【组策略】开始-->运行-->gpedit.msc计算机配置->管理模板->Windows组件->终端服务->会话为断开的会话设置时间限制已启用到达时间限制时终止会话已启用为活动终端服务会话设置时间限制未被配置为活动但空闲的终端服务会话设置时间限制未被配置允许仅从原始客户端重新连接未被配置【终端服务配置】开始-->运行-->tscc.msc连接-->RDP-Tcp右键属性-->会话把这里面的替代用户设置的设置都改为从不，并且把从不勾选。【本地安全策略】开始-->运行-->secpol.msc本地安全策略-->本地策略-->安全选项：Microsoft网络服务器:当登录时间用完时自动注销用户已启用Microsoft网络服务器:在挂起会话之前所需的空闲时间0Microsoft网络客户端:数字签名的通信(若服务器同意)已启用Microsoft网络服务器:数字签名的通信(若客户端同意)已禁用Microsoft网络服务器:数字签名的通信(总是)已禁用Microsoft网络客户端:数字签名的通信(总是)已禁用Microsoft网络客户端:发送未加密的密码到第三方SMB服务器已禁用转：http://www.cnitblog.com/stomic/archive/2011/03/16/73107.html
文字介绍解决方法：点击"开始"-"控制面板"-"管理工具"-"组件服务"-"计算机"-"我的电脑"-"DCOM"选项，选择其下的"IISADMINSERVICE"，右健选择"属性"，找到"安全"，在"启动和激活权限"中编辑"自定义"，添加帐号"NETWORKSERVICE"，给该帐号赋予"本地启动"和"本地激活"的权限，重新启动IIS即可（"开始"-"运行"-"CMD"，点确定，然后运行IISRESET图文解决方法：郁闷了两天了，问题终于解决了。上个礼拜重装服务器（windows2003）后，一切都配置完成。打开iis测试web，浏览默认站点，总是显示ServiceUnavailable．1.首先是打开IIS管理器．检查应用程序池，果然＂DefaultAppPool＂出错了．而且不是平常的停止的图标．2.试着重启＂DefaultAppPool＂应用程序池，一浏览页面马上就关闭．3.到了查看事件日志的时候了．发现了以下这类的日志事件类型:警告事件来源:W3SVC事件种类:无事件ID:1009日期:2008-6-24事件:16:12:33用户:N/A计算机:MAIL描述:为应用程序池'DefaultAppPool'提供服务的进程意外终止。进程ID是'3160'。进程退出代码是'0xffffffff'。有关更多信息，请参阅在http://go.microsoft.com/fwlink/events.asp的帮助和支持中心。4.会不会是默认的程序池出问题了？于是，尝试新建一个新的程序池．将默认网站的程序池改成新的．但是问题依旧．出现相似的日志．事件类型:错误事件来源:W3SVC事件种类:无事件ID:1002日期:2008-6-25事件:14:17:04用户:N/A计算机:MAIL描述:应用程序池'AppPool#1'被自动禁用，原因是为此应用程序池提供服务的进程中出现一系列错误。有关更多信息，请参阅在http://go.microsoft.com/fwlink/events.asp的帮助和支持中心。5.再查找事件日志另一个日志引起了我的注意．如下：事件类型:错误事件来源:DCOM事件种类:无事件ID:10016日期:2008-6-24事件:16:12:33用户:NTAUTHORITY/NETWORKSERVICE计算机:MAIL描述:应用程序-特定权限设置未将COM服务器应用程序(CLSID为{A9E69610-B80D-11D0-B9B9-00A0C922E750})的本地激活权限授予用户NTAUTHORITY/NETWORKSERVICESID(S-1-5-20)。可以使用组件服务管理工具修改此安全权限。有关更多信息，请参阅在http://go.microsoft.com/fwlink/events.asp的帮助和支持中心。6.有点戏了．看看CLSID为{A9E69610-B80D-11D0-B9B9-00A0C922E750} 是什么服务先．最后在下面的注册表项中找到它：HKEY_CLASSES_ROOT/AppID/{A9E69610-B80D-11D0-B9B9-00A0C922E750}7.名字刚好是＂IISAdminService＂8.好了，找到是什么了．从＂管理工具＂中打开＂组件服务＂，找到IISAdminService对比一下CLSID是否一致9.确定是这个以后，接下来的就是为它增加NETWORKSERVICE权限了．A启动和激活权限，点击"自定义"..B.在用户列表中添加"NETWORKSERVICE",C.并给予本地启动和激活权限，保存退出．到此问题解决．转载：http://blog.csdn.net/laolaowhn/article/details/4180601
