windows2003 Web服务器 IIS防范入侵常见问答

huanqiu

1.如何让asp脚本以system权限运行?

修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....

2.如何防止asp木马?

基于FileSystemObject组件的asp木马
+ Z2 r/ h3 u2 e
cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用
4 }8 y2 R, Z" W3 L
regsvr32 scrrun.dll /u /s //删除

基于shell.application组件的asp木马
* K  B$ \5 i; a, N7 C+ H8 j# y% F
; \' I9 m6 V; s  acacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用

5 L3 W$ x% e& m  f4 a5 m+ Qregsvr32 shell32.dll /u /s //删除
" m6 q; S/ f4 j# n; z/ _) {
3.如何加密asp文件?

5 T8 i0 E) q6 U) O3 l* F7 V) U! G从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。

8 o/ Y2 a. g! h% Q安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
5 R0 w  Z* S* R% G4 L) I( w# s
$ G* i4 [6 f7 ?3 |/ }" g运行screnc - l vbscript source.asp destination.asp
: A& Q0 n+ A  O$ `* l4 H3 e
2 k/ z$ ~9 _+ u生成包含密文ASP脚本的新文件destination.asp
4 `6 L# m" O2 f5 z6 A
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了

$ e/ ~" |" ]4 q! Y但无法加密中文。
# Z* m+ p& i! {$ ?6 a7 [$ m& T
4.如何从IISLockdown中提取urlscan?
1 u% {" [$ p# |) Z; ^; N
iislockd.exe /q /c /t:c:\urlscan
$ z( i% `9 d- y& G  S# G0 Y
! b- p+ {2 H" X: |5.如何防止Content-Location标头暴露了Web服务器的内部IP地址?
5 F) m9 o( A8 U+ n/ z) j+ R
9 M! i$ p' Y4 i# D5 e0 y! N执行

1 U8 Y9 {% I6 L. B! \+ m/ z/ `cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True
$ n9 p# O' D8 U% \4 r3 B* S( @# h
- t. h* m& M& x: C+ Y2 ]" R最后需要重新启动iis
2 \+ Q% r7 P9 @2 o/ x
6.如何解决HTTP500内部错误?

8 m# |- J: M3 I6 m9 |2 B4 Hiis http500内部错误大部分原因
. J- c& o+ i  |5 M. C! J" d
& m( C0 y6 b7 B, o# m: }主要是由于iwam账号的密码不同步造成的。
- {8 D. \: q! j' n) `. d' f
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
- z8 _/ f6 _8 j, f
执行

; b7 {$ T4 t( s1 O, c' ~4 Xcscript c:\inetpub\adminscripts\synciwam.vbs -v
! v# U! d5 S  B% E
7.如何增强iis防御SYN Flood的能力?

Windows Registry Editor Version 5.00

  z5 t8 q8 A; ^[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

: q/ x) T5 O+ D  k启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后
4 p$ R4 g) e- D
8 a; Y7 P! m0 V6 R  [) n安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
0 R( E3 h$ r3 I
9 A/ z6 C/ {1 a: L/ {  Y9 \: C8 j设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。

"SynAttackProtect"=dword:00000002

3 X% K; _% F) m0 O6 K# x同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态

8 b3 w# C2 T3 @+ p( _的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。

"TcpMaxHalfOpen"=dword:00000064

+ ^# f3 t' h  o: x3 Q% _判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。
. d0 e7 S! B) ]+ A2 f8 q- j4 i
1 m9 Y" x# ]* P' M# Y+ n( Q; w"TcpMaxHalfOpenRetried"=dword:00000050
7 T' T8 C( B. @8 L
设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。

/ N" S7 q' ?2 }4 O  ]) c, Y- m项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
0 s) p6 o1 M- v: F3 {
微软站点安全推荐为2。

  H, e1 O+ f, o3 w7 a/ v4 o4 m"TcpMaxConnectResponseRetransmissions"=dword:00000001
! v. q( A% n& {9 h
设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
. t5 Q$ L" y( d# |; T
7 i" z% \! Z  I; Z* O; |7 |"TcpMaxDataRetransmissions"=dword:00000003

) L7 t4 r3 y1 ~1 V' b8 T设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
7 R, a" q# s1 I1 t) J
) Z" L  D5 x3 _( I" X"TCPMaxPortsExhausted"=dword:00000005

3 Z' v/ N7 S3 L! O禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的
& f' k/ Z. {3 ?
源路由包，微软站点安全推荐为2。

"DisableIPSourceRouting"=dword:0000002

限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。

"TcpTimedWaitDelay"=dword:0000001e

% p+ T6 I: b$ I. C3 V2 I$ `8.如何避免*mdb文件被下载?

