老秘网_材夜思范文

标题: iis安全防范方法精华：一位高手整理的IIS问题答 FAQ [打印本页]
作者: 中国老秘    时间: 2010-5-10 17:00
标题: iis安全防范方法精华：一位高手整理的IIS问题答 FAQ

一位高手整理的IIS FAQ

G( w* F; }+ s, ]) K+ k

下面是一位高手整理的问题精华，大家好好看看吧，收获肯定很大的!

- H% n5 _) }# @9 A

1.如何让asp脚本以system权限运行

% Y' ^8 p2 ~* t9 E

　　修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....

$ l* m0 Q5 ?7 d+ {1 A

2.如何防止asp木马

5 [" \( g* P& n5 j. G% F( {

　　基于FileSystemObject组件的asp木马
    cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用

8 d3 i$ f! M5 o. A6 _* D

　　regsvr32 scrrun.dll /u /s //删除

; |, Y0 H8 \ ?& W; r. h

　　基于shell.application组件的asp木马

o% u i0 B3 F: n) W0 `

　　cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用

& ~3 L$ J: i: Q' V+ `7 p

　　regsvr32 shell32.dll /u /s //删除

; f `2 j! L$ X% G8 W

3.如何加密asp文件

* Z3 _4 X$ a0 m8 D+ B

　　从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。

* J# l' d# [" i+ `( G) L- J( P

　　安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。

) K+ |5 i; V. w9 R

　　运行screnc - l vbscript source.asp destination.asp

" G0 e& f4 O8 [* ^1 u. \

　　生成包含密文ASP脚本的新文件destination.asp

# Y% i3 [$ [2 y c) N6 q+ k+ `

　　用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了

# U0 ~) z+ U8 G" `: K4 A, K

　　但无法加密中文。

# N0 v8 y2 ]$ C

4.如何从IISLockdown中提取urlscan

1 J+ q% r- C @ t

　　iislockd.exe /q /c /t:c:\urlscan

; `( v) Q6 {$ t

5.如何防止Content-Location标头暴露了web服务器的内部IP地址

! R) x* X, L% ~1 L! Q/ g/ C% b

　　执行

9 z$ a$ E% v8 t! I! L# |- J, H/ }

　　cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True

/ V8 L; u" J. U9 `% h7 f1 N

　　最后需要重新启动iis

& c4 z, Z" d, D+ }9 L: j5 N% X! r

6.如何解决HTTP500内部错误

6 q* n7 [) E! g5 F! d |& Q6 R

　　iis http500内部错误大部分原因

# v; K5 Y6 v5 I0 ~, t

　　主要是由于iwam账号的密码不同步造成的。

: j' K x9 M2 m. E' g

　　我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。

- d9 ` g3 S! E2 q4 y' h4 s

　　执行

7 |7 c4 h9 n9 `" t$ M, w. b% P

　　cscript c:\inetpub\adminscripts\synciwam.vbs -v

# _7 H9 O4 ]$ J+ e. s( h: X; b

7.如何增强iis防御SYN Flood的能力

2 S4 f- F. ~6 u

　　Windows Registry Editor Version 5.00

& U* U, k) Q7 M7 b, D( U, p _

　　[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

3 L9 g8 f {' k) z, ], J

　　启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后

4 o, X/ I0 D0 r0 g+ U) ^4 T- H

　　安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。

9 s$ ^$ f; m6 e& G

　　"SynAttackProtect"=dword:00000002
同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。

