 鲜花( 0)  鸡蛋( 0)
|
IIS是Internet Information Server的缩写,是微软提供的Internet服务器软件,包括WEB、FTP、Mail等等服务器。因为IIS的FTP和Mail服务器不是很好用,一般用IIS只用其WEB服务器。本文以Win2000服务器版操作系统为例,介绍WEB服务器的安装和设置方法。
2 i# V# K) |3 t2 K 目前运行IIS的最理想平台是Windows 2000服务器版和高级服务器版。Win9x/Me里也有IIS,但只是PWS(个人WEB服务器),功能很有限,只支持1个连接。WinXP里的IIS也只支持10个连接。如果您要使用IIS,请使用Windows 2000服务器版。6 [: m; c) G- l, { h& y
IIS是Windows操作系统自带的组件。如果在安装操作系统的时候没有安装IIS,请打开“控制面板”->“添加或删除程序”->“添加/删除Windows组件”->双击“Internet信息服务”-> 选择“World Wide Web 服务器 ”安装。
7 O& \" I9 S3 }
4 r4 P. l! k; C* ^7 v基本设置
) S& i. e) i9 [7 F' P# s
3 T3 q, K2 c7 ]; \$ b# P8 s一、打开“控制面板”->“管理工具”->“Internet 服务管理器”:
" A) O! G7 N/ [. l8 k) L, h ! d3 b' W* [. D {5 V) y% m
在“默认Web站点”上按鼠标右键,选择“属性”,弹出默认Web站点设置窗口:
* a6 Q. T3 A* k" R; [ 6 S; d+ m; s0 f; `4 `" ^! z- }
“TCP端口”是WEB服务器端口,默认值是80,不需要改动。
' V! b& R9 I6 m/ ?# O( j “IP地址”是WEB服务器绑定的IP地址,默认值是“全部未分配”,建议不要改动。默认情况下,WEB服务器会绑定在本机的所有IP上,包括拨号上网得到的动态IP。/ y+ }) X5 g0 E6 N
二、点击上面属性窗口里的“主目录”:
1 e: Y3 s+ B( H. t6 D4 {/ s0 }
1 c% \8 l# a1 v( y在“本地路径”右边,是网站根目录,即网站文件存放的目录,默认路径是“c:\inetpub\wwwroot”。如果想把网站文件存放在其他地方,可修改这个路径。
, F/ Z, L! e6 C- {& w7 C' w1 \- L. C三、点击上面属性窗口的“文档”:
, u- K) z; R. Z- x3 G" M- ]1 D
% `7 b! `1 p2 G6 m在这里设置网站的默认首页文档。在浏览器里输入一个地址(例如http://user.dns0755.net/)访问IIS的时候,IIS会在网站根目录下查找默认的首页文件,如果找到就打开,找不到就显示“该页无法显示”。请在这里添加所需的默认首页文件名,添加完后可以用左边的上下箭头排列这些文件名的查找顺序。
, n& G! x. o' J/ J9 ]+ P! v四、到此,WEB服务器设置完毕。IIS已经可以提供WEB服务了。* [& W/ B% N5 C4 r9 T. s+ D- _% ]
如果您已经做好网站,请把网站文件copy到网站根目录,并确认网站的默认首页文件名已经在上面窗口的搜索列表里。之后打开ie,输入 http://127.0.0.1/,就看到您的网站了。
- X% H9 a& O, ^% [" }6 Q 如果您还没有做好网站,请在网站根目录新建一个htm文件,命名为“default.htm”,用网页编辑工具(例如FrontPage、Dreamweaver或记事本)打开这个文件,输入几个字,例如“我的网站”。保存文件后,打开ie,输入 http://127.0.0.1/ ;看看。! L4 [% \1 b1 c3 v: v
其他设置4 |7 R; R+ z* J: q& @
- P5 M8 g' f' Z2 m$ v# f4 @ x
