[建站技术]网站服务器IIS常见问题完全解析

月中水

1.如何让asp脚本以system权限运行?

修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....

2 X" D. D* a+ L  ^4 x2.如何防止asp木马?

基于FileSystemObject组件的asp木马
. u- Q9 M' [! Y- |# W/ {
cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用

7 q0 ^! Q. w4 }( {8 S( N0 dregsvr32 scrrun.dll /u /s //删除
, I' P  ^* C2 t/ |+ j; A
# ~# b; i) Y* B9 S) k基于shell.application组件的asp木马
0 G* }9 c2 B5 p- x, q
cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用

9 |) E5 F4 N) g' R6 Nregsvr32 shell32.dll /u /s //删除
/ p6 j  t6 k; A
* T, ]* r: O# M3 I+ c( G& _6 ~( D) |* v3.如何加密asp文件?
3 g. e; V) l- Q; R% V5 q9 D
. M  {' S- ~3 @- `' U( ^7 Q从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。

安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。

运行screnc - l vbscript source.asp destination.asp

生成包含密文ASP脚本的新文件destination.asp
# S. F5 r2 h% R
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
+ t5 \! f$ q! K: D  D; ^) m, f
0 v3 Y& q/ |3 r+ H9 J" t但无法加密中文。
) j7 G+ H: ^3 X. x* |9 X4 O
4.如何从IISLockdown中提取urlscan?
% B0 [1 H4 y7 [
iislockd.exe /q /c /t:c:\urlscan

5.如何防止Content-Location标头暴露了web服务器的内部IP地址?

3 v$ i0 i  U, @& y执行

4 s6 T. v5 h5 t# ~6 Q4 Bcscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True

) Q2 o8 O' \6 i1 P) W( {最后需要重新启动iis

6.如何解决HTTP500内部错误?
0 Q/ k  d" ?% S- j' I
! b* d, h- Z+ y' o% D; l& oiis http500内部错误大部分原因
5 J. f) f1 t* P' r
主要是由于iwam账号的密码不同步造成的。
: d1 n" M; o/ o5 y9 M$ U; y
' p* p4 M) u; d我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
5 a- y3 _2 l& g7 _" O: G3 m3 n3 C
执行
+ X4 ?# W6 Y0 t- X$ n, J
cscript c:\inetpub\adminscripts\synciwam.vbs -v

" `$ q4 _( \5 b/ {7 s$ B& ]* i7.如何增强iis防御SYN Flood的能力?

! ~7 a) R1 D. D( |. HWindows Registry Editor Version 5.00
7 F( r9 M* U6 z* d0 B
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
' }2 a' M! A; T# g9 B$ {' V  E, b
'启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后
3 d5 O. Y! k: U, W' T  m3 _
'安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值

) z! ^8 `) I4 D" t( N  s'设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。

"SynAttackProtect"=dword:00000002
$ S- J% e" S# [1 i0 p1 J
'同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态
$ u, Y8 [5 `3 h% o9 L* G8 ]/ k* T
/ i, ?. G4 L4 m9 W. D'的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
# J2 D& k6 V" w$ v
"TcpMaxHalfOpen"=dword:00000064
; O0 \6 ?* r  S9 m' f7 T( C7 E1 I
; F. H" }" Q; r; k* T'判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。

"TcpMaxHalfOpenRetried"=dword:00000050

'设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。

'项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
+ D" O4 ?5 T" Q( ^5 `
- ^" s# ~) V! v2 G) L7 r'微软站点安全推荐为2。
* {  ]  S2 a- w- [  o( G
5 ?) W* z2 }4 J"TcpMaxConnectResponseRetransmissions"=dword:00000001

' p& K0 R3 E* V9 B( X7 f/ V5 H'设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
# k/ N9 ?; e* F4 D
4 C+ Q7 y- v$ Q5 H/ G"TcpMaxDataRetransmissions"=dword:00000003

