海运的博客

保存为bat文件，点击运行按提示输入新端口自动完成，直接下载更改远程桌面端口脚本

@echo off
color 0a
title @@ 修改Windows XP/2003/2008远程桌面服务端口号 https://www.haiyun.me @@
echo *******************************************************************
echo * 请输入您要更改的远程桌面端口号，范围：1-65535，不能与其他端口冲突 *
echo *******************************************************************
echo.
set /p port=请输入端口号：
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp" /v PortNumber /t reg_dword /d %port% /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t reg_dword /d %port% /f
echo.
echo *******************************
echo * 重新启动远程桌面*
echo *******************************
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t reg_dword /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t reg_dword /d 0 /f
echo.
echo 按任意键退出...
pause>nul
exit

Iptables可通过匹配TCP的特定标志而设定更加严谨的防火墙规则，tcp-flags参数使用如下：

-p tcp --tcp-flags
#匹配指定的TCP标记，有两个参数列表，列表内部用逗号为分隔符，两个列表之间用空格分开。
#第一个列表为要检查的标志，第二个列表为要匹配的标志
#匹配数据包时第二个列表的值为1且第一个列表中的其它值要为0
#可用以下标志：
SYN、ACK、FIN、RST、URG、PSH、ALL、NONE
#ALL是指选定所有的标记，NONE是指未选定任何标记。

--syn
#SYN标志设置为1，其它标志未设置，相当于SYN为1且RST,ACK,FIN都为0
-p tcp --tcp-flags SYN,RST,ACK,FIN SYN.

很多人在使用tcp-flags匹配时遇到以下错误：

iptables v1.4.6: --tcp-flags requires two args.

原因是只定义了参数检查，未设置参数匹配，ROS下使用一组参数就可以了，正确使用tcp-flags应用示例：
防止Xmas扫描：

iptables -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP

防止TCP Null扫描：

iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP

拒绝TCP标记为SYN/ACK但连接状态为NEW的数据包，防止ACK欺骗。

iptables -A INPUT -p tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j DROP

1.计算机安全策略设置（gpedit.msc）
Windows设置——>安全设置——>账户策略——>账户锁定策略：

账户锁定阀值：3次无效登录
账户锁定时间：30分钟
复位账户锁定计时器：30分钟之后

本地策略——>安全选项：

交互式登陆：不显示上次的用户名　　　　　　　   启用
帐户：重命名来宾帐户　　　　　　　　　　　　重命名
帐户：重命名系统管理员帐户　　　　　　　　　重命名

本地策略——>审核策略：

审核策略更改　　　成功　失败　　
审核登录事件　　　成功　失败
审核对象访问　　　　　　失败
审核过程跟踪　　　无审核
审核目录服务访问　　　　失败
审核特权使用　　　　　　失败
审核系统事件　　　成功　失败
审核账户登录事件　成功　失败
审核账户管理　　　成功　失败

本地策略——>用户权限分配：

从网络访问此计算机：保留Guest组、IIS-WPG组。
关闭系统：只有Administrators组、其它全部删除。
通过终端服务拒绝登陆：加入Guests、User组
通过终端服务允许登陆：只加入Administrators组，其他全部删除

2.禁用不必要的服务：

#https://www.haiyun.me
Computer Browser
DHCP Client
Error reporting service
PrintSpooler
Remote Registry
Remote Desktop Help Session Manager
TCP/IP NetBIOS Helper
Help and Support
Windows Audio
Server
Workstation

3.开启防火墙或TCP/IP筛选：


4.修改3389远程桌面端口：

REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp" /v PortNumber /t 
REG_DWORD /d $newport /f
REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t 
REG_DWORD /d $newport /f
#然后关闭并重新启动远程桌面，远程连接操作请重新启动系统生效。
REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t 
REG_DWORD /d 1 /f
REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t 
REG_DWORD /d 0 /f

