[建站技术]网站服务器IIS常见问题完全解析

月中水

1.如何让asp脚本以system权限运行?

' z1 ]$ O( y6 e8 u. x' g* P修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....

: a$ N" `# N% a. ~1 \% q2.如何防止asp木马?
+ ^+ e7 h& T5 e# i8 c2 d
7 [2 D, z- P" `3 _' o/ I# m基于FileSystemObject组件的asp木马
# }  I8 [* w7 b1 W. f' N; t
: S. z" B; S$ h! O. v0 bcacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用

regsvr32 scrrun.dll /u /s //删除
, x9 q/ K6 p6 W9 i, T
基于shell.application组件的asp木马
3 _' J0 Z# L3 ]
$ U9 D2 z- P) J, bcacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用

% V6 b* U$ _/ Aregsvr32 shell32.dll /u /s //删除
" V% Z% z2 _( v' E8 `
3 W7 p1 ^+ [7 {+ L  M( {& O3.如何加密asp文件?
1 O% X) n" ]  k8 B* Z% P
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
3 L9 o- E( m& H4 c: Z8 H
安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
& q8 C& x/ n9 a( E- y! H
运行screnc - l vbscript source.asp destination.asp

5 s; O: d9 ]4 \: M3 A& y2 n生成包含密文ASP脚本的新文件destination.asp
* A0 q% e1 K2 V$ E; ]8 T( c1 o
1 x9 v1 q4 ^- A用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
9 G. H+ J% ], _% ^! w" e
但无法加密中文。
$ \3 ]" ~+ U* \  P. n' Z6 \; J
8 p/ a! a7 V6 b  Y4.如何从IISLockdown中提取urlscan?
! u! d0 w! m% B+ Q+ z
- R; q1 H& J6 C# D  d& ciislockd.exe /q /c /t:c:\urlscan
/ Y  |: u$ D' C
. X. b: Z. d# p7 e9 Q5 e5.如何防止Content-Location标头暴露了web服务器的内部IP地址?

执行

* E3 W) w' }* R  y6 Ocscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True
2 P6 K" `$ G% m
最后需要重新启动iis

6.如何解决HTTP500内部错误?
; k# X* p/ }- k, R5 K
, D& C5 f+ u7 z& c8 @iis http500内部错误大部分原因

主要是由于iwam账号的密码不同步造成的。
6 p* j5 R3 j( r3 c7 b, H
$ v& ?) P0 ?8 g7 q/ l9 D4 F我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
  A9 n# M+ O% X0 p# Z, C2 ?
执行
, v: }" n( }* u$ S7 t' _0 |% ?
0 o% r4 E2 f: B/ rcscript c:\inetpub\adminscripts\synciwam.vbs -v

% |% X- u+ v& O  T3 b7 H7.如何增强iis防御SYN Flood的能力?
# Z% t( A6 [* x: q. b( n
( ^2 f- Y  ]- GWindows Registry Editor Version 5.00
1 {5 z" L2 B$ j% u. B8 B  F
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

'启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后
7 i6 ^& `* o1 W
* U0 {: `) w) P# M9 \) p/ p! q) c( d'安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
# h: u6 ]) Z' y/ Z
'设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
4 E( C3 |, {! G4 {7 B
$ G; }/ f6 z' v! {# I9 Q& {! S% S9 {"SynAttackProtect"=dword:00000002
$ ~0 q4 r, x! J9 T8 ]
'同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态
! k5 I: P& s: r$ V! z& S5 f
0 \8 G/ f5 D! y" x( Z! f9 E3 S/ O3 x'的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
) ]) h! K+ O  z) T7 o  s5 G
"TcpMaxHalfOpen"=dword:00000064
# ]: R) {. q4 b" B
. }! ]5 _5 s8 b- `0 N+ A) a; }3 p'判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。

0 G9 k  m! L+ `! N3 P6 ^"TcpMaxHalfOpenRetried"=dword:00000050
! c' a# c1 ]! ?3 _1 R
'设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。

'项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
! u- K5 E# ]* a2 J; d
3 o/ a, X; c2 f3 w' i# N) c6 ^/ T'微软站点安全推荐为2。
5 W0 B" E- B1 ]6 h: p
"TcpMaxConnectResponseRetransmissions"=dword:00000001
1 C1 y* j! f3 l. s" I/ L4 c9 }
! L0 D8 f- O! E! E3 N'设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
4 p' l+ k* d, ^7 v& ?
"TcpMaxDataRetransmissions"=dword:00000003

