|
 
- UID
- 1
- 帖子
- 738
- 精华
- 28
- 积分
- 14247
- 金币
- 2414
- 威望
- 1647
- 贡献
- 1362
|
1、如何让asp脚本以system权限运行
7 ]& T+ c; [' w' u" o/ E) b修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
" C- q$ F& V. G2 v1 l+ y2、如何防止asp木马
) `+ H+ P' m0 a. d! O基于FileSystemObject组件的asp木马
2 C" }# {5 ^8 f: d8 T9 [# c9 t8 |1 [1 xcacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用
' ]0 i( a c- m) P7 C- j1 Tregsvr32 scrrun.dll /u /s //删除
, Y$ u5 v+ I+ G8 C7 U- {! H+ M3 g8 }基于shell.application组件的asp木马
; a; F: n; O! [4 w( h* z# U2 icacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用
" b4 x6 {3 U! u$ }8 y \* hregsvr32 shell32.dll /u /s //删除 6 R6 x5 n$ I$ h p
3、如何加密asp文件
- ^6 C. O* U" P' o' r+ r从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
% H- D, `+ Y9 {, u安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
$ b- o; ]* y' _; R- t运行screnc - l vbscript source.asp destination.asp9 Y4 L" }: I' S# c6 _( v a
生成包含密文ASP脚本的新文件destination.asp
5 l X8 y/ U2 u; Q6 A/ v用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
" M2 `) {, U! K1 f `# M但无法加密中文。+ u+ a2 v+ K* @
4、如何从IISLockdown中提取urlscan
! E' E+ k4 I# B+ xiislockd.exe /q /c /t:c:/urlscan
" H1 D( R8 G% n2 [+ t! ^5、如何防止Content-Location标头暴露了web服务器的内部IP地址 $ s7 ^+ k7 R3 ^; H+ a6 E8 g. l
执行 9 A% i0 V- u# O4 t" t7 j
cscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True
: F' e9 x. M( \0 `最后需要重新启动iis
: c% o! w" k* x: O2 Y1 a* ^. A6、如何解决HTTP500内部错误- v$ m) p. X9 _/ j1 c; n6 s
iis http500内部错误大部分原因 O' V$ q" J8 r8 ^
主要是由于iwam账号的密码不同步造成的。! K: h0 u1 Y/ g) c1 v' q! n' M
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
6 H3 a" ~( ~4 q! V+ W* D0 C6 s执行 ' s7 P; d$ c7 E( Y# R$ u. w
cscript c:/inetpub/adminscripts/synciwam.vbs -v2 T$ Y) V5 a5 K# E# @! \
7、如何增强iis防御SYN Flood的能力( g( S8 c+ |2 V
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters]
' q6 w( b' C0 G, J% W V8 w4 g启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。4 U, V& d* L/ v2 r6 m8 e
"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
. W2 [: ]: w1 |# G"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:00000050& J: e- G& v1 t$ A) T
设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 6 K% m0 B# V6 C7 b$ F
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
8 p- v) a! x% F; E/ t! T4 h8 r微软站点安全推荐为2。
& T3 X# o4 X$ g S2 U2 I"TcpMaxConnectResponseRetransmissions"=dword:00000001 0 p1 ^* ]; n8 B; v/ V; ]4 G
设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
2 s; ^$ G" W- m& U"TcpMaxDataRetransmissions"=dword:00000003 ~9 N/ t1 I" I$ P4 L) @0 D5 X
设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
j; A( Y; {% c9 z2 ]% u! @"TCPMaxPortsExhausted"=dword:00000005
) @, w1 M) U& c( t1 @禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。 & y4 _" ?' @5 y7 ~2 |
"DisableIPSourceRouting"=dword:0000002
0 c9 n8 @7 H: i限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
9 J$ y0 o7 n/ r3 @% a"TcpTimedWaitDelay"=dword:0000001e
) l. D7 F- I* j1 |8 ~2 e, \, U; [# L9 v
3 s! d5 U6 s! a$ J4 [' |8、如何避免*mdb文件被下载) h$ b/ k5 v/ ^8 m+ c' [3 B
安装ms发布的urlscan工具，可以从根本上解决这个问题。
4 u q- p' j( ~) J同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。 4 r% ]6 I% Q6 r& ~" r
9、如何让iis的最小ntfs权限运行
! d% E1 w# G4 g! M p依次做下面的工作: % V+ l" Q) @& ~& k
a、选取整个硬盘：
' _' x1 W* s1 n) Zsystem：完全控制 B2 A9 B' f: u! ]
administrator：完全控制, ~9 g! P5 g3 ~* M) d& l9 [- ^
(允许将来自父系的可继承性权限传播给对象) b、/program files/common files：
! p% t4 z/ a. D& j7 Ceveryone：读取及运行列出文件目录读取 0 }- \8 j7 C$ \ O% H$ H& ^
(允许将来自父系的可继承性权限传播给对象)
& k; p. Q6 H% G, lc、/inetpub/wwwroot：
) R3 o4 V! {" v# liusr_machine：读取及运行列出文件目录读取
8 |- t* d1 w- g3 n(允许将来自父系的可继承性权限传播给对象)
; U- e s' t; L3 C# N# je、/winnt/system32：- a+ e2 |+ Y- b6 {1 V3 o
选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
- K; k( k' `- }& Z8 ~f、/winnt：
- j8 k4 n7 j9 k8 A* H选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。: e- i0 @: Y* }2 N! K& \& D# |
g、/winnt：
: ~" {9 {. [* e$ `+ M
9 M/ a) Q/ J: | q" a# `everyone：读取及运行列出文件目录读取9 }5 T$ z: Y. ], D- [9 r0 }6 D
(允许将来自父系的可继承性权限传播给对象) 3 y7 w3 p7 P3 |
h、/winnt/temp：（允许访问数据库并显示在asp页面上） $ N+ ^3 \" f3 R( ~
everyone：修改 + K; B3 c+ r" e
(允许将来自父系的可继承性权限传播给对象)
+ X9 l! M' D U/ @; k3 `0 u10、如何隐藏iis版本
# v+ p3 ^6 ?+ i0 U# O一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息 ! p4 m6 O9 O3 g; f7 B/ T% ~* G1 I
iis存放IIS BANNER的所对应的dll文件如下：- @( a! s/ K# i b" M! A7 y0 L( a
WEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL
5 ~2 _/ z8 X% A+ r4 }3 DFTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL
Y* h8 e4 y8 c7 L6 a: h7 S$ ySMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL ( h O1 q' n# L5 Z, g
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0
$ q0 H4 \9 ?5 R3 ^+ D W具体过程如下：+ ]# h5 p3 h u/ |0 Z) b/ Z
1、停掉iis iisreset /stop
$ A1 R3 l1 S7 H2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件
, s1 J4 U3 E- R6 k; S3、修改 |
|
发表于 2008-1-25 02:15
| 