windows2003 Web服务器 IIS防范入侵常见问答

huanqiu

1.如何让asp脚本以system权限运行?

2 f, I4 ^+ q5 w" ?( y; ]修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....

2.如何防止asp木马?
% U0 r  V1 @" z$ w6 A3 G
- K! }, Y! _& b7 O$ H. m$ e基于FileSystemObject组件的asp木马
- k1 t! z+ d4 p: E0 ?8 D
cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用
9 w+ f: j/ K5 J
regsvr32 scrrun.dll /u /s //删除

基于shell.application组件的asp木马

* C( B. L6 S% C. X5 H9 Ncacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用
2 w9 D+ A3 J2 q7 H4 A
regsvr32 shell32.dll /u /s //删除

- c4 y& ]# l- ~8 q3 W; g( Y- e3 B, y3.如何加密asp文件?
  R% ^) O8 Z8 z5 t7 i5 o9 o/ r, W
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。

, S! z% V' H3 L* O安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。

运行screnc - l vbscript source.asp destination.asp
3 O! v) g7 A# m5 c: I6 ~$ |6 |
$ c6 p" \* Y3 Q- j! `0 n2 g3 t生成包含密文ASP脚本的新文件destination.asp

& D# u: |( _1 q8 o用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
4 r; b" a. N; F5 `$ T
但无法加密中文。
2 n3 x6 n  D. }+ p4 _% x
4.如何从IISLockdown中提取urlscan?

; N( c5 b0 U- C7 T" t' }2 S9 t; eiislockd.exe /q /c /t:c:\urlscan

5.如何防止Content-Location标头暴露了Web服务器的内部IP地址?
6 x( a! e( C9 f7 \* u$ j- U6 S
# U! k: C: M% @4 h执行

cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True

- J  p6 W4 G6 R! m2 }9 m% {5 [* O4 Q# i$ s最后需要重新启动iis

6.如何解决HTTP500内部错误?
$ t, i9 \7 u3 _
" {: C, p9 p7 Riis http500内部错误大部分原因
2 H, ^% n# S+ g% P/ w1 k
主要是由于iwam账号的密码不同步造成的。

我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。

# w) b2 w2 P9 ?0 P" [5 M0 ?执行
0 Y  |2 n. a1 L8 h! x
cscript c:\inetpub\adminscripts\synciwam.vbs -v
1 |8 X. u4 l2 L% D5 p$ e
7.如何增强iis防御SYN Flood的能力?

" s- b* H4 K0 DWindows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

/ O1 ?8 W# n: U/ T' B启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后

4 B7 Z/ t$ w% e* _- X6 m; i安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
' M* |- n+ U7 `
设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。

"SynAttackProtect"=dword:00000002
  M" x& r- \! Y. u1 T8 k/ i7 l
同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态

. w, J8 b0 ]& S2 |的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。

3 c! D5 Q% h3 ^/ e8 I$ S2 t. a9 m"TcpMaxHalfOpen"=dword:00000064
& N$ ~9 M4 D9 b/ d
判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。

- h; l- O2 d" @5 L) A" ^9 v  r"TcpMaxHalfOpenRetried"=dword:00000050
0 X' C. I, ~6 ~. s$ e: _
9 u2 v$ N7 h" w, `$ r设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
. T* |: q  I+ R6 |
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
2 M7 i5 t. N% ]" c$ n* _2 H* s2 \+ d
1 p- [8 ]7 ?4 S) S' b& |微软站点安全推荐为2。
: g+ N3 K5 M; s0 i+ _
"TcpMaxConnectResponseRetransmissions"=dword:00000001
4 _5 q2 l1 [; h$ Q
设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
+ a* f8 C$ R! r1 h8 t" O9 J& ?% y! M
"TcpMaxDataRetransmissions"=dword:00000003