现在防phpddos的有几种方法1.直接关闭php的函数（这种方法，有的php程序不能运行）2.直接封udp，这种方法可能误杀某些运行程序3.用星外官方出品的那个防ddos，但是要装星外的php4.利用伪静态把攻击导出到别的ip地址（需要LINUX服务器）现象：主机发包（一般是因为dedecms的漏洞导致黑客上传的木马程序对外发UDP攻击包，用来攻击别人的网站），带宽使用超过50M/s,被系统自动重启或停机。win主机解决方案：1、主要方案：下载http://downinfo.myhostadmin.net/safe_script.rar解压到任意目录后，直接运行setup.bat即可这个程序也可自动阻止UDP发包的程序。检查使用了DEDECMS的站点的plus或include目录，删除那些黑客留下的木马程序，把dedecms升级到最新版。2.备用方案：比较彻底的办法是：禁用php的fsockopen函数，不过禁用这个功能可能会导致部分网站的某些功能（远程读取，api调用等）失效。(编辑d:\SOFT_php_PACKAGE\PHP\php.ini，修改disable_functions=fsockopen,然后开始>运行iisreset即可生效。)3.备用方案：也可以用网站管理助手中的功能“查杀病毒”来清理木马程序。LINUX设置方法：直接在服务器上执行以下规则即可防止UDP发包。iptables-Fiptables-AOUTPUT-pudp-d61.139.2.69--dport53-jACCEPTiptables-AOUTPUT-pudp-d8.8.8.8--dport53-jACCEPTiptables-AOUTPUT-pudp-jDROPserviceiptablessave
我们配置好服务器环境后，经常遇到的是安全问题，一个服务器的安全好不好，直接影响到网站的运行。所以服务器的安全至关重要，但是服务器由于很多不确定因素使我们没有一个很多的方案去很好的去维护他，导致服务器时间用长了就会遇到的问题增多，甚至最后迫不得已重装系统。我们先理清下思路，想想服务器经常遇到哪些安全问题，这里以2003+mysql+php+zend+IIS.等为例，预想想可能出现的安全问题：1.php的一些危险函数导致的不安全，如phpdos向外发包攻击。2.网站目录权限没有设置好，让入侵黑客轻易提权。3.黑客运用一些手段上传webshell，或exe木马，想办法让它能运行起来。4.一些网站经常被挂黑链，或首页晚上被换非法站。5.黑客通过各种途径提权成功服务器，在服务器里留下后面以便下次进入。6.各种不确定。想想上面的情况，想必是服务器网站管理员经常遇到的，我们如何能把风险降到最低呢？我自己总结了下，虽然很不完全，但是先写在这吧，以后要是有更好的方法再去完善博文内容。1.php函数导致的不安全，最严重的就是phpdos向外发包了，也是现今经常遇到的，网上的方法很多，但是没有很完美的解决方法，这里推荐大家使用星外的防御phpdos攻击的php，顺便感谢下星外的奉献精神，让这款软件免费给广大服务器维护人员使用，下载地址：http://www.hack001.com/post/119。针对phpddos如果不想繁琐的配置，可以暂时打开php的安全模式safe_mode=on。在php.ini中修改，修改后重启iis即可生效。2.网站目录权限没有设置好，这个如何是设置好没有一个明确的规定，但是个人觉得西部数码网站管理助手自动设置的权限还是比较好的，每个目录一个用户，还算ok，但是西部数码3.0开始收费，这里只能提供旧版本大家参考使用了，但是西部数码的软件确实还是不错的，个人也比较喜欢，下载地址：http://www.hack001.com/post/1013.网站被黑客上传webshell，exe木马等，这个想避免那就难了，毕竟我们用的网站程序没有绝对的安全，所以不可能避免黑客完全不入侵我们的网站，那么如何让黑客在获得部分上传权限或者修改文件名权限的时候阻止他继续前行，那么在这里一款好的杀毒软件可能会使服务器更安全一些，这里个人推荐使用nod32，下载地址：http://www.hack001.com/post/1214.