Windows站点搭建的3个致命安全断点

　　去年三月那把……啊不是，去年三月那回，我帮人搭Windows站点，打得挺艰难的。当时队友老王在语音里一直咳嗽，说“这防火墙规则是不是写反了？”，我原以为他在扯淡，结果后来被扫出漏洞的时候，才想起来他说的那句“默认拒绝所有入站”可能真没开玩笑。那天键盘F键声音跟别的不一样，敲着敲着就分神，最后被渗透的时候，我盯着日志里的403和404，突然明白——Windows站点搭建最坑的，不是技术不够，是那些“默认配置”里的致命断点。

　　第一个断点，IIS的默认权限。我段位其实不高，但这点是踩过坑的。IIS装完，默认给“IUSR”和“NETWORK SERVICE”开了读权限，这俩账号看着人畜无害，实际能读遍整个网站目录。去年那回，我搭完站点没改权限，室友在旁边煮泡面，香气飘过来的时候，我顺手把“Everyone”组也勾了“读取”——结果三天后，日志里全是“/web.config”的访问记录，配置文件被读得明明白白。后来查资料才发现，IIS默认权限里，“读取”和“执行”是绑定的，你给一个权限，相当于开了俩口子。现在我都养成了习惯，装完IIS第一件事就是删默认账号，自己建个专用服务账号，权限卡得比游戏帧数还死。

　　第二个断点，RDP的3389端口。这端口就像游戏里的“闪现”，用好了能救场，用不好就是送人头。我原以为把RDP端口改成非标准值就安全了，结果去年那回，我改成3390，自以为聪明，结果被扫端口的人用“3389-3399”的批量扫描工具直接打穿。后来才知道，Windows的RDP服务有个“网络级认证”（NLA）的选项，开了能挡掉大部分暴力破解，但默认是关的。我后来测试过，同样的服务器，开NLA前每天被扫300多次，开NLA后直接降到个位数——这比改端口管用多了。不过现在有些云服务器厂商会强制开NLA，自己搭站点的时候，这点得手动确认。

　　第三个断点，Windows Defender的“实时保护”。这功能听着像游戏里的“护盾”，实际是“双刃剑”。去年那回，我搭完站点，Defender突然报“恶意软件”，我一看，是网站用的一个PHP扩展被误杀了。我原以为关掉实时保护就行，结果关了之后，服务器被种了木马——原来Defender的实时保护虽然会误报，但至少能挡掉大部分已知漏洞。后来我折中了一下，把网站目录加到Defender的排除列表里，既保留了实时保护，又避免了误杀。不过这招得谨慎用，我有个朋友就是排除目录太多，结果服务器被挖矿程序占了，CPU跑满的时候他还在语音里喊“这帧数怎么突然变低了？”。

　　说到帧数，去年那回我耳机戴久了耳朵疼，调音量的时候手滑，把RDP会话断了，重新连的时候发现站点被篡改了——原来攻击者趁我断线的那几秒，上传了个webshell。后来我养成了习惯，搭站点的时候，先把RDP的“空闲会话断开时间”设成15分钟，避免长时间离线被钻空子。不过这招也有副作用，我有次调试代码，刚离开十分钟，会话就被断了，重新连的时候代码没保存，气得我差点摔键盘——那键盘F键声音本来就不对，这一摔更响了。

　　外卖送到了，我去开个门。对了，去年那回被渗透之后，我复盘的时候发现，攻击者其实没用什么高级技巧，就是利用了这三个默认配置的断点。我后来跟老王讨论，他说“这就是优胜劣汰，Windows的默认配置是给小白用的，真要搭站点，得自己手动调”。我觉得他说得对，但也不全对——有些默认配置确实坑，但有些是必要的保护，关键是你得知道哪些能改，哪些不能改。就像游戏里的“出装”，不能盲目照抄攻略，得根据对线情况自己调整。

　　充电线不够长，我只能歪着坐，腰都酸了。不过话说回来，Windows站点搭建的安全断点，其实就像游戏里的“视野盲区”——你以为安全的地方，可能早就被敌人盯上了。去年那回之后，我每次搭站点都会检查这三个点：IIS权限、RDP端口、Defender设置。虽然不能保证绝对安全，但至少能挡住大部分低级攻击。就像游戏里，你不能保证每次团战都赢，但至少得把“闪现”和“治疗”用在对的地方。

文章配图，仅供参考

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!