|
一位高手整理的IIS FAQ
) \; _: @3 w% V5 W, L$ |下面是一位高手整理的问题精华，大家好好看看吧，收获肯定很大的!
! u1 [( H+ L: T) }1.如何让asp脚本以system权限运行
+ u3 _& N" \6 f 修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
5 n7 o" H1 r6 r' f. i. F2.如何防止asp木马
! g. p8 L! A( p% ?, C! [ 基于FileSystemObject组件的asp木马
cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用 9 J7 D2 y) B4 A ^' [0 d# E
regsvr32 scrrun.dll /u /s //删除
6 [4 W6 d( X* Z- H7 H7 J" c; G 基于shell.application组件的asp木马 1 X3 d/ u$ G& }* a) p
cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用 ) h9 G% L) {: O) ]+ L1 G# K, N0 y& z
regsvr32 shell32.dll /u /s //删除
. A1 Q, S+ c) H% e$ ~( z- q3.如何加密asp文件
" N* V) j, c% e: E. `0 M 从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。 . `' G2 q3 ~2 R3 B3 y( H# O* w, B
安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
u6 M8 c. [/ D, b 运行screnc - l vbscript source.asp destination.asp 3 B! c5 q" k7 l# `* U$ H
生成包含密文ASP脚本的新文件destination.asp # Q: Z9 Y9 P' K
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了 " i; _# B3 n0 F3 ?5 O8 [' S/ d
但无法加密中文。 , E7 E: n% o# A4 s" O7 _" F
4.如何从IISLockdown中提取urlscan 2 ^4 M S D0 {7 a3 W8 k
iislockd.exe /q /c /t:c:\urlscan
0 |! R3 N5 N7 m8 x$ Y5 h5.如何防止Content-Location标头暴露了web服务器的内部IP地址
1 Q4 M! Y* ? M$ t0 H 执行
, d* l' x) e, ^4 I+ @ cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True
9 q* @- B" A" h+ P1 A+ w 最后需要重新启动iis * s! Q* G- L$ @0 c' p
6.如何解决HTTP500内部错误 ! Y0 P, \8 v7 O$ k! x* A( X7 i9 g
iis http500内部错误大部分原因
) x6 [' P+ K* J) g. p 主要是由于iwam账号的密码不同步造成的。 2 l g( Z! o \/ u9 t
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。 - D; Y0 ?$ u" J2 f
执行 6 Z2 _( S+ Z9 F: Z: R7 [, X
cscript c:\inetpub\adminscripts\synciwam.vbs -v
7 C8 c! T$ V9 y: g6 ^7.如何增强iis防御SYN Flood的能力 % H0 P! w$ n, E' K2 y) M, y" Y3 W
Windows Registry Editor Version 5.00
0 ^. e7 Y& c* d [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
4 k; a, b9 R- J 启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 $ f; o8 R& c9 c i$ C5 s* G9 R$ U
安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
4 X6 G$ e7 }% E- d8 h; S "SynAttackProtect"=dword:00000002
同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
1 D4 l' L9 V4 }) l0 r5 ]& K "TcpMaxHalfOpen"=dword:00000064 5 h- \5 \! l$ K) h9 Z Y) u
判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 5 T5 d# H+ ?5 ~8 G5 Z/ @( I
"TcpMaxHalfOpenRetried"=dword:00000050 ) C8 I, f# Q6 o& N
设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 ! S( _/ P8 D3 I% m
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。 x4 ~4 u, k9 G2 O; ~+ B& r
微软站点安全推荐为2。
4 r. A5 z) F0 f. |0 c! ~3 g "TcpMaxConnectResponseRetransmissions"=dword:00000001 5 }5 n* ]/ I6 M1 o0 G$ }8 ^$ O
设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
4 n# `( c9 e' ^8 J' q "TcpMaxDataRetransmissions"=dword:00000003 / r3 T4 z& ?8 M- S* J
