[建站技术]网站服务器IIS常见问题完全解析

月中水

1.如何让asp脚本以system权限运行?

修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....

2.如何防止asp木马?

基于FileSystemObject组件的asp木马

- c" e' w4 s6 n. s. ccacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用

% i: @; v, p5 {regsvr32 scrrun.dll /u /s //删除

基于shell.application组件的asp木马

8 b( X. a  V) d1 ]cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用

regsvr32 shell32.dll /u /s //删除
- k2 M  Z6 J5 C  R$ c* d
8 l8 z2 X2 k9 h* }' C3.如何加密asp文件?

从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。

安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。

" C( i( g* f0 y; i运行screnc - l vbscript source.asp destination.asp
- q) U' C2 |' a  @2 ~0 V# F
$ c. J) _, Z# t7 L' {+ n$ `生成包含密文ASP脚本的新文件destination.asp

5 x5 ^% k8 `* s/ U8 I用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
' I2 G. p$ ?: _. B7 t: [
但无法加密中文。

4.如何从IISLockdown中提取urlscan?
# L* R, M- y3 f; i; ^
" J0 \8 |9 P( K* K3 }3 |& Jiislockd.exe /q /c /t:c:\urlscan
6 X1 S. u9 {" v8 i' Y# G" Z; }
2 e0 v, T7 B6 t# H5.如何防止Content-Location标头暴露了web服务器的内部IP地址?

- g, f0 B2 c# L/ O执行
1 F9 y, Q9 _( t9 i& M4 m/ v3 C
cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True
" U8 B5 Y' ]. @" j1 {4 ]9 A
最后需要重新启动iis
3 \8 {- L, T3 A6 ^1 ]
+ m; M: T7 y4 b: l4 A6.如何解决HTTP500内部错误?

7 M3 t4 Q5 Z1 N1 A+ iiis http500内部错误大部分原因

! J' I% {$ J0 f4 E. d: w( W主要是由于iwam账号的密码不同步造成的。

& E: @. y/ U9 w) m我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。

执行

3 c2 Q; k+ a0 o% Bcscript c:\inetpub\adminscripts\synciwam.vbs -v

/ E/ _1 |5 y) X% X7.如何增强iis防御SYN Flood的能力?
* X+ r+ Q9 ], z* S
6 l- f4 ^% u. n& Q5 h, nWindows Registry Editor Version 5.00
4 i# u2 h/ L( }, Z
& Y" Q& r# t* M9 p# k2 v( V[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

'启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后
6 a9 Q" g$ ^0 V2 D
0 `7 F+ v+ C2 ^& I* w+ P'安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
6 A0 o5 E1 w' W! t+ n  k
$ G3 R* \4 y8 O" k; l8 k) J6 i'设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
5 \% Y$ E" A  N+ n7 t. R
"SynAttackProtect"=dword:00000002
; _( y- R$ n1 F4 Y0 ^% p$ i
& x7 {) o8 b- e( `7 d4 {" Z/ ['同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态
- u: L" i5 k( K& m5 L
'的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
% C& [8 o9 X* V' N# O4 J' H- H# |5 }
/ Y$ Z# c; u- |6 V, _"TcpMaxHalfOpen"=dword:00000064

# k0 U9 u2 }; J'判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。

# p- H, _& ^* o3 o8 O4 ~' R"TcpMaxHalfOpenRetried"=dword:00000050
) h2 n  u) r1 |+ ]
'设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。

'项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。

8 R, p8 n1 `4 Y7 |; ]" p+ T0 \  Y'微软站点安全推荐为2。
  p2 N, P( c: v* C3 R% ]% ]7 f
"TcpMaxConnectResponseRetransmissions"=dword:00000001
. I# ?+ V0 G* D% N4 c
'设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。

"TcpMaxDataRetransmissions"=dword:00000003

'设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
( t" V( J3 S/ z$ |) C
"TCPMaxPortsExhausted"=dword:00000005
4 p! R  J0 J# M! q8 g$ D
'禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的

