windows2003 Web服务器 IIS防范入侵常见问答

huanqiu

1.如何让asp脚本以system权限运行?

! Y; R& {5 |5 I) h8 c) e修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....

2.如何防止asp木马?

基于FileSystemObject组件的asp木马

, m1 y; i  Y  ucacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用
- f2 r6 |) q4 z4 F+ u8 g1 b7 M
0 p" P( _; s6 e; ^* k+ tregsvr32 scrrun.dll /u /s //删除

" T; h9 X* M1 y% M2 u& _; ]基于shell.application组件的asp木马
, S; r( i4 z5 \2 P
) j# X4 \/ p, o5 D9 Mcacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用
& f1 p/ Q1 ]8 q& R2 j% u
regsvr32 shell32.dll /u /s //删除

3.如何加密asp文件?

从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
* x; ?2 x# ]. p1 f
+ }0 O2 Q3 J1 W& r6 y4 T2 O安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
* x+ q, a/ M2 B; H* ~
运行screnc - l vbscript source.asp destination.asp

' j' \2 T5 H) R( o8 \生成包含密文ASP脚本的新文件destination.asp

用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了

但无法加密中文。
& r1 a5 X& A5 Y; D- Z
! |- U; j7 ^5 G  d" ]  P) B: A7 i" {4.如何从IISLockdown中提取urlscan?
7 T' e# H' h' y/ V4 D
) j- y  q, J  X2 H6 r7 Z$ v% e" c1 Liislockd.exe /q /c /t:c:\urlscan

1 T9 {9 |( |) v, U+ ^4 j' U3 \! n+ {5.如何防止Content-Location标头暴露了Web服务器的内部IP地址?

执行
' q, O: w, x' R5 P0 ]3 G
/ m/ n' J8 L# scscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True

最后需要重新启动iis
- d  p) W1 L8 U8 `
5 K, S  s; u# k% @6.如何解决HTTP500内部错误?
. B) {0 j; p3 R2 G0 k0 {( r
. q5 U7 B. i( @& y- F/ Diis http500内部错误大部分原因
, z" j" M7 L, ?8 x$ k* H' x2 w
8 y+ F3 M, s  G  ^2 }3 H# B" D2 V主要是由于iwam账号的密码不同步造成的。
0 c6 \( V* a7 }( U
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。

2 g9 C( K! q( x  t* V( C+ T) s执行
* N8 x# ~7 h& T6 S. M9 q
cscript c:\inetpub\adminscripts\synciwam.vbs -v

7.如何增强iis防御SYN Flood的能力?

Windows Registry Editor Version 5.00
$ M, h$ ]$ [" \2 a* i8 W
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

0 E+ Z( r9 s  h% o- U启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后
! f( P+ E; r: L; r
( v- B/ j7 M( g2 P7 a安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
+ N/ ~9 i$ ^- ?3 Y: @( U
设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。

"SynAttackProtect"=dword:00000002
5 [; z* S  i% O6 g2 L! s' L( Y, N
* g' l  H, P/ i同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态

' Q- z4 {! y) h7 }9 [的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
- p) U0 ?9 y6 K% n) Y- }
"TcpMaxHalfOpen"=dword:00000064

9 k$ V  q" X2 p5 G1 P判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。
+ {( j1 U- O9 H' s+ J5 g  d- ^7 K
$ _9 d. r7 d# X"TcpMaxHalfOpenRetried"=dword:00000050

3 v8 }9 ^, N- a3 |2 Y# B- J设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。

项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
/ D0 G9 y; H- c, |* P  V
微软站点安全推荐为2。

% G! G: R2 F( c& Y) f: ]"TcpMaxConnectResponseRetransmissions"=dword:00000001

设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
1 K# J. k4 j" v; |+ e" m
6 C2 p0 s* n& i. N"TcpMaxDataRetransmissions"=dword:00000003

