|
一位高手整理的IIS FAQ ( B" z- A5 ^) k. Z! c& }1 h. u
下面是一位高手整理的问题精华，大家好好看看吧，收获肯定很大的! 9 z$ u8 K- j) t2 e: u% S! c6 I/ c
1.如何让asp脚本以system权限运行 " R" O6 G" f Z
修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低".... ; Q* A E; X! x9 Z8 u5 G* H$ a$ Y
2.如何防止asp木马
' v) H7 i5 d) P0 s3 h5 N$ n 基于FileSystemObject组件的asp木马
cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用
3 d0 c3 H4 s# v8 v- F# _ regsvr32 scrrun.dll /u /s //删除 " G$ D2 O" r" Q: u7 p7 z: o2 x
基于shell.application组件的asp木马 + \' ?7 v" V* N S) f$ x% h9 o
cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用
) G! \1 `+ g, ^1 q# m regsvr32 shell32.dll /u /s //删除 6 @: V" O& Q* Y! d4 `5 ~+ x9 ~
3.如何加密asp文件 2 S$ k1 f; C% e7 u
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
2 L9 G( l: V: \: @( d- Z. p 安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
6 ^$ t+ i& Y* h% B3 t$ N6 F 运行screnc - l vbscript source.asp destination.asp
) w. t1 M4 u B6 X7 _ 生成包含密文ASP脚本的新文件destination.asp
& _5 w9 d- G _% r! k s7 h 用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了 9 M7 {* X- {6 X3 l
但无法加密中文。
, K, l: i- {+ ^( G4.如何从IISLockdown中提取urlscan
# d/ a1 w7 j& |, P iislockd.exe /q /c /t:c:\urlscan
% @" j# L- G- Y0 S5.如何防止Content-Location标头暴露了web服务器的内部IP地址
5 j, C g2 e9 w3 Q3 J 执行 6 w, U! z9 A2 v" ?4 ]
cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True
: y! c0 R. d- o2 |7 s 最后需要重新启动iis ! R! n0 Y1 R- d2 {% `0 ?, r$ p
6.如何解决HTTP500内部错误
. z6 X2 ?" M: x' m. h/ u* y iis http500内部错误大部分原因
d/ d3 ^# f" z( K3 k- T 主要是由于iwam账号的密码不同步造成的。 9 t3 P' }& c; i I
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
/ y+ Z2 U3 c7 o1 `% w- B% V 执行
$ n- ^& P& X, L: e cscript c:\inetpub\adminscripts\synciwam.vbs -v
) U9 B# @' t2 ]0 g+ I; v7.如何增强iis防御SYN Flood的能力 7 ~/ Y' u9 }3 n9 o2 @9 ^, j
Windows Registry Editor Version 5.00 5 f5 D6 T9 D. B* }
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
9 S" |5 T) Y' n2 R! ?% M 启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 . g' p- O5 b: u" U/ R6 b0 c
安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。 0 N- n+ m; v8 L+ [6 `) [
"SynAttackProtect"=dword:00000002
同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。 8 R i' I' L# [+ O+ R0 }+ _; W4 t
"TcpMaxHalfOpen"=dword:00000064
' a% J/ y" |0 b 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。
9 Q: k, L$ T5 c" p' w6 W/ j, }& E* H "TcpMaxHalfOpenRetried"=dword:00000050 4 f" L8 U8 m/ H0 N. {$ Z
设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
/ f% Q& H$ z) p: U 项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。 7 I, ^+ Q' {$ T& N- `/ S
微软站点安全推荐为2。
. P3 I% F. k* Q3 j$ r0 @2 k5 v. a "TcpMaxConnectResponseRetransmissions"=dword:00000001 0 l7 k. k/ L5 D; ]1 B
设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
( j/ q7 Z4 Q( Z! @ "TcpMaxDataRetransmissions"=dword:00000003