8 A6 T) d  V+ Y'设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。

"TCPMaxPortsExhausted"=dword:00000005
: J  q, R4 z9 g- j" I; N
+ N* Q$ S) M3 H, }'禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的

'源路由包，微软站点安全推荐为2。
/ |3 \2 x: {3 c$ b: x+ O7 B" e
3 L; y: v- J4 S# q, ]"DisableIPSourceRouting"=dword:0000002

( c- e. a# W7 Y5 N+ O/ s, X8 M  F'限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
* o" _4 H* q6 H( R* @  h) p
"TcpTimedWaitDelay"=dword:0000001e

8.如何避免*mdb文件被下载?

安装ms发布的urlscan工具，可以从根本上解决这个问题。

同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
' ^0 E" Z' I3 X9 g. X
9.如何让iis的最小ntfs权限运行?
+ h4 e, a* b4 U4 f( Z
  _( ]% |0 u% e" b4 q. P依次做下面的工作:
* n+ U! y+ d* T/ q; W8 n" b
a.选取整个硬盘：
, ]( z, C3 ]- S/ y) J  C# N
system：完全控制
  H8 ]- r, v+ q
( ]8 v' k1 U* R% n. H! H5 yadministrator：完全控制
5 a7 B# P8 Q" B  A6 W: _! H; ]
5 n- z1 [" t; Z1 v(允许将来自父系的可继承性权限传播给对象)

$ M! C2 h: [2 h- W# bb.\program files\common files：

; p. v! L; @+ T8 i1 e  l" Weveryone：读取及运行
  A5 S" d# C5 U5 T# o6 E8 p2 L
列出文件目录
( w& [: M2 Z, O: n
读取
. c" z6 k) Y3 e. b7 |+ _0 d
(允许将来自父系的可继承性权限传播给对象)

c.\inetpub\wwwroot：

iusr_machine：读取及运行

# N  P# ]7 l1 G; d: {列出文件目录

9 L( R7 c4 I/ B7 o! Q# B4 V读取

! f0 f7 C6 v0 ~% J( f1 G: j9 x& T4 f(允许将来自父系的可继承性权限传播给对象)

: m5 R; i1 B) s$ T5 {e.\winnt\system32：
) W! }$ `# {5 I/ r
选择除inetsrv和centsrv以外的所有目录，

去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

f.\winnt：
  Z. I: Y, D! ?2 E* n6 N
选择除了downloaded program files、help、iis temporary compressed files、
2 Y, i% b, v6 V9 F  W/ h- p. F
; a2 @% T, O/ ?7 R  I3 Z" xoffline web pages、system32、tasks、temp、web以外的所有目录

  i$ G; S$ M- E7 q. h# m7 p" @去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
. g- V7 D7 H3 ?% B. u2 O! W
g.\winnt：

everyone：读取及运行
. y9 s0 k" J1 K% K! H
, a: u8 f4 Z1 G& A列出文件目录
# R- Q7 q. s& ^! j! H; s
读取
: M# |  h) x5 S1 f
/ e' ^4 c% k2 A9 P7 {1 F. |(允许将来自父系的可继承性权限传播给对象)
  y- i% M: c" E6 c7 |9 F
h.\winnt\temp：（允许访问数据库并显示在asp页面上）

1 g' H& O6 V( j4 |% ^everyone：修改

, l) g& p0 V  c0 @: a  Q1 V) Z# R(允许将来自父系的可继承性权限传播给对象)
* u: s  C0 ?8 D- m+ |1 L7 m
/ U( h4 C+ H$ \3 W% @10.如何隐藏iis版本?

6 U, S/ }" `5 ]" s一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息

  A' ~, W% P- N0 {9 Biis存放IIS BANNER的所对应的dll文件如下：
: Q. u( F3 y  I% p
* T: N) z: c- e- F  \: o* Y9 PWEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL

. k0 F9 ~0 V& Q& \FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
; ^+ R8 E% @# S" \8 b- M5 f: D
SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL
* A- d5 v8 Y3 a( I
; \- V2 T- _/ o9 @0 m你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0

具体过程如下:

) X7 l5 U9 O" B8 S; ?- K1.停掉iis iisreset /stop

" v: _. Y1 R* p3 C- f1 J, f3 ?1 [2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件