目前用来做团队博客用

主要记录在网络中学习资料心得和本空间的性质一样

我自己的站自己会给大家提供更好的服务！（百度空间不能提供下载很多东西朋友们不能下载）

希望大家常来！看看www.zhuim.com 追逐梦想 资源共享-网络足迹

追逐梦想！zhuim.com 资源共享,记录我们网络学习成长足迹,帮助遇到同样问题的朋友解决重复的疑问

选择一款博客系统软件是一件非常艰难的事情，特别是对一个新手来说。在当今的网络世界中，有太多的博客系统软件和CMS(内容管理系统)可供选择，因此如何从中挑选一款适合你自己类型的博客系统不是一件容易的事情。

在选择博客管理系统软件的时候有很多方面需要考虑，比如：

▪ 程序语言

虽然许多博客平台使用PHP或Rails语言，但是你还是可以找到你想要的程序语言。

▪ 你需要哪些功能

你所选择的博客系统软件完全取决于你需要使用的博客类型。一些博客系统专门针对新手，而一些是专门针对开发和设计人员的。因此你需要选择适合你自己的。

▪ 博客系统软件的社区大小

如果一个博客系统软件对于单独的一个博客体系来看足够大，但是相对于另外的博客系统社区相对小很多，而且活跃度相对较低的话，那么就应该选择更具社区活跃度的软件。开发社区中更多的活跃度和使用者意味着该软件代码的改善度也更快。

▪ 博客系统软件的新旧程度

博客系统软件的新旧程度意味着该博客平台的成熟度。全新开发的博客系统稳定性会较差，而且存在更多的bug。

▪ 你是否计划未来拓展你的博客

如果你考虑未来在你的博客上增加像论坛、网店或其它功能的模块，那么你就应该在最开始就选择具备这些功能的博客系统软件。

你所选择的博客系统软件对你的博客具有相当大的影响。你必须在最开始就选对才能够避免日后更换系统时带来的不必要的麻烦。下面介绍10款非常流行的博客系统软件，并列举各自的优势和劣势。

1. Wordpress

Wordpress是目前最为流行的博客平台。它具有非常直观的网页结构的安装模式，适合各个阶段的使用人群。

Wordpress社区可以说是博客系统软件最主要的财富来源。它有一个非常庞大的、极具影响力的、针对开发者和使用者的社区，用户可以在这里找到任何主题和插件。而且，你可以任意扩展软件，许多网站和服务商都使用基于Wordpres的代码进行软件开发。Wordpress还集成了Akismet，一个最有效的博客软件防垃圾系统。

Wordpress对于一个新手来说，无论是安装还是下载更新都是十分容易，只需一键即可自动完成。学习使用Wordpress只需要很少的时间，如果新手遇到问题的话可以通过拓展文件进行查找解决。对于一个第一次涉足博客网站的新手来说，Wordpress已经相当完美了，而对于一个高级开发者来说，Wordpress可以提供具有延伸性的稳定的代码，让你的博客更加与众不同。

如果你想创建一个多博客系统，你可以查看Wordpress MU。Wordpress MU和独立博客系统Wordpress的代码标准是一样的，而且增加了一些其他的功能。

基于Wordpress的网站欣赏

Web Designer Wall

I Love Typography

Binary Moon

Superflous Banter

2. Movable Type

和Wordpress作为最被广泛采用的博客平台不同，Movable Type更多的为高流量的博客网站提供更丰富的安装程序。这些高端安装程序包括（当然不仅限于）Huffington Post（网络上最流行的博客系统），Gawker blogs (如Lifehacker, Gizmodo等), BoingBoing以及dooce。

这些高流量的网站之所以使用Movable Type最主要的原因是它内建了多博客平台，而且只需一步安装即可实现。你可以快速创建你希望数量的博客，以及创建一个博客网络，例如Huffington Post和Gawker。

虽然Moveable Type就用户友好度来说落后于Wordpress，但是Moveable Type在交互界面和安装上做了很大的改善，而且近期迈出了最具成就的一步就是转变了一个开源的平台，这对于社区来说意义非凡。

Movable Type对于创建多博客系统或网络来说是个最佳选择，而且它可以帮助创造巨大的网络流量。

基于Movable Type的网站欣赏

Kevin Kornell

Cameron Moll

Dave Shea

Dan Cederholm

3. ExpressionEngine

ExpressionEngine 是一款非常具有活力的博客平台，不过它不是免费的。ExpressionEngine最有特色的地方是它可以同时发布多个网站，无论是使用同一域名下的不同次级域名，还是直接使用多个域名。

你可以使用相同的代码基准进行不同域名的多网站开发。该款软件具有一个十分简洁的后台，让博客们可以轻易上手。开发者和设计人员喜欢ExpressionEngine是因为它的操作十分简单。

ExpressionEngine是一款面向创建多博客网站使用者的工具，但是任何人都可以轻松的上手使用该软件，这都要归功于它深思熟虑而且近乎完美的设计。受价$99.95，如果你只想创建一个个人博客网站的话可以下载它的核心版本EE。

