学会十个“如何”打造安全IIS服务器 安全, IIS, 服务器

admin

1、如何让asp脚本以system权限运行" f( t2 h/ ?# i1 {
修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
& v9 c$ d& n$ H( t$ y2、如何防止asp木马 7 m6 D1 G+ @3 I4 H/ F7 t& ~6 }8 D
基于FileSystemObject组件的asp木马
3 ?  D, W9 t: p. A6 Acacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用
7 r) n! @; k9 W1 }/ tregsvr32 scrrun.dll /u /s //删除3 S1 R, ~/ A! I* `% U) Q
基于shell.application组件的asp木马. T+ U: l, Y- W6 Y
cacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用 3 J4 @5 Y. B& h4 k0 B
regsvr32 shell32.dll /u /s //删除
0 N! ^- K1 u6 e& n. a0 }+ K3、如何加密asp文件 1 Z# S. Q7 u) e6 G# B
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。 9 l2 u9 j( g$ t8 f( K! K- K
安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。0 f3 |7 B* m4 r7 y9 z6 j5 s
运行screnc - l vbscript source.asp destination.asp
& {" _0 U& q. e( M4 {6 q, W' ]生成包含密文ASP脚本的新文件destination.asp+ Q; J% w. d' V2 @+ U: M
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了+ j3 q+ O3 h  Z9 w& F2 s
但无法加密中文。6 J3 R; Y" k* G5 m
4、如何从IISLockdown中提取urlscan
* R) e. g  E2 W9 U1 M* riislockd.exe /q /c /t:c:/urlscan3 {2 C% V3 N9 V8 i5 f* q" T
5、如何防止Content-Location标头暴露了web服务器的内部IP地址 : n4 Y) E  f6 c+ X; K; t
执行 4 }0 Q  Q6 c$ m3 T) b( X, L
cscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True
. a# ^- M! \$ z/ `. Q最后需要重新启动iis 0 _7 i3 W9 g! E4 ^7 q
6、如何解决HTTP500内部错误
- O6 i& q, K4 b" Hiis http500内部错误大部分原因
3 o% y  [  H! Q) d( M8 e+ r' n5 [主要是由于iwam账号的密码不同步造成的。# q- _+ x7 ]) I, E! b
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。& N. i- l$ N/ u4 L
执行 ! v9 q3 N& R5 o/ d3 y
cscript c:/inetpub/adminscripts/synciwam.vbs -v0 r; ?1 I+ g# k6 J3 z+ H# x0 C
7、如何增强iis防御SYN Flood的能力0 X' t" \. d- z" q
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters] ' V* S( b: a6 B: K; W! |. i' x
启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。0 g4 s" P) @( X6 x1 d2 W
"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。- l# y  q6 Z! a; q% x$ m* Y& Z; S
"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:000000507 r! W: ]; m) e; y
设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
  m  @& [2 z, \* F项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
8 u8 s! w3 [- o! D8 |, W微软站点安全推荐为2。  j! p* x  r- k9 }/ L( V
"TcpMaxConnectResponseRetransmissions"=dword:00000001
; T. l6 h) w5 q7 h$ R4 v* ?: Z设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
- _, ^  O* p* A+ b"TcpMaxDataRetransmissions"=dword:000000030 ?; L8 I* M1 K/ d
设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。- W/ }7 B6 U1 @* D
"TCPMaxPortsExhausted"=dword:00000005
4 Z$ g6 L6 w2 O, W6 B+ v禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。 , ?$ n; F8 H- p6 A6 G' I# [0 b
"DisableIPSourceRouting"=dword:0000002, D# j0 j/ p4 w/ {9 M' ^
限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。. k7 s8 j3 R' W& b. j1 P
"TcpTimedWaitDelay"=dword:0000001e
0 c+ c+ h! {) V  q
& o: q6 i5 K1 @! d, X8、如何避免*mdb文件被下载
& {. `4 o7 r4 F, k  m: r安装ms发布的urlscan工具，可以从根本上解决这个问题。& f4 j! U# b7 S1 o
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
" ?: I6 a7 l/ ~. A) c/ K9、如何让iis的最小ntfs权限运行 ' N2 R. v4 Z3 e; O: i  Y9 d, _
依次做下面的工作: : l0 u6 G( T% j. r) ?' L0 Q) N4 L
a、选取整个硬盘：
) h3 P0 j, r# c6 Fsystem：完全控制3 A9 H/ s' q2 C
administrator：完全控制! }0 o8 g9 t  C3 k
(允许将来自父系的可继承性权限传播给对象) b、/program files/common files：
/ }$ `, _, O+ q: ?6 u5 l. Ueveryone：读取及运行列出文件目录读取 , k/ x0 W. g6 o" T: {: Z; K1 S
(允许将来自父系的可继承性权限传播给对象)
, Q  q7 C, _2 b* U0 O# Yc、/inetpub/wwwroot： + w" a5 r% B( p. [% g( n
iusr_machine：读取及运行列出文件目录读取: ~0 @/ c/ M& ^2 y
(允许将来自父系的可继承性权限传播给对象)
- u$ ^. [! O( ~" u  D& d1 Ie、/winnt/system32：3 j  h0 E7 @* d8 J+ Z. y0 t
选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 & w/ _* K2 ~& K  F' K8 C
f、/winnt： " V7 W2 @0 n& x9 |, F9 p% r
选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。' z) T9 {$ D! C/ W
g、/winnt：
4 c* H& G: h& ?. t* r　　, [- Q) M$ G+ M4 X9 O6 q; [
everyone：读取及运行列出文件目录读取
: v1 N$ e: ^% J! n(允许将来自父系的可继承性权限传播给对象) . l1 d: k! m: w& P4 n' o' A$ Y
h、/winnt/temp：（允许访问数据库并显示在asp页面上） 6 Q. D* g4 I  w1 ~: [0 T4 n# i
everyone：修改
9 O* E* e6 n" d) b# z(允许将来自父系的可继承性权限传播给对象)
+ ^) i# l) A0 R; C" i; {+ x10、如何隐藏iis版本 * n) @+ c& P& |+ @
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息   L! }! ^. J3 a/ l
iis存放IIS BANNER的所对应的dll文件如下：/ S4 r4 }% r8 R; r4 t9 N  P( a) w
WEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL 8 p+ X6 N  L7 V8 Z% ~
FTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL# j. n9 n$ q5 Q$ Z" T' h
SMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL
" g. o2 f! [% J' F7 H1 [' g- h你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0 9 Y( V' ]" r3 ^- N' M; N7 }4 q
具体过程如下：/ o% e, a- t; C! K" G' [
1、停掉iis iisreset /stop 8 m! R# n( a/ O* P
2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件
) ~; b8 @5 @1 J* J9 F6 F3、修改