设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。 4 q6 H& s* d2 ~
"TCPMaxPortsExhausted"=dword:00000005
3 T) j' O' Q- D' Q9 ~& v 禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。
' }$ h9 Z( b9 \) \; u "DisableIPSourceRouting"=dword:0000002
2 t8 r& y- ?" l( ` 限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。 * ^# [# |0 p$ t3 I1 N
"TcpTimedWaitDelay"=dword:0000001e
, c; [$ z' d# o% `4 K7 u1 k! [8.如何避免*mdb文件被下载 4 c1 l, }/ T# X. a, x6 m. o) z
安装ms发布的urlscan工具，可以从根本上解决这个问题。 % R" k1 S* s" O- @" W
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。 * i8 H: ]0 p& I+ ~9 G# m+ x2 X
9.如何让iis的最小ntfs权限运行 ( N/ g- r" z! m5 l8 @! E- F/ x
依次做下面的工作: 1 w' W7 j5 t# L. `8 G& h$ ^
a.选取整个硬盘：
# B2 ]" Z4 l7 X7 H' r0 Z system：完全控制
) a, u4 C; U5 N5 c administrator：完全控制
$ \# O. I! ]+ y3 E (允许将来自父系的可继承性权限传播给对象)
4 `/ F" G' Q5 ^, K7 N! k b.\program files\common files：
% ^* j7 l5 C. U0 B# @ everyone：读取及运行 9 D9 k3 \- H; w1 ?. W
列出文件目录
4 b$ K) o0 e* k* D1 ^0 x5 t% L/ ` 读取
+ ^$ e2 | O. ^" t (允许将来自父系的可继承性权限传播给对象)
1 p0 q; A' L- Q; u$ X/ b8 | c.\inetpub\wwwroot：
2 L, W! U/ w+ Z; U2 e" d+ R iusr_machine：读取及运行
4 k8 }% H$ O7 E! t0 N- u, i: \ 列出文件目录 ( }3 G$ S5 j. a+ N7 b& s0 o
读取 $ C0 `4 R+ w5 G; \5 i
(允许将来自父系的可继承性权限传播给对象) 2 G' I+ Z/ O0 O2 J0 Z" t8 P
e.\winnt\system32： 6 o1 g0 K1 W; c+ U3 l) P' p
选择除inetsrv和centsrv以外的所有目录，
6 v' _, N# E# } H 去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 ( z3 Y8 b; k3 f2 f/ I
f.\winnt： ' O! R0 T# j/ K9 B" `
选择除了downloaded program files、help、iis temporary compressed files、 0 u8 O7 P- t( X; ?) i
offline web pages、system32、tasks、temp、web以外的所有目录 ~! [4 T- Y0 e6 g) [
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 + z: \6 V% m7 J4 W( j. E
g.\winnt：
0 E# M6 ?9 Q+ E8 K0 ? s everyone：读取及运行 ' y0 i* j9 n0 z
列出文件目录
2 ~ {* A: l7 l' z4 \9 t 读取
! N9 o6 ?/ f* [% {- S$ z (允许将来自父系的可继承性权限传播给对象) ; Y0 ]* r3 a5 [. |
h.\winnt\temp：（允许访问数据库并显示在asp页面上） , Q' J% b% \0 C, B3 L3 ~
everyone：修改
1 e& K( i% [ S3 X (允许将来自父系的可继承性权限传播给对象)
+ E/ Z! T1 |5 I" Y10.如何隐藏iis版本 / u% ?) V1 J% f/ X# \: T6 B. g
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
' E8 n) y1 X' g iis存放IIS BANNER的所对应的dll文件如下： - q6 B$ J# |1 N @
WEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL
, }4 H* U) o9 v! z3 a( K FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL * j. @7 S. u' p. f
SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL . ^) [9 g$ s, k1 v& X# r3 @
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0 + Q$ I. `1 G6 d
具体过程如下:
' K3 s j$ ]( @2 C' y+ `$ ~" B* Y 1.停掉iis iisreset /stop - x# @' G3 m) e) J0 m8 e9 N
2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件
% F% o! {! a+ N+ d; j, S4 l 3.修改 | 
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
千斤顶
显身卡
300x180 AD
