以下是小编精心整理的防止替换shift后门进行提权的一些设置WEB安全，本文共5篇，供大家参考借鉴，希望可以帮助到有需要的朋友。本文原稿由网友“ElSol”提供。
篇1：防止替换shift后门进行提权的一些设置WEB安全
作为站长或网络管理员都应该知道的一点只是，就是针对安全的权限设置，shifi后门其实就是通过替换sethc.exe实现。
那么为了防范这个后门的出现就必须对sethc.exe做出一些安全设置。首先了解sethc.exe文件的所在位置，然后考虑权限的设置。
sethc.exe存在于c:\\windows\\system32\\sethc.exe和c:\\windows\\system32\\dllcache\\sethc.exe这2个目录之下，
为了防止替换，我们给他做出相应的权限分配。删除所有的用户组。包括administrators和system组的权限。如下图：
删除所有的用户组
但是这样只能防止简单的替换。
还有注意的一点就是防止shift后门的sethc.exe镜像劫持：
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\
为了进一步的防范应该删除所有用户的用户组,加上everyone组并设置全部拒绝
篇2：服务器安全狗提权放sethc后门
By：永恒
Qq：97245325
今天一位法客论坛的朋友给我一个shell，
说要mysql提权。版本是MYSQL版本:5.1.57-
5.0以上的要在mysql目录里才可执行。
可f:/ZkeysSoft/MySql/MySQL Server 5.1/lib/plugin/ 不能创建目录。所以mysql的提权方法不能成功。或许有些大牛可以。
打开shell
组建是支持的。说明有希望。
不支持。Aspx 那没关系
上传cmd到F:RECYCLERcmd.exe
可以执行。那就溢出看看吧。
本人喜欢用iis6
看到是system的权限。
好吧添加账户看看。
发现添加不成功、
难道是什么东东格挡了？
可以看出是安全狗，
安全狗啊。网上都有教程的。那就用sethc.exe来做后门吧。
@echo off
del /q %systemroot%system32dllcachesethc.exe
del /q %systemroot%system32sethc.exe
copy %systemroot%explorer.exe%systemroot%system32sethc.exe
copy %systemroot%explorer.exe %systemroot%system32dllcachesethc.exe
保持为1.bat
执行成功。
连接看看。
然后想登陆桌面却不行。用guest要加到administrators组老是不行。
哥生气了。后果很严重。果断把administator管理员密码改了。
成功进入。服务器鸡八卡。清除后门。清除日记。然后走人。
篇3：从源头防止入侵者通过web进行入侵WEB安全
从web的源头制止入侵
题记：昨天休息的时候，一个朋友给我信息说他公司的服务器被黑了，破坏者不停的修改替换主页，搞的他都怕了，查到了那家伙的ip地址，包括身份证号码，家庭住址，报警网警说会处理的，但是一直没人问津。也感叹一下有关部门态度，拿着我们纳税人的养着，却这样给我们服务。有关部门是否也该“市场经济”一把就好了。昨天过去帮他把服务器弄了一下，答应他给他整理一个文档出来的，昨天晚上一想，既然整理了，那就好好整理下，希望此文能给那些想处理好网站的安全而又没钱请专人做的公司以及个人能有点小小的帮助吧。此文为昨天在朋友整理服务器的全程记录，由于考虑到安全的原因，网站目录或者文件名称可能与其网站程序有差异。
本文的宗旨：可能有的人会问，关于Windows系统下的防止webshell的文章那么多，我再写此文简直多此一举，此言差亦。纵观以前大家写的关于windows下的防止webshell的文章，发现了一个小小的bug，那就是没有从源头上制止webshell的执行，就是说webshell可以上传到服务器（有时候是可以跳过默认上传目录的），但是有的还是能把当前站点给黑了的，就是可以将主页给替换了的。此文就是解决这样的一个问题，至于c盘的权限以及组件的删除什么的，以前的一些文章已经写的非常不错了，我在这里也就不再赘述了。
目前流行的通过web入侵的方法：
1、sql注入法：通过sql注入获取一定的后台权限，或者直接通过sql数据库备份一个shell。最早的出现的时间应该是在的时候了，通过经典的’or’ ’=’进化而来的。前54nb的小竹写的《sql注入天书》，可算是sql注入的经典，相应推出的nbsi的注入工具也是sql注入工具中的典范了。至今俺还保存着当初推出的beta版到现在的各种修改版。
