因為IIS(即Internet Information Server)的方便性和易用性，使它成為最受歡迎的Web服務(wù)器軟件之一。但是，IIS的安全性卻一直令人擔(dān)憂。如何利用IIS建立一個安全的Web服務(wù)器，是很多人關(guān)心的話題。

一、構(gòu)造一個安全系統(tǒng)

要創(chuàng)建一個安全可靠的Web服務(wù)器，必須要實現(xiàn)Windows 2000和IIS的雙重安全，因為IIS的用戶同時也是Windows 2000的用戶，并且IIS目錄的權(quán)限依賴Windows的NTFS文件系統(tǒng)的權(quán)限控制，所以保護IIS安全的第一步就是確保Windows 2000操作系統(tǒng)的安全：

(1) 使用NTFS文件系統(tǒng)

使用NTFS文件系統(tǒng)，以便對文件和目錄進行管理。

(2) 關(guān)閉默認共享

打開注冊表編輯器，展開“HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet

Services\\LanmanServer\\Parameters”項，添加鍵值A(chǔ)utoShareServer，類型為REG_DWORD，值為0。 這樣就可以徹底關(guān)閉“默認共享”。

(3) 修改共享權(quán)限

建立新的共享后立即修改Everyone的缺省權(quán)限，不讓W(xué)eb服務(wù)器訪問者得到不必要的權(quán)限。

(4) 為系統(tǒng)管理員賬號更名

為系統(tǒng)管理員賬號更名，避免非法用戶攻擊。

鼠標右擊“我的電腦”→“管理”→啟動“計算機管理”程序，在“本地用戶和組”中，鼠標右擊“管理員賬號(Administrator)”→選擇“重命名”，將管理員賬號修改為一個很普通的用戶名。

(5) 禁用TCP/IP上的NetBIOS

鼠標右擊桌面上“網(wǎng)絡(luò)鄰居”→“屬性”→“本地連接”→“屬性”，打開“本地連接屬性”對話框。選擇“Internet協(xié)議(TCP/IP)”→“屬性”→“高級”→“WINS”，選中下側(cè)的“禁用TCP/IP上的NetBIOS”一項即可解除TCP/IP上的NetBIOS。

(6) 在TCP/IP上對進站連接進行控制

鼠標右擊桌面上“網(wǎng)絡(luò)鄰居”→“屬性”→“本地連接”→“屬性”，打開“本地連接屬性”對話框。選擇“Internet協(xié)議(TCP/IP)”→“屬性”→“高級”→“選項”， 在列表中單擊選中“TCP/IP篩選”選項。單擊“屬性”按鈕，選擇“只允許”，再單擊“添加”按鈕，只填入80端口。

(7) 修改注冊表

修改注冊表，減小拒絕服務(wù)攻擊的風(fēng)險。

打開注冊表：將HKLM\\System\\CurrentControlSet\\Services\\Tcpip\\Parameters下的SynAttackProtect的值修改為2，使連接對超時的響應(yīng)更快。

二、保證IIS自身的安全性

1.IIS安全安裝

要構(gòu)建一個安全的IIS服務(wù)器，必須從安裝時就充分考慮安全問題。

(1) 不要將IIS安裝在系統(tǒng)分區(qū)上。

(2) 修改IIS的安裝默認路徑。

(3) 打上Windows和IIS的最新補丁。

2.IIS的安全配置

(1) 刪除不必要的虛擬目錄

IIS安裝完成后在wwwroot下默認生成了一些目錄，包括IISHelp、IISAdmin、IISSamples、MSADC等，這些目錄都沒有什么實際的作用，可直接刪除。

(2) 刪除危險的IIS組件

默認安裝后的有些IIS組件可能會造成安全威脅，例如：Internet服務(wù)管理器(HTML)、SMTP Service和NNTP Service、樣本頁面和腳本，大家可以根據(jù)自己的需要決定是否刪除。

(3) 為IIS中的文件分類設(shè)置權(quán)限

除了在操作系統(tǒng)里為IIS的文件設(shè)置必要的權(quán)限外，還要在IIS管理器中為它們設(shè)置權(quán)限。一個好的設(shè)置策略是：為Web站點上不同類型的文件都建立目錄，然后給它們分配適當(dāng)權(quán)限。例如：靜態(tài)文件夾允許讀、拒絕寫，ASP腳本文件夾允許執(zhí)行、拒絕寫和讀取，EXE等可執(zhí)行程序允許執(zhí)行、拒絕讀寫。

(4) 刪除不必要的應(yīng)用程序映射

ISS中默認存在很多種應(yīng)用程序映射，除了ASP的這個程序映射，其他的文件在網(wǎng)站上都很少用到。

在“Internet服務(wù)管理器”中，右擊網(wǎng)站目錄，選擇“屬性”，在網(wǎng)站目錄屬性對話框的“主目錄”頁面中，點擊“配置”按鈕，彈出“應(yīng)用程序配置”對話框，在“應(yīng)用程序映射”頁面，刪除無用的程序映射。如果需要這一類文件時，必須安裝最新的系統(tǒng)修補補丁，并且選中相應(yīng)的程序映射，再點擊“編輯”按鈕，在“添加/編輯應(yīng)用程序擴展名映射”對話框中勾選“檢查文件是否存在”選項。這樣當(dāng)客戶請求這類文件時，IIS會先檢查文件是否存在，文件存在后才會去調(diào)用程序映射中定義的動態(tài)鏈接庫來解析。

(5) 保護日志安全

日志是系統(tǒng)安全策略的一個重要環(huán)節(jié)，確保日志的安全能有效提高系統(tǒng)整體安全性。

● 修改IIS日志的存放路徑

默認情況下，IIS的日志存放在%WinDir%\\System32\\LogFiles中，黑客當(dāng)然非常清楚，所以最好修改一下其存放路徑。在“Internet服務(wù)管理器”中，右擊網(wǎng)站目錄，選擇“屬性”，在網(wǎng)站目錄屬性對話框的“Web站點”頁面中，在選中“啟用日志記錄”的情況下，點擊旁邊的“屬性”按鈕，在“常規(guī)屬性”頁面，點擊“瀏覽”按鈕或者直接在輸入框中輸入日志存放路徑即可。

● 修改日志訪問權(quán)限，設(shè)置只有管理員才能訪問。

通過以上的一些安全設(shè)置，相信你的Web服務(wù)器會安全許多。