2005年10月14日星期五

Google Earth下的台湾军事基地

  目前台湾陆军有兵力近20 万人。依任务编组为战斗、战斗支援两类部队。包括步兵、装甲兵、陆军航空兵、通信兵、运输兵、宪兵及政战部队。陆军设有3个军团、4个防卫司令部、2个兵种部、8个师级指挥部,25个守备旅、15个打击旅、3个防卫直属步兵营、26个防空导弹连、30个野战炮兵营、10多个防空炮兵营以及海岸巡防部队等。陆军的武器装备包括:主战坦克1500多辆,装甲运兵车1000多辆,各种大炮1400多门、火箭发射车95辆、各种飞机近百架、各式导弹数千枚;此外台湾陆军还配备了36式和37式半自动步枪、65式自动步枪、74式和75式机枪、T65K3型步枪,以及迫击炮、防空火炮等装备。有军事专家评论说,台湾已经成为世界最大的火药库之一。

  空军建设方面,台湾虽然战机总共只有500架左右,但先进战机有336架,它们是F-16A/B、幻影2000-5、经国号(IDF)。根据有关数据显示,经过改装升级的F-5E/F性能接近第三代战机,台空军大约有100架该型飞机。这样算来,台湾先进战机约有400架左右。这些先进战机的数量在亚太地区仅次于日本航空队。另外,台湾拥约有20架C-130大型运输机。

  海军建设方面,台海军拥有20多艘先进军舰,包括8艘成功级导弹驱逐舰、6艘康定级导弹护卫舰和9艘诺克斯级护卫舰。台湾的“阳”字级驱逐舰在“武进”改进计划下,它们旧貌换新颜,战斗力不可小覰。台海军的20多艘战舰属第二代战舰,作战能力相当强大。成功级护卫舰是整个台海地区最先进的战舰,也是整个亚洲地区最先进战舰之一。康定级护卫舰在作战能力上不及成功级,但其良好的隐身功能使其具有较强的攻击和防卫能力。诺克斯级护卫舰具有美国最先进的反潜设备。这些军舰都能搭载远程反潜直升机,具有很强的反潜能力。

  以上是我们从一些军事杂志上看到的台湾军事装备,但是台湾的军事实力到底如何呢?Google Earth的出现,可以使得我们从卫星上对于台湾目前的军事力量有一个初步的了解,由于台湾的Google Earth卫星地图大部分是高分辨率的,因此可以很方便地找到不少台湾的军事目标,特别是军用机场的目标。下面,就由Google Earth带领我们一起来看看卫星地图下的台湾军事设施吧。

先来看看台湾岛的全图。

台湾第一战斗机联队,主要是F-5E/F战斗机以及改装的IDF战斗机,位置 北纬22度56分 东经120度12分,地处台南,由于远离城市,只有低分辨率的图片,跑道长度约3km。

台湾第二战斗机联队,地处新竹南寮,第11大队,第41、42、48中队换装60架法国幻影-2000/5战斗机,还有第12独立侦察中队的R-CH-1“中兴号”巡逻机,第2修补大队,第2基勤大队,206高炮营,第6警卫营,位置 北纬24度49分 东经120度56分,跑道长度约4km。

下面两张是飞机轮胎在起降时留下的痕迹。

从痕迹的深浅来看,下图为降落留下的痕迹,颜色较深,上图为起飞,颜色较浅,起降距离大约为320~340m左右。

这里是两架停在地面的战机,左下的那架没认出来,右边那架应该是人称寡妇制造者的F104。

台湾第三战斗机联队,位置 北纬24度15分 东经120度37分,跑道长度约4km。

资料上说这里主要是IDF战机。

但从卫星图片上看,主要是F16A/B。

F16A/B是美国卖给台湾的老式战机。

台湾购买了150架,外加40台备用发动机,共58亿美元,1997-2000年交付,目前有90架。

这里的飞行员降落大约需要450m。

台湾第五战斗机联队,它的北面是一个民用机场(应该是桃园机场)。

从卫星图片上看不到一架飞机,不知道是不是放到机库里了,跑道上没有任何磨损的痕迹。不知道是刚翻新了跑道还是平时没有训练,从资料上看,装备有F-5E/F战斗机,RF-104G侦察机,将来部署F-16战斗机,总之,这里没什么看头,位置 北纬25度03分 东经121度14分。

台湾第6运输反潜联队,第10空运大队下辖101、102中队的C-130H运输机,直属联队的E-2C鹰眼预警机和EC-130电子战飞机。台湾空军战机大修厂,没有什么空优战机。

位置 北纬24度51分 东经121度14分,卫星图片上只看到一些直升机,跑道也没磨损的痕迹。

台湾战术机第七联队,这个在台东。

第7(737)战斗训练联队,第7大队44、45中队和46假想敌中队装备F-5E/F战斗机,机型比较落后,而且不在一线,也没什么可看的,就看到一个大家伙,应该是运输机吧。位置 北纬24度01分 东经121度37分。

