[建站技术]网站服务器IIS常见问题完全解析

月中水

1.如何让asp脚本以system权限运行?

3 v' K1 [( O2 u8 y8 y修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
* t5 m) C5 Y$ @4 Y. e& ?
- R3 c2 K; Z. s2.如何防止asp木马?

+ i" I# p% M! |& t基于FileSystemObject组件的asp木马
4 n; S# e* u' m* G
cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用
6 g9 r, \/ T& C  \  [3 ~9 z; q
regsvr32 scrrun.dll /u /s //删除
% K; ^$ Z+ P8 K: Y$ r
( {1 c6 o! W# V) ]! S$ j( c基于shell.application组件的asp木马
- k: z  L  h# Z, p9 n. o
% t, @  I! _# @, ~& o1 xcacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用

regsvr32 shell32.dll /u /s //删除

3.如何加密asp文件?

从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。

2 b/ W1 J% k, f5 X- P安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。

运行screnc - l vbscript source.asp destination.asp

生成包含密文ASP脚本的新文件destination.asp
" x3 Q" x" I5 Q
* x. S! [4 r% l& {4 j' J, D+ T6 q用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了

! r4 c# z$ v& k. A% @9 [但无法加密中文。

4.如何从IISLockdown中提取urlscan?

iislockd.exe /q /c /t:c:\urlscan

! C2 \0 J& }+ {1 Q) t8 }* j5.如何防止Content-Location标头暴露了web服务器的内部IP地址?
6 ~$ \. g$ q) ~1 r! O0 Q8 ]
执行

cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True
8 Q# T, B5 b. g; c
, R! u6 J* q0 b4 \  c8 M9 Q最后需要重新启动iis

! i" c# S. o9 o+ `; M6.如何解决HTTP500内部错误?

' o% m% f$ J" Miis http500内部错误大部分原因
$ U- H  C8 G3 l2 q+ q9 f9 O
主要是由于iwam账号的密码不同步造成的。

我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。

执行
  ]! D. y/ B1 F- x
cscript c:\inetpub\adminscripts\synciwam.vbs -v
( K4 v5 c3 m+ t" ]4 g. ^
7.如何增强iis防御SYN Flood的能力?
, E' A+ g: G5 w; d
# O/ {( n; O+ gWindows Registry Editor Version 5.00
" ]# L% O3 v6 L
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

6 t, h# R- }7 b5 O0 m) T2 K  s'启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后

'安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
. N! g3 n# R/ q' e6 a
- `5 f5 Z7 n$ u2 q'设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。

"SynAttackProtect"=dword:00000002
% P  |4 l9 j# [8 g+ y! ]+ J' L
'同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态
( J- p' M! l7 R
'的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。

"TcpMaxHalfOpen"=dword:00000064

+ S; b0 Y2 O3 E* ?! ?; L1 q3 H'判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。
; [+ v6 }4 l+ ~4 |9 k8 }8 {6 @9 H& Z' c
"TcpMaxHalfOpenRetried"=dword:00000050

'设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
8 E6 h# v) T# x! d/ j  n9 P3 Y; `0 e
'项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
$ @: N3 K1 y3 p! C1 W' P
) a+ [/ ^) k& L( e'微软站点安全推荐为2。
4 s; L, j. O1 r0 V# ?4 }; @
"TcpMaxConnectResponseRetransmissions"=dword:00000001
0 z! Q+ y4 ?  Q- L9 J7 `8 Y5 a
'设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。

; ^3 [( A6 f+ O' b8 C8 E; i% c"TcpMaxDataRetransmissions"=dword:00000003

'设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。

"TCPMaxPortsExhausted"=dword:00000005

! T4 d7 z. X9 a8 u- S'禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的
- H2 V: C) d; L4 ^5 k9 X0 r" P
'源路由包，微软站点安全推荐为2。

"DisableIPSourceRouting"=dword:0000002

'限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
. e3 v% c/ J$ p# c9 _3 z6 y' V, B
"TcpTimedWaitDelay"=dword:0000001e

8.如何避免*mdb文件被下载?
' o' c# T* H$ u: B* ], j4 C
安装ms发布的urlscan工具，可以从根本上解决这个问题。
  u: \2 |' [1 c0 l5 ~7 x
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
; P) t$ E1 o% o
& P% ]& S9 y. x: b- E9.如何让iis的最小ntfs权限运行?

