最完美的安全权限设置方案

Windows Server 2003系统最完美的安全权限设置方案c服务器安全设置IIS6.0的安装开始菜单控制面板添加或删除程序添加/删除Windows组件应用程序（可选）|启用网络COM+c服务器安全设置>> IIS6.0的安装开始菜单—>控制面板—>添加或删除程序—>添加/删除Windows组件应用程序———（可选）|——启用网络COM+ 访问（必选）|——Internet 信息服务(IIS)———Internet 信息服务管理器（必选）|——公用文件（必选）|——万维网服务———Active Server pages（必选）|——Internet 数据连接器（可选）|——WebDAV 发布（可选）|——万维网服务（必选）|——在服务器端的包含文件（可选）>>在”网络连接”里，把不需要的协议和服务都删掉，这里只安装了基本的Internet协议（TCP/IP）和Microsoft网络客户端。

在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS（S）"。

>>在“本地连接”打开Windows 2003 自带的防火墙，可以屏蔽端口，基本达到一个IPSec 的功能,只保留有用的端口,比如远程(3389)和Web(80),Ftp(21),邮件服务器(25,110),https(443),SQL(1433)>> IIS (Internet信息服务器管理器) 在"主目录"选项设置以下读允许写不允许脚本源访问不允许目录浏览建议关闭记录访问建议关闭索引资源建议关闭执行权限推荐选择“纯脚本”>>建议使用W3C扩充日志文件格式，每天记录客户IP地址，用户名，服务器端口，方法，URI字根，HTTP状态，用户代理，而且每天均要审查日志。

(最好不要使用缺省的目录，建议更换一个记日志的路径，同时设置日志的访问权限，只允许管理员和system为Full Control)。

>>在IIS6.0 -本地计算机- 属性- 允许直接编辑配置数据库在IIS中属性->主目录->配置->选项中。

>>在网站把”启用父路径“前面打上勾>>在IIS中的Web服务扩展中选中Active Server Pages，点击“允许”>>优化IIS6应用程序池1、取消“在空闲此段时间后关闭工作进程（分钟）”2、勾选“回收工作进程（请求数目）”3、取消“快速失败保护”>>解决SERVER 2003不能上传大附件的问题在“服务”里关闭iis admin service 服务。

找到windows\system32\inetsrv\ 下的metabase.xml 文件。

找到ASPMaxRequestEntityAllowed 把它修改为需要的值（可修改为20M即：20480000）存盘，然后重启iis admin service 服务。

>>解决SERVER 2003无法下载超过4M的附件问题在“服务”里关闭iis admin service 服务。

找到windows\system32\inetsrv\ 下的metabase.xml 文件。

找到AspBufferingLimit 把它修改为需要的值（可修改为20M即：20480000）存盘，然后重启iis admin service 服务。

>>超时问题解决大附件上传容易超时失败的问题在IIS中调大一些脚本超时时间，操作方法是：在IIS的“站点或虚拟目录”的“主目录”下点击“配置”按钮，设置脚本超时时间为：300秒(注意：不是Session超时时间)解决通过WebMail写信时间较长后，按下发信按钮就会回到系统登录界面的问题适当增加会话时间(Session)为60分钟。

在IIS站点或虚拟目录属性的“主目录”下点击“配置-->选项”，就可以进行设置了(Windows 2003默认为20分钟)>>修改3389远程连接端口[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\Wds\rdpwd\Tds\tcp]"PortNumber"=dword:0000端口号[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp]"PortNumber"=dword:0000端口号设置这两个注册表的权限, 添加“IUSR”的完全拒绝禁止显示端口号>>本地策略--->用户权限分配关闭系统：只有Administrators组、其它全部删除。

