|
|
1.如何让asp脚本以system权限运行?
2 B6 m3 b5 s# o k/ p/ z5 f; R
0 h! `( x4 C H6 M: Y修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....3 q; M! a2 b1 D# e. p8 {
3 D$ v D2 t" U" a* Z3 u
2.如何防止asp木马?
m$ [. T- i; @' W* \; T4 W2 D
基于FileSystemObject组件的asp木马4 W9 Z9 |; e) L
& J O4 `% W! ^8 d3 Ecacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用+ J- b' O- i+ e1 N1 H5 P
" w5 T h: M" Z H- K) m: r
regsvr32 scrrun.dll /u /s //删除
( k' ]/ W) y0 N
J. V( n) R0 t2 I$ K基于shell.application组件的asp木马! s1 ?4 x( }! O9 m9 s0 T3 ~- ]
3 R) g$ k/ F3 t' Z0 ~8 _
cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用2 z6 t, @1 U5 Q" x! Z- c
4 h" M$ W1 T( v9 w0 uregsvr32 shell32.dll /u /s //删除
9 I$ g% i$ n4 {& |! q+ A& f* [
3.如何加密asp文件?- {7 M6 M/ X! _% e: \! w
: ^1 |4 t+ [: e# T; {9 [从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。$ ?* a+ R/ t/ U( h. I6 ^5 B T
& W- P) K5 h X- S, J1 c5 n( |
安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
6 Y* D& ?* D- a+ `- j* Y) p& _$ g! C! Q! |! a! {0 l, u* C
运行screnc - l vbscript source.asp destination.asp
: H; |" l/ d5 ^1 Q5 N0 q# x) u6 h% c
生成包含密文ASP脚本的新文件destination.asp" v% q+ ?& a; T+ z3 n- _/ f
1 I4 L+ V6 Z! x) h
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了# J7 m; s& G9 C1 Q, j1 z& I2 g4 W
3 u6 P- C3 _0 w7 d. i. Y但无法加密中文。
- U \( z0 @# \" E$ `: l; Z
! D& U, s* B; `7 i7 B, ]1 {' F h4.如何从IISLockdown中提取urlscan?
7 q9 {: k3 V/ U9 F) R& p/ W2 E B# {) W
iislockd.exe /q /c /t:c:\urlscan! p( U* k- B5 D2 _( n! M
6 n- j7 o; N- ]" q8 G
5.如何防止Content-Location标头暴露了Web服务器的内部IP地址?6 }$ w. p5 G2 F* d* G; q4 _( T
9 C q: q4 K$ a
执行
9 X" g) c' d/ U2 `; R$ J! _, w! @9 t# l( f& S; g- b. N; b0 i
cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True; |$ S9 W: ?6 \" q6 I9 \5 k
2 v9 G5 d8 U5 N9 _. u
最后需要重新启动iis
0 p5 J8 G; \* l6 M4 N9 @9 k* C+ J; e3 {2 [' k. h* k
6.如何解决HTTP500内部错误?
# d8 f" M9 P2 V/ @$ @& _" q
# ?; t+ A, c1 [+ L$ _+ k# Giis http500内部错误大部分原因+ w# H1 J+ U* t: F
8 E2 |7 [9 R8 H0 P6 t3 d
主要是由于iwam账号的密码不同步造成的。( x7 G. [1 x- v5 ?$ N7 @
B4 u$ y; T$ G0 G5 k: p我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
. ?1 h" A" v; s- ^+ ?5 {# t0 \4 g
0 f8 f, ^3 Y0 v4 f) B0 Z执行. O- m/ F9 S+ b3 d R' v5 `
, e/ ^1 d9 |1 O9 W. P% b
cscript c:\inetpub\adminscripts\synciwam.vbs -v7 Q) S" G% O9 ?$ @9 O
L( ~3 S' ^$ s1 F
7.如何增强iis防御SYN Flood的能力?
$ l# q) q. q1 @2 Z, b. i9 {2 T+ G2 q( A6 w
Windows Registry Editor Version 5.00% A! S5 x- ^( m1 P1 P: ?
