学会十个“如何”打造安全IIS服务器 安全, IIS, 服务器

admin

1、如何让asp脚本以system权限运行- D2 \9 _+ \( r0 O& v8 C
修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
) t6 E% G2 j/ I! e$ P0 }9 Q& n2、如何防止asp木马
5 x9 ~0 d0 B  O; H6 N基于FileSystemObject组件的asp木马
' ?! X3 x! E. ocacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用9 Z8 e& C( `% ]/ u% j% A
regsvr32 scrrun.dll /u /s //删除$ i/ X6 T5 c( `) {1 C! E( V! W
基于shell.application组件的asp木马2 w; c! ^4 g# u, Z
cacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用
+ b+ U: C+ q- T; k# l1 h/ Z4 o; kregsvr32 shell32.dll /u /s //删除
' W* n* \- w8 J+ m2 f" J3、如何加密asp文件 3 c( V9 z! r" T* a& S( O" V( S6 _
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
; U0 }: ?# ~7 X' C& |1 f( Z安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。- |4 ?6 l4 d  M! _
运行screnc - l vbscript source.asp destination.asp
, s! c! W4 d% M! b& C生成包含密文ASP脚本的新文件destination.asp7 ~( g' l( |0 C6 c, ?6 A
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了  C! I" O' B5 q# n& k
但无法加密中文。4 G& N% q9 ^( T# d
4、如何从IISLockdown中提取urlscan ) `- O4 \; O" w  r6 }
iislockd.exe /q /c /t:c:/urlscan
6 y5 ?0 j2 L3 G& o% C5、如何防止Content-Location标头暴露了web服务器的内部IP地址
; x! l/ ^4 Q& E) b执行   h( k6 i  P: n1 b% t0 F- g
cscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True
. F$ X: K; [/ B- z0 s最后需要重新启动iis
/ j0 j: W/ p4 m3 x6 a; V6、如何解决HTTP500内部错误
: M9 ~: p4 B) V9 Z- K/ E/ F0 Liis http500内部错误大部分原因
8 t4 S+ m3 e% U8 s主要是由于iwam账号的密码不同步造成的。+ Y' ]4 n5 i% F) W
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。/ b, S' L: s2 Q: ~2 x8 W
执行 0 J' ^/ @1 U$ f$ V( P) Y/ G5 ?. e8 z
cscript c:/inetpub/adminscripts/synciwam.vbs -v
; f! @& N; ^- O2 r7、如何增强iis防御SYN Flood的能力9 z" h& u6 ^" w  Z
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters] : T+ f- h8 o" r
启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
. b# J6 p) s4 j8 {( E8 r"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。' ~5 V. i3 J/ Y6 B1 v. ]
"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:00000050
5 f/ |) F  H! Z0 ]设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 ; K# P/ h" o( h+ [2 @  j
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
. a* @, t5 b& e  {微软站点安全推荐为2。0 J4 {5 Y6 [! S: c- I9 t) [
"TcpMaxConnectResponseRetransmissions"=dword:00000001
4 n3 [+ l" Z' w. _设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
# H4 Z8 W) p7 _6 s; [4 k7 Z+ u"TcpMaxDataRetransmissions"=dword:00000003# X' {2 @: p$ I3 y2 m& n) V
设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
9 w& r, X# E# K"TCPMaxPortsExhausted"=dword:00000005 * `6 u) ~6 C0 B# f- j' e) n1 w8 O' B5 J
禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。 " X5 j& V$ a4 g  x& w: E
"DisableIPSourceRouting"=dword:0000002, E+ l# _+ X- Z
限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。7 b( H: y3 n( h- n, C2 D
"TcpTimedWaitDelay"=dword:0000001e
9 l+ n" g% A1 g  v; z3 x
/ C  c2 ^5 f9 o9 v3 M$ f5 g5 s8 D8、如何避免*mdb文件被下载
; R3 q' F+ g. O+ l" @3 }$ {安装ms发布的urlscan工具，可以从根本上解决这个问题。
7 K# t0 w" H7 e. a: ^. |  Z; O7 e同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。 % n9 C- \% U; j. H
9、如何让iis的最小ntfs权限运行 ( u1 R6 x. X. v5 p9 c8 m" t
依次做下面的工作:
9 O7 X5 z1 z1 x- m4 X  y. {a、选取整个硬盘：
. G  O5 [/ M+ B: |9 s8 \system：完全控制" o+ w0 G; m) o6 d$ g2 P
administrator：完全控制
( G' {7 T/ E3 I' t6 `(允许将来自父系的可继承性权限传播给对象) b、/program files/common files：
4 I2 |" R9 y# y: J. o/ Veveryone：读取及运行列出文件目录读取 # T! A( t# y! a7 V, A" u5 |
(允许将来自父系的可继承性权限传播给对象)
/ P) B! Q! W' f1 Zc、/inetpub/wwwroot：
2 [8 x" v" t# ~- yiusr_machine：读取及运行列出文件目录读取
& P9 t& g/ R( G- F(允许将来自父系的可继承性权限传播给对象)
7 V+ M; T5 Q& r0 ]. |9 N* U2 xe、/winnt/system32：) m2 |% ?; {2 S5 i: `1 c- b! N
选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 7 V; e/ a# I9 p9 U% K' Q6 S
f、/winnt： , @, C) v, H( C
选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。/ ]; Q, {/ w  T% @: G/ }! a
g、/winnt：
8 z& w4 X+ p) ~- l/ g- u( Z　　$ F$ e6 Z6 k$ L! r6 |/ {( a, }
everyone：读取及运行列出文件目录读取
0 ]/ C8 z' a, ~5 Z(允许将来自父系的可继承性权限传播给对象) 5 J( c3 h- ?5 v7 U3 ^( A
h、/winnt/temp：（允许访问数据库并显示在asp页面上）
, z: P2 e: ]2 }6 X1 f. H1 B$ qeveryone：修改 - E* W0 C" a! b+ w" K. d  Y  y
(允许将来自父系的可继承性权限传播给对象)/ v5 u7 U9 Z6 o: o1 J
10、如何隐藏iis版本
% d. }$ D0 l1 H5 y+ V一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
+ y) r! d; a8 E% _iis存放IIS BANNER的所对应的dll文件如下：( Y9 L1 w" e7 J* Y5 v7 t- W' T
WEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL
) M9 L5 K+ V' |9 ZFTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL" @4 E' {1 e7 K) [, g1 H+ k
SMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL 3 V% w$ ~  I1 c/ v4 ]4 z: x% K
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0
/ z- g" b2 M, R# l" S具体过程如下：: S: l" ]9 O8 ~/ |: v
1、停掉iis iisreset /stop
# E+ U: R- w3 s% h$ r2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件8 F. P- w  `% Z. L
3、修改