一：IIS Lock DownTool，快速設(shè)置IIS安全屬性

IIS Lock DownTool的推出，還要感謝紅色代碼，因為正是紅色代碼的大面積傳播，致使微軟設(shè)計發(fā)布這款幫助管理員們設(shè)置IIS安全性的工具。
IIS Lock Tool具有以下功能和特點：
最基本功能，幫助管理員設(shè)置IIS安全性；

此工具可以在IIS4和IIS5上使用；

即使系統(tǒng)沒有及時安裝所有補丁，也能有效防止IIS4和IIS5的已知漏洞；

幫助管理員去掉對本網(wǎng)站不必要的一些服務(wù)，使IIS在滿足本網(wǎng)站需求的情況下運行最少的服務(wù)；

具有兩種使用模式：快捷模式和高級模式。快捷模式直接幫助管理員設(shè)置好IIS安全性，這種模式只適合于只有HTML和HTM靜態(tài)網(wǎng)頁的網(wǎng)站使用，因為設(shè)置完成以后，ASP不能運行；高級模式允許管理員自己設(shè)置各種屬性，設(shè)置得當(dāng)，對IIS系統(tǒng)任何功能均沒有影響。現(xiàn)在我們就來看看這款工具的使用。


（一） 軟件下載和安裝
IIS LockDown Tool在微軟網(wǎng)站下載，下載地址：
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=32362
安裝很簡單，需要注意的是，安裝以后，程序不會在系統(tǒng)的【程序】菜單出現(xiàn)，也不會在【管理工具】出現(xiàn)，需要安裝者在安裝目錄尋找運行該程序。
（二） 軟件的使用
在以下的介紹中，我們將詳細(xì)介紹每一步設(shè)置的意義和推薦設(shè)置，之所以詳細(xì)介紹，是為了我們明白這些設(shè)置到底意味著什么，同時，和我們原來的安全設(shè)置相對照，避免出現(xiàn)設(shè)置完成以后，系統(tǒng)出現(xiàn)障礙。
運行該軟件，首先出現(xiàn)以下界面（圖一）：



（圖一）

以上界面介紹了IIS Lock DownTool的一些基本情況和使用時需要注意的地方：1）使用時應(yīng)該選擇針對本網(wǎng)站最少的服務(wù)，去掉不必要的服務(wù)；2）設(shè)置完成以后，建議對網(wǎng)站進(jìn)行徹底檢查，以確定設(shè)置對本網(wǎng)站是否合適；
在以上界面，點擊【下一步】按鈕，出現(xiàn)以下界面（圖二）：



（圖二）

以上界面選擇快捷模式還是高級模式來運行軟件，在這里，軟件介紹了兩者模式的區(qū)別：
快捷模式：此設(shè)置模式關(guān)閉了IIS的一些高級服務(wù)屬性，其中包括動態(tài)網(wǎng)頁屬性（ASP）；
所以，我們需要再重復(fù)一遍，選擇快捷模式只適合提供靜態(tài)頁面的網(wǎng)站，當(dāng)然，這種模式是相對最安全的。高級模式：此模式運行安裝者自定義各種屬性，同時允許高級屬性的運行；
快捷模式設(shè)置我們不必介紹，點擊【下一步】按鈕就可以設(shè)置完成。我們選擇【Advanced Lockdown】（高級設(shè)置），點擊【下一步】按鈕，出現(xiàn)以下界面（圖三）：



（圖三）

以上界面幫助管理員設(shè)置各種腳本映射，我們來看每一種影射應(yīng)該怎樣設(shè)置：

1） Disable support Active Server Pages(ASP) ，選擇這種設(shè)置將使IIS不支持ASP功能；可以根據(jù)網(wǎng)站具體情況選擇，一般不選擇此項，因為網(wǎng)站一般要求運行ASP程序；

