|
 
- UID
- 1
- 帖子
- 738
- 精华
- 28
- 积分
- 14197
- 金币
- 2389
- 威望
- 1647
- 贡献
- 1337
|
1、如何让asp脚本以system权限运行
J# s, K i& H: W修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
+ u. f% M; c5 l$ s- m1 [2、如何防止asp木马
7 A( N) |8 a. D5 o基于FileSystemObject组件的asp木马
9 m1 A' t" w# o0 F/ y2 K3 xcacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用
* V% r1 v8 H5 rregsvr32 scrrun.dll /u /s //删除& }$ L9 l, h Q& l4 Z, v1 t o
基于shell.application组件的asp木马
7 T9 l9 }3 M2 O0 gcacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用 $ r" c' @. a) c& R- R: A( a
regsvr32 shell32.dll /u /s //删除
% }& p+ x8 k* a/ x3 A+ t3、如何加密asp文件
( g o- G# L: }# ~从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。 3 L+ ?4 v* ~& K4 \2 _
安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。# k/ g* p9 K8 n7 S& c4 d- b8 R
运行screnc - l vbscript source.asp destination.asp" \+ Q1 S( H* O
生成包含密文ASP脚本的新文件destination.asp
. T7 U3 ]8 O3 U3 o/ M5 R! c用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
, @* {" b/ l- y但无法加密中文。5 d- g0 W6 [# y |6 e/ o5 t7 U
4、如何从IISLockdown中提取urlscan / ?: m/ s" `* f( `9 e$ L
iislockd.exe /q /c /t:c:/urlscan* k4 D. J& E9 Z1 N$ c) O
5、如何防止Content-Location标头暴露了web服务器的内部IP地址 " p1 L7 Y; y3 @1 p1 R, H* L
执行
! V" S3 ^# t* c/ E- L' ycscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True ; _ N/ c/ Y _# n& y
最后需要重新启动iis
- o: q7 v4 v& n& m, q7 G. k6、如何解决HTTP500内部错误
% ]2 F: h/ E2 f: }+ f% ziis http500内部错误大部分原因4 b P6 X# I, p; u
主要是由于iwam账号的密码不同步造成的。
% w1 E. }) ~5 Y我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
@+ \* Y1 ]7 R$ m执行 ~3 Q3 u/ k! Q' ?5 m. B; l
cscript c:/inetpub/adminscripts/synciwam.vbs -v4 v0 e* p( M/ F4 U: N& n. {
7、如何增强iis防御SYN Flood的能力0 @8 @1 J4 L! `$ N" q3 ~$ Z F
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters] 4 B& q2 b( i9 s9 H# `3 C
启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
% s/ h5 s2 s. ], s! d) U% n. I9 n"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。# S4 b' r$ A/ U1 |- {
"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:000000501 @, V; |' [6 h# j7 ?* h
设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
- e* J0 x$ S" W9 t. I9 H/ e6 \3 Z7 ~- \项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。9 z2 ?# o# _3 j# ]. z
微软站点安全推荐为2。
( @' l U9 u, I% s( G"TcpMaxConnectResponseRetransmissions"=dword:00000001
& t9 \- @, Y/ f5 u( F4 e设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
4 x/ S! H6 n Z$ ["TcpMaxDataRetransmissions"=dword:00000003
% @; M1 q' I) @& Q0 @设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
! O& j8 H) Y* W/ L6 L2 T$ G/ s/ V. f# q& r"TCPMaxPortsExhausted"=dword:00000005 : ~% Q: S# g" m. ^
禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。 + {* B4 ?3 A Y. i% d9 z4 U
"DisableIPSourceRouting"=dword:0000002
, N5 ]' H! M; t- G限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。+ L7 I3 R+ K" i- f
"TcpTimedWaitDelay"=dword:0000001e
' Z/ l# ?3 O' d* n
' @( W: v" q/ V/ l8、如何避免*mdb文件被下载, ^4 C6 O" K! F0 U
安装ms发布的urlscan工具，可以从根本上解决这个问题。1 i+ K0 [: }% V
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
; ^. d+ X1 A7 H/ r/ W0 Y4 b9、如何让iis的最小ntfs权限运行
& f h, l J" Q: s, G) `2 j依次做下面的工作:
K0 J, e0 |$ l4 c: ?4 z+ {a、选取整个硬盘：
" P! n: W }& \2 e; ?# V! W+ \) Psystem：完全控制3 ^# e* B J; n9 L% f
administrator：完全控制! f8 k: z* N* e6 i
(允许将来自父系的可继承性权限传播给对象) b、/program files/common files：
, I3 P' o' n4 K2 Yeveryone：读取及运行列出文件目录读取 4 V+ l4 y- n( s8 Z
(允许将来自父系的可继承性权限传播给对象)
: N8 q* G7 z& I4 rc、/inetpub/wwwroot：
U. t+ ? K! ^; Z* Diusr_machine：读取及运行列出文件目录读取
* E9 n6 L9 R1 d(允许将来自父系的可继承性权限传播给对象)
_4 J8 D: Y6 e0 z+ le、/winnt/system32：
" H: o2 ~6 q1 S, I. m: [选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
8 P! r: Y/ W( n5 H* i( ?" W; [f、/winnt：
3 |! V. o- z( F' c* V选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。 S; f( t5 @4 g4 z3 g/ ?
g、/winnt：
' K, y9 ?2 i; u v) u
% H7 `3 F1 K) V0 v! v8 t/ m yeveryone：读取及运行列出文件目录读取
4 t ]/ G' s. X% ]* R2 |* W3 m, m(允许将来自父系的可继承性权限传播给对象)
* H- c( ]( S; F7 |h、/winnt/temp：（允许访问数据库并显示在asp页面上） / w$ R5 \# {- c7 ~ J# ^/ E0 [1 C
everyone：修改
* j7 ?. d, P8 ?0 a1 I( [(允许将来自父系的可继承性权限传播给对象)
$ t3 d& P: g$ d7 A# P7 M' i10、如何隐藏iis版本 # ?( L9 x# R; X7 e3 A% w
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
* P' T+ j8 \6 ]/ t5 jiis存放IIS BANNER的所对应的dll文件如下：; h1 L; @9 ?0 A
WEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL 3 T4 |8 ~$ Y9 d- ~
FTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL9 p) d! c+ \ j- u9 ]" e
SMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL ! X" t! u- [- T% N
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0 8 k4 Y7 t: g7 J" _* n8 u9 x$ \
具体过程如下：
6 O$ q* m. M8 B1 E7 A" i# B1、停掉iis iisreset /stop
' p1 w% d8 p: e/ \2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件
, X; Z# t% e5 F7 T% P3、修改 |
|
发表于 2008-1-25 02:15
| 