|
一位高手整理的IIS FAQ
% q D9 N& |0 {4 ~2 I+ |下面是一位高手整理的问题精华，大家好好看看吧，收获肯定很大的! ; x1 {; w, B! }$ s) M9 O/ g
1.如何让asp脚本以system权限运行
# v6 `1 p7 v8 o& W; F5 a* g 修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
& o* V9 `+ T# e% [- L1 l2.如何防止asp木马
$ x, o: I& z8 A* H* a! F7 f 基于FileSystemObject组件的asp木马
cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用 # H& k X" @4 ^+ ]8 e
regsvr32 scrrun.dll /u /s //删除
: [4 ?0 D3 K! E) G% d9 ]3 ` 基于shell.application组件的asp木马
/ K* t$ k4 `) O1 c cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用 5 |( p. k+ x7 I9 M5 G( k4 q. o2 q4 x
regsvr32 shell32.dll /u /s //删除
5 O- U8 x7 E( @1 u$ X3.如何加密asp文件 , i# n" }# a8 G0 B
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。 ' @5 Q1 O- x9 T! I2 }; z, R
安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
6 c+ _. Q/ P' T: c8 X5 J 运行screnc - l vbscript source.asp destination.asp
8 T. e2 V! F" C4 |8 ~ G) ]0 h4 J0 d 生成包含密文ASP脚本的新文件destination.asp / b- r, j4 I! e2 s2 T
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了 ! P ^. Z. M% l
但无法加密中文。 / t' [' @9 V0 L' Z. y4 {
4.如何从IISLockdown中提取urlscan
. l" E; q T8 s/ B0 i: o/ n iislockd.exe /q /c /t:c:\urlscan 0 |! V; s8 {: m9 S8 X. p
5.如何防止Content-Location标头暴露了web服务器的内部IP地址 ' d9 u; J- |; |( W& c+ _% u3 z. q
执行 * G0 h- G# N) P i- ?: K
cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True
5 o* T" r/ f5 a 最后需要重新启动iis
j; D2 S' j: i# {1 L6.如何解决HTTP500内部错误 ) ]$ K% d4 |8 [2 R# @) R
iis http500内部错误大部分原因
6 m8 b! I) G. [7 s, ~ 主要是由于iwam账号的密码不同步造成的。 , o4 K' W$ Z: o$ E1 x( W# j( c
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。 ) i0 X" A- |8 d9 |9 s8 ~" E
执行
6 G# {' v: o& _ cscript c:\inetpub\adminscripts\synciwam.vbs -v ( y- U! D# q7 H( v0 A8 U, f# Z
7.如何增强iis防御SYN Flood的能力 ; ]* H: w4 O( u5 ~5 q+ q/ @# E
Windows Registry Editor Version 5.00
, J8 R- s6 U' @, |% c8 g$ I [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters] % |, i; e+ D& T! R* K& P2 C) f
启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 9 Q8 P' \7 |& J/ \4 F3 ^
安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。 - g1 Q; v8 N# Z. g, w. v
"SynAttackProtect"=dword:00000002
同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
# g6 X* { s% L a0 ?" t5 O7 J "TcpMaxHalfOpen"=dword:00000064 / i8 o) m2 y# L) r
判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 & ]$ l4 p) U- [
"TcpMaxHalfOpenRetried"=dword:00000050
6 B; P$ \2 a& x5 @ 设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 ' A3 t& Y- P' A# \* j; s- D7 N- y/ B
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
_3 X4 F$ t' K. U 微软站点安全推荐为2。
) v6 f% P& V5 M/ `& q5 b4 |! L "TcpMaxConnectResponseRetransmissions"=dword:00000001
- \$ {; z! g' j. D( B 设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。 8 `% W* o" Q. ^ A- B& B) v
"TcpMaxDataRetransmissions"=dword:00000003 9 Y9 M8 F7 `5 m# I8 ?
