WEB服务器安全设置与IIS实战指南

"这篇文档详细介绍了WEB专用服务器的安全设置实战技巧，主要针对IIS服务器进行了一系列的优化和安全加固措施，旨在提升服务器的安全性，防止潜在的攻击和数据泄露。" 在WEB专用服务器的安全设置中，IIS服务器的管理至关重要。首先，为了消除潜在的安全风险，文档建议删除默认建立的站点的虚拟目录，并停止默认的web站点，同时移除对应的文件目录，例如c:inetpub。这样可以避免未授权的访问和默认配置带来的漏洞。 接着，配置所有站点的公共设置是关键步骤，包括设置合适的连接数限制以防止DDoS攻击，设定带宽限制以控制服务器资源使用，以及调整性能设置以优化服务器响应速度。此外，文档还强调了配置应用程序映射的重要性，应该删除所有不必要的应用程序扩展，仅保留如asp、php、cgi、pl和aspx等必要的扩展。对于php和cgi，推荐使用ISAPI方式解析，以提高安全性和性能。 在用户程序调试方面，为了保护服务器信息不被轻易获取，应设置发送文本错误信息给用户，而不是详细的错误堆栈，这样可以避免暴露服务器内部信息。对于数据库安全，文档建议使用mdb作为数据库文件的后缀，并在IIS中设置mdb的扩展映射，绑定到一个无关的dll文件，防止数据库文件被直接下载。 日志管理同样不容忽视，应设定IIS日志保存目录并调整日志记录信息，以便于追踪异常活动。设置发送文本错误信息能进一步增强安全性。此外，修改403错误页面，将其重定向到其他页面，可以防止恶意扫描器的探测。为隐藏服务器系统信息，可以通过修改IIS的banner信息，减少通过telnet到80端口暴露的系统版本信息。 在用户站点的目录结构上，推荐将wwwroot、database和logfiles分别用于存储站点文件、数据库备份和日志。在遭受入侵时，可以针对性地设置各目录的权限。例如，图片目录仅允许列目录，程序目录如果不需要生成文件则不应赋予写入权限。考虑到虚拟主机环境，对脚本的安全管理可能有限，但可以通过卸载WScript.Shell、Shell.application和WScript.Network组件来防止ASP木马执行命令和查看敏感信息。 这份文档提供了全面的WEB服务器安全策略，涵盖了从基础配置到高级防护的各种措施，是确保IIS服务器安全的重要参考。通过这些实践技巧，可以显著提升服务器的安全等级，降低被攻击的风险。