ASP教程之Windows 2000体系 IIS平安构建指南
缺点：安全性不是太差了，还行，只要你充分利用系统自带的工具；唯一缺点就是执行效率慢，如何进行网站优化以后，效果会比较好。iis|window|平安 Win2000操纵体系的一个次要特征就是将IIS融进其内核当中，并供应一些用来设置和保护软件的导游工具，使构建一个Internet网站轻松易得。可是，假如要创立一个平安牢靠的Internet网站，完成“空中部分”－Win2K操纵体系和“空中部分”－IIS的两重平安，还必要加倍周全和深切的事情。本文就对这些安定事情中的空中部分－Win2K操纵体系举行会商，旨在匡助办理员一步步地实行网站平安构建事情。1、平安头脑先行
所谓戎马未发，粮草先行，在安装和设置一个Internet服务器之前，起首要从头脑上对平安事情有个全局熟悉，最少应当思索好以下几个方面的内容：
1、体例企图
体例安装企图的历程自己就能够作为一篇论文深加叙述，这里只做提要先容。回护Internet服务器平安必要细致的企图，这不是指在安装过程当中弹出菜单时断定选择哪个项目，而是要细心断定体系的功效和方针，终极成为安装的路标、扫除妨碍的导游、服务器安装及收集界限情形的基本文档。假如必要安装企图体例方面的基本性目标材料，能够参考 RFC手册之2196项“站点平安手册”，地点是：http://www.faqs.org/rfcs/rfc2196.html。
2、计划战略
除断定服务器将实行那些功效，还必要断定谁能会见服务器、在服务器上存储甚么数据和在呈现各类情形时应当接纳哪些措施。这就是战略的制订。实践上，战略界说了一个构造的服务器与承受它的服务和数据的Internet公家之间的交互感化细节。真正平安的站点必需具有得当的战略。关于战略的计划，一样请参考RFC手册之2196项“站点平安手册”。
3、会见把持
这方面是指对服务器的会见权，次要包含三类：
物理会见把持：指实践打仗和操纵服务器把持台的才能。假如打击者获得了物理会见权，就能够绕过很多平安措施，全部平安企图将呈现一个年夜年夜的毛病！
体系会见把持：断定哪些组或团体账号对体系具有何种权限，比方备份和恢单数据、向Web服务器公布文档、办理账户或组。
收集会见把持：收集会见把持划定了外部网与Internet互相感化的权限，比方端口会见、数据读取、服务利用等等。不单单要思索到内部的进侵举动，还要假想到外部的仇人打击。为此，一样平常将服务器放于DMZ地区内。一个DMZ（DemilitarizedZone）就是一个伶仃的收集，能够把不信托的体系放在那边。比方，我们但愿任何人都能会见Web和Email服务器，以是它们就是不克不及信托的；将它们放在DMZ中出格照顾，便可对来自外部和内部的会见都举行限定。
2、Win2K安装时要重点思索的平安设置信息
安装Win2K时，直到设置收集协定时才必要思索平安成绩。关于一个Internet网站，设置收集协定时必定要封闭一个很年夜的平安毛病：NetBIOS协定！就是说，在“当地毗连属性”窗口中，只选中“Microsoft收集客户端”和“Internet协定（TCP/IP）”两项：
选中“Microsoft收集客户端”的缘故原由在于NTLM(NT/LAN办理器)平安撑持供给（SecuritySupportProvider）组件是嵌进在操纵体系中的，假如没有这个组件，IIS将没法运转。
你大概要问了：“只设置这两个协定，必要其他的功效怎样办”？办理办法很复杂：为服务器安拆卸置两个网卡，第一个用于Internet毗连，其上只绑定那两个服务协定；第二个用于从当地收集会见服务器，依据必要增加其他的服务协定，比方“Microsoft收集的文件和打印机共享”等：
接上去，我们要设置TCP/Ip协定的属性内容。除断定网卡IP地点和默许网关地点外，还必要点击“初级”按钮进进“WINS”选项卡设置“克制TCP/IP上的NetBIOS”，以制止网卡向Internet发送和吸收NetBIOS信息：
NetBIOS是复杂友爱的呆板名表达法，比方servernameshareresource。假如翻开这个功效，打击者就能够利用端口扫描器等软件测试出具有端口137和139监听的呆板，从而进一步利用其NetBIOS名实验猎取体系资本的会见权。
3、Win2K安装后要重点思索的平安设置信息
操纵体系安装终了后，倡议实行以下平安设置：
1、安装微软初级加密包（MicrosoftHighEncryptionPack），将服务器晋级为128位加密。
默许形态下，服务器软件的加密形态处于较初级别，我们必需手工将其设置为128位加密。并且，这项事情应当在创立帐号和组之行进行，如许就能够包管在服务器上创立的一切项目都是128位加密级其余。
2、安装最新的SP软件包和Hotfixes
微软的产物是老成衣做的，不打补钉不大度的，以是办理员们要常常会见以下地点看看是不是又有新补钉面世：http://www.microsoft.com/windows2000/downloads/default.asp
