|
 
- UID
- 1
- 帖子
- 738
- 精华
- 28
- 积分
- 14247
- 金币
- 2414
- 威望
- 1647
- 贡献
- 1362
|
1、如何让asp脚本以system权限运行
) \# N: V) H$ t修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
7 [5 l9 s6 @) P; L2、如何防止asp木马 ^# t4 V4 O6 z, w0 @: |- t
基于FileSystemObject组件的asp木马 : W ?5 ]0 l! W, Y' o
cacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用
2 d6 J* V- n# g( c' x* V5 U- W+ nregsvr32 scrrun.dll /u /s //删除% i, y( A y: B) R
基于shell.application组件的asp木马
+ `* l: z* R! rcacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用 ! ]. q7 }: w5 W, l. Y/ y
regsvr32 shell32.dll /u /s //删除
' G7 b1 E; F/ o6 M3 d8 o8 u) Q3、如何加密asp文件
/ j! v: _) t% E( a b- y从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
( o9 V3 h z5 h; c+ s5 R" w$ K- C安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
- h8 X4 r/ l* O0 W i运行screnc - l vbscript source.asp destination.asp
: o3 u" a" M' b5 ~) V$ a生成包含密文ASP脚本的新文件destination.asp
/ v0 w* K6 z( m$ h用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
- }$ L2 @% J) [/ s% w! `: p但无法加密中文。2 w" _+ v4 T( @
4、如何从IISLockdown中提取urlscan 8 z' g1 m5 Y6 B7 i6 A9 u" G$ m ]
iislockd.exe /q /c /t:c:/urlscan/ @: ^+ T) _ f3 W& l
5、如何防止Content-Location标头暴露了web服务器的内部IP地址
2 E2 |' `* y; j) J' C2 D0 |执行 7 K" I, W+ L/ t: f! ]) Q6 ?1 q
cscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True
3 Z' {3 [+ U3 f4 o最后需要重新启动iis L2 c" v" l" h1 p
6、如何解决HTTP500内部错误
% H; j6 y, S7 kiis http500内部错误大部分原因
( c$ H) W# |0 d1 [( w" |主要是由于iwam账号的密码不同步造成的。
1 q- n7 m$ h' ^; Z我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
, j! z2 |* W+ N; c% ~执行
3 E# V7 B" |5 S5 R' A; v3 B) Jcscript c:/inetpub/adminscripts/synciwam.vbs -v, p) @/ X$ u+ m% v6 v a5 G
7、如何增强iis防御SYN Flood的能力9 \/ [+ M! D8 b
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters] ; U9 G+ \3 B8 Y% `) W
启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。% j* z% ^& p% p/ r( c! i
"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
* D* h7 a# b: q"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:00000050
, i5 D% z" q8 f' ]2 ~1 v设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 & a2 u6 y0 f/ b$ a
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
) c, ^' U! G J" x" z微软站点安全推荐为2。
' x9 s8 T; K4 O1 B( a0 W; w: n"TcpMaxConnectResponseRetransmissions"=dword:00000001
) z2 p A! K; W- p! N( T设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。 0 K3 p+ Q6 ~" `6 E! r' X! r( |% u
"TcpMaxDataRetransmissions"=dword:000000037 }) i3 @6 ~. b) Z7 ?
设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
4 q% ]; Z" f2 I0 u# M! \ N"TCPMaxPortsExhausted"=dword:00000005
7 C% i W0 P, m8 z4 C% H禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。
3 G- W6 |+ A- Y, V5 w8 R"DisableIPSourceRouting"=dword:0000002' h4 C1 |& t9 ]/ ]3 o7 }5 |- K
限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。- ~- Q: o( X* O" ]7 _
"TcpTimedWaitDelay"=dword:0000001e
5 a, ]$ s, p: V8 _- p6 q/ d" R2 f9 |# i2 R7 ]/ c. R
8、如何避免*mdb文件被下载& Y Z" h1 r+ }' E) O: j
安装ms发布的urlscan工具，可以从根本上解决这个问题。4 C8 u1 j8 S6 h
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
) z. E- G( e, @5 _0 M9、如何让iis的最小ntfs权限运行
" J6 q( L B" Q1 H依次做下面的工作: ; p% g" |4 q) w. B( ~; B3 E k
a、选取整个硬盘：
( s! \" `% I# B# o2 |system：完全控制
& C- p/ o/ ?1 q% Z! p1 gadministrator：完全控制
3 q9 C& R' B% m8 c1 S1 e+ O(允许将来自父系的可继承性权限传播给对象) b、/program files/common files： 1 ?! A$ Y2 t) i
everyone：读取及运行列出文件目录读取 5 F1 U/ f% Z. J4 K
(允许将来自父系的可继承性权限传播给对象) 3 n0 l% b J! B7 g, `
c、/inetpub/wwwroot： # `6 M5 T* T2 \, u5 x z/ l
iusr_machine：读取及运行列出文件目录读取) ^! l+ x8 v5 h; |6 t: _
(允许将来自父系的可继承性权限传播给对象)
& q4 b8 b! v% t+ xe、/winnt/system32：" p) F# v. `1 V* J. Z) W
选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 . g0 N, i) j% Y/ W% L' x( V+ Y
f、/winnt：
: B- N) w0 _2 _% \6 q: P选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
3 ]2 \ u9 ] z2 _, Kg、/winnt：
, ~7 c1 t7 p6 y* ~3 W2 P
f& n5 h7 `+ k! j: q0 C Z2 p" veveryone：读取及运行列出文件目录读取
+ u* c8 P# K x7 m, w(允许将来自父系的可继承性权限传播给对象)
" f- a2 M2 W0 R2 _ a1 L6 U+ jh、/winnt/temp：（允许访问数据库并显示在asp页面上） 8 c0 u7 G* y4 v P& N# V* K- R1 D
everyone：修改 ' ~8 e0 H5 ?5 `; | ]9 e' w, |
(允许将来自父系的可继承性权限传播给对象)
- x8 f' C$ H* k10、如何隐藏iis版本
4 U. J+ ?& s6 u5 H2 B, Z一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
% d2 a+ K( G* q1 Riis存放IIS BANNER的所对应的dll文件如下：
' V2 L0 {3 p& h5 j3 E; [WEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL
* ?+ Z3 E8 s- z+ cFTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL
- B3 q2 a" i& b2 oSMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL $ n7 ` M3 g" W! R9 @
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0 + j; s: j* M5 \) A
具体过程如下：
. [/ w% U; X5 G1 w1、停掉iis iisreset /stop 7 w3 E8 u0 A0 q4 R" B3 c
2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件
" e$ y; ~* @4 |1 l! O! C3、修改 |
|
发表于 2008-1-25 02:15
| 