虚拟主机安全配置与优化(3)

　　4.IIS和权限设置

　　为了使IIS运行的更稳定和安全我们需要修改它，如：删除一些不用的映射、日志的设置等。

　　下面是我的IIS的设置情况：

　　Internet信息服务-计算机名称-属性-WWW服务(编辑)-主目录-配置-应用程序映射，删除下面的应用程序映射:.htr、.idc、.printer、.cer、.shtm、.stm 、.cdx 。只保留.asp和.asa映射。对一般的应用比如运行ASP，已经够用了。多出那些无用的安全映射会给系统带来不必要的麻烦。

　　在进程选项卡的脚本文件高速缓存中把放入高速缓存的最多ASP文件数设成300，以改善ASP文件的执行效率。在应用程序调试选项卡中选中"发送文本错误消息给客户"以防止通过错误消息来取得系统、网络、数据库的信息。

　　在Internet信息服务-计算机名称-属性-WWW服务(编辑)-服务选项卡选中HTTP压缩的压缩静态文件,提高执行效率。

　　在一个非系统分区中建立日志文件夹，来保存各个站点的日志。如我设置的分区是E，在分区中建立IISlog目录,用它来保存各个站点的日志文件，而不用系统默认的路径。把各个站点的日志指向IISlog文件夹中。

　　设置如下：Internet服务管理器-Web站点-属性-Web站点选项卡-活动日志格式-属性-日志文件目录，把日志指向IISlog文件夹中。以便于以后我们查看日志的方便。

　　为了保证系统的安全和各个站点FSO,在本地用户和组中为各个站点用户创建相应的用户，设置相应的密码,并把所属的默认组User删去，加入到guests组中。在各个Web站点的属性-目录安全性-匿名访问和验证控制-编辑-匿名访问使用帐号的对话框中选中自己站点相对应的用户帐户.我们在D盘各个站点文件夹的属性-安全选项卡去掉父系继承来的权限，把这个文件夹的访问权限设成redblood(这个用户是我改名后的管理员，我会在后面提到的)完全控制(FC)、SYSTEM(FC)、和Web站点对应用户的修改、读取及运行、列出文件夹目录、读取、写入权限。这样当其中的一个WEB站点被上传ASP木马，就不会危害其它的站点，因为他只有这个Web站点的权限而没有其它站点权限。

　　把各个分区的权限设成只有redblood和system完全控制.但是要注意一点，如果你的页面文件通过设置而放到其它的分区中，比如我放到了E盘中，你除了给这个分区redblood、system的完全控制权限外还必须给这个分区everyone的读权限,否则重启的时候会报错！