这个地点包括了大批关于Win2K的信息，对一样平常办理Win2K服务器十分有参考代价。关于HotFixes有一点必要注重：只在体系必要的时分才安装响应HotFix。由于，并非每一个服务器都必要一切的HotFix，个中有一些hotfix修复的毛病只存在于某些特定设置中。
3、对体系服务的启动体例从头举行计划
默许形态下，很多服务都随体系启动而启动。但因为有些服务由于启动帐号身份的权限过年夜，有大概埋下平安隐患地雷，因而必需对一切服务的启动体例举行从头计划。计划的准绳应当是：除非相对需要，封闭该服务。
以下是我们以为应当处于“主动”启动形态的基础服务：
DNSClient：假如服务器必要自动与别的服务器举行通讯，就必要这个服务。很多Web服务器仅仅是对哀求举行应对而本身其实不收回哀求，这时候就不必要DNSClient了。
EventLog：事务日记，用于纪录程序和Windows发送的事务动静。事务日记包括对诊断成绩有所匡助的信息，能够在“事务检察器”中检察呈报。
LogicalDiskManager：逻辑磁盘办理器监督狗服务，用于办理当地磁盘驱动器和可挪动设备。
NetworkConnections：办理“收集和拨号毗连”文件夹中工具，在个中能够检察局域网和远程毗连。
ProtectedStorage：供应对敏感数据(如私钥)的回护性存储，以便避免未受权的服务、历程或用户对其的不法会见。
RemoteProcedureCall(RPC)：远程历程挪用服务，用于在一个体系上利用程序实行远程体系上的指令或程序。
SecurityAccountsManager(SAM)：平安帐号办理服务，用于保护当地用户帐户的平安信息。
WindowsManagementInstrumentation(WMI)：Windows办理器，供应体系办理信息，假如没有它，就没有可会见的办理把持台来实行体系办理。
WindowsManagementInstrumentationDriverExtensions：Windows办理器驱动器扩大，也是MMC所请求的，用于与驱动程序间互换体系办理信息。
以下是我们以为应当处于“手动”启动形态的基础服务：
LogicalDiskManagerAdministrativeService：逻辑硬盘办理器办理服务，是磁盘办理哀求的体系办理服务。
WorldWideWebPublishingService：WWW公布服务,用于向Web站点设置的特定端口（一般是80）公布Web内容。
4、强化SAM数据库的回护
SAM数据库就是体系账户数据库，个中的内容属于一等秘密，再怎样回护也不为过。默许形态下，SAM是用当地存储的启动关头字来加密的，这个关头字中包括一个混乱信息代码，它在启动过程当中被处置进而将账户数据库解密并存储在内存中，从而被体系会见。加密关头字的默许存储地址能够用Win2K命令行工具syskey.exe来修正：
因而，为了回护SAM数据库的平安，办理员可使用这个工具将混乱信息代码转移到软盘上，并注重为这个软盘制造多个备份，安排到一个十分平安的中央。假如这个软盘丧失或破坏，就没法从头启动服务器了，由于再没有别的举措能够对用户账户和口令数据库举行解密。
别的，我们还应当对SAM数据库增加口令庞大性的请求，这是经由过程启动“当地平安战略”工具并启用个中的“暗码必需切合庞大性请求”来完成的：
5、断定Web站点的口令会见战略
会见Web站点的分歧内容大概必要分歧的口令，思索到响应的举动并计划好对策将极年夜地削减很多平安隐患。比方：服务器是只作为大众信息站点利用吗？它同意分歧权限的用户会见受回护的数据吗？站点请求用户向其提交数据吗？......一般，我们能够对一切的Internet服务器都实行不异的基础平安设置，然后再依据详细服务范例，进一步做出特别平安设置。好比：假如服务器只是为公司供应一个Web上的存在，那最好就只同意匿名会见，如许就制止了服务器与客户之间的口令传送，并下降了打击者探测服务器口令的大概性。
6、打消空毗连平安毛病
在Win2K中存在一种大概性：打击者可使用一个所谓的空帐号登录到体系、创建一个空对话，从而猎取服务器上用户和组帐号情形列表和服务器上的一切共享资本列表。呵呵，白手套帐号啊！让这个“白手”真正失的办法是修正注册表相干项目，办法分离是：
克制空毗连猎取帐号信息：修正的键值及取值是
HKEY_LOCAL_MACHINESystemCurrentControlSetControlLSA，REG_DWORD，1
注重：有些服务大概要利用空毗连在收集上完成与别的服务器和体系通讯的义务，以是假如修正注册表后发明这些服务事情不一般了，那就再修正返来吧。摸着石头过河吗！
克制空毗连猎取共享资本：修正的键值及取值是
HKEY_LOCAL_MACHINESystemCurrentControlSetServicesLanManServerParametersRestrictNullSessAccess，REG_DWORD，1
当这个值设置为1时，空毗连用户将不克不及会见任何共享；假如设置为0，那末空毗连用户就能够毗连到一切对Everyone组共享的程序或打印机上。