网站被黑客入侵后，被入侵者任意修改，比如加黑链接，比如首页被换，或者直接挂上网马，这些不断对我们的网站受到影响，对浏览我们网页的用户也受到了很大的影响，这种情况也是经常遇到，并且很难防御的，所以这种情况，由于不确定因素实在太多太多，无法给大家一个很好的推荐，这里的建议就是，经常给网站做好备份，网站程序及时升级到最新版本，做好网站危险目录的权限设置，在自己已知道的基础上让网站程序更安全。这里说下，如果有时候网站并没被入侵，确被修改，可能是同网关服务器ARP欺骗，这种防御方法可以使用arp防火墙：http://www.hack001.com/post/385.如果以上4点都做的比较好，应该可以挡住一大批黑客的入侵，但是还有一小部分技术高的黑客依然可以进入我们的网站提权到服务器权限，这种情况往往发生在0day，或是自身安全意识不高被社工，或者服务器本身系统不完善，以及同服务器机房或是同网段嗅探导致的，如果以上4点你认为自己做的非常之好，但是服务器还是被你发现被人入侵的痕迹，建议你在服务器上安装类似“服务器登陆邮件通知软件”http://www.hack001.com/post/92这类软件，学会看服务器日志，或者是安装一些辅助看日志的软件，然后分析黑客是怎么进入服务器的，以及进入服务器做了什么，具体情况具体对待。6.其他不确定因素，这一点就要大家多关注些互联网安全方面的新闻，以及多光些黑客边缘的人气好点的论坛，发现下新的入侵手段，安全知识等，增加自己的安全意识，做到知己知彼。最后，没有绝对的安全，多花些时间在安全知识方面的学习，增加自己的安全意识，才能让你的服务器相对安全些。作者：爻乂。www.hack001.com。如果觉得写的对你有帮助转载的话望别去出自地点。
前段时间我在淘-宝上放了一个宝贝，就是dede搬家的服务，服务费算是便宜到家了——5元一次。主要是觉得帮一些新手搬家成功自己会感到快乐。放了一段时间。有几个人让我给他们的dede搬家，其中主要都是些闲空间速度慢了，或者老空间出现了或多或少的问题，一般在咨询dedecms搬家的时候，人都比较急躁了，因为想想也能理解，自己辛辛苦苦做的网站老是由于空间问题折腾自己，实在是让人闹心，能够在这个时候帮到他们，我自己也很快乐。今天晚上和一个人要我帮他dede网站搬家的人聊的也很愉快。在dede数据转移的时候，我发现大部分转移数据的人，都是用的虚拟主机，我想大部分是技术基础不是特别好的人。好了！这里不再废话。这篇文章主要介绍该如何dede搬家的。我总结出几方法，希望给大家有帮助。我感觉比较靠谱的方法。1.使用帝国备份王备份dede数据库。①首先去下载帝国备份王②把帝国备份王上传到网站目录下③使用帝国备份王把数据打包④把dede所有数据全部下载出来⑤把下载回来的dedecms的数据全部上传到新空间⑦访问新空间的帝国备份王还原新数据库数据⑧修改新空间的common.inc.php文件，使其对应新的数据库。以上8个步骤即可把dede搬家成功，这种方法也是最常用，最傻瓜的一种。2.使用dede后台自动数据库这一种方法，在我的百度空间有详细的介绍这里大家可以去我空间看。http://hi.baidu.com/mvphk/blog/item/0e17aaee8b23aa2cadafd565.html这里我需要说的是这种方法并不是很好，因为这种方法，如果不是把数据全部下载回来的话，需要注意到很多细节，如图片所在位置，以及css样式，js文件等。会导致很多问题，所有不在万不得已，不建议使用。3.使用常规的phpmyadmin备份dede数据①打开phpmyadmin，导出数据②ftp下载dede的web文件，上传至新空间③修改common.inc.php数据库连接数据④phpmyadmin导入数据库这种方法，我个人不是很喜欢，因为我不喜欢phpmyadmin，感觉不是很靠谱，因为怕数据丢失或者是数据编码错误等问题。这里就介绍这3种常见的方法，当然方法还有很多，我曾经用NavicatforMySQL也做过数据还原。总之在dede搬家的时候，大家依据情况去看见机行事。我的dede搬家的介绍：dedecms网站搬家三不管：1.不管你的dedecms是5.1还是5.7。2.不管你的程序在曾经做过什么样的程序修改3.不管你的数据量到底有多大。dedecms网站搬家二就算：1.就算您的网站数据库密码忘记了2.就算那你的网站后台管理员密码忘记了只要您的网站在现有的空间还是正常的。只要您还能提供网站的ftp账号密码。我们就可以完完整整的，安安全全，快快速速的把您的网站好好的转移成功！！！最后，如果大家对dede搬家还是有很多困惑，而又急着dede搬家，可以联系加我的Q：251323708也可以进入我的店去旺我。点击进入dede搬家服务：http://www.hack001.com/url/dedebanjia.html
