windows2003 Web服务器 IIS防范入侵常见问答

huanqiu

1.如何让asp脚本以system权限运行?

3 M4 @% E  @5 m6 s% e修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
! ~2 Q* {0 r, @- C( _+ A
6 ^4 q0 X! e/ S8 W! @  h2.如何防止asp木马?

基于FileSystemObject组件的asp木马
8 g, C# o( M) E
cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用
9 Y5 `5 K9 P$ E; t* d2 g) @
regsvr32 scrrun.dll /u /s //删除
) K( G& r% w" _1 {- y( I8 s
基于shell.application组件的asp木马
. i6 V8 G! u7 N4 E
' E8 }6 L9 b! B2 P0 ?cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用
) r" z5 T, P9 v5 n0 Y1 ?. l
regsvr32 shell32.dll /u /s //删除
0 Q4 k4 g% E( D3 u  }' L
3.如何加密asp文件?

- ]3 Y+ ?8 M9 [, d! q8 e6 Y! ^从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。

8 Q  b: N5 b+ V; l6 w4 s安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。

& N5 @6 o# C/ K5 S) @运行screnc - l vbscript source.asp destination.asp
  f# T5 e9 K$ _7 A
生成包含密文ASP脚本的新文件destination.asp

用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了

# V) d# v: h  B5 I; u3 u但无法加密中文。
) M1 b# X$ _; c( Y# ]1 U
: n: w6 m; B! Q7 j6 _4.如何从IISLockdown中提取urlscan?
+ E" t2 A' H+ ~
iislockd.exe /q /c /t:c:\urlscan

9 _6 e7 x- N. {: g9 L& T. p9 R5.如何防止Content-Location标头暴露了Web服务器的内部IP地址?
. K& K# y+ K- S6 g2 c8 S+ b
执行
6 ]8 [2 n/ t% B/ D/ a9 i9 {
cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True

4 n$ d( i2 p+ r6 d6 ^. i8 F/ w0 x最后需要重新启动iis

; v  l* @8 M8 y5 R/ w, f$ `6.如何解决HTTP500内部错误?
7 c2 p" V4 \8 ~. x2 l1 M7 x
iis http500内部错误大部分原因

) k% x9 D) }6 a- {( V% o4 W8 S主要是由于iwam账号的密码不同步造成的。
4 \1 _5 y# v( d1 |- ~8 J- H! M' E* T
5 W( P6 T, w: g我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。

# a7 T: r( S  ^执行

cscript c:\inetpub\adminscripts\synciwam.vbs -v
( b" I  M0 r' O
( ^8 O+ g0 |5 f: `, S; }7.如何增强iis防御SYN Flood的能力?

Windows Registry Editor Version 5.00
6 {+ w+ ?! u& v# s
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后

安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值

设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
2 h- r1 o/ P* O& U
"SynAttackProtect"=dword:00000002
2 b  G$ _: m8 d: h7 w& k
同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态
4 T# |* c4 |  Q$ |1 x
的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
  _$ `- \5 O$ w8 L5 Q2 z% p: x
"TcpMaxHalfOpen"=dword:00000064
/ _; Q. M" Y( ?! M% x
2 r1 g% C4 }: a( r: E0 A& e, {; t判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。
* t- D) ?- c; D, I* [4 Y( Q
"TcpMaxHalfOpenRetried"=dword:00000050
1 f1 X. p( ^. O. Y$ ^) x- B
. q7 S0 `* H  n' Q+ \: t设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。

项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。

微软站点安全推荐为2。

"TcpMaxConnectResponseRetransmissions"=dword:00000001
6 h; R4 \4 p( C7 l) `  y$ \- e9 W
设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。

* ^3 i1 j, v9 Z+ I, E6 ?8 ?"TcpMaxDataRetransmissions"=dword:00000003
0 n6 V! a- H( i% S' g# z& K) x/ Q
& {  y7 ?) e& Q' `! v设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。

% \$ v- T/ q! `"TCPMaxPortsExhausted"=dword:00000005
/ n8 [5 R) @7 U; |' v
& J  T% Z$ L7 n3 S禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的
: c) J$ Q% Y' P8 s, O5 _, B& j
* G1 l0 {7 d% N" r源路由包，微软站点安全推荐为2。

"DisableIPSourceRouting"=dword:0000002

/ o5 T( _$ t6 t6 q" n* `7 I; ^+ k; r限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。

- L/ d  v3 M& e2 y"TcpTimedWaitDelay"=dword:0000001e

" ?- G7 \$ ]: W: U* R2 O. g$ c- B8.如何避免*mdb文件被下载?

