ASP4.0+IIS出现HTTP 错误 404问题，我已经试过N种解决方法了，还是无效。

liuzheng0131 2012-01-11 03:13:24
我是个网管，并不是搞开发的，可惜开发部的人走光了，最后那开发部经理也不好好交接，一问三不知，所以现在很多问题我也不知道问题出在哪，我也搜遍了BAIDU，看了N多解决方法，基本上就是说WEB扩展应用程序有禁用项或者权限问题，我都试过了都无效……

无奈前来求助各位前辈……

问题如下：

IIS配合ASP4.0的网站，数据库是SQL SERVER 2005，由于A服务器年事已高，我准备把这个网站迁移到B服务器，可是当我把IIS环境搭建好，安装好ASP4.0，在IIS里配置好，包括目录、权限、ASP.NET版本、开启父路径、还有扩展应用程序全部启用等等。再把SQL部署好，把之前的数据完全备份，再在B服务器上恢复，创建用户、赋予权限、设置端口、开启TCPIP+NAME访问等等。最后成功打开主页，而且一些以ASPX结尾的分页都可以打开。

可是！！！！

部分发布新闻的页面无法打开，提示HTTP 404 错误，找不到文件或目录，网页是HTML结尾的。可能各位前辈看到这里一定会说是我目录搞错了才出现的问题，我在目录里确实也找不到这些网页，可是我是完全照着A服务器配置的，网站也是直接从A服务器拷贝过来的，我个人觉得已经没有任何差别了，A服务器的目录下也同样没有这些网页，可A服务器就可以浏览，就没有问题，偏偏我B服务器就是浏览不了！！！气死我了！！

A服务器地址：http://www.XXXX.com/Article/jgdt/post-3f90dcbca0c005b8a1e6.html
B服务器地址：http://本地IP/Article/jgdt/post-3f90dcbca0c005b8a1e6.html

A服务器就能浏览，B服务器就浏览不了，两个服务器的WEB目录里都没有post-3f90dcbca0c005b8a1e6.html这个网页，也没有Article/jgdt这个目录，为什么A服务器就行,B服务器就不行呢？？？

我究竟是哪里出了问题？是数据库没部署好？还是IIS没配置好？实在是不知道了

虽然我不懂.NET但是我知道要配置WEB.CONFIG文件，里边我虽然看不懂，但我大体知道配置连接数据库的IP、USER ID、PASSWORD，这些我都在之前开发部的人走了之后自行在A服务器上修改过，都没出现问题。就是这次在B服务器上怎么都搞不好……

求各位帮帮我吧………………

...全文
568 10 打赏 收藏 转发到动态 举报
写回复
用AI写文章
10 条回复
切换为时间正序
请发表友善的回复…
发表回复
liuzheng0131 2012-01-12
  • 打赏
  • 举报
 回复
多谢各位前辈耐心指点！！！

问题终于解决了

我在IIS - 网站属性 - 主目录 - 配置 里找到HTML这一项，选择编辑，把“确认文件是否存在”的取消掉，再浏览网站完全正常了

看来就是URL重写的问题

再次感谢各位的不吝赐教，谢谢各位
孟子E章 2012-01-11
  • 打赏
  • 举报
 回复
你的程序应该是使用了UrlRewrite了，没有配置正确，不是代码的问题。
如果可以，可以进行远程协助下
huijunliang 2012-01-11
  • 打赏
  • 举报
 回复
你配置一下伪静态。

详细步骤图解：

http://www.cnblogs.com/watersoftness/archive/2008/08/31/1280811.html

暗石绿 2012-01-11
  • 打赏
  • 举报
 回复
不知道你是iis7 还是iis6。
如果是 iis6，请对比
start - run - "inetmgr",在弹出来的iis里，找到虚拟目录或者在web site上右击鼠标，看 properties,
看“directory”，点“configuration”按钮，在弹出来的dialog上看"mapping"选项卡，在“extension”栏里找“html”
liuzheng0131 2012-01-11
  • 打赏
  • 举报
 回复
[Quote=引用 2 楼 xrascal 的回复:]
这个路径，我怀疑是进行了 urlrewrite。
你可以看看 A 服务器的iis里，http://www.XXXX.com 这个web site，有没有进行配置 urlrewrite的mapping.
[/Quote]

恕我真不太懂WEB，这些东西在哪查看？
liuzheng0131 2012-01-11
  • 打赏
  • 举报
 回复
楼上几位说的对

我又看了一下

http://www.XXXX.com/manager是这个网站的发布文章后台，里边可以发布一些文字文章，我自己搭建的恰恰是无法访问这些文章，我也试着在我的B服务器上发布了几篇新文章，然后查询了一下，都成功写入数据库，并且标题都看得见，就是点进去还是404错误！

post-3f90dcbca0c005b8a1e6.html就是文章ID

这问题究竟出在哪了呢………………
Ny-6000 2012-01-11
  • 打赏
  • 举报
 回复
[Quote=引用 2 楼 xrascal 的回复:]
这个路径，我怀疑是进行了 urlrewrite。
你可以看看 A 服务器的iis里，http://www.XXXX.com 这个web site，有没有进行配置 urlrewrite的mapping.
[/Quote]
有道理.