' `+ H/ X/ d3 D6 ]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
* f( k2 K, M& {8 m3 Y
6 c3 R0 J# w8 v启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后
6 U$ t9 Z4 X8 X4 U. p
/ m. M( _# G! f5 c/ v0 l安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值$ y9 X3 p2 B8 T2 \/ ^4 |
. r( c: O$ O" G4 d" s# |设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
1 W( t/ l' B, r L
8 Y3 t4 K! m% b# N"SynAttackProtect"=dword:00000002
. R6 q! `1 ?& Y) H# `% J# V# K9 N$ _/ z( q9 D- g D$ t( t
同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态, ^, m0 f& [# L h5 n e% D. ^4 z; e$ C
& C! v1 y9 o8 S; G/ B, j
的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。; f: j: F: g+ n, ^, V9 O6 p. P1 d
) O- Q* H$ U& s$ W2 |"TcpMaxHalfOpen"=dword:00000064
) m7 S x, N% M9 t
6 Y2 w5 i8 d' s* E! j2 M判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。; `) R8 s2 k# r- q& g8 Q
2 o3 d9 D& X5 v0 c' Y' }"TcpMaxHalfOpenRetried"=dword:00000050
" p4 L( q) `" S$ h1 q$ S
: t! z9 K1 Y( O8 K% z设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。2 z* q9 l; f' x" F3 Q- y
% u/ K6 }' m$ j9 z& e$ a" O项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
. N0 [1 E: S. ]# o) _! j) H- L" l3 J" e; o! j* {
微软站点安全推荐为2。4 @" O9 h7 b( S$ Q7 c7 B. T
- [6 r7 t* V! S! Y6 v; U% b"TcpMaxConnectResponseRetransmissions"=dword:00000001
" D0 o" {7 ?8 g# j, c! \+ L+ E; |( _3 a) d7 T
设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。6 b+ s5 p1 q/ H( L2 }: b
7 P$ X% h7 ]; J# [
"TcpMaxDataRetransmissions"=dword:00000003
2 W6 K, p8 d) H" H( g, P3 T
1 {* c+ o* } t# Z+ v% J5 U% D设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
; z! B+ g q4 b# N# {2 b
; E$ ]# c# R9 k& w"TCPMaxPortsExhausted"=dword:00000005: I. ]8 x4 ~; t$ S
/ D/ F2 T% @. N2 z r) ]
禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的
/ H3 T! B2 }4 m y2 p* y- P/ E$ j4 |' N% h, }
源路由包，微软站点安全推荐为2。2 E# }4 d1 c+ f
4 z! K: L( Q1 [: V. X H" c" S
"DisableIPSourceRouting"=dword:0000002) j! Z6 a2 s+ K7 L) L
$ G( [0 r5 w ~限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
9 F# z" b. J W8 L ` x% N4 k) N$ v1 X
"TcpTimedWaitDelay"=dword:0000001e
' C4 k; @/ s! y& R, j
^# {. S6 j' t8.如何避免*mdb文件被下载?
8 b4 }! {) a4 U$ l) L4 _7 _9 l
4 o; P1 O, C3 K2 I安装ms发布的urlscan工具，可以从根本上解决这个问题。- K! j ]2 G' [9 ?; \
3 M2 ]% r" J( N0 d* _同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。7 z, W7 j) _# k: m2 q, o
" L- u H( H3 m' t9.如何让iis的最小ntfs权限运行?7 _! a" V4 l' C( `
% k! H2 \4 I: y' M7 f! \; j9 S依次做下面的工作:
h0 u+ u- a; [8 n* R' G/ |7 [* G% _
a.选取整个硬盘:
8 a' j/ H* r- }* d2 A3 X& P" w4 ~) _
) R$ B$ o5 f( v9 yystem:完全控制6 |. `8 [! X1 L! c
7 D& n" D ^9 T1 p4 badministrator:完全控制1 m( `+ C+ x3 C' S3 Z) ~. ^
; o9 {5 h. b0 h) U1 ^
(允许将来自父系的可继承性权限传播给对象)" O% |2 ~6 w' ~# [1 q
: J5 ~& \ u' V) H9 g5 ?! v