5.IIS新建网站时尽量新建不同的用户，并权限最小化：

网站匿名访问用户属于Guest群组
应用程序池标记用户属于IIS_WPG群组
网站目录仅保留系统管理员网站用户权限

6.系统目录权限：

C:\administrators/system全部权限，继承到下级目录。
C:\Program Files\Common Files 开放Everyone，默认的读取及运行，列出文件目录，读取三个权限。
C:\Windows\ 开放USERS默认的读取及运行，列出文件目录，读取三个权限。
C:\Windows\Temp 开放Everyone 修改，读取及运行，列出文件目录，读取，写入权限。

7.禁用不安全的组件、调整ASP.NET安全级别防WebShell木马。
8.使用UrlScan应用防火墙过滤链接。
9.SQL2000数据库服务器安全设置。

由于TCP协议缺陷被恶意利用Syn-Flood攻击，Linux内核调整这些参数可缓解这类攻击：

net.ipv4.tcp_syncookies = 1
#启用syncookies
net.ipv4.tcp_max_syn_backlog = 8192
#SYN队列长度
net.ipv4.tcp_synack_retries=2
#SYN ACK重试次数

Linux服务器作为网关或代理时TIME-WAIT较多，可通过以下参数优化调整：

net.ipv4.tcp_fin_timeout = 30
#主动关闭方FIN-WAIT-2超时时间
net.ipv4.tcp_keepalive_time = 1200
#TCP发送keepalive消息的频度
net.ipv4.tcp_tw_reuse = 1
#开启TIME-WAIT重用
net.ipv4.tcp_tw_recycle = 1
#开启TIME-WAIT快速回收
net.ipv4.ip_local_port_range = 1024 65000
#向外连接的端口范围
net.ipv4.tcp_max_tw_buckets = 5000
#最大TIME-WAIT数量，超过立即清除
net.ipv4.tcp_syn_retries = 2
#SYN重试次数

其它一些参数优化：

net.ipv4.tcp_rmem = 4096 87380 4194304
#TCP接收缓冲大小，对应最小、默认、最大
net.ipv4.tcp_wmem = 4096 16384 4194304
#TCP发送缓冲大小，对应最小、默认、最大
net.core.rmem_max = 16777216
#最大发送套接字缓冲区大小
net.core.wmem_max = 16777216
#最大接收套接字缓冲区大小
net.core.netdev_max_backlog = 262144
#当网络接口接收速率比内核处理快时允许发到队列的数据包数目
net.core.somaxconn = 262144
#最大连接队列，超过导致连接超时或重传

MARK标记用于将特定的数据包打上标签，供Iptables配合TC做QOS流量限制或应用策略路由。
看看和MARK相关的有哪些模块：

ls /usr/lib/iptables/|grep -i mark
libxt_CONNMARK.so
libxt_MARK.so
libxt_connmark.so
libxt_mark.so

其中大写的为标记模块，小写的为匹配模块，它们之间是相辅相成的。
MARK标记数据包：

#如将所有TCP数据包标记为1
iptables -t mangle -A PREROUTING -p tcp -j MARK --set-mark 1

mark匹配数据包：

#匹配标记1的数据并保存数据包中的MARK到连接中
iptables -t mangle -A PREROUTING -p tcp -m mark --mark 1 -j CONNMARK --save-mark
#将非空mark数据包保存到连接中
iptables -t mangle -A PREROUTING -m mark ! --mark 0 -j CONNMARK --save-mark

CONNMARK标记连接：

iptables -j CONNMARK --help
--set-mark #标记连接
--save-mark #保存数据包中的MARK到连接中
--restore-mark #将连接中的MARK设置到同一连接的其它数据包中
iptables -t mangle -A PREROUTING -p tcp -j CONNMARK --set-mark 1

connmark匹配连接：

iptables -m connmark --help
--mark value #匹配连接的MARK的标记
#匹配连接标记1并将连接中的标记设置到数据包中
iptables -t mangle -A PREROUTING -p tcp -m connmark --mark 1 -j CONNMARK --restore-mark

应用案例：Iptables标记数据策略路由多WAN带宽叠加并负载均衡。

其它可参考:
https://blog.csdn.net/bytxl/article/details/7918403
https://blog.csdn.net/dog250/article/details/78301259