[建站技术]网站服务器IIS常见问题完全解析

月中水

1.如何让asp脚本以system权限运行?

& J) Q* s6 P% V- ]4 u# G修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....

2.如何防止asp木马?
1 F4 \- y1 ?1 i& F
基于FileSystemObject组件的asp木马
- I$ t0 K6 _: o
8 L1 ^5 Z+ s) l5 ~! T7 s( Y0 xcacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用

regsvr32 scrrun.dll /u /s //删除
2 I- d3 }: M6 m& n: U
3 n+ k4 p5 ~& z; s基于shell.application组件的asp木马
( C2 X# s( K' o9 O, Q7 c
cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用

regsvr32 shell32.dll /u /s //删除
9 @* J& W- p: p6 W/ F9 D  I
3.如何加密asp文件?

0 X' x! `: J8 j1 r* b8 z& O从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。

9 a- }2 L' a' j安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。

运行screnc - l vbscript source.asp destination.asp

$ E* }& G5 k9 Q生成包含密文ASP脚本的新文件destination.asp
7 O; ]! ]5 R. k- I. H% A  o
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了

但无法加密中文。

4.如何从IISLockdown中提取urlscan?

9 H9 m& S& k* Hiislockd.exe /q /c /t:c:\urlscan

# Y2 s. U, K8 l0 {5.如何防止Content-Location标头暴露了web服务器的内部IP地址?
% N' `2 m6 i: x( c
执行

( V4 A. h3 r- t3 @& N" Scscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True

最后需要重新启动iis

2 f. z# w/ b8 Y0 A7 Y6.如何解决HTTP500内部错误?
& t7 z( E: ?* F4 o
iis http500内部错误大部分原因
7 k7 K7 y7 x. o9 E4 p
主要是由于iwam账号的密码不同步造成的。
" g4 [5 t+ L; n* j1 ]9 C' ?
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
2 K* c: u+ [) P& M
执行

. m6 L5 U& l! Xcscript c:\inetpub\adminscripts\synciwam.vbs -v
3 V. @) B$ b* T! I- T
7.如何增强iis防御SYN Flood的能力?
* o. n2 t& r* Z' }$ A# F
3 |9 H6 }$ `+ v" `' Z; XWindows Registry Editor Version 5.00
# o, Y3 _7 u' ~. b' X' c) r$ G* A0 }
# C$ P3 k$ L7 s+ F6 f1 ?& s& C[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
! \! J7 S  m2 Q; c
$ n4 |* e; E; ~& M2 N' w'启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后

  G8 ?: G$ [. J5 i: q'安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
/ h; L! U! g1 K
4 I$ b! A6 x# x* b'设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。

"SynAttackProtect"=dword:00000002
, A, ]1 f$ u- t5 R* t* `+ S( ~# l
'同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态

'的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。

"TcpMaxHalfOpen"=dword:00000064
9 Q( H$ k- U8 V) t# R9 z* k
'判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。

8 n# g7 |& C9 X) ]"TcpMaxHalfOpenRetried"=dword:00000050

2 q  D2 [1 v' Q5 o& U3 V: \! y'设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
: ~5 e- u% C3 R! |# Y
'项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。

'微软站点安全推荐为2。

"TcpMaxConnectResponseRetransmissions"=dword:00000001
4 k* _8 k6 q8 j2 W  |
'设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。

"TcpMaxDataRetransmissions"=dword:00000003
8 [; \+ C% u$ A, L  ~4 R
'设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
- c, T0 T' r  N; R9 M$ ^% U. h5 m1 F
"TCPMaxPortsExhausted"=dword:00000005

+ c8 j/ L, Z! I'禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的
# l$ b+ u$ o$ e# P9 v. U: i2 S# u7 ?
  R8 j, ^6 E: ~, x$ K) r& p'源路由包，微软站点安全推荐为2。

"DisableIPSourceRouting"=dword:0000002
# Y, T+ v& n  O7 x+ y0 N( b+ F4 e/ H
'限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
6 Q( g; W' W  H7 H! ~% b% q
"TcpTimedWaitDelay"=dword:0000001e

8.如何避免*mdb文件被下载?