: \" l! b4 r. S; U8 n安装ms发布的urlscan工具，可以从根本上解决这个问题。
& e* i9 k6 d0 u% h5 |: o3 U2 ]
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。

2 N  D# B3 b# U) e( `. ^- X/ g' Z8 ~9.如何让iis的最小ntfs权限运行?

依次做下面的工作:
. x! M2 _6 I( i# `9 O
: g- j2 ?0 E! e( Z$ p% sa.选取整个硬盘:
& N& H( e7 ]2 s  ~
! Y. l3 ^) t( C5 @5 R3 f- r4 lystem:完全控制
" D2 T0 g1 ]  [9 t3 u  o- N
administrator:完全控制
; n9 o5 W" c& n& v+ T6 w* L# s
3 _( i3 R0 k5 B(允许将来自父系的可继承性权限传播给对象)

& P/ r0 Y4 S% H9 a2 h6 {% f& k.\program files\common files:
8 ]; Y, [! E, n
everyone:读取及运行
6 t1 ~/ Q& C3 F! ?4 u# |* _% y
列出文件目录
1 b: _# U% a; _7 [( q* U
2 m( d4 Y# O4 Z( [5 }读取
8 s! t4 B+ Y7 T/ W4 V- L. G' n
(允许将来自父系的可继承性权限传播给对象)

9 t& i3 V3 Q! H9 j; Vc.\inetpub\wwwroot:
& c) m6 x  d$ I
" h1 r6 }+ i2 ]* r8 h& {4 `4 tiusr_machine:读取及运行
( x: l7 T7 s1 A- V
列出文件目录
" {& X: h9 l% P) t
读取
) c. N5 [$ A6 Y, f! g3 R0 ]
) S9 [+ o2 T7 P% H$ Z(允许将来自父系的可继承性权限传播给对象)

  I' ~% j$ \. h! W, w$ Ce.\winnt\system32:
# v4 P/ x' ^' k! j- \0 Z4 ?# a; l
选择除inetsrv和centsrv以外的所有目录，

去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
" b! ]9 `+ w' ?; F
3 u; v& Z* F0 m! |3 f2 Nf.\winnt:

选择除了downloaded program files、help、iis temporary compressed files、

7 k" h+ }8 O2 @1 u, ]/ foffline web pages、system32、tasks、temp、web以外的所有目录

去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
8 |, u, ~4 \$ h: B: N; [" ~" b
g.\winnt:

everyone:读取及运行
1 a0 J" c* F* v: t, o$ T! @1 K8 [
$ r% G5 M1 A# N9 E) a: Y列出文件目录
: o6 J& l! n& n; u  s
% H# ^  O6 [5 m5 r9 L读取(允许将来自父系的可继承性权限传播给对象)
# x3 J0 n) K, C  \/ ^
h.\winnt\temp (允许访问数据库并显示在asp页面上)

everyone:修改
. U& Z3 H* V# |+ ]0 I2 a- z
(允许将来自父系的可继承性权限传播给对象)
# m7 R& @1 Z2 J/ L% y$ M- D
( I& g6 a2 e6 A% d' m, S5 N- V10.如何隐藏iis版本?

一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
, \. f" R: D% o8 ]) }+ `
( b& q' D# `( J  @- W5 {! uiis存放IIS BANNER的所对应的dll文件如下:

WEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL
8 \: n+ e: d" r' E$ Z# z
  t. Q7 R% d* ]! _FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
) e; p1 G! A; P$ B. m
SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL
* _7 ~. k9 _: \$ O2 c
$ _8 y+ e5 `% P9 P4 F你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0

! F; N. y- O( m. g. ^7 t. c, @  l* k6 P, }具体过程如下:
1 o' y5 k$ |0 V% q+ ]) m- w
1.停掉iis iisreset /stop

( R+ ~* \# q' p% x2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件

3.修改