دانلود مقاله وب سرور چیست؟

تا به حال به این مساله فکر کرده اید که وقتی آدرسی را در مرورگر خود می نویسید(IE,Firefox,Opera,Safari,Chrome,…) چه اتفاقاتی می افتد که منجر به نمایش یک سری متون و تصاویر می شود (و یا گاهی اوقات ممکن است به دلایل خاصی به شما اجازه ی دیدن آن صفحات را ندهد).

زمانی که یک صفحهُ HTML درخواست می شود : · ابتدا این تقاضا به یک کامپیوتری که سرویس دهنده ی وب (WebServer) نام دارد ارسال می شود .

( مهمتزین هدف هر سرویس دهنده ی وبی , سرویس دادن به صفحات html است .

) · سرویس دهنده ی وب تقاضایی که از مرورگر آمده رامی خواند و سپس ، · صفحه مربوطه رادرسرویس دهنده پیدامی کند .

· صفحه ی وب یافته شده را از طریق شبکه به مرورگر درخواست کننده می فرستد.

در مورد صفحات ASP نیز روال کار به همین منوال است ، با این تفاوت که در مرحله ی سوم پس از این که سرویس دهنده ی وب ، صفحه ی وب را پیدا کرد (در صورتی که پسوند asp داشته باشد) ابتدا قسمتهایی از صفحه که حاوی کدهای ASP‌ است را ترجمه کرده ، اجرا می کند و کدهای HTML ی را به عنوان خروجی اجرای کدهای ASP تولید می کند .

سپس صفحه HTML آماده شده را برای مرورگر می فرستد .

به همین دلیل اگر شما در مرورگر خود View Source کنید هیچ اثری از کد ASP مشاهده نخواهید کرد .

خوب بنابراین , برای این که کار خود را برای یادگیری ASP شروع کنیم اول باید یک سرویس دهنده ی وب مناسب انتخاب کرده و آن را روی سیستم خود نصب کنیم .

سرویس دهنده هایی که ASP را پشتیبانی می کنند : ما یکروسافت دو سرویس دهنده ی وب که قابلیت اجرای کدهای ASP را دارد معرفی نموده است : · ( IIS ) سرویس دهندهُ اطلاعات اینترنت که روی Win2000 , WinXP نصب می شود .

این برنامه همراه ویندوزهای ذکر شده ارائه شده است و با استفاده از یک Add Windows Component ساده می توانید آن را روی سیستم خود نصب کنید .

· یک محصول تولیدی دیگری بنامChili ASP که می توانید آن را از سایت Chilisoft تهیه کنید .

Chili ASP وقتی یکبارInstall شد شما را قادر میسازد تا ASP را روی سرویس دهنده های دیگری که روی ویندوز95/NT اجرا می شوند، اجراکنید .بعلاوهChili ASP بزودی برای سرویس دهنده هایUNIX نیزقابل دستیابی خواهد بود.

· (PWS ) سرویس دهنده وب شخصی.

این سرویس دهنده به عنوان یکی از سرویس پک های WinNT (WindowsNTOptionPack4) ارائه شده است و می توانید آن را از آدرس http://www.microsoft.com/windows/ie/pws/default.htm?RLD=23 دانلود کنید .

بعد از اینکه PWS یا IIS را نصب کردیم، خواهیم دید در درایوی که ویندوز روی آن نصب است, دایرکتوریInetpub ایجاد شده است و دایرکتوری های دیگری نیز تحت آن نصب شده است .که عبارتند از : IISSamples homepage : که شامل مثالهایی ازصفحاتASP می باشد .

Scripts : این زیردایرکتوری خالی است که یک مکان پیش فرض برای اسکریپتهایASP می باشد که ایجاد می کنیم.

WebPub : این زیردایرکتوری خالی است که یک دایرکتوری مجازی مخصوص است که برای فایلهای منتشر شده از طریق ویزاردPublish است .

wwwroot که ریشهُ مسیر سایت وب شما می باشد .

که خود شامل زیر دایرکتوریهای زیادی است ، و مکانی است که دایرکتوریهای فیزیکی سایت وب خود را باید در آنجا ایجاد کنید .

برای قابل استفاده کردن سرویسهای وب و اینکه مطمئن باشیم تمام صفحاتی که ایجاد می کنیم برای هر شخصی روی اینترنت یا شبکه محلی قابل دسترس است .

باید روی دکمه start button در پنجره PWS کلیک کنیم .

با این کار سرویسهای وب شروع به بالا آمدن می کند و تمام صفحات اختصاصی را تحت پرونده یwwwroot برای دنیای بیرون قابل دستیابی می کند .

با نوشتن یک برنامه ساده این مساله برایتان روشن تر می شود .

باتوجه به شکل در می یابیم که PWS ، در واقع به کامپیوتر مایک آدرس URL داده است که اگر روی آن کلیک کنیم ما را به HomePage خودمان خواهد برد و این HomePage یک فایل با نام default.htm یا default.asp می باشد که در دایرکتوری ریشه وب یعنی c:\Inetpub\wwwroot قرار دارد .

بنابراین آدرس http://jet600 در مثال بالا معادل با آدرس فیزیکی d:\inetpub\wwwroot است .

