老秘网_材夜思范文

标题: iis安全防范方法精华：一位高手整理的IIS问题答 FAQ [打印本页]
作者: 中国老秘    时间: 2010-5-10 17:00
标题: iis安全防范方法精华：一位高手整理的IIS问题答 FAQ

一位高手整理的IIS FAQ

( g v: `' E, E/ { `

下面是一位高手整理的问题精华，大家好好看看吧，收获肯定很大的!

* _$ Q/ V. \! \* ^& A8 E

1.如何让asp脚本以system权限运行

1 s# h( N8 w X' s9 @5 _4 j, z

　　修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....

/ j0 q. a& \- r, h

2.如何防止asp木马

$ |: F* f0 _3 W# I

　　基于FileSystemObject组件的asp木马
    cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用

6 a. w6 B; ]: k6 F; L+ Y4 z

　　regsvr32 scrrun.dll /u /s //删除

% c H' N0 ^9 Q% s9 s' J. j

　　基于shell.application组件的asp木马

) J8 ~) S3 D! w/ g! o

　　cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用

8 S# M' d) e; K9 Y6 u

　　regsvr32 shell32.dll /u /s //删除

$ ]* b* H& N) i) k7 ]. Z8 Q2 J: }

3.如何加密asp文件

7 @: j8 z( W L o

　　从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。

" R$ A' h- k8 ^) ?, l y

　　安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。

! ?; v- J Z9 O2 n* o

　　运行screnc - l vbscript source.asp destination.asp

+ V$ Z3 F* O4 l! _8 \1 U

　　生成包含密文ASP脚本的新文件destination.asp

% s3 y. U" P$ T. a2 u1 Z

　　用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了

! G6 y$ w5 D8 ?" D) w( v* a# u

　　但无法加密中文。

' z2 Y: r; n( `/ |$ ^. p. B

4.如何从IISLockdown中提取urlscan

3 r; w$ A# e& D' R* b% |. D& Q

　　iislockd.exe /q /c /t:c:\urlscan

; Z' q* A0 _* n3 T

5.如何防止Content-Location标头暴露了web服务器的内部IP地址

9 a/ B2 F& q' Z- z5 ^9 g

　　执行

. T3 L4 x1 \6 `3 u( ~7 [

　　cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True

2 I' g2 j# P1 g& z8 f3 c6 _. v

　　最后需要重新启动iis

l( O, S) S" U- D% C# ^

6.如何解决HTTP500内部错误

! x! X+ V- t! a* p

　　iis http500内部错误大部分原因

0 f0 N3 o" Z+ @( v/ P% A1 n

　　主要是由于iwam账号的密码不同步造成的。

& K- F9 x3 q( t; P( p4 m' _9 u

　　我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。

9 n$ O$ z, ~& X8 ]: O) l ?

　　执行

- J' ]% B: B. b0 m. U5 ~

　　cscript c:\inetpub\adminscripts\synciwam.vbs -v

0 n3 n; m; y$ V8 K$ Q0 ~

7.如何增强iis防御SYN Flood的能力

3 h/ u3 g' r, K) s9 z% t

　　Windows Registry Editor Version 5.00

% a1 o# h& F1 A& J! A$ O2 {8 X8 M

　　[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

5 p) R" H$ [: N

　　启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后

# Y$ B& V B3 n" a

　　安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。

( O+ p& Z: y# E; s/ p0 f4 w. {

　　"SynAttackProtect"=dword:00000002
同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。

