老秘网_材夜思范文

标题: iis安全防范方法精华：一位高手整理的IIS问题答 FAQ [打印本页]
作者: 中国老秘    时间: 2010-5-10 17:00
标题: iis安全防范方法精华：一位高手整理的IIS问题答 FAQ

一位高手整理的IIS FAQ

3 A6 f/ V! E5 w1 n4 ?# V; r+ J

下面是一位高手整理的问题精华，大家好好看看吧，收获肯定很大的!

* e S4 S ]4 P+ P) {& K

1.如何让asp脚本以system权限运行

/ x3 f F0 Q. n' I8 i& }+ X

　　修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....

4 m C+ q, c6 {+ b' y3 g

2.如何防止asp木马

+ S% D9 g# R6 {. V- v

　　基于FileSystemObject组件的asp木马
    cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用

6 n) J4 D* O4 `3 {/ z4 D0 Z; P, ^' o

　　regsvr32 scrrun.dll /u /s //删除

5 k& m5 x0 q0 p0 D! i* N' r

　　基于shell.application组件的asp木马

: @" x- u6 a3 b+ h W3 x2 F

　　cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用

/ {8 D$ p* G* f9 v( ~

　　regsvr32 shell32.dll /u /s //删除

. p* O2 u l! q' f- s7 J

3.如何加密asp文件

- q5 |9 J5 J& u8 i3 h% F

　　从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。

3 i0 |$ y) D8 R- R& @' q, j# R7 R

　　安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。

/ Y5 _; A5 j% L: {1 f( c+ b

　　运行screnc - l vbscript source.asp destination.asp

7 e, D& |) V) [+ E3 U* r

　　生成包含密文ASP脚本的新文件destination.asp

& x2 f9 U& e" _3 z3 [& Q5 U

　　用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了

t6 h$ }3 s% x0 ^, S0 v* U* ^

　　但无法加密中文。

/ P0 a# |* N; Z

4.如何从IISLockdown中提取urlscan

8 }* b4 i0 O. T* [

　　iislockd.exe /q /c /t:c:\urlscan

$ |/ k0 g& @5 P6 W

5.如何防止Content-Location标头暴露了web服务器的内部IP地址

( `. w3 m% n5 @7 Z/ W H7 G

　　执行

: p* ^& T; P' _3 ]# q0 W/ N

　　cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True

" f* [/ \- X# \8 W: b1 i

　　最后需要重新启动iis

: {# Z# R" Y: S2 g" x

6.如何解决HTTP500内部错误

" R( _9 f7 b/ `/ H6 p% [0 j

　　iis http500内部错误大部分原因

& r$ D! L% f) \' a

　　主要是由于iwam账号的密码不同步造成的。

7 x+ Z; M( w: [3 ~& I( d2 {

　　我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。

! U/ _6 c3 {. x

　　执行

0 ]( ^( J; a& v

　　cscript c:\inetpub\adminscripts\synciwam.vbs -v

# D& ?( m3 ?9 P; Q7 w

7.如何增强iis防御SYN Flood的能力

8 {. u: E+ k: u

　　Windows Registry Editor Version 5.00

, f4 P9 `5 d( q2 e

　　[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

r+ R- r% l" u% V9 n0 |

　　启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后

3 H$ Y: X+ c3 e

　　安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。

" e" i0 k7 ~1 x2 \5 p

　　"SynAttackProtect"=dword:00000002
同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。

& }" s$ G& ]" Q! {$ w6 ]4 x6 J

　　"TcpMaxHalfOpen"=dword:00000064

. N; x0 w; _! B: d/ U% B

　　判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。

* n; W% @: N8 _$ W

　　"TcpMaxHalfOpenRetried"=dword:00000050

5 c, Z$ r) F6 y

　　设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。

) w9 Q7 K8 u( h- \5 }/ ?

