Windows 2003 服务器安全设置图文教程

放开使用到的端口，如果修改了远程桌面的端口，别忘记添加上。如果有邮件服务器的话还要放开SMTP服务器端口25 POP3服务器端口110。对外提供服务的端口都要加上，不然无法访问服务。

本地策略→审核策略

审核策略更改　　　成功　失败
审核登录事件　　　成功　失败
审核对象访问　　　　　　失败
审核过程跟踪　　　无审核
审核目录服务访问　　　　失败
审核特权使用　　　　　　失败
审核系统事件　　　成功　失败
审核账户登录事件　成功　失败
审核账户管理　　　成功　失败

本地策略→用户权限分配
关闭系统：只有Administrators组、其它全部删除。
通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除

本地策略→安全选项
交互式登陆：不显示上次的用户名　　　　　　　启用
网络访问：不允许SAM帐户和共享的匿名枚举　　启用
网络访问：不允许为网络身份验证储存凭证　　　启用
网络访问：可匿名访问的共享　　　　　　　　　全部删除
网络访问：可匿名访问的命　　　　　　　　　　全部删除
网络访问：可远程访问的注册表路径　　　　　　全部删除
网络访问：可远程访问的注册表路径和子路径　　全部删除
帐户：重命名来宾帐户　　　　　　　　　　　　重命名一个帐户
帐户：重命名系统管理员帐户　　　　　　　　　重命名一个帐户

【禁用不必要的服务 开始-运行-services.msc】

Computer Browser　：维护网络上计算机的最新列表以及提供这个列表
Distributed File System　：局域网管理共享文件，不需要可禁用
Distributed Link Tracking Client　：用于局域网更新连接信息，不需要可禁用
Error Reporting Service　：禁止发送错误报告
Messenger　：传输客户端和服务器之间的 NET SEND 和 警报器服务消息
Microsoft Serch　：提供快速的单词搜索，不需要可禁用
NT LM Security Support Provider　：telnet服务和Microsoft Serch用的，不需要可禁用
Print Spooler　：如果没有打印机可禁用
Remote Desktop Help Session Manager　：禁止远程协助
Remote Registry：禁止远程修改注册表
Server　：支持此计算机通过网络的文件、打印、和命名管道共享
Task scheduler　：允许程序在指定时间运行
TCP/IPNetBIOS Helper　：提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享文
Workstation　：关闭的话远程NET命令列不出用户组
以上是在Windows Server 2003 系统上面默认启动的服务中禁用的，默认禁用的服务如没特别需要的话不要启动。

【卸载最不安全的组件】

最简单的办法是直接卸载后删除相应的程序文件。

将下面的代码保存为一个.BAT文件，( 以下以win2003为例系统文件夹应该是 C:WINDOWS )

如果有可能删除这些组件
del C:WINDOWSsystem32shell32.dll
del C:WINDOWSsystem32wshom.ocx
del C:windowssystem32wshext.dll
然后运行一下，WScript.Shell, Shell.application, WScript.Network就会被卸载了。
去http://www.ajiang.net/products/aspcheck/下载阿江的探针查看相关安全设置情况。

可能会提示无法删除文件，不用管它，重启一下服务器，你会发现这三个都提示“×安全”了。

恢复的话，去掉/u就行了FSO(FileSystemObject)是微软ASP的一个对文件操作的控件，该控件可以对服务器进行读取、新建、修改、删除目录以及文件的操作。是ASP编程中非常有用的一个控件。但是因为权限控制的问题，很多虚拟主机服务器的FSO反而成为这台服务器的一个公开的后门，因为客户可以在自己的ASP网页里面直接就对该控件编程，从而控制该服务器甚至删除服务器上的文件。因此不少业界的虚拟主机提供商都干脆关掉了这个控件，让客户少了很多灵活性。我们公司的W2K虚拟主机服务器具有高安全性，可以让客户在自己的网站空间中任意使用却有没有办法危害系统或者妨碍其他客户网站的正常运行。

FSO的添加

1、首先在系统盘中查找scrrun.dll，如果存在这个文件，请跳到第三步，如果没有，请执行第二步。
2、在安装文件目录i386中找到scrrun.dl_，用winrar解压缩后scrrun.dll复制到系统盘:windowssystem32目录。
3、运行regsvr32 scrrun.dll即可。

FSO删除
regsvr32 /u scrrun.dll
建议保留

卸载stream对象

在cmd下运行：
regsvr32 /s /u "C:Program FilesCommon FilesSystemadomsado15.dll"
恢复的话，去掉/u就行了，建议保留修改远程桌面连接的3389端口为9874，十六进制2692等于十进制9874，根据需要修改成合适的端口。将下面的内容保存为.reg文件，导入注册表即可。（非必需）

杀毒

这里介绍MCAFEE 8.5i 中文企业版(s.jb51.net有的下载)
因为这个版本对于国内的许多恶意代码和木马都能够及时的更新.
比如已经能够检测到海阳顶端2006
而且能够杀除IMAIL等SMTP软件使用的队列中MIME编码的病毒文件
而很多人喜欢安装诺顿企业版.而诺顿企业版,对于WEBSHELL.基本都是没有反应的.
而且无法对于MIME编码的文件进行杀毒.
在MCAFEE中.
我们还能够加入规则.阻止在windows目录建立和修改EXE.DLL文件等
我们在软件中加入对WEB目录的杀毒计划.
每天执行一次
并且打开实时监控.
注意：安装一些杀毒软件会影响ASP地执行，是因为禁用了jscript.dll和vbscript.dll组件
在dos方式下运行 regsvr32 jscript.dll, regsvr32 vbscript.dll解除限制即可
比如出现 请求的资源在使用中

regsvr32 %windir%system32jscript.dll
regsvr32 %windir%system32vbscript.dll