注重：修正这个键值大概会影响空毗连对NamedPipes（名字管道）的会见。NamedPipes就是一个体系上的程序与另外一个分歧体系上的程序通信的功效。在Win2K中设置了很多namedpipes，比方Winreg以IPC机制同意在一个客户呆板上运转Regedit并会见远程服务器的注册表文件，Netlogon经由过程一个namedpipe利用RPC毗连来举行登录认证，SMB（ServerMessageBlocks）利用namedpipes举行收集上服务器之间的通信。注册表中有关于空毗连可使用的namedpipes列表，键值以下：
HKEY_LOCAL_MACHINESystemCurrentControlSetServicesLanManServerParametersNullSessionPipes
我们能够依据必要对以上列表中的字符串举行往除，但一样请注重：假如发明有些服务事情不一般，请再修正返来。
7、往除对其他操纵体系的撑持
Win2K能够很好地撑持其他操纵体系，同意比方OS/2和POSIX的使用程序向服务器发送哀求以实行代码。这类功效一般叫做Win2K的子体系。Win2K的子体系一样平常情形下不会用到，但倒是一个很年夜的平安毛病，应当接纳措施堵住它。封闭这个毛病的最复杂办法是往失落这个子体系，使它们没法利用。宁神，这不会给Win2K服务器或IIS带来任何成绩，由于它们是在Win32子体系中运转的。
克制OS/2和POSIX要经由过程删除相干文件和改写相干注册表键值来完成，步骤以下：
删除“\%systemroot%system32os2”文件夹及个中一切内容。
删除“HKLMSoftwareMicrosoftOS/2SubsystemforNT”上面一切的子键。
删除“HKLMSystemCurrentControlSetControlSessionManagerEnvironment”中的值Os2LibPath。
扫除“HKLMSystemCurrentControlSetControlSessionManagerSubsystems”中Optional的内容，可是保存值Optional的名字。
删除“HKLMSystemCurrentControlSetControlSessionManagerSubSystems”中的值Os/2和Posix。
从头启动。
8、公道调剂页面文件的设置
必要处置的另外一个成绩是页面文件（pagefile）在体系上的寄存地位。当使用程序或体系程序必要会见物理RAM时，Win2K利用页面文件作为使用程序代码的一时保留区。因而，硬盘驱动器上必需有充足的空间供页面文件利用，不然就会招致体系溃散。制止呈现这类情形的办法有：
在体系上尽量多安装RAM。可用的物理RAM越多，体系运转的效力越高。
将一切的操纵体系文件安排在本人的分区。这个分区中应当只包括操纵体系文件和一个最少相称于物理RAM巨细的页面文件。当体系遭受一个STOP毛病时，这个页面文件同意体系创立一个crashdump文件。
最少在别的一个分区上创立一个页面文件，其巨细约莫为物理RAM+11MB。假如大概的话，将这个页面文件安排在一个独自的物理驱动器上，如许体系实行I/O操纵就加倍无效。
设置体系服务和天生日记文件及扩大数据的使用程序，使它们写进的文件不在操纵体系地点的驱动器上。
4、结语
以上具体叙述了利用Win2K和IIS5构建平安Internet网站的Win2K操纵体系平安设置指南部分，假如是严厉依照这些步骤打扮了Win2K，就能够说基础上做到了从“空中部分”尽力切断进侵者的打击。要做到从“空中部分”拦阻进侵，请看“Win2KInternet服务器平安构建指南(IIS篇)”。
实现规模效益。与传统的用户拥有硬件软件所有权和使用权以及传统的应用服务商提供一对一的服务模式不同，ASP拥有应用系统所有权，用户拥有使用权，应用系统集中放在ASP的数据中心中，集中管理，分散使用，以一对多的租赁的形式为众多用户提供有品质保证的应用技术服务，实现规模效益。 代码逻辑混乱，难于管理：由于ASP是脚本语言混合html编程，所以你很难看清代码的逻辑关系，并且随着程序的复杂性增加，使得代码的管理十分困难，甚至超出一个程序员所能达到的管理能力，从而造成出错或这样那样的问题。 弱类型造成潜在的出错可能：尽管弱数据类型的编程语言使用起来回方便一些，但相对于它所造成的出错几率是远远得不偿失的。 作为IE上广为流传的动态网页开发技术,ASP以它简单易学博得了广大WEB程序爱好这的青睐,而且它对运行环境和开发品台的不挑剔,以及有大量有效的参考手册,极大的推广了它的发展。 下面简单介绍一下我学习ASP的方法,希望对想学习ASP的朋友有所帮助... 另外因为asp需要使用组件，所以了解一点组件的知识(ADODB也是组件) 最近在学asp，不要问我为什么不直接学.net，因为公司网站是asp做的所以有这个需要，卖了本书asp入门到精通，对里面的六大内置对象老是记不住，还有很多属性和方法看的头晕。 我们必须明确一个大方向，不要只是停留在因为学而去学,我们应有方向应有目标.
页:
[1]