IIS服务器安全配置[摘]

前言:
主要是基于WINDOWS下的IIS服务器权限设置这样的安全设置后只限于ASP脚本可以正常运行.

正题:

将X:/Inetpub删除或改名

在做权限设置操作前先将隐藏文件恢复为可显示的状态

系统盘权限设置
c:/
鼠标右键[属性][安全][高级][权限]权限项目里给予[SYSTEM/管理员]完全控制权限在将[重置所有子对象的权限并允许传播可继承权限]打勾点[应用]
其它盘也做如上操作

1.权限分配

首先建立一个用户组IIS-USERS
将客户用户分配到这个组里和IIS启动用户

目录权限设置

C:/
SYSTEM/管理员:
完全控制

C:/WINNT/
IIS_USERS:
进入[高级]
选择IIS_USERS
[查看/编辑]
应用到[只有该文件夹]
权限:
列出文件夹/读取数据
并去掉继承

在将C:/WINNT/目录下的所有文件夹和文件权限设置为[SYSTEM/管理员]并去掉继承

在将下面的文件夹权限设置
C:/WINNT/Registration/
C:/WINNT/system32/
IIS_USERS:
读取及运行
列出文件夹目录
读取

C:/WINNT/Temp/
IIS_USERS:
进入[高级]
选择IIS_USERS
[查看/编辑]
应用到[只有该文件夹]
权限:
创建文件/写入数据
读取权限
并去掉继承

在将C:/WINNT/SYSTEM32/目录下的所有文件夹权限设置为[SYSTEM/管理员]并去掉继承

在将SYSTEM32目录下文件夹权限设置为如下

C:/WINNT/system32/inetsrv/
IIS_USERS:
读取及运行
列出文件夹目录
读取
去掉继承

C:/WINNT/system32/inetsrv/iisadmpwd/
C:/WINNT/system32/inetsrv/MetaBack/
C:/WINNT/system32/inetsrv/iisadmin/
C:/WINNT/system32/inetsrv/Data/
SYSTEM/管理员:完全控制并去掉继承

C:/Program Files/Common Files/System/
IIS_USERS:
读取及运行
列出文件夹目录
读取
并去掉继承

如果安装了瑞星杀毒就需要做如下操作
C:/Program Files/Rising/Rav/
RavScrch.dll文件设置权限为
IIS_USERS:
读取及运行
读取

如果安装了卡巴杀毒就需要做如下操作
C:/Program Files/Kaspersky Lab/Kaspersky Anti-Virus Personal Pro/
scrchpg.dll文件设置权限为
IIS_USERS:
读取及运行
读取

还有一些杀毒软件也把IIS的vbscript.dll文件替换为杀毒软件自带的vbscript.dll文件了,如果使用其它杀毒软件也替换了IIS的vbscript.dll文件就需要将替换的vbscript.dll文件权限设置为
IIS_USERS:
读取及运行
列出文件夹目录
读取

2.文件权限
将SYSTEM32目录下的文件权限设置为[SYSTEM/管理员]完全控制并去掉继承
at.exe
cmd.exe
command.com
cacls.exe
cscript.exe
debug.exe
ftp.exe
tftp.exe
net.exe
net1.exe
netsh.exe
nbtstat.exe
netstat.exe
quser.exe
regsvr32.exe
hostname.exe
wscript.exe
ping.exe
pathping.exe
ipconfig.exe
iisreset.exe
logoff.exe
setreg.exe
setpwd.exe
telnet.exe
在将以下文件权限设置为SYSTEM和管理员并去掉继承
C:/WINNT/system32/wshom.ocx
C:/WINNT/system32/wshext.dll
C:/WINNT/system32/scrrun.dll [可选他对应的是FSO]

3.注册表设置
删除或改名注册表中以下项及相关classid值
WScript.Shell
WScript.Shell.1
WSCRIPT.NETWORK
WSCRIPT.NETWORK.1
Shell.application
Shell.application.1

4.卸载组件对象
在CMD中执行
卸载wscript.shell对象
regsvr32 /u wshom.ocx
regsvr32 /u wshext.dll
卸载FSO对象[可选但推荐卸载]
regsvr32 /u %windir%/system32/scrrun.dll

5.IISWEB站点目录权限设置
建立一个新IISWEB站点,在建立一个新用户例如IIS_USER0001将IIS_USERS组添加此用户的隶属于里注意此用户隶属于里只可以有IIS_USERS组其他组都删掉,在找到对应的IISWEB站点目录例如在D:/www/test001/将此目录给予权限为IIS_USER0001:读取/写入,在到IIS的匿名访问使用帐号里将内制用户修改为IIS_USER0001用户,在删除IIS扩展名映射,右键单击[Web站点→属性→主目录→配置],打开应用程序窗口,去掉所有映射只保留ASP/ASA就可以了,要对每个站点都要删除这些映射,OK,多个站点使用同上的方式来对多个站点进行权限设置.

6.默认站点设置
安装IIS后会有个默认站点,如果使用默认站点做网站就需要将默认站点自带的所有虚拟目录删掉如下虚拟目录.
Scripts
IISHelp
IISAdmin
IISSamples
MSADC
Printers

本设置在Windows2000 Server下进行测试

权限设置后可以正常运行ASP程序我也测试了一些ASP程序,动易2005SP2,DVBBS7.1,BBSXP6.0,6KBBS7.0,等其他ASP程序都可以正常运行.