0 U5 S+ r/ ~& w# S( V; K3 H4 U设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。

: @6 s. u1 O, G6 E"TCPMaxPortsExhausted"=dword:00000005

禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的
4 N0 V# U0 A9 G  a
源路由包，微软站点安全推荐为2。
0 Q1 }. I3 o" o6 f  J
"DisableIPSourceRouting"=dword:0000002

限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。

+ I# q, w3 b" I4 V! p, v  p7 W9 E% a"TcpTimedWaitDelay"=dword:0000001e

8.如何避免*mdb文件被下载?
, y$ {, W* |0 _9 c* L+ e* }
安装ms发布的urlscan工具，可以从根本上解决这个问题。
# U; e* l; v5 p6 Q  r8 r1 y. }# l5 M
$ z' m: _* N% f同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。

) q( E) z* N; S  D( @' O9.如何让iis的最小ntfs权限运行?
5 @5 m8 j3 i( Y5 M6 m6 C% \
% k8 O% S5 I1 E. b$ _3 Z1 j; R依次做下面的工作:

a.选取整个硬盘:

ystem:完全控制
% r2 C. S3 T6 B2 C) C( v- b  C
administrator:完全控制

* j0 ~/ L1 W" w3 o9 Q9 z(允许将来自父系的可继承性权限传播给对象)
8 F+ ~  b, }9 L' w
.\program files\common files:

5 @4 E% m) e4 m% Meveryone:读取及运行

- b$ Z% q* l$ l0 k: I列出文件目录
8 C7 I+ a& u5 p
读取
' b; m9 Q: R" W4 ~% p3 h
, ^+ A4 v" G4 P$ i' C(允许将来自父系的可继承性权限传播给对象)

3 X# J8 U' m6 n# U% r& ^- l# q( i7 cc.\inetpub\wwwroot:

& y1 a( {# E4 b3 F  w# I- siusr_machine:读取及运行
; A6 _/ c' {0 F
列出文件目录

* f; g7 v: l# I+ v  ~读取
# J, O9 a5 I  H, J+ f' K
(允许将来自父系的可继承性权限传播给对象)
1 c% J/ l( o5 p0 ]+ e- v
; F( K* V0 S6 H* N% s7 Te.\winnt\system32:

$ }4 ?( @  L2 L; A- I$ R  V; H! b* l选择除inetsrv和centsrv以外的所有目录，
  g+ u9 t  D% b( R# E# K
/ a6 M8 \  V2 \1 ^5 U) r去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

f.\winnt:
6 U( n6 Q  ]! U
选择除了downloaded program files、help、iis temporary compressed files、

offline web pages、system32、tasks、temp、web以外的所有目录
0 b, r6 Z) j3 {5 [% A$ ~
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
0 W! _! b; G* w( I
g.\winnt:

2 a3 k8 u2 R7 u, \everyone:读取及运行
2 Y( T% z2 f8 L0 J' u( @
5 J1 E4 x( u" x列出文件目录
. ?& l+ x) O0 q
读取(允许将来自父系的可继承性权限传播给对象)
2 S: A9 y) f0 g( u, v
  y6 o! G" W# G% ?+ x" bh.\winnt\temp (允许访问数据库并显示在asp页面上)

1 F# l' s9 y# [0 n+ |, @everyone:修改

3 U  d7 K7 w6 p4 Z$ ]" k(允许将来自父系的可继承性权限传播给对象)

10.如何隐藏iis版本?

8 U7 G2 S' C* T6 [* I$ b" ?一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
( h) U# \" v1 A0 d/ k- }9 W
. b- M* e# O$ q) \# B" k, r' jiis存放IIS BANNER的所对应的dll文件如下:
" |8 L6 }0 y4 H$ j9 c
& I% A$ b* k$ a( `WEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL

FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL

6 E6 l8 ~1 W  mSMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL

你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0
& I& y3 S" W0 s3 S9 i% `% C4 [1 @
) H& d' J* D4 t6 ~具体过程如下:

1.停掉iis iisreset /stop
  D8 E4 U: B3 A2 V! O
2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件

6 U8 k+ [& ^2 A) x! o3.修改