post-3f90dcbca0c005b8a1e6.html

从上面分析,前面应该是页面,或处理程序入口,后面的,是文章或什么的ID
指间的风 2012-01-11
  • 打赏
  • 举报
 回复
是不是有虚拟目录啊
暗石绿 2012-01-11
  • 打赏
  • 举报
 回复
这个路径，我怀疑是进行了 urlrewrite。
你可以看看 A 服务器的iis里，http://www.XXXX.com 这个web site，有没有进行配置 urlrewrite的mapping.
丰云 2012-01-11
  • 打赏
  • 举报
 回复
应该有些网页内容是代码生成的，或者某些网页时打包在一些DLL里面的，或者是原程序添加了某些引用你这里没有配置上，这些问题还是要打开程序调试才知道问题在哪里
IIS6.0 IIS，互联网信息服务
Internet Information Services（IIS，互联网信息服务），是由微软公司提供的基于运行Microsoft Windows的互联网基本服务。最初是Windows NT版本的可选包，随后内置在Windows 2000、Windows XP Professional和Windows Server 2003一起发行，但在普遍使用的Windows XP Home版本上并没有IIS。 添加和运行准备 　　一、IIS的添加 请进入“控制面板”，依次选“添加/删除程序→添加/删除Windows组件”，将“Internet信息服务（IIS）”前的小钩去掉（如有），重新勾选中后按提示操作即可完成IIS组件的添加。用这种方法添加的IIS组件中将包括Web、FTP、NNTP和SMTP等全部四项服务。 　　二、IIS的运行 当IIS添加成功之后，再进入“开始→设置→控制面板→管理工具→Internet服务管理器(Internet信息服务)”以打开IIS管理器，对于有“已停止”字样的服务，均在其上单击右键，选“启动”来开启。 　　三、在Windows XP Home版本中添加IIS的方法一般情况下按照“一”的方法只适用于Windows XP的专业版本，而对于家庭版，如今已有了破解方法：步骤1 首先我们需要准备一张Windows 2000的安装光盘，假设你的Windows XP家庭版安装在“C:\Windows”，启动记事本程序，在打开对话框中选择打开“C:\Windows\inf\sysoc.inf”，找到“[Components]”小节，并继续找到类似“iis= iis.dll,OcEntry,iis. inf,hide,7”的行，把这一行替换为“iis=iis2.dll,OcEntry, iis2.inf,,7”，之后保存文件。 　　步骤2 把Windows 2000专业版的光盘插入光驱，用Winrar打开光盘i386目录下的iis.dl_和iis. in_这两个CAB格式的文件，将解压缩得到的“iis.dll”改名为“iis2.dll”，复制到“C:\Windows\system32\setup\”目录下；将 “iis. inf”改名为“iis2.inf”，复制到“C:\Windows\inf\”目录下。 　　步骤3 打开控制面板，单击“添加删除程序”图标，然后在窗口左侧导航栏上单击“添加/删除Windows组件”按钮，在打开的“Windows组件向导” 中，选中“Internet信息服务(IIS)”前的复选框。单击右下角的“详细信息”按钮可以打开对话框，在该对话框中我们可以选择需要安装的IIS组件内容。选择完毕后单击“确定”按钮，退回到界面中再单击“下一步”，系统就会开始复制文件。 提示：如果在安装过程中系统需要插入Windows XP CD，或者需要你提供“exch_adsiisex.dll”文件，那是因为你按照默认的选项安装了IIS。要解决这个问题，只要清空“SMTP Service”选项前的复选框即可。如果进入窗口中，“Internet信息服务(IIS)” 选项无法选择，那么很可能因为你使用的“iis.dl_”和“iis. in_”是从Windows XP专业版中提取的，只要换成 Windows 2000专业版中的这两个文件即可。 步骤4 安装结束后，你可以打开“控制面板→性能和选项→管理工具”查看“Internet信息服务管理”。再打开IE，在地址栏中输入“localhost”后回车，验证一下IIS是否正常运行。 经过验证，WWW、FTP等几个服务经过这样的修改都可以在Windows XP家庭版上正常运行。不过经过这样处理安装的IIS在运行上可能存在某种未知的缺陷。 　　四、在Vista系统中安装IIS7.0相对于早先的版本，IIS 7.0 带来了许多引人注目的新特色新功能，比如基于 Microsoft .NET Framework 的全局配置文件，可简单地通过文本编辑器或 Microsoft Visual Studio 编辑；全新的 IIS 管理器，可同时管理 IIS 和 ASP. NET，操作更加方便；以及引入了命令行工具 Appcmd.exe ，给 Web 服务器的日常管理、监视和配置提供了除图形接口外的另一种方式，更为简单、高效。 同Windows XP一样，在Windows Vista的默认设置下，IIS (Internet 信息服务) 7.0未予安装，要想使用它，必须首先安装IIS。下面简单介绍IIS的安装过程： 依次点击“开始” => “控制面板” => “程序”，选择“打开或关闭Windows功能”。 这是一个触发UAC的操作，如果Windows Vista没有关闭UAC，则会弹出提示信息，确认并继续； 如果仅需要IIS 7.0支持静态内容，可直接选中“Internet信息服务”，如果希望 Web 服务器支持动态内容，则需展开“万维网服务”分支，将所需的选项全部选中； 点击“确定”，Windows Vista即启动IIS的安装过程； 安装完成后，打开浏览器输入 “http://localhost/”，检查IIS是否正常。 [编辑本段]IIS之Web服务器安装步骤 　　1、插入windows xp安装光盘，打开控制面板，然后打开其中的“添加/删除程序” 　　2、在添加或删除程序窗口左边点击“添加/删除Windows组建”[1] 　　3、捎带片刻系统会启动Windows组建向导，在Internet信息服务（IIS）前面选勾，点击下一步： 　　4、系统安装成功，系统会自动在系统盘新建网站目录，默认目录为：C:\Inetpub\wwwroot 　　5、打开控制面板－性能和维护－管理工具－Internet 信息服务： 　　6、在默认网站上点击右键－选择属性： 　　7、点击主目录：在本地路输入框后点击浏览可以更改网站所在文件位置，默认目录为：C:\Inetpub\wwwroot 　　在执行权限后面点击配置－调试－教本错误信息，选中：向客户端发送文本错误信息：处理 URL 时服务器出错。请与系统管理员联系。 　　点击文档：可以设置网站默认首页，推荐删除iisstart.asp，添加index.asp和index.htm 　　点击目录安全性：点击编辑可以对服务器访问权限进行设置 　　8、把凡人网络购物系统V7.0文件复制到你选择的网站目录下，假设你选择的目录为为默认目录：C:\Inetpub\wwwroot 　　9、把frshop.rar解压之后的文件复制到C:\Inetpub\wwwroot\shop下即可 　　10、您可以通过以下方式访问商城： 　　http://localhost/shop/ 或 http://127.0.0.1/shop/ 或 http://计算机名/shop/ 或 http://本机IP地址/shop/ 访问 　　其它人可以通过http://计算机名/shop/ 或 http://本机IP地址/shop/ 访问 　　11、如果您有域名，把域名解析到本地IP地址，即可通过http://域名/shop/ [编辑本段]IIS之Web服务器建立 　　第一篇 IIS之Web服务器 　　一、建立第一个Web站点 　　比如本机的IP地址为192.168.0.1，自己的网页放在D:\Wy目录下，网页的首页文件名为Index.htm，现在想根据这些建立好自己的Web服务器。 　　对于此Web站点，我们可以用现有的“默认Web站点”来做相应的修改后，就可以轻松实现。请先在“默认Web站点”上单击右键，选“属性”，以进入名为“默认Web站点属性”设置界面。 　　1．修改绑定的IP地址：转到“Web站点”窗口，再在“IP地址”后的下拉菜单中选择所需用到的本机IP地址“192.168.0.1”。 　　2．修改主目录：转到“主目录”窗口，再在“本地路径”输入（或用“浏览”按钮选择）好自己网页所在的“D:\Wy”目录。 　　3．添加首页文件名：转到“文档”窗口，再按“添加”按钮，根据提示在“默认文档名”后输入自己网页的首页文件名“Index.htm”。 　　4．添加虚拟目录：比如你的主目录在“D:\Wy”下，而你想输入“192.168.0.1/test”的格式就可调出“E:\All”中的网页文件，这里面的“test”就是虚拟目录。请在“默认Web站点”上单击右键，选“新建→虚拟目录”，依次在“别名”处输入“test”，在“目录”处输入“E:\All”后再按提示操作即可添加成功。 　　5．效果的测试：打开IE浏览器，在地址栏输入“192.168.0.1”之后再按回车键，此时就能够调出你自己网页的首页，则说明设置成功！ 　　注：具体不同的电脑会有不同的选项名称，但大体上还是可以找到了（多试一下）。 　　二、添加更多的Web站点 　　1．多个IP对应多个Web站点 　　如果本机已绑定了多个IP地址，想利用不同的IP地址得出不同的Web页面，则只需在“默认Web站点”处单击右键，选“新建→站点”，然后根据提示在“说明”处输入任意用于说明它的内容（比如为“我的第二个Web站点”）、在“输入Web站点使用的IP地址”的下拉菜单处选中需给它绑定的IP地址即可；当建立好此Web站点之后，再按上步的方法进行相应设置。 　　2．一个IP地址对应多个Web站点 　　当按上步的方法建立好所有的Web站点后，对于做虚拟主机，可以通过给各Web站点设不同的端口号来实现，比如给一个Web站点设为80，一个设为81，一个设为82……，则对于端口号是80的Web站点，访问格式仍然直接是IP地址就可以了，而对于绑定其他端口号的Web站点，访问时必须在IP地址后面加上相应的端口号，也即使用如 “http://192.168.0.1:81” 的格式。 　　很显然，改了端口号之后使用起来就麻烦些。如果你已在DNS服务器中将所有你需要的域名都已经映射到了此惟一的IP地址，则用设不同“主机头名”的方法，可以让你直接用域名来完成对不同Web站点的访问。 　　比如你本机只有一个IP地址为192.168.0.1，你已经建立（或设置）好了两个Web站点，一个是“默认Web站点”，一个是“我的第二个Web站点”，现在你想输入“www.enanshan. com”可直接访问前者，输入“www.popunet. com”可直接访问后者。其操作步骤如下： 　　（1）请确保已先在DNS服务器中将你这两个域名都已映射到了那个IP地址上；并确保所有的Web站点的端口号均保持为80这个默认值。 　　（2）再依次选“默认Web站点→右键→属性→Web站点”，单击“IP地址”右侧的“高级”按钮，在“此站点有多个标识下”双击已有的那个IP地址（或单击选中它后再按“编辑”按钮），然后在“主机头名”下输入“www.enanshan. com”再按“确定” 按钮保存退出。 　　（3）接着按上步同样的方法为“我的第二个Web站点”设好新的主机头名为“www.popunet.c o m”即可。 　　（4）最后，打开你的IE浏览器，在地址栏输入不同的网址，就可以调出不同Web站点的内容了。 　　3．多个域名对应同个Web站点 　　你只需先将某个IP地址绑定到Web站点上，再在DNS服务器中，将所需域名全部映射向你的这个IP地址上，则你在浏览器中输入任何一个域名，都会直接得到所设置好的那个网站的内容。 　　搭建IIS服务器应该注意的安全问题 　　1.iis安全设置之安装系统补丁。对于服务器来说就特别重要，因为安全补丁关乎到系统安全，而微软网站经常发布最新的系统安全补丁，可以用系统自带的windows update程序随时更新。 　　