一直找IIS线程限制的工具，大部分是一个简单的组件，而且经过王健尝试后不可使用，还有就是功能不全，要么就是收费，反正是折腾了好久没找到一款比较好的防盗链，限制线程的IIS工具，极其郁闷，最终选出这个貌似08年出来的名为IDC网站天使IDCWebAngelProfessional的工具，它的功能比较全好像也不收费，但是好像要一个个装上站点，并且有WEB后台管理功能.由于时间关系，我实在不想把这个自己刚接触的软件往服务器上面装，所以只是在本机测试了下。具体的限制效果等功能等着大家测试吧，好晚了，睡觉去了。一、“IDC网站天使”是一套运用在IIS中的插件，并不能运用在apache等其它WEB服务器上!二、安装“IDC网站天使”必须拥有服务器操作权限！三、“IDC网站天使”的个人版与专业版都是单个网站使用版,所以请在安装这两个版本时尽量针对单个网站，当然“IDC网站天使”的专业版也可以安装到整个IIS中！四、“IDC网站天使”未授权的使用者，本公司没有责任进行各类服务，请各位用户在使用中遇到问题时到我们的官方网站提问！五、“IDC网站天使”目前仅支持IIS5.0或IIS6.0，尚未在IIS7.0下做测试，“IDC网站天使”运行最佳环境是“IIS6.0”----------------------------------------------------------------------------------------八大功能集一身(IP阻塞，CC攻击，线程限制，防盗链，URL重写，信息过滤，SQL注入防护，上传攻击防护)IDC网站天使(IDCWebAngel)1.0.0.7正式版发布！我们本着实际运用，用朴素的语言来介绍一下我们的“网站天使”！什么是“网站天使”?众所周知“天使”即是上帝派来守护人类的使者！他们拥有着常人没有的能力！也就是因为他们拥有常人没有的能力，他们才可以守护人类！那么既然称为“网站天使”肯定有着不一般的功能了？！！！首先“网站天使”就是为了弥补IIS的不足而更好地让网站站长控制自己的网站诞生，所以他的部份功能肯定是IIS所没有的，并且是很多网站站长所需要的！使用在线web管理方式，可以使每一个使用“网站天使”的站长自主控制自己的“网站天使”功能，并且无需重启IIS，无须重启网站，就能使新的设置即时生效！独有的多模式防盗链系统、让站长不必担忧资源被其它网站盗用，独有的在线管理自己网站的伪静态规则，并可以自动将“ISAPI_Rewrite”、“URLRewrite”等规则自动转换到“网站天使”的“URL重写”规则！！！完全支持目前几大流行论坛(discuz、discuznt、phpwind等等...)的伪静态化处理！！！在“网站天使”升级到“1.0.0.4”版本后，我们又增加了全新的“恶意代码过滤功能”，可过滤恶意嵌入的script,iframe,object代码，可设置允许嵌入的域名，而且代码过滤不会影响网页的正常浏览！！！“网站天使”的“信息过滤”，可以过滤网页中的非法信息内容！！！“网站天使”中全新的功能“SQL注入防护”和“上传攻击防护”结合在一起使用可以彻底地防止网站被非法入侵！“网站天使”不愧为“网站天使”，九大功能彻底解决网站站长的种种困扰，使您可以更安心地把时间放到网站发展上去！！！“网站天使”网站的守护天使！！！这么多强劲的功能你还在等什么呢？而且还是免费的！！！下面仅对“网站天使”做一份并不详细的说明功能一、“网站天使”之“IP阻塞”，可按需求设置“IP阻塞目录”，“IP阻塞模式”，“IP阻塞时转向地址”，“IP禁止时显示内容”等，此功能与IIS内置的“IP阻塞”并不完全相同，“网站天使”的“IP阻塞”是使用“IP段(如:192.0.0.0～192.255.255.255)”阻塞或允许IP访问网站的，要注意的是这里的“IP段”前面的IP值不能小于后面的IP值，否则设置的这条规则将无效，“IP阻塞目录”可指定“IP阻塞”对应的目录(如:/IISwall/Demo/)，这样此目录以及目录下面的子目录中的文件都会受“IP阻塞”控制，要注意的是不能跨目录设置子目录保护并且目录前面都要带“/”符号，比如现要保护目录“/IISwall/test/”设置成“/Demo/”、“/IISwall/Demo”、“IISwall/Demo/”都是不正确的，正确的设置应为“/iiswall/demo/”大小写任意，IP被阻塞可自动跳转到相应的URL，若跳转URL为空，则自动向客户端发送“显示内容(可以是HTML)”中的信息！