|
 
- UID
- 1
- 帖子
- 738
- 精华
- 28
- 积分
- 14443
- 金币
- 2507
- 威望
- 1647
- 贡献
- 1455
|
1、如何让asp脚本以system权限运行
/ D! E& z+ B" O; \: Q修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
1 I% ?: t: l3 n. x% \2、如何防止asp木马 + Y |; W, x. e+ B
基于FileSystemObject组件的asp木马 - d8 R' @, X2 H. M, [ W# m8 _7 j
cacls %systemroot%/system32/scrrun.dll /e /d guests //禁止guests使用0 ]7 c% @# w3 b' {& J
regsvr32 scrrun.dll /u /s //删除
. k! n+ Z7 {. ]基于shell.application组件的asp木马
1 Y! H/ P8 E" H( w- ?: q" Mcacls %systemroot%/system32/shell32.dll /e /d guests //禁止guests使用 . u. S" m5 }0 }4 H3 V6 e
regsvr32 shell32.dll /u /s //删除 * C; G: X3 n- t1 `% m3 \ x
3、如何加密asp文件 1 ?; A( I* b M& ~' i6 ?
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。 , W b5 g: S' s) u
安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
2 N5 [+ Q- N& |运行screnc - l vbscript source.asp destination.asp* L2 }9 l' O' q; X
生成包含密文ASP脚本的新文件destination.asp
' K/ G# a$ K* \* g7 U6 O用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了4 W, ^9 }% h: [
但无法加密中文。
: i5 C. c& D9 ?2 ^8 P4、如何从IISLockdown中提取urlscan
2 r: \6 E+ U2 X8 ziislockd.exe /q /c /t:c:/urlscan9 G8 R8 I: Q) Z2 \/ w" [
5、如何防止Content-Location标头暴露了web服务器的内部IP地址
! m3 v* C( b& Y* s' f执行
1 `- L* u, p9 B; W! Ccscript c:/inetpub/adminscripts/adsutil.vbs set w3svc/UseHostName True & E8 a: F! G. o8 A2 [
最后需要重新启动iis , F+ y C, w- S) S* N6 R8 S
6、如何解决HTTP500内部错误
9 K$ q2 L; u/ Uiis http500内部错误大部分原因
+ H4 m$ A& d |$ r主要是由于iwam账号的密码不同步造成的。
" v( M- Q" a; _. C1 f: G ]我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。 p5 _8 }: q/ R8 @
执行 4 X/ D z5 j! @0 |/ T2 l" O b
cscript c:/inetpub/adminscripts/synciwam.vbs -v9 @( K3 V; f: |5 N* P1 T* J' D
7、如何增强iis防御SYN Flood的能力
$ q3 ?0 U& J& F% `( gWindows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters]
* \8 @; k9 C h" E启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值 设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。2 @+ P9 {. d# b: L+ X q1 X
"SynAttackProtect"=dword:00000002 同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。! J7 S1 w, y- ?# O8 Z( i6 k2 i5 r
"TcpMaxHalfOpen"=dword:00000064 判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。 "TcpMaxHalfOpenRetried"=dword:00000050
3 U2 k2 z3 V' e C" V P0 l* L设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 8 v! O- l7 X& h8 e5 |
项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。2 a4 S# L& Y4 x# c" W D0 [
微软站点安全推荐为2。
+ ?. d) i1 C4 J% _# y" E"TcpMaxConnectResponseRetransmissions"=dword:00000001
- U+ `3 O( V: p1 J设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
