ASP Shell 索引：如何保护你的网站免受并发攻击？

ASP shell 索引是一种常见的网络攻击手段，攻击者通过利用网站漏洞，将一些恶意脚本上传到网站服务器上，然后通过 ASP Shell 索引的方式来执行这些脚本，从而达到获取服务器权限、篡改网站内容等目的。ASP Shell 索引是一种非常危险的攻击方式，因此网站管理员需要采取相应的措施来保护网站免受此类攻击。

一、禁用 ASP Shell 索引

禁用 ASP Shell 索引是最有效的防止被攻击的方式之一。在 IIS 中，可以通过修改 WEB.config 文件来禁用 ASP Shell 索引。具体的操作步骤如下：

1. 打开 IIS 管理器，找到对应的网站，右键单击选择“编辑 Web.config”；

2. 在 Web.config 文件中添加以下代码：

<system.webServer>
  <handlers accessPolicy="Read, Script">
    <remove name="ASPX" />
    <add name="ASPX" path="*.aspx" verb="*" type="System.Web.UI.PageHandlerFactory" resourceType="Unspecified" requireAccess="Script" allowPathInfo="false" preCondition="integratedMode" />
    <remove name="ASHX" />
    <add name="ASHX" path="*.ashx" verb="*" type="System.Web.UI.PageHandlerFactory" resourceType="Unspecified" requireAccess="Script" allowPathInfo="false" preCondition="integratedMode" />
    <remove name="ASMX" />
    <add name="ASMX" path="*.asmx" verb="*" type="System.Web.Services.Protocols.WebServiceHandlerFactory, System.Web.Services, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a" resourceType="Unspecified" requireAccess="Script" allowPathInfo="false" preCondition="integratedMode" />
    <remove name="AXD" />
    <add name="AXD" path="*.axd" verb="*" type="System.Web.HttpHandlerFactory" resourceType="Unspecified" requireAccess="Script" allowPathInfo="false" preCondition="integratedMode" />
    <remove name="TRACEHandler-Integrated-4.0" />
    <add name="TRACEHandler-Integrated-4.0" path="trace.axd" verb="TRACE" type="System.Web.Handlers.TraceHandler" resourceType="Unspecified" requireAccess="Script" allowPathInfo="false" preCondition="integratedMode" />
    <remove name="OPTIONSVerbHandler" />
    <add name="OPTIONSVerbHandler" path="*" verb="OPTIONS" modules="ProtocolSupportModule" requireAccess="None" allowPathInfo="false" />
    <remove name="HEADVerbHandler" />
    <add name="HEADVerbHandler" path="*" verb="HEAD" modules="ProtocolSupportModule" requireAccess="None" allowPathInfo="false" />
    <remove name="GETVerbHandler" />
    <add name="GETVerbHandler" path="*" verb="GET" modules="ProtocolSupportModule" requireAccess="None" allowPathInfo="false" />
    <remove name="PUTVerbHandler" />
    <add name="PUTVerbHandler" path="*" verb="PUT" modules="ProtocolSupportModule" requireAccess="None" allowPathInfo="false" />
    <remove name="POSTVerbHandler" />
    <add name="POSTVerbHandler" path="*" verb="POST" modules="ProtocolSupportModule" requireAccess="None" allowPathInfo="false" />
    <remove name="DELETEVerbHandler" />
    <add name="DELETEVerbHandler" path="*" verb="DELETE" modules="ProtocolSupportModule" requireAccess="None" allowPathInfo="false" />
  </handlers>
</system.webServer>

以上代码可以禁用 ASP Shell 索引，同时也可以防止其他类型的攻击。

二、限制上传文件类型

网站管理员可以限制上传文件的类型，禁止上传一些可执行文件，例如：.aspx、.ashx、.exe、.dll 等。在上传文件时，服务器会对文件类型进行检查，如果不符合规定的文件类型，则上传会失败。

三、加强服务器安全

除了以上两种措施外，网站管理员还可以加强服务器的安全性，例如：安装杀毒软件、及时更新服务器的安全补丁、使用防火墙等等。

下面是一个禁用 ASP Shell 索引的演示代码：

<system.webServer>
  <handlers accessPolicy="Read, Script">
    <remove name="ASPX" />
    <add name="ASPX" path="*.aspx" verb="*" type="System.Web.UI.PageHandlerFactory" resourceType="Unspecified" requireAccess="Script" allowPathInfo="false" preCondition="integratedMode" />
    <remove name="ASHX" />
    <add name="ASHX" path="*.ashx" verb="*" type="System.Web.UI.PageHandlerFactory" resourceType="Unspecified" requireAccess="Script" allowPathInfo="false" preCondition="integratedMode" />
    <remove name="ASMX" />
    <add name="ASMX" path="*.asmx" verb="*" type="System.Web.Services.Protocols.WebServiceHandlerFactory, System.Web.Services, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a" resourceType="Unspecified" requireAccess="Script" allowPathInfo="false" preCondition="integratedMode" />
    <remove name="AXD" />
    <add name="AXD" path="*.axd" verb="*" type="System.Web.HttpHandlerFactory" resourceType="Unspecified" requireAccess="Script" allowPathInfo="false" preCondition="integratedMode" />
    <remove name="TRACEHandler-Integrated-4.0" />
    <add name="TRACEHandler-Integrated-4.0" path="trace.axd" verb="TRACE" type="System.Web.Handlers.TraceHandler" resourceType="Unspecified" requireAccess="Script" allowPathInfo="false" preCondition="integratedMode" />
    <remove name="OPTIONSVerbHandler" />
    <add name="OPTIONSVerbHandler" path="*" verb="OPTIONS" modules="ProtocolSupportModule" requireAccess="None" allowPathInfo="false" />
    <remove name="HEADVerbHandler" />
    <add name="HEADVerbHandler" path="*" verb="HEAD" modules="ProtocolSupportModule" requireAccess="None" allowPathInfo="false" />
    <remove name="GETVerbHandler" />
    <add name="GETVerbHandler" path="*" verb="GET" modules="ProtocolSupportModule" requireAccess="None" allowPathInfo="false" />
    <remove name="PUTVerbHandler" />
    <add name="PUTVerbHandler" path="*" verb="PUT" modules="ProtocolSupportModule" requireAccess="None" allowPathInfo="false" />
    <remove name="POSTVerbHandler" />
    <add name="POSTVerbHandler" path="*" verb="POST" modules="ProtocolSupportModule" requireAccess="None" allowPathInfo="false" />
    <remove name="DELETEVerbHandler" />
    <add name="DELETEVerbHandler" path="*" verb="DELETE" modules="ProtocolSupportModule" requireAccess="None" allowPathInfo="false" />
  </handlers>
</system.webServer>

总之，ASP Shell 索引是一种常见的网络攻击手段，网站管理员需要采取相应的措施来保护网站免受此类攻击。禁用 ASP Shell 索引、限制上传文件类型、加强服务器安全等都是有效的防护措施。