|
 
- UID
- 1
- 帖子
- 738
- 精华
- 28
- 积分
- 14221
- 金币
- 2401
- 威望
- 1647
- 贡献
- 1349
|
1、如何让asp脚本以system权限运行# A L& H: a+ c+ i/ ?4 a# P" H
修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
6 S" \5 N: f% H7 Q6 L2、如何防止asp木马
, \# D5 _' B( Z5 {' }8 |; U基于FileSystemObject组件的asp木马 3 |- a8 u& W% p
cacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用6 p `/ W1 ]: f P: C9 l9 w+ ^
regsvr32 scrrun.dll /u /s //删除$ O+ l5 ]7 k8 \* n' h& Z
基于shell.application组件的asp木马
6 w3 {. |, I, mcacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用 $ X& b6 o+ |- D1 {: m R- t
regsvr32 shell32.dll /u /s //删除
8 {4 N+ {& K# `/ c: |6 n3、如何加密asp文件 . ?# | u( L* U, Y: U* a8 c
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
! X& S/ _% @' `& [安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。' ^5 U A* A, k) ^9 L: C. f
运行screnc - l vbscript source.asp destination.asp
, [# \. ]1 e7 O- A7 G生成包含密文ASP脚本的新文件destination.asp- ~5 F' M- C/ a# {* e. m: i: f
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
f1 h3 h8 m6 P+ X3 z9 K: r但无法加密中文。7 A* N: r+ S) X
4、如何从IISLockdown中提取urlscan 8 x8 p# s* m. F
iislockd.exe /q /c /t:c:/urlscan
* M6 C* ~" P6 j$ [1 L5 R E3 A5、如何防止Content-Location标头暴露了web服务器的内部IP地址
4 `! M$ e. w" v, X7 [- e执行
; c7 @( U; U9 f+ b( Ocscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True
/ f1 V1 x+ C" c+ X: E- O5 H最后需要重新启动iis $ I7 K- @5 P6 [# W4 H6 W
6、如何解决HTTP500内部错误; }% p; k9 q; g, b" j; H0 E
iis http500内部错误大部分原因0 m7 J$ ]5 \) l1 z8 s* n# _
主要是由于iwam账号的密码不同步造成的。' M! {4 A/ `; ^ b
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。$ j0 Q8 ~9 Z" Y$ P. g! _
执行 - s, i: ^- q# B& F
cscript c:/inetpub/adminscripts/synciwam.vbs -v
* P& E0 ], N3 U, D: @7、如何增强iis防御SYN Flood的能力
* Y; L( c3 Z! d* h$ n; MWindows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters] 6 R& f' }; }& ?1 E) G
启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。- R0 q4 Y! u1 h, y( ` S
"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。4 g9 F' c. G) P; _
"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:00000050
' u6 K+ z/ i6 z0 ]" m设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
9 r( q$ e- @! q1 n+ f& H$ A项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
( R5 G& x | X: _/ y. ~4 F; k微软站点安全推荐为2。
& A3 E2 v9 U3 y3 R"TcpMaxConnectResponseRetransmissions"=dword:00000001 ( o) B& F9 U$ E. ]2 Y
设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
. w+ \& O% |' Z1 ]"TcpMaxDataRetransmissions"=dword:00000003% x* W( k! U" ?* t$ Y
设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。0 q. R* C d0 p! U5 X. f
"TCPMaxPortsExhausted"=dword:00000005 " P% _1 Y( l" ^: p- s) a9 X
禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。
1 ?1 ~) O. q" w/ h"DisableIPSourceRouting"=dword:0000002& ~, V+ {6 [% ?8 b* s
限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。1 ]+ a4 Z/ j* E5 X& e# @
"TcpTimedWaitDelay"=dword:0000001e- p& \; c9 U- k9 l) g" P/ [$ @
' T& {9 j* I6 d6 @0 m' U
8、如何避免*mdb文件被下载
" l t, A: |8 Y( B# L- ~7 v安装ms发布的urlscan工具，可以从根本上解决这个问题。
! W9 I! J5 D& \2 b同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。 / q, }6 r. A- r p9 |3 |- b5 f/ d
9、如何让iis的最小ntfs权限运行
% J1 P; O1 g0 ?9 T: c. q* r依次做下面的工作: 5 K( g& u" l6 {! \
a、选取整个硬盘： + b0 W, E+ S. b9 K; m z" y+ O
system：完全控制, a2 `+ @9 F/ Z- p$ |1 r5 Y' i
administrator：完全控制9 v& ?& |0 C" r8 M; _. P# R
(允许将来自父系的可继承性权限传播给对象) b、/program files/common files： / I1 E R1 A! }: e* `, N
everyone：读取及运行列出文件目录读取 % R( t% ~% U" a$ J* g
(允许将来自父系的可继承性权限传播给对象)
! u$ v) T4 [3 q/ |- q& lc、/inetpub/wwwroot： ; {; O' L% e$ q4 e" R
iusr_machine：读取及运行列出文件目录读取+ Y8 Y- C' y7 C2 `# V1 c
(允许将来自父系的可继承性权限传播给对象)
1 u/ q7 T- N6 X& de、/winnt/system32：
* {8 `8 I) b4 _8 w4 A选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 + J) U' ]: y: i A' i$ R
f、/winnt： % [4 B0 g* J" D: l3 O) J
选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
5 I* V' P, E- E" j; ?g、/winnt：0 ]8 G6 G3 k9 X
2 H2 C% ~8 G. j- r# ?
everyone：读取及运行列出文件目录读取
# S3 s) n" z+ Y- n+ D(允许将来自父系的可继承性权限传播给对象)
# ]* d9 e4 k9 Y' ~' o' |0 B: `h、/winnt/temp：（允许访问数据库并显示在asp页面上） 6 |7 t9 T: e+ g6 y% j$ L* a$ ^
everyone：修改
; t& L' p8 _. m2 e6 y8 N' n(允许将来自父系的可继承性权限传播给对象)5 D5 ]0 m9 l: n
10、如何隐藏iis版本
- }' \ }& w4 H3 P. @2 _4 r一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息 5 u" \+ u0 V0 A1 W: S
iis存放IIS BANNER的所对应的dll文件如下：6 C9 r1 a$ d0 a- V) R1 E8 ^
WEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL
1 M! b! W: Q% \1 x4 |9 x4 JFTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL
. ]* ~ r* X* K0 \9 Y( x# M. hSMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL ; h# z- I3 ^) T2 ?# H: l
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0 " {' P/ N/ U5 S
具体过程如下：- S q0 K5 x% p
1、停掉iis iisreset /stop 1 u! K' n% H( L9 W
2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件
$ v6 X; o: T$ |) V2 l. E6 \0 S3、修改 |
|
发表于 2008-1-25 02:15
| 