【正文】 CStatus\do_not_disable，并且 DWORD 值為 1?！　?duì)于無人參與的安裝，“DisableWebServiceOnUpgrade = false”項(xiàng)存在于無人參與的安裝腳本中?！　⊥ㄟ^組策略禁用 IIS：通過使用 Windows Server 2003 家族成員，域管理員可以禁止用戶在其計(jì)算機(jī)上安裝 IIS?！　∫跃哂械图?jí)訪問權(quán)限的帳戶運(yùn)行：IIS 工作進(jìn)程在訪問權(quán)限極少的用戶上下文中運(yùn)行。這大大減少了潛在攻擊的影響?！　√岣?ASP 的安全性：所有的 ASP 內(nèi)置功能總是以具有極少訪問權(quán)限的帳戶 IUSR_putername 運(yùn)行。　　運(yùn)行可執(zhí)行文件的限制：為了運(yùn)行系統(tǒng)文件夾中的大多數(shù)可執(zhí)行文件（如 ），您必須是 Administrators 組、LocalSystem、Interactive 或 Service 帳戶的成員。該限制限制了對(duì) Administrators 的遠(yuǎn)程訪問，因此匿名用戶無法運(yùn)行可執(zhí)行文件?！　⌒扪a(bǔ)程序管理：對(duì)于修補(bǔ)程序管理，管理員可在不中斷服務(wù)的情況下安裝最新的安全修補(bǔ)程序?！　∫阎臄U(kuò)展：IIS 只為對(duì)具有已知文件擴(kuò)展名的文件的請(qǐng)求提供服務(wù)。如果請(qǐng)求內(nèi)容的文件擴(kuò)展名未映射到已知的擴(kuò)展，則服務(wù)器拒絕請(qǐng)求?！　?nèi)容的寫保護(hù)：在默認(rèn)情況下，拒絕匿名用戶（以 IUSR_putername 帳戶運(yùn)行）對(duì) Web 內(nèi)容進(jìn)行寫入訪問?！　〕瑫r(shí)和限制：在 IIS 中，默認(rèn)設(shè)置是安全而主動(dòng)的，這樣可最大限度地減少因以前太寬松的超時(shí)和限制而造成的攻擊?！　∩陷d數(shù)據(jù)限制：管理員可以限制能上載到服務(wù)器的數(shù)據(jù)?！　【彌_區(qū)溢出保護(hù)：工作進(jìn)程會(huì)檢測(cè)緩沖區(qū)溢出,并在檢測(cè)到時(shí)退出程序?！　∥募?yàn)證：IIS 在將請(qǐng)求發(fā)送到請(qǐng)求處理程序（ISAPI 擴(kuò)展）之前會(huì)驗(yàn)證請(qǐng)求的內(nèi)容是否存在?！　∷饕Y源：該權(quán)限現(xiàn)在會(huì)在默認(rèn)情況下啟用?！　∧_本資源訪問：該權(quán)限允許訪問 ASP 頁腳本和其他腳本的“源代碼”，它是新增功能，且在默認(rèn)情況下被禁用。它可在選擇了“讀取”或“寫入”權(quán)限時(shí)可用。　　子驗(yàn)證：在新安裝的 IIS 中，在默認(rèn)情況下不再啟用。有關(guān)詳細(xì)信息，請(qǐng)參閱 匿名身份驗(yàn)證中的“使用子驗(yàn)證”部分?！　NC 身份驗(yàn)證：在此版本的 IIS 中，UNC 身份驗(yàn)證方法檢查是否有用戶憑據(jù)。詳細(xì)信息，請(qǐng)參閱 UNC 身份驗(yàn)證?！　⌒虏呗裕骸敖拱惭b IIS”策略已經(jīng)添加到 Windows Server 2003 產(chǎn)品家族中。該策略允許域管理員控制可以在域中哪些計(jì)算機(jī)上安裝 IIS。詳細(xì)信息， 請(qǐng)參閱 Windows 幫助中的組策略?！　ortezza：已取消了對(duì)該功能的支持?！　⌒阅堋　榱讼拗品峙浣o ASP 頁的內(nèi)存量，IIS 已經(jīng)將 AspScriptFileCacheSize 的默認(rèn)值設(shè)置為 250 個(gè) ASP 頁，并將 AspScriptEngineCacheMax 的默認(rèn)值設(shè)置為 125 個(gè)腳本引擎。在具有一組大量經(jīng)常請(qǐng)求的 ASP 頁的站點(diǎn)上，可以將 ASPScriptFileCacheSize 設(shè)置得更高一些。