注：下面的各功能中的“是否指定目录”和“目录列表”,都与“IP阻塞”中的“是否指定目录”和“目录列表”功能相同，所以就不再作介绍了！功能二、“网站天使”之“CC攻击防护”，可按需求设置“CC攻击防护目录”、“CC攻击保护文件类型”、“刷新间隔时间”、“受攻击时锁定时间”、“CC攻击锁定时转向地址”、“CC攻击锁定时显示内容”、“CC攻击保护例外”等，要说明的是“CC攻击保护例外”，当baidu或google等公司的爬虫要访问网站时，“网站天使”的“CC攻击保护”也可能会当作CC攻击，所以我们要收集这此爬虫的IP地址并加入例外列表中！其它设置都在管理程序中做了详细的说明！功能三、“网站天使”之“线程限制”，可按需求设置“线程限制模式”、“线程限制目录”、“线程限制例外”、“线程限制文件类型”、“超出线程时转向地址”、“超出线程时显示内容”、“限制线程数”等，其中“线程限制模式”为两种，“单文件线程”即为对单一个文件的下载进程限制，而全局线程则指的是，对整个网站的浏览或下者进程限制，“线程限制”中其它的设置项相信各位也能看明白了！功能四、“网站天使”之“防盗链”，可按需求设置“防盗链模式”、“防盗链目录”、“允许链接域名列表”另分三种防盗链文件大类自行设置，分别为：“媒体文件”、“图片文件”、“其它文件”。可使用静态调用或结合sdk一起使用!功能五、“网站天使”之“URL重写”，URL重写既是被运用得比较广泛的伪静态技术，“网站天使”的伪静态和其它伪静态不同的是管理更加方便，直接使用web在线管理而且无需重启IIS！功能六、“网站天使”之“信息过滤”，这个就不用多说了，“非法信息过滤”是很多人需要的！功能七、“网站天使”之“SQL注入防护”，相信很多站长受到过SQL注入的困扰，而且“网站天使”的“SQL注入防护”可以防止GET、POST和COOKIE的注入攻击！！！功能八、“网站天使”之“上传木马防护”，相信很多站长受到过上传木马防护的困扰，而且“网站天使”的“上传木马防护”可以防止很多基于HTTP的上传木马攻击！！！------------------------------------------------------ “IDC网站天使”安装非常简单，首先我们打开“IDCWebAngelSetup.exe”（注意：如果服务器网站较多此程序加载会比较慢，等待片刻就行了），等程序自动加载完网站后，选择你需要安装“网站天使”的网站，点击“安装”，下方出现“已安装...”红色安符串时表示安装完成！ 安装完成后会在所安装的网站目录下生成一个名为“IDCWebAngel”的文件夹，请不要删除此文件夹内的文件和目录，首先我们到“IDCWebAngel\Admin”文件夹内找到“IISwall.Config.asp”打开并按照内附说明进行修改，修改完成后即可打开“http://您的域名/IDCWebAngel/Admin/index.asp”对“网站天使”进行管理，默认管理密码为“123456”
Windows操作系统在服务器上安装非常广泛，企业或个人经常安装的操作系统有VhndowsServer2000、2003和2008等，这些操作系统的本身漏洞我们无法控制，但我们可以通过系统安全加固手段有效降低自己服务器被黑客入侵的几率。日前常见的加固手段主要包括账户设置、组策略设置、注册表设置、IPSec、服务设置等，本文主要讲如何通过编程方式操控组策略从而实现Windows操作系统的安全加固，下表为在组策略巾需要进行的相关配置。密码复杂性要求：启用最短密码长度：8位帐户策略密码最长使用期限：0天密码最短使用期限：0天强制密码历史：0个记住的密码复位帐户锁定计数器：5分钟帐户锁定时间：30分钟帐户锁定策略“复位帐户锁定阐值”5次成功，失败：审核帐户登录事件、审核帐户管理、审核日录服务访问、审核登录事件、审核特权使用审核策略失败：审核对象访问成功：审核策略更改、审核系统事件无审核：审核过程追踪通过终端服务拒绝登录：无用户权限指派通过终端服务允许登录：Administrators组和remotedesktopusers组交互式登录：不显示上次的用户名启用网络访问：不允许SAM帐户和共享的匿名枚举启用网络访问：不允许为网络身份验证储存凭证启用安全选项网络访问：可匿名访问的共享全部删除网络访问：可匿名访问的命名管道全部删除网络访问：可远程访问的注册表路径全部删除帐户：重命名系统管理员帐户重命名一个帐户组策略与注册表的关系非常紧密，许多组策略中的设置可以通过修改注册表，然后用RefreshPolicy函数强制刷新组策略来实现（其实有些组策略修改的实质也正是修改注册表相关配置），例如上表巾的“不显示上次的用户名”和“不允许SAM帐户和共享的匿名枚举”等。