安全设置IIS中的权限[服务器安全]

　　用 IIS 来做 Web 服务器的人一定也不少.说真话,我认为 IIS 还是不错的,特别是 Windows的 IIS 6(即刻 Longhorn Server 的 IIS 7 也就要来了,相信会更好),性能和安定性都相当不错.但是我发现很多用 IIS 的人不太会设置 Web 服务器的权限,因此,呈现漏洞被人黑掉也就层出不穷了.但我们不该该把这归咎于 IIS 的不安全.假如对站点的每个目录都配以精确的权限,呈现漏洞被人黑掉的机会还是很小的(Web 利用程序本身有问题和通过别的方法入侵黑掉服务器的除外).下面是我在配置历程中总结的一些经验,但愿对大家有所帮忙. 2003

　　IIS Web 服务器的权限设置有两个地方,一个是 NTFS 文件系统本身的权限设置,另一个是 IIS 下网站->站点->属性->主目录(或站点下目录->属性->目录)面板上.这两个地方是密切相关的.下面我会以实例的方法来说授若何设置权限.

　　IIS 下网站->站点->属性->主目录(或站点下目录->属性->目录)面板上有:

　　脚本资源拜候

　　读取

　　写入

　　浏览

　　记录拜候

　　索引资源

　　6 个选项.这 6 个选项中,“记录拜候”和“索引资源”跟安全性关系不大,普通都设置.但是假如前面四个权限都没有设置的话,这两个权限也没有必要设置.在设置权限时,记着这个法则便可,背面的例子中不再分外阐明这两个权限的设置.

　　别的在这 6 个选项下面的履行权限下拉列表中还有:

　　无

　　纯脚本

　　纯脚本和可执路程序

　　3 个选项.

　　而网站目录假如在 NTFS 分区(举荐用这种)的话,还需求对 NTFS 分区上的这个目录设置呼应权限,很多地方都介绍设置 everyone 的权限,实际上这是不好的,其实只要设置好 Internet 宾客帐号(IUSR_xxxxxxx)或 IIS_WPG 组的帐号权限便可以了.假如是设置 ASP、PHP 程序的目录权限,那么设置 Internet 宾客帐号的权限,而关于 ASP.NET 程序,则需求设置 IIS_WPG 组的帐号权限.在背面提到 NTFS 权限设置时会明确指出,没有明确指出的都是指设置 IIS 属性面板上的权限