设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。 * Z* R5 u: x) j% K7 J$ [ v$ X
"TCPMaxPortsExhausted"=dword:00000005 $ Y* J$ O' k4 ^$ `
禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。 0 ^. n+ n# j; [
"DisableIPSourceRouting"=dword:0000002 3 j3 H/ u& ]- ^5 @# Z' T
限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
6 p' a: A+ ^% L; G "TcpTimedWaitDelay"=dword:0000001e
+ k% R) Y+ E0 V: |. c8.如何避免*mdb文件被下载 6 B9 | T# n1 D1 ^) A
安装ms发布的urlscan工具，可以从根本上解决这个问题。
" A' b. L9 e4 {' Y 同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
/ l: q& c1 n/ ]% A6 i! R5 ^/ r3 Q9.如何让iis的最小ntfs权限运行
" o: s, }- Z4 I1 { c) U: V 依次做下面的工作:
* ^$ \7 A9 g1 q8 W( l$ @' j. b a.选取整个硬盘：
7 t* V* m& p/ j7 ?5 A, G+ [0 C system：完全控制 % {7 |3 f1 ^# s% Q
administrator：完全控制
/ ^8 ]2 p5 p8 }: f' H; [ (允许将来自父系的可继承性权限传播给对象)
- e) M4 O9 R. W b.\program files\common files： 1 ]6 P. A3 n0 q4 V; J( U' o8 |
everyone：读取及运行
9 ?4 m) Z E+ L- l0 P; k9 u0 w- c) S 列出文件目录 9 }: U% ~, r" k+ O8 L2 j
读取 ' {: p+ X/ x0 F2 P* S
(允许将来自父系的可继承性权限传播给对象) 2 q+ m/ D6 [7 l# Z
c.\inetpub\wwwroot：
6 I) j+ q7 P+ T1 \# H iusr_machine：读取及运行
" B" x! Z3 T _( B- w+ K3 W- O 列出文件目录
: f- l! b( C" J' c T 读取 / a5 m8 D) `2 S+ c2 r; {" O
(允许将来自父系的可继承性权限传播给对象)
# J! ?- ?, Q- N: ]/ x+ G e.\winnt\system32： 4 }# Y: p: Z: z1 u3 T/ H6 z; ?( x
选择除inetsrv和centsrv以外的所有目录，
' z: ]; Z; N8 ~# ` 去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 # W. K/ Z+ r5 G
f.\winnt：
! }3 g4 S. e& R 选择除了downloaded program files、help、iis temporary compressed files、 1 }9 }' E0 w9 V2 d7 v- d
offline web pages、system32、tasks、temp、web以外的所有目录
6 b/ W5 l6 S3 w3 W3 N+ r 去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 * u; Y6 `5 E% q1 h1 D
g.\winnt： . a n2 r5 v& F* h4 h% g+ U
everyone：读取及运行 9 P* T# q& e H7 h7 @" `* j& \
列出文件目录
; x, K( u; U& r4 R7 Z3 j" \ 读取
/ i! M ~: z. r0 L/ `$ \- l (允许将来自父系的可继承性权限传播给对象) - h3 `: r& ?2 }3 K: F
h.\winnt\temp：（允许访问数据库并显示在asp页面上） $ c& b$ c. o8 @
everyone：修改
; z5 l; f6 ?# g" z (允许将来自父系的可继承性权限传播给对象) ! z1 w& o" b% ~. d- v" ~, k2 a9 H
10.如何隐藏iis版本
4 s7 m- }* x W# ~6 p+ v 一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息 6 F c8 V) Q+ v
iis存放IIS BANNER的所对应的dll文件如下：
6 h5 s" l, {* a! O; R WEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL
% L7 l; {% p2 I ~; r FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
! c% G. N' P" i$ T5 |1 v! s SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL
8 T& Q9 T' O+ {3 R+ P( D 你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0 ) Q* k! ^- d/ b Q- _# k& H
具体过程如下: 8 i7 X. Q, [$ P# U( O, g, w
1.停掉iis iisreset /stop ) U5 C: r/ {: K2 V: q' L
2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件
1 j) U- D' m% p5 r2 R2 I+ _ 3.修改 | 
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
千斤顶
显身卡
300x180 AD
