网友留言说互联网上没有安全，我觉得吧，在限定前提的情况下，还是可以做到安全的。
这篇文章先后写了4次，因为涵盖内容太广且外部环境差异较大，所以始终没写好。这次缩减范围，单写web服务器，这样也许篇幅会少一些。
本人很嚣张，不会像别人那样谦虚的说抛砖引玉。本文本就不是抛砖引玉，本文抛出的既是金玉良言，也不指望勾引出什么砖头，呵呵。
后续如果有时间，可能再写数据库服务器以及其他的，总体思路都是一致的。
本文涉及的内容可应用于Linux+Apache或Windows+IIS，若读者自己有心，很容易可以拓展到任何服务器形式。本文不讨论ddos、cc这类暴力型攻击行为，只研究技术型入侵的防护。
探讨或者实践信息安全，应以“不可信”为前提，也就是说不能假设服务器的外部环境是可靠的，这是绝大多数信息安全从业人员都忽视的一个必须前提。而信息安全的所有细分领域，不论是密码学、网络安全、操作系统安全、物理安全等等等等，都是为了一个目标服务：数据完整性。完整性需要数据不被非法获取、非法篡改等。
先说一下外部环境，这是个很尴尬的话题，因为大多数时候，我们都无法确保外部环境的绝对可信。成本最低的人也就买个空间，好些的搞个VPS/云服务器，上了一点规模的就来个独服，真到了整机柜或者成百上千台服务器的时候，其实也还是一样：外部环境是不可控的。所以这里只能简略的说一下。对于独服或者机柜这样的用户而言，应该要求机房给做一个物理隔离或者vlan，这样可以确保ssh/远程桌面或者其他的传输数据不被嗅探，也就大概率的越过了直接丢密码的惨况。至于你自己计算机的安全情况，这个千差万别的，自己搞定吧，但至少别用360什么的垃圾软件，他本身就是个大后门。
从底层说起吧，首先说网络层的包/端口过滤。系统自身带的防火墙就是效率最高的，千万别听网络上的人云亦云瞎B吹，任何第三方软件或者以“用户态”运行的进程都绝不可能超过自带防火墙的效率。对于windows，建议使用白名单策略，也就是“仅允许”；对于linux/unix，建议使用黑名单策略，也就是“仅拒绝”。通过这一步，可以将对外通讯限定在可控范围内。外部环境和网络层做不好，可能会面对的窘境：当你刚刚安装好系统，登录进去，你发现已经有后门进程在忙活，或者已经中毒了，很尴尬，也很无奈，我今年就遇到过两次，有一次还是vultr的，因为我是用镜像直接还原的，所以可以证实vultr的vlan或者物理隔离是不行的，至少是有缺陷的，重新还原一次并且立马先把网卡禁了，才避开这个病毒。另一次我不确定是不是服务商的安装盘有问题，反正他交给我的时候就已经有后门了，我懒得折腾，直接iptables做一个丢包处理了。
然后说说操作系统。我个人从2005年开始是从不更新系统的，从2006年开始从不在服务器上装杀毒，因为这两个都会导致系统效率显著降低，但只针对于windows而言；对linux来讲，必须更新，因为linux及附加软件的漏洞特多，不更新就等同于做死。还要有足够好的操作习惯，像官网下载的php、mysql这类软件自然不用去测试什么，但其他的必须在客户端先扫毒，确定没问题了再搞到服务器上面去。同时尽可能别在服务器上面做一些不必须的事情，我曾见到有人直接在服务器上面装visual studio写代码，看的我目瞪口呆……
上面都是外部环境，下面正文了。
作为web服务器，提供web是必须的，一般来说还会提供ftp，所以顺带说了。
web+ftp的组合，决定了这个服务器有一个可写环境，同时还有一个脚本执行环境，那么在比较糟糕的情况下，黑客是可以获取一个shell运行环境的，如果web服务器的权限控制没到位，就很方便的越权得到最高权限了。对于管理员而言，如果连系统控制权都保不住，可以下岗了。