همانطور که احتمالا خودتان نیز متوجه شده اید , نوشتن و تست کردن یک برنامه و یا سایت ASP نیازی به اتصال به اینترنت ندارد و شما می توانید روی کامپیوتر خودتان نیز یک سرویس دهنده ی وب داشته باشید و همزمان مرورگری را باز کنید که نقش سرویس گیرنده ی وب و یا درخواست دهنده ی صفحات را بازی می کند , و بدینوسیله برنامه ی خود را تست و اجرا کنید .

کافی است برنامه های ASP خود را نوشته (در فایلهایی با فرمت html و با پسوند asp) و آنها را در مرورگر خود ببینید البته توجه داشته باشید که فایل ASP شما باید در مسیر ریشه وب (C:\Inetpub\wwwroot) قرار داشته باشد در غیر اینصورت باید مسیر آن را برای سرویس دهنده وب خود بشناسانید تا همه بتوانند با استفاده از URL به آن دسترسی داشته باشند.

چگونگی ایجاد امنیت دروب سرور ها پکیج امنیتی حفاظ بهترین گزینه برای یادگیری اصول امنیت وب سایت و سرور و اولین در ایران می باشد.تاکنون محصولات گوناگونی توسط شرکت های مختلف برای آموزش هک و امنیت ارائه شده است اما محصول ما اختصاصی برای فراگیری برقرار کردن امنیت در سایت ها و سرورها ارائه شده است،ناگفته نماند شما برای ایجاد امنیت باید راه های نفوذ را فرا بگیرید و تا حملات سایبری علیه وب سایت ها را درک نکنید نمی توانید امنیت را به ارمغان بیاورید.

لذا یکی از DVD های پیکج ارائه شده توسط ما شامل آخرین تکنولوژی ها و آموزش های نفوذ به سرورها و سایت ها می باشد تا خود شاهد آسیب پذیری ها باشید.

نکته قابل توجه این است که قبل از ارائه این محصول معروف ترین پیکج های آموزشی هک و امنیت توسط ما خریداری و مورد آنالیز متخصصان ما قرار گرفت.هدف از تحلیل و بررسی آن ها پی بردن به بار علمی و قدرت آموزشی محصولات بود که متاسفانه نتیجه تاسف آور بود!

[ کیفیت پایین محصول و قیمت نسبتا بالای آن ] -پیکج آموزشی حفاظ این محصول در قالب 2 عدد DVD خدمتتان ارائه می شود.

DVD 1 که بر روی امنیت سایت و سرور شما تمرکز دارد شامل مباحث زیر می باشد: 1.نصب آنتی ویروس بر روی سرور 2.نصب فایروال معروف CSF 3.تغییر پورت SSH 4.آموزش پچ کردن حفره امنیتی SQL Injection 5.بلاک کردن حملات SQL Injcetion 6.پچ کردن حفره خطرناک RCE 7.امن کردن پوشه tmp (در سرورهای لینوکسی) 8.بستن Function های خطرناک وب سرور 9.مقابله با حملات اخلال در سرویس دهی(DDOS) 10.و ..

DVD 2اختصاصا بر روی نفوذ به سرور ها و سرویس های تحت وب در سایت ها تمرکز دارد که شامل این مباحث می باشد(همچنین محصول هدیه که در ادامه اشاره شده است نیز در این DVD قرار دارد) 1.حملات SQL Injection 2.حملات Botnet 3.آموزش کامل Back connect 4.آموزش کامل کار با شل های C99 و شل r57 5.آموزش حملات مختلف از نوع XSS 6.آموزش نحوه ایجاد دسترسی Root در وب سرور 7...

و ده ها آموزش دیگر حمله به برنامه های کاربردی تحت وب همچنین به تمامی وب مسترهای گرامی که این محصول را تهیه نمایند بیش از 7 ساعت آموزش کاملا فارسی و کاربردی لینوکس(با توجه به اهمیت فراگیری لینوکس برای مدیران سرورها و سایت ها)هدیه خواهیم داد از مقدماتی ترین مفاهیم لینوکس تا دستورات مهم و کاربردی لینوکس ،نصب Apache + ماژول های Apache ،کار با Ubunto Server،CentOs امنیت وب سرورها در شبکه (قسمت اول-سرورهای شبکه) با ورود اینترنت، مسئله امنیت مورد توجه بخش های مختلف آن قرار گرفت.

یکی از این بخش ها و شاید مهم ترین بخش، قسمت سرورهای آن بود.

در این متن ضمن معرفی انواع سرور ها به طور خاص به مسئله امنیت در وب سرور ها پرداخته و سعی کرده ایم تا با معرفی و مشکلات امنیت آن ، کاربران و دانشجویان علاقمند را با اکثر این مشکلات آشنا سازیم.

در ادامه به بحث در مورد چگونگی آشنایی با آسیب پذیری، مانند اسکنرهای آسیب پذیری و چگونگی برخورد با این مشکلات و حملات، مانند استفاده از فایروال ها پرداخته ایم.

به گزارش گروه ویژه امنیت ملی استفاده از شبکه‌های کامپیوتری در سالیان اخیر روندی تصاعدی پیدا کرده است.