但是有些组策略的设置无法通过注册表进行修改，例如上表巾的账户策略、账户锁定策略、审核策略和用户权限指派等。所以本文通过Kindows白带的secedit这个命令对组策略进行设置，主要用到的命令是secedit/configure/dbFileName/cfgFileName/quiet．其巾／db后的文件名可任意取，一股以．sdb为后缀名，／cfg后的文件为我们需要配置的文件。该命令的其他语法和具体使用方法网上可以查到，这里不再赘述。如何将表巾的组策略设置对应到配置文件巾，账户策略、账户锁定策略在配置文件巾的配置命令格式如何，这些我们可以参考Windows自带的配置文件模板，模板位于C：WINDOWS\Security\templates下。通常为inf格式文件。在配置文件中，分号代表注释符，其后可跟注释语句.....：头部一些声明[SystemAccess]blinimumPassvrordAge=0：密码最短使用期限MaximumPassvrordAge=-1：密码最长使用期限，此处一1代表0．若写0则会出错blinimumPassrrordLength=8：最短密码长度PassvrordCoruplexity=1：密码复杂性要求PassvrordHistorySize：0：强制密码历史NerrAdministratorName=’testAdministrator’：重命名系统管理员账户，名字可自己设定LockoutBadCount=5：账户锁定阀值ResetLockoutCount=5：复位账户锁定计数器LockoutDuration=30：账户锁定时间[EventAudit]：事件审计，0代表不审汁，1代表成功审计，2代表失败审计，3代表成功失败均审计AuditSystemEvents=1：系统事件成功AuditObjectAccess：2：对象访问失败AuditPrivilegeUse=3：特权使用成功失败AuditPolicyChange=1：策略改变成功AuditAccountllanage=3：账户管理成功失败AuditProcessTracking=0：过程追踪无审核AuditDSAccess=3：目录服务访问成功失败AuditAccountLogon=3；账户登录成功失败AuditLogonEvents=3：登录事件成功失败[RegistryValues]：这里的设置格式为path=Type，Value．其中常用的Type有：1代表REG-SZ．2代表REGEXPAND_SZ，3代表REG_BINARY，4代表REG_DWORD．7代表REGHULTI_SZMACHINE\Softvrare\XicrosoftVVindoWs＼CurrentVersion\Policies＼System\DontDisplayLastUserName=4，1：显示上次的用户名lIACHINE\System\CurrentControlSet\Control\Lsa\DisableDomainCreds=4，1：小允许为刚络身份验证储存凭证MACHINE\System\CurrentControlSet＼Control\Lsa\RestrictAnonymous=4，1：小允许SAM帐户和共享的匿名枚举HACHINE\System＼CurrentControlSet＼Control\SecurePipeServers＼Winreg\AllorredExactPaths\Uachine=7，，可远挫访问的注册表路径MACHINE\System\CurrentControlSet＼Services\LanllanServer\Parameters\NullSessionPipes=7,．可匿名访问的命名管道MACHINE\System\CurrentControlSet＼Services\LanManServer\Parameters\NullSessionShares=7,．可匿名访问共享．