安装ms发布的urlscan工具，可以从根本上解决这个问题。
- E0 X* K6 y: I0 C9 A; l
2 G5 _- H' D/ Y1 ?4 O8 F同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。

1 `- _9 \! ^. n- |& M9.如何让iis的最小ntfs权限运行?

依次做下面的工作:
/ N6 B' |; b& Z4 A+ W
a.选取整个硬盘：
; M& j( F% t3 |) ]
8 n/ s6 T# n) Q) }  m! usystem：完全控制
! f% }, x& Q  H6 j1 x
0 G, l- y5 P. m* i1 Y  Kadministrator：完全控制
) d5 w: J" O7 x6 t: v: k! ^1 b
: `) t& q5 U6 b(允许将来自父系的可继承性权限传播给对象)

" b' ^7 }9 S% ~8 o2 d  Z2 K+ |8 fb.\program files\common files：
$ y9 Y. w8 A9 c. `6 e1 _; @, B
5 `* t7 V9 t& y  beveryone：读取及运行

% a- _/ D3 p; z' H" a列出文件目录
* {+ A8 ]' Z( I; y& q
/ e, Y0 d, W, ^9 ^5 L5 D* M1 f读取

(允许将来自父系的可继承性权限传播给对象)
: _, S1 ~7 k$ \4 }" b
( ]. F7 V4 c1 c/ T( \, Gc.\inetpub\wwwroot：

iusr_machine：读取及运行

1 H* T7 U' Z! q' w列出文件目录

0 d' z+ n3 G4 R0 O# y3 E读取

8 v8 v) @; d' H9 P: I2 k! E(允许将来自父系的可继承性权限传播给对象)

9 E+ _; ?4 \- Q, j: ^& r) Ee.\winnt\system32：
! L$ J' t# I* R9 r4 \) k0 P5 ~( a1 Y
, @" R2 H, o* P/ e+ Z. s选择除inetsrv和centsrv以外的所有目录，
, w8 a7 i5 r' I, i
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

f.\winnt：
0 Q* B9 e8 H7 }$ x1 |3 u6 C5 K
选择除了downloaded program files、help、iis temporary compressed files、
2 Y1 Z; |  h2 u) k' n
6 x7 \$ D' R0 Doffline web pages、system32、tasks、temp、web以外的所有目录

去除“允许将来自父系的可继承性权限传播给对象”选框，复制。

( z% _9 I/ N$ ^' Hg.\winnt：

everyone：读取及运行
# i% Q: M( K$ d
; [- ]& t) l3 y# G9 R# ]列出文件目录

8 h+ Y* }; O( b/ I+ d读取
! T: j: U" c1 U- D2 p
(允许将来自父系的可继承性权限传播给对象)
) @# }' Y5 z) U( ~
h.\winnt\temp：（允许访问数据库并显示在asp页面上）
" l: B1 w0 z2 n  ~0 l
8 y$ t0 {' \( Z4 s/ M1 Q8 s0 n& E( j: Weveryone：修改
+ v# g8 w: {/ p4 v) K7 W$ o( D, y
(允许将来自父系的可继承性权限传播给对象)
8 D% o" g. W: F! ^, {! l. ~. s
# p  P& ]  j# ^/ ~7 a% y10.如何隐藏iis版本?
; v+ v2 l% x2 ]7 F5 U3 `& O
+ a! t+ E9 I3 y6 X5 D一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息

* Y& [  u3 P: |+ X. T' f8 Wiis存放IIS BANNER的所对应的dll文件如下：
: C! P& x( q/ f) ]. ]7 w! G1 F. Z
' F4 r: M3 u8 C! u) G3 O( HWEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL

FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL

SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL
" ]4 \1 Q5 N" {  v1 T6 ]
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0

具体过程如下:
% c  T* q# F/ t- ^' b
2 s. O" F/ i. E7 b6 _3 m1.停掉iis iisreset /stop

2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件