2.iis安全设置之FTP目录的设定。FTP目录没有设置也容易被别人攻击，一般的就是将主目录指定到逻辑盘。为了安全，要对对每个目录按不同的用户设置不同的访问权限，然后关闭一些不需要的服务，这样可以对不良人士利用IIS溢出漏洞访问到系统盘作个第一级防护。 　　3.iis安全设置之端口设置。IIS有默认的端口设置，只要稍有计算机知识的人都会记得这些端口的，要破解的话就十分的方便，所以尽量不要使用21这个默认端口号，并启用日志，以便FTP服务出现异常时检查。 [编辑本段]对IIS服务的远程管理 　　三、对IIS服务的远程管理 　　1．在“管理Web站点”上单击右键，选“属性”，再进入“Web站点”窗口，选择好“IP地址”。 　　2．转到“目录安全性”窗口，单击“IP地址及域名限制”下的“编辑”按钮，点选中“授权访问”以能接受客户端从本机之外的地方对IIS进行管理；最后单击“确定”按钮。 　　3．则在任意计算机的浏览器中输入如“http://192.168.0.1:3598”（3598为其端口号）的格式后，将会出现一个密码询问窗口，输入管理员帐号名（Administrator）和相应密码之后就可登录成功，现在就可以在浏览器中对IIS进行远程管理了！在这里可以管理的范围主要包括对Web站点和FTP站点进行的新建、修改、启动、停止和删除等操作。 [编辑本段]有关IIS的常见问题解答 　　四、本部分常见问题解答 　　Q：在上文中所涉及到的网址中，有的加了“http://”，有的没加，这意味着什么呢？ 　　A：没有加“http://”部分的网址，说明其可加可不加；而加了“http://”部分的，则说明它必不可少！对于带端口号的网址则必须加；否则可省略。 　　Q：对于上文中涉及到IP地址的网址，可否用比较“友好”的名称来代替呢？ 　　A：可以！它除了能够用IIS服务器所在的计算机名来代替之外，还可在DNS服务器中新建域名和相应IP地址的映射表，就也可以用域名来进行访问了！ 　　Q：我设置好了一个Web服务器，但是当我访问网页时，却出现密码提示窗口。这是为什么？ 　　A：访问Web站点时，出现密码提示窗口，一般来说有以下原因，请逐个去进行检查： 　　1．所访问的网页文件本身加了密。比如“默认Web站点”原主目录“E:\Inetpub\wwwroot”下的首页文件“iisstart.asp”访问时就需要密码。 　　2．没有设置允许匿名访问或作了不应该的改动.首先应确保已勾选中了“匿名访问”这一项；并且其下“编辑”中“匿名用户帐号”中“用户名”一项应为“IUSR_NODISK”（其中“NODISK”为计算机名）的格式；另外，还需要已勾选中“允许IIS控制密码”一项。 　　3．你的目标目录被限制了访问权限。此项仅当该目录位于NTFS格式分区中时才可能出现。请在其上单击右键，选“属性”，再进入“安全”窗口，看列表中是不是默认的允许“Everyone”组完全控制的状态，如不是，请改回 。 [编辑本段]IIS之FTP服务器 　　第二篇 IIS之FTP服务器 　　一、建立你的FTP站点 　　第一个FTP站点（即“默认FTP站点”）的设置方法和更多FTP站点的建立方法请参照前文Web服务器中相关操作执行。需要注意的是，如果你要用一个IP地址对应多个不同的FTP服务器，则只能用使用不同的端口号的方法来实现，而不支持“主机头名”的做法。 　　对于已建立好的FTP服务器，在浏览器中访问将使用如“ftp://192.168.0.1”或是“ftp://192.168.0.1:22的格式”；除了匿名访问用户（Anonymous）外，IIS中的FTP将使用Windows 2000自带的用户库（可在“开始→程序→管理工具→计算机管理”中找到“用户”一项来进行用户库的管理）。 最后，关键一步还有就是将你的电脑变为网络中的一台服务器，所以你要在你的电脑中装上一个合适的代理服务器软件并运行。 　　二、本部分常见问题解答 　　Q：如何修改FTP服务器登录成功或退出时的系统提示信息？ 　　A：在相应的FTP站点上单击右键，选“属性”，再转到“消息”窗口，在“欢迎”处输入登录成功之后的欢迎信息，在“退出”处输入用户退出时的欢送信息即可。 　　Q：为什么我的FTP服务器建立成功之后，除了管理员（Administrator）和匿名用户（Anonymous）之外，普通用户都不能在本机上登录；可在其他计算机上却能够正常使用。这是为什么？ 　　A：因为默认的，普通用户不具有在本机登录的权限。如果要修改，请进入“开始→程序→管理工具→本地安全策略”中选择“左边框架→本地策略→用户权利指派”，再在右边框架中双击“在本地登录”项，然后将所需的普通用户添加到它的列表中去就行了。 [编辑本段]IIS之SMTP服务器 　　第三篇 IIS之SMTP服务器 　　如果你嫌互联网上的那些免费邮件发送邮件的速度过慢的话，你或许可以考虑用IIS来建立一个本地的SMTP服务器。不管你是直接连入互联网还是通过局域网接入，不管你是有静态的IP地址还是用动态的IP地址，都可以很轻松地建立成功！ 　　建立IIS下的SMTP服务器的方法非常简单，只需在IIS管理器中让“默认SMTP虚拟服务器”处于已启动状态就行了；此外一般不用再做其他任何设置。 　　如果你想要用自己的SMTP服务器发信，只需将你E-mail客户端软件设置中“发送邮件服务器（SMTP）”项中填入“localhost”，则不管你的IP地址如何变化，它都能正常工作, 。 　　当你使用自己的这个SMTP服务器发送E-mail时，不仅有不受制于人的自由感，更有闪电般的发信速度，是个人SMTP服务器的最佳选择！ 　　IIS版本对应的windows版本信息 　　2000 iis版本是5.0 　　xp 版本是5.1 　　2003版本是6.0 　　2008版本是7.0 [编辑本段]IIS 状态解释 概要 　　当用户试图通过 HTTP 或文件传输协议 (FTP) 访问一台正在运行 Internet 信息服务 (IIS) 的服务器上的内容时，IIS 返回一个表示该请求的状态的数字代码。该状态代码记录在 IIS 日志中，同时也可能在 Web 浏览器或 FTP 客户端显示。状态代码可以指明具体请求是否已成功，还可以揭示请求失败的确切原因。 更多信息 　　日志文件的位置 　　在默认状态下，IIS 把它的日志文件放在 %WINDIR\System32\Logfiles 文件夹中。每个万维网 (WWW) 站点和 FTP 站点在该目录下都有一个单独的目录。在默认状态下，每天都会在这些目录下创建日志文件，并用日期给日志文件命名（例如，exYYMMDD.log）。 　　HTTP 　　1xx - 信息提示 　　这些状态代码表示临时的响应。客户端在收到常规响应之前，应准备接收一个或多个 1xx 响应。 • 100 - 继续。 　　• 101 - 切换协议。 　　2xx - 成功 　　这类状态代码表明服务器成功地接受了客户端请求。 • 200 - 确定。客户端请求已成功。 　　• 201 - 已创建。 　　• 202 - 已接受。 　　• 203 - 非权威性信息。 　　• 204 - 无内容。 　　• 205 - 重置内容。 　　• 206 - 部分内容。 　　3xx - 重定向 　　客户端浏览器必须采取更多操作来实现请求。例如，浏览器可能不得不请求服务器上的不同的页面，或通过代理服务器重复该请求。 • 302 - 对象已移动。 　　• 304 - 未修改。 　　• 307 - 临时重定向。 　　4xx - 客户端错误 　　发生错误，客户端似乎有问题。例如，客户端请求不存在的页面，客户端未提供有效的身份验证信息。 • 400 - 错误的请求。 　　• 401 - 访问被拒绝。IIS 定义了许多不同的 401 错误，它们指明更为具体的错误原因。这些具体的错误代码在浏览器中显示，但不在 IIS 日志中显示： • 401.1 - 登录失败。 　　• 401.2 - 服务器配置导致登录失败。 　　• 401.3 - 由于 ACL 对资源的限制而未获得授权。 　　• 401.4 - 筛选器授权失败。 　　• 401.5 - ISAPI/CGI 应用程序授权失败。 　　• 401.7 – 访问被 Web 服务器上的 URL 授权策略拒绝。这个错误代码为 IIS 6.0 所专用。 　　• 403 - 禁止访问：IIS 定义了许多不同的 403 错误，它们指明更为具体的错误原因： • 403.1 - 执行访问被禁止。 　　• 403.2 - 读访问被禁止。 　　• 403.3 - 写访问被禁止。 　　• 403.4 - 要求 SSL。 　　• 403.5 - 要求 SSL 128。 　　• 403.6 - IP 地址被拒绝。 　　• 403.7 - 要求客户端证书。 　　• 403.8 - 站点访问被拒绝。 　　• 403.9 - 用户数过多。 　　• 403.10 - 配置无效。 　　• 403.11 - 密码更改。 　　• 403.12 - 拒绝访问映射表。 　　• 403.13 - 客户端证书被吊销。 　　• 403.14 - 拒绝目录列表。 　　• 403.15 - 超出客户端访问许可。 　　• 403.16 - 客户端证书不受信任或无效。 　　• 403.17 - 客户端证书已过期或尚未生效。 　　• 403.18 - 在当前的应用程序池中不能执行所请求的 URL。这个错误代码为 IIS 6.0 所专用。 　　• 403.19 - 不能为这个应用程序池中的客户端执行 CGI。这个错误代码为 IIS 6.0 所专用。 　　• 403.20 - Passport 登录失败。这个错误代码为 IIS 6.0 所专用。 　　• 404 - 未找到。 • 404.0 -（无） – 没有找到文件或目录。 　　• 404.1 - 无法在所请求的端口上访问 Web 站点。 　　• 404.2 - Web 服务扩展锁定策略阻止本请求。 　　• 404.3 - MIME 映射策略阻止本请求。 　　• 405 - 用来访问本页面的 HTTP 谓词不被允许（方法不被允许） 　　• 406 - 客户端浏览器不接受所请求页面的 MIME 类型。 　　• 407 - 要求进行代理身份验证。 　　• 412 - 前提条件失败。 　　• 413 – 请求实体太大。 　　• 414 - 请求 URI 太长。 　　• 415 – 不支持的媒体类型。 　　• 416 – 所请求的范围无法满足。 　　• 417 – 执行失败。 　　• 423 – 锁定的错误。 　　5xx - 服务器错误 　　服务器由于遇到错误而不能完成该请求。 • 500 - 内部服务器错误。 • 500.12 - 应用程序正忙于在 Web 服务器上重新启动。 　　• 500.13 - Web 服务器太忙。 　　• 500.15 - 不允许直接请求 Global.asa。 　　• 500.16 – UNC 授权凭据不正确。这个错误代码为 IIS 6.0 所专用。 　　• 500.18 – URL 授权存储不能打开。这个错误代码为 IIS 6.0 所专用。 　　• 500.100 - 内部 ASP 错误。 　　• 501 - 页眉值指定了未实现的配置。 　　• 502 - Web 服务器用作网关或代理服务器时收到了无效响应。 • 502.1 - CGI 应用程序超时。 　　• 502.2 - CGI 应用程序出错。application. 　　• 503 - 服务不可用。这个错误代码为 IIS 6.0 所专用。 　　• 504 - 网关超时。 　　• 505 - HTTP 版本不受支持。 　　常见的 HTTP 状态代码及其原因 　　• 200 - 成功。 此状态代码表示 IIS 已成功处理请求。 　　• 304 - 未修改。 客户端请求的文档已在其缓存中，文档自缓存以来尚未被修改过。客户端使用文档的缓存副本，而不从服务器下载文档。 　　• 401.1 - 登录失败。 登录尝试不成功，可能因为用户名或密码无效。 　　• 401.3 - 由于 ACL 对资源的限制而未获得授权。 这表示存在 NTFS 权限问题。即使您对试图访问的文件具备相应的权限，也可能发生此错误。例如，如果 IUSR 帐户无权访问 C:\Winnt\System32\Inetsrv 目录，您会看到这个错误。 　　• 403.1 - 执行访问被禁止。 