2、上传法：指的是通过系统提供的web上传功能来直接上传一个shell来获取web控制权限。初出现的的，最早出现在dvbbs论坛的上传组建上，其原因是由于windows系统对于文件名的检查的顺序的问题；后来相继又出现了一种就是现在的动易的前身动力文章系统3.6版本，出现的多文件上传过滤不严引起的可以直接上传cer文件的方法。这两种方法应该是上传漏洞鼻祖了。其代表工具有：最早出现的臭要饭的upload工具，还有一个比较经典的就是桂林老兵写的那个，通用性极强。
3、还有一种就是所谓的旁注法了，其方法主要是通过whois工具查找服务器的域名列表，然后通过上述两种方法来获取权限，进而来入侵同一服务器上的目标的，因为其是通过服务器上的其他网站来入侵目标的，因而就称其为旁注了。最早出现的文章应该是B.C.T的老大h4k_b4n写的文章，那时候B.C.T还没有成立呢。
上面了解了下流行的web入侵方法，那下面来看下常用的web的网站系统的一些功能，下面动态的系统和静态的系统来分别说明下。
1、动态的系统：常用的功能有，文章发布，主要是将数据写到数据库中asp常用的主要是access和sql server。文章发布中可以需要一些上传图片的功能。基本目录结构及其所需要的最低的权限如下：
database //为数据库存在目录，可能有的系统的存放目录不一样，这里为了更直观，将其写为database。需要的权限有读取和修改权限，如果有备份数据功能的可能还要有写入的权限。
upload //上传图片的目录，需要有写入和读取的权限，修改权限。
images //系统使用的图片目录，读取权限即可
admin //后台管理目录，一般为asp文件，需要有读取权限。
/根目录，一般存放为asp文件，需要有读取权限。
2、静态页面的系统：指的是一些内容页生成静态页面，而主页和二级页面为动态的系统，现在这种系统居多，
主要的功能有，上传图片，生成静态页面，acess数据库的可能还有个数据库备份功能。其基本目录结构如下：
database //为数据库存在目录，可能有的系统的存放目录不一样，这里为了更直观，将其写为database。需要的权限有读取和修改权限，如果有备份数据功能的可能还要有写入的权限。
upload //上传图片的目录，需要有写入和读取的权限。
images //系统使用的图片目录，读取权限即可
admin //后台管理目录，一般为asp文件，需要有读取和执行权限。
/根目录，一般存放为asp文件，需要有读取以及执行权限。
/html//此目录为生成静态页面的目录。需要有读取，修改以，写入权限。此文仅仅讨论生成的后缀为html，htm的情况。也是大部分程序生成的都为这些了。对比动态的多了一个生成静态页面的目录。
下面进入本文的重点：安全的设置。
对于sql注入的防范防范最好的是将所有的客户端提交的进入sql查询的参数全部过滤掉，这个对管理员的要求比较高了，需要懂程序开发才可以搞定的。而有一种比较简单的方法就是使用笔者以前写的一个小工具sql通用防注入系统.可以到我的网站下载：www.neeao.com/blog/article-2285.html.
主要说下如何防止上传漏洞的产生，sql注入比较好发现，对于上传的话如果懂的朋友也是可以用工具检测出来的，当然最好的方法就是修改程序，替换上传组件了。但这个相对于sql通用防注入的防范来说比较难了，没有通用的工具了。那么我们可以用服务器上的权限设置来防止破坏者上传或者上传后执行webshell。
1、先按照以前人总结的防止webshell文章给每个站点设置一个单独的账户，在这里，我为了方面说明，姑且假设我设置的web站点的主目录为：d:\\web\\neeao.com\\，添加的iis匿名账户为web_neeao.com,所属组为guests。
2、设置web主目录的权限，删除除了administrators和system两个账户外的所有账户的访问权限，添加web_neeao.com,账户，将其权限设置为读取。并替换子目录下所有目录及文件权限，删除继承上级目录的权限。
3、设置上传目录的权限，我这里按照我上面列出的上传目录为uplaod，将其权限设置为读取及和写入还有修改权限，或许你有一个以上的上传目录，可以同样这样设置。
4、设置数据库目录的权限，我的数据库目录是database，将其权限设置为读取，写入和修改。或许你有一个以上的数据库目录，可以同样这样设置。
5、images目录权限，读取
6、admin目录，读取。
7、html目录，读取，写入。
上面的是针对磁盘的权限的设置，但是这样还是不行的，我们可以看出一些目录还是有写权限的，比如database、upload，以及html目录，如果asp文件传到这些目录的话同样是可以威胁网站安全的。
下面我们来看IIS中的设置：
在IIS管理器中左侧的站点列表中，单击站点前面的＋符合，可以看到下面有目录的列表，在database目录上单击鼠标右键，属性，将其脚本执行权限去掉，设置为无。Upload目录和html目录同样这样设置。这里需要注意下database目录设置的时候，可以将其目录设置重定向，防止访问者非法下载access数据库。
