windows 2003中IIS6的安全配置

关于"windows 2003中IIS6的安全配置"的完整攻略，我可以向您提供以下的信息和建议：

1. 关于IIS6的安全风险

在IIS6中，许多安全漏洞都来自于IIS身份验证、文件夹和文件权限设置不当、IIS的默认配置不安全等。有关具体的明显问题，请参见“Microsoft Windows 2003安全基线配置”。因此，为了确保IIS及其相关应用程序的安全性，需要了解并采取一些常规的安全措施。

2. 所需的基本安全设置

以下是在服务器上运行IIS6时需要采取的基本安全设置：

2.1 将网站放在离操作系统数据和应用程序外部的位置

建议将IIS的网站放在一个独立的分区中，这样可以避免应用程序共享磁盘，并确保病毒和恶意软件无法通过网站访问系统数据。

2.2 禁用IIS的不需要的组件

建议在不需要的情况下禁用IIS的组件。例如，如果您的网站不需要ASP.NET，您可以禁用ASP.NET，在“控制面板” > “添加/删除程序” > “添加/删除Windows组件” > “Internet 信息服务”中卸载ASP.NET。

2.3 限制IIS目录的权限

建议在IIS目录中设置较为严格的权限，以保护文件系统和应用程序。权限可以根据目录的保密性、访问需求和风险分别分配。一般而言，应该以最小特权的原则来分配权限，避免将权限授予所有用户。

例如：

C:\Inetpub\wwwroot\CommonFiles: IUSR_computername 和 IIS_WPG 都具有读取和执行访问权限。
C:\Inetpub\wwwroot\ExampleSiteFolder: IUSR_computername 具有读取、执行和列出目录内容的访问权限，IIS_WPG只具有读取和执行功能。

2.4 禁用IIS的不必要服务

建议禁用不必要的IIS服务。例如，“FTP Publishing Service”和“WebDAV Publishing”服务是可选的服务。如果您不需要通过FTP或WebDAV上传文件，可以禁用这些服务，从而减少了潜在的漏洞。

2.5 更改IIS的默认设置

建议进行一些必要的更改，例如：

更改IIS的默认端口（默认为80），并限制是谁可以访问该端口。
禁用IIS的默认文件夹列表，以防止攻击者浏览Web目录列表（例如，默认情况下，IIS向索引文件夹中发送默认文档列表，包括“default.asx”，“default.htm”，“default.asp”等）。

3. 示例演示

以下是两个示例，用于向您演示如何设置IIS以提高安全性：

3.1 设置用户访问权限

假设您有一个名为“mySecureSite”的网站，其中包含一些涉及客户机身份验证和敏感数据的页面。在这种情况下，您希望只允许已经通过身份验证的用户访问这些页面，而不是将这些页面公开给任何访问该网站的人。要做到这一点，您可以按以下方式设置：

1）在Internet管理器中右键单击“mySecureSite”，并选择“属性”。

2）选择“安全”选项卡。

3）按照下列设置进行配置：

用户组	条目	权限
匿名访问	全部拒绝	选中
用户组	全部拒绝	选中
运行专用账户	全部允许	选中
端口的用户	全部拒绝	选中

4）点击“确定”。

3.2 禁用IIS文件夹浏览功能

在IIS6中，如果在没有“默认文档”时访问文件夹，则IIS将列出该文件夹中的所有文件和子目录。在某些情况下，这是不期望的行为，关于禁用浏览该文件夹的内容，您可以按照以下方式设置：

1）在Internet管理器中右键单击“myFilesFolder”，并选择“属性”。

2）选择“文件夹属性”选项卡。

3）在“文件夹属性”下，取消选中“向客户发送索引文件”选项。