شبکه‌های کامپیوتری، زیر ساخت مناسب برای سازمان‌ها و موسسات را در رابطه با تکنولوژی اطلاعات فراهم می‌نمایند.

مقوله تکنولوژی اطلاعات به همان اندازه که جذاب و موثر است، در صورت عدم رعایت اصول امنیت به همان میزان و یا شاید بیشتر، نگران کننده و مسئله آفرین خواهد بود.

اغلب سازمان‌های دولتی و خصوصی در کشور، دارای وب سایت اختصاصی خود در اینترنت می‌باشند.

سازمان‌ها برای ارائه وب سایت، یا خود امکانات مربوطه را فراهم نموده و با نصب تجهیزات سخت افزاری و تهیه پهنای باند لازم، اقدام به عرضه سایت خود در اینترنت نموده­اند یا از امکانات مربوط به شرکت‌های ارائه دهنده خدمات میزبانی استفاده می‌نمایند.

بدون تردید سرویس دهنده وب یکی از مهمترین نرم افزارهای موجود در دنیای اینترنت محسوب می‌گردد.

کاربرانی که به سایت یک سازمان یا موسسه متصل و درخواست اطلاعاتی را می‌نمایند، خواسته آنان در نهایت در اختیار سرویس دهنده وب گذاشته می‌شود.

سرویس دهنده وب، اولین نقطه ورود اطلاعات و آخرین نقطه خروج اطلاعات از یک سایت است.

نصب و پیکربندی مناسب چنین نرم افزار مهمی، بسیار حائز اهمیت بوده و تدابیر امنیتی خاصی را طلب می‌نماید.

تعریف سرور به سرویس‌گیرنده‌ها و استفاده کنندگان از سرویس‌ها، میزبان و به سرویس دهنده‌ها و ارائه کنندگان سرویس، سرور گفته می‌شود.

سرورها بسته به نوع خدماتی که ارائه می‌دهند دسته‌بندی‌های متفاوتی دارند.

به عنوان مثال، به سرورهای زیر نگاهی بیاندازید: Mail Server: سروری که به کاربران شبکه خدمات ایمیل را ارائه می‌دهد.

DHCP Server: سروری که به کاربران شبکه به طور خودکار آدرس IP می‌دهد.

DNS Server: سروری که امکان تبدیل درخواست کاربران شبکه، را برای دسترسی به سایت‌های اینترنت، با ارائه آدرس واقعی سایت مزبور می‌دهد، بدین ترتیب دیگر نیازی به حفظ بودن آدرس‌های IP سایت‌ها نخواهد بود.

Web Server: سروری که خدمات تحت وب را از قبیل میزبانی وب و … را ارائه می‌دهد.

وب سرور در واقع به دو معنی است: برنامه کامپیوتری که مسئول قبول کردن درخواستهای Http از مشتریان است که همان مرورگرهای وب هستند و پاسخ‌ها را به همراه یک سری اطلاعات به آنها پست می‌کنند.

این پاسخ‌ها صفحات Html هستند.

بطور مثال اگر در صفحه مرورگر آدرس http://piau.ac.ir/index.php را وارد کنید، یک درخواست به دامنه‌ای که نامش piau.ac.ir است، فرستاده می‌شود.

آنگاه سرور صفحه index.php را می‌فرستد.

کامپیوتری است که یک برنامه‌ی کامیپوتری را اجرا می‌کند و کارایی اش همانند مطالبی است که در بالا گفته شد.

هر کامپیوتری می‌تواند با نصب نرم افزار سرور به وب سرور تبدیل شود.

در عمل بسیاری از وب سرورها، ویژگیهای زیر را نیز پیاده‌سازی می‌کنند: شناسایی: درخواست شناسایی اختیاری قبل از اجازه دسترسی به انواع منابع نه تنها مفاهیم استاتیک (مفاهیم فایلی که بر روی سیستم فایلی وجود دارد) بلکه مفاهیم دینامیک را با یک یا چند ساختار مانند SSI, CGI, SCGI,FastCGI,JSP,PHP,ASP,ASP.NET اداره می‌کند.

پشتیبانی از HTTPS تا به کاربران اجازه دهد اتصالات مطمئنی به سرور را بر روی پورت ۴۴۳ به جای ۸۰ برقرار کنند.

فشرده‌سازی مطالب تا بتوان از حجم پاسخها کم کرد (توسط کد‌سازیGZIP ).

پشتیبانی از فایلهای بزرگ تا بتواند فایلهای بزرگ‌تر از ۲ گیگا بایت را سرویس‌دهی کند.

کنترل کردن پهنای باند: تا سرعت پاسخها را محدود کند و شبکه را پر ازدحام نکند و قادر باشد تعداد بیشتری مشتری را سرویس دهی کند.

ترجمه مسیر : وب سرورها قادرند تا کامپوننت مسیر URL را به منابع فایل سیستم محلی (برای درخواستهای استاتیک) و نام برنامه داخلی یا خارجی (برای درخواستهای دینامیک) نگاشت کنند برای مثال کاربر آدرس زیر را درخواست می‌کند:http://www.example.com/path/file.html مرورگر وب کاربر آنرا به یک اتصال به http://www.example.com با درخواست http 1.1 ترجمه می‌کند: GET/path/file.html.php HTTP/1.1 HOST:http://www.example.com وب سرور بر روی http://www.example.com، مسیر درخواستی را به آدرس مسیر اصلی اضافه می‌کند.

