安全配置IIS服務器

在Windows服務器上，IIS服務組件是使用率最高的，在其支持下可以讓網站順利運作。在Internet信息服務器窗口左側的“網站”節(jié)點下可以看到默認的站點，該站點可以停用但切勿刪除，否則會造成IIS運行不穩(wěn)定。對于常用的IIS 6.0來說，在默認狀態(tài)下，其上傳的文件體積被限制在200KB以下，為了解除這一限制，可以先在CMD窗口中執(zhí) 行“net stop IISADMIN”命令，暫停IIS服務。進入“C:WindowsSystem32inetsrv”文件夾，使用記事本打開其中的“metabase.xml”文 件，將 其 中 的“ASPMax RequestEntityAllow” 的 值修改為從204800字節(jié)修改為更大的數值（例如2048000字節(jié)等）。之后運行“net start IISADMIN”命令重啟IIS服務即可。

在Internet信息管理器窗口左側的“網站”節(jié)點的右鍵菜單上點擊“添加網站”項，在彈出窗口（如圖6所示）中輸入網站名稱，點擊瀏覽按鈕，選擇網站目錄。在本例中，該目錄應該選擇針對每個FTP用戶文件夾下的“www”目錄。在“綁定”欄中選擇網站類型，IP地址以及和端口號，為了便于區(qū)分不同的站點，在“主機名”欄中輸入網站域名，如果此處為空，表示只能建立一個網站，當建立第二個網站時，系統(tǒng)就會提示端口已經被占用。

在Internet信息管理器窗口左側左側選擇該網站，在其右鍵菜單中點擊“編輯權限”鏈接，在彈出窗口中的“安全”面板中點擊“編輯”按鈕，在彈出窗口中可以為不同的賬戶設置合適的權限，例如對于Everyone賬戶來說，應該只為其指派讀取權限，為了安全起見，沒有需要的話最好不要選擇寫入和執(zhí)行等權限。當創(chuàng)建好網站后，需要對其進行合理配置，選擇目標網站窗口中部雙擊“日志”項，在日志記錄屬性窗口中的“目錄”欄中點擊“瀏覽”按鈕，針對不同的FTP用戶文件夾，選擇其中的“l(fā)ogfiles”目錄，用來存儲日志文件。

在窗口中部雙擊“處理程序映射”項，在窗口中部可以管理映射信息，為了安全起見，最好只保留針對asp，asa，aspx等文件類型的映射關系。當然，可以手工添加新的映射項目。例如對于ASP+Access網站結構來說，點擊“添加腳本映射”鏈接，點擊瀏覽按鈕，選擇解析“.MDB”的程序，該程序可以隨便選擇，當然不能選擇“asp.dll”文件即可。這樣做的好處在于可以防止別人隨意下載MDB數據庫。選擇“C:Windows”路勁 下 的“vmmreg32.dll”文件，在“請求路徑”欄中輸入“.mdb”。點擊“請求設置”按鈕，在“謂詞”面板中的選擇“下列謂詞之一”項，輸入“GET,HEAD,POST,TRACE”。點擊確定按鈕，完成該映射的創(chuàng)建操作。

圖6 創(chuàng)建網站項目

圖7 自定義錯誤信息

當IIS服務出錯時，如何向客戶端發(fā)送不含敏感信息的錯誤信息呢？例如，在窗口中部雙擊“ASP”項，在“調試”節(jié)點（如圖7所示）中的“將錯誤發(fā)送到瀏覽器”列表中選擇“True”項，在“腳本錯誤信息”欄中輸入具體的信息內容。這樣，可以有效防止黑客執(zhí)行暴庫操作，當網站出錯后會顯示預設的信息，而不會顯示包含敏感信息的提示信息。否則，當黑客執(zhí)行探測操作時，可能會根據網站的提示信息發(fā)現數據庫的類型甚至是數據庫文件路徑。

