### 虚拟主机安全加固：封杀WebShell与提权威胁
在当前网络环境中，虚拟主机的安全性显得尤为重要。本文将围绕“虚拟主机封杀WebShell提权”这一主题展开，详细介绍如何在Windows虚拟主机环境下，特别是针对ASP + SQL Server配置的服务器，通过一系列的安全策略来防范WebShell的入侵及利用，以及阻止Serv-U提权漏洞和SQL注入攻击的发生。
#### 一、概述
WebShell是一种基于Web的应用程序，通常用于远程管理Web服务器。然而，当恶意攻击者利用WebShell时，它可以被用来进行非法操作，包括但不限于获取服务器的高级权限、执行任意代码以及窃取敏感数据等。因此，对虚拟主机进行安全加固，防止WebShell的植入与提权是非常必要的。
#### 二、安全策略实施步骤
##### 1. 封杀ASP WebShell
为了保护ASP应用程序免受WebShell的攻击，我们需要采取措施来限制其功能，确保其无法查看系统服务信息、执行命令或浏览文件目录。以下是一些具体的实施步骤：
- **限制WebShell功能**：禁用WebShell查看系统服务信息、执行CMD命令和浏览文件目录的能力。
- **使用FSO组件**：尽管限制了部分功能，但仍然允许使用File System Object (FSO) 等ASP组件。
- **示例软件**：以“海洋木马”为例，演示如何在Windows 2000/2003环境下进行设置。
##### 2. 设置Win目录访问权限
- **调整权限**：将所有分区的所有权设置为`Administrator`和`SYSTEM`用户，并删除`Everyone`用户的权限。
- **操作步骤**：选择系统盘（如C盘）-> 右键属性 -> 安全 -> 添加`Administrator`和`SYSTEM`，赋予所有权限，然后删除`Everyone`用户。
- **注意事项**：设置权限时可能会出现延迟，请耐心等待。
##### 3. 重置所有子对象的权限
- **操作步骤**：在上一步的基础上 -> 高级 -> 选择“重置所有子对象的权限并允许传播可继承权限”，勾选并点击“应用”。
- **解决提示问题**：如果出现任何提示信息，一律选择“是”继续。
##### 4. 设置Everyone用户可读取的目录
- **目的**：允许执行Perl、ASP、Jmail等组件。
- **操作步骤**：进入`C:\Program Files`目录，将`Common Files`目录的权限设置为`Everyone`用户可读、运行和列出目录。
##### 5. 设置取消继承
- **目的**：防止用户越权删除文件，同时确保ASP组件正常工作。
- **操作步骤**：进入`WinNT\System32`目录，取消所有目录（除`inetsrvc`, `certsrv`外）的继承权限。
- **进一步操作**：进入`WinNT`目录，取消除`web`, `temp`, `tasks`, `system32`, `offinewebpages`, `iistemporaycompressedfile`, `help`, `downloadprogram`之外的目录的继承权限。
- **权限设置**：为`WinNT`目录下的`temp`目录设置`Everyone`用户完全控制权限，但去除执行权限。
##### 6. 设置虚拟站点
- **创建新用户**：创建一个新的用户账户（例如`leilei`），将其加入`Guest`用户组，并设置为虚拟站点的匿名用户。
- **权限设置**：确保该用户只能访问指定的目录，并删除不必要的脚本映射（如`*.htr`, `*.hta`, `*.idc`, `*.printer`, `*.htw`, `*.ida`, `*.idq`等）。
#### 三、常见问题与解决方案
- **ASP不能访问问题**：当遇到ASP访问错误时（如提示`The requested resource is in use`或`The remote procedure call failed and did not execute`），可以通过以下方法尝试解决：
- 御载瑞星2005安全软件。
- 同步`IWAM`账号。
- 在Windows Server 2003下，添加`IIS_WPG`用户组，并重启计算机。
以上步骤详细介绍了如何在Windows虚拟主机环境下，通过多种手段加强安全防护，有效封杀WebShell及其提权行为，从而提高服务器的整体安全性。