آنگاه اگر وب سرور فایلی داشته باشد، آن را خوانده و پاسخ را که مجموعه‌ای از مطالب فایل است به عنوان پاسخ می‌فرستد.

انواع وب سرور وب سرور داخلی روی شبکه Intranet وب سرور خارجی روی شبکه Internet روی شبکه خصوصی قرار می‌گیرند.

از اطلاعات مختص به شرکت نگهداری می‌کند.

دسترسی به این سرور فقط از طریق کاربران داخلی است.

روی شبکه عمومی قرار می‌گیرد.

از اطلاعات کالاها، خدمات و تجارت شرکت نگهداری می‌کند.

دسترسی به این سرور از طریق تمام کاربران امکان پذیر که ریسک بالایی دارد.

وب سرور اینترانت وب سرور اینترنت سرورهای اینترنتی سهم استفاده بازار، از نرم افزارهای وب سرور، در زیر نشان داده شده است که در برآورد Netcraft در ژانویه ۲۰۰۹ منتشر شده است.

جدول ‏۰-۱: سهم استفاده بازار، از نرم افزارهای وب سرور آپاچی (Apache) آپاچی یک برنامه اجرایی HTTP Server در محیط کامپیوتری است، که به دلیل برخی از امکانات ویژه‌ای که دارد به سرعت در حال گسترش است.

می‌توان گفت که آپاچی برای برنامه نویسان حرفه‌ای برنامه‌ای فوق العاده ‌است که به لحاظ امنیتی نیز به حفاظت سرورها و برنامه‌های موجود در آنها کمک می‌کند.

متداولترین استفاده از ویژگیهای این برنامه htaccess است، که طراحان حرفه‌ای در محیط لینوکس از آن بهره می‌گیرند.

برای نمونه زمانی که بخواهند اولین صفحه در سایت صفحه بخصوصی باشد با یک دستور در آن پرونده (فایل) این امر ممکن می‌گردد یا زمانی که صاحب سایت مایل نیست که فایلهای موجود در سرور وی توسط دیگران دزدیده شود و بخواهد که مانع از پیوند مستقیم آنها شود آپاچی کمک می‌کند تا به خواستشان برسند.

زمانی که برنامه نویس بخواهد که محل واقعی صفحات دیده نشود نیز این برنامه مورد استفاده قرار می‌گیرد.

این وب سرور در همگانی شدن وب نقش بسیار مهمی داشته است.

این وب سرور که به زبان C نوشته شده، دارای قابلیت Cross- Platform بوده و بر روی ماشین‌های مختلف قابل اجرا می‌باشد.

دلیل انتخاب این اسم برای این وب سرور را نیز دو مورد ذکر کرده‌اند.

اول اینکه به یکی از قبایل قدیمی بومی آمریکا که به خاطر مقاومت و مهارت در ساخت ابزار آلات جنگی مشهور می‌باشند احترام گذاشته شود و ثانیا به این دلیل که ریشه پروژه به صورت یک سری پچ می‌باشد.

این وب سرور در یک گروه و به صورت کد باز گسترش یافت و از سال ۱۹۹۶ به عنوان محبوب‌ترین وب سرور برای HTTP در وب جهانی شناخته شده بود ولی در سال ۲۰۰۵ میدان مبارزه را به IIS مایکروسافت باخت و در حال حاضر نزدیک به ۴۹% بازار وب سرورهای جهان را به خود اختصاص داده است.

همچنین MAC OS آن را به عنوان وب سرور اصلی در پشتیبانی از WEB OBJECT خود برگزیده است.

این وب سرور دارای ماژولهای امنیتی خوبی از جمله mod_access, mod_auth, mod_digest می‌باشد.

آپاچی برای میزبانی هر دو نوع وب ایستا و وب پویا مناسب است.

یکی از کاربردی‌ترین موارد مربوط به آپاچی برای برنامه نویسان استفاده از پرونده (فایل)htaccess است.

برنامه نویس می‌تواند با اعمال تغییراتی در این پرونده که بر هر شاخه‌ای قابل اضافه شدن است، دستورات ویژه آن شاخه را به سرور ارایه دهد.

برای نمونه اگر بخواهد که در صورت وارد کردن نشانی aa.html نام آن باقی بماند ولی در واقع پرونده main.php?page=bb اجرا شود به ‌وسیله این پرونده قادر به اعمال دستورش خواهد بود.

امروزه عموماً می‌توانید آپاچی را در بسته‌های نرم‌افزاری لینوکسی که استفاده می‌کنید، بیابید.

تنها کافیست به برنامه‌ای که مربوط به نصب بسته‌های نرم‌افزاری است مراجعه کنید و بسته آپاچی را انتخاب کنید.

به عنوان مثال در لینوکس دبیان یا اوبونتو کافیست به داخل نرم‌افزار سیناپتیک بروید و بعد از انتخاب آپاچی آن را نصب کنید.

