1. 適用情況

適用于使用IIS7進行部署的Web網站。

2. 技能要求

熟悉IIS配置操作，能夠利用IIS進行建站，并能針對站點使用IIS進行安全加固。

3. 前置條件

1、 根據站點開放端口、進程ID、確認站點采用IIS進行部署；

2、 啟用IIS

方法一：按Win鍵+R打開Windows運行，輸入inetmgr,回車即可打開；

方法二：開始->管理工具->Internet 信息服務(IIS)管理器。

4. 詳細操作

4.1 限制目錄執行權限

1、在IIS中設置需要上傳文件的目錄，雙擊處理程序映射

2、在處理程序映射中，把編輯功能權限中的腳本去掉，這樣即使上傳了木馬文件在此目錄，也是無法執行的。

4.2 開啟日志審計

1、打開IIS管理工具，選擇需要設置日志的站點，切換到功能視圖，雙擊日志，進入日志配置界面。

2、默認情況下Web日志存放于系統目錄" %SystemDrive%inetpublogsLogFiles"，將Wb日志文件放在非網站目錄和非操作系統分區，并定期對Web日志進行異地備份。

雙擊日志，可進行日志屬性的設置如下圖：

4.3 自定義404錯誤頁面

1、選擇站點，在功能視圖頁面，雙擊錯誤頁，進入錯誤頁配置頁面：

2、選擇404狀態代碼，進入自定義錯誤頁編輯狀態：

4.4 最佳經驗實踐

4.4.1 防止.mdb數據庫文件被下載

很多網站都是使用的是asp+access數據庫，mdb路徑可能被猜解，數據庫很容易就被別人下載了，利用IIS設置可有效防止mdb數據庫被下載。

步驟一：在 C:WindowsSystem32inetsrvconfig目錄下找到applicationHost文件；

步驟二：打開applicationHost文件，選擇requestFiltering 下的節點： <add fileExtension=".mdb" allowed="false" />，修改allowed的值為“false”，mdb文件不能被下載。

步驟三：保存后，即無法下載.mdb數據庫文件。

4.4.2 訪問源IP限制

在條件允許的條件下，對IIS訪問源進行IP范圍限制。只有在允許的IP范圍內的主機才可以訪問WWW服務。常用于限制網站管理后臺對外開放。

1、開始->管理工具->Internet 信息服務(IIS)管理器 選擇相應的站點目錄，然后在功能視圖中找到IP地址和域名限制，雙擊IP地址和域名限制進入設置。

2、在IP地址和域限制中，添加允許條目

4.4.3 關閉WebDAV

開始->管理工具->Internet 信息服務(IIS)管理器， 選擇一個站點，在功能視圖中找到WebDAV創作規則，雙擊 WebDAV創作規則，進入設置：

2、在WebDAV創作規則中，選擇禁用WebDAV

4.4.4 關閉目錄瀏覽

開始->管理工具->Internet 信息服務(IIS)管理器 選擇相應的站點目錄，然后在功能視圖頁面找到“目錄瀏覽”，雙擊進入目錄瀏覽設置頁面：

2、在最右邊，操作欄進行“禁用”，即可禁用目錄瀏覽

4.4.5 關閉FTP匿名訪問

開始->管理工具->Internet 信息服務(IIS)管理器 點擊WIN-主機名后在中間位置FTP欄找到FTP身份驗證，雙擊進入；

右鍵匿名身份驗證->禁用，即可關閉FTP匿名訪問

4.4.6 解決IIS短文件名漏洞

1、打開Internet 信息服務(IIS)管理器，選擇站點，在功能視圖界面，雙擊請求篩選

2、在URLà添加拒絕序列àURL序列設置為【~】

4.5 風險操作項

4.5.1 停用或刪除默認站點

IIS安裝后的默認主目錄是“C:inetpubwwwroot”，為更好地抵抗踩點、刺探等攻擊行為，應該更改主目錄位置，禁用默認站點，新建立站點并進行安全配置。

開始->管理工具->Internet 信息服務(IIS)管理器 選擇相應的站點，然后右鍵站點，選擇停止或者刪除。

4.5.2 刪除不必要的腳本映射

打開IIS服務管理器，選擇需要設置的站點，找到“處理程序映射”雙擊，從列表中刪除以下不必要的腳本。

包括 .asa .cer .cdx .idq .htw .ida .shtml .stm .idc .htr .printer等。

刪除的原則：只保留需要的腳本映射。

根據需要可以在已經存在的腳本上點擊右鍵進行編輯和刪除，也可以自定義添加映射。

4.5.3 設置最大并發連接數

打開IIS服務管理器，選擇需要設置的站點，點擊瀏覽網站下的“高級設置“，打開高級設置對話框，切換到“連接限制”選項卡，設置連接限制，包括最大并發連接數等的設置。

4.5.4 獨立站點帳戶

在Windows server 2008R2系統下，用IIS架設Web服務器，合理的為每個站點配置獨立的Internet來賓賬號，這樣可以限制Internet 來賓賬號的訪問權限，只允許其可以讀取和執行運行網站所的需要的程序。

1. 選中“我的電腦”右鍵，選擇“管理”，打開“計算機管理”，選擇“本地用戶和組”，然后點擊“用戶”，接著“右鍵”，新建一個用戶，如下圖：

最后點擊“創建”，完成用戶創建。

2. 刪除新建立的用戶屬的用戶組“USERS”,然后點擊“添加”，讓用戶屬于Guests組，如下圖：

3、網站設置獨立運行用戶，加強網站安全

4.5.5 獨立應用程序池

給網站設置獨立運行的程序池，這樣每個網站與錯誤就不會互相影響：

4.5.6 卸載不需要的IIS角色服務

開始－>管理工具－>服務器管理器”雙擊“角色”，在右邊最下方可以看見角色服務,點擊““刪除角色服務”，可對不需要的IIS角色服務進行刪除。

最后

歡迎關注個人微信公眾號：Bypass--，每周原創一篇技術干貨。

1、打開Internet 信息服務(IIS)管理器，選擇站點，在功能視圖界面，雙擊請求篩選 2、在URLà添加拒絕序列àURL序列設置為【~】

總結

以上是生活随笔為你收集整理的【中间件安全】IIS7.0 安全加固规范的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。