.\program files\common files:" w7 w" x- E' H- ]1 A, I
* w( @' i% Y2 {
everyone:读取及运行
O- [0 y+ c) t7 k; _
% h" D6 T) O) y/ E {0 ]$ p/ b列出文件目录- ^- j) I/ U( _' ]/ |
* L5 P/ d4 `* {9 x1 t( F0 _读取% |& z; F2 S y6 M) j1 h0 B
3 p1 }5 O% m/ o
(允许将来自父系的可继承性权限传播给对象)6 z4 O/ M! @6 K4 N1 f8 s
; \! ~, O$ w5 M6 P; \
c.\inetpub\wwwroot:
8 t. Q4 s- S1 ~) x9 G
. O1 x6 z/ w1 v- B) J! G) s9 ^iusr_machine:读取及运行
- S" V: P3 I+ e/ q8 r! Y
) c: M+ f. z7 h$ V6 L( L列出文件目录# v$ i- K Q' d9 [( B
, ~( l7 a' h" Q0 D l3 \; U) b) v读取
7 F) q0 K/ m+ ^! N
3 b+ j7 p1 W% [, Q2 i1 o. e(允许将来自父系的可继承性权限传播给对象)$ |5 a( Q+ |+ l. E# C9 ~. G
; x- l! O9 y, l1 z" v( @e.\winnt\system32:
; [% d4 c% }; ]" q7 w e0 b" T3 E/ n3 T; W. ] p9 W2 {& m# u
选择除inetsrv和centsrv以外的所有目录，/ a. C) N6 L1 v, [' p
$ a/ }' N/ R1 E: s% O
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
1 l1 V' `! x$ [: p9 D* }# J! x4 }8 {. m. A% e/ N" u
f.\winnt:9 b: I* ^) _# M) b/ f
+ e/ a) s: i$ l5 A. x选择除了downloaded program files、help、iis temporary compressed files、( Q+ L" _# A$ m- V
1 a& F R( L: t4 y1 O2 joffline web pages、system32、tasks、temp、web以外的所有目录4 a( m4 Z1 I6 p& a
- N. R, l1 P7 r: `& ]1 t" p去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
! v! V: U4 z# s2 B7 G( v3 D, C# v* y( [. ?- n
g.\winnt:- {# [2 D/ `$ z- y1 O) Y. K. Z
2 f- }5 B' U, }2 `: \
everyone:读取及运行
8 g4 W( _) C" j ]9 Y& H9 |& z+ x/ e4 x( I) ?
列出文件目录- `3 F2 l/ Z# O K; l
+ R6 }, u& N# E, j$ o1 m' E& Q
读取(允许将来自父系的可继承性权限传播给对象)9 N+ U: P% E) \* l# d. ]. P
6 P3 W7 k' _0 e, ~( sh.\winnt\temp (允许访问数据库并显示在asp页面上)' ^( i/ D: W- v# P s7 E @- m1 B5 y
# i) Z/ K: v$ H! U- T9 D4 x3 C% m
everyone:修改' y j. Q: ~, V% B
! N) P4 @. o# f# w$ v# H
(允许将来自父系的可继承性权限传播给对象), v' g/ S7 H, W) E2 N$ T' S
; s9 C0 ]" x, n" [5 C4 w' T# [1 |10.如何隐藏iis版本?' S, ?! v% \* q- g8 S
# `7 b$ j4 Y" x u0 p% k一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息3 y# `: b5 V% n3 ]1 ?
1 `8 X! \7 f& Z* ]! }! Diis存放IIS BANNER的所对应的dll文件如下:7 o8 T& v. L$ k- N n g' a7 T
' D4 \! g4 c& ~/ i' CWEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL
: |# l& Y) r# m& B
D1 \% P: t; \. l4 G; J& f' q1 wFTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
9 \1 r* q5 J, D0 M* f6 y+ V* _% m. v; v- m ` v- m: H
SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL
: [. K5 O' V) ^
% L) B8 K* S3 m& F+ h/ X你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0( [7 t# r2 r' w; ]
2 y/ H! l# f z8 K4 y- `9 o# L具体过程如下:
7 `1 @3 H: P# \) f1 H4 u
' p$ y( `# u" B7 u. t/ S1.停掉iis iisreset /stop
& ^$ y% @) e h" R% e }5 Y
/ A2 y( e: j, x8 b; k5 y) j% t2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件4 A2 K" \* M* C/ g: F7 k3 |% i
' i" d3 @' U8 D0 I
3.修改 |
|
|Archiver|手机版|小黑屋|第一站论坛
( 蜀ICP备06004864号-6 )
窥视卡
雷达卡
发表于 2013-7-1 17:26:18
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
显身卡