در لینوکس زوزه باید به YaST در قسمت اضافه و حذف نرم‌افزارها بروید و از آنجا آپاچی را نصب کنید.

پس از اجرای برنامه نصب خودکار، برنامه آماده استفاده ‌است ولیکن هر فرد بنابر نیازهایی که دارد می‌تواند مشخصات سرور خود را تغییر دهد.

فایل httpd.conf حاوی اطلاعات سرور است که معمولاً با برنامه PHP همخوانی ندارد که با اضافه کردن چند دستور قابل اجرا است.

برای تعریف برنامه PHP دستورات زیر در پرونده مذکور اضافه می‌شود.

ScriptAlias /php/ “c:/php/” AddType application/x-httpd-php.php Action application/x-httpd-php “/php/php.exe” IIS وب سروری است که ارائه دهنده آن شرکت مایکروسافت می‌باشد و آخرین نسخه آن IIS7.0 است.

در واقع IIS مجموعه‌ای از سرویس‌های اینترنتی است که بصورت یکجا نمایش داده شده است.

طبق آخرین آماری که منتشر شد بعد از وب سرور آپاچی بیشترین محبوبیت را بین کاربران داشته است و هم اکنون نزدیک به ۳۶% بازار وب سرور‌های جهان را در اختیار دارد.

پلتفرمی که این وب سرور پشتیبانی می‌کند Microsoft Windows می‌باشد و در محیط‌های دیگر کار نمی‌کند.

ورژن‌های مختلف آن را در زیر می‌بینیم § IIS 1.0, Windows NT 3.51 available as a free add-on § IIS 2.0, Windows NT 4.0 § IIS 3.0, Windows NT 4.0 Service Pack 3 § IIS 4.0, Windows NT 4.0 Option Pack § IIS 5.0, Windows 2000 § IIS 5.1, Windows XP Professional,Windows MCE § IIS 6.0, Windows Server 2003 and Windows XP Professional x64 Edition § IIS 7.0, Windows Server 2008 and Windows Vista برای اولین بار مایکروسافت آن را در یک پروژه آکادمیک در دانشگاه اسکاتلند به صورت مجانی عرضه کرد.

و سپس برای اولین بار از آن در Windows NT استفاده کرد که در آن قابلیتActive Server Page یا صفحه‌های فعال سرور را به آن افزود.

بعدها با تکامل نسخه‌های ویندوز، IIS هم تکامل پیدا کرد و در نسخه شماره ۶٫۰ آن مایکروسافت پشتیبانی از IPV 6.0 را نیز به آن اضافه کرد.

نسخه پنج IIS، صرفاً برای سیستم‌های مبتنی بر ویندوز ۲۰۰۰ قابل استفاده است.

نسخه‌های ویندوز ۲۰۰۰ Server و Advanced Server بمنظور نصب IIS ، مناسب و بهینه می‌باشند.

نسخه پنج برای استفاده در نسخه‌های قدیمی ویندوز طراحی نشده است.

امکان نصبIIS نسخه پنج، بهمراه ویندوز Professional نیز وجود داشته ولی برخی از امکانات آن نظیر: میزبان نمودن چندین وب سایت، اتصال به یک بانک اطلاعاتی ODBC و یا محدودیت در دستیابی از طریق IP در آن لحاظ نشده است.

نسخه پنج IIS، سرویس‌های WWW، FTP، SMTP وNNTP را ارائه می‌نماید.

سه نرم افزار و سرویس دیگر نیز با IIS در گیر می‌شوند: Certificate Server، Index Server و Transaction Server.

عملیات قبل از نصب IIS در زمان نصب IIS، یک Account پیش فرض به منظور ورود کاربران گمنام به شبکه ایجاد می گردد.

نام پیش فرض برای Account فوق، IUSER_computername بوده که Computer Name نام کامپیوتری است که IIS بر روی آن نصب شده است.Account فوق، می‌بایست دارای کمترین حقوق و مجوزهای مربوطه بوده و گزینه‌های User Cannot Change Password و Password Never Expires فعال شده باشد.

Account فوق همچنین می‌بایست از نوع Local Account بوده و domain-wide account را شامل نگردیده و دارای مجور ورود به شبکه بصورت محلی باشد (log on locally).

مجوزهای Access this computer from the network و یا log on as a batch job در رابطه با account فوق می‌بایست غیر فعال گردند.

در صورتیکه سیاست ارتباط با وب سایت، صرفاً برای کاربران مجاز باشد، پیشنهاد می‌گردد Account فوق، غیر فعال گردد.

بدین ترتیب تمام کاربران با استفاده از نام و رمز عبور مربوطه قادر به ورود به سایت خواهند بود.

سرویس‌های IIS در زمان نصب IIS، چهار سرویس بر روی سیستم نصب خواهد شد: WWW: سرویس مذکور، بمنظور ایجاد یک سرویس دهنده وب و سرویس دهی لازم به درخواست سرویس گیرندگان برای صفحات وب استفاده می‌گردد.

FTP: سرویس مذکور، بمنظور ارائه خدمات لازم در خصوص ارسال و دریافت فایل بر روی سرویس دهنده برای کاربران استفاده می‌گردد.

