windows2003 Web服务器 IIS防范入侵常见问答

huanqiu

1.如何让asp脚本以system权限运行?
6 ]: R6 n+ l3 M
" H% D* j1 k' Y7 r: m2 }修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
% @, S8 C0 s: d) P
& `. A" D: I6 Y' A( P2.如何防止asp木马?

基于FileSystemObject组件的asp木马

cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用

regsvr32 scrrun.dll /u /s //删除

. f( }5 I4 k+ }基于shell.application组件的asp木马

cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用

+ |# d, X7 g5 P& j3 D: q/ U$ Mregsvr32 shell32.dll /u /s //删除
8 Z0 A' d1 s  r% V$ w
- q7 S. v' x4 ~6 y6 m5 C. M. N* n3.如何加密asp文件?

从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。

: ^4 i" o- @/ O' f安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
# K1 n9 \# V5 Z
运行screnc - l vbscript source.asp destination.asp
' U% N& `* m; j. p
生成包含密文ASP脚本的新文件destination.asp

用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
- V9 y- ?" n+ ~  Y
但无法加密中文。

( b2 t* Q( h2 C' s4.如何从IISLockdown中提取urlscan?
5 d4 ?  V2 q# B) |; m& S
" A5 O" u/ P& W2 c4 s' aiislockd.exe /q /c /t:c:\urlscan
8 ^9 u/ H; o! ~3 h- D4 x6 ]
5.如何防止Content-Location标头暴露了Web服务器的内部IP地址?

执行

cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True

最后需要重新启动iis
1 q) [( C1 I  w. t4 c
2 v' w! a6 H; p) e0 E0 a" l6.如何解决HTTP500内部错误?

iis http500内部错误大部分原因
3 B" K+ _$ \3 w" {4 r% A7 _$ b$ r
主要是由于iwam账号的密码不同步造成的。

  A. u0 B' d: d# S' s- T, Z我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。

$ e  m; c* _; C" U6 a( M8 q执行

cscript c:\inetpub\adminscripts\synciwam.vbs -v
) P. n$ |: n' O; \: l# H
' X- q1 }3 D  M5 k9 L; Q: i7.如何增强iis防御SYN Flood的能力?

( O) x# ^; `: X) w1 L6 rWindows Registry Editor Version 5.00
/ z% [: G. k. I1 h7 V# e5 c
: S& }3 Z5 r9 }% V5 T" p[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后
' P3 ]8 l0 K4 X) u: f  g8 v
安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值

5 e1 C# M+ t( l6 o设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
9 f0 T/ P" e5 D3 B
"SynAttackProtect"=dword:00000002
+ f. J4 {& o9 j& n4 k) d
同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态

的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
0 v! u* U6 C0 S8 n' ]5 f
"TcpMaxHalfOpen"=dword:00000064
) U4 a; O5 Q' X
判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。

) x$ @! a& o& t* J, b& P! m; F"TcpMaxHalfOpenRetried"=dword:00000050

设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。

项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。

微软站点安全推荐为2。

"TcpMaxConnectResponseRetransmissions"=dword:00000001

设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
5 l7 G& ]  b5 O- V. I/ ?
"TcpMaxDataRetransmissions"=dword:00000003

* F# d: m  \; h) d) P, q9 k# {- \设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。

"TCPMaxPortsExhausted"=dword:00000005
' Y) Y8 X# k8 r) i; @' g
禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的

源路由包，微软站点安全推荐为2。
4 o1 n% |) q, h  ^: W6 z) j2 ~
"DisableIPSourceRouting"=dword:0000002
; S, @- S. Z' m4 ^9 U
; G8 k& {$ F8 A2 P7 N7 h限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。

9 S, R5 d% F+ U0 {4 b, a$ T"TcpTimedWaitDelay"=dword:0000001e
3 Q" m1 f. o& N# T& B
/ \9 S- h, Y4 J9 F3 \# [8.如何避免*mdb文件被下载?

8 @. v/ R0 o: Q安装ms发布的urlscan工具，可以从根本上解决这个问题。

同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
$ S; e5 D9 ]* }+ y
1 F/ u1 Z3 {5 Z, t$ f; W9.如何让iis的最小ntfs权限运行?

9 \# {4 W' E# X) k9 p+ y依次做下面的工作:

& j0 y6 P. f- q( e- |3 Ba.选取整个硬盘:

ystem:完全控制

8 o/ X* v5 {# m  Q/ u" P9 dadministrator:完全控制
/ Y9 D$ |9 N5 G3 b& d  N
4 M8 K# x$ K7 B" o5 Q, ?& w(允许将来自父系的可继承性权限传播给对象)
- v, C) u7 v; ]- }  a  g
.\program files\common files:
5 ~; X* ~% M+ B2 `
everyone:读取及运行

列出文件目录
- f3 f' |+ \4 S
+ t* [  Q) o- D2 A7 v3 d读取
2 D9 s+ T* @( N2 N$ j6 m. L
(允许将来自父系的可继承性权限传播给对象)
8 f& Z: |* U# o6 Y  c/ u- O' j
c.\inetpub\wwwroot:
- ?  w6 N  G4 m- `5 u" D7 C
iusr_machine:读取及运行
9 o% C7 q. L% C8 y
- x) b* f' ~3 ?& a( ~* h8 ]列出文件目录

读取

(允许将来自父系的可继承性权限传播给对象)
2 X4 y% `! g" d+ s; s
e.\winnt\system32:
2 {& N4 ~( d2 Z6 ]& D, w
选择除inetsrv和centsrv以外的所有目录，
8 U: j- |2 d; l. [5 t
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
, r$ }' U# r- i
, D' C# D+ x7 c0 Ff.\winnt:
$ m5 s" T9 ~6 i$ K+ C1 X6 ^, S' N$ C
% P% k8 F* ?3 B  i6 U2 l选择除了downloaded program files、help、iis temporary compressed files、

# {$ B! |6 P7 |offline web pages、system32、tasks、temp、web以外的所有目录

去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

g.\winnt:
( p2 W, f/ u$ t; a$ P" M+ W
9 W/ g$ h7 g) v' {) w' A: Veveryone:读取及运行
/ E% Q) ?- X% K
3 q; O* x3 Q: U9 R- c列出文件目录
& y4 Z) S( \/ M" s
5 [  Y2 s* W( j0 R9 x) S读取(允许将来自父系的可继承性权限传播给对象)
  Q: K6 y0 ~8 ~8 h3 n6 P
h.\winnt\temp (允许访问数据库并显示在asp页面上)
; ^" z/ a$ s8 R% C. w
7 ?9 x1 |( C8 n; ?! \( [, R% aeveryone:修改

(允许将来自父系的可继承性权限传播给对象)

3 Y5 B. M8 z2 G10.如何隐藏iis版本?

一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息

) u9 W4 {+ g& N- ~: Z$ N9 Fiis存放IIS BANNER的所对应的dll文件如下:
$ ^9 p* n# `4 h! u* t" X, z
; c# R7 Z/ D- s9 r0 uWEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL
+ A) h  X4 n5 Z  R2 G/ {0 N+ j7 x
FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
/ `( S) w( P0 z7 x% m& \% E, T
1 d1 g: N  ?/ a4 F( Z- nSMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL
5 T9 \+ C1 x( q
. u3 Q1 s, y2 b" l- }. T# U) V你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0

具体过程如下:

1.停掉iis iisreset /stop
5 X& q- l/ L  C
: K8 |; S/ k- u/ C! R+ k, _2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件
1 O9 k/ q7 [/ @
# K" t5 ]6 g8 M, O, \7 V8 ?+ K, ~$ U3.修改