下面是导致此错误信息的两个常见原因： • 您没有足够的执行许可。例如，如果试图访问的 ASP 页所在的目录权限设为“无”，或者，试图执行的 CGI 脚本所在的目录权限为“只允许脚本”，将出现此错误信息。若要修改执行权限，请在 Microsoft 管理控制台 (MMC) 中右击目录，然后依次单击属性和目录选项卡，确保为试图访问的内容设置适当的执行权限。 　　• 您没有将试图执行的文件类型的脚本映射设置为识别所使用的谓词（例如，GET 或 POST）。若要验证这一点，请在 MMC 中右击目录，依次单击属性、目录选项卡和配置，然后验证相应文件类型的脚本映射是否设置为允许所使用的谓词。 　　• 403.2 - 读访问被禁止。验证是否已将 IIS 设置为允许对目录进行读访问。另外，如果您正在使用默认文件，请验证该文件是否存在。 　　• 403.3 - 写访问被禁止。 验证 IIS 权限和 NTFS 权限是否已设置以便向该目录授予写访问权。 　　• 403.4 - 要求 SSL。禁用要求安全通道选项，或使用 HTTPS 代替 HTTP 来访问该页面。 　　• 403.5 - 要求 SSL 128。禁用要求 128 位加密选项，或使用支持 128 位加密的浏览器以查看该页面。 　　• 403.6 - IP 地址被拒绝。您已把您的服务器配置为拒绝访问您目前的 IP 地址。 　　• 403.7 - 要求客户端证书。您已把您的服务器配置为要求客户端身份验证证书，但您未安装有效的客户端证书。 　　• 403.8 - 站点访问被拒绝。您已为您用来访问服务器的域设置了域名限制。 　　• 403.9 - 用户数过多。与该服务器连接的用户数量超过了您设置的连接限制。 　　注意：Microsoft Windows 2000 PRofessional 和 Microsoft Windows XP PRofessional 自动设置了在 IIS 上最多 10 个连接的限制。您无法更改此限制。 　　• 403.12 - 拒绝访问映射表。 您要访问的页面要求提供客户端证书，但映射到您的客户端证书的用户 ID 已被拒绝访问该文件。 　　• 404 - 未找到。 发生此错误的原因是您试图访问的文件已被移走或删除。如果在安装 URLScan 工具之后，试图访问带有有限扩展名的文件，也会发生此错误。这种情况下，该请求的日志文件项中将出现“Rejected by URLScan”的字样。 　　• 500 - 内部服务器错误。 很多服务器端的错误都可能导致该错误信息。事件查看器日志包含更详细的错误原因。此外，您可以禁用友好 HTTP 错误信息以便收到详细的错误说明。 　　• 500.12 - 应用程序正在重新启动。 这表示您在 IIS 重新启动应用程序的过程中试图加载 ASP 页。刷新页面后，此信息即会消失。如果刷新页面后，此信息再次出现，可能是防病毒软件正在扫描 Global.asa 文件。 　　• 500-100.ASP - ASP 错误。 如果试图加载的 ASP 页中含有错误代码，将出现此错误信息。若要获得更确切的错误信息，请禁用友好 HTTP 错误信息。默认情况下，只会在默认 Web 站点上启用此错误信息。 　　• 502 - 网关错误。 如果试图运行的 CGI 脚本不返回有效的 HTTP 标头集，将出现此错误信息。 [编辑本段]IIS相关总结 　　IIS是Internet Information Server的缩写，它是微软公司主推的服务器，最新的版本是Windows7里面包含的IIS 7.0，IIS与WindowNT Server完全集成在一起，因而用户能够利用Windows NT Server和NTFS（NT File System，NT的文件系统）内置的安全特性，建立强大，灵活而安全的Internet和Intranet站点。 　　IIS支持HTTP（Hypertext Transfer Protocol，超文本传输协议），FTP（File Transfer Protocol，文件传输协议）以及SMTP协议，通过使用CGI和ISAPI，IIS可以得到高度的扩展。 　　IIS支持与语言无关的脚本编写和组件，通过IIS，开发人员就可以开发新一代动态的，富有魅力的Web站点。IIS不需要开发人员学习新的脚本语言或者编译应用程序，IIS完全支持VBScript，JScript开发软件以及Java，它也支持CGI和WinCGI，以及ISAPI扩展和过滤器。 　　IIS支持服务器应用的Microsoft BackOffice系列，Microsoft BackOffice系列包括以下内容： 　　1，Microsoft Exchange Server 客户/服务器通讯和群组软件； 　　2，Mirrosoft Proxy Server 代理服务器； 　　3，用于连接IBM企业网络的Microsoft SNA Server； 　　4，用于集中管理分布式系统的Microsoft Systems Management Server； 　　5，Microsoft Commercial Internet System（MCIS）。 　　IIS的设计目的是建立一套集成的服务器服务，用以支持HTTP，FTP和SMTP，它能够提供快速且集成了现有产品，同时可扩展的Internet服务器。 　　IIS相应性极高，同时系统资源的消耗也是最少，IIS的安装，管理和配置都相当简单，这是因为IIS与Windows NT Server网络操作系统紧密的集成在一起，另外，IIS还使用与Windows NT Server相同的SAM（Security Accounts Manager，安全性账号管理器），对于管理员来说，IIS使用诸如Performance Monitor和SNMP（Simple Nerwork Management Protocol，简单网络管理协议）之类的NT已有管理工具。 　　IIS支持ISAPI，使用ISAPI可以扩展服务器功能，而使用ISAPI过滤器可以预先处理和事后处理储存在IIS上的数据。用于32位Windows应用程序的Internet扩展可以把FTP，SMTP和HTTP协议置于容易使用且任务集中的界面中，这些界面将Internet应用程序的使用大大简化，IIS也支持MIME（Multipurpose Internet Mail Extensions，多用于Internet邮件扩展），它可以为Internet应用程序的访问提供一个简单的注册项。 　　IIS的一个重要特性是支持ASP。IIS 3.0版本以后引入了ASP，可以很容易的张贴动态内容和开发基于Web的应用程序。对于诸如VBScript，JScript开发软件，或者由Visual Basic，Java，Visual C++开发系统，以及现有的CGI和WinCGI脚本开发的应用程序，IIS都提供强大的本地支持。 　　GHOST系统不能安装IIS处理方法： 　　1、在控制面板→添加/删除程序→添加/删除Windows组件中应该没IIS给你选的。 　　3、下载软件XP-IISpatch，运行修复后在添加/删除Windows组件中就会出现IIS。接着就和一般情况下安装IIS一样了，不过途中需要多次重新指定你所下载的IIS安装包。但如果你不幸安装途中出现无法复制文件之类的错误无法安装，就要在DOS命令提示符下运行“esentutl /p %windir%\security\database\secedit.sdb”修复secedit.sdb文件，点YES就可以了，但保险起见最好在运行XP-IISpatch修复后就输入命令修复secedit.sdb文件，等出错后再修复secedit.sdb文件有可能导致无法继续安装。 　　4、由于是安装包装的，因此还有后续工作要做，不然有可能会出错。 　　5、开始→运行，输入msdtc -resetlog，解决无法进入“控制台根目录”－>"组件服务"->"计算机"->"我的电脑"－>"COM+应用程序"和 进入“控制台根目录”－>"组件服务"->"计算机"->"我的电脑"－>"COM+应用程序", 出错，错误代码8004E00F-COM+无法与Microsoft分布式事务协调程序 。 [编辑本段]IIS 5.1和IIS 6.0一些显著的重要区别 核心功能和服务 　　已对 IIS 6.0 进行了重新设计以便利用基本 Windows 内核 HTTP.sys。这使其具有内置的响应和请求缓存和队列功能，并能够将应用程序进程请求直接路由到工作进程，从而改善可靠性和性能。 IIS 6.0 引入了两种用于配置应用程序环境的操作模式：工作进程隔离模式和 IIS 5.0 隔离模式。在安装 IIS 6.0 时默认的隔离模式取决于您执行的是全新安装还是升级。 在全新安装 IIS 6.0 之后，IIS 以工作进程隔离模式运行。 　　在从较低版本的 IIS 6.0 升级之后，隔离模式与以前安装的 IIS 6.0 版本所配置的相同。 　　在从 IIS 5.0 或 IIS 4.0 升级之后，在默认情况下，IIS 6.0 以 IIS 5.0 隔离模式运行，这样可保持与现有应用程序的兼容性。 　　有关从一种隔离模式切换到另一种隔离模式的信息，请参阅配置隔离模式。 　　 IIS 5.0 IIS 5.1 IIS 6.0 平台 Windows 2000 Windows XP Professional Windows Server 2003 家族 体系结构 32 位 32 位和 64 位 32 位和 64 位 应用程序进程模型 TCP/IP 内核 　　DLLhost.exe（处于中等或高应用程序隔离模式下的多个 DLL 主机） TCP/IP 内核 　　DLLhost.exe（处于中等或高应用程序隔离模式下的多个 DLL 主机） HTTP.sys 内核 　　当 IIS 以 IIS 5.0 隔离模式运行时：Inetinfo.exe（对于进程内应用程序）或 DLLhost.exe（对于进程外应用程序） 当 IIS 以工作进程隔离模式运行时：W3wp.exe（多工作进程） 配置数据库配置 二进制 二进制 XML 安全性 Windows 身份验证 　　SSL Kerberos Windows 身份验证 　　SSL Kerberos 安全向导 Windows 身份验证 　　SSL Kerberos 安全向导 Passport 支持 远程管理 HTMLA 无 HTMLA 　　终端服务 远程管理工具 (HTML) 　　终端服务 群集支持 IIS 群集 Windows 支持 Windows 支持 WWW 服务 Windows 9x 上的个人 Web 管理器 　　Windows 2000 上的 IIS （可选）Windows XP Professional 上的 IIS Windows IIS 5.0 隔离模式 　　IIS 5.0 隔离模式按照与 IIS 5.0 中的进程管理相似的方式管理应用程序进程：所有的进程内应用程序都在 Inetinfo.exe 内运行，进程外应用程序在单独的 DLL 宿主中运行。一些现有应用程序可能无法并发运行或将会话状态与应用程序分开存储。因此，在 IIS 5.0 隔离模式中运行进程可以确保与大多数现有应用程序的兼容性。下图显示如何在 IIS 5.0 隔离模式中处理应用程序进程。 配置数据库配置 　　IIS 6.0 的配置数据库以 XML 文件形式存储，而不是以早期版本中的二进制格式存储。位置仍在原处，但是操作方式（更新、回滚、还原和扩展）已发生了变化。有两个重要文件，并非一个：MetaBase.xml 和 MBSchema.xml。 有关 IIS 配置数据库的详细信息，请参阅关于配置数据库。 管理 　　在 IIS 4.0 中，应用程序既可以在与 Internet 服务相同的进程中运行，也可以在单独的进程中运行。在 IIS 5.0 和 5.1 中，应用程序现在可以分为若干汇集的进程以增强性能并提高可伸缩性。 详细信息，请参阅关于应用程序。在 IIS 6.0 工作进程隔离模式中，可将应用程序组合到任意数量的应用程序池中。 　　“应用程序映射”属性页包含一个超文本传输协议 (HTTP) 动作列表，它们可由映射到特定文件类型的应用程序进行处理。该动作列表与 IIS 4.0 有一处不同。在 IIS 4.0 中，列表中包含“已排除”或未被处理的动作。这个改变是为了适应新的 HTTP 动作，以便将其添加到协议中。 