SMTP: سرویس مذکور، امکان ارسال و دریافت نامه الکترونیکی برای سرویس گیرندگان را در پاسخ به فرم‌ها و برنامه‌های خاص دیگر فراهم می‌نماید.

NNTP: سرویس مذکور، بمنظور میزبانی یک سرویس دهنده خبری USENET استفاده می‌گردد.

در زمان نصب IIS، می‌توان تصمیم به نصب برخی از سرویس‌ها و یا همه آنها گرفت.پس از نصب IIS، در صورتیکه به وجود برخی از سرویس‌ها نیاز نباشد، می‌توان آنها را غیر فعال نمود.

بدین منظور می‌بایست مراحل زیر را دنبال کرد: انتخاب گزینه Services از طریق مسیر زیر: انتخاب سرویسی که قصد غیر فعال کردن آن را داریم.

در ادامه با فعال کردن کلید سمت راست ماوس، گزینه Stop را بمنظور توقف سرویس فعال نمائید.

بمنظور اطمینان از عدم اجرای سرویس غیر فعال شده در زمان راه اندازی مجدد سیستم، سرویس را مشخص و پس از فعال کردن کلید سمت راست ماوس، گزینه Properties را انتخاب و در بخش Startup type وضعیت اجرای سرویس را از حالت Automatic به Disable تغییر دهید.

شکل زیر نحوه غیر فعال نمودن سرویس WWW را نشان می‌دهد.

نحوه غیر فعال نمودن سرویس WWW امنیت برنامه IIS امنیت در IIS متاثر از سیستم عامل است.

مجوزهای فایل‌ها، تنظیمات ریجستری، استفاده از رمز عبور، حقوق کاربران و سایر موارد مربوطه، ارتباط مستقیم و نزدیکی با امنیت در IIS دارند.

قبل از پیکربندی مناسب IIS، لازم است که نحوه استفاده از سرویس دهنده دقیقاً مشخص گردد.

پیکربندی دایرکتوری‌های IIS، فایل‌ها، پورت‌های TCP/IP وAccount کاربران نمونه‌هائی در این زمینه بوده که پاسخ مناسب به سوالات زیر در این رابطه راهگشا خواهد بود: • آیا سرویس دهنده از طریق اینترنت قابل دستیابی است ؟

• آیا سرویس دهنده از طریق اینترانت قابل دستیابی است ؟

• چه تعداد وب سایت بر روی سرویس دهنده میزبان خواهند شد ؟

• آیا وب سایت‌ها نیازمند استفاده از محتویات بصورت اشتراکی می‌باشند ؟

• آیا سرویس دهنده امکان دستیابی را برای افراد ناشناس (هر فرد) فراهم نموده و یا صرفاً افراد مجاز حق استفاده از سرویس دهنده را خواهند داشت؟

و یا هر دو؟

• آیا امکان استفاده و حمایت از SSL وجود دارد؟

• آیا سرویس دهنده صرفاً برای دستیابی به وب از طریق HTTP استفاده می‌گردد؟

• آیا سرویس دهنده، سرویس FTP را حمایت می‌نماید؟

• آیا کاربرانی وجود دارد که نیازمند عملیات خاصی نظیر کپی، فعال نمودن، حذف و یا نوشتن فایل‌هائی بر روی سرویس دهنده باشند؟

موارد زیر در زمان نصب IIS پیشنهاد می‌گردد: • کامپیوتری که IIS بر روی آن نصب شده است را در یک محل امن فیزیکی قرار داده و فقط افراد مجاز قادر به دستیابی فیزیکی به سرویس دهنده باشند.

• در صورت امکان، IIS را بر روی یک سرویس دهنده Standalone نصب نمائید.

در صورتیکه IIS بر روی یک سرویس دهنده از نوع Domain Controller نصب گردد و سرویس دهنده وب مورد حمله قرار گیرد، تمام سرویس دهنده به همراه اطلاعات موجود در معرض آسیب قرار خواهند گرفت.علاوه بر مورد فوق، نصب IIS بر روی یک سرویس دهنده از نوع Domain controller، باعث افزایش حجم عملیات سرویس دهنده و متعاقباً کاهش کارآئی سیستم در ارائه سرویس‌های مربوط به وب خواهد شد.

• برنامه‌های کاربردی و یا ابزارهای پیاده‌سازی نمی‌بایست بر روی سرویس دهنده IIS نصب گردند.

• کامپیوتر مربوط به نصب IIS را بگونه‌ای مناسب پارتیشن نموده تا هر یک از سرویس‌ها نظیر www و یا FTP بر روی پارتیشن‌های مجزاء قرار گیرند.

• IIS امکان نصب برنامه‌ها را در مکانی دیگر بجز پارتیشن C فراهم نمی‌نماید (مگر اینکه یک نصب سفارشی داشته باشیم.) موضوع فوق به عملکرد سیستم عامل مرتبط می‌گردد.

مجوزهای پیش فرض در رابطه با %Systemdrive% اعمال می‌گردد (مثلاً درایو C).

موضوع فوق می‌تواند باعث عدم صحت کارکرد مناسب برخی از سرویس‌های IIS گردد.

می‌بایست مطمئن شد که مجوزهای سیستم عامل با عملیات مربوط به سرویس‌های IIS، رابطه‌ای ندارند.