在“啟用父路徑”欄中選擇“True”項，表示啟用ASP的父路徑功能，避免有些網站無法運行的問題。此外，在IIS7中只能調試ASP程序，但是無法對ASP＋Acess數據庫結構的網站進行測試，其原因是目錄權限問題，打開“c:windowsserviceprofiles etworkserviceappdatalocal”文件夾，注意其中的“Appdata”是隱藏文件夾，在其中選擇“Temp”文件夾，在其右鍵菜單上點擊“屬性”項，在其屬性窗口中打開“安全”面板，點擊“編輯”按鈕打開“編輯權限”窗口，點擊“添加”按鈕，在“選擇用戶或組”窗口中的“輸入對象名稱來選擇”欄中輸入“A”，點擊確定按鈕，系統(tǒng)即可自動列出所有帶有“A”字符的賬戶名稱，在其中選擇“Athenticated Users”賬戶，點擊確定按鈕后“TEMP”目錄權限就設置好了，之后就可以調試上述ASP程序了。

在窗口中部雙擊“錯誤頁”項，可以顯示所有的錯誤頁處理項目，我們應根據需要對其進行刪除和添加操作。當然，針對不同的錯誤類型，可以自己手動設計一個HTM網頁文件，在其中輸入所需的提示信息。在錯誤信息列表中雙擊對應的項目，點擊“設置”按鈕，在彈出窗口（如圖8所示）中點擊“瀏覽”按鈕，選擇具體的路徑，在“相對文件路徑”欄中輸入對應的HTM提示文件名即可。為了便于Web匿名訪問，在窗口中部雙擊“身份驗證”項，選擇并激活“匿名身份驗證”項，點擊“編輯”鏈接，設置與該網站目錄對應的FTP賬戶的名稱和密碼。為了讓網站順利運行，可以在窗口左側點擊“應用程序池”項，在中部雙擊對應網站名稱，在彈出窗口中選擇“ASP.NET v2.0.50727” 和“經典”項即可。

圖8 編輯錯誤頁參數

為了提高安全性和穩(wěn)定性，在IIS7中會自動將各個網站進行隔離，也就是為每個網站配置相應的應用程序池。對于IIS 6.0來說，就需要手工為每個網站分配一個應用程序池。如果網站數量眾多，則可以采用分組的形式，每個組中的所有網站共處同一個應用程序池。首先創(chuàng)建應用程序池安全性賬戶（例如usrchi等），該賬戶必須隸屬于IIS_WPG組。在上述FTP主目錄中選擇對應的網站文件夾，在其屬性窗口中的“安全”面板中刪除其它賬戶或者組，而只讓該賬戶擁有對該文件夾的讀取權限。這樣，該賬戶就獲得了各個網站文件夾的讀取權限。

進入IIS管理控制臺，在“應用程序池”的右鍵菜單上點擊“添加應用程序池”項，在添加新應用程序池窗口中輸入其ID標識信息，例如“xxx.cn”。在該ID名的右鍵菜單上點擊“高級設置”項，在彈出窗口中的“標識”欄中點擊瀏覽按鈕，找到上述iischi賬戶，輸入其賬戶名和密碼，點擊確定按鈕，完成該應用程序池的創(chuàng)建操作。按照上述方法，可以創(chuàng)建多個應用程序池。接著在IIS管理器中選擇目標網站，在其屬性窗口中的“主目錄”面板中的“應用程序池”列表中選擇對應的應用程序池ID即可。

當網站運行一段時間后，主機CPU以及內存資源如果不能及時釋放的話，就會導致服務器響應緩慢的問題。應用程序池默認每個29小時進行進程的回收，由于時間較長，我們需要及時回收這些資源，來更好的發(fā)揮服務器性能。例如在IIS 7中，在對應應用程序池的高級設置界面中的“回收”→“特定時間間隔”欄中點擊選擇按鈕，來設置對應的回收時間。對IIS 6來說，在應用程序池屬性窗口中選擇“在下列時間回收工作進程”項，點擊“添加”按鈕，設置合適的時間點，對系統(tǒng)資源執(zhí)行回收操作，建議最好在夜間（例如凌晨2點）進行回收，這主要是夜間網站訪問量較少，對資源的回收不會影響網站的訪問速度。