|
 
- UID
- 1
- 帖子
- 738
- 精华
- 28
- 积分
- 14161
- 金币
- 2371
- 威望
- 1647
- 贡献
- 1319
|
1、如何让asp脚本以system权限运行
! e9 ]# W" p7 n/ n0 \修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低".... . {$ f& C) L2 }: m9 p; X( I
2、如何防止asp木马
% i# V& H* u6 q% ]* K' z3 O基于FileSystemObject组件的asp木马 & N; G9 |5 P5 t
cacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用
2 ]: a# ^: s* u( Rregsvr32 scrrun.dll /u /s //删除. ~* @9 I, d6 T+ b- T% K+ ^
基于shell.application组件的asp木马
% a; e" ?& q2 ocacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用
b* a& D# L% Rregsvr32 shell32.dll /u /s //删除 * l& g7 {3 r1 a. g9 @
3、如何加密asp文件
( z$ r% k) ?! ]7 t, o: v! S从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。 ) y' P/ A9 e- S$ X4 a
安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
2 R6 ~. X) X) f7 ~5 t运行screnc - l vbscript source.asp destination.asp
+ u# y# p9 O0 r, w4 h; Y4 U生成包含密文ASP脚本的新文件destination.asp
/ E/ n! f( F+ ~- n0 L f# d用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
^! |. w! s9 g: ^; b( T# R但无法加密中文。( W4 D5 B/ L& g; S8 ^6 C
4、如何从IISLockdown中提取urlscan : B8 K e3 Q5 B7 ]& M ~- E
iislockd.exe /q /c /t:c:/urlscan
4 B2 M! I) c# p1 E. b2 E5、如何防止Content-Location标头暴露了web服务器的内部IP地址 0 k: b7 X8 ]+ J9 l
执行
* S4 P/ x2 j X' ^% e5 N7 H- ucscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True 6 `7 P& h7 e9 d
最后需要重新启动iis - \- e) W7 f7 I
6、如何解决HTTP500内部错误
. R- U0 J7 A8 i: Yiis http500内部错误大部分原因" w0 y$ v% g/ ]! v
主要是由于iwam账号的密码不同步造成的。
( M% O B# |) y我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。; @6 q/ W) U2 v3 C
执行
- u5 w2 w! ]4 h$ ?& d h0 Bcscript c:/inetpub/adminscripts/synciwam.vbs -v
/ C0 g# D1 J# P7、如何增强iis防御SYN Flood的能力1 F+ c+ M' n2 g2 M. w+ a
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters] % [2 _% R8 N, Z! _, i
启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
! U2 ^. |( C( H3 _0 U+ z"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
- |7 ~: M9 w! O, j7 p"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:00000050
% ]' ]! Y: w6 l" G5 H2 u设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 % u1 p# |, V) j" d8 x. v) {
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。8 {" ]$ r3 L9 p7 z* [
微软站点安全推荐为2。. i X; S. F) E S4 E
"TcpMaxConnectResponseRetransmissions"=dword:00000001 . V( w1 g1 k, x: l; |. m
设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
; k1 ^& o# F# K9 r" g. a4 E"TcpMaxDataRetransmissions"=dword:00000003% {/ a! o: Y- Y8 H
设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。; Q, J, A! P. S, b. m. B7 ~: j8 f+ M
"TCPMaxPortsExhausted"=dword:00000005
: }1 Q. j$ `, y z4 z1 s禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。 " a0 z! T r4 _; x4 P1 k( Y& [! K& l
"DisableIPSourceRouting"=dword:00000025 }) V v* K* `; I- Y& K7 @% i, h
限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。. O* W' V+ n) g
"TcpTimedWaitDelay"=dword:0000001e
$ Q' |$ P4 h" L6 a
: p& ~5 ^8 @* Y$ z9 l( B8 r8、如何避免*mdb文件被下载
/ p% `' z- ^5 J安装ms发布的urlscan工具，可以从根本上解决这个问题。
% h7 y9 o6 f+ u7 I8 N同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。 1 f% A5 s" O. ^7 K
9、如何让iis的最小ntfs权限运行 " g% }6 _& P3 l C. a% b7 d8 E
依次做下面的工作:
2 X* R3 a$ L& [( i' o8 J6 @a、选取整个硬盘：
! w- Z' v/ y; }! h; v5 `0 \- p- bsystem：完全控制
% c |: E1 y1 u* G3 J3 V% l) l$ |administrator：完全控制
9 P. k1 @7 ]% n- [/ O! b2 q2 S(允许将来自父系的可继承性权限传播给对象) b、/program files/common files： / F) {. k: B0 b5 `* S; B
everyone：读取及运行列出文件目录读取 5 `( [, Z; o* ^$ N
(允许将来自父系的可继承性权限传播给对象) * E3 e2 Z, X) J8 y* }
c、/inetpub/wwwroot： 0 T& V1 x, b# a# K) O0 O. H0 r
iusr_machine：读取及运行列出文件目录读取
2 B# ~+ a$ O$ `(允许将来自父系的可继承性权限传播给对象)
- j/ C: d S$ D ye、/winnt/system32：
* z9 ~3 X% d( n) E6 L选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 / T! E J$ B) T" I, a7 @ g
f、/winnt： & I( N' d0 H% n+ k. |: Q% D/ k+ y* \1 T
选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
: c7 F3 O" A6 l8 Xg、/winnt：3 q/ ~9 l! w+ f3 h$ r
9 q% U3 |, w7 H: c
everyone：读取及运行列出文件目录读取
4 k% Q4 @7 l& X! M9 ~& o(允许将来自父系的可继承性权限传播给对象)
+ F8 j9 U+ D2 {; r- @h、/winnt/temp：（允许访问数据库并显示在asp页面上）
* ]4 |0 a" q4 t0 R6 ?* reveryone：修改
* \4 W# r+ b' s, ~2 U& k5 }(允许将来自父系的可继承性权限传播给对象)
+ u2 O2 }8 v2 F t- p( p1 C10、如何隐藏iis版本
) s5 y( k" p" w8 e e一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
: n, O' P4 n1 t, d s* \iis存放IIS BANNER的所对应的dll文件如下：
4 P. O- M, l; G/ FWEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL
' E# s5 M; q. a, y2 T Y1 bFTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL: q G( g; {6 U5 E- i# \
SMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL / k/ Y( m- H5 n5 o; _
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0 # Q1 w# ]' l6 v8 k
具体过程如下：/ H* _: a z0 b, Z$ k' G" t2 Z
1、停掉iis iisreset /stop
d- h0 Z- _4 H% o8 q* H, c2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件0 Y& N. j9 I! ^: B/ z& L
3、修改 |
|
发表于 2008-1-25 02:15
| 