POST行为白名单监控拦截（拦截未知木马程序POST行为）使用说明

智创网站

专业级防火墙

防黑客入侵、防提权、防创建新用户、文件防篡改

专业级防火墙帮助您抵御各种黑客非法侵害！

首页	软件介绍	软件下载	IIS监控	挂马清除	木马监控	网页文件防篡改	购买软件	使用说明	会员登录

拦截未知 ASP / PHP / .NET 木马程序的原理

服务器被上传 ASP / PHP / .NET 木马程序后，这类木马程序都会执行 HTTP POST 动作。我们预先把网站正常的POST程序网页建立一个白名单，凡是没有在白名单的ASP/PHP/.NET网页出现的 POST行为一律拦截。这样即使黑客上传了木马，这个木马也无法正常工作。这样可以拦截掉绝大部分网页木马，如各种加密变形的未知网页木马。

什么是 HTTP 行为？

HTTP 动作行为，常见的有3个类型，（1）GET （2）POST （3）HEAD 三个行为动作。一个网站一般大部分都是 GET 方式访问，只有一些会员登录网页，信息提交网页，或后台管理网页等才需要 POST访问，比例都很小。为此，我们可以将这些需要 POST行为的网页列入白名单。

下载地址：

POST行为白名单监控拦截模块已经内置到《智创网站专业级防火墙软件》里。

《智创网站专业级防火墙》下载安装 https://www.zcnt.com/iis.asp

运行环境：

最新版支持 Windows 2003 IIS 6.0 / 2008 IIS 7.0 / 2008 R2 IIS 7.5

购买软件：

软件购买地址 https://www.zcnt.com/IisfBuy.asp

假设，我们需要对网站 test.zcnt.com 启用“POST行为白名单监控拦截”，操作步骤如下：

1、在服务器上打开 http://127.0.0.1:6688 （如果修改过端口号码，请填写修改之后的端口号码）进入防火墙配置界面，找到“POST行为白名单监控拦截”模块

2、进入“POST行为白名单监控拦截”模块，填写需要监控的域名，例如 test.zcnt.com

3、开启这个功能。以下两个选项，都选择 1 - 是。然后点“提交”，选择重启IIS。这样新的设置就生效了。

4、我们打开这个 test.zcnt.com 网站，这个时候，在 GET 访问模式下页面都可以打开。我们点“登录”下图，红色圆圈处的。这时会显示一个拦截信息。

5、点登录，弹出了一个拦截提示。login.asp 页面需要 HTTP POST 权限。

6、我们把网页“test.zcnt.com/login.asp”加入白名单中，然后点“提交”，选择重启IIS，如下图

8、如果是其他页面需要 POST权限，像这样，把需要POST权限的网页加入白名单即可。

9、为了收集 POST名单列表，我们可以先把网站的页面都访问一次。

这样需要 POST权限的页面，就会自动记录下来。启用“POST行为白名单
监控拦截”后，会在LOG日志目录生成一个需要 POST权限的页面列表，如下图
所示，把这里的页面加入到“白名单”即可。

注意，收集的时候，选择“2 - 是”，这样只记录，不拦截。正式使用的时候，需要选择“1 - 是”

是否启用POST行为监控：2 - 是，启动 POST行为监控，只把有 POST行为的网页记录到日志里，不拦截。

收集完成，正式使用的时候，需要选择 1 - 是，启动 POST行为监控，拦截未在允许POST行为名单中的 POST网页，同时记录到日志文件里

10、访问完后，需要POST权限的页面，就自动记录到 LOG日志里了。如下图所示

11、把需要POST权限的页面，加入到“白名单”中，然后点“提交”，选择重启IIS，如下图

12、通过上面的“白名单”设置，未在白名单里的网页，就无法POST提交信息了。

这样，即使服务器被上传 ASP / PHP / .NET 木马程序后，这类木马程序都会
执行 HTTP POST 动作。我们预先把网站正常的POST程序网页建立一个白名单，凡是
没有在白名单的ASP/PHP/.NET网页出现的 POST行为一律拦截。这样即使黑客上传了
木马，这个木马也无法正常工作。这样可以拦截掉绝大部分网页木马，如各种加密变
形的未知网页木马。

13、收集完POST白名单后，以下两个地方的选择，都选择“1-是”，然后选择提交，选择重启IIS

POST行为白名单监控拦截模块已经内置到《智创网站专业级防火墙软件》里。

15、在使用过程中，如果遇到问题，或有疑问，请联系我们的客服人员，我们将热诚为您解答！