windows2003 Web服务器 IIS防范入侵常见问答

huanqiu

1.如何让asp脚本以system权限运行?
; g7 M) P- j/ `3 }6 k. |
7 t  Z5 x( B2 n; D" m1 D修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
! Z4 R- |! T5 h9 I+ s
2.如何防止asp木马?

基于FileSystemObject组件的asp木马

# P4 q7 C; @. }% F) P2 s; Xcacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用
6 N" t! d9 k6 N3 S4 i5 M) k8 ^
- q# T& r# E! l+ [. @. g, Jregsvr32 scrrun.dll /u /s //删除

# b2 K# u4 U. b基于shell.application组件的asp木马
6 O; ?1 {  @: l- z/ ]6 `( |
cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用

6 P% o+ f; [2 O  f1 v, T* n0 {8 Wregsvr32 shell32.dll /u /s //删除

9 H& K2 A8 b& U% B3.如何加密asp文件?
4 A6 |! e! @$ F: a
5 M$ s$ q0 X1 i) N3 h' p从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。

安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
$ _" j% a! N8 \" j! z
运行screnc - l vbscript source.asp destination.asp
1 q7 i: l7 V/ u1 T) a8 f% c
生成包含密文ASP脚本的新文件destination.asp

, c0 k$ |6 U8 P" w/ O" A# K用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了

但无法加密中文。

! y5 g! e5 J! S# p  V; f4.如何从IISLockdown中提取urlscan?
/ p; {& n& X( b" }  _$ r& [" W
- T- X: }; G1 z' f( riislockd.exe /q /c /t:c:\urlscan
% Y, n! ^- a! k7 ^5 x
. H9 N5 a  a7 \8 J5 L" D, n3 M5.如何防止Content-Location标头暴露了Web服务器的内部IP地址?

执行

& {/ K+ d; B3 d/ C: d1 N& ocscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True

: x* F( k+ V" L! B( F  S/ z最后需要重新启动iis
9 ~* G) u$ b0 `6 f( w! y: \6 S
: @* i" J3 ?2 O: @3 c/ D6.如何解决HTTP500内部错误?
* `4 v0 f* F" I/ T# i4 H1 m- e
, M7 J5 F5 Z4 K& O- w% @iis http500内部错误大部分原因
( L  ?* V0 c0 x9 U
& y& Q' C$ V3 e# b主要是由于iwam账号的密码不同步造成的。
7 T  u0 b, z& I/ ]& X& ]3 t+ ]
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
' q, @) d9 }* R* r
' _6 G) @2 x5 J执行
  I* y$ U4 n8 E
: J' m* c0 r8 bcscript c:\inetpub\adminscripts\synciwam.vbs -v
" e% M. @6 Z& r5 x# i
7.如何增强iis防御SYN Flood的能力?
/ \% R( r& U5 R  x
Windows Registry Editor Version 5.00

) y4 L* v; u" M8 D[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

9 c6 r& {3 t( U+ t- O9 C启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后

安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值

! o& h) s- z9 P5 v' d; ?设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
. s1 w  [* g5 p5 a2 R5 G4 _5 E, I
"SynAttackProtect"=dword:00000002
6 R& X9 t% p- L
同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态
* e/ R/ o* q4 [! S
的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
/ e$ k! q4 N6 Y# w
"TcpMaxHalfOpen"=dword:00000064
4 K$ ~; r: A4 q; h
% i6 o; d. z/ a% T1 k# C9 g判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。
+ @9 t$ j- `9 i# [4 D, s3 X5 ]4 o/ r
8 z7 |6 |5 ~- R& r2 W% m, y. R6 Y"TcpMaxHalfOpenRetried"=dword:00000050
9 t& Z" j% ~' a# b% E& F7 j
/ Z5 w: \- R5 ?& [! }+ ^设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。

) x: l( m# I% `' }# _3 |! Q6 l项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
9 D4 O2 C0 \" L! ~  I
0 o, V, j, a9 _5 ~- w微软站点安全推荐为2。

4 s. b1 l4 O* a* f"TcpMaxConnectResponseRetransmissions"=dword:00000001

3 r! D5 `2 @) ]( L* m5 a设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
' U+ C) U' u/ {4 L! o4 [' H
/ ~/ @8 S; v( M  w# h7 a"TcpMaxDataRetransmissions"=dword:00000003
2 I% G1 f, v. A6 F, j3 z
; G/ x6 i' j! L/ G6 L0 l* Y. l, t设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
" I% a2 o' z& X+ u
"TCPMaxPortsExhausted"=dword:00000005