( C* g/ M6 ]5 w( M'源路由包，微软站点安全推荐为2。
7 W( r# f7 `+ g$ k+ F3 {5 ^* l/ Y
"DisableIPSourceRouting"=dword:0000002
5 h# F& b% y/ y4 m, Y. g
" Q" C( [- S1 T+ T! ?' A6 M; z  H'限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。

  c! {5 x% K- r+ q! S( {2 h  z" ^"TcpTimedWaitDelay"=dword:0000001e
: M5 L5 L3 w) C0 J/ o/ w3 A
& W5 g% {- k3 D' c1 R$ z: x! e8.如何避免*mdb文件被下载?
- a: J. i/ q6 K9 r6 }: j* V
安装ms发布的urlscan工具，可以从根本上解决这个问题。
4 q2 z9 x( `* t% W
9 L7 d1 Y8 x9 i/ M7 t/ e# n0 s% c同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
( a# b. u7 N0 s# F3 y
+ j" c7 C. n9 ?1 P: u3 D9.如何让iis的最小ntfs权限运行?

依次做下面的工作:
! ^" J4 s! t/ f2 C* _* l
a.选取整个硬盘：

( X* m: }; n1 S  B, e( ksystem：完全控制
1 K/ b( X7 ^9 ?8 w
administrator：完全控制

(允许将来自父系的可继承性权限传播给对象)

b.\program files\common files：

everyone：读取及运行
6 ]8 \0 g$ v7 b5 Y9 `5 }
列出文件目录
3 j$ {2 |% e4 B
读取
! q7 w2 G6 t! f. F4 x. z  ?5 o, p/ `
(允许将来自父系的可继承性权限传播给对象)
* W1 g# N1 y4 o9 a; q& j
+ B; `1 p7 Q; k* p1 Nc.\inetpub\wwwroot：

iusr_machine：读取及运行

) C5 n, _" k, T7 w& K) G列出文件目录

读取
4 y: j4 G5 L& S6 }5 d8 W& B/ A
; E9 B& S7 p8 e: Z  H  o1 K(允许将来自父系的可继承性权限传播给对象)
/ o; y/ _: u; \6 q
: d4 D2 Q2 p, j( P0 z) me.\winnt\system32：
  m1 `: q$ d6 `6 W0 U6 v8 n4 Q
选择除inetsrv和centsrv以外的所有目录，
4 S- P( i* B: m! D, X
6 h2 D& S# z2 A% r去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

f.\winnt：
( A+ ?. s7 |% S( ?& B
选择除了downloaded program files、help、iis temporary compressed files、
0 b5 y9 o) X; V3 o! L$ F" {
- {# a5 ?' N# O& V5 X' Z+ x' roffline web pages、system32、tasks、temp、web以外的所有目录
8 w6 P- c- R& _" M( Z
+ K; d( V: G  Y# k去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
$ A( v, A6 U0 o) Q; z: z
% i) q5 \  n/ S3 W; [g.\winnt：
0 N1 W. m# m" }2 D  R
everyone：读取及运行
6 k4 m7 K4 P# s  G; _
9 _* j/ J9 p2 f7 {+ H4 C, |列出文件目录
1 X" g% _2 X3 |, p) X6 T
+ M- g' ]" C8 \1 i$ b: A读取
& A0 g6 |- x' u
(允许将来自父系的可继承性权限传播给对象)

6 a  P: k) o4 O( I3 Z# w$ N! Bh.\winnt\temp：（允许访问数据库并显示在asp页面上）

. d: [  D1 m) n& @everyone：修改

. M; h+ I* _. R/ Y(允许将来自父系的可继承性权限传播给对象)

10.如何隐藏iis版本?
- E2 A7 f8 j! @# A9 |  r3 P& m" ]
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息

0 x1 V) j* ^  A6 y. S' w/ Piis存放IIS BANNER的所对应的dll文件如下：

0 O$ o1 t' y# Y& V9 `9 T& e: TWEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL

FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
) r" I" |" a6 v) L/ \  h$ [- w, y- \
SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL

2 G7 v4 f) Y  K% c你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0

0 e) O  `  X1 X/ X具体过程如下:

6 W1 d1 V3 {6 g/ g, J1.停掉iis iisreset /stop
0 ]0 ]1 ^, N1 S* ?" q# H; V
2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件