安装ms发布的urlscan工具，可以从根本上解决这个问题。
1 s/ u. [  @+ `2 s5 B
8 h" }: [! Q7 S同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。

  v/ U2 {# O) Q0 r) l9.如何让iis的最小ntfs权限运行?

* `- g) E4 K/ w5 ?依次做下面的工作:
: T/ O, Y2 G) O9 _9 J; ?) m
a.选取整个硬盘:
" _0 L8 {& e( q6 t; }/ Z
# ~/ J; q) I8 L- Nystem:完全控制
% ?6 @1 k$ s9 F
  ]: Z/ h' R0 Q0 Hadministrator:完全控制

(允许将来自父系的可继承性权限传播给对象)
6 O  `. u: S2 G! ^/ H, ^/ N# a
7 U! R/ F. A$ e# U.\program files\common files:

everyone:读取及运行
% ~1 U) D5 s1 o  ?5 @
7 b/ d6 x% u% X; l9 Z列出文件目录
/ P/ b" k% y- v+ J9 h
读取
# H' E8 ^5 B5 w0 n& W9 x# m
(允许将来自父系的可继承性权限传播给对象)
. |# i& i7 \- A; u) S3 L# w# U+ s) q
! m+ i* e6 |8 c% {7 P/ d8 W- Ic.\inetpub\wwwroot:

iusr_machine:读取及运行
& m1 E2 J8 R- {" z. U
( o3 D# F. ?2 W8 e/ R! m' ~列出文件目录
) w6 z  m# V: a7 z+ S% J9 s- W# t
4 ?! R) ?4 o. U. _6 |+ K; @( u读取

2 ~. x( Y9 ]$ y' I3 `* _' W0 [& T(允许将来自父系的可继承性权限传播给对象)
2 J2 @2 Z2 L: k: d4 [# S
  Y9 w( h1 L3 g8 N  ye.\winnt\system32:
( [; N; M+ P# h' v7 c
选择除inetsrv和centsrv以外的所有目录，

去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
4 O; ^* t% |% U* k6 M3 w
f.\winnt:
% O: w" [  g1 _3 ~- S
+ e- ?; X- o4 ?% e选择除了downloaded program files、help、iis temporary compressed files、
( o8 @6 i. L8 j- r9 s1 E
0 f5 F5 R" k, T  \offline web pages、system32、tasks、temp、web以外的所有目录
! y# |; w$ v$ w/ k3 q
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

g.\winnt:

) a. t9 `' s* o- |( Neveryone:读取及运行
& Q9 j9 [. E1 p+ g' ^
列出文件目录
2 {* c* _1 l5 o. S: I! F
读取(允许将来自父系的可继承性权限传播给对象)
% y- \% p- P. p$ h, T$ n0 t
, c: r# P& r& Oh.\winnt\temp (允许访问数据库并显示在asp页面上)

everyone:修改

, T+ t( c) v: z& q7 s4 D(允许将来自父系的可继承性权限传播给对象)
7 V2 E4 X3 x/ `; w- M
10.如何隐藏iis版本?

- H3 Q( O* b7 H6 Z8 s一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息

iis存放IIS BANNER的所对应的dll文件如下:
8 F7 M) \9 I' Y2 M
WEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL
) W# f2 ~4 K3 o/ r. U( [
FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
: ~' _' u8 x( Q+ H
8 A; V0 A. i9 i+ h9 \6 LSMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL

你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0

具体过程如下:

$ h3 {0 ?4 O$ S# d' c1.停掉iis iisreset /stop
1 T5 q2 Y4 ]/ i8 G
2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件

2 O3 e1 ]' `# @9 D2 Z6 S. Y8 {3.修改