有关应用程序映射的详细信息，请参阅设置应用程序映射。 　　群集不是 IIS 6.0 的功能（不支持 IISsynche.exe）。群集是 Windows Server 2003 家族的功能。有关 Windows 群集 (MSCS) 的信息，请参阅 Windows Server 2003 家族的帮助。 　　与 IIS 4.0 相比，IIS 5.0 中自定义错误文件的位置已经改变。 详细信息，请参阅启用详细的自定义错误消息。 　　已经添加了新的自定义错误文件，以便报告更详细的错误信息以及与新功能有关的错误。 有关可用的自定义错误消息的完整列表，请参阅关于自定义错误消息。 　　基于 Web 的 Internet 服务管理器 (HTML) 已经由 Web 工具应用。要使用 Internet 服务管理器 (HTML) 远程管理 IIS， 请参阅如何远程管理服务器。 以编程方式管理 　　在早期版本的 IIS 中，可以从编译的 C++ 应用程序使用管理基本对象 (ABO) 或者从 C++ 或脚本文件使用 Active Directory 服务界面 (ADSI) 以编程方式管理 IIS。IIS 6.0 包括了 Windows 管理规范 (WMI) 提供程序，WMI 这一技术允许管理员以编程方式控制所有服务和应用程序。详细信息，请参阅使用 IIS WMI 提供程序。有关新的 ADSI 方法的信息，请参阅 IIS 6.0 中的配置数据库更改。 Active Server Pages 　　从 IIS 6.0 开始，Microsoft Active Server Pages (ASP) 可以与 Microsoft ASP.N E T 一起使用。有关配置 IIS 以运行 ASP.N E T 应用程序的信息，请参阅 ASP.N E T。有关 IIS 6.0 中 ASP 功能更改的信息，请参阅 ASP 中的重要更改。 ASP 挂起检测 　　当 IIS 网站繁忙时，可能会出现这种情况：已经产生了最大数量的 ASP 线程，而一些 ASP 线程却挂起，这会导致性能降低。IIS 6.0 能够通过回收作为 ASP ISAPI 扩展 (ASP.dll) 的特定实例宿主的工作进程来解决线程挂起问题。当 ASP 线程在 IIS 6.0 中挂起时，ASP.dll 调用 ISAPI 服务器支持函数 HSE_REQ_REPORT_UNHEALTHY，WWW 服务回收作为 ASP.dll 宿主的工作进程，并在事件日志中创建一个项目。 有关 ISAPI 服务器支持函数的详细信息，请参阅 MSDN® Online 上 ISAPI 扩展参考中的 ServerSupportFunction。 安全性 　　IIS 6.0 中的一个最重要的变动涉及 Web 服务器安全性。为了更好地预防恶意用户和攻击者的攻击，在默认情况下，没有将 IIS 安装在 Microsoft Windows Server 2003 家族的成员上。 要点 为了更好地预防恶意用户和攻击者的攻击，没有将 IIS 默认安装到 Microsoft® Windows® Server 2003 家族的成员上。而且，当您最初安装 IIS 时，该服务在高度安全和“锁定”的模式下安装。在默认情况下，IIS 只为静态内容提供服务 － 即，ASP、ASP.N E T、服务器端包含、WebDAV 发布和 FrontPage® Server Extensions 等功能只有在启用时才工作。如果安装 IIS 之后未启用该功能，则 IIS 返回一个 404 错误。您可以为动态内容提供服务，并通过 IIS 管理器中的 Web 服务扩展节点启用这些功能。同样，如果应用程序扩展未在 IIS 中进行映射，则 IIS 返回一个 404 错误。要映射扩展，请参阅设置应用程序映射。有关如何排解 404 错误（包括 404.2 和 404.3）、与 IIS 6.0 的新安装相关的问题或从低版本的 IIS 进行升级的详细信息，请参阅疑难解答。 通过 Web 服务器证书向导和 CTL 向导，您可以同步 Web 和 NTFS 的安全设置、获得并安装服务器证书以及创建和修改证书信任列表。还可以选择一个加密服务提供程序 (CSP) 以使用证书加密数据。 详细信息，请参阅使用证书向导。 IIS 6.0 中的其他安全性变动包括下列内容： 在升级版本上禁用：除非满足下列条件之一，否则在 Windows Server 2003 家族的升级版本上禁用万维网发布服务（WWW 服务）： 　　在开始升级过程之前，您已在 Windows 2000 Server 上运行了 IIS 锁定向导。IIS 锁定向导通过禁用不必要的功能来减少攻击面，并且它允许您确定为站点启用哪些功能。IIS Lockdown Tool 中提供了 IIS 锁定向导。 要点 　　如果使用 WWW 服务，则强烈建议您在升级到 Windows Server 2003 家族中的产品之前，在 Windows 2000 Server 上运行 IIS 锁定向导。IIS 锁定向导通过禁用或删除 Windows 2000 Server 安装中不需要的功能来保护计算机的安全。否则，升级后计算机上仍保留这些功能，这会使您的服务器易受攻击。 注册表项 RetainW3SVCStatus 已添加到注册表中 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC 的下面。在 RetainW3SVCStatus 下，您可以添加任何值，然后给它赋予一个 DWORD 值。例如，您可以创建注册表项 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\RetainW3SVCStatus\do_not_disable，并且 DWORD 值为 1。 　　对于无人参与的安装，“DisableWebServiceOnUpgrade = false”项存在于无人参与的安装脚本中。 　　通过组策略禁用 IIS：通过使用 Windows Server 2003 家族成员，域管理员可以禁止用户在其计算机上安装 IIS。 　　以具有低级访问权限的帐户运行：IIS 工作进程在访问权限极少的用户上下文中运行。这大大减少了潜在攻击的影响。 　　提高 ASP 的安全性：所有的 ASP 内置功能总是以具有极少访问权限的帐户 IUSR_computername 运行。 　　运行可执行文件的限制：为了运行系统文件夹中的大多数可执行文件（如 cmd.exe），您必须是 Administrators 组、LocalSystem、Interactive 或 Service 帐户的成员。该限制限制了对 Administrators 的远程访问，因此匿名用户无法运行可执行文件。 　　修补程序管理：对于修补程序管理，管理员可在不中断服务的情况下安装最新的安全修补程序。 　　已知的扩展：IIS 只为对具有已知文件扩展名的文件的请求提供服务。如果请求内容的文件扩展名未映射到已知的扩展，则服务器拒绝请求。 　　内容的写保护：在默认情况下，拒绝匿名用户（以 IUSR_computername 帐户运行）对 Web 内容进行写入访问。 　　超时和限制：在 IIS 6.0 中，默认设置是安全而主动的，这样可最大限度地减少因以前太宽松的超时和限制而造成的攻击。 　　上载数据限制：管理员可以限制能上载到服务器的数据。 　　缓冲区溢出保护：工作进程会检测缓冲区溢出,并在检测到时退出程序。 　　文件验证：IIS 在将请求发送到请求处理程序（ISAPI 扩展）之前会验证请求的内容是否存在。 　　索引资源：该权限现在会在默认情况下启用。 　　脚本资源访问：该权限允许访问 ASP 页脚本和其他脚本的“源代码”，它是新增功能，且在默认情况下被禁用。它可在选择了“读取”或“写入”权限时可用。 　　子验证：在新安装的 IIS 6.0 中，在默认情况下不再启用。有关详细信息，请参阅 匿名身份验证中的“使用子验证”部分。 　　UNC 身份验证：在此版本的 IIS 中，UNC 身份验证方法检查是否有用户凭据。详细信息，请参阅 UNC 身份验证。 　　新策略：“禁止安装 IIS”策略已经添加到 Windows Server 2003 产品家族中。该策略允许域管理员控制可以在域中哪些计算机上安装 IIS。详细信息， 请参阅 Windows 帮助中的组策略。 　　Fortezza：已取消了对该功能的支持。 性能 　　为了限制分配给 ASP 页的内存量，IIS 已经将 AspScriptFileCacheSize 的默认值设置为 250 个 ASP 页，并将 AspScriptEngineCacheMax 的默认值设置为 125 个脚本引擎。在具有一组大量经常请求的 ASP 页的站点上，可以将 ASPScriptFileCacheSize 设置得更高一些。因为 ASP 页的编译比从缓存中检索页要慢很多，所以这会改善性能。在只具有少量经常请求的 ASP 页的站点上，可通过将该数字设置得小一些来节省内存。 IIS 工具组件 　　Windows NT Server 的协作数据对象 (CDONTS)：CDONTS 已从 Windows Server 2003 家族中删除。如果 Web 应用程序使用 CDONTS，则可以将它们转换为 Microsoft 协作数据对象 (CDO)。CDONTS 中的大多数方法在 CDO 中都有相匹配的方法，但是名称可能不同。有关平台软件开发工具包 (PSDK) 中 CDO 的参考资料，请参阅 MSDN Online 上的 Overview of CDO。 　　未安装 IIS 工具组件：Ad Rotator、Browser Capabilities、Content Linker、Content Rotator、Counters、Logging Utility、My Info、Page Counter、Status 和工具不随 IIS 6.0 一起安装。但是，如果您的 Web 服务器是从低版本的 IIS 升级的，则这些工具组件不会被删除。您可以从 IIS 6.0 资源工具包中获取工具组件 DLL 文件的副本。 　　64 位 Windows Server 2003 家族上的 IIS 　　在 64 位 Windows Server 2003 家族的操作系统上，IIS 作为 64 位应用程序运行。这意味着不能从 64 位 Windows Server 2003 家族的操作系统上的 IIS 调用 32 位应用程序。例如，Jet 数据库引擎将不能转换为 64 位应用程序，因此，不能使用 ActiveX® 数据对象 (ADO) 从 ASP 页打开 Microsoft Access 数据库。但是，仍可以使用 ADO 访问其他驱动程序，如 SQL 和 Exchange。
易想最新升级包V4.0
