信息安全分析与加固 密 级： 内 部 版 本 文档编号： SEC2008-JG002 编 写：信息安全评估项目

Pepo网站 安全分析与加固报告

广州易城计算机信息技术有限公司

信息安全评估项目组

Guangzhou Ewall Computer Information Technology CO.,LTD

2008-1-20

1

信息安全分析与加固 密 级： 内 部 版 本 文档编号： SEC2008-JG002 编 写：信息安全评估项目目 录

第一章 分析概述 ................................................................................................................... 3

1.1 概述 .................................................................................................................................... 3 1.2风险分析对象 ..................................................................................................................... 4 1.3风险分析方法 ..................................................................................................................... 4 第二章 威胁分析 ................................................................................................................... 5

2.1 风险分析总论 .................................................................................................................... 5 2.2 pepo站点安全分析 ............................................................................................................ 5

2.2.1 上传漏洞 ................................................................................................................. 5 2.2.2 ServU溢出漏洞 ....................................................................................................... 8 2.2.3日志分析 .................................................................................................................. 9 2.2.4管理帐号分析 ........................................................................................................ 10 2.2.5数据库连接帐号分析 ............................................................................................ 11 2.2.6服务器权限设置分析 ............................................................................................ 11 2.2.7系统检测 ................................................................................................................ 18 2.2.8 SQL服务器 ................................................................................................................... 22 2.2.9 站点综合分析 ............................................................................................................... 25 第三章 安全加固 ................................................................................................................. 25

3.1 上传漏洞加固 .................................................................................................................. 25 3.2 ServU溢出漏洞修补........................................................................................................ 25 3.3 ASP木马防御加固 ........................................................................................................... 26 3.4 数据库帐号 ...................................................................................................................... 26 3.5杀毒软件 ........................................................................................................................... 27 3.6 IIS设置加固 ..................................................................................................................... 28 3.7 管理员权限设置 .............................................................................................................. 30 3.8 本地安全策略 服务设置 ................................................................................................ 31 3.9 终端连接加固 .................................................................................................................. 37 3.10 SQL数据库服务器加固 ................................................................................................ 38 第四章 安全建议 ................................................................................................................. 38

4.1 安全建议 .......................................................................................................................... 38 4.2 总论 .................................................................................................................................. 39

2

信息安全分析与加固 密 级： 内 部 版 本 文档编号： SEC2008-JG002 编 写：信息安全评估项目第一章 分析概述

1.1 概述

通过对pepo网站采用渗透测试和远程安全分析并对其分析出来的安全漏洞进行加固，本章描述本次分析过程中所采用的技术和工具。

通过本次对pepo网站的安全漏洞以及威胁点进行分析对pepo网进行加固，消除威胁源并对pepo网以后的发展过程中将会遇到的安全问题提出预测性的方案。

本次所采用的安全分析方法逻辑描述分析图为：

其意义为：

1) 信息资产具有价值，并会受到威胁的潜在影响；

3