在windows上搭建web站点

null在windows上搭建web 站点在windows上搭建web 站点wp1998@gmail.com 2011.7Web站点的基本概念Web站点的基本概念网络服务 DNS、FTP、web server、Database…… 网站安全 操作系统、web服务、数据库、应用脚本…… 访问质量 web访问速度、服务在线率……一个基本完整的web站点一个基本完整的web站点Web APP serverDNS serverFTP serverDatabase serverMail serverWindow2003 server Linux serverASP/PHP/JSP/ASP.netWeb站点：www.test.comDNS解析域名FTP上传文件CPU/memory File IO质量 安全建立DNS服务建立DNS服务DNS的基本原理 什么是dns、解析原理 在Windows上建立dns服务 Windows server自带的dns服务 操作 查询和验证dns Nslookup、dig DNS的基本原理DNS的基本原理Domain Name Server 域名服务 提供域名与IP的对应关系 www.e21.edu.cn -> 219.139.243.39 由dns服务器提供分级查询服务 e21.edu.cn IN NS dns.e21.edu.cn dns.e21.edu.cn -> 211.67.64.8 Windows DNS server 与 bind DNS的基本原理DNS的基本原理NS： ns.edu.cnNS： dns.e21.edu.cnNS： Szdns.sz.e21.edu.cn在windows2003s上建立dns服务在windows2003s上建立dns服务查询和验证DNS服务查询和验证DNS服务Nslookup 用来查询域名信息的工具 nslookup Server 211.67.64.8 set type=mx e21.edu.cn Dig 更加灵活和强大的dns查询工具 Dig @211.67.64.8 mx e21.edu.cn Dig @211.67.64.8 mx e21.edu.cn +trace建立ftp服务建立ftp服务ftp传输简介 使用Window上自带的ftp服务 使用开源的FileZilla建立ftp服务FTP服务简介FTP服务简介File Transfer Protocol 是用来文件传输的一种标准协议 使用TCP 21和TCP 20端口，21端口用于传输命令控制，20端口用于数据传输。 主动模式和被动模式 断点续传 开源ftp工具：FileZilla使用windows2003s自带的ftp服务使用windows2003s自带的ftp服务使用Filezilla server建立ftp服务使用Filezilla server建立ftp服务建立web服务建立web服务Web服务器的原理 利用IIS建立web服务 web发布、支持动态脚本（asp、php、asp.net） 利用IIS实现虚拟主机 虚拟主机 Web日志的利用和分析 webalizer、awstatweb服务器的基本原理web服务器的基本原理在windows2003s上安装IIS在windows2003s上安装IIS利用IIS发布一个网站利用IIS发布一个网站让IIS支持php动态脚本让IIS支持php动态脚本在一台IIS上建立多个虚拟站点在一台IIS上建立多个虚拟站点IIS站点web日志的管理与分析IIS站点web日志的管理与分析为每个站点保存独立的web日志 每天一个日志 独立目录，定期检查 web日志分析 webalizer/awstat 自动生成分析报表 在windows上自动分析weblog在windows上自动分析weblog安装webalizer download http://www.webalizer.org/ 编辑配置文件 webalizer.conf 建立批处理文件分析日志 @ECHO OFF set now=%date:~0,4%%date:~5,2%%date:~8,2% CALL C:\webalizer\webalizer.exe D:\logs\access_%now%.log 加入自动 计划 项目进度计划表范例计划下载计划下载计划下载课程教学计划下载 Web站点安全Web站点安全Windows系统安全 IIS的安全 脚本安全问 题 快递公司问题件快递公司问题件货款处理关于圆的周长面积重点题型关于解方程组的题及答案关于南海问题 Sql-inject、XSS跨站攻击 数据备份IIS的安全工具IIS的安全工具Microsoft官方提供的Urlscan http://www.iis.net/download/urlscan 屏蔽不合理的web请求 减轻sql-inject攻击 记录符合规则的攻击日志 每个web站点和目录使用独立的用户帐号 不使用不安全的IIS组件一次sql-inject的过程一次sql-inject的过程more.php?id=1 and (select ascii(substr(database(),2,1))  )<=256 and 1=1 第一步，它通过select database()来一个个获取数据库名中的字符，因为我们数据库名是4个字符，很快可以得到。 more.php?id=1 and (select length(cast(count(*) as char)) from information_schema.columns  where table_name=0x61646d696e and table_schema=0×63737879 limit 1)<=32 and 1=1 第二步，通过获得的数据库名，在得到表名之后（也是利用前一步方式）获取admin表的字段数量 more.php?id=1 and (select ascii(substr(column_name,1,1)) from (select * from (select * from information_schema.columns where table_name=0x61646d696e and table_schema=0×63737879 order by 1 limit 0,1) t order by 1 desc)t limit 1)>108 and 1=1 第三步，通过数据库和表名在mysql系统表里探测字段名称 more.php?id=1 and (select ascii(substr(user_pwd,3,1)) from (select * from (select * from admin where 1=1 order by 1 limit 2,1) t order by 1 desc)t limit 1)>56 and 1=1 第四步，得到了字段名user_pwd后，仍用每字符ascii吗的方式探测字段内容 more.php?id=1 and (select ascii(substr(user_name,4,1)) from (select * from (select * from admin where 1=1 order by 1 limit 2,1) t order by 1 desc)t limit 1)>128 and 1=1 第五步，同上，探测user_name的字段内容 通过上面的几个步骤基本可以拿到应用程序中的账号密码，然后试图进入管理界面后通过upload shell等方式进一步得到系统权限。 null一次sql-inject的实际处理处理过程: 1、分析web日志，根据被修改页面URL追查入侵路径 2、锁定存在sql-inject漏洞的脚本，向开发人员提出修改意见 3、在脚本中加强Get变量验证函数，过滤非法变量内容； 3、在web server上添加rewrite规则，过滤特殊sql-inject字符的URL访问 4、文件存档、安全报告。 我们在Apache中做的一些简单rewrite设置： RewriteEngine On RewriteBase / RewriteCond %{QUERY_STRING} %20and%20 [NC] RewriteCond %{QUERY_STRING} select%20 [NC] RewriteRule ^(.*) http://www.e21.cn/519.html [R] URL变量中包含and和select的请求，全部定向到错误提示页面。null一次DNS流量异常的处理2009年5月，暴风影音事件期间。 日常巡检中发现近一段时间内DNS A类查询量非常大，200次/sec 且集中为暴风影音相关的域名临时处理：在dns server上把 *.baofeng.com 手工指定到127.0.0.1 优化web访问质量优化web访问质量http压缩 页面优化 减小连接会话数