一、运行环境 运行环境：Win2000/2003,IIS,Access,SQLServer2000,以上软件如果没有，请安装。 如果为虚拟主机并且是SQL数据库，请联系虚拟主机提供商索取SQLServer库名，索取SQLServer用户名、密码，主机地址。 二、设置说明 当前版本：YxB2BV4.0 前台路径：/index.html 后台路径：/admin/default.asp 测试会员：yixiang | yixiang 后台密码：admin | admin 数 据 库：/database/ 官方网址：http://b2b.changehope.com | http://btob.changehope.com 演示地址：http://b2b.changehope.com/demo.aspx 升级论坛：http://bbs.changehope.com 请先进入系统后台在“常规管理”-->“基本设置”更改“网站地址”及“网站所在文件夹（安装路径）”的路径（网站地址为Http//www.你的域名.com/的形式），然后通过“网站风格及生成”-->“按需生成网站HTML文件”生成所有网站页面，否则将不能正常显示。 三、安装说明 此系统为YxB2BV4.0版本 (如果是sql版) 1.备份数据库在文件夹Database中 2.请还原数据库：进行数据库还原操作"所有任务"-->"还原数据库"(注意:你所安装的sql的路径) 3.根目录下的database_type.asp文件为数据库链接配置文件 只需修改相应的“SQL数据库所在的服务器名”、“SQL数据库的登陆名”、“SQL数据库的登陆密码”、即可使用， '------------------------------------------------------------ Const Database_type=1 '1为SQL,0为ACC（此版本为SQL版本) Const SqlDatabaseName="b2b" 'SQL数据库的名称 Const SqlPassword="yixiang" 'SQL数据库的登录密码 Const SqlUsername="sa" 'SQL数据库的登录名 Const SqlLocalName="." 'SQL数据库所在的服务器名,本机使用默认"." 4.后台登录相对路径：Http//你的域名/admin/login.asp 用户名：admin 密码：admin 5.登录后台：【常规管理】→【基本设置】→进行相应的设置（注意：请按相应的说明进行操作）→保存刷新即可 6.对各个等级的表单注册填写项和权限等进行详细的设置! 7.请注意网站的相关页面需要重新生成：【网站风格及生成】→【按需生成网站HTML文件】→生成相应的页面即可 关于论坛：后台路径：http://localhost/bbs/admin/ 用户名称：yixiang 用户密码：yixiang 后台用户：admin 后台用户名密码：admin888 !!!!!!!!!!!!!!修改后台“admin”文件夹注意事项： 因增加了后台管理日志功能，所以在修改后台“admin”文件夹名时会出现广告管理无法使用的情况，这时需要修改“ads”文件夹下面的“edit.asp”和“list.asp”中“”的“admin”为您修改后的文件夹名即可。 四、系统说明 YxB2B商务网是易想网络旗下的门户型B2B行业网站系统，采用先进的标签技术和静态生成技术，通过网站后台管理轻松实现网站前台多种风格和会员网站多风格，让每一个只要懂得简单网页制作常识的网友，轻松制作出精美专业的的行业商务网站系统。系统高速、稳定、安全，完全仿阿里巴巴功能设计，有供应信息、求购信息、产品库、公司库、专项商机、行业信息、展会服务、人才市场、会员助手、网商博客、商友论坛、全方位搜索等栏目。功能参考并集中了阿里巴巴、慧聪网、买麦网、中国化工网、第一建材网等国内知名商务网站的优点，并在某些方面超越了他们，YxB2B商务网已经协助国内外千家客户提供了专业的服务，易想网络将续推动中国信息化服务进程。 V4.0新功能说明 time:2008-11-11 1、修复页面JS错误问题； 2、修复商机订阅功能； 3、修复数据初始化部分信息未清除问题； 4、修复产品图片只显示一张的问题； 5、修复产品详细页重复显示联系人姓名问题； 6、修复联系QQ错误时显示图标为叉的问题； 7、修复无小类产品无法修改问题； 8、修复同一产品名称不同产品类型不能发布问题； 9、修复ACCESS数据库默认区域错误问题； 10、修复奥运模板首页最新供应在同一时间多人发布供应时显示出错问题； 11、修复会员部分权限关闭时导致会员不能使用提交升级申请的问题； 12、修复二级域名下会员网站顶部导航错误； 13、修复展会颁布链接错误； 14、修复二级域名下会员网站不能查看联系信息问题； 15、优化自动生成功能； 16、优化程序代码的可用性和通用性； 17、优化会员等级图片显示功能； 18、优化联系信息权限控制问题，细节了访问权限控制； 19、优化会员中心人才管理“未审核”和“未通过”重复问题； 20、完善水印功能，可根据需要自行设置水印效果； 21、细分会员权限控制功能； 22、拆分论坛整合，实现网站注册会员可进论坛，论坛注册会员不可进网站功能； 23、增加底部导航"友情链接"模板修改功能.实现文字链接与图片链接可分开调用； 24、增加企业网站证书显示功能，可能会员企业介绍中查看； 25、增加会员推荐功能，实现VIP会员展示； 26、增加行业资讯、供求信息置顶功能，可在后台相关栏目设置； 27、增加展会按添加时间和展会开展时间排序功能； 28、增加产品导入供应功能； 29、增加会员发布新闻功能； 30、增加新闻点击统计和评论功能； 31、增加专项商机访问权限控制功能； 32、增加产品游客留言功能； 33、增加资讯评论及置顶功能； 34、增加LOGO替换功能； 35、重新设计了18套会员模板； 36、重写了网站生成功能，实现可按分类生成； V3.4新功能说明 time:2008-08-12 本次升级着重修复V3.3中发现的一些问题，并将仿阿里巴巴|金色大气|蓝色全屏模板进行了细节调整和优化,新增奥运纪念风格模板,大大增加了系统操作的便捷性,此外我们在所有标准及豪华版中附赠了企业金黄|蓝色简洁|红色建材|红色全屏四套风格文件,从后台可随意切换风格,大大增加了网站的多样性。对于升级用户或授权版本用户可以到http://b2b.changehope.com/demoload.aspx中下载。(注：免费赠送的四套风格仅供广大朋友设置交流自行使用,我方均不支持售后服务) 1、修复供求及公司和产品库不能分页问题； 2、修复订单管理 m_order.asp 114行错误； 3、修复后台修改会员处编码问题； 4、修复竞价关键字不能引用问题； 5、修复普通会员会员中心无升级按钮问题； 6、修复普通会员联系信息多显示email问题； 7、修复行业资讯点击率不能正常统计问题； 8、修复二级域名会员网站顶部链接出错问题； 9、修复后台文件夹名修改后出现广告管理出错的问题 10、修复人才部分公司名不显示问题； 11、修复人才部分前台与后台职业类别提示名称不符； 12、修复人才首页不能自动生成； 13、修复人才小类不能删除问题； 14、修复人才职位信息不能按职位分类显示问题； 15、修复优化后台修改会员处编码问题； 16、修复供求二级页面相关类别推荐供求不显示问题； 17、修复蓝色全屏行业咨讯天气预报不显示； 18、优化了人才注册不能直接通过审核的问题； 19、优化了供求及产品详细页面布局； 20、优化了整个模板细节和布局处理； 21、增加了图片水印功能； 22、增加了自定义注册验证功能； 21、增加了奥运纪念新版风格。 ----------------- 图片水印和自定义注册验证设置方法： 登录后台-->常规管理-->基本设置-->在"安全设置"列进行水印及"自定义注册验证"设置. 使用水印功能需要服务器支持aspjpeg组件. aspjpeg组件下载地址: http://www.changehope.com/down/AspJpeg v1.5.0.0.rar -------------------------- V3.3新功能说明 time:2008-06-28 本次升级着重修复V3.2中发现的一些问题，此外将人才系统独立出来，增强了其功能，使得企业会员应用和管理人才信息更加便捷。 1、修复产品发布时不选择小类出错问题； 2、修复注册时是否选择主营行业设置问题； 3、修复求购信息自动生成问题。 4、修复ACCESS数据库三级行业分类不能添加问题； 5、修复供求信息重发无效问题； 6、修复系统采集管理权限问题； 7、修复虚拟目录企业模板生成地址错误问题； 8、修复论坛管理员无法登录问题； 9、 修复图片上传到根目录问题，并屏蔽了外部链接上传； 10、修复会员模板批量生成问题； 11、修复V3.1升V3.2后更换系统模板出错问题； 12、修复后台升级管理点击公司名或用户名提示出错问题； 13、修复会员产品图片不能上传问题； 14、修复后台审核"委托代理"时出现"参数传递出错"问题。 15、修复后台点击用户名修改会员资料时,主营行业未显示默认行业问题； 16、优化论坛整合实现网站用户注册与删除等信息同步功能； 17、优化了各个模板细节； 18、独立了人才系统增强了其功能。 V3.2版升级说明 time:2008-05-07 1、修正模版细节问题； 2、修复邮件发送功能； 3、修复用户删除上传图片后不显示默认图片问题； 4、修复会员升级申请提示问题； 5、修复后台修改帮助信息时出现默认类别不匹配问题； 6、修复新闻等信息顺序问题； 7、修复ACCESS数据库版后台“区域管理”不能添加地区的问题； 8、完善用户上传图片功能,无需刷新就可以显示； 9、完善会员发送信息条数限制功能； 10、完善后台操作权限控制功能； 11、完善供求、展会、资讯等自动生成功能； 12、优化会员注册等待时间； 13、优化外部链接注入信息问题增加系统安全性； 14、增加会员中心会员发送信息条数提示功能； 15、增加数据初始化功能（可在后台“数据库管理”下“初始化数据”中设置操作，注：该功能仅原始管理员权限可操作）； 16、增加后台详细日志记录功能（可在后台“常规管理”下“基本设置”中关闭或开启）； 17、增加SQL防注入功能（可在后台“常规管理”下“SQL防注入管理”中设置）； 18、增加论坛整合及论坛路径后台设置功能（可在后台“常规管理”下“基本设置”中进行设置）； 19、增加后台“自定义标签辅助工具”以标签名搜索的功能； 20、整合最新动网论坛8.2版。 v3.1版升级说明 time:2008-03-15 1．修复自动生成页面功能; 2．修复金色大气风格会员模板后台无法生成问题; 3．修复供求信息添加无法选择三级分类问题; 4．修复企业VIP自助建站联系方式不显示问题; 5．检查修复所有模板页; 6．调整仿阿里风格首页模板标签调用; 7．优化文章发布中的关键词; 8．增加网站标签辅助工具中标签搜索功能; 9．增加行业资讯里信息来源与点击次数的显示功能; 10．增加所有发布信息验证码功能，后台系统设置里可设置是否启用此项功能; 11. 增加供求信息一级分类显示所有下级分类信息功能; 12. 增加生成按条选择,及查看未生成信息功能; 13. 增加生成未生成复位按钮功能; 14. 增加限制普通会员发信息的数量; 15．增加企业名片自动生成功能; 16．增加每次添加新的文章，或新注册企业，发布新产品或更改时自动生成相应页面功能; 17．增加会员多行业类别选择功能。 v3.0版升级说明 time:2007-12-10 1、增加升级会员等级申请 2、修正用户后台几个小bug 3、统一全站头部和尾部 4、修正展会列表不能分页的BUG 5、一键更新用户网站 6、增加会员等级图片然。 7、增强邮件群发功能 8、增加动态调用功能 9、增加订单功能及其他 10：加强会员权限内容管理(收费方向) 12、添加整合接口 14、增加后台产品和供求的批量审核 15、统一后台风格 16、咨询详细页面增加来源和点击率 17、加强易商通和竞价模块 18、统一供求和产品详细页面的风格 V2.5版升级说明 time:2007-11-13 1.增加仿最新阿里巴巴、慧聪网界面一套,完全DIV+CSS V2.4版升级说明 time:2007-09-04 1.增加游客是否可以查看联系信息、是否可以在会员模板网站中进行留言功能，有后台统一控制开关； 2.对专项商机类别、行业资讯类别、网站行业类别增加了自定义排序功能； 3.对委托代理、专项商机的首页使用模板生成，可以对其的首页模板进行编辑； 4.新增人才招聘栏目功能，让人才频道基本和小型人才网功能相当； 5.增加可以根据系统模板的风格，可以自由调整动态页面的整体宽度； 6.加强了友情链接的标签功能，让调用更加灵活； 7.网站增加cookie验证管理，可以设置使用session还是cookie进行验证(主要针对用户总是频繁退出的问题); 8.修复相关搜索功能、广告管理功能、及其它功能的修复，更新产品报价查询页面功能 ; 9.新增整合论坛:动网V8.0AC版插; 10.更换使用验证码方式，使用点击更换验证码; 11.增加mssql数据库在线备份功能等; 12.更新【YxB2B商务网帮助文档】相关功能的操作说明等. V2.3版升级说明 time:2007-06-30 1.修改了总后台管理相关内容页面显示效果样式 2.管理员可以后台设定会员等级，并对不同等级的会员进行会员后台的权限限制；对不同等级的会员注册填写信息项进行可选与是否必填的设置；可以在后台对不同等级的会员生成默认的模版页...... 3.对生成的静态html页针对不同的栏目进行批量的删除 4.增加对【底部栏目信息设置与生成】中对模板的编辑功能-----"编辑模板" 5.添加是否允许不同等级的会员查看会员的联系信息功能等 6.添加竞价排名功能，会员可以就关键词进行竞价。 