《IIS中间件安全技术概述》由会员分享，可在线阅读，更多相关《IIS中间件安全技术概述（28页珍藏版）》请在金锄头文库上搜索。
1、IIS中间件安全技术概述 技术创新变革未来 5/11/2020 9:50 PM第2页 4.1.2 IIS IIS 服务器的安全设置 IIS 服务器常见漏洞 5/11/2020 9:50 PM第3页 IIS 服务器的安全设置 IIs是Internet Information Services的缩写，意为互联网信息服务，它的 功能是提供信息服务，如架设 http、ftp 服务器等,是由微软公司提供的基于运行 Microsoft Windows的互联网基本服务 5/11/2020 9:50 PM第4页 IIS 服务器的安全设置 了解身份验证功能，能够对访问用户进行控制 了解利用账号控制 web 目录
2、的访问权限，防止跨目录访问 了解为每个站点设置单独的应用程序池和单独的用户的方法 了解取消上传目录的可执行脚本的权限的方法 5/11/2020 9:50 PM第5页 IIS 服务器的安全设置了解身份验证功能，能够对访问用户进行控制 IIS的身份验证概述 匿名身份验证 基本身份验证 摘要式身份验证 windows集成身份验证 5/11/2020 9:50 PM第6页 IIS 服务器的安全设置了解身份验证功能，能够对访问用户进行控制 系统默认只启用了匿名身份验证，另外三种需要通过添加角色服务的方式来添加 5/11/2020 9:50 PM第7页 IIS 服务器的安全设置了解身份验证功能，能够对访问
3、用户进行控制 另外身份验证的顺序为： 匿名身份验证windows验证摘要式身份验证基本身份验证 可以这么理解，如果同时开启匿名身份验证和基本身份验证，客户端就会先利用匿名身份验证， 所以基本身份验证即无效！ 5/11/2020 9:50 PM第8页 IIS 服务器的安全设置了解身份验证功能，能够对访问用户进行控制 匿名身份验证 即用户访问站点时，不需要提供身份认证信息，即可正常访问站点！ （服务端IIS设置允许匿名访问后，收到客户端的资源请求后，不需要经过身份验证，直接把请求的资源返回给客户端） GET /iisstart.htm HTTP/1.1 Accept: */* Accept-Lan
4、guage: zh-cn UA-CPU: x86 Accept-Encoding: gzip, deflate If-Modified-Since: Fri, 21 Feb 2003 12:15:52 GMT If-None-Match: 0ce1f9a2d9c21:d87 User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; InfoPath.1; .NET CLR 2.0.50727; MAXTHON 2.0) Host: 192.168.100.5 Connection
5、: Keep-Alive HTTP/1.1 200 OK Content-Length: 1193 Content-Type: text/html Last-Modified: Fri, 21 Feb 2003 12:15:52 GMT Accept-Ranges: bytes ETag: 0ce1f9a2d9c21:d8b Server: Microsoft-IIS/6.0 MicrosoftOfficeWebServer: 5.0_Pub X-Powered-By: ASP.NET Date: Mon, 12 Nov 2007 07:29:40 GMT 5/11/2020 9:50 PM第
6、9页 IIS 服务器的安全设置了解身份验证功能，能够对访问用户进行控制 基本身份验证 若网站启用了基本身份验证，访问站点时，会要求用户输入密码！在网站后台等目录常用 使用此身份验证，需先将匿名身份验证禁用！ 5/11/2020 9:50 PM第10页 IIS 服务器的安全设置了解身份验证功能，能够对访问用户进行控制 基本身份验证 先禁用匿名身份验证，然后再启用基本身份验证，我们可以然后在点右边的编辑！ 默认域：可以添加域账户，或将其留空。 将依据此域对登录到您的站点时未提供域的用户进行身份验证。 领域：随便输入，将被显示到登录界面上. 5/11/2020 9:50 PM第11页 IIS 服务器
7、的安全设置了解身份验证功能，能够对访问用户进行控制 基本身份验证 首页访问正常无需账户密码 打开后台地址，需要输入本地用户组账户 5/11/2020 9:50 PM第12页 IIS 服务器的安全设置了解身份验证功能，能够对访问用户进行控制 摘要式身份验证 摘要式身份验证如基本身份验证一样需要输入账户密码，但是比基本身份认证更安全， 基本身份验证在网络上传输不加密的 Base64 编码的密码，而摘要式身份验证用户密码使用 MD5加密！ 使用摘要式身份验证必须具备下面三个条件： 浏览器支持HTTP 1.1 IE5以上都支持 IIS服务器必须是Windows 域控制器成员服务器或者域控制器 用户登录
8、招呼必须是域控制器账户，而且是同IIS服务器用以域或者信任域！ 所以说摘要式身份验证是使用 Windows 域控制器对请求访问 Web 服务器内容的用户进行身 份验证。 5/11/2020 9:50 PM第13页 IIS 服务器的安全设置了解身份验证功能，能够对访问用户进行控制 Windows 集成身份验证 如果您希望客户端使用 NTLM 或 Kerberos 协议进行身份验证，则应使用 Windows 身份验证。 Windows 身份验证同时包括 NTLM 和 Kerberos v5 身份验证，它最适用于 Intranet 环境，其原因如下： 客户端计算机和 Web 服务器位于同一个域中。