为了阻止这种情况呢，我们延续上面篇幅的思路：基于不可信环境。因为ftp的密码是明文传输的（也可以加密，但很少有人这么干），所以我们可以假设对方已经获取了ftp密码，于是也就得到了shell环境，那么在这个情况下，双方交火的地方在web站点。在对方获取shell以后呢，最大权限就是apache给这个站点的suexec身份（这是个插件，需要每个站点单独设置），这个身份一般来说也做不了什么有害的事情甚至根本就干不了什么，所以没多大关系。对于windows而言呢，其实也类似，甚至更方便，但是有一些细节。windows在2003系统开始，站点的运行身份是网站自身+程序池两个，一般的主机管理系统都搞定了站点身份，但一般都没搞定程序池身份，因为这个身份的设置需要对系统目录很熟悉，并且需要对.net有深入了解（哪怕你用的不是.net程序）。如果是我们自己用的服务器，最佳做法是每个站点独立程序池，其运行身份与站点一致，同时需要给这个账户访问几个特殊目录的权限，因系统不同有所差异，细节不多说了，可以自行测试。
好了，站点的说完了，来说web服务器自身。假设站点的权限被突破或者根本就没有防护（linux上很容易犯这个错，windows默认既是低权限），那么战线就后撤至web服务器自身了。linux的很多程序都有setuid，但更多程序是没有的；windows则可以很方便的设置这个。默认情况下呢，iis的站点是依托于程序池身份的，所以实际上每个程序池是独立身份+独立进程；而apache是所有进程同一身份，所以假设站点被做掉了，那么在windows上来说，对方获取的依然是有限权限，而linux+apache的话则已经构成事实上的越权了。于是可能很多买空间的都遇到这个情况：web程序明显没有任何问题，但还是给人篡改了网站内容，也许问题并不在你的站点，但你变为池鱼了。因本文讨论的是web服务器安全，所以这种买空间的用户并不在本文讨论范围，不扯了。
在没有正确处理的情况下，一旦web服务器被突破，则操作系统控制权会直接丢失，也就没有后话了，所以这里是我们的底限。因为iis的运行原理所致，所以只要不将程序池设为“system”或者管理员组的身份，则不论怎样都不会丢掉控制权，即便网站出了问题，至少我们还能从容面对。对于apache而言，必须设置uid和gid，而且必须限制这个用户的权限。在debian和ubuntu上，apt安装的apache默认既是低权限，其他系统不熟；在所有linux系统上，编译安装的apache必须要手工创建账户并且明确指定uid和gid，否则默认既是root。
深究一下站点内的处理细节。
大多数网站都可以上传附件，这算是个常规功能了。对于这样的网站，最简单的做法是在web服务器和文件系统将所有“非附件目录”设置为只读+可执行+不可写；将附件目录设置为可读写+不可执行。通过这样做呢，假设下面的几种情况：
1，web程序有问题，被人利用了并且得到shell。这种情况其实对方什么都做不了，甚至连网站内容都改不了，顶多往附件目录传几个“web木马”，但是这个“web木马”还没法执行，最终他自己滚蛋了。
2，ftp账号被人拿到了。和上面情况一样，其实还是做不了什么。
总之，对于站点来说，可写的地方不可执行，可执行的地方不可写，确保这个前提就足够搞定绝大多数“黑客”了。
本文仅仅探讨web服务器的安全问题，回头看来，仍有太多内容没有提及，像跨目录窃取数据等这类行为，因为已经被本文的做法彻底堵死了，所以很多东西倒是不必再提。重要的是思路，能领会本文思路，则像我一样连更新系统都不必的，根本没那个必要。即便系统或者某个程序有漏洞，但漏洞的使用也是需要前提的，本文的思路可以消灭前提，所以不必操心漏洞问题，一切皆在掌控之中。