标题: Dvbbs在服务器上的安全配置
作者: dnawo
日期: 2007-05-11 02:08 PM
分类: 服务器
内容: N多站长都在说自己的网站被挂马，或者被黑，好多站长估计都经历过论坛程序文件被人修改吧？
告诉大家如何在服务器上配置安全的动网论坛(如果是租的服务器，请将此帖发给空间商，让他们帮他配置一下)
先来看一张图
在文件夹上点右键，选“属性”，在“安全”标签上，可以得到这样的图
先说第一部分：组或者用户名称
服务器上每一个分区的属性中，只允许包含以下两个用户组的“完全控制”权
Administrators
SYSTEM
如果你的分区中多了其他用户组，如Users、Everyone等用户组权限，呵呵，被黑就太正常了
然后看论坛程序的安装目录，如D:\bbs目录，此目录就要多给一个用户组权限，那就是“Internet 来宾账户”。
引用内容Internet 来宾账户获取方法：
可以通过点“添加”，在弹出来的“选择用户或组”中，点“高级”、“立即查找”
找到“IUSR_****(****为计算机名)”用户组，然后确定
此目录上(也就是论坛所在根目录)，只能给Internet 来宾账户“读取”权限
以下目录需要给Internet 来宾账户“写入”权
引用内容boke\cachefile (博客中相关配置文件存放目录)
boke\data (博客数据库存放目录)
boke\previewimage (博客上传图片生成缩位图存放目录)
boke\uploadfile (博客上传文件存放目录)
data (论坛数据库所在目录)
databackup (为access数据库备份目录，如无此文件夹则跳过)
dv_forumnews (首页调用配置文件存放目录件
previewimage (论坛上传图片生成缩位图存放目录)
skins (论坛风格、样式表存放目录)
uploadface (论坛上传头像存放目录)
uploadfile (论坛上传文件存放目录)
其中红色文件夹需要给“特别的权限”
点“高级”，逐个编辑这三个文件夹的Internet 来宾账户权限，增加“删除”权限
关于“删除”权限的说明：在后台清理垃圾附件或者头像时需要此权限；前台删除帖子，同时删除附件时需要此权限。
如上图：为了进一步安全，在IIS管理器中，对这三个红色文件夹进行设置，把“执行权限”选为“无”，这样即使被上传了一些恶意脚本，也无法执行
--------------------------------------------------------------------------------------------
附：
论坛自身也需要做好防黑工作，做好数据库防下载处理，如数据库后缀改为.asp(被下载到的数据库，可以使用MD5密码破解器，猜一些简单的管理员密码)
版主以前等级的密码不要使用过于简单的，管理员的后台密码最好定期更换
及时清理后台日志，此处可以暴出修改过的明文密码
http://bbs.dvbbs.net/dispbbs.asp?boardID=8&ID=1329969
也可参照上面的地址进行修改。
+ 查看当前日志评论 (1)
────────────
PJBlog3 v3.2.9.518 Inside.
Processed In 0.031 ms
标题: Dvbbs在服务器上的安全配置
你没有权限发表评论
────────────
PJBlog3 v3.2.9.518 Inside.
Processed In 0.031 ms
暂无评论
────────────
PJBlog3 v3.2.9.518 Inside.
Processed In 0.031 ms