4 U6 G2 _' Y, J$ j9 E"TcpMaxDataRetransmissions"=dword:00000003; [* h- t+ z1 ]" z
设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。2 f9 p1 w2 @9 A2 Q+ r0 h
"TCPMaxPortsExhausted"=dword:00000005
% W- K4 H; f+ S# M% g0 k4 h禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的源路由包，微软站点安全推荐为2。 g0 P$ A1 X9 ~/ e
"DisableIPSourceRouting"=dword:0000002
1 z& S2 s0 M- Y5 S i限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
) t/ [: s% L' r# k' Y"TcpTimedWaitDelay"=dword:0000001e
4 L8 J5 S. o1 g/ Z
: F- X/ Z. s9 T: ~) Q- V& F8、如何避免*mdb文件被下载0 o1 n0 T# t$ a" w/ B; _2 q
安装ms发布的urlscan工具，可以从根本上解决这个问题。
% M* j* \* F+ i3 O! n9 g- {/ T同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
) g0 n2 z3 R* R, {9、如何让iis的最小ntfs权限运行 : v' o' W7 ^2 N5 M; d3 @5 j
依次做下面的工作:
& ~/ b9 p# [- W/ t- N& V& G- p" J5 i7 Ia、选取整个硬盘：
7 X) J6 P2 `5 `$ A5 s/ @! Jsystem：完全控制# U9 `4 E5 @" i) [& D
administrator：完全控制6 ?+ |9 w. B! |$ V9 _. g# ]: q
(允许将来自父系的可继承性权限传播给对象) b、/program files/common files：
( B1 K; r8 `: D; A# ]5 n) i% }everyone：读取及运行列出文件目录读取
+ @: I4 n2 L. a(允许将来自父系的可继承性权限传播给对象) % H( d# j8 [- t. p% N
c、/inetpub/wwwroot：
5 H+ V/ r1 Y/ p% t ?$ G2 ciusr_machine：读取及运行列出文件目录读取9 I1 Q2 M8 t K" T
(允许将来自父系的可继承性权限传播给对象)0 G4 H+ u% M. K( T
e、/winnt/system32：
, h# I6 H! l% G6 R选择除inetsrv和centsrv以外的所有目录，去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
* ^ w" [: ?% A8 j+ I. F8 gf、/winnt：
% U1 _- e, l/ w& S6 Q9 K) S选择除了downloaded program files、help、iis temporary compressed files、offline web pages、system32、tasks、temp、web以外的所有目录去除“允许将来自父系的可继承性权限传播给对象”选框，复制。6 y6 m, |6 Z0 |8 [ p; r& z* Q( h
g、/winnt：
7 F8 K1 _! }* I# Q7 J& k f , h* O0 b6 p' U+ t# V
everyone：读取及运行列出文件目录读取" |6 K& @, p3 B. i' A6 P- y9 U3 Z
(允许将来自父系的可继承性权限传播给对象)
! [# I6 O9 f; x* I" o; {h、/winnt/temp：（允许访问数据库并显示在asp页面上） 0 ?& a& e" D! N/ f0 X0 G- R0 m
everyone：修改
; E( A/ ]! @2 I(允许将来自父系的可继承性权限传播给对象)
. [4 M& K$ O# P+ f2 u10、如何隐藏iis版本 ! j5 c7 X/ l( p
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
. a" V3 a. O8 @! L5 q8 B# jiis存放IIS BANNER的所对应的dll文件如下：8 Z! P# `! @. y, Y( m$ s5 z: n
WEB:C:/WINNT/SYSTEM32/INETSRV/W3SVC.DLL
! z* \% F( ^" V/ `FTP:C:/WINNT/SYSTEM32/INETSRV/FTPSVC2.DLL
. T6 D8 U% r0 @1 aSMTP:C:/WINNT/SYSTEM32/INETSRV/SMTPSVC.DLL / s3 N$ I: u6 ?$ h& x0 G j
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0 8 x0 y' U! o8 X# C" f
具体过程如下：3 E$ A$ { ^/ b$ b' E
1、停掉iis iisreset /stop % N8 d/ U6 ?( \9 M7 O+ B/ L- A
2、删除%SYSTEMROOT%/system32/dllcache目录下的同名文件! z/ y2 a! K# {2 }
3、修改 |
|
发表于 2008-1-25 02:15
| 