基于Expression Engine的博客欣赏

Jesse Bennett-Chamberlain

Veerle Pieters

4. Drupal

Drupal并不是一个典型的博客系统软件。虽然它拥有一个庞大的社区而且很多博客都使用它作为博客系统软件，但是不仅仅是个博客软件。Drupal实际上是一个社区平台系统软件。

作为一个博客社区的系统软件，Drupal确实光芒四射。Performancing就是一个例子。无论你想创建一个独立博客网站还是多博客网站，Drupal都是一个不错的选择。

Drupal的另外一个亮点就是它的多功能模块性。它不仅具有充满活力的用户系统，而且还拥有很多社区友好功能，比如论坛、书籍（在"book"结构下中创建文件）以及可以随时追踪其它使用者的内容更新的tracker。

Drupal还拥有一个庞大的开发者和模块社区。利用这些模块可以创建任何形式的网站或者添加几乎任何功能。许多主流的大型网站都使用Drupal来发布他们的多博客以及用户社区。例如Performancing, Spread Firefox, The Onion, 以及Ubuntu等。

Drupal对于想要添加论坛或者其它扩展功能的博客创建者来说是一个非常棒的选择。

基于Drupal的博客欣赏

43 Folders

Abduzeedo

5. Textpattern

Textpattern 是一款十分简单的博客平台。它甚至没有集成WYSIWYG编辑器，取而代之的是Textile，一个简单的标记语言工具来格式化文本。

Textpattern相对于ExpressionEngine来说是一款非常简单的软件，不像ExpressionEngine那样提供很多的扩展特性。但是Textpattern是一款非常稳定和成熟的软件，它不是初级使用者的最好选择，毕竟它需要使用者懂得Textile语言，或者可以使用html编写文章。如果你需要一个WYSIWYG编辑器，就必须安装额外的插件。

Textpatter有很多的主题模版和扩展工具，虽然开发者社区不像Wordpress那样庞大，但是社区忠诚度非常高。

Textpattern对于喜欢简单而且并不介意使用Textile的高级开发博客创建者来说是一个不错的选择。

基于Textpattern的博客欣赏

Hicksdesign

UX Magazine

NZRN

Erratic Wisdom

6. Joomla

Joomla是一个CMS，和Drupal有些类似。相对Drupal面向于社区平台和博客来说，Joomla更倾向于电子商务平台。

不管它们有多大区别，Joomla在易用性上和Drupal非常相像。而且Joomla拥有一个非常有名开发社区，提供许多扩展功能。

Joomla对于想要创建一个博客社区网站，并且加入电子商务功能的人来说是个不错的选择。

7. b2evolution

b2evolution是又一款既可以创建独立博客网站，也可以创建大型博客网络的系统软件。不过，b2evolution的开发社区比较薄弱，仅提供200来个插件（Joomla社区大概能有3400多个插件）。

虽然b2developer的开发社区并不庞大，但是它具有一个大有可为的代码基准以及很多人仍然在使用b2developer来壮大他们的博客和博客社区。

该博客软件的后台对于初级使用者来说极易上手。而且内建统计功能，这是大多数博客系统软件所不具备的。而且该软件还具有一个小型WYSIWYG编辑器，对于初级博客使用者来说非常不错。

8. Nucleus CMS

Nucleus 也是一款可以创建独立博客和多博客的软件。就功能和开发社区来说，它和b2evolution有些相像，具有一系列非常棒的扩展和有用的插件及主题，使用者可以根据需要个性化安装。

Nucleus比b2evolution的界面更为优雅和舒服，并且后台也简单易用。而且，Nucleus更新非常快。你可以在下载安装该软件之前在其测试网站上试用该软件。

Nucleus对于需要一款简单易用的博客系统来创建独立或多个博客的使用者来说是个非常好的选择。

9. Serendipity

Serendipity 是一款对于初级使用者来说非常友好的博客平台。它可以自动更新插件。而且其内建的评论模块是其它许多博客系统在没有安装插件的情况下所不具备的。

Serendipity使用了高性能的智能模版系统，并且使用了快速而简洁的PHP代码。如果你是一个博客新手，Serendipity提供了一个安装向导帮助完成软件安装。和b2evolution及Nucleus不同，Serendipity不提供多博客安装，不过你可以进行独立博客的多用户安装。

10. Mephisto

到目前为止，我们所提到的博客系统软件都是基于PHP语言的。而Mephisto博客系统是基于Rails语言的。Mephisto提供一个非常简单界面的后台，并且极具直观性。你可以通过内建的模版编辑器控制它的每一部分的外观。