PrivilegeRights]SeRemoteInteractiveLogonRight=:*S-1-o-32-550,:*S-1-5-32-544：通过终端服务允许登录SeDenyRemoteInteractiveLogonRight=：通过终端服务拒绝登录如果需要对其他的组策略进行设置，但是又不知道对应的修改项和值，可以采用以下的方法：首先，打开注册表，选择相应的项右击，点击“导出策略”，保存为1．inf，如图1所示：然后手工修改需要设置的项和值，再次选择“导出策略”，保存为2．inf:最后使用文本比较软件(如ucl．exe)．将两者进行比对，不同之处就是刚才设置的值，找到之后就可以在配置文件中进行相应的设置。图1下面我们编程实现组策略的设置，具体的思路是通过用户的选择设置组策略的配置文件，然后通过secedit命令将配置文件导入到组策略巾生效，最后清除产生的中间文件，核心代码如下：CFileinf;inf.Open(_T("c：＼＼czbankinf")，CFile:：modeCreateCFile:：modeWrite)：／／创建配置文件char*str=":Unicode]\r\nLnicode3res\r\n-----------”：／／具体配置信息此处略过inf.Write(str,strlen(str))：／／写入配置信息if（用户的选择）(char*str:-blinimumPasssrordAge:0＼r＼n……”：inf.wrrite(str,strlen(str))：／／根据用户选择写入配置信息)／／重命名系统管理员用户名需要特殊处理LpdateData(TRUE)：／／用户填写的用户名输入if(adminName.Compare(_T(～))f_0){／／用户名为空则小处理CStringstrName=_T(-NevrAdministratorName2＼""):strName+:adminName+_T(’＼’＼r＼n’)：：intlen2strName.GetLength():char~str=newchar[len+l];//CString类型的字符串无法调用\rrite函数写入文本，需要转变成charnt~型；在Unicode编码下(VisualStduio环境)，无法直接通过强制转换柬将CString变成char*，需要调用WideCharToblultiByte函数转换，该函数的具体格式可查阅USDNJideCharTo~lultiByte(CPACP,0,strName,strName.GetLength(),str,len,NULL,NULL):str[len]='\O’：／／最后一位加入字符串结柬符inf.TVrite(str,strlen(str)):delete：lstr;}／／其他一些配置信息q入inf.Close()：／／关闭配置文件／／创建进程调用secedit，将配置文件导入到组簧略中PROCESS_INFOIOIATIONpi;STARTUPINFOsi;si.cb=sizeof(STARllPINFO)～．．／／进程启动的一些参数配置，略过／／执行的命令rCw\Rcorrmand:]2_TCsecedit/configure/dbc:\\czbank.sdb/cfgc:\\czbank.inf/quiet’）：BOOLret=CreateProcess(NULL,cormand,NLLL,NLLL,FALSE,NOR11AL-PRIORITYCLASS,NULL,NULL,ksi,&pi)：／／创建进程执行命令if(ret){CloseHandle(pi.hThread)：／／关闭线程句柄/fraitForSingleObject(pi.hProcess,INFINITE)：／／等待进程结束GetExitCodeProcess(pi.hProcess,&cbrExitCode):CloseHandle(pi.hProcess)：／／关闭进程句柄，退出}CFile::Remove(_T("c:\\czbank．inf”)）：／／删除临时产生的文件CFile::Remove(_T("c:\\czbanksdb")):以上代码在VisualStudi02008中测试通过，加同的操作系统是WindowsServer2003。在MSDN中说对组策略的操作可以通过IGroupPolicyObject接口实现，对应的说明可以在巾找到，但是关于这个接口的实际用例以及操作流程网上资料实在太少，我研究了，但未能搞清楚，如果有朋友研究过这个接口的相关编程。选自黑防