/ Z& c) e3 f- L5 y. q依次做下面的工作:

/ ?5 E- ?4 S$ N8 ma.选取整个硬盘：

& ]' p& ~$ j* {0 U. ?system：完全控制

: A9 G  }# h7 S( Radministrator：完全控制

(允许将来自父系的可继承性权限传播给对象)
5 S+ b% a8 A0 Q! c# w
b.\program files\common files：
! k4 S0 c6 M: d* c. k6 j3 y
, _1 k+ U! l' jeveryone：读取及运行

列出文件目录

' g, T# t' k: K( W$ X8 Y8 g读取
3 @5 S- e5 t2 ]4 {$ ?( @
2 k9 |4 o) v) A* U(允许将来自父系的可继承性权限传播给对象)
: ]5 F4 q. ~4 a! k4 h6 b' n0 r
6 W* `% w7 U8 n$ C7 Y: E/ Ec.\inetpub\wwwroot：

& c9 t2 E) x$ `" [* N! T. Viusr_machine：读取及运行
9 F* L3 C7 r1 F) M
- Z, _3 d8 O. p$ l( \' n. g' M1 Q5 G列出文件目录
* R) a2 H, `9 d" [4 y. w
! x6 }* E- W6 q8 G5 T6 X$ U) p1 J读取

  O  Q9 i& n9 l) y( K(允许将来自父系的可继承性权限传播给对象)

: N* H/ o& [$ @! z" {* L; ~) l9 A4 S9 Ie.\winnt\system32：
$ v& W. f# {) h% i1 J4 \) \
选择除inetsrv和centsrv以外的所有目录，

8 w1 ]8 _4 R2 ]4 i! O5 K8 [2 }去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

f.\winnt：
9 l6 m5 F; g: S3 g2 X; N( L
1 t, Q3 O. O; d; ?+ v, A' E选择除了downloaded program files、help、iis temporary compressed files、

offline web pages、system32、tasks、temp、web以外的所有目录

9 b2 ~: R' V- |0 o6 m9 P- t5 X7 O$ t去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

! Q* B1 m7 x! \' z, Qg.\winnt：

; v: q  u/ q; J: d% W3 P- zeveryone：读取及运行
; W, C- H2 y! f: n* z* ?+ b+ B& T# K
* Y8 W' [% ]2 l3 u1 ~列出文件目录
: J3 V. y# s1 L9 q/ o
# g7 S  ]4 k4 v- e* @1 u读取
) }% j" ?; J5 c* a. B' U0 ?- v8 a6 h
(允许将来自父系的可继承性权限传播给对象)
. P& \) I8 Q4 ^$ i/ G
h.\winnt\temp：（允许访问数据库并显示在asp页面上）

everyone：修改
3 ]. @9 C8 ^* e9 }
(允许将来自父系的可继承性权限传播给对象)
1 ]- z& g2 u) T8 F3 a1 c
10.如何隐藏iis版本?
1 y) @, s$ F! q1 t
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
7 E( n. G/ Y1 i/ w
# {/ t  x2 ^! Q& ciis存放IIS BANNER的所对应的dll文件如下：

. L+ |- J0 x0 {& s6 aWEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL

4 O5 d1 p( |/ w2 \) IFTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL

SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL
4 ?" r/ Z% w! x% g+ g& Z* c8 r
2 s1 M. Z. n- v! H% @" }你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0
+ C5 x3 f- x/ u: A0 o: l2 \
3 k, r7 T& o; ~( ^- ^具体过程如下:

1.停掉iis iisreset /stop
( j' B7 D! P# I7 f# W  X
2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件