Jsp不同于asp和php,asp和php只需要设置好iis或者apache的www头访问权限就可以了,而jsp是依赖于tomcat,resin这些容器的!!

而这些容器是可执行文件(.exe)有着adminstrator组权限,也就是说默认tomcat有管理员所有权限!!

如果不对tomcat进行单独设置,用户上传一个jsp木马很容易就拿到您的超级管理员权限,因为jsp木马是可以执行cmd的操作的!!

而用cmd 很容易就增加了一个可以远程桌面登陆的用户和密码

vps,云服务器,单独服务器,用户都会面临这个jsp安全的问题!!!

在次我给大家几点建议

1:尽量不要装多余的软件,尤其是破解软件,因为这些软件里80%都有后门,你想下他破解软件,免费给出来让你们用,他图什么???肯定有有升毫亿我们不知道的原因在里面,为了让服务器安全,还是尽量不要用!

2:如果有可能请装正版的操作系统和数据库等软件!!请及时打补丁,关闭不必要的服务,设置陷进管理员帐户(把原来的administrator改名,在新建个administrator的没有任何权限的用户,密码锁设置足够复杂,让黑客去破解这个用户)

3:打开防火墙设置,只允许80,或者21,或者3306,1433这些必须要用的端口,极端请看下只允许80端口!

4:杀毒软件是要安装的,360杀毒不推荐个人感觉不适合用在服务器上,因为他运行久了,(10天以上不关机)360杀毒软件就打不开了!!!

5:如果会做策略,就做个策略,只允许某一个ip段登陆远程桌面...比如你人是上海的,可以做个策略只允许上海的ip段,登陆远程桌面,其他省份的,你就是知道我服务器密码,你也登陆不了!有条件的还可以做个只允许某一个固定ip登陆,你要管理服务器,就先登陆这个固定ip的服务器上名字这个服务器上在连接您自己的服务器(目前我们好空间网络公司就\是用这样的办法)如果大家需要这样的用固定的ip去登陆和管理你们自己的服务器,我们公司可以为您提供这样的服务!

6:安装好数据库后,先把数据库降权,删除一些危险的存储过程!!最好用超级公路客运,建立一个权限比较小的用户和数据库,不要在jsp程序里直接用超级管理员直接连接数据库!!!

7:安装好apache后给pache降权,让他只可以访问和操作您3自己的网站目录

8:给您的C盘(系统盘)降权,拒绝不应该访问的用户

9:给您的系统关键操作降权,比如拒绝cmd,拒绝net  拒绝net1等操作,用的时候在自己打开,平常关闭他!!

10:如果用了ftp功能,ftp也要降权,让他只可以操作您网站的目录,所有其他目录军需要拒绝他

11: 打开系统的安全设置策略,禁止一些可以通过网络登陆的用户,删除一些可以一些系统函数,另外给guest用户改名!打开服务器日志记录!!

12:给您的tomcat和jdk降权!

13:如果有条件请把网站连接数据库的配置文件加密,这样就是当黑客看见了你的源代码,他也看不见您的数据库的任何信息!!!

经过上述一些操作后,相信您的服务器应该比较安全了...

如果还是被黑了,就需要考虑是不是网站程序上有漏洞,比如什么地方可以允许用户上传文件,而用户上传了个jsp的,现在有种技术允许用户上传图片,其他的不允许,黑客可以把.jsp或者asp,php文件伪装成为.jpg图片上传,上传到服务器后自动改回原来的jsp文件.这样用户就上传了一个jsp木马,他就可能会删除或者查看你的网站程序!!

如果发生这样的情况,你们我建议您,一个一个网页文件排查,看看有没有被黑客留下后门,另外还需要检查网站自身的漏洞,,,最好是关闭任何可以供用户上传的地方(包括您自己的网站后台发布新闻的地方也不要可以上传的)!!

另外还要注意sql注入漏洞,这个漏洞如果防范的不好,他可以造成用户在不知道您管理员密码的情况下,登陆您网站的后台,帮您发布新闻,删除数据等,您自己可以在后台做的他都能做...

如果后台有可以上传的地方,你们他会毫不留情的上传一个木马留好后门......

所以请大家务必小心...如果您觉得jsp安全这么难做,也可以和我们联系(http://www.jspkongjian.net),我们帮您有偿服务!!!

目前我们已维护了60多台服务器了,从没有发生过被黑的现象!!确保您的jsp服务器安全!!!