'设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
; \9 k5 \( O# k+ {1 J/ f2 T
: o. G# V/ r: G. Z; j3 N$ I"TCPMaxPortsExhausted"=dword:00000005

'禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的
8 [  n8 b! T; [4 i3 P
'源路由包，微软站点安全推荐为2。
/ w- [4 Y0 Y* _# [% N2 n
"DisableIPSourceRouting"=dword:0000002
$ m4 `9 w. x* }. A
'限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
/ d) ?0 Y. O$ `" t
3 A% W$ S+ R2 J1 Y9 W: C"TcpTimedWaitDelay"=dword:0000001e
: M# o" Q: w. |: a4 \! y
8.如何避免*mdb文件被下载?

安装ms发布的urlscan工具，可以从根本上解决这个问题。

0 y  ]8 }7 S$ l9 V* ~$ _同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
% P/ ~4 l- I; m
9.如何让iis的最小ntfs权限运行?

- v4 Q' k& C- V3 u7 k* H依次做下面的工作:
/ [! |6 s5 M+ F" }
a.选取整个硬盘：

" B6 n2 J. C2 y2 ^; jsystem：完全控制

administrator：完全控制
. r# _, \, O2 |8 G
(允许将来自父系的可继承性权限传播给对象)

b.\program files\common files：

% z5 K  o9 u' b$ ^everyone：读取及运行
  K1 X1 g7 w) \+ i( o+ Y- h0 v
列出文件目录

读取

2 W0 S4 I% N( r) U  Y2 A$ e(允许将来自父系的可继承性权限传播给对象)
% H0 j* `! B" m- o/ r  O
6 x3 @6 S1 t+ C( C& q" Kc.\inetpub\wwwroot：
) a0 H& L" m8 R3 Z( S; |! i
, [& F7 ?4 q+ j, Wiusr_machine：读取及运行
  _- ^$ b" y0 ]
列出文件目录

) X& [8 D( O" a# Z读取
1 O9 q) C1 i9 W/ c
(允许将来自父系的可继承性权限传播给对象)

e.\winnt\system32：

! Y4 Q5 T2 Y% z+ a选择除inetsrv和centsrv以外的所有目录，
7 |9 \1 |, M5 e4 j' ]' P$ x: N2 H
5 C1 P5 c; l8 F去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
) h, P9 N) S/ B: G
3 d( a) m% {) E" U9 {f.\winnt：
! A2 l# Y! v( n7 a; T5 l
# ?3 _! r1 y, R) Q选择除了downloaded program files、help、iis temporary compressed files、

offline web pages、system32、tasks、temp、web以外的所有目录
) d7 B* I& U' e" m" B$ k
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

g.\winnt：

+ S( X7 n3 I' X  v9 @; G* yeveryone：读取及运行

8 l* Y  o' S2 E# y, O列出文件目录

读取
! s; `2 q) B0 h
$ P/ `8 j7 |) A3 m9 s(允许将来自父系的可继承性权限传播给对象)
1 v6 A% x9 l5 U5 _0 Z6 {
h.\winnt\temp：（允许访问数据库并显示在asp页面上）

8 q' f  u7 V3 u+ V. J+ c, jeveryone：修改
- h; m/ n  K; d
/ j2 J' `$ h: _8 Q8 y(允许将来自父系的可继承性权限传播给对象)

10.如何隐藏iis版本?
+ J. i0 K5 j/ Y3 g3 {
# w  H4 n5 n0 N6 l一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
2 N4 v6 s& {2 M
iis存放IIS BANNER的所对应的dll文件如下：
/ @3 ]4 `$ {/ u  G
7 L* W/ Z3 Z! B% E3 gWEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL

FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
4 {/ c, p& R0 @$ Q2 C! [7 c
SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL

你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0
+ `. K& L6 C0 H3 `7 O9 `
具体过程如下:
( l6 o: K! V) U- ?& L6 U
1.停掉iis iisreset /stop

2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件