IIS是Internet Information Server的缩写,是微软提供的Internet服务器软件,包括WEB、FTP、Mail等等服务器。因为IIS的FTP和Mail服务器不是很好用,一般用IIS只用其WEB服务器。本文以Win2000服务器版操作系统为例,介绍WEB服务器的安装和设置方法。# g% ~, w3 v% J6 ]; Q& b; }
目前运行IIS的最理想平台是Windows 2000服务器版和高级服务器版。Win9x/Me里也有IIS,但只是PWS(个人WEB服务器),功能很有限,只支持1个连接。WinXP里的IIS也只支持10个连接。如果您要使用IIS,请使用Windows 2000服务器版。# e$ G: x/ _, y7 f5 [0 Z2 V% x+ a
IIS是Windows操作系统自带的组件。如果在安装操作系统的时候没有安装IIS,请打开“控制面板”->“添加或删除程序”->“添加/删除Windows组件”->双击“Internet信息服务”-> 选择“World Wide Web 服务器 ”安装。( z$ o& h$ Z% s. D
* r. u/ t8 A$ ~- k4 K
基本设置 q( A* f1 T& W* t$ y3 ?8 p! G
一、打开“控制面板”->“管理工具”->“Internet 服务管理器”:: R# z) I4 J0 r- L) Y C7 Z6 q
在“默认Web站点”上按鼠标右键,选择“属性”,弹出默认Web站点设置窗口:
/ m9 j0 q% q" D8 k4 h“TCP端口”是WEB服务器端口,默认值是80,不需要改动。4 c z/ ~' Z6 M6 Y& U
“IP地址”是WEB服务器绑定的IP地址,默认值是“全部未分配”,建议不要改动。默认情况下,WEB服务器会绑定在本机的所有IP上,包括拨号上网得到的动态IP。) \' @% z# ?; L! n' j6 R4 X
二、点击上面属性窗口里的“主目录”:( ~& m, h& m. B2 g' S
在“本地路径”右边,是网站根目录,即网站文件存放的目录,默认路径是“c:\inetpub\wwwroot”。如果想把网站文件存放在其他地方,可修改这个路径。
4 F- m6 l1 I4 ^* ^( M. X三、点击上面属性窗口的“文档”:- b% Z, O: l% |- S
在这里设置网站的默认首页文档。在浏览器里输入一个地址(例如http://user.dns0755.net/)访问IIS的时候,IIS会在网站根目录下查找默认的首页文件,如果找到就打开,找不到就显示“该页无法显示”。请在这里添加所需的默认首页文件名,添加完后可以用左边的上下箭头排列这些文件名的查找顺序。
6 l5 m0 ?, a! J& h* S. Y. N J四、到此,WEB服务器设置完毕。IIS已经可以提供WEB服务了。( k3 X; t6 v% A" J# K9 n1 P& n
如果您已经做好网站,请把网站文件copy到网站根目录,并确认网站的默认首页文件名已经在上面窗口的搜索列表里。之后打开ie,输入 http://127.0.0.1/,就看到您的网站了。! k- G. G) J1 O0 N, I7 G/ P# f
如果您还没有做好网站,请在网站根目录新建一个htm文件,命名为“default.htm”,用网页编辑工具(例如FrontPage、Dreamweaver或记事本)打开这个文件,输入几个字,例如“我的网站”。保存文件后,打开ie,输入 http://127.0.0.1/ ;看看。
8 T6 q2 b @! F其他设置
2 |' V' V, |$ | Q" K9 E一、虚拟目录
, \1 A5 f) z3 F 在网站根目录下,可以建子目录来存放网页。例如建一个子目录“abc”,里面放个文件“xyz.htm”,访问这个文件的URL是:$ S/ e: d G% x# F, h- q* @& I
http://user.dns0755.net/abc/xyz.htm7 o3 k; X; r3 v
如果某些文件或目录放在其他目录下,或在其他硬盘分区下,而又希望可以被WEB访问,这个问题可以用虚拟目录解决。
8 b- ~2 {2 [1 S2 r( K" B! @) Q 虚拟目录可以把某个目录映射成网站根目录下的一个子目录。例如:网站根目录是“c:\dns0755”,把D盘上的“d:\software”目录映射到“c:\dns0755”目录下,映射后的名字为“download”,访问“d:\software”目录下的某个文件“truehost.zip”的URL为:
