|
一位高手整理的IIS FAQ 7 K) I: K2 R a/ C4 t8 {5 F/ O2 [
下面是一位高手整理的问题精华,大家好好看看吧,收获肯定很大的!
! n9 U" G+ ~- v+ @7 H( \1.如何让asp脚本以system权限运行 $ T$ n, J2 W- r2 y* ^
修改你asp脚本所对应的虚拟目录,把"应用程序保护"修改为"低".... $ }" h. x$ s/ C. f' y5 w
2.如何防止asp木马
( d# O! p7 l$ j3 ^3 p 基于FileSystemObject组件的asp木马 cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用 / P. ]: g8 e! m0 @; T+ B" B) E/ G
regsvr32 scrrun.dll /u /s //删除 4 C* n3 r$ m: ?; b* ~
基于shell.application组件的asp木马
7 c2 p; `, }6 @! n& ~& Q cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用
# I$ }- E( P- s regsvr32 shell32.dll /u /s //删除
0 W4 y+ N0 o( u3.如何加密asp文件
1 U- T% d3 R- q6 r+ t% C+ F5 l 从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。 + P4 h' F( {7 p6 g, [
安装完毕后,将生成screnc.exe文件,这是一个运行在DOS PROMAPT的命令工具。
$ M1 Q8 g: m7 M/ c( ~( k 运行screnc - l vbscript source.asp destination.asp
3 |9 D+ E" ]7 } 生成包含密文ASP脚本的新文件destination.asp # f! h8 Q0 G: j! o( X' c# m
用记事本打开看凡是""之内的,不管是否注解,都变成不可阅读的密文了 ?1 F. d U$ e: s, w
但无法加密中文。 . a8 \9 g N$ {4 m6 s
4.如何从IISLockdown中提取urlscan . a3 ?! f- n- O. f
iislockd.exe /q /c /t:c:\urlscan
8 ]( E# ^) L$ j+ p+ @5 M5.如何防止Content-Location标头暴露了web服务器的内部IP地址
9 Q% Y) c, O, h' f+ q# k, A 执行
) R( [7 L. r5 d$ \0 ?/ f cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True ( E- r }+ Z9 b! q& t: w1 O
最后需要重新启动iis 8 ^' d( l5 w+ A6 s; S# \! `
6.如何解决HTTP500内部错误 0 h5 A+ y w7 n3 m. T
iis http500内部错误大部分原因
( A6 r& c( ?/ o6 i 主要是由于iwam账号的密码不同步造成的。
2 R5 i u; t8 ` H' r 我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。 * O' @2 h2 j$ R- Z' G: U
执行 / N! ?: d0 e* H6 W4 M$ m! @
cscript c:\inetpub\adminscripts\synciwam.vbs -v
; D2 I/ _3 z+ E' g1 \7.如何增强iis防御SYN Flood的能力
& h' y* N# U- _/ G1 O& b Windows Registry Editor Version 5.00 9 ?. ~& Y8 b$ g# {/ n) j u
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters] $ U) k+ ~* Y+ Y. J
启动syn攻击保护。缺省项值为0,表示不开启攻击保护,项值为1和2表示启动syn攻击保护,设成2之后 3 y( c7 v: ~' a* {
安全级别更高,对何种状况下认为是攻击,则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是,NT4.0必须设为1,设为2后在某种特殊数据包下会导致系统重启。 + x! x- d$ z {/ V/ o* T9 J0 t% G
"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接,表示未完整建立的TCP会话,用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值,服务器设为100,高级服务器设为500。建议可以设稍微小一点。
# K$ ]7 ~ A; h( \: [4 o "TcpMaxHalfOpen"=dword:00000064 ) u# y# _% K8 y+ B% ]7 m H
判断是否存在攻击的触发点。这里使用微软建议值,服务器为80,高级服务器为400。
^" X( A& `" |8 Z: q "TcpMaxHalfOpenRetried"=dword:00000050
! [4 W) k1 k( ~2 }! e* T1 v 设置等待SYN-ACK时间。缺省项值为3,缺省这一过程消耗时间45秒。项值为2,消耗时间为21秒。
6 ^ X0 @! i: ?6 j 项值为1,消耗时间为9秒。最低可以设为0,表示不等待,消耗时间为3秒。这个值可以根据遭受攻击规模修改。
6 H5 E" C0 `7 |! o3 e 微软站点安全推荐为2。 1 M3 [' o3 e; e M# d C
"TcpMaxConnectResponseRetransmissions"=dword:00000001
