|
 
- UID
- 1
- 帖子
- 738
- 精华
- 28
- 积分
- 14347
- 金币
- 2459
- 威望
- 1647
- 贡献
- 1407
|
1、如何让asp脚本以system权限运行
( L8 N- C4 L& L: d$ o/ F; B修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低".... 4 L6 ^4 w/ a5 v. T
2、如何防止asp木马
- D5 R8 @: r3 R) l3 Z: t基于FileSystemObject组件的asp木马 ' d3 e1 Y+ z5 ]; K5 m: E6 j
cacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用( D" a6 x! ?- f7 P
regsvr32 scrrun.dll /u /s //删除8 b% X( V0 f5 N( }3 P9 s' O9 v
基于shell.application组件的asp木马
! m, Z! b2 i' Tcacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用
1 P1 z3 {/ T4 V5 j3 gregsvr32 shell32.dll /u /s //删除
% i$ t! s6 u' C4 x3、如何加密asp文件 & h5 y- ~0 c* X3 p. s2 G% [! T' A
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
2 d( P! \0 `# @) { c% k; p安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。* s) e; r! @, n$ }3 M) _) R f
运行screnc - l vbscript source.asp destination.asp
0 D, F6 `+ I/ @2 p9 |' J6 Q8 O生成包含密文ASP脚本的新文件destination.asp& C' T* W* F2 ?& e
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
y; U3 e; H* ]& ]" V但无法加密中文。0 T7 b. `& M- V( Y$ d/ L* }% V
4、如何从IISLockdown中提取urlscan 9 G- @! d6 D* _$ Q" \) J: `' Z
iislockd.exe /q /c /t:c:/urlscan
; v4 S0 y& F2 Y9 A5、如何防止Content-Location标头暴露了web服务器的内部IP地址 # N/ s, ]$ _1 {1 X
执行 3 c# L N" D6 z- ?8 m4 y7 q
cscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True
o! ^% O- m. T+ t4 m: S) q最后需要重新启动iis $ G2 E8 k5 E" g" u/ S% C2 t* f: \8 z
6、如何解决HTTP500内部错误- B8 S: m( J/ `. t+ _ ]0 `4 @
iis http500内部错误大部分原因
7 A, m% S; O3 S. X: y6 ~" l主要是由于iwam账号的密码不同步造成的。
, g: D3 M1 G% ]) s我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
% W" O* d1 \+ A/ D- C5 F执行
/ Q) L/ ]! Y( Z3 O5 G6 rcscript c:/inetpub/adminscripts/synciwam.vbs -v
1 g' [5 R$ I2 g+ F; m7、如何增强iis防御SYN Flood的能力& a8 s. ~2 X. M2 D* m' m5 S
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters] 1 |& T5 M' n1 S
启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
( T+ _7 g: f( w! m' E"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
+ E% @+ ~% X1 l2 _& _% b3 O"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:00000050& ^) N1 L8 Z' ?1 n" d) J
设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 S* {7 W) d# g0 a7 m _
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
4 s$ A. p0 u% r) ~# d- x微软站点安全推荐为2。6 x* ~% j, C9 x6 C# x
"TcpMaxConnectResponseRetransmissions"=dword:00000001 ( v: V7 m. ]( s( ^
设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。 $ H; ^3 j+ Z0 P
"TcpMaxDataRetransmissions"=dword:00000003. B& w, d- E' u' y
设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。/ K( g, X7 O2 E
"TCPMaxPortsExhausted"=dword:00000005 9 _7 c# O4 T- d1 E) `5 }
禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。 $ P" r* e: X' b& p7 ~( j
"DisableIPSourceRouting"=dword:0000002- \0 y/ _* T. J1 m/ s
限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
! T* f( z# R/ x3 Q1 A8 b4 z! B, @6 w"TcpTimedWaitDelay"=dword:0000001e: ^$ m& j- q- N7 x0 F: ]4 n
7 J+ B' N4 T6 A8、如何避免*mdb文件被下载
2 [' g u$ E( c+ W安装ms发布的urlscan工具，可以从根本上解决这个问题。6 l( q7 J* S/ i& i
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
5 q: u$ d/ w0 \9、如何让iis的最小ntfs权限运行
" k9 B. \# {, B) a: k依次做下面的工作:
4 f3 Q; g! ~( g6 _# Q" Ia、选取整个硬盘： ; w! F$ {. ^- J' G# o) x1 D# U9 j- b
system：完全控制
* a8 o) q: \- ^0 s. f# Dadministrator：完全控制
8 x) Q0 E. b+ b$ ~7 s5 e2 g(允许将来自父系的可继承性权限传播给对象) b、/program files/common files： * p7 m7 b% [1 Z) ~2 B, X# q
everyone：读取及运行列出文件目录读取 7 v6 Y! o7 Z1 ], p
(允许将来自父系的可继承性权限传播给对象)
5 Z. J' `9 p1 Cc、/inetpub/wwwroot： ' `& g# D" Q1 s- t( d
iusr_machine：读取及运行列出文件目录读取
7 c! k& Z: Y1 ~4 @(允许将来自父系的可继承性权限传播给对象)
% p# R; a- E/ H# f8 c; d0 _* h. ge、/winnt/system32：3 q, i8 O1 l5 s$ j
选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 $ t5 T+ _( q* x0 `7 ^7 D0 `4 T
f、/winnt： 4 p! c2 `( `$ q5 p" T- [2 Y* g
选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。, j8 B& I" d* D q
g、/winnt：+ {( ? [+ F6 C5 g
2 m2 T7 ] O& ^* L+ K/ I
everyone：读取及运行列出文件目录读取
1 R8 p# K: h1 s3 t(允许将来自父系的可继承性权限传播给对象)
4 @; s. J# d: C: K3 `h、/winnt/temp：（允许访问数据库并显示在asp页面上）
& W6 t! _; ]! f m/ t; ?6 j, veveryone：修改 $ Z# E9 n# h1 y
(允许将来自父系的可继承性权限传播给对象)( O& B0 r9 ]3 D2 P' R
10、如何隐藏iis版本
! G# W% |1 N' g* [ D5 K+ A一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
& ?) R- O; V% Diis存放IIS BANNER的所对应的dll文件如下：
. K$ C: P; l( K- G* s4 C- CWEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL # ^/ @5 \3 O0 X1 k# f( `- U5 ]) q5 Q0 |* y
FTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL: S$ y$ P9 V8 W6 O" d. x
SMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL 0 W" c3 x5 f6 K) S' h2 u
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0 5 c/ h. a* b: T6 q
具体过程如下：
9 i: @: c1 z. i. C P1、停掉iis iisreset /stop 8 M+ p {4 _# m0 A
2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件
: \1 m$ ^8 H1 x2 z3、修改 |
|
发表于 2008-1-25 02:15
| 