[. Z9 E2 A0 [0 t, R7 [3 C0 y http://user.dns0755.net/download/truehost.zip- Y8 z. ]: v% q. f/ l+ V
建立虚拟目录有两种方式:
/ i: u! H! ? D+ S1、在资源管理器里建立+ Q# @& a4 r' _' V1 r3 P" I0 [
打开资源管理器,找到要映射的目录,如“d:\software”,在“software”上按鼠标右键,选择“属性”->“Web共享”: 1 t& E2 Z# @2 x' T# f2 z

$ ?, L9 F% f8 d& O3 v z点击“共享这个文件夹”:
5 S# {) f/ w5 W, C
1 b5 R, r6 z, T( C% T- g5 A, h4 n在“别名”里输入映射后的名字,再点击确定。
- r# I$ X8 J1 e% e( u 要删除映射,可以按同样的方法,在前面窗口里选择“不共享这个文件夹”。# B- F5 y! x7 G- e( C
2、在Internet信息服务里建立。$ r# O% h5 }' E1 a) Z
打开“控制面板”->“管理工具”->“Internet 服务管理器”,在“默认Web站点”上按鼠标右键,选择“新建”->“虚拟目录”:
4 S" |$ M- s# T$ V
( I( B4 |4 ^4 h) H9 }弹出欢迎窗口,点击“下一步”;
7 }. s6 Q9 k+ F0 v4 A# B; ? 在“别名”里输入映射后的名字,如“download”,点击“下一步”;
" \+ S: Q) r: M5 y6 r: R* Z. `4 g 在“目录”里输入要映射的目录,如“d:\software”,点击“下一步”:$ g! \9 `: h5 n2 H' p! o

; f! [( X; W0 K: O \6 j y; [: k在这里选择正确的访问权限,再点击“下一步”,即完成设置。
9 l3 u3 S2 ]1 O/ d0 e8 a' }; B 删除映射的方法:打开Internet信息服务,在虚拟目录别名上按鼠标右键,选择“删除”。
0 T! J! `: Z/ \+ H U至此本地站点已经可以正常工作了,可以用http://127.0.0.1进入本地站点,注意:asp程序必须在浏览器中才能看到效果,直接在资源管理器中打开只能是编辑asp文件了,而无法浏览效果
) u$ f, B }' g4 W' z关于IIS的漏洞,几乎所有利用这些漏洞实现对网站攻击的手段均是构造特殊的URL来访问网站,一般有以下几种类型的URL可以利用漏洞:0 r' @( Q! u }6 r; V2 U
1、特别长的URL,比如红色代码攻击网站的URL就是这样:
. h' d x6 E9 g$ p. h$ UGET/default.idaXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX: E% w4 ]5 q: \* W/ u
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX4 b& |7 m8 V' o# e
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX: ]; H9 ?% L0 o. f
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a 200;
+ K7 ^8 G0 q- d0 n2、特殊字符或者字符串的URL,比如在URL后面加:DATA可以看到网页(ASP)源代码;
: V! k3 b8 {5 s 3、URL中含有可执行文件名,最常见的就是有cmd.exe;; d1 p. \# J6 E+ `0 O" e# g
既然这些攻击利用特殊的URL来实现,所以,微软提供了这款专门过滤非法URL的安全工具,可以达到御敌于国门之外的效果,这款工具有以下特点和功能:
0 u6 E" j% H- A9 }! O; v 1、基本功能:过滤非法URL请求;( p. X2 B. H: f) k0 c