因?yàn)?ASP 頁的編譯比從緩存中檢索頁要慢很多，所以這會(huì)改善性能。在只具有少量經(jīng)常請(qǐng)求的 ASP 頁的站點(diǎn)上，可通過將該數(shù)字設(shè)置得小一些來節(jié)省內(nèi)存。 IIS 工具組件　　Windows NT Server 的協(xié)作數(shù)據(jù)對(duì)象 (CDONTS)：CDONTS 已從 Windows Server 2003 家族中刪除。如果 Web 應(yīng)用程序使用 CDONTS，則可以將它們轉(zhuǎn)換為 Microsoft 協(xié)作數(shù)據(jù)對(duì)象 (CDO)。CDONTS 中的大多數(shù)方法在 CDO 中都有相匹配的方法，但是名稱可能不同。有關(guān)平臺(tái)軟件開發(fā)工具包 (PSDK) 中 CDO 的參考資料，請(qǐng)參閱 MSDN Online 上的 Overview of CDO?！　∥窗惭b IIS 工具組件：Ad Rotator、Browser Capabilities、Content Linker、Content Rotator、Counters、Logging Utility、My Info、Page Counter、Status 和工具不隨 IIS 一起安裝。但是，如果您的 Web 服務(wù)器是從低版本的 IIS 升級(jí)的，則這些工具組件不會(huì)被刪除。您可以從 IIS 資源工具包中獲取工具組件 DLL 文件的副本。　　64 位 Windows Server 2003 家族上的 IIS　　在 64 位 Windows Server 2003 家族的操作系統(tǒng)上，IIS 作為 64 位應(yīng)用程序運(yùn)行。這意味著不能從 64 位 Windows Server 2003 家族的操作系統(tǒng)上的 IIS 調(diào)用 32 位應(yīng)用程序。例如，Jet 數(shù)據(jù)庫引擎將不能轉(zhuǎn)換為 64 位應(yīng)用程序，因此，不能使用 ActiveXamp。reg。 數(shù)據(jù)對(duì)象 (ADO) 從 ASP 頁打開 Microsoft Access 數(shù)據(jù)庫。但是，仍可以使用 ADO 訪問其他驅(qū)動(dòng)程序，如 SQL 和 Exchange。 IIS建立Web服務(wù)器時(shí)需注意的安全問題因?yàn)镮IS（即Internet Information Server）的方便性和易用性，使它成為最受歡迎的Web服務(wù)器軟件之一。但是，IIS的安全性卻一直令人擔(dān)憂。如何利用IIS建立一個(gè)安全的Web服務(wù)器，是很多人關(guān)心的話題。以Win2000系統(tǒng)為例，從以下幾個(gè)方面來設(shè)置可以有效的保障Web服務(wù)器的安全性：系統(tǒng)的安全要?jiǎng)?chuàng)建一個(gè)安全可靠的Web服務(wù)器，必須要實(shí)現(xiàn)Windows 2000和IIS的雙重安全，因?yàn)镮IS的用戶同時(shí)也是Windows 2000的用戶，并且IIS目錄的權(quán)限依賴Windows的NTFS文件系統(tǒng)的權(quán)限控制，所以保護(hù)IIS安全的第一步就是確保Windows 2000操作系統(tǒng)的安全：，以便對(duì)文件和目錄進(jìn)行管理。打開注冊(cè)表編輯器，展“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters”項(xiàng)，添加鍵值A(chǔ)utoShareServer，類型為REG_DWORD，值為0。 這樣就可以徹底關(guān)閉“默認(rèn)共享”。建立新的共享后立即修改Everyone的缺省權(quán)限，不讓W(xué)eb服務(wù)器訪問者得到不必要的權(quán)限。，避免非法用戶攻擊。鼠標(biāo)右擊[我的電腦]→[管理]→啟動(dòng)“計(jì)算機(jī)管理”程序，在“本地用戶和組”中，鼠標(biāo)右擊“管理員賬號(hào)（Administrator）”→選擇“重命名”，將管理員賬號(hào)修改為一個(gè)很普通的用戶名。