[建站技术]网站服务器IIS常见问题完全解析

月中水

1.如何让asp脚本以system权限运行?
' c" q+ q) f3 S
  O4 a3 q9 R! u2 f/ k: v" ^修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....

2.如何防止asp木马?

基于FileSystemObject组件的asp木马

8 C0 \# L- }) ~0 l# t0 D% Hcacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用
- c. e$ ^: J$ I# l8 ~* i+ h5 H
/ v4 y1 ?, u; z5 L* @0 Z- Dregsvr32 scrrun.dll /u /s //删除
. W* H$ C* b: k
, M4 O: w6 l2 ?' g基于shell.application组件的asp木马

, H/ w- `. T5 {% H; u. `* N! @; m, ecacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用

regsvr32 shell32.dll /u /s //删除

3.如何加密asp文件?

从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
) D: x; h# c- @2 U+ I
( G; e0 ^) m6 a8 n* s安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
3 C7 X! K1 o( X1 P! E0 L
: M: J* [- t; m* H, r, e+ w运行screnc - l vbscript source.asp destination.asp

生成包含密文ASP脚本的新文件destination.asp

用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
' Y2 r$ R2 J2 J" P- G& N) d7 _  ~' j0 L
但无法加密中文。
$ O4 ~+ {3 Z3 P5 t9 k: @3 ]
! ^4 t  U$ a! p' g4.如何从IISLockdown中提取urlscan?

iislockd.exe /q /c /t:c:\urlscan

9 O, f. W( b8 S; M9 [) w5.如何防止Content-Location标头暴露了web服务器的内部IP地址?
/ Q, s; Y! M7 ~0 H
执行

cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True

, M' W+ q  ?: e+ B2 g  ]0 V0 W# d最后需要重新启动iis

( L6 }" I( |0 Q) U$ |7 e, y2 p& z6 v6.如何解决HTTP500内部错误?
  I+ \/ K0 A+ t
% o1 ?# A: r  A% r! M5 jiis http500内部错误大部分原因

! `$ e6 }% Q  r$ d主要是由于iwam账号的密码不同步造成的。
; }' t: K* k. _1 D, A7 p6 G/ V
/ O' R* S( j6 q我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
8 {' o; l4 D# K1 J3 U
- q. l$ r. G, O5 U- u执行
7 D# {& W8 K  f/ d8 j$ m! j' M
9 O6 U; ^) {$ k- L8 }5 S! |8 E* Icscript c:\inetpub\adminscripts\synciwam.vbs -v
" }) J  ~: n+ A0 b& N  O
7.如何增强iis防御SYN Flood的能力?

( f! `" e. x! z; n5 kWindows Registry Editor Version 5.00
2 H) _( w  y6 F8 _& K  C
% [: Q& j0 s( `- A3 r[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

'启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后

3 U& N$ l  S0 x2 O( l3 d'安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值

'设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
$ n, x- `0 o, [: W
6 f" w! N, e" D- v/ e0 e! H* o"SynAttackProtect"=dword:00000002
- ~' N9 E; ?- Z; k6 r
% r5 J8 @2 c  B' Z( c) o2 T'同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态

'的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
% R' L1 T' v, v! s% Q( Q3 S
) k0 N, z9 W. e* V  Y8 T"TcpMaxHalfOpen"=dword:00000064
# W. X; N/ U$ R( K
'判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。

0 j2 O, p# n( s; K"TcpMaxHalfOpenRetried"=dword:00000050

9 ^4 U1 a1 X( W5 \3 x'设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
2 F. @  i7 R7 x+ q$ ?* a5 u- s
'项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
" I' S$ Q' D) _4 @. w: S- k
& K4 C! c* `; c4 U5 X'微软站点安全推荐为2。
8 k, L! `- g' r( x- f) R! b* y
* b9 }  c4 F2 [* b"TcpMaxConnectResponseRetransmissions"=dword:00000001
) B) C1 G$ P* i; F* |* l
'设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。

, m, W. }' D2 \9 G' D9 r9 H: {% L+ N"TcpMaxDataRetransmissions"=dword:00000003
$ s" T" q; W, P8 m4 V  S9 i4 D
'设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
. P' _$ }. j: e' `
"TCPMaxPortsExhausted"=dword:00000005