• تمام پروتکل‌های پشته‌ای (Stack) غیر از TCP/IP را از روی سیستم حذف نمائید.

(در مواردی که برخی از کاربران اینترانت نیازمند برخی از این نوع پروتکل‌ها می‌باشند می‌بایست با دقت اقدام به نصب و پیکربندی مناسب آن نمود.) • روتینگ IP، بصورت پیش فرض غیرفعال است و می‌بایست به همان حالت باقی بماند.

در صورت فعال شدن روتینگ، این امکان وجود خواهد داشت که داده‌هائی از طریق کاربران اینترانت به اینترنت ارسال گردد.

• نصب Client for Microsoft networking، بمنظور اجرای سرویس‌های HTTP,FTP,SMTP و NNTP ضروری خواهد بود.

در صورتیکه ماژول فوق نصب نگردد، امکان اجرای سرویس‌های فوق بصورت دستی یا اتوماتیک وجود نخواهد داشت.

• در صورتیکه تمایل به نصب سرویس‌های NNTP و SMTP، می‌بایست سرویس File and Print Sharing for Microsoft نیز نصب گردند.

• در رابطه با IUSER_Computername account، گزینه‌های User cannot change password و Password Never Expires را انتخاب و فعال نمائید.

• در صورتیکه تمایلی به ورود افراد گمنام به شبکه وجود نداشته باشد، می‌بایست Account مربوطه را غیر فعال نمود.

• برای هر وب سایت local admin groups ایجاد و Account مربوطه را مشخص نمائید.

• تمام مجوزهای NTFS مربوط به دایرکتوری Inetpub را حذف و صرفاً گروه‌ها و account‌های مجاز را به آن نسبت دهید.

• یک ساختار منطقی برای دایرکتوری ایجاد نمائید.

مثلاً برای محتویات ایستا، فایل‌های asp، scripts و Html ، اسامی دایرکتوری دیگری ایجاد و با یک ساختار مناسب به یکدیگر مرتبط گردند.

• مجوزهای لازم NTFS بر روی ساختار دایرکتوری‌ها را در صورت نیاز اعمال نمائید.

• تمام دایرکتوری‌های نمونه و اسکریپت‌هائی که نمونه برنامه‌هائی را اجراء می‌نمایند، حذف نمائید.

• مجوز Log on locally را به کاربر اعطاء و امکان log on as abatch service و Access this computer from the network از کاربر سلب گردد.

امنیت وب سرورها در شبکه (قسمت دوم-سرورهای شبکه) به گزارش گروه ویژه امنیت ملی مقایسه IIS و Apache شما باید ابتدا نیازهای سیستم، محیط‌های عملیاتی، تدابیر یکپارچگی و … را در پروژه خود شناخته و بعد تصمیم بگیرید.

اگر می‌خواهید یک وب سرور مطلق طراحی کنید هر دو مناسب هستند و می‌توانید هر کدام را که دوست دارید انتخاب کنید ولی بعضی مواقع فاکتورهای با ارزش، مسائل پشتیبانی، نگهداری و ملاحظات دیگر وجود دارند.

بنابراین فقط بعد از همه این واقعیتها و حقایق، متوجه می‌شوید که کدام محصول مناسبتر است و می‌تواند نیازهای شما را برآورده سازد.

از زمان ارائه سیستم عامل شبکه‌ای ویندوز NT 4.0، وب سرور IIS، یکی از اجزای سیستم عامل‌های سرور مایکروسافت بوده که نصب یا عدم نصب آن از طرف کاربر به صورت دلخواه و به راحتی در هر زمانی قابل انجام بوده است.

به عنوان مثال ویندوز NT4.0 همراه IIS4، ویندوز ۲۰۰۰ همراه IIS5 و ویندوز XP به همراه IIS5.1 به بازار ارائه شدند.

تا قبل از ویندوز ۲۰۰۳، کلیه ویرایش‌ها و نسخه‌های مختلف IIS بسیار مشابه هم بودند و می‌شد آنها را جزء یک خانواده به حساب آورد، اما پس از آن و با به میان آمدن ویندوز ۲۰۰۳، که نسخه ششم IIS را بهمراه خود داشت، قضیه کاملاً متفاوت شد.

در این نسخه که میتوان آن را یک بازنویسی کامل از وب سرور قدیمی دانست، بسیاری از مدلهای اجرای کد، تسهیلات مربوط به مدیریت و سرعت وکارایی آن، دچار تغییرات و بهبودهای قابل ملاحظه‌ای شده است.

از طرف دیگر آپاچی با سابقه ای بیشتر که بر اساس کدینگ Http کار می‌کرد، همواره بعنوان سمبل وب سرورهای دنیای یونیکس مطرح بود.

نسخه x3.1 آپاچی که تا سال ۲۰۰۲ مورد استفاده قرار می‌گرفت، با استفاده از ترفندهای تکنیکی خاصی بر روی سایر سیستم عامل‌ها و حتی ویندوز هم قابل نصب و اجرا بود.

اما با پیدایش آپاچی نسخه ۲، همه معادلات دچار تحولی بزرگ گردیده است.