　　项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。

$ s6 u# f6 A9 K. @

　　微软站点安全推荐为2。

$ u+ Y6 o v' k; I

　　"TcpMaxConnectResponseRetransmissions"=dword:00000001

1 N R& n5 c. K( y2 r, V& n8 f

　　设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。

r1 J+ o: g0 I4 }- F

　　"TcpMaxDataRetransmissions"=dword:00000003

4 a; r: h. F& P! s3 S8 F: g* b& n+ ]

　　设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。

2 [" m; R2 c$ m" |% q$ A

　　"TCPMaxPortsExhausted"=dword:00000005

! z' O5 H/ E" E& F* V2 T* |

　　禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。

: E! _' Z8 J; q) L+ G# g& i6 C& _) v" A

　　"DisableIPSourceRouting"=dword:0000002

d" {) k' ]. X" i5 |$ w* a l

　　限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。

3 b! Z7 R( @% I% H$ F, a# b' r% ^

　　"TcpTimedWaitDelay"=dword:0000001e

, B0 i" `9 {* Q

8.如何避免*mdb文件被下载

; Y. p2 e% R* C7 n9 a' n. \; L' y+ q

　　安装ms发布的urlscan工具，可以从根本上解决这个问题。

2 c0 n0 l+ h1 w. M

　　同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。

' P7 w+ x+ P' V

9.如何让iis的最小ntfs权限运行

8 a }6 |% ?# |- b

　　依次做下面的工作:

5 h3 M4 k6 Z7 ]6 z, h! m

　　a.选取整个硬盘：

" E; b7 w$ _- h+ k+ B+ Q

　　system：完全控制

% Q. U! ^6 q) K) K1 f# Z% R/ G

　　administrator：完全控制

! O! {; n3 X& E n! K

　　(允许将来自父系的可继承性权限传播给对象)

( q* O8 m) F8 m$ A: S8 [

　　b.\program files\common files：

1 \, ?0 i+ e1 O% ]

　　everyone：读取及运行

; `& L1 W3 s, G3 u

　　列出文件目录

) w3 e. U9 a% H1 I

　　读取

1 w. O5 E/ i" F& _, o6 E

　　(允许将来自父系的可继承性权限传播给对象)

5 _5 z: A5 R, g7 i

　　c.\inetpub\wwwroot：

/ [ D! e' b. P% R8 ?

　　iusr_machine：读取及运行

. j2 h5 v/ c7 p6 y" K0 S- |3 j

　　列出文件目录

7 {+ W& y2 b; [6 { d C' Y; ?2 t

　　读取

; {1 `" s; G4 G

　　(允许将来自父系的可继承性权限传播给对象)

K, T& W7 | T" [5 T2 h" e

　　e.\winnt\system32：

; d/ M0 U4 ]3 t( Q

　　选择除inetsrv和centsrv以外的所有目录，

/ Q. u$ Y$ b$ B; n: q0 q# q

　　去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

/ A" |( r" H+ T, A( E0 R/ t

　　f.\winnt：

, Q+ A6 d4 F* |; v9 K7 k

　　选择除了downloaded program files、help、iis temporary compressed files、

$ b* U( X* \; D3 _7 J

　　offline web pages、system32、tasks、temp、web以外的所有目录

8 [# B6 [8 t+ M+ @1 h+ U

　　去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

* S- ]% ^- }: ~( T

　　g.\winnt：

# h5 \: i7 M* r

　　everyone：读取及运行

+ c6 i! h. [+ a0 ?# k" `4 N6 ?$ c% p

　　列出文件目录

- t8 \7 j2 ]9 l/ {

　　读取

5 ~& J; u! l. X, V8 K) o2 G/ z; P2 O

　　(允许将来自父系的可继承性权限传播给对象)

! a \1 z1 m) O6 d0 A7 A

　　h.\winnt\temp：（允许访问数据库并显示在asp页面上）

3 W$ R7 s$ `6 \

　　everyone：修改

O3 S* F9 [6 `

　　(允许将来自父系的可继承性权限传播给对象)

- q/ i# B4 f" d$ ?' t3 T

10.如何隐藏iis版本

3 }3 E6 S! D I- [ a# L; m

　　一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息

6 F9 W6 P. U/ q

　　iis存放IIS BANNER的所对应的dll文件如下：

. ?4 X( E: ?- j4 ?* J7 ]& k

　　WEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL

8 m9 G0 W# L& i6 @8 h

　　FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL

1 j/ O" o9 g! b% s: Y9 k. V) u

　　SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL

6 d8 e9 u# h) [( u* q

　　你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0

0 T: z/ |+ O3 Z" E" |

　　具体过程如下:

7 R$ m6 ?2 y* U0 x o

　　1.停掉iis iisreset /stop

3 H$ O/ q# w6 Q$ n. b3 Z

　　2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件

, R9 c" c) E4 B0 ^2 ?. Z9 [

　　3.修改





欢迎光临 老秘网_材夜思范文 (http://www.laomiw.com/) Powered by Discuz! X3.4