通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除>>在安全设置里本地策略-用户权利分配，通过终端服务拒绝登陆加入ASPNETIUSR_IWAM_NETWORK SERVICE(注意不要添加进user组和administrators组添加进去以后就没有办法远程登陆了)>>在安全设置里本地策略-安全选项网络访问:可匿名访问的共享;网络访问:可匿名访问的命名管道;网络访问:可远程访问的注册表路径;网络访问:可远程访问的注册表路径和子路径;将以上四项全部删除>>不允许SAM 账户的匿名枚举更改为"已启用">>不允许SAM 账户和共享的匿名枚举更改为"已启用" ;>>网络访问: 不允许存储网络身份验证的凭据或.NET Passports 更改为"已启用" ;>>网络访问.限制匿名访问命名管道和共享,更改为"已启用" ;将以上四项通通设为“已启用”>>计算机管理的本地用户和组禁用终端服务(TsInternetUser), SQL服务(SQLDebugger), SUPPORT_388945a0>>禁用不必要的服务sc config AeLookupSvc start= AUTOsc config Alerter start= DISABLEDsc config ALG start= DISABLEDsc config AppMgmt start= DEMANDsc config aspnet_state start= DEMANDsc config AudioSrv start= DISABLEDsc config BITS start= DEMANDsc config Browser start= DEMANDsc config CiSvc start= DISABLEDsc config ClipSrv start= DISABLEDsc config clr_optimization_v2.0.50727_32 start= DEMAND sc config COMSysApp start= DEMANDsc config CryptSvc start= AUTOsc config DcomLaunch start= AUTOsc config Dfs start= DEMANDsc config Dhcp start= AUTOsc config dmadmin start= DEMANDsc config dmserver start= AUTOsc config Dnscache start= AUTOsc config ERSvc start= DISABLEDsc config Eventlog start= AUTOsc config EventSystem start= AUTOsc config helpsvc start= DISABLEDsc config HidServ start= AUTOsc config HTTPFilter start= DEMANDsc config IISADMIN start= AUTOsc config ImapiService start= DISABLEDsc config IsmServ start= DISABLEDsc config kdc start= DISABLEDsc config lanmanworkstation start= DISABLEDsc config LicenseService start= DISABLEDsc config LmHosts start= DISABLEDsc config Messenger start= DISABLEDsc config mnmsrvc start= DISABLEDsc config MSDTC start= AUTOsc config MSIServer start= DEMANDsc config MSSEARCH start= AUTOsc config MSSQLSERVER start= AUTOsc config MSSQLServerADHelper start= DEMAND sc config NetDDE start= DISABLEDsc config NetDDEdsdm start= DISABLEDsc config Netlogon start= DEMANDsc config Netman start= DEMANDsc config Nla start= DEMANDsc config NtFrs start= DEMANDsc config NtLmSsp start= DEMANDsc config NtmsSvc start= DEMANDsc config PlugPlay start= AUTOsc config PolicyAgent start= AUTOsc config ProtectedStorage start= AUTO sc config RasAuto start= DEMANDsc config RasMan start= DEMANDsc config RDSessMgr start= DEMANDsc config RemoteAccess start= DISABLED sc config RemoteRegistry start= DISABLED sc config RpcLocator start= DEMANDsc config RpcSs start= AUTOsc config RSoPProv start= DEMANDsc config sacsvr start= DEMANDsc config SamSs start= AUTOsc config SCardSvr start= DEMANDsc config Schedule start= AUTOsc config seclogon start= AUTOsc config SENS start= AUTOsc config SharedAccess start= DISABLED sc config ShellHWDetection start= AUTOsc config SMTPSVC start= AUTOsc config Spooler start= DISABLEDsc config SQLSERVERAGENT start= AUTOsc config stisvc start= DISABLEDsc config swprv start= DEMANDsc config SysmonLog start= AUTOsc config TapiSrv start= DEMANDsc config TermService start= AUTOsc config Themes start= DISABLEDsc