Mephisto还没有提供更过的模版和插件来个性化博客外观。Mephisto更多的是一款博客框架软件。

对于有能力创建自己的主题和插件的网页设计人员和开发人员来说，Mephisto更多的是一个博客平台。而对于初级使用者来说，还是推荐使用Wordpress或者 Movable Type。这两款流行的博客平台可以通过插件和不同的主题更轻松的个性化博客。

substring()
——任意位置取子串

left()
right()
——左右两端取子串

ltrim()
rtrim()
——截断空格，没有trim()。

charindex()
patindex()
——查子串在母串中的位置，没有返回0。区别：patindex支持通配符，charindex不支持。

函数功效：
字符串截取函数，只限单字节字符使用（对于中文的截取时遇上奇数长度是会出现乱码，需另行处理），本函数可截取字符串指定范围内的字符。

应用范围：
标题、内容截取

函数格式：
string substr ( string string, int start [, int length])
参数1：处理字符串
参数2：截取的起始位置（第一个字符是从0开始）
参数3：截取的字符数量
substr()更多介绍可在PHP官方手册中查询（字符串处理函数库）

举例：
substr("ABCDEFG", 0);     //返回：ABCDEFG，截取所有字符
substr("ABCDEFG", 2);     //返回：CDEFG，截取从C开始之后所有字符
substr("ABCDEFG", 0, 3); //返回：ABC，截取从A开始3个字符
substr("ABCDEFG", 0, 100); //返回：ABCDEFG，100虽然超出预处理的字符串最长度，但不会影响返回结果，系统按预处理字符串最大数量返回。
substr("ABCDEFG", 0, -3); //返回：EFG，注意参数-3，为负值时表示从尾部开始算起，字符串排列位置不变

例子:

1.截取已知长度的函数

  A.截取从字符串左边开始N个字符

Declare @S1 varchar(100)      Select @S1='http://www.163.com'      Select Left(@S1,4)      ------------------------------------      显示结果: http

  B.截取从字符串右边开始N个字符(例如取字符www.163.com)

Declare @S1 varchar(100)      Select @S1='http://www.163.com'      Select right(@S1,11)        ------------------------------------      显示结果: www.163.com

  C.截取字符串中任意位置及长度(例如取字符www)

Declare @S1 varchar(100)      Select @S1='http://www.163.com'      Select SUBSTRING(@S1,8,3)        ------------------------------------      显示结果: www.163.com

     以上例子皆是已知截取位置及长度,下面介绍未知位置的例子

2.截取未知位置的函数

  A.截取指定字符串后的字符串(例如截取http://后面的字符串)

     方法一:

Declare @S1 varchar(100)      Select @S1='http://www.163.com'        Select Substring(@S1,CHARINDEX('www',@S1)+1,Len(@S1))      /*此处也可以这样写:Select Substring(@S1,CHARINDEX('//',@S1)+2,Len(@S1))*/      ------------------------------------      显示结果: www.163.com

     需要注意:CHARINDEX函数搜索字符串时,不区分大小写,因此CHARINDEX('www',@S1)也可以写成CHARINDEX('WWW',@S1)

     方法二:(与方法一类似)

Declare @S1 varchar(100)      Select @S1='http://www.163.com'        Select Substring(@S1,PATINDEX('%www%',@S1)+1,Len(@S1))      --此处也可以这样写:Select Substring(@S1,PATINDEX('%//%',@S1)+2,Len(@S1))      ------------------------------------      显示结果: www.163.com

   函数PATINDEX与CHARINDEX区别在于:前者可以参数一些参数,增加查询的功能

     方法三:

Declare @S1 varchar(100)      Select @S1='http://www.163.com'        Select REPLACE(@S1,'http://','')      ------------------------------------      显示结果: www.163.com

  利用字符替换函数REPLACE,将除需要显示字符串外的字符替换为空

     方法四:

Declare @S1 varchar(100)      Select @S1='http://www.163.com'        Select STUFF(@S1,CHARINDEX('http://',@S1),Len('http://'),'')      ------------------------------------      显示结果: www.163.com

  函数STUFF与REPLACE区别在于:前者可以指定替换范围,而后者则是全部范围内替换

  B.截取指定字符后的字符串(例如截取C:\Windows\test.txt中文件名)
       与A不同的是,当搜索对象不是一个时,利用上面的方法只能搜索到第一个位置

     方法一:

Declare @S1 varchar(100)      Select @S1='C:\Windows\test.txt'      select right(@S1,charindex('\',REVERSE(@S1))-1)      -------------------------------------      显示结果: text.txt

利用函数REVERSE获取需要截取的字符串长度

substr()

例子:

private void DDL_AreaBind()
          {
              conn = new SqlConnection(ConfigurationManager.ConnectionStrings["strcon"].ConnectionString);
              string str = "0000";
              cmd = new SqlCommand("select AreaID,Name=ltrim(Name) from Area where    right(AreaID,4) ='" + str + "'", conn);
              SqlDataAdapter sda = new SqlDataAdapter(cmd);
              sda.Fill(ds, "area");
              this.ddl_area.DataSource = ds.Tables["area"].DefaultView;
              this.ddl_area.DataTextField = "Name";
              this.ddl_area.DataValueField = "AreaID";
              this.ddl_area.DataBind();