/ w; U; w6 r: u1 d4 c( l'禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的

7 s, \' x; }" b' a+ y, t8 y# X'源路由包，微软站点安全推荐为2。
# d# i* Q/ D+ S( A  P
+ B# E; H  A5 o8 I$ a9 X' J"DisableIPSourceRouting"=dword:0000002
, d, w$ A9 k% q
7 K5 F* n2 S4 {$ ?2 H'限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
6 O5 g/ S$ I- K3 n6 U! C
2 f3 F& I9 F2 A5 L& ], I( b"TcpTimedWaitDelay"=dword:0000001e
" N% ^! A. _' l' s0 p
8.如何避免*mdb文件被下载?

" j( R) |! J3 e1 }& _7 k! k! O" g安装ms发布的urlscan工具，可以从根本上解决这个问题。

, S6 e  R) \+ ], p( D$ v2 B" K- A同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
' r; M7 |$ M  n; r* [* X
9.如何让iis的最小ntfs权限运行?

: o. ?* d6 z9 [1 F! R3 V8 X依次做下面的工作:
( k4 V0 T/ A7 Y% s7 c* B4 E, f
a.选取整个硬盘：
1 |( \& _: Y  [
. {% r* D# T' L# I1 ^4 r5 Csystem：完全控制
, U+ w/ a! ]0 z3 d
administrator：完全控制
9 a5 h6 `; S  E  X; K8 J
. @# ^5 h  f7 }9 Z$ h& o% M(允许将来自父系的可继承性权限传播给对象)
0 m6 D6 I* K- b/ l& j
) J; m. {) M/ q5 c& U, R$ `# x/ _1 Ib.\program files\common files：
. p# X0 Z/ \; R# M8 g
everyone：读取及运行
# X- f6 T1 Q7 i9 ]
  x0 f( F; ]" T4 N* c; ?4 q5 |& H列出文件目录

$ V. i. \6 L, ?  I; Y) w7 O读取

(允许将来自父系的可继承性权限传播给对象)
: R6 V5 O# |: `* ]
* O' _2 Y% A5 S3 ~2 g- kc.\inetpub\wwwroot：

) o; j8 e9 ^, k* ]$ X' xiusr_machine：读取及运行

$ B# ]9 y3 A+ K. L5 l/ A8 u列出文件目录

6 W! d1 W/ H3 x读取

(允许将来自父系的可继承性权限传播给对象)

. f/ t) m8 t* l6 z' p* Pe.\winnt\system32：

选择除inetsrv和centsrv以外的所有目录，
8 |, l6 L- I; m1 w& v# N
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

0 P' z1 G# z4 e5 j# z! `f.\winnt：

选择除了downloaded program files、help、iis temporary compressed files、

# ?' _0 _1 G  H$ noffline web pages、system32、tasks、temp、web以外的所有目录

- x  M/ ~; F  v9 X去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
- V& Z- ?5 {0 J0 I, o. D
g.\winnt：
/ s2 E( f: R/ w* G& |; K2 z# f6 Z
: \( F0 o( N# D+ W7 O( J/ e! Q7 Heveryone：读取及运行

1 l. U" k4 D1 l4 M  `列出文件目录

; T9 A: a+ f: I! t( J- R读取

(允许将来自父系的可继承性权限传播给对象)

h.\winnt\temp：（允许访问数据库并显示在asp页面上）

( A! k5 p8 f. u! \3 s/ \everyone：修改

( T$ o& l4 u4 ?(允许将来自父系的可继承性权限传播给对象)

10.如何隐藏iis版本?
# A* A2 \2 ]3 a+ q
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
. e6 O9 S5 R" @3 g. [
iis存放IIS BANNER的所对应的dll文件如下：
7 C1 T( }% z, f, u
4 b) v# Y" G6 BWEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL
- _9 _7 {6 c; V- `
FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
% G5 q8 W8 @% N2 t' D
8 J2 n) ]3 k' Z3 O* \( cSMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL

0 S& s( ~1 |0 i- I你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0
8 t5 G9 c! O5 ]! A. g
具体过程如下:
9 C' J8 n& ~, R" Y2 ^) I- ]
1.停掉iis iisreset /stop
1 l; V1 p. P7 Z2 Q: U3 L! Q1 C% ]
5 e, p6 W  D% V0 H" q& p2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件