2、设定规则,辨别那些URL请求是合法的;这样,就可以针对本网站来制定专门的URL请求规则;同时,当有新的漏洞出现时,可以更改这个规则,达到防御新漏洞的效果;0 d5 W7 d0 U& @( Y" @, j7 X) B7 q
3、程序提供一套URL请求规则,这个规则包含已经发现的漏洞利用特征,帮助管理员设置规则;
8 o; ]* s' b$ M W0 D/ `) {(一)、软件的下载与安装
* _# I4 a. e* t! x URLScan可以在微软的网站上下载,地址如下:
& Y, ]7 q" C4 F$ h# chttp://www.microsoft.com/downloads/details.aspx?FamilyID=f4c5a724-cafa-4e88-8c37-c9d5abed1863&DisplayLang=en
4 a& ~1 `$ W5 l1 X0 a7 B 和一般软件一样安装,但是,此软件不能选择安装路径,安装完成以后,我们可以在System32/InetSvr/URLScan目录下找到以下文件:
4 s3 k0 R* Z! M' {6 i0 t: ] urlscan.dll:动态连接库文件;
$ {- Q# p( X; ~5 t8 K/ O urlscan.inf:安装信息文件;
5 D5 A3 ~. j$ ?# B3 V1 U. L urlscan.txt:软件说明文件;
( Q$ o" ?+ {2 W: `0 z urlscan.ini:软件配置文件,这个文件很只要,因为对URLScan的所有配置,均有这个文件来完成。
8 T2 L. B$ m8 a X(二)、软件的配置
2 N4 E2 r+ \1 e8 p( k2 M( c& k! w 软件的配置由urlscan.ini文件来完成,在配置此文件以前,我们需要了解一些基本知识。
- l% e; f# i- t: `1、urlscan配置文件的构造形式$ |$ h& m7 d- l' j- ^
urlscan配置文件必须遵从以下规则:
* v4 v; t, N8 S7 Y& z4 T (1)此文件名必须为urlscan.ini;
! h, F) L0 v3 U$ y5 d (2)配置文件必须和urlscan.dll在同一目录;
) G$ v: D; `# s; S. R# I (3)配置文件必须是标准ini文件结构,也就是由节,串和值组成;4 @7 w$ G. W! E' a+ S1 [
(4)配置文件修改以后,必须重新启动IIS,使配置生效;
. l% F9 h5 \9 P! N9 R. m: L/ k (5)配置文件由以下各节组成:
\$ @1 m% [0 f6 f0 l9 S+ g. K [Option]节,主要设置节;
# d* V8 a" h, ?: u% I8 |; @7 _ [AllowVerbs]节,配置认定为合法URL规则设定,此设定与Option节有关;
2 U1 w! O8 O6 o# h; o: i5 e3 ~- V* b [DenyVerbs]节,配置认定为非法URL规则设定,此设定与Option节有关;
! l4 s; l9 ^* a0 `* x! g4 m [DenyHeaders]节,配置认定为非法的header在设立设置;
& z: c7 J y2 [, R1 T0 h4 Z, N* h [AllowExtensions]节,配置认定为合法的文件扩展名在这里设置,此设定与Option节有关;& L# e8 o- \+ e8 y% |2 ~0 f+ F
[DenyExtensions]节,配置认定为非法的文件扩展名在这里设置,此设定与Option节有关;
1 M/ m; @; U u8 l9 \ 2、具体配置0 h2 s0 U5 P& k$ E' s; g
(1)Option节的配置,因为Option节的设置直接影响到以后的配置,因此,这一节的设置特别重要。此节主要进行以下属性的设置:
* A; a/ _( C1 e) I3 u/ M. W UseAllowVerbs:使用允许模式检查URL请求,如果设置为1,所有没有在[AllowVerbs]节设置的请求都被拒绝;如果设置为0,所有没有在[DenyVerbs]设置的URL请求都认为合法;默认为1;1 r4 p3 H5 g7 ?