台湾455战斗机联队。

位置 北纬23度27分 东经120度23分,资料上说这里主要是F16战机,这里刚好有两架F16编队起飞被卫星拍到了。

两机之间的距离约为20m,这里还有一些直升机。

又是一架运输机。

这里还有一张分辨率不高的499联队的卫星图片,位置北纬22度47分 东经121度10分,据资料,这里装备有60架法国幻影-2000/5战斗机,还有第12独立侦察中队的R-CH-1“中兴号”巡逻机,第2修补大队,第2基勤大队,206高炮营,第6警卫营。

在台湾岛的西北面还有一个不明的基地,左侧还有一个逃跑用的直升机起飞点,位置 北纬25度08分 东经121度23分。

 

  如果你安装了Google Earth软件,还可以点这里下载KMZ地标文件来查看详细的台湾军用空军基地的卫星地图。更多军事方面的地标,请参看我的“Google Earth观察”的军事设施栏目。

  下面是一个台湾空军基地的纬度、经度表,在Google Earth直接将其纬度、经度复制过去,按回车即可准确定位到该地点。

名 称 主要用途与配属部队 最长跑道 纬度(北纬) 经度(东经)
Ao Hu Kou(湖口) 机场   24° 52' 27" N 121° 02' 24" E
Chiang Kai Shek Intl(中正国际机场) 民用 12,008 25° 04' 55" N 121° 13' 26" E
Chiayi (嘉义空军基地) 第4(第455)战术战斗机联队 10,006 23° 27' 42" N 120° 23' 34" E
Chihhang(知本) 军用 11,055 22° 47' 35" N 121° 10' 55" E
ChingChuanKang(清泉岗空军基地) 第3(第427)战术战斗机联队 12,000 24° 15' 52" N 120° 37' 14" E
Fengnin AB(凤宁空军基)   8,038 22° 45' 13" N 121° 06' 09" E
Green Island Airport(绿岛机场) 小型民用机场 3,312 22° 40' 18" N 121° 27' 59" E
Hengchun(恒春)

206公路跑道

260公路跑道

296、298公路跑道

331、334公路跑道

58、60公路跑道

军用(陆军) 9,105

9,184

8,638

9,186

8,000 

21° 55' 59" N

23°59'59''N

23°32'45''N

23°14'18''N

22°55'29''N

24°57'30''N

120°49'59''E

120°30'38''E

120°24'23''E

120°15'02''E

120°15'29''E

121°11'45''E

Hsinchu AB(新竹空军基地) 第2(第499)战术战斗机联队 12,000 24° 49' 05" N 120° 56' 21" E
Hualien AB(花莲空军基地) 第5(第401)战术战斗机联队 9,098 24° 01' 23" N 121° 37' 04" E
Kangshan AB(冈山空军基地) 空军学院 7,500 22° 46' 54" N 120° 15' 43" E
Kaohsiung Hsiao-kang Intl(高雄小港国际机场) 民用 10,335 22° 34' 31" N 120° 21' 02" E
Lan Yu / Orchid Island (兰屿) 机场 4,026 22° 01' 59" N 121° 32' 60" E
Lungtang(龙塘) 小型民用机场 3,252 24° 51' 18" N 121° 14' 15" E
Makung Airport(马公机场) 军用/民用 9,840 23° 34' 03" N 119° 37' 44" E
Matsu Peigan Airport(马祖北竿机场) 机场    26° 13' 31" N 120° 00' 00" E
Matsu South(马祖南竿机场) 机场    26° 09' 02" N 119° 57' 13" E
Pa Kuei / Bakuai(八仙) 不详    24° 55' 59" N 121° 17' 60" E
Penghu / Chimei(澎湖/七美屿) 小型民用机场 6,726 23° 31' 05" N 119° 35' 04" E
Pingtung North (屏东北空军基地) 第439空军联队 8,000 22° 41' 43" N 120° 28' 40" E
Pingtung South(屏东南空军基地) 第439空军联队 7,817 22° 40' 20" N 120° 27' 42" E
Pratas Island(东沙岛)       4,921 20° 42' 15" N 116° 43' 14" E
Shang Yi / Kinmen (上义/金门) 军用/民用 9,845 24° 25' 40" N 118° 21' 31" E
Sungshan Taipei(台北松山机场) 军用/民用 8,546 25° 04' 10" N 121° 33' 09" E
Ta Shan Ting(大山亭) 机场   24° 25' 04" N 118° 14' 27" E
Taichung (台中空军基地) 军用 5,315 24° 11' 04" N 120° 39' 14" E
Tainan (台南空军基地) 第1(第443)战术战斗机联队 10,007 22° 57' 01" N 120° 12' 20" E
Taitung (台东空军基地) 第7(第737)战术战斗 5,315 24° 11' 04" N 120° 39' 14" E
Taoyuan (桃园空军基地) 桃园司令部 10,044 25° 03' 20" N 121° 14' 33" E
Tsoying(左营) 军用 3,500 22° 42' 16" N 120° 16' 48" E
Wang An(望安) 小型民用机场 3,076 23° 22' 04" N 119° 30' 07" E
可能用于基地导航的设施(无跑道)
Chang Hua(彰化) 不详   24°04'59''N 120°31'59''E
Chia Tung(佳桐) 不详   22°25'00''N 120°32'60''E
Donggung(东港) 不详   22°28'00''N 120°25'59''E
Dongshi(东石) 不详   23°16'00''N 119°40'00''E
Huwei(虎尾) 不详   23°42'37''N 120°25'41''E
Ilan(宜兰) 不详   24°45'00''N 121°46'00''E

