搭建網(wǎng)站iis清單權(quán)限設(shè)置說明(編輯修改稿)
2025-05-04 21:38 本頁面
【文章內(nèi)容簡介】 破壞者可通過試探和錯誤信息來猜測出文件名。啟用索引資源：如果打算讓客戶端搜索目錄資源，請確保啟用了索引服務(wù)。保護(hù)腳本代碼如果在發(fā)布目錄中有一些不想讓客戶端看到的腳本文件，您可以通過不授予“腳本資源訪問”權(quán)限來拒絕訪問?？蓤?zhí)行文件將作為靜態(tài) HTML 文件處理，除非為該目錄啟用了“腳本和可執(zhí)行文件”。要阻止 .exe 文件下載并作為 HTML 文件來查看，但允許其運(yùn)行，可在發(fā)布目錄的“虛擬目錄”屬性頁中，將執(zhí)行權(quán)限更改為“腳本和可執(zhí)行文件”。這一權(quán)限級別使所有可執(zhí)行文件受“腳本資源訪問”設(shè)置的影響。換句話說，如果選中了“腳本資源訪問”，有讀取權(quán)限的客戶端可以看到所有的可執(zhí)行文件；有寫入權(quán)限的客戶端既可運(yùn)行它們，也可以編輯它們。使用下面的權(quán)限，客戶端可以在未出現(xiàn)在應(yīng)用程序映射中的可執(zhí)行文件中寫入信息：已授予寫入權(quán)限。執(zhí)行權(quán)限設(shè)置為“純腳本”。使用下面的權(quán)限，客戶端可以向任何可執(zhí)行文件中寫入信息，不論它們是否出現(xiàn)在應(yīng)用程序映射中：已授予“腳本資源訪問”權(quán)限。執(zhí)行權(quán)限設(shè)置為“腳本和可執(zhí)行文件”。讓我們打開一個IIS服務(wù)器來看看。在IIS 服務(wù)管理器中，選擇一個目錄，看他的屬性，在目錄屬性項有有這么一些選項（日志訪問和索引此資源不計）：腳本資源訪問： 對網(wǎng)站的腳本可以讀取原文件。讀取 讀取目錄里面的靜態(tài)資源。寫入 用戶可以建立以及刪除資源目錄瀏覽 用戶可以瀏覽目錄內(nèi)容。應(yīng)用程序設(shè)置的執(zhí)行許可中有三個選項：無 只能訪問靜態(tài)頁面純腳本 只允許允許腳本 如ASP腳本腳本和可執(zhí)行程序 可以訪問和執(zhí)行各種文件類型那么，如何確定服務(wù)器上面的這些開關(guān)設(shè)置呢？ 別著急，一個一個來。執(zhí)行權(quán)限 如何確定某個目錄是否開了執(zhí)行權(quán)限呢？很簡單，向服務(wù)器發(fā)送一個下面得請求：://iisserver/dir/ /dir/為要判斷得目錄，服務(wù)器上面沒有這個文件。服務(wù)器對我們得請求會返回一個信息。如果返回的是一個500錯誤：HTTP 500 內(nèi)部服務(wù)器錯誤 （Internal Server error）那么就說明這個目錄的執(zhí)行權(quán)限是開著的。 對于服務(wù)器，能不開執(zhí)行權(quán)限的就不要開。特別是虛擬目錄的執(zhí)行權(quán)限，大家想一想UNICODE和二次解碼漏洞的利用過程就明白了。如果服務(wù)器返回的是一個 404 錯誤：HTTP 404 未找到文件，那么就說明這個目錄的執(zhí)行權(quán)限沒有開。寫權(quán)限測試一個目錄對于web用戶是否具有寫權(quán)限，采用如下方法：telnet 到服務(wù)器的web端口(80)并發(fā)送一個如下請求： PUT /dir/ HTTP/Host: iis
公司管理相關(guān)推薦
鄂ICP備17016276號-1