|
 
- UID
- 1
- 帖子
- 738
- 精华
- 28
- 积分
- 14443
- 金币
- 2507
- 威望
- 1647
- 贡献
- 1455
|
1、如何让asp脚本以system权限运行
& Q" a" d* ~: m+ M; Y修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
( d( } U7 |+ b3 X; [2、如何防止asp木马 % M2 k3 l/ P. S8 ?+ D4 F6 k
基于FileSystemObject组件的asp木马 2 r7 e, H8 [4 J* C& b6 A
cacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用
5 `5 J! X% u- Cregsvr32 scrrun.dll /u /s //删除6 Q; m; G+ Z2 D7 S
基于shell.application组件的asp木马* H. s: I7 M9 E# L
cacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用 : ]9 P" H; D* n1 U% s4 X
regsvr32 shell32.dll /u /s //删除
* g# u$ K5 c! |; [3、如何加密asp文件 ' m! U6 U# C. a% F: p" b7 V
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。 1 G! D9 ~1 C+ J' [; Q; O% U
安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。7 N' G2 t6 D7 d2 p2 ^, B
运行screnc - l vbscript source.asp destination.asp& Y* M0 q8 w! y5 {% q
生成包含密文ASP脚本的新文件destination.asp/ x% \/ ], | o, ?
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了 Z- c3 {( W" k5 Z$ o, b) `8 S
但无法加密中文。: d6 W ~5 j/ L. I/ A
4、如何从IISLockdown中提取urlscan 0 k( W0 ]& t' e1 j
iislockd.exe /q /c /t:c:/urlscan: Z: D4 e8 U8 o
5、如何防止Content-Location标头暴露了web服务器的内部IP地址
( H3 Z, G% V2 i/ o( M% }执行
7 o4 g- q$ \+ R! n/ jcscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True # p0 @" M8 P8 Q8 q
最后需要重新启动iis 4 _9 H9 G! ~5 ]; F; ]9 r4 F
6、如何解决HTTP500内部错误' I; m% }8 `2 h. T4 y( f: a$ ~# Y+ N
iis http500内部错误大部分原因
1 _, L7 x, v% g: O' N, U主要是由于iwam账号的密码不同步造成的。 n/ { h/ v! h+ Y
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。0 j, ^( R$ f# p
执行
# T9 _5 v0 K) h- j, T: d4 ]* D, @cscript c:/inetpub/adminscripts/synciwam.vbs -v% j; v, m$ j; U+ _
7、如何增强iis防御SYN Flood的能力( ^% X% J8 {( n: A
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters]
0 u* U/ }: k# [1 u# T7 c8 a9 A启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
; e9 `8 L* [* O3 ?, Z"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。- G2 L2 V) h& w$ B: z8 i. V9 l- e( j
"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:000000509 K" c/ z4 {( C+ ?
设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 7 W: t3 _" v. x, Z
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
( s& Q- C1 @9 o, C+ L微软站点安全推荐为2。7 Z1 X8 d8 y! b
"TcpMaxConnectResponseRetransmissions"=dword:00000001
& A+ }- g4 ]5 Z4 I# ^1 Q3 T+ c设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。 ' T; j, c7 Z0 F8 C' B8 F
"TcpMaxDataRetransmissions"=dword:00000003
' ?, ]! }2 z/ z, u" J7 c" n$ s7 [设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。6 ]8 Q( }9 {+ ~/ D7 z4 U+ `
"TCPMaxPortsExhausted"=dword:00000005
! l, g/ J( X$ M6 c3 A# J禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。
9 [' K, R" ~8 _! G# ]. P% o"DisableIPSourceRouting"=dword:0000002
X4 {' ] Y3 u& C限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
6 E: a' D ~! l& n"TcpTimedWaitDelay"=dword:0000001e
+ _8 _6 w* r" o0 q- }+ @
: E E5 ^' ^# Z1 g" K5 K3 G8、如何避免*mdb文件被下载) P( l+ `$ {1 }3 J( Y
安装ms发布的urlscan工具，可以从根本上解决这个问题。# s2 D( c& o! s* Z, i, T
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。 + A2 ^# m" p l6 S
9、如何让iis的最小ntfs权限运行
8 \) C: s7 n* K, M w依次做下面的工作:
' j! T4 P: M4 B. }' oa、选取整个硬盘： h( w: A% l$ _% y2 j
system：完全控制2 M4 j7 f$ A+ ^# x
administrator：完全控制9 p% j1 W5 t' W! m" Y* \
(允许将来自父系的可继承性权限传播给对象) b、/program files/common files： % t2 ?/ V. U) K
everyone：读取及运行列出文件目录读取 * W) f: x" m6 |
(允许将来自父系的可继承性权限传播给对象)
6 O1 Z( j7 O0 K \c、/inetpub/wwwroot： . W/ F9 C' s9 N* v' U/ s
iusr_machine：读取及运行列出文件目录读取( s7 A' Q! R/ g B4 ^8 v: ?" ~
(允许将来自父系的可继承性权限传播给对象)! H! p# [7 f3 b9 z
e、/winnt/system32：# [8 ^; T8 s6 e. z
选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
) K8 `/ I C- [" nf、/winnt： 9 y; a& N) r9 N: J
选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
) T# |6 `8 i; ~. H5 Ag、/winnt：1 ~, [" k i2 [* x4 B4 Q& I, x; ]
; N& M( a+ f* a( N' j8 A8 qeveryone：读取及运行列出文件目录读取
1 E# [1 Q& }/ W0 C(允许将来自父系的可继承性权限传播给对象)
0 P! L* j/ |( x8 h, ^) kh、/winnt/temp：（允许访问数据库并显示在asp页面上）
- ^# k, b, Y/ u3 G y; }# y5 ?$ L$ Yeveryone：修改 / z* U2 T8 m- M) @0 r
(允许将来自父系的可继承性权限传播给对象)
) I' U. \4 M& x. u8 c10、如何隐藏iis版本 & S8 D& ~5 }1 I) r. w# u* P
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息 ) W( K: P; k% o( P" K- }+ h
iis存放IIS BANNER的所对应的dll文件如下：
' E) h2 h& f A% @WEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL
) C3 k! r4 e& `) yFTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL
P2 F* P' @2 R, Y/ v: B7 SSMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL * j* G6 M+ W) V
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0
: B4 }) Z- t# W; i6 h% ~6 \4 x具体过程如下：; v+ s& t# n/ l* B% C) g/ C3 K' a. K i
1、停掉iis iisreset /stop
i0 ]4 j0 Z: X& x j2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件8 O, f3 A( B e9 |! b
3、修改 |
|
发表于 2008-1-25 02:15
| 