9、管理员可以确保所有客户端浏览器均为 Internet Explorer 2.0 或更高版本。 不需要不受 NTLM 支持的 HTTP 代理连接。 Kerberos v5 需要连接到 Active Directory，这在 Internet 环境中不可行 5/11/2020 9:50 PM第14页 IIS 服务器的安全设置了解身份验证功能，能够对访问用户进行控制 身份验证总结 在一些需要身份验证的地方，Windows 集成身份验证和摘要式身 份验证，因为使用条件限制，在个人网站中运用很少，所以我们更 多的使用的是基本身份验证！ 5/11/2020 9:50 PM第15页 IIS 服务器的安全设置
10、 了解身份验证功能，能够对访问用户进行控制 了解利用账号控制 web 目录的访问权限，防止跨目录访问 了解为每个站点设置单独的应用程序池和单独的用户的方法 了解取消上传目录的可执行脚本的权限的方法 5/11/2020 9:50 PM第16页 IIS 服务器的安全设置了解为每个站点设置单独的应用程序池和单独的用户的方法 要新建应用程序池，在IIS管理控制台中右击应用程序池文件夹，指向新建，选择应用程序池 5/11/2020 9:50 PM第17页 IIS 服务器的安全设置了解为每个站点设置单独的应用程序池和单独的用户的方法 然后在弹出的添加新应用程序池对话框，在应用程序池ID栏输入应用程序池名，
11、然后选择使用默 认设置还是继承现有的应用程序池设置，再点击确定即可； 分配Web站点到应用程序池中 在IIS管理控制台中展开网站文件夹，右击对应的网站，然后选择属性，在弹出 的网站属性对话框上，点击主目录标签，然后在应用程序池栏选择不同的应用 程序池即可，默认情况下所有网站所使用的应用程序均名为默认应用程序，如 果要想此网站使用不同的应用程序名，则在应用程序名栏修改即可，例如在此 我就修改为winsvr，这主要是便于查看，然后点击确定即可 5/11/2020 9:50 PM第18页 IIS 服务器的安全设置了解取消上传目录的可执行脚本的权限的方法 Windows下的IIS6.0取消服务器主机空
12、间目录脚本的执行权限 打开IIS中站点，在站点uploads目录、data目录以及静态html生成目录点击右键，菜单中选择 “属性”，在目录属性面板选择执行权限为“无”即可 5/11/2020 9:50 PM第19页 IIS 服务器的安全设置了解取消上传目录的可执行脚本的权限的方法 IIS7取消服务器主机空间目录脚本的执行权限 IIS7中的步骤 第一步呢，我们在IIS的左侧选中该目录，切换到功能视图 第二步呢，打开“处理程序映射”功能 第三步呢，打开右侧的“编辑功能权限”，将“脚本”这一项取消掉即可 IIS7也类似于IIS6.0，选择站点对应的目录，data、uploads及静态html文件目
13、录，双击功能视图面板中 的“处理程序映射 5/11/2020 9:50 PM第20页 IIS 服务器的安全设置了解取消上传目录的可执行脚本的权限的方法 IIS7取消服务器主机空间目录脚本的执行权限 在“编辑功能权限”中，我们直接去除脚本的执行权限即可 5/11/2020 9:50 PM第21页 IIS 服务器的安全设置了解取消上传目录的可执行脚本的权限的方法 IIS7取消服务器主机空间目录脚本的执行权限 若想让指定目录只有读取权限，只要在目录中放置一个名为 “web.config“，内容为 这样，在访问该目录下的 asp、php等可执行文件时，IIS7就会输出如下错误提示 HTTP 错误 40
14、1.3 - Unauthorized 由于 Web 服务器上此资源的访问控制列表(ACL)配置或加密设置，您无权查看此目录或页面 5/11/2020 9:50 PM第22页 IIS 服务器的安全设置启用或禁用日志记录，配置日志的记录选项 IIS启用日志功能安全基线要求项 1、参考配置操作 打开IIS管理工具，右击要管理的站点，选择“属性”。在“Web Site”选择“启用日志记录”，从下拉 菜单中选择“Microsotf IIS日志文件格式”。“W3C”日志格式存在日志记录时间与服务器时间不统一 的问题，所以应尽量采用IIS日志格式。 5/11/2020 9:50 PM第23页 IIS 服务器
15、的安全设置启用或禁用日志记录，配置日志的记录选项 IIS记录安全事件安全基线要求项 1、参考配置操作 （1）进入“控制面板-管理工具-本地安全策略”，在“本地策略-审核策略”中配置相应 “审核对 象访问”、“审核目录服务器访问”、“审核系统事件”、“审核帐号管理”、“审核过程追踪”选项。 （2）运行IIS管理器-“Internet信息服务”-“应用相关站点”属性-“网站”-“属性”-启动日 志记录“高级”，选择“时间”、“日期”、“扩展属性” 5/11/2020 9:50 PM第24页 IIS 服务器的常见漏洞 掌握 IIS6，IIS7 的文件名解析漏洞 掌握 IIS6 写权限的利用 掌握 I
16、IS6 存在的短文件名漏洞 5/11/2020 9:50 PM第25页 IIS 服务器的常见漏洞 掌握 IIS6，IIS7 的文件名解析漏洞 IIS 6.0解析利用方法有两种 1.目录解析 /xx.asp/xx.jpg 在网站下建立文件夹的名字为 .asp、.asa 的文件夹，其目录内的任何扩展名的文件都被IIS当作asp文件来解 析并执行。 例如创建目录 wooyun.asp，那么 /wooyun.asp/1.jpg 将被当作asp文件来执行。假设黑阔可以控制上传 文件夹路径,就可以不管你上传后你的图片改不改名都能拿shell了。 2.文件解析 wooyun.asp;.jpg 在IIS6.0下，分号后面的不被解析，也就是说 wooyun.asp;.jpg 会被服务器看成是wooyun.asp还有IIS6.0 默认的可执行文件除了asp还包含这三种 /wooyun.asa /wooyun.cer /wooyun.cdx 5/11/2020 9:50