8 d, A8 w" G7 a$ `禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的

源路由包，微软站点安全推荐为2。
( H4 [8 k  l7 M4 T% n7 @
"DisableIPSourceRouting"=dword:0000002
0 `; e) }  p0 a: u: K$ f7 I
限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。

5 b' i* d* r7 s# r& T7 O"TcpTimedWaitDelay"=dword:0000001e

1 X) U+ P4 e! A5 G3 z/ m8.如何避免*mdb文件被下载?
) d: v- O! b: P4 G; o
. T# K, H7 I4 q7 _$ J安装ms发布的urlscan工具，可以从根本上解决这个问题。
9 w: v) ?$ A; {
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
- r# v) Q: {5 @; f: d+ Q7 ]
, n/ s: `  L: z# X/ F9.如何让iis的最小ntfs权限运行?
+ r) n, B! k) J; j$ r! l
1 t# o/ S7 x2 q& O2 b2 t9 V依次做下面的工作:

a.选取整个硬盘:
- X& S% @' F4 d
  Z* J1 `' @( zystem:完全控制
/ k# C3 g0 m! i# n* H: x: q
7 q% ?/ ^, O( [$ ^administrator:完全控制
3 i" {1 ~+ I0 ?% B0 w' `
(允许将来自父系的可继承性权限传播给对象)

1 R* Z8 i/ t$ P" E4 w  b) f.\program files\common files:
2 _  L6 n# b8 ?( s, r" Y' @) p4 t& `
0 g) p# F! \$ Leveryone:读取及运行

列出文件目录

读取
1 s7 w$ |# `; {9 p6 U. x
(允许将来自父系的可继承性权限传播给对象)
6 Y. y4 D& p; |9 c
c.\inetpub\wwwroot:
6 x' Y5 k4 P- o2 z( x7 Y2 P$ X
' a: p9 C& b, D. U! f6 O% Miusr_machine:读取及运行

列出文件目录

读取

2 F& ~1 f# k( g% X1 E. F- U) s) O(允许将来自父系的可继承性权限传播给对象)
3 L& Q6 O: v: E% p4 R1 n& D
e.\winnt\system32:
: d) m0 W2 n. A
% W5 G# n* o* [, U/ x, _, `选择除inetsrv和centsrv以外的所有目录，

  _. e! x4 Z; U1 W去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

/ |( p; W2 I: g' U' K9 b4 Jf.\winnt:

选择除了downloaded program files、help、iis temporary compressed files、
( |4 U$ w0 s* w) b+ y5 s
/ h4 z6 \: P5 C: _offline web pages、system32、tasks、temp、web以外的所有目录

! c( A% }- }# x3 b3 l去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

4 ~, I: @2 n7 F% i# t. b: L7 rg.\winnt:

everyone:读取及运行
' a( o, L0 g# L. `! g3 Z- E
列出文件目录
: M+ R, h0 l$ u' y, X0 v1 B
1 o; i3 {2 S5 M/ g读取(允许将来自父系的可继承性权限传播给对象)
) [; b" ~( J+ Y! G( q; \# T
3 s5 g: S, p& G4 J3 n; ih.\winnt\temp (允许访问数据库并显示在asp页面上)

6 h" F8 t+ j. Z* s, d8 ~# Ceveryone:修改

0 O/ Q8 K; f# C- F8 _0 l(允许将来自父系的可继承性权限传播给对象)
& K. B7 B7 |9 s5 U$ h) p
10.如何隐藏iis版本?
; ?7 i% b# _3 |; ?7 X, I; Y6 H1 _* M
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息

iis存放IIS BANNER的所对应的dll文件如下:

4 j' b& b) ^/ A) Z5 X* H* |' WWEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL

FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
+ K. K! X( D2 e" [" Q# }
- v8 z/ J* j8 w4 N+ U2 u. d4 x/ ^& O/ xSMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL

你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0

5 V7 V$ |5 W: ]" _具体过程如下:
0 S" n7 X0 d9 k- `0 `$ f$ N3 t
1.停掉iis iisreset /stop
  `1 U6 p, g! `0 U
/ _4 k6 u9 B" \9 Z" p0 q" T2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件

8 X# Q6 A5 z; S$ }& q4 a$ ~. y3.修改