2005年10月13日星期四

用Google Maps发现了北朝鲜的军事基地

  Google Maps这些天风头很劲啊,对于这种空前的卫星地图技术,不断有一些无聊的人为了不可告人的目的将其政治化并加以炒作,不过这反而使得Google Maps让更多的人知道。

  对于中国大陆,Google Maps的解析度普遍不高,只有北京深圳珠海,以及“宏伟”的珠海机场的地图是高解析度的,其他地区都是低解析度的卫星地图,而且连上海都没有高解析度的卫星地图。因此Google地图是否泄密引发的争议,Google也可以用敏感区域的解析度很低来反驳。

  这些天,我仔细研究了一下Google地图,我发现一个奇怪的现象,就是北朝鲜的高解析度地图区域超级多,北朝鲜其实更应该抗议Google,因为我在Google地图上赫然发现了高解析度的北朝鲜泰川(Taechon)军事基地的卫星地图(这个位于山中的基地,机场上的战机清晰可见),和位于泰川(Taechon)的200兆瓦核反应堆,以及大型水力发电厂,不可思议的北朝鲜核电站。卫星地图上有这么多清晰的军事和工业目标,看来北朝鲜和Google可能有仇啊,说句公道话,Google这么做的确也不是很好,我想任何一个国家都不愿意自己的如此机密的建筑物象这样被公布于天下,而且图像的解析度非常高。不过也可能是因为北朝鲜信息闭塞(据说北朝鲜能上网的人非常非常少,而且很多网站无法访问),一直到现在也没有对此进行任何形式的抗议(不知者不怪?)。当然这也是一个极大的讽刺-一个如此封闭独裁的敢和美国叫板的“军事强国”,其国民一辈子都不可能看到的这么多的“绝密建筑物”,竟然全世界人民都可以看到这些“绝密建筑物”的清晰卫星地图,这就是封闭独裁和闭关锁国的下场。北朝鲜和美国作对,也实在是自不量力。

  泰川(Taechon)军事基地里的飞机(图)

  泰川(Taechon)200兆瓦核反应堆(图)

在网上购买域名的省钱心得

  在国外网上购买域名或主机等商品时,有些产品会提供 Promo code 或 Coupon code,能够省不少钱的。

  一般上 Google 上可以搜索到,我自己在 Yahoo 上也搜索到过,今天我去 http://www.scoreadeal.com 上搜索到了一个 Promo code ,在 Godaddy 上用了,的确管用,节省了1美圆。

附录:GoDaddy Coupon Code :

Code: HASH3
Discount: $6.95 .COM registration, renewal, or transfer
Expiration: N/A

Code: gdh051630
Discount: SAVE 15% on any order of $50 or more
Expiration: May 31, 2006

Code: gdh050230
Discount: SAVE OVER 20% ON .COM NAMES ($6.95 + ICANN fee)
Expiration: May 31, 2006

Code: gdh042530
Discount: $20 ON ANY $75 ORDER
Expiration: May 15, 2006

Code: gdh050830
Discount: $10 on any order of $50 or more
Expiration: May 31, 2006

Code: gdradio23
Discount: $20 off $75
Expiration: N/A

Code: goox3004at
Discount: $2.00 off .com domains
Expiration: N/A

Code: gdh0103plc
Discount: $20 off any order of $75 or more
Expiration: N/A

Code: Renew36
Discount: $5 off an order of $30 or more.
Expiration: N/A

Code: Renew35
Discount: $5 off of $30
Expiration: N/A

Code: USA6
Discount: $5 off every $30+ spent
Expiration: N/A

Code: Candy
Discount: $5 off every $30+ spent
Expiration: N/A

Code: Amazon1
Discount: $5 off every $30+ spent
Expiration: N/A

Code: saveten
Discount: 10% off
Expiration: N/A

Code: Hello2
Discount: 10% off
Expiration: N/A

Code: ICANN1
Discount: 10% off
Expiration: N/A

Code: wsm1
Discount: 10% off
Expiration: N/A

Code: SAVENOW
Discount: 10% off
Expiration: N/A

Code: Slash
Discount: 10% off
Expiration: N/A

Code: MINUTE
Discount: 10% off
Expiration: N/A

Code: COMMANDN
Discount: 10% off
Expiration: N/A

Code: TECH3
Discount: 10% off
Expiration: N/A

Code: Amazon
Discount: 10% off
Expiration: N/A

Code: Renew5
Discount: 10% off
Expiration: N/A

Code: gdh010381
Discount: $10 off $50
Expiration: N/A
 

2005年10月11日星期二

武昌起义纪念日

  今天是辛亥武昌起义的纪念日,也是中国历史上非常重要的一次事件。辛亥武昌起义是在黄花岗起义失败后,一部分革命党人决定把目标转向长江流域,准备在以武汉为中心的两湖地区发动一次新的武装起义。通过革命党人的努力,终於在1911年(农历辛亥年)10月10日成功地发动了具有划时代意义武昌起义。起义的胜利,逐步使清皇朝走向灭亡。

  起义背景

  辛亥武昌起义前夕,中国的各种社会矛盾不断激化,人民群众的反抗斗争持续不断,革命党人不断发动武装起义。1906年,清廷抛出「预备立宪」,其实质却是加强了皇族的权力,广大立宪派对此极为不满;1908年慈禧太后与光绪皇帝相继去世,年仅3岁的宣统皇帝溥仪即位,其父载沣摄政。1911年5月,清政府公佈的内阁名单中满族人有九名(其中七名是皇族),汉族有四名。被人称为「皇族内阁」。立宪派对此大失所望,有少数人参加了革命党。为取得外国的支持,以维护其统治,清廷将广东、四川、湖北、湖南等地的商办铁路收为国有,然后再卖给外国,掀起了全国大规模的人民起义——保路运动,其中四川最为激烈。

  前期准备

  文学社和共进会两个革命团体在湖北新军中开展革命宣传工作,在新军中发展革命力量,积极准备起义。

  起义经过

  清廷为扑灭四川的人民起义,派出大臣端方率领部分湖北新军入川镇压,致使清军在湖北防禦力量减弱,革命党人决定在武昌发动起义。1911年9月14日,文学社和共进会在同盟会的推动下,建立了统一的起义领导机关,联合反清。9月24日,两个革命团体召开联席会议,决定10月6日发动起义。革命党人的活动被湖北当局察觉,处处提防,再加上同盟会的重要领导人黄兴、宋教仁等未能赶到武汉,起义延期。

  10月9日,孙武等人在汉口俄租界配制炸弹时不慎引起爆炸。俄国巡捕闻声而至,搜去革命党人名册、起义文告等,秘密泄露。湖广总督瑞虒下令关闭四城,四处搜捕革命党人。情急之下,革命党决定立即於10月9日晚12时发动起义。但武昌城内戒备森严,各标营革命党人无法取得联络,当晚的计划落空。

  新军中的革命党人自行联络,约定以枪声为号於10月10日晚发动起义。10月10日晚,新军工程第八营的革命党人打响了武昌起义的第一枪,夺取位於中和门附近的楚望台军械所,吴兆麟被推举为临时总指挥。缴获步枪数万支,炮数十门,子弹数十万发,为起义的胜利奠定了基础。

  此时,驻守武昌城外的辎重队、炮兵营、工程队的革命党人亦以举火为号,发动了起义,并向楚望台齐集。武昌城内的29标的蔡济民和30标的吴醒汉亦率领部分起义士兵冲出营门,赶往楚望台;尔后,武昌城内外各标营的革命党人也纷纷率众起义,并赶向楚望台。起义人数多达3000多人

  10月10日晚上10点30分,起义军分三路进攻总督署和旁边的第八镇司令部。并命已入城之炮8标则在中和门及蛇山佔领发射阵地,向督署进行轰炸。起初,起义军没有一个强有力的指挥,加上兵力不够,进攻受挫。晚12点后,起义军再次发起进攻,并突破敌人防线,在督署附近放火,以火光为标志,蛇山与中和门附近的炮兵向光处发炮轰击。被吓破胆的湖广总督瑞虒慌忙家眷,打破督署后墙,从长江坐船逃走,第八镇统制张彪仍旧在司领部顽抗。起义军经过反覆的进攻,终於在天亮彰佔领了督署和镇司令部。张彪退出的武昌,整个武昌在起义军的掌控之中。

  汉阳、汉口的革命党人闻风而动,分别於10月11日夜、10月12日光复汉阳和汉口。起义军掌控武汉三镇后,湖北军政府成立,黎元洪被推举为都督,改国号为中华民国,并号召各省民众起义响应。武昌起义胜利后的短短两个月内,湖南、广东等十三个省纷纷宣佈脱离清政府宣佈独立。1912年1月1日,中华民国临时政府在南京成立,孙中山被推举为临时大总统。1912年2月12日,清帝溥仪退位,清朝灭亡。

  出处:维基百科

2005年10月7日星期五

有线电视升级为数字电视

  早就听说今年年底前本地所有的有线电视用户都要转换为数字电视,没想到今天有线电视的人就来给我升级了,免费送了一个价值700元的机顶盒,然后就将有线电视的线路接到机顶盒上,节目就变成数字电视节目了。

  电视频道的清晰度看起来都没有什么太大变化,我的电视是SONY贵翔34寸的,感觉大部分电视的清晰度没什么变化,唯一变化的是月租费用从15元升到了28元。对于我这种不喜欢看电视的人来说,数字电视的确没有什么用处,还不如用有线电视呢。遥控器的操作也复杂了,不好用。

  不过我想还是有很多人喜欢看电视的,数字电视近100个频道,大部分好看的都要收费的,例如HBO、NHK、CNN等等,只有原先的有线频道才免费,但是我相信很多人会乐意订阅优秀的收费电视,电视台的盈利也是可以预期的。

  收费频道和价格参见下面的表格,其中HBO以月费50元成为最贵的频道,令人惊讶的是里面还有CNN和BBC频道,更令人不解的是国内付费频道中居然还有CCTV的几个频道(月收费1元,目前免费),CCTV的垃圾节目居然也想收费?真是天方夜谈啊,白送都不看呢,浪费时间。HBO尽管月费50元,但其估计是最好的娱乐频道了。

类别

编号

频道名称

月收费 (元)

A. 港澳及境外付费频道(由中国国际电视总公司提供)

1 影视

A101

HBO 家庭影院亚洲频道 (HBO)

50

A102

家庭影院亚洲频道 (CINEMAX)

10

A103

卫视国际电影台 (STAR MOVIE )

10

A104

贺曼影视台 (HALLMARK)

8

A105

索尼动作影视娱乐频道 (AXN)

8

A106

凤凰电影台 (PHOENIX MOVIES)

5

A107

星河电视剧频道 (TVB GALAX)

2

2 科教

A201

国家地理亚洲频道 (NGC )

12

A202

探索亚洲频道 (DISCOVERY)

10

A203

阳光卫视 (SUN TV)

2

3 体育

A301

娱乐体育节目网亚洲频道 (ESPN)

10

A302

卫视体育台 (STAR SPORTS)

8

4 音乐

A401

卫视音乐台 (CHANNEL[V])

5

A402

全球音乐电视台中文频道( MTV ) *

5

7 综合

A701

凤凰资讯台

(PHOENIX INFONEWS CHANNEL)

2

A702

星空卫视 (STAR TV)*

2

A703

香港无线八频道 (TVB8)

2

A704

香港世界网络频道 (NOW)

2

A705

澳亚卫视 (MASTV)

2

A706

新知台 (HORIZON CHANNEL)*

2

A707

凤凰卫视中文台 *

( PHOENIX CHINA )

2

A708

华娱电视台( CETV ) *

2

8 国际 资讯

A801

美国有线电视新闻网 (CNN)

25

A802

英国广播公司世界频道 (BBC WORLD)

25

A803

亚太财经频道 (CNBC ASIA PACIFIC)

25

A804

彭博财经亚太频道 (BLOOMBERG TV)

25

A805

日本广播协会收费娱乐频道(NHK WORLD)

50

B. 国内付费频道(由第三方提供)

1

影视

B101

华诚影院

(华诚电影电视数字节目有限公司)

8

B102

中央六台 *(中广影视卫星有限责任公司)

1

3 体育

B301

中央五台 *(中广影视卫星有限责任公司)

1

4 音乐

B401

中央三台 *(中广影视卫星有限责任公司)

1

5 综艺

B501

中央八台 *(中广影视卫星有限责任公司)

1

6 时尚

B601

靓妆频道(江苏广电数字传媒有限公司)

5

注:标注 * 的频道暂不收费 

2005年10月4日星期二

喜欢模仿Google的百度

  很长时间以来,我一直注意到一个现象,就是每当Google推出自己的新产品后,百度就在一段时间之后推出一个和Google产品功能非常类似的产品。

   Google出了“地图服务”后,Baidu也推出“百度地图”,Google推出“桌面搜索”,Baidu就出“百度硬盘搜索”,Google出“工具栏”,Baidu也出“搜霸工具栏”,Google推出“新闻快讯订阅”,百度也出“邮件新闻订阅”,Google推出“Google Answers”,百度也出“百度知道”,Google推出“AdSense”,百度就出“百度主题推广”。

   当然,由此我们可以看到Baidu具有很强的开发能力,Google出什么产品,Baidu就能立刻模仿着出一个,但是这带来的问题是:人们开始怀疑,Baidu难道自己一点创新都没有吗?或者因为Baidu没有市场研究能力,只好模仿Google的现成产品?

   当然,Baidu的赢利能力远不如Google,Google就象我以前说的鲇鱼效应一样,推动了整个互联网创新的步伐。当然,最终成功的也就是最优秀的创新者了。

  对于百度,我不禁要问,这样一个IT界的知名企业,如果自己产品的大部分功能都只能模仿自竞争对手,那他除了模仿,还会做别的吗?

2005年9月30日星期五

Windows IIS WEB服务器配置安全规范

  本文档列举出一些建议和最佳做法,以保证 Web 上运行 Microsoft Windows 2000 和 Internet Information Services (IIS) 5 的服务器的安全。这些设置侧重于安全性而不是性能方面。因此认真阅读以下的建议并运用它们来获得适用于自己企业的设置是很重要的。

注意 本文档是由“Designing Secure Web-Based Applications for Microsoft Windows 2000”,Microsoft Press,ISBN: 0735609950 改编而来。

那些熟悉 Internet Information Server 4 清单的客户将注意到本列表要远短于 Internet Information Server 4 的清单。这是因为以下两点原因:

  • 许多 Windows 2000 系统范围的设置可以通过提供的安全模板 (hisecweb,inf) 进行配置;所以不需要手动配置注册表设置。
  • 在 Windows 2000 和 IIS 5 的默认状态下,将禁用 Microsoft Windows NT 4 和 Internet Information Server 4 上的某些低安全级别的默认设置。

本文档的其余部分分为以下几个部分:

  • 一般性安全考虑事项
  • Windows 2000 安全考虑事项
  • IIS 5 安全考虑事项

一般性安全考虑事项  

本部分内容讲述一般性安全问题。

阅读您企业的安全策略

拥有安全策略是十分重要的。对以下问题,您需要有现成的答案:

  • 如何对入侵作出反应?
  • 备份存储在何处?
  • 允许谁访问服务器?

SANS InstituteBaseline Software, Inc.Practical Unix & Internet Security (O'Reilly Books, 1996) 中可以找到有关策略信息的比较好资源。

预订 Microsoft 安全通知服务

您可以在 http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/notify.asp 上预定 Microsoft 安全通知服务,使自己能够及时知道有关 Microsoft 安全问题和修补程序的信息。您将通过电子邮件获得有关安全问题的自动通知。

您还应当考虑在桌面上放置 Microsoft 安全顾问程序的快捷方式。要完成此操作,请执行下列步骤:

  1. 打开 Internet Explorer。
  2. 导航到 http://www.microsoft.com/technet/security/bulletin/notify.asp
  3. 从“收藏”菜单中选择“添加到收藏夹”。
  4. 选中“允许脱机使用”复选框。
  5. 单击“自定义”。
  6. 在“脱机收藏夹向导”中单击“下一步”。
  7. 选中“是”选项按钮并指定下载与该页链接的 2 层网页。
  8. 单击“下一步”。
  9. 选中“创建新的计划”选项按钮,然后单击“下一步”。
  10. 接受默认设置,再单击“下一步”。
  11. 单击“完成”。
  12. 单击“确定”。
  13. 从“收藏”菜单中选中“整理收藏夹”。
  14. 在“整理收藏夹”对话框中选择“Microsoft TechNet Security”快捷方式。
  15. 单击“属性”。
  16. 单击“Microsoft TechNet Security 属性”对话框的“下载”选项卡。
  17. 取消选中“跟踪本页 Web 站点之外的链接”复选框。
  18. 单击“确定”,然后单击“关闭”。

现在您可以将 Microsoft TechNet Security 快捷方式从“收藏”菜单拖到桌面上。如果有新的安全消息,图标上将出现一个小红标记。

要点 如果出现了新的安全问题,您必须非常重视它们。这一点再怎么强调也不为过。

Windows 2000 安全考虑事项  

本部分内容专门讲述有关 Windows 2000 的安全问题。

检查、更新及部署提供的 Hisecweb.inf 安全模板

我们已经包括了名为 Hisecweb.inf 的安全模板,作为适用于大多数安全网站的基准。该模板配置了基本的 Windows 2000 系统范围策略。

Hisecweb.inf 可以从如下地址下载:
http://download.microsoft.com/download/win2000srv/SCM/1.0/NT5/EN-US/hisecweb.exe

执行下列步骤来使用模板:

  1. 将模板复制到 %windir%security emplates 目录。
  2. 打开“安全模板”工具,并查看设置。
  3. 打开“安全配置和分析”工具,并加载模板。
  4. 右键单击“安全配置和分析”工具,并从上下文菜单中选择“立即分析计算机”。
  5. 等待工作完成。
  6. 检查查找结果并按需要更新模板。
  7. 如果您对模板满意,请右键单击“安全配置和分析”工具,并从上下文菜单中选择“立即配置计算机”。

配置 IPSec 策略

您应当认真考虑在每一个 Web 服务器上设置 Internet 协议安全性 (IPSec) 包筛选器策略。如果您的防火墙被攻破,该策略将提供额外的安全级别。多级别安全技术通常被认为是很好的做法。

一般而言,除了那些您明显希望支持的协议与希望打开的端口以外,应当阻止其他所有 TCP/IP 协议。您可以使用 IPSec 管理工具或 IPSecPol 命令行工具来部署 IPSec 策略。

保护 Telnet 服务器安全

如果您打算使用包含在 Windows 2000 中的 Telnet 服务器,您应当考虑限制能够访问该服务的用户。要完成此操作,请执行下列步骤:

  1. 打开“本地用户和组”工具。
  2. 右键单击“组”节点,并从上下文菜单中选择“新建组”。
  3. 在“组名”框中输入 TelnetClients。
  4. 单击“添加”以添加对该计算机有 telnet 访问权限的用户。
  5. 单击“创建”,再单击“关闭”。

当存在 TelnetClients 组时,Telnet 服务将仅允许那些在组中定义的用户访问服务器。

IIS 5 安全考虑事项  

本部分内容专门讲述有关 Internet Information Services 5 的安全问题。

为虚拟目录设置适当的 ACL

虽然此步骤从某种程度上来说取决于应用程序,但一些主要规则仍然适用,如表 F-1 所示。

文件类型
访问控制列表
CGI (.exe, .dll, .cmd, .pl)

 

Everyone (X)
Administrators(完全控制)
System(完全控制)

 

脚本文件 (.asp)

 

Everyone (X)
Administrators(完全控制)
System(完全控制)

 

包含文件 (.inc, .shtm, .shtml)

 

Everyone (X)
Administrators(完全控制)
System(完全控制)

 

静态内容 (.txt, .gif, .jpg, .html)

 

Everyone (R)
Administrators(完全控制)
System(完全控制)

 

推荐使用的各文件类型的默认 ACL

与为每一个文件单独设置 ACL 相比,更好的办法是为每一种文件类型创建新的目录,在这些目录上设置 ACL,并允许 ACL 继承到文件。例如,目录结构可能如下所示:

  • c:inetpubwwwrootmyserverstatic (.html)
  • c:inetpubwwwrootmyserverinclude (.inc)
  • c:inetpubwwwrootmyserverscript (.asp)
  • c:inetpubwwwrootmyserverexecutable (.dll)
  • c:inetpubwwwrootmyserverimages (.gif, .jpeg)

此外,有两个目录需要特别注意:

  • c:inetpubftproot (FTP server)
  • c:inetpubmailroot (SMTP server)

这两个目录上的 ACL 都是“Everyone(完全控制)”,应当根据您的功能级别覆盖为更加严格的设置。如果要支持“Everyone(写入)”,请将该文件夹放置到与 IIS 服务器不同的卷中,或者使用 Windows 2000 磁盘空间配额来限制可以写入这些目录的数据量。

设置适当的 IIS 日志文件 ACL

请确保 IIS 生成的日志文件 (%systemroot%system32LogFiles) 上的 ACL 是:

  • Administrators(完全控制)
  • System(完全控制)
  • Everyone (RWC)

这有助于防止恶意用户删除文件以掩饰他们的踪迹。

启用日志记录

当您希望确定服务器是否正受到攻击时,日志记录是非常重要的。应当通过下列步骤使用 W3C 扩展日志记录格式:

  1. 加载 Internet Information Services 工具。
  2. 右键单击怀疑有问题的站点,然后从上下文菜单中选择“属性”。
  3. 单击“网站”选项卡。
  4. 选中“启用日志”复选框。
  5. 从“活动日志格式”下拉列表中选择“W3C 扩展日志文件格式”。
  6. 单击“属性”。
  7. 单击“扩展属性”选项卡,然后设置下列属性:
  • 客户端 IP 地址
  • 用户名
  • 方法
  • URI 资源
  • HTTP 状态
  • Win32 状态
  • 用户代理
  • 服务器 IP 地址
  • 服务器端口

仅当您将多个 Web 服务器设置在同一计算机上时,后两个属性才有用。Win32 Status 属性非常适合于调试。当您检查日志时,请注意错误 5,即被拒绝的访问。您可以通过在命令行中输入 net helpmsg err (其中 err 代表您感兴趣的错误号码)来找出其他 Win32 错误是什么含义。

设置 IP 地址/DNS 地址限制

这并非要设置的普通选项,但是如果希望限制某些用户访问您的网站,这将是一个有用的选项。请注意如果您输入域名系统 (DNS) 名称,那么 IIS 将必须执行 DNS 检查,这将很费时间。

验证可执行内容的可信度

要了解可执行内容是否可信是很难的。有一个小测试是用 DumpBin 工具来查看可执行内容是否调用了某些 API。许多 Win32 开发工具都含有 DumpBin。例如,如果您希望查看名为 MyISAPI.dll 的文件是否调用 RevertToSelf,请使用下列语法:

dumpbin /imports MyISAPI.dll | find "RevertToSelf"

如果屏幕上未出现结果,MyISAPI.dll 将不直接调用 RevertToSelf。它将可能通过 LoadLibrary 来调用该 API,在此情况下您也可以使用相似的命令来进行查找。

在 IIS 服务器上更新根目录的 CA 证书

该过程包括两个步骤:第一步:添加所有信任的新根目录证书颁发机构 (CA) 证书—尤其是任何通过使用 Microsoft Certificate Services 2.0 创建的新根目录 CA 证书。第二步:删除所有不信任的根目录 CA 证书。请注意如果您不知道发布根目录证书的公司名称,那么就不应当信任他们!

所有 IIS 使用的根目录 CA 证书都存放在计算机的机器存储中。可以通过下列步骤来访问该机器存储:

  1. 打开 Microsoft Management Console (MMC)。
  2. 从“控制台”菜单中选择“添加/删除管理单元”,然后单击“添加”。
  3. 选择“证书”并单击“添加”。
  4. 单击“计算机帐户”选项按钮。
  5. 单击“下一步”。
  6. 选中所指机器。
  7. 单击“完成”。
  8. 单击“关闭”,再单击“确定”。
  9. 展开证书节点。
  10. 扩展信任的根目录证书颁发机构。
  11. 选择证书。

右窗格将显示当前信任的全部根目录 CA 证书。如果需要,可以删除多个证书。

注意: 不要删除 Microsoft 或 VeriSign 根目录。操作系统会大量使用它们。

禁用或删除所有示例应用程序

示例仅仅是示例;默认情况下并不安装它们,并且永远不应在产品服务器上安装。请注意,某些示例是安装的,使它们只能通过 http://localhost 或 127.0.0.1 进行访问,即使这样也应将其删除。

F-2 表列举了某些示例的默认位置。

示例
虚拟目录
位置
IIS 示例

 

