windows2003 Web服务器 IIS防范入侵常见问答

huanqiu

1.如何让asp脚本以system权限运行?
3 n% `& s, s( a1 N$ u2 J& y( o
! K& z; }/ T6 [' d) ?2 Y. J& V修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
! h3 B0 K! Q& }) z8 x5 W& j
2.如何防止asp木马?
4 J2 E7 G/ @* v& E' y( ?" Q) ^3 R0 r
" k( G; @1 I0 M2 A+ A) L基于FileSystemObject组件的asp木马
3 c8 k' g9 s: e8 c& ]
cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用

1 t# q5 z7 ]6 b5 c% xregsvr32 scrrun.dll /u /s //删除
- d' S: \7 \* C8 Q  n: x2 S
基于shell.application组件的asp木马

cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用
, U! ], S! e. u  Q: P- R2 Q
8 i' ~) [3 ^$ ], u+ Nregsvr32 shell32.dll /u /s //删除
# f6 Q# b$ X9 ^, G1 ?
3.如何加密asp文件?
+ S7 ]& C5 [% H$ d$ C# g
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。

) Q# \( \& g; r! D" w安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。

运行screnc - l vbscript source.asp destination.asp

生成包含密文ASP脚本的新文件destination.asp
0 d) J9 N. J( O  t
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
, C- o, C; L; u% A* P
但无法加密中文。

7 ^0 y# L8 Q( V- D" e* u1 L. i4.如何从IISLockdown中提取urlscan?

* j* L9 q$ P) n& c8 g! hiislockd.exe /q /c /t:c:\urlscan
% W. S( ~) I0 p9 H% m$ J/ O
0 M9 q, y* j5 n2 \" d, x5.如何防止Content-Location标头暴露了Web服务器的内部IP地址?

. E/ A1 {9 G9 Z$ k& m执行

6 v2 R' X  [7 d9 q: Icscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True
8 \2 c3 a5 b2 a
1 b# D- @5 s4 p最后需要重新启动iis
" U4 N! o, @! m2 X8 s* ]
1 I. D1 \8 K4 x/ Z6.如何解决HTTP500内部错误?

iis http500内部错误大部分原因
  O+ f- q  X: h, n2 f# l* F3 {1 X
主要是由于iwam账号的密码不同步造成的。
  d' s* B' I, H, [0 H
$ z, u: M* \$ ^' a/ I# i/ _我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
$ y2 b/ {- K1 y5 ~3 c
; ?& V* |2 Y: N% @( P! L3 `执行
0 a6 Q& W, _! v# J0 d
cscript c:\inetpub\adminscripts\synciwam.vbs -v

7.如何增强iis防御SYN Flood的能力?

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

( w& Q  Y. W0 o! ?4 Y启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后
, [2 l0 T5 I# y5 Z( w
安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
# K/ K- }9 x: i( Q1 ?% M, k) y! I
4 H/ S1 s( t! ?+ F8 \设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
3 \* R7 P% H8 g% I! ^! ?
"SynAttackProtect"=dword:00000002
3 b3 `% z) p1 {
; y3 V0 u( s3 Q$ D同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态

+ p8 {) u$ I  q+ X9 h' W' J" `: ]的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。

"TcpMaxHalfOpen"=dword:00000064
% s6 L: }: J% e3 u
判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。

  a7 Q  J: p3 }/ c- e( Z- s* B4 k"TcpMaxHalfOpenRetried"=dword:00000050

0 K# H6 N- c7 R! l: \, d6 X设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
* t3 v7 B# P9 Y; z6 G6 o
' |7 O3 P$ J/ S- a6 Z, V, G- A项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
! S; W- C& ?. A3 a) L- i' ~
微软站点安全推荐为2。

"TcpMaxConnectResponseRetransmissions"=dword:00000001

设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
3 I, y+ J) E; W. F' e5 ~0 m
! Y: m& x+ u% u( c0 ?, o"TcpMaxDataRetransmissions"=dword:00000003
! L3 b. h3 m' }' d, k
设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。

. |; F6 Z: V4 j# B"TCPMaxPortsExhausted"=dword:00000005
7 X0 T7 Y% d* e- K
. K$ x# ~, N% k# c+ G5 L" Y禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的

6 N8 z+ m% b# R3 x. F源路由包，微软站点安全推荐为2。
/ X- A8 b3 u: f, A( n
"DisableIPSourceRouting"=dword:0000002

限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
, w& ?- L0 x/ V
"TcpTimedWaitDelay"=dword:0000001e

9 s/ S. z" K, w5 M) F* F8.如何避免*mdb文件被下载?
7 l% {' P- g" f2 d, P
安装ms发布的urlscan工具，可以从根本上解决这个问题。

同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
$ N: u3 o& U( ?. K- `
9.如何让iis的最小ntfs权限运行?
/ a/ k' l8 ^9 z7 ?% }6 ]2 m. ?9 p, a
依次做下面的工作:

a.选取整个硬盘:

ystem:完全控制
% w/ M* L) j) r; {. g8 I6 `
administrator:完全控制

(允许将来自父系的可继承性权限传播给对象)

.\program files\common files:

7 |: }0 `. {8 severyone:读取及运行

列出文件目录

4 D  q! W( H  f读取
% c, p5 s: S- X( F$ p
(允许将来自父系的可继承性权限传播给对象)
; r4 i0 y3 s' A  G( A( [
c.\inetpub\wwwroot:

iusr_machine:读取及运行

列出文件目录
4 \8 H9 ^. G+ [
读取
8 D8 c( }/ h6 i, n4 y3 i
$ ?6 B4 A4 `$ b/ E) R2 A9 O4 Z(允许将来自父系的可继承性权限传播给对象)
. C5 x3 W4 t0 N" i3 d$ S, d
e.\winnt\system32:
% e" B9 Z, l/ w( k
9 p" ~: i; N+ c! m选择除inetsrv和centsrv以外的所有目录，

去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

: R5 G0 m# V, p) Q2 w4 C3 H* Lf.\winnt:

1 f; L* {$ @; K9 r/ U选择除了downloaded program files、help、iis temporary compressed files、
+ |& [$ d6 Q. v8 _& N  l5 B! k
offline web pages、system32、tasks、temp、web以外的所有目录

: T' q" b0 U' U" e/ W去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
8 q) D! _4 n+ Z2 B0 o
g.\winnt:
) X7 ]5 C1 q, N1 d( X. j
everyone:读取及运行

列出文件目录

读取(允许将来自父系的可继承性权限传播给对象)

h.\winnt\temp (允许访问数据库并显示在asp页面上)

everyone:修改
! n5 A5 R5 Z4 o4 ~% R
5 ~2 x8 m; U4 x2 W1 M(允许将来自父系的可继承性权限传播给对象)
) D- |0 S7 V& q5 n/ k# }2 {/ l
10.如何隐藏iis版本?
- m' e$ s# G3 ]( O7 U$ H# Z5 M4 s
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息

iis存放IIS BANNER的所对应的dll文件如下:
$ L4 M# n; ~1 ~; ~+ T6 R; I
) l/ i2 c/ J0 z5 T3 W/ zWEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL

FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL

SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL

你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0
, X" \, i1 I0 t" b5 V
具体过程如下:
2 }  X3 a+ w, J0 j- A8 D' m
$ p$ @: B' f, @5 \7 V! i% q7 Y1.停掉iis iisreset /stop

2 @& s5 Q" N- {$ c6 h  T2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件

3.修改