            
              cmd = new SqlCommand("select * from Area    ", conn);
              cmd.CommandType = CommandType.Text;
              SqlDataAdapter adapter = new SqlDataAdapter(cmd);
              adapter.Fill(ds, "city");
              this.ddl_city.DataSource = ds.Tables["city"].DefaultView;
              this.ddl_city.DataTextField = "Name";
              this.ddl_city.DataValueField = "AreaID";
              this.ddl_city.DataBind();
          }

protected void ddl_area_SelectedIndexChanged(object sender, EventArgs e)
          {
              conn = new SqlConnection(ConfigurationManager.ConnectionStrings["strcon"].ConnectionString);
              this.ddl_city.Enabled = true;
              string str1="0000";
              cmd = new SqlCommand("select AreaID,Name from Area where substring(AreaID,1,2)='" + this.ddl_area.SelectedValue.Substring(0,2)    + "' AND substring(AreaID,3,4) <> '0000' AND substring(AreaID,5,2)='00'    ", conn);
              cmd.CommandType = CommandType.Text;
              SqlDataAdapter adapter = new SqlDataAdapter(cmd);
              DataSet ds = new DataSet();
              adapter.Fill(ds, "city");
              this.ddl_city.DataSource = ds.Tables["city"].DefaultView;
              this.ddl_city.DataTextField = "Name";
              this.ddl_city.DataValueField = "AreaID";
              this.ddl_city.DataBind();
          }

2、关闭445端口
关闭445端口的方法有很多，但是我比较推荐以下这种方法：
修改注册表，添加一个键值
Hive: HKEY_LOCAL_MACHINE
Key: System\CurrentControlSet\Services\NetBT\Parameters
Name: SMBDeviceEnabled
Type: REG_DWORD
Value: 0
3、如何关闭135等端口
默认情况下，Windows有很多端口是开放的，在你上网的时候，网络病毒和黑客可以通过这些端口连上你的电脑。为了让你的系统变为铜墙铁壁，应该封闭这些端口，主要有：TCP 135、139、445、593、1025 端口和 UDP 135、137、138、445 端口，一些流行病毒的后门端口（如 TCP 2745、3127、6129 端口），以及远程服务访问端口3389。下面介绍如何在WinXP/2000/2003下关闭这些网络端口：

第一步，点击“开始”菜单/设置/控制面板/管理工具，双击打开“本地安全策略”，选中“IP 安全策略，在本地计算机”，在右边窗格的空白位置右击鼠标，弹出快捷菜单，选择“创建 IP 安全策略”（如右图），于是弹出一个向导。在向导中点击“下一步”按钮，为新的安全策略命名；再按“下一步”，则显示“安全通信请求”画面，在画面上把“激活默认相应规则”左边的钩去掉，点击“完成”按钮就创建了一个新的IP 安全策略。

第二步，右击该IP安全策略，在“属性”对话框中，把“使用添加向导”左边的钩去掉，然后单击“添加”按钮添加新的规则，随后弹出“新规则属性”对话框，在画面上点击“添加”按钮，弹出IP筛选器列表窗口；在列表中，首先把“使用添加向导”左边的钩去掉，然后再点击右边的“添加”按钮添加新的筛选器。

第三步，进入“筛选器属性”对话框，首先看到的是寻址，源地址选“任何 IP 地址”，目标地址选“我的 IP 地址”；点击“协议”选项卡，在“选择协议类型”的下拉列表中选择“TCP”，然后在“到此端口”下的文本框中输入“135”，点击“确定”按钮（如左图），这样就添加了一个屏蔽 TCP 135（RPC）端口的筛选器，它可以防止外界通过135端口连上你的电脑。

点击“确定”后回到筛选器列表的对话框，可以看到已经添加了一条策略，重复以上步骤继续添加 TCP 137、139、445、593 端口和 UDP 135、139、445 端口，为它们建立相应的筛选器

关闭windows2003不必要的服务

　　·Computer Browser 维护网络上计算机的最新列表以及提供这个列表

　　·Task scheduler 允许程序在指定时间运行

　　·Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务

　　·Removable storage 管理可移动媒体、驱动程序和库

　　·Remote Registry Service 允许远程注册表操作

　　·Print Spooler 将文件加载到内存中以便以后打印。

　　·IPSEC Policy Agent 管理IP安全策略及启动ISAKMP/OakleyIKE)和IP安全驱动程序

　　·Distributed Link Tracking Client 当文件在网络域的NTFS卷中移动时发送通知

　　·Com+ Event System 提供事件的自动发布到订阅COM组件

　　·Alerter 通知选定的用户和计算机管理警报

　　·Error Reporting Service 收集、存储和向 Microsoft 报告异常应用程序

　　·Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息

　　·Telnet 允许远程用户登录到此计算机并运行程序

这里着重谈需要的权限，也就是最终文件夹或硬盘需要的权限，可以防御各种木马入侵，提权攻击，跨站攻击等。本实例经过多次试验，安全性能很好，服务器基本没有被木马威胁的担忧了。