9 L) I; e- E) P3 `- \ 设置TCP重传单个数据段的次数。缺省项值为5,缺省这一过程消耗时间240秒。微软站点安全推荐为3。 ! }' r( j, G. F
"TcpMaxDataRetransmissions"=dword:00000003
& P/ H0 n+ P+ y% z: | 设置syn攻击保护的临界点。当可用的backlog变为0时,此参数用于控制syn攻击保护的开启,微软站点安全推荐为5。 , J# J7 ]7 b* H3 I/ K8 o! j
"TCPMaxPortsExhausted"=dword:00000005 5 `% R5 X8 R1 h* n
禁止IP源路由。缺省项值为1,表示不转发源路由包,项值设为0,表示全部转发,设置为2,表示丢弃所有接受的源路由包,微软站点安全推荐为2。
5 l% `% k0 p5 f; W "DisableIPSourceRouting"=dword:0000002
; d9 h6 Z) y5 }9 Y. ? 限制处于TIME_WAIT状态的最长时间。缺省为240秒,最低为30秒,最高为300秒。建议设为30秒。 " n0 k4 X- [9 b
"TcpTimedWaitDelay"=dword:0000001e
; N+ m% f: o1 p8.如何避免*mdb文件被下载
3 B, {; _ h2 V6 z 安装ms发布的urlscan工具,可以从根本上解决这个问题。
4 ~+ ?" c& ]* g# d' ^/ w4 e 同时它也是一个强大的安全工具,你可以从ms的网站上获取更为详细的信息。 / ]# k: K( t4 {; J* G
9.如何让iis的最小ntfs权限运行 ' h6 l$ K8 ^! K. F
依次做下面的工作: & B* ~8 L* k, ]: l/ W& a
a.选取整个硬盘:
* B. [! |7 L' {. K7 ~ system:完全控制 m' F' N1 V, ^& x0 d% Z6 A P
administrator:完全控制
: t3 u1 {3 n- }. ? (允许将来自父系的可继承性权限传播给对象) 0 ?1 b+ Z8 z) B1 O" r |
b.\program files\common files: * x; Y6 N' r! ]# t* y, y
everyone:读取及运行
( A. N2 W( K1 d/ n4 U) Z9 y 列出文件目录 4 l" ^- I+ f. @# X
读取 # `4 N' E9 D; ]9 k3 L
(允许将来自父系的可继承性权限传播给对象) * A- |; S9 V& S6 q% W. t
c.\inetpub\wwwroot:
7 m& v0 f* w2 p$ I& l iusr_machine:读取及运行
7 [) l# l; _9 D4 V' y: K+ n 列出文件目录
/ j2 i( H! I( v$ }# x0 N 读取 $ R# x6 K- j. ^' o2 s
(允许将来自父系的可继承性权限传播给对象) 8 Z* }6 K6 d4 v' a; ?: K9 I5 r
e.\winnt\system32: l/ k4 M6 ]! ?3 r6 T$ {/ D! Q( b9 q2 n; g
选择除inetsrv和centsrv以外的所有目录, 3 P1 ^$ u9 e; A( R
去除“允许将来自父系的可继承性权限传播给对象”选框,复制。
: T/ W. i& g) s, \9 g( R f.\winnt: 6 m3 k1 e/ u8 p9 H- @' u9 A# z
选择除了downloaded program files、help、iis temporary compressed files、
H3 G* t6 F, z+ Y* z: n' P- ?+ x offline web pages、system32、tasks、temp、web以外的所有目录
: H3 w+ L4 p; Q" \7 x. Z 去除“允许将来自父系的可继承性权限传播给对象”选框,复制。 ) e. Y. o# r3 Z% \3 G
g.\winnt: * P- J! ]* v: R! B6 K, U) B0 U/ d
everyone:读取及运行 * Y( _1 I, u7 ^ K
列出文件目录 3 P. e' j2 l; L2 h/ x, ~1 A, [
读取
2 W2 q. I& j* X' M (允许将来自父系的可继承性权限传播给对象) Z+ o: B4 e8 L: m
h.\winnt\temp:(允许访问数据库并显示在asp页面上)
o* z( S# c; _5 ? everyone:修改
# ~0 D+ T; g# W0 t7 f! _ (允许将来自父系的可继承性权限传播给对象)
' N! g0 |& d; m/ [$ \9 V. O) h10.如何隐藏iis版本 - Y4 p0 L0 S% Z$ Z
一个黑客可以可以轻易的telnet到你的web端口,发送get命令来获取很多信息 $ z3 A& w7 `8 C1 ^
iis存放IIS BANNER的所对应的dll文件如下: / t" Q$ i) Q* v! k! q
WEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL
# m0 T$ B: ?* X5 ?: k& L1 y3 ` FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
, R/ u7 B8 G W SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL * e# E ~% N# O- x7 x
你可以用16进制编辑器去修改那些dll文件的关键字,比如iis的Microsoft-IIS/5.0 u- `$ g2 r- d/ L& f: O5 m4 v) a
具体过程如下: , F- {9 r. a' i' n
1.停掉iis iisreset /stop
5 i# I- N3 _- a. D+ L; H 2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件
& Y/ L) Q/ I m' R 3.修改 |