一、硬盘分区与操作系统的安装
硬盘分区：总的来讲在硬盘分区上面没什么值得深化剖析的地方，无非就是一个在分区前做好规划明白要去放 些什么东西， 如果真实不明白。那就只一个硬盘只分一个区，分区要一次性完成，不要先分成FAT32再转成NTFS。一次性分成 NTFS格式，以我个人习惯，系统盘一般给12G。建议运用光盘启动完成分区过程，不要加载硬盘软件。
系统安装：安装过程也没什么多讲的，安装系统是一个以个人性格为参数的活动，我建议在安装路径上保持默 认路径，好多文章上写什么安装路径要改成什么呀什么的，这是没必要的。路径保存在注册表里，怎么改都没用。在安装过程中就要选定你需要的服务，如一些 DNS、DHCP没特别需要也就不要装了。在安装过程中网卡属性中可以只保留TCP/IP 这一项，同时禁用NETBOIS。安装完成后如果带宽条件答应可用系统自带在线晋级。
二、系统权限与安全配置
前面讲的都是屁话，润润笔而已。话锋一转就到了系统权限设置与安全配置的实际操作阶段。系统设置网上有一句话是"最小的权限+最少的服务=最大的安全"。此句基本上是个人都看过，但我仿佛没有看到过一篇讲的比较详细稍具全面的文章，下面就以我个人经验作一次教学尝试！
2.1 最小的权限如何完成？
NTFS系统权限设置
在运用之前将每个硬盘根加上 Administrators 用户为全部权限(可选加入SYSTEM用户)
删除其它用户，进入系统盘：权限如下
C:WINDOWS Administrators SYSTEM用户全部权限 Users 用户默认权限不作修改
其它目录删除Everyone用户，切记C:Documents and Settings下All UsersDefault User目录及其子目录
如C:Documents and SettingsAll UsersApplication Data 目录默认配置保留了Everyone用户权限
C:WINDOWS 目录下面的权限也得注意,如 C:WINDOWSPCHealth、C:windowsInstaller也是保留了Everyone权限.
删除C:WINDOWSWebprinters目录，此目录的存在会造成IIS里加入一个.printers的扩展名，可溢出攻击
默认IIS错误页面已基本上没多少人运用了。建议删除C:WINDOWSHelpiisHelp目录
删除C:WINDOWSsystem32inetsrviisadmpwd，此目录为管理IIS密码之用，如一些因密码不同步 造成500 错误的时分运用 OWA 或 Iisadmpwd 修改同步密码，但在这里可以删掉，下面讲到的设置将会杜绝因系统设置造成的密码不同步问题。
打开C:Windows 搜索
net.exe;cmd.exe;tftp.exe;netstat.exe;regedit.exe;at.exe;attrib.exe;cacls.exe;format.com;
regsvr32.exe;xcopy.exe;wscript.exe;cscript.exe;ftp.exe;telnet.exe;arp.exe;edlin.exe;
ping.exe;route.exe;finger.exe;posix.exe;rsh.exe;atsvc.exe;qbasic.exe;runonce.exe;syskey.exe
修改权限，删除所有的用户只保存Administrators 和SYSTEM为所有权限
关闭445端口
HKEY_LOCAL_MACHINESystemCurrentControlSetServicesetBTParameters
新建 "DWORD值"值名为 "SMBDeviceEnabled" 数据为默认值"0"
禁止建立空联结
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa
新建 "DWORD值"值名为 "RestrictAnonymous" 数据值为"1" [2003默认为1]
禁止系统自动启动服务器共享
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters
新建 "DWORD值"值名为 "AutoShareServer" 数据值为"0"
禁止系统自动启动管理共享
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters
新建 "DWORD值"值名为 "AutoShareWks" 数据值为"0"
通过修改注册表防止小规模DDOS攻击
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters
新建 "DWORD值"值名为 "SynAttackProtect" 数据值为"1"
禁止dump file的产生
