windows2003 Web服务器 IIS防范入侵常见问答

huanqiu

1.如何让asp脚本以system权限运行?
; e4 o  Y% {! u- R- N6 S' G
8 p. s- E3 T+ I/ f( P/ R6 L修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....

7 ^. @/ P. f4 _+ P* m2.如何防止asp木马?
% h8 z  Y9 J& F, ]
2 Q, ^6 W1 y+ J1 l( e基于FileSystemObject组件的asp木马
7 }7 T- K3 E4 @
cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用
: A6 X" P$ z/ r; y' T+ I2 ]9 V
regsvr32 scrrun.dll /u /s //删除
+ _5 b  C% ~* I' k  R0 v
8 D; E6 c% Y. U$ O9 ]基于shell.application组件的asp木马
& F. Q( F2 N2 b; b- l
cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用
! @* O4 ]: A' K: z; Z0 f
regsvr32 shell32.dll /u /s //删除
/ F! F4 j2 O* U$ |! y
' n; z+ ~% r  T* U. h3.如何加密asp文件?
2 V7 b' d8 ~' b; B0 \* S
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
+ ^1 W  z) Z& h
安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
: D+ R$ |9 c( ~$ R  c4 d6 s
运行screnc - l vbscript source.asp destination.asp
" E7 E% C: N0 |- a0 D2 p  a3 k( r
) a8 j; R  P' A( b8 F生成包含密文ASP脚本的新文件destination.asp
2 W; g2 z# {' }3 h) f- W! g2 X
# K2 B' ?' }( U% X" ?5 U用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了

& F0 `. m" x4 g/ W6 G! U3 b9 C但无法加密中文。
5 p: _# }" m9 j  D9 D! W
' D  a7 ]! q6 R( M$ l4.如何从IISLockdown中提取urlscan?

iislockd.exe /q /c /t:c:\urlscan

5.如何防止Content-Location标头暴露了Web服务器的内部IP地址?

执行

cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True

# e% ~3 n/ _0 ~3 R# Y9 j最后需要重新启动iis
2 w4 P  K4 w" t; \7 ~. J! x5 p
6 e  k- F  s) Y% w6.如何解决HTTP500内部错误?

6 K- F9 c& \  ~- T3 xiis http500内部错误大部分原因
$ T8 }: R1 Z8 Z' U+ e+ q( n
主要是由于iwam账号的密码不同步造成的。

我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。

执行
) R3 j. O. G! l* Y* F( c
cscript c:\inetpub\adminscripts\synciwam.vbs -v
" U7 W7 o% i7 }
7.如何增强iis防御SYN Flood的能力?
4 t* W5 @6 o  k
$ t* W: f( Y& u6 Z8 f: V, XWindows Registry Editor Version 5.00
% U' j4 D* a8 ^* }
. Q- F9 l% H+ r4 H, k/ m[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
% A. Y) t7 x7 {6 z7 A3 K
启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后

安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
5 n$ t* M4 p/ `. C
7 |5 B5 _) h4 S4 N: Q( ^7 L设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
. B: t, D( o6 g5 _1 p
! W! g6 J. E+ o0 f9 y+ v* Y" U"SynAttackProtect"=dword:00000002

) y# i8 A2 C5 Z( f, E! s) l' \8 ~同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态

的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。

"TcpMaxHalfOpen"=dword:00000064

( ?7 i2 M) c% x( l7 z判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。
1 P% a. d0 e" }
"TcpMaxHalfOpenRetried"=dword:00000050

设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
; m! R' z: t( `6 O+ O0 @' a
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。

/ S# t" z1 N" j  R1 N微软站点安全推荐为2。
5 O2 k+ f2 n: v$ {3 t
3 }: D( M5 X' G9 p/ ^+ ~, n/ p"TcpMaxConnectResponseRetransmissions"=dword:00000001

设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。

"TcpMaxDataRetransmissions"=dword:00000003

4 h2 l' a1 t* c" H1 {设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。

: p7 G4 I# M+ `1 B' u; m0 \"TCPMaxPortsExhausted"=dword:00000005
- U0 v  f3 o! B2 y5 W3 J6 l
- s- n. H3 I( n) q7 h" h* l禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的