2） Disable support Index Server Web Interface(.idq,.htw,.ida) ，選擇這一項將不支持索引服務(wù)，具體就是不支持.idq,.htw,.ida這些文件。我們先來看看到底什么是索引服務(wù)，然后來決定取舍。索引服務(wù)是IIS4中包含的內(nèi)容索引引擎。你可以對它進(jìn)行ADO調(diào)用并搜索你的站點，它為你提供了一個很好的web 搜索引擎。如果你的網(wǎng)站沒有利用索引服務(wù)對網(wǎng)站進(jìn)行全文檢索，也就可以取消網(wǎng)站的這個功能，取消的好處是：
（1）減輕系統(tǒng)負(fù)擔(dān)；
（2）有效防止利用索引服務(wù)漏洞的病毒和黑客，因為索引服務(wù)器漏洞可能使攻擊者控制網(wǎng)站服務(wù)器，同時，暴露網(wǎng)頁文件在服務(wù)器上的物理位置（利用.ida、.idq）。因此，我們一般建議在這一項前面打勾，也就是取消索引服務(wù)；

3） Disable support for Server Side Includes(.shtml,.shtm,.stm) ，取消服務(wù)器端包含；先來看看什么叫服務(wù)器端包含，SSI就是HTML文件中，可以通過注釋行調(diào)用的命令或指針。SSI 具有強大的功能，只要使用一條簡單的SSI 命令就可以實現(xiàn)整個網(wǎng)站的內(nèi)容更新，動態(tài)顯示時間和日期，以及執(zhí)行shell和CGI腳本程序等復(fù)雜的功能。一般而言，我們沒有用到這個功能，所以，建議取消；取消可以防止一些IIS潛在地漏洞；

4） Disable for Internet Data Connector(.idc)， 取消Internet數(shù)據(jù)庫連接；先看Internet數(shù)據(jù)庫連接的作用，它允許HTML頁面和后臺數(shù)據(jù)庫建立連接，實現(xiàn)動態(tài)頁面。需要注意的是，IIS4和IIS5中基本已經(jīng)不使用idc，所以，建議在此項打勾，取消idc；

5） Disable support for Internet Printing (.printer)， 取消Internet打印；這一功能我們一般沒有使用，建議取消；取消的好處是可以避免.printer遠(yuǎn)程緩存溢出漏洞，這個漏洞使攻擊者可以利用這個漏洞遠(yuǎn)程入侵IIS 服務(wù)器，并以系統(tǒng)管理員(system)身份執(zhí)行任意命令；

6） Disable support for .HTR Scripting(.htr)， 取消htr映射；攻擊者通過htr構(gòu)造特殊的URL請求，可能導(dǎo)致網(wǎng)站部分文件源代碼暴露（包括ASP），建議在此項前面打勾，取消映射；

理解以上各項設(shè)置以后，我們可以根據(jù)本網(wǎng)站情況來決定取舍，一般網(wǎng)站除了ASP要求保留以外，其他均可以取消，也就是全消第一項前面的勾，其他全部打勾，按【下一步】按鈕，出現(xiàn)以下界面（圖四）



（圖四）

以上界面設(shè)置可以讓管理員選擇一些IIS默認(rèn)安裝文件的保留與否，我們來看怎樣選擇：

1） Remove sample web files，刪除web例子文件；建議刪除，因為一般我們不需要在服務(wù)器上閱讀這些文件，而且，這些文件可能讓攻擊者利用來閱讀部分網(wǎng)頁源程序代碼（包括ASP）；
2） Remove the Scripts vitual directory，刪除腳本虛擬目錄；建議刪除；
3） Remove the MSDAC virtual directory，刪除MSDAC虛擬目錄，建議刪除；
4） Disable Distribauted Authoring and Versioning(WebDAV)，刪除WEBDAV，WebDav主要允許管理者遠(yuǎn)程編寫和修改頁面，一般我們不會用到，建議刪除，刪除的好處是可以避免IIS5的一個WebDav漏洞，該漏洞可能導(dǎo)致服務(wù)器停止。
5） Set file permissions to prevent the IIS anouymous user from executing system utilities(such as cmd.exe,tftp.exe)，防止匿名用戶運行可執(zhí)行文件，比如cmd.exe和tftp.exe；建議選擇此項，因為紅色代碼和尼姆達(dá)均利用了以上所說的匿名執(zhí)行可執(zhí)行文件的功能；
6） Set file permissions to prevent the IIS anouymous user from writing to content directories，防止匿名用戶對目錄具有寫權(quán)限，這個不要解釋，建議選擇；
設(shè)置以上選項以后，按【下一步】按鈕，出現(xiàn)以下界面（圖五）：