UseAllowExtensions:使用允许模式检测文件扩展名;如果设置为 1,所有没在[AllowExtensions]节设置的文件扩展名均认为是非法请求;如果设置为0,所有没在[DenyExtensions]节设置的扩展名均被认为是合法请求;默认为0;! O; N! W6 L" n. l- A% ^1 r6 H
EnableLogging:是否允许使用Log文件,如果为1,将在urlscan.dll的相同目录设置名为urlscan.log的文件记录所有过滤;
: T6 z, q/ p; y/ U2 w4 ]# h AllowLateScanning:允许其他URL过滤在URLScan过滤之前进行,系统默认为不允许0;! O0 M' W6 l6 n+ b; ~
AlternateServerName:使用服务名代替;如果此节存在而且[RemoveServerHeader]节设置为0,IIS将在这里设置的服务器名代替默认的“Server”;0 R* B) j& g. p" Q2 }
NormalizeUrlBeforeScan:在检测URL之前规格化URL;如果为1,URLScan将在IIS编码URL之前URL进行检测;需要提醒的是,只有管理员对URL解析非常熟悉的情况下才可以将其设置为0;默认为1;7 s, u/ O% a/ g' l; T4 @ b0 |
VerifyNormalization:如果设置为1,UrlScan将校验URL规则,默认为1;此节设定与NormalizeUrlBeforeScan有关;
3 }2 H' s1 P9 m5 K+ u AllowHighBitCharacters:如果设置为1,将允许URL中存在所有字节,如果为0,含有非ASCII字符的URL将拒绝;默认为1;
f, g* z# [# b0 b) R3 e4 E1 } AllowDotInPath:如果设置为1,将拒绝所有含有多个“.”的URL请求,由于URL检测在IIS解析URL之前,所以,对这一检测的准确性不能保证,默认为0; q% p9 I2 [- L/ C4 B
RemoveServerHeader:如果设置为1,将把所有应答的服务头清除,默认为0;2 a3 o/ x$ L @0 c' p* b& F
(2)[AllowVerbs]节配置
3 ^, v9 W+ ?$ G5 Q$ p% `, ? 如果UseAllowVerbs设置为1,此节设置的所有请求将被允许,一般设置以下请求:
- W+ o7 _% m3 v0 [4 J9 M GET、HEAD、POST; g6 U% V0 G1 k9 c5 @/ {1 R
(3)[DenyVerbs]节配置% F0 i9 _ e" H9 X
如果UseAllowVerbs设置为0,此节设置的所有请求将拒绝,一般设置以下请求:
. [) d! J0 x5 Q% ~ PROPFIND、PROPPATCH、MKCOL、DELETE、PUT、COPY、MOVE、LOCK、UNLOCK' ~: ^& {7 z" c2 w6 |2 ^
(4)[AllowExtensions]节设置
2 S! j U- E/ E' E 在这一节设置的所有扩展名文件将被允许请求,一般设置以下请求:
& V- A7 I( ~% t; H: G .asp、.htm、.html、.txt、.jpg、.jpeg、.gif,如果需要提供文件下载服务,需要增加.rar、.zip
: T# O; J [% x; t$ d, Z5 F4 [ (5)[DenyExtensions]节设置9 F2 f9 X7 ^. z; |' h$ T" L
在这一节设置的所有扩展名文件请求将被拒绝,根据已经发现的漏洞,我们可以在这一节增加内容,一般为以下设置:
: ?# G7 J$ l- y2 e.asa、可执行文件、批处理文件、日志文件、罕见扩展如:shtml、.printer等。: ]# [* x T' J
在使用UrlScan的时候,切记不要设置一次万事大吉,需要不停跟踪新出现的漏洞,随时修改URLScan的配置文件。 |
|