当前位置：首页> 理解IIS 6

理解IIS 6

时间：2012-03-06 09:35:31 下载该word文档

理解IIS 6.0中的身份验证

2009-04-08 09:45:00

标签：IIS 身份验证

原创作品，允许转载，转载时请务必以超链接形式标明文章原始出处、作者信息和本声明。否则将追究法律责任。http://yejunsheng.blog.51cto.com/793131/160975

IIS身份验证概述: 安全中的3A-->验证Authentication: Who are you? 授权Authorization: What can you do? 审核Auditing: What have you do?

IIS中可以设置验证的层次: Server Site Folder File

Web身份验证: 匿名身份验证基本身份验证摘要身份验证集成身份验证 .Net Passport身份验证基于客户端证书映射的身份验证 UNC Pass thought身份验证

FTP身份验证: 匿名基本身份验证匿名身份验证: 不需要客户端提供认证信息,在HTTP头中不包括验证信息 IIS首选的默认验证方式RPC1945 IUSR_: 属于本地Guests组成员 IUSR_口令在SAM和IIS Metabase中要同步 NTFS权限阻止匿名访问时IIS会尝试启用其它验证方法在每个不同的节点上可以设置不同的Anonymous对应的账户子验证(subAuthentication): IIS将管理匿名账户的口令验证在IIS 5.0中子验证默认是启用的在IIS 6.0中子验证默认被禁用在全新安装的IIS 6.0中启用子验证: 将AppPool的运行标示设置为Local System 注册子验证组件,iissuba.dll-->(rundll32 %windir%\system32\iissuba.dll,RegisterIISSUBA) 设置Metabase属性 AnonymousPasswordSync=true 从IIS 5.0升级到IIS 6.0后启用子验证: 将AppPool的运行标示设置为Local System 注册子验证组件,iissuba.dll

如何查看IUSR_这个用户的密码呢?

我现在来到一台计算机名称叫做Windows2003的计算机它是一台IIS 6.0服务器我已经在这台计算机上安装IIS 6.0Resource Kit工具了打开命令提示符--在里面输入cd \按回车键--输入cd C:\Inetpub按回车键--输入cd AdminScripts按回车键--输入adsutil.vbs get w3svc/AnonymousPasswordSync按回车键可以看到它提示在这个节点里面没有设置输入adsutil.vbs get w3svc/AnonymousUserName按回车键可以看到当前的匿名用户是IUSR_ 注意: WINDOWS2003是本地计算机的名称输入adsutil.vbs get w3svc/AnonymousUserPass按回车键可以看到现在查看的密码是被加密的看不到的怎么样去查看IUSR_这个用户的密码呢? 输入notepad adsutil.vbs按回车键在脚本里面找到一条叫做Function IsSecureProperty(ObjectParaneter,MachineName)的函数然后在下面添加IsSecureProperty = False Exit Function 在记事本里面按文件--按保存输入adsutil.vbs get w3svc/AnonymousUserPass按回车键看到了吧? 可以看到IUSR_ 这个用户的密码是N1;Ce<2q|SE7Lc了

如何在IIS 6.0中启用子验证然后能够让IIS自动去管理IUSR_这个用户的密码呢?

通过开始--程序--管理工具--选择Internet信息服务(IIS)管理器来打开它展开WINDOWS2003(本地计算机)--应用程序池--对着DefaultAppPool右键--选择属性在DefaultAppPool属性里面按标识选项--在预定义账户里面选择本地系统按确定此时会弹出一个提示不用管它按是就ok了注意: 我们不推荐把预定义账户设置成本地系统因为如果DefaultAppPool里面运行的客户端运用发生了问题假如黑客攻破你的系统的时候它有可能会利用这个本地系统账户去做一些比较危险的事情所以说一般不推荐使用本地系统那么这也是为什么在IIS 6.0里面的子验证默认被禁用掉的原因

接下来我们需要去注册一下子验证的模块打开命令提示符--在里面输入cd \按回车键--输入cd Inetpub按回车键--输入cd AdminScripts按回车键--输入cd c:\WINDOWS\system32按回车键--输入rundll32 iissuba.dll, RegisterIISSUBA按回车键注册完成之后是没有任何显示的最后还需要输入c:\Inetpub\AdminScripts\adsutil.vbs set w3svc/AnonymousPasswordSync true按回车键可以看到现在已经为IIS服务器启用子验证了这样就能够帮你去管理IIS服务器里面的IUSR_这个用户的密码了让它自动在Metabase和本地SAM数据库里面进行同步了打开IE浏览器--在地址里面输入http://www.microsoft.com按回车键看到了吧? 可以看到网站的内容了-->Microsoft

如果把IUSR_这个匿名访问用户的密码修改掉还能不能访问到网站呢? 展开网站--对着Microsoft这个网站右键--选择属性--按目录安全性在身份验证和访问控制里面按编辑--我把IUSR_这个用户的密码修改成123--按确定打开浏览器--在地址里面输入http://www.microsoft.com按回车键看到了吧? 还是能够访问到Microsoft这个网站的内容这是为什么呢? 原因就是当我们注册了子验证以后子验证会自动去同步Metabase和本地SAM数据库里面匿名身份验证用户的密码