硬盘或文件夹: C:\ D:\ E:\ F:\ 类推
主要权限部分： 其他权限部分：
Administrators 完全控制 无
如果安装了其他运行环境，比如PHP等，则根据PHP的环境功能要求来设置硬盘权限，一般是安装目录加上users读取运行权限就足够了，比如c:\php的话，就在根目录权限继承的情况下加上users读取运行权限，需要写入数据的比如tmp文件夹，则把user的写删权限加上，运行权限不要，然后把虚拟主机用户的读权限拒绝即可。如果是mysql的话，可以把mysql安装目录只要同硬盘根目录权限就可以了。如果是winwebmail，则最好建立独立的应用程序池和独立IIS用户，然后整个安装目录有user用户的读/运行/写/权限，IIS用户则相同，这个IIS用户就只用在winwebmail的WEB访问中，其他IIS站点切勿使用，安装了winwebmail的服务器硬盘权限设置后面举例
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Inetpub\
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<继承于c:\>
CREATOR OWNER 完全控制
只有子文件夹及文件
<继承于c:\>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<继承于c:\>

硬盘或文件夹: C:\Inetpub\AdminScripts
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Inetpub\wwwroot
主要权限部分： 其他权限部分：
Administrators 完全控制 IIS_WPG 读取运行/列出文件夹目录/读取
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制 Users 读取运行/列出文件夹目录/读取
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
这里可以把虚拟主机用户组加上
同Internet 来宾帐户一样的权限
拒绝权限 Internet 来宾帐户 创建文件/写入数据/:拒绝
创建文件夹/附加数据/:拒绝
写入属性/:拒绝
写入扩展属性/:拒绝
删除子文件夹及文件/:拒绝
删除/:拒绝
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Inetpub\wwwroot\aspnet_client
主要权限部分： 其他权限部分：
Administrators 完全控制 Users 读取
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users
主要权限部分： 其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制 USERS组的权限仅仅限制于读取和运行，
绝对不能加上写入权限
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\「开始」菜单
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data
主要权限部分： 其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制 Users 写入
只有子文件夹及文件 该文件夹，子文件夹
<不是继承的> <不是继承的>
SYSTEM 完全控制 两个并列权限同用户组需要分开列权限
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft
主要权限部分： 其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制 此文件夹包含 Microsoft 应用程序状态数据
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys
主要权限部分： 其他权限部分：
Administrators 完全控制 Everyone 列出文件夹、读取属性、读取扩展属性、创建文件、创建文件夹、写入属性、写入扩展属性、读取权限

只有该文件夹 Everyone这里只有读写权限，不能加运行和删除权限，仅限该文件夹 只有该文件夹
<不是继承的> <不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\DSS\MachineKeys
主要权限部分： 其他权限部分：
Administrators 完全控制 Everyone 列出文件夹、读取属性、读取扩展属性、创建文件、创建文件夹、写入属性、写入扩展属性、读取权限

只有该文件夹 Everyone这里只有读写权限，不能加运行和删除权限，仅限该文件夹 只有该文件夹
<不是继承的> <不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft\HTML Help
主要权限部分： 其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Connections\Cm
主要权限部分： 其他权限部分：
Administrators 完全控制 Everyone 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
SYSTEM 完全控制 Everyone这里只有读和运行权限
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Application Data\Microsoft\Media Index
主要权限部分： 其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <继承于上一级文件夹>
SYSTEM 完全控制 Users 创建文件/写入数据
创建文件夹/附加数据
写入属性
写入扩展属性
读取权限
该文件夹，子文件夹及文件 只有该文件夹
<不是继承的> <不是继承的>
Users 创建文件/写入数据
创建文件夹/附加数据
写入属性
写入扩展属性
只有该子文件夹和文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\DRM
主要权限部分： 其他权限部分：
这里需要把GUEST用户组和IIS访问用户组全部禁止
Everyone的权限比较特殊，默认安装后已经带了
主要是要把IIS访问的用户组加上所有权限都禁止 Users 读取和运行
该文件夹，子文件夹及文件
<不是继承的>
Guests 拒绝所有
该文件夹，子文件夹及文件
<不是继承的>
Guest 拒绝所有
该文件夹，子文件夹及文件
<不是继承的>
IUSR_XXX
或某个虚拟主机用户组 拒绝所有
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Documents and Settings\All Users\Documents (共享文档)
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files
主要权限部分： 其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Common Files\Microsoft Shared\web server extensions
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Microsoft SQL Server\MSSQL (程序部分默认装在C：盘)
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: E:\Program Files\Microsoft SQL Server (数据库部分装在E：盘的情况)
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: E:\Program Files\Microsoft SQL Server\MSSQL (数据库部分装在E：盘的情况)
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Internet Explorer\iexplore.exe
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Outlook Express
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\PowerEasy5 (如果装了动易组件的话)
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Radmin (如果装了Radmin远程控制的话)
主要权限部分： 其他权限部分：
Administrators 完全控制 无
对应的c:\windows\system32里面有两个文件
r_server.exe和AdmDll.dll
要把Users读取运行权限去掉
默认权限只要administrators和system全部权限
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Serv-U (如果装了Serv-U服务器的话)
主要权限部分： 其他权限部分：
Administrators 完全控制 无
这里常是提权入侵的一个比较大的漏洞点
一定要按这个方法设置
目录名字根据Serv-U版本也可能是
C:\Program Files\RhinoSoft.com\Serv-U