至此权限设置结束了，关于权限的设置，我将其总结为一句话就是：能执行就不给写，能写就不给执行。如果按照这样的原则设置的话，基本上通过web上传并执行webshell是基本不可能的了，就我目前所了解的方法来说。
by：Neeao[B.C.T]
-8-13日上午10时
篇4：ServU防溢出提权攻击解决办法WEB安全
文章简介：本文将为大家介绍在如今Microsoft系列(Win2k Win2k3)SERVER中使用最为广泛的FTP服务器之一、大名鼎鼎的Serv-U FTP服务器中如何简单地解决Overflow溢出、以及Hacker常用的Webhsell提升权限等类攻击的隐患与缺陷；读完本文，您将可以使您的 Serv-U服务器免去被溢出、被提升权限的安全威胁与危险，
前言：
大家应该都还没有忘记三年前在Serv-U5.004版的之前所有版本的“Serv-U FTPMDTM命令缓冲区溢出”与“Serv-U FTP服务器LIST命令超长-l参数远程缓冲区溢出漏洞”吧，这个漏洞让很多服务器管理员立坐不安，也让很多大型的站点、甚至电信级的服务器沦陷了...随着Serv-U新版本的推出，这个漏同已经不存在了；虽然溢出不存在了，但 永远也没有停止，所以伴随着来的又是Serv-U5.0到6.0之 常用的本地提升权限缺陷。(注：最常见的就如webshell+su提权，我在Baidu输入“Serv-U提权”关键词，搜索结果“百度一下，找到相关网页约34,000篇，用时0.001秒 ”）因此，解决Serv-U的安全问题迫在眉睫。
Serv-U提权虽然严格来说这个不应该算是Serv-U的重大漏洞，但只要因管理员的配置不当将会产生严重的后果;下面LeeBolin就来为大家介绍下如何安全配置 Serv-U，才能保证Serv-U甚至服务器的安全，跟我来.“go,go,go...”(最近CS玩多了，嘻嘻 :P)
Serv-U防溢出提权攻击解决办法解决办法正文：
一、大家知道Liunx系统和Unix系统比Windows安全的一个重要原因在于：Linux和Unix的系统服务不使用root权限，而是使用权限比较低的另外一个单独用户，比如web服务使用了nobody这个用户。而Serv-U默认是以system身份运行的，而System这个系统内置账户对本机有完全操作的权限;因此如果攻击者利用Serv-U程序的漏洞而获得了可执行shell的那，那么他将可以随意控制操作系统里任何一个目录了
二、我们根据一的讲解知道了为什么Serv-U提权与溢出攻击可怕的原因了，那么我们该如何防止这一类攻击的发生呢？答案就是降底Serv-U的运行权限与控制Serv-U的“Acls”可访问目录...好，下面就一步一步跟我来吧!
三、Serv-U安全配置
1、首先请保持合用Serv-U的最新版本(目前新版为6.4...)。然后在安装Serv-U的时候尽量不要选择默认的安装目录，比如俺将Serv-U 安装在D:/Pro_LeeBolin^_^/Serv-U#$$/...(因为这样复杂的目录名可防止Hacker的猜解)
2、然后将Serv-U取消MDTM命令的执行，修改Serv-U FTP Banner并开启好Serv-U的FTP日志保存到非系统盘，日志选择记录好Serv-U命名用了那些命令与DLL，并为Serv-U设置一个强壮的本地管理密码(因提权多是因为Serv-U的默认管理员：LocalAdministrator，默认密码：#l@$ak#.lk;0@P所造成的，呵呵 $_$)，你还可以选择将Serv-U的FTP账户信息保存到注册表，不要存在Serv-U目录下的ini文中，这样更加安全。
3、我们再开启“计算机管理”新建一个用户Serv-UAdmin,设置好密码。将用户退出Users组，不加入任何组。并在用户的“终端服务配置文件”选项里取消“允许登录到终端服务器。并且禁止Serv-UAdmin用户的本地登陆。进入控制面板 -> 管理工具 -> 本地安全策略 -> 本地策略 -> 用户权利指派 -> 拒绝本地登陆。(备注：这个用户我们将它来作为俺们Serv-U的服务运行账号，嘿嘿)[(AD^_^:游刃在技术鬼神边缘,打造服务器安全神话！创世纪网络技术前瞻，成就互联网革命先驱！服务器安全讨论区[S.S.D.A]) ]
4、开始运行“Services.msc”打开win的服务管理器，找开Serv-U Ftp Server的Serv-U服务;打开“登陆”对话框，
当前默认的为“本地系统帐户”。我们将其修改为我们在3中新建的Serv-UAdmin用户，并输入密码。
5、下面的工作就是设置Serv-U的运行与FTP目录的ACLs权限了:
①C:/Documents and Settings/Serv-UAdmin 目录加入Serv-UAdmin的权限，允许读取与写入..
