|
 
- UID
- 1
- 帖子
- 738
- 精华
- 28
- 积分
- 14443
- 金币
- 2507
- 威望
- 1647
- 贡献
- 1455
|
1、如何让asp脚本以system权限运行+ f: W( C5 K3 F
修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低".... ' G+ q! b, [. Y3 T8 K3 ^' u
2、如何防止asp木马 8 d/ y! f2 `$ b ~9 A0 J
基于FileSystemObject组件的asp木马 ( ~& i3 W0 b* t8 m5 P& j, Z2 {
cacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用4 G( {; _7 V1 A- d
regsvr32 scrrun.dll /u /s //删除7 {: I# k/ B) u. I, e$ O
基于shell.application组件的asp木马! H7 _2 [( i1 t9 U2 H+ U
cacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用
: B( F1 ^& @" Y; B# Oregsvr32 shell32.dll /u /s //删除 4 u- z9 s0 |8 d8 q8 D' w
3、如何加密asp文件 ; b. M0 g' d* q
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
5 c) W, e! c0 Z- H' V. p9 J安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。7 n! L2 m& z" ]* C/ ^' B9 C# H
运行screnc - l vbscript source.asp destination.asp
! U0 E$ p% b& R生成包含密文ASP脚本的新文件destination.asp; _# a' k" L" |3 v1 C6 g
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
2 G# i- Y! ^( M7 ~# h! ^% l3 x但无法加密中文。
- Y6 T5 d: D8 Z; U1 d4、如何从IISLockdown中提取urlscan 0 R2 `7 P% n$ q; M" s g" C
iislockd.exe /q /c /t:c:/urlscan
( r% t1 c- ^( K/ `5、如何防止Content-Location标头暴露了web服务器的内部IP地址 $ C* ? X' o! v: {6 w- b+ t Y
执行 9 o! y% z! \, C2 w& A7 t1 |
cscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True
% r$ z7 ~: k) w/ o" ^最后需要重新启动iis
D/ W; N2 ~9 ~# L6、如何解决HTTP500内部错误
! n) H2 ] P& k0 L: ?0 Xiis http500内部错误大部分原因: J% R6 x7 Z8 s
主要是由于iwam账号的密码不同步造成的。
3 T5 n6 w. Y, r2 z0 J1 y我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
- H w, o, `4 j; L$ { A执行 1 @, H; v6 J" S% F8 H1 {
cscript c:/inetpub/adminscripts/synciwam.vbs -v
) ~& ]# ]& m6 q7、如何增强iis防御SYN Flood的能力6 @# X6 W+ @( P% |' |
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters]
) ~3 k, k+ k$ l! b3 C启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。1 o7 ~6 O9 t- Q* q6 Z& C" i) {
"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
R3 d9 C$ K) x8 p5 S( X* b"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:00000050, d3 n1 K( T* k! v" Y
设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 4 x; X+ ^5 T! {% u
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
$ \+ L! s2 [' X% B6 N D( {微软站点安全推荐为2。
) }% `6 X" ^* _9 o b- C5 J+ ["TcpMaxConnectResponseRetransmissions"=dword:00000001 ' O2 w! A/ l, W3 B, f3 B
设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。 ; }1 q% l; M( L
"TcpMaxDataRetransmissions"=dword:00000003
+ X" ^" ~8 ]' z设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。9 @. [8 i$ _* m2 A! }) R
"TCPMaxPortsExhausted"=dword:00000005 5 Q- U2 b. p" ~/ K' ?
禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。
0 R" V5 J5 a/ b/ a"DisableIPSourceRouting"=dword:0000002. K% k _ w# ^1 x2 B+ D6 a
限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
: F) U {5 _/ `; F"TcpTimedWaitDelay"=dword:0000001e$ y4 G1 G- K. w7 z
- B4 [# ~) |3 Y- y! N8、如何避免*mdb文件被下载& F& G5 |9 V" @* ^# _
安装ms发布的urlscan工具，可以从根本上解决这个问题。
8 f+ G& ~3 S3 d6 }9 W+ ~& s2 p同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。 ' F; U) F2 r" }0 D* D _0 c
9、如何让iis的最小ntfs权限运行
! @* v! t8 A9 V# j4 v" c; \依次做下面的工作: . B* g$ Y; F' M$ p: r8 J6 J
a、选取整个硬盘： . ^, ?. ?6 J z! H6 u
system：完全控制/ O/ u- ^+ Y; ]- v8 _7 E
administrator：完全控制& l& l( ]3 K Q4 Z4 b
(允许将来自父系的可继承性权限传播给对象) b、/program files/common files： X: H J, m$ i0 N% r9 \
everyone：读取及运行列出文件目录读取
1 {2 D" z7 L5 K" w(允许将来自父系的可继承性权限传播给对象)
, x. G3 j! k) x7 A, Zc、/inetpub/wwwroot： 3 e: U! T+ P# \) ~. y
iusr_machine：读取及运行列出文件目录读取
; t! o+ H1 |9 v# n- e(允许将来自父系的可继承性权限传播给对象)$ N0 p8 \+ E- M6 f
e、/winnt/system32：& H, p. v, q) p8 s* z! y
选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 9 C8 {5 ?% c# h$ E( H
f、/winnt： 0 {1 @& n- |" I% D
选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。( e0 s% p' Z8 a( B3 o% o1 x$ M
g、/winnt：
% u2 y- g5 Q+ h, g( M6 j - r; |% O2 ]/ a: T
everyone：读取及运行列出文件目录读取
; a# D4 T$ ~( p- c/ @8 P( P(允许将来自父系的可继承性权限传播给对象) 7 b- B1 Y s' \$ \
h、/winnt/temp：（允许访问数据库并显示在asp页面上） M+ f0 l2 a: d7 K3 d8 k1 ^: k
everyone：修改 $ L9 N: f# ^ k5 K5 A; i( o
(允许将来自父系的可继承性权限传播给对象)
. `5 R0 Z! B+ W2 m9 t; `10、如何隐藏iis版本
& b6 D0 |/ b0 S! R4 D) o一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息 . c8 Z, e$ u+ c4 K: O
iis存放IIS BANNER的所对应的dll文件如下：
, N* \6 R: P% m- xWEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL
- M. a4 }# O3 G+ S# G4 }FTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL
8 _* f9 A/ _1 _ ZSMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL
( \# x( {" D+ O/ w你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0 4 p6 j3 J! e% \9 k
具体过程如下：) v9 z/ \ c3 l* s0 j, S4 Q
1、停掉iis iisreset /stop
* j2 [0 D& x8 [% |0 h. Q0 v4 q2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件3 w1 L- I) Y" Z0 }2 E
3、修改 |
|
发表于 2008-1-25 02:15
| 