dump文件在系统崩溃和蓝屏的时分是一份很有用的查找问题的资料。然而，它也能够给黑客提供一些敏感信息比如一些应用程序的密码等。控制面板>系统属性>高级>启动和故障恢复把 写入调试信息 改成无。
关闭华医生Dr.Watson
在开始-运行中输入"drwtsn32"，或者开始-程序-附件-系统工具-系统信息-工具 -Dr Watson，调出系统里的华医生Dr.Watson ，只保留"转储全部线程上下文"选项，否则一旦程序出错，硬盘会读很久，并占用大量空间。如果以前有此情况，请查找user.dmp文件，删除后可节省几 十MB空间。
本地安全策略配置
开始 > 程序 > 管理工具 > 本地安全策略
账户策略 > 密码策略 > 密码最短运用期限 改成0天[即密码不过期，上面我讲到不会造成IIS密码不同步]
账户策略 > 账户锁定策略 >账户锁定阈值 5 次 账户锁定工夫 10分钟 [个人推荐配置]
本地策略 > 审核策略 >
账户管理 成功 失利
登录事件 成功 失利
对象访问 失利
策略更改 成功 失利
特权运用 失利
系统事件 成功 失利
目录服务访问 失利
账户登录事件 成功 失利
本地策略 > 安全选项 > 清除虚拟内存页面文件 更改为"已启用"
> 不显示上次的用户名 更改为"已启用"
> 不需要按CTRL+ALT+DEL 更改为"已启用"
> 不答应 SAM 账户的匿名枚举 更改为"已启用"
> 不答应 SAM 账户和共享的匿名枚举 更改为"已启用"
> 重命名来宾账户 更改成一个复杂的账户名
> 重命名系统管理员账号 更改一个自己用的账号 [同时可建立一个无用户组的Administrat账户]
组策略编辑器
运行 gpedit.msc 计算机配置 > 管理模板 > 系统 显示"关闭事件跟踪程序" 更改为已禁用
删除不安全组件
WScript.Shell 、Shell.application 这两个组件一般一些ASP木马或一些恶意程序都会运用到。
方案一：
regsvr32 /u wshom.ocx 卸载WScript.Shell 组件
regsvr32 /u shell32.dll 卸载Shell.application 组件
如果按照上面讲到的设置，可不必删除这两个文件
方案二：
删除注册表 HKEY_CLASSES_ROOTCLSID{72C24DD5-D70A-438B-8A42-98424B88AFB8} 对应 WScript.Shell
删除注册表 HKEY_CLASSES_ROOTCLSID{13709620-C279-11CE-A49E-444553540000} 对应 Shell.application
用户管理
建立另一个备用管理员账号，防止特别情况发生。
安装有终端服务与SQL服务的服务器停用TsInternetUser, SQLDebugger这两个账号
用户组说明
在将来要运用到的IIS中，IIS用户一般运用Guests组，也可以再重新建立一个独立的专供IIS运用的组，但要将这个组赋予C:Windows 目录为读取权限[单一读取] 个人不建议运用单独目录，太小家子气。
二、系统权限与安全配置
2.2最少的服务如果完成
黑色为自动 绿色为手动 红色为禁用
Alerter
Application Experience Lookup Service
Application Layer Gateway Service
Application Management
Automatic Updates [Windows自动更新,可选项]
Background Intelligent Transfer Service
ClipBook
COM+ Event System
COM+ System Application
Computer Browser
Cryptographic Services
DCOM Server Process Launcher
DHCP Client
Distributed File System
Distributed Link Tracking Client
Distributed Link Tracking Server
Distributed Transaction Coordinator
DNS Client
Error Reporting Service
Event Log
File Replication
Help and Support
HTTP SSL
Human Interface Device Access
IIS Admin Service
IMAPI CD-Burning COM Service
Indexing Service
Intersite Messaging
IPSEC Services [如果运用了IP安全策略则自动，如无则禁用，可选操作]
Kerberos Key Distribution Center
License Logging