（圖五）

要求確認(rèn)是否接受以上設(shè)置，選擇【是】，出現(xiàn)以下界面（圖六）開始對系統(tǒng)執(zhí)行設(shè)置：



（圖六）

在以上界面中，我們可以看到對IIS的詳細(xì)設(shè)置情況。設(shè)置完成以后，建議重新啟動IIS。

二：URLScan Tool――過濾非法URL訪問

仔細(xì)觀察IIS的漏洞，我們幾乎可以得出這樣一個結(jié)論，所有利用這些漏洞實現(xiàn)對網(wǎng)站攻擊的手段均是構(gòu)造特殊的URL來訪問網(wǎng)站，一般有以下幾種類型的URL可以利用漏洞：

1）特別長的URL，比如紅色代碼攻擊網(wǎng)站的URL就是這樣：
GET/default.idaXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXX
%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u
9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a200；

2）特殊字符或者字符串的URL，比如在URL后面加::$DATA可以看到網(wǎng)頁（ASP）源代碼；

3）URL中含有可執(zhí)行文件名，最常見的就是有cmd.exe；

既然這些攻擊利用特殊的URL來實現(xiàn)，所以，微軟提供了這款專門過濾非法URL的安全工具，可以達(dá)到御敵于國門之外的效果，這款工具有以下特點和功能：

1) 基本功能：過濾非法URL請求；
2) 設(shè)定規(guī)則，辨別那些URL請求是合法的；這樣，就可以針對本網(wǎng)站來制定專門的URL請求規(guī)則；同時，當(dāng)有新的漏洞出現(xiàn)時，可以更改這個規(guī)則，達(dá)到防御新漏洞的效果；
3) 程序提供一套URL請求規(guī)則，這個規(guī)則包含已經(jīng)發(fā)現(xiàn)的漏洞利用特征，幫助管理員設(shè)置規(guī)則；

（一）軟件的下載與安裝
URLScan 可以在微軟的網(wǎng)站上下載，地址如下：
http://download.microsoft.com/download/iis50/Utility/1.0/NT45XP/EN-US/UrlScan.exe
和一般軟件一樣安裝，但是，此軟件不能選擇安裝路徑，安裝完成以后，我們可以在System32/InetSvr/URLScan目錄下找到以下文件：
urlscan.dll：動態(tài)連接庫文件；
urlscan.inf：安裝信息文件；
urlscan.txt：軟件說明文件；
urlscan.ini：軟件配置文件，這個文件很只要，因為對URLScan的所有配置，均有這個文件來完成。

（二）軟件的配置
軟件的配置由urlscan.ini文件來完成，在配置此文件以前，我們需要了解一些基本知識。

1） urlscan配置文件的構(gòu)造形式

urlscan配置文件必須遵從以下規(guī)則：
（1）此文件名必須為urlscan.ini；
（2）配置文件必須和urlscan.dll在同一目錄；
（3）配置文件必須是標(biāo)準(zhǔn)ini文件結(jié)構(gòu)，也就是由節(jié)，串和值組成；
（4）配置文件修改以后，必須重新啟動IIS，使配置生效；
（5）配置文件由以下各節(jié)組成：
[Option]節(jié)，主要設(shè)置節(jié)；
[AllowVerbs]節(jié)，配置認(rèn)定為合法URL規(guī)則設(shè)定，此設(shè)定與Option節(jié)有關(guān)；
[DenyVerbs] 節(jié)，配置認(rèn)定為非法URL規(guī)則設(shè)定，此設(shè)定與Option節(jié)有關(guān)；
[DenyHeaders]節(jié)，配置認(rèn)定為非法的header在設(shè)立設(shè)置；
[AllowExtensions]節(jié)，配置認(rèn)定為合法的文件擴(kuò)展名在這里設(shè)置，此設(shè)定與Option節(jié)有關(guān)；
[DenyExtensions]節(jié)，配置認(rèn)定為非法的文件擴(kuò)展名在這里設(shè)置，此設(shè)定與Option節(jié)有關(guān)；

