学会十个“如何”打造安全IIS服务器 安全, IIS, 服务器

admin

1、如何让asp脚本以system权限运行
& W: j7 q( N" B& H% b, _9 t& K( t修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
4 r# [" D7 K+ f& O5 e1 [4 |2、如何防止asp木马
  l" ^2 ~0 @+ W" h基于FileSystemObject组件的asp木马 ( K& H( a) c- e& o" S+ y
cacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用
+ a! r# M2 K, o9 Q' Nregsvr32 scrrun.dll /u /s //删除! o+ J1 M( b; V2 H" `3 n/ U+ i
基于shell.application组件的asp木马
. u& L+ y) M+ u" n# ]' p, ~cacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用
4 \. g7 \1 t. h2 p( j9 f: Iregsvr32 shell32.dll /u /s //删除 9 P& k: {9 D+ Q, {3 ]* ]  |, A/ ?! ^) y
3、如何加密asp文件
0 ^' f; Q  v% x9 {5 e从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
( c8 }, A5 C2 r安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。6 Y/ O# a+ ?$ k
运行screnc - l vbscript source.asp destination.asp6 H& `1 H2 l% p+ i- E
生成包含密文ASP脚本的新文件destination.asp& u: d8 C) v) Z( \  s  h& s
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
- `! Y$ f  g( w0 A& L但无法加密中文。! I: R3 {8 v1 T7 ~) P- S8 B2 L  L5 Q
4、如何从IISLockdown中提取urlscan
/ [% Y: R3 ^1 l- g- N0 ciislockd.exe /q /c /t:c:/urlscan
9 W" _  a4 b) D) K5、如何防止Content-Location标头暴露了web服务器的内部IP地址   g% s6 }# G0 G1 `+ g
执行
$ {" t4 T2 M( N! ^: Icscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True
1 B7 L/ c) i& i& ]# q! D最后需要重新启动iis ; Z1 ?( n5 b, L  A6 B  ^
6、如何解决HTTP500内部错误- x' L4 W+ E  {* ~9 Q
iis http500内部错误大部分原因# N* g, a0 M6 C. |& c
主要是由于iwam账号的密码不同步造成的。% D- e7 a! ]: L, ~2 Z/ q) ~
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
$ x4 ]( i! G% R- F' _) N- v+ {执行 ; C2 J. r- X( f9 r
cscript c:/inetpub/adminscripts/synciwam.vbs -v
5 E4 U9 R) R; h8 I8 A2 P7、如何增强iis防御SYN Flood的能力  `  B, O( o, c! u
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters]   \2 L2 P/ }( e* s
启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
5 t! F, L+ S& v"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
* G) Q1 y& t2 Q% T) J! H5 y! _: u6 o"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:00000050
4 a* C& H0 U/ K5 l; h设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 2 u! G3 F, e; s- Q: [6 j+ i
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
# Y, x3 _  P) }# y微软站点安全推荐为2。
7 z, c, U3 d- H* ^9 Y4 j& E"TcpMaxConnectResponseRetransmissions"=dword:00000001
; h' v- e- N0 C. n  X  J/ \设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
# Q3 }% ?. _7 }5 \% U3 q6 O"TcpMaxDataRetransmissions"=dword:00000003, C0 g; P$ |$ G/ v* ?
设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。! K9 H6 p" |5 Y
"TCPMaxPortsExhausted"=dword:00000005
7 q! F- }/ h1 O+ d: n禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。 9 ^# ]! m, ]) L. m) n$ C0 a
"DisableIPSourceRouting"=dword:0000002
& d% y; J; Z- ?3 r4 B8 L6 s限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
; z, W: s) x& J1 j2 E& }"TcpTimedWaitDelay"=dword:0000001e  L$ L$ b/ ~! V7 F1 v( I5 R2 P

% z3 |( T. s3 ~3 w1 F8、如何避免*mdb文件被下载5 B1 r5 P4 A/ |3 {1 R& ?2 V
安装ms发布的urlscan工具，可以从根本上解决这个问题。
% s1 ~( @" c+ ^3 E) P& p! S2 A- }4 J5 @同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
, e5 C8 K2 m1 S  g. \9、如何让iis的最小ntfs权限运行 8 v* ^5 n+ p1 ]! e4 S  R
依次做下面的工作: ! C, u0 C7 [3 \
a、选取整个硬盘：
! B$ q; @5 E1 w9 c( d* ~system：完全控制
' v, R: ]. \, H& f( f, y8 tadministrator：完全控制0 k  S; g1 k6 F% Q2 U
(允许将来自父系的可继承性权限传播给对象) b、/program files/common files：
, p, a! M  l4 B( Q0 `everyone：读取及运行列出文件目录读取 . p2 t4 a; n# `
(允许将来自父系的可继承性权限传播给对象)   {9 `& ~' |$ X3 q
c、/inetpub/wwwroot：
/ F5 i& O& U: F5 iiusr_machine：读取及运行列出文件目录读取0 y7 @; X! N9 \2 L
(允许将来自父系的可继承性权限传播给对象)" o+ s4 z4 S4 Y9 ]6 [( g+ s+ T
e、/winnt/system32：
+ p( {0 A) v6 T. K$ f, Q: E选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 ! u) `% u4 m& ^5 k7 m, r. W
f、/winnt： : Z+ k. I7 H' P+ r' K  N9 {4 d! K& F
选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
/ A# s, I! p" @5 Q. B% |. @g、/winnt：
" s9 w  H' E. Q3 \　　/ F3 m/ @0 f( d
everyone：读取及运行列出文件目录读取0 q$ o: a& u0 k( q0 t5 D# @0 E4 I
(允许将来自父系的可继承性权限传播给对象)
0 O2 c! U& @. l. ^h、/winnt/temp：（允许访问数据库并显示在asp页面上） 0 \  f: U8 {% h) X7 W7 c; c) ^
everyone：修改
5 @- t; ~& j% @* [) M(允许将来自父系的可继承性权限传播给对象)
3 n# I% ^8 M. `3 V6 j$ E  z10、如何隐藏iis版本 # v# T: u" b7 e# Z
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息 " M& `" D: {* L( ?9 ?
iis存放IIS BANNER的所对应的dll文件如下：
; G- N  P2 Q7 r% C# {' O' ~WEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL # o+ U+ v4 ]8 e( o. U& v- {- B" K
FTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL' T9 w: R4 d: P5 N
SMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL ' p+ o" o" X: q7 e% [0 y* S5 j9 F% N* s
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0   i, X3 I4 _! T
具体过程如下：9 P( Q; |8 P5 n" ~( _, B5 b0 n# X
1、停掉iis iisreset /stop
' t& N0 L( J1 z5 U. P. m2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件
: k* |2 R( k4 F* Z3、修改