Logical Disk Manager [可选，多硬盘建议自动]
Logical Disk Manager Administrative Service
Messenger /li>
Microsoft Search
Microsoft Software Shadow Copy Provider
MSSQLSERVER
MSSQLServerADHelper
Net Logon
NetMeeting Remote Desktop Sharing
Network Connections
Network DDE
Network DDE DSDM
Network Location Awareness (NLA)
Network Provisioning Service
NT LM Security Support Provider
Performance Logs and Alerts
Plug and Play
Portable Media Serial Number Service [微软反盗版工具，目前只针对多媒体类]
Print Spooler
Protected Storage
Remote Access Auto Connection Manager
Remote Access Connection Manager
Remote Desktop Help Session Manager
Remote Procedure Call (RPC)
Remote Procedure Call (RPC) Locator
Remote Registry
Removable Storage
Resultant Set of Policy Provider
Routing and Remote Access
Secondary Logon
Security Accounts Manager
Server
Shell Hardware Detection
Smart Card
Special Administration Console Helper
SQLSERVERAGENT
System Event Notification
Task Scheduler
TCP/IP NetBIOS Helper
Telephony
Telnet
Terminal Services
Terminal Services Session Directory
Themes
Uninterruptible Power Supply
Upload Manager
Virtual Disk Service
Volume Shadow Copy
WebClient
Windows Audio [服务器没必要运用声响]
Windows Firewall/Internet Connection Sharing (ICS)
Windows Image Acquisition (WIA)
Windows Installer
Windows Management Instrumentation
Windows Management Instrumentation Driver Extensions
Windows Time
Windows User Mode Driver Framework
WinHTTP Web Proxy Auto-Discovery Service
Wireless Configuration
WMI Performance Adapter
Workstation
World Wide Web Publishing Service
以上操作完成以后是否就"最小的权限+最少的服务=最大的安全"呢？其实不然，任何事物都是相对的
依我个人而见，以上设置也只是最基本的一些东西而已，如有遗漏，稍后补上！
三、IIS、终端服务、FTP、SQL的配置
3.1 IIS配置
IIS6与IIS5有着很多不同之处，不一一列举，也不是我一个脑袋可以装下的东西。都在资料上！IIS6有一个特别不方便的东西，就是他限制了在线上传不得大于200K，如何修改，请看：
首先停用IIS服务，> 服务 > iis admin service > 停用
C:windowssystem32inetsrv metabase.xml 文件 用记事本打开它
找到 ASPMaxRequestEntityAllowed 处。默认为 204800 即 204800字节(200K)
修改为想要的数字如： 2048000 [2M] 保存，重启IIS服务即可！
设置基本参数
打开IIS管理器 > 网站 > 属性 >
网站 > 启动日志记录 > 关闭
主目录 > 配置 > 应用程序扩展 > 只保留 asp,asa
主目录 > 配置 > 选项 > 启用父目录
主目录 > 配置 > 调试 > 向客户端发送文本错误消息
网站 > 自定义错误 > 全部改成默认值 [上一章已经删除IIS运用的错误信息页面]