: z: O9 t) O |, m

　　"TcpMaxHalfOpen"=dword:00000064

( F8 \3 w7 q+ c" I! ?, H. R

　　判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。

# a9 b! M2 Q/ b) H$ i: k/ p$ O

　　"TcpMaxHalfOpenRetried"=dword:00000050

% h) a% ?* J9 P$ j: |

　　设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。

9 C' C8 }- G) S, c- j; W' ] {

　　项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。

2 m, W3 f. p+ M3 q

　　微软站点安全推荐为2。

2 i2 J5 n) b) [

　　"TcpMaxConnectResponseRetransmissions"=dword:00000001

; @% P+ W+ n. ^& D5 ]8 y

　　设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。

4 h3 t) O' K# H4 v, Q% J7 t

　　"TcpMaxDataRetransmissions"=dword:00000003

' G# x' x" j$ ]4 `5 S

　　设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。

0 E+ v" k w' Q

　　"TCPMaxPortsExhausted"=dword:00000005

0 K, H4 j4 n+ @* P

　　禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。

5 ?' Z% W+ Q% s6 T- M$ K4 {

　　"DisableIPSourceRouting"=dword:0000002

N9 v/ ]8 ]% S9 j

　　限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。

4 S3 C {$ Q. G9 y- _, E, t0 p) B; v

　　"TcpTimedWaitDelay"=dword:0000001e

/ R# Q5 u! I( @

8.如何避免*mdb文件被下载

/ g* H: s2 V! s

　　安装ms发布的urlscan工具，可以从根本上解决这个问题。

3 {: j5 S, m1 o5 D9 O! e0 C

　　同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。

6 t7 q% j6 t, T* v; I

9.如何让iis的最小ntfs权限运行

; ]" T% |: N4 G$ t# c) ~, n* L! A

　　依次做下面的工作:

! U/ |/ U* @ c* J6 d" H% G0 _: T

　　a.选取整个硬盘：

6 y6 S9 E% e1 a( l3 q& e) u

　　system：完全控制

U$ B' w, Z- }& q% ]8 i

　　administrator：完全控制

9 B% m0 P' S. D. @

　　(允许将来自父系的可继承性权限传播给对象)

8 Z* [4 ^( @7 H/ H7 M2 f1 \4 }

　　b.\program files\common files：

' D! f2 w/ y# M1 J1 I5 a! Z5 a' L+ U

　　everyone：读取及运行

9 M2 a6 p. f, Y" k/ z

　　列出文件目录

) j4 v' W6 L6 ?8 L7 ^; E. t

　　读取

. e- u8 [; F2 q

　　(允许将来自父系的可继承性权限传播给对象)

" h! R( B# u$ m. _9 ~

　　c.\inetpub\wwwroot：

j, \7 }4 }/ L+ t5 u# [

　　iusr_machine：读取及运行

, a7 Q( l8 r! h

　　列出文件目录

- T8 i, ?6 L& Y2 M

　　读取

& A( M0 R& w G3 h/ U2 T

　　(允许将来自父系的可继承性权限传播给对象)

) i0 R( X9 w: r+ I

　　e.\winnt\system32：

( b% n0 D5 L/ @( w; |, t% w

　　选择除inetsrv和centsrv以外的所有目录，

, V6 O: F' ?* ~0 e$ Z! V5 P

　　去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

3 K: P! L4 C% q P3 F5 ?% n

　　f.\winnt：

5 P) X5 |* X* s

　　选择除了downloaded program files、help、iis temporary compressed files、

4 `0 b" z2 o, c. A& x P

　　offline web pages、system32、tasks、temp、web以外的所有目录

" N% P1 d# {5 ^2 |" S& |

　　去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

# U5 U/ `: [6 a3 v

　　g.\winnt：

9 i1 w# }( h" Q0 n( X

　　everyone：读取及运行

- K2 F, R* h; }9 {' L5 V

　　列出文件目录

/ }2 p- U4 ?0 a4 g- H% X0 k0 Q6 T! x

　　读取

+ e) |: w9 @; a2 A7 ~4 q

　　(允许将来自父系的可继承性权限传播给对象)

, L& c8 b, t y

　　h.\winnt\temp：（允许访问数据库并显示在asp页面上）

! j0 p( n G- s6 U: j0 L/ L0 X5 ^

　　everyone：修改

: K) ?) ~9 L- |, H/ E) F; p

　　(允许将来自父系的可继承性权限传播给对象)

% a9 {, S+ ]4 H7 ]- E0 g' ^

10.如何隐藏iis版本

4 G; I# Q6 z4 Z# X

　　一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息

2 S! |& E! A0 P4 O& e' C" z+ `7 u

　　iis存放IIS BANNER的所对应的dll文件如下：

2 i/ w6 |$ p6 x) z7 n( k0 s

　　WEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL

+ P8 j( f! P+ r6 l

　　FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL

3 c# {! Q* t' f v* o7 u3 y" ~$ w

　　SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL

9 T2 i! M r$ ]5 `. k

　　你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0

$ j: U4 R. X5 ]4 ^

　　具体过程如下:

" u% h) p6 w/ s; ?/ c

　　1.停掉iis iisreset /stop

% w$ X2 U# B" [" h7 u

　　2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件

9 b3 C+ H7 M! ~( n

　　3.修改





欢迎光临 老秘网_材夜思范文 (http://www.laomiw.com/) Powered by Discuz! X3.4