V2.1 版升级说明 time:2007-04-30 1.网站各首页自动更新信息与相关时间间隔设置(网站首页,我要采购,我要销售,产品库,公司库,行业资讯,展会)首页 2.网站各分类页面自动生成与更新信息与相关时间间隔设置(我要采购[1,2,3],我要销售[1,2,3],产品库[1,2,3],公司库[1,2,3])页面 3.新增设置新注册的会员的空间大小限制功能 4.新增会员空间大小操作限制 5.新增自定义标签查询功能 6.新增对系统的相关空间统计信息功能 7.增加相关所有企业显示功能---所有普通会员，所有易商通会员，推荐企业 8.增加相关所有供应信息显示功能，所有求购信息显示功能，紧急求购显示功能 9.增加相关区域服务功能--区域供应，区域求购，区域商机，区域企业，区域产品 10.增加相关所有产品信息显示功能 11.新增会员产品报价 12.新增供求信息特色标志功能 V2.0 版升级说明 time:2007-04-6 (1)自动生成详细页面；会员发布信息，如果为直接通过，则自动生成，如果为审核后通过，则管理员审核后，自动生成 (2)删除数据时，同时删除ＨＴＭＬ文件 (3)删除分类时，删除所有该分类的数据 (4)生成的ＨＴＭＬ文件与上传的图片，可以进行统一管理; (5)修改了上传组件; (6)可以修改后台文件夹路径（如:admin 改成 yixiang_admin） (7)可以修改fso组件; (8)进行了模板关键字的优化， (9)企业用户新增加了一套系统模板 (10)会员模板新增加了20套+原来的16套，总数为36套; (11)增加了自定义标签 (12)增加了委托 (13)提供了dvbbs、bbsgood论坛的同步注册，登陆插件 (14)改善了分类问题,以前必须为三级分类.现在可以为一级分类,或二级分类或三级分类 V1.2 版升级说明 time:2007-03-6 (1)修复启用后台不同管理员的权限分配功能 (2)启用修复程序操作MSSQL数据库功能 (3)完善修复了4套界面。以及注册页面风格统一。 V1.2版升级说明 time:2007-02-16 (1)增加网站开关功能 (2) 整合oblog网商博客 (3) 对目录路径的不准确性进行了修整 (4) 新增热门关键字搜索（根据用户的相关关键字的搜索率自动更新） (5)保留了后台静态添加关键字的功能 (6) 增加网站是否整合网商博客开关 (7) 增加网站是否开启用户二级域名开关 (8)修复了jmail组件发送功能 (9) 对网页meta搜索关键字的功能加强，增大被搜索率 (10) 更新网站自身系统的相关介绍信息的模版页面 (11) 启用锁定IP管理功能 (12) 对会员栏目和易商通会员栏目进行的重新规划调整，更易操作 (13) 启用易商通指数管理统计功能（将会员的各类证书与评论和诚信度相结合进行统一的换算） (14) 修复相关的添加删除等功能的不足 (15) 修复生成网站行业分类JS文件的功能 (16)对系统的相关文件进行了统一的授权管理，改善了对部分文件的权限限制 (17)修改系统模版管理功能（文本与视图），达到可视化的模版编辑，消除由于POST提交数据的限制造成的修改模版失败的因素 (18)新增了自定义标签的辅助工具，使用预览功能可达到快速的布局模版页面的效果，减轻参数列表烦杂 (19)启用用户模版导入与导出功能，使多用户模版功能更方便，让用户舒适体验多版式的感受 (20)修整了对管理员的相关操作与权限功能，完善系统后台管理安全日志的管理 (21)启用数据库备份，还原等功能 (22)对系统生成相关html文件的功能的更新与修整 (23)新增多套用户模版（达到16套，对以往的模版进行了修整与优化） (24)完善了用户模版切换造成的功能不足问题 (25)修整了会员后台的相关功能的不足问题 (26)新增中文简体与中文繁体转换标签 (27)启用我的自助网站功能 (28)启用最近搜索关键字。 (29)修复启用后台不同管理员的权限分配功能 (30)启用修复程序操作MSSQL数据库功能 (31)完善修复了4套界面。以及注册页面风格统一。 V1.1版升级说明 time：2007-01-26 1、新增了两套前台界面模版和10套会员界面模版。 2、新增且完善了部分标签，请参见标签说明。 3、加强广告功能，采用js和asp两种方式调用、多模版广告管理等功能。 4、增加了自定义ID段生成详细页面、生成从未生成页面的功能。 5、产品、供求添加自动审核生成的功能。（需后台设定） 6、增加了后台生成关于我们系列栏目静态页面的功能。 7、完善了可在二级目录执行程序的功能。 8、登录框JS调用的功能。 9、增加了友情连接功能。 10、优化了所有搜索关键词，让各大搜索引擎更容易找到你！ 五、功能概要 (一)、前台功能说明 供应信息、求购信息、产品库、公司库、专项商机、行业信息、展会服务、人才市场、网站新闻、产品报价、竞价排名、会员助手、商友论坛、委托代理、全方位搜索 (二)、会员功能说明 1、我的交易管理 我是买家 我是卖家 发起订单 2、发布商机信息 商机信息 发布商机信息 管理商机信息 产品展示 发 布 产 品 管理产品展示 产品系列大类 产品系列小类 展会信息 发布展会信息 展会信息管理 3、查看企业信息 企业展示 公司介绍 上传公司图片 建立企业网站 会员档案 上传证书 证书与商务指数 招聘信息管理 发布招聘信息 管理招聘信息 4、查看商业往来 留言信息 发新留言 发出的留言 收到的留言(会员) 收到的留言(游客) 5、 我关注的商机 订阅商机 订阅的商机 我的商业伙伴 新增伙伴 我的商业伙伴 会员评价 我作出的评价 我收到的评价 6、关键字竞价管理 参加竞价 进行中的竞价 已成交的竞价 未成交的竞价 设置排序商品 7、委托交易 我要委托 委托说明 8、网上社区 我的论坛博客 我的论坛收藏 我的论坛设置 9我的自助网站 更新我的网站 网站模板选择 10、浏览我的网站 11、我的会员资料 修改注册信息 修改密码 12、帮助中心 ╔-----------------------------------------------------╗ ┆名称：成都易想网络技术有限公司 ┆ ┆地址：四川省成都市太升北路56号江信大厦12层 ┆ ┆电话：028-66006880/13980854559 传真：028-86935502 ┆ ┆邮箱：changehope@gmail.com changehope@hotmail.com ┆ ┆在线QQ：267224740 / 267224741 / 267224742 / 267224743┆ ┆网址：Http://Www.ChangeHope.Com / Bbs.ChangeHope.Com ┆ ╚-----------------------------------------------------╝ 易想：交换理想|共创价值 / 中国行业网站系统第一品牌 ********************************************************************************** 版权声明:本程序及相关文档的版权及其他权利都归成都易想网络技术有限公司所有并保留一切权利。除了成都易想网络技术有限公司授权许可协议所提供的明确书面许可外，拥有本程序及相关文档并不赋予您任何有关这些专利、版权或其他知识产权的许可。
送强力打狗棒，文末领取
我一直想找一个通用性的过狗方法，预期是这个绕过方法不会涉及到下面3个方面 （1）中间件，如iis、apache （2）数据库，如mysql、sql server （3）脚本语言，如php、aspx、asp 网上关于安全狗的sql绕过研究，大多数是fuzz绕过的帖子，fuzz方法常常使用注释绕过，涉及到数据库特性，而且广泛用于注释语法的星号（*）可能会被网站自带的防恶意代码模块拦截了，在实践中体验不好。太多fuzz过waf的文章，多数是使用注释绕过，在我看来，所有fuzz绕过，本质就是正则匹配逃逸。 我计划写一篇脚本小子最爱的，涉及知识点最少，能直接放工具里全自动跑sql注入的过狗文章。 0x01 先说说安全狗是如何判断恶意代码 安全狗、云锁、D盾等软件waf，内置一套正则匹配检测规则。这类软件waf对恶意代码的认识很有限。例如安全狗iis版，只知道要防护的服务器是iis作为中间件，并不知道要防护的服务器上面部署的数据库类型[Mysql|Sql Server|Access..]以及脚本语言类型[php|aspx|asp...]。再者，由于是依靠正则规则看恶意代码，所以对恶意代码拦截不全面。 0x02 起因 某天，在本地搭建了一个Asp+Access+IIS环境，测试安全狗Bypass 用淘气字符串就绕过了安全狗的拦截。由于只能用在某些sql语句上，具体是哪一个字符串就无足轻重了。第一次在本地环境测试安全狗就绕过了，刚好那天看到论坛在征集优秀文章，计划着写处女作投稿。 附上地址，虽然字符串数量不多，但是确实很淘气... https://github.com/minimaxir/big-list-of-naughty-strings/blob/master/blns.txt 淘气字符串 我反复提交包含sql注入的数据包，Fuzz到了字符串[removed] 只有这一处，提示数据库报错了。那么，安全狗是分析到了什么？安全狗是用正则匹配看代码的，所看到，肯定不是一大串字符。反复删减，最终出来了 ///.js 0x03 绕过测试 ///.js js可以换成rm/wm/png/jpg等静态文件后缀 测试发现，只要url包含 ///.js 就会触发内置的白名单，直接被iis版安全狗放行。既然是触发白名单，我直接把http防护策略全部开启，把防护等级调到最高来测试效果。 http://192.168.29.131:8980/sql.php?id=1 and 1=1 (拦截) http://192.168.29.131:8980/sql.php?id=1 and 1=1&safe;=///.js? (放行) http://192.168.29.131:8980/sql.php/1.js?id=1 and 1=1 (放行) 触发白名单直接放行url，顺带放行了XSS攻击代码，连xss过狗代码也不用研究了，哈哈。 http://192.168.29.131:8980/sql.php?id=1 and 1=1&xss;=[removed]alert(/xss/)[removed]&safe;=///.js? (既有sql注入，又有xss攻击，放行) http://192.168.29.131:8980/sql.php?id=1 and 1=1&xss;=[removed] （很evil，也放行） 还能在url传输什么，放行恶意代码，脑洞... 不仅是放行url，连cookie位置也放行了。 但是当恶意代码放在post数据，就绕不过安全狗。 亲测，对于安全狗iis版，php,aspx,asp均能用这种方式过狗。 http://.../sql.php?safe=///.js?&id=1 http://.../sql.aspx?safe=///.js?&id=1 http://.../sql.asp?safe=///.js?&id=1 如果是Apache版安全狗，可以试试 http://.../sql.php/1.js?id=1 http://.../sql.aspx/1.js?id=1 备注：更新了图片，最新的iis版本，亲测，本文提供的两个方法 依然有效～～～ （思考花了一个星期，认认真真写稿也就两个晚上，8号的iis版已经更新了一次，然而漏洞依然存在，看来官方人员一直都不知道） 影响范围： 针对最新的安全狗iis版，从最右边开始匹配，存在某一个问号？附近的字符串满足正则表达式 \/.*?\/.*?\/.*?\.js（其中的js可以替换成如png、jpg等静态文件后缀）例如 ///.js?或http://ip/1.jpg? 就会触发内置白名单，无论数据库和脚本语言类型。触发白名单会放行url和cookie位置的恶意代码，但依然检查post的数据。 （Apache版的规则库不一样，手工测试出精简的字符串，但是url无效访问，所以Apache版的还只能按照http://.../sql.php/1.jpg?id=1触发白名单） 0x04 搜索公开技术贴 准备写稿了，防止遇到造轮子撞车，变换关键词，搜搜互联网最近半年的公开过狗技术帖。