IIS管理器 > WEB服务扩展 > 启用 Active Server Pages
注：停用IIS默认站点，切勿删除，有可能会造成IIS的不稳定。
站点的建立将在第四节中详细介绍。
IIS支持PHP的配置
http://www.php.net/downloads.php 以 PHP 5.1.1 为例
下载php-5.1.1-Win32.zip 解压到 D:php 或任意目录 赋予该目录IIS用户组读取权限
将ext目录中的所有文件复制到 C:WindowsSystem32目录下面
以记事本打开php.ini-dist文件
查找 extension_dir = "./" 更改为 extension_dir = "D:phpext"
查找 ; Windows Extensions 更改下面的参数
如要开通GD库支持 则将;extension=php_gd2.dll 前面的冒号删除
依此类推，更多设置参考PHP.INI中文版。完成设置好另存在C:Windowsphp.ini
尔后在IIS设置中 IIS管理器 > 网站 > 属性 > 主目录 > 配置 > 映射
添加 D:phpphp5isapi.dll 扩展名.php
其次在WEB服务扩展中 添加一个新的扩展名 PHP 执行位置 D:phpphp5isapi.dll 设为答应即可
由于WIN平台对MYSQL与PHP的搭配无法体现性能优势。个人建议WIN平台PHP程序要运用数据库建议远程
或搭配文本数据库。
终端服务配置
开始 > 程序 > 管理工具 > 终端服务配置 > 联结
选择右侧列出的联结 属性 > 权限 删除所有用户组 添加单一的答应运用的管理员账户,这样即使服务器
被创建了其它的管理员.也无法运用终端服务。
另外在会话设置中可以进一步设置断1 D、注销等一些参数。
Jmail 组件的安装
建议运用 w3 JMail Personal V4.3 这里为免费版 http://www.skycn.net/soft/5555.html
默认安装至 D:w3JMail4_35434fnald [同样，复杂的目录名]
安装完成后只需单一设置 jmail.dll 权限，加入IIS用户组默认权限即可！
SQL Server 2000 的安装与配置
目前SQL Server 2000 + SP4 在我看来已算比较安全，已没有SP3等版本会因为 sqlstp.log, sqlsp.log而泄露
安装信息的问题。当然也建议在安全后 检查
目录中是否存在有 sqlstp.log, sqlsp.log, setup.iss文件，如果有，则备份至其它位置。
数据库的建立这里就不多讲了。更多设置可以参考SQL SERVER 2000帮助文档！
四、站点的建立
站点的建立有肯定的操作标准，当然这都是些屁话，能运行就行了。
上面讲到的设置已经为下面的建立站点创造了一个良好的条件，只需要严格按照控制每个站点的权限就充足了，不要因为工夫紧而不设置站点FSO或将目录权限开到最大。操作上的疏忽偶然会带来一点小麻烦。
建立站点前 首先在用户管理中建立一个站点所需要运用的用户名。
比如我们要建立一个名为 HostNew的站点 绑定域名hostnew.com
建立一用户Iusr_hostnew.com [对IIS用户增加统一的前缀方便将来的管理] 设置一个复杂的密码
修改该用户所属用户组为Guests 或 你准备好的IIS用户组。删除默认的Users用户组.
尔后给站点需要运用的目录加上这个用户为读取、写入权限。不如果默认权限，默认权限拥有运行权限
那么站点就可以通过FSO来执行或利用其它方式来执行一些恶意程序破坏服务器配置。
尔后打开IIS管理器 > 网站 > 新建站点 设置好后
打开新站点属性 > 目录安全性 > 身份验证和访问控制 > 编辑 > 选择刚才建立的用户[Iusr_hostnew.com]
输入该用户的密码.确认.应用.即可,此时该站点的权限已控制在该站点目录!
其实这一切都是相对比较简朴的.也没有什么可值得称道的地方.
如果该站点不运用ASPPHPCGI等脚本 在该站点属性 > 主目录里面 > 执行权限 里面选择 无
如果要执行ASP等脚本 则 选择纯脚本.如果PHPCGI等脚本运用的是EXE文件执行方式.则选择脚本和可执行文件
http://www.kehaowang.com/html/1042.html
相关知识
windows 2003 vps 服务器安全配置（全）
2015最全二手房交易税费与过户费详解（全）
Windows XP网络应用技巧集锦（2）
Windows Server服务器日常管理技巧
深入讨论如何保护Windows 7安全（2）
深入讨论如何保护Windows 7安全 （3）
如何应对虚拟化的三种安全风险
企业服务器安全防护的七个切入点
模拟经营类网页游戏都有哪些？（一）
2011惠达•亚太住宅（装饰）产业化论坛(图)