این نسخه که دارای محیطی کاملاً تغییر یافته بوده و توابع درون آن با ظرافت هرچه تمام‌تر استقلال خود را از سیستم عامل تثبیت کرده بودند، توانست بر روی کلیه سیستم عامل‌های ویندوز، یونیکس، لینوکس، مک OSX و حتی سیستم عامل‌های دیگری چون VMS و BE OS نصب و اجرا شود.

در مقام مقایسه IIS و APACHE، می‌توان گفت که هرکدام دارای مزایا و معایبی هستند.

IIS فقط برای اجرا در ویندوز ساخته شده است.

به خصوص نسخه ششم آن، فقط در ویندوز ۲۰۰۳ قابل اجرا می‌باشد.

اگرچه بسیاری از کارشناسان، این مسئله را نوعی نقطه ضعف در ساختار IIS می‌دانند، برخی دیگر هماهنگی بسیار دقیق میان آن و ویندوز ۲۰۰۳ و سرویس‌های دیگر سیستم عامل را که باعث آسان‌تر شدن مدیریت IIS شده است را از نقاط برتری آن به حساب می‌آورند.

به خصوص در نسخه ششم جدا شدن ماژول مخصوص دریافت درخواستها (Request) از ماژول ویژه پردازش آن‌ها، سهم بسزایی در افزایش کارایی آن داشته است.

در این روش ماژول Listener که در کِرنل مستقر شده است (Http.sys)، درخواستهای ارسالی از طرف کلاینت‌ها را دریافت کرده و آنها را به ترتیب در داخل یک یا چند صف درخواست قرار می‌دهد.

سپس IIS به این درخواست‌ها با اختصاص حداقل یک پروسه کاری (Worker Process) به هر درخواست، پاسخ می‌دهد.

این ویژگی باعث می‌شود حتی زمانی که IIS به شدت مشغول پاسخ دهی به درخواست‌های قبلی است، ماژول جداگانه‌ای که در کِرنل مستقر است، بتوانند درخواست‌های جدید را دریافت کرده و حداقل آنها را در انتظار پاسخ قرار دهند.

همچنین با این وضعیت، سیستم عامل می‌تواند کنترل بهتری را در اختصاص پروسه‌های لازم به IIS جهت پردازش درخواست‌ها انجام دهد.

در آپاچی هم، جریان تا حدودی مشابه همین روال است.

در اینجا تعدادی ماژول با قابلیت انجام چند پردازش در واحد زمان وظیفه دریافت پاسخ به درخواست‌ها را برعهده دارند.

این ماژول‌ها که با استفاده از تکنولوژی APR بر روی بسیاری از سیستم عامل‌هایی که از کدهای کامپایل شده زبان C پشتیبانی می‌کنند، قابل اجرا هستند.

با استفاده از امکانات و قابلیت‌های Multi Threading همان سیستم عامل میزبان به سرعت و به صورت همزمان در خواست‌های رسیده از طرف کلاینت‌ها را دریافت و پردازش می‌کنند.

Standards Support در بسیاری از قراردادها و خریدها مهم می‌باشد.

جدول زیر خلاصه‌ای از پشتیبانی‌های استاندارد را توسط Apache و IIS نشان می‌دهد.

جدول ‏۰-۲: پشتیبانی‌های استاندارد توسط Apache و IIS مهمترین تفاوت بین IIS و Apache در Prerequisite (شرایط لازم) می‌باشد که در جدول زیر خلاصه شده است: جدول ‏۰-۳: مهمترین تفاوت بین IIS و Apache در Prerequisite مقایسه امنیتی Apache در مقابل IIS چندی پیش مدیران وب، خیلی درگیر ورودیها به سازمان وب سرور خود نبودند، اگر با ویندوز کار می‌کردند IIS مایکروسافت را اجرا می‌کردند و اگر از Linux\Unix استفاده می‌کردند وب سرور Apache را انتخاب می‌کردند و این دو هرگز با هم برخورد نداشتند اما زمان تغییر کرده است و پروژه Apache Http Server محدودیت را از بین برده و دیوارها را خراب کرده است و کار مدیران ویندوز را آسان کرده است (انتظار نمی رود که مایکروسافت IIS را برای Linux به کار ببرد).

۴ فاکتور وجود دارد که می توانید تصمیم بگیرید که کدام امنیت بیشتری برای تشکیلات شما دارد.

آسیب پذیری ذاتی سرور Platformها در مقابل حملات آسیب پذیر هستند.

تحقیقات اخیر در CERT، پایگاه دادههای آسیب پذیر را معرفی کرده است.

آسیب پذیری IIS را ۲۸ و آسیب پذیری Apache را ۲۵ اعلام کرده است.

دانش و آگاهی از مدیریت وب موجود اگر مدیران وب شما با یکی از Platform‌ها آشنایی دارند، برای تنظیمات امنیتی مورد نظر بر روی آن راحت هستند.

Platform فاکتور بسیار مهمی می‌باشد.

تعداد زیادی از نفوذهای امنیتی به پیکربندی اشتباه به وسیله مدیران که مهارتهایشان کافی نمی باشد، مربوط می‌شود.

ساخت یک اشتباه موقع یکهبا یک platform جدید کار می‌کنید بسیار آسان است.