TCP3389漏洞修复方案

通过对****客户端进行SSL加密认证，来保护远程控制过程中的数据传输，从而弥补远程桌面连接的安全缺陷，配置方法详见如下：

1.安装证书服务：

第一步：在考试院服务器上通过控制面板的添加/删除windows组件来安装“证书服务”然后点下一步。（如图1）

（图1）

第二步：在CA证书类型中选择“独立根CA”，然后点“下一步”继续。（如图2）

（图2）

第三步：在CA识别信息窗口中为安装的CA起一个公用名称（如：softer），可分辨名称后缀处空白不填写，有效期限保持默认5年即可。（如图3）

（图3）

第四步：在证书数据库设置窗口保持默认即可，因为只有保证默认目录（windows\\system32\\certlog）系统才会根据证书类型自动分类和调用。点“下一步”后继续。（如图4）

（图4）

第五步：配置好安装证书所需要的参数后系统就开始安装该组件，在安装过程中会提示要求插入WINDOWS2003系统光盘。（如图5）

（图5）

第六步：插入光盘找到系统文件后继续安装，在安装服务的最后系统会提示“要容许证书服务需要启用IIS的ASP功能”，选择“是”来启用ASP。（如图6）

（图6）

第七步：完成CA证书服务的windows组件安装工作。（如图7）

（图7）

2.设置证书服务参数

第一步：在考试院证书服务器上通过任务栏的“开始->程序->管理工具->证书颁发机构”来打开证书设置窗口。（如图8 ）

（图8）

（图15）

第十一步：点提交申请后会出现“潜在的脚本冲突”提示，不用理会直接选择“是”即可。（如图16）

（图16）

第十二步：提交申请完毕会出现证书挂起的提示，系统会提示申请信息已经挂起，等待管理员颁发，并还会显示出申请ID的序号。（如图17）

（图17）

4.颁发证书

第一步：在考试院证书服务器上通过任务栏的“开始->程序->管理工具->证书颁发机构”来打开证书设置窗口。

第二步：在本地计算机softer下的“挂起的申请”处会看到有一个申请，ID号为2，这个就是刚才的申请。

第三步：在该申请上点鼠标右键选择“所有任务->颁发”，颁发后申请的证书就可以使用了。（如图18）

（图18）

5.安装证书：

证书通过服务器的审批后，就要在服务器上安装申请的证书。这样才能使远程访问中传输的数据更加安全。

第一步：打开考试院服务器的IE浏览器，在地址栏处输入http://证书服务器的IP /certsrv/

第二步：选择“查看挂起的证书申请状态”，在这里会看到原来提交的那个“服务

器身份验证证书”的踪影。（如图19）

（图19）

第四步：系统会弹出“潜在的脚本冲突”提示，不用理会继续点“是”即可。系统会自动将该证书安装在服务器上。（如图20）

（图20）

第五步：安装完毕系统会以网页的形式将“证书已安装信息”反馈给用户。（如图21）

图（21）

六、服务器远程桌面设置：

默认情况下远程桌面功能是不支持SSL加密认证的，即使申请并安装了证书，仍需要进行配置后才可正常运行。

第一步：在考试院服务器主机上通过任务栏的“开始->程序->管理工具->终端服务配置”来启动tscc终端服务配置窗口。（如图22）

（图22）

第二步：在tscc终端服务配置窗口中展开“终端服务配置”选下面的“连接”，在右边窗口中会显示出终端服务，在其上点鼠标右键选择“属性”。（如图23）

（图23）

第三步：在常规标签中的证书设置处旁边有一个“编辑”按钮，点击该按钮打开证书设置窗口。然后通过查看证书找到之前安装的证书。（如图24）

（图24）

第四步：选择完证书后还需要对常规标签中的安全级别进行设置，将安全层设置为“SSL”，将加密级别设置为“高”。确定后完成服务器远程桌面设置工作如图25）

（图25）

七、客户端安装认证证书：

服务器上使用了证书进行SSL加密认证，还需要在客户机上安装这些认证。否则远程桌面访问将无法进行。

第一步：在考试院终端主机上打开浏览器，在地址栏处输入http://证书服务器的IP

/certsrv/（如图26）

（图26）

第二步：选择下载CA证书后直接点“安装此CA证书链”。（如图27）

（图27）

第三步：系统将自动安装该CA证书，并给出安装完毕的提示。（如图28）

（图28）

八. 通过SSL加密方式访问考试院服务器

第一步：启动远程桌面连接程序，会发现多出了一个“安全”标签。（如图29）

（图29）

第二步：在“安全”标签中将身份验证方式修改为“要求身份验证”。（如图30）

（图30）

第四步：设置完毕后点“连接”按钮就可以通过SSL加密模式远程访问控制服务器了。

本文来源：https://www.bwwdw.com/article/w04t.html