低許可權啟動apache mysql

 由於Apache在Windows平台的廣泛運用，我們不得不注重其安全設定。很多粗心的webmaster在自己管理的伺服器上用apache搭建生產環境以預設安裝。APACHE預設是以SYSTEM身份啟動的，所以繼承了SYSTEM的許可權  。Apache本身是安全的。但是擴充其他運用後會導致安全隱患出現。

 為此，我們需要做的就是給apache降權！何為“降權”？顧名思義，也就是降低apache服務的運行許可權。

 

第一步：建立低許可權使用者

net user users tester/add
net localgroup users tester /del

net localgroup low_privilege /add

net localgroup low_privilege tester /add
　

ok.我們建立了一個屬於低許可權組low_privilege 的使用者tester

第二步：低許可權啟動apache mysql（分兩種配置時機：建立服務前，建立服務後）

 先說後一種吧：建立服務前低許可權啟動

1. 運行secpol.msc命令開啟“本地安全性原則”選擇“使用者權限分配”在右側選擇“作為服務登陸”然後添加apache使用者。使建立的使用者用作服務登陸
2. 更改Apache伺服器啟動賬戶：運行services.msc命令開啟服務管理員，開啟Apache服務，找到登陸選項卡，在登陸身份中選擇“此賬戶”然後輸入上部所建立的apache賬戶和密碼。為Apache服務指定使用者運行
3. 接下來為作為Apache服務登陸的賬戶apache設定存取權限，不然Apache是無法啟動，具體操作也就是，賦予apache，mysql目錄的讀許可權給low_privilege組，apache的logs目錄，mysql的data目錄的讀寫權限給low_privilege組，

  再說後一種吧：建立服務後低許可權啟動

 

•  首先：假設apache的安裝目錄是E:/Program Files/Apache2.2 ，mysql的安裝目錄是E:/Program Files/mysql5.5

 

@sc create Apache2.2 binpath= "E:/Program Files/Apache2.2/bin/httpd.exe -k runservice" type= own start= demand depend= "Tcpip/Afd" error= normal displayname= Apache2.2.14 obj= ./tester password= fuckmicrosoft<br />@sc description Apache2.2 "Apache/2.2.14 (Win32)"</p><p>@sc create MySQL5.5 binpath= "E:/Program Files/mysql5.5/bin/mysqld --defaults-file=E:/AppServ/mysql-5.5.1-m2-win32/my.ini MySQL5.5" type= own start= demand error= normal displayname= MySQL5.5 obj= ./tester password= fuckmicrosoft<br />@sc description MySQL5.5 "MySQL5.5 (Win32)"</p><p>

  

• 開啟控制台（“開始”|“運行”中輸入：MMC），[檔案] 功能表|“添加刪除嵌入式管理單元”|“添加...”|選“安全模板”|“關閉”。在“C:/Windows/Security/templates”節點上，右鍵“建立模板...”，在彈出的對話方塊中“模板名”中輸入:new,確定。
• 開啟“New|本地策略|使用者權利指派”節點，在右側的“作為伺服器登入”中添加要賦予low_privilege組。開啟“系統服務”節點，選擇右面列表中的apache服務雙擊開啟，打鉤“在模板中定義次原則設定”，選擇自動啟動（或者手動），重要的是點擊“編輯安全設定”，把apache服務的讀寫修改許可權(除了刪除許可權)賦予low_privilege組。具體設定，見                                 

• 然後，在“New”節點上單擊右鍵，選“另存新檔...”儲存到“C:/Sec.inf”。

          建立批處理文檔中輸入：

           @secedit configure /db secedit.sdb /cfg c:/Sec.inf<br />@RunDll32.exe USER32.DLL,UpdatePerUserSystemParameters<br />@gpupdate /force

 

 ok，搞定。