2 }8 q3 y1 g2 K/ k$ W5 R, _

　　"TcpMaxHalfOpen"=dword:00000064

. c" j: w' L; H8 P. @' O

　　判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。

" R% V4 r; \* G

　　"TcpMaxHalfOpenRetried"=dword:00000050

# U: u* u7 l4 u3 h y* H+ A

　　设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。

d8 H9 y/ i; _+ b2 m5 Q1 K0 U

　　项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。

- R4 Y0 x4 o" B' }3 t5 u

　　微软站点安全推荐为2。

- P8 Q( |" ]8 d' D- {" j) v* _3 G

　　"TcpMaxConnectResponseRetransmissions"=dword:00000001

5 @& E+ w: B9 v' _

　　设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。

# S$ ~* b9 c3 N# ~2 A U/ Q; { d

　　"TcpMaxDataRetransmissions"=dword:00000003

- n, _/ p$ @# y

　　设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。

+ o1 `1 z: R& U2 z- ]3 s

　　"TCPMaxPortsExhausted"=dword:00000005

) V: q1 ^* j1 a+ p

　　禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。

. ~0 ^0 s, ~9 H( P6 @9 i1 q

　　"DisableIPSourceRouting"=dword:0000002

' [8 ?; r0 {! y1 q5 c+ D, l5 i

　　限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。

% c7 {. G' a# m6 v- f

　　"TcpTimedWaitDelay"=dword:0000001e

8 a. P( R# ?) L, B

8.如何避免*mdb文件被下载

2 E- b3 \& C7 R! j

　　安装ms发布的urlscan工具，可以从根本上解决这个问题。

4 ~" L; ? U! I2 x0 I

　　同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。

! f9 d$ m I! j( [ Q$ t2 U

9.如何让iis的最小ntfs权限运行

' m) l; T# ^8 ^. N

　　依次做下面的工作:

4 j3 w/ l% ^0 l ~$ A

　　a.选取整个硬盘：

; Y) Q+ I! ~: u8 `7 z) _

　　system：完全控制

: c! P) p+ M1 t) _

　　administrator：完全控制

* D$ ]6 p9 k b/ H X

　　(允许将来自父系的可继承性权限传播给对象)

- U! Y* o! n3 l R+ A3 b

　　b.\program files\common files：

3 Q6 c3 p d! q3 [% P$ Z5 i( M. |/ r5 c

　　everyone：读取及运行

3 l9 S8 ?) t. _+ e7 V2 `# a4 p

　　列出文件目录

. r) ?4 e, t) z/ y$ C6 M

　　读取

2 I7 s$ {; j6 y6 ^7 j& C& D! t& g1 T

　　(允许将来自父系的可继承性权限传播给对象)

- g7 [1 C4 L8 A! V# ]# I( H& j' X

　　c.\inetpub\wwwroot：

2 h' S6 d% v% ]$ Q7 u) K+ c

　　iusr_machine：读取及运行

1 r X- I& w3 d

　　列出文件目录

! \. k. ?3 C3 l% W8 B5 a4 x

　　读取

, E' |6 M0 E5 R" o4 p% e/ H& @6 I

　　(允许将来自父系的可继承性权限传播给对象)

( x2 i9 V8 I8 v6 f# m1 P

　　e.\winnt\system32：

" k$ j! k; \3 e0 `3 D! _( e

　　选择除inetsrv和centsrv以外的所有目录，

* a3 u3 C+ @' a

　　去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

; Z# Y9 d. L5 n% o8 e# R, V

　　f.\winnt：

# H7 h# R- w5 h5 R9 a

　　选择除了downloaded program files、help、iis temporary compressed files、

. \5 E/ C. t8 O

　　offline web pages、system32、tasks、temp、web以外的所有目录

: K3 R; M" c+ i6 E O* O

　　去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

% y, O- M3 p! s

　　g.\winnt：

' W, B* p6 j, s/ p( @' y

　　everyone：读取及运行

4 X! P# E2 V# O6 C3 R

　　列出文件目录

$ Z: @" C) V1 f$ w2 n

　　读取

6 B) L+ v G3 F+ R, a

　　(允许将来自父系的可继承性权限传播给对象)

3 i) `1 n1 R0 W* w1 W

　　h.\winnt\temp：（允许访问数据库并显示在asp页面上）

8 k) l+ C6 u/ ?% c1 o

　　everyone：修改

& b2 `8 z, `2 ]" S

　　(允许将来自父系的可继承性权限传播给对象)

9 O# T: R2 ]/ `9 C

10.如何隐藏iis版本

+ H$ `. w2 b9 {

　　一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息

. R4 ]$ u+ o5 X& s7 I

　　iis存放IIS BANNER的所对应的dll文件如下：

1 D* T# @! Y( q, q- \7 q5 K

　　WEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL

( ?4 m# L0 c/ F4 ^ L

　　FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL

8 g; a5 o- ?# N

　　SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL

7 W; \5 M% ]( P

　　你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0

' O/ X6 B. d. O, j* s: Y% m- @6 w, i

　　具体过程如下:

3 y5 D1 @' f# D8 M( x: c, D

　　1.停掉iis iisreset /stop

" m4 \# N/ \/ l! c7 ]7 Q

　　2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件

) j, f# t& p4 R& ~7 }

　　3.修改





欢迎光临 老秘网_材夜思范文 (http://caiyes.cn/) Powered by Discuz! X3.4