; Z4 ]4 o0 N/ M  V$ M8 B源路由包，微软站点安全推荐为2。
4 y6 X' ^& f4 s4 e/ Z2 k
( |; \2 N0 O0 _- K4 m- H"DisableIPSourceRouting"=dword:0000002

限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。

5 `( c! M' `4 m' k; M) k! G"TcpTimedWaitDelay"=dword:0000001e

8.如何避免*mdb文件被下载?
. y9 f  ~, s8 [: c
/ m4 g1 \5 o/ E9 r# d! q0 K7 b  p安装ms发布的urlscan工具，可以从根本上解决这个问题。

同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。

9.如何让iis的最小ntfs权限运行?
3 T6 s4 T) i8 A; }# y( R) h0 B
依次做下面的工作:
8 X& n4 f! H+ c8 ^3 \
+ \7 t) I0 A* m. ^% w7 N) aa.选取整个硬盘:
8 p2 T5 P4 D' S  s
) s2 i" \& u; y3 Y2 C: Lystem:完全控制

administrator:完全控制
) |; Y% T9 l+ ]/ a
(允许将来自父系的可继承性权限传播给对象)
4 r# p  j7 v: {/ _
.\program files\common files:
  {. _; V9 M& U; K# ~. s
everyone:读取及运行
" M; j; h6 A# e
列出文件目录
# e4 q4 a6 U9 n% P
$ V  X+ m! p( k" \读取
6 ]) O, B1 }9 |+ R' G8 m+ e
(允许将来自父系的可继承性权限传播给对象)

$ `+ k* d! _' ?c.\inetpub\wwwroot:
' C3 B2 `: Q3 {6 @5 Z5 N
iusr_machine:读取及运行
) o. s9 P4 h5 @7 P9 B
, S; [4 G& z6 W' F- N列出文件目录

读取
1 @# l% G) d/ @: L. F. e2 q
5 Y1 d1 ]7 m" Y' Y(允许将来自父系的可继承性权限传播给对象)
9 p4 ~: ]. a! |
e.\winnt\system32:

选择除inetsrv和centsrv以外的所有目录，

去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

7 `) C% T# g. {& z! F$ e, ]8 uf.\winnt:
  x$ |. X1 C2 m" Z4 ]4 p% Q9 U
. A# R3 Z& s7 q- ^# v' z选择除了downloaded program files、help、iis temporary compressed files、

offline web pages、system32、tasks、temp、web以外的所有目录
. y  ?  e" O8 w/ V1 Y
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
6 I$ ]- p  }  I7 |7 G
+ J$ p# H6 W) C' G1 |* Gg.\winnt:

  a8 ]8 V5 q' D! I1 j- s# V( v0 Peveryone:读取及运行
$ M0 o: H) U4 R! p; S. ~% l- b
( `' _: V# s( E  P列出文件目录
$ Q! K- i9 q6 ], g5 v
读取(允许将来自父系的可继承性权限传播给对象)

9 K: Z' j, R7 G1 }( {9 F- uh.\winnt\temp (允许访问数据库并显示在asp页面上)

5 S& G; @* o: c% |9 V; Qeveryone:修改

(允许将来自父系的可继承性权限传播给对象)
( R7 d- g) u, E" h0 T
- z7 o8 x# o: [! S3 _; t10.如何隐藏iis版本?

一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息

iis存放IIS BANNER的所对应的dll文件如下:
/ e/ M, e/ u% ]- ^& F: s
0 c7 C: Z5 z8 Z* W, Q+ q; ~* W: VWEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL

7 o- g) o* ?. p0 g/ }FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
* F0 B2 O3 ~* M- u! i& Q
" L% A" g* V' B/ B" }/ gSMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL
. c/ e7 _2 k8 N4 h8 u% _$ \% V# E
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0

9 A& O5 J6 u% g; K具体过程如下:

& o1 S2 D8 y8 f1.停掉iis iisreset /stop

' l* f" F" z, ]3 S2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件
( [$ v& _4 `1 y4 _& A0 `
  W" ^+ X& X1 r7 A6 h7 o! V( @3.修改