该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Windows Media Player
主要权限部分： 其他权限部分：
Administrators 完全控制 无

该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\Windows NT\Accessories
主要权限部分： 其他权限部分：
Administrators 完全控制 无

该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\Program Files\WindowsUpdate
主要权限部分： 其他权限部分：
Administrators 完全控制 无

该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS
主要权限部分： 其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS\system32
主要权限部分： 其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制 IUSR_XXX
或某个虚拟主机用户组 列出文件夹/读取数据 ：拒绝
读取权限 ：拒绝
只有子文件夹及文件 只有该文件夹
<不是继承的> <不是继承的>
SYSTEM 完全控制 虚拟主机用户访问组拒绝读取，有助于保护系统数据
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS\system32\config
主要权限部分： 其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制 IUSR_XXX
或某个虚拟主机用户组 列出文件夹/读取数据 ：拒绝
读取权限 ：拒绝
只有子文件夹及文件 只有该文件夹
<不是继承的> <不是继承的>
SYSTEM 完全控制 虚拟主机用户访问组拒绝读取，有助于保护系统数据
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS\system32\inetsrv\
主要权限部分： 其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制 IUSR_XXX
或某个虚拟主机用户组 读取 ：拒绝
只有子文件夹及文件 只有该文件夹
<不是继承的> <不是继承的>
SYSTEM 完全控制 虚拟主机用户访问组拒绝读取，有助于保护系统数据
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS\system32\inetsrv\ASP Compiled Templates
主要权限部分： 其他权限部分：
Administrators 完全控制 IIS_WPG 完全控制
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
IUSR_XXX
或某个虚拟主机用户组 读取 ：拒绝
该文件夹，子文件夹及文件
<不是继承的>
虚拟主机用户访问组拒绝读取，有助于保护系统数据

硬盘或文件夹: C:\WINDOWS\system32\inetsrv\iisadmpwd
主要权限部分： 其他权限部分：
Administrators 完全控制 无
该文件夹，子文件夹及文件
<不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

硬盘或文件夹: C:\WINDOWS\system32\inetsrv\MetaBack
主要权限部分： 其他权限部分：
Administrators 完全控制 Users 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制 IUSR_XXX
或某个虚拟主机用户组 读取 ：拒绝
只有子文件夹及文件 只有该文件夹
<不是继承的> <不是继承的>
SYSTEM 完全控制 虚拟主机用户访问组拒绝读取，有助于保护系统数据
该文件夹，子文件夹及文件
<不是继承的>

Winwebmail 电子邮局安装后权限举例：目录E:\
主要权限部分： 其他权限部分：
Administrators 完全控制 IUSR_XXXXXX
这个用户是WINWEBMAIL访问WEB站点专用帐户 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<不是继承的> <不是继承的>
CREATOR OWNER 完全控制
只有子文件夹及文件
<不是继承的>
SYSTEM 完全控制
该文件夹，子文件夹及文件
<不是继承的>

Winwebmail 电子邮局安装后权限举例：目录E:\WinWebMail
主要权限部分： 其他权限部分：
Administrators 完全控制 IUSR_XXXXXX
WINWEBMAIL访问WEB站点专用帐户 读取和运行
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<继承于E:\> <继承于E:\>
CREATOR OWNER 完全控制 Users 修改/读取运行/列出文件目录/读取/写入
只有子文件夹及文件 该文件夹，子文件夹及文件
<继承于E:\> <不是继承的>
SYSTEM 完全控制 IUSR_XXXXXX
WINWEBMAIL访问WEB站点专用帐户 修改/读取运行/列出文件目录/读取/写入
该文件夹，子文件夹及文件 该文件夹，子文件夹及文件
<继承于E:\> <不是继承的>
IUSR_XXXXXX和IWAM_XXXXXX
是winwebmail专用的IIS用户和应用程序池用户
单独使用，安全性能高 IWAM_XXXXXX
WINWEBMAIL应用程序池专用帐户 修改/读取运行/列出文件目录/读取/写入
该文件夹，子文件夹及文件
<不是继承的>

安全策略自动更新命令：GPUpdate /force (应用组策略自动生效不需重新启动)