; r: K+ N5 `, N6 o* E 设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。 - J, t8 G0 t# z# s. G
"TCPMaxPortsExhausted"=dword:00000005
- _2 A- @1 K) }/ O$ E# U 禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。
, {0 v$ ?) z: P. O, B: ]- B "DisableIPSourceRouting"=dword:0000002 " G2 P, A) F+ R; g$ W
限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
" ]+ }6 D( N. z "TcpTimedWaitDelay"=dword:0000001e + L9 o8 g! V8 X" z+ t/ z
8.如何避免*mdb文件被下载
4 L3 k$ i7 c' b6 o* D# H) V 安装ms发布的urlscan工具，可以从根本上解决这个问题。 * V2 b$ v* a$ }# n9 y1 f+ L1 g, d
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。 ' L4 o$ o+ r, R- g v8 ~+ v
9.如何让iis的最小ntfs权限运行
. f6 v5 @' Z$ t8 n% z 依次做下面的工作: 9 P+ T9 W! y% J7 R3 [6 k; W( i
a.选取整个硬盘： 7 p9 g7 m2 t, @* u$ {! t
system：完全控制
/ p; t, {' b" G$ k3 u5 s$ b m administrator：完全控制
x: v$ v* C% c- H" J5 a- }7 f# b (允许将来自父系的可继承性权限传播给对象) # d- [! ]# o1 [7 g& n
b.\program files\common files：
: A4 F) U ^3 I3 z everyone：读取及运行
7 Y% X }+ \# t( _1 k6 E# } 列出文件目录
8 P7 B, T# J' ?& r. w 读取 9 X* N J9 |6 P; c- o5 }
(允许将来自父系的可继承性权限传播给对象)
2 |8 a9 r; t5 Q c.\inetpub\wwwroot：
0 c& ^. x2 A. l" Z5 D; ~ iusr_machine：读取及运行 ( F3 z+ l" E; _& A) @8 y
列出文件目录 % g$ y9 u3 S& @
读取
- M5 V# u% w7 G8 }3 U2 R) ^ (允许将来自父系的可继承性权限传播给对象)
8 ~% u8 `- t; y0 s e.\winnt\system32： $ Z+ L5 w# _( u% w" J/ R
选择除inetsrv和centsrv以外的所有目录， . c$ K) _% P" G0 p
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 % p ?1 j3 f# n! p. W
f.\winnt：
( x! i6 T. c; y6 F4 ? 选择除了downloaded program files、help、iis temporary compressed files、 0 c- A. d* L+ a( G; H. Z3 ~
offline web pages、system32、tasks、temp、web以外的所有目录
7 L0 _3 w" M4 N. t4 c* M. r 去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
) T! I4 m; B5 {. H, N3 ~- s g.\winnt： 4 S) P [7 A1 b
everyone：读取及运行 d7 _( @$ n1 [3 P+ u n7 W* v
列出文件目录 2 x3 y. l4 W' D2 N- g/ D# o0 B5 Q
读取 A* v5 W8 C9 j9 Z
(允许将来自父系的可继承性权限传播给对象) ; {3 e. |! h" w1 X& ^, A h9 ]
h.\winnt\temp：（允许访问数据库并显示在asp页面上）
" e5 f7 e8 V. \, n: x0 I5 S1 x8 T5 u' P- H everyone：修改
" {5 F# u* w" l5 k/ q4 P (允许将来自父系的可继承性权限传播给对象) 4 w) \* M5 w( P5 d' [
10.如何隐藏iis版本 " y# ~$ E# e: s; x$ \+ n- U/ E
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
2 y/ _! j. N! q. _4 M7 Y iis存放IIS BANNER的所对应的dll文件如下： . s O7 g0 _, t$ ~. c) o) R9 I
WEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL
7 c6 M9 u; i& a( p8 p FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
: D7 f5 [- n4 S2 ^2 {; A; L( m6 K SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL + H0 d# [& K7 t, C/ B' n( Y1 \* l7 D
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0 & |2 h" H0 y/ |! P I7 y P9 h# M
具体过程如下:
& G' X$ F' Y7 X1 L: \; l 1.停掉iis iisreset /stop
. i% b& L1 X T' ]# A3 T x 2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件 # N* a, g/ ^% e( N: \
3.修改 | 
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
千斤顶
显身卡
300x180 AD
