各位大虾：
单位服务器遭人攻击，在事件簿中查到C盘Inetpub\scripts目录下不断被写入奇怪的文件，如T980789，root.exe等，导致IIS经常性停止。用诺顿查毒，有时会查出尼姆达病毒，有时无；监测到有两个IP在攻击，但用天网屏蔽IP后也不起作用。服务器是WINNT系统，请问有什么对抗方法？？？？？？？？？？？？
---------------------------------------------------------------
1,有病毒，首先断开网线和网络，对服务器首先进行查毒，检查局域网中还有哪些机子感染了病毒，及时杀毒！
2，杀毒软件最好选择网络版，并保持病毒库是最新的！
3，打上到目前为止NT系统的所有补丁！给IIS做个安全配置
详细配置如下：
1、单独设置IIS服务器
如果可能，IIS应该安装在一个单独的服务器上。就是说，这个服务器不是任何域中的成员，不必与域控制器建立Netlogon信道，从而降低通过服务器之间连接而建立起来的空用户连接所带来的安全风险。而且，由于系统之间不传递认证通讯信息，也就降低了登录口令被截获的可能。
2、禁止不需要的服务 另外，如果仅仅是单纯的Web 服务器，那么最好禁止掉以下不需要的服务： ALERTER CLIPBOOK SERVER COMPUTER BROWSER DHCP CLIENT MESSENGER NETLOGON NETWORK DDE NET DDE DSDM NETWORK MONITOR AGENT SIMPLE TCP/IP SERVICES SPOOLER NETBIOS INTERFACE TCP/IP NETBIOS HELPER NWLINK NETBIOS
3、合理设置Web根文件夹 ,将操作系统与应用程序单独存放在不同的分区或磁盘驱动器一样，现在又要使用到隔离技术了。建议将Web根文件夹wwwroot定位在操作系统分区以外的地方甚至是另外的物理磁盘驱动器上。而且，当设置Web站点的虚拟目录或重定向文件夹时，也要保证这些目录不会被重定向到操作系统的启动分区，因为有些攻击能够危及访问文件夹所在分区上的其它文件夹。还有一种安全处理方式就是把Web根文件夹设置到另一个服务器上，使IIS服务器成为一个只缓冲请求、应答请求的系统。而且，经过这样处理后，整个服务器基本上是一个通用型的，其上没有存储任何内容，即使站点遭到攻击而瘫痪，也可以从磁带或其它备份中快速简单地恢复服务器。
4、为重要系统文件改头换面 操作系统中有许多非常重要的文件，它们就象“双刃剑”，既可以让管理员方便地执行维护工作，又可能被攻击者利用进行破坏活动。为此，建议对这些文件进行删除、重命名或者为其设置NTFS权限，目的就是使攻击者再也找不到熟悉的面孔。这些文件包括： XCOPY.EXE at.exe regedit.exe cacls.exe regedt32.exe edlin.exe rsh.exe finger.exe runas.exe ftp.exe net.exe tracert.exe netsh.exe tskill.exe poledit.exe cmd.exe regini.exe cscript.exe regsrv32.exe tftp.exe netstat.exe issync.exe runonce.exe telnet.exe debug.exe rexec.exe wscript.exe
5、删除危险的IIS组件 默认安装后的有些IIS组件可能会造成安全威胁，应该从系统中去掉，所谓“多一个组件，不如少一个组件”。以下是一些“黑名单”参考，请管理员酌情考虑：
Internet服务管理器（HTML）：这是基于Web 的IIS服务器管理页面，一般情况下不应通过Web进行管理，建议卸载它。
样本页面和脚本：这些样本中有些是专门为显示IIS的强大功能设计的，但同样可被用来从Internet上执行应用程序和浏览服务器，这不是好事情，建议删除。
Win2K资源工具箱 或IIS资源工具箱：这些由专家编写的软件大概是现在最好的黑客工具了，其中有许多项目可以被攻击者利用从服务器上提取信息、进行破坏。
SMTP和NNTP：如果不打算使用服务器转发邮件和提供新闻组服务，就删除这些项目吧。否则，别因为它们的漏洞带来新的不安全。 @ Internet打印：Internet打印是Win2K中的一个新特性，它提供了通过Internet将打印作业题交给打印机的方式。但是由于网络上的打印机是通过一个Web页面进行访问并管理的，所以也就使系统增加了许多受到利用的可能。
6、改写注册表降低被攻击风险
DDoS攻击现在很流行，例如SYN使用巨量畸形TCP信息包向服务器发出请求，最终导致服务器不能正常工作。改写注册表信息虽然不能完全制止这类攻击，但是可以降低其风险，所以，建议搜索并实施相关攻击的注册表改写对策。降低SYN攻击的注册表改写对策是：将HKLM\System\CurrentControlSet\Services\Tcpip\Parameters下的SynAttackProtect的值修改为2。
7、简化IIS5中的验证方法
