提高IIS的安全性
2024-08-29 03:13:15
供稿：網友
概要：使用IIS的省缺設置就象把你屋子的鑰匙給了別人，本文教你如何把門鎖上.
沒有任何系統是100%安全的，系統漏洞會不斷地發現，這是因為黑客和系統治理員一樣也在整天看著新聞組，收集著這方面的信息。黑與反黑之間的戰斗會永遠進行下去。
假如你采用IIS的省缺設置，那你在這場較量中就已經處于下風。Windows NT省缺下被安裝為一個開放的服務器，即使是菜鳥hacker也能得手。但只要你做下面幾個簡單步驟，情況就會有很大改善。雖不敢說攻無不克，至少可以保護你的數據不象小克的拉鏈門一樣世人皆知。
一個安全的系統要有多層保護。一般的計算機系統有三層保護，物理層，網絡層，文件系統。物理層就是保護好計算機硬件本身，硬盤，軟盤不被偷走，這就不用我多說了。網絡層是要保護與Internet和本地LAN的網絡連接，主要是靠防火墻和端口的存取權限設置。最里面的是文件系統，這也是大多數攻擊的目標。下面我們主要也就講這方面。
省缺設置的問題
NT省缺設置成一個開放系統，文件系統是幾乎完全沒有安全設置的，網絡上的任何用戶都可以讀寫刪除其中的文件。這主要原因是NT中大量使用了 Everyone 組（更可怕是省缺給 full權限），理論上，地球上任何用戶都屬于everyone組。相比之下，NetWare就設置為一個封閉的系統，安全性就好很多。為什么Microsoft要做這種蠢事？原因可能是給最大權限可以減少許多因為權限問題帶來的技術支持電話吧。（是這樣嗎？）
IIS同樣也有很多問題。安裝IIS時，系統建立一個前綴是IWAM_（早期版本是IUSR_)的帳戶，該帳戶屬于Guest組，能夠存取Guest組和Everyone組權限下的所有文件。在省缺安裝下，90%的系統文件可以被該用戶訪問。
看來解決方法就是刪除所有的everyone組權限了，但實際上這樣做行不通。因為IIS不僅要存取HTML文件，還會調用Script和ActiveX控件，還涉及到DLL的執行，全部取消Everyone組權限會使系統出現這樣那樣的問題。所以要使用一些系統安全工具來一步步做。
系統安全工具
熟悉以下NT系統自帶的安全工具是很重要的：
User Manager（usrmgr.exe)
IIS 4.0: Microsoft management console (MMC.EXE)
IIS 3.0: Internet service manager (INETMGR.EXE)
Registry editor (REGEDT32.EXE)
(介紹省略，不相信你沒用過）
Command line ACL editor (CACLS.EXE)
這個工具可能知道的人不多，也是NT自帶，用于治理access control list(ACL)。
Control panel, system applet
該工具用于治理系統環境變量。
步驟一：使用專用的Web組
1 用user manager建立一個名為WWW的本地組
2 將IWAM_賬號從Guests組中刪除，加入WWW組
3 賦予WWW組“access this computer from the network”權限，讓IIS能執行一個本地登錄操作
4 重起WWW服務
5 在Web根目錄下執行命令行操作：
CACLS <DIR>/*.* /T /E /C /G WWW:R
參數 Meaning
<DIR>/*.* Web根目錄。在 With IIS 4.0 中通常是 C:/Inetpub/WWWRoot.
/T 作用于所有的目錄和子目錄
/E 編輯ACL，不是替換
/C 有錯誤停止執行.
/G WWW:R 賦予WWW組Read權限
這樣Web目錄下的所有文件都承認WWW組的讀權限了。別忘了在其他包含Web內容的目錄下執行這個命令（主要是虛擬目錄）
步驟二：刪除Everyone組
完成以上操作后，Internet用戶只能看所答應的文件了。但這還不夠，因為everyone組還存在，現在需要將everyone組從計算機中的所有文件中清除出去。
但清除everyone組不象想象的那么簡單。省缺下，許多Microsoft DLL文件在ACL中之只列了everyone組。假如一桿子打到底，這些DLL文件就無人可以訪問了。因為一刪除everyone組，ACL就空了，空的ACL意味著任何訪問者都沒有權限。執行以下命令：
