学会十个“如何”打造安全IIS服务器 安全, IIS, 服务器

admin

1、如何让asp脚本以system权限运行# s" Y' O8 r* r0 I
修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低".... * N4 \7 \% I* A
2、如何防止asp木马 2 _. v% f, ?4 k
基于FileSystemObject组件的asp木马
' Y# [( X- k. g4 F- D8 _% U! scacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用  K& b3 U0 j$ ^" ~6 L5 ^+ ?
regsvr32 scrrun.dll /u /s //删除# u8 S7 ]' r9 _" a9 p4 x' V
基于shell.application组件的asp木马, n1 d+ \4 v0 }: M* Q
cacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用
, W, G4 X' r4 e: ]2 `6 {regsvr32 shell32.dll /u /s //删除
& ~$ m6 q7 L$ M- |3、如何加密asp文件 % s# I! |7 _3 U% J( p" N: B3 n/ U
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
) z3 N9 x; \. G( D安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。; z+ m7 F6 I" c
运行screnc - l vbscript source.asp destination.asp
, U3 u6 N  b8 y, t  u# u9 ], y0 U8 v生成包含密文ASP脚本的新文件destination.asp: s. P7 t) I$ h! v5 H) D
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了, Y" Y  r1 J) @! m- c: C- {) T
但无法加密中文。
% R: c, _8 s' O! ^5 U: l: X4、如何从IISLockdown中提取urlscan
5 q9 n+ ?( e* c1 Y% H9 siislockd.exe /q /c /t:c:/urlscan+ P$ K2 C: L, U2 z5 N; j
5、如何防止Content-Location标头暴露了web服务器的内部IP地址
$ g3 k) e7 O. g7 Y. {+ x6 f. D执行
4 \5 r3 A% Z# x( ecscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True # U) Y* b& {( T5 _! }7 \' V! o
最后需要重新启动iis 8 ?; y. b7 P! _' L3 {
6、如何解决HTTP500内部错误8 ^7 t8 @; `" u7 {9 \% D# I
iis http500内部错误大部分原因. I1 r9 b# e& I4 f7 R
主要是由于iwam账号的密码不同步造成的。, d! B( O4 W/ R# }2 [% b" X* Y1 Z
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。2 I% o$ j5 _+ v# C! r7 J
执行
( [1 ^5 V7 A# `4 jcscript c:/inetpub/adminscripts/synciwam.vbs -v
  D: A: ^7 W( m4 W% R# _8 \' ~2 q7、如何增强iis防御SYN Flood的能力
* Q6 G/ X' P0 J+ O* QWindows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters] . g& {5 N! M5 d5 C% _
启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
' o2 n# @: H! _# x& m/ l"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。  J/ ^$ O( ^7 ]" o
"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:00000050
- I8 h* r, E% Y; c& l& k( x4 D设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 # K: q9 l2 I4 A! U
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。2 V) q0 _4 P. P& t1 r
微软站点安全推荐为2。! s$ Z4 [  x8 H3 W( f
"TcpMaxConnectResponseRetransmissions"=dword:00000001
$ c6 `+ ]! i1 Q8 k设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
/ C; ]! L$ s* i, y- h% N"TcpMaxDataRetransmissions"=dword:00000003
5 |' L0 \1 f& E" X2 _0 C. I设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。( M! H7 t# j! h2 `7 d
"TCPMaxPortsExhausted"=dword:00000005 ( ~- G- u" \6 Y  S
禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。 " M; D4 l3 k# b6 O! f) {% A
"DisableIPSourceRouting"=dword:0000002# X2 B8 D/ v7 s
限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。4 d+ U0 u( s0 N( H2 K. e
"TcpTimedWaitDelay"=dword:0000001e" R2 Z9 m7 e7 P! ]" l) z6 m* K, Z

( Z) b) |8 W$ |2 C; r  K! b1 y" w5 \& f8、如何避免*mdb文件被下载4 _. O! c0 Q0 p4 F, ~
安装ms发布的urlscan工具，可以从根本上解决这个问题。+ x# Z* S( [5 Q! l3 Q  o
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。 ; x1 P; T+ N6 x  t9 D3 Z' ~  w
9、如何让iis的最小ntfs权限运行
. l& H% N& ^' ]: @) d& \依次做下面的工作: + \) x* A" I7 A3 r* k. G
a、选取整个硬盘：
8 z$ p6 H9 D  v3 D5 t& fsystem：完全控制
6 n+ l+ f8 z8 Jadministrator：完全控制
% M  U- o6 k8 F+ q(允许将来自父系的可继承性权限传播给对象) b、/program files/common files：
9 V# f& v$ R0 P7 peveryone：读取及运行列出文件目录读取 . O6 D6 c5 I% N
(允许将来自父系的可继承性权限传播给对象)
) `6 N5 d- C% tc、/inetpub/wwwroot：
- o6 Y' D# G0 L0 M7 f: i* X) E7 F- uiusr_machine：读取及运行列出文件目录读取
4 a9 ~5 m. G; E# i, c" P  `(允许将来自父系的可继承性权限传播给对象)" D/ C7 |: y' k* h/ ^8 I! G! c
e、/winnt/system32：
  Q: J! t9 K1 z1 e, ?" T' O6 M& `# p选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
1 U# B# E8 y( k: c6 e! [9 i2 bf、/winnt：
3 `9 E1 P& U( ?/ E% q选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
  S, L2 O8 }( {: eg、/winnt：
; o5 R0 W+ T8 S$ k　　
4 M& M5 a9 [7 deveryone：读取及运行列出文件目录读取
8 s0 y% }, Q+ B1 V- f(允许将来自父系的可继承性权限传播给对象)
5 s% X6 p- D3 a# _. kh、/winnt/temp：（允许访问数据库并显示在asp页面上）
/ E, j0 U) d# r3 B' L1 ^everyone：修改
- Q+ z8 Q. C) O& H6 @(允许将来自父系的可继承性权限传播给对象)% I) A! \% V* l5 u  n% G; G
10、如何隐藏iis版本 5 @6 N( \, U7 X6 u! i
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息 ! d3 U' }; P  [( j* W6 J
iis存放IIS BANNER的所对应的dll文件如下：3 B- Z2 L9 ]8 M% l. k( {
WEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL + a& r6 d' e) r- h
FTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL( E- R7 q* C3 n7 f
SMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL
2 f3 A" S" Q: X0 S2 J* K你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0
% V, y/ ]9 U* M% O! D8 H3 Y具体过程如下：; K) [% _7 D6 o& r3 L) s0 m) s5 `
1、停掉iis iisreset /stop
$ w# a3 r- }9 N6 _2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件" J: c7 n4 O7 k0 h% W- j
3、修改