②D:/Pro_LeeBolin^_^/Serv-U#$2008$/ Serv-U的安装目录加入Serv-UAdmin的权限，允许读取与运行。(如果选择了账户保存在ini文件的话，这里就需要增加修改与删除权限，因增删FTP账户时需要删改权才成，否则不能增删FTP账户哟^_^)
③如果Serv-U账户选择存在注册表的话。运行regedt32.exe,打开注册表编辑器。找到[HKEY_LOCAL_MACHINE/ SOFTWARE/Cat Soft]分支。在上面点右键，选择权限，然后点高级，取消允许父项的继承权限传播到该对象和所有子对象，删除除admins外的所有的账号。仅添加 Serv-UAdmin账号到该子键的权限列表，并给予完全控制权限。（如果选择了账户信息保存在ini文件中的话可略过此步。）
④现在就来设置WEB目录的ACLs了，比如我的虚拟主机总目录为E:/Leebolin$(%/wwwroot;那么我们将此WEB目录加入 Serv-UAdmin账号的权限即可，这样FTP就可以访问我们的WEB目录进行上传下载了，呵.(由于Serv-U并没有以system运行，所以这里只存留admins与serv-uadmin的权限就OK了。)
⑥如果是asp/php/html脚本的话，WEB目录只需要admins & serv-uadmin & IUSR_XX即可(这里的IUSR_XX是指站点的匿名单用户账号...关于站点的安全与asp.Net的安全请参考我以前的文章:《FSO安全隐患解决办法》、《ASP木马Webshell之安全防范解决办法》、《ASP.NET木马及Webshell安全解决方案》 、《服务器安全检查十大要素》)
四、到目前为止，我们的Serv-U已经简单的做到了防提权，防溢出了。为什么呢？因为能常远程溢出overflow的话，都是通过得一shell 而进行进一步的hacking，而我们现在的Serv-U不是以system运行，所以即使执行了overflow指命，也并不能得到什么...防提权就不用我解释了：因为我们的Serv-Uadmin没有任何系统级的ACLs访问权限..
五、今天的Serv-U防溢出提权攻击解决办法就为大家介绍到这里，您看到此处后，你会了吗？
后记：其实服务器、系统的安全是个整体的概念；有可能你其它一小点的疏忽就可以让你的网站、甚至服务器沦陷。因此安全策略必需走防患未然的道路，任何一个小地方都不能马虎、今天关于防Serv-U的安全配置小技巧就为大家介绍到这里...其它方面的服务器安全配置经验我们在下一篇文章再见吧:-) (注：由于本人才疏学浅，如文中有错误实为在所难免，还请各位看官见谅!旨在抛砖引玉，如果您有更好的办法请别忘了在服安论坛跟贴^0^,先行谢过!)
关于本文版权：本文版权归[服务器安全讨论区]与[本文作者]共同所有，您可以任意，但务必请保留文章的完整性与信息来源及作者信息等链接；但不欢迎转载者除去本版权信息。
关于本文作者：李泊林/LeeBolin 服安科技资深系统工程师、专业网络安全顾问。已成功为国内多家大中型企业，ISP服务商提供了完整的网络安全解决方案。尤其擅长于整体网络安全方案的设计、大型网络工程的策划、以及提供完整的各种服务器系列安全整体解决方案。[S.S.D.A 服务器安全讨论区] www.31896.net E-mail:bolin.lee#gmail.com QQ:24460394 您对本文有任何建议与疑问可以来信或者QQ在线与作者进行交流;或者到服安论坛与作者进行讨论!
篇5：windows服务器安全设置之提权篇WEB安全
服务器的安全很重要，特别是被 提权，这里指的是用web进行提权，web提权一般会用到 NETWORK SERVICE 帐号，和注册表的改动，于是我们把注册表的部分改为只读即可，请看下图：
把注册表位置
HKEY_USERS\\S-1-5-20
HKEY_USERS\\S-1-5-20_Classes
NETWORK SERVICE 帐号的完全权限，改为读取权限，就可以防范了
补充：为了安全考虑我们一般包括虚拟主机设置软件，都是各个网站都是独立用户的，这样才能更好的防止提取，而且有效的保护了各个网站之间安全问题，一个出问题，其它网站不会受到影响，
windows服务器安全设置之提权篇WEB安全
，
如果有虚拟主机管理软件更好
