云服务器

本文基于Windows 2008下使用IIS7部署的web服务器,对IIS7的各项配置进行实战分析,以提高基于此环境下的WEB服务器的安全性,以下是本人对IIS服务的配置经验总结,供大家探讨。

【关键词】IIS安全;WEB服务器安全

1磁盘及文件夹设置

为提高系统下数据的安全性,服务器文件格式一律划分为NTFS格式,这样可以更好的配置磁盘的各种访问权限。一般情况下,各个分区都只赋予administratorssystem权限,删除其他用户的访问权限,以保证拒绝任何未授权用户的访问。

2为站点建立相应的用户。

每个站点都使用?门建立的用户来进行权限分配,可以保证各个站点间是独立的,被隔离开的,不会互相影响的。

此类用户包含为站点建立用于匿名访问的用户和为用于应用程序池运行的用户。匿名访问用户属于GUEST组,应用程序池运行用户属于IIS_IUSRS组。

操作方法:右键点击我的电脑中,选择管理。选择本地用户和组窗格中,右键单击用户,选择新用户。在新用户对话框中,设置用户名密码并勾选用户不能更改密码密码永不过期,然后单击确定

选择创建好的用户,右键单击用户名,选择属性,设置用户到相应的组即可。

3站点使用独立的应用程序池

每个站点使用的应用程序池应该是独立的,以便资源的合理分配,并且都以独立的标识账户运行,在出现异常情况时也不会互相影响。

操作方法:

1)打开“IIS信息服务管理器,右键单击应用程序池,选择新建应用程序池,填上名称,确定。

2)单击此应用程序池,在操作栏中选择高级设置,将进程模型标识选择为之前创建的应用程序池运行用户。

3)单击需要配置的网站,在操作栏中选择高级设置,应用程序池选择为上一步创建的应用程序池。

4启用匿名身份验证

网站目录下所有文件启用匿名身份验证,便于用户可以匿名访问?站,并将之前建立的用户分配到该网站。

操作方法:

1)在功能视图中双击身份验证,右键单击匿名身份验证,选择启用

2)单击该网站,在功能视图中双击身份验证,右键单击匿名身份验证,选择编辑匿名身份验证,并选择匿名用户标识为之前建立的用于匿名访问的用户。

注:需要赋予该匿名用户对此网站目录及文件相应的访问权限。

5启用基本身份验证

为保护指定目录不被匿名用户访问,需要启用基本身份验证,此项需要关闭指定目录的匿名用户访问权限。

操作方法:

1)在功能视图中选择身份验证,右键单击匿名身份验证,选择禁用匿名身份验证。

2)在功能视图中双击身份验证,右键单击基本身份验证,选择启用并编辑基本身份验证,为基本身份认证配置拥有访问权限的用户。

6取消上传目录的执行权限

网站程序正常运行所需的权限并不是完全一样的,可以在IIS中对网站目录进行针对设置,一般目录设置为读取,满足访问、浏览即可;需要上传文件的目录,在设置了写入权限后,可以将目录的执行权限去掉。这样即使上传了木马文件在此目录,也是无法执行的。

操作方法:选中网站的上传文件夹,选择处理程序映射编辑功能权限,取消脚本和执行功能。

7基于IP地址或域名授予访问权限和拒绝访问。

IIS 7中,默认情况下所有Internet协议(IP)地址、计算机和域都可以访问我们的站点。为了增强安全性,我们可以创建向所有IP地址(默认设置)、特定IP地址、IP地址范围或特定域授予访问权限的允许规则,以此来限制对站点的访问。

注:IP地址限制只适用于IPv4地址。

功能视图中,双击“IPv4地址和域限制

操作窗格中,单击添加允许条目

添加允许限制规则对话框中,选择特定IPv4地址“IPv4地址范围域名,接着添加IPv4地址、范围、掩码或域名,然后单击确定

8配置url授权规则。

我们可以允许或拒绝特定计算机、计算机组或域访问服务器上的站点、应用程序、目录或文件。通过配置URL授权规则,可以配置为指定组的成员访问受限内容。

操作方法:

1)在功能视图中,双击授权规则。在操作窗格中,单击添加允许规则

2)在添加允许授权规则对话框中,可以选择所有用户所有匿名用户指定的角色或用户组指定的用户其中之一。

此外,如果要进一步规定允许访问相应内容的用户、角色或组只能使用特定HTTP谓词列表,则还可以选中将此规则应用于特定谓词。请在对应的文本框中键入这些谓词。

9配置ISAPICGI限制

默认情况下,存在多种文件扩展名均可在Web服务器上运行,为了降低此风险,应只允许您具有的那些特定ISAPI扩展或CGI文件在Web服务器上运行。

操作方法:

1)在功能视图中,双击“ISAPICGI限制。在操作窗格中,单击添加?

2)在添加ISAPICGI限制对话框的“ISAPICGI路径文本框中键入该.dll.exe文件的路径,或者单击浏览按钮(...)导航至该文件的位置。

描述文本框中,键入有关限制的简要描述。

3)选中允许执行扩展路径,以允许限制自动运行。如果未选中此选项,限制的状态将默认为不允许。以后,您可以通过选择限制并在操作窗格中单击允许来允许该限制。

10结束语

通过上述配置,使用独立的匿名访问用户和应用程序池用户,杜绝了各网站之间相互影响的隐患。并为网站目录设置权限,防止上传的木马文件执行。在多次实践和测试中,证明上述操作是易于实现而又行之有效的,可以提高IIS服务器在运行中的安全性,从而保障网站的正常运行。


提交成功!非常感谢您的反馈,我们会继续努力做到更好!

这条文档是否有帮助解决问题?

非常抱歉未能帮助到您。为了给您提供更好的服务,我们很需要您进一步的反馈信息:

在文档使用中是否遇到以下问题: