用nt(2000)构建的网站在所有网站中占有很大比重，但NT的安全问题一直比较突出，这让一些基于NT的网站如履薄冰。然而，微软并没有一个明确而坚定的计划。
只推出了补丁，各种安全文档中对NT的安全描述也是零碎的，给人一种无所适从的感觉。于是，有的网管干脆不采取任何措施，有的忙着下载各种补丁，有的以为装了防火墙就万事大吉了。
这种情况直接导致了大量网站的NT安全参差不齐。只有少数NT网站安全性高，大部分网站安全性差。为此，瑞星公司决心收集整理NT的主要漏洞，同时从整体高度，
试图找到一套用NT建立安全网站的解决方案，让用户可以放心使用NT(2000)建立网站。
解决方案：(注：该解决方案主要针对建立网站的NT和2000服务器的安全性，不适用于局域网内的服务器。)
一.安装：
1.无论是NT还是2000，硬盘分区都是NTFS分区；
描述：
(1)NTFS比FAT分区有更多的安全控制功能，可以为不同的文件夹设置不同的访问权限，增强安全性。
(2)建议最好一次性全部安装成NTFS分区，而不是安装成FAT分区再转换成NTFS分区。这将导致不成功的转换，甚至系统崩溃时，SP5和SP6安装。
(3)安装NTFS分区有一个潜在的危险，就是目前大部分杀毒软件都不提供软盘启动后NTFS分区的病毒检测，这样一旦系统中了恶性病毒，系统就无法正常启动，后果更严重。
所以建议平时做好杀毒工作。
2.只安装了一个操作系统；
描述：安装两个以上的操作系统，会给黑客可乘之机，将系统重新启动到另一个没有安全设置的操作系统(或者他熟悉的操作系统)，然后进行破坏。
3.安装为独立的域控制器(单机)，选择工作组成员而不选择域。
描述：主域控制器(PDC)是管理局域网中队中多台联网机器的一种方式。它在网站服务器中使用时存在安全隐患，使得黑客利用域漏洞攻击网站服务器成为可能。
4.将操作系统文件所在的分区与包括其他应用在内的Web数据所在的分区分开，安装时最好不要使用系统的默认目录，比如将\WINNT改为其他目录；
说明：黑客有可能通过网站的漏洞获取操作系统对操作系统部分程序的执行权限，从而造成更大的损失。
5.Windows程序需要重新打补丁，2000年没有这个必要。
描述：
(1)最新补丁说明系统之前有重大漏洞，必须填补。对于局域网内的服务器来说，可能不是最新的，但是站点必须安装最新的补丁，否则黑客可能会利用低版本补丁的漏洞对系统造成威胁。这是一些管理员容易忽略的一点；
(2)在安装NT的SP5和SP6时有一个潜在的威胁，就是一旦系统崩溃重新安装NT，系统将无法识别NTFS分区，因为微软在这两个补丁中都改进了NTFS。NTFS只能在Windows2000安装过程中被识别。
这样会造成很多麻烦，建议同时做好数据备份。
(3)安装ServicePack前，应在测试机上安装一次，防止机器因异常原因而崩溃，同时做好数据备份。
6.尽量不要安装与网站服务无关的软件；
注意：其他应用程序可能存在黑客熟悉的安全漏洞。
二、NT设置：
1.帐户策略：
(1)尽可能少的账号，尽可能少的登录；
注意：网站账号一般只用于系统维护，不需要额外账号，因为多一个账号就有被攻破的危险。
(2)除了管理员，还需要添加一个属于管理员组的账号；
注意：两个管理员组的账号，一方面防止管理员一旦忘记一个账号的密码就有备用账号；另一方面，一旦黑客攻破账户，更改密码，我们还有机会在短时间内夺回控制权。
(3)所有账户权限都要严格控制，不容易给账户特殊权限；
(4)将管理员改名为不容易猜到的名字。其他一般账户也要遵循这个原则。
说明：这样可以给黑客攻击增加一层障碍。
(5)禁用访客账号，同时重命名为复杂名称，添加密码，从访客群中删除；
说明：有些黑客工具正是利用了guest的弱点，可以将账号从一般用户升级为管理员组。
(6)给所有用户账号一个复杂的密码(系统账号出)，密码长度至少8位，必须同时包含字母、数字和特殊字符。
同时，不要使用熟悉的单词(如微软)，熟悉的键盘顺序(如qwert)，熟悉的数字(如2000)。
注意：密码是黑客攻击的重点。密码一旦被破解，就没有系统安全可言，这一点往往被很多网络管理者所忽视。根据我们的测试，只有字母和数字的5位密码会在几分钟内被破解，而推荐的方案要安全得多。
(7)密码一定要定期更换(建议至少两周更换一次)，最好记在心里，不要记在别的地方；此外，如果在日志审计中发现某个账号被连续尝试，必须立即更改该账号(包括用户名和密码)；
(8)在账户属性中设置锁定次数。比如：5次以上更改账号失败，登录失败，就会锁定账号。这样可以防止一些大规模的登录尝试，同时让管理员对账户产生警觉。
2.解除NetBios与TCP/IP协议的绑定。
方法：NT:控制面板——网络——绑定——NetBios接口——禁用2000:控制面板——网络和拨号连接——本地网络——属性——TCP/IP——属性3354高级——WINS——禁用TCP/IP上的NetBios。
3.删除所有网络共享资源。
注意：NT和2000默认共享很多网络资源，这对于局域网中的网络管理和网络通信是有用的，同时也是网站服务器中严重的安全隐患。(卸载Microsoft网络上的文件和打印机共享。
当查看“网络和拨号连接”中的任何连接属性时，将显示该选项。单击“卸载”按钮删除该组件；清除“Microsoft网络的文件和打印机共享”复选框将不起作用。)
方法：
(1)NT：管理工具——服务器管理器——共享目录——停止共享；
2000：控制面版——管理工具——计算及管理——共享文件夹———停止共享
但上述两种方法太麻烦，服务器每重启一次，管理员就必须停止一次
(2)修改注册表：
运行Regedit，然后修改注册表在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters下增加一个键
Name：AutoShareServer
Type：REG_DWORD
Value：0
然后重新启动您的服务器，磁盘分区共享去掉，但IPC共享仍存在，需每次重启后手工删除。
4.改NTFS的安全权限；
说明：NTFS下所有文件默认情况下对所有人(EveryOne)为完全控制权限，这使黑客有可能使用一般用户身份对文件做增加、删除、执行等操作，建议对一般用户只给予读取权限，
而只给管理员和System以完全控制权限，但这样做有可能使某些正常的脚本程序不能执行，或者某些需要写的操作不能完成，这时需要对这些文件所在的文件夹权限进行更改，建议在做更改前先在测试机器上作测试，
然后慎重更改。
5.系统启动的等待时间设置为0秒，控制面板-系统-启动/关闭，然后将列表显示的默认值“30”改为“0”。(或者在boot.ini里将TimeOut的值改为0)
6.只开放必要的端口，关闭其余端口。
说明：缺省情况下，所有的端口对外开放，黑客就会利用扫描工具扫描那些端口可以利用，这对安全是一个严重威胁。
现将一些常用端口列表如下：
端口协议应用程序
21TCPFTP
25TCPSMTP
53TCPDNS
80TCPHTTPSERVER
1433TCPSQLSERVER
5631TCPPCANYWHERE
5632UDPPCANYWHERE
6(非端口)IP协议
8(非端口)IP协议
7.加强日志审核；
说明：日志任何包括事件查看器中的应用、系统、安全日志，IIS中的WWW、SMTP、FTP日志、SQLSERVER日志等，从中可以看出某些攻击迹象，因此每天查看日志是保证系统安全的必不可少的环节。
安全日志缺省是不记录，帐号审核可以从域用户管理器——规则——审核中选择指标；NTFS中对文件的审核从资源管理器中选取。要注意的一点是，只需选取你真正关心的指标就可以了，如果全选，
则记录数目太大，反而不利于分析；另外太多对系统资源也是一种浪费。
8.加强数据备份；
说明：这一点非常重要，站点的核心是数据，数据一旦遭到破坏后果不堪设想，而这往往是黑客们真正关心的东西；遗憾的是，不少网管在这一点上作的并不好，不是备份不完全，就是备份不及时。数据备份需要仔细计划，
制定出一个策略并作了测试以后才实施，而且随着网站的更新，备份计划也需要不断地调整。
9.只保留TCP/IP协议，删除NETBEUI、IPX/SPX协议；
说明：网站需要的通讯协议只有TCP/IP，而NETBEUI是一个只能用于局域网的协议，IPX/SPX是面临淘汰的协议，放在网站上没有任何用处，反而会被某些黑客工具利用。
10.停掉没有用的服务，只保留与网站有关的服务和服务器某些必须的服务。
说明：有些服务比如RAS服务、Spooler服务等会给黑客带来可乘之机，如果确实没有用处建议禁止掉，同时也能节约一些系统资源。但要注意有些服务是操作系统必须的服务，
建议在停掉前查阅帮助文档并首先在测试服务器上作一下测试。
11.隐藏上次登录用户名，修改注册表Winnt4.0：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon中增