如果我把Metabase属性的值修改成false会发生什么结果呢? 打开命令提示符--在里面输入cd \按回车键--输入cd Inetpub按回车键--输入cd AdminScripts按回车键--输入cd c:\WINDOWS\system32按回车键--输入c:\Inetpub\AdminScripts\adsutil.vbs set w3svc/AnonymousPasswordSync false按回车键打开IE浏览器--在地址里面输入http://www.microsoft.com按回车键看到了吗? 现在不能够访问到Microsoft这个网站了为什么不能访问呢? 因为我把子验证的功能关闭了这样它就没有办法去同步IUSR_这个用户的密码所以身份验证的过程就会失败了

基本身份验证: 验证原理: Web服务器-->返回HTTP401与所支持的身份验证方式客户端-->以Authorization头返回"明文"用户名和密码绝大部分Web服务器/浏览器都支持HTTP 1.0协议的组成部分(RPC2617) 单独使用是一种不安全的验证方法: 用户名和口令使用Base64进行编码(RFC1521) 结合SSL保证传输的安全性用户权限要求的变化: IIS 5.0-->用户需要Local Logon权利 IIS 6.0-->Network Logon 验证令牌缓存: 默认15分钟 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Inetlnfo\Parameters

如何启用基本身份验证呢?

我来到IIS服务器这边我已经把这台IIS服务器加入yejunsheng.com域中了展开网站--对着Microsoft 这个网站右键--选择属性--按目录安全性在身份验证和访问控制里面按编辑--把启用匿名访问的沟去掉--把基本身份验证(以明文形式发送密码)沟上在默认域里面输入yejunsheng.com 领域可以随便输入一些其他的信息因为领域只是一个显示的信息给用户的一些相应的提示我就在领域里面输入User@yejunsheng吧按确定

打开IE浏览器--在地址里面输入http://www.microsoft.com按回车键因为设置了基本身份验证所以会弹出一个要求身份验证的窗口为什么会可以看到User@yejunsheng呢那就是因为我刚才设置领域的信息它只是起到一个显示信息的作用并没有其他作用然后在用户名里面输入域名\用户(yejunsheng\administrator) 在密码里面输入administrator的密码按确定看到了吧? 可以看到网站的内容了-->Microsoft

摘要身份验证: 基于质询/响应的验证方法: 服务器-->返回HTTP401与所支持的身份验证方式,提供nonce、realm 客户端-->提供nonce和口令的hash摘要作为响应默认使用口令和nonce生成MD5摘要支持Proxy 中等的安全性 RFC2069/RFC2617 浏览器必须是IE 5.0以上必须在Windows的域环境中使用-->IIS服务器和用户必须是信任域的成员用户账户储存于AD中 DC、IIS必须是Windows 2000以上摘要身份验证-->IIS 5.0、IIS 6.0支持用户口令使用可还原加密 IIS 6.0需要使用子验证(Windows 2000 DC): 注册iissuba.dll AppPool使用Local System标识 Metabase值UseDigestSSP=False 高级摘要身份验证-->只有IIS 6.0支持,默认的摘要验证 DC、IIS必须是Windows 2003 用户口令以多种MD5摘要形式存放于AD

如何启用摘要身份验证呢? 如果启用摘要身份验证的话必须要启用子验证和把DefaultAppPool属性里面的预定义账户设置成本地系统因为这两步在上面已经做过了这里就不需要再做了

我现在来到IIS服务器这边打开Internet信息服务(IIS)管理器--展开网站--对着Microsoft右键--选择属性--按目录安全性--在身份验证和访问控制里面按编辑--把Windows域服务器的摘要式身份验证沟上按确定

注意: 为了能使用摘要身份验证我们还需要在IIS服务器上设置一个Metabase的值打开命令提示符--在里面输入cd \按回车键--输入cd \Inetpub按回车键--输入cd AdminScripts按回车键输入adsutil.vbs set w3svc\UseDigestSSP false按回车键默认情况下这个Metabase的值是true

我现在来到一台计算机名称叫做GC的计算机它是森林中第一台DC(全局编录服务器) 打开命令提示符--在里面输入cd \WINDOWS\system32按回车键--输入rundll32 iissuba.dll, RegisterIISSUBA按回车键注册完成之后这样域控制器就也可以支持子验证了

通过开始--运行--输入dsa.msc按确定来打开Active Directory 用户和计算机我已经提前新建一个叫做user1的用户了展开yejunsheng.com这个域名--按User--对着user1这个用户右键--选择属性--按账户--把使用可逆的加密保存密码沟上--按确定注意: 此时还需要对user1这个用户进行重新设置一次密码

我现在来到IIS服务器这边测试一下打开IE浏览器--在地址里面输入http://www.microsoft.com按回车键--在用户名里面输入域名+用户名(yejunsheng\user1)--在密码里面输入user1的密码按确定看到了吧? 已经可以访问到Microsoft这个网站的内容了说明已经成功启用Windows域服务器的摘要式身份验证了如果想启用高级摘要身份验证的话就在IIS服务器的命令提示符里面输入adsutil.vbs set w3svc\UseDigestSSP true按回车键就ok了这样就可以支持高级摘要身份验证了高级摘要身份验证的好处就是不需要为用户设置使用可逆的加密保存密码了

集成身份验证: 是基于SSPI(Security Support Provider)的身份验证方式包含两种验证方式: NTLM(LM/NTLM/NTLMv2)-->NT4/Win2k/XP/Win2k3 kerberos-->Win2k/XP/Win2k3 IIS将会询问客户端协商验证协议在IIS中强制验证协议: Metabase-->NTAuthenticationProviders: Negotiate NTLM Kerberos 适用于Intranet环境: NTLM无法使用Proxy Kerberos不易通过防火墙安全的身份验证方式-->和具体使用安全身份验证协议相关