Win2K和IIS5紧密结合的一点就体现在它们共享了验证的功能和方法，这包括：匿名访问、基本验证（密码用明文送出）、Windows域服务器的简要验证、集成Windows验证等等。对于大多数Web站点来说，有匿名访问或基本认证就足够了，或者干脆只保留匿名访问形式。在有些地方，最简单的往往是最有效的！
8、为IIS中的文件分类设置权限
除了在操作系统级别为IIS5的文件设置必要的权限外，还要在IIS管理器中为它们设置权限，以期做到双保险。一般而言，对一个文件夹永远也不应同时设置写和执行权限，以防止攻击者向站点上传并执行恶意代码。还有目录浏览功能也应禁止，预防攻击者把站点上的文件夹浏览个遍最后找到“不忠的坏分子”。一个好的设置策略是：为Web 站点上不同类型的文件都建立目录，然后给它们分配适当权限。例如：
Scripts目录：包含站点的所有脚本文件，如cgi、vbs、asp等等，为这个文件夹设置“纯脚本”执行许可权限。
BIN目录：包含站点上的二禁止执行文件，应该为这个文件夹设置“脚本和可执行程序” 执行许可权限。
Static目录：包括所有静态文件，如HTM 或HTML，为这个文件夹设置“读权限”
9、全力保护IIS
metabase IIS Metabase保存着包括口令在内的几乎IIS配置各个方面的内容，而且这些信息都以明文形式存储，因此保护它至关重要。建议采取如下措施：
把HTTP和FTP根文件夹从%systemroot%下移走
慎重考虑重新命名Metabase和移动Metabase位置
安全设置确定Metabase位置的注册表关键字
审核所有试图访问并编辑Metabase的失败日志
删除文件%systemroot%\system32\inetserv\Iissync.exe
为Metabase文件设置以下权限：Administrators/完全控制，System/完全控制完成IIS配置后对Metabase 进行备份，这时会创建文件夹%systemroot%\system32\inetserv\MetaBack，备份文件就存储在其中。对于这个地方，要采取如下措施进行保护：
审核对\MetaBack文件夹的所有失败访问尝试
为\MetaBack文件夹设置如下权限：Administrators/完全控制，System/完全控制最后，要保护能够编辑Metabase的工具，步骤是：
移走文件夹\Inetpub\Adminscripts，这里包含着IIS的所有管理脚本
将"\program file"文件下的Metaedit.exe 和Metautil.dll移到%systemroot%\system32\Inetserv文件夹下，并调整相应的开始菜单快捷方式。
审核对\Adminscripts文件夹的所有失败访问尝试
对执行.VBS文件的%systemroot%\system32\csript.exe设置权限为“Administrators/完全控制”。
对\Adminscripts文件夹设置权限“Administrators/完全控制”。
不要在服务器上面安装FRONPAGE等系列的软件。。。这样也可能是黑客的入侵口！
关掉自己不需要的服务和映射...[建议最好把不用的映射DEL掉] 还有就是注意建立审核例行程序和备份策略和数据保护对存储在服务器上暴露于Internet的数据进行保护也很重要。除了设置相应权限外，建立一个正式的备份策略，定期进行磁带备份非常必要的。对于以上两点都需要明确目标。可以把备份分两份。1备份在SERVER外“光盘。磁带。或者局域网中的其他COMPUTER硬盘中。 2备份在SERVER其他盘中，把权限设置为adminstrators。
---------------------------------------------------------------
封掉ip如何不起作用？应该是你设置的不对或是ip不固定？
对于DDOS类攻击，防火墙是不起作用的。
市场上已经有很多成熟的IDS，资金允许就装一个吧。
---------------------------------------------------------------
你应该有unicode漏洞吧,他不断试图上传文件,获得更高权限,你还是把自己的洞洞补了,再说别的
---------------------------------------------------------------
一般来说打完了系统和IIS的补丁，unicode漏洞应该不会存在很多，或则说不存在！对于固定的IP地址，在IIS里面设置访问权限就可以了！再则，硬件防火墙功能强大，应该是可以屏蔽的，可能是设置问题！建议重新按照安全配置要求重新配置！！在可视条件下，用软件和硬件防火墙都搞不定的，我还没有见过！！只有关注喽…………
---------------------------------------------------------------
只开放80端口
网上邻居－－属性－－本地连接－－属性－－属性－－INTERNET协议－－属性－－高级－－
选项－－TCP/IP筛选－－属性－－在这里开放你想开放的端口－－确定