|
 
- UID
- 1
- 帖子
- 738
- 精华
- 28
- 积分
- 14321
- 金币
- 2446
- 威望
- 1647
- 贡献
- 1394
|
1、如何让asp脚本以system权限运行
: u5 E4 o1 L/ S/ e$ H* p修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
# n; b# {) F4 g1 @* m5 a7 v9 Z4 c% v2、如何防止asp木马
9 L- G( o0 p5 T& ~" c8 H7 Z2 r. T$ p基于FileSystemObject组件的asp木马 * z" I# Z5 p6 L, |1 O4 k9 ?5 C
cacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用* _) k! T5 s* x3 u, P" A
regsvr32 scrrun.dll /u /s //删除0 O4 N8 B f& R' |& |8 ]( S
基于shell.application组件的asp木马- j9 {. {0 I5 @& M, E }2 W
cacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用
4 O5 S: B7 }! [/ Mregsvr32 shell32.dll /u /s //删除 7 X" u+ _' }/ q L
3、如何加密asp文件
( Z5 L0 X+ N2 o) R, [1 M从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。 ' Y* s4 J4 E& R
安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
2 \* E6 g) w0 H+ S( l运行screnc - l vbscript source.asp destination.asp
3 O7 K" f7 i) }$ N/ Q6 D1 ~ W) B4 B生成包含密文ASP脚本的新文件destination.asp
8 q4 z+ n& u! P5 h7 S9 w用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了3 c4 P4 o9 y. V
但无法加密中文。 F! ^5 d9 d+ i- Z
4、如何从IISLockdown中提取urlscan
2 @- q) B- r$ O) s* p- `iislockd.exe /q /c /t:c:/urlscan
. a; h r" v$ u( L5、如何防止Content-Location标头暴露了web服务器的内部IP地址 2 N9 k& q- U. W. e6 \+ V
执行 ! E( ^# s( @$ P% K
cscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True : D$ A4 E3 d9 c$ j' P3 x& J
最后需要重新启动iis " p2 N* k+ g% @! x
6、如何解决HTTP500内部错误
9 s6 x7 d, _8 N o4 r7 Jiis http500内部错误大部分原因7 i$ D8 F2 V( c! Y7 g5 }' b8 e0 s
主要是由于iwam账号的密码不同步造成的。9 h7 ]; @3 @3 G# Y" z. z, }+ i3 b
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
" G" Y# |( s( \& n9 A& ^+ Q1 L执行 . Y, o% L% y4 @8 y6 _
cscript c:/inetpub/adminscripts/synciwam.vbs -v
7 O( O9 _! _3 c6 k( m4 i8 Q7、如何增强iis防御SYN Flood的能力3 }* ~2 ^4 X# Y$ S/ B
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters] 9 e o9 O" p: n5 S+ ]. V4 X8 p
启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
' j) M' b2 l U9 {"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
9 [3 z' d2 c* O* V. Y0 ]$ H"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:00000050
/ f, a+ _7 D) h2 L# D/ N) e设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 7 z9 ]# {: @) C) W1 k1 `- K4 [/ Y
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
! q# ]* ~% w7 q: U- e9 I4 ^微软站点安全推荐为2。
. O7 u7 H9 t7 c2 y* j; }. ~"TcpMaxConnectResponseRetransmissions"=dword:00000001
. d6 A$ z9 ]# K设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。 2 x/ C7 ?% j3 f9 j$ ~
"TcpMaxDataRetransmissions"=dword:00000003
+ T/ a3 K! T% I/ ?4 B设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。: ]- @ \" I4 U3 S
"TCPMaxPortsExhausted"=dword:00000005
% Q# S; b; @% L$ A5 S禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。
' l0 K; C8 j1 N"DisableIPSourceRouting"=dword:0000002( q' f$ X6 ^% H3 m
限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。- S# `6 }& d4 P; e0 ?
"TcpTimedWaitDelay"=dword:0000001e9 e. x4 [! g, [0 } D. y
8 ]" l+ E: Z8 k
8、如何避免*mdb文件被下载
" C/ v1 ?! a8 q E安装ms发布的urlscan工具，可以从根本上解决这个问题。* i1 E- W* x/ {1 ~0 \ `& W
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
( } U; W( u. `& E9、如何让iis的最小ntfs权限运行 % D4 C! c# H0 Y& ]$ W
依次做下面的工作: * e2 s2 M5 }. u5 g6 a) O# @
a、选取整个硬盘： ) O/ N' W- D5 M+ e- b7 Y
system：完全控制
( C( x; O7 _7 d5 V3 Hadministrator：完全控制4 ~5 { ?5 U! [! Y+ Q
(允许将来自父系的可继承性权限传播给对象) b、/program files/common files： , z; \6 ^6 x- x
everyone：读取及运行列出文件目录读取 ; [" t V2 r. h/ \4 G
(允许将来自父系的可继承性权限传播给对象)
/ {" e; o) \9 ]% ?; b. nc、/inetpub/wwwroot：
, n. \" |* M [: t8 A1 x6 Oiusr_machine：读取及运行列出文件目录读取
' k5 `1 _$ P( d( ]9 ^(允许将来自父系的可继承性权限传播给对象)
+ X) d' R/ S9 k# l& \$ y' r7 A, l# g# ke、/winnt/system32：
0 z6 F6 G' d3 E. w& ]' X+ X" t% F选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
. Y1 [$ L6 l) ]5 O% E- uf、/winnt： ; E2 _, ]' z- F( \8 {) L" d8 z
选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
: p5 y" ~" Z& ?& ag、/winnt：
# x5 f/ e$ b: C* a; A
2 X7 ]% ?$ c# t- k( H' E" v jeveryone：读取及运行列出文件目录读取2 B4 V8 ` M7 y2 y) k
(允许将来自父系的可继承性权限传播给对象)
/ ^( w8 O; s( n5 @! ? E- m3 Sh、/winnt/temp：（允许访问数据库并显示在asp页面上） " p( \: m- w) e- `1 ]4 _$ p
everyone：修改 ' @# H2 e* n3 u) E' Z
(允许将来自父系的可继承性权限传播给对象): g& K7 D( q3 C5 `: v
10、如何隐藏iis版本 ! E* F+ f2 B$ b5 l V" {8 v! D
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息 8 D3 I2 I8 R; H# C
iis存放IIS BANNER的所对应的dll文件如下：
6 v& `7 f" ]' I8 R: QWEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL
# G$ j$ Y1 t% P, JFTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL
. t8 X$ S; K8 O1 k/ G* F/ p) ~SMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL * \- N7 i* N7 y$ a
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0 ! D; U# T" ?" c% r( ~" G" B
具体过程如下：5 L1 k7 ?3 ]5 W+ U
1、停掉iis iisreset /stop - h1 L( O E3 ]- ]
2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件
: `9 R" B7 x( H( H- W+ b" _7 \3、修改 |
|
发表于 2008-1-25 02:15
| 