2)具體配置

（1）我們首先來看Option節(jié)的配置，因為Option節(jié)的設(shè)置直接影響到以后的配置，因此，這一節(jié)的設(shè)置特別重要。此節(jié)主要進(jìn)行以下屬性的設(shè)置：
UseAllowVerbs：使用允許模式檢查URL請求，如果設(shè)置為1,所有沒有在[AllowVerbs]節(jié)設(shè)置的請求都被拒絕；如果設(shè)置為0，所有沒有在[DenyVerbs]設(shè)置的URL請求都認(rèn)為合法；默認(rèn)為1;
UseAllowExtensions：使用允許模式檢測文件擴(kuò)展名；如果設(shè)置為 1,所有沒在[AllowExtensions]節(jié)設(shè)置的文件擴(kuò)展名均認(rèn)為是非法請求；如果設(shè)置為0,所有沒在[DenyExtensions]節(jié)設(shè)置的擴(kuò)展名均被認(rèn)為是合法請求；默認(rèn)為0;
EnableLogging：是否允許使用Log文件，如果為1,將在urlscan.dll的相同目錄設(shè)置名為urlscan.log的文件記錄所有過濾；
AllowLateScanning：允許其他URL過濾在URLScan過濾之前進(jìn)行，系統(tǒng)默認(rèn)為不允許0;
AlternateServerName：使用服務(wù)名代替；如果此節(jié)存在而且[RemoveServerHeader]節(jié)設(shè)置為0,IIS將在這里設(shè)置的服務(wù)器名代替默認(rèn)的“Server”；
NormalizeUrlBeforeScan：在檢測URL之前規(guī)格化URL；如果為1，URLScan將在IIS編碼URL之前URL進(jìn)行檢測；需要提醒的是，只有管理員對URL解析非常熟悉的情況下才可以將其設(shè)置為0；默認(rèn)為1；
VerifyNormalization：如果設(shè)置為1，UrlScan將校驗URL規(guī)則，默認(rèn)為1；此節(jié)設(shè)定與NormalizeUrlBeforeScan有關(guān)；
AllowHighBitCharacters：如果設(shè)置為1,將允許URL中存在所有字節(jié)，如果為0，含有非ASCII字符的URL將拒絕；默認(rèn)為1；
AllowDotInPath：如果設(shè)置為1，將拒絕所有含有多個“.”的URL請求，由于URL檢測在IIS解析URL之前，所以，對這一檢測的準(zhǔn)確性不能保證，默認(rèn)為0；
RemoveServerHeader：如果設(shè)置為1，將把所有應(yīng)答的服務(wù)頭清除，默認(rèn)為0;

（2）[AllowVerbs]節(jié)配置
如果UseAllowVerbs設(shè)置為1,此節(jié)設(shè)置的所有請求將被允許，一般設(shè)置以下請求：
GET、HEAD、POST

（3）[DenyVerbs]節(jié)配置
如果UseAllowVerbs設(shè)置為0，此節(jié)設(shè)置的所有請求將拒絕，一般設(shè)置以下請求：
PROPFIND、PROPPATCH、MKCOL、DELETE、PUT、COPY、MOVE、LOCK、UNLOCK

（4）[AllowExtensions]節(jié)設(shè)置
在這一節(jié)設(shè)置的所有擴(kuò)展名文件將被允許請求，一般設(shè)置以下請求：
.asp、.htm、.html、.txt、.jpg、.jpeg、.gif，如果需要提供文件下載服務(wù)，需要增加.rar、.zip，

（5）[DenyExtensions]節(jié)設(shè)置
在這一節(jié)設(shè)置的所有擴(kuò)展名文件請求將被拒絕，根據(jù)已經(jīng)發(fā)現(xiàn)的漏洞，我們可以在這一節(jié)增加內(nèi)容，一般為以下設(shè)置：
.asa、可執(zhí)行文件、批處理文件、日志文件、罕見擴(kuò)展如：shtml、.printer等。

三：總結(jié)

以上兩個工具功能強大，可以真正實現(xiàn)對IIS的保護(hù)。IIS Lock Tool簡單，但是相對而言，只是被動的防衛(wèi)；UrlScan設(shè)置比較難，建議對IIS非常熟悉的管理員使用，只要設(shè)置得當(dāng)，UrlScan的功能更加強大。在使用UrlScan的時候，切記不要設(shè)置一次萬事大吉，需要不停跟蹤新出現(xiàn)的漏洞，隨時修改URLScan的配置文件。

IIS Lock Down Tool和URLScan Tool簡介