学会十个“如何”打造安全IIS服务器 安全, IIS, 服务器

admin

1、如何让asp脚本以system权限运行4 ?% Z$ ?+ Y5 Z! `
修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低".... 5 T9 V6 j" B$ I* k3 g* i
2、如何防止asp木马 5 M5 n' q5 o! a+ G) L! i5 ~( T( v
基于FileSystemObject组件的asp木马 ) w, Z" m; c# d1 o3 T) H4 W) B% v
cacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用6 W1 h4 |, S9 ~$ w3 ^7 W
regsvr32 scrrun.dll /u /s //删除
9 d, c/ ^! ?* P* w基于shell.application组件的asp木马
- G  \& q) S- R+ s8 Rcacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用 ' V8 J5 L+ Y% F$ K4 u/ \
regsvr32 shell32.dll /u /s //删除 2 j8 Q5 i( l7 [6 |3 b# Q
3、如何加密asp文件   t) J% i. `% e
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
5 ~# ]2 r( |& T& K; @安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
) `" O( M, q3 g' l; |运行screnc - l vbscript source.asp destination.asp
7 \5 `) u4 F+ e生成包含密文ASP脚本的新文件destination.asp
1 G( n- f/ Q- L& ]: p- N用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了! H! Z2 y: d9 W" q8 W
但无法加密中文。
, A5 _8 N: t1 |/ x! |4、如何从IISLockdown中提取urlscan 0 \* C2 i. Q( ^5 F
iislockd.exe /q /c /t:c:/urlscan2 I! Q: t7 o- l+ o- g& n% n% G
5、如何防止Content-Location标头暴露了web服务器的内部IP地址 % m; C4 w( O7 o) ^. j
执行
% r6 u" u0 @5 Y. `( tcscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True
2 o( Z) e, c9 F/ v8 _最后需要重新启动iis
, K1 O2 a9 o' j6 O, L4 V6、如何解决HTTP500内部错误
6 ~0 G* y( `# {* _. S4 i) |% eiis http500内部错误大部分原因2 j( S% `  |5 o. J8 Q) P
主要是由于iwam账号的密码不同步造成的。
/ _7 {( w3 L; g9 |我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
' |6 {) S# F% r" k, @5 |执行 . L4 i+ Q' e( i# j! E- k* b
cscript c:/inetpub/adminscripts/synciwam.vbs -v
$ S8 `" t" `# M4 B' x! o7、如何增强iis防御SYN Flood的能力
2 f1 }& n" \9 p! y( fWindows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters] 5 g) G' ^$ K9 x7 `: z! e, O
启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。0 u- M& L+ k( y: }. ]4 s
"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。1 {- D4 z3 c" E/ R+ B/ q
"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:00000050
7 H# E; A1 h+ o0 q' q; ?设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 0 M8 L+ a, ^9 j8 k
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
6 |9 F1 d9 |' B% E/ A7 W9 D% _微软站点安全推荐为2。
7 D/ _1 |6 i8 l* r3 k"TcpMaxConnectResponseRetransmissions"=dword:00000001 - B% Q% \% O5 Q5 @
设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
9 |# U1 [8 N5 j! A"TcpMaxDataRetransmissions"=dword:00000003% B/ e! J, e2 A' n+ Y5 k
设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
+ l5 g% W2 i' F' K. v"TCPMaxPortsExhausted"=dword:00000005 ; {  f* D( C; A' j
禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。 9 \( l- o. ?+ ]# w
"DisableIPSourceRouting"=dword:0000002! |0 R4 w/ T* U. k- Z
限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
7 y- J. {! ]$ I$ ]% h/ \"TcpTimedWaitDelay"=dword:0000001e1 U9 T# x/ e- n' x: ?. ]

4 H5 o% R  D# H! Y, i/ A$ @8、如何避免*mdb文件被下载# k0 J/ ^+ _. l1 Y' j
安装ms发布的urlscan工具，可以从根本上解决这个问题。
* P1 K, R7 l! E) D0 u同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。   t8 v& B2 Q# I! \+ Q: [$ P- ]
9、如何让iis的最小ntfs权限运行 0 d# t4 M& m7 n# P9 }
依次做下面的工作:
1 {$ W2 M) K7 o% b3 Wa、选取整个硬盘： 4 I  u- e! h" S0 p: w1 L  n3 E
system：完全控制9 @3 j" d# F, R: E3 r% N
administrator：完全控制
/ Z  l8 }0 p$ q) ]' {# w" L+ p! [(允许将来自父系的可继承性权限传播给对象) b、/program files/common files： ; n0 n; y9 U  a- k( R
everyone：读取及运行列出文件目录读取 - y7 W# X% c8 y2 p( n
(允许将来自父系的可继承性权限传播给对象) ; b" j' z" O% ~/ X# s$ |
c、/inetpub/wwwroot：
/ R. O7 S. A& Xiusr_machine：读取及运行列出文件目录读取
7 o) }* b3 [5 H5 v! y* M(允许将来自父系的可继承性权限传播给对象)- n( R# x8 S  S( A9 S. X+ ?& L
e、/winnt/system32：+ R$ \+ j2 Q/ t- C$ q5 M8 b
选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 , M; b' t, e# z
f、/winnt： 1 `9 G5 l; f+ A2 @
选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。6 g# q% [1 u; ~3 v2 ~0 I( E
g、/winnt：
- N' R4 B0 O0 @5 s5 L, `+ `　　5 M1 \9 o1 a" x5 F: r& n. g
everyone：读取及运行列出文件目录读取
5 ^# f4 I9 t1 @/ f3 P. e(允许将来自父系的可继承性权限传播给对象)
9 W$ J& J& S) r$ Z8 R6 Zh、/winnt/temp：（允许访问数据库并显示在asp页面上） + X9 |$ T$ \: `0 Z( J) |
everyone：修改 9 T6 w/ L! r8 Z$ d7 z
(允许将来自父系的可继承性权限传播给对象)
9 D3 `1 Y3 Z- X3 O. f* E10、如何隐藏iis版本 0 t3 H/ E1 @; b- [" q
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息 " r1 ]$ v; {% V  G
iis存放IIS BANNER的所对应的dll文件如下：2 x3 y( p: @/ R& Z3 O- B7 b3 E
WEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL + K; n3 o4 B: |* x
FTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL
! `/ D% y+ [" b' ]' gSMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL / }- e/ q" w% {$ x+ W6 M8 S! J
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0
4 \2 p2 a* e0 s5 o3 m7 x- v- l+ {# k具体过程如下：- q' K7 P1 |2 G
1、停掉iis iisreset /stop 1 S1 h, E9 l2 G; O, A  W* Z% G. \
2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件
1 K8 d" C9 W  Q  f3、修改