/ t, L4 ?/ q ?* p/ d/ X& [3 \regsvr32 scrrun.dll /u /s //删除5 a- Q: Y0 H7 O) R: D
5 g. Y2 q+ Y: A" Y" x0 B& ~
基于shell.application组件的asp木马 1 I3 N3 |" d6 z, W e: E0 |2 d' D( V" E
cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用# g9 [& a! d' j3 x- L
% \% E, j% J9 A
regsvr32 shell32.dll /u /s //删除 m2 R+ F4 y0 U; V
2 e. Y2 Q$ ]5 t& W4 J
3.如何加密asp文件? 5 Y$ A# [, v+ D% D# ^0 m3 K7 Q$ w1 W
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。 $ w+ m2 a4 m& E& W; `; h . \- z% ~* ?, S* H% `安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。 , d5 W# u9 e) B7 Q' \3 ]; s 2 I2 v, M5 v: A( p运行screnc - l vbscript source.asp destination.asp & z# O, Z4 u) q0 O1 M9 B# h9 J9 }; V0 s! o! h) B
生成包含密文ASP脚本的新文件destination.asp8 Z% m- o" r5 B7 e2 U4 k; x
0 ^7 E( A( A2 R3 O% q
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了 . X: I- R1 Y* u* f" Y0 Q& a* ~- V0 C) E
但无法加密中文。 4 F+ a5 ?8 K. Y g. E& v; d V+ i7 M ! e7 l& \5 j! W( [6 l" o$ x4.如何从IISLockdown中提取urlscan?6 O/ c7 \% E* o: d/ b
% y. G5 E& ~6 f1 i: `4 d/ U" v8 Xiislockd.exe /q /c /t:c:\urlscan; z8 z. X, L2 S [6 A- k
5 D5 X" P$ G0 c( Z2 Q+ H$ b5.如何防止Content-Location标头暴露了web服务器的内部IP地址?6 V& Q" j1 u: B y* o
, e. [8 J, X# x7 E) m
执行 0 P1 U+ ]1 j) O. {, {7 T+ j+ I! `, d. Z
cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True / B4 A0 H% I6 \& h/ ?$ [ / N; K. X5 E' _最后需要重新启动iis J! |4 b! w3 o$ e4 O1 h; @. [9 O, R: z- B' o& d* |9 G. p7 k
6.如何解决HTTP500内部错误? " `6 C4 x( B ?5 @. G6 v9 R- w) ]! X7 r: {' Z3 E/ N+ {3 E
iis http500内部错误大部分原因. b1 `: v0 V9 b( b$ x
2 e' w" {* i, S, u4 N/ S
主要是由于iwam账号的密码不同步造成的。 0 c" L$ e$ Y! s6 E. B : C- i/ y! D% U8 F+ N我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。 ( |8 W% N, ^5 n+ o1 o8 D : l* |2 A9 K; N1 Q' c7 N# P* A: N K执行 ; Y# t& A' B; W" u$ v2 ]! e+ M4 }! U/ h7 c4 j1 M
cscript c:\inetpub\adminscripts\synciwam.vbs -v( ^2 [3 [4 q: I/ x; O
, @: z/ t0 v; a! W% \
7.如何增强iis防御SYN Flood的能力? * i! ?/ F# d: l3 t; U* p0 U7 e5 N# { R/ J3 x9 H
Windows Registry Editor Version 5.00 6 u5 b4 p. ]; e. F& U 5 H2 b4 u, `4 ]+ ][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters] / W+ }0 I* ^) V3 w8 ]' _3 c 8 a6 @2 I. n$ D# L" \: r1 p/ j'启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后 7 U5 i5 E2 U) N1 }: O# ?' p& E4 ~1 ?# G$ C$ u8 _ S; V& K& z
'安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值2 ]- b% _5 ^) m, q
( d4 Q6 a8 n$ s' [# s s'设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。 ! L% m2 C2 x& ~2 P9 ]( X `* j8 B: {
"SynAttackProtect"=dword:00000002, `- I' }9 s' P' B. I- N5 s: z. N
2 n7 z9 q0 b2 z
'同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态 7 X2 i3 l! ~) x1 W4 V1 {4 u' [4 Q& ?) V' a! j7 [6 d5 u
'的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。 # b: }. d8 T( t* U) {% _9 f / I( H# o+ b( i+ y"TcpMaxHalfOpen"=dword:00000064% v( A* \- ]" P/ p
% A1 E: Y1 T$ K M+ o'判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。. r0 b) E, [7 v6 q
& @& w2 O, S3 F5 p; b. J. Y' T) m
"TcpMaxHalfOpenRetried"=dword:00000050% o; f4 ?, I# z9 T5 Y M
/ _# R# _* I' B8 O- P'设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。 % `2 r. N$ T' o& N 6 z( x4 Z7 O0 r6 f0 \( g( b'项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。 X+ F3 Q8 ?( b1 `' _2 d ; K8 |( S& b0 \% S8 x( }; Z- U'微软站点安全推荐为2。0 r. v! S6 z" S, F) I; n2 j
) S1 }1 p7 W- V/ I5 s A
"TcpMaxConnectResponseRetransmissions"=dword:00000001. k4 ]. c0 Y V1 `* E" B
/ M2 s! o( F: m) r4 k# d
'设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。- v) T% p' d S/ ?1 Y
`( Y& K( n$ C8 ~# q$ [* s' A1 ?' A
"TcpMaxDataRetransmissions"=dword:00000003 L7 H8 t' S$ m