|
 
- UID
- 1
- 帖子
- 738
- 精华
- 28
- 积分
- 14171
- 金币
- 2376
- 威望
- 1647
- 贡献
- 1324
|
1、如何让asp脚本以system权限运行
9 u+ v- V V% ^) G a6 V1 F I修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低".... / Q; C+ Z" [" k c L% s
2、如何防止asp木马
0 h) q" w- X1 C8 t; `& R( D基于FileSystemObject组件的asp木马
: p5 p- S$ ]* v! C% ?cacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用
) r* |) w8 K- f* a% B7 `. Fregsvr32 scrrun.dll /u /s //删除
( R3 J+ h7 L- {+ c5 B基于shell.application组件的asp木马
0 Y$ \* P. h r. Y2 dcacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用
, j8 Z; T2 ]4 z6 M" m& w+ Aregsvr32 shell32.dll /u /s //删除
8 R" r: E$ Q* z' V3、如何加密asp文件
3 s8 q5 |, }* z从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
# t2 {2 V+ O8 \6 C+ _安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
. g% F" e- A3 j3 o运行screnc - l vbscript source.asp destination.asp+ _8 i4 b5 R% n3 Y6 T9 ?9 g
生成包含密文ASP脚本的新文件destination.asp- F, T2 _3 d8 u4 }* S3 H
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
/ K5 G: }3 [; r0 f但无法加密中文。
8 J% r! I/ S' T! w; B5 l+ R: ?4、如何从IISLockdown中提取urlscan 3 g N" P( B; ^# Y2 n1 F+ O
iislockd.exe /q /c /t:c:/urlscan4 Z0 Z" Z. i" P$ z
5、如何防止Content-Location标头暴露了web服务器的内部IP地址
; ` T# O% e" F执行
0 p: N I% o& X3 scscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True 4 f6 ^5 X! _: ]* B; g+ O
最后需要重新启动iis ' J1 e; v B$ Y
6、如何解决HTTP500内部错误
* T$ z3 M' x M6 v) o) e2 F$ ziis http500内部错误大部分原因( n- J" @1 T% [, G9 j; C) k1 A
主要是由于iwam账号的密码不同步造成的。0 a" f) X& w! a9 W: E" n2 Q8 S
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
0 H# d7 s5 o; t Q5 {) o执行
) g ]* `7 S, e( h6 ^cscript c:/inetpub/adminscripts/synciwam.vbs -v
- s; y. k# V" `. A7、如何增强iis防御SYN Flood的能力
; E) {7 T1 c* b6 ~Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters]
, n% l6 C0 m& ~7 Q启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。8 R! F7 i5 F; S- E" }; y. o/ d
"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
: ~* D& B3 A1 Q7 ^"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:00000050
+ X* s/ c# O i$ T+ C设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
' S# {: {9 ]3 Q, L/ s项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。$ e: c4 J. j; E
微软站点安全推荐为2。4 z1 C4 [: {: C! S/ d% `
"TcpMaxConnectResponseRetransmissions"=dword:00000001 : Y6 a5 O1 b9 n: q
设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
+ W7 T( U' e, n4 D"TcpMaxDataRetransmissions"=dword:00000003
# M% p' L% V! l设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。) V% l" i: L7 S* M
"TCPMaxPortsExhausted"=dword:00000005
3 {, @& K% z6 q/ u0 @" c2 J! @禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。
, k7 f0 n" Z) H8 _ J: `1 @"DisableIPSourceRouting"=dword:0000002
3 z" {; f" d$ P, r' c/ S5 X @( \限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。* X* B% z- w! ]7 l: M
"TcpTimedWaitDelay"=dword:0000001e/ Z7 H0 h& K: h7 T$ |
. `- K* _1 S$ b0 B" v
8、如何避免*mdb文件被下载0 H/ _+ @" G a2 U1 f$ D# R0 ?
安装ms发布的urlscan工具，可以从根本上解决这个问题。8 Z1 d, J& x: r" ?$ h1 n' N% M2 h
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。 : X0 H9 p* [ c7 s
9、如何让iis的最小ntfs权限运行
$ F M) X& ~8 A6 s% i5 b8 y* b依次做下面的工作: $ ^8 n \3 Y( s. z
a、选取整个硬盘： 4 t4 |* Q6 J* [6 E
system：完全控制+ l7 X( W3 S$ G
administrator：完全控制
3 U& ?6 ]# P2 `7 t(允许将来自父系的可继承性权限传播给对象) b、/program files/common files： 0 Z$ I: c# j" S" t
everyone：读取及运行列出文件目录读取
" K) x& B- s" N(允许将来自父系的可继承性权限传播给对象)
8 `$ K" d* R: X$ O8 hc、/inetpub/wwwroot：
X; r6 K4 j/ ~4 riusr_machine：读取及运行列出文件目录读取
. _3 }2 e: E5 m1 W* z- |(允许将来自父系的可继承性权限传播给对象)' i0 D0 Y8 _# _5 s- l
e、/winnt/system32：
+ D+ f5 b/ }( P! W# B选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 , |0 l* I( g1 o
f、/winnt：
U M) i$ q V& b( q选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
6 d# g% q @9 d4 N4 ig、/winnt：# z- G2 r" M: }: ]. W& ?" o2 ]
9 {) G& E4 x3 Y4 p. ?9 P9 U1 s4 Xeveryone：读取及运行列出文件目录读取$ L$ V4 C0 f$ D1 V0 C, K
(允许将来自父系的可继承性权限传播给对象) 3 L9 g) U, s1 F' j# R: R
h、/winnt/temp：（允许访问数据库并显示在asp页面上）
$ \- g- ~# }! M- severyone：修改 ; P, G4 V6 L. F5 E0 t; p
(允许将来自父系的可继承性权限传播给对象)( v' d. `& ]( i; ~) N/ U) I; d
10、如何隐藏iis版本
, G' ~+ l5 z4 D d s" r/ S一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
6 K, `9 h1 @4 Jiis存放IIS BANNER的所对应的dll文件如下：- u9 R* c9 G5 Z" n* s
WEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL
$ V/ L6 Z5 R, V9 V: qFTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL
/ `3 n2 E+ L/ y$ |SMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL * U9 M: Y7 L) S4 i7 j X- M7 r
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0
; A3 B8 ?5 ~8 R$ y }# f. ^具体过程如下：
& t7 ]- e* {1 O# d1、停掉iis iisreset /stop : W: {5 v- t) G$ J
2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件
4 }6 U7 ]+ F5 ]3、修改 |
|
发表于 2008-1-25 02:15
| 