IISSamples

 

c:inetpubiissamples

 

IIS 文档

 

IISHelp

 

c:winnthelpiishelp

 

数据访问

 

MSADC

 

c:program filescommon filessystemmsadc

 

包含在 Internet Information Server 5 中的示例文件。

禁用或删除不需要的 COM 组件

某些 COM 组件对于多数应用程序都是不需要的,应当将其删除。尤其需要考虑禁用“文件系统对象”组件,但请注意这样也会删除 Dictionary 对象。请注意某些程序可能需要您禁用的组件。例如:Site Server 3.0 使用“文件系统对象”。下列命令将禁用“文件系统对象”:

regsvr32 scrrun.dll /u

删除 IISADMPWD 虚拟目录

该目录允许您重新设置 Windows NT 和 Windows 2000 密码。这主要是为 Intranet 方案设计的,并且不作为 IIS 5 的一部分来安装,但是在 IIS 4 服务器升级到 IIS 5 时将不会被删除。如果您不使用 Intranet 或者您将服务器连接到网站上,则应当将其删除。有关此功能的详细信息,请参考 Microsoft Knowledge Base 文章 Q184619。

删除不使用的脚本映射

IIS 预配置为支持常见的文件扩展名,如 .asp 和 .shtm 文件。当 IIS 接收到针对其中某一类型文件的请求时,该调用由 DLL 进行处理。如果您不会用到其中某些扩展名或功能,请按照如下步骤进行删除:

  1. 打开 Internet 服务管理器。
  2. 右键单击 Web 服务器,并从上下文菜单中选择“属性”。
  3. 主属性
  4. 选择“WWW 服务”|“编辑”|“HomeDirectory”|“配置”

删除下列引用:

如果您不使用...
请删除项目:
基于网站的密码重置

 

.htr

 

Internet 数据库连接器(所有 IIS 5 网站应当使用 ADO 或相似技术)

 

.idc

 

服务器端包含程序

 

.stm, .shtm 和 .shtml

 

Internet 打印

 

.printer

 

索引服务器

 

.htw, .ida and .idq

 

注意: “Internet 打印”可以通过组策略和 Internet 服务管理器来配置。如果组策略设置和 Internet 管理器设置有冲突,那么组策略设置优先。如果您通过 Internet 服务管理器删除“Internet 打印”,请务必验证不能通过本地或域的组策略重新启用它。(默认组策略既不启用也不禁用“Internet 打印”)。请在 MMC 组策略管理单元中,选择“计算机配置”|“管理模板”|“打印”|“基于 Web 的打印”。

注意: 除非出于危急任务的原因要使用 .htr 功能,否则应当删除 .htr 扩展名。

检查 ASP 代码中的 <FORM> 和查询字符串输入

许多站点使用从用户那得到的输入来直接调用其他代码或创建 SQL 声明。换句话说,它们将该输入当作有效的、格式良好的、无恶意的输入。但为了安全起见,却不应当这样。因为实际工作中存在很多这样的攻击,其中用户输入被错误的当作有效输入,使用户能够获得服务器的访问权限或者产生损害。您应当在将其传送给另一个过程或方法调用(它们可能会使用外部资源,比如文件系统或数据库)前,检查每个 <FORM> 输入和查询字串。

您可以使用 JScript V5 和 VBScript V5 常规表达式功能来执行文本检查。下列示例代码将去掉那些只包含无效字符(不是 0-9a-zA-Z 或 _ 的字符)的字符串:

Set reg = New RegExp
reg.Pattern = "W+" ' One or more characters which
' are NOT 0-9a-zA-Z or '_'
strUnTainted = reg.Replace(strTainted, "")

下列示例将去掉 | 运算符后的所有文本:

Set reg = New RegExp
reg.Pattern = "^(.+)|(.+)" ' Any character from the start of
' the string to a | character.
strUnTainted = reg.Replace(strTainted, "$1")

同样,使用“脚本文件系统对象”打开或创建文件时请小心。如果文件名是基于用户输入,那么用户可能企图打开一系列端口或打印机。下列 JScript 代码会去掉无效文件名:

var strOut = strIn.replace(/(AUX|PRN|NUL|COMd|LPTd)+s*$/i,"");

版本 5 脚本引擎中的模式语法与 Perl 5.0 中的相同。请参考位于 http://msdn.microsoft.com/scripting/default.htm 的 V5 脚本引擎文档获取详细信息,有关范例请访问 http://msdn.microsoft.com/workshop/languages/clinic/scripting051099.asp

禁用父路径

父路径允许您在调用诸如 MapPath 等功能时使用“..”。默认状态下,该选项是启用的,您应当禁用它。按照以下步骤禁用该选项:

  1. 右键单击网站的根目录,然后从上下文菜单中选择“属性”。
  2. 单击“主目录”选项卡。
  3. 单击“配置”。
  4. 单击“App 选项”选项卡。
  5. 取消选中“启用父路径”复选框。

在“内容 – 位置”中禁用 IP 地址

“内容 – 位置”首部会暴露通常隐藏在网络地址转换 (NAT) 防火墙或代理服务器后的内部 IP 地址。

  来源:微软技术支持中心