鼠標(biāo)右擊桌面上[網(wǎng)絡(luò)鄰居] →[屬性] →[本地連接] →[屬性]，打開“本地連接屬性”對(duì)話框。選擇[Internet協(xié)議（TCP/IP）]→[屬性]→[高級(jí)]→[WINS]，選中下側(cè)的“禁用TCP/IP上的NetBIOS”一項(xiàng)即可解除TCP/IP上的NetBIOS。鼠標(biāo)右擊桌面上[網(wǎng)絡(luò)鄰居] →[屬性] →[本地連接] →[屬性]，打開“本地連接屬性”對(duì)話框。選擇[Internet協(xié)議（TCP/IP）]→[屬性]→[高級(jí)]→[選項(xiàng)]， 在列表中單擊選中“TCP/IP篩選”選項(xiàng)。單擊[屬性]按鈕，選擇“只允許”，再單擊[添加]按鈕，只填入80端口。，減小拒絕服務(wù)攻擊的風(fēng)險(xiǎn)。打開注冊(cè)表：將HKLM\System\ CurrentControlSet\Services\Tcpip\Parameters下的SynAttackProtect的值修改為2，使連接對(duì)超時(shí)的響應(yīng)更快。IIS的安全要構(gòu)建一個(gè)安全的IIS服務(wù)器，必須從安裝時(shí)就充分考慮安全問題。 IIS的安全配置IIS安裝完成后在root下默認(rèn)生成了一些目錄，包括IISHelp、IISAdmin、IISSamples、MSADC等，這些目錄都沒有什么實(shí)際的作用，可直接刪除。默認(rèn)安裝后的有些IIS組件可能會(huì)造成安全威脅，例如 Internet服務(wù)管理器（HTML）、SMTP Service和NNTP Service、樣本頁面和腳本，大家可以根據(jù)自己的需要決定是否刪除。除了在操作系統(tǒng)里為IIS的文件設(shè)置必要的權(quán)限外，還要在IIS管理器中為它們?cè)O(shè)置權(quán)限。一個(gè)好的設(shè)置策略是：為Web 站點(diǎn)上不同類型的文件都建立目錄，然后給它們分配適當(dāng)權(quán)限。例如：靜態(tài)文件文件夾允許讀、拒絕寫，ASP腳本文件夾允許執(zhí)行、拒絕寫和讀取，EXE等可執(zhí)行程序允許執(zhí)行、拒絕讀寫。ISS中默認(rèn)存在很多種應(yīng)用程序映射，除了ASP的這個(gè)程序映射，其他的文件在網(wǎng)站上都很少用到。在“Internet服務(wù)管理器”中，右擊網(wǎng)站目錄，選擇“屬性”，在網(wǎng)站目錄屬性對(duì)話框的“主目錄”頁面中，點(diǎn)擊[配置]按鈕，彈出“應(yīng)用程序配置”對(duì)話框，在“應(yīng)用程序映射”頁面，刪除無用的程序映射。如果需要這一類文件時(shí)，必須安裝最新的系統(tǒng)修補(bǔ)補(bǔ)丁，并且選中相應(yīng)的程序映射，再點(diǎn)擊[編輯]按鈕，在“添加/編輯應(yīng)用程序擴(kuò)展名映射”對(duì)話框中勾選“檢查文件是否存在”選項(xiàng)。這樣當(dāng)客戶請(qǐng)求這類文件時(shí)，IIS會(huì)先檢查文件是否存在，文件存在后才會(huì)去調(diào)用程序映射中定義的動(dòng)態(tài)鏈接庫來解析。保護(hù)日志安全日志是系統(tǒng)安全策略的一個(gè)重要環(huán)節(jié)，確保日志的安全能有效提高系統(tǒng)整體安全性?！?修改IIS日志的存放路徑默認(rèn)情況下，IIS的日志存放在%WinDir%\System32\LogFiles，黑客當(dāng)然非常清楚，所以最好修改一下其存放路徑。在“Internet服務(wù)管理器”中，右擊網(wǎng)站目錄，選擇“屬性”，在網(wǎng)站目錄屬性對(duì)話框的“Web站點(diǎn)”頁面中，在選中“啟用日志記錄”的情況下，點(diǎn)擊旁邊的[屬性]按鈕，在“常規(guī)屬性”頁面，點(diǎn)擊[瀏覽]按鈕或者直接在輸入框中輸入日志存放路徑即可?！?修改日志訪問權(quán)限，設(shè)置只有管理員才能訪問。通過以上的一些安全設(shè)置，相信你的Web服務(wù)器會(huì)安全許多。