　　 开始菜单—>管理工具—>本地安全策略

　　 A、本地策略——>审核策略

　　 审核策略更改　　　成功　失败　　
　　 审核登录事件　　　成功　失败
　　 审核对象访问　　　　　　失败
　　 审核过程跟踪　　　无审核
　　 审核目录服务访问　　　　失败
　　 审核特权使用　　　　　　失败
　　 审核系统事件　　　成功　失败
　　 审核账户登录事件　成功　失败
　　 审核账户管理　　　成功　失败

　　B、本地策略——>用户权限分配

　　 关闭系统：只有Administrators组、其它全部删除。
　　 通过终端服务拒绝登陆：加入Guests、User组
　　 通过终端服务允许登陆：只加入Administrators组，其他全部删除

　　C、本地策略——>安全选项

　　 交互式登陆：不显示上次的用户名　　　　　　　启用
　　 网络访问：不允许SAM帐户和共享的匿名枚举　　 启用
　　 网络访问：不允许为网络身份验证储存凭证　　　启用
　　 网络访问：可匿名访问的共享　　　　　　　　　全部删除
　　 网络访问：可匿名访问的命　　　　　　　　　　全部删除
　　 网络访问：可远程访问的注册表路径　　　　　　全部删除
　　 网络访问：可远程访问的注册表路径和子路径　　全部删除
　　 帐户：重命名来宾帐户　　　　　　　　　　　　重命名一个帐户
　　 帐户：重命名系统管理员帐户　　　　　　　　　重命名一个帐户

策略一：关闭windows2003不必要的服务

　　·Computer Browser 维护网络上计算机的最新列表以及提供这个列表

　　·Task scheduler 允许程序在指定时间运行

　　·Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务

　　·Removable storage 管理可移动媒体、驱动程序和库

　　·Remote Registry Service 允许远程注册表操作

　　·Print Spooler 将文件加载到内存中以便以后打印。

　　·IPSEC Policy Agent 管理IP安全策略及启动ISAKMP/OakleyIKE)和IP安全驱动程序

　　·Distributed Link Tracking Client 当文件在网络域的NTFS卷中移动时发送通知

　　·Com+ Event System 提供事件的自动发布到订阅COM组件

　　·Alerter 通知选定的用户和计算机管理警报

　　·Error Reporting Service 收集、存储和向 Microsoft 报告异常应用程序

　　·Messenger 传输客户端和服务器之间的 NET SEND 和 警报器服务消息

　　·Telnet 允许远程用户登录到此计算机并运行程序

A、卸载WScript.Shell 和 Shell.application 组件，将下面的代码保存为一个.BAT文件执行（分2000和2003系统）

windows2000.bat

regsvr32/u C:\WINNT\System32\wshom.ocx
del C:\WINNT\System32\wshom.ocx
regsvr32/u C:\WINNT\system32\shell32.dll
del C:\WINNT\system32\shell32.dll

windows2003.bat

regsvr32/u C:\WINDOWS\System32\wshom.ocx
del C:\WINDOWS\System32\wshom.ocx
regsvr32/u C:\WINDOWS\system32\shell32.dll
del C:\WINDOWS\system32\shell32.dll

B、改名不安全组件，需要注意的是组件的名称和Clsid都要改，并且要改彻底了，不要照抄，要自己改

开始→运行→regedit→回车】打开注册表编辑器

然后【编辑→查找→填写Shell.application→查找下一个】

用这个方法能找到两个注册表项：

{13709620-C279-11CE-A49E-444553540000} 和 Shell.application 。

第一步：为了确保万无一失，把这两个注册表项导出来，保存为xxxx.reg 文件。

第二步：比如我们想做这样的更改

13709620-C279-11CE-A49E-444553540000 改名为 13709620-C279-11CE-A49E-444553540001

Shell.application 改名为 Shell.application_nohack

第三步：那么，就把刚才导出的.reg文件里的内容按上面的对应关系替换掉，然后把修改好的.reg文件导入到注册表中（双击即可），导入了改名后的注册表项之后，别忘记了删除原有的那两个项目。这里需要注意一点，Clsid中只能是十个数字和ABCDEF六个字母。

其实，只要把对应注册表项导出来备份，然后直接改键名就可以了，

改好的例子建议自己改应该可一次成功：

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}]
@="Shell Automation Service"

[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\InProcServer32]
@="C:\\WINNT\\system32\\shell32.dll"
"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\ProgID]
@="Shell.Application_nohack.1"

[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\TypeLib]
@="{50a7e9b0-70ef-11d1-b75a-00a0c90564fe}"

[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\Version]
@="1.1"

[HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540001}\VersionIndependentProgID]
@="Shell.Application_nohack"

[HKEY_CLASSES_ROOT\Shell.Application_nohack]
@="Shell Automation Service"

[HKEY_CLASSES_ROOT\Shell.Application_nohack\CLSID]
@="{13709620-C279-11CE-A49E-444553540001}"

[HKEY_CLASSES_ROOT\Shell.Application_nohack\CurVer]
@="Shell.Application_nohack.1"

