如此RH下的WEB服务器安全吗？

Question

这是热心网友“黑鹰”的回贴：

我用的是RH7.x做WEB服务器，平时安装好后，第一步就是升级内核到稳定版的（2.4.20.xx.xx），然后关闭一切服务。

安装SSH，APACHE，MYSQL，PHP，PROFTPD，安装后服务器上只有4个端口是开放运行的。22,21,80,3306

然后配置每一个运行软件，把他们的端口改了，如 4401,4402,4403（自己都不知道那个是那个了）

然后，限一下只有指定的IP地址端才可以连接SSH（如，只有你的上网商的IP端219.109.*.* 可以连接）

然后同样的配置一下PROFTPD的连接限。

然后删除MYSQL可以远线连接。

好了，现在你去黑这台服务器吧。理论上，你扫这台服务器，只有一个端口，如80，这个端口是WEB服务器的。

请问，你怎么黑？？

apache版本是否存在远程溢出？
PHP本身有没有什么问题了？

最好及时打补丁、定期做好服务器各种性能的监测、备份

“黑鹰”可以写个具体的实施过程吗？

偶想很多网友都会谢你的

^_^

Answer 1

不管怎么改端口，只要有开着的，我就能试，不一定成功。但DDoS一定是管点用的。请问你还怎么办？

Answer 2

[quote]原帖由 "q1208c"]不管怎么改端口，只要有开着的，我就能试，不一定成功。但DDoS一定是管点用的。请问你还怎么办？[/quote 发表：

老大，只要有开这个服务，DDOS一定是免不了的

请问目前为止要有谁可以防得住它呢？

所以我们只能积极防御

这个贴的目的是如何构建一个尽量安全点的网络

没有绝对的安全

我们能做的就是更加安全

Answer 3

是呀!但你转贴的那个楼主也做的有点问题，就是为什么要开ssh呢？

Answer 4

[quote]原帖由 "q1208c"]是呀!但你转贴的那个楼主也做的有点问题，就是为什么要开ssh呢？[/quote 发表：

这个偶就不清楚了

偶的目的就是可以为大家带来方便

我们可以在这基础上让网络更加安全

比如：
可以用ntsysv关闭所有的服务，而只开crond、network、random、sshd、syslog、xinetd（下面没有服务要用的话，可以关闭）、httpd等。

限制IP碎片，每秒钟只允许100个碎片，防止DoS攻击
iptables -A INPUT -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT

Answer 5

我关了几乎所有的service ，连我自己都得用串口线连上去了。

Answer 6

[quote]原帖由 "q1208c"]我关了几乎所有的service ，连我自己都得用串口线连上去了。[/quote 发表：

这样就转移到物理安全上

高啊^_^

Answer 7

转“轩辕砍刀”的“Linux网络安全之经验谈(周侃)”

§关于开启的服务：

默认的linux 就是一个强大的系统，运行了很多的服务。但有许多服务是不需
要的，很容易引起安全风险。这个文件就是/etc/inetd.conf ，它制定了/usr/sbin/inetd
将要监听的服务，你可能只需要其中的两个：telnet和ftp ，其它的类如shell ，
login ， exec ， talk ， ntalk， imap ， pop-2， pop-3， finger ， auth ，
etc.除非你真的想用它。否则统统关闭之。

你先用下面的命令显示没有被注释掉的服务：

grep -v "#" /etc/inetd.conf

这个命令统计面前服务的总数：

ps -eaf|wc -l

需要提醒你的是以下三个服务漏洞很多，强烈建议你关闭它们：S34yppasswdd
（NIS 服务器）、S35ypserv （NIS 服务器）和S60nfs（NFS 服务器）。

我们可以运行#killall -HUP inetd 来关闭不需要的服务。当然，你也可以运
行

#chattr +i /etc/inetd.conf

如果你想使inetd.conf文件具有不可更改属性，而只有root才能解开，敲以下
命令

#chattr -i /etc/inetd.conf

当你关闭一些服务以后，重新运行以上命令看看少了多少服务。运行的服务越
少，系统自然越安全了。我们可以用下面命令察看哪些服务在运行：

Answer 8

也是没事玩的，要不然，机器要是有问题，累都累死了。

不过，为了这个，还学会了怎么用串口线连上去装，怎么在Linux下用串口线连别的机器(minicom)，也总算没白忙。

Answer 9

原帖由 "q1208c" 发表：
也是没事玩的，要不然，机器要是有问题，累都累死了。

不过，为了这个，还学会了怎么用串口线连上去装，怎么在Linux下用串口线连别的机器(minicom)，也总算没白忙。

那这样你真的要发个贴

教教”菜鸟“——暂时没用过串口线的网友^_^