Windows服务器中有哪些IIS漏洞 又如何修复
时间 : 2016-01-04 16:12
来源 : 未知
对于服务器管理维护人员来说，都希望使用具有一定弹性的操作系统。网络攻击日益泛滥，安全威胁也越来越多，利用Windows系统或者是IIS的漏洞是常见的入侵手法，然而，这些是可以避免的，就看管理员愿不愿意做了。易云网络经营高防服务器租用多年，积累了很多的网站安全经验，本文总结出对Windows服务器最具威胁力的IIS漏洞。
一、公众可访问敏感的服务器目录和文件
如果不想暴露系统配置信息、代码以及其他敏感信息的话，我们必须对公众用户只开放必要的访问权限。
二、允许非加密的HTTP连接
因为任何与Web服务器来往的信息都会以明文方式传输，这种未加密的连接将会使登录信息或者其他敏感的信息暴露出来。解决方法是使其需要TLS版本1.1以及对整个网页/应用都进行加密。
三、SSL版本2和3以及弱加密算法被启用
这可以促进中间人攻击以及导致敏感信息泄露。服务器端解决的方法是使其需要TLS版本1.1和取消弱密码算法例如RC4。
四、没有打Windows补丁
这种错误将导致任何攻击可获得完整的服务器远程操作权限，大到如使用Metasploit工具，小到简单的DOS攻击。就算这个服务器快要停止使用了，我们也必须全面及时的打上所有补丁，服务器安全不容一丝有误，不然恐怕是亡羊补牢，为时已晚了。
五、跨框架脚本成为可能
这可以促进点击挟持和误导用户点击一些不同于他们认为正在点击的内容。服务器端的解决方法是根据你的具体需求设置X-Frame-Options头部为DENY，SAMEORIGIN 或 ALLOW-FROM。
有些漏洞虽然不起眼，但星星之火可以燎原，长期下来，谁也无法保证永远不会出现问题，其实根本解决下来，也不会耽误管理员们太多精力，不放过任何细节，也是我们易云高防服务器一直处理问题的态度。
上一篇：上一篇：如何保障自己的DNS服务器不被劫持以用来做非法攻击
下一篇：下一篇：如何为服务器机房做最好的维护与保养
一、公众可访问敏感的服务器目录和文件
如果不想暴露系统配置信息、代码以及其他敏感信息的话，我们必须对公众用户只开放必要的访问权限。
二、允许非加密的HTTP连接
因为任何与Web服务器来往的信息都会以明文方式传输，这种未加密的连接将会使登录信息或者其他敏感的信息暴露出来。解决方法是使其需要TLS版本1.1以及对整个网页/应用都进行加密。
三、SSL版本2和3以及弱加密算法被启用
这可以促进中间人攻击以及导致敏感信息泄露。服务器端解决的方法是使其需要TLS版本1.1和取消弱密码算法例如RC4。
四、没有打Windows补丁
这种错误将导致任何攻击可获得完整的服务器远程操作权限，大到如使用Metasploit工具，小到简单的DOS攻击。就算这个服务器快要停止使用了，我们也必须全面及时的打上所有补丁，服务器安全不容一丝有误，不然恐怕是亡羊补牢，为时已晚了。
五、跨框架脚本成为可能
这可以促进点击挟持和误导用户点击一些不同于他们认为正在点击的内容。服务器端的解决方法是根据你的具体需求设置X-Frame-Options头部为DENY，SAMEORIGIN 或 ALLOW-FROM。
有些漏洞虽然不起眼，但星星之火可以燎原，长期下来，谁也无法保证永远不会出现问题，其实根本解决下来，也不会耽误管理员们太多精力，不放过任何细节，也是我们易云高防服务器一直处理问题的态度。