评论：WScript.Shell 和 Shell.application 组件是 脚本入侵过程中，提升权限的重要环节，这两个组件的卸载和修改对应注册键名，可以很大程度的提高虚拟主机的脚本安全性能，一般来说，ASP和php类脚本提升权限的功能是无法实现了，再加上一些系统服务、硬盘访问权限、端口过滤、本地安全策略的设置，虚拟主机因该说，安全性能有非常大的提高，黑客入侵的可能性是非常低了。注销了Shell组件之后，侵入者运行提升工具的可能性就很小了，但是prel等别的脚本语言也有shell能力，为防万一，还是设置一下为好。下面是另外一种设置，大同小异。

一、禁止使用FileSystemObject组件

　　FileSystemObject可以对文件进行常规操作,可以通过修改注册表，将此组件改名，来防止此类木马的危害。

　　HKEY_CLASSES_ROOT\Scripting.FileSystemObject\

　　改名为其它的名字，如：改为 FileSystemObject_ChangeName

　　自己以后调用的时候使用这个就可以正常调用此组件了

　　也要将clsid值也改一下

　　HKEY_CLASSES_ROOT\Scripting.FileSystemObject\CLSID\项目的值

　　也可以将其删除，来防止此类木马的危害。

　　2000注销此组件命令：RegSrv32 /u C:\WINNT\SYSTEM\scrrun.dll

　　2003注销此组件命令：RegSrv32 /u C:\WINDOWS\SYSTEM\scrrun.dll

　　如何禁止Guest用户使用scrrun.dll来防止调用此组件？

　　使用这个命令：cacls C:\WINNT\system32\scrrun.dll /e /d guests

　　二、禁止使用WScript.Shell组件

　　WScript.Shell可以调用系统内核运行DOS基本命令

　　可以通过修改注册表，将此组件改名，来防止此类木马的危害。

　　HKEY_CLASSES_ROOT\WScript.Shell\及HKEY_CLASSES_ROOT\WScript.Shell.1\

　　改名为其它的名字，如：改为WScript.Shell_ChangeName 或 WScript.Shell.1_ChangeName

　　自己以后调用的时候使用这个就可以正常调用此组件了

　　也要将clsid值也改一下

　　HKEY_CLASSES_ROOT\WScript.Shell\CLSID\项目的值

　　HKEY_CLASSES_ROOT\WScript.Shell.1\CLSID\项目的值

　　也可以将其删除，来防止此类木马的危害。

　　三、禁止使用Shell.Application组件

　　Shell.Application可以调用系统内核运行DOS基本命令

　　可以通过修改注册表，将此组件改名，来防止此类木马的危害。

　　HKEY_CLASSES_ROOT\Shell.Application\

　　及

　　HKEY_CLASSES_ROOT\Shell.Application.1\

　　改名为其它的名字，如：改为Shell.Application_ChangeName 或 Shell.Application.1_ChangeName

　　自己以后调用的时候使用这个就可以正常调用此组件了

　　也要将clsid值也改一下

　　HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值

　　HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值

　　也可以将其删除，来防止此类木马的危害。

　　禁止Guest用户使用shell32.dll来防止调用此组件。

　　2000使用命令：cacls C:\WINNT\system32\shell32.dll /e /d guests
　　2003使用命令：cacls C:\WINDOWS\system32\shell32.dll /e /d guests

　　注：操作均需要重新启动WEB服务后才会生效。

　　四、调用Cmd.exe

　　禁用Guests组用户调用cmd.exe

　　2000使用命令：cacls C:\WINNT\system32\Cmd.exe /e /d guests
　　2003使用命令：cacls C:\WINDOWS\system32\Cmd.exe /e /d guests

　　通过以上四步的设置基本可以防范目前比较流行的几种木马，但最有效的办法还是通过综合安全设置，将服务器、程序安全都达到一定标准，才可能将安全等级设置较高，防范更多非法入侵。

C、防止Serv-U权限提升 (适用于 Serv-U6.0 以前版本，之后可以直接设置密码)

先停掉Serv-U服务

用Ultraedit打开ServUDaemon.exe

查找 Ascii：LocalAdministrator 和 #l@$ak#.lk;0@P

修改成等长度的其它字符就可以了，ServUAdmin.exe也一样处理。

另外注意设置Serv-U所在的文件夹的权限，不要让IIS匿名用户有读取的权限，否则人家下走你修改过的文件，照样可以分析出你的管理员名和密码。可以使用阿江ASP探针来检测下系统的安全状态。

下面是运行和卸载这两个组件的方法：

1、运行(打开)Wscript.Shell
regsvr32 %windir%\system32\wshom.ocx

2、卸载(关闭)Wscript.Shell
regsvr32 /u %windir%\system32\wshom.ocx

3、运行(打开)Wscript.Shell
regsvr32 %windir%\system32\shell32.dll

4、卸载(关闭)Wscript.Shell
regsvr32 /u %windir%\system32\shell32.dll

平时关闭他们就可以了，不过对于调用Wscript.Shell和shell.application的权限还是满高的，asp调用需要配置权限才可以访问。