1 K- `/ U3 T& y6 r/ @0 S9 o设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。

"TCPMaxPortsExhausted"=dword:00000005

3 V4 W; M  S) w0 o/ m禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的
3 T) v# r" I* }2 b7 f' E! Y
9 m; l$ l+ e% m/ l  P" G# A源路由包，微软站点安全推荐为2。

7 y* P) M8 b8 \"DisableIPSourceRouting"=dword:0000002

限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
- y* u+ c. `+ C6 a; K2 }- Y
& ], r: Z  Q- q" m' v"TcpTimedWaitDelay"=dword:0000001e
" W% j3 r/ [+ t6 v& O
8.如何避免*mdb文件被下载?
/ {1 j( h5 M) t% R' y: u
; H- h0 {0 ]7 Q安装ms发布的urlscan工具，可以从根本上解决这个问题。
5 o0 q5 q% p  b  W; w  B9 m  d% u
/ i' t1 h) K" n% |+ |同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
( V% r7 C( g8 ^3 J( E
9.如何让iis的最小ntfs权限运行?

: I& [5 z7 N) R- Y  R( ^5 B6 v6 W7 C依次做下面的工作:

a.选取整个硬盘:

  u0 g  y3 \* `+ \ystem:完全控制

' X! k( {/ f8 yadministrator:完全控制
* b- P$ s' M$ n& t  s' j7 `
9 H0 F5 A0 O/ @9 q( N(允许将来自父系的可继承性权限传播给对象)

% r# f: Q1 A; [. i.\program files\common files:

everyone:读取及运行
( ]& G( G3 T1 x* A* e; C& @
% {, z6 A7 U& m3 U) V- w列出文件目录

4 C, F, i  I0 ^" k# z8 m读取

" T/ \$ [, z3 C+ w6 ~(允许将来自父系的可继承性权限传播给对象)

& [0 q6 _0 l! ^: U* wc.\inetpub\wwwroot:
6 x3 Q6 c3 J  V& _( Z
4 W# |# l/ u7 Biusr_machine:读取及运行

列出文件目录

读取
" l8 H" d2 c* P" ~0 ~! U. s5 {
  \5 e1 V$ ?* ]) G7 B(允许将来自父系的可继承性权限传播给对象)

e.\winnt\system32:
$ y8 T+ ~+ C, X9 B2 U
选择除inetsrv和centsrv以外的所有目录，
8 x* N3 y: g! G3 E
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

) s& C% m2 f+ k" S& xf.\winnt:

选择除了downloaded program files、help、iis temporary compressed files、

, E7 I2 m* }4 |. o- m4 l# \offline web pages、system32、tasks、temp、web以外的所有目录

去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
! ?  k1 N. t* U% W8 y: ~) U9 q$ ?
* \6 g* C7 y" q6 zg.\winnt:

3 y: D. T( i$ o+ }4 d5 V' Q( F& S) J- {everyone:读取及运行

列出文件目录

读取(允许将来自父系的可继承性权限传播给对象)
2 s$ n: Q) Y# U7 g) A* h$ `
h.\winnt\temp (允许访问数据库并显示在asp页面上)

everyone:修改

(允许将来自父系的可继承性权限传播给对象)

. w& K/ `' K) y+ s10.如何隐藏iis版本?

& U8 V  S+ ~. v9 D一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息

- i9 J) _; l% R! p+ Xiis存放IIS BANNER的所对应的dll文件如下:
5 L" V! V- u/ _4 f/ ]
WEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL
9 w2 o' G, Q! E2 f! G
; A. C- S5 }) B# r: K" mFTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL

+ h2 g) W  T2 C, M6 k( YSMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL

你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0

2 q0 Q4 h1 N* b2 K4 `$ _8 s- S& g具体过程如下:
2 q4 j5 h& d7 e" {6 |' C2 a
1.停掉iis iisreset /stop
9 X/ Z# Z3 |% j. E( f8 b
2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件

. {9 u3 ~! d& `; @2 @3.修改