windwos defender实现白名单效果(除了指定应用或端口其它一律禁止)禁止服务器上网

news/2024/12/22 12:23:35/

一、应用场景说明

当我们的一台windows服务器中毒,变成别人肉鸡,不断向外请示非法网站或攻击其它服务器

要彻底清除相关木马或病毒往往需要的时间比较长,比较有效的方法是禁止服务器主动向外发包除了网站端口和远程程序除外。

其实这就是一个白名单效果,即除了指定充许的程序或端口,其它的一律禁止服务器外发。

PS:已经中毒的情况下,建议使用非80(http)和非443(https)端口,可以在前面加一个反代实现,如nginx

二、windwos defender优先级

windwos 的默认防火墙windwos defender的介绍这里不详说了,还是是说一下windwos defender入站规则的规则优先级

在许多情况下,应用程序在网络中运行需要允许特定类型的入站流量。 在配置入站异常时,管理员应记住以下规则优先行为:

  1. 显式定义的允许规则优先于默认阻止设置
  2. 显式阻止规则优先于任何冲突的允许规则
  3. 更具体的规则优先于不太具体的规则,除非存在如 2 中所述的显式阻止规则。 例如,如果规则 1 的参数包含 IP 地址范围,而规则 2 的参数包括单个 IP 主机地址,则规则 2 优先

由于 1 和 2,在设计一组策略时,应确保没有其他可能无意重叠的显式阻止规则,从而阻止希望允许的流量流。

三、实验前相关工作

3.1 实验环境说明

一台windows server 2016的云主机经常攻击别人的服务器,被管理人员告之需要清除完病毒这台服务器才可以上网。

服务器上安装了PHPStudy8.1的nginx和php来跑php网站,为了方便安装了向日葵远程桌面。

3.2 实验要求

在告诉服务器中毒的时候管理人员一时找不出相关病毒,而网站又不能停用。

故临时的解决办法是

1.备份相关数据和代码(不是今天主题,略过)

2.把nginx的80端口改为非80,如8080(主要是防止直接webshell,有条件购买云端支持webshell查杀的工具),再在前面加一个反代,保证网站能正常访问(不是今天主题,略过)

3.开启windwos defender防火墙禁止服务器向外发包,只充许访问8080端口和向日葵远程工具能上网,其它一律禁止

3.3 实现思路(白名单)

只充许访问8080端口和向日葵远程工具能上网,其它一律禁止,那么就是白名单规则

我们可以在windows防火墙的

1.出站规则做成白名单,充许向日葵应用程序出站

(向日葵支行需要连接他们的服务器使用的是TCP 443端口,如果我们使用端口的话那么服务器就能使用web上网了,我们暂时不充许的)

2.入站规则做成白名单(默认),充许访问网站phpstudy的8080端口

(因为第一个包是其它电脑请求我们网站的,所以只需要入站规则上做即可,出站一般不需要)

PS:

白名单 :默认阻止,除了指定放行

黑名单 :默认放行,除了指定禁止

四、实验操作

4.1 打开windwos defender自带的防火墙

4.2 修改windows防火墙出站规则为白名单

从上面图中可以看出Windows入站连接默认使用的是白名单,而出站则使用的是黑名单。

这个不是我们需要的,所以要修改为白名单,操作如下:

附:下图的域配置、专用配置、公用配置主要是指网络类型,出站都改为阻止

PS:下面是查看网络类型的方法:

一般局域网使用专用网络,不安全的使用公用网络

修改后如下图所示:

4.3 配置出站规则

向日葵因为需要主动连接服务器,使用网络连接查看工具,如微软官网的TCPView得知向日葵使用的是TCP 443(http)端口

因不让服务器上网,所以不能基于端口配置,是基于程序放行。

向日葵在安装的时候默认以程序方式放行了

4.4 配置入站规则——放行外部访问网站

开启防火墙后,入站规则变成白名单,其它电脑不能访问,我在这里把端口改为了8080,在入站规则中允许8080端口即可

4.5 测试效果

打开浏览器是不能上网,打开向日葵能获取到“设备识别码”,则表示成功,如下图所示:


http://www.ppmy.cn/news/1557186.html

相关文章

#渗透测试#漏洞挖掘#红蓝攻防#SRC漏洞挖掘05之并发漏洞挖掘技巧

免责声明 本教程仅为合法的教学目的而准备,严禁用于任何形式的违法犯罪活动及其他商业行为,在使用本教程前,您应确保该行为符合当地的法律法规,继续阅读即表示您需自行承担所有操作的后果,如有异议,请立即停止本文章读。 目录 并发漏洞 1、刷赞 2、签到 3、突破限购 …

excel 使用vlook up找出两列中不同的内容

当使用 VLOOKUP 函数时,您可以将其用于比较两列的内容。假设您要比较 A 列和 B 列的内容,并将结果显示在 C 列,您可以在 C1 单元格中输入以下公式: 这个公式将在 B 列中的每个单元格中查找是否存在于 A 列中。如果在 A 列中找不到…

半导体制造技术导论(第二版)萧宏 第十二章 化学机械研磨工艺

本章要求 1.列出化学机械研磨工艺的应用 化学机械研磨是一种移除工艺技术,结合化学反应和机械研磨去除沉积的薄膜,使表面更加平滑和平坦;也用于移除表面上大量的电介质薄膜,并在硅衬底上形成浅沟槽隔离STI;还可以从晶圆…

CSS系列(21)-- Houdini 详解

前端技术探索系列:CSS Houdini 详解 🎨 致读者:探索 CSS 的新边界 👋 前端开发者们, 今天我们将深入探讨 CSS Houdini,这项革命性的技术让我们能够直接访问 CSS 引擎的底层。 Houdini 基础 &#x1f68…

【已解决】【大数据综合案例】上| Hive与MongoDB配置

遇到的问题及解决方法 Hive 报错:sudo: 未知用户;HiveServer2启动失败;端口被占用 导入数据:通过JDBC连接Hive和MySQL,将数据从Hive导入MySQL。通过JDBC连接Hive,需要通过Hive的thrift服务实现跨语言访问…

基于“2+1 链动模式商城小程序”的微商服务营销策略探究

摘要:本文探讨在竞争激烈的市场经济与移动互联网时代背景下,微商面临的机遇与挑战。着重分析“21 链动模式商城小程序”如何助力微商改变思路,通过重视服务、提升服务质量,以服务营销放大利润,实现从传统微商模式向更具…

云消息队列 MQTT 版:物联网通信的基础设施

在物联网(IoT)技术日新月异的今天,设备之间的通信需求逐渐增大,尤其是在需要高效、实时数据交换的应用场景中,如何确保设备与设备、设备与平台之间的无缝对接与信息流通,成为了行业发展的关键。为了适应这些…

GhostRace: Exploiting and Mitigating Speculative Race Conditions-记录

文章目录 论文背景Spectre-PHT(Transient Execution )Concurrency BugsSRC/SCUAF和实验条件 流程Creating an Unbounded UAF WindowCrafting Speculative Race ConditionsExploiting Speculative Race Conditions poc修复flush and reload 论文 https:/…