老梁（蛤蟆哥）运维技术发表于：2008年08月19日

Windows 2003系统安全权限方法

[全站通告] 想快速节省您的时间并可接受付费的朋友，可扫右边二维码加博主微信-非诚勿扰！

修改3389远程连接端口、用户权限分配、禁用终端服务(TsInternetUser), SQL服务(SQLDebugger), SUPPORT_388945a0、Windows 2003系统安全权限方

服务器安全设置

>> 修改3389远程连接端口
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]
"PortNumber"=dword:0000端口号
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]
"PortNumber"=dword:0000端口号
设置这两个注册表的权限, 添加“IUSR”的完全拒绝禁止显示端口号

> 本地策略--->用户权限分配
　　关闭系统：只有Administrators组、其它全部删除。
　　通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组，其他全部删除

> 在安全设置里本地策略-用户权利分配，通过终端服务拒绝登陆加入
ASPNET
IUSR_
IWAM_
NETWORK SERVICE
(注意不要添加进user组和administrators组添加进去以后就没有办法远程登陆了)

> 在安全设置里本地策略-安全选项
网络访问:可匿名访问的共享;
网络访问:可匿名访问的命名管道;
网络访问:可远程访问的注册表路径;
网络访问:可远程访问的注册表路径和子路径;
将以上四项全部删除

> 不允许 SAM 账户的匿名枚举更改为"已启用"
> 不允许 SAM 账户和共享的匿名枚举更改为"已启用" ;
> 网络访问: 不允许存储网络身份验证的凭据或 .NET Passports 更改为"已启用" ;
> 网络访问.限制匿名访问命名管道和共享,更改为"已启用" ;
将以上四项通通设为“已启用”