虽说IIS的安全性不如apache,但是它的操作要比apache简单的多,而且安全性是可以通过科学合理的设置来提高的。IIS6.0的权限主要有两个地方,一是IIS安装的根目录访问权限;二是默认网站的主目录的权限。
IIS6.0根目录访问权限设置
首先主目录不能允许everyone可以访问,另外对于匿名用户所对应的Internet来宾账号(IUSR_xxxxxxx)不能给予过高的权限。
IIS面板—右键默认网站—权限
IIS根目录权限,注意看是不要有everyone的权限,其他的用户除了Administrators和system也不要给太高的权限,如来宾账户,IISWPG;
IIS6.0主目录设置
IIS面板—默认网站—右键属性—主目录
主目录设置平时都见得多,下面主要分析下这些权限的功能及作用
(1)脚本资源访问
具有该权限,客户端就可以浏览网页的源代码,所以这项权限一般不启用。
(2)读取
这是一项基本权限,具有该权限,客户端才可以浏览网页。
(3)写入
具有该权限,客户端就可以上传或修改网页,一般不启用。
(4)目录浏览
具有该权限,客户端就可以浏览某个目录中的网页文件,一般不启用。
(5)记录访问、索引资源
这两项权限跟安全性关系不大,一般都是默认打勾的。
(6)“无”权限
目录没有任何执行权限,客户端就无法在目录中执行脚本文件,而只能浏览静态网页或图片。
对于网站中的上传目录,一定要将其执行权限设为“无”,这样黑客即使上传了ASP等脚本程序或者exe程序,也不会在用户浏览器里触发执行。
(7)“纯脚本”权限
客户端可以在目录中执行脚本文件,但是不能执行exe可执行程序。
对于ASP或PHP脚本文件所在目录应给予“纯脚本”的执行权限。
(8)纯脚本和可执行程序
客户端可以执行任意程序,包括exe可执行程序,如果目录同时有“写入”权限的话,那么就很容易被人上传并执行木马程序了。所以这项执行权限一般很少设置。