找到了一个造轮子的博客https://www.jianshu.com/p/507439c2dd94 看图。这个造轮子方法已经很普遍出现在各种BypassWaf文章里面。 我的观点：安全狗不认识什么是php，所以这个bypass没挖掘到绕过的本质。而且有些php网站不支持PATH_INFO特性。对问题本质的理解不一样，如果是思考如何触发安全狗的正则匹配规则，就能发现这个绕过方法可以推广到aspx和asp。 虽然方法很简单，发现了如何触发内置白名单，放行恶意代码，但是无法绕过恶意代码出现在post数据的情况。美中不足，思绪一度搁浅，因为我计划写一篇“脚本小子最爱，涉及知识点最少，能直接放工具里全自动跑sql注入的过狗文章”。 0x05 峰回路转 择日再度整理思路，翻看手里的资料。再次看到上次那个造轮子博客。看到0x04造轮子三个字，我在思考什么是造轮子？一味地造轮子本身没有错，错在看不到车子，不清楚什么轮子最适合，于是就有了四方形，三角形，椭圆形的轮子，同样都是能上路的轮子。我的思维跳跃到了那个经典的fuzz造轮子代码。曾经用这个代码Fuzz一个小时的我，就觉得fuzz代码对sql语句的理解不多，出现很多没必要的测试。 手工测试sql语句的经验告诉我，所有fuzz过狗payload本质都是正则匹配逃逸（包括特殊的截断），正则匹配逃逸的核心要点绝不是/××/注释。于是对造轮子作者的payload进行测试，发现最终有用的是#a (安全狗4.0) 所以说，注释绕过的是 # 配合 \n id=1 union select 1,2,3 （拦截） id=1 union# select 1,2,3 （拦截） id=1 union#a select 1,2,3 （放行） 原理：安全狗遇到注释符号 # 就会丢弃后边代码的检测。为了提防使用回车\n绕过正则过滤，只是拦截了# ，正则规则库没考虑到#+字符串+ 的情况，造成了BypassWaf 改写了个 tamper ,命名为Bypassdog40.py （成功测试了iis版安全狗4.0和apache版安全狗4.0） 核心代码只有一条，把所有空格替换为 #a if payload: retVal = re.sub(r"\s", r"#a ", payload) 执行 sqlmap -u “http://192.168.29.131:8980/sql.php?id=1” -v 3 --random-agent --tamper=Bypassdog40.py 成功跑出所有sql注入payload 紧接着又测试注入点在post和cookie的情况，自动化注入过程很顺利。 补充：安全狗Apache3.5 规则刚好相反，拦截#a ，放行# ，命名tamper为 Bypassdog35.py 0x06总结 真理总是直接，甚至是简单的 本文包含了两个过狗方法： 一个是触发内置白名单的正则规则，能放行url和cookie的恶意代码检测，包括了xss攻击。美中不足就是绕不过post数据的恶意代码检查。 另一个Bypass方法是传统方法，提供了很简单的tamper，核心代码只有一句，可以用sqlmap跑自动化，大致可以通杀安全狗。遇到无法读数据库情况，例如拦截了INFORMATION_SCHEMA，可以配合触发内置白名单的方法，直接放行。 MySQL #单行注释 -- 单行注释（特别注意，-- 后有个空格！！！） /*多行注释*/ MS SQL Server -- 单行注释 /*多行注释*/ Oracle REM单行注释 -- 单行注释 /*多行注释*/ 新的两个tamper命名为Bypassdog400 和Bypassdog350 适用于 MS SQL Server和Oracle
NTKO文档在线编辑控件4.0.1.2
NTKO OFFICE文档控件支持在线编辑,痕迹保留,手写签名,电子印章,全屏批注,电子签名[数字签名，数字证书签名],简单OCR等实用功能，支持PHP，ASP，JSP，C#，VB.NET，DOMINO等各种web编程语言和服务器。 NTKO OFFICE文档控件能够在浏览器窗口中直接编辑Word,Excel,Wps等Office文档并保存到任意Web服务器。实现文档和电子表格的统一管理。同时支持强制痕迹保留,手写签名，电子印章，版本控制,附件上传等办公自动化系统必备的功能。是OA系统开发的最佳选择组件！！卓越的性能，低廉的价格，简洁高效的编程接口，让您以最低的开发成本，轻松创建极具特色的办公自动化解决方案！ 采用基于标准的而非基于自定义协议强大的B/S通讯技术，能够自由的将服务器数据库中的数据插入当前文档的指定位置，而且还可以将文档中的指定数据随时保存到服务器上。 NTKO OFFICE文档痕迹保留全屏批注手写签名电子印章控件是拥有完全自主知识产权的ActiveX控件。 NTKO OFFICE文档控件4.0版本新增异步下载等多项功能。异步下载方法支持显示文件下载进度或者不显示进度的选项，大大改善了用户界面体验，并满足多种不同层次的开发需求。 http://www.ntko.com在线演示展示了NTKO OFFICE文档控件的“异步下载”，“智能提交”等技术。该技术能让您更简单快速的将控件集成到您的产品中。 NTKO OFFICE文档控功能强大，以下仅为部分功能列表: 1 新增电子签名[CA数字签名]的功能。符合国家《电子签名法》V3.0版本新增了文档电子签名[CA数字签名]功能。同时简化了一些常用功能的函数和方法。3.0版本的数字签名功能基于国际标准开发，同时符合《电子签名法》。独创使用电子签名[数字签名]验证对文档内容，格式等的任何改动。同时支持联合签名，证书吊销列表等功能。电子签名[数字签名]功能采用标准接口，可以和企业已有的PKI系统无缝融合。 2 增强对WPS文档和金山电子表支持。增加保存PPT为HTML,支持UTF8 URL等功能 V2.5.2.3版本新增了对WPS痕迹保留的支持，并支持金山电子表。另外，该版本还增加了保存PPT为HTML，支持UTF8 URL和UTF8数据编码传输的功能。 3 新增可定制的文件菜单，可定制一个主菜单，禁止F12保存文档，可显示页码，页数信息的状态栏。 V2.5.2.1版本新增了可定制文件菜单，可定制一个主菜单。进一步增强了系统的可集成性。新增禁止F12快捷键保存文档，以及在禁止拷贝的基础上禁止文字拖放的功能，进一步增强了文件的安全性。新的状态栏可以显示Word文档的页码和页数等信息。用户使用更加方便。 另外新增印章管理控件，可在浏览器中创建，修改印章从保存到本地或者服务器。 4 新增压缩存储和传输功能 V2.5.1版本新增的压缩存储和传输功能,使的20K左右的Word文档压缩后只有2K左右。极大节约了数据库或磁盘空间，提高了网络利用率和传输效率。 5 新增全文批注功能和远程印章管理控件。 V2.5版本新增的全文批注功能，能够让您以所见即所得的方式对文档进行全文批注。新增的印章管理控件可以让您修改远程服务器上的印章，并保存回服务器。 6 全面支持C/S方式和其他容器。在VB,Delphi,C++Builder中均可以很方便的使用控件 V2,3,2,0版本之后，NTKO OFFICE文档控件不仅可以继续与浏览器和各种后台Web服务器无缝集成创建B/S结构的应用，更全面支持C/S方式的编程和其他容器。您可以在VB,Delphi,以及C++ Builder中使用控件。快速创建具有痕迹保留，电子印章等功能的C/S结构的应用。 7 支持将数据直接写入ODBC数据源。 V2,3,2,0版本之后，NTKO OFFICE文档控件支持直接从ODBC数据源读取文档内容，或者将文档内容存入ODBC数据源。这为C/S结构下创建共享的办公系统，文档管理，知识管理解决方案提供了更强大的接口。 8 状态栏,智能Web调用,预定义模板套红 全面支持状态栏，用户界面更加友好。智能Web调用让您甚至可使用XML或者自定义的协议与服务器通讯! 9 广泛的操作系统，Web服务器，数据库和编程语言支持 后台支持Windows,Linux,Unix等各种操作系统；支持IIS，Domino，Websphere，Apache等所有后台WEB服务器类型，支持Db2，Oracle，MySQL，SQL Server等各种常用数据库和JSP，ASP，PHP，PERL等编程语言。 10 支持在提交编辑文档的同时，提交表单的其它数据，包括其它的文件上传 采用我们独创的“智能提交”技术，让您在提交编辑文档的同时，提交表单的其
新智能企业网站管理系统v2.1build0914
安装说明: 1. 系统需求 =========================================== 1) 软件系统：WIN2000+IIS5.0 / WINXP+IIS5.1 / WIN2003+IIS6.0 2) 数 据 库：Access2003 3) 其 他：服务器必须安装 微软IE浏览器5.0或以上版本 使用Email功能，需要安装Jmail 4.0或以上版本 4)需要服务器支持FSO(FileSystemObject) 推荐：Windows 2000+IIS5.0+Access2003+IE6.0环境测试 浏览器兼容：IE5.5/IE6.0/IE7.0/IE8.0/Firefox/Maxthon 最新版本：http://www.51xzn.cn 安装过程中有任何疑问都可联系我们！ 2.功能更新： ======================== [新增]管理员权限管理模块 [新增]留言本动态交流 [新增]IP段、单个IP任意锁定 [修正]会员修改密码同步 [修正]IP段单个IP无法锁定 [修正]首页公告弹出无效 [新增]首页QQ在线客服 [修正]QQ客服显示配置 [修正]文件清理失败 定单处理完善 添加站内信 友情连接点击数、来访数系统完善 留言回复增加删除功能 修复上传图片超出限制后需要刷新 文件清理找不到路径 添加会员短信提醒 增加文件下载系统 会员注册页修正 产品搜索页修正 新注册用户欢迎消息配置 群发短消息 包含信息的丢失 修正会员短信提醒与新闻条目冲突 3.系统功能： ========================= 系统管理：密码管理、系统配置、数据库备份、后台日志管理 管理员管理模块：管理员的添删改查以及管理员的权限设置 会员管理系统：注册会员的管理 IP锁定管理：IP地址的锁定 企业信息模块：公司简介、公司文化等栏目的随意设置 新闻系统模块：公司新闻、文章发布 产品系统模块：包括产品类别管理 友情连接模块：友情连接管理 招聘系统模块：招聘发布以及应聘管理 在线留言系统：客户留言信息的管理 文件管理系统：上传文件的管理 自定义模块：自定义单页，最大限度的满足公司的各种需求 系统默认用户名及密码都是admin、admin88 后台登陆地址：admin/login.asp 实际功能以系统为准 ================ v2.0 页面修正： /admin/add_manager.asp /admin/manage_user.asp /admin/userDel.asp /admin/userLock.asp /admin/usermodify.asp /admin/datacopy.asp /admin/admin_ip.asp /admin/addproductsave.asp /admin/add_instr.asp 编辑器优化 上传文件统一管理 新增软件管理系统 文件大小限制功能增强 文件上传限制 v2.1build0908 产品类别升级为多级循环类
.NET社区

62,046

社区成员

669,049

社区内容

发帖
与我相关
我的任务
社区描述
.NET技术交流专区
javascript云原生 企业社区
社区管理员
  • ASP.NET
  • .Net开发者社区
  • R小R
加入社区
  • 近7日
  • 近30日
  • 至今

加载中

查看更多榜单
社区公告

.NET 社区是一个围绕开源 .NET 的开放、热情、创新、包容的技术社区。社区致力于为广大 .NET 爱好者提供一个良好的知识共享、协同互助的 .NET 技术交流环境。我们尊重不同意见，支持健康理性的辩论和互动，反对歧视和攻击。

希望和大家一起共同营造一个活跃、友好的社区氛围。

试试用AI创作助手写篇文章吧

+ 用AI写文章