config TlntSvr start= DISABLEDsc config TrkSvr start= DISABLEDsc config TrkWks start= AUTOsc config Tssdis start= DISABLEDsc config UMWdf start= DEMANDsc config UPS start= DEMANDsc config vds start= DEMANDsc config VSS start= DEMANDsc config W32Time start= AUTOsc config W3SVC start= AUTOsc config WebClient start= DISABLEDsc config WinHttpAutoProxySvc start= DEMAND sc config winmgmt start= AUTOsc config WmdmPmSN start= DEMANDsc config Wmi start= DEMANDsc config WmiApSrv start= DEMANDsc config wuauserv start= DISABLEDsc config WZCSVC start= DISABLEDsc config xmlprov start= DEMAND>>删除默认共享@echo off :::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::: 先列举存在的分区，然后再逐个删除以分区名命名的共享；:: 通过修改注册表防止admin$共享在下次开机时重新加载；:: IPC$共享需要administritor权限才能成功删除:::: ::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::title 默认共享删除器color 1fecho.echo ------------------------------------------------------echo.echo 开始删除每个分区下的默认共享.echo.for %%a in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) do @(if exist %%a:\nul (net share %%a$Content$nbsp;/delete>nul 2>nul && echo 成功删除名为%%a$Content$nbsp;的默认共享|| echo 名为%%a$Content$nbsp;的默认共享不存在))net share admin$Content$nbsp;/delete>nul 2>nul && echo 成功删除名为admin$Content$nbsp;的默认共享|| echo 名为admin$Content$nbsp;的默认共享不存在echo.echo ------------------------------------------------------echo.net stop Server /y>nul 2>nul && echo Server服务已停止.net start Server>nul 2>nul && echo Server服务已启动.echo.echo ------------------------------------------------------echo.echo 修改注册表以更改系统默认设置.echo.echo 正在创建注册表文件.echo Windows Registry Editor Version 5.00> c:\delshare.reg:: 通过注册表禁止Admin$共享，以防重启后再次加载echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]>>c:\delshare.regecho "AutoShareWks"=dword:00000000>> c:\delshare.regecho "AutoShareServer"=dword:00000000>> c:\delshare.reg:: 删除IPC$共享，本功能需要administritor权限才能成功删除echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]>> c:\delshare.regecho "restrictanonymous"=dword:00000001>> c:\delshare.regecho 正在导入注册表文件以更改系统默认设置.regedit /s c:\delshare.regdel c:\delshare.reg && echo 临时文件已经删除.echo.echo ------------------------------------------------------echo.echo 程序已经成功删除所有的默认共享.echo.echo 按任意键退出...pause>nul>>打开C:\Windows目录搜索以下DOS命令文件NET.EXE,NET1.EXE,CMD.EXE,FTP.EXE,ATTRIB.EXE,CACLS.EXE,AT.EXE,,TELNET.EXE,CO ,NETSTAT.EXE,REGEDIT.EXE,ARP.EXE,NBTSTAT.EXE把以上命令文件通通只给Administrators 和SYSTEM为完全控制权限>>卸载删除具有CMD命令功能的危险组件WSHOM.OCX对应于WScript.Shell组件HKEY_CLASSES_ROOT\WScript.Shell\及HKEY_CLASSES_ROOT\WScript.Shell.1\添加IUSR用户完全拒绝权限Shell32.dll对应于Shell.Application组件HKEY_CLASSES_ROOT\Shell.Application\及HKEY_CLASSES_ROOT\Shell.Application.1\添加IUSR用户完全拒绝权限regsvr32/u C:\Windows\System32\wshom.ocxregsvr32/u C:\Windows\System32\shell32.dllWSHOM.OCXx和Shell32.dl这两个文件只给Administrator完全权限>>> SQL权限设置1、一个数据库,一个帐号和密码,比如建立了一个数据库，只给PUBLIC和DB_OWNER权限，SA帐号基本是不使用的，因为SA实在是太危险了.2、更改sa 密码为你都不知道的超长密码,在任何情况下都不要用sa 这个帐户.3、Web登录时经常出现"[超时，请重试]"的问题如果安装了SQL Server 时，一定要启用“服务器网络实用工具”中的“多协议”项。